ضابطے سے کھلی راہ کھینچیں: VPN آلات پالیسی کہاں نافذ کرتا ہے
خفیہ کردہ سننے والے پر رکنے والا خاکہ اہم پالیسی نہیں دکھاتا۔ ضابطے سے کھلی راہ کھینچیں، پھر درخواست کیا عبور کرتی ہے کی بنیاد پر مقامات کا موازنہ کریں۔
فروخت کنندگان کے خاکے عام طور پر خفیہ کردہ سننے والے پر رک جاتے ہیں، کیونکہ عوامی پتہ اسی حصے کا ہوتا ہے۔ سوال جو سلامتی کی حالت طے کرتا ہے وہ یہ ہے کہ ضابطہ کھلنے کے بعد کیا ہوتا ہے، جب پیکٹ عام IP بن جاتا ہے اور روٹنگ جدول کی اجازت کے مطابق ہر جگہ پہنچ سکتا ہے۔ اگر کسی نے وہ حصہ نہ کھینچا تو اس کا مالک بھی نہیں۔ نیچے دی گئی ہدایت پہلے وہی کھینچتی ہے، پھر ضابطے سے کھلی درخواست درحقیقت کیا عبور کرتی ہے کی بنیاد پر مقامات کا موازنہ کرتی ہے۔
پیکٹ ضابطہ کھلنے کے بعد کھینچیں، پہلے نہیں
بیرونی راہ وہ حصہ ہے جو فروخت کنندگان دستاویز کرتے ہیں: عوامی اختتامی نقطہ، نقل و حمل کی پالیسی جو رابطہ قبول کرتی ہے، اور خدمت جو اسے ختم کرتی ہے۔ اندرونی راہ اس لمحے شروع ہوتی ہے جب پیکٹ اپنا سرنگ سرورق کھو دیتا ہے، اور وہاں سے سرنگ سے کوئی تعلق نہ رکھنے والے روٹنگ اور فلٹر قواعد اسے چلاتے ہیں۔ دونوں کو ایک ہی صفحے پر رکھیں، کیونکہ صرف پہلا دکھانے والا خاکہ یہ اشارہ دیتا ہے کہ داخلہ اور اجازت ایک ہی فیصلہ ہیں۔ ایسا نہیں ہے، اور ان کے درمیان خلا ہی وہ جگہ ہے جہاں زیادہ تر مقامات غلط ہوتے ہیں۔
اندرونی حصہ تیر کے بجائے نام دیے گئے آلات کی اقسام کے ساتھ شمار شدہ ترتیب کے طور پر لکھیں۔ تیر چھپاتا ہے کہ درخواست کوئی فلٹر عبور کرتی ہے یا نہیں، اور عبور کرنا یا نہ کرنا ہی پورا سوال ہے۔ نیچے کا ہر مرحلہ آلہ اور وہاں لاگو قواعد کا نام دیتا ہے، اس لیے غیر موجود فلٹر لکیر سے اشارہ کیے جانے کے بجائے خلا کے طور پر نظر آتا ہے۔
- دور دراز کلائنٹ: صارف کا آلہ جو سرنگ بناتا ہے۔
- کنارے کی پالیسی: قواعد کا مجموعہ جو بیرونی نقل و حمل کو عوامی سننے والے تک قبول کرتا ہے۔
- ختم کرنے والا آلہ: VPN اختتامی نقطہ جو پیکٹ کو کھول کر عام IP کے حوالے کرتا ہے۔
- اندرونی فلٹر: قواعد کا مجموعہ برائے فارورڈنگ یا سلامتی گروپ جو کلائنٹ سے خدمت تک ٹریفک محدود کرتا ہے۔
- اطلاقی میزبان: وہ خدمت جو ضابطے سے کھلی درخواست وصول کرتی ہے۔
دو پالیسیاں، دو مالک
بیرونی پالیسی جواب دیتی ہے کہ کون سرنگ قائم کر سکتا ہے، اور یہ ان قواعد میں ظاہر ہوتی ہے جو ختم کرنے والی خدمت تک نقل و حمل قبول کرتے ہیں۔ اندرونی پالیسی جواب دیتی ہے کہ تصدیق شدہ صارف کس خدمت تک پہنچ سکتا ہے، اور یہ فارورڈنگ قواعد، سلامتی گروپوں یا خود اطلاق میں رہتی ہے۔ ایک آلہ دونوں رکھ سکتا ہے، اور کئی آلات والے ڈیزائن میں بھی دونوں ہوتے ہیں۔ انہیں الگ نام دینا ہی آپ کو یہ بتانے دیتا ہے کہ کون ناکام ہوا جب صارف کسی اطلاق تک نہیں پہنچتا۔
سرٹیفکیٹ اور کثیر العوامل تصدیق جیسے داخلہ کنٹرول صرف شناخت کا جواب دیتے ہیں، اور کچھ نہیں۔ وہ مقام طے نہیں کرتے، اور صارف کے اندر آنے کے بعد وسیلہ وار اجازت نہیں دیتے۔
مقام طے کرتا ہے کہ درخواست کون سی حد عبور کرتی ہے
تین مقامات عام ہیں، اور ہر ایک بدلتا ہے کہ ضابطے سے کھلی درخواست کون سی حد عبور کرتی ہے۔ انہیں اس بنیاد پر موازنہ کریں کہ وہاں کیا ختم ہوتا ہے، کیا واضح متن دیکھ سکتا ہے، کون سا کنٹرول اب بھی درخواست رد کر سکتا ہے، اور آلے کے ساتھ کیا ناکام ہوتا ہے۔ نیچے کا جدول عام سوال کے بجائے وہ چار کالم استعمال کرتا ہے، کیونکہ ہر جواب ایک الگ ڈیزائن فیصلہ ہے۔
| Placement | What terminates there | What sees plaintext | Which control can still deny | Failure domain |
|---|---|---|---|---|
| Termination in a dedicated segment | A dedicated VPN endpoint | The endpoint and anything on its segment | The filter between that segment and the application | The segment path can bypass the filter if no rule sits on it |
| Termination on the edge firewall | The firewall's public listener | The firewall, after decapsulation | The firewall's inner rule set | Admission and inspection fail together |
| Termination on the protected LAN | The appliance's LAN leg | Every host on the protected LAN | Only a host control or a downstream gateway | The appliance and the protected hosts fail together |
تیسرا مقام ہی نفاذ کو خاموشی سے ہٹاتا ہے، کیونکہ محفوظ حصے پر ایک ٹانگ آلے کو سیدھی راہ دیتی ہے جو خاکہ شاید نہ دکھائے۔ تصویر کے بجائے انٹرفیس اور راستے جانچیں: ip route get 10.20.5.10 بتاتا ہے کہ پیکٹ کس انٹرفیس سے نکلے گا، اور جواب اکثر وہ نہیں ہوتا جو ڈیزائن نے فرض کیا تھا۔ فائر وال کا روایتی کردار کہ حالتوں کے درمیان ٹریفک کنٹرول کرے، جیسا کہ نیچے دستاویز میں بیان ہوا،NIST SP 800-41 یہاں مفید آزمائش ہے، کیونکہ محفوظ نیٹ ورک تک غیر محدود ٹانگ والا آلہ زیادہ کچھ کنٹرول نہیں کرتا۔ راستے کی تلاش پیشکش کے خاکے سے زیادہ ایماندار خاکہ ہے۔
انتظام اپنی واضح طور پر اجازت شدہ راہ پر ہوتا ہے۔ صارفین کو کسی اطلاق تک پہنچنے دینا کبھی انہیں آلے کے کنٹرول انٹرفیس تک پہنچنے دینے کا تقاضا نہیں کرتا، اور دونوں اجازتیں الگ قواعد سے دی جانی چاہئیں۔ دونوں راستوں کا الگ الگ جائزہ لیں، کیونکہ مشترکہ قاعدہ چھپاتا ہے کہ کون سا کھلا۔
ترجمہ بدلتا ہے کہ نیچے کے قواعد کیا دیکھ سکتے ہیں
ماخذ کا ترجمہ سہولت بخش ہے اور یہ معلومات کو تباہ کرتا ہے۔ masquerade کے بعد ہر کلائنٹ آلے جیسا دکھتا ہے، اس لیے صارفین کو الگ پہچاننے کے لیے لکھا گیا نیچے کا قاعدہ اب یہ نہیں کر سکتا۔ یہ صرف لاگنگ کا مسئلہ نہیں، یہ پالیسی کا مسئلہ ہے: کلائنٹ پتے پر کلید والا قاعدہ خاموشی سے گیٹ وے پر کلید والا قاعدہ بن جاتا ہے۔ اگر فی صارف پالیسی اہم ہے تو ماخذ محفوظ رکھیں یا ترجمے سے پہلے پالیسی نافذ کریں۔
جواب کی راہ بھی اسی جانچ کی حقدار ہے۔ درج کریں کہ منزل واپسی پیکٹ کے لیے کون سا راستہ چنتی ہے، کیونکہ غیر متناسب واپسی حالت والی جانچ سے بچ جاتی ہے اور ایسا رابطہ بناتی ہے جو قائم ہو کر پھر رک جاتا ہے۔ دونوں سمتوں کو آپ کی کھینچی حد عبور کرنی چاہیے، ورنہ حد سجاوٹ ہے۔
sudo tcpdump -ni inside0 host 10.20.5.10
ip route get 10.20.5.10
sudo iptables -t nat -S POSTROUTINGایک اجازت شدہ اور ایک مسترد شدہ کارروائی قبول کریں
انتظامی میزبان کے بجائے حقیقی دور دراز کلائنٹ سے آزمائیں، کیونکہ انتظامی میزبان عام طور پر وہاں بیٹھتا ہے جہاں صارف کبھی نہیں ہوگا۔ ایک اجازت شدہ کارروائی ثابت کرتی ہے کہ راہ کام کرتی ہے، اور ایک مسترد شدہ ثابت کرتی ہے کہ پالیسی بالکل کچھ کر رہی ہے۔ ہر مقام کی تبدیلی کے بعد دونوں چلائیں، اور استعمال شدہ ماخذ کی شناخت اور منزل درج کریں۔ صرف کامیابی ثابت کرنے والی آزمائش درست قاعدے کو غیر موجود قاعدے سے الگ نہیں کر سکتی۔
پھر وہ حالتیں آزمائیں جو کیفیت بدلتی ہیں: دوبارہ رابطہ، کلید کی گردش سے زیادہ جیتا رہنے والا سیشن، اور خود آلے کی ناکامی۔ تازہ کاری، گنجائش اور بحالی کا اسی ترتیب کے حصے کے طور پر موازنہ کریں، کیونکہ کئی منطقی کنٹرول رکھنے والا ایک آلہ کئی لیبل والا ایک ہی ناکامی کا میدان ہے۔ مشترکہ انتظامی اسناد یا غیر محدود راستہ اس حد کو ہرا دے تو دوسرا ڈبہ بھی خودمختار نہیں۔
اختتامی نقطہ، ضابطے سے کھلی راہ اور اسے محدود کرنے والا کنٹرول دستاویز کریں۔ وہ تین سطریں عمل درآمد کو کوئی بھی نام دیا جائے، بامعنی رہتی ہیں۔