کیا ہارڈ ویئر NAT آف لوڈ آپ کے VPN روٹنگ قواعد توڑ دیتا ہے؟

ہارڈ ویئر NAT تیزی کو چالو کرنا VPN سیٹ اپ کو تیز کر سکتا ہے، اور یہ بھی کر سکتا ہے کہ روٹنگ پالیسی کسی خرابی کے بغیر کچھ پیکٹوں پر لاگو ہونا بند کر دے۔ ان میں سے کیا ہوتا ہے اس پر منحصر ہے کہ تیز راستہ کیا چھوڑتا ہے، اور یہ فرم ویئر، کرنل ورژن اور استعمال شدہ تیزی کی قسم کے درمیان مختلف ہوتا ہے۔ ترتیبات کا مینو شاذ و نادر ہی بتاتا ہے کہ آپ نے ابھی کون سی چالو کی۔

تیز کنندہ کو الزام دینے سے پہلے دو دعووں کو الگ کرنا چاہیے: کہ ایک قاعدہ نافذ ہونا بند ہو گیا، اور کہ ایک کاؤنٹر اپ ڈیٹ ہونا بند ہو گیا۔ یہ ایک ہی مشاہدہ نہیں ہیں۔

تین مختلف تیز کاریاں آپس میں مل جاتی ہیں

فارورڈنگ آف لوڈ، کرپٹوگرافک تیزی اور ٹنل ڈیٹا چینل آف لوڈ الگ الگ میکانزم ہیں جو اکثر ایک ہی سوئچ بانٹتے ہیں۔ فارورڈنگ آف لوڈ قائم شدہ فلو کو عام اسٹیک کا کچھ حصہ چھوڑنے دیتا ہے، کرپٹوگرافک تیزی سائفر کا کام سستا کرتی ہے، اور ٹنل آف لوڈ انکیپسولیشن کو ہارڈ ویئر میں منتقل کرتا ہے۔ عام روٹ شدہ ٹریفک کو تیز کرنے والا روٹر ٹنل ٹریفک کو مکمل طور پر سست راستے پر چھوڑ سکتا ہے، جو کارکردگی کا نتیجہ ہے نہ کہ پالیسی کی تبدیلی۔ اُلٹا بھی ہوتا ہے، جہاں ٹنل ٹریفک آف لوڈ ہوتا ہے جبکہ ارد گرد کی پالیسی اب بھی جانچی جا رہی ہوتی ہے۔

Linux flowtables وہ دستاویزی صورت ہے جسے پڑھنا سب سے زیادہ واجب ہے، کیونکہ قائم شدہ فلو تیز راستے کو سونپے جا سکتے ہیں۔ تب اُن کا حساب اور حالت کی دیکھ بھال کلاسیکی فارورڈنگ سے مختلف ہو جاتی ہے، اور اسی لیے کاؤنٹر عجیب نظر آنے لگتے ہیں۔

رُکا ہوا کاؤنٹر بہت کم ثابت کرتا ہے

قاعدے کے کاؤنٹر اُس قاعدے سے گزرنے والے پیکٹ گنتے ہیں، اور آف لوڈ شدہ فلو پہلے پیکٹ کے بعد شاید کبھی دوبارہ اُس سے نہ گزرے۔ اس سے ایسا کاؤنٹر بنتا ہے جو ٹریفک جاری رہنے کے دوران جم جاتا ہے، اور اگر آپ عدد پر بھروسا کریں تو یہ بالکل بائی پاس جیسا لگتا ہے۔ کاؤنٹر کو دیکھنا پھر بھی اِس اشارے کے طور پر مفید ہے کہ فلو گنے گئے راستے سے نکل گیا۔ باقی تشخیص اِس سے آنی چاہیے کہ پیکٹ واقعی کہاں جاتے ہیں۔

اُلٹا استدلال بھی اُتنا ہی برا ناکام ہوتا ہے۔ تیز ڈاؤن لوڈ یہ نہیں دکھاتا کہ آپ کے استثنائی قواعد اور ناکامی کی دیکھ بھال اب بھی لاگو ہیں، کیونکہ یہ ایک فلو آزماتا ہے، پالیسی نہیں۔

تین شرطیں طے کرتی ہیں کہ آف لوڈ پالیسی توڑتا ہے یا نہیں

پہلی شرط یہ ہے کہ آیا تیز راستہ اُس ہُک سے مشورہ کرتا ہے جس پر آپ کی پالیسی ٹکی ہے، کیونکہ نشانات اور راستوں کے طور پر بیان کی گئی پالیسی ہر پیکٹ کی فلٹرنگ پر بنی پالیسی سے زیادہ بار بچتی ہے۔ دوسری یہ ہے کہ آیا فرم ویئر ایسا امتزاج بالکل اجازت دیتا ہے، کیونکہ کچھ بلڈز ٹنل یا فائر وال خصوصیت کے فعال ہونے پر آف لوڈ خودکار بند کر دیتے ہیں۔ تیسری یہ ہے کہ آیا ٹریفک اہل ہے، کیونکہ تیزی عام طور پر قائم شدہ فلو سے جڑی ہوتی ہے اور ٹوٹے ہوئے یا غیر معمولی پیکٹ خارج کر سکتی ہے۔ جہاں تینوں تیزی کے حق میں ہوں پالیسی اب بھی لاگو ہوتی ہے، اور جہاں پہلی ناکام ہو وہاں کوئی بھی ٹیوننگ اُسے بحال نہیں کرتی۔

جو امتزاج آپ چلا رہے ہیں اُس کے لیے فروش کی دستاویز پڑھیں، عام طور پر روٹر ماڈل کے لیے نہیں۔ فرم ویئر ورژن یہ جوابات خاموشی سے بدل دیتے ہیں۔

پالیسی آزمائیں، تھرو پٹ نہیں

یہ جاننے سے پہلے کہ یہ کتنی تیز چلتی ہے، یہ جانیں کہ پالیسی کو کیا ضمانت دینی چاہیے۔ نیچے دیے گئے کمانڈ دکھاتے ہیں کہ flowtable نصب ہے یا نہیں، کنکشن ٹریکنگ کیا دیکھتی ہے، اور کلائنٹ کس پتے سے باہر نکلتا ہے۔ تبدیلی کے بعد نئے کنکشن کا موازنہ کریں، کیونکہ قائم شدہ اپنا پرانا راستہ رکھ سکتا ہے۔

nft list flowtables
conntrack -L | head -n 20
curl -sS --max-time 8 https://api.ipify.org; echo
ping -c 3 192.168.50.20

ٹنل ٹریفک کو ڈھانپنے والا flowtable اندراج بتاتا ہے کہ تیز راستہ کھیل میں ہے، اور کنکشن جدول دکھاتا ہے کہ فلو آپ کی توقع کے مطابق ٹریک ہو رہا ہے یا نہیں۔ پتے کی جانچ باہر نکلنے کی تصدیق کرتی ہے جب پالیسی انٹرنیٹ ایگرس سے متعلق ہو، جبکہ ping اُس نجی منزل کی تصدیق کرتا ہے جو قابلِ رسائی رہنی چاہیے۔ وہی مجموعہ تیزی بند اور پھر چالو کر کے چلائیں، اور اوقات کے بجائے نتائج کا موازنہ کریں۔

پچھلی ترتیب لکھ لیں تاکہ تجربہ قابلِ واپسی رہے۔ ہر جگہ آف لوڈ بند کرنے کی عام ہدایت ایک عارضی حل سمجھی جاتی ہے، دریافت نہیں۔