کیا ISP UDP کو بلاک کرتا ہے، یا ٹنل کے اندر کی ایپ؟

کوئی بتاتا ہے کہ VPN „UDP بلاک کرتا ہے“، اور یہ جملہ دو بالکل مختلف دعوے چھپاتا ہے۔ ایک اس ٹرانسپورٹ کے بارے میں ہے جو رسائی نیٹ ورک دیکھ سکتا ہے، دوسرا ٹنل کے اندر ڈکرپٹ ہونے کے بعد ایپ کے پیکٹوں کے بارے میں۔ خفیہ کردہ ٹنل کو کسی بھی چابی کے بغیر باہر سے فلٹر کیا جا سکتا ہے، اور اندرونی UDP ایپ ایسی وجوہات سے ناکام ہو سکتی ہے جن کا فلٹرنگ سے کوئی تعلق نہیں۔ شواہد جمع کرنے سے پہلے طے کریں کہ آپ کون سا دعویٰ جانچ رہے ہیں۔

دو ہیڈر، ایک لفظ

NAT-traversal والی IPsec تعیناتی میں بیرونی پیکٹ UDP ہوتا ہے، جو دو VPN اینڈ پوائنٹس کے درمیان پتہ شدہ ہوتا ہے، عام طور پر پورٹ 4500 پر۔ اس کے اندر خفیہ کردہ پے لوڈ وہ سب کچھ لے جاتا ہے جو ٹنل فارورڈ کرتا ہے، اور یہ خود TCP یا UDP ہو سکتا ہے۔ اس لیے UDP کا لفظ دو بار آتا ہے، مختلف معنی اور مختلف نظر آنے کے ساتھ۔

درمیانی نیٹ ورک بیرونی ہیڈر دیکھتا ہے اور اندرونی سے کچھ نہیں۔ یہ بیرونی بہاؤ کو اجازت دے سکتا ہے، شکل دے سکتا ہے یا گرا سکتا ہے، اور اس کے لیے کچھ بھی ڈکرپٹ کرنے کی ضرورت نہیں۔ یہی عدم توازن دونوں دعووں کے گڈمڈ ہونے کی پوری وجہ ہے: ایک ہی لفظ بتاتا ہے کہ نیٹ ورک کیا فلٹر کرتا ہے اور ایپ کیا بھیجتی ہے۔ جب بھی کوئی دریافت درج کریں، لفظ کے ساتھ پرت لکھیں، اور الجھن زیادہ تر ختم ہو جاتی ہے۔

اندرونی ہیڈر صرف وصول کرنے والے اینڈ پوائنٹ پر، ڈکرپشن کے بعد ہی نظر آتا ہے۔ اس لمحے سے پیکٹ کسی بھی دوسرے کی طرح فارورڈ ہوتا ہے، راستوں، پالیسی اور اینڈ پوائنٹ کی اپنی فلٹرنگ کے تابع۔ یہ مختلف آلات کے الگ الگ فیصلے ہیں۔

نیٹ ورک اب بھی کیا دیکھ سکتا ہے

خفیہ کاری پے لوڈ اور اندرونی ٹرانسپورٹ ہیڈر چھپاتی ہے، یہ حقیقت نہیں کہ بہاؤ موجود ہے۔ اینڈ پوائنٹ پتے، پورٹس، پیکٹ کے سائز اور وقت نظر آتے رہتے ہیں، اور یہ ٹریفک کو اندازے کے مطابق درجہ بند کرنے یا کسی مخصوص منزل کو بلاک کرنے کے لیے کافی ہیں۔

sudo tcpdump -ni eth0 'udp port 4500'
sudo tcpdump -ni tun0 'udp port 5201'

پہلا کیپچر فزیکل انٹرفیس پر بیرونی بہاؤ دکھاتا ہے، اور دوسرا ٹنل انٹرفیس پر اندرونی بہاؤ دکھاتا ہے۔ دونوں کو ایک ساتھ چلانا سوال کا سیدھا جواب دیتا ہے: اگر بیرونی بہاؤ ہو اور اندرونی نہ ہو، تو ایپ نے ٹنل میں کچھ بھی نہیں بھیجا۔ اگر دونوں ہوں اور کچھ واپس نہ آئے، تو مسئلہ ٹنل سے پرے ہے، منزل پر یا واپسی کے راستے پر۔

RFC 3948 بیرونی UDP انکیپسولیشن کی تعریف کرتا ہے، اور ESP تفصیل اس کے اندر کی محفوظ ترتیب کی تعریف کرتی ہے۔ دونوں میں سے کوئی دستاویز یہ وعدہ نہیں کرتی کہ رسائی نیٹ ورک بیرونی بہاؤ کو گزرنے دے گا، اسی لیے اندرونی کے بارے میں کسی بھی نظریے سے پہلے بیرونی ٹپل پر رسائی کا امتحان کرنا مناسب ہے۔ بلاک شدہ بیرونی ٹپل ایسی ٹنل بناتا ہے جو کبھی نہیں بنتی، ایسی ٹنل نہیں جو بن کر پھر ایک ایپ کھو دے۔

کیوں ایک UDP ایپ کام کرتی ٹنل کے اندر ناکام ہوتی ہے

جو ٹنل ویب ایپ لے جاتی ہے مگر UDP ایپ نہیں، اس کی کئی معقول وضاحتیں ہیں، اور ISP کی طرف سے اندرونی پروٹوکول کی فلٹرنگ پہلی نہیں۔ سب سے عام کوریج ہے: دونوں ایپس ایک ہی ٹنل میں اکٹھی داخل نہیں ہوتیں، کیونکہ UDP منزل کا راستہ موجود نہیں یا کلائنٹ کے منقسم ٹنل قواعد اسے خارج کرتے ہیں۔

دوسرا اینڈ پوائنٹ ہے۔ پروٹوکول فہرست کی اجازت دینے والا VPN سرور، منزل کا فائر وال، یا ایسی سروس جو متوقع پورٹ پر کبھی نہیں سنتی — سب ایسا وقت ختم ہونا پیدا کریں گے جو نیٹ ورک بلاک جیسا ہی لگتا ہے۔

تیسرا پیکٹ کا سائز ہے۔ UDP ایپس اکثر ویب درخواست سے بڑے ڈیٹا گرام بھیجتی ہیں، اور انکیپسولیشن قابل استعمال MTU کم کرتی ہے، اس لیے کامیاب مصافحے کے بعد پہلے پورے سائز کے پے لوڈ پر خاموشی آ سکتی ہے۔ اس نمونے کو بلاک کے طور پر غلط پڑھنا آسان ہے، کیونکہ چھوٹے پیکٹ گزر جاتے ہیں اور بڑے غائب ہو جاتے ہیں۔ تیز MTU جانچ ایک منٹ سے کم میں اسے طے کر دیتی ہے، اور جواب عام طور پر نیٹ ورک فلٹر نہیں، بلکہ چھوٹا پے لوڈ یا درست شدہ MSS ہوتا ہے۔

ping -M do -s 1400 -c 2 10.60.0.20
iperf3 -u -c 10.60.0.20 -p 5201 -b 1M -t 5

پہلا حکم جانچتا ہے کہ آیا بڑا پیکٹ فریگمنٹیشن بند حالت میں راستہ طے کرتا ہے، جو MTU مسئلہ جلد ظاہر کرتا ہے۔ دوسرا چھوٹا، محدود UDP بہاؤ بھیجتا ہے اور ضیاع و جٹر کی رپورٹ دیتا ہے۔ جو بہاؤ شروع ہو کر پھر رک جائے وہ بلاک کی طرف نہیں، سائز کی طرف اشارہ کرتا ہے۔

پروٹوکول نہیں، پرت بتائیں

دریافت کو تین شکلوں میں سے ایک میں لکھیں: بیرونی ترسیل ناکام، اندرونی فارورڈنگ ناکام، یا ایپ ناکام۔ ہر ایک کا مالک الگ ہے، اور انہیں ملانا ٹکٹ غلط ٹیم کو بھیجتا ہے۔

مقامی پورٹ بدلنے سے دور کے سرے پر مماثل سامع نہیں بن سکتا، اس لیے کلائنٹ کی طرف کا وہ حل جو مدد کرتا دکھائی دیتا ہے عام طور پر ثبوت ہے کہ اصل منزل غلط تھی۔ اسی طرح، فراہم کردہ متبادل پروفائل رسائی کے بارے میں کچھ ثابت کرتا ہے اور اس بارے میں کچھ نہیں کہ ایپ درست طریقے سے ترتیب دی گئی ہے یا نہیں۔

اندازے کو مشاہدے سے الگ رکھیں۔ ٹریفک تجزیہ ڈکرپٹ کیے بغیر بتا سکتا ہے کہ بہاؤ کیا ہے، اور یہ مفید دریافت ہے، لیکن یہ اندرونی ہیڈر پڑھنے کا وہی دعویٰ نہیں۔ واضح کریں کہ آپ کے پاس حقیقت میں کون سا ہے۔