نیچے کی ذیلی نیٹ اور ڈیسک ٹاپ VPN: ٹرانزٹ خارج کریں، ایپس نہیں
فی ایپ بائی پاس صرف مقامی آؤٹ پٹ کی درجہ بندی کرتا ہے۔ ورک سٹیشن کے پیچھے موجود آلات کو اپنی انگریس، فارورڈنگ اور واپسی راستے کی پالیسی درکار ہے۔
ایک مشین، دو کام، ایک فائر وال: ایک Wi-Fi اپ لنک، اس کے پیچھے چھوٹا Ethernet ذیلی نیٹ، اور ایک ڈیسک ٹاپ VPN کلائنٹ جو سمجھتا ہے کہ مشین سے نکلنے والا ہر چیز مقامی ہے۔ مقامی طور پر شروع کی گئی ایپس مقامی آؤٹ پٹ راستے سے باہر جاتی ہیں۔ ورک سٹیشن کے پیچھے موجود آلات Ethernet پورٹ پر آتے ہیں اور انہیں فارورڈنگ کا فیصلہ درکار ہوتا ہے۔ پہلے راستے کے لیے لکھی گئی استشنا دوسرے کو کبھی نہیں دیکھتی، اور اسی لیے براؤزر ٹنل سے بچتا ہے جبکہ آلات نہیں بچتے۔
دو پیکٹ راستے، ایک پالیسی
| Origin | Path | Decision owner |
|---|---|---|
| Application on the workstation | OUTPUT then egress | The VPN app's routing policy |
| Device behind the workstation | PREROUTING then FORWARD | The workstation's own forwarding policy |
پہلی سطر وہی ہے جو زیادہ تر split-tunneling گائیڈ بیان کرتی ہیں۔ دوسری ایک راؤٹر کنفیگریشن ہے جو اتفاقاً اسی مشین پر رہتی ہے۔ دونوں کو ایک ذہنی ماڈل میں پگھلانا ہی غلطی ہے؛ وہ کرنل شیئر کرتے ہیں، پالیسی نہیں۔ کسی بھی قاعدے میں ترمیم سے پہلے دونوں راستے کھینچیں، اور باقی ڈیزائن اس سے نکلتا ہے کہ کون سا راستہ غائب ہے۔
جدول یہ بھی بتاتا ہے کہ ایک مشین ایک ٹیسٹ پاس کر کے دوسرے میں کیوں ناکام ہو سکتی ہے۔ ورک سٹیشن کا براؤزر مقامی راستہ ثابت کرتا ہے؛ Ethernet پورٹ میں لگا لیپ ٹاپ فارورڈنگ راستہ ثابت کرتا ہے۔ ہر تبدیلی کو دونوں سے جانچیں، ورنہ براؤزر کتنی بار بھی ریفریش ہو، دوسرا غیرجانچا رہتا ہے۔
ایپ استشنا دراصل کس چیز کی درجہ بندی کرتی ہے
فی ایپ استشنا عام طور پر اس طرح کام کرتی ہے: کسی عمل یا صارف کے پیکٹ کو نشان زد کرنا, پھر نشان زدہ ٹریفک کو ٹنل سے باہر بھیجنا۔ یہ مقامی آؤٹ پٹ کی ساخت ہے۔ نیچے کے آلے کے پیکٹ میں مقامی عمل نہیں ہوتا، اس لیے وہ سلیکٹر سے کبھی نہیں ملتا، سلیکٹر جو بھی ہو۔
سلیکٹر جو بھی ہو، دونوں فہرستیں ایک ہی فہرست نہیں ہیں، اور پوری بات یہی ہے۔ Mullvad کی Linux گائیڈ ان نشانات کی وضاحت کرتی ہے جو اس کا فائر وال اور روٹنگ پالیسی استعمال کرتی ہے، اور اس کی مثالیں مقامی آؤٹ پٹ کو نشانہ بناتی ہیں؛ وہ نیچے کے راؤٹر کی معاون وضاحت نہیں ہیں۔ انہیں کاپی کرنے سے ایسی مشین ملتی ہے جو اپنے آپ کو استشنا والا سمجھتی ہے جبکہ سب کچھ ٹنل میں بھیجتی ہے۔
ٹرانزٹ معاہدہ لکھیں
نیچے کے ماخذ کا سابقہ اور انگریس انٹرفیس اکٹھے نام دیں، پھر اس سابقے کو انگریس پر محدود کریں۔ پابندی کے بغیر، پورٹ تک پہنچنے والا کوئی بھی آلہ استشنا شدہ پتہ دعویٰ کر کے بائی پاس سے باہر جا سکتا ہے۔ اسے دو سوالوں کی طرح لیں: کیا یہ ہوسٹ اس اپ لنک کو بالکل استعمال کر سکتے ہیں، اور کیا وہ ورک سٹیشن یا ٹنل کے نجی دائرے تک پہنچ سکتے ہیں؟ یہ اضافی اجازتیں ہیں، لنک کے انتخاب کے ضمنی اثرات نہیں۔
فارورڈنگ کی اجازت دیں، پھر اسے فلٹر کریں۔ Linux گیٹ وے کو فعال فارورڈنگ، دونوں سمتوں میں مطلوبہ ٹریفک کی اجازت دینے والے قواعد، اور یا اوپر کی طرف واپسی راستہ یا جان بوجھ کر محدود ماخذ ترجمہ درکار ہے۔ NAT اکیلا اپ لنک منتخب نہیں کرتا اور فلٹر سے گزرنے کی اجازت نہیں دیتا؛ وہ ان فیصلوں کے بعد صرف پتہ دوبارہ لکھتا ہے۔
ٹرانزٹ کے لیے درجہ بندی فارورڈنگ راستے کے فیصلے سے پہلے ہونی چاہیے، یعنی output میں نہیں بلکہ prerouting مرحلے میں۔ فیصلے کے بعد رکھا گیا قاعدہ پیکٹ بدل سکتا ہے، مگر یہ نہیں بدل سکتا کہ پیکٹ پہلے ہی کہاں بھیجا جا چکا ہے۔
نشانات اسی ایپ کے ہیں جو ان کا مالک ہے
نشان کی قدریں، جدول کے نمبر اور زنجیر کی ترجیحات VPN ایپ کی پالیسی کا حصہ ہیں، دائمی مستقل نہیں۔ جو نیٹ ورک کسی ایسے جدول میں قاعدہ داخل کرنے پر منحصر ہے جسے دوسرا پروگرام دوبارہ بناتا ہے، وہ اگلی اپ ڈیٹ میں ٹوٹ جائے گا، عام طور پر دوبارہ جڑنے کے دوران، کسی مناسب وقت پر نہیں۔
accept فیصلے کے ساتھ دوسری بنیادی زنجیر شامل کرنا بعد کی زنجیر کے drop کو لازماً نہیں ہراتا۔ بنیادی زنجیروں میں ہک اور ترجیحات ہوتی ہیں، اور ترتیب میں پہلا فیصلہ جیتتا ہے؛ ایک زنجیر کا accept اس drop کو منسوخ نہیں کرتا جہاں دوسری زنجیر پہلے پہنچتی ہے۔ پورا قواعد کا مجموعہ اور روٹنگ پالیسی کی ترتیب دیکھیں، وہ اکیلا کاؤنٹر نہیں جو بڑھا۔ کاؤنٹر ثابت کرتا ہے کہ قاعدہ چلا، کبھی یہ نہیں کہ اسی کا فیصلہ لاگو ہوا۔
یکجا کریں، یا ذیلی نیٹ منتقل کریں
دونوں ڈیزائن اس میں مختلف ہیں کہ بائی پاس کا مالک کون ہے۔ یکجا ڈیزائن ایک مشین اور ایک پالیسی رکھتا ہے، مگر اس قیمت پر کہ وہ VPN ایپ کے جدول کی زندگی کے چکر اور ان نشانات کے مجموعے پر منحصر ہے جنہیں اس کی دستاویز بدل سکتی ہے۔ نیچے کے نیٹ ورک کے لیے مخصوص راؤٹر اس انحصار کو مکمل طور پر ختم کرتا ہے: ذیلی نیٹ کا اپنا اپ لنک ہوتا ہے، اور ورک سٹیشن بغیر فارورڈنگ کردار کا کلائنٹ رہتا ہے۔
دوسرا منتخب کریں جب نیچے کے نیٹ ورک کو VPN اپ ڈیٹس کے دوران کام کرتے رہنا ہو، یا جب ہر ریلیز کے بعد یکجا پالیسی کوئی جانچ نہ سکے۔ پہلا صرف اسی وقت منتخب کریں جب انضمام دستاویزی ہو اور کوئی اس کا ذمہ دار ہو۔
چار حالتوں میں حد جانچیں: منسلک، دوبارہ منسلک ہوتا، جان بوجھ کر مسدود اور روکا گیا۔ ہر ایک میں ناموں کا حل اور دونوں پتہ خاندان چیک کریں، کیونکہ DNS لیک کرنے والا بائی پاس وہ استشنا نہیں جو آپ نے ڈیزائن کی۔ ٹیسٹ کو درست حد ثابت کرنی چاہیے، صرف یہ نہیں کہ ایک صفحہ لوڈ ہوا۔