DPD کے جوابات ثابت کرتے ہیں کہ IKE ساتھی زندہ ہے، یہ نہیں کہ آپ کا ڈیٹا بہہ رہا ہے
زندہ رہنے کے جوابات، ایک پیڈنگ اطلاع اور تنگ کیے گئے سلیکٹر تین مختلف چیزیں بیان کرتے ہیں۔ کسی رکاوٹ کا الزام کسی ایک پر لگانے سے پہلے انہیں الگ الگ پڑھیں۔
IPsec لاگ ان کے سامنے موجود ایپلیکیشن کے رکنے کے دوران بھی زندہ رہنے کے جوابات دکھا سکتے ہیں، اور دونوں حقائق بیک وقت درست ہو سکتے ہیں۔ DPD جواب ثابت کرتا ہے کہ اس لمحے ساتھی کی IKE پراسیسنگ نے جواب دیا؛ یہ اس بارے میں کچھ نہیں کہتا کہ چائلڈ SA وہ پیکٹ لے جا رہا ہے یا نہیں جو آپ کے لیے اہم ہے۔ کسی خرابی کے قریب ہر انتباہ کو اس کی وجہ سمجھنا وہی طریقہ ہے جس سے سلیکٹر کا مسئلہ پروٹوکول بگ کے طور پر تشخیص ہوتا ہے۔ تین مشاہدے سب سے زیادہ الجھائے جاتے ہیں، اور وہ تین مختلف سوالات کا جواب دیتے ہیں۔ ٹائم اسٹیمپ کے مطابق پڑھنے سے پہلے انہیں تعلق اور مقصد کے مطابق پڑھیں۔
ہر مشاہدہ کیا ثابت کرتا ہے
جدول یہ الگ کرتا ہے کہ ہر مشاہدہ کیا قائم کرتا ہے اور وہ محض کس کے ساتھ آتا ہے۔
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
تینوں میں سے کوئی بھی بذات خود غلطی نہیں۔ ہر ایک صرف اُس بہاؤ کے پاس دلچسپ ہوتا ہے جسے آپ ڈیبگ کر رہے ہیں، اور جو سطر کسی مخصوص بہاؤ سے منسلک نہ ہو سکے وہ ثبوت نہیں، سیاق ہے۔
زندہ رہنا ڈیٹا کی صحت نہیں ہے
DPD INFORMATIONAL تبادلے کے طور پر چلتا ہے، یعنی IKE ڈیمونز کے درمیان کنٹرول سطح کی گفتگو۔ جواب ثابت کرتا ہے کہ ساتھی کا IKE عمل قابل رسائی ہے اور جواب دینے کو تیار ہے، اور ٹائم آؤٹ ثابت کرتا ہے کہ ایسا نہیں ہے۔ کوئی نتیجہ چائلڈ SA، سلیکٹرز، فارورڈنگ راستے یا ایپلیکیشن کے جواب کی جانچ نہیں کرتا، اس لیے رکے ہوئے منتقلی کے پاس صحت مند DPD متضاد نہیں، مربوط تصویر ہے۔
اسی لیے لاگ کے اوپر کتنا ہی تسلی بخش دکھائی دے، زندہ رہنے کی سطریں ڈیٹا سطح کے ٹکٹ کا سب سے کم مفید حصہ ہیں۔
پیڈنگ اطلاع پیڈنگ کے بارے میں ایک بیان ہے
TFC پیڈنگ ان لاگز میں سب سے زیادہ پڑھی جانے والی سطر ہے۔ یہ کہتی ہے کہ ٹریفک بہاؤ کی رازداری کے لیے پیڈنگ اُس چائلڈ SA کے لیے قبول نہیں کی جائے گی، جو ESP تحفظ سے انکار نہیں بلکہ ایک اختیاری پیڈنگ خصوصیت کے بارے میں بیان ہے۔ اسے کسی ناکامی کے قریب پانا عام طور پر الفاظ کی کثرت کا اتفاق ہے، اور پیڈنگ کو آن یا آف کرنا سلیکٹر کوریج میں کچھ نہیں بدلتا۔
IKEv2 تفصیل اطلاع اور سلیکٹر گفت و شنید دونوں کی تعریف کرتا ہے، اور کسی عمل درآمد کا انتباہی لیبل دونوں میں سے کسی بھی صورت میں پروٹوکول کے معنی کی جگہ نہیں لیتا۔
تنگ کرنا زیادہ خاموش ہے اور اس کے اہم ہونے کا امکان زیادہ ہے
جواب دینے والا پیش کردہ سلیکٹرز کا ایک ذیلی مجموعہ قبول کر سکتا ہے، اور قبول شدہ مجموعہ کئی اندراجات میں چھپا جا سکتا ہے، ایک پورٹ کے لحاظ سے اہل اور دوسرا تمام پورٹس کا احاطہ کرتا ہے۔ صرف پہلی پورٹ کے لحاظ سے اہل سطر پڑھنا قبول شدہ کو کم ظاہر کرتا ہے؛ صرف چوڑی سطر پڑھنا اسے زیادہ ظاہر کرتا ہے۔ چھپی ہوئی تجویز کا نصب شدہ پالیسی سے موازنہ کریں، کیونکہ تجویز وہ ہے جو ساتھیوں نے کہا اور پالیسی وہ ہے جسے کرنل ملائے گا۔ جب وہ مطابقت نہ رکھیں، سرنگ موجود ہے اور ٹریفک نہیں، جو کلاسیک وقفے وقفے کی شکایت ہے۔ ساتھیوں کا موازنہ کرتے وقت مقامی اور دور کے نقطہ نظر کو الٹ دیں، کیونکہ ہر فریق کا مقامی دوسرے کا دور ہے۔
پورٹ پابندی والی میزبان مخصوص اندراجات دو بار پڑھنے کے قابل ہیں، کیونکہ وہی ICMP یا دوسرے پورٹ کو خارج کرتی ہیں جبکہ گیٹ وے تک پنگ کام کرتا رہتا ہے۔
ناکام بہاؤ کے لیے ایک ریکارڈ بنائیں
ماخذ، منزل، پتہ خاندان، پروٹوکول اور پورٹ کو اسی طرح درج کریں جیسے حفاظتی فیصلے پر نظر آتے ہیں، بشمول کوئی بھی جان بوجھ کر کیا گیا ترجمہ۔ یہی وہ اقدار ہیں جنہیں سلیکٹر سے ملنا چاہیے، اور یہی وہ اقدار ہیں جنہیں لوگ یاد سے دوبارہ ٹائپ کرتے ہیں جب ٹکٹ تیسرے ہاتھ تک پہنچتا ہے۔
پھر چائلڈ SA اور اس کے سمتی شمار کنندگان کی شناخت کریں: swanctl --list-sas strongSwan میزبان پر انجمن کا خلاصہ دیتا ہے، اور ip -s xfrm state شمار کنندگان دیتا ہے۔ انہیں نظام کے بیکار ہونے کے دوران نہیں، بلکہ نئی اجازت شدہ درخواست کے بعد پڑھیں۔ باہر جانے والی ٹریفک میں اضافے کا نہ ہونا انتخاب یا مقامی راستے کی طرف اشارہ کرتا ہے؛ متعلقہ اندر آنے کے بغیر باہر جانا ساتھی، اس کی فارورڈنگ یا اس کے جوابات کی طرف اشارہ کرتا ہے۔
مکمل ہوا ایپلیکیشن تبادلہ کسی بھی شمار کنندہ سے فوقیت رکھتا ہے، اس لیے ٹیسٹ سرنگ اشارے پر نہیں، ایپلیکیشن پر ختم ہونا چاہیے۔
اس کے بعد تصحیح منتخب کریں
صرف اس وقت جب وہ ریکارڈ موجود ہو، منتخب کرنے کے لیے تصحیح ہوتی ہے: قبول شدہ سلیکٹرز، راستہ، فلٹرنگ، ساتھی کا عمل درآمد، یا کوئی حد جو آپ نے ابھی دکھائی ہے۔ ساتھی کو دوبارہ ترتیب دینا ایک ساتھ کئی حالتیں بدلتا ہے اور اکثر یہ بتائے بغیر ٹریفک بحال کر دیتا ہے کہ کون سی غلط تھی، اس لیے خرابی واپس آ جاتی ہے۔ کرنل حالت کے ڈمپ ٹکٹوں سے باہر رکھیں، کیونکہ ان میں چابیاں ہو سکتی ہیں اور مختصر خلاصہ مدد مانگنے والے کسی بھی شخص کے لیے کافی ہے۔
جب ریکارڈ آپ کے پہلے نظریے سے متصادم ہو، ریکارڈ پر یقین کریں اور نظریہ دوبارہ لکھیں؛ یہ عادت یہاں زیر بحث کسی بھی ایک لاگ سطر سے زیادہ قیمتی ہے۔