EC2 دستیابی زونوں میں: VPN سے پہلے روٹنگ جانچیں

دو EC2 انسٹینس کے درمیان VPN سافٹ ویئر انسٹال کرنے سے پہلے ایک سوال کا جواب دیں: کیا وہ ایک ہی VPC میں ہیں؟ اگر ہاں، تو نجی راستہ پہلے سے موجود ہے اور زونوں کے درمیان جگہ بدلنا اسے نہیں بدلتا۔ اس صورتحال میں زیادہ تر کام یہ تصدیق کرنا ہے کہ ہر سب نیٹ دراصل کون سی روٹنگ جدول استعمال کرتا ہے، اور پھر یہ معلوم کرنا کہ ناکامی بنیادی طور پر روٹنگ کا مسئلہ تھی یا نہیں۔ اس مخصوص سوال کا ٹنل عام طور پر غلط جواب ہے۔

جانچ 1: ایک ہی VPC یا مختلف VPC

VPC علاقائی ہے اور دستیابی زونوں پر محیط ہے، جبکہ ہر سب نیٹ بالکل ایک زون سے تعلق رکھتا ہے۔ ایک ہی VPC کے مختلف زونوں میں دو انسٹینس اب بھی اسی نجی روٹنگ ڈومین کے اندر ہیں۔

مختلف VPC کبھی صرف اس لیے نجی راستہ نہیں پاتے کہ وہ کوئی علاقہ یا زون لیبل شیئر کرتے ہیں۔ اس صورت میں معاون کنکشن اور اپنے راستوں و اجازتوں کا کام درکار ہوتا ہے، جو الگ فیصلہ ہے۔

جانچ 2: سب نیٹ روٹ جدولیں کیا کہتی ہیں

اصل اقدار کے ساتھ ترتیب لکھیں۔ ایک VPC 10.60.0.0/16 پر، سب نیٹ 10.60.1.0/24 اور 10.60.2.0/24 کے ساتھ، انسٹینس کو 10.60.1.10 اور 10.60.2.20 VPC کے مقامی راستے سے گزرنے کا راستہ دیتا ہے۔

پھر صرف پہلی نظر آنے والی جدول نہیں بلکہ دونوں سب نیٹ سے منسلک جدولیں دیکھیں۔ زیادہ مخصوص معائنہ یا آلات کا راستہ بنیادی راستے کو نظر انداز کر سکتا ہے، اور مقامی راستے کا ہدف خود بھی نئی ترتیبات میں بدل سکتا ہے۔ کنسول میں کہیں نظر آنے والا مقامی راستہ یہ ثابت نہیں کرتا کہ دونوں ورک لوڈ اسے استعمال کرتے ہیں۔

وہ نجی پتے اور نام استعمال کریں جو VPC واقعی تفویض کرتا ہے۔ نجی پتہ ضروری نہیں کہ 10 سے شروع ہو، اور یادداشت سے ایک گھڑ لینا ہی چلتی ہوئی ماحول کی غلط تشخیص کا طریقہ ہے۔

جانچ 3: روٹنگ یا اجازت

روٹنگ صرف پیکٹ کو ہدف کے نیٹ ورک انٹرفیس تک پہنچاتی ہے۔ ہدف کا سیکیورٹی گروپ اب بھی ماخذ اور سروس کو قبول کرنا ہوگا، ماخذ کے اخراجی قواعد درخواست کی اجازت دیں، اور کوئی بھی نیٹ ورک ACL دونوں سمتوں کی اجازت دے کیونکہ ACL حالت نہیں رکھتے۔

اس کے پیچھے مہمان کی فائر وال، سننے والے کی بائنڈنگ اور خود ایپلی کیشن کی شناخت ہے۔ ان میں سے ہر ایک ایسی درخواست مسترد کر سکتا ہے جو روٹنگ نے بخوبی پہنچائی ہو۔

قبولیت ایپلی کیشن کا حقیقی عمل ہونی چاہیے۔ کامیاب ping ایپلی کیشن تک رسائی نہیں دیتا اور یہ ثابت نہیں کرتا کہ TLS نام اور اسناد درست ہیں، اور مسدود ping یہ ثابت نہیں کرتا کہ ہر نجی سروس بند ہے۔

جانچ 4: کیا واقعی الگ کنکشن درکار ہے

VPN اب بھی ڈیزائن کا حصہ ہو سکتا ہے، لیکن بیان کردہ وجہ سے: اس VPC کو دفتر سے جوڑنا، لیپ ٹاپس کو داخل ہونے دینا یا اوورلے ضرورت پوری کرنا۔ یہ وجہ ایک ہی VPC کے اندر معمول کے رابطے سے مختلف ہے۔

یہ بھی یاد رکھیں کہ VPC کیا نہیں ہے۔ یہ گھریلو ایتھرنیٹ حصے کی توسیع نہیں ہے۔ جو ایپلی کیشن براڈکاسٹ دریافت پر منحصر ہے اس کے لیے جائزے کی الگ ضرورت ہے۔ یہ روٹنگ کی خرابی نہیں بلکہ ڈیزائن کا خلا ہے۔

جانچ 5: انکرپشن کا سوال

نجی پتہ اور اجازت کا قاعدہ ایپلی کیشن پرت پر خفیہ کاری کے تحفظ کے بارے میں کچھ نہیں کہتے۔ اگر ڈیٹا کو سرے سے سرے تک تحفظ درکار ہے تو وہ اسی پروٹوکول اور شناختی ماڈل سے آتا ہے جسے سروس واقعی معاونت دیتی ہے۔

ڈیزائن نوٹ میں نیٹ ورک پرت اور ایپلی کیشن پرت کے دعوے الگ رکھیں، کیونکہ انہیں ملانا ہی وہ طریقہ ہے جس سے جائزہ آخرکار ایسے تحفظ کا دعوی کرتا ہے جو کسی نے نافذ نہیں کیا۔

کیا درج کرنا ہے

دونوں سب نیٹ آئی ڈی، ہر ایک سے منسلک روٹ جدول، سیکیورٹی گروپ کے حوالے اور وہ ایپلی کیشن عمل درج کریں جس کی آپ نے جانچ کی۔ یہ چار حقائق ہیں اور یہ اس راستے کے بارے میں زیادہ تر آئندہ بحثوں کو طے کر دیتے ہیں۔

صرف زون میں رکھنا کبھی نہیں کہتا کہ VPN شامل کریں، اور یہ کبھی نہیں بتاتا کہ نجی درخواست کیوں ناکام ہوئی۔