خفیہ کردہ ترسیل کیریئر تک رسائی نہیں دیتی

دو منظور شدہ گیٹ ویز ایک محدود ٹرانسپورٹ نیٹ ورک کے ذریعے کم اعتماد والے نیٹ ورک کی ٹریفک لے جاتے ہیں۔ پے لوڈ کو خفیہ کرنا اسے عام ٹرانزٹ مشاہدہ کرنے والوں کے لیے ناقابلِ مطالعہ رکھتا ہے، اور یہی وہ حصہ ہے جسے لوگ پہلے ڈیزائن کرتے ہیں اور پھر اس کے بارے میں سوچنا چھوڑ دیتے ہیں۔ خفیہ کاری جو نہیں کرتی وہ یہ ہے کہ یہ طے کرے کہ کم اعتماد والا فریق کن وسائل تک پہنچ سکتا ہے۔ ڈیزائن کو دو حدود درکار ہیں: ایک منتقل ہونے والی گفتگو کے گرد، اور دوسری خود کیریئر تک رسائی کے گرد۔

نیچے دیے گئے مراحل ترتیب سے انجام دیں، اور کسی بھی مرحلے کی ناکامی کو کنفیگریشن کی درستی نہیں بلکہ ڈیزائن کی تبدیلی سمجھیں۔

کسی کنفیگ کو چھونے سے پہلے دونوں حدود متعین کریں

پہلی حد گفتگو ہے: گیٹ ویز کے کون سے جوڑے ٹنل قائم کر سکتے ہیں، اور اس میں سے کون سی داخلی ٹریفک گزر سکتی ہے۔ دوسری کیریئر ہے: کم اعتماد والے ہوسٹ ٹنل سے باہر کن پتوں اور خدمات تک پہنچ سکتے ہیں۔ ٹیمیں عموماً پہلی بناتی ہیں اور دوسری کسی بھی موجودہ روٹنگ سے ورثے میں لیتی ہیں، اور یوں ایک محدود ڈیزائن خاموشی سے وسیع ہو جاتا ہے۔ جب جائزے میں پتہ چلے کہ کم اعتماد والا ہوسٹ کسی ایسی چیز سے بات کر رہا ہے جسے کسی نے منظور نہیں کیا، تو یہی ورثہ عام بنیادی سبب ہوتا ہے۔

دونوں کو پتوں، پورٹوں اور سمتوں کی فہرستوں کے طور پر لکھیں۔ اگر فہرست لکھی نہ جا سکے تو حد ابھی متعین نہیں ہوئی۔

مرحلہ 1: بیرونی ٹنل کو محدود کریں

کیریئر کی طرف والے انٹرفیس پر صرف وہی اجازت دیں جس کی ٹنل کو ضرورت ہے: دو گیٹ وے پتوں کے درمیان UDP 500 اور 4500 پر IKE، اور جہاں NAT ٹراورسل استعمال نہیں ہوتا وہاں ESP۔ اس انٹرفیس پر آنے والی باقی ہر چیز کو، بشمول انتظامی پروٹوکول، مسترد کریں۔ ESP تفصیلات حفاظتی خدمات کا احاطہ کرتی ہیں؛ یہ نہیں بتاتیں کہ گیٹ ویز کیریئر کی کون سی اپنی خدمات استعمال کر سکتے ہیں۔ اسے واضح اجازت کی فہرست کے طور پر بیان کریں، تاکہ نئی شائع شدہ کیریئر سروس بطور طے شدہ قابلِ رسائی نہ بن جائے۔

یہی قواعد کا مجموعہ ڈیزائن کو پیئرنگ معاہدے کے بجائے ٹرانزٹ ڈیزائن بناتا ہے۔

اسے گیٹ وے کنسول سے نہیں، کم اعتماد والے فریق سے جانچیں۔ وہاں کا ہوسٹ ٹنل کھلنے سے پہلے ہی کیریئر کے DNS سرور تک پہنچنے میں ناکام ہونا چاہیے۔

مرحلہ 2: طے کریں کہ دور کا گیٹ وے کیا پہنچاتا ہے

دور کے سرے پر، بحال شدہ ٹریفک کو کسی مخصوص جگہ جانا ہوتا ہے۔ متعین کریں کہ کون سی داخلی خدمات کی اجازت ہے، کس ماخذ کی حدود سے، اور کیا جوابات ہم آہنگ ہونے کی توقع ہے۔ انتظامی رسائی کا الگ جائزہ لیں، کیونکہ وہی گیٹ وے اکثر ایسا انتظامی انٹرفیس بے نقاب کرتا ہے جو کبھی ٹرانزٹ منصوبے کا حصہ نہیں تھا۔

کامیاب ڈکرپشن پر رکنے والا خاکہ سب سے اہم فیصلہ چھوڑ بیٹھا ہے۔

مرحلہ 3: ہر پرت کے لیے ملکیت برقرار رکھیں

ٹرانزٹ آلات اب بھی بیرونی پیکٹ وصول اور منتقل کرتے ہیں، اس لیے انہیں پیچ اور گنجائش کی منصوبہ بندی درکار ہے۔ ٹنل کے سرے محفوظ پروٹوکول پر کارروائی کرتے ہیں اور داخلی ٹریفک کو اپنے فارورڈنگ راستے پر بے نقاب کرتے ہیں، اس لیے انہیں اپنے قواعد اور اپنی نگرانی درکار ہے۔ حتمی ایپلیکیشنز پے لوڈ پر کارروائی کرتی ہیں، اور غیر شفاف پے لوڈ اس بات کا ثبوت نہیں کہ ڈکرپٹ شدہ ڈاؤن لوڈ بے ضرر ہے۔

ہر پرت کو ایک مالک تفویض کریں۔ جن پرتوں کا مالک نہیں وہی بہک جاتی ہیں۔

مرحلہ 4: تصدیق کریں، پھر اسے اختیار کو سونپ دیں

بیرونی راستے کی تصدیق اس وقت کریں جب ٹنل کھلا ہو اور کیریئر کے قواعد نافذ ہوں۔ پھر کم اعتماد والے فریق کو نہ پہنچنے والے ہر وسیلے کو آزمائیں اور تصدیق کریں کہ ناکامی انکار ہے، راستہ چھپانے والا وقفہ نہیں۔ دستیابی اور وسائل کی حدیں بھی جانچیں، کیونکہ خفیہ کردہ لنک بھی سیر ہو سکتا ہے۔

ضابطہ بند یا درجہ بند ماحول کے لیے ڈیزائن ذمہ دار سیکیورٹی اتھارٹی کے پاس لے جائیں اور اس کی منظور شدہ علیحدگی کی معماری استعمال کریں۔ VPN کنفیگریشن اور تصوراتی وضاحت اعتبار قائم نہیں کرتے۔ وہ مرحلہ کاغذی کارروائی نہیں؛ یہ طے کرتا ہے کہ ڈیزائن کو وجود رکھنے کی اجازت ہے یا نہیں۔