ESP پہنچ گیا لیکن کچھ بھی ڈکرپٹ نہیں ہوا؟ اندر آنے والے مراحل پر چلیں

جب فائر وال کا انکرپشن کاؤنٹر بڑھتا ہے اور ٹنل کچھ بھی نہیں پہنچاتی، تو رسائی قاعدہ وسیع کرنے کا رجحان پیدا ہوتا ہے۔ یہ رجحان وصول کنندہ کے اپنے جانچ کے تسلسل کو نظرانداز کرتا ہے۔ آنے والا ESP پیکٹ کئی مراحل سے گزرتا ہے اور ہر مرحلہ پیکٹ کی زندگی مختلف وجہ سے ختم کر سکتا ہے: کوئی مماثل ایسوسی ایشن نہیں، ری پلے یا سالمیت کی ناکامی، یا اندرونی پیکٹ ٹھیک ہے مگر آگے جانے کی اجازت نہیں۔ ناکام مرحلے کا نام لینے سے IPsec خراب ہونے کا مبہم بیان ایک مخصوص کاؤنٹر اور مخصوص اصلاح میں بدل جاتا ہے۔

آمد ایک مشاہدہ ہے، تین نہیں

بیرونی کیپچر جو دکھاتا ہے کہ ESP گیٹ وے تک پہنچتا ہے، صرف یہ ثابت کرتا ہے کہ بیرونی پیکٹ پہنچا۔ قبولیت کا مطلب ہے کہ وصول کنندہ نے ایسوسی ایشن تلاش کی اور پیکٹ کی تصدیق کی۔ ترسیل کا مطلب ہے کہ بحال شدہ اندرونی پیکٹ اپنی منزل تک روٹ ہوا اور جواب ملا۔ یہ الگ الگ نتائج ہیں، اور انہیں یکجا دکھانے والا ڈیش بورڈ وہی معلومات چھپاتا ہے جو آپ کو درکار ہیں۔

یہی فرق ایک عام رپورٹ کی وضاحت کرتا ہے: ایک طرف کا انکرپشن کاؤنٹر بڑھتا ہے جبکہ دوسری طرف کوئی مفید ڈکرپٹ شدہ ٹریفک رپورٹ نہیں کرتا۔ دونوں بیانات بیک وقت درست ہو سکتے ہیں، کیونکہ وہ ایک ہی کوشش کے مختلف مراحل بیان کرتے ہیں۔

ایسوسی ایشن کی تلاش ڈکرپشن سے پہلے ہوتی ہے

وصول کنندہ ضرورت ہو تو ٹکڑوں کو دوبارہ جوڑتا ہے، پھر پیکٹ کی حفاظتی ایسوسی ایشن تلاش کرتا ہے۔ عام یونیکاسٹ میں SPI اور منزل اسے منتخب کرتے ہیں۔ درست ایسوسی ایشن نہ ہو تو مزید پروسیسنگ نہیں ہوتی، اسی لیے پرانا یا غیر مماثل SPI ایپلیکیشن کو نظر آنے والی خرابی کے بجائے خاموشی پیدا کرتا ہے۔

ایسوسی ایشنز سمت رکھتی ہیں اور کلید کی تجدید کے دوران بدل سکتی ہیں، اس لیے وصول کرنے والا فریق، SPI اور وقت کی مہر اس آنے والی ایسوسی ایشن کے پاس لکھیں جسے آپ موجودہ سمجھتے ہیں۔ دکھائی گئی جانے والی ایسوسی ایشن یا صحت مند IKE تعلق اس ایسوسی ایشن کا متبادل نہیں جو یہ پیکٹ وصول کرنی چاہیے۔

ری پلے اور سالمیت کی جانچیں پے لوڈ بننے سے پہلے مسترد کرتی ہیں

ایسوسی ایشن ملنے کے بعد وصول کنندہ وہ الگورتھم لاگو کرتا ہے جو یہ متعین کرتی ہے۔ اگر ری پلے کے خلاف حفاظت فعال ہو تو ونڈو سے باہر ترتیب نمبر مسترد ہوتا ہے۔ سالمیت کی جانچ کی ناکامی بھی پروسیسنگ ختم کرتی ہے، کیونکہ ICV موصول شدہ پیکٹ سے مطابقت نہیں رکھتا۔ کوئی بھی صورت ڈکرپٹ شدہ اندرونی پیکٹ پیدا نہیں کرتی، اس لیے کچھ بھی روٹنگ، پالیسی یا ایپلیکیشن تک نہیں پہنچتا۔

ان حالتوں کے لیے عمل درآمد کی دستاویزی خرابیوں اور کاؤنٹرز کا استعمال کریں، ہر وصولی ناکامی کو رسائی فہرست کی مستردگی سمجھنے کے بجائے۔ ٹریفک دکھانے کے لیے سالمیت یا ری پلے تحفظ بند کرنا یہ ثابت نہیں کرتا کہ آیا پیکٹ جائز تھا؛ یہ اس جانچ کو ہٹا دیتا ہے جو سچ بتا رہی تھی۔

UDP پورٹ 4500 ایک برتن ہے، فیصلہ نہیں

NAT گزر ESP کو UDP کے اندر لے جاتا ہے، اور یہی پورٹ IKE اور کنکشن برقرار رکھنے والے پیغامات بھی لے جاتا ہے۔ اس لیے 4500 پر سرگرمی بتاتی ہے کہ کوئی چیز پورٹ استعمال کر رہی ہے، یہ نہیں کہ ایپلیکیشن نے ESP پیکٹ بنایا۔ ڈیٹا ٹریفک سے منسوب کرنے سے پہلے پے لوڈ کی درجہ بندی کریں۔

یہ اس وقت اہم ہے جب کیپچر واحد دستیاب ثبوت ہو۔ وقت پر آنے والا کنکشن برقرار رکھنے کا پیغام مردہ ٹنل کو زندہ دکھا سکتا ہے، اور IKE پیغام کیپچر کو حقیقی ڈیٹا راستے سے زیادہ مصروف دکھا سکتا ہے۔

نکالنے کے بعد ہی روٹنگ اور پالیسی لاگو ہوتی ہیں

جب ڈکرپشن کامیاب ہو، بحال شدہ اندرونی پیکٹ عام راستے میں داخل ہوتا ہے: پالیسی جانچیں، روٹنگ، آگے بھیجنے کے قواعد اور منزل کا میزبان۔ پیکٹ تمام حفاظتی جانچیں پاس کر کے بھی یہاں گر سکتا ہے، اور جواب کا راستہ بھی موجود ہونا چاہیے۔ وہ ناکامی آگے بھیجنے کی ہے، ESP کی نہیں۔

کاؤنٹرز کو ان کے دستاویزی مرحلے سے باندھے رکھیں۔ انٹرفیس وصولی، قبول شدہ ESP، ڈکرپٹ شدہ بائٹس اور آگے بھیجے گئے اندرونی پیکٹس کا ایک ہی عدد ہونا ضروری نہیں، خاص طور پر جب تیز راستہ ڈیٹا پلین سنبھالے اور کنٹرول پلین الگ رپورٹ کرے۔ عمومی ڈیش بورڈ لیبل اس بات کا ثبوت نہیں کہ دو کاؤنٹر ایک ہی معنی رکھتے ہیں۔

ایک نئی مجاز کارروائی کے لیے آخری تصدیق شدہ حد اور پہلی متعلقہ خرابی محفوظ رکھیں۔ یہ جوڑا اگلے منتظم کو بتاتا ہے کہ کیا جانچنا ہے: ٹرانسپورٹ ترسیل، ایسوسی ایشن اور سالمیت، یا عام اندرونی آگے بھیجنا، اور عدد ہلانے کے لیے ہر قاعدے کو نرم کرنے کی عام اصلاح سے بچاتا ہے۔