ESP ٹھیک طرح ڈکرپٹ کرتا ہے اور اندرونی پیکٹ پھر بھی کہیں نہیں پہنچتا

ESP وصولی کا کاؤنٹر بڑھتا ہے، ٹنل قائم رہتا ہے، اور ایپلی کیشن کو پیکٹ کبھی نظر نہیں آتا۔ ڈکرپشن ہوا، سالمیت کی جانچ پاس ہوئی، اور پھر وصول کنندہ کو فیصلہ کرنا پڑا کہ محفوظ پے لوڈ دراصل کیا ہے۔ اسی آخری مرحلے پر فارمیٹ کی عدم مطابقت سامنے آتی ہے، اور باہر سے دیکھنے پر یہ فائروال کے مسئلے جیسی بالکل نہیں لگتی۔

جب لیبل جھوٹ بولے تو کیا نظر آتا ہے

کلائنٹ لاگ میں کوئی چیز اسے روٹنگ کے بلیک ہول سے الگ نہیں کرتی۔ دونوں صحت مند ٹنل کے ساتھ ایپلی کیشن ٹائم آؤٹ پیدا کرتے ہیں، اسی لیے پہلے کاؤنٹروں کو قصوروار ٹھہرایا جاتا ہے۔

بڑھتا ہوا وصولی کاؤنٹر واقعی اچھی خبر ہے: پیکٹ آ رہے ہیں اور تصدیق ہو رہے ہیں۔ لیکن یہ ثبوت نہیں کہ اندرونی پیکٹ کرپٹو پرت سے اوپر کسی چیز کے لیے بامعنی تھا۔

قسم ٹریلر میں رہتی ہے

عام IPsec ٹنل موڈ میں، ESP سے محفوظ پے لوڈ میں مکمل اندرونی IP پیکٹ ہوتا ہے۔ ٹریلر کا اگلا ہیڈر فیلڈ طے کرتا ہے کہ وہ پے لوڈ کیا ہے، اور یہ نہ TCP پورٹ ہے، نہ بیرونی ہیڈر میں پروٹوکول نمبر، اور نہ ہی ابتدائی SPI اور ترتیب نمبر فیلڈ کا حصہ۔ RFC 4303 حصہ 2.6 اسے پے لوڈ قسم کا فیلڈ قرار دیتا ہے، جو درست کام کے لیے درست نام ہے۔

آپ کو ملنے والی قدریں چھوٹی ہیں اور یاد رکھنے کے قابل ہیں: IPv4 4 ہے (0x04) اور IPv6 41 ہے (0x29)۔

یہ اعداد IANA کے پروٹوکول نمبر مختص کرنے سے آتے ہیں، کسی مقامی رواج سے نہیں۔ جو بھیجنے والا IPv4 کا اعلان کر کے IPv6 پیکٹ لپیٹتا ہے اس نے فارمیٹ کی عدم مطابقت پیدا کی ہے، اور اپنے ہی لیبل کے خلاف جانے والے بائٹس کو کوئی فائروال اصول درست نہیں کرتا۔

عام مشتبہ افراد سے اسے کیسے الگ کریں

گم شدہ زیادہ تر پیکٹ انکوڈنگ کی خرابیاں نہیں ہوتے۔ پہلے سلیکٹر چیک کریں، کیونکہ IPv6 پریفکس کو خارج کرنے والا ٹریفک سلیکٹر کچھ بھی انکیپسولیٹ ہونے سے پہلے ٹریفک گرا دیتا ہے۔ پھر روٹنگ چیک کریں، پھر وصول کرنے والے ہوسٹ پر مقامی فلٹرنگ۔ ان کے خارج ہونے کے بعد ہی پے لوڈ فارمیٹ کی عدم مطابقت قابل یقین وضاحت بنتی ہے۔

انکرپٹڈ کیپچر اسے طے نہیں کرے گا، کیونکہ محفوظ اگلا ہیڈر انکرپٹڈ پے لوڈ کے اندر ہوتا ہے۔ آپ کو امپلیمینٹیشن ڈائگناسٹکس یا معاون ڈکرپٹڈ مشاہداتی نقطہ درکار ہے، اور دونوں کے لیے استعمال سے پہلے اجازت ضروری ہے۔

اگر کوئی وہ ثبوت پیش نہ کر سکے تو آپ کے پاس فارمیٹ بگ نہیں ہے۔ آپ کے پاس ایک نظریہ ہے، اور سلیکٹر ہی اب بھی بہتر داؤ ہیں۔

مرمت کیا نہیں ہے

ٹریفک گزرنے کے لیے سالمیت کی جانچیں بند نہ کریں۔ درمیانی روٹر پر انکرپٹڈ پیکٹ دوبارہ نہ لکھیں، کیونکہ یہ کام نہیں کر سکتا اور بہاؤ کو خراب کرے گا جبکہ کیپچر میں مددگار دکھائی دے گا۔ اس نظریے پر کہ پورٹ بلاک ہے، ایپ کے لیے زیادہ وسیع فائروال اصول نہ کھولیں۔ ان میں سے کوئی بھی لیبل کی عدم مطابقت کو نہیں چھوتا۔

اگر تصدیق شدہ عدم مطابقت کسی ہم منصب امپلیمینٹیشن سے آئے تو کم سے کم صاف شدہ دوبارہ پیداوار رکھیں اور اسے اس امپلیمینٹیشن کے معاون چینل تک لے جائیں۔

بہاؤ کی تصدیق کریں، کاؤنٹر کی نہیں

اصلاح کے بعد حقیقی IPv6 بہاؤ کو شروع سے آخر تک جانچیں: ٹنل سے گزرنے والی ایپلی کیشن درخواست، اس کا جواب، اور وہ پتہ جوڑا جو ہر فریق دیکھتا ہے۔ بڑھتا ESP کاؤنٹر صرف یہ ثابت کرتا ہے کہ پیکٹ وصول اور تصدیق ہو رہے ہیں۔ یہ کچھ نہیں کہتا کہ اندرونی پیکٹ قابل استعمال تھا یا نہیں۔

دونوں نتائج ٹکٹ میں درج کریں۔ کاؤنٹر کی حرکت کے ساتھ چلنے والا بہاؤ مرمت ہے؛ صرف کاؤنٹر کی حرکت وہی ہے جو آپ کے پاس شروع کرنے سے پہلے تھی۔