کیا فائر وال VPN کو روک رہا ہے؟ مرحلہ وار جانچ

ایک VPN ٹائم آؤٹ ثابت کرتا ہے کہ کوئی قابل استعمال جواب نہیں آیا، اور وجہ کے بارے میں کچھ ثابت نہیں کرتا۔ پروفائل غلط پورٹ بتا سکتا ہے، سرور بند ہو سکتا ہے، یا درخواست کام کرنے والے واپسی راستے کے بغیر آ سکتی ہے۔ ان میں سے ہر ایک مختلف نشان چھوڑتا ہے، اور وہی نشان بتاتا ہے کہ کون سا قاعدہ چھونا ہے۔ نیچے دیے گئے چار مراحل ترتیب سے مکمل کریں۔ ان میں سے کوئی علامت واضح کر دے تو فوراً رک جائیں۔

مرحلہ 1: سرور اور ٹرانسپورٹ کی تصدیق کریں

سرور کا نام، ٹرانسپورٹ اور پورٹ آپریٹر کے موجودہ پروفائل سے پڑھیں، مقامی تبدیلی سے نہیں۔ آپ کے لیپ ٹاپ پر بدلی گئی پورٹ عوامی سرور پر سننے والا نہیں بنا سکتی، اور یہ عدم مطابقت بلاک جیسا ہی ٹائم آؤٹ دیتی ہے۔ اگر پروفائل معاون متبادل ٹرانسپورٹ پیش کرتا ہے تو اسے حل کے بجائے متبادل کے طور پر لکھیں۔ نام حل کریں اور جواب کا موازنہ آپریٹر کے شائع کردہ پتے سے کریں۔

پرانا DNS ریکارڈ گاہک کو ایسے میزبان بھیجتا ہے جس نے کبھی جواب نہیں دیا۔ یہ بھی فلٹر کی نقل کرنے والی ایک اور خرابی ہے، اور اسے خارج کرنے میں ایک ہی استفسار لگتا ہے۔

دونوں قدریں ٹکٹ میں لکھیں۔ آگے کا ہر موازنہ انہیں استعمال کرتا ہے، اور ان کے بغیر ٹکٹ تحقیقات دوبارہ شروع کر دیتا ہے۔

مرحلہ 2: ایک کنٹرول شدہ موازنے سے راستہ ثابت کریں

آلہ اور پروفائل بغیر تبدیلی کے رکھیں اور کوئی دوسرا قابل اعتماد رسائی نیٹ ورک آزمائیں۔ اگر وہاں سرنگ اٹھے تو فرق اصل راستہ یا اس کی پالیسی ہے۔ اگر اصل نیٹ ورک پر دوسرا منظور شدہ آلہ کام کرے تو فرق پہلا آلہ ہے۔ ان دو موازنوں میں سے ایک تقریباً ہمیشہ فیصلہ کن ہوتا ہے۔

پہلے کوئی بھی جائز نیٹ ورک سائن ان مکمل کریں، کیونکہ کیپٹو پورٹل مکمل ہونے تک بلاک جیسا لگتا ہے۔

وہی پورٹ جانچیں جو آپ واقعی استعمال کرتے ہیں، اور TCP نتیجے کو صرف TCP کے بارے میں معلومات سمجھیں۔

Resolve-DnsName vpn.corp.example
tracert -h 8 -w 500 vpn.corp.example
Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed

پورٹ 443 پر کامیاب TCP مصافحہ بتاتا ہے کہ وہاں سننے والے نے جواب دیا۔ یہ 51820 پر UDP سننے والے کے بارے میں کچھ نہیں کہتا، اور نہ یہ کہ گفت و شنید مکمل ہوئی۔

مرحلہ 3: ناکامی کے لمحے کے سلامتی واقعات پڑھیں

فائر وال واقعات سب سے مضبوط دستیاب ثبوت ہیں، اور ان کے ساتھ ایک احتیاط ہے جو پہلے بتانی چاہیے۔ بہت سی طے شدہ پروفائلوں میں لاگنگ بند ہوتی ہے، اس لیے خالی لاگ کو بے گناہی کا ثبوت پڑھنے سے پہلے دیکھیں کہ متعلقہ پروفائل خارج ہونے درج کرتا ہے یا نہیں۔ لاگنگ آن ہو تو واقعہ قاعدہ، سمت اور پتے بتاتا ہے، جو قاعدہ بدلنے کے لیے عین وہی چیز ہے۔ ایپلیکیشن قواعد اور پورٹ قواعد الگ اشیا ہیں، اور منظم پالیسی مقامی ترتیب کو زیر کر سکتی ہے۔ تصدیق کریں کہ کوئی قاعدہ واقعی کس گاہک اور کس سروس کو محیط ہے۔

پروفائل کی حالت اور حالیہ واقعات اسی مشین سے جمع کریں جو ناکام ہوئی، پڑوسی میزبان سے نہیں۔

واقعے کا وقت اپنی جانچ کی کوشش کے وقت سے ملائیں، کیونکہ مختلف ٹائم اسٹیمپ کے ساتھ ملتا قاعدہ نام اتفاق ہے۔

Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultInboundAction, LogBlocked
Get-NetFirewallRule -Enabled True -Direction Outbound | Where-Object DisplayName -match 'VPN'
Get-WinEvent -LogName 'Microsoft-Windows-Windows Firewall With Advanced Security/Firewall' -MaxEvents 20

جس سرور کا آپ انتظام کرتے ہیں، وہاں پوچھیں کہ درخواست سننے والے تک پہنچی بھی یا نہیں۔ بغیر جواب آنے والا پیکٹ فارورڈنگ یا واپسی راستے کا مسئلہ ہے۔ جو درخواست کبھی ظاہر نہ ہو وہ فلٹرنگ یا پتہ بندی کا مسئلہ ہے۔

مرحلہ 4: سرنگ اٹھنے کے بعد فارورڈنگ جانچیں

فائر وال سیشن کی اجازت دے کر بھی وہ سب منع کر سکتا ہے جہاں سیشن پہنچنا چاہتا ہے۔ فارورڈنگ sysctl، NAT قواعد اور واپسی راستے سب تصدیق کے بعد آتے ہیں، اور VPN پورٹ کے لیے وسیع استثنا ان میں سے کسی کو درست نہیں کرتی۔ ایک اندرونی منزل اور ایک انٹرنیٹ منزل الگ الگ جانچیں، کیونکہ وہ عموماً مختلف وجوہات سے ناکام ہوتے ہیں۔ اگر اندرونی نام ناکام ہوں مگر پتے کام کریں، تو کسی بھی قاعدے سے پہلے دھکیلا گیا DNS دیکھیں۔

گاہک منسلک ہو اور ناکام درخواست کر رہا ہو تو سرور پر نیچے دیے گئے تین جائزے چلائیں۔

سرنگ انٹرفیس کے کاؤنٹر ہی اصل بات ہیں، کیونکہ وہ دکھاتے ہیں کہ پیکٹ اندر آئے یا نہیں اور کچھ باہر گیا یا نہیں۔

sysctl net.ipv4.ip_forward
nft list ruleset | grep -n -E 'forward|masquerade'
tcpdump -ni tun0 -c 10

جب سرنگ پر پیکٹ آئیں اور منزل کی طرف کچھ نہ جائے تو مشتبہ فارورڈنگ یا NAT ہے۔ جب کچھ بھی نہ آئے تو سیشن اٹھا ہے مگر گاہک بھیج نہیں رہا، اور دیکھنے کی جگہ گاہک کی روٹنگ جدول ہے۔

درستی جانچیں اور جو مدد نہ کر سکا اسے ہٹا دیں

منظور شدہ درستی کے بعد وہی جانچ دہرائیں جو ناکام ہوئی تھی اور نتیجہ اسی پروفائل اور آلے کے سامنے درج کریں۔ پھر کوئی بھی عارضی استثنا ہٹا دیں جس نے نتیجہ نہیں بدلا، کیونکہ غیر استعمال شدہ استثنائیں جمع ہوتی ہیں اور ہر ایک ایسا فیصلہ ہے جو کسی کو یاد نہیں۔ جو بچے اسے تنگ رکھیں: ایک منزل، ایک پورٹ، ایک سمت، ایک مالک۔

وہی تین حکم دوبارہ چلائیں اور تبدیلی سے پہلے محفوظ کیے گئے آؤٹ پٹ سے موازنہ کریں۔

Test-NetConnection vpn.corp.example -Port 443 -InformationLevel Detailed
tracert -h 8 -w 500 vpn.corp.example
Get-NetFirewallRule -Enabled True | Where-Object DisplayName -match 'VPN' | Select-Object DisplayName, Action

جب موازنہ نیٹ ورک کام کرے، اصل نیٹ ورک اب بھی ناکام ہو اور واقعات خالی رہیں، تو باقی مشتبہ راستہ ہے، میزبان نہیں۔ دونوں موازنہ نتائج منسلک کر کے یہ نیٹ ورک مالک کو ٹھوس بیان کے طور پر دیں۔ بند کیے گئے فائر وال پروفائل سے یہاں رکنا بہتر ہے۔