فائر وال پروفائلز بمقابلہ VPN اخراج: عوامی راستہ کیوں نہیں
فائر وال پروفائل چنتا ہے کہ کون سا اصولی مجموعہ لاگو ہوتا ہے۔ یہ نہیں بتاتا کہ پیکٹ کون سی انٹرفیس لے کر گیا، اور واضح بلاک کمزور اجازت پر غالب آتا ہے۔
اصول درست لگتا ہے: نجی پروفائل پر مقامی ٹریفک اور عوامی پر صرف VPN ٹریفک کی اجازت دیں۔ لیکن ایسا نہیں ہے، کیونکہ نیٹ ورک پروفائل چنتا ہے کہ کون سا فائر وال اصولی مجموعہ لاگو ہوتا ہے اور یہ نہیں بتاتا کہ کون سا اڈاپٹر پیکٹ لے کر گیا۔ پروفائل کے نام کو راستے کی شرط سمجھنا وہی غلطی ہے جس کی وجہ سے محدود اخراج کا ڈیزائن ادھورا ہونے کے باوجود مکمل دکھائی دیتا ہے۔
پہلے بہاؤ لکھیں، پھر فیصلہ کریں کہ کون سی میکانیزم واقعی ہر ایک کو نافذ کر سکتی ہے۔ وہی بہاؤ فہرست واحد چیز ہے جو اگلی اصول تبدیلی تک باقی رہتی ہے۔
زمرہ اصول چنتا ہے، راستے نہیں
جب Windows کسی نیٹ ورک کو عوامی یا نجی درجہ بندی کرتا ہے، فائر وال اس پروفائل کے لیے ترتیب دیا گیا اصولی مجموعہ لاگو کرتا ہے۔ درجہ بندی اس نیٹ ورک کی پیروی کرتی ہے جس سے اڈاپٹر جڑا، اور اصولی مجموعہ فیصلہ کرتا ہے کہ اس پر کیا اجازت ہے۔ ان حقائق میں سے کوئی بھی اس بات پر منحصر نہیں کہ کسی ایپلیکیشن کی ٹریفک نے سرنگ استعمال کی یا نہیں۔ یہی آزادی پوری مشکل ہے۔
راستے کا انتخاب روٹنگ کرتی ہے، انٹرفیس میٹرک اور اس سابقہ کے ذریعے جو سرنگ نصب کرتی ہے۔ اس لیے پروفائل عوامی کے طور پر لیبل ہو سکتا ہے جبکہ ایپلیکیشن کا کنکشن طبعی راستہ لیتا ہے، اور فائر وال پھر بھی بتائے گا کہ عوامی اصولی مجموعہ لاگو ہوا۔
اسی لیے پروفائل تک محدود اصول کا مطلب صرف سرنگ نہیں ہو سکتا۔ یہ دونوں خصوصیات مختلف اجزا فیصلہ کرتے ہیں اور ایک دوسرے کی جگہ نہیں لے سکتا۔
| Flow | What decides it | What a rule can enforce |
|---|---|---|
| VPN client to its endpoint | Routing plus the outer transport | Allow the client process before the tunnel exists |
| Application to an internet host | Interface metric and prefix length | Block the process unless the tunnel interface is up |
| Application to a LAN host | Local subnet route | Allow one destination, not the whole category |
واضح بلاک کمزور اجازت پر غالب ہے
Microsoft کی فائر وال اصولوں کی رہنمائی ڈیفالٹ بلاک عمل سے اجازت کی استثنا اور اجازت سے متصادم واضح بلاک میں فرق کرتی ہے۔ واضح بلاک اس تصادم میں جیتتے ہیں، اور اخراجی اصول بھی وہی ترجیح مانتے ہیں۔
اس لیے سب کچھ بلاک کرنے والا اصول شامل کر کے اس کے اوپر رکھی کمزور اجازت پر بھروسہ کرنے کا مقبول نسخہ وہ نہیں کرتا جو اس کے مصنف کو توقع ہے۔ Windows Firewall تصادم کو منتظم کے مقرر کردہ اصول ترتیب سے حل نہیں کرتا۔ بلاک بس لاگو ہوتا ہے، اور جڑنے والی ایپلیکیشن وقت ختم ہونے کی اطلاع دیتی ہے۔ استثنا جیسا دکھنے والا اصول کبھی کھیل میں نہیں تھا۔
معاون شکل منظور شدہ اجازت اصولوں کے ساتھ ڈیفالٹ انکار کی پالیسی ہے، جہاں ہر اجازت کسی پروگرام، سروس یا منزل کا نام جائزے کے لیے کافی درستگی سے لیتی ہے۔ وہ ڈیزائن آڈٹ میں ٹک جاتا ہے، کیونکہ ہر استثنا نظر آتا ہے اور ان میں سے کوئی بھی تخلیق کی ترتیب پر منحصر نہیں۔
ایک دوسرے سے متصادم دو اصول ایک اصول سے بدتر ہیں، کیونکہ نتیجہ خیز رویہ بیک وقت درست اور ناقابل وضاحت ہوتا ہے۔
اخراجی پالیسی کو ایک ہی مالک دیں
معاون VPN کلائنٹ پہلے ہی اپنا بلاکنگ رویہ اور اپنے اینڈ پوائنٹ استثنات رکھتا ہے۔ غیر ہم آہنگ دستی اصول شامل کرنا اس کلائنٹ کو سیٹ اپ کے لیے درکار سرنگ سے باہر چھوڑ سکتا ہے، یا دوسرا راستہ کھلا چھوڑ سکتا ہے جس پر کسی نے توجہ نہ دی۔
اصول لکھنے سے پہلے فیصلہ کریں کہ اخراجی پالیسی کس کی ہے: کلائنٹ کی اپنی ترتیب، زیر انتظام فائر وال پالیسی، یا مالک کے ساتھ دستاویزی مقامی استثنا فہرست۔ پھر کچھ جڑنے تک تجربات ڈھیر کرنے کی بجائے تہوں کو ہم آہنگ کریں۔ نامزد مالک وہی شخص ہے جس سے دو تہیں متفق نہ ہوں تو پوچھا جاتا ہے۔
کچھ بھی بدلنے سے پہلے بحالی کا راستہ محفوظ رکھیں۔ اپنے ہی انتظامی راستے سے باہر بند دور دراز مشین اس پالیسی خلا سے بدتر نتیجہ ہے جسے آپ بند کر رہے تھے۔ بحالی کا اصول پہلے سے لکھا ہو تو اسے جائز ٹھہرانا آسان ہے، اور جب کسی کو ناپسندیدہ گھڑی میں تبدیلی بگڑ جائے تو اسے ڈھونڈنا بھی آسان ہے۔
لیبل پڑھنے کی بجائے چار نتائج جانچیں
پالیسی اتنی ہی اچھی ہے جتنے معاملات میں وہ فرق کرتی ہے، اس لیے پروفائل لیبل کو نتیجہ نہیں بلکہ نقطہ آغاز سمجھیں۔ چار نتائج بتاتے ہیں کہ یہ کام کرتی ہے یا نہیں: مطلوبہ LAN درخواست کامیاب ہوتی ہے، شامل انٹرنیٹ درخواست کامیاب ہوتی ہے، ممنوع براہ راست درخواست ناکام ہوتی ہے، اور سرنگ کی ناکامی کا معاملہ خاموشی سے پیچھے ہٹنے کی بجائے ڈیزائن کے مطابق برتاؤ کرتا ہے۔ چاروں نتائج اصول تبدیلی کے پاس لکھیں۔ چار نامزد معاملات پر مشتمل جانچ کا منصوبہ ہر بار چلانے کے لیے کافی مختصر اور بلند آواز میں ناکام ہونے کے لیے کافی مخصوص ہے۔
Get-NetConnectionProfile | Select-Object Name,NetworkCategory,InterfaceAlias Get-NetFirewallProfile | Select-Object Name,DefaultOutboundAction Get-NetFirewallRule -Direction Outbound -Enabled True | Where-Object Action -eq Block | Select-Object DisplayName,Profile
پہلا حکم دکھاتا ہے کہ ہر منسلک نیٹ ورک کی درجہ بندی کیسے ہوئی، جو اکثر وہ نہیں ہوتا جو اصول لکھنے والے نے فرض کیا۔ دوسرا ہر پروفائل کے لیے ڈیفالٹ عمل دکھاتا ہے، اور تیسرا فعال اخراجی بلاک کی فہرست دیتا ہے، جن میں وہ بھی ہیں جو خاموشی سے کمزور اجازت منسوخ کریں گے۔
نیٹ ورک تبدیلی کے بعد چاروں معاملات دوبارہ چلائیں، کیونکہ مشین کسی دوسرے نیٹ ورک سے جڑنے پر پروفائل دوبارہ درجہ بند ہو سکتا ہے۔ مماثل پروفائل لیبل اس بات کا ثبوت نہیں کہ راستہ وہی تھا جو آپ کا مقصود تھا۔