مکمل ٹنل VPN آپ کے روٹ شدہ مقامی VLAN کیوں چھپاتا ہے

VPN کلائنٹ میں ”مقامی نیٹ ورک کی اجازت“ والا سوئچ ایسا لگتا ہے کہ عمارت کی ہر چیز کو محیط ہے۔ عملی طور پر یہ عام طور پر ٹنل کے ڈیفالٹ راستے میں چند نجی پتوں کی استثنائیں شامل کرتا ہے اور وہیں رک جاتا ہے۔ آپ کا اسٹوریج VLAN تبھی قابلِ رسائی رہتا ہے جب اُس مخصوص سابقے کے لیے ایک راستہ ٹنل کے آنے کے بعد بھی قائم رہے، اور بہت سے کلائنٹس میں یہ قائم نہیں رہتا۔

یہ VPN کی ترتیب کے بجائے روٹنگ کا سوال ہے، جو خوشخبری ہے: اِس کا ایک واضح جواب ہے۔

مقامی نیٹ ورک کی اجازت دراصل کس چیز کو محیط ہے

کلائنٹس اِس اختیار کو مختلف طریقوں سے نافذ کرتے ہیں۔ کچھ اُس سب نیٹ کے لیے راستے شامل کرتے ہیں جس سے مشین منسلک ہے، کچھ RFC 1918 کی حدود شامل کرتے ہیں، اور چند صرف ڈیفالٹ گیٹ وے کو خارج کرتے ہیں۔ اِن میں سے کوئی نہیں جانتا کہ آپ کا دفتری روٹر اسٹوریج VLAN، لیب کے حصے یا پرنٹر سب نیٹ کی بھی خدمت کرتا ہے، کیونکہ وہ سابقے اُس لنک پر نہیں ہیں جو کلائنٹ دیکھ سکتا ہے۔ یہ فرض کرنے کے بجائے کہ لیبل آپ کی ٹوپولوجی بیان کرتا ہے، درست رویے کے لیے کلائنٹ کی اپنی دستاویزات پڑھیں۔

یہ فرق مکمل ٹنل کی ترتیب میں سب سے زیادہ اہم ہے، جہاں کلائنٹ جان بوجھ کر ڈیفالٹ راستہ بدل دیتا ہے تاکہ سارا ٹریفک VPN سے گزرے۔ یہی ترتیب کا پورا مقصد ہے، اور یہی مقامی روٹ شدہ نیٹ ورکس کو غائب کر دیتا ہے۔ اِنہیں کبھی اپنے راستے سے محیط نہیں کیا گیا تھا؛ یہ اُس ڈیفالٹ راستے پر سوار تھے جو ابھی بدلا گیا ہے۔ کلائنٹ اُس چیز کو روٹ نہیں کر سکتا جس کے وجود سے وہ واقف نہیں، اور وہ صرف اُن سابقوں کے بارے میں جانتا ہے جو اُس کے اپنے انٹرفیس سے منسلک ہیں۔ باقی سب کچھ اُس شخص کو بیان کرنا ہوگا جو ٹوپولوجی جانتا ہو۔

منسلک راستے پہلے روٹر پر رک جاتے ہیں

192.168.10.20/24 پر واقع ورک سٹیشن، گیٹ وے 192.168.10.1 کے ساتھ، 192.168.10.0/24 کے لیے خودبخود منسلک راستہ حاصل کر لیتا ہے۔ 192.168.20.0/24 پر اسٹوریج VLAN ایک مختلف سابقہ ہے، صرف اُسی گیٹ وے سے قابلِ رسائی، اور ورک سٹیشن کے پاس ڈیفالٹ کے علاوہ اِس کے لیے کوئی راستہ نہیں۔ ٹنل آنے سے پہلے، عام ڈیفالٹ راستہ اتفاقاً اسٹوریج کا ٹریفک 192.168.10.1 کی طرف بھیج دیتا ہے اور سب کچھ چل پڑتا ہے۔

جب VPN مکمل ٹنل کا ڈیفالٹ نصب کرتا ہے، تو 192.168.20.1 کے پیکٹ نئے ڈیفالٹ کے پیچھے ٹنل میں چلے جاتے ہیں۔ دور دراز کے گیٹ وے کو کوئی اندازہ نہیں کہ وہ سابقہ کہاں ہے، اس لیے وہ اِنہیں گرا دیتا ہے یا کسی بیکار جگہ بھیج دیتا ہے۔ اسٹوریج VLAN پر کچھ غلط ترتیب نہیں دیا گیا تھا؛ اُس کا راستہ عاریتاً لیا گیا تھا، اور قرض واپس مانگ لیا گیا۔

لالچ یہ ہے کہ کوئی وسیع استثنا اختیار کیا جائے، جیسے /1 راستوں کا جوڑا یا دوسرا ڈیفالٹ۔ اِس کا مقابلہ کریں۔ استثنا جتنا تنگ ہوگا، اُتنا ہی اُسے سمجھانا، جانچنا اور نیٹ ورک بدلنے پر ہٹانا آسان ہوگا۔

استثنا اُس جدول میں رکھیں جو جیتتا ہے

ایک ہی روٹنگ جدول میں /24 سب سے لمبے سابقے کی مطابقت سے /0 یا /1 کو شکست دیتا ہے، اس لیے مقامی گیٹ وے کے ذریعے اسٹوریج VLAN تک مخصوص راستہ کافی ہے، بشرطیکہ جدول سے رجوع ہی کیا جائے۔ Linux میں عام شکل مختصر ہے:

ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

پالیسی روٹنگ اِس ضمانت کو پیچیدہ کر دیتی ہے۔ پہلے کا کوئی قاعدہ ٹریفک کو ایسے جدول میں بھیج سکتا ہے جس کا اپنا ڈیفالٹ راستہ ٹنل کی طرف اشارہ کرتا ہے، اور پھر آپ کا /24 رکھنے والا مرکزی جدول کبھی نہیں پہنچتا۔ راستے کو مستند سمجھنے سے پہلے قواعد جانچیں، کیونکہ غلط جدول میں درست دکھنے والا اندراج ایسی ناکامی کی وضاحت کرتا ہے جو ٹوٹے راستے جیسی لگتی ہے۔

پھر اندراج کو کلائنٹ کے معاون طریقے یا اُس نیٹ ورک مینیجر کے ذریعے مستقل کریں جو انٹرفیس کا مالک ہے۔ پرامپٹ پر ٹائپ کیا گیا راستہ اگلی بار دوبارہ جڑنے پر غائب ہو جاتا ہے، اور ایک Wi-Fi گیٹ وے سے بندھا راستہ اگلے نیٹ ورک تک منتقل نہیں ہوتا جہاں لیپ ٹاپ جاتا ہے۔

نام اور پالیسی راستوں کی پیروی نہیں کرتے

راستہ ٹھیک کرنا پیکٹ واپس لاتا ہے، نام نہیں۔ اگر مقامی آلات ایسے دھکیلے گئے ریزالور سے حل ہوتے ہیں جو اِن کے بارے میں کچھ نہیں جانتا، تو پتہ قابلِ رسائی ہونے کے باوجود ماؤنٹ ناکام رہتا ہے۔ مقامی ناموں کے لیے مقامی یا منقسم DNS کا انتظام درکار ہے، اور یہ راستے کے استثنا سے الگ فیصلہ ہے۔

پالیسی پھر الگ ہے۔ VPN کلائنٹ کا مقامی رسائی فلٹر نجی حدود کی طرف ٹریفک کو جان بوجھ کر منع کر سکتا ہے، اور راستہ اُس قاعدے کو منسوخ نہیں کرتا۔ غیر قابلِ اعتماد نیٹ ورک پر نجی پتہ اِس بات کا ثبوت بھی نہیں کہ منزل آپ کا اسٹوریج سرور ہے، اس لیے استثنا راستے ہی جیسا مخصوص ہونا چاہیے۔

ایک معاہدہ جو آپ حوالے کر سکیں

مکمل ترتیب ایک مختصر فہرست کی طرح پڑھی جانے چاہیے: عام انٹرنیٹ ٹریفک ٹنل کی پیروی کرتا ہے، اور یہ نامزد مقامی سابقے مقامی روٹر کے ذریعے اپنا راستہ برقرار رکھتے ہیں۔ سابقے، اگلا ہاپ اور اُن کے ساتھ آنے والا DNS لاحقہ لکھیں، اور فہرست کو اِتنا مختصر رکھیں کہ کوئی روٹنگ جدول پڑھے بغیر اُس کی تصدیق کر سکے۔

مقامی اور دور دراز حدود کے درمیان اوورلیپ پر نظر رکھیں۔ ایسا اسٹوریج VLAN جو VPN کے پیچھے کسی چیز کے ساتھ سابقہ بانٹتا ہے، اُس راستے پر حل ہوگا جو زیادہ مخصوص ہے، اور نتیجے کا رویہ اِس طرح الجھا دیتا ہے کہ وقفے وقفے کا لگتا ہے۔ ایک طرف کی دوبارہ نمبر شماری کرنا اُس ابہام کو ہمیشہ کے لیے سلجھانے سے عام طور پر سستا پڑتا ہے۔

معاہدے کو دو بار جانچیں: ایک بار ٹنل کے آن ہونے پر اور ایک بار اُس کے بند ہونے پر۔ اگر مقامی راستہ اِن حالتوں میں سے صرف ایک میں کام کرتا ہے، تو استثنا ابھی معاہدہ نہیں۔