مکمل ٹنل یا اینڈپوائنٹ روٹ: VPN سرور کو قابل رسائی رکھنا

ٹنل کے ذریعے ایک ڈیفالٹ روٹ شامل کریں، اور ٹنل کے اپنے پیکٹ بھی اسی کی پیروی کریں گے۔ پھر جدول میں ایسا قاعدہ ہوتا ہے جو خود کو شکست دیتا ہے۔ سرور سے خفیہ کردہ کنکشن اسی کنکشن کے اندر سفر کرنے کی کوشش کرتا ہے جسے وہ قائم کرنے کی کوشش کر رہا ہے۔

دو طریقے اس لوپ کو روکتے ہیں۔ ایک روٹنگ جدول میں نظر آتا ہے، دوسرا ایپلیکیشن کے اندر رہتا ہے۔

اندرونی اور بیرونی ٹریفک مختلف فیصلے ہیں

ایپلیکیشن پیکٹ ورچوئل انٹرفیس میں داخل ہوتا ہے اور انکیپسولیٹ ہوتا ہے۔ نتیجہ سرور کے عوامی پتے پر پتہ شدہ نیا پیکٹ ہے۔ اس پیکٹ کو جسمانی نیٹ ورک پر روٹ کی ضرورت ہے، کیونکہ اس کا کوئی حصہ ٹنل میں داخل نہیں ہو سکتا۔

دونوں روٹنگ فیصلے ہیں، اور صرف پہلا ٹنل کا ہے۔ جب کلائنٹ ایسا ڈیفالٹ روٹ انسٹال کرتا ہے جو سرور کو بھی ڈھانپتا ہے، تو بیرونی پیکٹ بھی پکڑا جاتا ہے۔

علامات فوری اور مکمل ہیں۔ ہینڈ شیک مکمل ہوتا ہے اور پھر کچھ بہتا نہیں، یا روٹ انسٹال ہونے کے لمحے ہی کنکشن گر جاتا ہے۔ دونوں صورتوں میں keepalive اب باہر نہیں جا سکتا۔

پہلا اختیار: اینڈپوائنٹ کے لیے ہوسٹ روٹ

سیدھا طریقہ اصل گیٹ وے کے ذریعے سرور کے پتے کے لیے روٹ شامل کرتا ہے۔ اس میں ایک لائن لگتی ہے۔ جدول پڑھنے والا ہر شخص اسے دیکھ سکتا ہے۔ تبدیلی ریکارڈ میں سمجھانا بھی آسان ہے۔

اس کی کمزوری تب ظاہر ہوتی ہے جب بنیادی راستہ بدلتا ہے. محفوظ روٹ پرانے نیٹ ورک کا گیٹ وے اور انٹرفیس بتاتا ہے۔ Wi-Fi تبدیلی کے بعد وہ گیٹ وے نہ بھی ہو، اور روٹ پیچھے رہ جاتا ہے، درست دکھتا ہے اور کچھ نہیں کرتا۔

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

ہوسٹ نام اسے مشکل بناتا ہے۔ اگر اینڈپوائنٹ ایسا نام ہے جو کئی پتوں میں حل ہوتا ہے، تو استثنا کو واقعی استعمال ہونے والے پتے کو ڈھانپنا چاہیے۔ بعد کی تلاش ایسی چیز واپس کر سکتی ہے جو روٹ نے کبھی نہیں ڈھانپی۔

دوسرا اختیار: ساکٹ کی حفاظت

دوسرا طریقہ روٹنگ جدول کو کبھی نہیں چھوتا۔ کلائنٹ ٹنل لے جانے والے ساکٹ کو نشان زد یا محفوظ کرتا ہے، اس لیے آپریٹنگ سسٹم پالیسی کے مطابق اس ساکٹ کی ٹریفک ٹنل سے باہر بھیجتا ہے۔ Android یہ طریقہ براہ راست VPN ایپلیکیشنز کو دیتا ہے۔ ڈیسک ٹاپ کلائنٹ فائر وال نشانات یا ڈیوائس سے بائنڈنگ کالز کے ساتھ مساوی طریقے نافذ کرتے ہیں۔

فائدہ یہ ہے کہ استثنا محفوظ گیٹ وے کی بجائے کنکشن کی پیروی کرتا ہے۔ نیٹ ورک تبدیلی بنیادی راستہ دوبارہ لکھتی ہے، اور محفوظ ساکٹ اس کے ساتھ چلتا ہے کیونکہ وہ کبھی کسی پتے پر پن نہیں تھا۔ روٹ جدول صاف رہتا ہے۔

قیمت نظر آنا ہے۔ روٹنگ جدول میں کچھ بھی استثنا نہیں دکھاتا، اس لیے ہوسٹ روٹ تلاش کرنے والے جائزہ لینے والے کو کچھ نہیں ملتا اور وہ یہ نتیجہ نکال سکتا ہے کہ ڈیزائن غیر محفوظ ہے۔ حفاظت کلائنٹ کے کوڈ میں اور اس کوڈ کے نصب کردہ پالیسی قواعد میں رہتی ہے۔

دونوں کے درمیان انتخاب

ساکٹ سطح کا طریقہ چنیں جب کلائنٹ اس کی حمایت کرتا ہے، کیونکہ یہ ان نیٹ ورک تبدیلیوں کا مقابلہ کرتا ہے جو پن شدہ روٹ کو توڑتی ہیں۔ ہوسٹ روٹ تب چنیں جب استثنا دوسرے اوزاروں کو نظر آنا ضروری ہو، یا جب کلائنٹ کوئی بہتر چیز پیش نہ کرے۔

کوئی بھی طریقہ سرور کے پتے کے بالکل قابل رسائی ہونے کی ضرورت کو ختم نہیں کرتا۔ نجی گیٹ وے کا ایک عوامی سننے کا پتہ ہوتا ہے، اور ٹنل سے باہر رہنے والا پتہ وہی ہے۔ اس کے پیچھے کے اندرونی نیٹ ورک ٹنل کے وجود کے بعد ہی قابل رسائی ہوتے ہیں۔

آپ جو بھی چنیں، اسے ٹنل کے مالک جزو کے پاس رکھیں۔ ہاتھ سے شامل کیا گیا بھٹکتا ہوسٹ روٹ اگلے نیٹ ورک تک کام کرتا ہے، اور پھر وہ کل کی پراسرار رکاوٹ بن جاتا ہے۔