مہمانوں کا Wi-Fi اب بھی مرکزی راستہ استعمال کرتا ہے: اسے اپنا الگ اخراج دیں

آپ نے مہمانوں کا نیٹ ورک بنایا، اس کے لیے راستہ شامل کیا، اور مہمان پھر بھی آپ کے عام انٹرنیٹ کنکشن سے باہر جاتے ہیں۔ سرنگ فعال ہے، مرکزی LAN کام کرتا ہے، اور مہمانوں کے آلات آپ کے مقرر کردہ دائرے میں پتہ بتاتے ہیں، اس لیے کچھ بھی ٹوٹا ہوا نظر نہیں آتا۔ عام طور پر جو چیز غائب ہوتی ہے وہ راستہ نہیں بلکہ منتخب کرنے والا ہے: راؤٹر یہ دیکھنے سے پہلے کہ پیکٹ کس انٹرفیس سے آیا راستہ طے کرتا ہے، اور اگر کوئی چیز مہمانوں کی ٹریفک سے واضح طور پر نہ ملے تو وہ ٹریفک ڈیفالٹ ورثے میں لے لیتی ہے۔ حل ایک سیگمنٹ، ایک پالیسی قاعدہ اور ایک واپسی راستہ ہے، اسی ترتیب میں۔

علامت: مہمان اب بھی WAN سے باہر جاتے ہیں

اشارہ اخراج کا پتہ ہے۔ سرنگ کے ذریعے انٹرنیٹ تک پہنچنے والا مہمان آلہ سرنگ فراہم کرنے والے کا پتہ بتائے گا، اور ڈیفالٹ ورثے میں لینے والا آپ کا عام کنکشن بتائے گا۔ ایک مہمان آلے اور مرکزی LAN آلے کا ساتھ ساتھ موازنہ کریں، کیونکہ دلچسپ معاملہ وہ ہے جب وہ آپ کی ترتیب سے مختلف ہوں اور آپس میں مماثل ہوں۔

دوسرا اشارہ یہ ہے کہ مہمانوں کے براؤز کرنے کے دوران سرنگ انٹرفیس پر کوئی ٹریفک نہیں ہوتی۔ اگر کاؤنٹر نہیں ہلتے تو پالیسی کبھی لاگو نہیں ہوئی، اور سرنگ کو خود ایڈجسٹ کرنے سے مدد نہیں مل سکتی۔

مرحلہ 1: صرف نام نہیں، حقیقی سیگمنٹ

SSID نام علیحدگی پیدا نہیں کرتا۔ جانچیں کہ مہمانوں کا نیٹ ورک اپنے انٹرفیس، VLAN یا پل پر ختم ہوتا ہے، اور پتوں کا دائرہ قابل اعتماد LAN سے مختلف ہے۔ بہت سے صارفین کے رسائی مقامات پر، مہمان SSID کو باقی سب کے ساتھ اسی سیگمنٹ میں پل کیا جاتا ہے، جو اسے درست کیے بغیر باقی کام ناممکن بنا دیتا ہے۔

پھر مہمانوں کے دائرے اور اس کے DHCP سرور کی تصدیق کریں، اور ریزولور کی ترتیبات کو پورے راؤٹر کے بجائے اسی سیگمنٹ سے منسلک رکھیں۔ فائر وال قاعدے میں صرف تبصرے کے طور پر موجود مہمان سب نیٹ سیگمنٹ نہیں ہے، اور راؤٹر کے پاس مماثلت کے لیے کوئی انٹرفیس نہیں ہوگا۔

VPN کی ترتیب آسان بنانے کے لیے مہمانوں کو مرکزی LAN میں پل نہ کریں۔ یہ آپ کی مطلوبہ علیحدگی کو روٹنگ شارٹ کٹ سے بدل دیتا ہے، اور یہی عام وجہ ہے کہ مہمانوں کا نیٹ ورک پرنٹر اور NAS تک رسائی حاصل کر لیتا ہے۔

مرحلہ 2: ماخذ کے مطابق سرنگ منتخب کریں

روٹنگ جدولیں منزل کے مطابق منتخب ہوتی ہیں، اس لیے «0.0.0.0/0 سرنگ میں بھیجیں» والا قاعدہ سب پر لاگو ہوتا ہے۔ پالیسی روٹنگ دوسری جہت شامل کرتی ہے: ماخذ پتے کے مطابق جدول منتخب کریں۔ Linux پر مبنی راؤٹر پر یہ اضافی قاعدہ اور ایک مخصوص جدول ہے، اور ترتیب اہم ہے کیونکہ پہلا مماثل قاعدہ جیتتا ہے:

ip rule add from 192.168.60.0/24 lookup 100 priority 1000
ip route add default dev wg0 table 100
ip route get 1.1.1.1 from 192.168.60.10

وہ آخری کمانڈ سوال کا براہ راست جواب دیتی ہے: یہ ماخذ اس منزل کے لیے کون سا انٹرفیس استعمال کرے گا۔ اسے تبدیلی سے پہلے اور بعد میں چلائیں، اور براؤزر کو چھوئے بغیر جان لیں گے کہ پالیسی نافذ ہوئی یا نہیں۔

زیادہ تر راؤٹر فرم ویئر اسی بات کو انٹرفیس قاعدے یا ماخذ پر مبنی گیٹ وے انتخاب کے طور پر بیان کرتے ہیں۔ آپ کا پلیٹ فارم جو بھی نحو استعمال کرے، اصول ایک ہی ہے: داخلی انٹرفیس یا ماخذ سابقہ سے مماثلت کریں، پھر صرف اسی مماثلت کے لیے راستہ بدلیں۔ منزل کے مطابق مماثل قاعدہ مہمان اور گھریلو آلے میں فرق نہیں کر سکتا۔

مرحلہ 3: واپسی راستہ اور ترجمہ

سرنگ سے باہر جانے والے پیکٹ کو واپس آنا چاہیے۔ یا تو سرنگ کا ساتھی مہمانوں کے سابقے تک واپسی کا راستہ جانتا ہے، یا راؤٹر مہمانوں کے ماخذ کا سرنگ پتے میں ترجمہ کرتا ہے۔ ایک منتخب کریں اور لکھ رکھیں، کیونکہ ناکامی کے طریقے مختلف دکھائی دیتے ہیں: واپسی راستہ نہ ہو تو کنکشن قائم ہوتا ہے اور کبھی جواب نہیں دیتا، جبکہ ترجمہ نہ ہو تو اکثر کچھ بھی پیدا نہیں ہوتا۔

nft add rule ip nat POSTROUTING ip saddr 192.168.60.0/24 oifname "wg0" masquerade

اگر آپ ترجمہ منتخب کریں تو یاد رکھیں کہ ساتھی اب ہر مہمان کے لیے ایک ہی پتہ دیکھتا ہے، اس لیے دور کے سرے پر فی کلائنٹ کوئی بھی پالیسی ختم ہو جاتی ہے۔ اگر آپ پتے محفوظ رکھیں تو دونوں سروں کو اپنی روٹنگ اور پالیسی میں مہمانوں کا سابقہ درکار ہوگا، جو زیادہ کام اور زیادہ قابل پیشین گوئی ہے۔

IPv6 کو اپنا قاعدہ درکار ہے۔ IPv4 کے لیے لکھی پالیسی دوسرے خاندان کا احاطہ نہیں کرتی، اور فعال IPv6 والا مہمان آلہ اسے خوشی سے استعمال کرے گا جبکہ آپ کا احتیاط سے روٹ کیا گیا IPv4 راستہ بیکار پڑا رہے گا۔ دونوں خاندانوں کو روٹ کریں یا مہمانوں کے سیگمنٹ پر IPv6 بند کریں، لیکن یہ نہ مانیں کہ لکھا گیا مشترکہ قاعدہ وہ احاطہ کرتا ہے جو آلہ حقیقت میں کرتا ہے۔ ایسے کلائنٹ کے ساتھ جانچیں جس میں دونوں خاندان فعال ہوں، کیونکہ ڈیزائن کو یہی صورت برداشت کرنی ہے۔ IPv6 کو ترجیح دینے والا لیپ ٹاپ صرف IPv4 جانچ میں درست دکھائی دیتا ہے اور حقیقی میں لییک ہوتا ہے۔

علیحدگی کی جانچ کریں، صرف براؤزنگ کی نہیں

براؤزنگ ثابت کرتی ہے کہ اخراج بدلا۔ یہ ثابت نہیں کرتی کہ سیگمنٹ علیحدہ ہے، اور علیحدگی ہی مہمانوں کے نیٹ ورک کی موجودگی کی وجہ ہے۔ مہمان آلے سے، راؤٹر کے انتظامی انٹرفیس، قابل اعتماد LAN کے میزبان اور ایسی سروس تک پہنچنے کی کوشش کریں جسے مسترد کیا جانا چاہیے؛ تینوں کو ناکام ہونا چاہیے، اور ناکامی پالیسی کا فیصلہ ہونی چاہیے، نہ کہ ایسا وقت جسے کوئی سمجھا نہ سکے۔

پھر مرکزی LAN آلے کی جانچ کریں اور تصدیق کریں کہ اس کا اخراج نہیں بدلا۔ یہی وہ ریگریشن ہے جو یہ ڈیزائن سب سے زیادہ کرتا ہے: مہمانوں کے لیے بنایا گیا وسیع قاعدہ، ہر انٹرفیس پر لاگو، کیونکہ مماثلت منزل پر لکھی گئی تھی۔

آخر میں، طے کریں کہ سرنگ بند ہونے پر کیا ہوتا ہے۔ مہمانوں کو یا تو انٹرنیٹ نہیں ملتا یا وہ آپ کے منظور شدہ راستے پر واپس آتے ہیں، اور اسے غیر فیصلہ شدہ چھوڑنے کا مطلب عام کنکشن پر خاموش واپسی ہے، جو وہی لییک ہے جسے مہمانوں کی پالیسی روکنا چاہتی تھی۔ انٹرنیٹ ٹریفک کی روٹنگ کی ترکیب pfSense پر مبنی راؤٹر کے لیے اسی راستہ انتخاب سے گزرتی ہے۔

راؤٹر سے پیدا ہونے والا DNS وہ معاملہ ہے جو لوگوں کو آخر میں حیران کرتا ہے۔ اگر مہمان راؤٹر کو اپنا ریزولور استعمال کریں تو راؤٹر کی اپنی استفسارات مہمان قاعدے کے بجائے راؤٹر کے راستے کی پیروی کرتی ہیں، اس لیے تلاشیں عام کنکشن سے باہر جا سکتی ہیں جبکہ ایپلیکیشن ٹریفک باہر نہیں جاتا۔ سیگمنٹ، ریزولور اور ناکامی کی پالیسی کو ایک نوٹ میں رکھیں، اور اگلا شخص ڈیزائن دوبارہ نکالے بغیر تینوں جانچ سکے گا۔