کیسے جانچیں کہ Linux پر VPN سرنگ واقعی چل رہی ہے

Cron ہر دس منٹ بعد ایک مکمل صحت مند VPN کو دوبارہ شروع کرتا ہے، اور وہی کام ایک مردہ VPN کو پورا ہفتہ چلتا رہنے دیتا ہے۔ دونوں ناکامیاں «چل رہا ہے» کو ایک ہی حقیقت سمجھنے سے آتی ہیں، جبکہ وہ کم از کم چار ہیں۔ ایک آلہ انتظامی طور پر فعال، درست طریقے سے روٹ شدہ، مکمل طور پر خفیہ کردہ ہو سکتا ہے اور پھر بھی کوئی مفید چیز نہ ڈھو سکے۔ پہلے مشاہدات الگ کریں، اور جانچ تقریباً خود ہی لکھی جائے گی۔

لنک کے جھنڈے آلے کو بیان کرتے ہیں، راستے کو نہیں

جو جانچ سب کاپی کرتے ہیں وہ صرف صفر سے بنا ہارڈ ویئر پتہ تلاش کرتی ہے۔ یہ چال کچھ ڈرائیوروں میں اصل انٹرفیس کو پلیس ہولڈر سے الگ کرتی ہے اور باقی میں کچھ ثابت نہیں کرتی، کیوں کہ tun آلے کے پاس بتانے کے لیے MAC ہی نہیں ہوتا۔ ip -brief link show tun0 اس کے بجائے جھنڈے دیتا ہے: UP کا مطلب ہے کہ منتظم نے آلہ فعال کیا، اور LOWER_UP کا مطلب ہے کہ ڈرائیور لنک کو قابل استعمال سمجھتا ہے۔ اکٹھے پڑھنے پر، وہ بتاتے ہیں کہ آلہ موجود ہے اور انتظامی طور پر بند نہیں۔ ان میں سے کوئی بھی نہیں کہتا کہ پیکٹ کے جانے کی جگہ ہے۔

OpenVPN راستے نصب ہونے سے پہلے ہی اپنا tun آلہ بناتا ہے، اس لیے جھنڈے مکمل دکھ سکتے ہیں جبکہ کچھ بھی روٹ نہ ہو۔ انہیں پیش شرط سمجھیں، کبھی جواب نہیں۔

پوچھیں کہ پیکٹ کہاں جائے گا

راستے کی تلاش اس سوال کا جواب دیتی ہے جو جھنڈے نہیں دے سکتے۔ ip route get 10.8.0.1 from 10.8.0.2 انٹرفیس، ماخذ پتہ اور وہ جدول بتاتا ہے جو کرنل استعمال کرے گا، اور تقسیم شدہ سرنگ کو بالکل اسی کے خلاف جانچنا ہوتا ہے۔ ماخذ پتے کے بغیر آپ کچھ اور پوچھ رہے ہیں، اور پالیسی پر مبنی روٹنگ میں جواب ماخذ کے لحاظ سے مختلف ہو سکتا ہے۔ یہ سب سے سستا دیانت دار امتحان ہے، کیوں کہ یہ انہی قواعد سے مشورہ کرتا ہے جو آپ کی ٹریفک استعمال کرے گی۔

WireGuard کے لیے، ہاتھ ملانا شامل کریں۔ wg show ہر ساتھی کے لیے آخری ہاتھ ملانے کا وقت کا نشان چھاپتا ہے، اور جو نشان آگے بڑھنا بند ہو گیا ہو اس کا مطلب ہے کہ ساتھی جا چکا ہے، انٹرفیس کے جھنڈے کچھ بھی کہیں۔ حالیہ ہاتھ ملانے کے بغیر ترتیب دیا گیا انٹرفیس گھریلو نگرانی میں سب سے عام غلط مثبتوں میں سے ایک ہے۔

جدول 220 IPsec کی کہانی سناتا ہے

strongSwan راستہ نصب کرنا فعال ہونے پر گفت و شنید کیے گئے منتخب کنندگان کے لیے جدول 220 میں راستے نصب کرتا ہے۔ ip route list table 220 اس لیے گفت و شنید شدہ کو روٹ شدہ سے الگ کرتا ہے: لوڈ شدہ کنکشن کے ساتھ خالی جدول کا مطلب ہے کہ IKE اور CHILD SA اوپر آئے مگر ان کی طرف کوئی ٹریفک نہیں موڑی جا رہی۔ جانچیں ip xfrm state اس کے ساتھ، کیوں کہ یہ نصب شدہ سلامتی انجمنیں اور ان کے آخری مقامات کی فہرست دیتا ہے۔

ٹریپ پالیسی ہی وہ معاملہ ہے جس پر نظر رکھنی چاہیے۔ یہ روٹ کرنے کے بجائے دلچسپ ٹریفک کا انتظار کرتی ہے، اس لیے جدول خالی رہتا ہے جب تک کوئی چیز سرنگ شروع نہ کرے۔

مینیجر کی حالت اور ڈیمن کی حالت الگ الگ فہرستیں ہیں

NetworkManager صرف اپنی ملکیت کے کنکشن کی فہرست دیتا ہے۔ nmcli -t -f NAME,TYPE connection show --active براہ راست wg-quick یا OpenVPN ڈیمن کے ذریعے شروع کی گئی سرنگ کے لیے کچھ واپس نہیں کرتا۔

یہ فرق اس وقت اہم ہے جب اسکرپٹ کو فیصلہ کرنا ہو کہ دو مینیجروں میں سے کس سے پوچھا جائے۔ اس میزبان پر سرنگ کا واقعی مالک کون ہے اسے چنیں اور دوسرے کی خاموشی کو نظر انداز کریں۔ اگر دونوں موجود ہوں، تو طے کریں کہ کون بااختیار ہے اور دوسرے کو بند کریں، کیوں کہ ایک ہی انٹرفیس پر راستے دوبارہ لکھنے والے دو مینیجر ایسی ناکامیاں پیدا کرتے ہیں جنہیں کوئی دوبارہ پیدا نہیں کر سکتا۔ غائب اندراج مینیجر کے بارے میں معلومات ہے، سرنگ کے بارے میں نہیں۔

اگلے مرحلے کو اس جانچ سے مشروط کریں جس کی اسے ضرورت ہے

UDP پورٹ کی جانچ تیاری کے بارے میں کچھ ثابت نہیں کرتی، کیوں کہ UDP میں ہاتھ ملانا نہیں ہوتا اور nc -u پیکٹ نکلتے ہی کامیاب ہو جاتا ہے۔ جانچیں کہ اگلا مرحلہ واقعی کیا استعمال کرتا ہے: فارورڈ کیے گئے پورٹ پر TCP کنکشن، سرنگ کے اندر میزبان کو درخواست، ایسا نام جو صرف وہیں حل ہوتا ہے۔ انتظار کو وقت کی حد اور کوششوں کی تعداد سے محدود کریں، اور ختم ہونے پر زور سے ناکام ہوں۔

جب کلائنٹ ہک فراہم کرے تو ہک پولنگ سے بہتر ہیں۔ --up اور --down OpenVPN کی اسکرپٹس انٹرفیس کی حالت بدلنے کے بعد چلتی ہیں، جو دوڑ کو مکمل طور پر ختم کر دیتا ہے، مگر وہ ڈیمن کے رکھے اختیارات کے ساتھ چلتی ہیں۔ اگر OpenVPN user اور group کے ذریعے غیر مراعات یافتہ اکاؤنٹ میں گر گیا ہے، تو ہک اسی اکاؤنٹ کے طور پر چلتا ہے۔ پھر سسٹم سروس دوبارہ شروع کرنے کے لیے sudo درکار ہوتا ہے جو بالکل اسی حکم کی اجازت دے۔ دوبارہ کوشش cron لوپ کی بجائے سروس مینیجر کو سونپیں: آغاز کی حد کے ساتھ محدود ری اسٹارٹ پالیسی ٹوٹی سرنگ کو سامنے لاتی ہے، جبکہ غیر محدود لوپ اسے غیر معینہ مدت تک چھپائے رکھتا ہے۔