OpenVPN data-ciphers ڈیٹا چینل کا سائفر کیسے منتخب کرتا ہے

ٹنل اوپر آتا ہے، لاگ ایک سائفر دکھاتا ہے اور پروفائل کا جائزہ جاری رہتا ہے۔ پھر ایک ساتھی پر اپ گریڈ آتا ہے اور وہی پروفائل کوئی مشترک سائفر نہ ہونے کے پیغام کے ساتھ ناکام ہوتا ہے، جو لوگوں کو حذف کرنے والی ہدایت کی تلاش میں بھیجتا ہے۔ سمجھنے کی کارآمد بات یہ ہے کہ data-ciphers ایک گفت و شنید بیان کرتا ہے، کوئی ترتیب نہیں۔ ایک فریق فہرست پیش کرتا ہے، دوسرا اس میں سے منتخب کرتا ہے، اور نتیجہ ایک الگورتھم ہے جس کی دونوں حمایت کرتے ہیں۔ اس تبادلے کو پڑھنا ایک سطر بدلنے سے پہلے ان زیادہ تر ناکامیوں کی وضاحت کرتا ہے۔

دو چینل، دو ترتیبیں

ایک OpenVPN سیشن میں ایک کنٹرول چینل اور ایک ڈیٹا چینل ہوتا ہے۔ کنٹرول چینل TLS ہینڈ شیک چلاتا ہے جو ساتھیوں کی توثیق کرتا ہے اور چابیاں طے کرتا ہے۔ ڈیٹا چینل ان پیکٹوں کو خفیہ کرتا ہے جو آپ کی ٹریفک لے کر جاتے ہیں۔

data-ciphers دوسرے کو ترتیب دیتا ہے۔ کنٹرول چینل کے اپنے اختیارات ہیں، اور پروفائل کی شناخت کی جانچ تیسری، الگ بات ہے۔ ایک میں تبدیلی دوسرے کو درست نہیں کرتی، اسی لیے پروفائل صحیح دکھ سکتا ہے اور پھر بھی کسی خاص مرحلے پر ناکام ہو سکتا ہے۔

ترتیبی فائل پڑھتے وقت ان تینوں کو اپنے اپنے ڈبوں میں رکھیں۔

گفت و شنید لاگ سے پڑھیں

کلائنٹ کا لاگ کنکشن کامیاب ہونے پر دونوں نتائج بتاتا ہے۔ ایک سطر کنٹرول چینل اور اس کی TLS تفصیلات بتاتی ہے، اور دوسری منتخب شدہ ڈیٹا چینل سائفر بتاتی ہے۔

دونوں پڑھیں، کیونکہ وہ مختلف سوالات کا جواب دیتے ہیں۔ کنٹرول چینل کی ناکامی کسی بھی ڈیٹا سائفر کے اہم ہونے سے پہلے کنکشن روک دیتی ہے۔ ڈیٹا چینل کی عدم مطابقت کامیاب ہینڈ شیک کے بعد ظاہر ہوتی ہے، کوئی مشترک سائفر نہ ہونے کے پیغام کے ساتھ۔

پھر دونوں اطراف کی پیش کردہ فہرستوں کا موازنہ کریں۔ وہ نام جو ایک ساتھی کا ورژن یا اس کا کرپٹو پس منظر فراہم نہیں کرتا منتخب نہیں ہو سکتا، چاہے وہ دوسرے ساتھی کی فہرست میں کتنا ہی پہلے آئے۔

انتخاب درحقیقت کیسے ہوتا ہے

سرور ہینڈ شیک کے دوران اپنی data-ciphers فہرست کلائنٹ کی طرف دھکیلتا ہے، اور کلائنٹ اس فہرست میں پہلا اندراج منتخب کرتا ہے جس کی وہ خود بھی حمایت کرتا ہے۔ اس لیے ترتیب سرور کی ترتیب کی ہے، کلائنٹ کی نہیں۔

یہ تفصیل الجھے ہوئے نتائج کی ایک قسم کی وضاحت کرتی ہے۔ کلائنٹ کی فہرست کو دوبارہ ترتیب دینا کچھ نہیں بدلتا جب تک سرور کی فہرست فیصلہ کرتی ہے۔ ایسا سائفر شامل کرنا جسے کلائنٹ فراہم نہیں کر سکتا بھی کچھ نہیں بدلتا، کیونکہ کلائنٹ کو منتخب کردہ اندراج استعمال کرنے کے قابل ہونا چاہیے۔

نئے ورژنوں نے طے شدہ فہرست بدلی اور اس اختیار کا نام بدلا جو پہلے اسے رکھتا تھا، اس لیے مختلف ورژنوں کے دو ساتھی بغیر کسی کے پروفائل میں ترمیم کے اختلاف کر سکتے ہیں۔ ٹائپنگ کی غلطی فرض کرنے سے پہلے ہر طرف ورژن جانچیں۔

فہرست تجریدی معنوں میں طاقت کی درجہ بندی نہیں ہے۔ یہ امیدواروں کا مجموعہ ہے، اور منتخب کردہ سرور کی ترتیب میں پہلا باہمی طور پر حمایت یافتہ اندراج ہے۔ اسی لیے مختلف دکھنے والی دو فہرستیں ایک ہی سائفر پر اتفاق کر سکتی ہیں۔ اسی لیے یکساں دکھنے والی دو فہرستیں بھی ناکام ہو سکتی ہیں۔

پرانو ساتھیوں کو دانستہ بیک اپ کی ضرورت ہے

وہ ساتھی جو بالکل گفت و شنید نہیں کر سکتا، کیونکہ وہ میکانزم سے پرانا ہے یا اس نے اسے غیر فعال کر دیا ہے، دستاویزی مطابقت کے انتظام کی ضرورت رکھتا ہے۔ بیک اپ کا اختیار بالکل اسی صورت کے لیے ہے اور ان ساتھیوں پر لاگو ہوتا ہے جو گفت و شنید میں حصہ نہیں لیتے۔

یہ ہر پرانے سائفر کو فعال کرنے کے مترادف نہیں تاکہ پیغام غائب ہو جائے۔ وسیع فہرست ہر ساتھی کے لیے سیشن کو کمزور کرتی ہے، ان لوگوں سمیت جو کچھ مضبوط طے کر لیتے۔

غیر متعلقہ الگورتھم ناموں میں ترمیم کے بجائے دونوں اطراف کو ہم آہنگ کریں۔ اگر سرور کی اپ گریڈ نے پرانا اختیار ہٹایا ہے تو درستی ورژن پلان سے تعلق رکھتی ہے، کلائنٹ پر جلد بازی سے نہیں۔

توثیق کو برقرار رکھیں

ڈیٹا چینل کی عدم مطابقت غیر تصدیق شدہ سرور قبول کرنے کی وجہ نہیں ہے۔ سرٹیفکیٹ کی توثیق، متوقع سرور نام اور کنٹرول چینل کی حفاظتی ترتیبات سائفر کے انتخاب سے الگ ہیں اور کسی بھی مطابقت کی تبدیلی سے بچنی چاہئیں۔

طے شدہ ڈیٹا سائفر، کلائنٹ ورژن اور سرور ورژن ایک ساتھ ریکارڈ کریں، تاکہ اگلا موازنہ حقائق سے شروع ہو، پروفائل فائل سے نہیں۔

معاون درستی کے بعد ابتدائی کنکشن اور دوبارہ گفت و شنید آزمائیں، کیونکہ ایک بار قائم ہونے والا سیشن چابیاں تجدید ہونے پر پھر بھی ناکام ہو سکتا ہے۔

اگر ٹنل قائم ہو جائے اور سائٹیں پھر بھی ناکام ہوں تو سائفر اب مشتبہ نہیں ہے۔ روٹنگ اور DNS کے ساتھ جاری رکھیں۔ کام کی ترتیب: لاگ کی دونوں سطریں پڑھیں، دونوں فہرستوں کا موازنہ کریں، ورژن جانچیں، بیک اپ صرف اس ساتھی کے لیے شامل کریں جسے ضرورت ہو، پھر تجدید کا راستہ دوبارہ آزمائیں۔