آپ کے پاس پہلے سے موجود گیٹ وے کے لیے میک VPN کلائنٹ کو کیسے چنیں

چھ میک VPN ایپس ڈاؤن لوڈ صفحہ پر نظر آتی ہیں اور ان میں سے کوئی بھی یہ نہیں بتاتا کہ آپ کا آجر کا گیٹ وے کون سا قبول کرے گا۔ یہ سٹور میں کوئی فرق نہیں ہے؛ یہ ہینڈ آف میں ایک خلا ہے۔ ایک SSL VPN ایک پروڈکٹ فیملی ہے، پروٹوکول نہیں، لہذا ایک جیسی لاگ ان اسکرین والے دو گیٹ ویز مختلف کلائنٹس کی ضرورت کر سکتے ہیں۔ یہ وہ آرڈر ہے جو میں استعمال کرتا ہوں جب کوئی مجھے میک اور سرور ایڈریس دیتا ہے: گیٹ وے کیا بولتا ہے اس کا تعین کریں، اس سے مماثل کلائنٹ کا انتخاب کریں، پھر راستوں کی تصدیق کریں اور DNS کام کے ساتھ سرنگ پر بھروسہ کرنے سے پہلے۔

گیٹ وے سے شروع کریں، ایپ اسٹور سے نہیں

ایپ آپ کے میک پر چلتی ہے، لیکن کسی اور چیز کو کنکشن قبول کرنا اور رسائی فراہم کرنا ہے: آپریٹر کے ساتھ ایک گیٹ وے، ایک پتہ، مطابقت پذیر ترتیبات اور آپ کو اجازت دینے کا طریقہ۔ ایک مفت کلائنٹ اچھا سافٹ ویئر ہوسکتا ہے اور پھر بھی ان چیزوں میں سے کوئی بھی فراہم نہیں کرسکتا۔ کام تک رسائی، گھر کا گیٹ وے اور کمرشل انٹرنیٹ سے باہر نکلنا تین مختلف نقطہ اغاز ہیں جو کہ ڈاؤن لوڈ صفحہ کا اشتراک کرتے ہیں۔

کسی بھی چیز کو انسٹال کرنے یا تبدیل کرنے سے پہلے، سروس چلانے والے سے چار جوابات حاصل کریں:

• رسائی موڈ: براؤزر پورٹل، منتخب ایپلیکیشن تک رسائی یا مکمل نیٹ ورک ٹنل۔ یہ فیصلہ کرتا ہے کہ آیا آپ کو کسی کلائنٹ کی بالکل ضرورت ہے۔

• گیٹ وے فیملی اور معاون ریلیز: پروڈکٹ، فعال سروس اور ایک کلائنٹ ورژن جو اب بھی آپ کے macOS بلڈ اور میک ہارڈویئر کو سپورٹ کرتا ہے۔

• تصدیق: پاس ورڈ پلس MFA، براؤزر سائن ان، ڈیوائس سرٹیفکیٹ یا کرنسی چیک۔ ایک کلائنٹ جس میں منظور شدہ بہاؤ کی کمی ہے وہ جڑ جائے گا اور پھر مسترد کر دیا جائے گا۔

• ملکیت: قابل بھروسہ ڈاؤن لوڈ یا انتظامی ذریعہ، مطلوبہ پروفائل اور کون اس کے ٹوٹنے پر اس کی حمایت کرتا ہے۔

ملکیت وہ چیز ہے جسے لوگ چھوڑ دیتے ہیں۔ منظم میک پر پروفائل اکثر آرگنائزیشن مینجمنٹ سسٹم کے ذریعے آتا ہے، اور اگلے چیک ان پر ہاتھ سے تیار کردہ کنفیگریشن کو تبدیل کیا جا سکتا ہے۔ پوچھیں کہ کیا آپ سے توقع کی جاتی ہے کہ آپ کسی تھرڈ پارٹی ایپ کی تلاش میں جانے سے پہلے خود کچھ بھی انسٹال کریں۔

SSL VPN ایک فیملی لیبل ہے، پروٹوکول نہیں

TLS کنکشن کی حفاظت کر سکتا ہے جب کہ اس کے اندر موجود پروڈکٹ مخصوص ایکسچینج لاگ ان، سیشن ایلوکیشن اور ٹنل ٹریفک کو سنبھالتا ہے۔ یہ اندرونی تبادلہ وہی ہے جو ایک کلائنٹ کو نافذ کرنا ہے۔ گیٹ وے HTTPS لاگ ان پیج پر پہنچنے والا براؤزر سرٹیفکیٹ چین اور ویب سرور کو ثابت کرتا ہے، اس سے یہ ثابت نہیں ہوتا کہ ایک غیر متعلقہ VPN ایپ ایک ہی مشین میں سرنگ بنا سکتی ہے۔

OpenConnect سب سے واضح مثال ہے جو میں جانتا ہوں۔ اس کا اپ اسٹریم دستاویزات مختلف گیٹ وے فیملیز کے لیے الگ الگ پروٹوکول طریقوں کی فہرست دیتا ہے اور انٹرآپریبلٹی کو آفیشل وینڈر سپورٹ سے الگ کرتا ہے۔ اگر ہر SSL VPN نے ایک پروٹوکول بولا تو وہ طریقے غیر ضروری ہوں گے۔

ایک OpenVPN پروفائل کی دوسری طرف بھی وہی حد ہوتی ہے: یہ OpenVPN-مطابقت کے لیے ایک درآمدی شکل ہے۔ TLS کو بلڈنگ بلاک کے طور پر شیئر کرنا اسے کسی صوابدیدی انٹرپرائز گیٹ وے کے لیے کنفیگریشن فائل میں تبدیل نہیں کرتا ہے۔ اسی لیے کام کرنے والا براؤزر لاگ ان غلط مثبت ہے: پورٹل تک رسائی اس وقت کامیاب ہو سکتی ہے جب کوئی سرنگ موجود نہ ہو، اور جو سرنگ سامنے آتی ہے اسے بعد میں کرنسی چیک کے ذریعے رد کر دیا جا سکتا ہے۔

گیٹ وے جو بولتا ہے اس سے کلائنٹ کو میچ کریں

ایک بار جب خاندان کو معلوم ہو جاتا ہے، انتخاب تیزی سے کم ہو جاتا ہے۔ یہ وہ میپنگ ہے جسے میں پہلے چیک کرتا ہوں، اور آخری کالم کسی بھی ایپ کی درجہ بندی سے زیادہ اہمیت رکھتا ہے۔

دو قطاریں انتباہ کی مستحق ہیں۔ بلٹ ان macOS کلائنٹ ایک حقیقی IKEv2 نفاذ ہے، عام SSL VPN کلائنٹ نہیں: اس کے لیے ڈیزائن کردہ سروس کو درست پروفائل، متوقع سرور کی شناخت اور اسناد کی ضرورت ہے، اور ایک منظم مشین پر اس پروفائل کو لاک ڈاؤن کیا جا سکتا ہے۔ OpenConnect ایک بائنری سے کئی وینڈر پروٹوکول کا احاطہ کرتا ہے، لیکن اس کا اپنا پروجیکٹ وینڈر سپورٹ کا دعوی نہیں کرتا ہے، ہوسٹ اسکیننگ، گیٹ وے پُشڈ اسپلٹ ٹنل رولز یا کوئی خاص SSO فلو صرف وینڈر کلائنٹ میں موجود ہو سکتا ہے۔

WireGuard ایک ہی شکل ہے۔ سروس ساتھیوں کو سپلائی کرتی ہے، کلائنٹ ٹنل سپلائی کرتا ہے، اور OpenVPN پروفائل اس کا متبادل نہیں ہے۔ ایک macOS شیکن: App Store کلائنٹ اپنی سرنگیں اندر رکھتا ہے ایک Network Extension، لہذا Homebrew ٹولز سے wg show انٹرفیس کے چلنے کے دوران کچھ بھی رپورٹ نہیں کرسکتے ہیں۔ اس کے بجائے راستوں اور ٹریفک سے تصدیق کریں۔

ترتیب دیں، پھر ایک مقررہ ترتیب میں تصدیق کریں

ایک کلائنٹ اور ایک پروفائل انسٹال کریں، اور جو کچھ آپ نے تبدیل کیا ہے اسے نوٹ کریں۔ منسلک کرنے سے پہلے، ایک بیس لائن کیپچر کریں تاکہ آپ بتا سکیں کہ سرنگ کیا بدلتی ہے:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

فراہم کردہ پروفائل کے ساتھ جڑیں اور وہی احکامات دہرائیں۔ مکمل سرنگ کے لیے پہلے سے طے شدہ راستے کو utun انٹرفیس کی طرف اشارہ کرنا چاہیے، اسپلٹ ٹنلنگ کے ساتھ صرف اندرونی سابقہ جات کو روٹ کیا جانا چاہیے اور آپ کا عوامی اخراج غیر تبدیل شدہ نظر آنا چاہیے۔ DNS وہ نصف ہے جو عام طور پر ٹوٹا رہتا ہے: scutil --dns اس ترتیب سے حل کرنے والوں کی فہرست بناتا ہے جو سسٹم انہیں استعمال کرے گا، اور ایک عوامی کے نیچے بیٹھا اندرونی حل کرنے والا غلط سرور کو اندرونی نام بھیجے گا۔

OpenVPN سروس کے لیے، Tunnelblick ایک معقول بلا قیمت کلائنٹ ہے، اور اس کا اپنا گائیڈ گمشدہ نصف کے بارے میں براہ راست ہے: یہ VPN سروس فراہم نہیں کرتا ہے۔ آپ کو دیے گئے .ovpn پر ڈبل کلک کریں، Tunnelblick اسے انسٹال کرنے دیں، اور اس پر بھروسہ کرنے سے پہلے اپنے macOS ورژن کے خلاف ریلیز کو چیک کریں۔

وینڈر گیٹ وے کے لیے میں اکثر کمانڈ لائن سے OpenConnect کے ساتھ ٹیسٹ کرتا ہوں:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

یہ آلہ موصول ہونے والے سرٹیفکیٹ کو پرنٹ کرتا ہے اور کسی نامعلوم سلسلہ پر بھروسہ کرنے سے پہلے انتظار کرتا ہے، وہ پرامپٹ ایک خصوصیت ہے، اور --servercert pin-sha256:... کے ساتھ پن کرنا اس انتباہ کو قبول کرنے سے بہتر ہے جسے آپ نے نہیں پڑھا ہے۔ Ctrl-C سرنگ کو پھاڑ دیتا ہے، کیونکہ پیش منظر کے اوپن کنیکٹ میں کوئی کِل سوئچ نہیں ہوتا ہے اور نہ ہی دوبارہ جڑنے کی کوئی منطق ہوتی ہے۔ یہ ایک تشخیصی سیشن کے لیے ٹھیک ہے اور روزمرہ کے کام کے لیے ناقص ڈیفالٹ ہے۔

جب میچ کرنے کا کوئی گیٹ وے نہ ہو

کچھ لوگ الٹا مسئلہ لے کر آتے ہیں: کوئی آپریٹر، کوئی پتہ، کوئی سروس نہیں۔ ایک مفت میک ایپ ہوم روٹر پر ان باؤنڈ قابل رسائی پیدا نہیں کر سکتی۔ اگر آپ کسی ہوٹل سے اپنا نیٹ ورک چاہتے ہیں تو کسی کو گھر پر گیٹ وے چلانا ہوگا، اسے پیچ لگانا ہوگا، اس کا پتہ شائع کرنا ہوگا یا اسے حل کرنا ہوگا اور فیصلہ کرنا ہوگا کہ کون سے آلات قابل رسائی ہیں۔

اگر آپ پرائیویٹ نیٹ ورک تک رسائی کے بجائے مختلف انٹرنیٹ ایگزٹ چاہتے ہیں، تو کلائنٹ سے پہلے سروس کا انتخاب کریں۔ اسٹینڈ اکیلے کلائنٹ میں خالی پروفائل کی فہرست اکثر ٹوٹی ہوئی مفت رکنیت نہیں ہوتی ہے، ہو سکتا ہے کوئی سبسکرپشن نہ ہو اور نہ ہی کوئی سرور منسلک ہو۔ اخراجات کو بھی الگ رکھیں: کلائنٹ کا لائسنس، سروس پلان اور خود سے چلنے والا گیٹ وے تین مختلف خریداریاں ہیں۔

کام کا میک پالیسی پرت کا اضافہ کرتا ہے۔ بغیر چارج کی ایپ منسلک ہونے پر بھی غلط ہو سکتی ہے، کیونکہ منظور شدہ کلائنٹ متبادل کی کمی کی وجہ سے ڈیوائس کی جانچ یا تصدیق کے بہاؤ کو نافذ کر سکتا ہے۔ غیر متعلقہ ایپس کے درمیان اسناد کاپی کرنے کے بجائے ایک منظور شدہ متبادل کے لیے پوچھیں، اور پلیٹ فارم کے تحفظات کو غیر فعال کرنے کو مطابقت کے حل کے طور پر مت سمجھیں۔

ایک ریموٹ ڈیسک ٹاپ ناظر بھی ایک مختلف پروڈکٹ ہے۔ یہ آپ کو دوسرے کمپیوٹر پر ایک سیشن دکھاتا ہے، یہ آپ کے میک مقامی ایپلی کیشنز کو نیٹ ورک کا راستہ نہیں دیتا ہے جو ایک سرنگ فراہم کرتا ہے۔

پہلے حقیقی سیشن سے پہلے ایک مختصر چیک لسٹ

گیٹ وے فیملی اور ایکسیس موڈ کو تحریری طور پر نام دیں، صرف وہی کلائنٹ انسٹال کریں جو ان سے میل کھاتا ہو، اور اپنے استعمال کردہ پروفائل کو ریکارڈ کریں۔ پھر حقیقی ٹریفک کے ساتھ تین چیزوں کی تصدیق کریں: سرنگ نصب کیے جانے والے راستے، حل کرنے والا آرڈر، اور ایک داخلی ایپلی کیشن جو آئی پی کے بجائے نام کے ذریعے پہنچی۔

اگر کچھ ناکام ہوجاتا ہے تو، ایک وقت میں ایک متغیر کو تبدیل کریں: کلائنٹ، پروفائل، تصنیف کا بہاؤ۔ ایک پورٹل جو لوڈ ہوتا ہے جب سرنگ شروع ہونے سے انکار کرتی ہے ویب سرور کے مسئلے کو کلائنٹ کی مطابقت سے الگ کرتا ہے۔ ایک بار جب ورک سروس جواب دیتی ہے اور عوامی راستہ توقع کے مطابق برتاؤ کرتا ہے، تو آپ کے پاس اندازوں کے ڈھیر کے بجائے ایک نامی، معاون انتظام ہوتا ہے۔