کیا ZeroTier پر HTTP خفیف شدہ ہے؟ دیکھیں اوورلے کہاں ختم ہوتا ہے

یہ جانچیں ترتیب سے کریں اور پہلی ناکام جانچ پر رک جائیں، کیونکہ ہر جواب اگلے قدم کا مطلب بدل دیتا ہے۔ اصل سوال تنگ ہے: کیا ZeroTier نیٹ ورک پر سادہ HTTP انٹرنیٹ کے ذریعے کھلے طور پر سفر کرتا ہے؟ دو ZeroTier پیئرز کے درمیان عام طور پر نہیں، کیونکہ اوورلے اس ہاپ کو خفیف کرتا ہے۔ لیکن یہ دو آخری مقامات کے بارے میں بیان ہے، ہر اس حصے کے بارے میں نہیں جس سے کوئی درخواست گزرتی ہے۔ راؤٹر، برج یا ریورس پراکسی آخری مقام کو ہٹاتا ہے، اور اس کے پار پھر سادہ متن شروع ہو جاتا ہے۔

جانچ 1: وہ پتہ تلاش کریں جس پر براؤزر کال کرتا ہے

URL کا موازنہ اس سے کریں جو مشین کے پاس واقعی ہے۔ ip -brief addr show zt انٹرفیس اور وہ اوورلے پتہ دکھاتا ہے جو نیٹ ورک کنٹرولر نے دیا؛ اگر URL وہ پتہ استعمال کرتا ہے تو براؤزر کا ساکٹ اوورلے میں جاتا ہے۔

جب نام اس کے بجائے LAN پتے پر حل ہو، تو اوورلے شاید بالکل شامل نہ ہو، چاہے کلائنٹ کا حالت اشارہ کچھ بھی بتائے۔ ip route get 10.147.20.5 وہ انٹرفیس اور ماخذ پتہ چھاپتا ہے جو کرنل منتخب کرے گا، لہذا وہاں zt انٹرفیس کا مطلب ہے کہ پیکٹ اوورلے میں داخل ہوتا ہے اور آپ کے فزیکل NIC کا نام ہونے کا مطلب ہے کہ نہیں۔ نام ایک اور تہہ شامل کرتے ہیں: اوورلے پتے کی طرف اشارہ کرنے والا ریکارڈ LAN پتے کی طرف اشارہ کرنے والے سے مختلف برتاؤ کرتا ہے، اور تلاش کا لاحقہ یا hosts فائل کا اندراج خاموشی سے فیصلہ کر سکتا ہے کہ آپ کو کون سا ملے گا۔

جانچ 2: تصدیق کریں کہ دونوں سرے پیئر ہیں، خفیف کھولنے والا ریلے نہیں

ZeroTier پیئرز کے درمیان خفیف کرتا ہے، اور جہاں براہ راست راستہ نہیں ہوتا پیکٹ ایک جڑ کے ذریعے ریلے ہوتے ہیں جو انہیں اب بھی خفیف حالت میں آگے بھیجتا ہے۔ zerotier-cli peers ہر پیئر کا راستہ DIRECT یا RELAY کے طور پر تاخیر کے عدد کے ساتھ نشان زد کرتا ہے۔ ریلے شدہ راستہ چکر لگاتا ہے، رازداری نہیں۔

جواب بدلنے والی چیز وہ رکن ہے جو واقعی آخری مقام نہیں۔ جب پار والا رخ فزیکل LAN میں روٹ یا برج کرنے والا ZeroTier رکن ہو، تو اوورلے اسی رکن پر ختم ہوتا ہے اور اگلا ہاپ عام ایتھرنیٹ ہے۔

جانچ 3: دیکھیں درخواست کہاں پڑھنے کے قابل ہوتی ہے

جس ہوسٹ کو آپ صفحہ پیش کرنے والا سمجھتے ہیں، اس پر دوبارہ لوڈ کرتے وقت اوورلے انٹرفیس پر قبضہ کریں: sudo tcpdump -i ztxxxxxxx -A -c 5 'tcp port 80'۔ اس آؤٹ پٹ میں پڑھنے کے قابل درخواست کی سطر ثابت کرتی ہے کہ ٹریفک اس ہوسٹ پر خفیف کھل کر پہنچی، اور یہی وہ حد ہے جس کی آپ تلاش میں ہیں۔

پھر باقی LAN کی طرف رخ کرنے والے انٹرفیس پر قبضہ کریں۔ اگر وہی درخواست وہاں کھلے طور پر دکھائی دے تو اس نے ایپلیکیشن تک پہنچنے سے پہلے اوورلے چھوڑ دیا اور اس حصے کا ہر آلہ اسے پڑھ سکتا ہے۔ اگر LAN کی طرف کچھ دکھائی نہ دے اور صفحہ پھر بھی لوڈ ہو، تو ایپلیکیشن خود ZeroTier ہوسٹ پر ختم ہو رہی ہے۔

جب سامنے ریورس پراکسی ہو تو لوپ بیک پر قبضہ کرنا بھی اہم ہے، کیونکہ HTTPS قبول کر کے HTTP آگے بھیجنے والی پراکسی حد کو اپنے بیک اینڈ پر لے جاتی ہے۔

جانچ 4: راؤٹر یا برج کے پیچھے ہر ہاپ کا حساب رکھیں

اوورلے اور LAN کے درمیان روٹ کرنے کے لیے ترتیب دیا گیا رکن عام ڈیزائن ہے اور وہ جگہ ہے جہاں ان میں سے زیادہ تر مفروضے ٹوٹتے ہیں۔ اوورلے براؤزر سے راؤٹر تک کا حصہ بچاتا ہے، اس کے بعد کچھ نہیں۔ برج یہی کہانی دوسرے طریقے سے سناتا ہے: اوورلے اور فزیکل حصہ ایک ہی براڈکاسٹ ڈومین بن جاتے ہیں، اس لیے برج شدہ لیپ ٹاپ سے آنے والی درخواست عام ایتھرنیٹ سے گزرتی ہے چاہے وہ لیپ ٹاپ ZeroTier نیٹ ورک پر ہو۔

مفروضہ بنانے کے بجائے اس کا سراغ لگائیں۔ کلائنٹ سے سروس پتے تک traceroute اور گیٹ وے رکن کی روٹنگ جدول مل کر دکھاتے ہیں کہ آخری ہاپ zt ہے یا eth۔

ZeroTier بھی ایک قابل اعتماد راستہ موڈ پیش کرتا ہے جو کارکردگی کے لیے مخصوص مقامی راستوں پر ٹرانسپورٹ تحفظ چھوڑ سکتا ہے۔ اسے استعمال کرنے والا نیٹ ورک عام خفیف راستے کا مفروضہ وراثت میں نہیں پاتا، لہذا کسی کا حوالہ دینے سے پہلے نیٹ ورک کنفیگریشن پڑھیں۔ پروٹوکول دستاویز پیئر خفیف اور اس استثنا دونوں کی وضاحت کرتی ہے۔

جانچ 5: فیصلہ کریں کہ ایپلیکیشن کو ابھی کیا کرنا ہے

اوورلے میں رکنیت کسی آلے کی نیٹ ورک سے تصدیق کرتی ہے اور اس بارے میں کچھ نہیں کہتی کہ پار والی سروس وہی ہے جس تک آپ پہنچنا چاہتے تھے۔ HTTPS ایک مختلف سوال کا جواب میزبان نام کو کلید سے باندھ کر دیتا ہے، اس لیے یہ دونوں حفاظتیں ایک دوسرے کی جگہ لیے بغیر اوورلیپ ہوتی ہیں۔ مجاز پیئر پھر بھی غلط سروس ہو سکتا ہے، اور متاثرہ آخری مقام درخواست کو خفیف سے پہلے اور خفیف کھلنے کے بعد دونوں وقت پڑھتا ہے۔ کوئی طریقہ کار آڈٹ نہیں کرتا کہ ایپلیکیشن کیا ریکارڈ کرتی ہے۔

قابلِ دوبارہ استعمال سیشن یا پاس ورڈ والی ہر چیز کے لیے، TLS ایپلیکیشن پر یا آپ کے زیرِ کنٹرول پراکسی پر ختم کریں اور سرٹیفکیٹ کی تصدیق آن رکھیں۔ جہاں پرانی سروس کو سادہ HTTP پر ہی رہنا ہو، وہاں وہ درست ہوسٹ سے ہوسٹ راستہ لکھیں جو یہ استعمال کر سکتی ہے، کون اس تک پہنچ سکتا ہے اور کون سا حصہ غیر محفوظ رہتا ہے؛ آنے والے جائزہ لینے والے کو یہی نوٹ درکار ہوتا ہے۔

"VPN منسلک ہے" ان میں سے کسی کا جائزہ نہیں۔ دیانت دار نسخہ دونوں سرے، ان کے درمیان راستہ اور پہلا غیر ڈھکا ہاپ نام کرتا ہے۔

کیپچر آؤٹ پٹ اور پیئر فہرست کو سروس دستاویز کے پاس رکھیں، تاکہ راستہ بدلنے یا برج شامل کرنے والا کوئی بھی دیکھ سکے کہ وہ کون سا مفروضہ توڑنے لگا ہے۔