IKEv2 کا مردہ ساتھی کی شناخت آپ کی ایپ کو نہیں جانچتا

IKEv2 کی زندہ ہونے کی جانچ ایک سوال پوچھتی ہے: کیا دوسرا ساتھی محفوظ کنٹرول تعلق پر اب بھی جواب دے رہا ہے۔ یہ نہیں ناپتی کہ کوئی اندرونی ایپلیکیشن صحت مند ہے، گیٹ وے کے پیچھے کوئی راستہ موجود ہے، یا براؤزنگ تیز محسوس ہوتی ہے۔ جانچ اس وقت بھی پاس ہو سکتی ہے جب سرنگ کے پیچھے ہر مفید چیز ناکام ہو۔

ٹائمر بدلنے سے پہلے دو قسم کے ثبوت الگ الگ پڑھیں۔

زندہ ہونے کی جانچ دراصل کیا پوچھتی ہے

زندہ ہونے کا تبادلہ قائم شدہ IKE سیکیورٹی ایسوسی ایشن کے اندر بھیجا جاتا ہے اور مقررہ ونڈو میں جواب کی توقع کرتا ہے۔ کامیابی کا مطلب ہے کہ ساتھی کا IKE نفاذ اب بھی موجود ہے اور اب بھی بات کرنے کو تیار ہے۔ یہ ٹریفک لے جانے والی چائلڈ سیکیورٹی ایسوسی ایشنوں کے بارے میں کچھ نہیں کہتی، گیٹ وے سے آگے روٹنگ کے بارے میں بھی کچھ نہیں، اور اس سروس کے بارے میں بھی کچھ نہیں جس کے لیے آپ نے سرنگ کھولی۔ یہ تین الگ سوال ہیں، تین الگ ناکامی کے طریقوں کے ساتھ۔

یہی فرق طے کرتا ہے کہ سیشن خاموش ہونے پر کہاں دیکھیں۔ ڈیٹا راستہ ٹوٹا ہونے کے باوجود جواب دیتا رہنے والا ساتھی پالیسی، روٹنگ یا نیچے کی سروس کی طرف اشارہ کرتا ہے۔ جواب دینا بند کرنے والا ساتھی رسائی یا دور کے سرے کی اپنی حالت کی طرف اشارہ کرتا ہے۔

براؤزر سے پہلے سیکیورٹی ایسوسی ایشنز پڑھیں

ڈیمون سے پوچھنے پر کنٹرول حالت اور ڈیٹا حالت الگ الگ درج ہوتی ہیں، اور کاؤنٹر بتاتے ہیں کہ کچھ کوشش ہوئی بھی یا نہیں۔ کبھی قائم نہ ہونے والی چائلڈ ایسوسی ایشن اس سے بالکل مختلف دکھتی ہے جو قائم ہوئی اور پھر پیکٹ گزرنا بند کر دیا، حالانکہ دونوں ایک ہی صارف کی شکایت پیدا کرتی ہیں۔

ipsec statusall | head -n 40
swanctl --list-sas
ip xfrm state | grep -E 'proto|mode'

شکایت کے لمحے کے کاؤنٹروں کے ساتھ حالتوں کے نام ٹکٹ میں ویسے ہی لکھیں۔ سرنگ نیچے جیسی تفصیل چھپاتی ہے کہ دو ایسوسی ایشنوں میں سے کون سی ختم ہوئی، اور عام طور پر یہی واحد حقیقت ہے جو رکھنے کے قابل ہے۔

راستے کی ناکامی بالکل مردہ ساتھی جیسی دکھتی ہے

گیٹ وے کنٹرول تبادلوں کا جواب دے سکتا ہے جبکہ نجی سرور آف لائن ہو، آگے بھیجا گیا راستہ غائب ہو، یا اندرونی نام کا حل مکمل طور پر ناکام ہو جائے۔ کلائنٹ کی نظر سے یہ سب سیشن چل رہا ہے اور منزل نہیں چل رہی، جیسا دکھتا ہے۔ واپسی کے راستے کو آگے کے راستے جتنی احتیاط سے جانچیں، کیونکہ دور کی طرف کی غیر متناسب روٹنگ صرف ایک سمت میں خاموشی پیدا کرتی ہے۔

سرنگ چل رہی ہے یا نہیں یہ جانچنے کے بجائے مطلوبہ ایپلیکیشن کو براہ راست جانچیں اور وہ پتہ بتائیں جس پر اس نے کوشش کی۔ گیٹ وے کو پنگ یہ ثابت کرتا ہے کہ گیٹ وے جواب دیتا ہے؛ اس نے کبھی ثابت نہیں کیا کہ ایپلیکیشن نے جواب دیا۔ وہ صحیح پتہ ریکارڈ کریں جس پر ایپلیکیشن نے کوشش کی۔ وہ سٹرنگ بعد میں تلاش کو محدود کرتی ہے، اور یہی وہ واحد حقیقت ہے جو ٹکٹ عام طور پر چھوڑ دیتا ہے۔

ٹائمر تشخیص سے دور رکھیں

شناخت کا وقفہ چھوٹا کرنا کارکردگی میں تبدیلی نہیں ہے اور صلاحیت نہیں بڑھاتا۔ پیکٹ کے ضیاع میں یہ بدلتا ہے کہ ناکامی کتنی جلدی پہچانی جاتی ہے، جو کچھ بہتر کیے بغیر علامت کو مختلف دکھا سکتا ہے۔ پہلے ناکامی کا اصل وقت ریکارڈ کریں، پھر فیصلہ کریں کہ رواداری اس لنک کے لیے غلط ہے یا نہیں جو واقعی آپ کے پاس ہے۔

NAT میپنگ کی تجدیدات بھی اسی زمرے میں آتی ہیں۔ یہ ترجمہ شدہ راستے کو قابل استعمال رکھتی ہیں، اور یہ ثبوت نہیں کہ دور کی ایپلیکیشن کام کرتی ہے۔

مکمل بحالی پالیسی بتاتی ہے کہ ساتھی کو مردہ قرار دیے جانے پر کلائنٹ کو کیا کرنا چاہیے: دوبارہ شروع، بند یا روکے رکھنا، اور اس دوران دیگر ٹریفک کیا کر سکتی ہے۔ اس کے بغیر وہی واقعہ ہر سہ ماہی میں شروع سے دوبارہ تشخیص ہوتا ہے۔