IKEv2 پروفائل متعین ہے مگر منسلک نہیں: زنجیر کا سراغ لگائیں

IKEv2 پروفائل محفوظ شدہ کنفیگریشن میں ہے، کلید کا حلقہ بھی وہیں ہے، اور ٹنل پھر بھی اوپر نہیں آتا۔ Cisco IOS XE پر پروفائل ایک آبجیکٹ ہے جو شناخت کی مطابقت اور توثیق کے انتخاب رکھتا ہے، اور کوئی آبجیکٹ اس وقت تک کچھ نہیں کرتا جب تک کوئی دوسرا آبجیکٹ اس کا حوالہ نہ دے اور کوئی انٹرفیس اس آبجیکٹ کو کسی راستے سے نہ جوڑے۔ زیادہ تر ناکام فیز 1 ڈیبگ سیشن ان حوالوں میں سے ایک چھوڑ دیتے ہیں۔ کسی بھی تجویز یا پالیسی کو بدلنے سے پہلے کلید کے حلقے سے باہر کی طرف زنجیر پڑھیں۔

پروفائل آبجیکٹ دراصل کیا ہے

IKEv2 پروفائل دور کی شناخت کی مطابقت، مقامی اور دور کی توثیق کے طریقے، اور پہلے سے مشترکہ کلید والے ڈیزائنوں کے لیے کلید کے حلقے کا حوالہ رکھتا ہے۔ یہ بیان کرتا ہے کہ peer کیسے پہچانا جاتا ہے اور خود کو کیسے ثابت کرتا ہے، اور کسی انٹرفیس کا نام نہیں لیتا۔

کلید کا حلقہ ایک الگ آبجیکٹ ہے جو پہلے سے مشترکہ کلیدیں رکھتا ہے۔ Crypto map یا IPsec پروفائل تیسرا آبجیکٹ ہے جو IKEv2 پروفائل کا حوالہ دیتا ہے اور تحفظ کی ترتیبات فراہم کرتا ہے۔ انٹرفیس کا اتصال چوتھا مرحلہ ہے، جہاں crypto map لاگو ہوتا ہے یا tunnel protection فعال ہوتا ہے۔ ہر چھلانگ ایک الگ حوالہ ہے، اور گمشدہ چھلانگ ہر آبجیکٹ کو الگ الگ درست دکھائی دیتی ہے۔

حوالوں کی زنجیر ترتیب سے دیکھیں

اس کلید کے حلقے سے شروع کریں جس کا نام پروفائل لیتا ہے، پھر اس پروفائل نام کی تصدیق کریں جس کا حوالہ crypto map یا IPsec پروفائل دیتا ہے، اور پھر وہ انٹرفیس تلاش کریں جو اس آخری آبجیکٹ کو استعمال کرتا ہے۔ ہر نام اس آبجیکٹ کے ساتھ لکھیں جو اسے استعمال کرتا ہے؛ یہ مختصر فہرست یہ جانچنے سے زیادہ مفید ہے کہ ہر متوقع بلاک کنفیگریشن میں کہیں موجود ہے۔

عام ٹوٹ پھوٹ میکانیکی ہے۔ پروفائل نام اس نام سے ایک حرف مختلف ہے جس کا حوالہ crypto map دیتا ہے۔ Crypto map موجود ہے مگر کبھی انٹرفیس پر لاگو نہیں ہوا۔ Tunnel protection کا حکم ایسے IPsec پروفائل کی طرف اشارہ کرتا ہے جو کسی دوسرے IKEv2 پروفائل کا حوالہ دیتا ہے۔ واضح اتصال کے بغیر responder ایک دستاویزی صورت ہے، مگر اتصال کے بغیر initiator بس اس راستے کے لیے تشکیل شدہ نہیں۔

crypto ikev2 keyring KR-SITE
 peer SITE-B
  address 203.0.113.9
crypto ikev2 profile IKEV2-SITE
 match identity remote address 203.0.113.9 255.255.255.255
 keyring local KR-SITE
crypto ipsec profile IPSEC-SITE
 set ikev2-profile IKEV2-SITE
interface Tunnel100
 tunnel protection ipsec profile IPSEC-SITE

اس اقتباس کو سانچہ نہیں، زنجیر کی طرح پڑھیں۔ انٹرفیس IPsec پروفائل کا نام لیتا ہے، IPsec پروفائل IKEv2 پروفائل کا نام لیتا ہے، اور IKEv2 پروفائل کلید کے حلقے کا نام لیتا ہے۔ ان میں سے کوئی بھی نام توڑیں اور کنفیگریشن پھر بھی تجزیہ ہوتی ہے، اسی لیے روٹر اسے قبول کرتا ہے اور ٹنل نیچے رہتا ہے۔

Crypto map اور tunnel protection متبادل ہیں

Cisco دو اتصالی ترتیبوں کی دستاویز کرتا ہے۔ Crypto map کسی انٹرفیس پر لاگو ہو سکتا ہے اور اپنے set حکم کے ذریعے IKEv2 پروفائل کا حوالہ دے سکتا ہے۔ Tunnel protection ایک IPsec پروفائل کو ٹنل انٹرفیس سے جوڑتا ہے۔ دونوں درست ہیں، اور انہیں دوہرے تحفظ کے طور پر اکٹھے نصب کرنے کے لیے نہیں بنایا گیا۔

ٹنل کا ماخذ اور منزل بیرونی ترسیل کی ترتیب متعین کرتے ہیں، اور وہ تحفظ کے اتصال سے الگ ہیں۔ LAN انٹرفیس، ٹنل انٹرفیس اور بیرونی ماخذ انٹرفیس تین مختلف کردار ادا کرتے ہیں۔ LAN انٹرفیس پر crypto map ٹنل کی حفاظت نہیں کرتا، اور جس ٹنل پر تحفظ فعال ہو مگر قابل رسائی ماخذ پتہ نہ ہو وہ کبھی اپنے peer کو پیکٹ نہیں بھیجتا۔

لوڈ شدہ حالت دیکھیں، صرف متن نہیں۔ نصب شدہ ریلیز میں وہ احکام ہیں جو تشکیل شدہ آبجیکٹس کو طے شدہ سیشن سے جوڑتے ہیں، اور ٹکٹ میں وہی نقل کرنے چاہئیں۔ محفوظ شدہ کنفیگریشن ارادے کا ثبوت ہے؛ سیشن جدول راستے کا ثبوت ہے۔

Responder کی استثنا initiator کے لیے قاعدہ نہیں

IOS XE گائیڈ نوٹ کرتی ہے کہ responder پر IKEv2 پروفائل کا واضح اتصال اختیاری ہو سکتا ہے۔ یہ استثنا توثیق یا شناخت کی جانچ کو ختم نہیں کرتا، اور جس طرف سے رابطہ شروع ہوتا ہے وہاں پروفائل کو اختیاری نہیں بناتا۔

اگر آپ کا روٹر شروع کرتا ہے تو اتصال کو لازمی سمجھیں اور شروع سے آخر تک اس کا سراغ لگائیں۔ اگر آپ کا روٹر صرف جواب دیتا ہے تو تصدیق کریں کہ آنے والے peer سے دراصل کون سا پروفائل مطابقت رکھتا تھا، کیونکہ responder انٹرفیس حوالے کے بجائے شناخت سے پروفائل منتخب کر سکتا ہے۔

راستہ جانچیں، محفوظ شدہ کنفیگریشن نہیں

جب اتصال مطابقت کریں تو ایک مجاز ایپلیکیشن آزمائیں اور اس کا اندرونی ماخذ، منزل اور راستہ درج کریں۔ روٹر سے شروع ہونے والی درخواست LAN سے آگے بھیجے جانے والے ٹریفک سے مختلف ماخذ پتہ استعمال کر سکتی ہے، اور تحفظ کا دائرہ ان میں سے صرف ایک کو ڈھک سکتا ہے۔

درست طور پر منسلک تعریف یہ ثابت نہیں کرتی کہ سلیکٹر، واپسی کا راستہ اور انٹرفیس پالیسی آپ کے بہاؤ کو ڈھکتی ہے۔ حقیقی ٹریفک بھیجیں اور طے شدہ حالت پڑھیں، پھر دوبارہ منسلک ہونے کے بعد دہرائیں تاکہ آپ جان سکیں کہ زنجیر نئی گفت و شنید برداشت کرتی ہے۔ وضاحت کو IOS XE IKEv2 تک محدود رکھیں؛ تاریخی IKEv1 crypto map تعیناتی کا آبجیکٹ ماڈل مختلف ہے اور اسے اس زنجیر سے ڈیبگ نہیں کرنا چاہیے۔

جب ٹنل کام کرے تو وہ چار نام تبدیلی کے ریکارڈ میں لکھیں۔ crypto map کو اگلی بار چھونے والے شخص کو یہ درکار ہوں گے، اور زنجیر ڈیزائن کا وہ حصہ ہے جو چلتی کنفیگریشن بیان نہیں کرتی۔