جب IKEv2 TS_UNACCEPTABLE واپس کرے، اصل سب نیٹ کا موازنہ کریں

TS_UNACCEPTABLE کو خراب پروفائل نہیں، بلکہ کوریج پر اختلاف سمجھ کر پڑھیں۔ گیٹ وے کہہ رہا ہے کہ دونوں فریق اس بات پر متفق نہیں ہو سکے کہ یہ ٹنل کون سے پتے لے جا سکتی ہے۔ اُس لمحے IKE SA پہلے ہی قائم ہو سکتی ہے، اسی لیے کلائنٹ پیچھے کسی چائلڈ SA کے بغیر بھی منسلک دکھ سکتا ہے۔ ایک بار یوں ترتیب دیں تو کام مشینی ہو جاتا ہے۔ دونوں فریقوں کے مطلوبہ سابقے لکھیں، ایک ہی سمت میں ان کا موازنہ کریں، اور جب تک وہ مل نہ جائیں تنگ کرتے جائیں۔

پہلے مطلوبہ جوڑیاں لکھیں

ترتیب کو چھونے سے پہلے چار قدریں لکھیں: آغاز کرنے والے کی ماخذ حد، اُس کی منزل حد، اور وہی جوڑی جواب دینے والے کی طرف سے۔ ہر ایک کا پتہ خاندان بھی درج کریں۔ IPv4 حد اور IPv6 حد الگ انتخابی اقسام ہیں، اور کسی کو بھی دوسرے کے پے لوڈ میں نہیں موڑا جا سکتا۔

پالیسی جو بھی پروٹوکول یا پورٹ پابندی رکھتی ہے، شامل کریں۔ صرف TCP 445 کو فائل سرور کی طرف اجازت دینے والا قانون، اُس سب نیٹ سے تنگ مجموعہ بیان کرتا ہے جس میں وہ بیٹھتا ہے۔ اگر یہ آپ کے نوٹس سے باہر رکھا تو گفت و شنید کا نتیجہ ایسی وجوہ سے بے ربط دکھے گا جو آپ کو نظر نہیں آتیں۔

موازنہ سے پہلے لیبل اُلٹیں

مقامی اور بعید نسبتی لیبل ہیں۔ کلائنٹ کا مقامی سابقہ گیٹ وے کی بعید حد ہے، اور گیٹ وے کی مقامی حد کلائنٹ کی بعید حد ہے۔ اسی لیے دونوں سروں کے اسکرین شاٹ کبھی نہیں ملتے، اور اُن کا لفظی موازنہ دوپہر ضائع کرنے کا عام طریقہ ہے۔

جواب دینے والا تجویز کو رد کرنے کے بجائے قابل قبول ذیلی مجموعے تک تنگ کر سکتا ہے۔ وہ نتیجہ صاف ناکامی سے بدتر ہے، کیونکہ وہ آدھا کام کرتا ہے۔ جب پالیسی 10.0.5.0/24 کی اجازت دیتی ہے تو 10.0.0.0/16 مانگیں، اور آپ صرف اُس /24 کو ڈھانپنے والی چائلڈ SA پر ختم ہو سکتے ہیں۔ ایک ہوسٹ جواب دیتا ہے، باقی سب باہر رہ جاتا ہے، اور کلائنٹ میں کچھ بھی یہ نہیں کہتا۔ گفت و شنید کامیاب ہونے کا نتیجہ نکالنے سے پہلے مانگے گئے نہیں، بلکہ قبول کیے گئے انتخابی عناصر پڑھیں۔

ڈیفالٹ راستہ مانگنے والی road warrior پروفائلیں یہاں مسلسل آتی ہیں۔ منقسم رسائی کے لیے بنایا گیا گیٹ وے پوری حد کی تجویز کو اپنے سب نیٹ تک تنگ کرتا ہے، اور کلائنٹ کو تنگ نتیجہ ماننا ہوگا یا بلند آواز میں ناکام ہونا ہوگا۔

ایک ہی کوشش سے انکار پڑھیں

ایک ہی کنکشن کوشش کے دونوں لاگ جمع کریں۔ محفوظ پروفائل دکھاتا ہے کہ آپ نے کیا ترتیب دیا، یہ نہیں کہ کیا تجویز ہوا، اور strongSwan پر swanctl --log موصول شدہ اطلاع کو اُن انتخابی عناصر کے ساتھ چھاپتا ہے جو اُس نے اٹھائے تھے۔

پھر دیکھیں کہ واقعی کیا نصب ہوا۔ swanctl --list-sas چائلڈ SA کے انتخابی عناصر دکھاتا ہے، اور ip xfrm policy وہی حدود کرنل پالیسی اندراجات کے طور پر دکھاتا ہے۔ اُس فہرست میں وہ چائلڈ SA جس کے انتخابی عناصر آپ نے نہیں چاہے تھے، تنگ ہونے کا واقعہ ہے؛ لاگ میں چائلڈ SA کے بغیر TS_UNACCEPTABLE ہونا انکار ہے۔

وہاں رہتے ہوئے قریبی پڑوسیوں کو الگ کریں۔ INVALID_SELECTORS قائم شدہ چائلڈ SA کے اندر کے انتخابی عنصر کی شکایت کرتا ہے، جبکہ INTERNAL_ADDRESS_FAILURE کا مطلب ہے کہ جواب دینے والا مجازی پتہ مختص نہیں کر سکا، یہ کوریج نہیں بلکہ تالاب کا مسئلہ ہے۔

دیکھیں کیا خاموشی سے مجموعہ چھوٹا کرتا ہے

تین چیزیں کچھ کہے بغیر انتخابی مجموعہ چھوٹا کرتی ہیں۔ پہلی جواب دینے والے کی پالیسی ہے، سب نیٹ فہرستوں، گروہی قواعد یا فی صارف اجازت کے ذریعے تجویز کو ذیلی مجموعے میں لاتی ہے۔ دوسرا پتہ خاندان ہے: دوہری اسٹیک کلائنٹ اکثر IPv4 کے ساتھ IPv6 تجویز کرتا ہے اور گیٹ وے کی کبھی ترتیب نہ دی گئی حدود کے لیے انکار پاتا ہے۔

تیسری پروٹوکول اور پورٹ پابندیاں ہیں۔ جہاں پالیسی صرف TCP 445 کی اجازت دیتی ہے، وہاں چائلڈ SA اوپر آ سکتی ہے جبکہ ICMP اور UDP اُس سے باہر رہتے ہیں، اور صارف ٹوٹی ٹنل کی اطلاع دیتا ہے جبکہ صرف ایک ہی پروٹوکول کی اجازت تھی۔

اسی لیے صرف پتے چوڑے کرنے سے پورٹ محدود پالیسی درست نہیں ہو سکتی، اور یہی وہ صورت ہے جس کے تین دور مسئلہ حل کرنے کے بعد بھی بلا تبدیلی بچنے کا امکان سب سے زیادہ ہے۔

موزوں ٹریفک سے کوریج ثابت کریں

چائلڈ SA نصب ہونے کے بعد ایک درخواست بھیجیں جو یقینی طور پر قبول شدہ حدود کے اندر پڑے۔ حالت کے نشان کے بجائے کاؤنٹر دیکھیں: پیکٹ کے ملنے اور محفوظ ہونے پر ip -s xfrm state اور ip xfrm policy کے پیچھے کاؤنٹر بڑھتے ہیں۔ حقیقی ٹریفک کے بعد بھی صفر پر رہنے والی بائٹ تعداد کا مطلب ہے کہ کرنل نے وہ پالیسی کبھی نہیں چنی۔

وہ صفر راستہ بندی یا پالیسی ترتیب کا مسئلہ ہے، کرپٹو کا نہیں۔ صارف کی جگہ سے یہ انتخابی انکار جیسا ہی دکھتا ہے، اسی لیے پروفائل دوبارہ کھولنے سے پہلے کاؤنٹر جمع کرنا مناسب ہے۔ صرف ایک سمت میں بڑھنے والے کاؤنٹر اُس کے بجائے واپسی راستے کی طرف اشارہ کرتے ہیں۔

قبول شدہ جوڑی کو ٹکٹ میں، اصل میں مانگی گئی حد کے ساتھ لکھ کر مکمل کریں۔ انتخاب کو ضرورت جتنا تنگ رکھیں، کیونکہ نجی حد کو تمام پتوں سے بدل کر غلطی ہٹانا اکاؤنٹ کے لیے منظور شدہ سے کہیں زیادہ رسائی دیتا ہے۔