صرف شامل کریں یا صرف خارج کریں اسپلٹ ٹنلنگ: ڈیفالٹ کون سا؟
فہرست بنانے سے پہلے ڈیفالٹ چنیں: صرف وہی ٹنل میں بھیجیں جس کا نام لیں، یا سب بھیجیں اور استثنائیں کاٹ دیں۔ پھر وہ ایپ آزمائیں جسے کسی نے فہرست میں شامل نہیں کیا۔
اپنے VPN کلائنٹ کا روٹنگ حصہ کھولیں تو آپ کو دو مختلف شکل کے کنٹرول نظر آئیں گے جو اکثر ایک ہی لیبل رکھتے ہیں۔ ایک آپ سے کہتا ہے کہ وہ منزلیں فہرست کریں جو ٹنل میں آنی چاہئیں، اور باقی سب مقامی نیٹ ورک استعمال کرتا رہتا ہے۔ دوسرا فرض کرتا ہے کہ سب کچھ ٹنل سے گزرتا ہے اور پوچھتا ہے کہ کیا واپس کاٹنا چاہیے۔ دونوں پہلے امتحان میں چلنے والی ٹنل دیتے ہیں اور دونوں فہرست میں سطریں شامل کر کے سنبھالے جاتے ہیں، اسی لیے فرق اُس وقت تک نظر نہیں آتا جب تک کوئی نئی چیز انسٹال نہ کرے۔
یہ خصوصیت نہیں بلکہ ڈیفالٹ کا انتخاب ہے۔ فہرست میں بیس اندراجات آنے سے پہلے اسے طے کریں۔
ڈیفالٹ بروشر سے نہیں، کلائنٹ سے پڑھیں
WireGuard میں یہ فیصلہ غیر معمولی طور پر نمایاں ہے، کیونکہ AllowedIPs صرف شامل کرنے کی فہرست ہے اور کچھ نہیں۔ 0.0.0.0/0, ::/0 والا پیئر سب کچھ ٹنل کرتا ہے، اور 10.20.0.0/16 والا پیئر صرف وہی نیٹ ورک ٹنل کرتا ہے۔ خارج کرنے کا نحو موجود نہیں، لہٰذا اگر ایک ذیلی نیٹ ورک باہر رکھنا ہو تو باقی تمام سابقے گننے پڑیں گے یا انٹرفیس سے باہر پالیسی روٹنگ شامل کرنی پڑے گی۔
OpenVPN مخالف سمت سے اسی جگہ پہنچتا ہے: redirect-gateway def1 مکمل ٹنل قائم کرتا ہے اور مخصوص route ہدایات کچھ سابقے شامل کرتی ہیں یا انہیں دوبارہ لکھتی ہیں۔ تجارتی کلائنٹ عموماً دونوں کو چیک باکس اور منزلوں کی جدول کے پیچھے چھپاتے ہیں، اس لیے لیبل پر بھروسا کرنے سے پہلے پڑھیں کہ جدول درحقیقت کس میں ترمیم کرتی ہے۔
پوچھنے کی بات چیک باکس کا نام نہیں ہے۔ پوچھنے کی بات یہ ہے کہ اُس پیکٹ کا کیا ہوتا ہے جس کی منزل کسی بھی فہرست میں نہ ہو۔ اس کا تحریری جواب دیں، باقی ترتیب اسی سے نکلتی ہے۔ یہ سوال چھوڑ دیں تو پہلی غیر واضح خرابی اُس دن کلائنٹ کے سب سے قریب شخص کے فیصلے سے طے ہوگی۔
اُس ایپ کا پیچھا کریں جسے کسی نے فہرست میں شامل نہیں کیا
صرف شامل کرنے والے ڈیزائن میں وہ ایپ مقامی نیٹ ورک اور مقامی DNS کے ساتھ سیدھی باہر جاتی ہے۔ صرف خارج کرنے والے ڈیزائن میں یہ سرور کی اجازت تک ٹنل سے گزرتی ہے، اور نئے SaaS اوزار کے پہلے دن چلنے یا VPN نے اسے توڑ دیا والی درخواست کے درمیان فرق اکثر یہیں ہوتا ہے۔
کوئی بھی ڈیفالٹ بذات خود زیادہ محفوظ نہیں۔ صرف شامل کرنا ٹنل کے دائرے کو تنگ کرتا ہے اور مقامی نیٹ ورک کو سب سے کم مزاحمت کا راستہ بناتا ہے، جبکہ صرف خارج کرنا ٹنل کو معمول کا راستہ مان کر استثناؤں کو استثنا سمجھتا ہے، جو اُس چیز کے قریب ہے جو بیشتر کارپوریٹ پالیسیاں واقعی مراد لیتی ہیں۔
| Question | Include-only | Exclude-only |
|---|---|---|
| Unlisted new app | goes direct | goes through the tunnel |
| A site that breaks over the VPN | add it to the list | carve it out |
| Internal names still resolve | only if routed and served | usually, until split DNS says otherwise |
| Upkeep | one entry per internal service | one entry per misbehaving public service |
دیکھیں کہ پلیٹ فارم کس قسم کی اشیاء فہرست کرتا ہے
Android کا VpnService.Builder اجازت یافتہ ایپس کی فہرست اور ممنوع ایپس کی فہرست کو دو الگ ماڈلز کے طور پر پیش کرتا ہے، اور فی ایپ قواعد منزل کے بجائے پیکیج سے چنتے ہیں۔ ایسی فہرست میں رکھا براؤزر ہر اُس منزل کو ساتھ لے کر چلتا ہے جو وہ کھولتا ہے، یہ روٹ جدول سے مختلف باریکی ہے اور چلتی ہوئی ایپ کے اندر ایک خراب سائٹ بھی درست نہیں کر سکتا۔
ڈیسک ٹاپ کلائنٹ عموماً دونوں اقسام ایک ہی انٹرفیس میں ملاتے ہیں، لہٰذا جانچیں کہ آپ جو سطر شامل کر رہے ہیں وہ پیکیج ہے، ہوسٹ نام ہے یا سابقہ۔ یہ مختلف انداز میں ناکام ہوتے ہیں اور مختلف جگہ حل ہوتے ہیں۔ ہوسٹ نام کی سطر عموماً روٹ اور نام بن جاتی ہے، اور پیکیج کی سطر کلائنٹ کے اندر پالیسی کا فیصلہ بنتی ہے۔ لکھ لیں کہ کون سی شامل کی، کیونکہ بعد میں خرابی دور کرنے والا دوسری فرض کرے گا۔
ناکامی کی حالت آزمائیں، صرف آسان راستہ نہیں
ٹنل سے خارج کی گئی ایپ کو خودبخود صاف براہِ راست رسائی نہیں ملتی۔ اگر کلائنٹ VPN کے بغیر بلاک کرنے کا قاعدہ بھی نافذ کرتا ہے تو خارج شدہ ٹریفک مکمل طور پر گرا دیا جا سکتا ہے، اور یہ روٹنگ کا فیصلہ نہیں بلکہ خراب ایپ لگتا ہے۔ اُس کیفیت کو صارف کی شکایت سے جاننے کے بجائے جان بوجھ کر آزمائیں۔
پھر DNS اور IPv6 کو الگ الگ مد کے طور پر جانچیں۔ صرف IPv4 لے جانے والی ٹنل v6 کے قابل ایپ کے لیے گھومنے کا راستہ چھوڑ دیتی ہے، اور split DNS طے کرتا ہے کہ اُس ٹریفک کے لیے داخلی نام حل ہوں گے یا نہیں جو ٹنل سے بالکل نہیں گزرتی۔ فہرست والی ایپ، فہرست سے باہر والی ایپ، ایک نام کی تلاش اور ایک دوبارہ رابطہ چلائیں، اور نتائج ترتیب کے ساتھ رکھیں۔
ڈیفالٹ وہاں لکھیں جہاں اگلا شخص اسے ڈھونڈ سکے
منتخب ڈیفالٹ، استثنائیں اور اُن کے مالک کو کلائنٹ پروفائل والی جگہ پر ہی درج کریں، کیونکہ اگلا منتظم یہ استدلال پڑھے بغیر اندراج شامل کرے گا۔ تاریخ اور ہر استثنا کی وجہ لکھیں، تاکہ بعد میں درست ہونے والی سائٹ کے لیے پرانا اخراج یقین سے ہٹایا جا سکے۔ بلا وجہ فہرست بے انتہا بڑھتی ہے۔
جب کوئی ایک خراب منزل کی اطلاع دے تو بنیاد نہیں، استثنا بدلیں۔ ایک سائٹ درست کرنے کے لیے ڈیفالٹ پلٹنا فہرست سے باہر ہر ایپ کو خاموشی سے ٹنل کے دوسری طرف منتقل کر دیتا ہے۔