Mac IKEv2 پروفائل میں IncludeAllNetworks کیا کرتا ہے؟

نیٹو IKEv2 پروفائل میں دلچسپ چیز کوئی چیک باکس نہیں بلکہ IncludeAllNetworks ہے، اور یہ جس چیز کو بدلتا ہے وہ اس بات کا دائرہ ہے کہ سسٹم کو ٹنل سے باہر کیا بھیجنے کی اجازت ہے۔ اسے 1 پر رکھیں تو macOS اس ٹنل کو عملاً تمام IP ٹریفک کے راستے کے طور پر لیتا ہے، سوائے ان استثنات کے جو وہ متعین کرتا ہے اور جنہیں آپ بڑھا سکتے ہیں۔ چونکہ یہ مینو میں نہیں بلکہ پروفائل ڈکشنری میں رہتا ہے، اس لیے یہ وہ معنی بھی نہیں رکھتا جو زیادہ تر لوگ تمام ٹریفک بھیجیں کا جملہ پڑھ کر سمجھتے ہیں۔

یہ کلید نیٹ ورک اسٹیک کے اندر کیا بدلتی ہے

اس کے بغیر ٹنل راستوں سے جڑے نیٹ ورک انٹرفیس کی طرح برتاؤ کرتا ہے۔ اس انٹرفیس سے گزرنے والا ڈیفالٹ روٹ زیادہ تر ٹریفک پکڑ لیتا ہے، اور کسی دوسرے انٹرفیس کا زیادہ مخصوص روٹ اپنے پریفکس کے لیے پھر بھی جیت جاتا ہے۔ یہ عام روٹنگ ہے، اور اسی لیے اسپلٹ ٹنلنگ تقریباً اتفاقی طور پر ہوتی ہے۔

کلید فعال ہونے پر دائرہ روٹنگ کی ترجیح رہنا چھوڑ دیتا ہے اور اس پالیسی میں بدل جاتا ہے کہ کس ٹریفک کو ٹنل کے علاوہ کسی اور چیز سے نکلنے کی اجازت ہے۔ سسٹم کو کنکشن زندہ رکھنے کے لیے پھر بھی نیٹ ورک تک پہنچنا ہوتا ہے، اس لیے پالیسی استثنات کے ساتھ آتی ہے، یہ ظاہر نہیں کرتی کہ وہ موجود نہیں۔ اسے فعال کرنا مشین کو کبھی بھی بالکل بے راہ نہیں چھوڑتا۔ آپ کو اس سے کم راستوں کی فہرست ملتی ہے جتنا آپ نے فرض کیا تھا، اور وہ فہرست دستاویز شدہ ہے۔

عملی نتیجہ یہ ہے کہ راستہ شامل کرنا اب نتیجہ کی وضاحت نہیں کرتا۔ اگر کسی منزل تک پھر بھی براہ راست پہنچا جا رہا ہے تو سوال یہ نہیں کہ کون سا روٹ جیتا، بلکہ یہ کہ کیا کوئی استثنا اسے ڈھکتا ہے۔

استثنات خود ترتیب کا حصہ ہیں

Apple بنیادی کلید کے ساتھ کئی استثنات دستاویز کرتا ہے، جن میں مقامی نیٹ ورک، Apple Push Notification ٹریفک، سیلولر خدمات اور ڈیوائس مواصلت شامل ہیں۔ ہر ایک کے اپنے پلیٹ فارم اور ورژن کی شرائط ہیں، اس لیے ایک ہی پروفائل macOS کی مختلف ریلیز میں مختلف برتاؤ کر سکتا ہے۔

ان میں سے کچھ استثنات فطری ہیں۔ نیٹ ورک تک رسائی قائم رکھنے کے لیے ضروری ٹریفک، بشمول کیپٹو پورٹل کی کارروائی، کی اجازت دینی ہوتی ہے ورنہ مشین کسی چیز سے جڑے بغیر رہ سکتی ہے اور اسے ٹھیک بھی نہیں کر سکتی۔

پھر دانستہ انتخاب آتے ہیں۔ گھریلو پرنٹر کی اجازت دینا کسی کام کے وسیلے کے پریفکس کی اجازت دینے جیسا فیصلہ نہیں ہے، اور دونوں APNs کو قابل رسائی رکھنے سے مختلف ہیں تاکہ اطلاعات آتی رہیں۔ آپ نے کون سے فعال کیے، یہ بعد میں کسی بگ رپورٹ سے دریافت کرنے کے بجائے خود پروفائل میں درج کریں۔

یہ ڈیفالٹ روٹ کے برابر کیوں نہیں

ڈیفالٹ روٹ روٹنگ ٹیبل کا ایک اندراج ہے، اور روٹنگ ٹیبل ہار جاتی ہے۔ زیادہ مخصوص پریفکس اسے ہرا دیتا ہے، ایپلیکیشن کے دائرے میں قائم کنکشن اسے بائی پاس کر سکتا ہے، اور بہتر میٹرک والا دوسرا انٹرفیس VPN ترتیب کو چھوئے بغیر ذمہ داری سنبھال سکتا ہے۔

Apple کی روٹنگ رہنمائی فرق کو واضح کرتی ہے: عام ڈیفالٹ کو زیادہ مخصوص راستے زیر کر سکتے ہیں، جبکہ وسیع تر اسکوپنگ سیٹنگ یہ متعین کرتی ہے کہ ٹنل کو کون سی ٹریفک لے جانا ہے اور اس میں سے کیا الگ کیا گیا ہے۔ ایک ترجیح ہے، دوسرا قاعدے کے زیادہ قریب ہے۔

یہ فرق اس بات کو بھی بدلتا ہے کہ آپ لیک کی تشخیص کیسے کرتے ہیں۔ ڈیفالٹ روٹ کے ساتھ آپ راستے اور میٹرک دیکھتے ہیں۔ اسکوپنگ کلید کے ساتھ آپ پروفائل کی نظرثانی، نصب شدہ استثنات اور ورژن کے مخصوص برتاؤ کو دیکھتے ہیں، کیونکہ روٹنگ ٹیبل پہلے لیے گئے فیصلے کے بعد آتی ہے۔

EnforceRoutes ایک مختلف بٹن ہے

EnforceRoutes اسی خیال کا سخت ورژن لگتا ہے، اور لوگ دونوں کو اس یقین سے جوڑ دیتے ہیں کہ زیادہ کلیدیں زیادہ کوریج دیتی ہیں۔ Apple دستاویز کرتا ہے کہ IncludeAllNetworks فعال ہونے پر اسے نظر انداز کیا جاتا ہے، اس لیے اس امتزاج میں دوسری کلید کچھ نہیں دیتی۔

اسے ان ترتیبوں کے لیے متبادل سمجھیں جو وسیع تر اسکوپنگ استعمال نہیں کرتے، تقویت کے طور پر نہیں۔ اگر آپ ہر کلید کا الگ الگ کام نہیں سمجھا سکتے تو دونوں کو شامل کرنا پروفائل کا جائزہ صرف مشکل بنا دیتا ہے۔

گیٹ وے اور پروفائل کے مالک کو کن باتوں پر متفق ہونا چاہیے

کلائنٹ کی کوئی ترتیب سرور کو وہ ٹریفک آگے بھیجنے پر مجبور نہیں کر سکتی جس کے لیے وہ کبھی ترتیب نہیں دیا گیا۔ گیٹ وے کو سیشن قبول کرنا ہوگا، پتے دینے ہوں گے، ان پریفکس کے لیے واپسی کا راستہ فراہم کرنا ہوگا جن تک آپ پہنچنا چاہتے ہیں، اور آپ کی منتخب ترتیب میں DNS فراہم کرنا ہوگا۔ اگر یہ صرف ایک پریفکس روٹ کرتا ہے تو کلائنٹ کا وسیع دائرہ ایسی ٹریفک پیدا کرتا ہے جو آ کر مر جاتی ہے۔ گیٹ وے کے روٹ کرنے سے باہر کسی منزل کو ایک درخواست ایک منٹ میں یہ ثابت کر دیتی ہے۔

ایپ کی ملکیت والا ٹنل پھر الگ معاملہ ہے۔ فراہم کنندہ کو معاون برتاؤ نافذ کرنا یا ظاہر کرنا ہوتا ہے؛ دوسرا نیٹو IKEv2 پروفائل نصب کرنا ایسے ٹنل کو تبدیل نہیں کرتا جسے کوئی اور ایپ پہلے ہی چلا رہی ہو، اور IKEv2 کلید کوئی OpenVPN ہدایت نہیں جسے کوئی دوسرا کلائنٹ پڑھے گا۔

موجودہ کلیدوں کی فہرست اور ورژن کی شرائط کے لیے کسی کے برسوں پہلے کاپی کیے پروفائل کے بجائے Apple کا IKEv2 payload حوالہ پڑھیں۔

پروفائل کی نظرثانی کو مجموعی طور پر قبول کریں

دور سے منظم کیے جانے والے Mac کو بدلنے سے پہلے ہدف macOS ورژن، مطلوبہ انٹرنیٹ اخراج، وہ نجی پریفکس جو قابل رسائی رہنے چاہئیں، اور ہر وہ استثنا جو آپ فعال کر رہے ہیں لکھ لیں۔ پھر ایسا بحالی راستہ محفوظ رکھیں جو اس ٹنل پر منحصر نہ ہو جسے آپ بدلنے والے ہیں۔

نئی عوامی درخواستیں، نجی درخواستیں، دونوں ایڈریس خاندان اور نام کی حل پذیری جانچیں، اور ڈیزائن فائل کے بجائے نصب شدہ نظرثانی دیکھیں۔ اگر کوئی چیز پھر بھی براہ راست جاتی ہے تو فیصلہ کریں کہ یہ دستاویز شدہ استثنا ہے، مختلف کنکشن سیاق ہے، یا واقعی ترتیب کی خرابی، اور غیر متعلقہ کلیدوں کو وسیع کرنے کے بجائے ان تینوں میں سے ایک کو بدلیں۔