iOS نے آپ کا strongSwan ٹنل مسترد کر دیا: IKE تجاویز کا موازنہ کریں

سرٹیفکیٹ یا پتے میں کچھ بھی یہ نہیں بتاتا کہ گزشتہ سال strongSwan سے جڑنے والا iPhone اس سال کیوں ناکام ہوتا ہے۔ پتے، پہلے سے شیئر کی گئی کلید یا کلائنٹ کی شناخت میں کچھ بھی بدلنے کی ضرورت نہیں تھی۔ جو ہوا وہ یہ کہ فون کے بلٹ اِن کلائنٹ کی اُن ٹرانسفارمز کی فہرست بدلی جو وہ گفت و شنید کے لیے تیار ہے، اور جب یہ فہرست سرور کی فہرست سے ہم آہنگ ہونا بند ہو جائے تو تبادلہ کسی کی شناخت جانچنے سے پہلے ہی ختم ہو جاتا ہے۔

وہ لاگ لائن جو فیصلہ کرتی ہے

اُس کنکشن کے لیے لاگنگ بڑھائیں اور وہ دو اندراج تلاش کریں جو نتیجہ طے کرتے ہیں: فون نے کیا پیش کیا اور سرور نے کیا چنا۔ اگر لاگ منتخب تجویز کے بغیر ختم ہو اور بتائے کہ کچھ بھی مطابق نہیں ہوا، تو تصدیق کی کوشش ہی نہیں ہوئی۔ نیا سرٹیفکیٹ اور نیا پاس ورڈ اُس مقام پر کچھ نہیں بدلتے، کیونکہ دونوں بعد کے مرحلے میں استعمال ہوتے ہیں۔ دونوں میں سے کوئی بھی اُس نتیجے پر اثر نہیں ڈال سکتا جو شناخت جانچنے سے پہلے طے ہو چکا ہو۔

کچھ بھی ترمیم کرنے سے پہلے ناکامی کی دو صورتیں الگ رکھیں۔ ٹرانسفارمز میں کوئی ترمیم مسترد شدہ اسناد کو نہیں بچاتی، اور اسناد میں کوئی اصلاح مسترد شدہ ٹرانسفارم کو نہیں بچاتی۔ وہ لاگ اندراج جو منتخب تجویز کا نام لیتا ہے بتاتا ہے کہ آپ دو صورتوں میں سے کس میں ہیں۔ اُس اندراج کے بغیر آپ اندازہ لگا رہے ہیں۔

منتخب لائن تجویز کا نام دوستانہ لیبل کی بجائے اُس کے ٹرانسفارم سیٹ سے لیتی ہے۔ انکرپشن، سالمیت اور گروپ کے فیلڈز کا موازنہ کریں اُس لائن میں فون کی بھیجی ہوئی فہرست سے، کیونکہ کسی ایک فیلڈ میں فرق ہارنے کے لیے کافی ہے۔

فون میں کیا بدلا

iOS کے ایک ریلیز نے وہ الگورتھم کم کر دیے جو اُس کا کلائنٹ استعمال کرنے کو تیار ہے۔ کمزور سالمیت ہیش، چھوٹے Diffie-Hellman گروپ اور پرانے اختیارات پہلے گنوانے والی تجاویز اب قابل قبول نہیں رہیں۔

یہاں لمبی فہرستیں زیادہ محفوظ نہیں۔ انتخاب فون کے قبول کردہ سیٹ اور اُس کی اپنی ترجیحی ترتیب کی پیروی کرتا ہے، اس لیے وسیع کیٹلاگ کا اعلان کرنے والا سرور بھی گفت و شنید ہار سکتا ہے جب جدید اندراجات ہی منتخب نہ ہوں۔ جدید اندراجات آگے رکھنے والی مختصر فہرست کو ترجیح دیں۔ پرانے اختیارات سے شروع ہونے والی لمبی فہرست اُسی ناکامی کو مدعو کرتی ہے جس سے بچنے کی کوشش کر رہے ہیں۔ قبول شدہ سیٹ بیرونی پابندی ہے جو کلائنٹ اپ ڈیٹ ہونے پر ہر بار سرکتی ہے، اس لیے کل کام کرنے والی کنفیگریشن کل کے بارے میں ثبوت ہے۔

ایک جوڑا جو اب بھی بات کرتا ہے

آج کے فونز کے لیے ایک جدید امتزاج کافی ہے۔ بات کرنے والا جوڑا ایسا دکھتا ہے:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike لائن وہ انکرپشن، سالمیت اور Diffie-Hellman گروپ لے کر چلتی ہے جو کلید کے تبادلے کے دوران استعمال ہوتے ہیں۔ esp لائن صرف ڈیٹا چینل کو ڈھانپتی ہے، کیونکہ گروپ اُس کے لاگو ہونے سے پہلے طے ہو چکا ہے۔ کنکشن دوبارہ لوڈ کریں یا ڈیمن دوبارہ شروع کریں، پھر فون دوبارہ جوڑیں۔ وہ گروپ ویلیو صرف اُس وقت رکھیں جب آپ کی خدمت کرنے والا ہر کلائنٹ اب بھی اُسے قبول کرتا ہو، اور صرف ایک پرانے ساتھی کو زیادہ درکار ہونے پر سب کے لیے تجویز نہ پھیلائیں۔

درست کرنے کی تین جگہیں، ایک عام طور پر بند ہوتی ہے

• ہر ساتھی کے لیے ایک جدید تجویز۔ درست جب تمام کلائنٹ آج کے فون اور ڈیسک ٹاپ ہوں۔ پرانی ٹرانسفارمز کو اُن کے گرد گفت و شنید کرنے کی بجائے مٹا دیتی ہے۔
• Apple کلائنٹس کے لیے دوسری کنکشن تعریف۔ ایک پرانے ساتھی کو زندہ رکھتی ہے اور فون کو وہ تجویز دیتی ہے جو وہ قبول کرتا ہے۔ اِس کے لیے ایک اور کنکشن بلاک درکار ہے اور استثنا نظر آ جاتا ہے۔
• کلائنٹ بدلنا۔ آپ کے لیے کم ہی کھلی ہوتی ہے: جب کوئی مینجمنٹ سسٹم یا ایپ پروفائل فراہم کرے، تو چھونے کے لیے کوئی تجویز ایڈیٹر نہیں ہوتا، اور بلٹ اِن کلائنٹ بھی ایسا کوئی ظاہر نہیں کرتا۔

آپ کے کنٹرول سے باہر کا آلہ اپ ڈیٹ نہ ہو سکے تو دوسرا آپشن چنیں۔ جب آپ پرانے ساتھی کو ریٹائر کر سکیں اور ایک ہی پالیسی رکھنا پسند کریں تو پہلا چنیں۔

بہر حال، انتخاب کنفیگریشن میں نظر آتا ہے، اور یہی بات ہے۔ وہ خاموش پس پائی جو پرانی ٹرانسفارم تک بات کرتی ہے، واضح بلاک سے بدتر ہے، کیونکہ کوئی جائزہ اُسے کبھی سامنے نہیں لائے گا۔

اِسے ثابت کریں، پھر درج کریں

دوبارہ جڑیں اور سرور پر تین الگ حقائق جانچیں: تجویز منتخب ہوئی، کنکشن قائم دکھتا ہے، اور کلائنٹ کو پتہ ملا۔ دور دراز پتے کے بغیر قائم مصافحہ پول یا ٹریفک سلیکٹرز کی طرف اشارہ کرتا ہے، اور وہ الگ تبدیلی میں آتا ہے۔ دونوں کو ساتھ لینے سے حل شدہ گفت و شنید حل نشدہ دکھتی ہے۔

قبول شدہ ٹرانسفارم سیٹ، اُسے کب بدلا اور کون سا کلائنٹ بلڈ جانچا، درج کریں۔ اگلی اپ ڈیٹ ضرورت کو پھر سرکا سکتی ہے، اور جو قدریں چلیں وہ نئی کے ساتھ سب سے پہلے درکار ہوتی ہیں۔