پرانا IOS SSL VPN: پیکیج، پروفائل، گیٹ وے، سیشن

آپ راؤٹر کے فلیش پر کلائنٹ انسٹالر پاتے ہیں اور نتیجہ نکالتے ہیں کہ SSL VPN کنفیگر ہے۔ یہ چار میں سے صرف ایک جزو ہے، اور باقی تین طے کرتے ہیں کہ کوئی جڑ بھی سکتا ہے یا نہیں۔ پرانے IOS SSL VPN میں حصے الگ الگ اشیاء ہیں: ہیڈ اینڈ کلائنٹ پیکیج، اختیاری کلائنٹ پروفائل، WebVPN گیٹ وے جو TLS ختم کرتا ہے، اور سیاق و سباق مع گروپ پالیسی جو تصدیق اور سیشن کی ترتیبات رکھتے ہیں۔ ایک رہ گیا تو ناکامی باہر سے یکساں دکھتی ہے۔

Cisco کا IOS SSL VPN کنفیگریشن مثال، جو IOS 15.3 اور AnyConnect 3.1 پر بنا ہے، اسی لیے کارآمد ہے کہ وہ ان اشیاء کو الگ رکھتا ہے۔ اسے اُس پرانے نفاذ کی تفصیل کے طور پر پڑھیں، اُن ورژنز کو تعینات کرنے کی سفارش کے طور پر نہیں۔

پہلا، پیکیج: یہ کیا ہے اور کیا نہیں

ہیڈ اینڈ پیکیج ایک پلیٹ فارم کے لیے کلائنٹ سافٹ ویئر مہیا کرتا ہے۔ یہ نہ پروفائل ہے نہ سننے والا، اور فلیش میں پڑی ایک فائل صرف یہ ثابت کرتی ہے کہ کسی نے کچھ اپ لوڈ کیا۔ یہ ثابت نہیں کرتی کہ کسی سیشن نے اسے کبھی استعمال کیا، کہ پلیٹ فارم صارف کے آلے سے میل کھاتا ہے، یا کہ گیٹ وے اس کا کوئی حوالہ دیتا ہے۔

فائل کا درست نام، وہ پلیٹ فارم جس کے لیے ہے، اور وہ جگہ جہاں کنفیگریشن اس کی طرف اشارہ کرتی ہے، تصدیق کریں۔ Windows پیکیج فونز کے بارے میں کچھ نہیں بتاتا، اور ایسی اپ لوڈ شدہ فائل جس کا کوئی گیٹ وے آبجیکٹ ذکر نہ کرے، ذخیرہ ہے نہ کہ کنفیگریشن۔ وہ پیکیج جو پلیٹ فارم سے میل کھاتا ہے مگر کبھی سروس سے منسلک نہیں ہوا، کسی صارف کو پیش نہیں کیا جائے گا۔ ایسا ہی وہ جس کا فائل نام کنفیگریشن کی متوقع قدر سے مختلف ہو۔

دوسرا، پروفائل: ترتیبات، نہ کہ سافٹ ویئر

اختیاری کلائنٹ پروفائل وہ ترتیبات رکھتا ہے جو منتظم الگ سے تیار کرتا ہے، جیسے سرور فہرستیں یا کلائنٹ ترجیحات۔ اسے انسٹالر سے خلط ملط کرنا عام ہے کیونکہ دونوں ملتے جلتے ناموں کی فائلوں کے طور پر آتے ہیں۔ اگر تعیناتی پروفائل کی توقع رکھتی ہے تو اس کی عدم موجودگی یہ بدلتی ہے کہ کلائنٹ جڑنے کے بعد کیا کرتا ہے، نہ یہ کہ وہ جڑتا ہے یا نہیں۔

دونوں اشیاء کی فہرست بنائیں اور لکھیں کہ گیٹ وے درحقیقت کس کا حوالہ دیتا ہے۔ وہ ایک سطر معاونت کے ایسے ٹکٹوں کی ایک قسم روکتی ہے جہاں دو افراد مختلف فائلوں پر بات کر رہے ہوتے ہیں۔

تیسرا، سننے والا اور TLS شناخت

گیٹ وے آبجیکٹ وہ پتہ اور پورٹ متعین کرتا ہے جہاں بیرونی دنیا پہنچتی ہے اور وہ سرٹیفکیٹ جو مصافحے کے دوران پیش ہوتا ہے۔ پورٹل صفحے تک پہنچنے والا براؤزر، تصدیق مکمل کرنے والا کلائنٹ اور نجی سرور تک پہنچنے والی ایپلیکیشن تین الگ مشاہدے ہیں، اور صرف پہلا ہی سننے والے کا امتحان ہے۔ جب مصافحہ ناکام ہو تو آگے کا کچھ بھی ابھی اہم نہیں، اس لیے کسی بھی پالیسی میں ترمیم سے پہلے سرٹیفکیٹ زنجیر اور نام جانچیں۔

متوقع شناخت کہیں لکھ لیں۔ تجدید شدہ یا تبدیل شدہ سرٹیفکیٹ سب سے عام وجہ ہے کہ پچھلے مہینے چلنے والی تعیناتی اس مہینے رک جاتی ہے۔

چوتھا، سیاق و سباق اور اس کے مجازی سانچے والی پالیسی

سیاق و سباق اور گروپ پالیسی تصدیق کو سیشن کے رویے سے باندھتے ہیں: پتوں کا تالاب، منقسم راستے، DNS، اور کون سے اندرونی نیٹ ورک صارف تک پہنچ سکتا ہے۔ دستاویزی مثال اپنے سیاق و سباق کو ایک مجازی سانچے سے جوڑتی ہے جو ہر سیشن کے لیے انٹرفیس کا رویہ دیتا ہے، اور وہ سرور کی طرف کی اشیاء صارف کی ڈاؤن لوڈ سے آزاد موجود رہتی ہیں۔

جب صارف تصدیق تو کر لے مگر کہیں نہ پہنچے تو خرابی عموماً یہیں ہوتی ہے، کلائنٹ میں نہیں۔ تالاب، کلائنٹ کو دیے گئے راستے اور آگے کی ٹریفک کی اجازت دینے والا ACL موازنہ کریں، اور انہیں ڈیزائن کی نیت سے نہیں بلکہ صارف کی بتائی بات سے جانچیں۔

ترتیب سے جانچیں اور پہلی ناکامی پر رک جائیں

چاروں اجزاء سے اسی ترتیب سے گزریں جس میں کوئی کنکشن انہیں پاتا ہے: سننے والا، تصدیق، پالیسی، پھر کلائنٹ کا رویہ۔ متوقع شناخت کے ساتھ TLS کی تصدیق کریں، ایک معلوم اچھے اکاؤنٹ کی تصدیق کریں، سیشن سے مختص پتہ اور راستے پڑھیں، اور اسی کے بعد کلائنٹ کا پلیٹ فارم پیکیج سے موازنہ کریں۔ پہلی ناکامی پر رکنا کھیل میں صرف ایک متغیر رکھتا ہے، اور مرمت اور اندازے کے درمیان فرق یہی ہے۔

ایسے فون یا کسی بھی کلائنٹ کے لیے جو اُس تاریخی ڈیسک ٹاپ مثال سے باہر ہے، Windows کے طریقۂ کار کے عام ہو جانے کا مفروضہ رکھنے کے بجائے واقعی معاون کلائنٹ اور گیٹ وے کا معاہدہ حاصل کریں۔ مطلوبہ پروٹوکول بدل دینا IKEv2 پروفائل کو یہ SSL VPN سروس نہیں بنا دے گا، اور ڈیسک ٹاپ پیکیج نصب کرنا موبائل معاونت کے بارے میں کچھ ثابت نہیں کرتا۔