iPhone VPN فی ڈومین: فیصلہ کریں کہ انکار کہاں ہوتا ہے
NeverConnect VPN کے شروع ہونے کو روکتا ہے؛ یہ ویب سائٹ کو بلاک نہیں کرتا۔ فیصلہ کریں کہ انکار سروس کی حد پر ہے یا کسی منظم پالیسی میں۔
دو تقاضے ایک ہی جملے کے طور پر لکھے جاتے ہیں اور پھر بالکل مختلف جگہوں پر نافذ کیے جاتے ہیں۔ «اس سائٹ تک صرف VPN کے ذریعے رسائی ہونی چاہیے» داخلے کے بارے میں ایک بیان ہے، اور اس کا فطری گھر سروس کے سامنے والا نیٹ ورک ہے۔ «اس iPhone کو کبھی بھی اس ڈومین سے براہ راست رابطہ نہیں کرنا چاہیے» ڈیوائس کے بارے میں ایک بیان ہے، اور صرف منظم کلائنٹ پالیسی ہی اسے بیان کر سکتی ہے۔ پروفائل ایڈیٹر کھولنے سے پہلے فیصلہ کریں کہ آپ کے پاس اصل میں کون سا ہے۔
دو تقاضے جو ایک جیسے سنائی دیتے ہیں
مثالی ہوسٹ records.corp.example لیں۔ داخلے کی صورت میں آپ اسے صرف VPN کے پیچھے والے پتوں پر شائع کرتے ہیں، اس لیے سیلولر نیٹ ورک پر فون سے براہ راست کوشش نیٹ ورک پر ناکام ہوتی ہے، جبکہ وہی درخواست ٹنل کے ذریعے کامیاب ہوتی ہے اور پھر بھی حقیقی اکاؤنٹ لاگ اِن کا تقاضا کرتی ہے۔ ڈیوائس کی صورت میں فون عوامی انٹرنیٹ تک پہنچ سکتا ہے، اس لیے ہوسٹ سب کے لیے حل ہوتا ہے اور جواب دیتا ہے، اور کوشش روکنے کی واحد جگہ ڈیوائس ہے۔ سروس اس درخواست پر قاعدہ نافذ نہیں کر سکتی جو کبھی اس تک نہیں پہنچتی۔
تقاضے کو غلط پڑھنا ایک مخصوص تعیناتی کے طور پر ظاہر ہوتا ہے۔ ریکارڈ اب بھی عوامی ہے، آپریٹر سمجھتا ہے کہ VPN لازمی ہے، اور سیلولر کوشش کا آڈٹ دکھاتا ہے کہ درخواست کبھی ٹنل میں داخل نہیں ہوئی۔ لاگز میں کچھ ٹوٹا ہوا نظر نہیں آتا، کیونکہ کچھ بلاک نہیں ہوا۔
تشخیصی کارروائیوں کو لفظی طور پر پڑھیں
مانگ پر چلنے والی مشینری میں کارروائیوں کی دو الگ تہیں ہیں، اور ان کو ملانا یہاں زیادہ تر الجھن پیدا کرتا ہے۔ بیرونی قاعدے کی کارروائی فیصلہ کرتی ہے کہ قاعدہ مماثل ہونے پر ٹنل کے ساتھ کیا ہوتا ہے، اور کنکشن کی تشخیصی کارروائی فیصلہ کرتی ہے کہ تشخیصی قاعدے کے اندر ہوسٹ نام کی مماثلت کے ساتھ کیا ہوتا ہے۔ Apple کا Never Connect حوالہ صرف دوسری تہہ کی وضاحت کرتا ہے۔
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect وہ قدر ہے جسے سب سے زیادہ غلط پڑھا جاتا ہے، کیونکہ نام بلاک کی طرف اشارہ کرتا ہے۔ یہ مماثل ہوسٹ نام کے لیے ٹنل شروع کرنے کو کنٹرول کرتا ہے، فون کی کسی نام تک پہنچنے کی اجازت کو نہیں، اس لیے Never Connect اندراج ڈومین بلاک نہیں ہے۔ ڈیزائن دستاویز میں اسے ایسا کہنا وہ طریقہ ہے جس سے تعیناتی کو ایسی نفاذ حد کے ساتھ منظوری ملتی ہے جو اس کے پاس نہیں۔
جب سروس آپ کی ہو، حد پر نافذ کریں
داخلے کو محدود کرنے کا مطلب ہے نام صرف وہاں شائع کرنا جہاں VPN راستہ اس تک پہنچ سکتا ہے، پھر جانچنا کہ مطلوبہ راستہ کام کرتا ہے اور دوسرا راستہ نہیں۔ ہر شائع شدہ ریکارڈ، اگر آپ شائع کرتے ہیں تو دونوں پتہ خاندان، اور ایپ کا استعمال کردہ کوئی بھی درمیانی یا متبادل نام شامل کریں۔ پرانا CNAME جو اب بھی عوامی لوڈ بیلنسر کی طرف اشارہ کرتا ہے، بنیادی ریکارڈ کتنا ہی صاف ہو، براہ راست راستہ زندہ رکھتا ہے۔
یہ ڈیوائس کے بجائے سروس کی حفاظت کرتا ہے۔ یہ فون کو DNS استفسار بھیجنے سے نہیں روکتا، اور ایپ کو کوشش کرنے سے نہیں روکتا۔ اگر وہ کوششیں قابل قبول ہیں تو حد پر نفاذ سستا اور زیادہ پائیدار انتخاب ہے، کیونکہ یہ ہر کلائنٹ پر لاگو ہوتا ہے نہ کہ صرف ان پر جنہیں آپ نے ترتیب دیا۔ یہ ایسے فون پر بھی قائم رہتا ہے جو کبھی رجسٹر نہیں ہوا۔
جب فون کو کوشش بھی نہیں کرنی چاہیے، آپ کو منظم پالیسی چاہیے
کوشش روکنے کے لیے ایک تعاون یافتہ نفاذ پالیسی درکار ہے جو کنکشن سے پہلے، ٹنل کی ناکامی کے دوران اور نیٹ ورک تبدیلی کے بعد ایپ یا منزلوں کو محیط ہو۔ VPN یا ڈیوائس مینجمنٹ فراہم کنندہ سے کہیں کہ اس پالیسی کا نام لے، بتائے کہ اسے تنظیمی نظم و نسق درکار ہے یا نہیں، اور بیان کرے کہ یہ اور کس چیز پر اثر ڈالتی ہے۔ فی ایپ ٹنل اور مانگ پر قاعدہ ایک جیسی چیز نہیں، اور ہوم اسکرین سے کنکشن کا شارٹ کٹ بھی نہیں۔
ٹنل کو غیر فعال کر کے اور یہ دیکھ کر کہ درخواست باہر جاتی ہے یا نہیں، ناکامی کی صورت کو جانچیں۔ اگر جاتی ہے تو آپ نے جس حد کی دستاویز کی وہ وہ حد نہیں جو آپ نے تعینات کی۔
تین سوالوں سے فیصلہ کریں
پہلا، کیا آپ سروس کو کنٹرول کرتے ہیں یا صرف فون کو؟ دوسرا، کیا ڈیوائس باقی سب کے لیے عوامی انٹرنیٹ قانونی طور پر استعمال کر سکتی ہے؟ تیسرا، کیا فون منظم ہے، اور کس کے ذریعے؟ سروس کی ملکیت اور منظم فلیٹ کا مطلب ہے کہ کوئی بھی تہہ دستیاب ہے، جبکہ صرف فون کی ملکیت کلائنٹ پالیسی کو واحد آپشن بناتی ہے اور اسے معاونت حاصل ہونی چاہیے۔
پروفائل کو چھونے سے پہلے ان تینوں کا جواب دیں۔ تب ترتیب Never نامی چیک باکس کے معنی کے بارے میں اندازہ ہونا بند کر دیتی ہے۔