دو IPsec گیٹ وے، کوئی مشترکہ IP نہیں: فیل اوور اصل میں کیا کرتا ہے

میٹنگ کے دوران گیٹ وے A بند کریں اور ایک منٹ بعد سرنگ کو B کے راستے واپس آتے دیکھیں؛ کنکشن کام کرتا ہے، ویڈیو کال شاید نہیں۔ آزاد پتوں والے دو IPsec گیٹ ویز کے درمیان کولڈ فیل اوور کی یہی دیانت دار شکل ہے۔ کلائنٹ ایک اینڈ پوائنٹ دوبارہ منتخب کرتا ہے اور نیا تعلق بناتا ہے، جو پرانے سیشن کی کرپٹوگرافک حالت منتقل کیے بغیر رسائی بحال کرتا ہے۔ ترتیب کی پیروی سے واضح ہوتا ہے کہ ڈیزائن کون سے وعدے نبھا سکتا ہے۔

منظر تیار کریں: دو پتے، کوئی فلوٹنگ IP نہیں

گیٹ وے A ایک قابل رسائی پتے پر جواب دیتا ہے اور گیٹ وے B دوسرے پر۔ A کے جانے پر B منتخب کرنے کا منظور شدہ طریقہ کلائنٹ کے پاس ہے، اور کوئی مشترکہ بیرونی پتہ نہیں جس پر دونوں گیٹ وے دعویٰ کریں۔ اس ڈیزائن میں ورچوئل IP کا مطلب وہی مشترکہ داخلہ نقطہ ہے، ریموٹ رسائی کلائنٹ کو دیا گیا اندرونی پتہ نہیں۔

یہ تعریف اہم ہے کیونکہ دونوں خیالات ٹکٹوں میں مل جاتے ہیں، اور ایک کا حل دوسرے کا حل نہیں۔ مشترکہ داخلہ گیٹ وے کے پیچھے نہیں گیا، ایسی رپورٹ ایک ڈیزائن بیان کرتی ہے۔ لیپ ٹاپ نے اپنا اندرونی پتہ کھو دیا، ایسی رپورٹ کلائنٹ کی لیز بیان کرتی ہے۔ مختلف مالکان، مختلف لاگ، مختلف مرمت۔

ناکامی سے گزریں: پہچانیں، پھر دوبارہ منتخب کریں

پہلے کچھ محسوس کرتا ہے کہ A نے جواب دینا بند کر دیا۔ یہ سرنگ کی پرت میں مردہ ساتھی کی شناخت، راستہ واپس لینے والا روٹنگ پروٹوکول، یا ایپلیکیشن کا وقت ختم ہونا ہو سکتا ہے جو آخرکار دوبارہ جڑنے پر مجبور کرتا ہے۔ ہر ایک کا وقت کا پیمانہ مختلف ہے، اور سب سے سست عام طور پر طے کرتا ہے کہ صارفین کتنی دیر انتظار کریں۔

پھر کلائنٹ اس طریقہ کار سے B منتخب کرتا ہے جو تعیناتی معاونت کرتی ہے: دوسرا ترتیب شدہ ریموٹ، صحت مند پتے پر حل شدہ DNS نام، یا اب مختلف راستے کو ترجیح دینے والی روٹنگ۔ انتخاب پالیسی کا قدم ہے، اور اسے ناکامی سے پہلے موجود ہونا چاہیے ورنہ یہ اتفاقاً ہو جائے گا۔

B کیا وراثت میں لے سکتا ہے اور کیا نہیں

B، A کے ساتھ کنفیگریشن ٹیمپلیٹ، سرٹیفکیٹ اتھارٹی اور تصدیق کی پالیسی سانجھی کر سکتا ہے۔ یہ فعال سیکیورٹی انجمنیں وراثت میں نہیں لے سکتا۔ سیشن کلیدیں، سیکیورٹی پیرامیٹر اشاریے اور ترتیب کی حالت A اور کلائنٹ کے قائم کردہ تعلق کی ہیں، اور B کے پاس ان میں سے ایک بھی نہیں۔

اس حالت کو گیٹ ویز کے درمیان منتقل کرنا حقیقی انجینئرنگ مسئلہ ہے، اسی لیے strongSwan کی اعلیٰ دستیابی کی دستاویز اسے کنفیگریشن جھنڈا نہیں بلکہ کلسٹر ڈیزائن مانتی ہے۔ کوئی مخصوص کلسٹر ترکیب کلاؤڈ نیٹ ورک کے لیے عمومی جواب نہیں، اور معاون بنیادی ڈھانچے کے بغیر اس کی نقل کرنا تسلسل کی بجائے پیچیدگی خریدتی ہے۔

نیا تعلق قائم کرنا

B منتخب ہونے پر کلائنٹ نیا IKE تبادلہ کرتا ہے: نئی nonce اقدار، نئی Diffie-Hellman اقدار، پیدا ہونے والی انجمنوں کے لیے نئے شناخت کنندگان۔ B پر دوبارہ تصدیق ہوتی ہے۔ اگر ڈیزائن مشینی اسناد پر منحصر ہے تو دوبارہ جڑنا بغیر نگرانی کے ہو سکتا ہے؛ اگر انسانی عنصر درکار ہو تو فیل اوور مکمل ہونے کے لیے کسی کا موجود ہونا ضروری ہے۔

وہ صارف تجربہ خلل سے پہلے متعین کریں، خلل کے دوران نہیں۔ واضح کہیں کہ کلائنٹ کیا کرے گا، کتنی دیر کوشش کرے گا اور ہار ماننے پر کیا دکھائے گا، کیونکہ ایک منٹ کے دوبارہ جڑنے اور سپورٹ کال کے درمیان فرق عام طور پر دستاویزات اور آزمودہ پروفائل ہوتا ہے۔

وہی اندرونی پتہ برقرار رکھنا مستحکم مقامی شناخت کی توقع رکھنے والی ایپلیکیشنز کی مدد کرتا ہے، اور ان کے سیشن نہیں بچاتا۔ NAT بائنڈنگز ختم ہوتی ہیں، TCP کنکشن دوبارہ ترتیب دیے جاتے ہیں، اور جس چیز کا اپنا وقت ختم ہونا ہے وہ خود مختار طور پر فیصلہ کرتی ہے کہ دوبارہ کوشش کرنی ہے یا نہیں۔

متوازی میں دو سرنگیں الگ ڈیزائن ہیں

دونوں سرنگوں کو بیک وقت چلانا درست نمونہ ہے جب دونوں گیٹ وے اور روٹنگ ڈیزائن اس کی معاونت کریں۔ پھر راستہ منتخب کرنا فعال راستہ منتخب کرتا ہے، اور واپسی کا راستہ بھی مطابق ہونا چاہیے، ورنہ ٹریفک ایک گیٹ وے سے نکل کر دوسرے سے واپس آتی ہے، اسے ملانے کی حالت کے بغیر۔

اوورلیپنگ سرنگ پالیسیاں خود بخود منظم فیل اوور پیدا نہیں کرتیں۔ وہ دو امیدوار بناتی ہیں، اور ان کے درمیان کسی چیز کو فیصلہ کن طور پر فیصلہ کرنا ہوتا ہے، چاہے وہ روٹنگ میٹرک ہو، پالیسی ترجیح ہو یا کلائنٹ میں واضح ترجیح۔

آپ جو بھی شکل منتخب کریں، معاہدہ لکھیں: ناکامی کیسے پہچانی جاتی ہے، متبادل کیسے منتخب ہوتا ہے، اسے کون سی تصدیق درکار ہے اور دوبارہ جڑنے میں کتنا وقت لگنے کی توقع ہے۔ مشترکہ IP دریافت کو آسان بنا سکتا ہے، لیکن یہ مسلسل حالت کا مترادف نہیں، اور دستیابی بہرحال ایک ڈیزائن ہے۔