گھریلو روٹر پر IPsec پاس تھرو: یہ واقعی کیا کرتا ہے

روٹر کے پاس تھرو سوئچ ان کے پیچھے موجود آلے کے لیے فارورڈنگ رعایتیں ہیں، VPN خدمات نہیں۔ یہ روٹر کو کلائنٹ کے طور پر رجسٹر نہیں کرتے، اسناد نہیں رکھتے اور گھر کے ہر آلے کو دور دراز کے اخراج سے نہیں گزارتے۔ یہ جو کرتے ہیں وہ یہ ہے کہ ایک پروٹوکول پتہ ترجمے اور فلٹرز کو کیسے عبور کرتا ہے، اس کی شکل دیتے ہیں۔ یہ واضح ہونے پر سوئچ کو جانچنا بھی آسان اور بند رکھنا بھی آسان ہو جاتا ہے۔

روٹر واقعی کیا کر رہا ہے

روٹر کلائنٹ اور IPsec ساتھی کے درمیان بیٹھتا ہے اور ایسے پیکٹ آگے بھیجتا ہے جو سمجھنے کے لیے کبھی نہیں بنایا گیا تھا۔ بنانے والے یہ خصوصیت کم از کم تین طریقوں سے نافذ کرتے ہیں: حالت کا سراغ لگانے یا دوبارہ لکھنے والا پروٹوکول مددگار، ESP گرانے کو روکنے والا فلٹر استثنا، یا پرانے کلائنٹس کے لیے مطابقت کا موڈ۔ ویب انٹرفیس کا لیبل شاذ و نادر ہی بتاتا ہے کہ تینوں میں سے کون سا آپ کے پاس ہے۔ صرف فرم ویئر نوٹس یا پیکٹ کیپچر ہی یہ بتائیں گے۔

مددگار معاملات کو مزید خراب بھی کر سکتا ہے۔ پرانے بہاؤ کے لیے لکھی گئی مدد کبھی کبھی ایسے کلائنٹ میں رکاوٹ ڈالتی ہے جو ترجمے کو پہلے ہی درست طریقے سے سنبھالتا ہے۔ جب جدید کلائنٹ اختیار بند رکھ کر کام کرتا ہے، تو اسے بند رکھنا بہتر ترتیب ہے۔

پاس تھرو کبھی روٹر کو ساتھیوں کی چابیاں نہیں دیتا۔ یہ اب بھی بیرونی پتے اور پورٹ دیکھتا ہے، اور اب بھی ان پر اپنی فارورڈنگ پالیسی لاگو کرتا ہے۔

NAT اور NAT-T راستہ طے کرتے ہیں

IPsec پتہ ترجمے سے بچنے کے لیے نہیں بنایا گیا تھا، اس لیے معیارات نے ایک غلاف شامل کیا۔ NAT ٹراورسل ESP کو UDP کے اندر سموتا ہے، جس سے عام NAT جدول بہاؤ لے جا سکتا ہے، اور گفت و شنید IKE کے دوران اس تبدیلی پر متفق ہوتی ہے (RFC 3948)۔ IKE خود UDP 500 استعمال کرتا ہے، جبکہ غلاف شدہ راستہ عام طور پر UDP 4500 استعمال کرتا ہے۔

اسی لیے صرف پروٹوکول 50 کی اجازت دینے والا فائر وال قاعدہ ترجمہ شدہ راستے پر کافی نہیں ہے۔ 4500 کو بلاک کرنا اس صورت کو توڑ دیتا ہے جس کے لیے غلاف موجود ہے، اور 500 کو بلاک کرنا کسی بھی سرنگ کی تشکیل سے پہلے گفت و شنید روک دیتا ہے۔ دونوں سمتوں کی اہمیت ہے، کیونکہ حالت کا سراغ لگانے والا روٹر عام طور پر درخواست دیکھنے کے بعد ہی جواب کی اجازت دیتا ہے۔ پورٹ تک پہنچنا تصدیق مکمل کرنے کے مترادف نہیں، اور نہ ہی محفوظ ٹریفک آگے بھیجنے کے مترادف ہے۔

پرانے انتظامات کافی مختلف ہیں کہ ان کے لیے لکھی گئی رہنمائی گمراہ کر سکتی ہے۔ جب کلائنٹ دونوں موڈ پیش کرتا ہے، تو زیادہ تلاش کے نتائج والے کی بجائے وہ آزمائیں جسے آپ کا ساتھی دستاویز کرتا ہے۔

ناکام مرحلہ تلاش کریں

مسئلے کو گفت و شنید، تصدیق، اولاد کی حفاظت اور اندرونی فارورڈنگ میں تقسیم کریں، پھر ایک وقت میں ایک مرحلے کے لیے شواہد جمع کریں۔ نتیجہ عارضی طور پر بدلنے والا ری بوٹ صرف یہ ثابت کرتا ہے کہ کوئی حالت ملوث تھی۔

sudo tcpdump -ni any 'udp port 500 or udp port 4500'
ip xfrm state list
ip xfrm policy list

کیپچر دکھاتا ہے کہ تبادلہ ساتھی تک پہنچتا ہے یا نہیں اور جواب واپس آتے ہیں یا نہیں، جو فلٹر مسئلے کو اسناد کے مسئلے سے الگ کرتا ہے۔ حالت کی فہرست قائم شدہ سلامتی اتحاد دکھاتی ہے، اس لیے کوشش کے بعد خالی فہرست روٹنگ کے بجائے گفت و شنید کی طرف اشارہ کرتی ہے۔ پالیسی کی فہرست دکھاتی ہے کہ کون سے منتخب کنندہ نصب ہیں، اور وہیں سب نیٹ سے باہر کا ہدف خارج ہوتا ہے۔ روٹر کو چھونے سے پہلے xfrm کے دونوں آؤٹ پٹ پڑھیں، کیونکہ وہ یہ نہیں بتاتے کہ روٹر کیا اجازت دیتا ہے بلکہ یہ کہ میزبان کیا مانتا ہے۔

اگر پیکٹ باہر جاتے ہیں اور کچھ واپس نہیں آتا، تو کیپچر کو روٹر کے WAN کی طرف منتقل کریں۔ دونوں کیپچر کا موازنہ اندازہ لگائے بغیر گرنے کی جگہ کی نشاندہی کرتا ہے۔

جو ضروری نہیں اسے بند کریں

ایک چلنے والا لیپ ٹاپ ثابت نہیں کرتا کہ روٹر بیک وقت کئی کلائنٹس سنبھالتا ہے۔ ہر کلائنٹ اپنی ترجمے کی حالت اور اپنی گفت و شنید بناتا ہے، اور کچھ مددگار صرف ایک بہاؤ کا سراغ لگاتے ہیں۔ آپ کو واقعی جن ہم وقت سیشنز کی ضرورت ہے انھیں ان نیٹ ورکس سے آزمائیں جو آپ واقعی استعمال کرتے ہیں۔ اگر پہلا کلائنٹ اچھا چل رہا ہو اور دوسرا ناکام ہو، تو یہی دریافت ہے، کوئی غیر مستحکم سرنگ نہیں۔

اختیار کو صرف اسی وقت کھلا رکھیں جب کیپچر دکھائے کہ اس کی ضرورت ہے۔ نتیجے کے ساتھ فرم ویئر ورژن لکھیں، کیونکہ یہ رویے ورژنوں کے درمیان بدلتے ہیں۔ مقصد آپ کا تصدیق شدہ کلائنٹ سرنگ ہے، امید سے کھولا گیا سوئچ نہیں۔