IPsec پالیسی آپ کے مقامی ٹریفک کو نگل رہی ہے: کیسے پہچانیں

میز پر رکھا پرنٹر اُس لمحے جواب دینا بند کر دیتا ہے جب ٹنل اوپر آتا ہے، اور ٹنل کی ترتیب میں کہیں پرنٹر کا ذکر نہیں ہے۔ عام طور پر یہ ہوا ہے کہ محفوظ رینج اتنی چوڑی لکھی گئی تھی کہ وہ اُسے بھی شامل کر لے، اس لیے مشین اب ایسا ٹریفک خفیہ کرنے کی کوشش کر رہی ہے جو مقامی سیگمنٹ پر ہی رہنا چاہیے تھا۔ نصب شدہ پالیسی پڑھنا اِس گرفت کی وضاحت کرتا ہے؛ اُسے درست جگہ محدود کرنا دور کے ٹریفک کو محفوظ رکھتا ہے۔ ناکام درخواست سے مماثل پالیسی تک کا سفر چند منٹ لیتا ہے۔

سلیکٹر بدلنے سے پہلے بہاؤ کا جائزہ لیں

ناکام درخواست سے شروع کریں اور چار قدریں لکھیں: وہ ماخذ پتہ جو مشین استعمال کرتی ہے، درست منزل، وہ راستہ جو کرنل چنتا ہے، اور وہ پالیسی جو اِس جوڑے سے مماثل ہو۔

یہ چار حقائق طے کرتے ہیں کہ گرفت دانستہ ہے یا حادثاتی۔ وہ منزل جو دور کے سلیکٹر کے اندر آتی ہے ڈیزائن کے مطابق محفوظ ہوتی ہے، چاہے ڈیزائن غلط ہو۔ اُس سے باہر کی منزل جو پھر بھی پکڑی جائے، اس کا مطلب ہے کہ کوئی اور چیز مماثل ہے، اور سلیکٹر بدلنے سے مدد نہیں ملے گی۔ دونوں صورتیں عام ہیں، اور ایک ہی کمان اُن میں فرق کرتی ہے۔

یہ کام کچھ بھی ترمیم کرنے سے پہلے کریں، کیونکہ دلچسپ صورت وہ مقامی ذیلی نیٹ ہے جو اُس نجی رینج سے متجاوز ہوتی ہے جسے کنکشن محفوظ رکھتا ہے۔ 192.168.0.0/16 جیسے مانوس سابقے بہت سے نیٹ ورکس میں ملتے ہیں، اور اُن میں سے کسی ایک کے لیے لکھا گیا سلیکٹر آپ والا خاموشی سے ڈھک سکتا ہے۔

مقامی کی تین اقسام جو مختلف برتاؤ کرتی ہیں

اِس ہوسٹ کو تفویض کردہ منزل، اُسی لنک پر موجود منزل اور کسی دوسرے انٹرفیس کے پیچھے موجود منزل تین مختلف صورتیں ہیں۔ کرنل اِن میں سے ہر ایک کو الگ انداز میں دیکھتا ہے جب وہ فیصلہ کرتا ہے کہ ٹریفک کو حفاظت درکار ہے یا نہیں۔

گیٹ وے کی اپنی پیدا کردہ ٹریفک بھی کلائنٹ سے بھیجی گئی ٹریفک جیسی نہیں ہوتی۔ ایسی پالیسی جو بھیجی گئی ٹریفک کے لیے درست دکھتی ہو، گیٹ وے کا اپنا انتظامی سیشن پکڑ سکتی ہے، اور اِس طرح منتظم ٹنل کی مرمت کے دوران رسائی کھو دیتا ہے۔

مفید عادت یہ ہے کہ صورت کا نام بلند آواز سے لیں: کیا یہ پیکٹ مجھ سے آتا ہے، میرے لنک کی طرف جاتا ہے یا مجھ میں سے گزرتا ہے؟ ہر جواب محدود کرنے کی مختلف جگہ کی طرف اشارہ کرتا ہے۔ صورت لکھ لینا اگلے شخص کو بھی وہی کام دوبارہ کرنے سے روکتا ہے۔

جب محفوظ رینج پوری نجی فضا ہو، تو تینوں صورتیں بیک وقت اُس میں آ سکتی ہیں، اور علامت ایسی مشین بن جاتی ہے جو ٹنل کے آخری نقطے کے سوا کہیں نہیں پہنچتی۔

نصب شدہ پالیسی پڑھیں، فائل نہیں

ترتیبی فائلیں نیت بیان کرتی ہیں؛ کرنل وہ پالیسیاں رکھتا ہے جو واقعی مماثل ہوں۔ دونوں دکھائیں اور عدم مطابقت کو پہلی دریافت سمجھیں۔

یہ کمانیں منزل کے لیے چنا گیا راستہ اور ہر سمت میں نصب شدہ پالیسیاں دکھاتی ہیں:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

راستہ بتاتا ہے کہ پیکٹ کون سا انٹرفیس استعمال کرے گا۔ پالیسیوں کی فہرست بتاتی ہے کہ کیا پھر اُس پیکٹ پر کوئی سانچہ لاگو ہوگا، اور کنکشنز کی فہرست دکھاتی ہے کہ ڈیمن کن سلیکٹرز کو نصب شدہ سمجھتا ہے۔ اگر منزل کسی دور کے سلیکٹر میں نظر آئے، تو آپ نے گرفت بغیر اندازہ لگائے پا لی۔

سلیکٹر محدود کریں یا منزل سے گریز کریں

دو معاون مرمتیں ہیں اور وہ مختلف سوالات کا جواب دیتی ہیں۔ سلیکٹر کو محدود کرنا کہتا ہے کہ یہ کنکشن صرف چھوٹی رینج محفوظ رکھتا ہے، جو درست ہے جب چوڑی رینج غلطی تھی۔ گریز شامل کرنا کہتا ہے کہ یہ مخصوص منزل کبھی محفوظ نہیں ہونی چاہیے، جو درست ہے جب محفوظ رینج واقعی چوڑی ہو اور ایک منزل استثنا ہو۔

جب ممکن ہو پہلی چنیں، کیونکہ چھوٹے سلیکٹر پر غور کرنا آسان ہے اور وہ کنکشن کی تعریف میں نظر آتا ہے۔ جب چوڑی رینج دانستہ ہو اور استثنا کوئی ایک ہوسٹ یا ذیلی نیٹ ہو جس کا نام آپ لے سکیں، تو دوسری چنیں۔

دونوں اُس ترتیب سے تعلق رکھتے ہیں جس کے پاس کنکشن ہے۔ ہاتھ سے شامل کردہ رن ٹائم قاعدہ اگلی دوبارہ کنکشن پر غائب ہو جاتا ہے، اور خرابی اُس لمحے لوٹتی ہے جب کسی کو وہ عارضی حل یاد نہیں رہتا۔

دوبارہ تنصیب سے محفوظ استثنات

تبدیلی کے بعد وہی بے ضرر درخواست دہرائیں اور وہی شمارندے دیکھیں۔ مقامی منزل کو جواب دینا چاہیے، اور مطلوبہ دور کی منزل کو اب بھی خفیہ ٹریفک دکھانی چاہیے۔

یہ دونوں جانچیں تصدیق کرتی ہیں کہ استثنا بچ گیا اور حفاظت نہیں:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

پھر ٹنل کو جان بوجھ کر منقطع اور دوبارہ منسلک کریں، اور دونوں دہرائیں۔ وہ استثنا جو دوبارہ کنکشن سے پہلے کام کرے اور بعد میں ناکام ہو، غلط پرت پر لاگو ہوا ہے، اور یہی اِس مسئلے کے لوٹنے کا سب سے عام طریقہ ہے۔