IPsec دو میزبانوں کے درمیان: تحفظ کہاں شروع اور کہاں ختم ہوتا ہے
میزبانوں کا ایک جوڑا منتخب بہاؤ کو گیٹ وے کے بغیر محفوظ کر سکتا ہے۔ آخری مقامات، وہ پالیسی جو ٹریفک منتخب کرتی ہے اور وہ اجازتیں جو الگ رہتی ہیں متعین کریں۔
میزبانوں کے جوڑے پر تحفظ وہاں شروع ہوتا ہے جہاں سلامتی کی انجمن ختم ہوتی ہے، اور یہی وہ حقیقت ہے جسے گیٹ وے کی شکل والی بصیرت سب سے زیادہ نظر انداز کرتی ہے۔ ایک اطلاقی سرور اور اس کا ڈیٹا بیس سرور اپنی گفتگو کو براہ راست محفوظ کر سکتے ہیں، راستے میں دور دراز رسائی کے کسی مرکز کے بغیر، اور تحفظ کی حد تب ہر میزبان کے اندر ہوتی ہے، کسی فائر وال میں نہیں۔ یہ آپ کو منتخب بہاؤ کے لیے سرے سے سرے تک احاطہ دیتا ہے۔ یہ آپ کو یہ فیصلہ نہیں دیتا کہ کون کون سی سطر پڑھ سکتا ہے۔
حد وہاں ہے جہاں SA ختم ہوتی ہے
RFC 4301 نقل و حمل کے انداز میں سلامتی کی انجمنوں کو وہ ترتیب قرار دیتا ہے جو عام طور پر میزبانوں کے جوڑے کے درمیان سرے سے سرے تک تحفظ کے لیے استعمال ہوتی ہے۔ یہ دونوں میزبان چابیاں رکھتے ہیں اور ہر ایک طے کرتا ہے کہ اس کے اپنے کون سے پیکٹ انجمن میں داخل ہوں۔ گیٹ وے کی سرنگ بالکل کہیں اور ختم ہوتی ہے اور میزبان تک ایک اضافی اندرونی قطعے کے ذریعے پہنچتی ہے، جو اعتماد کی ایک مختلف حد ہے چاہے پیکٹ اپنے سفر کے بیشتر حصے میں خفیف ہو۔
میزبان تا میزبان اور نقل و حمل کا انداز تاہم مترادف نہیں ہیں۔ دو میزبان اپنے درمیان سرنگ کے انداز میں انجمن اسی درستگی سے بنا سکتے ہیں، اس لیے پہلے انداز منتخب کریں اور پھر آخری مقامات بیان کریں۔ دونوں کو ڈیزائن نوٹ میں ساتھیوں کے پتوں کے ساتھ لکھیں، کیونکہ صرف انداز جاننے والا جائزہ لینے والا دوسرے کو فرض کرے گا۔
SPD تحفظ کا فیصلہ کرتا ہے، راستہ سمت کا
روٹنگ جدول بتاتا ہے کہ پیکٹ کہاں جاتا ہے۔ سلامتی پالیسی کا ڈیٹا بیس بتاتا ہے کہ منتخب ٹریفک تحفظ کی حد کیسے عبور کرتا ہے، اور یہ ہر سمت کے لیے اپنے منتخب کنندگان کے ساتھ کرتا ہے۔ یہی تفریق سبب ہے کہ ڈیٹا بیس تک کام کرنے والا راستہ اس بات پر کچھ ثابت نہیں کرتا کہ درخواست محفوظ تھی یا نہیں، اور یہ کہ قائم شدہ گفت و شنید کچھ ثابت نہیں کرتی اس بات پر کہ یہ مخصوص اطلاق اس سے مطابقت رکھتا تھا یا نہیں۔ شمار کنندگان کا موازنہ کرنے سے پہلے منتخب کنندگان کا موازنہ کریں، کیونکہ شمار کنندگان صرف ان بہاؤ کو بیان کرتے ہیں جو وہاں تک پہنچے۔
لینکس میں، ip xfrm policy ان اندراجات کو ان کی سمت، ترجیح، منتخب کنندہ اور اجازت، مسدود یا جال کے عمل کے ساتھ چھاپتا ہے، جبکہ ip xfrm state پیدا شدہ انجمنیں اور ان کے شمار کنندگان دکھاتا ہے۔ دونوں کو اکٹھا پڑھنا ہی وہ طریقہ ہے جس سے آپ وہ بہاؤ ڈھونڈتے ہیں جس نے سرنگ کو خاموشی سے نظر انداز کیا کیونکہ ایک وسیع تر اجازت کا اندراج پہلے مطابقت رکھتا تھا۔
ترجیح کی ترتیب پالیسی کا حصہ ہے، عمل درآمد کی تفصیل نہیں۔ ایک تنگ اندراج جسے ڈیٹا بیس کے پورٹ کا تحفظ کرنا چاہیے تھا، زیادہ ترجیح والے وسیع تر اندراج سے ہار جاتا ہے، اور ناکامی ایسی دکھتی ہے جیسے پالیسی سے کبھی پوچھا ہی نہ گیا۔
نقل و حمل کا انداز اگلی تہہ کو ڈھانپتا ہے، IP سرنامے کو نہیں
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
نقل و حمل کے انداز میں ESP سرنامہ IP سرنامے اور پے لوڈ کے درمیان ہوتا ہے، اور اس سرنامے کے پتے کے میدان راستے کے ہر آلے کو نظر آتے رہتے ہیں۔ یہ تب ٹھیک ہے جب پتے راز نہ ہوں اور پے لوڈ راز ہو۔ اگر آپ کو اندرونی ساخت بھی چھپانی ہو تو یہ غلط انتخاب ہے، کیونکہ صرف سرنگ کا انداز اصل سرنامے کو نئے کے اندر لپیٹتا ہے۔
دونوں انداز اگلی تہہ کے کئی پروٹوکول لے جا سکتے ہیں، اور ESP وہ محفوظ کرے گا جس سے منتخب کنندہ مطابقت رکھتا ہے، نہ کہ ہر وہ چیز جو میزبان بھیجتا ہے۔
انتخاب رابطے سے تنگ تر ہے
ایک انجمن کئی بہاؤ لے جا سکتی ہے، مگر صرف وہ جو پالیسی منتخب کرتی ہے۔ ساتھیوں کی شناختیں، ماخذ اور منزل کے پتے، پروٹوکول اور اس رشتے کی خدمت کا دائرہ ریکارڈ کریں جو آپ کا ارادہ ہے، پھر الگ سے فیصلہ کریں کہ غیر مطابق ٹریفک کھلے طور پر جا سکتا ہے، اس کا تحفظ لازم ہے، یا انجمن دستیاب نہ ہونے پر اسے گرا دینا لازم ہے۔ یہی آخری فیصلہ حیرتیں پیدا کرتا ہے، کیونکہ غلط ماخذ کے لیے تحفظ کا تقاضا کرنے والا قاعدہ آپ کی اپنی انتظامی رسائی کو اسی طرح مؤثر طور پر روک سکتا ہے جیسے وہ کسی گھس پیٹھنے والے کو روکتا ہے۔
نافذ کرنے کا طریقہ بدلتے وقت منظور شدہ بیرون بند راستہ برقرار رکھیں، اور ضرورت پڑنے سے پہلے اسے آزمائیں، نہ کہ دونوں میزبان ناقابل رسائی ہونے کے بعد۔
مشین کی شناخت اطلاق کی اجازت نہیں ہے
IPsec تشکیل شدہ ساتھی کی توثیق کرتا ہے اور منتخب پیکٹ محفوظ کرتا ہے۔ یہ طے نہیں کرتا کہ کوئی شخص کون سا ڈیٹا بیس ریکارڈ تبدیل کر سکتا ہے، اور قابل اعتماد سرور کی شناخت کو ہر اطلاقی استحقاق دینے میں تبدیل نہیں کرتا۔ اطلاق کے کھاتے، کردار اور اجازت عین وہیں رہتے ہیں جہاں تھے، اور اطلاقی سطح کی TLS شرط اپنا مقصد برقرار رکھتی ہے چاہے نیٹ ورک کا راستہ پہلے ہی محفوظ ہو۔
ڈیزائن کو مطلوبہ ماخذ سے ایک عمل اور ایک ایسے عمل کے ساتھ قبول کریں جسے مسترد ہونا چاہیے، اور یہ بھی شامل کریں کہ جب مطلوبہ انجمن قائم نہ ہو سکے تو کیا ہوتا ہے۔ ایک عام رسائی آزمائش آپ کو بتاتی ہے کہ پیکٹ حرکت کرتے ہیں؛ یہ نہیں بتاتی کہ وہ آپ کی لکھی ہوئی پالیسی کے تحت حرکت کرتے رہے۔