Mac پر Kerberos SSO اور VPN: داخلے کے دو راستوں کا موازنہ کریں

دو طریقے Mac پر ایک ہی خوشگوار نتیجہ دیتے ہیں اور اندر سے بالکل مختلف برتاؤ کرتے ہیں۔ ایک SSO ایکسٹینشن کے ذریعے Kerberos ٹکٹ حاصل کرتا ہے اور شرکت کرنے والی ایپلیکیشنوں کو دیتا ہے۔ دوسرا شناخت فراہم کنندہ کے ساتھ براؤزر سیشن رکھتا ہے اور ویب ایپلیکیشنوں کو اسے تسلیم کرنے دیتا ہے۔ وہ اس بات میں مختلف ہیں کہ انہیں نیٹ ورک پر کیا درکار ہے، ان کے اسناد کتنی دیر تک چلتے ہیں، اور سرنگ گرنے کے لمحے کیا ہوتا ہے۔

دو طریقے، ایک داخلہ اسکرین

ٹکٹ پر مبنی راستہ Kerberos ڈومین، کلید تقسیم مرکز اور اس سے متفق گھڑی پر منحصر ہے۔ براؤزر کا راستہ قابل رسائی شناخت فراہم کنندہ، کوکی یا ٹوکن، اور اس جاری کنندہ پر بھروسہ کرنے والی ایپلیکیشن پر منحصر ہے۔ دونوں کو داخلے پر شروع ہونے کے لیے ترتیب دیا جا سکتا ہے، اسی لیے انہیں ایک ہی خصوصیت سمجھ لیا جاتا ہے۔ ایپلیکیشنوں کو فیصلہ کرنا ہوتا ہے کہ دونوں میں سے کسے قبول کرنا ہے، اور Mac قانونی طور پر دونوں کو ایک ساتھ چلا سکتا ہے۔

ان کا موازنہ یہ پوچھ کر کریں کہ صارف کے ایپلیکیشن کھولنے پر وہ کیا جانچتی ہے۔ Kerberos ڈومین سے منسلک فائل سروس کو سروس ٹکٹ چاہیے ہوتا ہے، اور براؤزر سیشن کی کوئی بھی مقدار اسے مطمئن نہیں کرے گی۔ جدید شناخت فراہم کنندہ کے پیچھے ویب ایپلیکیشن کو اسی فراہم کنندہ کا ٹوکن چاہیے ہوتا ہے اور Kerberos ٹکٹ کو مکمل طور پر نظر انداز کرتی ہے۔ یہ جاننے کے بعد کہ کون سی جانچ ہوتی ہے، تعیناتی کے سوالات عمومی کی بجائے مخصوص ہو جاتے ہیں۔

Kerberos ایکسٹینشن کو نیٹ ورک پر کیا درکار ہے

Apple کی Kerberos SSO ایکسٹینشن گائیڈ فعال ٹکٹ حصول کے ساتھ مقامی Active Directory تصدیق بیان کرتی ہے، جو ڈومین بائنڈنگ کی بجائے مقامی اکاؤنٹس کے ساتھ جوڑی گئی ہے۔ جو یہ نہیں کر سکتی وہ ڈومین کنٹرولرز تک راستہ ایجاد کرنا ہے۔ Mac کو ایسا حل کنندہ درکار ہے جو Kerberos سروس ریکارڈز کا جواب دے، اور ایسا راستہ جو منظور شدہ سرنگ سے ان تک پہنچے۔ جو پروفائل صاف طور پر انسٹال ہوتی ہے وہ تب تک کچھ ثابت نہیں کرتی جب تک ڈومین واقعی کلائنٹ سے دریافت نہ ہو سکے۔

اسناد جانچنے سے پہلے دریافت جانچیں: Kerberos ڈومین کے SRV ریکارڈز حل ہونے چاہئیں، اور وہ جو پتے واپس کرتے ہیں وہ VPN کے چلنے کے بعد قابل رسائی ہونے چاہئیں۔ وقت بھی رسائی جتنا ہی اہم ہے، کیونکہ Kerberos اپنی برداشت سے آگے بڑھی گھڑی کی درخواستیں مسترد کرتا ہے، اور پیدا ہونے والی غلطی تصدیق کی ناکامی جیسی لگتی ہے۔ جو Mac سرنگ بند ہونے پر وقت کے ماخذ تک نہیں پہنچ سکتا وہ واپس آنے کے لمحے پھر ناکام ہوگا۔ گھڑی کے ماخذ کو واقعے کے ردعمل کے بجائے تعیناتی کے حصے کے طور پر درست کریں۔

klist
sudo sntp -sS time.apple.com

فی ایپ VPN طے کرتا ہے کہ ایکسٹینشن کام کر سکتی ہے یا نہیں

مکمل سرنگ سب کچھ روٹ کرتی ہے اور اس مسئلے کو چھپا دیتی ہے۔ فی ایپ ترتیب صرف ان ایپلیکیشنوں کو روٹ کرتی ہے جن کا نام VPN پروفائل میں ہے، اور SSO ایکسٹینشن خود ایسا عمل ہے جسے ٹکٹ لانے کے لیے نیٹ ورک درکار ہوتا ہے۔ اگر یہ نقشہ سازی میں نہ ہو تو مقامی داخلہ کامیاب ہوتا ہے، براؤزر کے لیے سرنگ اوپر آتی ہے، اور ٹکٹ حصول پھر بھی ناکام ہوتا ہے۔

VPN ترتیب پڑھیں اور ہر وہ ایپلیکیشن فہرست کریں جسے اسے ڈھانپنا چاہیے، پھر بنڈل شناخت کنندہ کا اندازہ لگانے کی بجائے دستاویزی نقشہ سازی طریقے سے SSO جزو شامل کریں۔ نظر آنے والے کلائنٹ کی نقشہ سازی کرنا اور اس کے پیچھے والے جزو کی نہ کرنا اس غلطی کی کلاسیکی شکل ہے۔ نقشہ سازی کو ایکسٹینشن کے ساتھ اسی زیر انتظام پروفائل میں رکھیں، تاکہ ایک میں تبدیلی دوسرے کو خاموشی سے باطل نہ کر سکے۔ ایسے صارف کے ساتھ جانچیں جس نے اس Mac پر کبھی داخلہ نہیں کیا، کیونکہ کیش شدہ ٹکٹ ٹوٹے راستے کو صحت مند دکھا سکتا ہے، پھر پاس ورڈ تبدیل کرنے کے بعد دوبارہ جانچیں۔

براؤزر کی شناخت کا سیشن ایک الگ معاہدہ ہے

براؤزر سیشن میں کوئی Kerberos ڈومین نہیں، سروس ٹکٹ نہیں اور Kerberos کے معنی میں گھڑی کی برداشت نہیں ہوتی۔ اس میں جاری کنندہ، ٹوکن کی عمر اور تازہ کاری کا راستہ ہوتا ہے، اور اس کی ناکامی کی صورتیں ایسی ری ڈائریکٹ ہیں جو کبھی مکمل نہیں ہوتیں اور ایسی کوکیز ہیں جنہیں نجی ونڈو پھینک دیتی ہے۔ اسے ٹکٹ راستے کا متبادل سمجھنا صرف وہاں محفوظ ہے جہاں ایپلیکیشن خود اس جاری کنندہ کو قبول کرتی ہے۔ VPN پورٹل سے تصدیق کا جواب کسی غیر متعلق سروس میں نقل کرنا انضمام نہیں ہے، چاہے شارٹ کٹ کتنا ہی آسان لگے۔

جب دونوں طریقے تعینات ہوں تو دستاویز کریں کہ کون سی ایپلیکیشنز کسے استعمال کرتی ہیں، کیونکہ معاونت کی گفتگو اسی پر منحصر ہے۔ جو صارف کہتا ہے کہ وہ داخل ہے مگر فائل شیئر نہیں کھول سکتا، وہ دو نظام بیان کر رہا ہے، اور جواب یہ ہے کہ ٹکٹ راستہ کبھی چلا ہی نہیں۔ جو صارف شیئر کھول سکتا ہے مگر انٹرانیٹ پورٹل نہیں، وہ اس کے برعکس بیان کر رہا ہے، اور ٹکٹ میں طریقے کا نام لینے سے سوالوں کا ایک مرحلہ بچتا ہے۔

ترتیب سے چلیں، ٹکڑوں سے نہیں

عام رجسٹرڈ اکاؤنٹ کے ساتھ پوری زنجیر چلیں: مقامی داخلہ، سرنگ، ٹکٹ حصول، پھر کسی سروس کے خلاف ایک حقیقی کارروائی۔ سرنگ کے دوبارہ جڑنے کے بعد اور جان بوجھ کر پاس ورڈ تبدیل کرنے کے بعد اسے دہرائیں، کیونکہ ان میں سے ہر صورت زندگی کی منطق کا مختلف حصہ آزماتی ہے۔ ہر مرحلے کا الگ سے گزرنا زنجیر کے کام کرنے کے برابر نہیں۔ زنجیر ہی صارف کا تجربہ ہے، اور اسی کو قبولیت کا کیس ڈھانپنا چاہیے۔

پروفائل مالک، VPN تصدیق کا طریقہ، ڈومین دریافت کا راستہ اور ایکسٹینشن کی ایپلیکیشن نقشہ سازی ایک ہی جگہ درج کریں۔ وہی ریکارڈ بہاؤ کو اس شخص کے لیے دوبارہ پیدا کرنے کے قابل بناتا ہے جس نے اسے بنایا نہیں۔ پھر سب سے زیادہ ممکنہ ناکامی جانچیں، سرنگ بند ہونے پر میعاد ختم شدہ ٹکٹ، اور تصدیق کریں کہ کلائنٹ دوبارہ شروع کیے بغیر بحال ہوتا ہے، کیونکہ صرف ٹھنڈے آغاز سے چلنے والی تعیناتی مکمل نہیں ہوتی۔

ہر مرحلے کا مالک بھی نوٹ کریں، کیونکہ جس Kerberos ڈومین کی کوئی دیکھ بھال نہیں کرتا وہ پرانا ہو جاتا ہے۔ جس زنجیر کو کوئی بیان نہیں کر سکتا وہ ایسی زنجیر ہے جسے کوئی ڈیبگ نہیں کر سکتا۔