آپ کے منظم VPN کا انٹرنیٹ اخراج اصل میں کہاں سے باہر نکلتا ہے
«انٹرنیٹ شامل ہے» اس بارے میں کچھ نہیں کہتا کہ عوامی ٹریفک کہاں سے نکلتا ہے، اسے کون فلٹر کرتا ہے یا ناکامی کے بعد کیا بچتا ہے۔ راستے کا پیچھا کریں، پھر ناکامی کی دونوں صورتیں لکھیں۔
جب تک تجویز یہ نہ دکھائے کہ وہ ٹریفک فراہم کنندہ کے نیٹ ورک سے کہاں نکلتی ہے، آپ یہ نہیں کہہ سکتے کہ کسی شاخ کی عوامی ٹریفک کو کون فلٹر کرتا ہے۔ منظم VPN میں شامل انٹرنیٹ رسائی دوسری سروس ہے، جو اپنے گیٹ ویز، اپنے پتے کی ترجمانی اور اپنی ایسکلیشن قطار والے راستے پر چلتی ہے۔ زیادہ تر معاہدے نجی پہلو کی تفصیل بیان کرتے ہیں اور عوامی پہلو کو ایک ہی جملے پر چھوڑ دیتے ہیں۔ نیچے دیے گئے جائزے اس جملے کو ایسے خاکے میں بدل دیتے ہیں جس کا آپ دفاع کر سکیں۔
ہر سائٹ کے لیے ایک عوامی منزل کا پیچھا کریں
کسی شاخ کا ایک ہوسٹ چنیں اور ایک عوامی منزل کا پیچھا کریں، فراہم کنندہ کا آخری پتہ اور انٹرنیٹ کا پہلا پتہ نوٹ کریں۔ ان دو پتوں کے درمیان چھلانگ ہی اخراج ہے، اور یہ اکثر اس سائٹ کے قریب بھی نہیں ہوتا جس نے پیکٹ بھیجا۔ اس آلے کو نشان زد کریں جو یہ تبدیلی کرتا ہے، کیونکہ کیا باہر جائے گا یہ اسی آلے میں موجود فلٹر طے کرتا ہے۔ دوسری سائٹ سے وہی ٹریس دہرائیں اور اخراج کے پتوں کا موازنہ کریں، کیونکہ بل پر یکساں دکھنے والی دو شاخیں مختلف شہروں کے مختلف گیٹ ویز سے باہر نکل سکتی ہیں۔
وہ ماخذ پتہ بھی نوٹ کریں جو منزل واقعی دیکھتی ہے، کیونکہ ترجمانی ایسی چھلانگ پر ہو سکتی ہے جو آپ نے کبھی نہیں بنائی۔ دیکھے گئے جوابات بنائے گئے جوابات کے ساتھ لکھیں، اور ان کے درمیان فرق ہی وہ جگہ ہے جہاں سے پہلا واقعہ آئے گا۔ کسی مخصوص سائٹ کے لیے اخراج کا پتہ نہ دے سکنے والے فراہم کنندہ کے انجینئر نے آپ کو ڈیزائن کے بارے میں پہلے ہی کارآمد بات بتا دی ہے۔
اخراج کی تین ترتیبیں اور ہر ایک کیا مرکوز کرتی ہے
آپ خود چلانے والا مرکزی اخراج عوامی ٹریفک کو آپ کے اپنے گیٹ وے کی طرف کھینچتا ہے، جو آپ کو فلٹرنگ پالیسی اور لاگ دیتا ہے مگر تمام سائٹوں کا بوجھ ایک ہی سرکٹ پر مرکوز کر دیتا ہے۔ فراہم کنندہ کا چلایا ہوا اخراج پالیسی اور لاگ کو معاہدے کی حد سے پرے منتقل کرتا ہے، جو کام کو آسان بناتا ہے اور اسی حرکت میں آپ کی نظر پوشیدہ کر دیتا ہے۔ ہر سائٹ پر اخراج عوامی ٹریفک کو مقامی رکھتا ہے اور ایسی پالیسی سطحوں کی تعداد بڑھا دیتا ہے جو یکساں رہنی چاہئیں۔
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
فہرست کو مینو سمجھنے سے پہلے پوچھیں کہ فراہم کنندہ واقعی تین میں سے کون سی پیش کرتا ہے، اور پوچھیں کہ کیا کوئی سائٹ نئے سرکٹ کے بغیر ان کے درمیان جا سکتی ہے۔ ہجرت کا جواب معاہداتی چیز کو محض تکنیکی سے الگ کرتا ہے۔ یہ بھی درج کریں کہ ماخذ کی ترجمانی کس کی ملکیت ہے، کیونکہ اسی سے طے ہوتا ہے کہ ساتھی کو اجازت فہرست میں کیا ڈالنا ہے۔ مشترکہ گیٹ ویز کا مطلب مشترکہ صلاحیت اور کبھی کبھار مشترکہ ساکھ بھی ہے، جو بدل دیتا ہے کہ ساتھی آپ کے پتوں کے ساتھ کیسا سلوک کرتے ہیں۔ صلاحیت بھی اپنے الگ سوال کی حقدار ہے، کیونکہ مشترکہ گیٹ وے اسی لمحے دوسرے گاہکوں کی خدمت کر رہا ہوتا ہے۔
فلٹرنگ، ترجمانی اور خفیہ کاری کے مالک الگ الگ ہیں
راستہ رسائی قائم کرتا ہے اور معائنے کے بارے میں کچھ نہیں کہتا، لہٰذا دونوں کو الگ مالکان والے الگ سوال سمجھیں۔ ہر اعلان شدہ ڈیفالٹ راستے کے لیے وہ آلہ نام دیں جو فلٹر کرتا ہے، جو تصدیق کرتا ہے، جو ترجمانی کرتا ہے اور جو معائنہ کرتا ہے، پھر بتائیں کہ ہر ایک کو کون چلاتا ہے۔ فراہم کنندہ کی راستہ تقسیم یہ نہیں بتاتی کہ خفیہ کاری کہاں ختم ہوتی ہے، اور نجی سروس اپنی سرنگ ایک سرحد پر ختم کر سکتی ہے جبکہ عوامی اخراج دوسری سرحد پر ختم ہوتا ہے۔ پوچھیں کہ ترجمانی فراہم کنندہ کے کنارے، مشترکہ گیٹ وے پر یا آپ کے اپنے اخراج پر ہوتی ہے، اور کیا سیشن لاگ ہیں اور کتنی دیر رکھے جاتے ہیں۔ جوابات میں مالکان گنیں، کیونکہ چار کاموں کے لیے ایک فریق کا نام لینے والا معاہدہ عام طور پر ان میں سے تین کو دستاویز کے بغیر چھوڑ دیتا ہے۔
ایک وسیع ڈیفالٹ راستہ نجی روٹنگ سیاق میں درآمد کیا گیا اسی جائزے کا حقدار ہے، کیونکہ درآمد بے ضرر سہولت نہیں بلکہ دانستہ معاہدہ ہے۔ RFC 4364 کا سیکشن 11 BGP/MPLS VPN کے لیے انٹرنیٹ رسائی کی کئی ترتیبوں پر بحث کرتا ہے اور VPN سیاق اور فراہم کنندہ کے ڈیفالٹ فارورڈنگ سیاق کے درمیان راستوں کے تبادلے کو ٹھیک اسی قسم کا معاہدہ سمجھتا ہے۔ پوچھیں کہ عوامی ٹریفک کو غلطی سے نجی راستہ لینے سے کیا روکتا ہے، اور جواب سلائیڈ میں نہیں بلکہ راستہ پالیسی کے ساتھ لیں۔
دستخط سے پہلے طے کرنے والی ناکامی کی دو صورتیں
معاہدے میں دو ٹیسٹ لکھیں: انٹرنیٹ اخراج کا ختم ہونا، اور ایک نجی رابطے کا ختم ہونا۔ ہر ایک کے لیے اندرونی وسائل، مقامی انٹرنیٹ سروسز اور وہ انتظامی راستے فہرست کریں جو چلتے رہنے چاہئیں۔ پھر وہ بیک اپ راستہ فہرست کریں جو بلاک ہی رہنا چاہیے، کیونکہ مرکزی کنٹرولز کے گرد چکر لگانے والا راستہ صاف رکاوٹ سے بدتر ہے۔ دونوں ٹیسٹ فراہم کنندہ کو دیں اور ان کا متوقع نتیجہ تحریری طور پر طلب کریں، بشمول شناخت اور اطلاع۔
وہی جائزے کسی پائلٹ سائٹ سے چلائیں اور ان کا اس تحریری جواب سے موازنہ کریں۔ جہاں دونوں نہیں ملتے، وہاں معاہدہ اس نیٹ ورک سے مختلف نیٹ ورک بیان کر رہا ہے جو آپ نے خریدا تھا۔ دو کمانڈز عام صورتیں ڈھانپتی ہیں: ایک وہ راستہ دکھاتی ہے جو عوامی منزل لیتی ہے، دوسری وہ پتہ دکھاتی ہے جو وہ دیکھتی ہے۔
traceroute -n 203.0.113.10
curl -s https://example.net/ipدستیابی کے وعدے سروس کے نام سے نہیں بلکہ اس حصے سے جوڑیں جو آپ نے ناپا۔ مقامی سرکٹ، فراہم کنندہ کی ریڑھ اور مشترکہ گیٹ وے الگ ذمہ داریاں اور الگ ایسکلیشن ٹیمیں اٹھاتے ہیں۔ L2VPN، L3VPN اور MPLS حروف فارورڈنگ طریقہ کار بیان کرتے ہیں، سرے سے سرے تک ضمانت نہیں۔
تجویز کی صفتوں کو ثبوت ہرا دیتے ہیں
زائد، محفوظ اور مضبوط جیسے الفاظ ڈیزائن نہیں بلکہ ارادہ بیان کرتے ہیں۔ اس کے بجائے آلات کی فہرست، اخراج کے مقامات، ترجمانی کا خاکہ اور اطلاع کا راستہ مانگیں۔ جو فراہم کنندہ یہ چار چیزیں دے سکتا ہے اس کے پاس ڈیزائن ہے؛ جو نہیں دے سکتا اس کے پاس سلائیڈ ہے۔ جوابات ای میل تھریڈ میں نہیں بلکہ سروس دستاویزات میں رکھیں، اور ہر معاہدہ تبدیلی پر انہیں دوبارہ دیکھیں۔
فراہم کنندگان گیٹ ویز یکجا کرتے ہیں تو اخراج کی ترتیبیں خاموشی سے سرکتی ہیں، اس لیے تین سال پرانا خاکہ بوجھ ہے۔ جب ساتھی کوئی انجان ماخذ پتہ بتائے، تو آپ کو چند منٹوں میں کہہ سکنا چاہیے کہ یہ آپ کے ڈیزائن سے آیا یا کسی ایسی تبدیلی سے جس کا کسی نے اعلان نہیں کیا۔ صفتیں نہیں بلکہ یہی صلاحیت پہلی رکاوٹ کے بعد بچتی ہے۔