IPsec ٹنل انٹرفیس کی نگرانی: کیا پڑھیں

راستوں پر مبنی IPsec ڈیزائن ایک مجازی انٹرفیس نصب کرتا ہے، اور یہ انٹرفیس نگرانی کو ایک ٹھوس چیز دیتا ہے: کوئی چیز جس کا نام، کاؤنٹرز اور اس سے منسلک راستہ ہو۔ یہ بذات خود صحت کا اشارہ نہیں ہے۔ انٹرفیس اس وقت بھی موجود ہو سکتا ہے جب کوئی قابلِ استعمال ایسوسی ایشن نصب نہ ہو، اور ایسوسی ایشن صحت مند ہو سکتی ہے جبکہ کوئی راستہ دلچسپ ٹریفک اس کی طرف نہ بھیجے۔ چار حالتوں کو ایک ساتھ پڑھنا ہی پیکٹ کاؤنٹر کو تشخیص میں بدلتا ہے۔

انہیں ترتیب سے دیکھیں اور پہلی ناکام حالت پر رک جائیں۔

انٹرفیس تصویر میں کیا اضافہ کرتا ہے

پالیسی پر مبنی ڈیزائن میں انتخاب IPsec پالیسی جدول میں رہتا ہے اور کرنل ٹریفک سلیکٹرز کی بنیاد پر فیصلہ کرتا ہے کہ کیا محفوظ ہوگا۔ راستوں پر مبنی ڈیزائن ایک انٹرفیس اور ایک راستہ شامل کرتا ہے، اس لیے tcpdump اور انٹرفیس کاؤنٹرز سلیکٹرز کے مجموعے کے بجائے ایک حد دیکھتے ہیں۔ یہ تشخیص اور ان روٹنگ پروٹوکولز کے لیے حقیقی فائدہ ہے جنہیں peering کے لیے انٹرفیس درکار ہوتا ہے۔

فائدہ انتظامی ہے، نہ کہ خفیہ کاری کا۔ انٹرفیس اُس ٹریفک کی اطلاع دیتا ہے جو وہ لے کر چلتا ہے اور اس بارے میں کچھ نہیں کہتا کہ ساتھی کی حفاظت اس وقت قابلِ استعمال ہے یا نہیں۔

ٹنل کو موردِ الزام ٹھہرانے سے پہلے چار حالتیں پڑھیں

انٹرفیس اور راستے سے شروع کریں، پھر ایسوسی ایشن، پھر ایپلیکیشن۔ ہر ایک کا اپنا کمانڈ اور اپنی ناکامی کی علامت ہے۔ ایک پرت میں صاف نتیجہ اگلی پرت میں صاف نتیجہ نہیں ہے۔ نتیجہ اخذ کرنے سے پہلے چاروں چلائیں۔ ایک سبز سطر شاذ و نادر ہی کچھ طے کرتی ہے۔

ip -s link show xfrm0
ip route get 10.20.30.40
ip xfrm state
ip xfrm policy
swanctl --list-sas
tcpdump -ni xfrm0 -c 20 host 10.20.30.40

وہ انٹرفیس جس کا کاؤنٹر بڑھ رہا ہے مگر کوئی مماثل حالت درج نہیں، ایسی ٹریفک بیان کرتا ہے جو ایسے راستے میں داخل ہو رہی ہے جہاں کوئی چیز اسے محفوظ نہیں کرتی، اور یہ محض بند ٹنل سے بدتر ہے۔ راستے کے بغیر حالت کا اندراج جس نے انٹرفیس منتخب کرنا ہو، اس کا مطلب ہے کہ خفیہ کاری تیار ہے اور غیر استعمال شدہ ہے۔

ایپلیکیشن کی جانچ جان بوجھ کر آخر میں آتی ہے: ٹنل کے دوسری طرف کامیاب ping ثابت نہیں کرتا کہ اس کے پیچھے کی خدمت روابط قبول کرتی ہے۔

اندرونی کاؤنٹرز کا بیرونی کاؤنٹرز سے موازنہ کریں

ٹنل انٹرفیس پر کاؤنٹرز اندرونی ٹریفک ناپتے ہیں؛ فزیکل انٹرفیس پر کاؤنٹرز اور کیپچرز encapsulated تبادلہ دکھاتے ہیں۔ یہ دونوں ایک کے بدلے ایک نہیں ملیں گے، کیونکہ encapsulation سرخیاں بڑھاتا ہے، دوبارہ ترسیل کچھ پیکٹوں کو نقل کرتی ہے اور implementation کی گنتی اپنے قواعد پر چلتی ہے۔ تناسب کی توقع رکھیں، برابری کی نہیں۔

کیپچر کی جگہ یہ بھی طے کرتی ہے کہ آپ کون سا نجی ڈیٹا جمع کرتے ہیں، اس لیے پروڈکشن ٹریفک کے مکمل کیپچر کے بجائے تنگ فلٹرز اور ایک بے ضرر ٹیسٹ پتہ استعمال کریں۔

اگر اندرونی گنتی بڑھے اور بیرونی نہ بڑھے، تو غائب قدم عام طور پر وہ راستہ یا پالیسی ہے جو پیکٹ ٹنل میں بھیجتی ہے، نہ کہ خود ٹنل۔

کلید کی تجدید اور فیل اوور کے دوران اسے دیکھیں

اسی چار حالتوں پر نظر رکھتے ہوئے کلید کی تجدید، مردہ ساتھی کی شناخت کے واقعے اور لنک فیل اوور کا مشاہدہ کریں۔ انٹرفیس ایسی کلید کی تجدید کے دوران بھی موجود رہ سکتا ہے جو کبھی مکمل نہ ہو، اور فیل اوور حالت کا اندراج ایسے ساتھی کے پتے کی طرف اشارہ کرتا چھوڑ سکتا ہے جو اب قابلِ رسائی نہ ہو۔

اُس سروس راستے پر انتباہ دیں جس پر آپ واقعی منحصر ہیں، ایسوسی ایشن کی حالت کو سیاق کے طور پر لے کر، نہ کہ کسی ایک اپ یا ڈاؤن پرچم پر۔ انٹرفیس کا نام، ساتھی کا پتہ اور راستہ انتباہ کے پے لوڈ میں رکھیں تاکہ جواب دینے والے کو انہیں دوبارہ بنانا نہ پڑے۔

strongSwan اپنا XFRM انٹرفیس ماڈل دستاویز کرتا ہے، اور دوسرے پلیٹ فارم مساوی چیز کو مختلف نام اور انداز میں نافذ کرتے ہیں۔ کسی دوسری implementation سے مفروضے منتقل کرنے سے پہلے اپنے سامنے موجود ڈیوائس کے لیے راستوں پر مبنی موازنہ پڑھیں۔ ایک مانیٹرنگ ٹیمپلیٹ جو ایک وینڈر کے کاؤنٹرز پر فٹ ہو، دوسرے پر خاموشی سے گمراہ کرے گا۔