MPLS VPN یا IPsec تہہ: تین معاہدے جنہیں طے کرنا ہے

تین وعدے ایک ہی وسیع علاقے کی پیشکش میں بیٹھتے ہیں، اور ایک خریدنا باقی نہیں خریدتا۔ کوئی آپ کے پیکٹ آگے بھیجتا ہے، کوئی آپ کی روٹنگ کو ہر دوسرے گاہک سے الگ رکھتا ہے، اور کوئی فیصلہ کرتا ہے کہ پے لوڈ سفر کے دوران پڑھا جا سکتا ہے یا نہیں۔ یہ وعدے مختلف فریقوں کے ہو سکتے ہیں اور پھر بھی ایک قابل عمل ڈیزائن بیان کرتے ہیں۔ انہیں الگ کرنا ہی فیصلہ ہے؛ کسی ٹیکنالوجی کا نام چننا نہیں۔

ایک ہی وسیع علاقے کی پیشکش میں تین وعدے

پہلا وعدہ نقل و حمل ہے: کون سی سائٹیں جڑتی ہیں، کون سے رسائی سرکٹس پر، اور ان کے درمیان پیکٹ کون آگے بھیجتا ہے۔ دوسرا روٹنگ ہے: کون سے سابقے ایک دوسرے تک پہنچ سکتے ہیں، تبدیلی کی منظوری کون دیتا ہے، اور آپ کی ٹریفک کسی دوسرے کرایہ دار سے الگ کیسے رہتی ہے۔ تیسرا تحفظ ہے: کیا خفیہ کیا جاتا ہے، کن آخری نقطوں کے درمیان، اور چابیاں کس کے پاس ہیں۔ ہر ایک تحریری طور پر مانگیں، کیونکہ ہر جواب الگ دستاویز میں رہتا ہے۔

فراہم کنندہ کی پیشکش عموماً پہلے کی قیمت لگاتی ہے، دوسرے کو فرض کر لیتی ہے اور تیسرا آپ پر چھوڑ دیتی ہے۔ یہ بے ایمانی نہیں؛ تینوں مختلف ٹیمیں بیچتی ہیں۔ یہ مسئلہ بنتا ہے جب ڈیزائن جائزہ پاتا ہے کہ سکیورٹی ٹیم نے انکرپشن فرض کیا اور نیٹ ورک ٹیم نے فرض کیا کہ کیریئر اسے سنبھال رہا ہے۔ جملے کو تین میں تقسیم کرنا ایک گھنٹہ لیتا ہے اور اس میٹنگ کو روکتا ہے۔

لیبل آگے بھیجنے کو بیان کرتا ہے، حوالگی کے مقام پر خدمت کو نہیں

کثیر پروٹوکول لیبل سوئچنگ بتاتی ہے کہ پیکٹ فراہم کنندہ کے نیٹ ورک کے اندر کیسے سفر کرتا ہے۔ یہ نہیں بتاتی کہ گاہک کس سے جڑتا ہے یا گاہک فراہم کنندہ کے کنارے کے ساتھ کیا تبادلہ کرتا ہے۔ فراہم کنندہ MPLS پر روٹ شدہ IP VPN بنا سکتا ہے، یا بالکل مختلف کنکشن ماڈل کے ساتھ تہہ 2 کی خدمت، اور دونوں آپ تک «MPLS کنکشن» کے طور پر پہنچ سکتے ہیں۔

IETF کی فراہم کنندہ کے فراہم کردہ VPN کی اصطلاحات نے لغت بالکل اسی کے لیے متعین کی ہے: گاہک کا کنارہ، فراہم کنندہ کا کنارہ، اور ان کے درمیان بنائے گئے خدمت کے ماڈل۔ اسے تب استعمال کریں جب پیشکش تہوں کو دھندلا کرے، اور پوچھیں کہ حوالگی جسمانی طور پر کیا ہے۔

روٹ شدہ خدمت آپ کو فراہم کنندہ کے کنارے کے ساتھ روٹنگ کا رشتہ دیتی ہے، اس لیے سابقہ شامل کرنا دو تنظیموں میں تبدیلی کی درخواست بن جاتا ہے۔ تہہ 2 کی حوالگی آپ کی اپنی روٹنگ لے کر چلتی ہے اور آپریشنل بوجھ آپ کی طرف منتقل کرتی ہے۔ کوئی بھی تجریدی طور پر بہتر نہیں؛ جواب اس بات سے نکلتا ہے کہ آپ کی ٹوپولوجی کتنی بار بدلتی ہے اور آپ رات تین بجے کس کو جواب دیتے دیکھنا چاہتے ہیں۔

انکرپشن ایک وعدہ ہے جسے آپ اتفاق سے نہیں سونپ سکتے

نجی نقل و حمل پے لوڈ کو ناقابلِ مطالعہ نہیں بناتی۔ فراہم کنندہ کی علیحدگی کرایہ داروں کو آپریشنل طور پر الگ رکھتی ہے؛ یہ اس بارے میں بیان نہیں کہ راستے میں بائٹس کون دیکھ سکتا ہے۔ اگر تقاضا یہ ہے کہ کیریئر ٹریفک نہ پڑھ سکے، تو اس تقاضے کو ایسا طریقہ چاہیے جو آپ کنٹرول کرتے ہیں، اور IPsec عام ہے۔

IPsec نجی نقل و حمل پر اسی آسانی سے چلتا ہے جیسے انٹرنیٹ رسائی پر، اس لیے «MPLS یا IPsec» جھوٹا انتخاب ہے جب بھی آپ کو بیک وقت منظم رسائی اور اپنی اعتماد کی حد درکار ہو۔ فیصلہ کریں کہ سرنگ کہاں ختم ہوتی ہے، کیونکہ روٹر پر ختم ہونے والی سرنگ اس روٹر کے پیچھے والا حصہ کھلے متن میں چھوڑ دیتی ہے۔ پھر فیصلہ کریں کہ ہر ساتھی کو کون منتظم کرتا ہے، کیونکہ تیسرے فریق کے پاس رکھی چابی وہ حد نہیں جو آپ کی ملکیت ہو۔

ہر وعدے کو نام اور قابلِ پیمائش حد دیں

ہر وعدے کے لیے ایک سطر لکھیں جس میں مالک اور قابلِ پیمائش حد ہو۔ رسائی سرکٹ کی دستیابی اس کے سپلائر کی ہے، بیک بون کی تاخیر فراہم کنندہ کی ہے، اور سرنگ کی زندگی ان لوگوں کی ہے جو آخری نقطے چلاتے ہیں۔ ایک ہی سرے سے سرے تک نمبر جسے کوئی نہیں ناپتا وہ نمبر ہے جو کوئی آپ کا مقروض نہیں۔

سروس لیول معاہدہ معاہدے اور اس کے دائرہ کار سے آتا ہے، کسی ٹیکنالوجی کے نام کے حروف سے نہیں۔ IPsec بہترین کوشش والی انٹرنیٹ نقل و حمل کا تقاضا نہیں کرتا، اور MPLS بذاتِ خود تاخیر کی ضمانت نہیں رکھتا؛ دونوں بنیادی نیٹ ورک اور آپ کے منتخب کردہ آخری نقطوں پر منحصر ہیں۔

جو راستہ آپ نے کھینچا اسے آزمائیں، بشمول اس کی ناکامی

کشادہ انٹرفیس والی نجی نقل و حمل پھر بھی ناکام ہو سکتی ہے جب کوئی تہہ ہیڈر شامل کرے، اور علامت وہ سیشن ہے جو قائم ہوتا ہے اور پھر بڑے جوابات پر رک جاتا ہے۔ قابلِ استعمال سائز کو اس بارے میں استدلال کرنے کے بجائے آزمائیں، اور سب سے بڑا پیکٹ لکھیں جو سرے سے سرے تک گزرتا ہے۔ یہ بینڈوتھ پر بحث سے پہلے کریں، کیونکہ بڑے پیکٹ گرانے والا راستہ ایپلیکیشن کے مسئلے جیسا لگتا ہے۔ یہ نمبر ہر رسائی سرکٹ کے MTU کے ساتھ ڈیزائن دستاویز کا حصہ ہے۔

ping -M do -s 1400 -c 3 <vpn-gateway>
traceroute -n <vpn-gateway>

یہ کمانڈز ایک سائٹ پر Linux میزبان سے آتی ہیں؛ دوسرے پلیٹ فارم وہی آزمائش مختلف طرح لکھتے ہیں۔ اگر کسی سائٹ کو چھوٹی قدر درکار ہو، تو یہ ڈیزائن کی قید ہے جسے درج کرنا ہے، نہ کہ خرابی جسے رپورٹ کرنا ہے۔ وہی نظم تھروپٹ پر بھی لاگو ہوتا ہے، کیونکہ انکرپشن پروسیسنگ کا خرچ ہے اور آخری نقطہ گنجائش کے حساب کا حصہ بن جاتا ہے۔

دستخط سے پہلے دو خاکے بنائیں: معمول کا راستہ جس میں ہر مالک کا لیبل ہو، اور ناکامی کا راستہ اپنے انہی لیبلوں کے ساتھ۔ دوسرا ایسے ڈیزائن ظاہر کرتا ہے جو کاغذ پر فاضل لگتے ہیں اور عملاً ایک ہی آلے پر منحصر ہوتے ہیں۔ جب خلل آتا ہے، وہی نقشہ ایک الجھی ہوئی صبح کو مختصر ٹریاج میں بدل دیتا ہے۔