متعدد راؤٹر Pi VPN: ہر راستہ اُس آلے پر رکھیں جو فیصلہ کرتا ہے
نیچے والا راؤٹر دوسرا کلائنٹ سب نیٹ شامل کرتا ہے، اور چار آلات میں سے ہر ایک کے پاس ایک فیصلہ ہے۔ راستے رکھیں، ماخذ جانچیں، پھر حقیقی کلائنٹ سے جانچیں۔
Pi کے پیچھے Wi-Fi باکس رکھنا ایک راؤٹنگ فیصلے کو چار بنا دیتا ہے، اور جب چاروں ایک ہی آلے پر لیے جائیں تو منصوبہ ٹوٹ جاتا ہے۔ پہلا سوال یہ نہیں کہ کون سا راستہ شامل کریں۔ یہ ہے کہ نیا باکس برج کرتا ہے یا راؤٹ، کیونکہ یہی جواب طے کرتا ہے کہ کتنے سب نیٹ ہیں اور کن آلات کو اُن کے بارے میں سیکھنا ہے۔ پہلے جوڑ کا ماڈل چنیں؛ ہر راستہ اُسی سے نکلتا ہے۔
برج یا راؤٹ: وہ انتخاب جو تعداد طے کرتا ہے
برج نئے کلائنٹس کو اُسی سب نیٹ پر رکھتا ہے جس پر Pi پہلے سے خدمت دے رہا ہے۔ ایک سب نیٹ، ایک DHCP اختیار، اور راؤٹ کرنے کے لیے کوئی حوالگی نہیں۔ یہ آسان ترتیب ہے اور جب الگ کلائنٹ نیٹ ورک کبھی ضرورت نہ رہا ہو تو درست ہے۔ راؤٹ شدہ لنک الگ ڈیزائن ہے: باکس اپنا سب نیٹ رکھتا ہے، اور وہ سابقہ ہر اُس جگہ لے جانا پڑتا ہے جہاں ٹریفک جاتی ہے۔
اس منصوبے کا باقی حصہ نیچے والا راؤٹر رکھتا ہے اور کلائنٹ ماخذ پتے محفوظ رکھتا ہے۔ ہدف ایک نجی VPN نیٹ ورک ہے، مکمل انٹرنیٹ اخراج نہیں۔ پتوں سے پہلے ماڈل لکھیں، کیونکہ نیچے کی فہرست صرف راؤٹ شدہ جوڑ کی ایک مثال ہے۔
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24کون کیا فیصلہ کرتا ہے
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
ہر آلہ ایک فیصلہ کرتا ہے، اور کوئی بھی دوسرے کا فیصلہ اُس کی جگہ نہیں لے سکتا۔ Pi کو ایک نہیں، دو اندراج چاہیے، اور واپسی کا راستہ ہی وہ ہے جو لوگ بھول جاتے ہیں۔ آگے بھیجی گئی ٹریفک نجی نیٹ ورک تک درست پہنچتی ہے اور پھر واپسی کے راستے میں مر جاتی ہے، کیونکہ Pi کو معلوم نہیں کہ 10.41.0.0/24 کہاں رہتا ہے۔ یہ فائر وال کا مسئلہ لگتا ہے اور درحقیقت گمشدہ راستہ ہے۔
دور والے فریق کو بھی اپنا راستہ چاہیے۔ اگر دور سرے کی خدمت کو معلوم نہ ہو کہ 10.41.0.0/24 آپ کے ٹنل سے پہنچا جا سکتا ہے، تو جواب پہلے اُس ہاپ پر رک جاتے ہیں جس کے پاس کوئی جواب نہیں۔ پیکٹ فلٹر پڑھنے سے پہلے دونوں سمتوں شامل کریں۔
اگلے ہاپ جوڑ سے آتے ہیں
اگلا ہاپ ایسے نیٹ ورک پر پتہ ہونا چاہیے جہاں آلہ واقعی پہنچ سکے۔ VPN ساتھی کا عوامی پتہ نجی سب نیٹ کے لیے اگلا ہاپ نہیں ہے، اور دور کا خدمت نیٹ ورک کسی طرح بھی اگلا ہاپ نہیں ہے۔ ناقابل رسائی گیٹ وے کا راستہ فہرست میں درست دکھتا ہے اور ہر پیکٹ گرا دیتا ہے۔ منزل کو قصور وار ٹھہرانے سے پہلے جانچیں کہ گیٹ وے جواب دیتا ہے۔
Pi کے بیرونی VPN ساتھی کو اُس کے اپنے زیریں راستے سے قابل رسائی رکھیں۔ وہ اندراج پے لوڈ راستوں سے الگ ہے، اور اُنہیں ملانا ایسا ٹنل دیتا ہے جو راستہ بدلنے کے بعد دوبارہ قائم نہیں ہو سکتا۔
اسٹیٹک راستوں کی دستاویز منزل اور گیٹ وے کے فرق کو واضح کرتی ہے، اگرچہ ہر پلیٹ فارم اپنے مینو مختلف نام دیتا ہے۔ دوسرے فروش کی اسکرین کاپی کرنے کے بجائے اپنے سامنے موجود آلے کی دستاویز پڑھیں۔ نیچے دیے گئے کمانڈ Linux پر اندراجات کی شکل دکھاتے ہیں۔
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1ترجمہ ماخذ کے ساتھ کیا کرتا ہے
اگر نیچے والا راؤٹر پہلے ہی اپنے کلائنٹس کا ٹرانزٹ پتے میں ترجمہ کرتا ہے، تو Pi ہر کلائنٹ کے اپنے پتے کی بجائے ایک مترجم شدہ ماخذ دیکھتا ہے۔ یہ اوپر والے ماخذ محفوظ رکھنے والے ڈیزائن سے مختلف ہے۔ یہ ماخذ پر مبنی پالیسی، لاگنگ، اور یہ بدلتا ہے کہ کون سا فریق رابطے شروع کر سکتا ہے۔ دونوں ڈیزائن کام کرتے ہیں؛ وہ مختلف سوالات کے جواب دیتے ہیں۔
جب کوئی اوپر والی VPN خدمت کلائنٹ سابقہ واپس راؤٹ کرنے سے انکار کرے، تو Pi کے ٹنل اخراج پر تنگ ترجمہ ایک جائز عارضی حل ہو سکتا ہے۔ یہ ثبوت نہیں کہ گمشدہ راستہ غیر ضروری تھا۔ ریکارڈ کریں کہ دور کا نیٹ ورک واقعی کون سا پتہ دیکھتا ہے اور کون سا واپسی راستہ بنتا ہے۔
راستے کا انتخاب، آگے بھیجنے کی اجازت اور ماخذ ترجمہ تین الگ کام رہتے ہیں۔ ایک تار والا کلائنٹ کام کرتا ہے اِس لیے مشترکہ NAT زنجیر خالی کرنا یا ہر انٹرفیس کو اجازت دینا وہی طریقہ ہے جس سے کام کرتا امتحان کھلا فارورڈر بن جاتا ہے۔
کلائنٹ مشین سے اِسے ثابت کریں
نیچے والی LAN کی مشین سے درخواست بھیجیں، پھر اُس کے ماخذ کو باہر اور واپس ٹریک کریں۔ Pi کی بھیجی ping کبھی نیچے والا واپسی راستہ استعمال نہیں کرتی، اسی لیے کامیاب ping دکھنے سے کم ثابت کرتی ہے۔ Pi کی اپنی LAN پر تار والے کلائنٹ سے دوسرا امتحان شامل کریں تاکہ دونوں راستوں کا موازنہ ہو سکے۔ کوئی بھی آلہ ری بوٹ کرنے کے بعد دونوں دہرائیں۔
ہاتھ سے شامل کیے گئے راستے اور کبھی محفوظ نہ کیے گئے تراجم اکٹھے غائب ہو جاتے ہیں۔ تب یہ جوڑا ادھورے کام کے بجائے نئی خرابی لگتا ہے۔
جوڑ کا ماڈل راستوں، اجازت یافتہ نجی خدمت اور کسی بھی ترجمے کے ساتھ ایک ہی نوٹ میں محفوظ کریں۔ وہی نوٹ اگلے شخص کو وائرلیس جگہ کو راؤٹنگ پالیسی کا سوال سمجھنے سے روکتا ہے۔