کثیر کرایہ دار VPN: مشترکہ گیٹ وے، فی کرایہ دار یا فی میزبان

فیصلہ کریں کہ گاہک کو کون داخل کرتا ہے اور کیا اُس گاہک کو دوسرے کرایہ دار کے وسائل تک پہنچنے سے روکتا ہے۔ یہ دو فیصلے ہیں، اور IPsec، WireGuard یا mesh مصنوعات کا انتخاب کسی کا بھی جواب نہیں دیتا۔ بہترین طور پر اٹھنے والا ٹنل بھی ہر کرایہ دار کو باقی سب تک پہنچنے دے سکتا ہے، اور دونوں کو ایک ہی چیز سمجھنے والا جائزہ غلط ڈیزائن کی منظوری دیتا ہے۔ پہلے گاہک سے وسیلہ تک کا نقشہ لکھیں: منتظمین، مدد تک رسائی، مشترکہ خدمات اور وہ راستے جو مسترد ہی رہنے چاہئیں۔

مصنوعات سے نہیں، نقشے سے شروع کریں

وہ نقشہ پہلی دستاویز ہے، اور نیچے کا ہر انتخاب صرف یہ فیصلہ ہے کہ اُسے نافذ کرنے والی حد کہاں رہتی ہے۔ اُسے قابل جائزہ رکھیں: ہر گاہک کے لیے ایک سطر، ہر مشترکہ خدمت کے لیے ایک سطر اور مسترد راستے لکھے ہوئے۔

جو نقشہ کوئی نہیں پڑھ سکتا وہ نقشہ کوئی نافذ بھی نہیں کرے گا۔

ایک داخلہ نقطہ اور اُس کا میپنگ مسئلہ

ہر جگہ کا فیصلہ ایک ہی عملی سوال سے ہوتا ہے، اور جدول ہی پورا موازنہ ہے۔

مشترکہ گیٹ وے داخلے کو مرکوز کرتا ہے اور خطرے کو ایک جگہ جمع کرتا ہے: کرایہ دار کی شناخت اور اُس کی پالیسی کے درمیان تعلق۔ گروپس یا ٹنل پتے صحیح وسیلہ اجازتوں میں حل ہونے چاہئیں، اور ہر گاہک کے لیے الگ لیبل بذاتِ خود کچھ نہیں روکتا۔ الگ روٹنگ سیاق و سباق اوورلیپنگ سابقے رکھ سکتے ہیں جب پلیٹ فارم اِس کی حمایت کرے اور ڈیزائن مکمل ہو۔ عام مشترکہ روٹنگ ٹیبل صرف اِس لیے دو یکساں منزل کے سابقوں میں فرق نہیں کر سکتا کہ اُن کے پیچھے لوگوں کے مختلف اکاؤنٹس ہیں۔

یہ زیادہ تر ڈیزائنوں کے لیے آزمائش ہے۔ جو دو کرایہ دار اندرونی طور پر 10.0.0.0/8 سے نمبر دیتے ہیں اُنہیں نام رکھنے کی روایت نہیں، الگ روٹنگ حالت چاہیے۔

ہر کرایہ دار کے لیے گیٹ وے حدیں اور نظام خریدتا ہے

ہر گاہک کے لیے ایک گیٹ وے کچھ انتظامی حدیں سمجھانا آسان بناتا ہے، کیونکہ اُس گاہک کا داخلہ اور پالیسی ساتھ ہوتے ہیں۔ یہ اُن نظاموں کو بھی کئی گنا کرتا ہے جنہیں اسناد، پیچ، نگرانی اور مالک درکار ہوتا ہے۔ اور یہ عوامی پتوں کی کوئی ایک مقرر ترتیب نافذ نہیں کرتا: اینڈ پوائنٹ شیئرنگ، ترجمہ اور پروٹوکول ڈیملٹی پلیکسنگ اِس پر منحصر ہیں کہ عمل درآمد واقعی کس چیز کی حمایت کرتا ہے۔

سیکیورٹی فائدہ گننے سے پہلے نظام اور لوگ گنیں۔ ٹیم جتنا پیچ کر سکتی ہے اُس سے چار زیادہ گیٹ وے والا ڈیزائن عملاً زیادہ الگ تھلگ نہیں ہے۔

اگر کرایہ داروں کی تعداد ہر ماہ بدلتی ہے تو اُس ماڈل کو ٹیمپلیٹ نہیں، آٹومیشن کی کہانی چاہیے۔

ہر میزبان کے لیے کنکشنز کام کو ہلاتے ہیں

ہر میزبانی شدہ مشین پر کنکشن عملی کام کو نہیں ہٹاتا، اُسے مشین کے زندگی کے چکر میں منتقل کرتا ہے۔ اندراج، فی مشین پالیسی، کلید کی گردش اور تبدیلی سب فراہمی کا حصہ بن جاتے ہیں، اور وہ مشین کی طرح اُسی وقت ناکام ہوتے ہیں۔ مختلف نیٹ ورکس پر چند طویل العمر میزبانوں کے لیے یہ اکثر درست ہے، اور اُس بیڑے کے لیے جس نے پہلے ہی یہ حساب کھو دیا ہے کہ کون سی شبیہ کہاں چلتی ہے، کم ہی۔

ہر انتخاب کے تحت شناخت جاری کرنے، تازہ کاریوں، رسائی ہٹانے، نگرانی اور بحالی کے لیے کردار کا نام دیں۔ پھر پوچھیں کہ جس دن ایک گاہک جاتا ہے اُس دن کیا ہوتا ہے۔

ہٹانا موازنے کا حصہ ہے

زیادہ تر موازنے ہٹانا چھوڑ دیتے ہیں۔ کرایہ دار کو ہٹانے سے اُس کی اسناد باطل ہونی چاہئیں، اُس کی پالیسی گرنی چاہیے، اُس کے پتے اور روٹنگ حالت آزاد ہونی چاہیے اور باقی سب اچھوت رہنے چاہئیں۔ NIST کی صفر اعتماد فنِ تعمیر کی رہنمائی یہاں درست حوالہ ہے، کیونکہ یہ تصدیق اور اجازت کو نیٹ ورک کی حیثیت پر بھروسے کے بجائے وسیلے پر رکھتی ہے، اور یہ گاہک کے اپنے حصے کے اندر بھی لاگو ہوتا ہے۔

پروٹوکول بینچ مارکس تولنے سے پہلے اجازت یافتہ اور مسترد بہاؤ، اوورلیپنگ پتوں کی نمٹاہٹ اور ہٹانے کا طریقہ کار تولیں۔ پھر ایسی منتقلی اور تصدیق کا طریقہ چنیں جو آپ کی چنی ہوئی حد سے میل کھائے۔ پرانا مصنوعات کا نام، یا یہ دعویٰ کہ ہر کاروبار کو ایک ہی پروٹوکول پر معیاری ہونا چاہیے، اِن میں سے کچھ بھی طے نہیں کرتا۔ پہلے لکھا گیا نقشہ طے کرتا ہے۔