سائٹ سے سائٹ VPN کے اندر NAT کب اپنی جگہ بناتا ہے

دونوں سائٹیں ایک ہی نجی رینج استعمال کرتی ہیں، اور سرنگ اوپر آتی ہے جبکہ اس میں سے کوئی مفید چیز نہیں گزرتی۔ ترجمہ ہی معمول کا جواب ہے، اور یہ حقیقی جواب ہے: دور کے فریق کو مختلف رینج دکھانا کسی اوورلیپ یا ایسے واپسی راستے کو حل کر سکتا ہے جسے دوسرا نیٹ ورک روٹ نہیں کر سکتا۔ جو حصہ چھوڑ دیا جاتا ہے وہ یہ ہے کہ ترجمہ ان پتوں کو بدلتا ہے جو ہر بعد کا فیصلہ دیکھتا ہے۔ اسے تحریری نقشہ سازی کے ساتھ دستاویزی ڈیزائن فیصلہ سمجھیں، ایسا قاعدہ نہیں جو ping کامیاب ہونے تک شامل کیا جاتا رہے۔

فیصلہ کریں کہ کون سا پتہ دوبارہ لکھا جاتا ہے

ماخذ کا ترجمہ بدلتا ہے کہ دور کی سروس اور اس کے لاگ کسے کلائنٹ کے طور پر دیکھتے ہیں، لہٰذا برانچ ہوسٹ آتے ہی گیٹ وے پتہ بن جاتا ہے۔ منزل یا پریفکس کا ترجمہ اس کے بجائے دور کے وسیلے کے لیے متبادل پتہ پیش کرتا ہے۔ کچھ تعیناتیوں کو دو بصورت دیگر یکساں نیٹ ورک الگ کرنے کے لیے دونوں طرف ہم آہنگ ترجمہ درکار ہوتا ہے، اور بیشتر الجھن اسی امتزاج سے شروع ہوتی ہے۔

ترجمے سے پہلے ماخذ، ایپلیکیشن کے نام کردہ منزل، اور ہر گیٹ وے کے مماثل پتے کا جوڑا لکھیں۔ تین کالم کافی ہیں، اور تیسرا کالم وہی ہے جسے لوگ چھوڑ دیتے ہیں۔

سلیکٹرز کی ترتیب بھی اہم ہے۔ IPsec پالیسی کا انتخاب اور ترجمہ مقررہ مراحل میں ہوتے ہیں، اس لیے ترجمے سے پہلے کے پتوں کے لیے لکھا گیا سلیکٹر آپ کے فرض کردہ مرحلے پر پیکٹ سے کبھی نہیں مل سکتا۔ نصب شدہ پالیسی چیک کریں، وہ نہیں جو آپ نصب کرنے کا ارادہ رکھتے تھے، کیونکہ دونوں عین اس وقت مختلف ہوتی ہیں جب ایک جزو قاعدہ قبول کرے اور دوسرا اسے نظرانداز کر دے:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

پے لوڈ اور واپسی راستے کی پیروی کریں

جو سرور الگ برانچ ہوسٹ کے بجائے ترجمہ شدہ ماخذ لاگ کرتا ہے وہ اصل پتے سے منسلک کسی بھی قاعدے یا رپورٹ کو توڑ دے گا۔ نقشہ سازی بدلنے سے پہلے معلوم کریں کہ نیچے کوئی اس فیلڈ سے فیصلہ کرتا ہے یا نہیں: رسائی فہرستیں، آڈٹ رپورٹس، رفتار کی حدیں، لائسنس کی جانچ۔ ان میں سے ہر ایک وہ جگہ ہے جہاں ترجمہ بعد میں غیر واضح ناکامی کے طور پر ظاہر ہوتا ہے۔

جو پروٹوکول اپنے پے لوڈ کے اندر پتے لے کر چلتے ہیں انہیں الگ منصوبہ بندی درکار ہوتی ہے، کیونکہ بیرونی ہیڈر دوبارہ لکھنے سے اندرونی حوالہ نہیں چھوتا۔ فعال FTP، SIP اور کچھ ریموٹ رسائی مصنوعات کلاسیک مثالیں ہیں، اور انہیں نظرانداز کرنے والا ڈیزائن ویب ٹریفک کے لیے کام کرے گا اور اہم ایپلیکیشن کے لیے ناکام ہوگا۔

واپسی ٹریفک اسٹیٹ فل نقشہ سازی پر منحصر ہے۔ گیٹ وے کی ناکامی وہ حالت کھو سکتی ہے، غیر متناسب روٹنگ اسے نظرانداز کر سکتی ہے، اور ری اسٹارٹ اسے مٹا سکتا ہے جبکہ دور کے جانب سیشن کھلے رہتے ہیں۔ اسی لیے منزل تک پہنچنے والی درخواست اور مکمل ہونے والا سیشن دو مختلف قبولیت کے نتائج ہیں۔

سائٹ کی دوبارہ شمار بندی کے ساتھ اس کا موازنہ کریں

ایک متصادم سائٹ کی دوبارہ شمار بندی نقشہ سازی کو مکمل طور پر ہٹا دیتی ہے اور ایسا پتہ منصوبہ چھوڑتی ہے جو ترجمہ جدولوں کے بغیر پڑھا جا سکتا ہے۔ یہ عملی طور پر مہنگا ہے: DNS ریکارڈز، مستقل تخصیصات، فائر وال قواعد اور ہر دستاویزی پتہ ایک ساتھ بدلنا پڑتا ہے۔ لاگت ایک بار، منصوبہ بند ونڈو میں، واضح آخری حالت کے ساتھ آتی ہے۔ آپ جو خریدتے ہیں وہ برسوں بعد تلاش جدول کے بغیر پیکٹ کیپچر پڑھنے کی صلاحیت ہے۔

ترجمہ بیشتر مقامی تبدیلیوں سے بچتا ہے اور ایسی نقشہ سازی بناتا ہے جسے DNS، دستاویزات اور مسئلہ حل کرنے میں ہمیشہ برقرار رکھنا پڑتا ہے۔ لاگت مسلسل آتی ہے، ہر مستقبل کے انجینئر کی صورت میں جسے سیکھنا پڑتا ہے کہ سرنگ کے اندر ایک پریفکس کا مطلب کچھ اور ہے۔

عارضی کنکشن یا ایسے پارٹنر نیٹ ورک کے لیے جو آپ کنٹرول نہیں کرتے، مسلسل لاگت عام طور پر قابلِ قدر ہوتی ہے۔ جن دو سائٹوں کے آپ مالک ہیں اور برسوں مالک رہیں گے، ان کے لیے منتقلی کا دیانت سے حساب کرنے پر دوبارہ شمار بندی اکثر سستا فیصلہ ہوتا ہے۔

حقیقی سیشن سے دونوں سمتیں ثابت کریں

ایک پروب کے بجائے ایپلیکیشن سیشن آزمائیں۔ کامیاب ایکو درخواست ثابت کرتی ہے کہ ایک پروٹوکول کی ایک سمت کام کرتی ہے، اور یہ اسٹیٹ فل ہر چیز کے لیے ناکام ہونے والے واپسی راستے سے مکمل طور پر مطابقت رکھتی ہے۔ وہ سروس استعمال کریں جس نے ڈیزائن کو تحریک دی، اور دور سرے پر اس کا لاگ پڑھیں کہ کون سا ماخذ پتہ درج ہوا۔

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

پھر تصدیق کریں کہ نقشہ سازی کے ذریعے صرف مطلوبہ سروسز ہی قابل رسائی ہیں۔ ترجمہ پتہ بندی بدلتا ہے اور اجازت کے لیے کچھ نہیں کرتا، اس لیے فائر وال پالیسی ہی طے کرتی ہے کہ کیا اجازت ہے۔ جو ڈیزائن غیر واضح ترجمہ شدہ پریفکس کو رسائی کنٹرول کے طور پر بھروسہ کرتا ہے اس کے پاس رسائی کنٹرول ہی نہیں۔

نقشہ سازی، آزمایا گیا سیشن اور ہر فریق کے مشاہدہ کردہ پتے درج کریں۔ اس سرنگ کو ڈیبگ کرنے والے اگلے شخص کو کنفیگریشن فائل سے زیادہ وہ تین حقائق درکار ہیں۔