nftables کے نشانات اور VPN روٹنگ: کون سا قاعدہ واقعی جیتتا ہے

nftables میں لگایا گیا نشان ایک طبقے کی ٹریفک کو سرنگ سے بھیجنا چاہیے، لیکن ٹریفک بدستور طبعی انٹرفیس سے باہر جاتی رہتی ہے۔ قواعد کا مجموعہ الگ دیکھنے میں درست لگتا ہے۔ عام طور پر ہوا یہ ہے کہ کسی اور نے وہی نشان لکھ دیا، یا روٹنگ قاعدہ ایسے ماسک سے میل کھاتا ہے جو نیا مال اب پورا نہیں کرتا۔

جانچ 1: وہ قاعدہ پڑھیں جس سے کرنل میل کھاتا ہے

فائر وال کی بجائے پالیسی قاعدے سے شروع کریں۔ کرنل قواعد کو ترجیحی ترتیب میں دیکھتا ہے اور پہلا میل ہی جدول کا فیصلہ کرتا ہے۔ fwmark کی مال اور ماسک خود قاعدے سے پڑھیں، پھر تصدیق کریں کہ آپ کا لگایا ہوا نشان رکھنے والا پیکٹ واقعی اس سے میل کھاتا ہے۔ مکمل 32 بٹ مال کی توقع کرنے والا قاعدہ صرف ایک بٹ رکھنے والے پیکٹ سے میل نہیں کھائے گا۔

پھر تصدیق کریں کہ وہ قاعدہ کون سا جدول چنتا ہے اور جدول میں کیا ہے۔ خالی جدول کی طرف اشارہ کرنے والا قاعدہ تلاش کی ناکامی پیدا کرتا ہے، جس کا مطلب بہت سے نظاموں میں یہ ہے کہ پیکٹ اگلے قاعدے پر گر کر طبعی انٹرفیس سے باہر نکل جاتا ہے۔

دو کمانڈیں اسے طے کرتی ہیں: قواعد کی فہرست، اور اسی جدول میں منزل کے لیے راستے کی تلاش۔

جانچ 2: پیکٹ کا نشان یا کنکشن کا نشان

nftables پیکٹ پر نشان اور کنکشن ٹریکنگ اندراج پر نشان لگا سکتا ہے، اور یہ مختلف آبجیکٹ ہیں۔ پیکٹ کا نشان پیکٹ کی کارروائی کے دورانیے تک رہتا ہے، جبکہ کنکشن کا نشان بہاؤ کے لیے برقرار رہتا ہے اور اسے جان بوجھ کر نقل کرنا پڑتا ہے۔ ایک لگانا اور دوسرے کی توقع کرنا عام ادھورا حل ہے۔

اگر روٹنگ قاعدہ پیکٹ کے نشان پر منحصر ہو، تو راستے میں بعد میں کنکشن کا نشان بحال کرنے سے اس فیصلے کے لیے کچھ نہیں ہوتا، کیونکہ فیصلہ پہلے ہو چکا ہے۔

طے کریں کہ روٹنگ سگنل کس آبجیکٹ کا ہے، پھر اسے اس مقام پر لگائیں جہاں روٹنگ کا فیصلہ ہوتا ہے۔

جانچ 3: یہ نشان اور کون لکھتا ہے

WireGuard کے اپنے اوزار اپنے UDP پیکٹوں پر نشان لگاتے ہیں تاکہ خفیہ کردہ ترسیل اسی سرنگ میں واپس روٹ نہ ہو جس کی وہ ہے۔ اگر آپ کا قواعد کا مجموعہ اسی فیلڈ کو غیر متعلق مال دیتا ہے، تو وہ اخراج ختم ہو جاتا ہے اور سرنگ کی بیرونی ٹریفک خود میں داخل ہونے کی کوشش کرتی ہے۔ علامت یہ ہے کہ سرنگ قائم ہوتی ہے اور پھر ٹریفک گزرانا بند کر دیتی ہے۔

نشانات دیگر فائر وال اوزار، کنٹینر نیٹ ورکنگ اور دیگر مقاصد کے لیے پالیسی روٹنگ بھی استعمال کرتے ہیں، اس لیے دو ذیلی نظاموں کا پوری فیلڈ لکھنا تصادم ہے، چاہے ہر ایک الگ الگ درست ہو۔

ایک اور شامل کرنے سے پہلے لکھنے والوں کی فہرست بنائیں۔

جانچ 4: ماسک طے کرتا ہے کہ آپ کیا رکھتے ہیں

نشان 32 بٹ فیلڈ ہے، اور ماسک وہ طریقہ ہیں جن سے کئی مالک اسے بانٹتے ہیں۔ ماسک کے ساتھ مال لگانے سے وہ بٹ محفوظ رہتے ہیں جو آپ کے نہیں؛ پوری فیلڈ لگانے سے باقی سب کے بٹ تباہ ہو جاتے ہیں۔ فیلڈ کو چھونے والے ہر قاعدے میں ماسک پڑھیں، ان میں بھی جو آپ نے نہیں لکھے۔

قواعد کے مجموعے کے پاس بٹوں کی تقسیم دستاویز کریں۔

ورنہ اگلا شخص ایسا مال دوبارہ استعمال کرے گا جس کا پہلے ہی مالک ہے، اور یہاں کا تصادم روٹنگ کی خرابی جیسا لگتا ہے جبکہ وہ پتے کی خرابی ہے۔ پیکٹ میٹا ڈیٹا کے بارے میں nftables کی دستاویز خود نشان کی کارروائیوں کی وضاحت کرتی ہے۔

جانچ 5: تلاش سے نہیں، حقیقی بہاؤ سے تصدیق کریں

سادہ راستے کی تلاش کوئی نشان نہیں رکھتی، اس لیے وہ حقیقی پیکٹ سے مختلف راستہ دکھا سکتی ہے۔ آپ کی اہم ٹریفک پیدا کریں اور کاؤنٹر، کنکشن ٹریکنگ اندراج اور وہ انٹرفیس دیکھیں جس سے یہ واقعی باہر نکلتی ہے۔ شامل طبقہ اور خارج کردہ طبقہ دونوں جانچیں، کیونکہ بہت چوڑا نشان اخراج کو توڑ دیتا ہے جبکہ کامیاب لگتا ہے۔ اگر شامل طبقہ کام کرے اور خارج کردہ طبقہ بھی سرنگ میں داخل ہو، تو نشان تنگ نہیں بلکہ چوڑا ہے۔

لائیو سیشن کے دوران تازہ کاری پر مجبور کرنے کے لیے کنکشن کی حالت صاف کرنے سے بچیں، کیونکہ نئے اور موجودہ بہاؤ قانونی طور پر مختلف راستے لے سکتے ہیں۔

نشان، ماسک اور جدول ایک ہی جگہ درج کریں، پھر اگلی ترمیم قابل جائزہ ہو جاتی ہے۔