NPS گروپ پالیسی VPN وسائل کا نفاذ نہیں ہے

دو گروپ، دو رسائی پروفائل، ایک VPN گیٹ وے، اور دونوں گروپ آخرکار ایک ہی سرورز تک پہنچ جاتے ہیں۔ عام وجہ خراب پالیسی نہیں ہوتی بلکہ ڈیزائن کا غائب دوسرا نصف ہوتا ہے: NPS فیصلہ کرتا ہے کہ کون سیشن قائم کر سکتا ہے، اور کسی اور چیز کو فیصلہ کرنا ہوتا ہے کہ اس سیشن کو کہاں تک پہنچنے کی اجازت ہے۔ جب صرف پہلا نصف موجود ہو تو ہر وہ شخص جس کی توثیق ہو جاتی ہے، اس کے لیے اجازت کامیاب ہو جاتی ہے۔ پالیسی اپنا کام کر رہی ہے اور ڈیزائن پھر بھی نامکمل ہے۔

گروپ سے مماثل نیٹ ورک پالیسی داخلے کے بارے میں ایک ثبوت ہے۔ یہ پیکٹوں کے بارے میں ثبوت نہیں ہے، اور اس کام کا بیشتر حصہ ان دونوں باتوں کے درمیان کی خلا میں ہوتا ہے۔

وہ پالیسی تلاش کریں جس نے واقعی سیشن کو داخل کیا

NPS ترتیب شدہ نیٹ ورک پالیسیوں کا جائزہ لیتا ہے، اور پہلا فعال قاعدہ جس کی شرائط مماثل ہوں، جیت جاتا ہے۔ شرائط میں صارف یا کمپیوٹر گروپ کی رکنیت، کنکشن کی قسم، وقت اور ڈیوائس کی حالت شامل ہو سکتی ہیں۔ اس لیے فہرست میں پہلے رکھی گئی وسیع پالیسی کسی کنکشن کو داخل کر دیتی ہے، اس سے پہلے کہ نیچے والا زیادہ تنگ قاعدہ زیر غور آئے۔ ترتیب انٹرفیس کی تفصیل نہیں ہے؛ یہ خود پالیسی ہے۔

فہرست کو ترتیب سے پڑھیں اور اسے پہچانیں جو مماثل ہوا، پھر نوٹ کریں کہ اس نے کون سی سیٹنگز واپس کیں۔ ایڈیٹر میں دکھایا گیا گروپ نام نتیجہ نہیں ہے؛ نتیجہ وہ اجازت ہے جو سرور کو ملی۔ جہاں تعیناتی دونوں استعمال کرتی ہے وہاں صارف کی اجازت اور ڈیوائس کی اجازت کو الگ رکھیں، کیونکہ ایسا اکاؤنٹ جو سرنگ کھول سکتا ہے، خود بخود ایسا اکاؤنٹ نہیں ہوتا جسے ہر اندرونی سروس تک پہنچنا چاہیے۔

RADIUS کا جواب ایک ہدایت ہے، فلٹر نہیں

Filter-Id صفت ایک فلٹر فہرست کا نام رکھتی ہے۔ یہ پیکٹ فلٹر قواعد کا ایسا قابل انتقال مجموعہ نہیں بھیجتی جسے ہر وصول کنندہ سمجھے، اور ایسا نام بھیجنا جسے گیٹ وے نے کبھی متعین نہ کیا ہو، کچھ بھی نافذ نہیں کرتا۔ یہی احتیاط VLAN صفات پر لاگو ہوتی ہے: سرنگ سیشن کو کسی VLAN سے متعین کرنا بذات خود اس صارف کے لیے کوئی روٹ شدہ رسائی قاعدہ نہیں ہے۔

یہیں وہ ڈیزائن جو NPS کی طرف مکمل دکھائی دیتا ہے، خاموشی سے کچھ نہیں کرتا۔ یہ فرض کرنے کی بجائے کہ کسی صفت کا معیاری نام معیاری رویہ ہی کا مطلب رکھتا ہے، گیٹ وے فروش کی دستاویزات سے تصدیق کریں کہ کون سی اجازت کی صفات معاون ہیں اور وصول کنندہ ہر ایک کے ساتھ کیا کرتا ہے۔

نافذ کاری وہاں رکھیں جہاں سے ٹریفک گزرتی ہے

جو گیٹ وے صارف کے پیکٹوں پر کارروائی کرتا ہے وہ فی سیشن فلٹر لگا سکتا ہے، کسی گروپ کو گیٹ وے پالیسی سے منسلک کر سکتا ہے، یا سیشن کو الگ تھلگ پول سے کوئی ایسا پتہ دے سکتا ہے جو فائر وال مختلف طریقے سے برتتا ہو۔ ان میں سے کوئی بھی کام کر سکتا ہے، اور یہ مختلف طریقوں سے ناکام ہوتے ہیں۔ اس پالیسی کو لکھنے سے پہلے، جو اس کا نام لیتی ہے، یہ واضح کریں کہ آپ کا گیٹ وے کون سی طریقہ کاری معاون کرتا ہے۔ پھر لکھیں کہ اس طریقہ کاری کی عدم موجودگی میں سیشن کا کیا ہوتا ہے، کیونکہ خاموشی ہی طے شدہ رویہ ہے۔

مقصود اجازت کو چار حصوں میں بیان کریں: ماخذ کی شناخت یا گروپ، منزل، پروٹوکول اور پورٹ۔ وہ انحصار شامل کریں جن کی صارف کو واقعی ضرورت ہے، جیسے DNS یا کوئی توثیقی خدمت، ورنہ پابندی ایسے لاگ ان بہاؤ کو توڑ دے گی جنہیں جانچنے کا کسی نے سوچا بھی نہ ہو۔ قاعدہ اس انٹرفیس کے لیے لکھیں جو واقعی فلٹر کرتا ہے، اس انٹرفیس کے لیے نہیں جو ایڈیٹر میں اتفاقاً کھلا ہوا ہے۔

ترجمہ بھی مدنظر رکھیں۔ اگر نیچے کا فائر وال ہر سرنگ صارف کے لیے ایک ہی منتقل شدہ ماخذ پتہ دیکھتا ہے، تو وہ صرف اسی پتے سے افراد میں تمیز نہیں کر سکتا، اور ایسی صورت میں لکھا گیا قاعدہ یا بے کار ہو گا یا حد سے زیادہ وسیع۔

کلائنٹ پروفائل غیر قابل اعتماد طرف رہتے ہیں

ایک منظم VPN پروفائل راستے، اسپلٹ ٹنل قواعد یا ایپلیکیشن فلٹر بھیج سکتا ہے، اور یہی چیز کسی خوش اخلاق ڈیوائس کے رویے کی تشکیل کرتی ہے۔ یہ خدمت کے لیے تحفظ نہیں ہیں، کیونکہ کلائنٹ وہ فریق ہے جسے آپ محدود کرنے کی کوشش کر رہے ہیں۔ پروفائل میں کوئی راستہ ہٹانا بھی اجازت نہیں ہے، کیونکہ کلائنٹ کے پاس اسی منزل تک کوئی اور راستہ ہو سکتا ہے۔

کلائنٹ کی سیٹنگز کو سہولت سمجھیں اور گیٹ وے کی سیٹنگز کو کنٹرول۔ جب دونوں میں اختلاف ہو تو گیٹ وے درست ہے، کیونکہ پیکٹ اسی کو نظر آتے ہیں۔

دو اکاؤنٹس سے قبول کریں، پھر ترتیب سے سراغ لگائیں

مختلف مقصود اجازتوں والے دو عام ٹیسٹ اکاؤنٹ بنائیں، نئے سیشن قائم کریں اور ہر ایک کے لیے مؤثر گیٹ وے پالیسی جانچیں۔ پھر ایک بے ضرر اجازت یافتہ عمل اور ایک واضح طور پر ممنوع وسیلہ آزمائیں۔ ناکام ping بذات خود بہت کم ثابت کرتا ہے، کیونکہ ICMP فلٹر ہو سکتا ہے جبکہ اس کے پیچھے TCP خدمت آرام سے جواب دیتی رہے۔

جب دونوں اکاؤنٹس کو پھر بھی وسیع رسائی ملے تو ایک مقررہ ترتیب سے سراغ لگائیں: کون سی پالیسی مماثل ہوئی، جواب کون سی اجازت لے کر آیا، اور گیٹ وے نے اس کے ساتھ کیا کیا۔ وصول کنندہ کے ان پر عمل درآمد کی تصدیق سے پہلے مزید NPS صفات شامل کرنا، چھوٹے اجازتی مسئلے کو بغیر نتیجہ کے تبدیلی کی کھڑکی میں بدلنے کا طریقہ ہے۔