دفتر کے Wi-Fi پر ہیں اور پھر بھی VPN مانگا جا رہا ہے؟ یہ ہے وجہ

لیپ ٹاپ کارپوریٹ SSID پر ہے، سرٹیفکیٹ کی درخواست قبول کر لی گئی ہے، اور ایک ویب ایپ اب بھی VPN مانگ رہی ہے۔ یہ دوہرا کام لگتا ہے، اور کبھی کبھی ہوتا بھی ہے۔ دونوں لاگ اِن عام طور پر مختلف فیصلے نافذ کرتے ہیں، اور یہ جاننے کا واحد طریقہ کہ دوسرا اپنی جگہ کا حقدار ہے یا نہیں، یہ پوچھنا ہے کہ وہ کیا بدلتا ہے۔

نیٹ ورک میں شامل ہونا داخلے کا فیصلہ ہے

802.1X تعیناتی ایک سوال کا جواب دیتی ہے: کیا یہ ڈیوائس یا صارف اس نیٹ ورک سے جڑ سکتا ہے؟ ایکسیس پوائنٹ اسناد RADIUS سرور کو بھیجتا ہے، اور جواب میں ایسی خصوصیات ہو سکتی ہیں جو سیشن کو کسی مخصوص VLAN میں رکھیں یا فلٹر لاگو کریں۔ یہ داخلہ اور تقسیم ہے، کسی مخصوص ایپلیکیشن کے لیے اجازت نہیں۔

سیشن قبول ہونے کے بعد، کلائنٹ اور ایکسیس پوائنٹ کے درمیان وائرلیس لنک خفیہ ہو جاتا ہے۔ حفاظت وہیں، وائرڈ نیٹ ورک کے کنارے پر ختم ہو جاتی ہے۔

اس نقطے کے آگے سب کچھ عمارت کے اندر عام روٹنگ ہے، اس اندرونی رسائی کے ساتھ جو سیگمنٹ اجازت دیتا ہے۔

EAP-TTLS دراصل کیا محفوظ کرتا ہے

EAP-TTLS تصدیق کے دوران TLS سرنگ بناتا ہے اور اس کے اندر اندرونی طریقہ چلاتا ہے۔ اندرونی طریقہ اکثر PAP ہوتا ہے، اور کسی ڈیزائن میں اس کا ظاہر ہونا یہ نہیں بتاتا کہ پاس ورڈ کھلے متن کے طور پر ہوا سے گزرتا ہے، کیونکہ اسے TLS سرنگ ہی اٹھاتی ہے۔ کلائنٹ کو اب بھی سرور کی شناخت کی تصدیق کرنی ہوتی ہے اور درست CA پر بھروسہ کرنا ہوتا ہے، اور جانا پہچانا SSID وہ تصدیق نہیں ہے۔ اندرونی طریقے کے انتخاب کو اسناد کی شکل کے طور پر پڑھیں، بیرونی خفیہ کاری کے بارے میں بیان کے طور پر نہیں۔

یہ تصدیق کا تبادلہ ہے، لیپ ٹاپ کی بعد کی ٹریفک کے لیے ڈیٹا سرنگ نہیں۔

تصدیق ختم ہونے پر TLS سرنگ چلی جاتی ہے اور کلائنٹ کے پیکٹ قبول شدہ سیگمنٹ سے گزرتے ہیں۔ ان دونوں کو ملانا ہی اس یقین کی جڑ ہے کہ Wi-Fi خفیہ کاری پہلے ہی VPN کا کام کرتی ہے۔

VPN دوسرا، زیادہ تنگ فیصلہ ہے

VPN ایک مختلف سوال کا جواب دیتا ہے: یہ شناخت کن نجی وسائل تک پہنچ سکتی ہے، اور کن شرائط پر؟ یہ ایسے گیٹ وے پر ختم ہوتا ہے جس کی اپنی پالیسی، اپنی شناخت کی جانچ اور اکثر ڈیوائس کی حالت کے لیے اپنی شرائط ہوتی ہیں۔ سرنگ اٹھنے کے بعد قابل رسائی مجموعہ عام طور پر عمارت کے اندرونی نیٹ ورک سے چھوٹا اور کردار کے لیے مخصوص ہوتا ہے۔

اسی لیے دیکھ بھال کا کردار سب کی طرح Wi-Fi پر داخلہ پا سکتا ہے اور پھر بھی انتظامی ذیلی نیٹ ورک تک پہنچنے کے لیے سرنگ کی ضرورت ہوتی ہے۔ Wi-Fi کا فیصلہ ایکسیس پوائنٹ پر لیا گیا؛ یہ فیصلہ گیٹ وے پر لیا جاتا ہے۔

دونوں مراحل خفیہ ہو سکتے ہیں اور پھر بھی غیر متعلقہ پالیسیاں نافذ کر سکتے ہیں۔

مقام پر مبنی اعتماد کہاں ٹوٹتا ہے

دفتر کے نیٹ ورک کو ضمنی طور پر قابلِ اعتماد سمجھنا ایک سادہ وجہ سے ناکام ہوتا ہے: نیٹ ورک میں مقام رابطے کی خصوصیت ہے، شخص کی نہیں۔ NIST کی زیرو ٹرسٹ رہنمائی یہ براہِ راست کہتی ہے، اور اسی لیے وسائل تک رسائی ہر درخواست پر طے ہوتی ہے، ہر عمارت پر نہیں۔ جو بھی اسی SSID میں شامل ہوتا ہے وہ وہی مقام ورثے میں پاتا ہے۔ اسی لیے عملے کے نیٹ ورک پر متاثرہ لیپ ٹاپ مہمان نیٹ ورک والے جتنا ہی شک کا حقدار ہے۔

عملی نتیجہ یہ ہے کہ ایپلیکیشن کی اجازت اب بھی ہونی چاہیے۔ پورا ذیلی نیٹ ورک دینے والا VPN، ساتھ میں اس ذیلی نیٹ ورک کی ہر درخواست پر بھروسہ کرنے والی ایپلیکیشن، برے دن سے ایک اسناد کی دوری پر ہے۔

دونوں میں سے کوئی پرت دوسری کی جگہ نہیں لیتی، کیونکہ وہ مختلف دائرہ کار میں سوالات کے جواب دیتی ہیں۔

دوسرا لاگ اِن اپنی جگہ کا حقدار ہے یا نہیں، یہ کیسے جانیں

نیٹ ورک کے مالک سے دو باتیں پوچھیں: VPN جڑنے کے بعد کیا قابلِ رسائی ہوتا ہے، اور اجازت دینے کے لیے کون سی شناخت یا ڈیوائس کی شرائط جانچی جاتی ہیں؟ پھر حقیقت میں کیا جواب دیتا ہے، یہ جانچ کر جوابات کی تصدیق کریں۔ اگر سرنگ نہ رسائی بدلتی ہے نہ یقین، تو یہ کنٹرول کے بجائے عملی عادت ہو سکتی ہے، اور یہ مالک کا فیصلہ ہے، ایسی چیز نہیں جس سے صارف بچ کر نکلے۔

غیر ارادی براہِ راست راستوں کو بھی دیکھیں، کیونکہ سرنگ کے بغیر قابلِ رسائی وسیلہ سرنگ کو سجاوٹ بنا دیتا ہے۔

ہر حد اور اس کا مقصد دستاویز کریں، اور اگلے شخص کو اندازہ نہیں لگانا پڑے گا کہ دو لاگ اِن کیوں ہیں۔