مشترکہ کمپیوٹر پر ایک VPN لاگ اِن: راستہ اور کون پاتا ہے؟
VPN لاگ اِن ایک فرد کی تصدیق کرتا ہے؛ جو راستہ نصب ہوتا ہے وہ الگ دائرہ ہے۔ مشترکہ مشین پر پورے ہوسٹ، فی صارف اور فی ایپ سرنگوں کا موازنہ کریں۔
کام کی جگہ مشترک کرنا ایسا سوال اٹھاتا ہے جس کا جواب ایک صارف کے لیپ ٹاپ کو کبھی دینا نہیں پڑتا: جب ایک شخص سرنگ کی تصدیق کر دے تو اور کون اسے استعمال کر سکتا ہے؟ لاگ اِن ایک موضوع کی نشان دہی کرتا ہے، اور نصب ہونے والا راستہ ایک دائرے کو بیان کرتا ہے، اور یہ دونوں ایک ہی شے نہیں ہیں۔ ان کے درمیان آپریٹنگ سسٹم، کلائنٹ کی ترتیب اور وہ چیزیں ہیں جو نجی سروس خود طلب کرتی ہے۔ اندازہ لگائے بغیر جواب دینے کا واحد طریقہ نفاذ کے مقامات کا موازنہ ہے۔
ایک لاگ اِن، کئی دائرے
تصدیق بتاتی ہے کسے اندر آنے دیا گیا۔ راستہ بتاتا ہے کون سے پیکٹ سرنگ سے باہر جا سکتے ہیں۔ اجازت بتاتی ہے کون سی سروس نتیجے میں بننے والا رابطہ قبول کرے گی، اور تینوں میں سے کوئی بھی اگلی چیز کو لازم نہیں کرتا۔
پورے ہوسٹ کی سرنگ عام طے شدہ ہے، اور یہ خلا کو واضح کرتی ہے۔ راستہ کرنل کے جدول میں ہوتا ہے، اس لیے اس جدول کو استعمال کرنے والا ہر عمل نجی نیٹ ورک تک پہنچ سکتا ہے، بشمول وہ عمل جو ایسے صارف نے شروع کیا ہو جس نے VPN ڈائیلاگ کبھی نہ دیکھا ہو۔ یہ سرنگ کا نقص نہیں ہے؛ پورے نظام کے راستے کا مطلب یہی ہے۔ نجی سروس پھر بھی رابطہ مسترد کر سکتی ہے، اسی لیے رسائی اور اجازت کو الگ جواب چاہیے۔
جانچ سے پہلے چار سوالات لکھ لینے سے جائزہ ان میں سے کسی ایک میں سمٹنے سے بچتا ہے۔
حد دراصل کہاں ہے
چار ترتیبیں زیادہ تر مشینوں کو ڈھانپتی ہیں: پورے ہوسٹ کی سرنگ، فی صارف رابطہ، فی ایپ اجازت کی فہرست، اور الگ نیٹ ورک نام کی جگہ یا مجازی مشین۔
ہر ایک نفاذ کا مقام کہیں اور رکھتی ہے، اور لیبلوں سے زیادہ اہم فرق ہیں۔ فی صارف رابطہ پروفائل کی اجازتوں سے نافذ ہوتا ہے، ڈیسک ٹاپ لاگ اِن اسکرین سے نہیں۔ فی ایپ اجازت کی فہرست کلائنٹ کے اندر نافذ ہوتی ہے، جو طے کرتا ہے کہ کیا لے کر چلے گا۔ نام کی جگہ یا VM انٹرفیس کی حد پر نافذ کرتی ہے، اس لیے اندر کا عمل ہوسٹ کا راستہ بالکل نہیں دیکھ سکتا۔ مشین پر لاگ اِن اسکرینوں کی تعداد ان میں سے کسی کے بارے میں کچھ نہیں کہتی۔
| Arrangement | Enforced by | Who can use the path |
|---|---|---|
| Host-wide tunnel | The routing table | Any local process using that table |
| Per-user connection | Profile permission list | Only the listed accounts |
| Per-app allowlist | The VPN client itself | Only the selected applications |
| Namespace or VM | The interface boundary | Only processes inside it |
جدول کو قطار بہ قطار پڑھنا دکھاتا ہے کہ اصل سوال یہ نہیں کہ علیحدگی ہے یا نہیں، بلکہ یہ ہے کہ وہ کہاں نافذ کی گئی ہے۔
نفاذ کے چار مقامات کا موازنہ کریں
Linux پر راستوں کا جدول پہلی چیز ہے جو دیکھنی چاہیے، کیونکہ پورے ہوسٹ کی سرنگ وہاں نظر آتی ہے اور نام کی جگہ نہیں۔ دوسرے صارف کے طور پر تلاش چلانا وہ قدم ہے جو لوگ چھوڑ دیتے ہیں؛ جواب اس سے مختلف ہوتا ہے جو انہوں نے خود کے طور پر پایا، اور یہی رپورٹ کی وضاحت کرتا ہے۔
اگلی دو جانچیں روٹنگ کی بجائے پالیسی کی طرف دیکھتی ہیں۔ UID سے مطابقت رکھنے والا فائر وال قاعدہ مقامی طور پر پیدا ہونے والے ٹریفک پر لاگو ہوتا ہے، اس لیے یہ ایک ہی ہوسٹ پر دو صارفین کو الگ کر سکتا ہے، اگرچہ دونوں راستہ مشترک رکھتے ہوں۔ واضح اجازت کی فہرست والا کنکشن پروفائل فعال کرنے کے وقت نیٹ ورک مینیجر نافذ کرتا ہے۔ کوئی جانچ سرنگ بدلنے کی متقاضی نہیں، اس لیے کچھ بھی دوبارہ ڈیزائن کرنے سے پہلے یہ کرنا مناسب ہے۔
ip route get 10.40.2.10
sudo -u bob ip route get 10.40.2.10
nmcli connection show vpn-work | grep -i permission
sudo nft list ruleset | grep -n skuidاگر دوسری تلاش سرنگ کا راستہ دکھائے، تو حد وہاں نہیں جہاں ڈیزائن نے فرض کیا تھا۔
بیک وقت سیشن کے قواعد الگ کنٹرول ہیں
گیٹ وے اکثر محدود کرتے ہیں کہ ایک اکاؤنٹ کتنے سیشن رکھ سکتا ہے، اور اس حد کا مقامی صارفین سے کوئی تعلق نہیں۔ یہ اکاؤنٹ کو محدود کرتی ہے، اس لیے وہی اسناد لے کر سائن اِن کرنے والا دوسرا شخص پہلے شخص کی سرنگ ختم کر سکتا ہے۔
مقامی علیحدگی کا مسئلہ فرض کرنے سے پہلے ناکامی پڑھیں۔ سیشن کی حد گیٹ وے پر رابطہ ٹوٹنے کا سبب بنتی ہے، جبکہ دائرے کا مسئلہ ایسی کام کرنے والی سرنگ بناتا ہے جو صرف دوسرے صارف کا ٹریفک نہیں ڈھوتی۔ یہ دو علامات بالکل مختلف اصلاحات کی طرف لے جاتی ہیں۔ کلائنٹ کا درست پیغام محفوظ رکھیں، کیونکہ عام طور پر وہی قاعدے کا نام بتاتا ہے۔ حد سے بچنے کی بجائے پروفائل کے مالک سے منظور شدہ ورک فلو طلب کریں۔
مجازی مشین کسی کو اس قاعدے سے مستثنیٰ نہیں کرتی، اور وہ اپنا نیٹ ورک اور اسناد کا ڈیزائن شامل کرتی ہے۔
جس سیاق آپ کے لیے اہم ہے اسے جانچیں
مطلوبہ صارف اور ایپ کو جانچیں، پھر ایسے سیاق کو جو مسترد ہونا چاہیے۔ جو جائزہ صرف یہ ثابت کرے کہ اصل پاس ورڈ کام کرتا ہے، اس نے تصدیق جانچی اور کچھ نہیں۔
sudo -u bob curl -sS -m 5 https://intranet.internal/health
wg show
ss -tnp | grep -E ':443|:51820'ہر نتیجے کے ساتھ نفاذ کا مقام درج کریں: راستوں کا جدول، UID قاعدہ، پروفائل کی اجازت یا گیٹ وے کی سیشن پالیسی۔ وہ ریکارڈ اگلی تبدیلی کو جائزہ لینے کے قابل بناتا ہے۔ یہ ہر بار کسی کے دوسری لاگ اِن اسکرین دیکھنے پر وہی سوال دوبارہ کھلنے سے بھی روکتا ہے۔ رسائی اجازت نہیں، اور ان میں سے کوئی بھی علیحدگی نہیں۔