کیا ایک WAN انٹرفیس سائٹوں کے درمیان اور دور دراز VPN دونوں کی خدمت کر سکتا ہے؟

ایک عوامی پتہ ایک ہی وقت میں برانچ ٹنل اور گھومنے پھرنے والے صارفین کے تالاب کی خدمت کر سکتا ہے۔ لیکن یہ ایک مشترکہ داخلہ قاعدے کی خدمت نہیں کر سکتا۔ برانچ کا ہم منصب اور گھومنے پھرنے والا صارف مختلف ہیں اس میں کہ وہ خود کو کون بتاتے ہیں، وہ ثبوت کیسے جانچا جاتا ہے، انہیں کون سے پتے ملتے ہیں، اور کون سے سابقے انہیں جواب دے سکتے ہیں۔ جیسے ہی آپ بیرونی پتے کو شناخت کے بجائے نقل و حمل کی تفصیل سمجھیں، ڈیزائن بہت آسان ہو جاتا ہے۔

ایک تیز عقل مندی کا امتحان: راؤٹر کو چھونے سے پہلے دونوں داخلہ ریکارڈ لکھ کر دیکھیں۔ اگر ایک ہی تطبیق کی شرط نے دونوں کو ڈھانپنا ہو، تو پالیسی پہلے ہی مبہم ہے، اور پہلی علامت راؤٹنگ یا فائر وال کی خرابی جیسی دکھے گی حالانکہ حقیقت میں وہ شناخت کی خرابی ہے۔

کسی بھی ترتیب سے پہلے دو ریکارڈ

برانچ کا ریکارڈ مختصر اور مستحکم ہے۔ یہ ہم منصب کا پتہ یا سند کا نام، پہلے سے مشترکہ چابی یا سند کا اعتماد نقطہ، دونوں طرف کے محفوظ ذیلی نیٹ، ٹنل انٹرفیس، اور وہ مستقل راستہ درج کرتا ہے جو برانچ کی طرف ٹریفک اسی ٹنل میں بھیجتا ہے۔ ہر خانہ ایک معلوم ہم منصب اور سابقوں کے مقررہ مجموعے سے متعلق ہے۔

گھومنے پھرنے کا ریکارڈ زیادہ وسیع اور زیادہ ذاتی ہے۔ یہ کلائنٹ پروٹوکول اور پورٹ، صارف یا آلہ کیسے توثیق کرتا ہے، جڑنے پر دیا جانے والا پتہ تالاب، اس تالاب کی رسائی کے وسائل، منقسم ٹنل کے سابقے، کلائنٹ کی طرف بھیجے جانے والے DNS سرور، اور کوئی دوسرا عنصر درج کرتا ہے۔ ہر خانہ ایک گیٹ وے کے بارے میں نہیں بلکہ صارفین کی نامعلوم تعداد کے بارے میں سوال کا جواب دیتا ہے۔

تفصیل کا یہی فرق دونوں کرداروں کے الگ ہونے کی پوری وجہ ہے۔ برانچ پروفائل ایک چابی پر محفوظ طریقے سے بھروسا کر سکتی ہے کیونکہ چابی ایک ہی جگہ کے ایک ہی آلے کی ہے۔ سب کے لیے ایک گروپ چابی پر بھروسا کرنے والی گھومنے پھرنے کی پروفائل فی صارف جوابدہی کو ڈھا دیتی ہے، اور یہ عام طور پر بعد میں، تعیناتی کے وقت نہیں بلکہ واقعے کے جائزے کے وقت معلوم ہوتا ہے۔

ہم منصب کی تطبیق اور توثیق کہاں الگ ہوتی ہیں

IOS XE پر IKEv2 پروفائل وہ پیرامیٹر لے کر جاتی ہے جن پر بات چیت نہیں ہو سکتی، اور وہ شرائط بھی جن سے ہم منصب چنا جاتا ہے۔ اس کا مطلب ہے کہ برانچ کی طرف اور گھومنے پھرنے کی طرف دونوں کو اپنی اپنی پروفائل چاہیے، چاہے وہ ایک ہی انٹرفیس پر ختم ہوں اور چاہے وہ ایک ہی کرپٹو PKI مشترک کریں۔ Cisco نے پروفائل، توثیق اور تطبیق کے کردار اپنی IOS XE 17 کے لیے IKEv2 ترتیب کی رہنما میں بیان کیے ہیں۔

برانچ پروفائل عام طور پر ایک تنگ شناخت سے میل کھاتی ہے: دور کا پتہ، FQDN، یا سند کا موضوع۔ match identity remote address 198.51.100.10 255.255.255.255 جیسی چیز ایک ہم منصب کو پن کرتی ہے، اور ہر سائٹ کے لیے رکھی چابی کے ساتھ authentication remote pre-share کافی ہے۔ تطبیق کو اتنا ہی مخصوص رکھیں جتنا ہم منصبوں کی فہرست اجازت دے، کیونکہ انتخاب کی ترتیب میں اوپر موجود اوورلیپ کرنے والا وائلڈ کارڈ برانچ کی ٹریفک کو غلط پروفائل میں کھینچ سکتا ہے۔

گھومنے پھرنے کی پروفائل پتہ پن نہیں کر سکتی، اس لیے یہ کسی گروپ، key-id یا سند کے خانے سے میل کھاتی ہے، اور پھر اصل صارف کی جانچ AAA کو یا پروفائل سے منسلک اجازت کی پالیسی کو سونپ دیتی ہے۔ یہ تقسیم اہم ہے: ہم منصب کی توثیق بتاتی ہے کہ کلائنٹ کو ٹنل بنانے کی اجازت ہے یا نہیں، اور فی صارف اجازت بتاتی ہے کہ اسے کون سا تالاب اور کون سے وسائل ملتے ہیں۔ برانچ کی چابی کو عالمگیر لاگ ان بنانا دوسرا جواب پھینک دیتا ہے۔

فارورڈنگ اور ترجمے کو بھی یہی تقسیم چاہیے

داخلہ اور رسائی الگ مسائل ہیں۔ کامیاب IKE اور IPsec تبادلہ ثابت کرتا ہے کہ دونوں فریق چابیوں پر متفق ہیں؛ یہ اس تالاب تک راستہ نہیں بناتا جو کلائنٹ کو ملا۔ اسی لیے دور دراز رسائی کے تالابوں کو واپسی کا راستہ چاہیے: یا ٹنل انٹرفیس کی طرف مستقل راستہ، یا ایسا راؤٹنگ پروٹوکول جو تالاب کا خلاصہ داخل کرے۔ برانچ کے سابقے عام طور پر اسی راؤٹنگ عمل سے آتے ہیں جو باقی سائٹ کی خدمت کرتا ہے۔

ترجمہ وہ جگہ ہے جہاں دونوں کردار سب سے زیادہ ٹکراتے ہیں۔ وہ سائٹوں کے درمیان ٹریفک جسے اپنے نجی پتے رکھنے ہیں اسے ان دو سابقوں تک محدود NAT استثنا چاہیے، دونوں سمتوں میں۔ گھومنے پھرنے والے کلائنٹس کو عام طور پر ٹنل کے اندرونی ٹریفک کے لیے بھی استثنا چاہیے، لیکن ان کی انٹرنیٹ کی طرف ٹریفک یا تو منقسم ٹنل سے ٹنل کو بچا جاتی ہے یا NAT کے بعد مرکز پر نکلتی ہے۔ ٹنل سے آنے والی ہر چیز کو استثنا دینا کلاسیکی غلطی ہے، کیونکہ اس سے اس ٹریفک سے بھی ترجمہ چھن جاتا ہے جسے واقعی اس کی ضرورت ہے۔

استثنا کے قواعد کو داخلہ کے قواعد جتنے تنگ رکھیں۔ اگر تالاب کا خلاصہ اور برانچ کا سابقہ اوورلیپ ہوں، تو واپسی کا راستہ کسی بھی پیکٹ کے گرجانے سے بہت پہلے مبہم ہو جاتا ہے، اور علامت صاف ٹنل ناکامی کے بجائے کسی سائٹ کا وقفے وقفے سے ذیلی نیٹ کھونا بنتی ہے۔

وہ قبولیت کے واقعات جو آڑی پالیسی کو بے نقاب کرتے ہیں

چار واقعات بنائیں اور انہیں ترتیب سے چلائیں۔ برانچ کا میزبان صرف برانچ کے وسائل تک پہنچتا ہے۔ گھومنے پھرنے والا کلائنٹ اپنے تالاب کے پتے سے اسی وسیلے تک پہنچتا ہے۔ گھومنے پھرنے والا کلائنٹ ایسے برانچ سابقے کی کوشش کرتا ہے جسے اسے نہیں چھونا چاہیے۔ برانچ کا ہم منصب دور دراز رسائی کے تالاب سے پتہ لینے کی کوشش کرتا ہے۔ آخری دو ہی مشترکہ پروفائل کو پکڑتے ہیں، کیونکہ عام نگرانی میں وہ خاموشی سے ناکام ہوتے ہیں۔

پھر ترتیب نہیں، ڈیٹا پلین کی تصدیق کریں۔ show crypto ikev2 sa اور show crypto ipsec sa بتاتے ہیں کہ کون سی پروفائل اور کون سے سلیکٹر ہر بہاؤ لے گئے، جبکہ show ip nat translations اور ٹنل کے شمار کنندگان دکھاتے ہیں کہ واپسی کا راستہ اور استثنا واقعی میل کھائے یا نہیں۔ ٹنل انٹرفیس پر tracer یا پیکٹ کیچنگ چکر بند کرتا ہے۔

ہر نتیجے کے ساتھ دیکھی گئی شناخت، تالاب کا پتہ اور منتخب پالیسی لکھیں۔ دور تب مکمل ہوتا ہے جب ہر واقعہ بالکل ایک ریکارڈ سے میل کھائے، اور کسی بھی واقعے کو گزرنے کے لیے عارضی استثنا کی ضرورت نہ ہو۔