پورٹ 53 پر OpenVPN: تین گفتگو جنہیں لوگ گڈمڈ کرتے ہیں
اینڈ پوائنٹ کا نام حل کرنا، خفیہ کردہ منتقلی اور سرنگ کے بعد DNS تین الگ گفتگو ہیں۔ پورٹ یا ریزولور بدلنے سے پہلے پہچانیں کہ کون سا مرحلہ ناکام ہوا۔
جو رپورٹیں کہتی ہیں کہ VPN پورٹ 53 پر بلاک ہے وہ تین ایسے مشاہدے ملا دیتی ہیں جو مختلف وجوہات سے ناکام ہوتے ہیں۔ اینڈ پوائنٹ کے نام کا حل کسی سرنگ کے وجود سے پہلے ہوتا ہے، خفیہ کردہ منتقلی الگ گفتگو ہے، اور اس کے بعد کی جانے والی DNS استفسارات تیسری ہیں۔ ہر ایک کی اپنی ناکامی کی نشانی ہے، اور ان میں سے صرف ایک کا تعلق DNS سے ہے۔
کچھ بھی بدلنے سے پہلے پیکٹوں کو ان کے مقصد کے مطابق الگ کریں، کیونکہ حل مرحلے کی پیروی کرتا ہے۔
تین گفتگو، ایک پورٹ نمبر
پہلی گفتگو اینڈ پوائنٹ کے لیے نام کی تلاش ہے: آپ کی مشین اپنے ترتیب شدہ ریزولور سے پوچھتی ہے کہ vpn.example.com کہاں ہے، اور وہ جواب عام DNS پر آتا ہے، اس سے پہلے کہ کلائنٹ ایک بھی سرنگ پیکٹ بھیجے۔ دوسری خود OpenVPN کی منتقلی ہے، جو تلاش کے بتائے گئے پتے پر اسی پروٹوکول اور پورٹ پر جڑتی ہے جو پروفائل بتاتا ہے۔ تیسری سرنگ کے قائم ہونے کے بعد ہوتی ہے، جب ایپلیکیشنز نام مانگتی ہیں اور بھیجی گئی ریزولور ترتیبات طے کرتی ہیں کہ جواب کون دے گا۔
یہ تینوں آزادانہ طور پر کامیاب یا ناکام ہو سکتی ہیں۔ کلائنٹ اپنے اینڈ پوائنٹ کو مکمل طور پر حل کر سکتا ہے اور پھر بھی سننے والے تک نہ پہنچے، اور وہ سرنگ قائم کر سکتا ہے جبکہ ہر اندرونی نام کی تلاش ناکام ہو کیونکہ DNS ترتیبات کبھی نہیں پہنچیں۔
| Conversation | When it happens | What has to be true |
|---|---|---|
| Endpoint lookup | Before the client contacts a hostname | An underlying resolver path can answer for the endpoint name |
| OpenVPN transport | During tunnel establishment | The gateway listens on its configured transport, address and port, and nothing filters it |
| Application DNS | During or after the protected session | A resolver the client can reach, plus routing that carries its queries |
جدول کو تفصیل کے بجائے چیک لسٹ کے طور پر پڑھیں۔ اگر اینڈ پوائنٹ کا نام حل نہ ہو تو آگے کچھ بھی کام نہیں کر سکتا، اور سرنگ کبھی شروع نہیں ہوتی۔
پورٹ نمبر ایپلیکیشن کا نام نہیں بتاتا
پورٹ 53 روایت کے مطابق DNS ڈھوتا ہے، اور OpenVPN آپریٹر وہاں سننے والا بھی شائع کر سکتا ہے، اسی لیے یہ نمبر کمزور شناخت ہے۔ UDP 53 پر OpenVPN سیشن اب بھی OpenVPN سیشن ہے، اور پورٹ 53 کے سرور سے کی گئی DNS استفسار یہ نہیں بتاتی کہ سرنگ کی اجازت ہے یا نہیں۔ پروفائل کی proto اور remote سطریں بیرونی اینڈ پوائنٹ متعین کرتی ہیں؛ پورٹ نمبر خود کچھ متعین نہیں کرتا۔
تشخیص کے وقت یہ دونوں طرف کاٹتا ہے: پورٹ 53 پر عام UDP جانچ ثابت کرتی ہے کہ کوئی پورٹ جواب دیتا ہے، یہ نہیں کہ VPN سروس جواب دیتی ہے۔ اصل کلائنٹ اور اصل پروفائل کے ساتھ جانچیں، کیونکہ صرف وہی اس ہینڈ شیک کی مشق کرتا ہے جس کی سروس توقع کرتی ہے۔
نیٹ ورک کو الزام دینے سے پہلے سننے والے کو ثابت کریں
سرور پر ss -lunp | grep 53 سے جانچیں کہ کیا بندھا ہے اور پروفائل کے پروٹوکول اور پورٹ سے موازنہ کریں۔ کلائنٹ کے نیٹ ورک سے، کلائنٹ کو زیادہ تفصیل کے ساتھ چلائیں تاکہ لاگ دکھائے کہ اس نے کون سا پتہ اور منتقلی آزمائی۔ اگر سرور سن رہا ہے اور کلائنٹ کے پیکٹ نہیں پہنچتے تو راستہ یا پالیسی انہیں مسترد کر رہی ہے، اور یہ نیٹ ورک مالک کے ساتھ گفتگو ہے، پورٹ بدلنے کی وجہ نہیں۔
مختلف پورٹ صرف اس وقت مدد کرتا ہے جب سروس واقعی وہاں سن رہی ہو اور تعیناتی اجازت دے۔ منظم نیٹ ورک کی فلٹرنگ سے بچنے کے لیے سننے والا ہٹانا پالیسی کا فیصلہ ہے، مسئلہ حل کرنے کا مرحلہ نہیں۔ سروس بدلنے سے پہلے نیٹ ورک مالک سے پوچھیں کہ کیا اجازت ہے، کیونکہ پالیسی توڑنے والا متبادل راستہ بعد میں بند کر دیا جاتا ہے۔ وہ جواب پروفائل کے پاس لکھ لیں تاکہ اگلا شخص درخواست نہ دہرائے۔
سرنگ کے بعد DNS الگ سے جانچیں
سرنگ قائم ہونے کے بعد، VPN انٹرفیس پر ریزولور کی حالت دیکھیں اور ایک اندرونی نام اور ایک عوامی نام استفسار کریں۔ اگر سرنگ ٹریفک ڈھو رہی ہو اور اندرونی نام ناکام ہوں تو بھیجی گئی DNS ترتیبات لاگو نہیں ہوئیں، یہ منتقلی کا نہیں بلکہ کلائنٹ انضمام کا سوال ہے۔ اگر عوامی نام ناکام ہوں اور اندرونی نام کام کریں تو منقسم سرنگ کی پالیسی وہی کر رہی ہے جس کے لیے ترتیب دی گئی تھی۔
DNS تبدیلیاں ریزولور مالک کے پاس رکھیں۔ ایک تجربہ پاس کرانے کے لیے منظم ریزولور ترتیب پر لکھنا مشین پر باقی سب کے لیے نجی نام توڑ سکتا ہے۔ اگر سرنگ ریزولور بھیجے اور کلائنٹ اسے نظر انداز کرے تو کہیں اور مستقل اندراج شامل کرنے کے بجائے کلائنٹ انضمام ٹھیک کریں۔ مستقل اندراجات ناکامی کو چھپاتے ہیں تاوقتیکہ کوئی نیٹ ورک بدلے۔ لکھیں کہ کون سا ریزولور کون سی نام کی جگہ کا جواب دے۔