ایک IPv4 منزل کو OpenVPN سرنگ سے باہر کیسے بھیجیں

زیادہ تر مکمل سرنگ سیٹ اپ ہر پیکٹ VPN کے ذریعے بھیجتے ہیں، اور redirect-gateway وہ ہدایت ہے جو ایسا ممکن بناتی ہے۔ ایک منزل کو پھر بھی مستثنیٰ کیا جا سکتا ہے۔ اس پتے کے لیے net_gateway پلیس ہولڈر کے ساتھ ہوسٹ روٹ شامل کرنا کلائنٹ کو کہتا ہے کہ وہ مشین کے اصل گیٹ وے سے وہاں پہنچے، جبکہ باقی سب سرنگ استعمال کرتا رہتا ہے۔

سطر بے ضرر لگتی ہے اور اکثر ایسی ہوتی ہے، لیکن یہ صرف ایک سوال طے کرتی ہے: اسی مخصوص IPv4 پتے کے پیکٹ کہاں جاتے ہیں۔ یہ DNS، IPv6، فائر وال پالیسی یا کس عمل نے کنکشن کھولا اسے نہیں بدلتی، اور ان میں سے ہر ایک استثنا کو خاموشی سے ناکام کر سکتا ہے۔

net_gateway دراصل کس کا نام لیتا ہے

اس استثنا کے لیے پروفائل اندراج ایک ہی سطر ہے: route 198.51.100.77 255.255.255.255 net_gateway۔ پہلا پتہ منزل کے لیے دستاویزی پلیس ہولڈر ہے، ماسک اسے ایک ہوسٹ روٹ بناتا ہے، اور آخری ٹوکن گیٹ وے پلیس ہولڈر کا نام لیتا ہے۔ OpenVPN روٹس انسٹال کرتے وقت گیٹ وے پلیس ہولڈرز حل کرتا ہے۔ vpn_gateway کا مطلب سرنگ کا اپنا گیٹ وے ہے، یعنی VPN لنک کا دور والا حصہ۔ net_gateway کا مطلب وہ ڈیفالٹ گیٹ وے ہے جو VPN کے کچھ بھی بدلنے سے پہلے ہوسٹ کے پاس تھا، جو عام طور پر فزیکل نیٹ ورک کا مقامی راؤٹر ہوتا ہے۔

تیسرا پلیس ہولڈر، remote_host، VPN سرور کے پتے کی طرف اشارہ کرتا ہے، اور یہ اس لیے ہے تاکہ سرنگ فزیکل راستے سے سرور تک پہنچ سکے۔ ان تینوں کو ملانا ہی سب سے عام وجہ ہے کہ استثنا غلط جگہ جاتا ہے یا بالکل انسٹال نہیں ہوتا۔

قدر کنیکٹ کرتے وقت پڑھی جاتی ہے، فائل میں نہیں لکھی جاتی۔ اگر مشین دوسرے نیٹ ورک پر جائے تو VPN سے پہلے کا گیٹ وے بدل جاتا ہے اور روٹ نئے کی پیروی کرتا ہے۔ عام طور پر یہی آپ چاہتے ہیں، لیکن اس کا مطلب یہ بھی ہے کہ استثنا کا رویہ اس نیٹ ورک پر منحصر ہے جہاں سے کلائنٹ شروع ہوا۔

ہوسٹ روٹ سرنگ کے ڈیفالٹ کو کیوں ہراتا ہے

روٹنگ سب سے مخصوص مماثل پری فکس سے طے ہوتی ہے۔ redirect-gateway def1 عام طور پر ڈیفالٹ روٹ کی جگہ نہیں لیتا؛ یہ دو نصف شامل کرتا ہے، پتہ فضا کے نچلے نصف کے لیے ایک روٹ اور اوپری نصف کے لیے ایک، تاکہ اصل ڈیفالٹ روٹ دوسرے استعمال کے لیے محفوظ رہے۔ یہ نصف ایک پتے سے زیادہ چوڑے ہیں۔

255.255.255.255 ماسک والے ایک پتے کا روٹ /32 ہے، جو IPv4 کی زیادہ سے زیادہ مخصوصیت ہے۔ جب اس پتے کے لیے پیکٹ کا جائزہ لیا جاتا ہے، /32 مماثل ہوتا ہے اور کون سا روٹ پہلے انسٹال ہوا اس سے قطع نظر جیت جاتا ہے۔ یہی استثنا کے پیچھے کا طریقہ کار ہے، اور جب تک روٹ واقعی موجود ہو یہ Linux، macOS اور Windows پر یکساں کام کرتا ہے۔

Windows دوسرا پہلو شامل کرتا ہے۔ جب دو روٹ یکساں مخصوص ہوں تو کم میٹرک والا جیتتا ہے، اور VPN اڈاپٹر ایسا انٹرفیس میٹرک رکھ سکتا ہے جو نتیجہ بدل دے۔ /32 اب بھی نصف سے زیادہ مخصوص ہے، اس لیے استثنا عام طور پر برقرار رہتا ہے، لیکن پچھلے سیشن کا پرانا روٹ یکساں مخصوص ہو تو الجھنے والا نتیجہ دے سکتا ہے۔

استثنا کیا نہیں ڈھکتا

DNS پہلا خلا ہے۔ کلائنٹ اندرونی حل کنندہ کی ترتیبات دھکیل سکتا ہے، اور آپریٹنگ سسٹم انہیں تلاش کے لیے استعمال کرتا رہے گا۔ کنیکٹ ہونے سے پہلے نام حل کرنے والی ایپلیکیشن اس سروس کے لیے اندرونی پتہ لے سکتی ہے جسے سیدھا جانا چاہیے، یا ایسا بیرونی پتہ جسے درست طریقے سے حل کیا جاتا ہے لیکن پھر اگلے خلا پر ٹھوکر کھاتا ہے۔

IPv6 دوسرا ہے۔ روٹ ہدایت صرف IPv4 سنبھالتی ہے۔ دوہری اسٹیک منزل IPv6 کو ترجیح دے سکتی ہے، جو پالیسی کے مطابق سرنگ یا ہوسٹ کے IPv6 ڈیفالٹ روٹ کی پیروی کرتا ہے، اس لیے IPv4 استثنا کبھی نافذ نہیں ہوتا۔ آپ کو مماثل IPv6 روٹ درکار ہے، یا اس کلائنٹ کے لیے IPv6 بند کرنے کا سوچا سمجھا فیصلہ درکار ہے۔

ایپلیکیشن دائرہ تیسرا ہے۔ قاعدہ منزل پر مبنی ہے، اس لیے اس پتے سے جڑنے والا ہر عمل سیدھا راستہ استعمال کرتا ہے، خواہ وہ آپ کے ذہن میں ہو یا نہ ہو۔ اس کے برعکس، ویب سائٹ کئی پتوں سے جواب دے سکتی ہے، اس لیے ایک /32 کو مستثنیٰ کرنا سائٹ کو مستثنیٰ نہیں کرتا۔ اگر اصل ضرورت فی ایپلیکیشن روٹنگ ہے، تو Community کلائنٹ کی روٹ جدول غلط اوزار ہے۔

خود کو دھوکہ دیے بغیر استثنا جانچنا

براؤزر سے نہیں، انسٹال شدہ روٹ سے شروع کریں۔ Linux پر کرنل سے پوچھیں کہ وہ اس مخصوص پتے کے لیے کون سا روٹ اور اگلی ہاپ استعمال کرے گا؛ Windows پر اس /32 کے لیے روٹ جدول پڑھیں۔ تصدیق کریں کہ گیٹ وے فزیکل ہے، سرنگ نہیں۔ اگر اندراج نہ ہو تو پروفائل لاگو نہیں ہوا یا کلائنٹ کے پاس روٹ بدلنے کا اختیار نہیں تھا۔

پھر دو منزلوں کی جانچ کریں۔ مستثنیٰ پتے کے لیے درخواست فزیکل انٹرفیس سے باہر جانی چاہیے، اور کنٹرول اندرونی پتے کے لیے درخواست اب بھی سرنگ استعمال کرنی چاہیے۔ صرف مستثنیٰ پتے کی جانچ سرنگ کے باقی حصے کے بارے میں کچھ ثابت نہیں کرتی، اور کسی عوامی ویب سائٹ کی جانچ اس پتے کی جانچ کرتی ہے جس پر وہ سائٹ حل ہوئی تھی، جو قاعدے میں دیا پتہ نہ بھی ہو۔

آخر میں، ان کنٹرولز کی جانچ کریں جو روٹ پر غالب آ سکتے ہیں۔ کلائنٹ کی طرف kill switch یا Windows کی block-outside-dns ترتیب سیدھی ٹریفک کو منع کر سکتی ہے، جو روٹ درست ہونے کے باوجود ناکام ہونے والے کنکشن کے طور پر ظاہر ہوتا ہے۔ استثنا کو کام کرتا دکھانے کے لیے ان کنٹرولز کو بند نہ کریں؛ اگر پالیسی سیدھا راستہ منع کرتی ہے تو استثنا VPN سروس کے مالک کے لیے ڈیزائن کا مسئلہ ہے۔

دوبارہ کنیکٹ کرنے یا نیٹ ورک بدلنے کے بعد دوبارہ جانچیں، کیونکہ VPN سے پہلے کا گیٹ وے اور دستیاب راستہ لمحے کی خصوصیات ہیں، پروفائل کی نہیں۔