ہر ایپ کے لیے کِل سوئچ بمقابلہ پورے ڈیوائس کا لاک ڈاؤن: کیا بدلتا ہے
لیبل نہیں، محفوظ مجموعے کی بنیاد پر فیصلہ کریں: خارج شدہ ایپس، پس منظر مددگار اور نئی کنکشنز کے لیے کیا رکتا ہے، اور ہر صورت کو کیسے جانچنا ہے۔
ہر ایپ کے لیے کِل سوئچ محتاط انتخاب جیسا لگتا ہے: سرنگ گرنے پر صرف کام کا کلائنٹ اپنا نیٹ ورک کھوتا ہے، اور باقی سب چلتا رہتا ہے۔ پھر کسی کو دھیان آتا ہے کہ ذاتی براؤزر نے پھر بھی صفحہ لوڈ کیا، اسی سوٹ کے ساتھ آیا ہم آہنگی مددگار بار بار کوشش کرتا رہا، اور کیش میں رکھا نام اب بھی ایسے پتے پر حل ہوتا رہا جس نے کبھی سرنگ کو نہیں چھوا۔ خصوصیت پر لگا لیبل اور وہ کنکشنز کا مجموعہ جس کی وہ واقعی حفاظت کرتی ہے دو مختلف چیزیں ہیں۔ پہلے محفوظ مجموعہ طے کریں، کیونکہ وہی مجموعہ طے کرتا ہے کہ فی ایپ نفاذ یا پورے ڈیوائس کا لاک ڈاؤن ایماندار وضاحت ہے۔
لیبل سے نہیں، مجموعے سے شروع کریں
فی ایپ پالیسی منتخب ایپس کی حفاظت کرتی ہے۔ ڈیوائس لاک ڈاؤن وسیع نیٹ ورک حد کو نشانہ بناتا ہے، عام طور پر مقامی پرنٹنگ، انتظامی ٹریفک یا کیپٹیو پورٹل کے لیے دستاویزی استثناؤں کے ساتھ۔ تین سوالوں کے جواب دیے بغیر کوئی لیبل مکمل نہیں: خارج شدہ ایپس کے ساتھ کیا ہوتا ہے، وہ مددگار جنہیں یہ ایپس شروع کرتی ہیں ان کے ساتھ کیا ہوتا ہے، اور حفاظت دستیاب نہ ہونے پر کھلنے والے کنکشنز کے ساتھ کیا ہوتا ہے۔
کلائنٹ کی کسی بھی سیٹنگ کو چھونے سے پہلے یہ جوابات لکھ لیں۔ اگر ضرورت یہ ہو کہ "یہ پے رول کلائنٹ سرنگ سے باہر انٹرنیٹ سے کبھی بات نہ کرے، اور میرا براؤزر کر سکتا ہے"، تو مجموعہ چھوٹا ہے اور فی ایپ نفاذ موزوں ہے۔ اگر ضرورت یہ ہو کہ "اس ڈیوائس پر کچھ بھی بغیر حفاظت کے انٹرنیٹ تک نہ پہنچے، اپ ڈیٹ سروس کے سوا"، تو کوئی بھی فی ایپ پالیسی یہ نہیں دے گی، کیونکہ جن ایپس کے نام آپ نے نہیں لیے وہی مسئلہ ہیں۔
فی ایپ نفاذ شناخت کنندگان سے میل کھاتا ہے، پروگرام ناموں سے نہیں
Android پیکجوں کے ذریعے فی ایپ VPN فراہم کرتا ہے، اور اس کی VpnService دستاویز بتاتی ہے کہ یہ ہمہ وقت فعال عمل اور بلاکنگ کے ساتھ کیسے تعامل کرتا ہے۔ iOS انتظامی پروفائل کے ذریعے فی ایپ VPN ترتیب دیتا ہے اور ایپ یا ڈومین کے مطابق میل کرتا ہے۔ Windows اور Linux میں فی عمل راستہ بالکل نہیں، اس لیے وہی خیال کسی پروگرام تک محدود فائر وال اصول یا مالک صارف سے میل کھانے والے اصول سے اندازہ کیا جاتا ہے۔
حد شناخت کنندہ ہے، اور شناخت کنندگان سے بچنا آسان ہے۔ جو ایپ سسٹم براؤزر کو URL دیتی ہے، یا کسی ویوئر میں دستاویز کھولتی ہے، وہ ایسے عمل میں جاتی ہے جس کا نام آپ کی پالیسی نے کبھی نہیں لیا۔ گرنے پر ختم کرنے کا اختیار بھی پیکٹ فلٹر نہیں ہے: یہ آپ کی ترتیب کردہ ایپ کو مارتا ہے، جبکہ چائلڈ عمل، قطار کا ورکر یا براؤزر ٹیب موجودہ ساکٹ کو زندہ رکھ سکتا ہے۔
لاک ڈاؤن وہ ڈھانپتا ہے جو فی ایپ پالیسی نہیں دیکھ سکتی
پورے ڈیوائس کا لاک ڈاؤن انتخاب ہٹا دیتا ہے۔ سرنگ سے تعلق نہ رکھنے والا ہر باہر جانے والا پیکٹ پھینک دیا جاتا ہے، ان عملوں کی ٹریفک بھی جنہیں آپ کی ایپ پالیسی کبھی نہیں جانتی تھی۔ Android پر یہ ہمہ وقت فعال VPN اور کنکشن بلاک کرنے کی سیٹنگ کا امتزاج ہے، اور نفاذ سسٹم میں ہوتا ہے، کلائنٹ ونڈو میں نہیں۔ ڈیسک ٹاپ پر یہ مستقل فائر وال اصول یا ناقابل رسائی گیٹ وے کی طرف اشارہ کرنے والا ڈیفالٹ راستہ ہے۔
قیمت یہ ہے کہ باقی سب رک جاتا ہے، اس لیے استثنائیں بعد کی سوچ نہیں، ڈیزائن کا حصہ بن جاتی ہیں۔ مقامی پرنٹر، سروس کی دریافت، کیپٹیو پورٹل لاگ ان، انتظامی ایجنٹ اور OS اپ ڈیٹس میں سے ہر ایک کو دستاویزی سوراخ چاہیے، کیونکہ ہر ایک ایسا راستہ ہے جو سرنگ بند ہونے پر کھلا رہتا ہے۔ لاک ڈاؤن اس فہرست کے سب سے چھوٹے اندراج جتنا ہی مضبوط ہے۔
DNS، IPv6 اور پس منظر مددگار رساؤ چھپاتے ہیں
محفوظ ایپ کا نام حل نہ کر پانا یہ ثابت نہیں کرتا کہ کیش شدہ جوابات یا براہ راست IP ٹریفک بلاک ہے۔ اگر حل کرنے والا سرنگ سے باہر اب بھی قابل رسائی ہے، تو نام حل ہوتا ہے اور کنکشن ناکام ہوتا ہے، جو چلتے ہوئے کِل سوئچ جیسا لگتا ہے اور ہے نہیں۔ اس سے بدتر، کیش شدہ ریکارڈ ایسے پتے کی طرف اشارہ کر سکتا ہے جو سرنگ نہیں اٹھاتی، اس لیے کنکشن سیدھا باہر جاتا ہے جبکہ ایپ VPN خرابی بتاتی ہے۔
IPv6 کو اسے چلانے والے ہر پلیٹ فارم پر اپنا اصول چاہیے، کیونکہ v4 کے لیے گرانے کا اصول v6 راستہ نہیں ڈھانپتا۔ موبائل پر، نجی DNS سیٹنگ حل کو ایسے خفیہ کردہ چینل میں منتقل کر سکتی ہے جسے ڈیوائس پالیسی نہیں جانچتی۔ اور پس منظر مددگار ڈیسک ٹاپ پر عام ملزم ہیں: ٹرے میں اپ ڈیٹر یا ہم آہنگی کا عمل VPN کلائنٹ سے پہلے شروع ہوتا ہے اور اپنا کنکشن رکھتا ہے، اس لیے وہ بدلا ہوا راستہ کبھی نہیں دیکھتا۔
تین ایپس اور دو منتقلیاں جانچیں
| Test | What it proves |
|---|---|
| Included app, by name and by direct IP | the policy is applied, not just the resolver |
| Excluded app, same checks | the exclusion is intentional and documented |
| Helper or updater process | nothing inherited an older route |
| Tunnel drop, then Wi-Fi to cellular | the block survives the transition |
ہر سطر دو بار چلائیں، ایک بار ہوسٹ نام کے ساتھ اور ایک بار لفظی پتے کے ساتھ، اور اگر نیٹ ورک دے تو ایک بار مزید IPv6 پر۔ پاس کا مطلب ہے کہ شامل ایپ رکی، خارج شدہ ایپ نے ویسا ہی برتاؤ کیا جیسا آپ نے لکھا، اور مددگار باہر نہیں پھسلا۔ جس براہ راست برتاؤ کو آپ نے قابل قبول ٹھہرایا اسے درج کریں، تاکہ اگلا منتظم جان بوجھ کر دی گئی استثنا اور ناکامی میں فرق کر سکے۔
پھر نتیجہ ایک جملے میں بیان کریں جو ایپس اور شرائط کے نام لے، مثلاً: پے رول کلائنٹ کا سرنگ سے باہر کوئی راستہ نہیں، براؤزر ڈیزائن کے مطابق براہ راست ہے، اور سرنگ بند ہونے پر باقی سب رک جاتا ہے۔ اگر وہ جملہ لکھنا مشکل لگے، تو پالیسی اب بھی ایک دوسرے سے لڑتی دو پالیسیاں ہیں۔