ہر ایپ کے لیے VPN یا split tunnel؟ میک روٹ کیا فیصلہ کر سکتا ہے

دو ایپلیکیشنز ایک ہی دفتری سرور سے کنکشن کھولتی ہیں، اور ان میں سے صرف ایک کو ٹنل استعمال کرنا چاہیے۔ روٹ اس خواہش کا اظہار نہیں کر سکتا، کیونکہ روٹنگ ٹیبل منزلوں پر مبنی ہوتے ہیں اور انہیں اس بات کا کوئی تصور نہیں کہ کس عمل نے ساکٹ کھولا۔ لوگ جو مانگتے ہیں اور جن کی انہیں ضرورت ہوتی ہے وہ اکثر مختلف چیزیں ہوتی ہیں۔ کوئی بھی ترتیب بدلنے سے پہلے دونوں کو الگ کریں۔

منتخب کنندہ منزل ہے، کبھی عمل نہیں

ہر روٹنگ فیصلہ منزل کے پتے سے شروع ہوتا ہے اور انٹرفیس پر ختم ہوتا ہے۔ کرنل کبھی نہیں پوچھتا کہ پیکٹ کس پروگرام نے بھیجا، اور میک او ایس پر pf بھی عمل کے مطابق روٹ نہیں کرتا، اس لیے فائر وال کا قاعدہ کسی ایپ کو دوسرے راستے پر نہیں ڈال سکتا۔ اسی لیے ایک ہی سرور، چاہے براؤزر سے پہنچا جائے یا رپورٹنگ ٹول سے، دونوں کے لیے ایک ہی راستہ لیتا ہے۔ اس لیے ایپ کی سطح پر علیحدگی کو روٹ کے علاوہ کسی اور چیز سے آنا چاہیے: ایک VPN پلگ ان جو ساکٹ کا مالک ہو، ایک پراکسی جو ایپ کی جانب سے کنکشن لے، یا ایک الگ نیٹ ورک اسٹیک۔ ان میں سے کوئی بھی روٹنگ کی تبدیلی نہیں ہے۔

ایک پتے سے بات کرنے والی دو ایپلیکیشنز کسی ڈیزائن کا صاف ترین امتحان ہیں۔ اگر جواب ان کے درمیان مختلف نہیں ہو سکتا تو ڈیزائن منزل پر مبنی ہے، چاہے اسے کوئی بھی نام دیا جائے۔

عام split tunnel دراصل کیا دیتا ہے

split tunnel نجی سابقوں کے لیے روٹ نصب کرتا ہے اور باقی سب کچھ جسمانی راستے پر چھوڑ دیتا ہے۔ عام طور پر درخواست کا مطلب یہی ہوتا ہے: دفتری سرور تک ٹنل کے ذریعے پہنچنا، عوامی براؤزنگ کو براہ راست رکھنا۔ یہ سادہ ہے، ہر عام کلائنٹ اسے سپورٹ کرتا ہے، اور یہ کسی بھی دوسرے روٹ کی طرح اسی میکانزم سے نافذ ہوتا ہے۔ مخصوص منزل route -n get سے جانچیں، ڈیفالٹ روٹ پڑھنے کے بجائے، کیونکہ split tunnel اکثر ڈیفالٹ روٹ کو اچھوتا چھوڑ دیتا ہے۔

ڈیفالٹ روٹ کو ہاتھ سے تبدیل کرنا کسی چیز میں تبدیلی نہیں۔ یہ کلائنٹ کی اپنی روٹ بحالی سے لڑتا ہے اور ایسے کلائنٹس میں جو حفاظتی پالیسی نصب کرتے ہیں، مشین کو ایسی حالت میں چھوڑ سکتا ہے جس کی نہ آپ توقع کرتے ہیں نہ کلائنٹ۔ اس کے بجائے split tunnel کو کلائنٹ کی معاون ترتیبات میں ترتیب دیں۔

میک او ایس پر فی ایپ VPN کیا تقاضا کرتا ہے

میک او ایس پر حقیقی فی ایپ VPN ایک Network Extension خصوصیت ہے جسے کنفیگریشن پروفائل چلاتا ہے۔ ایک انتظامی پے لوڈ منتخب ایپس کو VPN کنفیگریشن سے منسلک کرتا ہے، اور نظام پھر ان ایپس کی ٹریفک کو اسی کے مطابق روٹ کرتا ہے۔ یہ ایک منظم تعیناتی ہے، یعنی MDM، دستخط شدہ پروفائل اور ایک منتظم جو دونوں کا مالک ہو۔

کلائنٹ کو ہاتھ سے انسٹال کرنا یہ نقشہ سازی نہیں بناتا، اور عام ترتیبات کا پینل ایپس کو انفرادی طور پر منتخب کے قابل نہیں بناتا۔ کوئی وینڈر اپنے ایپ قواعد پیش کر سکتا ہے، اور وہ عام قاعدے کے بجائے اس کی دستاویزات کی پیروی کرتے ہیں۔

MDM کے بغیر فی ایپ علیحدگی کے تین راستے

جہاں انتظام دستیاب نہیں، وہاں پراکسی عملی جواب ہے۔ ایپ کی اپنی پراکسی ترتیب مقرر کریں، یا ایسی PAC فائل استعمال کریں جو صرف اسی ایپ کے لیے منزل اور پروٹوکول کے مطابق انتخاب کرے۔

مقامی پراکسی کنکشن ختم کرتا ہے اور اسے ٹنل کے ذریعے دوبارہ بناتا ہے، اس لیے ایپ کو کبھی روٹ کی ضرورت نہیں ہوتی۔ دوسرا آپشن ایک الگ نیٹ ورک اسٹیک ہے: ایک ورچوئل مشین یا کنٹینر جس کا اپنا ڈیفالٹ روٹ ہو، جہاں ایپ مقامی پتے کے ذریعے پہنچتی ہے۔ تیسرا یہ ہے کہ منزل پر مبنی روٹنگ قبول کی جائے اور شرط چھوڑ دی جائے، جو اس وقت دیانت دار ہے جب دونوں ایپس ٹنل استعمال کر سکتی ہوں۔ تینوں قابلِ جانچ ہیں، اور ان میں سے کوئی یہ دکھاوا نہیں کرتا کہ روٹ عمل کو جانتا ہے۔

درخواست اس طرح لکھیں کہ جواب واضح ہو

میکانزم کے بجائے ورک فلو بیان کریں: کس ایپ کو کون سی سروس چاہیے، کیا کسی دوسری ایپ کو اسی سروس سے دور رکھنا ہے، اور ٹنل بند ہونے کے دوران کیا ہونا چاہیے۔ یہ تین جواب ڈیزائن منتخب کرتے ہیں۔ وہ منتظم کو یہ بھی بتاتے ہیں کہ درخواست روٹنگ کی تبدیلی ہے یا تعیناتی کا منصوبہ۔

مستثنیٰ ایپ کا معاملہ واضح طور پر شامل کریں۔ ایسا کلائنٹ جو کسی ایپ کو روک دیتا ہے جب اس کا محفوظ راستہ دستیاب نہ ہو، اس کلائنٹ سے مختلف برتاؤ کرتا ہے جو اسے جسمانی انٹرفیس پر واپس گرنے دیتا ہے، اور صارفین یہ فرق فوراً محسوس کرتے ہیں۔ ٹکٹ میں توقع کا نام لیں۔ پھر اصل مشین پر تصدیق کریں، کیونکہ وہی پروڈکٹ میک او ایس پر ونڈوز کے مقابلے میں اکثر مختلف برتاؤ کرتی ہے، اور اس کی میک او ایس دستاویزات ہی اس بارے میں واحد قابلِ اعتماد ماخذ ہیں کہ اس کی ترتیبات کیا کرتی ہیں۔