فون VPN سے باہر رہ گیا؟ راؤٹر ٹنل یا ہر ڈیوائس پر کلائنٹ

لیپ ٹاپ VPN سے جڑا ہے، فون اسی Wi-Fi پر ہے، اور پھر بھی فون ISP کے پتے سے براؤز کر رہا ہے۔ یہ کلائنٹ کی خرابی نہیں: ٹنل اُس مشین پر رہتی ہے جو اُسے ختم کرتی ہے، اور قربت کی وجہ سے کوئی اور اُس کی وراثت نہیں پاتا۔ کوریج صرف اُس وقت پھیلتی ہے جب راؤٹر خود کلائنٹ چلائے، یا جب کسی مشین کو جان بوجھ کر LAN کے لیے گیٹ وے بنایا جائے۔ آپ کو کون سا ماڈل چاہیے، یہ تین چیزیں طے کرتی ہیں: آپ کا فراہم کنندہ اصل میں کون سا پروٹوکول بولتا ہے، ڈیوائسز کے ساتھ کتنا مختلف سلوک چاہیے، اور رات نو بجے آپ کون سی ناکامی برداشت کر سکتے ہیں۔

راؤٹر ٹنل اصل میں کیا ڈھکتی ہے

جب ٹنل راؤٹر پر ختم ہوتی ہے تو ہر وہ ڈیوائس جو اُس سے گزر کر روٹ ہوتی ہے ایک ہی اخراج بانٹتی ہے۔ ٹی وی، کنسول یا ایسے آلے کے لیے یہی کشش ہے جو کبھی کلائنٹ نہیں چلائے گا: کچھ انسٹال نہیں کرنا، کچھ اپ ڈیٹ نہیں رکھنا، اور فراہم کنندہ بدلنے کی ایک ہی جگہ۔

کوریج کچھ ایسے طریقوں سے مشروط ہے جو لوگوں کو حیران کرتے ہیں۔ مہمان نیٹ ورک یا اپنی پالیسی والا دوسرا SSID اُس راستے پر جاتا ہے جو وہ پالیسی متعین کرتی ہے، ٹنل پر نہیں۔ IPv6 کا راستہ ایسی ٹنل سے بچ سکتا ہے جو صرف IPv4 لے جاتی ہے۔ اپنی VPN ایپ یا اپنے انکرپٹڈ ریزالور والی ڈیوائس راؤٹر کو مکمل نظر انداز کرتی ہے۔ اور راؤٹر کی اپنی ٹریفک، اپ ڈیٹ اور DNS سمیت، اُس کی آؤٹ پٹ پالیسی کی پیروی کرتی ہے، جو LAN کی فارورڈ شدہ ٹریفک سے مختلف راستہ ہے۔

جانچ دونوں ماڈلوں میں یکساں ہے اور ایک منٹ لیتی ہے: دو ڈیوائسز سے پوچھیں کہ دنیا کو کون سا پتہ نظر آتا ہے، پھر راؤٹر کی کنکشن فہرست میں ٹنل دیکھیں۔ اگر فون ISP کا پتہ بتا رہا ہے جبکہ راؤٹر قائم شدہ ٹنل دکھا رہا ہے، تو فون اُس سے روٹ نہیں ہو رہا، اور کوئی دوبارہ جڑنا اِسے نہیں بدلے گا۔

ہر ڈیوائس پر کلائنٹ کہاں جیتتا ہے

ہر ڈیوائس پر کلائنٹ اُس وقت جیتتے ہیں جب ضروریات الگ ہو جائیں۔ کام کا لیپ ٹاپ ایسی کارپوریٹ ٹنل مانگ سکتا ہے جس میں فون نہ جڑے؛ فراہم کنندہ کا کلائنٹ ایپ کے حساب سے تقسیم شدہ ٹنل دے سکتا ہے، جو راؤٹر بیان نہیں کر سکتا؛ کنسول کو اپنی NAT قسم برقرار رکھنے کے لیے باہر رہنا پڑ سکتا ہے۔ ہر ڈیوائس الگ سے بھی ناکام ہوتی ہے، اس لیے ایک ختم شدہ سبسکرپشن پورا گھر خاموش نہیں کرتی۔

اسناد سب سے تیز دلیل ہیں۔ جو راؤٹر سب کی طرف سے جڑتا ہے وہ ایک ہی اکاؤنٹ رکھتا ہے، اور اُس نیٹ ورک کا ہر فرد اُس کی رسائی کا وارث ہوتا ہے۔ اگر مقصد انٹرنیٹ رسائی سے پہلے ہر فرد کی تصدیق ہے، تو صرف راؤٹر ٹنل یہ نہیں کر سکتی۔ عام ڈیزائن ایک کیپٹو پورٹل ہے جو اکاؤنٹ کی تصدیق کرتا ہے اور پھر کلائنٹ کو پہلے سے قائم ٹنل میں چھوڑ دیتا ہے، جو زیادہ تر گھرانوں کی خواہش سے زیادہ چلتی پرزے ہیں۔

پروٹوکول سپورٹ ترجیح سے زیادہ معاملات طے کرتا ہے

صارفین کے راؤٹر صرف وہی پروٹوکول دکھاتے ہیں جو کارخانہ نے دیے۔ PPTP، L2TP یا سادہ IPsec والا راؤٹر ایسے فراہم کنندہ سے نہیں جڑ سکتا جو صرف OpenVPN یا WireGuard پروفائل شائع کرتا ہے، اور کوئی کنفیگریشن اِسے نہیں بدلتی۔ ایماندار متبادل یہ ہیں: ایسا فراہم کنندہ جو معاون پروٹوکول بولے، OpenWrt یا دوسرے فرم ویئر والا راؤٹر جس میں مطلوبہ کلائنٹ ہو، یا ہر ڈیوائس پر کلائنٹ۔

اُلٹا معاملہ بھی اُتنا ہی عام ہے: OpenVPN کے قابل راؤٹر ایسے فراہم کنندہ کو استعمال نہیں کر سکتا جس کی سروس اپنے ملکیتی کلائنٹ اور اپنی روٹنگ ترکیبوں پر منحصر ہو۔ ہارڈ ویئر خریدنے سے پہلے فراہم کنندہ کا معاون پروٹوکول صفحہ پڑھیں اور فرم ویئر ورژن دیکھیں، کیونکہ پروڈکٹ صفحے پر «WireGuard معاون» کا مطلب اکثر ایک مخصوص فرم ویئر نسل ہوتا ہے۔

WireGuard کلائنٹ والا سفری راؤٹر راؤٹر ماڈل کی سستی شکل ہے اور اُن چند ڈیوائسز کے لیے معقول جواب ہے جو کلائنٹ نہیں چلا سکتیں۔ یہ پھر بھی راؤٹر ٹنل ہے، اس لیے مہمان نیٹ ورک، IPv6 اور مشترکہ ناکامی کے بارے میں اوپر کہی گئی باتیں بغیر تبدیلی لاگو ہوتی ہیں۔

تیسرا متبادل: ایک مشین بطور گیٹ وے

لیپ ٹاپ سے کلائنٹ شیئر کرنا ممکن ہے، اور لوگ عام طور پر یہی مراد لیتے ہیں جب کہتے ہیں کہ لیپ ٹاپ کو راؤٹر بنا دیا۔

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

یہ اُس وقت تک چلتا ہے جب تک مشین سو نہ جائے، کلائنٹ کسی دوسرے پروفائل میں دوبارہ نہ جڑے، یا مشین کا اپنا فائر وال فارورڈ شدہ پیکٹ نہ گرا دے۔ تب اُس کے پیچھے سب کچھ ایک ساتھ رابطہ کھو دیتا ہے، اور ناکامی VPN مسئلہ نہیں بلکہ مُردہ نیٹ ورک لگتی ہے۔

لیب یا عارضی سیٹ اپ کے لیے یہ ٹھیک ہے۔ مستقل انتظام کے طور پر یہ ایک لیپ ٹاپ کو پورے گھر کا واحد ناکامی نقطہ بنا دیتا ہے، اور عام طور پر یہ سوال پر ختم ہوتا ہے کہ ڈھکن بند ہونے پر ٹی وی کیوں بند ہو گیا۔

آنے والے پورٹ، DNS اور مشترکہ ناکامی

آنے والی سروسز ٹنل کے ساتھ چلتی ہیں۔ راؤٹر پر VPN عام طور پر LAN سرور کے لیے پورٹ فارورڈنگ توڑ دیتا ہے، اور اگر سروس ٹنل سے قابل رسائی ہونی چاہیے تو ڈائنامک DNS نام کو ISP پتے کے بجائے VPN اخراج کی طرف اشارہ کرنا چاہیے۔ بعض فراہم کنندگان ایسا روٹ ایبل آنے والا پتہ ہی نہیں دیتے، جو اُس پر ٹکی ہر اسکیم کو خاموشی سے ختم کر دیتا ہے۔

جب راؤٹر کے پاس ٹنل ہو تو DNS راؤٹر کی پیروی کرتا ہے، جو اُس وقت تک سہولت ہے جب تک کسی ایک ڈیوائس کو دوسرا ریزالور نہ چاہیے۔ ہر ڈیوائس پر کلائنٹ اِسے بیان کر سکتا ہے؛ راؤٹر پالیسی نیٹ ورک کو دو حصوں میں بانٹے بغیر نہیں کر سکتی۔ ناکامی بھی مشترکہ ہے، کیونکہ ایک کریش، ایک ختم شدہ سبسکرپشن یا ایک خراب دھکیلی گئی روٹ ایک ہی لمحے میں ہر ڈیوائس کاٹ دیتی ہے۔

راؤٹر ماڈل چنیں جب ڈیوائسز کلائنٹ نہ چلا سکیں اور ایک ہی اخراج قابل قبول ہو۔ ہر ڈیوائس پر کلائنٹ چنیں جب پالیسیاں مختلف ہوں، جب فراہم کنندہ کو ایسا پروٹوکول چاہیے جو راؤٹر میں نہ ہو، یا جب اکاؤنٹ شیئر نہ کرنا ہو۔ اگر مشین ہی گیٹ وے ہو تو لکھ لیں کہ کون سا انٹرفیس کون سا نیٹ ورک شیئر کرتا ہے اور «ٹنل بند» والی حالت جانچیں، کیونکہ اِن میں سے زیادہ تر ڈیزائن اسی حالت میں غلط ثابت ہوتے ہیں۔