فون VPN سے گھر: فائر وال کو اپنا انٹرنیٹ اخراج بنائیں

فون کو گھریلو سرنگ سے جوڑنا اور LAN فائل شیئرنگ کھولنا ثابت کرتا ہے کہ سرنگ کام کرتی ہے۔ یہ ثابت نہیں کرتا کہ فون کی انٹرنیٹ درخواستیں گھر سے باہر جاتی ہیں۔ ان دو نتائج کا فرق فارورڈنگ پالیسی اور ایک راستہ ہے، فون پر ایک اور چیک باکس نہیں۔ یہ وہی فرق بھی ہے جسے زیادہ تر لوگ سمجھتے ہیں کہ انہوں نے پہلے ہی ترتیب دیا ہے۔

تین فیصلے اخراج کا راستہ بناتے ہیں: فون سرنگ میں کیا بھیجتا ہے، گھریلو گیٹ وے اسے کہاں فارورڈ کرتا ہے، اور سرنگ نہ ہونے پر کیا ہوتا ہے۔ ہر ایک کی ناکامی کی حالت ہے جو فون کی اسکرین سے دوسروں جیسی نظر آتی ہے۔

دو چھلانگیں، دو پالیسیاں

بیرونی کنکشن گھریلو VPN سامع پر ختم ہوتا ہے۔ اندرونی پیکٹ ایک الگ شے ہے جسے کہیں فارورڈ کرنا پڑتا ہے، اور فارورڈنگ سرنگ کو پہلے قبول کرنے سے مختلف فائر وال فیصلہ ہے۔

phone app -> encrypted tunnel -> home listener
          -> decrypted packet -> forward policy -> home uplink -> destination

عام گھریلو راؤٹر پر یہ الگ الگ قواعد کے مجموعوں میں رہتے ہیں۔ سرنگ قبول کرنا VPN انٹرفیس پر ان پٹ پالیسی ہے؛ فون کی ٹریفک کو انٹرنیٹ پر بھیجنا فارورڈنگ پالیسی اور وہ ماخذ ترجمہ ہے جس کی uplink کو ضرورت ہوتی ہے۔ جو راؤٹر سرنگ قبول کرتا ہے مگر کچھ فارورڈ نہیں کرتا، وہ ایسا فون دیتا ہے جو منسلک دکھاتا ہے اور کوئی صفحہ لوڈ نہیں کرتا۔

اگر VPN سروس گھر کے اندر الگ مشین پر چلتی ہے تو ایک چھلانگ بڑھائیں۔ اب راؤٹر اس مشین سے آنے والی ٹریفک دیکھتا ہے، اس لیے اس کے قواعد فون کے سرنگ پتے کے بجائے سرور کے پتے پر لاگو ہوتے ہیں، اور ماخذ ترجمہ ہر فون کو ایک ہی ہوسٹ جیسا دکھا سکتا ہے۔

سامع فلٹر نہیں ہے

طے کریں کہ نفاذ کہاں ہوتا ہے جب تک آپ کو درکار معلومات موجود ہیں۔ راؤٹر پر فون کا سرنگ پتہ نظر آتا ہے اور براہ راست ملایا جا سکتا ہے۔ دوسرے ترجمے کے پیچھے وہ جا چکا ہوتا ہے، اور فون کے پتے کے لیے لکھے قواعد خاموشی سے کسی سے نہیں ملتے۔

یہی عام وجہ ہے کہ پالیسی لیپ ٹاپ کے لیے کام کرتی ہے مگر فون کے لیے نہیں۔ لیپ ٹاپ براہ راست راؤٹر سے جڑتا ہے، فون ایسے سرور سے جڑتا ہے جو راؤٹر کے ذریعے فارورڈ کرتا ہے، اور صرف پہلا راستہ وہ پتہ بچاتا ہے جس کی قاعده توقع کرتی ہے۔ قاعده غلط نہیں؛ یہ ایسی قدر سے مل رہی ہے جو اس مقام پر اب موجود نہیں۔

ہر نفاذ مقام پر نظر آنے والے ماخذ پتے کے ساتھ راستہ لکھیں۔ وہی ایک خاکہ کسی بھی قاعده میں ترمیم سے پہلے ان میں سے بیشتر صورتوں کو حل کر دیتا ہے۔

فون کو حقیقت میں کیا بھیجنا چاہیے

جو فون صرف گھریلو ذیلی نیٹ کا راستہ پاتا ہے وہ صرف اسی ذیلی نیٹ کی ٹریفک سرنگ میں بھیجتا ہے۔ باقی سب موبائل نیٹ ورک سے باہر جاتا ہے، اسی لیے فائل شیئرنگ کام کرتی ہے اور انٹرنیٹ درخواستیں کبھی گھر نہیں پہنچتیں۔

مکمل سرنگ کوریج کلائنٹ کی طرف کا روٹنگ فیصلہ ہے، اور اسے پلیٹ فارم کے تعاون یافتہ طریقے سے مقرر کرنا چاہیے، نصب ہونے والی پروفائل سے فرض نہیں کرنا چاہیے۔ مقرر ہونے کے بعد، VPN سرور کی طرف واپسی کا راستہ سرنگ سے باہر رہنا چاہیے، ورنہ کلائنٹ اپنی ٹرانسپورٹ برقرار نہیں رکھ سکتا۔

DNS اپنے الگ فیصلے کا حقدار ہے، کیونکہ باقی ٹریفک سے ہٹنے کا سب سے زیادہ امکان اسی حصے کا ہے۔ پروفائل میں ریزولور کا پتہ ایک تجویز ہے جسے کلائنٹ مختلف انداز میں سنبھالتے ہیں، اور اپنے خفیہ کردہ ریزولور والی ایپ مکمل طور پر الگ راستہ اختیار کر سکتی ہے۔ اگر گھریلو پالیسی کا انحصار درخواستوں کے کسی خاص ریزولور تک پہنچنے پر ہے تو اسے وہاں نافذ کریں جہاں ٹریفک واقعی گزرتا ہے، یا مان لیں کہ کچھ درخواستیں ایسا نہیں کریں گی۔ جو درخواست آپ کے ریزولور سے گزرتی ہے وہ اس کے لیے لکھی گئی قاعده تک کبھی نہیں پہنچتی۔

IPv6 DNS کی طرح اسی پیراگراف میں ہے، ضمیمے میں نہیں۔ مکمل IPv4 سرنگ AAAA ٹریفک کے بارے میں کچھ نہیں کہتی، اور دوہرے اسٹیک والے موبائل نیٹ ورک کا فون اس کے لیے مقامی راستہ خوشی سے استعمال کرے گا۔ نقل و حمل یا بلاکنگ واضح طور پر منتخب کریں۔

فائر وال کیا دیکھ سکتا ہے اور کیا نہیں

گیٹ وے اس چیز پر عمل کر سکتا ہے جو اس کا نفاذ مقام ظاہر کرتا ہے: پتے، پورٹس، پروٹوکول، انٹرفیس اور کنکشن کا میٹا ڈیٹا۔ فارورڈ شدہ HTTPS درخواست صرف اس لیے صفحے کا متن یا پاس ورڈ نہیں دیتی کہ وہ گھریلو سرنگ سے گزرتی ہے۔

یہ حد بتانا قابل ذکر ہے، کیونکہ «اسے فائر وال سے گزارو» کا جملہ گھریلو راؤٹر کے عمل سے زیادہ جانچ کا اشارہ دیتا ہے۔ منزل کی قاعده، DNS پالیسی اور ایپلیکیشن سطح کا پراکسی تین مختلف کنٹرول ہیں، تین مختلف تعیناتی لاگتوں کے ساتھ۔

یہ نہ مانیں کہ گھریلو LAN کلائنٹس کے لیے ترتیب دی گئی خصوصیت VPN انٹرفیس پر بھی لاگو ہوتی ہے۔ زون کی رکنیت ترتیب کا انتخاب ہے، اور جو VPN انٹرفیس درست زون میں نہیں وہ ان قواعد میں سے کوئی بھی وراثت میں نہیں پاتا جنہیں آپ صوفے سے جانچ چکے ہیں۔

منقطع حالت کا فیصلہ کریں

جب سرنگ دستیاب نہ ہو تو فون یا تو موبائل نیٹ ورک پر واپس آتا ہے یا ٹریفک بھیجنے سے انکار کرتا ہے۔ دونوں معقول ہیں، اور ان میں سے صرف ایک اس سے میل کھاتا ہے جسے زیادہ تر لوگ ترتیب دیا ہوا مانتے ہیں۔

واپسی سہل ہے اور تعریف کے مطابق رسوائی ہے: جس لمحے سرنگ گرتی ہے اسی لمحے درخواستیں کیریئر کے راستے باہر جاتی ہیں۔ بلاکنگ زیادہ مضبوط ہے اور فون کو گھر کی دستیابی پر منحصر کر دیتی ہے، جو سفر کرنے والے کے لیے حقیقی دستیابی لاگت ہے۔ دونوں رویوں میں سے کوئی خرابی نہیں؛ دونوں مصنوعات ہیں، اور آپ کہیں یا نہ کہیں، ان کے درمیان انتخاب کر رہے ہیں۔

فرض کرنے کے بجائے انتخاب آزمائیں۔ گھریلو سروس روکیں، پھر فون کے براؤزر سے ایک درخواست اور پس منظر میں چلنے والی ایپ سے دوسری آزمائیں۔ بعد میں دوبارہ جڑنا پہلے ہی جا چکی درخواستوں کو منسوخ نہیں کرتا۔

فون ہی سے دو کنٹرول شدہ جانچوں کے ساتھ اختتام کریں: ایک اجازت شدہ کارروائی جو گھر سے گزرنی چاہیے، اور ایک انکار جو گھریلو پالیسی کو نافذ کرنا چاہیے۔ تصدیق کریں کہ گیٹ وے نے آپ کی متوقع روانی آپ کے متوقع پتہ خاندان میں، دوبارہ جڑنے کے بعد درج کی۔ «منسلک» دکھانے والا فون اس تصدیق کا آغاز ہے، کبھی اختتام نہیں۔