پنگ صرف ایک سمت میں کام کرتا ہے: Windows سرور کی گونج کیوں گرا دیتا ہے

آپ کا کلائنٹ سرور کو پنگ کرتا ہے، سرور کلائنٹ کو پنگ نہیں کر سکتا، اور ٹنل ان دونوں جملوں میں واضح طور پر پیکٹ لے کر جا رہی ہے۔ فرق راستے میں نہیں، ہر ٹیسٹ کے پہلے پیکٹ میں ہے: ایک Windows کے پہلے سے ٹریک کردہ بہاؤ کا جواب ہے، دوسرا نئی آنے والی درخواست ہے جسے کسی اصول نے قبول نہیں کیا۔ یہی فرق زیادہ تر یک طرفہ پنگ رپورٹس کی وضاحت کرتا ہے اور سیدھا اس اصول کی طرف اشارہ کرتا ہے جو آپ کو لکھنا ہے۔ مخالف سمتوں میں کیے گئے دو ٹیسٹ تقریباً ایک منٹ میں یہ کیس الگ کر دیتے ہیں۔

دو سمتیں، دو مختلف فیصلے

جب کلائنٹ گونج کی درخواست بھیجتا ہے تو Windows فائر وال ایک باہر جانے والا کنکشن دیکھتا ہے جسے اس نے اجازت دینے کا فیصلہ کیا ہے۔ جواب اسی قائم شدہ بہاؤ کے اندر واپس آتا ہے، اس لیے حالت ٹریک کرنے والا انجن ICMP کے لیے کوئی بھی آنے والا اصول پوچھے بغیر اسے قبول کر لیتا ہے۔ عملی طور پر حالت پر مبنی فلٹرنگ کا یہی مطلب ہے، اور جو اصول کسی نے نہیں لکھا وہ اس میں شامل نہیں۔ اس لیے کلائنٹ کی کامیابی آنے والی پالیسی کے بارے میں کچھ نہیں کہتی۔

جب سرور پہلے درخواست بھیجتا ہے تو کوئی حالت اس سے مطابقت نہیں رکھتی۔ Windows پیکٹ کو نیا آنے والا کنکشن سمجھتا ہے اور آنے والی پالیسی سے پوچھتا ہے، جو بطور طے شدہ کسی بھی ماخذ سے آنے والی گونج درخواستوں کے لیے کچھ فراہم نہیں کرتی۔

یعنی کلائنٹ کی کامیابی نے ثابت کیا کہ باہر جانے والا ICMP اور واپسی کا راستہ کام کرتے ہیں۔ اس نے آنے والا فیصلہ کبھی آزمایا ہی نہیں، اور قدرتی نتیجہ کہ فائر وال ٹھیک ہے، معقول مگر غلط ہے۔ اسی لیے یہ غلطی ان ٹکٹوں میں بھی دہرائی جاتی ہے جن میں ثبوت پہلے سے موجود ہے۔

پیکٹ کے غائب ہونے تک اس کا پیچھا کریں

کچھ بھی بدلنے سے پہلے پتوں کی تصدیق کریں: وہی ٹنل پتہ استعمال کریں جو کلائنٹ کے پاس واقعی ہے، اور جانچیں کہ سرور کلائنٹ کے پیچھے والے LAN پتے کی طرف نہیں بلکہ اسی کی طرف راستہ دیتا ہے۔ سرور کے پرامپٹ سے دونوں ناکامیاں ایک جیسی دکھتی ہیں، کیونکہ دونوں وقت ختم ہونے پر ختم ہوتی ہیں۔ پیکٹ کہاں مرتا ہے یہی واحد حقیقت ہے جو طے کرتی ہے کہ کیا بدلنا ہے۔

اگر درخواست ٹنل انٹرفیس تک پہنچے اور باہر کچھ نہ جائے تو مقامی فائر وال ممکنہ وجہ ہے۔ اگر وہ کبھی انٹرفیس تک نہ پہنچے تو جواب اوپر ہے: سرور پر کوئی راستہ، باہر جانے والی پالیسی، یا VPN کی اپنی ہم مرتبہ ترسیل۔

سرور کے پنگ کرتے وقت کلائنٹ کے ٹنل انٹرفیس پر کیپچر کریں۔ درخواست کو ساتھ میں جواب کے بغیر آتا دیکھنا وہی ثبوت ہے جو Windows اصول لکھنے کا جواز بنتا ہے۔ کچھ بھی نظر نہ آنا آپ کو اوپر بھیجتا ہے، اور اس حالت میں شامل کیا گیا اصول کسی ایسے پیکٹ کے لیے مشین کو مزید اجازت خوگر بناتا ہے جو کبھی آیا ہی نہیں۔ دونوں صورتوں میں کیپچر کی لاگت اس کے بدلے لیے گئے اندازوں سے کم ہے۔

ICMP کھولنے کے بجائے ایک اصول محدود کریں

کچھ لکھنے سے پہلے اڈاپٹر اور اس کی موجودہ قسم کی شناخت کریں، کیونکہ دونوں اس دائرے میں آتی ہیں جسے آپ مقرر کرنے جا رہے ہیں۔ وہ عرف Windows انٹرفیس کا نام ہے، جو ضروری نہیں کہ آپ کے درآمد کردہ VPN پروفائل کا نام ہو۔ نیچے دیے گئے کمانڈ بتاتے ہیں کہ کیا موجود ہے، پھر لاگو کیے بغیر محدود اصول کا پیش منظر دکھاتے ہیں۔

Get-NetConnectionProfile
Get-NetAdapter | Where-Object Status -eq 'Up'
New-NetFirewallRule -DisplayName "VPN server echo" -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress 10.63.0.1 -InterfaceAlias "Office VPN" -Profile Private -Action Allow -WhatIf

ICMPv4 قسم 8 گونج کی درخواست ہے، وہ واحد پیغام جس کا جواب سرور کو درکار ہے۔ اسے سرور کے ٹنل پتے اور ٹنل انٹرفیس تک محدود کریں، اور پروفائل کو ویسا ہی رہنے دیں جیسا اڈاپٹر واقعی ہے۔ کسی مثال سے ہم آہنگ کرنے کے لیے نیٹ ورک کا نام بدلنا اپنے اثرات والی الگ تبدیلی ہے۔

اصول کیا نہیں ڈھکتا

IPv6 کی گونج مختلف پیغام قسم والا مختلف پروٹوکول ہے، اس لیے ICMPv4 اصول اس کے بارے میں کچھ نہیں کہتا، اور دونوں خاندان اٹھانے والی ٹنل کو دوسرے کے لیے اپنا اصول چاہیے۔ یہ اصول اور کچھ بھی نہیں کھولتا: RDP، فائل شیئرنگ اور ہر دوسری سروس اب بھی اپنی پالیسی پر منحصر ہے۔ وسیع ICMP اجازت فعال کرنے کے بجائے ایک تنگ اصول محدود کرنے کا پورا مقصد یہی ہے۔ وسیع اجازت آسان حل ہے اور سب سے زیادہ دیر تک رہتی ہے، کیونکہ بعد میں کوئی اس پر توجہ نہیں دیتا۔

زیرِ انتظام ڈیوائس پر اگلی پالیسی ریفریش پر اصول بدلا جا سکتا ہے، اس لیے مقامی منتظم کے بجائے پالیسی کے مالک کو مساوی تبدیلی کرنی چاہیے۔ ارادہ کمانڈ کے ساتھ ٹکٹ میں بھی لکھیں، کیونکہ ریفریش کمانڈ مٹا دے گا اور ضرورت جوں کی توں رہے گی۔ دونوں ایک ہی شے نہیں ہیں، اور ان میں سے صرف ایک بچتی ہے۔

نتیجہ درست سمت میں پڑھیں

اصول نافذ ہونے کے بعد سرور سے پنگ کریں اور تصدیق کریں کہ جواب کلائنٹ تک پہنچتا ہے، پھر ایسے ماخذ سے پنگ کریں جو اب بھی خارج رہنا چاہیے اور تصدیق کریں کہ وہ نہیں پہنچتا۔ اگر ٹنل دوسرا پتہ خاندان بھی اٹھاتی ہے تو اس طرف بھی رسائی کا ٹیسٹ دہرائیں۔

Get-NetFirewallRule -DisplayName "VPN server echo" | Get-NetFirewallAddressFilter
ping 10.63.4.17
ping -6 fd00:63::17

نافذ ہونے والا اصول چھاپنا اس کمانڈ پر بھروسے سے زیادہ مفید ہے جس نے اسے بنایا، کیونکہ پیش منظر اور لاگو اصول دو مختلف حالتیں ہیں۔ اگر پتہ فلٹر وہی ماخذ دکھائے جو آپ نے چاہا اور خارج کردہ ماخذ اب بھی وقت ختم ہونے پر ختم ہو، تو اصول ٹھیک وہی کرتا ہے جو اس کا دائرہ کہتا ہے۔ کلائنٹ سے شروع ہونے والا کامیاب پنگ یہ کبھی نہیں دکھا سکتا تھا، اسی لیے ہر ٹیسٹ کی سمت اس کے نتیجے کے ساتھ ریکارڈ میں آتی ہے۔ ٹکٹ میں دونوں سمتیں رکھیں، ورنہ اگلا قاری وہ ٹیسٹ دہرائے گا جو ناکام ہو ہی نہیں سکتا۔