strongSwan کے ساتھ دوہری اسٹیک IKEv2 نجی رسائی کی منصوبہ بندی

دوہری اسٹیک سرنگ ایک فیصلہ نہیں بلکہ تین ہیں، اور ان کا جواب مختلف طریقے سے دیا جا سکتا ہے۔ بیرونی سرنگ کس خاندان پر چلتی ہے، کلائنٹ اندر کون سے خاندان وصول کرتا ہے، اور محفوظ خدمات واقعی کون سے خاندانوں پر جواب دیتی ہیں۔ جو ڈیزائن انہیں ایک ہی انتخاب سمجھتا ہے وہ یا تو ایسا IPv6 لے کر چلتا ہے جس کی کبھی ضرورت نہ تھی، یا ایسے پتے تقسیم کرتا ہے جنہیں کوئی واپس روٹ نہیں کر سکتا۔ تینوں کو الگ کریں اور باقی ترتیب تقریباً مشینی ہو جاتی ہے۔

تین قسم کے پتے، الگ الگ طے شدہ

بیرونی پتہ یہ ہے کہ دو گیٹ ویز ایک دوسرے تک کیسے پہنچتے ہیں، اور یہ IPv4 ہو سکتا ہے جبکہ اندرونی ٹریفک دونوں خاندان لے کر چلتی ہے۔ اندرونی مجازی پتہ سرنگ کے اندر کلائنٹ کی شناخت ہے، اور ہر خاندان کو اپنا پول درکار ہے۔ محفوظ سابقے وہ ہیں جن تک کلائنٹ پہنچ سکتا ہے، اور وہ سرنگ کے نہیں بلکہ خدمات کے ہیں۔ تیسرے کو دوسرے سے ملانا زیادہ تر منصوبہ بندی کی غلطیوں کا سبب ہے، کیونکہ دونوں نجی حدود کی طرح دکھتے ہیں۔

صرف IPv4 بیرونی نقل و حمل اور دوہری اسٹیک اندرونی ٹریفک ایک معمول اور اچھی طرح معاون انتظام ہے۔

ہر ایک کا واضح طور پر فیصلہ کریں اور فیصلے لکھ لیں۔ اگر بیرونی راستہ صرف IPv4 ہے تو یہ کہیں اور IPv6 آخری نکات کی رسائی کی فکر چھوڑ دیں۔ اگر اندر کوئی خاندان مختص کیا جائے مگر اس پر کچھ بھی جواب نہ دے، تو اسے منصوبے سے ہٹا دیں یا ان خدمات کو واقعی دوہری اسٹیک بنائیں۔

ہر خاندان میں مجازی پتہ مختص کریں

swanctl ترتیب میں کلائنٹ مجازی پتے مانگتا ہے، اور ہر خاندان میں وائلڈ کارڈ جواب دہندہ سے ہر ایک میں سے ایک مختص کرنے کو کہتا ہے۔ جواب دہندہ انہیں پولز سے لیتا ہے، اور پولز گیٹ وے کے پیچھے کے نیٹ ورکس سے الگ اشیاء ہیں۔ منصوبے میں بھی انہیں الگ رکھیں، کیونکہ کسی خدمت کے سابقے سے متصادم پول ایسی روٹنگ بناتا ہے جو ٹریفک کے غیر ارادی جگہ اترنے کے لمحے تک درست دکھتی ہے۔

جب دونوں درکار ہوں تو دونوں خاندان مانگیں، اور جب درکار نہ ہوں تو ایک، کیونکہ غیر استعمال شدہ پتہ بے فائدہ پالیسی کی سطح ہے۔ مخصوص درخواست درخواست ہے، ریزرویشن نہیں، اور جواب دہندہ اپنی پالیسی کے مطابق مختلف قدر واپس کر سکتا ہے۔ وہ تفصیل ہر جگہ اہم ہے جہاں پتہ فائر وال قاعدے یا نگرانی کی جانچ میں سختی سے لکھا ہو۔ کنکشن میں پولز کا نام لے کر حوالہ دیں اور خدمت کے نیٹ ورکس ان سے باہر رکھیں۔

vips = 0.0.0.0, ::

چھوٹی مثال کی قدر اپنانے کے بجائے IPv6 پول کے لیے اپنا منفرد-مقامی سابقہ بنائیں۔ مثال ترتیب کی شکل دکھاتی ہے، وراثت میں ملنے والی طے شدہ قدر نہیں۔

منزلوں کو پولز سے الگ بیان کریں

ٹریفک منتخب کنندگان بیان کرتے ہیں کہ ہر فریق کیا تبادلہ کرنے کی توقع رکھتا ہے، اس لیے گیٹ وے کے مقامی منتخب کنندگان کو محفوظ خدمت کے سابقوں کے نام دینے چاہئیں، کلائنٹ پولز کے نہیں۔ کلائنٹ کے دور دراز منتخب کنندگان اس ارادے کی عکاسی کرتے ہیں۔ جب دونوں فہرستیں مختلف اشیاء بیان کریں تو سرنگ اوپر آ سکتی ہے اور پھر بھی کچھ مفید نہیں لے کر چلتی۔

انہی سابقوں کو گیٹ وے کے نیٹ ورک کے اندر واپسی راستے اور اجازت شدہ فارورڈنگ درکار ہے، ہر اس خاندان کے لیے جسے آپ فعال کریں۔

یہیں نجی IPv6 منصوبہ کافی رہنے سے رک جاتا ہے۔ منفرد-مقامی ایڈریسنگ نجی رسائی خریدتی ہے اور عوامی IPv6 اخراج پیدا نہیں کرتی، اس لیے جو ڈیزائن فرض کرتا ہے کہ بے شمار خاندان سیدھا IPv4 ماسک کرنے کے قواعد کی پیروی کرے گا وہ اپنے صارفین کو مایوس کرے گا۔ اگر عوامی IPv6 رسائی ضرورت کا حصہ ہو تو اسے روٹ شدہ منصوبہ اور اس سے متفق بالائی بہاؤ درکار ہے۔ ورنہ صاف کہیں کہ IPv6 جانب صرف نجی ہے، جو چھپانے والی حد نہیں بلکہ دیانت دار حد ہے۔

DNS اور واپسی راستوں کو دانستہ بنائیں

نام کا حل نقل و حمل کی پیروی نہیں کرتا۔ حل کنندہ صرف IPv4 سرنگ کے ذریعے A اور AAAA ریکارڈ واپس کر سکتا ہے، اور پھر کلائنٹ ایسے خاندان کی کوشش کرے گا جس کی آپ نے کبھی منصوبہ بندی نہیں کی۔ طے کریں کہ کون سے خدمت کے نام قابل استعمال دوہری اسٹیک جواب رکھیں اور ان دونوں راستوں کو دانستہ بنائیں۔ جو نام بغیر کارآمد راستے والے خاندان میں حل ہو وہ صاف غلطی کے بجائے رکاوٹ پیدا کرتا ہے، اور رکاوٹوں کی تشخیص کہیں زیادہ مشکل ہے۔

بیرونی آخری نقطے کی رسائی الگ سے دستاویز کریں، بشمول یہ کہ کوئی NAT عبور شامل ہے یا نہیں اور یہ کون سا خاندان استعمال کرتا ہے۔

پھر منصوبہ چھ سطروں میں لکھیں: بیرونی آخری نقطہ، IPv4 پول، IPv6 پول، IPv4 خدمت کا سابقہ، IPv6 خدمت کا سابقہ، اور وہ روٹر جس کے پاس ہر ایک کے جواب ہیں۔ اس شکل کا منصوبہ ان سوالات کا جواب دیتا ہے جو آپریٹر رات تین بجے واقعی پوچھتا ہے۔ اس سے چھوٹا کوئی بھی دوہری اسٹیک کو صرف IPv4 پالیسی پر جڑا ہوا دوسرا پتہ چھوڑ دیتا ہے، اور عام طور پر یہ آدھا کام کرتا رہ جاتا ہے۔