گھریلو VPN سرور کے لیے پورٹ ٹرگرنگ بمقابلہ پورٹ فارورڈنگ

زیادہ تر گھریلو راؤٹرز میں پورٹ فارورڈنگ اور پورٹ ٹرگرنگ ایک ہی مینو میں ہوتی ہیں، اسی لیے انہیں ایک ہی کام کرنے کے دو طریقے سمجھا جاتا ہے۔ فارورڈنگ ایک مستقل اصول ہے: WAN پورٹ پر آنے والا اندرونی کنکشن ایک مقررہ اندرونی پتے اور پورٹ پر منتقل ہوتا ہے، چاہے کوئی اور چیز ہو رہی ہو یا نہ ہو۔ ٹرگرنگ مشروط ہے: راؤٹر باہر جانے والی ٹریفک پر نظر رکھتا ہے اور مماثل کنکشن باہر جانے کے بعد ہی اندرونی میپنگ کھولتا ہے۔ VPN سرور انتظار کرتا ہے کہ کوئی اور پہلے جڑے، اس لیے وہی شرط واحد چیز ہے جو یہ کبھی پوری نہیں کر سکتا۔

مختلف زندگی کے دورانیے والے دو اصول

IPv4 NAT حالت رکھتا ہے۔ جب اندرونی میزبان پیکٹ باہر بھیجتا ہے تو راؤٹر ایک میپنگ بناتا ہے تاکہ جواب واپسی کا راستہ پا سکیں؛ جو اندرونی پیکٹ کسی میپنگ سے مماثل نہ ہو وہ ضائع کر دیا جاتا ہے، اور یہی رویہ غیر اپ ڈیٹ شدہ ڈیسک ٹاپ کو انٹرنیٹ سے باہر رکھتا ہے۔ فارورڈنگ ہاتھ سے شامل کردہ مستقل ترجمہ اندراج ہے۔ ٹرگرنگ ٹریفک پیٹرن سے محفوظ ایک عارضی سوراخ ہے۔

عملی فرق وقت کا ہے۔ فارورڈنگ محفوظ ہونے کے لمحے سے لے کر کوئی اسے حذف کرنے تک موجود رہتی ہے۔ ٹرگر شدہ میپنگ ٹرگر چلنے کے بعد موجود ہوتی ہے اور غیر فعالیت کے ٹائمر پر بند ہوتی ہے، جو صارف ہارڈویئر پر منٹوں میں ناپا جاتا ہے، یا ری بوٹ پر فوراً۔

خلاصے میں کوئی بھی زیادہ محفوظ نہیں۔ فارورڈنگ ایک پورٹ مسلسل کھلا رکھتی ہے؛ ٹرگر اسے صرف مخصوص باہر جانے والی ٹریفک کے بعد کھولتا ہے۔ ایسی سروس کے لیے جسے کسی اجنبی سے پہلا پیکٹ وصول کرنا ہو، دونوں میں سے صرف ایک کام سے میل کھاتا ہے۔

ٹرگرنگ سرور کیوں شائع نہیں کرے گی

VPN سرور بناوٹ ہی سے غیر فعال ہے۔ سامنے والا فریق، چاہے کیفے کا لیپ ٹاپ ہو یا موبائل ڈیٹا پر فون، پہلا پیکٹ بھیجتا ہے، اور راؤٹر کے پاس اس کے لیے کوئی میپنگ نہیں ہوتی۔ اندر سے کسی نے ٹرگر پورٹ پر ٹریفک شروع نہیں کیا، اس لیے اصول کبھی چلتا ہی نہیں اور ہینڈ شیک شروع ہونے سے پہلے کنکشن مر جاتا ہے۔

جہاں ٹرگرنگ کام کرتی دکھتی ہے، وہاں ٹرگر پورٹ پر ٹریفک کوئی اور چیز پیدا کر رہی ہوتی ہے: LAN میں کوئی کلائنٹ، کوئی مانیٹرنگ پروب، یا سرور کی اپنی باہر جانے والی جانچ۔ تب میپنگ صرف اسی ایک میزبان کے لیے کھلتی ہے اور ٹریفک رکنے پر بند ہو جاتی ہے، اس لیے اگلا بیرونی فریق پھر ناکام ہوتا ہے جبکہ پہلی کامیابی لاگ میں ثبوت کی طرح پڑی رہتی ہے۔

ٹرگرنگ عام طور پر ایک ہی میزبان کے لیے بھی ہوتی ہے۔ کئی عمل درآمد ایک وقت میں صرف ایک اندرونی آلے کو میپنگ رکھنے دیتے ہیں، جو کئی فریقوں کو جواب دینے والے سرور کے لیے بالکل غلط ہے۔ یہ خصوصیت ایسی ایپس کے لیے بنائی گئی تھی جو باہر کنٹرول کنکشن کھولتی ہیں اور دوسری پورٹ پر اندرونی ڈیٹا کی توقع کرتی ہیں، اور یہ اب بھی اسی شکل سے میل کھاتی ہے۔

فارورڈنگ اصل میں کیا میپ کرتی ہے

فارورڈنگ ایک ترجمہ اندراج ہے: WAN پورٹ اور پروٹوکول سے اندرونی پتے اور پورٹ تک۔ اسے دوسرے سرے پر پہلے سے چل رہا سننے والا درکار ہے، اور اندرونی پتہ اپنی جگہ پر رہنا چاہیے۔ دوسری مشین پر منتقل ہونے والی DHCP لیز ہر ٹنل کو خاموشی سے غلط میزبان پر بھیجتی ہے، اس لیے اصول سے پہلے ریزرویشن بنائیں۔

پروٹوکول فارم کے اشارے سے زیادہ اہم ہے۔ UDP پر OpenVPN کو UDP فارورڈنگ درکار ہے، WireGuard کو UDP درکار ہے، اور IPsec ڈیٹا ESP کے طور پر، IP پروٹوکول 50 آتا ہے، جس کے کوئی پورٹ ہی نہیں۔ صرف TCP یا UDP قبول کرنے والا فارورڈنگ فارم یہ بیان نہیں کر سکتا، اس لیے IPsec کو پورٹ اصول کی بجائے passthrough یا مستقل ایک سے ایک میپنگ درکار ہے۔

آپ کے راؤٹر کے اوپر کی تہہ

فارورڈنگ صرف آپ کی اپنی ترجمہ پر قابو رکھتی ہے۔ اگر WAN پتہ آپ کا نہیں، جو کیریئر گریڈ NAT کے پیچھے کی صورت ہے جہاں صارفین RFC 6598 میں بیان کردہ 100.64.0.0/10 بانٹتے ہیں، تو اندرونی کنکشن کبھی آپ کے راؤٹر تک نہیں پہنچتا کیونکہ فراہم کنندہ نے پہلے ترجمہ کیا ہے۔ آپ کے آلے کا کوئی اصول اس ترتیب کو درست نہیں کر سکتا۔

دوہرا NAT چھوٹے پیمانے پر وہی مسئلہ ہے۔ آپ کا راؤٹر ISP راؤٹر کی طرف فارورڈ کرتا ہے، جس کے پاس مماثل اصول نہیں اور وہ پیکٹ ضائع کر دیتا ہے۔ یا تو بیرونی آلے پر اصول شامل کریں، یا بیرونی آلے کو برج موڈ میں رکھیں اور اپنے آلے کو عوامی پتہ رکھنے دیں۔

اسی لیے جانچ باہر سے آنا ضروری ہے۔ عوامی پتے کے ذریعے اسی LAN سے کی گئی جانچ hairpin NAT سپورٹ پر منحصر ہے اور اصول سے غیر متعلق وجوہات کی بنا پر کامیاب یا ناکام ہو سکتی ہے؛ موبائل ڈیٹا پر فون، یا کسی اور نیٹ ورک کا دوست، زیادہ صاف جانچ ہے۔

اصول کو محدود کریں، پھر دونوں حصے جانچیں

ایک پورٹ ایک پتے پر فارورڈ کریں۔ پہلی کوششیں ناکام ہونے پر شامل کردہ رینج، اسی طرح انتظامی انٹرفیس انٹرنیٹ پر آتے ہیں، اور VPN سننے والے کو ساتھ راؤٹر کا ایڈمن صفحہ شائع کرنے کی ضرورت نہیں۔

جو پہلے سے اس سننے والے کی حفاظت کر رہا تھا وہ سب رکھیں: سرٹیفکیٹ یا کلید کی شناخت، میزبان فائر وال، موجودہ پیکیج ورژن۔ فارورڈنگ پیکٹ کو اندر آنے دیتی ہے؛ توثیق فیصلہ کرتی ہے کہ پیکٹ ٹنل بنے گا یا نہیں، اور کچھ غلط ہونے پر یہ دو الگ ناکامیاں ہیں۔

جانچ کے دو حصے ہیں۔ ہینڈ شیک بیرونی نیٹ ورک سے مکمل ہونا چاہیے، پھر سرور کے پیچھے کا نجی وسیلہ ٹنل کے ذریعے جواب دے۔ فارورڈنگ ٹنل کنکشن کو اندر آنے دیتی ہے، اس سے زیادہ کچھ نہیں؛ 10.8.0.0/24 کے لیے روٹنگ اور اجازت دوسری اسکرین کی دوسری سیٹنگ ہے۔

تین سوالوں سے فیصلہ کریں

تین سوال کسی بھی موازنہ جدول سے جلدی انتخاب طے کر دیتے ہیں:

• کیا باہر سے کوئی چیز پہلے پیکٹ کے طور پر جڑتی ہے؟ تو فارورڈنگ یا ریلے استعمال کریں۔ ٹرگرنگ اس باہر جانے والی ٹریفک کے بغیر نہیں کھل سکتی جو کبھی ہوگی ہی نہیں۔
• کیا سوراخ کو غیر فعالیت کے وقت سے زیادہ چلنا ہے؟ تو فارورڈنگ استعمال کریں، کیونکہ ٹرگر شدہ میپنگ اپنے ہی شیڈول پر بند ہوتی ہے۔
• کیا WAN پتہ شائع کرنے کے لیے آپ کا ہے؟ اگر نہیں، تو کوئی بھی اصول تبدیل کرنے سے پہلے اوپری تہہ درست کریں۔

اگر تینوں کا جواب نہیں ہے، جو اس لیپ ٹاپ کی صورت ہے جو خود تجارتی فراہم کنندہ کو ڈائل کرتا ہے، تو دونوں میں سے کوئی اصول درکار نہیں۔ NAT کے پیچھے کلائنٹ کام کرتا ہے کیونکہ وہ خود حالت رکھنے والی میپنگ بناتا ہے، اور یہ آدھی رات کو پورٹ فارورڈنگ کا صفحہ پڑھنے والے زیادہ تر لوگوں کو ڈھانپ لیتا ہے۔