VPN اڈاپٹر پر پرامسکیوس موڈ کنکشن کو ختم کر دیتا ہے

Wireshark Ethernet انٹرفیس پر بہترین کام کرتا ہے اور پھر، VPN اڈاپٹر پر، کیپچر شروع ہوتے ہی ٹنل ٹریفک گزرنا بند کر دیتا ہے۔ کیپچر ونڈو بھرتی رہتی ہے، اس لیے ٹول صحت مند دکھائی دیتا ہے جبکہ اس کے نیچے کنکشن مر رہا ہوتا ہے۔ پرامسکیوس موڈ ہی عام وجہ ہے، کیونکہ جس ٹنل ڈرائیور سے ایسے حصے پر ہر فریم مانگا جاتا ہے جو اس کے پاس نہیں، وہ ایسی حالت میں پہنچ سکتا ہے جہاں سے کچھ باہر نہیں نکلتا۔

پہلے وہ اختیار بند کریں، پھر طے کریں کہ آپ کو واقعی کون سی پرت دیکھنی ہے۔

دو اڈاپٹر، دو مختلف مناظر

VPN کلائنٹ عام طور پر دو انٹرفیس پیش کرتا ہے: جسمانی، جو خفیہ کردہ نقل و حمل اٹھاتا ہے، اور مجازی، جو خفیہ کاری کھلا اندرونی ٹریفک اٹھاتا ہے۔ یہ مختلف سوالات کا جواب دیتے ہیں۔ جسمانی کیپچر سرے، پورٹس اور پیکٹ کے حجم دکھاتا ہے، جبکہ مجازی ایپلیکیشن پروٹوکول اسی طرح دکھاتا ہے جیسے ٹنل انہیں پہنچاتا ہے۔ یہ جانے بغیر کہ آپ کون سا سوال پوچھ رہے ہیں ایک منتخب کرنا کیپچر ضائع کرتا ہے۔

کوئی بھی منظر دوسرے کا سپر سیٹ نہیں، اور ایک کیپچر بیک وقت دونوں سوالات کا جواب شاذ و نادر ہی دیتا ہے۔

انٹرفیس فہرست کی ترتیب کے بجائے سوال سے منتخب کریں، کیونکہ PPP طرز کا کلائنٹ اپنے اڈاپٹر کو Ethernet آلے کے طور پر پیش کر سکتا ہے اور دکھایا گیا نام آپ کو نہیں بتائے گا کہ آپ نے کون سی پرت منتخب کی۔ گیٹ وے یا آئینہ پورٹ پر کیپچر تیسرا منظر جوڑتا ہے، جو فارورڈنگ کے بعد کا راستہ دکھاتا ہے، اور وہیں غیر ہم آہنگ روٹنگ اور فلٹرنگ نظر آتی ہیں۔

پرامسکیوس موڈ ٹنل اڈاپٹر کو کیوں توڑتا ہے

پرامسکیوس موڈ ڈرائیور سے ایسے فریم دینے کو کہتا ہے جو میزبان کو مخاطب نہیں، جو مشترکہ Ethernet حصے پر معنی رکھتا ہے اور پوائنٹ ٹو پوائنٹ ٹنل پر بہت کم معنی۔ کچھ ڈرائیور درخواست کو سکون سے سنبھالتے ہیں؛ دوسرے ارسال ہونے والی ٹریفک قطار سے نکالنا بند کر دیتے ہیں، اور انٹرفیس خاموشی سے ایک کالا سوراخ بن جاتا ہے۔ کیپچر پھر بھی آنے والا ریکارڈ کرتا ہے، اس لیے فائل چلتی ہوئی لنک کا ثبوت لگتی ہے۔ فائل کیا دکھاتی ہے اور انٹرفیس نے کیا کیا، ان کے درمیان یہی خلا پورا جال ہے۔

پہلے پیکٹ سے پہلے اختیار بند کریں، کیپچر فلٹر تنگ رکھیں اور چھوٹا بفر استعمال کریں۔ مصروف انٹرفیس پر بڑا رنگ بفر وہی فریم گرا دیتا ہے جو اہم تھے، جس سے کیپچر ہر جگہ مکمل ہوتا ہے سوائے اس جگہ کے جہاں خرابی تھی۔

اگر کیپچر کے درمیان لنک رک جائے تو اسے روکیں اور بحالی کو دیکھیں۔ وہی ایک مشاہدہ کیپچر کے ضمنی اثر کو ٹنل کی اصل خرابی سے الگ کرتا ہے، اور یہ کسی بھی فلٹر ٹیوننگ سے کم وقت لیتا ہے۔

IPsec کیپچر کو قابلِ مطالعہ بنانا

IPsec کیپچر اکیلا قابلِ مطالعہ نہیں، کیونکہ ESP پے لوڈ کو خفیہ کرتا ہے۔ جب آپ سیشن کیز دیں یا جب یہ انہیں بنانے والی IKE گفتگو کی پیروی کر سکے تو Wireshark اسے ڈی کوڈ کر سکتا ہے، جس کا مطلب ہے کہ مصافحہ اسی فائل میں ہونا چاہیے۔

کیز کی مدت ختم ہو جاتی ہے۔ دونوں فریقوں کے کیز کی تجدید کے بعد پرانی کیز کا مجموعہ کیپچر کے درمیان کام کرنا بند کر دیتا ہے، اور نتیجہ وقتی حد کے بجائے ڈی کوڈر کی خرابی جیسا لگتا ہے۔

غیر متعلقہ ماخذ سے مواد درآمد کرنے کے بجائے فروش کے دستاویزی کلید فارمیٹ کی پیروی کریں، اور توقع رکھیں کہ کچھ پلیٹ فارم پورا ورک فلو مکمل طور پر مسترد کر دیں گے۔ جب گیٹ وے کیز نہیں دیتا یا کیپچر کی اجازت نہیں دیتا، تو مان لیں کہ جہاں آپ بیٹھے ہیں وہاں سے پے لوڈ کا معائنہ نہیں ہو سکتا۔ اینڈ پوائنٹ لاگز اور انٹرفیس کاؤنٹر باقی ثبوت ہیں، اور روٹنگ کے سوال کے لیے وہ عام طور پر کافی ہوتے ہیں۔

ایسا کیپچر جو آپ محفوظ طریقے سے شیئر کر سکیں

اندرونی کیپچر لاگ سے زیادہ اسناد کے اخراج کے قریب ہے۔ اس میں نام، پتے اور ایسے پروٹوکول کا سادہ متن ہو سکتا ہے جو اس مفروضے پر لکھے گئے تھے کہ کوئی انہیں کبھی نہیں پڑھے گا، جس سے تجزیہ نہیں بلکہ فائل خود حساس شے بن جاتی ہے۔

یقینی بنائیں کہ میزبان اور نیٹ ورک وہ ہیں جہاں آپ کو کیپچر کی اجازت ہے، نتیجے کے ساتھ انٹرفیس اور فلٹر دونوں درج کریں، سیشن کو ان چند منٹوں تک محدود رکھیں جو سوال کا جواب دیتے ہیں، اور کام ختم ہونے پر فائل ہٹا دیں۔ اگر شیئر کرنا ضروری ہو تو پہلے بہاؤ بیان کریں یا پے لوڈ ہٹا دیں۔

پھر اصل صارف کا کام دہرائیں۔ پیکٹ آنے کا ثبوت دینے والا کیپچر اس بات کا ثبوت نہیں کہ ایپلیکیشن نے جواب قبول کیا، اور ان دونوں کا فرق عام طور پر وہیں ہوتا ہے جہاں اصل خرابی ہے۔