عوامی Wi-Fi اور VPN: سرنگ کیا نہیں ڈھکتی

سبز بیج، مطمئن پورٹل، چلنے والا براؤزر: یہی پوری نظر آنے والی کہانی ہے۔ بیج جو چھوڑ دیتا ہے وہ یہ ہے کہ خفیہ کردہ کنکشن اسی وائرلیس لنک سے لے جایا جاتا ہے جس سے اسے آپ کی حفاظت کرنی چاہیے۔ وہ لنک اب بھی ہر پیکٹ پہنچاتا ہے، اب بھی منزل کا پتہ دیکھتا ہے اور اب بھی فیصلہ کرتا ہے کہ کچھ پہنچے گا یا نہیں۔ ہوٹل کنکشن کے لیپ ٹاپ رخ کو دیکھنے سے پتہ چلتا ہے کہ سرنگ کون سے حصے ڈھکتی ہے اور کون سے آپ کے لیے چھوڑتی ہے۔

رسائی لنک سب کچھ لے جاتا ہے

IPsec ESP سرنگ محفوظ اندرونی پیکٹ کو بیرونی ہیڈر میں لپیٹتی ہے جسے نیٹ ورک روٹ کر سکتا ہے، اور RFC 4303 حصہ 3.1.2 اس تقسیم کی وضاحت کرتا ہے۔ اندرونی پیکٹ وہ ہے جسے سرنگ محفوظ رکھتی ہے۔ بیرونی ہیڈر وہ ہے جو ہاٹ اسپاٹ آگے بھیجنے کے لیے پڑھتا ہے۔ دوسرے ڈیزائن مختلف طریقے سے کیپسول کرتے ہیں، مگر منصوبہ بندی کا سوال وہی ہے: یہ کنکشن کون سا رسائی راستہ لے جاتا ہے؟

گیٹ وے کی ناکامی یا پیکٹ گرانے والا لنک مواد ظاہر کیے بغیر ترسیل روک دیتا ہے۔ مضبوط سائفر کی طرف جانے سے اس میں کچھ نہیں ہوتا، کیونکہ غائب حصہ خفیہ کاری نہیں، نقل و حمل ہے۔ کامیاب ترسیل دوسری سمت میں بھی اتنا ہی کم ثابت کرتی ہے، کیونکہ چلنے والا راستہ دونوں میں سے کسی مشین کی حالت کے بارے میں کچھ نہیں کہتا۔

آپ کے لیپ ٹاپ کے اب بھی اپنے دروازے ہیں

غیر معتبر سیگمنٹ میں شامل ہونے سے بدلتا ہے کہ آپ کی مشین جن پورٹس پر سنتی ہے ان تک کون پہنچ سکتا ہے۔ فائل شیئرنگ سروس، دور دراز انتظامی ایجنٹ یا تمام انٹرفیسوں سے بندھا ڈیولپمنٹ سرور اس سیگمنٹ میں کسی کے لیے بھی قابل رسائی ہے، جب تک کوئی اسے نہ روکے۔ جو ٹریفک کبھی سرنگ میں نہیں جاتی وہ اس سے محفوظ نہیں۔ سرنگ اٹھنے سے پہلے جواب دینے والا سننے والا ٹھیک اسی ونڈو کے لیے کھلا ہے۔

ضرورت تنگ ہے اور اسے درست طور پر بیان کرنا چاہیے: لیپ ٹاپ کو VPN کے آخری نقطے تک پہنچنا چاہیے، اور ہاٹ اسپاٹ پر غیر متعلقہ آلات کو مقامی خدمات تک نہیں پہنچنا چاہیے۔ میزبان فائر وال کے قواعد اس حد کا اظہار کرتے ہیں، اور پلیٹ فارم کی اپنی شیئرنگ سیٹنگز بھی اس کا ایک حصہ بیان کرتی ہیں۔ پرنٹر یا پورٹل کا کوئی مرحلہ ایک محدود استثنا ہے جسے آپ جان بوجھ کر شامل کرتے ہیں، یہ ثبوت نہیں کہ پورا ہاٹ اسپاٹ دفتری LAN کے اعتماد کے لائق ہے۔

کچھ ادارے کام کے کنکشن کے فعال رہنے کے دوران مقامی رسائی بھی محدود کرتے ہیں، جو انجینئرنگ نہیں بلکہ پالیسی ہے۔ کسی پیریفرل کو چلانے کے لیے فائر وال بند کرنے سے پہلے وہ پالیسی پڑھیں۔

جانچیں کہ واقعی کون سن رہا ہے

سیٹنگز کے صفحے کی نہیں، ساکٹس کو دیکھیں، کیونکہ صفحہ ارادہ بیان کرتا ہے اور ساکٹ کی میز مشین بیان کرتی ہے۔ نیچے کی دو فہرستیں ہر سننے والے ساکٹ کو ان سے الگ کرتی ہیں جن تک پڑوسی پہنچ سکتا ہے۔ سرنگ جوڑنے سے پہلے انہیں غیر معتبر سیگمنٹ پر چلائیں۔

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

پہلا حکم ہر ساکٹ دکھاتا ہے، اور دوسرا loopback سے باہر بندھے ہوئے ساکٹس پر فلٹر کرتا ہے۔ 0.0.0.0 یا :: پر سروس وائرلیس سمیت ہر انٹرفیس پر دستیاب ہے، جبکہ 127.0.0.1 پر وہی سروس سیگمنٹ سے بالکل بھی قابل رسائی نہیں۔ حل کنندہ کا سوال تصدیق کرتا ہے کہ سرنگ بننے سے پہلے نام کون سا راستہ لیتا ہے، اور وہیں قید پورٹل مداخلت کرتے ہیں۔ جوڑنے کے بعد فہرست دوبارہ چلائیں، کیونکہ کچھ کلائنٹ ایسے انٹرفیس اٹھاتے ہیں جو جواب بدل دیتے ہیں۔

صرف سرنگ کے اٹھے ہونے پر نظر آنے والا پورٹ کم کھلا ہوتا ہے، پھر بھی اس کے بارے میں جاننا مناسب ہے۔ مکمل فہرست نہیں، فرق لکھیں، کیونکہ سرنگ نے جو شامل کیا وہی ڈیلٹا ہے۔

سیشن کے وسط میں نئی شناخت قبول نہ کریں

غیر متوقع راستہ تبدیلی، دوبارہ جڑنا یا پورٹل ری ڈائریکٹ مختلف سرور شناخت قبول کرنے کی اجازت نہیں ہے۔ اگر کلائنٹ سرٹیفکیٹ یا کلید کی عدم مطابقت بتائے تو اسے بچنے والی کنیکٹیویٹی نہیں بلکہ شناخت کی دریافت سمجھیں۔ پورٹل چلانے کے لیے غیر واضح روٹ سرٹیفکیٹ انسٹال کرنا ترسیل کے مسئلے کو اعتماد کے مسئلے میں بدل دیتا ہے۔ پھر اعتماد کا مسئلہ اس سفر سے زیادہ زندہ رہتا ہے جس نے اسے جنم دیا۔

پورٹل کے اپنے براؤزر بہاؤ کا استعمال کریں، پھر سرنگ دوبارہ جوڑیں اور کلائنٹ لاگ میں دیکھیں کہ اس نے کون سی شناخت تصدیق کی۔ شناخت کی ناکامی کا مطلب ہے کہ سامنے والا وہ نہیں جس کی آپ توقع کرتے تھے، جبکہ ترسیل کی ناکامی کا مطلب ہے کہ سامنے والے نے کبھی جواب نہیں دیا۔ پہلا رکنے کی وجہ ہے، اور دوسرا دوسرا راستہ آزمانے کی وجہ ہے۔

پہلے خلل کے وقت کا رویہ طے کریں

یہاں دو مختلف خصوصیات خلط ملط ہو جاتی ہیں۔ دوبارہ جڑنا سروس بحال کرنے کی کوشش کرتا ہے، جبکہ بلاکنگ پالیسی کنٹرول کرتی ہے کہ سرنگ کے بند ہونے پر کون سی ٹریفک کی اجازت ہے۔ کوئی بھی چلنے والا وائرلیس لنک نہیں دیتا، اور کوئی بھی یہ ثابت نہیں کرتا کہ آخری نقطہ صاف ہے۔ واضح انتخاب کریں: ایسی ایپس کے لیے بند ناکامی جنہیں کبھی مقامی راستہ استعمال نہیں کرنا چاہیے، اور اگر قابل قبول ہو تو سرنگ کے باہر عام براؤزنگ کی اجازت دیں۔

انتخاب لکھیں، کیونکہ زیادہ تر کلائنٹس میں ڈیفالٹ ان دونوں میں سے کوئی نہیں ہے، اور یہ ورژن کے مطابق بدلتا ہے۔ پھر اگر دستیابی اہم ہو تو متبادل رسائی راستہ تیار کریں، جیسے اپنے ڈیٹا پلان کے ساتھ فون ہاٹ اسپاٹ۔ قابل قبول قبولیت آزمائش کے تین الگ نتائج ہوتے ہیں: مطلوبہ ٹریفک تصدیق شدہ سرنگ استعمال کرتی ہے، غیر متعلقہ مقامی سننے والے ناقابل رسائی ہیں، اور خلل آپ کے چنے ہوئے رویے کو پیدا کرتا ہے۔