غیر مجاز VPN روٹر: ڈکرپشن سے پہلے داخلے کا کنٹرول

ایک نامعلوم روٹر جو اندرونی سوئچ پورٹ پر نمودار ہو کر فوراً باہر جانے والا VPN کھولتا ہے، وہ پہلے ہی سب سے اہم کنٹرول سے گزر چکا ہے۔ داخلہ طے کرتا ہے کہ آلے کو قابلِ استعمال نیٹ ورک رسائی ملے گی یا نہیں، جبکہ ڈکرپشن صرف بتاتا ہے کہ اس کے بعد اس نے کیا کیا۔ یہ ترتیب درست رکھنے سے ایک ناممکن معائنہ مسئلہ معمول کی پورٹ پالیسی کے سوال میں بدل جاتا ہے۔ یہ اس فرق کا بھی ہے جو قابلِ واپسی اقدام اور سروس میں تعطل کے درمیان ہے۔

داخلہ پورٹ پر ہی طے ہوتا ہے

یہ پوچھنے سے پہلے کہ ٹنل کیا لے کر جاتی ہے، پوچھیں کہ آلے کو قابلِ استعمال رابطہ کیسے ملا۔ فعال دیوار پورٹ سے منسلک روٹر، یا کھلے SSID میں شامل ہونے والا وائرلیس کلائنٹ، اسی پالیسی سے داخل ہوا جو وہ پورٹ یا SSID لاگو کرتی ہے۔ اگر وہ پالیسی یہ ہو کہ "جو بھی جڑے اسے کام کرنے والا VLAN ملتا ہے"، تو VPN ایک علامت ہے، کمزوری نہیں۔

DHCP لیز کوئی اجازت کا ریکارڈ نہیں ہے۔ پتہ ملنا یا نہ ملنا پتہ تقسیم کی خدمت بیان کرتا ہے، پورٹ کی حالت نہیں، اور بہت سے ڈیزائن غیر تصدیق شدہ آلے کو مددگار خدمت تک پہنچنے دیتے ہیں جبکہ باقی سب انکار کرتے ہیں۔ لیز جدول کو پتہ بندی کا ثبوت سمجھیں، اعتماد کا نہیں۔

ان تحقیقات میں تین قسم کے شواہد مل جاتے ہیں: منظور شدہ شخص، منظور شدہ زیرِ انتظام آلہ اور اثاثہ فہرست میں ایک اندراج۔ پورٹ پالیسی کو واضح ہونا چاہیے کہ ان میں سے کسے قبول کرتی ہے، کیونکہ چرائی گئی اسناد اور کلون شدہ MAC پتہ مختلف شرطیں پوری کرتے ہیں۔

تصدیق شدہ پورٹ دراصل کیا طے کرتا ہے

IEEE 802.1X میں سوئچ یا رسائی نقطہ تصدیق کنندہ ہے، اور یہ درخواست کرنے والے کی اسناد RADIUS کلائنٹ کے طور پر مرکزی خدمت کو بھیجتا ہے۔ RADIUS 802.1X خصوصیات اس نتیجے کو پورٹ کی اجازت دینے دیتی ہیں اور ڈیزائن کے مطابق سیشن کو کسی مخصوص VLAN یا مخصوص حسابی سیاق میں رکھتی ہیں۔ سوئچ پالیسی سرور کے واپس کردہ کو صرف اسی صورت میں نافذ کرتا ہے جب پورٹ اسے نافذ کرنے کے لیے ترتیب دیا گیا ہو۔

اسی آخری شرط پر تعیناتیاں خاموشی سے ناکام ہوتی ہیں۔ نگرانی یا لاگنگ کے موڈ میں چھوڑی گئی پورٹ متوقع فیصلہ ریکارڈ کرتی ہے اور پھر بھی ٹریفک گزرنے دیتی ہے، جو ہر رپورٹ میں کام کرنے والی تعیناتی جیسی لگتی ہے، جب تک کوئی غیر زیرِ انتظام روٹر نہ لگا دے۔

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

وہ آلات جو درخواست کنندہ نہیں چلا سکتے انہیں الگ فیصلہ درکار ہے، عام استثنا نہیں۔ MAC تصدیق کو نظرانداز کرنا، رجسٹریشن پورٹل یا آلے کے لیے مخصوص VLAN—یہ سب جائز جوابات ہیں، مگر ہر ایک کو جان بوجھ کر منتخب اور دستاویزی کرنا ہوگا۔ لکھیں کہ کون سی آلہ اقسام متبادل راستہ استعمال کر سکتی ہیں اور کون انہیں منظور کرتا ہے۔ غیر دستاویزی متبادل راستہ ہی وہ طریقہ ہے جس سے غیر زیرِ انتظام روٹر کسی کی منظوری کے بغیر کام کرنے والا VLAN حاصل کر لیتا ہے۔

ڈکرپشن کے بغیر کیا دیکھ سکتے ہیں

انکرپشن پے لوڈ چھپاتی ہے، رویہ نہیں۔ ماخذ اور منزل کے پتے، پورٹس، پیکٹ کا وقت، بہاؤ کا حجم اور سیشن کی مدت اسی سرحد پر نظر آتے رہتے ہیں جہاں آپ انہیں جمع کرتے ہیں، اور یہ میٹا ڈیٹا اکثر کسی نامعلوم آلے کو پورٹ اور باہر جانے والی منزل سے جوڑنے کے لیے کافی ہوتا ہے۔ جو آپ نہیں پڑھ سکتے وہ ٹنل کے اندر کی ایپلیکیشن ہے، اور چابیاں کے بغیر کوئی پیکٹ کیپچر اسے نہیں بدلتا۔

مستقل ٹنل خودبخود بدنیتی پر مبنی نہیں ہوتی۔ سائٹوں کے درمیان لنک، بیک اپ ایجنٹ اور دور دراز انتظام کے اوزار ڈیزائن کے مطابق مسلسل چلتے ہیں، اس لیے رات بھر جاری رہنے والا بہاؤ بذاتِ خود کچھ ثابت نہیں کرتا۔ اس کا موازنہ اس اثاثے کو دیے گئے کردار اور اس کے حصے کے منظور شدہ بنیادی خط سے کریں۔

باہر جانے والا ٹریفک جان بوجھ کر محدود کریں۔ منزل پورٹ کی اجازت دینا اس ایپلیکیشن کی منظوری کے برابر نہیں جو اسے استعمال کرتی ہے، اور درجہ بند کرنے والے کا اندازہ اجازت کا فیصلہ نہیں۔ تحقیق کے لیے درکار میٹا ڈیٹا نامزد مالک اور محفوظ رکھنے کی مدت کے ساتھ جمع کریں، بجائے اس کے کہ بطور طے شدہ ہر صارف کا سارا ٹریفک کیپچر کیا جائے۔

جس سرحد پر آپ کنٹرول رکھتے ہیں اس کے ذریعے قابو کریں

کچھ بھی الگ کرنے سے پہلے تصدیق کریں کہ آلہ کس کا ہے اور کہاں جڑا ہے۔ پھر واقعے کے عمل کو استعمال کرتے ہوئے پورٹ محدود کریں یا سیشن منسوخ کریں، اور متعلقہ لاگ محفوظ رکھیں جب تک شواہد تازہ ہیں۔ سوئچ پورٹ بند کر کے دوبارہ کھولا جا سکتا ہے؛ چالیس میزوں کی خدمت کرنے والا پروڈکشن اپ لنک اتنی آسانی سے واپس نہیں ہوتا۔

آخری نقطے پر جوابی حملہ نہ کریں اور صرف اس لیے مشترکہ پورٹ بند نہ کریں کہ اسکین نے VPN پروٹوکول کی نشاندہی کی۔ دونوں اقدامات جائز کام میں خلل ڈالتے ہیں، اور اس داخلے کے فیصلے کو بہتر نہیں بناتے جس نے آلے کو شروع میں اندر آنے دیا۔

قبولیت کا امتحان واضح ہے: منظور شدہ آخری نقطہ اپنے کردار کے لیے درکار رسائی اب بھی حاصل کرتا ہے، اور غیر منظور شدہ آلہ مساوی راستہ حاصل نہیں کر سکتا۔ نگرانی اس سرحد کی تائید کرتی ہے، اور کسی کی انکرپشن توڑے بغیر بھی یہ محنت کے لائق ہے۔