VPN کے بغیر پراکسی IP گھمانا: ایگزٹ کیا دیکھتا ہے

پراکسی گھمانا اور VPN آپ کا عوامی پتہ مختلف تہوں میں بدلتے ہیں، اور یہی فرق طے کرتا ہے کہ کیا بہہ کر نکلتا ہے۔ VPN ہر پیکٹ کو سرنگ میں منتقل کرتا ہے، اس لیے وہ ماخذ پتہ جو ہدف دیکھتا ہے سرنگ کا آخری نقطہ ہے۔ پراکسی نیٹ ورک تہہ کے اوپر بیٹھتی ہے: صرف وہ درخواستیں جو آپ اس کے ذریعے بھیجتے ہیں ایگزٹ سے نظر آتی ہیں، جبکہ مشین پر باقی سب اصل پتہ رکھتا ہے۔ یہ تقسیم درست کرنے سے گھمانا ایک چیک باکس سے ڈیزائن کا فیصلہ بن جاتا ہے۔

عوامی پتہ دراصل کہاں سے آتا ہے

وہ پتہ جو ہدف دیکھتا ہے وہی ہے جہاں سے آپ کا ٹریفک آخری بار نکلا، اور گھریلو کنکشن پر یہ آپ کے راؤٹر پر فراہم کنندہ کا پتہ ہے، مشین کی ملکیت کوئی چیز نہیں۔ راؤٹر دوبارہ شروع کرنے سے وہی لیز واپس مل سکتی ہے، اور اس کا MAC پتہ بدلنے سے کبھی کبھی نیا بنتا ہے، لیکن دونوں میں سے کوئی آپ کو ملک چننے کی سہولت نہیں دیتا۔ VPN IP تہہ میں ماخذ پتہ بدلتا ہے، اس لیے مشین سے نکلنے والا ہر پیکٹ، DNS اور پس منظر کی تازہ کاریوں سمیت، سرنگ کے آخری نقطے سے نکلتا ہے۔ پراکسی ایک تہہ اوپر کام کرتی ہے: درخواست قبول کرتی ہے، ہدف کی طرف اپنا کنکشن کھولتی ہے، اور صرف وہی درخواست ایگزٹ سے نظر آتی ہے۔ مشین پر باقی سب اب بھی اصل پتہ استعمال کرتا ہے۔

یہی تقسیم زیادہ تر حیرتوں کی وضاحت کرتی ہے۔ پراکسی کی طرف اشارہ کرنے والی براؤزر ایکسٹینشن صرف وہی بدلتی ہے جو براؤزر بھیجتا ہے اور کچھ نہیں، اس لیے اسی ہوسٹ پر دوسری ایپلیکیشن اب بھی اصل پتہ بہاتی ہے۔ سسٹم گیر VPN کا الٹ ناکامی موڈ ہے: یہ وہ ٹریفک بھی ڈھکتا ہے جو آپ مقامی رکھنا چاہتے تھے اور صرف اسی صورت میں بند ہو کر ناکام ہوتا ہے جب کلائنٹ ایسا کنفیگر ہو۔ دونوں میں سے چننا دراصل یہ چننا ہے کہ کون سا ٹریفک حرکت کرے۔

پھر گھمانا اسی تہہ پر لاگو ہوتا ہے جو آپ نے چنی۔ پراکسی کے ساتھ، گھمانا یعنی اگلی درخواست مختلف ایگزٹ استعمال کرتی ہے۔ VPN کے ساتھ، یعنی سرنگ ڈھا کر دوبارہ بنانا، جو سست ہے اور نظر آنے والے دوبارہ کنکشن کے طور پر ظاہر ہوتا ہے۔

HTTP پراکسی کیا پڑھ سکتی ہے اور کیا نہیں

سادہ HTTP میں پراکسی درخواست کی سطر میں مطلق URI، ہر ہیڈر اور باڈی دیکھتی ہے۔ یہ یہ سب ریکارڈ کر سکتی ہے اور کوئی بھی حصہ دوبارہ لکھ سکتی ہے، اسی لیے جو مفت پراکسی جوابات میں اسکرپٹ داخل کرتی ہے وہ ٹھیک وہی کرتی ہے جس کی پروٹوکول اجازت دیتا ہے۔ توثیق استعمال کرتی ہے Proxy-Authorization، اور غائب یا غلط اسناد پیدا کرتی ہے 407 Proxy Authentication Required کنکشن کی خرابی کے بجائے۔

HTTPS میں کلائنٹ بھیجتا ہے CONNECT host:port اور پراکسی خام سرنگ کھولتی ہے، جس کے بعد یہ خفیہ کردہ بائٹ دیکھتی ہے۔ یہ اب بھی CONNECT سطر اور عام طور پر TLS مصافحے کے SNI فیلڈ سے ہوسٹ نام سیکھتی ہے، اس لیے ہوسٹ نام کی سطح کی لاگنگ پے لوڈ نہ رہنے پر بھی رہتی ہے۔ پے لوڈ پڑھنے کے لیے کلائنٹ کے قابل اعتماد سرٹیفکیٹ کے ساتھ TLS ختم کرنا پڑتا ہے، جو مختلف خطرے والی مختلف مصنوعات ہے۔ اور HTTP معنیات کی تفصیل CONNECT کو سرنگ درخواست کے طور پر متعین کرتی ہے، جو اس بات کا درست ذہنی نمونہ ہے کہ ایگزٹ کیا دیکھ سکتا ہے اور کیا نہیں۔

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

تفصیلی آؤٹ پٹ کسی بھی TLS ٹریفک سے پہلے CONNECT سطر دکھاتی ہے، اور اسی لمحے پراکسی آپ کی منزل سیکھتی ہے۔ 407 کے ساتھ جواب دینے والی پراکسی نے کبھی سرنگ نہیں کھولی، اس لیے مختلف TLS ترتیبات کے ساتھ دوبارہ کوشش مدد نہیں کرے گی۔

گھمانے کی دانے داری طے کرتی ہے کہ کیا ٹوٹتا ہے

ہر درخواست پر گھمانا وہ ترتیب ہے جو سب سے محفوظ لگتی ہے اور سب سے زیادہ توڑتی ہے۔ کوکیز، CSRF ٹوکن اور سرور کی طرف کے سیشن ایک شناخت سے بندھے ہوتے ہیں، اور لاگ ان اور اگلی کال کے درمیان بدلنے والی شناخت ہدف کو سیشن چوری جیسی لگتی ہے۔ بہت سے فراہم کنندگان پراکسی صارف نام میں انکوڈ کر کے چپکا سیشن دیتے ہیں، اس لیے چنی گئی ونڈو کے لیے ایگزٹ مستقل رہتا ہے۔

دانے داری کام سے چنیں، فراہم کنندہ کے ڈیفالٹ سے نہیں۔ آزاد صفحات لانے والا کرالر ہر درخواست پر گھوم سکتا ہے، جبکہ ادائیگی کا بہاؤ یا تصدیق شدہ API پورے بہاؤ کے لیے ایک ایگزٹ رکھنا ضروری ہے۔ نیچے دی گئی دو کالیں چپکا صارف نام اور سادہ گھومتا اینڈ پوائنٹ دکھاتی ہیں، اور socks5h اسکیم نام مقامی طور پر نہیں بلکہ پراکسی پر حل کرتی ہے۔

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

مقامی DNS ایک خاموش رساؤ ہے۔ اگر کلائنٹ کنیکٹ کرنے سے پہلے نام حل کرتا ہے، تو HTTP درخواست کہیں اور سے نکلنے پر بھی حل کنندہ آپ کی ملاقات والے ہر ہوسٹ کو جان لیتا ہے۔ اور socks5h شکل اور پراکسی کی طرف کا حل اس سے بچتے ہیں، اور ان کا استعمال کچھ خرچ نہیں کرتا۔

ہدف پتے کے علاوہ کیا درجہ بند کرتا ہے

پتے کی ساکھ کئی ان پٹ میں سے ایک ہے۔ ہدف ASN اور اس کا ڈیٹا سینٹر یا رہائشی لیبل، کلائنٹ کی TLS فنگر پرنٹ، HTTP/2 ترتیبات، ہیڈر ترتیب، درخواست کی شرح اور نیویگیشن کی شکل جوڑتے ہیں۔ ہیڈ لیس براؤزر سے چلنے والا رہائشی ایگزٹ وہاں ناکام ہو سکتا ہے جہاں اصل سیشن سے چلنے والا ڈیٹا سینٹر ایگزٹ گزر جاتا ہے۔

ایگزٹ کی قسم طے کرتی ہے کہ ٹریفک کے بارے میں آپ ایمانداری سے کیا دعویٰ کر سکتے ہیں، اور ہر ایک کی الگ لاگت ہے۔

مشترکہ ایگزٹ غیر جانبدار نہیں ہے۔ اس پتے سے چلنے والا باقی سب اسی ساکھ کی بالٹی میں گرتا ہے، اور دوسرے کرایہ داروں کی طرف سے پہلے ہی جلا دیا گیا پتہ آپ کی پہلی درخواست پڑھے جانے سے پہلے ناکام ہو جاتا ہے۔

ایسا ایگزٹ چنیں جو آپ پالیسی میں بیان کر سکیں

مفید سوال یہ نہیں کہ پتہ کیسے چھپائیں، بلکہ یہ ہے کہ اس سے نکلنے والے ٹریفک کا ذمہ دار کون ہے۔ ہر کام کے لیے آپ کا اپنا کلاؤڈ ایگزٹ، ڈیٹا پروسیسنگ معاہدے اور شائع شدہ برقراری والا معاہدہ فراہم کنندہ، اور ہر کام کے لیے ایک شناخت والا خود میزبان VPN — سب ایک جملے میں بیان ہو سکتے ہیں۔ مفت فہرست نہیں، کیونکہ اس کے آپریٹر کا آپ پر کوئی فرض نہیں اور اسے لاگ کرنے کی ہر ترغیب ہے۔

اپنی شرح کی حدیں ہدف جو برداشت کرتا ہے اس سے نیچے رکھیں، اور صرف وہ فیلڈ جمع کریں جن کی کام کو ضرورت ہے، تاکہ غلطی چھوٹی رہے۔ بلاک سے بچنے کے لیے تیزی سے گھمانا عام طور پر وہ درخواست شرح بڑھاتا ہے جس نے اسے پیدا کیا۔

لکھیں چنا گیا ایگزٹ، اس کی گھمانے کی ونڈو اور اس کا مالک پہلی رن سے پہلے جاب کنفگ میں۔ جب بلاک آئے، وہی نوٹ آپ کو بتاتا ہے کہ ایگزٹ بدلیں یا رویہ بدلیں۔