برانچ سب نیٹ کو ہیڈ کوارٹر کے SonicWall انٹرنیٹ ایگزٹ سے روٹ کریں

برانچ کے فون ہیڈ کوارٹر کے ذریعے باہر جائیں جبکہ برانچ کے لیپ ٹاپ مقامی WAN استعمال کرتے رہیں، اور صرف روٹنگ پالیسی یہ فراہم نہیں کرے گی۔ برانچ کا روٹ ٹنل منتخب کر سکتا ہے، لیکن ٹنل پالیسی کو ٹریفک قبول کرنا ہوگا، ہیڈ کوارٹر کو اسے آگے بھیجنا اور ترجمہ کرنا ہوگا، اور جواب کو اسی راستے واپس آنا ہوگا۔ ان تینوں میں سے کوئی ایک بھی چھوٹا تو علامت ان کلائنٹس کا ذیلی مجموعہ ہوگی جو ٹنل فعال ہونے کے دوران ہی انٹرنیٹ کھو دیتے ہیں۔

سلیکٹر سے شروع کریں، روٹ سے نہیں

روٹنگ پالیسی کسی سورس پر مماثل ہوتی ہے، اس لیے سورس کو باقی سب سے پہلے مستحکم ہونا چاہیے۔ منتخب کردہ آلات کو ایسے ایڈریس گروپ میں رکھیں جسے کوئی منتظم برقرار رکھے، یا بہتر یہ کہ ایسے مخصوص سیگمنٹ پر جس کی رکنیت آلہ کے کردار کی پیروی کرے۔ جب عام DHCP تبدیلی کسی مماثل ایڈریس کو دوسری مشین پر منتقل کر سکتی ہے، پالیسی خاموشی سے غلط کلائنٹ منتخب کر لیتی ہے، اور پہلی رپورٹ عام طور پر سست براؤزنگ کے بارے میں ہوتی ہے جو دراصل ایک چکر ہے۔

گروپ کا نام اس پالیسی کے مطابق رکھیں جس کی وہ خدمت کرتا ہے، کسی منزل یا شعبے کے مطابق نہیں، کیونکہ روٹنگ کا قاعدہ دونوں سے زیادہ چلے گا۔ اس میں کون سے آلات ہیں اور کون ایک شامل کر سکتا ہے، درج کریں۔

برانچ پالیسی شامل کریں، پھر اس کی ترتیب کی حفاظت کریں

برانچ کے SonicWall پر روٹ پالیسی سورس گروپ منتخب کرتی ہے، مطلوبہ منزلوں کے نام دیتی ہے اور ٹنل انٹرفیس کو گیٹ وے کے طور پر مقرر کرتی ہے، معاون ٹنل انٹرفیس ڈیزائن اسی کے لیے ہے۔ مقامی اور نجی منزل کے قواعد کو وسیع انٹرنیٹ قاعدے کے اوپر رکھیں، کیونکہ پہلا مماثل جیتتا ہے، اور ٹنل میں دھکیلا گیا نجی سابقہ ہیڈ کوارٹر صرف اس لیے پہنچتا ہے کہ پھینک دیا جائے۔ فائر وال کے اپنے راستے کو اس کے VPN ساتھی کی طرف بھی محفوظ رکھیں، ورنہ ٹنل کی ترسیل اسی پالیسی کی پیروی کرے گی جس پر وہ منحصر ہے۔ ان میں سے کوئی چیز آپ کو ہر موجودہ پالیسی پر مبنی ٹنل تبدیل کرنے پر مجبور نہیں کرتی؛ ٹنل انٹرفیس کئی میں سے ایک معاون انتخاب ہے۔

ترتیب وہ حصہ ہے جو حادثاتی طور پر بدلتا ہے۔ جو بھی استثنا شامل کرے اسے وسیع قاعدے کے اوپر ڈالنا ہوگا، اور جو بھی وسیع قاعدہ میں ترمیم کرے وہ ایک ہی محفوظ کرنے سے پورا ڈیزائن الٹ سکتا ہے۔ مطلوبہ ترتیب پالیسی کے ساتھ لکھیں اور فرم ویئر اپ ڈیٹس کے بعد اسے دوبارہ جانچیں، کیونکہ انٹرفیس کے نام اور پالیسی کی نمائش ورژنوں کے درمیان واقعی بدلتی ہے۔

ہیڈ کوارٹر میں راستہ مکمل کریں

ہیڈ کوارٹر کی ٹنل پالیسی کو اب وہ ٹریفک قبول کرنا ہوگا جو برانچ کا روٹ منتخب کرتا ہے۔ ہیڈ کوارٹر کے نجی LAN تک محدود بین دفتری منتخب کنندہ من مانی عوامی منزلوں کو لے جانے کی اجازت نہیں، اس لیے پالیسی کو برانچ کا سورس اور وہ منزل کی حد چاہیے جو آپ واقعی چاہتے ہیں۔ پھر ہیڈ کوارٹر وہ آنے والی ٹریفک اپنے رسائی قواعد کے تحت اپنے انٹرنیٹ اپ لنک پر بھیجتا ہے، اور SonicWall کی مرکزی ایگزٹ کی مثال مرکزی WAN پر دور دراز نیٹ ورک کے لیے سورس ترجمہ شامل کرتی ہے۔ اس ترجمے کے بغیر دور کا فریق نجی برانچ ایڈریس دیکھتا ہے اور اس تک واپسی کا راستہ نہیں رکھتا۔

جوابات معاہدے کا دوسرا نصف ہیں۔ انہیں ٹنل کے ذریعے یا ان کے لیے بنائے گئے حالت والے ترجمے کے ذریعے واپس آنا ہوگا، اور نجی سائٹس کی ٹریفک کو عوامی اخراج سے مختلف NAT سلوک درکار ہو سکتا ہے۔ ان قواعد کو الگ پہچانا جانے والا رکھیں، کیونکہ ہر اندرونی سورس کو چھپانے والا ایک وسیع ترجمہ قاعدہ بعد کی لاگنگ اور مسئلہ حل کرنے کو پڑھنا کہیں زیادہ مشکل بنا دیتا ہے۔

ٹنل گرنے پر گروپ کیا کرے گا، یہ طے کریں

اگر مرکزی ایگزٹ ترجیح نہیں بلکہ ضرورت ہے، تو مقامی WAN پر واپس جانا تعمیل کی ناکامی ہے، چاہے صارفین آن لائن رہیں۔ SonicOS ٹنل انٹرفیس کو گرانے والے روٹ کو منتخب ٹریفک کو غیر ارادی متبادل راستہ لینے سے روکنے کا معاون طریقہ قرار دیتا ہے۔

اس روٹ کے دائرہ اور ترجیح کو نصب ورژن کے مطابق بنائیں، اور لیبل پر بھروسہ کرنے کے بجائے ٹنل نیچے لا کر اس کی جانچ کریں۔ جس گروپ کو کبھی مقامی طور پر باہر نہیں جانا چاہیے وہ بند حالت میں ناکام ہونا چاہیے، جبکہ جہاں دستیابی زیادہ اہم ہے وہ گروپ قانونی طور پر واپس جا سکتا ہے؛ دونوں فیصلے ہیں، اور کوئی بھی طے شدہ طور پر نہیں ہونا چاہیے۔

تین کلائنٹس سے تصدیق کریں، پھر صاف طور پر واپس کریں

مرکزی گیٹ وے پر پنگ غلط چیز کی جانچ کرتا ہے، کیونکہ وہ فائر وال سے شروع ہوتا ہے، کسی منتخب کلائنٹ سے نہیں۔ اس کے بجائے آلات سے جانچ کریں، اور ان میں سے تین کی جانچ کریں: ایک منتخب آلہ، ایک عام آلہ جو مقامی رہنا چاہیے، اور ایک جو مقامی خدمات پر منحصر ہے۔

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

موازنہ کریں کہ عوامی درخواست واقعی کہاں ابھری۔ منتخب کلائنٹ کو ہیڈ کوارٹر کے ایگزٹ سے انٹرنیٹ تک پہنچنا چاہیے، اور عام کلائنٹ کو دور کے فریق پر برانچ کا اپنا ایڈریس اب بھی دکھانا چاہیے؛ 203.0.113.10 ایک دستاویزی ایڈریس ہے جو آپ کے لیے اہم منزل کے متبادل کے طور پر استعمال ہوتا ہے۔ اسی مرحلے میں DNS شامل کریں، کیونکہ برانچ کے حل کنندہ سے پوچھنے والا کلائنٹ راؤٹر سے پیدا ہونے والی تلاش مختلف سورس کے ساتھ اور اس لیے مختلف روٹ کے ساتھ پیدا کر سکتا ہے۔

واپسی محفوظ شدہ پالیسی ترتیب اور ایڈریس گروپ ہے۔ پچھلی ترتیب بحال کریں، پالیسی سے گروپ ہٹائیں، اور دونوں آلات کی اقسام کی دوبارہ جانچ کریں۔ برآمد شدہ کنفیگریشن کو تبدیلی کے ریکارڈ کے ساتھ رکھیں، کیونکہ اگلے انجینئر کو جاننا ہوگا کہ کسی کے ترمیم کرنے سے پہلے کون سا قاعدہ وسیع تھا۔