دونوں سروں پر ایک ہی ذیلی نیٹ: دور دراز LAN کو آزاد رینج پر نقش کریں

گھر اور دفتر دونوں 192.168.1.0/24 استعمال کرتے ہیں، اس لیے 192.168.1.1 پر درخواست کے دو ممکنہ جواب ہیں اور کلائنٹ بغیر پوچھے ایک منتخب کر لیتا ہے۔ چلتے ہوئے دفتری نیٹ ورک کو دوبارہ نمبر دینا شاذ و نادر ہی مقبول ہوتا ہے، اور راؤٹر کے پتے اکثر پرنٹرز، کیمروں اور دستاویزات میں پیوست ہوتے ہیں۔ کلائنٹ کی طرف ایڈریس میپنگ اس کے بجائے دور دراز نیٹ ورک کو آزاد رینج کے تحت پیش کر سکتی ہے، اور ہوسٹ کا حصہ ویسا ہی رہ سکتا ہے تاکہ 192.168.1.20 بطور 10.203.41.20 نظر آئے۔ مشکل یہ ہے کہ صرف کچھ کلائنٹ اسے نافذ کرتے ہیں، اور یہ واپسی کے راستے کے لیے کچھ نہیں کرتا۔

ایک ہی ہوسٹ کے دو منظر

میپنگ ہوسٹ کا حصہ رکھتی ہے اور صرف نیٹ ورک کا حصہ بدلتی ہے۔ پھر وہی مشین آپ کے کھڑے ہونے کی جگہ کے مطابق دو پتوں پر جواب دیتی ہے۔ کچھ بھی کنفیگر کرنے سے پہلے دونوں کالم لکھ لینا بعد میں لاگز اور فائر وال قواعد کے غلط پڑھنے سے بچاتا ہے۔

گھر کے مقامی آلات اپنے 192.168.1.x پتے رکھتے ہیں، اور یہی اس مشق کا مقصد ہے۔ اگلے کمرے کا پرنٹر قابل رسائی رہتا ہے جبکہ دفتر ایسی رینج کے تحت دکھائی دیتا ہے جو ٹکراتی نہیں۔

دلائل کی ترتیب ہی پوری ترکیب ہے

یہ آپشن سمت، نیٹ ورک اور ماسک، اور ایک عرف لیتا ہے: پہلا نیٹ ورک وہ ہے جو کلائنٹ دیکھتا ہے، عرف وہ ہے جو سرور دیکھتا ہے۔ دور دراز گیٹ وے کے پیچھے موجود وسائل کے لیے سمت منزل کی شکل ہوتی ہے۔ آخری دلیل کو عرف کہا جاتا ہے اس لیے دونوں نیٹ ورک الٹ دینا وہ غلطی ہے جو ایسی سرنگ بناتی ہے جو جڑتی ہے مگر کچھ بھی نقش نہیں کرتی۔

push "route 10.203.41.0 255.255.255.0"
push "client-nat dnat 10.203.41.0 255.255.255.0 192.168.1.0"

روٹ وہ ہے جو کلائنٹ کے پیکٹ نئی رینج کے لیے سرنگ میں بھیجتا ہے؛ ترجمہ راستے میں منزل دوبارہ لکھتا ہے۔ 192.168.1.20 سے جواب 10.203.41.20 پر واپس لکھا جاتا ہے تاکہ کلائنٹ کا ساکٹ ہم آہنگ رہے۔ ایک ہی ہوسٹ پوری لمبائی کے ماسک کے ساتھ اسی طرح کام کرتا ہے، جب تک روٹ اور میپنگ ایک ہی پتہ بیان کریں۔

یہ پتوں کی میپنگ ہے، پورٹ کی میپنگ نہیں۔ ایک ہوسٹ پر دو سروسز اس سے الگ نہیں کی جا سکتیں، اور جو پروٹوکول اپنے پے لوڈ میں IP پتے پیوست کرتا ہے وہ پھر بھی اصل دیکھے گا۔

میپنگ واپسی کا راستہ نہیں بناتی

ترجمہ کلائنٹ پر ہوتا ہے، اس لیے سرور کو اب بھی جوابات سرنگ میں روٹ کرنے پڑتے ہیں اور اس کے فائر وال کو اب بھی ان کی اجازت دینی پڑتی ہے۔ اگر دور دراز گیٹ وے کو نہ معلوم ہو کہ سرنگ کے ذیلی نیٹ تک کیسے پہنچنا ہے، درخواست آتی ہے اور جواب غلط دروازے سے نکل جاتا ہے؛ میپنگ صرف ناکامی کو کلائنٹ کا مسئلہ بنا کر دکھاتی ہے۔

سرور کی طرف کے قواعد کو ترجمے کے بعد سرور پر موجود پتوں کی وضاحت کرنی چاہیے، کلائنٹ کو نظر آنے والی رینج کی نہیں۔ عرف کو اجازت کے قاعدے میں نقل کرنا ایک دوپہر ضائع کرتا ہے، کیونکہ اس طرف کا کوئی پیکٹ اسے نہیں اٹھاتا۔

ایسی عرف رینج منتخب کریں جو کلائنٹ کی روٹ کردہ کسی اور چیز سے نہ ٹکرائے: دوسرا VPN، کنٹینر نیٹ ورک، دوسرا دفتر۔ یہاں تصادم اصل ابہام کو مختلف نمبر کے تحت واپس لاتا ہے اور دیکھنا مشکل ہوتا ہے کیونکہ پتے ناواقف لگتے ہیں۔

نام اور پے لوڈ ترجمے سے بچ نکلتے ہیں

جو ہوسٹ نام اصل 192.168.1.20 پر حل ہوتا ہے وہ براؤزر کو دور دراز کے بجائے مقامی آلے پر بھیجتا ہے، چاہے روٹنگ جدول کچھ بھی کہے۔ نجی DNS کا جواب کلائنٹ کو نظر آنے والی رینج کی طرف اشارہ کرنا چاہیے، جبکہ TLS سرٹیفکیٹ اب بھی وہ نام رکھتا ہے جس کی ایپلیکیشن توقع کرتی ہے۔ پتے کے بجائے نام سے جانچیں، کیونکہ پتہ کام کر سکتا ہے جبکہ نام خاموشی سے غلط سمت میں حل ہو رہا ہو۔ جب دور دراز گیٹ وے اس زون کی بھی خدمت کرتا ہے، تو اس کے اپنے ریکارڈ کو بھی کلائنٹ کو نظر آنے والی رینج درکار ہوتی ہے۔

ری ڈائریکٹ، ایمبیڈڈ URL اور وہ ایپلیکیشنز جو اپنا پتہ پے لوڈ میں دیتی ہیں ایسے طریقوں سے ٹوٹ سکتی ہیں جنہیں کوئی پیکٹ میپنگ ٹھیک نہیں کر سکتی۔ انہیں ایپلیکیشن کا مسئلہ سمجھیں اور دوبارہ نمبر دینے کی ضرورت نہ ہونے کا وعدہ کرنے سے پہلے کوشش کا اسی حساب سے اندازہ لگائیں۔

عہد سے پہلے تین جانچیں

پہلے، کلائنٹ کے نفاذ کی تصدیق کریں۔ Community OpenVPN اس آپشن کی حمایت کرتا ہے؛ OpenVPN 3 کوڈ بیس اسے غیر تعاون یافتہ خصوصیات میں شمار کرتا ہے، اس لیے Connect طرز کے کلائنٹ کو بھیجا گیا پروفائل اسے محض نظر انداز کر سکتا ہے۔ جو ہدایت قبول کی جائے اور کبھی لاگو نہ ہو وہ خرابی سے بدتر ہے، کیونکہ سرنگ صحت مند دکھائی دیتی ہے۔

دوم، روٹ اور ترجمے کو علیحدہ طور پر اعلیٰ تفصیل پر مختصر تشخیصی ونڈو کے ساتھ جانچیں، پھر ping کے بجائے اصل سروس آزمائیں۔ سوم، تصدیق کریں کہ مقامی راؤٹر اور دور دراز وسیلہ کلائنٹ سے الگ پہچانے جا سکتے رہیں، کیونکہ اصل مقصد یہی تھا۔

اگر کلائنٹ ترجمہ نہیں کر سکتا، گیٹ وے کی طرف سے مدد مانگیں یا دوبارہ نمبر دینا قبول کریں۔ ایک ہی پتے کے لیے مزید روٹ شامل کرنا کوئی ڈیزائن نہیں۔