کیا دوسرا L2TP کلائنٹ پہلے کو مار دیتا ہے؟ انکیپسولیشن پڑھیں

ایک لیپ ٹاپ دفتر کے راؤٹر کے ذریعے کام کرنے والی سرنگ رکھے ہوئے ہے۔ اسی کمرے میں دوسرا لیپ ٹاپ منسلک ہوتا ہے، اور پہلا گر جاتا ہے۔ اگر یہی پوری علامت ہے، تو میز پر اب بھی تین مختلف وجوہات ہیں، اور کون سی درستی لاگو ہوتی ہے یہ ان چیزوں پر منحصر ہے جو آپ نے ابھی ناپی نہیں ہیں۔ مشترکہ راؤٹر متعلقہ ہے، لیکن خود بخود قصوروار نہیں، اور پروٹوکول بھی نہیں۔

تین وجوہات جو صوفے سے ایک جیسی نظر آتی ہیں

پہلا امیدوار راؤٹر کا IPsec کے ساتھ سلوک ہے۔ سستے صارف راؤٹر اکثر پاس تھرو کی تشہیر کرتے ہیں اور اسے ایک وقت میں ایک کلائنٹ کے لیے نافذ کرتے ہیں، کیونکہ میکانزم ایک ساتھی کی پیروی کرتا ہے اور ایک ہی عوامی پتے کے پیچھے دو لیپ ٹاپ الگ نہیں کر سکتا۔ علامت بالکل وہی ہے جس کی آپ توقع کریں گے: نیا سیشن جیت جاتا ہے۔

دوسرا اکاؤنٹ ہے۔ بہت سے VPN سرور ہر شناخت کے لیے ایک سیشن کی اجازت دیتے ہیں اور وہی اسناد دوبارہ تصدیق ہونے پر پرانا سیشن کاٹ دیتے ہیں، جو گیٹ وے پر پالیسی کا فیصلہ ہے اور آپ کے راؤٹر سے اس کا کوئی تعلق نہیں۔ ہارڈ ویئر خریدنے سے پہلے سرور لاگ میں وہ واضح پیغام تلاش کریں۔

تیسرا سادہ غلط ترتیب ہے: دو پروفائل ایک ہی شناخت کی طرف اشارہ کرتے ہیں، ان میں سے ایک پرانی مشترکہ کلید یا ایسے سرٹیفکیٹ کے ساتھ جو گیٹ وے اب قبول نہیں کرتا۔ یہ عام طور پر پہلے کے گرنے کی بجائے دوسرے کنکشن کی ناکامی کے طور پر ظاہر ہوتا ہے، اس لیے ناکامی کی شکل پہلے ہی آپ کو کچھ بتا رہی ہے۔

L2TP/IPsec واقعی راؤٹر سے کیا بھیجتا ہے

IKE UDP 500 پر چلتا ہے۔ ڈیٹا کا راستہ ESP ہے، وہ IP پروٹوکول 50 ہے اور TCP یا UDP پورٹ بالکل نہیں لے جاتا۔ اس لیے جو راؤٹر صرف پورٹ سمجھتا ہے اس کے پاس پکڑنے کو کچھ نہیں، اور پاس تھرو میکانزم اسی لیے موجود ہے۔

NAT ٹریورسل کے ساتھ ESP کو UDP 4500 کے اندر انکیپسولیٹ کیا جاتا ہے۔ اب راؤٹر کے پاس میپ کرنے کے لیے ماخذ پورٹ ہے، اور ہر لیپ ٹاپ کو اپنا ترجمہ ملتا ہے، اس لیے گیٹ وے دو بہاؤ الگ پہچان سکتا ہے۔ ایک پتے کے پیچھے کئی کلائنٹ کے کام کرنے کو ممکن بنانے والا میکانزم یہی ہے۔

یہ فرق راؤٹر کی خصوصیات کی فہرست پڑھتے وقت اہم ہے۔ IPsec پاس تھرو لکھا لیبل آپ کو بتاتا ہے کہ فروش کے پاس کوئی میکانزم ہے؛ یہ نہیں بتاتا کہ وہ میکانزم کئی کلائنٹ کی حمایت کرتا ہے یا دوسرا آنے پر کیسا برتاؤ کرتا ہے۔

strongSwan کی NAT ٹریورسل دستاویز خود انکیپسولیشن کی وضاحت کرتی ہے، اور یہی وہ حصہ ہے جو آپ پیکٹ کیپچر سے تصدیق کر سکتے ہیں، مارکیٹنگ صفحے سے نہیں۔

اصل میں کون سی وجہ ہے یہ کیسے معلوم کریں

چار مشاہدے کریں اور ہر نتیجہ لکھیں۔ ہر لیپ ٹاپ اکیلا: کام کرتا ہے یا نہیں، اور کتنی دیر؟ دونوں ساتھ: کون ٹکتا ہے؟ دوسرا لیپ ٹاپ فون ہاٹ اسپاٹ پر: کیا پہلا کھڑا رہتا ہے؟ اور گیٹ وے پر: سرور لاگ نیا سیشن پرانے کی جگہ لیتا دکھاتا ہے، یا ایک کلائنٹ کے خاموش ہو جانے کو؟

وہ جواب امیدواروں کو صاف الگ کرتے ہیں۔ سرور لاگ میں تبدیلی کا پیغام شناخت کی پالیسی کی طرف اشارہ کرتا ہے۔ راؤٹر نیا ترجمہ دکھاتے ہوئے کلائنٹ کا ٹریفک لینا بند کرنا راؤٹر کی طرف اشارہ کرتا ہے۔ دو کلائنٹ جو دونوں IKE مکمل نہیں کر پاتے، ترتیب یا اسناد کی طرف اشارہ کرتے ہیں۔

پورے وقت وہی پروفائل رکھیں۔ ٹیسٹوں کے درمیان پروفائل بدلنا یعنی آپ ایک ساتھ دو متغیر ناپ رہے ہیں، اور نتیجہ ایسے غلط ہوگا جسے محسوس کرنا بہت مشکل ہے۔

اگر راؤٹر حمایت کرے تو وہیں کیپچر کریں، یا ایک لیپ ٹاپ پر جب دوسرا منسلک ہو رہا ہو۔ پہلے کلائنٹ کے پیکٹ رکتے ہوئے دوسرے کے پیکٹ نمودار ہوتے دیکھنا کسی بھی منسلک آئیکن سے زیادہ مضبوط ثبوت ہے۔

اگر راؤٹر ہی حد ہو

اگر فروش کی دستاویزی کثیر الکلائنٹ ترتیب موجود ہو تو اسے استعمال کریں، یا ڈیوائس کو ایسی سے بدلیں جس کی دستاویز بتاتی ہو کہ آپ کو کیا چاہیے۔ یہ بے رونق جواب ہے اور فرم ویئر اپ ڈیٹ کے بعد بچنے والا واحد جواب ہے۔

جو کام نہیں کرتا وہ دو مختلف لیپ ٹاپ کی طرف دو یکساں اندرونی فارورڈز شامل کرنا ہے۔ فارورڈ راؤٹر کو بتاتا ہے کہ آنے والا ٹریفک کہاں بھیجنا ہے؛ یہ نہیں بتاتا کہ پیکٹ دو فعال بہاؤ میں سے کس کا ہے، اور یہی ابہام خرابی ہے۔

اگر راؤٹر بدلا نہیں جا سکتا، تو ایک کلائنٹ کو دوسرے راستے کے پیچھے رکھیں۔ فون ہاٹ اسپاٹ برا مستقل حل ہے اور بالکل اچھا تشخیصی حل۔

اگر گیٹ وے ہی حد ہو

الگ لوگوں کے لیے الگ شناختیں فراہم کریں۔ دو لیپ ٹاپ کا استعمال کردہ ایک مشترکہ اکاؤنٹ ہی وہ ترتیب ہے جو ایک سیشن کے لیے ترتیب دیے گئے سرورز پر یہ علامت پیدا کرتی ہے، اور کوئی مقامی ترتیب دوسرے سرے پر لیے گئے فیصلے کو درست نہیں کرتی۔

گیٹ وے کے مالک سے پوچھیں کون سی پالیسی لاگو ہے: ہر اکاؤنٹ پر ایک سیشن، ہر سرٹیفکیٹ پر ایک، یا کوئی حد نہیں۔ ان کا جواب طے کرتا ہے کہ آپ کو نئی اسناد چاہیے یا نیا راؤٹر۔

تصدیق وہ حصہ ہے جو لوگ چھوڑ دیتے ہیں۔ دونوں کلائنٹ سے مفید ٹریفک اس وقفے سے زیادہ دیر چلائیں جو پہلے ناکام ہوتا تھا، کیونکہ دو کامیاب لاگ ان صرف یہ ثابت کرتے ہیں کہ تصدیق ہر ایک میں ایک بار چلی۔