سائٹ سے سائٹ VPN صرف ایک طرف کام کرتا ہے: دو مختلف خرابیاں

سائٹ A سائٹ B تک پہنچتی ہے، B سائٹ A تک نہیں پہنچ سکتی، اور ٹنل دونوں طرف ٹھیک دکھتی ہے۔ ٹنل کو چھونے سے پہلے فیصلہ کریں کہ آپ کو واقعی کون سی خرابی ہے۔ B پر شروع ہو کر مسترد ہونے والا نیا کنکشن اور A پر شروع ہونے والے کنکشن کا وہ جواب جو کبھی نہیں آتا، دونوں یکساں شکایات اور بالکل مختلف تشخیص پیدا کرتے ہیں۔ ایک راستے کی پالیسی یا روٹ کا مسئلہ ہے؛ دوسرا پہلے سے اجازت شدہ ٹریفک کے لیے واپسی کے راستے یا حالت کا مسئلہ ہے۔

یہی فرق طے کرتا ہے کہ کون سے کمانڈ چلانا مفید ہے۔

ایک جیسی دکھنے والی دو خرابیاں

پہلی صورت میں B کا ہوسٹ A کو SYN بھیجتا ہے اور کچھ واپس نہیں آتا۔ دوسری میں A کا ہوسٹ کامیابی سے سیشن کھولتا ہے اور جواب واپسی کے راستے میں غائب ہو جاتا ہے۔ دونوں صارفین کہتے ہیں کہ لنک یک طرفہ ہے، اور دونوں غائب ہونے والے پیکٹ کی وضاحت کرتے ہیں، اس لیے صرف وضاحت انہیں الگ نہیں کر سکتی۔

پوچھیں کہ ناکام کوشش کس طرف سے شروع ہوئی تھی۔ یہ ایک حقیقت آدھی ممکنہ وجوہات ہٹا دیتی ہے۔

پھر تصدیق کریں کہ ٹیسٹ نے شروع سے آخر تک وہی ہوسٹ اور وہی سروس استعمال کی۔ ایک طرف سے ping اور دوسری طرف سے فائل شیئرنگ کنکشن دو مختلف چیزیں جانچتے ہیں، اور گیٹ وے سے کیا گیا تشخیص ایسا ٹنل پتہ چن سکتا ہے جو کوئی صارف ٹریفک استعمال نہیں کرتا۔

پہلی صورت: واپسی کا راستہ نہیں

دوسرے ڈیفالٹ گیٹ وے سے جواب دینے والا دور کا سرور درخواست وصول کر کے جواب کہیں اور روٹ کر سکتا ہے۔ پھر حالت کا سراغ رکھنے والے فائر وال غیر متوازن جواب گرا دیتے ہیں، کیونکہ وہ قائم شدہ بہاؤ سے مطابقت نہیں رکھتا، جو ٹھیک ایسی سمت جیسا دکھتا ہے جو کبھی کام نہیں کی۔ ترجمہ ایک اور صورت جوڑتا ہے: منزل ترجمہ شدہ ماخذ دیکھتی ہے اور اسی کو جواب دیتی ہے، اس لیے اصل پتے کے لیے لکھا گیا قاعدہ کبھی مطابقت نہیں رکھتا۔

ترجمے کے بعد منزل واقعی جو پتہ دیکھتی ہے اسے جانچیں، اور واپسی کا راستہ اصل سب نیٹ کے بجائے اسی پتے کے لیے جانچیں۔

دوسری صورت: پالیسی نے کبھی اجازت نہیں دی

الٹی صورت دکھنے سے زیادہ سادہ اور عام ہے: ایک دفتر کو مرکزی سروس استعمال کرنی ہے اور مرکز کی طرف کبھی کنکشن شروع نہیں کرنا۔ یہ عدم توازن جان بوجھ کر لیا گیا رسائی کا فیصلہ ہے، اور ٹنل ڈیزائن کے مطابق کام کر رہی ہے۔ کوئی بھی ٹنل سیٹنگ بدلنے سے پہلے رسائی پالیسی پڑھیں۔ کس سمت کا ارادہ تھا یہ دستاویز بتاتی ہے، پیکٹ کیپچر نہیں۔ کیپچر صرف یہ دکھا سکتا ہے کہ کیا ہوا، یہ نہیں کہ کس کی اجازت تھی۔

اگر دونوں طرف سے آغاز واقعی ضروری ہو، تو پلیٹ فارم کے معاون قواعد کے مجموعے کے ذریعے اس مخصوص سروس کی اجازت شامل کریں۔ ایک ایپلیکیشن ٹھیک کرنے کے لیے ہر سب نیٹ کو باہمی قابل اعتماد بنانا تنگ ضرورت کو وسیع اجازت میں بدل دیتا ہے، اور اس تبادلے کا بعد میں شاذ و نادر ہی جائزہ لیا جاتا ہے۔

انہی ہوسٹوں پر پہلے اور بعد کا موازنہ کریں

دو الگ کوششوں کے بجائے ایک ہی کوشش کے دونوں سرے دیکھیں۔ شروع کرنے والے ہوسٹ کے گیٹ وے اور منزل پر کیپچر کریں، پھر موازنہ کریں کہ کیا اندر آیا، کیا باہر گیا اور دور کے فریق نے کون سا پتہ دیکھا۔

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

اگر منزل پر کیپچر درخواست کو غیر متوقع ماخذ پتے کے ساتھ دکھاتا ہے، تو جواب ترجمے یا روٹنگ میں ہے، ٹنل کی حفاظتی پالیسی میں نہیں۔ اگر منزل کوئی درخواست ہی نہ دکھائے، تو پیکٹ نے محفوظ راستہ کبھی عبور نہیں کیا۔

اصلاح کے بعد اسی ہوسٹ سے وہی ٹیسٹ دہرائیں اور تصدیق کریں کہ غیر متعلق رسائی اب بھی مسترد ہے۔ “established” ٹنل حیثیت بذات خود دونوں میں سے کسی نتیجے کی تائید نہیں کرتی۔