جب ایپ mTLS اور SSO استعمال کرتی ہے تو کیا آپ کو اب بھی سائٹ VPN کی ضرورت ہے؟
ان چینلز سے گزریں جنہیں آپ کی ایپ لاگ اِن کبھی نہیں ڈھکتا، پھر فیصلہ کریں کہ نجی نیٹ ورک تک رسائی غیر ضروری ہے یا اب بھی میزبان تک واحد راستہ ہے۔
آپ mTLS سے سائن اِن کرتے ہیں، ڈیش بورڈ لوڈ ہوتا ہے، اور یہ دعویٰ کہ سائٹ VPN اب غیر ضروری ہے تقریباً تب تک معقول لگتا ہے جب تک رات دو بجے کسی ڈیٹا بیس کو بحال کرنے کی ضرورت نہ پڑے۔ ایپ کی TLS حد صرف ایک چینل بیان کرتی ہے۔ میزبان، ڈیٹا بیس، بیک اپ ہدف اور کلاؤڈ اکاؤنٹ میں سے ہر ایک کا اپنا داخلہ راستہ، اپنی شناخت اور اپنا منظوم کنندہ ہے، اور ان میں سے کوئی بھی کامیاب لاگ اِن سے جانچا نہیں جاتا۔
لاگ اِن اسکرین سے باہر کی طرف چلیں
عام صارف کی طرح سائن اِن کریں اور ہر وہ قدم لکھیں جسے درخواست چھوتی ہے: براؤزر، کنارہ، ایپلیکیشن سننے والا، سیشن ذخیرہ، بیک اینڈ API۔ ہر قدم کا ایک مالک اور ایک تصدیقی فیصلہ ہوتا ہے۔ اب میزبان کو پیچ کرنے والے شخص کے لیے اور رات کا بیک اپ لکھنے والے کام کے لیے یہ چلنا دہرائیں۔ یہ راستے عام طور پر پہلے ہی قدم پر الگ ہو جاتے ہیں۔
یہی علیحدگی وہ سوال ہے جس کا جواب دینا قابلِ قدر ہے۔ سائٹ VPN صرف اسی وقت غیر ضروری ہے جب اس دوسرے سفر کے ہر چینل کی اپنی الگ داخلہ اور اجازت کی پالیسی ہو جو خود قائم رہے۔
پانچ چینل جنہیں ایپ لاگ اِن کبھی نہیں ڈھکتا
نیچے دیا گیا جدول فہرست سازی کا سانچہ ہے، تعیناتی کی چیک لسٹ نہیں۔ دوسرا کالم اس چیز سے بھریں جو آپ کا ماحول آج واقعی نافذ کرتا ہے۔
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
ایک ہی شناخت فراہم کنندہ کا اشتراک ان اجازتوں کو یکجا نہیں کرتا۔ وہ صارف جو API درخواست بھیج سکتا ہے اس سے VM ڈسک تبدیل کرنے یا ایپ کی اسناد سے ڈیٹا بیس بحال کرنے کا مجاز نہیں ہوتا۔ NIST زیرو ٹرسٹ آرکیٹیکچر کے خلاصے میں ٹھیک اسی وجہ سے وسائل کی توثیق اور اجازت کو نیٹ ورک مقام سے الگ رکھتا ہے۔
وہ سپورٹ انجینئر جو ٹکٹ پڑھ سکتا ہے اس سے اس کے پیچھے والے میزبان پر کنسول کھولنے کا مجاز نہیں ہوتا۔
راستہ صرف اسی وقت حقیقی ہے جب متبادل بند رہے
رسائی کو نجی انتظامی سامعین تک محدود کرنا سائٹ VPN کا جائز متبادل ہے، بشرطیکہ پابندی نافذ کی جائے، صرف کھینچی نہ جائے۔ عام ناکامی وہ متبادل سامع ہے جسے کسی نے یاد نہ رکھا: ایسی سروس جو اب بھی تمام انٹرفیس سے جڑی ہے، ٹھیکیدار کے لیے کھلا سیکیورٹی گروپ قاعدہ، انٹرنیٹ سے قابلِ رسائی انتظامی پورٹ۔
خاکے نہیں، سامعین کی جانچ کریں۔ میزبان پر ss -ltnp کے ذریعے فہرست بنائیں کہ واقعی کیا جڑا ہے اور تصدیق کریں کہ انتظامی پورٹ نجی پتے پر ہیں۔ کلاؤڈ کنسول میں ورک لوڈ سب نیٹ کے اندر آنے والے قواعد پڑھیں اور کسی بھی انتظامی چیز پر 0.0.0.0/0 تلاش کریں۔ پھر نجی راستے سے باہر سے کنکشن آزمائیں، کیونکہ وہی جانچ سوال کا جواب دیتی ہے۔
SSH پر ایک ہی دنیا کے لیے کھلا قاعدہ سرنگ کے ڈیزائن کی ہر دلیل کو کالعدم کر دیتا ہے۔
ڈیزائن کا موازنہ کرنے سے پہلے نقشہ لکھیں
فہرست کی ہر قطار کے لیے درج کریں کہ کون شناختیں منظور کرتا ہے، کون رسائی کے قواعد اپ ڈیٹ کرتا ہے، کوئی جائے تو کون اسناد ہٹاتا ہے، اور راستہ خود ٹوٹنے پر کون بحالی سنبھالتا ہے۔ ہر قطار میں چار نام ان قطاروں کو بے نقاب کرنے کے لیے کافی ہیں جہاں جواب مشترکہ اکاؤنٹ اور تین سال پرانا ویکی صفحہ ہے۔
پھر ہر چینل کے لیے ایک اجازت اور ایک انکار کی تصدیق کریں۔ اجازت ثابت کرتی ہے کہ مطلوبہ شناخت مطلوبہ راستے سے وسیلے تک پہنچ سکتی ہے۔ انکار ثابت کرتا ہے کہ مشابہ شناخت نہیں پہنچ سکتی، اور یہی وہ جانچ ہے جسے لوگ چھوڑ دیتے ہیں، اسی لیے متبادل سامعین آڈٹ میں بچ جاتے ہیں۔ تجویز کردہ ڈیزائن کا موازنہ ان نتائج سے کریں، ایپ کی TLS ترتیب سے نہیں، جس نے ان میں سے کوئی بھی کبھی نہیں جانچا۔
سائٹ VPN اب بھی کہاں اپنی جگہ کماتی ہے
جب وسیلے کے پاس ہر درخواست کے لیے اپنی توثیق نہ ہو تو سرنگ یا تنگ گیٹ وے درست جواب ہے: ڈیٹا بیس کی دیکھ بھال کی پورٹیں، بیک اپ ہدف، ہائپر وائزر کنسول، بینڈ سے باہر انتظام۔ وہ سامعین نیٹ ورک پر بھروسہ کرتے ہیں، اس لیے نیٹ ورک ہی کو پکارنے والے کی توثیق کرنی چاہیے۔
یہ واحد جواب نہیں ہے۔ وہ گیٹ وے جو ہر وسیلے کے لیے اجازت ختم کرتا ہے پورے سب نیٹ کی سرنگ سے تنگ ہو سکتا ہے اور مشترکہ جمپ میزبان سے بہتر آڈٹ نشان چھوڑتا ہے۔
کام کی ترتیب: فہرست مکمل کریں، متبادل بند کریں، ہر قطار کے لیے ایک انکار کی تصدیق کریں، اور اسی کے بعد سرنگ ہٹائیں۔ اگر کوئی قطار انکار پیدا نہ کر سکے تو جب تک کر سکے نجی راستہ رکھیں۔