VPN کے کنارے Snort: جہاں پیکٹ نظر آتے ہیں

کسی دور کے لیپ ٹاپ سے ایک درخواست کا پیچھا کریں اور کوئی بھی اس کا معائنہ کر سکنے سے پہلے وہ کئی حدوں سے گزرتی ہے۔ بیرونی ٹنل VPN کے عمل میں ختم ہوتی ہے، اندرونی پیکٹ کسی انٹرفیس پر ظاہر ہوتا ہے، اور اندر کا HTTPS سیشن ایپلیکیشن تک جاری رہتا ہے۔ معائنہ کا آلہ صرف وہی دیکھتا ہے جو اس نقطے پر نظر آتا ہے جہاں پیکٹ اس تک پہنچتے ہیں۔ اس نقطے کا تعین کیے بغیر ایک نصب کریں، اور لاگز غلط تہہ بیان کریں گے۔

ایک پیکٹ کئی حدوں سے گزرتا ہے

VPN کے اختتام سے پہلے مشاہدہ کرنے والا ایک بیرونی کنکشن دیکھتا ہے، عام طور پر VPN پورٹ کی طرف، پتوں اور سائز کے ساتھ مگر اندرونی ساخت کے بغیر۔ اختتام کے بعد اندرونی پتے، پورٹس اور پروٹوکول اس پروسیسنگ نقطے پر دستیاب ہوتے ہیں جو انہیں حوالے کرتا ہے۔ ایپلیکیشن کا اپنا TLS اس وقت تک خفیہ رہتا ہے جب تک کوئی الگ ڈیزائن اسے ختم نہ کرے۔ یہ دکھائی دینے کی تین سطحیں ہیں، اور پیکیج کا نام نہیں بتاتا کہ آپ نے کون سی خریدی۔

حدوں کو نشان زد کر کے راستہ بنائیں، پھر سینسر کو اس لکیر پر رکھیں جہاں سوال کا جواب دیا جا سکے، کیونکہ مقام جواب کا حصہ ہے۔ جس حد کا نام آپ نہیں بتا سکتے وہ ایسی حد ہے جس کا آپ امتحان نہیں لے سکتے۔

دیکھیں ہر نقطے پر کیا پڑھا جا سکتا ہے

فن تعمیر کی کسی بھی وضاحت پر بھروسہ کرنے سے پہلے انٹرفیس اور ایک مختصر کیپچر دیکھیں۔

ip -br link
tcpdump -ni tun0 -c 10 'tcp port 443'

لنک کی فہرست موجود ٹنلیں اور جسمانی انٹرفیس دکھاتی ہے، اور کیپچر دکھاتا ہے کہ وہاں جڑا سینسر بالکل کیا وصول کرے گا۔ اگر یہ اندرونی پتے دکھاتا ہے مگر HTTP درخواست کی سطریں نہیں، تو آپ VPN کے اختتام کے بعد ہیں اور ابھی بھی ایپلیکیشن کے TLS سے باہر ہیں۔ یہ نیٹ ورک کی شناخت کے لیے معمول کی جگہ ہے اور مواد کے معائنے کے لیے غلط جگہ ہے۔ دوسری حد کیا ظاہر کرتی ہے اس کا موازنہ کرنے کے لیے بیرونی انٹرفیس پر کیپچر دہرائیں۔

غیر فعال شناخت خود بلاک نہیں کر سکتی

Snort کی معائنہ دستاویزات غیر فعال مشاہدے کو اِن لائن عمل سے الگ کرتی ہیں۔ غیر فعال موڈ اس راستے پر روکے بغیر ٹریفک کے بارے میں انتباہ کر سکتا ہے۔

snort -T -c /etc/snort/snort.lua

ٹیسٹ موڈ سینسر چلائے بغیر کنفیگریشن کی تصدیق کرتا ہے، جو کسی بھی تعیناتی سے پہلے درست پہلا قدم ہے۔ اِن لائن عمل کے لیے موزوں پیکٹ حصول کا انتظام اور اس سے مطابقت رکھنے والی نفاذ کی کنفیگریشن درکار ہے، صرف ایک اضافی جھنڈا نہیں۔ اس لیے لاگ اندراج اس بات کا ثبوت نہیں کہ کسی درخواست کو روکا گیا، اور اِن لائن جیسے اختیار کے ساتھ شروع کیا گیا عمل یہ ثابت نہیں کرتا کہ حقیقی طور پر آگے بھیجا گیا بہاؤ اس سے گزرتا ہے۔ تصدیق کریں کہ نفاذ واقعی پیکٹ کہاں حوالے کرتا ہے۔

تعیناتی سے پہلے نفاذ کا موڈ منتخب کریں

فیصلہ کریں کہ تقاضا نظر آنا ہے یا روک تھام، کیونکہ دونوں کی ناکامی کی روش مختلف ہے۔ مرنے والا غیر فعال سینسر ٹریفک کو بہنے دیتا ہے اور نگرانی میں خلا پیدا کرتا ہے؛ مرنے والا اِن لائن آلہ ٹریفک کو گزرنے دے سکتا ہے یا روک سکتا ہے، اور یہ انتخاب جان بوجھ کر ہونا چاہیے۔ ایک اجازت شدہ بہاؤ، ایک بہاؤ جسے مسترد کرنا ہے، اور سینسر کی ناکامی پر مطلوبہ رویے پر اتفاق کریں۔ انتظامی بحالی کو معائنہ شدہ راستے سے الگ رکھیں، تاکہ سینسر کی غلطی آپ کی رسائی بھی نہ چھین لے۔

پھر نظر آنے والا ٹریفک، پروسیسنگ نقطہ اور نفاذ کا رویہ ریکارڈ کریں۔ نصب شدہ پیکیج نہیں، یہ تین حقائق بیان کرتے ہیں کہ تعیناتی واقعی کیا کرتی ہے۔