SSH باسٹین یا براہِ راست VPN رسائی: کون سی پالیسی لاگو ہوتی ہے؟

کیا VPN صارفین جمپ ہوسٹ سے گزرے بغیر سرورز تک پہنچ سکتے ہیں، یہ نیٹ ورکنگ کا لباس پہنے ہوئے پالیسی کا سوال ہے۔ اگر باسٹین کوئی لازمی کنٹرول انجام دیتا ہے تو VPN میں شامل ہونا اسی کی طرف لے جانا چاہیے، اس کے گرد نہیں۔ اگر جمپ ہوسٹ صرف اس حصے کو جوڑتا تھا جو پہلے ناقابلِ رسائی تھا تو ایک تنگ براہِ راست راستہ دیانت دار متبادل ہو سکتا ہے۔ نیچے دی گئی جانچیں ترتیب سے کریں اور پہلی ناکام جانچ پر رک جائیں، کیونکہ وہی جواب باقی کا فیصلہ کرتا ہے۔

جانچیں کہ باسٹین درحقیقت کیا کنٹرول کرتا ہے

ڈیزائن دستاویز کے نقشے سے نہیں، موجودہ حالت کے شواہد سے شروع کریں۔ ہدف کی SSH تشکیل اور پیکٹ فلٹر دیکھیں: اگر آنے والا پورٹ 22 صرف باسٹین کے پتے سے قبول ہوتا ہے تو جمپ ہوسٹ ایک مسلط کردہ کنٹرول ہے۔ اگر وہی پورٹ پورے VPN پول سے کنکشن قبول کرتا ہے تو باسٹین صرف سہولت تھا اور نفاذ کہیں اور مکمل طور پر رہتا ہے۔ ٹکٹ کی تاریخ عام طور پر تصدیق کرتی ہے کہ دونوں میں سے پہلے کون موجود تھا۔

باسٹین کی فراہم کردہ کنٹرول کا نام لینے والے ایک جملے میں نتیجہ بیان کریں: منزل کی حد، دوسرا توثیقی مرحلہ، سیشن کی ریکارڈنگ، یا کسی واقعے کے دوران عملی مرئیت۔ وہی جملہ متبادل پالیسی کو محفوظ رکھنا ہے۔

جانچیں کہ ہدف راستوں میں فرق کر سکتا ہے یا نہیں

ماخذ پتے کے قواعد صرف اس وقت تک کام کرتے ہیں جب تک دونوں راستے مختلف ماخذ پتوں کے ساتھ آئیں۔ سرور ذیلی نیٹ کی طرف ٹریفک کو ماسک کرنے والا VPN گیٹ وے وہ فرق مٹا دیتا ہے، پھر پورٹ 22 پر ہر کنکشن گیٹ وے سے آیا ہوا معلوم ہوتا ہے۔ جانچ ہدف پر ہی مقامی ہے اور ایک لمحہ لیتی ہے: قائم شدہ SSH سیشنز کی فہرست بنائیں اور ہر ایک کا ساتھی پتہ پڑھیں۔

جب دونوں راستے ایک پتے میں سمٹ جائیں تو فرق پہلے کرنا ہوگا: VPN کو کن منزلوں کی طرف بھیجنے کی اجازت ہے اور گیٹ وے کے اپنے فلٹرز کے ذریعے۔ ایسی حالت میں ہدف پر قاعدہ شامل کرنا آنے والی چیز کو بدلے بغیر حد کا بھرم پیدا کرتا ہے۔

جانچیں کہ ہر ریکارڈ درحقیقت کیا رکھتا ہے

تین مختلف لاگز تین مختلف واقعات بیان کرتے ہیں اور کوئی ایک دوسرے کی جگہ نہیں لیتا۔ VPN کا کنکشن ریکارڈ دکھاتا ہے کہ ایک شناخت نیٹ ورک کے دائرے میں داخل ہوئی۔ باسٹین کا فارورڈنگ ریکارڈ دکھاتا ہے کہ ایک TCP چینل اسے چھوڑ کر منزل اور پورٹ کی طرف جا رہا ہے۔ ہدف کا توثیقی لاگ دکھاتا ہے کہ کسی اکاؤنٹ نے SSH کے ذریعے سائن اِن کیا۔ انہیں ساتھ پڑھنا ہی ٹائم لائن بناتا ہے؛ صرف ایک پڑھنا اندازہ بناتا ہے۔

ان میں سے کوئی ریکارڈ یہ نہیں رکھتا کہ کلائنٹ اور ہدف کے درمیان خفیہ کردہ سیشن کے اندر کیا ہوا۔ اگر کمانڈ کی سطح پر جائزہ لازمی ہے تو اس کے لیے اپنے ڈیٹا ہینڈلنگ قواعد کے ساتھ جان بوجھ کر نصب شدہ ریکارڈنگ نظام درکار ہے۔ جمپ ہوسٹ لاگز سے اس کی توقع کرنا وہی راستہ ہے جس سے آڈٹ کا خلا اہم ہونے تک پوشیدہ رہتا ہے۔

جانچیں کہ پالیسی درحقیقت کہاں نافذ ہوتی ہے

ProxyJump جیسی کلائنٹ سیٹنگ ایک درخواست ہے، پابندی نہیں۔ جب منزل قابلِ رسائی ہو تو OpenSSH خوشی سے براہِ راست کنکشن کھول دے گا، اس لیے لیپ ٹاپ کی تشکیل فائلیں ارادہ بیان کرتی ہیں جبکہ فائر وال نتائج کا فیصلہ کرتے ہیں۔ نفاذ VPN گیٹ وے کی اجازت یافتہ منزلوں اور ہدف کے اپنے رسائی قواعد میں ہے، اور صارف ان میں سے کسی کو تبدیل نہیں کر سکتا۔ ساتھ ہی متبادل راستوں کا آڈٹ کریں: دوسرا انٹرفیس، عوامی سننے والا، میش پرت یا پرانا سائٹ سے سائٹ سرنگ — ان میں سے ہر ایک آپ کا ابھی بند کیا ہوا شارٹ کٹ بحال کر سکتا ہے۔

پھر بھی ProxyJump ترتیب دیں، کیونکہ یہ منظور شدہ راستے کو آسان بناتا ہے اور معمول کے کام کو استثنائیں پیدا کرنے سے روکتا ہے۔ اعتماد کرنے سے پہلے تصدیق کریں کہ کلائنٹ درحقیقت کیا حل کرتا ہے۔

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

جان بوجھ کر کی گئی براہِ راست کوشش سے تصدیق کریں

جو پالیسی کبھی پرکھی نہیں گئی وہ امید ہے۔ VPN سے منسلک کلائنٹ سے اس راستے کی کوشش کریں جو اب مسترد ہونا چاہیے، پھر منظور شدہ کی کوشش کریں، اور دونوں نتائج رکھیں۔ مسترد شدہ کوشش ہی اس بات کا ثبوت ہے کہ تبدیلی نافذ ہوئی۔

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

صاف نتیجہ ہدف کے پتے کی طرف مسترد شدہ یا وقت گزرا ہوا براہِ راست کنکشن جیسا دکھائی دیتا ہے، جس کے بعد جمپ ہوسٹ پر کامیاب سائن اِن اور ہدف کی طرف معاون ماخذ کا نام لینے والی توثیقی اندراج آتی ہے۔ اس کے سوا کچھ بھی ہو تو حد اب بھی سوراخ والی ہے، دستاویز کچھ بھی کہے۔ تاریخ، تبدیل شدہ قاعدہ اور دونوں نتائج درج کریں، پھر بازیابی کے راستے کو ایک مالک اور ایک اختتامی تاریخ دیں تاکہ ہنگامی رسائی خاموشی سے روزمرہ راستہ نہ بن جائے۔