ایک Mac اسکرین کے لیے مقامی SSH فارورڈنگ یا مکمل VPN؟

آپ کو اپنی مشین سے ایک Mac کی اسکرین دیکھنی ہے، Mac اُس ہوسٹ کے پیچھے ہے جس سے آپ پہلے ہی SSH کر سکتے ہیں، اور سوال یہ ہے کہ کیا یہ VPN کے لائق ہے۔ عام طور پر نہیں۔ ایک مقامی فارورڈنگ آپ کے پاس پہلے سے موجود SSH سیشن کے ذریعے ایک TCP پورٹ لے جاتی ہے، اور ایک ہوسٹ پر ایک اسکرین کے لیے یہ پورے نیٹ ورک کو روٹ کرنے سے چھوٹی اور زیادہ جانچنے کے قابل ترتیب ہے۔

تین شرطیں اس کا فیصلہ کرتی ہیں، اور ان میں سے کوئی بھی آپ کو منظم VPN کی طرف دھکیل سکتی ہے۔

تین شرطیں اس کا فیصلہ کرتی ہیں

پہلی دائرہ ہے: ایک ہوسٹ پر ایک سروس، یا کئی ہوسٹ اور کئی پورٹ۔ دوسری یہ ہے کہ باسٹین اور ہدف کے درمیان ہر چھلانگ پہلے ہی قابلِ اعتماد ہے یا نہیں، کیونکہ SSH صرف اُس حصے کی حفاظت کرتا ہے جسے وہ ختم کرتا ہے۔ تیسری یہ ہے کہ یہ ترتیب بنانے کے بعد اس کی دیکھ بھال کون کرے گا، کیونکہ ہاتھ سے بنی سرنگ عموماً اُس شخص سے زیادہ جیتی ہے جس نے اسے سمجھا تھا۔ شروع کرنے سے پہلے اُس شخص کا نام لیں، اور حکم کو ایسی جگہ لکھیں جہاں وہ اسے پا سکے۔ بغیر دستاویز کے فارورڈنگ ایک مستقبل کا واقعہ ہے جس کی ابتدا کی تاریخ مؤخر ہے۔

اگر جواب «ایک»، «ہاں» اور «میں، فی الحال» ہیں تو فارورڈنگ درست اوزار ہے۔ اگر کوئی بھی جواب بدل جائے تو معاون ریموٹ رسائی کا ڈیزائن ایک سال میں بغیر دستاویز سرنگ کے بعد آنے والے واقعے کے جائزے سے سستا پڑتا ہے۔

ایک پورٹ فارورڈ کریں، نیٹ ورک نہیں

مقامی فارورڈنگ آپ کی مشین پر ایک سننے والا کھولتی ہے اور ہر کنکشن کو SSH سرور کے ذریعے اُس منزل تک بھیجتی ہے جہاں وہ سرور پہنچ سکتا ہے۔ اُس Mac کے لیے جس کی اسکرین شیئرنگ سروس TCP 5900 پر سنتی ہے، اور اُس باسٹین کے لیے جو mac.corp.example حل کر سکے، حکم مختصر اور جان بوجھ کر تنگ ہے۔ اس میں ہر اختیار ترتیب کو چھوٹا رکھنے کے لیے ہے: کوئی شیل نہیں، تمام انٹرفیس پر سننے والا نہیں، کوئی ڈیمن نہیں۔ اسے ترکیب نہیں، دائرے کا بیان سمجھ کر پڑھیں۔

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

سننے والے کو 127.0.0.1 سے باندھنا اسے ہر دوسرے انٹرفیس سے دور رکھتا ہے۔ یہ رسم نہیں: تمام انٹرفیس سے بندھی فارورڈنگ آپ کے لیپ ٹاپ کو اُسی کیفے کے Wi-Fi پر ہر کسی کے لیے کارپوریٹ نیٹ ورک میں کھلا ریلے بنا دیتی ہے۔ اگر پورٹ پہلے سے استعمال میں ہے تو دوسرا اونچا پورٹ منتخب کریں اور ویوور اپ ڈیٹ کریں؛ مثال کے موافق ہونے کے لیے غیر متعلق سروس بند نہ کریں۔

باسٹین پر اکاؤنٹ کو بھی اُس منزل تک فارورڈ کرنے کی اجازت درکار ہے۔ کچھ سخت SSH ترتیبات پورٹ فارورڈنگ کو مکمل بند کر دیتی ہیں، اور کچھ اسے permit-listen یا permit-open ہدایت سے محدود کرتی ہیں۔ یہ ماننے سے پہلے کہ مسترد شدہ چینل کا مطلب پاس ورڈ غلط تھا، سرور کی پالیسی پڑھیں۔

SSH کیا خفیہ کرتا ہے، اور کہاں رکتا ہے

SSH سیشن آپ کے Mac سے باسٹین تک ٹریفک کی حفاظت کرتا ہے، اور فارورڈنگ VNC پروٹوکول کو سمجھے بغیر اُسی سیشن کے اندر لے جاتی ہے۔ جیسے ہی کنکشن باسٹین چھوڑ کر ہدف کی طرف جاتا ہے، وہ آپ کے SSH سیشن کے اندر نہیں رہتا۔ اُس آخری چھلانگ پر جو بھی حفاظت ہو، وہ ہدف کے پروٹوکول اور نجی نیٹ ورک کے اپنے کنٹرول کی ہے۔

اسی لیے سادہ آخری VNC چھلانگ کو صرف اس بنا پر سرے سے سرے تک خفیہ نہیں کہا جانا چاہیے کہ پہلی چھلانگ نے SSH استعمال کیا۔ حصوں کو دیانت سے بیان کریں: کلائنٹ سے باسٹین تک مضبوط، اور پھر جو ہدف معاونت کرتا ہے۔ اگر تقاضا یہ ہو کہ پورا راستہ ایک ہی طریقہ کار سے خفیہ ہو، تو فارورڈنگ اسے پورا نہیں کرتی۔

ہدف پر تصدیق پھر الگ معاملہ ہے۔ SSH اکاؤنٹ macOS میں لاگ اِن نہیں دیتا، اور اسکرین شیئرنگ سروس اب بھی اپنی اسناد مانگتی ہے اور اب بھی اپنی رسائی فہرست لاگو کرتی ہے۔ کنکشن قبول کرنے والا مقامی سننے والا اس بارے میں کچھ ثابت نہیں کرتا کہ دور دراز سروس سیشن قبول کرے گی یا نہیں۔

مکمل VPN کب درست فیصلہ ہے

VPN منتخب کریں جب کام کو ایک سے زیادہ پورٹ درکار ہوں: Apple Remote Desktop کے انتظام اور رپورٹنگ کے افعال اضافی TCP اور UDP ٹریفک استعمال کرتے ہیں جو ایک TCP فارورڈنگ نہیں لے جا سکتی۔ فارورڈنگ پوری مصنوعات کا جزوی نفاذ نہیں؛ یہ ایک مختلف، چھوٹا اوزار ہے۔

اسے تب منتخب کریں جب کئی منتظمین بدلتے مقامات سے جڑتے ہیں، کیونکہ منظم پروفائل ہر فرد کو کمانڈ لائن ایجاد کیے بغیر راستے، اسناد اور پالیسی تقسیم کرتا ہے۔ اسے تب منتخب کریں جب آڈٹ ریکارڈ دکھانا ہو کہ کون کس سے جڑا، کیونکہ فی صارف SSH سیشن اور مشترکہ مقامی فارورڈنگ بہت مختلف ریکارڈ چھوڑتے ہیں۔

آخر میں، اسے تب منتخب کریں جب ہدف نیٹ ورک تک لیپ ٹاپ سے تنظیم کے اپنے دروازے کے بغیر بالکل رسائی نہ ہونی چاہیے۔ ذاتی فارورڈنگ ڈیزائن کے مطابق اُس دروازے کو نظرانداز کرتی ہے، اور اسی لیے وہ شیل کی تاریخ میں نہیں بلکہ تبدیلی کے ریکارڈ میں آتی ہے۔

فارورڈنگ کو بلند آواز میں ناکام ہونے دیں

ExitOnForwardFailure=yes استعمال کریں تاکہ ناکام بندھن سیشن روک دے، بجائے ایسا شیل چھوڑنے کے جو جڑا ہوا دکھائی دے اور کچھ فارورڈ نہ کرے۔ ہوسٹ کی چابی کی تصدیق آن رکھیں، اور پاس ورڈ کی بجائے چابی یا ایجنٹ کو ترجیح دیں۔ پھر وہ درست URL آزمائیں جو ویوور استعمال کرے گا، کیونکہ کام کرنے والا SSH سیشن اور کام کرنے والا اسکرین کنکشن دو مختلف نتائج ہیں۔

macOS کے مقامی کلائنٹ کے لیے، ویوور تک مقامی URL کے ذریعے پہنچا جاتا ہے: open "vnc://127.0.0.1:15900"۔ اگر ونڈو کھلے اور دور دراز ہوسٹ تصدیق مسترد کرے، تو سرنگ ٹھیک ہے اور مسئلہ ہدف پر ہے۔ اگر ونڈو کبھی نہ کھلے، تو مسئلہ سننے والے یا پورٹ میں ہے۔

کام ختم ہونے پر سیشن روکیں، اور پورٹ، باسٹین، ہدف اور اکاؤنٹ پالیسی لکھ لیں۔ جس فارورڈنگ کو کسی نے دستاویز نہیں کیا، چھ ماہ بعد اُسے پچھلے دروازے سے الگ نہیں پہچانا جا سکتا، اور یہی اسے چھوٹا، نام رکھنے والا اور عارضی رکھنے کی سب سے مضبوط دلیل ہے۔