SSL VPN اور سائٹ سے سائٹ VPN ایک دوسرے کے مخالف کیوں نہیں
SSL VPN اور سائٹ سے سائٹ VPN مختلف محور بیان کرتے ہیں: کون نیٹ ورک میں شامل ہوتا ہے اور ٹنل کیسے بنتا ہے۔ دونوں کو ایک ساتھ کہنا زمرے کی غلطی ہے۔
دو منتظمین سے ایک ہی VPN بیان کرنے کو کہیں؛ ایک «SSL VPN» کہہ سکتا ہے جبکہ دوسرا «سائٹ سے سائٹ» کہے، جیسے دونوں مینو میں رقیب اختیارات ہوں۔ یہ مختلف سوالات کے جواب ہیں، اور انہیں متبادل سمجھنا ایسی موازنے پیدا کرتا ہے جنہیں حل نہیں کیا جا سکتا۔ ایک لیبل بتاتا ہے کون سے سرے جوڑے جاتے ہیں؛ دوسرا بتاتا ہے کہ ان کے درمیان ٹریفک کیا لے کر جاتا ہے۔ محور الگ رکھیں تو بحث کا بیشتر حصہ غائب ہو جائے گا۔
دو لیبل، دو الگ سوالات
ٹوپولوجی بتاتی ہے کون کس میں شامل ہوتا ہے۔ ریموٹ رسائی کا ڈیزائن انفرادی صارفین یا آلات کو گیٹ وے سے جوڑتا ہے، عام طور پر فی صارف شناخت اور پتوں کے تالاب کے ساتھ۔ سائٹ سے سائٹ ڈیزائن دو نیٹ ورک گیٹ ویز کے ذریعے جوڑتا ہے، اس لیے دلچسپ شناخت ساتھی گیٹ وے ہے، کی بورڈ کے سامنے بیٹھا شخص نہیں۔ یہ مختلف عملی مسائل ہیں، پتہ منصوبہ بندی سے لے کر رات 2 بجے کون رسائی منسوخ کر سکتا ہے تک۔
میکانزم بتاتا ہے ٹنل کیسے بنتا اور تصدیق ہوتا ہے۔ IKEv2 کے ساتھ IPsec، اندر IP لے جانے والی TLS پر مبنی مصنوع، اور براؤزر کی طرف ایپلیکیشن پورٹل میکانیزم کے انتخاب ہیں، اور ہر ایک کی اپنی بات چیت، سائفر سیٹ اور ناکامی کے طریقے ہیں۔ ان میں سے کوئی ٹوپولوجی کا اشارہ نہیں دیتا، اور ٹوپولوجی میکانیزم منتخب نہیں کرتی۔
دونوں محور ایک جدول میں رکھیں، الجھن نظر آئے گی، کیونکہ گرڈ کا ہر خانہ بھرا جا سکتا ہے۔ جدول جو نہیں کر سکتا وہ یہ بتانا ہے کہ آپ کے فروشندے نے کون سا امتزاج بھیجا، کیونکہ مصنوعات کے نام دونوں محور ایک مارکیٹنگ جملے میں سمونے دیتے ہیں۔
زمرے کی غلطی کہاں سے آتی ہے
فروشندوں نے برسوں «SSL VPN» کو «IPsec VPN» کے مخالف کے طور پر بیچا، جس نے میکانیزم کے موازنے کو ٹوپولوجی کے انتخاب جیسا دکھایا۔ یہ جملہ اپنی ہی شرائط پر بری طرح پرانا پڑ گیا ہے، کیونکہ آج کے ڈیزائن معاون TLS ورژن استعمال کرتے ہیں اور SSL نام بنیادی طور پر مصنوع کی قسم کے طور پر باقی ہے۔
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
اسی سمٹنے سے دو متعلقہ خرافات نکلتی ہیں۔ پہلی یہ کہ IPsec کا مطلب سائٹ سے سائٹ ہے؛ IKEv2 کلائنٹ سے گیٹ وے تعلقات کے لیے بھی ڈیزائن کیا گیا تھا، اس لیے ایک لیپ ٹاپ IPsec کے ساتھ شامل ہو سکتا ہے۔ دوسری یہ کہ TLS پر مبنی مصنوع کا مطلب صرف ریموٹ رسائی ہے؛ OpenVPN عام طور پر دو سائٹس کے درمیان ٹریفک لے جانے کے لیے استعمال ہوتا ہے، اور اس کا TLS استعمال براؤزر سیشن میں نہیں بلکہ کنٹرول اور تصدیق کے تبادلے میں مرکوز ہے۔
کسی بھی وضاحت کے لیے مفید امتحان: اگر ایک لفظ بدلنے سے سرے اور پروٹوکول دونوں بدل جائیں تو جملہ محور ملا رہا ہے۔ «SSL VPN بمقابلہ سائٹ سے سائٹ» اس امتحان میں ناکام رہتا ہے، کیونکہ پہلی اصطلاح میکانیزم کے خاندان اور دوسری ٹوپولوجی کو نام دیتی ہے۔
تعیناتی کو اس طرح بیان کریں کہ موازنہ ہو سکے
چار خانے لکھیں اور بھریں: سرے، میکانیزم، تصدیق اور رسائی کی سطح۔ شاخ کا لنک دو نامزد پریفکس کے درمیان سند تصدیق کے ساتھ اور صارف سطح کے پورٹل کے بغیر IKEv2 گیٹ وے جوڑے کے طور پر پڑھا جا سکتا ہے۔ ریموٹ رسائی سروس کو ہر صارف کے لیے پتے مختص کرنے والے، لاگ ان پر دوسرا عنصر مانگنے والے اور صرف اندرونی DNS زون شائع کرنے والے TLS پر مبنی کلائنٹ کے طور پر پڑھا جا سکتا ہے۔
وہ جملے اس طرح موازنے کے قابل ہیں جیسے مصنوعات کے نام نہیں۔ دو ریموٹ رسائی ڈیزائن ایک ہی صارف ورک فلو اور ایک ہی منسوخی راستے کے مقابلے میں ناپے جا سکتے ہیں، اور دو بین السائٹ ڈیزائن ایک ہی پریفکس فہرست، ٹریفک پالیسی اور ناکامی کی ضروریات کے مقابلے میں۔ لیبل موازنے کو منظم کرتے ہیں؛ اس کی جگہ نہیں لیتے۔
اصطلاحات کی ایک شائع شدہ بنیاد بھی ہے۔ IETF کی VPN اصطلاحات کی دستاویز کئی سروس ماڈلز، بشمول ریموٹ رسائی اور سائٹ سے سائٹ، کو ان میکانیزموں سے الگ کرتی ہے جن سے وہ بنائے جاتے ہیں، اور یہی وہ فرق ہے جو بار بار کھو جاتا ہے۔
مصنوع کا نام نہیں، طے شدہ پروٹوکول پڑھیں
ڈبے کا لیبل طے نہیں کرتا کہ چلتی ٹنل کس بات پر متفق ہوئی۔ TLS کی طرف ساتھی سے براہ راست پوچھیں اور بروشر کے ورژن کی بجائے مصافحے سے پیدا شدہ پروٹوکول ورژن اور سائفر پڑھیں۔
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec گیٹ وے کے لیے مساوی مشاہدہ عمل درآمد کے اپنے حالت کے آؤٹ پٹ سے آتا ہے، جو زیر استعمال IKE اور ESP تجاویز کی اطلاع دیتا ہے۔ بہر حال بات ایک ہی ہے: میکانیزم کا محور زندہ سیشن سے پڑھنا ہوگا، کیونکہ کلائنٹ اور گیٹ وے دونوں منتظمین کی توقع سے پرانی چیز پر نیچے بات چیت کر سکتے ہیں۔
ipsec statusall | grep -E "IKE|ESP"اس کے بعد باقی سوالات وہ ہیں جن کا کوئی لیبل جواب نہیں دیتا۔ کون سے پروٹوکول ورژن اب بھی قبول ہیں، گیٹ وے کی شناخت کیسے تصدیق ہوتی ہے، کون سا الگورتھم سیٹ اجازت یافتہ ہے، کون مخصوص صارف کو مخصوص وسیلے کے لیے مجاز کرتا ہے، اور آلہ گم ہونے پر کیا رسائی منسوخ کرتا ہے۔ ٹوپولوجی خاکہ اور میکانیزم کا نام اس فہرست کی شروعات ہیں، اس کا متبادل نہیں۔
لہٰذا دو لیبل رکھیں، لیکن انہیں اسی لیے استعمال کریں جو وہ ہیں: یہ بتانے کا مختصر طریقہ کہ کون سے سرے جوڑے جاتے ہیں اور ٹنل کیسے بنتا ہے۔ جس لمحے ایک کو دوسرے کے خارج کرنے کے لیے استعمال کیا جائے، وضاحت کسی چیز کی وضاحت کرنا چھوڑ دیتی ہے۔