pfSense میں اسٹیٹک ٹنل پتے: ترجیح یا ریزرویشن؟

دو ڈیزائن کاغذ پر ایک جیسے لگتے ہیں اور جب کوئی قاعدہ ان پر منحصر ہو تو بالکل مختلف برتاؤ کرتے ہیں۔ ایک کلائنٹ اوور رائیڈ میں پتہ لکھ کر پتے کو شناخت مانتا ہے۔ دوسرا ڈائنامک داخلہ مکمل بند کر دیتا ہے، چنانچہ اینڈ پوائنٹ کو یا تو منفرد تفویض ملتی ہے یا وہ جڑتا ہی نہیں۔ صرف دوسرا پتے کو قابلِ دفاع پالیسی اِن پٹ میں بدلتا ہے، اور فرق کو ایک بھی فائر وال قاعدہ لکھنے سے پہلے سمجھنا ضروری ہے۔

اوور رائیڈ پتہ دراصل کیا وعدہ کرتا ہے

کلائنٹ مخصوص اوور رائیڈ ہر کلائنٹ کے لیے اختیارات رکھتا ہے، جن میں ترجیحی ٹنل پتہ بھی شامل ہے۔ Netgate اس پتے کو ریزرویشن کے بجائے ترجیح کہتا ہے، یعنی ڈائنامک پول یہ پتہ کسی اور کے لیے نہیں چھوڑتا۔

یہ عام طور پر ٹھیک ہے۔ ٹکراؤ نادر ہے، اور کلائنٹ کو عموماً وہی ملتا ہے جو اس نے مانگا، جو سہولت کے لیے کافی ہے اور اجازت کے لیے کافی نہیں۔ سہولت اور اجازت مختلف تقاضے ہیں، اور ٹکراؤ میں صرف ایک ہی بچتا ہے۔

سب نیٹ ٹوپولوجی میں فیلڈ کلائنٹ کا پتہ سرور نیٹ ورک کے ماسک کے ساتھ لیتا ہے، اس لیے 10.90.0.0/24 ٹنل کے اندر کا پتہ 10.90.0.10/24 لکھا جاتا ہے۔

ان میں سے کوئی چیز نمبر محفوظ نہیں کرتی۔ جس کلائنٹ کا اوور رائیڈ میل نہ کھائے، یا نقل شدہ سیشن، پول میں کہیں اور جا سکتا ہے، اور پتے پر مبنی قاعدہ پھر ایسے شخص کو بیان کرتا ہے جو وہاں نہیں۔

ڈائنامک راستہ محدود ڈیفالٹ سے بند کریں

متبادل صرف اسٹیٹک سرور ہے: ہر منظور شدہ اینڈ پوائنٹ کی اپنی شناخت اور اپنا منفرد پتہ ہوتا ہے، اور کچھ اور اندر نہیں آتا۔

اسے نافذ کرنے کا مطلب ایک DEFAULT اوور رائیڈ ہے جو صرف اسی سرور تک محدود ہو اور کنکشن بلاکنگ فعال ہو۔ پھر میل کھاتے اوور رائیڈ کے بغیر کلائنٹ عام ڈائنامک داخلے پر واپس نہیں جا سکتا۔ یہی ایک سطر ترجیح کو بند مجموعے میں بدلتی ہے۔

دائرہ کار اہم ہے۔ ڈیوائس پر ہر VPN انسٹینس پر لاگو ڈیفالٹ اوور رائیڈ غیر متعلق ٹنلوں کو بند کر دے گا، اور یہ خرابی ٹوٹی ہوئی سروس جیسی لگتی ہے، پالیسی فیصلے جیسی نہیں۔ اسے اسی ایک سرور سے باندھیں جس کا داخلہ ماڈل آپ بدل رہے ہیں۔ پھر دائرہ کار کو تبدیلی کے ریکارڈ میں نوٹ کریں، کیونکہ اگلا شخص یاد نہیں رکھے گا کہ یہ کس ٹنل کا ہے۔

بعد میں پورا اجازت شدہ مجموعہ جانچیں۔ ڈیفالٹ بلاک بغیر پتے کے رہ جانے والے نامزد اوور رائیڈ کو درست نہیں کرتا، اور وہ اینڈ پوائنٹ بغیر واضح اشارے کے جڑ ہی نہیں سکے گا۔

اسی شناخت پر میل کریں جو سرور واقعی استعمال کرتا ہے

اوور رائیڈ کسی چیز پر میل کھاتا ہے۔ جس سرور پر سرٹیفکیٹ کے کامن نیم میل کھاتے ہیں، وہاں اوور رائیڈ کا نام وہی کامن نیم ہونا چاہیے، شخص کا ڈسپلے نام نہیں۔ اسے اکاؤنٹ فہرست کے بجائے سرٹیفکیٹ سے کاپی کریں۔

جو سرور صارف نام کو کامن نیم کے طور پر استعمال کرنے کے لیے ترتیب دیا گیا ہو وہ بالکل مختلف کلید پر میل کھاتا ہے، اور سرٹیفکیٹ کے نام پر رکھا اوور رائیڈ کبھی فعال نہیں ہوگا۔ سیٹنگ پڑھیں، اکاؤنٹ فہرست سے اندازہ نہ لگائیں۔

تعیناتی کے مطلوبہ اضافی تصدیقی عوامل برقرار رکھیں۔ بند پتہ ماڈل بدلتا ہے کہ کون جڑ سکتا ہے اور کون سا پتہ ملتا ہے؛ یہ سرٹیفکیٹ جانچ یا دوسرے عامل کا متبادل نہیں۔

نقشہ درست ہونے کے بعد رسائی قواعد لکھیں

شناخت سے پتے کا نقشہ بند ہونے کے بعد قواعد پتوں کا حوالہ دے سکتے ہیں بغیر یہ ظاہر کیے کہ وہ اشخاص ہیں۔ ایک شخص کے اینڈ پوائنٹس کو گروپ کرنے والا عرف خاص سروس تک پہنچ سکتا ہے جبکہ دوسرا عرف کسی اور چیز تک پہنچتا ہے۔ عرف قابلِ جائزہ شے بن جاتا ہے، اور پتہ اس کے اندر نفاذ کی تفصیل بن جاتا ہے۔

منزلیں اور پورٹس واضح رکھیں۔ پورے ٹنل پول سے پورے مقامی نیٹ ورک کی اجازت دینا بالکل وہی ڈیزائن ہے جسے یہ مشق بدلنے کے لیے تھی۔

فلوٹنگ، گروپ اور انٹرفیس قواعد ان کی حقیقی تشخیصی ترتیب میں پڑھیں، کیونکہ پہلا وسیع گزر گاہ بعد کے تنگ گزر کو بے اثر کر دیتا ہے۔ کلائنٹ سے کلائنٹ اندرونی فارورڈنگ بند کرنا ہم منصب ٹریفک کو اسی حد پر رکھتا ہے جہاں یہ قواعد جانچے جاتے ہیں۔ صرف کاغذ پر موجود قاعدہ نفاذ نہیں۔

منفی صورتیں آزمائیں

چار نئے کنکشن آزمائیں: ایک نامزد اینڈ پوائنٹ، ایک بالکل بغیر اوور رائیڈ، ایک سروس جو قابلِ رسائی ہونی چاہیے اور ایک جو نہیں ہونی چاہیے۔ فہرست میں نہ ہونے والا اینڈ پوائنٹ اہم صورت ہے، کیونکہ ڈیزائن اسی کو روکنے کے لیے ہے۔ اگر وہ جڑ جائے تو ڈیفالٹ بلاک اپنا کام نہیں کر رہا۔

IPv6 الگ سے جانچیں، کیونکہ IPv4 پتہ پالیسی دوسرے اسٹیک کے بارے میں کچھ نہیں کہتی۔ پھر تصدیق کریں کہ ایپلیکیشن اب بھی صارف کو مجاز کرتی ہے، کیونکہ ٹنل پتہ نیٹ ورک کی حقیقت ہے، اس بات کا ثبوت نہیں کہ کی بورڈ پر کون ہے۔ دونوں جانچیں قبولیت کے نوٹ میں شامل ہیں۔

آخر میں منتقلی کی منصوبہ بندی کریں۔ نئے اوور رائیڈ اور تنگ قواعد پہلے سے قائم سیشنز کو پس بہ روانی سے نہیں بدلتے، اس لیے موجودہ حالتیں ختم ہونی چاہئیں یا جان بوجھ کر صاف کی جائیں۔