strongSwan vips: IKEv2 سے ورچوئل پتہ مانگنا

آپ کا IKEv2 کلائنٹ گیٹ وے سے اندرونی پتہ مانگ سکتا ہے، اور گیٹ وے فیصلہ کرتا ہے کہ کیا واپس بھیجنا ہے۔ strongSwan میں وہی درخواست vips سیٹنگ ہے، اور اس میں کوئی مخصوص پتہ لکھنے پر بھی یہ درخواست ہی رہتی ہے۔ نیچے دیا گیا رہنما درخواست ترتیب دیتا ہے، اسے لوڈ کرتا ہے اور جو واپس آیا اسے پڑھتا ہے، کیونکہ یہ تین قدم تین مختلف طریقوں سے ناکام ہوتے ہیں۔ ان میں سے کوئی بھی زور سے ٹائپ کرنے سے چھوٹا نہیں ہوتا۔

vips کیا مانگتا ہے، اور کیا وعدہ نہیں کر سکتا

vips کنکشن کی تعریف کے اندر رہتا ہے اور جواب دہندہ سے ورچوئل پتہ مانگتا ہے۔ strongSwan کی ورچوئل پتوں کی گائیڈ واضح کہتی ہے کہ جواب کوئی دوسرا پتہ ہو سکتا ہے، یا کچھ بھی نہیں، اور لوگ یہی جملہ چھوڑ دیتے ہیں جب وہ کوئی قدر لکھ کر اس کے ظاہر ہونے کی توقع کرتے ہیں۔ درخواست پھر بھی کرنے کے قابل ہے، کیونکہ آپ جس چیز کی جانچ کرتے ہیں وہ جواب ہے۔ سیٹنگ کو پوچھنے کی ہدایت سمجھیں، نتیجے کی ترتیب کے طور پر نہیں۔

0.0.0.0 مانگنا کسی بھی دستیاب IPv4 ورچوئل پتے کی درخواست ہے، جو عام طور پر درست ہوتا ہے جب درست قدر اہم نہ ہو۔ مخصوص پتہ مانگنا گیٹ وے کے لیے ایک اشارہ ہے، اس پر مطالبہ نہیں۔

swanctl ٹکڑا اور اس کا مقام

سیٹنگ کنکشن بلاک کے اندر بیٹھتی ہے، نہ اپنی علیحدہ فائل میں اور نہ آپریٹنگ سسٹم پروفائل میں۔ یہ الگ کیا گیا ٹکڑا شکل دکھاتا ہے:

connections {
  net {
    local_addrs = 192.0.2.10
    remote_addrs = 203.0.113.5
    vips = 10.77.0.31
    children {
      net { local_ts = dynamic remote_ts = 10.77.0.0/24 }
    }
  }
}

اسے کنکشن کی مالک فائل سے لوڈ کریں، پھر کنکشن شروع کریں اور نتیجہ پڑھیں۔ غلط حصے میں چپکایا گیا ٹکڑا پارس خرابی دیتا ہے یا، اس سے بدتر، ایسا کنکشن دیتا ہے جو اس درخواست کے بغیر لوڈ ہوتا ہے جو آپ نے کی سمجھی تھی۔ تینوں کمانڈز ترتیب سے چلائیں اور آؤٹ پٹ رکھیں۔

swanctl --load-all --file /etc/swanctl/swanctl.conf
swanctl --initiate --child net
swanctl --list-sas

local_ts ٹریفک چنتا ہے، پتہ نہیں بناتا

local_ts اس ٹریفک سیٹ کا نام دیتا ہے جسے چائلڈ SA محفوظ رکھتا ہے؛ یہ انٹرفیس پر پتہ نہیں رکھتا۔ ایک بار ورچوئل IP پر بات چیت ہو جانے کے بعد strongSwan اپنا ڈیفالٹ متحرک منتخب کنندہ استعمال کرنا چھوڑ دیتا ہے اور اس کے بجائے دیا گیا پتہ استعمال کرتا ہے۔ اگر آپ منتخب کنندہ کو لفظی پتے پر پن کرتے ہیں تو آپ ایسی بات کا دعویٰ کرتے ہیں جو گیٹ وے نے شاید مختص نہ کی ہو، اور اسی لیے ناکامی کام کرتے SA کی صورت میں دکھائی دیتی ہے جس کا ٹریفک کہیں نہیں جا رہا۔ منتخب کنندہ ٹریفک بیان کرتا ہے، جبکہ مختص کرنا دوسری ادل بدل سے آتا ہے۔

مستحکم اندرونی پتہ حاصل کرنے کا دوسرا طریقہ یہ ہے کہ اسے مقامی طور پر رکھا جائے۔ سرنگ اوپر آنے سے پہلے پتہ انٹرفیس پر رکھیں، منتخب کنندہ کو اس چیز کی طرف موڑیں جو پہلے سے موجود ہے، اور ساتھی اور راستے کو اس کے گرد ترتیب دیں۔

اس ڈیزائن میں کچھ بھی طے نہیں ہوتا، اس لیے کچھ بھی دوبارہ مختص نہیں ہو سکتا، اور یہی سودا ہے: پتہ لگانے کا کام خود کرنے کے بدلے میں قطعیت۔ یہ vips کی کوئی قسم نہیں، الگ طریقہ کار ہے، اسی لیے دونوں کو ایک کنکشن میں نہیں ملانا چاہیے۔ طے شدہ پتے کے ساتھ پن کیا ہوا منتخب کنندہ ایسا کنکشن ہے جو کام کرتا ہے جب تک گیٹ وے کچھ اور تقسیم نہ کر دے۔

جانچیں کہ جواب دہندہ نے واقعی کیا مختص کیا

گیٹ وے کے دیے گئے پتے کے لیے SA فہرست پڑھیں، پھر تصدیق کریں کہ پتہ انٹرفیس پر موجود ہے۔ اگر دونوں میں مطابقت نہ ہو تو سرنگ اوپر ہے اور ٹریفک وہاں نہیں جا رہا جہاں آپ سمجھتے ہیں۔ دیا گیا پتہ جو کبھی انٹرفیس تک نہ پہنچے، اس ترتیب میں سب سے زیادہ الجھانے والی ناکامی ہے، کیونکہ ہر آدھا الگ دیکھنے پر درست لگتا ہے۔

اپنی نوٹوں میں چار پتے الگ رکھیں: مانگا گیا اندرونی پتہ، دیا گیا پتہ، مشین کا LAN پتہ، اور کوئی ویب سائٹ جو عوامی اخراج بتاتی ہے۔ وہ مختلف تہوں سے تعلق رکھتے ہیں اور مختلف جگہوں پر ظاہر ہوتے ہیں۔ چاروں کو درج کرنے والا رہنما ایسا ہوتا ہے جسے کوئی اور یہ پوچھے بغیر اپنائے کہ آپ کا مطلب کون سا پتہ تھا۔ ہر دوبارہ لوڈ کے بعد انہیں پھر پڑھیں، کیونکہ دی گئی قدر ہی واحد قدر ہے جو زندہ سرنگ بیان کرتی ہے۔

مستقل ڈیزائن الگ رکھیں

اگر آپ کو مستقل اندرونی پتہ چاہیے تو گیٹ وے پر ریزرویشن کا انتظام کریں اور کلائنٹ کی درخواست کو درخواست ہی رہنے دیں۔ پن کیے ہوئے منتخب کنندہ کو طے شدہ پتے کے ساتھ ملانا ایسا کنکشن دیتا ہے جو کام کرتا ہے جب تک گیٹ وے کچھ اور مختص نہ کرے۔ کنکشن کے ساتھ ریزرویشن کا قاعدہ لکھیں، کیونکہ یہی وہ حصہ ہے جو ساتھی کنفگ فائل سے نہیں نکال سکتا۔ پھر نیا کلائنٹ قاعدہ دوبارہ دریافت کرنے کے بجائے ورثے میں پاتا ہے۔

بلٹ اِن Mac کلائنٹ میں ان میں سے کوئی آپشن نام موجود نہیں۔ گیٹ وے جو بھی مختص کرنا یا ریزرویشن دے اور آپریٹر جو پروفائل شائع کرے، وہ استعمال کریں، اور مختص کرنے کو دوبارہ پڑھنے تک کلائنٹ کی طرف کی کسی بھی قدر کو اشارہ سمجھیں۔ واپس کرنا یعنی vips لائن ہٹا کر دوبارہ لوڈ کرنا، جو آپ کو اس حالت میں لوٹاتا ہے جو گیٹ وے بطور ڈیفالٹ مختص کرتا ہے۔