TLS VPN بمقابلہ IPsec: پانچ ایسے میدان جن کا جائزہ لینا چاہیے
TLS VPN اور IPsec VPN کا موازنہ ریلیز، پروٹوکول ورژن، سوٹ، ہم منصب کی شناخت اور بے نقاب دائرہ کی بنیاد پر کریں، نیز اس ناکامی کے نتیجے کی بنیاد پر جو آپ نے واقعی ترتیب دیا۔
TLS VPNs کو IPsec VPNs کے ساتھ پروٹوکول خاندان کی بنیاد پر درجہ بندی کرنا ایسے سوال کا جواب دیتا ہے جو کسی نے نہیں پوچھا، اور عموماً ایسی ساخت کا حوالہ دیتا ہے جسے دونوں خاندانوں نے برسوں پہلے ترک کر دیا تھا۔ جائزہ لینے والا واقعی جس چیز کا اندازہ کر سکتا ہے وہ طے شدہ تحفظ، ہم منصب کی شناخت، کلائنٹ ماڈل اور بے نقاب خدمت ہے۔ یہ چار چیزیں تعیناتی میں نظر آتی ہیں اور ان میں سے کوئی بھی مصنوعات کے لیبل سے نہیں نکلتی۔ پانچ میدان مانگیں اور گفتگو ٹھوس ہو جاتی ہے۔
پانچ میدان، اور لیبل ان میں سے ایک نہیں
پہلا میدان معاون سافٹ ویئر ریلیز ہے، کیونکہ ورژن کے بغیر پروٹوکول کی وضاحت ایک کتابچہ ہے۔ دوسرا طے شدہ پروٹوکول ورژن ہے، جو فیصلہ کرتا ہے کہ کون سی ساختیں بنیادی طور پر دستیاب ہیں۔ تیسرا تحفظی سوٹ ہے، چوتھا ہم منصب اور صارف دونوں کے لیے تصدیق کا طریقہ، اور پانچواں وہ رسائی دائرہ ہے جو مصنوعات قبولیت کے بعد دیتی ہے۔
SSL VPN کا لیبل کم از کم تین مختلف مصنوعات کا احاطہ کرتا ہے: مکمل نیٹ ورک کلائنٹ، ایپلیکیشن پراکسی اور براؤزر پر مبنی پرانا پورٹل۔ یہ مختلف خدمات بے نقاب کرتے ہیں اور مختلف طرح ناکام ہوتے ہیں، اس لیے لیبل دائرے کے میدان کا متبادل نہیں بن سکتا۔
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
تصدیق شدہ خفیہ کاری واقعی کیا بدلتی ہے
TLS 1.3 تصدیق شدہ خفیہ کاری کا تقاضا کرتا ہے، جو پرانی MAC-then-encrypt ساخت کو پروٹوکول سے ہٹا دیتا ہے بجائے اس کے کہ اسے اختیاری چھوڑے۔ IPsec ESP میں بھی اتنے ہی عرصے سے تصدیق شدہ خفیہ کاری کے سوٹ موجود ہیں، اور AES-GCM اپنے الگ RFC میں بیان ہے۔ دونوں خاندانوں میں ضمانت خاندان کے نام سے نہیں بلکہ طے شدہ سوٹ سے آتی ہے، اسی لیے میدانوں کی فہرست ورژن سے شروع ہوتی ہے۔ جو جائزہ لینے والا سوٹ کا نام نہیں لے سکتا اس کے پاس جانچنے کو کچھ نہیں۔
اسی لیے تاریخی موازنہ گمراہ کن ہے۔ CBC سوٹ کے ساتھ پرانے TLS ورژن پر جکڑی تعیناتی اور AEAD سوٹ کے ساتھ TLS 1.3 چلانے والی تعیناتی ایک جیسی حفاظتی حالت نہیں، اگرچہ دونوں TLS VPN ہیں۔ یہی تقسیم IPsec کی طرف جدید ESP سوٹ اور پرانے امتزاج کے درمیان بھی موجود ہے۔
اپنی ارادے کی ترتیب کے بجائے طے شدہ اقدار پڑھیں۔ نیچے دیے گئے حکامات دکھاتے ہیں کہ ایک فعال اینڈ پوائنٹ اور فعال سرنگ نے واقعی کس بات پر اتفاق کیا۔
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasاگر اینڈ پوائنٹ TLS 1.3 پر بات چیت نہیں کرنا چاہتا تو یہ ایک دریافت ہے، ترجیح نہیں۔ اگر سرنگ ایسا سوٹ بتائے جس کی آپ توقع نہیں کر رہے تھے تو اہم ترتیب وہ ہے جو ہم منصبوں نے منتخب کی، نہ کہ سانچے والی۔
ہم منصب کی شناخت ایک الگ سوال ہے
تصدیق شدہ ہم منصب کے بغیر خفیہ کاری ٹریفک کو دیکھنے والوں سے بچاتی ہے اور اسے اس شخص کے حوالے کر دیتی ہے جس نے ارتباط کا جواب دیا۔ ہم منصب کی تصدیق پوچھتی ہے کہ کس شناخت کی توقع ہے، کون سا اعتماد کا مواد اسے درست ثابت کرتا ہے، اور جب جواب میل نہ کھائے تو کلائنٹ کیسا برتاؤ کرتا ہے۔ سرٹیفکیٹ زنجیر، جڑا ہوا کلید اور پیشگی مشترکہ راز تین مختلف جواب ہیں جن کے تین مختلف آپریشنل اخراجات ہیں۔
پھر صارف یا آلے کے بارے میں وہی سوالات پوچھیں۔ ایسا گیٹ وے جو مشین کی تصدیق کرے اور کسی بھی صارف کو داخل کرے، یا اس کے برعکس، ایک مخصوص موقف رکھتا ہے جسے لکھا جانا چاہیے نہ کہ فرض کیا جائے۔ قبولیت کے بعد لاگو وسائل کی اجازتیں اسی میدان کا حصہ ہیں، کیونکہ تصدیق اجازت نہیں ہے۔
میزبان نام اور سرٹیفکیٹ کی جانچ برقرار رکھنا لاگ ان ونڈو کی مانوسیت سے زیادہ اہم ہے۔ ایسا کلائنٹ جو تصدیق کو نظر انداز کرنے کے لیے ترتیب دیا گیا ہو اس نے واحد قدم ہٹا دیا ہے جو آپ کے گیٹ وے کو قائل کرنے والی نقل سے ممتاز کرتا ہے۔
وہ حد جو مصنوعات بے نقاب کرتی ہے
کلائنٹ کے بغیر پورٹل منتخب ایپلیکیشن کارروائیاں گیٹ وے کے ذریعے پراکسی کرتا ہے، اس لیے صارف نیٹ ورک کے بجائے انٹرفیس تک پہنچتا ہے۔ مکمل سرنگ والا کلائنٹ وہ لے کر چلتا ہے جو اس کے راستے اور فلٹرنگ پالیسی منتخب کرتی ہے، جو کہیں بڑا سطح ہے۔ دونوں کا پروٹوکول طاقت پر موازنہ اس فرق کو نظر انداز کرتا ہے کہ حملہ آور ان کے ذریعے کیا حاصل کر سکتا ہے۔ ایک ایپلیکیشن انٹرفیس بے نقاب کرتا ہے، دوسرا روٹ شدہ نیٹ ورک، اور دونوں مختلف جائزوں کے متقاضی ہیں۔
پوچھیں کون سی خدمت بے نقاب ہے، کون سی کارروائیاں مجاز ہیں اور خود گیٹ وے کس چیز پر سنتا ہے۔ ایسا انتظامی انٹرفیس جو صارف پورٹل کے اسی پتے سے قابل رسائی ہو وہ تعیناتی کی دریافت ہے، اور کوئی پروٹوکول انتخاب اس کا ازالہ نہیں کرتا۔
فی ایپلیکیشن دائرہ سطح کو مزید تنگ کرتا ہے، اور سرنگ گرنے پر ناکامی کا برتاؤ بھی بدلتا ہے۔ ایسا ڈیزائن جو مکمل سرنگ کی رسائی فرض کرے ایسے طریقوں سے ٹوٹے گا جو فی ایپ ڈیزائن نہیں جانتا، اور معاونت کا بوجھ پیچھے آتا ہے۔
ناکامی کے نتیجے اور زندگی کے دور کا فیصلہ کریں
جب تصدیق یا تحفظ دستیاب نہ ہو تو کیا ہوتا ہے یہ ایسی پالیسی کا فیصلہ ہے جو جائزے کا حصہ ہے۔ مسدود نتیجہ اور غیر اعلانیہ براہ راست واپسی کے مختلف نتائج ہیں، اور فرق خصوصیات کی فہرست میں نظر نہیں آتا۔ ارادے کا برتاؤ اس وسیلے کے ساتھ لکھیں جس کی یہ حفاظت کرتا ہے۔
گیٹ وے کی پیچ اور معاونت کی زندگی کا دور، اس کی فعال بیرونی خصوصیات اور کلائنٹس کے لیے اپ ڈیٹ کا راستہ شامل کریں۔ درست پروٹوکول انتخاب بری طرح تعینات خدمت کو محفوظ نہیں بناتا، اور بیشتر واقعات اسی خلا میں رہتے ہیں نہ کہ سوٹ میں۔
پانچ میدان، ناکامی کی پالیسی اور زندگی کے دور کا مالک ایک صفحے پر لکھیں۔ وہ صفحہ ایک جائزہ ہے؛ پروٹوکول خاندانوں کا موازنہ ایک رائے ہے۔