سرنگ ٹوپولوجی خریدتی ہے، انکرپشن یا تاخیر نہیں

یہ مفروضہ ہے کہ سرنگ ایک نجی، تیز تار ہے: آپ اسے بناتے ہیں، اور اندر کا ٹریفک انکرپٹ ہوتا ہے، راستہ چھوٹا ہوتا ہے اور لنک دو سائٹس کے درمیان کیبل کی طرح برتاؤ کرتا ہے۔ اس مفروضے کا ہر حصہ ایک الگ خصوصیت ہے، اور سرنگ صرف وہ پہلی چیز دیتی ہے جو آپ نے اس سے مانگی، یعنی منطقی راستہ۔ باقی سب کچھ جان بوجھ کر چننا اور ترتیب دینا پڑتا ہے۔ خصوصیات کو ملانا ہی وہ طریقہ ہے جس سے کوئی ڈیزائن ایسے انکرپٹڈ لنک پر پہنچتا ہے جسے کوئی حل نہیں کر سکتا اور ایسے تاخیر کے وعدے پر جسے کوئی پورا نہیں کر سکتا۔

افسانہ: ایک سرنگ، تین ضمانتیں

سرنگ ایک کام قابلِ اعتماد طریقے سے کرتی ہے۔ یہ دو ایسے سرے جو براہ راست منسلک نہیں ہیں کو کسی مقصد کے لیے ہمسایہ کی طرح برتاؤ کرنے پر مجبور کرتی ہے، جبکہ درمیانی نیٹ ورک بیرونی پیکٹ لے کر جاتا ہے۔ یہ ٹوپولوجی کی تبدیلی ہے، اور یہ بذاتِ خود واقعی مفید ہے۔

انکرپشن، پروٹوکول کی ترسیل اور فارورڈنگ کی تنہائی اس پر تہہ در تہہ الگ فیصلے ہیں۔ GRE سرنگ میں کرپٹوگرافک معنوں میں تینوں میں سے کوئی نہیں ہے، اور IP-in-IP سرنگ بغیر کسی رازداری کے درست ڈیزائن ہے۔ ان میں سے کوئی بھی غلطی نہیں؛ یہ وہ سرنگیں ہیں جو ٹھیک وہی کرتی ہیں جو سرنگیں کرتی ہیں۔ خاکے پر لکھا لیبل نہیں بتاتا کہ کون سی خصوصیات موجود ہیں۔

خصوصیات الگ کرنے کے بعد سوالوں کے جواب دیے جا سکتے ہیں: کیا یہ سرنگ روٹنگ کی ہمسائیگی لے کر جاتی ہے، فریم لے کر جاتی ہے، اندرونی پتے چھپاتی ہے، تاخیر کے بارے میں کچھ وعدہ کرتی ہے؟ یہ چار مختلف جواب ہیں اور چار مختلف ترتیب کے نتائج۔

سرنگ دراصل نقشے میں کیا اضافہ کرتی ہے

سروں کو ایسا راستہ ملتا ہے جو پہلے نہیں تھا۔ وہ راستہ روٹ شدہ چھلانگ کی طرح برتاؤ کرتا ہے یا Ethernet قطعے کی طرح، یہ مکمل طور پر انکیپسولیشن پر منحصر ہے، اور فرق بدلتا ہے کہ دونوں سائٹس اس کے ساتھ کیا کر سکتی ہیں۔ روٹ شدہ سرنگ آپ کو اگلی چھلانگ اور سابقہ دیتی ہے؛ Ethernet توسیع براڈکاسٹ برتاؤ اور بہت بڑا ناکامی کا دائرہ دیتی ہے۔

IP سرنگ دور دراز سائٹ کو خودبخود اسی سب نیٹ کا حصہ نہیں بناتی، اور اگر عمل درآمد اس ہمسائیگی کی حمایت نہ کرے تو اس پر روٹنگ پروٹوکول نہیں چلاتی۔ Multicast اپنے جواب کے ساتھ ایک اور الگ سوال ہے۔

ip -d link show type gre
ip route get 10.20.0.5
traceroute -n -T -p 443 10.20.0.5
mtr -n --report -c 20 10.20.0.5

وہ کمانڈیں سوال کے مختلف حصوں کا جواب دیتی ہیں۔ پہلی بتاتی ہے کہ کس قسم کا انٹرفیس موجود ہے، دوسری بتاتی ہے کہ کرنل کون سا راستہ چنے گا، اور آخری دو لیبل کے وعدے کی بجائے نچلی تہہ کا حقیقی برتاؤ دکھاتی ہیں۔

ترسیل رسائی سے الگ فیصلہ ہے

سرنگ ایسا پروٹوکول لے کر جا سکتی ہے جسے نچلی تہہ آگے نہیں بھیجتی۔ IPv6 کا IPv4 راستے پر چلنا کلاسیک مثال ہے، اور یہ کام کرتا ہے کیونکہ سرے دونوں خاندان سمجھتے ہیں جبکہ ان کے درمیان راوٹرز کو صرف بیرونی پیکٹ پہنچانے ہوتے ہیں۔ نچلی تہہ کو سرنگ کے سرے تک کام کرنے والا راستہ چاہیے، اس سے زیادہ کچھ نہیں۔

البتہ سروں کو مکمل حمایت چاہیے: فارورڈنگ، پتے اور ایسی ایپلیکیشن جو واقعی اندرونی خاندان استعمال کرے۔ سرنگ کو IPv6 سابقہ دینا صرف IPv4 کے ساتھ چلنے والی خدمت کو IPv6 کے ذریعے قابلِ رسائی نہیں بناتا، اور نچلی تہہ کو dual-stack نہیں بناتا۔

فریم کی ترسیل پروٹوکول کی ترسیل سے بڑا عہد ہے۔ سرنگ کے پار براڈکاسٹ ڈومین پھیلانا اسپیننگ ٹری برتاؤ، ARP اور ناکامی کے پھیلاؤ کو ساتھ لے کر چلتا ہے، جو فیچر ٹوگل نہیں بلکہ ڈیزائن کا فیصلہ ہے۔

تنہائی رازداری نہیں ہے

فراہم کنندہ VPN گاہکوں کے راستے اور ٹریفک الگ فارورڈنگ سیاق و سباق میں رکھتے ہیں، اور وہ علیحدگی حقیقی اور قیمتی ہے۔ یہ انکرپشن نہیں ہے۔ BGP/MPLS VPN تفصیل واضح کہتی ہے کہ اس کی رازداری انکرپشن سے نہیں بلکہ فارورڈنگ ماڈل سے آتی ہے، اور صرف VPN کہنے والی سلائیڈ میں ٹھیک یہی فرق گم ہو جاتا ہے۔

اگر آپ کو رازداری چاہیے تو آپ کو تصدیق اور کلید کے انتظام کے ساتھ کرپٹوگرافک طریقہ کار چاہیے، اور آپ کو جاننا ہوگا کہ یہ کہاں ختم ہوتا ہے۔ علیحدگی دینے والی سرنگ اور انکرپشن دینے والی سرنگ ایک ہی سرنگ ہو سکتی ہیں، لیکن صرف اس وقت جب کسی نے دونوں ترتیب دی ہوں۔

عملی نتیجہ یہ ہے کہ «یہ VPN میں ہے» روٹنگ سیاق و سباق کے بارے میں سوال کا جواب دیتا ہے اور اس بارے میں کچھ نہیں بتاتا کہ راستے کے بائٹس کون پڑھ سکتا ہے۔ دو ٹیمیں دونوں درست ہو سکتی ہیں اور پھر بھی مختلف چیزیں بیان کر سکتی ہیں۔ جب سلامتی کا سوال اٹھے تو پوچھیں انکرپشن کہاں ختم ہوتی ہے اور ساتھیوں کی تصدیق کیا کرتا ہے، یہ نہیں کہ سرنگ موجود ہے یا نہیں۔

تاخیر اور QoS نچلی تہہ کی پیروی کرتے ہیں

منطقی کنارہ چھوٹا طبعی راستہ نہیں ہے۔ بیرونی پیکٹ اب بھی انہی لنکس، قطاروں اور فراہم کنندگان سے گزرتے ہیں، اور انکیپسولیشن ہر پیکٹ پر اضافی بوجھ اور دونوں سروں پر کارروائی کا اضافہ کرتی ہے۔ سرنگ تیز ہو سکتی ہے کیونکہ نچلی تہہ اچھی ہے، کبھی بھی اس لیے نہیں کہ یہ سرنگ ہے۔

خدمت کے معیار کا سلوک اس سے بھی بدتر ہے، کیونکہ یہ ایسے انتظامی ڈومینز پر منحصر ہے جنہیں آپ کنٹرول نہ کر سکیں۔ اندرونی نشانات کو جان بوجھ کر بیرونی نشانات پر نقش کرنا پڑتا ہے، اور راستے کے ہر فراہم کنندہ کو وہ سلوک دینا پڑتا ہے جس کی آپ توقع کرتے ہیں۔ انکرپشن ترجیح پیدا نہیں کرتی؛ یہ وہ فیلڈ چھپاتی ہے جو درمیانی ڈبہ بہاؤ کی درجہ بندی کے لیے استعمال کر سکتا تھا۔

کچھ وعدہ کرنے سے پہلے نچلی تہہ کی پیمائش کریں۔ بیرونی راستے پر مستحکم تاخیر اور کوئی نقصان نہ ہونے کا مظاہرہ کرنے والی رپورٹ دلیل ہے؛ سرنگ والا خاکہ دلیل نہیں ہے۔

اپنی مطلوبہ نیٹ ورک نسبت کے لیے سرنگ چنیں، پھر انکرپشن، رسائی کی پالیسی، پیکٹ کا حجم اور کارکردگی الگ الگ متعین کریں۔ چار فیصلے، چار دلائل، اور ان میں سے کسی کی جگہ کھڑا کوئی ایک لیبل نہیں۔