UDP ہمیشہ تیز نہیں ہوتا: OpenVPN کی ترسیل کا انتخاب

ہر رہنما کہتا ہے کہ OpenVPN کے لیے UDP، TCP سے بہتر ہے، اور یہ مشورہ طے شدہ انتخاب ہے، پیمائش نہیں۔ ترسیل بدلتی ہے کہ پیکٹ کیسے پہنچائے جاتے ہیں اور جب راستہ انہیں گرا دیتا ہے تو کیا ہوتا ہے، یہ نہیں کہ سرنگ کیسے خفیہ کی جاتی ہے۔ کیپٹیو پورٹل یا صرف پورٹ 443 کی اجازت دینے والے پراکسی کے پیچھے، سست آپشن ہی اصل میں جڑتا ہے۔ آگے یہ الگ کیا گیا ہے کہ پروٹوکول کیا کرتا ہے اور آپ کا رسائی نیٹ ورک کیا اجازت دیتا ہے۔

ترسیل واقعی کیا بدلتی ہے

TCP ایک قابلِ اعتماد، ترتیب شدہ بائٹ اسٹریم فراہم کرتا ہے اور گمشدہ سب کچھ دوبارہ بھیجتا ہے، جیسا کہ RFC 9293 متعین کرتا ہے۔ UDP ڈیٹا گرام نیٹ ورک کے حوالے کرتا ہے، اور OpenVPN اسی ساکٹ پر اپنی اعتبار کی تہہ چلاتا ہے۔ TCP کو TCP کے اندر ڈالنے سے بازیابی کے دو حلقے جمع ہو جاتے ہیں، اس لیے ایک گمشدہ حصہ اندرونی اسٹریم کو روک سکتا ہے جب تک بیرونی دوبارہ بھیجنا نہ آئے۔ یہی تعامل UDP کے حق میں اصل دلیل ہے، اور یہ تھروپٹ کے بجائے تاخیر کے طور پر ظاہر ہوتا ہے۔

اثر نقصان اور آمدورفت کے وقت کے ساتھ بڑھتا ہے۔ صاف مقامی راستے پر دونوں ترسیلیں یکساں محسوس ہوتی ہیں، اسی لیے لیب ٹیسٹ شکایت کو دوبارہ پیدا کرنے میں کامیاب کم ہوتا ہے۔ مصروف موبائل لنک پر بڑی منتقلی کو کچھ معلوم ہونے سے بہت پہلے انٹرایکٹو سیشنز میں فرق نظر آتا ہے۔

ان میں سے کچھ بھی رازداری یا سالمیت کو نہیں چھوتا۔ TLS ہینڈ شیک اور ڈیٹا چینل سائفر دونوں ترسیلوں کے لیے یکساں ہیں، اس لیے بدلنا کمزور سائفر سیٹ کو بچا نہیں سکتا۔

TCP اپنی جگہ کہاں کماتا ہے

رسائی نیٹ ورک TCP چننے کی عام وجہ ہیں۔ ہوٹل، ہوائی اڈا یا مہمان نیٹ ورک باہر جانے والے 443 کی اجازت دے کر باقی سب گرا سکتا ہے، اور اس پورٹ پر TCP سننے والا ہی واحد کام کرنے والا پروفائل ہے۔ یہ رسائی ہے، کارکردگی نہیں، اور بذات خود کافی اچھی وجہ ہے۔

TCP تب بھی مدد کرتا ہے جب راستہ مستحکم ہو لیکن درمیانی بکس دشمن ہوں۔ کچھ نیٹ ورک عام ویب ٹریفک جیسے دکھنے والے TCP سیشن برداشت کرتے ہوئے طویل المدتی UDP بہاؤ ری سیٹ کرتے ہیں۔ یہ مشابہت کامیاب ہوتی ہے یا نہیں، یہ مخصوص نیٹ ورک کی خصوصیت ہے، اور کوئی رہنما سب کے لیے اس کا وعدہ نہیں کر سکتا۔ پروٹوکول کو الزام دینے سے پہلے اسی نیٹ ورک کے اندر جانچ کریں جو ناکام ہوتا ہے۔

مسترد شدہ لاگ ان ترسیل کا مسئلہ نہیں۔ کنکشن کو زبردستی گزارنے کے لیے سرٹیفکیٹ کی تصدیق بند کرنا ایک اور تبدیلی ہے جس کا نتیجہ بہت زیادہ خراب ہے۔

TCP پروفائل تیار رکھنا عملی سمجھوتہ ہے۔ زیادہ تر کلائنٹ دونوں محفوظ کرتے ہیں اور جب نیٹ ورک UDP راستہ مسترد کرے تو بدلنے دیتے ہیں، جس کی ضرورت پڑنے تک کچھ خرچ نہیں ہوتا۔ جو نہیں کرنا چاہیے وہ یہ ہے کہ الگ الگ اینڈ پوائنٹس کی طرف اشارہ کرنے والے دو پروفائل بھیجیں، کیونکہ پھر آپ کا موازنہ سرورز کو ناپتا ہے۔

دیکھیں کہ واقعی کون سا سننے والا ہے

کارکردگی کا موازنہ کرنے سے پہلے تصدیق کریں کہ دونوں سرے ترسیل اور پورٹ پر متفق ہیں۔ کلائنٹ فائل میں proto udp کو proto tcp میں بدلنا سرور کا سننے والا نہیں بناتا۔ سرور کو اس پروٹوکول کے لیے ترتیب دیا جانا چاہیے، اور پروفائل کو اس سے میل کھانا چاہیے۔

grep -E '^(proto|port|remote)' /etc/openvpn/server.conf
ss -lunp | grep openvpn
ss -ltnp | grep openvpn

grep وہ چھاپتا ہے جو سرور کو استعمال کرنے کو کہا گیا، جبکہ دو ساکٹ فہرستیں دکھاتی ہیں کہ یہ کس سے بندھا ہے۔ UDP سننے والا صرف پہلی فہرست میں اور TCP سننے والا صرف دوسری میں نظر آتا ہے، اس لیے گمشدہ سطر ہی ایسے پروفائل کو ڈھونڈنے کا تیز ترین طریقہ ہے جو کبھی لاگو نہیں ہوا۔ پورٹ کا بھی موازنہ کریں، کیونکہ 1194 پر TCP پروفائل زیادہ تر رسائی نیٹ ورکس میں 443 سے مختلف برتاؤ کرتا ہے۔ تبدیلی کے بعد سروس دوبارہ شروع کریں اور وہ لاگ سطر پڑھیں جو بائنڈنگ کی اطلاع دیتی ہے۔

کلائنٹ کی طرف تصدیق سستی ہے: کنکشن --verb 4 کے ساتھ چلائیں اور لاگ میں ترسیل کی سطر پڑھیں۔ اگر کلائنٹ UDP کہے جبکہ سرور TCP پر سن رہا ہو، تو ہینڈ شیک کبھی شروع نہیں ہوتا اور کوئی ٹیوننگ مدد نہیں کرے گی۔

ترسیل کا لیبل نہیں، کام کا بوجھ موازنہ کریں

منصفانہ موازنہ ترسیل کے سوا سب کچھ مستقل رکھتا ہے۔ وہی ڈیوائس، وہی رسائی نیٹ ورک، وہی منزل ہوسٹ، وہی ایپلیکیشن اور بہترین طور پر وہی سرور۔ اگر دونوں پروفائل الگ الگ ہوسٹس کی طرف اشارہ کریں، تو آپ ان ہوسٹس کو بھی ناپ رہے ہیں۔

ہر رن کے لیے تین نتائج درج کریں: سرنگ بنتی ہے یا نہیں، قائم رہتی ہے یا نہیں اور کام مکمل ہوتا ہے یا نہیں۔ چھوٹی درخواستیں چلیں اور بڑی منتقلیں رک جائیں تو یہ ترسیل نہیں، پیکٹ کے حجم اور MTU کی طرف اشارہ ہے۔ بار بار دوبارہ جڑنا راستے یا درمیانی بکس کے وقت کی حد کی طرف اشارہ کرتا ہے۔

وہ پروفائل رکھیں جو آپ کے حقیقی حالات میں کام کرے، اور دوسرا محفوظ رکھیں۔ انتخاب شخص کا نہیں، نیٹ ورک کا ہے، اسی لیے کوئی بھی واحد طے شدہ جواب کہیں نہ کہیں غلط ہے۔