کیا اپ اسٹریم راؤٹر واقعی آنے والے VPN پورٹ پہنچاتا ہے؟

تین شرطیں طے کرتی ہیں کہ لیب راؤٹر پر پورٹ فارورڈنگ کچھ شائع کرے گی یا نہیں: اوپری کنارہ کیا پہنچاتا ہے، کون سی پالیسی لاگو کرتا ہے، اور جوابات اسی راستے واپس آتے ہیں یا نہیں۔ عوامی نظر آنے والا پتہ ان میں سے کسی کا جواب نہیں دیتا۔ /30 سابقہ یا کام کرنے والا باہر جانے والا رابطہ بھی نہیں۔ NAT بدلنے سے پہلے ان شرطوں کو ترتیب دیں، ورنہ بلاک دو ہاپ دور ہونے پر مقامی قاعدہ ٹوٹا ہوا دکھے گا۔

تین جوابات طے کرتے ہیں کہ آپ کس کو اسکیلٹ کریں گے

اپ اسٹریم مالک حوالگی کو تین میں سے ایک طریقے سے بیان کر سکتا ہے۔ منزل براہ راست آپ کے انٹرفیس پر پہنچائی جاتی ہے، الگ سابقہ آپ کے اگلے ہاپ پر روٹ ہوتا ہے، یا آگے کوئی چیز آپ تک پہنچنے سے پہلے پتے کا ترجمہ کرتی ہے۔ ہر جواب ایک مختلف آلے کا نام دیتا ہے جسے آنے والے رابطے کی اجازت دینی ہوتی ہے، اور ایک مختلف ٹیم کا جسے فون کرنا ہوتا ہے جب ایسا نہ ہو۔

فلٹرنگ چوتھا متغیر ہے اور یہ تینوں سے آزاد ہے۔ نیٹ ورک اس ٹریفک کو فلٹر کر سکتا ہے جو اپنا عوامی پتہ برقرار رکھتا ہے، اور مترجم خود بخود پالیسی کی حد نہیں ہوتا۔ اجازت شدہ ماخذ پتوں، نقل و حمل اور پورٹوں کے بارے میں ترسیل کے ساتھ ہی پوچھیں، کیونکہ کنارے کا پھینکا ہوا فارورڈ شدہ پورٹ کبھی آپ کے قاعدے تک نہیں پہنچتا۔

حوالگی کو خدمت کا معاہدہ سمجھیں

لیب راؤٹر کو چھونے سے پہلے پانچ قدریں لکھیں: مختص شدہ انٹرفیس پتہ، سابقے کی لمبائی، اگلا ہاپ، وہ منزل پتہ جو بیرونی کلائنٹ استعمال کریں گے، اور درست پروٹوکول اور پورٹ۔ دلچسپ بات منزل ہے، کیونکہ یہ آپ کے آلے پر ترتیب دیا گیا پتہ ہی نہ ہو۔ اگر اپ اسٹریم توقع کرتا ہے کہ کلائنٹ ترجمہ شدہ پتے تک پہنچیں گے، تو مقامی DNAT کو اس معاہدے سے میل کھانا چاہیے، آپ کے دیکھے ہوئے انٹرفیس پتے سے نہیں۔

IETF کی فائر وال رویے پر بحث ایک مفید یاددہانی ہے کہ فلٹرنگ اور ترجمہ الگ کام ہیں۔ یہ بتاتی ہے کہ راؤٹر پتے چھپائے بغیر آنے والی پالیسی کیسے نافذ کر سکتا ہے، اور یہ کیوں ثابت نہیں ہوتا کہ اوپر کہیں NAT ہونے سے فلٹرنگ وہیں ہو رہی ہے۔ حوالگی کو مالک اور تبدیلی کے عمل والی خدمت کی تفصیل سمجھیں۔

دونوں کناروں پر ایک کوشش کا مشاہدہ کریں

دو مقامات پر مربوط ایک تنگ، منظور شدہ کوشش اندازوں کے ڈھیر کی جگہ لیتی ہے۔ درست ٹپل کے لیے لیب کے WAN انٹرفیس پر کیپچر چلائیں، اور اپ اسٹریم مالک سے کہیں کہ وہی ٹپل کنارے پر دیکھے۔ دو نظاروں کے درمیان منزل، پروٹوکول، پورٹ، ماخذ اور وقت کی مہر یکساں رکھیں۔

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

نتائج کی جوڑی کو فیصلے کے طور پر پڑھیں۔ کنارے پر دکھا اور لیب WAN پر دکھا یعنی ترسیل اور کنارے کی پالیسی دونوں گزر گئیں، اس لیے سننے والے یا DNAT کے ساتھ آگے بڑھیں۔ کنارے پر دکھا مگر لیب WAN پر نہیں دکھا ترسیل یا درمیانی پالیسی کی طرف اشارہ کرتا ہے، اور اگلی کال اپ اسٹریم مالک کو ہے۔ کہیں نہ دکھا یعنی فائر وال سوال سے پہلے ہی ٹیسٹ ٹپل، ماخذ یا راستہ غلط ہے۔

ایک کیپچر میں ثبوت کی کمی فائر وال کا ثبوت نہیں ہے۔ یہ حد کا نتیجہ ہے جو بتاتا ہے کہ آگے کون سا آلہ جانچنا ہے۔

مقامی NAT کو جواب چھپانے نہ دیں

مقامی قاعدہ اندرونی آمد کی تصدیق کے بعد ہی دلچسپ ہوتا ہے۔ تصدیق کریں کہ DNAT کا ہدف VPN سننے والے کا اصل پتہ اور پورٹ ہے، متعلقہ فیملی کے لیے فارورڈنگ فعال ہے، اور جواب اسی انٹرفیس سے نکلتا ہے جس پر درخواست آئی تھی۔ منزل دوبارہ لکھنے والا مگر واپسی کا راستہ نہ لکھنے والا قاعدہ پھینکے گئے پیکٹ جیسی ہی وقت کی حد پیدا کرتا ہے۔

تحقیق کے دوران پورٹ سیکیورٹی اور پروڈکشن حوالگی برقرار رکھیں۔ منسلکہ کنٹرول سے بچنے کے لیے راؤٹر بدلنا یا اس کا MAC پتہ جعلی بنانا تشخیص کو خلل سے بدل دیتا ہے۔ آئینہ پورٹ یا منظور شدہ کیپچر لنک بانٹنے والی خدمات کو منقطع کیے بغیر وہی مرئیت دیتا ہے۔

ملکیت کے نقشے کے ساتھ ختم کریں: منزل، پہنچانے والا آلہ، فلٹر کرنے والا آلہ، لیب کی آمد اور سننے والا۔ یہ نقشہ اگلے پورٹ فارورڈنگ جائزے کو چھوٹا کرتا ہے، اور یہ VPN کے بارے میں کچھ تصدیق نہیں کرتا۔