وینڈر کی VPN ایپ بمقابلہ NetworkManager: حالت کا مالک کون ہے؟
پروفائل پلگ اِن کا نام دیتا ہے، وینڈر کلائنٹ کے رویے کا نہیں۔ منظم لیپ ٹاپ تبدیل کرنے سے پہلے اندراج، DNS، بلاکنگ اور اپ ڈیٹس کی ملکیت کا نقشہ بنائیں۔
پروفائل درآمد کرنا کلائنٹ بدلنے کے مترادف نہیں۔ NetworkManager پلگ اِن کی قسم کو پلگ اِن سے مخصوص ڈیٹا اور رازوں کے ساتھ محفوظ کرتا ہے، اور اسی قسم کا مالک پلگ اِن طے کرتا ہے کہ کنکشن کیا کر سکتا ہے۔ وینڈر کی ایپلیکیشن اوپر جو کچھ بھی تہہ کرتی ہے، اندراج سے لے کر مستقل بلاکنگ تک، فائل سے باہر رہتا ہے۔ تبدیلی محفوظ ہے یا نہیں، یہ اس پر منحصر ہے کہ آپ واقعی ان میں سے کن تہوں پر بھروسہ کرتے ہیں۔
فائل پلگ اِن کا نام دیتی ہے، خصوصیات کے مجموعے کا نہیں
NetworkManager کی VPN ترتیبات کا حوالہ ایسی سروس قسم بیان کرتا ہے جو پلگ اِن منتخب کرتی ہے، نیز ایک مبہم ڈیٹا لغت اور رازوں کی لغت جس کی تشریح صرف پلگ اِن کرتا ہے۔ پروفائل ایک ہی عمل درآمد کے ساتھ معاہدہ ہے، کسی ایسے رویے کی وضاحت نہیں جو کوئی بھی کلائنٹ دہرا سکے۔ دو کلائنٹ ایک ہی پروٹوکول بول سکتے ہیں اور پھر بھی اس میں مختلف ہو سکتے ہیں کہ وہ کس پر گفت و شنید کرتے ہیں اور کون سے ڈیٹا راستے فعال کرتے ہیں۔ پروٹوکول کا نام بتاتا ہے کہ سرنگ کیا ہے، کبھی نہیں بتاتا کہ ارد گرد کا کلائنٹ اس کے ساتھ کیا کرتا ہے۔
اس لیے غلافوں کی بجائے تقاضوں کا موازنہ کریں۔ سوال یہ نہیں کہ متبادل جڑ سکتا ہے یا نہیں، کیونکہ عام طور پر جڑ سکتا ہے؛ سوال یہ ہے کہ اصل کلائنٹ کو قابلِ قبول بنانے والا ہر تقاضا منتقلی میں قائم رہتا ہے یا نہیں۔ کچھ بھی نصب کرنے سے پہلے وہ تقاضے لکھ لیں، ورنہ موازنہ پہلے کیا ٹوٹتا ہے اس کی تلاش میں بدل جائے گا۔
سرنگ کے گرد وینڈر کی ایپ کیا اضافہ کرتی ہے
وینڈر کے کلائنٹ عام طور پر اندراج اور ڈیوائس کی حالت کی جانچ، اپنے انٹرفیس کے ساتھ دوسرے عامل کا بہاؤ، مستقل بلاکنگ، اپ ڈیٹ چینل اور معاونت کے اوزار ایک ساتھ باندھتے ہیں۔ اس میں سے کچھ پروٹوکول کے ساتھ ساتھ ہوتا ہے، اور کچھ الگ مصنوع ہے جو صرف انسٹالر مشترک رکھتی ہے۔ NetworkManager سرنگ اور اس کی روٹنگ بدل سکتا ہے، اور کنکشن کی حالت بدلنے پر ڈسپیچر اسکرپٹس کارروائیاں شروع کر سکتی ہیں۔ لیکن یہ بلاکنگ انجن، سرٹیفکیٹ کی تجدید کا بہاؤ یا اس مفروضے کی نقل نہیں کرتا کہ کون صارف کنکشن اٹھا سکتا ہے۔
زیادہ اجزا کا مطلب زیادہ محفوظ نہیں، اور کم کا مطلب زیادہ کمزور نہیں۔ سوال یہ ہے کہ کون سا جزو اس پالیسی کو نافذ کرتا ہے جو آپ کو ماننے کا کہا گیا۔ اگر کوئی محتسب پوچھے کہ سرنگ گرنے پر ٹریفک کو کیا روکتا ہے، تو جواب میں کوئی ایسی چیز نام لینا ہوگا جو واقعی یہ کرتی ہے، اور صرف جڑنے والا پروفائل وہ جواب نہیں ہے۔
ملکیت واقعی کہاں مختلف ہے
اسے چیک لسٹ نہیں بلکہ ملکیت کا نقشہ سمجھیں، کیونکہ نیچے دی گئی ناکامیاں ملکیت کے خلا ہیں اور کلائنٹ کنفیگریشن کی کوئی مقدار انہیں بند نہیں کرتی۔ ہر سطر تہہ، آج عام طور پر اسے کون تھامے ہوئے ہے، اور خلا پہلے کہاں ظاہر ہوتا ہے بتاتی ہے۔
| Layer | Vendor application | NetworkManager connection | Where the gap shows up |
|---|---|---|---|
| Enrollment and posture | built into the client | absent unless something else supplies it | a managed device fails its next posture check |
| Address and resolver authority | the client sets both | the plugin plus dispatcher scripts | names resolve through the wrong resolver after a state change |
| Blocking on drop | a bundled engine | nothing by default | traffic continues in the clear after the tunnel dies |
| Upgrade path | the vendor's own channel | the distribution package and its plugin | a plugin update changes behaviour with no vendor note |
| Diagnostics and support | vendor tooling with client state | journal and dispatcher output | support cannot see why negotiation failed |
ہر سطر کو کلائنٹ کے بارے میں احساس کی بجائے ایسے مشاہدے سے جوڑیں جسے آپ دہرا سکیں۔ مطلوبہ حل کنندہ سے حل شدہ نام، سرنگ رکنے پر غائب ہونے والا راستہ، اور نقلی انقطاع کے بعد بلاک شدہ کنکشن — یہ تین مشاہدے مل کر جدول کا بیشتر حصہ ڈھانپ لیتے ہیں۔ مشاہدے کو اس تقاضے کے ساتھ لکھیں جسے وہ ثابت کرتا ہے، اور ناکام ہونے والے رکھیں، کیونکہ ناکام مشاہدہ ہی ریکارڈ کا وہ حصہ ہے جو اگلے واقعے کی پیش گوئی کرتا ہے۔
ملکیت کو اوورلیپ کیے بغیر تبدیل کرنا
ایک ہی سروس کے لیے وینڈر کا کلائنٹ اور NetworkManager کنکشن ایک ساتھ چلانا ان موازنوں کے غلط ہونے کا سب سے عام طریقہ ہے۔ دونوں راستے نصب کرتے ہیں، دونوں DNS مقرر کر سکتے ہیں، اور دونوں فائر وال کی حالت کو چھو سکتے ہیں۔ پھر آپ جو ناپتے ہیں وہ تیسری ترتیب ہے جو دونوں کلائنٹس کے دستاویزی رویے سے میل نہیں کھاتی۔
nmcli -f NAME,UUID,TYPE connection show
nmcli connection show work --show-secrets | grep -E "^vpn\."
journalctl -u NetworkManager -b --since "10 min ago"پہلا حکم بتاتا ہے کہ پروفائل بالکل VPN قسم کا ہے یا نہیں۔ دوسرا پلگ اِن کی سروس قسم اور یہ کہ کون سے راز محفوظ ہیں دکھاتا ہے، جو اس وقت اہم ہے جب چابی فائل کی بجائے ایجنٹ سے متوقع ہو۔ جرنل وہ جگہ ہے جہاں لوڈ ہونے کے باوجود گفت و شنید نہ کر سکنے والا پلگ اِن یہ بتائے گا۔ اگر تینوں میں سے کوئی بھی مسئلہ نہ دکھائے، تو خلا کنکشن میں نہیں، سرنگ کے اوپر پالیسی تہوں میں ہے۔
نیا کنکشن فعال کرنے سے پہلے پرانا کلائنٹ منقطع کریں، اینڈ پوائنٹس اور اکاؤنٹ یکساں رکھیں، اور لکھیں کہ راستوں، حل کنندہ کی ترتیبات اور بلاکنگ کا مالک کون سا جزو ہے۔ وہی نوٹ اگلی اپ ڈیٹ کو دو مالکوں کے ساتھ ختم ہونے سے روکتا ہے۔