LAN پتے والا VPN کلائنٹ LAN پر نہیں ہے

کلائنٹ جڑتا ہے، 10.50.0.200 وصول کرتا ہے اور 10.50.0.20 پر موجود سرور تک نہیں پہنچ سکتا حالانکہ دونوں نمبر ایک ہی /24 میں ہیں۔ اس ترتیب کے پیچھے یہ یقین ہے کہ LAN پریفکس کا پتہ کلائنٹ کو LAN کا حصہ بنا دیتا ہے۔ ایسا نہیں کرتا۔ کلائنٹ پوائنٹ ٹو پوائنٹ لنک پر ہے، سرور منزل کو مقامی سمجھتا ہے، اور گمشدہ ٹکڑا وہ پڑوسی جواب ہے جو کوئی نہیں بھیجتا۔

داستان: ایک ہی پریفکس کا مطلب ایک ہی حصہ

پتے کا پریفکس میزبان کو بتاتا ہے کہ وہ کن منزلوں تک براہ راست پہنچ سکتا ہے اور کن کے لیے راؤٹر درکار ہے۔ یہ میزبان کو نہیں بتاتا کہ منزل جسمانی طور پر کیسے جڑی ہے، اور یقیناً اس بات کی ضمانت نہیں دیتا کہ منزل لنک کی سطح کی درخواست کا جواب دے سکے۔ یہ مختلف سوالات ہیں، جن کے جواب میزبان پر مختلف جدولیں دیتی ہیں۔ ماسک پہلے کا جواب دیتا ہے اور پڑوسیوں کی جدول دوسرے کا، اور صرف پہلا ہی VPN کی طرف سے آپ کے کنٹرول میں ہے۔

جب سرور 10.50.0.200 پر بھیجتا ہے، تو وہ منزل کا اپنے ماسک سے موازنہ کرتا ہے، پتے کو on-link قرار دیتا ہے، اور مقامی حصے سے اس ہارڈویئر پتے کی درخواست کرتا ہے جو اس کا مالک ہے۔ وہ درخواست Ethernet انٹرفیس سے باہر جاتی ہے، اور VPN کلائنٹ وہاں اسے سننے کے لیے نہیں ہے۔

کلائنٹ کی ترتیب میں کچھ بھی اپنی طرف سے اسے ٹھیک نہیں کر سکتا۔ جواب کا راستہ اس بات پر منحصر ہے کہ LAN میں کوئی آلہ کلائنٹ کی جانب سے جواب دے، یا کلائنٹ کے پاس ایسا پتہ ہو جسے سرور مقامی نہ سمجھے۔

مقامی میزبان پتے کے ساتھ اصل میں کیا کرتا ہے

رویہ دیکھنا آسان ہے اور کچھ بدلنے سے پہلے اسے دیکھنا چاہیے۔ کلائنٹ تک پہنچنے کی کوشش کے بعد LAN میزبان کی پڑوسیوں کی جدول دیکھیں: نامکمل یا ناکام اندراج ایک ہی سطر میں پوری تشخیص ہے۔ وہ سطر یہ بھی بتاتی ہے کہ خرابی حصے میں مقامی ہے، سرنگ کے اندر کہیں نہیں۔

ip neigh show 10.50.0.200
ip route get 10.50.0.200
arping -I eth0 -c 3 10.50.0.200

راستے کی تلاش منزل کو Ethernet انٹرفیس کے ذریعے on-link بتائے گی، اور مسئلہ بالکل یہی ہے۔ اگر VPN سیشن چلنے کے دوران پڑوسی کا اندراج نامکمل رہے، تو آپ نے تصدیق کر دی کہ گمشدہ ٹکڑا لنک کی سطح کا حل ہے، راؤٹنگ یا فائر وال پالیسی نہیں۔

دوسرے سب نیٹ کے میزبان سے وہی جانچ کریں اور موازنہ کریں۔ راؤٹر کے راستے کلائنٹ تک پہنچنے والے میزبان کو پڑوسی اندراج کی ضرورت ہی نہیں ہوتی، اور یہی فرق چھوٹے پیمانے پر ڈیزائن کا فیصلہ ہے۔

proxy ARP اگلا ہاپ کیسے فراہم کرتا ہے

proxy ARP گیٹ وے کو اس منزل کی جانب سے لنک کی سطح کی درخواست کا جواب دینے پر مجبور کرتا ہے جہاں تک وہ کسی دوسرے انٹرفیس سے پہنچ سکتا ہے۔ LAN میزبان ہارڈویئر پتہ وصول کرتا ہے، فریم گیٹ وے کو بھیجتا ہے، اور گیٹ وے پیکٹ کو VPN سیشن میں آگے بھیجتا ہے۔ میزبان کی نظر میں کلائنٹ بس گیٹ وے کے پیچھے دکھتا ہے۔ کلائنٹ کی ترتیب میں کچھ نہیں بدلتا۔

MikroTik کی RouterOS ARP دستاویزات اس استعمال کو ان ڈائل اِن کلائنٹس کے لیے بیان کرتی ہیں جو منسلک LAN کی پتہ جگہ ادھار لیتے ہیں۔ یہ طریقہ کار پڑوسی حل کی مرمت ہے، اور یہ کام کرتا ہے کیونکہ گیٹ وے واقعی دونوں راستوں پر ہے۔

یہ کلائنٹ کو LAN میں برج کرنے کے مترادف نہیں۔ گیٹ وے کو اب بھی پیکٹ صحیح فعال سیشن تک پہنچانا ہوتا ہے، اور اس کی راؤٹنگ اور فائر وال پالیسی کو اب بھی سروس کی اجازت دینی ہوتی ہے۔ proxy ARP یہ بدلتا ہے کہ پڑوسی درخواست کا جواب کون دیتا ہے، یہ نہیں کہ کسے بولنے کی اجازت ہے۔

پلیٹ فارم کے موڈ نام غور سے پڑھیں۔ RouterOS proxy-arp کو local-proxy-arp سے الگ کرتا ہے، اور دوسرا انہی انٹرفیس سے آنے اور جانے والی ٹریفک کو سنبھالتا ہے۔ یہ بدلے جا سکنے والے ہجے نہیں ہیں، اور دونوں کو بلا امتیاز چالو کرنا کوئی شارٹ کٹ نہیں۔

proxy ARP آپ کو کیا نہیں دیتا

یہ broadcast یا multicast کی دریافت فراہم نہیں کرتا۔ جس کلائنٹ کو broadcast کے ذریعے سروس تلاش کرنی ہے وہ پھر بھی ناکام ہوگا، کیونکہ گیٹ وے unicast کو سیشن میں بھیجتا ہے اور کلائنٹ کو LAN کے broadcast ڈومین کا رکن نہیں بناتا۔ broadcast پر انحصار کرنے والے دریافت پروٹوکول ادھار پتوں کے ڈیزائن میں «ایک چیز کے لیے کام کرتا ہے، دوسری کے لیے نہیں» والی رپورٹوں کا عام ذریعہ ہیں۔

یہ پتہ محفوظ نہیں کرتا۔ اگر ادھار لیا گیا نمبر DHCP پول یا مستقل مختص میں بھی ہو، تو دو آلات ایک ہی پتے پر پہنچ سکتے ہیں اور نتیجے کا رویہ وقت پر منحصر ہوتا ہے۔ کامیاب لاگ اِن محفوظ کرنا نہیں ہے۔

اور یہ LAN کے مالک کے ساتھ ہم آہنگی کی ضرورت کو ختم نہیں کرتا۔ پتہ منصوبے کے مالک کو حیران کرنے والا proxy ARP اندراج ایک ایسا معاون واقعہ ہے جو پرسکون ہفتے کا انتظار کر رہا ہے۔

الگ راؤٹ کیے گئے پول سے موازنہ

متبادل یہ ہے کہ VPN کلائنٹس کو ان کا اپنا پریفکس دیا جائے اور LAN میزبانوں کو وہاں راؤٹ کرنے دیا جائے۔ پھر سرور اپنے گیٹ وے کو off-link جوابات بھیجتا ہے، گیٹ وے پریفکس کو VPN اینڈ پوائنٹ تک راؤٹ کرتا ہے، اور LAN حصے پر پڑوسی حل کی ضرورت ہی نہیں رہتی۔ یہ ادھار پتے اور proxy جواب سے کم حرکت کرنے والے حصے ہیں۔

وہ ڈیزائن سوچنے میں آسان اور آڈٹ کرنے میں آسان ہے، کیونکہ کلائنٹ کی حد LAN کی حد سے واضح طور پر الگ ہے۔ اس کی قیمت ایک راستہ، واپسی کا راستہ اور ایک رسائی قاعدہ ہے، یعنی وہی چیزیں جو proxy ARP ڈیزائن کو کم واضح جگہ پر درکار ہوتی ہیں۔

ماڈلوں کے درمیان جان بوجھ کر انتخاب کریں، اتفاق سے نہیں۔ proxy ARP ایک مخصوص تعلق کی مرمت کرتا ہے؛ راؤٹ کیا گیا پول اس مرمت کی ضرورت سے بچاتا ہے۔ لکھ لیں کہ آپ نے کون سا چنا اور کیوں، پھر اگلے شخص کو ناکام پڑوسی اندراج سے اسے دوبارہ دریافت نہیں کرنا پڑے گا۔