کیا آپ کے ویب سرور پر VPN کلائنٹ اس کے جوابات توڑ دیتا ہے؟

سائٹ اسی نیٹ ورک کے لیپ ٹاپ سے لوڈ ہوتی ہے اور باقی ہر جگہ سے وقت ختم ہو جاتا ہے، اور میزبان اپنے ہی آؤٹ باؤنڈ ٹریفک کے لیے VPN کلائنٹ بھی چلا رہا ہے۔ یہ امتزاج ایک مخصوص خرابی پیدا کرتا ہے: اندر آنے والا کنکشن آتا ہے، جواب غلط راستے سے نکل جاتا ہے، اور باہر کا کلائنٹ کبھی جواب نہیں دیکھتا۔ دونوں حصے ایک ہی پیکٹ کیپچر میں نظر آتے ہیں، اس لیے واقعات کی ترتیب ہی پڑھنے کے قابل حصہ ہے۔

ماخذ پر مبنی روٹنگ کا قاعدہ اکثر علامت دور کر دیتا ہے۔ یہ عام طور پر اس سائٹ سے زیادہ ٹریفک کو بھی استثنیٰ دیتا ہے جس نے اسے جنم دیا، اور قاعدہ محفوظ کرنے سے پہلے سمجھنے کے قابل حصہ یہی ہے۔

علامت: یہ مقامی طور پر جواب دیتا ہے اور باہر سے نہیں

نیٹ ورک کے اندر جواب کو سرنگ پار نہیں کرنی پڑتی، اس لیے صفحہ لوڈ ہوتا ہے اور سروس صحت مند دکھائی دیتی ہے۔ باہر سے درخواست میزبان تک پہنچتی ہے اور جواب VPN میں روٹ ہو جاتا ہے، جہاں دور کے سرے کے پاس اسے قبول کرنے کی کوئی وجہ نہیں۔ براؤزر انکار کے بجائے وقت ختم ہونا دیکھتا ہے، جو بند پورٹ کی نہیں بلکہ یک طرفہ راستے کی نشانی ہے۔

روٹنگ بدلنے سے پہلے شکل کی تصدیق کریں: سننے والا فعال ہے، مقامی درخواست کامیاب ہوتی ہے، اور بیرونی درخواست کوئی جواب نہیں دیتی۔ یہ تین مشاہدے مل کر ویب سرور کنفیگریشن کی طرف نہیں بلکہ واپسی کے راستے کی طرف اشارہ کرتے ہیں۔ اتنی صاف عدم توازن کسی بھی لاگ لائن سے زیادہ مفید ہے، کیونکہ یہ ایک بھی غلطی کا پیغام پڑھنے سے پہلے سننے والے کو خارج کر دیتی ہے۔

کام کرتے وقت ایک خودمختار انتظامی راستہ کھلا رکھیں۔ جو قاعدہ آپ کے اپنے SSH سیشن کو توڑ دے وہ دس منٹ کی مرمت کو جسمانی دورے میں بدل دیتا ہے۔

ماخذ کا انتخاب کنندہ اصل میں کس سے میل کھاتا ہے

لینکس کی پالیسی روٹنگ میں، from 192.168.50.2 جیسا قاعدہ ان پیکٹوں سے میل کھاتا ہے جن کا ماخذ وہ پتہ ہے۔ یہ اس حقیقت کو کوڈ نہیں کرتا کہ پیکٹ گھر کے راؤٹر سے آنے والی گفتگو جاری رکھے ہوئے ہے، اور یہ نہیں جانتا کہ کس عمل نے اسے بنایا۔ اس مثال کا پتہ مثال کے طور پر ہے؛ اسے اس پتے سے بدلیں جو آپ کا میزبان واقعی استعمال کرتا ہے۔ لائن کو پتوں کے بارے میں ایک بیان سمجھیں اور اس سے زیادہ کچھ نہیں۔

اگر منتخب کردہ جدول ایک عام ڈیفالٹ راستہ فراہم کرتا ہے، تو اس ماخذ والا ہر پیکٹ وہی استثنیٰ لے سکتا ہے۔ اسی پتے سے بندھی دوسری سروس اسے وراثت میں پاتی ہے، اور جو ایپلیکیشن جان بوجھ کر اس پتے سے بندھتی ہے وہ بھی اسے پاتی ہے۔ پالیسی قواعد کا حوالہ ماخذ، منزل، پروٹوکول، پورٹ، نشان اور ترجیح کو الگ الگ انتخاب کنندگان کے طور پر درج کرتا ہے، جو یاد دلاتا ہے کہ صرف ماخذ ہی دستیاب سب سے موٹا انتخاب ہے۔

ترجیح نتیجہ طے کرتی ہے۔ تلاشیں ترتیب سے چلتی ہیں اور نتیجہ دینے والا پہلا جدول تلاش ختم کر سکتا ہے، اس لیے بہت جلدی رکھا گیا قاعدہ اس زیادہ مخصوص راستے کو چھپا سکتا ہے جو بعد کا جدول دیتا۔ پوری ترتیب شدہ فہرست پڑھیں، صرف وہ ایک لائن نہیں جو آپ نے شامل کی۔ جو قاعدہ کبھی میل نہیں کھاتا اس کی کوئی قیمت نہیں، جبکہ بہت جلدی میل کھانے والا اپنے پیچھے کا سب کچھ خاموشی سے بدل دیتا ہے۔

واپسی کا راستہ اور وہ ٹریفک جو آپ نے ارادہ نہیں کیا تھا چیک کریں

قواعد اور جدول پڑھیں، پھر کرنل سے پوچھیں کہ کوئی مخصوص ماخذ اور منزل جوڑی کون سا راستہ لے گی۔ میزبان سے ہی جانچنا باہر سے جانچنے کے برابر نہیں، اس لیے دونوں کریں۔

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

پھر ایک نیا بیرونی کنکشن قبول کریں اور الگ سے ایسی درخواست جو اب بھی VPN سے باہر جانی چاہیے۔ اگر دوسری اب سیدھی باہر جاتی ہے، تو استثنیٰ اس مسئلے سے وسیع ہے جسے آپ حل کر رہے تھے، اور اہم جانچ وہی ہے جسے آپ بدلنے کا ارادہ نہیں رکھتے تھے۔

براؤزر میں عوامی پتے کی جانچ صرف ان درخواستوں کی اطلاع دیتی ہے جو اس براؤزر نے کیں۔ یہ ویب سرور کے جوابات، کسی دوسری مقامی ایپلیکیشن کے ماخذ کے انتخاب، یا اگلے VPN دوبارہ کنکشن کے بعد انتظامی ٹریفک کے ساتھ کیا ہوتا ہے، کے بارے میں کچھ نہیں کہتی۔

فیصلہ کریں کہ استثنیٰ کتنا تنگ ہو سکتا ہے

دو ڈیزائن قابل دفاع ہیں اور انہیں جان بوجھ کر چنا جانا چاہیے۔ اگر میزبان صرف اس سروس کو شائع کرنے کے لیے ہے اور اس کا آؤٹ باؤنڈ ٹریفک اہم نہیں، تو صرف WAN کی پالیسی کے ساتھ مخصوص مقامی پتہ ایک معقول انتظام ہے بشرطیکہ آپ پوری وسعت قبول کریں۔ اگر صرف مخصوص اندر آنے والے کنکشن اہل ہونے چاہئیں، تو پتے کا انتخاب بہت موٹا ہے اور اس سے پہلے کنکشن سے واقف ڈیزائن ہونا چاہیے۔

جس معاہدے پر آپ بھروسہ کرتے ہیں اسے درج کریں: عوامی میپنگ، وہ میزبان پتہ جس پر درخواست پہنچائی جاتی ہے، اور وہ راستہ جو جواب کو لینا چاہیے۔ VPN فراہم کنندہ کے ذریعے شائع شدہ اندر آنے والی سروس گھر کے راؤٹر کے ذریعے شائع شدہ سے مختلف معاہدہ ہے، اور ایک مثال سے نقل کیا گیا استثنیٰ اکثر دوسرے کے لیے غلط ہوتا ہے۔

پالیسی کو روٹنگ کے مالک جزو میں رکھیں، بجائے اس کے کہ کمانڈ کو اسٹارٹ اپ فائل میں چسپاں کریں۔ قواعد کی ترتیب، نیٹ ورک تبدیلی کے بعد صفائی اور ری بوٹ کے بعد تکرار سب کو زندہ رہنا چاہیے، اور غیر آزمودہ اسٹارٹ اپ فائل عموماً اسی لمحے ناکام ہوتی ہے جب آپ نہیں دیکھ رہے ہوتے۔ اس قبولیت کے نتیجے پر ختم کریں جس کا آپ دفاع کر سکیں: ایک شائع شدہ سائٹ بحال ہوئی اور ایک غیر متعلقہ بہاؤ تبدیل نہیں ہوا۔