VPN کا کنٹرول چینل اور ڈیٹا چینل: درست تہہ کی جانچ کریں

کلائنٹ کہتا ہے کہ جڑا ہوا ہے، سرور ایک ساتھی دیکھتا ہے، اور ایپلیکیشن اب بھی کہیں نہیں پہنچتی۔ اس لمحے کارآمد سوال یہ نہیں کہ کون سا سائفر بدلا جائے، بلکہ یہ ہے کہ کون سا چینل ناکام ہوا۔ OpenVPN دو کاموں کے نام واضح طور پر لیتا ہے: ایک کنٹرول چینل جو سیشن پر بات چیت کرتا ہے اور اسے سنبھالتا ہے، اور ایک ڈیٹا چینل جو محفوظ ٹریفک ڈھوتا ہے۔ IKEv2 اسی طرح کی تقسیم IKE انجمن اور CHILD انجمن کے ذریعے ظاہر کرتا ہے۔ نیچے دی گئی جانچیں ترتیب سے کریں، کیونکہ کنٹرول راستے کی خرابی پر ڈیٹا راستے کی درستی لاگو کرنا تبدیلی کی کھڑکی ضائع کرتا ہے۔

ڈیبگ کرنے سے پہلے چینل کا نام دیں

کنٹرول کی طرف حفاظتی مواد پر بات چیت کرتی ہے، ساتھیوں کی توثیق کرتی ہے اور کنکشن سنبھالتی ہے۔ ڈیٹا کی طرف مطلوبہ حالت موجود ہونے پر منتخب ٹریفک ڈھوتی ہے۔

وہ مختلف انداز میں ناکام ہوتے ہیں۔ کنٹرول کی ناکامی عام طور پر آپ کو کسی بھی قابلِ استعمال سیشن کے بغیر چھوڑ دیتی ہے، یا ایسے سیشن کے ساتھ چھوڑ دیتی ہے جو لوپ میں دوبارہ بات چیت کرتا ہے۔ ڈیٹا کی ناکامی ایسا سیشن چھوڑتی ہے جو صحت مند دکھتا ہے جبکہ پیکٹ گرا دیے جاتے ہیں، غلط راستے پر بھیجے جاتے ہیں، یا ایسے پیرامیٹر سے محفوظ کیے جاتے ہیں جنہیں سامنے والا فریق قبول نہیں کرے گا۔ آپ جو لاگ لائن پڑھ رہے ہیں وہ بتاتی ہے کہ آپ کس حالت میں ہیں، اس لیے خرابی کے متن سے پہلے لیبل پڑھیں۔

کنٹرول کے تبادلے کی جانچ کریں

یقینی بنائیں کہ ہینڈ شیک مکمل ہوتا ہے اور دونوں فریق نقل و حمل، TLS ورژن اور توثیق کے طریقے پر متفق ہیں۔ OpenVPN کے لاگ کنٹرول چینل اور ڈیٹا چینل کے لیے الگ الگ سطریں چھاپتے ہیں، اور سرٹیفکیٹ، TLS ورژن یا tls-crypt کی عدم مطابقت کنٹرول کی سطر ہی میں ظاہر ہوتی ہے۔

اگر کنٹرول کا تبادلہ ناکام ہو تو قابلِ رسائی پورٹ، سرٹیفکیٹ کی زنجیر اور اس کی مدتِ اعتبار کی تاریخیں، سسٹم کی گھڑی، کلائنٹ اور سرور کے درمیان سائفر کا باہمی اوورلیپ، اور کوئی بھی tls-auth یا tls-crypt کلید دیکھیں۔ بڑی سرٹیفکیٹ زنجیر کسی بھی توثیق کے مکمل ہونے سے پہلے راستے کے MTU پر بھی ناکام ہو سکتی ہے، جو کرپٹوگرافک خرابی کے بجائے وقت ختم ہونے جیسا دکھتا ہے۔

کنٹرول کی خرابیوں کو کنٹرول کی ترتیبات سے ٹھیک کریں۔ ڈیٹا سائفر بڑھانا یا ڈیٹا توثیق کی پالیسی نرم کرنا ایسا ہینڈ شیک مکمل نہیں کرے گا جو کبھی سرٹیفکیٹ کے تبادلے سے آگے نہ بڑھا۔

ڈیٹا چینل کی الگ سے جانچ کریں

سیشن قائم ہونے کے بعد طے شدہ ڈیٹا سائفر اور موڈ، کلید کی تخلیق اور کلید کی تجدید کا رویہ یقینی بنائیں۔ OpenVPN میں، ڈیٹا چینل کی سطر اسی سائفر اور کلید کے حجم کا نام لیتی ہے جو واقعی شروع کیے گئے، اور وہ پروفائل کے پہلے سائفر سے مختلف ہو سکتے ہیں۔

پھر جانچیں کہ سیشن نے کیا نصب کیا۔ PUSH_REPLY راستے، ایک DNS سرور اور redirect-gateway کی ہدایت شامل کر سکتا ہے، اور ان میں سے کوئی بھی ٹریفک ایسی جگہ بھیج سکتا ہے جہاں ایپلیکیشن اسے استعمال نہیں کر سکتی۔ IKEv2 کے لیے مساوی سوال یہ ہے کہ CHILD انجمن کے منتخب کنندہ حقیقی بہاؤ میں موجود پتوں سے مطابقت رکھتے ہیں یا نہیں۔

tls-auth اور tls-crypt کنٹرول چینل سے تعلق رکھتے ہیں۔ وہ ہینڈ شیک کی توثیق یا خفیہ کاری کرتے ہیں اور ایپلیکیشن کا ڈیٹا سائفر منتخب نہیں کرتے۔ اگر آپ ڈیٹا راستے میں تبدیلی کی امید پر ان میں سے ایک شامل کریں تو آپ نے صرف ہینڈ شیک بدلا ہے۔

ناموں کو IKEv2 اور OpenVPN سے جوڑیں

IKEv2 میں ایک IKE حفاظتی انجمن اور ایک یا زیادہ CHILD انجمنیں ہوتی ہیں۔ IKE انجمن کنٹرول کے تبادلے ڈھوتی ہے؛ CHILD انجمن محفوظ ٹریفک اور اس کے منتخب کنندہ ڈھوتی ہے۔ ان پر الگ الگ شیڈول کے مطابق بات چیت ہوتی ہے اور کلیدیں تجدید ہوتی ہیں، اس لیے ایک صحت مند ہو سکتی ہے جبکہ دوسری نہیں۔

ESP کے اندر TLS طرز کا کنٹرول چینل نہیں ہے۔ کنٹرول پروٹوکول IKE ہے، اور ESP محفوظ پے لوڈ ہے۔ ESP کو ڈیٹا چینل کہنا ایک ڈھیلا اختصار ہے جو پیکٹ کیپچر پڑھتے وقت الجھن پیدا کرتا ہے، کیونکہ کیپچر تار پر IKE پیغامات اور ESP پیکٹوں کو الگ پروٹوکول کے طور پر دکھاتا ہے۔

اپنے نوٹس میں یہ ربط واضح رکھیں: OpenVPN کا کنٹرول چینل اور IKE SA انتظامی طرف ہیں، OpenVPN کا ڈیٹا چینل اور CHILD SA ٹریفک کی طرف ہیں، اور تقسیم یکساں دکھنے پر بھی عمل درآمد آپس میں بدلے نہیں جا سکتے۔

غلط ترتیب بدلنا بند کریں

راستہ ایک ہی سمت میں طے کریں: کنٹرول کا تبادلہ، ڈیٹا کا تحفظ، آگے بھیجنا، پھر ناموں کا حل۔ پہلے ناکام مرحلے پر رکیں اور صرف اسی مرحلے کو ٹھیک کریں۔ گیٹ وے تک پنگ کام کرنے کے باوجود ایپلیکیشن کی ٹریفک کے بغیر جڑا ہوا سیشن آگے بھیجنے یا منتخب کنندہ کا مسئلہ ہے، ہینڈ شیک کا نہیں۔

ہر مرحلے کے شواہد ٹکٹ میں الگ الگ لکھیں: کنٹرول کی لاگ لائن، طے شدہ ڈیٹا پیرامیٹر، نصب شدہ راستے اور ایک حقیقی درخواست۔ یہ ڈھانچہ کام کرنے والی شناخت کی جانچ کو کمزور کر کے اس بعد کے روٹنگ مسئلے کو درست کرنے سے روکتا ہے جو اس نے کبھی پیدا نہیں کیا، اور ڈیٹا سائفر کی تبدیلی کو سرٹیفکیٹ کی خرابی کا حل بنا کر بیچنے سے بھی روکتا ہے۔

OpenVPN پروٹوکول دستاویز کنٹرول اور ڈیٹا کی تقسیم کا حوالہ ہے؛ جب کسی فروش کا انٹرفیس انہی دو کاموں کے لیے دوسرے الفاظ استعمال کرے تو اسے استعمال کریں۔