آپ کے VPN کا DNS متبادل: استفسار اصل میں کہاں جاتا ہے

ریزولور کی ترتیب نجی پتے سے عوامی پتے پر منتقل ہوتی ہے، اور نتیجہ فوراً آتا ہے: ٹنل رس رہا ہے۔ بعض اوقات ایسا ہوتا ہے۔ اکثر متبادل استفسار پھر بھی ٹنل کے اندر اس ریزولور تک جاتا رہا جو منتظم نے چنا تھا، اور یہ اسے نقص کے بجائے پالیسی کا فیصلہ بناتا ہے۔ ان صورتوں کو الگ کرنے کے لیے ایک کے بجائے تین حقائق درکار ہیں، اور پہلا یہ ہے کہ جواب کس نے دیا۔ معلوم کریں کہ استفسار کس نے وصول کیا، کون سا راستہ اسے لے گیا اور کون سے نام پوچھے گئے۔

متبادل راستہ ایک پالیسی ہے، کوئی واحد رویہ نہیں

ہر کلائنٹ کو فیصلہ کرنا ہوتا ہے کہ جب پسندیدہ ریزولور جواب دینا بند کر دے تو کیا کرے۔ یہ حل کو مسدود کر سکتا ہے، دوبارہ کوشش کر سکتا ہے، ترتیب شدہ متبادل استعمال کر سکتا ہے یا اسے آپریٹنگ سسٹم پر چھوڑ سکتا ہے، اور رازداری کے لحاظ سے یہ چار مختلف مصنوعات ہیں۔ ترتیبات کی اسکرین پڑھنا بتاتی ہے کہ کون سا رویہ ترتیب دیا گیا ہے؛ یہ نہیں بتاتی کہ کون سا پیش آیا۔ ایک سوئچ والی اسکرین چار امکانات بیان نہیں کرتی۔

براؤزر اپنی الگ تہہ شامل کرتے ہیں۔ محفوظ DNS فعال رکھنے والا براؤزر نام کو اپنے منتخب کردہ فراہم کنندہ کے ذریعے حل کر سکتا ہے چاہے آپریٹنگ سسٹم کہیں اور اشارہ کرے، جس کا مطلب ہے کہ ٹنل کلائنٹ کی پالیسی ان درخواستوں کے لیے کبھی نہ پوچھی جائے جو واقعی آپ کے لیے اہم ہیں۔ وہ ایپلیکیشن دیکھیں جس نے درخواست بھیجی، صرف سسٹم کی ترتیب نہیں۔

متبادل ریزولور کی شناخت پہلا حقیقت ہے جسے قائم کرنا قابلِ قدر ہے۔ وہ عوامی ریزولور جو ایسے فراہم کنندہ کا ہے جس پر آپ پہلے ہی بھروسہ کرتے ہیں، اس پتے سے مختلف صورت ہے جو اس نیٹ ورک نے فراہم کیا جس پر آپ موجود ہیں۔ پتہ خود شاذ و نادر ہی بتاتا ہے کہ آپ ان دونوں میں سے کس کی طرف دیکھ رہے ہیں۔

تبدیلی کے بعد استفسار کون وصول کرتا ہے

وصول کنندہ اور راستہ آزاد ہیں، اور صرف ان کا امتزاج نمائش بیان کرتا ہے۔ ٹنل کے ذریعے پہنچنے والا عوامی ریزولور آپ کے رسائی نیٹ ورک کا پتہ کبھی نہیں دیکھتا، جبکہ وہی ریزولور براہِ راست پہنچنے پر اسے دیکھتا ہے۔ دونوں صورتوں میں جواب ملتا ہے، اور صرف ریزولور کا پتہ بتانے والا رساؤ ٹیسٹ انہیں یکساں بیان کرے گا۔ نتیجہ پڑھتے وقت پتے کے ساتھ انٹرفیس بھی پوچھیں۔

اندرونی نام فرق کو ٹھوس بناتے ہیں۔ عوامی ریزولور عام طور پر split-horizon نام کا جواب نہیں دے سکتا، اس لیے استفسار ناکام ہو جاتا ہے جبکہ نام ایسے فریق پر ظاہر ہو چکا ہوتا ہے جسے اسے دیکھنے کا کوئی کام نہ تھا۔ اس لیے یہاں دستیابی اور رازداری ایک ساتھ چلتے ہیں، ایک دوسرے کے بدلے نہیں۔

ٹنل استفسار کو ایسے ریزولور تک بھی لے جا سکتا ہے جو VPN فراہم کنندہ چلاتا نہیں، کیونکہ ٹنل حل کرنے کے بجائے آگے بھیجتا ہے۔ آگے بھیجنے والا ہوسٹ استفسار کو سادہ متن میں دیکھتا ہے اور پھر اپنا رابطہ آگے کھولتا ہے، جو اگلا قدم محفوظ کرتا ہے مگر پہلا نہیں۔

راستہ اور وصول کنندہ ساتھ ساتھ جانچیں

ترتیب کے بجائے پیکٹ دیکھیں۔ سسٹم سے پوچھیں کہ کون سا ریزولور استعمال ہوگا، پھر تصدیق کریں کہ استفسار واقعی متوقع انٹرفیس سے متوقع پتے کی طرف گیا۔

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

اگر ریکارڈنگ دکھائے کہ ٹنل قائم ہونے کے دوران استفسار فزیکل انٹرفیس چھوڑ رہا ہے، تو متبادل راستے نے ٹنل کو نظرانداز کیا، چاہے ریزولوروں کی فہرست کچھ بھی کہے۔ اگر یہ ٹنل کے انٹرفیس پر ظاہر ہو، سوال یہ بن جاتا ہے کہ دور کنارہ کون چلاتا ہے اور کیا محفوظ رکھتا ہے۔

جانچ ایک اندرونی اور ایک عوامی نام کے لیے دہرائیں۔ اندرونی استفسار وہ جگہ ہے جہاں متبادل ترتیب عام طور پر خود کو ظاہر کرتی ہے، کیونکہ جواب نہ دے سکنے والا ریزولور پھر بھی سوال وصول کرتا ہے۔

فیصلہ کریں کہ متبادل راستے کی اجازت ہونی چاہیے یا نہیں

اگر تقاضا یہ ہے کہ پسندیدہ ریزولور دستیاب نہ ہونے پر حل رک جائے، تو بند حالت میں ناکام ہونے والی نفاذ کی پالیسی ترتیب دیں اور نتیجہ قبول کریں: خلل کے دوران نام حل نہیں ہوں گے۔ یہ خرابی نہیں بلکہ دانستہ دستیابی کی تجارت ہے، اور ڈیزائن کو یہ خلل سے پہلے کہنا چاہیے۔

اگر تقاضا صرف یہ ہے کہ استفسار ٹنل سے باہر نہ جائیں، تو ٹنل کے ذریعے پہنچنے والا عوامی ریزولور قابلِ قبول ہو سکتا ہے بشرطیکہ آپریٹر اور اس کی حفاظتی پالیسی سمجھی جائے۔ ایسی قبولیت کسی تیسرے فریق کے بارے میں فیصلہ ہے نہ کہ خفیہ نگاری کے بارے میں بیان، اور یہ اسی کی ہے جس کے پاس رازداری کا دعویٰ ہے۔ اگر اندرونی ناموں کو کام کرتے رہنا ہو، تو متبادل کو ایسا ریزولور ہونا چاہیے جو اندرونی زون رکھتا ہو، جس کا عام مطلب یہ ہے کہ متبادل ہدف کوئی دوسرا پتہ خاندان نہیں بلکہ دوسرا سرور ہے۔

نتیجہ رویے کے بارے میں ایک جملے کے طور پر درج کریں: معمول کے عمل میں کون سا ریزولور استفسار وصول کرتا ہے، ناکامی کے بعد کون سا، اور دوسری صورت میں اندرونی نام حل ہوتے ہیں یا نہیں۔ آخر میں صفحہ لوڈ کرنے والا رساؤ ٹیسٹ اس جملے سے کم ثابت کرتا ہے، کیونکہ صفحہ ایسے ریزولور کے ذریعے بھی لوڈ ہو سکتا ہے جس سے کبھی رجوع نہیں کرنا چاہیے تھا۔