VPN مصافحے کے مراحل: ٹریفک بہنے سے پہلے کیا ہوتا ہے

کنیکٹ دبانے سے چار الگ کام شروع ہوتے ہیں، جو خودمختار طور پر کامیاب یا ناکام ہوتے ہیں۔ کلائنٹ کو سننے والے تک پہنچنا ہوتا ہے، طے کرنا ہوتا ہے کہ ساتھی کون ہے، چابیاں نکالنی ہوتی ہیں اور پھر ایک کارآمد سرنگ نظام کے باقی حصے کے حوالے کرنی ہوتی ہے۔ زیادہ تر ناکام کنکشن غلط کام میں تشخیص ہوتے ہیں۔ اسی لیے پہلی خرابی تیسری کوشش سے زیادہ اہم ہے۔

پہلے سننے والے تک پہنچیں

کسی بھی شناخت کے تبادلے سے پہلے، کلائنٹ ایک نام حل کرتا ہے، ایک راستہ چنتا ہے اور ایک پورٹ تک نقل و حمل کھولتا ہے۔ ہر چیز کا جواب دینے والا کیپٹیو پورٹل، بند پورٹ اور غلط ہوسٹ نام یہاں ناکام ہوتے ہیں، اور ان میں سے کوئی بھی توثیق کا مسئلہ نہیں ہے۔ پاس ورڈ بدلنے سے تینوں میں سے ایک بھی درست نہیں ہوتا۔ اسناد کو چھونے سے پہلے خرابی کی پہلی سطر پڑھیں۔

وقت کا ختم ہونا، سرٹیفکیٹ کا رد اور مسترد شدہ اکاؤنٹ تین مختلف خرابیاں ہیں جن کے تین مختلف معائنے ہیں۔ انہیں پہلے الگ کرنا ہی نیٹ ورک کے مسئلے کو اسناد کے مسئلے کے طور پر ٹھیک کرنے سے روکتا ہے۔

ساتھی کو ثابت کریں، پھر چابیاں نکالیں

ہر پروٹوکول کو مطلوبہ سرور پہچاننے کا طریقہ چاہیے، چاہے وہ ترتیب شدہ عوامی چابی ہو یا سرٹیفکیٹ کی زنجیر۔ صارف کا لاگ ان اس معائنے میں اضافہ ہے، اس کا متبادل نہیں۔ جو سرور آپ کا پاس ورڈ قبول کرتا ہے، اس نے اپنی شناخت کے بارے میں کچھ ثابت نہیں کیا۔ اسی لیے کلائنٹ میں لکھا گیا مشترک راز یہ جانچنے کا متبادل نہیں کہ جواب کس نے دیا۔

پھر تبادلہ پروٹوکول کے اپنے ان پٹ سے ٹریفک کی چابیاں نکالتا ہے، اور لاگ ان پاس ورڈ عام طور پر وہ چابی نہیں ہوتا جو ہر پیکٹ پر لگائی جاتی ہے۔ طویل مدت کی شناختی مواد اور مختصر مدت کی سیشن چابیوں کی عمر اور کام الگ ہوتے ہیں۔ آگے کی رازداری اسی علیحدگی کی بات کرتی ہے۔

مسائل حل کرتے وقت توثیق کو آن رکھیں، کیونکہ کسی معائنے کو بند کرنے کے بعد جڑنے والی سرنگ اس کے سوا کچھ ثابت نہیں کرتی کہ وہ معائنہ کچھ کر رہا تھا۔ آپ نے کیا بدلا لکھ لیں اور اگلے امتحان سے پہلے اسے واپس رکھیں۔

تین پروٹوکول، تین گفتگو

TLS پر مبنی OpenVPN تعیناتی میں کنٹرول چینل سلامتی کے پیرامیٹرز پر بات چیت کرتا ہے جبکہ ڈیٹا چینل سرنگ کا ٹریفک لے کر چلتا ہے، اس لیے ڈیٹا چینل کا انتخاب اور سرٹیفکیٹ کا مسئلہ الگ الگ جگہوں پر ہیں۔ IKEv2 دونوں شرکاء کی توثیق کرتا ہے اور پھر اپنی عمر والی IPsec سلامتی انجمنیں قائم کرتا ہے۔ WireGuard Noise پر مبنی تبادلے سے چابیاں نکالتا ہے اور حالت مشین کو جان بوجھ کر چھوٹا رکھتا ہے۔ یہ جاننا کہ آپ تینوں میں سے کون سا چلاتے ہیں، طے کرتا ہے کہ کون سا لاگ پڑھنے کے قابل ہے۔

ایک جیسے دکھنے والے کلائنٹ کا مطلب یہ نہیں کہ نیچے پیغامات قابل تبادلہ ہیں، اور کسی ایک مصنوعات میں موجود ترتیب کا میدان دوسری میں ہم پلہ نہ ہو سکتا ہے۔ ان کے درمیان پروفائل کاپی کرنا ہجرت نہیں، اندازہ ہے۔

مصافحہ کیا نہیں کرتا

راستے، نام کی تفریق اور منزل کی پالیسی سب بعد میں بھی باقی رہتے ہیں۔ کوئی اندرونی سائٹ اپنے سب نیٹ راستے کی عدم موجودگی میں ناقابل رسائی رہ سکتی ہے، چاہے ساتھی کی توثیق درست ہوئی ہو اور سرنگ چل رہی ہو۔ اسے کمزور خفیہ کاری سمجھنا آپ کو غلط تہہ میں تلاش کرنے بھیجتا ہے، اور یہ عام طور پر ایسی سائفر تبدیلی پر ختم ہوتا ہے جو کچھ درست نہیں کرتی۔

چابی کی تجدید اور دوبارہ جڑنا بھی زیادہ تر حالت نمایشوں میں ایک جیسے دکھتے ہیں، اور دونوں میں سے کوئی نہیں بتاتا کہ وقفے کے دوران عام ٹریفک روکا گیا تھا یا نہیں۔ اس سوال کا جواب صرف کلائنٹ کی ناکامی پالیسی دیتی ہے، اس لیے آئیکن نہیں، پالیسی پڑھیں۔

اوپر دیے گئے ترتیب سے مراحل چلائیں اور پہلے خرابی پیدا کرنے والے مرحلے پر رک جائیں۔ ہر اگلا مرحلہ پچھلے مراحل کی حالت ورثے میں لیتا ہے، اس لیے تیسرے مرحلے کی ناکامی چوتھے کے بارے میں کچھ نہیں کہتی۔

ip -brief address show tun0
ip route get 10.60.7.15
resolvectl query intranet.corp.internal