VPN ٹریفک فلٹر یا IPsec قاعدہ: Windows پورٹ کہاں لاگو کرتا ہے

Windows VPN کا ایک صارف سرور پر HTTPS تک پہنچے اور اسی سرور پر SMB تک نہ پہنچے، اور راستہ یہ بیان نہیں کر سکتا۔ دونوں درخواستیں ایک ہی منزل کا پتہ رکھتی ہیں، اس لیے جو سابقہ ٹریفک کو سرنگ میں بھیجتا ہے وہ اسی بہاؤ کو بھی لے جاتا ہے جسے آپ خارج کرنا چاہتے تھے۔ انہیں الگ کرنے کے لیے ایسا قاعدہ چاہیے جو منزل سے زیادہ باریک چیز دیکھے۔

دو مختلف ارادے دو مختلف Windows طریقوں سے بنتے ہیں۔ انہیں ملانا ایسی پالیسی بناتا ہے جو مکمل دکھتی ہے مگر آپ کے ارادے کا نصف لاگو کرتی ہے۔

ایک راستہ ایک پتے پر دو خدمتیں الگ نہیں کر سکتا

اصل VPN روٹنگ سابقوں پر مبنی ہے: یہ طے کرتی ہے کہ کون سی منزلیں سرنگ سے گزریں اور کون سی باہر رہیں۔ ایک ذیلی نیٹ کو اندر اور دوسرے کو باہر رکھنے کے لیے یہ درست اوزار ہے، اور اپنی ساخت کے لحاظ سے یہ پورٹوں کے لیے اندھا ہے۔ VPN پروفائل پر ٹریفک فلٹر دوسری جہت جوڑتا ہے: یہ پروٹوکول، دور دراز پتہ اور دور دراز پورٹ کو اس سے ملاتا ہے جو اس انٹرفیس کو عبور کر سکتا ہے۔ IPsec قاعدہ تیسری جگہ کام کرتا ہے اور بتاتا ہے کہ کن بہاؤں کو تحفظ درکار ہے اور کس کے ساتھ وہ تصدیق ہوتے ہیں۔ تینوں مختلف سوالوں کے جواب دیتے ہیں اور کوئی بھی دوسروں کا متبادل نہیں۔

مطلوبہ جملہ لکھ کر شروع کریں۔ صرف HTTPS کی اجازت دو رسائی کا جملہ ہے، جبکہ HTTPS کے لیے IPsec کا تقاضا کرو تحفظ کا جملہ ہے، اور دونوں مختلف ترتیب کی طرف لے جاتے ہیں۔

رسائی کی پابندی اور تحفظ کا تقاضا الگ الگ سمت جاتے ہیں

رسائی کی پابندی بتاتی ہے کہ انٹرفیس کیا استعمال کر سکتا ہے، اور یہ ایک مجموعے کو اجازت دے کر باقی سب سے انکار کر کے لاگو ہوتی ہے۔ تحفظ کا تقاضا بتاتا ہے کہ کن بہاؤں کو خفیہ اور تصدیق شدہ ہونا چاہیے، اور یہ ان سے مطابقت رکھنے والی سلامتی انجمنوں پر بات چیت کر کے لاگو ہوتا ہے۔ پہلی فہرست میں کچھ نہ ہونے پر مسدود درخواست بناتی ہے، جبکہ دوسرا ایسا رابطہ بناتا ہے جو یا تو مطلوبہ تحفظ لے کر چلتا ہے یا قائم ہی نہیں ہوتا۔ ایک کو دوسرے کی طرح سمجھنا وہی طریقہ ہے جس سے پالیسی آخرکار کچھ بھی مسدود یا محفوظ نہیں کرتی۔

عملی نتیجہ یہ ہے کہ فلٹر فہرست ایک بند مجموعہ ہے۔ پروفائل پر فہرست ہونے کے بعد، اس انٹرفیس پر وہ ٹریفک مسترد ہوتا ہے جو کسی بھی اندراج سے مطابقت نہیں رکھتا، اس لیے DNS، تصدیق کے تبادلے اور ایپلیکیشن کو درکار کوئی بھی انحصار اپنے اندراجات مانگتا ہے۔ مسترد ہونے کو خاموش کرنے کے لیے ایک وسیع قاعدہ شامل کرنے سے پورا انٹرفیس دوبارہ کھل جاتا ہے اور پابندی خاموشی سے منسوخ ہو جاتی ہے۔ فہرست اتنی مختصر ہونی چاہیے جتنی تقاضا اجازت دے اور اتنی مکمل جتنی ایپلیکیشن مانگے۔

فلٹر فہرست کو مکمل مجموعے کے طور پر بنائیں

VPNv2 پروفائل راستوں کی فہرست سے الگ فلٹر فہرست رکھتے ہیں، اور اس کے اندراجات احکام نہیں بلکہ پروفائل کی خصوصیات ہیں۔ HTTPS کی مثال کے لیے اندراج کو پروٹوکول 6، دور دراز پتہ اور دور دراز پورٹ چاہیے، جو استعمال ہونے والی پروفائل قسم کے لیے انتظامی چینل یا ProfileXML کے ذریعے تعینات کیے جاتے ہیں۔ Microsoft کی VPNv2 ٹریفک فلٹر کی تعریف بیان کرتی ہے کہ ایک قاعدے کے اندر کی شرطیں یکجا ہوتی ہیں جبکہ الگ قاعدہ شناخت کنندہ متبادل کے طور پر کام کرتے ہیں۔

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

اس فہرست میں پورٹ کی قدریں دور کے سرے پر خدمت کا پورٹ بیان کرتی ہیں، اور مقامی پورٹ بغیر پابندی رہنا چاہیے تاکہ کلائنٹ کا عارضی ماخذ پورٹ فلٹر نہ ہو جائے۔ الٹا کرنے سے ایسا قاعدہ بنتا ہے جو کسی سے مطابقت نہیں رکھتا اور ایک پہیلی جو پوری دوپہر لے لیتی ہے۔

راستے اور فلٹر کو دو الگ فیصلوں کے طور پر لکھیں۔ راستہ طے کرتا ہے کہ اس سرور تک سرنگ سے پہنچا جاتا ہے، اور فلٹر طے کرتا ہے کہ کون سی خدمتیں وہ راستہ استعمال کر سکتی ہیں۔

دو درخواستوں سے دونوں نتائج ثابت کریں

اجازت یافتہ بہاؤ اور مسترد شدہ بہاؤ الگ الگ جانچیں، اور گمشدہ صفحے کے بجائے ناکامی پڑھیں۔ جلدی آنے والا انکار پالیسی کا فیصلہ ہے، جبکہ وقت کا ختم ہونا زیادہ امکان ہے کہ گمشدہ راستہ یا نہ سننے والی خدمت ہو۔ نیچے کے احکام دونوں درخواستیں چلاتے ہیں اور نافذ قواعد دکھاتے ہیں۔

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB جانچ میں تیز انکار اور HTTPS جانچ میں کامیابی وہی نتیجہ ہے جو فلٹر کو دینا تھا۔ دونوں پورٹوں پر انکار کا مطلب ہے کہ فہرست میں سیشن کو درکار کوئی چیز کم ہے، اور دونوں پر وقت کا ختم ہونا فلٹرنگ کے بجائے روٹنگ کی طرف اشارہ کرتا ہے۔ اگر محفوظ بہاؤ IPsec کے اخراج میں کوئی سلامتی انجمن نہیں دکھائیں تو رابطہ کامیاب ہونے پر بھی تحفظ کا تقاضا پورا نہیں ہوتا۔ چاروں اخراجات ایک ساتھ پڑھیں، کیونکہ ہر ایک اکیلا الگ کہانی کی تائید کرتا ہے۔

نتائج کے ساتھ نافذ پروفائل، قواعد کا مجموعہ اور دوسرے فریق کی پالیسی درج کریں۔ پرانے Windows کلائنٹس کے بارے میں تاریخی مطابقت کے نوٹ یہ نہیں بتاتے کہ آج کی منظم پروفائل خصوصیات کسی خاص گیٹ وے پر کیا معاونت کرتی ہیں۔ نسخے پر منحصر رویہ قیاس میں نہیں، ریکارڈ میں ہونا چاہیے۔