vpnc کا گروپ راز یا آپ کا لاگ ان: کون سی خانہ کیا لیتا ہے؟
vpnc پروفائل گروپ ID، گروپ راز اور XAuth لاگ ان مانگتی ہے، اور لوگ اکاؤنٹ کا پاس ورڈ غلط خانے میں ڈالتے ہیں۔ ہر خانے کو اس کے کردار کے مطابق ملائیں۔
پہلی بار جب کوئی آپ کو vpnc پروفائل دیتا ہے، اسناد کا مکالمہ چار چیزیں پوچھتا ہے اور ایسا پڑھا جاتا ہے جیسے ایک ہی پاس ورڈ چاہیے۔ ایسا نہیں: گروپ کا پہلے سے مشترکہ راز اور انفرادی XAuth لاگ ان الگ مالکان والی الگ قدریں ہیں، اور اکاؤنٹ کا پاس ورڈ گروپ خانے میں ڈالنے سے ایسی ناکامی آتی ہے جو غلط خانے کی بجائے خراب پاس ورڈ جیسی لگتی ہے۔ یہ نقشہ درست کرنا ہی یہاں کا پورا کام ہے۔ نیچے کا پروٹوکول کسی اور کا ہجرت منصوبہ ہے، اسی لیے اس میں سے کچھ بھی نئی IKEv1 سرنگیں بنانے کی دلیل نہیں۔
دو راز، دو مالک، ایک مکالمہ
گروپ راز گیٹ وے پروفائل کا ہے۔ جو بھی اس پروفائل سے جڑتا ہے وہی قدر استعمال کرتا ہے، اور اسی لیے یہ کسی شخص کی شناخت نہیں کر سکتا اور پروفائل کے باقی تمام صارفین کے لیے بدلے بغیر ایک لیپ ٹاپ سے واپس نہیں لیا جا سکتا۔ XAuth صارف نام اور پاس ورڈ اس کے بجائے انسان کے ہیں، اور گیٹ وے IPsec تعلق پہلے سے قائم ہونے کے بعد دوسرے مرحلے میں ان کا جائزہ لیتا ہے۔
لوگ اسی دو مرحلوں والی شکل کو نظر انداز کرتے ہیں۔ سرنگ قائم کرنا اور صارف کی توثیق الگ ان پٹ والے الگ تبادلے ہیں، اس لیے جو کلائنٹ کبھی اسناد کی درخواست تک نہیں پہنچتا وہ لاگ ان میں بالکل ناکام نہیں ہوا۔ مکالمے کو ایک نہیں بلکہ دو کالموں کی طرح پڑھیں: بائیں پروفائل بھر کی قدریں، دائیں ذاتی قدریں۔ جب رابطہ ناکام ہو، تو جو کالم آپ نے سب سے آخر میں بھرا وہ خود بخود قصوروار کالم نہیں ہوتا۔
خانوں کو کردار کے مطابق ملائیں، لیبل کے مطابق نہیں
vpnc اپنی ہدایات کو منصوبے کی دستاویزات میں نام دیتا ہے، اور ہر گرافیکل فرنٹ اینڈ انہیں دوبارہ لیبل کرتا ہے۔ ہر قدر کے کردار کا ترجمہ کریں، پھر لیبل اہم نہیں رہتے:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
گروپ خانے کے ساتھ «صارف نام» اور «پاس ورڈ» دکھانے والا فرنٹ اینڈ غلط نہیں — یہ الگ ناموں کے تحت وہی تین قدریں ہیں۔ جو ٹوٹتا ہے وہ یہ ہے کہ کوئی خانہ اس لیے بھرا جائے کہ کوئی قدر اس میں فٹ آتی ہے۔ صارف پاس ورڈ کے طور پر چسپاں کیا گیا گروپ راز پروفائل کی توثیق کرتا ہے اور پھر صارف مرحلے میں ناکام ہوتا ہے؛ گروپ راز کے طور پر چسپاں کیا گیا اکاؤنٹ پاس ورڈ پہلے، کسی بھی درخواست سے پہلے ناکام ہوتا ہے، اور لوگوں کو فائر وال میں ایسی مسئلہ تلاش کرنے بھیجتا ہے جو متن کے خانے میں رہتی ہے۔
گروپ شناخت کنندہ کیا نہیں ہے
گروپ کا لفظ غلط مطالعے کی دعوت دیتا ہے۔ یہاں گروپ شناخت کنندہ ایک منتخب کنندہ ہے جو گیٹ وے کو بتاتا ہے کہ کون سی پروفائل ترتیب لاگو کرنی ہے؛ یہ ڈائریکٹری رکنیت کے بارے میں کچھ نہیں کہتا، اور دونوں طرف یکساں نام اتفاق ہے جب تک آپریٹر اس کی تصدیق نہ کرے۔ اجازت XAuth کی کامیابی کے بعد ہوتی ہے، گیٹ وے جس سے مشورہ کرنے کے لیے ترتیب دیا گیا ہے وہ طے کرتا ہے، اور ان میں سے کچھ بھی کلائنٹ کے مکالمے میں نظر نہیں آتا۔
یہی احتیاط گروپ راز پر بھی لاگو ہوتی ہے۔ اسے جاننا شناخت نہیں ہے، اور ایک راز کو ٹیم میں گھمانا ایسے نتائج والا عملی فیصلہ ہے جو کلائنٹ آپ کو نہیں دکھا سکتا۔
جڑنے سے پہلے مبہم ہدایت حل کریں
پرانی حوالگی نوٹس میں اکثر «مخصوص عوامی IP استعمال کریں» جیسی سطر ہوتی ہے۔ اس جملے کا مطلب وہ پتہ ہو سکتا ہے جہاں سے دوسری طرف کی اجازت فہرست آپ کی ٹریفک کی آمد کی توقع رکھتی ہے، یہ آپریٹر نیٹ ورک کی خروجی خصوصیت ہے اور گیٹ وے خانے میں آپ کے ٹائپ کردہ آخری مقام سے اس کا کوئی تعلق نہیں۔ قدر کہیں جانے سے پہلے پوچھیں کہ دونوں میں سے کون سا مراد ہے۔ الٹا بھرنے پر یہ ہر پیکٹ ایسے پتے پر بھیجتا ہے جو کبھی جواب نہیں دیتا، اور اس سے آنے والی مہلت بلاک شدہ پورٹ کی طرح پڑھی جاتی ہے۔
تنظیم کے تصدیق شدہ ذریعے سے چار چیزیں مانگیں: کون سا کلائنٹ اور پروٹوکول معاون ہے، کون سا آخری مقام استعمال کرنا ہے، گیٹ وے کون سی شناخت پیش کرے گا، اور اسناد کیسے سونپی جاتی ہیں۔ اصل راز اسکرین شاٹس، ٹکٹوں اور مشترکہ مسئلہ حل کرنے والے نوٹس سے باہر رکھیں۔ سرٹیفکیٹ جانچ بند نہ کریں اور مختلف طریقے سے ترتیب دی گئی سروس کو موافق دکھانے کے لیے پرانی سائفر فہرست نہ چسپاں کریں، کیونکہ صرف جانچ کمزور کر کے چلنے والا رابطہ وہ رابطہ نہیں جسے بنانے کو کہا گیا تھا۔
پرانا پروفائل دیانت دار رکھیں
IKEv1 متروک ہے، اور RFC 9395 وہ دستاویز ہے جس کا حوالہ ہجرت کا سوال اٹھنے پر دینا چاہیے۔ کامیاب خانہ بندی اس بات کا ثبوت نہیں کہ پروٹوکول نئی ترتیب کا حصہ ہے؛ یہ جو خریدتی ہے وہ متبادل کے طے ہونے تک چلنے والا رابطہ، اور اس ہجرت کے لیے تحریری دائرہ اور مالک ہے۔
پھر مکالمے کے بجائے ضرورت کے خلاف جانچیں۔ جڑنے کے بعد تصدیق کریں کہ سرنگ انٹرفیس کے پاس متوقع پتہ ہے اور اندرونی منزل اسی سے گزرتی ہے؛ اگر اصل ضرورت میں اجازت فہرست کے لیے خروجی پتہ بتایا گیا تھا، تو وہ پتہ بھی تصدیق کریں، کیونکہ یہ سرنگ کے کھڑے ہونے سے مختلف حقیقت ہے۔ جو پروفائل درست توثیق کرتی ہے اور کچھ بھی راستہ نہیں دیتی، وہ بھی جس کام کے لیے بنی تھی وہ چوک چکی ہے۔