لینکس پر VPN شروع کرنے پر دراصل کیا ہوتا ہے

کنیکٹ دبائیں اور Linux مشین پر تین چیزیں بدلتی ہیں: ایک انٹرفیس ظاہر ہوتا ہے، راستے نصب ہوتے ہیں، اور ریزالور مختلف انداز میں جواب دینا شروع کرتا ہے۔ زیادہ تر سیٹ اپ ناکامیاں اس سے آتی ہیں کہ ان تینوں میں سے ایک باقی کے بغیر ہو جائے، یا دو پروگرام اس بات پر متفق نہ ہوں کہ اُن کا مالک کون ہے۔ ترتیب کو سمجھنا ناکامی کو کلائنٹ کے لاگ آؤٹ پٹ پڑھنے سے زیادہ تیزی سے بیان کرتا ہے۔

کچھ بھی کام کرنے سے پہلے ایک انٹرفیس ظاہر ہوتا ہے

ایک ٹنل کلائنٹ ایک ورچوئل انٹرفیس کھولتا ہے اور اُسے پیکٹ دیتا ہے۔ TUN ڈیوائس IP پیکٹ لے کر جاتی ہے، جو روٹڈ VPN کو درکار ہے؛ TAP ڈیوائس Ethernet فریم لے کر جاتی ہے، جو برجڈ ڈیزائن کو درکار ہے۔ کرنل ماڈیول ڈیوائس فراہم کرتا ہے، اور سیشن جاری رہنے تک کلائنٹ اُس کا مالک رہتا ہے۔

انٹرفیس کا اوپر آنا ٹنل کے کام کرنے کے برابر نہیں۔ پیر تک رسائی نہ ہونے پر بھی یہ پتے کے ساتھ موجود ہو سکتا ہے، اور اسی لیے انٹرفیس فہرست پہلی جانچ ہے، آخری نہیں۔ جو ڈیوائس خود کو اوپر بتاتی ہے وہ کرنل کا ورچوئل لنک پر نظریہ بیان کرتی ہے، پیر کی جواب دینے کی تیاری نہیں۔

دیے گئے انٹرفیس موڈ کو ویسا ہی رہنے دیں۔ TUN پروفائل کو TAP میں بدلنے سے روٹڈ سرور برجڈ نہیں ہوتا، اور عام طور پر ایسا کنکشن بنتا ہے جو قائم ہوتا ہے اور کچھ آگے نہیں بھیجتا۔

راستے ٹنل کا مالک نصب کرتا ہے

راستے دوسری تبدیلی ہیں، اور اُن کی ملکیت اُن کے مواد سے زیادہ اہم ہے۔ NetworkManager پروفائل، systemd یونٹ اور ہاتھ سے چلایا گیا کلائنٹ سب راستے نصب کر سکتے ہیں، اور اُن میں سے دو ایک ساتھ ایسا کریں تو ایسی جدول بنتی ہے جسے بعد میں کوئی نہیں سمجھا سکتا۔

ip -br addr show
ip route show
ip -6 route show

مکمل ٹنل پروفائل ڈیفالٹ راستہ بدل دیتا ہے؛ اسپلٹ ٹنل پروفائل زیادہ مخصوص راستے شامل کرتا ہے اور ڈیفالٹ کو ویسا ہی رہنے دیتا ہے۔ دونوں عام ہیں، اور دوسرا ہی سبب ہے کہ دور سے منظم مشین پر ڈیفالٹ راستہ مٹانا خراب پہلا امتحان ہے۔ اُسے ہٹانا اُس سیشن کو کھونے کا بھی تیز ترین طریقہ ہے جو آپ مسئلہ ٹھیک کرنے کے لیے استعمال کر رہے ہیں۔

فرض کرنے کے بجائے جدول پڑھیں۔ زیادہ مخصوص راستہ یا پالیسی قاعدہ ٹریفک کو ٹنل میں بھیج سکتا ہے جبکہ ڈیفالٹ راستہ اب بھی جسمانی انٹرفیس کی طرف اشارہ کرتا ہے، جو پوری جدول پڑھنے تک متضاد لگتا ہے۔ یہ امتزاج اسپلٹ ٹنل کے لیے عام ہے اور اُس شخص کو الجھاتا ہے جو توقع کرتا ہے کہ ایک سطر ڈیزائن بیان کرے گی۔ وہ راستہ تلاش کریں جو آپ کے حقیقی منزل سے میل کھاتا ہے، وہ نہیں جو خاکے سے میل کھاتا ہے۔

ریزالور ہاتھ بدلتا ہے

DNS تیسری تبدیلی ہے اور وہ جس کے کسی ایسی جگہ منظم ہونے کا زیادہ امکان ہے جہاں آپ نے نہیں دیکھا۔ ڈیسک ٹاپ پر NetworkManager ہر کنکشن کے لیے ریزالور کی ترتیبات بھیج سکتا ہے۔ systemd-resolved والے نظام میں ترتیبات ہر لنک کے لیے لاگو ہوتی ہیں اور /etc/resolv.conf اسٹب یا علامتی لنک ہو سکتا ہے، وہ فائل نہیں جسے آپ کو تدوین کرنا چاہیے۔

resolvectl status
readlink -f /etc/resolv.conf
cat /etc/resolv.conf

اگر ریزالور فائل میں ہاتھ سے کی گئی تدوین دوبارہ کنیکٹ ہونے کے بعد غائب ہو جائے، تو یہ اُس جزو کو تلاش کرنے کا اشارہ ہے جو اُسے برقرار رکھتا ہے اور اُس کے بجائے پروفائل بدلنے کا۔ پیدا کردہ فائل میں تدوین کرنا ایسی تبدیلی ہے جسے دوبارہ کنیکٹ ہونا مٹا دے گا۔

نجی ناموں کو عام طور پر اندرونی ریزالور اور آپریٹر کے فراہم کردہ تلاش ڈومین درکار ہوتے ہیں۔ عوامی ریزالور سے بدلنا اُس ہی وسیلے کو توڑ سکتا ہے جس کے لیے VPN موجود ہے، اور علامت DNS ناکامی کے بجائے روٹنگ ناکامی جیسی نظر آتی ہے۔ نام اور پتہ الگ الگ جانچیں، کیونکہ ایک کا کام کرنا اور دوسرے کا ناکام ہونا بالکل بتا دیتا ہے کہ کہاں دیکھنا ہے۔ وہ ایک موازنہ روٹ ڈیبگنگ کا ایک گھنٹہ بچاتا ہے۔

ہر کنکشن کے لیے ایک منتظم

پروفائل کی شکل طے کرتی ہے کہ کون سا پروگرام اُسے استعمال کر سکتا ہے۔ OpenVPN پروفائل کو OpenVPN یا موافق پلگ ان درکار ہے، اور WireGuard ترتیب کا اپنی شکل ہے پیر کیز اور اجازت شدہ سابقوں کے ساتھ۔ فائل ایکسٹینشن جو بھی اشارہ دے، درآمدی ڈائیلاگ ایک کو دوسرے میں ترجمہ نہیں کرتا۔

ایک منتظم چنیں اور کنکشن کی ملکیت اُسے دیں۔ ایک ہی ٹنل کو دو اوزاروں سے اوپر لانا راستہ جدول اور دوبارہ کنیکٹ کے رویے کو مبہم کر دیتا ہے، اور عام طور پر دوسرا شروع ہونے والا ایسے طریقوں سے جیتتا ہے جنہیں دہرانا مشکل ہے۔

اپنی تقسیم کے معاون پیکجز نصب کریں اور پروفائل آپریٹر سے حاصل کریں۔ اُسے اسناد کی طرح سمجھیں، کیونکہ عام طور پر اُس میں نجی کلید یا مساوی مواد ہوتا ہے، اور اُسے وہاں رکھیں جہاں آپ کے باقی راز رہتے ہیں۔ ڈاؤن لوڈ فولڈر میں چھوڑا گیا پروفائل میز پر چھوڑی گئی چابی ہے۔

اوپر ہے مگر کام نہیں کر رہا تو کیا جانچیں

انٹرفیس اوپر ہو اور کلائنٹ کامیابی بتا رہا ہو، ایسی حالت میں باہر کی طرف کام کریں: راستہ جدول منزل کے لیے ٹنل چنتا ہے یا نہیں، ریزالور نجی نام کے لیے جواب دیتا ہے یا نہیں، اور سامنے والے فریق کے پاس واپسی راستہ ہے یا نہیں۔ ہر ایک کا الگ حکم اور الگ مالک ہے۔

nmcli connection show --active
nmcli device status
wg show

nmcli حوالہ مکمل مجموعہ درکار ہو تو حالت اور کنکشن کے احکام کی دستاویز کرتا ہے۔ یہاں اہم بات پروفائل کا فعال ہونا اور ڈیوائس کا ٹریفک لے جانا الگ الگ ہیں، کیونکہ دونوں متفق نہیں ہو سکتے۔

سیٹ اپ کو مکمل کہنے سے پہلے اُسی منتظم کے ذریعے ایک بار دوبارہ کنیکٹ کریں، اور جانچیں کہ منقطع ہونے کے بعد بھی DNS کام کرتا ہے۔ جو ترتیب صرف پہلی نیٹ ورک تبدیلی تک کام کرتی ہے وہ مکمل نہیں، وہ بس اس لمحے کام کر رہی ہے۔