کارپوریٹ فائر وال VPN کے اندر کیا دیکھ سکتا ہے اور کیا نہیں

وہی لیپ ٹاپ گھر سے VPN تک پہنچتا ہے اور دفتر سے جڑ نہیں سکتا، پس کوئی ٹریفک پڑھ رہا ہے۔ روکنا اور پڑھنا الگ الگ اختیارات ہیں، اور صرف دوسرے کو راستے پر ایک جگہ اور کلائنٹ کا قابلِ اعتماد سرٹیفکیٹ درکار ہے۔ آپ کا ہینڈ شیک گرانے والا درمیانی ڈبہ اس بارے میں کچھ نہیں سیکھا جو آپ بھیجتے۔ ان دونوں میں سے آپ کا سامنا کس سے ہے، یہ طے کرنا ہی پورا کام ہے۔

روکنا اور پڑھنا مختلف اختیارات ہیں

انکار سستا اور بلند آواز ہے: ساکٹ کھلتا ہے اور کوئی جواب نہیں دیتا، یا فوراً ری سیٹ آ جاتا ہے۔ ان میں سے کوئی معائنہ نہیں بتاتا، کیونکہ کوئی پے لوڈ تار سے نہیں گزرا۔

پڑھنے کے لیے ایسا اختتامی نقطہ چاہیے جو حفاظت ختم کرے، سرٹیفکیٹ سے خود کو ثابت کرے اور آگے نیا کنکشن شروع کرے۔ وہ نقطہ راستے پر ہونا چاہیے اور کلائنٹ اس پر اعتماد کرے۔ صرف پیکٹ آگے بھیجنے والے فائر وال کے پاس نہ جگہ ہے نہ اختیار۔

لفافہ مفت میں کیا دیتا ہے

ہر سرنگ پیکٹ کا ایک بیرونی حصہ ہوتا ہے، اور بیرونی حصہ راستہ پذیر ہونا چاہیے۔ اس کا مطلب دو پتے، ایک پروٹوکول، ایک پورٹ اور لمبائی، نیز وقت اور حجم۔ کوئی بھی راؤٹر وہ فیلڈز پہلے ہی سنبھالتا ہے، اور NAT اپنی نقشہ سازی کی جدول ہم آہنگ رکھنے کے لیے پتہ اور پورٹ دوبارہ لکھتا ہے۔ پے لوڈ مہر بند رہتا ہے، اس لیے مشاہدہ اس حقیقت پر رک جاتا ہے کہ دو میزبانوں کے درمیان ایک سرنگ موجود ہے۔

میزبان کا نام ان میں نہیں ہے۔ سائٹیں دوسرے دروازوں سے رستی ہیں، اور سب سے چوڑا DNS ہے: اگر لیپ ٹاپ اب بھی مقامی حل کنندہ سے پوچھتا ہے تو نام کھلے طور پر نظر آتے ہیں۔

وقت اور حجم مبالغے کے بغیر قابلِ احترام ہیں۔ فی منٹ بائٹس دکھا سکتے ہیں کہ 14:20 پر بڑی منتقلی شروع ہوتی ہے؛ وہ نہیں دکھا سکتے کہ کون سی فائل ہلی۔ یہ رویے کے بارے میں حقیقی انکشاف ہے، اور مواد پڑھنے سے مختلف زمرہ۔

TLS مداخلت کے لیے وہ جڑ چاہیے جس پر آپ پہلے سے اعتماد کرتے ہیں

معائنہ کرنے والا آلہ TLS نہیں توڑتا؛ وہ اسے ختم کرتا ہے۔ کلائنٹ کو تنظیم کی ملکیت والی جڑ سے سرٹیفکیٹ جواب دیتا ہے، اور دوسرا کنکشن اصل منزل کی طرف جاتا ہے۔ کلائنٹ اسے قبول کرتا ہے کیونکہ وہ جڑ اس کے اعتماد کے ذخیرے میں ہے، اسی لیے منظم لیپ ٹاپ کوئی انتباہ نہیں دکھاتا۔ خفیہ نگاری کبھی نہیں ہاری؛ اختتامی نقطہ ہٹایا گیا۔

اسی لیے یہ ترتیب ثبوت چھوڑتی ہے۔ پیش کردہ زنجیر پر جاری کنندہ تنظیم کا ہے، عوامی CA کا نہیں، اور کلائنٹ خصوصی اوزار کے بغیر یہ دیکھ سکتا ہے۔ اندرونی جڑ پر ختم ہونے والی زنجیر مداخلت کا دستخط ہے، خرابی نہیں۔

VPN چینل HTTPS سیشن کیوں نہیں

VPN ڈیٹا چینل معائنہ کار کو ایسا سہارا نہیں دیتا۔ IKEv2 اور WireGuard اپنے ہینڈ شیک اور کلید کے شیڈول چلاتے ہیں، ختم کرنے کے لیے TLS نہیں، جبکہ OpenVPN اپنے کنٹرول چینل کے لیے TLS بدلی ہوئی شکل میں مستعار لیتا ہے، پھر ڈیٹا کو اپنے طریقے سے محفوظ کرتا ہے۔ HTTPS کے لیے بنا پراکسی اس سیشن کو ایسی چیز کے طور پر نہیں پہچانتا جسے وہ پارس کر سکے۔

جو آلہ سیشن پارس نہیں کر سکتا وہ اسے گرا بھی سکتا ہے۔ اسی لیے VPN بلاکنگ عام طور پر سرٹیفکیٹ انتباہ کے بجائے وقت ختم ہونے جیسی لگتی ہے، اور اسی لیے استثنا کچھ نہیں بدلتا۔

اپنی مشین سے جانچیں

سائٹ جو زنجیر پیش کرتی ہے اس سے شروع کریں۔ براؤزر کی سائٹ تفصیلات جاری کنندہ دکھاتی ہیں، اور کمانڈ لائن خلاصے کے بغیر وہی بتاتی ہے:

openssl s_client -connect example.com:443 -servername example.com

پھر کاؤنٹروں سے مسترد شدہ ہینڈ شیک کو فلٹر شدہ اندرونی ٹریفک سے الگ کریں۔ کسی بھی ڈراپ اصول سے پہلے ٹرانسپورٹ پورٹ لاگ کریں اور کوشش کے بعد انہیں پڑھیں:

iptables -I OUTPUT 1 -p udp --dport 1194 -j LOG --log-prefix ovpn-out
iptables -vnL OUTPUT --line-numbers

بیرونی ساکٹ پر کوئی لاگ لائن نہ ہونے کا مطلب ہے کہ ہینڈ شیک کبھی باہر نہیں گیا، پس راستہ سرنگ سے انکار کر رہا ہے۔ مکمل ہینڈ شیک اور صرف چند منزلیں ناکام ہونا مطلب ہے کہ سرنگ کام کرتی ہے اور اندر کی پالیسی نہیں۔ دونوں میں سے کسی نتیجے کو پے لوڈ کا ایک بائٹ پڑھنے کی ضرورت نہیں پڑی۔

جو پڑھائی واقعی ہوتی ہے وہ کناروں پر ہے: منقسم سرنگ اندرونی HTTPS کارپوریٹ پراکسی کو دیتی ہے، اور مالک کی ملکیت والا مرکز خارج ہوتے وقت سب کچھ کھول دیتا ہے۔ آپ کچھ بھی پائیں، کنکشن پر زور دینے کے لیے سرٹیفکیٹ کی تصدیق بند نہ کریں، کیونکہ وہی جانچ معائنے کو حملہ آور سے الگ کرتی ہے۔