VPN روٹر پر چلنے پر STUN جواب کیا ظاہر کرتا ہے
روٹر کا ٹنل پتہ براؤزر کا مقامی پتہ نہیں ہے۔ ریفلیکٹر کیا رپورٹ کرتا ہے یہ پڑھنے سے پہلے دیکھیں کہ ہر درخواست کیسے روٹ اور ترجمہ ہوتی ہے۔
جب ٹنل روٹر پر ہوتا ہے تو براؤزر چلانے والی مشین میں کوئی ٹنل انٹرفیس نہیں ہوتا۔ اس مشین سے اس کے مقامی پتے پوچھیں تو آپ کو ایک نجی LAN پتہ اور ایک لوپ بیک ملے گا، VPN پتے جیسی کوئی چیز نہیں۔ پھر بھی دوسری طرف کا STUN سرور راستے کے بارے میں کچھ بامعنی رپورٹ کر سکتا ہے، اور وہ کیا رپورٹ کرتا ہے یہ مکمل طور پر اس بات پر منحصر ہے کہ وہ مخصوص درخواست کیسے روٹ اور ترجمہ ہوئی۔
یہی وہ حصہ ہے جس پر سست ہونا چاہیے۔ ”براؤزر VPN پتے کا مالک نہیں“ انٹرفیس کے بارے میں سوال کا جواب دیتا ہے، جبکہ منعکس شدہ پتہ ترجمے سے گزرنے والے راستے کا جواب ہے۔ دونوں کو ملانا افشا کے بارے میں پراعتماد نتائج پیدا کرتا ہے جن کی شہادت حمایت نہیں کرتی۔
دو آلات، انٹرفیس کے دو مجموعے
روٹر پر مبنی ترتیب میں ٹنل روٹر پر ختم ہوتا ہے اور LAN کلائنٹ عام ٹریفک اپنے ڈیفالٹ گیٹ وے کو بھیجتا ہے۔ کلائنٹ کی انٹرفیس فہرست مختصر ہی رہتی ہے: ایک نجی پتہ، شاید دوسرے نیٹ ورک کے لیے دوسرا، اور لوپ بیک۔ خطرہ یہ نہیں کہ ان میں سے کوئی اتفاقاً ٹنل پتہ ہو؛ خطرہ یہ ہے کہ درخواست ایسے راستے سے نکلے جو آپ نے منتخب نہیں کیا۔
یہ پوچھنے کی بجائے کہ کون سے انٹرفیس موجود ہیں، کلائنٹ سے پوچھیں کوئی مخصوص منزل کون سا راستہ لے گی۔ جواب ایک گیٹ وے اور وہ ماخذ پتہ بتاتا ہے جو کرنل استعمال کرے گا، اور یہ کسی بھی پتوں کی فہرست سے زیادہ معلوماتی ہے۔
ip route get 198.51.100.20
ip -6 route get 2001:db8::20
wg show wg0 allowed-ipsدستاویزی حدود جانچ کے لیے اچھی منزلیں ہیں کیونکہ وہ کبھی کسی حقیقی سروس میں حل نہیں ہوتیں۔ کلائنٹ کیا کہتا ہے اس کا روٹر کیا کہتا ہے سے موازنہ کریں، اور کسی بھی اختلاف کو اس بات کا ثبوت سمجھیں کہ پالیسی روٹنگ، تقسیم شدہ ٹنل کا قاعدہ یا دوسرا ڈیفالٹ راستہ کچھ ایسا کر رہا ہے جس کا آپ نے حساب نہیں لیا۔
Binding جواب کیا کہہ سکتا ہے
RFC 8489 Binding درخواست اور جواب کی تعریف کرتا ہے، جس میں سرور اس درخواست کے لیے مشاہدہ کیا گیا ماخذ ٹرانسپورٹ پتہ رپورٹ کرتا ہے۔ یہ ایک لمحے میں ایک پنچک کے بارے میں بیان ہے، کلائنٹ کے انٹرفیس کی گنتی نہیں۔ اس لیے دلچسپ سب کچھ کلائنٹ اور مشاہدے کے نقطے کے درمیان ہوتا ہے۔
اس خلا کو روٹنگ اور ترجمہ پُر کرتے ہیں۔ جو روٹر باہر جانے والی ٹریفک پر ماخذ NAT کرتا ہے وہ کلائنٹ کے نجی ماخذ کو باہر جانے والے انٹرفیس پر اپنے پتے سے بدل دیتا ہے۔ اگر وہ انٹرفیس ٹنل ہو تو ریفلیکٹر ٹنل پتہ دیکھتا ہے۔ اگر پیکٹ ٹنل سے باہر رکھا گیا ہو تو ریفلیکٹر وہ دیکھتا ہے جو WAN ترجمے نے پیدا کیا۔ وہی کلائنٹ، وہی ریفلیکٹر، مختلف جواب۔
تین صورتیں جو ایک جیسی لگتی ہیں اور نہیں ہیں
مفید فرق عام اور نجی کے درمیان نہیں، بلکہ یہ ہے کہ کس نفاذ کے نقطے نے پیکٹ سنبھالا۔ صورتوں کو روٹر کے اپنے جدولوں کے ساتھ کھلا رکھ کر دیکھیں، کیونکہ ایک ہی براؤزر تینوں پیدا کر سکتا ہے اس قاعدے کے مطابق جو آپ لکھنا بھول گئے۔
| Where the request leaves | What rewrites the source | What the reflector reports |
|---|---|---|
| Tunnel interface on the router | Router NAT towards the tunnel address | The tunnel address as seen on that path |
| WAN interface, excluded by policy | Ordinary WAN translation | The public WAN address |
| Private reflector reached through the tunnel route | Router NAT towards the tunnel address | An internal identifier valid only inside that path |
صرف دوسری صورت ہی اس شرط کی خلاف ورزی کرتی ہے کہ کچھ ٹریفک کبھی سیدھا باہر نہ جائے، اور صرف پہلی اور تیسری ہی ٹنل کی طرف کا شناخت کنندہ ظاہر کرتی ہیں۔ تینوں قطاروں میں سے کوئی بھی کسی مخصوص فراہم کنندہ کے رویے کا دعویٰ نہیں ہے: نجی ریفلیکٹر تک پہنچنا ممکن ہے یا نہیں یہ روٹنگ، دوسری طرف کے اجازت یافتہ IP پتوں اور دونوں سروں کی فائر وال پالیسی پر منحصر ہے۔
اسی فراہم کنندہ کے پاس اکاؤنٹ ہونا ان میں سے کچھ بھی ثابت نہیں کرتا۔ یہ بھی یاد رکھنے کے قابل ہے کہ روٹ شدہ درخواست کلائنٹ کا LAN ماخذ برقرار رکھ سکتی ہے اگر کوئی اس کا ترجمہ نہ کرے، اس لیے ماخذ کا خانہ ٹوپولوجی نقشے سے فرض کرنے کی بجائے تلاش کرنا پڑتا ہے۔
جمع کرنا چننا نہیں ہے
WebRTC آزمائش کے لیے امیدوار پتے جمع کرتا ہے، اور تشخیصی فہرست میں نظر آنے والا امیدوار کبھی میڈیا نہ بھی اٹھا سکے۔ فہرست کو ”دوسری طرف نے یہی سیکھا“ کے طور پر پڑھنا شہادت کو بڑھا چڑھا کر پیش کرنا ہے۔ منتخب جوڑی ہی وہ ہے جس نے واقعی سیشن اٹھایا، اور وہ کسی اور خانے میں ہے۔
HTTPS اخراج جانچنے والا ایک اور سوال کا جواب دیتا ہے: وہ ماخذ پتہ جو کسی ویب سرور نے اس درخواست کے لیے دیکھا۔ یہ مفید کراس چیک ہے کیونکہ یہ UDP ریفلیکٹر سے مختلف پروٹوکول اور اکثر مختلف منزل استعمال کرتا ہے، اور دونوں کے درمیان اختلاف عام طور پر بگ کی بجائے روٹنگ قاعدے کی طرف اشارہ کرتا ہے۔
پالیسی طے کریں، پھر جواب پڑھیں
جانچ سے پہلے ارادہ لکھیں: کون سی ٹریفک ٹنل استعمال کرے، کون سیدھی باہر جا سکتی ہے، کون سے پتہ خاندان دائرے میں ہیں، اور ٹنل بند ہونے پر کیا ہونا چاہیے۔ اس بنیادی لکیر کے بغیر ہر مشاہدہ مبہم ہے، کیونکہ آپ جان بوجھ کر اجازت دیے گئے راستے سے رساؤ کو الگ نہیں کر سکتے۔
پھر ایک وقت میں ایک سوال پوچھیں۔ یہ منزل کون سا راستہ لیتی ہے۔ یہ ریفلیکٹر کون سا پتہ رپورٹ کرتا ہے۔ سیشن نے کون سی امیدوار جوڑی منتخب کی۔ جوابات پالیسی کے پاس رکھیں اور تاریخ لگائیں، کیونکہ فرم ویئر اپ ڈیٹ ڈیفالٹ رویہ اس طرح بدل سکتا ہے جو پچھلے سال کے نتیجے کو خاموشی سے کالعدم کر دے۔
روٹر اب بھی مضبوط نفاذ کا نقطہ ہے، کیونکہ یہ وہ ٹریفک دیکھتا ہے جسے کلائنٹ خود کو دوبارہ ترتیب دیے بغیر بچ نہیں سکتا۔ یہ اس بات کا وعدہ نہیں کہ ہر ایپلیکیشن پروٹوکول کا ہر خانہ کچھ ظاہر نہیں کرتا، اور یہ ان راستوں کو لکھنے کا متبادل بھی نہیں جنہیں اجازت دینے کا آپ نے انتخاب کیا۔