کام کا VPN گیٹ وے آپ کے مقام کے بارے میں کیا دیکھ سکتا ہے

ویب سائٹ کو کام کے VPN سے جڑنے کے بعد جو پتہ نظر آتا ہے وہ وہ پتہ نہیں جو جڑنے کے وقت کام کے گیٹ وے نے دیکھا تھا۔ گیٹ وے کسی بھی نیٹ ورک سے آنے والی سرنگ قبول کرتا ہے جس پر آپ کا لیپ ٹاپ ہو، اور یہ ماخذ کسی بھی سرنگ والی ٹریفک کے وجود سے پہلے اُسے نظر آتا ہے۔ بعد میں براؤزر کا کارپوریٹ اخراج کی اطلاع دینا پہلے کے مشاہدے کو مٹاتا نہیں، کیونکہ یہ دو مختلف چیزوں کے مشاہدے ہیں۔ یہ سمجھنا کہ کون سا کون سا ہے، اس بحث کا بیشتر حصہ حل کر دیتا ہے کہ آجر کیا نتیجہ نکال سکتا ہے اور کیا نہیں۔

دو پتے، دو مختلف مشاہدے

طریقہ کار ایک ساکٹ ہے، کوئی پالیسی نہیں۔ جب آپ کا کلائنٹ سرنگ کھولتا ہے تو یہ مقامی پتے سے گیٹ وے کے عوامی پتے کی طرف پیکٹ بھیجتا ہے، اور گیٹ وے کا کرنل اُس بہاؤ کا ماخذ درج کرتا ہے۔ یہی ماخذ وہ نیٹ ورک اینڈ پوائنٹ ہے جو آپ کے فراہم کنندہ نے اُس لمحے کنکشن کو تفویض کیا تھا۔

گھریلو راؤٹر کے پیچھے ماخذ NAT کے بعد راؤٹر کا عوامی پتہ ہوتا ہے۔ موبائل نیٹ ورک پر یہ آپریٹر سطح کا NAT پتہ ہو سکتا ہے جو ایک ہی وقت میں بہت سے دوسرے صارفین کے ساتھ مشترک ہوتا ہے، اسی لیے دو غیر متعلق افراد ایسے دکھائی دے سکتے ہیں جیسے ایک ہی جگہ سے آئے ہوں۔ کارپوریٹ مہمان نیٹ ورک پر یہ اُس نیٹ ورک کا اخراج ہوتا ہے۔ ہر صورت میں گیٹ وے ایک پتہ، ایک پورٹ اور ایک وقت کی مہر جان لیتا ہے، اور پتہ کسی نیٹ ورک آپریٹر کا ہوتا ہے، کسی شخص کا نہیں۔

گیٹ وے واقعی کیا درج کرتا ہے

بعد میں کیا درج ہوتا ہے یہ اُس سے الگ سوال ہے جو تکنیکی طور پر نظر آتا ہے۔ گیٹ وے کنکشن، تصدیق کی شناخت اور تفویض کردہ سرنگ کا پتہ درج کر سکتا ہے، یا سیشن کی حالت کے سوا تقریباً کچھ بھی درج نہ کرے۔ محفوظ رکھنا، SIEM میں برآمد کرنا اور کسی اکاؤنٹ کے ساتھ ربط بنانا تعیناتی کے فیصلے ہیں، اور اِن میں سے کوئی بھی اس حقیقت سے پیدا نہیں ہوتا کہ ماخذ قابل مشاہدہ تھا۔

نظر آنا اور محفوظ رکھنا دو محور سمجھیں۔ کوئی خدمت سب کچھ دیکھ کر کچھ بھی محفوظ نہ رکھے، یا تھوڑا دیکھے اور سب کچھ آگے بھیج دے۔

عملی نتیجہ یہ ہے کہ آپ اُس کلائنٹ سے اپنے آجر کے ریکارڈ کے بارے میں استدلال نہیں کر سکتے جو آپ نے نصب کیا۔ پوچھیں کہ خدمت کیا جمع کرنے کے لیے ترتیب دی گئی ہے اور کتنی مدت تک، اور توقع رکھیں کہ جواب پالیسی دستاویز ہوگا، تکنیکی ضمانت نہیں۔ یہ بھی مناسب ہے کہ VPN گیٹ وے کو منظم آلے پر باقی ہر چیز سے الگ سمجھا جائے، کیونکہ اینڈ پوائنٹ سافٹ ویئر کی اپنی صلاحیتیں اور اپنے ریکارڈ ہوتے ہیں۔ ذاتی VPN ایک راستہ بدلتا ہے؛ یہ نہیں بدلتا کہ مشین پر پہلے سے چلنے والا سافٹ ویئر کیا مشاہدہ کر سکتا ہے۔

IP ڈیٹا بیس کیا کہہ سکتا ہے اور کیا نہیں

IP مقام کا ڈیٹا بیس وہ پتہ لے کر خانے واپس کرتا ہے: ملک، علاقہ، شہر، پوسٹل کوڈ، عرض بلد اور طول بلد، نیز درستگی کا دائرہ جہاں فروش فراہم کرے۔ یہ خانے رجسٹریشن کے اعداد و شمار، نیٹ ورک ٹوپولوجی اور ناپی گئی تاخیر سے اخذ کردہ اندازے ہیں، اور ہر سطح پر مختلف طریقے سے بگڑتے ہیں۔ ملک کا جواب مضبوط ہو سکتا ہے جبکہ شہر کا جواب محض قیاس ہو۔

خود MaxMind کی درستگی کی رہنمائی اُس فرق کے بارے میں واضح ہے جو یہاں اہم ہے: VPN سرور کا مقام معلوم کرنا اُس کے صارفین کا مقام معلوم کرنا نہیں، اور اعداد و شمار کسی گھرانے، فرد یا گلی کے پتے کی شناخت نہیں کر سکتے۔ درستگی کا دائرہ اور اعتماد کے خانے جہاں مصنوعات اُنہیں ظاہر کرے پڑھیں، اور غائب اعداد و شمار کو غائب ہی سمجھیں، طے شدہ قدر نہیں۔ نقشے پر پن دکھانے کا انتخاب ہے، پیمائش نہیں۔ رجسٹریشن کے ریکارڈ اور معکوس DNS ایک اور قسم کا ثبوت ہیں: whois 203.0.113.5 بتاتا ہے کہ کون سا آپریٹر مختص رکھتا ہے اور dig +short -x 203.0.113.5 بتاتا ہے کہ آپریٹر نے اُسے کیا نام دیا، اور اِن میں سے کوئی بھی اِس بارے میں بیان نہیں کہ کوئی شخص کہاں کھڑا تھا۔

ریکارڈ جو ایک دوسرے کے متبادل نہیں

یہ دونوں طرف کاٹتا ہے، اسی لیے قطعی فیصلے کے لیے یہ کمزور بنیاد ہے۔ منظور شدہ علاقے سے میل کھانے والا اندازہ موجودگی ثابت نہیں کرتا۔ عدم مطابقت بذات خود فریب ثابت نہیں کرتی۔

دور سے کام کا جائزہ جو ایک ہی تلاش پر ٹکا ہو، پوچھے گئے سوال سے مختلف سوال کا جواب دیتا ہے۔ اُسے سیاق چاہیے: معاہدہ کون سی جگہیں اجازت دیتا ہے، شخص نے کیا بتایا، اور کیا دیگر شواہد متفق ہیں۔ یہ تکنیکی مداخلت والا انتظامی عمل ہے، تکنیکی فیصلہ نہیں۔

کسی تنظیم کے پاس موجود دیگر ریکارڈ ماخذ پتے کے متبادل نہیں ہو سکتے۔ ٹائم زون کی ترتیب آلے کی ترجیح ہے جو کوئی بھی بدل سکتا ہے؛ اکاؤنٹ کا واقعہ یہ درج کرتا ہے کہ سیشن ہوا، یہ نہیں کہ کہاں؛ اینڈ پوائنٹ سافٹ ویئر سے آلے کے مقام کی قرأت ایک اور سینسر ہے جس کی اجازتیں اور خطا کے طریقے مختلف ہیں۔ یہ سمجھنا کہ ہر آجر یہ سب جمع کرتا ہے اتنا ہی غلط ہے جتنا یہ سمجھنا کہ کوئی بھی جمع نہیں ہوتا۔ مفید ضبط یہ ہے کہ ریکارڈ، اُس کا مالک اور اُس کی خطا کا طریقہ نام لیں، پھر اُسے کسی چیز کا ثبوت سمجھیں۔

کام کے معاہدے کے لیے کیا نتیجہ نکلتا ہے

اپنے معاہدوں کے لیے سوال یہ ہے کہ تنظیم کیا جمع کرتی ہے اور کون سی کام کی جگہیں اجازت دیتی ہے۔ یہ کاروبار کے دو مختلف حصوں سے دو جواب ہیں۔

ماخذ IP کی نمائش کسی جگہ سے کام کرنے کی اجازت طے نہیں کر سکتی، اور راستہ بدلنا معاہدے پر اتفاق کا متبادل نہیں۔ اگر پالیسی واضح نہ ہو تو کارآمد قدم پوچھنا ہے، نیٹ ورک راستہ بہتر بنانا نہیں۔ تکنیکی بچاؤ عموماً وہی ریکارڈ پیدا کرتے ہیں جو چھپانے جیسا لگتا ہے۔

قابل دفاع تکنیکی بیان محدود ہے، اور اُسے محدود رکھنا ہی مناسب ہے: گیٹ وے آنے والے کنکشن کی نیٹ ورکی اصل مشاہدہ کرتا ہے، مقام کا ڈیٹا بیس اُس اصل کے لیے مقام کا اندازہ لگا سکتا ہے، اور کسی شخص کی جسمانی پوزیشن کے بارے میں ہر دعوے کو دونوں سے آگے کے شواہد درکار ہیں۔ MaxMind کی درستگی کی رہنمائی اِس بات کا حوالہ ہے کہ یہ اندازے کس چیز کی تائید کرتے ہیں۔ اُس کے بعد ہر چیز تکنیکی لباس میں سیاسی سوال ہے۔