آپ کی سائٹ کا VPN کہاں ختم ہوتا ہے یہ طے کرتا ہے کہ کیا معائنہ ہوگا

سائٹس کے درمیان سرنگ ایک تفصیل چھپاتی ہے جو پورے معائنے کا ڈیزائن طے کرتی ہے: وہی آلہ جس پر اندرونی پیکٹ صاف متن میں ظاہر ہوتا ہے۔ اس مقام سے پہلے سب کچھ ESP دیکھتا ہے، اور اس کے بعد سب کچھ عام IP دیکھتا ہے جسے کوئی قاعدہ پکڑ سکتا ہے۔ حد کو غلط جگہ رکھیں اور وہ فائر وال جس کی آپ نے قیمت ادا کی ایک لائسنس یافتہ راؤٹر بن جاتی ہے۔ نیچے دیا گیا خاکہ پہلے لکیر کھینچتا ہے اور صرف اس کے بعد پوچھتا ہے کہ کون سا آلہ اس کا مالک ہونا چاہیے۔

لکیر وہاں کھینچیں جہاں پیکٹ مزید خفیہ نہیں رہتا

ٹنل موڈ میں اصل پیکٹ خفیہ کیا جاتا ہے اور ایک نئے بیرونی IP ہیڈر میں لپیٹا جاتا ہے جو ہم منصب گیٹ وے کی طرف پتہ شدہ ہوتا ہے۔ یہ بیرونی پیکٹ ESP کے لیے پروٹوکول 50 اٹھائے ہوئے ہوتا ہے، اس لیے دونوں گیٹ ویز کے درمیان کوئی بھی آلہ اندرونی پتوں کو پڑھے بغیر اسے روٹ کر سکتا ہے۔ پہلا آلہ جو ڈکرپٹ کرتا ہے وہی حفاظتی حد ہے، اور وہی پہلا آلہ بھی ہے جو اندرونی بہاؤ پر پالیسی لاگو کر سکتا ہے۔ اس مقام کے نیچے سب کچھ عام روٹنگ ہے۔

خاکے پر تین چیزیں نشان زد کریں: بیرونی آخری نقطہ جو ESP قبول کرتا ہے،پالیسی میں نامزد محفوظ نیٹ ورک، اور اگلی چھلانگ جو ڈکرپٹ شدہ پیکٹ لیتا ہے۔ اگر یہ تینوں ایک ہی آلے پر نہ ہوں تو آپ کو ایک حوالگی ڈیزائن کرنی ہے، نہ کہ ایک واحد کنٹرول نقطہ۔

RFC 4301 ڈکرپٹ کرنے والے آلے کو حفاظتی گیٹ وے کہتا ہے اور اس کی پالیسی کو حد کا حصہ سمجھتا ہے۔ یہ مصنوعات کی قسم سے زیادہ کارآمد فریم ہے، کیونکہ آلہ تب حد ہوتا ہے جب وہ پالیسی رکھتا ہے، نہ تب جب اس کی ڈیٹا شیٹ فائر وال کہتی ہے۔

فائر وال بطور اختتام: ایک آلہ، ایک پالیسی نقطہ

جب فائر وال سرنگ ختم کرتی ہے تو اوپر والے راؤٹر کو صرف ESP اس کے حوالے کرنا ہوتا ہے۔ فائر وال ہم منصب کی تصدیق کرتی ہے، ڈکرپٹ کرتی ہے اور پھر سرور VLAN کی طرف جاتے ہوئے اندرونی پیکٹ پر اپنے معمول کے قواعد لاگو کرتی ہے۔ اس طرح پالیسی پڑھنے کی ایک جگہ اور لاگ پڑھنے کی ایک جگہ بن جاتی ہے، جو عام طور پر آڈٹ مانگتا ہے۔

دونوں اجازتیں الگ الگ دیکھیں۔ آلے کی طرف IKE اور ESP کی اجازت دینا وہی قاعدہ نہیں جو دور دراز سائٹ کو سرور تک پہنچنے کی اجازت دینا ہے، اور وہ فائر وال جو سرنگ قبول کرے مگر اندرونی بہاؤ روکے، دوسرے سرے سے بالکل خراب سرنگ جیسی نظر آتی ہے۔

قیمت یہ ہے کہ فائر وال اب سائٹ کی تمام ٹریفک کے راستے پر ہے، اس لیے اس کی تھرو پٹ، سیشن کی حدود اور ناکامی پر منتقلی کا رویہ خود سرنگ کا رویہ بن جاتا ہے۔ اسے مشترکہ سائٹ بہاؤ کے لیے ناپیں، نہ کہ اس ریموٹ رسائی پروفائل کے لیے جس کے لیے یہ شاید خریدی گئی تھی۔

راؤٹر بطور اختتام: معائنے کی چھلانگ اختیاری ہو جاتی ہے

جب راؤٹر ڈکرپٹ کرتا ہے تو پیکٹ روٹنگ ٹیبل تک پہنچتے وقت پہلے ہی صاف ہوتا ہے۔ اگر کوئی الگ فائر وال اس ٹریفک کا معائنہ کرے تو راؤٹر کو اسے فائر وال سے گزارنا ہوگا اور واپسی کا راستہ اسی طرح واپس آنا چاہیے۔ راؤٹر سے سرور VLAN تک براہ راست روٹ خاموشی سے فائر وال کو راستے سے ہٹا دیتا ہے جبکہ اسے خاکے میں باقی رکھتا ہے۔

یہی وہ خرابی ہے جسے موجودہ نیٹ ورک میں تلاش کرنا چاہیے: ایک ہی پری فکس کی طرف دو روٹیں، ایک فائر وال کے راستے اور ایک براہ راست، اور براہ راست والی پری فکس لمبائی یا میٹرک پر جیت جاتی ہے۔ سرنگ اب بھی ٹریفک گزارتی ہے اور وہ معائنہ جس پر آپ یقین رکھتے ہیں نہیں ہوتا۔

روٹ پر مبنی سرنگیں اسے نمایاں کرتی ہیں، کیونکہ سرنگ ایک انٹرفیس ہے جس کے ذریعے کسی دوسرے آلے سے روٹ کیا جا سکتا ہے۔ پالیسی پر مبنی سرنگیں ٹریفک کو سلیکٹر سے چنتی ہیں، جو ڈکرپٹ شدہ پیکٹ کو راؤٹر پر بغیر کسی اور منزل کے چھوڑ سکتا ہے۔

دونوں امیدواروں سے وہی پانچ سوال پوچھیں

مختصر ورک شیٹ خصوصیات کے میٹرکس سے بہتر ہے، کیونکہ ہر سوال خاکے کی ایک لکیر سے مطابقت رکھتا ہے۔ ہر امیدوار سے پوچھیں:

• کون سی IKE ورژنز،کون سے ہم منصب کی تصدیق کے طریقے اور روٹنگ ماڈل یہ ریلیز واقعی سپورٹ کرتی ہے؟
• ESP کہاں قبول کیا جاتا ہے اور ڈکرپٹ شدہ بہاؤ کہاں اجازت یا ممنوع ہے؟
• مقامی میزبان دور دراز کے پری فکس کیسے سیکھتے ہیں اور دوسرا فریق آپ کے کیسے سیکھتا ہے؟
• آخری نقطے کو حقیقی بوجھ کے لیے کتنی تھرو پٹ، کتنے سیشن اور ناکامی پر منتقلی کا کیا رویہ برداشت کرنا ہے؟
• جب سرنگ ہی خراب چیز ہو تو ہم منصب کی اسناد، پالیسی اور بحالی کے راستے کا مالک کون ہے؟

pfSense پالیسی پر مبنی اور روٹ پر مبنی IPsec کو الگ الگ ماڈلز کے طور پر الگ حدود کے ساتھ دستاویز کرتا ہے، اور یہ فرق ڈبے کے لیبل سے زیادہ اہم ہے۔ اس ریلیز میں درست موڈ اور ڈکرپٹ شدہ ٹریفک کی معاون فلٹرنگ دیکھیں جسے آپ واقعی تعینات کریں گے۔

اگر کوئی امیدوار دوسرے سوال کا جواب ایسے قاعدے سے نہ دے سکے جو آپ پڑھ سکیں، تو یہ وہ حد نہیں جو آپ چاہتے ہیں، چاہے وہ باقی سب کچھ کتنا ہی اچھا کرے۔ ہاں کے بجائے قاعدے کا متن مانگیں اور مبہم جواب کو نہ سمجھیں۔

راستے کی تصدیق کیپچر سے کریں، خاکے سے نہیں

خاکہ نیت بیان کرتا ہے اور کیپچر رویہ، اس لیے کسی ایک پر بھروسا کرنے سے پہلے تصدیق کریں کہ کون سا انٹرفیس ESP اور کون سا اندرونی بہاؤ اٹھاتا ہے۔

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

اگر پہلا کیپچر ESP کی آمد دکھائے اور دوسرا اندرونی پیکٹ LAN کی طرف دکھائے تو ڈکرپشن نقطہ وہیں ہے جہاں آپ سمجھتے ہیں۔ اگر اندرونی پیکٹ ایسے سیگمنٹ پر ظاہر ہو جو فائر وال کو نظرانداز کرتا ہے تو روٹنگ غلط ہے، پالیسی کا متن کچھ بھی کہے۔ xfrm کی فہرست پھر دکھاتی ہے کہ کون سے سلیکٹر نصب ہیں اور کس سمت میں۔

واپسی کے راستے پر کیپچر دہرائیں، کیونکہ غیر متناسب روٹنگ عام ہے جب کسی سائٹ کے دو ممکنہ اخراج ہوں۔ وہ سرنگ جو ایک سمت میں کام کرے اور دوسری میں وقت ختم ہو جائے تقریباً ہمیشہ یہی ہوتی ہے، اور دوسری طرف پالیسی کی کوئی تدوین اسے درست نہیں کرتی۔