VPN سے منسلک سرور کے لیے DNS میں کون سا پتہ لکھا جاتا ہے؟
میزبان سرور کے پاس تین پتے ہوتے ہیں اور یہ ایک دوسرے کے بدلے استعمال نہیں ہو سکتے۔ ہر سروس کے لیے درکار قدر منتخب کریں اور پھر اسے مشین کے باہر سے تصدیق کریں۔
VPN نصب میزبان سرور آخرکار تین پتے رکھتا ہے، اور ان میں سے صرف ایک ہی ہر اُس جگہ سے تعلق رکھتا ہے جسے آپ ترتیب دینے والے ہیں۔ فراہم کنندہ کے پینل سے نمبر DNS میں، کسی سننے والے میں یا اجازت فہرست میں کاپی کرنا وہ راستہ ہے جس پر ایک کام کرنے والا ٹنل ایسی خدمت بن جاتا ہے جس تک کوئی نہیں پہنچ سکتا۔ یہ رہنما کام کو اس ترتیب سے رکھتا ہے کہ ہر پتہ کسی بیان کردہ مقصد کے لیے منتخب ہو۔ یہ ان کمانڈز کی بھی فہرست دیتا ہے جو تصدیق کرتی ہیں کہ آپ نے واقعی کیا شائع کیا۔
کچھ بھی شائع کرنے سے پہلے تینوں پتوں کا نقشہ بنائیں
انہیں کام کے مطابق نام دیں۔ underlay پتہ وہ ہے جو مشین انٹرنیٹ کے ذریعے VPN کے آخری نقطے تک پہنچنے کے لیے استعمال کرتی ہے، اور یہ اکثر فراہم کنندہ کے NAT کے پیچھے نجی ہوتا ہے۔ ٹنل کا پتہ VPN کے اندر رہتا ہے اور پروڈکٹ کے مطابق سرور یا کلائنٹ دیتا ہے۔ عوامی اخراج وہ پتہ ہے جو کوئی دور دراز ویب سائٹ ترجمے کے بعد ریکارڈ کرتی ہے، اور اس کا کسی ایسے انٹرفیس پر موجود ہونا ضروری نہیں جس سے آپ پوچھ سکیں۔
ایک پینل جو مشین کے لیے ایک عوامی پتہ دکھاتا ہے، باقی دو کرداروں کے بارے میں بہت کم بتاتا ہے۔ underlay کی رسائی ایک تقاضا ہے، خریداری نہیں: گھریلو راؤٹر کے پیچھے لیپ ٹاپ عوامی IPv4 پتہ رکھنے کے بغیر میزبان VPN آخری نقطے تک پہنچ سکتا ہے۔ آپ جو نہیں کر سکتے وہ یہ ہے کہ ایسا نام لکھ کر داخل ہونے کا راستہ ایجاد کریں جو ایسے پتے پر حل ہو جسے کوئی آگے نہیں بھیجتا۔
پتہ سروس کے مطابق منتخب کریں، لیبل کے مطابق نہیں
نمبر منتخب کرنے سے پہلے لکھ لیں کہ سرور کو کیا کرنا ہے۔ باہر جانے والی API کالوں کو مستحکم اخراج درکار ہوتا ہے جب دوسرا فریق اجازت فہرست رکھتا ہے۔ نجی رسائی کو ایسا ٹنل پتہ درکار ہوتا ہے جس کی طرف کلائنٹ راستہ بنا سکیں اور اسی سے منسلک سننے والا۔ عوامی میزبانی کو ایسا اندرونی نقشہ درکار ہوتا ہے جو فراہم کنندہ واقعی پیش کرتا ہو، اور صرف اخراج کا پتہ یہ فراہم نہیں کرتا۔
ایک ہی مشین تینوں مقاصد پورے کر سکتی ہے اور پھر بھی تین مختلف پتے استعمال کر سکتی ہے۔ جو ٹوٹتا ہے وہ یہ مفروضہ ہے کہ ایک قدر ان سب کو ڈھانپ لیتی ہے:
| Requirement | Value that belongs there | What you see when the roles are swapped |
|---|---|---|
| Outbound allowlisting | Public exit | Requests reach the service but are rejected |
| Private client access | Tunnel address | Client connects, nothing answers |
| Inbound web service | Provider mapping | Name resolves, connection times out |
داخل ہونے والی سطر وہی ہے جس پر لوگ بحث کرتے ہیں۔ اخراج کے پتے کی طرف اشارہ کرنے والا ریکارڈ نہ کوئی سننے والا بناتا ہے، نہ فائر وال میں سوراخ، نہ پورٹ کا نقشہ، اور انتظار کرنا اسے نہیں بدلتا۔ جب فراہم کنندہ مخصوص پتہ اندرونی قاعدے کے ساتھ بیچتا ہے تو وہی بنڈل وہ صلاحیت ہے جو آپ نے خریدی؛ صرف پتہ خود حق نہیں۔
وہ کمانڈز جو بتاتی ہیں کون سا پتہ کون سا ہے
مشین پڑھیں، پینل نہیں۔ انٹرفیس کے نام نظاموں میں مختلف ہوتے ہیں، اس لیے پتوں کو آلات سے ملا دیں بجائے اس کے کہ کسی لیبل پر بھروسا کریں۔
پہلی سطر ہر IPv4 پتہ اور اس کا آلہ گنواتی ہے، اور دوسری کرنل سے پوچھتی ہے کہ کسی معلوم بیرونی منزل کے لیے وہ کون سا آلہ استعمال کرے گا:
ip -brief -4 addr show
ip -4 route get 198.51.100.10
curl -4 -s https://ifconfig.me
ss -lntp | grep -E ':(443|1194)'اگر راستے کی تلاش عوامی ٹریفک کے لیے ٹنل آلہ کے ساتھ جواب دے تو آپ کا مکمل ٹنل نافذ ہے۔ سننے والے کی جانچ بھی اتنی ہی اہم ہے، کیونکہ صرف 127.0.0.1 سے بندھا عمل ٹنل پتے پر کبھی جواب نہیں دے گا، چاہے آپ کوئی بھی نام شائع کریں۔
اسے شائع کریں، پھر باہر سے تصدیق کریں
صرف وہی قدر شائع کریں جو سروس کو درکار ہے اور اس سے زیادہ کچھ نہیں: میزبانی کے لیے A یا AAAA ریکارڈ، باہر جانے والی کالوں کے لیے اجازت فہرست کا اندراج، نجی رسائی کے لیے کلائنٹ پروفائل۔ پھر اُس مقام سے جانچیں جو اہم ہے، اور وہ کبھی وہ مشین نہیں ہوتی جسے آپ نے ابھی ترمیم کیا۔
دو جانچیں زیادہ تر معاملات ڈھانپ لیتی ہیں، اور دونوں اتنے سستے ہیں کہ اسکرپٹ میں رکھی جا سکیں:
dig +short vpn.example.net A
curl -4 -sS -o /dev/null -w '%{http_code}\n' https://vpn.example.net/healthDNS جواب جو ثابت کرے کہ آپ کا ریکارڈ موجود ہے، اس بات کا ثبوت نہیں کہ کوئی درخواست پہنچتی ہے، اور ایک کامیاب درخواست صرف یہ ثابت کرتی ہے کہ ایک راستہ ایک نیٹ ورک سے کام کرتا ہے۔ جب اجازت فہرست درمیان میں ہو تو موبائل کنکشن سے جانچ دہرائیں، کیونکہ جو اخراج آپ دیکھتے ہیں وہ پتوں کے خاندان اور طے شدہ راستے پر منحصر ہو سکتا ہے۔ لکھ لیں کہ آپ نے کون سا خاندان تصدیق کیا؛ کام کرنے والا IPv4 راستہ IPv6 کے بارے میں بالکل کچھ نہیں کہتا۔
اگر سروس اندرونی ہے تو اخراج کا پتہ کافی نہیں
اندرونی رسائی کے لیے چار چیزیں ایک سیدھ میں درکار ہیں: ایسا نام یا پتہ جہاں تک کلائنٹ پہنچ سکے، ایسا راستہ جو پیکٹ مشین تک پہنچائے، ایسا سننے والا جو اسے قبول کرے، اور ایسی پالیسی جو اسے گرا نہ دے۔ VPN دوسرے عنصر کو بدلتا ہے اور کبھی پہلے کو، اور تیسرے اور چوتھے کے لیے کچھ نہیں کرتا۔ جب ٹنل ترسیل کا راستہ ہو تو کلائنٹ اخراج کے بجائے ٹنل پتے سے جڑتے ہیں۔
لکھ لیں کہ ہر سروس کس پتے پر منحصر ہے، پھر جب بھی فراہم کنندہ اپنا روٹنگ ماڈل بدلے وہ نوٹ دوبارہ دیکھیں۔ وہ سرور جو نجی طور پر جواب دے اور عوامی طور پر ناکام ہو، عام طور پر خراب نہیں ہوتا؛ وہ غلط شناخت کے ساتھ جواب دے رہا ہوتا ہے، اور مرمت ایک نقشہ سازی کا فیصلہ ہے نہ کہ فائر وال کی تبدیلی۔