دو WAN والی VPN پالیسی کو کس پیکٹ سے مطابقت رکھنی چاہیے؟

VPN کو دوسرے اپ لنک سے روٹ کرنے کی درخواستیں کم از کم دو مختلف کام بیان کرتی ہیں، اور ایک کو درست کرنے والی پالیسی دوسرے کو نہیں چھوتی۔ پہلے کام میں دو سروں کے درمیان خفیہ کردہ ٹرانسپورٹ دوسرے WAN پتے پر منتقل ہو جاتی ہے۔ دوسرے میں منسلک صارف کا ڈکرپٹ شدہ ایپلیکیشن بہاؤ دوسرے اگلے قدم کی طرف باہر نکلتا ہے۔ دونوں جائز ہیں، دونوں روٹنگ استعمال کرتے ہیں، اور ہر ایک کو ایسے پیکٹ پر مطابقت درکار ہے جو فیصلہ ہونے کے مقام پر موجود ہو۔ نیچے دیے گئے جائزے ترتیب سے کریں، کیونکہ پہلا طے کرتا ہے کہ بعد کے قواعد کس پیکٹ کا نام لیں۔

دونوں گفتگو کے نام رکھیں

دفتر کے گیٹ وے سے منسلک ایک دور دراز ملازم کا تصور کریں، جو اندرونی ایپلیکیشن سرور کی طرف HTTPS کھولتا ہے۔ تار پر دو آزاد گفتگوئیں ہیں، اور ہر سرے پر ان کے پتے مختلف ہیں۔ بیرونی گفتگو دو VPN سروں کے درمیان چلتی ہے: گیٹ وے پتے سے ہم منصب کے پتے تک، اسی پروٹوکول اور پورٹ میں جس پر تعیناتی نے اتفاق کیا ہو۔ اندرونی گفتگو کلائنٹ کو دیے گئے پتے سے پورٹ 443 پر ایپلیکیشن سرور کے پتے تک چلتی ہے۔

ایپلیکیشن کا منزل پورٹ VPN کا ٹرانسپورٹ پورٹ نہیں ہے، اور TCP 443 پر کوئی بھی پالیسی ٹنل کو نہیں ہلائے گی۔ اسی طرح، ہم منصب کے ٹرانسپورٹ پتے کو ری ڈائریکٹ کرنے والا قاعدہ اس بارے میں کچھ نہیں کہتا کہ اس صارف کی HTTP درخواست ڈکرپشن کے بعد کہاں جاتی ہے۔ کسی قاعدے کو چھونے سے پہلے دونوں گفتگوئیں ان کے اصل پتوں کے ساتھ لکھیں، کیونکہ اس شعبے میں بیشتر الجھن ایک کو نام دینے اور دوسرے کو تشکیل دینے سے پیدا ہوتی ہے۔

تلاش کریں کہ آپ کی پالیسی پیکٹ واقعی کہاں دیکھ سکتی ہے

مطابقت کا جائزہ اسی زنجیر اور نام کی جگہ میں ہونا چاہیے جہاں پیکٹ اب بھی آپ کے بیان کردہ شکل میں ہو۔ LAN کے دخول سے منسلک قاعدہ اندرونی پیکٹ کو خفیہ کاری کے بغیر، ٹنل کی طرف روٹ ہونے سے پہلے دیکھتا ہے۔ مقامی طور پر پیدا ہونے والی ٹریفک پر لاگو قاعدہ وہ پیکٹ دیکھتا ہے جو گیٹ وے خود بناتا ہے، اور یہ اس ٹریفک کو خودکار طور پر نہیں ڈھکتا جو گیٹ وے صرف آگے بھیجتا ہے۔ انکیپسولیٹڈ آؤٹ پٹ پھر تیسرا معاملہ ہے، عام طور پر LAN کی طرف نہیں بلکہ ٹنل اٹھانے والے انٹرفیس پر سنبھالا جاتا ہے۔

اسی لیے وہی کنفیگریشن کا ٹکڑا دو پلیٹ فارمز پر مختلف برتاؤ کرتا ہے: منسلک ہونے کے مقامات مختلف ہیں، اور وینڈر کا پالیسی ہک خفیہ کاری کے مرحلے سے پہلے یا بعد ہو سکتا ہے۔ کسی دوسرے وینڈر کے خاکے سے ترتیب ماننے کے بجائے اسی مخصوص مصنوعات کے لیے پیکٹ کا راستہ پڑھیں۔

جس ٹرانسپورٹ پر اتفاق ہوا اس کی تصدیق کریں

UDP میں انکیپسولیٹڈ IPsec کے لیے، RFC 3948 ESP کو UDP کے اندر رکھتا ہے اور مشترکہ پورٹ پر IKE کو الگ پہچانا جا سکے کے لیے غیر ESP نشان استعمال کرتا ہے۔ سادہ ESP ایک IP پروٹوکول ہے، TCP یا UDP پورٹ نہیں، اس لیے پورٹ نمبر پر لکھا فائر وال قاعدہ اس سے بالکل مطابقت نہیں رکھے گا۔ یہی فرق طے کرتا ہے کہ آپ کی WAN پالیسی کو UDP قاعدہ، پروٹوکول قاعدہ یا دونوں درکار ہیں۔

اتفاق شدہ قدریں یاد رکھی گئی قدروں پر بھاری ہیں۔ ڈیوائس سے ایسوسی ایشن کے موجودہ پورٹ اور پتے پڑھیں، TCP 4500 یا کوئی پرانا وینڈر پورٹ احتیاطاً شامل کرنے کے بجائے، جو غیر متعلقہ ٹریفک پکڑتا ہے اور اصل درجہ بندی کا مسئلہ چھپا دیتا ہے۔

عہد کرنے سے پہلے واپسی کا راستہ جانچیں

باہر جانے والی سمت میں کامیابی آدھے ڈیزائن کا ثبوت ہے۔ دور دراز کلائنٹ تالاب کی طرف واپس آنے والا پیکٹ انکیپسولیشن کے اس کی جگہ لینے کے بعد کلائنٹ کے پتے کے نیچے نظر نہیں آتا: بیرونی منزل ہم منصب کا ٹرانسپورٹ پتہ ہے۔ اگر دوسرا اپ لنک اس ہم منصب تک کسی دوسرے کیریئر کے ذریعے پہنچتا ہے، تو اس کا ترجمہ اور فلٹرنگ پہلے سے مطابقت نہیں رکھ سکتے، اور ایسوسی ایشن کو منتقل کرنے کے بجائے دوبارہ تعمیر کرنا پڑ سکتا ہے۔

نیٹ ورک پتہ ترجمے کی حالت WAN تبدیلی کا عام شکار ہے۔ منتخب اپ لنک، متوقع بیرونی ماخذ پتہ، زیر استعمال ترجمہ اور ہم منصب کی وہاں تک رسائی درج کریں، پھر ٹرانسپورٹ کو اس ٹنل میں بھیجے بغیر جو اسے اٹھاتا ہے قابل رسائی رکھیں۔

دو کیپچرز سے دونوں تہوں کی تصدیق کریں

WAN انٹرفیس پر ایک کیپچر اور ٹنل کے اندر ایک کیپچر کسی بھی کنفیگریشن موازنے سے زیادہ تیزی سے سوال طے کرتے ہیں۔ منظور شدہ کلائنٹ کے ایک ہی درخواست کرتے وقت انہیں گیٹ وے سے چلائیں، اور دونوں فائلیں رکھیں۔

sudo tcpdump -ni wan1 'udp port 4500' -c 20
sudo tcpdump -ni tun0 'tcp port 443 and host 203.0.113.10' -c 20
ip route get 203.0.113.10 from 10.8.0.6

پہلے کیپچر میں بیرونی گفتگو کو اس انٹرفیس سے نکلتے دکھنا چاہیے جس کا آپ نے ارادہ کیا، متوقع ماخذ پتے کے ساتھ۔ دوسرے میں اندرونی گفتگو ایک بار، بغیر تکرار، کلائنٹ پتہ ماخذ اور ایپلیکیشن سرور منزل کے طور پر دکھنی چاہیے۔ راستے کی تلاش تصدیق کرتی ہے کہ راؤٹر اس ماخذ اور منزل کے جوڑے کے لیے کون سی جدول استعمال کرے گا، اور وہیں پالیسی کی غلطی عام طور پر ظاہر ہوتی ہے۔ اگر کوئی کیپچر نظر نہ آئے، تو فیصلہ کا مقام وہ نہیں جہاں قاعدہ منسلک ہوا تھا، اور اصلاح وسیع تر مطابقت میں نہیں بلکہ وہیں ہے۔