کون سا VRF VPN ساتھی تک پہنچتا ہے اور کون سا پیکٹ لے جاتا ہے؟

گاہک کے روٹنگ سیاق کے اندر ہر ٹنل کو اب بھی اپنے دور کے ساتھی تک پہنچنا ہوتا ہے، اور وہ تلاش بالکل مختلف جدول میں ہو سکتی ہے۔ یہ غلط کرنے سے VRF سے واقف IPsec میں سب سے زیادہ الجھنے والی ناکامیوں میں سے ایک پیدا ہوتی ہے: ٹنل اوپر آتی ہے، راستے موجود دکھائی دیتے ہیں، اور ٹریفک مر جاتی ہے کیونکہ دونوں تلاشوں میں سے ایک نے غلط سیاق استعمال کیا۔ نیچے دیے گئے چار مراحل ترتیب سے کریں اور دونوں منزلیں الگ الگ لکھیں۔

دو تلاشیں، ایک ٹنل

بیرونی کیپسول شدہ پیکٹ ساتھی کے ٹرانسپورٹ پتے کی طرف مخاطب ہے، اور کسی بھی حفاظت سے پہلے اسے روٹ کیا جاتا ہے۔ اندرونی پیکٹ گاہک کے سرور کی طرف مخاطب ہے اور ڈی کیپسولیشن کے بعد، گاہک کے سیاق میں روٹ کیا جاتا ہے۔ یہ دو منزلیں، دو تلاشیں اور اکثر دو مختلف جدول ہیں۔

VRF سے واقف IPsec کے لیے Cisco کی دستاویز انہیں سامنے کے دروازے کا VRF اور اندرونی VRF کہتی ہے۔ سامنے کا دروازہ خفیہ کردہ ٹرانسپورٹ لے جاتا ہے، اور اندرونی سیاق محفوظ ٹریفک لے جاتا ہے۔ ٹنل کو گاہک کے نام پر رکھنے سے دونوں میں سے کوئی راستہ ظاہر نہیں ہوتا۔

اسی لیے ترتیب بدلنے سے پہلے چار حقائق لکھیں: ساتھی کا ٹرانسپورٹ پتہ اور اس تک پہنچنے والا سیاق، پھر سرور کا سابقہ اور اس تک پہنچنے والا سیاق۔ اگر آپ چاروں نہیں بھر سکتے تو آپ اندازہ لگانے والے ہیں۔ اس شعبے میں اندازہ مہنگا ہے، کیونکہ غلط جدول میں شامل راستہ ایک بہاؤ کو چلا سکتا ہے جبکہ دوسرے کو خاموشی سے توڑ دیتا ہے۔ چار حقائق جمع کرنے میں دس منٹ لگتے ہیں اور کیپچر تجزیے کا ایک دن بچتا ہے۔

ساتھی کے لیے ٹرانسپورٹ تلاش کی تصدیق کریں

سامنے کے دروازے سے شروع کریں، کیونکہ جو ٹنل اپنے ساتھی تک نہیں پہنچ سکتی وہ ایک بھی محفوظ پیکٹ گزرنے نہیں دے گی۔ IOS پر عالمی جدول کے بجائے ٹرانسپورٹ VRF کے اندر ساتھی تک راستہ پوچھیں۔

show ip route vrf wan-blue 203.0.113.20
show ip vrf brief
show crypto ikev2 sa

پہلا حکم بتاتا ہے کہ اس سیاق میں ساتھی کا پتہ قابل رسائی ہے یا نہیں، دوسرا واقعی موجود VRF کی فہرست دیتا ہے، اور تیسرا دکھاتا ہے کہ حفاظتی تعلق بنا یا نہیں۔ جو ساتھی پتہ صرف عالمی جدول میں حل ہوتا ہے وہی روایتی سامنے کے دروازے کی غلطی ہے، اور یہ ایسی IKE گفتگو کے طور پر ظاہر ہوتی ہے جو کبھی شروع نہیں ہوتی۔

انٹرفیس کی تقسیم بھی جانچیں۔ دستاویزی رویہ مانگتا ہے کہ ٹنل کا سامنے کے دروازے کا VRF اور WAN انٹرفیس کا VRF میل کھائیں؛ عدم مطابقت پیکٹ کو باہر جانے دے سکتی ہے اور پھر بھی جواب کے درست سیاق میں کارروائی ہونے سے روک سکتی ہے۔

سرور کے لیے اندرونی تلاش کی تصدیق کریں

سامنے کا دروازہ ثابت ہونے کے بعد گاہک کے سیاق میں جائیں اور سرور کے سابقے کے بارے میں وہی سوال پوچھیں۔ یہ تلاش طے کرتی ہے کہ ڈی کیپسول شدہ پیکٹ آگے بھیجا جا سکتا ہے یا نہیں۔

show ip route vrf customer-blue 10.60.4.0
show crypto session detail

پہلا حکم اندرونی راستہ دکھاتا ہے، اور دوسرا پلیٹ فارم کے منسلک کردہ سیاق کے ساتھ سیشن کی حالت دکھاتا ہے۔ اگر راستہ موجود ہے لیکن سیشن کی تفصیلات غلط اندرونی سیاق بتاتی ہیں، تو ٹنل ایسے جدول میں بھیج رہی ہے جو گاہک کا سابقہ نہیں جانتا۔

عالمی جدول کا راستہ دونوں تلاشوں میں سے کسی کا ثبوت نہیں۔ عالمی راستے اس وقت استعمال ہوتے ہیں جب پیکٹ کسی VRF سے منسلک نہ ہو، اور گاہک کے سیاق کو تفویض کردہ ٹنل انٹرفیس وہ تعلق بدل دیتا ہے۔ اگر اندرونی راستہ نہ ہو، پیکٹ ڈی کیپسول ہو کر پھر فارورڈنگ اندراج نہ ہونے کی وجہ سے پھینک دیا جاتا ہے، جو روٹنگ غلطی کے بجائے پیکٹ کے ضیاع جیسا لگتا ہے۔

ترتیب وہاں رکھیں جہاں ماڈل اس کی توقع کرتا ہے

یہی دستاویز ترتیب کے ماڈل الگ کرتی ہے، اور ایک میں آنے والی ترتیب ضروری نہیں کہ دوسرے میں بھی آئے۔ ٹنل حفاظت استعمال کرنے والے ٹنل انٹرفیس کے لیے اندرونی VRF ٹنل انٹرفیس پر بیان ہوتا ہے۔ crypto map پر مبنی ڈیزائنوں میں اندرونی VRF crypto map اندراج کا حصہ ہے۔ کردار جانچے بغیر ملتے جلتے نام کا حکم ماڈلوں کے درمیان منتقل کرنا ہی کام کرنے والے ڈیزائن کو وقفے وقفے سے چلنے والا بنانے کا طریقہ ہے۔

روٹنگ اور شناخت الگ معاملات ہیں۔ رسائی کبھی اس ساتھی پروفائل کا متبادل نہیں ہوتی جو آلہ قبول کرے گا، اور VRF کا نام بدلنے سے پیش کردہ اسناد نہیں بدلنی چاہئیں۔ کسی بھی تبدیلی کے بعد دونوں جانچیں، کیونکہ غلط پروفائل سے بات کرنے والی ٹنل بھی تعلق بنا کر کچھ نہیں بھیج سکتی۔

آخر میں، چار حقائق اور وہ احکام جنہوں نے انہیں ثابت کیا تبدیلی کے ریکارڈ میں لکھیں۔ اگلا انجینئر ٹنل ورثے میں پائے گا، استدلال نہیں، اور دونوں سیاق کے نام بتانے والا مختصر نوٹ اس خاکے سے زیادہ قیمتی ہے جسے کوئی اپ ڈیٹ نہیں کرتا۔