VPN پورٹس کو بلاک کرنا غیر مجاز ٹنلز کو کیوں نہیں روکتا

فائر وال کا قاعدہ اُس ٹریفک کو مسترد کرتا ہے جس سے وہ مطابقت رکھتا ہے۔ یہ اُس کنکشن کے ہر استعمال کو مسترد نہیں کرتا جس کی وہ اجازت دیتا ہے، اور غیر مجاز ٹنلز کے خلاف زیادہ تر پالیسیاں اسی خلا میں ناکام ہوتی ہیں۔ پانچ سال پہلے مقبول کلائنٹ کی پورٹس بلاک کرنا 443 سے گزرنے والی ہر چیز کو اچھوتا چھوڑ دیتا ہے، اور ایسی ڈیوائس کے بارے میں کچھ نہیں کہتا جو اپنے راستے خود لکھ سکتی ہو۔ کنٹرول کو اختیار اور منزلوں کے گرد بنائیں، پھر وہ بہاؤ پڑھیں جن کی آپ واقعی اجازت دیتے ہیں۔

پورٹ فہرست پالیسی کیوں نہیں

پورٹس ٹرانسپورٹ لیئر کا تصور ہیں، اور کئی ٹنل ٹیکنالوجیز انہیں بالکل استعمال نہیں کرتیں۔ دیگر جان بوجھ کر ایک پورٹ عام ویب ٹریفک کے ساتھ بانٹتی ہیں، کیونکہ وہی پورٹ ہے جس کا گزر یقینی ہے۔ لہٰذا تاریخی پورٹ پر بنایا گیا قاعدہ چند عمل درآمد شمار کرتا ہے، رویے کی کلاس نہیں۔ یہ بُری طرح پرانا بھی ہوتا ہے: جس لمحے فراہم کنندہ ڈیفالٹ اقدار بدلتا ہے، فہرست ماضی بیان کرنے لگتی ہے۔

اس سے بھی بدتر، ایک پورٹ کی کامیاب بلاکنگ کو اس بات کا ثبوت سمجھا جا سکتا ہے کہ پورا مسئلہ حل ہو گیا، جو پھر اُن کنٹرولز کو مؤخر کر دیتا ہے جو اہمیت رکھتے تھے۔

پروٹوکول نمبر اور پورٹس مختلف نام کی جگہیں ہیں

GRE کو IP پروٹوکول نمبر 47 تفویض کیا گیا ہے۔ یہ TCP پورٹ 47 نہیں اور UDP پورٹ 47 نہیں، اور پورٹ کے لیے لکھا گیا فلٹر اُسے نہیں چھوتا۔ ESP اور AH اسی خصوصیت کے ساتھ پروٹوکول نمبر 50 اور 51 پر ہیں۔ انکیپسولیٹڈ ٹریفک کسی اجازت یافتہ کنکشن کے اندر بھی چھپ سکتی ہے، اسی لیے کوئی زمرہ یا دستخط مدد دے سکتا ہے مگر خود مقصد کی کبھی تصدیق نہیں کرتا۔ اعتماد اور احاطہ کسی مخصوص پروڈکٹ اور ریلیز سے تعلق رکھتے ہیں، تصور سے نہیں۔

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

پہلا کمانڈ دکھاتا ہے کہ آپ نے واقعی کیا لکھا؛ دوسرا وہ پروٹوکول جدول دکھاتا ہے جو اسٹیک جانتا ہے؛ تیسرا دکھاتا ہے کہ اس وقت کتنی سیشنز ویب پورٹ استعمال کر رہی ہیں۔ ان میں سے کوئی نہیں بتاتا کہ وہ سیشنز کس لیے ہیں۔ TLS کی مداخلت ایک الگ فیصلہ ہے جس کی اپنی لاگت اعتماد، رازداری اور کلائنٹ مطابقت میں ہے۔ یہ کسی نامزد منزل سے انکار کی پیشگی شرط نہیں، اور ٹنلز کی شناخت کی ضمانت بھی نہیں۔

ڈیوائس کے اختیار کو کنٹرول کریں

جو ڈیوائس اپنا روٹنگ جدول اور فلٹرنگ بدل سکتی ہے، اُس کے پاس وہ صلاحیتیں ہیں جو عام ایپلیکیشن کے پاس نہیں۔ داخلہ اور ترتیب کا انتظام ہی وہ صلاحیت ختم کرتا ہے، اور یہ اس بات سے قطع نظر کام کرتا ہے کہ ٹنل کون سی پورٹ استعمال کرے گا۔

اس کا مطلب ہے کہ منظور شدہ کنکشنز دوسری ڈیوائسز کے لیے آگے بھیجنے کی بلا حد اجازت کے بجائے اپنا اعلان کردہ کردار پاتے ہیں، اور اس کا مطلب ہے کہ تنصیب اور نیٹ ورک منتظمی کے حقوق پالیسی کا حصہ ہیں، بعد کی سوچ نہیں۔

باقی رہنے والے بہاؤ کا مشاہدہ کریں۔ ڈیوائس کی شناخت، تفویض کردہ کردار اور بہاؤ کی میٹا ڈیٹا کو باہم جوڑیں، اور درجہ بندی کو حدود کے ساتھ ثبوت سمجھیں، فیصلہ نہیں۔

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

طویل المدت خفیہ کردہ سیشن یا بائٹس کی بڑی تعداد غلط استعمال کا ثبوت نہیں: بیک اپ، معاون اوزار اور سائٹس کے درمیان روابط ایک جیسے دکھتے ہیں۔ جمع آوری کو تحقیق تک محدود رکھیں اور جو کچھ ملے اُسے اُس عمل کے تحت محفوظ رکھیں جس کی وہ ملکیت ہے۔

استثنات کو واضح کریں

ہر ماحول میں ایسی منزلیں ہوتی ہیں جو اپ ڈیٹس، توثیق اور بحالی کے لیے قابل رسائی رہنی چاہئیں۔ اُنہیں مقصد اور ذمہ دار کے ساتھ لکھیں، اور ایک ایک خرابی پر دریافت کرنے کے بجائے اُن کا جائزہ لیں۔

جب کاروبار واقعی کوئی وسیع بیرونی سروس کی اجازت دیتا ہے، تو اُس سروس کے فراہم کردہ اختیار کا جائزہ لیں، یہ فرض کرنے کے بجائے کہ منزل کا لیبل ہر استعمال کو قابل قبول بنا دیتا ہے۔

جس استثنا کا جائزہ نہ لیا گیا ہو وہ ٹکٹ نمبر والا سوراخ ہے۔ نام، وجہ اور جائزہ تاریخ والا استثنا ایک فیصلہ ہے۔

نعرے کے بجائے تحریری منصوبے کے ساتھ قبول کریں

قبولیت کے دو نصف ہیں: منظور شدہ کام اب بھی کامیاب ہوتا ہے، اور مخصوص ممنوع کیسز مجاز آزمائش میں ناکام ہوتے ہیں۔ دونوں کو تبدیلی سے پہلے لکھا جانا چاہیے اور بعد میں دہرایا جانا چاہیے۔

اُس جائزے میں اینڈ پوائنٹ اور پالیسی تبدیلیاں شامل کریں، کیونکہ لیپ ٹاپ پر شامل کیا گیا راستہ ایسے فلٹر کو منسوخ کر سکتا ہے جو کنارے پر بے عیب کام کر رہا تھا۔

حاصل شدہ چیز ملکیت والی اخراج حد ہے جس کے ساتھ باقی ماندہ خطرے کی معلوم فہرست ہو۔ یہ دعویٰ کہ چند بند پورٹس نے غیر مجاز VPN استعمال ختم کر دیا، وہ یہ نہیں۔