نیٹو Windows IKEv2 میں PSK فیلڈ بالکل کیوں نہیں

گیٹ وے کی دستاویز کہتی ہے کہ پہلے سے مشترکہ کلید کلائنٹ میں ڈالی جاتی ہے، لیکن Windows پروفائل میں اس کے لیے کوئی فیلڈ نہیں۔ یہ خلا ایسی خرابی نہیں جسے پاس ورڈ کے خانے میں کلید لکھ کر ٹالا جائے۔ یہ اس فرق کا اظہار ہے جو ایک پروٹوکول کر سکتا ہے اور ایک خاص نفاذ پیش کرتا ہے۔

پروٹوکول کی صلاحیت کلائنٹ سپورٹ نہیں ہے

IKEv2 کی تفصیل میں مشترکہ کلید کی توثیق شامل ہے، اس لیے گیٹ وے کو اس کے لیے قانونی طور پر ترتیب دیا جا سکتا ہے۔ نیٹو Windows ریموٹ ایکسس پروفائل اس کے بجائے سرٹیفکیٹ اور EAP کے انتظامات درج کرتا ہے، اور پروٹوکول کی صلاحیت ایسی فیلڈ، پیرامیٹر یا رجسٹری ویلیو پیدا نہیں کرتی جو کلائنٹ کے پاس کبھی نہیں تھی۔

لوگ عام طور پر VPN کنکشن شامل کرنے کے لیے PowerShell حوالہ پر پہنچتے ہیں، اور وہاں L2TP انتظام کے لیے L2tpPsk دکھایا گیا ہے۔ وہ پیرامیٹر L2TP کا ہے اور عام IKEv2 راز نہیں۔ الگورتھم کے انتخاب کی ترتیبات تحفظ کے پیرامیٹر چنتی ہیں، جو تیسری، غیر متعلق چیز ہے۔ Windows Server کا روٹنگ کردار بھی وہی شے نہیں۔ سرور انٹرفیس میں ایسے کنفیگریشن کنٹرول ہو سکتے ہیں جو ڈیسک ٹاپ کلائنٹ پروفائل میں نہیں، اور سرور کی ترتیب کو ورک اسٹیشن پروفائل میں کاپی کرنے سے وہ صلاحیت دوبارہ پیدا نہیں ہوتی۔

سرٹیفکیٹ، EAP یا L2TP میں سے چنیں

اگر گیٹ وے آپریٹر سرٹیفکیٹ کی توثیق قبول کرے، تو یہ عام طور پر سب سے صاف منزل ہے: کلائنٹ سرٹیفکیٹ پیش کرتا ہے، گیٹ وے قابلِ اعتماد جاری کنندہ کے پاس اس کی تصدیق کرتا ہے، اور پروفائل میں کوئی مشترکہ راز نہیں رہتا جسے کوئی کاپی کرے۔ اس کے لیے اندراج، قابلِ اعتماد زنجیر اور ایسی گیٹ وے ترتیب درکار ہے جو سرٹیفکیٹ کو اجازت کے فیصلے سے جوڑے۔

صارف کی اسناد کے ساتھ EAP اس کلائنٹ پر دوسرا معاون راستہ ہے، اور یہ فیصلہ شناخت فراہم کنندہ کو منتقل کرتا ہے۔ یہ اپنی انحصاریاں بھی لاتا ہے، کیونکہ EAP طریقہ، سرور سرٹیفکیٹ اور اس سرٹیفکیٹ پر کلائنٹ کا اعتماد سب کو ہم آہنگ ہونا چاہیے۔ صرف مانوس فیلڈ حاصل کرنے کے لیے L2TP/IPsec پر جانا پروٹوکول اسٹیک بدل دیتا ہے۔ یہ تب قابلِ قبول ہے جب یہ دستاویزی وجہ والا معاون انتخاب ہو، اور برا نتیجہ ہے جب ایسا اس لیے ہو کہ کوئی کلید لکھنے کے لیے خانہ ڈھونڈ رہا تھا۔

دیکھیں گیٹ وے کیا قبول کرے گا

آپریٹر سے پوچھیں کہ ریموٹ ایکسس سروس آج کون سے توثیق کے طریقے پیش کرتی ہے، نہ کہ مصنوعات عام طور پر کن کی حمایت کرتا ہے۔ صرف PSK کے لیے ترتیب دی گئی IKEv2 سروس سرٹیفکیٹ قبول نہیں کرے گی کہ کلائنٹ اسے ترجیح دیتا ہے۔

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

پروفائل کا توثیق کا طریقہ اور سرٹیفکیٹ اسٹور اکٹھے پڑھیں۔ پیچھے قابلِ استعمال سرٹیفکیٹ کے بغیر EAP پر مقرر پروفائل ایسے انداز میں ناکام ہوتا ہے جو سرور کی خرابی جیسا لگتا ہے۔

اگر جواب یہ ہو کہ صرف PSK دستیاب ہے، تو ایماندار اختیارات اس کی حمایت کرنے والا منظور شدہ کلائنٹ یا گیٹ وے کے توثیق کے ڈیزائن میں تبدیلی ہیں۔ دونوں مقامی حل نہیں، اور اس کے برعکس دکھانے سے ایسا کنکشن بنتا ہے جسے صرف ترتیب دینے والا شخص ہی دوبارہ بنا سکتا ہے۔

فیصلہ اور راز درج کریں

منتخب طریقہ، اعتماد کا لنگر، اس سے متعلق شناخت اور تبدیلی منظور کرنے والا شخص لکھیں۔ وہی ریکارڈ واقعے کے جائزے کو درکار ہے، اور وہی اگلے انجینئر کو وہی بند راستہ دوبارہ دریافت کرنے سے روکتا ہے۔

اپنے نوٹس میں راز الگ رکھیں: اکاؤنٹ پاس ورڈ، نجی کلید کا پاس فریز اور گیٹ وے کی پہلے سے مشترکہ کلید تین مختلف چیزیں ہیں، اگرچہ سیٹنگز اسکرین سب کو پاس ورڈ کہے۔ انہیں ملانا ہی وہ راستہ ہے جس سے کلید ٹکٹ میں پہنچتی ہے۔ نتیجے میں بننے والا پروفائل نئے کنکشن اور نجی وسیلے کے لیے ایک ایپلیکیشن درخواست سے جانچیں۔ قابلِ رسائی سروس کے بغیر کامیاب ٹنل جزوی نتیجہ ہے، اور جب تک وسیلہ بھی کام نہ کرے پروفائل کو مکمل نہیں کہا جانا چاہیے۔