ایک سب نیٹ اب بھی آپ کے VPN کی ڈیفالٹ روٹ کو کیوں بائی پاس کرتا ہے

آپ VPN کو مکمل ٹنل پر منتقل کرتے ہیں، زیادہ تر ٹریفک مان لیتی ہے، اور پھر ایک پتہ سیدھا جواب دیتا ہے — ایک پرنٹر، NAS، 10.x پر جمپ ہوسٹ۔ واضح بات یہ ہے کہ ٹنل رس رہا ہے، چنانچہ آپ ڈیفالٹ روٹ پر میٹرک کم کرتے ہیں اور کچھ نہیں بدلتا۔ وہی ناکام کوشش اشارہ ہے: ڈیفالٹ روٹ ایک متبادل ہے، فیصلہ نہیں۔ روٹ کی تلاش میٹرک کا موازنہ کرنے سے پہلے ہی سب سے لمبا مماثل پریفکس لے لیتی ہے، اس لیے /24 کسی بھی عدد کے ساتھ /0 کے خلاف جیتتا رہتا ہے۔ جب یہ ترتیب واضح ہو جائے تو رساؤ عام طور پر وہ روٹ ہوتا ہے جو کسی نے جان بوجھ کر نصب کیا، یا وہ پریفکس جسے کلائنٹ نے کبھی ڈھانپنے کا ارادہ نہیں کیا۔

ڈیفالٹ روٹ اصل میں کیا وعدہ کرتا ہے

0.0.0.0/0 صفر بٹ کی خصوصیت کے ساتھ ہر IPv4 منزل سے مماثل ہے۔ یہ اس لیے موجود ہے تاکہ ہوسٹ ہر اس چیز تک پہنچ سکے جسے اس کی جدول بہتر طور پر بیان نہیں کرتی۔ 192.168.1.0/24 کی طرف روٹ 24 مماثل بٹس لے جاتا ہے، اس لیے 192.168.1.40 کے لیے یہ کسی کے میٹرک، انتظامی فاصلے یا کلائنٹ کے ترجیحی فیلڈ کہلانے والی چیز کا موازنہ کرنے سے پہلے ہی جیت جاتا ہے۔ یہی قاعدہ Linux FIB، Windows کی روٹنگ جدول اور macOS کے پیچھے BSD اسٹیک میں لاگو ہے۔

عام LAN پر یہ رویہ ایک خصوصیت ہے۔ مقامی سب نیٹ براہ راست جڑا ہوا ہے، ٹنل آپ کی براؤزنگ لے جاتے وقت پرنٹر کام کرتا رہتا ہے، اور کچھ بھی غلط ترتیب نہیں دیا گیا۔ پوچھنے کے قابل سوال یہ نہیں کہ وہ ایک پتہ سیدھا کیوں جاتا ہے، بلکہ یہ کہ کس جدول میں کون سا پریفکس اس سے مماثل ہے، اور اسے وہاں کس نے رکھا۔

آدھی ڈیفالٹ، یا ڈیفالٹ اندراج اچھوت کیوں دکھ سکتا ہے

سب سے صاف مثال redirect-gateway def1 OpenVPN میں ہے۔ آپ کی ڈیفالٹ کو مٹا کر بدلنے کے بجائے، یہ 0.0.0.0/1 اور 128.0.0.0/1 شامل کرتا ہے۔ مل کر یہ جوڑا پورا IPv4 ڈھانپ لیتا ہے، ہر پریفکس /0 سے لمبا ہے، اور دونوں راؤٹر کی ڈیفالٹ کو اپنی جگہ پر رکھتے ہوئے اسے ہرا دیتے ہیں۔ بعد میں روٹ کی فہرست چلائیں اور اصل ڈیفالٹ اب بھی وہیں ہے، اب بھی آپ کے گیٹ وے کی طرف اشارہ کرتا ہے؛ یہ صرف انٹرنیٹ منزلوں کے لیے کبھی منتخب نہیں ہوتا۔

WireGuard کا wg-quick پالیسی پر مبنی روٹنگ کے ذریعے وہی نتیجہ حاصل کرتا ہے۔ جب AllowedIPs 0.0.0.0/0 ڈھانپتا ہے تو یہ اپنی جدول بناتا ہے، نشان زد پیکٹ وہاں بھیجتا ہے، اور ایسا قاعدہ شامل کرتا ہے جو مرکزی جدول کے صفر لمبائی والے پریفکس کو نظر انداز کرتا ہے۔ مرکزی جدول اپنا ڈیفالٹ اندراج رکھتا ہے، اور قواعد فیصلہ کرتے ہیں کہ انٹرفیس کی ملکیت والی ٹریفک کے لیے پہلے ٹنل جدول سے پوچھا جاتا ہے۔

دونوں ڈیزائنوں کو ٹنل سے باہر بالکل ایک روٹ درکار ہے: اصل گیٹ وے کے ذریعے VPN سرور کے اپنے پتے کی طرف ہوسٹ روٹ۔ اس کے بغیر کلائنٹ ٹنل بنانے والے پیکٹ ٹنل کے اندر لے جانے کی کوشش کرے گا، اور کنکشن کبھی مکمل نہیں ہوگا۔ اس لیے سخت مکمل ٹنل پروفائل پر بھی آپ کی جدول میں غیر ٹنل روٹ معمول ہے۔ سوال کرنے کے قابل روٹ وہ ہیں جو آپ کے لیے واقعی اہم منزلیں ڈھانپتے ہیں۔

میٹرک برابری کا فیصلہ کرتے ہیں، پریفکس جیتنے والے کا

میٹرک کا موازنہ صرف ان امیدواروں کے درمیان ہوتا ہے جو منزل سے یکساں طور پر مماثل ہوں۔ Linux پر ip route get 10.20.5.9 جیتنے والے کو اس کی جدول کے ساتھ پرنٹ کرتا ہے، اور ip route show table all امیدواروں کی فہرست دیتا ہے، جس میں کوئی بھی آدھی ڈیفالٹ اور کوئی بھی جدول شامل ہے جس کی طرف قاعدہ اشارہ کرتا ہے۔ Windows پر Find-NetRoute -RemoteIPAddress 10.20.5.9 منتخب روٹ اور ماخذ پتہ واپس کرتا ہے، جبکہ Get-NetRoute خام جدول دکھاتا ہے — لیکن مؤثر لاگت روٹ میٹرک جمع انٹرفیس میٹرک ہے، اس لیے سست اڈاپٹر وہ برابری ہار سکتا ہے جو جیتتا دکھائی دیتا ہے۔

آپ جو دیکھیں گے اس کا زیادہ تر حصہ تین کیس ڈھانپتے ہیں:

• ایک ہی منزل، /24 بمقابلہ /0: میٹرک جو بھی کہیں، پریفکس لمبائی پر /24 جیتتا ہے۔
• ایک ہی منزل، مختلف میٹرک والے دو /24: کم مؤثر میٹرک جیتتا ہے۔
• ایک ہی منزل، دو جدولیں، ایک پالیسی قاعدے سے منتخب: قاعدہ پہلے جدول منتخب کرتا ہے، اور پریفکس کا موازنہ اسی کے اندر ہوتا ہے۔

تیسرا کیس وہ جگہ ہے جہاں ان رپورٹوں کی زیادہ تر تعداد ختم ہوتی ہے۔ Linux کا ip rule یا Windows کا VPN ٹریفک فلٹر ٹریفک کو ایسی جدول میں بھیج سکتا ہے جس میں کبھی ٹنل کی ڈیفالٹ نہیں تھی، اور مرکزی جدول ہر وقت بے داغ دکھائی دیتا ہے۔

عام طور پر اس بائی پاس کا مالک کون ہوتا ہے

جدول سے نہیں، پروفائل سے شروع کریں۔ Split-tunnel ترتیبات اور فی ایپ VPN سیٹنگز نامزد پریفکس کو جان بوجھ کر ٹنل سے باہر رکھتی ہیں؛ کام کا پروفائل جو ایک نجی سب نیٹ کی حفاظت کرتا ہے اور عام براؤزنگ کو سیدھا جانے دیتا ہے، ویسا ہی برتاؤ کرتا ہے جیسے ڈیزائن کیا گیا تھا، اور اسے اوور رائیڈ کرنا اس پالیسی کو توڑ دیتا ہے جسے نافذ کرنے کے لیے یہ بنایا گیا تھا۔ Microsoft کی VPN روٹنگ گائیڈ زبردستی ٹنل کی گئی ٹریفک اور واضح استثناؤں کے درمیان وہی لکیر کھینچتی ہے، جو کچھ بھی تبدیل کرنے سے پہلے اسے مفید متبادل جانچ بناتی ہے۔

پھر باقیات تلاش کریں۔ ایسا روٹ جو اب موجود نہ ہونے والے انٹرفیس یا پچھلے نیٹ ورک کے پتے کی طرف اشارہ کرتا ہو، ڈاکنگ اسٹیشن، USB اڈاپٹر اور کنٹینر پلوں کے آنے جانے کے بعد سامنے آتا ہے۔ ایک بار مٹا دینا انجام نہیں: NetworkManager کنکشن پروفائلز، netplan فائلیں اور Windows کے مستقل روٹ اگلی کنکشن یا بوٹ پر اسے دوبارہ نصب کرتے ہیں، اس لیے کچھ بھی تبدیل کرنے سے پہلے وہ فائل یا پروفائل تلاش کریں جو اس کا مالک ہے۔

پھر IPv6 الگ سے جانچیں۔ ip -6 route اور Get-NetRoute -AddressFamily IPv6 الگ حالت، الگ ڈیفالٹ اور الگ کلائنٹ رویہ رکھتے ہیں۔ صرف IPv4 کا آڈٹ دوہرے اسٹیک والے ہوسٹ کے بارے میں کچھ نہیں کہتا جو خاموشی سے مقامی IPv6 راستے کو ترجیح دیتا ہے، اور صرف یہی کلائنٹ کو split-tunnel جیسا دکھا سکتا ہے۔

ایپ کے اپنے بہاؤ سے تصدیق کریں

وہ منزل لکھیں جو ایپ واقعی استعمال کرتی ہے، پھر سسٹم سے پوچھیں کہ وہ کون سا راستہ اختیار کرے گا جس ماخذ پتے سے یہ ایپ جڑتی ہے۔ ip route get 10.20.5.9 from 192.168.1.40 Linux پر اس کا جواب دیتا ہے؛ Find-NetRoute -RemoteIPAddress 10.20.5.9 جمع مقامی پتہ Windows پر یہ کرتا ہے۔ نتیجے کا موازنہ اس سے کریں جو پروفائل دعویٰ کرتا ہے۔ براؤزر کا عوامی IP صفحہ ایک پروٹوکول پر ایک منزل جانچتا ہے اور اس نجی پتے کے بارے میں کچھ نہیں کہتا جس سے شکایت شروع ہوئی۔

وہ تنگ ترین چیز درست کریں جو فرق کی وضاحت کرتی ہے۔ اگر استثنا منظور ہے تو پریفکس لکھ کر چھوڑ دیں؛ اگر نہیں تو ڈیفالٹ کا میٹرک کم کرنے کے بجائے روٹ ہٹا دیں یا ٹنل کے ذریعے واضح تنگ روٹ شامل کریں۔ میٹرک کم کرنا لمبے پریفکس کو پیچھے نہیں چھوڑ سکتا، اور دو /1 روٹ انٹرنیٹ راستے کے مالک ہوں تو ڈیفالٹ میں ترمیم بھی کچھ نہیں بدلتی۔

پھر ٹنل دوبارہ جوڑیں اور وہی استفسار دہرائیں۔ کلائنٹ ہر کنکشن پر روٹ دوبارہ نصب کرتے ہیں، اس لیے اگلے ہینڈ شیک تک قائم رہنے والی تبدیلی جانچی نہیں گئی۔ اگر راستہ اب بھی مختلف ہے تو باقی مشتبہ پالیسی قاعدہ، دوسری جدول یا کلائنٹ کی طرف فلٹر ہے — ڈیفالٹ روٹ نہیں۔

• وہ منزل اور ماخذ پتہ نام لیں جو ایپ واقعی استعمال کرتی ہے۔
• جیتنے والا روٹ ip route get یا Find-NetRoute سے پرنٹ کریں۔
• جانچیں کہ انٹرنیٹ راستے کا مالک /1 جوڑا ہے یا پالیسی جدول۔
• /0 سے لمبا اور منزل سے مماثل ہر پریفکس درج کریں۔
• IPv6 جانچ الگ سے دہرائیں۔
• باقی روٹ کو اس فائل، پروفائل یا فلٹر تک واپس ٹریس کریں جو اسے نصب کرتا ہے۔
• درست ہونے کا کہنے سے پہلے دوبارہ جڑیں اور استفسار دوبارہ چلائیں۔

اگر ساتوں پروفائل سے متفق ہوں تو ٹنل ٹھیک وہی کر رہا ہے جس کے لیے ترتیب دیا گیا تھا، اور اصلاح میٹرک میں نہیں، پروفائل میں ہے۔