VPN دوبارہ کنیکٹ ہونے پر اسناد دوبارہ کیوں مانگی جاتی ہیں
محفوظ کردہ پاس ورڈ اور دوبارہ استعمال ہونے والا ٹوکن مختلف شیڈول پر ختم ہوتے ہیں۔ کلائنٹ پر کچھ بدلنے سے پہلے پڑھیں کہ دوبارہ کنیکٹ نے کون سا مواد مانگا تھا۔
گھنٹوں چلنے والی ٹنل لیپ ٹاپ کے جاگنے ہی پاس ورڈ مانگتی ہے، اور کنفیگریشن میں کچھ نہیں بدلا۔ جو بدلا ہے وہ اُس اسناد کی حالت ہے جسے دوبارہ کنیکٹ نے دوبارہ استعمال کرنے کی کوشش کی۔ تین قسم کا مواد اسے کنٹرول کرتا ہے، اور ان میں سے صرف ایک ہی کسی بھی وقفے سے بچتا ہے۔
پڑھیں کہ کلائنٹ نے کون سی مانگی، کیونکہ تینوں مختلف گھڑیوں پر ختم ہوتی ہیں اور مختلف پیغامات کے ساتھ ناکام ہوتی ہیں۔
دوبارہ استعمال ہونے والے مواد کی تین قسمیں
کیش میں رکھا پاس ورڈ وہ راز ہے جو کلائنٹ کے پاس ہوتا ہے، اور جب تک اکاؤنٹ اسے نہ بدلے وہ درست رہتا ہے۔ سیشن ٹوکن کامیاب لاگ ان کے بعد سرور جاری کرتا ہے، اس کی اپنی عمر ہوتی ہے اور کسی بھی لمحے منسوخ کیا جا سکتا ہے۔ TLS سیشن ٹکٹ یا IKE سیکیورٹی ایسوسی ایشن پروٹوکول کی حالت ہے، دوبارہ شروع کرنے میں سستا اور آپ کے پاس ورڈ سے مکمل طور پر آزاد۔ ہر ایک الگ جزو جاری کرتا ہے، اور ہر ایک اپنی شرائط پر ختم ہوتا ہے۔
پہلا دوبارہ آغاز سے بچتا ہے، دوسرا عام طور پر سسپنڈ سے بچتا ہے، اور تیسرا شاید نیٹ ورک کی تبدیلی سے بالکل نہ بچے۔ انہیں ملا دینا غلط حل دیتا ہے، جیسے ایسا پاس ورڈ ری سیٹ کرنا جو کبھی مسترد نہیں ہوا۔
خود اشارہ تشخیص ہے۔ براؤزر ونڈو یا دوسرے عنصر کا کوڈ یعنی سرور نے متعامل تصدیق طلب کی، جبکہ اشارے کے بغیر خاموش ناکامی یعنی کلائنٹ اتنی دور نہیں پہنچا کہ پوچھا جائے۔
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
کلید کی تجدید دوبارہ تصدیق نہیں ہے
کلید کی تجدید تصدیق شدہ شناخت برقرار رکھتے ہوئے کلیدیں بدلتی ہے، اسی لیے صحت مند ٹنل پر یہ وقتاً فوقتاً خاموشی سے ہوتی ہے۔ دوبارہ تصدیق شناخت کی جانچ کو ہی دہراتی ہے، اور وہی واقعہ آپ کی ضرورت ہے۔ IKEv2 دونوں کو واضح طور پر الگ کرتا ہے، اور ساتھی درمیان میں کتنی ہی کلید تجدیدیں ہوئی ہوں، مقررہ وقفے پر مکمل دوبارہ تصدیق مانگ سکتا ہے۔ لاگ کس کا نام لیتا ہے یہ پڑھنے تک دونوں واقعات باہر سے ایک جیسے دکھائی دیتے ہیں۔
OpenVPN اپنی اصطلاحات میں اسی طرح برتاؤ کرتا ہے: دوبارہ گفت و شنید کا وقفہ ڈیٹا چینل کو تازہ کرتا ہے، اور تصدیق کا ٹوکن اگلے کنکشن پر مکمل لاگ ان سے بچنے کے لیے کلائنٹ کو واپس دیا جا سکتا ہے۔ اس ٹوکن کی عمر ہے، اور سرور فیصلہ کرتا ہے کہ اسے دوبارہ قبول کرنا ہے یا نہیں۔
اس لیے آٹھ گھنٹے بعد کا دوبارہ کنیکٹ وہاں ناکام ہو سکتا ہے جہاں آٹھ منٹ بعد کا دوبارہ کنیکٹ کامیاب ہوا تھا، دونوں طرف کوئی کنفیگریشن تبدیلی نہ ہونے کے باوجود۔ دوپہر کے کھانے کے بعد ہی ظاہر ہونے والے اشارے کی پوری وضاحت یہی ہے۔
جب کلائنٹ نیا چیلنج پورا نہیں کر سکتا
براؤزر مرحلہ مانگنے والی پالیسی ایسے کلائنٹ پر ناکام ہو گی جس کے پاس اسے دکھانے کا کوئی طریقہ نہ ہو۔ بغیر سر کے سرور، اسٹارٹ اپ اسکرپٹس اور صرف پاس ورڈ کی تصدیق کے لیے بنائے گئے پرانے پروفائل سب اسی دیوار سے ٹکراتے ہیں، اور ناکامی اکثر تصدیق کی غلطی کے بجائے عام وقت ختم ہونے کے طور پر ظاہر ہوتی ہے۔
ڈیوائس اور نیٹ ورک کی منتقلیاں بھی پالیسی کی تشخیص کی کھڑکی میں آ سکتی ہیں، اس لیے Wi-Fi سے ہاٹ اسپاٹ تک جانا ایسی جانچ سے مل جاتا ہے جو بہرطور ہونی تھی۔ یہ اتفاق نیٹ ورک کو قصوروار دکھاتا ہے جبکہ سبب ٹائمر ہے۔
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
پہلی سطر کلائنٹ کے اپنے لاگ میں دوبارہ گفت و شنید اور تصدیق کے واقعات دکھاتی ہے، اور دوسری وہ سیکیورٹی ایسوسی ایشن دکھاتی ہے جو strongSwan ساتھی کے پاس اس وقت ہیں۔ وقت کے نشانات کا موازنہ اُس لمحے سے کریں جب اشارہ ظاہر ہوا؛ میل کھانا نیٹ ورک نہیں، ٹائمر کی تصدیق کرتا ہے۔
کیا رپورٹ کریں، اور کیا بند نہ کریں
اگر ہاتھ سے لاگ ان کامیاب ہو اور خودکار دوبارہ استعمال مسلسل ناکام ہو، تو آپریٹر کو بالکل یہی بتائیں۔ یہ جزو کا نام لیتا ہے: دوبارہ استعمال کا راستہ، اسناد نہیں۔ ناکامی کا وقت، استعمال ہونے والا اکاؤنٹ اور آپ نے جو اشارہ دیکھا اس کی قسم شامل کریں۔
دوبارہ کنیکٹ کو خاموش کرنے کے لیے دوسرا عنصر بند نہ کریں، سرٹیفکیٹ کی جانچ نہ چھوڑیں اور اسکرپٹ میں اسناد نہ چپکائیں۔ ان میں سے ہر ایک وہ جانچ ہٹاتا ہے جسے نافذ کرنے کے لیے پالیسی موجود ہے، اور ہر ایک لاگ ان کے اشارے کو واقعے میں بدل دیتا ہے۔
اس کے بجائے معاون بہاؤ مانگیں: ایسا کلائنٹ جو چیلنج پورا کر سکے، کام کے دن سے مطابقت رکھنے والی ٹوکن عمر، یا ایسی مشین کے لیے منظور شدہ غیر متعامل پروفائل جو پوچھ نہیں سکتی۔ یہ سب کنفیگریشن کے فیصلے ہیں جنہیں کوئی منظور کر سکتا ہے، جو کوئی وقتی حل نہیں ہے۔