آپ کا VPN سینسر برانچ کا VLAN ٹیگ کیوں کبھی نہیں دیکھتا
روٹ شدہ ٹنل پیکٹ واپس حاصل کرتی ہے، وہ فریم نہیں جو انہیں لے گئے۔ انٹرفیس کی قسم، سینسر کی جگہ، ماخذ سیاق و سباق اور جوابی راستے پر چار جانچیں۔
VPN کی طرف کا سینسر دو برانچ VLAN کو عام IP ٹریفک کی طرح دیکھتا ہے، اور وہ ٹیگ غائب ہے جو ہر برانچ کو اس کی اپنی تار پر شناخت کرتا تھا۔ روٹ شدہ ٹنل یہی کرتی ہے: یہ پیکٹ واپس حاصل کرتی ہے، وہ Ethernet فریم نہیں جو انہیں پہنچاتے تھے۔ غائب ٹیگ کی اہمیت ہے یا نہیں، یہ مکمل طور پر اس سوال پر منحصر ہے جو آپ سینسر سے پوچھتے ہیں۔ نیچے دی گئی چار جانچیں ترتیب سے کریں اور آپ کو معلوم ہو جائے گا کہ کون سا مشاہداتی نقطہ اس کا جواب دے سکتا ہے۔
پہلے: طے کریں کہ آپ کی ٹنل کیا واپس حاصل کرتی ہے
TUN انٹرفیس IP پیکٹ لے کر جاتا ہے، اس لیے برانچ کے فریم کا VLAN ہیڈر اسی روٹر پر رک جاتا ہے جس نے ٹریفک کو ٹنل میں دھکیلا تھا۔ TAP انٹرفیس Ethernet فریم لے کر جاتا ہے، یعنی جب پل اور VLAN داخلے کے قواعد انہیں گزرنے دیں تو ٹیگ بچ سکتے ہیں۔ یہ سوچنے سے پہلے کہ کیپچر میں کیا ہونا چاہیے، انٹرفیس کی قسم پڑھیں۔
دونوں میں سے کوئی انتخاب نقص نہیں ہے۔ دونوں ڈیزائن مختلف سوالات کا جواب دیتے ہیں اور ٹیگ کو مختلف جگہوں پر چھوڑتے ہیں۔
انٹرفیس کی تصدیق خود کریں، مصنوعات کے نام سے اندازہ لگانے کی بجائے۔ لنک کی تفصیلات ڈیوائس کی قسم بتاتی ہیں اور نافذ جھنڈے دکھاتی ہیں، اور TUN ڈیوائس پر لی گئی کیپچر صرف اس لیے Ethernet ہیڈر نہیں پائے گی کہ آپ نے مانگی تھی۔ اگر TUN کیپچر میں پھر بھی ٹیگ دکھائی دیں تو آپ تقریباً یقینی طور پر کوئی دوسرا انٹرفیس یا ایسی ٹنل پڑھ رہے ہیں جو فریم اپنے پے لوڈ کے اندر لے کر جاتی ہے۔ آگے بڑھنے سے پہلے نوٹ کریں کہ آپ کس حالت میں ہیں۔
دوسرے: سینسر وہاں رکھیں جہاں شے ابھی موجود ہے
تین جگہیں زیادہ تر روٹ شدہ ڈیزائن محیط ہیں: برانچ کا Ethernet حصہ، ٹنل کے سروں کے درمیان بیرونی نیٹ ورک، اور ٹنل پراسیسنگ کے بعد کا راستہ۔ ہر ایک مختلف شے دیکھتی ہے، اور ٹیگ صرف پہلی میں موجود ہے۔ سینسر کی جگہ چننا اس بات کا فیصلہ ہے کہ پالیسی کو کون سی شے درکار ہے، سہولت کا سوال نہیں۔
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
پالیسی کا سوال ایسے الفاظ میں پوچھیں جن کا جواب جدول دے سکے، اور یہ عموماً خود ہی حل ہو جاتا ہے۔ اگر قاعدے کو جاننا ہو کہ پیکٹ کس برانچ سے آیا، تو نیچے کی سمت پری فکس میپنگ کافی ہو سکتی ہے، لیکن صرف اس وقت تک جب تک وہ میپنگ درست اور غیر مبہم رہے۔ اگر قاعدے کو جاننا ہو کہ فریم کس پورٹ پر آیا، تو آپ کو پہلی جگہ درکار ہے، کیونکہ نیچے کی سمت کوئی چیز اسے دوبارہ نہیں بنا سکتی۔ سوال کی بجائے عادت سے رکھے گئے سینسر ہی ٹیموں کو ایسا میدان مانگنے پر مجبور کرتے ہیں جو ڈیزائن نے کبھی نہ اٹھایا تھا۔
Ethernet لے جانے والی ٹنل ایک مختلف ڈیزائن ہے اور اسے اس بات کی اپنی جانچ درکار ہے کہ سرے کیا محفوظ رکھتے یا دوبارہ لکھتے ہیں۔ صرف TAP چننا ابھی بھی پل، VLAN داخلے کے قواعد یا معائنہ پالیسی کی وضاحت نہیں کرتا۔
تیسرے: ماخذ سیاق و سباق پر بھروسا کرنے کی بجائے اسے حاصل کریں
ہر برانچ کے لیے ایک پتہ رینج VLAN شناخت کا معمول متبادل ہے، اور یہ صرف اس وقت تک چلتا ہے جب تک میپنگ ایک کے مقابل ایک رہے۔ ایک دوسرے پر چڑھنے والے پری فکس، ترجمہ اور مشترکہ گیٹ وے میں سے ہر ایک اس مفروضے کو اس طرح توڑتا ہے جو ڈیزائن کا نہیں بلکہ ڈیٹا معیار کا مسئلہ لگتا ہے۔ میپنگ کو اس کی حدود کے ساتھ لکھیں اور بتائیں کہ دو قطاروں سے ملنے والے پیکٹ کے ساتھ کیا ہوتا ہے۔ دو برانچوں میں نظر آنے والا پری فکس آپ کی پکڑی ہوئی خرابی ہونی چاہیے، آپ کا قبول کیا ہوا سکہ اچھال نہیں۔
کلائنٹ کی فراہم کردہ سیاق و سباق رکنیت کا ثبوت نہیں ہے۔ یہ ایک دعویٰ ہے، اور اس کی جگہ دوسرے کالم میں ہے۔
جہاں یہ فرق اہم ہے، وہاں اپنے زیرِ کنٹرول ربط ڈیٹا استعمال کریں: کس ٹنل مثال نے رابطہ قبول کیا، پیکٹ کس انٹرفیس پر آئے، مقامی روٹ جدول اُس ساتھی کے بارے میں کیا کہتا ہے۔ کلائنٹ کی فراہم کردہ لیبل ایک مفید اشارہ ہے اور اجازت کے لیے بیکار اِن پٹ۔ اگر سینسر اپنی طرف سے ربط قائم نہیں کر سکتا، تو پالیسی کو خود اعتمادی اندازے کی بجائے وسیع تر قاعدہ درکار ہے۔
چوتھے: جوابی راستہ اور ڈکرپشن کیا چھوڑ دیتا ہے، اس کی تصدیق کریں
صرف ایک سمت دیکھنے والا سینسر بھی صحت مند دکھ سکتا ہے، کیونکہ درخواستیں وقت پر آتی رہتی ہیں۔ جوابی راستہ واضح طور پر جانچیں، اور عام رسائی کے لیے نہیں بلکہ اسی بہاؤ کے لیے جانچیں۔ نیم دو طرفہ مرئیت اس سے نکالے گئے ہر حالت پر مبنی نتیجے میں خاموش خلا بن جاتی ہے۔
اندرونی IP ٹریفک واپس حاصل کرنا بھی اس کے اندر کی ایپلیکیشن دیکھنے کے برابر نہیں، کیونکہ ٹنل پر لے جایا گیا TLS TLS ہی رہتا ہے۔
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5یہ دو کمانڈز انٹرفیس کے سوال کا جواب دیتی ہیں اور دکھاتی ہیں کہ کیپچر میں واقعی کیا ہے، جو معماری پر بحث کرنے سے تیز ہے۔ وہ انٹرفیس نام رکھیں جو آپ کا ڈیزائن استعمال کرتا ہے اور کیپچر اس وقت چلائیں جب آپ کے لیے اہم بہاؤ فعال ہو۔ جب TUN ڈیوائس پر کوئی ٹیگ نظر نہ آئے، تو نتیجہ یہ ہے کہ ڈیزائن نے پل بنانے کی بجائے روٹ کیا، یہ نہیں کہ سینسر نے ڈیٹا گرا دیا۔ پھر یا تو سینسر کو ایسی جگہ لے جائیں جو ٹیگ دیکھ سکے، یا قاعدہ ایسے الفاظ میں دوبارہ لکھیں جو موجودہ جگہ سہار سکے۔