Windows کا بلٹ اِن VPN وینڈر کے SSL گیٹ وے تک کیوں نہیں پہنچتا

Windows کے ساتھ چار قسم کے ٹنل آتے ہیں، اور وینڈر کا SSL گیٹ وے ان میں سے کوئی نہیں۔ پھر بھی بلٹ اِن پروفائل کو ایسے گیٹ وے کی طرف موڑیں تو رابطہ اسناد مانگنے سے پہلے ہی ناکام ہو جاتا ہے، عام طور پر یہ پیغام کے ساتھ کہ مقامی نظام نے رابطہ ختم کر دیا۔ وہ متن میل نہ کھانے کا اشارہ ہے، تشخیص نہیں۔ پروفائل کی قسم اور پروٹوکول کا مالک کلائنٹ، دونوں کا میل ہونا چاہیے، اور ان میں سے ایک غائب ہے۔

چار اقسام اور ایک مکالمہ

ہر محفوظ پروفائل ایک ٹنل قسم رکھتی ہے۔ بلٹ اِن کلائنٹ PPTP، L2TP، IKEv2 اور SSTP قبول کرتا ہے، ساتھ ایک خودکار موڈ جو انہیں ترتیب سے آزمانے ہے۔ کوئی عمومی SSL VPN اندراج نہیں ہے، اور مکالمے کے ذریعے ایک شامل کرنے کا کوئی طریقہ نہیں۔ وینڈر کا گیٹ وے TLS کے اوپر اپنا ایپلیکیشن پروٹوکول بولتا ہے، جسے صرف اسی وینڈر کا کلائنٹ نافذ کرتا ہے۔

فہرست ایک کمانڈ کی دوری پر ہے، اور کسی بھی دوسرے مسئلے کے حل سے پہلے اسے چلانا مناسب ہے، کیونکہ اس میں ایک سیکنڈ لگتا ہے اور غلط مفروضوں کی پوری ایک صنف ختم ہو جاتی ہے:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType, SplitTunneling
Get-VpnConnection -Name "Office" | Format-List

اگر پروفائل SSTP کہتا ہے اور گیٹ وے RRAS سرور نہیں ہے، تو میل نہ کھانا پہلے ہی ثابت ہو چکا ہے۔ سرٹیفکیٹ یا فائر وال کا کوئی کام اسے نہیں بدلتا۔

SSTP اور وینڈر کا TLS پورٹ 443 پر ایک جیسے دکھائی دیتے ہیں

SSTP ایک PPP سیشن کو TLS کے اندر لپیٹ کر TCP 443 پر چلتا ہے۔ Microsoft اسٹیک میں اسے RRAS ختم کرتا ہے، جو ایک سرور سرٹیفکیٹ پیش کرتا ہے جسے کلائنٹ تصدیق کرتا ہے۔ Fortinet، Citrix یا Pulse آلہ بھی 443 پر TLS ختم کرتا ہے، اور اس کا پورٹل کسی بھی براؤزر میں بغیر شکایت کھلتا ہے۔

وہ براؤزر جانچ رسائی ثابت کرتی ہے، مطابقت نہیں۔ پورٹل کے پیچھے کا سیشن پروٹوکول وینڈر کا ہے، اور بلٹ اِن کلائنٹ کے پاس اس کا کوئی نفاذ نہیں۔ وینڈر اپنا کلائنٹ دیتا ہے یا نہیں، یہ بتاتا ہے کہ آپ میل نہ کھانے کے کس نصف سے نمٹ رہے ہیں۔

اُلٹی الجھن بھی ہوتی ہے۔ اصل RRAS سرور کے سامنے SSTP کے طور پر مرتب پروفائل سرٹیفکیٹ کی تصدیق میں ناکام ہو سکتی ہے جبکہ پورٹل درست ہو، اور یہ سرٹیفکیٹ کا مسئلہ ہے، پروٹوکول کا نہیں۔

ٹنل بننے سے پہلے ظاہر ہونے والی غلطیاں

800 سلسلے کے کوڈ کسی بھی ٹنل کے قائم ہونے سے پہلے بتائے جاتے ہیں، اسی لیے فائر وال قواعد انہیں شاذ و نادر ہی ہلاتے ہیں۔ خرابی 812 سرور کی طرف کی پالیسی ہے جو کلائنٹ کی پیش کردہ تصدیق کا طریقہ مسترد کرتی ہے۔ اس حد کے باقی مقامی کنکشن منتظم سے آتے ہیں، نیٹ ورک سے نہیں۔

کچھ بھی دوبارہ بنانے سے پہلے ٹریسنگ آن کریں۔ ٹریسنگ ناکام ہونے والے مرحلے کا نام بتاتی ہے، اور مرحلے کا نام مکالمے کے متن سے زیادہ قیمتی ہے:

netsh ras set tracing * enable
Get-ChildItem "$env:windir\tracing" | Sort-Object LastWriteTime -Descending | Select-Object -First 5

ٹریسز ٹریسنگ ڈائریکٹری کے نیچے آ جاتے ہیں اور آپ کے صاف کرنے تک وہیں رہتے ہیں، لہٰذا بعد میں ٹریسنگ بند کریں، ہفتوں تک آن نہ چھوڑیں۔

منسلک پروفائل بھی سب کچھ توڑ سکتی ہے

جو پروفائل منسلک ہو کر پھر براؤزنگ، مقامی شیئرنگ یا کنٹینر انجن توڑ دے، اس میں روٹنگ کا مسئلہ ہے، ٹنل کا نہیں۔ ڈیفالٹ گیٹ وے ٹنل میں چلا گیا ہے، اس لیے اب ہر منزل ایسے ساتھی سے گزرتی ہے جو شاید اسے روٹ نہ کرے۔

دو کنٹرول اس کا فیصلہ کرتے ہیں۔ ایک پروفائل پر اسپلٹ ٹنلنگ کی خصوصیت ہے۔ دوسرا دور دراز نیٹ ورک پر ڈیفالٹ گیٹ وے استعمال کرنے کا ہر اڈاپٹر کا اختیار ہے، جو IPv4 کی جدید ترتیبات کے تحت ہے۔

Set-VpnConnection -Name "Office" -SplitTunneling $true
Add-VpnConnectionRoute -ConnectionName "Office" -DestinationPrefix 10.20.0.0/16

روٹس شامل کیے بغیر اسپلٹ ٹنلنگ آن کرنے سے ایسا ٹنل بنتا ہے جو منسلک ہوتا ہے مگر کہیں نہیں پہنچتا۔ DNS جانچے بغیر اسے بند کرنے سے اندرونی نام عوامی جوابات میں بدل جاتے ہیں، کیونکہ اڈاپٹر کا اپنا لاحقہ اور سرورز استعمال نہیں ہوتے۔

پہلے پلمبنگ جانچیں، پھر قسم

اسی ترتیب سے کام کریں، اور سب کچھ ایک ساتھ درست کرنے کے بجائے کوئی مرحلہ ناکام ہو تو رک جائیں:

Test-NetConnection vpn.example.net -Port 443
Get-VpnConnection -Name "Office" | Format-List TunnelType, ServerAddress, DnsSuffix
netsh interface ipv4 show route
rasdial Office

پہلی کمانڈ رسائی کو پروٹوکول سے الگ کرتی ہے۔ دوسری تصدیق کرتی ہے کہ پروفائل خود کو کیا کہتا ہے۔ روٹ جدول دکھاتا ہے کہ ٹنل نے ڈیفالٹ روٹ پکڑا یا نہیں۔ ڈائل کمانڈ کنکشن منتظم کی اپنی خرابی بتاتی ہے، جو اکثر مکالمے سے زیادہ واضح ہوتی ہے۔

ٹکٹ میں ٹنل کی قسم، گیٹ وے کی مصنوعات اور درست خرابی لکھیں۔ پھر اگلا شخص ایک منٹ میں جان لے گا کہ یہ پروٹوکول کا میل نہ کھانا، سرٹیفکیٹ کی ناکامی یا روٹنگ کا فیصلہ ہے، “VPN کام نہیں کرتا” سے شروع کرنے کے بجائے۔