آپ کا Windows VPN روٹ ٹیبل 0.0.0.0/1 اور 128.0.0.0/1 کیوں دکھاتا ہے

ونڈوز کے VPN سے جڑیں اور روٹ ٹیبل کھولیں، دو اندراج فوراً نظر آتے ہیں: 0.0.0.0/1 اور 128.0.0.0/1۔ یہ ٹائپنگ کی غلطی نہیں اور ڈیفالٹ روٹ کی جگہ نہیں لیتے۔ ان کا نمودار ہونا ایک پروفائل آپشن پر منحصر ہے، اور یہ جوڑی مکمل ٹنل بنانے کا طریقہ ہے، اسپلٹ ٹنل کی خصوصیت نہیں۔ ایک بھی سطر بدلنے سے پہلے آپشن، سابقہ اور انٹرفیس کو ساتھ پڑھیں۔

ڈیفالٹ گیٹ وے آپشن کیا انسٹال کرتا ہے

ہر چیز ٹنل سے بھیجنے والا پروفائل آپشن ان دو سابقوں کو شامل کر کے کام کرتا ہے۔ آپشن ہٹائیں تو وہ غائب ہو جاتے ہیں، صرف وہ روٹ باقی رہتا ہے جو ٹنل اڈاپٹر کو دی گئی ذیلی نیٹ کو ڈھانپتا ہے۔ چیک باکس جوڑی کو کنٹرول کرتا ہے؛ یہ واحد ڈیفالٹ روٹ کو دوبارہ نہیں لکھتا۔ اسی لیے ٹک ہٹانے کے بعد ٹیبل مٹانے کی بجائے جزوی دوبارہ تحریر لگتی ہے۔

0.0.0.0/1 IPv4 فضا کا نچلا نصف اور 128.0.0.0/1 اوپری نصف ڈھانپتا ہے، اس لیے مل کر وہ ہر یونیکاسٹ پتہ ڈھانپتے ہیں۔ ہر ایک ڈیفالٹ 0.0.0.0/0 سے زیادہ مخصوص ہے، یعنی سب سے لمبے سابقے کی مطابقت عام ٹریفک کو ٹنل میں بھیجتی ہے جبکہ طبعی ڈیفالٹ روٹ اپنی جگہ رہتا ہے۔ اس ڈیفالٹ کو رکھنا آرائش نہیں: خفیہ کردہ پے لوڈ کو لپیٹنے والے پیکٹ سرور کے عوامی پتے پر بھیجے جاتے ہیں اور انہیں طبعی اڈاپٹر سے باہر جانا ہوتا ہے۔ ڈیفالٹ کو تقسیم کرنے کی بجائے بدلیں، تو ٹنل کی اپنی ترسیل ٹنل میں داخل ہونے کی کوشش کرے گی، جو لوپ ہے نہ کہ کنکشن۔

لہٰذا VPN اڈاپٹر کی طرف اشارہ کرنے والا لفظی 0.0.0.0/0 ملے تو رکنا چاہیے۔ مقامی کلائنٹ عام طور پر ایسا نہیں لکھتا، اس لیے دستی روٹ یا کسی دوسرے کلائنٹ کی ترتیب نے آپ کی پیٹھ پیچھے ٹیبل بدل دی ہے۔ نیچے کچھ بھی ڈی بگ کرنے سے پہلے اسے تلاش کریں۔

گیٹ وے بچانے سے ٹیئر ڈاؤن سستا ہے

ایک کی بجائے دو اندراجات کے حق میں عملی دلیل ٹیئر ڈاؤن ہے۔ منسلک ہونے پر کلائنٹ کے پاس ٹھیک دو روٹ ہوتے ہیں اور منقطع ہونے پر وہ انہیں مٹا دیتا ہے، اس لمحے طبعی اڈاپٹر کے پاس جو ہے وہ چھوڑ دیتا ہے۔ جس کلائنٹ نے واحد ڈیفالٹ بدلا ہوتا اسے پچھلا گیٹ وے یاد رکھنا پڑتا، اور DHCP لیز بدلنے کے بعد وہ اب نہ موجود گیٹ وے بحال کر سکتا تھا۔ دو اپنے اندراجات ایسی حالت نہیں رکھتے۔

دوسرے کلائنٹ بھی اسی ڈیزائن تک پہنچتے ہیں۔ redirect-gateway def1 والا OpenVPN پروفائل ڈیفالٹ مٹانے کی بجائے وہ دو سابقے نصب کرتا ہے، اور Windows کلائنٹ اسی روٹنگ وجہ سے یہی نمونہ اپناتا ہے۔

اسی لیے جب آپ تقسیم کی توقع کرتے ہیں تو ٹیبل مکمل ٹنل جیسی دکھ سکتی ہے۔ جوڑی مکمل ٹنل بنانے کا طریقہ ہے، اسپلٹ ٹنل غلطی کا ثبوت نہیں۔ اگر پروفائل دور دراز گیٹ وے کے استعمال پر سیٹ ہے، تو ایک مقامی ایپلیکیشن جو بھی پہنچے، سب روٹ ہوتا ہے۔

کسی بھی میٹرک سے پہلے سب سے لمبا سابقہ جیتتا ہے

سابقے کی لمبائی کسی دوسرے فیلڈ سے پہلے تلاش کا تعین کرتی ہے۔ میٹرک صرف یکساں سابقے والے روٹوں کے درمیان برابری توڑتا ہے، اس لیے /1 اندراج خراب میٹرک کے باوجود /0 ڈیفالٹ کو ہرا دیتا ہے۔ انٹرفیس بائنڈنگ طے کرتی ہے کہ جب دو روٹ ایک سابقہ بانٹیں اور Windows کو چننا ہو کہ کون سا اڈاپٹر پیکٹ بھیجے گا تو کیا بچتا ہے۔

route print -4
Get-NetRoute -AddressFamily IPv4 | Sort-Object DestinationPrefix
Find-NetRoute -RemoteIPAddress 10.50.5.20

اسپلٹ ٹنل ٹیبل میں طبعی ڈیفالٹ، دو آدھے ڈیفالٹ، ٹنل ذیلی نیٹ کا روٹ اور آپ کا شامل کردہ کوئی بھی دفتری سابقہ ہوتا ہے۔ کلائنٹ اور پروفائل کے مطابق طبعی ڈیفالٹ کم یا زیادہ میٹرک پر ہو سکتا ہے، اور جب تک /1 جوڑی موجود ہے وہ فرق کچھ نہیں بدلتا۔ جوڑی ہٹنے کے لمحے وہ سب کچھ بدل دیتا ہے، تبھی پرانا گیٹ وے یا غلط انٹرفیس سامنے آتا ہے۔ آپ جس ایک سطر کو بدلنے کی توقع رکھتے تھے وہ نہیں، پوری ٹیبل پڑھیں۔

دفتری سابقے کے لیے ایک مالک چنیں

اسپلٹ ٹنل کے لیے صرف وہ سابقہ نام دیں جسے VPN استعمال کرنا ہے، اور اس کی ملکیت کا ایک طریقہ چنیں۔ روٹ کو تفویض کردہ ٹنل پتے کی طرف موڑنا اس وقت تک کام کرتا ہے جب تک وہ پتہ نہ بدلے، جبکہ انٹرفیس سے بائنڈنگ پتے کی تبدیلی سہہ لیتی ہے مگر پروفائل دوبارہ بننے کے بعد انڈیکس دوبارہ تفویض ہونے پر ٹوٹ جاتی ہے۔ پروفائل سے بندھا cmdlet دونوں مسائل سے بچتا ہے، مگر پروفائل کی ضرورت کی قیمت پر۔

route -p add 10.50.0.0 mask 255.255.0.0 172.16.8.1
route -p add 10.50.0.0 mask 255.255.0.0 0.0.0.0 IF 31
Add-VpnConnectionRoute -ConnectionName Office -DestinationPrefix 10.50.0.0/16

cmdlet سابقے کو نامزد پروفائل سے باندھتا ہے، اس لیے روٹ کنکشن کے ساتھ ظاہر ہوتا ہے اور اس کے ساتھ جاتا ہے، جو منظم لیپ ٹاپ چاہتا ہے۔ مستقل روٹ ری بوٹ کے بعد بھی اور اس پروفائل کے بعد بھی قائم رہتا ہے جس نے اسے جنم دیا، اسی طرح ریٹائرڈ VPN برسوں تک اندراجات چھوڑ دیتا ہے۔ ہر سابقے کے لیے ایک طریقہ چنیں اور انتخاب لکھ لیں، کیونکہ ایک ہی سابقے کے لیے مستقل روٹ اور پروفائل روٹ مل کر ایسی نقلیں بناتے ہیں جنہیں ٹیئر ڈاؤن کے وقت سلجھانا تکلیف دہ ہے۔ آپ جو بھی چنیں، ملکیت صرف مشین پر نہیں، ٹکٹ میں بھی نظر آنی چاہیے۔

ملکیت وہ سوال ہے جس کا یہ حصہ جواب دیتا ہے، گرامر نہیں۔ ایک سابقے کے لیے دو مالک وہ ناکامی ہے جس سے بچنا چاہیے۔

ویب سائٹ سے نہیں، منزل سے تصدیق کریں

اس منزل کی جانچ کریں جسے ٹنل عبور کرنا ہے، ایسی ویب سائٹ کی نہیں جو اخراجی پتہ بتائے۔ Find-NetRoute منتخب روٹ اور ماخذ پتہ واپس دیتا ہے، اس لیے آپ دیکھ سکتے ہیں کہ دفتری سابقہ جیتا یا طبعی ڈیفالٹ، پھر شیئر خود کھولیں۔

Find-NetRoute -RemoteIPAddress 10.50.5.20
Get-VpnConnection -Name Office

اخراجی پتے کی ویب سائٹ کمزور جانچ ہے، کیونکہ DNS، IPv6 اور براؤزر پراکسی وہ درخواست الگ الگ راستے سے بھیج سکتے ہیں۔ IPv4 اور IPv6 کی اسی ڈائیلاگ میں الگ سیٹنگز بھی ہوتی ہیں، اور ایک باکس خالی کرنے سے دوسرا خاندان اچھوتا رہتا ہے، اس لیے دوہرے اسٹیک والی مشین IPv4 اسپلٹ روٹ پر چلتے ہوئے IPv6 ٹنل سے لے جا سکتی ہے۔ پروفائل کو اسپلٹ کہنے سے پہلے دونوں خاندان جانچیں۔ اگر روٹ درست ہے اور سروس پھر بھی ناکام ہو، تو باقی پرت روٹنگ نہیں، فلٹرنگ ہے۔

کلائنٹ کے زیرِ انتظام فائر وال مکمل روٹ ٹیبل کے باوجود دفتری ذیلی نیٹ بلاک کر سکتا ہے۔ وہ پالیسی پروفائل بھیجنے والے کی ہے، روٹ ایڈٹ کرنے والے کی نہیں۔