Windows VPN بمقابلہ Cisco Secure Client: کون سا درست ہے؟
برانڈ کسی پروٹوکول کا نام نہیں: Windows کئی مقامی اقسام پیش کرتا ہے اور Cisco کلائنٹ ایک سے زیادہ موڈ کے لیے پروفائل رکھتا ہے۔ پروفائل پڑھیں۔
ایک ہی گیٹ وے کے لیے دو ہدایات آتی ہیں: Windows VPN سے جڑیں یا Cisco کلائنٹ انسٹال کریں۔ ان میں سے کوئی بھی وہ تبادلہ نہیں بتاتی جس کی گیٹ وے توقع کرتا ہے، کیونکہ Windows کئی مقامی کنکشن اقسام دکھاتا ہے اور وینڈر کا کلائنٹ ایک سے زیادہ موڈ کے لیے پروفائل رکھتا ہے۔ دونوں لیبل سافٹ ویئر بیان کرتے ہیں، جبکہ گیٹ وے پروٹوکول، تصدیق اور پالیسی پر بات کرتا ہے۔ جواب پروفائل میں ہے، اور جڑے بغیر بھی پڑھا جا سکتا ہے۔
لیبل سافٹ ویئر کا نام دیتا ہے، تبادلے کا نہیں
برانڈ اور آپریٹنگ سسٹم دو الگ حقائق ہیں، اور دونوں میں سے کوئی تار کی شکل منتخب نہیں کرتا۔ Windows مقامی اقسام کا ایک مجموعہ دیتا ہے، اور Cisco کلائنٹ ایسا پروفائل انجن دیتا ہے جو SSL یا IPsec/IKEv2 چلا سکتا ہے۔ دونوں کو ملانے سے ایسے چارٹ بنتے ہیں جو تبادلوں کے بجائے کمپنیوں کا موازنہ کرتے ہیں۔
نیچے دیا گیا جدول پروڈکٹ کے سوال کو تین پڑھنے کی جگہوں اور ہر ایک کے رکھے فیلڈ سے بدل دیتا ہے۔ وہ فیلڈز لکھ لیں، اور ابہام ختم ہو جاتا ہے:
| Where to read it | Field name to record | What a mismatch looks like |
|---|---|---|
| Native Windows profile | TunnelType and AuthenticationMethod from Get-VpnConnection | The client offers IKEv2 while the gateway answers only on an SSL port |
| Vendor client profile | SSL or IPsec/IKEv2 mode, plus the client and headend version pair | The imported profile negotiates a mode this headend does not serve |
| Gateway configuration | Protocol, authentication policy and the certificate the headend presents | The client authenticates and then drops, because policy expects another method |
Microsoft کی Windows VPN اقسام کی حوالہ مقامی اقسام میں IKEv2 اور SSTP کی فہرست دیتی ہے، جو اس تصور کو ختم کرتی ہے کہ مقامی پروفائل کا مطلب PPTP ہے۔ Cisco کی پروفائل دستاویزات ملتی جلتی ہیڈ اینڈ پالیسی کے ساتھ SSL اور IPsec/IKEv2 دونوں موڈ بیان کرتی ہیں۔ ہر وینڈر کئی اختیارات دیتا ہے، اس لیے کوئی نام ایک پروٹوکول کی نشاندہی نہیں کرتا۔
مقامی اقسام تار پر کیا رکھتی ہیں
IKEv2 UDP پر سکیورٹی انجمنوں پر بات کرتا ہے اور IPsec کے اندر ٹریفک لے جاتا ہے، جو اسے Microsoft کے لیے مخصوص ڈیزائن کے بجائے دیگر IKEv2 عمل درآمدوں کے برابر بناتا ہے۔ SSTP PPP کو HTTPS سیشن کے اندر لپیٹتا ہے، اس لیے ان پراکسیوں سے گزرتا ہے جن سے IKEv2 نہیں گزر سکتا اور تار پر TLS جیسا دکھتا ہے، مگر TLS VPN پروٹوکول نہیں ہے۔ یہ دو حقائق اس ٹکٹ کا بڑا حصہ بیان کرتے ہیں جو کہتا ہے کہ سرنگ ایک نیٹ ورک پر کام کرتی ہے اور دوسرے پر ناکام ہوتی ہے۔
IPsec کے ساتھ L2TP اور پرانی PPTP اندراج ایک ہی ڈراپ ڈاؤن میں ہیں، اور وہاں ان کی موجودگی سرور کی معاونت کے بارے میں کچھ نہیں کہتی۔ ڈراپ ڈاؤن اس چیز کا مینو ہے جو آپریٹنگ سسٹم آزما سکتا ہے، گیٹ وے کا صلاحیت کا بیان نہیں۔ اسے معاونت کی فہرست کے طور پر پڑھنا ہی دو گھنٹے کی اسناد کی تلاش کا آغاز ہے۔
مقامی پروفائل میں اہم فیلڈز کنکشن کی قسم، تصدیق کا طریقہ اور سرور کی شناخت ہیں۔ غلط قسم خراب پاس ورڈ سے مختلف مرحلے پر ناکام ہوتی ہے، اور یہی فرق قابلِ تعاقب سراغ ہے۔
وینڈر کا کلائنٹ کیا شامل کرتا ہے: پروفائل، پروٹوکول نہیں
Cisco کلائنٹ پروفائلوں کا برتن ہے۔ SSL موڈ اور IPsec/IKEv2 موڈ تبادلے، پورٹ توقعات اور غلطی کے متن میں مختلف ہیں، اور درآمد شدہ پروفائل ان کے درمیان انتخاب کرتا ہے۔ اس لیے کلائنٹ انسٹال کرنا رسائی کے بارے میں کچھ ثابت نہیں کرتا۔
ورژن ایک وجہ سے جوڑے جاتے ہیں۔ خصوصیات، تصدیق کے بہاؤ اور پوسچر جانچ کلائنٹ اور ہیڈ اینڈ کے درمیان طے ہوتے ہیں، اس لیے پرانا کلائنٹ نئے ہیڈ اینڈ کے سامنے ایسے ناکام ہو سکتا ہے جو نیٹ ورک کی خرابی جیسا پڑھا جائے۔ یہ جوڑ کنکشن کی تعریف میں ہے، اپ گریڈ نوٹ میں نہیں۔
دوسری تنظیم سے برآمد شدہ پروفائل مقامی ہیڈ اینڈ سے شاذ و نادر ہی میل کھاتا ہے، اور اسے درآمد کرنے سے کلائنٹ ایسا موڈ پیش کر سکتا ہے جو گیٹ وے فراہم نہیں کرتا۔ پہلے پروفائل سے موڈ پڑھیں، پھر اسے گیٹ وے کے تشکیل شدہ پروٹوکول اور تصدیق کی پالیسی سے موازنہ کریں۔ ان کے میل کھانے کے بعد ہی نیٹ ورک مشتبہ بنتا ہے۔ یہ ترتیب ایک پیکٹ کیپچر بچاتی ہے جو غلط سروس کی طرف اشارہ کرنے والا صحت مند TLS سیشن دکھاتا۔
کچھ بھی بدلنے سے پہلے مقامی پروفائل پڑھیں
Windows میں مقامی ترتیب ڈائل کیے بغیر پڑھی جا سکتی ہے، اور آؤٹ پٹ قسم اور تصدیق کے طریقے کا نام براہِ راست بتاتا ہے۔ ان اقدار کا موازنہ گیٹ وے کے مالک کے اس قول سے کریں کہ ہیڈ اینڈ کیا قبول کرتا ہے۔ اگر قسم ٹکٹ سے مطابقت نہیں رکھتی، پہلے ٹکٹ درست کریں، کیونکہ یہ ایسے کلائنٹ کو دوبارہ انسٹال کرنے سے سستا ہے جو کبھی غلط نہیں تھا۔
یہ چار کمانڈز پروفائل، اس کے راستے، کنکشن کی کوشش اور پورٹ کی رسائی کا احاطہ کرتی ہیں۔ انہیں اسی ترتیب سے اس مشین پر چلائیں جہاں پروفائل پہلے سے نصب ہے:
Get-VpnConnection | Format-List Name,TunnelType,AuthenticationMethod,ServerAddress
Get-VpnConnection -Name 'Corp' | Select-Object -ExpandProperty Routes
rasdial
Test-NetConnection -ComputerName vpn.example.com -Port 443پورٹ ٹیسٹ ہی زیادہ پڑھا جاتا ہے۔ لاگ ان صفحہ دینے والا TCP 443 سننے والا اور IKEv2 ختم کرنے والا دوسرا باہر سے ایک جیسے دکھتے ہیں، کیونکہ پورٹ ایک مقام ہے، پروٹوکول نہیں۔
نتیجہ تین فیلڈز کے طور پر لکھیں، کلائنٹ، موڈ اور گیٹ وے، اور انہیں ٹکٹ کے پاس رکھیں۔ اس سے مختصر کوئی بھی چیز اگلے شخص کو وہی ابہام دوبارہ دریافت کرنے دیتی ہے۔