نجی کلید یہاں، عوامی کلید وہاں: WireGuard کی کلیدیں

ہاتھ سے بنائے گئے WireGuard کی بیشتر ناکامیاں اسی پر آ کر رکتی ہیں کہ کون سی کلید کہاں گئی۔ انٹرفیس کا حصہ اس آلے کی نجی کلید رکھتا ہے جسے آپ کنفیگر کر رہے ہیں، جبکہ ہم منصب کا حصہ دوسرے سرے کی مشین کی عوامی کلید رکھتا ہے۔ ان نصفوں کو بدل دینا، یا غلط والی چپکا دینا، ایسا مصافحہ بناتا ہے جو کبھی مکمل نہیں ہوتا اور ایسا لاگ بناتا ہے جو کبھی کسی کلید کا نام نہیں لیتا۔ AllowedIPs یا DNS چھونے سے پہلے نیچے دیے گئے چار جائزے ترتیب سے کریں۔

دو کلیدیں، دو سمتیں

نجی کلید بالکل ایک ہی آلے کی ہوتی ہے اور اسی آلے کے انٹرفیس حصے میں رہتی ہے۔ اس کا عوامی نصف وہی ہے جو ہر دوسرے ہم منصب کو آلہ پہچاننے کے لیے درکار ہوتا ہے، اور اوزار اسے گھڑتے نہیں بلکہ اخذ کرتے ہیں۔ سرور پر آپ کے آلے کی عوامی کلید ہم منصب کے اندراج کے طور پر دکھائی دیتی ہے؛ آپ کے آلے پر سرور کی عوامی کلید وہ کردار ادا کرتی ہے۔ ان اصطلاحات میں کنفگ کو بلند آواز میں پڑھنا بیشتر الجھنیں مصافحے تک پہنچنے سے پہلے پکڑ لیتا ہے۔

wg کمانڈ چھاپتی ہے کہ مقامی انٹرفیس واقعی کیا استعمال کر رہا ہے، دونوں عوامی کلیدوں سمیت۔ اسی لیے کنفیگریشن کی غلطی کو رابطے کے مسئلے سے الگ کرنے کا تیز ترین طریقہ یہی ہے:

wg show
wg show interfaces

پہلا آؤٹ پٹ ہر ہم منصب کو اس کی عوامی کلید، آخری بار استعمال شدہ اینڈ پوائنٹ اور اس کے پچھلے مصافحے کی عمر کے ساتھ فہرست کرتا ہے۔ ایک طرف «کبھی نہیں» اور دوسری طرف حالیہ مصافحے کی عمر اس کلید کی طرف اشارہ کرتی ہے جسے صرف ایک سرے نے قبول کیا۔ دوسری کمانڈ ان انٹرفیسوں کے نام بتاتی ہے جنہیں آپ مزید جانچ سکتے ہیں۔

کیا شیئر کریں اور کیا کبھی نہیں

عوامی کلید سونپنے کے لیے ہوتی ہے، اگرچہ وہ اب بھی آلے کا رشتہ پہچانتی ہے، اسی لیے اسے مانگنے والے منتظم کو بھیجنا اور اسے شائع کرنا ایک جیسا نہیں۔ نجی کلید کبھی اس آلے کو نہیں چھوڑتی جس نے اسے بنایا۔ برآمد شدہ پروفائل یا QR کوڈ اس نجی کلید سمیت پوری کنفیگریشن رکھتا ہے، اس لیے دونوں میں سے کوئی بھی ہاتھوں ہاتھ دینے کے لیے محفوظ نہیں، اور تصویر کے اندر متن چھپانے سے کچھ نہیں بدلتا۔ پہلے سے شیئر کی گئی کلیدیں اختیاری اور اتنی ہی خفیہ ہیں، اور دونوں سروں پر یکساں قدر ہونی چاہیے، ورنہ اسی مرحلے پر مصافحہ رک جاتا ہے۔

ایک اور فرق صاف کہنا چاہیے: اینڈ پوائنٹ ایک پتہ اور ایک پورٹ ہے، کبھی کلید نہیں۔ اینڈ پوائنٹ کے خانے میں عوامی کلید، یا کلید کے خانے میں پتہ چپکانے سے ایسی پروفائل بنتی ہے جو تجزیہ ہو کر پھر کچھ نہیں کرتی۔ اوزار اسے نہیں پکڑیں گے، کیونکہ دونوں خانے محض سٹرنگ ہیں۔ WireGuard کی فوری شروعات ایک ہی سطر میں بنانے اور اخذ کرنے کا سلسلہ دکھاتی ہے۔

ایک آلہ، ایک ہم منصب اندراج

جہاں خدمت اجازت دے، وہاں ہر آلے کو اپنی ہم منصب شناخت رکھنی چاہیے۔ لیپ ٹاپ کی مکمل پروفائل فون پر چپکانے سے یہ دھندلا جاتا ہے کہ سرور پر وہ شناخت کس آلے کے پاس ہے اور ایک گم شدہ ہینڈ سیٹ منسوخ کرنا مشکل ہو جاتا ہے۔ اگر نجی کلید لیک ہو جائے، تو سرور پر پرانی ہم منصب اجازت ہٹائیں اور متبادل مہیا کریں۔ مقامی فائل مٹانے سے سرور کا اندراج نہیں مٹتا، اور نئی کلائنٹ کلید کسی کی مدد نہیں کرتی جب تک سرور اس کا عوامی نصف نہ جانے۔

آلے سے عوامی کلید تک کا نقشہ پتوں کی فہرست کے پاس رکھیں۔ وہی فہرست منسوخی کو پوری دوپہر کے بجائے دو منٹ کا کام بناتی ہے۔

مصافحے کے بعد بھی کیا ناکام ہوتا ہے

کلید کے جوڑے ہم منصبوں کی شناخت کرتے ہیں؛ وہ نیٹ ورک کے رویے کا فیصلہ نہیں کرتے۔ AllowedIPs پتوں کی حدود کو ایک ہم منصب سے جوڑتا ہے, اور اس کے گرد راستے کلائنٹ یا سیٹ اپ اوزار سنبھالتا ہے۔ علامت عام طور پر بتاتی ہے کہ آگے کون سی تہہ کھولنی ہے:

دونوں ہم منصب کے درست طور پر تصدیق ہو جانے کے بعد بھی DNS ناکام ہو سکتا ہے، اور سرنگ خود صحت مند ہونے پر بھی ایپلیکیشن ناکام ہو سکتی ہے، اس لیے کام کرنے والا مصافحہ تشخیص کا اختتام نہیں۔ کلیدیں آپریٹر کی لاگنگ کے طریقے یا کسی ویب سائٹ کے آپ کا اکاؤنٹ پہچاننے کے بارے میں بھی کچھ نہیں کہتیں، اور وہ سوال کہیں اور کے ہیں۔ چاروں جائزے پاس ہونے پر نیٹ ورک تہوں کی طرف جائیں، کیونکہ گم شدہ کلید کوئی چھپا ہوا روٹنگ مسئلہ نہیں ہے۔