ایمرجنسی سوئچ یا LAN رسائی؟ WireGuard کے لیے دو جواب

ہینڈ شیک مکمل ہوتا ہے، براؤزنگ چلتی ہے، اور پرنٹر، NAS اور مقامی SSH ہوسٹ غائب ہو جاتے ہیں۔ Windows کلائنٹ میں یہ عام طور پر راؤٹنگ کی ناکامی ہی نہیں ہوتی: جس پیر کے اجازت یافتہ پریفکس میں لفظی ڈیفالٹ شامل ہو وہ ٹنل سے باہر کی ٹریفک بلاک کریں فعال کر دیتا ہے، اور وہ اختیار فائر وال قواعد کی صورت میں نافذ ہوتا ہے جو کسی بھی دوسرے انٹرفیس سے نکلنے والے پیکٹ گرا دیتے ہیں۔ راؤٹ ٹیبل مقامی سب نیٹ کو اب بھی براہِ راست رابطہ دکھاتی ہے، اسی لیے علامت جھوٹ محسوس ہوتی ہے۔ اس کے بارے میں کیا کرنا ہے یہ تین شرطیں طے کرتی ہیں، اور ان میں صرف ایک راؤٹنگ سے متعلق ہے۔

دو ناکامیاں ایک ہی علامت رکھتی ہیں

پہلی ناکامی کلائنٹ کا fail-closed موڈ ہے، اور اس کی نشانی یہ ہے کہ ٹنل سے باہر سب کچھ رک جاتا ہے جبکہ ٹنل خود بے عیب چلتا ہے۔ دوسری حقیقی رسائی کا مسئلہ ہے: گمشدہ راؤٹ، کلائنٹ کے پیچھے والے سب نیٹ کے لیے سرور پر گمشدہ اندراج، یا دو نیٹ ورک جو ایک ہی پتہ رینج بانٹتے ہیں۔ دونوں ایسی مشین دیتے ہیں جو براؤز کر سکتی ہے اور پرنٹ نہیں کر سکتی، اور ان کے حل متضاد ہیں، اس لیے تشخیص کو ترتیب سے پہلے آنا چاہیے۔

فرق کرنے والا مشاہدہ یہ ہے کہ کیا مقامی سب نیٹ اب بھی راؤٹ ٹیبل میں موجود ہے جبکہ اس کی طرف ٹریفک گرائی جا رہی ہے۔

تین شرطیں جواب طے کرتی ہیں

پہلا، کیا اس مشین کو fail-closed درکار ہے؟ اگر جواب ہاں ہے تو گرتا ہوا ٹنل ٹریفک روکے نہ کہ اسے طبیعی انٹرفیس پر واپس جانے دے، اور یہ تقاضا مقامی سہولت سے زیادہ اہم ہے۔ دوسرا، کیا ٹنل چلنے کے دوران مقامی ڈیوائسز قابلِ رسائی رہنی چاہئیں؟ پرنٹنگ، نیٹ ورک اسٹوریج اور مقامی انتظامی کنسول عام وجوہات ہیں، اور یہ جائز تقاضے ہیں، معافی مانگنے والے استثنائی امور نہیں۔ تیسرا، کیا پروفائل ڈیفالٹ کو لفظی 0.0.0.0/0 کے طور پر بیان کرتا ہے؟ یہی تفصیل کلائنٹ کے قواعد فعال کرتی ہے، اور یہ قابلِ ترمیم ہے۔

پروفائل کو چھونے سے پہلے ان تینوں کا تحریری جواب دیں، کیونکہ ہر جواب مختلف ترتیب کی طرف اشارہ کرتا ہے۔

fail-closed چنیں اور LAN چھوڑ دیں

اگر رساؤ مقامی رسائی سے زیادہ اہم ہو تو لفظی ڈیفالٹ رکھیں اور ٹنل سے باہر کی ٹریفک بلاک کریں کو فعال رکھیں۔ یہ ایک مربوط موقف ہے: مشین کو ایسی ڈیوائس سمجھا جاتا ہے جو ٹنل کے اندر ہے یا آف لائن، اور مقامی سروسز تک کسی دوسری ڈیوائس سے یا سرور کے راؤٹ کرنے پر ٹنل کے ذریعے رسائی ہوتی ہے۔ لاگت حقیقی ہے اور اسے تعیناتی نوٹس میں لکھا جانا چاہیے، نہ کہ پرنٹ کرنے والے شخص کو خود پتہ چلے۔

ٹنل گرنے پر کیفے کے نیٹ ورک پر نظر نہ آنے والا کام کرنے والی مشینوں کے لیے یہ درست انتخاب ہے۔ اسکینر بھی درکار گھریلو لیپ ٹاپ کے لیے یہ برا ڈیفالٹ ہے۔

LAN رسائی چنیں اور ڈیفالٹ دوسرے انداز میں بیان کریں

اگر مقامی ڈیوائسز قابلِ رسائی رہنی چاہئیں تو لفظی ڈیفالٹ پریفکس کے بغیر وہی احاطہ بیان کریں۔ دو نصف پریفکس ہر IPv4 پتہ ڈھانپتے ہیں، مساوی جوڑا IPv6 ڈھانپتا ہے، اور کلائنٹ اب بلاک کرنے والے قواعد داخل نہیں کرتا کیونکہ جو سطر وہ ڈھونڈتا ہے وہ موجود نہیں۔

[Peer]
AllowedIPs = 0.0.0.0/1
AllowedIPs = 128.0.0.0/1
AllowedIPs = ::/1
AllowedIPs = 8000::/1
Endpoint = vpn.example.net:51820

اس نشان کو ہٹانے سے کلائنٹ وہی دو جوڑے پروفائل میں لکھتا ہے، اس لیے بنائی گئی فائل کا اوپر والے بلاک سے موازنہ کرنا طریقہ کار کا اندازہ لگانے کے بجائے تصدیق کرنے کا تیز راستہ ہے۔ اس کے دو نتائج ہیں۔ احاطہ یکساں ہے، اس لیے ٹنل میں اور کچھ نہیں بدلتا۔ تحفظ یکساں نہیں: قواعد کے جانے پر گرتا ہوا ٹنل مشین کو اس کے طبیعی انٹرفیس پر چھوڑ دیتا ہے، اور fail-closed نے ٹھیک اسی کو روکا تھا۔

باقی دو شبہات بھی جانچیں

فائر وال کا معاملہ طے ہونے کے بعد تصدیق کریں کہ مقامی سب نیٹ واقعی راؤٹ ہو رہا ہے اور دور کا سرا اس کلائنٹ کے پیچھے کی ہر چیز جانتا ہے۔ جس سرور کو کلائنٹ کے پیچھے والے LAN تک پہنچنا ہے اسے حب پر کلائنٹ کی اجازت یافتہ فہرست میں وہ پریفکس درکار ہے؛ اسے چھوڑ دیں تو حب ان پتوں کے لیے پیر نہیں چن سکتا، اور کوئی کلائنٹ ترتیب اسے پیدا نہیں کرتی۔

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory
Get-NetFirewallProfile | Select-Object Name, Enabled, DefaultOutboundAction
route print 0.0.0.0

نیٹ ورک کی قسم لوگوں کی توقع سے زیادہ اہم ہے: نیا بنایا گیا ٹنل اڈاپٹر اگر عوامی کے طور پر درجہ بند ہو تو اس پر کون سے قواعد لاگو ہوں گے وہ بدل جاتا ہے، اور نتیجہ دور کے سرے پر فائر وال بلاک جیسا دکھ سکتا ہے۔ راؤٹ پرنٹ دکھاتا ہے کہ ڈیفالٹ بہرحال موجود ہے یا نہیں، جو پالیسی کے مسئلے کو گمشدہ راؤٹ سے الگ کرتا ہے۔

پھر ایک ہی نشست میں تین چیزیں جانچیں: انٹرنیٹ، پتے کے مطابق ایک مقامی ہوسٹ، اور ٹنل کے پار ایک ہوسٹ۔ ہینڈ شیک صرف یہ ثابت کرتا ہے کہ کلیدیں میل کھاتی ہیں، اس لیے تینوں جانچیں ہی پالیسی دکھاتی ہیں۔ اگر اختیار ہٹانے کے بعد بھی مقامی ہوسٹ انکار کرے تو باقی شبہات راؤٹ، دور کے سرے کی اجازت یافتہ فہرست اور دہرا سب نیٹ ہیں، اسی ترتیب سے۔