XFRM کا طے شدہ راستہ IKE اور ESP کو نگل گیا: بیرونی راستہ برقرار رکھیں

ٹریفک محفوظ ہے، ٹنل چل رہا ہے، اور پھر اگلی کلید کی تجدید پر وہ مر جاتا ہے۔ XFRM انٹرفیس سے گزرنے والا طے شدہ راستہ اس ٹریفک کی وضاحت کرتا تھا جسے آپ محفوظ کرنا چاہتے تھے۔ اس نے وہ پیکٹ بھی نگل لیے جو حفاظت جاری رکھنے کے لیے ضروری ہیں۔

شامل دو منزلیں ایک دوسرے کے بدلے استعمال نہیں ہو سکتیں۔ روٹنگ کو یہ واضح طور پر کہنا چاہیے۔

ہمسر کی تلاش دراصل کہاں جاتی ہے

فعال قواعد، XFRM راستہ رکھنے والا جدول اور ہمسر کا عوامی پتہ درج کریں۔ پھر دیکھیں کہ بیرونی کنکشن اپنے حقیقی ماخذ اور نشان کے ساتھ کون سا راستہ لے گا۔ عام منزل اس کنٹرول راستے کے بارے میں کچھ نہیں بتاتی۔ صرف حقیقی ماخذ اور نشان ہی کارآمد جواب دیتے ہیں۔

کامیاب ابتدائی کنکشن بھی بہت کم ثابت کرتا ہے۔ ناکامی اکثر اس وقت ظاہر ہوتی ہے جب راستے کی تنصیب جواب بدل دیتی ہے۔ آغاز کامیاب ہوتا ہے، پھر پہلی تجدید نہیں۔

ip rule show
ip route show table 220
ip -4 route get 198.51.100.44 from 10.40.0.2
ip xfrm policy list

اگر ہمسر کی تلاش XFRM انٹرفیس میں ختم ہو، تو بیرونی پیکٹ اسی ٹنل میں روٹ ہو رہے ہیں جو وہ خود بناتے ہیں۔ یہی لوپ ہے، ایک ہی کمانڈ میں نظر آتا ہے۔

جدید گیٹ وے پر اخراج کے اختیارات

strongSwan کی روٹ پر مبنی VPN سے متعلق دستاویز دو عملی جواب پیش کرتی ہے۔ ایک IKE اور ESP کو نشان زد کرتا ہے تاکہ XFRM جدول کی طرف اشارہ کرنے والا قاعدہ ان پر لاگو نہ ہو۔ دوسرا ہمسر کا راستہ یا اخراج چھوڑ دیتا ہے جہاں تلاش اب بھی پہنچ سکتی ہے۔

وہ چنیں جو آپ کا قواعد کا مجموعہ بغیر ضمنی اثرات کے بیان کر سکے۔ نشان اُس وقت صاف ہے جب باقی اسٹیک پہلے ہی نشان استعمال کرتا ہو۔ یہ خطرہ ہے جب وہی ماسک کسی دوسرے قاعدے میں کچھ اور معنی رکھتا ہو۔ دونوں قسم کے پیکٹوں کو بہرحال یہ علاج درکار ہے۔

صرف IKE کو نشان زد کرنے سے ڈیٹا پیکٹ پکڑے گئے راستے پر ہی رہتے ہیں۔ اس سے ایسی ٹنل بنتی ہے جو مصافحہ کرتی ہے اور پھر کچھ نہیں اٹھاتی۔

نشان پیکٹ کے fwmark میں ایک بٹ ہے جس پر گیٹ وے پر کوئی اور دعویٰ نہیں کرتا: ماسک 0x1 کے ساتھ 0x1 معمول کا انتخاب ہے، اور اخراج کے کام کرنے کے لیے اسے دو جگہوں پر مقرر کرنا ہوتا ہے۔ Charon کو یہ IKE ساکٹ پر درکار ہے، اور چائلڈ کنکشن کی اندرونی اور بیرونی نشان کی ترتیبات کو بھی وہی قدر درکار ہے تاکہ انکیپسولیٹڈ پیکٹ بھی نشان زدہ نکلے۔ 0xffffffff کی بجائے 0x1 ماسک باقی بٹوں کو آزاد چھوڑتا ہے، جو اہم ہے جب کوئی دوسرا ذیلی نظام اسی ہوسٹ پر پہلے ہی پیکٹ نشان زد کر رہا ہو۔ دونوں مقرر ہوں تو قاعدہ اخراج کے طور پر لکھا جاتا ہے، اس لیے نشان زدہ پیکٹ XFRM راستہ رکھنے والا جدول چھوڑ کر مرکزی جدول میں گرتے ہیں:

ip rule add not fwmark 0x1/0x1 lookup 220 pref 1000
ip -4 route get 198.51.100.44 from 10.40.0.2 mark 0x1

پھر نشان لاگو کر کے جواب پڑھیں۔ اس کے بغیر آپ محفوظ ٹریفک کے راستے کا جائزہ لیتے ہیں، جو اس حصے کے سوال کا الٹ ہے۔

خودکار تنصیب تعمیر کے بارے میں کیا فرض کرتی ہے

XFRM انٹرفیس کے لیے خودکار راستے کی تنصیب strongSwan ورژن اور اس کی ترتیب پر منحصر ہے۔ انٹرفیس ID، نصب شدہ پالیسی اور ایسوسی ایشن سبھی مطلوبہ اشیاء کی طرف اشارہ کریں۔ عدم مطابقت ایسے راستے کے طور پر ظاہر ہوتی ہے جو خاموشی سے کہیں حقیقی جگہ کی طرف اشارہ کرتا ہے۔

دوسرے گیٹ وے سے جدول نمبر یا نشان کا ماسک کاپی کرنا ہی تصادم شروع ہونے کا طریقہ ہے۔ پہلے جانچیں کہ اسے پہلے سے کیا استعمال کرتا ہے۔ تصادم اس ٹنل سے بہت دور کی ٹریفک کو متاثر کرتا ہے جسے آپ بدلنا چاہتے تھے، اور علامت شاذ و نادر ہی کاپی کی طرف اشارہ کرتی ہے۔

ہمسر کے پتے کی تبدیلیاں ڈیزائن کا حصہ ہیں۔ گزشتہ کل کے پتے کے لیے ہوسٹ راستہ اینڈ پوائنٹ کی بحالی کا منصوبہ نہیں، جبکہ نشان اس تبدیلی سے بچ جاتا ہے۔

پہلی تجدید پر نظر رکھیں

محفوظ راستے نصب ہونے کے بعد بیرونی راستہ جانچیں، پہلے نہیں۔ پھر اگلی تجدید اور ایک ایپلیکیشن کے تبادلے پر نظر رکھیں۔ ناکامی عام طور پر اسی منتقلی میں ظاہر ہوتی ہے، آغاز میں نہیں۔

ip -4 route get 198.51.100.44
sudo swanctl --list-sas
sudo tcpdump -ni any 'udp port 500 or esp'

محفوظ طے شدہ راستہ عارضی طور پر ہٹانے سے عام طور پر رابطہ بحال ہو جاتا ہے۔ یہ نتیجہ تشخیصی ہے، حتمی نہیں۔

مقصد اندرونی ٹریفک اور اسے اٹھانے والے بیرونی پیکٹوں کے درمیان مستحکم تقسیم ہے۔ منتخب کردہ طریقہ کار اور اس کا جدول یا نشان گیٹ وے کے نوٹس میں لکھیں۔ ورنہ قواعد کو چھونے والا اگلا شخص لوپ دوبارہ لے آئے گا۔