نیٹ ورکنگ میں End-to-End کا مطلب کیا ہے؟

جب لوگ کہتے ہیں کہ ایک کنیکشن "end to end" ہے، تو ان کا مطلب یہ ہے کہ ڈیٹا اصل ذریعہ ایپلیکیشن سے براہ راست مقصد ایپلیکیشن تک جاتا ہے بغیر اس کے کہ کوئی درمیانی چیز خاموشی سے اسے دوبارہ لکھے یا اس کو روکے۔ یہ سادہ لگتا ہے جب تک کہ آپ ایک اصل پیکٹ کے راستے کو NAT، فائروالز، لوڈ بیلنسرز اور پروکسیز میں سے گزرتے ہوئے ٹریس کرنا شروع نہ کریں۔

End-to-end اصول

یہ خیال 1984 کے ایک مقالے سے آتا ہے جو Saltzer، Reed، اور Clark نے لکھا تھا، جس میں یہ دلیل دی گئی تھی کہ بعض فعلیں جیسے قابل اعتماری اور انکرپشن نیٹ ورک کے آخری نقاط پر ہونے چاہئیں، بیچ میں نہیں۔ بنیادی نیٹ ورک کو صرف پیکٹ آگے بھیجنے چاہئیں۔ آخری نقاط غلطیوں کی جانچ، دوبارہ ترسیل، اور ترتیب کو سنبھالتے ہیں۔

TCP سب سے واضح مثال ہے۔ بیچ میں روٹرز ترتیب کے نمبروں کو ٹریک نہیں کرتے یا سیگمنٹس کی تصدیق نہیں کرتے۔ یہ TCP اسٹیکس چلانے والے دونوں ہوسٹس کا کام ہے۔ نیٹ ورک لیئر (IP) صرف بہترین کوشش کی ترسیل کرتی ہے، اور ہر ایک سرے پر TCP وہ سب کچھ ٹھیک کرتا ہے جو کھو گیا ہے یا دوبارہ ترتیب دیا گیا ہے۔

جہاں end-to-end آج ٹوٹتا ہے

جدید نیٹ ورکس اس اصول کی مسلسل خلاف ورزی کرتے ہیں، عام طور پر اچھی آپریشنل وجوہات کے لیے:

• NAT ذریعہ IP اور پورٹ کو دوبارہ لکھتا ہے، لہذا پیکٹ جو سرور دیکھتا ہے وہ پیکٹ نہیں ہے جو کلائنٹ نے بھیجا تھا۔
• TLS-ختم کرنے والے پروکسیز اور لوڈ بیلنسرز (جیسے AWS ALB یا nginx ریورس پروکسی) ایک TCP/TLS سیشن ختم کرتے ہیں اور ایک نیا شروع کرتے ہیں۔ کلائنٹ کا اصل آخری نقطہ پروکسی ہے، ایپ سرور نہیں۔
• Stateful فائروالز کنیکشن کی حالت کو ٹریک کرتے ہیں اور وہ پیکٹس ڈراپ کر سکتے ہیں جو متوقع ترتیبوں سے مماثل نہیں ہیں، مؤثر طور پر خود کو بات چیت میں ڈال رہے ہیں۔
• CGNAT ISP نیٹ ورکس پر بہت سے گاہکوں کا مطلب ایک عوامی IP کا اشتراک کرتے ہیں، اس فرض کو توڑ رہے ہیں کہ IP کا نقشہ ایک ہوسٹ سے بنتا ہے۔

یہ عملی طور پر اہم ہے جب آپ ڈیبگ کر رہے ہوں۔ اگر کوئی صارف "کنیکشن ختم ہو گیا" کی رپورٹ کرتا ہے، تو آپ کو یہ جاننے کی ضرورت ہے کہ یہ ان کے لیپ ٹاپ، ان کے گھر کے روٹر، ISP، CDN کے کنارے کے نوڈ، لوڈ بیلنسر، یا اصل سرور پر ختم ہوا یا نہیں۔ End-to-end سوچ آپ کو پورے سلسلے کو ٹریس کرنے پر مجبور کرتی ہے بجائے صرف اپنے سرور لاگز کو چیک کرنے کے۔

End-to-end کنیکٹیویٹی کی جانچ

کچھ ٹولز جو درست طریقے سے راستہ دکھاتے ہیں، نہ کہ صرف کامیابی/ناکامی:

# ہاپ کے لحاظ سے راستے کو ٹریس کریں
traceroute 8.8.8.8

# Linux پر، MTR ہر ہاپ پر مسلسل اعدادوشمار فراہم کرتا ہے
mtr google.com

# MTU کے مسائل کو چیک کریں جو خاموشی سے فریگمنٹ یا ڈراپ کریں
ping -M do -s 1472 8.8.8.8

یہ آخری کمانڈ اچھی طرح سے جاننے کے قابل ہے۔ Path MTU کی دریافت کی ناکامیاں ایک کلاسک "end-to-end کنیکٹیویٹی جیسے لگتا ہے لیکن اصل میں نہیں ہے" کا مسئلہ ہیں۔ چھوٹے پیکٹس جیسے TCP SYN بالکل ٹھیک ہو جاتے ہیں، لیکن جب آپ پورے سائز کا پے لوڈ بھیجتے ہیں، تو بیچ میں کچھ ہاپ خاموشی سے اسے ڈراپ کر دیتے ہیں کیونکہ یہ بہت بڑا ہے اور ICMP "fragmentation ضروری ہے" فائروال کے ذریعے بلاک کیا جا رہا ہے۔ کنیکشن لٹکا رہتا ہے اور سب لوگ ایپلیکیشن کو دوص دیتے ہیں۔

TCP کے لیے خاص طور پر، tcpdump یا ss -ti دونوں سروں پر آپ کو بتاتا ہے کہ کیا دونوں ہوسٹس یہ بھی سوچتے ہیں کہ ان کے پاس کھلا کنیکشن ہے:

ss -ti dst 203.0.113.5

اگر ایک طرف سوچتا ہے کہ کنیکشن ESTABLISHED ہے اور دوسرا کچھ نہیں دکھاتا، تو بیچ میں کچھ (عام طور پر ایک فائروال خالی کنیکشنز کی ٹائم آؤٹ) خاموشی سے اسے مار چکا ہے۔

یہ حفاظت کے لیے کیوں اہم ہے

End-to-end انکرپشن اسی تصور کی حفاظت سے متعلق ورژن ہے۔ براؤزر اور CDN کے کنارے کے درمیان TLS براؤزر اور آپ کے اصل سرور کے درمیان TLS جیسا نہیں ہے۔ اگر CDN TLS کو ختم کرتا ہے اور سادہ متن (یا ایک تازہ TLS کنیکشن) آپ کے بیک اینڈ میں بھیجتا ہے، تو آپ کے پاس دو الگ الگ انکرپٹ شدہ ہاپس ہیں، ایک مسلسل انکرپٹ شدہ چینل نہیں۔ یہ زیادہ تر صورتوں کے لیے ٹھیک ہے، لیکن اگر آپ کچھ حساس چیزوں سے نمٹ رہے ہیں، تو آپ کو بالکل یہ جاننا ہوگا کہ ڈیکرپشن کہاں ہوتی ہے اور ہر ہاپ پر کون سادہ متن دیکھ سکتا ہے۔

وہی منطق VPNs پر لاگو ہوتی ہے۔ ایک "مکمل سرنگ" VPN آپ کے آلے سے VPN سے باہر نکلنے والے نوڈ تک end-to-end انکرپشن فراہم کرتا ہے، لیکن باہر نکلنے والے نوڈ سے اصل مقصد سرور تک کنیکشن ایک الگ ہاپ ہے اپنی حفاظتی خصوصیات کے ساتھ۔

عملی سبق

جب کوئی کہے کہ نیٹ ورک کا راستہ end to end ہے، تو یہ پوچھیں: بالکل دونوں نقاط کے درمیان end to end کیا ہے؟ کلائنٹ اور لوڈ بیلنسر؟ لوڈ بیلنسر اور ایپ سرور؟ اصل آخری نقاط کا نام دینا ایک مبہم نیٹ ورکنگ دعویٰ کو کچھ ایسا بناتا ہے جو آپ ایک پیکٹ کیپچر کے ساتھ ٹیسٹ کر سکتے ہیں۔

اگر آپ حقیقی ٹریفک کو ٹریس کرنے اور پیکٹ کیپچرز کو پڑھنے پر مزید گہرائی سے جانا چاہتے ہیں، تو Korra Studio کے DEFENSE_GRID پلیٹ فارم پر Wireshark اور TCP/IP کی بنیادیں دیکھیں۔