ডিক্রিপশনের পরে: কোন নীতি আপনার VPN ট্র্যাফিক প্রথম দেখে

একটি VPN ফ্লো পুরোপুরি এনক্রিপ্টেড ও পুরোপুরি প্রমাণিত হয়েও এমন জায়গায় পৌঁছাতে পারে যা কেউ পরিকল্পনা করেনি। আপনি যে কেবল লাগান তা ঠিক করে না কোন নিয়ম ভেতরের প্যাকেট প্রসেস করবে; নীতির হুক ও রুটই তা ঠিক করে। তাই র‍্যাক ডায়াগ্রামে একই দেখানো দুটি ডিজাইনের সম্পূর্ণ আলাদা প্রয়োগ থাকতে পারে। এদের মধ্যে বেছে নেওয়া শুরু হয় যে নিয়ন্ত্রণটি ডিক্রিপ্ট করা ফ্লো প্রথম দেখে তার নাম দেওয়া দিয়ে।

যে পোর্টে ঢোকান তা নয়, নীতির হুক দিয়ে সিদ্ধান্ত নিন

প্রতিটি VPN প্ল্যাটফর্ম ফরওয়ার্ড করার আগে কোনো এক বিন্দুতে ডিক্রিপ্ট করা ট্র্যাফিক মূল্যায়ন করে, আর সেই বিন্দুর কনফিগারেশনে একটি নাম আছে। এক প্ল্যাটফর্মে এটি গ্রুপ নীতির ফিল্টার, অন্যটিতে ইন্টারফেস নীতি বা জোন পেয়ার, আর রাউটিং করা যন্ত্রে এটি শুধু ফরওয়ার্ড চেইন হতে পারে। হুক নিয়মটি বলবৎ করে, সুইচ পোর্ট শুধু কেবলের শেষ জায়গা। হুক খোঁজাই প্রথম সিদ্ধান্ত, কারণ বাকি সব তার সাপেক্ষে স্থাপন।

হার্ডওয়্যার দেখার আগে ফ্লোটি লিখে নিন: উৎস কে, কোথায় যাচ্ছে, কোন প্রোটোকল বহন করছে আর কোন সেবা অনুমোদিত। তারপর এই চারটি তথ্য বলবৎ করা নিয়ন্ত্রণটি খুঁজুন।

দুটি পথ, দুটি আলাদা প্রয়োগের গল্প

দুটি আকার সাধারণ, আর প্রত্যেকটি আলাদা প্রয়োজনীয়তার জন্য সঠিক হতে পারে।

endpoint -> shared inside subnet -> server
endpoint -> dedicated transit -> policy firewall -> server subnet

প্রথম আকারটি গেটওয়েতে যা দরকার সব বলবৎ করতে পারে, যদি গেটওয়ে নীতি ওই গন্তব্যের জন্য লেখা হয় এবং সার্ভারের পাশ দিয়ে যাওয়ার পথ না থাকে। দ্বিতীয় আকারটি একটি সীমানা যোগ করে, কিন্তু কেবল যখন রুট ও নীতি সত্যিই ট্র্যাফিক সেটির ভেতর দিয়ে চালায়। এন্ডপয়েন্টের সঙ্গে একই সেগমেন্টে থাকা সার্ভার কল্পিত মধ্যবর্তী হপ কখনও নাও নিতে পারে। ডায়াগ্রাম উদ্দেশ্য দেখায়, রাউটিং টেবিল দেখায় কী ঘটে।

আঁকা ছবির বদলে রুট লুকআপ দিয়ে যাচাই করুন। প্যাকেট যে ইন্টারফেস দিয়ে বেরোয় আর যে পরবর্তী হপ বেছে নেয় সেটিই ঠিক করে দ্বিতীয় আকারটি ডিজাইন অনুযায়ী কাজ করে কি না।

ip route get 10.30.7.20
sudo iptables -S FORWARD
sudo tcpdump -ni inside0 host 10.30.7.20

টপোলজিকে বিচ্ছিন্নতা থেকে আলাদা রাখুন

সাবনেট ভাগ করা জায়গাকে অবিশ্বাস্য করে না, আর নিবেদিত ট্রানজিট জায়গাকে সুরক্ষিত করে না। ঠিক করে প্রকৃতপক্ষে প্রয়োগ করা নিষেধ, প্রকৃতপক্ষে হওয়া ফরওয়ার্ডিং আর প্রতিটি অংশ কে পরিচালনা করে। সুইচ গোনা এই তিনটির কোনও সম্পর্কে কিছুই বলে না। নীতি ও রুট থেকে সিদ্ধান্ত নিন, তারপর টপোলজি সিদ্ধান্ত অনুসরণ করুক।

ট্র্যাফিক জনগোষ্ঠীও আলাদা করে রাখুন। রিমোট-অ্যাক্সেস পুল, সাইট-থেকে-সাইট প্রিফিক্স আর ব্যক্তিগত লাইন নেটওয়ার্ক একটি যন্ত্র ভাগ করেও আলাদা নিয়ম দরকার হতে পারে, কারণ তাদের পরিচয় ও ঝুঁকি আলাদা। এক জনগোষ্ঠীর জন্য লেখা নিয়ম ঠিকানা পরিকল্পনা ভাগ করলে বাকিদের নীরবে ঢেকে দেয়।

প্রতিটি স্থাপনের জন্য ব্যর্থতা ও ব্যবস্থাপনা দেখুন

প্রতিটি স্থাপনের একটি ব্যর্থতার ধরন আছে, আর উপযোগী প্রশ্ন হলো কোনো উপাদান থামলে কী এখনও কাজ করে। একটি মৃত যন্ত্রে কয়েকটি লজিক্যাল ইন্টারফেস স্বতন্ত্র পুনরুদ্ধার দেয় না, আর একই বিদ্যুৎ সরবরাহ বা একই প্রশাসক ভাগ করা নিচের ফায়ারওয়ালও দ্বিতীয় সীমানা নয়। ব্যবস্থাপনা পথটি কোথা দিয়ে যায় জিজ্ঞাসা করুন, কারণ কেবল টানেলের ভেতর দিয়ে পৌঁছানো কনসোল পুনরুদ্ধারের পথই নয়; ssh [email protected] true টানেলের বাইরে থেকে চালানোই কনসোলটি তার উপর নির্ভর করে না প্রমাণের সবচেয়ে সস্তা উপায়। একটি প্ল্যাটফর্মের গ্রুপ নীতি ডকুমেন্টেশন তার ফিল্টার ডিক্রিপশনের পরে ও এনক্রিপশনের আগে ট্র্যাফিকে রাখে, যা যেকোনো পণ্যে খোঁজার মতোই নাম দেওয়া হুক।

প্রতিটি প্রার্থীর ব্যর্থতার গল্প প্রয়োগের গল্পের পাশে লিখুন। পরিদর্শনে জিতে পুনরুদ্ধারে হারা স্থাপন একটি বিনিময়, আর ঘটনার সময় আবিষ্কার করার বদলে সেটি তেমনই নথিভুক্ত করা উচিত।

অনুমোদিত ও অস্বীকৃত ফ্লো দিয়ে গ্রহণ করুন

অনুমোদিত পরীক্ষা পরিকল্পনা হাতে নিয়ে প্রকৃত VPN উৎস থেকে তিনটি বিষয় দেখুন: যে অ্যাপ্লিকেশন কাজ করা উচিত, যে সম্পদ কাজ করা উচিত নয়, আর উত্তরটি যে দিকে ফিরে আসে। অস্বীকৃতিই প্রমাণ যে নীতিটি সক্রিয়, অন্যদিকে অনুমোদিত ফ্লো কেবল পথের অস্তিত্ব দেখায়।

বেছে নেওয়া পথ ও নীতির ফলাফল একসঙ্গে সংরক্ষণ করুন, কারণ পথ ছাড়া ফলাফল পুনরুৎপাদন করা যায় না আর ফলাফল ছাড়া পথ রক্ষা করা যায় না। এই জোড়াটি সংযুক্তি বিন্দু বাছার জন্য কোনো স্তর স্বাভাবিকভাবে বেশি নিরাপদ বলে দাবির চেয়ে অনেক বেশি উপযোগী।