DNS কেবল আপনার VPN রিজলভারের মধ্য দিয়ে যেতে দিন: ধাপে ধাপে নির্দেশিকা
ব্রাউজার থেকে উত্তর পর্যন্ত একটি নাম-সন্ধান অনুসরণ করুন। রিজলভার কোথায় বাছা হয়, ফায়ারওয়াল কোথায় তা বলবৎ করে এবং 53 পোর্টের নিয়ম কী কখনও ঢাকে না, তা দেখুন।
আপনি নামটি টাইপ করার মুহূর্ত থেকে একটি নাম-সন্ধান অনুসরণ করুন। ব্রাউজার অপারেটিং সিস্টেমকে জিজ্ঞাসা করে, অপারেটিং সিস্টেম তার নীতিতে বাছাই করা রিজলভারকে জিজ্ঞাসা করে, আর কোয়েরিটি কোনো ইন্টারফেস দিয়ে কোনো পরিবহনে ডিভাইস ছেড়ে যায়। আপনার VPN নকশা বলে উত্তরটি একটি নির্দিষ্ট রিজলভার থেকে একটি নির্দিষ্ট পথে আসা উচিত। এই দুই বাক্যের মধ্যেকার ফাঁকটাই আপনি কনফিগার করেন এবং পরে বলবৎ করেন।
ধাপ 1: রিজলভার ও পথের নাম দিন
ফায়ারওয়াল স্পর্শ করার আগে তিনটি জিনিস লিখে রাখুন: রিজলভারের ঠিকানা, আপনি যে প্রোটোকল ও পোর্ট আশা করছেন, এবং কোয়েরিটি যে ইন্টারফেস দিয়ে বেরোনো উচিত। এই তালিকা ছাড়া নিয়মটি ট্রাফিক সম্পর্কে একটি অনুমান, কোনো সিদ্ধান্তের বলবৎকরণ নয়। একটি VPN অ্যাপ্লিকেশনের ডেটা বহন করতে পারে enquanto DNS আলাদা ব্যবস্থা অনুসরণ করে, এবং এটি নিজে নিজে ভুল নয়। কেউ ক্লায়েন্টকে অন্যভাবে না জানানোর ফলেই এমন হয়।
পথটির নাম স্পষ্ট করে দেওয়াই নকশা আর আকস্মিকতার পার্থক্য। এটি আপনাকে পরে পরীক্ষা করার উপকরণও দেয়, কারণ প্রতিটি পর্যবেক্ষণ একটি লিখিত প্রত্যাশার সঙ্গে তুলনা করা যায়। তালিকাটি পরিবর্তন টিকিটে রাখুন, কারও মাথায় নয়।
ধাপ 2: নীতিটি যেখানে সত্যিই থাকে সেখানেই বসান
রিজলভার নির্বাচন ক্লায়েন্টের কাজ: অপারেটিং সিস্টেমের নেটওয়ার্ক কনফিগারেশন, VPN ক্লায়েন্টের নিজস্ব সেটিংস, বা পরিচালিত ব্রাউজার নীতি। আগে সেখানেই বসান, প্ল্যাটফর্ম যে পদ্ধতি সমর্থন করে তা দিয়ে, কারণ ফায়ারওয়াল ক্লায়েন্টকে এমন রিজলভার বাছতে বাধ্য করতে পারে না যা তাকে কখনও জানানো হয়নি। স্প্লিট-টানেল ক্লায়েন্টে কোন ডোমেইন ভেতরের রিজলভারে যায় তা স্পষ্ট করে বলুন। পরিচালিত ফ্লিটে DoH-এর জন্য ব্রাউজার নীতিই প্রায়শই একমাত্র উপায়, কারণ ব্রাউজার সিস্টেম সেটিং থেকে স্বাধীনভাবে নিজের এনক্রিপ্টেড রিজলভার বাছতে পারে।
এটি এড়িয়ে সোজা ফায়ারওয়ালে গেলে আপনি এমন নিয়ম পান যা সঠিক রিজলভারকে অনুমতি দেয়, সঙ্গে এমন ক্লায়েন্ট যা তা কখনও ব্যবহার করে না। নিয়মটি ঠিক দেখায় আর রিজলভারের লগ খালি থাকে, যা ডিবাগ করার সময় বিভ্রান্তিকর জোড়া। আগে নির্বাচনটি কনফিগার করুন, তারপর বলবৎ করুন।
ধাপ 3: পথটি সংকীর্ণভাবে বলবৎ করুন
এখন অনুমোদিত পথের জন্য নেটওয়ার্ক অনুমতি যোগ করুন: রিজলভারের ঠিকানা, প্রোটোকল ও পোর্ট, এবং যে ইন্টারফেস দিয়ে তা বেরোনো উচিত। সব বহির্গামী DNS অনুমতি দেওয়ার বদলে নিয়মটি ওই রিজলভারেই সীমিত রাখুন। নিচের তিনটি পথ আধুনিক ক্লায়েন্ট নিতে পারে, আর 53 পোর্টের নিয়ম কেবল প্রথমটিকেই ঢাকে।
| Path | Port | Who controls it |
|---|---|---|
| Classic DNS | UDP and TCP 53 | System resolver settings |
| DNS over TLS | TCP 853 | Resolver or stub configuration |
| DNS over HTTPS | TCP 443 | Browser or application policy |
DoH ও DoT ব্লক করা বৈধ; কিন্তু 53 পোর্টের নিয়ম ইতিমধ্যে তাদের ব্লক করেছে বলে ধরে নেওয়া বৈধ নয়। DoH ব্যবহারকারী ব্রাউজার এমন পথে নাম সমাধান করে যা আপনার নিয়ম কখনও বর্ণনা করেনি, আর নিজের রিজলভার সঙ্গে আনা অ্যাপ্লিকেশনও একই কাজ করে। আপনি যে পথ অনুমতি দিতে চান এবং যে পথ প্রত্যাখ্যান করতে চান, প্রত্যেকটি লিখে রাখুন। যে নিয়ম কোনো পথের নাম বলে না, সে সেই পথ সম্পর্কে সিদ্ধান্ত নেয়নি।
ধাপ 4: ব্যক্তিগত ও সার্বজনীন নাম অনুসরণ করুন
বিভক্ত DNS ইচ্ছাকৃতভাবে কেবল ব্যক্তিগত নামক্ষেত্র ভেতরের রিজলভারে পাঠায় আর সার্বজনীন নাম অন্যত্র যায়, তাই নকশায় একাধিক রিজলভার থাকা লিক নয়। লিক হলো এমন কোয়েরি যা আপনার রিজলভারে যাওয়ার কথা ছিল কিন্তু অন্যত্র পৌঁছায়, বা অগম্য অভীষ্ট পথ যার ফলে ক্লায়েন্ট নিঃশব্দে ফিরে যায়। এই দুটি ঘটনাই খোঁজার বিষয়। অভীষ্ট নীতির অধীনে একটি ভেতরের ও একটি সার্বজনীন নাম অনুসরণ করুন এবং কোন রিজলভার কোনটির উত্তর দিল লিখে রাখুন।
আপনার রিজলভার জানানো একটি পরীক্ষা সাইট ইঙ্গিত, প্রমাণ নয়, কারণ এটি কেবল তার কাছে পৌঁছানো কোয়েরিগুলোই দেখে। কোয়েরিটি সত্যিই কোন পথ নিল জানতে হলে ক্লায়েন্টের দিকে তা ধরে রাখুন, তারপর দুটি পর্যবেক্ষণ মিলিয়ে দেখুন। দুটি যখন মেলে না, তখন আপনি এমন একটি ফিরে-যাওয়া খুঁজে পেয়েছেন যা কেউ নথিভুক্ত করেনি।
রিজলভারের ঠিকানা ঠিক কিন্তু অগম্য হলে সমস্যাটি নীতিতে নয়, রাউটিং বা ফিল্টারিংয়ে। কোয়েরিটি সেই ঠিকানায় অনুসরণ করুন এবং কোনো রিজলভার সেটিং বদলানোর আগে উত্তরটি প্রত্যাশিত ইন্টারফেসে ফিরে আসছে কিনা নিশ্চিত করুন।
ধাপ 5: ফিরে আসার পথ খোলা রাখুন
গেটওয়ের DNS অ্যাক্সেস কঠোর করার আগে নাম সমাধানের উপর নির্ভর করে না এমন একটি পুনরুদ্ধার পদ্ধতি নিশ্চিত করুন। ভাঙা রিজলভার প্রতিটি মেরামত সরঞ্জাম পৌঁছানো কঠিন করে তোলে, আপনি পরিবর্তন ফেরাতে যে সরঞ্জাম ব্যবহার করবেন সেগুলোও। নতুন নীতিটি প্রমাণিত হওয়ার আগ পর্যন্ত স্থানীয় কনসোল বা আউট-অব-ব্যান্ড পথ খোলা রাখুন। নীতিটি একটি পুনঃসংযোগ সহ্য করার পরেই তা সরান।
পুনঃসংযোগ বা ব্রাউজার নীতি হালনাগাদের পরে কার্যকর অবস্থা আবার পরীক্ষা করুন, কারণ দুটিই আপনার নিয়ম না বদলেই রিজলভার বদলাতে পারে। প্রয়োজন হলো কোয়েরিগুলোর জন্য একটি জানা প্রাপক ও সুরক্ষিত পথ, কোনো স্ক্রিনশটে থাকা স্বস্তিদায়ক রিজলভার লেবেল নয়। RFC 8484 DNS over HTTPS স্পেসিফিকেশন হলো আপনার পোর্ট নিয়ম যে এনক্রিপ্টেড পথ দেখে না তার তথ্যসূত্র।