VPN চালু থাকলে Android ফায়ারওয়াল নিয়ম কোথায় থাকবে

আপনার এক বাক্যের নীতি আছে: এই অ্যাপটি কাজের সেবা পর্যন্ত পৌঁছাতে পারে, আর কিছুই নয়। পরের প্রশ্নটি পণ্য বাছাইয়ের মতো দেখায়, কিন্তু আসলে এটি একটি অবস্থানগত প্রশ্ন, কারণ প্রতিটি সম্ভাব্য প্রয়োগ বিন্দু ফোনের ট্রাফিকের ভিন্ন ভিন্ন অংশ দেখে। গেটওয়ে কেবল টানেলে যা ঢোকে তা দেখে। ফোনের দিকের ফিল্টার কেবল তাকে যা দেখতে দেওয়া হয় তা দেখে। একটি অনুরোধ দুটির মধ্য দিয়ে চালালে উত্তরটি স্পষ্ট হয়ে যায়।

পণ্য নয়, বাক্য দিয়ে শুরু করুন

কিছু বেছে নেওয়ার আগে প্রয়োজনটি বিস্তৃত করুন। এর অর্থ হলো প্যাকেজ এবং যে প্রোফাইলে এটি চলে, কারণ কাজের প্রোফাইলের অ্যাপ ব্যক্তিগত প্রোফাইলের একই অ্যাপ থেকে ভিন্ন ব্যবহারকারী। এর অর্থ গন্তব্য: হোস্ট, পোর্ট ও প্রোটোকল, সেবার নাম নয়। এর অর্থ সেই নাম সমাধান করা DNS পথ, এবং এর অর্থ টানেল না থাকলে কী হওয়া উচিত তাও।

লিখিত রূপে উদাহরণের নীতিটি চারটি লাইন: কাজের অ্যাপ কাজের সেবায় পৌঁছাতে পারে; কাজের অ্যাপ আর কোথাও পৌঁছাতে পারে না; অন্য অ্যাপ অপরিবর্তিত থাকে; টানেল না থাকলে কাজের অ্যাপ সরাসরি পথে গড়িয়ে না গিয়ে প্রত্যাখ্যাত হয়। প্রতিটি লাইনের একটি মালিক আছে, এবং সবাই একই মালিক নয়।

ধাপ 1: ফোন নিজে কী প্রয়োগ করতে পারে

রুট ছাড়া Android ফায়ারওয়াল হলো একটি VpnService, যা ট্রাফিক স্থানীয়ভাবে ধরে রাখে, পেছনে দূরবর্তী টানেল না থাকলেও। Android প্রতি ব্যবহারকারী প্রোফাইলে একটি সক্রিয় VPN সেবাই অনুমতি দেয়, তাই দ্বিতীয় ফায়ারওয়াল অ্যাপ প্রথমটির পেছনে যুক্ত হয় না। এটি প্রথমটিকে প্রতিস্থাপন করে, এবং প্রথম অ্যাপ যে ইন্টারফেস ফিল্টার করছিল সেটি চলে যায়।

তাই VPN ক্লায়েন্টের পাশে ফায়ারওয়াল ইনস্টল করলে মানুষ যে সংযোগ আশা করে তা বিরলভাবেই মেলে। ফায়ারওয়াল চালু হয়ে VPN বিচ্ছিন্ন হলে কিছুই সংযুক্ত হয়নি; দুটি জায়গা বদলেছে। ইন্টারফেস প্রতিস্থাপন সহযোগিতা নয়, এবং উপসর্গ হলো অন্য অ্যাপ খোলা হলে টানেলবারবার ছিঁড়ে যাওয়া।

সমর্থিত ব্যবস্থা আছে: আপনি ইতিমধ্যে চালানো VPN ক্লায়েন্টে অন্তর্নির্মিত ফিল্টারিং, ডিভাইস নীতি নিয়ন্ত্রক বা কাজের প্রোফাইলের মাধ্যমে পরিচালিত প্ল্যাটফর্ম নিয়ন্ত্রণ, অথবা নির্মাতার নথিভুক্ত স্থাপত্য। বাকি সব হলো এমন পরীক্ষা যা প্রতিটি অ্যাপ আপডেটের পরে আবার যাচাই করতে হয়।

ধাপ 2: গেটওয়ে কী প্রয়োগ করতে পারে

দূর প্রান্তে ট্রাফিক ডিক্রিপ্ট হওয়ার পরে, গেটওয়ে অগ্রবর্তিত প্যাকেটগুলোকে অনুমোদিত ঠিকানা, সেবা বা প্রমাণিত VPN পরিচয়ের মধ্যে সীমাবদ্ধ করতে পারে। এর মধ্য দিয়ে বেরোনো সবকিছুর জন্য এটি প্রকৃত প্রয়োগ, এবং ব্যক্তিগত সাবনেটে প্রবেশ সীমিত করার সঠিক জায়গা এটি।

যা এটি পায় না তা হলো প্রতিটি সাধারণ IP প্যাকেটে যুক্ত ফোনের অ্যাপ পরিচয়। একটি টানেল ঠিকানা ভাগ করা কয়েকটি অ্যাপ গেটওয়ের কাছে একটি বিষয়, যদি না নকশা তাদের আলাদা ঠিকানা বা আলাদা প্রমাণিত পরিচয় দেয়। তাই গেটওয়েতে ব্যবহারকারীভিত্তিক নিয়ম ফোনে অ্যাপভিত্তিক নিয়ম নয়, ব্যবস্থাপনা কনসোল যাই বলুক।

ধাপ 3: যা কখনও পৌঁছায় না তা তালিকাভুক্ত করুন

VPN থেকে বাদ পড়া অ্যাপ কাছের ডিভাইসের সঙ্গে যোগাযোগ করলে গেটওয়েতে কখনও পৌঁছায় না, তাই বাহিরগামী ফায়ারওয়াল এমন প্যাকেট প্রত্যাখ্যান করতে পারে না যা সে কখনও পায় না। বিঘ্নের সময় অনিচ্ছাকৃত সরাসরি পথ এবং স্থানীয় প্রবেশ নেটওয়ার্কে অন্তর্গামী প্রকাশের ক্ষেত্রেও একই কথা। এগুলো সংজ্ঞা অনুসারে স্থানীয় সীমা।

উল্টোটাও সত্য: সংযোগের অনুমতি দেওয়া স্থানীয় নিয়ম গেটওয়ের ব্যক্তিগত নেটওয়ার্ক ACL-এর মধ্য দিয়ে প্রবেশ দেয় না। একটি অনুরোধ দুই সীমার অধীন হতে পারে, আর একটি পূরণ করলে অন্যটি সম্পর্কে কিছুই বলা হয় না।

ধাপ 4: প্রতিটি নিয়ম একটি পথে বরাদ্দ করুন

কিছু কনফিগার করার আগে সিদ্ধান্তটি ছকে রাখুন, কারণ খালি ঘরগুলোই সেই জায়গা যেখানে নকশা ব্যর্থ হয়।

কাজ করার মতো আকৃতি হলো দুটি কাজসহ দুটি সীমা। অ্যাপ-সচেতন স্থানীয় সীমা ফোনের আচরণ নিয়ন্ত্রণ করে, সরাসরি গড়িয়ে পড়াসহ, আর গেটওয়ের সীমা দূরবর্তী সম্পদ নিয়ন্ত্রণ করে। গেটওয়ের দিক কাজের সেবা অনুমোদন করে বাকি প্রতিটি ব্যক্তিগত সাবনেট প্রত্যাখ্যান করতে পারে, আর ফোনের নীতি অ্যাপটি অন্যথায় যে সরাসরি পথ নিতে পারত সে বিষয়ে নিজের সিদ্ধান্ত নেয়।

ধাপ 5: পরিবহন জীবিত রাখুন, তারপর যাচাই করুন

আপনি যে স্থানীয় নীতিই বেছে নিন, তা VPN প্রতিষ্ঠা ও টিকিয়ে রাখা পরিবহনকে অনুমতি দিতে হবে। সেই পরিবহন অবরোধ করলে ফোন টানেলহীন ও নীতিহীন থাকে, যা সামঞ্জস্যপূর্ণভাবে কিছুই প্রয়োগ করে না এবং নির্ণয় করা কঠিন, কারণ অ্যাপটির তখন নেটওয়ার্কই থাকে না।

তারপর সামগ্রিক ধারণা নয়, মূল বাক্যের প্রতিটি লাইন যাচাই করুন: কাজের অ্যাপ কাজের সেবায় পৌঁছায়, একই অ্যাপ অন্য গন্তব্যে প্রত্যাখ্যাত হয়, কাজের বাইরের অ্যাপ আগের মতো আচরণ করে, এবং টানেল বন্ধ থাকলে কাজের অ্যাপ সরাসরি সংযোগে ফিরে যায় না। DNS পথ আলাদাভাবে পরীক্ষা করুন, কারণ ব্যক্তিগত DNS বা এনক্রিপ্টেড রিজলভার কেবল ঠিকানা পরীক্ষা করা ফিল্টারকে পাশ কাটিয়ে যেতে পারে।

যদি এই ধাপগুলোর একটি ফোনে পূরণ করা না যায়, তবে প্রয়োজনটি স্থাপত্যের প্রশ্ন, ফায়ারওয়ালের সেটিং নয়। নীতিটি আপনার নিয়ন্ত্রণাধীন ডিভাইস ও আপনার নিয়ন্ত্রণাধীন গেটওয়ের মধ্যে ভাগ করাই সাধারণত সৎ উত্তর, আর Android VPN সংযোগের নথি হলো প্ল্যাটফর্ম একটি সেবাকে কী করতে দেয় আর দেয় না তা নিশ্চিত করার জায়গা।