প্রশস্ত IPsec সিলেক্টর মানে প্রতিটি সেবার অনুমতি নয়

দুটি পিয়ার একটি সম্পূর্ণ সাবনেট সুরক্ষিত করতে সম্মত হয়, আর কেউ সেই সম্মতিকে তার ভেতরের প্রতিটি সেবায় পৌঁছানোর অনুমতি হিসেবে পড়ে। সেটাই ভুল ধারণা: সিলেক্টর বলে কোন ট্রাফিক টানেল বহন করতে রাজি, আর সংস্থা কোন সেবা অনুমতি দেয় সে সম্পর্কে এটি কিছুই বলে না। দুটি ডিভাইস বৈধভাবেই একটি বিস্তৃত ঠিকানার পরিসরে সমঝোতা করতে পারে, অথচ তার ভেতরের অ্যাক্সেস নীতিতে দুটি পোর্ট অনুমোদিত, এবং দুটি বাক্যই একই সময়ে সত্য থাকে।

সুরক্ষিত পরিসর মানে অনুমোদন নয়

ট্রাফিক সিলেক্টর টানেল চুক্তির একটি অংশ। এটি ঠিক করে বা নিশ্চিত করে পিয়াররা নিজেদের মধ্যে কী এনক্রিপ্ট করবে, আর দুই পক্ষের বহন করার মতো অনেক ফ্লো থাকলে প্রশস্ত সিলেক্টর প্রায়ই চালানো সবচেয়ে সহজ। সেবা ফিল্টার হলো পথের অন্য জায়গায় থাকা অন্য একটি নিয়ন্ত্রণ, এবং প্যাকেট ডিক্রিপ্ট হওয়ার পরে সত্যিই কী ব্যবহার করা যাবে তা এটি ঠিক করে। একটি পরীক্ষা পাস করানোর জন্য ফিল্টার সরানো মানে একটি নীতি-সিদ্ধান্তকে দুর্ঘটনায় পরিণত করা।

নকশা নথিতে দুটি রেকর্ড আলাদা রাখুন, কারণ যিনি কেবল সিলেক্টর দেখেন তিনি এমন অনুমোদন অনুমান করবেন যা কখনো দেওয়া হয়নি। পরিবর্তনের রেকর্ডে দুটি লাইন তা ঠেকিয়ে দেয়, এবং পরে আসা বিতর্কের চেয়ে কম সময় নেয়।

দুই প্রান্ত থেকে একটি ফ্লো বর্ণনা করুন

উৎসর্গকারী, উত্তরদাতা, যেমন উপস্থাপিত সেইভাবে উৎস ও গন্তব্য, প্রোটোকল এবং দুটি পোর্ট লিখুন। তারপর অন্য প্রান্তের জন্য এই প্রতিটি লেবেল উল্টে দিন, কারণ ক্লায়েন্টের ক্ষণস্থায়ী উৎস পোর্ট উত্তরটির গন্তব্য পোর্ট হয়ে যায় এবং দূরবর্তী নেটওয়ার্ক স্থানীয় নেটওয়ার্ক হয়ে যায়। সেই উল্টানো ছাড়া এক পক্ষ থেকে অন্য পক্ষে কনফিগারেশন কপি করাই ফিল্টারকে ঠিক ভুল দিকে অনুমতি দেওয়ার কারণ। ছকটি একবার লিখুন এবং তা থেকেই দুটি ফিল্টার বানান।

কিছু কপি করার আগে নির্বাচন মডেল নিয়ে সম্মত হন, কারণ নীতি-ভিত্তিক নকশা আর রুট-ভিত্তিক নকশা একই অভিপ্রায়কে ভিন্ন ভিন্ন বস্তুর মাধ্যমে প্রকাশ করে। ফ্লোর পাশে মডেলের নাম লিখুন, নাহলে পরবর্তী প্রকৌশলী এমন বস্তু মেলাতে একটি দুপুর কাটাবেন যেগুলো কখনোই তুলনীয় ছিল না।

যে ফিল্টার সত্যিই প্রযোজ্য তা খুঁজুন

ASA-তে VPN ফিল্টার হলো একটি ACL যা একটি গ্রুপ পলিসিতে সংযুক্ত এবং ডিক্রিপশনের পরে ও এনক্রিপশনের আগের ট্রাফিকে প্রয়োগ করা হয়। Cisco-র গ্রুপ-পলিসি নথিতে উত্তরাধিকারও বর্ণিত আছে, যার মধ্যে ব্যবহারকারী-স্তরের একটি মান রয়েছে যা গ্রুপ-পলিসির মানকে প্রতিস্থাপন করে। তাই আপনি যে ACL সম্পাদনা করেছেন সেটিই আপনার সামনের সেশন নিয়ন্ত্রণকারী ACL নাও হতে পারে। একই কথা ব্যবহারকারী বস্তুর ক্ষেত্রেও, যা খুব বেশি দৃশ্যমান প্রমাণ না রেখেই গ্রুপকে অগ্রাহ্য করতে পারে।

আপনি পরিবর্তন করেছেন বলে মনে করা বস্তুটি নয়, কার্যকর সেশনটি পরীক্ষা করুন এবং কোন নীতি-বস্তু তা সরবরাহ করছে তা লিখে রাখুন। এই একটি ধাপই ফিল্টার ঠিক আছে কিন্তু কাজ করছে না ধরনের অবাক করা অনেক প্রতিবেদন সমাধান করে।

দিক, পোর্ট এবং বিপরীত ক্ষেত্র

নথিভুক্ত প্রথা দূরবর্তী নেটওয়ার্ক, বা নির্ধারিত দূরবর্তী ক্লায়েন্ট ঠিকানাগুলোকে উৎসের অবস্থানে এবং স্থানীয় নেটওয়ার্ককে গন্তব্যের অবস্থানে রাখে, আর উত্তর প্রকাশ করা হয় ঠিকানার অবস্থান বদলে। পোর্টের নিয়ম এই প্রথার উপরে বসে এবং ঠিকানার চেয়ে বেশি যত্ন দাবি করে।

নথিভুক্ত মডেলটি একটি গন্তব্য-পোর্ট নিয়মকে সেই একই উৎস পোর্ট ব্যবহারকারী বিপরীত সূচনার উপর প্রভাব ফেলতে দিতে পারে, যার মানে ফিল্টার কেবল নিরীহ উত্তরযুক্ত একমুখী অনুরোধ-নিয়ম নয়। সূচনার দুই দিকই স্পষ্টভাবে ভেবে নিন, এবং যে ক্ষেত্রটি আপনি অস্বীকার করতে চান সেটিও অন্তর্ভুক্ত করুন।

একই নথি ফিল্টারকে প্রাথমিক সংযোগে সীমাবদ্ধ করে, তাই এটি পরিদর্শিত কোনো অ্যাপ্লিকেশন যে প্রতিটি গৌণ চ্যানেল খোলে তার সর্বজনীন প্রয়োগ নয়। যেখানে সম্পূর্ণ নীতির সেই পরিসর দরকার, সেটি তার উদ্দেশ্য ছাড়িয়ে টানা ACL-এ নয়, বরং আলাদা সীমান্তে থাকা উচিত।

শেষ বলার আগে তিনটি ক্ষেত্র পরীক্ষা করুন

ইচ্ছাকৃত ফ্লো গ্রহণ করুন, নীতি যে সেবা নিষিদ্ধ করে তা অস্বীকার করুন, এবং আপনি যে বিপরীত-দিকের ক্ষেত্রটি ভেবেছিলেন তা অনুশীলন করুন। অনুমোদিত পরিকল্পনার অধীনে একই পরিচয় ও সিলেক্টর দিয়ে সেগুলো চালান যা আপনি স্থাপন করবেন। যে পরীক্ষা কেবল অনুমোদিত সেবাটি কাজ করছে তা দেখায়, সেটি টানেল প্রমাণ করে, নীতি নয়।

সমঝোতাকৃত পরিসর এবং অ্যাক্সেস সিদ্ধান্তকে দুটি রেকর্ড হিসেবে রাখুন, কারণ VPN কী অনুমতি দেয় তা ব্যাখ্যা করতে দুটিই দরকার।