বাণিজ্যিক VPN কি পোর্ট 5432 ব্লক করে? আপনার বিকল্পগুলো তুলনা করুন

অ্যাপ্লিকেশনটি প্রতিদিন অফিস থেকে তার ডেটাবেসের সঙ্গে কথা বলত। তারপর কেউ একই ল্যাপটপে বাণিজ্যিক VPN ক্লায়েন্ট চালু করল, এবং হ্যান্ডশেকের পর সংযোগটি রিসেট হতে শুরু করল। অ্যাপ্লিকেশনে কিছুই বদলায়নি, টানেল নিজেকে সুস্থ বলে জানাচ্ছে, আর আপনি যে ফায়ারওয়াল নিয়ন্ত্রণ করেন তাতে কোনো ব্লকিং নিয়ম নেই। যা বদলেছে তা হলো এক্সিট পাথ: প্রোভাইডার সার্ভারগুলো শেয়ার করা, প্রচুর ট্রাফিকের এন্ডপয়েন্ট, এবং প্রোভাইডাররা অপব্যবহার কমাতে আউটবাউন্ড পোর্ট ফিল্টার করে। ডেটাবেস ও মেইল সাবমিশন পোর্টগুলো এর বেশিরভাগটা পায়, কারণ এই পোর্টগুলোই বেনামি ঠিকানা পুল থেকে স্ক্যানিং ও স্প্যাম আকর্ষণ করে।

পাঁচ মিনিটের পরীক্ষা যা ফিল্টারিংকে বাকি সবকিছু থেকে আলাদা করে

একই মেশিন থেকে, একটি পোর্ট যা খোলা থাকা উচিত এবং যে পোর্টটি ব্যর্থ হয়, একই হোস্টে, টানেল চালু ও পরে বন্ধ রেখে যাচাই করুন। দুইবারই একই কমান্ড ব্যবহার করুন যাতে একমাত্র পরিবর্তনশীল হয় টানেল:

Test-NetConnection db.example.com -Port 443
Test-NetConnection db.example.com -Port 5432
nc -vz -w3 db.example.com 5432

চারটি ফলাফল প্রায় প্রতিটি ক্ষেত্রেই কভার করে। যদি 443 কাজ করে আর 5432 কেবল টানেল চালু থাকলে ব্যর্থ হয়, তাহলে আপনি এক্সিট পাথের পোর্ট ফিল্টারিং দেখছেন। যদি টানেল চালু থাকলে দুটোই ব্যর্থ হয় এবং টানেল ছাড়া দুটোই কাজ করে, সমস্যাটি পোর্ট নীতিমালা নয়, রাউটিং বা DNS। যদি দুটি পোর্টই সংযোগ স্থাপন করে কিন্তু অ্যাপ্লিকেশন এখনও ব্যর্থ হয়, তাহলে দোষটি পৌঁছানোর নয়, প্রমাণীকরণ বা TLS-এর। আর যদি প্রোভাইডারের কেবল একটি সার্ভার লোকেশন ব্যর্থ হয়, এটি সার্ভারভিত্তিক নীতিমালা, তাই কোনো কনফিগারেশন ছোঁয়ার আগে অন্য লোকেশন চেষ্টা করুন।

বিকল্প এক: ডেটাবেস সাবনেটের জন্য স্প্লিট টানেল

যদি ল্যাপটপের বাণিজ্যিক VPN কেবল অন্য কাজে দরকার হয়, তবে ডেটাবেসের ঠিকানা পরিসরটি টানেল থেকে বাদ দিন যাতে ট্রাফিক কখনও শেয়ার করা এক্সিটে প্রবেশ না করে। যখন দুটি পথের সত্যিই মিলতে হবে না, তখন এটি সবচেয়ে পরিচ্ছন্ন বিকল্প, এবং আপনি যে রাউটিং নিয়মটি নথিভুক্ত করতে পারেন তার বাইরে এর কোনো খরচ নেই। বাণিজ্যটি হলো এই যে স্প্লিট টানেলিং একটি দ্বিতীয় নীতিমালার পৃষ্ঠ তৈরি করে: টানেল থেকে যা বাদ দেওয়া হয় তা ইচ্ছাকৃত হতে হবে, পরে কেউ যোগ করা সাবনেটের পার্শ্বপ্রতিক্রিয়া নয়।

যে মুহূর্তে ডেটাবেসটি VPN-এর পৌঁছানোর কথা এমন নেটওয়ার্কের ভিতরে থাকে, এটি কাজ করা বন্ধ করে দেয়, তাই এতে প্রতিশ্রুতিবদ্ধ হওয়ার আগে সেটি যাচাই করুন।

বিকল্প দুই: আপনার নিজের এন্ডপয়েন্ট, আপনার নিজের ইগ্রেস

একটি VPS-এ ছোট VPN এন্ডপয়েন্ট চালালে ইগ্রেস নীতিমালার নিয়ন্ত্রণ আপনার হাতে আসে, এবং কোনো শেয়ার করা পুল জড়িত থাকে না। বাণিজ্যিক ক্লায়েন্টের সঙ্গে সৎভাবে তুলনা করার যোগ্য বিকল্প এটি: আপনি একটি পূর্বানুমেয় সোর্স ঠিকানা পান এবং প্রোভাইডারের বৈশ্বিক বিস্তার ও সুবিধা হারান। যে দলটির সারা দিন ডেটাবেস ও মেইল পোর্ট প্রয়োজন, তাদের জন্য বাণিজ্যটি সাধারণত এন্ডপয়েন্টের মালিকানার পক্ষে যায়, কারণ ব্যর্থতার ধরনটি অন্য কারও অপব্যবহার নীতিমালা নয়, আপনার নিজের ভুল কনফিগারেশন হয়ে ওঠে।

সোর্স ঠিকানার স্থিতিশীলতা, আপনার ট্রাফিক কে পড়তে পারে, এবং এন্ডপয়েন্টের প্রোভাইডার যেদিন নিজের ফিল্টারিং বদলায় সেদিন কী ঘটে, এই তিনটিতে দুটোকে তুলনা করুন।

বিকল্প তিন: ল্যাপটপকে পথ থেকে সরিয়ে নিন

একটি CI কাজ, একটি নির্ধারিত কন্টেইনার, বা অনুমোদিত নেটওয়ার্কের ভিতরে একটি ব্যাস্টিয়ন হোস্ট মানুষের টানেল অবস্থার উপর নির্ভর করে না। ইতিমধ্যে অনুমোদিত একটি হোস্ট থেকে SSH টানেল দিয়ে ডেটাবেসে পৌঁছান, এবং ল্যাপটপ কখনও সরাসরি পোর্টের সঙ্গে কথা বলে না। একাধিক মানুষ একই সীমাবদ্ধতার মুখোমুখি হলে এটি স্কেল করে, এবং এটি সমস্যাটি এড়িয়ে যাওয়ার বদলে সরিয়ে দেয়।

এটি স্প্লিট-টানেল নিয়মের চেয়ে বেশি আগাম কাজ, এবং যার এখনই ইন্টারঅ্যাকটিভ সেশন দরকার সেই একজনকে এটি সাহায্য করে না।

প্রোভাইডারের ঠিকানা অনুমোদিত তালিকায় রাখা কেন ভুল তুলনা

ডেটাবেস অনুমোদিত তালিকায় প্রোভাইডারের এক্সিট ঠিকানা যোগ করা কাজ করে, এবং একই সঙ্গে সেই মুহূর্তে ওই ঠিকানা ভাগ করে নেওয়া প্রত্যেক গ্রাহককেও প্রবেশাধিকার দেয়। সংকীর্ণভাবে প্রদত্ত অ্যাপ্লিকেশন অ্যাকাউন্টের পেছনে থাকা কেবল-পঠনযোগ্য রেপ্লিকার জন্য প্রকাশটি এক দিনের জন্য সহনীয় হতে পারে। লেখাযোগ্য যেকোনো কিছুর জন্য এটি নাম দেওয়ার যোগ্য বাণিজ্য নয়, আর ঘুরতে থাকা এক্সিট ঠিকানা পরিস্থিতি আরও খারাপ করে: প্রতিটি সার্ভার পরিবর্তন নিয়মটি ভাঙে, এবং রক্ষণাবেক্ষণ প্রশস্ত CIDR এন্ট্রি ডেকে আনে যা অনুমোদিত তালিকার উদ্দেশ্যকে ব্যর্থ করে।

ডেডিকেটেড বা স্ট্যাটিক ঠিকানা, যেখানে প্রোভাইডার সেগুলো বিক্রি করে, এটির একমাত্র সংস্করণ যা স্কেল করে। অনুমোদিত তালিকাটি এমন ঠিকানার সঙ্গে বাঁধুন যা কেবল আপনার, অথবা একেবারেই বাঁধবেন না।

আপনি যা-ই বেছে নিন, পথ ও কারণ লিখে রাখুন। পরের ব্যক্তি একই রিসেট হওয়া সংযোগের মুখোমুখি হবে এবং অ্যাপ্লিকেশনকেই দোষ দিতে শুরু করবে।