গ্রাহকের VPN অ্যাক্সেস: বিশেষাধিকারের কাজকে নিজের ডিভাইস দিন

কানেকশন প্রোফাইল বলছে Production, টানেল উঠে আসছে, আর ডেস্কটপের প্রতিটি উইন্ডো এখন গ্রাহকের সিস্টেমে পৌঁছাতে পারে। সেই ধারাবাহিকতায় কিছুই বিশেষাধিকারের সেশনটিকে পাশের ব্রাউজার ট্যাব থেকে আলাদা করেনি। একটি VPN প্রোফাইল হলো একটি নাম আর কিছু রুটের সমষ্টি; আপনি যে সীমারেখা নিয়ে সত্যিই ভাবছেন তা তৈরি হয় ডিভাইস পরিচয়, নিয়ন্ত্রিত সম্পাদন পরিবেশ আর ক্রেডেনশিয়ালের পথ থেকে। এই তিনটি ভিন্ন ভিন্ন জায়গায় প্রয়োগ হয়, তাই একটি যোগ করে বাকিগুলো বাদ দিলে এমন নকশা দাঁড়ায় যা মানসম্মত দেখায় কিন্তু নয়।

প্রোফাইলের নাম কোনো সীমা নয়

টানেল ওঠার সময় ক্লায়েন্ট রুট আর DNS কনফিগারেশন প্রয়োগ করে, আর এরপর ওই মেশিনে যা চলে তা দুটোই উত্তরাধিকারসূত্রে পায়।

ড্রপডাউনে থাকা একটি নাম বদলায় অপারেটর কী চিনবে, অপারেটিং সিস্টেম কী অনুমোদন করবে তা নয়।

গেটওয়ে যা যাচাই করতে পারে তা হলো ডিভাইস পরিচয়

যে গেটওয়ে ডিভাইস সার্টিফিকেট বা পোস্টচার চেক সমর্থন করে, সে ব্যক্তির পাশাপাশি মেশিনটিকেও প্রমাণ করে। এই স্তরটিই কেউ পাসওয়ার্ড লেখার আগেই অপরিচালিত ল্যাপটপ থেকে আসা সংযোগ প্রত্যাখ্যান করতে পারে। কোনো ডিভাইস হারিয়ে গেলে বাতিল করার মতো নির্দিষ্ট কিছুও এটি আপনাকে দেয়। একটি সার্টিফিকেট তিনটি মেশিনে কপি করলে ঠিক ওই গুণটিই চলে যায়, তাই সার্টিফিকেটের জীবনচক্র চুক্তিতে থাকে, কোনো শেয়ার্ড ফোল্ডারে নয়।

গ্রাহক ঠিক করে তার নীতি কোন কোন নিয়ন্ত্রণ দাবি করে, আর সরবরাহকারীর বানানো ভার্চুয়াল মেশিন পোস্টচার চেক আদৌ পূরণ নাও করতে পারে।

ভিএমের সীমানা কোথায় ফাঁকফোকর দেয়

একটি ভার্চুয়াল মেশিন গ্রাহকের টুল আর নেটওয়ার্কের অবস্থা একসাথে রাখে, আর তা সত্যিই কাজের। তবে এটি তার হোস্ট আর হাইপারভাইজরের উপর নির্ভর করে, আর বেশ কিছু সুবিধা সীমা পেরিয়ে যায়: শেয়ার্ড ফোল্ডার, ক্লিপবোর্ড ইন্টিগ্রেশন, ক্রেডেনশিয়াল এজেন্ট আর হোস্ট-স্তরের ব্যবস্থাপনা অ্যাক্সেস। প্রতিদিন ব্যবহারের হোস্টে থাকা বিশেষাধিকারের গেস্ট স্বাধীনভাবে বিশ্বাসযোগ্য নয়, কারণ হোস্ট দেখতে পারে গেস্ট কী করছে। ভিএম-কে ঝুঁকি কমানো একটি নিয়ন্ত্রণ হিসেবে দেখুন, আলাদা নিরাপত্তা ডোমেইন হিসেবে নয়।

নিবেদিত ভৌত ডিভাইস হোস্টের নির্ভরতা সরায়, আর তার বদলে রক্ষণাবেক্ষণের বাধ্যবাধকতা যোগ করে।

ক্রেডেনশিয়াল ও স্থানান্তরের পথ

প্রতিটি ইঞ্জিনিয়ার ও প্রতিটি গ্রাহকের জন্য আলাদা, বাতিলযোগ্য পরিচয় ব্যবহার করুন এবং সেগুলো ব্যক্তিগত ব্রাউজার প্রোফাইল ও চ্যাট ইতিহাসের বাইরে রাখুন। গোটা দল যে ক্রেডেনশিয়াল ভাগ করে, তা পরিষ্কারভাবে আরোপ, রোটেট বা বাতিল করা যায় না। প্রথম সেশনের আগেই টুল, ফাইল আর ডায়াগনস্টিক আউটপুটের স্থানান্তর পথ ঠিক করুন, কারণ এলোমেলোভাবে ফাইল সরানোই সেই উপায় যেখানে একটি সীমানা চুপচাপ সীমানা থাকা ছেড়ে দেয়। যদি একসাথে দুই গ্রাহকের কাছে পৌঁছাতে হয়, আগে নেটওয়ার্ক ও পরিচয়ের পৃথকীকরণ অনুমোদন করান।

দুটি গ্রাহক নেটওয়ার্ক কখনও একটি ওয়ার্কস্টেশনের মধ্য দিয়ে জোড়া দেবেন না, শুধু সেই বিকেলে সুবিধা হয়েছিল বলে।

যে চুক্তি এটিকে পুনরাবৃত্তিযোগ্য করে

প্রতিটি গ্রাহকের জন্য একটি সংক্ষিপ্ত রেকর্ড লিখুন এবং তা এমন জায়গায় রাখুন যেখানে দুই পক্ষই খুঁজে পায়। এতে অনুমোদিত ডিভাইস বা দূরবর্তী পরিবেশ ও তা কে রক্ষণাবেক্ষণ করে, অনুমোদিত পরিচয়, তারা যে সিস্টেম ও কাজে পৌঁছাতে পারে, স্থানান্তরের পথ, আর সেশন শেষ হওয়ার স্বাভাবিক উপায় উল্লেখ থাকা উচিত।

কেউ যোগ দিলে বা চলে গেলে যে পাঁচটি লাইন কেউ একবার দেখে নেয়, সেটি এমন নীতির চেয়ে ভালো যা কেউ প্রয়োগ করতে পারে না:

• অনুমোদিত ডিভাইস বা দূরবর্তী পরিবেশ, নাম উল্লেখ করা রক্ষণাবেক্ষণ মালিকসহ।
• সহায়তার জন্য অনুমোদিত ব্যক্তিগত ব্যবহারকারী ও ডিভাইস পরিচয়।
• সেই পরিচয়গুলো যে সিস্টেম ও কাজে পৌঁছাতে পারে।
• টুল, ফাইল ও ডায়াগনস্টিক আউটপুটের অনুমোদিত পথ।
• সেশন শেষ করার প্রক্রিয়া এবং একটি অনুমোদিত জরুরি বিকল্প।

ক্রেডেনশিয়াল না সরিয়েই জরুরি অ্যাক্সেস

কোনো নিয়ন্ত্রণ জরুরি মেরামত আটকালে পথ হলো ব্যতিক্রমের প্রক্রিয়া, একই ক্রেডেনশিয়াল বহনকারী দ্বিতীয় ল্যাপটপ নয়। অনুমোদিত ব্যতিক্রম লিপিবদ্ধ করে কে অনুমোদন দিল, কী শিথিল হলো আর কখন তা শেষ হবে। ক্রেডেনশিয়াল প্রতিদিন ব্যবহারের মেশিনে সরানো সবচেয়ে খারাপ মুহূর্তে সীমানা বদলে দেয়, আর সাধারণত পরে তা বদলানোই থাকে। জরুরি পথটির মহড়া দরকার যখন কিছুই নষ্ট নেই।

তারপর চুক্তি যেভাবে বলে সেভাবেই সেশন শেষ করুন, আর যাচাই করুন যে অ্যাক্সেস সত্যিই বন্ধ হয়েছে।