একটি EC2 Elastic IP ইনস্ট্যান্সের ব্যক্তিগত VPN ঠিকানা নয়

ইনস্ট্যান্সের একটি ব্যক্তিগত ঠিকানা আছে, Elastic IP তার সাথে সংযুক্ত, আর সেই পাবলিক /32-এর জন্য একটি রুট VPN-এ যোগ করা হয় এই আশায় যে দুটো একই জিনিস হয়ে যাবে। হয় না। Elastic IP হলো গেস্টের বাইরে, ইন্টারনেট গেটওয়ে দ্বারা, ইন্টারনেট পথে চলা ট্র্যাফিকের উপর করা একটি অনুবাদ। গেস্টের অপারেটিং সিস্টেম কখনও কোনো ইন্টারফেসে সেই ঠিকানাটি কনফিগার করা অবস্থায় দেখে না। এটি একটি টানেল ইন্টারফেসে যোগ করলে আপস্ট্রিম অনুবাদটি পুনরুৎপাদন হয় না, বরং একই মেশিনের জন্য দ্বিতীয়, পরস্পরবিরোধী পরিচয় তৈরি হয়।

দুটি ঠিকানা, একটি ইনস্ট্যান্স

ইনস্ট্যান্সের নেটওয়ার্ক ইন্টারফেস VPC-এর ভিতরে একটি ব্যক্তিগত ঠিকানা ধারণ করে, আর সেটিই গেস্টের জানা ঠিকানা। Elastic IP একই ইন্টারফেসের সাথে সংযুক্ত, কিন্তু ম্যাপিংয়ের পাবলিক দিকে থাকে।

ইন্টারনেটের মাধ্যমে ইনস্ট্যান্সে পৌঁছায় এমন সব কিছু ব্যক্তিগত ঠিকানায় অনূদিত হয়ে আসে। ইনস্ট্যান্স ইন্টারনেটে যা পাঠায় তা Elastic IP-কে উৎস হিসেবে নিয়ে বের হয়, আবারও সেই অনুবাদের কারণেই।

গেস্টের ভিতরে একটি ঠিকানা আছে। বাইরে দুটি। এই অসমতাই এই ক্ষেত্রের বেশিরভাগ বিভ্রান্তির ব্যাখ্যা দেয়। গেটওয়ে কী অনুবাদ করে তা গেস্ট কনফিগার করতে পারে না। এটি কেবল তার কাছে সত্যিই থাকা ঠিকানাতেই উত্তর দিতে পারে।

ইন্টারনেট গেটওয়ে আসলে যা করে

AWS-এর ইন্টারনেট গেটওয়ে ডকুমেন্টেশন এই ব্যবস্থাটি বর্ণনা করে: ইনস্ট্যান্স তার ব্যক্তিগত IPv4 ঠিকানা সম্পর্কে জানে, এবং গেটওয়ে ইন্টারনেট পথের ট্র্যাফিকের জন্য সংশ্লিষ্ট পাবলিক IPv4 বা Elastic IP অনুবাদ প্রদান করে।

এটি নেটওয়ার্ক ঠিকানা অনুবাদ, কোনো উপনাম নয়। ম্যাপিংটি গেটওয়ে রক্ষণাবেক্ষণ করে, সংযোগের সাথে বাঁধা, এবং কেবল সেই প্যাকেটগুলোর ক্ষেত্রে প্রযোজ্য যেগুলো এটি অতিক্রম করে। সংযোগটি সরিয়ে নিলে পাবলিক পরিচয়টি অদৃশ্য হয়ে যায়, গেস্ট কিছুই টের পায় না।

এই কারণেই পাবলিক /32-এ ঠিকানা করা একটি ব্যক্তিগত VPN প্যাকেট গেস্টের স্থানীয় ঠিকানায় যাওয়া ব্যক্তিগত প্যাকেট হিসেবে পুনর্ব্যাখ্যা করা হয় না। প্যাকেটটি যে রুটের সাথে মেলে সেটিই অনুসরণ করে, যা এটিকে ইন্টারনেট গেটওয়েতে পাঠায়, আর গেটওয়ের আচরণ নির্ভর করে পথটি দুই দিকেই অনুমোদিত কি না তার উপর।

টানেল ইন্টারফেসের কৌশল কেন ব্যর্থ হয়

Elastic IP একটি টানেল ইন্টারফেসে বরাদ্দ করা মানে গেস্টকে একটি পাবলিক ঠিকানাকে স্থানীয় হিসেবে গণ্য করতে বলা। এখন দুটি জিনিস একই ঠিকানার দাবি করে: ইন্টারনেট পথে গেটওয়ের অনুবাদ এবং টানেলের ভিতরে স্থানীয় ইন্টারফেস। ফিরতি ট্র্যাফিকের কাছে কোনটি প্রযোজ্য সে সম্পর্কে কোনো সামঞ্জস্যপূর্ণ উত্তর নেই।

এমনকি যখন এটি কাজ করছে বলে মনে হয়, তখনও নকশাটি আসল প্রশ্নটি লুকিয়ে ফেলেছে। ক্লায়েন্টরা হয় টানেলের মাধ্যমে ব্যক্তিগত ঠিকানায় পৌঁছায়, নয়তো ইন্টারনেটের মাধ্যমে পাবলিক এন্ডপয়েন্টে পৌঁছায়, আর এই দুই পথের সিকিউরিটি গ্রুপ, লগিং এবং ব্যর্থতার ধরন আলাদা।

ঠিকানাটি কখনও সমস্যা ছিল না। পথ নির্বাচনই ছিল।

তিনটি লক্ষ্য, তিনটি নকশা

যদি লক্ষ্য পাবলিক VPN এন্ডপয়েন্ট হয়, Elastic IP সঠিক হাতিয়ার: দূরবর্তী পিয়াররা ইন্টারনেটের মাধ্যমে এতে সংযুক্ত হয় এবং এনক্রিপ্টেড ট্রান্সপোর্ট ইনস্ট্যান্সে শেষ হয়। ভিতরের অ্যাপ্লিকেশন ট্র্যাফিক তখন ব্যক্তিগত ঠিকানা ব্যবহার করে।

যদি লক্ষ্য অ্যাপ্লিকেশনটিতে ব্যক্তিগত প্রবেশ হয়, গন্তব্য হলো ব্যক্তিগত ঠিকানা বা একটি ব্যক্তিগত DNS নাম যা সেখানে রিজলভ হয়, আর VPN রুট, সিকিউরিটি গ্রুপ ও ফিরতি পথ সবকিছুরই একমত হতে হবে। Elastic IP ওই নকশায় আদৌ থাকে না।

যদি লক্ষ্য VPN ব্যবহারকারীদের জন্য একটি স্থিতিশীল পাবলিক এগ্রেস পরিচয় হয়, এটি এগ্রেস দিকের একটি NAT নকশা, ক্লায়েন্টের টানেলে কোনো ঠিকানা নয়। একই রকম শোনানো তিনটি লক্ষ্য তিনটি ভিন্ন ডায়াগ্রাম তৈরি করে, আর তাদের মধ্যে কেবল একটিতেই Elastic IP নতুন কোথাও বসানো জড়িত।

আপনি যে পথ বেছেছেন তা যাচাই করুন

ব্যক্তিগত প্রবেশের জন্য নিশ্চিত করুন VPN রুটটি ব্যক্তিগত প্রিফিক্স ঢেকে রাখে, VPC রুট টেবিল ট্র্যাফিক টানেলে ফেরত দেয়, সিকিউরিটি গ্রুপ ক্লায়েন্টের উৎসকে অনুমোদন করে এবং ক্লায়েন্টের নিজস্ব ফায়ারওয়াল উত্তরটি অনুমোদন করে। তারপর ping নয়, একটি বাস্তব অনুরোধ পরীক্ষা করুন।

পাবলিক প্রবেশের জন্য নিশ্চিত করুন ক্লায়েন্টের ইন্টারনেট এগ্রেস, পাবলিক এন্ট্রির রাউটিং এবং তার সিকিউরিটি পলিসি। একটি VPN ক্লায়েন্ট টানেলের মাধ্যমে পাবলিক এন্ডপয়েন্টে পৌঁছাতে পারে কি না তা নির্ভর করে টানেলের এগ্রেস ও ফায়ারওয়াল নিয়মের উপর, Elastic IP সংযোগের উপর নয়।

যদি একটি পাবলিক হোস্টনেম উভয় দিক থেকেই কাজ করতে হয়, তাহলে এমন DNS নকশা ব্যবহার করুন যা VPN ক্লায়েন্টদের জন্য ব্যক্তিগত ঠিকানা এবং বাকি সবার জন্য পাবলিক ঠিকানা দিয়ে উত্তর দেয়, আর সার্টিফিকেটটি ঠিকানার বদলে নামের জন্য বৈধ রাখুন। কাজের ক্রম: লক্ষ্যটির নাম দিন, তার সাথে সম্পর্কিত ঠিকানাটি বেছে নিন, তারপর রুট, পলিসি ও একটি অনুরোধ যাচাই করুন।