এনক্রিপ্টেড ট্রানজিট ক্যারিয়ারে প্রবেশাধিকার দেয় না

দুটি অনুমোদিত গেটওয়ে একটি সীমাবদ্ধ ট্রান্সপোর্ট নেটওয়ার্কের মধ্য দিয়ে নিম্ন-বিশ্বাসযোগ্য নেটওয়ার্কের ট্রাফিক বহন করে। পেলোড এনক্রিপ্ট করা থাকলে সাধারণ ট্রানজিট পর্যবেক্ষকদের কাছে তা অপাঠ্য থাকে, আর মানুষ প্রথমে এটাই ডিজাইন করে তারপর আর ভাবে না। এনক্রিপশন যা করে না, তা হলো নিম্ন-বিশ্বাসযোগ্য পক্ষ কোন সম্পদে পৌঁছাতে পারবে তা নির্ধারণ করা। ডিজাইনে দুটি সীমানা দরকার: একটি বহন করা কথোপকথনের চারপাশে, আরেকটি ক্যারিয়ারের নিজের অ্যাক্সেসের চারপাশে।

নিচের ধাপগুলি ক্রমানুসারে সম্পাদন করুন এবং যেকোনো ধাপে ব্যর্থতাকে কনফিগারেশন বদল নয়, ডিজাইন পরিবর্তন হিসেবে ধরুন।

কনফিগ ছোঁয়ার আগেই দুটি সীমানা নির্ধারণ করুন

প্রথম সীমানা হলো কথোপকথন: কোন জোড়া গেটওয়ে টানেল তৈরি করতে পারবে এবং তার ভেতর দিয়ে কোন অভ্যন্তরীণ ট্রাফিক যেতে পারবে। দ্বিতীয়টি হলো ক্যারিয়ার: নিম্ন-বিশ্বাসযোগ্য হোস্টগুলি টানেলের বাইরে কোন ঠিকানা ও সেবায় পৌঁছাতে পারবে। দলগুলি সাধারণত প্রথমটি তৈরি করে আর দ্বিতীয়টি যা রাউটিং আগে থেকেই ছিল তা থেকে উত্তরাধিকারসূত্রে পায়, এভাবেই একটি সংকুচিত ডিজাইন চুপচাপ বিস্তৃত হয়ে যায়। কোনও পর্যালোচনায় দেখা গেলে একটি নিম্ন-বিশ্বাসযোগ্য হোস্ট এমন কিছুর সঙ্গে কথা বলছে যা কেউ অনুমোদন করেনি, তখন সেই উত্তরাধিকারই সাধারণ মূল কারণ।

দুটিই ঠিকানা, পোর্ট ও দিকের তালিকা হিসেবে লিখে ফেলুন। তালিকা লেখা না গেলে সীমানা এখনও নির্ধারিত হয়নি।

ধাপ 1: বাইরের টানেল সীমিত করুন

ক্যারিয়ারের দিকে মুখ করা ইন্টারফেসে কেবল টানেলের যা দরকার তা অনুমোদন করুন: দুটি গেটওয়ে ঠিকানার মধ্যে UDP 500 এবং 4500-এ IKE, এবং যেখানে NAT ট্রাভার্সাল ব্যবহার হচ্ছে না সেখানে ESP। ওই ইন্টারফেসে আসা বাকি সবকিছু, ব্যবস্থাপনা প্রোটোকলসহ, প্রত্যাখ্যান করুন। ESP স্পেসিফিকেশন সুরক্ষা সেবাগুলি কভার করে; গেটওয়েগুলি ক্যারিয়ারের নিজের কোন সেবা ব্যবহার করতে পারবে সে বিষয়ে এটি কিছু বলে না। এটিকে একটি স্পষ্ট অনুমোদন-তালিকা হিসেবে প্রকাশ করুন, যাতে সদ্য প্রকাশিত কোনও ক্যারিয়ার সেবা ডিফল্টভাবে পৌঁছনযোগ্য না হয়ে যায়।

এই নিয়মসেটই ডিজাইনটিকে পিয়ারিং ব্যবস্থার বদলে একটি ট্রানজিট ডিজাইন করে তোলে।

এটি গেটওয়ে কনসোল থেকে নয়, নিম্ন-বিশ্বাসযোগ্য পক্ষ থেকে যাচাই করুন। সেখানকার একটি হোস্টের টানেল ওঠার আগেই ক্যারিয়ারের DNS সার্ভারে পৌঁছাতে ব্যর্থ হওয়া উচিত।

ধাপ 2: দূরের গেটওয়ে কী পৌঁছে দেবে তা ঠিক করুন

দূরের প্রান্তে পুনরুদ্ধার করা ট্রাফিককে নির্দিষ্ট কোথাও যেতে হবে। কোন অভ্যন্তরীণ সেবা অনুমোদিত, কোন উৎস পরিসর থেকে, এবং উত্তর প্রতিসম হবে বলে আশা করা হচ্ছে কি না তা নির্ধারণ করুন। ব্যবস্থাপনা অ্যাক্সেস আলাদাভাবে পর্যালোচনা করুন, কারণ একই গেটওয়ে প্রায়ই একটি প্রশাসনিক ইন্টারফেস উন্মুক্ত রাখে যা কখনও ট্রানজিট পরিকল্পনার অংশ ছিল না।

যে চিত্র সফল ডিক্রিপশনে থেমে যায়, তা সবচেয়ে গুরুত্বপূর্ণ সিদ্ধান্তটি বাদ দিয়েছে।

ধাপ 3: স্তর অনুযায়ী মালিকানা রাখুন

ট্রানজিট সরঞ্জাম এখনও বাইরের প্যাকেট গ্রহণ ও ফরোয়ার্ড করে, তাই এর প্যাচিং ও ক্ষমতা পরিকল্পনা দরকার। টানেল এন্ডপয়েন্টগুলি সুরক্ষিত প্রোটোকল প্রক্রিয়া করে এবং অভ্যন্তরীণ ট্রাফিককে নিজের ফরওয়ার্ডিং পথে উন্মুক্ত করে, তাই তাদের নিজস্ব নিয়ম ও নিজস্ব পর্যবেক্ষণ দরকার। চূড়ান্ত অ্যাপ্লিকেশনগুলি পেলোড প্রক্রিয়া করে, আর অস্বচ্ছ পেলোড ডিক্রিপ্ট করা ডাউনলোড নিরীহ হওয়ার প্রমাণ নয়।

প্রতিটি স্তরে একজন মালিক নির্ধারণ করুন। যে স্তরগুলির মালিক নেই, তারাই ধীরে ধীরে সরে যায়।

ধাপ 4: যাচাই করুন, তারপর কর্তৃপক্ষের হাতে দিন

টানেল ওঠানো ও ক্যারিয়ার নিয়ম চালু থাকা অবস্থায় বাইরের পথ যাচাই করুন। তারপর নিম্ন-বিশ্বাসযোগ্য পক্ষের যেসব সম্পদে পৌঁছানো উচিত নয় সেগুলি চেষ্টা করুন এবং নিশ্চিত করুন যে ব্যর্থতা অস্বীকৃতি, রুট লুকানো কোনও টাইমআউট নয়। প্রাপ্যতা ও সম্পদসীমাও যাচাই করুন, কারণ এনক্রিপ্টেড লিংকও সম্পৃক্ত হতে পারে।

নিয়ন্ত্রিত বা শ্রেণীবদ্ধ পরিবেশে ডিজাইনটি দায়িত্বপ্রাপ্ত নিরাপত্তা কর্তৃপক্ষের কাছে নিন এবং তার অনুমোদিত বিচ্ছেদ স্থাপত্য ব্যবহার করুন। একটি VPN কনফিগারেশন ও ধারণাগত ব্যাখ্যা স্বীকৃতি প্রতিষ্ঠা করে না। এই ধাপটি কাগজপত্র নয়; এটি ঠিক করে ডিজাইনটির অস্তিত্বের অনুমতি আছে কি না।