সবকিছু একটি হোস্টে ফরওয়ার্ড করবেন, নাকি পোর্টও পুনর্লিখন করবেন?

আপনার VPN সার্ভারে সবকিছু ফরওয়ার্ড করা দুটি খুব ভিন্ন নিয়ম বোঝাতে পারে। একটি গন্তব্য ঠিকানা বদলায় এবং আগত পোর্ট ধরে রাখে; অন্যটি পোর্টটিও একটি একক লিসেনারে পুনর্লিখন করে। এক্সপোজার এক নয়, এবং সিদ্ধান্তটি রাউটারের ইন্টারফেস যে লেবেল ব্যবহার করে তার উপর নয়, তিনটি শর্তের উপর নির্ভর করে।

শর্ত এক: নিয়মটি কোন ফিল্ড বদলায়?

গন্তব্য ঠিকানা অনুবাদ ও গন্তব্য পোর্ট অনুবাদ আলাদা কাজ। একটি নিয়ম শুধু প্রথমটি করতে পারে, বা দুটোই একসাথে, আর পার্থক্যটিই ঠিক করে লক্ষ্য হোস্টে কোন সেবাগুলো পৌঁছানো যায়। বেশিরভাগ ভেন্ডর ইন্টারফেস সেই পছন্দটি একটি লেবেলের পেছনে লুকায়। অন্তর্নিহিত নিয়মটি পড়াই একমাত্র উপায় জানার যে আপনি কোনটি পেয়েছেন।

মেনুর লেবেল নয়, প্রকৃত নিয়মটি পড়ুন। যে স্ক্রিনে DMZ বা সব পোর্ট লেখা থাকে তা একটি অভিপ্রায় বর্ণনা করে, প্যাকেটের পথ নয়। Netfilter NAT ডকুমেন্টেশন দুটি অনুবাদ আলাদা করে, আর আপনার সামনের রাউটার ভোক্তা-উপকরণ হলেও এটাই সঠিক মানসিক মডেল।

দুটি ফিল্ড, দুটি ভিন্ন প্রশ্ন।

শর্ত দুই: সংরক্ষিত পোর্টগুলোতে কী শুনছে?

নিয়মটি যদি আগত পোর্ট ধরে রাখে, তবে প্রতিটি আগত পোর্ট VPN হোস্টের একই নম্বরে পৌঁছে দেওয়া হয়, সেই হোস্টের ইনপুট নীতির অধীনে। এর মধ্যে এমন সেবাও থাকে যা আপনি ভুলে গেছেন শুনছে। নিয়মটি সেই সেবাগুলো তৈরি করেনি, এবং এখন সেটিই তাদের পথ।

নিয়মটি যদি পোর্ট পুনর্লিখন করে, উল্টোটা ঘটে: অনেক বাইরের পোর্ট একটি লিসেনারে নেমে আসে, আর সেই নিয়ম দিয়ে হোস্টের অন্য কিছুতে পৌঁছানো যায় না। নির্দিষ্ট পোর্টে পুনর্লিখন কেবল বহু বাইরের পোর্ট মিলেছে বলে প্রতিটি স্থানীয় সেবার প্রবেশাধিকার হয়ে যায় না। দুটি নকশা ভিন্ন দিকে ব্যর্থ হয়, আর আপনি বেছে নিচ্ছেন ব্যর্থতার ধরনটিই। যে ব্যর্থতা আপনি সহ্য করতে পারেন সেটিই বেছে নিন।

বেছে নেওয়ার আগে লিসেনারের তালিকা করুন।

শর্ত তিন: বাইরের প্রবেশপথ কত প্রশস্ত?

একটি নির্বাচিত পোর্ট প্রকাশ একটি রেঞ্জ প্রকাশের চেয়ে সংকীর্ণ, আর দুটোই সবকিছু গ্রহণের চেয়ে সংকীর্ণ। বাইরের প্রশস্ততা ও ভেতরের অনুবাদ স্বাধীন পছন্দ, এবং বেশিরভাগ বিভ্রান্তি আসে একটি বদলাতে গিয়ে অন্যটি বর্ণনা করার সময়।

সাধারণ VPN প্রবেশের জন্য নকশার সত্যিই প্রয়োজনীয় ট্রান্সপোর্ট ও লিসেনার প্রকাশ করুন। তারপর আরও তিনটি জিনিস পর্যালোচনা করুন: রাউটারের কার্যকর ম্যাপিং, লক্ষ্য হোস্টের নিজস্ব ইনপুট নিয়ম, এবং IPv6 লিসেনার একই সেবা প্রকাশ করে কি না। এক ঠিকানা পরিবারে সংকীর্ণ দেখানো নিয়ম অন্য পরিবারে প্রশস্ত হতে পারে।

অনূদিত এন্ডপয়েন্টটি পুরো লিখুন: প্রোটোকল, বাইরের পোর্ট, ভেতরের ঠিকানা, ভেতরের পোর্ট।

কোনো নিয়মই আপনাকে যা দেয় না

কোনো নকশাই সেবাটি দুর্বলতামুক্ত তা প্রমাণ করে না, আর কোনোটিই প্রাপ্যতা রক্ষা করে না। পোর্ট ম্যাপিং কত সংকীর্ণ তা নির্বিশেষে প্রমাণীকরণ, হালনাগাদ ও পুনরুদ্ধার পরিধিতে থাকে। সংকীর্ণ ম্যাপিং পৌঁছানোর পৃষ্ঠ কমায়; লিসেনারকে নিরাপদ করে না।

একটি প্রশস্ত নিয়ম যা ইতিমধ্যে অন্য একটি বৈধ সেবা সমর্থন করে তা কেবল ভুল নয়, একটি নির্ভরতা। এটি তালিকাভুক্ত করুন এবং সরানোর আগে এর মালিকের মাধ্যমে প্রতিস্থাপন করুন, নইলে পরিবর্তনটি নিরাপত্তা সংশোধনের কারণে ঘটা বিভ্রাটের মতো দেখাবে। একই সতর্কতা একটি নির্দিষ্ট-পোর্ট পুনর্লিখনের ক্ষেত্রেও প্রযোজ্য, যা অন্য কিছু নীরবে নির্ভর করে।

এক্সপোজার বিশ্লেষণ হলো কী কী পর্যন্ত পৌঁছাতে পারে তা নিয়ে, স্ক্রিনের লেবেল নিয়ে নয়।

অনূদিত এন্ডপয়েন্ট হাতে নিয়ে সিদ্ধান্ত নিন

নিয়মের ফলাফল একটি বাক্যে লিখুন: পাবলিক UDP পোর্ট X ঠিকানা Y পোর্ট Z-এ পৌঁছায়। তারপর জিজ্ঞাসা করুন Y-তে কোন সেবাগুলো Z-এ উত্তর দিতে পারে এবং তাদের মালিক কে।

nft list ruleset

উত্তরটি যদি আপনার ইচ্ছাকৃত সেই একক লিসেনার হয়, তবে নিয়মটি তার কাজ করছে।

উত্তরটি যদি একাধিক হয়, আপনি হোস্ট-ব্যাপী ফরওয়ার্ডিং বেছে নিয়েছেন, ইন্টারফেস সেটিকে তা বলুক বা না বলুক।