বন্ধুদের জন্য হোম VPN: আউটগেট ভাগ করুন, LAN নয়

কোনো বন্ধু আপনার বাড়ির সংযোগ দিয়ে ব্রাউজ করতে পারবে বলা আর সে আপনার বাড়ির নেটওয়ার্ক ব্যবহার করতে পারবে বলা এক কথা নয়, আর ওই দুই বাক্যের মধ্যবর্তী ফাঁকে আছে NAS, প্রিন্টার, রাউটারের অ্যাডমিন পেজ এবং LAN-এর প্রতিটি অন্য ডিভাইস। প্রতিটি ব্যবস্থার নিজস্ব ফরওয়ার্ডিং নিয়ম দরকার। শেয়ার্ড VPN-এর যে ঘটনাগুলো আমি শুনি সেগুলো বেশিরভাগই অদ্ভুত আক্রমণ নয়; এ হলো এমন অতিথি যে কিছুতে পৌঁছে গেছে কারণ কে কোন সীমানা কিনছে তা কেউ লিখে রাখেনি। আপনি কোন চুক্তি দিচ্ছেন তা ঠিক করুন, তারপর সেটি বার্তায় নয়, ফরওয়ার্ডিং ও অ্যাক্সেস নীতিতে প্রকাশ করুন।

একই শোনায় এমন দুই চুক্তি

শুধু ইন্টারনেট মানে আমন্ত্রিত ক্লায়েন্টের ট্রাফিক আপনার সংযোগ দিয়ে বের হয় এবং আর কিছুই নয়। পূর্ণ অ্যাক্সেস মানে একই ক্লায়েন্ট আপনার স্থানীয় নেটওয়ার্কেও যোগ দেয়, আর সেই দ্বিতীয় চুক্তি নিঃশব্দে প্রথমটিকে অন্তর্ভুক্ত করে, এভাবেই মানুষ এতে ঢুকে পড়ে। পার্থক্যটি কয়েকটি ফরওয়ার্ডিং নিয়মে দাঁড়ায়, আর এটি ব্যান্ডউইথ ভাগ করা আর বাড়ি ভাগ করার পার্থক্যও। ফায়ারওয়াল ছোঁয়ার আগে চুক্তিটি লিখে রাখুন, কারণ পরে যোগ করা নিয়মকে বৈধতা দেওয়া সরানোর চেয়ে সহজ।

শুধু-ইন্টারনেট চুক্তিটি বেছে নিন, যদি না কারও সত্যিই LAN-এর কোনো সেবা দরকার হয়, কারণ যে নিয়ম আপনি কখনো লেখেননি সেটি এমন অনুমতি যা আপনি কখনো দেননি। তারপর দেখুন ক্লায়েন্ট সফটওয়্যার কোন চুক্তি বাস্তবায়ন করে, কারণ ফুল-টানেল ডিফল্ট নিঃশব্দে বড়টিই দিতে পারে।

প্রথম সীমানা: বাড়ির নেটওয়ার্ক

অতিথি ট্রাফিকের বাড়ির নেটওয়ার্কে কোনো কাজই নেই। আলাদা VPN সাবনেট বা নিবেদিত হোস্টিং সেগমেন্ট সেই নীতি প্রকাশ করা সহজ করে, কিন্তু ভিন্ন নাম নিজে থেকে কিছুই কার্যকর করে না। যে ডিভাইসটি সত্যিই প্যাকেট সরায় তার নাম দিন এবং ক্রসিং নিয়মগুলো সেখানেই রাখুন, কারণ যে মেশিন ফরওয়ার্ড করে না সেখানে লেখা নিয়ম শুধু সাজসজ্জা। VPN যখন রাউটারে চলে, তখন সেই প্রয়োগের বিন্দুটি রাউটারের নিজের ফরওয়ার্ড চেইন।

ক্লায়েন্ট আইসোলেশনসহ অতিথি নেটওয়ার্ক একটি যুক্তিসঙ্গত বিকল্প, যদি VPN ক্লায়েন্টরা সত্যিই সেখানে পৌঁছায়। দুই নকশারই একই পরীক্ষা দরকার, কনসোল থেকে নয়, ক্লায়েন্ট থেকে।

দ্বিতীয় সীমানা: হোস্ট ও অন্য অতিথিরা

ক্লায়েন্টদের VPN সেবা দরকার এবং যে মেশিনে এটি চলে সেখানে আর কিছুই নয়, তাই ব্যবস্থাপনা অ্যাক্সেস আলাদা অনুমতি হিসেবেই থাকে। এটিই সবচেয়ে বেশি দুর্ঘটনাক্রমে দেওয়া হয়, কারণ টানেল লিসেনার আর অ্যাডমিন ইন্টারফেস একই বাক্সে থাকে। VPN যদি রাউটারে শেষ হয়, তবে টানেল পোর্ট আর ওয়েব বা SSH ইন্টারফেস ভিন্ন বিষয় এবং ভিন্ন নিয়মের যোগ্য। লগইন পেজ রক্ষা করার নিয়মকে কখনো ফরওয়ার্ডিংয়ের নিষেধাজ্ঞা হিসেবে পড়া উচিত নয়।

ইন্টারনেট অ্যাক্সেসের জন্যও এক আমন্ত্রিত ক্লায়েন্টকে আরেকজনের কাছে পৌঁছাতে দেওয়া লাগে না। রিমোট-অ্যাক্সেস পুল প্রায়ই শেয়ার্ড সেগমেন্টের মতো আচরণ করে যদি আপনি অন্যথা না বলেন, তাই পুল কনফিগারেশনে সিদ্ধান্তটি স্পষ্ট করুন। কয়েকজন বন্ধুর জন্য আইসোলেশনই বেছে নেওয়ার যোগ্য ডিফল্ট।

নিয়ম লেখার আগে পথগুলো মানচিত্রে আঁকুন

স্বতন্ত্র অ্যাপ্লায়েন্সের নজরদারির জন্য দুইটি আলাদা প্যাকেট সেট থাকে: যেগুলো তার উপর শেষ হয় এবং যেগুলো সে ক্লায়েন্টের পক্ষে রিলে করে। CISA-র নেটওয়ার্ক নির্দেশিকা ইনবাউন্ড, আউটবাউন্ড ও আন্তঃনেটওয়ার্ক পথকে ন্যায্যতা দরকার এমন অ্যাক্সেস হিসেবে দেখে, আর এখানে সেটিই সঠিক কাঠামো। বাড়ির প্রিফিক্সগুলো যেমন আছে তেমনই তালিকাভুক্ত করুন, IPv4 ও IPv6 দুটোই, কারণ শুধু IPv4 ব্লক করলে যে বাড়ি IPv6-ও রাউট করে তা একই সীমানায় পুরোপুরি খোলা থাকে। তারপর ঠিক করুন ক্লায়েন্টরা DNS কীভাবে পায় এবং কোনো রিজলভার ব্যতিক্রম শুধু উদ্দিষ্ট সেবাটিই উন্মুক্ত করে কি না।

এগুলো সর্বজনীন রেসিপি নয়, প্রয়োজনীয়তা, কারণ নিয়মগুলো নির্ভর করে VPN কোথায় শেষ হয় এবং অনুবাদ কোথায় ঘটে তার উপর। শুধু প্রথম ব্রাউজার অনুরোধ সফল করার জন্য বিস্তৃত অনুমতি যোগ করা এড়িয়ে চলুন।

আপনি কী দায় নিচ্ছেন, আর এটি কীভাবে পরীক্ষা করবেন

আউটগেট ভাগ করা একটি পরিচালন ভূমিকা তৈরি করে। সেবার আইডেন্টিটি মডেলের মাধ্যমে মানুষকে আমন্ত্রণ জানান, অপসারণকে বাস্তবসম্মত করুন, হোস্ট ও রাউটার রক্ষণাবেক্ষণ করুন, এবং সেবাটি আপনার আপলোডের কতটা ব্যবহার করতে পারবে তা ঠিক করুন। অনুরোধ আপনার ঠিকানা থেকেই বের হয়, তাই কোনো ব্যক্তিগত ডিভাইস স্পর্শ না করলেও অভিযোগ ও সুনামের সমস্যা আপনার দরজায় আসে। প্রযুক্তিগত আইসোলেশন নকশা আইনি অবস্থান সম্পর্কে কিছুই বলে না, আর ট্রাফিককে সাধারণ ওয়েব পোর্টে সীমাবদ্ধ করা প্রতিটি অনুমোদিত কাজকে নিরীহ করে না।

তারপর প্রত্যাখ্যানগুলো রাউটার কনসোল থেকে নয়, অনুমোদিত ক্লায়েন্ট দিয়ে পরীক্ষা করুন। নিচের প্রতিটি সত্যি হওয়া উচিত:

• অতিথি টানেল থেকে ইন্টারনেট অ্যাক্সেস কাজ করে।
• NAS ও প্রিন্টার ঠিকানা ও নাম দিয়ে প্রত্যাখ্যাত হয়।
• টানেল ঠিকানা থেকে রাউটার প্রশাসন প্রত্যাখ্যাত হয়।
• দ্বিতীয় আমন্ত্রিত ক্লায়েন্টে পৌঁছানো যায় না।
• ক্লায়েন্টের অনুমোদন সরালে অ্যাক্সেস সত্যিই বন্ধ হয়।

মালিক যদি সেই সীমানা ও পরিচালন দায়িত্ব রাখতে না পারেন, তবে একটি কনফিগারেশন ফাইল হস্তান্তর করা ব্যবস্থাটি তাঁর কাছে যা চায় তা কমিয়ে দেখায়। এটাই সেবার সৎ বর্ণনা, এবং এটি কনফিগারেশনের সঙ্গে যাওয়া বার্তাতেই থাকা উচিত।