IPsec নীতি আপনার স্থানীয় ট্রাফিক গিলছে: এটি কীভাবে চিনবেন

টেবিলের প্রিন্টার টানেল ওঠার মুহূর্তেই উত্তর দেওয়া বন্ধ করে, আর টানেলের কনফিগারেশনে প্রিন্টারের কোনো উল্লেখ নেই। সাধারণত যা হয়েছে তা হলো একটি সুরক্ষিত পরিসর এত বিস্তৃতভাবে লেখা হয়েছিল যে তা এটিকেও অন্তর্ভুক্ত করে, তাই মেশিন এখন স্থানীয় সেগমেন্টে থাকার কথা ছিল এমন ট্রাফিক এনক্রিপ্ট করার চেষ্টা করছে। ইনস্টল করা নীতি পড়া এই ধরে নেওয়ার ব্যাখ্যা দেয়; এটি সঠিক জায়গায় সংকুচিত করলে দূরের ট্রাফিক সুরক্ষিত থাকে। ব্যর্থ অনুরোধ থেকে মিলে যাওয়া নীতি পর্যন্ত যাত্রায় কয়েক মিনিট লাগে।

নির্বাচক বদলানোর আগে প্রবাহ অনুসরণ করুন

ব্যর্থ অনুরোধ থেকে শুরু করুন এবং চারটি মান লিখুন: মেশিন যে উৎস ঠিকানা ব্যবহার করে, সঠিক গন্তব্য, কার্নেল যে পথ বেছে নেয় এবং যে নীতি এই জোড়ার সঙ্গে মেলে।

এই চারটি তথ্য ঠিক করে ধরে নেওয়াটি ইচ্ছাকৃত না আকস্মিক। দূরের নির্বাচকের ভিতরে পড়া গন্তব্য নকশা অনুযায়ী সুরক্ষিত, নকশা ভুল হলেও। এর বাইরের গন্তব্য যদি তবুও ধরা পড়ে, তার অর্থ অন্য কিছু মিলছে, এবং নির্বাচক বদলালে সাহায্য হবে না। দুটি ক্ষেত্রই সাধারণ, এবং একটি আদেশই তাদের আলাদা করে।

কিছু সম্পাদনার আগে এটি করুন, কারণ আকর্ষণীয় ক্ষেত্রটি হলো স্থানীয় সাবনেট যা সংযোগের সুরক্ষিত ব্যক্তিগত পরিসরের সঙ্গে ওভারল্যাপ করে। 192.168.0.0/16-এর মতো পরিচিত উপসর্গ অনেক নেটওয়ার্কে দেখা যায়, এবং তাদের একটির জন্য লেখা নির্বাচক আপনারটি নিঃশব্দে ঢেকে দিতে পারে।

স্থানীয়ের তিন ধরন যা ভিন্নভাবে আচরণ করে

এই হোস্টে বরাদ্দ করা গন্তব্য, একই লিংকে থাকা গন্তব্য এবং অন্য ইন্টারফেসের পিছনে থাকা গন্তব্য তিনটি ভিন্ন ক্ষেত্র। কার্নেল ট্রাফিকের সুরক্ষা দরকার কি না তা ঠিক করার সময় প্রতিটিকে ভিন্নভাবে দেখে।

গেটওয়ে নিজে তৈরি করা ট্রাফিকও ক্লায়েন্ট থেকে পাঠানো ট্রাফিকের মতো নয়। পাঠানো ট্রাফিকের জন্য সঠিক দেখতে এমন নীতি গেটওয়ের নিজের ব্যবস্থাপনা সেশন ধরে ফেলতে পারে, এবং এভাবেই একজন প্রশাসক টানেল মেরামত করার সময় প্রবেশাধিকার হারান।

উপকারী অভ্যাস হলো ক্ষেত্রটির নাম উঁচু স্বরে বলা: এই প্যাকেট কি আমার কাছে থেকে আসে, আমার লিংকের দিকে যায়, নাকি আমার মধ্য দিয়ে যায়? প্রতিটি উত্তর সংকুচিত করার ভিন্ন জায়গার দিকে দেখায়। ক্ষেত্রটি লিখে রাখা পরের মানুষকেও একই কাজ আবার করতে বাধা দেয়।

যখন সুরক্ষিত পরিসর সমগ্র ব্যক্তিগত স্থান, তখন তিনটি ক্ষেত্রই একসঙ্গে তার ভিতরে পড়তে পারে, এবং উপসর্গ হয়ে ওঠে এমন মেশিন যা টানেলের শেষ প্রান্ত ছাড়া কোথাও পৌঁছায় না।

ইনস্টল করা নীতি পড়ুন, ফাইল নয়

কনফিগারেশন ফাইল ইচ্ছা বর্ণনা করে; কার্নেল সেই নীতিগুলো রাখে যা সত্যিই মেলে। দুটিই দেখান এবং অমিলকে প্রথম প্রাপ্তি ধরুন।

এই আদেশগুলো গন্তব্যের জন্য বেছে নেওয়া পথ এবং প্রতিটি দিকে ইনস্টল করা নীতি দেখায়:

ip route get 192.168.50.20
ip xfrm policy list
sudo swanctl --list-conns

পথ বলে প্যাকেট কোন ইন্টারফেস ব্যবহার করবে। নীতির তালিকা বলে এরপর সেই প্যাকেটে কোনো টেমপ্লেট প্রয়োগ হবে কি না, এবং সংযোগের তালিকা দেখায় ডেমন কোন নির্বাচকগুলো ইনস্টল করেছে বলে মনে করে। গন্তব্য যদি দূরের নির্বাচকে দেখা যায়, তবে আপনি অনুমান না করেই ধরে নেওয়াটি খুঁজে পেয়েছেন।

নির্বাচক সংকুচিত করুন বা গন্তব্য এড়িয়ে যান

দুটি সমর্থিত মেরামত আছে এবং তারা ভিন্ন প্রশ্নের উত্তর দেয়। নির্বাচক সংকুচিত করা বলে এই সংযোগ কেবল ছোট পরিসর সুরক্ষিত করে, যা সঠিক যখন বিস্তৃত পরিসর একটি ভুল ছিল। এড়ানোর পথ যোগ করা বলে এই নির্দিষ্ট গন্তব্য কখনো সুরক্ষিত হওয়া উচিত নয়, যা সঠিক যখন সুরক্ষিত পরিসর সত্যিই বিস্তৃত এবং একটি গন্তব্য ব্যতিক্রম।

সম্ভব হলে প্রথমটি বেছে নিন, কারণ ছোট নির্বাচক নিয়ে ভাবনা সহজ এবং এটি সংযোগের সংজ্ঞায় দেখা যায়। যখন বিস্তৃত পরিসর ইচ্ছাকৃত এবং ব্যতিক্রমটি একক হোস্ট বা সাবনেট যা আপনার নাম দেওয়া যায়, তখন দ্বিতীয়টি বেছে নিন।

দুটিই সেই কনফিগারেশনের যা সংযোগের মালিক। হাতে যোগ করা রানটাইম নিয়ম পরের পুনঃসংযোগে অদৃশ্য হয়ে যায়, এবং ব্যর্থতা সেই মুহূর্তে ফিরে আসে যখন কেউ সেই অস্থায়ী সমাধান মনে করে না।

পুনঃস্থাপনে টিকে থাকা ব্যতিক্রম

পরিবর্তনের পর একই নিরীহ অনুরোধ পুনরাবৃত্তি করুন এবং একই কাউন্টার দেখুন। স্থানীয় গন্তব্যে উত্তর দেওয়া উচিত, এবং উদ্দিষ্ট দূরের গন্তব্যে এখনো এনক্রিপ্ট করা ট্রাফিক দেখানো উচিত।

এই দুটি পরীক্ষা নিশ্চিত করে ব্যতিক্রম টিকেছে আর সুরক্ষা টেকেনি:

ip xfrm policy list | grep -c out
ping -c 3 192.168.50.20

তারপর টানেল ইচ্ছাকৃতভাবে বিচ্ছিন্ন ও পুনঃসংযুক্ত করুন, এবং দুটিই পুনরাবৃত্তি করুন। যে ব্যতিক্রম পুনঃসংযোগের আগে কাজ করে এবং পরে ব্যর্থ হয় তা ভুল স্তরে প্রয়োগ হয়েছে, এবং এটাই এই সমস্যার ফিরে আসার সবচেয়ে সাধারণ উপায়।