IPsec-কে Shadowsocks দিয়ে বদলানোর আগে হারানো কাজগুলোর তালিকা করুন

তিনটি সেবা, একটি টানেল: একটি ওয়েব অ্যাপ, একটি ডেটাবেস আর একটি ফাইল শেয়ার। কেউ IPsec-এর বদলে Shadowsocks আনার প্রস্তাব দেয়, কারণ এটি চালানো সহজ। এরপর যে এনক্রিপশন বিতর্ক শুরু হয়, সেটি মূল বিষয়টি এড়িয়ে যায়, কারণ টানেলটি একসাথে কয়েকটি কাজ করছে এবং তার মধ্যে কেবল একটি সাইফারের সঙ্গে সম্পর্কিত। পণ্য তুলনা করার আগেই সেই কাজগুলো লিখে ফেলুন। তালিকাটি ছোট, আর এর যেকোনো একটি অংশ পুরো বদলটিই অচল করে দিতে পারে।

ট্রাফিক কীভাবে ধরা হয়, সেখান থেকেই শুরু করুন

প্রোটোকলের দুটি অর্ধ আছে। একটি লোকাল উপাদান সংযোগ গ্রহণ করে, গন্তব্য ঠিকানা দিয়ে শুরু হওয়া একটি স্ট্রিম এনক্রিপ্ট করে এবং সেটি একটি দূরবর্তী উপাদানের কাছে পাঠায়। দূরবর্তী অর্ধটি সেই গন্তব্যে সংযোগ খোলে এবং বাইটগুলো এগিয়ে দেয়। UDP ডেটাগ্রাম নিয়ে একই কাঠামো অনুসরণ করে। এটি যে ফ্লোগুলো ধরে, তাদের জন্য ফরওয়ার্ডিং, আর যে ফ্লোগুলো ধরে না, তাদের সম্পর্কে এটি কিছুই বলে না। যে অ্যাপ্লিকেশন সরাসরি প্রক্সির সঙ্গে কথা বলে, সেটি সহজ; বাকি সবকিছুর জন্য অ্যাডাপ্টার বা রাউটিং নিয়ম দরকার, তবেই সেগুলো ধরা পড়ে।

অন্য কিছু তুলনা করার আগে প্রতি অ্যাপ্লিকেশনের জন্য ধরার পদ্ধতি নথিভুক্ত করুন। না-ধরা ট্রাফিক সাধারণ পথেই বেরিয়ে যায়, আর অফিসের বাইরে কোনো সেবা অন্যরকম আচরণ না করা পর্যন্ত কেউ তা টের পায় না।

প্রতিটি গন্তব্য ও প্রোটোকলের নাম দিন

দূরবর্তী অর্ধটিকে প্রতিটি অভ্যন্তরীণ সেবায় পৌঁছাতে সক্ষম হতে হবে। সেই হোস্টে কাজ করা এনক্রিপ্টেড সেশন সেখান থেকে ডেটাবেসে কোনো রুট যোগ করে না, আর ক্লায়েন্টে অভ্যন্তরীণ নাম রিজলভ করিয়েও দেয় না। LAN অন্তর্ভুক্ত, এভাবে লেখার বদলে ঠিকানা, পোর্ট ও প্রোটোকল তালিকাভুক্ত করুন।

পরিপাটি নকশা ভাঙে এমন ঘটনাগুলো যোগ করুন: অভ্যন্তরীণ DNS, প্রক্সি সেটিং উপেক্ষা করা অ্যাপ্লিকেশন, আর সার্ভার থেকে ক্লায়েন্টের দিকে শুরু করতে হয় এমন যেকোনো ফ্লো। প্রতিটির জন্য অনুমান নয়, স্পষ্ট ব্যবস্থা দরকার।

এনক্রিপশন মানেই অনুমোদন নয়

Shadowsocks-এ নথিভুক্ত AEAD পদ্ধতিগুলো প্রমাণিত এনক্রিপশন দেয়, তাই পুরো পরিবারটিকে অনিরাপদ বলে উড়িয়ে দেওয়া ভুল। সেই তথ্য দিয়েই প্রবেশাধিকারের প্রশ্নের উত্তর দিয়ে ফেলাও সমান ভুল। কে কোন সেবায় পৌঁছাবে, কেউ চলে গেলে অ্যাক্সেস কীভাবে সরানো হবে, রহস্যগুলো কোথায় রাখা হবে আর কোন উপাদান সীমাটি প্রয়োগ করবে, এসব কাউকে ঠিক করতে হবে। একটি মাত্র ভাগ করা রহস্য প্রত্যেক ধারককে একই নাগাল দেয়, আর একজনকে সরিয়ে দেওয়াই সবার জন্য কী ঘোরানোর কাজ হয়ে দাঁড়ায়।

বর্তমান IPsec ব্যবস্থাকে একই মাপকাঠিতে বিচার করুন। তার নাম প্রমাণ করে না যে তার নিয়মগুলো ঠিক, আর এক নকশার চকচকে সংস্করণের সঙ্গে অন্য নকশার অস্পষ্ট সংস্করণের তুলনা কিছুই স্থির করে না।

আজ দুই পাশে যে নিয়ন্ত্রণগুলো আছে সেগুলো তালিকাভুক্ত করুন, তারপর বিচার করুন কোন ফাঁকগুলো নিয়ে আপনি থাকতে পারবেন।

পরিচালনামূলক কাজ গুনুন

প্রতিটি বদলের জন্য ক্লায়েন্ট প্যাকেজ, সার্ভার হালনাগাদ, ক্রেডেনশিয়াল ঘোরানো আর ব্যর্থতা সামলানোর একজন দায়িত্বশীল দরকার। টানেল না থাকলে প্রতিটি অ্যাপ্লিকেশন কী করে তা খেয়াল করুন: ব্যর্থ হয়, লোকাল পথে আবার চেষ্টা করে, নাকি অপেক্ষা করে। এই আচরণ আসে স্থাপনা থেকে, প্রোটোকলের নাম থেকে নয়।

একটি ওয়েব অ্যাপ্লিকেশনের জন্য সরু প্রক্সি যথেষ্ট হতে পারে। প্রতিজন আলাদা অনুমতিসহ পুরো নেটওয়ার্কে প্রবেশাধিকারের ক্ষেত্রে বাড়তি যন্ত্রাংশগুলোর খরচ সাধারণত যে টানেলকে তারা বদলেছে তার চেয়ে বেশি পড়ে।

সিদ্ধান্তটি কোন পণ্যটি বেশি নিরাপদ শোনায় তা নয়। সিদ্ধান্তটি হলো কোন নকশা তালিকাভুক্ত কাজগুলো এমন নিয়ন্ত্রণ দিয়ে শেষ করে যা দলটি সত্যিই রক্ষণাবেক্ষণ করবে।