দুটি হোস্টের মধ্যে IPsec: সুরক্ষা কোথায় শুরু হয় ও কোথায় থামে
হোস্টের একটি জোড়া গেটওয়ে ছাড়াই নির্বাচিত প্রবাহ রক্ষা করতে পারে। প্রান্তবিন্দু, ট্রাফিক নির্বাচনকারী নীতি এবং আলাদা থাকা অনুমতিগুলো নির্ধারণ করুন।
হোস্টের জোড়ার উপর সুরক্ষা সেখানেই শুরু হয় যেখানে নিরাপত্তা সমিতি শেষ হয়, এবং এটিই সেই সত্য যা গেটওয়ের আকৃতির অন্তর্দৃষ্টি সবচেয়ে বেশি এড়িয়ে যায়। একটি অ্যাপ্লিকেশন সার্ভার ও তার ডেটাবেস সার্ভার তাদের নিজেদের কথোপকথন সরাসরি সুরক্ষিত করতে পারে, পথে কোনো দূরবর্তী প্রবেশ কেন্দ্রীকরণ ছাড়াই, এবং সুরক্ষার সীমা তখন ফায়ারওয়ালে নয়, প্রতিটি হোস্টের ভেতরে থাকে। এটি আপনাকে নির্বাচিত প্রবাহের জন্য প্রান্ত থেকে প্রান্ত পর্যন্ত আচ্ছাদন দেয়। এটি আপনাকে এই সিদ্ধান্ত দেয় না যে কে কোন সারি পড়তে পারবে।
সীমা সেখানেই যেখানে SA শেষ হয়
RFC 4301 ট্রান্সপোর্ট মোডে নিরাপত্তা সমিতিগুলোকে সেই বিন্যাস হিসেবে বর্ণনা করে যা সাধারণত হোস্টের জোড়ার মধ্যে প্রান্ত থেকে প্রান্ত সুরক্ষার জন্য ব্যবহৃত হয়। ওই দুই হোস্ট চাবিগুলো ধরে রাখে, এবং প্রত্যেকে নির্ধারণ করে তার নিজের কোন প্যাকেটগুলো সমিতিতে প্রবেশ করবে। একটি গেটওয়ে সুড়ঙ্গ সম্পূর্ণ অন্য জায়গায় শেষ হয় এবং অতিরিক্ত অভ্যন্তরীণ খণ্ডের মধ্য দিয়ে হোস্টে পৌঁছায়, যা ভিন্ন বিশ্বাস সীমা, এমনকি যখন প্যাকেট তার যাত্রার বেশিরভাগ অংশে এনক্রিপ্টেড থাকে।
হোস্ট-থেকে-হোস্ট এবং ট্রান্সপোর্ট মোড তবে সমার্থক নয়। দুই হোস্ট পরস্পরের মধ্যে একইভাবে সঠিকভাবে সুড়ঙ্গ মোডের সমিতি গড়তে পারে, তাই প্রথমে মোড বেছে নিন এবং তারপর প্রান্তবিন্দু বর্ণনা করুন। দুটোই ডিজাইন টীকায় সহকর্মীর ঠিকানার পাশে লিখুন, কারণ শুধু মোড জানা পর্যালোচক অন্যটি ধরে নেবে।
SPD সুরক্ষার এবং পথ দিকের সিদ্ধান্ত নেয়
রাউটিং সারণি বলে প্যাকেট কোথায় যায়। নিরাপত্তা নীতির ডেটাবেস বলে নির্বাচিত ট্রাফিক কীভাবে সুরক্ষা সীমা অতিক্রম করে, এবং এটি প্রতিটি দিকের জন্য নিজস্ব নির্বাচকসহ করে। এই বিভাজনই কারণ যে ডেটাবেস পর্যন্ত কার্যকর পথ অনুরোধ সুরক্ষিত ছিল কি না তা কিছুই প্রমাণ করে না, এবং যে প্রতিষ্ঠিত আলাপ কিছুই প্রমাণ করে না যে এই নির্দিষ্ট অ্যাপ্লিকেশনটি তার সাথে মিলেছিল কি না। গণকগুলোর তুলনা করার আগে নির্বাচকগুলোর তুলনা করুন, কারণ গণকগুলো কেবল সেই প্রবাহগুলোর বর্ণনা দেয় যেগুলো সেখানে পৌঁছেছে।
Linux-এ, ip xfrm policy সেই এন্ট্রিগুলো তাদের দিক, অগ্রাধিকার, নির্বাচক এবং অনুমতি, অবরোধ বা ফাঁদ ক্রিয়াসহ মুদ্রণ করে, যখন ip xfrm state ফলে তৈরি সমিতি ও তাদের গণক দেখায়। দুটো একসাথে পড়াই সেই উপায় যাতে আপনি সেই প্রবাহ খুঁজে পান যা সুড়ঙ্গটি নিঃশব্দে এড়িয়ে গিয়েছিল কারণ একটি প্রশস্ত অনুমতি এন্ট্রি আগে মিলেছিল।
অগ্রাধিকার ক্রম নীতির অংশ, বাস্তবায়নের বিবরণ নয়। ডেটাবেস পোর্ট রক্ষা করার কথা থাকা সংকীর্ণ এন্ট্রি উচ্চতর অগ্রাধিকারের প্রশস্ত এন্ট্রির কাছে হেরে যায়, এবং ব্যর্থতা এমন দেখায় যেন নীতিকে কখনো জিজ্ঞাসাই করা হয়নি।
ট্রান্সপোর্ট মোড পরবর্তী স্তর ঢাকে, IP শিরোনাম নয়
| Transport mode | Tunnel mode | |
|---|---|---|
| Original IP header | kept for routing the flow | replaced by an outer header |
| What ESP protects | the carried next-layer payload | the whole inner IP packet |
| Where it terminates | commonly the two hosts | gateway pair, or a host pair |
ট্রান্সপোর্ট মোডে ESP শিরোনাম IP শিরোনাম ও পেলোডের মধ্যে বসে, এবং সেই শিরোনামের ঠিকানা ক্ষেত্রগুলো পথের প্রতিটি ডিভাইসের কাছে দৃশ্যমান থাকে। ঠিকানাগুলো গোপন না হলে এবং পেলোড গোপন হলে এটি ঠিক আছে। আপনার অভ্যন্তরীণ টোপোলজিও লুকানো দরকার হলে এটি ভুল পছন্দ, কারণ কেবল সুড়ঙ্গ মোডই মূল শিরোনামকে নতুনের ভেতরে মোড়ে।
দুই মোডই পরবর্তী স্তরের একাধিক প্রোটোকল বহন করতে পারে, এবং ESP নির্বাচকের সাথে মেলে এমনটিই সুরক্ষিত করবে, হোস্ট যা পাঠায় তার সব নয়।
নির্বাচন সংযোগের চেয়ে সংকীর্ণ
একটি সমিতি একাধিক প্রবাহ বহন করতে পারে, তবে কেবল সেগুলোই যা নীতি নির্বাচন করে। সহকর্মীদের পরিচয়, উৎস ও গন্তব্য ঠিকানা, প্রোটোকল এবং আপনি যে সম্পর্ক চান তার সেবার পরিধি লিপিবদ্ধ করুন, তারপর আলাদাভাবে সিদ্ধান্ত নিন যে অমিল ট্রাফিক খোলাখুলি যেতে পারে, তাকে সুরক্ষিত করতেই হবে, নাকি সমিতি অনুপলব্ধ হলে তাকে ফেলে দিতেই হবে। এই শেষ সিদ্ধান্তই বিস্ময় তৈরি করে, কারণ ভুল উৎসের জন্য সুরক্ষা দাবি করা নিয়ম আপনার নিজের প্রশাসনিক প্রবেশকে ঠিক তেমনভাবেই আটকাতে পারে যেভাবে এটি অনুপ্রবেশকারীকে আটকায়।
প্রয়োগ পরিবর্তন করার সময় একটি অনুমোদিত ব্যান্ড-বহির্ভূত পথ রাখুন, এবং দুই হোস্টই অগম্য হওয়ার পরে নয়, বরং প্রয়োজন হওয়ার আগেই তা পরীক্ষা করুন।
মেশিনের পরিচয় অ্যাপ্লিকেশনের অনুমতি নয়
IPsec কনফিগার করা সহকর্মীকে প্রমাণায়ন করে এবং নির্বাচিত প্যাকেট সুরক্ষিত করে। এটি নির্ধারণ করে না যে একজন ব্যক্তি কোন ডেটাবেস রেকর্ড সম্পাদনা করতে পারবে, এবং বিশ্বস্ত সার্ভার পরিচয়কে সব অ্যাপ্লিকেশন বিশেষাধিকারের দানে রূপান্তর করে না। অ্যাপ্লিকেশন হিসাব, ভূমিকা ও অনুমোদন ঠিক যেখানে ছিল সেখানেই থাকে, এবং অ্যাপ্লিকেশন স্তরের TLS চাহিদা নেটওয়ার্কের পথ আগেই সুরক্ষিত থাকলেও নিজের উদ্দেশ্য ধরে রাখে।
নকশাটি অভীষ্ট উৎস থেকে একটি ক্রিয়া এবং প্রত্যাখ্যাত হওয়া উচিত এমন একটি ক্রিয়াসহ গ্রহণ করুন, এবং প্রয়োজনীয় সমিতি প্রতিষ্ঠা করা না গেলে কী হয় তাও অন্তর্ভুক্ত করুন। একটি সাধারণ প্রবেশগম্যতা পরীক্ষা আপনাকে বলে যে প্যাকেট চলছে; এটি বলে না যে সেগুলো আপনার লেখা নীতির অধীনে চলছিল।