VPN-এ IPv6 ULA: ব্যক্তিগত ঠিকানা, গোপনীয়তা নয়

ব্যক্তিগত দেখতে এমন ঠিকানা অধিকাংশ মানুষের বোঝানো অর্থে ব্যক্তিগত নয়, এবং IPv6-এর অনন্য-স্থানীয় ঠিকানাকরণ তার সবচেয়ে স্পষ্ট উদাহরণ। একটি ULA প্রিফিক্স VPN-কে তার পেছনের সম্পদের জন্য একটি স্থিতিশীল অভ্যন্তরীণ পরিকল্পনা দেয়। এটি কিছুই এনক্রিপ্ট করে না, কোনো পিয়ারকে প্রমাণীকরণ করে না, এবং ক্লায়েন্ট কোন সেবাগুলোতে পৌঁছাতে পারবে তা ঠিক করে না। প্রিফিক্সকে নিরাপত্তা নিয়ন্ত্রণ হিসেবে ধরা—এই নিবন্ধটি যে ভুলটি দূর করতে তৈরি, সেটিই।

প্রিফিক্সটি আসলে যা দেয়

RFC 4193 স্থানীয় ব্যবহারের জন্য fc00::/7 আলাদা রাখে, যেখানে L বিট স্থানীয়ভাবে নির্ধারিত স্থানকে সংরক্ষিত রূপ থেকে আলাদা করে। বাস্তবে এর অর্থ আপনি fd00::/8 তৈরি করেন। স্পেসিফিকেশনটি আরও নির্ধারণ করে 40-বিট গ্লোবাল আইডি কীভাবে আহরণ করা উচিত, যাতে স্বতন্ত্র সাইটগুলো ভুলবশত একই প্রিফিক্স না বেছে নেয়। ওই স্থানটি পাবলিক ইন্টারনেটের বাইরে থাকার জন্য নকশা করা হয়েছে, যা রাউটিংয়ের বৈশিষ্ট্য, সুরক্ষা নয়।

একটি সাইটের ভিতরে স্বাভাবিক বিন্যাস হলো সাবনেটে বিভক্ত একটি /48 গ্লোবাল আইডি: একটি টানেল ক্লায়েন্টদের জন্য, একটি সার্ভার পাশের জন্য, প্রতিটি দূরবর্তী LAN-এর জন্য একটি। ওই কাঠামোই পুরো সুবিধা, এবং এটি ঠিকানাকরণের সুবিধা। প্রতিটি প্যাকেটের এখনও একটি রুট দরকার এবং এখনও এমন একটি নীতি দরকার যা তাকে অনুমতি দেয়।

প্রিফিক্সকে টানেলের সাথে গুলিয়ে ফেলা—এভাবেই কোনো নকশা fd00 ঠিকানা নথিভুক্ত করে এবং ধরে নেয় তাদের মধ্যকার ট্রাফিক সুরক্ষিত। অন্য কিছু সুরক্ষা না দিলে তা সুরক্ষিত নয়।

উদাহরণের প্রিফিক্স নকল করা কেন ক্ষতিকর

প্রতিটি টিউটোরিয়াল মনে রাখার মতো একটি প্রিফিক্স ব্যবহার করে, এবং যে পাঠক তা নকল করে সে একই সংঘর্ষের ঝুঁকি উত্তরাধিকার সূত্রে পায়। দুটি সাইট পরে একই রেঞ্জ নিয়ে সাইট-টু-সাইট টানেলের মাধ্যমে যুক্ত হলে ঠিক সেই দ্ব্যর্থতাই তৈরি হয় যা ওভারল্যাপিং ব্যক্তিগত IPv4 স্থান থেকে জানা যায়। কোনও পক্ষই নিজে ভুল নয়, এবং সম্মিলিত নেটওয়ার্কের কাছে কোন গন্তব্য বোঝানো হয়েছে তা বলার কোনো উপায় থাকে না।

নথিভুক্ত প্রক্রিয়ায় গ্লোবাল আইডি তৈরি করতে এক মিনিট লাগে এবং প্রশ্নটি সরিয়ে দেয়। ঠিকানা পরিকল্পনার পাশে প্রিফিক্স, তৈরির ইনপুট এবং তারিখ লিখে রাখুন।

অধিগ্রহণের পর নেটওয়ার্ক একীভূত করা বা VPN-এর মাধ্যমে দুটি ল্যাব যুক্ত করা যে কারও জন্য ঝুঁকিটি তাত্ত্বিক নয়। একক সাইটের জন্যও এটি জরুরি নয়, তাই একীকরণ আগেই নির্ধারিত না হওয়া পর্যন্ত এটি পিছিয়ে দেওয়া হয়।

পরিধি ও প্রবেশাধিকার আলাদা প্রশ্ন

ULA সাধারণ বিশ্বব্যাপী রাউট করা ইন্টারনেট ঠিকানাকরণের জন্য নয়। এটি ব্যবহার করা প্রতিটি হোস্টকে বিশ্বস্ত করে না, এবং ওই হোস্টগুলোকে অন্য সংযুক্ত ব্যক্তিগত নেটওয়ার্ক থেকে অপ্রাপ্য করে না। ফায়ারওয়াল ও অ্যাপ্লিকেশন অনুমতি এখনও ঠিক করে পিয়ার কী ব্যবহার করতে পারে, এবং টানেল এখনও সেই প্রমাণীকরণ দেয় যা দিয়ে এটি কনফিগার করা হয়েছিল।

ইন্টারনেট নির্গমনের জন্য নিজস্ব IPv6 নির্গমন নকশা দরকার। ক্লায়েন্টকে একটি ULA ঠিকানা দেওয়া ইচ্ছামতো বৈশ্বিক গন্তব্যে প্রবেশাধিকার তৈরি করে না, এবং একটি পাওয়া ক্লায়েন্টের কাছ থেকে তার ওপর দিয়ে পাবলিক ইন্টারনেট ব্রাউজ করার আশা করা উচিত নয়।

ভিন্ন প্রিফিক্সযুক্ত দুটি সাইটের এখনও পরস্পরের রেঞ্জের জন্য ফিরতি রুট দরকার, এবং উভয় ফায়ারওয়ালের মিলতে হবে এমন নিয়ম দরকার। এর কিছুই ঠিকানা পরিবার থেকে আসে না। যা আসে তা হলো নথিকরণের কাজ: প্রিফিক্সের একটি সারণি এবং প্রতিটিতে উত্তর দেওয়ার অনুমতিপ্রাপ্ত সিস্টেমের তালিকা।

উভয় প্রান্তে পরিকল্পনা যাচাই করুন

প্রিফিক্সটি যেখানে আছে বলে আপনি ভাবেন সেখানে আছে কি না নিশ্চিত করুন, তারপর নিশ্চিত করুন যে একটি গন্তব্য সত্যিই তার ওপর দিয়ে পৌঁছানো যায়।

ip -6 address show
ip -6 route show
ping -6 -c 3 fd12:3456:789a:1::1

ঠিকানার তালিকা দেখায় কোন ইন্টারফেসে কোন সাবনেট আছে, এবং ভুলটি পাওয়া ক্লায়েন্ট সাধারণত এখানেই তা দেখায়। রুটের তালিকা দেখায় দূরবর্তী প্রিফিক্সের টানেলের মধ্য দিয়ে পথ আছে কি না, না কি তা বাদ পড়ছে। প্রোবটি একমাত্র গুরুত্বপূর্ণ প্রশ্নের উত্তর দেয়, তা হলো প্যাকেটটি যাওয়া-আসা করে কি না।

পুনঃসংযোগের পরে যাচাইটি পুনরাবৃত্তি করুন, কারণ যে ক্লায়েন্ট ঠিকানা ধরে রাখে কিন্তু রুট হারায় সে এমন সংযোগ তৈরি করে যা ওপরে দেখায় অথচ কিছুই পাঠায় না। ঠিকানাটি সহজ অংশ, আর রুটটিই হারিয়ে যায়। পরবর্তী তুলনা প্রমাণ থেকে শুরু করার জন্য উভয় আউটপুট সংযোগ প্রোফাইলের নামের পাশে সংরক্ষণ করুন।