আপনার ম্যানেজড VPN-এর ইন্টারনেট ব্রেকআউট আসলে কোথা দিয়ে বেরোয়
«ইন্টারনেট অন্তর্ভুক্ত» বলতে বোঝায় না যে পাবলিক ট্রাফিক কোথা দিয়ে বেরোয়, কে তা ফিল্টার করে বা কোনো ব্যর্থতার পর কী টিকে থাকে। পথটি অনুসরণ করুন, তারপর দুটি ব্যর্থতার কেসই লিখে ফেলুন।
প্রস্তাবে না দেখানো পর্যন্ত আপনি বলতে পারবেন না কোনো শাখার পাবলিক ট্রাফিক কে ফিল্টার করে, আর সেই ট্রাফিক কোথা দিয়ে প্রোভাইডারের নেটওয়ার্ক ছাড়ে। ম্যানেজড VPN-এ অন্তর্ভুক্ত ইন্টারনেট অ্যাক্সেস হলো দ্বিতীয় একটি সেবা, যা নিজস্ব গেটওয়ে, নিজস্ব ঠিকানা রূপান্তর ও নিজস্ব এস্কালেশন সারি সহ একটি পথে চলে। বেশিরভাগ চুক্তি প্রাইভেট দিকটি বিস্তারিত বর্ণনা করে আর পাবলিক দিকটি একটি বাক্যেই ছেড়ে দেয়। নিচের যাচাইগুলো সেই বাক্যটিকে এমন একটি চিত্রে বদলে দেয় যা আপনি রক্ষা করতে পারবেন।
প্রতি সাইটে একটি পাবলিক গন্তব্য অনুসরণ করুন
একটি শাখার হোস্ট বেছে নিন এবং একটি পাবলিক গন্তব্য অনুসরণ করুন, প্রোভাইডারের অন্তর্গত শেষ ঠিকানাটি এবং ইন্টারনেটের অন্তর্গত প্রথম ঠিকানাটি খেয়াল করুন। এই দুটি ঠিকানার মাঝের হপটিই ব্রেকআউট, আর এটি প্রায়ই প্যাকেট পাঠানো সাইটের কাছেও থাকে না। যে ডিভাইসটি এই রূপান্তর ঘটায় সেটি চিহ্নিত করুন, কারণ ওই ডিভাইসেই সেই ফিল্টার থাকে যা ঠিক করে কী বেরোবে। দ্বিতীয় সাইট থেকে একই অনুসরণের পুনরাবৃত্তি করুন এবং এক্সিট ঠিকানাগুলো মেলান, কারণ ইনভয়েসে একই রকম দেখতে দুই শাখা ভিন্ন শহরের ভিন্ন গেটওয়ে দিয়ে বেরোতে পারে।
গন্তব্যটি আসলে যে সোর্স ঠিকানা দেখে সেটিও লিখে রাখুন, কারণ রূপান্তর এমন এক হপে ঘটতে পারে যা আপনি কখনো আঁকেননি। পর্যবেক্ষিত উত্তরগুলো চিত্রে আঁকা উত্তরগুলোর পাশে লিখুন, আর এই দুইয়ের ফাঁকই হলো যেখান থেকে প্রথম ঘটনাটি আসবে। কোনো নির্দিষ্ট সাইটের এক্সিট ঠিকানা দিতে না পারা প্রোভাইডার ইঞ্জিনিয়ার ইতিমধ্যেই আপনাকে নকশা সম্পর্কে একটি কাজের কথা বলে দিয়েছেন।
তিন ধরনের ব্রেকআউট ব্যবস্থা এবং প্রতিটি কী কেন্দ্রীভূত করে
আপনি নিজে চালানো কেন্দ্রীয় এক্সিট পাবলিক ট্রাফিককে আপনার নিজের গেটওয়ের দিকে টেনে আনে, যা আপনাকে ফিল্টারিং নীতি ও লগ দেয়, আর একই সঙ্গে সব সাইটের ভার একটি সার্কিটে জড়ো করে। প্রোভাইডার-চালিত এক্সিট নীতি ও লগকে চুক্তির সীমার ওপারে সরিয়ে দেয়, যা পরিচালনা সহজ করে এবং একই ধাক্কায় আপনার দৃশ্যমানতাও কেড়ে নেয়। প্রতিটি সাইটে এক্সিট পাবলিক ট্রাফিককে স্থানীয় রাখে এবং একই থাকতে হবে এমন নীতি-পৃষ্ঠের সংখ্যা বাড়িয়ে দেয়।
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
তালিকাটিকে মেনু ভাবার আগে জিজ্ঞেস করুন প্রোভাইডার আসলে এই তিনটির কোনটি দেয়, আর জিজ্ঞেস করুন একটি সাইট নতুন সার্কিট ছাড়া কি একটির থেকে অন্যটিতে যেতে পারে। মাইগ্রেশনের উত্তরটি চুক্তিগত আর নিছক প্রযুক্তিগত বিষয়কে আলাদা করে। সোর্স রূপান্তরের মালিক কে তাও লিখে রাখুন, কারণ সেটিই ঠিক করে অংশীদারকে কী অ্যালাউলিস্টে দিতে হবে। শেয়ার্ড গেটওয়ে মানে শেয়ার্ড সক্ষমতা এবং মাঝে মাঝে শেয়ার্ড সুনামও, যা বদলে দেয় অংশীদাররা আপনার ঠিকানাগুলোকে কীভাবে দেখে। সক্ষমতাও নিজের আলাদা প্রশ্ন পাওয়ার যোগ্য, কারণ একটি শেয়ার্ড গেটওয়ে ঠিক সেই মুহূর্তে অন্য গ্রাহকদের সেবা দিচ্ছে।
ফিল্টারিং, রূপান্তর ও এনক্রিপশনের মালিক আলাদা
একটি রুট পৌঁছানোর ক্ষমতা তৈরি করে, ভেতরে কী দেখা হবে সে সম্পর্কে কিছুই বলে না, তাই দুটিকে ভিন্ন মালিকের ভিন্ন প্রশ্ন হিসেবে ধরুন। প্রতিটি ঘোষিত ডিফল্টের জন্য যে ডিভাইস ফিল্টার করে, যে ডিভাইস প্রমাণায়ন করে, যে ডিভাইস রূপান্তর করে এবং যে ডিভাইস পরিদর্শন করে সেগুলো নাম দিন, তারপর প্রতিটি কে পরিচালনা করে তাও নাম দিন। প্রোভাইডারের রুট পৃথকীকরণ বলে না এনক্রিপশন কোথায় শেষ হয়, আর একটি প্রাইভেট সেবা এক সীমায় তার টানেল শেষ করতে পারে যখন পাবলিক ব্রেকআউট অন্যটিতে শেষ হয়। জিজ্ঞেস করুন রূপান্তর প্রোভাইডারের প্রান্তে, শেয়ার্ড গেটওয়েতে নাকি আপনার নিজের এক্সিটে ঘটে, এবং সেশন লগ আছে কি না ও কত দিন থাকে। উত্তরগুলোতে মালিকের সংখ্যা গুনুন, কারণ চারটি কাজের জন্য এক পক্ষের নাম দেওয়া চুক্তি সাধারণত তাদের তিনটিকেই নথিহীন রেখে দেয়।
একটি প্রশস্ত ডিফল্ট রুট প্রাইভেট রাউটিং কনটেক্সটে আমদানি করা একই রকম যাচাই দাবি করে, কারণ আমদানি একটি ইচ্ছাকৃত চুক্তি, নিরীহ সুবিধা নয়। RFC 4364-এর 11 নম্বর অনুচ্ছেদ BGP/MPLS VPN-এর জন্য কয়েকটি ইন্টারনেট-অ্যাক্সেস ব্যবস্থা ধরে ধরে দেখায় এবং VPN কনটেক্সট ও প্রোভাইডারের ডিফল্ট ফরওয়ার্ডিং কনটেক্সটের মধ্যে রুট বিনিময়কে ঠিক সেই ধরনের চুক্তি হিসেবে ধরে। পাবলিক ট্রাফিককে দুর্ঘটনাক্রমে প্রাইভেট পথে যেতে কী বাধা দেয় তা জিজ্ঞেস করুন, আর উত্তরটি স্লাইডে নয়, রুট নীতির পাশেই নিন।
চুক্তি করার আগে একমত হওয়ার মতো দুটি ব্যর্থতার কেস
চুক্তিতে দুটি পরীক্ষা লিখুন: ইন্টারনেট এক্সিট হারানো, এবং একটি প্রাইভেট সংযুক্তি হারানো। প্রত্যেকটির জন্য অভ্যন্তরীণ রিসোর্স, স্থানীয় ইন্টারনেট সেবা এবং যে ম্যানেজমেন্ট পথগুলো চালু থাকতে হবে সেগুলো তালিকাভুক্ত করুন। তারপর যে ফলব্যাকটি নিষিদ্ধই থাকতে হবে তা তালিকাভুক্ত করুন, কারণ কেন্দ্রীয় নিয়ন্ত্রণকে পাশ কাটানো পথ পরিষ্কার বিভ্রাটের চেয়েও খারাপ। দুটি পরীক্ষাই প্রোভাইডারকে দিন এবং তাদের প্রত্যাশিত ফল লিখিতভাবে চান, শনাক্তকরণ ও বিজ্ঞপ্তি সহ।
পাইলট সাইট থেকে একই প্রোব চালান এবং সেগুলোকে ওই লিখিত উত্তরের সঙ্গে মেলান। যেখানে দুটি মেলে না, সেখানে চুক্তিটি আপনি যে নেটওয়ার্ক কিনেছেন তার চেয়ে ভিন্ন একটি নেটওয়ার্কের বর্ণনা দিচ্ছে। দুটি কমান্ড সাধারণ কেসগুলো ঢেকে দেয়: একটি দেখায় একটি পাবলিক গন্তব্য যে পথে যায়, অন্যটি দেখায় সে যে ঠিকানা দেখে।
traceroute -n 203.0.113.10
curl -s https://example.net/ipপ্রাপ্যতার অঙ্গীকারগুলো সেবার নামের সঙ্গে নয়, আপনি যে সেগমেন্ট মেপেছেন তার সঙ্গে যুক্ত করুন। স্থানীয় সার্কিট, প্রোভাইডারের ব্যাকবোন এবং শেয়ার্ড গেটওয়ে আলাদা বাধ্যবাধকতা ও আলাদা এস্কালেশন দল বহন করে। L2VPN, L3VPN ও MPLS অক্ষরগুলো একটি ফরওয়ার্ডিং পদ্ধতি বোঝায়, শেষ থেকে শেষ পর্যন্ত কোনো নিশ্চয়তা নয়।
প্রস্তাবের বিশেষণগুলোকে প্রমাণ হারিয়ে দেয়
রিডান্ড্যান্ট, নিরাপদ ও স্থিতিস্থাপক এর মতো শব্দগুলো নকশা নয়, একটি অভিপ্রায় বোঝায়। বরং ডিভাইসের তালিকা, এক্সিটের অবস্থান, রূপান্তরের স্কিম ও বিজ্ঞপ্তির পথ চান। যে প্রোভাইডার এই চারটি জিনিস দিতে পারে তার একটি নকশা আছে; যে পারে না তার একটি স্লাইড আছে। উত্তরগুলো ইমেইল থ্রেডে নয়, সেবার ডকুমেন্টেশনে রাখুন, এবং প্রতিটি চুক্তি পরিবর্তনের সময় সেগুলো আবার দেখুন।
প্রোভাইডাররা গেটওয়ে একীভূত করার সঙ্গে ব্রেকআউট ব্যবস্থা নিঃশব্দে সরে যায়, তাই তিন বছরের পুরোনো একটি চিত্র দায়। কোনো অংশীদার অপরিচিত সোর্স ঠিকানা জানালে, কয়েক মিনিটের মধ্যে আপনাকে বলতে পারতে হবে এটি আপনার নকশা থেকে এসেছে নাকি কেউ না জানানো কোনো পরিবর্তন থেকে। বিশেষণগুলো নয়, ঠিক এই সামর্থ্যই প্রথম বিভ্রাটের পর টিকে থাকে।