PPP-ভিত্তিক VPN থেকে তার অনুমান না কপিয়ে সরে আসা

একটি VPN মাইগ্রেশন তখনই সম্পূর্ণ, যখন ব্যবহারকারী, গন্তব্য, নাম রিজলিউশন এবং ব্যর্থতার আচরণ সবই এখনও সঠিক থাকে; নতুন ক্লায়েন্ট সবুজ আইকন দেখালে নয়। পুরোনো PPP-ভিত্তিক স্থাপনা এমন অনুমান বহন করে যা কখনও লিখিত হয়নি: একটি শেয়ার্ড সিক্রেট যা একমাত্র পরিচয় যাচাই হিসেবে কাজ করত, একটি নির্দিষ্ট ঠিকানা পুল যা ফায়ারওয়াল অনুমোদিত তালিকায় রাখে, একটি DNS সাফিক্স যা সার্ভার পাঠায়। ওই অনুমানগুলো তালিকাভুক্ত না করে প্রোটোকল বদলালে এমন একটি টানেল তৈরি হয় যা হ্যান্ডশেক সম্পন্ন করে আর এমন সীমানা যা আসলে নেই। নিচের ধাপগুলো আমার ব্যবহৃত ক্রম, আর শেষ ধাপটিই দলগুলো এড়িয়ে যায়।

ধাপ 1: পুরোনো সংযোগ কী দেয় তা তালিকাভুক্ত করুন

ইনভেন্টরি মুখস্থ নয়, লিখে রাখা হয়। সমর্থিত ক্লায়েন্ট, প্রমাণীকরণের ভূমিকা, ঠিকানা পুল, সুরক্ষিত নেটওয়ার্ক, DNS প্রয়োজনীয়তা এবং প্রতিটি ব্যবহারকারী গোষ্ঠীর প্রয়োজনীয় সেবা অনুমতি লিপিবদ্ধ করুন।

L2TP/IPsec-এর ক্ষেত্রে দুই স্তর স্পষ্টভাবে আলাদা করুন। IPsec পিয়ার পরিচয় মেশিনগুলোকে প্রমাণীকরণ করে; PPP ব্যবহারকারীকে প্রমাণীকরণ করে, সাধারণত CHAP বা MSCHAPv2 দিয়ে।

পুরোনো স্থাপনাগুলো ঠিক এই বিভাজনেই তাদের অনুমান লুকিয়ে রাখে। প্রতিটি ক্লায়েন্টের শেয়ার করা একটি প্রি-শেয়ার্ড কী একটি ডিভাইস নয়, একটি গ্রুপকে প্রমাণীকরণ করে, এবং এটি প্রায়ই একমাত্র জিনিস যা কখনও রোটেট হয়েছে। যদি PPP অ্যাকাউন্টই প্রকৃত প্রতি-ব্যবহারকারী নিয়ন্ত্রণ হয়, তাহলে তা বলুন, কারণ প্রতিস্থাপনকে সেই নিয়ন্ত্রণ এমন কিছু দিয়ে পুনরুৎপাদন করতে হবে যা শেয়ার্ড স্ট্রিং নয়। নির্দিষ্ট সোর্স ঠিকানা এবং লোকাল-নেটওয়ার্ক ব্যতিক্রমও নোট করুন, কারণ এগুলোই সেই নির্ভরতা যা ভাঙার আগে কেউ নথিভুক্ত করে না।

ধাপ 2: প্রতিস্থাপনটি সচেতনভাবে নকশা করুন

প্রতিস্থাপন বাছাই মানে প্রয়োজনের সঙ্গে প্রয়োজনের মিল: প্রতিষ্ঠান যে প্রোটোকল ও রক্ষণাবেক্ষিত ক্লায়েন্ট সমর্থন করে, এবং প্রতিটি পরিচয় ও অ্যাক্সেস প্রয়োজনীয়তা বাস্তব কোনও পদ্ধতিতে পৌঁছায়। শেয়ার্ড সিক্রেট স্বয়ংক্রিয়ভাবে প্রতি-ডিভাইস কী বা সার্টিফিকেটের সমান নয়, আর প্রতি-ব্যবহারকারী PPP অ্যাকাউন্ট ডিভাইস সার্টিফিকেটের সমান নয়।

অন্য কিছুর আগে ঠিকানা পরিসর সমন্বয় করুন, কারণ বাসা বা অফিসের LAN-এর সঙ্গে ওভারল্যাপ করা প্রতিস্থাপন পুল এমন ব্যর্থতা তৈরি করে যার সঙ্গে সাইফারের শক্তির কোনও সম্পর্ক নেই। পুরোনো সেবার জন্য তৈরি একই তালিকা এবং নতুন ক্লায়েন্ট ডিফল্টে যা ধরে নেয়, তার বিরুদ্ধে পুলটি যাচাই করুন। সুরক্ষিত নেটওয়ার্কের ফেরত রাউটিং নিশ্চিত করুন, এবং নিশ্চিত করুন নতুন ক্লায়েন্ট পুরোনোটি যে DNS সাফিক্স পাঠাত তা পাঠাতে বা নথিভুক্ত করতে পারে। এই দুটি বিষয়ই প্রোটোকল পরিবর্তনের চেয়ে বেশি মাইগ্রেশন টিকিট তৈরি করে।

ধাপ 3: ধাপে ধাপে চালু করুন এবং অনুমোদন ও অস্বীকৃতি দুটোই যাচাই করুন

একজন প্রতিনিধি ব্যবহারকারী ও একটি প্রতিনিধি অ্যাপ্লিকেশন দিয়ে চালু করুন। পরীক্ষায় প্রাইভেট DNS রিজলিউশন অন্তর্ভুক্ত করুন, কারণ যে টানেল ঠিকানায় পৌঁছায় কিন্তু অভ্যন্তরীণ নাম রিজলভ করতে পারে না, তা অর্ধেকই মাইগ্রেট হয়েছে। প্রত্যাশিত অনুপলব্ধ অবস্থাও অন্তর্ভুক্ত করুন: টানেল পড়ে গেলে কী হওয়া উচিত, এবং ক্লায়েন্ট তা প্রয়োগ করে কি না।

তারপর এমন গন্তব্য পরীক্ষা করুন যা অস্বীকৃতই থাকা উচিত। প্রশস্ত সাময়িক অনুমোদন নিয়ম নতুন টানেলকে সুস্থ দেখাতে পারে, অথচ চুপচাপ সেই অনুমোদন সীমানা সরিয়ে দেয় যা পুরোনো সেবা প্রয়োগ করত, এবং অডিটের আগে কেউ তা লক্ষ্য করে না। একই ক্লায়েন্ট থেকে, একই সেশনে, অনুমোদন ও অস্বীকৃতির ফলাফল পাশাপাশি তুলনা করুন। দুটি কলামই নকশার সঙ্গে মিলে যাওয়া পর্যন্ত পুরোনো সেবা চালু রাখুন।

প্রশাসকের অ্যাক্সেস সরানোর আগে নিশ্চিত করুন যে আপনার কাছে অনুমোদিত পুনরুদ্ধার পথ আছে যা আপনি যে টানেল বদলাচ্ছেন তার উপর নির্ভর করে না।

ধাপ 4: পুরোনো পরিচয় অবসর দিন

পুরোনো পরিচয় সঠিকভাবে অবসর দেওয়া মানে হলো সেবাটি যার মালিক তার মাধ্যমে অপ্রচলিত ব্যবহারকারী ও ডিভাইস ক্রেডেনশিয়াল প্রত্যাহার করা, তারপর কোনও নির্ভরতা না থাকলে পুরোনো প্রোফাইল ও লিসেনার সরিয়ে ফেলা। স্থানীয় ফাইল মুছে ফেলা অন্য কোথাও থাকা কপি প্রত্যাহার করে না, আর পুরোনো শেয়ার্ড সিক্রেট এখনও গ্রহণ করা পুরোনো লিসেনার হলো নজরদারিহীন দরজা।

এই বিন্দুতে একটু ধীর হওয়া উচিত। ল্যাপটপে বাতিল করা ক্লায়েন্ট প্রোফাইল প্রত্যাহৃত ক্রেডেনশিয়াল নয়; ক্রেডেনশিয়াল সার্ভারে থাকে এবং সার্ভার তা গ্রহণ বন্ধ না করা পর্যন্ত বৈধ থাকে। পুরোনো কনফিগারেশনের অন্য কপি খুঁজুন — পরীক্ষার ডিভাইস, ভুলে যাওয়া ফোন, কেউ রেখে দেওয়া ইনস্টলার — এবং লিসেনার বন্ধ করাকে পুরোনো সেবা সত্যিই শেষ হওয়ার মুহূর্ত হিসেবে ধরুন। ততক্ষণ মাইগ্রেশনের দুটি সামনের দরজা আছে।

গ্রহণযোগ্যতার রেকর্ড হলো প্রথম ধাপের ইনভেন্টরি এবং একটি কলাম যোগ করা: নতুন নকশা প্রতিটি সারির জন্য কী করে, এবং আপনি কীভাবে তা যাচাই করেছেন। এটি প্রোটোকল আপগ্রেডকে সাক্ষ্যসহ সেবার প্রয়োজনীয়তায় পরিণত করে।

ফলাফলটিকে প্রোটোকলের নামের বদলে সেবার যা প্রয়োজন তার সঙ্গে বেঁধে রাখুন, কারণ পুরোনো অনুমান কপি করা আধুনিক প্রোটোকল আরও ভালো ফ্রেমিংসহ একই ঝুঁকি। RFC 3193 বর্ণনা করে কীভাবে L2TP IPsec-এর উপর বহন করা হয়, যা মনে করিয়ে দেয় যে দুটি স্তর সর্বদা আলাদা সিদ্ধান্ত ছিল। ইনভেন্টরিতে এমন সারি থাকলে যা আপনি ব্যাখ্যা করতে পারেন না, থামুন এবং কী তার উপর নির্ভর করে তা খুঁজে বের করুন। তালিকাটি একঘেয়ে হলে মাইগ্রেশন শেষ।