4G-তে শাখা VPN: IP সরে গেলেও পরিচয় স্থির রাখুন

শাখা থেকেই শুরু করুন, 4G রাউটারের WAN স্টেটাস পেজে। আপনি যে ঠিকানাটি দেখছেন সেটি যদি পাবলিক রেঞ্জের বদলে ক্যারিয়ারের প্রাইভেট রেঞ্জে থাকে, তবে ওই বাক্সে কোনো পোর্ট ফরওয়ার্ডই হাবকে ভেতরে ডায়াল করতে দেবে না, এবং টানেলটি শাখা থেকে বাইরের দিকে তৈরি করতে হবে। এই একটি পর্যবেক্ষণই নকশা নির্ধারণ করে। বাকি কাজ হলো হাব যেন শাখাকে কয়েক ঘণ্টা পরপর বদলে যাওয়া ঠিকানার চেয়ে ভালো কিছু দিয়ে চিনতে পারে তা নিশ্চিত করা।

টানেল কোথা থেকে শুরু হতে হবে

ঠিকানাটি ক্যারিয়াররা নিজেদের NAT-এর জন্য ব্যবহার করা শেয়ার্ড অ্যাড্রেস স্পেস, 100.64.0.0/10, এবং সাধারণ প্রাইভেট রেঞ্জের সঙ্গে মিলিয়ে দেখুন। মোবাইল আপলিংকে এর মধ্যে একটি দেখা সাধারণত বোঝায় যে ক্যারিয়ার-গ্রেড NAT শাখা ও ইন্টারনেটের মাঝে বসে আছে, এবং ইনবাউন্ড সংযোগ শাখা যে দাম দিতে পারে তার যেকোনো মূল্যেই পাওয়া যাবে না। WAN ঠিকানা পাবলিক কিন্তু পরিবর্তনশীল হলে আপনার সমস্যা অন্য এবং সহজতর।

ডাইনামিক DNS কেবল দ্বিতীয় ক্ষেত্রেই সাহায্য করে। এটি পরিবর্তনশীল পাবলিক ঠিকানাকে ডায়াল করার জন্য একটি স্থির নাম দেয়, এবং ক্যারিয়ার যে ম্যাপিং কখনো দেয়নি তা এটি তৈরি করতে পারে না। পাবলিক ক্ষেত্রের জন্য এটি তবুও কনফিগার করা উচিত, কারণ এটি পুনঃসংখ্যায়নের একমাত্র হাতে করা ধাপটি সরিয়ে দেয়। তবে এটি এমন শাখার উত্তর হয়ে ওঠা উচিত নয় যা ক্যারিয়ার শুরুতেই পৌঁছনীয় করেনি।

আপনি যে ঠিকানায় ডায়াল করেন এবং যে পরিচয়ে মিল করেন তা আলাদা করুন

হাবের প্রয়োজন এমন একটি স্থির জিনিস যা দিয়ে তাকে খুঁজে পাওয়া যায়—অনুমোদিত নির্দিষ্ট ঠিকানা বা রক্ষণাবেক্ষণ করা হোস্টনেম। শাখার প্রয়োজন চেনা হওয়ার একটি স্থির উপায়, আর IKEv2-তে সেটি হলো প্রমাণীকরণের সময় তার উপস্থাপিত পরিচয় পেলোড, তার প্যাকেট যে সোর্স ঠিকানা বহন করে তার থেকে স্বাধীন। @branch-a.vpn.example-এর মতো একটি স্ট্রিং মোবাইল ঠিকানা ঘণ্টায় ঘণ্টায় বদলালেও ওই পরিচয় হিসেবে কাজ করে।

সেই স্ট্রিং নীতির সঙ্গে মেলানো হয়, DNS দিয়ে রিজলভ করা হয় না, তাই টানেল সেটআপে কোনো লুকআপ ঘটবে বলে ভাববেন না। হাবের কনফিগারেশনে প্রত্যাশিত পরিচয় স্পষ্টভাবে উল্লেখ করতে হবে, এবং সার্টিফিকেট প্রমাণীকরণে পরিচয়টিকে সার্টিফিকেট আসলে যা দাবি করে তার সঙ্গেও মিলতে হবে।

সোর্স ঠিকানা বিশ্বাসযোগ্য দেখায় বলে যেকোনো পরিচয় গ্রহণ করা হলো সেই ব্যর্থতার ধরন যা এড়াতে হবে। রেসপন্ডারের ক্ষেত্রে এর অর্থ হলো পরিচয় ওয়াইল্ডকার্ড ও শেয়ার্ড সিক্রেট দিয়ে যেকোনো পিয়ার গ্রহণ করা, যা ডিভাইসের বদলে একটি স্ট্রিং প্রমাণীকরণ করে।

হাবের দিকটি নামযুক্ত পিয়ার হিসেবে লিখুন

strongSwan-এর পরিভাষায় রেসপন্ডারের দিক হলো right=%any সহ একটি সংযোগ, যা যেকোনো সোর্স ঠিকানা থেকে পিয়ার গ্রহণ করে, সঙ্গে [email protected], যা ওই পিয়ারকে কে হিসেবে দাবি করতে হবে তা পিন করে। শাখার LAN-গুলোর জন্য rightsubnet=10.20.0.0/16, সংযোগটি ডায়াল না হয়েই লোড হওয়ার জন্য auto=add, সজীবতার জন্য dpd_delay=30s, এবং ঠিকানা পরিবর্তন নতুন পিয়ার হিসেবে না ধরে শুষে নেওয়ার জন্য mobike=yes যোগ করুন।

অন্য ভেন্ডররা একই বস্তুকে ভিন্ন নামে প্রকাশ করে, সাধারণত পরিচয় ফিল্ড ও সুরক্ষিত সাবনেট ফিল্ডসহ একটি ডাইনামিক বা শাখা-অফিস পিয়ার ধরন। দুটোই পূরণ করুন; একটি সাধারণ ডাইনামিক চেকবক্স সামঞ্জস্যের পরিকল্পনা নয়।

শাখাকে উদ্যোক্তা রাখুন

শাখায় এর প্রতিবিম্ব প্রযোজ্য: স্থানীয় মোবাইল ঠিকানা যেমন আছে তেমন ব্যবহারের জন্য left=%defaultroute, পরিচয় উপস্থাপনের জন্য [email protected], স্থির হাব নামের জন্য right=hub.example.com, এবং মানুষ ছাড়াই টানেল ওঠার জন্য auto=start। মোবাইল লিংক আবার যুক্ত হলে শাখা আবার উদ্যোগ নেয় এবং হাব একই পরিচয়কে একই নীতি বস্তুর সঙ্গে মেলায়।

উভয় পাশে UDP 500-এ IKE, UDP 4500-এ NAT ট্রাভার্সাল এবং তার পরের এনক্যাপসুলেটেড ESP অনুমোদন করুন। তারপর সেগুলো অনুমোদিত রাখুন: কেবল অফিস সময়ে খোলা নিয়ম একটি বিরতিহীন টানেলের মতো দেখাবে।

ঠিকানা পরিবর্তন পরীক্ষা করুন, কেবল প্রথম হ্যান্ডশেক নয়

টানেল তুলুন, নিশ্চিত করুন, তারপর এক মিনিটের জন্য মোবাইল ডেটা বা এয়ারপ্লেন মোড টগল করে শাখাকে নতুন ঠিকানায় বাধ্য করুন। হাবের সিকিউরিটি অ্যাসোসিয়েশন তালিকা দেখুন এবং যাচাই করুন যে পিয়ার ঠিকানা বদলেছে কিন্তু পরিচয় বদলায়নি। যে টানেল কেবল ক্যারিয়ারের প্রথম পুনঃনিয়োগ পর্যন্ত চলে, সেটি আদৌ পরীক্ষিত হয়নি।

তারপর সুরক্ষিত সাবনেটগুলো আলাদাভাবে দেখুন। প্রতিষ্ঠিত SA বলে পিয়াররা প্রমাণীকৃত হয়েছে; এটি বলে না যে হাবের শাখা LAN-এ কোনো রুট আছে বা শাখা হাবের দিক থেকে ট্রাফিক গ্রহণ করে। রাউটিং টেবিল ও ফায়ারওয়াল নীতি আলাদাভাবে পড়ুন, তারপর গেটওয়ে থেকে নয়, একটি হোস্ট থেকে ping পাঠান, কারণ গেটওয়ে যেকোনো নেটওয়ার্কের সবচেয়ে কম প্রতিনিধিত্বকারী ডিভাইস।

স্থির পরিচয় শাখাকে হাবের নাম দেওয়ার মতো একটি নীতি বস্তুতে পরিণত করে। এটি ক্যারিয়ার-NAT ঠিকানাকে পৌঁছনীয় করে না, এবং নিজে থেকে সংস্থার বাকি অংশকে শাখায় প্রবেশাধিকার দেয় না।