একটি কোম্পানির ওয়েব অ্যাপ VPN-এর পেছনে সরানো: কাটওভার নির্দেশিকা

ব্যবহারকারীর দিক থেকে পরিবর্তনটি কল্পনা করুন। কেউ একটি বুকমার্কে ক্লিক করে, পরিচিত লগইন পৃষ্ঠা আশা করে, কিন্তু এর বদলে সংযোগ ত্রুটি পায়, কারণ হোস্টনেমটি এখন কেবল টানেলের ভিতরে উত্তর দেয়। ওই একক মুহূর্তেই মাইগ্রেশন পরিকল্পনাকে যা যা সঠিক করতে হবে তা সবই রয়েছে: নাম, পথ, সার্টিফিকেট, অ্যাকাউন্ট এবং তার পেছনের অপারেশন। নিচের ধাপগুলো সেই ক্রমে সম্পন্ন করুন, তাহলে কাটওভার আর লাফ হবে না।

ধাপ 1: ব্যবহারকারীরা আজ কী করেন তা লিখে রাখুন

অ্যাড্রেস বারে হোস্টনেম, পোর্ট, মানুষ যেসব অপারেশন করে এবং যেসব অ্যাকাউন্ট ব্যবহার করে তা দিয়ে শুরু করুন। আপনি যদি শীর্ষ তিনটি অপারেশনের নাম বলতে না পারেন, তবে পাবলিক এন্ট্রি বন্ধ করার জন্য প্রস্তুত নন, কারণ গ্রহণযোগ্যতার সময় একটি ভাঙা অপারেশন আপনি চিনতে পারবেন না।

তারপর নির্ধারণ করুন ব্যক্তিগত দর্শক কারা। কর্পোরেট VPN-এ কর্মচারীরা একটি শুরু, উত্তর নয়। চুক্তিকর্মী, সহায়তা কর্মী এবং অর্থ দল—সবারই অ্যাপ্লিকেশনটির প্রয়োজন হতে পারে এবং সবাই একই গেটওয়ের পেছনে নাও থাকতে পারে।

ধাপ 2: টানেলকে লগইন থেকে আলাদা করুন

ব্যবহারকারী VPN-এর মাধ্যমে অ্যাপ্লিকেশনটিতে পৌঁছালে ব্রাউজার এখনও অ্যাপ্লিকেশনটির নিজস্ব এন্ডপয়েন্টে একটি TLS সংযোগ খোলে। সার্টিফিকেটটি সেই নামের সঙ্গে মিলতে হবে, এবং অ্যাপ্লিকেশনটি এখনও অ্যাকাউন্ট প্রমাণীকরণ করে। টানেলের কিছুই এদের কোনোটিকে প্রতিস্থাপন করে না।

এখানেই মাইগ্রেশন নিঃশব্দে ভুল হয়ে যায়। কেউ সিদ্ধান্ত নেয় ব্যক্তিগত ঠিকানার আর বৈধ সার্টিফিকেট দরকার নেই, ব্যবহারকারীরা সতর্কবার্তা উপেক্ষা করে এগিয়ে যেতে শেখে, এবং প্রতিষ্ঠান নিরাপত্তা সতর্কতা উপেক্ষা করার প্রশিক্ষণ কর্মসূচির বিনিময়ে একটি পাবলিক এক্সপোজার বদলে ফেলে। অ্যাপ্লিকেশনটির সত্যিই অভ্যন্তরীণ সার্টিফিকেট দরকার হলে অভ্যন্তরীণ কর্তৃপক্ষ থেকে একটি ইস্যু করুন এবং বিশ্বাস যথাযথভাবে বিতরণ করুন। এটি নিয়ন্ত্রিত পরিবর্তন; সতর্কবার্তা পৃষ্ঠা নয়।

অনুমোদন যেখানে আগে থেকেই আছে সেখানেই রাখুন। NIST-এর জিরো-ট্রাস্ট আর্কিটেকচার সারসংক্ষেপ বিষয়টি সরাসরি তুলে ধরে: নেটওয়ার্ক অবস্থান কোনো সংবেদনশীল অপারেশন দেওয়ার কারণ নয়। টানেলের ভিতরে থাকা শুধু-পাঠ অ্যাকাউন্টকে প্রশাসকে পরিণত করা উচিত নয়।

ধাপ 3: যারা কর্মচারী নন এমন কলকারীদের খুঁজুন

অ্যাপ্লিকেশনটির কনফিগারেশন খুলুন এবং এর সঙ্গে কথা বলে এমন সবকিছুর তালিকা করুন: পরিচয় প্রদানকারীর কলব্যাক URL, পেমেন্ট প্রদানকারীর ওয়েবহুক, একটি নির্ধারিত আমদানি, একটি মনিটরিং প্রোব, একটি অংশীদারের API ক্লায়েন্ট। প্রত্যেকটি মালিকসহ একটি নির্ভরতা, এবং প্রত্যেকটি ভিন্ন মুহূর্তে ভাঙবে।

যেটি থাকতেই হবে তার প্রত্যেকটির জন্য একটি সমর্থিত পথ নির্ধারণ করুন। একটি ওয়েবহুক প্রদানকারী আপনার কর্মচারী VPN-এ যোগ দিতে পারে না, তাই হয় নিজস্ব প্রমাণীকরণসহ সংকীর্ণ পরিসরের একটি ইন্টিগ্রেশন এন্ডপয়েন্ট উন্মুক্ত করুন, নয়তো ইন্টিগ্রেশন মডেল পরিবর্তন করুন। একটি কলব্যাক আছে বলে পুরো অ্যাপ্লিকেশন পাবলিক রাখা একটি পছন্দ, এবং সাধারণত ভুল পছন্দ।

প্রতিটি ব্যতিক্রম গন্তব্য, অনুমোদিত অপারেশন, প্রমাণীকরণ এবং মালিকসহ লিখে রাখুন। একটি ইন্টিগ্রেশনকে দেওয়া সাধারণ VPN অ্যাকাউন্টই ব্যতিক্রমকে স্থায়ী করে তোলে। পরবর্তী অ্যাক্সেস পর্যালোচনায় তালিকাটি দেখুন, কারণ ইন্টিগ্রেশনগুলো তাদের যোগ করা প্রকল্পের চেয়ে বেশি দিন বাঁচে। মেয়াদ শেষের তারিখ ছাড়া ব্যতিক্রম এমন একটি স্থায়ী নকশা সিদ্ধান্ত যা কেউ নেয়নি।

ধাপ 4: কেবল DNS রেকর্ড নয়, পাবলিক রুটটি অবসর দিন

প্রকাশনা শৃঙ্খল ধরে হাঁটুন: DNS, লোড ব্যালেন্সার লিসেনার, রিভার্স প্রক্সি নিয়ম, হোস্ট ফায়ারওয়াল, এবং পুরোনো ঠিকানায় এখনও নির্দেশ করে এমন যেকোনো বিকল্প নাম। উভয় ঠিকানা পরিবার পরীক্ষা করুন। মূল A রেকর্ড পরিবর্তন প্রায় কিছুই প্রমাণ করে না যদি পুরোনো CNAME বা IPv6 লিসেনার এখনও অ্যাপটি পরিবেশন করে।

সমান্তরালভাবে নিশ্চিত করুন যে ব্যক্তিগত নামটি টানেলের ভিতরে রিজলভ হয় এবং সার্টিফিকেটটি ব্যবহারকারীরা যে নাম টাইপ করবেন তা কভার করে। যে ব্যবহারকারীকে সংখ্যাসূচক ঠিকানা পেস্ট করতে হয় সে একটি লক্ষণ খুঁজে পেয়েছে, সমাধান নয়।

VPN দর্শককে অ্যাপ্লিকেশন পথে সীমাবদ্ধ করুন। অফিস নেটওয়ার্কে বিস্তৃত প্রবেশাধিকার একটি এক্সপোজার সিদ্ধান্তকে আরও বড় একটি দিয়ে বদলে দেয়, এবং প্রশাসনিক ইন্টারফেসের ব্যবহারকারী নিয়ম উত্তরাধিকার না নিয়ে নিজস্ব অনুমোদিত উৎস দরকার।

ধাপ 5: গ্রহণযোগ্যতা নিজেই হাঁটুন

অনুমোদিত ব্যবহারকারী হিসেবে সংযোগ করুন, বুকমার্ক খুলুন, সার্টিফিকেট পরীক্ষা করুন, লগইন করুন এবং একটি বাস্তব অপারেশন সম্পাদন করুন। তারপর এমন একটি অ্যাকাউন্ট দিয়ে চেষ্টা করুন যার ওই অপারেশন থাকা উচিত নয় এবং নিশ্চিত করুন যে এটি প্রত্যাখ্যাত হয়। তারপর VPN-এর বাইরের ডিভাইস থেকে চেষ্টা করুন এবং নিশ্চিত করুন যে অ্যাপ্লিকেশনটিতে পৌঁছানো যায় না।

প্রতিটি সংরক্ষিত ইন্টিগ্রেশনের জন্য পুনরাবৃত্তি করুন, এবং নিজের পরীক্ষার সরঞ্জামের 200-কে একই জিনিস ধরে নেওয়ার বদলে প্রদানকারীর ডেলিভারি লগ পড়ুন। সফল VPN লগইন এই ফলাফলগুলোর কোনোটিরই প্রমাণ নয়।

ধাপ 6: খারাপ দিনের মহড়া দিন

টানেল বিভ্রাটের সময় কী হবে তা নির্ধারণ করুন: কাজ থেমে যায়, নাকি অন্য একটি অনুমোদিত প্রবেশ পদ্ধতি দায়িত্ব নেয়। যা-ই বেছে নিন, লিখে রাখুন এবং একবার পরীক্ষা করুন, কারণ অনথিভুক্ত পুনরুদ্ধার ব্যবস্থা হিসেবে জরুরি পাবলিক পুনরায় খোলা শেষে চাপের মধ্যে থাকা কেউ করবেই।

গেটওয়ে ও অ্যাপ্লিকেশন রক্ষণাবেক্ষণকারী প্রশাসকদের জন্য মালিক ও অপসারণের তারিখসহ পুনরুদ্ধার প্রবেশাধিকার রাখুন। পরিবর্তনটি এবং এর প্রত্যাবর্তনের শর্ত একই জায়গায় নথিভুক্ত করুন, যাতে ব্যর্থ মাইগ্রেশন যারা এটি ঠিক করবে তাদের বাইরে আটকে না দেয়।

কাটওভারের পরেও প্যাচিং, অ্যাকাউন্ট জীবনচক্র, অ্যাপ্লিকেশন অনুমোদন এবং নিরীক্ষা আপনারই দায়িত্ব। টানেল প্রবেশপথ সংকীর্ণ করেছে; এই কাজগুলোর কোনোটিই নিজে নেয়নি।