কখন সাইট-টু-সাইট VPN-এর ভিতরে NAT তার জায়গা পায়

দুটি সাইট একই প্রাইভেট রেঞ্জ ব্যবহার করে, এবং টানেল উঠে আসে অথচ এর ভিতর দিয়ে কোনো উপকারী কিছু যায় না। অনুবাদই স্বাভাবিক উত্তর, এবং এটি সত্যিকারের উত্তর: দূরের দিকে ভিন্ন একটি রেঞ্জ উপস্থাপন করলে একটি ওভারল্যাপ বা এমন রিটার্ন পাথ সমাধান হতে পারে যা অন্য নেটওয়ার্ক রাউট করতে পারে না। যে অংশটি বাদ পড়ে তা হলো, অনুবাদ প্রতিটি পরবর্তী সিদ্ধান্ত যে ঠিকানাগুলো দেখে সেগুলো বদলে দেয়। এটিকে লিখিত ম্যাপিংসহ নথিভুক্ত ডিজাইন সিদ্ধান্ত হিসেবে ধরুন, পিং সফল না হওয়া পর্যন্ত যোগ করা নিয়ম হিসেবে নয়।

কোন ঠিকানা পুনর্লিখন হবে তা ঠিক করুন

সোর্স অনুবাদ বদলে দেয় দূরের সার্ভিস ও তার লগ কাকে ক্লায়েন্ট হিসেবে দেখে, তাই একটি শাখা হোস্ট আগমনের সময় গেটওয়ে ঠিকানা হয়ে যায়। ডেস্টিনেশন বা প্রিফিক্স অনুবাদ বরং একটি দূরবর্তী রিসোর্সের জন্য বিকল্প ঠিকানা উপস্থাপন করে। কিছু স্থাপনার দুই দিকেই সমন্বিত অনুবাদ দরকার হয় দুইটি অন্যথায় অভিন্ন নেটওয়ার্ক আলাদা করতে, আর বেশিরভাগ বিভ্রান্তি শুরু হয় এই সমন্বয় থেকেই।

অনুবাদের আগে সোর্স, অ্যাপ্লিকেশন যেভাবে নাম দেয় সেইভাবে ডেস্টিনেশন, এবং প্রতিটি গেটওয়ে যে ঠিকানা জোড়ার সাথে মেলে তা লিখে রাখুন। তিনটি কলামই যথেষ্ট, আর তৃতীয় কলামটিই মানুষ বাদ দেয়।

সিলেক্টরের ক্রমও গুরুত্বপূর্ণ। IPsec নীতিমালার নির্বাচন ও অনুবাদ নির্দিষ্ট ধাপে ঘটে, তাই অনুবাদের আগের ঠিকানার জন্য লেখা সিলেক্টর আপনার ধরে নেওয়া ধাপে প্যাকেটের সাথে কখনোই মিলতে নাও পারে। যে নীতিমালা ইনস্টল করা আছে তা যাচাই করুন, যা ইনস্টল করার ইচ্ছা করেছিলেন তা নয়, কারণ দুটো ঠিক তখনই আলাদা হয় যখন একটি উপাদান নিয়ম গ্রহণ করে আর অন্যটি তা উপেক্ষা করে:

ip xfrm policy show
ip xfrm state show
nft list ruleset | grep -A4 nat

পেলোড ও রিটার্ন পাথ অনুসরণ করুন

যে সার্ভার আলাদা শাখা হোস্টের বদলে অনূদিত সোর্স লগ করে, সেটি মূল ঠিকানা-ভিত্তিক যেকোনো নিয়ম বা রিপোর্ট ভেঙে দেবে। ম্যাপিং বদলানোর আগে খুঁজে বের করুন নিচের দিকে কোনো কিছু ওই ফিল্ড থেকে সিদ্ধান্ত নেয় কি না: অ্যাক্সেস তালিকা, অডিট রিপোর্ট, রেট লিমিট, লাইসেন্স যাচাই। এর প্রত্যেকটি এমন জায়গা যেখানে অনুবাদ পরে ব্যাখ্যাহীন ব্যর্থতা হিসেবে উঠে আসে।

যেসব প্রোটোকল নিজের পেলোডের ভিতরে ঠিকানা বহন করে তাদের আলাদা পরিকল্পনা দরকার, কারণ বাইরের হেডার পুনর্লিখন ভিতরের রেফারেন্স স্পর্শ করে না। অ্যাক্টিভ FTP, SIP এবং কিছু রিমোট-অ্যাক্সেস পণ্য ক্লাসিক উদাহরণ, আর এগুলো উপেক্ষা করা ডিজাইন ওয়েব ট্রাফিকে কাজ করবে কিন্তু যে অ্যাপ্লিকেশনটি গুরুত্বপূর্ণ ছিল সেখানে ব্যর্থ হবে।

রিটার্ন ট্রাফিক নির্ভর করে স্টেটফুল ম্যাপিংয়ের ওপর। গেটওয়ে ফেইলওভার সেই স্টেট হারাতে পারে, অ্যাসিমেট্রিক রাউটিং তা এড়িয়ে যেতে পারে, এবং রিস্টার্ট তা মুছে ফেলতে পারে যখন দূরের দিকে সেশন খোলা থাকে। এজন্যই গন্তব্যে পৌঁছানো একটি রিকোয়েস্ট আর সম্পন্ন হওয়া একটি সেশন দুটি ভিন্ন গ্রহণযোগ্যতার ফলাফল।

সাইট পুনঃসংখ্যায়নের সাথে এটি তুলনা করুন

একটি সংঘর্ষকারী সাইট পুনঃসংখ্যায়ন করলে ম্যাপিং সম্পূর্ণ মুছে যায় এবং এমন ঠিকানা পরিকল্পনা থাকে যা অনুবাদ সারণি ছাড়াই পড়া যায়। এটি পরিচালনাগতভাবে ব্যয়বহুল: DNS রেকর্ড, স্ট্যাটিক অ্যাসাইনমেন্ট, ফায়ারওয়াল নিয়ম এবং প্রতিটি নথিভুক্ত ঠিকানা একসাথে বদলাতে হয়। খরচ একবারেই আসে, পরিকল্পিত উইন্ডোতে, স্পষ্ট চূড়ান্ত অবস্থাসহ। আপনি যা কিনছেন তা হলো বছরের পর বছর পরে লুকআপ টেবিল ছাড়াই প্যাকেট ক্যাপচার পড়ার ক্ষমতা।

অনুবাদ বেশিরভাগ স্থানীয় পরিবর্তন এড়ায় এবং এমন একটি ম্যাপিং তৈরি করে যা DNS, ডকুমেন্টেশন ও সমস্যা সমাধানে চিরকাল রক্ষণাবেক্ষণ করতে হয়। খরচ আসে অবিরাম, ভবিষ্যতের প্রতিটি ইঞ্জিনিয়ারের রূপে, যাকে শিখতে হবে যে একটি প্রিফিক্স টানেলের ভিতরে অন্য কিছু বোঝায়।

সাময়িক সংযোগ বা অংশীদার নেটওয়ার্কের জন্য যা আপনি নিয়ন্ত্রণ করেন না, অবিরাম খরচ সাধারণত দেওয়ার মতোই। দুটি সাইটের জন্য যা আপনার মালিকানায় আছে এবং বছরের পর বছর থাকবে, মাইগ্রেশন সৎভাবে হিসাব করলে পুনঃসংখ্যায়নই প্রায়শই সস্তা সিদ্ধান্ত।

একটি বাস্তব সেশনে দুই দিকই প্রমাণ করুন

একক প্রোবের বদলে একটি অ্যাপ্লিকেশন সেশন পরীক্ষা করুন। সফল ইকো রিকোয়েস্ট প্রমাণ করে একটি প্রোটোকলের একটি দিক কাজ করে, এবং এটি এমন রিটার্ন পাথের সাথে সম্পূর্ণ সামঞ্জস্যপূর্ণ যা স্টেটফুল যেকোনো কিছুর জন্য ব্যর্থ হয়। যে সার্ভিসটি ডিজাইনকে প্রেরণা দিয়েছে সেটিই ব্যবহার করুন, এবং দূরের প্রান্তে তার লগ পড়ে দেখুন কোন সোর্স ঠিকানা লিপিবদ্ধ হয়েছে।

tcpdump -ni any host 10.40.9.20 and port 443
conntrack -L | grep 10.40.9.20
ip route get 10.40.9.20

তারপর নিশ্চিত করুন ম্যাপিংয়ের ওপর দিয়ে কেবল অভীষ্ট সার্ভিসগুলোই পৌঁছানো যায়। অনুবাদ ঠিকানাকরণ বদলায় আর অনুমোদনের ব্যাপারে কিছুই করে না, তাই ফায়ারওয়াল নীতিমালাই ঠিক করে কী অনুমোদিত। যে ডিজাইন অস্পষ্ট অনূদিত প্রিফিক্সকে অ্যাক্সেস কন্ট্রোল হিসেবে ভরসা করে তার আদৌ কোনো অ্যাক্সেস কন্ট্রোল নেই।

ম্যাপিং, পরীক্ষিত সেশন এবং প্রতিটি পক্ষ যে ঠিকানাগুলো পর্যবেক্ষণ করেছে তা নথিভুক্ত করুন। এই টানেল ডিবাগ করতে যাওয়া পরবর্তী ব্যক্তির কনফিগারেশন ফাইলের চেয়ে ওই তিনটি তথ্যই বেশি দরকার।