strongSwan দিয়ে দ্বৈত-স্ট্যাক IKEv2 ব্যক্তিগত অ্যাক্সেসের পরিকল্পনা

একটি দ্বৈত-স্ট্যাক টানেল এক সিদ্ধান্ত নয়, তিনটি, এবং সেগুলোর উত্তর ভিন্নভাবে দেওয়া যেতে পারে। বহিঃস্থ টানেল কোন পরিবার দিয়ে চলে, ক্লায়েন্ট ভেতরে কোন পরিবারগুলো পায়, এবং সুরক্ষিত সেবাগুলো আসলে কোন পরিবারে উত্তর দেয়। যে নকশা এগুলোকে একটি একক পছন্দ হিসেবে দেখে, সে হয় এমন IPv6 বহন করে যা কখনো দরকার ছিল না, নয় এমন ঠিকানা দেয় যা কোনো কিছু ফিরে রুট করতে পারে না। তিনটিকে আলাদা করুন এবং বাকি কনফিগারেশন প্রায় যান্ত্রিক হয়ে যায়।

তিন ধরনের ঠিকানা, আলাদাভাবে নির্ধারিত

বহিঃস্থ ঠিকানা হলো দুটি গেটওয়ে কীভাবে একে অপরের কাছে পৌঁছায়, এবং ভেতরের ট্রাফিক উভয় পরিবার বহন করলেও এটি IPv4 হতে পারে। ভেতরের ভার্চুয়াল ঠিকানা হলো টানেলের ভেতরে ক্লায়েন্টের পরিচয়, এবং প্রতিটি পরিবারের নিজস্ব পুল দরকার। সুরক্ষিত প্রিফিক্স হলো যা ক্লায়েন্ট পৌঁছাতে পারে, এবং সেগুলো টানেলের নয়, সেবাগুলোর। তৃতীয়টিকে দ্বিতীয়টির সঙ্গে গুলিয়ে ফেলা বেশিরভাগ পরিকল্পনা ত্রুটির কারণ, কারণ দুটোই ব্যক্তিগত রেঞ্জের মতো দেখায়।

শুধু IPv4 বহিঃস্থ পরিবহন এবং দ্বৈত-স্ট্যাক ভেতরের ট্রাফিক একটি স্বাভাবিক ও ভালোভাবে সমর্থিত ব্যবস্থা।

প্রতিটিকে স্পষ্টভাবে নির্ধারণ করুন এবং সিদ্ধান্তগুলো লিখে রাখুন। বহিঃস্থ পথ যদি শুধু IPv4 হয়, তা বলুন এবং IPv6 এন্ডপয়েন্ট নাগাল নিয়ে চিন্তা করা বন্ধ করুন। যদি ভেতরে একটি পরিবার বরাদ্দ করা হয় কিন্তু সেখানে কিছুই উত্তর না দেয়, তাহলে হয় এটি পরিকল্পনা থেকে সরান, নয় ওই সেবাগুলোকে সত্যিকারভাবে দ্বৈত-স্ট্যাক করুন।

প্রতিটি পরিবারে একটি ভার্চুয়াল ঠিকানা বরাদ্দ করুন

swanctl কনফিগারেশনে ক্লায়েন্ট ভার্চুয়াল ঠিকানা চায়, এবং প্রতিটি পরিবারে একটি ওয়াইল্ডকার্ড উত্তরদাতাকে প্রতিটি থেকে একটি বরাদ্দ করতে বলে। উত্তরদাতা সেগুলো পুল থেকে নেয়, এবং পুল হলো গেটওয়ের পেছনের নেটওয়ার্ক থেকে আলাদা বস্তু। পরিকল্পনাতেও সেগুলো আলাদা রাখুন, কারণ কোনো সেবা প্রিফিক্সের সঙ্গে ওভারল্যাপ করা পুল এমন রাউটিং তৈরি করে যা ট্রাফিক অনিচ্ছাকৃত জায়গায় পৌঁছানোর আগ পর্যন্ত সঠিক দেখায়।

যখন দুটোই দরকার তখন উভয় পরিবার চান, আর যখন দরকার নেই তখন একটি চান, কারণ অব্যবহৃত ঠিকানা হলো সুবিধাহীন নীতির পৃষ্ঠতল। নির্দিষ্ট অনুরোধ একটি অনুরোধ, সংরক্ষণ নয়, এবং উত্তরদাতা নিজের নীতি অনুযায়ী ভিন্ন মান ফেরত দিতে পারে। এই খুঁটিনাটি সেখানে গুরুত্বপূর্ণ যেখানে ঠিকানা কোনো ফায়ারওয়াল নিয়ম বা মনিটরিং পরীক্ষায় হার্ডকোড করা থাকে। সংযোগে পুলগুলোকে নাম দিয়ে উল্লেখ করুন এবং সেবা নেটওয়ার্কগুলো তাদের বাইরে রাখুন।

vips = 0.0.0.0, ::

সংক্ষিপ্ত উদাহরণ মান গ্রহণ না করে IPv6 পুলের জন্য নিজের অনন্য-স্থানীয় প্রিফিক্স তৈরি করুন। উদাহরণটি সেটিংয়ের আকৃতি দেখায়, উত্তরাধিকার নেওয়ার ডিফল্ট নয়।

পুল থেকে আলাদাভাবে গন্তব্য বর্ণনা করুন

ট্রাফিক সিলেক্টর বর্ণনা করে প্রতিটি পক্ষ কী বিনিময় করতে চায়, তাই গেটওয়ের স্থানীয় সিলেক্টরগুলো ক্লায়েন্ট পুল নয়, সুরক্ষিত সেবা প্রিফিক্সের নাম দেবে। ক্লায়েন্টের দূরবর্তী সিলেক্টর সেই অভিপ্রায় প্রতিফলিত করে। যখন দুটি তালিকা ভিন্ন বস্তু বর্ণনা করে, তখন টানেল উঠতে পারে এবং তবুও কাজের কিছু বহন করে না।

ওই একই প্রিফিক্সগুলোর জন্য গেটওয়ের নেটওয়ার্কের ভেতরে রিটার্ন রুট এবং অনুমোদিত ফরওয়ার্ডিং দরকার, আপনার সক্রিয় করা প্রতিটি পরিবারের জন্য।

এখানেই একটি ব্যক্তিগত IPv6 পরিকল্পনা যথেষ্ট হওয়া বন্ধ করে। অনন্য-স্থানীয় ঠিকানাকরণ ব্যক্তিগত নাগাল দেয় এবং পাবলিক IPv6 ইগ্রেস তৈরি করে না, তাই যে নকশা ধরে নেয় নম্বরহীন পরিবারটি সহজভাবে IPv4 মাস্কারেডিং নিয়ম অনুসরণ করবে, সে তার ব্যবহারকারীদের হতাশ করবে। যদি পাবলিক IPv6 অ্যাক্সেস প্রয়োজনীয়তার অংশ হয়, তবে এর জন্য একটি রাউটেড পরিকল্পনা এবং একমত একটি আপস্ট্রিম দরকার। অন্যথায় স্পষ্টভাবে বলুন যে IPv6 দিকটি শুধু ব্যক্তিগত, যা লুকানোর সীমাবদ্ধতা নয়, বরং সৎ সীমানা।

DNS এবং রিটার্ন পথকে ইচ্ছাকৃত করুন

নাম রেজোলিউশন পরিবহন অনুসরণ করে না। একটি রেজলভার শুধু IPv4 টানেলের ওপর A এবং AAAA রেকর্ড ফেরত দিতে পারে, এবং ক্লায়েন্ট তখন এমন একটি পরিবার চেষ্টা করবে যার পরিকল্পনা আপনি কখনো করেননি। কোন সেবা নামগুলো ব্যবহারযোগ্য দ্বৈত-স্ট্যাক উত্তর বহন করবে তা নির্ধারণ করুন এবং ওই দুটি পথকেই ইচ্ছাকৃত করুন। যে নাম এমন পরিবারে রিজলভ হয় যার কাজ করা পথ নেই, তা পরিষ্কার ত্রুটি নয়, বরং স্থবিরতা তৈরি করে, আর স্থবিরতা নির্ণয় করা অনেক কঠিন।

বহিঃস্থ এন্ডপয়েন্ট নাগাল আলাদাভাবে নথিভুক্ত করুন, যার মধ্যে আছে কোনো NAT ট্রাভার্সাল জড়িত কি না এবং এটি কোন পরিবার ব্যবহার করে।

তারপর পরিকল্পনাটি ছয় লাইনে লিখুন: বহিঃস্থ এন্ডপয়েন্ট, IPv4 পুল, IPv6 পুল, IPv4 সেবা প্রিফিক্স, IPv6 সেবা প্রিফিক্স, এবং যে রাউটার প্রতিটির উত্তর রাখে। এই আকৃতির পরিকল্পনা রাত তিনটায় একজন অপারেটর যে প্রশ্ন সত্যিই করেন তার উত্তর দেয়। এর চেয়ে ছোট কিছু দ্বৈত স্ট্যাককে শুধু IPv4 নীতির ওপর জোড়া দেওয়া দ্বিতীয় ঠিকানা হিসেবে রেখে দেয়, এবং সাধারণত এভাবেই এটি অর্ধেক কাজ করে।