VPN ক্লায়েন্টের জন্য পাবলিক প্রিফিক্স: আসলে কী ভাঙে

সংখ্যাগুলো গোছানো দেখায় বলে বেছে নেওয়া ক্লায়েন্ট পুল হলো এমন একটি রুট যা ইনস্টল হওয়ার অপেক্ষায় আছে। VPN কাজ করার জন্য প্রিফিক্সটি প্রাইভেট হতে হবে না, আর অন্যের মালিকানাধীন ব্লক ব্যবহার করলে আপনার ব্যবহারকারীরা স্বয়ংক্রিয়ভাবে ইন্টারনেটে উন্মোচিতও হয় না। এটি যা করে তা হলো, টানেল চালু থাকা পর্যন্ত ওই ঠিকানাগুলোকে ভিন্ন কিছু বোঝায়, আর টানেল পড়ে গেলে আবার অন্য কিছু বোঝায়। নিচের পাঁচটি যাচাই ক্রমানুসারে করুন এবং যেখানে উত্তর «অন্যত্র বরাদ্দ» সেখানেই থামুন।

বরাদ্দ ঘোষণা নয়

টানেল ইন্টারফেসে একটি ঠিকানা বসানো এটি ইন্টারনেটে ঘোষণা করে না। পাবলিক রিচেবিলিটির জন্য একটি রুট, একটি অনুমোদিত পথ এবং এটি বহন করতে ইচ্ছুক একটি প্রোভাইডার দরকার, আর কোনো ক্লায়েন্ট পুল থেকে ঠিকানা পাওয়ায় এর কোনোটিই দেখা যায় না। ফায়ারওয়াল নীতি ও হোস্ট অনুমোদন আবার আলাদা সিদ্ধান্ত।

এই কারণেই ঝুঁকিটি বেশিরভাগ মানুষ যা ধরে নেন তা নয়। ধার করা প্রিফিক্স আপনার ক্লায়েন্টদের নাগালে আনে না; এটি অন্য কারও গন্তব্যগুলোকে আপনার ক্লায়েন্টদের কাছ থেকে নাগালের বাইরে নিয়ে যায়, যা ভিন্ন মালিকানার ভিন্ন ব্যর্থতা। কেউ আক্রান্ত হয় না এবং কোনো ঘোষণা বেরিয়ে যায় না। ব্যবহারকারী কেবল গতকাল কাজ করা একটি সাইট খুলতে পারেন না, আর হেল্পডেস্কের VPN পুল সন্দেহ করার কোনো কারণ নেই।

পুল বাছাই করার সময় এই পার্থক্যটি গুরুত্বপূর্ণ। যদি আপনার একমাত্র চিন্তা ইন্টারনেটে উন্মোচন হতো, তবে পাবলিক ব্লক নিরাপদ মনে হতো, কারণ এটি কেউ ঘোষণা করে না। চিন্তাটি হলো ওই প্রিফিক্সের জন্য ক্লায়েন্ট যে লোকাল রুট ইনস্টল করে, আর অন্য কেউ এটি দেখুক বা না দেখুক, রুটটি ইনস্টল হয়।

ক্লায়েন্ট রুট আসলে কী ধরে

টানেল উঠলে ক্লায়েন্ট পুলের প্রিফিক্সের জন্য একটি রুট পায়, আর সেই রুটটি তার ভেতরের প্রতিটি গন্তব্যের জন্য ডিফল্ট রুটকে হারিয়ে দেয়। ওই ব্লকের একটি বৈধ হোস্টে অনুরোধ এখন ইন্টারনেটের বদলে VPN-এ যায়। এটি ব্যর্থ হয়, আটকে যায় বা ভুল সার্ভারে পৌঁছায় কিনা তা নির্ভর করে আপনার দিকটি এটি দিয়ে কী করে তার উপর।

ip route get 198.51.100.20
ip -br addr show tun0
traceroute -n 198.51.100.20

টানেল চালু রেখে লুকআপটি চালান, তারপর বন্ধ করেও। প্রথম ক্ষেত্রে ঠিকানাটির একটি অর্থ, দ্বিতীয় ক্ষেত্রে সম্পূর্ণ ভিন্ন অর্থ, আর যে কোনো অ্যাপ্লিকেশন যা সেই পরিবর্তনের সময় একটি সংযোগ বা নাম-রেজলিউশন ক্যাশ করেছে সে অসঙ্গতভাবে আচরণ করবে। এই অসঙ্গতি পরিষ্কার ব্যর্থতার চেয়ে সমর্থন করা কঠিন, কারণ এটি সময়ের উপর নির্ভর করে। ভুল মুহূর্তে পুনরায় সংযোগ করা ব্যবহারকারী যে সংযোগ করে না তার চেয়ে ভিন্ন অভিজ্ঞতা পান।

এই কারণেও পরিচিত একটি IP ঠিকানা পরিচয়ের প্রমাণ নয়। আসল গন্তব্যের জন্য সার্টিফিকেট ও সার্ভার-নাম যাচাই রাখুন, কারণ পাঁচ মিনিট আগে আপনি যে সাংখ্যিক ঠিকানায় পৌঁছেছিলেন সেটি এখন ভিন্ন একটি কথোপকথনের হতে পারে।

আপনার জানা প্রতিটি নেটওয়ার্কের সঙ্গে পুলটি তুলনা করুন

RFC 1918 প্রাইভেট ব্যবহারের জন্য তিনটি ব্লক আলাদা রাখে: 192.168.0.0/16, 172.16.0.0/12 এবং 10.0.0.0/8। লক্ষ লক্ষ আলাদা সংস্থা সেগুলো পুনরায় ব্যবহার করে, তাই প্রাইভেট হলো বরাদ্দ সম্পর্কে একটি বিবৃতি, এবং কখনোই এই প্রতিশ্রুতি নয় যে অন্য কেউ একই সংখ্যা বেছে নেয়নি।

প্রার্থী পুলটি অফিস LAN, ক্লাউড VPC, অন্য VPN পুল, পার্টনার লিঙ্ক এবং দূরবর্তী কর্মীদের বাড়িতে থাকার সম্ভাব্য রেঞ্জের সঙ্গে তুলনা করুন। বাড়ির ক্ষেত্রটি অদ্ভুত প্রিফিক্স উদ্ভাবনের কারণ নয়; এটি পুলটি ছোট ও নথিভুক্ত রাখার কারণ।

রাউটিংয়ের মালিকের সঙ্গে বরাদ্দটি সমন্বয় করুন এবং ফেরত পথটি একই জায়গায় লিপিবদ্ধ করুন। যে পুলে কেউ ফিরতি রুট দিতে পারে না, সেটি এমন পুল যা বিভ্রাটের সময় আবার আবিষ্কৃত হবে। পুলটি সাইট রেঞ্জের সঙ্গে একই নথিতে রাখুন, এমন ক্লায়েন্ট কনফিগারেশনে নয় যা কেবল একজন মানুষ সম্পাদনা করেছেন। নথিটিই পরবর্তী সংঘর্ষ এড়ানো সম্ভব করে।

কখন পাবলিক ঠিকানাকরণ সঠিক উত্তর

সঠিকভাবে বরাদ্দ করা গ্লোবাল স্পেস থাকা সংস্থাগুলো নিশ্চয়ই পাবলিক-ঠিকানার VPN পুল তৈরি করতে পারে, আর কেউ কেউ অনুবাদ এড়াতে সচেতনভাবেই তা করে। সেই নকশার তবুও রাউটিং, উৎস যাচাই, অ্যাক্সেস নিয়ম ও ক্লায়েন্ট প্রমাণীকরণ দরকার; বরাদ্দ এগুলোর কোনোটিই দেয় না।

এটি যা দেয় তা হলো অনন্যতা, যে বৈশিষ্ট্যটি ধার করা প্রিফিক্সে নেই। ব্লকটি আপনার হাতে থাকলে, আপনার ক্লায়েন্ট যে রুট ইনস্টল করে তা সত্যিই আপনার ঠিকানার দিকে ইঙ্গিত করে, আর টানেল পড়ে গেলেও অর্থ বদলায় না।

পুল বাছাইয়ের ক্ষতিপূরণে স্বয়ংক্রিয়ভাবে NAT যোগ করবেন না। স্পষ্ট ফেরত রুটসহ রাউটেড প্রাইভেট নকশা, ঠিকানাকরণ কখনো পরিকল্পনা করা হয়নি বলে প্রয়োগ করা অনুবাদের চেয়ে পরিচ্ছন্ন, আর IPv6-এর IPv4 অনুমানের অনুলিপি নয়, নিজস্ব সচেতন পরিকল্পনা দরকার।

অ্যাক্সেস না হারিয়ে খারাপ পুল অবসর দিন

পুলটি ইতিমধ্যে স্থাপিত থাকলে পরিবর্তনের আগে তালিকা করুন: ঠিকানা সংরক্ষণ, ইনস্টল করা রুট, ব্লকে রিজল্ভ হওয়া DNS রেকর্ড, ফায়ারওয়াল স্কোপ এবং সেগুলোর উপর নির্ভরশীল অ্যাপ্লিকেশন। তারপর অন্য যেকোনো রাউটিং কাটওভারের মতোই যত্নসহকারে পরিবর্তনটি নির্ধারণ করুন। যাঁরা লক্ষ্য করবেন তাঁদের জানান, কারণ পুলটি সরে গেলে তাঁদের সেশন পড়ে যাবে। ক্লায়েন্ট ঠিকানাকরণে নীরব পরিবর্তন এমন সাপোর্ট টিকিট তৈরি করে যা কাজের সঙ্গে সম্পর্কহীন মনে হয়।

যে পুলটি আপনি সরাচ্ছেন তার উপর নির্ভর না করা একটি পুনরুদ্ধার পথ সংরক্ষণ করুন, কারণ যে মুহূর্তে আপনি এটি প্রত্যাহার করেন সেই মুহূর্তেই আপনার দূরবর্তী অ্যাক্সেস এটির সঙ্গে হারিয়ে যেতে পারে। পরে দুই দিকই যাচাই করুন: উদ্দিষ্ট প্রাইভেট গন্তব্যগুলো এখনো কাজ করে, আর আগে ধরা পড়া ইন্টারনেট গন্তব্যগুলো এখন তাদের আসল মালিকের কাছে রিজল্ভ হয়।

আপনি চান এমন একটি পুল যা নেটওয়ার্ক দল একটি সুসংহত জিনিস হিসেবে বরাদ্দ, রুট ও অবসর দিতে পারে। একটি ঠিকানা ফরম্যাট নিজে থেকে নিরাপত্তাও প্রতিষ্ঠা করে না, সংযোগও নয়।