পাবলিক Wi-Fi ও VPN: টানেল যা ঢাকে না

সবুজ ব্যাজ, সন্তুষ্ট পোর্টাল, কাজ করা ব্রাউজার: এটাই পুরো দৃশ্যমান গল্প। ব্যাজটি বাদ দেয় যে এনক্রিপ্টেড সংযোগটি বহন করে ঠিক সেই বেতার লিংকটিই, যা থেকে আপনার সুরক্ষা হওয়ার কথা। সেই লিংকটি এখনো প্রতিটি প্যাকেট পৌঁছায়, এখনো এন্ডপয়েন্ট ঠিকানাটি দেখে, এবং এখনো সিদ্ধান্ত নেয় কিছু আদৌ পৌঁছাবে কি না। একটি হোটেল সংযোগের ল্যাপটপের দিকটি ঘুরে দেখলে বোঝা যায় টানেল কোন অংশ ঢাকে আর কোন অংশ আপনার জন্য ছেড়ে দেয়।

অ্যাক্সেস লিংক সবকিছু বহন করে

একটি IPsec ESP টানেল সুরক্ষিত অভ্যন্তরীণ প্যাকেটকে এমন একটি বহিরাগত হেডারের ভিতরে মোড়ক করে যা নেটওয়ার্ক রুট করতে পারে, আর RFC 4303 ধারা 3.1.2 সেই বিভাজন ব্যাখ্যা করে। অভ্যন্তরীণ প্যাকেটটিই টানেলের সুরক্ষা। বহিরাগত হেডারটি হটস্পট পড়ে এটি ফরওয়ার্ড করার জন্য। অন্য নকশাগুলো ভিন্নভাবে এনক্যাপসুলেট করে, তবু পরিকল্পনার প্রশ্ন একই: কোন অ্যাক্সেস পথ এই সংযোগ বহন করে?

গেটওয়ে ব্যর্থতা বা প্যাকেট ফেলা লিংক কনটেন্ট না জানিয়ে সরবরাহ থামিয়ে দেয়। আরও শক্তিশালী সাইফারে যাওয়া এতে কিছুই করে না, কারণ অনুপস্থিত অংশটি ক্রিপ্টোগ্রাফি নয়, পরিবহন। সফল সরবরাহ বিপরীত দিকেও তেমন কিছু প্রমাণ করে না, কারণ কাজ করা পথ দুই মেশিনের কোনোটির অবস্থা সম্পর্কে কিছু বলে না।

আপনার ল্যাপটপের এখনো নিজের দরজা আছে

অবিশ্বস্ত সেগমেন্টে যোগ দিলে আপনার মেশিন যে পোর্টগুলোতে শোনে সেগুলোতে কে পৌঁছাতে পারবে তা বদলে যায়। ফাইল শেয়ারিং সেবা, রিমোট অ্যাডমিনিস্ট্রেশন এজেন্ট বা সব ইন্টারফেসে বাঁধা ডেভেলপমেন্ট সার্ভার—কিছু না থামালে সেই সেগমেন্টের যে কেউ সেগুলোতে পৌঁছাতে পারে। যে ট্রাফিক কখনো টানেলে ঢোকে না, তা টানেল দ্বারা সুরক্ষিত নয়। টানেল ওঠার আগেই যে লিসেনার উত্তর দেয়, সে ঠিক ওই জানালার জন্য উন্মুক্ত।

প্রয়োজনটি সংকীর্ণ এবং সঠিকভাবে বলার যোগ্য: ল্যাপটপকে VPN এন্ডপয়েন্টে পৌঁছাতে হবে, আর হটস্পটের অসম্পর্কিত ডিভাইসগুলো স্থানীয় সেবায় পৌঁছাতে পারবে না। হোস্ট ফায়ারওয়াল নিয়ম সেই সীমা প্রকাশ করে, আর প্ল্যাটফর্মের নিজস্ব শেয়ারিং সেটিংসও তার একাংশ প্রকাশ করে। প্রিন্টার বা পোর্টাল ধাপ হলো আপনার ইচ্ছাকৃতভাবে যোগ করা সীমিত ব্যতিক্রম, পুরো হটস্পট অফিস-LAN আস্থার যোগ্য—এমন প্রমাণ নয়।

কিছু প্রতিষ্ঠান কাজের সংযোগ সক্রিয় থাকাকালীন স্থানীয় অ্যাক্সেসও সীমিত করে, যা প্রকৌশল নয়, নীতি। প্রান্তিক ডিভাইস কাজ করাতে ফায়ারওয়াল বন্ধ করার আগে সেই নীতি পড়ুন।

আসলে কী শুনছে তা পরীক্ষা করুন

সেটিংস পৃষ্ঠা নয়, সকেটগুলো দেখুন, কারণ পৃষ্ঠা অভিপ্রায় বর্ণনা করে আর সকেট তালিকা মেশিন বর্ণনা করে। নিচের দুই তালিকা প্রতিটি শোনা সকেটকে প্রতিবেশী যেগুলোতে পৌঁছাতে পারে সেগুলো থেকে আলাদা করে। টানেল সংযোগের আগে অবিশ্বস্ত সেগমেন্টে সেগুলো চালান।

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

প্রথম কমান্ডটি প্রতিটি সকেট দেখায়, আর দ্বিতীয়টি loopback-এর বাইরে বাঁধা সকেটগুলোতে ফিল্টার করে। 0.0.0.0 বা ::-এ থাকা সেবা বেতারটিসহ প্রতিটি ইন্টারফেসে পাওয়া যায়, অথচ 127.0.0.1-এ একই সেবা সেগমেন্ট থেকে আদৌ পৌঁছানো যায় না। রিজলভার কোয়েরি নিশ্চিত করে টানেল তৈরির আগে নামটি কোন পথ নেয়, আর ঠিক সেখানেই ক্যাপটিভ পোর্টালগুলো হস্তক্ষেপ করে। সংযোগের পর তালিকাটি আবার চালান, কারণ কিছু ক্লায়েন্ট এমন ইন্টারফেস তোলে যা উত্তর বদলে দেয়।

কেবল টানেল ওঠার সময় দেখা যায় এমন পোর্ট কম উন্মুক্ত, যদিও তা জেনে রাখা এখনো মূল্যবান। পরম তালিকা নয়, পার্থক্যটি লিখুন, কারণ ডেল্টাই টানেল যা যোগ করেছে।

সেশনের মাঝপথে নতুন পরিচয় গ্রহণ করবেন না

অপ্রত্যাশিত রুট পরিবর্তন, পুনঃসংযোগ বা পোর্টাল রিডাইরেক্ট ভিন্ন সার্ভার পরিচয় গ্রহণের অনুমতি নয়। ক্লায়েন্ট সার্টিফিকেট বা কী মিলছে না জানালে সেটিকে এড়িয়ে যাওয়ার যোগাযোগ সমস্যা নয়, পরিচয়ের অনুসন্ধান হিসেবে ধরুন। পোর্টাল কাজ করাতে অস্পষ্ট রুট সার্টিফিকেট ইনস্টল করা সরবরাহ সমস্যাকে আস্থার সমস্যায় বদলে দেয়। তারপর আস্থার সমস্যাটি যে ভ্রমণ এটি তৈরি করেছিল তার চেয়ে বেশি দিন টিকে থাকে।

পোর্টালের নিজস্ব ব্রাউজার প্রবাহ ব্যবহার করুন, তারপর টানেল আবার সংযুক্ত করুন এবং ক্লায়েন্ট লগে দেখুন এটি কোন পরিচয় যাচাই করেছে। পরিচয় ব্যর্থতা মানে প্রতিপক্ষ আপনি যাকে আশা করেছিলেন সে নয়, আর সরবরাহ ব্যর্থতা মানে প্রতিপক্ষ কখনো উত্তর দেয়নি। প্রথমটি থামার কারণ, দ্বিতীয়টি অন্য পথ চেষ্টা করার কারণ।

আগে বিভ্রাটের আচরণ ঠিক করুন

এখানে দুটি ভিন্ন বৈশিষ্ট্য গুলিয়ে ফেলা হয়। পুনঃসংযোগ সেবা ফিরিয়ে আনার চেষ্টা করে, আর ব্লকিং নীতি নিয়ন্ত্রণ করে টানেল বন্ধ থাকাকালীন কোন ট্রাফিক অনুমোদিত। কোনোটিই কাজ করা বেতার লিংক দেয় না, কোনোটিই প্রমাণ করে না এন্ডপয়েন্ট পরিষ্কার। স্পষ্টভাবে বেছে নিন: যে অ্যাপ্লিকেশন কখনো স্থানীয় পথ ব্যবহার করবে না তাদের জন্য বন্ধ ব্যর্থতা, আর গ্রহণযোগ্য হলে টানেলের বাইরে সাধারণ ব্রাউজিংয়ের অনুমতি।

সিদ্ধান্তটি লিখে রাখুন, কারণ বেশিরভাগ ক্লায়েন্টে ডিফল্ট কোনোটিই নয়, আর তা সংস্করণভেদে বদলায়। তারপর উপলব্ধতা গুরুত্বপূর্ণ হলে বিকল্প অ্যাক্সেস পথ ব্যবস্থা করুন, যেমন নিজস্ব ডেটা প্ল্যানসহ ফোনের হটস্পট। একটি গ্রহণযোগ্য অভ্যর্থনা পরীক্ষার তিনটি আলাদা ফলাফল থাকে: উদ্দিষ্ট ট্রাফিক যাচাই করা টানেল ব্যবহার করে, অসম্পর্কিত স্থানীয় লিসেনার নাগালের বাইরে, আর বিভ্রাট আপনার বেছে নেওয়া আচরণ তৈরি করে।