RDP-র জন্য একটি অনুমোদন নিয়ম যোগ করলে আপনার VPN অ্যাক্সেস সংকুচিত হয় না

পরিকল্পনাটি যুক্তিসঙ্গত শোনায়: বিদ্যমান রিমোট ডেস্কটপ অনুমোদনটি অপরিবর্তিত রাখুন এবং যে একমাত্র VPN ক্লায়েন্টের প্রবেশাধিকার থাকার কথা তার জন্য একটি ছোট অনুমোদন যোগ করুন। Windows Firewall এভাবে কাজ করে না। নিয়মগুলো কোনো ক্রমানুসারে সাজানো তালিকা নয় যেখানে সবচেয়ে নির্দিষ্ট এন্ট্রি জেতে, আর বিস্তৃত অনুমোদনের পাশে সংকীর্ণ অনুমোদন কিছুই বদলায় না, কারণ বিস্তৃতটি আগেই যাদের অনুমতি দিয়েছিল তাদের সবাইকে এখনো অনুমতি দেয়। সেবাটি সংকুচিত করা মানে যে অনুমোদনটি ইতিমধ্যে কাজটি করছে সেটিই সম্পাদনা করা।

আপনি যে নিয়মটি যোগ করেন সেটি গুরুত্বপূর্ণ নিয়ম নয়

Windows Firewall মেশিনের জন্য প্রযোজ্য পলিসি স্টোরগুলোর মধ্যে সব প্রযোজ্য ইনবাউন্ড নিয়ম মূল্যায়ন করে, তারপর সিদ্ধান্ত নেয় কোনো অনুমোদন মেলে কি না এবং কোনো ব্লক তা অগ্রাহ্য করে কি না। একটি নিয়ম যোগ করলে একটি অনুমোদন যোগ হয়; এটি আগে থেকে থাকা অনুমোদনগুলো সরায় না বা সীমাবদ্ধও করে না।

তাহলে প্রশ্নটি কখনোই আপনি কী যোগ করেছেন তা নয়। প্রশ্নটি হলো কার্যকর পলিসিতে কী আছে স্থানীয় পলিসি, ডোমেইন পলিসি এবং প্রোফাইল ডিফল্ট একত্রিত হওয়ার পরে। একটি স্থানীয় নিয়মযুক্ত ওয়ার্কস্টেশন নিয়ে ভাবনা সহজ; ডোমেইনে যুক্ত সার্ভার নিয়ে নয়।

এ কারণেই একজন প্রশাসক সঠিক দেখতে একটি পরিবর্তন করতে পারেন, ভুল মেশিন থেকে তা পরীক্ষা করেন এবং সিদ্ধান্তে আসেন যে এটি কাজ করেছে। বাদ দেওয়া উৎসটি কখনোই পরীক্ষা করা হয়নি। যে পরীক্ষা কেবল সফলতা প্রমাণ করে, তা পরিবর্তনটি যে উদ্দেশ্যে করা হয়েছিল তার অর্ধেকেরও কম প্রমাণ করে।

সার্ভার কোন ঠিকানা দেখে তা জেনে নিন

কিছু সীমাবদ্ধ করার আগে Windows হোস্টে একটি অনুমোদিত সেশন পর্যবেক্ষণ করুন এবং সার্ভার যে উৎস ঠিকানা জানায় তা লিখে রাখুন। এটি সবসময় সেই ঠিকানা নয় যা ক্লায়েন্ট মনে করে তার আছে।

যদি VPN গেটওয়ে ক্লায়েন্টের ঠিকানা সংরক্ষণ করে, সার্ভার ক্লায়েন্টের টানেল ঠিকানা দেখে এবং ঠিকানা-সীমাবদ্ধ নিয়ম অর্থবহ হয়। যদি গেটওয়ে ঠিকানা অনুবাদ করে, প্রতিটি ক্লায়েন্ট গেটওয়ের ঠিকানা নিয়ে আসে, আর সেই ঠিকানায় সীমাবদ্ধ করা তার পেছনের প্রতিটি ক্লায়েন্টকে প্রবেশাধিকার দেয়। তখন নিয়মটি ভুল বিষয়ে নির্ভুল হয়।

এই দুই নকশার ভিন্ন উত্তর দরকার। প্রথমটি ফায়ারওয়াল নিয়মে প্রকাশ করা যায়; দ্বিতীয়টি যেখানে পরিচয় এখনো বিদ্যমান সেখানেই কার্যকর করতে হবে, অর্থাৎ VPN নিজেই বা সেবার সামনে থাকা প্রমাণিত গেটওয়েতে।

নেটওয়ার্ক অনুবাদ যে পরিচয় ফেলে দিয়েছে তা ফায়ারওয়াল ফিল্টার ফিরিয়ে আনতে পারে না, ঠিকানাটি যতই সাবধানে লেখা হোক।

কার্যকর নিয়মের মালিক বদলান

কার্যকর ইনবাউন্ড পলিসি পরীক্ষা করুন এবং এখন RDP ট্রাফিক অনুমোদন করে এমন প্রতিটি নিয়ম খুঁজুন, যার মধ্যে সেই নিয়মগুলোও আছে যাদের প্রদর্শিত নামে কখনো 3389 পোর্টের উল্লেখ নেই। সেবা-সীমাবদ্ধ ও অ্যাপ্লিকেশন-সীমাবদ্ধ নিয়মও গণ্য হয়, আর কিছু RDP স্থাপনা যে UDP পরিবহন চালু করে সেটিও।

তারপর যেসব স্টোর নিয়মগুলোর মালিক তাদের মাধ্যমেই বিদ্যমান নিয়মগুলো সম্পাদনা করুন। ডোমেইন পলিসিও যে নিয়ম সংজ্ঞায়িত করে তাতে স্থানীয় সম্পাদনা একত্রিত, উপেক্ষিত বা প্রতিস্থাপিত হতে পারে, এবং তার উপর নির্ভর করার আগে কোনটি ঘটে তা জানা মূল্যবান।

এই কমান্ডগুলো সক্রিয় নিয়ম খুঁজে বের করে, একটির সাথে যুক্ত ঠিকানা ফিল্টার দেখায় এবং পরিধি পরিবর্তনের পূর্বরূপ দেখায়:

Get-NetFirewallRule -PolicyStore ActiveStore -Direction Inbound | Where-Object DisplayName -match RDP
Get-NetFirewallAddressFilter -AssociatedNetFirewallRule (Get-NetFirewallRule -Name Reviewed-RDP-TCP)
Set-NetFirewallRule -Name Reviewed-RDP-TCP -RemoteAddress 10.63.4.17 -WhatIf

এখানকার নিয়মের নামগুলো পর্যালোচনায় যা পাওয়া গেছে তার প্লেসহোল্ডার, আর পূর্বরূপ ফ্ল্যাগটি আছে যাতে ঠিকানায় টাইপো আপনাকে যে সার্ভার সম্পাদনা করছেন তা থেকে বন্ধ করে না দেয়।

ব্লক-তারপর-অনুমোদন একটি ভিন্ন মডেল

অন্য ফায়ারওয়ালের অভ্যাস হলো বিস্তৃত ব্লক লিখে তার উপরে সংকীর্ণ অনুমোদন দেওয়া। Windows-এ স্পষ্ট ব্লক সাধারণত অনুমোদনের উপরে জেতে, তাই এই ক্রমটি একজন ক্লায়েন্টের জন্য ব্যতিক্রম নয় বরং এমন সেবা তৈরি করে যেখানে কেউ পৌঁছাতে পারে না। ফলাফল হলো এমন বিভ্রাট যা ভাঙা RDP সেবার মতো দেখায়। এটি আসলে অগ্রাধিকারের ভুল, আর সমাধান হলো আরেকটি অনুমোদন যোগ করা নয়, ব্লকটি সরানো।

সক্রিয় প্রোফাইলে ডিফল্ট ইনবাউন্ড ব্লক আচরণ রাখুন এবং বরং নির্দিষ্ট অনুমোদনগুলো সংকুচিত করুন। এতে মেশিনটি দুটি পরস্পরবিরোধী নিয়মের বদলে একটি বোধগম্য অবস্থানে থাকে, যাদের পারস্পরিক ক্রিয়া অগ্রাধিকারের খুঁটিনাটির উপর নির্ভর করে।

দ্বিতীয় উৎস দিয়ে প্রমাণ করুন

অনুমোদিত ক্লায়েন্ট থেকে এবং এমন উৎস থেকে পরীক্ষা করুন যা এখন ব্যর্থ হওয়া উচিত। একটি সফল সংযোগ কেবল প্রমাণ করে অনুমোদিত পথটি কাজ করে; আপনি এইমাত্র যে বাদ দেওয়া করেছেন তা নিয়ে এটি কিছুই বলে না।

সার্ভারে চালু থাকলে IPv6 দিয়ে পরীক্ষাটি পুনরাবৃত্তি করুন, কারণ কেবল IPv4-এর উদ্দেশ্য এমন একটি বিস্তৃত IPv6 অনুমোদনের সঙ্গে সহাবস্থান করতে পারে যার দিকে কেউ তাকায়নি।

সবশেষে, প্রমাণীকরণকে পৌঁছানোর ক্ষমতা থেকে আলাদা রাখুন। নেটওয়ার্ক লেভেল অথেনটিকেশন, অ্যাকাউন্ট অধিকার এবং লগইন বিধিনিষেধ এখনো ঠিক করে কে সেশনটি ব্যবহার করতে পারবে, আর ফায়ারওয়াল কেবল ঠিক করে কে জিজ্ঞাসা করতে পারবে। পরে কোনো ডিভাইস সরানো হলে তার VPN নিবন্ধন এবং এই নেটওয়ার্ক অনুমোদন দুটোই সরানো উচিত, নইলে আপনি যে ঠিকানার পরিধি নির্ধারণ করেছেন তা একসময় অন্য কারো হবে।