রিমোট-অ্যাক্সেস VPN দিয়ে বাড়ির ডিভাইসে পৌঁছানো: পাঁচটি দরজা

একটি বাণিজ্যিক ইন্টারনেট-এক্সিট VPN আপনার ঠিকানা লুকায়; এটি আপনাকে আপনার নিজের বাড়ির সঙ্গে যুক্ত করে না। বাড়ির নেটওয়ার্কে NAS বা প্রিন্টারে পৌঁছাতে সেই নেটওয়ার্কে বসা একটি গেটওয়ে এবং তার দিকে টানেল তৈরি করা একটি ক্লায়েন্ট দরকার। এরপর প্যাকেটটিকে পাঁচটি যাচাই পার করতে হয়, আর এর যেকোনো একটি ব্যর্থ হলে বাইরে থেকে একই দেখায়।

দরজা 1: ক্লায়েন্টকে টানেলটি বেছে নিতে হবে

ক্লায়েন্টে গন্তব্য প্রিফিক্সটি সত্যিই টানেলে রুট হচ্ছে কি না দেখুন। যে স্প্লিট-টানেল প্রোফাইল কেবল VPN-এর নিজস্ব সাবনেট পুশ করে, সেটি 192.168.x.x সরাসরি লোকাল ইন্টারফেস দিয়ে পাঠাবে, যেখানে তা কোথাও পৌঁছায় না। প্রোফাইলের নাম নয়, ক্লায়েন্টের রাউটিং টেবিল দেখুন।

ফোন ক্লায়েন্টে এটিই সবচেয়ে সাধারণ ব্যর্থতা, যারা প্রায়ই ডিফল্টে কেবল DNS বা কেবল একটি প্রিফিক্স পাঠায়। রুট না থাকলে হ্যান্ডশেক নিখুঁত হতে পারে, তবু ডিভাইসটি অধরা থাকতে পারে।

আরও এগোনোর আগে নিশ্চিত করুন যে ক্লায়েন্টের পুল ঠিকানা ও বাড়ির সাবনেট ওভারল্যাপ করে না।

দরজা 2: গেটওয়েকে ফরওয়ার্ড করতে হবে

VPN এমন একটি হোস্টে শেষ হয় যেটিকে ডিক্রিপ্ট করা প্যাকেট LAN-এ ফরওয়ার্ড করতে হবে। এর জন্য IP ফরওয়ার্ডিং চালু থাকা এবং একটি ফায়ারওয়াল নীতির প্রয়োজন যা VPN ইন্টারফেস থেকে LAN ইন্টারফেসে প্রবাহকে অনুমতি দেয়। রাউটার অ্যাপ্লায়েন্সে এটি সাধারণত অন্তর্নির্মিত; strongSwan বা WireGuard চালানো Linux বক্সে এগুলি দুটি সেটিংস যা মানুষ ভুলে যায়। পরিষেবা পরীক্ষার আগে দুটিই দেখুন, কারণ যেকোনো একটি একা একই টাইমআউট দেয়।

LAN ইন্টারফেসে ক্যাপচার দিয়ে পরীক্ষা করুন, কারণ যে প্যাকেট সেখানে কখনো দেখা যায় না সেটি হয় ফেলে দেওয়া হয়েছে, নয়তো কখনো ফরওয়ার্ড হয়নি।

এটি সংযোগ প্রত্যাখ্যানকারী পরিষেবার থেকে আলাদা ব্যর্থতা, আর এই পার্থক্য অনেক সময় বাঁচায়। অনুমতিটি সংকীর্ণ রাখুন, পুরো সাবনেটের বদলে পরিষেবা ও VPN পুলে সীমিত করুন।

দরজা 3: উত্তরের পথই সব ঠিক করে

গন্তব্য যে সোর্স ঠিকানা দেখেছে সেখানেই উত্তর দেয়, যা ট্রান্সলেট করেন কি না তার উপর নির্ভর করে ক্লায়েন্টের পুল ঠিকানা অথবা গেটওয়ে। গন্তব্যের ডিফল্ট গেটওয়ে যদি বাড়ির রাউটার হয় এবং সেই রাউটারের VPN পুলে কোনো রুট না থাকে, উত্তরটি ইন্টারনেট দিয়ে বেরিয়ে মরে। এটিই চিরাচরিত একমুখী সংযোগ।

দুটি বৈধ সমাধান আছে: LAN গেটওয়েতে পুলের জন্য একটি রুট যোগ করুন, অথবা VPN গেটওয়েতে source-NAT করুন যাতে গন্তব্য কেবল গেটওয়ে ঠিকানাই দেখে। দ্বিতীয়টি সহজ এবং মূল সোর্স পরিচয় হারায়।

সচেতনভাবে একটি বাছুন এবং কোনটি লিখে রাখুন, কারণ ফায়ারওয়াল নিয়ম ও লগ এর উপর নির্ভর করে। strongSwan ফরওয়ার্ডিং গাইড সেই সিদ্ধান্তের Linux দিকটি বুঝিয়ে দেয়।

দরজা 4: নাম ও প্রিফিক্স ওভারল্যাপ

লোকাল ডিসকভারি নাম রাউটেড সীমা পেরোয় না, তাই বাড়ির ভিতরে বন্ধুত্বপূর্ণ নামে দেখা যাওয়া একটি ডিভাইস টানেলের উপর দিয়ে অদৃশ্য থাকতে পারে। প্রাইভেট জোনের জন্য DNS দিন, অথবা ঠিকানাটি নথিভুক্ত করুন। যে নামই ব্যবহার করুন, সেটিকে এমন কিছুতে রিজলভ হতে হবে যা দূরের ক্লায়েন্ট রুট করতে পারে। এজন্যই একটি ডিভাইস একই সঙ্গে ঠিকানা দিয়ে পৌঁছানো যায় আর নাম দিয়ে অদৃশ্য থাকে।

ওভারল্যাপিং প্রিফিক্স অন্য ফাঁদ: ক্লায়েন্ট পুল যদি 192.168.1.0/24 হয় এবং বাড়ির নেটওয়ার্কও তাই হয়, ক্লায়েন্ট গন্তব্যকে লোকাল ভাবে এবং কখনো টানেল দিয়ে পাঠায় না।

এক দিক নতুন করে নম্বর দিন, অথবা এমন রেঞ্জের পুল ব্যবহার করুন যা বাড়িতে কখনো পাবেন না।

দরজা 5: বাড়ির বাইরে থেকে পরীক্ষা করুন

রান্নাঘর থেকে পরীক্ষা কিছুই প্রমাণ করে না, কারণ ট্রাফিক হয়তো কখনো LAN ছাড়েই না। মোবাইল হটস্পট বা অন্য নেটওয়ার্ক থেকে সংযুক্ত হন, তারপর দরজাগুলো ক্রমে হাঁটুন: ক্লায়েন্টে রুট, LAN ইন্টারফেসে ক্যাপচার, পরিষেবার সাড়া, উত্তরের ক্যাপচার এবং নাম রিজলিউশন। যে প্রথম দরজা কোনো প্রমাণ দেয় না, কাজটি সেখানেই।

পরিষেবা উত্তর দিলে কিন্তু নাম না দিলে, আপনার টানেলের সমস্যা নয়, DNS সমস্যা।

কাজ করা কনফিগারেশনটি পুল, রুট ও NAT পছন্দসহ একটি নোটে রাখুন, কারণ পরের রাউটার বদল তিনটিই রিসেট করবে।