রাউটারের অ্যাডমিন পেজে WAN নয়, VPN দিয়ে পৌঁছান

রাউটারের অ্যাডমিন পেজ সোফা থেকে দুই সেকেন্ডে খোলে, আর হোটেল রুম থেকে টাইম আউট হয়, অথচ VPN ক্লায়েন্ট সারাক্ষণ সংযুক্ত বলে জানায়। আপনার কাছে আছে বেরোনোর পথ, ফিরে আসার পথ নয়: টানেল আপনার ট্রাফিক ইন্টারনেটে নিয়ে যায় এবং সেখানেই থেমে যায়। নিজের LAN-এর ভিতরের কোনো ডিভাইসে পৌঁছাতে এমন একটি সেশন দরকার যা এমন কিছুতে শেষ হয় যার সেখানে রুট আছে। এটি একটি নকশা-সিদ্ধান্ত, কোনো সেটিং নয়, এবং বাকি কাজটি আদৌ সম্ভব কি না তা এটিই নির্ধারণ করে।

পার্থক্যটি হারানো সহজ, কারণ একটি পণ্য দুটো কাজই করতে পারে। একটি বাণিজ্যিক এক্সিট ক্লায়েন্ট আর একটি রিমোট-অ্যাক্সেস সার্ভার একই পোর্টে একই প্রোটোকল বলতে পারে, আর পার্থক্য হলো এন্ডপয়েন্টের পেছনের অ্যাড্রেস স্পেসের মালিক কোন পক্ষ।

টানেলের কোন পক্ষ LAN-এর মালিক

প্রশাসনের জন্য এন্ডপয়েন্টকে আপনাকে যে নেটওয়ার্কে পৌঁছাতে হবে তার ভিতরে থাকতে হবে, অথবা তাতে একটি অনুমোদিত পথ থাকতে হবে। নিজের VPN সার্ভার চালানো একটি রাউটার যোগ্য; স্থির ঠিকানা ও LAN-এ রুটসহ ছোট, সবসময় চালু একটি হোস্টও যোগ্য। তৃতীয় পক্ষের চালানো এক্সিট সার্ভিস যোগ্য নয়, কারণ তার এন্ডপয়েন্টের আপনার LAN-এ কোনো ইন্টারফেস নেই এবং একটি ইন্টারফেস আবির্ভূত হতে দেয় এমন কোনো নিয়মও নেই। আর কিছু স্পর্শ করার আগে এটিই শেষ করতে হবে।

ফার্মওয়্যার এই পার্থক্য খুব কমই লেবেল করে, তাই প্রোটোকলের নাম নয়, ফিচারটি কী করে তা পড়ুন। WireGuard, OpenVPN এবং IKEv2 সবই বাজারের দুই পাশেই দেখা যায়: একটি বিল্ড গৃহস্থালির ট্রাফিক বাইরে পাঠায়, আরেকটি আপনার দূরবর্তী ডিভাইস গ্রহণ করে। শুধু-ক্লায়েন্ট বিল্ডকে কনফিগারেশন দিয়ে সার্ভারে পরিণত করা যায় না, মেনু যেভাবেই লেখা হোক।

ফিরতি রুট তৈরি করা

রাউটারে একটি WireGuard সার্ভারের 10.8.0.1/24-এর মতো ইন্টারফেস ঠিকানা এবং ল্যাপটপের জন্য একটি পিয়ার এন্ট্রি থাকে। কোন গন্তব্যগুলো সে টানেলে পাঠাবে তা ক্লায়েন্ট নির্ধারণ করে, আর কেবল টানেল সাবনেট ধারণ করা একটি তালিকা সার্ভার যেভাবেই কনফিগার হোক, LAN-কে অদৃশ্য রেখে দেয়। দুই প্রান্তকে একমত হতে হবে, আর সাধারণত তাদের একটিই সম্পাদনা করা হয়।

wg show wg0 allowed-ips
ip route get 192.168.1.1

প্রথম কমান্ডটি সার্ভারের দৃষ্টিকোণ থেকে প্রতিটি পিয়ার কী পাঠাতে পারবে তা জানায়; দ্বিতীয়টি জানায় ক্লায়েন্টে একটি LAN ঠিকানা আসলে কোথায় যাবে। টানেল ইন্টারফেসে রিজলভ হওয়া একটি LAN গন্তব্য হলো কাজ করা রাউটিং, আর ভৌত গেটওয়ে দিয়ে বেরোনো গন্তব্য ফায়ারওয়াল যা-ই বলুক, কখনো পৌঁছাবে না। ক্লায়েন্টের অনুমোদিত তালিকায় LAN প্রিফিক্স যোগ করুন, তাহলে একই দুটি কমান্ড ডায়াগনোসিস নয়, যাচাইয়ের ধাপ হয়ে যায়।

IPsec গেটওয়ের জন্য একই ধাপ বর্ণনা করে strongSwan ফরওয়ার্ডিং ডকুমেন্টেশন, যেখানে ফরওয়ার্ডিং এবং একটি সোর্স-NAT নিয়মই একটি টানেল ক্লায়েন্টকে অভ্যন্তরীণ হোস্টের সঙ্গে যুক্ত করে। অ্যাড্রেসিং আলাদা; প্রয়োজনীয়তা নয়।

কে অ্যাডমিন পেজ খুলতে পারবে

অ্যাক্সেস নিয়ন্ত্রণ রাউটারে থাকা উচিত, সতর্ক থাকার ইচ্ছায় নয়। কেবল যে প্রমাণিত টানেল পরিচয় বা সোর্স রেঞ্জের পেজটি দরকার তাকেই অনুমতি দিন, আর রাউটারের নিজের ইনপুট চেইন এবং যেকোনো ফরওয়ার্ডেড LAN নীতি পড়ুন। যে নিয়ম তারযুক্ত LAN-কে অ্যাডমিন পেজে পৌঁছাতে দেয় তা টানেল ইন্টারফেসে আসা ক্লায়েন্ট সম্পর্কে কিছুই বলে না। নির্দিষ্ট পরিচয়ের জন্য ব্যতিক্রমটি লিখুন, তারপর এমন একটি দ্বিতীয় পরিচয় রাখুন যাকে প্রত্যাখ্যান করা উচিত।

লিসেনার হলো অন্য অর্ধেক এবং তা ফায়ারওয়াল আউটপুটে অদৃশ্য। ss -ltnp দেখায় ওয়েব সার্ভার কোন ঠিকানায় বাঁধা, আর কেবল LAN ঠিকানায় বাঁধা একটি সার্ভিস নিয়ম যত উদারই হোক, টানেল ঠিকানায় উত্তর দেবে না। এটি পুনরায় বাঁধা বা একটি ঠিকানা যোগ করা রাউটারে কনফিগারেশন পরিবর্তন, ফায়ারওয়াল পরিবর্তন নয়।

একই ধাপে প্রমাণীকরণ ও পরিবহন যাচাই চালু রাখুন। পৌঁছানো মানেই বিশ্বস্ত নয়, আর টানেলের ভিতরের প্রতিটি ডিভাইস তা দিয়ে প্রশাসক হয়ে যায় না। টানেলের ক্রেডেনশিয়াল আর রাউটার অ্যাকাউন্ট আলাদা জীবনচক্রের আলাদা বিশেষাধিকার, তাই হারানো ল্যাপটপের কী প্রতিটি প্রশাসকের পাসওয়ার্ড রিসেট না করেই বাতিল করা যায়।

সোফা থেকে নয়, বাইরে থেকে পরীক্ষা

এমন নেটওয়ার্ক থেকে পরীক্ষা করুন যা আপনি নিয়ন্ত্রণ করেন না। অনুমোদিত টানেল দিয়ে সংযুক্ত হন, নতুন একটি অ্যাডমিন সেশন খুলুন, আর পেজে প্রতিফলিত হতে দেখেন এমন নিরীহ কিছু পরিবর্তন করুন। সোফা থেকে আপনি প্রমাণ করেন LAN কাজ করে, যা কখনো সন্দেহের বিষয় ছিল না।

তারপর একই যত্নে প্রত্যাখ্যানগুলো পরীক্ষা করুন। টানেল ছাড়া পেজটি খোলার চেষ্টা করুন এবং তা ব্যর্থ হয় কিনা নিশ্চিত করুন, আর প্রশাসন সার্ভিসটি WAN ঠিকানায় আদৌ শুনছে না কিনা নিশ্চিত করুন। কেবল লিংকহীন একটি পেজ অ্যাক্সেস নিয়ন্ত্রণ নয়, আর লগইন ফর্ম দেখানো WAN লিসেনার এখনও WAN লিসেনার। ইন্টারনেট আর রাউটারের কনসোলের মধ্যে যদি কেবল একটি পাসওয়ার্ড থাকে, তবে নকশাটি একটি পাসওয়ার্ড।

ঘরের সার্ভিসগুলো একবার দেখে নেওয়া উচিত। ম্যানেজমেন্ট নিয়ম কঠোর করা প্রায়ই গেস্ট নেটওয়ার্ক বা পরিবারের ডিভাইসের ব্যবহার করা রিজলভার ভেঙে দেয়, আর তা কয়েক দিন পরে অসম্পর্কিত অভিযোগ হিসেবে প্রকাশ পায়।

পরিবর্তনের সময় ফেরার পথ রাখা

দূর থেকে রুট বা টানেল সেটিংস পরিবর্তনের আগে স্বাধীন একটি ফেরার পথ প্রস্তুত করুন। বিদ্যমান সেশন এমন পরিবর্তন টিকে যেতে পারে যা ইতিমধ্যেই নতুন সংযোগ ব্লক করে, আর মানুষ ঠিক এভাবেই কাজ করা সেশন দেখতে দেখতে নিজেদের বাইরে আটকে ফেলে। বিকল্পগুলো নির্দিষ্ট: পরিচিত কনফিগারেশনে নির্ধারিত রিবুট, কনসোল বা ভৌত অ্যাক্সেস, যে সেটিং সম্পাদিত হচ্ছে তার ওপর নির্ভর করে না এমন দ্বিতীয় টানেল, কিংবা হার্ডওয়্যার যেখানে সুযোগ দেয় সেখানে আউট-অব-ব্যান্ড ম্যানেজমেন্ট। একটি বেছে নিন এবং রক্ষণাবেক্ষণ উইন্ডোর সময়ে নয়, তার আগে তা প্রমাণ করুন।

রেকর্ডটি সংক্ষিপ্ত ও হালনাগাদ রাখুন: কোন হোস্ট টানেল শেষ করে, কোন পরিচয়গুলো পেজে পৌঁছাতে পারে, সার্ভিস কোন ঠিকানায় বাঁধা, আর হারানো ডিভাইস কীভাবে বাতিল হয়। সেই তালিকাই পুনরুদ্ধার পরিকল্পনা হিসেবে কাজ করে, কারণ এটি বলে প্রতিটি নির্ভরতা কোথায় থাকে। অনুপস্থিত ফিরতি রুট হলো মেরামত করার রাউটিং সমস্যা, আর এটি কখনোই WAN-এ প্রশাসন প্রকাশ করার কারণ নয়।