রাউটার VPN নিয়ম: উৎস ও গন্তব্য মিলিয়ে দেখুন
রাউটারে একটি VPN নিয়মের দুই প্রান্ত থাকে: যে ডিভাইস ট্রাফিক পাঠায় এবং যে গন্তব্য টানেল ব্যবহার করবে। আগে ছেদ ও ফলব্যাক ঠিক করুন।
রাউটার কেনার পেজগুলো VPN রাউটিংকে একটি চেকবক্স হিসেবে দেখায়, আর ওই বাক্যাংশ তিনটি আলাদা প্রশ্ন লুকিয়ে রাখে। নিয়মটি কি ট্রাফিক পাঠানো ডিভাইসের সঙ্গে মেলে, তা গ্রহণ করা সার্ভারের সঙ্গে মেলে, নাকি দুটোর সঙ্গেই? কোনোটির সঙ্গেই না মেলা ট্রাফিকের কী হয়? আর দুটি নিয়ম ওভারল্যাপ করলে কোনটি জেতে? উত্তরটিকে উৎস ও গন্তব্যের জোড়া হিসেবে লিখলে অস্পষ্ট ফিচার-তালিকা পরীক্ষাযোগ্য নকশায় বদলে যায়।
ফিচারের নাম দুটি প্রান্ত লুকায়
যে মিডিয়া প্লেয়ার টানেল ব্যবহার করবে সেটি উৎস-মিল। যে ব্যক্তিগত অফিস প্রিফিক্স টানেল দিয়ে পৌঁছানো উচিত সেটি গন্তব্য-মিল। যে ওয়ার্কস্টেশন কেবল একটি সেবার জন্য টানেল ব্যবহার করবে সেটি দুটোই, আর সেই ছেদটাই বেশিরভাগ ভোক্তা ফার্মওয়্যার যেটি খারাপভাবে সামলায়।
পণ্য তুলনা করার আগে প্রয়োজনটি জোড়া হিসেবে লিখুন। এই জোড়াই পরে আপনি পরীক্ষা করবেন।
যে পণ্য ডিভাইস-তালিকা বা বৈশ্বিক গন্তব্য-তালিকা দেয়, সেটি হয়তো «কেবল এই ডিভাইস, কেবল এই গন্তব্য» প্রকাশ করতে পারে না। এই ফাঁক সৌন্দর্যের নয়: বৈশ্বিক গন্তব্য-নিয়ম ওই সাইটের জন্য প্রতিটি ডিভাইসের ট্রাফিক টানেল দিয়ে পাঠায়, আর ডিভাইস-নিয়ম ওই ডিভাইসের সব ট্রাফিক পাঠায়। কোনোটিই প্রয়োজন নয়। স্ক্রিনে ভরসা করার আগে দুটি ডিভাইস দিয়ে ওই অবস্থা পরীক্ষা করুন।
নিয়মটিকে ছেদ হিসেবে গড়ুন
একটি টেবিল নকশাকে সৎ রাখে। বাঁ দিকে দৃশ্যপট রাখুন, তারপর প্রেরক-মিল ও লক্ষ্য-মিল আলাদা করে নাম দিন:
| Scenario | Sender match | Target match | Rule shape |
|---|---|---|---|
| Media player uses the tunnel | Player address | Any internet destination except the LAN | Source only |
| Office prefix reachable | Authorized LAN devices | 10.40.0.0/16 | Target only |
| One app on one laptop | Laptop address | The service address set | Source and target |
| Guest network never tunnels | Guest subnet | Any | Deny, evaluated first |
তৃতীয় সারিটাই মজার, কারণ এতে একসঙ্গে দুই অর্ধেক দরকার। যদি ফার্মওয়্যার কেবল একটি অক্ষ প্রকাশ করতে পারে, তবে প্রয়োজনটিকে দুটি নিয়মে ভাগ করতে হবে বা যা পারে এমন ডিভাইসে সরাতে হবে।
উৎস-পরিচয় স্থির রাখুন। DHCP রিজার্ভেশন, নির্দিষ্ট সেগমেন্ট বা ডিভাইস-পরিচয় ব্যবস্থা—সবই কাজ করে, কিন্তু লিজ শেষ হলে যে ঠিকানা বদলে যায় সেটি কাজ করে না। IPv6 অন্তর্ভুক্ত করুন, কারণ একটি IPv4 ঠিকানা ডিভাইসের সব ট্রাফিক চেনে না।
অগ্রাধিকারই ওভারল্যাপ ঠিক করে
নিয়ম ওভারল্যাপ হওয়া স্বাভাবিক। একটি বৃহৎ ডিভাইস-নিয়ম ও একটি সংকীর্ণ গন্তব্য-নিয়ম একই প্রবাহ বর্ণনা করতে পারে, আর নথিভুক্ত অগ্রাধিকার-ক্রম ঠিক করে কোনটি জেতে। আকর্ষণীয় সেটিংস স্ক্রিন আপনাকে সেই ক্রম বলে না।
ক্রম ও অমিলের ক্ষেত্রে ম্যানুয়াল পড়ুন, তারপর আপনি যে ট্রাফিক দেখতে পান তা দিয়ে দুটোই পরীক্ষা করুন:
ip rule show
ip route get 203.0.113.10যদি নথিতে ক্রম না থাকে, ধরে নিন সংকীর্ণ নিয়ম নাও জিততে পারে এবং সে অনুযায়ী নকশা করুন। যে দুটি নিয়মে সংঘাত হতে পারে না সেগুলো, অগ্রাধিকার-অনুল্লেখিত একটি চতুর নিয়মের চেয়ে সহজে সহায়তা করা যায়।
নামের জন্য রিফ্রেশ নীতি দরকার
ডোমেইন হিসেবে লেখা গন্তব্য রক্ষণাবেক্ষণের সমস্যা যোগ করে। রাউটারকে এটি রিজলভ করতে হবে, ম্যাপিং রিফ্রেশ করতে হবে, একাধিক ঠিকানা ও সাবডোমেইন সামলাতে হবে, এবং প্রত্যাশিত রিজলভার এড়িয়ে যাওয়া অ্যাপ্লিকেশন DNS মোকাবেলা করতে হবে।
একটি অনুসন্ধান-ফলাফল IP নিয়মে কপি করা স্ন্যাপশট, ডোমেইন নীতি নয়।
নিয়ম ভুল হওয়ার আগে উত্তর কত পুরোনো হতে পারে, আর রিজলভ ব্যর্থ হলে রাউটার কী করে—তা ঠিক করুন। শেষ জানা ঠিকানা রাখা নিয়ম সেবা-স্থানান্তরের পরেও টিকতে পারে; এন্ট্রি ফেলে দেওয়া নিয়ম নিঃশব্দে টানেলিং বন্ধ করতে পারে। দুই আচরণই গ্রহণযোগ্য, যদি নিয়মের পাশে লিখে রাখা হয়।
অনুপলব্ধ অবস্থা নির্ধারণ করুন
রুট-পছন্দ কেবল-VPN ট্রাফিক জোর করে না। টানেল বন্ধ থাকলে রাউটার প্রবাহ আটকাতে পারে, সরাসরি পাঠাতে পারে বা অন্য টানেল ব্যবহার করতে পারে, আর প্রতিটি বিকল্পের ব্যর্থতার স্বাক্ষর আলাদা।
প্রয়োজনের কোনটি দরকার তা ঠিক করুন, তারপর টানেল বন্ধ করে প্রবাহ দেখে যাচাই করুন:
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 https://service.example/
ping -c 2 203.0.113.10রাউটার থেকে উদ্ভূত ট্রাফিক আলাদা পরিধি। DNS ফরওয়ার্ডিং, আপডেট-যাচাই ও মনিটরিং ডিভাইসের উৎস-মিল উত্তরাধিকারী না হয়ে রাউটারের নিজের থেকেই নতুন প্রবাহ শুরু করতে পারে। ওই প্রবাহগুলো স্পষ্টভাবে হিসাবে রাখুন, নইলে লগে অব্যাখ্যাত লিক হিসেবে দেখা দেবে।