শেয়ার করা VPN অ্যাকাউন্ট: ডিভাইসের সীমা ক্লায়েন্ট বিচ্ছিন্নতা নয়

আটটি একসঙ্গে সংযোগ হলো লাইসেন্স পাতার একটি সংখ্যা, আর সেগুলো এই আটটি ডিভাইস একে অপরের প্রতি কী করতে পারে সে সম্পর্কে কিছুই বলে না। একটি শেয়ার করা লগইন প্রতি-সেশন কী-এর সঙ্গে সহাবস্থান করতে পারে, আবার এমন গেটওয়ের সঙ্গেও থাকতে পারে যা এক ক্লায়েন্টের ট্রাফিক অনায়াসে অন্যের কাছে পাঠায়। অ্যাকাউন্টকে নিরাপত্তার সীমানা ভাবাই ভুল। বরং চারটি আলাদা প্রশ্ন করুন: কী কেনা হয়েছে, টানেলকে কী রক্ষা করে, পিয়ারদের মধ্যে কী যেতে পারে এবং স্থানীয় সংযোগ কীভাবে ভেঙে পড়তে পারে।

সংযোগের অনুমতি আসলে কী প্রতিশ্রুতি দেয়

ডিভাইসের সীমা গোনে এক সাবস্ক্রিপশনের জন্য প্রোভাইডার কতগুলো সেশন গ্রহণ করবে। এটি বাণিজ্যিক ও পরিচালনগত নিয়ন্ত্রণ, পরিচয় বা বিচ্ছিন্নতা সম্পর্কে কোনো ঘোষণা নয়। কিছু প্রোভাইডার এক অ্যাকাউন্টের অধীনে প্রতিটি ডিভাইসের জন্য আলাদা সার্টিফিকেট দেয়; আবার কিছু প্রোভাইডার প্রতিটি সংযোগে একই ক্রেডেনশিয়াল পুনর্ব্যবহার করে। পার্থক্য ধরা পড়ে প্রত্যাহারের সময়, কারণ আলাদা ক্রেডেনশিয়াল একটি ডিভাইস কেটে দিতে দেয়, আর শেয়ার করা ক্রেডেনশিয়াল সে সুযোগই দেয় না।

কী আলাদা করার বিষয়ে কিছু অনুমান করার আগে প্রোভাইডার কীভাবে ক্রেডেনশিয়াল দেয় তা পড়ুন। অ্যাকাউন্টের নাম নিজেই এর কিছুই প্রকাশ করে না।

গেটওয়ে ক্লায়েন্টদের মধ্যে ফরওয়ার্ড করে কি না দেখুন

পিয়ারদের মধ্যে পৌঁছানো সার্ভার-পক্ষের সিদ্ধান্ত। OpenVPN-এ সংশ্লিষ্ট সুইচটি কনফিগারেশনে না থাকলে অনুপস্থিত, তবে আধুনিক ডেটা-প্লেন অফলোড নিয়মটি কোথায় প্রয়োগ হয় তা বদলে দেয়।

grep -n "client-to-client" /etc/openvpn/server.conf
iptables -A FORWARD -i tun0 -o tun0 -j DROP

ওই নির্দেশনা ছাড়া কনফিগারেশন পিয়ার ট্রাফিক হোস্ট ফায়ারওয়ালের হাতে ছেড়ে দেয়, যা তবুও তা অনুমোদন করতে পারে। অফলোড সক্রিয় থাকলে টানেল ইন্টারফেস ব্যবহারকারী-স্পেস প্রসেসের বদলে কার্নেল সামলায়, তাই ফাইলে ভরসা না করে নিয়মের কাউন্টার যাচাই করুন। টানেলের ঠিকানাগুলোর মধ্যে ফরওয়ার্ড হওয়া ট্রাফিক আটকানো ক্লায়েন্টদের গেটওয়েতে প্রবেশাধিকার না ছুঁয়ে তাদের বিচ্ছিন্ন করে। এক ক্লায়েন্ট থেকে অন্য ক্লায়েন্টের সেবায় একটি প্রোব দিয়ে নিশ্চিত করুন, নিয়মের আগে ও পরে দুবার।

পিয়ারদের আগে সেশন রক্ষা করুন

টানেল সুরক্ষা ও পিয়ার প্রবেশাধিকার আলাদা বৈশিষ্ট্য, আর শক্তিশালী সাইফার বিচ্ছিন্নতা বোঝায় না। TLS মোডে প্রতিটি ক্লায়েন্ট নিজের সেশন কী তৈরি করে, তাই গেটওয়ে ট্রাফিক পাঠালেও এক ক্লায়েন্ট অন্য ক্লায়েন্টের ট্রাফিক পড়তে পারে না। পুরনো স্ট্যাটিক-কী ব্যবস্থায় সবাই একটি কী ভাগ করে, তাই সেখানে লগইন পুনর্ব্যবহারের পরিণতি অনেক বেশি খারাপ। মার্কেটিং পাতার বদলে কনফিগার করা মোড পরীক্ষা করুন, তারপর বিচার করুন অ্যাকাউন্ট শেয়ার করা সংশ্লিষ্ট তথ্যের জন্য উপযুক্ত কি না।

প্রতিটি হোস্টে সেবার প্রমাণীকরণ এখনও জরুরি, কারণ টানেল কেবল প্রমাণ করে একটি ক্লায়েন্ট নেটওয়ার্কে পৌঁছেছে, এই নয় যে তার একটি নির্দিষ্ট ডেমন পর্যন্ত পৌঁছানো উচিত।

স্থানীয় Wi-Fi ব্যর্থতা VPN আপস নয়

ছিঁড়ে যাওয়া সংযোগ প্রমাণ করে স্থানীয় সংযোগ ব্যর্থ হয়েছে, কেউ টানেল ভেঙেছে তা নয়। হস্তক্ষেপ, হারানো DHCP লিজ ও রোমিং হ্যান্ডঅফ—সবই ক্রেডেনশিয়াল বা সাইফারটেক্সট না ছুঁয়ে একটি সেশন শেষ করে। সংযোগ বিচ্ছিন্নতাকে প্রাপ্যতার পর্যবেক্ষণ হিসেবে ধরুন এবং গোপনীয়তা ও পিয়ার প্রবেশাধিকারের পর্যবেক্ষণ থেকে আলাদা রাখুন। যেখানে স্থানীয় নেটওয়ার্ক অবিশ্বস্ত, সেখানে কেবল টানেলের উপর নির্ভর না করে ট্রাফিককে শুরু থেকে শেষ পর্যন্ত রক্ষা করুন।

চারটি উত্তর লিখে রাখুন: অনুমতি, কী মডেল, পিয়ার নীতি এবং স্থানীয় সংযোগের নির্ভরতা। সেই নথি শেয়ার করা অ্যাকাউন্ট নিয়ে অস্পষ্ট দুশ্চিন্তাকে নির্দিষ্ট নিয়ন্ত্রণে বদলে দেয়।