ছোট অফিসের VPN: এটি ডোমেইন কন্ট্রোলার থেকে আলাদা রাখুন

অফিসের একমাত্র Windows সার্ভারটি VPN-ও সমাপ্ত করবে কি না, তা তিনটি শর্ত নির্ধারণ করে: ডিরেক্টরিতে কতটা ইন্টারনেটমুখী সফটওয়্যার চালাতে আপনি রাজি, সেই ভূমিকা ছাড়াই আপনি দূরবর্তী ব্যবহারকারীদের প্রমাণীকরণ করতে পারেন কি না, এবং হোস্ট রিবুট হলে আপনার ব্যবস্থাপনা অ্যাক্সেসের কী হয়। তিনটির যেকোনোটির উত্তর খারাপ হলে ভূমিকাগুলো আলাদা করুন। অফিস ছোট হওয়া বাজেট বদলায়, ঝুঁকি নয়।

ডোমেইনের প্রতিটি মেশিন ডোমেইন কন্ট্রোলারকে বিশ্বাস করে; VPN গেটওয়ে ইন্টারনেটের যে কেউ পৌঁছাতে পারে। এই অসামঞ্জস্যই পুরো যুক্তি।

দুটি ভিন্ন এক্সপোজার প্রোফাইলের দুটি কাজ

গেটওয়ে বাইরে থেকে সংযোগ গ্রহণ করে, তাই এর লিসেনার, TLS স্ট্যাক ও প্রমাণীকরণের পৃষ্ঠ সবই অবিশ্বস্ত নেটওয়ার্ক থেকে পৌঁছানো যায়। ডিরেক্টরি এমন কর্তৃত্ব ধরে রাখে যা অন্য মেশিন বিশ্বাস করে, তাই Microsoft-এর হার্ডেনিং নির্দেশনা ডোমেইন কন্ট্রোলার ভূমিকা ও তার হোস্টিং পরিবেশকে বিশেষভাবে সংবেদনশীল হিসেবে দেখে। সেই হোস্টে যোগ করা প্রতিটি সেবা ডিরেক্টরির বিশ্বাসের অবস্থান উত্তরাধিকারে পায় এবং নিজের আক্রমণ-পৃষ্ঠ যোগ করে। ইনস্টলেশনের সুবিধা কোনো বিশ্বাসের সীমা নয়।

ভূমিকা আলাদা করলে নির্ভরতাগুলো যায় না। দূরবর্তী ব্যবহারকারীদের এখনও প্রমাণীকরণ, রুট, DNS ও অ্যাক্সেস নিয়ম দরকার, আর যেসব গেটওয়ে সেগুলো বাদ দেয় তা বেশি নিরাপদ নয়, শুধু কম উপযোগী।

ডিরেক্টরি ভূমিকা ছাড়াই প্রমাণীকরণ

গেটওয়ে একটি সমর্থিত বহিরাগত ইন্টিগ্রেশনের মাধ্যমে ডিরেক্টরি নিজেই হোস্ট না করেই শংসাপত্র যাচাই করতে পারে। ওই ইন্টিগ্রেশন যা-ই হোক, তাকে উদ্দেশ্যের সঙ্গে মেলানো অধিকারযুক্ত একটি অ্যাকাউন্ট দিন: প্রমাণীকরণের জন্য প্রয়োজনীয় অ্যাট্রিবিউট পড়া, তার বেশি নয়। VPN ব্যবহারকারীদের গ্রহণ করা কখনও তাদের সাধারণ অ্যাকাউন্টকে ডোমেইন অ্যাডমিনিস্ট্রেটর বানানো দাবি করে না, আর কখনও গেটওয়েকে ডিরেক্টরির একটি কপি রাখতে দাবি করে না।

তারপর দূরবর্তী ক্লায়েন্টের সত্যিই যে নেটওয়ার্ক পথ দরকার তা সীমাবদ্ধ করুন। একটি অভ্যন্তরীণ ফাইল সেবায় অ্যাক্সেস, সাথে সেই কর্মপ্রবাহ নির্ভর করে এমন নাম-সমাধান ও পরিচয় সেবা, হলো নির্ধারিত পথের সেট। এটি VPN পুল থেকে প্রতিটি ডোমেইন কন্ট্রোলার পোর্ট বা প্রতিটি প্রশাসনিক ইন্টারফেস অনুমোদনের কারণ নয়।

একটি হোস্ট এখনও একটি ব্যর্থতার ডোমেইন

একটি হাইপারভাইজারে দুটি গেস্ট তাদের অপারেটিং সিস্টেম কনফিগারেশন আলাদা করে, ভাগ্য আলাদা করে না। হাইপারভাইজারের প্রশাসক, ভার্চুয়াল সুইচিং, স্টোরেজ ও ব্যাকআপ ডিজাইনের অংশ থাকে, আর হোস্ট রিবুট একসাথে দুটি সেবাই সরিয়ে দেয়। ডায়াগ্রামে দুটি VM দেখায় বলে এটাকে উচ্চ প্রাপ্যতা বলা সাধারণ ও ব্যয়বহুল ভুল। ফেরার একমাত্র পথ যদি সেই হোস্টের VPN দিয়ে যায়, তবে ব্যর্থতা মেরামতের জন্য দরকারি সংযোগটিই কেড়ে নেয়।

তাই টানেলের উপর নির্ভর করে না এমন একটি স্বাধীন ব্যবস্থাপনা পথ পরিকল্পনা করুন এবং রক্ষণাবেক্ষণের সময় কী উপলব্ধ থাকে তা লিখে রাখুন। গেটওয়ে আপডেট ও ডিরেক্টরি রক্ষণাবেক্ষণ আলাদাভাবে সময়সূচি করুন, প্রতিটি বাধা কোন ব্যবহারকারী বা অ্যাপ্লিকেশনকে স্পর্শ করে তা উল্লেখ করে।

VPN ঠিক করতে VPN চালু থাকা দরকার এমন রক্ষণাবেক্ষণ উইন্ডো রক্ষণাবেক্ষণ উইন্ডো নয়।

নিজেকে বাইরে আটকে না দিয়ে এটি সরান

ভূমিকাগুলো ইতিমধ্যে একটি ইনস্টলেশন ভাগ করে নিলে তাড়াহুড়ো করা দূরবর্তী মাইগ্রেশন এড়িয়ে চলুন। গেটওয়ে আজ যা মালিকানা রাখে তার তালিকা করুন: ঠিকানা, ফরওয়ার্ডিং নিয়ম, NAT, DNS সেটিংস, প্রমাণীকরণ কনফিগারেশন ও প্রকাশিত সেবা। লিসেনার সরানো বা ডিফল্ট রুট বদলানোর আগে প্রতিস্থাপন ও ফেরার পথ দুটোই প্রস্তুত করুন। তারপর নতুন সীমান্ত দিয়ে একজন সাধারণ দূরবর্তী ব্যবহারকারীর প্রকৃত কাজ পরীক্ষা করুন এবং নিশ্চিত করুন অপ্রয়োজনীয় প্রশাসনিক অ্যাক্সেস এখনও ব্যর্থ হয়।

লক্ষ্য সুন্দরতর ডায়াগ্রাম নয়। পুরো অফিসের জন্য ডিরেক্টরি বিশ্বাসকে নোঙর করা বাক্সটি না ছুঁয়ে VPN মেরামত বা পুনর্নির্মাণের ক্ষমতাই লক্ষ্য। এগুলো ভিন্ন উদ্দেশ্য, এবং তাদের একটিরই দ্বিতীয় সার্ভার দরকার।

যেভাবেই হোক সিদ্ধান্তটি লিপিবদ্ধ করুন, এটি আবার খুলতে পারে এমন শর্তসহ। ছোট অফিস বাড়ে, আর এক সার্ভারে যুক্ত উত্তরটি পরেরটিতে নাও খাপ খেতে পারে।