SSH ব্যাস্টিয়ন নাকি সরাসরি VPN অ্যাক্সেস: কোন নীতি প্রযোজ্য?

VPN ব্যবহারকারীরা জাম্প হোস্ট পার না হয়ে সার্ভারে পৌঁছাতে পারবে কি না, এটি নেটওয়ার্কিং পোশাক পরা একটি নীতি-প্রশ্ন। যদি ব্যাস্টিয়ন একটি আবশ্যক নিয়ন্ত্রণ সম্পাদন করে, তবে VPN-এ যোগ দিলে তা তার দিকেই নিতে হবে, পাশ কাটিয়ে নয়। যদি জাম্প হোস্ট কেবল এমন একটি সেগমেন্ট সেতু করে যা আগে পৌঁছানোর অযোগ্য ছিল, তবে একটি সংকীর্ণ সরাসরি পথ সৎ বিকল্প হতে পারে। নিচের পরীক্ষাগুলো ক্রমানুসারে করুন এবং প্রথম ব্যর্থটিতেই থামুন, কারণ সেই উত্তরই বাকিটা নির্ধারণ করে।

ব্যাস্টিয়ন আসলে কী নিয়ন্ত্রণ করে তা পরীক্ষা করুন

নকশা নথির কোনো চিত্র দিয়ে নয়, বর্তমান সম্পর্কে প্রমাণ দিয়ে শুরু করুন। টার্গেটের SSH কনফিগারেশন ও প্যাকেট ফিল্টার দেখুন: যদি ইনবাউন্ড পোর্ট 22 কেবল ব্যাস্টিয়নের ঠিকানা থেকে গৃহীত হয়, তবে জাম্প হোস্ট একটি বলবৎ নিয়ন্ত্রণ। যদি একই পোর্ট পুরো VPN পুল থেকে সংযোগ গ্রহণ করে, তবে ব্যাস্টিয়ন ছিল সুবিধা এবং প্রয়োগ অন্যত্রই বাস করে। টিকিট ইতিহাস সাধারণত নিশ্চিত করে দুটির মধ্যে কোনটি আগে ছিল।

ব্যাস্টিয়ন যে নিয়ন্ত্রণ দেয় তা নামিয়ে এক বাক্যে ফলাফলটি লিখুন: গন্তব্য সীমাবদ্ধতা, দ্বিতীয় প্রমাণীকরণ ধাপ, সেশন রেকর্ডিং, বা কোনো ঘটনার সময় পরিচালনগত দৃশ্যমানতা। সেই বাক্যটিই প্রতিস্থাপন নীতিকে সংরক্ষণ করতে হবে।

টার্গেট পথ দুটিকে আলাদা করতে পারে কি না পরীক্ষা করুন

উৎস-ঠিকানার নিয়ম কেবল ততক্ষণ কাজ করে যতক্ষণ দুটি পথ ভিন্ন উৎস ঠিকানা নিয়ে আসে। যে VPN গেটওয়ে সার্ভার সাবনেটে ট্র্যাফিক মাস্কারেড করে, তা সেই পার্থক্য মুছে দেয়, আর তখন পোর্ট 22-এ প্রতিটি সংযোগ গেটওয়ে থেকেই আসছে বলে মনে হয়। পরীক্ষাটি টার্গেটেই স্থানীয় এবং এক মুহূর্ত লাগে: প্রতিষ্ঠিত SSH সেশনগুলো তালিকাভুক্ত করুন এবং প্রতিটির পিয়ার ঠিকানা পড়ুন।

যখন দুটি পথই একটি ঠিকানায় মিলে যায়, তখন পার্থক্যটি আগেই করতে হবে — VPN কোন গন্তব্যগুলো পাঠাতে পারবে এবং গেটওয়ের নিজের ফিল্টার দিয়ে। ওই পরিস্থিতিতে টার্গেটে নিয়ম যোগ করলে যা আসছে তা না বদলেই সীমানার একটি বিভ্রম তৈরি হয়।

প্রতিটি রেকর্ড আসলে কী ধারণ করে তা পরীক্ষা করুন

তিনটি ভিন্ন লগ তিনটি ভিন্ন ঘটনা বর্ণনা করে, এবং একটিও অন্যটির বিকল্প নয়। VPN-এর সংযোগ রেকর্ড দেখায় যে একটি পরিচয় নেটওয়ার্ক পরিধিতে প্রবেশ করেছে। ব্যাস্টিয়নের ফরওয়ার্ডিং রেকর্ড দেখায় একটি TCP চ্যানেল তা ছেড়ে গন্তব্য ও পোর্টের দিকে যাচ্ছে। টার্গেটের প্রমাণীকরণ লগ দেখায় একটি অ্যাকাউন্ট SSH দিয়ে সাইন ইন করেছে। এগুলো একসাথে পড়লেই সময়রেখা তৈরি হয়; একটিমাত্র পড়লে অনুমান তৈরি হয়।

ক্লায়েন্ট ও টার্গেটের মধ্যে এনক্রিপ্ট করা সেশনের ভেতরে কী ঘটেছে তা এই রেকর্ডগুলোর একটিতেও নেই। যদি কমান্ড-স্তরের পর্যালোচনা একটি প্রয়োজন হয়, তবে এর জন্য নিজস্ব ডেটা-ব্যবস্থাপনা নিয়মসহ সচেতনভাবে স্থাপিত রেকর্ডিং ব্যবস্থা দরকার। জাম্প-হোস্ট লগ থেকে এটি আশা করাই সেই পথ যেখানে একটি অডিট ফাঁক গুরুত্বপূর্ণ হওয়া পর্যন্ত লুকিয়ে থাকে।

নীতি আসলে কোথায় প্রয়োগ হয় তা পরীক্ষা করুন

ProxyJump-এর মতো ক্লায়েন্ট সেটিং একটি অনুরোধ, নিষেধ নয়। গন্তব্য পৌঁছানোর যোগ্য হলে OpenSSH আনন্দেই সরাসরি সংযোগ খুলবে, তাই ল্যাপটপের কনফিগারেশন ফাইল অভিপ্রায় বর্ণনা করে, আর ফলাফল নির্ধারণ করে ফায়ারওয়াল। প্রয়োগের স্থান VPN গেটওয়ের অনুমোদিত গন্তব্য এবং টার্গেটের নিজস্ব অ্যাক্সেস নিয়ম, যার কোনোটিই ব্যবহারকারী সম্পাদনা করতে পারেন না। একই সময়ে বিকল্প পথগুলো অডিট করুন: দ্বিতীয় ইন্টারফেস, একটি পাবলিক লিসেনার, একটি মেশ ওভারলে বা পুরোনো সাইট-টু-সাইট টানেল — প্রত্যেকটিই আপনি এইমাত্র বন্ধ করা শর্টকাটটি ফিরিয়ে দিতে পারে।

তবুও ProxyJump কনফিগার করুন, কারণ এটি অনুমোদিত পথটিকে সহজটি করে তোলে এবং রুটিন কাজকে ব্যতিক্রম তৈরি করা থেকে বিরত রাখে। বিশ্বাস করার আগে ক্লায়েন্ট আসলে কী রিজলভ করে তা নিশ্চিত করুন।

ssh -G app01.lab.internal | grep -iE '^(hostname|port|proxyjump|proxycommand)'

সচেতন সরাসরি প্রচেষ্টা দিয়ে যাচাই করুন

যে নীতি কখনো পরীক্ষা হয়নি তা একটি আশা। VPN-এ সংযুক্ত ক্লায়েন্ট থেকে এখন যে পথটি প্রত্যাখ্যাত হওয়া উচিত সেটি চেষ্টা করুন, তারপর অনুমোদিতটি চেষ্টা করুন, এবং দুই ফলাফলই রাখুন। প্রত্যাখ্যাত প্রচেষ্টাই প্রমাণ যে পরিবর্তনটি কার্যকর হয়েছে।

nc -vz -w 3 10.20.30.41 22
ssh -J bastion.lab.internal app01.lab.internal true

পরিচ্ছন্ন ফলাফল দেখতে হয় টার্গেট ঠিকানায় প্রত্যাখ্যাত বা সময়সীমা পেরোনো সরাসরি সংযোগের মতো, তারপর সফল জাম্প-হোস্ট লগইন এবং টার্গেটের দিকে সমর্থিত উৎসের নাম উল্লেখ করা একটি প্রমাণীকরণ এন্ট্রি। অন্য যেকোনো কিছু মানে সীমান্ত এখনো ছিদ্রযুক্ত, নথি যা-ই বলুক। তারিখ, যে নিয়মটি বদলানো হয়েছে এবং দুটি ফলাফল লিখে রাখুন, তারপর পুনরুদ্ধার পথটিকে একটি মালিক ও একটি মেয়াদ দিন যাতে জরুরি অ্যাক্সেস নিঃশব্দে দৈনন্দিন পথ হয়ে না যায়।