কেন SSL VPN আর সাইট-টু-সাইট VPN পরস্পরের বিপরীত নয়
SSL VPN আর সাইট-টু-সাইট VPN দুটি ভিন্ন অক্ষ বোঝায়: কে নেটওয়ার্কে যোগ দেয় এবং টানেল কীভাবে তৈরি হয়। দুটোকে একসঙ্গে নাম দেওয়া মানে শ্রেণিগত ভুল করা।
একই VPN বর্ণনা করতে দুজন প্রশাসককে বলুন; একজন হয়তো বলবেন “SSL VPN”, অন্যজন বলবেন “সাইট-টু-সাইট”, যেন দুটি মেনুর প্রতিদ্বন্দ্বী বিকল্প। এগুলো ভিন্ন প্রশ্নের উত্তর, আর এগুলোকে বিকল্প হিসেবে দেখা এমন তুলনা তৈরি করে যা মীমাংসা করা যায় না। একটি লেবেল বলে কোন প্রান্তবিন্দুগুলো যুক্ত হচ্ছে; অন্যটি বলে সেগুলোর মধ্যে ট্রাফিক কী বহন করছে। অক্ষ দুটো আলাদা রাখুন, তর্কের বেশিরভাগটাই মিলিয়ে যাবে।
দুটি লেবেল, দুটি আলাদা প্রশ্ন
টপোলজি বলে কে কার সঙ্গে যুক্ত হচ্ছে। রিমোট-অ্যাক্সেস নকশা ব্যক্তিগত ব্যবহারকারী বা ডিভাইসকে একটি গেটওয়েতে যুক্ত করে, সাধারণত প্রতি-ব্যবহারকারী পরিচয় ও ঠিকানার পুলসহ। সাইট-টু-সাইট নকশা দুটি নেটওয়ার্ককে গেটওয়ের মাধ্যমে যুক্ত করে, তাই আকর্ষণীয় পরিচয় হলো সহকর্মী গেটওয়ে, কীবোর্ডের সামনের মানুষটি নয়। এগুলো ভিন্ন পরিচালন সমস্যা—ঠিকানা পরিকল্পনা থেকে শুরু করে রাত 2টায় কে অ্যাক্সেস প্রত্যাহার করতে পারবে।
মেকানিজম বলে টানেল কীভাবে তৈরি ও প্রমাণিত হয়। IKEv2-সহ IPsec, ভেতরে IP বহন করা TLS-ভিত্তিক পণ্য, এবং ব্রাউজারমুখী অ্যাপ্লিকেশন পোর্টাল—এগুলো মেকানিজমের পছন্দ, আর প্রতিটির নিজস্ব দর-কষাকষি, সাইফার স্যুট ও ব্যর্থতার ধরন আছে। এর কোনোটিই কোনো টপোলজি বোঝায় না, আর টপোলজি কোনো মেকানিজম বেছে নেয় না।
দুটি অক্ষকে একটি টেবিলে রাখুন, বিভ্রান্তি দৃশ্যমান হবে, কারণ গ্রিডের প্রতিটি ঘর পূরণ করা যায়। গ্রিড যা করতে পারে না তা হলো আপনার বিক্রেতা কোন সমন্বয় সরবরাহ করেছে তা বলা, কারণ পণ্যের নাম দুটি অক্ষকে একটি বিপণন বাক্যে মিলিয়ে দেয়।
শ্রেণিগত ভুলটি কোথা থেকে আসে
বিক্রেতারা বছরের পর বছর “SSL VPN”-কে “IPsec VPN”-এর বিপরীত হিসেবে বিক্রি করেছেন, ফলে মেকানিজমের তুলনা টপোলজির পছন্দের মতো দেখাচ্ছিল। বাক্যটি নিজের শর্তেও খারাপভাবে পুরনো হয়ে গেছে, কারণ বর্তমান নকশাগুলো সমর্থিত TLS সংস্করণ ব্যবহার করে এবং SSL নামটি মূলত পণ্য-শ্রেণি হিসেবে টিকে আছে।
| Axis | Question it settles | What it cannot tell you |
|---|---|---|
| Topology | Whether users join a gateway or two networks join each other | Which protocol carries the traffic, or how peers prove identity |
| Mechanism | Which protocol suite builds the tunnel and negotiates keys | Whether the endpoints are people, devices or routers |
| Access surface | Whether the client sees a routed network or a set of published applications | Which topology or mechanism is underneath the portal |
| Authentication | What proof each side presents, and to whom | Whether the traffic is later authorized per resource |
একই মিলন থেকে দুটি সম্পর্কিত মিথ আসে। প্রথমটি হলো IPsec মানে সাইট-টু-সাইট; IKEv2 ক্লায়েন্ট-থেকে-গেটওয়ে সম্পর্কের জন্যও নকশা করা হয়েছিল, তাই একটি একক ল্যাপটপ IPsec দিয়ে যুক্ত হতে পারে। দ্বিতীয়টি হলো TLS-ভিত্তিক পণ্য মানে কেবল রিমোট অ্যাক্সেস; OpenVPN নিয়মিতভাবে দুই সাইটের মধ্যে ট্রাফিক বহনে ব্যবহৃত হয়, আর এর TLS ব্যবহার ব্রাউজার সেশনে নয়, বরং নিয়ন্ত্রণ ও প্রমাণকরণের বিনিময়ে কেন্দ্রীভূত।
যেকোনো বর্ণনার জন্য একটি দরকারি পরীক্ষা: একটি শব্দ বদলালে যদি প্রান্তবিন্দু ও প্রোটোকল দুটোই বদলে যায়, তবে বাক্যটি অক্ষ দুটো মিশিয়ে ফেলছে। “SSL VPN বনাম সাইট-টু-সাইট” ওই পরীক্ষায় উত্তীর্ণ হয় না, কারণ প্রথম পদটি মেকানিজম-পরিবার বোঝায় আর দ্বিতীয়টি টপোলজি বোঝায়।
এমনভাবে স্থাপনা বর্ণনা করুন যাতে তুলনা করা যায়
চারটি ঘর লিখে পূরণ করুন: প্রান্তবিন্দু, মেকানিজম, প্রমাণকরণ ও অ্যাক্সেস-তল। একটি শাখা-সংযোগকে দুটি নামযুক্ত প্রিফিক্সের মধ্যে সার্টিফিকেট-প্রমাণকরণসহ এবং ব্যবহারকারী-স্তরের পোর্টাল ছাড়া একটি IKEv2 গেটওয়ে জোড়া হিসেবে পড়া যেতে পারে। একটি রিমোট-অ্যাক্সেস সেবাকে প্রতি-ব্যবহারকারী ঠিকানা বরাদ্দ করা, লগইনে দ্বিতীয় ফ্যাক্টর দাবি করা এবং কেবল একটি অভ্যন্তরীণ DNS জোন প্রকাশ করা TLS-ভিত্তিক ক্লায়েন্ট হিসেবে পড়া যেতে পারে।
এই বাক্যগুলো এমনভাবে তুলনাযোগ্য যা পণ্যের নাম নয়। দুটি রিমোট-অ্যাক্সেস নকশাকে একই ব্যবহারকারী-কর্মপ্রবাহ ও একই প্রত্যাহার-পথের বিরুদ্ধে মাপা যায়, আর দুটি আন্তঃসাইট নকশাকে একই প্রিফিক্স-তালিকা, ট্রাফিক নীতি ও ব্যর্থতার প্রয়োজনীয়তার বিরুদ্ধে। লেবেলগুলো তুলনাটি সংগঠিত করে; তারা তা প্রতিস্থাপন করে না।
পরিভাষার একটি প্রকাশিত ভিত্তিও আছে। IETF-এর VPN পরিভাষা নথি কয়েকটি সেবা-মডেল—রিমোট অ্যাক্সেস ও সাইট-টু-সাইটসহ—কে সেগুলো তৈরির মেকানিজম থেকে আলাদা করে, আর এটিই ঠিক সেই পার্থক্য যা বারবার হারিয়ে যায়।
দর-কষাকষি হওয়া প্রোটোকল পড়ুন, পণ্যের নাম নয়
বাক্সের লেবেল ঠিক করে না একটি চলমান টানেল কীসে সম্মত হয়েছে। TLS দিকে সরাসরি সহকর্মীকে জিজ্ঞাসা করুন এবং ব্রোশিওরের সংস্করণের বদলে হ্যান্ডশেক যে প্রোটোকল সংস্করণ ও সাইফার তৈরি করেছে তা পড়ুন।
openssl s_client -connect vpn.example.net:443 -tls1_3 -briefIPsec গেটওয়ের জন্য সমতুল্য পর্যবেক্ষণ আসে বাস্তবায়নের নিজস্ব স্ট্যাটাস আউটপুট থেকে, যা ব্যবহৃত IKE ও ESP প্রস্তাব জানায়। যেভাবেই হোক, বিষয়টি একই: মেকানিজম-অক্ষটি জীবন্ত সেশন থেকেই পড়তে হবে, কারণ ক্লায়েন্ট ও গেটওয়ে উভয় প্রশাসকের প্রত্যাশার চেয়ে পুরনো কিছুতে নেমে সম্মত হতে পারে।
ipsec statusall | grep -E "IKE|ESP"এর পরে বাকি প্রশ্নগুলো এমন যা কোনো লেবেলের উত্তর দেয় না। কোন প্রোটোকল সংস্করণগুলো এখনও গৃহীত হয়, গেটওয়ের পরিচয় কীভাবে যাচাই হয়, কোন অ্যালগরিদম-সেট অনুমোদিত, কে নির্দিষ্ট ব্যবহারকারীকে নির্দিষ্ট সম্পদের জন্য অনুমোদন দেয়, আর ডিভাইস হারালে কী অ্যাক্সেস প্রত্যাহার করে। একটি টপোলজি ডায়াগ্রাম ও একটি মেকানিজম-নাম ওই তালিকার শুরু, তার বিকল্প নয়।
তাহলে দুটি লেবেল রাখুন, কিন্তু সেগুলো যা তা-ই হিসেবে ব্যবহার করুন: কোন প্রান্তবিন্দু যুক্ত হচ্ছে এবং টানেল কীভাবে তৈরি হচ্ছে তা বলার সংক্ষিপ্ত উপায়। যেই মুহূর্তে একটি অন্যটিকে বাতিল করতে ব্যবহৃত হয়, বর্ণনাটি আর কিছু বর্ণনা করছে না।