pfSense-এ স্থির টানেল ঠিকানা: পছন্দ না সংরক্ষণ?

দুটি নকশা কাগজে একই রকম দেখায় এবং কোনো নিয়ম তাদের উপর নির্ভর করলে খুব ভিন্নভাবে আচরণ করে। একটি ক্লায়েন্ট ওভাররাইডে ঠিকানা লেখে এবং ঠিকানাকে পরিচয় হিসেবে বিশ্বাস করে। অন্যটি গতিশীল প্রবেশ সম্পূর্ণ বন্ধ করে, তাই কোনো প্রান্তবিন্দুর হয় অনন্য বরাদ্দ থাকে নয় সংযুক্ত হয় না। কেবল দ্বিতীয়টি ঠিকানাকে এমন নীতি ইনপুটে বদলায় যা আপনি রক্ষা করতে পারেন, এবং একটি ফায়ারওয়াল নিয়ম লেখার আগেই পার্থক্যটি বোঝা উচিত।

ওভাররাইড ঠিকানা আসলে কী প্রতিশ্রুতি দেয়

ক্লায়েন্ট-নির্দিষ্ট ওভাররাইড প্রতি ক্লায়েন্টের জন্য বিকল্প রাখে, যার মধ্যে একটি পছন্দের টানেল ঠিকানাও আছে। Netgate সেই ঠিকানাকে সংরক্ষণের বদলে পছন্দ বলে, অর্থাৎ গতিশীল পুল সেই ঠিকানা অন্য কারও জন্য ছাড়ে না।

এটি সাধারণত ঠিক আছে। সংঘর্ষ বিরল, এবং ক্লায়েন্ট সাধারণত যা চায় তা পায়, যা সুবিধার জন্য যথেষ্ট এবং অনুমোদনের জন্য যথেষ্ট নয়। সুবিধা ও অনুমোদন ভিন্ন প্রয়োজন, এবং সংঘর্ষে তাদের মধ্যে কেবল একটি টিকে থাকে।

সাবনেট টোপোলজিতে ক্ষেত্রটি ক্লায়েন্টের ঠিকানা সার্ভার নেটওয়ার্কের মাস্কের সাথে নেয়, তাই 10.90.0.0/24 টানেলের ভিতরের ঠিকানা 10.90.0.10/24 লেখা হয়।

এর কোনোটিই নম্বর সংরক্ষণ করে না। যার ওভাররাইড মেলে না এমন ক্লায়েন্ট, বা দ্বিগুণ সেশন, পুলের অন্য কোথাও পৌঁছাতে পারে, এবং ঠিকানার উপর নির্ভর করা নিয়ম তখন এমন কাউকে বর্ণনা করে যে সেখানে নেই।

সীমিত ডিফল্ট দিয়ে গতিশীল পথ বন্ধ করুন

বিকল্প হলো কেবল স্থির সার্ভার: প্রতিটি অনুমোদিত প্রান্তবিন্দুর নিজের পরিচয় ও নিজের অনন্য ঠিকানা থাকে, এবং আর কিছুই ভিতরে আসে না।

এটি বাস্তবায়নের অর্থ হলো একটি DEFAULT ওভাররাইড যা শুধু সেই একটি সার্ভারে সীমিত এবং সংযোগ ব্লকিং সক্রিয়। তখন মিলে যাওয়া ওভাররাইড না থাকলে ক্লায়েন্ট সাধারণ গতিশীল প্রবেশে ফিরতে পারে না। এই একটি লাইনই পছন্দকে বদ্ধ সমষ্টিতে বদলায়।

পরিধি গুরুত্বপূর্ণ। ডিভাইসের প্রতিটি VPN ইনস্ট্যান্সে প্রয়োগ করা ডিফল্ট ওভাররাইড অসংশ্লিষ্ট টানেল বন্ধ করবে, এবং এই ব্যর্থতা নীতি সিদ্ধান্তের বদলে ভাঙা সেবার মতো দেখায়। এটিকে সেই একটি সার্ভারেই বাঁধুন যার প্রবেশ মডেল আপনি বদলাচ্ছেন। তারপর পরিবর্তন লগে পরিধি লিখুন, কারণ পরের ব্যক্তি মনে রাখবে না এটি কোন টানেলের।

পরে সম্পূর্ণ অনুমোদিত সমষ্টি যাচাই করুন। ডিফল্ট ব্লক ঠিকানাহীন পড়ে থাকা নামযুক্ত ওভাররাইড ঠিক করে না, এবং সেই প্রান্তবিন্দু স্পষ্ট ইঙ্গিত ছাড়া সংযুক্ত হতে পারবে না।

সার্ভার সত্যিই যে পরিচয় ব্যবহার করে তার সাথে মিলান

ওভাররাইড কোনো কিছুর সাথে মেলে। যে সার্ভার সার্টিফিকেটের সাধারণ নাম মেলায়, সেখানে ওভাররাইডের নাম সেই সাধারণ নাম হতে হবে, ব্যক্তির প্রদর্শিত নাম নয়। এটি অ্যাকাউন্ট তালিকা থেকে নয়, সার্টিফিকেট থেকে কপি করুন।

যে সার্ভার ব্যবহারকারীর নামকে সাধারণ নাম হিসেবে ব্যবহার করতে কনফিগার করা, সেটি সম্পূর্ণ ভিন্ন কী-তে মেলায়, এবং সার্টিফিকেটের নামে রাখা ওভাররাইড কখনও সক্রিয় হবে না। সেটিং পড়ুন, অ্যাকাউন্ট তালিকা থেকে অনুমান করবেন না।

স্থাপনার প্রয়োজনীয় অতিরিক্ত প্রমাণীকরণ উপাদান রাখুন। বদ্ধ ঠিকানা মডেল বদলায় কে সংযুক্ত হতে পারে এবং কোন ঠিকানা পায়; এটি সার্টিফিকেট যাচাই বা দ্বিতীয় উপাদানের জায়গা নেয় না।

মানচিত্র সঠিক হওয়ার পরে প্রবেশ নিয়ম লিখুন

পরিচয় থেকে ঠিকানার মানচিত্র বদ্ধ হওয়ার পরে নিয়মগুলি ঠিকানার উল্লেখ করতে পারে, তাদের মানুষ বলে দেখানোর প্রয়োজন ছাড়াই। একজন ব্যক্তির প্রান্তবিন্দুগুলি দলবদ্ধ করা একটি উপনাম নির্দিষ্ট সেবায় পৌঁছাতে পারে, আর অন্য উপনাম অন্য কিছুর কাছে পৌঁছায়। উপনাম পর্যালোচনাযোগ্য বস্তু হয়ে ওঠে, এবং ঠিকানা তার ভিতরের বাস্তবায়ন বিবরণ হয়ে যায়।

গন্তব্য ও পোর্ট স্পষ্ট রাখুন। সম্পূর্ণ টানেল পুল থেকে সম্পূর্ণ স্থানীয় নেটওয়ার্ক অনুমোদন করা ঠিক সেই নকশা যা এই অনুশীলনের বদলানো উচিত ছিল।

ফ্লোটিং, গ্রুপ ও ইন্টারফেস নিয়মগুলি তাদের প্রকৃত মূল্যায়ন ক্রমে পড়ুন, কারণ আগের প্রশস্ত পথ পরের সংকীর্ণ পথকে নিষ্ক্রিয় করে। ক্লায়েন্ট-থেকে-ক্লায়েন্ট অভ্যন্তরীণ ফরওয়ার্ডিং বন্ধ রাখা সমকক্ষ ট্রাফিককে সেই সীমায় রাখে যেখানে এই নিয়মগুলি যাচাই হয়। কেবল কাগজে থাকা নিয়ম প্রয়োগ নয়।

নেতিবাচক ক্ষেত্রগুলি পরীক্ষা করুন

চারটি নতুন সংযোগ চেষ্টা করুন: একটি নামযুক্ত প্রান্তবিন্দু, একটি কোনো ওভাররাইড ছাড়া, একটি সেবা যা পৌঁছানো উচিত এবং একটি যা উচিত নয়। তালিকায় না থাকা প্রান্তবিন্দুই গুরুত্বপূর্ণ ক্ষেত্র, কারণ নকশা ঠিক তাকেই থামানোর জন্য। যদি সেটি সংযুক্ত হয়, ডিফল্ট ব্লক তার কাজ করছে না।

IPv6 আলাদাভাবে যাচাই করুন, কারণ IPv4 ঠিকানা নীতি দ্বিতীয় স্ট্যাক সম্পর্কে কিছু বলে না। তারপর নিশ্চিত করুন যে অ্যাপ্লিকেশন এখনও ব্যবহারকারীকে অনুমোদন করে, কারণ টানেল ঠিকানা নেটওয়ার্কের তথ্য, কীবোর্ডে কে আছে তার প্রমাণ নয়। উভয় যাচাই স্বীকৃতি টীকায় থাকা উচিত।

শেষে, স্থানান্তরের পরিকল্পনা করুন। নতুন ওভাররাইড ও সংকীর্ণ নিয়ম আগে থেকে প্রতিষ্ঠিত সেশনকে পিছনে ফিরে বদলায় না, তাই বিদ্যমান অবস্থাগুলি শেষ হতে হবে বা ইচ্ছাকৃতভাবে মুছতে হবে।