TLS VPN বনাম IPsec: পাঁচটি ক্ষেত্র যা যাচাই করা উচিত
TLS VPN ও IPsec VPN তুলনা করুন রিলিজ, প্রোটোকল সংস্করণ, স্যুট, সহকর্মী পরিচয় ও উন্মোচিত পরিধির ভিত্তিতে, সাথে আপনি যে ব্যর্থতা-ফলাফল সত্যিই কনফিগার করেছেন তার ভিত্তিতে।
প্রোটোকল পরিবার অনুসারে TLS VPN-কে IPsec VPN-এর সাথে ক্রমবিন্যাস করা এমন প্রশ্নের উত্তর দেয় যা কেউ করেনি, এবং সাধারণত এমন নির্মাণ উল্লেখ করে যা দুই পরিবারই বছর আগে ছেড়ে দিয়েছে। একজন পর্যালোচক সত্যিই যা মূল্যায়ন করতে পারেন তা হলো আলোচিত সুরক্ষা, সহকর্মীর পরিচয়, ক্লায়েন্ট মডেল এবং উন্মোচিত সেবা। এই চারটি জিনিস মোতায়েনে দৃশ্যমান, এবং কোনোটিই পণ্যের লেবেল থেকে আসে না। পাঁচটি ক্ষেত্র চান এবং কথোপকথন সুনির্দিষ্ট হয়ে যায়।
পাঁচটি ক্ষেত্র, আর লেবেল তাদের একটি নয়
প্রথম ক্ষেত্রটি সমর্থিত সফটওয়্যার রিলিজ, কারণ সংস্করণ ছাড়া প্রোটোকলের বর্ণনা একটি বিজ্ঞাপনপত্র। দ্বিতীয়টি আলোচিত প্রোটোকল সংস্করণ, যা নির্ধারণ করে কোন নির্মাণগুলো আদৌ উপলব্ধ। তৃতীয়টি সুরক্ষা স্যুট, চতুর্থটি সহকর্মী ও ব্যবহারকারী উভয়ের জন্য প্রমাণীকরণ পদ্ধতি, এবং পঞ্চমটি হলো প্রবেশের পরে পণ্যটি যে অ্যাক্সেস পরিধি দেয়।
SSL VPN লেবেল অন্তত তিনটি ভিন্ন পণ্য কভার করে: সম্পূর্ণ নেটওয়ার্ক ক্লায়েন্ট, অ্যাপ্লিকেশন প্রক্সি এবং ব্রাউজার-ভিত্তিক পুরোনো পোর্টাল। তারা ভিন্ন সেবা উন্মোচন করে এবং ভিন্নভাবে ব্যর্থ হয়, তাই লেবেল পরিধির ক্ষেত্রটির বিকল্প হতে পারে না।
| Field | What a usable answer looks like |
|---|---|
| Release | A version with a support window, not a family name |
| Protocol version | TLS 1.3 or IKEv2 with the ESP suite named |
| Protection suite | An authenticated-encryption algorithm, not a cipher list |
| Authentication | Peer identity plus user or device identity, separately |
| Access scope | The services reachable after admission |
প্রমাণিত এনক্রিপশন আসলে কী বদলায়
TLS 1.3 প্রমাণিত এনক্রিপশন বাধ্যতামূলক করে, যা পুরোনো MAC-then-encrypt নির্মাণকে ঐচ্ছিক রাখার বদলে প্রোটোকল থেকে সরিয়ে দেয়। IPsec ESP-তেও সমান সময় ধরে প্রমাণিত এনক্রিপশন স্যুট রয়েছে, এবং AES-GCM তার নিজস্ব RFC-তে সংজ্ঞায়িত। উভয় পরিবারেই গ্যারান্টি পরিবারের নাম থেকে নয়, আলোচিত স্যুট থেকে আসে, তাই ক্ষেত্রের তালিকা সংস্করণ দিয়ে শুরু হয়। যে পর্যালোচক স্যুটের নাম বলতে পারেন না, তার মূল্যায়নের কিছু নেই।
তাই ঐতিহাসিক তুলনা বিভ্রান্তিকর। CBC স্যুটসহ পুরোনো TLS সংস্করণে পিন করা মোতায়েন এবং AEAD স্যুটসহ TLS 1.3 চালানো মোতায়েন একই নিরাপত্তা অবস্থান নয়, যদিও দুটোই TLS VPN। একই বিভাজন IPsec পক্ষে আধুনিক ESP স্যুট ও পুরোনো সমন্বয়ের মধ্যেও আছে।
আপনার অভিপ্রেত কনফিগারেশন নয়, আলোচিত মানগুলো পড়ুন। নিচের কমান্ডগুলো দেখায় একটি সক্রিয় প্রান্তবিন্দু ও একটি সক্রিয় টানেল আসলে কীসে সম্মত হয়েছে।
openssl s_client -connect vpn.lab.example:443 -tls1_3 -brief
ip xfrm state
swanctl --list-sasযদি প্রান্তবিন্দু TLS 1.3-এ আলোচনা করতে না চায়, এটি একটি পর্যবেক্ষণ, পছন্দ নয়। যদি টানেল এমন স্যুট তালিকাভুক্ত করে যা আপনি প্রত্যাশা করেননি, গুরুত্বপূর্ণ কনফিগারেশন হলো যা সহকর্মীরা বেছে নিয়েছে, টেমপ্লেটের নয়।
সহকর্মীর পরিচয় একটি আলাদা প্রশ্ন
যাচাইকৃত সহকর্মী ছাড়া এনক্রিপশন ট্রাফিককে পর্যবেক্ষকদের থেকে রক্ষা করে এবং যিনি সংযোগের উত্তর দিয়েছেন তার কাছে তা সমর্পণ করে। সহকর্মী প্রমাণীকরণ জিজ্ঞাসা করে কোন পরিচয় প্রত্যাশিত, কোন বিশ্বাস-উপাদান তা যাচাই করে, এবং উত্তর না মিললে ক্লায়েন্ট কেমন আচরণ করে। সার্টিফিকেট শৃঙ্খল, পিন করা কী এবং পূর্বে ভাগ করা গোপনীয়তা তিনটি ভিন্ন উত্তর যার তিনটি ভিন্ন পরিচালন ব্যয়।
তারপর ব্যবহারকারী বা ডিভাইস সম্পর্কে একই প্রশ্ন করুন। যে গেটওয়ে মেশিন প্রমাণীকরণ করে যেকোনো ব্যবহারকারীকে প্রবেশ দেয়, বা উল্টোটা, তার একটি নির্দিষ্ট অবস্থান আছে যা লিখে রাখা উচিত, ধরে নেওয়া নয়। প্রবেশের পরে প্রয়োগ করা সম্পদ অনুমতি একই ক্ষেত্রের অংশ, কারণ প্রমাণীকরণ অনুমোদন নয়।
হোস্টনাম ও সার্টিফিকেট যাচাই ধরে রাখা লগইন উইন্ডোর পরিচিতির চেয়ে বেশি গুরুত্বপূর্ণ। যাচাই উপেক্ষা করতে কনফিগার করা ক্লায়েন্ট সেই একমাত্র ধাপটি সরিয়ে দিয়েছে যা আপনার গেটওয়েকে বিশ্বাসযোগ্য নকল থেকে আলাদা করে।
পণ্যটি যে সীমানা উন্মোচন করে
ক্লায়েন্টবিহীন পোর্টাল নির্বাচিত অ্যাপ্লিকেশন ক্রিয়া গেটওয়ে দিয়ে প্রক্সি করে, তাই ব্যবহারকারী নেটওয়ার্ক নয়, ইন্টারফেসে পৌঁছায়। পূর্ণ-টানেল ক্লায়েন্ট যা তার রুট ও ফিল্টারিং নীতি বেছে নেয় তা বহন করে, যা অনেক বড় পৃষ্ঠ। দুটিকে প্রোটোকল শক্তিতে তুলনা করা আক্রমণকারী তাদের মাধ্যমে কী পেতে পারে সেই পার্থক্য মিস করে। একটি অ্যাপ্লিকেশন ইন্টারফেস উন্মোচন করে, অন্যটি রুট করা নেটওয়ার্ক, এবং দুটিই ভিন্ন পর্যালোচনা দাবি করে।
জিজ্ঞাসা করুন কোন সেবা উন্মোচিত, কোন ক্রিয়া অনুমোদিত এবং গেটওয়ে নিজে কী শোনে। ব্যবহারকারী পোর্টালের একই ঠিকানা থেকে পৌঁছানো যায় এমন ব্যবস্থাপনা ইন্টারফেস মোতায়েনের একটি পর্যবেক্ষণ, এবং কোনো প্রোটোকল পছন্দ তা পূরণ করে না।
প্রতি-অ্যাপ্লিকেশন পরিধি পৃষ্ঠকে আরও সংকুচিত করে, এবং টানেল পড়ে গেলে ব্যর্থতার আচরণও বদলায়। পূর্ণ-টানেল নাগাল ধরে নেওয়া নকশা এমনভাবে ভাঙে যা প্রতি-অ্যাপ নকশা জানে না, এবং সহায়তা ভার তার পরে আসে।
ব্যর্থতার ফলাফল ও জীবনচক্র নির্ধারণ করুন
প্রমাণীকরণ বা সুরক্ষা না থাকলে কী হয় তা একটি নীতি সিদ্ধান্ত যা পর্যালোচনার অংশ। অবরুদ্ধ ফলাফল ও ঘোষণাহীন সরাসরি ফিরে যাওয়ার ভিন্ন পরিণতি আছে, এবং পার্থক্যটি বৈশিষ্ট্য তালিকায় অদৃশ্য। অভিপ্রেত আচরণ তা যে সম্পদ রক্ষা করে তার পাশে লিখুন।
গেটওয়ের প্যাচ ও সহায়তা জীবনচক্র, এর সক্রিয় বাহ্যিক বৈশিষ্ট্য এবং ক্লায়েন্টদের জন্য হালনাগাদ পথ অন্তর্ভুক্ত করুন। সঠিক প্রোটোকল পছন্দ খারাপভাবে মোতায়েন করা সেবাকে নিরাপদ করে না, এবং বেশিরভাগ ঘটনা স্যুটে নয়, সেই ফাঁকে বাস করে।
পাঁচটি ক্ষেত্র, ব্যর্থতার নীতি এবং জীবনচক্রের মালিক এক পাতায় লিখুন। সেই পাতা একটি পর্যালোচনা; প্রোটোকল পরিবারের তুলনা একটি মত।