ট্রান্সপোর্ট বা টানেল মোড: সিদ্ধান্ত প্যাকেটে, ডায়াগ্রামে নয়
ট্রান্সপোর্ট ও টানেল বলে ESP-এর ভিতরে কী থাকে, হোস্ট বা গেটওয়ে জড়িত কি না তা নয়। তিনটি প্রশ্ন ঠিক করে কোন মোড একটি ডিপ্লয়মেন্টের দরকার।
পাঠ্যবইয়ের ডায়াগ্রাম ট্রান্সপোর্ট মোডকে দুটি হোস্টের সঙ্গে আর টানেল মোডকে দুটি গেটওয়ের সঙ্গে জোড়ে, আর এই নিয়মটি ততদিন টিকে থাকে যতদিন না প্রথম কোনো ডিপ্লয়মেন্ট এটি ভাঙে। মোড বলে ESP প্যাকেটটি কী মোড়া করে, কারা পক্ষ তা নয়। একটি গেটওয়ে ট্রান্সপোর্ট মোডে ট্রাফিক সুরক্ষিত করতে পারে, আর দুটি হোস্ট চাইলে টানেল মোড ব্যবহার করতে পারে। তিনটি প্রশ্ন ঠিক করে একটি নির্দিষ্ট ডিপ্লয়মেন্টের কী দরকার।
মোড হলো একটি বিন্যাস, টপোলজি নয়
ট্রান্সপোর্ট মোডে ESP হেডার IP হেডারের পরে এবং পরবর্তী স্তরের পেলোডের আগে যায়, তাই মূল IP হেডার বাইরে ও দৃশ্যমান থাকে। টানেল মোডে সুরক্ষিত বিষয়বস্তু একটি সম্পূর্ণ IP প্যাকেট, আর একটি নতুন বাইরের হেডার দুটি IPsec পক্ষের নাম দেয়।
| Mode | What follows the outer IP header | Headers a capture shows |
|---|---|---|
| Transport | ESP, then the next-layer payload | One IP header |
| Tunnel | ESP, then a whole inner IP packet | Outer and inner headers |
গোপনীয়তা নির্বাচন করলে টানেল মোডে সুরক্ষিত অঞ্চলটিতে ওই ভিতরের IP হেডারও থাকে, তাই কোনো ক্যাপচার কী ছাড়া আপনাকে প্রকৃত প্রান্তবিন্দু বলতে পারে না। বাইরের হেডার দুই ক্ষেত্রেই পাঠযোগ্য থাকে, আর এটিই সমস্যা নির্ণয়কে আদৌ সম্ভব করে।
প্রশ্ন এক: ESP-এর ভিতরে ঠিক কী আছে
অ্যাপ্লিকেশন যে প্যাকেট তৈরি করে তা দেখুন এবং জিজ্ঞাসা করুন কোন সীমা এটি সুরক্ষিত করে। উত্তর যদি ইতিমধ্যে সঠিক দুটি ঠিকানার মধ্যে ট্রান্সপোর্ট পেলোড হয়, তবে দ্বিতীয় হেডার না বানিয়েই ট্রান্সপোর্ট মোড খাপ খায়। সুরক্ষিত বিষয়বস্তুর যদি নিজের ঠিকানা দরকার হয়, কারণ প্রকৃত প্রান্তবিন্দু ট্রাফিক বহনকারী পক্ষগুলো থেকে আলাদা, তবে কাজটি টানেল মোড করে। দুই ক্ষেত্রই একই প্রতিষ্ঠানে থাকে, তাই একটি নীতিবিবৃতি খুব কমই সব কিছু ঢাকে।
এই প্রশ্নের উত্তর একটি ক্যাপচার ও একটি রাউটিং টেবিল থেকে দেওয়া যায়। যে আঁকা বাক্সগুলোকে ক্লায়েন্ট ও সার্ভার বলে নাম দেয়, তা থেকে উত্তর দেওয়া যায় না। যেকোনো পক্ষে নেওয়া ক্যাপচার কয়েক সেকেন্ডেই দেখায় আপনি দুটির কোনটি দেখছেন।
প্রশ্ন দুই: ভিতরে কি ইতিমধ্যেই একটি টানেল আছে
L2TP হলো সেই ঐতিহাসিক বিপরীত উদাহরণ যা কথাটি বোঝায়। পরিষেবাটি L2TP সেশন ভিতরে PPP বহন করে, আর IPsec সেই বিনিময় রক্ষা করে; বিন্যাসটি ট্রান্সপোর্ট মোড নির্দিষ্ট করে, টানেল মোডকে বিকল্প হিসেবে অনুমোদিত রেখে। দৃশ্যমান ফল হলো পরিষেবা স্তরে একটি টানেল, যার বাইরের সুরক্ষা ট্রান্সপোর্ট মোড ব্যবহার করে।
তাই পণ্যের বর্ণনায় টানেল শব্দের উপস্থিতি তার নিচের স্তরের মোড সম্পর্কে কিছুই বলে না। কোন প্রশ্নটি এটি ঠিক করেছে তা লিখে রাখুন, কারণ পরবর্তী পর্যালোচকও একই কথা জিজ্ঞাসা করবেন। নাম থেকে অনুমান না করে ওই সমন্বয়ের স্পেসিফিকেশন পড়ুন, কারণ এই অভ্যাসই পণ্যকে কী সমর্থন করতে হবে তা নিয়ে বেশিরভাগ বিতর্ক আটকায়।
প্রশ্ন তিন: পক্ষটির কী প্রয়োজন
দুই পক্ষকে একমত হতে হয়, আর যে প্রস্তাব একটি মোড দেয় অথচ অন্য পক্ষটি দ্বিতীয়টি দাবি করে, তা চুপচাপ দুর্বল হওয়ার বদলে দর-কষাকষির সময় ব্যর্থ হয়। দূর প্রান্তের মালিককে জিজ্ঞাসা করুন নীতিটি কোন মোডের নাম দেয়, আর ডকুমেন্টেশনের সারাংশ নয়, প্রস্তাবটি যাচাই করুন।
মিশ্র পরিবেশ সাধারণ: একটি গেটওয়ে একটি পুরোনো পণ্যের জন্য ট্রান্সপোর্ট-মোড সেশন আর একটি সাইট লিঙ্কের জন্য টানেল-মোড সেশন সমাপ্ত করে। মোডটি প্রতি অ্যাসোসিয়েশনে, প্রতি ডিভাইসে নয়। বৈশিষ্ট্যের নামের বদলে অ্যাসোসিয়েশনের তালিকা চান, কারণ নাম কনফিগারেশনের চেয়ে দ্রুত ছড়ায়।
যে অ্যাসোসিয়েশন আছে তা পড়া
পর্যালোচনার জন্য পক্ষ, মোড, সিলেক্টর ও পরবর্তী স্তরের প্রোটোকল তালিকাভুক্ত করুন, তারপর ফলাফলের চারপাশে জড়ানো যে কোনো এনক্যাপসুলেশন যোগ করুন। ঠিকানা অনুবাদ নিজের বাইরের দৃশ্য যোগ করে এবং এটি কোনো মোড নয়; অনূদিত প্রবাহ তখনও দুটির যেকোনো একটি হতে পারে। তালিকাই একমাত্র উপকরণ যা অ্যাসোসিয়েশনকে উদ্দিষ্ট অবস্থায় নয়, ইনস্টল করা অবস্থায় দেখায়।
রাউটিং ও অনুমোদনের প্রশ্ন দিয়ে শেষ করুন, কারণ সঠিক প্যাকেট বিন্যাস কোন সাবনেট অনুমোদিত বা উত্তরপথ আছে কি না তা কিছুই বলে না। সেগুলো নীতি ও রুট টেবিলে থাকে, আর কোনোটিই মোড নিয়ে যুক্তি বদলায় না।