দুটি SSID, দুটি নির্গমনপথ: কোন নীতি কোথায় জেতে?

একই গেটওয়েতে দুটি SSID দেখতে দুটি নেটওয়ার্কের মতো লাগে, কিন্তু গেটওয়ে সেভাবেই আচরণ না করলে তারা দুটি নেটওয়ার্ক নয়। রেডিও দুটিকেই একই ব্রিজে পাঠায়, যদি অ্যাক্সেস পয়েন্ট প্রতিটি SSID-কে নিজস্ব VLAN-এ না মেলায়। আর আলাদা ইন্টারফেস থাকলেও ট্রাফিক সেই পথ ও ফায়ারওয়াল নীতি অনুসরণ করে যা গেটওয়ে ওই ইনগ্রেসে প্রয়োগ করে। SSID হলো একটি লেবেল; নীতি হলো যা আপনি লিখে রাখেন।

SSID কোনো নীতি নয়

রাউটার স্পর্শ করার আগেই দুটি নেটওয়ার্কের নাম দিন এবং তাদের অভীষ্ট নির্গমনপথ লিখে রাখুন। হোম সাধারণ WAN-এ যায়, ওয়ার্ক VPN ইন্টারফেসে যায়, এবং কোনোটিই অন্যের পথ উত্তরাধিকার পায় না। দুটি SSID যদি একই অসেগমেন্টেড ব্রিজে পড়ে, তবে নামগুলি কিছুই তৈরি করেনি। ওই সমতল ব্রিজই এই নকশার নিঃশব্দে ব্যর্থ হওয়ার সবচেয়ে সাধারণ উপায়।

অ্যাক্সেস পয়েন্টকে তাদের আলাদা ইন্টারফেস হিসেবে দেখাতে হবে, ট্যাগ করা বা আলাদা ব্রিজে ভাগ করা। এটি একটি পূর্বশর্ত, খুঁটিনাটি নয়। প্রথম নিয়ম লেখার আগেই ম্যাপিংটি লিখুন।

ইনগ্রেস ইন্টারফেস দিয়ে শ্রেণিবিন্যাস করুন

প্যাকেটটি যে বিন্দুতে গেটওয়েতে ঢোকে সেখানেই শ্রেণিবিন্যাস করুন। নীতি নিয়মের ইনগ্রেস-ইন্টারফেস সিলেক্টরটি সোর্স প্রিফিক্স থেকে আলাদা, এবং এই ট্রাফিক ওয়ার্ক থেকে এসেছে বলার সৎ উপায় এটিই। শুধু সোর্স ঠিকানায় মেলালে ওয়ার্কের একটি ক্লায়েন্ট হোমের ঠিকানা দাবি করে হোমের পথ নিতে পারে।

ip rule show

ইনগ্রেসের বিপরীতেও সোর্স যাচাই করুন, যাতে দুটি পরীক্ষা পরস্পরবিরোধী না হয়ে মিলে যায়। যে নিয়ম তাদের একটিকেই যাচাই করে, তা অর্ধেক নীতি।

গেটওয়ের নিজের টানেলকে এর বাইরে রাখুন

গেটওয়ের নিজের বহিঃস্থ VPN সংযোগটি যে আন্ডারলে কাজ করে তার উপরেই রাখুন। ওয়ার্কের ফরওয়ার্ড করা ক্লায়েন্টদের জন্য লেখা নিয়ম তাদের বহনকারী টানেলকে পুনরাবৃত্তভাবে ধরতে পারে না, কারণ এটিই লোডের সময়েই দেখা যাওয়া লুপ বানানোর চিরাচরিত উপায়। লোকাল আউটপুট পথটি মুক্ত রাখুন বা নিয়মটি ফরওয়ার্ড করা ট্রাফিকে সীমাবদ্ধ করুন। লুপের পরিস্থিতি একটি বড় ট্রান্সফারে পরীক্ষা করুন, একটি পিং দিয়ে নয়।

ট্রান্সলেশনেও একই যত্ন দরকার। যদি VPN নির্গমনপথের সোর্স হিসেবে গেটওয়ের টানেল ঠিকানা দরকার হয়, তবে কেবল VPN ইন্টারফেস ছেড়ে যাওয়া ওয়ার্ক সোর্সের ক্ষেত্রেই তা প্রয়োগ করুন। হোমের সাধারণ WAN ট্রান্সলেশন আলাদা পরিধি, এবং একটি শর্তহীন masquerade নিয়ম দুটিকেই প্রকাশ করতে পারে না।

দুটি নিয়ম পাশাপাশি লিখুন, যাতে জোড়াটি দুটি সম্পর্কহীন লাইনের বদলে একটি নকশা হিসেবে দৃশ্যমান হয়। সোর্স ও অভীষ্ট নির্গমনপথের নাম দেওয়া একটি মন্তব্যই যথেষ্ট।

ব্যর্থতার অবস্থা ইচ্ছাকৃতভাবে ঠিক করুন

VPN রুটটি হারিয়ে গেলে কী হবে তা ঠিক করুন। কাজের নেটওয়ার্কের জন্য সৎ উত্তর সাধারণত প্রত্যাখ্যান: সাধারণ WAN-এ কোনো ফলব্যাক নয়, কারণ আলাদা SSID-এর উদ্দেশ্যই হলো তার ট্রাফিক ভুল পথে না যায়। স্বয়ংক্রিয় পুনঃসংযোগ একটি সুবিধা, ব্লকিং নীতি নয়। যে প্রত্যাখ্যান নিয়ম কখনো লগ করে না, তাকে ভাঙা নেটওয়ার্ক থেকে আলাদা করা যায় না।

ip route show table work

প্রতিটি SSID থেকে নতুন সংযোগ পরীক্ষা করুন, তারপর টানেল সরিয়ে আবার পরীক্ষা করুন। হোম তার সাধারণ পথ ধরে রাখবে, আর ওয়ার্ক বন্ধ অবস্থায় ব্যর্থ হবে। IPv6 আলাদাভাবে যাচাই করুন, কারণ দুটি IPv4 সাবনেট এ সম্পর্কে কিছুই বলে না, এবং নীতি-নিয়মের রেফারেন্স উপরে ব্যবহৃত সিলেক্টরগুলি নথিভুক্ত করে।