সিরিজে দুটি VPN গেট: প্রতিটি আসলে কী নির্ধারণ করে
সিরিজে দুটি VPN পর্যায়ের অর্থ হওয়া উচিত দুটি আলাদা অনুমতি সিদ্ধান্ত। প্রতিটি গেট কী যাচাই করে তা নাম দিন, তারপর ভেতরের গেট কী প্রত্যাখ্যান করে তা পরীক্ষা করুন।
দুটি VPN জোড়া দেওয়াকে সাধারণত অতিরিক্ত এনক্রিপশন হিসেবে বিক্রি করা হয়, যা এটি করে সবচেয়ে কম আকর্ষণীয় কাজ। আসল পণ্য হলো দ্বিতীয় একটি অনুমোদন সিদ্ধান্ত, যা ভিন্ন মালিক ভিন্ন সম্পদসমষ্টির বিরুদ্ধে নেয়। যদি দুই পর্যায় একই ক্রেডেনশিয়াল গ্রহণ করে এবং একই গন্তব্যে পৌঁছায়, তবে ভেতরের গেট অতিরিক্ত বিলম্বসহ নিছক সাজসজ্জা। সেই দ্বিতীয় সিদ্ধান্ত তার পরিচালন ব্যয়ের যোগ্য কি না তা নির্ধারণ শুরু হয় প্রতিটি গেট আসলে কী যাচাই করে তা নাম দেওয়া দিয়ে।
একটি টানেল, তারপর দ্বিতীয় সিদ্ধান্ত
বাইরের গেট একটি বিস্তৃত প্রশ্নের উত্তর দেয়: এটি কি অনুমোদিত কর্মচারী ডিভাইস, এবং এটি কি সাধারণ অভ্যন্তরীণ নেটওয়ার্কে পৌঁছাতে পারে। ভেতরের গেট আরও সংকীর্ণ প্রশ্নের উত্তর দেয়: এই পরিচয়ের কি রক্ষণাবেক্ষণ এনটাইটেলমেন্ট আছে, এবং এটি কি এই নির্দিষ্ট ব্যবস্থাপনা এন্ডপয়েন্টে পৌঁছাতে পারে। এগুলো ভিন্ন মালিকের ভিন্ন প্রশ্ন, এবং একটিও অন্যটিকে বোঝায় না। দুই পর্যায় দিয়ে একটি পথ থাকা দ্বিতীয়টির পেছনে যা আছে তা ব্যবহারের কর্তৃত্ব নয়। দূরের প্রবেশপথে পৌঁছানো প্রমাণ করে একটি রুট কাজ করে, এর বেশি নয়।
নীতিটি পুরোনো এবং এখনও উপেক্ষিত: নেটওয়ার্ক অবস্থান নিজে থেকে কিছুই প্রমাণ করে না। NIST-এর জিরো-ট্রাস্ট আর্কিটেকচার সারসংক্ষেপ এটি স্পষ্টভাবে বলে, এবং সংযোগ কোথা থেকে এসেছে বা নেটওয়ার্ক কার মালিকানা তা থেকে জন্মানো অন্তর্নিহিত বিশ্বাস প্রত্যাখ্যান করে। এখানে প্রয়োগ করলে, ভেতরের প্রবেশপথে পৌঁছানো তার সম্পদের জন্য পূর্বশর্ত, কখনও সেগুলো ব্যবহারের অনুমতি নয়।
প্রতিটি গেট কী যাচাই করে তা লিখে রাখুন
প্রতিটি পর্যায়ের জন্য যে পরিচয় এটি যাচাই করে, যে গন্তব্যগুলো এটি অনুমোদন করে এবং যে শর্তে এটি এড়িয়ে যাওয়া যায় তা লিপিবদ্ধ করুন। বাইরের গেট বৈধভাবে সাধারণ অভ্যন্তরীণ সেবা এবং ভেতরের গেটওয়ের লিসেনার অনুমোদন করতে পারে, আর কিছুই নয়। ভেতরের গেট একটি ভূমিকা দাবি চাইতে পারে এবং কেবল পরিবর্তন রেকর্ডে নামকরণ করা ব্যবস্থাপনা ঠিকানাগুলো অনুমোদন করতে পারে। দূর প্রান্তের অ্যাপ্লিকেশন সেই ভূমিকা কোন কাজ করতে পারে তার শেষ কথা রাখে, তাই শৃঙ্খল অ্যাপ্লিকেশন অনুমোদন প্রতিস্থাপন না করে একটি গেট যোগ করে।
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
দুটি বাদ দেওয়া নকশাটি নিঃশব্দে ভেঙে দেয়। যদি বাইরের ডোমেইন ইতিমধ্যে প্রতিটি সংবেদনশীল গন্তব্যে সরাসরি পৌঁছায়, তবে ভেতরের গেট বাধ্যতামূলক নয়, ঐচ্ছিক। যদি একটি পাবলিক লিসেনার বা দ্বিতীয় প্রাইভেট রুট একই অ্যাক্সেস দেয়, তবে অভীষ্ট পথ কয়েকটির মধ্যে একটি বিকল্প। প্রতিটি নিয়মসমষ্টির একটি মালিকও নির্ধারণ করুন, এবং তাদের চুক্তিতে গন্তব্য সেবা, অনুমোদিত উৎস পরিচয়, প্রাইভেট DNS, ঠিকানা অনুবাদ এবং হ্যান্ডঅফ ব্যর্থ হলে কে উত্তর দেয় তা নাম দিন। বাইরের নেটওয়ার্কে বিশ্বস্ত একটি ঠিকানা কখনও ভেতরের ডোমেইনের অনুমোদনের বিকল্প হতে পারে না।
প্রত্যাখ্যানের ঘটনাগুলো পরীক্ষা করুন, সুখী পথ নয়
দুই গেট দিয়ে সফল সংযোগ খুব কম প্রমাণ করে, কারণ সেটিই সেই ঘটনা যা সবাই রোলআউটের সময় পরীক্ষা করেছে। আগ্রহের ঘটনা হলো যেখানে একটি পর্যায় পাস করে আর অন্যটি প্রত্যাখ্যান করে। এর তিনটি বেশিরভাগ ঝুঁকি ঢেকে দেয়, এবং প্রতিটির একটি প্রত্যাশিত ফলাফল আছে যা তর্ক নয়, যাচাই করা যায়।
সাধারণ অ্যাক্সেস অনুমোদিত এবং সংবেদনশীল ভূমিকা অনুপস্থিত থাকলে, সাধারণ কাজ চলতে হবে যখন সংবেদনশীল গন্তব্য প্রত্যাখ্যাত হয়। দুই পর্যায় অনুমোদন করুন এবং পৌঁছানোর যোগ্য সেট হওয়া উচিত পরিবর্তন রেকর্ডে নামকরণ করা রক্ষণাবেক্ষণ এন্ডপয়েন্ট, এর বেশি নয়। সেশনের মাঝপথে এনটাইটেলমেন্ট প্রত্যাহার হলে, সম্মত সেশন নীতি অসম্পর্কিত সাধারণ অ্যাক্সেস না ভেঙে কার্যকর হতে হবে। সেই প্রত্যাহার কি বিদ্যমান সেশন তৎক্ষণাৎ শেষ করে নাকি পরবর্তী পুনঃপ্রমাণীকরণে, তা একটি নীতি সিদ্ধান্ত যা চুক্তিতে আগেই থাকা উচিত। যে ব্যক্তি গ্রহণযোগ্যতার ঘটনাগুলো লিখেছে সে সেই ব্যক্তি নয় যে ঘটনার সময় সেগুলো ব্যাখ্যা করবে।
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"আপনি যে নির্ভরতাগুলো যোগ করেছেন তা গণনা করুন
প্রতিটি অতিরিক্ত পর্যায় এমন একটি উপাদান যোগ করে যা ব্যর্থ হতে পারে এবং এমন একটি রুট যা বাইরের টানেলের ভেতরে সঠিকভাবে নেস্ট হতে হবে। আংশিক ব্যর্থতার সময় বাইরের পথ চালু থাকে আর ভেতরেরটি অপ্রাপ্য, তাই ব্যবহারকারী এমন একটি সেবার পাশে সুস্থ VPN আইকন দেখে যা কখনও উত্তর দেয় না।
শুধু স্বাভাবিক ক্ষেত্রে নয়, ব্যর্থতার সময় রুট ও ব্লকিং নিয়ম পরীক্ষা করুন। বাইরের টানেলের পাঠানো ডিফল্ট রুট ভেতরের গেটওয়ের নিজস্ব ঠিকানা ধরে ফেলতে পারে, যা দ্বিতীয় পর্যায়কে এমন সংযোগে পরিণত করে যা প্রতিষ্ঠিত হয় তারপর পড়ে যায়। ভেতরের টানেল অনুপস্থিত থাকাকালে কী ব্লকড থাকার কথা তা লিপিবদ্ধ করুন, কারণ এর চারপাশে দুর্ঘটনাজনিত ফলব্যাক পরিচ্ছন্ন বিভ্রাটের চেয়ে খারাপ। দুই হপে একই প্রোব আকৃতি ব্যবহার করুন, যাতে প্রতিটি অনুমান নয়, মাপা হয়। দুটি সংযুক্ত স্ট্যাটাস সূচক না নেসিং প্রতিষ্ঠা করে না বিচ্ছিন্নতা।
দ্বিতীয় গেট আপনাকে যা কিনতে পারে না
জিজ্ঞাসা করুন দুই গেট কি একটি ক্রেডেনশিয়াল, একটি সার্টিফিকেট কর্তৃপক্ষ বা একটি ব্যবস্থাপনা প্লেন শেয়ার করে. যেখানে করে, সেখানে তারা তাদের সবচেয়ে গুরুত্বপূর্ণ ব্যর্থতার ধরনও শেয়ার করে, এবং দ্বিতীয় পর্যায় যে স্বাধীনতা যোগ করে বলে মনে হয় তার চেয়ে বেশি খরচ করে। পৃথক ক্রিপ্টোগ্রাফিক সেশন পৃথক প্রশাসনিক নিয়ন্ত্রণ তৈরি করে না।
ভেতরের গেট ধরে রাখুন যতক্ষণ এটি এমন একটি প্রয়োজনীয়তা প্রয়োগ করে যা আপনি বলতে ও পরীক্ষা করতে পারেন, যেমন এমন একটি ভূমিকা যা বাইরের ডোমেইন কখনও যাচাই করে না। এটি বাদ দিন যখন এর একমাত্র কাজ একই পরিচয়কে একই গন্তব্যের বিরুদ্ধে পুনঃপ্রমাণীকরণ। যেভাবেই হোক, প্রয়োজনীয়তা, মালিক এবং ব্যর্থতার আচরণ একসাথে লিপিবদ্ধ করুন, যাতে পরবর্তী পর্যালোচনা চিত্রটি নিয়ে নয়, প্রয়োজনীয়তা নিয়ে তর্ক করে।