একসাথে দুটি VPN? আগে এন্ডপয়েন্টের সীমানা ঠিক করুন

একসাথে সংযুক্ত দুটি VPN ক্লায়েন্ট একটি এন্ডপয়েন্টকে দুটি রিসোর্স ডোমেইনে নিয়ে যায়, এবং এটি রাউটিংয়ের প্রশ্ন হওয়ার আগেই একটি অনুমোদনের প্রশ্ন। টানেলগুলো এনক্রিপ্টেড হওয়া এটা বলে না যে ওই ল্যাপটপের অ্যাপ্লিকেশনগুলোর দুটি নেটওয়ার্কেই পৌঁছানো উচিত কি না, বা একটি নেটওয়ার্কের পিয়ার তার মধ্য দিয়ে অন্য নেটওয়ার্কে পৌঁছাতে পারবে কি না। নিচের যাচাইগুলো ক্রমানুসারে শেষ করুন এবং যেটির উত্তর কেউ দিতে পারে না সেখানেই থামুন। ওই উত্তরগুলো ছাড়া ওভারল্যাপ অনুমোদন করাই হলো সেই পথ যেখানে একটি সুবিধাজনক ব্যবস্থা চুপচাপ একটি ব্রিজ হয়ে ওঠে।

প্রকৃত কাজ থেকে শুরু করুন: প্রতিটি নেটওয়ার্কে ব্যক্তির কোন রিসোর্সগুলো দরকার, এবং দুটি নেটওয়ার্কের মালিকই কি একটি ডিভাইস থেকে একসাথে অ্যাক্সেসের অনুমতি দেন?

কে এই ওভারল্যাপের অনুমতি দেয় তা যাচাই করুন

যে দুটি নেটওয়ার্ক আলাদাভাবে একই ব্যবহারকারীকে প্রমাণ করে, তাদের এখনও আলাদা মালিক থাকে, এবং সেই মালিকদের অন্যত্রও যুক্ত ডিভাইস সম্পর্কে পরস্পরবিরোধী ধারণা থাকতে পারে। কিছু নকশা করার আগেই দুজনকেই জিজ্ঞাসা করুন। বিচ্ছিন্ন ল্যাপটপের জন্য লেখা রিমোট অ্যাক্সেস নীতিতে এমন একটি মেশিনের জন্য প্রায়ই কোনো উত্তর থাকে না যা একইসাথে একটি অংশীদার নেটওয়ার্কের ভেতরে থাকে।

উত্তরটি লিখিতভাবে নিন এবং পরিবর্তন রেকর্ডের সাথে রাখুন। যদি এক পক্ষ না বলে, এই তালিকার বাকিটা তাত্ত্বিক হয়ে যায়, এবং আপনি নিজেকেই একটি নকশা পর্যালোচনা বাঁচিয়ে দিলেন।

দুটি ইন্টারফেসকে রাউটার হিসেবে গণ্য করবেন না

দুটি সক্রিয় ইন্টারফেস ডিভাইসটিকে স্বয়ংক্রিয়ভাবে রাউটার বা ইথারনেট ব্রিজ বানায় না। কোনো কিছুকে ট্রানজিট পথ বলার আগে সমর্থিত ফরওয়ার্ডিং, ব্রিজিং, NAT ও প্রক্সি কনফিগারেশন যাচাই করুন, এবং ডিভাইসের ইতিমধ্যে থাকা অসম্পর্কিত অনুমোদিত রাউটিং দায়িত্ব সংরক্ষণ করুন। যে ল্যাপটপ স্থানীয় কন্টেইনার নেটওয়ার্ক বা ভার্চুয়ালাইজেশন হোস্ট চালায়, সেটি এখানে নিরপেক্ষ পর্যবেক্ষক নয়।

যদি প্রয়োজনটি সত্যিই A থেকে B-তে ট্রানজিট হয়, তার জায়গা হলো মালিক, নিরীক্ষণযোগ্য নিয়মসমূহ এবং পরিবর্তন প্রক্রিয়াসহ একটি নেটওয়ার্ক ডিভাইস। ওয়ার্কস্টেশনের মাধ্যমে এটি ভুলবশত ঘটানোই সেই ফল যা প্রতিরোধ করতে এই যাচাই বিদ্যমান।

এন্ডপয়েন্টকেও একটি অ্যাক্সেস পয়েন্ট হিসেবে দেখুন

ডিভাইসটি কেবল দুটি নেটওয়ার্কের ক্লায়েন্ট নয়, এটি সেবা প্রদানকারী একটি হোস্টও। ওই মেশিনে অনুমোদিত কোনো সেবা হোস্ট ফায়ারওয়াল ও ক্লায়েন্ট নীতি অনুযায়ী একটি VPN পিয়ার থেকে পৌঁছানোযোগ্য হতে পারে, তাই ল্যাপটপের একটি উন্মুক্ত ব্যবস্থাপনা পোর্ট এখন দূরবর্তী নেটওয়ার্কের আক্রমণ পৃষ্ঠের অংশ। রুট নিয়ে তর্ক করার আগে কী শুনছে তা তালিকাভুক্ত করুন, কারণ একটি বাঁধা ডিবাগ পোর্ট যেকোনো টানেল নীতির চেয়ে বেশি গুরুত্বপূর্ণ। হোস্ট সেবাগুলোকে তাদের অভীষ্ট উৎস ও উদ্দেশ্যের মধ্যে সীমিত রাখুন।

প্রতিটি দূরবর্তী নেটওয়ার্ককে স্পষ্ট অনুমতিসহ একটি রিসোর্স ডোমেইন হিসেবে দেখুন, ট্রাফিক এনক্রিপ্টেড এসেছে বলে ব্যাপক বিশ্বাস দেবেন না। NIST-এর জিরো-ট্রাস্ট আর্কিটেকচার রিসোর্স অনুমোদনকে নেটওয়ার্ক অবস্থানের প্রতি অন্তর্নিহিত বিশ্বাস থেকে আলাদা করে, এবং দুটি টানেলযুক্ত ল্যাপটপ ঠিক সেই পার্থক্যটিকেই ঘোলা করে।

এখানে থাকতে আরও একটি প্রশ্ন করুন: কোনো স্থানীয় সেবা বা অনুমোদিত অ্যাপ্লিকেশন আপস হলে সেই ঘাঁটি থেকে কোন রিসোর্স ও শংসাপত্রগুলো নাগালে আসবে? উত্তরটি লিখে রাখুন, কারণ এটিই পুরো নকশার প্রকৃত ঝুঁকি বিবৃতি।

হুমকি মডেলের সাথে মানানসই কাজের সীমানা বেছে নিন

অ্যাপভিত্তিক রাউটিং প্রোগ্রামগুলোকে নির্দিষ্ট টানেলে বরাদ্দ করতে পারে, এবং আলাদা কাজের প্রোফাইল, ব্যবহারকারী বা সমর্থিত ভার্চুয়াল ওয়ার্কস্পেস প্ল্যাটফর্ম অনুযায়ী পরিচয় ও তথ্যের সীমানা যোগ করতে পারে। সীমানাটি প্রদর্শনের সাথে নয়, হুমকি মডেলের সাথে মিলান: পরিচয় বিভাজন ছাড়া রাউটিং বিভাজন এখনও একটি ব্রাউজার প্রোফাইলে দুটি সেশনই রেখে দেয়।

নেটওয়ার্ক নেমস্পেস রাউটিং ও নেটওয়ার্ক অবস্থা আলাদা করে; এটি প্রতিটি ফাইলসিস্টেম পথ, ক্লিপবোর্ড বা শংসাপত্র এজেন্ট আলাদা করে না। ভার্চুয়াল মেশিন বা পরিচালিত প্রোফাইলও সুনির্দিষ্ট ভাগাভাগি ও হোস্ট প্রশাসন নীতি দরকার। কোন ফোল্ডার, প্রমাণীকরণ সহায়ক ও কপি-পেস্ট পথ খোলা থাকে তা লিখে রাখুন, কারণ এই চ্যানেলগুলোই দুটি ডোমেইনের মধ্যে প্রকৃতপক্ষে তথ্য বহন করে।

ক্রমিক কাজের জন্য ইচ্ছাকৃতভাবে সুইচ করা সাধারণত একসাথে অ্যাক্সেস ধরে রাখার চেয়ে সহজ। নির্ভরশীল কাজটি শেষ করুন, তারপর অস্পষ্ট প্রসঙ্গে ব্যাকগ্রাউন্ড টুল আটকে না রেখে পরবর্তী ওয়ার্কস্পেসের পরিচয় ও রুট যাচাই করুন।

অনুমোদনকে স্লোগান নয়, কাজ হিসেবে লিখুন

অনুমোদনের রেকর্ড একটি কাজের মতো পড়া উচিত: সহায়তা ওয়ার্কস্পেসটি নেটওয়ার্ক A-এর সেবা কনসোল ও নেটওয়ার্ক B-এর টিকিট পোর্টালে পৌঁছাতে পারে, কোনো অনুমোদিত A থেকে B ফরওয়ার্ডিং, কোনো ভাগাভাগি করা শংসাপত্র এজেন্ট এবং কোনো স্বয়ংক্রিয় ফাইল সিঙ্ক্রোনাইজেশন ছাড়াই। ওই বাক্যের প্রতিটি অংশ এমন কিছুর সাথে মেলে যা আপনি কনফিগার ও পরীক্ষা করতে পারেন।

তারপর কেবল ইতিবাচক নয়, নেতিবাচক ঘটনাগুলোও যাচাই করুন। সীমানার বাইরে থাকা উচিত এমন রিসোর্সে পৌঁছানোর চেষ্টা করুন, হোস্ট সেবা অন্য দিক থেকে উত্তর দিচ্ছে না তা নিশ্চিত করুন, এবং শংসাপত্র সহায়কটি নীরবে দুটি ডোমেইনকেই সেবা দিচ্ছে না তা যাচাই করুন।

রেকর্ডটি কেবল টিকিটে নয়, ডিভাইসের সাথে রাখুন, যাতে যে ব্যক্তি পরবর্তীতে এই ব্যবস্থার উত্তরাধিকার পায় সে জানে কোন সীমানাটি ইচ্ছাকৃত ছিল। দুটি টানেল অথচ লিখিত সীমানা নেই এমন ল্যাপটপকে ভুল কনফিগারেশন থেকে আলাদা করা যায় না।