আপস্ট্রিম রাউটার কি সত্যিই ইনবাউন্ড VPN পোর্ট পৌঁছায়?

তিনটি শর্ত ঠিক করে ল্যাব রাউটারে একটি পোর্ট ফরওয়ার্ড কিছু প্রকাশ করবে কি না: আপস্ট্রিম এজ কী পৌঁছায়, কোন নীতি প্রয়োগ করে এবং উত্তরগুলি একই পথে ফিরে আসে কি না। পাবলিক দেখতে একটি ঠিকানা এগুলির কোনওটিরই উত্তর দেয় না। /30 প্রিফিক্স বা কাজ করা আউটবাউন্ড সংযোগও নয়। NAT পরিবর্তনের আগে এই শর্তগুলি সাজান, নইলে ব্লক দুটি হপ দূরে থাকলে স্থানীয় নিয়মটি ভাঙা দেখাবে।

তিনটি উত্তর ঠিক করে আপনি কার কাছে এস্কেলেট করবেন

আপস্ট্রিম মালিক হ্যান্ড-অফ তিনটি উপায়ের একটিতে বর্ণনা করতে পারেন। গন্তব্য সরাসরি আপনার ইন্টারফেসে পৌঁছানো হয়, আলাদা প্রিফিক্স আপনার পরবর্তী হপে রুট করা হয়, বা সামনে কিছু ঠিকানাটিকে আপনার কাছে পৌঁছানোর আগে অনুবাদ করে। প্রতিটি উত্তর ভিন্ন একটি ডিভাইসের নাম দেয় যা ইনবাউন্ড সংযোগ অনুমোদন করতে হবে, এবং ভিন্ন একটি দল যাকে না ঘটলে ফোন করতে হবে।

ফিল্টারিং চতুর্থ চলক এবং এটি তিনটির থেকেই স্বাধীন। একটি নেটওয়ার্ক তার পাবলিক ঠিকানা ধরে রাখা ট্রাফিক ফিল্টার করতে পারে, এবং একজন অনুবাদক স্বয়ংক্রিয়ভাবে নীতির সীমানা নয়। অনুমোদিত সোর্স ঠিকানা, ট্রান্সপোর্ট এবং পোর্ট সম্পর্কে ডেলিভারির সাথে একই সময়ে জিজ্ঞাসা করুন, কারণ এজ যে ফরওয়ার্ড করা পোর্ট ফেলে দেয় তা কখনও আপনার নিয়মে পৌঁছায় না।

হ্যান্ড-অফকে একটি পরিষেবা চুক্তি হিসেবে পড়ুন

ল্যাব রাউটার স্পর্শ করার আগে পাঁচটি মান লিখে রাখুন: বরাদ্দকৃত ইন্টারফেস ঠিকানা, প্রিফিক্স দৈর্ঘ্য, পরবর্তী হপ, বাহ্যিক ক্লায়েন্টরা যে গন্তব্য ঠিকানা ব্যবহার করবে, এবং সঠিক প্রোটোকল ও পোর্ট। আকর্ষণীয়টি হলো গন্তব্য, কারণ এটি আপনার ডিভাইসে কনফিগার করা ঠিকানা নাও হতে পারে। যদি আপস্ট্রিম আশা করে ক্লায়েন্টরা একটি অনূদিত ঠিকানায় পৌঁছাবে, তবে স্থানীয় DNAT-কে সেই চুক্তির সাথে মিলতে হবে, আপনি যে ইন্টারফেস ঠিকানা দেখছেন তার সাথে নয়।

IETF-এর ফায়ারওয়াল-আচরণ আলোচনা একটি দরকারি মনে করিয়ে দেয় যে ফিল্টারিং ও অনুবাদ আলাদা কাজ। এটি ব্যাখ্যা করে কেন একটি রাউটার ঠিকানা না লুকিয়েও ইনবাউন্ড নীতি প্রয়োগ করতে পারে, এবং কেন আপস্ট্রিমে কোথাও NAT থাকা প্রমাণ করে না যে ফিল্টারিং সেখানেই হচ্ছে। হ্যান্ড-অফকে মালিক ও পরিবর্তন প্রক্রিয়াসহ একটি পরিষেবা বর্ণনা হিসেবে ধরুন।

উভয় সীমানায় একটি চেষ্টা পর্যবেক্ষণ করুন

দুটি বিন্দুতে সম্পর্কযুক্ত একটি সংকীর্ণ, অনুমোদিত চেষ্টা একগাদা অনুমানের বদলে দেয়। সঠিক টাপলের জন্য ল্যাব WAN ইন্টারফেসে একটি ক্যাপচার চালান, এবং আপস্ট্রিম মালিককে এজে একই টাপল পর্যবেক্ষণ করতে বলুন। দুটি দৃশ্যের মধ্যে গন্তব্য, প্রোটোকল, পোর্ট, সোর্স ও টাইমস্ট্যাম্প অভিন্ন রাখুন।

tcpdump -ni wan0 'tcp port 1194 and host 203.0.113.10'

ফলাফলের জোড়াটিকে একটি সিদ্ধান্ত হিসেবে পড়ুন। এজে দেখা এবং ল্যাব WAN-এ দেখা মানে ডেলিভারি ও এজ নীতি দুটোই পাস করেছে, তাই লিসেনার বা DNAT নিয়ে এগিয়ে যান। এজে দেখা কিন্তু ল্যাব WAN-এ না দেখা ডেলিভারি বা মধ্যবর্তী নীতির দিকে ইঙ্গিত করে, এবং পরবর্তী কল আপস্ট্রিম মালিকের কাছে। কোথাও না দেখা মানে ফায়ারওয়াল প্রশ্নের আগেই টেস্ট টাপল, সোর্স বা পথ ভুল।

একটি ক্যাপচারে প্রমাণের অনুপস্থিতি ফায়ারওয়ালের প্রমাণ নয়। এটি একটি সীমানা ফলাফল যা বলে এরপর কোন ডিভাইস পরীক্ষা করবেন।

স্থানীয় NAT-কে উত্তর লুকাতে দেবেন না

ইনগ্রেস নিশ্চিত হওয়ার পরেই স্থানীয় নিয়মটি আকর্ষণীয় হয়। নিশ্চিত করুন যে DNAT লক্ষ্য VPN লিসেনারের প্রকৃত ঠিকানা ও পোর্ট, সংশ্লিষ্ট ফ্যামিলির জন্য ফরওয়ার্ডিং সক্রিয়, এবং উত্তরটি যে ইন্টারফেস দিয়ে অনুরোধ এসেছিল সেখান দিয়েই বেরোচ্ছে। যে নিয়ম গন্তব্য পুনর্লিখন করে কিন্তু ফেরার পথ নয়, তা বাদ দেওয়া প্যাকেটের মতোই একই টাইমআউট তৈরি করে।

তদন্তের সময় পোর্ট সিকিউরিটি ও প্রোডাকশন হ্যান্ড-অফ ধরে রাখুন। সংযুক্তি নিয়ন্ত্রণ এড়াতে রাউটার বদলানো বা তার MAC ঠিকানা জাল করা একটি রোগনির্ণয়কে বিভ্রাটের সাথে বদলায়। একটি মিরর পোর্ট বা অনুমোদিত ক্যাপচার লিঙ্ক ভাগ করা পরিষেবাগুলি বিচ্ছিন্ন না করেই একই দৃশ্যমানতা দেয়।

মালিকানা মানচিত্র দিয়ে শেষ করুন: গন্তব্য, পৌঁছানোকারী ডিভাইস, ফিল্টারকারী ডিভাইস, ল্যাব ইনগ্রেস এবং লিসেনার। এই মানচিত্র পরবর্তী পোর্ট-ফরওয়ার্ড পর্যালোচনাকে ছোট করে, এবং এটি VPN নিজে সম্পর্কে কিছু প্রমাণ করে না।