এক VPN অ্যাকাউন্ট, দুই সার্ভার: তিনটি স্টেট লেজার

একটি অ্যাকাউন্ট দুটি VPN নোডের যেকোনোটিতে সাইন ইন করতে পারে, এটি সফটওয়্যার প্রশ্ন হওয়ার অনেক আগেই একটি নকশা প্রশ্ন তোলে। অ্যাকাউন্টের দৃশ্য, প্রতিটি নোডের নিজস্ব নেটওয়ার্ক এবং সংযুক্ত ক্লায়েন্ট যে সেশন ধরে রাখে, এগুলি তিন ধরনের আলাদা স্টেট, এবং এক জায়গা থেকে অন্য জায়গায় কপি করলে এগুলি ভিন্নভাবে ব্যর্থ হয়। তিনটিকেই একটি সিস্টেমে কপি করা এদের একটি হারানোর একটি সাধারণ উপায়।

নিচের তিনটি লেজার ক্রমানুসারে দেখুন। প্রতিটিই জিজ্ঞেস করে কী কর্তৃত্বপূর্ণ, কী স্থানীয়, এবং অন্য নোড না থাকলে কী হয়, আর উত্তরগুলি একটির থেকে অন্যটি অনুসরণ করে না।

কে সংযোগ করতে পারবে: এক কর্তৃত্ব, অনেক নোড

অ্যাডমিশন লেজার দিয়ে শুরু করুন: কোন পরিচয়ের উৎস কর্তৃত্বপূর্ণ, কোন সার্টিফিকেট ইস্যুয়ার বিশ্বস্ত, কোন অ্যাকাউন্ট যোগ্য, কোন দ্বিতীয় ফ্যাক্টর প্রযোজ্য, এবং প্রতিটি অ্যাকাউন্ট কী পর্যন্ত পৌঁছাতে পারে। তারপর লিখে রাখুন প্রতিটি নোড কীভাবে পরিবর্তনের কথা জানতে পারে, এবং কত দ্রুত।

শেয়ার করা ডেটাবেস সেই উত্তরের একটি সম্ভাব্য উপাদান। এটি প্রমাণ নয় যে প্রতিটি প্রাসঙ্গিক নীতি সেখানে থাকে, বা প্রতিটি নোড একই মুহূর্তে পরিবর্তন প্রয়োগ করে। নোড A-তে নিষ্ক্রিয় কিন্তু নোড B-তে এখনও গৃহীত একটি অ্যাকাউন্ট মানে অফবোর্ডিং প্রক্রিয়া শেষ হয়নি।

কর্তৃত্ব পৌঁছানো না গেলে একটি নোড কী করবে তা নির্ধারণ করুন। বিভ্রাটের সময় ক্যাশ করা ক্রেডেনশিয়াল গ্রহণ করা নিরাপত্তা ব্যয়সহ একটি নীতি সিদ্ধান্ত, আর সেগুলি প্রত্যাখ্যান করা প্রাপ্যতা ব্যয়সহ একটি নীতি সিদ্ধান্ত। দুটিই যুক্তিযুক্ত; এটিকে নথিভুক্ত না করা নয়।

ইস্যুয়ারের কর্তৃত্ব অ্যাকাউন্ট ডেটা থেকে আলাদা রাখুন। অনেকগুলি গেটওয়ে একই CA-তে বিশ্বাস করতে পারে, তার সাইনিং কী না রেখেই, এবং প্রতিটি নোডের এখনও নিজস্ব সার্ভার সার্টিফিকেট আর নিজস্ব ক্লায়েন্ট-পার্শ্বের বিশ্বাস সম্পর্ক দরকার।

একটি নোড কীসের মালিক: ঠিকানা আর পথ

দ্বিতীয় লেজার প্রতিটি নোডের স্থানীয়: লিসেনার ঠিকানা, সার্ভার পরিচয়, ঠিকানা পুল, ব্যক্তিগত রিসোর্সের পথ, রিজলভার নীতি, এবং ট্রাফিক কীভাবে ইন্টারনেটের দিকে বেরোয়। একই অ্যাকাউন্ট যেকোনো নোড দিতে পারে, এই বস্তুগুলি আলাদা থাকলেও।

ফেরার পথটাই ভুলে যাওয়া হয়। যদি দুটি নোডই একই পুল থেকে ঠিকানা দেয়, ব্যক্তিগত নেটওয়ার্ক বলতে পারে না কোন নোডের একটি নির্দিষ্ট ক্লায়েন্ট, আর উত্তরটি ভুল জায়গায় পাঠানো হতে পারে। আলাদা পুলেরও পথ আর অনুমতি দরকার, তাই আলাদা সংখ্যার পরিসর সম্পূর্ণ নকশা নয়।

ক্লায়েন্টদের সচেতনভাবে একটি নোডে পাঠান। DNS নির্বাচন, ক্লায়েন্ট এন্ডপয়েন্ট তালিকা এবং একটি ফ্রন্ট-এন্ড সেবা ভিন্ন ভিন্ন প্রক্রিয়া, ভিন্ন স্বাস্থ্য ও ব্যর্থতা-স্যুইচিং আচরণ নিয়ে। একটি বেছে নেওয়া ঠিক; “লোড ব্যালান্সিং”-কে নকশা হিসাবে ধরা ফেরার পথ আর ব্যর্থতার আচরণকে অনির্ধারিত রেখে দেয়।

নথিভুক্ত একটি পণ্যের উদাহরণ এখানে সাহায্য করে। Pritunl-এর প্রতিলিপি নথি VPN নেটওয়ার্ককে প্রতি-প্রতিকৃতি বস্তু হিসাবে ধরে, আর ভিন্ন প্রতিকৃতির ক্লায়েন্টদের একে অপরের কাছে পৌঁছাতে অতিরিক্ত পথ ও সংযোগ দরকার। এটি পণ্য-নির্দিষ্ট ব্যবস্থা, Community OpenVPN-এর জন্য রেসিপি নয়, তবে দেখায় কেন প্রতিকৃতি যোগ করলে শুধু অ্যাকাউন্ট ভাণ্ডার নয়, নেটওয়ার্কও বদলায়।

সেশন কী: সারি নয়, জীবন্ত স্টেট

তৃতীয় লেজার জীবন্ত সেশন। সংযুক্ত ক্লায়েন্টের যে নোড এটি গ্রহণ করেছে সেখানে প্রোটোকল স্টেট আর নেটওয়ার্ক বরাদ্দ থাকে। অন্য নোডে অ্যাকাউন্টটি জানা থাকলেও সেই নোড সেশন, কী বা প্যাকেট চালিয়ে যাওয়ার ক্ষমতা পায় না।

একটি নোড ব্যর্থ হলে কী হয় তা স্পষ্ট করুন। সমর্থিত ফলাফল হতে পারে অন্য নোডে নতুন প্রমাণীকরণ আর নতুন ঠিকানা নিয়ে পুনঃসংযোগ, এরপর অ্যাপ্লিকেশন নিজের মতো পুনরুদ্ধার হয়। নিরবচ্ছিন্ন হস্তান্তর প্রয়োজন হলে সেই প্রয়োজন স্পষ্ট বাস্তবায়ন সমর্থন দাবি করে, ডেটাবেস প্রতিলিপি থেকে অনুমান নয়। উত্তরটি লিখে রাখুন যেখানে অন-কল ইঞ্জিনিয়ার এটি খুঁজে পাবেন।

ধারণক্ষমতার নিয়মগুলিরও একই আচরণ দরকার। অ্যাকাউন্টপ্রতি দুটি একসঙ্গে সেশন সীমা নোডজুড়ে প্রয়োগ করা যায় কেবল যদি কোনো কর্তৃপক্ষের দখল করা স্লট সম্পর্কে সমন্বিত দৃষ্টি থাকে। নোড-স্থানীয় তালিকা আর ঐতিহাসিক অ্যাকাউন্ট রেকর্ড মিলে সেই দৃষ্টি হয় না।

তিনটি লেজার পরীক্ষা করা

প্রতিটি আলাদাভাবে পরীক্ষা করুন। নোড A দিয়ে সাইন ইন করুন, তারপর নোড B দিয়ে, এবং প্রত্যাশিত ঠিকানা পরিসর নিয়ে দুটিই সফল হয় তা নিশ্চিত করুন। একটি পরিচয় প্রত্যাহার করুন আর দুটি নোডই পরীক্ষা করুন, শুধু যেটি আপনি দৈবক্রমে পরীক্ষা করেছেন তা নয়। তারপর একটি নোড বন্ধ করুন আর ক্লায়েন্ট ও ব্যক্তিগত অ্যাপ্লিকেশন আসলে কী করে তা লক্ষ্য করুন।

গ্রহণযোগ্যতা পরীক্ষায় ফেরার পথ অন্তর্ভুক্ত করুন। যে ক্লায়েন্ট B-তে সংযোগ করে কিন্তু A-র পিছনের কোনো রিসোর্স থেকে উত্তর পায় না, সে অ্যাডমিশন পরীক্ষায় উত্তীর্ণ আর নেটওয়ার্ক পরীক্ষায় ব্যর্থ, এবং সেই পার্থক্য প্রতিবেদনে থাকা উচিত।

মাল্টি-নোড অ্যাকাউন্ট নকশা সম্পূর্ণ হয় কেবল তখনই, যখন তিনটি লেজারেরই স্পষ্ট মালিক, পরিবর্তনের পথ আর ব্যর্থতার আচরণ থাকে। নোডগুলির মধ্যে কনফিগারেশন ফাইল কপি করা এই প্রশ্নগুলির একটিরও উত্তর দেয় না।