VPN এক্সিট IP টানেলের প্রমাণ নয়: সার্ভার কী দেখে

কেউ এমন সেবা চায় যেখানে শুধু VPN ব্যবহারকারীরা পৌঁছাতে পারে, আর সুস্পষ্ট বাস্তবায়ন হলো এক্সিট ঠিকানার একটি তালিকা অনুমোদন করা। তালিকাটি সত্যিই কিছু করে: এটি সীমিত করে কে সংযোগ করতে পারবে। এটি প্রমাণ করে না যে টানেল ব্যবহার করা হয়েছে, কারণ ঠিকানাটি এক্সিট পরিচালনাকারীর, আর সেই অপারেটর যে কারও ট্রাফিক এগিয়ে পাঠাতে পারে। এই দুই বাক্যের মধ্যবর্তী ফাঁকটাই পুরো নকশার সমস্যা।

সার্ভার প্রতি সংযোগে একটি ঠিকানা দেখে

সংযোগটি একটি উৎস ঠিকানা ও একটি গন্তব্য পোর্ট নিয়ে আসে, আর নেটওয়ার্ক স্তর যা জানায় তা এর বেশি নয়। যখন কোনো ক্লায়েন্ট টানেল ব্যবহার করে, আপনার শ্রবণকারীর কাছে পৌঁছানো প্যাকেটগুলো আসে এক্সিট থেকে বা তার সামনের অনুবাদ থেকে। ক্লায়েন্টের নিজের ঠিকানা, সাধারণত ব্যক্তিগত, কখনও দেখা যায় না। তাই ক্লায়েন্টের স্থানীয় নেটওয়ার্ক পরিসরের জন্য লেখা ফায়ারওয়াল নিয়ম কিছুই করে না।

সেই উৎস ঠিকানার পরের সবকিছু অ্যাপ্লিকেশন ডেটা, আর অ্যাপ্লিকেশন ততটুকুই ভরসা করতে পারে যতটুকু সে তা প্রমাণীকরণ করে।

আপনার এক্সিট কেমন দেখায় তা পরীক্ষা করুন

নিয়ম লেখার আগে দুই প্রান্ত থেকে পথটি দেখুন। ক্লায়েন্টের নিজের এক্সিট সম্পর্কে দৃষ্টিভঙ্গি এবং সার্ভারের সংযোগ সম্পর্কে দৃষ্টিভঙ্গি—এই দুটি তথ্যই গুরুত্বপূর্ণ।

curl -sS https://api.ipify.org; echo
ss -tn state established '( sport = :443 )' | head

প্রথম কমান্ডটি ক্লায়েন্ট যে সার্বজনীন ঠিকানা হিসেবে দেখা যায় তা জানায়, আর যেকোনো অনুমোদিত তালিকায় এই মানটিই থাকতে হবে। দ্বিতীয়টি সার্ভারে প্রতিষ্ঠিত সংযোগগুলো তাদের সহযোগী ঠিকানাসহ দেখায়, আর নিয়মটি আসলে এগুলোর সঙ্গেই মিলবে। যদি দুটি আপনার মানসিক মডেলের সঙ্গে মিলে না যায়, নীতি সম্পাদনার আগে মডেলটি ঠিক করুন। ক্লাউড ডেটাবেস ফায়ারওয়াল, অ্যাপ্লিকেশন অনুমোদিত তালিকা এবং লোড ব্যালেন্সার—প্রত্যেকেই ভিন্ন অনুবাদ স্তর দেখতে পারে।

দুই এক্সিট সেটের মধ্যে কেবল একটি তালিকাভুক্ত করা যায়

একটি ক্ষেত্র অনুরোধের মুহূর্তে যাচাইযোগ্য আর অন্যটি নয়, যা খুব ভিন্ন নিশ্চয়তা তৈরি করে।

curl -sS https://check.torproject.org/torbulkexitlist | wc -l

প্রকাশিত Tor এক্সিট তালিকা আনা ও তুলনা করা যায়, তালিকার বয়স ও প্রতিটি এক্সিটের নিজস্ব নীতির সাপেক্ষে, তাই পরিচিত এক্সিটের বিরুদ্ধে প্রত্যাখ্যান নিয়ম প্রয়োগযোগ্য ও পর্যালোচনাযোগ্য। বাণিজ্যিক VPN-এর জন্য সমতুল্য কোনো নিবন্ধন নেই। ঠিকানা ঘুরে বদলায়, অনেক প্রদানকারী কিছুই প্রকাশ করে না, আর একটি টানেল ভাড়া করা ক্লাউড ঠিকানায় চলতে পারে যা কখনও কোনো VPN-এর ছিল না। আপনি যে তালিকা তৈরি করেন তা পর্যবেক্ষিত ঠিকানার একটি স্ন্যাপশট, আর এটিকে হোস্টিং পরিসর পর্যন্ত বাড়ালে প্রমাণ না বাড়িয়েই অসংশ্লিষ্ট কাজের ভার বাড়ে।

ঠিকানাকে নীতির ইনপুট হিসেবে ব্যবহার করুন, প্রমাণ হিসেবে নয়

নিয়মটি কীসের জন্য তা ঠিক করুন। নেটওয়ার্ক নিষেধাজ্ঞা সংকীর্ণ থাকা উচিত, পর্যবেক্ষিত ঠিকানা তার তারিখ ও কারণসহ লিপিবদ্ধ করা উচিত, এবং বৈধ ব্যবহারকারীরা তাদের এক্সিট বদলালে পুনরুদ্ধারের পথ পাওয়া উচিত। অ্যাক্সেস নিয়ন্ত্রণের জন্য প্রমাণীকৃত অ্যাকাউন্ট বা স্বাক্ষরিত টোকেন দরকার, কারণ কেবল সেগুলোই অনুরোধকে পরিচয়ের সঙ্গে বাঁধে। ঝুঁকি স্কোরিং ঠিকানাকে একটি অবিশ্বাস্য সংকেত হিসেবে ব্যবহার করতে পারে, এর মিথ্যা ধনাত্মক ও অন্ধ দাগ মেনে নিয়ে। নিয়মটি পণ্য সিদ্ধান্ত হিসেবে লেখা সৎ; টানেল আছে কিনা তার যাচাই হিসেবে লেখা নয়।

প্রতিবিম্ব অনুরোধটি, অর্থাৎ VPN-এর পেছনে ব্যবহারকারীর আসল ঠিকানা উদ্ধার করা, একই কারণে ব্যর্থ হয়: একটি সংযোগ একটি ঠিকানা বহন করে, আর সেশনগুলোর মধ্যে পরিবর্তন কয়েকটি ব্যাখ্যার সঙ্গে সঙ্গতিপূর্ণ। আগের মানটিকে ইতিহাস হিসেবে ধরুন, সত্য হিসেবে নয়।