VPN গেটওয়েকে Windows XP-এর পাশে রাখুন, ভেতরে নয়

ভবনের কোথাও একটি মেশিন আছে, যা এমন একটি অ্যাপ্লিকেশন চালায় যা কেউ প্রতিস্থাপন করতে পারে না, এমন একটি অপারেটিং সিস্টেমে যা কোনো কিছুর সাথে সংযুক্ত হওয়া উচিত নয়। ওই হোস্টের নেটওয়ার্ক অ্যাডাপ্টার থেকে বাইরের দিকে যাওয়াই টানেলটি কোথায় থাকা উচিত তা দেখার দ্রুততম উপায়। বেশিরভাগ নকশায় এটি হোস্টে আদৌ থাকে না। এটিকে এক ধাপ সরিয়ে একটি রক্ষণাবেক্ষণকৃত গেটওয়েতে নিন, আর পুরোনো সমস্যাটি যে অ্যাপ্লিকেশন থেকে শুরু হয়েছিল সেখানে সংকুচিত হবে।

VPN ক্লায়েন্ট নয়, হোস্ট অ্যাডাপ্টার থেকে শুরু করুন

অ্যাডাপ্টারের বৈশিষ্ট্য খুলে হোস্টকে একটি ছোট নিবেদিত সেগমেন্টে স্থির ঠিকানা দিন, গেটওয়ে তার ডিফল্ট রুট হবে। তখন হোস্টের কোনো টানেল ক্লায়েন্ট, টানেল শংসাপত্র বা বৃহত্তর কর্পোরেট নেটওয়ার্কে পৌঁছানো রাউট টেবিল এন্ট্রির দরকার নেই। অ্যাপ্লিকেশনটির যদি একটি দূরবর্তী সাবনেট দরকার হয়, ঠিক সেই একটি রুট যোগ করুন।

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

ওই কমান্ডটি একটি গন্তব্যকে গেটওয়েতে পিন করে এবং বাকি সবকিছুকে রুটহীন রাখে, যা-ই আপনার চাওয়া আকৃতি। এক্সিট কোডে ভরসা না করে route print দিয়ে ফলাফল নিশ্চিত করুন। তারপর দেখুন অ্যাপ্লিকেশনটি এখনও তার সার্ভারের নাম রিজলভ করে কি না, কারণ ভাঙা রিজলভারযুক্ত পুরোনো হোস্ট দেখতে ঠিক নেটওয়ার্ক ব্যর্থতার মতো, আর রিজলভার ঠিক করা পাঁচ মিনিটের কাজ, কিন্তু ভুল নেটওয়ার্ক পরিবর্তনের পরে অ্যাপ্লিকেশন পুনর্নির্মাণ তা নয়। হোস্ট যে গন্তব্যে পৌঁছাতে পারে না, তা পুরোনো নেটওয়ার্ক স্ট্যাককে আক্রমণে প্ররোচিত করার আরও একটি কম সুযোগ।

টানেলটি এমন হার্ডওয়্যারে রাখুন যা আপনি আপডেট করতে পারেন

গেটওয়ের দুটি ইন্টারফেস দরকার: একটি হোস্ট সেগমেন্টের দিকে, আরেকটি অ্যাপ্লিকেশন যেখানে থাকে সেদিকে, এবং টানেল দ্বিতীয়টিতে শেষ হয়। ওই ডিভাইসটি ফার্মওয়্যার আপডেট নিতে, তার ক্রিপ্টোগ্রাফিক কনফিগারেশন বদলাতে এবং প্রবাহ লগ করতে পারে, পুরোনো মেশিনে কেউ হাত না দিয়েই। এর বিক্রেতা টানেল বাস্তবায়নের জন্য সংশোধনও দেয়, যা হোস্ট কখনও পাবে না। দুটি মেশিন আর একটি সময়সীমা কোনো ফোরাম পোস্ট থেকে স্থির-গোপনীয়তার রেসিপি নকল করার কারণ নয়।

একটি ফ্লিটে একটি ক্লায়েন্ট কনফিগারেশন ক্লোন না করে প্রতিটি গেটওয়েকে তার নিজস্ব পিয়ার পরিচয় দিন। কোনো ইউনিট প্রতিস্থাপিত হলে নতুনটি অনলাইনে আনার ঠিক সেই মুহূর্তে পুরোনো পরিচয়টি প্রত্যাহার করুন, নইলে একই প্রান্তবিন্দুতে প্রমাণীকরণকারী দুটি অনিয়ন্ত্রিত কপি নিয়ে শেষ করবেন। কীগুলো গেটওয়ের ম্যানেজমেন্ট প্লেন যেখানে আশা করে সেখানে রাখুন, কনফিগারেশন ব্যাকআপকে গোপনীয় হিসেবে দেখুন, এবং কে সেই কনফিগারেশন পাঠাতে পারে তা পর্যালোচনা করুন, কারণ এখন এটি ঠিক করে পুরোনো হোস্ট কী পৌঁছাতে পারবে।

নেটওয়ার্ক নয়, সেবা অনুমোদন করুন

দুটি সংযুক্তির মধ্যে প্রোটোকল, পোর্ট ও দিকের পরিভাষায় নীতি লিখুন। একটি অ্যাপ্লিকেশন ঠিকানায় একটি অনুমোদিত পোর্টই সাধারণ উত্তর, আর জাম্প হোস্টের মধ্য দিয়ে প্রশাসনিক পথ বাকিটা ঢেকে দেয়।

পুরোনো হোস্টের দূরবর্তী প্রশাসন অ্যাপ্লিকেশনের মতো একই নিয়মে চলা উচিত নয়, আর নিয়ম লেখার মতোই প্রত্যাখ্যান পরীক্ষা করাও গুরুত্বপূর্ণ। হোস্ট থেকে এমন একটি গন্তব্যে একটি অনুরোধ পাঠান যা প্রত্যাখ্যাত হবে বলে আশা করেন, এবং নিশ্চিত করুন প্রত্যাখ্যানটি নীতি থেকে আসছে, অনুপস্থিত রুট থেকে নয়। নকশা নতুন থাকার সময় আপনি যে প্রবাহ অনুমোদন করেন তা লগ করুন, যাতে অ্যাপ্লিকেশনটি তার ডকুমেন্টেশন যা দাবি করে তা নয়, বাস্তবে কী ব্যবহার করে তা দেখতে পারেন। ব্রিজ করা টিউটোরিয়াল ছোট দেখাচ্ছে বলে দুটি সাবনেট একীভূত করাই হলো সেই উপায় যাতে একটি পুরোনো সেগমেন্ট নিঃশব্দে পিভট হয়ে ওঠে।

গেটওয়ে এড়ানোর শর্টকাট হিসেবে পুরোনো লিসেনারকে সরাসরি ইন্টারনেটে প্রকাশ করবেন না। প্রশাসনিক পথটিকে অ্যাপ্লিকেশন পথ থেকে আলাদা রাখুন, যাতে একটির আপস অন্যটি হস্তান্তর না করে। যে নিয়ম কখনও প্রয়োগ করা হয় না, তা এমন নিয়ম যা কেউ যাচাই করেনি, তাই প্রত্যাখ্যাত গন্তব্যটি গ্রহণ পরীক্ষার অংশ।

পুনরুদ্ধারকে টানেল ছাড়াই কাজ করতে হবে

প্রথম বিভ্রাটের আগেই ঠিক করুন কে গেটওয়ে আপডেট ও পুনরুদ্ধার করবে, এবং নিশ্চিত করুন সেই ব্যক্তি যে টানেলটি এতে শেষ হয় সেটি ছাড়াই এতে পৌঁছাতে পারে। কনসোল অ্যাক্সেস, স্থানীয় ম্যানেজমেন্ট পোর্ট বা আউট-অব-ব্যান্ড পথ—সবই গ্রহণযোগ্য উত্তর। যে গেটওয়ে কেবল নিজের প্রদত্ত টানেলের মধ্য দিয়েই কনফিগার করা যায়, তা একটি ফাঁদ যা খারাপ ফার্মওয়্যার পুশের জন্য ধৈর্য ধরে অপেক্ষা করে।

আপনি বাস্তবে যে ব্যর্থতার মুখোমুখি হবেন তার জন্য রানবুক লিখুন: টানেল বন্ধ, গেটওয়ে মৃত, হোস্ট ডিস্ক নেই। হোস্টের পুনরুদ্ধার ইমেজ তার জন্য এখনও যে সহায়তা ব্যবস্থা আছে তার অধীনে রাখুন, এবং মনে রাখুন পুনরুদ্ধার ওই ইমেজের ভেতরের সফটওয়্যার অবস্থা ও শংসাপত্রও ফিরিয়ে আনে। প্রথমে বিচ্ছিন্ন সেগমেন্টে পুনরুদ্ধার করুন, অ্যাপ্লিকেশনটি চালু হয় তা নিশ্চিত করুন, তারপরই কিছু পুনরায় সংযুক্ত করুন; গেটওয়ে বদলালে একই বসায় রানবুক ও ইনভেন্টরি হালনাগাদ করুন।

সার্টিফিকেট, ঘড়ি ও স্বাক্ষর সতর্কতা

ইনস্টলারের সার্টিফিকেটের মেয়াদ শেষ হওয়া নিজে থেকে পূর্বাভাস দেয় না আজ স্বাক্ষর যাচাই কী বলবে। Microsoft-এর Authenticode টাইমস্ট্যাম্প নির্দেশনা ব্যাখ্যা করে, স্বাক্ষরকারী সার্টিফিকেটের মেয়াদ শেষের পরেও একটি টাইমস্ট্যাম্প স্বাক্ষরকে যাচাইযোগ্য রাখতে পারে, এবং বৈধতা এখনও স্বাক্ষর, বিশ্বাস শৃঙ্খল ও যাচাইকারীর কাজের উপর নির্ভর করে। তাই ভিন্ন বিশ্বাস ভান্ডারযুক্ত দুটি মেশিন একই ফাইল নিয়ে ভিন্নমত পোষণ করতে পারে। মেয়াদোত্তীর্ণ স্বাক্ষরকারী কোনো বাইনারি ক্ষতিকর তার প্রমাণ নয়, আর বৈধ স্বাক্ষর সফটওয়্যারটি রক্ষণাবেক্ষণাধীন তার প্রমাণ নয়।

পুরোনো ইনস্টলার চালানোর জন্য সিস্টেম ঘড়ি পিছিয়ে দেবেন না বা স্বাক্ষর যাচাই বন্ধ করবেন না। যিনি এখনও অ্যাপ্লিকেশনটি সহায়তা করেন তার কাছ থেকে অনুমোদিত আর্টিফ্যাক্ট নিন এবং প্ল্যাটফর্ম কী গ্রহণ করে তা তাদেরই বলতে দিন। কোনো নির্দিষ্ট বিল্ড XP-র জন্য শেষ ছিল বলে দাবি করা পোস্টকে ইনস্টলেশন লক্ষ্য নয়, ইতিহাস হিসেবে দেখুন, কারণ প্রকৃত প্রয়োজন অ্যাপ্লিকেশনের উপর নির্ভর করে; সংরক্ষণ কাজ সত্যিই দরকার হলে তা উৎপাদন অ্যাক্সেস থেকে দূরে বিচ্ছিন্ন সেগমেন্টে রাখুন এবং কেন আছে তা নথিভুক্ত করুন।