শুধু VPN-নির্ভর হোম সেগমেন্ট: শুধু SSID নয়, ফলব্যাকটাই বন্ধ করুন

আপনি গেস্ট SSID-টি VPN-এ রাখেন আর সেগমেন্টটিকে শুধু-VPN বলেন। তারপর টানেল দুই মিনিটের জন্য পড়ে যায় আর ডিভাইসগুলো চুপচাপ সাধারণ WAN-এ ফিরে যায়। SSID-এর নামে কিছুই তা ঠেকায়নি। একটি শুধু-VPN সেগমেন্ট টানেল অনুপলব্ধ হলে কী ঘটে তা দিয়ে নির্ধারিত হয়, নেটওয়ার্কের লেবেল দিয়ে নয়।

লেবেল একটি প্রতিশ্রুতি; ফলব্যাক নীতি হলো প্রয়োগ।

ভ্রান্ত ধারণা: SSID-ই সীমানা

নিজস্ব ফরওয়ার্ডিং নীতি ছাড়া একটি SSID শুধুই একটি নাম। সীমানা হলো আলাদা ইন্টারফেস, VLAN বা সাবনেট, যার নিজস্ব DHCP স্কোপ ও নিজস্ব নিয়ম আছে। একটি VLAN আপনাকে ফরওয়ার্ডিং সীমানা দেয় যা একটি Wi-Fi নাম দিতে পারে না।

ক্লায়েন্ট আইসোলেশনও ডিজাইনের অংশ। সেগমেন্টের দুটি ডিভাইসের একে অপরের সাথে কথা বলার দরকার হতে পারে, আবার নাও হতে পারে, এবং সেই পছন্দটি গেস্ট প্রোফাইল থেকে উত্তরাধিকারসূত্রে পাওয়ার বদলে স্পষ্ট হওয়া উচিত।

একটি নিয়ম লেখার আগেই সেগমেন্টের ইন্টারফেস ও ঠিকানা-পরিসর লিখে রাখুন। ওই এক লাইনই পরবর্তী বেশিরভাগ বিভ্রান্তি রোধ করে।

ভ্রান্ত ধারণা: টানেল রুট প্রতিটি প্রোটোকল কভার করে

ফার্মওয়্যারের নীতি ওই সেগমেন্টে প্রয়োগ করুন যাতে এর ইন্টারনেটগামী ট্র্যাফিক টানেল ব্যবহার করে। টানেলের প্রয়োজনীয় রিমোট ফরওয়ার্ডিং ও অনুবাদ কনফিগার করুন। সেগমেন্টের সত্যিই প্রয়োজনীয় স্থানীয় রিসোর্স অ্যাক্সেসটুকুই রাখুন।

উভয় ঠিকানা পরিবার পরীক্ষা করুন। যদি IPv6 টানেলের মধ্য দিয়ে না যায়, নীতিকে তা সামলাতে হবে, নইলে IPv6-সক্ষম ডিভাইস এমন সরাসরি রুট খুঁজে পাবে যা আপনি চাননি।

IPv6 চালু থাকা অবস্থায় শুধু IPv4-এর কিল সুইচ লিকের একটি সাধারণ উপায়। IPv6-সক্ষম ক্লায়েন্ট দিয়ে পরীক্ষা করুন, শুধু হাতের ল্যাপটপ দিয়ে নয়।

ভ্রান্ত ধারণা: DNS ও টানেল এন্ডপয়েন্ট টানেল অনুসরণ করে

রাউটার DNS স্থানীয়ভাবে তৈরি হতে পারে এবং সেগমেন্টের নীতি নয়, রাউটারের নিজস্ব রাউটিং টেবিল অনুসরণ করতে পারে। ওই রিজলভার কোন পথ ব্যবহার করবে এবং টানেল ব্যর্থ হলে কী করবে তা নির্ধারণ করুন। VPN-এর নিজস্ব এন্ডপয়েন্ট সংযোগ আরেকটি ব্যতিক্রম: এর পিয়ারের কাছে নথিভুক্ত বাইরের রুট দরকার। ওই সংযোগ টানেলে পাঠালে তা উঠতেই পারবে না।

পুনরুদ্ধার প্রশাসনকে সেগমেন্টের ইন্টারনেট অ্যাক্সেস থেকে আলাদা রাখুন। ব্যর্থ পিয়ার যদি আপনাকে রাউটার থেকেও লক আউট করে, তবে আপনি টানেল আউটেজকে সাইট ভিজিটে পরিণত করেছেন। ওই অ্যাক্সেস ম্যানেজমেন্ট নেটওয়ার্কে রাখুন, শুধু-VPN সেগমেন্টে নয়।

আসলে কী এটিকে শুধু-VPN করে

টানেল বন্ধ থাকলে সেগমেন্টের জন্য সাধারণ WAN ফরওয়ার্ডিং ব্লক করুন। SSID নয়, ওই নিয়মই লেবেলটিকে সত্য করে। সেগমেন্টের ডিভাইস থেকে নিরীহ ট্র্যাফিক দিয়ে তা পরীক্ষা করুন।

তিনটি পরীক্ষা চালান: টানেলের মধ্য দিয়ে স্বাভাবিক কাজ, টানেল বন্ধ থাকা অবস্থায় অনুমোদিত ব্যর্থতা পরীক্ষা, এবং ফিরে এলে পুনরুদ্ধার। নিশ্চিত করুন যে অন্য একটি গৃহস্থালি সেগমেন্ট সর্বদা নিজের অভীষ্ট রুট ধরে রাখে। যেকোনো সরাসরি ব্যতিক্রম নথিভুক্ত রাখুন, নইলে লেবেল এমন পথ লুকিয়ে রাখে যা আপনি আর মনে করতে পারবেন না।

সেগমেন্ট, নির্বাচিত টানেল ও ব্যতিক্রমগুলোর একটি সংক্ষিপ্ত রেকর্ড ফার্মওয়্যার আপডেট নিয়মের ক্রম বা রিজলভারের আচরণ বদলানোর পর আপনাকে নির্দিষ্ট পরীক্ষা দেয়। pfSense-এর WireGuard ক্লায়েন্ট রেসিপি টানেলের দিকের জন্য একটি দরকারি রেফারেন্স, সেগমেন্ট নীতির বিকল্প নয়।