VPN ট্রাফিক ফিল্টার নাকি IPsec নিয়ম: Windows কোথায় পোর্ট প্রয়োগ করে

একজন Windows VPN ব্যবহারকারীর উচিত একটি সার্ভারে HTTPS-এ পৌঁছানো এবং একই সার্ভারে SMB-তে নয়, আর কোনো রুট তা প্রকাশ করতে পারে না। দুটি অনুরোধই একই গন্তব্য ঠিকানা বহন করে, তাই যে প্রিফিক্স ট্রাফিককে টানেলে পাঠায় সেটিই সেই প্রবাহও বহন করে যা আপনি বাদ দিতে চেয়েছিলেন। এদের আলাদা করতে এমন একটি নিয়ম দরকার যা গন্তব্যের চেয়ে সূক্ষ্ম কিছু পরীক্ষা করে।

দুটি ভিন্ন অভিপ্রায় দুটি ভিন্ন Windows প্রক্রিয়ায় তৈরি হয়। এদের মেশালে এমন একটি নীতি তৈরি হয় যা সম্পূর্ণ দেখায়, কিন্তু আপনি যা চেয়েছিলেন তার অর্ধেকটাই প্রয়োগ করে।

একটি রুট এক ঠিকানায় দুটি সেবা আলাদা করতে পারে না

নেটিভ VPN রাউটিং প্রিফিক্সভিত্তিক: এটি ঠিক করে কোন গন্তব্য টানেলের ভেতর দিয়ে যায় আর কোনটি বাইরে থাকে। একটি সাবনেট ভেতরে আর অন্যটি বাইরে রাখার জন্য এটি সঠিক যন্ত্র, এবং নির্মাণগতভাবেই এটি পোর্টের প্রতি অন্ধ। VPN প্রোফাইলের ট্রাফিক ফিল্টার দ্বিতীয় মাত্রা যোগ করে: ওই ইন্টারফেস পেরোতে পারে এমন কিছুর জন্য এটি প্রোটোকল, দূরবর্তী ঠিকানা এবং দূরবর্তী পোর্ট মিলায়। IPsec নিয়ম তৃতীয় জায়গায় কাজ করে, কোন প্রবাহের সুরক্ষা দরকার এবং কার সঙ্গে তারা প্রমাণীকরণ করে তা প্রকাশ করে। তিনটি ভিন্ন প্রশ্নের উত্তর দেয় এবং কোনোটি অন্যগুলোর বিকল্প নয়।

শুরু করুন কাঙ্ক্ষিত বাক্যটি লিখে। কেবল HTTPS অনুমোদন করা একটি অ্যাক্সেস বাক্য, আর HTTPS-এর জন্য IPsec দাবি করা একটি সুরক্ষা বাক্য, এবং দুটি ভিন্ন কনফিগারেশনে নিয়ে যায়।

অ্যাক্সেস সীমাবদ্ধতা ও সুরক্ষার দাবি ভিন্ন পথে যায়

অ্যাক্সেস সীমাবদ্ধতা বলে কী ইন্টারফেস ব্যবহার করতে পারে, এবং এটি একটি সেট অনুমোদন করে বাকি সব প্রত্যাখ্যান করে প্রয়োগ করা হয়। সুরক্ষার দাবি বলে কোন প্রবাহ অবশ্যই এনক্রিপ্ট ও প্রমাণীকৃত হতে হবে, এবং এটি তাদের সঙ্গে মেলা নিরাপত্তা সংস্থাপন আলোচনার মাধ্যমে প্রয়োগ করা হয়। প্রথমটি তালিকায় কিছু না থাকলে একটি অবরুদ্ধ অনুরোধ তৈরি করে, আর দ্বিতীয়টি এমন সংযোগ তৈরি করে যা হয় দাবিকৃত সুরক্ষা বহন করে, নয়তো প্রতিষ্ঠিত হয় না। একটিকে অন্যটি হিসেবে ধরা মানে এমন নীতি যার ফল কিছুই অবরুদ্ধ বা কিছুই সুরক্ষিত নয়।

ব্যবহারিক পরিণতি হলো ফিল্টার তালিকা একটি বদ্ধ সেট। প্রোফাইলে তালিকা থাকলে ওই ইন্টারফেস দিয়ে কোনো এন্ট্রির সঙ্গে না মেলা ট্রাফিক প্রত্যাখ্যাত হয়, তাই DNS, প্রমাণীকরণের আদান-প্রদান এবং অ্যাপ্লিকেশনের প্রয়োজনীয় যেকোনো নির্ভরতার নিজস্ব এন্ট্রি দরকার। প্রত্যাখ্যান থামাতে একটি বিস্তৃত নিয়ম যোগ করলে পুরো ইন্টারফেস আবার খুলে যায় এবং সীমাবদ্ধতা চুপচাপ বাতিল হয়। তালিকা প্রয়োজন যতটা অনুমোদন করে ততটা সংক্ষিপ্ত এবং অ্যাপ্লিকেশন যতটা দাবি করে ততটা পূর্ণ হওয়া উচিত।

ফিল্টার তালিকাটি একটি পূর্ণ সেট হিসেবে গড়ুন

VPNv2 প্রোফাইল রুট তালিকা থেকে আলাদাভাবে ফিল্টার তালিকা বহন করে, আর এর এন্ট্রিগুলো কমান্ড নয়, প্রোফাইল বৈশিষ্ট্য। HTTPS উদাহরণের জন্য এন্ট্রিতে প্রোটোকল 6, দূরবর্তী ঠিকানা এবং দূরবর্তী পোর্ট দরকার, যা ব্যবহৃত প্রোফাইল ধরনের জন্য ব্যবস্থাপনা চ্যানেল বা ProfileXML-এর মাধ্যমে স্থাপন করা হয়। Microsoft-এর VPNv2 ট্রাফিক ফিল্টারের সংজ্ঞা বলছে যে এক নিয়মের ভেতরের শর্তগুলো একত্র হয়, আর আলাদা নিয়ম শনাক্তকারী বিকল্প হিসেবে কাজ করে।

TrafficFilterList/0/Protocol            = 6
TrafficFilterList/0/RemoteAddressRanges = 10.60.4.20/32
TrafficFilterList/0/RemotePortRanges    = 443
RouteList/0/Address                     = 10.60.4.0/24

ওই তালিকার পোর্ট মানগুলো দূর প্রান্তের সেবা পোর্ট বর্ণনা করে, আর স্থানীয় পোর্ট অবাধ থাকা উচিত যাতে ক্লায়েন্টের ক্ষণস্থায়ী উৎস পোর্ট ফিল্টার হয়ে না যায়। উল্টো করলে এমন নিয়ম তৈরি হয় যা কিছুর সঙ্গেই মেলে না, আর একটি ধাঁধা যা গোটা দুপুর নষ্ট করে।

রুট ও ফিল্টারকে দুটি আলাদা সিদ্ধান্ত হিসেবে লিখুন। রুট ঠিক করে এই সার্ভারে টানেল দিয়ে পৌঁছানো যায়, আর ফিল্টার ঠিক করে কোন সেবা ওই পথ ব্যবহার করতে পারে।

দুটি অনুরোধ দিয়ে দুই ফলাফলই প্রমাণ করুন

অনুমোদিত প্রবাহ ও প্রত্যাখ্যাত প্রবাহ আলাদাভাবে পরীক্ষা করুন, আর অনুপস্থিত পৃষ্ঠা নয়, ব্যর্থতাটি পড়ুন। দ্রুত আসা প্রত্যাখ্যান একটি নীতি সিদ্ধান্ত, আর সময় শেষ হওয়া বেশি সম্ভবত অনুপস্থিত রুট বা শোনা না-করা সেবা। নিচের কমান্ড দুটি অনুরোধই চালায় এবং কার্যকর নিয়ম দেখায়।

Test-NetConnection 10.60.4.20 -Port 443
Test-NetConnection 10.60.4.20 -Port 445
Get-NetIPsecRule -DisplayName *Vpn*
Get-VpnConnection -Name Corp

SMB পরীক্ষায় দ্রুত প্রত্যাখ্যান আর HTTPS পরীক্ষায় সাফল্যই সেই ফল যা ফিল্টারের কথা ছিল। দুটি পোর্টেই প্রত্যাখ্যান মানে তালিকায় সেশনটির প্রয়োজনীয় কিছু অনুপস্থিত, আর দুটিতেই সময় শেষ হওয়া ফিল্টারিং নয়, রাউটিংয়ের দিকে ইশারা করে। সুরক্ষিত প্রবাহগুলো IPsec আউটপুটে কোনো নিরাপত্তা সংস্থাপন নেই দেখালে সংযোগ সফল হলেও সুরক্ষার দাবি অপূর্ণ থাকে। চারটি আউটপুট একসঙ্গে পড়ুন, কারণ প্রতিটি একা ভিন্ন কাহিনিকে সমর্থন করে।

ফলাফলের পাশে কার্যকর প্রোফাইল, নিয়মের সেট এবং সঙ্গীর নীতি লিপিবদ্ধ করুন। পুরোনো Windows ক্লায়েন্ট সম্পর্কে ঐতিহাসিক সামঞ্জস্য নোট আজকের ব্যবস্থাপিত প্রোফাইল বৈশিষ্ট্য কোনো নির্দিষ্ট গেটওয়েতে কী সমর্থন করে তা বর্ণনা করে না। সংস্করণ-নির্দিষ্ট আচরণ অনুমানে নয়, লিপিতে থাকা উচিত।