নিজের VPN সার্ভার হোস্ট করার আগে কী ঠিক করতে হবে?

সার্ভার সফটওয়্যার ইনস্টল করা নিজে হোস্ট করা VPN-এর সবচেয়ে ছোট অংশ, আর মানুষ এই ধাপেই শুরু করে। ডিপ্লয়মেন্ট কাজ করবে কি না তা নির্ভর করে কোনো ক্লায়েন্ট এন্ডপয়েন্টে পৌঁছাতে পারে কি না, তারপর সেই ক্লায়েন্ট কোথায় পৌঁছাতে পারে, আর টানেলটাই যখন ভেঙে গেছে তখন আপনি ভেতরে কীভাবে ফিরে আসেন তার উপর। প্যাকেজ ম্যানেজার চালু হওয়ার আগেই তিনটিই ঠিক করুন।

এর দুটি ডিজাইনের সিদ্ধান্ত আর তৃতীয়টি পরিচালনার অভ্যাস। তিনটিই কাগজে ঠিক করা আউটেজের সময় ঠিক করার চেয়ে সস্তা।

ক্লায়েন্ট কোথায় পৌঁছাবে তা ঠিক করুন

রিমোট-অ্যাক্সেস সার্ভারের যে ব্যক্তিগত নেটওয়ার্কের ঘোষণা দেয় সেখানে একটি রুট দরকার, আর উত্তরগুলোর জন্য ফেরার পথও, যা তাকে ওই নেটওয়ার্কের রাউটার বানায়, কেবল শ্রোতা নয়। ইন্টারনেট-এক্সিট সার্ভারের ফরওয়ার্ডিংয়ের সাথে ঠিকানা-নির্ধারণ বা অনুবাদের ব্যবস্থা দরকার, আর সম্পূর্ণ হওয়া হ্যান্ডশেক দুটির কোনোটিই দেয় না। টপোলজির আগে কাজটি বেছে নিন, কারণ দুটি ডিজাইন রাউটিং, ফায়ারওয়াল নিয়ম আর টানেল দিয়ে ক্লায়েন্ট কী পাঠায় সে বিষয়ে আলাদা। দুটিই চাওয়া হলে সার্ভারের দুটি নিয়ম-সেট আর ক্লায়েন্টের ডিফল্ট রুটের মিলতে হওয়া ভাগ দরকার।

টানেল ও LAN-এর পরিসর এমনভাবে বাছুন যাতে আপনার ক্লায়েন্টের ব্যবহৃত নেটওয়ার্কের সঙ্গে সংঘর্ষ না হয়, কারণ যে ল্যাপটপের আগেই 192.168.1.0/24 আছে সেটি একই প্রিফিক্স দেওয়া টানেলের বদলে সেই রুটই ব্যবহার করে যাবে। IPv4 ও IPv6 আলাদাভাবে যাচাই করুন, কারণ অনেকে প্রথমটি ঠিক করে আর দ্বিতীয়টি কখনো খেয়াল করে না। যেখানে সার্ভার অন্য রাউটারের পিছনে, সেখানে প্রতিটি স্তর বোঝানো এক পোর্ট-ফরওয়ার্ডের উপর ভরসা না করে বাইরে থেকে পৌঁছানোর বিষয়টি নিশ্চিত করুন।

পরিচয়, চাবি আর ফিরে আসার পথ

সফটওয়্যার যেখানে সমর্থন দেয় সেখানে প্রতিটি ডিভাইসের জন্য আলাদা পরিচয় দিন, যাতে ল্যাপটপ হারালে সার্ভার নতুন করে বানানোর বদলে একটি পিয়ার বাতিল করতে হয়। ব্যক্তিগত চাবি সুরক্ষিত ভান্ডারে থাকবে, কখনোই চ্যাট বার্তায় আটকানো প্রোফাইলে নয়। রিকভারির পথটাই মানুষ বাদ দেয়: কনসোল অ্যাক্সেস, সিরিয়াল কনসোল, বা টানেলের উপর নির্ভরশীল নয় এমন আউট-অব-ব্যান্ড ব্যবস্থাপনা ইন্টারফেস। এটি ছাড়া একটা ভুল ফায়ারওয়াল নিয়ম ছোট পরিবর্তনকে সাইট ভিজিটে বদলে দেয়।

নথিভুক্ত করার সময়েই সরানোর পদ্ধতিটিও লিখুন। ডিভাইস বাতিল করা এমন একটি কাজ যা একদিন লাগবেই, আর সেটআপ টাটকা থাকতেই তা ব্যাখ্যা করা সহজ।

ঘরের এন্ডপয়েন্ট নাকি ভাড়া করা?

তিনটি শর্ত ঠিক করে ঘরে হোস্ট করবেন নাকি ছোট ইনস্ট্যান্স ভাড়া করবেন। প্রথমটি হলো ইনকামিং সংযোগ আপনার নেটওয়ার্কে আদৌ পৌঁছায় কি না, কারণ ক্যারিয়ার-গ্রেড অনূদিত আপলিংক বা কঠোর বিল্ডিং নেটওয়ার্ক সেই বিকল্পটা সরিয়ে দেয়। দ্বিতীয়টি হলো এক্সিটটি আপনার শহর ছাড়া অন্য কোথাও দেখাতে হবে কি না, কারণ কেবল ভাড়া করা এন্ডপয়েন্টই তা বদলায়। তৃতীয়টি হলো দ্বিতীয় বিশ্বাসের সম্পর্কের ইচ্ছা, কারণ হোস্টিং প্রদানকারী মডেলে যোগ দেয় এবং ট্রাফিক পড়তে না পারলেও এন্ডপয়েন্ট দেখতে পায়।

প্রথম শর্ত পূরণ হলে আর দ্বিতীয়টি অপ্রাসঙ্গিক হলে ঘরে হোস্ট করাই ছোট পথ। ভাড়া করা এন্ডপয়েন্ট অবস্থান ও প্রাপ্যতা কেনে, নিজে থেকে গোপনীয়তা নয়।

একটি ক্লায়েন্ট আর একটি রিস্টার্ট দিয়ে প্রমাণ করুন

একটি ক্লায়েন্ট চালু করুন, নিশ্চিত করুন যে এটি যে সম্পদে পৌঁছানো উচিত সেখানে পৌঁছাচ্ছে, আর এটিও যে যেখানে পৌঁছানো উচিত নয় সেখানে পৌঁছানো বন্ধ করেছে। নিচের কমান্ডগুলি পিয়ারের অবস্থা, সার্ভারের বসানো রুট আর ফরওয়ার্ডিং চালু আছে কি না দেখায়। অন্য কাউকে নথিভুক্ত করার আগে এগুলি চালান।

wg show
sysctl net.ipv4.ip_forward
ip route get 10.8.0.2
ss -lunp | grep -E ':(51820|1194)'

সাম্প্রতিক হ্যান্ডশেক থাকা পিয়ার সংযুক্ত, অথচ হ্যান্ডশেক ছাড়া পিয়ার কখনো দর-কষাকষিই করেনি, আর এগুলি আলাদা ব্যর্থতা। ফরওয়ার্ডিং বন্ধ থাকা এমন টানেল বোঝায় যা উঠে আসে কিন্তু কিছুই বহন করে না, তাই ক্লায়েন্টকে দোষ দেওয়ার আগে সার্ভার দেখুন। শ্রোতা না থাকা বোঝায় সেবাটি আপনার ধারণা করা কনফিগারেশন দিয়ে শুরু হয়নি। তারপর সচেতনভাবে সার্ভার রিস্টার্ট করুন আর পুরো সেটটি আবার করুন, কারণ কেবল রিস্টার্ট পর্যন্ত চলা টানেল সহজ পথ পরীক্ষা করার সাধারণ ফল।

এন্ডপয়েন্ট, পিয়ার, পরিসর আর রিকভারির পদ্ধতি এক পাতায় লিখুন। সেই পাতাটাই সেই রানবুক যা আপনি সবচেয়ে অসুবিধাজনক মুহূর্তে পড়বেন।