আপনার সাইটের VPN কোথায় শেষ হয় তা ঠিক করে কী পরীক্ষা করা হবে

সাইটগুলোর মধ্যে একটি টানেল এমন একটি বিবরণ লুকায় যা পুরো পরীক্ষার নকশা ঠিক করে: যে ডিভাইসে ভেতরের প্যাকেট স্পষ্ট পাঠে দেখা যায়। সেই বিন্দুর আগে সবকিছু ESP দেখে, আর তার পরে সবকিছু এমন সাধারণ IP দেখে যা একটি নিয়ম ধরতে পারে। সীমানা ভুল জায়গায় রাখুন এবং যে ফায়ারওয়ালের জন্য টাকা দিয়েছেন তা লাইসেন্সযুক্ত রাউটারে পরিণত হয়। নিচের নির্দেশিকা আগে রেখা টানে এবং তারপরেই জিজ্ঞেস করে কোন ডিভাইস এর মালিক হওয়া উচিত।

রেখাটি সেখানে টানুন যেখানে প্যাকেট আর এনক্রিপ্টেড থাকে না

টানেল মোডে মূল প্যাকেট এনক্রিপ্ট হয়ে সহকর্মী গেটওয়েতে ঠিকানাকৃত নতুন বাইরের IP হেডারে মোড়া হয়। সেই বাইরের প্যাকেটটি ESP-এর জন্য প্রোটোকল 50 বহন করে, তাই দুই গেটওয়ের মধ্যেকার যেকোনো ডিভাইস ভেতরের ঠিকানা না পড়েই এটি রাউট করতে পারে। ডিক্রিপ্ট করা প্রথম ডিভাইসটিই নিরাপত্তা সীমানা, এবং এটিই ভেতরের প্রবাহে নীতি প্রয়োগ করতে পারে এমন প্রথম ডিভাইস। সেই বিন্দুর নিচে সবকিছু সাধারণ রাউটিং।

চিত্রে তিনটি জিনিস চিহ্নিত করুন: ESP গ্রহণ করে এমন বাইরের প্রান্তবিন্দু, নীতিতে নাম দেওয়া সুরক্ষিত নেটওয়ার্ক, এবং ডিক্রিপ্ট করা প্যাকেটের পরের লাফ। এই তিনটি একই ডিভাইসে না থাকলে আপনার কাছে নকশা করার মতো হস্তান্তর আছে, একক নিয়ন্ত্রণ বিন্দু নয়।

RFC 4301 ডিক্রিপ্ট করা ডিভাইসকে নিরাপত্তা গেটওয়ে বলে এবং এর নীতিকে সীমানার অংশ হিসেবে দেখে। এটি পণ্য বিভাগের চেয়ে বেশি কাজে লাগে, কারণ একটি ডিভাইস তখনই সীমানা যখন এটি নীতি ধারণ করে, তখন নয় যখন এর ডেটা শিটে ফায়ারওয়াল লেখা থাকে।

ফায়ারওয়াল সমাপ্তি হিসেবে: একটি ডিভাইস, একটি নীতি বিন্দু

যখন ফায়ারওয়াল টানেল শেষ করে, উপরের রাউটারকে কেবল ESP তার কাছে পৌঁছে দিতে হয়। ফায়ারওয়াল সহকর্মীকে প্রমাণীকরণ করে, ডিক্রিপ্ট করে এবং তারপর সার্ভার VLAN-এর দিকে যাওয়ার পথে ভেতরের প্যাকেটে নিজের স্বাভাবিক নিয়ম প্রয়োগ করে। এতে নীতি পড়ার একটি জায়গা এবং লগ পড়ার একটি জায়গা হয়, যা সাধারণত একটি নিরীক্ষা চায়।

দুটি অনুমতি আলাদাভাবে যাচাই করুন। ডিভাইসের দিকে IKE ও ESP অনুমোদন করা সেই একই নিয়ম নয় যা দূরবর্তী সাইটকে সার্ভারে পৌঁছানোর অনুমতি দেয়, আর যে ফায়ারওয়াল টানেল গ্রহণ করে অথচ ভেতরের প্রবাহ অবরুদ্ধ করে, তা অন্য প্রান্ত থেকে ঠিক একটি ভাঙা টানেলের মতো দেখায়।

খরচ হলো ফায়ারওয়াল এখন সাইটের সমস্ত ট্রাফিকের পথে থাকে, তাই এর থ্রুপুট, সেশন সীমা এবং ব্যর্থতায় সুইচ হওয়ার আচরণ টানেলের নিজের আচরণ হয়ে যায়। এটি যৌথ সাইট প্রবাহের জন্য মাপুন, সম্ভবত কেনা দূরবর্তী প্রবেশাধিকার প্রোফাইলের জন্য নয়।

রাউটার সমাপ্তি হিসেবে: পরীক্ষার লাফটি ঐচ্ছিক হয়ে যায়

যখন রাউটার ডিক্রিপ্ট করে, প্যাকেটটি রাউটিং টেবিলে পৌঁছানোর সময় আগেই স্পষ্ট থাকে। যদি আলাদা ফায়ারওয়ালকে সেই ট্রাফিক পরীক্ষা করতে হয়, রাউটারকে তা ফায়ারওয়ালের মধ্য দিয়ে পাঠাতে হবে এবং ফেরার পথ একইভাবে ফিরতে হবে। রাউটার থেকে সার্ভার VLAN পর্যন্ত সরাসরি পথ চুপচাপ ফায়ারওয়ালকে পথ থেকে সরিয়ে দেয় কিন্তু চিত্রে রেখে দেয়।

এটাই সেই ত্রুটি যা বিদ্যমান নেটওয়ার্কে খুঁজতে হয়: একই প্রিফিক্সের দিকে দুইটি পথ, একটি ফায়ারওয়াল দিয়ে এবং একটি সরাসরি, আর সরাসরি পথটি প্রিফিক্স দৈর্ঘ্য বা মেট্রিকে জেতে। টানেল এখনও ট্রাফিক পার করে এবং যে পরীক্ষায় আপনি বিশ্বাস করেন তা ঘটে না।

পথভিত্তিক টানেল এটি দৃশ্যমান করে, কারণ টানেল একটি ইন্টারফেস যা দিয়ে অন্য ডিভাইসের মধ্য দিয়ে রাউট করা যায়। নীতিভিত্তিক টানেল ট্রাফিক নির্বাচক দিয়ে বেছে নেয়, যা ডিক্রিপ্ট করা প্যাকেটকে রাউটারে অন্য গন্তব্য ছাড়াই রেখে দিতে পারে।

উভয় প্রার্থীকে একই পাঁচটি প্রশ্ন করুন

একটি ছোট কার্যপত্র বৈশিষ্ট্য ম্যাট্রিক্সকে হারায়, কারণ প্রতিটি প্রশ্ন চিত্রের একটি রেখার সাথে মেলে। প্রতিটি প্রার্থীকে জিজ্ঞেস করুন:

• কোন IKE সংস্করণ, কোন সহকর্মী প্রমাণীকরণ পদ্ধতি এবং কোন রাউটিং মডেল এই রিলিজটি সত্যিই সমর্থন করে?
• ESP কোথায় গৃহীত হয় এবং ডিক্রিপ্ট করা প্রবাহ কোথায় অনুমোদিত বা প্রত্যাখ্যাত হয়?
• স্থানীয় হোস্ট কীভাবে দূরবর্তী প্রিফিক্স শেখে এবং অন্য পক্ষ কীভাবে আপনার শেখে?
• বাস্তব কাজের ভার জন্য প্রান্তবিন্দুকে কত থ্রুপুট, কত সেশন এবং ব্যর্থতায় সুইচ হওয়ার কী আচরণ সহ্য করতে হবে?
• যখন টানেলটাই নষ্ট জিনিস, তখন সহকর্মীর প্রমাণপত্র, নীতি এবং পুনরুদ্ধার পথের মালিক কে?

pfSense নীতিভিত্তিক ও পথভিত্তিক IPsec-কে আলাদা সীমাবদ্ধতাসহ আলাদা মডেল হিসেবে নথিভুক্ত করে, এবং এই পার্থক্য বাক্সের লেবেলের চেয়ে বেশি গুরুত্বপূর্ণ। আপনি সত্যিই যে রিলিজ মোতায়েন করবেন তাতে সঠিক মোড এবং ডিক্রিপ্ট করা ট্রাফিকের সমর্থিত ফিল্টারিং যাচাই করুন।

যদি কোনো প্রার্থী দ্বিতীয় প্রশ্নের উত্তর এমন নিয়মে দিতে না পারে যা আপনি পড়তে পারেন, তবে সেটি আপনার চাওয়া সীমানা নয়, বাকি সব যত ভালোই করুক। হ্যাঁ-র বদলে নিয়মের পাঠ চান এবং অস্পষ্ট উত্তরকে না হিসেবে ধরুন।

পথটি ক্যাপচার দিয়ে যাচাই করুন, চিত্র দিয়ে নয়

চিত্র অভিপ্রায় বর্ণনা করে আর ক্যাপচার আচরণ, তাই যেকোনো একটিতে ভরসা করার আগে নিশ্চিত করুন কোন ইন্টারফেস ESP এবং কোনটি ভেতরের প্রবাহ বহন করে।

tcpdump -ni wan0 esp
tcpdump -ni lan0 host 10.60.4.20
ip xfrm policy list

যদি প্রথম ক্যাপচার ESP আসছে দেখায় এবং দ্বিতীয়টি ভেতরের প্যাকেট LAN দিকে দেখায়, ডিক্রিপশন বিন্দু সেখানেই যেখানে আপনি ভাবেন। যদি ভেতরের প্যাকেট এমন সেগমেন্টে দেখা যায় যা ফায়ারওয়াল এড়িয়ে যায়, রাউটিং ভুল, নীতির পাঠ যা-ই বলুক। xfrm তালিকা তখন দেখায় কোন নির্বাচকগুলি ইনস্টল করা আছে এবং কোন দিকে।

ফেরার পথে ক্যাপচার পুনরাবৃত্তি করুন, কারণ কোনো সাইটের দুইটি সম্ভাব্য নির্গমন থাকলে অসমমিত রাউটিং সাধারণ। যে টানেল এক দিকে কাজ করে আর অন্য দিকে সময় শেষ হয়, তা প্রায় সবসময়ই এটিই, এবং অন্য পক্ষের কোনো নীতি সম্পাদনা তা সারায় না।