কোন Sophos RED মোড আপনার শাখা নেটওয়ার্কের জন্য উপযুক্ত?
RED হলো দূরবর্তী সাইটের একটি ভূমিকা, কোনো প্রোটোকল নয়। শাখার গেটওয়ে ও DHCP কার মালিকানায় তা দেখে Standard/Unified, Standard/Split বা Transparent/Split বেছে নিন।
Sophos RED কোনো VPN প্রোটোকল নয়, এটি দূরবর্তী সাইটের একটি ভূমিকা, তাই IPsec বা OpenVPN-এর সঙ্গে এর তুলনা ভুল প্রশ্নের উত্তর দেয়। ডিভাইসটি একটি কেন্দ্রীয় ফায়ারওয়ালের নিয়ন্ত্রণ শাখায় বিস্তৃত করে, আর আপনি যে মোড বেছে নেন তা ঠিক করে কে শাখার গেটওয়ে দেয়, কে ঠিকানা বিতরণ করে এবং কোন ট্রাফিক টানেল পার হয়। এই তিনটি উত্তর মোডের নামের চেয়ে বেশি গুরুত্বপূর্ণ। এগুলো আগে লিখে রাখলে একটি পণ্য-নির্বাচনই নকশার সিদ্ধান্তে পরিণত হয়।
RED একটি ভূমিকা, প্রোটোকল নয়
একটি RED ডিভাইস শাখাকে কেন্দ্রীয় Sophos Firewall-এ যুক্ত করে এবং ফায়ারওয়ালের কনফিগারেশনই ঠিক করে শাখাটি কী হবে। টানেল ওই যুক্ত হওয়ার একটি বাস্তবায়ন-বিস্তারিত, যেকোনো পিয়ারে লক্ষ্য করা সাধারণ উদ্দেশ্যের VPN এন্ডপয়েন্ট নয়।
এই কাঠামোটি গুরুত্বপূর্ণ, কারণ RED কোনো ইচ্ছামতো IPsec পিয়ারের সঙ্গে বিনিময়যোগ্য নয়। এটি আশা করে কেন্দ্রীয় ফায়ারওয়াল এটিকে পরিচালনা করবে, আর সমর্থিত মোডগুলো বর্ণনা করে এটি শাখার কতটা অংশ নেয়। এটিকে সাধারণ টানেল এন্ডপয়েন্ট ভাবলে এমন প্রত্যাশা তৈরি হয় যা পণ্যটি কখনো প্রতিশ্রুতি দেয়নি। এটিকে ভূমিকা ভাবলে সেই প্রশ্নগুলো ওঠে যা সত্যিই নকশা নির্ধারণ করে।
নিচের তিনটি শর্ত উত্তরটি বদলে দেয়, আর সেগুলোর সবই মালিকানা নিয়ে, এনক্রিপশন নিয়ে নয়।
যে তিনটি শর্ত মোড বেছে দেয়
জিজ্ঞেস করুন কে শাখার গেটওয়ের মালিক, কে শাখার ক্লায়েন্টদের জন্য DHCP ও DNS চালায়, এবং স্থানীয় ইন্টারনেট ব্রেকআউটকে টানেল বিচ্ছিন্নতা সহ্য করতে হবে কি না।
Standard/Unified তিনটিরই একই উত্তর দেয়: কেন্দ্রীয় ফায়ারওয়াল শাখার LAN-এর মালিক, গেটওয়ে ও DHCP দায়িত্বসহ, আর ট্রাফিক টানেল পার হয়। Standard/Split কেন্দ্রীয় ব্যবস্থাপনা রাখে এবং কেবল কনফিগার করা নেটওয়ার্কগুলো টানেল দিয়ে পাঠায়। Transparent/Split বিদ্যমান শাখা নেটওয়ার্ককেই তার নিজের গেটওয়ে ও ঠিকানার দায়িত্বে রাখে, এবং কেবল নির্বাচিত ট্রাফিক টানেলে ফেরায়। তিন মোড, তিন ভিন্ন মালিক।
| Mode | Branch gateway and DHCP | Traffic through the tunnel |
|---|---|---|
| Standard/Unified | Central firewall owns both | All branch traffic |
| Standard/Split | Central firewall owns both | Only the configured networks |
| Transparent/Split | The existing branch router keeps both | Only the selected flows |
আগে মাঝের কলামটি পড়ুন, কারণ এটি ঠিক করে টানেল না থাকলে শাখার কতটা এখনো কাজ করে।
শাখার গেটওয়ে ও DHCP কার মালিকানায়
একীভূত বিন্যাসে শাখার আলাদা কোনো গেটওয়ে নেই বললেই চলে, যা কনফিগারেশন সরল করে এবং ব্যর্থতা এক জায়গায় কেন্দ্রীভূত করে। এই কেন্দ্রীভবন ঠিক আছে যখন শাখা ছোট এবং কেন্দ্রীয় ফায়ারওয়াল উচ্চ প্রাপ্যতার।
স্বচ্ছ স্থাপনায় শাখা তার রাউটার রাখে এবং নির্বাচিত ট্রাফিক ফেরাতে RED পথের মধ্যে বসে। এটি স্থানীয় নিয়ন্ত্রণ রক্ষা করে এবং এমন একটি ডিভাইস যোগ করে যার পথে অবস্থান এখন প্রতিটি ফেরানো প্রবাহের জন্য গুরুত্বপূর্ণ। এটি কোথায় বসে নথিভুক্ত করুন, কারণ পরে শাখার রাউটারে পরিবর্তন এটিকে নীরবে এড়িয়ে যেতে পারে। সাধারণভাবে কোনো বিন্যাসই জেতে না; তারা দায়িত্ব ভিন্নভাবে ভাগ করে।
ঠিকানার মালিকানা হলো লিখে রাখার অংশ, কারণ একই সেগমেন্টে দুইটি DHCP সার্ভার মাঝে মাঝে ত্রুটি ঘটায় যা VPN সমস্যা হিসেবে জানানো হয়।
টানেল পড়ে গেলে কী হয়
Split পরিচালনাকে প্রায়ই এই প্রতিশ্রুতি হিসেবে পড়া হয় যে টানেল ব্যর্থতার সময়ও স্থানীয় ইন্টারনেট কাজ করে, আর সেই পাঠ নিরাপদ নয়। প্রকৃত আচরণ নির্ভর করে নির্বাচিত মোড, ফার্মওয়্যার ও ডিভাইসের ওপর, তাই এর জায়গা গ্রহণযোগ্যতার মানদণ্ডে, অনুমানে নয়।
ঠিক করুন টানেল ছাড়া শাখাকে কী করতে হবে: স্থানীয় প্রিন্টারে পৌঁছানো, নাম রিজলভ করা, পেমেন্ট নেওয়া, নাকি কিছুই না। তারপর টানেল ব্লক করে ও শাখা পর্যবেক্ষণ করে সেই অবস্থাটি ইচ্ছাকৃতভাবে পরীক্ষা করুন। যে শাখা নীরবে DNS হারায় তা উচ্চস্বরে ব্যর্থ হওয়া শাখার চেয়ে খারাপ, কারণ হেল্পডেস্কের ফোন আসে ঘণ্টা পরে। পর্যবেক্ষিত ফলাফল নকশা-নথিতে লিখুন।
কেন্দ্রীয় নির্ভরতা প্রতিটি মোডে একই: ডিভাইসটির নিজের পুনরুদ্ধার পথের মালিক কাউকে হতে হবে।
স্থাপনের আগে শাখার চুক্তিটি লিখুন
শাখার চুক্তি এক পাতায় ধরে: মালিক, ঠিকানার উৎস, টানেল-করা প্রিফিক্স, ব্রেকআউট নীতি এবং আপনি যে বিচ্ছিন্নতার আচরণ মেনে নিয়েছেন।
তারপর অভীষ্ট নয়, স্থাপিত ফলাফল যাচাই করুন। শাখার ক্লায়েন্টের ঠিকানা, তার ডিফল্ট গেটওয়ে, কোন প্রিফিক্স টানেল দিয়ে রিজলভ হয় এবং টানেল ব্লক থাকলে কী এখনো উত্তর দেয় তা দেখুন। সামঞ্জস্য, পৌঁছনোযোগ্যতা ও লাইসেন্সিং সবই সঠিক মডেলের জন্য বর্তমান ভেন্ডর-নথির সঙ্গে মিলিয়ে দেখতে হবে, কারণ পণ্যের নাম কোনো মোডের নিশ্চয়তা দেয় না। ওই পাতা ডিভাইস-নথির সঙ্গে রাখুন, যাতে পরবর্তী প্রকৌশলী চিত্রটি নয়, সিদ্ধান্তগুলো উত্তরাধিকারে পান।
ip -br addr
ip route
traceroute -n 10.80.4.10
dig +short intranet.corp.exampleটানেল ব্লক থাকা অবস্থায় ওই ব্লকটি আবার চালান, আর দুটি রানের পার্থক্যই হলো আপনি আসলে যে বিচ্ছিন্নতার আচরণ কিনেছেন।