আপনার VPN সেন্সর শাখার VLAN ট্যাগ কেন কখনো দেখে না
রাউটেড টানেল প্যাকেট পুনরুদ্ধার করে, সেগুলো বহনকারী ফ্রেম নয়। ইন্টারফেসের ধরন, সেন্সরের অবস্থান, সোর্স কনটেক্সট ও রিপ্লাই পাথে চারটি যাচাই।
VPN পাশের একটি সেন্সর দুটি শাখার VLAN-কে সাধারণ IP ট্রাফিক হিসেবে দেখে, আর প্রতিটি শাখাকে তার নিজের তারে চিহ্নিত করা ট্যাগটি আর নেই। রাউটেড টানেল ঠিক এটাই করে: এটি প্যাকেট পুনরুদ্ধার করে, সেগুলো পৌঁছে দেওয়া Ethernet ফ্রেম নয়। অনুপস্থিত ট্যাগটি গুরুত্বপূর্ণ কি না তা সম্পূর্ণভাবে নির্ভর করে আপনি সেন্সরকে যে প্রশ্ন করছেন তার উপর। নিচের চারটি যাচাই ক্রমে করুন, তাহলে জানতে পারবেন কোন পর্যবেক্ষণ বিন্দু সেই প্রশ্নের উত্তর দিতে পারে।
প্রথমত: আপনার টানেল কী পুনরুদ্ধার করে তা নির্ধারণ করুন
TUN ইন্টারফেস IP প্যাকেট বহন করে, তাই শাখার ফ্রেমের VLAN হেডার সেই রাউটারে থেমে যায় যা ট্রাফিকটিকে টানেলে ঠেলে দিয়েছে। TAP ইন্টারফেস Ethernet ফ্রেম বহন করে, যার অর্থ হল সেতু ও VLAN প্রবেশের নিয়মগুলো অনুমতি দিলে ট্যাগ টিকে থাকতে পারে। ক্যাপচারে কী থাকা উচিত তা ভাবার আগে ইন্টারফেসের ধরন পড়ুন।
দুটি বিকল্পের কোনোটিই ত্রুটি নয়। দুটি নকশা ভিন্ন প্রশ্নের উত্তর দেয় এবং ট্যাগটি ভিন্ন জায়গায় রাখে।
পণ্যের নাম থেকে অনুমান না করে নিজেই ইন্টারফেসটি নিশ্চিত করুন। লিংকের বিবরণ ডিভাইসের ধরন জানায় এবং বলবৎ ফ্ল্যাগ দেখায়, আর TUN ডিভাইসে নেওয়া ক্যাপচার শুধু আপনি চাইলেন বলে Ethernet হেডার পাবে না। TUN ক্যাপচারে যদি সত্যিই ট্যাগ দেখা যায়, তবে আপনি প্রায় নিশ্চিতভাবে অন্য কোনো ইন্টারফেস বা এমন টানেল পড়ছেন যা তার পেলোডের ভেতরে ফ্রেম বহন করে। এগিয়ে যাওয়ার আগে নোট করুন আপনি কোন অবস্থায় আছেন।
দ্বিতীয়ত: সেন্সরটি সেখানে রাখুন যেখানে বস্তুটি এখনো আছে
তিনটি অবস্থান বেশিরভাগ রাউটেড নকশা কভার করে: শাখার Ethernet সেগমেন্ট, টানেলের প্রান্তগুলোর মধ্যবর্তী বাইরের নেটওয়ার্ক, এবং টানেল প্রক্রিয়াকরণের পরের পথ। প্রতিটি ভিন্ন বস্তু দেখে, আর ট্যাগ কেবল প্রথমটিতেই আছে। সেন্সরের অবস্থান বাছাই হলো নীতি কোন বস্তু প্রয়োজন সে বিষয়ে সিদ্ধান্ত, সুবিধার প্রশ্ন নয়।
| Observation point | What is actually there | Question it can answer |
|---|---|---|
| Branch Ethernet segment | Tagged frames on the local wire | Which VLAN carried this frame here |
| Outer tunnel network | The protected carrier between endpoints | Which endpoints are exchanging traffic |
| After tunnel processing | Recovered IP packets | Which branch prefix the packet claims |
নীতির প্রশ্নটি এমন ভাষায় করুন যার উত্তর টেবিল দিতে পারে, আর সাধারণত তা নিজেই মিটে যায়। যদি নিয়মের জানা দরকার প্যাকেটটি কোন শাখা থেকে এসেছে, তবে নিচের দিকে প্রিফিক্স ম্যাপিং যথেষ্ট হতে পারে, কিন্তু কেবল ততক্ষণ যতক্ষণ সেই ম্যাপিং নির্ভুল ও দ্ব্যর্থহীন। যদি নিয়মের জানা দরকার ফ্রেমটি কোন পোর্টে এসেছে, তবে আপনার প্রথম অবস্থান প্রয়োজন, কারণ নিচের দিকে কোনো কিছুই তা পুনর্গঠন করতে পারে না। প্রশ্নের বদলে অভ্যাসে বসানো সেন্সরই দলগুলোকে এমন একটি ফিল্ড দাবি করতে শেখায় যা নকশা কখনো বহন করেনি।
Ethernet বহনকারী টানেল ভিন্ন নকশা এবং প্রান্তগুলো কী সংরক্ষণ বা পুনর্লিখন করে তার নিজস্ব যাচাই দরকার। একা TAP বেছে নেওয়া এখনো ব্রিজ, VLAN ভর্তি নিয়ম বা পরিদর্শন নীতি নির্ধারণ করে না।
তৃতীয়ত: সোর্স কনটেক্সটে বিশ্বাস না করে তা অর্জন করুন
প্রতি শাখায় একটি ঠিকানা পরিসর VLAN পরিচয়ের স্বাভাবিক বিকল্প, আর তা কেবল ততক্ষণ টেকে যখন ম্যাপিং এক-এক থাকে। ওভারল্যাপিং প্রিফিক্স, অনুবাদ ও একটি ভাগ করা গেটওয়ে প্রত্যেকে সেই ধারণা এমনভাবে ভাঙে যা ডিজাইনের নয়, ডেটা মানের সমস্যার মতো দেখায়। সীমাসহ ম্যাপিংটি লিখে রাখুন এবং দুটি সারির সাথে মেলে এমন প্যাকেটের কী হয় তা বলুন। দুটি শাখায় দেখা যাওয়া প্রিফিক্স আপনার ধরা ত্রুটি হওয়া উচিত, আপনি মেনে নেওয়া কয়েন টস নয়।
ক্লায়েন্টের দেওয়া কনটেক্সট সদস্যতার প্রমাণ নয়। এটি একটি দাবি, আর এর জায়গা অন্য কলামে।
যেখানে পার্থক্যটি গুরুত্বপূর্ণ, সেখানে আপনার নিয়ন্ত্রণে থাকা সংযোগ-তথ্য ব্যবহার করুন: কোন টানেল ইনস্ট্যান্স সংযোগটি গ্রহণ করেছে, প্যাকেটগুলো কোন ইন্টারফেসে এসেছে, সেই পার্টনারের জন্য স্থানীয় রুট টেবিল কী বলে। ক্লায়েন্টের দেওয়া লেবেল একটি উপকারী ইঙ্গিত এবং একটি অকেজো অনুমোদন ইনপুট। সেন্সর যদি নিজের দিক থেকে সংযোগটি প্রতিষ্ঠা করতে না পারে, তবে নীতির একটি আত্মবিশ্বাসী অনুমানের বদলে বিস্তৃততর নিয়ম দরকার।
চতুর্থত: রিপ্লাই পাথ এবং ডিক্রিপশন কী মিস করে তা নিশ্চিত করুন
শুধু এক দিক দেখা একটি সেন্সরও সুস্থ দেখাতে পারে, কারণ অনুরোধ সময়মতো আসতে থাকে। রিপ্লাই পাথ স্পষ্টভাবে যাচাই করুন এবং সাধারণ পৌঁছানোর বদলে একই ফ্লোর জন্য যাচাই করুন। অর্ধ-দ্বৈত দৃশ্যমানতা তা থেকে আপনি যে কোনো অবস্থাভিত্তিক সিদ্ধান্তে নিন, তাতে নীরব ফাঁক হয়ে যায়।
ভেতরের IP ট্রাফিক পুনরুদ্ধার করাও এর ভেতরের অ্যাপ্লিকেশন দেখা নয়, কারণ টানেলের উপর দিয়ে বহন করা TLS TLS-ই থাকে।
ip -d link show tun0
tcpdump -i tun0 -n -e -c 5এই দুটি কমান্ড ইন্টারফেসের প্রশ্নের উত্তর দেয় এবং ক্যাপচারে আসলে কী আছে তা দেখায়, যা আর্কিটেকচার নিয়ে তর্ক করার চেয়ে দ্রুত। আপনার নকশা যে ইন্টারফেসের নাম ব্যবহার করে তা বসান এবং যে ফ্লো আপনার দরকার তা সক্রিয় থাকাকালীন ক্যাপচার চালান। TUN ডিভাইসে কোনো ট্যাগ না দেখা গেলে সিদ্ধান্ত হলো নকশাটি ব্রিজ না করে রাউট করেছে, সেন্সর ডেটা ফেলেনি। তারপর হয় সেন্সরটিকে এমন অবস্থানে সরান যা ট্যাগ দেখতে পারে, নয়তো বর্তমান অবস্থান যে ভাষা সমর্থন করতে পারে সেই ভাষায় নিয়মটি পুনর্লিখন করুন।