Wi-Fi ক্লায়েন্ট আইসোলেশন বনাম VPN লোকাল অ্যাক্সেস: কোনটি আপনাকে আটকায়

একই গেস্ট SSID-তে দুটি ফোন রাখুন, একটি অন্যটিকে দেখতে পাবে না, তবু দুটোই ইন্টারনেটে পৌঁছায়। এর একটিতে VPN ক্লায়েন্ট যোগ করুন, তিন মিটার দূরের প্রিন্টার অদৃশ্য থাকে, অন্যদিকে অন্য মহাদেশের সার্ভার ping-এ সাড়া দেয়। টানেলে কিছুই ভাঙা নেই; এখানে দুটি আলাদা অ্যাক্সেস সিদ্ধান্ত কাজ করছে, এবং তার মধ্যে কেবল একটি রুটিং সম্পর্কে। অ্যাক্সেস পয়েন্ট ঠিক করে ওয়্যারলেস ক্লায়েন্টরা পরস্পরের সঙ্গে কথা বলতে পারবে কি না, আর VPN ক্লায়েন্ট ঠিক করে কোন গন্তব্যগুলো টানেল দিয়ে বেরোবে। এই দুটিকে গুলিয়ে ফেললে ঘণ্টার পর ঘণ্টা অর্থহীন কনফিগারেশন পরিবর্তন হয়।

দুটি দরজা স্বাধীন

ক্লায়েন্ট আইসোলেশন একটি স্যুইচিং সিদ্ধান্ত। অ্যাক্সেস পয়েন্ট একটি সংযুক্ত স্টেশন থেকে ফ্রেম নেয়, গন্তব্যের দিকে তাকায়, দেখে যে গন্তব্য একই ব্রিজের আরেকটি স্টেশন, এবং ফ্রেমটি ফেলে দেয়। স্টেশনের IP ঠিকানার সঙ্গে এই সিদ্ধান্তের কোনো সম্পর্ক নেই, VPN-এরও নেই।

রুটিং ক্লায়েন্টে নেওয়া একটি ভিন্ন সিদ্ধান্ত। VPN-এর রুট টেবিল ঠিক করে 192.168.1.50-এর জন্য একটি প্যাকেট টানেলে ঢুকবে না Wi-Fi ইন্টারফেস দিয়ে বেরোবে। প্যাকেট যদি Wi-Fi দিয়ে বেরোয় আর অ্যাক্সেস পয়েন্ট ক্লায়েন্ট আইসোলেশন করে, তাহলে সেটি অ্যাক্সেস পয়েন্টেই মারা যায়। প্যাকেট যদি টানেলে ঢোকে, অ্যাক্সেস পয়েন্ট মূল গন্তব্য কখনোই দেখে না এবং কিছুই আইসোলেট করতে পারে না।

সাধারণ অ্যাক্সেস পয়েন্টে আইসোলেশন কী আটকায়

প্রস্তুতকারকেরা এটি কয়েকটি নামে দেয়: ক্লায়েন্ট আইসোলেশন, AP আইসোলেশন, স্টেশন আইসোলেশন, বা এমন গেস্ট নেটওয়ার্ক যা তা সূচিত করে। OpenWrt-এ প্রতি-ইন্টারফেস অপশনটি ওয়্যারলেস কনফিগারেশনের ভেতরে isolate, যা ওয়্যারলেস ডকুমেন্টেশন-এ বর্ণিত, আর একটি গেস্ট SSID সাধারণত নিজের ব্রিজ ও ফায়ারওয়াল জোন পায়। ফল হল ক্লায়েন্টদের মধ্যে unicast ফ্রেম ব্রিজ হয় না, তাই প্রতিবেশীর কাছে ping, SMB সংযোগ বা প্রিন্ট কাজ ব্যর্থ হয়, যদিও দুটি ডিভাইসই পূর্ণ সিগন্যাল দেখায়।

ডিসকভারি প্রোটোকল সবচেয়ে আগে ও সবচেয়ে দৃশ্যমানভাবে ক্ষতিগ্রস্ত হয়। প্রিন্টার ও মিডিয়া ডিভাইসের mDNS 224.0.0.251-এ multicast পাঠায়, SSDP 239.255.255.250 ব্যবহার করে, আর এই ফ্রেমগুলো ব্রিজ পেরোয় কি না তা নির্ভর করে প্রস্তুতকারক এবং multicast-থেকে-unicast রূপান্তর চালু আছে কি না তার উপর। কোনো তালিকা থেকে ডিভাইস বাদ পড়া একটি পরিচিত ঠিকানায় সরাসরি সংযোগ ব্যর্থ হওয়ার চেয়ে দুর্বল প্রমাণ।

VPN কী বদলায়, আর কী বদলাতে পারে না

পূর্ণ টানেল ডিফল্ট রুট নেয়, তাই স্থানীয় সাবনেটে পৌঁছানো যায় কেবল যদি ক্লায়েন্ট সেগুলোর জন্য আরও নির্দিষ্ট রুট রাখে। স্প্লিট টানেল উল্টোটি করে এবং নকশা অনুযায়ী স্থানীয় অ্যাক্সেস রক্ষা করে। কোনোটিই একটি আইসোলেটিং অ্যাক্সেস পয়েন্টকে তার দুটি ক্লায়েন্টের মধ্যে ফ্রেম পাঠাতে বাধ্য করতে পারে না, তাই VPN ক্লায়েন্টে স্থানীয় ট্র্যাফিক অনুমোদন করা আবশ্যক কিন্তু যথেষ্ট নয়।

উল্টো ঘটনাও সমান সাধারণ। অ্যাক্সেস পয়েন্ট পিয়ার ট্র্যাফিক অনুমোদন করে, VPN ক্লায়েন্ট স্থানীয় সাবনেটকে টানেল থেকে বাদ দেয়, তবু প্রিন্টার সাড়া দেয় না, কারণ হোস্ট ফায়ারওয়াল Wi-Fi নেটওয়ার্ককে পাবলিক হিসেবে ধরে। তিনটি স্তর, তিনটি ভিন্ন ডিফল্ট, আর বেশিরভাগ VPN লগে কেবল রুটটাই দৃশ্যমান।

কোন দরজা বন্ধ তা বের করুন

এমন একটি পরীক্ষা দিয়ে শুরু করুন যা VPN-কে ছবির বাইরে রাখে: দুটি সাধারণ ডিভাইস একই SSID-তে যুক্ত করুন এবং ঠিকানা দিয়ে একটিকে অন্যটি থেকে পৌঁছানোর চেষ্টা করুন। এটি ব্যর্থ হলে অ্যাক্সেস পয়েন্ট আইসোলেট করছে এবং কোনো VPN সেটিং তা সারাবে না। সফল হলে ক্লায়েন্টে যান এবং Linux-এ ip route get 192.168.1.50 বা Windows-এ Find-NetRoute -RemoteIPAddress 192.168.1.50 চালান; আউটপুট প্যাকেটটি যে ইন্টারফেস ব্যবহার করবে তার নাম দেয়।

রুট যখন Wi-Fi ইন্টারফেসের দিকে দেখায়, প্যাকেটটি এনক্রিপশন ছাড়া বেরোয়, আর প্রশ্ন হয় অ্যাক্সেস পয়েন্ট ও হোস্ট ফায়ারওয়াল তা অনুমোদন করে কি না। রুট যখন টানেলের দিকে দেখায়, গন্তব্য VPN সার্ভারে পাঠানো হচ্ছে, যা একই LAN-এর ডিভাইসের জন্য ভুল এবং সাধারণত বোঝায় টানেলের অনুমোদিত তালিকা খুব প্রশস্ত।

প্রিন্টারের পোর্টে সরাসরি সংযোগ ডিসকভারি তালিকার চেয়ে ভালো পরীক্ষা। Linux-এ nc -vz 192.168.1.50 9100 বা PowerShell-এ Test-NetConnection 192.168.1.50 -Port 9100 আপনাকে বলে ঠিকানাটি আদৌ পৌঁছানো যায় কি না, তার আগে কোনো অ্যাপ্লিকেশন-স্তরের পেয়ারিং আলোচনায় ঢোকে।

আপনি যে নেটওয়ার্কে আছেন তার জন্য সমাধান বাছুন

হোটেল বা গেস্ট নেটওয়ার্কে আইসোলেশন ইচ্ছাকৃত এবং তা ভাঙার চেষ্টা করা উচিত নয়। স্থানীয় ডিভাইসকে অপ্রাপ্য ধরুন, প্রিন্ট বা শেয়ার করতে পারে এমন হোস্টে পৌঁছাতে VPN ব্যবহার করুন, এবং SSID-কে LAN হিসেবে দেখা বন্ধ করুন।

বাড়িতে, ডিভাইসগুলো আপনার হলে মূল SSID-তে আইসোলেশন বন্ধ করা যুক্তিসঙ্গত, আর গেস্ট SSID আইসোলেটেড থাকে। সেটিংটি অ্যাক্সেস পয়েন্টের ওয়্যারলেস কনফিগারেশনে থাকে, এবং সেটির জায়গা সেখানেই, প্রতিটি ক্লায়েন্টে ফায়ারওয়াল ব্যতিক্রমে নয়।

অফিসে ধরে নিন অ্যাক্সেস পয়েন্ট, VLAN ও হোস্ট ফায়ারওয়াল সবই ইচ্ছাকৃত। আইসোলেশন বন্ধ করার অনুরোধ করার বদলে পরীক্ষার ফলাফলসহ এস্কেলেট করুন, কারণ যে নেটওয়ার্ক ক্লায়েন্টদের আলাদা করে রাখে সে সাধারণত কিছু রক্ষা করছে।

অ্যাপ্লিকেশন যাচাই করুন, কেবল ping নয়

সফল ping পথ প্রমাণ করে, সেবা নয়। প্রিন্টাররা প্রায়ই কাঁচা 9100 বা 631-এ IPP গ্রহণ করে কিন্তু ডিসকভারি প্রত্যাখ্যান করে, আর ফাইল শেয়ারে 445 ও কাজ করা নাম রিজলিউশন দরকার। অ্যাপ্লিকেশন যে পোর্ট ব্যবহার করে তা নিশ্চিত করুন, তারপর ডিভাইসে প্রকৃত কাজটি আবার চেষ্টা করুন।

আপনার নোটে দুটি স্তর আলাদা রাখুন: Wi-Fi নেটওয়ার্ক কী অনুমোদন করে, আর VPN কী রুট করে। পরেরবার কোনো ডিভাইস তালিকা থেকে হারিয়ে গেলে এই বিভাজনই বলে দেবে আগে কোথায় দেখতে হবে।