ব্যক্তিগত VPN-তে কাজের ল্যাপটপ: আসলে কী পার হয়

কোম্পানির ল্যাপটপকে বাড়ির VPN-এ যুক্ত করলে সেটি একই সঙ্গে দুই জায়গায় থাকে, আর আকর্ষণীয় প্রশ্নটি উদ্বেগজনক প্রশ্নটির চেয়ে ছোট ও বেশি কাজের। অফিস আর বাড়ির মধ্যে কেউ ইথারনেট কেবল লাগায়নি, এবং কোনও রুটই বাড়ির নেটওয়ার্ককে কর্পোরেট সাবনেটের সম্প্রসারণ করে না। যা আছে তা হল দুই পরিবেশেই প্রবেশাধিকারযুক্ত একটি প্রান্তবিন্দু, এবং তিনটি আলাদা প্রক্রিয়া ঠিক করে তাদের মধ্যে আসলে কী চলাচল করতে পারে। প্রান্তবিন্দু থেকে বাইরের দিকে এই তিনটি ধরে হাঁটলে লেবেল নিয়ে বিতর্কের বদলে এমন উত্তর পাওয়া যায় যা প্রশাসক কাজে লাগাতে পারেন।

নেটওয়ার্ক ডায়াগ্রাম নয়, প্রান্তবিন্দু থেকে শুরু করুন

প্রান্তবিন্দুই সেই জায়গা যেখানে দুই সংযোগ মেলে, তাই পর্যালোচনা সেখান থেকেই শুরু: কোন প্রক্রিয়াগুলি চলে, তারা কী পর্যন্ত পৌঁছাতে পারে, আর কে তাদের নিয়ন্ত্রণ করে। ল্যাপটপের সঙ্গে যুক্ত দুটি মেঘ দেখানো ডায়াগ্রাম সঠিক কিন্তু সহায়ক নয়, কারণ এটি এমন সংযোগের ইঙ্গিত দেয় যা নাও থাকতে পারে। বরং এমন অ্যাপ্লিকেশনগুলির তালিকা দিন যা প্রতিটি পরিবেশের সঙ্গে কথা বলতে পারে, এবং প্রতিটি কোন অ্যাকাউন্টে চলে তা টুকে রাখুন। এই কাঠামো পর্যালোচনাকে আনুপাতিকও রাখে, কারণ দুই টানেলযুক্ত ল্যাপটপ আর যুক্ত হওয়া দুই নেটওয়ার্ক একই বস্তু নয়।

এই তালিকাই সেই ভিত্তি থেকে বাকি পর্যালোচনা কাজ করে। এতে যদি একটি সিঙ্ক ক্লায়েন্ট, দুই পরিবেশেই সাইন-ইন করা একটি ব্রাউজার প্রোফাইল এবং শংসাপত্রযুক্ত একটি বিল্ড এজেন্ট থাকে, তবে পর্যালোচনার বিষয়বস্তু আগেই পাওয়া গেছে।

তিনটি ক্রসিং পয়েন্ট, আলাদা আলাদা পর্যালোচিত

অ্যাপ্লিকেশন অ্যাক্সেসই প্রথম ক্রসিং পয়েন্ট, এবং এতে কোনও ফরওয়ার্ডিং লাগে না। প্রান্তবিন্দুতে একটি ব্রাউজার ট্যাব, সিঙ্ক ক্লায়েন্ট বা বিল্ড এজেন্ট এক পরিবেশের সংস্থান থেকে পড়তে পারে এবং অন্য পরিবেশের সংস্থানে ডেটা জমা দিতে পারে। অপারেটিং সিস্টেম ইন্টারফেসের মধ্যে প্যাকেট ফরওয়ার্ড করুক বা না করুক, এই সামর্থ্য থাকে, এবং সেতু নেই মানে ঝুঁকি নেই—এই সিদ্ধান্তে পৌঁছে মানুষ যে প্রক্রিয়াটি এড়িয়ে যায় সেটি এটিই। তাই ইন্টারফেসের তালিকা পড়ার চেয়ে অ্যাপ্লিকেশনগুলির তালিকা পড়া বেশি তথ্যবহ।

পরিচয় ও ডেটা দ্বিতীয় ক্রসিং পয়েন্ট তৈরি করে। কর্পোরেট শংসাপত্র, সেশন কুকি, ডাউনলোড করা নথি এবং ব্যবস্থাপনা অধিকার প্রান্তবিন্দুতেই থাকে, এবং অন্য নেটওয়ার্কে যুক্ত হলে সেগুলি নিজে থেকে প্রকাশ পায় না। যা বদলায় তা হল সেই পক্ষগুলির সমষ্টি যারা প্রান্তবিন্দুকে প্রভাবিত করতে পারে যখন সেটি ওই শংসাপত্র ধরে রাখে, আর এটি রাউটিংয়ের নয় বরং ব্যক্তিগত নেটওয়ার্কের বিশ্বাসযোগ্যতার প্রশ্ন। এটি এমন একটি বিচার যা প্রান্তবিন্দুর মালিক একা করতে পারেন না, এবং ফরওয়ার্ডিং নিয়মের অনুপস্থিতি এর উত্তর দেয় না।

নেটওয়ার্ক ফরওয়ার্ডিং তৃতীয়, এবং একমাত্র যা ল্যাপটপকে একটি ট্রানজিট ডিভাইসে পরিণত করতে পারে। IP ফরওয়ার্ডিং, ইন্টারনেট সংযোগ ভাগাভাগি, একটি প্রক্সি বা একটি ব্রিজিং সুবিধা—প্রতিটি এটি করতে পারে, এবং প্রতিটি এমন একটি কনফিগারেশন যা হয় সক্রিয় নয়তো নিষ্ক্রিয়। VPN ক্লায়েন্টের উপস্থিতি থেকে অনুমান না করে সেই অবস্থা সরাসরি পরীক্ষা করুন। ব্যবস্থাপিত মেশিনে উত্তর সাধারণত না, আর যাচাই করলে একটি অনুমান নথিভুক্ত করার যোগ্য তথ্যে পরিণত হয়।

একটি সংস্থান চান, দুটি নেটওয়ার্ক নয়

বাস্তব চাহিদাগুলি প্রথমে যতটা দেখা যায় তার চেয়ে সংকীর্ণ: একটি কনসোল, একটি ফাইল শেয়ার, একটি অভ্যন্তরীণ ওয়েব অ্যাপ্লিকেশন। চাহিদাটি সেভাবেই বলুন এবং সংস্থানটির মালিককে ঠিক করুক এটি আদৌ এই প্রান্তবিন্দুতে আছে কি না। দুটি নেটওয়ার্ক যুক্ত হওয়ার মতো ভাষায় করা অনুরোধ অনুমোদন করা কঠিন ও প্রত্যাখ্যান করা সহজ; একটি নির্দিষ্ট পরিষেবার অনুরোধের উত্তর আছে।

উত্তর হ্যাঁ হলে সবচেয়ে সংকীর্ণ সমর্থিত পথ বেছে নিন এবং সংস্থার বিদ্যমান নিয়ন্ত্রণের ভিতরেই রাখুন। ব্যবস্থাপিত দ্বিতীয় প্রোফাইল বা সীমিত পরিধির অ্যাপ্লিকেশন এন্ট্রি পর্যবেক্ষণ ও নীতি ধরে রাখে; প্রতিদ্বন্দ্বী ব্যক্তিগত কনফিগারেশন চুপচাপ সেগুলি প্রতিস্থাপন করে, আর পরের আপডেটের পরে কোনটি জেতে তা কেউ জানে না।

DNS ও রুটের প্রভাব অন্তর্ভুক্ত করুন

দ্বিতীয় প্রোফাইল সক্রিয় হওয়ার মুহূর্তেই নাম-রেজলিউশন বদলে যায়। ব্যক্তিগত ক্লায়েন্ট নিজের রিজলভার চাপাতে পারে, ব্রাউজার নিজের এনক্রিপ্টেড DNS ব্যবহার করতে পারে, আর নীতি-তালিকা অভ্যন্তরীণ নামগুলিকে কর্পোরেট কনফিগারেশনের প্রত্যাশার চেয়ে ভিন্ন সার্ভারে পাঠাতে পারে। এর কোনওটিতেই ফরওয়ার্ডিং লাগে না, এবং যে কোনওটি অভ্যন্তরীণ হোস্টনামকে ভুল জায়গায় পাঠাতে পারে।

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

দ্বিতীয় প্রোফাইল যুক্ত হওয়ার আগে ও পরে ওই তিনটি আউটপুট সংগ্রহ করুন। তাদের মধ্যে পার্থক্যই সেই প্রভাব যা সত্যিই ব্যবহারকারীর কাছে পৌঁছায়, আর তা প্রায়ই টিকিটে বর্ণিত রাউটিং পরিবর্তনের চেয়ে বড়। দুটি সংগ্রহই রেখে দিন যাতে পরের পর্যালোচক দেখতে পারেন কী বদলেছে, যা ইচ্ছা ছিল তা নয়।

যাচাই করুন এবং বেরোনোর পথ রাখুন

অনুমোদিত অ্যাপ্লিকেশনটি একই মেশিনের প্রশাসক শেল থেকে নয়, বাস্তব প্রক্রিয়া ও ব্যবহারকারীর প্রেক্ষাপট থেকে পরীক্ষা করুন। তারপর নিশ্চিত করুন যে অসম্পর্কিত গন্তব্যগুলি সেখানে পৌঁছানো যায় না যেখানে নকশা তা দাবি করে: যে সীমানা কেউ পরীক্ষা করেনি তা এমন সীমানা যা কেউ দাবি করতে পারে না। ব্যক্তিগত টানেল বিচ্ছিন্ন করলে আগের অবস্থা ফিরে আসা উচিত, আর কেউ এখনও দেখছে এমন সময়ে সেই পুনরুদ্ধার যাচাই করা উচিত।

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-এর শূন্য-বিশ্বাস স্থাপত্য সম্পর্কিত নির্দেশিকা এখানে উপযোগী, কারণ এটি নেটওয়ার্ক অবস্থানকে স্বয়ংক্রিয় বিশ্বাসের উৎস হিসেবে বাদ দেয়, আর সেটিই এখানে প্রশ্নের বিষয়। প্রশ্নটি এই নয় যে বাড়ির নেটওয়ার্ক স্বভাবে বিশ্বাসযোগ্য কি না; প্রশ্নটি হল কে কোন সংস্থানে পৌঁছাতে পারে, কোন প্রান্তবিন্দু থেকে, কোন প্রয়োগ-বিন্দু দিয়ে। এই তিনটির উত্তর দিন, আর সিদ্ধান্তের সঙ্গে প্রমাণ রাখুন।