জিরো ট্রাস্ট, VPN ও TLS ইন্সপেকশন আলাদা কাজ করে

ক্রয় নথিগুলো জিরো ট্রাস্ট, VPN ও TLS ইন্সপেকশনকে একই কেনাকাটা হিসেবে ধরে নেয়, আর এদের প্রত্যেকটি এমন একটি প্রশ্নের উত্তর দেয় যা বাকিরা দিতে পারে না। একটি টানেল সুরক্ষিত পথ তৈরি করে, একটি ইন্সপেকশন গেটওয়ে যে ট্রাফিক সে সমাপ্ত করতে পারে তা পড়ে, আর একটি নীতি ঠিক করে কোনো নামকৃত পরিচয় নামকৃত সম্পদে নামকৃত কাজ করতে পারবে কি না। এদের মধ্যে কেবল শেষটিই অনুমোদনের সিদ্ধান্ত। একটি পণ্য প্রথম দুটি নিখুঁতভাবে করতে পারে এবং তবুও আসল প্রশ্নটি খোলা রেখে যেতে পারে।

তিনটি ব্যবস্থা, তিনটি প্রশ্ন

টানেল উত্তর দেয় ট্রাফিক কীভাবে নেটওয়ার্কে পৌঁছায়। ইন্সপেকশন গেটওয়ে উত্তর দেয় একটি মধ্যবর্তী যন্ত্র যা দেখতে পারে এবং যেখানে TLS সমাপ্ত করার অনুমতি আছে সেখানে কী করতে পারে। নীতি ইঞ্জিন উত্তর দেয় কে কোন সম্পদে কী করতে পারে, এবং তারপর তার এমন একটি প্রয়োগবিন্দু দরকার যা সেই উত্তর প্রয়োগ করতে পারে। NIST-এর জিরো ট্রাস্ট আর্কিটেকচার সম্পদকে কেন্দ্রে রাখে এবং প্যাকেট কোথা থেকে এসেছে তা থেকে বিশ্বাস অনুমান করতে অস্বীকার করে।

এই কাঠামো একটি লেবেলের চেয়ে সন্তুষ্ট করা কঠিন, এবং পর্যালোচনায় জাল করা আরও অনেক কঠিন। এটি প্রশ্নটিকে কোন পণ্য মোতায়েন হয়েছে তা থেকে সরিয়ে কোন সিদ্ধান্ত কীভাবে প্রয়োগ হচ্ছে তার দিকে নিয়ে যায়।

সিদ্ধান্ত আসলে কোথায় প্রয়োগ হয়

একটি অনুরোধ ধরুন: একজন সাপোর্ট ইঞ্জিনিয়ার একটি সার্ভিস কনসোল খোলেন, এবং একই সুইচে লাগানো একটি ব্যক্তিগত মেশিন কেবল কাছাকাছি থাকার কারণে সেই অনুমতি উত্তরাধিকার সূত্রে পাবে না। অনুমোদিত কাজ, ডিভাইসের শর্ত এবং যে উপাদান সেগুলো প্রয়োগ করে তা লিখে রাখুন। অবস্থান সব ঠিক করে: একটি অ্যাপ্লিকেশন গেটওয়ে, একটি সার্ভিস প্রক্সি, একটি হোস্ট নিয়ন্ত্রণ, বা সংস্থা সত্যিই সমর্থন করে এমন অন্য একটি সীমানা। সেই উপাদান যা-ই হোক, তাকে দূরবর্তী ও স্থানীয় উভয় প্রয়াসের পথে থাকতে হবে।

যে ট্রাফিক কখনও VPN প্রবেশপথ অতিক্রম করে না, তা সেখানে করা পরীক্ষা দ্বারা নিয়ন্ত্রিত হয় না, সেই পরীক্ষা যতই পুঙ্খানুপুঙ্খ হোক। এই একক ফাঁকই জিরো ট্রাস্টের চিত্র ও একটি কার্যকর মোতায়েনের মধ্যে বেশিরভাগ দূরত্ব ব্যাখ্যা করে। আর্কিটেকচার আঁকার আগে অনুরোধের পথ আঁকুন।

ডিক্রিপশন অনুমোদন নয়

ইন্টারসেপশন সংকীর্ণ ইন্সপেকশন লক্ষ্যে কাজ করে এবং নিজের বোঝা বহন করে: সার্টিফিকেট, বিশ্বস্ত রুট, গোপনীয়তা পর্যালোচনা এবং এমন অ্যাপ্লিকেশন যা এর নিচে ভেঙে পড়ে। এর কোনোটিই জিরো ট্রাস্টের অর্থ নয়, এবং কোনোটিই একটি নীতি সিদ্ধান্তের বিকল্প নয়। একটি প্যাকেট ডিক্রিপ্ট না করেই একজন ব্যক্তিকে প্রমাণীকরণ এবং একটি সার্ভিসকে অনুমোদন করা সম্পূর্ণ সম্ভব। একটি ডিক্রিপ্ট করা প্রবাহ ব্যবহারকারী এর ভেতরে বহন করা কাজটির অধিকারী ছিল কি না সে সম্পর্কে কিছুই বলে না।

নীতির এক ধরনের প্রমাণ দরকার, আর ডিক্রিপশন তা নয়। ডিভাইসের স্বাস্থ্য পরিচয়, সম্পদের সংবেদনশীলতা ও প্রেক্ষাপটের মধ্যে একটি ইনপুট, এবং একবার পাস করলে সেই মেশিনকে বাকি নেটওয়ার্ক দেওয়া হয় না। দুটিকে মিশিয়ে ফেললে একটি অনুমোদনের প্রশ্ন একটি সার্টিফিকেট প্রকল্পে পরিণত হয়।

যখন গেটওয়ে পথে কোথাও নেই

দূরবর্তী গেটওয়ে স্পর্শ না করে কী চলাচল করে তার তালিকা করুন: স্থানীয় সেগমেন্টের মেশিনগুলোর মধ্যে সংযোগ, একটি ওয়ার্কলোড থেকে আরেকটিতে কল, এবং একটি ক্লাউড অ্যাকাউন্টের ভেতরে সরাসরি পৌঁছানো এন্ডপয়েন্ট। প্রতিটি পথের জন্য আজ সত্যিই মোতায়েন করা যায় এমন একটি প্রয়োগ পদ্ধতির নাম দিন। যে সরঞ্জাম একটি এজেন্ট হোস্ট করতে পারে না তার তবুও স্পষ্টভাবে সমর্থিত অন্য কোনো নিয়ন্ত্রণ দরকার, আর এজেন্ট পরে আসবে ধরে নিলে এখন কিছুই বন্ধ হয় না। সার্ভিস-থেকে-সার্ভিস অ্যাক্সেস সাধারণত আরেকটি ওভারলে নেটওয়ার্কের চেয়ে ওয়ার্কলোড পরিচয় ও সম্পদের বিপরীতে লেখা একটি পরীক্ষার সাথে ভালো মেলে।

নকশাটি চিত্রের বদলে আচরণে গ্রহণ করুন: কোন কাজ অনুমোদিত, কোনটি অস্বীকৃত, এবং প্রতিটি উত্তর কোথায় প্রয়োগ হয়। নির্দিষ্ট অনুমোদিত ও অস্বীকৃত কাজে স্বাক্ষর করুন, এবং এমন একটি স্থানীয় রুট অন্তর্ভুক্ত করুন যা কখনও গেটওয়েতে পৌঁছায় না। কে নীতির মালিক, তা কীভাবে বদলায় এবং প্রত্যাহার কীভাবে কাজ করে তা লিপিবদ্ধ করুন।

নতুন নাম দেওয়া একটি টানেল তবুও টানেল। নীতি সিদ্ধান্ত নেয়, আর কিছু একে প্রয়োগ করতেই হবে।