নেটওয়ার্ক সিকিউরিটি গ্রুপ ও ফায়ারওয়াল রুলস

১ · সিকিউরিটি গ্রুপ — Stateful, রিসোর্স-লেভেল ফায়ারওয়াল

সিকিউরিটি গ্রুপSecurity Groupএকটি stateful, রিসোর্স/ইনস্ট্যান্স-লেভেল ফায়ারওয়াল — নির্দিষ্ট করে কোন ইনবাউন্ড/আউটবাউন্ড ট্রাফিক অনুমোদিত। একটি রিসোর্স বা ইনস্ট্যান্সের সাথে সংযুক্ত ফায়ারওয়াল রুলের একটি সেট — পোর্ট, প্রোটোকল ও উৎস (source) অনুযায়ী ইনবাউন্ড ও আউটবাউন্ড ট্রাফিক নিয়ন্ত্রণ করে। এটি stateful — মানে একটি অনুমোদিত ইনবাউন্ড রিকোয়েস্টের রেসপন্স স্বয়ংক্রিয়ভাবে বাইরে যাওয়ার অনুমতি পায়, আলাদা করে কোনো আউটবাউন্ড রুল যোগ করার প্রয়োজন হয় না।

২ · Network ACL — Stateless, সাবনেট-লেভেল

এর বিপরীতে, Network ACLNetwork Access Control Listএকটি stateless, সাবনেট-লেভেল ফায়ারওয়াল — ইনবাউন্ড ও আউটবাউন্ড উভয় দিকের জন্য আলাদাভাবে স্পষ্ট রুল প্রয়োজন। সম্পূর্ণ একটি সাবনেটের (L13) জন্য প্রযোজ্য এবং stateless — ইনবাউন্ড ট্রাফিক অনুমোদিত হলেই যে তার রেসপন্স আউটবাউন্ডে অনুমোদিত হবে তা নিশ্চিত নয়; উভয় দিকের জন্য স্পষ্টভাবে আলাদা রুল লিখতে হয়।

৩ · Least Privilege — নেটওয়ার্কিং-এ প্রয়োগ

Cybersecurity কোর্সের least privilege নীতি (প্রয়োজনের চেয়ে বেশি অ্যাক্সেস কখনো না দেওয়া) নেটওয়ার্কিং-এও সরাসরি প্রযোজ্য — শুধু প্রকৃতপক্ষে যে পোর্ট/সোর্স প্রয়োজন, ঠিক ততটুকুই খুলুন, বাকি সব ডিফল্টভাবে বন্ধ রাখুন (deny-by-default)। একটি ডেটাবেস সার্ভারের ৫৪৩২ পোর্ট শুধুমাত্র অ্যাপ-টিয়ার সিকিউরিটি গ্রুপের জন্য খোলা রাখা উচিত, পুরো ইন্টারনেটের জন্য নয়।

৪ · সিমুলেশন — সিকিউরিটি-গ্রুপ রুল ইভালুয়েটর

নিচে একটি সরল রুল-ইভালুয়েটর — একটি রুলসেট ইনবাউন্ড ট্রাফিক অনুমোদন করবে কি না তা পরীক্ষা করে (প্রথম ম্যাচ জেতে, ডিফল্ট ডিনাই)। একটি সঠিকভাবে স্কোপড রুলসেট এবং একটি বিপজ্জনকভাবে খোলা রুলসেট — দুটোর ফলাফল তুলনা করে দেখানো হয়েছে।

# সিকিউরিটি-গ্রুপ স্টাইল রুল ইভালুয়েটর (Python stdlib-এর ipaddress মডিউল ব্যবহার করে)
import ipaddress

def check_traffic_allowed(port, source_ip, rules):
    """rules: (allow, port, source_cidr) টাপলের তালিকা, ক্রমানুসারে চেক হয়, প্রথম ম্যাচ জেতে।"""
    ip = ipaddress.ip_address(source_ip)
    for allow, rule_port, source_cidr in rules:
        if rule_port == port and ip in ipaddress.ip_network(source_cidr):
            return allow
    return False   # ডিফল্ট ডিনাই — কোনো রুল ম্যাচ না করলে ব্লক

# সঠিকভাবে স্কোপড রুলসেট — শুধু অ্যাপ-টিয়ার সাবনেট থেকে DB পোর্ট (৫৪৩২) অ্যাক্সেসযোগ্য
safe_rules = [
    (True, 5432, "10.0.2.0/24"),   # শুধু অ্যাপ-টিয়ার সাবনেট
]

# বিপজ্জনকভাবে খোলা রুলসেট — সম্পূর্ণ ইন্টারনেট থেকে DB পোর্ট অ্যাক্সেসযোগ্য (মিসকনফিগারেশন)
dangerous_rules = [
    (True, 5432, "0.0.0.0/0"),     # ভুল কনফিগারেশন — পুরো ইন্টারনেট!
]

app_tier_ip = "10.0.2.15"
public_internet_ip = "203.0.113.42"

print("--- সঠিকভাবে স্কোপড রুলসেট ---")
print(f"অ্যাপ-টিয়ার থেকে DB পোর্ট অ্যাক্সেস: {check_traffic_allowed(5432, app_tier_ip, safe_rules)}")
print(f"পাবলিক ইন্টারনেট থেকে DB পোর্ট অ্যাক্সেস: {check_traffic_allowed(5432, public_internet_ip, safe_rules)}")

print("\n--- বিপজ্জনকভাবে খোলা রুলসেট (মিসকনফিগারেশন) ---")
print(f"অ্যাপ-টিয়ার থেকে DB পোর্ট অ্যাক্সেস: {check_traffic_allowed(5432, app_tier_ip, dangerous_rules)}")
allowed = check_traffic_allowed(5432, public_internet_ip, dangerous_rules)
print(f"পাবলিক ইন্টারনেট থেকে DB পোর্ট অ্যাক্সেস: {allowed}")
if allowed:
    print("সতর্কতা: এই রুল পুরো ইন্টারনেট থেকে ডেটাবেস পোর্ট অ্যাক্সেসের অনুমতি দিচ্ছে — একটি গুরুতর মিসকনফিগারেশন!")

৫ · Cybersecurity ও IaC কোর্সের সাথে সম্পর্ক

Least privilege নীতির গভীর আলোচনা Cybersecurity কোর্সে আছে। এখানে দেখানো রুল-ইভালুয়েটর প্যাটার্নটি L21-এ IaC পলিসি-চেকিং-এ পুনরায় ব্যবহৃত হবে — যেখানে এই ধরনের বিপজ্জনক রুল প্রোডাকশনে পৌঁছানোর আগেই একটি স্বয়ংক্রিয় CI/CD চেক (M8) হিসেবে ধরা হয়।