VPC জোড়া — peering, transit, VPN, dedicated link আর private endpoint

১ · একটি VPC-তে সব রাখা যায় না কেন

পর্ব ২৫ থেকে পর্ব ২৭-এ আমরা একটি VPC সাজিয়েছি: তার subnet, route table আর firewall. কিন্তু বাস্তবের প্রতিষ্ঠানে VPC একটি থাকে না। একটি কাল্পনিক অনলাইন বাজার অ্যাপের কথা ভাবুন। তার production আলাদা account-এ, developer-দের পরীক্ষার জায়গা আরেক account-এ, log আর monitoring তৃতীয় জায়গায়। আবার হিসাব বিভাগের পুরোনো server এখনো অফিসের ঘরে।

আলাদা রাখা ভুল নয়, বরং বুদ্ধিমানের কাজ। Dev-এর একটি ভুল production-এ পৌঁছায় না, খরচ আলাদা গোনা যায়, দলগুলো নিজের মতো কাজ করতে পারে। এই বিভাজনের নকশা পর্ব ৩৫-এ আসবে। কিন্তু আলাদা network-গুলোকে কিছু নির্দিষ্ট পথে কথা বলতেই হয়। তিনটি সাধারণ কারণ:

এর সঙ্গে চতুর্থ একটি প্রশ্ন আছে: provider-এর নিজের service, যেমন object storage, ব্যবহার করতে কি ইন্টারনেটে বের হতেই হবে? এই পর্বের পুরো মানচিত্রটি এক ছবিতে দেখুন।

একটি সতর্কতা আগেই বলি। পথ জোড়া মানেই সবকিছু সবার কাছে খোলা নয়। Route বলে packet কোন দিকে যাবে, firewall বলে ঢুকতে পারবে কি না। পর্ব ২৭-এর security group এই পর্বের প্রতিটি পথেই আলাদা করে খুলতে হবে।

২ · VPC peering — দুই বাড়ির মাঝের গেট

VPC peering হলো দুটি VPC-র মধ্যে provider-এর ভেতরের network দিয়ে সরাসরি জোড়া। মাঝখানে কোনো gateway যন্ত্র, VPN বা ইন্টারনেট নেই, আর দুই পাশের instance একে অপরের private IP ব্যবহার করে কথা বলে। একই region-এ বিলম্ব প্রায় একই VPC-র মতো থাকে। অনেক provider-এ অন্য region বা অন্য account-এর সঙ্গেও peering করা যায়।

এক পক্ষের route থাকলে কী হয়? Request পৌঁছায়, কিন্তু reply ফেরার পথ পায় না। Ping তখন শুধু timeout দেখায়, আর আপনি ভাবেন সব বন্ধ। এটি peering-এর সবচেয়ে সাধারণ ভুল। সঙ্গে security group-ও দেখতে হবে: B-র firewall-এ A-র CIDR থেকে ঢোকার অনুমতি লাগবে।

নিচের checker-টি নিয়ম ১ আর ২ চালিয়ে দেখায়। VPC D-এর CIDR ইচ্ছা করে B-র ভেতরে রাখা হয়েছে।

// Non-transitive peering checker with CIDR overlap and longest-prefix lookup.
const ip = s => s.split('.').reduce((a, b) => a * 256 + Number(b), 0);
const range = c => {
  const [a, m] = c.split('/');
  const size = 2 ** (32 - Number(m));
  return { lo: ip(a), hi: ip(a) + size - 1, bits: Number(m) };
};
const overlap = (x, y) => { const a = range(x), b = range(y); return a.lo <= b.hi && b.lo <= a.hi; };

const vpc = { A: '10.0.0.0/16', B: '10.1.0.0/16', C: '10.2.0.0/16', D: '10.1.128.0/17' };
const peers = new Set();
for (const [x, y] of [['A', 'B'], ['B', 'C'], ['B', 'D'], ['A', 'D']]) {
  if (overlap(vpc[x], vpc[y])) { console.log(`peer ${x}-${y}: REJECTED, ${vpc[x]} overlaps ${vpc[y]}`); continue; }
  peers.add(x + y); peers.add(y + x);
  console.log(`peer ${x}-${y}: active`);
}

// Reachable only over ONE direct peering. No walking through a middle VPC.
const names = Object.keys(vpc);
console.log('\nfrom/to ' + names.join('  '));
for (const x of names) {
  const row = names.map(y => (x === y ? '-' : peers.has(x + y) ? 'Y' : 'n'));
  console.log('   ' + x + '    ' + row.join('  '));
}
console.log('A to C: ' + (peers.has('AC') ? 'reachable' : 'BLOCKED, A-B and B-C do not chain'));

// A's route table has both B and D. Longest prefix wins.
const routes = ['B', 'D'].map(v => ({ v, ...range(vpc[v]) }));
for (const dst of ['10.1.5.5', '10.1.200.5']) {
  const hit = routes.filter(r => ip(dst) >= r.lo && ip(dst) <= r.hi)
    .sort((p, q) => q.bits - p.bits)[0];
  console.log(`A sends ${dst} to VPC ${hit.v} (/${hit.bits})`);
}

Link-এর গুনতি: n(n−1)/2

Transitive নয় বলে প্রতিটি VPC-কে প্রতিটির সঙ্গে আলাদা peering করতে হয়। একে বলে full mesh. n-টি VPC-র প্রতিটি বাকি (n−1)-টির সঙ্গে জোড়া, আর প্রতিটি link দুবার গোনা হয়ে যায়, তাই ২ দিয়ে ভাগ।

৫টি VPC পর্যন্ত এটি সামলানো যায়। ৫০টিতে ১,২২৫টি peering, প্রতিটিতে দুই পাশের route. তার ওপর provider-ভেদে প্রতি VPC-তে peering-এর সংখ্যার সীমা (quota) থাকে, আর route table-এর আকারেরও সীমা থাকে। লেখার সময়ের সীমা provider-এর নথিতে দেখে নিন, কারণ এগুলো বদলায়।

৩ · Transit hub — সদরঘাটের মতো এক কেন্দ্র

Transit hub (AWS-এ Transit Gateway) হলো provider-এর চালানো একটি কেন্দ্রীয় রাউটার। প্রতিটি VPC, VPN আর dedicated link হাবের সঙ্গে একটি করে attachment দিয়ে জোড়ে। এই গড়নকে বলে hub-and-spoke: মাঝে hub, চারপাশে spoke. Peering-এর সঙ্গে তিনটি বড় তফাত আছে।

• Transitive: Hub নিজেই রাউটার, তাই A থেকে C-তে যাওয়া যায়।
• নিজের route table: Hub-এ একাধিক route table রেখে ঠিক করা যায় কে কার সঙ্গে কথা বলবে। একে network segmentation বলে। Dev আর prod একই hub-এ জোড়া থেকেও একে অপরকে না দেখার মতো করে সাজানো যায়।
• দুই রকম খরচ: সাধারণত প্রতি attachment-এ ঘণ্টাভিত্তিক ভাড়া, আর hub-এর ভেতর দিয়ে যাওয়া প্রতি GB-তে processing charge. Peering-এ সাধারণত শুধু data transfer-এর খরচ থাকে। পর্ব ৭২-এ বিলের এই অংশ আবার আসবে।

নিচে দেখুন, দুই spoke-এর মধ্যে একটি packet কোন কোন route table পার হয়। মনে রাখুন, প্রতিটি মোড়ে সিদ্ধান্ত নেয় সেই জায়গার route table.

এবার সংখ্যায় দেখি। প্রতিটি দাম এখানে ধরে নেওয়া গোল সংখ্যা, আসল দাম provider-এর pricing পাতায় দেখুন। ধরে নিই প্রতি VPC মাসে ১,০০০ GB অন্য VPC-তে পাঠায়।

// Full mesh vs transit hub as VPCs grow. ALL prices are ASSUMED round numbers.
const HOURS = 720;            // 30-day month
const ATTACH_HOUR = 0.05;     // hub: $ per attachment per hour
const HUB_GB = 0.02;          // hub: $ per GB processed
const PEER_GB = 0.01;         // peering: $ per GB of data transfer
const GB_PER_VPC = 1000;      // each VPC sends this much to other VPCs
const PEER_LIMIT = 50;        // assumed quota: peerings per VPC

const pad = (v, w) => String(v).padStart(w);
console.log('VPCs  links  routes  peer$  hub-fix$  hub-data$   hub$  quota');

for (const n of [2, 3, 5, 10, 20, 50, 100]) {
  const links = n * (n - 1) / 2;
  const routesPerVpc = n - 1;              // one route per other VPC
  const peerBill = n * GB_PER_VPC * PEER_GB;
  const hubFixed = Math.round(n * ATTACH_HOUR * HOURS);
  const hubData = n * GB_PER_VPC * HUB_GB;
  const hubBill = hubFixed + hubData;
  const quota = n - 1 > PEER_LIMIT ? 'OVER' : 'ok';
  console.log(pad(n, 4), pad(links, 6), pad(routesPerVpc, 7), pad(peerBill, 6),
    pad(hubFixed, 9), pad(hubData, 10), pad(hubBill, 6), pad(quota, 6));
}

// Work needed to add ONE more VPC when n already exist
const n = 20;
console.log('\nAdd VPC number ' + (n + 1) + ' to ' + n + ' existing:');
console.log('  mesh: ' + n + ' new peerings, ' + 2 * n + ' route entries, in ' + (n + 1) + ' VPCs');
console.log('  hub : 1 new attachment, 1 route in the new VPC, hub learns the rest');

তাহলে কত VPC-তে hub নেবেন? নির্দিষ্ট সংখ্যা নেই। অনেক দল ৩–৫টিতে peering-ই রাখে, আর on-premises যোগ হলে, কেন্দ্রীয় firewall লাগলে বা ১০-এর কাছাকাছি গেলে hub ভাবে। মিশ্র নকশাও চলে: সাধারণ traffic hub দিয়ে, আর দুই VPC-র মধ্যে খুব ভারী ডেটা সরাসরি peering দিয়ে, যাতে per-GB charge বাঁচে। Hub সাধারণত একটি region-এর সম্পদ, আর অন্য region-এর hub-এর সঙ্গে আলাদা করে জুড়তে হয়। Hub-এর ভুল route table গোটা প্রতিষ্ঠানে ছড়ায়, তাই তার blast radius বড়।

৪ · VPN — পাবলিক রাস্তায় তালা-দেওয়া ক্যাশ ভ্যান

Site-to-site VPN

Site-to-site VPN জোড়ে পুরো দুটি network: অফিসের router আর cloud-এর VPN gateway. কর্মীদের যন্ত্রে কিছু চালাতে হয় না। অফিসের যেকোনো যন্ত্র cloud-এর private IP-তে পৌঁছায়। কয়েকটি বিষয় জানা দরকার:

• IPsec: এটি IP packet-কে encrypt করে আরেকটি IP packet-এর ভেতরে মুড়ে পাঠায়। ধারণাটি যথেষ্ট: বাইরের খামে দুই VPN যন্ত্রের public IP, ভেতরের খামে আসল private IP. দুই পক্ষ IKE নামের প্রক্রিয়ায় পরিচয় যাচাই করে key ঠিক করে। পুরো গণিত Computer Networks কোর্সে আছে।
• দুটি tunnel: অনেক provider একটি VPN সংযোগেই দুটি tunnel দেয়, যার দুই প্রান্ত cloud-এর আলাদা যন্ত্রে বা zone-এ থাকে। Provider তার একটি যন্ত্রে maintenance চালালে একটি tunnel পড়ে যেতে পারে। তাই দুটিই সাজিয়ে রাখা নিজের দায়িত্ব।
• Bandwidth-এর সীমা: লেখার সময়ে অনেক provider-এ একটি tunnel-এ মোটামুটি এক থেকে কয়েক Gbps-এর সীমা থাকে। আসল গতি নির্ভর করে আপনার ইন্টারনেট আর অফিসের router-এর CPU-র ওপর। কিছু hub একাধিক tunnel-এ ভাগ করে চালাতে পারে, একে বলে ECMP.
• BGP, অল্প কথায়: Route হাতে লিখলে (static) নতুন network যোগ হলে দুই পাশে হাত লাগাতে হয়। BGP-তে দুই পাশের router নিজেরাই জানায়, “আমার কাছে এই এই CIDR আছে।” Tunnel পড়ে গেলে route-ও নিজে থেকে সরে যায়। গভীরে জানতে BGP-র পর্বটি দেখুন।

এবার দেখুন, একটি tunnel পড়লে আসলে কী হয়। ধরে নিই BGP প্রতি ১০ সেকেন্ডে keepalive পাঠায়, আর ৩০ সেকেন্ড কিছু না শুনলে পথ বাতিল করে। এই দুই মান ধরে নেওয়া, যন্ত্র ও সেটিংসভেদে আলাদা হয়।

এই অন্ধ সময় কমানো যায়। Dead peer detection IPsec স্তরে অপর পক্ষের খোঁজ নেয়, আর কিছু যন্ত্রে BFD নামের দ্রুত সংকেত BGP-র সঙ্গে চলে। Static route-এ এমন স্বয়ংক্রিয় সরে যাওয়া নাও মিলতে পারে, তাই failover চাইলে BGP-ই ভালো পথ।

Client VPN

Client VPN জোড়ে একজন মানুষকে: কর্মীর ল্যাপটপে একটি app চলে, আর সেটি VPC-র ভেতরে ঢোকে। Site-to-site পুরো অফিসের জন্য, client VPN বাড়িতে বসা একজনের জন্য। এতে পরিচয় যাচাই (MFA-সহ) জরুরি, কারণ একটি চুরি যাওয়া ল্যাপটপ সরাসরি network-এর ভেতরে চলে আসে। সব provider-এ এটি managed service হিসেবে থাকে না, অনেকে OpenVPN বা WireGuard নিজে চালায়। এখন অনেক দল VPN-এর বদলে পরিচয়ভিত্তিক প্রবেশ নেয়, যেমন পর্ব ১২-এর session manager বা zero trust ধরনের প্রবেশ, কারণ তাতে পুরো network খোলে না, শুধু নির্দিষ্ট কাজটি খোলে। Bastion-ও পুরোনো ও প্রচলিত একটি পথ।

৫ · Dedicated link — নিজের লাইনে মেট্রোরেল

এটি বসে এভাবে: provider নির্দিষ্ট কিছু colocation ভবনে নিজের router রাখে। আপনার সরঞ্জাম সেই ভবনে পৌঁছালে একটি fiber সরাসরি জুড়ে দেওয়া হয়। আপনি সেখানে না থাকলে একটি partner বা telecom প্রতিষ্ঠান আপনার অফিস থেকে সেখানে পর্যন্ত লাইন ভাড়া দেয়, আর partner-এর মাধ্যমে ছোট গতিতেও সংযোগ নেওয়া যায়। Provider-এর দিকে সংযোগটিও BGP-তে চলে।

VPN বনাম dedicated link: break-even

VPN-এ স্থির খরচ কম, প্রতি GB-র হার বেশি। Dedicated link-এ উল্টো। তাই দুটি খরচ-রেখা একটি বিন্দুতে কাটে, আর সেটিই break-even:

নিচে সব দাম ধরে নেওয়া। মনে রাখুন, সাধারণত cloud থেকে বেরোনো ডেটারই per-GB বিল হয়, ভেতরে ঢোকা ডেটার নয়। তাই V হলো cloud থেকে বাইরে যাওয়া ডেটা।

// VPN vs dedicated link: monthly cost and break-even. ALL prices ASSUMED.
const HOURS = 720, SECONDS = 30 * 24 * 3600;
const vpn = { hour: 0.05, circuit: 0, gb: 0.09 };          // internet egress
const one = { hour: 0.30, circuit: 400, gb: 0.02 };        // 1 Gbps port + local loop
const two = { hour: 0.60, circuit: 800, gb: 0.02 };        // two links for resilience

const fixed = p => p.hour * HOURS + p.circuit;
const bill = (p, gb) => fixed(p) + p.gb * gb;
const breakEven = (a, b) => (fixed(b) - fixed(a)) / (a.gb - b.gb);

console.log('fixed $/mo: vpn', fixed(vpn), ' one', fixed(one), ' two', fixed(two));
console.log('  TB/mo  avg-Mbps   vpn$   one$   two$  cheapest');
for (const tb of [1, 2, 5, 10, 20, 50, 100]) {
  const gb = tb * 1000;
  const mbps = (gb * 8000 / SECONDS).toFixed(1);      // 1 GB = 8000 Mb
  const v = bill(vpn, gb), o = bill(one, gb), t = bill(two, gb);
  const best = [['vpn', v], ['one', o], ['two', t]].sort((p, q) => p[1] - q[1])[0][0];
  console.log(String(tb).padStart(7), mbps.padStart(9), String(v).padStart(6),
    String(o).padStart(6), String(t).padStart(6), ' ' + best);
}
console.log('break-even vpn vs one link :', Math.round(breakEven(vpn, one)), 'GB/mo');
console.log('break-even vpn vs two links:', Math.round(breakEven(vpn, two)), 'GB/mo');

// Peak matters more than average: can one tunnel carry the peak?
const TUNNEL_GBPS = 1.25, PEAK_TO_AVG = 8;   // assumed
for (const tb of [20, 100]) {
  const avg = tb * 1000 * 8 / SECONDS;       // Gbps
  const peak = avg * PEAK_TO_AVG;
  console.log(`${tb} TB/mo: avg ${avg.toFixed(3)} Gbps, peak ${peak.toFixed(2)} Gbps, ` +
    (peak > TUNNEL_GBPS ? 'one tunnel too small' : 'one tunnel fits'));
}

দুই link কেন, আর দুই link কখন এক link

একটি dedicated link মানে একটি single point of failure. কেউ রাস্তা খুঁড়তে গিয়ে fiber কেটে ফেললে অফিস আর cloud আলাদা হয়ে যাবে। সাধারণ সমাধান: দুটি আলাদা link, সম্ভব হলে দুটি আলাদা ভবনে। অথবা একটি link আর backup হিসেবে VPN.

হিসাবটি availability থেকে আসে। একটি link ৯৯.৯% সময় চালু থাকলে, আর দুটি একেবারে স্বাধীনভাবে বিকল হলে, দুটি একসঙ্গে বন্ধ থাকার সম্ভাবনা ০.০০১ × ০.০০১ = ০.০০০০০১। অর্থাৎ অন্তত একটি চালু থাকে ৯৯.৯৯৯৯% সময়। এখানে ফাঁদটি হলো “স্বাধীন” শব্দটি। দুই লাইন যদি একই খাল, একই ভবন বা একই সাবমেরিন কেবল দিয়ে যায়, তাহলে একটি ঘটনায় দুটিই যায়। একে বলে correlated failure. কাগজে দুই লাইন, মাটির নিচে এক। তাই লিখিতভাবে জেনে নিন, দুটি পথ আসলে আলাদা কি না। মনে রাখুন, backup VPN-কেও peak সইতে হবে, নইলে failover হয়ে অ্যাপ ধীর হয়ে পড়বে। Failover পর্ব ২৪-এর মতোই নিয়ম করে পরীক্ষা করতে হয়।

৬ · Endpoint — ইন্টারনেটে না বেরিয়ে provider-এর service

Private subnet-এর server-কে object storage-এ ফাইল রাখতে হবে। Object storage-এর ঠিকানা সাধারণত public. পর্ব ২৬-এর পথে তাকে NAT gateway দিয়ে ইন্টারনেটের দিকে বেরোতে হয়। এতে দুটি সমস্যা: নিরাপত্তা দল বাইরের পথ পছন্দ করে না, আর NAT প্রতি GB-তে processing charge নেয়। ধরে নেওয়া $০.০৫ হারে মাসে ১০ TB (১০,০০০ GB) মানে শুধু এই খাতে $৫০০।

সমাধান VPC endpoint: VPC থেকে provider-এর service-এ provider-এর ভেতরের পথেই যাওয়া। দুটি ধরন আছে, আর এদের গুলিয়ে ফেলা খুব সাধারণ ভুল।

কাজটি একটি কমান্ডেই হয়। নিচের উদাহরণটি AWS CLI-র গড়নে লেখা, সব ID নমুনা। নিজের account-এ করতে চাইলে শুধু একটি পরীক্ষার VPC-তে করুন, আর শেষে মুছে দিন। Cloud ব্যবহারে খরচ হতে পারে, তাই আগে pricing পাতা দেখে নিন। এখানে আউটপুট দেখানো হয়নি, কারণ আমরা কমান্ডটি চালাইনি।

# উদাহরণ: object storage-এর জন্য gateway endpoint. সব ID নমুনা।
aws ec2 create-vpc-endpoint \
  --vpc-id vpc-0example \
  --vpc-endpoint-type Gateway \
  --service-name com.amazonaws.ap-south-1.s3 \
  --route-table-ids rtb-0example

# পরিষ্কার করা: পরীক্ষা শেষে endpoint মুছুন
aws ec2 delete-vpc-endpoints --vpc-endpoint-ids vpce-0example

Bucket-কে শুধু এই পথে খুলে রাখতে policy-তে একটি শর্ত দেওয়া যায়। এটি উদাহরণ। ভুল করলে নিজেকেও আটকে ফেলবেন: নিচের Deny console থেকে আসা আপনার অনুরোধও আটকাবে, তাই আগে পরীক্ষার bucket-এ চেষ্টা করুন।

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "OnlyThroughOurEndpoint",
    "Effect": "Deny",
    "Principal": "*",
    "Action": "s3:*",
    "Resource": ["arn:aws:s3:::example-bucket", "arn:aws:s3:::example-bucket/*"],
    "Condition": { "StringNotEquals": { "aws:SourceVpce": "vpce-0example" } }
  }]
}

ছোট হিসাব: একই ৫,০০০ GB-তে ধরে নেওয়া হারে NAT-এ $২৫০। তিন zone-এ private endpoint হলে ($০.০১ ঘণ্টা প্রতি zone, $০.০১ প্রতি GB) খরচ ৩ × ০.০১ × ৭২০ + ৫০ = $৭১.৬০। Gateway endpoint-এ শূন্য। তবে NAT-এর নিজের ঘণ্টাভিত্তিক ভাড়া থেকে যায়, যদি অন্য কাজে NAT রাখতে হয়। অনেক দল শুধু এই একটি লাইন যোগ করেই বিল কমতে দেখেন।

৭ · PrivateLink ধরনের service আর shared VPC

একটি service অন্য account-কে দেখানো

Private endpoint শুধু provider-এর service-এর জন্য নয়। আপনিও নিজের API এভাবে অন্য account-কে দিতে পারেন। একে AWS বলে PrivateLink, Azure-এ Private Link Service, আর Google Cloud-এ Private Service Connect. গড়নটি এরকম:

1. Service-এর মালিক: নিজের API-র সামনে একটি internal load balancer রেখে সেটিকে “service” হিসেবে প্রকাশ করে, আর নির্দিষ্ট account-কে অনুমতি দেয়।
2. গ্রাহক: নিজের subnet-এ একটি private endpoint বানায়। তার কাছে সেই API এখন নিজের VPC-র একটি private IP.
3. Traffic: শুধু গ্রাহকের দিক থেকে শুরু হয়। মালিকের VPC-র আর কিছু গ্রাহক দেখতে পায় না।

Peering-এ দুই network-এর অনেকটা জুড়ে যায়, এখানে জোড়া লাগে একটি মাত্র service-এ। দুই VPC-র CIDR এক হলেও চলে, কারণ দুই network-এর মধ্যে কোনো route নেই। অর্থাৎ অন্য দলের বা SaaS প্রতিষ্ঠানের network-এর সঙ্গে ঠিকানা মেলানোর ঝামেলা নেই। একে অনেকটা ব্যাংকের কাউন্টারের জানালার মতো ভাবুন: লেনদেন হয়, কিন্তু আপনি ভল্টে ঢুকতে পারেন না। অসুবিধাও আছে: endpoint-এর খরচ আছে, আর এক দিকের ডাকের জন্য এটি সাজানো, দুই দিকের ডাক চাইলে দুটি লাগে।

Shared VPC

Shared VPC-তে একটি কেন্দ্রীয় network দল VPC, subnet আর route বানায়, আর অন্য account বা project সেই subnet-এ নিজের instance চালায়। জোড়ার দরকারই পড়ে না, কারণ সবাই একই network-এ। Google Cloud-এ host project আর service project নামে এটি পরিচিত। AWS-এ একই ধারণা subnet sharing নামে আসে। Azure-এ হুবহু একই নাম নেই, সেখানে hub-spoke-ই বেশি দেখা যায়। ঝুঁকিও পরিষ্কার: একটি network-এ অনেক দল থাকলে IP ঠিকানা ফুরায়, আর আলাদা করার কাজ শুধু firewall আর IAM-এর ওপর পড়ে। পর্ব ৩৫-এ এই নকশা বড় পরিসরে দেখব।

৮ · কোনটি কখন — সিদ্ধান্ত, নাম আর সমস্যা খোঁজা

তিন provider-এ একই ধারণার নাম (লেখার সময়ের নাম; সুবিধা হুবহু এক নয়, আর service-এর নাম বদলাতে পারে):

একটি সূক্ষ্মতা: Google Cloud-এর VPC global, তাই একই VPC-র দুই region-এর subnet সরাসরি কথা বলে। AWS আর Azure-এ VPC বা VNet একটি region-এ বাঁধা, তাই অন্য region-এ যেতে আলাদা জোড়া লাগে।

“পৌঁছাচ্ছে না” — খোঁজার ক্রম

1. ঠিকানা: দুই পাশের CIDR ওভারল্যাপ করে কি না।
2. Route, দুই দিকেই: যাওয়ার আর ফেরার লাইন আছে কি না, আর হাবের route table-এও।
3. Firewall: Security group আর network ACL, দুই পাশেই (পর্ব ২৭)।
4. DNS: নামটি কোন IP দিচ্ছে। Private endpoint-এর নাম VPC-র ভেতরে private IP দেয়, কিন্তু অফিস থেকে public IP দিতে পারে। এই hybrid DNS-এর সমাধান পর্ব ২৯-এ দেখব।
5. বড় packet: Ping চলে, কিন্তু বড় ফাইল আটকে যায়? তাহলে সম্ভবত MTU. IPsec-এর বাড়তি খামের জন্য tunnel-এ packet-এর সর্বোচ্চ আকার ১৫০০-র কম হয়। তখন MSS clamping লাগে।

# উদাহরণ: Linux server থেকে পথ পরীক্ষা। ঠিকানা নমুনা।
ip route get 10.2.0.9              # কোন পথ বেছে নিচ্ছে
ping -c 3 10.2.0.9                 # পৌঁছায় কি না (ICMP খোলা থাকলে)
ping -c 3 -M do -s 1400 10.2.0.9   # fragment ছাড়া বড় packet
nc -vz 10.2.0.9 443                # নির্দিষ্ট port খোলা কি না

এসব কমান্ড বিস্তারে আছে পর্ব ১৩-তে। Provider-দের নিজের যাচাই-হাতিয়ারও আছে, যেমন AWS Reachability Analyzer, Azure Network Watcher আর Google Connectivity Tests. এগুলো configuration পড়ে বলে দেয় কোন লাইনে পথ আটকেছে।

বাংলাদেশের প্রেক্ষাপট

কয়েকটি কথা সাবধানে বলা দরকার, আর সবই লেখার সময়ের ধারণা। প্রতিটি নিজে যাচাই করুন। বড় cloud provider-দের region সাধারণত দেশের বাইরে (পর্ব ৫), তাই অফিস থেকে cloud-এর পথ সাবমেরিন কেবল বা সীমান্ত পেরোনো স্থল-সংযোগের ওপর নির্ভর করে। ফলে RTT আর jitter দুটোই বিবেচ্য। Dedicated link নিতে চাইলে প্রথম প্রশ্ন: provider-এর মিলনস্থল বা partner-এর নাগাল আপনার শহর পর্যন্ত আছে কি না। অনেক ক্ষেত্রে তা দেশের বাইরে হতে পারে, তখন আন্তর্জাতিক লাইনের খরচ যোগ হয়। Provider-এর বর্তমান তালিকা আর আপনার ISP-র কাছ থেকে লিখিত তথ্য নিন। Failover-এর পরিকল্পনায় দুই পথ একই কেবল বা একই গেটওয়ে দিয়ে যাচ্ছে কি না জিজ্ঞেস করতে ভুলবেন না। আর অফিসের router-ও লোডশেডিংয়ে পড়ে, তাই UPS আর দ্বিতীয় ISP অনেক সময় দামি link-এর আগে লাগে। সংবেদনশীল ডেটা হলে দেশের বিধিও দেখুন (data localisation).

৯ · AI-এর যুগে network জোড়া

AI খুব গুছিয়ে একটি network নকশা লিখে দেয়, আর এই বিষয়ে তার ভুল সহজে চোখে পড়ে না, কারণ terraform plan পরিষ্কার দেখালেও packet পৌঁছায় না। নিচের ভুলগুলো ঘুরেফিরে আসে।

AI-এর নকশা হাতে পেলে — যাচাইয়ের চেকলিস্ট

• সব network-এর CIDR পাশাপাশি লিখে দেখেছি, ওভারল্যাপ নেই
• প্রতিটি জোড়ায় যাওয়া ও ফেরা, দুই দিকের route পড়েছি
• Firewall-এ 0.0.0.0/0 বা * নেই, কারণ ছাড়া কোনো কিছু খোলা নেই
• terraform plan বা --dry-run পড়ে দেখেছি কী মুছবে আর কী বদলাবে
• অচেনা flag আর argument official docs-এ মিলিয়েছি
• Per-GB আর ঘণ্টাভিত্তিক খরচ নিজে হিসাব করেছি, budget alert রেখেছি
• একটি পথ বন্ধ করে পরীক্ষা করেছি: failover কত সেকেন্ডে, অ্যাপ কী করে
• Pre-shared key বা অন্য secret prompt-এ দিইনি, কোডেও রাখিনি