VPN ও IPsec

১ · VPN কী ও কেন দরকার

ধরুন দুটি অফিস — একটি ঢাকায়, একটি চট্টগ্রামে — একে অপরের অভ্যন্তরীণ নেটওয়ার্কের সাথে নিরাপদে যোগাযোগ করতে চায়়, কিন্তু তাদের মধ্যে সরাসরি কোনো প্রাইভেট তার নেই — শুধু পাবলিক ইন্টারনেট আছে, যা মূলত অবিশ্বস্ত (যে কেউ পথে ট্রাফিক দেখতে বা বদলাতে পারে)। VPNVirtual Private Networkএকটি অবিশ্বস্ত পাবলিক নেটওয়ার্কের উপর দিয়ে দুটি এন্ডপয়েন্টের মধ্যে একটি এনক্রিপ্টেড, প্রমাণীকৃত টানেল তৈরি করে — যেন তারা একটি প্রাইভেট নেটওয়ার্কেই সরাসরি সংযুক্ত। ঠিক এই সমস্যা সমাধান করে — এটি পাবলিক ইন্টারনেটের উপর দিয়ে একটি এনক্রিপ্টেড টানেল তৈরি করে, যাতে ভেতরের ট্রাফিক বাইরের কেউ পড়তে বা বদলাতে না পারে। এই একই মূল ধারণা cloud-devops কোর্সের নেটওয়ার্কিং মডিউল ও cybersecurity কোর্সেও আছে — এখানে আমরা প্রোটোকল-মেকানিক্সের স্তরে এটি দেখব।

২ · IPsec — নেটওয়ার্ক লেয়ারে VPN

IPsecIP Securityপ্রোটোকলের একটি স্যুইট যা VPN ফাংশনালিটি নেটওয়ার্ক লেয়ারে (M4) বাস্তবায়ন করে — IP প্যাকেট পর্যায়ে এনক্রিপশন ও প্রমাণীকরণ যোগ করে। হলো প্রোটোকলের একটি স্যুইট যা VPN ফাংশনালিটি সরাসরি নেটওয়ার্ক লেয়ারে (M4) বাস্তবায়ন করে। যেহেতু এটি IP প্যাকেট পর্যায়ে কাজ করে, তাই এর উপরের যেকোনো ট্রান্সপোর্ট প্রোটোকল (TCP, UDP) ও যেকোনো অ্যাপ্লিকেশন — কিছু না জেনেই — স্বয়ংক্রিয়ভাবে সুরক্ষিত হয়ে যায়। এটি L48-এর TLS-এর ঠিক বিপরীত ট্রেড-অফ — TLS উপরের স্তরে বসে বলে প্রতিটি অ্যাপ্লিকেশনকে আলাদাভাবে TLS ব্যবহার করতে "জেনেশুনে" ইন্টিগ্রেট করতে হয়, কিন্তু IPsec সম্পূর্ণ স্বচ্ছ — উপরের স্তরগুলো কোনো পরিবর্তন ছাড়াই কাজ করতে থাকে (L01-এর লেয়ারিং/মডুলারিটি নীতির আরেকটি বাস্তব প্রয়োগ)।

৩ · ট্রান্সপোর্ট মোড বনাম টানেল মোড

• ট্রান্সপোর্ট মোড — শুধু IP payload এনক্রিপ্ট হয়, মূল IP হেডার অপরিবর্তিত/দৃশ্যমান থাকে। ব্যবহৃত হয় দুটি নির্দিষ্ট হোস্টের মধ্যে সরাসরি (end-to-end) সুরক্ষার জন্য।
• টানেল মোড — পুরো মূল প্যাকেট (তার নিজের IP হেডারসহ) এনক্রিপ্ট করে একটি সম্পূর্ণ নতুন আউটার IP হেডারে মুড়ে দেওয়া হয়। ব্যবহৃত হয় site-to-site VPN-এ — দুটি পুরো নেটওয়ার্ককে সংযুক্ত করার জন্য, যেখানে ভেতরের প্রাইভেট অ্যাড্রেসিং ট্রানজিট নেটওয়ার্ক থেকে সম্পূর্ণ আলাদা/আড়াল রাখতে হয়।

# IPsec টানেল-মোড এনক্যাপসুলেশন/ডিক্যাপসুলেশনের একটি সত্যিকারের সিমুলেশন
# (in-memory ফেক ডেটা — কোনো প্রকৃত নেটওয়ার্ক সকেট/প্যাকেট নয়)

def tunnel_mode_encapsulate(original_packet, tunnel_src, tunnel_dst):
    """মূল প্যাকেট (তার নিজের IP হেডারসহ) একটি নতুন আউটার IP হেডারে মুড়ে দেয়।"""
    return {
        "outer_src": tunnel_src,
        "outer_dst": tunnel_dst,
        "protocol": "ESP",  # IPsec Encapsulating Security Payload
        "encrypted_payload": dict(original_packet),  # পুরো মূল প্যাকেট payload হিসেবে
    }

def tunnel_mode_decapsulate(esp_packet):
    """আউটার হেডার সরিয়ে হুবহু মূল প্যাকেট (তার নিজের IP হেডারসহ) ফেরত দেয়।"""
    return dict(esp_packet["encrypted_payload"])

# --- মূল প্যাকেট: অফিস-A-এর একটি অভ্যন্তরীণ ডিভাইস অফিস-B-এর একটি ডিভাইসকে ডেটা পাঠাচ্ছে ---
original_packet = {
    "src_ip": "10.1.1.25",    # অফিস-A-এর প্রাইভেট IP
    "dst_ip": "10.2.2.40",    # অফিস-B-এর প্রাইভেট IP
    "payload": "GET /reports/q3.pdf",
}

# --- দুই অফিসের VPN গেটওয়ের পাবলিক IP ---
tunnel_src = "203.0.113.10"    # অফিস-A গেটওয়ে (পাবলিক)
tunnel_dst = "198.51.100.20"   # অফিস-B গেটওয়ে (পাবলিক)

esp_packet = tunnel_mode_encapsulate(original_packet, tunnel_src, tunnel_dst)

print("মূল প্যাকেট (অভ্যন্তরীণ, প্রাইভেট IP):")
print(" ", original_packet)

print("\nটানেল করা প্যাকেট (পাবলিক ইন্টারনেটে যা দেখা যাবে):")
print(" outer_src:", esp_packet["outer_src"])
print(" outer_dst:", esp_packet["outer_dst"])
print(" protocol :", esp_packet["protocol"])
print(" (ভেতরে এনক্রিপ্টেড থাকে সম্পূর্ণ মূল প্যাকেট — src/dst IP-সহ)")

recovered_packet = tunnel_mode_decapsulate(esp_packet)

print("\nদূরের গেটওয়েতে ডিক্যাপসুলেশনের পর উদ্ধারকৃত প্যাকেট:")
print(" ", recovered_packet)

is_match = recovered_packet == original_packet
print("\nমূল প্যাকেটের সাথে হুবহু মিলছে?", is_match)
assert is_match, "ডিক্যাপসুলেশন মূল প্যাকেট হুবহু ফেরত দিতে ব্যর্থ হয়েছে!"
print("✓ যাচাই সম্পন্ন: tunnel_mode_decapsulate(tunnel_mode_encapsulate(original)) == original")