Firewall আর segmentation — নিয়ম, zone আর lateral movement ঠেকানো

১ · গেটের দারোয়ান যথেষ্ট নয় — firewall আর segmentation কেন

একটি বড় অফিস ভবন ভাবুন। গেটে দারোয়ান পরিচয়পত্র দেখেন। কিন্তু ভেতরে ঢোকার পর কেউ হিসাব বিভাগ, সার্ভার ঘর, গুদাম সবখানে অবাধে যেতে পারলে কী হবে? গেট পার হওয়া একজন ভুল মানুষই পুরো ভবনে পৌঁছে যাবেন। এই কারণে ব্যাংকে ভল্টের দরজা আলাদা, হাসপাতালে অপারেশন থিয়েটারের দরজা আলাদা।

নেটওয়ার্কে গেটের দারোয়ান হলো firewall: এটি নিয়মের তালিকা (ruleset) মিলিয়ে traffic যেতে দেয় বা আটকায়। আর ভবনের ভেতরের আলাদা দরজা হলো segmentation: নেটওয়ার্ককে ছোট ছোট ভাগে ভেঙে, ভাগের মাঝে নিয়ন্ত্রণ বসানো। সব যন্ত্র একই খোলা নেটওয়ার্কে থাকলে তাকে বলে flat network.

Segmentation মূলত যে ঝুঁকি কমায়, তার নাম lateral movement: একটি যন্ত্র দখলের পর আক্রমণকারীর পাশের যন্ত্রে ছড়িয়ে পড়া (পর্ব ৫-এ দেখেছেন)। ভেতরের যন্ত্রের মধ্যে চলা traffic-কে বলে east-west traffic, আর ভেতর-বাইরের traffic হলো north-south traffic. পুরোনো নকশা শুধু দ্বিতীয়টি পাহারা দিত। নেটওয়ার্কের ঝুঁকির সাধারণ মানচিত্র পর্ব ২১-এ আছে।

২ · Firewall-এর চার ধরন — খাম, রেজিস্টার, চিঠি পড়া আর পরিচয় চেনা

পোস্ট অফিসের একজন কর্মীর কথা ভাবুন। কেউ শুধু খামের ঠিকানা দেখেন। কেউ রেজিস্টার খাতায় লিখে রাখেন কোন চিঠির উত্তর আসার কথা। কেউ খাম খুলে ভেতরটাও পড়েন। Firewall-এর ধরনগুলো ঠিক এভাবেই বাড়তি বিষয় দেখে। প্রতিটি ধাপে দেখা বাড়ে, খরচ আর জটিলতাও বাড়ে।

এগুলো একে অপরকে পুরোপুরি বাতিল করে না। বড় নেটওয়ার্কের ধারে দ্রুত stateless filter, তার পরে stateful firewall, আর web সেবার সামনে WAF থাকতে পারে (CDN, WAF আর edge দেখুন; web-এর দিকটি পর্ব ৪৪-এ)। NGFW শব্দটি বাজারের নাম, কোনো মান (standard) নয়। ২০০৯ সালের দিকে Gartner-এর একটি লেখায় এটি জনপ্রিয় হয়। তাই “NGFW আছে” শুনে জিজ্ঞেস করুন: ঠিক কোন feature চালু আছে?

Stateful firewall আসলে কী মনে রাখে

আপনার office-এর একটি PC (192.0.2.15) একটি web server-এ (203.0.113.10) যাচ্ছে। Firewall-এ বাইরে থেকে ভেতরে আসার কোনো allow নিয়ম নেই। তবু উত্তর ঢোকে কীভাবে? নিচের ডায়াগ্রামে দেখুন। শেষ দিকে একটি অচেনা packet-ও আসবে।

৩ · নিয়মের খাতা — first match আর implicit deny

দারোয়ানের খাতায় ওপর থেকে নিচে নিয়ম লেখা। প্রথম যে নিয়মের সাথে মানুষটি মেলে, দারোয়ান সেটিই মানেন, পরেরগুলো আর পড়েন না। একে বলে first match. কিছুই না মিললে ফেরত পাঠান, যেটি implicit deny. এটি পর্ব ৩-এর default deny নীতির নেটওয়ার্ক রূপ।

নিচের খেলনা firewall চারটি নিয়মে পাঁচটি packet যাচাই করে। এটি শুধু memory-র ডেটা নিয়ে চলে, কোনো আসল traffic নেই। দ্বিতীয় অংশে একই নিয়ম, শুধু ক্রম বদলানো হয়েছে।

// Toy first-match firewall: in-memory rules and packets, no real traffic.
const rules = [
  { id: 'R1', action: 'allow', src: 'guest', dst: 'internet', port: 443 },
  { id: 'R2', action: 'deny',  src: 'guest', dst: 'any',      port: 'any' },
  { id: 'R3', action: 'allow', src: 'staff', dst: 'server',   port: 443 },
  { id: 'R4', action: 'allow', src: 'cctv',  dst: 'nvr',      port: 554 },
];
const packets = [
  { src: 'guest', dst: 'internet', port: 443 },
  { src: 'guest', dst: 'server',   port: 443 },
  { src: 'staff', dst: 'server',   port: 443 },
  { src: 'staff', dst: 'server',   port: 22 },
  { src: 'cctv',  dst: 'internet', port: 443 },
];
const hit = (want, got) => want === 'any' || want === got;

function decide(list, p) {
  for (let i = 0; i < list.length; i++) {
    const r = list[i];
    if (hit(r.src, p.src) && hit(r.dst, p.dst) && hit(r.port, p.port)) {
      return { verdict: r.action, why: `${r.id} (checked ${i + 1})` };
    }
  }
  return { verdict: 'deny', why: `implicit deny (checked ${list.length})` };
}
function show(title, list) {
  console.log(`--- ${title}`);
  for (const p of packets) {
    const d = decide(list, p);
    const name = `${p.src} -> ${p.dst}:${p.port}`;
    console.log(`${name.padEnd(24)} ${d.verdict.toUpperCase().padEnd(6)} ${d.why}`);
  }
}
show('rules in the planned order', rules);
show('same rules, R2 moved to the top', [rules[1], rules[0], rules[2], rules[3]]);

Deny মানে drop নাকি reject

Drop চুপচাপ packet ফেলে দেয়, উৎস অপেক্ষা করে timeout খায়। Reject উত্তর পাঠায় (TCP RST বা ICMP), তাই ভুল সংযোগ সাথে সাথে থামে। মতভেদ আছে। সাধারণ চর্চা হলো internet-এর দিকে drop, যাতে অপ্রয়োজনীয় উত্তর না যায়, আর ভেতরের zone-এ reject, যাতে সমস্যা ধরা সহজ হয়। নিরাপত্তায় এদের পার্থক্য সাধারণত ছোট।

৪ · যে নিয়ম কখনো চলে না — shadowed আর redundant rule

পুরোনো রেজিস্টার খাতার পাতায় পাতায় কাটাকুটি থাকে। Firewall-ও বছরে বছরে তেমন হয়। দুই রকম সমস্যা সবচেয়ে সাধারণ:

একটি কাল্পনিক office-এর ৭টি নিয়ম পর্যালোচনা করা যাক। পাশের hits হলো firewall-এর গত ৯০ দিনের কাউন্টার। নিচের ডায়াগ্রামে একজন reviewer-এর সাথে এগোন।

1R1 allow staff    server  443  hits 91202R2 deny  cctv     any     any  hits 3103R3 allow cctv     nvr     554  hits 04R4 allow office   server  443  hits 44105R5 allow accounts server  443  hits 06R6 allow any      any     8080 hits 577R7 deny  guest    server  8080 hits 0

একই যুক্তি কোডে। প্রতিটি নিয়মের জন্য টুলটি খোঁজে: আগের কোনো একটি নিয়ম কি এর পুরো পরিসর ঢেকেছে? ঢেকে থাকলে সিদ্ধান্ত মিলিয়ে নাম দেয়।

// Toy rule-review tool: finds rules that an earlier single rule fully covers.
const groups = { office: ['staff', 'accounts'] };   // a group is a set of zones
const expand = z => groups[z] || [z];
const rules = [
  { id: 'R1', action: 'allow', src: 'staff',    dst: 'server', port: 443 },
  { id: 'R2', action: 'deny',  src: 'cctv',     dst: 'any',    port: 'any' },
  { id: 'R3', action: 'allow', src: 'cctv',     dst: 'nvr',    port: 554 },
  { id: 'R4', action: 'allow', src: 'office',   dst: 'server', port: 443 },
  { id: 'R5', action: 'allow', src: 'accounts', dst: 'server', port: 443 },
  { id: 'R6', action: 'allow', src: 'any',      dst: 'any',    port: 8080 },
  { id: 'R7', action: 'deny',  src: 'guest',    dst: 'server', port: 8080 },
];
// Does field `a` of an earlier rule include everything field `b` includes?
function fieldCovers(a, b) {
  if (a === 'any') return true;
  if (b === 'any') return false;
  const wide = expand(a);
  return expand(b).every(z => wide.includes(z));
}
const covers = (e, l) => ['src', 'dst', 'port'].every(f => fieldCovers(e[f], l[f]));

let findings = 0;
rules.forEach((later, i) => {
  const earlier = rules.slice(0, i).find(e => covers(e, later));
  if (!earlier) return console.log(`${later.id} ok`);
  findings++;
  const same = earlier.action === later.action;
  const kind = same ? 'REDUNDANT' : 'SHADOWED ';
  const risk = later.action === 'deny' ? 'a deny that never runs' : 'an allow that never runs';
  console.log(`${later.id} ${kind} by ${earlier.id}` + (same ? ' (safe to remove after review)' : `: ${risk}`));
});
console.log(`findings: ${findings} of ${rules.length} rules`);

৫ · ভেতর থেকে বাইরে — egress control কেন জরুরি

অনেক office-এর নিয়ম এমন: বাইরে থেকে ভেতরে সব বন্ধ, ভেতর থেকে বাইরে সব খোলা। প্রথমটি ingress filtering, আর দ্বিতীয়টির নিয়ন্ত্রণ হলো egress filtering. বাড়ির দরজায় তালা আছে, কিন্তু চোর ভেতরে ঢুকলে মালপত্র নিয়ে পেছনের খোলা দরজা দিয়ে হেঁটে বেরিয়ে যেতে পারে। Egress control সেই পেছনের দরজা।

আক্রমণের অনেকগুলো ধাপ ভেতর থেকে শুরু হওয়া সংযোগের ওপর নির্ভর করে:

• Command and control (C2): দখল হওয়া যন্ত্র নিজেই বাইরের server-এ যোগাযোগ করে। Inbound বন্ধ থাকলেও এটি কাজ করে, কারণ stateful firewall ভেতর থেকে শুরু হওয়া সংযোগ চেনে।
• Exfiltration: ডেটা বাইরে পাঠানো। Egress সীমিত থাকলে পথ ছোট হয়, আর অস্বাভাবিক গন্তব্য log-এ ধরা পড়ে।
• বাড়তি code নামানো: Server-এর internet-এ যাওয়ার দরকার না থাকলে এই পথটিও বন্ধ।

বাস্তব উদাহরণ: প্রকাশিত রিপোর্ট অনুযায়ী SolarWinds ২০২০-এর backdoor বাইরের command server-এ outbound যোগাযোগের ওপর নির্ভর করত, আর Log4Shell (২০২১)-এর সাধারণ ঘটনাপ্রবাহেও সার্ভারকে বাইরে সংযোগ করতে হতো। দুটি ক্ষেত্রেই সার্ভারের কড়া egress নিয়ম ক্ষতি কমাতে পারত, যদিও পুরো ঠেকানোর নিশ্চয়তা দিত না। Equifax (২০১৭)-এর শিক্ষা আরেকটু আলাদা: মার্কিন House কমিটির ২০১৮ সালের রিপোর্ট বলছে, মেয়াদোত্তীর্ণ certificate-এর কারণে traffic দেখার যন্ত্রটি ১৯ মাস অকার্যকর ছিল, আর certificate নবায়নের পরই সন্দেহজনক traffic চোখে পড়ে। GAO-র ২০১৮ সালের রিপোর্টে সময়টি ভিন্নভাবে বলা হয়েছে, তাই সংখ্যাটি উৎস ধরে পড়ুন (পর্ব ৬৫)। নজরদারি নিজেই একটি নিয়ন্ত্রণ, আর তা চালু আছে কি না যাচাই করতে হয়।

কীভাবে শুরু করবেন

• Server zone আগে: এখানে গন্তব্য অল্প ও জানা। Default deny, তারপর update, backup আর দরকারি API.
• DNS এক পথে: শুধু আপনার resolver বাইরে যাবে, বাকিরা resolver-কে জিজ্ঞেস করবে। DNS-এর নিরাপত্তা পর্ব ২৬-এ।
• Web-এর জন্য forward proxy: Forward proxy domain ধরে allowlist করতে পারে। শুধু IP ধরে নিয়ম লিখলে CDN-এ একই IP অনেক সাইট ভাগ করে, তাই নিয়ম ভাঙে।
• প্রথমে শুধু log: কয়েক সপ্তাহ traffic দেখে তালিকা বানান, তারপর block চালু করুন।

নিচের খেলনা checker একটি server zone-এর নমুনা গন্তব্য যাচাই করে। এটি কোনো সংযোগ করে না, শুধু তালিকা মেলায়। শেষের দুই লাইন একটি সাধারণ ভুল দেখায়: domain-এর মিল substring দিয়ে করা।

# Toy egress allow-list checker for a server zone. Reads a fixed sample, sends nothing.
import ipaddress
ALLOWED_DOMAINS = {"updates.example.com", "backup.example.net"}
ALLOWED_NETS = {ipaddress.ip_network("192.0.2.53/32"): {53}}   # internal DNS only

def naive_match(host):                      # the common mistake: substring test
    return any(d in host for d in ALLOWED_DOMAINS)

def domain_match(host):                     # label-aware: exact name or a real subdomain
    return any(host == d or host.endswith("." + d) for d in ALLOWED_DOMAINS)

def check(dest, port):
    try:
        ip = ipaddress.ip_address(dest)
    except ValueError:
        return port == 443 and domain_match(dest)
    return any(ip in net and port in ports for net, ports in ALLOWED_NETS.items())

sample = [
    ("updates.example.com", 443),
    ("eu.updates.example.com", 443),
    ("backup.example.net", 22),
    ("updates.example.com.example.org", 443),
    ("192.0.2.53", 53),
    ("203.0.113.9", 53),
    ("198.51.100.7", 443),
]
blocked = 0
for dest, port in sample:
    ok = check(dest, port)
    blocked += not ok
    print(f"{'ALLOW' if ok else 'BLOCK'}  {dest}:{port}")
print(f"blocked {blocked} of {len(sample)}")
print("naive test on look-alike name:", naive_match("updates.example.com.example.org"))
print("label test on look-alike name:", domain_match("updates.example.com.example.org"))

৬ · Zone, VLAN আর microsegmentation

Segmentation-এর প্রথম ধাপ হলো যন্ত্র গোনা নয়, বিশ্বাসের স্তর ভাগ করা। একই ঝুঁকি, একই মালিক আর একই ধরনের ডেটার যন্ত্র নিয়ে হয় একটি network zone. দুই zone-এর সীমাই পর্ব ৪-এর trust boundary, আর সেখানেই নিয়ম বসে।

Zone বাড়লে হিসাবও বাড়ে। nটি zone-এ সিদ্ধান্ত নিতে হয় n(n−1)টি দিকের জন্য, কারণ A থেকে B আর B থেকে A আলাদা। ৫টি zone-এ ৫ × ৪ = ২০টি দিক, ৭টিতে ৭ × ৬ = ৪২টি। তাই default deny জরুরি: ৪২টি দিকের বেশিরভাগে নিয়মই লাগে না, শুধু অল্প কয়েকটি allow লিখলেই চলে।

VLAN করে কী হয়, কী হয় না

VLAN একই switch-কে কয়েকটি যুক্তিগত switch-এ ভাগ করে (VLAN পর্ব দেখুন)। ভিন্ন VLAN-এর যন্ত্র সরাসরি frame পাঠাতে পারে না, তাই ARP-ভিত্তিক ঝুঁকিও (DHCP আর ARP) নিজের VLAN-এর ভেতরে থাকে। কিন্তু সীমাগুলো মনে রাখুন:

• VLAN firewall নয়: Router বা Layer 3 switch সাধারণত VLAN-এর মাঝে সব routing করে দেয়। ACL বা firewall না বসালে “আলাদা” VLAN পুরো খোলা।
• একই VLAN-এর ভেতরে কিছু নেই: Zone-এর ভেতরের যন্ত্র একে অপরকে অবাধে পায়।
• Switch-এর কনফিগারেশনে নির্ভরশীল: Trunk port ভুলভাবে খোলা থাকলে বা native VLAN অসাবধানে ব্যবহার হলে VLAN-এর সীমা দুর্বল হয়। সব access port-এ trunk আলোচনা বন্ধ রাখুন, অব্যবহৃত port বন্ধ রাখুন, আর native VLAN-এ কোনো যন্ত্র রাখবেন না।
• সংখ্যার সীমা: IEEE 802.1Q-র VLAN ID ১২ bit, তাই ব্যবহারযোগ্য প্রায় ৪,০৯৪টি। Data center-এ VXLAN (RFC 7348)-এর ২৪ bit প্রায় ১.৭ কোটি।

Microsegmentation — প্রতিটি কাজের চারপাশে দেয়াল

Microsegmentation সীমাকে zone থেকে নামিয়ে আনে একক workload বা host পর্যন্ত। নিয়ম লেখা হয় IP-র বদলে পরিচয় বা label দিয়ে: “app=billing শুধু db=billing-এর 5432-তে যাবে।” Enforcement থাকে host firewall, hypervisor, বা service mesh-এ। Kubernetes-এর network policy-ও একই ভাবনা, যার কথা পর্ব ৭৩-এ আসবে।

৭ · Lateral movement আর blast radius — মেপে দেখা

“Segmentation ভালো” বলাটি সহজ। প্রশ্ন হলো, কতটা? Blast radius মেপে দেখা যায়: একটি যন্ত্র দখল হলে সর্বোচ্চ কতগুলো যন্ত্রে পৌঁছানো সম্ভব? নিচের simulator একটি ৪০ host-এর খেলনা office-এ তিনটি নকশা তুলনা করে: flat, শুধু zone (zone-এর ভেতরে খোলা), আর micro (zone-এর ভেতরেও বন্ধ)। direct মানে সরাসরি যত host, chain মানে ধরে নেওয়া হলো পৌঁছানো প্রতিটি যন্ত্রই দখল হয়, এমন সবচেয়ে খারাপ অবস্থায় মোট যত host.

// Toy blast-radius simulator on an in-memory office network of 40 hosts.
const sizes = { guest: 10, staff: 12, accounts: 5, cctv: 8, nvr: 1, server: 2, jump: 1, admin: 1 };
const hosts = [];
for (const [zone, n] of Object.entries(sizes)) {
  for (let i = 1; i <= n; i++) hosts.push({ name: `${zone}-${i}`, zone });
}
const flows = { staff: ['server'], accounts: ['server'], cctv: ['nvr'],
                admin: ['jump'], jump: ['server', 'nvr'] };
const zoneOk = (a, b) => (flows[a.zone] || []).includes(b.zone);
const designs = {
  flat:  (a, b) => true,
  zones: (a, b) => a.zone === b.zone || zoneOk(a, b),
  micro: (a, b) => zoneOk(a, b),               // same zone no longer means allowed
};
const direct = (h, can) => hosts.filter(o => o !== h && can(h, o));
function chain(start, can) {                   // worst case: every reached host falls
  const seen = new Set([start]), queue = [start];
  while (queue.length) {
    for (const o of direct(queue.shift(), can)) {
      if (!seen.has(o)) { seen.add(o); queue.push(o); }
    }
  }
  return seen.size - 1;
}
console.log('start       flat    zones    micro   (direct/chain)');
for (const name of ['guest-1', 'cctv-1', 'staff-1', 'accounts-1', 'admin-1']) {
  const h = hosts.find(x => x.name === name);
  const cell = can => `${direct(h, can).length}/${chain(h, can)}`.padEnd(9);
  console.log(name.padEnd(12) + cell(designs.flat) + cell(designs.zones) + cell(designs.micro));
}
for (const [label, can] of Object.entries(designs)) {
  const paths = hosts.reduce((sum, h) => sum + direct(h, can).length, 0);
  console.log(`${label.padEnd(6)} allowed host-to-host paths: ${paths}`);
}

একটি ঘটনা — দখল হওয়া camera কীভাবে আটকে যায়

কাল্পনিক office-এ একটি পুরোনো firmware-এর CCTV camera (cctv-1) ধরে নিন দখল হয়েছে। কীভাবে হলো সেটি এখানে আলোচ্য নয়, IoT-র সুরক্ষা পর্ব ৩৫-এ আছে। দেখুন zone আর নিয়ম কী করে। এখানে micro নকশা চালু: camera-র কাছে অন্য কোনো camera-র পথও নেই।

Jump host আর management network

ওপরের হিসাব বলছে admin-এর পথই সবচেয়ে চওড়া। তাই admin কাজ সাধারণ পথে হয় না। Jump host (bastion) একটি ছোট, শক্ত করে সাজানো মেশিন। Admin আগে এখানে login করেন, তারপর এখান থেকে অন্য সিস্টেমে যান। ব্যাংকের ভল্টে ঢোকার আগে আলাদা একটি কক্ষে সই করার মতো।

• একটি দরজা, এক জায়গায় নজর: Server-এর SSH বা RDP শুধু jump host থেকে খোলা। সব session-এর log একই জায়গায়।
• Phishing-প্রতিরোধী MFA: পর্ব ১৬ অনুযায়ী, সাথে পর্ব ২০-এর session recording ও just-in-time access.
• এখানে দৈনন্দিন কাজ নয়: Browser, email বা ফাইল ডাউনলোড নেই। SSH-এর নিরাপদ ব্যবহার SSH remote পর্বে আছে।
• Agent forwarding এড়িয়ে চলুন: Jump host দখল হলে forwarded agent-ও ঝুঁকিতে পড়ে। SSH-এর ProxyJump এখানে ভালো বিকল্প।

Management network হলো switch, router, firewall, hypervisor আর remote console-এর admin interface-এর আলাদা zone. এই interface কখনো internet বা সাধারণ staff zone-এ খোলা রাখবেন না। প্রকাশিত নানা ঘটনায় internet-এ খোলা management interface-ই ছিল বড় দুর্বলতা।

৮ · Host firewall আর denied traffic-এর log

নেটওয়ার্কের firewall zone-এর মাঝে পাহারা দেয়। Host firewall বসে প্রতিটি মেশিনের ভেতরে, তাই একই zone-এর পাশের যন্ত্রকেও থামাতে পারে। এটি সবচেয়ে সস্তা microsegmentation. CIS Controls v8-এ server ও end-user device, দুই জায়গাতেই firewall চালানোর আলাদা safeguard আছে (৪.৪ আর ৪.৫)।

নিচের উদাহরণ শুধু আপনার নিজের Linux মেশিনের জন্য। দুটির একটি বেছে নিন, একসাথে দুটি চালাবেন না। পূর্ণ line-by-line ব্যাখ্যা Firewall আর VPN পর্বে আছে।

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow from 198.51.100.0/24 to any port 22 proto tcp
sudo ufw allow 443/tcp
sudo ufw logging low
sudo ufw enable
sudo ufw status numbered

flush ruleset

table inet host_fw {
    chain input {
        type filter hook input priority filter; policy drop;
        ct state established,related accept
        ct state invalid drop
        iifname "lo" accept
        meta l4proto icmp accept
        meta l4proto ipv6-icmp accept
        ip saddr 198.51.100.0/24 tcp dport 22 accept
        tcp dport 443 accept
        limit rate 10/minute log prefix "nft-input-drop: "
    }
    chain forward {
        type filter hook forward priority filter; policy drop;
    }
    chain output {
        type filter hook output priority filter; policy accept;
    }
}

Windows-এ বর্তমান অবস্থা দেখতে পারেন netsh advfirewall show allprofiles দিয়ে। Linux-এ নিজের মেশিনে কোন port-এ কে শুনছে, দেখুন sudo ss -tlnp দিয়ে। আপনার নিজের যন্ত্রের নিয়ম যাচাই করতে অন্য মেশিন থেকে পরীক্ষা শুধু নিজের নেটওয়ার্কে বা লিখিত অনুমতিতে করবেন। অনুমতি ছাড়া অন্যের সিস্টেমে যাচাই বেআইনি হতে পারে, দেখুন পর্ব ৬.

Denied traffic পড়া

Allow log ভলিউমে অনেক বড়, আর deny log ছোট কিন্তু তথ্যবহুল। ufw-তে denied লাইন থাকে /var/log/ufw.log-এ (Ubuntu-তে সাধারণত) বা kernel log-এ:

নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে
[UFW BLOCK] IN=eth0 OUT= SRC=192.0.2.21 DST=192.0.2.10 PROTO=TCP SPT=49822 DPT=445 SYN

Log শুধু লিখে রাখলে হবে না। Host-এ দখল নিলে log মুছে দেওয়া যায়, তাই তা কেন্দ্রীয় জায়গায় পাঠান (Centralized logging দেখুন)। Packet ধরে গভীরে দেখার পদ্ধতি পর্ব ২৪-এ, আর log রাখার নীতি পর্ব ৫৫-এ। Log-এর হারও সীমিত রাখুন, ওপরের limit rate সেই কাজই করে, নইলে বন্যায় disk ভরে যেতে পারে।

৯ · একটি পূর্ণ নকশা — কাল্পনিক office আর নিয়মের রক্ষণাবেক্ষণ

একটি কাল্পনিক ৪০ যন্ত্রের office: কর্মীদের PC, হিসাব বিভাগ, ৮টি CCTV camera, অতিথির Wi-Fi আর একটি file ও হিসাবের server. এখন সবাই একই router-এ, একই 192.0.2.0/24-তে। নকশার ধাপগুলো পর্ব ৪-এর threat model থেকে আসে:

1. সম্পদ চিহ্নিত: হিসাবের ডেটা, ব্যাংকিং login, backup.
2. ঝুঁকি ভাগ: অতিথির ফোন অজানা, camera-র firmware পুরোনো, কর্মীর PC phishing-এর লক্ষ্য।
3. Zone বানানো: আলাদা ঝুঁকি মানে আলাদা zone, নিচে ছবি।
4. Default deny, তারপর পথ: ছোট allow তালিকা, প্রতিটি কারণসহ।

• Guest Wi-Fi: আলাদা SSID, আলাদা VLAN আর client isolation. এই নকশা Wi-Fi আর পর্ব ২৭-এর সাথে মিলিয়ে নিন।
• CCTV দেখা: ম্যানেজার live video দেখতে চাইলে Staff থেকে NVR-এর ওয়েব port-এ একটি নির্দিষ্ট host-এর জন্য allow, কারণসহ। Camera-কে internet দেওয়া হবে না।
• Printer: এটি প্রায় সবখানে ভুলে যাওয়া ব্যতিক্রম। Accounts আর Staff দুই দিক থেকেই লাগে, তাই আলাদা ছোট zone ভালো।
• Public web site: Office থেকে host না করে আলাদা hosting-এ রাখুন। করলে তা আলাদা DMZ-তে।
• ছোট বাজেট: VLAN-সমর্থিত managed switch আর VLAN বুঝতে পারে এমন একটি ছোট firewall-ই ভিত্তি। পণ্য নির্বাচন প্রয়োজন আর সহায়তার ওপর নির্ভর করবে, এখানে কোনো ব্র্যান্ডের সুপারিশ নেই।

Firewall-এর নিয়মের রক্ষণাবেক্ষণ

নকশা ভালো হলেও এক বছরে নিয়ম ফুলে ওঠে। “জরুরি, এখনই খুলে দিন” বলে খোলা port আর বন্ধ হয় না। সমাধান হলো firewall change management: প্রতিটি পরিবর্তন খাতায়, অফিসের রেজিস্টারের মতো।

PCI DSS v4.0.1-এর requirement 1.2.7 বলে, firewall-এর মতো network security control-এর কনফিগারেশন অন্তত প্রতি ছয় মাসে পর্যালোচনা করতে হবে। আপনার ক্ষেত্রে PCI প্রযোজ্য না হলেও এই ছন্দটি ভালো শুরু। NIST SP 800-53 Rev. 5-এর SC-7 boundary protection, আর তার SC-7(5) নিয়ন্ত্রণ deny by default, allow by exception-এর কথা বলে। মেয়াদ দিয়ে নিয়ম লিখলে পরিষ্কার করা সহজ: পর্ব ২০-এর just-in-time ভাবনা এখানেও চলে।

১০ · AI-এর যুগে firewall-এর নিয়ম

AI কয়েক সেকেন্ডে একটি ruleset লিখে দিতে পারে, আর দেখতে সেটি বেশ গোছানো লাগে। কিন্তু AI আপনার নেটওয়ার্ক দেখতে পায় না। Firewall-এর ভুল সবসময় চোখে পড়ে না, কারণ সেবা ঠিকই চলে, শুধু পথটি বেশি খোলা থাকে।

AI-এর লেখা firewall নিয়ম চালানোর আগে — চেকলিস্ট

• প্রতিটি নিয়মের অর্থ নিজের ভাষায় বলতে পারি
• অন্তত তিনটি allow আর তিনটি deny packet হাতে মিলিয়েছি
• Default policy, IPv6 আর egress দেখেছি
• ল্যাবে বা নিজের মেশিনে পরীক্ষা করেছি, rollback ও console-এর পথ তৈরি
• কোনো আসল secret, ব্যক্তিগত ডেটা বা অভ্যন্তরীণ নাম prompt-এ দিইনি
• নিয়মের মালিক, কারণ আর মেয়াদ লেখা হয়েছে; চূড়ান্ত সিদ্ধান্ত মানুষের