VPN আর ZTNA — IPsec, WireGuard আর application-ভিত্তিক access

১ · VPN কী রক্ষা করে, কী করে না

ব্যাংকের ক্যাশ ভ্যান ভাবুন। শাখা থেকে ভল্টে টাকা যায় সাঁজোয়া গাড়িতে। পথের পকেটমার বা ছিনতাইকারী ভেতরে হাত দিতে পারে না। কিন্তু শাখার ভেতরের কেউ যদি জাল নোট গাড়িতে তোলে, গাড়ি সেটিও নিরাপদে পৌঁছে দেয়। গাড়ি পথ রক্ষা করে, মাল যাচাই করে না।

VPN (virtual private network) ঠিক এই গাড়ি। এটি খোলা ইন্টারনেটের ওপর একটি tunnel বানায়। Tunnel মানে একটি packet-কে আরেকটি packet-এর ভেতরে ভরে পাঠানো। VPN তিনটি কাজ একসাথে করে: encryption, integrity যাচাই আর দুই প্রান্তের পরিচয় যাচাই। Tunnel আর MTU-র network-দিক Firewall আর VPN পর্বে আছে। এখানে আমরা রক্ষকের প্রশ্ন ধরব: এটি কোন ঝুঁকি কমায়, আর ভুল করলে কী হয়?

২ · Remote access আর site-to-site

একই প্রযুক্তি দুই আকারে ব্যবহার হয়, আর ঝুঁকিও আলাদা।

Site-to-site tunnel-কে অনেকে “নিরাপদ তার” ভেবে দুই দিকেই সব খুলে রাখেন। এতে দুই network কার্যত একটি হয়ে যায়, আর তৃতীয় পক্ষের vendor-এর network হলে ঝুঁকি আরও বাড়ে। Tunnel-এর দুই পাশে firewall নিয়ম রাখুন: শুধু দরকারি host আর port. Cloud-এর দিকের নকশা দেখুন VPC connectivity পর্বে। Segmentation-এর নিয়ম পাবেন পর্ব ২২-এ।

৩ · IPsec — IKEv2, ESP, AH আর দুই mode

IPsec IP স্তরে কাজ করে, তাই ওপরের যেকোনো protocol সুরক্ষা পায়। এর দুটি ভাগ মনে রাখুন। Control plane ঠিক করে কে কার সাথে কোন key-তে কথা বলবে। Data plane আসল packet বহন করে।

এবার একটি tunnel উঠতে দেখুন। ঢাকা আর চট্টগ্রাম অফিসের gateway, ঠিকানা documentation-এর জন্য সংরক্ষিত। সব মান কাল্পনিক, আর দেখানো হয়েছে ধারণার স্তরে।

packet: 10.2.0.5 -> 10.1.0.20
policy: 10.2.0.0/16 <-> 10.1.0.0/16  = PROTECT
SA    : নেই, তাই IKEv2 শুরু

চট্টগ্রাম -> ঢাকা : অ্যালগরিদম প্রস্তাব, DH public, nonce
ঢাকা -> চট্টগ্রাম : বাছাই করা প্রস্তাব, DH public, nonce
ফল: দুই পাশে একই গোপন key
এখনও জানা নেই অপর পাশে কে

চট্টগ্রাম -> ঢাকা : ID, AUTH, প্রস্তাব, traffic selector
ঢাকা -> চট্টগ্রাম : ID, AUTH, বাছাই, traffic selector
ফল: দুই পাশের পরিচয় প্রমাণিত

চট্টগ্রাম -> ঢাকা : SPI 0x0000a101, AES-GCM
ঢাকা -> চট্টগ্রাম : SPI 0x0000b202, AES-GCM
SPI দুটি কাল্পনিক

বাইরের IP : 203.0.113.1 -> 198.51.100.1
ESP       : SPI 0x0000a101, sequence 1
ভেতরে     : এনক্রিপ্টেড মূল packet
10.2.0.5 আর 10.1.0.20 পথে দেখা যায় না

পুরোনো: SPI 0x0000a101
নতুন  : SPI 0x0000a102
log   : rekey সফল, tunnel চালু

৪ · TLS VPN আর WireGuard

TLS VPN

TLS VPN tunnel বা portal চালায় TLS-এর ওপর। সুবিধা: সাধারণত TCP 443-এ চলে, তাই হোটেল বা অতিথি network-এও সংযোগ পাওয়া সহজ। এই নামের নিচে দুটি জিনিস থাকে। একটি browser-এর web portal, অন্যটি client দিয়ে পুরো network tunnel. OpenVPN-এর মতো সফটওয়্যার TLS দিয়ে key বানিয়ে নিজের packet format ব্যবহার করে।

দুটি সতর্কতা। প্রথমত, gateway-এর web interface সরাসরি ইন্টারনেটে থাকে, আর সেখানে জটিল কোড চলে। তাই TLS portal-এর দুর্বলতা গুরুতর হয়। দ্বিতীয়ত, TCP-র ভেতরে TCP চললে দুই স্তরের retransmission একে অপরের সাথে লড়ে। একে TCP meltdown বলে। এজন্যই tunnel-এ সাধারণত UDP পছন্দ করা হয়।

WireGuard-এর নকশা

WireGuard বানান Jason A. Donenfeld, আর NDSS ২০১৭-তে প্রকাশিত প্রবন্ধে এর নকশা আছে। প্রবন্ধটি বলে, Linux-এ এটি ৪,০০০ লাইনের কম কোডে লেখা সম্ভব। পরে লাইন গোনার পদ্ধতিভেদে সংখ্যা কিছুটা বদলায়, তবে মূল কথা একই: পর্যালোচনা করার মতো ছোট কোড। এটি Linux ৫.৬ (২০২০)-তে kernel-এ যুক্ত হয়।

• একটি নির্দিষ্ট suite: Curve25519, ChaCha20-Poly1305, BLAKE2s, SipHash24 আর HKDF. আলোচনা করে অ্যালগরিদম বাছাই নেই, তাই downgrade-এর পথও নেই।
• Noise protocol: Handshake গড়া Noise_IKpsk2 নকশায়। এক round trip-এ key তৈরি হয়। চাইলে অতিরিক্ত pre-shared key মেশানো যায়, যা ভবিষ্যৎ post-quantum ঝুঁকিতে বাড়তি স্তর হিসেবে আলোচিত।
• Public key-ই পরিচয়: প্রতিটি peer একটি Curve25519 public key দিয়ে চেনা হয়, SSH key-র মতো। কোনো username বা certificate কর্তৃপক্ষ নেই।
• Cryptokey routing: Public key-র সাথে জোড়া থাকে AllowedIPs. বাইরে পাঠানোর সময় এটি routing table, ভেতরে নেওয়ার সময় ACL.
• নীরবতা: বৈধ handshake ছাড়া এটি উত্তর দেয় না, তাই বাইরে থেকে port আছে কি না বোঝা কঠিন হয়।

এবার একটি packet-এর যাত্রা দেখুন। Laptop (10.8.0.2) নিজের বাড়ির device-কে (10.8.0.1) ১২০ বাইটের একটি IP packet পাঠাচ্ছে।

IP src 10.8.0.2  dst 10.8.0.1
plaintext: 120 bytes

dst 10.8.0.1 matches AllowedIPs 10.8.0.1/32
peer = home device (public key)
endpoint = 203.0.113.10:51820

initiation -> 148 bytes
response   <- 92 bytes
send key, receive key ready

padded to 16: 120 -> 128
header (type, index, counter 7) : 16
ciphertext                      : 128
tag                             : 16
WireGuard message = 160 bytes

IPv4 20 + UDP 8 + message 160 = 188 bytes
visible: public addresses, port, size, time
hidden : 10.8.0.x, content

index finds session        OK
counter 7 not seen before  OK
tag valid, decrypt         OK
src 10.8.0.2 in AllowedIPs OK, deliver

উদাহরণ: নিজের দুটি device-এর জন্য

নিচের configuration নিজের বাড়ির device আর নিজের laptop-এর জন্য। Key-গুলো কাল্পনিক, পড়ার জন্য দেখানো। এগুলো ব্যবহার করবেন না। প্রতিটি device-এ নিজের key নিজে বানান, আর private key ওই device থেকে কখনও বের করবেন না। শুধু নিজের যন্ত্র বা লিখিত অনুমতি আছে এমন network-এ এটি চালাবেন।

# Run on EACH of your own devices. The private key stays on that device.
umask 077
wg genkey > wg-private.key
wg pubkey < wg-private.key > wg-public.key

# /etc/wireguard/wg0.conf on your home device
# ALL KEYS BELOW ARE FAKE. They only show the format. Replace them with your own.
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = FAKEPRIVATEKEYxHome1DoNotUseThisInRealLife0=

[Peer]
# your laptop
PublicKey = FAKEPUBLICKEYxLapt1xDoNotUseThisInRealLife0=
AllowedIPs = 10.8.0.2/32

# /etc/wireguard/wg0.conf on your laptop
# ALL KEYS BELOW ARE FAKE. They only show the format. Replace them with your own.
[Interface]
Address = 10.8.0.2/24
PrivateKey = FAKEPRIVATEKEYxLapt1DoNotUseThisInRealLife0=

[Peer]
# your home device
PublicKey = FAKEPUBLICKEYxHome1xDoNotUseThisInRealLife0=
Endpoint = home.example.com:51820
AllowedIPs = 10.8.0.1/32
PersistentKeepalive = 25

AllowedIPs এখানে একটি মাত্র /32, তাই এই tunnel শুধু দুই device-এর মধ্যে। Laptop বিক্রি বা হারিয়ে গেলে home device থেকে ওই [Peer] অংশ মুছে দিন। PersistentKeepalive NAT-এর সারি বাঁচিয়ে রাখে। sudo wg show দিয়ে শেষ handshake দেখতে পাবেন। মনে রাখুন, প্রতিষ্ঠানে WireGuard একা যথেষ্ট নয়: এতে MFA, group বা মেয়াদি key নেই। এসবের জন্য ওপরে একটি ব্যবস্থাপনার স্তর লাগে।

কত বাইট খরচ: overhead আর MTU

Tunnel মানে প্রতিটি packet-এ বাড়তি header. WireGuard-এর IPv4-এ হিসাব: ২০ (IP) + ৮ (UDP) + ১৬ (header) + ১৬ (tag) = ৬০ বাইট। MTU ১৫০০ হলে ভেতরের সর্বোচ্চ packet ১৪৪০। নিচের calculator চারটি tunnel-এর হিসাব মেলায়। ধরে নেওয়া হয়েছে ESP-তে AES-GCM আর ভেতরে ৪০ বাইটের IPv4 + TCP header.

// Tunnel overhead calculator. Header sizes assume the settings named in comments.
const padTo = (n, m) => Math.ceil(n / m) * m;
const wgWire = (inner, ip) => ip + 8 + 16 + padTo(inner, 16) + 16;  // UDP, header, tag
const espWire = (inner, ip, natT) =>                // ESP tunnel mode with AES-GCM
  ip + (natT ? 8 : 0) + 8 + 8 + padTo(inner + 2, 4) + 16;  // SPI+seq, IV, ICV
function maxInner(wireOf, link) {                   // largest inner packet that fits
  let n = link;
  while (wireOf(n) > link) n--;
  return n;
}
const TUNNELS = [
  ['WireGuard, IPv4', n => wgWire(n, 20), 60],
  ['WireGuard, IPv6', n => wgWire(n, 40), 80],
  ['ESP tunnel, IPv4', n => espWire(n, 20, false), 0],
  ['ESP + NAT-T, IPv4', n => espWire(n, 20, true), 0],
];
function innerFor(fn, fixed, link) {
  // WireGuard caps padding at the MTU, so full-size packets carry no padding.
  return fixed ? link - fixed : maxInner(fn, link);
}
console.log('tunnel            MTU@1500 MTU@1492 MSS@1500 wire(100) wire(1400)');
for (const [name, fn, fixed] of TUNNELS) {
  const m1500 = innerFor(fn, fixed, 1500), m1492 = innerFor(fn, fixed, 1492);
  const cells = [m1500, m1492, m1500 - 40, fn(100), fn(1400)];
  console.log(name.padEnd(17), cells.map(v => String(v).padStart(8)).join(' '));
}
const share = (inner, wire) => (100 * inner / wire).toFixed(1) + '%';
console.log('payload share, WireGuard over IPv4:');
console.log('  100-byte packet :', share(100, wgWire(100, 20)));
console.log('  1400-byte packet:', share(1400, wgWire(1400, 20)));

tunnel            MTU@1500 MTU@1492 MSS@1500 wire(100) wire(1400)
WireGuard, IPv4       1440     1432     1400      172     1468
WireGuard, IPv6       1420     1412     1380      192     1488
ESP tunnel, IPv4      1446     1438     1406      156     1456
ESP + NAT-T, IPv4     1438     1430     1398      164     1464
payload share, WireGuard over IPv4:
  100-byte packet : 58.1%
  1400-byte packet: 95.4%

৫ · Full tunnel না split tunnel

Full tunnel মানে সব ট্রাফিক অফিসের gateway দিয়ে যায়। Split tunnel মানে শুধু অফিসের ঠিকানা tunnel-এ, বাকিটা সরাসরি ইন্টারনেটে। সিদ্ধান্তটি নিরাপত্তা, গতি আর খরচের লেনদেন।

// Toy split-tunnel router: same destinations under two VPN profiles.
const toInt = a => a.split('.').reduce((x, o) => x * 256 + Number(o), 0);
const inNet = (ip, cidr) => {
  const [net, len] = cidr.split('/'), size = 2 ** (32 - Number(len));
  return Math.floor(toInt(ip) / size) === Math.floor(toInt(net) / size);
};
const LAN = '192.168.1.0/24';
const PROFILES = {
  full: ['0.0.0.0/0'],
  split: ['10.20.0.0/16', '198.51.100.0/24'],
};
const DESTS = [                                     // name, address, GB per day (assumed)
  ['hr app', '10.20.4.10', 0.5], ['partner api', '198.51.100.25', 0.3],
  ['public web', '203.0.113.80', 2], ['video site', '203.0.113.200', 6],
  ['home printer', '192.168.1.50', 0.1],
];
function route(ip, tunnelNets) {                    // the longest prefix wins
  const table = [['0.0.0.0/0', 'DIRECT'], [LAN, 'LAN'], ...tunnelNets.map(c => [c, 'TUNNEL'])];
  let best = null, bestLen = -1;
  for (const [cidr, via] of table) {
    const len = Number(cidr.split('/')[1]);
    if (inNet(ip, cidr) && len >= bestLen) { best = via; bestLen = len; }
  }
  return best;
}
for (const [mode, nets] of Object.entries(PROFILES)) {
  console.log(`--- ${mode} tunnel: ${nets.join(', ')}`);
  let gateway = 0;
  for (const [name, ip, gb] of DESTS) {
    const via = route(ip, nets);
    if (via === 'TUNNEL') gateway += gb;
    console.log(`${name.padEnd(13)} ${ip.padEnd(14)} -> ${via}`);
  }
  console.log(`company gateway carries ${gateway.toFixed(1)} GB per day for this user`);
}

--- full tunnel: 0.0.0.0/0
hr app        10.20.4.10     -> TUNNEL
partner api   198.51.100.25  -> TUNNEL
public web    203.0.113.80   -> TUNNEL
video site    203.0.113.200  -> TUNNEL
home printer  192.168.1.50   -> LAN
company gateway carries 8.8 GB per day for this user
--- split tunnel: 10.20.0.0/16, 198.51.100.0/24
hr app        10.20.4.10     -> TUNNEL
partner api   198.51.100.25  -> TUNNEL
public web    203.0.113.80   -> DIRECT
video site    203.0.113.200  -> DIRECT
home printer  192.168.1.50   -> LAN
company gateway carries 0.8 GB per day for this user

একটি বাস্তব মাঝের পথ: Split tunnel রাখুন, তবে শুধু নির্দিষ্ট বিশ্বস্ত সেবা বাইরে পাঠান। Endpoint-এ EDR আর DNS filter চালু রাখুন। আর full tunnel চাইলে kill switch রাখুন, যাতে tunnel পড়লে ট্রাফিক খোলা পথে না যায়।

৬ · VPN gateway — সবচেয়ে দামি দরজা

একটি অফিসের প্রধান ফটক ভাবুন। ফটকের দারোয়ান সবার চেয়ে বেশি মানুষ দেখেন, আর তাঁর কাছে ভেতরের চাবিও থাকে। VPN gateway ঠিক তেমন। এটি ইন্টারনেট থেকে দেখা যায়, login নেয়, ভেতরের network-এ পৌঁছায়, আর অনেক সময় এতে EDR চলে না। তাই আক্রমণকারী এটিকে আগে নিশানা করে। NSA আর CISA-র ২০২১ সালের যৌথ নির্দেশনাও remote access VPN server-কে ভেতরের network-এর প্রবেশপথ আর নিশানা হিসেবে বর্ণনা করে।

প্রকাশিত ঘটনা থেকে শিক্ষা

Ivanti-র ক্ষেত্রে CISA-র পরের নির্দেশনা মার্কিন ফেডারেল সংস্থাগুলোকে ২ ফেব্রুয়ারি ২০২৪-এর মধ্যে ওই product-এর সব instance সংস্থার network থেকে বিচ্ছিন্ন করতে বলে। সংশ্লিষ্ট domain account-কে compromised ধরে নিয়ে password আর token বদলাতেও বলে। শিক্ষা হলো, gateway-এর সমস্যা হলে patch-ই শেষ কথা নয়। ওই gateway-এর হাতে যা ছিল, তাও ফাঁস হয়েছে ধরে নিতে হতে পারে। এখানে আমরা ঘটনার পদ্ধতি নয়, রক্ষকের শিক্ষা নিয়েই থাকছি।

Gateway শক্ত করার তালিকা

• Patch সবার আগে: Gateway-কে সবার আগের সারিতে রাখুন, পর্ব ৩২-এর KEV অগ্রাধিকার মেনে। Vendor-এর advisory-র জন্য subscribe করুন। পরিকল্পিত maintenance window রাখুন, আর দুটি gateway থাকলে একে একে patch করুন।
• Phishing-প্রতিরোধী MFA: সবার জন্য, ব্যতিক্রম ছাড়া। পর্ব ১৬-এর passkey বা security key সবচেয়ে ভালো। Service account আর পুরোনো profile-ও খুঁজে দেখুন।
• বাইরে থেকে কম দেখা: Admin interface কখনও ইন্টারনেটে নয়। অব্যবহৃত feature আর portal বন্ধ রাখুন।
• ভেতরের নাগাল ছোট: VPN user-কে আলাদা zone-এ রাখুন, আর group অনুযায়ী দরকারি host-এ সীমিত করুন। Admin access আলাদা পথে রাখুন।
• Gateway-র নিজের secret: LDAP bind বা RADIUS-এর account ছোট অধিকারে রাখুন, কারণ এগুলো gateway-তে জমা থাকে। Domain admin দিয়ে কখনও নয়।

Session limit আর log

Tunnel যত লম্বা, চুরি হওয়া session তত কাজের। Idle timeout মানে কাজ না থাকলে session শেষ; absolute timeout মানে কাজ চললেও নির্দিষ্ট সময়ের পরে আবার login. সংখ্যা প্রতিষ্ঠানের ঝুঁকির ওপর নির্ভর করে। একটি ধরে নেওয়া শুরু হতে পারে: idle ৩০ মিনিট, absolute ১০ ঘণ্টা, একজনের একসাথে একটি session. Admin-এর জন্য এগুলো আরও ছোট রাখা যায়।

কী log করবেন: সময়, user, device, উৎস IP, দেওয়া ঠিকানা, MFA-র ফল, বাইট, সংযোগ বিচ্ছিন্নের কারণ, আর gateway-এর নিজের configuration বদল। Log gateway-তে রাখলে হবে না, কারণ gateway compromise হলে সেগুলোও বদলানো যেতে পারে। তাই বাইরের SIEM-এ পাঠান। নিচের Sigma-ধরনের নিয়ম একটি কাল্পনিক log format-এ MFA ছাড়া VPN login ধরে। আপনার gateway-র field নাম মিলিয়ে নিন।

title: VPN login succeeded without MFA
status: experimental
description: A VPN session started and no MFA result was recorded for it.
logsource:
  product: vpn_gateway
  category: authentication
detection:
  selection:
    action: login_success
    mfa_result: none
  filter_break_glass:
    user: break-glass-01
  condition: selection and not filter_break_glass
falsepositives:
  - Old profile that was never moved to MFA. Fix the profile, do not ignore it.
level: high

আরও তিনটি সংকেত: অল্প সময়ে দূরের দুই দেশ থেকে একই user (impossible travel), বহু user-এ ব্যর্থ login (password spraying) আর gateway-তে নতুন local admin. বাংলাদেশের mobile network-এ CGNAT-এর জন্য বহু মানুষ এক IP ব্যবহার করতে পারেন, তাই শুধু IP দেখে সিদ্ধান্ত নেবেন না। Break-glass-কে নিয়ম থেকে বাদ দিলে আলাদা নিয়মে তার প্রতিটি login-এ alert রাখুন। Log-এর আয়ু আর স্থান নিয়ে বিস্তারিত পর্ব ৫৫-এ পাবেন।

৭ · ZTNA — network নয়, শুধু application

অফিস ভবনের কথা আবার ভাবুন। পুরোনো নিয়ম: মূল ফটকে পরিচয়পত্র দেখালে সব তলায় হাঁটা যায়। নতুন নিয়ম: মূল ফটকই নেই। আপনি রিসেপশনে জানান, “HR-এর ফাইল কক্ষে যাব।” দারোয়ান পরিচয়পত্র, আজকের অনুমতি আর হাতের ব্যাগ দেখে শুধু সেই কক্ষের পথ খোলেন। অন্য কক্ষ আপনি দেখতেই পান না।

ZTNA (zero trust network access) এই চিন্তা। এটি কোনো একক standard নয়, বাজারের একটি শব্দ। ভিত্তি হলো zero trust: network-এ থাকা মানেই বিশ্বাস নয়। পূর্ণ architecture পাবেন পর্ব ৭৪-এ (Zero trust architecture, NIST SP 800-207, ২০২০)। এখানে শুধু remote access-এর অংশ।

ZTNA কীভাবে কাজ করে

• প্রতি app-এ access: ব্যবহারকারী 10.x network পায় না। পায় একটি নির্দিষ্ট app-এর সংযোগ। Policy লেখা হয় user, app আর শর্তে, ঠিকানায় নয়।
• পরিচয় আগে: Identity-aware proxy বা broker প্রথমে identity provider দিয়ে পরিচয় যাচাই করে। সিদ্ধান্ত নেয় PDP, প্রয়োগ করে PEP, যা পর্ব ১৯-এ দেখেছেন।
• Device posture: Device-টি প্রতিষ্ঠানের কি না, OS কত নতুন, disk encrypted কি না, EDR চলছে কি না। Password ঠিক হলেও অচেনা বা অসুস্থ device আটকে যেতে পারে।
• Network-স্তরের পা রাখার জায়গা নেই: App connector সাধারণত ভেতর থেকে বাইরের broker-এ সংযোগ খোলে। তাই app-এর জন্য ইন্টারনেট থেকে ভেতরে খোলা port লাগে না।
• Continuous verification: একবার ঢুকলেই শেষ নয়। Device বা ঝুঁকি বদলালে session শেষ হতে পারে। তবে সংকেত কত দ্রুত পৌঁছায়, তা product-ভেদে আলাদা।

ZTNA দুই রূপে দেখা যায়। Agent-ভিত্তিক রূপে device-এ client থাকে, posture পাঠায়, আর non-web app-ও চালাতে পারে। Agentless রূপে browser দিয়ে web app খোলে, যা vendor বা ঠিকাদারের জন্য সহজ, তবে posture তথ্য কম। বাজারে ZTNA প্রায়ই SWG আর CASB-এর সাথে SSE হিসেবে আসে, আর network সেবা জুড়লে SASE. নামের চেয়ে দেখুন: policy কোথায়, সিদ্ধান্তের log কোথায়, আর কোন app-এ পৌঁছায়।

নিচে একটি সিদ্ধান্ত ধাপে ধাপে দেখুন। রিনা HR বিভাগের কর্মী, দুপুরে বাড়ি থেকে hr-portal খুলছেন। সব নাম আর মান কাল্পনিক।

একই যুক্তি কোডে। রিনার ০৯:৪০-এর সারিটি ওপরের শেষ ধাপের মতো: session চলছে, device-এর অবস্থা বদলেছে।

// Toy ZTNA policy evaluator. Default deny; every name and value here is made up.
const POLICIES = {
  'hr-portal': { groups: ['hr'], managed: true, minOs: 14, mfa: 'passkey' },
  'wiki':      { groups: ['staff', 'hr'], managed: false, minOs: 12, mfa: 'any' },
};
function decide(req) {
  const p = POLICIES[req.app], why = [];
  if (!p) return { allow: false, why: ['no policy: default deny'] };
  if (!req.groups.some(g => p.groups.includes(g))) why.push('group not allowed');
  if (p.managed && !req.device.managed) why.push('device not managed');
  if (req.device.os < p.minOs) why.push(`OS ${req.device.os} below ${p.minOs}`);
  if (!req.device.encrypted) why.push('disk not encrypted');
  if (p.mfa === 'passkey' && req.mfa !== 'passkey') why.push('needs passkey');
  if (p.mfa === 'any' && req.mfa === 'none') why.push('needs MFA');
  return { allow: why.length === 0, why };
}
const good = { managed: true, os: 15, encrypted: true };
const staff = { user: 'karim', groups: ['staff'] }, hr = { user: 'rina', groups: ['hr'] };
const REQUESTS = [
  { t: '09:00', ...hr, app: 'hr-portal', device: good, mfa: 'passkey' },
  { t: '09:05', ...hr, app: 'hr-portal', device: good, mfa: 'otp' },
  { t: '09:10', ...staff, app: 'hr-portal', device: good, mfa: 'passkey' },
  { t: '09:15', ...staff, app: 'wiki', mfa: 'otp',
    device: { managed: false, os: 13, encrypted: true } },
  { t: '09:20', ...staff, app: 'ssh-prod', device: good, mfa: 'passkey' },
  { t: '09:40', ...hr, app: 'hr-portal', mfa: 'passkey', // same session, posture re-checked
    device: { managed: true, os: 15, encrypted: false } },
];
let allowed = 0;
for (const r of REQUESTS) {
  const d = decide(r);
  allowed += d.allow ? 1 : 0;
  console.log(`${r.t} ${r.user.padEnd(5)} ${r.app.padEnd(9)} ${d.allow ? 'ALLOW' : 'DENY '} ${d.why.join('; ')}`);
}
console.log(`decisions ${REQUESTS.length}, allowed ${allowed}, denied ${REQUESTS.length - allowed}`);

09:00 rina  hr-portal ALLOW
09:05 rina  hr-portal DENY  needs passkey
09:10 karim hr-portal DENY  group not allowed
09:15 karim wiki      ALLOW
09:20 karim ssh-prod  DENY  no policy: default deny
09:40 rina  hr-portal DENY  disk not encrypted
decisions 6, allowed 2, denied 4

৮ · VPN বনাম ZTNA, আর ধাপে ধাপে যাওয়া

চুরি হওয়া একটি sales account কতদূর পৌঁছায়, তা একটি ছোট কাল্পনিক network-এ মাপি। সব সংখ্যা ধরে নেওয়া। “Host:port” মানে একটি host-এর একটি খোলা port, অর্থাৎ পৌঁছানোর একটি জায়গা।

// Reach of one stolen sales account on a toy network of 24 hosts. Counts are made up.
const SEGMENTS = {           // hosts, open ports per host, admin ports among them
  sales:  { hosts: 8, ports: 2, admin: 1 },
  app:    { hosts: 6, ports: 3, admin: 1 },
  db:     { hosts: 4, ports: 2, admin: 1 },
  admin:  { hosts: 2, ports: 3, admin: 2 },
  backup: { hosts: 4, ports: 2, admin: 1 },
};
function reach(names) {
  const r = { hosts: 0, ports: 0, admin: 0, backup: names.includes('backup') };
  for (const n of names) {
    const s = SEGMENTS[n];
    r.hosts += s.hosts; r.ports += s.hosts * s.ports; r.admin += s.hosts * s.admin;
  }
  return r;
}
const SCENARIOS = [
  ['VPN, flat network', reach(Object.keys(SEGMENTS))],
  ['VPN + segmentation', reach(['sales', 'app'])],
  ['ZTNA, two apps', { hosts: 2, ports: 2, admin: 0, backup: false }], // HTTPS via broker
];
const flat = SCENARIOS[0][1].ports;
console.log('access model         hosts  host:ports  admin  share  backup?');
for (const [name, r] of SCENARIOS) {
  const share = (100 * r.ports / flat).toFixed(1) + '%';
  console.log(name.padEnd(20), String(r.hosts).padStart(5), String(r.ports).padStart(11),
    String(r.admin).padStart(6), share.padStart(6), r.backup ? ' yes' : ' no');
}
const ztna = SCENARIOS[2][1], seg = SCENARIOS[1][1];
console.log(`flat / ZTNA reach: ${flat / ztna.ports} times; segmented / ZTNA: ${seg.ports / ztna.ports} times`);

access model         hosts  host:ports  admin  share  backup?
VPN, flat network       24          56     26 100.0%  yes
VPN + segmentation      14          34     14  60.7%  no
ZTNA, two apps           2           2      0   3.6%  no
flat / ZTNA reach: 28 times; segmented / ZTNA: 17 times

ধাপে ধাপে migration

1. তালিকা: VPN log থেকে দেখুন কে, কোন app, কত ঘন ঘন। ব্যবহারহীন account আর profile সরান।
2. VPN আজই শক্ত করুন: MFA, patch, segmentation আর log. Migration-এর অপেক্ষায় এগুলো থামাবেন না।
3. ভিত্তি: একটি identity provider, phishing-প্রতিরোধী MFA আর device-এর তালিকা।
4. Pilot: কম ঝুঁকির একটি web app, একটি ছোট দল। VPN সমান্তরালে চালু।
5. বিস্তার: App ধরে ধরে সরান, আর VPN-এ ওই app-এর পথ বন্ধ করুন। শুধু নতুন পথ জুড়লে নিরাপত্তা বাড়ে না, দুটি দরজা হয়।
6. বাকিটা সংকোচন: যেসব জিনিস সরানো যায় না, সেগুলোর জন্য ছোট, কড়া VPN. জরুরি অবস্থার জন্য বিকল্প পথ পরীক্ষা করে রাখুন, যাতে identity provider পড়লেও admin পৌঁছাতে পারেন।

৫০ জনের একটি প্রতিষ্ঠানে যদি মাত্র দুটি cloud app থাকে, হয়তো VPN-ই লাগে না: সরাসরি SSO আর MFA যথেষ্ট হতে পারে। আগে সমস্যা মাপুন, পরে product বাছুন।

৯ · Consumer VPN — বিজ্ঞাপনের দাবি আর বাস্তব

এখন পর্যন্ত আমরা প্রতিষ্ঠানের VPN দেখলাম। বিজ্ঞাপনে দেখা commercial VPN আলাদা জিনিস। আপনি একটি কোম্পানির server-এ tunnel খোলেন, আর সেখান থেকে ইন্টারনেটে যান। এতে আপনার ISP আর ক্যাফের network দেখে কম। কিন্তু VPN কোম্পানি দেখতে পারে বেশি। অর্থাৎ বিশ্বাস দূর হয় না, এক জায়গা থেকে আরেক জায়গায় সরে।

গবেষণাও সতর্ক করে। Ikram ও সহলেখকদের IMC ২০১৬-এর গবেষণা ২৮৩টি Android VPN app পরীক্ষা করে অনিরাপদ tunnel, IPv6 আর DNS leak, TLS interception আর tracking-এর জন্য JavaScript ঢোকানোর ঘটনা পায়। এটি ২০১৬-র একটি ছবি, সব VPN-এর রায় নয়। Website-এর HTTPS এখন অনেক ট্রাফিক পথেই রক্ষা করে, তাই সাধারণ ব্রাউজিংয়ে VPN-এর বাড়তি লাভ আগের চেয়ে কম। অবিশ্বস্ত network-এ এটি তবু কাজে আসতে পারে।

১০ · AI-এর যুগে VPN আর access নকশা

AI একটি VPN configuration মুহূর্তে লিখে দেয়। কিন্তু সে আপনার network, আইন বা ঝুঁকি দেখে না। সাধারণ ভুলগুলো এমন:

AI-এর পরামর্শ চালুর আগে

• Prompt-এ কোনো key, password বা ব্যক্তিগত তথ্য নেই
• প্রতিটি CVE, RFC আর standard মূল উৎসে নিজে পড়েছি
• নিজের ল্যাবে পরীক্ষা করেছি, প্রথমেই production-এ নয়
• Diff দেখে বুঝেছি ঠিক কোন নিয়ম বদলাচ্ছে
• যাচাই বন্ধ করা বা নাগাল বাড়ানো পরামর্শ বাদ দিয়েছি
• মানুষের কাজে প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন