ক্লাউড ফায়ারওয়াল

সার্ভারে পৌঁছানোর আগেই ঠিক করুন কী পৌঁছাবে।

প্রতিটা সার্ভারের ভেতরে একটা firewall থাকে। ক্লাউড ফায়ারওয়াল বসে তার সামনে, নেটওয়ার্কে — যেখানে নিয়ম কার্যকর হয় প্যাকেট আপনার অপারেটিং সিস্টেমে পৌঁছানোরও আগে, আর যেখানে সার্ভারে চলা কোনো কিছুই সেটা বন্ধ করতে পারে না।

ক্লাউড ফায়ারওয়াল নিয়ে কথা বলুন সার্ভার সাজান

মেশিনের বাইরে: নেটওয়ার্কে কার্যকর
Default deny: না খোলা পর্যন্ত কিছুই খোলা নয়
CPU খরচ নেই: আটকানো ট্রাফিক আপনার কাছে আসেই না
লাইভ পরিবর্তন: রিবুট ছাড়াই নিয়ম বদলান

জিনিসটা কী

সার্ভারের ভেতরে চলা firewall — ufw, firewalld, iptables — আসল কাজই করছে, কিন্তু সেটা করছে যে জিনিসটাকে রক্ষা করছে তারই ভেতরে বসে। কেউ root পেয়ে গেলে প্রথম যেটা করতে পারে, সেটা ওটাকে বন্ধ করে দেওয়া।

ক্লাউড ফায়ারওয়াল কার্যকর হয় উপরে, নেটওয়ার্কে, যেখানে সার্ভারের কোনো কথা চলে না। আপনি যে ট্রাফিক অনুমতি দেননি সেটা মেশিনে পৌঁছানোর আগেই বাদ পড়ে — তাই সেটা ফেরাতে আপনার কিছু খরচ হয় না, আর ওপারে যা-ই ঘটুক, নিয়মগুলো টিকে থাকে।

এটা আপনার জন্য যা করে

ক্লাউড ফায়ারওয়াল আপনার অবকাঠামোর আচরণে যে ছয়টা জিনিস বদলে দেয়।

পোর্ট, প্রোটোকল আর উৎস ধরে নিয়ম

৪৪৩ সবার জন্য খোলা, ২২ শুধু আপনার অফিসের ঠিকানা থেকে, ৩৩০৬ শুধু আপনার অ্যাপ্লিকেশন সার্ভার থেকে — আর বাকি কিছুই কোথাও থেকে নয়।

প্যাকেট পৌঁছানোর আগেই কার্যকর

ফেরানো ট্রাফিক নেটওয়ার্কেই বাদ পড়ে। আপনার সার্ভার সেটা দেখেও না, লগও করে না, তার পেছনে এক সাইকেলও খরচ করে না।

সার্ভারের চেয়ে বেশিদিন টেকে

মেশিনের বাইরে বসানো নিয়ম মেশিনের ভেতরের কোনো কিছুই বন্ধ করতে পারে না। দুটোই রাখার পুরো কারণ এটাই।

এক নিয়ম, অনেক সার্ভার

একবার নীতি লিখে একদল মেশিনে প্রয়োগ করুন — বারোটা iptables হাতে মিলিয়ে রাখার বদলে।

Default deny, ইচ্ছে করেই

আপনি না বলা পর্যন্ত কোথাও পৌঁছানো যায় না। নিরাপদ অবস্থাটাই শুরুর অবস্থা, মনে করে করার মতো কিছু নয়।

ডাউনটাইম ছাড়াই বদলান

নিয়ম সাথে সাথে কার্যকর হয়। রিবুট নেই, রিস্টার্ট নেই, উইন্ডো নেই।

মানুষ কী কাজে লাগায়

SSH শুধু যারা ব্যবহার করে তাদের জন্য: পোর্ট ২২ ইন্টারনেটের বদলে আপনার অফিস আর ইঞ্জিনিয়ারদের জন্য খোলা — সার্ভারে যেসব আক্রমণ আসে তার বেশিরভাগই এতে চলে যায়।
ওয়েব সার্ভার শুধুই ওয়েব সার্ভার: ৮০ আর ৪৪৩ খোলা, বাকি সব বন্ধ — সেই ডেটাবেস পোর্টসহ যেটা কেউ listen অবস্থায় রেখে গেছে।
ডেটাবেসে পৌঁছানো যায় এক জায়গা থেকে: ডেটাবেস পোর্ট শুধু অ্যাপ্লিকেশন সার্ভারের জন্য খোলা, বাকি সবার জন্য বন্ধ — VPC যে সুরক্ষা দেয় তার উপর বাড়তি স্তর।

খরচ কত

ফায়ারওয়াল আলাদা করে বিক্রির জিনিস নয়, সার্ভার ঠিকভাবে সাজানোরই অংশ — সার্ভার বানানোর সময় আমরা আপনার সাথে বসে কনফিগার করে দেব। আগের চালু সার্ভারগুলোর নিয়ম দেখে দিতে বললেও দেখে দেব।

যাচাই না করা সংখ্যা ছাপানোর চেয়ে আপনাকে কোট দেওয়াই ভালো মনে করি। দামের পাতায় যা আছে তার প্রতিটাই অর্ডার ফর্ম সত্যিই যা নেয় — এখানেও সেটা সত্যি হওয়ার দিনই এটা সেখানে যোগ হবে।

কোট নিন প্রকাশিত দাম দেখুন

প্রশ্ন

সার্ভারের ভেতরের firewall কি তাহলে লাগবে না?

লাগবে, আর সেটা রাখাই উচিত। দুটো আলাদা জিনিস পাহারা দেয়: ক্লাউড ফায়ারওয়াল ঠিক করে মেশিন পর্যন্ত কী আসবে, আর host firewall ঠিক করে যা এল তা নিয়ে মেশিন কী করবে। এক স্তরে থাকা প্রতিরক্ষা মানে ভুল হওয়ার জন্য একটাই জায়গা।

এটা কি আমার দর্শকদের আটকাবে?

শুধু যদি আপনি বলেন। সাধারণ নীতি হলো ৮০ আর ৪৪৩ সবার জন্য খোলা, বাকি সব সীমিত — স্বাভাবিক ওয়েবসাইটে কোনো প্রভাব পড়ে না।

বাইরে যাওয়া ট্রাফিকও আটকানো যায়?

যায়, আর যে সার্ভারের যখন-তখন বাইরে সংযোগ করার কোনো দরকার নেই, তার জন্য করাও উচিত। তবে এটাই সেই নিয়ম যেটা সবচেয়ে সহজে চুপচাপ কিছু ভেঙে দেয়, তাই আগে পরীক্ষা করে নিন।

DDoS আটকাবে?

যা থাকার কথা নয় সেটা সস্তায় ফিরিয়ে দেয়, তাই সাহায্য করে। কিন্তু এটা anti-DDoS সার্ভিস নয় আর আমরা সেটা বলবও না — বড় আক্রমণ উপরের স্তরে শোষণ করতে হয়, সেটা আলাদা আলোচনা।

এখানে উত্তর নেই এমন কিছু? জিজ্ঞেস করুন — হয় ছোট একটা উত্তর, নয়তো একটা ফোন কল, দুটোতেই অসুবিধা নেই।