Always On VPN ল্যান অ্যাক্সেস নয়: রিসোর্স যাচাইয়ের তালিকা

Always On হলো সংযোগের জীবনচক্র: প্রোফাইলটি সাইন-ইনের সময় বা তার আগে সংযোগ করে এবং ব্যবহারকারী কিছু না করেই আবার সংযোগ করে। এর অর্থ এই নয় যে প্রতিটি প্রাইভেট গন্তব্য, প্রোটোকল ও ব্যবহারকারী অনুমোদিত। প্রকৃত প্রশ্ন হলো প্রোফাইলটি আসলে কোন রিসোর্স দেয়, আর সেই উত্তরের জন্য Connected ব্যাজের দিকে তাকানো নয়, প্রতি রিসোর্সে আলাদা যাচাই দরকার।

ধাপ 1: পরীক্ষার আগে রিসোর্সটি লিখে রাখুন

প্রতিটি অ্যাপের জন্য একটি ছোট রেকর্ড রাখুন, মানগুলো আসল পরিবেশ থেকে নিন: নাম, গন্তব্য প্রিফিক্স, সার্ভিস ও পোর্ট, টানেলের ভূমিকা, পরিচয় গ্রুপ এবং রিজলভার পাথ।

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

রেকর্ডটি চারটি আলাদা প্রশ্ন চাপিয়ে দেয়। রুট ঠিক করে ঠিকানাটি কোথায় যায়; DNS নীতি ঠিক করে ক্লায়েন্ট ঠিকানাটি কীভাবে জানে; ট্রাফিক ফিল্টার ঠিক করে এই ট্রাফিক সংযোগটি ব্যবহার করতে পারে কি না; গন্তব্যের ফায়ারওয়াল ও অ্যাপের অনুমতি ঠিক করে অনুরোধ গ্রহণ হবে কি না। এগুলোর একটি সংযোগ হওয়া টানেল থেকে আসে না।

ধাপ 2: কোন টানেল এটি বহন করবে তা নির্ধারণ করুন

Windows Always On VPN-এ আছে ডিভাইস টানেল ও ইউজার টানেল, যা আলাদা সার্টিফিকেট ও স্কোপসহ আলাদা প্রোফাইল হিসেবে কনফিগার হয়। ডিভাইস টানেল সাধারণত সাইন-ইনের আগে দরকারি অবকাঠামোই বহন করে, যেমন ম্যানেজমেন্ট ও ডোমেইন সার্ভিস; কর্মীদের বিস্তৃত অ্যাপ অ্যাক্সেস থাকে ইউজার টানেলে।

ট্রাফিক ফিল্টার ডিভাইস টানেলের বৈশিষ্ট্য, তাই Microsoft-এর উদাহরণ এটি ম্যানেজমেন্ট ট্রাফিকে ব্যবহার করে। ওই উদাহরণ সাধারণ রিসোর্স প্রোফাইলে কপি করলে এমন টানেল পাবেন যা সংযোগ করে কিন্তু ভুল সেট বহন করে। সক্রিয় সংযোগটি Get-VpnConnection দিয়ে নিশ্চিত করুন এবং সেই সংযোগের অধীনে পরীক্ষা করুন।

ধাপ 3: আসল ঠিকানার জন্য রুট যাচাই করুন

নামটি একবার রিজলভ করুন, তারপর রুট দেখুন: Find-NetRoute -RemoteIPAddress 10.20.5.10 নির্বাচিত ইন্টারফেস, পরবর্তী হপ ও সোর্স ঠিকানা জানায়। ইন্টারফেসটি যদি ফিজিক্যাল অ্যাডাপ্টার হয়, তবে প্রিফিক্সটি টানেলের রুট সেটে নেই, অথবা ক্লায়েন্ট স্প্লিট টানেলিং দিয়ে বাদ দিয়েছে। লোকাল রুট যোগ না করে প্রোফাইল সংজ্ঞার সঙ্গে তুলনা করুন।

লোকাল route add পরীক্ষা পাস করিয়ে পরের নীতি রিফ্রেশে হারিয়ে যেতে পারে, তাই পরিবর্তনটি ম্যানেজড প্রোফাইলে যাওয়া উচিত। ইউজার ও ডিভাইস দুই প্রোফাইলেই প্রিফিক্সটি দেখুন, এবং স্প্লিট টানেল সেটিং দেখুন: ফুল টানেলে প্রতি প্রিফিক্সে রুট লাগে না, স্প্লিট টানেলে বহন করা প্রতিটি প্রাইভেট প্রিফিক্সের জন্য একটি লাগে।

ধাপ 4: প্রাইভেট নাম রিজলিউশন আলাদা করে পরীক্ষা করুন

প্রাইভেট নামের নিজস্ব নীতি পাথ আছে। প্রোফাইল NRPT নিয়ম ও DNS সাফিক্স খোঁজার তালিকা দিতে পারে, যেগুলো টানেল চালু থাকা পর্যন্ত কার্যকর। ক্লায়েন্ট আসলে কী পেয়েছে Get-DnsClientNrptPolicy দিয়ে পড়ুন, তারপর একই সেশনে একটি নাম ও একটি ঠিকানা পরীক্ষা করুন। ঠিকানা কাজ করার সময় নাম ব্যর্থ হলে রিজলভার; দুটোই ব্যর্থ হলে রুট।

একটি নাম টানেলের রুটের বাইরের ঠিকানাতেও রিজলভ হতে পারে, ফলে সফলতা ও টাইমআউট মিশে যায়। ফেরত পাওয়া ঠিকানাটি আপনার রেকর্ডের প্রিফিক্সের সঙ্গে তুলনা করুন; ভিন্ন হলে প্রাইভেট জোনটি পাবলিক বা বিকল্প ঠিকানা দিচ্ছে, আর মিলে যাওয়া রুটটি আপনার ডিজাইন করা রুট নয়।

ধাপ 5: ফিল্টার, পরিচয় ও অ্যাপের নিজের গেট যাচাই করুন

ট্রাফিক ফিল্টার সীমিত করে কোন প্রোটোকল ও পোর্ট ডিভাইস টানেল ব্যবহার করতে পারবে, আর সংকীর্ণ সেট রুট যে রিসোর্স বহন করত তা আটকে দিতে পারে। প্রোফাইল সংযোগটিকে একটি গ্রুপে দেয়, কিন্তু রিসোর্সের নিজস্ব অনুমোদন আছে: যে ব্যবহারকারী সংযোগ করতে পারেন, তাকে ফাইল সার্ভার স্বয়ংক্রিয়ভাবে গ্রহণ করে না।

ম্যানেজড প্রোফাইলটি তার মালিকের মাধ্যমে বদলান, সেটি Intune, ProfileXML ডিপ্লয়মেন্ট বা অপারেশন স্ক্রিপ্ট যা-ই হোক, তারপর সাধারণ পুনঃসংযোগের পরে ও রিবুটের পরে আবার পরীক্ষা করুন: সাধারণ ব্যর্থতা পুরোনো লোকাল রুট বা একবার প্রয়োগ করা প্রোফাইল। পরীক্ষার ফলাফলের পাশে প্রোফাইল সংস্করণ রাখুন।