অ্যান্ড্রয়েড কেন বাড়ির IPsec VPN-এ সংযোগ করে আর Windows করে না

ফোন কোনো অভিযোগ ছাড়াই রাউটারের VPN-এ ঢোকে, অথচ একই ওয়াই-ফাইয়ের ল্যাপটপ পারে না। একই শংসাপত্র, একই সার্ভার, একই মিনিট। পার্থক্যটা প্রোটোকল সমর্থনে, পাসওয়ার্ডে নয়: রাউটার এমন প্রোফাইল দেখায় যা এক অপারেটিং সিস্টেমে থাকে আর অন্যটিতে কখনও ছিল না।

আগে প্রোফাইল চিনুন, তারপর প্রতিটি ক্লায়েন্ট আসলে কী বলে তার সঙ্গে মিলিয়ে দেখুন।

একটি মেনু, তিনটি প্রোটোকল

একটি IPsec শিরোনামের নিচে গ্রাহক ফার্মওয়্যার তিনটি সম্পূর্ণ আলাদা টানেল লুকাতে পারে। প্রথমটি XAUTH সহ IKEv1: একটি শেয়ার করা গ্রুপ গোপন কথা, তার ওপরে ব্যবহারকারীনাম ও পাসওয়ার্ড। দ্বিতীয়টি L2TP/IPsec, যেখানে PPP শেয়ার করা কী দিয়ে সুরক্ষিত IPsec পরিবহনের ভিতরে চলে। তৃতীয়টি IKEv2, শংসাপত্র বা EAP দিয়ে প্রমাণিত।

লেবেল নয়, ফিল্ডগুলো পড়ুন। গ্রুপ গোপন কথা আর ব্যবহারকারী তালিকা মানে IKEv1 XAUTH। আগে থেকে শেয়ার করা কী আর PPP অ্যাকাউন্ট মানে L2TP/IPsec। গ্রুপ গোপন কথা ছাড়া সার্ভার শংসাপত্র মানে IKEv2।

ফোন ও ল্যাপটপের মধ্যে সমর্থনের ফাঁক

অ্যান্ড্রয়েডে IKEv1 XAUTH PSK ক্লায়েন্ট অন্তর্ভুক্ত, সেজন্যই যে রাউটার আর কিছু দেয় না তার বিরুদ্ধে ফোন সফল হয়। Windows-এ নেই: তার নিজস্ব ক্লায়েন্ট L2TP/IPsec আর IKEv2 চালায়, আর চালু করার কোনো IKEv1 XAUTH অপশন নেই। গোপন কথাটা আবার দিলে লাভ নেই, কারণ অনুপস্থিত অংশটা শংসাপত্র নয়, প্রোটোকল।

অ্যাপলের দিকটা চলমান লক্ষ্য। নতুন macOS আর iOS সংস্করণ IKEv2-র দিকে যায়, পুরনো সিসকো-ধাঁচের প্রোফাইল কিছু বিল্ডে টেকে, আর আপগ্রেড গত মাসে যা কাজ করত তা সরিয়ে দিতে বা কড়া করতে পারে। যে Mac গতকাল সংযোগ করত আর আজ করে না, রাউটার না বদলেও, সাধারণত এটাই।

সঠিক প্রোফাইল ভাঙা দুটি সেটিং

Synology-র L2TP/IPsec পৃষ্ঠায় Enable SHA2-256 compatible mode (96 bit) নামের একটি চেকবক্স আছে। iOS 14 আর macOS Big Sur থেকে অ্যাপলের ক্লায়েন্ট ওই কাটা মোড প্রত্যাখ্যান করে, তাই তাদের জন্য চেকবক্সটা বন্ধ করতে হয়। চালু থাকলে টানেল প্রমাণ করে তারপর পড়ে যায়, যা খারাপ শংসাপত্র মনে হয় কিন্তু নয়। নির্মাতা টগলটা নথিভুক্ত করে, আর অপারেটিং সিস্টেম আপগ্রেডই সাধারণত এর গুরুত্ব শুরু হওয়ার মুহূর্ত।

Windows শংসাপত্র দুটি আলাদা স্টোরে রাখে, আর IKEv2 শুধু মেশিনেরটা পড়ে। ক্লায়েন্ট শংসাপত্র তার ব্যক্তিগত কী সহ কম্পিউটার অ্যাকাউন্টে আমদানি করুন; নিজের ব্যবহারকারী অ্যাকাউন্টে রাখা শংসাপত্র ম্যানেজমেন্ট কনসোলে দেখা যায় কিন্তু IKEv2 পরিষেবায় কখনও পৌঁছায় না। EAP-TLS একমাত্র ক্ষেত্র যেখানে ব্যবহারকারী শংসাপত্র কাজে লাগে, আর স্বাক্ষরকারী CA-কে মেশিনকে এখনও বিশ্বাস করতে হয়। এখানে ভুল হলে তা প্রমাণীকরণ ব্যর্থতা হিসেবে দেখায়, অনুপস্থিত শংসাপত্রের অনুরোধ হিসেবে নয়।

যখন রাউটার যেমন আছে তেমনই থাকে

যে রাউটার শুধু XAUTH PSK বলে, সে তিনটি পথ রাখে: নির্মাতার ক্লায়েন্ট, তৃতীয় পক্ষের ক্লায়েন্ট যা প্রোফাইলটা এখনও প্রয়োগ করে, বা টানেলের শেষবিন্দু IKEv2 বলে এমন কিছুতে সরানো। যেমন AVM নিজের রাউটারের জন্য Windows ক্লায়েন্ট সফটওয়্যার আর রপ্তানি করা কনফিগারেশন ফাইল প্রকাশ করে। ওই পথ সমর্থিত, আর এতে প্রতিটি ল্যাপটপে নির্মাতার টুল ইনস্টল করতে হয়।

ল্যাপটপগুলো যদি আপনার নিজের না হয়, সমর্থন সৌন্দর্যের চেয়ে বেশি জরুরি।

নিরাপত্তার খরচও মাপুন। একটি গ্রুপ গোপন কথা প্রত্যেক ব্যবহারকারীকে ঢাকে, তাই যে এটি রাখে সে সার্ভারের ভূমিকা নিতে পারে আর ক্লায়েন্টের দেওয়া ব্যবহারকারীনাম ও পাসওয়ার্ড ধরে ফেলতে পারে। যেখানে শংসাপত্রসহ IKEv2 আছে, সেখানে ওই স্থানান্তর যেকোনো ক্লায়েন্ট সমাধানের চেয়ে বেশি মূল্যবান।

বাইরে থেকে ভিতরে নির্ণয় করুন

আগে ফোন থেকে একটি কাজ করা সেশন নিন, যাতে ল্যাপটপ আসার আগেই সার্ভারের দিক প্রমাণিত হয়। তারপর রাউটারের রপ্তানি করা প্রোফাইল অপরিবর্তিত আমদানি করুন আর রাউটারের স্ট্যাটাস পৃষ্ঠার বদলে ক্লায়েন্ট লগ পড়ুন। লগে কোনো প্রস্তাব বেরোতে না দেখলে ল্যাপটপ উত্তরদাতার কাছে কখনও পৌঁছায়নি। প্রস্তাব বিনিময় হয়ে তারপর ব্যর্থ হলে মতভেদ অ্যালগরিদম, পরিচয় বা শংসাপত্র নিয়ে।

কাজ করা ফোন প্রোফাইলটা নিয়ন্ত্রণ হিসেবে রাখুন। ফার্মওয়্যার আপডেটের পরে শুধু ল্যাপটপ ভাঙলে সার্ভারের দিক আগের মতোই চলছে। দুটোই ভাঙলে যেকোনো ক্লায়েন্ট ছোঁয়ার আগে শংসাপত্র বা শ্রবণকারী দেখুন।