Android-এ IKEv2 VPN প্রোফাইল ব্যবহারকারীভিত্তিক, ডিভাইসভিত্তিক নয়

Android-এ বিল্ট-ইন VPN শব্দটি দুটি সম্পর্কহীন জিনিস বোঝায়: প্ল্যাটফর্ম আপনার হয়ে চালানো একটি প্রোটোকল বাস্তবায়ন, এবং প্রস্তুতকারক যে সেটিংসের রূপ দেখানোর সিদ্ধান্ত নিয়েছে সেটি। এরা একই বস্তু নয়, এবং কোনোটিই নিশ্চিত করে না যে টানেলটি সেই ব্যবহারকারীর যার অ্যাপগুলোর এটি প্রয়োজন। প্রস্তুতি ঘটে নির্দিষ্ট ব্যবহারকারী ও নির্দিষ্ট কলিং প্যাকেজে, আর পরবর্তী সবকিছু সেই প্রসঙ্গ উত্তরাধিকার করে। সেটিংস স্ক্রিন পড়ার আগে মালিকানার শৃঙ্খল পড়ুন।

প্ল্যাটফর্ম আপনার জন্য কী তৈরি করে

Android 11 থেকে প্ল্যাটফর্ম VPN প্রস্তুতি VpnManager এর মাধ্যমে প্রকাশ করে। অনুমোদিত অ্যাপ একটি IKEv2 প্রোফাইল বর্ণনা করে, আর প্ল্যাটফর্ম নিজেই IPsec ও IKE বিনিময় চালায়, তাই অ্যাপ কখনো প্যাকেট স্পর্শ করে না। এটি কাস্টম VPN অ্যাপের সাথে অর্থপূর্ণ পার্থক্য, যা VpnService বাস্তবায়ন করে ও নিজের প্রক্রিয়ায় টানেল তৈরি করে।

val profile = Ikev2VpnProfile.Builder(serverAddress, identity)
    .setAuthUsernamePassword(user, secret, rootCa)
    .build()
getSystemService(VpnManager::class.java).provisionVpnProfile(profile)

উপরের কলটি কপি-পেস্ট ব্লক নয়, কেবল আকৃতির একটা স্কেচ: বিল্ডারের কয়েকটি প্রমাণীকরণ অভারলোড আছে, সেগুলো API স্তর অনুযায়ী আলাদা, আর প্রোফাইল সার্ভার সার্টিফিকেটের বিশ্বাস উপাদানও বহন করে। মালিকানার প্রশ্নে গুরুত্বপূর্ণ অংশটি ব্যাকরণের চেয়ে সংকীর্ণ।

এই নকশা থেকে দুটি বৈশিষ্ট্য আসে। প্রোফাইল হলো ডেটা, তাই প্রশাসক এটি হাতে টাইপ করার বদলে প্রস্তুত করতে পারেন। আর টানেল হলো প্ল্যাটফর্ম নেটওয়ার্ক, তাই অ্যাপগুলো এটিকে VPN পরিবহনযুক্ত নেটওয়ার্ক হিসেবে দেখে, অন্য অ্যাপের সকেট হিসেবে নয়।

মালিকানা প্রথমে ব্যবহারকারী, তারপর প্যাকেজ

Android-এর বহু-ব্যবহারকারী ব্যবস্থা প্রকৃত পৃথকীকরণ, শুধু লেবেল নয়। কাজের প্রোফাইল একটি আলাদা ব্যবহারকারী, যার নিজের ইনস্টল করা প্যাকেজ, নিজের অ্যাপ ডেটা, নিজের কীস্টোর ও নিজের বিশ্বাস অ্যাঙ্কর আছে। দুই জায়গায় ইনস্টল করা একই পণ্য দুটি ভিন্ন ব্যবহারকারী আইডিসম্পন্ন দুটি দৃষ্টান্ত, যদিও লঞ্চার আইকন ও পণ্যের নাম একই।

প্রস্তুতি সেই ব্যবহারকারীর ভেতরে কলিং প্যাকেজের বিপরীতে রেকর্ড হয়। তাই ব্যক্তিগত প্রোফাইলে চলা প্রস্তুতি অ্যাপ ব্যক্তিগত টানেল তৈরি করে, আর কাজের প্রোফাইলের কাজের অ্যাপগুলো এর কিছুই দেখে না। উল্টোটাও সত্য, তাই কাজের প্রোফাইলের টানেল ব্যক্তিগত অ্যাপের কাছে অদৃশ্য, যতক্ষণ স্পষ্ট নীতি অন্যথা না বলে।

ডিভাইস নীতি নিয়ন্ত্রক পরিচালিত প্রোফাইলের পক্ষে প্রস্তুতি করতে পারে, যা অফিসে কেউ তৈরি করার কথা মনে না থাকা এন্ট্রিটির ব্যাখ্যা দেয়। আপনি যদি ফোন অডিট করেন, ধূসর প্রোফাইলের সম্ভাব্য মালিক সে-ই, আর পরীক্ষা হিসেবে এটি মোছা আপনার কাজ নয়।

প্যাকেট চলার আগে তিনটি দরজা

প্রথম দরজা হলো কর্তৃত্ব: ব্যবস্থাপনাকে আদৌ VPN অনুমতি দিতে হবে, আর কিছু স্থাপনা ধরনসহ অস্তিত্বও সীমিত করে। দ্বিতীয়টি পরিচয়: ক্লায়েন্ট সার্টিফিকেট বা প্রমাণপত্র প্রোফাইলের মালিক ব্যবহারকারীর কাছে থাকতে হবে, কারণ ব্যক্তিগত কীস্টোরে আমদানি করা সার্টিফিকেট কাজের প্রোফাইলের কাছে অদৃশ্য।

তৃতীয়টি সম্মতি ও নীতি। ব্যবহারকারী সাধারণত প্রথম ব্যবহারেই সংযোগ অনুমোদন করেন, আর প্রশাসক এটিকে সর্বদা-চালু হিসেবে পিন করতে পারেন, ইচ্ছা হলে লকডাউনসহ যাতে ট্রাফিক টানেলের বাইরে যেতে না পারে। এই সেটিংস ঠিক করে টানেল বন্ধ হলে কী হবে, আর ব্যবহারকারীরা সেটাই লক্ষ্য করেন।

পরিধি হলো তিনটির মিলনস্থল। প্রোফাইল গেটওয়ে ও পরিচয় নির্ধারণ করে, আর নীতি স্তর ঠিক করে কোন অ্যাপ টানেল ব্যবহার করতে পারে এবং ট্রাফিক জোর করে এর ভেতর দিয়ে যায় কি না। তাই একই গেটওয়ে ঠিকানার দুটি ফোন খুব আলাদা আচরণ করতে পারে।

ব্যক্তিগত সংযোগ কাজের অ্যাপ কেন ঢাকে না

কাজের অ্যাপের ট্রাফিক কাজের ব্যবহারকারীতে তৈরি হয়, আর প্রযোজ্য নেটওয়ার্ক নীতি সেই ব্যবহারকারীর। ব্যক্তিগত প্রোফাইলে প্রতিষ্ঠিত টানেল এটি বহন করে না, সূচক যতই সুস্থ দেখাক। এই একটি তথ্যই বেশিরভাগ অভিযোগ ব্যাখ্যা করে, যেখানে ব্যবহারকারী শপথ করেন VPN সংযুক্ত কিন্তু একটি নির্দিষ্ট অ্যাপ এখনো অভ্যন্তরীণ সেবায় পৌঁছাতে পারে না।

নাম সমাধান একই সীমানা অনুসরণ করে। ব্যক্তিগত DNS প্রত্যয় ও বিশ্বাস অ্যাঙ্কর প্রতি ব্যবহারকারীতে থাকে, তাই ব্যক্তিগত প্রোফাইলে সমাধান হওয়া অভ্যন্তরীণ হোস্টনাম কাজের প্রোফাইলে ব্যর্থ হতে পারে, সমতুল্য দেখতে টানেল থাকলেও, কারণ রিজলভার নীতি ও CA স্টোর আলাদা বস্তু।

প্রকৃত নথিভুক্তিতে যাচাই করুন, ল্যাব ফোনে নয়

ডিভাইসে প্রথমে এন্ট্রির মালিক চিনুন: কোন ব্যবহারকারী, কোন প্যাকেজ, আর প্রোফাইলটি প্ল্যাটফর্ম প্রস্তুতকর্তা না নিজস্ব VPN সেবা বাস্তবায়নকারী অ্যাপ থেকে এসেছে। তারপর নিশ্চিত করুন প্রোফাইল যে পরিচয় আশা করে তা ওই ব্যবহারকারীর কীস্টোরে সত্যিই আছে।

শুধু সংযোগ নয়, জীবনচক্র পরীক্ষা করুন। সাইন ইন করুন, প্রমাণপত্র স্টোর খুলুন, কাজের প্রোফাইলকে সন্ধ্যার জন্য বিরতি দিন, তারপর ফিরিয়ে এনে দেখুন টানেল হাতে চাপ না দিয়েই ফিরে আসে কি না। কাজের সময়ের পরে বন্ধ হওয়া প্রোফাইল তার টানেল সঙ্গে নিয়ে যায়, আর এটি ত্রুটি নয় প্রত্যাশিত আচরণ, যদি প্রত্যাশিত অনুপলব্ধ অবস্থা লিখিত থাকে।

শেষে কাজের অ্যাপটি নিজেই একটি পরিচিত অভ্যন্তরীণ এন্ডপয়েন্টের বিপরীতে পরীক্ষা করুন এবং ব্যক্তিগত প্রোফাইলের ফলাফলের সাথে তুলনা করুন। দুটি আলাদা হতে পারে; যা আলাদা হতে পারবে না তা হলো মালিকানার মডেল। টানেল ভুল ব্যবহারকারীর হলে সার্টিফিকেট পুনরায় ইস্যু করে তা ঠিক হবে না।

মেনু প্রকাশ করতে লুকানো সেটিংস অ্যাক্টিভিটি চালিয়ে জোর করবেন না, আর সংযোগ দেখাতে প্রোফাইলের মধ্যে ব্যক্তিগত কী কপি করবেন না। VpnManager রেফারেন্স নথিভুক্ত করে কলকারী কী প্রস্তুত করতে পারে; অনুমোদিত পথে আপনার ক্ষেত্রটি না থাকলে সেটি প্রশাসকের সিদ্ধান্ত, সেটিংসের সমস্যা নয়।