AnyConnect-এর অবিশ্বস্ত সার্ভার সতর্কতা: গ্রহণ করবেন নাকি আমদানি করবেন?

আপনি AnyConnect-এ গেটওয়ের হোস্টনেম পেস্ট করেন, উইন্ডোটি লাল বা সাদা হয়ে যায়, এবং একটি ডায়ালগ জিজ্ঞাসা করে যে এমন সার্ভারকে বিশ্বাস করবেন কি না যার সার্টিফিকেট ক্লায়েন্ট যাচাই করতে পারে না। স্বাভাবিক পদক্ষেপ হলো ক্লিক করে কাজ শুরু করা, আর সেটাই ঠিক ভুল প্রবণতা। উত্তরটি ওই মেশিনে ক্লায়েন্টের পছন্দে লেখা হয় এবং পরবর্তী সংযোগেও প্রযোজ্য হয়, তাই ডায়ালগটি এককালীন সতর্কতার পোশাক পরা একটি কনফিগারেশন সিদ্ধান্ত। ক্লায়েন্ট যে ক্রমে দেখায়, সেই ক্রমেই আমার পথটি এই।

আপনি যে সতর্কতাটি আসলে দেখছেন, সেখান থেকেই শুরু করুন

লাল ও সাদা কোনো সৌন্দর্য-ভেদ নয়। লাল সতর্কতার অর্থ প্রোফাইল বা পছন্দটি অবিশ্বস্ত সার্ভার ব্লক করার জন্য সেট করা, তাই ক্লায়েন্ট ওই সেটিং না বদলালে এগোতে অস্বীকার করে; সাদা সতর্কতার অর্থ আপনি স্পষ্টভাবে উত্তর দিলে এটি আপনাকে এগোতে দেবে। তৃতীয় একটি ক্ষেত্র দেখতে একই রকম কিন্তু আচরণ আলাদা: মেয়াদোত্তীর্ণ সার্টিফিকেট, যা ক্লায়েন্ট আমদানির প্রস্তাবই দেবে না, কারণ আমদানি করলে সেটি বৈধ হয়ে যাবে না। তিনটি আলাদা করতে এক সেকেন্ড লাগে এবং এর পরের সবকিছু তা-ই নির্ধারণ করে।

এদের সবের পেছনে একটি ছোট কারণ-তালিকা আছে: স্ব-স্বাক্ষরিত গেটওয়ে সার্টিফিকেট, এমন একটি প্রাইভেট CA যা এন্ডপয়েন্ট বিশ্বাস করে না, অথবা সার্টিফিকেটের subject alternative names-এ অনুপস্থিত হোস্টনেম। তিনটির যেকোনোটি একই ডায়ালগ তৈরি করে এবং আলাদা সমাধান দরকার।

ডায়ালগের উত্তর দেওয়ার আগে সার্টিফিকেট পড়ুন

সতর্কতা থেকে সার্টিফিকেটের বিস্তারিত খুলুন এবং কোনো বোতামে হাত দেওয়ার আগে তিনটি ক্ষেত্র দেখুন। subject ও SAN-এ আপনার প্রকৃতপক্ষে পৌঁছাতে চাওয়া গেটওয়ের নাম থাকা উচিত, ইস্যুয়ার হওয়া উচিত আপনার প্রতিষ্ঠান যে CA চালায় সেটি, এবং বৈধতার তারিখগুলো আজকে ঢেকে রাখা উচিত। তারপর SHA-256 ফিঙ্গারপ্রিন্টটি এই সংযোগের বাইরে থেকে পাওয়া একটি কপির সঙ্গে মিলিয়ে দেখুন, অভ্যন্তরীণ ডকুমেন্টেশন পৃষ্ঠা বা টিকিট থেকে, কারণ একই ডায়ালগ থেকে পড়া ফিঙ্গারপ্রিন্ট কিছুই প্রমাণ করে না। স্বাধীন কপি না পেলে ব্যতিক্রমটি গ্রহণ করার কোনো ভিত্তি আপনার নেই।

এটিই সেই ধাপ যা ল্যাবকে প্রোডাকশন গেটওয়ে থেকে আলাদা করে। গতকাল তৈরি করা স্ব-স্বাক্ষরিত সার্টিফিকেটযুক্ত পরীক্ষার বাক্সে ক্লিক করে এগোনো যুক্তিসঙ্গত। কর্পোরেট গেটওয়েতে যেখানে ব্যবহারকারীরা এরপর লগইন তথ্য লেখেন, সেখানে যে সার্টিফিকেট আপনি যাচাই করতে পারেন না তা সম্ভাব্য ইন্টারসেপশন ব্যবস্থা, আর ক্লায়েন্টই একমাত্র উপাদান যা এখনো প্রশ্নটি করছে।

প্রতিটি উত্তর ট্রাস্ট স্টোরে কী লেখে তা জানুন

আমদানির প্রশ্নে হ্যাঁ বললে ওই মেশিনে ক্লায়েন্টের ট্রাস্টেড স্টোরে গেটওয়ের সার্টিফিকেট যোগ হয়। এটি প্রতি-সেশনের ব্যতিক্রম নয়: পরবর্তী সংযোগগুলো একই প্রম্পট ছাড়াই সম্পন্ন হতে পারে, যা উদ্দেশ্যও বটে এবং ঝুঁকিও, কারণ স্ক্রিনে কিছুই কাউকে মনে করায় না যে ব্যতিক্রমটি আছে। না বললে শুধু এই সেশনের জন্য লগইন চলতে থাকে। দুটি পথই আপনাকে সংযুক্ত করে, এবং তাদের একটিই মেশিনটি বদলায়।

আপনি লাল পথে থাকলে প্রথম চেষ্টাটি মোটেই লগইন নয়। নথিভুক্ত ইনপুট ক্রম হলো একটি connect লাইন তারপর দুটি নিশ্চিতকরণ, যা পছন্দ বদলে বেরিয়ে যায়; যে স্ক্রিপ্ট এটি সফল বলে ধরে নেয় সে একটি সেটিং সংরক্ষণ করেছে, কখনো প্রমাণীকরণ করেনি। সার্টিফিকেট আমদানির প্রশ্নটি কেবল পরের চেষ্টাতেই আসে, তাই লোকেরা মনে করে প্রম্পটটি অনিয়মিত।

এই ক্রমটি শুধু আঙুলের জন্য নয়, অটোমেশনের জন্যও গুরুত্বপূর্ণ। যে স্ক্রিপ্ট-উত্তর সবসময় হ্যাঁ বলে, গেটওয়ে বদলানোর পরেও কাজ করতে থাকে, এবং এরপর যে সার্টিফিকেটই আসুক তা বিশ্বাস করতে থাকে।

ক্লায়েন্ট যে ক্রমে জিজ্ঞাসা করে সেই ক্রমে উত্তরগুলো লিখুন

ক্লায়েন্ট সতর্ক করলেও সংযোগ অনুমোদন করলে, উত্তরগুলো নির্দিষ্ট ক্রমে আসে: connect, এগোনোর জন্য হ্যাঁ, তারপর আমদানির প্রশ্ন, তারপর গ্রুপ, ব্যবহারকারীর নাম ও পাসওয়ার্ড। প্রম্পটের সময় অনুমান করার বদলে সেগুলো ইনপুট ফাইলে আলাদা লাইন হিসেবে লিখুন। আমদানি প্রত্যাখ্যান করা একই ফাইলে একটি অক্ষরের পরিবর্তন, এবং যা কিছু তত্ত্বাবধান ছাড়া চলে তার জন্য এটি নিরাপদ ডিফল্ট।

connect vpn2.example.net
y
n
GROUP
LOGIN
PASSWORD

প্রতিটি স্ক্রিপ্টকে লিফ সার্টিফিকেট গ্রহণ করতে শেখানোর বদলে প্রতিষ্ঠানের CA এন্ডপয়েন্টগুলোতে বিতরণ করা ভালো। সঠিক SAN-সহ যথাযথভাবে ইস্যু করা সার্টিফিকেট সবার জন্য প্রম্পটটি সরিয়ে দেয়, যাচাইকে অর্থবহ রাখে, এবং কোনো একটি এন্ডপয়েন্টের সিদ্ধান্তের স্মৃতির ওপর নির্ভর করে না। রুট CA ইনস্টল করা লিফ আমদানির চেয়ে ভারী পরিবর্তন, তাই এটিকে হেল্প-ডেস্কের শর্টকাট নয়, পরিচালিত রোলআউট হিসেবে দেখুন।

যে ব্যতিক্রমগুলো নিজের গেটওয়ের চেয়ে বেশি বাঁচে সেগুলো সরান

AnyConnect এই পছন্দগুলো প্রতি মেশিনে সংরক্ষণ করে, তাই অফিস বদলানো ল্যাপটপে পুরোনো উত্তর জমে। পরিচালিত এন্ডপয়েন্টে সংরক্ষিত পছন্দ ও আমদানি করা সার্টিফিকেট পর্যালোচনা করুন, এবং দেখুন কোনো ব্যতিক্রম এখনো এমন হোস্টনেমের নাম নিচ্ছে কি না যার মালিক বদলেছে। যে পছন্দ যেকোনো অবিশ্বস্ত সার্ভার গ্রহণ করে তা যে সার্টিফিকেটের জন্য তৈরি হয়েছিল তার চেয়ে বিস্তৃত।

যে প্যাটার্নটি রাখা মূল্যবান তা সংকীর্ণ: স্বাভাবিক ব্যবহারের জন্য বিশ্বস্ত সার্টিফিকেট, অস্থায়ী ব্যতিক্রমের জন্য নথিভুক্ত আউট-অব-ব্যান্ড ফিঙ্গারপ্রিন্ট যাচাই, এবং একটি নামযুক্ত মালিক যে মাইগ্রেশন শেষ হলে তা সরিয়ে দেয়। আপনি যদি পরিচালিত কোনো মেশিনে যেকোনো সার্ভার গ্রহণ করার সাধারণ সেটিং পান, তবে এটিকে সুবিধা নয়, একটি অনুসন্ধান হিসেবে দেখুন।