পুরো অ্যাকাউন্ট নিষ্ক্রিয় না করে VPN থেকে একটি ডিভাইস ব্লক করুন

একজন কর্মী, দুটি ল্যাপটপ, এবং তাদের মধ্যে কেবল একটিকে অ্যাক্সেস হারাতে হবে। অ্যাকাউন্ট নিষ্ক্রিয় করা হলো সুস্পষ্ট লিভার, কিন্তু এটি ভুল পরিধিকে শাস্তি দেয়, আর এন্ডপয়েন্টে সংরক্ষিত প্রোফাইল মুছে ফেলা নিয়ন্ত্রণ নয়, একটি প্রস্তাব। সিদ্ধান্ত তিনটি শর্তে নেমে আসে: VPN যাচাই করতে পারে এমন কোনো ডিভাইস পরিচয় আছে কি না, এই নির্দিষ্ট সংযোগটি সত্যিই তা মূল্যায়ন করে কি না, এবং ব্যক্তির বদলে ডিভাইসটির কী হওয়া উচিত বলে আপনি চান। সেই ক্রমে উত্তর দিন, এবং প্রয়োগ সাধারণত নিজেই বেছে নেয়।

প্রথম শর্ত: VPN যাচাই করতে পারে এমন ডিভাইস-প্রমাণ আছে কি?

সোর্স ঠিকানা অফিস NAT-এর পেছনে ভাগ করা থাকে এবং মোবাইল নেটওয়ার্কে বদলে যায়। হোস্টনেম হলো ডিভাইস যা দাবি করে, MAC ঠিকানা সহজেই জাল করা যায়, আর রেজিস্ট্রি মান স্থানীয় অধিকার থাকা যেকোনো কিছু লিখতে পারে। এর কোনোটিই পরিচয় নয়, যতক্ষণ না কিছু তা যাচাই করে। আলাদাভাবে নথিভুক্ত ডিভাইস ক্রেডেনশিয়াল, যেমন ওই এন্ডপয়েন্টকে ইস্যু করা সার্টিফিকেট, একমাত্র বিকল্প যা বাতিলকরণকে ব্যবহারকারী অ্যাকাউন্টের চেয়ে সংকীর্ণ লক্ষ্য দেয়।

ক্রেডেনশিয়াল তখনই গণ্য হয় যখন সংযোগটি তা দিয়ে প্রমাণীকরণ করে এবং প্রতিটি প্রচেষ্টায় চেইন যাচাই করে। মেশিনের স্টোরে পড়ে থাকা একটি ফাইল কিছুই প্রমাণ করে না।

দ্বিতীয় শর্ত: এই সংযোগটি কি তা মূল্যায়ন করে?

এন্ডপয়েন্ট বৈশিষ্ট্য সর্বজনীন নয়। ASA-তে Cisco-র ASDM DAP নির্দেশিকা ব্যবহারকারীর AAA তথ্যকে এন্ডপয়েন্ট মূল্যায়ন বৈশিষ্ট্য থেকে আলাদা করে, এবং কোন বৈশিষ্ট্য পাওয়া যায় তা নির্ভর করে ব্যবহৃত রিমোট-অ্যাক্সেস প্রোটোকল, স্থাপিত পোস্টিউর টুলিং এবং লাইসেন্সের উপর। রেজিস্ট্রি পরীক্ষার জন্য সমর্থিত সংগ্রহ পথ দরকার, এবং তখনও এটি জানায় এন্ডপয়েন্ট টুল কী দেখেছে, আপনি যে মেশিনটিকে বিশ্বাস করেন সেটিই এই মেশিন, তা নয়।

তাই ব্যবহারিক প্রশ্ন সংকীর্ণ: এই টানেলে, এই ক্লায়েন্ট ও এই পোস্টিউর এজেন্টের সাথে কোন বৈশিষ্ট্যটি ভরাট ও বিশ্বাসযোগ্য অবস্থায় আসে? উত্তর যদি কোনোটিই না হয়, তবে তার বিরুদ্ধে লেখা নীতি কিছুই মেলাবে না বা সবকিছু মেলাবে, এবং দুই ফলাফলই আপনার এড়ানো অ্যাকাউন্ট-লকের চেয়ে খারাপ।

তৃতীয় শর্ত: প্রত্যাখ্যান, প্রতিকার, নাকি সংকীর্ণ অ্যাক্সেস?

তিনটি ফলাফল পাওয়া যায় এবং এগুলি বিনিময়যোগ্য নয়। আপনি সেশন বন্ধ করতে পারেন, যা অ্যাক্সেস সম্পূর্ণ সরিয়ে দেয়; ডিভাইসটিকে কোয়ারেন্টাইনে রেখে এমন অবস্থায় আনতে পারেন যেখানে এটি কেবল প্রতিকার সম্পদে পৌঁছায়; অথবা সেশন চালু রেখে এর রিসোর্স ACL কমিয়ে ওই ডিভাইসের এখনও প্রয়োজনীয় কয়েকটি জিনিসে নামিয়ে আনতে পারেন। DAP সেশন অ্যাকশন ও রিসোর্স ACL ভিন্ন প্রশ্নের উত্তর দেয়, তাই পছন্দটি হলো ব্যক্তিকে কতটা পার্শ্বক্ষতি সহ্য করতে হবে তা নিয়ে।

হারানো বা চুরি যাওয়া ল্যাপটপের জন্য উত্তর সাধারণত বন্ধ করা। পোস্টিউর পরীক্ষায় ব্যর্থ মেশিনের জন্য প্রতিকার বেশি সহানুভূতিশীল এবং সমানভাবে কার্যকর।

প্রমাণ না থাকলে কী হবে তা ঠিক করুন

ডিফল্ট পথটি ভালো ক্ষেত্রের জন্য লেখা নিয়মের চেয়ে বেশি গুরুত্বপূর্ণ। প্রত্যাশিত বৈশিষ্ট্য যদি কখনও না আসে কারণ পোস্টিউর এজেন্ট নষ্ট, তবে তা বাধ্যতামূলক করা নীতি এমন ডিফল্টে পড়ে যেতে পারে যা সেশন গ্রহণ করে। ডিফল্ট ফলাফল পড়ুন এবং অনুপস্থিত-প্রমাণ ক্ষেত্রটি ইচ্ছাকৃতভাবে পরীক্ষা করুন, কারণ এজেন্ট সরিয়ে দেওয়া আক্রমণকারী যে অবস্থা উপস্থাপন করবে সেটিই তা।

মিলে যাওয়া একাধিক DAP রেকর্ড সাধারণ প্রথম-মিল ক্রমে সমাধান না হয়ে একত্রিত হয়, এবং তাদের ACL অগ্রাধিকার রেকর্ড নির্বাচন থেকে আলাদা প্রক্রিয়া। কঠোর রেকর্ড জেতে, এমন ধরে নেওয়ার আগে নির্দেশিকার একত্রীকরণের বর্ণনা পড়ুন।

ইতিমধ্যে থাকা সেশন সামলান, তারপর দুই ডিভাইস পরীক্ষা করুন

ভর্তি নিয়ম বদলানো বা ক্রেডেনশিয়াল বাতিল করা বর্ণনা করে না ইতিমধ্যে প্রতিষ্ঠিত ও ট্রাফিক চলাচলকারী সেশনের কী হবে। তাৎক্ষণিক অপসারণ প্রয়োজন হলে পরবর্তী পুনঃসংযোগের অপেক্ষা না করে বাস্তবায়নের সমর্থিত সেশন বন্ধকরণ ও পুনর্মূল্যায়ন পদ্ধতি অনুসরণ করুন। এটি ঘটনার সময় সবচেয়ে বেশি বাদ পড়া ধাপ, এবং এটিই নীতি ও ফলাফলের পার্থক্য।

অনুমোদিত পরীক্ষার অধীনে দুই মেশিনে একই অনুমোদিত ব্যবহারকারী দিয়ে পরীক্ষা করুন। ব্লক করা ডিভাইসের ঠিক ইচ্ছাকৃত প্রত্যাখ্যান বা প্রতিকার ফলাফল পাওয়া উচিত, আর অন্যটির কেবল তার অনুমোদিত রিসোর্স রাখা উচিত। এটি ব্যক্তির অন্য অনুমোদিত অ্যাক্সেস বাতিল না করেই ডিভাইস সীমা যাচাই করে।

যদি আপনি এই দুই ফলাফল আলাদা করতে না পারেন, সমস্যা নীতিতে নয়, প্রমাণে, এবং কোনো নিয়ম-সমন্বয় তা ঠিক করবে না।