ফেডারেটেড VPN লগইনে ব্রাউজার ধাপে কী ঘটে

আপনি Connect চাপেন, আর পাসওয়ার্ড বক্সের বদলে VPN ক্লায়েন্ট আপনার ব্রাউজার খুলে দেয়। এই হস্তান্তর তাদের বিভ্রান্ত করে যারা ভাবেন টানেল নিজেই প্রমাণ করবে। ব্রাউজার কোনো ঘুরপথ নয়: এখানেই আইডেন্টিটি প্রোভাইডার ব্যক্তিকে সত্যিই প্রমাণ করে, আর ক্লায়েন্ট কেবল ফলাফলের জন্য অপেক্ষা করে।

শুরু থেকে শেষ পর্যন্ত একটি সাইন-ইন অনুসরণ করলে দেখা যায় প্রতিটি ব্যর্থতা কোন ধাপের, আর বেশিরভাগ রানবুক ঠিক এই অংশটাই বাদ দেয়।

গেটওয়ে কনফিগ নয়, ক্লায়েন্ট থেকে শুরু করুন

ক্লায়েন্ট একটি অনুরোধ তৈরি করে এবং সার্ভিস-প্রোভাইডার শনাক্তকারী ও ফেরার ঠিকানা সহ ব্রাউজারকে আইডেন্টিটি প্রোভাইডারের কাছে পাঠায়। এরপর আপনার প্রতিষ্ঠানের IdP যা কনফিগার করা আছে তা চালায়: পাসওয়ার্ড, MFA, ডিভাইস চেক, শর্তসাপেক্ষ অ্যাক্সেস। ব্রাউজারে যদি ইতিমধ্যে বৈধ সেশন থাকে, দৃশ্যমান অংশ এক-দুই সেকেন্ড লাগতে পারে। এই সংক্ষিপ্ততা সেশন পুনর্ব্যবহার, বাদ দেওয়া যাচাই নয়।

অন্য কিছুর আগে ক্লায়েন্টের ফেডারেশন কনফিগে দুটি মান পড়ুন: যে IdP মেটাডেটা বা URL-এ এটি আস্থা রাখে, এবং যে কলব্যাক ঠিকানা এটি প্রত্যাশা করে। সেখানে অমিল থাকলে পাসওয়ার্ড লেখার আগেই ব্যর্থ হয়।

আইডেন্টিটি প্রোভাইডারকে কী ফেরত দিতে হবে

IdP একটি স্বাক্ষরিত SAML প্রতিক্রিয়া দেয় যাতে থাকে অ্যাসারশন: বিষয় কে, কে ইস্যু করেছে, কার জন্য, এবং কতক্ষণ বৈধ। এই ক্ষেত্রগুলোই চুক্তি। ইস্যুয়ার, অডিয়েন্স, প্রাপক ও বৈধতার সময়সীমা—সবই সার্ভিসের প্রত্যাশার সাথে মিলতে হবে।

সঠিক IdP দ্বারা স্বাক্ষরিত কিন্তু ভিন্ন অডিয়েন্সকে সম্বোধন করা প্রতিক্রিয়াও অবৈধ। ল্যাব ও প্রোডাকশনের মধ্যে মেটাডেটা কপি করার সময় মানুষ এই যাচাইটাই বাদ দেয়।

VPN সার্ভিস আপনাকে বিশ্বাস করার আগে কী যাচাই করে

সার্ভিস বিশ্বস্ত সার্টিফিকেটের বিপরীতে স্বাক্ষর যাচাই করে, ইস্যুয়ার, অডিয়েন্স ও প্রাপক পরীক্ষা করে, তারপর সময়ের শর্তাবলি মূল্যায়ন করে। এরপরেই এটি অ্যাসারশনকে ব্যবহারকারী বা গ্রুপে ম্যাপ করে VPN অনুমোদন নীতি প্রয়োগ করে। এখানে প্রমাণীকরণ ও অনুমোদন আলাদা ধাপ, আর মিলযুক্ত গ্রুপ ছাড়া বৈধ অ্যাসারশন এমন সেশন দেয় যা সংযুক্ত হয় কিন্তু কিছুতে পৌঁছায় না।

অ্যাসারশন হলো প্রমাণীকরণের উপাদান, পাসওয়ার্ড নয়। এটি অন্য ক্লায়েন্টে পেস্ট করা বা পরবর্তী পুনঃসংযোগের জন্য রাখা সমর্থিত লগইন নয়।

দুটি আয়ু, যা আলাদাভাবে শেষ হয়

IdP-তে ব্রাউজার সেশন ও গেটওয়েতে VPN সেশন আলাদা ঘড়িতে শেষ হয়। IdP থেকে সাইন আউট করলে প্রতিষ্ঠিত টানেল ভেঙে যায় না, আর টানেল বিচ্ছিন্ন করলে আপনি ব্রাউজার থেকে সাইন আউট হন না।

AWS Client VPN নথিভুক্ত করে যে এর ফেডারেটেড প্রবাহ SAML একক লগআউট সমর্থন করে না, যা এই ফাঁকের একটি নির্দিষ্ট উদাহরণ। সমতা ধরে নেওয়ার বদলে নিজের সার্ভিস পরীক্ষা করুন।

এজন্যই পুনঃসংযোগ 09:00-এ ও 15:00-এ ভিন্নভাবে আচরণ করে। এটি IdP সেশন নীরবে পুনর্ব্যবহার করতে পারে, আবার MFA চাইতে পারে, বা ব্যর্থ হতে পারে কারণ এন্ডপয়েন্ট সেশনের সময় শেষ হয়েছে কিন্তু ব্রাউজার সেশনের হয়নি। AWS ফেডারেশন ওয়ার্কফ্লো নিজের ক্লায়েন্ট ও প্রতিক্রিয়ার প্রয়োজনীয়তা বর্ণনা করে, আর অন্য সার্ভিসগুলো ভিন্ন হস্তান্তর ব্যবহার করে।

ব্রাউজার ধাপ ব্যর্থ হলে এই ক্রমে পরীক্ষা করুন

ব্রাউজার থেকে বাইরের দিকে কাজ করুন, কারণ ত্রুটির বার্তা সাধারণত প্রথম নয়, শেষ হপের নাম বলে।

পৃষ্ঠা কখনো লোড না হলে ক্লায়েন্টের IdP URL বা তার পথ ভুল। IdP অনুরোধ প্রত্যাখ্যান করলে সার্ভিস-প্রোভাইডার শনাক্তকারী বা কলব্যাক তার কনফিগের সাথে মেলে না। ব্রাউজার সফল দেখালেও ক্লায়েন্ট ব্যর্থ হলে প্রতিক্রিয়া ভুল জায়গায় পৌঁছেছে বা অডিয়েন্স ও সময় যাচাইয়ে ব্যর্থ হয়েছে। আর টানেল উঠে কিন্তু অ্যাক্সেস না থাকলে অ্যাসারশন গৃহীত হয়েছে কিন্তু গ্রুপ ম্যাপিং হয়নি।

প্রত্যাশিত পৃষ্ঠা, কলব্যাক ও গ্রুপ ম্যাপিং একটি নথিতে রাখুন। তখন যে ব্যবহারকারী ভাঙা VPN লগইনের কথা জানাবেন, তিনি বলতে পারবেন এই চারটির কোনটি দেখেছেন, আর উত্তর অর্ধেক লেখা হয়ে থাকবে।