Cisco Secure Client Always-On: আগে প্রোফাইলটি স্থাপন করুন
Cisco Secure Client Always-On-এ প্রয়োগের আগেই এন্ডপয়েন্ট প্রোফাইল থাকা দরকার: লগইনের আগের পরিসর, ডেলিভারি, ব্যর্থতার নীতি ও বিশ্বস্ত নেটওয়ার্ক যাচাই করুন।
ডিভাইসের দিকের সেটিংস একটি অনিবন্ধিত ল্যাপটপকে ম্যানেজড এন্ডপয়েন্টের মতো আচরণ করতে বাধ্য করতে পারে না, এবং বেশিরভাগ Always-On রোলআউট ঠিক এই ফাঁকেই আটকে যায়। Cisco Secure Client মেশিনে থাকা প্রোফাইলের মাধ্যমে নীতি প্রয়োগ করে, তাই সেই প্রোফাইল পৌঁছে দেওয়া প্রয়োগ-পরিকল্পনার একটি অংশ, তার খুঁটিনাটি নয়। নিচের পাঁচটি ধাপ ক্রমানুসারে শেষ করুন এবং যে ধাপটি মেলে না সেখানেই থামুন, কারণ পরের ধাপ আগের ফাঁক পূরণ করতে পারে না।
প্রথম ধাপ: নিয়মটি লগইনের আগে শুরু হয় কি না তা ঠিক করুন
Always-On ব্যবহারকারী লগইন করার পরে টানেল স্থাপন করে, এবং প্রস্তুতকারকের নথিতে স্পষ্ট বলা আছে যে কেউ লগইন না করলে এটি সংযোগ স্থাপন করে না। আপনার প্রয়োজনীয়তা যদি Windows লগইন স্ক্রিনের আগে বিদ্যমান টানেল হয়, তবে এটি ভুল বৈশিষ্ট্য এবং প্রোফাইল টিউনিংয়ের কোনো পরিমাণই তা বদলায় না। প্রোফাইল আগে থেকে স্থাপন করা লগইন-পরবর্তী আচরণকে লগইন-পূর্ব আচরণে রূপান্তরিত করে না।
প্রয়োজনীয়তাটি চারটি পৃথক আচরণের একটি হিসেবে লিখুন, তারপর প্রতিটি আলাদাভাবে পরীক্ষা করুন। একটি সফল সংযোগ কেবল সাধারণ ক্ষেত্রটিই দেখায়, আর বাকি তিনটিই সাপোর্ট টিকেটের উৎস। আপনার প্রয়োজনীয়তার আসলে কোন সারিটি দরকার তা চিহ্নিত করুন, কারণ যে দলটির কেবল লগইন-পরবর্তী আচরণ দরকার তারা লগইন-পূর্ব তর্ক বাদ দিতে পারে। সারণিটি গ্রহণযোগ্যতার তালিকা, ইচ্ছার তালিকা নয়।
| Behaviour | What you are proving |
|---|---|
| First use on a new machine | The profile arrived before any user connection |
| After logon | The tunnel starts without the user opening the client |
| Trusted network entry | The client stays off where it should |
| Tunnel cannot establish | The failure policy does what you decided |
প্রয়োজনীয়তা যদি কেবল দ্বিতীয় সারি হয়, এই পাতার বাকি অংশ তখনও প্রযোজ্য, তবে গ্রহণযোগ্যতা পরীক্ষা সস্তা।
দ্বিতীয় ধাপ: প্রোফাইলটি ইতিমধ্যে এন্ডপয়েন্টে আছে কি না নিশ্চিত করুন
প্রয়োগ একটি স্থানীয় প্রোফাইল পড়ে, তাই প্রথম প্রশ্ন হলো ব্যবহারকারী সংযোগ করার আগেই সেই ফাইলটি আছে কি না। প্রথম সফল সংযোগের সময় ডাউনলোড করা প্রোফাইল এমন মেশিনের জন্য খুব দেরিতে পৌঁছায় যাকে প্রথম লগইন থেকেই সুরক্ষিত রাখতে হবে। এটি ইনস্টলারের সঙ্গে বা এন্ডপয়েন্ট ম্যানেজমেন্টের সঙ্গে পাঠান, এবং ফাইলটির উপস্থিতিকে আশা নয়, বিল্ড-যাচাই হিসেবে ধরুন।
Get-Service vpnagent | Select-Object Status, StartType
Get-ChildItem 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile'
Get-Content 'C:\ProgramData\Cisco\Cisco Secure Client\VPN\Profile\profile.xml' | Select-String -Pattern AlwaysOnপুরোনো AnyConnect ইনস্টলেশন একই ফাইল ভিন্ন নামের ফোল্ডারে রাখে, তাই পুরোনো রানবুক থেকে পথ কপি না করে আপনার স্থাপন করা ক্লায়েন্ট সংস্করণের পথ যাচাই করুন. সার্ভিসটি চালু থাকতে হবে এবং স্বয়ংক্রিয় শুরুতে সেট থাকতে হবে, কারণ বন্ধ এজেন্ট প্রোফাইল যা-ই বলুক, একটি অ-প্রয়োগকৃত এন্ডপয়েন্ট।
প্রোফাইল না থাকলে এখানেই থামুন। যে মেশিনে প্রোফাইল নেই তার জন্য ব্যর্থতার নীতি বা বিশ্বস্ত নেটওয়ার্কের তালিকা ঠিক করা এমন পথে কাজ, যা কখনও চলে না।
তৃতীয় ধাপ: ব্যর্থতার আচরণ সচেতনভাবে বেছে নিন
টানেল উঠতে না পারলে কী হবে, তা টানেল স্বয়ংক্রিয়ভাবে শুরু হয় কি না থেকে আলাদা সিদ্ধান্ত। সংযোগ-ব্যর্থতার নীতি ঠিক করে স্থাপন ব্যর্থ হতে থাকার সময় এন্ডপয়েন্ট ইন্টারনেট ব্যবহার করতে পারবে কি না, এবং এই দুটি সেটিং প্রায়ই গুলিয়ে যায় কারণ দুটিই Always-On অপশনের কাছে থাকে। একটি সচেতনভাবে বেছে নিন এবং কারণ লিখে রাখুন।
সব সংযোগ বন্ধ করা কঠোর শোনায় এবং নিজস্ব ধরনের ঘটনা তৈরি করে: যে নেটওয়ার্কে গেটওয়ে পৌঁছানো যায় না সেখানে থাকা ব্যবহারকারী সেই সমাধান ডাউনলোড করতে পারে না যা সার্ভিস ফিরিয়ে আনত। ইন্টারনেট অ্যাক্সেস অনুমোদন করলে মেশিনটি ব্যবহারযোগ্য থাকে এবং ট্রাফিক সুরক্ষিত থাকার নিশ্চয়তা দুর্বল হয়। যেকোনো উত্তর সঠিক হতে পারে, কিন্তু কোনোটিই এমন ডিফল্ট নয় যা বিভ্রাটের সময় আবিষ্কার করা উচিত।
পুনরায় চেষ্টার আচরণ একই সিদ্ধান্তের অংশ। যে ক্লায়েন্ট অনন্তকাল চেষ্টা করে সে নষ্ট গেটওয়েকে মনিটরিং থেকে লুকায়, আর যে ক্লায়েন্ট এক চেষ্টার পর হাল ছেড়ে দেয় সে ব্যবহারকারীর কাছে নষ্ট দেখায়। ব্যর্থতার নীতি দায়িত্ব নেওয়ার আগে এন্ডপয়েন্ট কতক্ষণ চেষ্টা করবে তা ঠিক করুন এবং ধরে নেওয়ার বদলে সেই সময় পরীক্ষা করুন।
চতুর্থ ধাপ: কী বিশ্বস্ত হিসেবে গণ্য হবে তা নির্ধারণ করুন
বিশ্বস্ত নেটওয়ার্ক শনাক্তকরণ ক্লায়েন্ট প্রোফাইলের মানদণ্ড, যেমন কনফিগার করা DNS ডোমেইন বা বিশ্বস্ত DNS সার্ভার, ব্যবহার করে সিদ্ধান্ত নেয় যে এন্ডপয়েন্ট ইতিমধ্যে এমন নেটওয়ার্কে আছে যেখানে টানেল অপ্রয়োজনীয়। সেই তালিকাই পুরো নীতি, তাই খালি বা উত্তরাধিকারসূত্রে পাওয়া তালিকা বৈশিষ্ট্যটিকে হয় নিষ্ক্রিয়, নয়তো অপ্রত্যাশিত করে তোলে।
Windows ফায়ারওয়ালের নেটওয়ার্ক শ্রেণি সম্পর্কে অনুমান দিয়ে এটি প্রতিস্থাপন করবেন না। একটি মেশিন ডোমেইন-ট্যাগযুক্ত নেটওয়ার্কে থেকেও এমন জায়গায় থাকতে পারে যেখানে আপনি আস্থা রাখেন না, আর পাবলিক প্রোফাইলের মেশিন আপনার নিজের ভবনের ভেতরেও থাকতে পারে। শনাক্তকরণের মানদণ্ড আপনার নেটওয়ার্কগুলোকে সরাসরি বর্ণনা করুক, তাদের বিকল্প নয়।
উভয় দিকেই রূপান্তর পরীক্ষা করুন, যার মধ্যে আছে সেশন খোলা থাকার সময় এন্ডপয়েন্ট বিশ্বস্ত থেকে অবিশ্বস্ত নেটওয়ার্কে যাওয়ার ক্ষেত্রটি। বিচ্ছিন্ন হওয়া ও পুনরায় সংযুক্ত হওয়া আলাদা ঘটনা, এবং যে নীতি কেবল প্রথমটি সামলায় সে এমন একটি জানালা রেখে যায় যেখানে টানেল অনুপস্থিত।
পঞ্চম ধাপ: এন্ডপয়েন্ট নীতি ফিরিয়ে নেওয়া কঠিন করুন
এন্ডপয়েন্টে প্রয়োগ এন্ডপয়েন্টের নিজস্ব নিয়ন্ত্রণের মতোই শক্তিশালী। স্থানীয় প্রশাসকের অধিকার ব্যবহারকারীকে এজেন্ট সার্ভিস বন্ধ করতে, প্রোফাইল বদলাতে বা ক্লায়েন্ট আনইনস্টল করতে দেয়, এবং যে প্রোফাইল ফোল্ডারে সাধারণ ব্যবহারকারীরা লিখতে পারে তা এমন নীতি যা যে কেউ সম্পাদনা করতে পারে। দুটোই এন্ডপয়েন্ট-ম্যানেজমেন্ট সমস্যা যা VPN হেডএন্ড আপনার হয়ে সমাধান করতে পারে না। প্রয়োগের প্রতিশ্রুতি দেওয়ার আগে ডেস্কটপ দলকে জিজ্ঞাসা করুন এই দুটি অবস্থার কোনটি প্রযোজ্য, এবং উত্তরটি রোলআউট পরিকল্পনায় লিখুন।
পুনরুদ্ধারের পথ সামনে রেখে লকডাউনের মাত্রা ঠিক করুন। যে প্রোফাইল ব্যবহারকারীকে ইন্টারনেটে পৌঁছাতে বাধা দেয় এবং ক্লায়েন্ট মেরামত থেকেও বিরত রাখে, তা সাপোর্ট কলকে সাইট ভিজিটে পরিণত করে, তাই টানেল চালু থাকার উপর নির্ভর করে না এমন একটি নথিভুক্ত পুনরুদ্ধার পথ রাখুন।
গেটওয়ের সার্টিফিকেট যাচাই চালু রাখুন, এবং প্রোফাইল কেবল আপনার আস্থাভাজন চ্যানেল দিয়েই বিতরণ করুন। লকডাউন করা ক্লায়েন্ট যদি অপ্রত্যাশিত উৎস থেকে প্রোফাইল গ্রহণ করে, তবে সে প্রয়োগ না করে বরং বিশ্বাসের সীমা সরিয়ে ফেলেছে।