Firebox ভূরলোকেশন প্রত্যাখ্যান: আগে VPN প্রবেশের ধাপ খুঁজুন

অন্য দেশে থাকা কেউ সংযোগ করতে পারছে না, আর প্রথম প্রবণতা হলো অভ্যন্তরীণ সম্পদে প্রবেশাধিকার দেওয়া নিয়মটির দিকে তাকানো। ওই নিয়মটি অনুমোদনের পরে চলে, তাই টানেলটি প্রত্যাখ্যানকারী জিনিস এটি হতে পারে না। ব্লককারী ধাপটি প্রবেশ পথের কোথাও একটি জায়গায়, এবং VPN পরিষেবার উপর নির্ভর করে Firebox-এর একাধিক প্রবেশ পথ রয়েছে। যাচাইগুলো ক্রমানুসারে করুন এবং যার একটি প্রত্যাখ্যান ব্যাখ্যা করলেই থামুন।

যাচাই 1: আগত পরিষেবাটির নাম দিন

SSL-সহ Mobile VPN, Access Portal এবং TLS-এর উপর BOVPN-এর ক্ষেত্রে আগত প্রবেশ হলো WatchGuard SSLVPN নীতি। নির্ধারিত সীমাবদ্ধতা সেখানেই, প্রকৃত কনফিগার করা পরিষেবার উপর প্রয়োগ করুন, পরে চলা ব্যবহারকারী-প্রবেশাধিকার নিয়ম থেকে অনুমান করার বদলে।

IPsec ভিন্ন পথ নেয়। অন্তর্নির্মিত IPSec নীতি প্রযোজ্য শাখা ও মোবাইল VPN পরিষেবার জন্য বাহ্যিক IPsec ট্রাফিককে Firebox-এ অনুমোদন দেয়, এবং এটি হাতে তৈরি IPSec নীতির উপর অগ্রাধিকার পায়। আপনার ক্লায়েন্ট যদি IKEv2 হয়, আপনি সেই দ্বিতীয় পথে আছেন, আর SSLVPN নীতি অপ্রাসঙ্গিক।

এখানে ভুল করা এই ক্ষেত্রের সবচেয়ে সাধারণ নষ্ট করা বিকেল: এমন নীতি সম্পাদনা করা যা কখনো প্যাকেটটি দেখে না, তারপর সিদ্ধান্তে আসা যে সীমাবদ্ধতা কাজ করে না।

যাচাই 2: তত্ত্ব নয়, প্রত্যাখ্যানটি পড়ুন

একটি নিয়ন্ত্রিত অনুমোদিত প্রচেষ্টা করুন এবং চারটি জিনিস মিলিয়ে দেখুন: ক্লায়েন্টের সর্বজনীন উৎস ঠিকানা, এটি যে প্রবেশ পরিষেবায় পৌঁছেছে, যে নীতি মিলেছে, এবং লগে থাকা যেকোনো প্রত্যাখ্যানের কারণ। WatchGuard-এর IKEv2 সমস্যা সমাধান নির্দেশিকা উল্লেখ করে যে ভূরলোকেশন ও ডিফল্ট প্যাকেট হ্যান্ডলিং অন্তর্নির্মিত নীতি অনুমোদনের আগেই ট্রাফিক প্রত্যাখ্যান করতে পারে, অর্থাৎ আপনি যে প্রত্যাখ্যান দেখছেন তা এমন একটি ধাপের নাম বলতে পারে যা আপনি বিবেচনা করেননি।

দেশ শ্রেণীবিভাগ পর্যবেক্ষিত নেটওয়ার্ক উৎস অনুসরণ করে। রোমিং ব্যবহারকারী, উপরের NAT বা ভিন্ন অনুমোদিত পথ Firebox যা দেখে তা বদলে দিতে পারে, তাই ব্যবহারকারীর নিজের অবস্থান বর্ণনার বদলে ঠিকানাটি নিশ্চিত করুন। ক্লায়েন্ট যে সর্বজনীন ঠিকানা দেখে তা চান, এবং Firebox লগের উৎসের সঙ্গে মিলিয়ে দেখুন। যখন দুটি আলাদা হয়, শ্রেণীবিভাগ এমন একটি পথ অনুসরণ করছে যা কেউ উল্লেখ করেনি।

যাচাই 3: অন্তর্নির্মিত নীতিই কি এখনো মালিক?

হাতে তৈরি IPSec নীতি উপেক্ষিত হচ্ছে বলে মনে হলে দেখুন অন্তর্নির্মিতটি এখনো চালু আছে কি না। উচ্চতর অগ্রাধিকারের অন্তর্নির্মিত নিয়মে ছায়াচ্ছন্ন একটি হাতের নিয়ম আর একমাত্র অনুমোদন যে হাতের নিয়ম, এগুলো দেখতে একই রকম ইন্টারফেসযুক্ত ভিন্ন কনফিগারেশন।

কোনটি পথটির মালিক হবে তা ঠিক করুন। যদি হাতের নীতিটি হয়, তবে সেই ট্রাফিকের জন্য অন্তর্নির্মিতটি নিষ্ক্রিয় করতে হবে, আর সেখান থেকেই পরের যাচাই শুরু।

যাচাই 4: নিষ্ক্রিয় করার আগে প্রতিস্থাপনের পরিকল্পনা করুন

অন্তর্নির্মিত IPSec নীতি নিষ্ক্রিয় করলে আক্রান্ত VPN পরিষেবাগুলোর জন্য তার অনুমোদন সরে যায়। এর মধ্যে শাখা টানেলও রয়েছে যা এক মোবাইল ব্যবহারকারীর সংযোগ ঠিক করার সময় আপনি ভাবছেন না।

আগে সম্পূর্ণ প্রতিস্থাপনের পরিকল্পনা করুন: কোন পরিষেবাগুলোর অনুমোদন দরকার, তারা কোন উৎস পরিসর পাবে, এবং পরিবর্তন খারাপ হলে আপনি বক্সটি কীভাবে পরিচালনা করবেন। স্বাধীন ব্যবস্থাপনা ও পুনরুদ্ধার পথ খোলা রাখুন, কারণ এখানে একটি ভুল আপনি যা ঠিক করতে ব্যবহার করতেন সেই টানেলটিই সরিয়ে দিতে পারে। পরিবর্তন রেকর্ডে পুনরুদ্ধারের ধাপ লিখুন, VPN পথ না থাকলে বক্সে কীভাবে পৌঁছাবেন তাও সহ। তারপর শুধু প্রথম সংযোগ নয়, নবীকরণও পরীক্ষা করুন।

সক্রিয় সংযোগ এবং পরবর্তী পুনর্বিবেচনা দুটোই অনুমোদনের উপর নির্ভর করতে পারে। যে পরিবর্তন আপনার পরীক্ষিত সেশনে কাজ করে আর পরের কী পরিবর্তনে ব্যর্থ হয়, তা নবীকরণ পরীক্ষা না করে অনুমোদন প্রতিস্থাপনের চিরাচরিত ফল।

যাচাই 5: পরিচয়কে অবস্থান থেকে আলাদা রাখুন

ভূরলোকেশন প্রবেশ সিদ্ধান্তে প্রসঙ্গ যোগ করে। এটি ব্যবহারকারী কে তা প্রতিষ্ঠা করে না, এবং গেটওয়ে পরিচয় যাচাই, অ্যাকাউন্ট অনুমোদন বা MFA-এর বিকল্প হওয়া উচিত নয়।

ব্যবসায়িক প্রয়োজন যদি কেবল অনুমোদিত জায়গা থেকে অনুমোদিত ব্যবহারকারী হয়, তবে আপনার দুটি নিয়ন্ত্রণই দরকার। একটি সম্পূর্ণ দেশ অনুমোদনকারী অবস্থান নিয়ম প্রমাণীকরণের বিকল্প নয়, আর অবরুদ্ধ দেশে প্রমাণীকৃত ব্যবহারকারী একটি নীতি প্রশ্ন, বাগ নয়।

যাচাই 6: এটি লিখে রাখুন এবং দুই পথই যাচাই করুন

পরিষেবা, প্রবেশ নীতি, অভিপ্রেত অবস্থান পরিসর, ব্যতিক্রম এবং পুনরুদ্ধারের দায়িত্বশীল লিখে রাখুন। তারপর পরিবর্তনের পরে মোবাইল পথ এবং অন্তত একটি সাইট পথ পরীক্ষা করুন, যাতে সীমাবদ্ধতা যে পরিষেবার জন্য তৈরি তা সেখানেই আবদ্ধ থাকে।

শেষে, যে প্রত্যাখ্যান দিয়ে শুরু করেছিলেন তা আবার পড়ুন। যদি তা অবস্থান প্রত্যাখ্যান থেকে প্রমাণীকরণ বা অনুমোদন ব্যর্থতায় বদলে থাকে, তবে প্রবেশ সমস্যা সমাধান হয়েছে এবং এখন অন্য একটি সমস্যা দেখা যাচ্ছে। উপরে বর্ণিত ধাপের ক্রমের জন্য IKEv2 প্রত্যাখ্যানে WatchGuard-এর নির্দেশিকা হলো তথ্যসূত্র।