VPN-এ গ্রুপ পলিসি নেই? টানেলের আগে সুযোগ পরিসর যাচাই করুন

অফিস নেটওয়ার্কে যা প্রযোজ্য ছিল, ব্যবহারকারী VPN দিয়ে কাজ শুরু করার সপ্তাহেই তা প্রযোজ্য হওয়া বন্ধ করে, আর কেউ প্রতিবেদন খোলার আগেই টানেল দায়ী হয়। গ্রুপ পলিসি নির্ধারণ করে কোন সেটিংস Windows ব্যবহারকারী ও কম্পিউটারে পৌঁছায়, ডোমেইন থেকে উপকরণ আনে এবং ক্লায়েন্ট-সাইড প্রক্রিয়াকরণ চালায়, আর এই তিনটি ধাপ তিনটি ভিন্নভাবে ব্যর্থ হয়। টানেল কেবল বদলায় ক্লায়েন্টের কাছে কোন পথ আছে। যাচাইগুলো ক্রমে চালালে ফাইল-অনুমতির সমস্যাকে রাউটিং সমস্যা হিসেবে তাড়া করা এড়ানো যায়।

টানেল দিয়ে নয়, সেটিং দিয়ে শুরু করুন

একটি প্রত্যাশিত GPO এবং তার ভেতরের একটি নির্দিষ্ট সেটিং লিখুন, তারপর ঠিক করুন সেটিংটি ব্যবহারকারী কনফিগারেশন না কম্পিউটার কনফিগারেশনে আছে। এটি ধরে নেয় অনুমোদিত VPN-এ একটি অনুমোদিত, ডোমেইন-সংযুক্ত Windows ক্লায়েন্ট, কোনো অ-ব্যবস্থাপিত বা শুধু ক্লাউড ডিভাইসকে ডোমেইন সদস্য বানানো নয়। সুযোগ পরিসরের উত্তরই ঠিক করে কে ফলাফল পড়তে পারে এবং উচ্চতর অনুমতি দরকার কি না, তাই কিছু চালানোর আগেই এটি নিষ্পত্তি করুন।

ডোমেইন প্রশাসককে জিজ্ঞাসা করুন কোন লিংক, অবজেক্ট অবস্থান, নিরাপত্তা ফিল্টার ও WMI ফিল্টার কাজে থাকার কথা। পরীক্ষা পাস করানোর জন্য এই নিয়ন্ত্রণগুলো বদলানো ভিন্ন মালিকানার ভিন্ন প্রকল্প।

যে অ্যাকাউন্টের সেটিংটি, সেই অ্যাকাউন্ট দিয়ে প্রতিবেদন পড়ুন

আক্রান্ত ব্যবহারকারীর নিজের সেশনে whoami /user এবং তারপর gpresult /scope user /r চালান। যে অ্যাকাউন্ট VPN প্রমাণ করেছে, সেটিই স্বয়ংক্রিয়ভাবে সেই Windows অ্যাকাউন্ট নয় যার নীতি আপনি পড়ছেন, আর প্রশাসক অ্যাকাউন্ট থেকে চালানো যাচাই ভিন্ন প্রশ্নের উত্তর দেয়। বেসলাইনটি নতুন ফাইলনামে সংরক্ষণ করুন, যেমন %TEMP%\vpn-policy-user-before.html। gpresult রেফারেন্স সুযোগ পরিসর ও আউটপুট সুইচগুলো নথিভুক্ত করে, আর জেনে রাখা ভালো যে প্রতিবেদন তৈরি করলে কিছুই রিফ্রেশ হয় না।

কম্পিউটার নীতির নিজস্ব সুযোগ পরিসর ও অনুমতির প্রসঙ্গ আছে, তাই প্রয়োজনীয় উচ্চতর অনুমতি নিয়ে এটি আলাদাভাবে দেখুন। দুটি পরিসরকে এক প্রতিবেদনে মিলিয়ে ফেলাই ব্যবহারকারী সেটিংকে অনুপস্থিত ঘোষণা করার পথ, যদিও সেটি কখনোই সেই পরিসরে ছিল না।

আবিষ্কার মানেই প্রবেশ নয়: আগে SRV রেকর্ড, তারপর SMB

অনুমোদিত VPN সংযুক্ত থাকলে নিশ্চিত করুন ক্লায়েন্ট নির্ধারিত DNS পথে ডোমেইন কন্ট্রোলার রিজলভ করে; একটি পাবলিক ওয়েবসাইট লোড হওয়া কন্ট্রোলার আবিষ্কার সম্পর্কে কিছুই বলে না। উদাহরণ ডোমেইন corp.example-এর জন্য nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example আপনার সত্যিকারের প্রশ্নের উত্তর দেয়। ফেরত পাওয়া সার্ভিস রেকর্ড কেবল আবিষ্কারের প্রমাণ, কারণ নির্বাচিত কন্ট্রোলারের ঠিকানায় এখনো প্রয়োজনীয় প্রমাণীকরণ ও অনুমোদিত ডিরেক্টরি সেবা নিয়ে পৌঁছাতে হবে। এরপর নীতির উপকরণ আসে SYSVOL থেকে, যা ওই নির্দিষ্ট কন্ট্রোলারের বিরুদ্ধে SMB পাঠ এবং ICMP পরীক্ষা নয়।

দুর্বল প্রমাণকে প্রমাণ ভেবে ভুল করা সহজ। একটি কন্ট্রোলার থেকে ICMP উত্তর, একটি পলিসি টেমপ্লেটের প্রত্যাখ্যাত পাঠের পাশে, এমন একটি প্রতিবেদন তৈরি করে যা দেখতে ফাঁকা লাগে এমন কারণে যা কেউ এখনো যুক্ত করেনি।

ডিপ্লয়মেন্টের AD সেবা অনুমতি, ফেরার পথ ও সময় সমন্বয় সামঞ্জস্যপূর্ণ রাখুন, সেগুলোকে সর্বজনীন ফায়ারওয়াল খোলা বা পাবলিক DNS সার্ভার দিয়ে প্রতিস্থাপন না করে। নীতির ডেটা কন্ট্রোলারদের মধ্যে ভিন্ন হলে সেটি ডিরেক্টরি মালিকের জন্য প্রতিলিপির প্রশ্ন।

এক রিফ্রেশ, দুটি প্রতিবেদন, একটি তুলনা

পথ প্রমাণিত হলে gpupdate /target:user দিয়ে প্রাসঙ্গিক রিফ্রেশ চান এবং ধরে না নিয়ে ফলাফল পড়ুন। ডিফল্ট রিফ্রেশ পরিবর্তিত নীতি প্রয়োগ করে, আর /force পুনরায় প্রয়োগ চায়; কোনোটিই DNS, ফাইল অনুমতি বা ফিল্টারিং মেরামত করে না। কিছু এক্সটেনশন কেবল পরের সাইন-ইনে বা অন্য কোনো ফোরগ্রাউন্ড ইভেন্টে সম্পূর্ণ হয়, তাই একবার চালানোই রায় নয়। রুটিন ডায়াগনস্টিক হিসেবে দূরবর্তী ব্যবহারকারীর সেশনে লগঅফ বা রিবুট সুইচ যোগ করা তিনি যা খোলা রেখেছিলেন তা ফেলে দেয়।

ভিন্ন ফাইলনামে দ্বিতীয় প্রতিবেদন তৈরি করুন এবং প্রক্রিয়াকরণের সময়, প্রত্যাশিত GPO, তার প্রয়োগ বা প্রত্যাখ্যাত অবস্থা এবং সেটিংটি নিজেই তুলনা করুন। আগের সফল সেশনের প্রতিবেদন এই রিফ্রেশ সম্পর্কে কিছুই প্রমাণ করে না। যে নীতি ফিল্টার হয়ে বাদ পড়েছে তা পরিবহনের বদলে প্রযোজ্যতার দিকে ইঙ্গিত করে, যা বদলে দেয় পরের ধাপ কার।

ব্যর্থতাটি একটি একক কার্যকলাপে বাঁধুন

ইভেন্ট ভিউয়ারে সিস্টেম লগে গ্রুপ পলিসি সতর্কতা বা ত্রুটি দিয়ে শুরু করুন, তারপর অ্যাপ্লিকেশন ও সার্ভিস লগের অধীনে GroupPolicy অপারেশনাল লগে যান। সেই অপারেশনাল লগটি এইমাত্র চালানো রিফ্রেশের কার্যকলাপ শনাক্তকারী দিয়ে ফিল্টার করুন, কারণ নতুন রিফ্রেশ নতুন শনাক্তকারী পায় এবং গতকালের ইভেন্টের সঙ্গে মেশালে আত্মবিশ্বাসী কিন্তু ভুল সিদ্ধান্ত আসে। সময়, ব্যবহারকারী বা কম্পিউটার প্রসঙ্গ, নির্বাচিত কন্ট্রোলার, GPO, ত্রুটি কোড এবং ব্যর্থ নির্ভরতা লিখে রাখুন।

এই রেকর্ডটাই এমন যা নিয়ে নেটওয়ার্ক বা ডিরেক্টরি মালিক পদক্ষেপ নিতে পারেন। VPN-এ সংযুক্ত থাকা এবং gpupdate কয়েকবার চালানো প্রমাণ নয়, আর কোনোটিই হস্তান্তরে টেকে না।

HTML প্রতিবেদনগুলো গোপন রাখুন, কারণ সেগুলো অভ্যন্তরীণ নাম, গ্রুপ সদস্যপদ ও নিরাপত্তা কনফিগারেশন প্রকাশ করে। সেটিং নিশ্চিত হলে আপনি যোগ করা অস্থায়ী অনুমতিগুলো রেখে না দিয়ে সরিয়ে ফেলুন।