পুরোনো IOS SSL VPN: প্যাকেজ, প্রোফাইল, গেটওয়ে ও সেশন

আপনি রাউটারের ফ্ল্যাশে একটি ক্লায়েন্ট ইনস্টলার দেখে সিদ্ধান্তে আসেন যে SSL VPN কনফিগার করা আছে। এটি চারটি উপাদানের একটি, আর বাকি তিনটিই ঠিক করে কেউ আদৌ সংযুক্ত হতে পারবে কি না। পুরোনো IOS SSL VPN-এ অংশগুলো আলাদা অবজেক্ট: হেডএন্ড ক্লায়েন্ট প্যাকেজ, একটি ঐচ্ছিক ক্লায়েন্ট প্রোফাইল, TLS সমাপ্তকারী WebVPN গেটওয়ে, এবং প্রমাণীকরণ ও সেশন সেটিংস ধরে রাখা কনটেক্সট ও গ্রুপ পলিসি। একটি বাদ পড়লে বাইরে থেকে ব্যর্থতাটি একই রকম দেখায়।

IOS 15.3 ও AnyConnect 3.1-এর ওপর গড়া Cisco-র IOS SSL VPN কনফিগারেশন উদাহরণটি ঠিক এই কারণেই কাজে লাগে যে এটি ওই অবজেক্টগুলো আলাদা রাখে। এটিকে ওই পুরোনো বাস্তবায়নের বর্ণনা হিসেবে পড়ুন, ওই সংস্করণগুলো স্থাপনের সুপারিশ হিসেবে নয়।

প্রথমে, প্যাকেজ: এটি কী এবং কী নয়

হেডএন্ড প্যাকেজ একটি প্ল্যাটফর্মের জন্য ক্লায়েন্ট সফটওয়্যার সরবরাহ করে। এটি প্রোফাইলও নয়, লিসেনারও নয়, আর ফ্ল্যাশে পড়ে থাকা একটি ফাইল কেবল প্রমাণ করে যে কেউ কিছু আপলোড করেছে। এটি প্রমাণ করে না যে কোনো সেশন কখনো এটি ব্যবহার করেছে, প্ল্যাটফর্মটি ব্যবহারকারীর ডিভাইসের সঙ্গে মেলে, বা গেটওয়ে আদৌ এটির প্রতি ইঙ্গিত করে।

সঠিক ফাইলনাম, এটি যে প্ল্যাটফর্মের জন্য, এবং কনফিগারেশন কোথায় এটির দিকে ইঙ্গিত করে তা নিশ্চিত করুন। Windows প্যাকেজ ফোন সম্পর্কে কিছুই বলে না, আর কোনো গেটওয়ে অবজেক্ট যে আপলোড করা ফাইলের উল্লেখ করে না, সেটি কনফিগারেশন নয়, সংরক্ষণ। যে প্যাকেজ প্ল্যাটফর্মের সঙ্গে মেলে কিন্তু কখনো সেবার সঙ্গে যুক্ত হয় না, তা কোনো ব্যবহারকারীকে দেওয়া হবে না। যে প্যাকেজের ফাইলনাম কনফিগারেশনের প্রত্যাশিত মান থেকে আলাদা, সেটিও নয়।

দ্বিতীয়ত, প্রোফাইল: সফটওয়্যার নয়, সেটিংস

একটি ঐচ্ছিক ক্লায়েন্ট প্রোফাইল এমন সেটিংস বহন করে যা প্রশাসক আলাদাভাবে প্রস্তুত করেন, যেমন সার্ভার তালিকা বা ক্লায়েন্ট পছন্দ। এটিকে ইনস্টলারের সঙ্গে গুলিয়ে ফেলা সাধারণ, কারণ দুটোই একই রকম নামের ফাইল হিসেবে আসে। স্থাপনাটি যদি প্রোফাইল প্রত্যাশা করে, তবে তার অনুপস্থিতি ক্লায়েন্ট সংযুক্ত হওয়ার পরে কী করে তা বদলায়, সংযুক্ত হয় কি না তা নয়।

দুটো আর্টিফ্যাক্টের তালিকা করুন এবং গেটওয়ে প্রকৃতপক্ষে কোনটির প্রতি ইঙ্গিত করে তা লিখে রাখুন। ওই এক লাইনই এমন এক শ্রেণির সহায়তা টিকিট ঠেকায় যেখানে দুজন মানুষ ভিন্ন ফাইল নিয়ে কথা বলছে।

তৃতীয়ত, লিসেনার ও TLS পরিচয়

গেটওয়ে অবজেক্টটি ঠিক করে বাইরের জগৎ কোন ঠিকানা ও পোর্টে পৌঁছায় এবং হ্যান্ডশেকের সময় কোন সার্টিফিকেট উপস্থাপন করা হয়। একটি ব্রাউজারের পোর্টাল পৃষ্ঠায় পৌঁছানো, একটি ক্লায়েন্টের প্রমাণীকরণ সম্পূর্ণ করা, এবং একটি অ্যাপ্লিকেশনের একটি ব্যক্তিগত সার্ভারে পৌঁছানো তিনটি আলাদা পর্যবেক্ষণ, আর কেবল প্রথমটিই লিসেনার পরীক্ষা। হ্যান্ডশেক ব্যর্থ হলে নিচের দিকের কিছুই তখনো গুরুত্বপূর্ণ নয়, তাই কোনো পলিসি সম্পাদনার আগে সার্টিফিকেট চেইন ও নাম যাচাই করুন।

প্রত্যাশিত পরিচয়টি কোথাও লিখে রাখুন। নবায়ন বা প্রতিস্থাপিত সার্টিফিকেটই সবচেয়ে সাধারণ কারণ যার জন্য গত মাসে কাজ করা একটি স্থাপন এই মাসে কাজ করা বন্ধ করে দেয়।

চতুর্থত, কনটেক্সট ও পলিসি এবং তার ভার্চুয়াল টেমপ্লেট

কনটেক্সট ও গ্রুপ পলিসি প্রমাণীকরণকে সেশনের আচরণের সঙ্গে বাঁধে: ঠিকানা পুল, বিভক্ত রুট, DNS, এবং ব্যবহারকারী কোন অভ্যন্তরীণ নেটওয়ার্কে পৌঁছাতে পারেন। নথিভুক্ত উদাহরণটি তার কনটেক্সটকে একটি ভার্চুয়াল টেমপ্লেটে যুক্ত করে যা প্রতি সেশনের ইন্টারফেস আচরণ সরবরাহ করে, আর ওই সার্ভার-সাইড অবজেক্টগুলো ব্যবহারকারী যা ডাউনলোড করেন তার থেকে স্বাধীনভাবে বিদ্যমান।

ব্যবহারকারী প্রমাণীকরণ করলেন কিন্তু কোথাও পৌঁছালেন না, তবে দোষ সাধারণত ক্লায়েন্টে নয়, এখানেই। পুল, ক্লায়েন্টকে দেওয়া রুট এবং পরবর্তী ট্র্যাফিক অনুমোদনকারী ACL তুলনা করুন, এবং সেগুলো নকশা যা চেয়েছিল তার সঙ্গে নয়, ব্যবহারকারী যা জানাচ্ছেন তার সঙ্গে মিলিয়ে দেখুন।

ক্রমে যাচাই করুন এবং প্রথম ব্যর্থতায় থামুন

চারটি উপাদান যে ক্রমে একটি সংযোগ তাদের সঙ্গে মেলে সেই ক্রমে হাঁটুন: লিসেনার, প্রমাণীকরণ, পলিসি, তারপর ক্লায়েন্টের আচরণ। প্রত্যাশিত পরিচয় দিয়ে TLS নিশ্চিত করুন, একটি নির্ভরযোগ্য অ্যাকাউন্টে প্রমাণীকরণ করুন, সেশন থেকে বরাদ্দ করা ঠিকানা ও রুট পড়ুন, এবং কেবল তারপরেই ক্লায়েন্টের প্ল্যাটফর্ম প্যাকেজের সঙ্গে তুলনা করুন। প্রথম ব্যর্থতায় থামা একটি মাত্র চলককে খেলায় রাখে, আর এটাই মেরামত ও অনুমানের মধ্যে পার্থক্য।

একটি ফোন বা ওই ঐতিহাসিক ডেস্কটপ উদাহরণের বাইরের যেকোনো ক্লায়েন্টের জন্য, Windows কর্মপ্রবাহ সাধারণভাবে প্রযোজ্য বলে ধরে নেওয়ার বদলে প্রকৃত সমর্থিত ক্লায়েন্ট ও গেটওয়ে চুক্তি সংগ্রহ করুন। অনুরোধ করা প্রোটোকল বদলালে একটি IKEv2 প্রোফাইল এই SSL VPN সেবায় পরিণত হবে না, আর একটি ডেস্কটপ প্যাকেজ ইনস্টল করা মোবাইল সমর্থন সম্পর্কে কিছুই প্রমাণ করে না।