iPad-এ পাসওয়ার্ড জিজ্ঞাসা ছাড়াই VPN: সার্টিফিকেট নাকি সংরক্ষিত লগইন
সংরক্ষিত পাসওয়ার্ড আর ডিভাইস সার্টিফিকেট জিজ্ঞাসাটি ভিন্নভাবে সরায়। দুটোই তুলনা করুন, তারপর আলাদাভাবে ঠিক করুন কী টানেল খোলে।
«আমাকে আর পাসওয়ার্ড জিজ্ঞাসা করা বন্ধ করুন» আসলে তিনটি প্রয়োজনকে এক অভিযোগে একত্র করে, এবং iPad-এ স্থাপনা সেগুলোর উত্তর ভিন্ন ভিন্ন জায়গায় দেয়। জিজ্ঞাসা আসে প্রমাণীকরণ থেকে, সময় আসে অ্যাক্টিভেশন থেকে, আর কভারেজ আসে প্রয়োগ থেকে। প্রথমে সেই শংসাপত্র বাছুন যা জিজ্ঞাসা সরায়, তারপর আলাদাভাবে ঠিক করুন কী নির্ধারণ করে টানেল কখন খোলে। এই দুটি সিদ্ধান্ত মিশিয়ে ফেলাই সেই কারণ যার ফলে সংরক্ষিত পাসওয়ার্ড এমন প্রোফাইলে থেকে যায় যা এখনও একটি স্পর্শের অপেক্ষায়।
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
এক অভিযোগে দুটি সমস্যা
iPad-এ নেটিভ IKEv2 কনফিগারেশন পাসওয়ার্ড বা সার্টিফিকেট উল্লেখ করতে পারে, এবং কী AuthenticationMethod ঠিক করে কোনটি প্রযোজ্য, অন্যদিকে PayloadCertificateUUID সেই শংসাপত্রের নাম দেয় যা পরিচয় সরবরাহ করে। গেটওয়ে এর কোনটি গ্রহণ করবে তা সার্ভার নীতির প্রশ্ন, ক্লায়েন্টের পছন্দ নয়। তাই প্রথমে নির্ধারণ করতে হবে VPN পরিষেবা কী অনুমোদন করে, কারণ iPad এমন পদ্ধতিতে দর-কষাকষি করতে পারে না যা অপর প্রান্ত প্রত্যাখ্যান করে।
তারপরেই টানেল কখন সক্রিয় হয় তা নিয়ে কথা বলা অর্থবহ, যা প্রোফাইল কী-এর সম্পূর্ণ ভিন্ন একটি সেট।
প্রথম বিকল্প: iPad যে শংসাপত্র পুনরায় ব্যবহার করতে পারে
সংরক্ষিত অ্যাকাউন্ট পাসওয়ার্ড বা শেয়ার করা গোপন তথ্য এমন গেটওয়েকে সন্তুষ্ট করে যা ব্যবহারকারী বা গ্রুপকে প্রমাণীকরণ করে, এবং যতদিন গোপন তথ্য বৈধ থাকে ততদিন জিজ্ঞাসা সরায়। এর দুর্বলতা জীবনচক্র: গোপন তথ্য প্রোফাইলে থাকে, একাধিক ডিভাইস তা ভাগ করতে পারে, আর তা পরিবর্তন মানে যেসব প্রোফাইল তা বহন করে সেগুলোতে হাত দেওয়া। যদি পরিষেবা অতিরিক্তভাবে এককালীন ফ্যাক্টর বা ইন্টারঅ্যাকটিভ অনুমোদন দাবি করে, কোনো স্থানীয় সেটিং সেই নীতিকে তত্ত্বাবধানহীন লগইনে বদলে দেয় না।
একটি অ্যাপের সংরক্ষিত পাসওয়ার্ডও স্বয়ংক্রিয়ভাবে অন্য VPN বাস্তবায়নের জন্য উপলব্ধ হয় না, তাই একই অ্যাকাউন্ট একটি ক্লায়েন্টে জিজ্ঞাসা বন্ধ করতে পারে এবং অন্যটিতে প্রতিবার জিজ্ঞাসা করে।
দ্বিতীয় বিকল্প: নিজস্ব কী সহ ডিভাইস সার্টিফিকেট
সার্টিফিকেট জিজ্ঞাসা আরও দৃঢ়ভাবে সরায়, কারণ iPad গোপন তথ্য পুনরাবৃত্তি না করে একটি ব্যক্তিগত কী-এর মালিকানা প্রমাণ করে। এর জন্য দরকার পাতা সার্টিফিকেট ও তার কী অনুমোদিত নথিভুক্তির পথে আসা, এবং গেটওয়ে সেই সংযোগের জন্য সার্টিফিকেট প্রমাণীকরণ গ্রহণ করা। শুধু একটি CA সার্টিফিকেট আমদানি করলে ডিভাইস বিশ্বাসের উপকরণ পায় আর কিছুই নয়, যা একটি সাধারণ ও নীরব ব্যর্থতা।
দাম হলো জীবনচক্রের কাজ। প্রতিটি iPad নিজস্ব পরিচয় পায় যাতে হারানো ডিভাইস পুরো বহর পুনরায় জারি না করেই বাতিল করা যায়, আর মেয়াদ শেষের তারিখগুলো বাস্তব পরিচালন ঘটনা হয়ে ওঠে। নীরবে মেয়াদোত্তীর্ণ সার্টিফিকেট ঠিক সেই সকালে VPN বিভ্রাটের মতো দেখায় যেদিন তা ঘটে।
পছন্দ নয়, গেটওয়ে যা গ্রহণ করে তার ভিত্তিতে বাছুন
VPN প্রশাসককে দুটি প্রশ্ন করুন: এই ধরনের ক্লায়েন্টের জন্য পরিষেবা কোন প্রমাণীকরণ পদ্ধতি গ্রহণ করে, এবং এর কোনোটির জন্য ইন্টারঅ্যাকটিভ ইনপুট দরকার কি না। উত্তর যদি শুধু সার্টিফিকেট হয়, নথিভুক্তি ও নবায়নের পরিকল্পনা করুন। উত্তর যদি পাসওয়ার্ড সহ দ্বিতীয় ফ্যাক্টর হয়, মেনে নিন যে জিজ্ঞাসা নীতি এবং ডিভাইসের ত্রুটি হিসেবে এটি দেখা বন্ধ করুন। যদি দুটোই গৃহীত হয়, তত্ত্বাবধানে থাকা বহরের জন্য জীবনচক্রে সার্টিফিকেট জেতে এবং অল্প কিছু ডিভাইসের জন্য সেটআপের পরিশ্রমে পাসওয়ার্ড জেতে।
নির্বাচিত পদ্ধতি প্রোফাইল শনাক্তকারীর পাশে স্থাপনার রেকর্ডে লিখুন, নইলে প্রোফাইলে পরবর্তী যে হাত দেবে সে অন্যটি বেছে নেবে।
তারপর অ্যাক্টিভেশনকে প্রমাণীকরণ থেকে আলাদা করুন
VPN On Demand টানেল খোলে যখন কনফিগার করা শর্ত মেলে, সেটি DNS ডোমেইন হোক, ইন্টারফেসের ধরন হোক বা যুক্ত নেটওয়ার্ক, এবং Apple এটি এমনভাবে নথিবদ্ধ করে যা ব্যবহারকারীর মিথস্ক্রিয়া দরকার হয় না। এটি ব্যক্তিগত সম্পদের জন্য উপযুক্ত যা কেবল তখনই অ্যাক্সেসযোগ্য হওয়া উচিত যখন কিছু তা চায়। এটি পরিচালিত Always On-এর মতো নয়, যা কভারেজ প্রয়োগ করে রাখে এবং নিজস্ব তত্ত্বাবধান ও প্রোফাইল শর্ত আনে।
কাজ করা শংসাপত্র দুটোর কোনোটির জন্যই কিছু করে না। অনেক iPad-এ পুরোপুরি ভালো সার্টিফিকেট থাকে এবং তবুও হাতে স্পর্শের অপেক্ষা করে কারণ কোনো চাহিদা-ভিত্তিক নিয়ম কখনো সক্রিয় হয়নি।
প্রয়োজনটি এমন আকারে দিন যা প্রশাসক কাজে লাগাতে পারেন: এই iPad-কে এই সম্পদগুলোতে বারবার ব্যবহারকারীর ইনপুট ছাড়াই, এই ধরনের শংসাপত্র দিয়ে এবং এই অ্যাক্টিভেশন ও বিভ্রাটের নিয়মের অধীনে পৌঁছাতে হবে। যদি বর্তমান পরিষেবা সেই শর্তগুলো পূরণ করতে না পারে, বারবার জিজ্ঞাসাই সেই নীতি যা পরিকল্পনা অনুযায়ী কাজ করছে।