iPhone IKEv2 থেকে RouterOS: কোন আইডেন্টিফায়ার কোথায় যায়
চারটি আলাদা দাবি একটি iOS IKEv2 টানেল নির্ধারণ করে: ডায়াল করা ঠিকানা, প্রত্যাশিত সার্ভার পরিচয়, দাবি করা ক্লায়েন্ট পরিচয় এবং সার্টিফিকেট উপাদান।
MikroTik গেটওয়েতে পৌঁছানো IKEv2 স্থাপনার কেবল পরিবহন অর্ধেকটাই সমাধান করে, আর কিছুই নয়। এরপর চারটি আলাদা দাবি ঠিক করে টানেল তৈরি হবে কি না: ফোন যে ঠিকানায় ডায়াল করে, যে সার্ভার পরিচয় সে প্রত্যাশা করে, যে পরিচয় সে নিজের জন্য দাবি করে, এবং সেই দাবির পেছনে থাকা সার্টিফিকেট উপাদান। এই ক্রমেই সেগুলো যাচাই করুন, এবং গেটওয়ে যা উপস্থাপন করে তার সঙ্গে প্রথম যে দাবিটি মেলে না সেখানেই থামুন। প্রতিটি আলাদা জায়গায় সম্পাদনযোগ্য, তাই ভুল সম্পাদনা সাধারণত ত্রুটি সারানোর বদলে তা স্থানান্তর করে।
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
প্রোফাইল ফিল্ডগুলো যে ক্রমে বিনিময় ব্যবহার করে সেই ক্রমে যাচাই করুন
রিমোট ঠিকানা হলো প্রথম IKE প্যাকেটের গন্তব্য, আর কিছু নয়। রিমোট আইডেন্টিফায়ার হলো গেটওয়ে যে পরিচয় প্রমাণ করবে বলে ফোন প্রত্যাশা করে, এবং এটি একটি নাম, কোনো রুট নয়। দুটোতেই একই হোস্টনাম বসানো কাজ করে যখন গেটওয়ের সার্টিফিকেট সেই নাম বহন করে, আর না করলে এমনভাবে ব্যর্থ হয় যা রাউটিং সমস্যার মতো দেখায়। প্রোফাইলকে পূরণ করার ফিল্ডের তালিকা নয়, দাবির ক্রম হিসেবে পড়ুন।
লোকাল আইডেন্টিফায়ার হলো ফোনের নিজের দাবি, এবং এটি এমন নাম হতে হবে যা ফোন যে ক্লায়েন্ট সার্টিফিকেট উপস্থাপন করে তার জন্য RouterOS আইডেন্টিটি এন্ট্রি গ্রহণ করে। দুটি না মিললে সার্টিফিকেট নিজে যাচাই হওয়ার পরেও গেটওয়ে সংযোগ প্রত্যাখ্যান করে, আর লগ নামকরণের নয়, অনুমোদনের সমস্যার মতো দেখায়।
আইডেন্টিফায়ারগুলো গেটওয়ে যা উপস্থাপন করে তার সঙ্গে যাচাই করুন
সার্টিফিকেট প্রমাণীকরণের জন্য কনফিগার করা RouterOS পিয়ার এন্ট্রি নিজের সার্টিফিকেট উপস্থাপন করে, এবং অন্যভাবে কনফিগার না করলে তার পরিচয় সেই সার্টিফিকেট থেকেই নেওয়া হয়। ফোনের রিমোট আইডেন্টিফায়ার যদি গেটওয়ের DNS নাম উল্লেখ করে, তবে গেটওয়ের সার্টিফিকেটে সেই নাম এমন জায়গায় থাকতে হবে যা ফোন গ্রহণ করবে, সাধারণত সাবজেক্ট অল্টারনেটিভ নেমে। ভিন্ন কমন নেমের জন্য ইস্যু করা সার্টিফিকেট কী ও চেইন নিখুঁত হলেও যাচাইয়ে ব্যর্থ হবে।
পরিচালিত Apple প্রোফাইল আইডেন্টিফায়ার ফিল্ডের অতিরিক্ত হিসেবে মূল্যায়িত একটি সার্টিফিকেট-নাম বাধাও বহন করতে পারে। সেটিংস স্ক্রিন যা দেখায় তা থেকে যাচাইয়ের নাম অনুমান না করে পেলোডটি পরীক্ষা করুন, কারণ দুটি একই সেটিং নয়।
যাচাই করুন ক্লায়েন্ট সার্টিফিকেট একটি কী, শুধু বিশ্বাসের অ্যাঙ্কর নয়
CA সার্টিফিকেট আমদানি করলে ফোন গেটওয়ে যাচাই করার একটি উপায় পায়। এটি ফোনকে ক্লায়েন্ট পরিচয় দেয় না, এবং সার্টিফিকেট প্রমাণীকরণের জন্য ক্লায়েন্ট লিফ সার্টিফিকেট ও তার প্রাইভেট কী একসঙ্গে অনুমোদিত এনরোলমেন্ট পথে পৌঁছাতে হয়। প্রাইভেট কী ছাড়া তৈরি PKCS#12 এমন প্রোফাইল তৈরি করে যা পরিষ্কারভাবে ইনস্টল হয় এবং কিছুই প্রমাণীকরণ করে না।
ক্লায়েন্ট লিফেরও RouterOS পাশ যে পরিচয় প্রত্যাশা করে তা দরকার, অর্থাৎ সাবজেক্ট বা সাবজেক্ট অল্টারনেটিভ নেম সংশ্লিষ্ট আইডেন্টিটি কনফিগারেশনের সঙ্গে মিলতে হবে। একই CA থেকে ক্লায়েন্ট ও সার্ভার সার্টিফিকেট ইস্যু করলে চেইন সুবিধাজনক হয়, কিন্তু দুটি লিফ বিনিময়যোগ্য হয়ে যায় না।
যাচাই করুন RouterOS নীতি সেই নাম গ্রহণ করে
গেটওয়েতে পিয়ার এন্ট্রি বিনিময় মোড ও প্রমাণীকরণ পদ্ধতি নির্ধারণ করে, আর আইডেন্টিটি এন্ট্রি গৃহীত রিমোট পরিচয়কে একটি সার্টিফিকেট ও তার পরবর্তী নীতির সঙ্গে বেঁধে দেয়। RouterOS v7-এ এই জোড়াটি IPsec পিয়ার ও আইডেন্টিটি এন্ট্রির মাধ্যমে প্রকাশ করা হয়, যেমন auth-method=digital-signature সহ একটি IKEv2 পিয়ার। পুরোনো সংস্করণের জন্য লেখা নির্দেশিকা নয়, আপনার ইনস্টল করা সংস্করণের প্রকৃত মেনু বিষয়বস্তু যাচাই করুন।
এখানেই অমিল সারানো সবচেয়ে সস্তা, কারণ গেটওয়ে আপনাকে সে যে পরিচয় পেয়েছে এবং যে পরিচয় চেয়েছিল দুটোই বলতে পারে। ত্রুটি চাপা দিতে গৃহীত পরিচয় প্রশস্ত করলে সেই বন্ধনটাই সরে যায় যা স্থাপনাটিকে অর্থবহ করেছিল।
কিছু সম্পাদনার আগে যাচাই করুন কোন পর্যায়ে ব্যর্থ হয়েছে
উভয় প্রান্তে প্রচেষ্টাটি পড়ুন এবং প্রস্তাব বদলানোর আগে শ্রেণিবদ্ধ করুন। প্রস্তাবের অমিল, অনুপস্থিত সাইনিং কী, অবিশ্বস্ত ইস্যুয়ার, ভুল পিয়ার আইডেন্টিফায়ার এবং প্রত্যাখ্যাত ক্লায়েন্ট অনুমোদন—সবই ফোন থেকে মৃত টানেলের মতো দেখায়, আর প্রতিটির মালিক আলাদা। পাঁচটি সেটিং একসঙ্গে বদলালে ফলাফল থেকে আপনি কিছুই শিখবেন না, তা নিশ্চিত।
উপস্থাপিত পরিচয়, প্রত্যাশিত পরিচয়, সার্টিফিকেট ইস্যুয়ার ও সিরিয়াল এবং সংশ্লিষ্ট নীতির নাম লিপিবদ্ধ করুন, আর প্রাইভেট কী ও প্রোফাইল গোপন তথ্য সেই লিপির বাইরে রাখুন। প্রমাণীকরণ সফল হলে একটি প্রাইভেট সেবা ও তার উত্তর পরীক্ষা করুন, কারণ IKE বিনিময় শেষ হওয়ার পরেও ঠিকানা বণ্টন, সিলেক্টর, DNS ও অ্যাক্সেস নীতি কাজ করতে হবে।