iPhone VPN প্রতি ডোমেইন: প্রত্যাখ্যান কোথায় ঘটবে তা নির্ধারণ করুন
NeverConnect VPN চালু হওয়া বন্ধ করে; এটি কোনো ওয়েবসাইট ব্লক করে না। প্রত্যাখ্যানটি সেবার সীমান্তে না কি পরিচালিত নীতিতে থাকবে তা নির্ধারণ করুন।
দুটি প্রয়োজন একটি বাক্য হিসেবে লিখে রাখা হয়, তারপর সম্পূর্ণ ভিন্ন জায়গায় বাস্তবায়ন করা হয়। এই সাইটটি কেবল VPN-এর মাধ্যমে পৌঁছানো যাবে এটি প্রবেশাধিকার সম্পর্কে একটি বিবৃতি, এবং এর স্বাভাবিক স্থান সেবার সামনের নেটওয়ার্ক। এই iPhone কখনোই সেই ডোমেইনে সরাসরি সংযোগ করবে না এটি ডিভাইস সম্পর্কে একটি বিবৃতি, এবং কেবল একটি পরিচালিত ক্লায়েন্ট নীতি এটি প্রকাশ করতে পারে। প্রোফাইল সম্পাদক খোলার আগে আপনার কাছে কোনটি আছে তা নির্ধারণ করুন।
দুটি প্রয়োজন যা একই শোনায়
উদাহরণ হোস্ট records.corp.example নিন। প্রবেশাধিকারের ক্ষেত্রে আপনি এটি কেবল VPN-এর পিছনের ঠিকানাগুলিতে প্রকাশ করেন, তাই সেলুলার নেটওয়ার্কে থাকা ফোন থেকে সরাসরি চেষ্টা নেটওয়ার্কে ব্যর্থ হয়, অথচ টানেলের মাধ্যমে একই অনুরোধ সফল হয় এবং তবুও প্রকৃত অ্যাকাউন্ট লগইন দাবি করে। ডিভাইসের ক্ষেত্রে ফোনটি পাবলিক ইন্টারনেটে পৌঁছাতে পারে, তাই হোস্টটি সবার জন্য রিজলভ হয় ও উত্তর দেয়, এবং চেষ্টা থামানোর একমাত্র জায়গা ডিভাইসটিই। যে অনুরোধ কখনো সেবার কাছে পৌঁছায় না, সে সম্পর্কে সেবা নিয়ম প্রয়োগ করতে পারে না।
প্রয়োজনটি ভুল পড়ার ফল একটি নির্দিষ্ট স্থাপনায় প্রকাশ পায়। রেকর্ডটি এখনো পাবলিক, অপারেটর মনে করেন VPN বাধ্যতামূলক, আর একটি সেলুলার চেষ্টার অডিট দেখায় অনুরোধটি কখনো টানেলে ঢোকেনি। লগে কিছুই ভাঙা দেখায় না, কারণ কিছুই ব্লক হয়নি।
মূল্যায়ন ক্রিয়াগুলি আক্ষরিকভাবে পড়ুন
অন-ডিমান্ড ব্যবস্থার দুটি আলাদা ক্রিয়া-স্তর আছে, এবং সেগুলি মিশিয়ে ফেলাই এখানে অধিকাংশ বিভ্রান্তির কারণ। বাইরের নিয়ম ক্রিয়া ঠিক করে নিয়ম মিললে টানেলের কী হবে, আর সংযোগ-মূল্যায়ন ক্রিয়া ঠিক করে একটি মূল্যায়ন নিয়মের ভিতরে হোস্টনাম মিললে কী হবে। Apple-এর Never Connect রেফারেন্স কেবল দ্বিতীয় স্তরটি বর্ণনা করে।
| Layer | Action | What it controls |
|---|---|---|
| Outer rule | connect | Bring the tunnel up when the rule matches |
| Outer rule | disconnect | Tear the tunnel down when the rule matches |
| Outer rule | evaluateConnection | Run a hostname evaluation instead of acting directly |
| Outer rule | ignore | Leave the current tunnel state alone |
| Connection evaluation | connectIfNeeded | Start the tunnel when the hostname cannot be resolved |
| Connection evaluation | neverConnect | Do not start the tunnel for that match |
neverConnect হলো সেই মান যা সবচেয়ে বেশি ভুল পড়া হয়, কারণ নামটি ব্লকের ইঙ্গিত দেয়। এটি মিলে যাওয়া হোস্টনামের জন্য টানেল চালু করা নিয়ন্ত্রণ করে, ফোনের কোনো নামে পৌঁছানোর অনুমতি নয়, তাই Never Connect এন্ট্রি কোনো ডোমেইন ব্লক নয়। নকশা নথিতে এটিকে সেভাবে নামকরণ করাই এমনভাবে স্থাপনা অনুমোদন পাওয়ার পথ যেখানে প্রয়োগের সীমা নেই।
সেবা যখন আপনার, তখন সীমান্তে প্রয়োগ করুন
প্রবেশাধিকার সীমিত করার অর্থ হলো নামটি কেবল সেখানে প্রকাশ করা যেখানে VPN পথ পৌঁছাতে পারে, তারপর পরীক্ষা করা যে উদ্দিষ্ট পথ কাজ করে আর অন্য পথ করে না। প্রকাশিত প্রতিটি রেকর্ড, আপনি প্রকাশ করলে উভয় ঠিকানা পরিবার, এবং অ্যাপ ব্যবহার করে এমন যেকোনো মধ্যবর্তী বা বিকল্প নাম কভার করুন। পুরোনো CNAME যদি এখনো একটি পাবলিক লোড ব্যালেন্সারের দিকে ইশারা করে, তবে মূল রেকর্ড যতই পরিপাটি হোক, সরাসরি পথটি সক্রিয় থাকে।
এটি ডিভাইসের বদলে সেবাকে রক্ষা করে। এটি ফোনকে DNS কোয়েরি পাঠানো থেকে থামায় না, এবং অ্যাপকে চেষ্টা করা থেকে থামায় না। সেই চেষ্টাগুলি গ্রহণযোগ্য হলে সীমান্তে প্রয়োগই সস্তা ও টেকসই পছন্দ, কারণ এটি কেবল আপনার কনফিগার করা ক্লায়েন্ট নয়, প্রতিটি ক্লায়েন্টের জন্য খাটে। কখনো নথিভুক্ত হয়নি এমন ফোনেও এটি টিকে থাকে।
ফোন যখন চেষ্টাও করবে না, তখন পরিচালিত নীতি দরকার
চেষ্টা থামাতে একটি সমর্থিত প্রয়োগ নীতি দরকার যা সংযোগের আগে, টানেল ব্যর্থতার সময় এবং নেটওয়ার্ক পরিবর্তনের পরে অ্যাপ বা গন্তব্যগুলি কভার করে। VPN বা ডিভাইস-ব্যবস্থাপনা সরবরাহকারীকে সেই নীতির নাম বলতে, এটি সাংগঠনিক ব্যবস্থাপনা দাবি করে কি না বলতে, এবং এটি আর কী প্রভাবিত করে তা বর্ণনা করতে বলুন। প্রতি-অ্যাপ টানেল যোগ অন-ডিমান্ড নিয়ম একই জিনিস নয়, আর হোম স্ক্রিনের সংযোগের শর্টকাটও নয়।
টানেল নিষ্ক্রিয় করে এবং অনুরোধটি বেরোয় কি না দেখে ব্যর্থতার ঘটনাটি পরীক্ষা করুন। যদি বেরোয়, তবে আপনি যে সীমা নথিভুক্ত করেছেন সেটি আপনার স্থাপন করা সীমা নয়।
তিনটি প্রশ্ন দিয়ে সিদ্ধান্ত নিন
প্রথমত, আপনি কি সেবা নিয়ন্ত্রণ করেন নাকি কেবল ফোন? দ্বিতীয়ত, ডিভাইসটি বাকি সবকিছুর জন্য পাবলিক ইন্টারনেট বৈধভাবে ব্যবহার করতে পারে কি? তৃতীয়ত, ফোনটি পরিচালিত কি না, এবং কার দ্বারা? সেবার মালিকানা যোগ একটি পরিচালিত ফ্লিট মানে যেকোনো স্তর উপলব্ধ, অথচ কেবল ফোনের মালিকানা ক্লায়েন্ট নীতিকেই একমাত্র বিকল্প করে তোলে এবং তা সমর্থিত হতে হবে।
প্রোফাইলে হাত দেওয়ার আগে ওই তিনটির উত্তর দিন। তখন কনফিগারেশন আর Never নামের একটি চেকবক্সের অর্থ কী তা নিয়ে অনুমান থাকে না।