Mac কেন বারবার VPN পাসওয়ার্ড চায়: কি-চেইন নাকি অ্যাকাউন্ট?
Mac লগইন কি-চেইনের পাসওয়ার্ড, অ্যাডমিন পাসওয়ার্ড বা VPN অ্যাকাউন্ট নিজেই চাইতে পারে। ডায়ালগের মালিক কে তা পড়ুন, তারপর সঠিক ভাণ্ডার ঠিক করুন।
আপনি Mac আনলক করেন, VPN ক্লায়েন্ট খোলেন, আর টানেল শুরু হওয়ার আগেই একটি পাসওয়ার্ড শিট ভেসে ওঠে। আপনি গেটওয়ের পাসওয়ার্ড টাইপ করেন, আর সেটি হয় প্রত্যাখ্যাত হয়, নয়তো এক মুহূর্ত পরে শিটটি ফিরে আসে। এরপর স্লিপ থেকে জাগার পরে, লগআউটের পরে বা ক্লায়েন্ট আপডেটের পরে আবার জিজ্ঞাসা করে। ওই শিট খুব কমই VPN সার্ভারের শংসাপত্র চাওয়া; সাধারণত macOS একটি স্থানীয় রেকর্ড পড়তে, আনলক করতে বা বদলাতে অনুমতি চায়, এবং পাসওয়ার্ডটি ওই রেকর্ডের মালিকের, আপনার VPN অ্যাকাউন্টের নয়।
শিটটিকে তার পেছনের পরিচয়ের সঙ্গে মিলিয়ে নিন
চারটি প্রম্পট প্রায় একই রকম দেখায়, আর শুধু একটি গেটওয়ের সঙ্গে সম্পর্কিত। শব্দচয়ন, যে প্রক্রিয়া অ্যাক্সেস চাইছে এবং নিচে নাম দেওয়া আইটেম—এগুলো বলে দেয় আপনি কোনটির মুখোমুখি।
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
স্থানীয় অ্যাক্সেস নিয়ে একটি ডায়ালগ সার্ভার সম্পর্কে কিছুই প্রমাণ করে না। গেটওয়ের প্রত্যাখ্যান ক্লায়েন্টের ভেতরে ভেন্ডরের ত্রুটি-টেক্সট নিয়ে দেখা যায়, কিচেইন আনলক করার প্রস্তাব দেওয়া কোনো সিস্টেম শিট হিসেবে নয়। উল্টোটাও সমান সাধারণ: কিচেইন শিটে গেটওয়ের পাসওয়ার্ড টাইপ করলে রেকর্ডটি লকড থেকে যায় এবং একটি ব্যর্থ প্রচেষ্টা যোগ হয়।
ডায়ালগটি একটি মালিক, একটি ভাণ্ডার ও একটি কাজের নাম বলে
কিচেইন প্রম্পটগুলো কোনো দূরবর্তী জিনিসে প্রমাণীকরণ নয়, বরং তথ্য তোলার বিষয়ে। Apple-এর অনুরোধ ডায়ালগের বর্ণনা সংকীর্ণ: Allow Once, Always Allow এবং Deny নিয়ন্ত্রণ করে ওই অ্যাপ সংরক্ষিত আইটেমটি পড়তে পারবে কি না। তিনটির কোনোটিই গেটওয়েতে কোনো সুবিধা দেয় না বা সার্ভার আপনার পাসওয়ার্ড সম্পর্কে যা ভাবে তা বদলায় না।
যখন অনুরোধকারী সদ্য আপডেট হওয়া একটি ক্লায়েন্ট, তখন পুনরায় অনুমোদন প্রত্যাশিত: নতুন বিল্ড আর আইটেমের অ্যাক্সেস কন্ট্রোল লিস্টের সঙ্গে মেলে না, তাই macOS আবার জিজ্ঞাসা করে। রোগনির্ণয়ের সময় Allow Once উত্তর দিন। Always Allow হলো ওই অ্যাপকে স্থায়ী অনুমতি এবং আপনি প্রত্যাশা করেননি এমন সহায়ক প্রক্রিয়ার জন্য ভুল উত্তর; প্রত্যাখ্যান করুন এবং বাইনারিটি আপনার ইনস্টল করা ক্লায়েন্ট না হলে ভেন্ডরকে যাচাই করুন।
অ্যাডমিনিস্ট্রেটর অনুমোদন চাওয়া প্রম্পটটি তৃতীয় ধরনের। এটি একটি সিস্টেম সেটিং বা সুরক্ষিত ভাণ্ডারের নাম বলে যা বদলানো হচ্ছে, এবং যে শংসাপত্র চায় তা এই Mac-এর একটি অ্যাডমিন অ্যাকাউন্ট। প্রতিটি ব্যক্তিগত কিচেইন আইটেমের এটি দরকার হয় না; নেটওয়ার্ক কনফিগারেশনের পেছনের আইটেমগুলোর সাধারণত দরকার হয়, কারণ কনফিগারেশনটি সিস্টেমের, আপনার লগইন সেশনের নয়।
Mac-এ VPN পাসওয়ার্ড কোথায় থাকতে পারে
কিচেইন একটি সম্ভাব্য ভাণ্ডার, ভাণ্ডারের সংজ্ঞা নয়। System Settings-এ তৈরি বিল্ট-ইন VPN কনফিগারেশন তার শংসাপত্র নেটওয়ার্ক কনফিগারেশনের সঙ্গে, একটি পরিচালিত সিস্টেম সেটিং হিসেবে রাখে। তৃতীয় পক্ষের ক্লায়েন্ট সাধারণত আপনার লগইন কিচেইনে একটি আইটেম রাখে: সেবার নাম দিয়ে চাবিকৃত একটি জেনেরিক পাসওয়ার্ড, বা সার্ভার, প্রোটোকল ও অ্যাকাউন্ট দিয়ে চাবিকৃত একটি ইন্টারনেট পাসওয়ার্ড। অনেক নতুন অ্যাপ বদলে ডেটা-সুরক্ষা কিচেইন ব্যবহার করে, যার আইটেমগুলো Keychain Access-এ কখনো দেখা যায় না।
মানুষেরা Keychain Access-এ VPN-এর নাম খোঁজে, কিছু পায় না, এবং সিদ্ধান্তে আসে পাসওয়ার্ড সংরক্ষিত নেই। Apple-এর TN3137 নোট বলে একাধিক কিচেইন বাস্তবায়ন আছে; ওই তালিকায় অনুপস্থিত থাকা স্বাভাবিক, নষ্ট আইটেমের প্রমাণ নয়।
রেকর্ডের ধরনগুলোও বিনিময়যোগ্য নয়। অ্যাকাউন্ট পাসওয়ার্ড, প্রাইভেট-কি পাসফ্রেজ, ক্লায়েন্ট সার্টিফিকেট এবং IPsec শেয়ার্ড সিক্রেট ভিন্নভাবে ব্যর্থ হয় ও ভিন্ন জায়গায় মেরামত হয়; সংরক্ষিত পাসওয়ার্ড আবার টাইপ করা প্রত্যাখ্যাত সার্টিফিকেটের জন্য কিছুই করে না। Mac যদি ম্যানেজমেন্টে নথিভুক্ত থাকে, প্রোফাইল আরেক মালিক: একটি VPN পেলোড শংসাপত্র বহন করতে পারে এবং রিফ্রেশে সেগুলো আবার প্রয়োগ করতে পারে, তাই স্থানীয় আইটেম মোছা অস্থায়ী, যতক্ষণ না কোনো অ্যাডমিনিস্ট্রেটর তা বদলান।
যখন লগইন পাসওয়ার্ড ও কিচেইন পাসওয়ার্ড আলাদা হয়ে যায়
লগইন কিচেইন সাধারণত আপনার Mac লগইন পাসওয়ার্ড ব্যবহার করে, তাই দুটো আলাদা হয়ে যেতে পারে। অন্য অ্যাকাউন্ট থেকে কোনো অ্যাডমিনিস্ট্রেটর আপনার পাসওয়ার্ড রিসেট করা, পুনরুদ্ধার প্রবাহ বা ডিরেক্টরি পরিবর্তন কিচেইনটিকে পুরোনো মানে লক করা রেখে দিতে পারে, আর তখন macOS এমন পাসওয়ার্ড চায় যা আপনি এইমাত্র সেট করেননি।
লগইনে আপনি সতর্কতা দেখতে পারেন যে সিস্টেম কিচেইন আনলক করতে পারেনি। এটি আপডেট করতে পুরোনো পাসওয়ার্ড দরকার, যা মনে থাকলে ভালো এবং না থাকলে অকেজো। দুটি সৎ মেরামত হলো Keychain Access, Edit, Change Password for Keychain "login", অথবা প্রয়োজনীয় শংসাপত্র আবার লিখে একটি নতুন লগইন কিচেইন। দ্বিতীয় বিকল্পটি সংরক্ষিত আইটেম ধ্বংস করে।
একটি VPN পুরোনো শংসাপত্র প্রত্যাখ্যান করছে বলে পুরো কিচেইন রিসেট করবেন না: তাতে অসম্পর্কিত অ্যাকাউন্ট হারায় এবং আইটেমটি তবু চিহ্নিত হয় না।
একটি কমান্ড স্থানীয়-বনাম-দূরবর্তী প্রশ্নের নিষ্পত্তি করে। কিচেইনকে সরাসরি আইটেমটি জিজ্ঞাসা করুন:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gআপনার ক্লায়েন্টের সেটিংস থেকে সার্ভার ও অ্যাকাউন্ট ব্যবহার করুন। আপনি নিজে কিচেইনকে জিজ্ঞাসা করলে একই অনুমোদন শিট দেখা গেলে প্রম্পটটি স্থানীয় এবং সার্ভার দর্শকমাত্র। এমন আইটেম না থাকলে ক্লায়েন্ট পাসওয়ার্ডটি আপনার ধারণা করা জায়গায় রাখছে না। -g ফ্ল্যাগটি গোপনীয়তা টার্মিনালে ছাপে, তাই স্ক্রিন শেয়ারিং এড়িয়ে চলুন।
ক্লায়েন্ট যে রেকর্ডটি সত্যিই পড়ে সেটি আপডেট করুন
গেটওয়েতে অ্যাকাউন্ট বদলালে আগে সেখানে বদলান, তারপর ক্লায়েন্টের সেটিংসের মাধ্যমে সংরক্ষিত রেকর্ড আপডেট করুন। কিচেইন আইটেম হাতে সম্পাদনা করা অনির্ভরযোগ্য: ক্লায়েন্ট ভিন্ন সেবা-ও-অ্যাকাউন্ট জোড়া পড়তে পারে, আর পরিচালিত প্রোফাইল আপনার সম্পাদনা চাপা দেবে।
সন্দেহজনক পুরোনো আইটেমের জন্য, কিছু মোছার আগে সেবা, অ্যাকাউন্ট ও প্রোটোকল মিলিয়ে নিন:
security delete-generic-password -s "Client Name" -a [email protected]অন্য সংযোগের একই রকম নামের আইটেম মোছা একটি সাধারণ স্ব-ঘটিত বিভ্রাট। অপসারণ কেবল স্থানীয়: এটি গেটওয়েতে সেশন বাতিল করে না, ডিভাইস সার্টিফিকেট খুলে দেয় না, বা অ্যাকাউন্টের পাসওয়ার্ড বদলায় না।
নিশ্চিত করুন মেরামতটি রিবুটেও টেকে
সংযুক্ত হোন, স্লিপ থেকে জাগুন, লগ আউট ও আবার লগ ইন করুন, তারপর একবার রিবুট করুন। কোনো শিট ছাড়া পরিষ্কার ক্রম এবং প্রত্যাশিত অ্যাকাউন্টের নাম বলা ক্লায়েন্ট স্ট্যাটাসই একমাত্র প্রমাণ যা গণ্য হয়। প্রম্পট কোথায় ফিরে আসে তা বলে আপনি কোন স্তর বাদ দিয়েছেন: আপডেটের পরে তা অনুমোদন, নেটওয়ার্ক পরিবর্তনের পরে ক্লায়েন্টের নিজের প্রম্পট, রিবুটের পরে অবস্থা পুনরায় প্রয়োগ করা প্রোফাইল।
আবার কিচেইনে হাত দেওয়ার আগে ক্লায়েন্টে পাসওয়ার্ড মনে রাখা বা সবসময় জিজ্ঞাসা করার সেটিং দেখুন। কিছু কনফিগারেশন, বিশেষত প্রতি-ব্যবহারকারী প্রমাণীকরণসহ IKEv2, নকশা অনুযায়ী প্রতিটি সংযোগে জিজ্ঞাসা করে; কিচেইন মেরামত কাজে লাগবে না।
আপনি যে আইটেম বদলেছেন, যে ভাণ্ডার তার মালিক ছিল এবং যে অ্যাকাউন্টের অন্তর্ভুক্ত ছিল লিখে রাখুন, যাতে পরের প্রম্পটটি সেকেন্ডে চিহ্নিত হয়। Apple-এর কিচেইন অ্যাক্সেস অনুরোধ পৃষ্ঠাটি ওই তিন বোতাম কী অনুমোদন দেয় তার রেফারেন্স।