Mac VPN সার্টিফিকেট: গেটওয়ে কোন অ্যাকাউন্ট দেখে?
প্রোফাইল লেবেল, ক্রেডেনশিয়াল এবং অ্যাকাউন্ট ক্ষেত্র ভিন্ন প্রশ্নের উত্তর দেয়। কিছু নাম বদলানোর আগে প্রিন্সিপাল থেকে গেটওয়ের ম্যাপিং পর্যন্ত অনুসরণ করুন।
প্রোফাইল আপনার নাম দেখায়, সার্টিফিকেটের দৃশ্যমান লেবেল অন্য কিছু বলে, আর গেটওয়ের লগ তৃতীয় একটি পরিচয়পত্র লিপিবদ্ধ করে। এর কোনোটিই মিথ্যা নয়, এবং সমস্যাটা ঠিক সেখানেই: তিনটি ভিন্ন ক্ষেত্রকে এমনভাবে পড়া হচ্ছে যেন তারা একটি প্রশ্নের উত্তর দেয়। সংযোগটি একটি ক্রেডেনশিয়াল, একটি IKEv2 পরিচয়পত্র এবং একটি অ্যাকাউন্ট উপস্থাপন করে, আর গেটওয়ে সিদ্ধান্ত নেয় এর কোনটি কী অনুমোদন করে।
একটি সংযোগে তিনটি পরিচয়
দৃশ্যমান প্রোফাইল নামটি মানুষের জন্য একটি লেবেল। এটি একটি সংযোগ নির্বাচন করে, এর বেশি কিছু নয়। সার্টিফিকেট একটি ক্রেডেনশিয়াল, এবং এটি কিছু প্রমাণ করতে পারবে কি না তা নির্ভর করে ক্লায়েন্টের কাছে মিলে যাওয়া প্রাইভেট কী আছে কি না তার উপর। অ্যাকাউন্ট ক্ষেত্রটি একটি প্রিন্সিপাল সম্পর্কে দাবি, আর সার্ভার এটি ভিন্ন একটি স্থানীয় পরিচয়ে ম্যাপ করতে স্বাধীন।
প্রমাণীকরণ ব্যর্থ হলে জিজ্ঞাসা করুন ত্রুটিটি তিনটির কোনটিকে বোঝাচ্ছে। প্রত্যাখ্যাত ক্রেডেনশিয়াল, অজানা পরিচয়পত্র এবং নিষ্ক্রিয় অ্যাকাউন্ট ভিন্ন ভিন্ন বার্তা তৈরি করে, আর সেগুলোকে একটি «সার্টিফিকেট সমস্যা» হিসেবে দেখলে আপনি ভুল কনসোলে পৌঁছে যান।
নেটিভ ক্ষেত্রগুলো তাদের কাজ অনুযায়ী পড়ুন
একটি ব্যবস্থাপিত নেটিভ IKEv2 কনফিগারেশনে Apple-এর পেলোড রেফারেন্স মানগুলো আলাদা করে, আর প্রমাণীকরণ পদ্ধতি নির্ধারণ করে কোন সমন্বয়টি প্রয়োজন:
| Field | Identifies | Common misreading |
|---|---|---|
| AuthName | Username for the configured arrangement | Assuming it is the certificate subject |
| LocalIdentifier | IKEv2 client identifier | Assuming it must equal the username |
| PayloadCertificateUUID | Referenced credential payload | Assuming any installed certificate will do |
একটি সার্টিফিকেট এবং একটি EAP লগইন একই সংযোগে ভিন্ন ভূমিকা রাখতে পারে। কেবল একটিতে একই টেক্সট আছে বলে প্রতিটি ক্ষেত্রকে তা ধরে রাখতে বাধ্য করবেন না, এবং একটি বদলালে বাকিগুলো অগ্রাহ্য হবে এমনটাও ধরে নেবেন না। তৃতীয় পক্ষের VPN অ্যাপ সম্পূর্ণ ভিন্ন একটি মডেল দেখাতে পারে; নেটিভ ক্ষেত্রের নাম সেখানে টেনে না নিয়ে তার নথিভুক্ত পরিচয় নির্বাচন ব্যবহার করুন।
সার্ভার সার্টিফিকেট ক্লায়েন্ট পরিচয় নয়
যে সার্টিফিকেট গেটওয়ে যাচাই করে তা একটি বিশ্বস্ততার ভিত্তি। এটি প্রমাণ করে যে আপনি প্রত্যাশিত সার্ভারেই পৌঁছেছেন। ক্লায়েন্ট পরিচয় একটি ভিন্ন বস্তু: এতে সেই প্রাইভেট কী-তে প্রবেশাধিকার অন্তর্ভুক্ত থাকে যা প্রমাণ করে সংযোগকারী পক্ষ যাকে বলে দাবি করছে সে-ই। দৃশ্যমান অ্যাকাউন্টের নাম বদলালে একটিকে অন্যটিতে রূপান্তর করা যায় না।
এখানেই সদিচ্ছাপ্রসূত সংশোধন ভুল হয়ে যায়। গেটওয়ের CA সার্টিফিকেট ক্লায়েন্ট স্টোরে আমদানি করলে ক্লায়েন্ট প্রমাণীকরণে কিছুই হয় না, আর সেই এন্ট্রিতে ব্যবহারকারীর নাম দিলে তা ব্যবহারকারী পরিচয় হয় না। দুটি বস্তু প্রোফাইলের ভিন্ন ভিন্ন অংশে থাকে এবং ভিন্ন প্রশ্নের উত্তর দেয়।
প্রিন্সিপাল থেকে গেটওয়ের ম্যাপিং পর্যন্ত অনুসরণ করুন
নিশ্চিত করুন ক্রেডেনশিয়ালটি কীসের জন্য ইস্যু করা হয়েছে: এই ব্যবহারকারী, এই ডিভাইস, নাকি একটি ভাগ করা ভূমিকা। Mac লগইন অ্যাকাউন্ট স্বয়ংক্রিয়ভাবে সেই প্রিন্সিপাল নয়, আর অন্য মেশিন থেকে কপি করা সার্টিফিকেট যে মেশিনের জন্য ইস্যু হয়েছিল তার পরিচয়ই ধরে রাখে।
তারপর লেবেল নয়, প্রকৃত ক্রেডেনশিয়াল তুলনা করুন। ইস্যুকারী, সিরিয়াল নম্বর এবং ফিঙ্গারপ্রিন্ট আপনাকে ও প্রশাসককে নিশ্চিত করতে দেয় যে আপনি একই বস্তু নিয়ে কথা বলছেন। প্রদর্শিত নাম সম্পাদনযোগ্য এবং প্রায়ই নকল হয়, যা ঘটনার সময় তাদের সবচেয়ে খারাপ পরিচয়পত্র করে তোলে।
শেষ ধাপটি গেটওয়েতে। এর মালিককে বলুন একটি সংযোগকে উপস্থাপিত পরিচয়পত্রের সঙ্গে এবং সেগুলো ব্যবহারকারী অ্যাকাউন্ট-ম্যাপিং নিয়মের সঙ্গে সম্পর্কিত করতে। ক্লায়েন্ট-সাইড লেবেল সার্ভার কী সিদ্ধান্ত নিয়েছে তা প্রতিষ্ঠা করতে পারে না, আর যে নিয়ম একটি সার্টিফিকেটকে নিষ্ক্রিয় অ্যাকাউন্টে ম্যাপ করে সেটি ব্যর্থ হবে যদিও ক্লায়েন্টের সব ক্ষেত্র সঠিক দেখায়।
যে স্তরের মালিকানা অসামঞ্জস্যটির, সেটিই মেরামত করুন
প্রোফাইল ভুল ক্রেডেনশিয়ালের দিকে ইশারা করলে তার রেফারেন্স বা নির্বাচন সংশোধন করুন। ক্রেডেনশিয়াল অন্য প্রিন্সিপালের হলে লেবেল সম্পাদনার বদলে ইস্যুকারীর পুনঃনিবন্ধন প্রক্রিয়ায় যান। গেটওয়ে যদি বৈধ ক্রেডেনশিয়ালকে ভুল অ্যাকাউন্টে বেঁধে ফেলে, তবে তার নীতি-মালিককে ম্যাপিং ঠিক করতে হবে। এগুলো তিনটি ভিন্ন পরিবর্তন, তিনজন ভিন্ন অনুমোদনকারীসহ।
নবায়নও একই যত্ন দাবি করে। সার্টিফিকেট বদলানো, তার দৃশ্যমান লেবেলের নাম বদলানো এবং একজন ব্যক্তিকে অ্যাকাউন্ট সিস্টেমের মধ্যে সরানো একইভাবে ম্যাপিংকে প্রভাবিত করে না। তিনটির মধ্যে কোনটি আপনি বদলেছেন তা লিপিবদ্ধ করুন, কারণ পরের ব্যর্থতা ক্লায়েন্টের দিক থেকে অভিন্ন দেখাবে আর গেটওয়ের লগে ভিন্ন।
সহায়তার প্রয়োজনীয় ন্যূনতম পাবলিক পরিচয়পত্রই কেবল শেয়ার করুন। একটি প্রাইভেট কী বা সম্পূর্ণ পরিচয় বান্ডেল কখনোই সেই বিনিময়ের অংশ নয়, নির্ণয় যতই সুবিধাজনক হোক না কেন।