MSCHAPv2 কোনো VPN প্রোটোকল নয়: আগে টানেলের কথা জিজ্ঞেস করুন
একটি পাসওয়ার্ড আর MSCHAPv2 শব্দটি মিলে সংযোগ তৈরি হয় না। জিজ্ঞেস করুন কোন টানেল ওই বিনিময় বহন করে, তারপর ক্লায়েন্ট প্রোফাইল সেই অনুযায়ী মিলিয়ে নিন।
ইউজারনেম আর পাসওয়ার্ড একটি বাহকের ভেতরে যাতায়াত করে, আর MSCHAPv2 কেবল সেই পদ্ধতির নাম বলে যা যাতায়াত করছে। ক্লায়েন্ট প্রোফাইল বাছার আগে জিজ্ঞেস করুন কোন টানেল এটি বহন করে, কারণ একই অ্যাকাউন্ট স্ট্রিং এমন ব্যবস্থাতেও দেখা যায় যারা এক লাইন কোডও ভাগ করে না। আপনাকে যে প্রোফাইলই দেওয়া হোক, তা দুটি সিদ্ধান্তই এনকোড করে, এমনকি যখন নির্দেশিকার কাগজ তার একটিই ছাপে। নিচের ক্রমটাই তা, যার উত্তর একজন অপারেটর অনুমান ছাড়া দিতে পারেন এবং যা আপনি প্যাকেট ক্যাপচার ছাড়া যাচাই করতে পারেন।
প্রমাণীকরণ চলে একটি টানেলের ভেতরে
একটি VPN দুটি সিদ্ধান্ত নেয় যা একটির মতো দেখায়: সমকক্ষরা কীভাবে একটি সুরক্ষিত চ্যানেল বানায়, আর একজন মানুষ তার ভেতরে কীভাবে পরিচয় প্রমাণ করে। দ্বিতীয়টি নির্দেশিকার কাগজে ছাপা থাকে কারণ সেটিই মানুষ টাইপ করে। প্রথমটি ঠিক করে কোনো ক্লায়েন্ট আদৌ কাজ করবে কি না, আর সেটিই মানুষ এড়িয়ে যায়। অপারেটরকে আগে বাহকের নাম বলতে বলুন, তারপর পদ্ধতির, সেই ক্রমেই। দুটি সংযোগ একই অ্যাকাউন্ট নাম আর একই পাসওয়ার্ড চাইতে পারে, অথচ লগইন বাক্সের নিচে কোনো বাস্তবায়ন ভাগ করে না।
সেজন্যই সহকর্মীর কাজ করা ফোন থেকে কপি করা সেটিংস আপনার ফোনে ব্যর্থ হতে পারে, যদিও সার্ভার দুটি শংসাপত্রই গ্রহণ করে। শংসাপত্রটি কখনোই পার্থক্য ছিল না; পার্থক্য ছিল তার চারপাশে জড়ানো প্রোফাইল। দুই পক্ষই ঠিক আর কিছুই সংযুক্ত হয় না সাধারণত এই বিভ্রান্তিটাই, আর বাহকের নাম বলা মাত্রই তা পরিষ্কার হয়ে যায়।
একই পদ্ধতি যেখানে দেখা যায়, এমন তিন জায়গা
PPP-তে প্রমাণীকরণ ধাপটি একটি লিংক তৈরি হওয়া পর্যন্ত অপেক্ষা করে, আর RFC 2759 MS-CHAPv2-কে সেই ধাপ হিসেবে সংজ্ঞায়িত করে, তাই পদ্ধতিটি দেখা যায় L2TP এবং পুরোনো PPTP স্থাপনায়। টানেলটি আগে শেষ হয় আর PPP আলোচনা তার ভেতরে ঘটে, তাই ব্যর্থ PPP পর্যায় সার্ভার লগে টানেলটিকে প্রতিষ্ঠিত দেখাতে পারে। শংসাপত্র প্রত্যাখ্যাত হয়েছে এমন সিদ্ধান্তে আসার আগে ওই দুটি পর্যায় আলাদা করে পড়ুন। তাই L2TP-র জন্য কনফিগার করা ক্লায়েন্ট পুরোপুরি সঠিক হয়েও যে গেটওয়ে কেবল IKEv2 বলে তার জন্য ভুল ক্লায়েন্ট হতে পারে।
IKEv2 বরং EAP-MSCHAPv2-কে কী বিনিময়ের ভেতরে রাখে, তাই একই শংসাপত্র ভিন্ন মুহূর্তে ব্যর্থ হয় এবং সেশন ত্রুটি নয়, প্রমাণীকরণ ত্রুটি হিসেবে প্রকাশ পায়। Android-এর প্ল্যাটফর্ম IKEv2 প্রোফাইলটিই দৈনন্দিন উদাহরণ, আর এটি PPP অপশন নয়, সার্ভার সার্টিফিকেট বা শনাক্তকারী চায়। অ্যাকাউন্ট নাম দুটি ব্যবস্থাতেই একই, তাই এটি আপনাকে বলতে পারে না কোনটি আপনার আছে। কেবল অপারেটরের সমর্থিত প্রোটোকলের তালিকাই তা নির্ধারণ করে।
TLS-ভিত্তিক VPN তৃতীয় একটি ব্যবস্থা যোগ করে, যার নিজস্ব ইউজারনেম ও পাসওয়ার্ড ঘর আছে আর বিনিময়ের কোথাও MS-CHAPv2 নেই। তাই পাসওয়ার্ড বাক্স দেখা তার পেছনের প্রোটোকল সম্পর্কে কোনো প্রমাণ নয়, কারণ ফর্মটি চেনা দেখানোর জন্যই বানানো। ক্লায়েন্ট উইন্ডোর আকৃতি থেকে নয়, সার্ভারের ডকুমেন্টেশন থেকে প্রোটোকল নিশ্চিত করুন।
যে উত্তরগুলো আপনার সত্যিই দরকার
অনুরোধটি একটি তালিকা হিসেবে পাঠান, কারণ তালিকার অর্ধেক উত্তর দেওয়া কঠিন। টানেল প্রোটোকল, তার ভেতরের পদ্ধতি, এবং আপনার প্ল্যাটফর্মে অপারেটর যে ক্লায়েন্ট সমর্থন করেন তা চান। তারপর গেটওয়ের পরিচয় ও বিশ্বাস সেটিংস, অ্যাকাউন্টের ফরম্যাট, এবং সংযোগ ওঠার পর কী পৌঁছানো উচিত তা চান।
প্রথম তিনটি ঠিক করে আপনি আদৌ একটি কাজ করা প্রোফাইল পাবেন কি না। শেষ তিনটি ঠিক করে সেই প্রোফাইল কাজটির প্রয়োজন মেটায় কি না। উত্তরটি টিকিটের সাথে যুক্ত রাখুন, কারণ পরের মানুষটিও একই ছয়টি প্রশ্ন করবে। যেখানে উত্তর নেই, সেই ফাঁকটিকে অপারেটরের না-নেওয়া সিদ্ধান্ত হিসেবে ধরুন, আপনি অনুমান করতে পারেন এমন কিছু হিসেবে নয়।
| What you ask for | If it is wrong, the symptom shows up as |
|---|---|
| Tunnel protocol | No profile can be built at all |
| Method inside the tunnel | Credentials typed, then rejected |
| Gateway identity | The client refuses the server certificate |
| Account format | Authentication fails only for some staff |
| Routes and DNS | The tunnel is up and nothing resolves |
গেটওয়ে যাচাই শিথিল করবেন না
সার্ভারও ক্লায়েন্টের কাছে নিজের পরিচয় প্রমাণ করে, আর বিনিময়ের এই অর্ধেকটি সাজসজ্জা নয়। একগুঁয়ে প্রোফাইল সংযুক্ত করাতে সার্টিফিকেট যাচাই বন্ধ করা যে-কোনো উত্তরদাতা প্রান্তবিন্দু গ্রহণ করে, এমনকি যেখানে কেউ পৌঁছাতে চায়নি তাও। এটি প্রকৃত অমিল সমাধান না করে লুকায়, ফলে ব্যর্থতাটি আরও পরের ও কম স্পষ্ট মুহূর্তে ঠেলে দেয়। যে প্রোফাইলে যাচাই বন্ধ করতে হয়, সেটি এমন কিছুর দিকে ইশারা করে যা সে যাচাই করতে পারে না।
অমিলটি সাধারণত একটি নাম, কারণ একটি হোস্টনামের জন্য ইস্যু করা সার্টিফিকেট ব্যর্থ হয় যখন প্রোফাইল একটি ঠিকানা ডায়াল করে। যাচাই বন্ধ না করে নামটি ডায়াল করুন। ব্যক্তিগত সার্টিফিকেট কর্তৃপক্ষ ব্যর্থ হয় যখন ডিভাইসকে কখনো রুট দেওয়া হয়নি, আর সমাধান হল অনুমোদিত পথে সেই রুট বিতরণ করা। পরিচালিত পরিবেশে প্রত্যাশা থাকে অপারেটর পরিচয় ও বিশ্বাস-নোঙ্গর জোগাবে, আর প্রোফাইল দুটিরই উল্লেখ করবে। ক্ষেত্রটি অনুপস্থিত থাকলে যাচাই থেকে সরে না গিয়ে আর্টিফ্যাক্টটি চান।
প্রোফাইল মিলিয়ে নিন, তারপর প্রতিটি পর্যায় প্রমাণ করুন
বাহক জানা হয়ে গেলে সেই ক্লায়েন্টের নথিভুক্ত প্রক্রিয়া অনুসরণ করুন এবং কেবল যে ঘরগুলো চায় সেগুলোই ভরুন। ঘরগুলো আছে বলে ভরা অতিরিক্ত ঘরও ভুল মান, আর সেগুলো আবশ্যক ঘরগুলোর চেয়ে পরে ব্যর্থ হয়। প্রথম সফল সংযোগের পরে প্রোফাইলটি অপরিবর্তিত সংরক্ষণ করুন, যাতে পরের কোনো সম্পাদনা কাজ করে জানা কোনো কিছুর সাথে তুলনা করা যায়।
তারপর পর্যায়ে যাচাই করুন: টানেল প্রতিষ্ঠিত হয়, ব্যবহারকারী প্রমাণিত হয়, বরাদ্দ ঠিকানা ও রুট দেখা যায়, আর একটি অনুমোদিত সেবা উত্তর দেয়। প্রতিটি পর্যায় সার্ভারে নিজের লগ লাইন রেখে যায়, আর সেগুলো ক্রমে পড়লে অস্পষ্ট অভিযোগ নির্দিষ্ট পর্যবেক্ষণে বদলে যায়। প্ল্যাটফর্ম যদি আর অপারেটরের বর্ণিত ব্যবস্থা সমর্থন না করে, তবে এটি মাইগ্রেশনের আলোচনা, ডিভাইসে সব পুরোনো অপশন চালু করার কারণ নয়। বাহক, পদ্ধতি ও প্রোফাইল তিনটি আলাদা উত্তর, আর যে সংযোগ কাজ করে তার তিনটিই মিলে যায়।