NPS গ্রুপ নীতি VPN রিসোর্স প্রয়োগ নয়

দুটি গ্রুপ, দুটি অ্যাক্সেস প্রোফাইল, একটি VPN গেটওয়ে, এবং শেষে দুই গ্রুপই একই সার্ভারে পৌঁছায়। সাধারণ কারণ কোনো ভাঙা নীতি নয়, বরং নকশার অনুপস্থিত দ্বিতীয় অংশ: NPS ঠিক করে কে সেশন স্থাপন করতে পারবে, আর অন্য কিছুকে ঠিক করতে হবে সেই সেশন কোথায় পৌঁছাতে পারবে। যখন কেবল প্রথম অংশ থাকে, তখন যাচাই করা প্রত্যেকের জন্যই অনুমোদন সফল হয়। নীতি নিজের কাজ করছে, আর নকশা এখনো অসম্পূর্ণ।

গ্রুপের সঙ্গে মেলা নেটওয়ার্ক নীতি প্রবেশের বিষয়ে প্রমাণ। এটি প্যাকেটের বিষয়ে প্রমাণ নয়, এবং এই দুই বিবৃতির মধ্যবর্তী ফাঁকেই এই কাজের বড় অংশ ঘটে।

যে নীতি সত্যিই সেশনটি গ্রহণ করেছে তা খুঁজুন

NPS ক্রমবদ্ধ নেটওয়ার্ক নীতি মূল্যায়ন করে, এবং যে প্রথম সক্রিয় নিয়মের শর্ত মেলে সেটিই জেতে। শর্তে ব্যবহারকারী বা কম্পিউটার গ্রুপের সদস্যপদ, সংযোগের ধরন, সময় ও ডিভাইসের অবস্থা থাকতে পারে। তাই তালিকার আগে রাখা একটি প্রশস্ত নীতি, নিচের সংকীর্ণ নিয়মটি বিবেচনায় আসার আগেই সংযোগটি গ্রহণ করে। ক্রম ইন্টারফেসের খুঁটিনাটি নয়; ক্রমই নীতি।

তালিকাটি ক্রমে পড়ুন এবং কোনটি মিলেছে তা চিহ্নিত করুন, তারপর দেখুন এটি কোন সেটিংস ফেরত দিয়েছে। এডিটরের গ্রুপের নাম ফলাফল নয়; ফলাফল হলো সার্ভার যে অনুমোদন পেয়েছে। যেখানে স্থাপনা দুটোই ব্যবহার করে সেখানে ব্যবহারকারীর অনুমোদন ও ডিভাইসের অনুমোদন আলাদা রাখুন, কারণ যে অ্যাকাউন্ট টানেল খুলতে পারে সেটি স্বয়ংক্রিয়ভাবে এমন অ্যাকাউন্ট নয় যা প্রতিটি অভ্যন্তরীণ সেবায় পৌঁছানো উচিত।

RADIUS উত্তর একটি নির্দেশ, ফিল্টার নয়

Filter-Id অ্যাট্রিবিউট একটি ফিল্টার তালিকার নাম বহন করে। এটি এমন বহনযোগ্য প্যাকেট-ফিল্টার নিয়মের সেট দেয় না যা প্রত্যেক প্রাপক বোঝে, আর গেটওয়ে কখনো সংজ্ঞায়িত করেনি এমন নাম পাঠানো আদৌ কিছু প্রয়োগ করে না। একই সতর্কতা VLAN অ্যাট্রিবিউটেও প্রযোজ্য: একটি টানেল সেশনকে VLAN-এ বরাদ্দ করা নিজেই সেই ব্যবহারকারীর জন্য রাউটেড অ্যাক্সেস নিয়ম নয়।

এখানেই NPS-এর দিকে সম্পূর্ণ দেখতে একটা নকশা নীরবে কিছুই করে না। গেটওয়ে সরবরাহকারীর নথি দেখে নিশ্চিত করুন কোন অনুমোদন অ্যাট্রিবিউট সমর্থিত এবং প্রাপক প্রতিটির সঙ্গে কী করে, বরং ধরে নেওয়ার বদলে যে একটি মানক অ্যাট্রিবিউট নাম মানক আচরণ বোঝায়।

প্রয়োগকে ট্রাফিক যেখানে যায় সেখানে রাখুন

যে গেটওয়ে ব্যবহারকারীর প্যাকেট প্রক্রিয়া করে সে প্রতি সেশনে ফিল্টার প্রয়োগ করতে পারে, গ্রুপকে গেটওয়ে নীতির সঙ্গে মেলাতে পারে, বা সেশনকে আলাদা করা পুল থেকে ঠিকানা দিতে পারে যা ফায়ারওয়াল ভিন্নভাবে দেখে। এর যেকোনোটি কাজ করতে পারে, এবং তারা ভিন্নভাবে ব্যর্থ হয়। যে নীতিটি এটির নাম নেবে তা লেখার আগে নির্ধারণ করুন আপনার গেটওয়ে কোন প্রক্রিয়া সমর্থন করে। তারপর লিখে রাখুন সেই প্রক্রিয়া অনুপস্থিত থাকলে সেশনের কী হয়, কারণ নীরবতাই ডিফল্ট।

উদ্দিষ্ট অনুমতি চারটি অংশে বর্ণনা করুন: উৎসের পরিচয় বা গ্রুপ, গন্তব্য, প্রোটোকল ও পোর্ট। ব্যবহারকারীর সত্যিই প্রয়োজনীয় নির্ভরতাগুলো যোগ করুন, যেমন DNS বা একটি প্রমাণীকরণ সেবা, নাহলে সীমাবদ্ধতা এমন লগইন প্রবাহ ভাঙবে যা পরীক্ষা করার কথা কেউ ভাবেনি। নিয়মটি সেই ইন্টারফেসের বিরুদ্ধে লিখুন যা সত্যিই ফিল্টার করে, সেই ইন্টারফেসের বিরুদ্ধে নয় যা কেবল এডিটরে খোলা আছে।

অনুবাদও হিসাবের মধ্যে রাখুন। যদি নিচের দিকের ফায়ারওয়াল প্রত্যেক টানেল ব্যবহারকারীর জন্য একটি অনূদিত উৎস ঠিকানা দেখে, তবে কেবল সেই ঠিকানা থেকে ব্যক্তিদের আলাদা করতে পারে না, আর যে নিয়ম লেখা হয় যেন সে পারে, সেটি হয় অকেজো নয়তো অতিরিক্ত প্রশস্ত হবে।

ক্লায়েন্ট প্রোফাইল অবিশ্বস্ত দিকে থাকে

একটি পরিচালিত VPN প্রোফাইল রুট, স্প্লিট-টানেল নিয়ম বা অ্যাপ্লিকেশন ফিল্টার পাঠাতে পারে, এবং সেগুলোই ঠিক করে একটি সুবিন্যস্ত ডিভাইস কেমন আচরণ করবে। সেগুলো সেবার জন্য সুরক্ষা নয়, কারণ ক্লায়েন্টই সেই পক্ষ যাকে আপনি সীমাবদ্ধ করতে চাইছেন। প্রোফাইলে একটি রুট সরানোও অনুমোদন নয়, কারণ ক্লায়েন্টের একই গন্তব্যে অন্য পথ থাকতে পারে।

ক্লায়েন্ট সেটিংসকে সুবিধা আর গেটওয়ে সেটিংসকে নিয়ন্ত্রণ হিসেবে দেখুন। যখন দুটো মতভেদ করে, গেটওয়েই ঠিক, কারণ প্যাকেট সে-ই দেখে।

দুটি অ্যাকাউন্টে গ্রহণ করুন, তারপর ক্রমে অনুসরণ করুন

ভিন্ন উদ্দিষ্ট অনুমতির দুটি সাধারণ পরীক্ষামূলক অ্যাকাউন্ট তৈরি করুন, নতুন সেশন স্থাপন করুন এবং প্রতিটির জন্য কার্যকর গেটওয়ে নীতি পরীক্ষা করুন। তারপর একটি নিরীহ অনুমোদিত কাজ এবং একটি সুনির্দিষ্টভাবে অস্বীকৃত রিসোর্স পরীক্ষা করুন। একটি ব্যর্থ ping একা খুব কম প্রমাণ করে, কারণ ICMP ফিল্টার হতে পারে আর তার পেছনের TCP সেবা অনায়াসে উত্তর দিতে পারে।

যখন দুই অ্যাকাউন্টই এখনো প্রশস্ত প্রবেশ পায়, নির্দিষ্ট ক্রমে অনুসরণ করুন: কোন নীতি মিলল, উত্তর কী অনুমোদন বহন করল, এবং গেটওয়ে তা দিয়ে কী করল। প্রাপক সেগুলো বাস্তবায়ন করে তা নিশ্চিত করার আগে আরও NPS অ্যাট্রিবিউট যোগ করাই সেই পথ যেখানে ছোট অনুমোদন সমস্যা ফলাফলহীন পরিবর্তন উইন্ডোতে পরিণত হয়।