আপনি সবাইকে একটি VPN প্রোফাইল পাঠিয়েছেন আর তাতে আপনার পাসওয়ার্ড আছে

প্রোফাইলটি পরিষ্কারভাবে ইনস্টল হয়, সবাই সংযোগ করে, আর তারপর অ্যাকাউন্টের পাসওয়ার্ড ঘুরিয়ে ফেলা হয়। যে ডিভাইসটি ফাইলটি পেয়েছে, সেটি একই মিনিটে প্রমাণীকরণ বন্ধ করে দেয়, কারণ তাদের সবাই একই গোপন তথ্য বহন করে। এটাই ইঙ্গিত: একটি শেয়ার করা আর্টিফ্যাক্টে কপি করা একটিমাত্র ক্রেডেনশিয়াল রুটিন পাসওয়ার্ড পরিবর্তনকে পুরো ফ্লিটজুড়ে বিভ্রাটে পরিণত করে। পুনরায় ব্যবহারযোগ্য কনফিগারেশন আর ব্যক্তিগত পরিচয়কে দুটি আলাদা হস্তান্তর হিসেবে রাখলে তা এড়ানো যায়, এবং Apple-এর নিজস্ব ডিভাইস ম্যানেজমেন্ট ডকুমেন্টেশন প্রোফাইলকে গোপন তথ্যের ভাণ্ডার নয়, বরং সেটিংস ও অনুমোদন হিসেবে দেখে।

প্রথম রোটেশনেই উপসর্গটি দেখা যায়

একটি mobileconfig ফাইল হলো XML বা স্বাক্ষরিত plist। কপি হাতে থাকা যে কেউ পেলোড ডিকোড করে ভেতরে কী আছে পড়তে পারে, তাই টেমপ্লেটে থাকা AuthPassword মান হলো অস্বাভাবিক ফাইল এক্সটেনশনযুক্ত সাদা টেক্সট ক্রেডেনশিয়াল। স্বাক্ষর অখণ্ডতা ও উৎস বদলায়, পাঠযোগ্যতা নয়। এদিকে আপনি সত্যিই শেয়ার করতে চান এমন অংশগুলি, যেমন গেটওয়ে ঠিকানা, প্রত্যাশিত সার্ভার পরিচয় এবং ট্রাফিক নীতি, সবার জন্য একই।

কিছু সম্পাদনা করার আগে ফিল্ডগুলি সাজান, কারণ সীমানাটি লোকেরা যেখানে ভাবে সেখানে নয়।

শেয়ার করা সেটিংসকে ব্যক্তিগত ক্রেডেনশিয়াল থেকে আলাদা করুন

ইন্টারঅ্যাকটিভ পথটি হলো পাসওয়ার্ড বাইরে রেখে দেওয়া এবং সমর্থিত প্রমাণীকরণ ব্যবস্থাকে তা চাইতে দেওয়া। এটি মন দিয়ে পড়ুন: কেবল দেখতে মিলে যায় এমন একটি ফিল্ড মুছে ফেলা মানে ইন্টারঅ্যাকটিভ লগইনে সর্বজনীন রূপান্তর নয়। IKEv2 পেলোড AuthName ও AuthPassword এর মধ্যে পার্থক্য করে, এবং প্রমাণীকরণ পদ্ধতিই ঠিক করে প্রম্পট আদৌ পৌঁছানো যায় কি না; সার্টিফিকেটভিত্তিক পদ্ধতি পাসওয়ার্ড চাইবেই না।

সার্টিফিকেটেরও শেয়ার করা কী দরকার নেই

গেটওয়ে যদি সার্টিফিকেট প্রমাণীকরণ আশা করে, তবে অনুমোদিত ব্যবস্থার মাধ্যমে উদ্দিষ্ট ব্যবহারকারী বা ডিভাইস পরিচয় নথিভুক্ত করুন এবং ব্যক্তিগত কী টেমপ্লেটের বাইরে রাখুন। প্রতিটি কপিতে একটি শেয়ার করা ব্যক্তিগত কী আপনাকে একই রোটেশন সমস্যা আরও খারাপ প্রভাবের পরিসরসহ দেয়, কারণ যে কী ব্যক্তি প্রতি ইস্যু করা হয়নি, তা ব্যক্তি প্রতি বাতিল করা যায় না।

প্রোফাইল সংশোধনের পাশাপাশি ওই পরিচয়ের ইস্যু, নবায়ন ও বাতিল লিপিবদ্ধ করুন। দুটো একসঙ্গে অনুসরণ করলে নবায়ন একটি নির্ধারিত কাজ হয়ে যায়, কোনো ঘটনা নয়।

মানববিহীন মেশিনের জন্য তৃতীয় উত্তর দরকার

যে মেশিনকে কেউ সাইন ইন করার আগেই সংযোগ করতে হয়, সে কোনো প্রম্পটের উত্তর দিতে পারে না। এটি সাইন-ইন করা ব্যক্তির জন্য সেটআপ সহজ করার চেয়ে ভিন্ন একটি প্রয়োজন, এবং এটি গেটওয়ে মালিকের সঙ্গে সম্মত একটি পরিচালিত পরিচয় বা ডিভাইস-প্রতি সার্টিফিকেট দিয়ে সমাধান করা উচিত, প্রোফাইলে মানুষের পাসওয়ার্ড রেখে নয়।

পাসওয়ার্ড রাখলে দ্বিতীয় ফ্যাক্টরও দূর হয় না। গেটওয়ে যদি MFA দাবি করে, সংরক্ষিত পাসওয়ার্ডযুক্ত প্রোফাইল বুটের সময়েও ব্যর্থ হয়, আর ব্যর্থতাটি অনুপস্থিত ফ্যাক্টরের বদলে ভাঙা প্রোফাইলের মতো দেখায়।

প্রকৃতপক্ষে যে আর্টিফ্যাক্ট তৈরি হয়েছে তা পরীক্ষা করুন

টেমপ্লেট বাদ দিয়ে মিথ্যা বলে। একটি ম্যানেজমেন্ট সার্ভিস বা এক্সপোর্ট টুল চূড়ান্ত ফাইলে ক্রেডেনশিয়াল ঢুকিয়ে দিতে পারে, এবং সঙ্গত পরিচয় পেলোড বা ডায়াগনস্টিক কপি এমন উপাদান বহন করতে পারে যা টেমপ্লেট কখনও দেখায়নি। কে এটি পেতে পারে তা ঠিক করার আগে তৈরি হওয়া আর্টিফ্যাক্টটি খুলে দেখুন। বিশ্বস্ত ইস্যুয়ার ও প্রত্যাশিত সার্ভার-পরিচয় সেটিংসও অক্ষত রাখুন; পাসওয়ার্ড সরানো গেটওয়ে-বিশ্বাস দুর্বল করার কারণ নয়।

কোনো প্রকৃত পাসওয়ার্ড বা ব্যক্তিগত পরিচয় ইতিমধ্যে খুব ব্যাপকভাবে ছড়িয়ে পড়লে ইস্যুয়ারের কাছে তা বাতিল করে প্রতিস্থাপন করুন। আগামীকালের টেমপ্লেট সম্পাদনা করলে ইতিমধ্যে ইনস্টল করা কপিগুলিতে কিছুই হয় না, এবং ওই কপিগুলি পেছনের ক্রেডেনশিয়াল প্রত্যাহার না হওয়া পর্যন্ত প্রমাণীকরণ চালিয়ে যাবে।

একটি পরীক্ষামূলক পরিচয় দিয়ে হস্তান্তরটি গ্রহণ করুন

অনুমোদিত প্রবাহের মাধ্যমে আলাদা পরীক্ষামূলক পরিচয় হিসেবে নথিভুক্ত একটি ডিভাইসে ইনস্টল করুন, উদ্দিষ্ট প্রমাণীকরণ সম্পূর্ণ করুন এবং শুধু টানেল উঠতে দেখা নয়, ব্যক্তিগত রিসোর্সে পৌঁছান। প্রোফাইলে কোনো ক্রেডেনশিয়াল উপাদান নেই তা নিশ্চিত করুন, তারপর নিশ্চিত করুন যে ক্রেডেনশিয়ালটি নবায়ন হবে এমন পরিচয় রেকর্ডে রয়েছে। এই জোড়াটিই গ্রহণযোগ্যতার পরীক্ষা।

শেয়ার করা সেটিংসের জন্য একটি সংশোধন, প্রতি ব্যক্তির জন্য একটি রেকর্ড, এবং একটি বাতিলের পথ যা আপনি সত্যিই একবার ব্যবহার করেছেন।