Juniper না Pulse গেটওয়ে: কোন OpenConnect প্রোটোকল ব্যবহার করবেন

OpenConnect-এর জন্য প্রোটোকল বাছাই একটি মিলকরণের অনুশীলন, ব্র্যান্ড খোঁজা নয়। লগইন পাতায় Juniper লেখা গেটওয়ে Network Connect, Pulse বা দুটোই দিতে পারে, আর ক্লায়েন্টের ডিফল্ট কোনোটিই নয়। অনুমান করলে একটি ব্যর্থ লগইন খরচ হয় এবং আরও খারাপ, একটি সাপোর্ট থ্রেড যা প্রোটোকল না মেলায় ক্রেডেনশিয়ালকে দোষ দেয়। প্রোফাইলে হোস্টনেম লেখার আগে সেবাটি নিশ্চিত করুন।

OpenConnect পুরোনো প্রোটোকলের নাম দিয়েছে nc আর নতুনটির pulse, এবং দুটোই একই বাইনারিতে থাকে। আপনি যে ফ্ল্যাগ বাছেন তা লগইন আদান-প্রদান বদলায়, সফল সংযোগের পরের রাউটিং নয়।

দুটি প্রোটোকল নাম একই পণ্যের ইতিহাস ভাগ করে

Juniper-এর Network Connect এবং পরবর্তী Pulse Secure ক্লায়েন্ট আলাদা প্রোটোকল, যা একটি অ্যাপ্লায়েন্স পরিবার সময়ের সাথে প্রকাশ করেছে। OpenConnect প্রথমটির জন্য nc হ্যান্ডলার এবং দ্বিতীয়টির জন্য pulse হ্যান্ডলার তৈরি করেছে। এগুলো আলাদা কোড পথ ও আলাদা অনুরোধ বিন্যাস, তাই একটিতে সমর্থন থাকলে অন্যটি সম্পর্কে কিছু বোঝা যায় না।

পার্থক্য লগইন কথোপকথনে সঙ্গে সঙ্গে দেখা যায়: এন্ডপয়েন্ট, ফর্ম ফিল্ড এবং প্রত্যাখ্যাত দ্বিতীয় ফ্যাক্টর ক্লায়েন্ট কীভাবে জানায়, সবই দুই হ্যান্ডলারের মধ্যে আলাদা।

কমান্ড লাইনে বাছাই এক শব্দের পরিবর্তন: Network Connect-এর জন্য openconnect --protocol=nc vpn.example.com, বা Pulse-এর জন্য openconnect --protocol=pulse vpn.example.com। দুটি প্রচেষ্টাই আসল সংযোগ প্রচেষ্টা যা রুট ও DNS পুনর্বিন্যাস করতে পারে, তাই সচেতনভাবে চালান। প্রোটোকল ত্রুটি এড়াতে কখনো কমান্ড লাইনে পাসওয়ার্ড রাখবেন না বা সার্টিফিকেট পরীক্ষা বন্ধ করবেন না, কারণ এটি মিল না থাকাটা লুকায়, ঠিক করে না। ক্লায়েন্ট কী পাঠায় দেখতে চাইলে --dump-http-traffic আদান-প্রদান প্রিন্ট করে, যা সাধারণত গেটওয়ে যে হ্যান্ডলার আশা করে তা চিহ্নিত করে।

গেটওয়ে যা প্রকাশ করে তার সাথে প্রোটোকল মিলান

অ্যাপ্লায়েন্স কেবল যে প্রোটোকলের জন্য কনফিগার করা, তারই উত্তর দেয়। শুধু Pulse সেবা বৈধ ক্রেডেনশিয়াল দিয়েও nc লগইন প্রত্যাখ্যান করে, আর পুরোনো Network Connect সেবার উত্তর দেওয়ার কোনো pulse এন্ডপয়েন্ট নেই। প্রশাসককে জিজ্ঞাসা করুন কোনটি চালু এবং তারা কোন ক্লায়েন্ট সমর্থন করে। নাম বদলানো অ্যাপ্লায়েন্স, পুরোনো উইকি পাতা এবং চেনা ওয়েব পোর্টাল সবই দুর্বল প্রমাণ।

প্রোটোকল জানার পর আশপাশের শর্ত নিশ্চিত করুন: সার্টিফিকেট বা টোকেন প্রমাণীকরণ, একটি auth গ্রুপ নির্বাচন এবং যেকোনো এন্ডপয়েন্ট সম্মতি পরীক্ষা। এগুলো ঠিক করে কমান্ড-লাইন ক্লায়েন্ট লগইন শেষ করতে পারবে কি না।

প্রমাণীকরণ প্রোটোকলের আগেই প্রশ্নটির মীমাংসা করতে পারে

একটি স্থাপনা ক্লায়েন্ট সার্টিফিকেট, ব্রাউজারের মাধ্যমে SAML রাউন্ড ট্রিপ, বা অ্যাক্সেস দেওয়ার আগে মেশিন পরীক্ষা করা হোস্ট চেকার দাবি করতে পারে। OpenConnect-এর pulse হ্যান্ডলার এই প্রবাহগুলোর কয়েকটির জন্য সামঞ্জস্যের সীমা নথিভুক্ত করে, আর nc হ্যান্ডলারের নিজেরও ফাঁক আছে। ব্রাউজারে কাজ করা পাসওয়ার্ড প্রমাণ করে অ্যাকাউন্ট বৈধ; এটি প্রমাণ করে না যে যেকোনো CLI বা ডেস্কটপ প্লাগইন একই ধারাবাহিকতা শেষ করতে পারে। হোস্ট চেকার থাকলে ক্লায়েন্টের প্রশাসকের দেওয়া র্যাপার স্ক্রিপ্ট দরকার। তা ছাড়া প্রথম উত্তরের পরেই লগইন আটকে যায় এবং প্রোটোকল ব্যর্থতার মতো দেখায়, অথচ আসলে এটি অনুপস্থিত সম্মতি ধাপ।

auth গ্রুপ নির্বাচন আরেকটি সাধারণ হোঁচট, কারণ কয়েকটি গ্রুপের গেটওয়ে আশা করে ক্লায়েন্ট একটি নাম বলবে।

কমান্ড লাইনে --authgroup="Employees" সেই বাছাই দেয়, আর তা বাদ দিলে সেশন ডিফল্ট গ্রুপে পড়তে পারে যা অ্যাকাউন্ট প্রত্যাখ্যান করে। সার্টিফিকেট থাকলে --certificate ক্লায়েন্ট সার্টিফিকেট ও কী-তে নির্দেশ করে, আর গেটওয়ে পরে টোকেন চাইতে পারে। এর চারপাশে কিছু স্বয়ংক্রিয় করার আগে বিস্তারিত আউটপুট দিয়ে পুরো ধারাবাহিকতা একবার পরীক্ষা করুন।

যখন ডেস্কটপ ফ্রন্টএন্ড বাছাইটি প্রকাশ করতে পারে না

গ্রাফিক্যাল ফ্রন্টএন্ড নিজস্ব বৈশিষ্ট্য বহন করে, এবং পুরোনো প্লাগইন আপনার দরকারি প্রোটোকলের আগের হতে পারে। NetworkManager-এর OpenConnect ইন্টিগ্রেশন বাছাইটি তার সংযোগ ডেটায় রাখে, তাই nmcli connection modify "Office VPN" vpn.data "protocol=pulse" সম্পাদক যা দেখায় না তা সেট করতে পারে। সম্পাদনাটি কার্যকর হয়েছে ধরে নেওয়ার আগে ইনস্টল করা প্লাগইন সংস্করণ কী-টি সমর্থন করে কি না দেখুন।

কোনো মেনু কেবল PPTP বা L2TP দিলে, একটি বাছাই করলে Pulse সেবা সেই প্রোটোকলে রূপান্তরিত হয় না। মেনু যে-ই তালিকা করুক তাতে যাওয়ার বদলে অনুমোদিত ইন্টিগ্রেশন ইনস্টল করুন।

লগইন এখনো ব্যর্থ হলে কী লিখে রাখবেন

চারটি জিনিস লিখুন: আপনি বাছাই করা প্রোটোকল, ক্লায়েন্ট ও প্লাগইন সংস্করণ, প্রত্যাশিত প্রমাণীকরণ প্রবাহ, এবং টাইমআউটের বদলে স্ট্যাটাস কোড নিয়ে ফেরা প্রথম ত্রুটি। এই সেটটি ভুল হ্যান্ডলারকে অনুপস্থিত সার্টিফিকেট, প্রত্যাখ্যাত auth গ্রুপ বা ব্লক করা সম্মতি পরীক্ষা থেকে আলাদা করে। বিস্তারিত আউটপুট একই কারণে রাখার যোগ্য, কারণ এটি কেবল লক্ষণ নয়, ব্যর্থ অনুরোধটিও দেখায়।

সফল হলে কাজ করা কমান্ড বা প্রোফাইল গেটওয়ের নামের পাশে রাখুন। নাহলে পরের যে সংযোগ করবে সে একই ব্র্যান্ড-বনাম-প্রোটোকল অনুমান আবার করবে।