অনুমতিগুলো না হারিয়ে একটি লোকাল VPN অ্যাকাউন্ট রোটেট করুন

একটি চালু VPN পাসওয়ার্ড প্রতিস্থাপনকে দুই লাইনের পরিবর্তন মনে হয়, যতক্ষণ না পুনর্নির্মিত অ্যাকাউন্টটি ডিফল্ট অনুমতি নিয়ে ফিরে আসে এবং একমাত্র ব্যবস্থাপনা সেশনটি হারিয়ে যায়। নিরাপদ পদ্ধতিটি নির্ভর করে ক্রেডেনশিয়াল কোথায় সংরক্ষিত আছে এবং কোন প্রোটোকল তা ব্যবহার করে তার উপর, কোন কমান্ডটি সবচেয়ে ছোট তার উপর নয়। ডিভাইস স্পর্শ করার আগে দুই পদ্ধতির তুলনা করুন। ইন-প্লেস রোটেশন অ্যাকাউন্ট অবজেক্টটি সংরক্ষণ করে; ডিলিট-ও-পুনঃতৈরি তা প্রতিস্থাপন করে, আর এর দিকে ইঙ্গিত করা সবকিছুই তার সঙ্গে চলে যায়।

কোন স্টোর আসলে সেশনটি প্রমাণীকরণ করে তা খুঁজুন

ইউজার ডেটাবেস থেকে নয়, টানেল বা কানেকশন প্রোফাইল থেকে শুরু করুন। প্রোফাইলটি একটি প্রমাণীকরণ পদ্ধতি এবং প্রায়ই একটি সার্ভার গ্রুপের নাম দেয়, আর সেই গ্রুপ যদি RADIUS বা TACACS+ এর দিকে ইঙ্গিত করে, তবে বক্সের লোকাল ইউজারনেম নিছক সাজসজ্জা। কিছু পরিকল্পনা করার আগে প্রোফাইলের প্রমাণীকরণ তালিকা এবং এটি যে AAA গ্রুপের উল্লেখ করে তা পড়ুন। কেবল যখন প্রোফাইল বলে লোকাল, তখনই বক্সের অ্যাকাউন্টটি গুরুত্বপূর্ণ। এটি ভুল করুন আর আপনি এমন ক্রেডেনশিয়াল রোটেট করবেন যা কেউ ব্যবহার করে না, অথচ আসল ডিরেক্টরি এন্ট্রি ঠিক যেমন ছিল তেমনই থাকে।

একই ডিভাইসে সাধারণত দুই জনগোষ্ঠী থাকে: প্রশাসকরা যারা এতে লগ ইন করেন, এবং VPN ব্যবহারকারীরা যারা টানেল সমাপ্ত করেন। তারা একটি স্টোর ভাগ করতে পারে, এবং তা ধরে নেওয়া উচিত নয়।

ইন-প্লেস আপডেট বনাম ডিলিট ও পুনঃতৈরি

ইন-প্লেস রোটেশন একটি বিদ্যমান অবজেক্টের একটি অ্যাট্রিবিউট পরিবর্তন করে। বিশেষাধিকার স্তর, গ্রুপ সদস্যপদ, অনুমোদন অ্যাট্রিবিউট এবং অ্যাকাউন্টের উল্লেখ করা যেকোনো নীতি টিকে থাকে, কারণ কিছুই সরানো হয়নি। ডিলিট-ও-পুনঃতৈরি কমান্ড লাইন থেকে অবজেক্টটি পুনর্নির্মাণ করে, তাই আপনি যে ক্ষেত্রটি পুনরাবৃত্তি করেননি তা ডিফল্টে ফিরে আসে। এমন ডিভাইসে যেখানে প্রতি-ব্যবহারকারীর অ্যাট্রিবিউট স্প্লিট-টানেল বা অ্যাড্রেস-পুল অ্যাসাইনমেন্ট বহন করে, সেই পার্থক্যই সম্পূর্ণ ঝুঁকি।

পুনর্নির্মাণের একটি বৈধ ব্যবহার আছে: যখন সংরক্ষিত ফরম্যাটটিই বদলাতে হবে এবং প্ল্যাটফর্ম কোনো রূপান্তর দেয় না। তবুও, আগে বিদ্যমান এন্ট্রিটি নথিভুক্ত করুন, কারণ চলমান কনফিগারেশনই অ্যাকাউন্টটি কী বহন করত তার একমাত্র নির্ভুল তালিকা। পরিবর্তনের আগে নেওয়া সেই কনফিগের একটি কপি স্মৃতি থেকে লেখা রোলব্যাক পরিকল্পনার চেয়ে ভালো।

কেন আপনার হাতে থাকা হ্যাশটি হয়তো তার প্রয়োজনীয় গোপনীয়তা নয়

স্টোরেজ ফরম্যাটগুলো এমনভাবে ভিন্ন যেটি উত্তরটি নির্ধারণ করে। একমুখী হ্যাশ একটি পাসওয়ার্ড যাচাই করতে পারে যখন সার্ভার তা টানেলের ভেতরে স্পষ্টভাবে পায়, কিন্তু চ্যালেঞ্জ-রেসপন্স পদ্ধতির ডাইজেস্ট গণনার জন্য শেয়ার্ড সিক্রেটটিই দরকার। তাই প্রতিটি অ্যাকাউন্টকে সবচেয়ে শক্তিশালী একমুখী ফরম্যাটে রূপান্তর করা CHAP বা MS-CHAP ভেঙে দিতে পারে ঠিক সেই ব্যবহারকারীদের জন্য যারা এর উপর নির্ভর করে।

স্লোগান নয়, প্রোটোকল দিয়ে সিদ্ধান্ত নিন। যেখানে পদ্ধতির পুনরুদ্ধারযোগ্য গোপনীয়তা দরকার, সেখানে এই প্রয়োজনটি নকশার উপর একটি সীমাবদ্ধতা, পরিষ্কার করার মতো কোনো অবহেলা নয়।

যে সেশনগুলো ক্রেডেনশিয়ালের চেয়ে বেশিদিন বাঁচে

ক্রেডেনশিয়াল পরিবর্তন করলে ইতিমধ্যে প্রমাণীকৃত সেশনগুলো বন্ধ হয় না। প্রতিষ্ঠিত টানেলযুক্ত একটি পিয়ার কী পুনর্নবীকরণ, পুনঃপ্রমাণীকরণ বা স্পষ্ট বিচ্ছিন্নতা পর্যন্ত কাজ চালিয়ে যায়।

সেই অংশটি আলাদাভাবে পরিকল্পনা করুন, এবং পরিবর্তনের আগেই পরিকল্পনা করুন। ক্রেডেনশিয়াল যদি ফাঁস হয়ে থাকে, সক্রিয় সেশন চালু রাখা রোটেশনকে ব্যর্থ করে। যদি তা কেবল পুরোনো হয়ে থাকে, প্রতিটি পিয়ারকে অফলাইনে বাধ্য করা একটি বিভ্রাট যা আপনার দরকার ছিল না। কাজ করার সময় একটি দ্বিতীয় প্রশাসনিক পথ খোলা রাখুন, বিশেষত এমন একটি যা সম্পাদিত অ্যাকাউন্টের উপর নির্ভর করে না, কারণ এখানকার ব্যর্থতার ধরনটি আপনার অ্যাক্সেস ঠিক যখন দরকার তখনই সরিয়ে দেয়। তারপর একটি নতুন সাইন-ইন এবং এটি যে সম্পদগুলোতে পৌঁছাতে পারে তা যাচাই করুন।

প্রমাণ করুন যে অনুমতিগুলো টিকে গেছে

রোটেট করা ব্যবহারকারী হিসেবে সাইন ইন করুন এবং সেশনটি কী দেয় তা দেখুন, কেবল এটি খুলেছে তা নয়। এমন সম্পদে পৌঁছান যার জন্য অ্যাকাউন্টের বহন করার কথা এমন অনুমোদন দরকার, এবং এমন একটি চেষ্টা করুন যেখানে তার পৌঁছানো উচিত নয়। সংকুচিত বা প্রসারিত অ্যাক্সেস নিয়ে সফল লগইন একটি ব্যর্থ পরিবর্তন।

চলমান কনফিগারেশনের অনুমোদন অ্যাট্রিবিউটগুলো শুরুতে নেওয়া কপির সঙ্গে তুলনা করুন। গ্রুপ সদস্যপদ, অ্যাড্রেস পুল, DNS এবং স্প্লিট-টানেল সেটিংস, এবং অ্যাকাউন্টের নাম উল্লেখ করা যেকোনো নীতি অবজেক্ট দেখুন। তারপর সেই ক্রেডেনশিয়াল কোথায় থাকে তার রেকর্ড হালনাগাদ করুন, কারণ পরবর্তী রোটেশন সেই নোট থেকেই শুরু হয়। যে রোটেশন ডকুমেন্টেশন থেকে কেউ পুনরাবৃত্তি করতে পারে না, তা কেবল একবারই পার হয়েছে।