Wi-Fi পোর্টাল ও VPN লগইন আলাদা রাখুন
দুটি ভিন্ন সিস্টেম আপনাকে সাইন ইন করতে বলে: স্থানের Wi-Fi আর আপনার VPN গেটওয়ে। পর্দায় একই রকম দেখায়, কিন্তু সম্পূর্ণ ভিন্ন বিষয়ে অনুমতি দেয়। প্রতিটি উইন্ডোতে জিজ্ঞাসা করুন: এই গোপন তথ্যটি আসলে কে যাচাই করতে পারে?
একটি পাবলিক নেটওয়ার্কে দরকারি কিছুতে পৌঁছানোর আগে দুটি ভিন্ন সিস্টেম আপনাকে সাইন ইন করতে বলে: স্থানের Wi-Fi আর আপনার VPN গেটওয়ে। পর্দায় এরা একই রকম দেখায় এবং সম্পূর্ণ ভিন্ন বিষয়ে অনুমতি দেয়। পোর্টাল ঠিক করে এই ডিভাইসটি স্থানীয় নেটওয়ার্ক ব্যবহার করতে পারবে কি না; VPN ঠিক করে আপনি অন্য কোথাও একটি প্রাইভেট নেটওয়ার্কে পৌঁছাতে পারবেন কি না। আমি প্রতিটি উইন্ডোতে একটি প্রশ্ন করে এদের আলাদা রাখি: এই গোপন তথ্যটি আসলে কে যাচাই করতে পারে? এরপর যা আসছে তা হলো সেই চেকলিস্ট যা আমি হোটেল, বিমানবন্দর ও সম্মেলন কেন্দ্রে ব্যবহার করি, যেখানে লেখা বন্ধ করার জায়গাগুলোও আছে।
প্রতিটি লগইনকে তার যাচাইকারী সেবার সঙ্গে মিলিয়ে নিন
একটি হোটেল সংযোগে চারটি আলাদা পরীক্ষা থাকতে পারে, আর তাদের মধ্যে কেবল কয়েকটিই আপনার কাছ থেকে কিছু চায়। প্রথমে এদের ক্রমে সাজান, কারণ পর্দা খুব কমই বলে এটি কোন ধাপের।
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
অফিস ও বিশ্ববিদ্যালয়ে সাধারণ 802.1X নেটওয়ার্ক প্রথম দুই সারিকে অস্পষ্ট করে দেয়। সেখানে Wi-Fi সাইন-ইন নিজেই একটি RADIUS সার্ভারের বিরুদ্ধে পরিচয় যাচাই, আর ক্লায়েন্ট একটি রাউটিং পরিচয় দেখাতে পারে যখন আসল অ্যাকাউন্ট এনক্রিপ্টেড বিনিময়ের ভেতরে চলে। তখনও পরীক্ষাটি নেটওয়ার্কে যুক্ত হওয়া নিয়ে; এটি টানেলকে অনুমতি দেয় না, আর VPN গেটওয়ে এটিকে কোনো কিছুর প্রমাণ হিসেবে গ্রহণ করে না।
লেবেলের চেয়ে ক্রম বেশি গুরুত্বপূর্ণ। ক্যাপটিভ পোর্টাল থাকে কারণ সংযুক্ত হওয়ার পরে অ্যাক্সেস দেওয়া যায়, তাই স্থানটি পৃষ্ঠাটি একজন বিশেষজ্ঞ প্রদানকারীকে দিতে পারে। IETF-এর RFC 8952 পোর্টালকে তার নিজস্ব উপাদান হিসেবে দেখে, তাই অচেনা ডোমেইন যাচাইয়ের কারণ, নিজে থেকেই প্রতারণার প্রমাণ নয়। ডোমেইনটি স্থানের লিখিত নির্দেশনার সঙ্গে আর ফিল্ডগুলো টেবিলের সঙ্গে মেলান।
পোর্টাল কী চাইতে পারে তা যাচাই করুন
পোর্টালের ফিল্ডগুলো অধিকারের বিষয়, পরিচয়ের নয়: ঘরের নম্বর, বুকিংয়ের পদবি, ভাউচার কোড, চাবির মোড়কে ছাপা কোড, সময়সীমাবদ্ধ পাসের জন্য ইমেইল, শর্তাবলি গ্রহণ। স্থানটি ইতিমধ্যেই জানে কে ঘরটি বুক করেছে, তাই অন্য কোথাও আপনার হয়ে কাজ করার মতো কিছু না জেনেই সে সেই তথ্যগুলো মেলাতে পারে।
এই তালিকার বাইরের যেকোনো কিছু একটু থামার যোগ্য। একটি হটস্পট পৃষ্ঠা আপনার ডোমেইন পাসওয়ার্ড যাচাই করতে পারে না, আর আপনার VPN-এর এককালীন কোড, পুনরুদ্ধার কোড বা প্রাইভেট কী-ও যাচাই করতে পারে না, আর সেগুলো চাওয়ার কোনো কারণ তার নেই। একমাত্র বৈধ ব্যতিক্রম হলো কোনো প্রতিষ্ঠান পরিচালিত নেটওয়ার্ক: অফিসের গেস্ট SSID বা সম্মেলনের Wi-Fi আপনাকে সেই পরিচয় প্রদানকারীর কাছে পাঠাতে পারে যা আপনি ইতিমধ্যেই কাজে ব্যবহার করেন। এটি তবুও আলাদা করা যায়: সাইন-ইন হোস্ট আপনার দৈনন্দিনটিই, সম্মতির পর্দা আপনার টেন্যান্টের নাম বলে, আর প্রবাহটি ব্রাউজারের দৃশ্যমান ট্যাবে খোলে।
মার্কেটিং ইমেইল আলাদা: ভ্রমণের একটি উপনাম আপনার কাজের পরিচয় না দিয়েই ফিল্ডটি মেটায়।
যাচাই করুন VPN ক্লায়েন্ট তার নিজের ক্রেডেনশিয়াল চায় কি না
ক্লায়েন্ট ঠিক সেটাই চায় যার জন্য তার প্রোফাইল কনফিগার করা, তাই প্রত্যাশিত উইন্ডোটি প্রোফাইলের বৈশিষ্ট্য, আপনি যে নেটওয়ার্কে আছেন তার নয়। সার্টিফিকেট প্রোফাইল সাধারণত একটি প্রোফাইল পছন্দ দেখিয়ে তারপর নিঃশব্দে সংযোগ করে। ইউজারনেম ও পাসওয়ার্ড প্রোফাইল দুটোই চায়, প্রায়ই এককালীন কোডসহ। SSO প্রোফাইল আপনার ব্রাউজার পরিচয় প্রদানকারীর কাছে খোলে এবং টোকেন নিয়ে ফেরে। WireGuard আবার ভিন্ন: এটি পাবলিক কী দিয়ে ডিভাইস যাচাই করে এবং এর কোনো ব্যবহারকারী লগইন নেই, তাই WireGuard-এর ইউজারনেম ও পাসওয়ার্ড চাওয়া একটি উইন্ডো WireGuard-কে বর্ণনা করছে না।
ভ্রমণের আগে প্রোফাইলটি পড়ুন। OpenVPN-এ auth-user-pass বলে যে পাসওয়ার্ডের অনুরোধ প্রত্যাশিত, আর cert, key বা pkcs12 মানে একটি সার্টিফিকেটই কাজটি করবে। একটি প্রোফাইল যা সাধারণত অনুরোধ ছাড়াই সংযোগ করে হঠাৎ পাসওয়ার্ড চাইলে, সন্দেহ করুন এমন প্রোফাইল যা তার সার্টিফিকেট লোড করতে পারেনি বা অন্য পদ্ধতিতে ফিরে গেছে। অনুরোধ কোনো উইন্ডোতে আপনার কাজের পাসওয়ার্ড টাইপ করার আমন্ত্রণ নয়।
কোনো বৈধ VPN ক্লায়েন্ট ঘরের নম্বর, পোর্টাল ভাউচার বা Wi-Fi পাসফ্রেজকে প্রমাণীকরণের ইনপুট হিসেবে চায় না। যখন তা ঘটে, তখন হয় ক্লায়েন্টটি যা বলে তা নয়, নয়তো টানেল তৈরির আগেই একটি ক্যাপটিভ পোর্টাল ট্রাফিক আটকাচ্ছে আর আপনি লগইনের মতো সাজানো একটি HTML পৃষ্ঠা পড়ছেন।
এই পাঁচটি অবস্থায় থামুন
এগুলো সেই জায়গা যেখানে আমি যুক্তিসঙ্গত কোনো বিকল্প পথে এগোনোর বদলে থামি। প্রতিটি যাচাই করা সহজ আর ভুল করা ব্যয়বহুল।
- পোর্টালে বা SSO পৃষ্ঠায় সার্টিফিকেট বা TLS সতর্কতা দেখা যায়। নেটওয়ার্কে পৌঁছাতে সেটি ক্লিক করে এড়িয়ে যাবেন না।
- পৃষ্ঠাটি এমন গোপন তথ্য চায় যা কেবল VPN গেটওয়ে বা পরিচয় প্রদানকারী যাচাই করতে পারে: ডোমেইন পাসওয়ার্ড, এককালীন কোড, পুনরুদ্ধার কোড, প্রাইভেট কী।
- ডোমেইনটি স্থানের মুদ্রিত নির্দেশনা বা আপনার প্রতিষ্ঠান তার নিজের সেবার জন্য যে সাইন-ইন হোস্ট নথিভুক্ত করে তার সঙ্গে মেলে না।
- আপনাকে রুট সার্টিফিকেট, কনফিগারেশন প্রোফাইল বা সহায়ক অ্যাপ্লিকেশন ইনস্টল করতে বলা হয় যা আপনার ডিভাইস ব্যবস্থাপনা থেকে আসে না।
- আপনি শুরু করেননি এমন একটি MFA অনুমোদন আসে, বা VPN ক্লায়েন্ট হোটেলের ক্রেডেনশিয়াল চায়।
বিকল্পটি ভিন্ন কোনো পাসওয়ার্ড নয়। ফোনের হটস্পট ব্যবহার করুন, রিসেপশনে জিজ্ঞাসা করুন নেটওয়ার্কের সঠিক নাম ও অ্যাক্সেসের পদ্ধতি, আর পৃষ্ঠাটি নেটওয়ার্ক চালায় এমন কাউকে বা আপনার আইটি ডেস্ককে জানান। এর কোনোটিরই এমন পৃষ্ঠার বিরুদ্ধে ক্রেডেনশিয়াল পরীক্ষা করা লাগে না যা আপনি দায়ী করতে পারেন না।
ব্যর্থতাকে সঠিক ধাপে আরোপ করুন
দুই ধাপই পেরোনোর পরেও ব্যর্থতা ঘটে, আর ত্রুটিটি সাধারণত ধাপের নাম বলে যদি আপনি ক্রমে পড়েন: সংযোগ, ঠিকানা নির্ধারণ, পোর্টাল অনুমোদন, টানেল প্রতিষ্ঠা, তারপর অভ্যন্তরীণ রিসোর্স। পোর্টাল কোড শেষ হওয়ার কারণে VPN পাসওয়ার্ড বদলানো সময় নষ্ট করে আর আসল সমস্যাটি জায়গায় রেখে দেয়।
কয়েকটি পরীক্ষা ধাপগুলোকে আলাদা করে। পোর্টাল সাইন-ইনের পরে একটি সাধারণ পাবলিক HTTPS পৃষ্ঠা চান। যদি বদলে পোর্টালটিই ফেরে, তবে সেই স্তরে অনুমোদন কখনোই সম্পূর্ণ হয়নি। VPN ক্লায়েন্ট যদি জানায় যে গেটওয়েতে পৌঁছাতে পারছে না, সমস্যাটি টানেলের নিচে: পোর্টাল সেশন, নাম সমাধান, বা এমন নেটওয়ার্ক যা পোর্টটি ব্লক করে। টানেল উঠে এলে আর একটি অভ্যন্তরীণ হোস্টনাম ব্যর্থ হলে প্রাইভেট নেটওয়ার্কের ভেতরের নাম সমাধান বা নীতিই ভালো সন্দেহভাজন।
পোর্টাল সেশনও টানেল থেকে স্বাধীনভাবে শেষ হয়। স্থানটি অ্যাক্সেস প্রত্যাহার করলে প্রতিষ্ঠিত VPN সংযোগ নেমে যায়, যদিও তার ক্রেডেনশিয়াল কখনোই ভুল ছিল না। পোর্টাল আবার অনুমোদন করুন, তারপর VPN পুনরায় সংযুক্ত করুন এবং তাকে আবার সমঝোতা করতে দিন। তখন VPN পাসওয়ার্ড রোটেট করলে কিছুই ঠিক হয় না, আর আপনি লক আউট হতে পারেন।
প্রতিটি গোপন তথ্য কেবল সেই সিস্টেমকে দিন যা তা যাচাই করতে পারে, আর টেবিলের সঙ্গে না মেলা অনুরোধকে পাশ কাটানোর ধাপ নয়, থামার চিহ্ন হিসেবে দেখুন। দুই ধাপই পাস হলে আর টানেল তবুও অস্বীকার করলে, কোনো ক্রেডেনশিয়াল বদলানোর আগে ক্লায়েন্টের সঠিক ত্রুটিটি সংরক্ষণ করুন।