Windows VPN অ্যাডাপ্টার কি ব্যক্তিগত না সর্বজনীন হওয়া উচিত?
তিনটি পরীক্ষা দিয়ে ঠিক করুন Windows VPN অ্যাডাপ্টার ব্যক্তিগত প্রোফাইলে পড়ে কি না: বিশ্বস্ত পথ, স্থিতিশীল শ্রেণিবিন্যাস এবং আপনার সত্যিই প্রয়োজনীয় নিয়ম।
Windows VPN অ্যাডাপ্টারকে ব্যক্তিগত করা কর্পোরেট টানেলের জন্য সঠিক এবং বাণিজ্যিক VPN ক্লায়েন্টের জন্য ভুল, আর এই পার্থক্য কেবল বাহ্যিক নয়। নেটওয়ার্ক বিভাগ একটি ফায়ারওয়াল প্রোফাইল বেছে নেয়, তাই একটিমাত্র পরিবর্তন একসঙ্গে পুরো নিয়মসমষ্টি অনুমোদন করে। আমি দেখেছি একটি লগইন স্ক্রিপ্ট প্রতিটি অশনাক্ত অ্যাডাপ্টারকে ব্যক্তিগত করে দেয়, যা হোটেলের ওয়াইফাই নেটওয়ার্কে ফাইল শেয়ারিং চুপচাপ উন্মুক্ত করে দিয়েছিল। তিনটি শর্ত এই উত্তর নির্ধারণ করে, এবং সেটিংয়ে হাত দেওয়ার আগে সবগুলোই সত্য হতে হবে।
বিভাগটি আসলে কী নির্ধারণ করে
Network Location Awareness প্রতিটি সংযুক্ত নেটওয়ার্কের জন্য অ্যাডাপ্টার যা জানাতে পারে তা থেকে একটি স্বাক্ষর তৈরি করে: গেটওয়ে ঠিকানা ও MAC, DNS সাফিক্স, কোনো ডোমেইন কন্ট্রোলার উত্তর দেয় কি না, এবং নেটওয়ার্কটি ইন্টারনেটে পৌঁছায় কি না। Windows সেই স্বাক্ষরে একটি প্রোফাইল যুক্ত করে, তারপর ফায়ারওয়াল সেই প্রোফাইলের নিয়মসমষ্টি প্রয়োগ করে। শনাক্তকরণ ব্যর্থ হলে সর্বজনীন হলো ফলব্যাক, তাই কাজ করা টানেলও অশনাক্ত নেটওয়ার্ক হিসেবে চিহ্নিত থাকতে পারে।
TUN বা TAP অ্যাডাপ্টার সাধারণত শনাক্তকরণকে কাজ করার জন্য খুব কম তথ্য দেয়। টানেলের অপর প্রান্তটি প্রায়ই গেটওয়ে নয় বরং একটিমাত্র ঠিকানা, DNS কেবল টানেলের ভেতরে পাঠানো হতে পারে, এবং অ্যাডাপ্টারের নিজের কোনো ডিফল্ট রুট থাকে না। ফলে যে লেবেল তৈরি হয় তা ফায়ারওয়ালের ইনপুট বর্ণনা করে, টানেলের স্বাস্থ্য নয়, আর এ কারণেই VPN সংযুক্ত হওয়ার মুহূর্তে ব্যক্তিগত প্রোফাইলের নিয়ম মেলা বন্ধ করে দেয়।
শর্ত এক: টানেলটি বিশ্বস্ত পথ
ব্যক্তিগত বেছে নেওয়া মানে এই দাবি করা যে এই ইন্টারফেস দিয়ে পৌঁছানো সবকিছু অন্তত আপনার নিজের LAN-এর মতোই বিশ্বাসযোগ্য, কারণ ডিসকভারি ও ইনবাউন্ড নিয়ম সেই সাবনেটকে স্থানীয় হিসেবে গণ্য করবে। ফাইল সার্ভার ও প্রিন্টারযুক্ত পরিচালিত সাবনেটে কর্পোরেট টানেলের ক্ষেত্রে এই দাবি সাধারণত সত্য হয়। অ্যাডাপ্টার হলো আপনার প্রতিষ্ঠান নিয়ন্ত্রিত একটি নেটওয়ার্কের দরজা, আর ওপারের মেশিনটি আপনার মেশিনকে যে নীতি অনুমোদন করেছিল সেই একই নীতিতেই অনুমোদিত।
বাণিজ্যিক VPN এগজিট এই পরীক্ষায় উত্তীর্ণ হয় না। অন্য গ্রাহকেরা এগজিট সাবনেট ভাগ করে নেন, আর তা ব্যক্তিগত হিসেবে চিহ্নিত করলে নেটওয়ার্ক ডিসকভারি, LLMNR ও NetBIOS নাম রিজলিউশন অপরিচিতদের ভরাট একটি সেগমেন্টে চলে যায়। স্প্লিট টানেলিংও ব্যর্থ হতে পারে: যখন অ্যাডাপ্টার একটি অ্যাপ্লিকেশনের জন্য একটিমাত্র হোস্ট রুট বহন করে, তখন বলার মতো কোনো বিশ্বস্ত সাবনেটই থাকে না, এবং বিভাগ বদলে আপনি কিছুই পান না।
শর্ত দুই: শ্রেণিবিন্যাস পুনঃসংযোগে টিকে থাকে
নতুন গেটওয়ে বা DNS সাফিক্স নতুন স্বাক্ষর তৈরি করে, আর Windows তার জন্য নতুন প্রোফাইল সিদ্ধান্ত নেয়। তাই এককালীন Set-NetConnectionProfile কেবল পরবর্তী পুনঃসংযোগ পর্যন্ত টেকে, চিরকাল নয়। প্রথম সংযোগের পরে নয়, পুনঃসংযোগের পরে প্রোফাইল যাচাই করুন, কারণ তখনই সেটিংটি নিজে থেকে ফিরে যায়।
এটি স্থায়ী করার তিনটি উপায় আছে। সবচেয়ে পরিচ্ছন্ন হলো নীতি: secpol.msc খুলুন, Network List Manager Policies-এ যান এবং নেটওয়ার্কের অবস্থান-ধরন নির্ধারণ করুন, অশনাক্ত-নেটওয়ার্ক নীতিসহ, যাতে প্রোফাইলটি কমান্ডের বদলে নীতিতেই প্রয়োগ হয়। দ্বিতীয়টি হলো প্রতি-সংযোগের স্ক্রিপ্ট বা সময়সূচিবদ্ধ কাজ, যা টানেল ওঠার পরে PowerShell cmdlet চালায়। তৃতীয়টি পুরোনো রুট-কৌশল, যা শনাক্তকরণকে যাচাইয়ের জন্য একটি গেটওয়ে দেয়:
route -p add 0.0.0.0 mask 0.0.0.0 10.8.0.1 metric 50 IF 24
Get-NetConnectionProfileরুট-কৌশলটি একটি কাজ চালানোর উপায়, শ্রেণিবিন্যাস নয়। মেট্রিক সম্পর্ক বদলালে বা VPN ক্লায়েন্ট পুনঃসংযোগে রুট পুনর্লিখন করলে এটি ভেঙে যায়, এবং দ্বিতীয় ডিফল্ট রুটে পড়া যেকোনো কিছুর পথ-নির্বাচন নিঃশব্দে বদলে দেয়।
শর্ত তিন: আপনার ব্যক্তিগত নিয়মসমষ্টি দরকার
ব্যক্তিগত প্রোফাইল সাধারণত File and Printer Sharing, Network Discovery এবং রিমোট অ্যাডমিনিস্ট্রেশন গ্রুপ বহন করে। যদি কাজটি হয় টানেল পেরিয়ে একটি SMB শেয়ার বা প্রিন্টারে পৌঁছানো, তবে সেটাই বিভাগ বদলানোর প্রকৃত কারণ। যদি কাজটি হয় একটি ওয়েব অ্যাপ্লিকেশনে আউটবাউন্ড অ্যাক্সেস, তবে বিভাগ অপ্রাসঙ্গিক: আউটবাউন্ড নিয়ম লিখুন, সর্বজনীন রাখুন, এবং সেখানেই থামুন।
| Scenario | Category | Why |
|---|---|---|
| Corporate tunnel to a file server or printer | Private | Private rules carry the sharing you need |
| Commercial VPN for privacy | Public | The exit subnet is shared with strangers |
| Split tunnel with a single host route | Public | No trusted subnet and an unstable signature |
| Site-to-site tunnel to a branch LAN | Private | The far subnet is managed like the local one |
| Lab adapter you control end to end | Private | Discovery helps and nothing else is exposed |
সারণিটি শুরুর বিন্দু হিসেবে পড়ুন, তারপর দেখুন আপনার বিল্ডে কোন ব্যক্তিগত নিয়মগুলো সত্যিই সক্রিয় আছে। কঠোরভাবে সুরক্ষিত ইমেজ ব্যক্তিগত প্রোফাইল থেকে ফাইল শেয়ারিং সম্পূর্ণ সরিয়ে থাকতে পারে, সে ক্ষেত্রে নিয়মটি ফিরিয়ে না আনা পর্যন্ত বিভাগ বদলে কিছুই অর্জিত হয় না। এই যাচাইয়ে একটি কমান্ড লাগে আর একটি দীর্ঘ বিকেল বেঁচে যায়।
বাকি সব না বাড়িয়ে পরিবর্তনটি করা
ওয়াইল্ডকার্ড নয়, ইন্টারফেস ইনডেক্স লক্ষ্য করুন, এবং আগে ও পরে তালিকাটি পড়ুন:
Get-NetConnectionProfile
Set-NetConnectionProfile -InterfaceIndex 24 -NetworkCategory Private
Get-NetFirewallProfileসংরক্ষিত প্রোফাইল রেজিস্ট্রির NetworkList কী-এর অধীনে থাকে, যেখানে Category মান সর্বজনীন, ব্যক্তিগত ও ডোমেইন নেটওয়ার্ক আলাদা করে। এটি সম্পাদনা করা সম্ভব এবং ভুল করা সহজ: অ্যাডাপ্টারের বর্তমান স্বাক্ষরের সঙ্গে মেলা এন্ট্রিটি বদলাতে হবে, আগের কোনো ঠিকানা রেখে যাওয়া পুরোনো এন্ট্রি নয়। পুরোনো এন্ট্রি এডিটরে সঠিক দেখায় এবং পুনঃসংযোগে কিছুই করে না।
যা-ই করুন, এমন স্ক্রিপ্ট ছাড়বেন না যা প্রতিটি অশনাক্ত অ্যাডাপ্টারকে ব্যক্তিগত করে দেয়। এটি হলো অবিশ্বস্ত ওয়াইফাইতে ডিসকভারি খুলে দেওয়ার এক-লাইনের সংস্করণ। শুধু টানেল সাবনেটের সঙ্গে শেয়ারিং দরকার হলে প্রোফাইল সর্বজনীন রাখুন এবং টানেলের দূরবর্তী ঠিকানা-পরিসরে সীমিত ইনবাউন্ড নিয়ম যোগ করুন; ফায়ারওয়াল নিয়মটি বিভাগের চেয়ে সংকীর্ণ।
লেবেল নয়, শেয়ারটি যাচাই করুন
পরিবর্তনের পরে লেবেলে ভরসা না করে সম্পদটি নিজেই পরীক্ষা করুন:
Test-NetConnection files.corp.example -Port 445
Resolve-DnsName files.corp.exampleঅ্যাডাপ্টার ব্যক্তিগত দেখাচ্ছে অথচ শেয়ারটি এখনও ব্যর্থ হলে বিভাগ আর আপনার সমস্যা নয়। নাম রিজলিউশন, অনুপস্থিত রুট বা শেয়ার অনুমতি একই উপসর্গ তৈরি করবে, আর আবার প্রোফাইল বদলে তার কোনোটিই সারানো যাবে না। একবার পুনঃসংযোগ করুন এবং সেটিং টিকেছে কিনা নিশ্চিত করতে Get-NetConnectionProfile আবার চালান, তারপর বাকি ব্যর্থতাটি সাধারণ SMB সমস্যা হিসেবে সমাধান করুন।
চেকলিস্ট: নিশ্চিত করুন টানেলটি পরিচালিত পথ, প্রোফাইলটি পুনঃসংযোগে টেকে, প্রয়োজনীয় ব্যক্তিগত নিয়মগুলো ইমেজে আছে, এবং শেয়ারটি রিজলভ হয়ে পোর্ট 445-এ উত্তর দেয়। প্রথম তিনটির কোনোটিই যদি মিথ্যা হয়, অ্যাডাপ্টার সর্বজনীন রাখুন এবং সীমিত নিয়ম দিয়ে অ্যাক্সেসের সমস্যাটি সমাধান করুন।