TLS-পরিদর্শনকারী প্রক্সির পিছনে SSTP: সেশন কোথায় ভাঙে

আপনার ব্রাউজার কর্পোরেট ইন্ট্রানেট লোড করে, প্রক্সি সার্টিফিকেট বিশ্বস্ত, তবুও SSTP ক্লায়েন্ট সংযোগের শেষের দিকে বন্ধ হয়ে যায়। এই ধরনটি ভুল পাসওয়ার্ড নয়, বরং একটি ওয়েব অনুরোধ ও একটি টানেলযুক্ত সেশনের পার্থক্য দেখায়। TCP থেকে উপরের দিকে সংযোগটি ধরে এগিয়ে প্রথম যে ধাপটি ব্যর্থ হয় তা লিখে রাখুন। ভুল কোড নয়, ধাপটিই বলে দেয় প্রক্সি কি কারণ।

শুরু করুন যেখানে ক্লায়েন্ট থামে

ক্লায়েন্ট একটি নির্দিষ্ট ক্রম পার হয়: পোর্ট 443-এ TCP সংযোগ, TLS হ্যান্ডশেক, সার্টিফিকেট যাচাই, SSTP-এর HTTP বিনিময়, PPP দর-কষাকষি ও প্রমাণীকরণ, তারপর IP কনফিগারেশন। প্রতিটি ধাপের ব্যর্থতা আলাদা চিহ্ন রেখে যায়, আর সেগুলো গুলিয়ে ফেললে আপনি ভুল কনফিগারেশন পাতায় পৌঁছান।

TCP ব্যর্থতা মানে কোনো TLS বাইট আসার আগেই টাইমআউট বা রিসেট। TLS ব্যর্থতা মানে সতর্কতা বা হ্যান্ডশেক টাইমআউট। সার্টিফিকেট ব্যর্থতা চেইন বা নাম নিয়ে সতর্কতা তৈরি করে। HTTP ব্যর্থতা আসে সফল হ্যান্ডশেকের পরে, প্রায়ই স্ট্যাটাস কোড বা তাৎক্ষণিক বন্ধ হিসেবে। PPP ব্যর্থতা আসে টানেল কার্যত প্রতিষ্ঠিত হওয়ার পরে, তাই এটি প্রমাণীকরণের সমস্যা বলে মনে হয়।

প্রথম ত্রুটির লাইন নয়, ক্লায়েন্ট লগে শেষ সফল ধাপটি পড়ুন। ত্রুটির লাইন সাধারণত ক্লায়েন্টের ফলাফল জানানো, আর ধাপের সীমা বলে দেয় কোন উপাদানটি অস্বীকার করেছে।

SSTP নেটওয়ার্কের কাছে কী বহন করতে চায়

SSTP TCP 443-এ TLS-এর উপর চলে এবং তারপর SSTP স্পেসিফিকেশন-এ সংজ্ঞায়িত SSTP_DUPLEX_POST নামের একটি HTTP অনুরোধ /sra_{GUID}/ আকারের পথে পাঠায়। অনুরোধটি কার্যত সীমাহীন কনটেন্ট দৈর্ঘ্য ঘোষণা করে এবং সেশনের পুরো সময় ধরে স্ট্রিমটি উভয় দিকে খোলা রাখে। PPP ফ্রেম সেই স্ট্রিমের ভিতরে চলাচল করে।

এই কারণেই সাধারণ ব্রাউজিং সামলানো প্রক্সিও ব্যর্থ হতে পারে। সীমিত বডিসহ GET বা POST বাফার, পরিদর্শন ও ফরোয়ার্ড করা যায়; কখনো না শেষ হওয়া বডিসহ ডুপ্লেক্স স্ট্রিম করা যায় না। যে প্রক্সি বডি শেষ হওয়ার অপেক্ষা করে, সে চিরকাল অপেক্ষা করে, আর ক্লায়েন্ট শেষে টাইমআউট হয়।

মেথড ফিল্টারিং ও প্রমাণীকরণ নিজেদের ব্যর্থতার ধরন যোগ করে। প্রক্সি যদি অনুরোধে শংসাপত্র চায়, ব্রাউজার উত্তর দিলেও VPN ক্লায়েন্ট হয়তো উত্তর দেবে না। যদি এটি মেথড মুছে ফেলে বা পুনর্লিখন করে, গেটওয়ে PPP শুরুর আগেই অনুরোধটি প্রত্যাখ্যান করে।

কেন পরিদর্শন পরিচয় বদলে দেয়

TLS-পরিদর্শনকারী প্রক্সি ক্লায়েন্টের TLS সংযোগ শেষ করে গেটওয়ের সঙ্গে আলাদা একটি সংযোগ খোলে। তাই ক্লায়েন্ট গেটওয়ের নয়, প্রক্সির সার্টিফিকেট যাচাই করে, আর গেটওয়ে প্রক্সিকে তার সমকক্ষ হিসেবে দেখে। যখন প্রতিষ্ঠান নিজের রুট বিতরণ করে, ব্রাউজার ও VPN ক্লায়েন্ট দুটোই সেই চেইন গ্রহণ করতে পারে, ফলে হ্যান্ডশেক সফল হয় এবং সমস্যা পরের ধাপে চলে যায়।

সফল যাচাই মানে এই নয় যে প্রক্সি সেশনটি বহন করতে পারে। তাকে এখনও বাফার ছাড়া সীমাহীন দ্বিমুখী POST রিলে করতে হয় এবং দুই সংযোগই ঘণ্টার পর ঘণ্টা জীবিত রাখতে হয়। অনেক পরিদর্শন পণ্য অনুরোধ-প্রতিক্রিয়া ট্রাফিকের জন্য তৈরি এবং এই ক্ষেত্রটি খারাপভাবে সামলায় বা একেবারেই সামলায় না।

এই কারণেই অচেনা রুট যোগ করা বা যাচাই বন্ধ করা ভুল মেরামত। এটি বদলায় ক্লায়েন্ট কোন সার্টিফিকেট গ্রহণ করে; সেশনটি যে স্ট্রিম হ্যান্ডলিংয়ের কারণে ভেঙেছে, তাতে এটি কিছুই করে না।

সেটিংস বদলানোর আগে ইস্যুকারী চিহ্নিত করুন

প্রান্তবিন্দুকে জিজ্ঞাসা করুন এটি কোন সার্টিফিকেট উপস্থাপন করে এবং কে তা স্বাক্ষর করেছে। নিচের কমান্ডগুলো VPN সেশন না শুরু করেই চেইন ও ইস্যুকারী দেখায়:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts
curl -vI https://vpn.example.com/

ইস্যুকারী যদি পাবলিক CA হয়, এই হোস্টের জন্য সংযোগটি সম্ভবত বাধা দেওয়া হচ্ছে না এবং ব্যর্থতা অন্যত্র। ইস্যুকারী যদি প্রতিষ্ঠানের নিজের CA হয়, পরিদর্শন সক্রিয় এবং গেটওয়েতে পৌঁছানো হয় প্রক্সির মাধ্যমে। শুধু নাম দেখে সিদ্ধান্তে আসার আগে ফিঙ্গারপ্রিন্টটি নেটওয়ার্ক দলের প্রত্যাশিত ফিঙ্গারপ্রিন্টের সঙ্গে মিলিয়ে দেখুন।

একই হোস্টে ব্রাউজার পরীক্ষা শুধু প্রমাণ করে প্রক্সি একটি GET গ্রহণ করে। এটি SSTP মেথড, অনুরোধ URI বা বডির আয়ু নিয়ে কিছুই বলে না, তাই কাজ করা ইন্ট্রানেট পাতা টানেল পথ সমর্থিত হওয়ার প্রমাণ হিসেবে ধরবেন না।

সমর্থিত পথটি বেছে নিন

নেটওয়ার্ক মালিককে একটি নির্দিষ্ট প্রশ্ন করুন: প্রক্সি কি এই গেটওয়েতে পোর্ট 443-এ বাফারহীন ডুপ্লেক্স POST অনুমোদন করে? হ্যাঁ হলে প্রক্সি ব্যতিক্রম বা VPN হোস্টের জন্য নথিভুক্ত বাইপাসের পথ। না হলে বোঝায় পরিদর্শিত পথটি SSTP বহন করতে পারে না, আর সমর্থিত সমাধান ক্লায়েন্টের খুঁটিনাটি নয়, বরং ভিন্ন পথ বা প্রোটোকল।

বিকল্পগুলোর মধ্যে সাধারণত VPN গেটওয়ের জন্য অ-পরিদর্শিত নির্গমন, শুধু কর্পোরেট ট্রাফিক প্রক্সি দিয়ে পাঠানো স্প্লিট-টানেল নকশা, বা প্রতিষ্ঠান ভিন্ন পোর্টে সমর্থন করা বিকল্প প্রোটোকল থাকে। প্রতিটি নেটওয়ার্ক নকশার অংশ, আর তুলনাটি পথটিকে আলাদা করতে প্রতিটি একই ডিভাইস ও প্রোফাইলে পরীক্ষা করা উচিত।

ফলাফল নথিভুক্ত করুন: ইস্যুকারী, ব্যর্থ ধাপ, প্রক্সি নিয়ম ও নির্বাচিত পথ। পরের ব্যক্তি একই 98 শতাংশ আটকে যাওয়া দেখলে পুরো পথচলা পুনরাবৃত্তি না করে একটি তথ্যই যাচাই করতে পারবেন।