ম্যানেজড VPN সহ সাধারণ Mac ব্যবহারকারী: আইটিকে কী নিয়ন্ত্রণ করতে হবে

সাধারণ macOS অ্যাকাউন্ট সারাদিন কর্পোরেট VPN চালাতে পারে, আর আইটি প্রতিটি বিশেষাধিকারপ্রাপ্ত কাজ নিজের হাতে রাখে। সেখানে পৌঁছানো একটি সরবরাহ-সিদ্ধান্ত, অনুমতি নিয়ে তর্ক নয়: কে ক্লায়েন্ট ইনস্টল করবে, কে সংযোগটি লিখবে এবং ব্যবহারকারী কী পরিবর্তন করতে পারবে তা বেছে নিন। তিনটি পথ প্রায় প্রতিটি ক্ষেত্রেই ঢেকে দেয়, এবং প্রতিটি আলাদা ভাবে ব্যর্থ হয়। ডিভাইসের মালিকানা ও ক্রেডেনশিয়ালের ধরন দেখে পথ বেছে নিন, তারপর নিজের বদলে সাধারণ ব্যবহারকারী হিসেবে এটি পরীক্ষা করুন।

সরবরাহের তিনটি পথ এবং প্রতিটি কী ঠিক করে

প্রথম পথ হলো সংস্থার ডিভাইস ম্যানেজমেন্টের দেওয়া একটি ম্যানেজড কনফিগারেশন প্রোফাইল। VPN পেলোডে গেটওয়ে, প্রমাণীকরণ পদ্ধতি, রুট ও DNS থাকে, এবং Mac কীভাবে নথিভুক্ত হয়েছে তার ওপর নির্ভর করে এটি ডিভাইস বা ব্যবহারকারী চ্যানেলে ইনস্টল হয়। দ্বিতীয় পথ স্ব-সেবা ইনস্টলার: ব্যবহারকারী একটি অনুমোদিত প্যাকেজ চালায় যা ক্লায়েন্ট বসায় এবং তার হয়ে সংযোগটি লেখে। এটি তখন কাজ করে যখন ম্যানেজমেন্ট নথিভুক্তি নেই, কিন্তু সংস্থা তবুও পুনরাবৃত্তিযোগ্য ও পর্যালোচনাযোগ্য কনফিগারেশন চায়। তৃতীয় পথ হলো ব্যবহারকারী প্রকাশিত মান অনুসরণ করে সিস্টেম সেটিংসে হাতে সংযোগ তৈরি করবে। এটি শুরু করতে সবচেয়ে সস্তা আর সমর্থন করতে সবচেয়ে ব্যয়বহুল, কারণ ক্লায়েন্টের দিকের প্রতিটি ভুল হেল্প ডেস্কে ফোনকলে পরিণত হয় এবং প্রতিটি পরিবর্তন একটি নোটে।

scutil --nc list
sudo profiles show -type configuration
system_profiler SPConfigurationProfileDataType

কোন সংযোগ আছে এবং কার মালিকানায় তা দেখতে প্রথম তালিকাটি পড়ুন, আর নীতি হিসেবে কী ইনস্টল হয়েছে তা দেখতে অন্য দুটি পড়ুন। কোনো তালিকাতেই না থাকা প্রোফাইল পৌঁছায়নি, ব্যবহারকারীকে যা-ই বলা হোক।

পদমর্যাদা নয়, ডিভাইসের মালিকানা দেখে সিদ্ধান্ত নিন

সংস্থার মালিকানাধীন Mac সাধারণত প্রথম পথকে সমর্থন করে, কারণ যে চ্যানেল VPN দেয় সেই চ্যানেলই তা সরাতে পারে, আর ব্যবহারকারী চুপচাপ সংযোগটি সম্পাদনা করতে পারে না। কোনো ব্যবহারকারী লগইন করার আগেই টানেল থাকতে হবে হলে ডিভাইস চ্যানেল বেছে নিন, আর সংযোগটি ব্যক্তির হলে ব্যবহারকারী চ্যানেল বেছে নিন। কর্পোরেট সেবাসহ ব্যক্তিগত মালিকানার Mac সাধারণত দ্বিতীয় পথে নির্দেশ করে। সংস্থা ডিভাইসটি পরিচালনা করতে পারে না, তাই ইনস্টলারটি ছোট, প্রত্যাবর্তনযোগ্য এবং যথেষ্ট নথিভুক্ত হতে হবে যাতে ব্যবহারকারী এটি ফিরিয়ে নিতে পারে।

স্থির সেটআপসহ অল্প কয়েকজন কারিগরি ব্যবহারকারী এবং মোতায়েনের আগে গেটওয়ে পরীক্ষা করতে চাওয়া যে কেউ — তাদের জন্য তৃতীয় পথ যুক্তিসঙ্গত থাকে। এর নিচের পরিসরে এটি হাতে টাইপ করা সেটিংসের একটি নিরীক্ষাহীন সমষ্টিতে পরিণত হয় যা কেউ তালিকাভুক্ত করতে পারে না।

প্রোফাইলকে অ্যাকাউন্ট থেকে আলাদা করুন

স্থানীয় সংযোগ প্রোফাইল বলে গেটওয়েতে কীভাবে পৌঁছাতে হবে। গেটওয়েতে অনুমোদিত অ্যাকাউন্ট বলে কলকারী ঢুকতে পারবে কি না। এগুলো ভিন্ন মানুষ সরবরাহ করে এবং ভিন্ন কারণে বাতিল করে, তাই প্রোফাইলকে কখনোই অনুমোদন হিসেবে গণ্য করবেন না। সার্টিফিকেট মাঝখানে থাকে। প্রোফাইলের সঙ্গে দেওয়া সার্টিফিকেট ডিভাইস বা ব্যবহারকারীকে প্রমাণীকরণ করে, আর গেটওয়েতে তা বাতিল করলে প্রোফাইল ডিস্কে থাকলেও প্রবেশ শেষ হয়। শুধু পাসওয়ার্ডভিত্তিক নকশা বরং অ্যাকাউন্টের জীবনচক্রের ওপর নির্ভর করে, তাই হস্তান্তরের নোটে অবশ্যই বলতে হবে দুটির মধ্যে কোনটি চালু আছে।

ক্লায়েন্টটি সিস্টেম VPN না অ্যাপ-প্রতি টানেল, তাও ঠিক করুন। অ্যাপ-প্রতি নকশা কেবল বাছাই করা অ্যাপ্লিকেশন রুট করে, এবং এটি নির্ভর করে ক্লায়েন্ট ব্যবহৃত macOS সংস্করণে ওই মডেল সমর্থন করে কি না, তাই সেটিংটি সঙ্গে যাবে ধরে নেওয়ার বদলে পাইলট মেশিনে যাচাই করুন।

অ্যাডমিন পাসওয়ার্ড ছাড়াই হস্তান্তর করুন

ব্যবহারকারীর সংযোগ শুরু করা, সাইন ইন করা এবং পাসওয়ার্ড পরিবর্তনের পরে পুনরুদ্ধার করা দরকার। এর কোনোটিই অ্যাডমিন অ্যাকাউন্ট দাবি করে না, আর কোনোটিই স্ক্রিপ্ট, Automator অ্যাকশন বা স্বাক্ষরিত প্যাকেজের ইনস্টল-পরবর্তী ধাপে ক্রেডেনশিয়াল এম্বেড করা সমর্থন করে না।

scutil --nc start "Acme VPN"
scutil --nc status "Acme VPN"
log show --predicate 'subsystem == "com.apple.networkextension"' --last 10m

প্রথম দুটি কমান্ড ব্যবহারকারী-স্তরের কাজ, যা হেল্প ডেস্ক কাউকে বলে দিতে পারে। তৃতীয়টি সংযোগ ব্যর্থ হলে সাম্প্রতিক টানেল কার্যকলাপ পড়ে, আর ত্রুটি ডায়ালগের স্ক্রিনশটের বদলে এটিই চাওয়ার উপাদান।

কোনো ধাপ যদি এখনও অ্যাডমিন অনুমোদন দাবি করে, তবে এটি সরবরাহের ত্রুটি: কাজটির প্রয়োজনের চেয়ে বেশি ক্ষমতার অ্যাকাউন্ট দেওয়ার বদলে সঠিক প্রম্পটটি প্রোফাইল মালিকের কাছে ফেরত পাঠান।

সাধারণ ব্যবহারকারী হিসেবে সাইন ইন করুন, তারপর প্রস্থান লিখুন

সাধারণ অ্যাকাউন্টে সাইন ইন করুন, সংযোগ করুন, অভীষ্ট অভ্যন্তরীণ হোস্টে পৌঁছান, Mac-কে ঘুমাতে দিন, জাগান এবং পুনঃসংযোগ নিশ্চিত করুন। পাসওয়ার্ড পরিবর্তনের পরে পুনরাবৃত্তি করুন, কারণ ঠিক সেখানেই এই স্থাপনাগুলোর অর্ধেক সত্যিই ব্যর্থ হয়। প্রথম ব্যবহারকারীর প্রয়োজন হওয়ার আগেই পুনরুদ্ধারের পথ লিখে রাখুন: প্রোফাইল না থাকলে, সার্টিফিকেটের মেয়াদ শেষ হলে এবং গেটওয়ে অন্যথায় বৈধ লগইন প্রত্যাখ্যান করলে কী করতে হবে। এই তিনটি উত্তর হেল্প ডেস্ক যেখানে খুঁজে পায় সেখানে রাখুন।

শেষে, অপসারণের পরিকল্পনা করুন। যে VPN এক অপারেশনে চলে যাওয়া ব্যবহারকারীর Mac থেকে সরিয়ে ফেলা যায় না, তা প্রবেশ পর্যালোচনার এমন ফলাফল যা ঘটতে চলেছে।