macOS-এ VPN প্রোফাইল আমদানি হয় না: আগে পেলোড পড়ুন

একটি Mac-এ প্রোফাইল নির্ভুলভাবে ইনস্টল হয়ে অন্যটিতে প্রত্যাখ্যাত হলে, নেটওয়ার্কে এখনও পৌঁছানো হয়নি, তাই সার্টিফিকেট, গেটওয়ে ও পাসওয়ার্ডকে দোষ দেওয়ার কিছু নেই। ইনস্টলার এমন একটি পেলোডে থেমে গেছে যা সে গ্রহণ করত না, এবং সাধারণত কোনটি তা লিখে রাখে। ফলে প্রোফাইল ফাইল ও যা এটি তৈরি করেছে—এই দুটোই কাজ করার একমাত্র যুক্তিসঙ্গত জায়গা হিসেবে থাকে, এবং ক্লায়েন্টে সেটিংস মুছে ফেলা মেরামতের বদলে প্রমাণ নষ্ট করার উপায় হয়ে দাঁড়ায়।

Mac রিসেট না করে প্রোফাইলটি পড়ুন

.mobileconfig রপ্তানি করুন এবং ক্লায়েন্টে হাত দেওয়ার আগে দেখুন এটি আসলে কী বহন করে:

plutil -p profile.mobileconfig | head -60

একটি VPN প্রোফাইল আসলে ভিন্ন কাজ করা দুটি পেলোড: com.apple.vpn.managed সংযোগ ধরে রাখে, আর com.apple.dnsSettings.managed রিজলভার কনফিগারেশন ধরে রাখে। ইনস্টলার যে প্রথম পেলোডটি প্রত্যাখ্যান করে সেখানেই ইনস্টলেশন থেমে যায়, এবং প্রত্যাখ্যানটি সিস্টেম লগে সেই পেলোডের নামসহ জমা হয়, তাই লগই আপনাকে বলে কোন অংশটি খুলতে হবে। শেষবার যে প্রোফাইলটি আমদানি হয়েছে তার একটি অনুলিপি রাখুন, কারণ সেই ফাইলই আপনার তুলনার ভিত্তি।

জেনারেটর চুপচাপ কী যোগ করেছে

Apple Configurator 2.15 বিল্ড 7A23 তার DNS পেলোডের ভিতরে নিচের ব্লকটি তৈরি করেছে:

<key>DNS</key>
<dict>
  <key>SupplementalMatchDomainsNoSearch</key>
  <integer>0</integer>
</dict>

macOS 12.1-এ সেই বিল্ডের লেখা প্রোফাইল আমদানির সময় প্রত্যাখ্যাত হয়েছিল। Configurator 2.11.1 দিয়ে তৈরি সংযোগ কোনো অভিযোগ ছাড়াই ঢুকেছিল, কারণ সেই সংস্করণ কী-টি আদৌ লেখেনি। পুরো DNS অভিধান বা শুধু সমস্যাযুক্ত কী-টি মুছে ফেলুন, আবার সংরক্ষণ করুন, তারপর অন্য কিছু বদলানোর আগে একই মেশিনে আবার চেষ্টা করুন। সাধারণত ওই একটি সম্পাদনাই পুরো মেরামত।

টুলটির একটি ফাঁদ আছে যা বিশ্বাস করার আগে জানা দরকার। কী-টি মুছে ফেলার পর একই সংযোগ সংরক্ষণ করলে সেটি ফিরে আসেনি, এবং কেবল নতুন করে একটি সংযোগ তৈরি করলেই সেটি আবার দেখা দিয়েছে। প্রতিটি নতুন তৈরি প্রোফাইলকে সন্দেহজনক ধরে নিয়ে পরীক্ষা করুন, বিশেষত যখন এক বসায় পুরো একটি ব্যাচ সংযোগ তৈরি করা হয়েছে।

MDM পথ অন্য জায়গায় ব্যর্থ হয়

একই প্রোফাইল পাঠানো একটি ব্যবস্থাপনা সার্ভিস ভিন্ন জায়গায় ব্যর্থ হতে পারে: ক্লায়েন্ট অভিযোগ করে যে কোনো VPN সার্ভিসই তৈরি হয়নি। যে ঘটনাটি জানানো হয়েছে সেখানে সার্টিফিকেট প্রমাণীকরণের জন্য কনফিগার করা একটি পেলোড তবুও পাসওয়ার্ড ফিল্ড দাবি করছিল; সেটি একটি প্লেসহোল্ডার দিয়ে পূরণ করলে প্রোফাইলটি প্রয়োগ হয়, আর কোনো কিছুই সেই মানটি প্রমাণীকরণে ব্যবহার করেনি।

যদি সেই পথ নেন, একটি ডামি স্ট্রিং রাখুন, কখনও প্রকৃত ক্রেডেনশিয়াল নয়, এবং আসল গোপন তথ্য প্রোফাইলের মূল অংশের বাইরে রাখুন। কার্যকর পাসওয়ার্ড বহনকারী প্রোফাইল এমন ফাইল হয়ে যায় যা একটি কী-এর মতো সুরক্ষিত রাখতে হয়, আর এটি আপনার শুরু করা ব্যর্থ আমদানির চেয়ে অনেক বড় সমস্যা। প্রোফাইল বিতরণের আগেই ঠিক করুন ওই প্লেসহোল্ডারের মালিক কে, যাতে পরে কেউ এটিকে ঘোরানোর যোগ্য মান ভেবে না ফেলে। এটি কেন আছে তা নথিভুক্ত করতে এক লাইন লাগে এবং ছয় মাস পরে একটি ঝগড়া বাঁচায়।

প্রোফাইলটি সত্যিই পৌঁছেছে কি না নিশ্চিত করুন

আমদানি সফল হওয়া মানে কার্যকর সার্ভিস নয়, তাই এই ক্রমে পরীক্ষা করুন:

profiles show -type configuration
scutil --nc list
scutil --nc start "Your VPN Service"
scutil --nc status "Your VPN Service"
scutil --dns | head -20

প্রথম কমান্ডটি ইনস্টল করা পেলোড তালিকাভুক্ত করে; দ্বিতীয়টি বলে আদৌ কোনো VPN সার্ভিস আছে কি না। শেষটি, সংযোগ করার পর চালালে, সিস্টেম আসলে যে রিজলভার ব্যবহার করবে তা দেখায়। এগুলো এই ক্রমে পড়ুন এবং যেখানে শিকল ভাঙে সেখানেই থামুন, কারণ সার্ভিস না থাকলে রিজলভার নিয়ে যেকোনো প্রশ্ন অর্থহীন হয়ে যায়। একটি প্রোফাইল ইনস্টল হিসেবে তালিকাভুক্ত থেকেও ব্যবহারযোগ্য কিছু না থাকতে পারে, আর এই ক্রমটি ঠিক সেই অবস্থাটিই প্রকাশ করার জন্য তৈরি।

সার্ভিস এন্ট্রির এখনও ব্যবহারযোগ্য নাম না থাকলেও যদি টানেল উঠে আসে, তবে ডিসপ্লে-নেম ফিল্ডটি রপ্তানিতে হারিয়ে গেছে, এবং প্রতিকার ক্লায়েন্টে নাম বদলানো নয়, নতুন করে প্রোফাইল তৈরি করা। যদি রিজলভার স্থানীয়টির দিকেই নির্দেশ করতে থাকে, তবে DNS পেলোড আপনার ইচ্ছার চেয়ে আরও পুঙ্খানুপুঙ্খভাবে মুছে ফেলা হয়েছে।

রোলআউট ধাপে ধাপে করুন, একবারে একটি Mac

একটি ব্যবস্থাপিত Mac-এ একই OS বিল্ড দিয়ে ইনস্টল করুন, তারপর তিনটি বিষয় আলাদাভাবে পরীক্ষা করুন: সার্ভিস দেখা যাচ্ছে, রিজলভার বদলাচ্ছে, এবং একটি সত্যিকারের অভ্যন্তরীণ অনুরোধ সফল হচ্ছে। তিনটিই নিশ্চিত হওয়ার পরেই পরিসর বাড়ানো উচিত।

এগুলো তিনটি ভিন্ন ফলাফল যা তিনটি ভিন্নভাবে ব্যর্থ হয়, আর এজন্যই একটি পরীক্ষা মেশিন ওই দশ মিনিটের মূল্য রাখে। আমদানি হওয়া প্রোফাইল কার্যকর প্রোফাইল নয়, আর প্রথম ধাপের মেশিনটি বাকি বহর কোনোটি দেখার আগেই দুই ধরনের ব্যর্থতাই ধরে ফেলে।