vpnc-এর গ্রুপ রহস্য নাকি আপনার লগইন: কোন ঘরটি কী নেয়?
একটি vpnc প্রোফাইল গ্রুপ ID, গ্রুপ রহস্য ও XAuth লগইন চায়, আর লোকেরা অ্যাকাউন্টের পাসওয়ার্ড ভুল বাক্সে ঢোকায়। প্রতিটি ঘরকে তার ভূমিকা অনুযায়ী মেলান।
কেউ প্রথমবার আপনাকে vpnc প্রোফাইল দিলে পরিচয়পত্রের সংলাপ চারটি জিনিস জিজ্ঞেস করে এবং একটি পাসওয়ার্ডই চাইছে বলে পড়া হয়। তা নয়: গ্রুপের আগেই ভাগ করা রহস্য আর ব্যক্তিগত XAuth লগইন আলাদা মালিকের আলাদা মান, আর অ্যাকাউন্টের পাসওয়ার্ড গ্রুপ ঘরে রাখলে ভুল বাক্সের মতো নয়, বরং খারাপ পাসওয়ার্ডের মতো দেখতে ব্যর্থতা আসে। এই মিলটি ঠিক করা এখানকার পুরো কাজ। নিচের প্রোটোকলটি অন্য কারও স্থানান্তর প্রকল্প, তাই এর কোনোটিই নতুন IKEv1 সুড়ঙ্গ তৈরির যুক্তি নয়।
দুই রহস্য, দুই মালিক, একটি সংলাপ
গ্রুপ রহস্য গেটওয়ে প্রোফাইলের। যে কেউ ওই প্রোফাইল দিয়ে সংযুক্ত হয় সে একই মান ব্যবহার করে, আর তাই এটি কোনো ব্যক্তিকে শনাক্ত করতে পারে না এবং প্রোফাইলের অন্য সব ব্যবহারকারীর জন্য না বদলে একটি ল্যাপটপ থেকে ফিরিয়ে নেওয়া যায় না। XAuth ব্যবহারকারীনাম ও পাসওয়ার্ড বরং মানুষের, আর IPsec সংযোগ আগেই দাঁড়িয়ে থাকার পর গেটওয়ে দ্বিতীয় ধাপে সেগুলো মূল্যায়ন করে।
লোকেরা এই দুই-ধাপের রূপটাই এড়িয়ে যায়। সুড়ঙ্গ স্থাপন আর ব্যবহারকারী প্রমাণীকরণ আলাদা ইনপুটের আলাদা বিনিময়, তাই যে ক্লায়েন্ট কখনো পরিচয়পত্রের অনুরোধে পৌঁছায় না সে লগইনে আদৌ ব্যর্থ হয়নি। সংলাপটিকে একটি নয়, দুটি স্তম্ভ হিসেবে পড়ুন: বাঁয়ে প্রোফাইল-ব্যাপী মান, ডানে ব্যক্তিগত মান। সংযোগ ব্যর্থ হলে আপনি শেষে যে স্তম্ভ ভরেছেন সেটি স্বয়ংক্রিয়ভাবে দোষী স্তম্ভ নয়।
ঘরগুলো ভূমিকা অনুযায়ী মেলান, লেবেল অনুযায়ী নয়
vpnc প্রকল্পের নথিতে তার নির্দেশগুলোকে নাম দেয়, আর প্রতিটি গ্রাফিক্যাল ফ্রন্টএন্ড সেগুলো আবার লেবেল করে। প্রতিটি মানের ভূমিকা অনুবাদ করুন, তখন লেবেল আর গুরুত্বপূর্ণ নয়:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
গ্রুপ ঘরের পাশে «ব্যবহারকারীনাম» ও «পাসওয়ার্ড» দেখানো ফ্রন্টএন্ড ভুল নয় — এগুলো আলাদা নামে একই তিনটি মান। যা ভাঙে তা হলো কোনো মান এতে ফিট করে বলে ঘর ভরানো। ব্যবহারকারীর পাসওয়ার্ড হিসেবে আটকানো গ্রুপ রহস্য প্রোফাইলটি প্রমাণীকরণ করে এবং পরে ব্যবহারকারী ধাপে ব্যর্থ হয়; গ্রুপ রহস্য হিসেবে আটকানো অ্যাকাউন্টের পাসওয়ার্ড আরও আগে, যেকোনো অনুরোধের আগে ব্যর্থ হয় এবং মানুষকে টেক্সট ঘরে বাস করা সমস্যার জন্য ফায়ারওয়ালে পাঠায়।
গ্রুপ শনাক্তকারী কী নয়
গ্রুপ শব্দটি ভুল পাঠের আমন্ত্রণ দেয়। এখানে গ্রুপ শনাক্তকারী হলো এমন একটি নির্বাচক যা গেটওয়েকে বলে কোন প্রোফাইল কনফিগারেশন প্রয়োগ করতে হবে; এটি ডিরেক্টরি সদস্যতা সম্পর্কে কিছুই বলে না, আর দুই পাশে মিলে যাওয়া নাম অপারেটর নিশ্চিত না করা পর্যন্ত কাকতালীয়। অনুমোদন XAuth সফল হওয়ার পরে ঘটে, গেটওয়ে কীসের সঙ্গে পরামর্শ করতে কনফিগার করা আছে তা ঠিক করে, এবং এর কিছুই ক্লায়েন্টের সংলাপে দেখা যায় না।
একই সতর্কতা গ্রুপ রহস্যের ক্ষেত্রেও প্রযোজ্য। এটি জানা পরিচয় নয়, আর একটি রহস্য দলের মধ্যে ঘোরানো এমন ফলসমেত পরিচালন সিদ্ধান্ত যা ক্লায়েন্ট আপনাকে দেখাতে পারে না।
সংযুক্ত হওয়ার আগে দ্ব্যর্থক নির্দেশ মেটান
পুরোনো হস্তান্তর নোটে প্রায়ই «নিবেদিত পাবলিক IP ব্যবহার করুন» এমন একটি লাইন থাকে। ওই বাক্যাংশটি সেই ঠিকানা বোঝাতে পারে যা থেকে অপর প্রান্তের অনুমোদন তালিকা আপনার ট্রাফিক আসার আশা করে, এটি অপারেটরের নেটওয়ার্কের প্রস্থান বৈশিষ্ট্য এবং গেটওয়ে ঘরে আপনি যে প্রান্তবিন্দু টাইপ করেন তার সঙ্গে এর কোনো সম্পর্ক নেই। মান কোথাও যাওয়ার আগে দুইয়ের মধ্যে কোনটি বোঝানো হয়েছে জিজ্ঞেস করুন। উল্টো ভরলে এটি প্রতিটি প্যাকেট এমন ঠিকানায় পাঠায় যা কখনো উত্তর দেয় না, এবং ফলে যে সময়সীমা আসে তা বাধাপ্রাপ্ত পোর্টের মতো পড়া হয়।
সংস্থার যাচাইকৃত চ্যানেল দিয়ে চারটি জিনিস চান: কোন ক্লায়েন্ট ও প্রোটোকল সমর্থিত, কোন প্রান্তবিন্দু ব্যবহার করতে হবে, গেটওয়ে কোন পরিচয় উপস্থাপন করবে, এবং পরিচয়পত্র কীভাবে হস্তান্তর হয়। আসল রহস্যগুলো স্ক্রিনশট, টিকিট ও ভাগ করা সমস্যা-সমাধান নোটের বাইরে রাখুন। সার্টিফিকেট পরীক্ষা বন্ধ করবেন না এবং ভিন্নভাবে কনফিগার করা সেবাকে সামঞ্জস্যপূর্ণ দেখাতে পুরোনো সাইফার তালিকা আটকাবেন না, কারণ কেবল যাচাই দুর্বল করেই চলে এমন সংযোগ আপনার বানাতে বলা সংযোগ নয়।
পুরোনো প্রোফাইল সৎ রাখুন
IKEv1 অপ্রচলিত, আর স্থানান্তরের প্রশ্ন উঠলে যে নথিটি উদ্ধৃত করতে হয় তা হলো RFC 9395। সফল ঘর-মিলন প্রমাণ নয় যে প্রোটোকলটি নতুন নকশায় পড়ে; এটি যা কেনে তা হলো প্রতিস্থাপন নির্ধারিত হওয়া পর্যন্ত কাজ করা সংযোগ, সঙ্গে লিখিত পরিধি ও ওই স্থানান্তরের মালিক।
তারপর সংলাপের বিরুদ্ধে নয়, প্রয়োজনের বিরুদ্ধে যাচাই করুন। সংযুক্ত হওয়ার পর নিশ্চিত করুন সুড়ঙ্গ ইন্টারফেসের প্রত্যাশিত ঠিকানা আছে এবং অভ্যন্তরীণ গন্তব্য তার মধ্য দিয়ে রুট হয়; যদি মূল প্রয়োজন অনুমোদন তালিকার জন্য প্রস্থান ঠিকানা বলেছিল, সেই ঠিকানাও নিশ্চিত করুন, কারণ এটি সুড়ঙ্গ দাঁড়িয়ে থাকার চেয়ে ভিন্ন তথ্য। যে প্রোফাইল সঠিকভাবে প্রমাণীকরণ করে এবং কিছুই রুট করে না, সেটিও যে কাজের জন্য তৈরি হয়েছিল তা এখনো মিস করেছে।