Mac VPN এক্সপোর্টে কী থাকে এবং কী পিছনে পড়ে থাকে
Mac VPN এক্সপোর্টে সেটিংস এবং কখনও কখনও একটি ব্যক্তিগত কী থাকে, কিন্তু কীচেইন পাসওয়ার্ড বা ডিভাইস নিবন্ধন থাকে না। প্রথমে প্রতিটি অংশ যাচাই করুন।
একটি Mac VPN ক্লায়েন্টে Export চাপুন এবং আপনি এমন একটি ফাইল পান যা একটি সংযোগ বর্ণনা করে, কিন্তু নিজে সংযোগ নয়। সার্ভার ঠিকানা, পোর্ট, প্রোটোকল এবং প্রায়ই সার্টিফিকেটগুলো এর ভিতরে থাকে। লগইন পাসওয়ার্ড, ব্যক্তিগত কী-এর পাসফ্রেজ এবং ঠিক এই Mac-কে অনুমোদন দেয় এমন নিবন্ধন সাধারণত থাকে না। তাই একটি প্রোফাইল পরিষ্কারভাবে ইমপোর্ট হতে পারে, ক্লায়েন্ট তালিকায় দেখাতে পারে এবং তবুও প্রথম প্রমাণীকরণ অনুরোধে ব্যর্থ হতে পারে; এই ফাঁকটি ফরম্যাটের একটি বৈশিষ্ট্য, নষ্ট ডাউনলোড নয়।
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
এক্সপোর্ট করা ফাইলে আসলে কী থাকে
একটি এক্সপোর্ট একটি কন্টেইনার, এবং ফাইলের এক্সটেনশন বিষয়বস্তুর চেয়ে কম বলে। OpenVPN প্রোফাইল হলো টেক্সট: নির্দেশাবলি, সঙ্গে ঐচ্ছিক ইনলাইন <ca>, <cert> এবং <key> ব্লক। Tunnelblick সেটআপ হলো কনফিগারেশন ও সেটিংসের সংকুচিত আর্কাইভ। একটি পরিচালিত .mobileconfig হলো পেলোডের plist। যেকোনো কিছু ইমপোর্ট করার আগে দুটি তালিকা প্রশ্নটির বেশিরভাগের উত্তর দেয়।
একটি টেক্সট প্রোফাইলের জন্য, এতে থাকা PEM ব্লকগুলো গুনুন: grep -c "PRIVATE KEY" your-profile.ovpn। শূন্য নয় এমন ফলাফল বোঝায় ফাইলটিতে কী উপাদান আছে এবং সেই মুহূর্ত থেকে এটিকে পাসওয়ার্ডের মতোই হ্যান্ডল করতে হবে। একটি আর্কাইভের জন্য, এটি না খুলেই তালিকা করুন: tar -tf export.tbz, অথবা unzip -l export.zip যদি ক্লায়েন্ট একটি zip তৈরি করে। ওই তালিকার কী ফাইল, সার্টিফিকেট ফাইল এবং আপ বা ডাউন স্ক্রিপ্টগুলোই সেই অংশ যা ব্যবহারকারী অ্যাকাউন্ট পুনরায় ইস্যু করলে পুনরায় তৈরি হবে না।
বিপরীত ক্ষেত্রটিও সমান গুরুত্বপূর্ণ। প্রোফাইল যখন কী-কে এমবেড করার বদলে ফাইলের নাম দিয়ে নির্দেশ করে, তখন এক্সপোর্টটি ইচ্ছাকৃতভাবে অসম্পূর্ণ এবং অনুপস্থিত অর্ধেকটি যিনি এটি ইস্যু করেছেন তাঁর কাছ থেকেই আসতে হবে। সার্টিফিকেট কর্তৃপক্ষ আপনার হলে ওই ফাইল পাশে কপি করা ঠিক; কিন্তু ফাইলটি যদি পুরোনো Mac-এ তৈরি ডিভাইস-বাঁধা সার্টিফিকেটের সঙ্গে এসে থাকে, তবে তা ঠিক নয়।
কেন কীচেইনের অর্ধেক কখনও ভ্রমণ করে না
macOS VPN পাসওয়ার্ড ও কী পাসফ্রেজ লগইন কীচেইনে রাখে, এবং ক্লায়েন্টরা সেগুলো নিজেদের সেটিংস ফাইলে নয়, সেখানেই সংরক্ষণ করে। Tunnelblick এটি তার এক্সপোর্ট ও ইমপোর্ট গাইডে বলে: সেটআপ আর্কাইভ কনফিগারেশন ও সেটিংস বহন করে এবং কীচেইনে রাখা ব্যবহারকারীনাম, পাসওয়ার্ড ও পাসফ্রেজ বাদ দেয়। বাদ দেওয়াটি ইচ্ছাকৃত। কীচেইন আইটেম প্রতি ব্যবহারকারী ও প্রতি মেশিনে সুরক্ষিত, তাই কপি করা আইটেমের গন্তব্যে কোনো বৈধ অ্যাক্সেস নিয়ন্ত্রণ থাকে না, ফলে হয় অকেজো ফাইল, নয় সাদা টেক্সটে একটি গোপন তথ্য পড়ে থাকে।
স্থানান্তরের পরিকল্পনা করার আগে আপনি যাচাই করতে পারেন ক্রেডেনশিয়ালটি কোথায় থাকে। security find-internet-password -s vpn.example.com মিলে যাওয়া আইটেমের অ্যাট্রিবিউট ছাপে এবং কোনোটিই না থাকলে অ-শূন্য কোডে শেষ হয়; একই কমান্ড -g সহ পাসওয়ার্ড প্রকাশের অনুরোধ করত, তাই এটি ছাড়া জিজ্ঞাসাটিই নিরাপদ যাচাই। সেখানে ফল পাওয়া মানে প্রোফাইল পাসওয়ার্ড বহন করছে না এবং করানোও যাবে না। এর মানে আরও যে নতুন Mac-এ পাসওয়ার্ড আবার চাওয়া হবে, আর পুরোনোটিতে দেওয়া «সবসময় অনুমোদন» সেখানে কিছুই গণ্য হয় না।
তবে প্রতিটি গোপন তথ্যই কীচেইন আইটেম নয়। Tunnelblick-এর নিজস্ব প্যাকেজ ডকুমেন্টেশন উল্লেখ করে যে একটি প্যাকেজে কী, সার্টিফিকেট ও স্ক্রিপ্ট ফাইল থাকতে পারে। তাই কীচেইন এন্ট্রি বাদ দেওয়া এক্সপোর্ট আর ইমেইলে পাঠানোর জন্য নিরাপদ এক্সপোর্ট—একই দাবি নয়; আর্কাইভে কী আছে তালিকা না করা পর্যন্ত এটিকে সংবেদনশীল হিসেবে ধরুন।
নেটিভ ও পরিচালিত VPN-এর কোনো এক্সপোর্ট পথ নেই
System Settings দিয়ে কনফিগার করা সংযোগ কোনো সমর্থিত এক্সপোর্ট দেয় না। scutil --nc list সিস্টেমের জানা সার্ভিসগুলো দেখায়, এবং scutil --nc show "Work VPN" একটি সার্ভিসের কনফিগারেশন ছাপে, যা তার সার্ভার ও প্রোটোকল পড়ার জন্য যথেষ্ট। কোনোটিই মাইগ্রেশন টুল নয়। /Library/Preferences/SystemConfiguration/preferences.plist-এ সংরক্ষিত সার্ভিস শনাক্তকারী ওই ফাইলের প্রতি রেফারেন্স, তাই ফাইলটি কপি করে শনাক্তকারী পুনর্লিখন সমর্থিত স্থানান্তর নয় এবং গন্তব্যে অসম্পর্কিত নেটওয়ার্ক সার্ভিস বিঘ্নিত করতে পারে।
সমর্থিত পথটি Apple যে দলিল দেয় সেটিই: প্রশাসকের দেওয়া VPN সেটিংস ফাইল ইনস্টল করুন, বা অপারেটর যে সেটিংস দেন সেগুলো লিখুন। সংযোগ পরিচালিত হলে পুরোনো ডায়ালগের স্ক্রিনশট থেকে এটি পুনর্গঠনের বদলে নতুন ফাইল বা নতুন নিবন্ধন চান। MDM-এর পাঠানো প্রোফাইলে সার্টিফিকেট পেলোড পরিচয় বহন করতে পারে, আর ব্যক্তিগত কী ডিভাইসে তৈরি হয়, এবং সেক্ষেত্রে পুরোনো প্রোফাইলের নিখুঁত কপিও নতুন Mac-কে প্রমাণীকরণ করতে পারে না।
তালিকায় বিশ্বাস না করে পুনরুদ্ধার যাচাই করুন
তালিকায় একটি প্রোফাইল আর কাজ করা একটি টানেল দুটি ভিন্ন অবস্থা, এবং কেবল একটিই রিপোর্ট করার যোগ্য। ইমপোর্ট ও সংযোগের পর দেখুন টানেল ইন্টারফেস আছে কি না, তারপর দেখুন টানেলটি কী করছে।
ifconfig | grep -A3 utun টানেল ইন্টারফেস ও তার ঠিকানাগুলো দেখায়। scutil --dns | grep nameserver সংযোগের পর কোন রিজলভারগুলো সক্রিয় তা দেখায়, আর ঠিক এখানেই split-DNS প্রোফাইল সাধারণত আলাদা হয়। তারপর সত্যিই গুরুত্বপূর্ণ রিসোর্সে পৌঁছান: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com। তিনটিই পাস মানে সেটিংস, DNS ও রুট এসে গেছে; ক্লায়েন্টে একটি সবুজ আইকন নিজে থেকে তার কিছুই বোঝায় না।
ইমপোর্টের পর দুটি ব্যর্থতা প্রায়ই দেখা যায় এবং দুটিরই দোষ ফাইলের ওপর দেওয়া হয়। পাবলিক নাম রিজলভ হচ্ছে কিন্তু অভ্যন্তরীণ নাম নয়, এর অর্থ সাধারণত প্রোফাইলের DNS সার্ভার বাদ পড়েছে বা split-DNS সংরক্ষিত হয়নি। যে টানেল ওঠে কিন্তু কোনো ট্রাফিক পার করে না, এর অর্থ সাধারণত রুট বা সার্ভার-পক্ষের অনুমোদন প্রোফাইল অনুসরণ করেনি। একই আর্কাইভ আবার ইমপোর্ট করলে দুটিই পুনরুৎপন্ন হয়।
পুরোনো Mac অবসরে পাঠানোর আগে
এক্সপোর্ট মুছে ফেলা প্রত্যাহার নয়। পুরোনো ডিভাইস সার্টিফিকেট দিয়ে প্রমাণীকৃত হলে সার্ভার সেই সার্টিফিকেটকে প্রত্যাহার বা পুনরায় ইস্যু না হওয়া পর্যন্ত বিশ্বাস করে। এটি শেয়ার্ড অ্যাকাউন্ট দিয়ে প্রমাণীকৃত হলে সেই অ্যাকাউন্টের সেশনগুলো এখনও সক্রিয় থাকতে পারে। হার্ডওয়্যার আপনার সামনে থাকতেই সার্ভার-পক্ষের ধাপটি সেরে ফেলুন।
নতুন প্রোফাইলে কী থাকলে সেটি আপনার অন্য ক্রেডেনশিয়ালের সঙ্গে সংরক্ষণ করুন, এবং পাসওয়ার্ডটি ক্লায়েন্টে টাইপ করুন যাতে তা ফাইলে নয়, নতুন কীচেইনে যায়। শেষ যাচাই: পুরোনো Mac বন্ধ থাকা অবস্থায় প্রতিস্থাপন ডিভাইস থেকে সংযোগ করুন। যে হস্তান্তর কেবল উৎস মেশিন অনলাইন থাকলেই কাজ করে, তা কখনও সম্পূর্ণ ছিল না।