কোন RRAS সাইট ইন্টারফেস একটি অন্তর্গামী টানেল বেছে নেয়?
RRAS পিয়ার ঠিকানা, ব্যবহারকারীনাম বা সার্টিফিকেট সাবজেক্ট দিয়ে অন্তর্গামী সাইট ইন্টারফেস বেছে নেয়, তাই সেই কী-টি সক্রিয় ও সংযুক্ত অবস্থা থেকে আলাদা করে পড়ুন।
একাধিক সাইট-থেকে-সাইট ইন্টারফেসযুক্ত Windows সার্ভারে কনসোলের লেবেল কেবল মানুষের জন্য টীকা নয়। RRAS অন্তর্গামী সংযোগের একটি নির্দিষ্ট ক্ষেত্র ব্যবহার করে ঠিক করে কোন যৌক্তিক ইন্টারফেস উত্তর দেবে, আর সেই ক্ষেত্রটি প্রমাণীকরণ পদ্ধতির সাথে বদলায়। কী ভুল হলে আপনি ইন্টারফেসের নাম বদলাতেই থাকবেন, যতক্ষণ না কোনও কিছু ভাগ্যক্রমে সংযুক্ত হয়। নির্বাচনের নিয়ম, প্রশাসনিক অবস্থা ও সেশন অবস্থা তিনটি আলাদা তথ্য, এবং তাদের মধ্যে কেবল একটি নামকরণ সম্পর্কে।
ভ্রান্ত ধারণা: নাম বদলানো ইন্টারফেস সবকিছুর সাথে মিলবে
কোনও শাখা সংযুক্ত হতে না পারলে প্রলুব্ধকর সমাধান হলো এমন সাইট ইন্টারফেস তৈরি বা নাম বদলানো যা কলকারীর মতো দেখায়। এটি একটি প্রমাণীকরণ পদ্ধতিতে কাজ করে আর বাকিগুলোর ক্ষেত্রে নীরবে ব্যর্থ হয়, তাই একই পদ্ধতি পরস্পরবিরোধী ফলাফল নিয়ে ঘুরে বেড়ায়। সাইট ইন্টারফেস হলো নিজস্ব গন্তব্য, সুরক্ষিত প্রিফিক্স ও অবস্থাসহ একটি যৌক্তিক সংযোগ বস্তু। এটি এনক্রিপ্টেড প্যাকেট বহনকারী ভৌত অ্যাডাপ্টার নয়, তাই নেটওয়ার্ক অ্যাডাপ্টারের দিকে তাকিয়ে কোন সাইট বস্তু বেছে নেওয়া হয়েছে তা জানা যায় না।
নির্বাচনের সাথে সাধারণ দূরবর্তী-অ্যাক্সেস ব্যবহারকারীরও কোনও সম্পর্ক নেই। কর্মচারীদের VPN ক্লায়েন্টরা ডায়াল করলে তারা ভিন্ন ভূমিকা, এবং তাদের ব্যবহারকারীনাম কখনও এই ম্যাপিংয়ে অংশ নেয় না। পরিচিত কোনও নাম থেকে কিছু অনুমান করার আগে কলকারী কোন ভূমিকার তা নিশ্চিত করুন।
তিনটি প্রমাণীকরণ রূপ, তিনটি নির্বাচন কী
পূর্ব-শেয়ারকৃত কী-তে ইন্টারফেসের কনফিগার করা গন্তব্য ঠিকানা অন্তর্গামী পিয়ারের ঠিকানার সাথে মেলানো হয়। লেবেল যা-ই হোক, কারণ সিদ্ধান্ত বহন করে ঠিকানাটি। ব্যবহারকারীনাম-ভিত্তিক প্রমাণীকরণে ইন্টারফেসের নাম কলকারীর দেওয়া ব্যবহারকারীনামের সাথে মেলানো হয়। এখানে লেবেলই কী, আর ঠিক এ কারণেই একটি সাইট ঠিক করে অন্যটি ভাঙার মতো দেখায় নাম বদল।
সার্টিফিকেটের ক্ষেত্রে ইন্টারফেসের নাম উপস্থাপিত সার্টিফিকেটের সাবজেক্ট নামের সাথে মেলানো হয়। নামটি সেই সাবজেক্টের সাথে মিলতে হবে, আর অপারেটরের বানানো সুন্দর লেবেল কাজ করবে না।
দুটি পরিণাম আসে। পূর্ব-শেয়ারকৃত কী ব্যবস্থায় একটি নির্দিষ্ট গন্তব্যের জন্য কেবল একটি ইন্টারফেস সক্রিয় করা যায়, তাই একই দৃশ্যমান পাবলিক ঠিকানা ভাগ করা দুটি শাখা নকল এন্ট্রি দিয়ে একসাথে সেবা পেতে পারে না। আর কনসোল যা-ই প্রস্তাব করুক, আপনি যে পদ্ধতি সত্যিই কনফিগার করেছেন সেটিই নিয়ন্ত্রণ করে।
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
সক্রিয় মানে সংযুক্ত নয়
প্রশাসনিক অবস্থা বলে যৌক্তিক ইন্টারফেসের কাজ করার অনুমতি আছে কি না। সংযোগ অবস্থা বলে এখনই কোনও সেশন আছে কি না। সেশনহীন সক্রিয় ইন্টারফেস চাহিদা-অনুযায়ী ডায়াল লিঙ্কের স্বাভাবিক বিশ্রাম অবস্থা, আর এটিকে ত্রুটি হিসেবে রিপোর্ট করলে মানুষ এমন বিভ্রাটের পিছনে ছোটে যা নেই।
নামভিত্তিক অনুসন্ধান বা নথিভুক্ত রাউটিং-ডোমেইন অনুসন্ধান ব্যবহার করুন, তবে দুটি প্যারামিটার একসাথে নয়, এবং তা নির্ধারিত সার্ভার প্রসঙ্গে চালান। আপনি যে ইন্টারফেস আশা করছেন তা প্রথম তালিকায় না থাকলে সমস্যাটি অবস্থার আগে: কিছুই বাছাই হয়নি।
জোড়াটি আলাদা করে নয়, একসাথে পড়ুন। যে লিঙ্ক স্থায়ী থাকার কথা এবং সংযোগবিচ্ছিন্ন দেখাচ্ছে তা তদন্তের যোগ্য, অন্যদিকে চাহিদা অনুযায়ী সংযুক্ত হওয়া নিষ্ক্রিয় ডায়াল লিঙ্ক ডিজাইন অনুযায়ীই চলছে। এদিকে প্রশাসনিকভাবে নিষ্ক্রিয় ইন্টারফেস বিপরীত পক্ষ তার রাউটার যতবার রিবুট করুক অন্ধকারই থাকবে।
দুটি মানের কোনওটিই প্রমাণ করে না যে প্রমাণীকরণ সফল হয়েছে, সমঝোতা করা সুরক্ষা মিলেছে, রুট ইনস্টল হয়েছে, বা ব্যক্তিগত অ্যাপ্লিকেশন অনুমোদিত। এগুলো চারটি ভিন্ন প্রশ্ন এবং চারটি ভিন্ন উত্তর।
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStateকিছু সক্রিয় করার আগে পরিচয়ের লেনদেন পড়ুন
যখন কোনও অন্তর্গামী কলকারী আপনার অপ্রত্যাশিত ইন্টারফেসে ম্যাপ হয়, তখন কাজের প্রমাণ হলো তার উপস্থাপিত পরিচয়, নিষ্ক্রিয় ইন্টারফেসের তালিকা নয়। সাম্প্রতিক দূরবর্তী অ্যাক্সেস ইভেন্টগুলো বের করে কলকারীর ঠিকানা, প্রমাণীকরণের ফলাফল ও নির্বাচিত ইন্টারফেসের নাম পড়ুন। নিষ্ক্রিয় ইন্টারফেস ইচ্ছাকৃতভাবে অবসর দেওয়া সাইট বা নিষিদ্ধ অংশীদার হতে পারে। একটি লগইন ত্রুটি সরে যায় কি না দেখতে তা সক্রিয় করা রাউটিং ও অ্যাক্সেসের পরিণামসহ একটি কনফিগারেশন পরিবর্তন, তাই সেই সাইট সম্পর্কের মালিকের মাধ্যমে সিদ্ধান্তটি নিন, তার গন্তব্য, সুরক্ষিত প্রিফিক্স ও নীতিসহ।
ম্যাপিং সত্যিই ভুল হলে উপসর্গ নয়, কী-টি ঠিক করুন: সার্টিফিকেট সাবজেক্ট বা ব্যবহারকারীনামের ক্ষেত্রে ইন্টারফেসের নাম ঠিক করুন, আর পূর্ব-শেয়ারকৃত কী-র ক্ষেত্রে গন্তব্য ঠিক করুন। তারপর একবার পুনঃসংযোগ করুন এবং নিশ্চিত করুন যে একই কলকারী এখনই অভীষ্ট বস্তুটি বেছে নিচ্ছে।
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }অনুমোদিত একটি অপারেশন দিয়ে চক্রটি বন্ধ করুন
সবুজ অবস্থা মানেই গ্রহণ নয়। সঠিক ইন্টারফেস নির্বাচিত হলে ডিজাইন যে ট্রাফিক অনুমোদন করে তা তৈরি করুন, একটি সুরক্ষিত প্রিফিক্সের হোস্ট থেকে অন্যটির হোস্টে, এবং নিশ্চিত করুন যে উত্তর একই পথে ফিরে আসে। যে হোস্ট প্রত্যাখ্যাত হওয়া উচিত সেখান থেকেও একই চেষ্টা চালান, ব্যবহার করে Test-NetConnection -ComputerName 10.44.2.10 -Port 445 ডিজাইন যে সেবাটি বাদ দেয় তার বিরুদ্ধে, এবং দূরবর্তী অ্যাক্সেস ইভেন্টগুলো আবার পড়ুন। যে সাইট লিঙ্ক নিজের অভীষ্ট প্রিফিক্সের বেশি বহন করে, বা নীতি যে সেবা বাদ দেয় তার উত্তর দেয়, তা রাউটিংয়ের ভুল যা কোনও অবস্থা-পরীক্ষা ধরে ফেলবে না।
প্রমাণীকরণ পদ্ধতি, নির্বাচন কী ও অনুমোদিত প্রিফিক্স একসাথে সাইটের পরিচালনা-নির্দেশিকায় লিখে রাখুন। পরবর্তী প্রকৌশলী একই তিন-মানের সারণি পাবেন, আর নামকরণের রীতি কেবল তখনই অর্থবহ হয় যখন সেই প্রসঙ্গ লেখা থাকে।