আপনার Mac VPN কেন প্রতিবার Keychain অ্যাক্সেস চায়
Mac VPN-এর প্রতিটি প্রম্পট কোন উপাদান তৈরি করে তা চিহ্নিত করুন, ডুপ্লিকেট সংযোগের চেষ্টা বন্ধ করুন এবং পুরো keychain রিসেট না করেই Keychain অ্যাক্সেস ঠিক করুন।
Connect-এ একবার ক্লিক করলে একটি সাইন-ইন উইন্ডো আসা উচিত। Mac-এ প্রায়ই তিনটি আসে, আর তারা খুব কমই একই মালিক ভাগ করে: স্থানীয় শংসাপত্রের প্রম্পটের মালিক Keychain, VPN গেটওয়ে প্রমাণীকরণের মালিক, আর ক্লায়েন্ট নিজের নোটিশের মালিক। সবকিছু চুপ করিয়ে দেয় এমন একটি সুইচ খোঁজার বদলে প্রতিটি উইন্ডোকে আলাদা ত্রুটি হিসেবে দেখুন, যার নিজস্ব সমাধান আছে। নিচের রানবুকটি একটি ইচ্ছাকৃত সংযোগের চেষ্টা ধরে এগোয় এবং এমন একটি পরীক্ষায় শেষ হয় যা আপনি পুনরাবৃত্তি করতে পারেন।
সেটিং বদলানোর আগে প্রতিটি ডায়ালগের মালিকের নাম দিন
প্রথম ধাপটি হিসাবরক্ষণ, কনফিগারেশন নয়। একটি সংযোগের চেষ্টা করুন এবং যে প্রতিটি উইন্ডো আসে তার জন্য চারটি ক্ষেত্র লিখুন: ডায়ালগে দেখানো অ্যাপের নাম, গোপন কিছু বাদ দিয়ে হুবহু টেক্সট, কোন পর্যায়ে এটি এসেছিল, এবং আপনি এটি বাতিল করলে কী হয়েছিল। এমন তিনটি সারি আমার দেখা প্রায় প্রতিটি রিপোর্ট কভার করে।
মালিকানা সঠিক সমাধান নির্ধারণ করে, আর ভুল সমাধানই সাধারণত একটি প্রম্পটকে তিনটি করে তোলে:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
একই চেষ্টার ভেতরে ফিরে আসা প্রম্পট পরের চেষ্টায় ফিরে আসা প্রম্পট থেকে আলাদা সংকেত। প্রথমটির মানে সাধারণত আপনার নিচে সংযোগটি পুনরায় চালু হয়েছে; দ্বিতীয়টির মানে সাধারণত সংরক্ষিত শংসাপত্র আবার চাওয়া হচ্ছে। keychain স্পর্শ করার আগে আপনার কোনটি আছে তা লিখে রাখুন, কারণ দুটির মধ্যে প্রায় কিছুই মিল নেই।
কতগুলো জিনিস টানেল চালু করছে তা বের করুন
Mac-এ একই VPN চারটি প্রক্রিয়া চালু করতে পারে: মেনু বারের একটি কাজ, একটি লগইন আইটেম, একটি On Demand নিয়ম, এবং একটি স্ক্রিপ্ট বা এজেন্ট। যখন দুটি কাজ করে, দ্বিতীয় শুরুটি আসতে পারে যখন প্রথমটি এখনও প্রমাণীকরণের অপেক্ষায়, যা একটি ডুপ্লিকেট উইন্ডো তৈরি করে কিন্তু কোনো অগ্রগতি দেয় না। আগে তালিকা করুন কী কনফিগার করা আছে: scutil --nc list সিস্টেম সেটিংস যে VPN সেবাগুলো জানে সেগুলো তাদের বর্তমান অবস্থাসহ দেখায়। যে ক্লায়েন্টরা নিজেদের নেটওয়ার্ক এক্সটেনশন নিয়ে আসে তারা প্রোফাইল অ্যাপের ভেতরে রাখে এবং সেখানে নাও দেখা দিতে পারে, তাই ক্লায়েন্টের নিজের সংযোগ তালিকাও দেখুন।
তারপর প্রতিদ্বন্দ্বী স্টার্টার খুঁজুন। scutil --nc show "Work VPN" একটি অন্তর্নির্মিত সেবার কনফিগারেশন অভিধান দেখায়, On Demand নিয়মসহ; যে নিয়ম কোনো ইন্টারফেস পরিবর্তনে পুনরায় সংযোগ করে সেটি প্রতিবার Wi-Fi ঘোরাফেরা করলে বা ডিসপ্লে নেটওয়ার্ক স্ট্যাক জাগালে টানেল পুনরায় চালু করবে — এবং প্রমাণীকরণের প্রম্পট আবার খুলবে। সিস্টেম সেটিংস > সাধারণ > লগইন আইটেম-এর অধীনে লগইন আইটেম দেখুন, এবং ব্যবহারকারীভিত্তিক এজেন্ট তালিকা করুন ls ~/Library/LaunchAgents দিয়ে। MDM-পরিচালিত নিরাপত্তা স্ট্যাকের মালিকানাধীন কিছুতে হাত দেবেন না; তা সরানো সাধারণত পরের চেক-ইনে ফিরিয়ে দেওয়া হয়।
চেষ্টার সময় আসলে কী চলছে দেখতে: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. যেখানে একটি প্রত্যাশা করেন সেখানে দুটি ক্লায়েন্ট হেল্পার থাকা "কেন আমি দুটি প্রম্পট পেলাম" ব্যাখ্যা করে যেকোনো শংসাপত্র সমস্যার চেয়ে অনেক বেশি।
keychain রিসেট না করে keychain অ্যাক্সেস ঠিক করুন
প্রম্পটটি আসে সংরক্ষিত আইটেমের অ্যাক্সেস কন্ট্রোল লিস্ট থেকে, VPN প্রোটোকল থেকে নয়। প্রতিটি আইটেম রেকর্ড করে কোন অ্যাপ্লিকেশন জিজ্ঞাসা না করেই এটি পড়তে পারে। ক্লায়েন্ট আপডেটের পর যে হেল্পার জিজ্ঞাসা করে তার নাম বা স্বাক্ষর আলাদা হতে পারে, অথচ আইটেমটি এখনও পুরোটির তালিকা দেখায়, তাই macOS প্রতিটি সংযোগে আবার জিজ্ঞাসা করে। সেই একটি আইটেমের জন্য নতুন হেল্পার অনুমোদন করাই পুরো সমাধান; প্রতিটি অ্যাপ্লিকেশন অনুমোদন করা নয়।
VPN স্পর্শ না করেই আপনি নিশ্চিত করতে পারেন যে ACL-ই কারণ: security find-generic-password -s "service-name" -g টার্মিনাল থেকে একই আইটেম পড়ে। যদি ওই কমান্ডও প্রম্পট তোলে, ডায়ালগটি keychain-এর এবং টানেল কেবল ট্রিগার। Apple-এর তিনটি বোতাম নিয়ে নির্দেশিকা — একবার অনুমোদন, সর্বদা অনুমোদন, প্রত্যাখ্যান — একবার পড়ার যোগ্য, কারণ প্রত্যাখ্যানই প্রম্পটকে পরের চেষ্টার বদলে তখনই ফিরিয়ে আনে।
আপনি যদি ভুল হেল্পার অনুমোদন করেন, Keychain Access-এ আইটেমটি খুলুন, Access Control-এ যান এবং সেই এন্ট্রি সরান; এটাই রোলব্যাক। লগইন keychain মুছে ফেলা বা এটি পুনর্নির্মাণকারী মেরামত টুল চালানোও সম্পর্কহীন পাসওয়ার্ড নষ্ট করে এবং সমস্যার চেয়ে অনেক বড় পরিবর্তন।
সাইন-ইন ও নীতি ধাপগুলো তাদের নিজস্ব ফ্লোতে রাখুন
ব্রাউজার সাইন-ইন বা MFA চ্যালেঞ্জ গেটওয়ের। আপনার সংস্থা সেশন স্থায়িত্ব বা সার্টিফিকেটভিত্তিক প্রমাণীকরণ দিলে তা ব্যবহার করুন, কারণ কম ঘন ঘন প্রমাণীকরণের এটাই সমর্থিত উপায়। ক্লায়েন্টে নির্দিষ্ট কোড টাইপ করা, বা প্রম্পট কখনো না আসার জন্য স্ক্রিপ্টে পাসওয়ার্ড রাখা, একটি ইন্টারঅ্যাকটিভ ফ্যাক্টরকে স্থির গোপন তথ্য দিয়ে বদলে দেয় এবং পরেরবার নীতি বদলালে ব্যর্থ হয়।
সংস্থার নোটিশ হলো একমাত্র শ্রেণি যা আপনার চাপা উচিত নয়। এগুলো সাধারণত পোশ্চার চেক বা গ্রহণযোগ্য-ব্যবহারের স্বীকৃতি কার্যকর করে, আর এগুলো লুকানো টানেল কাজ করলেও ডিভাইসকে অ-সম্মতিতে ফেলতে পারে। ত্রুটির ডায়ালগ অন্য শ্রেণি: প্রথম ত্রুটির টেক্সট রাখুন, কারণ দ্বিতীয় ডায়ালগ প্রায়ই পুনরায় চেষ্টার পর একই ব্যর্থতার প্রতিবেদন।
একটি চেষ্টায় যাচাই করুন, তারপর রিবুটের পর
ডুপ্লিকেট স্টার্টার সরানো এবং keychain এন্ট্রি মেরামতের পর একটি চেষ্টা করুন: মেনু বার হেল্পারসহ প্রতিটি ক্লায়েন্ট ইনস্ট্যান্স বন্ধ করুন, একবার সংযোগ করুন এবং উইন্ডোগুলো গুনুন। আপনি চান keychain অনুমোদন, যদি আইটেম পুনর্নির্মিত হয়, এবং একটি প্রমাণীকরণ ধাপ। এর বেশি নয়। scutil --nc status "Work VPN" একটি অন্তর্নির্মিত সেবার জন্য Connected রিপোর্ট করা উচিত।
তারপর একবার রিবুট করুন এবং পুনরাবৃত্তি করুন। যে প্রম্পট কেবল রিবুটের পর ফিরে আসে তা লগইন আইটেম বা On Demand নিয়মের দিকে ইঙ্গিত করে, শংসাপত্রের দিকে নয়; যা সেশনের ভেতরে ফিরে আসে তা ACL বা দ্বিতীয় স্টার্টারের দিকে ইঙ্গিত করে। দুটি পাসের পরও যদি এটি পুনরাবৃত্তি হয়, আপনার প্রশাসককে দেওয়ার উপযোগী জিনিস হলো প্রথম চেষ্টার তিন সারির টেবিল — মালিক, হুবহু টেক্সট, পর্যায় — ডায়ালগের স্ক্রিনশট নয়।
লক্ষ্য কম প্রম্পট, নীরব প্রম্পট নয়। যে সংযোগ তার অনুমোদনের ধাপ লুকায় সেটি আর আপনি অডিট করতে পারেন না, এবং পরের সার্টিফিকেট রোটেশন আপনাকে কোন উপাদান ব্যর্থ হচ্ছে না জেনেই পাবে।