কেন নেটিভ Windows IKEv2-এ PSK ফিল্ড নেই

গেটওয়ের ডকুমেন্টেশন বলছে প্রি-শেয়ার্ড কী ক্লায়েন্টে বসাতে হয়, অথচ Windows প্রোফাইলে তার জন্য কোনো ফিল্ড নেই। এই ঘাটতি পাসওয়ার্ড বাক্সে কী টাইপ করে পাশ কাটানোর মতো কোনো বাগ নয়। এটি প্রোটোকল কী করতে পারে আর একটি নির্দিষ্ট বাস্তবায়ন কী দেয়, তার মধ্যকার পার্থক্য।

প্রোটোকল সক্ষমতা ক্লায়েন্ট সমর্থন নয়

IKEv2 স্পেসিফিকেশনে শেয়ার্ড-কী প্রমাণীকরণ আছে, তাই একটি গেটওয়ে বৈধভাবে তার জন্য কনফিগার করা যায়। অথচ নেটিভ Windows রিমোট-অ্যাক্সেস প্রোফাইল এর বদলে শংসাপত্র ও EAP ব্যবস্থা নথিভুক্ত করে, আর প্রোটোকল সক্ষমতা এমন কোনো ফিল্ড, প্যারামিটার বা রেজিস্ট্রি মান তৈরি করে না যা ক্লায়েন্টের কখনো ছিল না।

সাধারণত মানুষ VPN সংযোগ যোগ করার PowerShell রেফারেন্স-এ পৌঁছায়, আর সেখানে L2TP ব্যবস্থার জন্য L2tpPsk দেখানো হয়। ওই প্যারামিটার L2TP-এর অন্তর্গত, সাধারণ IKEv2 গোপনীয়তা নয়। অ্যালগরিদম-নির্বাচন সেটিংস সুরক্ষা প্যারামিটার বেছে নেয়, যা তৃতীয় ও অসংশ্লিষ্ট বিষয়। Windows Server রাউটিং ভূমিকাও একই বস্তু নয়। সার্ভার ইন্টারফেসে এমন কনফিগারেশন নিয়ন্ত্রণ থাকতে পারে যা ডেস্কটপ ক্লায়েন্ট প্রোফাইলে নেই, আর সার্ভারের সেটিং ওয়ার্কস্টেশন প্রোফাইলে কপি করলে সেই সক্ষমতা পুনরুৎপাদিত হয় না।

শংসাপত্র, EAP বা L2TP-এর মধ্যে বাছাই করুন

গেটওয়ে অপারেটর শংসাপত্র প্রমাণীকরণ গ্রহণ করলে সেটিই সাধারণত সবচেয়ে পরিচ্ছন্ন গন্তব্য: ক্লায়েন্ট একটি শংসাপত্র উপস্থাপন করে, গেটওয়ে তা বিশ্বস্ত ইস্যুয়ারের বিরুদ্ধে যাচাই করে, আর প্রোফাইলে কেউ কপি করার মতো কোনো শেয়ার্ড গোপনীয়তা থাকে না। এতে এনরোলমেন্ট, বিশ্বস্ত চেইন এবং শংসাপত্রকে অনুমোদনের সিদ্ধান্তে মেলানো একটি গেটওয়ে কনফিগারেশন দরকার।

ব্যবহারকারীর ক্রেডেনশিয়ালসহ EAP এই ক্লায়েন্টে অন্য সমর্থিত পথ, এবং এটি সিদ্ধান্তটি একটি পরিচয় প্রদানকারীর কাছে সরিয়ে দেয়। এটি নিজস্ব নির্ভরতাও আনে, কারণ EAP পদ্ধতি, সার্ভার শংসাপত্র এবং সেই শংসাপত্রে ক্লায়েন্টের আস্থা—সবই মিলতে হবে। শুধু পরিচিত একটি ফিল্ড পেতে L2TP/IPsec-এ যাওয়া প্রোটোকল স্ট্যাক বদলে দেয়। এটি গ্রহণযোগ্য যখন এটি নথিভুক্ত কারণসহ একটি সমর্থিত পছন্দ, আর খারাপ ফল যখন কেউ কী লেখার বাক্স খুঁজছিল বলে তা ঘটে।

গেটওয়ে কী গ্রহণ করবে তা যাচাই করুন

অপারেটরকে জিজ্ঞাসা করুন রিমোট-অ্যাক্সেস সেবা আজ কোন প্রমাণীকরণ পদ্ধতি দেয়, পণ্যটি সাধারণভাবে কোনগুলো সমর্থন করে তা নয়। শুধু PSK-এর জন্য কনফিগার করা IKEv2 সেবা ক্লায়েন্ট পছন্দ করলেই শংসাপত্র গ্রহণ করবে না।

Get-VpnConnection -Name "Corp IKEv2" | Format-List AuthenticationMethod, TunnelType, EncryptionLevel, ServerValidation
Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, NotAfter

প্রোফাইলের প্রমাণীকরণ পদ্ধতি ও শংসাপত্রের ভাণ্ডার একসঙ্গে পড়ুন। পেছনে ব্যবহারযোগ্য শংসাপত্র ছাড়া EAP-তে সেট করা প্রোফাইল এমনভাবে ব্যর্থ হয় যা সার্ভারের সমস্যার মতো দেখায়।

উত্তর যদি হয় যে কেবল PSK পাওয়া যায়, তবে সৎ বিকল্প হলো এটি সমর্থনকারী একটি অনুমোদিত ক্লায়েন্ট বা গেটওয়ের প্রমাণীকরণ নকশার পরিবর্তন। কোনোটিই স্থানীয় সমাধান নয়, আর অন্যথা দাবি করলে এমন সংযোগ তৈরি হয় যা কেবল যিনি কনফিগার করেছেন তিনিই পুনরুৎপাদন করতে পারেন।

সিদ্ধান্ত ও গোপনীয়তা লিপিবদ্ধ করুন

নির্বাচিত পদ্ধতি, বিশ্বস্ত অ্যাঙ্কর, তার সঙ্গে মেলানো পরিচয় এবং পরিবর্তনটি অনুমোদনকারী ব্যক্তিকে লিখে রাখুন। সেই রেকর্ডই ঘটনা পর্যালোচনার প্রয়োজন মেটায়, আর সেটিই পরবর্তী প্রকৌশলীকে একই মৃত পথ আবার আবিষ্কার করা থেকে বিরত রাখে।

আপনার নোটে গোপনীয়তাগুলো আলাদা রাখুন: অ্যাকাউন্ট পাসওয়ার্ড, প্রাইভেট-কী পাসফ্রেজ আর গেটওয়ের প্রি-শেয়ার্ড কী তিনটি আলাদা জিনিস, যদিও একটি সেটিংস স্ক্রিন সবগুলোকে পাসওয়ার্ড বলে। এগুলো গুলিয়ে ফেলাই কী টিকিটে ঢোকার পথ। ফলাফল প্রোফাইলটি নতুন সংযোগ ও একটি ব্যক্তিগত সম্পদের প্রতি একটি অ্যাপ্লিকেশন অনুরোধ দিয়ে পরীক্ষা করুন। পৌঁছানো যায় এমন সেবা ছাড়া সফল টানেল আংশিক ফল, আর সম্পদটিও কাজ না করা পর্যন্ত প্রোফাইলকে সম্পূর্ণ বলা উচিত নয়।