কেন Protected Users ল্যাপটপের সাইন-ইনের আগে VPN দরকার

একটি ল্যাপটপ, একটি কাজ করা অ্যাকাউন্ট এবং একটি হোটেল নেটওয়ার্ক মিলে এমন একটি সাইন-ইন চক্র তৈরি করে যা কোনো পুনঃচেষ্টায় ভাঙে না। অ্যাকাউন্টটি Protected Users-এ আছে, যা Windows-কে সেই ভেরিফায়ার সংরক্ষণ করতে বাধা দেয় যা ব্যবহারকারীকে অফলাইনে প্রমাণীকরণের জন্য দরকার হয়। «আগে সাইন ইন করুন, পরে টানেল সংযুক্ত করুন» ধরনের যেকোনো পরিকল্পনায় ক্রম উল্টো, এবং সুরক্ষাটি ঠিক যা প্রতিশ্রুতি দিয়েছে তাই করছে। পরের অংশটি একটি সমর্থিত Windows হোস্টে প্রচলিত Active Directory অ্যাকাউন্ট ধরে নেয়।

সুরক্ষাটি আসলে কী সরিয়ে দেয়

Windows সাধারণত একটি ভেরিফায়ার ক্যাশে রাখে যাতে ডোমেইন অ্যাকাউন্ট ডোমেইন কন্ট্রোলার অপ্রাপ্য থাকলেও সাইন ইন করতে পারে। Protected Users অ্যাকাউন্টটির জন্য তা ব্লক করে, যা অফলাইন ডোমেইন সাইন-ইনকে অবিশ্বাসযোগ্য করার বদলে অসম্ভব করে তোলে।

এটি সাধারণ পুরোনো-ক্যাশ সমস্যা নয়, এবং সাধারণ প্রতিকার এখানে খাটে না। বারবার অনলাইনে সাইন ইন করা, আবার পাসওয়ার্ড বদলানো বা ক্যাশে করা লগঅন সংখ্যা বাড়ানো ক্ষমতাটি ফিরিয়ে আনবে না, কারণ এসব কাজের কোনোটিই সেই ভেরিফায়ার তৈরি করে না যা নীতি সংরক্ষণ করতে অস্বীকার করে। অ্যাকাউন্টটি যেমন ডিজাইন করা তেমনই আচরণ করছে, এবং ডিজাইনটি ধরে নেয় Windows জিজ্ঞাসা করার সময় নেটওয়ার্ক উপস্থিত। উপসর্গকে ক্যাশে ত্রুটি হিসেবে দেখা মানে দলগুলো এমন প্রোফাইল নতুন করে তৈরি করে যা কখনো নষ্ট ছিল না।

কেন টানেলকে ডেস্কটপের আগেই থাকতে হবে

Windows যে মুহূর্তে চায়, ঠিক সেই মুহূর্তে ডিভাইসটিকে ডোমেইন প্রমাণীকরণে পৌঁছাতে হবে, আর তা যেকোনো ব্যবহারকারী সেশন তৈরির আগে। যে VPN ক্লায়েন্ট ডেস্কটপ আসার পরেই শুরু হয়, সে নতুন সাইন-ইনকে এমন পথের জন্য অপেক্ষা করায় যা কখনো আসে না। নির্ভরতাটি মেশিনের, এমন ব্যবহারকারীর নয় যে এখনো লগইন করেনি।

এন্ডপয়েন্ট ও পরিচয়-মালিকদের সঙ্গে সম্মত একটি সমর্থিত প্রি-লগঅন ব্যবস্থা ব্যবহার করুন। কম্পিউটার সার্টিফিকেট দিয়ে প্রমাণীকৃত Always On VPN ডিভাইস টানেল যোগ্য যখন পরিচালিত ডিভাইসটি সেই ডিপ্লয়মেন্টের পূর্বশর্ত পূরণ করে। কোনো বিক্রেতার সমর্থিত সাইন-ইন স্ক্রিন ইন্টিগ্রেশন আরেকটি উপায়। স্বয়ংক্রিয় ট্রিগারযুক্ত সাধারণ ব্যবহারকারী প্রোফাইল কোনোটিই নয়, ক্লায়েন্ট ইন্টারফেসে যতই মিল দেখাক।

সেই পথের প্রয়োজন ডোমেইনের জন্য নাম রেজলিউশন, একটি প্রাপ্য ডোমেইন কন্ট্রোলার এবং অ্যাকাউন্ট যে প্রমাণীকরণ প্রোটোকল ব্যবহার করতে পারে তা, আর এর কোনোটিই «সংযুক্ত» সূচক দেয় না। এর রুট ও ফিল্টার পরিচয় সেবাগুলো বহন করবে এবং অপ্রয়োজনীয় আর কিছুই নয়, কারণ সেই প্রিফিক্স তালিকাই হলো সেই পৃষ্ঠ যা চুরি হওয়া ল্যাপটপ কেউ লগইন করার আগেই পায়। ব্যবহারকারী টানেলের জন্য নেওয়া স্প্লিট-টানেল সিদ্ধান্ত ডিভাইস টানেলে প্রযোজ্য হয় না, তাই দুটো আলাদাভাবে পর্যালোচনা করুন।

প্রাপ্যতা প্রমাণীকরণ সামঞ্জস্য নয়

একটি টানেল নিখুঁতভাবে প্যাকেট বহন করতে পারে অথচ ডোমেইন প্রমাণীকরণ ব্যর্থ হয়, কারণ যে প্রক্রিয়াটি চেষ্টা করা হচ্ছে তা এমন যা অ্যাকাউন্ট ব্যবহার করতে পারে না। যে ডোমেইনে গোষ্ঠীর নিষেধাজ্ঞা প্রয়োগ হয়, সেখানে NTLM সদস্যদের জন্য অনুপলব্ধ এবং Kerberos-এর জন্য AES-সামঞ্জস্যপূর্ণ অ্যাকাউন্ট ও কনফিগারেশন দরকার। প্যাকেটের পথ এর কোনোটিই সারাতে পারে না। এজন্যই ডোমেইন কন্ট্রোলারে পরিষ্কার ping সাইন-ইন কাজ করবে তার প্রমাণ নয়।

দুটি ক্রেডেনশিয়াল ব্যবস্থাও কাজে থাকতে পারে। VPN একটি পরিচয় প্রদানকারীর বিরুদ্ধে প্রমাণীকরণ করতে পারে, অথচ Windows আলাদাভাবে ডোমেইন লগঅন চায়, আর প্রথমটির গ্রহণ দ্বিতীয়টি সম্পর্কে কিছুই বলে না। «VPN সংযুক্ত হয়েছে» এবং «ব্যবহারকারী সাইন ইন করেছেন» আলাদা পর্যবেক্ষণ, এবং একটি ঠিক করা অন্যটিকে বোঝায় না।

প্রমাণীকরণের প্রমাণ পড়ুন

একই প্রচেষ্টার জন্য ক্লায়েন্ট এবং ডোমেইন কন্ট্রোলার উভয় থেকে ইভেন্ট সংগ্রহ করুন, কেবল এক পক্ষ থেকে নয়। Protected Users লগগুলো Applications and Services Logs\Microsoft\Windows\Authentication-এর অধীনে, এবং কিছু রেকর্ড করার আগে প্রশাসককে একটি লগ চালু করতে হতে পারে। টাইমস্ট্যাম্পগুলো টানেলের নিজস্ব সংযোগ লগের সঙ্গে মিলিয়ে দেখুন, কারণ ক্রমের ভুল উভয় পক্ষ থেকেই ক্রেডেনশিয়াল ত্রুটির মতো দেখায়।

নিচের প্রথম কমান্ডটি ডিভাইস যে সব প্রমাণীকরণ লগ প্রকাশ করে তা তালিকাভুক্ত করে, যাতে আপনি ব্লগ পোস্টে উল্লিখিতটির বদলে বিদ্যমানটিই পড়েন। দ্বিতীয়টি নামটি জানার পর সাম্প্রতিক এন্ট্রি পড়ে। প্রমাণীকরণ প্যাকেজ, অ্যাকাউন্ট এবং ব্যর্থতার শর্ত খুঁজুন, কারণ অনুপস্থিত নেটওয়ার্ক পথ ও প্রত্যাখ্যাত প্রক্রিয়া ভিন্ন প্রমাণ রেখে যায় এবং তাদের মধ্যে কেবল একটি VPN সমস্যা। যদি প্রচেষ্টার পরে টানেল উঠে থাকে, তবে ঐ এন্ট্রিগুলো যা-ই বলুক, ক্রমটি ভুল ছিল।

Get-WinEvent -ListLog *Authentication*
Get-WinEvent -LogName Microsoft-Windows-Authentication/Operational -MaxEvents 20

কোল্ড বুট থেকে সীমান্তটি প্রমাণ করুন

সাইন আউট বা সদ্য বুট হওয়া অবস্থা থেকে সীমিত অ্যাকাউন্ট দিয়ে পরীক্ষাটি চালান, এবং বিশেষাধিকারপ্রাপ্ত ব্যবহারকারীদের জন্য কিছু বদলানোর আগে অনুমোদিত পুনরুদ্ধার পথ খোলা রাখুন। ইতিমধ্যে চলমান ডেস্কটপে পরীক্ষা গুরুত্বপূর্ণ কোড পথের কোনো অংশই ব্যবহার করে না, আর এতেই বেশিরভাগ প্রতিবেদন ব্যাখ্যা হয় যেখানে সমাধান পরের রিবুট পর্যন্ত টিকে ছিল। তারপর চারটি ধাপ এই ক্রমে সম্পন্ন করুন।

1. কেউ সাইন ইন করার আগে ডিভাইসটি ডোমেইন কন্ট্রোলার খুঁজতে পারে তা nltest /dsgetdc:corp.example.com দিয়ে নিশ্চিত করুন।
2. ডোমেইন সাইন-ইন চেষ্টা করুন, তারপর klist দিয়ে জিজ্ঞাসা করুন আদৌ কোনো টিকিট পাওয়া গেছে কি না।
3. ডিভাইস যে প্রমাণীকরণ লগ রেকর্ড করে তা উপরের দুটি কমান্ড দিয়ে পড়ুন, এবং প্যাকেজ ও ব্যর্থতার শর্ত লক্ষ্য করুন।
4. অনুমোদিত পুনরুদ্ধার ক্রেডেনশিয়াল সাইন-ইন স্ক্রিন থেকে এখনো কাজ করে তা নিশ্চিত করুন, কারণ সীমান্ত পরীক্ষা ব্যর্থ হলে ফেরার একমাত্র পথ সেটিই।

প্রদত্ত ক্রেডেনশিয়াল দিয়ে ফাইল শেয়ার খোলাও অফলাইন ইন্টারঅ্যাকটিভ লগঅন তৈরি করে না, তাই এটি উপরের কোনো ধাপের বিকল্প নয়। সংস্থার সত্যিই সংযোগবিহীন সাইন-ইন দরকার হলে উত্তর হলো সচেতনভাবে বেছে নেওয়া সামঞ্জস্যপূর্ণ অ্যাকাউন্ট ও এন্ডপয়েন্ট ডিজাইন। অ্যাকাউন্টটি গোষ্ঠী থেকে বাদ দেওয়া, বা প্রতিটি ল্যাপটপে একটি অনিয়ন্ত্রিত জরুরি লগইন রাখা, হলো পরিচয়-নীতির সিদ্ধান্ত যা VPN পরিবর্তন আপনার হয়ে নিতে পারে না।

Protected Users ডকুমেন্টেশন ভেরিফায়ারের আচরণ এবং এই ডিজাইনের নির্ভরশীল ডোমেইন নিষেধাজ্ঞা—দুটোই বর্ণনা করে। কেউ যাত্রায় বের হওয়ার আগেই পুনরুদ্ধার প্রক্রিয়ার পরিকল্পনা করুন, কারণ কোল্ড-বুট পরীক্ষাই একমাত্র জায়গা যেখানে এটি অনুশীলন হয়।