VPN পুনরায় সংযোগ করলে শংসাপত্র আবার কেন চায়
সংরক্ষিত পাসওয়ার্ড আর পুনরায় ব্যবহারযোগ্য টোকেন আলাদা সময়সূচিতে মেয়াদোত্তীর্ণ হয়। ক্লায়েন্টে কিছু বদলানোর আগে পড়ুন পুনরায় সংযোগ কোন উপাদান চেয়েছিল।
ঘণ্টার পর ঘণ্টা কাজ করা একটি টানেল ল্যাপটপ জাগার মুহূর্তেই পাসওয়ার্ড চায়, অথচ কনফিগারেশনে কিছুই বদলায়নি। যা বদলেছে তা হলো সেই শংসাপত্রের অবস্থা, যা পুনরায় সংযোগ পুনরায় ব্যবহার করার চেষ্টা করছিল। তিন ধরনের উপাদান এটি নিয়ন্ত্রণ করে, আর তাদের মধ্যে কেবল একটি যেকোনো বিরতি সহ্য করে।
ক্লায়েন্ট কোনটি চেয়েছিল তা পড়ুন, কারণ তিনটিই আলাদা ঘড়িতে মেয়াদ শেষ করে এবং আলাদা বার্তা দিয়ে ব্যর্থ হয়।
তিন ধরনের পুনরায় ব্যবহারযোগ্য উপাদান
ক্যাশে করা পাসওয়ার্ড হলো ক্লায়েন্টের রাখা একটি গোপন তথ্য, আর অ্যাকাউন্ট সেটি না বদলানো পর্যন্ত এটি বৈধ থাকে। সেশন টোকেন সফল লগইনের পরে সার্ভার দেয়, এর নিজস্ব আয়ু থাকে এবং যেকোনো মুহূর্তে বাতিল করা যায়। TLS সেশন টিকিট বা IKE সিকিউরিটি অ্যাসোসিয়েশন হলো প্রোটোকল অবস্থা, পুনরায় শুরু করা সস্তা এবং আপনার পাসওয়ার্ড থেকে সম্পূর্ণ স্বাধীন। প্রত্যেকটি আলাদা উপাদান দেয়, আর প্রত্যেকটি নিজের শর্তে মেয়াদ শেষ করে।
প্রথমটি রিবুট সহ্য করে, দ্বিতীয়টি সাধারণত সাসপেন্ড সহ্য করে, আর তৃতীয়টি নেটওয়ার্ক পরিবর্তন একেবারেই সহ্য না-ও করতে পারে। এগুলো গুলিয়ে ফেললে ভুল সমাধান হয়, যেমন এমন পাসওয়ার্ড রিসেট করা যা কখনো প্রত্যাখ্যাত হয়নি।
প্রম্পট নিজেই রোগনির্ণয়। ব্রাউজার উইন্ডো বা দ্বিতীয় ফ্যাক্টরের কোড মানে সার্ভার ইন্টারঅ্যাকটিভ প্রমাণীকরণ দাবি করেছে, আর প্রম্পট ছাড়া নীরব ব্যর্থতা মানে ক্লায়েন্ট জিজ্ঞাসিত হওয়ার মতো দূরেই পৌঁছায়নি।
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
কী পুনর্নবীকরণ পুনঃপ্রমাণীকরণ নয়
কী পুনর্নবীকরণ কী বদলায় কিন্তু প্রমাণিত পরিচয় ধরে রাখে, তাই সুস্থ টানেলে এটি মাঝেমধ্যে নীরবে ঘটে। পুনঃপ্রমাণীকরণ পরিচয় যাচাই নিজেই পুনরাবৃত্তি করে, আর সেই ঘটনাটিই আপনার প্রয়োজন। IKEv2 দুটিকে স্পষ্টভাবে আলাদা করে, আর প্রতিপক্ষ মধ্যবর্তী যতবারই কী পুনর্নবীকরণ হোক না কেন, নির্ধারিত ব্যবধানে পূর্ণ পুনঃপ্রমাণীকরণ দাবি করতে পারে। লগ কোনটির নাম বলে তা না পড়া পর্যন্ত বাইরে থেকে দুটি ঘটনা একই রকম দেখায়।
OpenVPN নিজের পরিভাষায় একইভাবে আচরণ করে: পুনরায় দর-কষাকষির ব্যবধান ডেটা চ্যানেল সতেজ করে, আর পরবর্তী সংযোগে পূর্ণ লগইন এড়াতে একটি প্রমাণীকরণ টোকেন ক্লায়েন্টকে ফেরত দেওয়া যায়। সেই টোকেনের আয়ু আছে, আর সার্ভার ঠিক করে এটি আবার গ্রহণ করবে কি না।
তাই আট ঘণ্টা পরে পুনরায় সংযোগ ব্যর্থ হতে পারে যেখানে আট মিনিট পরে পুনরায় সংযোগ সফল হয়েছিল, দুই পক্ষের কোনো কনফিগারেশন না বদলেই। দুপুরের পরেই দেখা যাওয়া প্রম্পটের সম্পূর্ণ ব্যাখ্যা এটাই।
ক্লায়েন্ট নতুন চ্যালেঞ্জ শেষ করতে না পারলে
ব্রাউজার ধাপ দাবি করা নীতি এমন ক্লায়েন্টে ব্যর্থ হবে যার তা দেখানোর কোনো উপায় নেই। হেডলেস সার্ভার, স্টার্টআপ স্ক্রিপ্ট আর শুধু পাসওয়ার্ডে প্রমাণীকরণের জন্য তৈরি পুরোনো প্রোফাইল—সবই ওই দেয়ালে ধাক্কা খায়, আর ব্যর্থতা প্রায়ই প্রমাণীকরণ ত্রুটি নয় বরং সাধারণ টাইমআউট হিসেবে দেখা যায়।
ডিভাইস ও নেটওয়ার্ক পরিবর্তনও নীতির মূল্যায়ন উইন্ডোর ভিতরে পড়তে পারে, তাই Wi-Fi থেকে হটস্পটে রোমিং এমন একটি যাচাইয়ের সঙ্গে মিলে যায় যা যেকোনোভাবেই ঘটত। এই মিল নেটওয়ার্ককে দোষী দেখায়, অথচ কারণ টাইমার।
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
প্রথম লাইন ক্লায়েন্টের নিজের লগে পুনরায় দর-কষাকষি ও প্রমাণীকরণের ঘটনা দেখায়, আর দ্বিতীয়টি strongSwan প্রতিপক্ষের বর্তমানে ধারণ করা সিকিউরিটি অ্যাসোসিয়েশন দেখায়। টাইমস্ট্যাম্পগুলো প্রম্পট দেখা যাওয়ার মুহূর্তের সঙ্গে মিলিয়ে দেখুন; মিলে গেলে নেটওয়ার্ক নয়, টাইমারই নিশ্চিত হয়।
কী জানাবেন, আর কী বন্ধ করবেন না
যদি হাতে লগইন সফল হয় আর স্বয়ংক্রিয় পুনর্ব্যবহার ধারাবাহিকভাবে ব্যর্থ হয়, ঠিক তেমনটাই অপারেটরকে জানান। এটি উপাদানটির নাম বলে: পুনর্ব্যবহারের পথ, শংসাপত্র নয়। ব্যর্থতার সময়, ব্যবহৃত অ্যাকাউন্ট আর আপনি যে ধরনের প্রম্পট দেখেছেন তা যোগ করুন।
পুনরায় সংযোগ নীরব করতে দ্বিতীয় ফ্যাক্টর বন্ধ করবেন না, সার্টিফিকেট যাচাই এড়াবেন না এবং স্ক্রিপ্টে শংসাপত্র আটকাবেন না। প্রত্যেকটি সেই যাচাই সরিয়ে দেয় যা নীতি বলবৎ করতে চায়, আর প্রত্যেকটি লগইন প্রম্পটকে একটি ঘটনায় পরিণত করে।
বরং সমর্থিত প্রবাহ চান: যে ক্লায়েন্ট চ্যালেঞ্জ শেষ করতে পারে, কাজের দিনের সঙ্গে মেলে এমন টোকেন আয়ু, বা প্রম্পট দেখাতে অক্ষম মেশিনের জন্য অনুমোদিত নন-ইন্টারঅ্যাকটিভ প্রোফাইল। এগুলো সবই কনফিগারেশন সিদ্ধান্ত যা কেউ অনুমোদন করতে পারে, যা একটি ওয়ার্কঅ্যারাউন্ড নয়।