TLS পরিদর্শন সমস্যা সমাধান

পরিচিতি

এই নিবন্ধটি উন্নত সমস্যা সমাধানের পরিস্থিতি কভার করে TLS পরিদর্শন. এগিয়ে যাওয়ার আগে TLS পরিদর্শন কনফিগারেশন এবং আচরণ পর্যালোচনা করার সুপারিশ করা হয় যাতে বুঝতে পারেন কীভাবে ট্রাফিক প্রক্রিয়াকরণ হয় এবং প্রয়োগ করা হয়.

সাধারণ শর্তের অধীনে, TLS পরিদর্শন ব্যবহারকারীদের জন্য দৃশ্যমান নয়। ট্রাফিক পরিদর্শন করা হচ্ছে কিনা যাচাই করতে, অ্যাকাউন্ট ইভেন্টের TLS পরিদর্শন ক্ষেত্র চেক করুন (1 = পরিদর্শিত, 0 = বাইপাস), ব্রাউজারে সার্টিফিকেট জারিকারক পরীক্ষা করুন (Cato Networks), অথবা TLS পরিদর্শন রিপোর্ট ব্যবহার করুন।

Cato বহুল প্রচলিত অ্যাপ্লিকেশন, ডিভাইস এবং ডোমেইনের জন্য ডিফল্ট বাইপাস নিয়ম অন্তর্ভুক্ত করে। এই সিস্টেম-পরিচালিত নিয়মগুলি সম্পাদনযোগ্য নয় এবং কাস্টম নিয়ম তৈরি করার আগে সর্বদা পর্যালোচনা করা উচিত। অতিরিক্ত বিশদ জানতে, ডিফল্ট বাইপাস নিয়মাবলী দেখুন

উপসর্গ

• ওয়েবসাইট লোড হয় না / সময় শেষ

• ব্রাউজার TLS / সার্টিফিকেট ত্রুটি
  ব্যবহারকারীরা নিম্নলিখিত ত্রুটি দেখতে পারেন:

  • “আপনার সংযোগ ব্যক্তিগত নয়”

  • "নিরাপদ সংযোগ ব্যর্থ"

  • ERR_SSL_PROTOCOL_ERROR

  • ERR_SSL_VERSION_OR_CIPHER_MISMATCH

  • ERR_EMPTY_RESPONSE

• অ্যাপ্লিকেশন কাজ করছে না বা লোড হচ্ছে 

• নেটওয়ার্কের বাইরে কাজ করে (যেমন, হটস্পট) কিন্তু Cato’র পিছনে নয়

• বৈধ সার্টিফিকেট প্রদর্শিত হয়, কিন্তু সংযোগ ব্যর্থ

• ডিভাইস/প্ল্যাটফর্ম জুড়ে অস্থির আচরণ

• ব্লক পৃষ্ঠা প্রদর্শিত

সম্ভাব্য কারণ

অধিকাংশ TLS পরিদর্শন সমস্যাগুলি কয়েকটি সাধারণ শর্তের সাথে যুক্ত।

• কিছু অ্যাপ্লিকেশন TLS পরিদর্শনের সাথে সামঞ্জস্যপূর্ণ নয়। সার্টিফিকেট পিনিং, কঠিন TLS স্বীকৃতি, বা পারস্পরিক TLS ব্যবহৃত অ্যাপ্লিকেশনগুলি বাইপাসকে প্রত্যাখ্যান করবে এবং সংযোগ করতে ব্যর্থ হবে।

• ক্লায়েন্টে সার্টিফিকেট বিশ্বাস সমস্যা আরেকটি প্রায়ই কারণ। যদি Cato রুট সার্টিফিকেট অনুপস্থিত থাকে, বিশ্বাসযোগ্য না হয়, বা অসমভাবে প্রয়োগ করা হয়, তবে নীতি সঠিক হলেও পরিদর্শিত ট্রাফিক ব্যর্থ হবে।

• অন্য ক্ষেত্রে, সমস্যা গন্তব্য সার্ভার থেকে উদ্ভূত হয়। যেমন মেয়াদোত্তীর্ণ সার্টিফিকেট, অস্পূর্ণ চেইন, হোস্টনেম মিসম্যাচ, বা অজানা সার্টিফিকেট কর্তৃপক্ষ সমস্যাগুলি ব্রাউজারে দৃশ্যমান নাও হতে পারে যখন TLS পরিদর্শন সক্রিয় থাকে, কিন্তু PoP দ্বারা এখনও প্রয়োগ করা হয়।

• লিগ্যাসি সিস্টেমগুলি TLS প্রোটোকল বা সিফার মিসম্যাচ এর কারণে ব্যর্থ হতে পারে। পুরানো TLS সংস্করণ বা দুর্বল সিফার স্যুট ব্যবহারকারী অ্যাপ্লিকেশন TLS পরিদর্শন নীতিতে সংজ্ঞায়িত প্রয়োজনীয়তা পূরণ নাও করতে পারে।

• আধুনিক ওয়েবসাইটগুলি একাধিক নির্ভরশীল ডোমেইন এর কারণে সমস্যা তৈরি করতে পারে। শুধুমাত্র মূল ডোমেইন অনুমোদিত বা বাইপাস করা হলে যখন সমর্থন ডোমেইনগুলি ব্লক বা ভিন্নভাবে পরিদর্শিত হয়, তখন ব্যবহারকারীরা ধীর লোডিং বা অনুপস্থিত সামগ্রী লক্ষ্য করতে পারেন।

• শেষ পর্যন্ত, প্ল্যাটফর্ম-নির্দিষ্ট আচরণ একটি ভূমিকা পালন করে। মোবাইল ডিভাইস, BYOD এন্ডপয়েন্ট এবং লিনাক্স সিস্টেমগুলি সার্টিফিকেট বিশ্বাস সীমাবদ্ধতা, অ্যাপ্লিকেশন-নির্দিষ্ট স্বীকৃতি, বা ডিফল্ট বাইপাস নিয়ম এর কারণে ভিন্নভাবে আচরণ করতে পারে।

প্রাথমিক সমস্যা সমাধান

TLS-সম্পর্কিত সমস্যাগুলি তদন্ত করার সময়, প্রাথমিক লক্ষ্য হল ক্লায়েন্ট, নেটওয়ার্ক (TLS পরিদর্শন), বা গন্তব্য সার্ভার থেকে সমস্যাগুলি উদ্ভূত হয়েছে কিনা তা নির্ধারণ করা।

1. পরিসর পৃথক করুন

ক্লায়েন্ট-নির্দিষ্ট সমস্যাগুলি যাচাই করে শুরু করুন। একই URL পরীক্ষা করুন:

• একটি ভিন্ন ব্রাউজার থেকে

• একই নেটওয়ার্কের অন্য ডিভাইস থেকে

• একই ডিভাইস থেকে একটি ভিন্ন নেটওয়ার্কে (যেমন, হটস্পট)

যদি সমস্যা একটি নির্দিষ্ট ব্রাউজার বা ডিভাইসে সীমাবদ্ধ থাকে, সাধারণত এটি স্থানীয় বিশ্বাস বা কনফিগারেশন সমস্যা নির্দেশ করে। যদি নেটওয়ার্কের বাইরে কাজ করে, তাহলে সমস্যা সম্ভবত TLS পরিদর্শন বা নীতি প্রয়োগ-এর সাথে সম্পর্কিত।

2. TLS পরিদর্শন / সার্টিফিকেট জারিকারক যাচাই করুন

ব্রাউজার থেকে:

• ডেভটুলস খুলুন → নিরাপত্তা ট্যাব বা লক আইকন ক্লিক করুন

• সার্টিফিকেট চেইনের পরিদর্শন করুন

জারিকারক পরীক্ষা করুন:

• প্রক্সি/এন্টারপ্রাইজ CA (যেমন, Cato) → TLS পরিদর্শন সক্রিয়

• পাবলিক CA (যেমন, DigiCert, Let’s Encrypt) → সরাসরি TLS সেশন

3. ক্লায়েন্টে সার্টিফিকেট বিশ্বাস যাচাই করুন

• সুনিশ্চিত করুন যে Cato রুট সার্টিফিকেট এন্ডপয়েন্টে সঠিকভাবে ইনস্টল করা আছে।

• বিশ্বাস স্টোরে রুট সার্টিফিকেট আছে কিনা যাচাই করুন:

  • উইন্ডোজে, কম্পিউটার সার্টিফিকেট ম্যানেজার খুলুন এবং certlm.msc টাইপ করে বিশ্বাসযোগ্য রুট সার্টিফিকেশন অথরিটি এর অধীনে রুট সার্টিফিকেটের সন্ধান করুন

  • ম্যাক থেকে, কিচেইন অ্যাক্সেস খুলুন এবং সিস্টেম কিচেইন এর অধীনে রুট সার্টিফিকেট অনুসন্ধান করুন

• সিস্টেমের সময় এবং তারিখ চেক করুন

• যদি এন্ডপয়েন্টে Cato রুট সার্টিফিকেট অনুপস্থিত থাকে, তাহলে এটি ডাউনলোড এবং ইনস্টল করার জন্য ডিভাইসে Cato সার্টিফিকেট ইনস্টল করা দেখুন

• অপবিলম্বিত TLS ব্যর্থতা কারণ বিশ্বাস কনফিগারেশন অনুপস্থিত বা ভুল।

4. ক্লায়েন্ট থেকে TLS হ্যান্ডশেক পরীক্ষা করুন

ক্লায়েন্ট-পার্শ্ব টুলগুলি ব্যবহার করে TLS সংযোগ অনুকরণ করুন এবং যেখানে এবং কেন হ্যান্ডশেক ব্যর্থ হয় তা সঠিকভাবে সনাক্ত করুন। এই টুলগুলি এমন ত্রুটি প্রকাশ করে যেগুলি প্রায়ই সাধারণ ব্রাউজার বার্তাগুলির পেছনে লুকানো থাকে।

প্রভাবিত এন্ডপয়েন্ট থেকে নিম্নলিখিত বা অনুরূপ চালান:

curl.exe -v https://<domain>

যদি OpenSSL উপলব্ধ থাকে:

openssl s_client -connect <domain>:443 -servername <domain>

প্রত্যাশিত আউটপুট (সফলতা)

* SSL সংযোগ TLS1.2 / TLS1.3 ব্যবহার করে
* সার্ভার সার্টিফিকেট:
* বিষয়: CN=www.google.com
* জারিকারক: CN=GTS CA 1C3
> GET / HTTP/1.1
< HTTP/1.1 200 OK

এটি প্রথমে নির্ধারণ করা গুরুত্বপূর্ণ যে সমস্যাটি ক্লায়েন্ট, গন্তব্য সার্ভার, বা TLS পরিদর্শন কনফিগারেশন নিজেই এর সাথে সম্পর্কিত কিনা। 

সাধারণ সমস্যার সমস্যা সমাধান

নোট:

বিঃদ্রঃ: নিচে তালিকাভুক্ত সমস্যাগুলি TLS পরিদর্শন ব্যয়স্থানের জন্য সাধারণ পরিস্থিতি প্রতিনিধিত্ব করে। অনেকগুলি ত্রুটি জেনেরিক এবং আপনার নির্দিষ্ট পরিবেশে সরাসরি প্রয়োগ নাও হতে পারে।
যদি বর্ণিত উপসর্গ বা সমাধানসমূহ আপনার পরিস্থিতির সাথে সামঞ্জস্যপূর্ণ না হয়, তবে এটি ক্লায়েন্ট মেশিন থেকে ডায়াগনস্টিক ডেটা (যেমন, SSS, HAR, এবং PCAP) সংগ্রহ করতে এবং গভীরতর বিশ্লেষণের জন্য সহায়তা টিকেট উত্থাপন করার সুপারিশ করা হয়।

ব্যর্থ অ্যাপ্লিকেশন সমস্যা সমাধান

সমস্যা: নির্দিষ্ট অ্যাপ্লিকেশন TLS পরিদর্শন সক্রিয় হওয়ার পর নিরাপদ সংযোগ স্থাপন করতে ব্যর্থ হয় বা কাজ বন্ধ করে দেয়।

আচরণগত প্রত্যাশা:
কঠিন নিরাপত্তা নিয়ন্ত্রণযুক্ত অ্যাপ্লিকেশন (যেমন ব্যাংকিং অ্যাপস, এন্ডপয়েন্ট নিরাপত্তা টুলস) দ্রুত সংযোগ ব্যর্থ, নীরবভাবে ক্র্যাশ হতে পারে বা বারবার সংযোগ পুনরায় চেষ্টা করতে পারে। এটি ঘটে কারণ TLS পরিদর্শন একটি মধ্যম স্থানের (MITM) সার্টিফিকেট প্রবর্তন করে, যা এই অ্যাপ্লিকেশনগুলি সনাক্ত এবং প্রত্যাখ্যান করতে ডিজাইন করা হয়েছে।

সমাধান:
যাচাই করুনTLS পরিদর্শনকে বাইপাস করে একটি শক্তভাবে একক ব্যবহারকারী বা উৎস IP এর জন্য নীতির শীর্ষে একটি নিয়ম ব্যবহার করে। যদি অ্যাপ্লিকেশন বাইপাস হলে কাজ করে, মুল্যবোধের উদ্দেশে লক্ষ্যমাত্রিত বর্জন তৈরি করুন (ডোমেইন/FQDN-ভিত্তিক) এবং বিস্তৃত নিয়মগুলি এড়িয়ে চলুন। অতিরিক্তভাবে, Cato এর TLS পরিদর্শন কনফিগারেশন উইজার্ড লঘু কনফিগারেশন দিয়ে সংবেদনশীল ডোমেইন বাইপাস করতে ব্যবহার করা যেতে পারে। 

যদি অ্যাপ্লিকেশন বা সার্ভার সার্টিফিকেট পিনিং অথবা কঠিন TLS প্রয়োজনগত মানের জোর দিয়ে থাকে, TLS পরিদর্শন প্রয়োগ করা যায় না। এতে জবাব দেওয়া উচিত সেই ট্রাফিককে স্থায়ীরূপে বাইপাস করা।

উদাহরণ:
যদি একটি আর্থিক অ্যাপ লগ ইন করতে ব্যর্থ হয় এবং সেই ব্যবহারকারী জন্য TLS পরিদর্শন বাইপাস করার পর তা অবিলম্বে কাজ করে, তাহলে এটি অসম্পূর্ণতা নিশ্চিত করে - অ্যাপ ডোমেইনের অনুমতিতে যোগ করুন। 

সমস্যা: ব্যবহারকারীরা সার্টিফিকেট সতর্কতা দেখতে পান বা TLS পরিদর্শন সক্রিয় করা পর অ্যাপ্লিকেশনগুলি ব্যর্থ হয়।

সমস্যা: ব্যবহারকারীরা সার্টিফিকেট সতর্কতা অথবা অ্যাপ্লিকেশন ব্যর্থ হয় TLS পরিদর্শন সক্রিয় করার পর।

আচরণগত প্রত্যাশা:
ব্যবহারকারীরা ব্রাউজার সতর্কতা (যেমন, “সংযোগ নিরাপদ নয়”) অথবা সম্পূর্ণ সংযোগ ব্যর্থতার সম্মুখীন হতে পারেন। সমাধান:
সুনিশ্চিত করুন যে সমস্ত এন্ডপয়েন্টে Cato TLS পরিদর্শন রুট সার্টিফিকেট ইনস্টল করা এবং বিশ্বাসযোগ্য।

সমাধান:
সব এন্ডপয়েন্টে Cato TLS পরিদর্শন রুট সার্টিফিকেট ইনস্টল এবং বিশ্বস্ত করার বিষয়টি নিশ্চিত করুন। GPO/MDM ব্যবহার করে স্থাপন করুন এবং ক্লায়েন্টে সম্পূর্ণ সার্টিফিকেট চেইন যাচাই করুন।

যদি আচরণে অস্বাভাতবোধ থাকে, TLS পরিদর্শনকে একক ব্যবহারকারী বা ডিভাইস বাইপাস করে সার্টিফিকেট সম্পর্কিত প্রভাব নিশ্চিত করুন।

যদি আচরণটি অপ্রতিসম হয়, নির্দিষ্ট ব্যবহারকারী বা ডিভাইসের জন্য TLS পরিদর্শন বাইপাস করে যাচাই করুন সার্টিফিকেট সম্পর্কিত প্রভাব নিশ্চিত করতে।

যদি আপনার সংস্থায় ব্যক্তিগত সার্টিফিকেট ব্যবহৃত হয়, তাহলে ব্যক্তিগত সার্টিফিকেট ব্যবহার করে TLS পরিদর্শনের মাধ্যমে ট্রাফিক নিরাপত্তা ডকুমেন্টে অনুপ্রবেশ করুন। 

সমস্যা: ব্যবহারকারীগণ সার্টিফিকেট ত্রুটি বা ব্লক করা সংযোগগুলি হোস্টনেম মিসম্যাচের কারণে পায় যখন তারা কিছু নির্দিষ্ট ওয়েবসাইটে অ্যাক্সেস করে, বিশেষ করে যখন TLS পরিদর্শন সক্রিয় থাকে।

সমস্যা: ব্যবহারকারীরা নির্দিষ্ট ওয়েবসাইট অ্যাক্সেস করার সময় হোস্টনেম ভুলমিলের কারণে সার্টিফিকেট ত্রুটি বা ব্লকড সংযোগের সম্মুখীন হন, বিশেষ করে যখন TLS পরিদর্শন সক্রিয়।

আচরণগত প্রত্যাশা:
যখন একটি সার্ভার সার্টিফিকেট প্রদান করে যার সাধারণ নাম (CN) বা SAN অনুরোধকৃত হোস্টনেমের সাথে মিলিয়ে যায় না, তখন সংযোগটি অবৈধ বলে গণ্য করা হয়।

TLS পরিদর্শন সক্রিয় থাকলে, ব্রাউজার Cato PoP এর সাথে TLS সেশন স্থাপন করে মূল সার্ভারের স্থানে।

Cato রুট CA ব্যবহার করে PoP সার্টিফিকেট পুনরায় নিশ্চিত করে, যা ক্লায়েন্টের কাছে বৈধ মনে করতে। ফলে, ব্রাউজারে কোনও মিসম্যাচ প্রদর্শিত হয় না, যদিও ব্যাকেন্ডে সমস্যা এখনও বিদ্যমান। সমাধান:
একটি নির্দিষ্ট ব্যবহারকারী বা সূত্র IP জন্য TLS পরিদর্শন বাইপাস করে আচরণ যাচাই করুন।

সমাধান:
নির্দিষ্ট ব্যবহারকারী বা উৎস IP এর জন্য TLS পরিদর্শন বাইপাস করে আচরণ যাচাই করুন। চূড়ান্ত শৃঙ্খলা সার্ভারের সার্টিফিকেট কনফিগারেশনের কারণে অমিল হয়, এটি TLS পরিদর্শন দ্বারা সংশোধিত করা যায় না।

উপযুক্ত পদক্ষেপ হল হয়: নির্দিষ্ট ডোমেইনের জন্য TLS পরিদর্শন বাইপাস করে অ্যাক্সেস অনুমতি দিন, অথবা

• যদি অমিলটি একটি নিরাপত্তা ঝুঁকি হিসেবে গণ্য হয় তবে নীতি ভিত্তিক ট্রাফিক ব্লক করুন

• প্রয়োজন হলে লক্ষ্য করা ডোমেইন/FQDN সম্পর্কিত বর্জনের সাথে বিস্তৃত বাইপাস নিয়ম এড়িয়ে চলুন।

উদাহরণ:
যখন আপনি https://www.testingmcafeesites.com/ অ্যাক্সেস করেন, সার্ভার platformsplat1.mcafee.com এর একটি সার্টিফিকেট প্রদান করে।

উদাহরণ:
যখন https://www.testingmcafeesites.com/ অ্যাক্সেস করা হয়, সার্ভার একটি platformsplat1.mcafee.com সার্টিফিকেট উপস্থাপন করে।

TLS পরিদর্শন সক্রিয় থাকার সময়, ব্রাউজার একটি বৈধ সার্টিফিকেট Cato Root CA দ্বারা প্রদান করা হয়েছে দেখে www.testingmcafeesites.com, তাই কোনও ত্রুটি প্রদর্শিত হয় না।

TLS পরিদর্শন সক্রিয় থাকায়, ব্রাউজার Cato Root CA দ্বারা প্রদত্ত www.testingmcafeesites.com এর জন্য একটি বৈধ সার্টিফিকেট দেখে, তাই কোনো ত্রুটি প্রদর্শিত হয় না। ওয়েবসাইট বা অ্যাপ্লিকেশন লোডিং সমস্যার সমস্যা সমাধান

সমস্যা: TLS পরিদর্শন সক্রিয় থাকার সময় ওয়েবসাইটগুলি লোড হতে ব্যর্থ হয়, আংশিকভাবে রেন্ডার হয়, বা অনাপেক্ষিতভাবে আচরণ করে।

সমস্যা: ওয়েবসাইট লোড করতে ব্যর্থ, আংশিক অথবা অপ্রত্যাশিত আচরণ প্রদর্শন করতে পারে যখন TLS পরিদর্শন সক্রিয়।

আচরণগত প্রত্যাশা:

• লগইন/অথেনটিকেশন প্রবাহ ব্যর্থ বা লুপ করতে পারে

• কিছু সাইট TLS ডিক্রিপশন/পুনরায় এনক্রিপশন ওভারহেডের কারণে ধীরে প্রদর্শিত হতে পারে

• আচরণ অসম্ভাব্য হতে পারে (যেমন, একটি নেটওয়ার্কে কাজ করে, Cato এর মাধ্যমে ব্যর্থ হয়)

• কঠিন নিরাপত্তা নিয়ন্ত্রণ বা জটিল TLS নির্ভরশীলতা ব্যবহার করে আধুনিক ওয়েব অ্যাপগুলির সাথে সাধারণত লক্ষ্য করা হয়।

এটি সাধারণত আধুনিক ওয়েব অ্যাপগুলির সাথে পর্যবেক্ষণ করা হয় যেগুলি কঠিন নিরাপত্তা নিয়ন্ত্রণ অথবা জটিল TLS নির্ভরশীলতা ব্যবহার করছে।

সমাধান:
নির্দিষ্ট ব্যবহারকারী বা উৎস IP এর জন্য TLS পরিদর্শন বাইপাস করে যাচাই করুন। যদি সাইটটি বাইপাস করার পর কাজ করে, একটি লক্ষ্যবস্তু ডোমেইন/FQDN অব্যাহতি তৈরি করুন।

বিস্তৃত বাইপাস নিয়ম এড়িয়ে চলুন — শুধুমাত্র প্রয়োজনীয় ডোমেইনগুলোকে পরিসর বহির্ভূত করুন।

যদি কোনো অ্যাপ্লিকেশন কঠোর সুরক্ষা ব্যবস্থার উপর নির্ভর করে (যেমন, পিন করা সার্টিফিকেট বা উন্নত TLS পরিচালনা), পরিদর্শনের সম্ভবনা নাও থাকতে পারে এবং বাইপাস সঠিক পন্থা।

সিনারি — আধুনিক ওয়েব অ্যাপ্লিকেশন (SaaS):
কিছু SaaS প্ল্যাটফর্ম (যেমন, বহু ব্যাকএন্ড ডোমেইন/CDN সহ অ্যাপস) আংশিকভাবে লোড হতে পারে (UI কাজ করে, API ব্যর্থ)। এই পরিস্থিতিতে, প্রয়োজনীয় ডোমেইন HAR/DevTools এর মাধ্যমে সনাক্ত করুন এবং বাইপাস নিয়মে সম্পূর্ণ কভারেজ নিশ্চিত করুন।

কাটো সার্টিফিকেট যাচাইকরণ ত্রুটি সমাধান

সমস্যা: ব্রাউজিং বা অ্যাপ্লিকেশন ব্যবহারের সময় কাটো TLS-সম্পর্কিত ত্রুটি প্রদর্শিত হয়।

আচরণগত প্রত্যাশা:

ব্যবহারকারীরা সাধারণ ত্রুটি যেমন অভিজ্ঞতা করতে পারেন:

• "নিরাপদ সংযোগ ব্যর্থ"

• "সার্টিফিকেট বিশ্বাসযোগ্য নয়"

• অপ্রত্যাশিত সংযোগ রিসেট বা ড্রপস

এই ত্রুটিগুলো সাধারণত অসামান্য এবং স্পষ্টভাবে নির্দেশ করে না যে সমস্যাটি ক্লায়েন্ট, সার্ভার বা TLS পরিদর্শন প্রক্রিয়া থেকে উদ্ভূত হয়েছে।

সমাধান:
ব্যবহারকারীদের একক ব্যবহারকারী বা উৎস IP এর জন্য অস্থায়ীভাবে TLS পরিদর্শন বাইপাস করে আচরণ যাচাই করুন।

• যদি বাইপাস করার পর সমস্যা সমাধান হয়, তবে এটি পরিদর্শন চলাকালীন সার্টিফিকেট যাচাই ব্যর্থতা নিশ্চিত করে।

• মধ্যবর্তী বা ইস্যিং CAগুলো স্বীকৃত না হলে, এটি কাটোর বিশ্বাসযোগ্য সার্টিফিকেট বান্ডেলের অন্তর্ভুক্ত না হলে এটি হতে পারে।

অস্থায়ী সমাধান হিসেবে, প্রভাবিত ডোমেইন/অ্যাপ্লিকেশনের জন্য TLS পরিদর্শন বাইপাস করার সুপারিশ করা হয়, সাপোর্ট কেস খোলার সময়।

কাটো নিয়মিত তার বিশ্বাসযোগ্য সার্টিফিকেট বান্ডেল শিল্প মানগুলোর সাথে সামঞ্জস্যপূর্ণ এবং সাধারণত ব্যবহৃত সার্টিফিকেট কর্তৃপক্ষের সাথে সামঞ্জস্য রেখে আপডেট করে। যদি সার্টিফিকেট বৈধ এবং বিশ্বস্ত হয়, তাহলে এটি ভবিষ্যতের আপডেটে অন্তর্ভুক্ত করা হতে পারে।

স্থায়ী সমাধান নিম্নোক্ত বিষয়ে ফোকাস করা উচিত:

• সার্ভার যেন সম্পূর্ণ এবং বৈধ সার্টিফিকেট চেইন প্রদর্শন করে তা নিশ্চিত করা।

• পরিচিত, বিশ্বাসযোগ্য CA দ্বারা প্রদত্ত সার্টিফিকেট ব্যবহার করা।

যদি সার্ভার একটি অমান্য অথবা অসম্পূর্ণ সার্টিফিকেট চেইন উপস্থাপন করে, তাহলে TLS পরিদর্শন সংযোগ সঠিকভাবে ব্লক করবে। সমাধান সার্ভার সাইডে হওয়া উচিত, অথবা প্রয়োজনীয় হলে TLS পরিদর্শন বাইপাস।

নবঃ নির্ভরযোগ্য / সম্প্রতি প্রকাশিত ডোমেইন

যেসব ডোমেইন নতুনভাবে প্রকাশিত, সম্প্রতি আপডেট করা হয়েছে, বা ইন্টারনেটে পুনর্বিন্যাস করা হয়েছে, সেগুলো সমস্ত বিশ্বাসমান ইঞ্জিন, সার্টিফিকেট কর্তৃপক্ষ, বা ট্রাস্ট স্টোরে স্থায়ীভাবে স্বীকৃত হয় না।

এটি এমন পরিস্থিতিতে নিয়ে যেতে পারে যেখানে ট্রাফিক বাতিল বা চিহ্নিত হয় - শুধুমাত্র TLS ব্যর্থতার কারণে নয়, ইন্টারনেট ফায়ারওয়াল নীতি দ্বারা নিরাপত্তা প্রয়োগ বা অসম্পূর্ণ সার্টিফিকেট বিশ্বাসের ফলস্বরূপ।

আচরণগত প্রত্যাশা:
যেমন ডোমেইনগুলো হতে পারে:

• সুরক্ষা ইঞ্জিনগুলোর মধ্যে ভুলভাবে শ্রেণীকৃত বা অনিয়মিতভাবে শ্রেণীবদ্ধ।

• যেসব সার্টিফিকেট সম্পূর্ণভাবে প্রসারিত বা বিশ্বস্তভাবে গ্রহণযোগ্য নয় তাদের উপস্থাপন করুন।

• অসম্পূর্ণ বিশ্বাস চেইনের কারণে পরিদর্শনের সময় TLS ত্রুটি প্রক্ষেপন করুন।

• নীতির ভিত্তিতে ব্লকড হতে পারে, বরং প্রকৃত সংযোগ সমস্যা নয়।

এই আচরণ সাধারণত একটি ডোমেইন সক্রিয় হওয়ার পরে বা পরিবর্তনের পর ঘটে।

সমাধান:

• এন্ডপয়েন্ট থেকে সরাসরি সার্টিফিকেট যাচাই করে বৈধতা নিশ্চিত করুন।

• যদি ডোমেইনটি নিরাপদ হিসেবে যাচাই হয়:

  • নীতির প্রয়োজনীয়তার উপর ভিত্তি করে অনুমোদিত বিভাগের মধ্যে পুনর্বিন্যাস করুন, অথবা

  • লক্ষ্যবস্তু অনুমতি/বাইপাস নিয়ম তৈরি করুন (বিস্তৃত বাদ এড়িয়ে চলুন)

• যেখানে সম্ভব বাইপাস নিয়মকে অস্থায়ী হিসেবে বিবেচনা করুন

• একবার তার রেপুটেশন এবং সার্টিফিকেট বিশ্বাস বিশ্বব্যাপী সম্পূর্ণভাবে প্রতিষ্ঠিত হয়ে গেলে কিছু সময় পরে ডোমেইন পুনর্মূল্যায়ন করুন

মূল নোট:
এমনকি একটি ডোমেইন বৈধ হলেও, অসম্পূর্ণ সার্টিফিকেট প্রচার এখনও TLS-সম্পর্কিত ত্রুটি সৃষ্টি করতে পারে। এই সব ক্ষেত্রে, আচরণ প্রত্যাশিত এবং একটি ভুলসম্পন্ন কনফিগারেশন ধরা উচিত নয় বরং নিয়ন্ত্রিত নীতি সমন্বয় মাধ্যমে পরিচালনা করা উচিত।

সিনারি — অসম্পূর্ণ সার্টিফিকেট চেইন:
একটি সাইট ব্রাউজারে সরাসরি কাজ করতে পারে (ক্যাশড মধ্যস্বত্তার কারণে) কিন্তু TLS পরিদর্শনের নিচে ব্যর্থ। এটি নির্দেশ করে যে সার্ভার সম্পূর্ণ সার্টিফিকেট চেইন উপস্থাপন করছে না। সমাধান হল সার্ভার কনফিগারেশন ঠিক করা বা ডোমেইন বাইপাস করা।

অসমর্থিত প্রোটোকল এবং লিগেসি সিস্টেম

সমস্যা:
অ্যাপ্লিকেশন বা সিস্টেমের জন্য সংযোগ ব্যর্থ হয় যখন পুরোনো TLS সংস্করণ বা দুর্বল সাইফার স্যুট ব্যবহার করা হয় যা TLS পরিদর্শনে সমর্থিত নয়।

আচরণগত প্রত্যাশা:
ব্যর্থতা সাধারণত TLS হ্যান্ডশেক চলাকালীন ঘটে এবং এটি ব্রাউজার অথবা ক্লায়েন্টে সরাসরি দৃশ্যমান।

সাধারণ ব্রাউজার ত্রুটিগুলো অন্তর্ভুক্ত করে:

• ERR_SSL_PROTOCOL_ERROR

• ERR_EMPTY_RESPONSE

• ERR_SSL_VERSION_OR_CIPHER_MISMATCH

• ERR_CONNECTION_CLOSED

• 400 Bad Request
  কোন SSL সার্টিফিকেট প্রয়োজনীয় ছিল না

কিছু ক্ষেত্রে:

• পৃষ্ঠা সম্পূর্ণভাবে লোড হতে ব্যর্থ হতে পারে

• সংযোগটি অবিলম্বে রিসেট হতে পারে

• পুরু ক্লায়েন্ট বা লিগেসি অ্যাপ্লিকেশনগুলো নীরবে ব্যর্থ হতে পারে বা সাধারণ সংযোগ ত্রুটি প্রদর্শন করতে পারে

এটি ঘটে কারণ ক্লায়েন্ট বা সার্ভার কাটো PoP এর সাথে TLS সংস্করণ বা সাইফার স্যুটের সঙ্গে সমঝোতা করতে পারে না যা MITM হিসাবে কাজ করে।

ইভেন্টগুলিতে, আপনি TLS ত্রুটি বিবরণ ক্ষেত্র নির্দিষ্ট তথ্যসহ পূর্ণ লক্ষ্য করবেন।

ত্রুটিগুলোতে আরও জানুন TLS ত্রুটি বোঝা 

সমাধান:

• ব্যবহারকারী বা উৎস IP এর জন্য TLS পরিদর্শন বাইপাসে অস্থায়ীভাবে যাচাই করুন।

• যদি অ্যাপ্লিকেশন এটি বাইপাস করার পর কাজ করে → পরিদর্শনের সময় TLS আলোচনা ভুলমিল নিশ্চিতকরণ।

এরপর, বাহ্যিক সরঞ্জামগলো ব্যবহার করে TLS সক্ষমতা যাচাই করুন https://www.ssllabs.com/ssltest/।

ফলাফলগুলোর সাথে আপনার TLS পরিদর্শন নীতি তুলনা করুন:

• ন্যূনতম অনুমোদিত TLS সংস্করণ

• সাইফার স্যুট প্রয়োগের স্তর

যদি নিশ্চিত হয়:

• আধুনিক TLS সংস্করণ এবং শক্তিশালী সাইফার স্যুটকে সমর্থন করার জন্য অ্যাপ্লিকেশন বা সার্ভার আপডেট বা আপগ্রেড করুন।

• যদি আপগ্রেড করা সম্ভব না হয়, প্রভাবিত অ্যাপ্লিকেশন বা ডোমেইনের জন্য লক্ষ্যবস্তু TLS পরিদর্শন বাইপাস কনফিগার করুন।

নোট:

নোট: ডিফল্টভাবে, কাটো TLS সংস্করণ এবং সাইফার স্যুটের বিস্তৃত পরিসরকে অনুমোদন করে। তবে, প্রশাসকরা TLS পরিদর্শন নীতিতে কঠোর নিয়ন্ত্রণ প্রয়োগ করতে পারেন (যেমন, ন্যূনতম TLS সংস্করণ বা সাইফার শক্তি), যা লিগেসি অ্যাপ্লিকেশনগুলোর ব্যর্থতার কারণ হতে পারে। আরও তথ্য পড়ুন এখানে

সিনারি — লিগেসি অভ্যন্তরীণ অ্যাপ্লিকেশন:
কাটো দ্বারা রুট করার সময় অ্যান্ড TLS পরিদর্শন সক্রিয়তা সহ একটি অভ্যন্তরীণ বা তৃতীয় পক্ষের লিগেসি অ্যাপ্লিকেশন ব্যর্থ হতে পারে কিন্তু বাইপাস করলে কাজ করে। এই সাধারণত বাতিল করা TLS সংস্করণের নির্ভরতা নির্দেশ করে, অ্যাপ্লিকেশন আপগ্রেড বা স্থায়ী বাইপাস প্রয়োজন।

OS-স্পেসিফিক TLS সমস্যার ট্রাবলশুটিং (প্রত্যাশিত সীমাবদ্ধতা)

সমস্যা: সংযোগ সমস্যা, অসামঞ্জস্য আচরণ, অথবা TLS পরিদর্শন দৃশ্যমানতার অভাব নির্দিষ্ট অপারেটিং সিস্টেম এবং ডিভাইস ধরণে (যেমন, মোবাইল, BYOD, লিনাক্স)।

পৃষ্ঠা হ্যাং করতে পারে, অসীমভাবে লোড হতে পারে, বা আংশিকভাবে রেন্ডার হতে পারে

আচরণ অপারেটিং সিস্টেম এবং অ্যাপ্লিকেশনের ডিজাইনের উপর নির্ভর করে উল্লেখযোগ্যভাবে পরিবর্তিত হয়।

অ্যান্ড্রয়েড এবং লিনাক্স ডিভাইসে, সার্টিফিকেট বিশ্বাস সীমাবদ্ধতা এবং অ্যাপ্লিকেশন আচরণের কারণে TLS পরিদর্শন ডিফল্টভাবে বাইপাস করা হয়। তবে, CMA এর উন্নত সেটিংসের মাধ্যমে নতুন কনফিগারেশন প্রশাসকদের এই প্ল্যাটফর্মগুলোতে TLS পরিদর্শন enforced করতে অনুমতি দেয় যাতে সার্টিফিকেট বিশ্বাস সঠিকভাবে প্রতিষ্ঠিত হতে পারে।

iOS ডিভাইসে, TLS পরিদর্শন সমর্থিত, কিন্তু কিছু অ্যাপ্লিকেশন (যেমন, সোশ্যাল মিডিয়া প্ল্যাটফর্ম যেমন Instagram, Facebook, এবং অনুরূপ অ্যাপস) সার্টিফিকেট পিনিং এবং পরিচিত অসামান্যতার কারণে ডিফল্টভাবে বাইপাস করা হয়। অন্যান্য অ্যাপ্লিকেশনগুলো যা কঠোর যাচাইকরণ enforced করে ব্যর্থ হতে পারে এবং ম্যানুয়াল বাইপাস কনফিগারেশন প্রয়োজন হতে পারে।

সাধারণত:

• কাটো সার্টিফিকেট ইনস্টল করার পরে ব্রাউজারগুলি প্রত্যাশিতভাবে কাজ করতে পারে

• সার্টিফিকেট পিনিং বা সীমিত বিশ্বাস স্টোরের কারণে নেটিভ/মোবাইল অ্যাপ্লিকেশন অবিলম্বে ব্যর্থ হতে পারে

• একই ডিভাইসে এমনকি প্রতিটি অ্যাপ্লিকেশনে আচরণ বিভিন্ন হতে পারে

সমাধান:

এই আচরণ সাধারণত প্রত্যাশিত এবং প্ল্যাটফর্ম দ্বারা চালিত হয়, পুনরায় কনফিগারেশনের নির্দেশক নয়।

• পরিচালিত ডিভাইসে যেখানে সার্টিফিকেট স্থাপন নিয়ন্ত্রণিত হয় সেখানে TLS পরিদর্শন প্রয়োগ করুন

• MDM সমাধান ব্যবহার করুন কাটো সার্টিফিকেট সিস্টেম স্তরে ইনস্টল করতে (যেখানে সমর্থিত)

• পরিচিত অ্যাপ্লিকেশন এবং প্ল্যাটফর্মগুলোর জন্য ডিফল্ট বাইপাস নিয়ম সম্পর্কে সচেতন থাকুন।

• যেসব অ্যাপ্লিকেশন সার্টিফিকেট পিনিং অথবা কঠোর যাচাইকরণের কারণে ব্যর্থ হয়, তাদের জন্য লক্ষ্যবস্তু TLS পরিদর্শন বাইপাস কনফিগার করুন।

• অ্যান্ড্রয়েড বা লিনাক্সের মতো প্ল্যাটফর্মে TLS পরিদর্শন enforced করার সময়, ব্যাপক রোলআউটের আগে সঙ্গতি সাবধানে যাচাই করুন

সিনারি — মোবাইল অ্যাপ্লিকেশন ব্যর্থতা:
একটি মোবাইল অ্যাপ (যেমন, ব্যাঙ্কিং বা সুরক্ষা অ্যাপ) কাটোর মাধ্যমে সংযুক্ত হতে ব্যর্থ হয় যখন ব্রাউজার কাজ করে। অ্যাপটি সার্টিফিকেট পিনিং enforced করে এবং কাটো সার্টিফিকেটকে বিশ্বাস করে না। এটি প্রত্যাশিত — সঠিক কার্যকলাপ অ্যাপ্লিকেশন বা সেবার জন্য TLS পরিদর্শন বাইপাস।

Cato সাপোর্টে কেস উত্থাপন করা

যদি TLS পরিদর্শন কোনও অ্যাপ্লিকেশনের জন্য বাধ্যতামূলক হয় কমপ্লায়েন্স বা নিয়ন্ত্রীয় কারণের জন্য অথবা আপনি ধারণা করেন যে TLS সংকেত অপ্রত্যাশিত, দয়া করে উপরোক্ত সমস্যা সমাধানের ফলাফল সহ একটি সাপোর্ট টিকেট জমা দিন। দয়া করে টিকেটে নিম্নলিখিত তথ্য অন্তর্ভুক্ত করুন:

• অভিজ্ঞ সমস্যার বিশদ এবং ব্যবহারকারীদের উপর সামগ্রিক প্রভাব। সমস্যার সম্মুখীন হওয়া ব্যবহারকারীর টাইমস্ট্যাম্প/সময় অঞ্চল।

• সম্পর্কিত ইভেন্ট এবং ফায়ারওয়াল/TLS নিয়ম কনফিগারেশন।

• সমস্যাটি পুনরায় তৈরি করুন এবং সাপোর্ট স্ব-সেবা চালান। টুল দ্বারা উত্পন্ন টিকেট নম্বর অন্তর্ভুক্ত করুন।