Access Server থেকে Community OpenVPN: কী পুনর্নির্মাণ করতে হবে

Access Server এবং Community OpenVPN একই প্রোটোকল বলে, বাকি প্রায় কিছুই একইভাবে বলে না। হ্যান্ডশেক, সাইফার আলোচনা ও টানেল ডেটা প্লেন সামঞ্জস্যপূর্ণ, তাই ক্লায়েন্ট প্রায়ই নিজের প্রোফাইল সম্পাদনা না করেই দুটির যেকোনোটিতে সংযোগ করতে পারে। পার্থক্য হলো কনফিগারেশনের মালিক কে: একটি পণ্য নীতি লেখে ও প্রয়োগ করে এমন ব্যবস্থাপনা স্তর দেয়, অন্যটি একটি কনফিগ ফাইল ও কিছু হুক দিয়ে সিদ্ধান্ত নেওয়ার আশা করে।

এই পার্থক্যই মাইগ্রেশন পরিকল্পনা। পুরোনো পণ্য আপনার হয়ে যা সিদ্ধান্ত নিয়েছে, তা নতুন স্থাপনায় কোথাও স্পষ্ট সিদ্ধান্ত হতে হবে।

দুটি স্থাপন কোথায় বিনিময়যোগ্য হওয়া বন্ধ করে

Access Server-এ ওয়েব প্রশাসন ইন্টারফেস ব্যবহারকারী, গ্রুপ, প্রতি-ব্যবহারকারী অনুমতি, শংসাপত্র প্রদান এবং একজন যে প্রোফাইল বান্ডল ডাউনলোড করে তার মালিক। নিচের ডেমনটি সেই স্তর দ্বারা কনফিগার হয়, তাই চলমান সেবা হলো সংরক্ষিত অবস্থার ফল যা আপনি হাতে খুব কমই সম্পাদনা করেন। Community OpenVPN-এ কনফিগ ফাইলই অবস্থা: এটি শ্রবণকারী, শংসাপত্র কর্তৃপক্ষ, প্রমাণীকরণ হুক এবং প্রতিটি পুশ করা অপশনের নাম বলে, এবং কেউ আপনার জন্য তা পুনরায় লেখে না। তাই একই TLS যন্ত্র দুটি খুব ভিন্ন মালিকানা মডেলের অধীনে থাকে।

একটি সংক্ষিপ্ত ম্যাপ ব্যবধানটিকে বাস্তব করে। ব্যবহারকারী ও গ্রুপ কেবল পুরোনো ডেটাবেসে থাকে যতক্ষণ আপনি তাদের পুনরায় তৈরি না করেন। প্রোফাইল বান্ডেল হয় কনফিগ ফাইল এবং আপনি নিজে বিতরণ করা শংসাপত্র। প্রতি-ব্যবহারকারী অনুমতি client-config-dir-এ নির্দেশনা হয়। প্রশাসন ইন্টারফেস হয় আপনি শংসাপত্র প্রদান ও ফাইল সম্পাদনার জন্য বেছে নেওয়া যেকোনো প্রক্রিয়া।

সার্ভার স্পর্শ করার আগে সেই ম্যাপ লিখে রাখুন। যে সারি আপনি পূরণ করতে পারবেন না, তা এমন একটি বৈশিষ্ট্য যা আপনি হারাতে চলেছেন, আর একটি নীরবে হারানোই মাইগ্রেশনকে দুই সপ্তাহ পরে বিভ্রাটে পরিণত করার পথ।

পরিচয় শংসাপত্র ফাইলের সঙ্গে স্থানান্তরিত হয় না

পুরোনো কর্তৃপক্ষের শংসাপত্র নতুন সেবায় সঠিকভাবে পার্স হতে পারে এবং তবুও ভুল পরিচয় হতে পারে, কারণ পুরোনো পণ্য সেগুলোকে এমন অ্যাকাউন্ট অবস্থার সঙ্গে জুড়েছিল যা নতুনটি দেখতে পায় না। প্রথমে ঠিক করুন নতুন স্থাপন কেবল শংসাপত্র দিয়ে, PAM বা RADIUS-এ পৌঁছানো প্লাগইন দিয়ে, নাকি কিছু সংমিশ্রণে প্রমাণীকরণ করে, তারপর যাচাই করুন প্রতিটি অপশন আপনার প্রয়োজনীয় বৈশিষ্ট্য সংরক্ষণ করে। প্রতি-ব্যবহারকারী পরিচয় ছাড়া ভাগ করা শংসাপত্র যার কাছে আছে তার সবার জন্য একটিই প্রমাণপত্র। বাতিলকরণও প্রথম দিন থেকেই কাজ করতে হবে, যার অর্থ Community OpenVPN-এ crl-verify দ্বারা উল্লিখিত CRL ফাইল এবং তা পুনরায় তৈরি করার প্রক্রিয়া।

কাটওভারের পরে নয়, আগে নথিভুক্তির পরিকল্পনা করুন। নতুন শংসাপত্র, পরীক্ষিত বাতিল পথ এবং একজনকে নিষ্ক্রিয় করার নথিভুক্ত উপায় পূর্বশর্ত, পরবর্তী কাজ নয়। যদি বহু-উপাদান প্রমাণীকরণ পুরোনো পণ্যের সংহতকরণ থেকে আসে, প্রতিস্থাপনটি স্পষ্টভাবে নাম দিন, কারণ ইনস্টল না করা প্লাগইন সবচেয়ে খারাপ মুহূর্তে বন্ধ হয়ে ব্যর্থ হয়।

রুট ও নাম সমাধান কনফিগ লেখককে অনুসরণ করে

রুট, DNS সেটিংস ও পূর্ণ-টানেল আচরণ দুই পণ্যেই পুশ করা অপশন, কিন্তু তাদের একটিই আপনার জন্য তা গণনা করে। Community OpenVPN-এ আপনি নিজেই পুশ নির্দেশনা লেখেন, redirect-gateway সার্ভারে না ক্লায়েন্টে থাকবে তা ঠিক করেন, এবং হোস্টে ফরওয়ার্ডিং ও NAT আছে নিশ্চিত করেন। সম্পূর্ণ হ্যান্ডশেক ফরওয়ার্ডিং, ঠিকানা অনুবাদ বা ক্লায়েন্ট প্রকৃতপক্ষে যে রুট পেয়েছে সে সম্পর্কে কিছুই বলে না।

প্রতি-ক্লায়েন্ট আচরণের জন্য client-config-dir এবং ক্লায়েন্টের শংসাপত্রের সাধারণ নামে নামকরণ করা একটি ফাইল দরকার, আর সাইট-থেকে-সাইট পিয়ারের জন্য এর পিছনের প্রিফিক্সগুলোর জন্য iroute এন্ট্রি দরকার। নামকরণ ভুল হলে অপশনগুলো ত্রুটি ছাড়াই উপেক্ষা করা হয়। নিজের ঠিকানা পুলে একটি অ-উৎপাদন ক্লায়েন্ট দিয়ে পরীক্ষা করুন, তারপর তাকে দেওয়া ঠিকানা, দেওয়া রুট ও শেষে পাওয়া রিজলভার সেটিংস পড়ুন।

কাটওভার এমনভাবে সাজান যাতে পুরোনো সেবা ফিরে আসতে পারে

নতুন শ্রবণকারীকে ভিন্ন পোর্ট বা ঠিকানায় চালান, এবং প্রতিস্থাপন প্রমাণ করার সময় পুরোনোটিকে ট্রাফিক পরিবেশন করতে রাখুন। একটি সকেটে দুটি ডেমন রোলব্যাক পরিকল্পনা নয়।

একবারে একটি গ্রুপ সরান, তার নিজের শংসাপত্র, নিজের পুল ও নিজের রুট নিয়ে, এবং ঘটনার সময় আবিষ্কার করার বদলে ফিরে যাওয়ার পথের মহড়া করুন। নতুন সেবা আগে বন্ধ করলেই কেবল কাজ করে এমন রোলব্যাক তবুও রোলব্যাক, কিন্তু কিছু না জ্বলার সময়েই তা পরীক্ষা করতে হবে।

শেষে, প্রত্যক্ষ সমতুল্য নেই এমন বৈশিষ্ট্যগুলো তালিকাভুক্ত করুন এবং প্রতিটির পরিণতি লিখিতভাবে ঠিক করুন: স্ব-সেবা প্রোফাইল ডাউনলোড, প্রতি-ব্যবহারকারী অনুমতি ফ্ল্যাগ, প্রশাসনিক ইন্টারফেস নিজেই, জীবন্ত সংযোগ প্রতিবেদন। নথিভুক্ত হাতে করা প্রক্রিয়ায় তাদের প্রতিস্থাপন করা বৈধ উত্তর। সারিটি খালি রাখা নয়।

কাজ শেষ হয় যখন এমন একজন ব্যবহারকারী যিনি পুরোনো পোর্টাল কখনো দেখেননি তিনি নথিভুক্ত হতে, সংযোগ করতে, উদ্দিষ্ট অভ্যন্তরীণ ঠিকানায় পৌঁছাতে এবং পরিচ্ছন্নভাবে বাতিল হতে পারেন। তার আগের সবকিছু প্রস্তুতি।