যেভাবে ইস্যু করা ফাইল থেকে OpenVPN ক্লায়েন্ট প্রোফাইল তৈরি করবেন

আপনার অপারেটর একটি CA বান্ডেল, একটি ক্লায়েন্ট সার্টিফিকেট ও তার কী দেন, এবং এগুলো এক প্রোফাইলে যুক্ত না হলে ক্লায়েন্ট চালু হবে না। প্রোফাইল হলো কনফিগারেশন: এটি ওই ফাইলগুলোর দিকে ইঙ্গিত করে, সেগুলো ধারণ করে না, এবং সম্পাদনা করে এটিকে সার্টিফিকেটে রূপান্তর করা যায় না। এই নির্দেশিকা আগে থেকেই অনুমোদিত একটি ল্যাপটপ থেকে শুরু হয় এবং একটি পরিচিত ডিরেক্টরি থেকে চালু করা যায় এমন প্রোফাইলে শেষ হয়। এটি CA তৈরি করে না, নতুন সার্টিফিকেট নিবন্ধন করে না এবং সার্ভার স্পর্শ করে না।

এখানে লক্ষ্য হলো Linux-এর জন্য OpenVPN 2.6 কমান্ড-লাইন ক্লায়েন্ট, UDP-এর উপর TUN রাউটেড, সার্টিফিকেট প্রমাণীকরণসহ।

কেবল ক্লায়েন্ট-সাইড ফাইলগুলো সংগ্রহ করুন

একটি সুরক্ষিত ডিরেক্টরিতে কাজ করুন এবং অনুমোদিত CA ট্রাস্ট উপাদান, আপনার ইস্যু করা ক্লায়েন্ট সার্টিফিকেট এবং তার সঙ্গে মেলা প্রাইভেট কী সংগ্রহ করুন। এই উদাহরণে নামগুলো হলো ca.crt, laptop-a.crt এবং laptop-a.key। ফাইলের নামগুলো কেবল লেবেল; প্রতিটি ফাইলে কী আছে সে সম্পর্কে তারা কিছু বলে না।

নিবন্ধনের সময় আপনি কী তৈরি করে থাকলে তা কখনো মেশিন ছাড়েনি; ইস্যুকারীর কাছ থেকে কেবল স্বাক্ষরিত সার্টিফিকেট ও পাবলিক চেইন ফিরে আসতে হবে। সার্টিফিকেটটি সেবার প্রত্যাশিত ক্লায়েন্ট ভূমিকা বহন করে কি না যাচাই করুন। এটিও যাচাই করুন যে কীটি ওই সার্টিফিকেটের, আগের কোনো চেষ্টার পুরোনো সার্টিফিকেটের নয়। অমিল জোড়া অনেক পরে TLS ব্যর্থতা তৈরি করে, যা সার্ভারের সমস্যার মতো দেখায়।

CA-এর প্রাইভেট সাইনিং কী, সার্ভারের প্রাইভেট কী ও DH প্যারামিটার এই প্যাকেজের বাইরে রাখুন।

ফাইলগুলোকে একটি ছোট প্রোফাইলে যুক্ত করুন

নিচের প্রোফাইলটি ইচ্ছাকৃতভাবে সংক্ষিপ্ত। প্রতিটি লাইন হয় এন্ডপয়েন্ট বেছে নেয়, নয় ক্লায়েন্ট যে পরিচয় গ্রহণ করবে তা সীমাবদ্ধ করে, নয় তিনটি ফাইলের একটির দিকে ইঙ্গিত করে।

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote লাইনটি নেটওয়ার্ক এন্ডপয়েন্ট বেছে নেয়। remote-cert-tls server জোর দেয় যে প্রতিপক্ষ সার্ভার-ভূমিকার সার্টিফিকেট উপস্থাপন করবে। verify-x509-name প্রত্যাশিত নামটি পিন করে, এখানে vpn-gateway সার্ভার সার্টিফিকেটের Common Name হিসেবে OpenVPN-এর ডিফল্ট নাম ফিল্ডসহ। এই মান DNS হোস্টনেম থেকে অনুমান করা হয় না, তাই অপারেটর যে পরিচয় স্কিম দিয়েছে তা ব্যবহার করুন।

কেবল একটি পরীক্ষামূলক এন্ডপয়েন্ট ভিন্ন সার্টিফিকেট দেখায় বলে ওই যাচাইগুলো বাদ দেবেন না।

এই বেস প্রোফাইলটি আলাদা অ্যাকাউন্ট চ্যালেঞ্জ ও কন্ট্রোল-চ্যানেল কী ছাড়া ধরে নেয়। সেবার auth-user-pass, tls-auth বা tls-crypt প্রয়োজন হলে কনফিগারেশন ও আপনাকে দেওয়া উপাদান রেখে দিন, কারণ আপনি নিজে তৈরি করা কন্ট্রোল-চ্যানেল সিক্রেট সার্ভারের রাখা সিক্রেটের সঙ্গে মিলবে না। পুরোনো উদাহরণ থেকে কম্প্রেশন বা সাইফার লাইন আমদানি না করে সেবার সাইফার নীতি রাখুন।

ওয়ার্কিং ডিরেক্টরি স্পষ্ট করুন

আপেক্ষিক পথ প্রক্রিয়ার ওয়ার্কিং ডিরেক্টরি অনুসরণ করে, .ovpn ফাইলের অবস্থান নয়।

এটি তাদের অবাক করে যারা প্রোফাইল নতুন ফোল্ডারে সরায় এবং আশা করে কী-ও সঙ্গে যাবে। প্রশাসক-নির্বাচিত ডিরেক্টরির জন্য নিচের কমান্ডটি প্রোফাইল ও তার রেফারেন্স পড়ার আগে পরম পথে যায়।

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

একটি ডেস্কটপ ইমপোর্ট উইজার্ড বা সিস্টেম সেবা আপনার হয়ে নির্ভরতাগুলো প্যাকেজ করতে পারে এবং নিজের নিয়ম প্রয়োগ করতে পারে। এটি আপনার পরীক্ষা করা ডিরেক্টরির চেয়ে ভিন্ন ওয়ার্কিং ডিরেক্টরিও ব্যবহার করতে পারে। আপনার লঞ্চ পদ্ধতি কী, সার্টিফিকেট ও CA পথ কীভাবে সমাধান করে তা নিশ্চিত করুন। কেবল .ovpn ফাইল সরালে আলাদা প্রাইভেট কী সরবে না।

কী-টি কেবল নির্ধারিত ব্যবহারকারী বা সেবা পরিচয়ের জন্য পঠনযোগ্য রাখুন।

ফাইলের নাম নয়, হস্তান্তর যাচাই করুন

প্রথম অনুমোদিত সংযোগের আগে এন্ডপয়েন্ট, সার্টিফিকেট পরিচয়, ইস্যুকারী ও বৈধতার সময়সীমা যাচাই করুন। তারপর নিশ্চিত করুন যে ফাইল রেফারেন্সগুলো আপনি যে ওয়ার্কিং ডিরেক্টরি সত্যিই ব্যবহার করবেন সেখান থেকে সমাধান হয়। সংযোগের পরে রাউটিং নীতি যে অ্যাপ্লিকেশন ও DNS আচরণ দেওয়ার কথা তা পরীক্ষা করুন। তিনটি পঠনযোগ্য ফাইল সার্ভার অনুমোদন বা ব্যবহারযোগ্য রিসোর্স পথ সম্পর্কে কিছু প্রমাণ করে না।

পাসফ্রেজ প্রম্পট দেখা গেলে তা প্রাইভেট কী-এর, VPN অ্যাকাউন্টের নয়।

শেষে, প্যাকেজটিকে শংসাপত্র উপাদান হিসেবে তালিকাভুক্ত করুন। একই সার্টিফিকেট ও কী দ্বিতীয় ল্যাপটপে দেওয়া পরিচয় কপি করে, আর ফাইলের নাম বদলালে দ্বিতীয় নিবন্ধন পাওয়া যায় না। প্রোফাইল জোড়া দেওয়া আর তা ইস্যু করার মধ্যে এটাই পার্থক্য।