AWS Client VPN: সার্ভার সার্টিফিকেট বনাম ক্লায়েন্ট সার্টিফিকেটের ভূমিকা
এন্ডপয়েন্টের সার্ভার সার্টিফিকেট সেবাটি প্রমাণ করে। পারস্পরিক প্রমাণীকরণ সার্ভারের কী ভাগ না করেই প্রত্যেক ক্লায়েন্টের পরিচয় ও CA-তে আস্থা যোগ করে।
Client VPN এন্ডপয়েন্টের সর্বদা একটি TLS সার্ভার সার্টিফিকেট প্রয়োজন। এটিই সেই পরিচয় যা পরিচালিত এন্ডপয়েন্ট ক্লায়েন্ট সংযুক্ত হওয়ার সময় উপস্থাপন করে। এটি সেই সার্টিফিকেটগুলোর থেকে ভিন্ন বস্তু যা পৃথক ক্লায়েন্টরা পারস্পরিক প্রমাণীকরণে উপস্থাপন করে। এই দুটিকে গুলিয়ে ফেলাই বাকি সবটা ঠিক ACM সেটআপ প্রথম সংযোগেই ব্যর্থ হওয়ার সবচেয়ে সাধারণ কারণ।
নিচে কনসোল থেকে বাইরের দিকে, একটি সংযোগ যে ক্রমে স্বনিয়োজিতভাবে যায় সেই ক্রমেই একটি পরিক্রমা রয়েছে।
দুটি ভূমিকা, একটি এন্ডপয়েন্ট
এন্ডপয়েন্টের কাছে সার্ভারের পরিচয় আছে এবং ঐচ্ছিকভাবে ক্লায়েন্ট পরিচয় যাচাই করার উপায়ও। এগুলো আলাদা কনফিগার করা হয়। একটি নির্ধার করে ক্লায়েন্ট সেবাতে আস্থা করতে পারে কিনা; অন্যটি নির্ধার করে সেবা ক্লায়েন্টকে গ্রহণ করে কিনা।
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
সারণিটিকে একটি সার্টিফিকেটের পরিবর্তে তিনটি স্বাধীন প্রয়োজনিয়তা হিসেবে পড়ুন। সার্ভার সার্টিফিকেট এবং তার ব্যক্তিগত কী সেবার কাছে থাকে। ক্লায়েন্ট সার্টিফিকেট এবং তার সাথে মিলে যাওয়া ব্যক্তিগত কী ডিভাইসে থাকে। CA উপাদান হলো যা দিয়ে যাচাইকর্তা শৃঙ্খল যাচাই করে। ল্যাপটপে সর্বদা কেবল মাঝের সারিটি আসে।
ACM সার্ভার সার্টিফিকেট কী করে
এন্ডপয়েন্ট তৈরির সময় সার্ভার সার্টিফিকেট ACM-এ যে অঞ্চলে এন্ডপয়েন্ট আছে সেই অঞ্চলে উপলব্ধ থাকতে হবে। কনসোল একটি ARN চায়, এবং সেই ARN সেখানেই সমাধান হতে হবে। ACM ডোমেন যাচাইসহ দেওয়া সার্টিফিকেট রাখতে পারে, বা যা আপনি কী ও শৃঙ্খলসহ আমদানি করেন। দুটোই এই ভূমিকায় কাজ করে; পার্থক্য নবায়ন এবং ব্যক্তিগত কী কার কাছে আছে তাতে।
সেই অহরণ পথ বেছে নিন যা কে সার্টিফিকেট নবায়ন করতে পারে তার সাথে মিলে, যা কোনো ভাবে বৈধ দেখা ফাইল তৈরি করেছে তা নয়।
পারস্পরিক প্রমাণীকরণ কী যোগ করে
সার্টিফিকেটভিত্তিক ক্লায়েন্ট প্রমাণীকরণ বেছে নিলে দ্বিতীয় প্রশ্ন যোগ হয়: কোন ক্লায়েন্টরা সংযুক্ত হতে পারে। প্রত্যেক ক্লায়েন্ট নিজের সার্টিফিকেট উপস্থাপন করে এবং মিলে যাওয়া ব্যক্তিগত কী ধারণ করে বলে প্রমাণ দেয়। আলাদা পরিচয়ই পরে নির্বাচিত রদ্দ করা সম্ভব করে। একটি ক্লায়েন্ট কী প্রতিটি ডিভাইসে কপি করা সেই গুণাবলী চুপচাপ ফেলে দয়, সার্ভার সার্টিফিকেট নিখুতভাবে পাওয়া গেলেও।
এন্ডপয়েন্টের প্রমাণীকরণ পদ্ধতি একটি পছন্দ, সার্বজনীন প্রয়োজনিয়তা নয়।
Active Directory এবং সংঘীয় প্রমাণীকরণ একই প্রশ্নের উত্তর অন্য উপায়ে দেয়। পারস্পরিক সার্টিফিকেটের রেসিপি সেই মোতোয়ায়নগুলোর জন্য স্বয়ংক্রিয়ভাবে লগইন নকশা হয় না, এবং ব্যবহারকারীকে যেভাবেই ভিতরে আনা হোক সার্ভারের TLS যাচাই বহাল থাকে।
একই CA ARN কী ভাগ করা কেন নয়
AWS নথিভুক্ত করে যে যখন সার্ভার এবং ক্লায়েন্ট সার্টিফিকেট একই CA জারি করে, সার্ভার সার্টিফিকেটের ARN ক্লায়েন্ট সার্টিফিকেট নির্বাচনেও ব্যবহার করা যায়। সেই বাক্যটি সেই শৃঙ্খল সম্পর্কে যা এন্ডপয়েন্ট যাচাইর সময় বিশ্বাস করে। এটি ক্লায়েন্টদের সার্ভারের ব্যক্তিগত কী ব্যবহার করতে বলে না। ল্যাপটপের এখনও নিজের ক্লায়েন্ট সার্টিফিকেট এবং নিজের মিলে যাওয়া কী প্রয়োজন।
যখন ক্লায়েন্টের CA অন্য একজন ইশ্যুকারী, তখন নথিভুক্ত পথ হলো সেই CA ACM-এ আমদানি করে ক্লায়েন্ট ভূমিকার জন্য তা নির্বাচন করা।
ব্যর্থতাকে ধাপে ফিরিয়ে নিন
কিছু বদলার আগে কোন ধাপ ব্যর্থ হচ্ছে তা চিহ্নিত করুন। ক্লায়েন্ট এন্ডপয়েন্ট প্রত্যাখ্যান করলে সন্দেহভাজন সার্ভারের ARN বা তার শৃঙ্খল। এন্ডপয়েন্ট ক্লায়েন্টকে প্রত্যাখ্যান করলে ক্লায়েন্ট সার্টিফিকেট, তার ইশ্যুকারী এবং নির্বাচিত প্রমাণীকরণ পদ্ধতি দেখুন। টানেল উঠে আর ট্রাফিক এখনও ব্যর্থ হলে আপনি সার্টিফিকেট পার হয়ে গেছেন।
একবারে একটিই বস্তু বদলান, কারণ দুটি প্রান্ত একসঙ্গে বদলালে আপনি যে অস্পষ্টতা নিয়ে শুরু করেছিলেন তাই আবার তৈরি হয়।
সেই নির্দিষ্ট ভূমিকার জন্য সেবার সমর্থিত কী অ্যালগরিদম এবং প্রয়োজনীয় এক্সটেনশনও দেখুন। একটি সার্বজনীন ওয়েবসাইটকে সন্তুষ্ট করা সার্টিফিকেট Client VPN-এর সব পরিচয় প্রয়োজনিয়তা পূরণ হয়েছে তার প্রমাণ নয়।
লিখুন কোন ফিল্ড কোন ARN রাখে, কোন CA ক্লায়েন্ট সার্টিফিকেট জারি করেছে এবং এন্ডপয়েন্ট প্রকৃতপক্ষে কোন প্রমাণীকরণ পদ্ধতি ব্যবহার করে। তিন লাইনের রেকর্ড পরের নবায়নকে তদন্তের বদলে একটি কাজ করে দেয়।