AWS Client VPN: ক্লায়েন্ট সার্টিফিকেট কোন CA ইস্যু করবে?
একটি বিদ্যমান CA, একটি নিজস্ব পরিচালিত ইস্যুয়ার এবং AWS Private CA কাজটি ভিন্নভাবে ভাগ করে। চালু করার আগে কে ক্লায়েন্ট সার্টিফিকেট অনুমোদন, নবায়ন ও বাতিল করবে তা ঠিক করুন।
AWS Client VPN-এ সার্টিফিকেটের প্রশ্নটি পণ্যের প্রশ্ন হিসেবে করা হয়, অথচ এটি আসলে পরিচালনার প্রশ্ন। স্বাভাবিক তিনটি সেটআপের যেকোনো একটি কাজ করা টানেল চালু রাখবে: বিদ্যমান সাংগঠনিক CA, একটি নিবেদিত নিজস্ব ইস্যুয়ার, বা AWS Private CA। এরা পার্থক্য করে কোনটি ডিভাইস অনুমোদন করে, কার কাছে সাইনিং কী থাকে, এবং অসুবিধাজনক সময়ে ল্যাপটপ হারিয়ে গেলে কে উত্তর দেয়। যে বিকল্পের মালিকের নাম বলতে পারেন সেটিই বেছে নিন।
সার্টিফিকেট প্রমাণীকরণের জন্য AWS Private CA বাধ্যতামূলক করে না। ACM-এ একটি সার্ভার সার্টিফিকেট রাখা একটি ডিপ্লয়মেন্ট ধাপ, নিবন্ধন প্রক্রিয়া নয়।
যে তিনটি শর্ত এটি নির্ধারণ করে
তিনটি শর্ত বিকল্পগুলিকে পরিষ্কারভাবে আলাদা করে: অনুমোদিত ডিভাইস-নিবন্ধন প্রক্রিয়া আগে থেকেই আছে কি না, ব্যাকআপ ও নির্দিষ্ট মালিকসহ সাইনিং কী চালাতে পারেন কি না, এবং বাতিলকরণ কীভাবে এন্ডপয়েন্টে পৌঁছায়। প্রতিটি শর্তই হ্যাঁ বা না-এর কাছাকাছি, এবং প্রথম না-ই সাধারণত স্থাপত্য ঠিক করে দেয়।
ক্রমানুসারে এগুলো দেখুন। সরাসরি খরচের তুলনায় ঝাঁপ দেওয়াই দলগুলোকে একটি পরিচালিত CA নিয়ে শেষ করে, আর কেউ জানে না পরের ল্যাপটপ সার্টিফিকেট কে ইস্যু করবে।
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
প্রথম শর্ত: নিবন্ধন কি আগে থেকেই আছে?
আপনার প্রতিষ্ঠান যদি ইতিমধ্যেই অনুমোদিত ডিভাইস-নিবন্ধন পথসহ একটি CA চালায়, তবে সেখান থেকেই Client VPN ক্লায়েন্ট সার্টিফিকেট ইস্যু করা সবচেয়ে ছোট পথ। অনুমোদন, প্রক্রিয়া ও সম্পদ-নথি আগেই আছে। ওই ক্রমবিন্যাসের অধীনে একটি নিবেদিত অধীনস্থ ইস্যুয়ার সাধারণ উদ্দেশ্যের ইস্যুিং CA-এর চেয়ে ভালো, কারণ এটি VPN-কে নিজস্ব বিশ্বাস-সীমা ও নিজস্ব বাতিল তালিকা দেয়। সেই তালিকাটি ক্রমবিন্যাসের বাকি অংশ থেকে আলাদা রাখুন, যাতে একটি VPN ঘটনা পুরো PKI জুড়ে পরিবর্তন চাপিয়ে না দেয়।
এমন প্রক্রিয়া না থাকলে আসল প্রশ্ন হলো আপনি এটি গড়তে চান কি না। CA শুরু করা সহজ, খারাপভাবে মালিকানা রাখা ব্যয়বহুল।
দ্বিতীয় শর্ত: আপনি কি সাইনিং কী পরিচালনা করতে পারেন?
নিজস্ব ইস্যুয়ার নথিভুক্ত ইমপোর্ট মডেলের সঙ্গে কাজ করে, এবং EasyRSA বা ছোট অভ্যন্তরীণ টুল উপকরণ তৈরি করতে পারে। কমান্ড চালানো কঠিন অংশ নয়। কঠিন অংশ হলো সাইনিং কী-এর অফলাইন ব্যাকআপ, এমন একটি পুনরুদ্ধার পথ যা কেউ সত্যিই পরীক্ষা করেছে, এমন মালিক যিনি ছুটিতে নেই, এবং এমন নিয়ম যে কী কখনো ক্লায়েন্ট বান্ডল বা কনফিগারেশন এক্সপোর্টে পৌঁছাবে না। প্রথম সার্টিফিকেট ইস্যুর আগেই এটি প্রক্রিয়া হিসেবে লিখে রাখুন, প্রথম ঘটনার পরে নয়।
AWS Private CA সেই হেফাজত একটি পরিচালিত সেবায় সরিয়ে নেয়। এটি নিবন্ধন নীতি, অনুমোদনের ধাপ বা ডিভাইসে সার্টিফিকেট পৌঁছে দেওয়া সরায় না।
তৃতীয় শর্ত: বাতিলকরণ কীভাবে আসে?
Client VPN ক্লায়েন্ট-সার্টিফিকেট বাতিল তালিকা ব্যবহার করে যা আপনি এন্ডপয়েন্টে ইমপোর্ট করেন, সার্টিফিকেট জীবনচক্র নির্দেশিকা-তে বর্ণিত মতো। PKI-এর অন্য জায়গায় CRL প্রকাশ করলে তা সেবায় ঠেলে দেওয়া হয় না। ইমপোর্ট একটি আলাদা, নির্ধারিত কাজ, এবং মেয়াদোত্তীর্ণ তালিকা নিঃশব্দে দুর্বল না হয়ে সংযোগ বন্ধ করে। রিফ্রেশকে সার্টিফিকেটের নিজের ক্যালেন্ডারেই রাখুন।
এতে রিফ্রেশ মালিকসহ একটি মনিটরিং আইটেম হয়ে যায়, লঞ্চে শেষ হওয়া কাজ নয়। প্রকৃতপক্ষে প্রয়োজন হওয়ার আগেই একটি পরীক্ষামূলক সার্টিফিকেট শুরু থেকে শেষ পর্যন্ত বাতিল করুন।
কোনো বিকল্প যা দূর করে না
প্রতিটি বিকল্পেরই এখনও প্রতিটি স্বতন্ত্রভাবে পরিচালিত ডিভাইসের জন্য একটি আলাদা ক্লায়েন্ট সার্টিফিকেট ও কী দরকার। যে টিউটোরিয়াল সবাইকে একটিই পরিচয় দেয় তা টিউটোরিয়ালের শর্টকাট, এবং এটি নির্বাচিত বাতিলকরণও অসম্ভব করে তোলে।
ACM-এ ইমপোর্ট করা সার্ভার সার্টিফিকেটের পরিচালিত নবায়ন নেই, তাই মালিককে প্রতিস্থাপন আনতে, আবার ইমপোর্ট করতে এবং তারপর এন্ডপয়েন্ট তা গ্রহণ করেছে কি না নিশ্চিত করতে হয়। সার্ভার সার্টিফিকেট নবায়ন করলে ল্যাপটপে থাকা ক্লায়েন্ট পরিচয়পত্র নবায়ন হয় না। এগুলো আলাদা ক্যালেন্ডারের আলাদা জীবনচক্র।
কিছু ইস্যু করার আগে সেবা কোন ধরনের কী ও এক্সটেনশন গ্রহণ করে তা যাচাই করুন। CA কোনো অ্যালগরিদম সমর্থন করলে এর অর্থ এন্ডপয়েন্ট তা গ্রহণ করবে নয়।
লঞ্চের আগে আপনার বেছে নেওয়া কর্মপ্রবাহ দিয়ে একটি নবায়ন ও একটি ক্লায়েন্ট অপসারণ চালান, এবং লিখে রাখুন কোন পরিচয়পত্র বদলাল, কোন এন্ডপয়েন্ট সেটিং বদলাল এবং সক্রিয় সেশনটির কী হলো। সেই অনুশীলন স্পষ্ট মালিক ছাড়া শেষ হলে ইস্যুয়ার বাছাই শেষ হয়নি।