OpenVPN data-ciphers ডেটা চ্যানেলের সাইফার কীভাবে বেছে নেয়

টানেল ওঠে, লগ একটি সাইফার দেখায়, এবং প্রোফাইল পর্যালোচনা এগিয়ে চলে। তারপর এক সঙ্গীর কাছে আপগ্রেড আসে এবং একই প্রোফাইল কোনো সাধারণ সাইফার নেই এমন বার্তা নিয়ে ব্যর্থ হয়, যা মানুষকে মুছে ফেলার নির্দেশ খুঁজতে পাঠায়। বোঝার মতো উপকারী বিষয় হলো data-ciphers একটি আলোচনার বর্ণনা দেয়, কোনো সেটিং নয়। এক পক্ষ একটি তালিকা দেয়, অন্য পক্ষ তা থেকে বেছে নেয়, এবং ফলাফল একটি অ্যালগরিদম যা দুজনেই সমর্থন করে। ওই বিনিময় পড়া একটি লাইন বদলানোর আগে এই ব্যর্থতাগুলির বেশিরভাগ ব্যাখ্যা করে।

দুটি চ্যানেল, দুটি কনফিগারেশন

একটি OpenVPN সেশনে একটি নিয়ন্ত্রণ চ্যানেল এবং একটি ডেটা চ্যানেল থাকে। নিয়ন্ত্রণ চ্যানেল যে TLS হ্যান্ডশেক চালায় তা সঙ্গীদের প্রমাণীকরণ করে এবং কী আলোচনা করে। ডেটা চ্যানেল আপনার ট্রাফিক বহনকারী প্যাকেটগুলি এনক্রিপ্ট করে।

data-ciphers দ্বিতীয়টি কনফিগার করে। নিয়ন্ত্রণ চ্যানেলের নিজস্ব অপশন আছে, এবং প্রোফাইলের পরিচয় যাচাই তৃতীয়, আলাদা বিষয়। একটিতে পরিবর্তন অন্যটি ঠিক করে না, তাই প্রোফাইল সঠিক দেখাতে পারে এবং তবুও নির্দিষ্ট একটি পর্যায়ে ব্যর্থ হতে পারে।

কনফিগারেশন ফাইল পড়ার সময় এই তিনটি নিজ নিজ বাক্সে রাখুন।

লগ থেকে আলোচনা পড়ুন

সংযোগ সফল হলে ক্লায়েন্ট লগ উভয় ফলাফলই নাম বলে। একটি লাইন নিয়ন্ত্রণ চ্যানেল ও তার TLS বিবরণ রিপোর্ট করে, এবং অন্যটি নির্বাচিত ডেটা চ্যানেল সাইফার।

দুটিই পড়ুন, কারণ তারা ভিন্ন প্রশ্নের উত্তর দেয়। নিয়ন্ত্রণ চ্যানেলের ব্যর্থতা কোনো ডেটা সাইফার গুরুত্বপূর্ণ হওয়ার আগেই সংযোগ থামায়। ডেটা চ্যানেলের অমিল সফল হ্যান্ডশেকের পরে দেখা যায়, কোনো সাধারণ সাইফার নেই এমন বার্তা নিয়ে।

তারপর দুই পক্ষের দেওয়া তালিকা তুলনা করুন। যে নাম এক সঙ্গীর সংস্করণ বা তার ক্রিপ্টো ভিত্তি দেয় না তা বেছে নেওয়া যায় না, অন্য সঙ্গীর তালিকায় তা যত আগেই আসুক না কেন।

নির্বাচন আসলে কীভাবে ঘটে

সার্ভার হ্যান্ডশেকের সময় তার data-ciphers তালিকা ক্লায়েন্টের দিকে ঠেলে দেয়, এবং ক্লায়েন্ট সেই তালিকার প্রথম এন্ট্রি বেছে নেয় যা সে নিজেও সমর্থন করে। তাই ক্রম সার্ভারের কনফিগারেশনের, ক্লায়েন্টের নয়।

এই বিবরণ বিভ্রান্তিকর ফলাফলের একটি শ্রেণি ব্যাখ্যা করে। সার্ভারের তালিকা সিদ্ধান্ত নেওয়ার সময় ক্লায়েন্টের তালিকা পুনরায় সাজানো কিছুই বদলায় না। এমন সাইফার যোগ করাও কিছুই বদলায় না যা ক্লায়েন্ট দিতে পারে না, কারণ ক্লায়েন্টকে বেছে নেওয়া এন্ট্রি ব্যবহার করতে সক্ষম হতে হবে।

নতুন সংস্করণগুলি ডিফল্ট তালিকা বদলেছে এবং যে অপশন এটি রাখত তার নাম বদলেছে, তাই ভিন্ন সংস্করণের দুই সঙ্গী কেউ প্রোফাইল সম্পাদনা না করেই দ্বিমত করতে পারে। টাইপিং ভুল ধরে নেওয়ার আগে প্রতিটি পক্ষে সংস্করণ যাচাই করুন।

তালিকা বিমূর্ত অর্থে শক্তির ক্রম নয়। এটি প্রার্থীদের একটি সেট, এবং নির্বাচিতটি সার্ভারের ক্রমে প্রথম পারস্পরিক সমর্থিত এন্ট্রি। তাই ভিন্ন দেখতে দুটি তালিকা একই সাইফারে সম্মত হতে পারে। তাই একই দেখতে দুটি তালিকাও ব্যর্থ হতে পারে।

পুরোনো সঙ্গীদের ইচ্ছাকৃত ব্যাকআপ দরকার

যে সঙ্গী একেবারেই আলোচনা করতে পারে না, কারণ সে পদ্ধতির চেয়ে পুরোনো বা সেটি বন্ধ করেছে, তার নথিভুক্ত সামঞ্জস্য ব্যবস্থা দরকার। ব্যাকআপ অপশনটি ঠিক সেই ক্ষেত্রের জন্যই আছে এবং যে সঙ্গীরা আলোচনায় অংশ নেয় না তাদের ক্ষেত্রে প্রযোজ্য।

এটি প্রতিটি পুরোনো সাইফার সক্ষম করার সমান নয় যাতে একটি বার্তা হারিয়ে যায়। প্রশস্ত তালিকা প্রতিটি সঙ্গীর জন্য সেশন দুর্বল করে, যারা কিছু শক্তিশালী আলোচনা করত তাদেরসহ।

অসম্পর্কিত অ্যালগরিদম নাম সম্পাদনার বদলে দুই পক্ষকে সমন্বয় করুন। যদি সার্ভার আপগ্রেড একটি পুরোনো অপশন সরিয়ে দেয়, সংশোধনটি সংস্করণ পরিকল্পনার অংশ, ক্লায়েন্টে তাড়াহুড়োর নয়।

যাচাই অক্ষত রাখুন

ডেটা চ্যানেলের অমিল অযাচাইকৃত সার্ভার গ্রহণ করার কারণ নয়। সার্টিফিকেট যাচাই, প্রত্যাশিত সার্ভার নাম এবং নিয়ন্ত্রণ চ্যানেলের সুরক্ষা সেটিংস সাইফার নির্বাচন থেকে আলাদা এবং যেকোনো সামঞ্জস্য পরিবর্তন থেকে টিকে থাকা উচিত।

আলোচনা করা ডেটা সাইফার, ক্লায়েন্ট সংস্করণ এবং সার্ভার সংস্করণ একসাথে লিপিবদ্ধ করুন, যাতে পরবর্তী তুলনা তথ্য থেকে শুরু হয়, প্রোফাইল ফাইল থেকে নয়।

সমর্থিত সংশোধনের পরে প্রাথমিক সংযোগ এবং পুনরায় আলোচনা পরীক্ষা করুন, কারণ একবার প্রতিষ্ঠিত সেশন কী নবায়নের সময় এখনও ব্যর্থ হতে পারে।

যদি টানেল প্রতিষ্ঠিত হয় এবং সাইটগুলি এখনও ব্যর্থ হয়, সাইফার আর সন্দেহভাজন নয়। রাউটিং এবং DNS নিয়ে এগিয়ে যান। কাজের ক্রম: লগের দুটি লাইন পড়ুন, দুটি তালিকা তুলনা করুন, সংস্করণ যাচাই করুন, কেবল প্রয়োজনীয় সঙ্গীর জন্য ব্যাকআপ যোগ করুন, তারপর নবায়ন পথ আবার পরীক্ষা করুন।