একটি Azure Point-to-Site ক্লায়েন্ট সার্টিফিকেট কীভাবে প্রত্যাহার করবেন

একটি Azure Point-to-Site ক্লায়েন্ট প্রত্যাহার করার অর্থ হলো তার থাম্বপ্রিন্ট গেটওয়ের প্রত্যাহার তালিকায় যোগ করা। এর অর্থ বিশ্বস্ত রুট মুছে ফেলা নয়। রুট হলো আপনার কখনো দেওয়া প্রতিটি ক্লায়েন্ট সার্টিফিকেটের ইস্যুকারী কর্তৃপক্ষ, তাই এটি সরানো একটি ভিন্ন কাজ এবং এর প্রভাব অনেক বেশি বিস্তৃত। এখানে প্রত্যাহারের একক একটি মাত্র সার্টিফিকেট।

ধাপ 1: আপনি যে সার্টিফিকেট বোঝাচ্ছেন সেটি নিশ্চিত করুন

প্রদর্শিত নাম থেকে নয়, সার্টিফিকেট রেকর্ড থেকে শুরু করুন। Azure আপনার নিজে লেখা একটি বন্ধুত্বপূর্ণ নাম দেখায়, এবং সেই লেবেলের সঙ্গে সাবজেক্ট বা যে ডিভাইসের জন্য এটি দেওয়া হয়েছে তার মিল থাকতেই হবে না।

প্রত্যাহারের আগে আরেকটি পরীক্ষা: কতটি ডিভাইস এটি উপস্থাপন করে তা জেনে নিন। যদি একই PFX-এর কপি থেকে বেশ কয়েকটি ল্যাপটপ তৈরি করা হয়, তবে থাম্বপ্রিন্ট প্রত্যাহার করলে সেগুলোর সবকটিই লক হয়ে যাবে, আর ড্রয়ারে রাখা অতিরিক্তটির থেকে হারানোটি আলাদা করার কোনো উপায় Azure-এর নেই।

ক্লায়েন্টে Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject, Thumbprint, NotAfter সেই ব্যবহারকারীর জন্য কী ইনস্টল আছে তা তালিকা করে, এবং Cert:\LocalMachine\Myও যাচাই করা উচিত, কারণ VPN ক্লায়েন্ট যেকোনো একটি স্টোর থেকে বেছে নিতে পারে। থাম্বপ্রিন্টটি আপনার এনরোলমেন্ট ইনভেন্টরির সঙ্গে মেলান। নবায়ন করা সার্টিফিকেটের থাম্বপ্রিন্ট ভিন্ন হয়, এমনকি সাবজেক্ট একই হলেও।

একটি পাবলিক সার্টিফিকেটের থাম্বপ্রিন্ট পড়তে ক্লায়েন্টের প্রাইভেট কী বা পাসওয়ার্ড-সুরক্ষিত PFX লাগে না। যে পদ্ধতিতে এগুলোর একটি দাবি করা হয়, সেটি অন্য কোনো কাজ থেকে কপি করা।

ধাপ 2: গেটওয়ের প্রত্যাহার তালিকায় এটি যোগ করুন

পোর্টালে ভিরচুয়াল নেটওয়ার্ক গেটওয়ে খুলুন, তারপর Point-to-site কনফিগারেশন, তারপর প্রত্যাহার করা সার্টিফিকেটের অংশ। ছয় মাস পরেও চিনতে পারবেন এমন একটি বন্ধুত্বপূর্ণ নাম দিন এবং স্পেসগুলো সরিয়ে থাম্বপ্রিন্টটি একটানা একটি স্ট্রিং হিসেবে পেস্ট করুন।

সংরক্ষণের আগে কোন গেটওয়ে নির্বাচিত আছে তা যাচাই করুন, কারণ একাধিক গেটওয়ে থাকা সাবস্ক্রিপশনই ঠিক সেই জায়গা যেখানে এটি ভুল হয়। Microsoft-এর সার্টিফিকেট কনফিগারেশন নির্দেশিকা বলছে, আপডেট সম্পূর্ণ হলে সার্টিফিকেট আর সংযোগের জন্য ব্যবহার করা যাবে না।

পোর্টালের টোস্ট বার্তায় ভরসা না করে পরে সংরক্ষিত মানটি নিশ্চিত করুন: az network vnet-gateway show --name gw-p2s --resource-group rg-vpn --query "vpnClientConfiguration.vpnClientRevokedCertificates" গেটওয়ে আসলে কী ধরে রাখে তা দেখায়।

ধাপ 3: দুই দিকই যাচাই করুন

প্রত্যাহৃত সার্টিফিকেট দিয়ে প্রত্যাখ্যান পরীক্ষা করুন, তারপর পরীক্ষা করুন যে একই রুটের অধীনে অন্য একটি সার্টিফিকেট এখনো প্রমাণীকরণ করতে পারে। দ্বিতীয় পরীক্ষাটিই মানুষ এড়িয়ে যায়, আর এটিই ধরতে পারে দুর্ঘটনাবশত রুট সরানো বা কেউ না বলা নীতি পরিবর্তন। এমন একটি ডিভাইস ব্যবহার করুন যেখানে দেখা যায় কোন সার্টিফিকেট উপস্থাপন করা হচ্ছে। একাধিক সার্টিফিকেট থাকা ক্লায়েন্ট চুপচাপ একটি কার্যকর সার্টিফিকেট ব্যবহার করে আপনার প্রত্যাহারকে ভাঙা দেখাতে পারে।

দুটি ফলাফলই টিকিটে লিখুন। কেবল প্রত্যাখ্যানের দিকে যাচাই করা প্রত্যাহার অর্ধেক যাচাই করা।

ধাপ 4: ইতিমধ্যে চালু থাকা সেশন

নথিভুক্ত ফলাফল নতুন সংযোগের বিষয়ে। তালিকা সংরক্ষণের মুহূর্তেই প্রতিটি বিদ্যমান টানেল বন্ধ হয়ে যাবে—এমন প্রতিশ্রুতি পর্যন্ত এটিকে বাড়াবেন না। তাৎক্ষণিক অপসারণ গুরুত্বপূর্ণ হলে আপনার স্থাপিত কনফিগারেশন যে নিয়ন্ত্রণ সত্যিই দেয় তা ব্যবহার করুন এবং অনুমান না করে নির্দিষ্ট সেশনটি দেখুন।

প্রমাণীকরণ থেকে এটি আলাদাভাবে পরীক্ষা করুন, কারণ দুটি ভিন্ন জায়গায় ব্যর্থ হয় এবং ভিন্ন প্রমাণ রেখে যায়।

রোলব্যাক, এবং যে শর্টকাটগুলো এড়ানো উচিত

রোলব্যাক করার অর্থ প্রত্যাহার তালিকা থেকে থাম্বপ্রিন্ট সরানো এবং একই আপডেট শেষ হওয়ার জন্য অপেক্ষা করা। ভুল এন্ট্রি প্রত্যাহার করলে এটি নিরাপদ, আর সার্টিফিকেট সত্যিই আপস করা হলে এটি বিপজ্জনক, তাই আগে ঠিক করুন আপনি কোন পরিস্থিতিতে আছেন। বিশ্বস্ত রুট মুছে ফেলা একটি হারানো ল্যাপটপের শর্টকাট নয়। এক মেশিনে স্থানীয় VPN প্রোফাইল মুছলে কোনো গেটওয়ে কী গ্রহণ করে তা বদলায় না।

যদি পরিচয়টি দ্বিতীয় গেটওয়েতেও প্রমাণীকরণ করে, তবে দুটিরই একই ব্যবস্থা দরকার। প্রত্যাহার তালিকা সাবস্ক্রিপশনের নয়, গেটওয়ের।