ব্যক্তিগত IP-তে HTTPS: সার্টিফিকেটের পরিচয় নাকি হোস্টনেম?

https://10.60.0.25-এ আপনার পরিষেবা DNS নাম ছাড়াও প্রমাণিত TLS রাখতে পারে। ঠিকানাটিই সেই পরিচয় যা ক্লায়েন্টকে যাচাই করতে হবে, এবং সার্টিফিকেটকে তা সঠিকভাবে বর্ণনা করতে হবে। সিদ্ধান্তটি হলো, ঠিকানাটি পরিচয় হওয়ার জন্য যথেষ্ট স্থিতিশীল কি না, নাকি হোস্টনেম রাখা সহজ হবে। VPN পৌঁছানোর প্রশ্নের উত্তর দেয়; এই প্রশ্নের উত্তর দেয় না।

পরিচয় ও বিশ্বাস ঠিক করুন, তাহলে IP-ভিত্তিক URL একটি বৈধ নকশা।

ক্লায়েন্ট আসলে কী যাচাই করে

ক্লায়েন্ট URL-এর রেফারেন্স পরিচয়কে সার্টিফিকেটের বিকল্প বিষয় নামের সঙ্গে মেলায়। একটি IP ঠিকানার জন্য এর অর্থ হলো ঠিকানার সমান একটি iPAddress এন্ট্রি। বন্ধুত্বপূর্ণ সাধারণ নাম এর বিকল্প নয়।

RFC 9525 IP ঠিকানার পরিচয়কে DNS নাম থেকে আলাদা করে এবং মিলনের নিয়ম নির্ধারণ করে। ঠিকানাটি কেবল বিষয় লেবেলে বা DNS-ধরনের এন্ট্রি হিসেবে রাখলে মিল হয় না। তাই সতর্কতা দেখা দিলে SAN-ই সেই ক্ষেত্র যা দেখতে হবে।

বিশ্বাস হলো দ্বিতীয়, স্বাধীন যাচাই। নাম মিললে অবিশ্বস্ত চেইন, মেয়াদোত্তীর্ণ সার্টিফিকেট বা অন্য উদ্দেশ্যে ইস্যু করা সার্টিফিকেট ঠিক হয় না।

প্রথম সিদ্ধান্ত: ঠিকানাটি পরিচয় হওয়ার জন্য যথেষ্ট স্থিতিশীল কি না

স্থাপনার পুরো জীবনকাল ঠিকানা স্থির থাকলে IP SAN সার্টিফিকেট সরল ও সৎ। পরিষেবা সরতে পারে এমন হলে প্রতিটি স্থানান্তরই সার্টিফিকেট প্রতিস্থাপন ও সমন্বিত ক্লায়েন্ট হালনাগাদ হয়ে যায়।

স্থিতিশীল হোস্টনেম এই সংযুক্তি কমায়। ক্লায়েন্টরা নামটি ব্যবহার করে, অনুমোদিত DNS তা বর্তমান ঠিকানায় মেলায়, আর ঠিকানা পরিবর্তন আর পরিচয় পরিবর্তন থাকে না। সার্টিফিকেটের এখনও নবায়ন দরকার, কিন্তু URL বদলায় না।

পরিচালিত hosts ফাইল এন্ট্রি ছোট পরিবেশে ম্যাপিং দিতে পারে। এটি বিতরণের দায়িত্ব যোগ করে; TLS যাচাইয়ের বিকল্প নয়।

দ্বিতীয় সিদ্ধান্ত: ক্লায়েন্ট কীভাবে ইস্যুকারীকে বিশ্বাস করবে

ব্যক্তিগত CA-এর জন্য অনুমোদিত পদ্ধতিতে বিশ্বাসের অ্যাঙ্কর নির্ধারিত ডিভাইসে বিতরণ করুন। ব্যবহারকারীদের সতর্কতা পার হতে বা সাইন-ইন পৃষ্ঠা থেকে দেওয়া সার্টিফিকেট ইনস্টল করতে প্রশিক্ষণ দেবেন না। সর্বজনীনভাবে বিশ্বস্ত সার্টিফিকেট চাইলে পরিকল্পনার আগে ব্যক্তিগত ঠিকানার জন্য ইস্যুকারীর বর্তমান নিয়ম দেখুন। বেশিরভাগ সর্বজনীন ইস্যুকারী ব্যক্তিগত IP-কে সর্বজনীন পরিচয় হিসেবে যাচাই করবে না।

প্রকৃত ব্রাউজার বা অ্যাপ্লিকেশনটি দেখুন। এর ট্রাস্ট স্টোর ও যাচাইয়ের আচরণ অপারেটিং সিস্টেমের সাধারণ সার্টিফিকেট ডকুমেন্টেশনের চেয়ে বেশি গুরুত্বপূর্ণ। কেবল কনসোলে নয়, প্রকৃত ডিভাইসে এটি যাচাই করুন।

VPN গেটওয়ে হয়তো ওয়েব অ্যাপ্লিকেশন চালানো মেশিনটি নয়, তাই টানেলের সার্টিফিকেটের সঙ্গে এটির কোনো সম্পর্ক আছে ভেবে নেবেন না।

ঠিকানা পরিবর্তনের আগেই পরিকল্পনা করুন

10.60.0.25 যদি 10.60.0.40 হয়ে যায়, পুরোনো সার্টিফিকেট আর URL বর্ণনা করে না। প্রতিস্থাপন ও ক্লায়েন্ট হালনাগাদ একসঙ্গে পরিকল্পনা করুন, এবং স্থানান্তরের সময় কখনও যাচাই বন্ধ করবেন না।

ব্যবহারকারীরা যে পরিচয় টাইপ করবে বা অ্যাপ্লিকেশনগুলি যা কনফিগার করবে তা বেছে নিন, তারপর ইস্যু, বিশ্বাস, স্থাপন ও নবায়ন সেই অনুযায়ী সাজান। খারিজ করা সতর্কতাসহ পৌঁছানো পৃষ্ঠা আর যে পরিষেবার পরিচয় ক্লায়েন্ট যাচাই করে, একই ফল নয়।