Mac VPN সার্টিফিকেট: আইডেন্টিটি বাছাইয়ের তালিকা কেন খালি থাকে
ক্লায়েন্টের এমন একটি সার্টিফিকেট দরকার যার সঙ্গে তার প্রাইভেট কী আছে, এবং তা এমন স্টোরে থাকতে হবে যা সে পড়ে। প্রথমে আইডেন্টিটি যাচাই করুন, তারপর দেখুন গেটওয়ে তা গ্রহণ করে কি না।
আপনি সার্টিফিকেটটি ইনস্টল করেছেন, এটি Keychain Access-এ একটি বন্ধুত্বপূর্ণ নামে দেখা যাচ্ছে, তবুও VPN ক্লায়েন্টের আইডেন্টিটি বাছাইয়ের তালিকা খালি। ক্লায়েন্ট সার্টিফিকেট খুঁজছে না। সে একটি আইডেন্টিটি খুঁজছে: এমন একটি সার্টিফিকেট যা প্রাইভেট কীয়ের সঙ্গে জোড়া এবং যা দখল প্রমাণ করতে পারে, আর তা এমন জায়গায় সংরক্ষিত যেখানে ক্লায়েন্ট পড়ার অনুমতি পায়।
ক্লায়েন্ট যা চায় তা হলো একটি আইডেন্টিটি
Apple-এর নিরাপত্তা ফ্রেমওয়ার্ক সার্টিফিকেট ও আইডেন্টিটিকে আলাদা বস্তু হিসেবে দেখে। সার্টিফিকেট হলো প্রকাশ্য তথ্য। আইডেন্টিটি হলো সেই সার্টিফিকেট এবং তার প্রাইভেট কী, আর কেবল আইডেন্টিটিই চ্যালেঞ্জ সম্পূর্ণ করতে পারে। অন্যদিকে একটি বিশ্বস্ত CA সার্টিফিকেট ক্লায়েন্টকে একটি ইস্যুকারী যাচাই করতে দেয়; এটি মেশিনকে ইস্যু করা ক্লায়েন্ট ক্রেডেনশিয়ালের ধারক বানায় না।
| Item | What it can do | What it cannot do |
|---|---|---|
| CA or server certificate | Validate the gateway's chain | Authenticate this client |
| Client certificate without key | Nothing for authentication | Prove possession of anything |
| Identity (cert plus key) | Answer the authentication challenge | Guarantee the gateway accepts it |
এই কারণেই একটি .cer ফাইল আমদানি করলে কখনোই ব্যবহারযোগ্য ক্লায়েন্ট আইডেন্টিটি তৈরি হয় না। ফাইলটি কেবল প্রকাশ্য উপাদান বহন করে, আর নাম বদলানো বা বিশ্বাস করা—যতই করা হোক—এটিকে কী-জোড়ায় পরিণত করে না।
তালিকা খালি থাকার তিনটি কারণ
প্রথমটি হলো প্রাইভেট কী অনুপস্থিত, অর্থাৎ নথিভুক্তি বা আমদানি প্রক্রিয়া একটি সরবরাহ করেনি। দ্বিতীয়টি হলো এমন স্টোর যা ক্লায়েন্ট দেখে না: ব্যবহারকারী-পরিধির প্রোফাইল ব্যবহারকারীর কীচেইনে খোঁজে, আর সিস্টেম স্টোরে রাখা একটি আইটেম তার কাছে অদৃশ্য হতে পারে। তৃতীয়টি হলো উদ্দেশ্য বা নীতির অমিল, যেখানে সার্টিফিকেট আছে কিন্তু স্থাপনার নিয়মে ক্লায়েন্ট প্রমাণীকরণের জন্য বৈধ নয়।
security find-identity -v -p ssl-clientএটি সিস্টেম যে আইডেন্টিটিগুলোকে ক্লায়েন্ট প্রমাণীকরণের জন্য বৈধ মনে করে সেগুলো তালিকাভুক্ত করে। যদি সংখ্যা শূন্য হয়, সমস্যাটি VPN ক্লায়েন্টের উপরের দিকে এবং কোনো প্রোফাইল সম্পাদনা তা ঠিক করবে না। যদি আইডেন্টিটি এখানে দেখা যায় কিন্তু ক্লায়েন্টে না যায়, তবে পার্থক্য ক্লায়েন্টের স্টোর বা পরিধিতে।
প্রাইভেট কী কোথায় থাকে এবং কে এটি ব্যবহার করতে পারে
Keychain Access দিয়ে আইডেন্টিটি আমদানি করলে আমদানি ডায়ালগ একটি গন্তব্য কীচেইন প্রস্তাব করে। কোন গন্তব্য সঠিক তা নির্ভর করে ক্লায়েন্টের উপর এবং প্রোফাইলটি ব্যবহারকারী-পরিধির না ডিভাইস-পরিধির তার উপর। সিস্টেম কীচেইন সুপারিশ করা পুরোনো উত্তর কোনো সর্বজনীন নিয়ম নয়, আর স্টোরের মধ্যে আইটেম কপি করা কোনো মেরামত নয়।
System Roots একটি বিশ্বাস সংগ্রহ। সেখানে সার্টিফিকেট রাখলে সিস্টেম কোন ইস্যুকারীকে বিশ্বাস করে তা বদলায়; এটি প্রাইভেট কী তৈরি করে না, এবং এটি আইডেন্টিটি স্টোর নয়। তালিকা ভরাতে অসম্পর্কিত সার্টিফিকেট এদিক-ওদিক সরানো হলো এমন মেরামত যা মেশিনকে স্থায়ীভাবে বাড়ানো বিশ্বাস-সেট দিয়ে রেখে যায়।
প্রাইভেট কী-তে প্রবেশাধিকার একটি আলাদা নিয়ন্ত্রণ। প্রতিটি অ্যাপ্লিকেশনকে কী ব্যবহারের অনুমতি দেওয়া একটি ক্লায়েন্টের বাছাই সমস্যা সমাধান করে এবং একই সামর্থ্য মেশিনের বাকি সবকিছুর হাতে তুলে দেয়। এটি সেই ক্লায়েন্টকে দিন যার এটির দরকার, এবং দেখুন কী-টি হার্ডওয়্যার-সমর্থিত বা অ-রপ্তানিযোগ্য হিসেবে চিহ্নিত কি না; যদি তাই হয়, তবে রপ্তানি করা কপির বদলে সমর্থিত প্রোভাইডার ব্যবহার করতে হবে।
প্রোফাইল কীভাবে ক্রেডেনশিয়ালের দিকে ইশারা করে
একটি ব্যবস্থাপিত নেটিভ IKEv2 কনফিগারেশনে প্রোফাইল তার ক্রেডেনশিয়াল পেলোডের দিকে PayloadCertificateUUID এর মাধ্যমে ইশারা করে। যে আইডেন্টিটির প্রতি ইশারা করা হয়েছে এবং তা কীভাবে সরবরাহ করা হয়েছে সেটাই গুরুত্বপূর্ণ; প্রোফাইলে একটি প্রদর্শন নাম সম্পাদনা করলে ভুল পেলোড বা কখনো কী সরবরাহ করেনি এমন পেলোডের দিকে ইশারা করা রেফারেন্স ঠিক হয় না।
তৃতীয় পক্ষের প্রোভাইডার সম্পূর্ণ ভিন্ন একটি বাছাই প্রক্রিয়া ব্যবহার করতে পারে, যেমন তার নিজস্ব স্টোর বা সিস্টেম প্রম্পট। নেটিভ প্রোফাইলের অনুমান স্থানান্তর না করে সেই প্রোভাইডারের ডকুমেন্টেশন পড়ুন, এবং ম্যানেজমেন্ট কনসোলের খসড়ায় নয়, বরং প্রকৃতপক্ষে ইনস্টল করা প্রোফাইলে রেফারেন্সটি যাচাই করুন।
বাছাই ও গ্রহণ আলাদা দুটি মাইলফলক
ভরা তালিকা মানে ক্লায়েন্ট একটি আইডেন্টিটি খুঁজে ব্যবহার করতে পারে। এটি গেটওয়ে তা গ্রহণ করবে কি না সে সম্পর্কে কিছুই বলে না। সার্ভার এখনও ইস্যুকারী, বৈধতার সময়সীমা, প্রত্যাহারের অবস্থা এবং সেই ক্রেডেনশিয়াল থেকে অ্যাকাউন্টে ম্যাপিং যাচাই করে।
দুটি ধাপই স্পষ্টভাবে পরীক্ষা করুন, সেই ক্রমে। নিশ্চিত করুন আইডেন্টিটি প্রস্তাব করা হচ্ছে, সংযোগ করুন, তারপর গেটওয়ের মালিককে দিয়ে নিশ্চিত করুন কোন ক্রেডেনশিয়াল উপস্থাপন করা হয়েছে এবং কোন ম্যাপিং নিয়ম তা ব্যবহার করেছে। যদি ক্লায়েন্ট আইডেন্টিটি প্রস্তাব করে আর সার্ভার তা প্রত্যাখ্যান করে, তবে বাকি কাজ সার্ভারের দিকে। Mac-এ সার্টিফিকেট পুনরায় ইনস্টল করলে সেই ফলাফল বদলাবে না, যতবারই তা পুনরাবৃত্তি করা হোক।