OpenVPN সার্টিফিকেটের মেয়াদ শেষ? আগে ঘড়ি দেখুন, তারপর সার্টিফিকেট

ক্লায়েন্ট সংযোগ করে, এক সেকেন্ডের জন্য দরকষাকষি করে, তারপর জানায় যে একটি সার্টিফিকেটের মেয়াদ শেষ হয়েছে। কাউকে কিছু পুনরায় ইস্যু করতে বলার আগে, আপনার সামনের ডিভাইসের তারিখটি দেখুন: এক মাস ঘুমিয়ে থাকা একটি ল্যাপটপ, হাতে-সেট করা ঘড়ির ফোন এবং কার্যকর NTP উৎসহীন একটি রাউটার—সবই TLS স্ট্যাককে ভুল মুহূর্ত জানায়। একটি সার্টিফিকেট কেবল একটি সময়সীমার ভিতরেই বৈধ, এবং যাচাই সেটি স্থানীয় ঘড়ি যা দাবি করে তার সঙ্গে তুলনা করে। ঘড়ি ঠিক করুন, তারপর সিদ্ধান্ত নিন সমস্যাটি সত্যিই আছে কি না।

ডিভাইসের ঘড়ি দিয়ে শুরু করুন

একটি টার্মিনাল খুলুন এবং সিস্টেমের UTC ধারণাটি পড়ুন, ডেস্কটপের ঘড়ির উইজেট নয়, যা সময় অঞ্চল-সংশোধিত দৃশ্য বা GUI-তে ক্যাশে করা পুরোনো মান দেখাতে পারে।

date -u
timedatectl status

অনেক এগিয়ে থাকা ঘড়ি একটি বৈধ সার্টিফিকেটকে মেয়াদোত্তীর্ণ দেখায়, আর অনেক পিছিয়ে থাকা ঘড়ি সেটিকে এখনও বৈধ নয় দেখায়, যা কিছু ক্লায়েন্ট একই সাধারণ হ্যান্ডশেক ব্যর্থতা হিসেবে জানায়। যদি সিঙ্ক্রোনাইজেশন নিষ্ক্রিয় থাকে বা সময়ের উৎস পৌঁছানো না যায়, আগে সেটি ঠিক করুন এবং কোনো ফাইল স্পর্শ করার আগে আবার পরীক্ষা করুন। মেয়াদ শেষ হওয়া এড়াতে ঘড়ি পিছিয়ে দেওয়া কোনো সমাধান নয়: এটি ডিভাইসের অন্যান্য সেবা নষ্ট করে এবং পরিচয়ের সমস্যাটিকে ঠিক যেখানে ছিল সেখানেই রেখে দেয়।

যদি ঘড়ি সঠিক হয়, তবে মেয়াদ শেষ হওয়াটি সত্যিই ঘটেছে এবং এই নির্দেশিকার বাকি অংশ প্রযোজ্য। দুটি ডিভাইসের টাইমস্ট্যাম্প তুলনা করার আগে ক্লায়েন্টের লগ কোন সময় অঞ্চল ব্যবহার করে তা খেয়াল করুন। অন্য অঞ্চলের একটি সার্ভার একটি নবায়নকে আগেভাগে বা দেরিতে দেখাতে পারে যদিও তা কোনোটিই ছিল না। আপনার ডেস্কের দেয়ালঘড়ির বদলে ক্লায়েন্টের নিজের লগ লাইনের টাইমস্ট্যাম্পের সঙ্গে তুলনা করুন।

প্রোফাইলের আগে ত্রুটির লাইনটি পড়ুন

সঠিক লেখাটি ধরে রাখুন। OpenVPN-এর যাচাই ব্যর্থতা একটি গভীরতা ও একটি কারণ উল্লেখ করে, এবং ওই দুটি ক্ষেত্র আপনাকে বলে কে ব্যবস্থা নেবে।

VERIFY ERROR এর সঙ্গে error=certificate has expired চেইনের একটি নির্দিষ্ট বিন্দুতে বৈধতা-ব্যর্থতা। এটি পাসওয়ার্ড প্রত্যাখ্যান নয় আর টাইমআউটও নয়, এবং তিনটির জন্য ভিন্ন ভিন্ন প্রতিক্রিয়া দরকার।

ক্লায়েন্ট সংস্করণসহ পুরো লাইনটি আপনার নোটে অনুলিপি করুন। যদি বার্তাটি বদলে বলে সার্টিফিকেটটি এখনও বৈধ নয়, তবে আপনি ঘড়ির প্রশ্নেই ফিরে এসেছেন। যদি বলে ইস্যুকারী অজানা, তবে আপনার আস্থার সমস্যা আছে, মেয়াদের সমস্যা নয়, এবং যতই নবায়ন করুন তা বদলাবে না।

কোন সার্টিফিকেটের মেয়াদ শেষ হয়েছে তা খুঁজুন

শূন্য গভীরতা হলো আপনি যে পিয়ারের সঙ্গে সংযুক্ত হয়েছেন তার উপস্থাপিত সার্টিফিকেট, আর উঁচু গভীরতাগুলো রুটের দিকে এগোয়। কর্মক্ষেত্রের VPN সাধারণত একটি ক্লায়েন্ট পরিচয় বা একটি সার্ভার সার্টিফিকেটের মেয়াদ শেষ হতে দেয়, মাঝে মাঝে একটি মধ্যবর্তী সার্টিফিকেটও, যা সংস্থা নিজের মালিকানা ভুলে গিয়েছিল।

প্রোফাইল সত্যিই যে ফাইলগুলোর উল্লেখ করে তাদের তারিখ ছাপুন, ত্রুটিতে বলা গভীরতার ফাইলটি দিয়ে শুরু করে।

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl x509 -in ca.crt -noout -subject -dates

যদি প্রোফাইল ফাইলের দিকে ইশারা করার বদলে সার্টিফিকেটগুলোকে অন্তর্নিহিত ব্লক হিসেবে ধরে রাখে, তবে ডিস্কের আলাদা ফাইলগুলো ক্লায়েন্ট যা ব্যবহার করছে তার চেয়ে পুরোনো বা নতুন হতে পারে; এজন্যই ত্রুটিকে ফাইলের সঙ্গে মেলাতে প্রোফাইল পড়তে হয়, ডিরেক্টরি তালিকা নয়।

ইস্যুকারীর মাধ্যমে নবায়ন করুন

ক্লায়েন্ট সার্টিফিকেট প্রতিস্থাপন করেন যিনি এটি ইস্যু করেছেন, আর অ্যাকাউন্টের পাসওয়ার্ড রিসেট কোনো কিছু নবায়ন করে না। কর্মক্ষেত্রের সংযোগের জন্য আপনার সংস্থা যে নবায়ন চ্যানেল প্রকাশ করে তা ব্যবহার করুন; হোস্টেড সেবার জন্য নতুন প্রোফাইল আছে দাবি করা সংযুক্তি খোলার বদলে যাচাইকৃত ঠিকানা দিয়ে প্রদানকারীর পোর্টালে সাইন ইন করুন। অযাচিত বান্ডেল শুধু ফাইলের নামে VPN উল্লেখ থাকায় বিশ্বাসযোগ্য নয়।

যদি আপনি সার্ভার চালান, উপাদান প্রতিস্থাপনের আগে প্রকাশ্য বিবরণ ও ইস্যুয়েন্স রেকর্ড দেখুন, কারণ CA পরিবর্তন তার ওপর আস্থা রাখা প্রতিটি ক্লায়েন্টকে প্রভাবিত করে।

একটি পরিচয় নবায়নে আস্থার ক্রমবিন্যাস প্রতিস্থাপন প্রয়োজন হওয়া উচিত নয়। কেউ যদি একটি মেয়াদোত্তীর্ণ পাত ঠিক করতে নতুন CA প্রস্তাব করে, আগে জিজ্ঞাসা করুন পুরোনোটির ওপর আর কী নির্ভর করে। আর RFC 5280 এর বৈধতা ও পথের নিয়মই দুই পক্ষ যে মডেল অনুসরণ করে।

ক্লায়েন্টকে প্রতিস্থাপনটি ব্যবহার করতে বাধ্য করুন

ফাইল ডাউনলোড করা মানে তা আমদানি করা নয়। আপনি প্রকৃতপক্ষে যে সংযোগ এন্ট্রি বেছে নেন তা দেখুন, এবং প্রোফাইলটি এমন বাহ্যিক সার্টিফিকেট পথের উল্লেখ করে কি না দেখুন যা আপনি ওভাররাইট করতে ভুলে গেছেন।

নতুনটি সংযুক্ত না হওয়া পর্যন্ত পুরোনো এন্ট্রিটি দৃশ্যমান রাখুন, তারপর সরিয়ে দিন যাতে কেউ অভ্যাসবশত মেয়াদোত্তীর্ণ প্রোফাইল বেছে না নেয়। আবার সংযোগ করুন এবং নিশ্চিত করুন নির্দিষ্ট মেয়াদ-শেষ ত্রুটিটি চলে গেছে।

যদি ভিন্ন একটি TLS ত্রুটি থাকে, সেটি এড়াতে যাচাইয়ের সেটিংস দুর্বল করার বদলে নতুন সমস্যা হিসেবে ধরুন। সফল নবায়নের পর অ্যাকাউন্ট প্রত্যাখ্যান বা অনুপস্থিত রুট আলাদা ত্রুটি, আলাদা সমাধান।