OpenVPN লগ: নিয়ন্ত্রণ চ্যানেলের সাইফার বনাম ডেটা চ্যানেলের সাইফার

DHE-RSA-AES256-SHA নাম উল্লেখ করা লগ লাইন পুরো সংযোগের সারসংক্ষেপ নয়। এটি নিয়ন্ত্রণ চ্যানেল রক্ষা করা TLS হ্যান্ডশেকের অন্তর্গত, এবং টানেলের ভেতরের ট্রাফিক সম্পূর্ণ ভিন্নভাবে এনক্রিপ্ট করা হতে পারে। এটিকে VPN-এর ডেটা সাইফার হিসেবে উপস্থাপন করা সেই ভুল যা এড়ানো উচিত।

দুটি ফলাফল গুরুত্বপূর্ণ, এবং তারা ভিন্ন প্রশ্নের উত্তর দেয়। একটি নিয়ন্ত্রণ চ্যানেলের জন্য সম্মত TLS স্যুট; অন্যটি টানেল বহন করা প্যাকেটের ডেটা সাইফার।

দুটি ফলাফল, দুটি প্রশ্ন

নিয়ন্ত্রণ চ্যানেল হ্যান্ডশেক এবং সহকর্মীদের মধ্যে ব্যবস্থাপনা বার্তা বহন করে। এর সাইফার TLS স্ট্যাক বেছে নেয়, তাই নাম TLS রীতিগুলো অনুসরণ করে। ডেটা চ্যানেল ব্যবহারকারীর ট্রাফিক বহন করে এবং এটি OpenVPN-এর নিজস্ব সাইফার আলোচনা কনফিগার করে।

দুটির যেকোনো লাইন পড়ার আগে সিদ্ধান্ত নিন আপনি কোন প্রশ্নের উত্তর দিচ্ছেন। টানেল এনক্রিপ্টেড কি না এবং হ্যান্ডশেক শক্তিশালী কি না একই প্রশ্ন নয়।

যে লগ অংশ দুটি লাইনই দেখায় সেটি উপযোগী। নিয়ন্ত্রণ লাইন TLS সংস্করণ ও স্যুটের জন্য পড়ুন, এবং ডেটা লাইন সেই অ্যালগরিদমের জন্য যা সত্যিই পেলোড রক্ষা করে।

TLS স্যুটের নাম তার নিজস্ব প্রসঙ্গে ব্যাখ্যা করুন

OpenSSL ধাঁচের ঐতিহাসিক নামে, যেমন DHE-RSA-AES256-SHA, প্রতিটি উপাদান ভিন্ন সিদ্ধান্ত বর্ণনা করে। DHE অস্থায়ী Diffie-Hellman কী সমঝোতা, RSA প্রমাণীকরণ পদ্ধতি, AES256 TLS রেকর্ডের জন্য CBC মোডে AES-256, এবং SHA SHA-1 ভিত্তিক রেকর্ড MAC।

শেষ উপাদানটি সার্টিফিকেটের ফিঙ্গারপ্রিন্ট নয়, এবং এটিকে তা হিসেবে পড়া সাধারণ ভুল। নাম নিজে থেকে প্রোটোকল সংস্করণও বলে না, কারণ TLS 1.3 সম্পূর্ণ ভিন্ন নামকরণ স্কিম ব্যবহার করে। TLS_AES_256_GCM_SHA384 সেই নতুন রূপ অনুসরণ করে, যেখানে শেষ হ্যাশ স্যুটের গঠনের অংশ, MAC নির্বাচন নয়। উপাদানভিত্তিক পাঠ কেবল পুরোনো নামকরণ শৈলীতে প্রয়োগ করুন।

OpenSSL স্যুট রেফারেন্স এই নামগুলোকে তাদের সংজ্ঞার সাথে যুক্ত করে যদি কোনো উপাদান অপরিচিত হয়।

বহন করা ট্রাফিকের জন্য ডেটা চ্যানেলের ফলাফল পড়ুন

বহন করা ট্রাফিকের জন্য একই সেশনের ডেটা চ্যানেল লাইন পড়ুন। কনফিগারেশনে data-ciphers তালিকা একটি অনুমোদিত সেট, নির্দিষ্ট অ্যালগরিদম সম্মত হওয়ার প্রমাণ নয়। লগ নির্বাচন রেকর্ড করে; কনফিগারেশন মেনু তালিকাভুক্ত করে।

AES-GCM-এর মতো AEAD সাইফার নিজস্ব অখণ্ডতা যাচাই বহন করে, তাই আলাদা ডেটা চ্যানেল HMAC সেই পথের অংশ নয়।

auth নির্দেশ TLS, সার্টিফিকেট বা ডেটা সাইফার উন্নত করে না। এটি প্রোটোকলের যে অংশগুলো এখনো একটি ব্যবহার করে সেগুলোর জন্য ডাইজেস্ট বেছে নেয়, এবং AEAD ডেটা সাইফারের সাথে কনফিগার করার জন্য আলাদা ডেটা HMAC নেই।

পরিচয় যাচাই সাইফারের ফলাফলের বাইরে রাখুন

সার্টিফিকেটের স্বাক্ষর অ্যালগরিদম, বিশ্বাস শৃঙ্খলের বৈধতা যাচাই এবং সহকর্মীর নামের যাচাই আরও তিনটি বৈশিষ্ট্য যেগুলো সম্পর্কে সাইফারের নাম কিছুই বলে না। মেয়াদোত্তীর্ণ সার্টিফিকেট ব্যর্থ হয়, স্যুট যতই শক্তিশালী হোক। অমিল সার্ভার নাম একইভাবে ব্যর্থ হয়। প্রোফাইলে ডাইজেস্ট সেটিং ঠিক করা দুটির কোনোটিই ঠিক করে না।

এই যাচাইগুলো পর্যালোচনা নোটে সাইফারের ফলাফলের পাশে রাখুন, এতে মিশিয়ে ফেলবেন না।

বর্তমান সেশনের সম্মত ফলাফল রেকর্ড করুন

বর্তমান সংযোগের ফলাফল নিন এবং সেগুলোর সাথে ক্লায়েন্ট ও সার্ভার সংস্করণ রেকর্ড করুন। শুধু যোগ করা লগ পুরোনো সেশনের লাইন রাখতে পারে, এবং এটিকে বর্তমান হিসেবে উদ্ধৃত করা সেই উপায় যাতে ঠিক করা সমস্যা চলমান দেখায়।

নীতি পর্যালোচনার জন্য কনফিগারেশনের মালিককে সম্মত TLS সংস্করণ ও স্যুট, নির্বাচিত ডেটা সাইফার এবং সার্টিফিকেট যাচাই সেটিংস একসাথে দিন। সেই স্তর পরিবর্তন করুন এবং তারপর নতুন সম্মত মান নিশ্চিত করতে নতুন লগ পড়ুন।