OpenVPN সার্ভার কনফিগারেশন শাখায় কপি করলে কেন কাজ করে না

চালু সার্ভার কনফিগারেশন কপি করে কয়েকটি ঠিকানা বদলে সেটিকে শাখা প্রোফাইল বললে সাধারণত একটি সংযোগ তৈরি হয়। এটাই সবচেয়ে খারাপ ফল, কারণ তখন শাখাটি ভুল ভূমিকা নিয়ে চলে, এমন উপাদান প্রকাশ করে যা হাব ছেড়ে যাওয়া উচিত নয়, এবং এমন একটি রুট সংযোগ রেখে যায় যা কে তৈরি করেছিল তা কেউ মনে রাখে না। সংযোগটি একসাথে তিনটি সমস্যা ঢেকে রাখে, এবং কেউ সেগুলো যাচাই করার আগেই টানেল উঠে আসে।

শাখাটিকে নিজস্ব পরিচয় ও নেটওয়ার্ক ভূমিকাসম্পন্ন পিয়ার হিসেবে গণ্য করাই প্রোফাইলটিকে সঠিক করে তোলে। সমাধান আরও ভালো একটি কপি নয়, এবং এই পাতার বাকি অংশে বলা হয়েছে একজন ক্লায়েন্টের আদৌ কী থাকা উচিত।

একটি ফাইলের মতো দেখতে দুটি ভূমিকা

TLS মোডে দুই পিয়ারের কাজ পরস্পর পরিপূরক। এক পক্ষ শোনে, সার্ভার সার্টিফিকেট ও কী ধারণ করে এবং কোন ক্লায়েন্ট সংযোগ করতে পারবে তা নির্ধারণ করে। অন্য পক্ষ সংযোগ শুরু করে, শ্রোতাকে যাচাই করে এবং নিজের পরিচয় উপস্থাপন করে।

সার্ভার ফাইলে এমন নির্দেশনা থাকে যা ক্লায়েন্টে কোনো অর্থ বহন করে না: শোনার জন্য একটি বাইন্ড ঠিকানা ও পোর্ট, বিতরণের জন্য ঠিকানার একটি পুল, এবং প্রায়ই ক্লায়েন্টদের পাওয়া উচিত এমন সেটিংসের একটি পুশ তালিকা। এগুলো শাখায় কপি করলে এমন একটি ডিভাইস তৈরি হয় যা একইসাথে শ্রোতা ও ক্লায়েন্ট হতে চায়।

ব্যক্তিগত কী-ই সবচেয়ে গুরুত্বপূর্ণ অংশ। ক্লায়েন্টকে কখনোই সার্ভারের ব্যক্তিগত কী বহন করা উচিত নয়, এবং CA-এর স্বাক্ষর কী-ও তার প্রয়োজন নেই। CA সার্টিফিকেট হলো প্রকাশ্য বিশ্বাসের উপাদান; স্বাক্ষর কী-এর জায়গা সেখানে যেখানে সার্টিফিকেট ইস্যু হয়।

শাখা প্রোফাইলে কী থাকতে হবে

শাখা প্রোফাইলে দরকার দূরবর্তী এন্ডপয়েন্ট ও পরিবহন, বিশ্বস্ত সার্ভার পরিচয়, শাখার নিজস্ব সার্টিফিকেট ও কী, এবং শাখার সত্যিই প্রয়োজনীয় রুট ও DNS সেটিংস। এর বাইরে কিছু বাধ্যতামূলক নয়।

প্রতিটি সাইটের জন্য শাখার পরিচয় আলাদা রাখুন। দুটি শাখা একটি সার্টিফিকেট ভাগ করলে একটিকে প্রত্যাহার করলে অন্যটি অচল হয়ে যায়, এবং হাবের লগ তাদের আলাদা করতে পারে না। সাইটভিত্তিক পরিচয়ই অডিট ট্রেইল ও প্রত্যাহারের কাহিনি দুটোই কাজ করায়।

অ্যাপ্লায়েন্সের কার্যপ্রবাহ নিয়ে সতর্ক থাকুন। pfSense-এর Client Export প্যাকেজ উপযুক্ত Remote Access প্রসঙ্গের জন্য প্রোফাইল তৈরি করে, এবং এর সার্ভার তালিকায় কেবল Remote Access মোডে কনফিগার করা সার্ভার থাকে। অন্য মোডের সাইট-থেকে-সাইট সার্ভার সেখানে দেখায় না, আর সেই অনুপস্থিতি একটি তথ্য, সার্ভারের গোপনীয়তা কপি করার আমন্ত্রণ নয়।

অ্যাপ্লায়েন্স আপনার প্রয়োজনীয় প্রোফাইল রপ্তানি না করলে তার নথিভুক্ত সাইট-থেকে-সাইট ক্লায়েন্ট কার্যপ্রবাহ ব্যবহার করুন, অথবা ইনস্টল করা সংস্করণের সমর্থিত উদাহরণ থেকে প্রোফাইলটি তৈরি করুন। সার্ভার ব্যাকআপ শাখায় রপ্তানি করুন কেবল তখনই যদি পরিকল্পনা সার্ভার পুনরুদ্ধার হয়, যা এখানে নয়। ব্যাকআপ হাবের ব্যক্তিগত উপাদানও বহন করে, তাই একটি ব্যাকআপ শাখায় সরানো কী-ব্যবস্থাপনার সিদ্ধান্ত, ফাইল স্থানান্তর নয়। এটি হাবে রাখুন এবং যেখানে সার্টিফিকেট ইস্যু হয় সেখানে ক্লায়েন্ট পরিচয় তৈরি করুন।

পিয়ার-থেকে-নেটওয়ার্ক সম্পর্ক আলাদা

সফলভাবে সংযোগ করা একটি শাখা ক্লায়েন্ট তখনো তার LAN-এর ট্রাফিক পার করতে পারে না, যতক্ষণ না হাব জানে যে এই পিয়ারটি ওই প্রিফিক্সের মালিক। সেই সম্পর্ক হাবে থাকে, ক্লায়েন্টের পরিচয়ের সাথে বাঁধা, এবং এটি শাখার নিজের দূরবর্তী নেটওয়ার্কমুখী রুট থেকে আলাদা। এটি ছাড়া শাখার হোস্টগুলো টানেলের পরিসংখ্যানে পৌঁছানোযোগ্য দেখায় আর বাস্তবে পৌঁছানো যায় না। হাবের লগই সেই জায়গা যেখানে সম্পর্কটি প্রয়োগ হয়েছে কি না তা নিশ্চিত করা যায়।

হাবের অপারেটিং সিস্টেমে একটি রুট যোগ করা OpenVPN-কে বলা এক নয় যে কোন ক্লায়েন্ট ওই প্রিফিক্সের মালিক। প্রতি-ক্লায়েন্ট সম্পর্ক ছাড়া প্যাকেটটি টানেল ইন্টারফেসে পৌঁছে বাদ পড়ে, কারণ কোনো পিয়ার গন্তব্যের দাবি করে না।

শাখার দিকে সংশ্লিষ্ট প্রয়োজন হলো যে নেটওয়ার্কগুলোতে পৌঁছানো উচিত সেদিকে একটি রুট, সাথে একটি LAN রাউটার যা শাখায় ট্রাফিক ফেরত পাঠানোর পথ জানে। সার্ভারের দিকের মালিকানা আর ক্লায়েন্টের দিকের গন্তব্য রুট আলাদা বস্তু, এবং একটি চালু টানেল কেবল প্রথম লাফটির প্রমাণ দেয়। দুটোই শাখার হস্তান্তর নোটে লিখে রাখুন, কারণ পরের প্রকৌশলী তার মধ্যে কেবল একটি পাবেন।

শাখাটি আপনার ভাবা পিয়ারই তা প্রমাণ করা

ট্রাফিক যাচাইয়ের আগে পরিচয় যাচাই করুন। হাবের লগে শাখার সার্টিফিকেটের সাধারণ নাম দেখা উচিত, এবং ক্লায়েন্ট যে ঠিকানা পেয়েছে তা আপনার ইচ্ছাকৃত পুল বা নির্দিষ্ট বরাদ্দের সাথে মিলতে উচিত। লগে ভিন্ন নাম দেখালে প্রোফাইলটি অন্য কারও পরিচয় বহন করছে।

তারপর শাখার একটি হোস্ট থেকে হাবের দিকের একটি সম্পদে একটি অনুরোধ পাঠিয়ে সম্পর্কটি যাচাই করুন এবং প্রত্যাশিত উৎস ঠিকানা নিয়ে সেটি সফল হয় তা নিশ্চিত করুন। শাখার পৌঁছানো উচিত নয় এমন একটি গন্তব্য পরীক্ষা করুন এবং সেটি ব্যর্থ হয় তা নিশ্চিত করুন, কারণ দৈবক্রমে কাজ করা একটি উদার রুট সঠিক নীতির সমান নয়।

শেষে শাখার পরিচয় প্রত্যাহার করুন এবং নিশ্চিত করুন যে সংযোগ ব্যর্থ হয়, অথচ হাবের নিজের সার্টিফিকেট ও অন্য সাইটগুলো কাজ করে। প্রত্যাহারে হাব ভেঙে গেলে কোথাও ভূমিকা ও পরিচয় ভাগ হয়েছিল, এবং সেটিই সেই ফল যা নকশায় ফিরিয়ে নেওয়ার যোগ্য।

সম্পূর্ণ শাখা হলো যার নথিভুক্ত পরিচয়, শুধু-ক্লায়েন্ট প্রোফাইল, হাবে পিয়ার-থেকে-নেটওয়ার্ক সম্পর্ক এবং পরীক্ষিত ফেরার পথ আছে। সার্ভার ফাইলের লেখা উল্টে দিলে এর কোনোটিই পাওয়া যায় না।