OpenVPN TLS হ্যান্ডশেক ব্যর্থ: আপনি কোন শাখায় আছেন?

TLS হ্যান্ডশেক ব্যর্থ হয়েছে বলে যে লাইনটি জানায়, সেটি একটি গল্পের শেষ, শুরু নয়। আসল গুরুত্ব হলো ঠিক তার আগের ঘটনায়, কারণ সেই ঘটনাই বলে দেয় আপনার কাছে চারটি সম্পূর্ণ ভিন্ন ত্রুটির কোনটি আছে। টাইমআউট, কন্ট্রোল-চ্যানেলের অসামঞ্জস্য, সার্টিফিকেট প্রত্যাখ্যান এবং দর-কষাকষির পরে ব্যর্থতা সবই একই শিরোনাম তৈরি করে। প্রমাণ দেখে শাখা বাছুন, তখন সমাধান আর অনুমান থাকবে না।

ব্যর্থতার আগের শেষ ঘটনাটি পড়ুন

শেষ লাইন পড়ার বদলে উপরে স্ক্রল করুন। সংযোগ বিচ্ছিন্ন হওয়ার আগের ঘটনা সাধারণত পর্যায়টির নাম বলে: কোনো উত্তরই নেই, কন্ট্রোল প্যাকেট বিনিময়ের সময় ত্রুটি, যাচাইয়ের ফলাফল, বা সফল দর-কষাকষির পরে প্রমাণীকরণের ফলাফল। এর প্রতিটি ভিন্ন মালিকের। ওই একটি লাইনই ঠিক করে নিচের কোন বিভাগটি প্রযোজ্য।

ক্লায়েন্ট সংস্করণ, এন্ডপয়েন্ট ও ট্রান্সপোর্টসহ ত্রুটির লেখাটি সংরক্ষণ করুন। কী, পাসওয়ার্ড ও সম্পাদনাহীন প্রোফাইল প্রকাশ্যে যা পেস্ট করেন তার বাইরে রাখুন।

একটি নির্ভুল প্রথম ত্রুটি দীর্ঘ লগ-অংশের চেয়ে বেশি দামি। এটি পর্যায়ের নাম বলে, আর পর্যায় মালিকের নাম বলে।

শাখা এক: কিছুই ফেরেনি

যদি ক্লায়েন্ট তার প্রথম প্যাকেট পাঠিয়ে ব্যবহারযোগ্য কিছু না পায়, সমস্যা পথে বা শ্রোতার কাছে। নিশ্চিত করুন প্রোফাইলটি অপারেটর সত্যিই যে বিকল্প দেয় তার সঙ্গে মেলে: ঠিকানা, পোর্ট এবং UDP বা TCP। তারপর দেখুন এই নেটওয়ার্ক থেকে এন্ডপয়েন্ট আদৌ পৌঁছানো যায় কি না। এগোনোর আগে ওই দুই যাচাইয়ের কোনটি ব্যর্থ হলো টুকে রাখুন।

একই হোস্টনামে পৃষ্ঠা লোড করা ব্রাউজার কেবল প্রমাণ করে একটি ওয়েব সেবা উত্তর দিয়েছে। এমনকি গৃহীত TCP সংযোগও কিছু বলে না OpenVPN দর-কষাকষি শেষ করেছে কি না।

প্রোফাইলটি অন্য বিশ্বস্ত নেটওয়ার্কে কাজ করলে সেই তুলনাটি রাখুন। এটি সীমাবদ্ধতাকে একটি পথ বা মধ্যস্থতাকারীর মধ্যে সীমিত করে।

শাখা দুই: কন্ট্রোল চ্যানেল মেলে না

বিনিময় শুরু হয়ে তারপর আটকে গেলে কন্ট্রোল-চ্যানেলের সেটিংসই প্রথম সন্দেহভাজন। tls-auth ও tls-crypt অবশ্যই ডিপ্লয়মেন্টের সঙ্গে মিলতে হবে, এবং অন্য সার্ভারের উপাদান কার্যকর বিনিময় দেবে না। এই ব্যর্থতা যেকোনো অ্যাকাউন্ট লগইনের আগে ঘটে। পুরোনো সার্ভার থেকে কপি করা প্রোফাইলই সাধারণ কারণ।

পাসওয়ার্ড রিসেট ওই সেটিংস প্রতিস্থাপন করে না, আর অন্য সেবা থেকে কী ধার করা সামঞ্জস্যের সমাধান নয়। অপারেটরের যাচাইকৃত চ্যানেল দিয়ে প্রোফাইল নিন এবং এটি যে ক্লায়েন্ট সংস্করণ আশা করে তা টুকে রাখুন।

কোনটি টেকে দেখতে নতুনের চেয়ে অনেক পুরোনো অ্যালগরিদম চালু করার বদলে নির্দিষ্ট দর-কষাকষির ত্রুটিটি লিপিবদ্ধ করুন। ধরা পড়া ত্রুটির লেখাই অপারেটরকে তার দিক যাচাই করতে দেয়।

শাখা তিন: একটি সার্টিফিকেট প্রত্যাখ্যাত

স্পষ্ট যাচাই-ব্যর্থতা যে সার্টিফিকেট পছন্দ হয় না তার নাম বলে। আগে ডিভাইসের ঘড়ি দেখুন, তারপর পড়ুন কোন বস্তু ব্যর্থ হয়েছে: সার্ভার সার্টিফিকেট, ক্লায়েন্ট সার্টিফিকেট, বা চেইনের কোনো ইস্যুয়ার। মেয়াদোত্তীর্ণ হওয়া, অবিশ্বস্ত ইস্যুয়ার ও অপ্রত্যাশিত পরিচয় তিনটি ভিন্ন বার্তা।

সংশোধিত উপাদান আনার সময় যাচাই চালু রাখুন। অসম্পর্কিত সার্টিফিকেট গ্রহণ করলে ত্রুটি চলে যায়, কিন্তু আপনি নির্ধারিত সার্ভারে পৌঁছেছেন তার প্রমাণ হয় না।

ব্যর্থতা নেটওয়ার্ক না প্রোফাইল অনুসরণ করে টুকে রাখুন। সর্বত্র দেখা দেওয়া সার্টিফিকেট ত্রুটি পথের সমস্যা নয়।

শাখা চার: দর-কষাকষি শেষ, অন্য কিছু ব্যর্থ

পরিচয় বিনিময় সফল হলে বাকি ব্যর্থতা প্রমাণীকরণ বা রাউটিংয়ের। স্পষ্ট অ্যাকাউন্ট প্রত্যাখ্যান প্রমাণীকরণের প্রশ্ন, আর সংযুক্ত টানেলের সাইটগুলো না পৌঁছানো রাউটিং বা DNS-এর প্রশ্ন। ওই পর্যায়ে TLS বিকল্প বদলাতে থাকলে আগেই কাজ করা একটি ধাপের ক্ষতি হয়।

সমস্যা জানানোর সময় বলুন সব নেটওয়ার্ক ব্যর্থ কি না, অন্য প্রোফাইল কাজ করে কি না, এবং সার্ভার চেষ্টাটি লিপিবদ্ধ করেছে কি না। সার্ভারের দিকের নীরবতা ও তার পক্ষ থেকে প্রত্যাখ্যান ভিন্ন সীমারেখায় দাঁড়ায়।