OpenVPN verify-x509-name: subject, name ও name-prefix এর পার্থক্য

প্রথমে মিলের ধরন পড়ুন, তারপর লেখা: verify-x509-name নির্দেশনা সঠিক দেখাতে পারে, তবুও এমন সার্টিফিকেট গ্রহণ করতে পারে যা আপনি বিশ্বাস করতে চাননি। একই প্রত্যাশিত লেখা কিন্তু ভিন্ন ধরনের দুই লাইন দুই ভিন্ন শর্ত। আগে ধরন পড়ুন, তারপর লেখা। নির্দেশনাটিকে সংযোগের আরও একটি শর্ত হিসেবে দেখুন, পুরো পরীক্ষা হিসেবে নয়।

অপশনটি আসলে কী দাবি করে

নির্দেশনাটি এমন একটি পরিচয় বলে যা পিয়ার সার্টিফিকেটে থাকতে হবে। তুলনা ব্যর্থ হলে, OpenVPN হ্যান্ডশেক বাতিল করে এবং কোনো টানেল ওঠে না। প্রোফাইলের বাকি সবকিছু এখনও প্রযোজ্য: সার্টিফিকেটকে বিশ্বস্ত CA পর্যন্ত চেইন হতে হবে, এবং ভূমিকা পরীক্ষা পাস করতে হবে, তাই এটি একটি অতিরিক্ত শর্ত, বিকল্প নয়। যে প্রোফাইল নামের প্রত্যাশা পূরণ করে কিন্তু ভূমিকা পরীক্ষায় ব্যর্থ হয়, সেটি এখনও ভাঙা, এবং লগ সাধারণত তা বলে।

এটি ব্রাউজারের হোস্টনেম যাচাইয়ের মতোও নয়। ব্রাউজার তার TLS স্ট্যাকের নিয়মে subject-এর বিকল্প নামের সঙ্গে নাম মেলায়, আর OpenVPN আপনার বাছা ধরন দিয়ে সার্টিফিকেটের একটি ক্ষেত্র তুলনা করে। তাই ব্রাউজার-ধাঁচের হোস্টনেম নির্দেশনায় পেস্ট করলে মিল না-ও হতে পারে, যদিও সার্টিফিকেট সত্যিই সেবাটি কভার করে।

subject: সম্পূর্ণ বিশিষ্ট নাম, অক্ষরে অক্ষরে

কোনো ধরন না লেখা থাকলে ডিফল্ট subject-এ প্রত্যাশিত মানকে সার্টিফিকেটের সম্পূর্ণ subject DN পুনরুৎপাদন করতে হবে। ক্ষেত্রের ক্রম, বিভাজক, ফাঁক ও এস্কেপিং সবই গণ্য, কারণ তুলনা এনকোড করা স্ট্রিংয়ের উপর চলে। ধরন বাদ দিলে আপনি তিনটির মধ্যে কঠোরতম তুলনাটি বেছেছেন। চাকচিক্যের পার্থক্য বাঁচানোর কোনো স্বাভাবিকীকরণ ধাপ নেই। এটি প্রথম নবায়নের আগে জানা দরকার, পরে নয়।

এই কঠোরতা নবায়নের পর নবায়নে ভঙ্গুর। যে CA অ্যাট্রিবিউট পুনর্বিন্যাস করে, অতিরিক্ত ক্ষেত্র ঢোকায় বা মান এস্কেপ করার ধরন বদলায়, সে একই মেশিনের জন্য নতুন স্ট্রিং তৈরি করে, আর বছরের পর বছর কাজ করা নির্দেশনা পরের ইস্যুতেই ব্যর্থ হতে শুরু করে। গৃহীত DN পরিবর্তন-রেকর্ডে রাখলে পরের নবায়ন একটি সরল পার্থক্য হয়ে যায়। যেখানে অপারেটর সম্পূর্ণ DN প্রকাশ করে ও তার আকৃতি নিশ্চিত করে, সেখানে subject যুক্তিসঙ্গত পছন্দ; অন্যত্র সরু ক্ষেত্র সত্য রাখা সহজ।

name: একটি ক্ষেত্র, সাধারণত কমন নেম

ধরনটি name subject-এর একটি ক্ষেত্র তুলনা করে। প্রোফাইল ভিন্ন কিছু না বললে সেই ক্ষেত্রটি কমন নেম, এবং প্রত্যাশিত মান ঠিক সেই ক্ষেত্র, তার চারপাশের DN নয়।

আসল সমস্যা হলো আধুনিক সার্টিফিকেট সবসময় সেবার নাম CN-এ রাখে না। অনেকেই তা subject-এর বিকল্প নামে রাখে এবং CN খালি বা সাধারণ রাখে, তাই ব্রাউজার যে সার্টিফিকেট গ্রহণ করে সেটি এই তুলনায় ব্যর্থ হতে পারে। প্রত্যাশা লেখার আগে আপনার প্রকৃত ইস্যু করা সার্টিফিকেট দেখুন এবং প্রোফাইল কোন ক্ষেত্র বেছে নেয় তা নিশ্চিত করুন। খালি CN-কে নামের সঙ্গে তুলনা করা মিলহীনতা, কনফিগারেশন দুর্ঘটনা নয়।

name-prefix: নকশায় প্রশস্ত, তাই পরিধি সীমিত করুন

একটি name-prefix ধরনের প্রত্যাশা নির্বাচিত ক্ষেত্রের শুরুতে মেলে। এটি নামকরণ স্কিমের জন্য সুবিধাজনক এবং যেকোনো ভাগাভাগি জিনিসের জন্য বিপজ্জনক।

প্রত্যাশা হিসেবে vpn.example থাকলে, উভয় vpn.example.com এবং vpn.example.net পাস করত, যদি চেইনের বাকি অংশ বিশ্বস্ত হয়। প্রশস্ততাই বৈশিষ্ট্য, এবং এটাই লিখিতভাবে যুক্তি দিতে হবে। উপসর্গ যুক্তিসঙ্গত যখন CA ও নামকরণ স্কিম আপনার নিজের, এবং অনেক দুর্বল যখন একটি পাবলিক CA একই ধাঁচে ইস্যু করে। স্কিমের নমনীয়তা দরকার হলে ক্লায়েন্ট পরীক্ষা প্রশস্ত না করে CA-তেই তা সীমিত করুন।

শনাক্তক থেকে ধরন বাছুন, তারপর প্রমাণ করুন

অপারেটর যে পরিচয় বোঝায় সেখান থেকে পিছনে কাজ করুন। তারা সম্পূর্ণ DN প্রকাশ করে স্থির রাখলে, subject সেটাই প্রকাশ করে। সেবার নাম কমন নেমে দিলে ব্যবহার করুন name। তারা নামকরণ স্কিমের মালিক হলে এবং তার পুরো পরিসর গ্রহণ করলে, name-prefix তা স্পষ্ট বলে।

নবায়নই সেই জায়গা যেখানে নির্দেশনা পরীক্ষা হয়। অনুমোদিত পরিচয়কে পুরনো ফাইলের সঙ্গে নয়, নতুন সার্টিফিকেটের সঙ্গে মেলান, কারণ নতুন এন্ডপয়েন্ট ঠিকানা নতুন সার্টিফিকেট পরিচয় বোঝায় না। চেনা ঠিকানা উত্তর দিচ্ছে বলে নির্দেশনাটি মুছবেন না: পৌঁছানোর ক্ষমতা আর অভিপ্রেত পিয়ার দুই ভিন্ন তথ্য, আর ঠিকানা শুধু প্রমাণ করে যে কিছু একটা উত্তর দিয়েছে। সঠিক ত্রুটি ও প্রকাশ্য নামের বিবরণ পরিষ্কার প্রতিবেদনে লিপিবদ্ধ করুন, কারণ কোনো ব্যক্তিগত কী উপাদান ছাড়াই নামের মিলহীনতা দেখানো যায়।

সমর্থিত সংশোধনের পর, প্রতিটি অভিপ্রেত পরীক্ষা চালু রেখে আবার সংযোগ করুন এবং আপনার সত্যিই প্রয়োজনীয় সম্পদ যাচাই করুন। সফল মানে অভিপ্রেত সার্ভার গৃহীত হয়েছে, কোনো সার্টিফিকেট কোনোভাবে পার করানো নয়। অফিসিয়াল ম্যানুয়াল OpenVPN 2.6 manual তিন ধরনের ও তাদের বিশ্বাস-নোট নথিভুক্ত করে, এবং কোনো ভেন্ডর ইন্টারফেস প্রোফাইলের সঙ্গে দ্বিমত করলে এটিই উদ্ধৃতির রেফারেন্স।