নবায়ন করা VPN সার্টিফিকেট: কিছু ক্লায়েন্ট এখনও এটি প্রত্যাখ্যান করে

নবায়নের পরে এস্টেটের অর্ধেক আবার সংযুক্ত হয় এবং তিনটি ডিভাইস প্রত্যাখ্যান করে, প্রতিটির গেটওয়ের পরিচয় নিয়ে একটি সতর্কতা সহ। নবায়ন নিজেই রুটিন। ওই তিনটি ডিভাইস যা ধরে রাখে তা পুরোনো অবজেক্টের একটি পিন, এবং একটি পিন CA তালিকা, নাম যাচাই বা ট্রাস্ট স্টোর এন্ট্রি নয়। যেকোনো ক্লায়েন্ট স্পর্শ করার আগে তিনটি প্রক্রিয়া তুলনা করুন।

এক নবায়ন, দুই আচরণ

যে ক্লায়েন্টরা আবার সংযুক্ত হয় তাদের বিশ্বাসের সিদ্ধান্ত এখনও পাস হয়, আর যারা প্রত্যাখ্যান করে তাদের একটি শর্ত আছে যা নতুন সার্টিফিকেট পূরণ করে না। এই পার্থক্য তথ্য, গোলমাল নয়। ব্যর্থ ক্লায়েন্টের বার্তা নিখুঁতভাবে পড়ুন। নামের অমিল, অপরিচিত ইস্যুয়ার এবং পরিবর্তিত ফিঙ্গারপ্রিন্ট তিনটি ভিন্ন রায়, এবং কেবল শেষটি একটি পিনের দিকে ইঙ্গিত করে।

ব্যর্থ ক্লায়েন্ট কোন প্রোফাইল বেছে নিয়েছে তাও পরীক্ষা করুন। নিজের স্টোরে থাকা আমদানি করা কপি বদলায় না যখন প্রশাসক মূল ফাইলটি অন্যত্র সম্পাদনা করেন।

নবায়ন শুধু তারিখ নয়, অবজেক্ট প্রতিস্থাপন করে

একটি ফিঙ্গারপ্রিন্ট এনকোড করা সার্টিফিকেটের বিষয়বস্তু শনাক্ত করে। নবায়ন নতুন সার্টিফিকেট তৈরি করে, তাই সাবজেক্ট নাম ও পাবলিক কী অভিন্ন থাকলেও ফিঙ্গারপ্রিন্ট বদলায়। এটি এমন ক্লায়েন্টদের জন্য প্রত্যাশিত ও নিরীহ যারা CA বিশ্বাস করে এবং নাম যাচাই করে। এটি এমন ক্লায়েন্টের জন্য মারাত্মক যাকে ঠিক একটি সার্টিফিকেট গ্রহণ করতে কনফিগার করা হয়েছে, এবং এটি এমন ক্লায়েন্টের জন্যও মারাত্মক যার ট্রাস্ট স্টোর নতুন ইস্যুয়ার কখনও পায়নি।

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

দ্বিতীয় লাইনটি ভিন্ন প্রশ্নের উত্তর দেয়: কী জোড়া টিকে গেছে কি না। যে নবায়ন কী পুনরায় ব্যবহার করেছে তা ওই মান ধরে রাখে এবং কেবল সার্টিফিকেট বদলায়, যা ঠিক সেই ক্ষেত্র যেখানে প্রশাসক কিছু বদলায়নি ভেবে নিতে প্রলুব্ধ হন। যে সার্টিফিকেট মোতায়েন করা হয়েছে তা পরীক্ষা করুন, বিল্ড হোস্টেরটি নয়। রিপোজিটরির একটি ফাইল তুলনা করা প্রমাণ করে কী তৈরি হয়েছিল, শ্রোতা এখন কী উপস্থাপন করছে তা নয়।

ক্লায়েন্ট কী পিন করছে তা পড়ুন

কিছু ক্লায়েন্ট তাদের প্রোফাইলে একটি ফিঙ্গারপ্রিন্ট রাখে এবং প্রতিটি সংযোগে তা তুলনা করে। অন্যরা এটি প্ল্যাটফর্ম ট্রাস্ট স্টোরে রাখে, আরও অনেকে কেবল CA-এর উপর নির্ভর করে। প্রতিটি ক্ষেত্রে মেরামত আলাদা, তাই আগে প্রক্রিয়াটি শনাক্ত করুন।

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

প্রথম কমান্ডটি প্রচলিত প্রোফাইলে একটি পিন দেখায়; দ্বিতীয়টি দেখায় এন্ডপয়েন্ট এখন আসলে যে ফিঙ্গারপ্রিন্ট পরিবেশন করছে। যখন দুটো আলাদা হয়, আপনি অনুমান না করেই ব্যর্থতাটি খুঁজে পেয়েছেন। নতুন মানটি অভিযোগকারী প্রতিটি ক্লায়েন্টে পেস্ট করবেন না। ইস্যুয়ারের কারণে প্রত্যাখ্যানকারী ক্লায়েন্ট প্রত্যাখ্যান করতেই থাকবে, আর আপনি নিজেকে শিখিয়ে ফেলবেন যে ফিঙ্গারপ্রিন্টই সমস্যা ছিল যখন তা ছিল না।

প্রতিটি ব্যাকএন্ড যে সার্টিফিকেট পরিবেশন করে তা তুলনা করুন

সাময়িক ফলাফল সাধারণত একাধিক এন্ডপয়েন্ট বোঝায়, এবং একটি নোডে প্রয়োগ করা নবায়ন বাকিগুলোকে পুরোনো অবজেক্ট উপস্থাপন করতে রেখে যায়। প্রতিটি ব্যাকএন্ডকে ভাগ করা নামের বদলে ঠিকানা দিয়ে তুলনা করুন।

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

যে পুলে একটি নোড পিছিয়ে আছে তা এমন ক্লায়েন্ট ব্যাখ্যা করে যে দ্বিতীয় প্রচেষ্টায় সংযুক্ত হয় এবং প্রথমটিতে ব্যর্থ হয়। এটি এমন মনিটরিং চেকও ব্যাখ্যা করে যা ব্যবহারকারীদের অভিযোগের মধ্যেও পাস করে। আগে পিছিয়ে পড়া ঠিক করুন। প্রতিটি নোড নতুন সার্টিফিকেট পরিবেশনের আগে ট্রাস্ট কনফিগারেশন রোল করলে এমন একটি জানালা তৈরি হয় যেখানে কিছুই কাজ করে না, আর পরে রোল করলে ক্লায়েন্টরা অপ্রত্যাশিতভাবে ব্যর্থ হতে থাকে।

পরিচালিত পথে বিশ্বাস পরিবর্তন করুন

যেকোনো জায়গায় গ্রহণ করার আগে ইতিমধ্যে বিশ্বস্ত প্রশাসনিক চ্যানেলের মাধ্যমে প্রতিস্থাপনটি নিশ্চিত করুন। বিশ্বাসযোগ্য মেয়াদ শেষের তারিখ মালিকানার প্রমাণ নয়। যে প্রক্রিয়ার অধীনে এটি আছে সেই প্রক্রিয়ার মাধ্যমে পরিচালিত কনফিগারেশন হালনাগাদ করুন, গ্রহণযোগ্য পরিচয়ের যেকোনো পরিকল্পিত ওভারল্যাপ সহ, এবং মোতায়েনের প্রয়োজনীয় নাম যাচাই রাখুন। নাম যাচাই ছাড়া পিন এটি প্রতিস্থাপিত CA বিশ্বাসের চেয়ে দুর্বল নকশা।

তারপর প্রতি ক্লায়েন্টে যাচাই করুন: সংযুক্ত হন, এটি যে পরিচয় গ্রহণ করেছে তা নিশ্চিত করুন, এবং এখন যে সার্টিফিকেট সংস্করণে বিশ্বাস করছে তা লিখে রাখুন। একবার খারিজ করা সতর্কতা পরের নবায়নে ফিরে আসার পথ খুঁজে নেয়।