VPN সার্টিফিকেট তার পরিচয় না বদলেই নবায়ন করা

পরিচয় বদলে দেয় এমন সার্টিফিকেট নবায়ন আর নবায়ন নয়, তা রক্ষণাবেক্ষণ টিকিট পরা এক স্থানান্তর। ক্লায়েন্ট একটি নাম, একটি চেইন এবং কখনও একটি নির্দিষ্ট কী যাচাই করে, আর এই তিনটিই মেয়াদ শেষের তারিখ না বদলেই বদলে যেতে পারে। প্রতিস্থাপন চাওয়ার আগে লিখে নিন ক্লায়েন্ট আসলে কী যাচাই করে: হোস্টনাম বা পিয়ার পরিচয়, সার্টিফিকেটের উদ্দেশ্য, কী নীতি এবং ইস্যুকারী চেইন। প্রতিস্থাপনটি এর মধ্যে কোনটি বদলায় তার উপর নির্ভর করে নবায়ন নিয়মিত বা সমন্বিত হয়।

তিনটি শর্তই নবায়নের রূপ নির্ধারণ করে

তিনটি শর্ত হলো: কিছু কি লিফ সার্টিফিকেট পিন করে, চেইন বদলায় কি না, এবং আর কে নামটি যাচাই করে। CA-এর সুবিধা থেকে নয়, ক্লায়েন্টের দিক থেকেই এর উত্তর দিন, কারণ রাত তিনটায় ব্যর্থ হয় ক্লায়েন্টই।

আপনার কাছে থাকা সার্টিফিকেট পরীক্ষা করে শুরু করুন। openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName সাবজেক্ট, ইস্যুকারী, বৈধতার সময়কাল এবং সার্টিফিকেটটি যে নামগুলোর জন্য সত্যিই বৈধ তা প্রিন্ট করে। শেষ ক্ষেত্রটি সবচেয়ে গুরুত্বপূর্ণ এবং সবচেয়ে বেশি ধরে নেওয়া হয়: ক্লায়েন্ট যে SAN-এর উপর নির্ভর করে তা বাদ দেওয়া একটি নবায়ন অনুরোধ এমন সার্টিফিকেট তৈরি করে যা কারিগরি দিক থেকে বৈধ কিন্তু কার্যকরভাবে ভুল। SAN তালিকাটি মনে থেকে নতুন করে টাইপ না করে পুরোনো সার্টিফিকেট থেকে অনুরোধে কপি করুন।

শর্ত এক: কিছু কি লিফ সার্টিফিকেট পিন করে

ক্লায়েন্টরা যদি একটি রক্ষণাবেক্ষণকৃত CA-তে আস্থা রাখে এবং নাম যাচাই করে, তবে নতুন কী দিয়ে লিফ নবায়ন তাদের কাছে অদৃশ্য। কোনো ক্লায়েন্ট যদি লিফ সার্টিফিকেট, তার ফিঙ্গারপ্রিন্ট বা তার পাবলিক কী পিন করে, তবে প্রতিস্থাপনটি কঠোর কাটওভারসহ সমন্বিত পরিবর্তন, কারণ পুরোনো পিন নতুন সার্টিফিকেট যাচাই করতে পারে না।

কিছু অর্ডার করার আগে জেনে নিন আপনি কোন অবস্থায় আছেন। কেউ নথিভুক্ত না করা পিনও ভাঙার সময় পিন-ই থাকে।

শর্ত দুই: পিন ও চেইন তুলনা করুন

ফিঙ্গারপ্রিন্ট পিনকে যাচাইযোগ্য করে: openssl x509 -noout -fingerprint -sha256 -in server.crt পুরোনো ও নতুন সার্টিফিকেটে, এবং openssl x509 -noout -pubkey পাবলিক কী তুলনা করতে। ক্লায়েন্ট কনফিগারেশন, মোবাইল প্রোফাইল বা অ্যাপ্লায়েন্সের ট্রাস্ট স্টোরে এই দুটির যেকোনো একটি মান থাকলে আপনার পিন আছে। মোবাইল VPN প্রোফাইল একটি সাধারণ লুকানোর জায়গা, কারণ প্রোফাইলটি একবার বিতরণ হয় এবং আর কখনও পরীক্ষা করা হয় না।

প্রতিস্থাপনটি যদি একই ইন্টারমিডিয়েট থেকে আসে এবং ক্লায়েন্টের কাছে সেই ইন্টারমিডিয়েট আগে থেকেই থাকে বা আনতে পারে, তবে আস্থার দিকে কিছুই বদলায় না। নতুন ইন্টারমিডিয়েট, ভিন্ন ইস্যুকারী বা ভুল ক্রমে দেওয়া চেইন—সবই নবায়নকে আস্থা-পরিবর্তনে পরিণত করে, এবং ব্যর্থতাটি মেয়াদোত্তীর্ণ সার্টিফিকেটের মতো নয়, অজানা ইস্যুকারীর মতো দেখায়।

সার্ভার আসলে যে চেইন পাঠায় তা দিয়ে যাচাই করুন: openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, এবং স্থানীয়ভাবে এটি যাচাই করুন: openssl verify -CAfile ca.pem -untrusted chain.pem server.crt। পরিবর্তনের আগে এটি করলে পরে তুলনার জন্য একটি ভিত্তিরেখা থাকে।

শর্ত তিন: আর কে নামটি যাচাই করে

একটি VPN কনসেনট্রেটর, একটি লোড ব্যালেন্সার, একটি মনিটরিং প্রোব, একটি RADIUS বা SAML ইন্টিগ্রেশন এবং একটি মোবাইল প্রোফাইল—প্রত্যেকেই প্রত্যাশিত নাম বা ট্রাস্ট অ্যাঙ্করের নিজস্ব কপি রাখতে পারে। নবায়নই সেই মুহূর্ত যখন এই কপিগুলো আলাদা হয়ে যায়, কারণ সার্টিফিকেট বদলায় কিন্তু কপিগুলো বদলায় না।

পরিবর্তনের আগে প্রতিটি ভোক্তাকে তালিকাভুক্ত করুন এবং প্রত্যেকের জন্য ঠিক করুন তার আপডেট দরকার কি না। যাকে ভুলে যাবেন সে-ই আপনাকে ডাকবে।

সময়ের একটি ফাঁদও আছে। মেয়াদ শেষের পাশাপাশি বৈধতার শুরুও পরীক্ষা করুন, কারণ পরে সক্রিয় করার জন্য প্রস্তুত করা সার্টিফিকেট খুব আগে ইনস্টল করলে প্রত্যাখ্যাত হয়, এবং ত্রুটিটি প্রস্তুতির সমস্যার মতো নয়, ঘড়ির সমস্যার মতো দেখায়। openssl x509 -noout -dates নতুন ফাইলটি মোতায়েনের আগে পরীক্ষা করা দুই সেকেন্ডের কাজ। একটি সমর্থিত পুনরুদ্ধার পথ এবং জ্ঞাত-ভালো কনফিগারেশনও রাখুন, যাতে ভুল হয়ে যাওয়া নবায়ন আগের সার্টিফিকেট ও কী পুনরুদ্ধার করে ফেরানো যায়।

মোতায়েন করুন, নতুন প্রমাণীকরণ দিয়ে যাচাই করুন, তারপর অবসর দিন

প্রতিষ্ঠিত টানেল তৈরি হওয়ার সময় যে যাচাই হয়েছিল তা-ই প্রতিফলিত করে, তাই প্রতিটি নতুন সংযোগ ব্যর্থ হলেও এটি সুস্থ দেখাতে পারে। ক্লায়েন্টরা যে প্রকৃত সেবা-নাম ব্যবহার করে তা দিয়ে নতুন প্রমাণীকরণ চালিয়ে পরীক্ষা করুন।

ব্যবহারকারীর কাছে গুরুত্বপূর্ণ অ্যাপ্লিকেশন-স্তরের পরীক্ষাটি সম্পূর্ণ করুন, এবং চেইন সরবরাহ সার্ভারের দিক থেকে নয়, ক্লায়েন্টের দৃষ্টিকোণ থেকে নিশ্চিত করুন। রূপান্তর শান্ত রাখতে নাম বা সার্টিফিকেট পরীক্ষা চেপে রাখবেন না; এটি সাময়িক সামঞ্জস্য সমস্যাকে স্থায়ী সমস্যায় পরিণত করে।

রোলআউট যাচাই হওয়ার পরেই পুরোনো উপাদান অবসর দিন, এবং আপসকৃত কী-কে সম্পূর্ণ আলাদা ঘটনা হিসেবে দেখুন: নবায়ন একা কিছুই বাতিল করে না, তাই ক্ষতিগ্রস্ত পরিচয়ের জন্য মোতায়েনের বাতিলকরণ ও সেশন-ব্যবস্থাপনা প্রক্রিয়া দরকার। RFC 5280 এর নিচে থাকা সার্টিফিকেট ও পাথ-যাচাইয়ের নিয়মগুলো নির্ধারণ করে। নিয়মিত লিফ নবায়নকে CA প্রতিস্থাপন থেকে আলাদা রাখুন, যাতে ক্লায়েন্টদের অকারণে নতুন ইস্যুকারীতে আস্থা রাখতে বলা না হয়।