SSTP এবং IKEv2 ভিন্ন RRAS সার্টিফিকেট নিয়ন্ত্রণ ব্যবহার করে

আপনি যদি «VPN সার্টিফিকেট» প্রতিস্থাপন করেন তবে ভুল পরিষেবা পরিবর্তন করতে পারেন। RRAS কমপক্ষে তিনটি সার্টিফিকেট নিয়ন্ত্রণ রাখে এবং প্রতিটি ভিন্ন প্রোটোকল ও ভিন্ন সংযোগ ভূমিকার অন্তর্গত। প্রথমে প্রোটোকলের নাম বলা ঝুঁকিপূর্ণ অনুমানকে একটিমাত্র ফেরানো যায় এমন বাইন্ডিং পরিবর্তনে পরিণত করে। নিচের সবকিছু ওই একটি বাক্যের উপর নির্ভর করে।

সার্টিফিকেটের আগে প্রোটোকলের নাম দিন

একটি SSTP শ্রোতা HTTPS-এর মতো আচরণ করা ক্লায়েন্টকে TLS সার্টিফিকেট উপস্থাপন করে। আগত সাইট-থেকে-সাইট IKEv2 সংযোগ সার্ভারের পরিচয় ঘোষণা করে এবং সমকক্ষদের সার্টিফিকেট বিশ্বস্ত রুটের বিপরীতে যাচাই করে। প্রতি ইন্টারফেস সাইট-থেকে-সাইট সংজ্ঞা নিজস্ব মেশিন পরিচয় বহন করে।

এগুলি তিনটি পরিধিসহ তিনটি নিয়ন্ত্রণ। এগুলি মিশিয়ে ফেললে এমন পরিবর্তন হয় যা এক প্রোটোকলে কাজ করছে বলে মনে হয় এবং অন্যটিতে কোনো প্রভাব নেই, যা স্পষ্ট ব্যর্থতার চেয়েও খারাপ। কিছু স্পর্শ করার আগে লিখে রাখুন কোন প্রোটোকল ব্যর্থ হয়েছে, কোন পক্ষ সার্টিফিকেট উপস্থাপন করেছে এবং কোন পক্ষ তা প্রত্যাখ্যান করেছে।

SSTP একটি HTTPS বাইন্ডিং

সমর্থিত Remote Access স্থাপনায় Set-RemoteAccess সেই SslCertificate প্যারামিটার প্রকাশ করে যা SSTP সংযোগ এবং HTTPS-সম্পর্কিত DirectAccess ভূমিকার জন্য ব্যবহৃত হয়।

এর যাচাই ও স্থাপনার পরিধি Remote Access কনফিগারেশন অনুসরণ করে, তাই একটি বাইন্ডিং পরিবর্তন একাধিক সংযোগ বা নোডে পৌঁছাতে পারে। লোড-ব্যালান্সড স্থাপনায় এই পরিধি কনফিগারেশন যে প্রতিটি নোড কভার করে তা অন্তর্ভুক্ত করে। একটি নোড পরিবর্তন করে একটি ক্লায়েন্ট পরীক্ষা করলে বাকিরা পুরোনো পাতা উপস্থাপন করতে থাকে, এবং এটিই সেই আধা-পরিবর্তন যা রক্ষণাবেক্ষণ উইন্ডো থেকে টিকে যায়।

আপডেটের আগে প্রত্যাশিত পরিষেবা নাম, চেইন, বৈধতা, অভিপ্রেত ব্যবহার এবং ব্যক্তিগত কী-এর প্রাপ্যতা যাচাই করুন। সার্টিফিকেটকে সেই নামের সাথে মিলতে হবে যা ক্লায়েন্ট যাচাই করবে, এবং অ্যাডাপ্টার লেবেল সেই নাম নয়।

আগত IKEv2-এর নিজস্ব প্যারামিটার আছে

Set-VpnAuthProtocol আগত সাইট-থেকে-সাইট IKEv2 প্রমাণীকরণ কনফিগার করে, এবং CertificateAdvertised সার্টিফিকেট সরবরাহ করে যখন টানেল প্রমাণীকরণ মোড সেগুলি ব্যবহার করে। এটি হোস্টে যেকোনো সার্ভার সার্টিফিকেট বেছে নেওয়ার সাধারণ কমান্ড নয়।

দুটি বস্তু আলাদা রাখুন: সার্ভার যে পাতাটি নিজের পরিচয় হিসেবে উপস্থাপন করে, এবং যে রুটটি দিয়ে সে সমকক্ষদের সার্টিফিকেট গ্রহণ করে। কোন ইস্যুয়ারকে বিশ্বাস করবেন তা বাছাই করা সার্ভার কোন পাতা উপস্থাপন করে সে সম্পর্কে কিছুই বলে না।

একটি পৃথক সাইট-থেকে-সাইট ইন্টারফেসের পরিচয় Set-VpnS2SInterface-এর মাধ্যমে সেট হয়। উভয়ই একই মেশিনে একই স্টোরে থাকলেও এটি স্বয়ংক্রিয়ভাবে SSTP সার্টিফিকেট নয়।

প্রথমে প্রার্থী পরীক্ষা করুন

স্থানীয় মেশিনের স্টোরের কেন্দ্রীভূত দৃশ্য কোনো ব্যক্তিগত কিছু রপ্তানি না করেই প্রকাশ্য মেটাডেটা দেখায়:

Get-ChildItem Cert:\LocalMachine\My |
    Select-Object Thumbprint, Subject, HasPrivateKey, NotAfter

সেই তালিকা সূচনাবিন্দু, উপযুক্ততার পরীক্ষা নয়। আপনি যে প্রোটোকল কনফিগার করছেন তার জন্য SAN এন্ট্রি, বর্ধিত কী ব্যবহার, চেইন এবং পরিষেবা অ্যাকাউন্টের ব্যক্তিগত কী-তে প্রবেশাধিকার পরীক্ষা করুন।

অসম্পর্কিত ক্লাউড ক্লায়েন্ট পরিচয়ের জন্য ইনস্টল করা সার্টিফিকেট কেবল একই স্টোরে দেখা যায় বলে উপযুক্ত নয়। দৃশ্যমানতা উপযুক্ততা নয়, এবং স্ক্রিনশটে আঙুলের ছাপ পরিষেবা অ্যাকাউন্ট কী পড়তে পারে কিনা সে সম্পর্কে কিছু প্রমাণ করে না। সেই প্রবেশাধিকার স্পষ্টভাবে পরীক্ষা করুন, কারণ কী-এর অনুমতি না থাকা কেবল তখনই প্রকাশ পায় যখন পরিষেবা পুনরায় চালু হয়ে সার্টিফিকেট ব্যবহারের চেষ্টা করে।

বর্তমান বাইন্ডিং রেকর্ড করুন এবং পরিবর্তনের আগে নিশ্চিত করুন যে আপনি এখনও অন্য উপায়ে হোস্টে পৌঁছাতে পারেন। পুনরুদ্ধারের পথ পরিবর্তনের অংশ, তার পরে আসা ঘটনার নয়।

নবায়ন সক্রিয়করণ নয়

সার্টিফিকেট পুনরায় ইস্যু করা চলমান পরিষেবার জন্য সেটি বাছাই করার চেয়ে ভিন্ন কাজ। নতুন পাতা অভিপ্রেত DNS পরিচয় ধরে রাখতে পারে এবং তবুও ভিন্ন আঙুলের ছাপ বহন করতে পারে, তাই বাইন্ডিং আপডেট না হওয়া পর্যন্ত কিছুই তার দিকে ইঙ্গিত করে না। নবায়ন বস্তু বদলায়; সক্রিয়করণ তার প্রতি রেফারেন্স বদলায়। এই দুটিকে গুলিয়ে ফেলাই কারণ সঠিকভাবে নবায়ীকৃত সার্টিফিকেট সপ্তাহ ধরে অব্যবহৃত থাকতে পারে।

সমর্থিত পরিবর্তন উপযুক্ত উইন্ডোতে প্রয়োগ করুন, যেকোনো নথিভুক্ত পুনরায় চালু সহ, তারপর অভিপ্রেত প্রোটোকলের নতুন সংযোগ থেকে সার্টিফিকেট পরীক্ষা করুন। ক্যাশ করা ক্লায়েন্ট সেশন এখনও পুরোনো পাতা দেখাতে পারে এবং সঠিক পরিবর্তনকে নষ্ট দেখাতে পারে।

পূর্ববর্তী সার্টিফিকেট কেবল সেই পরীক্ষা উত্তীর্ণ হওয়ার পর সাধারণ প্রক্রিয়ায় অবসর দিন। Set-RemoteAccess রেফারেন্স SSL প্যারামিটারের পরিধি নথিভুক্ত করে, যার মধ্যে লোড-ব্যালান্সড স্থাপনায় এর প্রভাব রয়েছে, এবং এটিই সেই অংশ যা বাইন্ডিং পরিবর্তনের আগে পড়ার যোগ্য।