বিষয়ের বিকল্প নাম: একটি VPN সার্ভার কীভাবে চিহ্নিত হয়

আপনার ক্লায়েন্ট এমন একটি সার্টিফিকেট প্রত্যাখ্যান করে যার চেইন পরিষ্কারভাবে বৈধ হয়, আর ত্রুটিটি বলে নামটি মেলে না। সেই বার্তাটি সার্টিফিকেটটি কে স্বাক্ষর করেছে তা নিয়ে নয়। এটি সাবজেক্ট অল্টারনেটিভ নেম এক্সটেনশন নিয়ে, যা সার্টিফিকেটটি যে পরিচয়গুলি উপস্থাপন করার অনুমতি পায় সেগুলি বহন করে, এবং আপনি যে পরিচয়টি কনফিগার করেছেন তা সেখানে সঠিক রূপে আছে কি না তা নিয়ে। বিশ্বাস বলে কে স্বাক্ষর করেছে, আর নাম যাচাই বলে এটি কোন হোস্টের।

ক্লায়েন্ট আসলে কী তুলনা করে

ক্লায়েন্ট আপনার কনফিগারেশনকে একটি রেফারেন্স পরিচয়ে পরিণত করে: একটি হোস্টনাম, একটি ঠিকানা, বা প্রোটোকল-নির্দিষ্ট শনাক্তকারী। তারপর এটি সার্টিফিকেটে সেই পরিচয় খোঁজে, ব্যবহৃত প্রোটোকলের মিলকরণ নিয়ম প্রয়োগ করে। শুধু একই ধরনের এন্ট্রি গণনা করা হয়, তাই একটি DNS এন্ট্রি একটি ঠিকানা পূরণ করতে পারে না, এবং কেউ সার্টিফিকেটটি দেখুক বা না দেখুক তুলনাটি ঘটে।

যখন সেই এক্সটেনশনে রেফারেন্স পরিচয়টি অনুপস্থিত থাকে, তখন পুরোনো কমন নেম মিললেও যাচাই ব্যর্থ হয়। একটি সার্টিফিকেট বৈধভাবে একটি কোম্পানিকে ইস্যু করা হতে পারে এবং তবুও vpn.example.com-এর জন্য ভুল হতে পারে, যদি নামটি কখনও অন্তর্ভুক্ত না হয়। সার্টিফিকেটটি আসল হলেও ব্যর্থতাটি একটি নামের অমিল।

DNS নাম ও IP ঠিকানা আলাদা এন্ট্রি

একটি প্রোফাইল যা 203.0.113.10-এর দিকে ইঙ্গিত করে কিন্তু সার্টিফিকেটে কেবল vpn.example.com তালিকাভুক্ত, তা প্রত্যাখ্যাত হয়, কারণ প্যাকেট পৌঁছায় কিন্তু পরিচয় মেলে না। DNS নাম ও অ্যাড্রেস লিটারেল ভিন্ন এন্ট্রি ধরন হিসেবে সংরক্ষিত হয়, এবং একটি কখনও অন্যটির বিকল্প হয় না। তাই একটি সেবা ঠিকানা দিয়ে পৌঁছানো যায় এবং তবুও সেই ঠিকানা ব্যবহার করা প্রোফাইলের মাধ্যমে অব্যবহারযোগ্য থাকতে পারে।

ওয়াইল্ডকার্ডও নিজস্ব নিয়ম মানে: একটি ওয়াইল্ডকার্ড একটি লেবেল কভার করে, কোনো ডোমেনের নিচের প্রতিটি নাম নয়। DNS তুলনা কেস-সংবেদনশীল নয়, অথচ অন্য শনাক্তকারী ধরনগুলি সংবেদনশীল, তাই স্ক্রিনে অভিন্ন দেখানো একটি মান কঠোর তুলনায় ব্যর্থ হতে পারে। ব্যবহৃত পরিচয় ধরনের মিলকরণ নিয়মগুলি দেখুন, চোখে স্ট্রিং তুলনা করবেন না। এক্সটেনশনে একটি নাম যোগ করা ইস্যু করার সিদ্ধান্ত, ক্লায়েন্ট সেটিং তা সরবরাহ করতে পারে না।

সংযোগটি সত্যিই যে সার্টিফিকেট ব্যবহার করেছে তা পরীক্ষা করুন

লাইভ এন্ডপয়েন্ট যে উপাদান উপস্থাপন করে তা পড়ুন, প্রশাসন পৃষ্ঠা থেকে কপি করা ফাইল নয়। একটি লোড ব্যালেন্সার বা প্রতিস্থাপন ইনস্ট্যান্স কয়েক মাস আগে আপলোড করা সার্টিফিকেটের চেয়ে ভিন্ন কিছু উপস্থাপন করতে পারে, এবং সেই পার্থক্য কনসোলে অদৃশ্য।

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

সাবজেক্ট অল্টারনেটিভ নেম ব্লক, ইস্যুয়ার চেইন ও বৈধতার সময়কাল একই পাঠে থাকা উচিত, কারণ নামের অমিল ও মেয়াদোত্তীর্ণ ভিন্ন ত্রুটি তৈরি করে। সেই ব্লকের প্রতিটি নাম প্রোফাইলে কনফিগার করা পরিচয়ের সঙ্গে অক্ষর ধরে ধরে তুলনা করুন এবং এটি কোন ধরন তা লক্ষ্য করুন। এন্ডপয়েন্টের ঠিকানা রূপের বিরুদ্ধে কমান্ডটি পুনরাবৃত্তি করলে দেখা যায় সার্টিফিকেটটি দুই পরিচয়ই কভার করে না কেবল একটি। একটি ব্যবস্থাপনা কনসোলে বন্ধুত্বপূর্ণ সাবজেক্ট প্রদর্শন বৈধতার ফল নয় এবং এক্সটেনশনে কোন নামগুলি আছে সে সম্পর্কে কিছু বলে না।

কমন নেম আধুনিক সত্যের উৎস নয়

ব্রাউজার ও অধিকাংশ TLS লাইব্রেরি এখন হোস্টনেম মেলানোর জন্য কমন নেম উপেক্ষা করে এবং এক্সটেনশনের পরামর্শ নেয়। কিছু VPN ক্লায়েন্ট এখনও আগে কমন নেম তুলনা করে বা এক্সটেনশন না থাকলে তার কাছে ফিরে যায়, এভাবেই একটি সার্টিফিকেট ব্রাউজারে পাস করে ক্লায়েন্টে ব্যর্থ হতে পারে। একই নাম যাচাই একটি প্ল্যাটফর্মে পাস করে অন্যটিতে ব্যর্থ হতে পারে, সার্টিফিকেট একটুও না বদলে।

সার্টিফিকেট ভুল বলে সিদ্ধান্ত নেওয়ার আগে জেনে নিন আপনার ক্লায়েন্ট কোন ক্ষেত্রটি পড়ে। একই এন্ডপয়েন্টে দুটি ক্লায়েন্ট ভিন্নমত পোষণ করতে পারে, আর সেই মতভেদ সার্টিফিকেট সম্পর্কে নয়, ক্লায়েন্ট সম্পর্কে তথ্য।

যাচাই নয়, ইস্যু বা প্রোফাইল ঠিক করুন

যখন একটি প্রোফাইল একটি উপনামকে ঘিরে তৈরি হয়, তখন হয় এটিকে নথিভুক্ত হোস্টনামের দিকে পুনর্নির্দেশ করুন, নয়তো উপনামের জন্য সার্টিফিকেট পুনরায় ইস্যু করে পরিকল্পিত সময়ে স্থাপন করুন। সতর্কতা নীরব করা তৃতীয় বিকল্প নয়, কারণ যাচাইই একমাত্র ধাপ যা স্বাক্ষরিত সার্টিফিকেটকে এই নির্দিষ্ট হোস্টের সঙ্গে বেঁধে রাখে। এটি সরানো মানে একই কর্তৃপক্ষের যেকোনো সার্টিফিকেট আপনার পৌঁছাতে চাওয়া সার্ভারের জায়গা নিতে পারে।

নবায়নকে অভীষ্ট নাম ও উদ্দেশ্য সংরক্ষণ করা উচিত, শুধু মেয়াদ শেষের তারিখ সামনে ঠেলে দেওয়া নয়। যে নবায়ন একটি নাম হারায় তা পরবর্তী রিস্টার্টের জন্য নির্ধারিত নতুন বিভ্রাট, এবং এটি সাধারণত সতর্কতা ছাড়াই আসে, কারণ পরিবর্তন করার সময় পুরোনো সার্টিফিকেট তখনও বৈধ ছিল।

প্রত্যাশিত পরিচয়, উপস্থাপিত নামগুলি এবং যে চেইন সেগুলি স্বাক্ষর করেছে তা লিপিবদ্ধ করুন। সেই রেকর্ড পরবর্তী নবায়নকে তদন্তের বদলে তুলনায় পরিণত করে। এক্সটেনশনের সংজ্ঞা RFC 5280-এ আছে, যদি নির্দিষ্ট কোনো ইস্যু যাচাই করতে হয়।