সার্টিফিকেট রিভোক না করেই একটি OpenVPN ক্লায়েন্ট স্থগিত করুন

ল্যাপটপ এক সপ্তাহের জন্য মেরামতের টেবিলে গেলে স্বাভাবিক প্রবণতা হলো CA থেকে তার সার্টিফিকেট সরিয়ে ফেলা। সেই রেকর্ডটি ইস্যুয়ারের লেজার, কোনো সাময়িক প্রবেশ সুইচ নয়। OpenVPN এ ইতিমধ্যেই সংযোগ প্রত্যাখ্যানের জন্য প্রতি-ক্লায়েন্ট ব্যবস্থা আছে, এবং তা ব্যবহার করলে CA-এর ইতিহাস অক্ষত থাকে। দুটি নিয়ন্ত্রণ ভিন্ন প্রশ্নের উত্তর দেয়, এবং এদের মেশালে ডিভাইস ফিরে এলে বাড়তি কাজ তৈরি হয়।

দুটি রেকর্ড, দুটি ভিন্ন কাজ

CA ডেটাবেস লিপিবদ্ধ করে ইস্যুয়ার কী স্বাক্ষর করেছে এবং পরে কী রিভোক করেছে। রিভোকেশন ওয়ার্কফ্লো এবং CRL বা লেজারের নিজস্ব অনুলিপি পড়ে এমন সবকিছু এর কাছে জিজ্ঞাসা করে। অন্যদিকে প্রবেশের নিয়ম সার্ভারে থাকে এবং সেই সার্ভার যে সংযোগ গ্রহণ করে তার উপর প্রযোজ্য হয়।

একটি ইস্যুয়েন্স রেকর্ড মুছে ফেলা নির্ভরযোগ্যভাবে সার্টিফিকেট রিভোক করে না, আর পরবর্তী রিভোকেশন বা অডিট যে ইতিহাসের উপর নির্ভর করে তা নষ্ট করে। সার্ভার-সাইড নিয়ন্ত্রণ সীমিত এবং প্রত্যাবর্তনযোগ্য। পরিবর্তনের নোটে পার্থক্যটি লিখে রাখুন যাতে পরের ব্যক্তি কখনো না-ঘটা কোনো রিভোকেশন খুঁজতে না যায়।

ডিজেবল নির্দেশটি সঠিক ফাইলে রাখুন

ক্লায়েন্ট-নির্দিষ্ট কনফিগারেশন ব্যবহার করা কমিউনিটি সার্ভারের জন্য নথিভুক্ত disable নির্দেশটি একটি নির্বাচিত ক্লায়েন্টকে প্রত্যাখ্যান করে। এটি সক্রিয় client-config-dir এর অধীন সেই ক্লায়েন্টের ফাইলে থাকা উচিত, মূল সার্ভার কনফিগারেশনে নয়। চলমান ডেমনটি আসলে কোন ডিরেক্টরি ব্যবহার করে তা নিশ্চিত করুন, তারপর ফাইলটি বেছে নেওয়া পরিচয়টি যাচাই করুন। ভুল কমন নেমে নামকরণ করা ফাইল সঠিক দেখায় এবং কখনো পড়া হয় না।

disable

ম্যাপিং পছন্দ এখানে গুরুত্বপূর্ণ। username-as-common-name এর মতো অপশন লুকআপ কোন পরিচয় ব্যবহার করে তা বদলে দেয়, তাই সার্টিফিকেট সাবজেক্টের নামে করা ফাইল প্রযোজ্য নাও হতে পারে। ইনস্টল করা সংস্করণের জন্য OpenVPN রেফারেন্স পড়ুন, প্রতিটি প্রসঙ্গে নির্দেশটি বৈধ ধরে নেবেন না।

নতুন প্রবেশকে সক্রিয় সেশন থেকে আলাদা করুন

পরবর্তী হ্যান্ডশেক প্রত্যাখ্যান করা ইতিমধ্যে ওঠানো টানেল শেষ করে না। ডিভাইসটি এখনই বিচ্ছিন্ন করতে হলে সেই নির্দিষ্ট সেশনের জন্য সার্ভারের অনুমোদিত সেশন-ম্যানেজমেন্ট পথও ব্যবহার করুন। নইলে ক্লায়েন্ট নিজে থেকে পুনরায় সংযোগ না করা পর্যন্ত কাজ চালিয়ে যেতে পারে, আর ল্যাপটপের ঢাকনা বন্ধ করা বা ক্লায়েন্ট বন্ধ করা ক্লায়েন্ট-সাইড কাজ যা সার্ভার সম্পর্কে কিছুই বলে না।

দুটি ফলাফলই যাচাই করুন: সক্রিয় সেশন যখন চান তখন থামে, এবং নতুন হ্যান্ডশেক প্রত্যাখ্যাত হয়। বন্ধ ক্লায়েন্ট উইন্ডো সার্ভারের নীতি সম্পর্কে কিছু প্রমাণ করে না।

যদি ডিপ্লয়মেন্টে সক্রিয় সেশন শেষ করার কোনো সমর্থিত উপায় না থাকে, তবে একটি বানিয়ে না তুলে সেই ঘাটতিটি লিখে রাখুন। ক্লায়েন্টে ব্লক করা পোর্ট সার্ভার-সাইড নীতির সমান নয়।

বিরতি ও আপস ভিন্ন ঘটনা

হারানো বা চুরি হওয়া কী একটি রিভোকেশন ঘটনা, এবং স্থানীয় প্রবেশ বিরতি তার বিকল্প নয়। একই CA-তে বিশ্বাস করা অন্য সার্ভারগুলি এই সার্ভারের ক্লায়েন্ট-নির্দিষ্ট নিয়ম ভাগ করবে না। ইস্যুয়ারের রিভোকেশন ও প্রতিস্থাপন প্রক্রিয়া অনুসরণ করুন এবং CA ডেটাবেসকে কর্তৃত্বপূর্ণ রেকর্ড হিসেবে রাখুন। বিপরীতে, সাময়িক বিরতির জন্য নথিভুক্ত কারণ ও পুনরুদ্ধারের ধাপ দরকার।

প্রবেশ ফিরে এলে যে উপাদানটি এটি নিয়ন্ত্রণ করে তার মাধ্যমে নিষেধাজ্ঞা সরান এবং নতুন সংযোগ সফল হয় তা নিশ্চিত করুন। disable লাইনের পথটিও লিখে রাখুন, কারণ পরে কোনো কনফিগারেশন সিঙ্ক এটি চুপচাপ ফিরিয়ে আনতে পারে। বিরতি, তার মালিক ও তারিখ ডিপ্লয়মেন্ট নোটে রাখুন, যাতে পরের প্রশাসক মাসখানেক পরে ব্যাখ্যাহীন disable লাইন না পান।