VPN-এর নিয়ন্ত্রণ চ্যানেল বনাম ডেটা চ্যানেল: সঠিক স্তরটি যাচাই করুন

ক্লায়েন্ট বলে সংযুক্ত, সার্ভার একটি পিয়ার দেখে, আর অ্যাপ্লিকেশনটি এখনও কোথাও পৌঁছায় না। সেই মুহূর্তে কাজের প্রশ্ন কোন সাইফার বদলাবেন তা নয়, বরং কোন চ্যানেল ব্যর্থ হয়েছে তা। OpenVPN দুটি কাজের নাম স্পষ্ট করে দেয়: একটি নিয়ন্ত্রণ চ্যানেল যা সেশন নিয়ে আলোচনা করে ও পরিচালনা করে, এবং একটি ডেটা চ্যানেল যা সুরক্ষিত ট্র্যাফিক বহন করে। IKEv2 সংশ্লিষ্ট বিভাজন প্রকাশ করে IKE অ্যাসোসিয়েশন ও CHILD অ্যাসোসিয়েশনের মাধ্যমে। নিচের যাচাইগুলি ক্রমানুসারে করুন, কারণ নিয়ন্ত্রণ পথের ত্রুটিতে ডেটা পথের সমাধান প্রয়োগ করলে পরিবর্তনের সময় নষ্ট হয়।

ডিবাগ করার আগে চ্যানেলের নাম দিন

নিয়ন্ত্রণ দিক নিরাপত্তা উপাদান নিয়ে আলোচনা করে, পিয়ারদের প্রমাণীকরণ করে এবং সংযোগ পরিচালনা করে। ডেটা দিক প্রয়োজনীয় অবস্থা তৈরি হওয়ার পর নির্বাচিত ট্র্যাফিক বহন করে।

তারা ভিন্নভাবে ব্যর্থ হয়। নিয়ন্ত্রণ ত্রুটি সাধারণত আপনাকে কোনো ব্যবহারযোগ্য সেশন ছাড়াই রেখে দেয়, বা এমন সেশন রেখে দেয় যা লুপে পুনরায় আলোচনা করে। ডেটা ত্রুটি এমন সেশন রেখে দেয় যা সুস্থ দেখায়, অথচ প্যাকেট ফেলে দেওয়া হয়, ভুল পথে পাঠানো হয়, বা এমন প্যারামিটার দিয়ে সুরক্ষিত থাকে যা অপর প্রান্ত গ্রহণ করবে না। আপনি যে লগ লাইনটি পড়ছেন তা বলে দেয় আপনি কোনটিতে আছেন, তাই ত্রুটির লেখার আগে লেবেলটি পড়ুন।

নিয়ন্ত্রণ বিনিময় যাচাই করুন

নিশ্চিত করুন যে হ্যান্ডশেক সম্পূর্ণ হয়েছে এবং উভয় পক্ষ পরিবহন, TLS সংস্করণ ও প্রমাণীকরণ পদ্ধতিতে একমত। OpenVPN লগ আলাদা নিয়ন্ত্রণ চ্যানেল ও ডেটা চ্যানেল লাইন ছাপে, এবং নিয়ন্ত্রণ লাইনেই সার্টিফিকেট, TLS সংস্করণ বা tls-crypt এর অমিল দেখা যায়।

নিয়ন্ত্রণ বিনিময় ব্যর্থ হলে পৌঁছানো যায় এমন পোর্ট, সার্টিফিকেট চেইন ও তার বৈধতার তারিখ, সিস্টেম ঘড়ি, ক্লায়েন্ট ও সার্ভারের মধ্যে সাইফারের মিল, এবং যেকোনো tls-auth বা tls-crypt কী দেখুন। বড় সার্টিফিকেট চেইন কোনো প্রমাণীকরণ শেষ হওয়ার আগেই পথের MTU-তে ব্যর্থ হতে পারে, যা ক্রিপ্টোগ্রাফিক ত্রুটি নয়, বরং সময়সীমা শেষের মতো দেখায়।

নিয়ন্ত্রণ ত্রুটি নিয়ন্ত্রণ সেটিংস দিয়েই সারান। ডেটা সাইফার বাড়ানো বা ডেটা প্রমাণীকরণ নীতি শিথিল করা এমন হ্যান্ডশেক সম্পূর্ণ করবে না যা কখনও সার্টিফিকেট বিনিময় পেরোয়নি।

ডেটা চ্যানেল আলাদাভাবে যাচাই করুন

সেশন চালু হলে আলোচিত ডেটা সাইফার ও মোড, কী উদ্ভব এবং পুনঃকী আচরণ নিশ্চিত করুন। OpenVPN-এ ডেটা চ্যানেল লাইনটি প্রকৃতপক্ষে সক্রিয় করা সাইফার ও কী আকারের নাম বলে, যা প্রোফাইলের প্রথম সাইফার থেকে আলাদা হতে পারে।

তারপর সেশনটি কী ইনস্টল করেছে তা দেখুন। PUSH_REPLY রুট, একটি DNS সার্ভার ও redirect-gateway নির্দেশ যোগ করতে পারে, এবং এর যেকোনোটি ট্র্যাফিক এমন জায়গায় পাঠাতে পারে যেখানে অ্যাপ্লিকেশন তা ব্যবহার করতে পারে না। IKEv2-এর জন্য সমতুল্য প্রশ্ন হলো CHILD অ্যাসোসিয়েশনের সিলেক্টরগুলি প্রকৃত প্রবাহের ঠিকানার সঙ্গে মেলে কি না।

tls-auth ও tls-crypt নিয়ন্ত্রণ চ্যানেলের অন্তর্গত। তারা হ্যান্ডশেক প্রমাণীকরণ বা এনক্রিপ্ট করে, এবং অ্যাপ্লিকেশনের ডেটা সাইফার নির্বাচন করে না। ডেটা পথে পরিবর্তনের আশায় এদের একটি যোগ করলে আপনি কেবল হ্যান্ডশেকই বদলেছেন।

নামগুলি IKEv2 ও OpenVPN-এর সঙ্গে মেলান

IKEv2-তে একটি IKE নিরাপত্তা অ্যাসোসিয়েশন এবং এক বা একাধিক CHILD অ্যাসোসিয়েশন থাকে। IKE অ্যাসোসিয়েশন নিয়ন্ত্রণ বিনিময় বহন করে; CHILD অ্যাসোসিয়েশন সুরক্ষিত ট্র্যাফিক ও তার সিলেক্টর বহন করে। এগুলি আলাদা সময়সূচিতে আলোচিত ও পুনঃকী হয়, তাই একটি সুস্থ থাকতে পারে আর অন্যটি নয়।

ESP-এর ভিতরে TLS-ধাঁচের নিয়ন্ত্রণ চ্যানেল নেই। নিয়ন্ত্রণ প্রোটোকল হলো IKE, আর ESP হলো সুরক্ষিত পেলোড। ESP-কে ডেটা চ্যানেল বলা একটি শিথিল সংক্ষেপ, যা প্যাকেট ক্যাপচার পড়ার সময় বিভ্রান্তিকর হয়ে ওঠে, কারণ ক্যাপচার তারে IKE বার্তা ও ESP প্যাকেটকে আলাদা প্রোটোকল হিসেবে দেখায়।

আপনার নোটে মিলটি স্পষ্ট রাখুন: OpenVPN নিয়ন্ত্রণ চ্যানেল ও IKE SA হলো ব্যবস্থাপনার দিক, OpenVPN ডেটা চ্যানেল ও CHILD SA হলো ট্র্যাফিকের দিক, এবং বিভাজন একই রকম দেখালেও বাস্তবায়নগুলি বিনিময়যোগ্য নয়।

ভুল সেটিংস বদলানো বন্ধ করুন

পথটি এক দিকে হাঁটুন: নিয়ন্ত্রণ বিনিময়, ডেটা সুরক্ষা, ফরওয়ার্ডিং, তারপর নাম সমাধান। যে প্রথম ধাপটি ব্যর্থ হয় সেখানেই থামুন এবং কেবল সেই ধাপটি সারান। গেটওয়েতে কাজ করা পিং আছে কিন্তু অ্যাপ্লিকেশনের ট্র্যাফিক নেই এমন সংযুক্ত সেশন ফরওয়ার্ডিং বা সিলেক্টরের সমস্যা, হ্যান্ডশেকের সমস্যা নয়।

প্রতিটি ধাপের প্রমাণ টিকিটে আলাদাভাবে লিখুন: নিয়ন্ত্রণ লগ লাইন, আলোচিত ডেটা প্যারামিটার, ইনস্টল করা রুট এবং একটি প্রকৃত অনুরোধ। এই কাঠামো একটি কার্যকর পরিচয় যাচাইকে দুর্বল করে এমন পরবর্তী রাউটিং সমস্যা সারানো থেকে বিরত রাখে যা এটি কখনও ঘটায়নি, এবং ডেটা সাইফার পরিবর্তনকে সার্টিফিকেট ত্রুটির সমাধান হিসেবে চালানো থেকেও বিরত রাখে।

OpenVPN প্রোটোকল ডকুমেন্টেশন হলো নিয়ন্ত্রণ ও ডেটা বিভাজনের তথ্যসূত্র; কোনো বিক্রেতার ইন্টারফেস একই দুটি কাজের জন্য ভিন্ন শব্দ ব্যবহার করলে এটি দেখুন।