আপনার VPN কী সবার জন্য পাঠযোগ্য: কী ঠিক করবেন

প্রথম লক্ষণ সাধারণত একটি সতর্কবার্তা, কোনো বিকলতা নয়। কোনো ক্লায়েন্ট কী লোড করতে অস্বীকার করে কারণ ফাইলটি গ্রুপ বা সবার জন্য পাঠযোগ্য, অথবা নিরাপত্তা পর্যালোচনায় পাওয়া যায় client.key রপ্তানি করা বান্ডলও থাকা একটি প্রোফাইল ডিরেক্টরিতে 644 মোডে পড়ে আছে। এখনো কিছু ভাঙেনি, আর ঠিক এ কারণেই সতর্কবার্তাটি উড়িয়ে দেওয়া হয়। কী কাজ করে, টানেল ওঠে, আর ফাইলটি মেশিনের প্রতিটি অ্যাকাউন্টের কাছে পাঠযোগ্য।

লক্ষণটি অনুমতি-সতর্কবার্তা, বিচ্ছিন্নতা নয়

ইউনিক্স-সদৃশ সিস্টেমে একটি ব্যক্তিগত কী কেবল সেই অ্যাকাউন্টের কাছেই পাঠযোগ্য হওয়া উচিত যে সেবাটি চালায়। সঠিক মালিকসহ 600 মোডই স্বাভাবিক ব্যবস্থা। 644 মোড মানে প্রতিটি স্থানীয় ব্যবহারকারী কী-টি কপি করতে পারে, আর শেয়ার করা বিল্ড হোস্টে এটি সত্যিকারের দর্শক।

যেসব ক্লায়েন্ট এটি যাচাই করে, তারা আপনার উপকারই করে। যারা করে না, তারা ফাইলটি নিরাপদ হওয়ার প্রমাণ নয়, আর একটি সফল সংযোগ কিছুই বলে না যে আর কে সেই উপাদান পড়তে পারে যা এটি সম্ভব করেছে। সতর্কবার্তাটিকেই পুরো অনুসন্ধান হিসেবে ধরুন। এটি নিখুঁত, এবং কেউ ফাইলটি কপি করার আগেই এসেছে।

মোডকে সেবার পরিচয়ের সঙ্গে মেলান

শুধু মালিকের প্রবেশাধিকার সেই মালিকের ব্যবহৃত কী-র জন্য উপযুক্ত। ইচ্ছাকৃতভাবে শেয়ার করা গ্রুপযুক্ত সেবার ভিন্ন নিয়ন্ত্রিত ব্যবস্থা লাগতে পারে, যেমন সেবা অ্যাকাউন্টের মালিকানাধীন কী-তে গ্রুপ পাঠ। প্রতিটি ফাইলে অন্ধভাবে একই সংখ্যাসূচক মোড বসানো সমর্থিত ক্লায়েন্ট ভেঙে দেয়, আর chmod -R 777 কোনো কিছুর সমাধান নয়।

কিছু বদলানোর আগে মালিক ও সেবা অ্যাকাউন্টটি যাচাই করুন। পাবলিক CA সার্টিফিকেট আর ব্যক্তিগত পরিচয়-কী-র গোপনীয়তার প্রয়োজন ভিন্ন, যদিও সেগুলো একই ডিরেক্টরিতে থাকে, তাই পুরো ফোল্ডারে প্রযুক্ত পুনরাবৃত্ত মোড দুটোকেই একই বস্তু হিসেবে দেখে।

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

অন্য প্ল্যাটফর্মে ইউনিক্স মোডকে অনুমানে অনুবাদ না করে নথিভুক্ত কী-স্টোর বা অ্যাক্সেস-নিয়ন্ত্রণ মডেল ব্যবহার করুন। private-এ শেষ হওয়া ফাইলের নাম একটি লেবেল, প্রয়োগের কৌশল নয়।

মোড যেসব কপি ঢাকে না সেগুলো খুঁজুন

এডিটর, ব্যাকআপ আর্কাইভ, রপ্তানি করা প্রোফাইল আর সাময়িক বান্ডল—প্রতিটি একই পরিচয় ধরে রাখতে পারে। সেগুলোর বিষয়বস্তু অনুযায়ী সুরক্ষা দিন, কারণ মূল ফাইল শক্ত করা গত মাসের টারবলে থাকা কপির জন্য কিছুই করে না।

কী ফাইলে পাসফ্রেজ সংরক্ষিত উপাদানের জন্য উপকারী, আর এটি তার পাসওয়ার্ডের পাশে এনক্রিপ্টেড ফাইল প্রকাশকে ন্যায্যতা দেয় না। অনুমতিগুলো বর্তমান ফাইলসিস্টেম বস্তুকে রক্ষা করে; অন্যত্র ইতিমধ্যে কপি করা পরিচয়পত্র সম্পর্কে তারা কিছুই বলে না।

কাজ শেষ ঘোষণা করার আগে কপিগুলো খুঁজুন: grep -rl সম্ভাব্য ডিরেক্টরিতে কী-র হেডার লাইনের জন্য, আর ব্যাকআপ বাদ-তালিকায় একবার দেখুন। ফলাফল সাধারণত আপনি যে ফাইল দিয়ে শুরু করেছিলেন তার চেয়ে বেশি আকর্ষণীয়।

ঠিক করার পর যাচাই করুন ও ঘুরিয়ে ফেলুন

পরীক্ষা করুন যে উদ্দিষ্ট সেবা এখনো প্রমাণীকরণ করে, তারপর নিশ্চিত করুন কোনো অপ্রয়োজনীয় অ্যাকাউন্ট প্রবেশাধিকার পায়নি। ডায়াগনস্টিক আউটপুট মেটাডেটায় সীমিত রাখুন, কারণ ফাইল পাঠযোগ্য তা প্রমাণ করতে কী ছাপা লাগে না আর তা উপাদানটিকে লগে ফেলে দেয়।

কী ফাঁস হয়ে থাকলে মোড শক্ত করুন, তারপর পরিচয়পত্র বদলান ও পুরনোটি বাতিল করুন। POSIX chmod স্পেসিফিকেশন ব্যাখ্যা করে প্রতিটি মোড বিটের অর্থ কী, আর পরবর্তী পর্যালোচনা আপনার বাছাই করা সংখ্যার যৌক্তিকতা চাইলে তা জানা দরকার।