হেডলেস OpenVPN গেটওয়ের কোন সফটওয়্যার ভূমিকা দরকার

শুধু OpenVPN গেটওয়ের জন্য নির্দিষ্ট একটি মেশিনের দরকার একটি সমর্থিত সার্ভার ইনস্টল এবং সে যে কাজগুলো আসলে করে তার সফটওয়্যার। SSH, ওয়েব হোস্টিং ও অন্য সার্ভার ভূমিকা দেওয়া একটি ইনস্টলার মেনু OpenVPN-এর পূর্বশর্তের তালিকা নয়। হেডলেস ডিপ্লয়মেন্ট পুরোপুরি যুক্তিসঙ্গত। আসল কথা তিনটি কাজ আলাদা করা: টানেল বহন করা, হোস্ট প্রশাসন করা এবং প্রমাণপত্র ইস্যু করা।

এটি আমি ব্যবহার করা ইনভেন্টরি ক্রম, সাথে প্রতিটি ধাপ শেষ করার যাচাই।

1. টানেল সেবাকে তার নিজের প্যাকেজ ও প্রোফাইল দিন

উবুন্টুর OpenVPN সার্ভার নির্দেশিকা ডিস্ট্রিবিউশনের openvpn প্যাকেজ কমান্ড লাইন ও সেবা কনফিগারেশনসহ ব্যবহার করে। একই প্যাকেজ লিনাক্স ক্লায়েন্ট হিসেবে কাজ করে, আর ভূমিকা নির্ধারণ করে কনফিগারেশন।

এর অর্থ হলো ক্লায়েন্ট GUI ইনস্টল করাই হোস্টকে সার্ভারে পরিণত করে না, আর তা সরানোই এটিকে হেডলেস করে না। চালু ইনস্ট্যান্স কোন প্রোফাইল পড়ে তা লিখে রাখুন, কারণ একই ফোল্ডারে দ্বিতীয় কনফিগারেশন ফাইল কেউ না জানিয়েই লোড হতে পারে, আর ডেমন দুই ক্ষেত্রেই সফলতা রিপোর্ট করে। দুটি প্রোফাইল থাকলে কোনটি জিতবে তা সেবা ম্যানেজার ঠিক করে, আর সেই সিদ্ধান্ত অনুমানে নয়, আপনার নোটে থাকা উচিত।

2. টানেলের আগে প্রশাসনের পথ ঠিক করুন

OpenSSH আসে আলাদা openssh-server প্যাকেজ থেকে এবং নিজস্ব সেবা হিসেবে চলে। প্রশাসককে SSH দিয়ে মেশিনে পৌঁছাতে হলে এটি কাজে লাগে, কিন্তু OpenVPN VPN প্যাকেট বিনিময়ের জন্য SSH সার্ভার প্রয়োজন করে না। স্থানীয় কনসোল বা অনুমোদিত প্ল্যাটফর্ম ব্যবস্থাপনা চ্যানেল আরেকটি বৈধ পথ। রাউটিং বা ফিল্টারিং বদলানোর আগে ঠিক করুন কোনটির ওপর নির্ভর করছেন, কারণ নতুন টানেল কখনোই নিজেকে মেরামতের একমাত্র অপরীক্ষিত উপায় হওয়া উচিত নয়।

3. অনুমোদিত মালিকের কাছ থেকে প্রমাণপত্র ইস্যু করুন

উবুন্টুর উদাহরণ ছোট PKI তৈরির জন্য OpenVPN-এর সাথে easy-rsa ইনস্টল করে, যা চলমান টানেল সেবা নয় বরং প্রমাণপত্র ইস্যুর ভূমিকা। প্রতিষ্ঠানের আগে থেকেই অনুমোদিত ইস্যু প্রক্রিয়া থাকলে টিউটোরিয়ালে আছে বলে সম্পর্কহীন CA তৈরি না করে সেটিই ব্যবহার করুন। গেটওয়ের নিজের প্রাইভেট কী ও সার্টিফিকেট CA স্বাক্ষর কী থেকে আলাদা রাখুন, এবং স্বাক্ষর ও ব্যাকআপের স্থান সচেতনভাবে বাছুন। প্রতিটি PKI ফাইল প্রতিটি হোস্টে কপি করা কোনো সফটওয়্যার প্রয়োজন নয়।

4. ডেস্কটপ প্লাগইন ডেস্কটপের জন্য ছেড়ে দিন

NetworkManager এডিটর বা ইমপোর্ট প্লাগইনের এই কর্মপ্রবাহ ব্যবহার করা মেশিনে একটি উদ্দেশ্য আছে। গেটওয়ে OpenVPN বলে এটি অতিরিক্ত সার্ভার ফিচার নয়।

সংযোগের জন্য একজন মালিক বাছুন, এবং একই প্রোফাইলের দ্বিতীয়, ডেস্কটপ-পরিচালিত কপি চালু করবেন না।

5. বাস্তব ক্লায়েন্ট দিয়ে গেটওয়ে গ্রহণ করুন

কম প্যাকেজ মানেই সম্পূর্ণ গেটওয়ে নয়। সার্ভারের এখনো দরকার অনুমোদিত লিসেনার, পরিচয়, রুট, যেখানে প্রয়োজন ফরওয়ার্ডিং, সংকীর্ণ ফায়ারওয়াল নীতি এবং অভিপ্রেত ফিরতি পথ। এর লগ কোথায় দেখা যায় এবং আপডেট কীভাবে প্রয়োগ হয় তা লিখুন, কারণ ওই দুই উত্তরই ঠিক করে পরে একটি ব্যর্থতা কীভাবে নির্ণয় হবে।

ইন্টারনেট-এক্সিট নকশা ও প্রাইভেট-নেটওয়ার্ক-অ্যাক্সেস নকশার ফরওয়ার্ডিং প্রয়োজন আলাদা, তাই কিছু খোলার আগে ঠিক করুন আপনি কোনটি বানাচ্ছেন। একটি অনুমোদিত ক্লায়েন্ট চালু করুন এবং টানেল সূচক নয়, অভিপ্রেত রিসোর্স যাচাই করুন। তারপর নিয়ন্ত্রিতভাবে সেবাটি পুনরায় চালু করুন এবং মানবহীন স্টার্টআপ পথ নিশ্চিত করুন, কারণ কেবল কেউ দেখছে তখনই ওঠা গেটওয়ে এখনো ডিপ্লয় হয়নি।