Ivanti Connect Secure (Pulse Secure)-এ কীভাবে CSR তৈরি করবেন

এই গাইডে দেখানো হয়েছে Ivanti Connect Secure-এ কীভাবে একটি CSR (Certificate Signing Request) তৈরি করবেন, যা বহু বছর ধরে Pulse Secure নামে বিক্রি হওয়া SSL VPN অ্যাপ্লায়েন্স। আপনি অ্যাডমিন কনসোলে System > Configuration > Certificates > Device Certificates-এর অধীনে অনুরোধটি তৈরি করবেন, আপনার প্রতিষ্ঠানের বিবরণ পূরণ করবেন এবং এনকোডেড অনুরোধটি আপনার সার্টিফিকেট অর্ডারে কপি করবেন। অ্যাপ্লায়েন্সটি একই সময়ে সংশ্লিষ্ট প্রাইভেট কী তৈরি করে এবং ডিভাইসে রেখে দেয়, তাই স্বাক্ষরিত সার্টিফিকেটটি একই অ্যাপ্লায়েন্সে, একই পেন্ডিং অনুরোধে ফিরে আসতে হবে।

নাম নিয়ে একটি নোট, কারণ উভয়ই এখনও ব্যবহৃত হয়। এই পণ্যটির যাত্রা শুরু হয়েছিল Juniper Networks-এর Junos Pulse হিসেবে। ২০১৪ সালে Siris Capital সেই ব্যবসাটি Juniper থেকে কিনে নেয় এবং Pulse Secure গঠন করে, এবং ১ ডিসেম্বর ২০২০-এ Ivanti Pulse Secure অধিগ্রহণ করে এবং সিরিজটির নাম পরিবর্তন করে: Pulse Connect Secure হয়ে যায় Ivanti Connect Secure, Pulse Policy Secure হয়ে যায় Ivanti Policy Secure, এবং বেশিরভাগ মানুষ যাকে Pulse Secure বলতেন সেই ডেস্কটপ অ্যাপটি এখন Ivanti Secure Access Client। এই কাজের জন্য শুধুমাত্র ব্র্যান্ডিং পরিবর্তিত হয়েছে। মেনু পথ, বোতামের নাম এবং নিচের ফর্মটি হল সেগুলো যা Ivanti বর্তমান 25.1 রিলিজের জন্য ডকুমেন্ট করে, এবং সেগুলো পুরনো 22.x এবং 9.1 বিল্ডেও একই, যা এখনও Pulse ব্র্যান্ডিং দেখায়।

Ivanti Connect Secure (Pulse Secure)-এ CSR তৈরি করুন

যদি আপনি ইতিমধ্যে আপনার CSR তৈরি করে থাকেন এবং CA থেকে স্বাক্ষরিত ফাইলগুলি পেয়ে থাকেন, তাহলে এই বিভাগটি এড়িয়ে সরাসরি Ivanti Connect Secure-এ SSL সার্টিফিকেট কীভাবে ইনস্টল করবেন সেখানে যান। অন্যথায়, নিচের চারটি ধাপ অনুসরণ করুন। শুরু করার আগে, আপনার ব্যবহারকারীরা VPN-এ পৌঁছাতে ঠিক কোন হোস্ট নাম টাইপ করে তা নির্ধারণ করুন, কারণ সার্টিফিকেটকে সেই নামটি বহন করতে হবে।

ধাপ ১: Device Certificates পৃষ্ঠা খুলুন

1. আপনার Ivanti Connect Secure অ্যাপ্লায়েন্সের অ্যাডমিন কনসোলে সাইন ইন করুন।
2. System > Configuration > Certificates > Device Certificates নির্বাচন করুন।
3. অ্যাপ্লায়েন্সে ইতিমধ্যে থাকা সার্টিফিকেটগুলি পৃষ্ঠার শীর্ষে Certificate issued to-এর অধীনে তালিকাভুক্ত রয়েছে। সেই তালিকাটি অতিক্রম করে New CSR বোতামে যান, যা Certificate Signing Requests টেবিলের ঠিক উপরে থাকে এবং সেটিতে ক্লিক করুন। অনুরোধ ফর্মটি খুলে যাবে।

ধাপ ২: অনুরোধকারীর তথ্য পূরণ করুন

এখানে আপনি যা কিছু টাইপ করেন তা অনুরোধে যায়, এবং তার বেশিরভাগই ইস্যুকৃত সার্টিফিকেটে যায়। মানগুলি সম্পূর্ণভাবে বানান করুন এবং সংক্ষিপ্ত করবেন না।

• Common Name: সার্টিফিকেটকে সুরক্ষিত করতে হবে এমন সম্পূর্ণরূপে যোগ্য ডোমেন নাম, উদাহরণস্বরূপ vpn.yourcompany.com। এটি অবশ্যই সেই নাম হতে হবে যা ব্যবহারকারীরা প্রকৃতপক্ষে ব্রাউজারে বা Ivanti Secure Access Client-এ টাইপ করে, অ্যাপ্লায়েন্সের অভ্যন্তরীণ হোস্ট নাম নয়। একটি ওয়াইল্ডকার্ড সার্টিফিকেটের জন্য, ডোমেনের সামনে একটি অ্যাস্টেরিস্ক রাখুন, উদাহরণস্বরূপ *.yourcompany.com।
• Organization Name: নিবন্ধিত হিসাবে আপনার কোম্পানির সম্পূর্ণ আইনি নাম, উদাহরণস্বরূপ Your Company LLC। একটি Domain Validated সার্টিফিকেট এটি উপেক্ষা করে, কিন্তু Organization Validated এবং Extended Validation সার্টিফিকেটগুলি কোম্পানির রেকর্ডের বিপরীতে পরীক্ষা করা হয়, তাই একটি ডাকনাম বা ট্রেডিং নাম আপনার অর্ডারকে আটকে দেবে।
• Org. Unit Name: এটি খালি রাখুন। ১ সেপ্টেম্বর ২০২২ থেকে CA/Browser Forum বেসলাইন রিকোয়ারমেন্টস পাবলিক CA-দের ইস্যুকৃত সার্টিফিকেটে Organizational Unit রাখতে নিষেধ করেছে, তাই আপনি এখানে যা টাইপ করবেন তা বাতিল করা হবে।
• Locality: সেই শহর যেখানে আপনার ব্যবসা নিবন্ধিত, সম্পূর্ণরূপে লেখা, উদাহরণস্বরূপ San Jose। এটি আপনার নিবন্ধিত ঠিকানা, অ্যাপ্লায়েন্সটি কোথায় র‍্যাক করা আছে তা নয়।
• State (fully spelled out): সেই নিবন্ধিত ঠিকানার রাজ্য বা প্রদেশ, সম্পূর্ণরূপে বানান করা, উদাহরণস্বরূপ CA নয়, California।
• Country (2 letter code): দুই-অক্ষরের ISO দেশ কোড, উদাহরণস্বরূপ US।
• Email Address: একটি যোগাযোগের ঠিকানা। পাবলিক CA-গুলি এই ফিল্ডের পরিবর্তে আপনার অর্ডারের যোগাযোগের বিবরণের মাধ্যমে যাচাইকরণ চালায়, তাই এটি নির্ধারণ করে না কে অনুমোদন ইমেইল পাবেন।

অ্যাপোস্ট্রফির জন্য সতর্ক থাকুন। Ivanti ডকুমেন্ট করে যে এই মানগুলির যেকোনো একটির মধ্যে একটি অ্যাপোস্ট্রফি ব্যাকস্ল্যাশ দিয়ে এস্কেপ করতে হবে, তাই Children’s Trust হিসাবে নিবন্ধিত একটি কোম্পানি Children’s Trust হিসাবে প্রবেশ করানো হয়। এটি মিস করলে অনুরোধটি তৈরি হতে ব্যর্থ হয় অথবা নামটি বিকৃত হয়ে ফিরে আসে।

ধাপ ৩: কী টাইপ এবং দৈর্ঘ্য নির্বাচন করুন

অনুরোধকারী ফিল্ডগুলির নিচে, ফর্মটি জিজ্ঞাসা করে কীভাবে কী পেয়ার তৈরি করা উচিত। এখানে তিনটি সেটিং দেখা যায়, এবং প্রথম দুটি নির্ধারণ করে আপনার CA অনুরোধটি গ্রহণ করবে কিনা, তাই এগুলো এড়িয়ে যাবেন না।

• Key Type: নির্দিষ্ট কোনো কারণ না থাকলে এটি RSA-তেই রাখুন। ECC নির্বাচন করলে একটি ECC Curve মেনু আসে: Ivanti-র নিজস্ব উদাহরণ একটি P-256 অনুরোধ তৈরি করে, এবং এর Suite B নির্দেশিকা P-256, P-384 এবং P-521 কভার করে। সেই পছন্দের সাথে দুটি শর্ত আসে: Ivanti ECC সার্টিফিকেটগুলিকে শুধুমাত্র ISA সিরিজ গেটওয়ে এবং ভার্চুয়াল অ্যাপ্লায়েন্স প্ল্যাটফর্মে সমর্থিত হিসাবে ডকুমেন্ট করে, এবং একবার একটি ECC সার্টিফিকেট একটি নেটওয়ার্ক পোর্টের সাথে যুক্ত হলে, শুধুমাত্র ECC সাইফার স্যুট সমর্থনকারী ক্লায়েন্টরা সেই পোর্টে সংযোগ করতে পারবে। RSA উভয় প্রশ্ন এড়িয়ে যায়।
• Key Length: ন্যূনতম 2048 বেছে নিন, পাবলিক CA-গুলি স্বাক্ষর করবে এমন সবচেয়ে ছোট RSA কী। মেনুতে এখনও 1024 তালিকাভুক্ত আছে, তাই নিশ্চিত করুন যে আপনি এটি পরিবর্তন করেছেন। আপনার নীতি যদি একটি বড় কী দাবি করে তবে 3072 বা 4096ও ঠিক আছে। বর্তমান Ivanti Connect Secure রিলিজগুলি 8192 বিট পর্যন্ত ডিভাইস সার্টিফিকেট কী সমর্থন ডকুমেন্ট করে, কিন্তু পুরনো রিলিজগুলি 3072-বিট সীমা ডকুমেন্ট করেছিল, তাই একটি বড় কী নিয়ে পরিকল্পনা করার আগে আপনার বিল্ড কী অফার করে তা পরীক্ষা করুন।
• Random Data: এই বাক্সে এলোমেলো অক্ষরের একটি দীর্ঘ ক্রম টাইপ করুন। অ্যাপ্লায়েন্সটি কী তৈরি করার সময় আপনি যা টাইপ করেন তা তার র‍্যান্ডম নম্বর জেনারেটরে মিশিয়ে দেয়। এখানে মনে রাখার কিছু নেই এবং লিখে রাখার কিছু নেই।

জানার মতো একটি ভার্সন নোট। 25.1.0.0 রিলিজ থেকে শুরু করে, Ivanti Connect Secure ডিজিটাল সিগনেচারে আর SHA-1 গ্রহণ করে না, এবং শুধুমাত্র SHA-1 স্বাক্ষরিত ডিভাইস সার্টিফিকেট ধারণকারী একটি অ্যাপ্লায়েন্স তার ইউজার ইন্টারফেস চালু করতে ব্যর্থ হয়। পাবলিক CA-গুলি ২০১৬ সালের শুরুতে SHA-1 সার্টিফিকেট ইস্যু করা বন্ধ করে দিয়েছে, তাই আজ একটি পাবলিক CA থেকে অর্ডার করা সার্টিফিকেট প্রভাবিত হয় না। আপনি যদি একটি অভ্যন্তরীণ বা লিগ্যাসি CA থেকে অনুরোধ করছেন তবে এটি গুরুত্বপূর্ণ: নিশ্চিত করুন যে এটি SHA-256 বা তার চেয়ে ভালো দিয়ে স্বাক্ষর করে।

ধাপ ৪: অনুরোধ তৈরি করুন

প্রতিশ্রুতিবদ্ধ হওয়ার আগে প্রতিটি ফিল্ড পুনরায় পড়ুন, তারপর Create CSR-এ ক্লিক করুন। অ্যাপ্লায়েন্সটি অনুরোধটি তৈরি করে এবং একই মুহূর্তে, এটির সাথে সম্পর্কিত প্রাইভেট কী তৈরি করে। কী-টি ডিভাইসেই থাকে এবং কখনো আপনাকে দেখানো হয় না বা CA-তে পাঠানো হয় না।

পরবর্তী স্ক্রিনটি নিশ্চিত করে যে অনুরোধটি তৈরি হয়েছে। নিচে স্ক্রল করুন এবং আপনি এনকোডেড অনুরোধটি নিজেই দেখতে পাবেন, কপি করতে বা একটি ফাইলে সংরক্ষণ করতে প্রস্তুত।

CSR কপি করুন এবং আপনার CA-এ পাঠান

স্ক্রিনের ব্লকটি এরকম দেখতে:

-----BEGIN CERTIFICATE REQUEST-----
MIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxEzARBgNVBAgMCkNhbGlmb3JuaWEx
... (many lines of base64) ...
-----END CERTIFICATE REQUEST-----

পুরো জিনিসটি নির্বাচন করুন, যার মধ্যে -----BEGIN CERTIFICATE REQUEST----- এবং -----END CERTIFICATE REQUEST----- লাইনও রয়েছে। প্রতিটি মার্কারে উভয় পাশে পাঁচটি হাইফেন থাকে। REQUEST শব্দটি লক্ষ্য করুন: একটি সার্টিফিকেট সাইনিং রিকোয়েস্ট BEGIN CERTIFICATE দ্বারা সীমাবদ্ধ নয়, এবং ছোট মার্কারটি পেস্ট করা একটি সাধারণ কারণ কেন অর্ডার ফর্ম অনুরোধটি প্রত্যাখ্যান করে। ব্লকটি Notepad বা TextEdit-এর মতো একটি প্লেইন টেক্সট এডিটরে পেস্ট করুন, তারপর আপনার অর্ডার ফর্মের CSR বাক্সে পেস্ট করুন। একটি ওয়ার্ড প্রসেসর ব্যবহার করবেন না, যা অক্ষর প্রতিস্থাপন করতে পারে এবং এনকোডিং ভেঙে দিতে পারে।

শেষ হয়ে গেলে Back to Device Certificates-এ ক্লিক করুন। আপনার অনুরোধটি এখন Certificate Signing Requests-এর অধীনে একটি Pending CSR লিঙ্ক হিসাবে প্রদর্শিত হয়, এবং আপনি টেক্সটটি আবার কপি করার জন্য যেকোনো সময় এটি পুনরায় খুলতে পারেন।

অপেক্ষা করার সময় দুটি বিষয় এড়িয়ে চলুন:

• পেন্ডিং CSR মুছবেন না। Ivanti পরিণামটি স্পষ্টভাবে বলে: অনুরোধটি মুছে ফেলা তার সাথে প্রাইভেট কী-ও মুছে ফেলে, এবং আপনি এটি থেকে ইস্যুকৃত সার্টিফিকেট ইনস্টল করতে পারবেন না। যদি তা ঘটে, একমাত্র উপায় হল একটি নতুন CSR এবং একটি পুনরায় ইস্যু।
• একটি সময়ে একটি CA-তে একাধিক CSR পাঠাবেন না। Ivanti সতর্ক করে যে এটি করলে ডুপ্লিকেট চার্জ হতে পারে।

যদি অর্ডার ফর্মটি জিজ্ঞাসা করে সার্টিফিকেটটি কোন ওয়েব সার্ভারের জন্য, তাহলে Apache নির্বাচন করুন, অথবা যদি একাধিক তালিকাভুক্ত থাকে তবে যেকোনো Apache অপশন। যদি এটি সার্টিফিকেট ফরম্যাট জিজ্ঞাসা করে, তবে স্ট্যান্ডার্ড অপশনটি নিন। উভয়ই এই অ্যাপ্লায়েন্সের জন্য Ivanti-র নিজস্ব সুপারিশ।

জমা দেওয়ার আগে CSR যাচাই করুন

Common Name-এ একটি টাইপো মানে হল CA এমন একটি সার্টিফিকেট ইস্যু করে যা আপনার ব্যবহারকারীরা ব্যবহার করতে পারবেন না, এবং একটি পুনরায় ইস্যু আপনার আরেকটি যাচাইকরণ রাউন্ডের খরচ করবে। অনুরোধটি আমাদের CSR Decoder-এ পেস্ট করুন এবং এটি পড়ুন: Common Name হওয়া উচিত সেই সঠিক হোস্ট নাম যা ব্যবহারকারীরা টাইপ করে, এবং প্রতিষ্ঠানের বিবরণ আপনার নিবন্ধনের সাথে মিলতে হবে। কিছু ভুল থাকলে, অ্যাপ্লায়েন্সে একটি নতুন CSR তৈরি করুন। কখনো এনকোডেড টেক্সট সম্পাদনা করবেন না, কারণ অনুরোধটি তার নিজস্ব প্রাইভেট কী দ্বারা স্বাক্ষরিত এবং যেকোনো পরিবর্তন এটি অবৈধ করে দেয়।

যদি আপনার একটি ওয়ার্কস্টেশনে OpenSSL থাকে, তাহলে অনুরোধটি একটি ফাইলে সংরক্ষণ করুন এবং একইভাবে স্থানীয়ভাবে চেক চালান:

openssl req -noout -text -verify -in vpn.csr

এটি সাবজেক্ট, কী সাইজ এবং একটি লাইন প্রিন্ট করে যা নিশ্চিত করে যে অনুরোধটি তার নিজস্ব কী-এর বিপরীতে যাচাই হয়।

যখন বিল্ট-ইন ফর্ম যথেষ্ট নয়

New CSR ফর্মটি একটি একক Common Name চায় এবং অতিরিক্ত হোস্ট নামের জন্য কোনো ফিল্ড নেই, তাই এটি মাল্টি-ডোমেইন (SAN) সার্টিফিকেটের জন্য একটি অনুরোধ তৈরি করতে পারে না। যদি একটি সার্টিফিকেটকে বেশ কয়েকটি স্বতন্ত্র নাম কভার করতে হয়, উদাহরণস্বরূপ vpn.yourcompany.com এবং portal.yourcompany.com, তাহলে অ্যাপ্লায়েন্সের বাইরে অনুরোধটি তৈরি করুন এবং পরে সার্টিফিকেটটি তার কী সহ ইমপোর্ট করুন। একটি ওয়াইল্ডকার্ড সার্টিফিকেটের এটির প্রয়োজন নেই: ওয়াইল্ডকার্ডটি Common Name হিসাবে প্রবেশ করান এবং বিল্ট-ইন ফর্মটি এটি পরিচালনা করে।

আমাদের CSR Generator একটি একক ফর্ম থেকে একটি SAN অনুরোধ তৈরি করে। যদি আপনি বরং যেকোনো মেশিনে OpenSSL ব্যবহার করতে চান, তাহলে এটি অনুরোধ এবং কী একসাথে তৈরি করে:

openssl req -new -newkey rsa:2048 -nodes 
-keyout vpn.key 
-out vpn.csr 
-subj "/CN=vpn.yourcompany.com/O=Your Company LLC/L=San Jose/ST=California/C=US" 
-addext "subjectAltName=DNS:vpn.yourcompany.com,DNS:portal.yourcompany.com"

SAN তালিকার প্রথম এন্ট্রি হিসাবে Common Name পুনরাবৃত্তি করুন, যেমনটি দেখানো হয়েছে। ক্লায়েন্টরা হোস্ট নামটি SAN এন্ট্রির সাথে মিলিয়ে দেখে এবং Common Name উপেক্ষা করে, তাই শুধুমাত্র CN-এ উপস্থিত একটি নাম কভার করা হয় না। vpn.key-টি নিরাপদ কোথাও রাখুন: এভাবে তৈরি একটি অনুরোধের সাথে, অ্যাপ্লায়েন্সটি কী ধারণ করছে না, তাই আপনি ইমপোর্ট করার সময় একটি পেন্ডিং CSR-এর পরিবর্তে Import Certificate & Key-এর মাধ্যমে নিজেই এটি সরবরাহ করেন।

CA আপনার সার্টিফিকেট ইস্যু করার পরে

যাচাইকরণ সম্পূর্ণ হলে, CA আপনাকে স্বাক্ষরিত সার্টিফিকেট এবং তার ইন্টারমিডিয়েট (CA) চেইন ইমেইল করে, সাধারণত একটি ZIP আর্কাইভে। এটি এক্সট্র্যাক্ট করুন, তারপর System > Configuration > Certificates > Device Certificates-এ ফিরে যান, মিলে যাওয়া Pending CSR লিঙ্কে ক্লিক করুন, এবং Import signed certificate-এর অধীনে ফাইলটি ব্রাউজ করুন এবং Import-এ ক্লিক করুন। পেন্ডিং অনুরোধে ইমপোর্ট করা হল সেই প্রক্রিয়া যা সার্টিফিকেটটিকে কী-এর সাথে জোড়া দেয় যা অ্যাপ্লায়েন্সটি ধাপ ৪ থেকে ধরে রেখেছে।

অ্যাপ্লায়েন্সটি DER বা PEM এনকোডিং-এ (.cer, .crt, .der এবং .pem ফাইল) পাশাপাশি PKCS#12 (.pfx এবং .p12) X.509 সার্টিফিকেট নেয়। সার্টিফিকেট ইমপোর্ট করা শেষ ধাপ নয়: ব্যবহারকারীদের জন্য কিছু পরিবর্তন হওয়ার আগে আপনাকে এখনও ইন্টারমিডিয়েট সার্টিফিকেট যোগ করতে হবে এবং নতুন সার্টিফিকেটটি আপনার পোর্টের সাথে বাইন্ড করতে হবে। Ivanti Connect Secure-এ SSL সার্টিফিকেট কীভাবে ইনস্টল করবেন সম্পর্কিত আমাদের গাইডে উভয়ই কভার করা হয়েছে।

যদি আপনি এমন একটি সার্টিফিকেট প্রতিস্থাপন করছেন যা মেয়াদ শেষ হতে চলেছে, তাহলে আপনার একটি পছন্দ আছে। উপরে বর্ণিত হিসাবে একটি নতুন CSR তৈরি করা হল সেই বিকল্প যাকে Ivanti আরও নিরাপদ বলে, কারণ CA একটি নতুন কী-এর বিপরীতে একটি নতুন সার্টিফিকেট ইস্যু করে এবং পুরনো কী-টি অবসরে যায়। বিকল্পটি বিদ্যমান কী রাখে, এবং Ivanti একে কম নিরাপদ বলে: আপনার মূল CSR পুনরায় জমা দিয়ে বা CA-এর কাছে এটি এখনো রেকর্ডে আছে তা নিশ্চিত করে আপনার CA থেকে নবায়ন অর্ডার করুন, তারপর তালিকায় সার্টিফিকেটটি খুলুন, Renew Certificate-এ ক্লিক করুন, নবায়িত ফাইলটি ব্রাউজ করুন এবং Import-এ ক্লিক করুন। এটি একটি নতুন অনুরোধ তৈরি করার ঝামেলা বাঁচায়, একই কী-কে সামনে বহন করার খরচে।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী