Pound-এর জন্য কীভাবে CSR তৈরি করবেন

এই টিউটোরিয়ালে Pound, লাইটওয়েট রিভার্স প্রক্সি ও লোড ব্যালেন্সারের জন্য কীভাবে একটি CSR (সার্টিফিকেট সাইনিং রিকোয়েস্ট) তৈরি করবেন তা ব্যাখ্যা করা হয়েছে। যেহেতু Pound-এ কোনো বিল্ট-ইন CSR টুল নেই, তাই আপনাকে CSR এবং প্রাইভেট কী তৈরি করতে OpenSSL ব্যবহার করতে হবে, তারপর CSR-টি একটি Certificate Authority-তে জমা দিতে হবে।

দ্রষ্টব্য: মূল Apsis Pound প্রজেক্টটি ২০২২ সালের সেপ্টেম্বরে বন্ধ হয়ে যায়, যখন Apsis GmbH বিলুপ্ত করা হয়েছিল। বর্তমানে সক্রিয়ভাবে রক্ষণাবেক্ষণকৃত উত্তরসূরিটি হলো graygnuorg/pound ফর্ক (বর্তমানে ভার্সন 4.x-এ)। নিচের CSR তৈরির প্রক্রিয়াটি লিগ্যাসি Pound এবং বর্তমান ফর্ক উভয়ের ক্ষেত্রেই কাজ করে, কারণ এটি Pound-এর ওপর নয়, বরং OpenSSL-এর ওপর নির্ভরশীল।

CSR এবং প্রাইভেট কী তৈরি করুন

আপনার CSR তৈরি করার জন্য দুটি অপশন রয়েছে:

• কোনো কমান্ড না চালিয়ে স্বয়ংক্রিয়ভাবে CSR তৈরি করতে CSR Generator ব্যবহার করুন।
• নিচে বর্ণিত পদ্ধতি অনুসরণ করে যে সার্ভারে Pound চলছে সেখানে ম্যানুয়ালি OpenSSL দিয়ে CSR তৈরি করুন।

ধাপ ১: OpenSSL কমান্ডটি চালান

SSH-এর মাধ্যমে আপনার Pound সার্ভারে সংযুক্ত হন এবং নিচের কমান্ডটি চালান। প্রতিটি প্লেসহোল্ডার আপনার প্রকৃত তথ্য দিয়ে প্রতিস্থাপন করুন:

openssl req -new -newkey rsa:2048 -sha256 -nodes 
  -keyout yourdomain.key 
  -out yourdomain.csr 
  -subj "/C=US/ST=California/L=San Jose/O=Your Company LLC/CN=yourdomain.com" 
  -addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

এই একটিমাত্র কমান্ড বর্তমান ডিরেক্টরিতে দুটি ফাইল তৈরি করে:

• yourdomain.key, আপনার প্রাইভেট কী। এই ফাইলটি নিরাপদ রাখুন এবং এটি শেয়ার করবেন না।
• yourdomain.csr, সার্টিফিকেট সাইনিং রিকোয়েস্ট যা আপনি CA-তে জমা দেবেন।

ধাপ ২: ফিল্ডগুলো বুঝুন

-subj স্ট্রিংয়ের প্রতিটি ফিল্ড Certificate Authority-র কাছে আপনার প্রতিষ্ঠানকে চিহ্নিত করে:

• C: দুই অক্ষরের দেশের কোড (যেমন, US)।
• ST: রাজ্য বা প্রদেশ (যেমন, California)।
• L: শহর বা এলাকা (যেমন, San Jose)।
• O: প্রতিষ্ঠানের সম্পূর্ণ আইনি নাম (যেমন, Your Company LLC)।
• CN: আপনি যে ফুলি কোয়ালিফায়েড ডোমেইন নেম সুরক্ষিত করতে চান (যেমন, yourdomain.com)।

-addext অপশনটি Subject Alternative Names (SAN) যোগ করে। আধুনিক ব্রাউজারগুলো CN ফিল্ডের পরিবর্তে SAN তালিকার বিপরীতে সার্টিফিকেট যাচাই করে। যে ডোমেইন ভ্যারিয়েন্টগুলো কভার করা উচিত সেগুলো অন্তর্ভুক্ত করুন, যেমন yourdomain.com এবং www.yourdomain.com উভয়ই।

ধাপ ৩: CSR যাচাই করুন এবং জমা দিন

যেকোনো টেক্সট এডিটর দিয়ে CSR ফাইলটি খুলুন অথবা টার্মিনালে প্রিন্ট করুন:

cat yourdomain.csr

আউটপুটটি -----BEGIN CERTIFICATE REQUEST----- দিয়ে শুরু হয় এবং -----END CERTIFICATE REQUEST----- দিয়ে শেষ হয়। সীমানা রেখাসহ পুরো ব্লকটি কপি করুন এবং আপনার সার্টিফিকেট অর্ডার করার সময় CSR ফিল্ডে পেস্ট করুন। জমা দেওয়ার আগে Decode CSR টুল দিয়েও CSR-এর বিষয়বস্তু যাচাই করতে পারেন।

ধাপ ৪: প্রাইভেট কী সুরক্ষিত করুন

প্রাইভেট কী ফাইলটি (yourdomain.key) CSR-এর সাথে তৈরি হয়। এটি একটি নিরাপদ স্থানে সরিয়ে নিন এবং এর অনুমতি সীমাবদ্ধ করুন:

sudo mkdir -p /etc/ssl/private
sudo mv yourdomain.key /etc/ssl/private/
sudo chmod 600 /etc/ssl/private/yourdomain.key

Pound-এ SSL ইনস্টল করার সময় আপনার এই কী-টির প্রয়োজন হবে। যদি আপনি প্রাইভেট কী হারিয়ে ফেলেন, তাহলে আপনাকে একটি নতুন CSR তৈরি করে সার্টিফিকেট পুনরায় ইস্যু করতে হবে।

এরপর কী হয়: Pound-এ সার্টিফিকেট ইনস্টল করা

CA আপনার রিকোয়েস্ট যাচাই করে সার্টিফিকেট ইস্যু করার পর, আপনি সার্টিফিকেট ফাইলগুলো পাবেন (সাধারণত একটি সার্ভার সার্টিফিকেট এবং ইন্টারমিডিয়েটের একটি CA বান্ডেল)। Pound-এর জন্য এই সব ফাইল, সেইসাথে প্রাইভেট কী, একটি নির্দিষ্ট ক্রমে একটি একক PEM ফাইলে সংযুক্ত করা প্রয়োজন:

1. আপনার সার্ভার সার্টিফিকেট (যেমন, yourdomain.crt)।
2. ইন্টারমিডিয়েট সার্টিফিকেটগুলো (CA বান্ডেল)।
3. আপনার প্রাইভেট কী (যেমন, yourdomain.key)।

সংযুক্তকরণ কমান্ডটি এরকম দেখতে হবে:

sudo sh -c 'cat yourdomain.crt yourdomain.ca-bundle /etc/ssl/private/yourdomain.key > /etc/ssl/pound.pem'
sudo chmod 600 /etc/ssl/pound.pem

কী-এর পাথটি লক্ষ্য করুন: ধাপ ৪-এ এটিকে /etc/ssl/private/-তে সরানো হয়েছিল, তাই এটি আর আপনি যে ডিরেক্টরি থেকে OpenSSL কমান্ড চালিয়েছিলেন সেখানে নেই। সেই ফাইলের ভেতরের কী-টি অবশ্যই পাসফ্রেজ-সুরক্ষিত হওয়া যাবে না, কারণ Pound একটি ডেমন হিসেবে চলে এবং এর জন্য কোনো পাসফ্রেজ চাওয়ার উপায় নেই, যেটি উপরের কমান্ডে -nodes নিশ্চিত করে। সংযুক্ত ফাইলটিতে আপনার প্রাইভেট কী রয়েছে, তাই এটি শুধুমাত্র root দ্বারা পঠনযোগ্য রাখুন। এরপর আপনি Cert ডাইরেক্টিভ ব্যবহার করে Pound-এর ListenHTTPS ব্লককে এই সংযুক্ত ফাইলের দিকে নির্দেশ করবেন। সম্পূর্ণ ইনস্টলেশন ওয়াকথ্রু দেখতে, Pound-এ কীভাবে SSL সার্টিফিকেট ইনস্টল করবেন দেখুন।