চেকপয়েন্ট VPN-এ SSL সার্টিফিকেট কীভাবে ইনস্টল করবেন

এই টিউটোরিয়ালে দেখানো হয়েছে কীভাবে একটি Check Point VPN গেটওয়েতে SSL সার্টিফিকেট ইনস্টল করবেন এবং এর জন্য প্রয়োজনীয় CSR (Certificate Signing Request) কীভাবে তৈরি করবেন।

Check Point অন্যান্য অ্যাপ্লায়েন্স থেকে একটু ভিন্নভাবে কাজ করে: সার্টিফিকেটটি Security Gateway অবজেক্টের সাথে যুক্ত থাকে এবং ম্যানেজমেন্ট ক্লায়েন্টের মাধ্যমে প্রয়োগ করা হয়, এবং সার্ভার সার্টিফিকেট যাচাই হওয়ার আগে ইস্যুকারী CA চেইনকে বিশ্বস্ত হিসেবে ঘোষণা করতে হবে।

Check Point বছরের পর বছর ধরে তাদের ম্যানেজমেন্ট টুলিং পরিবর্তন করেছে। R80, R81.10, R81.20, এবং R82-এ (বর্তমানে প্রোডাকশন সাপোর্টে থাকা ভার্সনগুলো) আপনি SmartConsole থেকে সবকিছু পরিচালনা করেন। পুরনো R77.x এবং তার আগের ডিপ্লয়মেন্টে আপনি স্ট্যান্ডঅ্যালোন SmartDashboard ক্লায়েন্ট ব্যবহার করেন। এই গাইডে প্রথমে বর্তমান SmartConsole ওয়ার্কফ্লো দেখানো হয়েছে এবং পুরনো গেটওয়ের জন্য লিগ্যাসি SmartDashboard ধাপগুলো শেষে রাখা হয়েছে।

ধাপগুলোতে যাওয়ার আগে, দুটি সংক্ষিপ্ত সংজ্ঞা জেনে নেওয়া যাক। একটি রুট সার্টিফিকেট একটি বিশ্বস্ত সার্টিফিকেট অথরিটি দ্বারা ইস্যু করা হয় এবং বিশ্বাসের চেইনের একদম শীর্ষে থাকে; এটি ব্রাউজারের বিশ্বস্ত রুট স্টোরে অন্তর্ভুক্ত থাকে। একটি ইন্টারমিডিয়েট সার্টিফিকেট সেই রুট দ্বারা স্বাক্ষরিত হয় এবং এটিই মূলত আপনার এন্ড-এনটিটি (সার্ভার) সার্টিফিকেট ইস্যু করে। ইন্টারমিডিয়েট একটি অতিরিক্ত নিরাপত্তা স্তর যোগ করে কারণ দৈনন্দিন স্বাক্ষরকরণ কখনো সরাসরি রুট থেকে হয় না। Check Point-এর উভয়ই প্রয়োজন যাতে এটি সম্পূর্ণ চেইন তৈরি ও যাচাই করতে পারে।

ধাপ ১: রুট এবং ইন্টারমিডিয়েট সার্টিফিকেট সংগ্রহ করুন

বেশিরভাগ প্ল্যাটফর্মে, আপনি প্রথমে CSR তৈরি করেন এবং CA আপনার অনুরোধ যাচাই করার পর সব ফাইল পান। Check Point এক্ষেত্রে আরও নমনীয়: আপনি প্রথমে CA চেইনকে বিশ্বস্ত করে নিতে পারেন, যা চূড়ান্ত সার্ভার সার্টিফিকেট ইনস্টল করাকে আরও পরিষ্কার করে তোলে। আপনার SSL বিক্রেতা বা CA-এর কাছে X.509 / PEM (Base64) ফরম্যাটে রুট এবং ইন্টারমিডিয়েট CA সার্টিফিকেট চান। এগুলো পাবলিক সার্টিফিকেট, তাই যেকোনো CA অনুরোধ করলে এগুলো সরবরাহ করতে পারে, এবং এগুলো CA-এর রিপোজিটরিতেও প্রকাশিত থাকে।

একটি PEM সার্টিফিকেট হলো একটি প্লেইন-টেক্সট ব্লক যা —–BEGIN CERTIFICATE—– দিয়ে শুরু হয় এবং —–END CERTIFICATE—– দিয়ে শেষ হয়। প্রতিটি সার্টিফিকেট আলাদা টেক্সট ফাইলে .crt এক্সটেনশন দিয়ে সংরক্ষণ করুন। আপনি Notepad-এর মতো যেকোনো প্লেইন-টেক্সট এডিটরে ফাইল তৈরি করতে পারেন। ওয়ার্ড প্রসেসর ব্যবহার করবেন না, কারণ এটি অদৃশ্য ফরম্যাটিং যোগ করতে পারে যা ফাইলটিকে নষ্ট করে দেয়।

দ্রষ্টব্য: কিছু CA বিস্তৃত সামঞ্জস্যতার জন্য দুটি ইন্টারমিডিয়েট সার্টিফিকেট ব্যবহার করে। প্রতিটি আলাদা .crt ফাইল হিসেবে সংরক্ষণ করুন এবং আলাদাভাবে যোগ করুন।

ধাপ ২: রুট এবং ইন্টারমিডিয়েট সার্টিফিকেটকে বিশ্বস্ত করুন

বর্তমান SmartConsole-ভিত্তিক ভার্সনগুলোতে, পুরনো SmartDashboard-এর মতো চেইনটি আলাদা একটি ডায়ালগের মাধ্যমে ইমপোর্ট করতে হয় না। পরিবর্তে, আপনি পরে ধাপ ৪-এ সম্পূর্ণ চেইনটি সার্ভার সার্টিফিকেটের সাথে একত্রিত করেন, যাতে গেটওয়ে একটি ফাইলেই সার্টিফিকেট ও এর ইস্যুকারীদের পায়। ধাপ ১-এর .crt ফাইলগুলো প্রস্তুত রাখুন। সেই বান্ডেলটি তৈরি করতে আপনার এগুলো প্রয়োজন হবে।

যদি আপনি এই সার্টিফিকেটগুলো অন্য কোথাও ব্যবহার করেন (যেমন সাইট-টু-সাইট VPN-এ তৃতীয় পক্ষের পিয়ার যাচাই করতে), তবে আপনি SmartConsole-এ Security Policies > Access Tools > Trusted CAs-এর অধীনে সেগুলোকে বিশ্বস্ত CA হিসেবে যোগ করতে পারেন, তারপর Install Policy করতে পারেন। এখানে বর্ণিত Mobile Access / VPN পোর্টাল সার্টিফিকেটের জন্য, ধাপ ৪-এ চেইনটি বান্ডেল করাই সমর্থিত পদ্ধতি।

স্ট্যান্ডঅ্যালোন SmartDashboard ক্লায়েন্ট দিয়ে একটি লিগ্যাসি R77.x গেটওয়ে চালাচ্ছেন? এই টিউটোরিয়ালের শেষে লিগ্যাসি SmartDashboard প্রক্রিয়া ব্যবহার করুন, যেখানে Servers > Trusted CAs-এর অধীনে সরাসরি রুট এবং ইন্টারমিডিয়েট CA ইমপোর্ট করা হয়।

ধাপ ৩: Check Point-এ CSR তৈরি করুন

R80 এবং তার পরবর্তী ভার্সনে, Check Point পোর্টাল সার্ভার সার্টিফিকেটের CSR এবং প্রাইভেট কী গেটওয়ের কমান্ড লাইনে তৈরি করে, এর বিল্ট-ইন OpenSSL wrapper ব্যবহার করে। SSH-এর মাধ্যমে গেটওয়েতে সংযুক্ত হন, Expert mode-এ প্রবেশ করুন, এবং নিচেরটি চালান, ফাইলের নামগুলো নিজেরটা দিয়ে প্রতিস্থাপন করে:

cpopenssl req -new -out /home/admin/yourwebsite.csr -keyout /home/admin/yourwebsite.key -config $CPDIR/conf/openssl.cnf

OpenSSL আপনাকে প্রাইভেট কী সুরক্ষিত করার জন্য একটি পাসওয়ার্ড চাইবে, তারপর সার্টিফিকেটের সাবজেক্ট ফিল্ডগুলো চাইবে। এগুলো সতর্কতার সাথে পূরণ করুন। Common Name অবশ্যই সেই সম্পূর্ণ যোগ্য ডোমেইন নাম (FQDN) হতে হবে যা ব্যবহারকারীরা VPN/পোর্টালে পৌঁছাতে টাইপ করেন:

• Common Name (CN), যে FQDN আপনি সুরক্ষিত করতে চান, উদাহরণস্বরূপ vpn.yourwebsite.com। ওয়াইল্ডকার্ড সার্টিফিকেটের জন্য, ডোমেইনের সামনে একটি অ্যাস্টেরিস্ক বসান, উদাহরণস্বরূপ *.yourwebsite.com।
• Organizational Unit (OU), যে ইউনিট সার্টিফিকেট অনুরোধ করছে, উদাহরণস্বরূপ IT বা Web Administration।
• Organization (O), আপনার কোম্পানির সম্পূর্ণ আইনি নাম, উদাহরণস্বরূপ GPI Holding LLC।
• Locality (L), যে শহরে আপনার কোম্পানি নিবন্ধিত তার সম্পূর্ণ নাম, উদাহরণস্বরূপ San Jose।
• State (ST), সম্পূর্ণ রাজ্য বা অঞ্চলের নাম, উদাহরণস্বরূপ California।
• Country (C), দুই অক্ষরের দেশের কোড, উদাহরণস্বরূপ US। আপনি অনলাইনে দেশের কোডের সম্পূর্ণ তালিকা খুঁজে পেতে পারেন।

ফলস্বরূপ CSR ফাইলে আপনার তথ্য একটি একক সাবজেক্ট (DN) স্ট্রিং-এ সংরক্ষিত থাকে যা দেখতে এরকম হয়:

CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country

একটি টেক্সট এডিটরে .csr ফাইলটি খুলুন এবং এর সম্পূর্ণ বিষয়বস্তু কপি করুন, —–BEGIN CERTIFICATE REQUEST—– এবং —–END CERTIFICATE REQUEST—– লাইনসহ। আপনি আপনার SSL অর্ডারের সময় এই CSR জমা দেবেন। মিলিত .key প্রাইভেট-কী ফাইলটি গেটওয়েতে নিরাপদে রাখুন। আপনি এটি হারাতে পারবেন না, এবং কখনো এটি শেয়ার করবেন না।

টিপ: কমান্ড লাইন স্পর্শ করতে না চাইলে, আপনি আমাদের বিনামূল্যের CSR Generator দিয়ে CSR তৈরি করতে পারেন এবং এটি তৈরি করা প্রাইভেট কী রাখতে পারেন। যেভাবেই করুন না কেন, CSR-ই আপনার CA-এর প্রয়োজনীয় জিনিস যাতে সার্টিফিকেট ইস্যু করতে পারে।

ধাপ ৪: Check Point VPN-এ SSL সার্টিফিকেট ইনস্টল করুন

যাচাইকরণ সম্পন্ন হলে, আপনার CA আপনাকে ইস্যু করা সার্ভার সার্টিফিকেট ইমেইল করে, সাধারণত চেইনসহ একটি ZIP আর্কাইভে। SmartConsole-এর মাধ্যমে এটি ইমপোর্ট করতে আপনার একটি .p12 (PKCS#12) ফাইলে সবকিছু প্রয়োজন: সার্ভার সার্টিফিকেট, এর প্রাইভেট কী, এবং ইন্টারমিডিয়েট ও রুট সার্টিফিকেট। যদি আপনার কাছে অংশগুলো আলাদা ফাইল হিসেবে থাকে, তবে Expert mode-এ নিচেরটি চালিয়ে গেটওয়ের OpenSSL দিয়ে সেগুলো একত্রিত করুন:

cpopenssl pkcs12 -export -out /home/admin/yourwebsite.p12 -inkey /home/admin/yourwebsite.key -in /home/admin/yourwebsite.crt -certfile /home/admin/chain.crt

এখানে yourwebsite.crt হলো আপনার সার্ভার সার্টিফিকেট, yourwebsite.key হলো ধাপ ৩ থেকে প্রাপ্ত প্রাইভেট কী, এবং chain.crt হলো ইন্টারমিডিয়েট ও রুট সার্টিফিকেট একটি ফাইলে সংযুক্ত (প্রথমে ইন্টারমিডিয়েট, তারপর রুট)। OpenSSL আপনাকে একটি এক্সপোর্ট পাসওয়ার্ড সেট করতে বলবে; আপনি ইমপোর্টের সময় এটি আবার টাইপ করবেন। .p12 প্রস্তুত হলে, এটি ইনস্টল করুন:

1. SmartConsole খুলুন এবং বাম নেভিগেশনে Gateways & Servers-এ যান।
2. আপনার Security Gateway (বা ক্লাস্টার) অবজেক্টে ডাবল-ক্লিক করে এটি সম্পাদনা করুন।
3. বাম প্যানেলে, আপনার পোর্টাল পরিবেশনকারী ব্লেডটি খুলুন: Mobile Access VPN পোর্টালের জন্য Mobile Access > Portal Settings, অথবা Gaia ম্যানেজমেন্ট পোর্টালের জন্য Platform Portal।
4. Certificate বিভাগে, Import or Replace-এ ক্লিক করুন।
5. আপনার .p12 ফাইলে ব্রাউজ করুন, আপনার সেট করা এক্সপোর্ট পাসওয়ার্ড লিখুন এবং নিশ্চিত করুন। SmartConsole ফাইল থেকে সার্টিফিকেট, কী এবং চেইন পড়ে নেয়।
6. গেটওয়ে অবজেক্টটি বন্ধ করতে OK-এ ক্লিক করুন।
7. Install Policy-এ ক্লিক করুন এবং নতুন সার্টিফিকেট কার্যকর করতে পলিসিটি গেটওয়েতে পুশ করুন।

অভিনন্দন, আপনি আপনার Check Point VPN-এ একটি SSL সার্টিফিকেট ইনস্টল করেছেন। পলিসি ইনস্টল হওয়ার পর, গেটওয়ে পোর্টাল URL-এ নতুন সার্টিফিকেটটি উপস্থাপন করে।

লিগ্যাসি পদ্ধতি: SmartDashboard (R77.x এবং তার পুরনো ভার্সন)

যদি আপনি এখনও স্ট্যান্ডঅ্যালোন SmartDashboard ক্লায়েন্ট দ্বারা পরিচালিত পুরনো গেটওয়ে চালান, তবে সার্টিফিকেটটি সম্পূর্ণভাবে GUI-তে তৈরি ও ইনস্টল করা হয়। প্রথমে, CA চেইনটি ইমপোর্ট করুন:

1. SmartDashboard-এ লগইন করুন। Servers and OPSEC Applications ট্যাবে, Servers > Trusted CAs-এ যান, ডান-ক্লিক করুন এবং New CA > Trusted বেছে নিন।
2. Certificate Authority Properties উইন্ডোর General ট্যাবে, একটি Name এবং ঐচ্ছিক Comment লিখুন, তারপর এগিয়ে যান।
3. OPSEC PKI ট্যাবে, Retrieve CRL from-এর অধীনে, শুধুমাত্র HTTP Server(s) চেক করা রাখুন।
4. Certificate-এর অধীনে, Get the CA certificate from a file-এর পাশে, Get-এ ক্লিক করুন, আপনার root.crt ফাইলে ব্রাউজ করুন, এবং OK-এ ক্লিক করুন।
5. আপনার intermediate.crt ফাইলের জন্য আগের ধাপগুলো পুনরাবৃত্তি করুন। তারপর Servers > Trusted CAs খুলুন এবং নিশ্চিত করুন যে উভয় CA তালিকাভুক্ত আছে।

এরপর, CSR তৈরি করুন এবং সার্টিফিকেট ইনস্টল করুন:

1. Network Objects প্রসারিত করুন, আপনার Check Point gateway/cluster-এ ডান-ক্লিক করুন, এবং Edit বেছে নিন।
2. Gateway Cluster Properties-এ, বাম প্যানেলে VPN নির্বাচন করুন এবং Add-এ ক্লিক করুন।
3. একটি Certificate Nickname লিখুন, এবং CA to enroll from ড্রপ-ডাউন থেকে আপনার উপরে ইমপোর্ট করা ইন্টারমিডিয়েট CA নির্বাচন করুন। Generate-এ ক্লিক করুন, তারপর Yes।
4. Generate Certificate Request উইন্ডোর DN বক্সে, আপনার বিবরণ একটি কমা-বিভাজিত স্ট্রিং হিসেবে টাইপ করুন, উদাহরণস্বরূপ CN=vpn.yourwebsite.com, OU=IT, O=Your Company Name, L=City, ST=State, C=Country, এবং OK-এ ক্লিক করুন।
5. VPN-এর অধীনে ফিরে গিয়ে, CSR দেখতে View-এ ক্লিক করুন, তারপর এটি এক্সপোর্ট করতে Save to File-এ ক্লিক করুন। সেই CSR আপনার CA-তে জমা দিন।
6. স্বাক্ষরিত সার্টিফিকেট এলে, গেটওয়েটি আবার সম্পাদনা করুন, VPN নির্বাচন করুন, একই নিকনেম বেছে নিন, এবং Complete-এ ক্লিক করুন। আপনার সার্ভার সার্টিফিকেটে ব্রাউজ করুন, Open-এ ক্লিক করুন, বিবরণ পর্যালোচনা করুন এবং OK-এ ক্লিক করুন। তারপর পলিসি ইনস্টল করুন।

আপনি যে পদ্ধতিই ব্যবহার করুন না কেন, আগে থেকে পরিকল্পনা করুন: Check Point-এর পুরনো SmartDashboard ক্লায়েন্ট বর্তমান ভার্সনে উপলব্ধ নয়, তাই যদি আপনি এখনও R77.x-এ থাকেন, তবে একটি সমর্থিত রিলিজে আপগ্রেড করাকে আপনার সার্টিফিকেট লাইফসাইকেলের অংশ হিসেবে বিবেচনা করুন।

আপনার SSL ইনস্টলেশন পরীক্ষা করুন

একটি পরিষ্কার ইনস্টলের পরও, অনুপস্থিত ইন্টারমিডিয়েট বা দুর্বল প্রোটোকলের মতো কনফিগারেশন ফাঁকফোকর থেকে যেতে পারে। গেটওয়ে সম্পূর্ণ চেইন এবং একটি আধুনিক TLS কনফিগারেশন পরিবেশন করছে কিনা তা নিশ্চিত করতে দ্রুত একটি ডায়াগনস্টিক চালান। সবচেয়ে দ্রুত পরীক্ষা হলো একটি ব্রাউজারে VPN/পোর্টাল URL খুলে প্যাডলক পরীক্ষা করা, তবে একটি নিবেদিত স্ক্যানার আরও বিস্তারিত।

আপনার সার্টিফিকেট, চেইন এবং সমর্থিত প্রোটোকলের একটি তাৎক্ষণিক রিপোর্ট তৈরি করতে আমাদের বিনামূল্যের SSL checker ব্যবহার করুন। যদি আপনার নিজের মেশিনে OpenSSL থাকে, আপনি সরাসরি গেটওয়ে থেকে জিজ্ঞাসাও করতে পারেন। আপনার পোর্টাল হোস্ট এবং পোর্ট দিয়ে প্রতিস্থাপন করুন (Mobile Access পোর্টাল সাধারণত 443-এ শোনে):

echo | openssl s_client -connect vpn.yourwebsite.com:443 -servername vpn.yourwebsite.com 2>/dev/null | openssl x509 -noout -issuer -subject -dates

সার্টিফিকেটটি সক্রিয় থাকলে, এটি এর ইস্যুকারী, সাবজেক্ট এবং বৈধতার তারিখ প্রিন্ট করবে। একটি সম্পূর্ণ চেইন এবং মিলিত FQDN মানে আপনার ইনস্টলেশন সঠিক আছে।

Check Point VPN-এর জন্য সেরা SSL সার্টিফিকেট কোথায় কিনবেন?

একটি SSL সার্টিফিকেট কেনার সময়, তিনটি বিষয় বিবেচনা করুন: যাচাইকরণের ধরন, মূল্য এবং সহায়তা। SSL Dragon-এ আমরা প্রতিযোগিতামূলক দামে সম্পূর্ণ পরিসরের SSL সার্টিফিকেট অফার করি, যা পাঁচ-তারকা গ্রাহক সেবা দ্বারা সমর্থিত। আমাদের সার্টিফিকেটগুলো স্বনামধন্য সার্টিফিকেট অথরিটিদের দ্বারা স্বাক্ষরিত, তাই এগুলো Check Point সহ অধিকাংশ VPN অ্যাপ্লায়েন্সের সাথে সামঞ্জস্যপূর্ণ। আপনার বাজেট-বান্ধব Domain Validation সার্টিফিকেট বা প্রিমিয়াম Extended Validation পণ্য যাই প্রয়োজন হোক না কেন, আমরা আপনাকে সহায়তা করতে প্রস্তুত।

SSL Dragon-এর দাম বাজারের সবচেয়ে প্রতিযোগিতামূলক দামগুলোর মধ্যে একটি, এবং আমাদের নিবেদিত সহায়তা টিম বিদ্যমান গ্রাহকদের দ্বারা উচ্চ রেটিং প্রাপ্ত।

কোন সার্টিফিকেট বেছে নেবেন তা নিশ্চিত নন? আপনার Check Point ডিপ্লয়মেন্টের জন্য আদর্শ পণ্য খুঁজে পেতে আমাদের SSL Wizard টুল ব্যবহার করুন।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী