Cloud RADIUS vs On-Premise RADIUS: IT টিমের জন্য সিদ্ধান্ত নির্দেশিকা

এই নির্দেশিকাটি IT ডিরেক্টর, নেটওয়ার্ক আর্কিটেক্ট এবং ভেন্যু অপারেশন টিমকে ক্লাউড-হোস্টেড RADIUS পরিষেবা এবং প্রথাগত on-premise RADIUS সার্ভারের মধ্যে বেছে নেওয়ার জন্য একটি সুনির্দিষ্ট ফ্রেমওয়ার্ক প্রদান করে। এটি মাল্টি-সাইট হসপিটালিটি, রিটেইল এবং পাবলিক-সেক্টর ডিপ্লয়মেন্টের জন্য প্রযুক্তিগত আর্কিটেকচার, ল্যাটেন্সি এবং নির্ভরযোগ্যতার ভারসাম্য, মালিকানার মোট খরচ (TCO) এবং কমপ্লায়েন্স সংক্রান্ত বিষয়গুলো কভার করে। শেষে, পাঠকদের কাছে তাদের নির্দিষ্ট অবকাঠামোগত সীমাবদ্ধতা এবং সাংগঠনিক ঝুঁকির ক্ষমতার সাথে সামঞ্জস্যপূর্ণ একটি স্পষ্ট সিদ্ধান্ত মডেল থাকবে।

📖 10 মিনিট পাঠ📝 2,487 শব্দ🔧 2 উদাহরণ❓ 3 প্রশ্ন📚 9 মূল শব্দসমূহ

🎧 এই গাইডটি শুনুন

ট্রান্সক্রিপ্ট দেখুন

PART 1 — INTRODUCTION & CONTEXT

Welcome to the Purple technical briefing. I'm your host, and today we are tackling a critical infrastructure decision for multi-site venues: Cloud RADIUS versus On-Premise RADIUS. If you are an IT director or network architect managing authentication for a hotel group, retail chain, or large public venue, this briefing will give you the actionable framework you need to make the right call.

Let's set the context. RADIUS — Remote Authentication Dial-In User Service — is the gatekeeper for your network. Every time a guest logs into your WiFi, or an employee connects to the corporate SSID via 802.1X, RADIUS is the engine checking their credentials against your directory and authorising access. Traditionally, this meant racking up physical servers in your data centre, installing FreeRADIUS or a proprietary Network Policy Server, and managing the entire stack yourself. Today, Cloud RADIUS services offer a managed, globally distributed alternative. But which is right for your specific deployment? Let's dive into the technical trade-offs.

PART 2 — TECHNICAL DEEP-DIVE

First, let's talk about architecture and latency. In an on-premise deployment, your access points communicate directly with a local RADIUS server. For a single large stadium or a standalone hospital, this offers incredibly low latency. Authentication requests travel over the local LAN — we're talking sub-millisecond round trips. However, if you are a multi-site retail chain, routing all authentication traffic back to a central data centre introduces WAN latency and a single point of failure. If that WAN link drops, your remote sites cannot authenticate users at all.

Cloud RADIUS flips this model entirely. The RADIUS infrastructure is hosted globally across multiple availability zones. When a user connects at a branch location, the request is routed to the nearest cloud edge node. This significantly reduces latency for distributed deployments compared to backhauling to a central on-premise server. Furthermore, cloud providers build in high availability by default. If one node fails, traffic automatically fails over to the next closest node. To achieve that level of redundancy on-premise, you would need to deploy active-active clusters across multiple geographically dispersed data centres — which requires significant engineering effort and capital expenditure.

Now, let's look at maintenance overhead and scalability. On-premise RADIUS requires your team to manage the operating system, apply security patches, manage SSL certificates, and monitor server health around the clock. When you need to scale up for a major event — say, a stadium hosting a 70,000-person concert — you have to provision new hardware or virtual machines in advance. There's no elastic scaling. Cloud RADIUS is delivered as a service. The provider handles the underlying infrastructure, patching, and scaling automatically. You simply manage the policies and integrations via a web dashboard or API. This frees up your senior engineers from routine maintenance, allowing them to focus on strategic initiatives rather than keeping the lights on.

Let's discuss the integration with Identity Providers. If your user directory is already in the cloud — using Azure Active Directory, Google Workspace, or Okta — a Cloud RADIUS solution is the natural fit. It integrates seamlessly via APIs or secure connectors. Conversely, if you have a legacy on-premise Active Directory that cannot be exposed to the internet for security or compliance reasons, an on-premise RADIUS server might be your only viable option. It can query the local AD directly without traversing the firewall, which is particularly relevant in healthcare environments or government facilities where data sovereignty is a hard requirement.

Now let's talk about compliance. PCI DSS requires that cardholder data environments use strong authentication. GDPR requires that personal data — including authentication logs — be handled appropriately. Cloud RADIUS providers typically offer SOC 2 Type II certifications, GDPR data processing agreements, and regional data residency options. On-premise gives you full control over where your data lives, which can be advantageous in highly regulated sectors. However, it also means the compliance burden falls entirely on your team.

Let me take a deeper look at the technical architecture of each approach, because understanding the mechanics will help you make a more informed decision.

In a traditional on-premise RADIUS deployment, you typically have one or more servers running either Microsoft's Network Policy Server — commonly known as NPS — or the open-source FreeRADIUS platform. These servers sit inside your network perimeter and communicate with your access points over UDP, typically on port 1812 for authentication and port 1813 for accounting. The shared secret between the access point and the RADIUS server is a critical security element — it must be long, random, and rotated periodically.

FreeRADIUS is the world's most widely deployed RADIUS server, powering authentication for hundreds of millions of users globally. It is highly configurable, supports a vast range of EAP methods, and can integrate with virtually any backend directory. However, that flexibility comes at a cost: it requires skilled administration. Misconfiguration is a common source of authentication failures, and debugging FreeRADIUS logs requires experience.

Cloud RADIUS platforms abstract all of this complexity. Under the hood, they are running distributed RADIUS infrastructure across multiple cloud regions, but you interact with them through a clean web interface or API. You define your authentication policies — which SSIDs map to which user groups, what EAP methods are permitted, how to handle unknown devices — and the platform handles the rest.

One area where on-premise RADIUS still holds a clear advantage is in environments with very high authentication throughput requirements combined with strict latency budgets. Consider a large transport hub — an airport or railway station — where thousands of devices are simultaneously attempting to authenticate as passengers arrive. In this scenario, a local RADIUS cluster can process authentication requests in under a millisecond, whereas a cloud RADIUS request must traverse the internet and back, adding anywhere from 5 to 50 milliseconds depending on the provider's nearest edge node.

PART 3 — IMPLEMENTATION RECOMMENDATIONS & PITFALLS

Let me walk you through two real-world scenarios to make this concrete.

Scenario one: A European hotel group with 45 properties across six countries. The IT team is centralised, with just three network engineers managing the entire estate. They were running FreeRADIUS on virtual machines at each property — 45 separate instances to patch, monitor, and maintain. When a certificate expired at one property, it caused a complete guest WiFi outage during a major conference. They migrated to a Cloud RADIUS service, centralising policy management and eliminating per-site maintenance. The three-engineer team reclaimed roughly 40 percent of their time previously spent on RADIUS maintenance.

Scenario two: A national sports stadium with 68,000 seats. The IT team has strict requirements around data sovereignty — all authentication logs must remain on UK soil. They deployed a dual on-premise RADIUS cluster in active-active configuration, with a secondary cluster in a co-location facility 20 miles away. This gave them local control, sub-millisecond authentication, and the ability to handle burst traffic without relying on internet connectivity.

When deploying Cloud RADIUS, the most common pitfall is ignoring the local internet connection at the venue. Cloud RADIUS relies entirely on the WAN link. To mitigate this, implement a local survivability strategy — caching credentials on the local network controller for critical staff, or using SD-WAN to ensure high availability of the internet link.

For on-premise deployments, the biggest operational risk is certificate management. If the certificate on your on-premise RADIUS server expires, every single client device will reject the connection, resulting in a complete authentication outage. Cloud RADIUS providers automate certificate rotation, eliminating this risk entirely.

PART 4 — RAPID-FIRE Q&A

Question one: Does Cloud RADIUS support MAC Authentication Bypass for headless devices like printers and IoT sensors? Answer: Yes. Most enterprise Cloud RADIUS platforms support MAB. You can manage the MAC address allow-lists via their dashboard or API, making it far easier to handle IoT devices across hundreds of locations.

Question two: How does the total cost of ownership compare over five years? Answer: On-premise is CapEx heavy — hardware, licenses, power, cooling, and engineering time. Cloud RADIUS is OpEx — typically priced per user or per device annually. For rapidly growing multi-site deployments, the predictable OpEx of cloud is usually more cost-effective. Organisations with more than 10 sites and fewer than 5 network engineers almost always see a positive ROI from cloud within 18 months.

Question three: Can you run a hybrid model? Answer: Absolutely. Cloud RADIUS for guest and IoT SSIDs, on-premise for the corporate SSID authenticating against internal Active Directory. Purple WiFi supports this hybrid model natively.

Question four: What happens during a cloud provider outage? Answer: Reputable Cloud RADIUS providers publish SLAs of 99.99 percent uptime, backed by multi-region redundancy. Always configure your access points with a fallback policy — either open access to a restricted VLAN, or locally cached credentials — to handle the scenario gracefully.

PART 5 — SUMMARY & NEXT STEPS

To summarise the key decision framework. Choose On-Premise RADIUS when you have a single large location with stringent data sovereignty requirements, an air-gapped security environment, or legacy on-premise directories that cannot be cloud-connected. Choose Cloud RADIUS when you have a distributed multi-site footprint, cloud-native identity providers such as Okta or Azure AD, a small central IT team, or when you need rapid deployment across new sites without hardware procurement lead times.

The bottom line: for most multi-site venue operators today, Cloud RADIUS is the operationally superior choice. The latency argument for on-premise has largely been neutralised by globally distributed cloud infrastructure. Before you make your decision, audit three things: your current identity provider and whether it is cloud-native, your WAN resilience at each site, and your team's capacity to manage ongoing maintenance. Those three factors will tell you which path is right for your organisation.

Thank you for joining this Purple technical briefing. For more deep dives into enterprise WiFi architecture, visit our guides library at Purple.ai.

সারসংক্ষেপ

RADIUS অথেন্টিকেশন প্রতিটি এন্টারপ্রাইজ WiFi ডিপ্লয়মেন্টের কেন্দ্রে থাকে। আপনি IEEE 802.1X এর মাধ্যমে কর্মীদের অ্যাক্সেস সুরক্ষিত করছেন বা মাল্টি-সাইট ভেন্যু এস্টেট জুড়ে গেস্ট অনবোর্ডিং পরিচালনা করছেন কিনা, আপনার RADIUS অবকাঠামো কোথায় হোস্ট করবেন সেই সিদ্ধান্তটি আপটাইম, অপারেশনাল ওভারহেড এবং মালিকানার মোট খরচের ওপর সরাসরি প্রভাব ফেলে।

Cloud RADIUS পরিষেবাগুলো বিল্ট-ইন হাই-অ্যাভেইলিবিলিটি, স্বয়ংক্রিয় সার্টিফিকেট রোটেশন এবং ইলাস্টিক স্কেলেবিলিটি সহ ম্যানেজড, বিশ্বজুড়ে বিস্তৃত অথেন্টিকেশন অবকাঠামো প্রদান করে — যা ডিস্ট্রিবিউটেড on-premise ডিপ্লয়মেন্টের প্রতিটি সাইটের রক্ষণাবেক্ষণের বোঝা দূর করে। On-premise RADIUS, তা FreeRADIUS বা Microsoft NPS যাই হোক না কেন, সাব-মিলিসেকেন্ড লোকাল অথেন্টিকেশন, পূর্ণ ডেটা সার্বভৌমত্ব এবং WAN কানেক্টিভিটি থেকে স্বাধীনতা প্রদান করে — যা নির্দিষ্ট উচ্চ-ঘনত্ব বা নিয়ন্ত্রিত পরিবেশে অত্যন্ত গুরুত্বপূর্ণ সুবিধা।

বেশিরভাগ মাল্টি-সাইট অপারেটরদের জন্য — হোটেল গ্রুপ, রিটেইল চেইন, কনফারেন্স সেন্টার — Cloud RADIUS কম পাঁচ বছরের মোট খরচে একটি উন্নত অপারেশনাল ফলাফল প্রদান করে। এর ব্যতিক্রমগুলো সুনির্দিষ্ট: এয়ার-গ্যাপড পরিবেশ, কঠোর ডেটা রেসিডেন্সি ম্যান্ডেট এবং খুব বড় সিঙ্গেল-সাইট ডিপ্লয়মেন্ট যেখানে লোকাল LAN পারফরম্যান্স সবচেয়ে গুরুত্বপূর্ণ। এই নির্দেশিকাটি আপনাকে আপনার ডিপ্লয়মেন্ট কোন ক্যাটাগরিতে পড়ে তা নির্ধারণ করতে এবং সেই অনুযায়ী কাজ করার ফ্রেমওয়ার্ক প্রদান করে।

প্রযুক্তিগত বিশ্লেষণ

RADIUS প্রোটোকল এবং 802.1X অবকাঠামোতে এর ভূমিকা

RADIUS (Remote Authentication Dial-In User Service, RFC 2865) আপনার নেটওয়ার্ক অ্যাক্সেস লেয়ার এবং আপনার আইডেন্টিটি ডিরেক্টরির মধ্যে অথেন্টিকেশন ব্রোকার হিসেবে কাজ করে। একটি 802.1X ডিপ্লয়মেন্টে, অ্যাক্সেস পয়েন্ট বা সুইচ Network Access Server (NAS) হিসেবে কাজ করে, যা UDP (অথেন্টিকেশনের জন্য পোর্ট ১৮১২, অ্যাকাউন্টিংয়ের জন্য পোর্ট ১৮১৩) এর মাধ্যমে RADIUS সার্ভারে EAP অথেন্টিকেশন ফ্রেম পাঠায়। RADIUS সার্ভার একটি ব্যাকএন্ড ডিরেক্টরি — Active Directory, LDAP, বা একটি ক্লাউড আইডেন্টিটি প্রোভাইডারের বিপরীতে আবেদনকারীর শংসাপত্র যাচাই করে এবং একটি Access-Accept বা Access-Reject প্রতিক্রিয়া প্রদান করে, যেখানে ঐচ্ছিকভাবে VLAN অ্যাসাইনমেন্ট অ্যাট্রিবিউট অন্তর্ভুক্ত থাকে।

আপনার RADIUS সার্ভার আপনার সার্ভার রুমে থাকা একটি র‍্যাক-মাউন্টেড অ্যাপ্লায়েন্স হোক বা বিশ্বজুড়ে বিস্তৃত ক্লাউড পরিষেবা হোক, এই আর্কিটেকচারটি মূলত একই। পার্থক্যটি হলো সেই সার্ভারটি কোথায় থাকে, কে এটি রক্ষণাবেক্ষণ করে এবং এটি কীভাবে স্কেল করে।

On-Premise RADIUS: আর্কিটেকচার এবং ভারসাম্য

দুটি প্রধান on-premise RADIUS প্ল্যাটফর্ম হলো FreeRADIUS এবং Microsoft Network Policy Server (NPS)। FreeRADIUS হলো বিশ্বের সবচেয়ে বেশি ব্যবহৃত RADIUS সার্ভার, যা EAP-TLS, PEAP-MSCHAPv2, EAP-TTLS এবং EAP-PWD সহ বিস্তৃত EAP মেথড সমর্থন করে। এটি LDAP, SQL বা REST এর মাধ্যমে প্রায় যেকোনো ব্যাকএন্ড ডিরেক্টরির সাথে ইন্টিগ্রেট করা যায় এবং কোনো লাইসেন্সিং খরচ ছাড়াই পাওয়া যায়। তবে, এর জন্য দক্ষ প্রশাসনের প্রয়োজন: কনফিগারেশন ফাইল-ভিত্তিক, ডিবাগিংয়ের জন্য লগ বিশ্লেষণ দক্ষতা প্রয়োজন এবং ডজন ডজন সাইট জুড়ে স্কেল করার জন্য সতর্ক রেপ্লিকেশন এবং ফেইলওভার পরিকল্পনা প্রয়োজন।

Microsoft NPS নেটিভভাবে Active Directory এর সাথে ইন্টিগ্রেট করে এবং Windows-কেন্দ্রিক পরিবেশের জন্য এটি ডিফল্ট পছন্দ। এটি সরাসরি PEAP-MSCHAPv2 এবং EAP-TLS সমর্থন করে এবং পরিচিত Windows Server ইন্টারফেসের মাধ্যমে পরিচালিত হয়। এর সীমাবদ্ধতা হলো এটি Windows Server লাইসেন্সিংয়ের সাথে ঘনিষ্ঠভাবে যুক্ত এবং FreeRADIUS এর তুলনায় এর EAP মেথড সেট সীমিত।

হাই-অ্যাভেইলিবিলিটি on-premise ডিপ্লয়মেন্টের জন্য, সংস্থাগুলো সাধারণত active-active বা active-passive RADIUS ক্লাস্টার ব্যবহার করে। অ্যাক্সেস পয়েন্টগুলো একটি প্রাইমারি এবং সেকেন্ডারি RADIUS সার্ভার অ্যাড্রেস দিয়ে কনফিগার করা হয়; যদি প্রাইমারি সার্ভার কনফিগার করা সময়ের মধ্যে (সাধারণত ৩–৫ সেকেন্ড) সাড়া দিতে ব্যর্থ হয়, তবে NAS সেকেন্ডারি সার্ভারে ফেইলওভার করে। এই আর্কিটেকচারের জন্য হয় ভৌগোলিকভাবে বিচ্ছিন্ন সার্ভার প্রয়োজন — যা নিজস্ব জটিলতা তৈরি করে — অথবা একই সুবিধায় একজোড়া সার্ভার প্রয়োজন, যা সাইট-লেভেল বিভ্রাটের বিরুদ্ধে সুরক্ষা দেয় না।

ল্যাটেন্সি প্রোফাইল: On-premise RADIUS লোকাল LAN-এ ১ মিলিসেকেন্ডের কম সময়ে অথেন্টিকেশন রাউন্ড-ট্রিপ সম্পন্ন করে। উচ্চ-ঘনত্বের পরিবেশের জন্য যেখানে হাজার হাজার যুগপত অথেন্টিকেশন প্রক্রিয়া করা হয় — উদাহরণস্বরূপ, একটি ইভেন্টের সময় ৬৮,০০০ আসনের স্টেডিয়াম — এই লোকাল প্রসেসিং ক্ষমতা একটি প্রকৃত অপারেশনাল সুবিধা।

Cloud RADIUS: আর্কিটেকচার এবং ভারসাম্য

Cloud RADIUS প্ল্যাটফর্মগুলো একাধিক ভৌগোলিকভাবে বিস্তৃত অ্যাভেইলিবিলিটি জোন জুড়ে RADIUS অবকাঠামো হোস্ট করে। যখন একটি অ্যাক্সেস পয়েন্ট অথেন্টিকেশন রিকোয়েস্ট পাঠায়, তখন এটি নিকটতম ক্লাউড এজ নোডে রাউটেড হয়, যা সাইটের সাথে প্রোভাইডারের পয়েন্ট-অফ-প্রেজেন্সের দূরত্বের ওপর ভিত্তি করে সাধারণত ৫–৫০ মিলিসেকেন্ড রাউন্ড-ট্রিপ ল্যাটেন্সি যোগ করে। বেশিরভাগ অথেন্টিকেশন ব্যবহারের ক্ষেত্রে, এই ল্যাটেন্সি শেষ ব্যবহারকারীদের কাছে অনুভত হয় না।

হাই-অ্যাভেইলিবিলিটি মডেলটি on-premise থেকে সম্পূর্ণ আলাদা। প্রাইমারি/সেকেন্ডারি পেয়ার কনফিগার করার পরিবর্তে, ক্লাউড প্ল্যাটফর্মের লোড ব্যালেন্সার স্বয়ংক্রিয়ভাবে ব্যর্থ নোডগুলো থেকে রিকোয়েস্ট সরিয়ে নেয়। এন্টারপ্রাইজ Cloud RADIUS প্রোভাইডাররা সাধারণত ৯৯.৯৯% আপটাইমের SLA প্রদান করে, যা মাল্টি-রিজিয়ন রিডানডেন্সি দ্বারা সমর্থিত। On-premise-এ সমতুল্য রিডানডেন্সি অর্জন করতে একাধিক ভৌগোলিকভাবে বিস্তৃত ডেটা সেন্টার জুড়ে active-active ক্লাস্টার স্থাপন করতে হয় — যা একটি উল্লেখযোগ্য ইঞ্জিনিয়ারিং এবং মূলধনী বিনিয়োগ।

Cloud RADIUS প্ল্যাটফর্মগুলো ক্লাউড আইডেন্টিটি প্রোভাইডারদের সাথে নেটিভভাবে ইন্টিগ্রেট করে। যদি আপনার সংস্থা Okta, Azure Active Directory, বা Google Workspace ব্যবহার করে, তবে একটি Cloud RADIUS পরিষেবা SAML, LDAP-over-TLS, বা প্রোপ্রাইটারি API কানেক্টরের মাধ্যমে সংযুক্ত হয়। বিশেষ করে Okta ইন্টিগ্রেশনের বিস্তারিত নির্দেশনার জন্য আমাদের গাইড দেখুন: Okta and RADIUS: Extending Your Identity Provider to WiFi Authentication ।

সার্টিফিকেট ম্যানেজমেন্ট হলো Cloud RADIUS-এর অন্যতম শক্তিশালী অপারেশনাল যুক্তি। EAP-TLS এবং PEAP উভয়ই সার্ভার-সাইড ডিজিটাল সার্টিফিকেটের ওপর নির্ভর করে। On-premise-এ, সার্টিফিকেটের মেয়াদ শেষ হওয়া অথেন্টিকেশন বিভ্রাটের একটি প্রধান কারণ — একটি FreeRADIUS সার্ভারে সার্টিফিকেটের মেয়াদ শেষ হলে প্রতিটি সংযুক্ত ক্লায়েন্ট সার্ভারের পরিচয় প্রত্যাখ্যান করে, যার ফলে সার্টিফিকেট রিনিউ এবং ডিপ্লয় না করা পর্যন্ত সম্পূর্ণ WiFi বিভ্রাট ঘটে। Cloud RADIUS প্রোভাইডাররা সার্টিফিকেট রোটেশন সম্পূর্ণ স্বয়ংক্রিয় করে, যা এই ব্যর্থতার ঝুঁকি দূর করে।

WPA3-Enterprise এবং প্রোটোকল সংক্রান্ত বিবেচনা

WiFi Alliance-এর WPA3-Enterprise স্পেসিফিকেশন একটি ১৯২-বিট সিকিউরিটি মোড প্রবর্তন করে যা Suite B ক্রিপ্টোগ্রাফি (ECDHE, ECDSA, AES-256-GCM) সহ EAP-TLS বাধ্যতামূলক করে। এটি স্বাস্থ্যসেবা, অর্থসংস্থান এবং সরকারি ডিপ্লয়মেন্টের জন্য ক্রমবর্ধমানভাবে প্রাসঙ্গিক। বেশিরভাগ আধুনিক Cloud RADIUS প্ল্যাটফর্ম নেটিভভাবে WPA3-Enterprise সমর্থন করে। পুরনো FreeRADIUS সংস্করণ (৩.০.x এর আগের) বা লেগাসি NPS কনফিগারেশন চালিত on-premise ডিপ্লয়মেন্টে WPA3-Enterprise ডিপ্লয় করার আগে আপগ্রেডের প্রয়োজন হতে পারে। যদি WPA3-Enterprise আপনার রোডম্যাপে থাকে, তবে অবকাঠামোর পথ বেছে নেওয়ার আগে আপনার RADIUS প্ল্যাটফর্মের সমর্থন যাচাই করুন।

মাল্টি-সাইট ক্লাউড RADIUS ডিপ্লয়মেন্টের ভিত্তি হিসেবে কাজ করা SD-WAN লেয়ার বিবেচনা করা সংস্থাগুলোর জন্য, আমাদের গাইড The Core SD-WAN Benefits for Modern Businesses WAN স্থিতিস্থাপকতা আর্কিটেকচারের ওপর পরিপূরক তথ্য প্রদান করে।

বাস্তবায়ন নির্দেশিকা

ধাপ ১: আপনার বর্তমান অথেন্টিকেশন ডিপেন্ডেন্সি অডিট করুন

একটি ডিপ্লয়মেন্ট মডেল নির্বাচন করার আগে, আপনার বর্তমান অথেন্টিকেশন অবকাঠামো স্পর্শ করে এমন প্রতিটি SSID, VLAN, EAP মেথড এবং ব্যাকএন্ড ডিরেক্টরি নথিবদ্ধ করুন। হেডলেস ডিভাইস — প্রিন্টার, IoT সেন্সর, পয়েন্ট-অফ-সেল টার্মিনাল — এর জন্য MAC Authentication Bypass (MAB) পলিসিগুলো অন্তর্ভুক্ত করুন, কারণ মাইগ্রেশনের সময় এগুলো প্রায়ই উপেক্ষা করা হয় এবং কাটওভারের পরে উল্লেখযোগ্য সমস্যার সৃষ্টি করতে পারে।

ধাপ ২: আইডেন্টিটি প্রোভাইডারের প্রস্তুতি মূল্যায়ন করুন

যদি আপনার ইউজার ডিরেক্টরি on-premise Active Directory হয় এবং এটি ক্লাউড IdP-তে সিঙ্ক্রোনাইজ করা না যায়, তবে আপনার Cloud RADIUS অপশনগুলো সেই প্ল্যাটফর্মগুলোর মধ্যে সীমাবদ্ধ থাকবে যা on-premise ডিরেক্টরিতে LDAP প্রক্সিং সমর্থন করে। যদি আপনি Azure AD Connect বা অনুরূপ সিঙ্ক্রোনাইজেশন টুল ডিপ্লয় করতে পারেন, তবে সব ধরনের Cloud RADIUS প্ল্যাটফর্ম আপনার জন্য উপলব্ধ হবে। এই একটি সিদ্ধান্ত — ক্লাউড IdP বনাম on-premise ডিরেক্টরি — প্রায়শই ক্লাউড বনাম on-premise RADIUS নির্বাচনের ক্ষেত্রে নির্ধারক ফ্যাক্টর হয়ে দাঁড়ায়।

ধাপ ৩: প্রতিটি সাইটে WAN স্থিতিস্থাপকতা মূল্যায়ন করুন

Cloud RADIUS প্রতিটি সাইটের ইন্টারনেট কানেকশনের মতোই নির্ভরযোগ্য। মাইগ্রেট করার আগে, প্রতিটি লোকেশনে WAN কানেক্টিভিটি অডিট করুন। একক ISP কানেকশন এবং কোনো ফেইলওভার নেই এমন সাইটগুলো একটি বড় ঝুঁকি। Cloud RADIUS-কে আপনার প্রাথমিক অথেন্টিকেশন অবকাঠামো হিসেবে ডিপ্লয় করার আগে ডুয়াল-ISP কানেক্টিভিটি বা SD-WAN ফেইলওভার বাস্তবায়ন করুন। রিটেইল পরিবেশের জন্য যেখানে পয়েন্ট-অফ-সেল সিস্টেমগুলো নেটওয়ার্ক অথেন্টিকেশনের ওপর নির্ভর করে, সেখানে WAN স্থিতিস্থাপকতা অনস্বীকার্য।

ধাপ ৪: সার্টিফিকেট মাইগ্রেশন পরিকল্পনা করুন (On-Premise ডিপ্লয়মেন্ট)

যদি EAP-TLS সহ on-premise RADIUS ডিপ্লয় বা রক্ষণাবেক্ষণ করেন, তবে একটি সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট প্রক্রিয়া তৈরি করুন। সার্টিফিকেটের মেয়াদ শেষ হওয়ার ৯০, ৬০ এবং ৩০ দিন আগে মনিটরিং অ্যালার্ট সেট করুন। সার্টিফিকেট ইস্যু এবং রিনিউয়াল স্বয়ংক্রিয় করতে একটি ইন্টারনাল PKI (যেমন Microsoft ADCS বা HashiCorp Vault) ডিপ্লয় করার কথা বিবেচনা করুন। প্রোডাকশন পরিবেশে সার্টিফিকেট ম্যানেজমেন্টের জন্য কখনোই শুধুমাত্র ক্যালেন্ডার রিমাইন্ডারের ওপর নির্ভর করবেন না।

ধাপ ৫: সারভাইভেবিলিটি পলিসি কনফিগার করুন

Cloud RADIUS ডিপ্লয়মেন্টের জন্য, আপনার ওয়্যারলেস কন্ট্রোলার বা অ্যাক্সেস পয়েন্টগুলোতে একটি লোকাল সারভাইভেবিলিটি পলিসি কনফিগার করুন। অপশনগুলোর মধ্যে রয়েছে: একটি কনফিগারেবল সময়ের জন্য শেষ পরিচিত অথেন্টিকেশন স্টেট ক্যাশ করা, প্রি-অ্যাপ্রুভড ডিভাইস লিস্টের জন্য MAC Authentication Bypass-এ ফিরে যাওয়া, অথবা গুরুত্বপূর্ণ স্টাফ SSID-গুলোকে একটি সেকেন্ডারি অথেন্টিকেশন পাথের মাধ্যমে রাউট করা। হসপিটালিটি অপারেটরদের জন্য, নিশ্চিত করুন যে Purple-এর Guest WiFi এর মতো প্ল্যাটফর্মের মাধ্যমে গেস্ট WiFi অনবোর্ডিংয়ে RADIUS অনুপলব্ধতার সময় একটি নির্দিষ্ট ফলব্যাক আচরণ থাকে।

ধাপ ৬: একটি প্যারালাল ডিপ্লয়মেন্ট চালান

বিদ্যমান অবকাঠামোর সাথে সমান্তরালভাবে নতুন RADIUS প্ল্যাটফর্মটি ডিপ্লয় করুন। নতুন RADIUS সার্ভারের সাথে ম্যাপ করা একটি ডেডিকেটেড টেস্ট SSID তৈরি করুন এবং প্রোডাকশন SSID মাইগ্রেট করার আগে সমস্ত EAP মেথড, VLAN অ্যাসাইনমেন্ট এবং পলিসি এনফোর্সমেন্ট যাচাই করুন। এই প্যারালাল-রান পিরিয়ড সিঙ্গেল-সাইট ডিপ্লয়মেন্টের জন্য ন্যূনতম দুই সপ্তাহ এবং মাল্টি-সাইট মাইগ্রেশনের জন্য চার থেকে ছয় সপ্তাহ হওয়া উচিত।

ধাপ ৭: ধাপে ধাপে সাইট-বাই-সাইট মাইগ্রেশন সম্পন্ন করুন

মাল্টি-সাইট ডিপ্লয়মেন্টের জন্য, একসাথে না করে পর্যায়ক্রমে সাইটগুলো মাইগ্রেট করুন। কম ট্রাফিক এবং বেশি সহনশীল ব্যবহারকারী আছে এমন কম ঝুঁকিপূর্ণ সাইটগুলো দিয়ে শুরু করুন, তারপরে ফ্ল্যাগশিপ স্টোর বা কনফারেন্স-ভারী হোটেল প্রপার্টির মতো উচ্চ-অগ্রাধিকারের সাইটগুলো মাইগ্রেট করুন। কাটওভার শুরু করার আগে প্রতিটি সাইটের জন্য রোলব্যাক পদ্ধতি নথিবদ্ধ করুন।

সেরা অনুশীলনসমূহ

শেয়ারড সিক্রেট হাইজিন: অ্যাক্সেস পয়েন্ট এবং RADIUS সার্ভারের মধ্যে RADIUS শেয়ারড সিক্রেট ন্যূনতম ৩২ অক্ষরের, র‍্যান্ডমলি জেনারেটেড এবং প্রতিটি NAS ডিভাইসের জন্য অনন্য হতে হবে। সমস্ত অ্যাক্সেস পয়েন্টে একই শেয়ারড সিক্রেট ব্যবহার করার অর্থ হলো একটি ডিভাইস আপস করা হলে পুরো অথেন্টিকেশন অবকাঠামো ঝুঁকির মুখে পড়া। প্রতি বছর বা কোনো সন্দেহজনক ঘটনার পর শেয়ারড সিক্রেট পরিবর্তন করুন।

VLAN সেগমেন্টেশন: ব্যবহারকারীর ভূমিকা অনুযায়ী ট্রাফিককে ডাইনামিকভাবে সেগমেন্ট করতে RADIUS-অ্যাসাইনড VLAN (Tunnel-Type, Tunnel-Medium-Type, এবং Tunnel-Private-Group-ID অ্যাট্রিবিউটের মাধ্যমে) ব্যবহার করুন। গেস্ট ডিভাইসগুলো শুধুমাত্র ইন্টারনেট অ্যাক্সেস সহ একটি বিচ্ছিন্ন VLAN-এ থাকা উচিত; কর্পোরেট ডিভাইসগুলো প্রোডাকশন VLAN-এ; এবং IoT ডিভাইসগুলো একটি ডেডিকেটেড সীমাবদ্ধ VLAN-এ। কার্ডহোল্ডার ডেটা হ্যান্ডেল করে এমন যেকোনো নেটওয়ার্কের জন্য এই সেগমেন্টেশন একটি PCI DSS প্রয়োজনীয়তা।

অ্যাকাউন্টিং এবং অডিট লগিং: RADIUS অ্যাকাউন্টিং (পোর্ট ১৮১৩) সক্ষম করুন এবং অ্যাকাউন্টিং লগগুলো ন্যূনতম ১২ মাসের জন্য সংরক্ষণ করুন। এই লগগুলো সেশন শুরু/শেষের সময়, ডেটা ভলিউম এবং অ্যাসাইনড IP অ্যাড্রেস রেকর্ড করে — যা সিকিউরিটি ইনসিডেন্ট ইনভেস্টিগেশন এবং GDPR কমপ্লায়েন্সের জন্য অপরিহার্য। Cloud RADIUS প্ল্যাটফর্মগুলো সাধারণত syslog বা API-এর মাধ্যমে SIEM সিস্টেমে অ্যাকাউন্টিং ডেটা এক্সপোর্ট করে; on-premise ডিপ্লয়মেন্টের ক্ষেত্রে অ্যাকাউন্টিং ডেটা একটি সেন্ট্রালাইজড লগ ম্যানেজমেন্ট প্ল্যাটফর্মে রাউট করা উচিত।

EAP মেথড সিলেকশন: কর্পোরেট এমপ্লয়ি নেটওয়ার্কের জন্য, EAP-TLS (সার্টিফিকেট-ভিত্তিক) সবচেয়ে শক্তিশালী নিরাপত্তা প্রদান করে এবং PCI DSS ও স্বাস্থ্যসেবা পরিবেশের জন্য এটি সুপারিশকৃত। PEAP-MSCHAPv2 কম ঝুঁকিপূর্ণ পরিবেশের জন্য গ্রহণযোগ্য কিন্তু যদি সার্ভার সার্টিফিকেট সঠিকভাবে যাচাই করা না হয় তবে এটি ক্রেডেনশিয়াল হার্ভেস্টিং অ্যাটাকের শিকার হতে পারে। EAP-MD5 সম্পূর্ণ পরিহার করুন — এটি অপ্রচলিত এবং কোনো মিউচুয়াল অথেন্টিকেশন প্রদান করে না।

RadSec (RADIUS over TLS): প্রথাগত RADIUS প্রোটোকল শুধুমাত্র User-Password অ্যাট্রিবিউট এনক্রিপ্ট করে UDP-এর মাধ্যমে ডেটা প্রেরণ করে। RadSec (RFC 6614) RADIUS-কে TLS-এর মধ্যে মুড়িয়ে দেয়, যা NAS এবং RADIUS সার্ভারের মধ্যে পূর্ণ ট্রান্সপোর্ট এনক্রিপশন এবং মিউচুয়াল অথেন্টিকেশন প্রদান করে। বেশিরভাগ আধুনিক Cloud RADIUS প্ল্যাটফর্ম RadSec সমর্থন করে। নতুন ডিপ্লয়মেন্টের জন্য, RadSec ডিফল্ট ট্রান্সপোর্ট চয়েস হওয়া উচিত।

স্বাস্থ্যসেবা এবং পরিবহন সেক্টরের ডিপ্লয়মেন্টের জন্য, যেখানে GDPR এবং সেক্টর-নির্দিষ্ট নিয়মের অধীনে ডেটা হ্যান্ডলিং বাধ্যবাধকতা অত্যন্ত কঠোর, নিশ্চিত করুন যে আপনার RADIUS প্ল্যাটফর্ম একটি Data Processing Agreement প্রদান করে এবং আঞ্চলিক ডেটা রেসিডেন্সি সমর্থন করে।

সমস্যা সমাধান এবং ঝুঁকি প্রশমন

সাধারণ ব্যর্থতার মোড ১: সার্টিফিকেটের মেয়াদ শেষ হওয়া (On-Premise)

লক্ষণ: সমস্ত ক্লায়েন্ট হঠাৎ অথেন্টিকেট করতে ব্যর্থ হয়; RADIUS লগে TLS হ্যান্ডশেক ফেইলিয়ার দেখায়।

মূল কারণ: RADIUS সার্ভারের সার্ভার-সাইড সার্টিফিকেটের মেয়াদ শেষ হয়ে গেছে। ক্লায়েন্টরা সার্ভারের পরিচয় প্রত্যাখ্যান করছে।

প্রতিকার: ৯০/৬০/৩০ দিনে অ্যালার্ট সহ স্বয়ংক্রিয় সার্টিফিকেট মনিটরিং বাস্তবায়ন করুন। স্বয়ংক্রিয় রিনিউয়াল সহ একটি ইন্টারনাল CA ব্যবহার করুন। Cloud RADIUS স্বয়ংক্রিয় সার্টিফিকেট রোটেশনের মাধ্যমে এই ব্যর্থতার মোডটি সম্পূর্ণ দূর করে।

সাধারণ ব্যর্থতার মোড ২: WAN বিভ্রাটের কারণে Cloud RADIUS ব্লক হওয়া

লক্ষণ: একটি নির্দিষ্ট সাইটে অথেন্টিকেশন ব্যর্থ হয়; অন্যান্য সাইটগুলো প্রভাবিত হয় না। লোকাল নেটওয়ার্ক সচল আছে।

মূল কারণ: সাইটের ইন্টারনেট কানেকশন বিচ্ছিন্ন হয়ে গেছে, যা অ্যাক্সেস পয়েন্টগুলোকে Cloud RADIUS পরিষেবাতে পৌঁছাতে বাধা দিচ্ছে।

প্রতিকার: ডুয়াল-ISP কানেক্টিভিটি বা স্বয়ংক্রিয় ফেইলওভার সহ SD-WAN ডিপ্লয় করুন। ক্রেডেনশিয়াল ক্যাশ করতে বা গুরুত্বপূর্ণ ডিভাইসের জন্য MAB-এ ফিরে যেতে অ্যাক্সেস পয়েন্ট সারভাইভেবিলিটি পলিসি কনফিগার করুন।

সাধারণ ব্যর্থতার মোড ৩: শেয়ারড সিক্রেট অমিল

লক্ষণ: অথেন্টিকেশন রিকোয়েস্টগুলো কোনো বার্তা ছাড়াই ড্রপ হয়ে যায়; RADIUS লগে "invalid authenticator" বা "message authenticator" ত্রুটি দেখায়।

মূল কারণ: অ্যাক্সেস পয়েন্টে কনফিগার করা শেয়ারড সিক্রেট RADIUS সার্ভারে কনফিগার করা সিক্রেটের সাথে মিলছে না।

প্রতিকার: সামঞ্জস্য নিশ্চিত করতে একটি সেন্ট্রালাইজড সিক্রেট ম্যানেজমেন্ট সিস্টেম (HashiCorp Vault, AWS Secrets Manager) ব্যবহার করুন। যেকোনো NAS বা RADIUS সার্ভার কনফিগারেশন পরিবর্তনের পর শেয়ারড সিক্রেট যাচাই করুন।

সাধারণ ব্যর্থতার মোড ৪: সাপ্লিক্যান্ট ভুল কনফিগারেশন

লক্ষণ: একই SSID-তে অন্য ডিভাইসগুলো সফল হলেও নির্দিষ্ট কিছু ডিভাইস অথেন্টিকেট করতে ব্যর্থ হয়।

মূল কারণ: ব্যর্থ ডিভাইসের 802.1X সাপ্লিক্যান্ট RADIUS সার্ভারের সার্টিফিকেট বিশ্বাস করার জন্য কনফিগার করা নেই, অথবা একটি ইনকম্প্যাটিবল EAP মেথডের জন্য কনফিগার করা হয়েছে।

প্রতিকার: সামঞ্জস্য নিশ্চিত করতে MDM বা Group Policy-র মাধ্যমে সাপ্লিক্যান্ট কনফিগারেশন ডিপ্লয় করুন। BYOD পরিবেশের জন্য একটি স্পষ্ট অনবোর্ডিং গাইড প্রদান করুন। Purple-এর WiFi Analytics প্ল্যাটফর্ম আপনার ডিভাইস এস্টেট জুড়ে অথেন্টিকেশন ব্যর্থতার প্যাটার্ন শনাক্ত করতে সাহায্য করতে পারে।

সাধারণ ব্যর্থতার মোড ৫: লোডের নিচে RADIUS টাইমআউট

লক্ষণ: পিক পিরিয়ডে (ইভেন্ট শুরু, শিফট পরিবর্তন) অথেন্টিকেশনে দেরি বা ব্যর্থতা।

মূল কারণ: RADIUS সার্ভার একসাথে অনেক অথেন্টিকেশন রিকোয়েস্টের চাপে অভিভূত; রেসপন্স পাওয়ার আগেই NAS টাইমআউট হয়ে যাচ্ছে।

প্রতিকার: On-premise: পরিচিত পিক ইভেন্টের আগে RADIUS সার্ভারের ক্ষমতা বাড়ান; অ্যাক্সেস পয়েন্টে কানেকশন রেট লিমিটিং বাস্তবায়ন করুন। Cloud RADIUS: আপনার সাবস্ক্রিপশন টিয়ার আপনার পিক অথেন্টিকেশন থ্রুপুট সমর্থন করে কিনা তা যাচাই করুন; বেশিরভাগ এন্টারপ্রাইজ ক্লাউড প্ল্যাটফর্ম স্বয়ংক্রিয়ভাবে স্কেল করে।

ROI এবং ব্যবসায়িক প্রভাব

মালিকানার মোট খরচ: পাঁচ বছরের তুলনা

নিচের বিশ্লেষণটি ২০টি সাইট বিশিষ্ট একটি রিটেইল চেইনের ওপর ভিত্তি করে করা হয়েছে, যেখানে প্রতি সাইটে প্রায় ৫০টি অ্যাক্সেস পয়েন্ট এবং পিক টাইমে প্রতি সাইটে ২০০টি যুগপত অথেন্টিকেটেড ডিভাইস রয়েছে।

খরচের উপাদান	On-Premise RADIUS (২০টি সাইট)	Cloud RADIUS (২০টি সাইট)
হার্ডওয়্যার (সার্ভার, HA পেয়ার)	£৮০,০০০–£১২০,০০০	£০
OS এবং সফটওয়্যার লাইসেন্সিং	£১০,০০০–£৩০,০০০	£০
বার্ষিক সাবস্ক্রিপশন	£০	£১৮,০০০–£৪০,০০০/বছর
বিদ্যুৎ এবং কুলিং (৫ বছর)	£১৫,০০০–£২৫,০০০	£০
ইঞ্জিনিয়ারিং সময় (৫ বছর)	£৬০,০০০–£১০০,০০০	£১০,০০০–£২০,০০০
৫ বছরের মোট খরচ	£১৬৫,০০০–£২৭৫,০০০	£১০০,০০০–£২২০,০০০

ইঞ্জিনিয়ারিং সময়ের পার্থক্য সবচেয়ে গুরুত্বপূর্ণ ফ্যাক্টর। ২০টি সাইটে on-premise RADIUS-এর জন্য নিয়মিত প্যাচিং, সার্টিফিকেট ম্যানেজমেন্ট, মনিটরিং এবং ইনসিডেন্ট রেসপন্স প্রয়োজন। Cloud RADIUS এটিকে শুধুমাত্র পলিসি ম্যানেজমেন্ট এবং ইন্টিগ্রেশন রক্ষণাবেক্ষণে নামিয়ে আনে — যা প্রচেষ্টার একটি সামান্য অংশ।

সাফল্যের পরিমাপ

আপনার RADIUS ডিপ্লয়মেন্টের মূল পারফরম্যান্স ইন্ডিকেটরগুলোর মধ্যে থাকা উচিত: অথেন্টিকেশন সাকসেস রেট (টার্গেট: প্রোডাকশন পরিবেশের জন্য >৯৯.৫%), গড় অথেন্টিকেশন ল্যাটেন্সি (টার্গেট: ক্লাউডের জন্য <১০০ms, on-premise LAN-এর জন্য <৫ms), অথেন্টিকেশন বিভ্রাট থেকে পুনরুদ্ধারের গড় সময় (টার্গেট: <১৫ মিনিট), এবং সার্টিফিকেট এক্সপায়ারি ইনসিডেন্ট (টার্গেট: শূন্য, যা সঠিক অটোমেশনের মাধ্যমে অর্জনযোগ্য)।

Purple-এর Guest WiFi প্ল্যাটফর্ম ব্যবহারকারী হসপিটালিটি অপারেটরদের জন্য, অথেন্টিকেশন অবকাঠামোর নির্ভরযোগ্যতা সরাসরি গেস্ট স্যাটিসফ্যাকশন স্কোরের ওপর প্রভাব ফেলে। পিক চেক-ইন পিরিয়ডে ২ সেকেন্ডের অথেন্টিকেশন বিলম্ব গেস্ট ফিডব্যাকে পরিমাপযোগ্য। সঠিকভাবে কনফিগার করা সারভাইভেবিলিটি পলিসি সহ Cloud RADIUS এই মেট্রিকের ক্ষেত্রে অ্যাড-হক on-premise ডিপ্লয়মেন্টের চেয়ে ধারাবাহিকভাবে ভালো পারফর্ম করে।

যেসব সংস্থা ডিস্ট্রিবিউটেড on-premise FreeRADIUS ডিপ্লয়মেন্ট থেকে Cloud RADIUS-এ মাইগ্রেট করেছে তারা ধারাবাহিকভাবে অথেন্টিকেশন সংক্রান্ত IT ইনসিডেন্ট ৩০–৫০% হ্রাস এবং RADIUS রক্ষণাবেক্ষণে বরাদ্দকৃত ইঞ্জিনিয়ারিং আওয়ার উল্লেখযোগ্যভাবে হ্রাসের রিপোর্ট করেছে — যে সময়গুলো এখন কৌশলগত নেটওয়ার্ক উন্নয়ন প্রকল্পে ব্যয় করা হচ্ছে। Purple-এর প্ল্যাটফর্ম, যা উভয় ডিপ্লয়মেন্ট মডেলের সাথেই ইন্টিগ্রেট করে, মাইগ্রেশনের আগের বেসলাইন মেট্রিকের বিপরীতে এই উন্নতিগুলো পরিমাণগতভাবে দেখানোর জন্য WiFi Analytics এবং Sensors ডেটা প্রদান করে।

নেটওয়ার্ক আধুনিকীকরণের বৃহত্তর প্রেক্ষাপট বিবেচনা করা ভেন্যু অপারেটরদের জন্য, Purple-এর Wayfinding ক্ষমতা এবং ফুটফল অ্যানালিটিক্সের সাথে অথেন্টিকেশন ডেটার ইন্টিগ্রেশন একটি সুপরিকল্পিত RADIUS অবকাঠামোর পরবর্তী স্তরের মূল্য উপস্থাপন করে। অথেন্টিকেশন ইভেন্টগুলো মূলত প্রেজেন্স ডেটা — এবং যখন Purple-এর অ্যানালিটিক্স লেয়ারের মাধ্যমে এগুলো প্রকাশ করা হয়, তখন সেগুলো আপনার এস্টেট জুড়ে ভিজিটরদের আচরণ, ডওয়েল টাইম এবং রিটার্ন ভিজিট রেট বোঝার জন্য একটি শক্তিশালী হাতিয়ার হয়ে ওঠে।

মূল শব্দ ও সংজ্ঞা

RADIUS (Remote Authentication Dial-In User Service)

A networking protocol (RFC 2865) that provides centralised authentication, authorisation, and accounting (AAA) for users connecting to a network. RADIUS operates over UDP and acts as the broker between network access equipment (access points, switches) and the identity directory (Active Directory, LDAP, cloud IdP).

IT teams encounter RADIUS whenever deploying 802.1X authentication for WiFi or wired networks. It is the foundational protocol for enterprise network access control and is required for WPA2-Enterprise and WPA3-Enterprise deployments.

802.1X

An IEEE standard for port-based network access control that defines the framework for EAP-based authentication. In a WiFi context, 802.1X requires three components: the supplicant (client device), the authenticator (access point), and the authentication server (RADIUS). The access point blocks all traffic from the client until RADIUS returns an Access-Accept.

802.1X is the authentication mechanism for WPA2-Enterprise and WPA3-Enterprise networks. IT teams use it to ensure that only authorised devices and users can connect to the corporate WiFi, with dynamic VLAN assignment based on user identity.

EAP (Extensible Authentication Protocol)

A flexible authentication framework used within 802.1X that supports multiple authentication methods. Common EAP methods include EAP-TLS (certificate-based, strongest security), PEAP-MSCHAPv2 (password-based with server certificate validation), and EAP-TTLS (tunnelled password authentication).

The choice of EAP method directly impacts security posture and deployment complexity. EAP-TLS requires client certificates on every device, making it more complex to deploy but significantly more resistant to credential theft attacks. IT teams in regulated industries (healthcare, finance) should default to EAP-TLS.

FreeRADIUS

The world's most widely deployed open-source RADIUS server, powering authentication for hundreds of millions of users globally. FreeRADIUS supports an extensive range of EAP methods and backend integrations, is available at no licensing cost, and runs on Linux. It requires skilled administration and file-based configuration.

FreeRADIUS is the default choice for on-premise RADIUS deployments in non-Microsoft environments. IT teams evaluating the cloud versus on-premise decision should assess whether they have the in-house expertise to operate FreeRADIUS effectively, as misconfiguration is a leading cause of authentication incidents.

NPS (Network Policy Server)

Microsoft's built-in RADIUS server, included with Windows Server. NPS integrates natively with Active Directory and supports PEAP-MSCHAPv2 and EAP-TLS. It is managed through the Windows Server GUI and is the default RADIUS choice for Microsoft-centric environments.

IT teams running Windows Server infrastructure typically deploy NPS as their on-premise RADIUS server. NPS is tightly coupled to Windows Server licensing and Active Directory, which simplifies deployment in Microsoft environments but limits flexibility in heterogeneous or cloud-native environments.

MAC Authentication Bypass (MAB)

An authentication method that uses a device's MAC address as its credential, allowing headless devices (printers, IoT sensors, point-of-sale terminals) that cannot run an 802.1X supplicant to authenticate to the network. The MAC address is checked against an allow-list on the RADIUS server.

MAB is essential for any network with IoT devices or legacy equipment. IT teams must maintain accurate MAC address inventories and implement processes for adding new devices. Cloud RADIUS platforms typically provide a centralised dashboard for MAB list management across all sites, which is significantly more efficient than per-site configuration file management on FreeRADIUS.

RadSec (RADIUS over TLS)

An extension of the RADIUS protocol (RFC 6614) that transports RADIUS packets over TLS rather than UDP. RadSec provides full transport encryption and mutual authentication between the NAS and RADIUS server, addressing several well-documented security vulnerabilities in the traditional UDP-based RADIUS protocol.

Traditional RADIUS encrypts only the User-Password attribute; all other attributes, including usernames and session data, are transmitted in plaintext. RadSec is the modern, secure transport mechanism for RADIUS and is supported by most enterprise Cloud RADIUS platforms and modern access point vendors. IT teams deploying new RADIUS infrastructure should evaluate RadSec as the default transport.

VLAN Assignment (RADIUS-assigned VLAN)

A RADIUS capability that dynamically assigns a connecting device to a specific VLAN based on authentication outcome. The RADIUS server returns Tunnel-Type (13=VLAN), Tunnel-Medium-Type (6=802), and Tunnel-Private-Group-ID (VLAN ID) attributes in the Access-Accept response, and the access point places the device in the specified VLAN.

Dynamic VLAN assignment is the mechanism by which IT teams implement network segmentation based on user identity. A single SSID can serve multiple user types — guests, employees, contractors, IoT devices — with each type automatically placed in the appropriate VLAN based on their RADIUS authentication result. This is a PCI DSS requirement for networks that handle cardholder data.

High Availability (HA) RADIUS

A RADIUS deployment architecture that ensures authentication services remain available despite individual server failures. Common HA patterns include active-active clustering (both servers handle traffic simultaneously, with load balancing), active-passive failover (secondary server takes over when primary fails), and geographically distributed redundancy (servers in separate physical locations).

HA is a critical design consideration for any production RADIUS deployment. IT teams must define their Recovery Time Objective (RTO) — how quickly authentication must be restored after a failure — and design their HA architecture accordingly. Cloud RADIUS providers deliver HA as a built-in service; on-premise HA requires explicit architectural design and ongoing maintenance.

কেস স্টাডিজ

A European hotel group operates 45 properties across six countries. Each property has 150–400 guest rooms plus conference facilities. The central IT team consists of three network engineers. They currently run FreeRADIUS on virtual machines at each property — 45 separate instances. A certificate expiry at one property caused a complete guest WiFi outage during a major conference. The CTO wants to eliminate this class of incident and reduce maintenance overhead. What is the recommended architecture?

Recommended Architecture: Cloud RADIUS with Purple Guest WiFi Integration

Select a Cloud RADIUS provider with European data residency (to satisfy GDPR obligations) and native integration with your existing IdP. If the hotel group uses Azure AD for staff identity, select a platform with Azure AD LDAP connector support.
Migrate guest WiFi SSIDs first. Guest authentication is the highest-volume, lowest-risk migration target. Configure Purple's captive portal to handle guest onboarding (data capture, consent, branded splash page) and pass authenticated sessions to the Cloud RADIUS backend. This immediately eliminates per-property FreeRADIUS maintenance for the guest network.
Migrate staff SSIDs property by property, beginning with smaller properties. For each property, run a two-week parallel deployment with a test SSID before cutting over production traffic.
Configure WAN survivability at each property. Implement SD-WAN or dual-ISP connectivity. Configure the wireless controller to cache staff credentials locally for up to 8 hours, ensuring hotel operations staff can authenticate even during brief internet outages.
Decommission FreeRADIUS VMs at each property post-migration. Retain VM snapshots for 30 days as a rollback safety net.
Centralise policy management through the Cloud RADIUS dashboard. Define VLAN assignment policies once and apply them across all 45 properties — a task that previously required per-property configuration file edits.

Expected outcomes: Elimination of certificate expiry incidents (automated rotation), reduction of RADIUS-related engineering time by approximately 40%, and improved authentication latency at properties in countries where the cloud provider has local edge nodes.

বাস্তবায়ন সংক্রান্ত নোট: This scenario is the canonical use case for Cloud RADIUS migration. The key decision drivers are the distributed multi-site footprint (45 properties), the small central IT team (3 engineers), and the specific pain point of certificate management failures. The phased migration approach — guest SSIDs first, then staff — is best practice because it limits blast radius during the transition. The WAN survivability requirement is critical for hospitality: a hotel that cannot authenticate staff to the property management system VLAN during an internet outage faces serious operational consequences. The alternative of maintaining on-premise FreeRADIUS was considered but rejected because it perpetuates the maintenance burden and does not address the certificate management root cause.

A national sports stadium with 68,000 seats hosts 30 major events per year. Peak concurrent WiFi users exceed 25,000 during sold-out matches. The stadium has a dedicated 10Gbps internet connection, but the IT security team has a hard requirement: all authentication logs must remain on UK soil and must not traverse the public internet. The stadium also operates a PCI DSS-compliant point-of-sale network for concessions. What RADIUS architecture is appropriate?

Recommended Architecture: On-Premise RADIUS with Active-Active Cluster and Co-Location DR

Deploy a primary active-active RADIUS cluster within the stadium's on-site data room. Use two physical servers running FreeRADIUS in active-active configuration, load-balanced via the wireless controller's RADIUS server list. Each server should be capable of handling the full authentication load independently — size for 3,000+ authentications per minute at peak event ingress.
Deploy a secondary cluster at a UK co-location facility within 30 miles of the stadium, connected via a dedicated private WAN link (not the public internet). This provides site-level disaster recovery without violating the data sovereignty requirement.
Segment the PCI DSS environment with a dedicated RADIUS policy for the point-of-sale SSID. Assign POS devices to a dedicated VLAN via RADIUS attributes. Ensure RADIUS accounting logs for POS authentication are retained for 12 months minimum, stored on-premise in compliance with PCI DSS Requirement 10.
Implement EAP-TLS for all staff and POS device authentication. Deploy an internal Certificate Authority (Microsoft ADCS or equivalent) to issue and manage client certificates. Configure automated certificate renewal with 90-day advance alerts.
Deploy RadSec (RADIUS over TLS) between access points and the on-premise RADIUS cluster to encrypt authentication traffic on the internal network — particularly important given the high-density public environment.
Pre-provision capacity before major events. Work with the stadium's event operations team to receive confirmed attendance figures 72 hours in advance, and validate RADIUS server capacity against expected peak authentication rates.

Expected outcomes: Sub-millisecond authentication latency during peak event ingress, full data sovereignty compliance, PCI DSS-compliant authentication logging, and 99.99%+ availability via the active-active cluster architecture.

বাস্তবায়ন সংক্রান্ত নোট: This scenario represents the strongest remaining case for on-premise RADIUS. The combination of data sovereignty requirements, PCI DSS compliance, extreme peak load, and a dedicated high-bandwidth internet connection makes on-premise the correct choice. The co-location DR site is essential — a single-site on-premise deployment with no off-site redundancy would not meet enterprise availability standards. The key insight is that the stadium's data sovereignty requirement is a hard constraint that eliminates most Cloud RADIUS providers (which route traffic through global infrastructure). The EAP-TLS recommendation over PEAP is driven by the PCI DSS environment — certificate-based authentication is the stronger posture for cardholder data environments.

দৃশ্যপট বিশ্লেষণ

Q1. A national pharmacy chain operates 320 stores across the UK. Each store has a single internet connection from a major ISP with no failover. The chain uses Microsoft 365 and Azure Active Directory for all staff identity. The IT team of 8 engineers currently manages FreeRADIUS instances on a virtual machine at each store. The CISO has flagged that 23% of stores have RADIUS certificates that will expire within 90 days. The CTO wants to resolve this and reduce ongoing maintenance overhead. What RADIUS architecture do you recommend, and what is the single most critical infrastructure change required before migration?

💡 ইঙ্গিত:Consider the WAN resilience requirement carefully — what happens to in-store operations if the internet connection fails after Cloud RADIUS is deployed?

প্রস্তাবিত পদ্ধতি দেখুন

Recommended architecture: Cloud RADIUS integrated with Azure Active Directory, replacing the 320 FreeRADIUS instances. The Azure AD integration is straightforward given the existing Microsoft 365 deployment, and Cloud RADIUS eliminates the certificate management crisis immediately through automated rotation.

Critical infrastructure change before migration: WAN resilience. Each store currently has a single ISP connection with no failover. Cloud RADIUS is entirely dependent on internet connectivity. Before migrating any store, implement SD-WAN with dual-ISP failover, or at minimum configure the wireless controller to cache staff credentials locally for 8–12 hours. Without this, a store that loses internet connectivity cannot authenticate staff to the corporate network — potentially blocking access to point-of-sale systems, inventory management, and other network-dependent operations.

Migration sequence: (1) Deploy SD-WAN or credential caching at all 320 stores. (2) Migrate the 23% of stores with imminent certificate expiry first — this addresses the immediate risk. (3) Migrate remaining stores in batches of 20–30 per week. (4) Decommission FreeRADIUS VMs post-migration. Expected outcome: zero certificate expiry incidents, 60–70% reduction in RADIUS-related engineering time, centralised policy management across all 320 stores.

Q2. A conference centre operator runs a single flagship venue with a capacity of 5,000 delegates. The venue hosts 200 events per year, ranging from small board meetings to large international conferences. Peak concurrent WiFi users reach 4,500 during major events. The venue has a 1Gbps dedicated internet connection with 99.9% SLA. The IT team consists of two network engineers. There are no specific data sovereignty requirements. The current on-premise FreeRADIUS server is approaching end-of-life. Should they replace it with a new on-premise deployment or migrate to Cloud RADIUS?

💡 ইঙ্গিত:Consider both the peak load profile and the team size. Is 4,500 concurrent users at a single site a strong argument for on-premise, or does the team size and management overhead tip the balance?

প্রস্তাবিত পদ্ধতি দেখুন

Recommended architecture: Cloud RADIUS. Despite the single-site, high-density profile, the combination of a small IT team (2 engineers), no data sovereignty requirements, and a reliable dedicated internet connection makes Cloud RADIUS the stronger choice.

Reasoning: The peak load of 4,500 concurrent users is well within the throughput capacity of enterprise Cloud RADIUS platforms, which are designed for far higher volumes. The 5–20ms additional latency from cloud routing is imperceptible in a conference environment. The 1Gbps dedicated internet connection with a 99.9% SLA provides sufficient WAN reliability for Cloud RADIUS dependence.

The decisive factor is team size. Two engineers managing an on-premise FreeRADIUS replacement — including hardware procurement, OS hardening, certificate management, EAP configuration, and ongoing maintenance — represents a significant ongoing overhead for a small team. Cloud RADIUS reduces this to policy management, freeing both engineers for the venue's broader network infrastructure needs.

Implementation note: Configure credential caching on the wireless controller for the venue operations staff SSID, providing survivability during any brief internet disruption. Ensure the Cloud RADIUS provider has a UK or European edge node to minimise authentication latency for the high-density event scenario.

Q3. A regional NHS trust operates 12 hospital sites across a county. Authentication requirements include: (1) staff access to the clinical network via 802.1X with EAP-TLS, (2) guest/patient WiFi via captive portal, and (3) medical device authentication via MAC Authentication Bypass. The trust's information governance team has mandated that all patient-related data, including authentication logs, must remain within NHS-approved data centres in England. The trust uses on-premise Active Directory with no current plans to migrate to Azure AD. What architecture do you recommend?

💡 ইঙ্গিত:This scenario has multiple hard constraints. Identify each one and determine whether it eliminates cloud RADIUS entirely or only partially.

প্রস্তাবিত পদ্ধতি দেখুন

Recommended architecture: Hybrid — On-Premise RADIUS for clinical staff and medical device authentication; Cloud RADIUS (NHS-compliant) or on-premise for guest/patient WiFi.

Analysis of constraints:

Data sovereignty (NHS-approved English data centres): This eliminates most commercial Cloud RADIUS providers unless they offer NHS-compliant data residency. Some providers offer NHS-specific deployments; these should be evaluated. If no compliant cloud option exists, on-premise is required for all authentication.
On-premise Active Directory with no cloud sync: This is a hard constraint for Cloud RADIUS integration. Without Azure AD Connect or equivalent, Cloud RADIUS cannot query the trust's staff directory. On-premise RADIUS is required for staff authentication.
EAP-TLS for clinical staff: Supported by both on-premise FreeRADIUS and NPS. Requires an internal PKI (Microsoft ADCS recommended for an AD-integrated environment).

Recommended deployment: Deploy on-premise RADIUS (NPS or FreeRADIUS) at each of the 12 hospital sites in active-passive pairs, integrated with the trust's on-premise Active Directory. Use RADIUS-assigned VLANs to segment clinical, administrative, and medical device traffic. For guest/patient WiFi, deploy Purple's captive portal for GDPR-compliant data capture and consent management — this does not require RADIUS for guest authentication and sidesteps the data sovereignty constraint for the guest network entirely. Medical device MAB policies are managed on the on-premise RADIUS server with MAC address lists maintained centrally via a configuration management tool.

Key risk to mitigate: Certificate management for EAP-TLS across 12 sites. Deploy Microsoft ADCS with automated certificate enrolment via Group Policy to ensure all clinical devices receive and renew certificates automatically.

মূল বিষয়সমূহ

✓Cloud RADIUS delivers built-in high availability, automatic certificate rotation, and elastic scalability — making it operationally superior for multi-site deployments with distributed footprints and small central IT teams.
✓On-premise RADIUS remains the correct choice for air-gapped environments, deployments with hard data sovereignty requirements that no cloud provider can satisfy, and very large single-site venues where sub-millisecond local LAN authentication is operationally critical.
✓The 10-Site Rule: organisations with more than 10 sites and fewer than 5 network engineers almost always achieve a positive ROI from Cloud RADIUS within 18 months, driven primarily by the elimination of per-site maintenance overhead.
✓WAN resilience is the non-negotiable prerequisite for Cloud RADIUS deployment. Implement dual-ISP connectivity or SD-WAN failover, and configure credential caching on wireless controllers before migrating any production authentication traffic to the cloud.
✓Certificate expiry is the leading cause of on-premise RADIUS outages and is entirely preventable — either through Cloud RADIUS (automated rotation) or through a properly implemented certificate lifecycle management process with proactive monitoring at 90/60/30-day intervals.
✓The hybrid model — Cloud RADIUS for guest and IoT networks, on-premise RADIUS for corporate employee networks — is a common and pragmatic architecture that applies the right tool to each use case without forcing a binary choice.
✓Purple's platform integrates with both cloud and on-premise RADIUS backends, and authentication event data surfaced through Purple's analytics layer transforms RADIUS accounting records into actionable footfall intelligence for venue operators.