কর্পোরেট নেটওয়ার্কের জন্য 802.1X Authentication ব্যাখ্যা

কর্পোরেট নেটওয়ার্কের জন্য 802.1X Authentication এর বিস্তারিত ব্যাখ্যা। একটি Purple WiFi ইন্টেলিজেন্স ব্রিফিং। স্বাগতম। আপনি যদি একটি বহু-সাইট বিশিষ্ট সংস্থা - যেমন একটি হোটেল গ্রুপ, একটি খুচরা বিক্রেতা চেইন, একটি স্টেডিয়াম, বা একটি পাবলিক-সেক্টর এস্টেটের নেটওয়ার্ক সিকিউরিটির দায়িত্বে থাকেন - তবে এই ব্রিফিংটি আপনার জন্য। পরবর্তী দশ মিনিটে, আমরা 802.1X authentication সম্পর্কে আপনার যা কিছু জানা প্রয়োজন তা কভার করতে যাচ্ছি: এটি কী, এটি কীভাবে অভ্যন্তরীণভাবে কাজ করে, কীভাবে এটি সঠিকভাবে মোতায়েন করতে হয়, এবং যে সমস্ত ভুলত্রুটিতে বেশিরভাগ সংস্থা পড়ে যায়। চলুন শুরু করা যাক। প্রথম বিভাগ: প্রসঙ্গ এবং কেন এটি এই মুহূর্তে অত্যন্ত গুরুত্বপূর্ণ। কর্পোরেট WiFi এর জন্য থ্রেটের ধরণ নাটকীয়ভাবে পরিবর্তিত হয়েছে। প্রি-শেয়ার্ড কি নেটওয়ার্ক - যে ধরণের নেটওয়ার্কে সবাই WiFi পাসওয়ার্ড জানে - নিয়ন্ত্রিত পরিবেশে কর্মীদের নেটওয়ার্কের জন্য আর গ্রহণযোগ্য নয়। PCI-DSS সংস্করণ ৪.০ এর অধীনে, যা ২০২৪ সালে সম্পূর্ণ কার্যকর হয়েছে, পেমেন্ট কার্ডের ডেটা পরিচালনাকারী সংস্থাগুলিকে অবশ্যই কার্ডহোল্ডার ডেটা পরিবেশের সংস্পর্শে আসা যেকোনো নেটওয়ার্কে শক্তিশালী অ্যাক্সেস কন্ট্রোল প্রয়োগ করতে হবে। GDPR ব্যক্তিগত ডেটা বহনকারী যেকোনো নেটওয়ার্কের উপর অনুরূপ বাধ্যবাধকতা আরোপ করে। এবং হাইব্রিড কাজের অর্থ হল কর্মীরা ডজন ডজন অবস্থান জুড়ে পরিচালিত এবং অনিয়ন্ত্রিত ডিভাইস থেকে সংযুক্ত হচ্ছেন, ফলে পুরানো পেরিমিটার মডেলটি এখন আর কাজ করে না। 802.1X হল IEEE স্ট্যান্ডার্ড যা এর সমাধান করে। এটি পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল প্রদান করে - যার অর্থ একটি ডিভাইস একটি কেন্দ্রীয় আইডেন্টিটি স্টোরের বিপরীতে অথেনটিকেট না হওয়া পর্যন্ত নেটওয়ার্কে একেবারেই যুক্ত হতে পারে না। এটি শুধু একটি শেয়ার করা পাসওয়ার্ড নয়। এটি একটি প্রকৃত যাচাইকৃত আইডেন্টিটি। এটাই হল মৌলিক পরিবর্তন। দ্বিতীয় বিভাগ: প্রযুক্তিগত বিশদ আলোচনা। চলুন আর্কিটেকচারটি দেখে নেওয়া যাক। 802.1X তিনটি ভূমিকা সংজ্ঞায়িত করে। সাপ্লিক্যান্ট - এটি হল এন্ড ডিভাইস, যেমন ল্যাপটপ বা স্মার্টফোন যা সংযোগ করার চেষ্টা করছে। অথেনটিকেটর - এটি হল ওয়্যারলেস অ্যাক্সেস পয়েন্ট বা নেটওয়ার্ক সুইচ। এবং অথেনটিকেশন সার্ভার - যা প্রায় প্রতিটি এন্টারপ্রাইজ ডিপ্লয়মেন্টে একটি RADIUS সার্ভার। হ্যান্ডশেকটি যেভাবে কাজ করে তা এখানে দেওয়া হল। যখন একটি ডিভাইস একটি সুরক্ষিত SSID এর সাথে সংযোগ করার চেষ্টা করে, তখন অ্যাক্সেস পয়েন্টটি সেই ডিভাইসটিকে একটি আনঅথেনটিকেটেড অবস্থায় রাখে। এটি নেটওয়ার্কে পৌঁছাতে পারে না। AP ডিভাইসটিতে একটি EAP Request Identity ফ্রেম পাঠায়। EAP এর অর্থ হল Extensible Authentication Protocol - এটি এমন একটি ফ্রেমওয়ার্ক যা প্রকৃত ক্রেডেনশিয়াল বহন করে। ডিভাইসটি তার আইডেন্টিটি দিয়ে সাড়া দেয়। AP এটিকে RADIUS Access-Request প্যাকেটে এনক্যাপসুলেট করে RADIUS সার্ভারে ফরোয়ার্ড করে। RADIUS সার্ভার তখন ডিভাইসটিকে চ্যালেঞ্জ করে - নির্দিষ্ট চ্যালেঞ্জটি আপনি কোন EAP পদ্ধতি ব্যবহার করছেন তার উপর নির্ভর করে। ডিভাইসটি তার ক্রেডেনশিয়াল দিয়ে সাড়া দেয়। RADIUS সার্ভার আপনার আইডেন্টিটি স্টোর - যেমন Active Directory, LDAP, বা একটি ক্লাউড IdP - এর বিপরীতে সেই ক্রেডেনশিয়াল যাচাই করে এবং একটি Access-Accept অথবা একটি Access-Reject ফেরত পাঠায়। যদি এটি Accept হয়, তবে AP পোর্টটি খুলে দেয় এবং ডিভাইসটি নেটওয়ার্ক অ্যাক্সেস পায়। যদি এটি Reject হয়, তবে ডিভাইসটি ব্লকড থাকে। এই সম্পূর্ণ আদান-প্রদান এক সেকেন্ডেরও কম সময় নেয়। এখন, EAP পদ্ধতি নির্বাচন হলো এমন একটি বিষয় যেখানে বেশিরভাগ আর্কিটেক্টরা তাদের সময় ব্যয় করেন। আপনার কাছে চারটি প্রধান বিকল্প রয়েছে। EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। এর জন্য প্রতিটি ডিভাইসে একটি ক্লায়েন্ট সার্টিফিকেট প্রয়োজন, যার অর্থ আপনার একটি PKI ইনফ্রাস্ট্রাকচার প্রয়োজন, তবে এটি পারস্পরিক প্রমাণীকরণ সরবরাহ করে - সার্ভার ক্লায়েন্টের কাছে নিজের পরিচয় প্রমাণ করে এবং ক্লায়েন্ট সার্ভারের কাছে নিজের পরিচয় প্রমাণ করে। কোনো ক্রেডেনশিয়াল ফিশিং করা সম্ভব নয় কারণ এতে কোনো পাসওয়ার্ড জড়িত থাকে না। সম্পূর্ণভাবে পরিচালনা করা ডিভাইস ফ্লিটের জন্য এটি সঠিক পছন্দ। PEAP - সুরক্ষিত EAP - বাস্তবে সবচেয়ে বেশি ব্যবহৃত পদ্ধতি। এটি শুধুমাত্র একটি সার্ভার সার্টিফিকেট ব্যবহার করে একটি TLS টানেল তৈরি করে, তারপর সেই টানেলের ভেতরে ইউজারনেম এবং পাসওয়ার্ড ক্রেডেনশিয়াল পাস করে। EAP-TLS এর চেয়ে এটি স্থাপন করা উল্লেখযোগ্যভাবে সহজ কারণ আপনার ক্লায়েন্ট সার্টিফিকেটের প্রয়োজন নেই, এবং প্রতিটি প্রধান অপারেটিং সিস্টেমে এটি নেটিভভাবে সমর্থিত। এর অসুবিধা হলো এটি ব্যবহারকারীদের সার্ভার সার্টিফিকেট যাচাই করার ওপর নির্ভর করে, যা বাস্তবে তারা প্রায়শই করে না। সঠিক PEAP স্থাপনের জন্য সাপ্লিক্যান্ট কনফিগারেশন লক ডাউন করা প্রয়োজন যাতে এটি শুধুমাত্র আপনার নির্দিষ্ট RADIUS সার্ভার সার্টিফিকেটকে বিশ্বাস করে। EAP-TTLS হলো PEAP এর মতো কিন্তু অভ্যন্তরীণ প্রমাণীকরণ পদ্ধতিতে আরও নমনীয়। এটি বিশেষ করে লিগ্যাসি ডিভাইস বা নন-Windows এন্ডপয়েন্টযুক্ত পরিবেশের জন্য দরকারী। EAP-FAST তৈরি করেছিল Cisco একটি দ্রুততর বিকল্প হিসেবে যা সার্টিফিকেটের পরিবর্তে প্রটেক্টেড অ্যাক্সেস ক্রেডেনশিয়াল ব্যবহার করে, তবে নতুন বিল্ডগুলিতে এটি কম ব্যবহার করা হয়। RADIUS সার্ভারটি নিজেই মনোযোগ পাওয়ার যোগ্য। দুটি প্রধান ওপেন-সোর্স বিকল্প হলো FreeRADIUS, যা বিশ্বব্যাপী এন্টারপ্রাইজ স্থাপনার একটি বড় অংশ পরিচালনা করে, এবং Microsoft NPS - নেটওয়ার্ক পলিসি সার্ভার - যা Windows Server এর সাথে অন্তর্ভুক্ত থাকে এবং Active Directory এর সাথে নেটিভভাবে একীভূত হয়। বাণিজ্যিক বিকল্পগুলির মধ্যে রয়েছে Cisco ISE, Aruba ClearPass, এবং Portnox Cloud, যা একটি ক্লাউড-নেটিভ RADIUS-as-a-Service মডেল অফার করে যা অন-প্রেমিসেস সার্ভার ইনফ্রাস্ট্রাকচারের প্রয়োজনীয়তা সম্পূর্ণরূপে দূর করে। সঠিকভাবে কনফিগার করা 802.1X স্থাপনার অন্যতম শক্তিশালী বৈশিষ্ট্য হলো VLAN অ্যাসাইনমেন্ট। RADIUS সার্ভার Access-Accept রেসপন্সে VLAN অ্যাট্রিবিউট ফেরত পাঠাতে পারে, যা গতিশীলভাবে প্রমাণীকৃত ডিভাইসটিকে উপযুক্ত নেটওয়ার্ক সেগমেন্টে অ্যাসাইন করে। একজন স্টাফ মেম্বার প্রমাণীকরণ করেন এবং স্টাফ VLAN এ প্রবেশ করেন। একজন ঠিকাদার ভিন্ন ক্রেডেনশিয়াল দিয়ে প্রমাণীকরণ করেন এবং সীমিত অ্যাক্সেস সহ একটি সীমাবদ্ধ VLAN এ প্রবেশ করেন। যে ডিভাইসটি সার্টিফিকেট যাচাইকরণে ব্যর্থ হয় সেটি একটি কোয়ারেন্টাইন VLAN এ চলে যায়। এটিই হলো ডাইনামিক সেগমেন্টেশন, এবং এটি একটি গুরুত্বপূর্ণ নিরাপত্তা নিয়ন্ত্রণ। সেকশন তিন: বাস্তবায়নের সুপারিশ এবং যে ফাঁদগুলো এড়িয়ে চলতে হবে। আমি আপনাকে স্থাপনার এমন একটি ক্রম বলি যা চমৎকারভাবে কাজ করে। একটি নেটওয়ার্ক অডিট দিয়ে শুরু করুন। কোনো একটি কনফিগারেশনে হাত দেওয়ার আগে, প্রমাণীকরণ করতে হবে এমন প্রতিটি ডিভাইসের বিবরণ নথিভুক্ত করুন। এর মধ্যে রয়েছে প্রিন্টার, IP ফোন, বিল্ডিং ম্যানেজমেন্ট সিস্টেম, CCTV ক্যামেরা - নেটওয়ার্কের সাথে সংযোগকারী যেকোনো ডিভাইস। এই হেডলেস ডিভাইসগুলিতে কোনো সাপ্লিক্যান্ট থাকে না এবং এগুলি 802.1X করতে পারে না। আপনার এগুলির জন্য একটি কৌশলের প্রয়োজন হবে, সাধারণত কঠোর MAC অ্যাড্রেস হোয়াইটলিস্টিং এবং একটি বিচ্ছিন্ন VLAN -এ স্থাপনের মাধ্যমে MAC Authentication Bypass করা। ধাপ দুই: আপনার RADIUS পরিকাঠামো প্রস্তুত করুন। স্থিতিস্থাপকতার জন্য, আপনার কমপক্ষে একটি প্রাইমারি এবং সেকেন্ডারি RADIUS সার্ভার প্রয়োজন। স্বয়ংক্রিয়ভাবে ফেইল ওভার করার জন্য আপনার অ্যাক্সেস পয়েন্টগুলি কনফিগার করুন। একটি RADIUS বিভ্রাট যা সমস্ত কর্মীদের নেটওয়ার্ক থেকে ব্লক করে দেয় তা একটি P1 ঘটনা। আপনি একটি একক সার্ভার স্থাপন করার কারণে এমনটি যেন না ঘটে। ধাপ তিন: আপনি যদি EAP-TLS ব্যবহার করেন তবে আপনার PKI স্থাপন করুন। আপনার বিদ্যমান Active Directory Certificate Services বা একটি ক্লাউড PKI প্রদানকারী ব্যবহার করুন। গ্রুপ পলিসির মাধ্যমে অটো-এনরোলমেন্ট ক্লায়েন্ট সার্টিফিকেট স্থাপনকে স্কেল অনুসারে পরিচালনাযোগ্য করে তোলে। ধাপ চার: আপনার নেটওয়ার্ক পলিসিগুলি কনফিগার করুন। RADIUS -এ আপনার প্রমাণীকরণ নীতিগুলি সংজ্ঞায়িত করুন - কোন ব্যবহারকারী বা ডিভাইস গ্রুপগুলি কোন VLAN অ্যাসাইনমেন্ট পাবে, ব্যর্থ প্রমাণীকরণের ক্ষেত্রে কী ঘটবে, আপনি কীভাবে অতিথি বনাম কর্মীদের ট্র্যাফিক পরিচালনা করবেন। এখানেই আপনি নেটওয়ার্ক স্তরে ন্যূনতম প্রিভিলেজের নীতি প্রয়োগ করবেন। ধাপ পাঁচ: রোল আউট করার আগে পাইলট রান করুন। একটি অবস্থান, একটি ফ্লোর, একটি SSID নিন। প্রতিটি ডিভাইসের ধরন পরীক্ষা করুন। ব্যর্থতার দৃশ্যপটগুলি পরীক্ষা করুন। RADIUS সার্ভারটি অ্যাক্সেস করা না গেলে কী ঘটে তা পরীক্ষা করুন। শুধুমাত্র তারপরেই প্রসারিত করুন। এবার আসা যাক ফাঁদগুলির বিষয়ে। আমি সবচেয়ে বেশি যে ভুলটি দেখতে পাই তা হলো PEAP স্থাপনার ক্ষেত্রে সার্টিফিকেট যাচাইকরণ মিসকনফিগারেশন। যদি আপনার সাপ্লিক্যান্ট পলিসি সার্ভার সার্টিফিকেট যাচাইকরণকে বাধ্যতামূলক না করে, তাহলে আপনি রোগ AP আক্রমণের জন্য ঝুঁকিপূর্ণ হয়ে পড়বেন যেখানে একজন আক্রমণকারী একটি জাল অ্যাক্সেস পয়েন্ট তৈরি করে এবং ক্রেডেনশিয়াল হাতিয়ে নেয়। গ্রুপ পলিসি বা MDM -এর মাধ্যমে আপনার সাপ্লিক্যান্ট প্রোফাইলগুলি সুরক্ষিত করুন। দ্বিতীয় ভুলটি হলো গো-লাইভ ডে পর্যন্ত নন-802.1X ডিভাইসগুলিকে উপেক্ষা করা। IoT ডিভাইস, প্রিন্টার এবং লেগ্যাসি সিস্টেমগুলি আপনার রোল আউটকে ব্যাহত করবে যদি না আপনি সেগুলির জন্য আগে থেকে পরিকল্পনা করে থাকেন। এখানে MAC Authentication Bypass আপনার সহায়ক হবে, তবে আপনি সুইচটি অন করার আগেই এটি কনফিগার করতে হবে। তৃতীয় ভুলটি হলো RADIUS -এ সিঙ্গেল পয়েন্ট অফ ফেইলিউর থাকা। আমি দেখেছি সংস্থাগুলি একটি একক NPS সার্ভার স্থাপন করে এবং উইন্ডোজ আপডেট রিবুটের সময় তাদের সম্পূর্ণ কর্মীদের নেটওয়ার্ক বন্ধ হয়ে যেতে দেখে। সর্বদা রিডান্ড্যান্ট RADIUS পরিকাঠামো স্থাপন করুন। বিভাগ চার: চটজলদি প্রশ্নোত্তর। 802.1X কি একটি গেস্ট WiFi নেটওয়ার্কের পাশাপাশি কাজ করতে পারে? অবশ্যই। আপনার গেস্ট SSID আলাদাভাবে চলে - সাধারণত একটি captive portal পদ্ধতি ব্যবহার করে - যখন আপনার কর্মীদের SSID 802.1X প্রয়োগ করে। এগুলি পৃথক VLAN সহ সম্পূর্ণ স্বাধীন SSID। Purple -এর প্ল্যাটফর্ম গেস্ট সাইডটি পরিচালনা করে, যার উপরে অ্যানালিটিক্স এবং এনগেজমেন্ট টুলস যুক্ত থাকে, অন্যদিকে আপনার 802.1X পরিকাঠামো কর্মীদের সাইডটিকে সুরক্ষিত করে।802.1X কি VPN-এর বিকল্প? না। 802.1X নেটওয়ার্ক অ্যাডমিশন নিয়ন্ত্রণ করে - কে নেটওয়ার্কে যোগ দিতে পারে। একটি VPN ট্রানজিটে থাকা ট্র্যাফিক এনক্রিপ্ট করে এবং অবিশ্বাস্য সংযোগের মাধ্যমে কর্পোরেট নেটওয়ার্ককে প্রসারিত করে। এগুলো ভিন্ন ভিন্ন উদ্দেশ্যে কাজ করে এবং প্রায়শই একসাথে ব্যবহৃত হয়। রোমিং পারফরম্যান্সের উপর এর প্রভাব কী? 802.1X-এর ক্ষেত্রে, প্রতিটি সময় একটি ডিভাইস অ্যাক্সেস পয়েন্টগুলোর মধ্যে রোম করার সময়, এটিকে পুনরায় প্রমাণীকরণ করতে হয়। বেশিরভাগ এন্টারপ্রাইজ ডেপ্লয়মেন্টের জন্য এটি টের পাওয়া যায় না। PMK ক্যাশিং এবং OKC - Opportunistic Key Caching - পুনরায় প্রমাণীকরণের ওভারহেড উল্লেখযোগ্যভাবে হ্রাস করে। স্টেডিয়াম বা কনফারেন্স সেন্টারের মতো উচ্চ-ঘনত্বের পরিবেশের জন্য, এটি স্পষ্টভাবে কনফিগার করা মূল্যবান। WPA3-Enterprise কি 802.1X-এর একটি প্রতিস্থাপন? না - WPA3-Enterprise প্রমাণীকরণের জন্য 802.1X ব্যবহার করে। WPA3 এনক্রিপশন লেয়ার উন্নত করে, বিশেষ করে সবচেয়ে সংবেদনশীল ডেপ্লয়মেন্টের জন্য 192-বিট সিকিউরিটি মোড বাধ্যতামূলক করে। 802.1X হল এর নিচে থাকা প্রমাণীকরণ ফ্রেমওয়ার্ক। পঞ্চম বিভাগ: সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ। এই ব্রিফিং থেকে আপনার যা মনে রাখা উচিত তা এখানে দেওয়া হলো। কর্পোরেট WiFi-এর জন্য 802.1X হলো একমাত্র এন্টারপ্রাইজ-গ্রেড প্রমাণীকরণ ব্যবস্থা। নিয়ন্ত্রিত পরিবেশের জন্য প্রি-শেয়ার্ড কী গ্রহণযোগ্য নয়। আপনার ডিভাইস ফ্লিটের উপর ভিত্তি করে আপনার EAP পদ্ধতি বেছে নিন - আপনার যদি ম্যানেজড ডিভাইস এবং একটি PKI থাকে তবে EAP-TLS, আর যদি আপনার আরও ব্যাপক সামঞ্জস্যের প্রয়োজন হয় তবে PEAP ব্যবহার করুন। ডেপ্লয় করার পরে নয়, ডেপ্লয় করার আগেই নন-802.1X ডিভাইসগুলোর জন্য পরিকল্পনা করুন। রিডান্ড্যান্ট RADIUS পরিকাঠামো ডেপ্লয় করুন - একটি একক সার্ভার হলো একটি সিঙ্গেল পয়েন্ট অফ ফেইলিওর। প্রমাণীকরণের সময় নেটওয়ার্ক সেগমেন্টেশন প্রয়োগ করতে ডায়নামিক VLAN অ্যাসাইনমেন্ট ব্যবহার করুন। এবং আপনার সম্পূর্ণ এস্টেটে রোল আউট করার আগে পুঙ্খানুপুঙ্খভাবে পাইলট করুন। আপনি যদি একটি মাল্টি-সাইট ডেপ্লয়মেন্ট তৈরি করেন এবং আর্কিটেকচার সম্পর্কে চিন্তা করার প্রয়োজন হয়, তবে Purple-এর টেকনিক্যাল টিম প্রতিদিন হসপিটালিটি, রিটেল এবং পাবলিক সেক্টর জুড়ে নেটওয়ার্ক আর্কিটেক্টদের সাথে কাজ করে। 802.1X-এর মাধ্যমে নিরাপদ স্টাফ WiFi এবং Purple-এর প্ল্যাটফর্মের মাধ্যমে ইন্টেলিজেন্ট গেস্ট WiFi-এর সমন্বয় আপনাকে একটি সম্পূর্ণ, সেগমেন্টেড নেটওয়ার্ক কৌশল প্রদান করে যা আপনার সিকিউরিটি বাধ্যবাধকতা এবং আপনার গেস্ট এক্সপেরিয়েন্সের প্রয়োজনীয়তা উভয়ই পূরণ করে। এই ব্রিফিংটি এখানেই শেষ। শোনার জন্য ধন্যবাদ।