Microsoft Entra ID (Azure AD) WiFi প্রমাণীকরণ: Enterprise ইন্টিগ্রেশন গাইড
এই প্রযুক্তিগত গাইডটি নেটওয়ার্ক ইঞ্জিনিয়ার, IT আর্কিটেক্ট এবং সিস্টেম অ্যাডমিনিস্ট্রেটরদের এন্টারপ্রাইজ 802.1X WiFi পরিকাঠামোর সাথে Microsoft Entra ID (পূর্বে Azure AD) একীভূত করার জন্য একটি নির্ভরযোগ্য ব্লুপ্রিন্ট প্রদান করে। কীভাবে অন-প্রিমিসেস RADIUS সার্ভারগুলি বাদ দিতে হয়, Microsoft Intune SCEP এবং Cloud PKI-এর মাধ্যমে পাসওয়ার্ডহীন EAP-TLS সার্টিফিকেট ডেপ্লয় করতে হয় এবং Entra ID সিকিউরিটি গ্রুপগুলি ব্যবহার করে ডায়নামিক VLAN অ্যাসাইনমেন্ট স্বয়ংক্রিয় করতে হয় তা শিখুন।
Video overview
আমাদের মূল সিরিজের অংশ: Enterprise WiFi সিকিউরিটি গাইড →
Microsoft Entra ID (Azure AD) WiFi Architecture & Sizing Advisor
Select your organization’s identity licensing, device fleet, and compliance requirements to generate a tailored 802.1X / Cloud RADIUS deployment blueprint and configuration checklist.
Devices receive unique X.509 client certificates pushed via Microsoft Intune SCEP. When connecting to the corporate SSID, the wireless controller forwards EAP-TLS handshakes to a Cloud RADIUS endpoint that validates certificates against Entra ID directory status in real time.
RADIUS Attribute & SCEP Deployment Checklist
এক্সিকিউটিভ সামারি
যেহেতু এন্টারপ্রাইজ IT সংস্থাগুলি তাদের কর্পোরেট আইডেন্টিটি লোকাল Active Directory Domain Services (AD DS) থেকে Microsoft Entra ID (পূর্বে Azure Active Directory)-এ স্থানান্তরিত করছে, নেটওয়ার্ক আর্কিটেক্টরা একটি মৌলিক নেটওয়ার্কিং চ্যালেঞ্জের মুখোমুখি হচ্ছেন: Microsoft Entra ID নেটিভ RADIUS প্রোটোকল অথেন্টিকেশন সমর্থন করে না।
উত্তরাধিকার সূত্রে প্রাপ্ত এন্টারপ্রাইজ ওয়্যারলেস নেটওয়ার্কগুলি PEAP-MSCHAPv2 সহ IEEE 802.1X-এর উপর নির্ভর করে, লোকাল Windows Server Network Policy Server (NPS) ইনস্ট্যান্সগুলিকে কোয়েরি করে যা লোকাল ডোমেন কন্ট্রোলারের বিপরীতে NT LAN Manager (NTLM) পাসওয়ার্ড হ্যাশ যাচাই করে। ক্লাউড-নেটিভ Entra ID কোনো LDAP (TCP 389) বা RADIUS (UDP 1812) লিসেনিং পোর্ট প্রকাশ করে না, এবং এটি শুধুমাত্র-ক্লাউড অ্যাকাউন্টগুলির জন্য প্লেইন-টেক্সট বা রিভার্সিবল NTLM পাসওয়ার্ড হ্যাশ সংরক্ষণ করে না।
Microsoft Entra ID দ্বারা এন্টারপ্রাইজ WiFi সুরক্ষিত করতে, সংস্থাগুলিকে অবশ্যই তাদের অ্যাক্সেস লেয়ার আধুনিকীকরণ করতে হবে। এই প্রযুক্তিগত নির্দেশিকায় Entra ID-কে এন্টারপ্রাইজ ওয়্যারলেস নেটওয়ার্কের সাথে সংযুক্ত করার জন্য তিনটি প্রমাণিত আর্কিটেকচারাল প্যাটার্ন রূপরেখা দেওয়া হয়েছে:
- Microsoft Cloud PKI ও SCEP-এর মাধ্যমে ক্লাউড-নেটিভ EAP-TLS (প্রস্তাবিত): পাসওয়ার্ডবিহীন, পারস্পরিক সার্টিফিকেট অথেন্টিকেশন যা Microsoft Intune-এর মাধ্যমে স্থাপন করা হয়।
- Entra ID OAuth / SCIM ডিরেক্টরি সিঙ্কের সাথে Cloud RADIUS: পরিচালিত ক্লাউড অথেন্টিকেশন পরিষেবা যা Microsoft Graph API কোয়েরি করে।
- Azure MFA এক্সটেনশন সহ হাইব্রিড অন-প্রিমিসেস NPS: লোকাল Active Directory অবকাঠামো বজায় রাখা এনভায়রনমেন্টের জন্য একটি ব্রিজ আর্কিটেকচার।
আর্কিটেকচারাল তুলনা: Entra ID WiFi অথেন্টিকেশন পদ্ধতি
একটি ইন্টিগ্রেশন পাথ বেছে নেওয়ার আগে, প্রতিটি মডেলের প্রযুক্তিগত সক্ষমতা, সিকিউরিটি পোস্টার এবং প্রশাসনিক প্রয়োজনীয়তাগুলি মূল্যায়ন করুন:
+----------------------------------------------------------------------------------------------------+
| Microsoft Entra ID WiFi আর্কিটেকচার ম্যাট্রিক্স |
+----------------------------------------------------------------------------------------------------+
| পদ্ধতি | প্রোটোকল | ক্রেডেনশিয়াল টাইপ | লোকাল পরিকাঠামো | সিকিউরিটি লেভেল (0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI | EAP-TLS | X.509 Digital CA | শূন্য (100% ক্লাউড) | 98/100 (Zero Trust) |
| 2. Cloud RADIUS API | EAP-TTLS | Entra ID / SCIM | শূন্য (100% ক্লাউড) | 88/100 (Enterprise) |
| 3. Hybrid NPS + MFA | PEAPv0 | ব্যবহারকারীর নাম/পাসওয়ার্ড | Windows Server ও NDES | 68/100 (Legacy Risk) |
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth | শূন্য (100% ক্লাউড) | 85/100 (Guest/BYOD) |
+----------------------+----------+------------------+-----------------------+-----------------------+
পদ্ধতি ১: Microsoft Intune SCEP-এর মাধ্যমে ক্লাউড-নেটিভ EAP-TLS (প্রস্তাবিত)
সার্টিফিকেট-ভিত্তিক EAP-TLS (RFC 5216) এন্টারপ্রাইজ ওয়্যারলেস সুরক্ষার জন্য গোল্ড স্ট্যান্ডার্ড উপস্থাপন করে। পরিচালিত এন্ডপয়েন্টগুলিতে অনন্য ডিজিটাল সার্টিফিকেট ইস্যু করার মাধ্যমে, সংস্থাগুলি শেয়ার্ড পাসওয়ার্ড দূর করে, ক্রেডেনশিয়াল-হারভেস্টিং ফিশিং ক্যাম্পেইনগুলি প্রতিরোধ করে এবং NIST SP 800-207 Zero Trust Architecture মানগুলি মেনে চলে।
+------------------+ +------------------------+ +------------------------+
| Managed Device | | Wireless Access Point | | Cloud RADIUS Server |
| (Win 11 / macOS) | | (Cisco / Meraki/ Aruba)| | (Multi-Region) |
+------------------+ +------------------------+ +------------------------+
| | |
| 1. 802.1X EAP-TLS Assoc | |
|------------------------------->| |
| | 2. RADIUS Access-Request (UDP 1812)|
| |----------------------------------->|
| | | 3. Validate Cert Chain
| | | & Query Graph API
| | | for Account Status
| | 4. RADIUS Access-Accept |
| | (RFC 2868 VLAN Attributes) |
| |<-----------------------------------|
| 5. 802.11 4-Way Handshake | |
|<------------------------------>| |
| | |
[ Encrypted Session Established (WPA3-Enterprise 192-bit) ]
Intune SCEP ডেপ্লয়মেন্ট ওয়ার্কফ্লো
- সার্টিফিকেট অথরিটি সেটআপ: Microsoft Intune-এ Microsoft Cloud PKI বা একটি ইন্টিগ্রেটেড ক্লাউড CA (যেমন SCEPman, EZCA, বা Cloud RADIUS PKI) ব্যবহার করে একটি ইস্যুয়িং CA স্থাপন করুন।
- বিশ্বস্ত সার্টিফিকেট প্রোফাইল: সমস্ত টার্গেট Windows 11, macOS, iOS, এবং Android ডিভাইস গ্রুপে রুট CA এবং ইন্টারমিডিয়েট CA পাবলিক সার্টিফিকেট ডেপ্লয় করুন।
- SCEP প্রোফাইল কনফিগারেশন:
- সার্টিফিকেটের ধরন: ইউজার বা ডিভাইস সার্টিফিকেট।
- সাবজেক্ট নেম ফরম্যাট:
CN={{UserName}},OU=WiFi,DC=enterprise,DC=com - সাবজেক্ট অল্টারনেটিভ নেম (SAN):
UserPrincipalName = {{UserPrincipalName}}এবংDNS = {{AADDeviceId}} - কী ব্যবহার: ডিজিটাল সিগনেচার, কী এনসাইফারমেন্ট।
- কী স্টোরেজ প্রোভাইডার (KSP): TPM পছন্দের (হার্ডওয়্যার-ব্যাকড প্রাইভেট কী প্রয়োগ করে)।
- WiFi কনফিগারেশন প্রোফাইল:
- WiFi-এর ধরন: এন্টারপ্রাইজ।
- EAP-এর ধরন: EAP-TLS।
- সার্ভার ট্রাস্ট: ডেপ্লয় করা বিশ্বস্ত রুট CA সার্টিফিকেট নির্বাচন করুন।
- সার্ভারের নাম: Cloud RADIUS সার্ভারের সম্পূর্ণ কোয়ালিফাইড ডোমেন নাম (FQDN) লিখুন (যেমন
radius.purple.ai)। - অথেন্টিকেশন আইডেন্টিটি: ব্যবহারকারী বা মেশিনের সার্টিফিকেট।
পদ্ধতি ২: Entra ID OAuth এবং SCIM ডিরেক্টরি সিঙ্ক্রোনাইজেশন সহ Cloud RADIUS
যেসব প্রতিষ্ঠান ব্যক্তিগত CA পরিচালনা না করেই সেন্ট্রালাইজড ডিরেক্টরি ম্যানেজমেন্ট সুবিধা পেতে চায়, তাদের জন্য Cloud RADIUS ওয়্যারলেস কন্ট্রোলার এবং Microsoft Graph API-এর মধ্যে একটি পরিচালিত সেতু প্রদান করে।
যেভাবে Cloud RADIUS, Microsoft Entra ID-এর সাথে সংযুক্ত হয়
+--------------------+ +--------------------+ +--------------------+
| Enterprise WLC / | | Cloud RADIUS Engine| | Microsoft Entra ID |
| Access Points | | (Purple Platform) | | (Graph REST API) |
+--------------------+ +--------------------+ +--------------------+
| | |
| ১. RADIUS Access-Request | |
| (User: alex@corp.com) | |
|---------------------------->| |
| | ২. Graph API Query |
| | (Check user enabled, |
| | group memberships, |
| | conditional access) |
| |---------------------------->|
| | |
| | ৩. JSON Response |
| | (Status: Active, |
| | Groups: [SG-Finance]) |
| |<----------------------------|
| | |
| ৪. RADIUS Access-Accept | |
| (VLAN ID: ৪০) | |
|<----------------------------| |
Cloud RADIUS-এর প্রধান সুবিধাসমূহ
- জিরো অন-প্রিমিস হার্ডওয়্যার: এটি ফিজিক্যাল সার্ভার ক্রয়, Windows সার্ভার লাইসেন্সিং এবং বার্ষিক OS প্যাচ রক্ষণাবেক্ষণের প্রয়োজনীয়তা দূর করে।
- রিয়েল-টাইম ডিরেক্টরি সিঙ্ক: কোনো কর্মচারী যদি কোম্পানি ছেড়ে চলে যান বা Entra ID-তে নিষ্ক্রিয় হন, তবে সমস্ত গ্লোবাল সাইট জুড়ে তাৎক্ষণিকভাবে তাদের ওয়্যারলেস অ্যাক্সেস বাতিল হয়ে যায়।
- মাল্টি-রিজিয়ন রিডান্ডেন্সি: Anycast IP রাউটিং স্বয়ংক্রিয় ফেইলওভার সহ সর্বনিম্ন লেটেন্সি বিশিষ্ট ভৌগোলিক ডেটা সেন্টারে অথেন্টিকেশন অনুরোধগুলো ফরওয়ার্ড করে।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।
Entra ID সিকিউরিটি গ্রুপের মাধ্যমে ডাইনামিক VLAN অ্যাসাইনমেন্ট
ডাইনামিক VLAN অ্যাসাইনমেন্ট নেটওয়ার্ক অ্যাডমিনিস্ট্রেটরদের একটি একক কর্পোরেট SSID ব্রডকাস্ট করার সুবিধা দেয়, যেখানে ব্যবহারকারীর ভূমিকা এবং বিভাগের অনুমোদনের ভিত্তিতে ডিভাইসগুলোকে স্বয়ংক্রিয়ভাবে পৃথক নেটওয়ার্ক সেগমেন্টে স্থানান্তর করা হয়।
+-----------------------------------------------------------------------------------+
| Microsoft Entra ID Security Group |
+-----------------------------------------------------------------------------------+
| | |
v v v
[ SG-WiFi-Executive ] [ SG-WiFi-Engineering ] [ SG-WiFi-Contractors ]
| | |
v v v
[ ক্লাউড RADIUS পলিসি ] [ ক্লাউড RADIUS পলিসি ] [ ক্লাউড RADIUS পলিসি ]
| | |
v v v
RADIUS RFC 2868: RADIUS RFC 2868: RADIUS RFC 2868:
• Tunnel-Type = 13 (VLAN) • Tunnel-Type = 13 (VLAN) • Tunnel-Type = 13 (VLAN)
• Tunnel-Medium-Type = 6 • Tunnel-Medium-Type = 6 • Tunnel-Medium-Type = 6
• Group-ID = "10" • Group-ID = "20" • Group-ID = "30"
| | |
v v v
(কর্পোরেট এক্সিকিউটিভ VLAN 10) (ইঞ্জিনিয়ারিং সাবনেট VLAN 20) (কন্ট্রাক্টর DMZ VLAN 30)
প্রয়োজনীয় RADIUS স্ট্যান্ডার্ড অ্যাট্রিবিউট (RFC 2868)
যখন ক্লাউড RADIUS সার্ভার একটি অথেন্টিকেশন অনুরোধ অনুমোদন করে, তখন এটি Access-Accept প্যাকেটে তিনটি স্ট্যান্ডার্ড অ্যাট্রিবিউট অন্তর্ভুক্ত করে:
| RADIUS অ্যাট্রিবিউট | অ্যাট্রিবিউট নম্বর | ধরন | উদাহরণ মান | বিবরণ |
|---|---|---|---|---|
Tunnel-Type |
64 | ইন্টিজার / ট্যাগড | 13 (VLAN) |
টানেলটি যে একটি ভার্চুয়াল লোকাল এরিয়া নেটওয়ার্ক তা নির্দিষ্ট করে। |
Tunnel-Medium-Type |
65 | ইন্টিজার / ট্যাগড | 6 (802) |
IEEE 802 স্ট্যান্ডার্ড ফ্রেমিং (ইথারনেট/WLAN) নির্দিষ্ট করে। |
Tunnel-Private-Group-ID |
81 | স্ট্রিং | "20" |
অ্যাক্সেস পয়েন্ট সুইচ ট্রাঙ্কে কনফিগার করা টার্গেট VLAN ID বা VLAN নাম। |
অতিথি, BYOD এবং কন্ট্রাক্টরদের জন্য Captive Portal সিঙ্গেল সাইন-অন (SSO)
অতিথি ভিজিটর, ভেন্ডর এবং আনম্যানেজড কর্মচারীদের ব্যক্তিগত ডিভাইসের (BYOD) জন্য, 802.1X সার্টিফিকেট স্থাপন করা প্রায়শই অবাস্তব। এই সমস্ত পরিস্থিতিতে, SAML 2.0 বা OpenID Connect (OIDC) এর মাধ্যমে Microsoft Entra ID-এর সাথে ইন্টিগ্রেট করা একটি ক্লাউড-ম্যানেজড Captive Portal একটি নিরাপদ, অডিট করা অনবোর্ডিং ওয়ার্কফ্লো প্রদান করে।
+--------------------+ +--------------------+ +--------------------+
| অতিথি / BYOD | | Purple Captive | | Microsoft Entra ID |
| ব্রাউজার | | Splash Portal | | লগইন গেটওয়ে |
+--------------------+ +--------------------+ +--------------------+
| | |
| 1. HTTP Web Request | |
|---------------------------->| |
| 2. Redirect to Splash Page | |
|<----------------------------| |
| | |
| 3. Click "Log in with M365" | |
|---------------------------->| |
| 4. SAML / OAuth Auth Request| |
| (login.microsoftonline.com) |
|---------------------------------------------------------->|
| |
| 5. MFA Challenge & Identity Verification (Entra ID) |
|<--------------------------------------------------------->|
| |
| 6. SAML Assertion / ID Token Issued |
|<----------------------------------------------------------|
| |
| 7. POST Token to Splash Engine |
|---------------------------->| |
| | 8. Authorize MAC on WLC |
| 9. Internet Access Granted |<----------------------------|
|<----------------------------|
Captive portal SSO এর নিরাপত্তার সুবিধাসমূহ
- Conditional Access প্রয়োগ করুন: নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে Microsoft Entra ID Multi-Factor Authentication (MFA) এবং ব্যবহারের শর্তাবলী (Terms of Use) মেনে নেওয়া বাধ্যতামূলক করুন।
- স্বয়ংক্রিয় মেয়াদ শেষ: গেস্ট আইডেন্টিটি প্রোফাইলের উপর ভিত্তি করে ভিজিটর অ্যাক্সেসের সময়কাল (যেমন ৮ ঘণ্টা) স্বয়ংক্রিয়ভাবে সীমাবদ্ধ করুন।
- অডিট লগিং: কমপ্লায়েন্স অডিটের জন্য কর্পোরেট Microsoft Entra ID ইমেল অ্যাড্রেসের সাথে ফিজিক্যাল MAC অ্যাড্রেস লিঙ্ক করে অপরিবর্তনীয় কানেকশন রেকর্ড বজায় রাখুন।
এন্টারপ্রাইজ WiFi নিরাপত্তা জোরদার করা: WPA3-Enterprise 192-bit Mode
Microsoft Entra ID WiFi প্রমাণীকরণ কনফিগার করার সময়, জটিল ওভার-দি-এয়ার অ্যাটাক ভেক্টর থেকে রক্ষা পেতে নেটওয়ার্ক আর্কিটেক্টদের WPA3-Enterprise কনফিগার করা উচিত:
- 192-bit Security Mode (CNSA Suite): ২৫৬-বিট Galois/Counter Mode Protocol (GCMP-256) এনক্রিপশন এবং ৩৮৪-বিট HMAC-SHA-384 কী ডেরিভেশন প্রয়োগ করে।
- Protected Management Frames (PMF / IEEE 802.11w): ক্ষতিকারক হ্যাকারদের অ্যাক্সেস পয়েন্ট MAC অ্যাড্রেস স্পুফ করে জাল ডিঅথেন্টিকেশন এবং ডিসঅ্যাসোসিয়েশন ফ্রেম পাঠানো প্রতিরোধ করে।
- লেগেসি সাইফার বর্জন: WEP, TKIP এবং অরক্ষিত WPA2-TKIP স্যুট সম্পূর্ণরূপে অবলুপ্ত করে।
Entra ID 802.1X WiFi প্রমাণীকরণ ব্যর্থতার সমস্যা সমাধান
ক্লায়েন্ট ডিভাইসগুলি প্রমাণীকরণ করতে ব্যর্থ হলে, এই নিয়মতান্ত্রিক ডায়াগনস্টিক গাইডটি অনুসরণ করুন:
১. EAP-TLS হ্যান্ডশেক ব্যর্থতা: Unknown CA বা সার্টিফিকেট বিশ্বস্ত নয়
- লক্ষণ: ক্লায়েন্ট কানেক্ট করতে ব্যর্থ হচ্ছে; RADIUS লগ
TLS Alert: unknown_ca (48)প্রদর্শন করছে। - মূল কারণ: ক্লায়েন্ট ডিভাইসটি RADIUS সার্ভার সার্টিফিকেটকে বিশ্বাস করে না, অথবা RADIUS সার্ভারে রুট CA নেই যা ক্লায়েন্ট সার্টিফিকেট ইস্যু করেছিল।
- প্রতিকার:
- নিশ্চিত করুন যে Intune Trusted Certificate প্রোফাইলটি ক্লায়েন্ট ডিভাইসে রুট CA ডেপ্লয় করেছে।
- Intune WiFi প্রোফাইলে, যাচাই করুন যে
Server Namesহোয়াইটলিস্টে থাকা সার্ভারের নামটি RADIUS সার্ভার সার্টিফিকেটের Common Name (CN) অথবা Subject Alternative Name (SAN) এর সাথে হুবহু মিলছে। - সম্পূর্ণ সার্টিফিকেট চেইন (রুট CA + ইন্টারমিডিয়েট CAs) Cloud RADIUS সার্টিফিকেট ট্রাস্ট স্টোরে ইম্পোর্ট করা হয়েছে তা নিশ্চিত করুন।
2. RADIUS Access-Reject: ইউজার অ্যাকাউন্ট নিষ্ক্রিয় বা গ্রুপ মেম্বারশিপে অমিল
- লক্ষণ: RADIUS সার্ভার অনুরোধ গ্রহণ করছে কিন্তু
User account not found or disabledত্রুটি সহAccess-Rejectরিটার্ন করছে। - মূল কারণ: Microsoft Entra ID-তে ইউজার অ্যাকাউন্টটি নিষ্ক্রিয় করা আছে, অথবা ইউজার অনুমোদিত Entra সিকিউরিটি গ্রুপের সদস্য নন।
- প্রতিকার:
- অ্যাকাউন্ট স্ট্যাটাস সক্রিয় কিনা তা যাচাই করতে Microsoft Entra অ্যাডমিন সেন্টারে (
entra.microsoft.com) ইউজার অবজেক্টটি পরীক্ষা করুন। - Entra ID-তে Cloud RADIUS Enterprise App-এর পারমিশন (
User.Read.All,GroupMember.Read.All) যাচাই করুন। - ইউজারকে সম্প্রতি কোনো নতুন সিকিউরিটি গ্রুপে যুক্ত করা হয়ে থাকলে ডিরেক্টরি সিনক্রোনাইজেশন ল্যাটেন্সি চেক করুন।
- অ্যাকাউন্ট স্ট্যাটাস সক্রিয় কিনা তা যাচাই করতে Microsoft Entra অ্যাডমিন সেন্টারে (
3. ডায়নামিক VLAN অ্যাসাইনমেন্ট কার্যকর হচ্ছে না
- লক্ষণ: অথেন্টিকেশন সফল হচ্ছে, কিন্তু ক্লায়েন্ট নির্ধারিত ডিপার্টমেন্ট VLAN-এর পরিবর্তে ডিফল্ট নেটিভ VLAN-এ থেকে যাচ্ছে।
- মূল কারণ: ওয়্যারলেস ল্যান কন্ট্রোলার (WLC) AAA Override সক্ষম করেনি, অথবা সুইচ ট্রাঙ্ক পোর্টে টার্গেট VLAN ID অনুপস্থিত রয়েছে।
- প্রতিকার:
- Cisco Catalyst / Aruba কন্ট্রোলারে, WLAN কনফিগারেশনে AAA Override এবং Allow Dynamic VLANs সক্ষম করুন।
- অ্যাক্সেস পয়েন্টের সাথে সংযোগকারী সুইচ পোর্টটি 802.1Q ট্রাঙ্কে সব ডায়নামিক VLAN IDs অনুমোদন করে কিনা তা যাচাই করুন (
switchport trunk allowed vlan add 10,20,30,40)। - RADIUS প্রয়োজনীয় তিনটি অ্যাট্রিবিউটই রিটার্ন করছে কিনা তা নিশ্চিত করুন:
Tunnel-Type = 13,Tunnel-Medium-Type = 6, এবংTunnel-Private-Group-ID = <VLAN_ID>।
সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ
এন্টারপ্রাইজ WiFi-এর সাথে Microsoft Entra ID ইন্টিগ্রেট করার মাধ্যমে একটি স্থিতিস্থাপক, পাসওয়ার্ডহীন নেটওয়ার্ক অ্যাক্সেস লেয়ার তৈরি হয়। Cloud RADIUS এবং ডায়নামিক VLAN অ্যাসাইনমেন্ট-এর সাথে Microsoft Intune SCEP সার্টিফিকেট ম্যানেজমেন্ট যুক্ত করে, IT সংস্থাগুলো তাদের জিরো-ট্রাস্ট সিকিউরিটি আরও শক্তিশালী করার পাশাপাশি অন-প্রিমিসেস পরিকাঠামোগত ঝামেলা দূর করতে পারে।
যেসব প্রতিষ্ঠান কর্পোরেট ডিভাইসের পাশাপাশি বিপুল সংখ্যক গেস্ট ভিজিটর, ঠিকাদার বা BYOD হার্ডওয়্যার পরিচালনা করে, তাদের জন্য Purple সব প্রধান এন্টারপ্রাইজ ওয়্যারলেস হার্ডওয়্যার ভেন্ডর জুড়ে টার্নকি ক্লাউড WiFi অ্যাক্সেস ম্যানেজমেন্ট, নেটিভ Entra ID SAML/OAuth Captive Portal সিঙ্গেল সাইন-অন এবং রিয়েল-টাইম নেটওয়ার্ক অ্যানালিটিক্স প্রদান করে।
মূল সংজ্ঞাসমূহ
Microsoft Entra ID
Microsoft-এর ক্লাউড-ভিত্তিক আইডেন্টিটি এবং অ্যাক্সেস ম্যানেজমেন্ট পরিষেবা (পূর্বে Azure Active Directory) যা ব্যবহারকারীর আইডেন্টিটি, ক্রেডেনশিয়াল, কন্ডিশনাল অ্যাক্সেস পলিসি এবং গ্রুপ মেম্বারশিপ পরিচালনা করে।
এন্টারপ্রাইজ WiFi প্রমাণীকরণ এবং সিঙ্গেল সাইন-অন-এর জন্য নির্ভরযোগ্য ক্লাউড আইডেন্টিটি প্রোভাইডার হিসেবে কাজ করে।
IEEE 802.1X
পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (PNAC) এর জন্য একটি IEEE স্ট্যান্ডার্ড যা একটি ওয়্যারলেস LAN-এর সাথে সংযোগ করার চেষ্টা করা ডিভাইসগুলির জন্য সুরক্ষিত প্রমাণীকরণ প্রদান করে।
ওয়্যারলেস ক্লায়েন্ট (সাপ্লিক্যান্ট), অ্যাক্সেস পয়েন্ট (অথেন্টিকেটর) এবং RADIUS সার্ভার (অথেন্টিকেশন সার্ভার) সংযোগকারী ফ্রেমওয়ার্কটিকে সংজ্ঞায়িত করে।
EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)
একটি IETF স্ট্যান্ডার্ড (RFC 5216) পারস্পরিক প্রমাণীকরণ প্রোটোকল যা একটি এনক্রিপ্ট করা TLS টানেল স্থাপন করতে ক্লায়েন্ট এবং সার্ভার উভয় ক্ষেত্রেই X.509 ডিজিটাল শংসাপত্র ব্যবহার করে।
কর্পোরেট WiFi নেটওয়ার্ক জুড়ে শেয়ার করা পাসওয়ার্ড এবং শংসাপত্র চুরির ঝুঁকি দূর করে।
Cloud RADIUS
একটি ক্লাউড-হোস্টেড Remote Authentication Dial-In User Service সার্ভার যা আধুনিক ক্লাউড পরিচয় প্রদানকারীদের (Entra ID, Okta, Google Workspace) এন্টারপ্রাইজ নেটওয়ার্ক পরিকাঠামোর সাথে সংযুক্ত করে।
অন-প্রিমিসেস Windows Server Network Policy Server (NPS) ক্লাস্টারগুলিকে স্কেলেবল, মাল্টি-রিয়েল ক্লাউড প্রমাণীকরণ এন্ডপয়েন্ট দিয়ে প্রতিস্থাপন করে।
SCEP (Simple Certificate Enrollment Protocol)
একটি স্ট্যান্ডার্ড পাবলিক কি ক্রিপ্টোগ্রাফি প্রোটোকল (RFC 8894) যা মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM) প্ল্যাটফর্মগুলিকে স্বয়ংক্রিয়ভাবে ক্লায়েন্ট শংসাপত্রের জন্য অনুরোধ এবং ইস্যু করতে সক্ষম করে।
Microsoft Intune-কে Windows, macOS, iOS, এবং Android এন্ডপয়েন্টগুলিতে নীরবে X.509 WiFi শংসাপত্রগুলি প্রভিশন করার অনুমতি দেয়।
Microsoft Cloud PKI
সার্টিফিকেট লাইফসাইকেল ইস্যু এবং পরিচালনা করার জন্য Microsoft Intune-এ একীভূত একটি সম্পূর্ণ ক্লাউড-হোস্টেড পাবলিক কি ইনফ্রাস্ট্রাকচার পরিষেবা।
অন-প্রিমিসেস Active Directory Certificate Services (AD CS) এবং Network Device Enrollment Service (NDES) সার্ভারগুলি বজায় রাখার প্রয়োজনীয়তা দূর করে।
Dynamic VLAN assignment
একটি নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল মেকানিজম যেখানে RADIUS সার্ভার একটি ক্লায়েন্টকে একটি নির্দিষ্ট VLAN-এ বরাদ্দ করার জন্য প্রমাণীকরণের সময় বিক্রেতা-নির্দিষ্ট বৈশিষ্ট্য বা RFC 2868 বৈশিষ্ট্য ফেরত দেয়।
Entra ID নিরাপত্তা গ্রুপগুলির উপর ভিত্তি করে ব্যবহারকারীদের বিচ্ছিন্ন নেটওয়ার্ক সেগমেন্টে রেখে জিরো-ট্রাস্ট ভূমিকা-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ সক্ষম করে।
সমাধানকৃত উদাহরণসমূহ
১২টি আঞ্চলিক অফিস জুড়ে ৪,৫০০ কর্মী সহ একটি গ্লোবাল এন্টারপ্রাইজ Microsoft Entra ID P2 এবং Microsoft Intune-এর পক্ষে অন-প্রিমিসেস Active Directory Domain Services (AD DS) বাতিল করছে। কর্পোরেট ডিভাইসের মধ্যে ৩,২০০টি Windows 11 ল্যাপটপ এবং ১,৩০০টি macOS এন্ডপয়েন্ট রয়েছে। অন-প্রিমিসেস সার্ভার ডেপ্লয় না করেই নেটওয়ার্ক টিমের কীভাবে পাসওয়ার্ডহীন 802.1X এন্টারপ্রাইজ WiFi আর্কিটেক্ট করা উচিত?
১. সার্টিফিকেট পরিকাঠামো: ওয়্যারলেস অ্যাক্সেসের জন্য একটি ডেডিকেটেড ইস্যুইং CA প্রতিষ্ঠা করতে Intune-এ Microsoft Cloud PKI ডেপ্লয় করুন। ২. SCEP প্রোফাইল কনফিগারেশন: সমস্ত পরিচালিত ডিভাইসকে লক্ষ্য করে একটি Intune SCEP সার্টিফিকেট প্রোফাইল তৈরি করুন, যা Subject Name হিসেবে CN={{UserName}} এবং Subject Alternative Name (SAN) হিসেবে UserPrincipalName={{UserPrincipalName}} কনফিগার করে। ৩. WiFi প্রোফাইল ডেপ্লয়মেন্ট: WPA3-Enterprise, EAP-TLS প্রমাণীকরণ এবং Trusted Root CA সার্টিফিকেট সহ একটি Intune WiFi কনফিগারেশন প্রোফাইল পুশ করুন। ৪. Cloud RADIUS ইন্টিগ্রেশন: Entra ID এন্টারপ্রাইজ অ্যাপ্লিকেশন সিঙ্গেল সাইন-অন দিয়ে কনফিগার করা একটি মাল্টি-রিলিজিয়ন Cloud RADIUS পরিষেবার সাথে ওয়্যারলেস কন্ট্রোলার (Cisco Catalyst 9800 / Aruba Central) সংযুক্ত করুন। ৫. যাচাইকরণ: ব্যবহারকারীদের পাসওয়ার্ডের জন্য অনুরোধ না করেই EAP-TLS ব্যবহার করে ২০০ms-এর কম সময়ে ক্লায়েন্ট হ্যান্ডশেক নীরবে সম্পন্ন হচ্ছে কিনা তা যাচাই করুন।
একটি আঞ্চলিক স্বাস্থ্যসেবা সংস্থা ৮টি হাসপাতাল পরিচালনা করে যেখানে ক্লিনিকাল স্টাফ, প্রশাসনিক কর্মী এবং ভিজিটিং ঠিকাদাররা অ্যাক্সেস পয়েন্ট শেয়ার করেন। নেটওয়ার্ক টিমকে অবশ্যই একটি মাত্র কর্পোরেট SSID ব্যবহার করে কঠোর ভূমিকা-ভিত্তিক নেটওয়ার্ক সেগমেন্টেশন প্রয়োগ করতে হবে। Microsoft Entra ID এবং Cloud RADIUS-এর সাথে কীভাবে ডায়নামিক VLAN অ্যাসাইনমেন্ট কনফিগার করা হয়?
১. Entra সিকিউরিটি গ্রুপ: তিনটি ডেডিকেটেড সিকিউরিটি গ্রুপ তৈরি করুন: SG-WiFi-ClinicalStaff, SG-WiFi-Admin, এবং SG-WiFi-Contractors। ২. RADIUS পলিসি ম্যাপিং: Cloud RADIUS পলিসি ইঞ্জিনে গ্রুপ-টু-VLAN নিয়মগুলি সংজ্ঞায়িত করুন: SG-WiFi-ClinicalStaff -> VLAN 20 (ক্লিনিকাল সাবনেট 10.20.0.0/22), SG-WiFi-Admin -> VLAN 30 (অ্যাডমিন সাবনেট 10.30.0.0/24), SG-WiFi-Contractors -> VLAN 40 (ঠিকাদার সাবনেট 172.16.40.0/24)। ৩. RFC 2868 অ্যাট্রিবিউট: Access-Accept-এ স্ট্যান্ডার্ড IETF অ্যাট্রিবিউটগুলি রিটার্ন করতে Cloud RADIUS কনফিগার করুন: Tunnel-Type = 13 (VLAN), Tunnel-Medium-Type = 6 (802), Tunnel-Private-Group-ID = <VLAN_ID>। ৪. WLC এবং সুইচ কনফিগারেশন: ওয়্যারলেস LAN কন্ট্রোলারে AAA ওভাররাইড / ডায়নামিক VLAN অ্যাসাইনমেন্ট সক্ষম করুন এবং সমস্ত AP ট্রাঙ্ক পোর্টে VLAN ২০, ৩০ এবং ৪০ ট্যাগ করুন।
অনুশীলনী প্রশ্নসমূহ
Q1. কেন Microsoft Entra ID সরাসরি একটি স্ট্যান্ডার্ড ওয়্যারলেস অ্যাক্সেস পয়েন্ট থেকে লেগ্যাসি 802.1X PEAP-MSCHAPv2 অনুরোধগুলি প্রমাণীকরণ করতে ব্যর্থ হয়?
ইঙ্গিত: ক্লাউড ডিরেক্টরিতে সংরক্ষিত ক্রিপ্টোগ্রাফিক হ্যাশ বনাম অন-প্রিমিসেস NT LAN Manager (NTLM) হ্যাশগুলি বিবেচনা করুন।
মডেল উত্তর দেখুন
লেগ্যাসি PEAP-MSCHAPv2 প্রমাণীকরণ চ্যালেঞ্জ-হ্যান্ডশেক প্রমাণীকরণ প্রোটোকল সম্পাদন করতে NT LAN Manager (NTLM) পাসওয়ার্ড হ্যাশের উপর নির্ভর করে। Microsoft Entra ID হল একটি ক্লাউড আইডেন্টিটি পরিষেবা যা শুধুমাত্র ক্লাউডের ব্যবহারকারীদের জন্য কাঁচা NTLM পাসওয়ার্ড হ্যাশ সংরক্ষণ বা প্রকাশ করে না। তদ্ব্যতীত, Entra ID ইনবাউন্ড RADIUS (UDP 1812) বা LDAP (TCP 389) কোয়েরি সমর্থন করে না। ফলস্বরূপ, 802.1X ওয়্যারলেস অনুরোধগুলিকে অবশ্যই শংসাপত্র-ভিত্তিক EAP-TLS ব্যবহার করতে হবে বা OAuth/API টোকেনগুলির মাধ্যমে একীভূত একটি Cloud RADIUS পরিষেবার মাধ্যমে রুট করতে হবে।
Q2. একটি Intune-এ নথিভুক্ত Windows 11 ডিভাইস সফলভাবে তার SCEP শংসাপত্র গ্রহণ করে কিন্তু কর্পোরেট 802.1X WiFi নেটওয়ার্কে প্রমাণীকরণ করতে ব্যর্থ হয়। RADIUS লগ ত্রুটি প্রদর্শন করে: "EAP-TLS handshake failed: Unknown CA or certificate chain untrusted"। এর মূল কারণ এবং প্রতিকার কী?
ইঙ্গিত: ক্লায়েন্ট এবং RADIUS সার্ভার উভয়ের কাছে মোতায়েন করা শংসাপত্রের ট্রাস্ট অ্যাঙ্করগুলি পরীক্ষা করুন।
মডেল উত্তর দেখুন
এই ত্রুটিটি ঘটে যখন RADIUS সার্ভারের কাছে বিশ্বস্ত রুট সার্টিফিকেট অথরিটি (CA) থাকে না যা ক্লায়েন্ট SCEP শংসাপত্রে স্বাক্ষর করেছে, অথবা ক্লায়েন্ট RADIUS সার্ভার দ্বারা উপস্থাপিত সার্ভার শংসাপত্রটিকে বিশ্বাস করে না। প্রতিকারের জন্য প্রয়োজন: ১) Microsoft Cloud PKI / SCEP থেকে রুট CA এবং ইন্টারমিডিয়েট CA পাবলিক সার্টিফিকেটগুলি Cloud RADIUS বিশ্বস্ত সার্টিফিকেট স্টোরে আপলোড করা; ২) Intune-এ একটি বিশ্বস্ত সার্টিফিকেট প্রোফাইল স্থাপন করা যা Windows 11 ক্লায়েন্টের কাছে RADIUS সার্ভার রুট সার্টিফিকেট পুশ করে; ৩) Intune WiFi প্রোফাইল সার্ভার নামের তালিকায় সঠিক সার্ভার সার্টিফিকেটের Subject Alternative Name (SAN) নির্দিষ্ট করা।
Q3. ওয়্যারলেস নেটওয়ার্কে Microsoft Entra ID মাল্টি-ফ্যাক্টর অথেন্টিকেশন (MFA) ব্যবহার করার সময় আপনি কীভাবে RADIUS টাইমআউট সমস্যাগুলি প্রতিরোধ করবেন?
ইঙ্গিত: মানুষের ইন্টারেক্টিভ MFA প্রতিক্রিয়ার সময়ের তুলনায় ক্লায়েন্ট হ্যান্ডশেক টাইমআউট বাজেট বিশ্লেষণ করুন।
মডেল উত্তর দেখুন
স্ট্যান্ডার্ড 802.1X ওয়্যারলেস সাপ্লিক্যান্ট এবং অ্যাক্সেস পয়েন্টগুলো কঠোর EAP হ্যান্ডশেক টাইমআউট (সাধারণত ৫ থেকে ১০ সেকেন্ড) প্রয়োগ করে। যখন Azure MFA এক্সটেনশন সহ একটি অন-প্রিমিসেস NPS সার্ভার মোবাইল পুশ নোটিফিকেশন বা ফোন প্রম্পটের অনুরোধ করে, তখন ব্যবহারকারী খুব কমই ১০ সেকেন্ডের মধ্যে সাড়া দেন, যার ফলে ওয়্যারলেস কন্ট্রোলারটি সংযোগটি ড্রপ করে দেয়। এটি প্রতিরোধ করতে: ১) কর্পোরেট পরিচালিত ডিভাইসগুলোকে পাসওয়ার্ডহীন EAP-TLS সার্টিফিকেটে স্থানান্তরিত করুন, যা ইন্টারেক্টিভ প্রম্পট ছাড়াই জিরো-ট্রাস্ট আইডেন্টিটি কমপ্লায়েন্স পূরণ করে; ২) BYOD এবং গেস্ট অনবোর্ডিংয়ের জন্য, ওয়েব-ভিত্তিক Entra ID OAuth সিঙ্গেল সাইন-অন (SSO) সহ একটি Captive Portal ব্যবহার করুন, যেখানে নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে ব্রাউজার টাইমআউট ইন্টারেক্টিভ MFA সমর্থন করে।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী
Can Microsoft Entra ID (Azure AD) act as a direct RADIUS server for WiFi?
No. Microsoft Entra ID is a cloud identity provider communicating via HTTP REST APIs (Microsoft Graph, SAML, OIDC) and does not provide native RADIUS listening services (UDP 1812/1813). To authenticate enterprise WiFi with Entra ID, organizations deploy a Cloud RADIUS service or use Microsoft Intune SCEP to issue EAP-TLS client certificates validated against Entra ID.
What is the difference between EAP-TLS and PEAP-MSCHAPv2 with Entra ID?
EAP-TLS uses mutual X.509 digital certificates on both the client device and the RADIUS server, providing passwordless security resistant to credential theft and man-in-the-middle attacks. PEAP-MSCHAPv2 relies on usernames and passwords, which cannot be validated directly by Entra ID without maintaining on-premises Active Directory Domain Services (AD DS) and NPS infrastructure.
How does dynamic VLAN assignment work with Microsoft Entra ID?
When a user or managed device connects to the 802.1X SSID, the Cloud RADIUS server evaluates the user group memberships in Entra ID. Upon successful authentication, RADIUS returns RFC 2868 attributes (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) instructing the wireless access point to assign the client device to a specific isolated VLAN.
How do you deploy WiFi certificates to mobile devices using Microsoft Intune?
In Microsoft Intune, administrators configure two configuration profiles: 1) A Trusted Certificate profile deploying the Root CA public key; 2) A SCEP Certificate profile that requests client certificates from Microsoft Cloud PKI or an external SCEP server using the device Azure AD Device ID or User Principal Name (UPN). Intune then pushes a WiFi configuration profile that references the SCEP certificate.
Can guest visitors authenticate using Microsoft Entra ID single sign-on?
Yes. Purple captive portal solutions integrate with Microsoft Entra ID via SAML 2.0 or OAuth 2.0. When visitors or contractors connect to the guest SSID, the splash page redirects them to the organization branded Microsoft login portal, where they authenticate using their corporate Entra credentials before receiving controlled guest network access.
সূত্রসমূহ
- NIST SP 800-207 - Zero Trust Architecture
- Microsoft Learn - Microsoft Entra ID Authentication & Intune SCEP Overview
- IETF RFC 5216 - The EAP-TLS Authentication Protocol
- IETF RFC 2865 - Remote Authentication Dial In User Service (RADIUS)
- IETF RFC 2868 - RADIUS Attributes for Tunnel Protocol Support (VLAN Tagging)
- Purple - Enterprise WiFi Security Guide
- Purple - Cloud RADIUS vs On-Premises RADIUS
এই সিরিজে পড়া চালিয়ে যান
Sophos Firewall এবং গেস্ট WiFi: Purple-এর সাথে ক্যাপটিভ পোর্টাল সেটআপ
কীভাবে Purple-এর ক্লাউড গেস্ট WiFi একটি স্ট্যান্ডার্ড এক্সটার্নাল ক্যাপটিভ পোর্টাল এবং RADIUS-এর মাধ্যমে Sophos Firewall এবং এর অ্যাক্সেস পয়েন্টগুলোর সাথে কাজ করে, এবং কোথায় সাপোর্ট পরীক্ষা করতে হবে ও ধাপগুলো খুঁজে পেতে হবে।
Aruba Central এবং Purple WiFi: ক্লাউড-ম্যানেজড ইন্টিগ্রেশন
Purple-এর ক্লাউড-হোস্টেড গেস্ট WiFi ইন্টেলিজেন্স প্ল্যাটফর্মের সাথে Aruba Central-কে ইন্টিগ্রেট করার জন্য একটি বিস্তৃত টেকনিক্যাল রেফারেন্স গাইড। এই গাইডটি এন্টারপ্রাইজ আইটি টিমগুলোর জন্য আর্কিটেকচার, এক্সটার্নাল Captive Portal এবং RADIUS-এর ধাপে ধাপে কনফিগারেশন এবং মাল্টি-সাইট রোলআউট কৌশলগুলো কভার করে।
Okta এবং RADIUS: WiFi অথেনটিকেশনের সাথে আপনার আইডেন্টিটি প্রোভাইডারকে যুক্ত করা
এই নির্দেশিকাটি Okta-কেন্দ্রিক সংস্থাগুলির IT অ্যাডমিনিস্ট্রেটরদের জন্য একটি বিস্তারিত টেকনিক্যাল রেফারেন্স প্রদান করে যারা Okta RADIUS এজেন্ট ব্যবহার করে WiFi অথেনটিকেশনে তাদের ক্লাউড আইডেন্টিটি প্রোভাইডারকে প্রসারিত করতে চান। এটি সম্পূর্ণ অথেনটিকেশন আর্কিটেকচার, MFA এনফোর্সমেন্ট ট্রেড-অফ, RADIUS অ্যাট্রিবিউট ম্যাপিংয়ের মাধ্যমে ডাইনামিক VLAN অ্যাসাইনমেন্ট এবং পাসওয়ার্ড-ভিত্তিক EAP-TTLS এবং সার্টিফিকেট-ভিত্তিক EAP-TLS এর মধ্যে গুরুত্বপূর্ণ সিদ্ধান্তকে কভার করে। ভেন্যু অপারেটর এবং এন্টারপ্রাইজ IT টিম এখানে অ্যাকশনেবল ডিপ্লয়মেন্ট গাইডেন্স, হসপিটালিটি এবং রিটেল সেক্টরের বাস্তব কেস স্টাডি এবং ডেডিকেটেড গেস্ট WiFi সলিউশনের সাথে Okta RADIUS সংহত করার একটি স্পষ্ট ফ্রেমওয়ার্ক পাবেন।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।