EAP পদ্ধতির তুলনা: PEAP, EAP-TLS, EAP-TTLS, এবং EAP-FAST
এই নির্ভরযোগ্য প্রযুক্তিগত রেফারেন্স গাইডটি এন্টারপ্রাইজ WiFi অথেন্টিকেশনের জন্য PEAP, EAP-TLS, EAP-TTLS এবং EAP-FAST-এর একটি পাশাপাশি তুলনা প্রদান করে। এটি নিরাপত্তা ব্যবস্থা, স্থাপনার জটিলতা এবং ডিভাইসের সামঞ্জস্যের ওপর কার্যকর নির্দেশনা প্রদান করে যাতে IT ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের সর্বোত্তম 802.1X স্থাপনার কৌশল বেছে নিতে সহায়তা করা যায়।
📚 আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi নিরাপত্তা এবং অথেন্টিকেশন: সম্পূর্ণ গাইড →
সারসংক্ষেপ
এন্টারপ্রাইজ IT ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য, সঠিক Extensible Authentication Protocol (EAP) পদ্ধতি নির্বাচন করা একটি অত্যন্ত গুরুত্বপূর্ণ সিদ্ধান্ত যা নিরাপত্তা ব্যবস্থা, স্থাপনার জটিলতা এবং ব্যবহারকারীর অভিজ্ঞতার মধ্যে ভারসাম্য বজায় রাখে। যেহেতু প্রতিষ্ঠানগুলো ঝুঁকিপূর্ণ প্রি-শেয়ার্ড কি (PSK) থেকে 802.1X অথেন্টিকেশনের দিকে অগ্রসর হচ্ছে, তাই পছন্দটি সাধারণত চারটি প্রাথমিক পদ্ধতিতে সংকুচিত হয়ে আসে: PEAP, EAP-TLS, EAP-TTLS, এবং EAP-FAST। এই গাইডটি এই পদ্ধতিগুলোর একটি সরাসরি, প্রযুক্তিগত তুলনা প্রদান করে, যা আপনাকে আপনার Guest WiFi এবং অভ্যন্তরীণ কর্পোরেট নেটওয়ার্কের জন্য সঠিক আর্কিটেকচারাল সিদ্ধান্ত নিতে সাহায্য করবে। আমরা পাসওয়ার্ড-ভিত্তিক টানেলড পদ্ধতি এবং মিউচুয়াল সার্টিফিকেট অথেন্টিকেশনের মধ্যে নিরাপত্তার পার্থক্যগুলো পরীক্ষা করব, কখন কোন নির্দিষ্ট পদ্ধতিটি উপযুক্ত তা মূল্যায়ন করব এবং আধুনিক এন্টারপ্রাইজ পরিবেশের জন্য কার্যকর বাস্তবায়ন নির্দেশিকা প্রদান করব।
টেকনিক্যাল ডিপ-ডাইভ: EAP পদ্ধতির তুলনা
PEAP (Protected EAP)
PEAP-কে ব্যাপকভাবে 802.1X অথেন্টিকেশনের জন্য এন্টারপ্রাইজের প্রধান চালিকাশক্তি হিসেবে বিবেচনা করা হয়। Cisco, Microsoft এবং RSA Security দ্বারা যৌথভাবে তৈরি এই পদ্ধতিটি একটি সার্ভার-সাইড সার্টিফিকেট ব্যবহার করে একটি এনক্রিপ্ট করা TLS টানেল তৈরি করে। এই সুরক্ষিত টানেলের মধ্যে, ক্লায়েন্ট একটি লেগ্যাসি পদ্ধতি ব্যবহার করে অথেন্টিকেট করে, যার মধ্যে MSCHAPv2 সবচেয়ে সাধারণ।
PEAP-এর প্রধান সুবিধা হলো Windows, macOS, iOS এবং Android সহ আধুনিক অপারেটিং সিস্টেমগুলোতে এর প্রায় সর্বজনীন নেটিভ সাপোর্ট। যেহেতু এটির জন্য শুধুমাত্র RADIUS সার্ভারে একটি সার্টিফিকেটের প্রয়োজন হয় এবং ক্লায়েন্ট ডিভাইসে নয়, তাই এর স্থাপনা সার্টিফিকেট-ভিত্তিক বিকল্পগুলোর চেয়ে উল্লেখযোগ্যভাবে কম জটিল। এটি PEAP-কে Bring Your Own Device (BYOD) পরিবেশ বা পরিবহন হাবের মতো বড় পাবলিক ভেন্যুগুলোর জন্য অত্যন্ত আকর্ষণীয় করে তোলে যেখানে ক্লায়েন্ট সার্টিফিকেট পরিচালনা করা অবাস্তব।
তবে, পাসওয়ার্ডের ওপর PEAP-এর নির্ভরতা (MSCHAPv2-এর মাধ্যমে) নিরাপত্তা ঝুঁকি তৈরি করে। যদি একটি ক্লায়েন্ট ডিভাইস সার্ভারের সার্টিফিকেট যাচাই করার জন্য কঠোরভাবে কনফিগার করা না থাকে, তবে ব্যবহারকারীদের একটি রোগ অ্যাক্সেস পয়েন্ট (একটি "evil twin" আক্রমণ)-এর সাথে সংযোগ করতে প্রলুব্ধ করা যেতে পারে। রোগ AP তখন MSCHAPv2 চ্যালেঞ্জ-রেসপন্স ক্যাপচার করতে পারে, যা ব্যবহারকারীর পাসওয়ার্ড পুনরুদ্ধার করতে অফলাইনে ক্র্যাক করা যেতে পারে। তাই, PEAP স্থাপন করার সময় Group Policy বা MDM-এর মাধ্যমে কঠোর সার্ভার সার্টিফিকেট যাচাইকরণ বাধ্যতামূলক করা একটি আবশ্যকীয় নিরাপত্তা নিয়ন্ত্রণ।
EAP-TLS (EAP-Transport Layer Security)
EAP-TLS এন্টারপ্রাইজ ওয়্যারলেস নিরাপত্তার জন্য গোল্ড স্ট্যান্ডার্ড হিসেবে বিবেচিত। PEAP-এর বিপরীতে, EAP-TLS-এর জন্য মিউচুয়াল সার্টিফিকেট অথেন্টিকেশন প্রয়োজন। কোনো নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে RADIUS সার্ভার এবং ক্লায়েন্ট ডিভাইস উভয়কেই একটি বৈধ ডিজিটাল সার্টিফিকেট উপস্থাপন করতে হবে।
এই মিউচুয়াল অথেন্টিকেশন পাসওয়ার্ডের প্রয়োজনীয়তাকে সম্পূর্ণরূপে দূর করে, যা ক্রেডেনশিয়াল চুরি, ডিকশনারি অ্যাটাক এবং রোগ AP আক্রমণকে নিষ্ক্রিয় করে তোলে। যদি কোনো ডিভাইসে সঠিক ক্লায়েন্ট সার্টিফিকেট না থাকে, তবে এটি কেবল নেটওয়ার্কের সাথে সংযোগ করতে পারবে না। যেসব প্রতিষ্ঠানের জন্য কঠোর নিয়ন্ত্রক প্রয়োজনীয়তা রয়েছে, যেমন খুচরা ব্যবসা খাতে PCI-DSS বা স্বাস্থ্যসেবা খাতে HIPAA, তাদের জন্য EAP-TLS অত্যন্ত সুপারিশকৃত একটি পদ্ধতি।
এই উন্নত নিরাপত্তার বিপরীতে যে আপসটি করতে হয় তা হলো স্থাপনার জটিলতা। EAP-TLS বাস্তবায়নের জন্য সার্টিফিকেট ইস্যু, নবায়ন এবং বাতিল করার জন্য একটি শক্তিশালী Public Key Infrastructure (PKI) প্রয়োজন। এন্ডপয়েন্টগুলোতে এই সার্টিফিকেটগুলো নিরাপদে বিতরণ করার জন্য একটি Mobile Device Management (MDM) সমাধান, যেমন Microsoft Intune বা Jamf-এরও প্রয়োজন হয়। Apple পরিবেশের নির্দেশনার জন্য, আমাদের Jamf এবং RADIUS: Apple ডিভাইস ফ্লিটের জন্য সার্টিফিকেট-ভিত্তিক WiFi অথেন্টিকেশন গাইডটি দেখুন। EAP-TLS হলো কর্পোরেট-মালিকানাধীন, পরিচালিত ডিভাইস ফ্লিটের জন্য সর্বোত্তম পছন্দ যেখানে নিরাপত্তাই সবচেয়ে গুরুত্বপূর্ণ।
EAP-TTLS (EAP Tunneled TLS)
Funk Software এবং Certicom দ্বারা যৌথভাবে তৈরি EAP-TTLS, একটি সার্ভার-সাইড সার্টিফিকেট ব্যবহার করে একটি এনক্রিপ্ট করা TLS টানেল স্থাপন করার মাধ্যমে PEAP-এর মতোই কাজ করে। এর মূল পার্থক্যকারী বৈশিষ্ট্য হলো অভ্যন্তরীণ অথেন্টিকেশন পদ্ধতির ক্ষেত্রে এর নমনীয়তা। যদিও PEAP মূলত MSCHAPv2-এর সাথে গভীরভাবে যুক্ত, EAP-TTLS টানেলের মধ্যে নিরাপদে PAP, CHAP বা MSCHAP সহ প্রায় যেকোনো অথেন্টিকেশন প্রোটোকলকে এনক্যাপসুলেট করতে পারে।
এই নমনীয়তা EAP-TTLS-কে এমন পরিবেশগুলোতে অত্যন্ত মূল্যবান করে তোলে যেখানে পুরানো LDAP ডিরেক্টরি, RADIUS প্রক্সি বা নন-Microsoft আইডেন্টিটি স্টোরগুলোর বিরুদ্ধে অথেন্টিকেট করতে হয় যা নেটিভভাবে MSCHAPv2 সমর্থন করে না। এটি আন্তর্জাতিক গবেষণা ও শিক্ষা সম্প্রদায়ের জন্য বিশ্বব্যাপী রোমিং অ্যাক্সেস পরিষেবা Eduroam-এর মূল প্রোটোকল হিসেবে পরিচিত। ঐতিহাসিকভাবে, EAP-TTLS-এর জন্য নেটিভ ক্লায়েন্ট সাপোর্ট PEAP-এর চেয়ে কম ছিল, যার জন্য প্রায়শই পুরানো Windows সংস্করণে থার্ড-পার্টি সাপ্লিক্যান্টের প্রয়োজন হতো, তবে আধুনিক অপারেটিং সিস্টেমগুলো এখন শক্তিশালী নেটিভ সাপোর্ট প্রদান করে।
EAP-FAST (Flexible Authentication via Secure Tunneling)
অত্যন্ত ঝুঁকিপূর্ণ LEAP প্রোটোকলের দ্রুত প্রতিস্থাপন হিসেবে Cisco দ্বারা তৈরি EAP-FAST ডিজিটাল সার্টিফিকেট স্থাপনের কঠোর প্রয়োজনীয়তা ছাড়াই নিরাপদ অথেন্টিকেশন প্রদানের জন্য ডিজাইন করা হয়েছিল। সুরক্ষিত টানেল স্থাপন করতে একটি সার্ভার সার্টিফিকেট ব্যবহার করার পরিবর্তে, EAP-FAST Protected Access Credentials (PACs)—অথেন্টিকেশন সার্ভার দ্বারা ক্লায়েন্টদের গতিশীলভাবে সরবরাহ করা ডেটার অস্বচ্ছ ব্লকের ওপর নির্ভর করে।
EAP-FAST এর দ্রুত সেশন পুনরায় শুরু করার ক্ষমতা দ্বারা চিহ্নিত করা হয়। যদিও এটি একটি সুরক্ষিত, এনক্রিপ্ট করা টানেল প্রদান করে, স্ট্যান্ডার্ড X.509 সার্টিফিকেটের পরিবর্তে PACs-এর ওপর এর নির্ভরতা এটিকে কিছুটা প্রোপ্রাইটরি এবং আধুনিক, ভেন্ডর-নিরপেক্ষ জিরো-ট্রাস্ট আর্কিটেকচারের সাথে কম সামঞ্জস্যপূর্ণ করে তোলে। বর্তমানে, EAP-FAST মূলত লেগ্যাসি Cisco-কেন্দ্রিক পরিবেশ, নির্দিষ্ট IoT স্থাপনা বা বিশেষায়িত রাগেডাইজড ডিভাইসে প্রাসঙ্গিক। অধিকাংশ নতুন এন্টারপ্রাইজ স্থাপনার জন্য, PEAP বা EAP-TLS-কে অগ্রাধিকার দেওয়া হয়।
বাস্তবায়ন নির্দেশিকা
802.1X অথেন্টিকেশন স্থাপনের জন্য ওয়্যারলেস অ্যাক্সেস পয়েন্ট থেকে শুরু করে RADIUS অবকাঠামো এবং আইডেন্টিটি প্রোভাইডার পর্যন্ত পুরো নেটওয়ার্ক স্ট্যাক জুড়ে সতর্ক পরিকল্পনার প্রয়োজন। Purple-এর প্ল্যাটফর্মের সাথে একীভূত করার সময়, আমাদের RADIUS সার্ভারগুলো সমস্ত প্রধান EAP পদ্ধতি সমর্থন করে, যা ব্যবহারকারীরা Wayfinding বা WiFi Analytics -এর মতো বৈশিষ্ট্যগুলোর সাথে ইন্টারঅ্যাক্ট করার আগে নির্বিঘ্ন অথেন্টিকেশন নিশ্চিত করে।
ধাপ ১: অথেন্টিকেশন কৌশল নির্ধারণ করুন
আপনার এন্ডপয়েন্ট ফ্লিট মূল্যায়ন করুন। যদি ডিভাইসগুলো কর্পোরেট-মালিকানাধীন হয় এবং MDM-এর মাধ্যমে পরিচালিত হয়, তবে EAP-TLS লক্ষ্য করুন। আপনি যদি BYOD সমর্থন করেন, তবে PEAP হলো বাস্তবসম্মত পছন্দ। আপনার আইডেন্টিটি প্রোভাইডার (Active Directory, Google Workspace, Okta) প্রয়োজনীয় প্রোটোকলগুলো (যেমন, PEAP-এর জন্য MSCHAPv2) সমর্থন করে কিনা তা নিশ্চিত করুন।
ধাপ ২: সার্টিফিকেট ব্যবস্থাপনা
EAP-FAST ছাড়া অন্য সব পদ্ধতির জন্য, আপনাকে আপনার RADIUS সার্ভারে একটি সার্ভার সার্টিফিকেট স্থাপন করতে হবে। ক্লায়েন্ট-সাইড ট্রাস্ট ওয়ার্নিং কমাতে এই সার্টিফিকেটটি আদর্শভাবে একটি বিশ্বস্ত পাবলিক Certificate Authority (CA) দ্বারা ইস্যু করা উচিত, যদিও আপনি সমস্ত এন্ডপয়েন্ট নিয়ন্ত্রণ করলে একটি অভ্যন্তরীণ Enterprise CA ব্যবহার করা যেতে পারে। EAP-TLS-এর জন্য, আপনার PKI স্থাপন করুন এবং সঠিক Subject Alternative Name (SAN) ম্যাপিং সহ ক্লায়েন্ট সার্টিফিকেটগুলো স্বয়ংক্রিয়ভাবে সরবরাহ করতে আপনার MDM কনফিগার করুন।
ধাপ ৩: RADIUS এবং অ্যাক্সেস পয়েন্ট কনফিগারেশন
আপনার ওয়্যারলেস অ্যাক্সেস পয়েন্টগুলোকে WPA2-Enterprise বা WPA3-Enterprise ব্যবহার করার জন্য কনফিগার করুন, সঠিক শেয়ার্ড সিক্রেট সহ সেগুলোকে আপনার RADIUS সার্ভারের IP অ্যাড্রেসগুলোতে নির্দেশ করুন। RADIUS সার্ভারে, আপনার নেটওয়ার্ক নীতিগুলো নির্ধারণ করুন, অনুমোদিত EAP পদ্ধতিগুলো নির্দিষ্ট করুন এবং ব্যবহারকারী বা ডিভাইস গ্রুপের সদস্যতার ওপর ভিত্তি করে সফল অথেন্টিকেশনগুলোকে উপযুক্ত VLAN-এ ম্যাপ করুন।
ধাপ ৪: এন্ডপয়েন্ট সাপ্লিক্যান্ট কনফিগারেশন
নিরাপত্তার জন্য এটি সবচেয়ে গুরুত্বপূর্ণ ধাপ। PEAP-এর জন্য, ডিভাইসগুলোতে একটি প্রি-কনফিগার করা WiFi প্রোফাইল পুশ করতে MDM বা Group Policy ব্যবহার করুন। এই প্রোফাইলে অবশ্যই স্পষ্টভাবে বিশ্বস্ত RADIUS সার্ভারের নাম এবং সার্ভার সার্টিফিকেট ইস্যুকারী বিশ্বস্ত Root CA নির্দিষ্ট করতে হবে। অত্যন্ত গুরুত্বপূর্ণভাবে, ব্যবহারকারীদের নতুন সার্ভার বা সার্টিফিকেট বিশ্বাস করার জন্য অনুরোধ জানানোর বিকল্পটি নিষ্ক্রিয় করুন।
সেরা অনুশীলনসমূহ
১. সার্টিফিকেটের জন্য কখনই ব্যবহারকারীর সিদ্ধান্তের ওপর নির্ভর করবেন না: PEAP বা EAP-TTLS স্থাপন করার সময়, নির্দিষ্ট সার্ভার সার্টিফিকেটগুলোকে বিশ্বাস করার জন্য সর্বদা এন্ডপয়েন্ট সাপ্লিক্যান্টগুলোকে আগে থেকে কনফিগার করুন। সার্টিফিকেট সতর্কবার্তায় ব্যবহারকারীদের "Accept" ক্লিক করার ওপর নির্ভর করা পুরো নিরাপত্তা модельকে দুর্বল করে এবং নেটওয়ার্ককে রোগ AP আক্রমণের মুখোমুখি করে। ২. সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট স্বয়ংক্রিয় করুন: সার্টিফিকেট মেয়াদোত্তীর্ণ হওয়া 802.1X বিভ্রাটের একটি প্রধান কারণ। EAP-TLS স্থাপনায় RADIUS সার্ভার সার্টিফিকেট এবং ক্লায়েন্ট সার্টিফিকেট উভয়ের জন্যই স্বয়ংক্রিয় পর্যবেক্ষণ এবং নবায়ন প্রক্রিয়া বাস্তবায়ন করুন। ৩. WPA3-Enterprise বাস্তবায়ন করুন: যেখানে ক্লায়েন্ট সাপোর্ট অনুমতি দেয়, সেখানে WPA3-Enterprise-এ স্থানান্তরিত হন। এটি Protected Management Frames (PMF) ব্যবহার বাধ্যতামূলক করে এবং একটি ১৯২-বিট সিকিউরিটি স্যুট বিকল্প অফার করে, যা WPA2-এর চেয়ে শক্তিশালী ক্রিপ্টোগ্রাফিক সুরক্ষা প্রদান করে। ৪. নেটওয়ার্ক বিভক্ত করুন: ব্যবহারকারীদের সময়ের ওপর ভিত্তি করে নির্দিষ্ট VLAN-এ গতিশীলভাবে অথেন্টিকেটেড ব্যবহারকারীদের বরাদ্দ করতে RADIUS অ্যাট্রিবিউট (যেমন Filter-Id বা Tunnel-Private-Group-Id) ব্যবহার করুন, যা কর্পোরেট সম্পদ থেকে গেস্ট ট্রাফিককে আলাদা করে। আধুনিক নেটওয়ার্ক ডিজাইন সম্পর্কে আরও জানতে, আধুনিক ব্যবসার জন্য মূল SD WAN সুবিধাগুলো পর্যালোচনা করুন।
সমস্যা সমাধান এবং ঝুঁকি প্রশমন
EAP স্থাপনায় সাধারণ ব্যর্থতার ধরনগুলো সাধারণত সার্টিফিকেট যাচাইকরণ এবং আইডেন্টিটি প্রোভাইডার ইন্টিগ্রেশনকে কেন্দ্র করে ঘটে।
- লক্ষণ: RADIUS সার্ভার আপডেটের পর ক্লায়েন্টরা সংযোগ করতে ব্যর্থ হচ্ছে।
- ঝুঁকি: নতুন সার্ভার সার্টিফিকেটটি ক্লায়েন্টদের দ্বারা বিশ্বস্ত Root CA দ্বারা ইস্যু করা হয়নি, অথবা সার্ভারের নাম পরিবর্তিত হয়েছে।
- প্রশমন: সর্বদা একটি স্টেজিং পরিবেশে সার্টিফিকেট রোলওভার পরীক্ষা করুন। প্রোডাকশনে প্রয়োগ করার আগে নতুন সার্টিফিকেট চেইনটি সমস্ত এন্ডপয়েন্ট প্রোফাইল দ্বারা সম্পূর্ণরূপে বিশ্বস্ত কিনা তা নিশ্চিত করুন।
- লক্ষণ: iOS ডিভাইসগুলো ঠিকঠাক সংযুক্ত হচ্ছে, কিন্তু Windows ডিভাইসগুলো ব্যর্থ হচ্ছে।
- ঝুঁকি: Windows সাপ্লিক্যান্টগুলো প্রায়শই সার্ভার সার্টিফিকেটে Server Name Indication (SNI) বা নির্দিষ্ট EKU (Extended Key Usage) অ্যাট্রিবিউট যাচাই করার বিষয়ে আরও কঠোর হয়।
- প্রশমন: সার্ভার সার্টিফিকেটে 'Server Authentication' EKU অন্তর্ভুক্ত রয়েছে এবং SAN-টি Windows WiFi প্রোফাইলে কনফিগার করা নামের সাথে মেলে কিনা তা যাচাই করুন।
ROI এবং ব্যবসায়িক প্রভাব
একটি শক্তিশালী EAP পদ্ধতিতে রূপান্তর নিছক নিরাপত্তার বাইরেও উল্লেখযোগ্য ব্যবসায়িক মূল্য প্রদান করে। শেয়ার্ড পাসওয়ার্ড দূর করার মাধ্যমে, IT টিমগুলো পাসওয়ার্ড রিসেট বা আপোসকৃত PSK সংক্রান্ত হেল্পডেস্ক টিকিটের অপারেশনাল ওভারহেড কমিয়ে দেয়। আতিথেয়তা খাতের মতো পরিবেশগুলোতে, যেখানে কর্মীদের পরিবর্তনের হার বেশি হতে পারে, সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন (EAP-TLS) নিশ্চিত করে যে কোনো ডিভাইস ওয়াইপ করা হলে বা সার্টিফিকেটের মেয়াদ শেষ হলে অ্যাক্সেস স্বয়ংক্রিয়ভাবে বাতিল হয়ে যায়, যার জন্য কোনো গ্লোবাল পাসওয়ার্ড পরিবর্তন করার প্রয়োজন হয় না।
তাছাড়া, শক্তিশালী অথেন্টিকেশন হলো PCI-DSS এবং GDPR-এর মতো কমপ্লায়েন্স ফ্রেমওয়ার্কগুলোর জন্য একটি পূর্বশর্ত। শক্তিশালী অ্যাক্সেস নিয়ন্ত্রণ প্রদর্শনের মাধ্যমে, প্রতিষ্ঠানগুলো ডেটা লঙ্ঘনের সাথে সম্পর্কিত নিয়ন্ত্রক জরিমানা এবং সুনামহানির ঝুঁকি প্রশমন করে। ভেন্যু অবকাঠামো আপগ্রেড করার বিষয়ে আরও বিস্তারিত জানতে, আধুনিক আতিথেয়তা WiFi সমাধান যা আপনার অতিথিরা পাওয়ার যোগ্য দেখুন।
পডকাস্ট ব্রিফিং
বাস্তবায়ন কৌশল এবং সাধারণ ত্রুটিগুলো কভার করে EAP পদ্ধতিগুলোর ওপর আমাদের ১০ মিনিটের প্রযুক্তিগত ব্রিফিংটি শুনুন:
মূল সংজ্ঞাসমূহ
802.1X
পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের জন্য একটি IEEE স্ট্যান্ডার্ড যা LAN বা WLAN-এর সাথে যুক্ত হতে ইচ্ছুক ডিভাইসগুলোকে একটি অথেন্টিকেশন মেকানিজম প্রদান করে।
IT টিমগুলো অনিরাপদ শেয়ার্ড পাসওয়ার্ড (PSK) পরিবর্তন করে ব্যক্তিগতকৃত, এন্টারপ্রাইজ-গ্রেড অথেন্টিকেশন চালু করতে 802.1X বাস্তবায়ন করে।
RADIUS (Remote Authentication Dial-In User Service)
একটি নেটওয়ার্কিং প্রোটোকল যা কোনো নেটওয়ার্ক পরিষেবা সংযোগকারী এবং ব্যবহারকারী গ্রাহকদের জন্য কেন্দ্রীভূত Authentication, Authorization, and Accounting (AAA) ব্যবস্থাপনা প্রদান করে।
RADIUS সার্ভারটি একটি 802.1X স্থাপনার কেন্দ্রীয় মস্তিষ্ক হিসেবে কাজ করে, যা একটি আইডেন্টিটি প্রোভাইডারের বিপরীতে ক্রেডেনশিয়াল যাচাই করে এবং অ্যাক্সেস পয়েন্টকে সংযোগের অনুমতি দেওয়া হবে কিনা তা জানায়।
Supplicant
একটি এন্ডপয়েন্ট ডিভাইসের (ল্যাপটপ, স্মার্টফোন) সফ্টওয়্যার ক্লায়েন্ট যা 802.1X-এর মাধ্যমে নেটওয়ার্ক অ্যাক্সেস নিয়ে আলোচনা করতে অথেন্টিকেটর (অ্যাক্সেস পয়েন্ট)-এর সাথে যোগাযোগ করে।
ভুলভাবে কনফিগার করা সাপ্লিক্যান্টগুলো PEAP স্থাপনায় নিরাপত্তা দুর্বলতার প্রাথমিক কারণ, বিশেষ করে যখন সার্ভার সার্টিফিকেট যাচাইকরণ নিষ্ক্রিয় থাকে।
Mutual Authentication
একটি নিরাপত্তা প্রক্রিয়া যেখানে একটি যোগাযোগ লিঙ্কের উভয় সত্তা একে অপরকে অথেন্টিকেট করে (যেমন, ক্লায়েন্ট সার্ভারকে যাচাই করে এবং সার্ভার ক্লায়েন্টকে যাচাই করে)।
রোগ AP আক্রমণ প্রতিরোধের জন্য অত্যন্ত গুরুত্বপূর্ণ; EAP-TLS এটি সহজাতভাবে প্রয়োগ করে, যেখানে ক্লায়েন্ট-টু-সার্ভার যাচাইকরণ অর্জনের জন্য PEAP-এর কঠোর সাপ্লিক্যান্ট কনফিগারেশনের প্রয়োজন হয়।
PKI (Public Key Infrastructure)
ডিজিটাল সার্টিফিকেট তৈরি, পরিচালনা, বিতরণ, ব্যবহার, সংরক্ষণ এবং বাতিল করার জন্য প্রয়োজনীয় ভূমিকা, নীতি, হার্ডওয়্যার, সফ্টওয়্যার এবং পদ্ধতির একটি সেট।
একটি শক্তিশালী PKI হলো EAP-TLS স্থাপনের পূর্বশর্ত, যা প্রায়শই ছোট IT টিমগুলোর জন্য প্রবেশের সবচেয়ে বড় বাধা হিসেবে কাজ করে।
Evil Twin Attack
একটি রোগ ওয়্যারলেস অ্যাক্সেস পয়েন্ট যা ওয়্যারলেস যোগাযোগে আড়ি পাততে বা ক্রেডেনশিয়াল চুরি করতে একটি বৈধ এন্টারপ্রাইজ নেটওয়ার্কের ছদ্মবেশ ধারণ করে।
এটি দুর্বলভাবে কনফিগার করা PEAP স্থাপনার বিরুদ্ধে প্রাথমিক থ্রেট ভেক্টর যেখানে ক্লায়েন্টরা RADIUS সার্ভার সার্টিফিকেট যাচাই করে না।
PAC (Protected Access Credential)
একটি অথেন্টিকেশন সার্ভার দ্বারা ক্লায়েন্টকে গতিশীলভাবে সরবরাহ করা একটি শক্তিশালী শেয়ার্ড সিক্রেট, যা একটি সুরক্ষিত টানেল স্থাপন করতে বিশেষভাবে EAP-FAST-এ ব্যবহৃত হয়।
PACs ডিজিটাল সার্টিফিকেট স্থাপনের প্রয়োজন ছাড়াই EAP-FAST-কে নিরাপদ অথেন্টিকেশন প্রদানের অনুমতি দেয়।
MDM (Mobile Device Management)
একাধিক মোবাইল পরিষেবা প্রদানকারী এবং একাধিক মোবাইল অপারেটিং সিস্টেম জুড়ে কর্মচারীদের মোবাইল ডিভাইসগুলো পর্যবেক্ষণ, পরিচালনা এবং সুরক্ষিত করতে একটি IT বিভাগ দ্বারা ব্যবহৃত নিরাপত্তা সফ্টওয়্যার।
আধুনিক EAP-TLS স্থাপনার জন্য MDM অপরিহার্য, যা IT-কে কর্পোরেট ডিভাইসগুলোতে নীরবে ক্লায়েন্ট সার্টিফিকেট এবং কঠোর WiFi প্রোফাইল পুশ করার অনুমতি দেয়।
সমাধানকৃত উদাহরণসমূহ
একটি জাতীয় খুচরা চেইনকে ৫০০টি স্টোর জুড়ে পয়েন্ট-অফ-সেল (POS) ট্যাবলেটের জন্য সুরক্ষিত WiFi স্থাপন করতে হবে। ট্যাবলেটগুলো কর্পোরেট-মালিকানাধীন এবং Microsoft Intune-এর মাধ্যমে পরিচালিত। সেগুলোকে অবশ্যই PCI-DSS প্রয়োজনীয়তা মেনে চলতে হবে। তাদের কোন EAP পদ্ধতি স্থাপন করা উচিত এবং কীভাবে?
প্রতিষ্ঠানটির EAP-TLS স্থাপন করা উচিত। Microsoft Intune ব্যবহার করে, তারা প্রতিটি POS ট্যাবলেটে স্বয়ংক্রিয়ভাবে অনন্য ক্লায়েন্ট সার্টিফিকেট সরবরাহ করতে একটি Simple Certificate Enrollment Protocol (SCEP) প্রোফাইল কনফিগার করবে। তারপর তারা Intune-এর মাধ্যমে একটি WiFi প্রোফাইল পুশ করবে যা ট্যাবলেটগুলোকে WPA2/WPA3-Enterprise ব্যবহার করে সংযোগ করার জন্য কনফিগার করে, যেখানে অথেন্টিকেশন পদ্ধতি হিসেবে EAP-TLS নির্দিষ্ট করা থাকবে এবং সরবরাহকৃত ক্লায়েন্ট সার্টিফিকেটটি নির্বাচন করা থাকবে। RADIUS সার্ভারগুলোকে এই সার্টিফিকেটগুলোর ওপর ভিত্তি করে ডিভাইসগুলোকে অথেন্টিকেট করার জন্য কনফিগার করা হবে, যা সেগুলোকে একটি সীমাবদ্ধ PCI-কমপ্লায়েন্ট VLAN-এ ম্যাপ করবে।
একটি বড় বিশ্ববিদ্যালয়কে ব্যক্তিগত ল্যাপটপ, স্মার্টফোন এবং ট্যাবলেটের (BYOD) মিশ্রণ ব্যবহারকারী ২০,০০০ শিক্ষার্থীর জন্য সুরক্ষিত WiFi প্রদান করতে হবে। বিশ্ববিদ্যালয়টি আইডেন্টিটি ম্যানেজমেন্টের জন্য Active Directory ব্যবহার করে। তাদের কীভাবে 802.1X-এর দিকে অগ্রসর হওয়া উচিত?
বিশ্ববিদ্যালয়টির MSCHAPv2 সহ PEAP স্থাপন করা উচিত। তারা তাদের RADIUS সার্ভারগুলোতে একটি সুপরিচিত পাবলিক Certificate Authority (যেমন, DigiCert, Let's Encrypt) থেকে একটি সার্ভার সার্টিফিকেট ইনস্টল করবে। নিরাপত্তা নিশ্চিত করতে, তাদের অবশ্যই একটি অনবোর্ডিং টুল (যেমন SecureW2 বা একটি কাস্টম অ্যাপ) প্রদান করতে হবে যা স্বয়ংক্রিয়ভাবে শিক্ষার্থীদের ডিভাইসগুলো কনফিগার করে। এই টুলটি WiFi প্রোফাইল তৈরি করবে, স্পষ্টভাবে বিশ্বস্ত RADIUS সার্ভারের নামগুলো নির্ধারণ করবে এবং সার্ভার সার্টিফিকেট যাচাইকরণ বাধ্যতামূলক করবে, যা শিক্ষার্থীদের রোগ AP-এর সাথে সংযোগ করা থেকে বিরত রাখবে।
অনুশীলনী প্রশ্নসমূহ
Q1. আপনার প্রতিষ্ঠান Google Workspace থেকে একটি নতুন ক্লাউড-ভিত্তিক আইডেন্টিটি প্রোভাইডারে স্থানান্তরিত হচ্ছে যা কেবল LDAP সমর্থন করে এবং MSCHAPv2 সমর্থন করে না। লেগ্যাসি ডিভাইসগুলোর জন্য আপনাকে আপনার বিদ্যমান পাসওয়ার্ড-ভিত্তিক 802.1X WiFi বজায় রাখতে হবে। আপনার RADIUS সার্ভারে আপনাকে কোন EAP পদ্ধতি কনফিগার করতে হবে?
ইঙ্গিত: বিবেচনা করুন কোন টানেলড পদ্ধতিটি MSCHAPv2 ছাড়া অন্য অভ্যন্তরীণ অথেন্টিকেশন প্রোটোকলগুলোর অনুমতি দেয়।
মডেল উত্তর দেখুন
আপনাকে EAP-TTLS কনফিগার করতে হবে। PEAP-এর বিপরীতে, যা অভ্যন্তরীণ অথেন্টিকেশনের জন্য MSCHAPv2-এর ওপর ব্যাপকভাবে নির্ভরশীল, EAP-TTLS তার সুরক্ষিত TLS টানেলের মধ্যে PAP বা CHAP-এর মতো পুরানো প্রোটোকলগুলোকে এনক্যাপসুলেট করতে পারে, যা এটিকে MSCHAPv2 সমর্থনহীন LDAP ডিরেক্টরিগুলোর সাথে ইন্টারফেস করার অনুমতি দেয়।
Q2. একটি নিরাপত্তা অডিটে দেখা গেছে যে ব্যবহারকারীরা যখন কফি শপের পাবলিক WiFi নেটওয়ার্কগুলোতে তাদের স্মার্টফোন সংযুক্ত করে, তখন তাদের Active Directory পাসওয়ার্ডগুলো আপোসকৃত হচ্ছে। আক্রমণকারীরা কর্পোরেট SSID ব্রডকাস্ট করছে। আপনার বর্তমান স্থাপনায় PEAP ব্যবহৃত হচ্ছে। EAP পদ্ধতি পরিবর্তন না করে আপনি কীভাবে এটি প্রশমন করবেন?
ইঙ্গিত: সমস্যাটি হলো ক্লায়েন্ট ডিভাইসগুলো অন্ধভাবে রোগ AP-কে বিশ্বাস করছে। আপনি কীভাবে ক্লায়েন্টকে যাচাই করতে বাধ্য করবেন যে এটি আসল কর্পোরেট নেটওয়ার্কের সাথে কথা বলছে?
মডেল উত্তর দেখুন
আপনাকে কঠোর সার্ভার সার্টিফিকেট যাচাইকরণ প্রয়োগ করতে এন্ডপয়েন্ট সাপ্লিক্যান্টগুলোকে (MDM বা Group Policy-এর মাধ্যমে) কনফিগার করতে হবে। WiFi প্রোফাইলে অবশ্যই স্পষ্টভাবে বিশ্বস্ত কর্পোরেট RADIUS সার্ভারগুলোর নাম এবং তাদের সার্টিফিকেট ইস্যুকারী নির্দিষ্ট Root CA উল্লেখ করতে হবে। অতিরিক্তভাবে, আপনাকে এমন সেটিং নিষ্ক্রিয় করতে হবে যা ব্যবহারকারীদের অজানা সার্টিফিকেট বিশ্বাস করার জন্য অনুরোধ জানায়, যাতে সার্ভারটি অথেন্টিকেটেড না হলে সংযোগটি নীরবে ব্যর্থ হয়।
Q3. আপনি একটি গুদামে রাগেডাইজড বারকোড স্ক্যানার ফ্লিট স্থাপন করছেন। ডিভাইসগুলো একটি লেগ্যাসি এমবেডেড OS চালায় যা WPA2-Enterprise বা স্ট্যান্ডার্ড 802.1X সার্টিফিকেট সমর্থন করে না, তবে সেগুলো Cisco Compatible Extensions (CCX) সমর্থন করে। আপনার নিরাপদ অথেন্টিকেশন প্রয়োজন। ব্যবহারের জন্য সবচেয়ে সম্ভাব্য EAP পদ্ধতি কোনটি?
ইঙ্গিত: এমন প্রোটোকলটি খুঁজুন যা বিশেষভাবে Cisco দ্বারা এমন পরিবেশের জন্য তৈরি করা হয়েছে যেখানে সার্টিফিকেট স্থাপন করা চ্যালেঞ্জিং বা অসম্ভব।
মডেল উত্তর দেখুন
এখানে EAP-FAST উপযুক্ত পছন্দ। এটি বিশেষভাবে Cisco দ্বারা এমন পরিবেশের জন্য ডিজাইন করা হয়েছিল যেখানে সার্টিফিকেট স্থাপন করা অবাস্তব। এটি সুরক্ষিত টানেল স্থাপন করতে গতিশীলভাবে সরবরাহকৃত Protected Access Credentials (PACs) ব্যবহার করে, যা এটিকে লেগ্যাসি বা বিশেষায়িত হার্ডওয়্যারের জন্য উপযুক্ত করে তোলে যা CCX সমর্থন করে কিন্তু শক্তিশালী PKI ক্ষমতার অভাব রয়েছে।
এই সিরিজে পড়া চালিয়ে যান
Server RADIUS: ব্যবসার জন্য একটি বিস্তৃত নির্দেশিকা
এই নির্দেশিকাটি IT ম্যানেজার, নেটওয়ার্ক স্থপতি এবং CTO-দের এন্টারপ্রাইজ WiFi-এর জন্য server RADIUS প্রমাণীকরণ (authentication) সংক্রান্ত একটি সুনির্দিষ্ট প্রযুক্তিগত রেফারেন্স প্রদান করে। এতে AAA ফ্রেমওয়ার্ক, 802.1X আর্কিটেকচার, EAP পদ্ধতি নির্বাচন, ক্লাউড বনাম অন-প্রিমিসেস ডেপ্লয়মেন্টের সুবিধা-অসুবিধা এবং ডাইনামিক VLAN অ্যাসাইনমেন্ট অন্তর্ভুক্ত রয়েছে। আতিথেয়তা (hospitality), রিটেইল, ইভেন্ট এবং পাবলিক সেক্টর জুড়ে ভেন্যু অপারেটররা এখানে কার্যকরী বাস্তবায়ন নির্দেশিকা, বাস্তব-জগতের কেস স্টাডি এবং অনিরাপদ প্রি-শেয়ার্ড কি (PSK) থেকে একটি নিরাপদ, পরিচয়-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল আর্কিটেকচারে স্থানান্তরিত হওয়ার জন্য প্রয়োজনীয় সিদ্ধান্ত গ্রহণের ফ্রেমওয়ার্ক পাবেন।
Aruba ClearPass বনাম Purple WiFi: বৈশিষ্ট্য এবং সহ-স্থাপনার তুলনা
Aruba ClearPass এবং Purple WiFi-এর সহ-স্থাপনা আর্কিটেকচারের বিস্তারিত বিবরণ সম্বলিত একটি ব্যাপক প্রযুক্তিগত নির্দেশিকা। এটিতে RADIUS প্রক্সি কনফিগারেশন, ডাইনামিক VLAN অ্যাসাইনমেন্ট এবং এন্টারপ্রাইজ NAC-এর পাশাপাশি নিরাপদ, অ্যানালিটিক্স-চালিত গেস্ট নেটওয়ার্ক প্রদানের সর্বোত্তম অনুশীলনগুলি অন্তর্ভুক্ত রয়েছে।
Cisco ISE বনাম Purple WiFi: কীভাবে তারা তুলনা করে এবং একসাথে কাজ করে
এই নির্দেশিকাটি ব্যাখ্যা করে যে কীভাবে Cisco ISE এবং Purple WiFi এন্টারপ্রাইজ নেটওয়ার্কে আলাদা কিন্তু পরিপূরক ভূমিকা পালন করে। এটি নিরাপদ 802.1X কর্পোরেট অ্যাক্সেসের জন্য Cisco ISE কীভাবে ব্যবহার করবেন তা বিস্তারিতভাবে বর্ণনা করে, পাশাপাশি GDPR-সম্মত গেস্ট WiFi, মার্কেটিং অ্যানালিটিক্স এবং CRM ইন্টিগ্রেশনের জন্য Purple-কে কাজে লাগায়।