মূল কন্টেন্টে যান
বাংলা

কীভাবে 802.1X WiFi অথেন্টিকেশন কনফিগার করবেন: একটি ধাপে ধাপে নির্দেশিকা

এই টেকনিক্যাল নির্দেশিকাতে 802.1X এন্টারপ্রাইজ WiFi অথেন্টিকেশন কনফিগার করার একটি ধাপে ধাপে গাইড দেওয়া হয়েছে। এটি উচ্চ ভিড় সম্পন্ন ভেন্যুগুলির IT লিডারদের জন্য RADIUS সার্ভার সেটআপ, সার্টিফিকেট ডেপ্লয়মেন্ট এবং বাস্তবমুখী ডেপ্লয়মেন্ট কৌশলগুলি কভার করে।

লিখেছেন Iain Jewittপ্রকাশিত হালনাগাদ করা হয়েছে
📖 5 মিনিট পাঠ1,124 শব্দ2 সমাধানকৃত উদাহরণ3 অনুশীলনী প্রশ্ন8 মূল সংজ্ঞা

Video overview

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
কিভাবে 802.1X WiFi প্রমাণীকরণ কনফিগার করবেন: একটি ধাপে ধাপে নির্দেশিকা একটি Purple Enterprise WiFi ইন্টেলিজেন্স পডকাস্ট [ভূমিকা - প্রায় ১ মিনিট] আবারও স্বাগতম। আমি আজ একজন সিনিয়র সলিউশন আর্কিটেক্ট হিসেবে কথা বলছি, এবং আপনি যদি এটি শুনে থাকেন, তবে সম্ভবত আপনি এমন একটি নেটওয়ার্ক সিকিউরিটি প্রোজেক্টের মুখোমুখি হচ্ছেন যার জন্য 802.1X প্রমাণীকরণ প্রয়োজন - হয় আপনার কমপ্লায়েন্স টিম এটি চিহ্নিত করেছে, আপনার বীমাকারী এ সম্পর্কে জানতে চেয়েছে, অথবা আপনি এমন একটি নেটওয়ার্ক উত্তরাধিকার সূত্রে পেয়েছেন যা একটি শেয়ার্ড PSK-তে চলছে এবং আপনি জানেন যে এটি আর যথেষ্ট নয়। তাই সরাসরি মূল বিষয়ে আসা যাক। 802.1X হল পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য IEEE স্ট্যান্ডার্ড। এটি এন্টারপ্রাইজ WiFi সিকিউরিটির মেরুদণ্ড - এমন একটি প্রক্রিয়া যা নিশ্চিত করে যে আপনার নেটওয়ার্কের সাথে সংযুক্ত প্রতিটি ডিভাইসকে একটি একক বাইট ট্রাফিক পাওয়ার আগেই ইতিবাচকভাবে সনাক্ত এবং অনুমোদিত করা হয়েছে। PCI-DSS এর অধীনে পেমেন্ট কার্ড ডেটা পরিচালনা করা সংস্থাগুলির জন্য এটি ঐচ্ছিক নয়, GDPR এবং NHS ডেটা সুরক্ষা মানদণ্ডের অধীনে স্বাস্থ্যসেবা পরিবেশের জন্য এটি ঐচ্ছিক নয়, এবং সত্যি বলতে, যে কোনও সংস্থা যারা কয়েকটি অ্যাক্সেস পয়েন্টের চেয়ে বেশি পরিচালনা করছে, তাদের জন্য এটিই সঠিক আর্কিটেকচার। পরবর্তী দশ মিনিটে, আমি আপনাকে টেকনিক্যাল আর্কিটেকচার, RADIUS কনফিগারেশন, সার্টিফিকেট ডেপ্লয়মেন্ট এবং বাস্তব-জগতের পরিস্থিতিগুলির মধ্য দিয়ে নিয়ে যাব যেখানে এটি জটিল হয়ে ওঠে। চলুন শুরু করা যাক। [প্রযুক্তিগত বিস্তারিত আলোচনা - প্রায় ৫ মিনিট] ঠিক আছে, তাই 802.1X ফ্রেমওয়ার্কের তিনটি উপাদান রয়েছে। আপনার কাছে আছে Supplicant - এটি হল ক্লায়েন্ট ডিভাইস, ল্যাপটপ, ফোন, বা IoT সেন্সর। আপনার কাছে আছে Authenticator - এটি আপনার অ্যাক্সেস পয়েন্ট বা আপনার নেটওয়ার্ক সুইচ, যাকে কখনও কখনও NAS বা নেটওয়ার্ক অ্যাক্সেস সার্ভার বলা হয়। এবং আপনার কাছে আছে Authentication Server - যা এন্টারপ্রাইজ ডেপ্লয়মেন্টে প্রায় সবক্ষেত্রেই একটি RADIUS সার্ভার। হ্যান্ডশেকটি যেভাবে কাজ করে তা এখানে দেওয়া হল। যখন একটি ডিভাইস একটি 802.1X-সুরক্ষিত SSID-এর সাথে সংযোগ করার চেষ্টা করে, তখন অ্যাক্সেস পয়েন্ট এটিকে সরাসরি যুক্ত হতে দেয় না। পরিবর্তে, এটি একটি নিয়ন্ত্রিত পোর্ট খোলে - একটি সীমিত চ্যানেল যা কেবল EAP ট্রাফিক বা এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল পাস করে। AP ডিভাইসটিতে একটি EAP-Request Identity পাঠায়। ডিভাইসটি তার পরিচয় দিয়ে সাড়া দেয়। AP তখন একটি RADIUS Access-Request প্যাকেটে মুড়িয়ে সেটি RADIUS সার্ভারে ফরোয়ার্ড করে। RADIUS সার্ভার প্রমাণীকরণ প্রক্রিয়াটি পরিচালনা করে - Active Directory, একটি সার্টিফিকেট স্টোর, অথবা আপনি যে আইডেন্টিটি ব্যাকএন্ড কনফিগার করেছেন তার বিপরীতে ক্রেডেন্সিয়াল যাচাই করে - এবং একটি Access-Accept অথবা Access-Reject ফেরত পাঠায়। কেবল একটি Accept পাওয়ার পরেই AP সম্পূর্ণ ডেটা পোর্টটি খোলে এবং ডিভাইসটিকে উপযুক্ত VLAN-এ বরাদ্দ করে। এখন, আপনি এখানে যে EAP পদ্ধতিটি বেছে নিচ্ছেন তা অত্যন্ত গুরুত্বপূর্ণ। এন্টারপ্রাইজ ডেপ্লয়মেন্টে আপনি এই পাঁচটি পদ্ধতির সম্মুখীন হবেন।EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। ক্লায়েন্ট এবং সার্ভার উভয়ই X.509 সার্টিফিকেট প্রদর্শন করে। এখানে কোনো পাসওয়ার্ডের প্রয়োজন হয় না। এটি সবচেয়ে সুরক্ষিত বিকল্প এবং সর্বোচ্চ PCI-DSS কমপ্লায়েন্স টিয়ারের জন্য প্রয়োজনীয়। আসল চ্যালেঞ্জটি হলো ক্লায়েন্ট সার্টিফিকেট ইস্যু এবং পরিচালনা করার জন্য আপনার একটি সম্পূর্ণ PKI - একটি Public Key Infrastructure - প্রয়োজন। এর অর্থ হলো একটি Certificate Authority, সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট এবং প্রতিটি ডিভাইসে সার্টিফিকেট পুশ করার একটি মেকানিজম। Microsoft Active Directory এবং Active Directory Certificate Services থাকা সংস্থাগুলোর জন্য এটি খুবই অর্জনযোগ্য। কিন্তু এই ধরনের ইনফ্রাস্ট্রাকচার ছাড়া অন্যান্য সংস্থাগুলোর জন্য এটি একটি উল্লেখযোগ্য বিনিয়োগ। PEAP-MSCHAPv2 হলো বাস্তবে সবচেয়ে বেশি ব্যবহৃত পদ্ধতি। এটি শুধুমাত্র সার্ভার-সাইড সার্টিফিকেট ব্যবহার করে একটি TLS টানেল তৈরি করে, তারপর সেই টানেলের ভেতরে ইউজারনেম এবং পাসওয়ার্ড ক্রিডেনশিয়াল পাঠায়। এটি প্রায় প্রতিটি ডিভাইসের সাথে সরাসরি সামঞ্জস্যপূর্ণ, Windows Server-এ NPS-এর মাধ্যমে সরাসরি Active Directory-এর সাথে ইন্টিগ্রেট করা যায় এবং এর জন্য কোনো ক্লায়েন্ট সার্টিফিকেটের প্রয়োজন হয় না। এর অসুবিধা হলো, যদি ব্যবহারকারীরা কোনো অননুমোদিত AP-তে কানেক্ট করতে বিভ্রান্ত হন, তবে এটি ক্রিডেনশিয়াল হার্ভেস্টিং আক্রমণের ঝুঁকিতে পড়ে - কারণ ক্লায়েন্ট ডিফল্টভাবে সার্ভার সার্টিফিকেট যাচাই করে না। আপনার সাপ্লিক্যান্ট প্রোফাইলগুলোতে অবশ্যই সার্ভার সার্টিফিকেট যাচাইকরণ প্রয়োগ করতে হবে। EAP-TTLS হলো PEAP-এর মতো তবে এটি ভেতরের অথেন্টিকেশন পদ্ধতিতে আরও নমনীয়। এটি Linux এনভায়রনমেন্টে এবং যেখানে আপনার লেগাসি অথেন্টিকেশন ব্যাকএন্ড সমর্থন করতে হবে সেখানে প্রচলিত। LEAP-এর দুর্বলতার প্রতিক্রিয়া হিসেবে Cisco কর্তৃক EAP-FAST তৈরি করা হয়েছিল। এটি সার্টিফিকেটের পরিবর্তে Protected Access Credentials ব্যবহার করে। আপনি যদি একটি Cisco-ভারী এনভায়রনমেন্টে থাকেন বা অন্যগুলো সমর্থন করতে পারে না এমন লেগাসি ডিভাইস নিয়ে কাজ করেন তবে এটি মূলত প্রাসঙ্গিক। EAP-SIM এবং EAP-AKA ক্যারিয়ার-গ্রেড ডেপ্লয়মেন্টে ব্যবহৃত হয় - যেমন OpenRoaming বা Passpoint - যেখানে অথেন্টিকেশন একটি SIM কার্ড বা USIM-এর সাথে যুক্ত থাকে। পাবলিক ভেন্যু WiFi-এর জন্য এগুলো ক্রমশ প্রাসঙ্গিক হয়ে উঠছে যেখানে আপনি Captive Portal ছাড়াই নির্বিঘ্ন, সুরক্ষিত অনবোর্ডিং চান। এখন RADIUS কনফিগারেশন নিয়ে কথা বলা যাক। আপনি Microsoft NPS, FreeRADIUS, Cisco ISE, বা Aruba ClearPass যাই ডেপ্লয় করুন না কেন, মূল কনফিগারেশন ধাপগুলো একই। প্রথমত, আপনি আপনার RADIUS ক্লায়েন্টদের সংজ্ঞায়িত করুন - এগুলো হলো আপনার অ্যাক্সেস পয়েন্ট বা ওয়্যারলেস LAN কন্ট্রোলার। প্রতিটি ক্লায়েন্টকে তার IP অ্যাড্রেস এবং একটি শেয়ার্ড সিক্রেট দিয়ে রেজিস্টার করা হয়। AP এবং সার্ভারের মধ্যে RADIUS মেসেজগুলো অথেন্টিকেট করতে সেই শেয়ার্ড সিক্রেট ব্যবহার করা হয়। কমপক্ষে ২২টি ক্যারেক্টার বিশিষ্ট, র্যান্ডমলি জেনারেটেড এবং প্রতিটি NAS ডিভাইসের জন্য অনন্য এমন সিক্রেট ব্যবহার করুন। দ্বিতীয়ত, আপনি আপনার নেটওয়ার্ক পলিসি কনফিগার করুন। এখানে আপনি সংজ্ঞায়িত করেন কে কিসের অ্যাক্সেস পাবে। NPS-এর পরিভাষায়, আপনি একটি নেটওয়ার্ক পলিসি তৈরি করছেন যা বিভিন্ন শর্তের সাথে মিলে যায় - যেমন Active Directory-তে গ্রুপ মেম্বারশিপ, ডিভাইসের ধরন, দিনের সময় - এবং অ্যাট্রিবিউট নির্ধারণ করে - যেমন VLAN ID, সেশন টাইমআউট, ব্যান্ডউইথ লিমিট। আপনি সবচেয়ে বেশি যে RADIUS অ্যাট্রিবিউট ব্যবহার করবেন তা হলো VLAN অ্যাসাইনমেন্ট, বিশেষ করে Tunnel-Type-কে VLAN, Tunnel-Medium-Type-কে 802 এবং Tunnel-Private-Group-ID-কে আপনার VLAN নম্বরে সেট করা। তৃতীয়ত, আপনি আপনার কানেকশন রিকোয়েস্ট পলিসি কনফিগার করবেন। এটি NPS-কে নির্দেশ দেয় কীভাবে আগত RADIUS রিকোয়েস্টগুলো পরিচালনা করতে হবে - লোকালি অথেন্টিকেট করা হবে নাকি অন্য কোনো RADIUS সার্ভারে ফরোয়ার্ড করা হবে। একটি ডিস্ট্রিবিউটেড ডিপ্লয়মেন্টে, প্রতিটি সাইটে NPS প্রক্সি সহ আপনার একটি সেন্ট্রাল RADIUS সার্ভার থাকতে পারে। সার্টিফিকেটের ক্ষেত্রে, PEAP এবং EAP-TLS এর জন্য, আপনার ক্লায়েন্টদের দ্বারা বিশ্বস্ত একটি সার্ভার সার্টিফিকেট আপনার RADIUS সার্ভারের প্রয়োজন। সবচেয়ে সহজ উপায় হলো একটি পাবলিক CA - DigiCert, Sectigo, Let's Encrypt - থেকে সার্টিফিকেট ব্যবহার করা - কারণ এই রুট সার্টিফিকেটগুলো ইতিমধ্যে সমস্ত প্রধান অপারেটিং সিস্টেম দ্বারা বিশ্বস্ত। আপনি যদি একটি ইন্টারনাল CA ব্যবহার করেন, তবে গ্রুপ পলিসি বা আপনার MDM প্ল্যাটফর্মের মাধ্যমে সমস্ত ক্লায়েন্ট ডিভাইসে রুট সার্টিফিকেট পুশ করতে হবে। বিশেষ করে EAP-TLS এর জন্য, আপনার ক্লায়েন্ট সার্টিফিকেটেরও প্রয়োজন। একটি Active Directory পরিবেশে, ডোমেন-যুক্ত ডিভাইসগুলিতে সার্টিফিকেট পুশ করতে আপনি গ্রুপ পলিসির মাধ্যমে অটো-এনরোলমেন্ট সহ ADCS ব্যবহার করবেন। BYOD ডিভাইসের জন্য, সার্টিফিকেট এবং WiFi প্রোফাইল উভয়ই পুশ করতে আপনি আপনার MDM - Intune, Jamf, VMware Workspace ONE - ব্যবহার করবেন। অ্যাক্সেস পয়েন্টের ক্ষেত্রে, কনফিগারেশনটি বেশ সহজ। আপনি একটি নতুন SSID তৈরি করবেন, সিকিউরিটি সেট করবেন WPA2-Enterprise বা WPA3-Enterprise-এ, RADIUS অথেন্টিকেশন সার্ভারটিকে UDP পোর্ট 1812-এ আপনার NPS IP-র দিকে পয়েন্ট করবেন, UDP পোর্ট 1813-এ RADIUS অ্যাকাউন্টিং সার্ভার সেট করবেন, শেয়ার্ড সিক্রেট লিখবেন, এবং আপনি যদি ব্যবহার করে থাকেন তবে ডাইনামিক VLAN অ্যাসাইনমেন্ট সক্রিয় করবেন। বেশিরভাগ এন্টারপ্রাইজ AP প্ল্যাটফর্ম - Cisco Meraki, Aruba, Ruckus, Extreme - এ এর জন্য একটি GUI রয়েছে যা আপনার RADIUS সার্ভার প্রস্তুত হয়ে যাওয়ার পর করতে মাত্র দশ মিনিট সময় নেয়। [ইমপ্লিমেন্টেশন সংক্রান্ত সুপারিশ এবং ত্রুটিসমূহ - আনুমানিক ২ মিনিট] ঠিক আছে, চলুন আলোচনা করা যাক ডিপ্লয়মেন্ট কোথায় ভুল হতে পারে, কারণ এখানেই আমি আমার কনসালটেন্সি ফি অর্জন করি। সবচেয়ে সাধারণ ভুলের জায়গাটি হলো সার্টিফিকেট ভ্যালিডেশন। আমি দেখেছি যে সংস্থাগুলি সার্ভার সাইডে সঠিকভাবে PEAP-MSCHAPv2 ডিপ্লয় করে, কিন্তু ক্লায়েন্ট সাপ্লিক্যান্ট প্রোফাইলগুলিকে যেকোনো সার্টিফিকেট গ্রহণ করার জন্য কনফিগার করে রেখে দেয়। এটি সিকিউরিটি মডেলটিকে সম্পূর্ণরূপে দুর্বল করে দেয়। প্রতিটি সাপ্লিক্যান্ট প্রোফাইল - গ্রুপ পলিসি বা MDM এর মাধ্যমে পুশ করা হোক না কেন - অবশ্যই বিশ্বস্ত রুট CA এবং প্রত্যাশিত সার্ভারের নাম নির্দিষ্ট করতে হবে। তা না হলে, আপনি ইভিল টুইন অ্যাটাকের ঝুঁকিতে থাকবেন। দ্বিতীয় সাধারণ সমস্যাটি হলো RADIUS শেয়ার্ড সিক্রেট ম্যানেজমেন্ট। আমি প্রোডাকশন নেটওয়ার্কগুলোকে "radius" বা ভেন্ডরের ডিফল্ট শেয়ার্ড সিক্রেট দিয়ে চলতে দেখেছি। এই সিক্রেটগুলো হলো আপনার অথেন্টিকেশন ইনফ্রাস্ট্রাকচারের চাবিকাঠি। এগুলো র্যান্ডমলি জেনারেট করুন, একটি সিক্রেট ম্যানেজারে সংরক্ষণ করুন এবং একটি নির্দিষ্ট সময়সূচী অনুযায়ী পরিবর্তন করুন। তৃতীয়ত: VLAN মিসকনফিগারেশন। ডাইনামিক VLAN অ্যাসাইনমেন্ট অত্যন্ত শক্তিশালী - এটি আপনাকে একই SSID থেকে কর্মীদের ডিভাইসগুলোকে কর্পোরেট VLAN-এ, ঠিকাদারদের একটি সীমাবদ্ধ VLAN-এ এবং IoT ডিভাইসগুলোকে একটি আইসোলেটেড VLAN-এ রাখার সুবিধা দেয়। কিন্তু RADIUS অ্যাট্রিবিউটগুলো যদি সঠিকভাবে কনফিগার করা না থাকে, অথবা সুইচের ট্রাঙ্ক পোর্টগুলো যদি সঠিক VLAN বহন না করে, তবে ডিভাইসগুলো কানেক্ট হতে ব্যর্থ হবে অথবা ভুল সেগমেন্টে চলে যাবে। প্রোডাকশনে রোল আউট করার আগে একটি ল্যাবে এটি পুঙ্খানুপুঙ্খভাবে পরীক্ষা করুন।চতুর্থ: রিডান্ডেন্সি। আপনার RADIUS সার্ভার এখন পরিকাঠামোর একটি অত্যন্ত গুরুত্বপূর্ণ অংশ। এটি বন্ধ হয়ে গেলে, কেউ সংযোগ করতে পারবে না। প্রতিটি AP-তে আপনার অন্তত একটি প্রাইমারি এবং একটি সেকেন্ডারি RADIUS সার্ভার কনফিগার করা প্রয়োজন। বড় ধরনের ডেপ্লয়মেন্টের ক্ষেত্রে, হেলথ মনিটরিং সুবিধাসহ RADIUS প্রক্সি ক্লাস্টারের কথা বিবেচনা করুন। পঞ্চম, এবং এটি বিশেষ করে হসপিটালিটি এবং রিটেল পরিবেশের জন্য প্রযোজ্য: গেস্ট বনাম কর্পোরেট পৃথকীকরণ। আপনার 802.1X কর্পোরেট SSID এবং আপনার গেস্ট WiFi SSID সম্পূর্ণ আলাদা হওয়া উচিত - ভিন্ন VLAN, ভিন্ন ফায়ারওয়াল পলিসি, ভিন্ন DNS। Purple-এর মতো একটি প্ল্যাটফর্ম নিজস্ব captive portal এবং অ্যানালিটিক্স লেয়ার দিয়ে গেস্ট সাইড পরিচালনা করে, অন্যদিকে আপনার 802.1X পরিকাঠামো কর্পোরেট সাইড পরিচালনা করে। এগুলো পরিপূরক সিস্টেম, প্রতিদ্বন্দ্বী নয়। [চটজলদি প্রশ্নোত্তর - প্রায় ১ মিনিট] আমি সবচেয়ে বেশি যে প্রশ্নগুলো পাই সেগুলোর উপর নজর দেওয়া যাক। আমি কি একটি ক্লাউড-ম্যানেজড AP প্ল্যাটফর্মে 802.1X চালাতে পারি? হ্যাঁ - Meraki, Aruba Central এবং Ruckus Cloud সবই এটি সমর্থন করে। আপনি ক্লাউড ড্যাশবোর্ডে RADIUS সার্ভারের বিবরণ কনফিগার করবেন এবং AP-গুলো EAP প্রক্সিং পরিচালনা করবে। আমার কি Active Directory প্রয়োজন? না। FreeRADIUS মূলত LDAP, SQL ডেটাবেস, ফ্ল্যাট ফাইল বা এমনকি REST API-এর বিপরীতেও প্রমাণীকরণ করতে পারে। তবে NPS-এর মাধ্যমে AD ইন্টিগ্রেশন এন্টারপ্রাইজের ক্ষেত্রে সবচেয়ে সাধারণ পথ। 802.1X সমর্থন করে না এমন IoT ডিভাইসগুলোর ক্ষেত্রে কী হবে? ফলব্যাক হিসেবে MAC Authentication Bypass - MAB - ব্যবহার করুন। ডিভাইসের MAC অ্যাড্রেসটি ইউজারনেম এবং পাসওয়ার্ড হিসেবে RADIUS-এ পাঠানো হয়। এটি EAP-এর মতো সুরক্ষিত নয়, তবে এটি আপনাকে একটি সীমাবদ্ধ VLAN-এ রেখে IoT ডিভাইসগুলোকে অনবোর্ড করার সুযোগ দেয়। 802.1X কি WPA3-এর সাথে কাজ করে? হ্যাঁ। WPA3-Enterprise মূলত 802.1X প্রমাণীকরণ সহ WPA3। এটি আরও শক্তিশালী এনক্রিপশন যুক্ত করে - হাই-সিকিউরিটি মোডে ১৯২-বিট - এবং নতুন ডেপ্লয়মেন্টের জন্য এটি একটি প্রস্তাবিত স্ট্যান্ডার্ড। [সংক্ষিপ্তসার এবং পরবর্তী পদক্ষেপ - প্রায় ১ মিনিট] সংক্ষেপে বলতে গেলে: 802.1X কেবল একটি চমৎকার ফিচার নয়। সংবেদনশীল ডেটা হ্যান্ডেল করা, পেমেন্ট প্রসেস করা বা কোনো নিয়ন্ত্রিত পরিবেশে কাজ করা যেকোনো সংস্থার জন্য এটি এন্টারপ্রাইজ WiFi সুরক্ষার মূল ভিত্তি। এর আর্কিটেকচার অত্যন্ত সুপ্রতিষ্ঠিত, টুলিং পরিপক্ক এবং ডেপ্লয়মেন্টের পথ স্পষ্ট। আপনার EAP পদ্ধতি নির্বাচন দিয়ে শুরু করুন - যদি আপনার দ্রুত ফলাফল এবং ব্যাপক সামঞ্জস্যের প্রয়োজন হয় তবে PEAP-MSCHAPv2 ব্যবহার করুন, আর যদি আপনার PKI পরিকাঠামো থাকে এবং সবচেয়ে শক্তিশালী নিরাপত্তা ব্যবস্থার প্রয়োজন হয় তবে EAP-TLS ব্যবহার করুন। একটি AP-ও স্পর্শ করার আগে আপনার RADIUS সার্ভার কনফিগার এবং রিডান্ডেন্ট করে নিন। লাইভ হওয়ার আগে গ্রুপ পলিসি বা MDM-এর মাধ্যমে আপনার সাপ্লিক্যান্ট প্রোফাইলগুলো পুশ করুন। এবং আপনার গেস্ট WiFi সম্পূর্ণ আলাদা রাখুন - সেই লেয়ারের জন্য একটি বিশেষ উদ্দেশ্য-নির্মিত প্ল্যাটফর্ম ব্যবহার করুন। আপনি যদি কোনো মাল্টি-ভেন্যু পরিবেশ - হোটেল, রিটেল চেইন, স্টেডিয়াম - পরিচালনা করেন, তবে সাইটের সংখ্যার সাথে সাথে জটিলতা বৃদ্ধি পায়, কিন্তু আর্কিটেকচার পরিবর্তিত হয় না। এর মূল চাবিকাঠি হলো সাইট-লোকাল রিডান্ডেন্সি সহ সেন্ট্রালাইজড RADIUS এবং আপনার ডিভাইস ফ্লিট জুড়ে একটি সামঞ্জস্যপূর্ণ MDM-পুশড সাপ্লিক্যান্ট প্রোফাইল।শোনার জন্য ধন্যবাদ। সম্পূর্ণ লিখিত নির্দেশিকা, আর্কিটেকচার ডায়াগ্রাম এবং কনফিগারেশন চেকলিস্ট purple.ai-তে উপলব্ধ রয়েছে। আপনি যদি একটি 802.1X ডেপ্লয়মেন্টের পরিকল্পনা করেন এবং আপনার পরিবেশের নির্দিষ্ট বিবরণ নিয়ে আলোচনা করতে চান, তবে সরাসরি Purple টিমের সাথে যোগাযোগ করুন।

আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →

Interactive technical tool

802.1X deployment & RADIUS policy architect

Select your endpoint fleet, directory service, and segmentation requirements to calculate optimal EAP methods, RADIUS attributes, and MDM provisioning profiles.

Microsoft Entra ID Cloud RADIUS & 802.1X Blueprint

Authentication Protocol
EAP-TLS (RFC 5216 - Mutual Certificate Authentication)
Recommended AAA Engine
Cloud RADIUS validating Intune-issued certificates against Microsoft Entra ID device and user state
Supplicant Provisioning Mechanism
Microsoft Intune: WiFi Configuration Profile with SCEP Certificate Payload
Segmentation Model
Dynamic Role-Based VLAN Assignment via RFC 2868 / 3580 Attributes
RADIUS Attribute-Value Pairs (AVPs) to Return in Access-Accept:
AttributeCalculated ValueEngineering Purpose
Tunnel-Type (RFC 2868)13 (VLAN)Instructs the access point to terminate the tunnel into a Layer 2 virtual LAN.
Tunnel-Medium-Type (RFC 2868)6 (802 - includes all 802.11 media)Identifies the physical/data-link transport layer as IEEE 802 standard.
Tunnel-Private-Group-ID (RFC 3580)<Corporate_VLAN_ID_or_Name>Specifies the targeted VLAN ID (e.g., VLAN 10 for Staff, VLAN 20 for Contractors).
Session-Timeout (RFC 2865)28800 seconds (8 hours)Forces periodic silent background re-authentication without disconnecting active sessions.
Termination-Action (RFC 2865)1 (RADIUS-Request)Instructs the access point to issue a re-authentication request upon session timeout.
Operational Implementation Checklist:
  • Enforce Framed-MTU of 1300 bytes on RADIUS server to prevent EAP-TLS packet fragmentation over WAN/VPN.
  • Anchor client supplicants to your private Root CA certificate to prevent Evil Twin / rogue AP spoofing attacks.
  • Enable 802.11r (Fast BSS Transition) with Over-the-Air roaming to maintain sub-50ms handoffs for voice/video.
  • Configure Dynamic Change of Authorization (CoA / RFC 3576, now RFC 5176) over UDP port 3799 for instant posture re-evaluation.
  • Separate guest access onto an isolated captive portal VLAN with client isolation and public DNS filtering.

Deploying 802.1X Across Complex Multi-Vendor Venues?

Purple provides cloud-managed guest WiFi, Passpoint Hotspot 2.0, and centralised captive portals that coexist cleanly with your enterprise 802.1X network. Book an architecture session with our engineering team.

Useful? Link to this tool

কীভাবে 802.1X WiFi অথেন্টিকেশন কনফিগার করবেন: একটি ধাপে ধাপে নির্দেশিকা

কার্যনির্বাহী সংক্ষিপ্তসার

এন্টারপ্রাইজ নেটওয়ার্কের জন্য, কর্পোরেট পরিকাঠামো রক্ষা করতে একটি শেয়ার্ড PSK (প্রি-শেয়ার্ড কি) আর যথেষ্ট নয়। যেহেতু প্রতিষ্ঠানগুলি আরও কঠোর কমপ্লায়েন্স প্রয়োজনীয়তা (PCI-DSS, GDPR) এবং একটি ক্রমবর্ধমান আক্রমণের ঝুঁকির সম্মুখীন হচ্ছে, তাই 802.1X অথেন্টিকেশনে রূপান্তর করা একটি অত্যন্ত গুরুত্বপূর্ণ নিরাপত্তা অপরিহার্যতা হয়ে উঠেছে।

এই নির্দেশিকাটি এন্টারপ্রাইজ অ্যাক্সেস পয়েন্টগুলিতে 802.1X কনফিগার করার জন্য একটি ব্যবহারিক, ভেন্ডর-নিরপেক্ষ ডিপ্লয়মেন্ট ওয়াকথ্রু প্রদান করে। আমরা মূল আর্কিটেকচার - সাপ্লিকেন্ট, অথেন্টিকেটর এবং অথেন্টিকেশন সার্ভার - এর পাশাপাশি সার্টিফিকেট ম্যানেজমেন্ট, RADIUS কনফিগারেশন এবং সাধারণ ডিপ্লয়মেন্টের ভুলত্রুটিগুলি কভার করি। রিটেল, হসপিটালিটি বা পাবলিক সেক্টর পরিবেশে কর্মরত আইটি ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য, এই রেফারেন্সটি কর্পোরেট এবং গেস্ট ট্রাফিক কঠোরভাবে আলাদা রাখার পাশাপাশি শক্তিশালী, পরিচয়-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল বাস্তবায়নের জন্য প্রয়োজনীয় কার্যকর পদক্ষেপগুলি প্রদান করে।

আর্কিটেকচার এবং বাস্তবায়ন কৌশলগুলির একটি ১০-মিনিটের ওভারভিউয়ের জন্য নিচে আমাদের সহচর পডকাস্ট ব্রিফিংটি শুনুন।

Deep Dive: 802.1X Architecture

IEEE 802.1X স্ট্যান্ডার্ডটি পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণ সংজ্ঞায়িত করে। একটি ওয়্যারলেস পরিবেশে, এটি ক্লায়েন্ট ডিভাইসগুলিকে একটি কেন্দ্রীয় ডিরেক্টরির বিপরীতে সফলভাবে প্রমাণীকরণ না করা পর্যন্ত ডেটা ট্রাফিক পাঠানো বা গ্রহণ করা থেকে বিরত রাখে।

কীভাবে 802.1X WiFi অথেন্টিকেশন কনফিগার করবেন: একটি ধাপে ধাপে নির্দেশিকা - architecture overview

তিনটি মূল উপাদান

  1. Supplicant (ক্লায়েন্ট ডিভাইস): ল্যাপটপ, স্মার্টফোন বা IoT ডিভাইসের সফ্টওয়্যার যা অ্যাক্সেসের অনুরোধ করছে। এটি অবশ্যই নির্বাচিত EAP (Extensible Authentication Protocol) পদ্ধতিকে সমর্থন করবে।
  2. Authenticator (অ্যাক্সেস পয়েন্ট/WLC): নেটওয়ার্ক ডিভাইস যা গেটকিপার হিসাবে কাজ করে। এটি একটি "নিয়ন্ত্রিত পোর্ট" খোলে যা প্রমাণীকরণ সফল না হওয়া পর্যন্ত কেবল EAP ট্রাফিকের অনুমতি দেয়।
  3. Authentication Server (RADIUS): কেন্দ্রীয় সার্ভার (যেমন, Microsoft NPS, FreeRADIUS, Cisco ISE) যা একটি আইডেন্টিটি স্টোরের (যেমন Active Directory) বিরুদ্ধে শংসাপত্র যাচাই করে এবং একটি Access-Accept বা Access-Reject বার্তা পাঠায়।

EAP পদ্ধতিসমূহ: সঠিক সুরক্ষা ব্যবস্থা নির্বাচন করা

EAP পদ্ধতির পছন্দ আপনার সুরক্ষার স্তর এবং স্থাপনার জটিলতা নির্ধারণ করে।

কীভাবে 802.1X WiFi অথেন্টিকেশন কনফিগার করবেন: একটি ধাপে ধাপে নির্দেশিকা - eap comparison chart

  • EAP-TLS (Transport Layer Security): সর্বোত্তম মানদণ্ড। সার্ভার এবং ক্লায়েন্ট উভয় ক্ষেত্রেই শংসাপত্র প্রয়োজন। কোনো পাসওয়ার্ড প্রেরণ করা হয় না। উচ্চ-সুরক্ষা পরিবেশের জন্য অত্যন্ত গুরুত্বপূর্ণ, তবে এর জন্য একটি সম্পূর্ণ Public Key Infrastructure (PKI) প্রয়োজন।
  • PEAP-MSCHAPv2 (Protected EAP): সবচেয়ে সাধারণ এন্টারপ্রাইজ স্থাপনা। একটি নিরাপদ TLS টানেল তৈরি করতে একটি সার্ভার-সাইড শংসাপত্র ব্যবহার করে যার মধ্যে ক্লায়েন্ট একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড পাঠায়। স্থাপন করা সহজ, তবে ক্লায়েন্ট ডিভাইসগুলি কঠোরভাবে সার্ভার শংসাপত্র যাচাই করার জন্য কনফিগার করা না থাকলে শংসাপত্র চুরির ঝুঁকিতে থাকে।
  • EAP-SIM/AKA: প্রমাণীকরণের জন্য SIM কার্ডের শংসাপত্র ব্যবহার করে। নির্বিঘ্ন অনবোর্ডিংয়ের জন্য পরিবহন হাব এবং বড় পাবলিক ভেন্যুগুলিতে ক্রমবর্ধমানভাবে প্রাসঙ্গিক।

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।

Implementation Guide: ধাপে ধাপে কনফিগারেশন

802.1X স্থাপনের জন্য আপনার RADIUS সার্ভার, অ্যাক্সেস পয়েন্ট এবং ক্লায়েন্ট ডিভাইস জুড়ে সমন্বিত কনফিগারেশন প্রয়োজন।

ধাপ ১: RADIUS সার্ভার প্রস্তুতি

আপনি Microsoft Network Policy Server (NPS) বা অন্য কোনো বিকল্প ব্যবহার করছেন না কেন, মূল নীতিগুলি একই থাকে।

  1. RADIUS ক্লায়েন্ট সংজ্ঞায়িত করুন: RADIUS সার্ভারে প্রতিটি অ্যাক্সেস পয়েন্ট (বা ওয়্যারলেস কন্ট্রোলার) নিবন্ধন করুন। AP এবং RADIUS সার্ভারের মধ্যে যোগাযোগ সুরক্ষিত করতে একটি শক্তিশালী, এলোমেলোভাবে তৈরি করা শেয়ার্ড সিক্রেট (কমপক্ষে ২২টি অক্ষর) বরাদ্দ করুন।
  2. সার্ভার সার্টিফিকেট ইনস্টল করুন: PEAP বা EAP-TLS এর জন্য, RADIUS সার্ভারে একটি X.509 সার্টিফিকেট ইনস্টল করুন। একটি বিশ্বস্ত পাবলিক সার্টিফিকেট অথরিটি (CA) থেকে সার্টিফিকেট ব্যবহার করা BYOD ডেপ্লয়মেন্টকে সহজ করে তোলে, কারণ রুট সার্টিফিকেটটি ইতিমধ্যেই ক্লায়েন্ট অপারেটিং সিস্টেম দ্বারা বিশ্বস্ত থাকে।

ধাপ ২: পলিসি কনফিগারেশন

পরিচয়ের ভিত্তিতে অ্যাক্সেস নির্দেশ করতে নেটওয়ার্ক পলিসি কনফিগার করুন।

  1. কানেকশন রিকোয়েস্ট পলিসি: RADIUS সার্ভার কীভাবে ইনকামিং রিকোয়েস্টগুলো পরিচালনা করবে তা নির্ধারণ করুন। সাধারণত, এতে NAS-Port-Type (Wireless - IEEE 802.11) এর সাথে মিলানো এবং স্থানীয়ভাবে রিকোয়েস্টগুলো প্রমাণীকরণ করা অন্তর্ভুক্ত থাকে।
  2. নেটওয়ার্ক পলিসি: Active Directory গ্রুপগুলোকে নেটওয়ার্ক অ্যাক্সেস প্রিভিলেজের সাথে ম্যাপ করুন। উদাহরণস্বরূপ, "Domain Computers" গ্রুপটিকে কর্পোরেট VLAN এ ম্যাপ করুন। সফল প্রমাণীকরণের পর ডাইনামিক্যালি VLAN অ্যাসাইন করতে RADIUS অ্যাট্রিবিউট (Tunnel-Type=VLAN, Tunnel-Medium-Type=802, Tunnel-Private-Group-ID=[VLAN_ID]) ব্যবহার করুন।

ধাপ ৩: অ্যাক্সেস পয়েন্ট কনফিগারেশন

আপনার ওয়্যারলেস ইনফ্রাস্ট্রাকচারে (যেমন, Meraki, Aruba, Cisco) SSID কনফিগার করুন।

  1. একটি নতুন SSID তৈরি করুন এবং সিকিউরিটি টাইপ হিসেবে WPA2-Enterprise বা WPA3-Enterprise সিলেক্ট করুন।
  2. আপনার প্রাইমারি এবং সেকেন্ডারি RADIUS সার্ভারের IP অ্যাড্রেসগুলো লিখুন।
  3. ধাপ ১-এ ডিফাইন করা শেয়ার্ড সিক্রেটটি লিখুন।
  4. যদি আপনার RADIUS সার্ভার VLAN অ্যাট্রিবিউট পুশ করে থাকে, তবে Dynamic VLAN Assignment এনাবেল করুন।

ধাপ ৪: ক্লায়েন্ট সাপ্লিক্যান্ট কনফিগারেশন

এটি সবচেয়ে গুরুত্বপূর্ণ এবং প্রায়শই উপেক্ষিত ধাপ। ব্যবহারকারীদের ম্যানুয়ালি তাদের ডিভাইস কনফিগার করার ওপর নির্ভর করবেন না।

  • কর্পোরেট ডিভাইস: WiFi প্রোফাইলগুলো পুশ করার জন্য Group Policy Objects (GPO) বা আপনার মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM) প্ল্যাটফর্ম ব্যবহার করুন। ম্যান-ইন-দ্য-মিডল (ইভিল টুইন) অ্যাটাক প্রতিরোধ করতে প্রোফাইলগুলোতে অবশ্যই বিশ্বস্ত রুট CA এবং RADIUS সার্ভারগুলোর সঠিক সার্ভার নাম উল্লেখ থাকতে হবে।
  • BYOD: কর্মচারীদের মালিকানাধীন ডিভাইসগুলোতে সুরক্ষিত প্রোফাইল পুশ করার জন্য একটি অনবোর্ডিং পোর্টাল বা MDM সমাধান বাস্তবায়ন করুন।

সর্বোত্তম অনুশীলন এবং ইন্ডাস্ট্রি স্ট্যান্ডার্ড

একটি শক্তিশালী ডেপ্লয়মেন্ট নিশ্চিত করতে, এই আর্কিটেকচারাল সর্বোত্তম অনুশীলনগুলো অনুসরণ করুন:

  1. কঠোর সার্টিফিকেট যাচাইকরণ কার্যকর করুন: ক্লায়েন্টদের কখনই চোখ বন্ধ করে যেকোনো সার্ভার সার্টিফিকেট গ্রহণ করতে দেবেন না। এটি PEAP ক্রেডেনশিয়াল হারভেস্টিংয়ের প্রধান ভেক্টর।
  2. গেস্ট ট্রাফিক আলাদা করুন: আপনার 802.1X ইনফ্রাস্ট্রাকচার কর্পোরেট অ্যাক্সেসের জন্য। গেস্ট ট্রাফিক অবশ্যই সম্পূর্ণ আলাদা থাকতে হবে। নিজস্ব Captive Portal এবং অ্যানালিটিক্স লেয়ার সহ একটি ডেডিকেটেড গেস্ট WiFi প্ল্যাটফর্ম ডেপ্লয় করুন। আমাদের Securing Your Network: Robust DNS and Security গাইডে আলোচনা করা হয়েছে যে, নেটওয়ার্ক সুরক্ষার জন্য লজিক্যাল আইসোলেশন অত্যন্ত মৌলিক বিষয়।
  3. রেডান্ডেন্সি বাস্তবায়ন করুন: RADIUS একটি অত্যন্ত গুরুত্বপূর্ণ পাথ সার্ভিস। প্রাইমারি এবং সেকেন্ডারি RADIUS সার্ভার ডেপ্লয় করুন। বিতরণ করা পরিবেশে, যেমন বড় রিটেল চেইনে, WAN লিঙ্ক ড্রপ হলেও কার্যকারিতা বজায় রাখতে স্থানীয় RADIUS প্রক্সি ব্যবহারের কথা বিবেচনা করুন।

ট্রাবলশুটিং এবং ঝুঁকি হ্রাস

ডেপ্লয়মেন্ট যখন ব্যর্থ হয়, তখন সাধারণত কয়েকটি সাধারণ কনফিগারেশন ত্রুটির কারণেই তা ঘটে থাকে:

  • RADIUS Timeout Errors: সাধারণত এটি এপি (AP) এবং RADIUS সার্ভারের মধ্যে একটি শেয়ার্ড সিক্রেট অমিল থাকার কারণে বা ফায়ারওয়াল নিয়মের কারণে হয়ে থাকে যা UDP পোর্ট ১৮১২ (অথেন্টিকেশন) এবং ১৮১৩ (অ্যাকাউন্টিং) ব্লক করে।
  • Client Rejections: RADIUS ইভেন্ট লগ চেক করুন (যেমন, Windows Event Viewer -> Custom Views -> Server Roles -> Network Policy and Access Services)। ইভেন্ট আইডি ৬২৭৩ খুঁজুন। সাধারণ কারণগুলির মধ্যে রয়েছে মেয়াদোত্তীর্ণ ক্লায়েন্ট সার্টিফিকেট বা সার্ভারের সার্টিফিকেট চেইনের উপর ক্লায়েন্টের বিশ্বাস স্থাপনে ব্যর্থতা।
  • VLAN Assignment Failures: অথেন্টিকেশন সফল হলেও যদি ক্লায়েন্ট একটি আইপি অ্যাড্রেস না পায়, তবে এপি-র সাথে সংযুক্ত সুইচ পোর্টটি ট্রাঙ্ক পোর্ট হিসাবে কনফিগার করা আছে কিনা তা যাচাই করুন, যা ডাইনামিকভাবে অ্যাসাইন করা VLAN-কে অনুমতি দেয়।

আরওআই এবং ব্যবসায়িক প্রভাব

802.1X বাস্তবায়ন করা উল্লেখযোগ্য অপারেশনাল এবং সিকিউরিটি আরওআই (ROI) প্রদান করে:

  • ঝুঁকি প্রশমন: একটিমাত্র কম্প্রোমাইজড পিএসকে (PSK) পুরো কর্পোরেট নেটওয়ার্ককে বিপন্ন করার ঝুঁকি দূর করে, যা সরাসরি PCI-DSS এবং GDPR কমপ্লায়েন্সের প্রচেষ্টাকে সমর্থন করে।
  • অপারেশনাল দক্ষতা: অ্যাক্সেস কন্ট্রোলকে কেন্দ্রীভূত করে। যখন একজন কর্মী চলে যান, তখন তার অ্যাক্টিভ ডিরেক্টরি অ্যাকাউন্ট নিষ্ক্রিয় করলে অবিলম্বে তার WiFi অ্যাক্সেস বাতিল হয়ে যায়। এন্টারপ্রাইজ জুড়ে পিএসকে পরিবর্তন করার কোনো প্রয়োজন হয় না।
  • নেটওয়ার্ক ভিজিবিলিটি: নেটওয়ার্কে ঠিক কে আছেন এবং তারা কোন ডিভাইস ব্যবহার করছেন সে সম্পর্কে বিস্তারিত ভিজিবিলিটি প্রদান করে, যা উন্নত ক্যাপাসিটি প্ল্যানিং এবং থ্রেট হান্টিং সক্ষম করে।

স্পোর্টস স্টেডিয়াম বা হসপিটালিটি খাতের মতো উচ্চ-ঘনত্ব ও জটিল পরিবেশের জন্য, অতিথি অ্যাক্সেস দেওয়ার সাথে সাথে কর্পোরেট নিরাপত্তা বজায় রাখা একটি বড় চ্যালেঞ্জ। 802.1X এর মাধ্যমে কর্পোরেট রিসোর্স সুরক্ষিত করে এবং গেস্ট ট্রাফিক পরিচালনা করতে একটি শক্তিশালী WiFi analytics প্ল্যাটফর্ম ব্যবহার করে, আইটি লিডাররা নিরাপদ, স্কেলযোগ্য কানেক্টিভিটি দিতে পারেন যা এন্টারপ্রাইজ এবং এর গ্রাহক উভয়কেই পরিষেবা প্রদান করে। উচ্চ-ঘনত্বের পরিবেশ পরিচালনার বিষয়ে ধারণার জন্য, আমাদের Zoo and Theme Park WiFi: Connectivity Guide for High-Footfall Venues নির্দেশিকাটি দেখুন।

মূল সংজ্ঞাসমূহ

802.1X

পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য একটি IEEE স্ট্যান্ডার্ড যা LAN বা WLAN-এর সাথে যুক্ত হতে চাওয়া ডিভাইসগুলিকে একটি অথেন্টিকেশন মেকানিজম প্রদান করে।

এন্টারপ্রাইজ WiFi সিকিউরিটির মূল প্রোটোকল, যা ঝুঁকিপূর্ণ শেয়ার করা পাসওয়ার্ডকে প্রতিস্থাপন করে।

Supplicant

নেটওয়ার্ক অ্যাক্সেসের জন্য অনুরোধকারী ক্লায়েন্ট ডিভাইস বা সফ্টওয়্যার অ্যাপ্লিকেশন।

সুরক্ষিত সংযোগ নিশ্চিত করতে IT টিমকে অবশ্যই MDM এর মাধ্যমে সাপ্লিক্যান্ট কনফিগারেশন পরিচালনা করতে হবে।

Authenticator

নেটওয়ার্ক ডিভাইস (Access Point বা সুইচ) যা Supplicant এবং অথেন্টিকেশন সার্ভারের মধ্যে প্রক্সি হিসেবে কাজ করে অথেন্টিকেশন প্রক্রিয়াটিকে সহজতর করে।

EAP ট্রাফিক নিরাপদে ফরোয়ার্ড করতে RADIUS সার্ভার IP এবং একটি শেয়ার্ড সিক্রেট সহ কনফিগার করা হয়।

RADIUS

Remote Authentication Dial-In User Service; একটি নেটওয়ার্কিং প্রোটোকল যা সেন্ট্রালাইজড Authentication, Authorisation এবং Accounting (AAA) ম্যানেজমেন্ট প্রদান করে।

ব্যাকএন্ড সার্ভার (যেমন Microsoft NPS) যা আসলে একটি ডিরেক্টরির বিপরীতে ব্যবহারকারীর ক্রেডেনশিয়াল ভ্যালিডেট করে।

EAP (Extensible Authentication Protocol)

একটি অথেন্টিকেশন ফ্রেমওয়ার্ক যা প্রায়শই ওয়্যারলেস নেটওয়ার্ক এবং পয়েন্ট-টু-পয়েন্ট সংযোগে ব্যবহৃত হয় এবং একাধিক অথেন্টিকেশন পদ্ধতি সমর্থন করে।

Supplicant এবং RADIUS সার্ভারের মধ্যে কথোপকথনের 'ভাষা'।

EAP-TLS

একটি EAP পদ্ধতি যা Transport Layer Security ব্যবহার করে এবং মিউচুয়াল অথেন্টিকেশনের জন্য সার্ভার ও ক্লায়েন্ট উভয় পক্ষের সার্টিফিকেট প্রয়োজন হয়।

সবচেয়ে নিরাপদ পদ্ধতি, যা প্রায়শই অত্যন্ত সুরক্ষিত বা ক্লাসিফাইড পরিবেশের জন্য বাধ্যতামূলক করা হয়।

PEAP

Protected Extensible Authentication Protocol; এটি একটি এনক্রিপ্টেড এবং অথেন্টিকেটেড TLS টানেলের মধ্যে EAP-কে এনক্যাপসুলেট করে।

সবচেয়ে ব্যাপকভাবে ব্যবহৃত এন্টারপ্রাইজ পদ্ধতি, যা শুধুমাত্র একটি সার্ভার-সাইড সার্টিফিকেট প্রয়োজন হওয়ার মাধ্যমে সহজে স্থাপনের সাথে সুরক্ষার ভারসাম্য বজায় রাখে।

Dynamic VLAN Assignment

এমন একটি প্রক্রিয়া যেখানে একটি RADIUS সার্ভার ডিরেক্টরি গ্রুপ মেম্বারশিপের উপর ভিত্তি করে একজন অথেন্টিকেটেড ব্যবহারকারীকে একটি নির্দিষ্ট VLAN-এ রাখার জন্য Access Point-কে নির্দেশ দেয়।

শুধুমাত্র একটি কর্পোরেট SSID ব্রডকাস্ট করার সময় নেটওয়ার্ক ট্র্যাফিক সেগমেন্ট করার জন্য অত্যন্ত গুরুত্বপূর্ণ (যেমন, HR, ইঞ্জিনিয়ারিং এবং IoT ডিভাইস আলাদা করা)।

সমাধানকৃত উদাহরণসমূহ

একটি ৩০০ রুম বিশিষ্ট বিলাসবহুল হোটেলের ব্যাক-অফ-হাউস অপারেশনাল নেটওয়ার্ক (স্টাফদের ট্যাবলেট, VoIP ফোন, ম্যানেজমেন্ট ল্যাপটপ) সুরক্ষিত করতে হবে এবং এটি গেস্ট নেটওয়ার্ক থেকে সম্পূর্ণ আলাদা রাখতে হবে। তারা বর্তমানে কর্মীদের জন্য একটি মাত্র PSK ব্যবহার করছে।

১. হোটেলের বিদ্যমান Active Directory এর সাথে লিঙ্কযুক্ত Microsoft NPS ডেপ্লয় করুন। ২. ট্যাবলেট অনবোর্ডিং সহজ করতে NPS সার্ভারে একটি পাবলিক সার্টিফিকেট (যেমন, DigiCert) ব্যবহার করে PEAP-MSCHAPv2 কনফিগার করুন। ৩. AP সমূহে একটি 802.1X SSID ('Hotel_Ops') তৈরি করুন। ৪. হোটেলের MDM প্ল্যাটফর্ম ব্যবহার করে সমস্ত স্টাফ ট্যাবলেট এবং ল্যাপটপে 'Hotel_Ops' WiFi প্রোফাইলটি পুশ করুন, এবং প্রোফাইলটি যাতে DigiCert রুট CA কে ট্রাস্ট করে এবং NPS সার্ভারের নাম ভ্যালিডেট করে তা স্পষ্টভাবে কনফিগার করুন। ৫. বিদ্যমান ওপেন গেস্ট SSID টি বজায় রাখুন এবং শর্তাবলী গ্রহণ ও অ্যানালিটিক্সের জন্য এটিকে Purple এর captive portal এর মাধ্যমে রাউট করুন, যাতে গেস্ট VLAN সমূহ কোনোভাবেই অপারেশনাল VLAN সমূহে রাউট করতে না পারে।

পরীক্ষকের মন্তব্য: এই পদ্ধতিটি সিকিউরিটি এবং ডেপ্লয়মেন্টের জটিলতার মধ্যে ভারসাম্য বজায় রাখে। RADIUS সার্ভারে একটি পাবলিক সার্টিফিকেট ব্যবহার করার মাধ্যমে, হোটেলটি একটি সম্পূর্ণ PKI ডেপ্লয় করার ঝামেলা এড়াতে পারে এবং একই সাথে শেয়ার করা PSK এর ঝুঁকিও দূর করতে পারে। VLAN এবং পৃথক অথেন্টিকেশন মেকানিজমের মাধ্যমে গেস্ট ও কর্পোরেট ট্রাফিকের কঠোর বিভাজন হোটেলের পয়েন্ট-অফ-সেল সিস্টেমের জন্য PCI-DSS প্রয়োজনীয়তার সাথে সামঞ্জস্যপূর্ণ।

একটি বিশ্ববিদ্যালয় ক্যাম্পাস 802.1X-এ মাইগ্রেট করছে এবং বিভিন্ন অপারেটিং সিস্টেম জুড়ে ১৫,০০০ শিক্ষার্থীর জন্য একটি বিশাল BYOD পরিবেশ সমর্থন করা প্রয়োজন।

১. লোড ব্যালেন্সিং সহ একটি শক্তিশালী RADIUS ক্লাস্টার (যেমন, FreeRADIUS বা Cisco ISE) ডেপ্লয় করুন। ২. ব্যাপক ডিভাইস সামঞ্জস্যের জন্য PEAP-MSCHAPv2 ইমপ্লিমেন্ট করুন। ৩. একটি অনবোর্ডিং পোর্টাল (যেমন, SecureW2) ডেপ্লয় করুন যা শিক্ষার্থীর ডিভাইসের সাপ্লিক্যান্টকে সঠিক EAP সেটিংস ব্যবহার করতে এবং বিশ্ববিদ্যালয়ের RADIUS সার্ভার সার্টিফিকেট ট্রাস্ট করতে অটোমেটিকভাবে কনফিগার করে। ৪. ব্রডকাস্ট ডোমেন পরিচালনা করতে এবং ক্যাম্পাসে তাদের অবস্থানের উপর ভিত্তি করে শিক্ষার্থীদের উপযুক্ত সাবনেটে রাখতে RADIUS অ্যাট্রিবিউটের মাধ্যমে ডাইনামিক VLAN অ্যাসাইনমেন্ট ব্যবহার করুন।

পরীক্ষকের মন্তব্য: উচ্চশিক্ষার ক্ষেত্রে, BYOD হল প্রধান চ্যালেঞ্জ। শিক্ষার্থীদের দ্বারা ম্যানুয়াল কনফিগারেশনের উপর নির্ভর করলে হেল্পডেস্ক টিকিটের পরিমাণ অনেক বেড়ে যায় এবং কনফিগারেশন অনিরাপদ হয় (ব্যবহারকারীরা অবৈধ সার্টিফিকেট গ্রহণ করে)। এখানে অনবোর্ডিং পোর্টালটি হল সাফল্যের মূল চাবিকাঠি, যা ক্রেডেনশিয়াল চুরি রোধ করতে সাপ্লিক্যান্টকে সুরক্ষিত রাখা নিশ্চিত করে।

অনুশীলনী প্রশ্নসমূহ

Q1. আপনার প্রতিষ্ঠান PEAP-MSCHAPv2 ব্যবহার করে 802.1X স্থাপন করছে। পরীক্ষার সময়, ব্যবহারকারীরা জানান যে প্রথমবার সংযোগ করার সময় তাদের 'Accept a Certificate' করার জন্য অনুরোধ করা হচ্ছে। আপনার এটি কীভাবে সমাধান করা উচিত?

ইঙ্গিত: নেটওয়ার্ক পরিকাঠামো সম্পর্কিত বিশ্বাসের সিদ্ধান্ত নেওয়ার ক্ষেত্রে ব্যবহারকারীদের অনুমতি দেওয়ার সুরক্ষাজনিত প্রভাবগুলো বিবেচনা করুন।

মডেল উত্তর দেখুন

RADIUS সার্ভারের সার্টিফিকেট প্রদানকারী Root CA-কে স্পষ্টভাবে বিশ্বাস করতে এবং নির্দিষ্ট সার্ভারের নাম যাচাই করতে আপনাকে (MDM বা Group Policy-এর মাধ্যমে) ক্লায়েন্ট সাপ্লিক্যান্ট প্রোফাইলগুলো কনফিগার করতে হবে। ব্যবহারকারীদের ম্যানুয়ালি সার্টিফিকেট গ্রহণ করার উপর নির্ভর করলে তা তাদের সুরক্ষাজনিত সতর্কতা উপেক্ষা করতে অভ্যস্ত করে তোলে এবং নেটওয়ার্কটিকে Evil Twin (ক্রেডেনশিয়াল হারভেস্টিং) আক্রমণের ঝুঁকিতে ফেলে দেয়।

Q2. আপনার একদল ওয়্যারহাউস বারকোড স্ক্যানার সুরক্ষিত করতে হবে। এগুলো WPA2-Enterprise সমর্থন করে কিন্তু ক্লায়েন্ট সার্টিফিকেট ইনস্টল করার বা Active Directory-তে যুক্ত হওয়ার কোনো ব্যবস্থা নেই। সবচেয়ে নিরাপদ স্থাপনার পদ্ধতি কোনটি?

ইঙ্গিত: এমন EAP পদ্ধতিগুলো মূল্যায়ন করুন যেগুলোর জন্য ক্লায়েন্ট-সাইড সার্টিফিকেটের প্রয়োজন হয় না কিন্তু তবুও এনক্রিপ্টেড অথেন্টিকেশন প্রদান করে।

মডেল উত্তর দেখুন

PEAP-MSCHAPv2 স্থাপন করুন। স্ক্যানারগুলোর জন্য আপনার ডিরেক্টরিতে একটি ডেডিকেটেড সার্ভিস অ্যাকাউন্ট তৈরি করুন। TLS টানেলটি স্থাপন করার জন্য একটি সার্ভার সার্টিফিকেট সহ RADIUS সার্ভার কনফিগার করুন এবং টানেলের ভেতরে এই সার্ভিস অ্যাকাউন্টের ক্রেডেনশিয়াল ব্যবহার করে অথেন্টিকেট করার জন্য স্ক্যানারগুলো কনফিগার করুন। RADIUS পলিসিটি যাতে এই সার্ভিস অ্যাকাউন্টটিকে একটি নির্দিষ্ট, আইসোলেটেড ওয়্যারহাউস VLAN-এ সীমাবদ্ধ রাখে তা নিশ্চিত করুন।

Q3. AP এবং RADIUS সার্ভার কনফিগার করার পর, ক্লায়েন্ট ডিভাইসগুলো সফলভাবে অথেন্টিকেট হয় (RADIUS লগ-এ Access-Accept দিয়ে যাচাইকৃত), কিন্তু তারা কোনো IP অ্যাড্রেস পেতে ব্যর্থ হয় এবং নেটওয়ার্ক অ্যাক্সেস করতে পারে না। সবচেয়ে সম্ভাব্য পরিকাঠামোগত সমস্যাটি কী?

ইঙ্গিত: অথেন্টিকেশন সফল হয়েছে, যার অর্থ 802.1X ধাপটি সম্পূর্ণ। সমস্যাটি পরবর্তী নেটওয়ার্ক প্রোভিশনিং ধাপে রয়েছে।

মডেল উত্তর দেখুন

সবচেয়ে সম্ভাব্য সমস্যাটি হলো ওয়্যার্ড নেটওয়ার্কে একটি VLAN ভুল কনফিগারেশন। RADIUS সার্ভার যদি ক্লায়েন্টকে একটি নির্দিষ্ট VLAN-এ (যেমন, VLAN 20) রাখার জন্য dynamic VLAN assignment ব্যবহার করে, তবে Access Point সংযোগকারী সুইচ পোর্টটিকে অবশ্যই একটি 802.1Q ট্রাঙ্ক পোর্ট হিসেবে কনফিগার করতে হবে যা VLAN 20-কে অনুমতি দেয়। VLAN যদি AP-তে ট্রাঙ্ক করা না থাকে, তবে ক্লায়েন্টের DHCP অনুরোধগুলো ড্রপ হয়ে যাবে।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

What is the primary difference between EAP-TLS and PEAP-MSCHAPv2 for 802.1X WiFi?

EAP-TLS relies on mutual public key infrastructure (PKI) certificate validation where both the RADIUS server and client endpoint present trusted X.509 digital certificates, eliminating passwords entirely. PEAP-MSCHAPv2 uses a server-side certificate to establish an encrypted TLS tunnel, through which legacy username and password hashes are transmitted, making it vulnerable to credential theft and misconfigured supplicant exploits.

Why is strict server certificate validation critical for 802.1X client supplicants?

Without strict server certificate validation, client devices will connect to any rogue access point broadcasting the enterprise SSID and presenting an arbitrary certificate. An attacker running a rogue RADIUS server can capture MS-CHAPv2 authentication challenges or harvest corporate credentials. Enforcing the trusted Root CA and server domain name prevents man-in-the-middle attacks.

How does dynamic VLAN assignment operate during 802.1X authentication?

When a client authenticates successfully, the RADIUS server includes RFC 2868 and RFC 3580 RADIUS attributes (Tunnel-Type = 13, Tunnel-Medium-Type = 6, Tunnel-Private-Group-ID = VLAN ID or name) in the RADIUS Access-Accept response. The access point or switch receives these attributes and dynamically bridges the client traffic onto the assigned VLAN.

Which firewall ports must be open between access points and the RADIUS server?

Access points communicate with RADIUS servers over UDP. Standard IANA ports are UDP port 1812 for RADIUS Authentication and UDP port 1813 for RADIUS Accounting. Legacy deployments may use UDP ports 1645 (Authentication) and 1646 (Accounting). Additionally, dynamic Change of Authorization (CoA) requires UDP port 3799 to be reachable from RADIUS to the AP.

How does Purple simplify 802.1X and guest WiFi segmentation across multi-vendor networks?

Purple integrates seamlessly with major enterprise wireless hardware (Cisco, HPE Aruba, Ruckus, Meraki, Fortinet, Mist) to cleanly separate corporate 802.1X traffic from visitor networks. Purple delivers enterprise captive portals, automated visitor onboarding, and compliant marketing analytics while allowing IT teams to maintain isolated, high-security 802.1X networks for staff and managed endpoints.

এই সিরিজে পড়া চালিয়ে যান

iOS এবং macOS 802.1X ট্রাবলশুটিং: Intune, Jamf এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট

iPhones, iPads এবং Macs কেন Intune বা Jamf Pro-তে 802.1X ব্যর্থ হয় তা সনাক্ত করতে এই চেকলিস্টটি ব্যবহার করুন। প্রতিটি ব্যর্থতার পিছনে চারটি কারণের যেকোনো একটি থাকে: সার্ভার ট্রাস্ট, আইডেন্টিটি সার্টিফিকেট, macOS মোড বা Entra ID গ্রুপ স্কোপিং। আপনি eapolclient এবং RADIUS লগ থেকে এর কারণ নিশ্চিত করবেন, সমাধান প্রয়োগ করবেন এবং ভবিষ্যতের সার্টিফিকেট রোটেশন পরিচালনা করবেন।

গাইডটি পড়ুন →

Intune WiFi প্রোফাইল সার্ভার ট্রাস্ট: Microsoft Entra ID -এর জন্য সার্টিফিকেট সার্ভার নাম এবং রুট CA চেকলিস্ট

আপনি একটি Intune WiFi প্রোফাইলের সার্ভার ভ্যালিডেশন অংশটি কনফিগার করতে পারবেন যাতে Windows, Apple এবং Android -এ EAP-TLS এবং PEAP কানেক্ট হয়। আপনি RADIUS সার্টিফিকেটের সাথে সার্টিফিকেট সার্ভারের নাম মেলাতে পারবেন, সঠিক রুট CA ডেপ্লয় করতে পারবেন, Microsoft Entra ID গ্রুপ অ্যাসাইনমেন্ট অ্যালাইন করতে পারবেন এবং সার্টিফিকেট রিনিউয়াল কানেকশন বন্ধ করার আগেই সেটিকে প্রস্তুত করতে পারবেন।

গাইডটি পড়ুন →

Android 802.1X এবং EAP-TLS ট্রাবলশুটিং: Intune এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট

আপনি সহজেই সনাক্ত করতে পারবেন কেন ম্যানেজড Android ফোনগুলো আপনার স্টাফ SSID-এ EAP-TLS সংযোগ করতে ব্যর্থ হচ্ছে এবং তা Intune-এ ঠিক করতে পারবেন। প্রতিটি লক্ষণকে চারটি সাধারণ কারণের সাথে মেলান - অনুপস্থিত CA বা ডোমেন, ভুল প্রোফাইলে থাকা ক্লায়েন্ট সার্টিফিকেট, একটি অমিল RADIUS সার্ভার নামের মান, অথবা একটি অপৌঁছানো ট্রাস্টেড রুট। তারপর একটি রোলআউট চেকলিস্ট প্রয়োগ করুন যা বারবার বিভ্রাট হওয়া বন্ধ করে।

গাইডটি পড়ুন →

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।