eduroam এবং 802.1X: উচ্চশিক্ষার জন্য নিরাপদ WiFi প্রমাণীকরণ

পডকাস্ট স্ক্রিপ্ট: eduroam এবং 802.1X — উচ্চশিক্ষার জন্য নিরাপদ WiFi প্রমাণীকরণ রানটাইম: প্রায় ১০ মিনিট ভয়েস: ইউকে ইংরেজি, পুরুষ, সিনিয়র কনসালট্যান্ট টোন — আত্মবিশ্বাসী, কথোপকথনমূলক, প্রামাণিক --- [ইন্ট্রো — ১ মিনিট] আবারও স্বাগতম। আমি আগামী দশ মিনিট আপনাদের eduroam এবং 802.1X সম্পর্কে জানাবো — এগুলি কী, এগুলি আসলে কীভাবে কাজ করে এবং এগুলির কোনোটি ডিপ্লয় বা ইন্টিগ্রেট করার আগে আপনার টিমের কী জানা প্রয়োজন। আপনি যদি কোনো বিশ্ববিদ্যালয়, কলেজ বা গবেষণা প্রতিষ্ঠানের আইটি ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট বা CTO হন — অথবা আপনি যদি এমন একজন ভেন্যু অপারেটর হন যাকে বুঝতে হবে যে আপনার একাডেমিক দর্শনার্থীরা আপনার ওয়্যারলেস ইনফ্রাস্ট্রাকচার থেকে কী প্রত্যাশা করছে — তবে এই ব্রিফিংটি আপনার জন্য। চলুন বড় পরিসরে শুরু করা যাক। eduroam-এর অর্থ হলো "এডুকেশন রোমিং"। এটি একটি গ্লোবাল WiFi রোমিং পরিষেবা যা সদস্য প্রতিষ্ঠানগুলির শিক্ষার্থী, গবেষক এবং কর্মীদের যেকোনো অংশগ্রহণকারী ভেন্যুতে ইন্টারনেটের সাথে কানেক্ট হতে দেয় — স্বয়ংক্রিয়ভাবে, নিরাপদে, তাদের হোম প্রতিষ্ঠানের ক্রেডেনশিয়াল ব্যবহার করে। কোনো গেস্ট পোর্টাল নেই। কোনো ভাউচার কোড নেই। ফ্রন্ট ডেস্কে পাসওয়ার্ড চাওয়ার কোনো প্রয়োজন নেই। এটি ২০০৩ সাল থেকে চলছে, এটি এখন ১০০টিরও বেশি দেশে ১০,০০০-এরও বেশি প্রতিষ্ঠান কভার করে এবং এটি বিশ্বব্যাপী উচ্চশিক্ষায় ক্যাম্পাস ওয়্যারলেস নেটওয়ার্কিংয়ের ডি ফ্যাক্টো স্ট্যান্ডার্ড। যদি আপনার সংস্থা বিশ্ববিদ্যালয়গুলির সাথে যুক্ত থাকে — আপনি ক্যাম্পাসের কাছের কোনো হোটেল, একাডেমিক ইভেন্ট হোস্ট করা কোনো কনফারেন্স সেন্টার বা বিশ্ববিদ্যালয় শহরের কোনো পাবলিক লাইব্রেরি হোন না কেন — eduroam বোঝা আপনার নেটওয়ার্ক স্ট্র্যাটেজির সাথে সরাসরি প্রাসঙ্গিক। --- [টেকনিক্যাল ডিপ-ডাইভ — ৫ মিনিট] ঠিক আছে। চলুন এর মেকানিক্সে প্রবেশ করা যাক। eduroam IEEE 802.1X-এর ওপর তৈরি — যা পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড। 802.1X কোনো নেটওয়ার্কে অ্যাক্সেস দেওয়ার আগে ডিভাইসগুলিকে প্রমাণীকরণ করার জন্য একটি ফ্রেমওয়ার্ক সংজ্ঞায়িত করে। এটি প্রাথমিকভাবে ওয়্যারড ইথারনেটের জন্য ডিজাইন করা হয়েছিল তবে এটি ওয়্যারলেসেও সুন্দরভাবে ম্যাপ করে এবং এটিই হলো সেই ভিত্তি যাকে আমরা WPA2-Enterprise বা WPA3-Enterprise নিরাপত্তা বলি। 802.1X মডেলের তিনটি উপাদান রয়েছে। প্রথমত, সাপ্লিক্যান্ট — এটি হলো সেই ডিভাইস যা কানেক্ট করার চেষ্টা করছে। একজন শিক্ষার্থীর ল্যাপটপ, একজন গবেষকের ফোন। দ্বিতীয়ত, অথেনটিকেটর — এটি হলো আপনার নেটওয়ার্ক অ্যাক্সেস পয়েন্ট বা ম্যানেজড সুইচ। এটি সাপ্লিক্যান্ট এবং নেটওয়ার্কের বাকি অংশের মধ্যে থাকে এবং একটি গেটকিপার হিসেবে কাজ করে। তৃতীয়ত, অথেনটিকেশন সার্ভার — প্রায় সবসময়ই একটি RADIUS সার্ভার। RADIUS-এর পূর্ণরূপ হলো রিমোট অথেনটিকেশন ডায়াল-ইন ইউজার সার্ভিস। এটি হলো সেই উপাদান যা প্রকৃতপক্ষে ক্রেডেনশিয়াল যাচাই করে। হ্যান্ডশেক কীভাবে কাজ করে তা এখানে দেওয়া হলো। শিক্ষার্থীর ডিভাইস ওয়্যারলেস অ্যাক্সেস পয়েন্টের সাথে যুক্ত হয়। অ্যাক্সেস পয়েন্টটি এখনও সম্পূর্ণ নেটওয়ার্ক অ্যাক্সেস দেয় না — এটি একটি নিয়ন্ত্রিত পোর্ট খোলে, তবে শুধুমাত্র EAP ট্রাফিকের জন্য। EAP হলো এক্সটেনসিবল অথেনটিকেশন প্রোটোকল। অ্যাক্সেস পয়েন্টটি ডিভাইস এবং RADIUS সার্ভারের মধ্যে EAP কথোপকথন প্রক্সি করে। RADIUS সার্ভার ডিভাইসটিকে চ্যালেঞ্জ করে, ডিভাইসটি ক্রেডেনশিয়াল দিয়ে সাড়া দেয় — সাধারণত একটি ইউজারনেম এবং পাসওয়ার্ড, বা একটি সার্টিফিকেট — এবং যদি RADIUS সার্ভার সন্তুষ্ট হয়, তবে এটি একটি Access-Accept মেসেজ ফেরত পাঠায়। এরপর অ্যাক্সেস পয়েন্টটি সম্পূর্ণ নেটওয়ার্ক পোর্ট খুলে দেয়। একটি ভালোভাবে কনফিগার করা ডিপ্লয়মেন্টে পুরো আদান-প্রদানটি দুই সেকেন্ডের কম সময় নেয়। এখন, এর ওপর eduroam কোথায় লেয়ার করে? eduroam একটি হায়ারার্কিকাল RADIUS প্রক্সি ইনফ্রাস্ট্রাকচার ব্যবহার করে। প্রতিটি অংশগ্রহণকারী প্রতিষ্ঠান তাদের নিজস্ব RADIUS সার্ভার চালায় — যাকে আইডেন্টিটি প্রোভাইডার বা IdP বলা হয়। যখন, ধরুন, ইউনিভার্সিটি অফ ম্যানচেস্টারের একজন শিক্ষার্থী ইম্পেরিয়াল কলেজ লন্ডনে যান এবং eduroam SSID-এর সাথে কানেক্ট করেন, তখন তাদের ডিভাইস username@manchester.ac.uk ফরম্যাটে তাদের ক্রেডেনশিয়াল পাঠায়। ইম্পেরিয়ালের RADIUS সার্ভার রিয়েলমটি দেখে — যা @ চিহ্নের পরের অংশ — এবং প্রমাণীকরণ অনুরোধটিকে জাতীয় RADIUS সার্ভারে প্রক্সি করে, যা ইউকে-তে জাতীয় গবেষণা এবং শিক্ষা নেটওয়ার্ক Jisc দ্বারা পরিচালিত হয়। এরপর Jisc অনুরোধটিকে ইউনিভার্সিটি অফ ম্যানচেস্টারের RADIUS সার্ভারে রাউট করে, যা ক্রেডেনশিয়াল যাচাই করে এবং একটি Accept বা Reject ফেরত পাঠায়। পুরো চেইনটি কয়েক মিলিসেকেন্ডের মধ্যে সমাধান হয়ে যায়। এই প্রক্সি চেইনটিই প্রতিষ্ঠানগুলির মধ্যে কোনো প্রি-শেয়ার্ড সিক্রেট ছাড়াই eduroam-কে প্রাতিষ্ঠানিক সীমানা পেরিয়ে কাজ করতে সাহায্য করে। চেইনের প্রতিটি হপ শুধুমাত্র তার নিকটবর্তী প্রতিবেশীর সাথে একটি শেয়ার্ড RADIUS সিক্রেট ব্যবহার করে। শিক্ষার্থীর আসল পাসওয়ার্ড কখনোই হোম প্রতিষ্ঠানের RADIUS সার্ভার ছেড়ে যায় না — এটি EAP টানেল দ্বারা এন্ড-টু-এন্ড সুরক্ষিত থাকে। EAP মেথডের কথা বলতে গেলে — এখানেই অনেক ডিপ্লয়মেন্ট ভুল হয়ে যায়, তাই মনোযোগ দিন। eduroam-এ সবচেয়ে সাধারণ EAP মেথডগুলি হলো PEAP — প্রোটেক্টেড EAP — এবং EAP-TLS। PEAP একটি TLS টানেলের ভেতরে একটি অভ্যন্তরীণ প্রমাণীকরণ মেথড, সাধারণত MSCHAPv2-কে র‍্যাপ করে। এর জন্য RADIUS সার্ভারে একটি সার্ভার-সাইড সার্টিফিকেট প্রয়োজন, তবে ক্লায়েন্টের শুধুমাত্র একটি ইউজারনেম এবং পাসওয়ার্ড প্রয়োজন। EAP-TLS হলো আরও সুরক্ষিত বিকল্প — এটি মিউচুয়াল সার্টিফিকেট প্রমাণীকরণ ব্যবহার করে, যার অর্থ সার্ভার এবং ক্লায়েন্ট উভয়ই সার্টিফিকেট উপস্থাপন করে। এটি বড় পরিসরে ডিপ্লয় করা কঠিন কারণ ক্লায়েন্ট সার্টিফিকেট ইস্যু করার জন্য আপনার একটি PKI প্রয়োজন, তবে এটি মূলত ক্রেডেনশিয়াল ফিশিং থেকে মুক্ত। অনেক প্রতিষ্ঠান যে গুরুত্বপূর্ণ নিরাপত্তার প্রয়োজনীয়তাটি ভুল করে তা হলো ক্লায়েন্ট সাইডে সার্টিফিকেট ভ্যালিডেশন। যখন কোনো ডিভাইস PEAP ব্যবহার করে eduroam-এর সাথে কানেক্ট হয়, তখন ক্রেডেনশিয়াল জমা দেওয়ার আগে ডিভাইসটিকে অবশ্যই RADIUS সার্ভারের সার্টিফিকেট যাচাই করতে হবে। যদি ডিভাইসটি যেকোনো সার্টিফিকেট গ্রহণ করার জন্য মিসকনফিগার করা থাকে, তবে একজন আক্রমণকারী eduroam SSID সম্প্রচারকারী একটি রগ অ্যাক্সেস পয়েন্ট দাঁড় করাতে পারে, একটি সেলফ-সাইন্ড সার্টিফিকেট উপস্থাপন করতে পারে এবং ক্রেডেনশিয়াল চুরি করতে পারে। এটি একটি পরিচিত অ্যাটাক ভেক্টর। এর প্রতিকার হলো আপনার সাপ্লিক্যান্ট প্রোফাইলগুলি কনফিগার করা — ম্যানেজড ডিভাইসের জন্য MDM-এর মাধ্যমে, বা ব্যক্তিগত ডিভাইসের জন্য eduroam Configuration Assistant Tool, যা CAT নামে পরিচিত, তার মাধ্যমে — যাতে প্রত্যাশিত সার্টিফিকেট অথরিটি এবং সার্ভারের নাম পিন করা যায়। স্ট্যান্ডার্ডের দৃষ্টিকোণ থেকে, eduroam ডিপ্লয়মেন্টগুলি eduroam পলিসি সার্ভিস ডেফিনিশন মেনে চলবে বলে আশা করা হয়, যা সমস্ত RADIUS over TLS কানেকশনের জন্য TLS 1.2 বা উচ্চতর বাধ্যতামূলক করে, EAP-MD5 বা LEAP-এর মতো দুর্বল EAP মেথডগুলির ব্যবহার নিষিদ্ধ করে এবং যেখানে সম্ভব প্লেইন UDP RADIUS-এর পরিবর্তে সমস্ত RADIUS প্রক্সি কানেকশনে RadSec — RADIUS over TLS — ব্যবহার করা প্রয়োজন। এটি ইউকে-তে NCSC নির্দেশিকা এবং ইউএস-এ NIST SP 800-120-এর সাথে সামঞ্জস্যপূর্ণ। আরও একটি টেকনিক্যাল পয়েন্ট উল্লেখ করার মতো: VLAN অ্যাসাইনমেন্ট। একটি সুগঠিত eduroam ডিপ্লয়মেন্টে, RADIUS Access-Accept রেসপন্সে VLAN অ্যাট্রিবিউট অন্তর্ভুক্ত থাকে যা অ্যাক্সেস পয়েন্টকে বলে দেয় যে কানেক্টিং ডিভাইসটিকে কোন VLAN-এ অ্যাসাইন করতে হবে। এটি আপনাকে ট্রাফিক সেগমেন্ট করতে দেয় — ভিজিটিং শিক্ষার্থীদের শুধুমাত্র ইন্টারনেট অ্যাক্সেস সহ একটি নিয়ন্ত্রিত VLAN-এ রাখা, যেখানে আপনার নিজস্ব কর্মীদের ইন্টারনাল নেটওয়ার্কে রাউট করা হয়। এটি কমপ্লায়েন্সের জন্য অপরিহার্য, বিশেষ করে যদি আপনি PCI DSS-এর অধীন হন বা রিসার্চ ডেটা নেটওয়ার্ক এবং সাধারণ ইন্টারনেট ট্রাফিকের মধ্যে পার্থক্য বজায় রাখতে চান। --- [ইমপ্লিমেন্টেশন সুপারিশ এবং ত্রুটি — ২ মিনিট] আমাকে আপনাকে ব্যবহারিক নির্দেশিকা দিতে দিন। আপনি যদি প্রথমবারের মতো eduroam ডিপ্লয় করেন, তবে আপনার প্রথম কলটি আপনার জাতীয় NREN-কে করা উচিত — ইউকে-তে এটি Jisc, আয়ারল্যান্ডে HEAnet, ইউএস-এ Internet2। তারা ফেডারেশন মেম্বারশিপ পরিচালনা করে এবং আপনাকে একটি RADIUS রিয়েলম অ্যাসাইন করবে। আপনার জাতীয় ফেডারেশনের সদস্য না হয়ে আপনি eduroam-এ অংশগ্রহণ করতে পারবেন না। আপনার ইনফ্রাস্ট্রাকচার চেকলিস্ট: আপনার 802.1X-সক্ষম অ্যাক্সেস পয়েন্ট প্রয়োজন — Cisco, Aruba, Juniper, Ruckus বা Ubiquiti UniFi-এর যেকোনো এন্টারপ্রাইজ-গ্রেড কিট এটি করবে। আপনার একটি RADIUS সার্ভার প্রয়োজন — FreeRADIUS হলো ওপেন-সোর্স স্ট্যান্ডার্ড, অথবা আপনি Microsoft NPS, Cisco ISE বা Aruba ClearPass ব্যবহার করতে পারেন। eduroam কমিউনিটি দ্বারা বিশ্বস্ত একটি CA থেকে আপনার RADIUS সার্ভারের জন্য আপনার একটি বৈধ TLS সার্টিফিকেট প্রয়োজন — সাধারণত আপনার প্রতিষ্ঠানের PKI থেকে একটি সার্টিফিকেট বা eduroam অনুমোদিত তালিকার একটি কমার্শিয়াল CA। আমি যে তিনটি সবচেয়ে সাধারণ ডিপ্লয়মেন্ট ব্যর্থতা দেখি তা হলো: প্রথমত, সার্টিফিকেট মিসকনফিগারেশন — হয় RADIUS সার্টিফিকেটের মেয়াদ শেষ হয়ে গেছে, অথবা ক্লায়েন্ট সাপ্লিক্যান্ট প্রোফাইলগুলি সঠিকভাবে পিন করা হয়নি। দ্বিতীয়ত, RADIUS প্রক্সি টাইমআউট — যদি আপনার আপস্ট্রিম NREN কানেকশনে ল্যাটেন্সি সমস্যা থাকে, তবে প্রমাণীকরণ টাইমআউট হয়ে যাবে এবং ব্যবহারকারীরা কানেকশন ব্যর্থতা দেখতে পাবেন যা ক্রেডেনশিয়াল ত্রুটির মতো দেখায়। তৃতীয়ত, VLAN মিসকনফিগারেশন — ভিজিটিং ইউজাররা ভুল নেটওয়ার্ক সেগমেন্টে চলে যায়, হয় কোনো ইন্টারনেট অ্যাক্সেস পায় না বা, আরও খারাপ, ইন্টারনাল রিসোর্সগুলিতে অ্যাক্সেস পায় যা তাদের দেখা উচিত নয়। ক্লায়েন্ট সাইডে, আপনার MDM প্ল্যাটফর্মের মাধ্যমে সমস্ত ম্যানেজড ডিভাইসে eduroam CAT প্রোফাইল ডিপ্লয় করুন। ব্যক্তিগত ডিভাইসের জন্য, CAT ইনস্টলার লিঙ্কটি স্পষ্টভাবে প্রকাশ করুন। এই একটি পদক্ষেপই বেশিরভাগ সাপোর্ট টিকিট দূর করে। যেসব ভেন্যু উচ্চশিক্ষা প্রতিষ্ঠান নয় কিন্তু eduroam অ্যাক্সেস অফার করতে চায় — কনফারেন্স সেন্টার, হোটেল এবং অনুরূপ — তাদের জন্য এই প্রক্রিয়াটিকে eduroam ভিজিটর অ্যাক্সেস বা eVA বলা হয়। এটি নন-মেম্বার সংস্থাগুলিকে পূর্ণ সদস্য না হয়েও eduroam SSID হোস্ট করতে এবং ফেডারেশনে প্রমাণীকরণ প্রক্সি করার অনুমতি দেয়। আপনি যদি নিয়মিত একাডেমিক কনফারেন্স বা বিশ্ববিদ্যালয়ের ইভেন্ট হোস্ট করেন তবে এটি তদন্ত করে দেখার মতো। --- [র‍্যাপিড-ফায়ার প্রশ্নোত্তর — ১ মিনিট] কিছু দ্রুত প্রশ্ন যা আমাকে নিয়মিত জিজ্ঞাসা করা হয়। "eduroam কি আমাদের গেস্ট WiFi-কে সম্পূর্ণভাবে প্রতিস্থাপন করতে পারে?" না। eduroam শুধুমাত্র সেই ব্যবহারকারীদের জন্য কাজ করে যাদের কোনো সদস্য প্রতিষ্ঠানে ক্রেডেনশিয়াল আছে। অন্য সবার জন্য — দর্শনার্থী, কন্ট্রাক্টর, সাধারণ জনগণ — আপনার এখনও একটি পৃথক গেস্ট WiFi সলিউশন প্রয়োজন। "eduroam কি GDPR কমপ্লায়েন্ট?" হ্যাঁ, তবে কিছু শর্ত আছে। ফেডারেশন আর্কিটেকচারের অর্থ হলো আপনার প্রতিষ্ঠান প্রমাণীকরণ ডেটা প্রসেস করে, তবে আপনাকে নিশ্চিত করতে হবে যে আপনার প্রাইভেসি নোটিশগুলি এটি কভার করে এবং আপনার RADIUS লগগুলি যথাযথভাবে পরিচালনা করা হয়। "আমরা কি eduroam-এর সাথে WPA3 ব্যবহার করতে পারি?" হ্যাঁ। WPA3-Enterprise 802.1X-এর সাথে সম্পূর্ণ সামঞ্জস্যপূর্ণ এবং এটি নতুন ডিপ্লয়মেন্টের জন্য প্রস্তাবিত স্ট্যান্ডার্ড। এটি উচ্চ-নিরাপত্তা পরিবেশের জন্য 192-বিট মোড এনক্রিপশন যোগ করে। "eduroam এবং OpenRoaming-এর মধ্যে পার্থক্য কী?" OpenRoaming হলো ওয়্যারলেস ব্রডব্যান্ড অ্যালায়েন্সের একটি বৃহত্তর শিল্প উদ্যোগ যা একই 802.1X এবং RADIUS প্রক্সি আর্কিটেকচার ব্যবহার করে তবে রোমিংকে শিক্ষার বাইরে কমার্শিয়াল ভেন্যুগুলিতে প্রসারিত করে। Purple সহ কিছু প্ল্যাটফর্ম তাদের গেস্ট WiFi অফারিংয়ের অংশ হিসেবে OpenRoaming সমর্থন করে। --- [সারাংশ এবং পরবর্তী পদক্ষেপ — ১ মিনিট] পরিশেষে। eduroam হলো 802.1X এবং একটি হায়ারার্কিকাল RADIUS প্রক্সি ইনফ্রাস্ট্রাকচারের ওপর তৈরি একটি পরিণত, সুশাসিত, বিশ্বব্যাপী ডিপ্লয় করা WiFi রোমিং পরিষেবা। এটি শেয়ার্ড পাসওয়ার্ড বা Captive Portal ছাড়াই ১০,০০০-এরও বেশি প্রতিষ্ঠান জুড়ে প্রতি-ব্যবহারকারী প্রমাণীকরণ, শক্তিশালী এনক্রিপশন এবং নিরবচ্ছিন্ন রোমিং প্রদান করে। ক্যাম্পাস ওয়্যারলেস ডিপ্লয় বা আপগ্রেড করা আইটি টিমগুলির জন্য: যেখানে আপনার PKI এটি সমর্থন করতে পারে সেখানে PEAP-এর চেয়ে EAP-TLS-কে অগ্রাধিকার দিন, সমস্ত ক্লায়েন্ট প্রোফাইলে সার্টিফিকেট ভ্যালিডেশন প্রয়োগ করুন, সমস্ত RADIUS প্রক্সি কানেকশনের জন্য RadSec ব্যবহার করুন এবং ভিজিটিং ইউজারদের একটি ডেডিকেটেড VLAN-এ সেগমেন্ট করুন। ভেন্যু অপারেটরদের জন্য: আপনি যদি নিয়মিত একাডেমিক দর্শনার্থীদের হোস্ট করেন, তবে eduroam ভিজিটর অ্যাক্সেস তদন্ত করুন। এবং আপনি eduroam ডিপ্লয় করুন বা না করুন, আপনার গেস্ট WiFi ইনফ্রাস্ট্রাকচার এন্টারপ্রাইজ-গ্রেড 802.1X নীতিগুলির ওপর তৈরি হওয়া উচিত — শেয়ার্ড PSK-এর ওপর নয়। আপনি যদি এর যেকোনো বিষয়ে আরও গভীরে যেতে চান — RADIUS আর্কিটেকচার, EAP-TLS-এর জন্য PKI ডিজাইন, বা Purple-এর মতো প্ল্যাটফর্মগুলি কীভাবে eduroam এবং OpenRoaming-এর সাথে ইন্টিগ্রেট করে — তবে সম্পূর্ণ লিখিত গাইডটি শো নোটে লিঙ্ক করা আছে。 শোনার জন্য ধন্যবাদ। পরের বার পর্যন্ত বিদায়। --- স্ক্রিপ্টের সমাপ্তি