eduroam and 802.1X: Secure WiFi Authentication for Higher Education

পডকাস্ট স্ক্রিপ্ট: eduroam এবং 802.1X — উচ্চশিক্ষার জন্য সুরক্ষিত WiFi প্রমাণীকরণ সময়কাল: প্রায় ১০ মিনিট কণ্ঠস্বর: ইউকে ইংরেজি, পুরুষ, সিনিয়র কনসালট্যান্টের সুর — আত্মবিশ্বাসী, কথোপকথনমূলক, কর্তৃত্বপূর্ণ --- [ভূমিকা — ১ মিনিট] আবারও স্বাগতম। আমি আগামী দশ মিনিট আপনাদের eduroam এবং 802.1X সম্পর্কে বিস্তারিত জানাব—এগুলো কী, কীভাবে এগুলো পর্দার আড়ালে কাজ করে এবং যেকোনো একটি স্থাপন বা একীভূত করার আগে আপনার টিমের কী জানা প্রয়োজন। আপনি যদি কোনো বিশ্ববিদ্যালয়, কলেজ বা গবেষণা প্রতিষ্ঠানের IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট বা CTO হন—অথবা আপনি যদি এমন কোনো ভেন্যু অপারেটর হন যার জানা প্রয়োজন যে আপনার একাডেমিক দর্শনার্থীরা আপনার ওয়্যারলেস অবকাঠামো থেকে কী আশা করছেন—তবে এই ব্রিফিংটি আপনার জন্য। চলুন মূল বিষয়টি দিয়ে শুরু করা যাক। eduroam-এর অর্থ হলো "education roaming"। এটি একটি বিশ্বব্যাপী WiFi রোমিং পরিষেবা যা সদস্য প্রতিষ্ঠানের শিক্ষার্থী, গবেষক এবং কর্মীদের যেকোনো অংশগ্রহণকারী ভেন্যুতে ইন্টারনেট সংযোগ করার অনুমতি দেয়—স্বয়ংক্রিয়ভাবে, নিরাপদে, তাদের নিজস্ব প্রতিষ্ঠানের শংসাপত্র ব্যবহার করে। কোনো গেস্ট পোর্টাল নেই। কোনো ভাউচার কোড নেই। ফ্রন্ট ডেস্কে পাসওয়ার্ডের জন্য জিজ্ঞাসা করার কোনো প্রয়োজন নেই। এটি ২০০৩ সাল থেকে চলছে, বর্তমানে এটি ১০০টিরও বেশি দেশের ১০,০০০-এরও বেশি প্রতিষ্ঠানকে কভার করে এবং এটি বিশ্বব্যাপী উচ্চশিক্ষায় ক্যাম্পাস ওয়্যারলেস নেটওয়ার্কিংয়ের জন্য ডি ফ্যাক্টো স্ট্যান্ডার্ড। আপনার প্রতিষ্ঠান যদি বিশ্ববিদ্যালয়ের সাথে সম্পর্কিত হয়—আপনি ক্যাম্পাসের কাছাকাছি কোনো হোটেল হোন, একাডেমিক ইভেন্ট পরিচালনাকারী কোনো কনফারেন্স সেন্টার হোন বা কোনো বিশ্ববিদ্যালয় শহরের পাবলিক লাইব্রেরি হোন—eduroam বোঝা আপনার নেটওয়ার্ক কৌশলের জন্য সরাসরি প্রাসঙ্গিক। --- [প্রযুক্তিগত বিশদ বিশ্লেষণ — ৫ মিনিট] ঠিক আছে। চলুন এর কার্যপ্রণালী জেনে নেওয়া যাক। eduroam তৈরি করা হয়েছে IEEE 802.1X-এর ওপর ভিত্তি করে—যা পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের মানদণ্ড। 802.1X কোনো নেটওয়ার্কে অ্যাক্সেস দেওয়ার আগে ডিভাইসগুলোকে প্রমাণীকরণ করার জন্য একটি ফ্রেমওয়ার্ক সংজ্ঞায়িত করে। এটি মূলত তারযুক্ত ইথারনেটের জন্য ডিজাইন করা হয়েছিল তবে এটি ওয়্যারলেসের সাথেও চমৎকারভাবে খাপ খায় এবং এটিই আমাদের পরিচিত WPA2-Enterprise বা WPA3-Enterprise নিরাপত্তার ভিত্তি। 802.1X মডেলের তিনটি উপাদান রয়েছে। প্রথমত, Supplicant—এটি হলো সেই ডিভাইস যা সংযোগ করার চেষ্টা করছে। যেমন শিক্ষার্থীর ল্যাপটপ বা গবেষকের ফোন। দ্বিতীয়ত, Authenticator—এটি হলো আপনার নেটওয়ার্ক অ্যাক্সেস পয়েন্ট বা ম্যানেজড সুইচ। এটি supplicant এবং নেটওয়ার্কের বাকি অংশের মাঝে অবস্থান করে এবং একজন দ্বাররক্ষক হিসেবে কাজ করে। তৃতীয়ত, Authentication Server—যা প্রায় সব সময়ই একটি RADIUS সার্ভার। RADIUS-এর পূর্ণরূপ হলো Remote Authentication Dial-In User Service। এটি সেই উপাদান যা আসলে শংসাপত্রগুলো যাচাই করে। হ্যান্ডশেক কীভাবে কাজ করে তা এখানে দেওয়া হলো। শিক্ষার্থীর ডিভাইসটি ওয়্যারলেস অ্যাক্সেস পয়েন্টের সাথে যুক্ত হয়। অ্যাক্সেস পয়েন্টটি এখনও সম্পূর্ণ নেটওয়ার্ক অ্যাক্সেস দেয় না—এটি একটি নিয়ন্ত্রিত পোর্ট খোলে, তবে কেবল EAP ট্রাফিকের জন্য। EAP হলো Extensible Authentication Protocol। অ্যাক্সেস পয়েন্টটি ডিভাইস এবং RADIUS সার্ভারের মধ্যে EAP কথোপকথন প্রক্সি করে। RADIUS সার্ভার ডিভাইসটিকে চ্যালেঞ্জ করে, ডিভাইসটি শংসাপত্র (সাধারণত ব্যবহারকারীর নাম এবং পাসওয়ার্ড বা একটি সার্টিফিকেট) দিয়ে সাড়া দেয়—এবং RADIUS সার্ভার সন্তুষ্ট হলে, এটি একটি Access-Accept বার্তা ফেরত পাঠায়। অ্যাক্সেস পয়েন্টটি তখন সম্পূর্ণ নেটওয়ার্ক পোর্টটি খুলে দেয়। একটি সু-কনফিগার করা স্থাপনায় পুরো প্রক্রিয়াটি দুই সেকেন্ডেরও কম সময় নেয়। এখন, eduroam কীভাবে এর ওপর কাজ করে? eduroam একটি অনুক্রমিক RADIUS প্রক্সি অবকাঠামো ব্যবহার করে। প্রতিটি অংশগ্রহণকারী প্রতিষ্ঠান নিজস্ব RADIUS সার্ভার পরিচালনা করে—যাকে আইডেন্টিটি প্রোভাইডার বা IdP বলা হয়। যখন ধরা যাক, ইউনিভার্সিটি অব ম্যানচেস্টারের একজন শিক্ষার্থী ইম্পেরিয়াল কলেজ লন্ডনে যান এবং eduroam SSID-এর সাথে সংযুক্ত হন, তখন তাদের ডিভাইসটি username@manchester.ac.uk ফরম্যাটে তাদের শংসাপত্র পাঠায়। ইম্পেরিয়ালের RADIUS সার্ভার realm (অর্থাৎ @ চিহ্নের পরের অংশ) দেখতে পায় এবং প্রমাণীকরণ অনুরোধটি জাতীয় RADIUS সার্ভারে প্রক্সি করে পাঠায়, যা যুক্তরাজ্যে Jisc (জাতীয় গবেষণা ও শিক্ষা নেটওয়ার্ক) দ্বারা পরিচালিত হয়। Jisc তখন অনুরোধটি ইউনিভার্সিটি অব ম্যানচেস্টারের RADIUS সার্ভারে রাউট করে, যা শংসাপত্র যাচাই করে এবং একটি Accept বা Reject ফেরত পাঠায়। পুরো চেইনটি কয়েক মিলিসেকেন্ডের মধ্যে সম্পন্ন হয়। এই প্রক্সি চেইনটিই eduroam-কে প্রতিষ্ঠানগুলোর মধ্যে কোনো প্রাক-শেয়ার্ড সিক্রেট ছাড়াই প্রাতিষ্ঠানিক সীমানা পেরিয়ে কাজ করতে সাহায্য করে। চেইনের প্রতিটি ধাপ কেবল তার নিকটবর্তী প্রতিবেশীর সাথে একটি শেয়ার্ড RADIUS সিক্রেট ব্যবহার করে। শিক্ষার্থীর আসল পাসওয়ার্ড কখনোই তার নিজস্ব প্রতিষ্ঠানের RADIUS সার্ভার থেকে বাইরে যায় না—এটি EAP টানেল দ্বারা শুরু থেকে শেষ পর্যন্ত সুরক্ষিত থাকে। EAP পদ্ধতির কথা বলতে গেলে—এখানেই অনেক স্থাপনায় ভুল হয়, তাই মনোযোগ দিন। eduroam-এ সবচেয়ে সাধারণ EAP পদ্ধতিগুলো হলো PEAP—Protected EAP—এবং EAP-TLS। PEAP একটি TLS টানেলের ভেতরে একটি অভ্যন্তরীণ প্রমাণীকরণ পদ্ধতি (সাধারণত MSCHAPv2) মোড়ানো থাকে। এর জন্য RADIUS সার্ভারে একটি সার্ভার-সাইড সার্টিফিকেট প্রয়োজন হয়, তবে ক্লায়েন্টের কেবল একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড প্রয়োজন। EAP-TLS হলো আরও নিরাপদ বিকল্প—এটি পারস্পরিক সার্টিফিকেট প্রমাণীকরণ ব্যবহার করে, যার অর্থ সার্ভার এবং ক্লায়েন্ট উভয়ই সার্টিফিকেট উপস্থাপন করে। ক্লায়েন্ট সার্টিফিকেট ইস্যু করার জন্য একটি PKI-এর প্রয়োজন হওয়ায় এটি বড় পরিসরে স্থাপন করা কঠিন, তবে এটি মূলত শংসাপত্র ফিশিং থেকে সম্পূর্ণ সুরক্ষিত। একটি গুরুত্বপূর্ণ নিরাপত্তার প্রয়োজনীয়তা যা অনেক প্রতিষ্ঠান ভুল করে, তা হলো ক্লায়েন্ট-সাইডে সার্টিফিকেট যাচাইকরণ। যখন কোনো ডিভাইস PEAP ব্যবহার করে eduroam-এর সাথে সংযুক্ত হয়, তখন শংসাপত্র জমা দেওয়ার আগে ডিভাইসটিকে অবশ্যই RADIUS সার্ভারের সার্টিফিকেট যাচাই করতে হবে। যদি ডিভাইসটি যেকোনো সার্টিফিকেট গ্রহণ করার জন্য ভুলভাবে কনফিগার করা থাকে, তবে একজন আক্রমণকারী eduroam SSID প্রচারকারী একটি ক্ষতিকারক অ্যাক্সেস পয়েন্ট তৈরি করতে পারে, একটি স্ব-স্বাক্ষরিত সার্টিফিকেট উপস্থাপন করতে পারে এবং শংসাপত্র চুরি করতে পারে। এটি একটি পরিচিত আক্রমণ পদ্ধতি। এর সমাধান হলো আপনার supplicant প্রোফাইলগুলো কনফিগার করা—পরিচালিত ডিভাইসের জন্য MDM-এর মাধ্যমে, অথবা ব্যক্তিগত ডিভাইসের জন্য eduroam কনফিগারেশন অ্যাসিস্ট্যান্ট টুল (যা CAT নামে পরিচিত)-এর মাধ্যমে—যাতে প্রত্যাশিত সার্টিফিকেট অথরিটি এবং সার্ভারের নাম পিন করা থাকে। মানদণ্ডের দৃষ্টিকোণ থেকে, eduroam স্থাপনাগুলো eduroam পলিসি সার্ভিস ডেফিনিশন মেনে চলবে বলে আশা করা হয়, যা সমস্ত RADIUS over TLS সংযোগের জন্য TLS 1.2 বা তার বেশি বাধ্যতামুলক করে, EAP-MD5 বা LEAP-এর মতো দুর্বল EAP পদ্ধতির ব্যবহার নিষিদ্ধ করে এবং যেখানে সম্ভব সাধারণ UDP RADIUS-এর পরিবর্তে সমস্ত RADIUS প্রক্সি সংযোগে RadSec—RADIUS over TLS—ব্যবহারের প্রয়োজন হয়। এটি যুক্তরাজ্যের NCSC নির্দেশিকা এবং মার্কিন যুক্তরাষ্ট্রের NIST SP 800-120-এর সাথে সামঞ্জস্যপূর্ণ। আরও একটি প্রযুক্তিগত বিষয় উল্লেখ করা প্রয়োজন: VLAN অ্যাসাইনমেন্ট। একটি সু-পরিকল্পিত eduroam স্থাপনায়, RADIUS Access-Accept প্রতিক্রিয়ায় VLAN অ্যাট্রিবিউট অন্তর্ভুক্ত থাকে যা অ্যাক্সেস পয়েন্টকে বলে দেয় যে সংযোগকারী ডিভাইসটিকে কোন VLAN-এ বরাদ্দ করতে হবে। এটি আপনাকে ট্রাফিক সেগমেন্ট করার অনুমতি দেয়—আগত শিক্ষার্থীদের কেবল-ইন্টারনেট অ্যাক্সেস সহ একটি সীমাবদ্ধ VLAN-এ রাখা, যখন আপনার নিজস্ব কর্মীরা অভ্যন্তরীণ নেটওয়ার্কে রাউট হন। এটি সম্মতির জন্য অপরিহার্য, বিশেষ করে যদি আপনি PCI-DSS-এর আওতাভুক্ত হন বা গবেষণা ডেটা নেটওয়ার্ক এবং সাধারণ ইন্টারনেট ট্রাফিকের মধ্যে পার্থক্য বজায় রাখার প্রয়োজন হয়। --- [বাস্তবায়ন সুপারিশ এবং ত্রুটিসমূহ — ২ মিনিট] চলুন আপনাকে কিছু ব্যবহারিক নির্দেশনা দেওয়া যাক। আপনি যদি প্রথমবার eduroam স্থাপন করেন, তবে আপনার প্রথম যোগাযোগ হওয়া উচিত আপনার জাতীয় NREN-এর সাথে—যুক্তরাজ্যে এটি Jisc, আয়ারল্যান্ডে HEAnet, মার্কিন যুক্তরাষ্ট্রে Internet2। তারা ফেডারেশনের সদস্যপদ পরিচালনা করে এবং আপনাকে একটি RADIUS realm বরাদ্দ করবে। আপনার জাতীয় ফেডারেশনের সদস্য না হয়ে আপনি eduroam-এ অংশ নিতে পারবেন না। আপনার অবকাঠামোর চেকলিস্ট: আপনার 802.1X-সক্ষম অ্যাক্সেস পয়েন্ট প্রয়োজন—Cisco, Aruba, Juniper, Ruckus বা Ubiquiti UniFi-এর যেকোনো এন্টারপ্রাইজ-গ্রেড কিট এটি করতে পারে। আপনার একটি RADIUS সার্ভার প্রয়োজন—FreeRADIUS হলো ওপেন-সোর্স স্ট্যান্ডার্ড, অথবা আপনি Microsoft NPS, Cisco ISE বা Aruba ClearPass ব্যবহার করতে পারেন। আপনার RADIUS সার্ভারের জন্য eduroam কমিউনিটি দ্বারা বিশ্বস্ত একটি CA থেকে একটি বৈধ TLS সার্টিফিকেট প্রয়োজন—সাধারণত আপনার প্রতিষ্ঠানের PKI থেকে একটি সার্টিফিকেট বা eduroam অনুমোদিত তালিকায় থাকা একটি বাণিজ্যিক CA। আমি যে তিনটি সবচেয়ে সাধারণ স্থাপনা ব্যর্থতা দেখি তা হলো: প্রথমত, সার্টিফিকেট ভুল কনফিগারেশন—হয় RADIUS সার্টিফিকেটের মেয়াদ শেষ হয়ে গেছে, অথবা ক্লায়েন্ট supplicant প্রোফাইলগুলো সঠিকভাবে পিন করা হয়নি। দ্বিতীয়ত, RADIUS প্রক্সি টাইমআউট—যদি আপনার আপস্ট্রিম NREN সংযোগে লেটেন্সি সমস্যা থাকে, তবে প্রমাণীকরণ টাইমআউট হয়ে যাবে এবং ব্যবহারকারীরা সংযোগ ব্যর্থতা দেখতে পাবেন যা শংসাপত্র ত্রুটির মতো দেখায়। তৃতীয়ত, VLAN ভুল কনফিগারেশন—আগত ব্যবহারকারীরা ভুল নেটওয়ার্ক সেগমেন্টে চলে যান, হয় কোনো ইন্টারনেট অ্যাক্সেস পান না অথবা আরও খারাপ, অভ্যন্তরীণ রিসোর্সগুলোতে অ্যাক্সেস পেয়ে যান যা তাদের দেখার কথা নয়। ক্লায়েন্ট সাইডে, আপনার MDM প্ল্যাটফর্মের মাধ্যমে সমস্ত পরিচালিত ডিভাইসে eduroam CAT প্রোফাইল স্থাপন করুন। ব্যক্তিগত ডিভাইসের জন্য, CAT ইনস্টলার লিঙ্কটি স্পষ্টভাবে প্রকাশ করুন। এই একটি পদক্ষেপই বেশিরভাগ সাপোর্ট টিকিট দূর করে। যেসব ভেন্যু উচ্চশিক্ষা প্রতিষ্ঠান নয় কিন্তু eduroam অ্যাক্সেস দিতে চায়—কনফারেন্স সেন্টার, হোটেল এবং অনুরূপ স্থান—তাদের জন্য এই প্রক্রিয়াটিকে eduroam ভিজিটর অ্যাক্সেস বা eVA বলা হয়। এটি অ-সদস্য সংস্থাগুলোকে পূর্ণ সদস্য না হয়েও eduroam SSID হোস্ট করতে এবং ফেডারেশনে প্রমাণীকরণ প্রক্সি করার অনুমতি দেয়। এটি মূল্যবান যদি আপনি নিয়মিত একাডেমিক কনফারেন্স বা বিশ্ববিদ্যালয়ের ইভেন্ট আয়োজন করেন। --- [দ্রুত প্রশ্নোত্তর — ১ মিনিট] নিয়মিত আমাকে জিজ্ঞাসা করা কিছু দ্রুত প্রশ্ন। "eduroam কি আমাদের অতিথি WiFi-কে সম্পূর্ণ প্রতিস্থাপন করতে পারে?" না। eduroam কেবল সেই ব্যবহারকারীদের জন্য কাজ করে যাদের কোনো সদস্য প্রতিষ্ঠানে শংসাপত্র রয়েছে। অন্য সবার জন্য—দর্শনার্থী, ঠিকাদার, সাধারণ জনগণ—আপনার এখনও একটি পৃথক অতিথি WiFi সমাধান প্রয়োজন। "eduroam কি GDPR-এর সাথে সামঞ্জস্যপূর্ণ?" হ্যাঁ, কিছু শর্ত সাপেক্ষে। ফেডারেশন আর্কিটেকচারের অর্থ হলো আপনার প্রতিষ্ঠান প্রমাণীকরণ ডেটা প্রক্রিয়া করে, তবে আপনাকে নিশ্চিত করতে হবে যে আপনার গোপনীয়তা নোটিশগুলো এটি কভার করে এবং আপনার RADIUS লগগুলো যথাযথভাবে পরিচালনা করা হয়। "আমরা কি eduroam-এর সাথে WPA3 ব্যবহার করতে পারি?" হ্যাঁ। WPA3-Enterprise সম্পূর্ণভাবে 802.1X-এর সাথে সামঞ্জস্যপূর্ণ এবং নতুন স্থাপনার জন্য এটি প্রস্তাবিত মানদণ্ড। এটি উচ্চ-নিরাপত্তা পরিবেশের জন্য ১৯২-বিট মোড এনক্রিপশন যোগ করে। "eduroam এবং OpenRoaming-এর মধ্যে পার্থক্য কী?" OpenRoaming হলো ওয়্যারলেস ব্রডব্যান্ড অ্যালায়েন্সের একটি বিস্তৃত শিল্প উদ্যোগ যা একই 802.1X এবং RADIUS প্রক্সি আর্কিটেকচার ব্যবহার করে তবে শিক্ষার বাইরে বাণিজ্যিক ভেন্যুগুলোতেও রোমিং সম্প্রসারিত করে। Purple সহ কিছু প্ল্যাটফর্ম তাদের অতিথি WiFi অফারের অংশ হিসেবে OpenRoaming সমর্থন করে। --- [সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ — ১ মিনিট] উপসংহারে বলা যায়, eduroam হলো একটি পরিপক্ক, সু-পরিচালিত, বিশ্বব্যাপী স্থাপিত WiFi রোমিং পরিষেবা যা 802.1X এবং একটি অনুক্রমিক RADIUS প্রক্সি অবকাঠামোর ওপর ভিত্তি করে তৈরি। এটি শেয়ার করা পাসওয়ার্ড বা ক্যাপটিভ পোর্টাল ছাড়াই ১০,০০০-এরও বেশি প্রতিষ্ঠানে প্রতি-ব্যবহারকারী প্রমাণীকরণ, শক্তিশালী এনক্রিপশন এবং নির্বিঘ্ন রোমিং প্রদান করে। ক্যাম্পাস ওয়্যারলেস স্থাপন বা আপগ্রেডকারী IT টিমের জন্য: যেখানে আপনার PKI এটি সমর্থন করতে পারে সেখানে PEAP-এর চেয়ে EAP-TLS-কে অগ্রাধিকার দিন, সমস্ত ক্লায়েন্ট প্রোফাইলে সার্টিফিকেট যাচাইকরণ বাধ্যতামূলক করুন, সমস্ত RADIUS প্রক্সি সংযোগের জন্য RadSec ব্যবহার করুন এবং আগত ব্যবহারকারীদের একটি ডেডিকেটেড VLAN-এ সেগমেন্ট করুন। ভেন্যু অপারেটরদের জন্য: আপনি যদি নিয়মিত একাডেমিক দর্শনার্থীদের হোস্ট করেন, তবে eduroam ভিজিটর অ্যাক্সেস খতিয়ে দেখুন। এবং আপনি eduroam স্থাপন করুন বা না করুন, আপনার অতিথি WiFi অবকাঠামো এন্টারপ্রাইজ-গ্রেড 802.1X নীতির ওপর ভিত্তি করে তৈরি হওয়া উচিত—শেয়ার করা PSK-এর ওপর নয়। আপনি যদি এগুলোর যেকোনো একটি সম্পর্কে আরও বিস্তারিত জানতে চান—RADIUS আর্কিটেকচার, EAP-TLS-এর জন্য PKI ডিজাইন, অথবা কীভাবে Purple-এর মতো প্ল্যাটফর্মগুলো eduroam এবং OpenRoaming-এর সাথে একীভূত হয়—তবে সম্পূর্ণ লিখিত নির্দেশিকাটি শো নোটে লিঙ্ক করা আছে। শোনার জন্য ধন্যবাদ। পরবর্তী সময় পর্যন্ত বিদায়। --- স্ক্রিপ্ট সমাপ্ত