গেস্ট WiFi-এর জন্য RADIUS প্রমাণীকরণ কনফিগার করার বিষয়ে একজন নেটওয়ার্ক অ্যাডমিনিস্ট্রেটরের গাইড

গেস্ট WiFi -এর জন্য RADIUS প্রমাণীকরণ কনফিগার করার বিষয়ে একজন নেটওয়ার্ক অ্যাডমিনিস্ট্রেটরের গাইড - পডকাস্ট স্ক্রিপ্ট [ইন্ট্রো - প্রায় ১ মিনিট] নমস্কার এবং স্বাগত। গেস্ট WiFi -এর জন্য RADIUS প্রমাণীকরণ কনফিগার করার বিষয়ে আপনার যা কিছু জানা প্রয়োজন - মৌলিক আর্কিটেকচার থেকে শুরু করে আপনার টিমকে যে বাস্তব পদক্ষেপগুলি নিতে হবে এবং বেশিরভাগ ডিপ্লয়মেন্টের ক্ষেত্রে যেসব সমস্যা দেখা দেয়, সেই সমস্ত কিছু আমি আপনাকে বুঝিয়ে বলব। এটি কোনো লেকচার নয়। এটিকে একজন সিনিয়র কনসালটেন্টের দেওয়া ব্রিফিং হিসেবে ধরে নিন, যিনি হোটেল, রিটেইল চেইন, স্টেডিয়াম এবং কনফারেন্স সেন্টারের IT ম্যানেজারদের মুখোমুখি বসেছেন এবং এটি সঠিকভাবে সম্পন্ন করতে তাদের সাহায্য করেছেন। আমরা কারিগরি মৌলিক বিষয়সমূহ, বাস্তব জগতের ইমপ্লিমেন্টেশন প্যাটার্ন এবং এই পুরো প্রক্রিয়ার মধ্যে Purple -এর ক্লাউড-নেটিভ RADIUS প্ল্যাটফর্ম কোথায় মানানসই হয়, তা নিয়ে আলোচনা করব। তাহলে চলুন শুরু করা যাক। [কারিগরি বিস্তারিত আলোচনা - প্রায় ৫ মিনিট] তাহলে, আসলে RADIUS কী? RADIUS এর পূর্ণরূপ হলো Remote Authentication Dial-In User Service। এটি একটি নেটওয়ার্কিং প্রোটোকল - যা RFC 2865-এ সংজ্ঞায়িত করা হয়েছে - এটি নেটওয়ার্ক অ্যাক্সেসের জন্য কেন্দ্রীভূত প্রমাণীকরণ (authentication), অনুমোদন (authorisation) এবং অ্যাকাউন্টিং প্রদান করে। সহজ কথায়: এটি এমন একটি সিস্টেম যা সিদ্ধান্ত নেয় যে কোনো ভিজিটরের ডিভাইস আপনার নেটওয়ার্কে যুক্ত হওয়ার অনুমতি পাবে কি না, কোন শর্তে পাবে এবং কতক্ষণের জন্য পাবে। এরপর এটি পুরো সেশনের লগ সংরক্ষণ করে। বিশেষ করে গেস্ট WiFi -এর ক্ষেত্রে, RADIUS আপনার অ্যাক্সেস পয়েন্ট এবং আপনার আইডেন্টিটি লেয়ারের মাঝে অবস্থান করে। একজন ভিজিটর আপনার SSID -এ কানেক্ট করেন, তাদের ডিভাইস অ্যাক্সেস পয়েন্টে একটি প্রমাণীকরণ অনুরোধ পাঠায়, অ্যাক্সেস পয়েন্ট সেটি একটি Network Access Server - বা NAS -এ ফরোয়ার্ড করে যা পরবর্তীতে RADIUS সার্ভারকে কুয়েরি করে। RADIUS সার্ভার ক্রেডেনশিয়ালগুলি যাচাই করে একটি Access-Accept বা Access-Reject ফেরত পাঠায় এবং সেশনটি শুরু হয় অথবা ব্লক করা হয়। এরপর অ্যাকাউন্টিং প্যাকেটগুলি সেশনের সময়কাল, ব্যবহৃত ডাটা এবং সেশন শেষ হওয়ার কারণ ট্র্যাক করে। এই তিনটি প্রধান কাজকে প্রায়শই AAA বলা হয়: Authentication, Authorisation এবং Accounting। Authentication পরিচয় নিশ্চিত করে। Authorisation নির্ধারণ করে যে সেই পরিচয়টি কী কী অ্যাক্সেস করতে পারবে - ব্যান্ডউইথ সীমা, VLAN অ্যাসাইনমেন্ট, সেশনের সময়কাল। Accounting অডিট ট্রেইল তৈরি করে। এখন, গেস্ট WiFi -এর জন্য প্রমাণীকরণ পদ্ধতিটি অত্যন্ত গুরুত্বপূর্ণ। একটি কর্পোরেট পরিবেশে আপনি সাধারণত EAP-TLS সহ 802.1X ব্যবহার করবেন - যা সার্টিফিকেট-ভিত্তিক এবং অত্যন্ত সুরক্ষিত। গেস্টদের জন্য এটি অবাস্তব। গেস্টদের ব্যক্তিগত ডিভাইসে কোনো সার্টিফিকেট থাকে না। তাই সাধারণ প্যাটার্নটি হলো RADIUS -এর সাথে যুক্ত একটি Captive Portal। ভিজিটর একটি স্প্ল্যাশ পেজে পৌঁছান, তাদের বিবরণ লিখেন বা সোশ্যাল লগইনের মাধ্যমে প্রমাণীকরণ করেন এবং Captive Portal তাদের পক্ষ থেকে সেই ক্রেডেনশিয়ালগুলি RADIUS সার্ভারের সাথে আদান-প্রদান করে। এরপর RADIUS সার্ভার অ্যাক্সেস মঞ্জুর করার জন্য অ্যাক্সেস পয়েন্টকে সিগন্যাল পাঠায়। এটি ঠিক সেই আর্কিটেকচার যা Purple পরিচালনা করে। আমাদের ক্লাউড-নেটিভ RADIUS পরিষেবাটি প্রমাণীকরণ আদান-প্রদান পরিচালনা করে, যেখানে Captive Portal - যা আপনি Purple প্ল্যাটফর্মের মাধ্যমে ব্র্যান্ডিং এবং কনফিগার করেন - ভিজিটরদের মুখোমুখি হওয়া অভিজ্ঞতাটি পরিচালনা করে। অ্যাক্সেস পয়েন্টটির কেবল RADIUS সার্ভার অ্যাড্রেস, পোর্ট এবং শেয়ার্ড সিক্রেট জানা থাকা প্রয়োজন। Purple এই তিনটিই সরবরাহ করে। চলুন পোর্ট এবং প্রোটোকল নিয়ে কথা বলি। RADIUS অথেন্টিকেশন ট্রাফিক UDP পোর্ট ১৮১২-এ চলে। RADIUS অ্যাকাউন্টিং UDP পোর্ট ১৮১৩-এ চলে। আপনি আপনার অ্যাক্সেস পয়েন্টে উভয়ই কনফিগার করবেন। শেয়ার্ড সিক্রেট হলো আপনার অ্যাক্সেস পয়েন্ট এবং RADIUS সার্ভারের মধ্যে একটি প্রি-শেয়ার্ড কি - এটিকে একটি পাসওয়ার্ডের মতো বিবেচনা করুন। একটি দীর্ঘ, এলোমেলোভাবে জেনারেট করা স্ট্রিং ব্যবহার করুন। বিভিন্ন ডেপ্লয়মেন্টে এটি কখনও পুনরায় ব্যবহার করবেন না। হার্ডওয়্যারের ক্ষেত্রে, Purple হার্ডওয়্যার-অ্যাগনস্টিক। আমরা অন্যান্যদের মধ্যে Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর সাথে কাজ করি। কনফিগারেশন ধাপগুলো ভেন্ডর অনুযায়ী পরিবর্তিত হয়, তবে অন্তর্নিহিত RADIUS প্যারামিটারগুলো একই থাকে: সার্ভার IP বা হোস্টনেম, অথেন্টিকেশন পোর্ট ১৮১২, অ্যাকাউন্টিং পোর্ট ১৮১৩, শেয়ার্ড সিক্রেট এবং অ্যাকাউন্টিং ইন্টারভাল। উদাহরণস্বরূপ, Avaya অ্যাক্সেস পয়েন্টের জন্য, আপনি External RADIUS সেকশনের অধীনে RADIUS অ্যাট্রিবিউটগুলো কনফিগার করবেন, Called-Station-Id ফরম্যাটটিকে UC-হাইফেনযুক্ত MAC ফরম্যাটে সেট করবেন, অ্যাকাউন্টিং সক্রিয় করবেন এবং তারপর Purple-এর Captive Portal URL-গুলোর দিকে নির্দেশ করে ওয়েব পেজ রিডাইরেকশন সহ SSID কনফিগার করবেন। গাইডের লিঙ্কে Purple-এর সাপোর্ট ডকুমেন্টেশন Avaya-এর জন্য সঠিক ধাপগুলো কভার করে। Pepwave MAX সিরিজের ডিভাইসের জন্য, আপনি InControl2 - তাদের ক্লাউড ম্যানেজমেন্ট প্ল্যাটফর্ম - এর মাধ্যমে অথবা সরাসরি লোকাল ওয়েব ইন্টারফেসের মাধ্যমে কনফিগার করতে পারেন। যেভাবেই হোক না কেন, আপনি একটি এক্সটার্নাল Captive Portal সেট আপ করছেন, অথেন্টিকেশন এবং অ্যাকাউন্টিংকে Purple-এর RADIUS সার্ভারগুলোর দিকে নির্দেশ করছেন এবং ওপেন সিকিউরিটি ও Captive Portal যুক্ত করে SSID কনফিগার করছেন। আবারও, সঠিক ধাপগুলো Purple-এর সাপোর্ট ডকুমেন্টেশনে রয়েছে। একটি আর্কিটেকচারাল সিদ্ধান্ত যা তুলে ধরা প্রয়োজন: প্রাইমারি এবং সেকেন্ডারি RADIUS সার্ভার। সর্বদা উভয়ই কনফিগার করুন। রিডান্ডেন্সির জন্য Purple দুটি RADIUS সার্ভার অ্যাড্রেস প্রদান করে। যদি প্রাইমারি সার্ভারটি নাগালের বাইরে থাকে, তবে অ্যাক্সেস পয়েন্টটি স্বয়ংক্রিয়ভাবে সেকেন্ডারিতে ফেইলওভার করে। সেকেন্ডারি সার্ভার না থাকলে, একটি RADIUS সার্ভারের সামান্য বিভ্রাটের অর্থ হলো আপনার গেস্টরা সংযোগ করতে পারবেন না। ৩০০টি রুম বিশিষ্ট একটি হোটেল বা ৪০,০০০ ভক্তের একটি স্টেডিয়ামে, এটি একটি গুরুতর ঘটনা। VLAN সেগমেন্টেশন হলো আরেকটি গুরুত্বপূর্ণ বিষয়। আপনার গেস্ট WiFi ট্রাফিক কখনই আপনার কর্পোরেট বা অপারেশনাল নেটওয়ার্ককে স্পর্শ করা উচিত নয়। একটি ডেডিকেটেড VLAN-এ গেস্ট সেশনগুলো অ্যাসাইন করুন, সেই VLAN-টিকে একটি পৃথক ইন্টারনেট আপলিঙ্কে অথবা অন্তত কঠোর ইগ্রেস নিয়ম সহ একটি ফায়ারওয়ালের মাধ্যমে রাউট করুন। আপনি যদি একই ফিজিক্যাল ইনফ্রাস্ট্রাকচারের যেকোনো স্থানে কার্ড পেমেন্ট প্রসেস করেন তবে এটি একটি PCI-DSS প্রয়োজনীয়তা, এবং তা ছাড়াও এটি কেবল একটি ভালো অনুশীলন। [ইমপ্লিমেন্টেশন সুপারিশ এবং ত্রুটিসমূহ - আনুমানিক ২ মিনিট] সবচেয়ে সাধারণ যে তিনটি সমস্যা দেখা দেয় তা আমি আপনাকে বলি। প্রথম: শেয়ার্ড সিক্রেট অমিল। অ্যাক্সেস পয়েন্টের শেয়ার্ড সিক্রেটটি অবশ্যই RADIUS সার্ভারে নিবন্ধিত তথ্যের সাথে হুবহু মিলতে হবে। কেস-সেন্সিটিভ, অক্ষরে-অক্ষরে। একটি মাত্র ভুল অক্ষরের কারণে কোনো দরকারী ত্রুটি বার্তা ছাড়াই একটি Access-Reject তৈরি হয়। ম্যানুয়ালি টাইপ করার চেয়ে সর্বদা আপনার Purple ড্যাশবোর্ড থেকে কপি-পেস্ট করুন। দ্বিতীয়: হোয়াইটলিস্ট গ্যাপ। ভিজিটর প্রমাণীকরণ করার আগে, তাদের ডিভাইসকে captive portal-এ পৌঁছাতে হবে। এর মানে অ্যাক্সেস পয়েন্টে নির্দিষ্ট ডোমেনগুলিকে হোয়াইটলিস্ট করতে হবে - Purple-এর পোর্টাল URL, প্রমাণীকরণ এন্ডপয়েন্ট এবং আপনি যে সামাজিক লগইন প্রদানকারীগুলি ব্যবহার করছেন। হোয়াইটলিস্ট অসম্পূর্ণ হলে, ভিজিটররা একটি ফাঁকা পৃষ্ঠা বা টাইমআউট দেখতে পাবেন। Purple তার সহায়তা নথিতে প্রয়োজনীয় ডোমেনগুলির একটি বর্তমান তালিকা বজায় রাখে - সেই তালিকাটি ব্যবহার করুন, অনুমান করবেন না। তৃতীয়: অ্যাকাউন্টিং ইন্টারভাল। এটি নিয়ন্ত্রণ করে যে অ্যাক্সেস পয়েন্টটি কত ঘন ঘন RADIUS সার্ভারে অন্তর্বর্তী অ্যাকাউন্টিং আপডেট পাঠাবে। এটি খুব বেশি দীর্ঘ সেট করলে আপনি সেশনের বিবরণ হারিয়ে ফেলবেন। এটি খুব ছোট সেট করলে আপনি অপ্রয়োজনীয় ট্রাফিক তৈরি করবেন। বেশিরভাগ স্থাপনার জন্য, ২৪০ থেকে ৩০০ সেকেন্ড সঠিক পরিসর। Avaya-এর প্রস্তাবিত ইন্টারভাল হলো ৩০০ সেকেন্ড; Pepwave-এর হলো ১৮০ থেকে ২৪০ সেকেন্ড। ভেন্ডর-নির্দিষ্ট নির্দেশিকা অনুসরণ করুন। কমপ্লায়েন্সের ক্ষেত্রে: GDPR-এর জন্য ভিজিটরদের ডেটা সংগ্রহের জন্য আপনার একটি আইনি ভিত্তি থাকা প্রয়োজন। স্পষ্ট সম্মতি চেকবক্স সহ একটি সু-কনফিগার করা captive portal এটি পূরণ করে। Purple-এর প্ল্যাটফর্ম GDPR কমপ্লায়েন্ট এবং ISO 27001 সার্টিফাইড। Purple-এর মাধ্যমে প্রতিটি লগইন হলো একটি সচেতন-পছন্দের সম্মতি - ভিজিটর সংযোগ করার আগে আপনার শর্তাবলীতে সক্রিয়ভাবে সম্মত হন। সেই অডিট ট্রেইলটিই আপনার কমপ্লায়েন্সের প্রমাণ। [RAPID-FIRE Q&A - প্রায় ১ মিনিট] দ্রুত কিছু প্রশ্ন যা আমাকে প্রায়শই জিজ্ঞাসা করা হয়। "আমাকে কি আমার বিদ্যমান হার্ডওয়্যার পরিবর্তন করতে হবে?" না। Purple আপনার বিদ্যমান পরিকাঠামোর উপরে কাজ করে। কোনো কিছু সম্পূর্ণ বদলে ফেলার প্রয়োজন নেই। "আমি কি একই প্ল্যাটফর্মে কর্মীদের WiFi-এর জন্য RADIUS ব্যবহার করতে পারি?" হ্যাঁ। Purple গেস্ট এবং কর্মীদের জন্য আলাদা SSID সমর্থন করে, যার প্রতিটিতে আলাদা প্রমাণীকরণ নীতি রয়েছে। "আমার ভেন্যুর একাধিক সাইট থাকলে কী হবে?" Purple একটি একক ড্যাশবোর্ড থেকে মাল্টি-সাইট স্থাপনা পরিচালনা করে। আপনি একবার কনফিগার করবেন এবং সমস্ত সাইটে তা প্রতিলিপি করবেন। "ক্লাউড RADIUS কি অন-প্রেমিসেসের চেয়ে কম নিরাপদ?" না। Purple-এর ক্লাউড RADIUS ৯৯.৯৯৯% আপটাইম, ISO 27001 সার্টিফিকেশন এবং এন্ড-টু-এন্ড এনক্রিপশন সহ কাজ করে। একটি স্ব-পরিচালিত সার্ভারের তুলনায় এর অ্যাটাক সারফেস ছোট কারণ প্যাচিং এবং হার্ডেনিং কেন্দ্রীয়ভাবে পরিচালিত হয়। "একটি সম্পূর্ণ স্থাপনায় কত সময় লাগে?" সমর্থিত হার্ডওয়্যার সহ একটি একক ভেন্যুর জন্য, একজন নেটওয়ার্ক প্রশাসক দুই ঘণ্টারও কম সময়ে RADIUS কনফিগারেশন সম্পূর্ণ করতে পারেন। Purple-এর অনবোর্ডিং টিম সহায়তা করার জন্য প্রস্তুত রয়েছে। [সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ - প্রায় ১ মিনিট] সংক্ষেপে বলতে গেলে, গেস্ট WiFi-এর জন্য RADIUS প্রমাণীকরণ আপনাকে কেন্দ্রীয় অ্যাক্সেস নিয়ন্ত্রণ, একটি সম্পূর্ণ অ্যাকাউন্টিং ট্রেইল এবং GDPR ও PCI-DSS-এর জন্য প্রয়োজনীয় কমপ্লায়েন্সের ভিত্তি প্রদান করে। আর্কিটেকচারটি সহজ: অ্যাক্সেস পয়েন্ট থেকে NAS, সেখান থেকে RADIUS সার্ভার এবং সবশেষে Purple-এর ক্লাউড প্ল্যাটফর্ম। সঠিকভাবে সেট আপ করার জন্য তিনটি জিনিস হলো শেয়ার্ড সিক্রেট, ডোমেন হোয়াইটলিস্ট এবং অ্যাকাউন্টিং ইন্টারভাল। Purple বিশ্বব্যাপী ৮০,০০০-এরও বেশি ভেন্যুতে ক্লাউড-নেটিভ RADIUS পরিচালনা করে, যা ২০২৪ সালে ৪৪০ মিলিয়ন লগইন হ্যান্ডেল করেছে। প্ল্যাটফর্মটি হার্ডওয়্যার-নিরপেক্ষ, ISO 27001 সার্টিফাইড এবং GDPR কমপ্লায়েন্ট। আপনার পরবর্তী পদক্ষেপসমূহ: আপনার হার্ডওয়্যারটি Purple-এর সমর্থিত তালিকায় আছে কিনা তা পরীক্ষা করুন, আপনার Purple ড্যাশবোর্ড থেকে RADIUS সার্ভারের ক্রেডেনশিয়াল সংগ্রহ করুন এবং Purple-এর সাপোর্ট সেন্টারে থাকা ভেন্ডর-নির্দিষ্ট কনফিগারেশন গাইডটি অনুসরণ করুন। আপনার যদি কোনো সহায়তার প্রয়োজন হয়, তবে Purple-এর টেকনিক্যাল টিম আপনাকে এটি ধাপে ধাপে বুঝিয়ে দিতে পারে। শোনার জন্য ধন্যবাদ। ডায়াগ্রাম, কাজের উদাহরণ এবং কনফিগারেশনের রেফারেন্স সহ সম্পূর্ণ লিখিত গাইডটি নিচে লিঙ্ক করা হয়েছে।