EAP-TLS এর মাধ্যমে Android ডিভাইসে এন্টারপ্রাইজ WiFi কীভাবে সেট আপ করবেন

EAP-TLS এর মাধ্যমে Android ডিভাইসে এন্টারপ্রাইজ WiFi কীভাবে সেট আপ করবেন একটি Purple টেকনিক্যাল ব্রিফিং — আনুমানিক ১০ মিনিট --- ভূমিকা এবং প্রেক্ষাপট — আনুমানিক ১ মিনিট Purple টেকনিক্যাল ব্রিফিং সিরিজে স্বাগতম। আমি আপনাদের হোস্ট, এবং আজ আমরা Android ডিভাইসে 802.1X EAP-TLS অথেনটিকেশন ডিপ্লয় করার সুনির্দিষ্ট বিষয়গুলিতে প্রবেশ করছি — আপনি একটি হোটেল এস্টেট, একটি রিটেইল চেইন, একটি স্টেডিয়াম, বা একটি পাবলিক-সেক্টর ক্যাম্পাস পরিচালনা করুন না কেন। আপনি যদি এমন একটি নেটওয়ার্কের জন্য দায়ী হন যার শেয়ার্ড পাসওয়ার্ডের উপর নির্ভর না করে কর্পোরেট বা BYOD Android ডিভাইসগুলিকে অথেনটিকেট করা প্রয়োজন, তবে এই পর্বটি আপনার জন্য। EAP-TLS হলো এন্টারপ্রাইজ WiFi সিকিউরিটির জন্য গোল্ড স্ট্যান্ডার্ড — এটি মিউচুয়াল সার্টিফিকেট-ভিত্তিক অথেনটিকেশন ব্যবহার করে, যার অর্থ ফিশ করার জন্য কোনো ক্রেডেনশিয়াল নেই, রোটেশন করার জন্য কোনো পাসওয়ার্ড নেই এবং এমন একটি কমপ্লায়েন্স পসচার যা PCI DSS, ISO 27001 এবং বেশিরভাগ পাবলিক-সেক্টর সিকিউরিটি ফ্রেমওয়ার্ককে সন্তুষ্ট করে। এই ব্রিফিংয়ের শেষে, আপনি বুঝতে পারবেন ঠিক কীভাবে Android-এ EAP-TLS কাজ করে, আপনার ডিপ্লয়মেন্ট বিকল্পগুলি কী কী এবং তিনটি সবচেয়ে সাধারণ ভুল যা ব্যর্থ রোলআউটের কারণ হয়। চলুন শুরু করা যাক। --- টেকনিক্যাল ডিপ-ডাইভ — আনুমানিক ৫ মিনিট আর্কিটেকচার দিয়ে শুরু করা যাক। 802.1X হলো IEEE স্ট্যান্ডার্ড যা পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল পরিচালনা করে। যখন একটি Android ডিভাইস একটি এন্টারপ্রাইজ WiFi নেটওয়ার্কের সাথে কানেক্ট হয় — যা WPA2-Enterprise বা WPA3-Enterprise হিসেবে কনফিগার করা থাকে — তখন অ্যাক্সেস পয়েন্টটি অথেনটিকেটর হিসেবে কাজ করে। এটি নিজে অথেনটিকেশনের সিদ্ধান্ত নেয় না; এটি ডিভাইস এবং একটি RADIUS সার্ভারের মধ্যে কথোপকথন পাস করে, যা হলো আসল অথেনটিকেশন সার্ভার। EAP-TLS — অর্থাৎ এক্সটেনসিবল অথেনটিকেশন প্রোটোকল উইথ ট্রান্সপোর্ট লেয়ার সিকিউরিটি — হলো সেই 802.1X ফ্রেমওয়ার্কের ভিতরে চলা অথেনটিকেশন পদ্ধতি। যা এটিকে EAP-PEAP বা EAP-TTLS থেকে আলাদা করে, যা একটি TLS টানেলের ভিতরে ইউজারনেম এবং পাসওয়ার্ড ব্যবহার করে, তা হলো EAP-TLS উভয় দিকে X.509 সার্টিফিকেট ব্যবহার করে। RADIUS সার্ভার ডিভাইসের কাছে একটি সার্ভার সার্টিফিকেট উপস্থাপন করে এবং ডিভাইসটি RADIUS সার্ভারের কাছে একটি ক্লায়েন্ট সার্টিফিকেট উপস্থাপন করে। উভয় পক্ষ একে অপরকে ভ্যালিডেট করে। এটি হলো মিউচুয়াল অথেনটিকেশন, এবং এটিই EAP-TLS-কে উপলব্ধ সবচেয়ে সুরক্ষিত বিকল্প করে তোলে। এখন, বিশেষভাবে Android-এ, আপনাকে কয়েকটি বিষয় বুঝতে হবে। Android 11 এবং তার পরের সংস্করণগুলি কঠোর সার্টিফিকেট ভ্যালিডেশন রিকোয়ারমেন্ট প্রবর্তন করেছে। আপনি যদি Android 11 বা তার উপরের সংস্করণে ডিপ্লয় করেন — যা এই মুহূর্তে আপনার এস্টেটের বিশাল সংখ্যাগরিষ্ঠ — RADIUS সার্ভার সার্টিফিকেট স্পষ্টভাবে ট্রাস্ট করা না হলে ডিভাইসটি কানেক্ট হতে অস্বীকার করবে। আপনি শুধুমাত্র সিস্টেম ট্রাস্ট স্টোরের উপর নির্ভর করতে পারবেন না; আপনাকে অবশ্যই ডিভাইসে root CA সার্টিফিকেট পুশ করতে হবে অথবা এটিকে স্পষ্টভাবে রেফারেন্স করার জন্য WiFi প্রোফাইল কনফিগার করতে হবে। সার্টিফিকেট চেইন সম্পর্কে কথা বলা যাক। একটি একক Android ডিভাইস EAP-TLS-এর মাধ্যমে অথেনটিকেট করার আগে আপনার তিনটি কম্পোনেন্ট থাকা প্রয়োজন। প্রথমত, একটি সার্টিফিকেট অথরিটি — হয় আপনার অভ্যন্তরীণ PKI, Microsoft Active Directory Certificate Services, অথবা Intune-এর মাধ্যমে SCEP-এর মতো একটি ক্লাউড PKI। দ্বিতীয়ত, আপনার RADIUS সার্ভারকে ইস্যু করা একটি সার্ভার সার্টিফিকেট, যা সেই CA দ্বারা সাইন করা। তৃতীয়ত, প্রতিটি ডিভাইস বা ইউজারকে ইস্যু করা একটি ইউনিক ক্লায়েন্ট সার্টিফিকেট, যা একই CA দ্বারা সাইন করা। ডিভাইসটি TLS হ্যান্ডশেকের সময় তার ক্লায়েন্ট সার্টিফিকেট উপস্থাপন করে এবং RADIUS সার্ভার CA-এর সার্টিফিকেট রিভোকেশন লিস্ট বা CRL-এর বিপরীতে বা OCSP — অনলাইন সার্টিফিকেট স্ট্যাটাস প্রোটোকল-এর মাধ্যমে এটি ভ্যালিডেট করে। Android-এর জন্য, ক্লায়েন্ট সার্টিফিকেট এবং প্রাইভেট কি সাধারণত একটি PKCS12 ফাইল হিসেবে প্যাকেজ করা হয় — যা একটি ডট-P12 বা ডট-PFX ফাইল — যাতে সার্টিফিকেট এবং এনক্রিপ্ট করা প্রাইভেট কি উভয়ই থাকে। একটি ম্যানুয়ালি কনফিগার করা ডিভাইসে, ইউজার Settings, তারপর Security, তারপর Install a Certificate-এর মাধ্যমে এই ফাইলটি ইম্পোর্ট করেন। একটি MDM-পরিচালিত ডিভাইসে, সার্টিফিকেটটি নীরবে ডিভাইসের পরিচালিত কিস্টোরে পুশ করা হয় — কোনো ইউজার ইন্টারঅ্যাকশনের প্রয়োজন নেই। এখন WiFi প্রোফাইল সম্পর্কে কথা বলা যাক। Android-এ একটি এন্টারপ্রাইজ WiFi কানেকশন কনফিগার করার সময়, আপনাকে নির্দিষ্ট করতে হবে: SSID, সিকিউরিটি টাইপ — WPA2-Enterprise বা WPA3-Enterprise — EAP মেথড — যা হলো TLS — সার্ভার ভ্যালিডেশনের জন্য CA সার্টিফিকেট, ডিভাইস অথেনটিকেশনের জন্য ক্লায়েন্ট সার্টিফিকেট এবং আইডেন্টিটি স্ট্রিং, যা সাধারণত ডিভাইসের কমন নেম বা ইউজারের UPN। Android 11 এবং তার উপরের সংস্করণে, ম্যান-ইন-দ্য-মিডল আক্রমণ প্রতিরোধ করতে আপনাকে ডোমেইন সাফিক্স ম্যাচ বা সার্ভার সার্টিফিকেট সাবজেক্টও নির্দিষ্ট করতে হবে। MDM ডিপ্লয়মেন্টের জন্য — এবং এখানেই আসল স্কেল আসে — আপনি এই সবগুলিকে একটি স্ট্রাকচার্ড কনফিগারেশন প্রোফাইল হিসেবে পুশ করছেন। Microsoft Intune-এ, আপনি একটি SCEP সার্টিফিকেট প্রোফাইল তৈরি করেন যা স্বয়ংক্রিয়ভাবে প্রতিটি এনরোল করা Android ডিভাইসে একটি ইউনিক ক্লায়েন্ট সার্টিফিকেটের রিকোয়েস্ট করে এবং ইন্সটল করে। এরপর আপনি একটি WiFi কনফিগারেশন প্রোফাইল তৈরি করেন যা সেই সার্টিফিকেট প্রোফাইলকে রেফারেন্স করে। যখন ডিভাইসটি চেক ইন করে, তখন এটি সার্টিফিকেট এবং WiFi প্রোফাইল উভয়ই গ্রহণ করে এবং এটি স্বয়ংক্রিয়ভাবে আপনার 802.1X নেটওয়ার্কের সাথে কানেক্ট হয়। কোনো ইউজার ইন্টারঅ্যাকশন নেই, কোনো সাপোর্ট কল নেই। আপনি যদি এর জন্য Intune ব্যবহার করেন, তবে ডিভাইসগুলিতে WiFi সার্টিফিকেট পুশ করতে Microsoft Intune কীভাবে ব্যবহার করবেন সে সম্পর্কে আমাদের কম্প্যানিয়ন গাইডটি সঠিক কনফিগারেশন ধাপগুলির মধ্য দিয়ে নিয়ে যায় — আমি এই ব্রিফিংয়ের পাশাপাশি সেটি পড়ার পরামর্শ দেব। VMware Workspace ONE এবং Jamf Connect-এর জন্য, প্রক্রিয়াটি আর্কিটেকচারালভাবে অভিন্ন — SCEP বা PKCS সার্টিফিকেট প্রোফাইল, তারপরে একটি WiFi প্রোফাইল যা এটিকে রেফারেন্স করে। নির্দিষ্ট UI ভিন্ন, তবে সার্টিফিকেট চেইন এবং RADIUS কনফিগারেশন রিকোয়ারমেন্ট একই। RADIUS সাইডে একটি বিষয় ফ্ল্যাগ করার মতো: আপনি যদি FreeRADIUS, Microsoft NPS, বা Cisco ISE চালান, তবে নিশ্চিত করুন যে আপনার সার্ভার সার্টিফিকেটে সঠিক এক্সটেন্ডেড কি ইউসেজ অ্যাট্রিবিউট অন্তর্ভুক্ত রয়েছে — বিশেষ করে, Server Authentication, OID 1.3.6.1.5.5.7.3.1। Android এই বিষয়ে কঠোর। একটি সার্টিফিকেট যা Windows ক্লায়েন্টদের সাথে সূক্ষ্মভাবে কাজ করে তা Android-এ ব্যর্থ হতে পারে যদি EKU অনুপস্থিত বা ভুল কনফিগার করা থাকে। --- ইমপ্লিমেন্টেশন সুপারিশ এবং ত্রুটি — আনুমানিক ২ মিনিট ঠিক আছে, আসুন কথা বলি ফিল্ডে আসলে কী ভুল হয়, কারণ এখানেই বেশিরভাগ ডিপ্লয়মেন্ট সমস্যায় পড়ে। প্রথম এবং সবচেয়ে সাধারণ ব্যর্থতা হলো সার্টিফিকেট ট্রাস্ট। RADIUS সার্ভারের সার্টিফিকেট চেইন ভ্যালিডেট করা না গেলে Android 11 এবং তার উপরের সংস্করণগুলি কানেক্ট হবে না। সমাধানটি সহজ: MDM-এর মাধ্যমে ডিভাইসের ইউজার সার্টিফিকেট স্টোরে আপনার root CA সার্টিফিকেট পুশ করুন এবং WiFi প্রোফাইলের CA সার্টিফিকেট ফিল্ডে এটিকে স্পষ্টভাবে রেফারেন্স করুন। এটিকে "Do not validate" হিসেবে ছেড়ে দেবেন না — এটি একটি সিকিউরিটি হোল এবং এটি যেকোনোভাবেই কিছু Android সংস্করণে ব্যর্থ হবে। দ্বিতীয় ত্রুটি হলো সার্টিফিকেটের মেয়াদ শেষ হওয়া। ক্লায়েন্ট সার্টিফিকেটগুলির সাধারণত এক থেকে দুই বছরের বৈধতার মেয়াদ থাকে। আপনার যদি SCEP বা NDES-এর মাধ্যমে স্বয়ংক্রিয় রিনিউয়াল না থাকে, তবে আপনি একদিন সকালে ঘুম থেকে উঠে দেখতে পাবেন যে আপনার অর্ধেক ডিভাইস এস্টেট একই সাথে WiFi অ্যাক্সেস হারিয়েছে। প্রথম দিন থেকেই আপনার MDM ওয়ার্কফ্লোতে সার্টিফিকেট রিনিউয়াল অটোমেশন তৈরি করুন, পরে চিন্তাভাবনা হিসেবে নয়। তৃতীয় সমস্যা হলো RADIUS সার্ভারের ক্যাপাসিটি। সম্পূর্ণ মিউচুয়াল সার্টিফিকেট এক্সচেঞ্জের কারণে EAP-TLS হ্যান্ডশেকগুলি PEAP হ্যান্ডশেকগুলির চেয়ে কম্পিউটেশনালভাবে বেশি ব্যয়বহুল। হাজার হাজার যুগপৎ অথেনটিকেশন সহ একটি স্টেডিয়াম বা কনফারেন্স সেন্টারে, একটি আন্ডারসাইজড RADIUS সার্ভার একটি বটলনেক হয়ে উঠবে। গড় লোডের জন্য নয়, বরং পিক কনকারেন্ট অথেনটিকেশনের জন্য আপনার RADIUS ইনফ্রাস্ট্রাকচার সাইজ করুন। পরিশেষে, Android সাইডে, সচেতন থাকুন যে বিভিন্ন নির্মাতাদের — Samsung, Google, Xiaomi — WiFi কনফিগারেশন API-এর কিছুটা ভিন্ন ইমপ্লিমেন্টেশন রয়েছে। স্কেলে রোল আউট করার আগে আপনার এস্টেটের প্রতিটি নির্মাতার রিপ্রেজেন্টেটিভ ডিভাইসগুলিতে আপনার MDM-পুশড প্রোফাইলগুলি পরীক্ষা করুন। বিশেষ করে Samsung ডিভাইসগুলিতে ঐতিহাসিকভাবে আইডেন্টিটি ফিল্ডটি স্পষ্টভাবে সেট করার প্রয়োজন হয়েছে, এমনকি যখন এটি সার্টিফিকেট থেকে অনুমান করা যায়। --- র‍্যাপিড-ফায়ার প্রশ্নোত্তর — আনুমানিক ১ মিনিট কয়েকটি দ্রুত প্রশ্ন যা আমাকে নিয়মিত জিজ্ঞাসা করা হয়। আমি কি BYOD ডিভাইসের জন্য EAP-TLS ব্যবহার করতে পারি? হ্যাঁ, তবে এর জন্য ইউজারকে তাদের ব্যক্তিগত ডিভাইসে একটি ক্লায়েন্ট সার্টিফিকেট ইন্সটল করতে হবে। স্কেলে BYOD-এর জন্য, বিবেচনা করুন যে PAP বা PEAP-MSCHAPv2-এর সাথে EAP-TTLS একটি আরও ব্যবহারিক ট্রেড-অফ কিনা, যেখানে EAP-TLS কর্পোরেট-মালিকানাধীন ডিভাইসগুলির জন্য সংরক্ষিত। EAP-TLS কি WPA3-Enterprise-এর সাথে কাজ করে? হ্যাঁ, এবং 192-বিট মোড সহ WPA3-Enterprise আসলে EAP-TLS বাধ্যতামূলক করে। আপনি যদি উচ্চ-নিরাপত্তা পরিবেশে WPA3-Enterprise ডিপ্লয় করেন, তবে EAP-TLS হলো আপনার একমাত্র কমপ্লায়েন্ট বিকল্প। আমার কোন ন্যূনতম Android সংস্করণ টার্গেট করা উচিত? Android 8 এবং তার উপরের সংস্করণগুলি নেটিভভাবে EAP-TLS সাপোর্ট করে। Android 11 এবং তার উপরের সংস্করণের জন্য, এক্সপ্লিসিট CA সার্টিফিকেট ভ্যালিডেশন এনফোর্স করুন। Android 13 এবং তার উপরের সংস্করণের জন্য, আপনি আরও গ্র্যানুলার কন্ট্রোলের জন্য উন্নত সার্টিফিকেট ম্যানেজমেন্ট API-গুলি কাজে লাগাতে পারেন। Purple-এর প্ল্যাটফর্ম কি EAP-TLS নেটওয়ার্কের সাথে ইন্টিগ্রেট করতে পারে? Purple-এর গেস্ট WiFi এবং অ্যানালিটিক্স প্ল্যাটফর্ম আপনার 802.1X কর্পোরেট নেটওয়ার্ক থেকে একটি পৃথক SSID-তে কাজ করে। আপনার কর্পোরেট ডিভাইসগুলি সুরক্ষিত SSID-তে EAP-TLS-এর মাধ্যমে অথেনটিকেট করে, যেখানে গেস্ট ডিভাইসগুলি গেস্ট SSID-তে Purple-এর Captive Portal ব্যবহার করে। এই দুটি একই অ্যাক্সেস পয়েন্ট ইনফ্রাস্ট্রাকচারে সহাবস্থান করে, যেখানে VLAN সেপারেশন সিকিউরিটি বাউন্ডারি প্রদান করে। --- সারাংশ এবং পরবর্তী পদক্ষেপ — আনুমানিক ১ মিনিট শেষ করার জন্য: Android-এ EAP-TLS হলো উপলব্ধ সবচেয়ে সুরক্ষিত এন্টারপ্রাইজ WiFi অথেনটিকেশন পদ্ধতি, এবং আধুনিক MDM টুলিংয়ের সাহায্যে এটি স্কেলে ডিপ্লয় করা সম্পূর্ণ ব্যবহারিক। যে তিনটি বিষয় সঠিকভাবে করতে হবে তা হলো: স্বয়ংক্রিয় সার্টিফিকেট রিনিউয়াল সহ একটি সঠিকভাবে কনফিগার করা PKI, Android 11 এবং তার উপরের সংস্করণে এক্সপ্লিসিট CA সার্টিফিকেট ট্রাস্ট এবং পিক লোডের জন্য সাইজ করা একটি RADIUS ইনফ্রাস্ট্রাকচার। আপনি যদি মিশ্র কর্পোরেট এবং গেস্ট ট্রাফিক সহ একটি ভেন্যুতে ডিপ্লয় করেন, তবে Purple-এর প্ল্যাটফর্ম আপনাকে গেস্ট নেটওয়ার্কে অ্যানালিটিক্স এবং এনগেজমেন্ট লেয়ার দেয় যেখানে আপনার EAP-TLS ইনফ্রাস্ট্রাকচার কর্পোরেট দিকটি সুরক্ষিত করে। এই দুটি একে অপরের পরিপূরক। আপনার পরবর্তী পদক্ষেপের জন্য: সম্পূর্ণ গাইডে আমাদের আর্কিটেকচার ডায়াগ্রামটি পর্যালোচনা করুন, Intune ডিপ্লয়মেন্ট ওয়াকথ্রু নিয়ে কাজ করুন এবং আপনার সম্পূর্ণ এস্টেটে রোল আউট করার আগে ডিভাইসের একটি সাবসেটে একটি পাইলট রান করুন। পঞ্চাশটি ডিভাইসের একটি নিয়ন্ত্রিত গ্রুপ দিয়ে শুরু করুন, সার্টিফিকেট ডেলিভারি এবং WiFi কানেক্টিভিটি ভ্যালিডেট করুন, তারপর আত্মবিশ্বাসের সাথে স্কেল করুন। Purple টেকনিক্যাল ব্রিফিং শোনার জন্য ধন্যবাদ। আপনি purple.ai-তে সম্পূর্ণ লিখিত গাইড, ডায়াগ্রাম এবং কনফিগারেশন রেফারেন্স পাবেন। পরবর্তী সময় পর্যন্ত বিদায়।