Cisco SUDI বোঝা: নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলে হার্ডওয়্যার ভিত্তিক ডিভাইস পরিচিতি

Cisco SUDI বোঝা: নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলে হার্ডওয়্যার-ভিত্তিক ডিভাইস আইডেন্টিটি একটি Purple টেকনিক্যাল ব্রিফিং - সম্পূর্ণ পডকাস্ট স্ক্রিপ্ট (প্রায় ১০ মিনিট) --- সেগমেন্ট ১: ভূমিকা এবং প্রেক্ষাপট (প্রায় ১ মিনিট) হ্যালো এবং একটি Purple টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগত জানাই। পরবর্তী দশ মিনিট আমি আপনাকে Cisco SUDI - সিকিউর ইউনিক ডিভাইস আইডেন্টিফায়ার - এটি আসলে কী, এটি কীভাবে আপনার নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল আর্কিটেকচারের সাথে খাপ খায় এবং আপনি যদি স্কেলে Cisco অবকাঠামো পরিচালনা করেন তবে এটি নিয়ে আপনার কী করা উচিত, তা নিয়ে বিস্তারিত আলোচনা করব। এটি লক্ষ্য করা হয়েছে নেটওয়ার্ক আর্কিটেক্ট, আইটি ম্যানেজার এবং ভেন্যুগুলোর - হোটেল, রিটেল এস্টেট, স্টেডিয়াম, কনফারেন্স সেন্টার - সিটিওদের জন্য, যেখানেই আপনি এন্টারপ্রাইজ WiFi পরিচালনা করছেন এবং নিশ্চিত হওয়া প্রয়োজন যে আপনার নেটওয়ার্কের হার্ডওয়্যারটি ঠিক সেটাই যা এটি দাবি করে। আসুন SUDI যে সমস্যার সমাধান করে তা দিয়ে শুরু করা যাক। যেকোনো বড় ভেন্যু নেটওয়ার্কে আপনার কাছে কয়েক ডজন বা শত শত অ্যাক্সেস পয়েন্ট, সুইচ এবং কন্ট্রোলার থাকে। আপনার সিকিউরিটি পোস্টার যে প্রশ্নটির ওপর নির্ভর করে তা হলো: আপনি কীভাবে জানেন যে এই ডিভাইসগুলোর প্রতিটি একটি আসল, অপরিবর্তিত Cisco প্রোডাক্ট - এবং কোনো নকল, আপোসকৃত ইউনিট বা এমন কোনো ডিভাইস নয় যা ট্রানজিটের সময় টেম্পার বা কারচুপি করা হয়েছে? এটিই সেই ফাঁক যা SUDI পূরণ করে। --- সেগমেন্ট ২: টেকনিক্যাল ডিপ-ডাইভ (প্রায় ৫ মিনিট) SUDI-এর পূর্ণরূপ হলো সিকিউর ইউনিক ডিভাইস আইডেন্টিফায়ার। এটি একটি X.509 ভার্সন ৩ সার্টিফিকেট - HTTPS এবং TLS-এ ব্যবহৃত একই সার্টিফিকেট ফরম্যাট - তবে কোনো ব্যক্তি বা সার্ভারকে ইস্যু করার পরিবর্তে, এটি তৈরির সময় একটি নির্দিষ্ট হার্ডওয়্যারে ইস্যু করা হয়। এতে ডিভাইসের প্রোডাক্ট আইডেন্টিফায়ার এবং সিরিয়াল নম্বর থাকে এবং এটি Cisco-এর নিজস্ব পাবলিক কি ইনফ্রাস্ট্রাকচারের ওপর ভিত্তি করে তৈরি। আপনি নিজে ইনস্টল করবেন এমন একটি সফটওয়্যার সার্টিফিকেটের থেকে SUDI-কে যা আলাদা করে তা এখানে দেওয়া হলো। SUDI সার্টিফিকেট, তার সংশ্লিষ্ট কি পেয়ার সহ, ট্রাস্ট অ্যাঙ্কর মডিউল বা TAm নামের একটি টেম্পার-প্রতিরোধী চিপের ভেতরে থাকে। প্রাইভেট কি-টি সেই চিপের ভেতরেই তৈরি হয় এবং কখনই এটি থেকে বের হয় না। আপনি এটি এক্সপোর্ট করতে পারবেন না। আপনি এটি ক্লোন করতে পারবেন না। যদি কেউ শারীরিকভাবে চিপটির সাথে টেম্পার বা কারচুপি করে, তবে কি-টি ধ্বংস হয়ে যায়। এটাই হলো হার্ডওয়্যারের রুট অফ ট্রাস্ট। SUDI হলো IEEE 802.1AR স্ট্যান্ডার্ডের Cisco ইমপ্লিমেন্টেশন - যা সিকিউর ডিভাইস আইডেন্টিফায়ার বা DevIDs-এর জন্য ইন্ডাস্ট্রি স্ট্যান্ডার্ড। 802.1AR-এর অধীনে, ম্যানুফ্যাকচারার-ইনস্টলড ক্রেডেনশিয়ালকে ইনিশিয়াল ডিভাইস আইডেন্টিফায়ার বা IDevID বলা হয়। Cisco-এর SUDI ঠিক সেটাই - একটি IDevID যা Cisco ফ্যাক্টরিতে ইনস্টল করে। আপনি এটিকে একটি লোকালি সিগনিফিকেন্ট ডিভাইস আইডেন্টিফায়ার বা LDevID দিয়ে পরিপূরক করতে পারেন, যা আপনার নিজস্ব PKI লোকাল অথরাইজেশন পলিসির জন্য ইস্যু করে। এখন, নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের সাথে এটি কীভাবে যুক্ত হয়? সবচেয়ে সাধারণ ইন্টিগ্রেশন পয়েন্ট হলো IEEE 802.1X - পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড। যখন একটি Cisco অ্যাক্সেস পয়েন্ট বা সুইচ অনলাইন হয়, তখন এটি EAP-TLS (যা Transport Layer Security সহ Extensible Authentication Protocol) ব্যবহার করে একটি RADIUS সার্ভার - সাধারণত Cisco ISE, Identity Services Engine - এর কাছে এর SUDI সার্টিফিকেট উপস্থাপন করতে পারে। RADIUS সার্ভারটি Cisco-এর পাবলিক সার্টিফিকেট অথরিটির সাথে সার্টিফিকেটটি যাচাই করে, ডিভাইসটি আসল কিনা তা নিশ্চিত করে এবং তারপরে উপযুক্ত নেটওয়ার্ক পলিসি প্রয়োগ করে। এটি MAC অ্যাড্রেস বাইপাসের চেয়ে উল্লেখযোগ্যভাবে শক্তিশালী, যা বেশিরভাগ নেটওয়ার্ক অবকাঠামোগত ডিভাইসের জন্য ফলব্যাক হিসেবে ব্যবহার করে। MAC অ্যাড্রেস এক মিনিটেরও কম সময়ে স্পুফ করা যেতে পারে। টেম্পার-প্রতিরোধী চিপে থাকা একটি হার্ডওয়্যার-বাউন্ড সার্টিফিকেট ডিভাইসটিকে শারীরিকভাবে ধ্বংস না করে স্পুফ করা অসম্ভব। একটি ভেন্যু প্রেক্ষাপটে, এটি তিনটি কারণে গুরুত্বপূর্ণ। প্রথমত, এটি আপনার নেটওয়ার্কে কোনো অননুমোদিত অ্যাক্সেস পয়েন্ট যুক্ত হওয়ার ঝুঁকি দূর করে। একটি নকল বা অননুমোদিত ডিভাইস কখনই একটি বৈধ SUDI উপস্থাপন করতে পারে না। দ্বিতীয়ত, এটি স্বয়ংক্রিয়, Zero Touch Provisioning সক্ষম করে - একটি নতুন ডিভাইস আপনার ভেন্যুতে পাঠানো হয়, পাওয়ার অন হয়, তার SUDI উপস্থাপন করে এবং আপনার ম্যানেজমেন্ট সিস্টেম কনফিগারেশন পুশ করার আগে আপনার ইনভেন্টরির সাথে এটি যাচাই করে। কোনো ম্যানুয়াল হস্তক্ষেপের প্রয়োজন হয় না। তৃতীয়ত, এটি আপনাকে একটি ক্রিপ্টোগ্রাফিকভাবে যাচাইযোগ্য অডিট ট্রেইল দেয়। আপনার নেটওয়ার্কে প্রমাণীকরণ করা প্রতিটি ডিভাইস একটি সার্টিফিকেট সহ এটি করেছে যা প্রমাণ করে যে এটি একটি নির্দিষ্ট, নামযুক্ত Cisco পণ্য। আমি Trust Anchor মডিউল সম্পর্কে আরও বিস্তারিতভাবে বলি, কারণ এটি এমন একটি ভিত্তি যার উপর বাকি সবকিছু নির্ভর করে। TAm হলো একটি মালিকানাধীন Cisco চিপ যা তিনটি জিনিস প্রদান করে: SUDI এবং কী-এর জন্য নন-ভোলাটাইল সুরক্ষিত স্টোরেজ, র্যান্ডম নম্বর জেনারেশন সহ ক্রিপ্টোগ্রাফিক পরিষেবা এবং হার্ডওয়্যার ফিঙ্গারপ্রিন্টিং। শেষেরটি বিশেষভাবে লক্ষণীয় - Cisco ম্যানুফ্যাকচারিংয়ের সময় একটি ডিভাইসের গুরুত্বপূর্ণ হার্ডওয়্যার উপাদানগুলোর ফিঙ্গারপ্রিন্ট নেয় এবং সেই ফিঙ্গারপ্রিন্টটি TAm-এ সংরক্ষণ করে। যখন ডিভাইসটি বুট হয়, তখন এটি সংরক্ষিত ফিঙ্গারপ্রিন্টের সাথে বর্তমান হার্ডওয়্যার ফিঙ্গারপ্রিন্টটি পরীক্ষা করে। যদি তারা না মেলে, ডিভাইসটি বুট হবে না। এটি ট্রানজিটে থাকা অবস্থায় হার্ডওয়্যারের সাথে কোনো কারচুপি হয়েছে কিনা তা সনাক্ত করে - বড় ভেন্যু ডেপ্লয়মেন্টের জন্য এটি একটি বাস্তব উদ্বেগ যেখানে হার্ডওয়্যার ইনস্টলেশনের আগে একাধিক হাত ঘুরে আসতে পারে। একটি অপারেশনাল সমস্যা সম্পর্কে আপনার সচেতন হওয়া দরকার: মে ২০১৯-এর আগে ইস্যু করা SUDI সার্টিফিকেটগুলো তৈরির তারিখ থেকে দশ বছর অথবা ১৪ মে ২০২৯, যেটি আগে আসে, তার মধ্যে মেয়াদোত্তীর্ণ হয়ে যায়। Cisco একটি নতুন প্রজন্মের সার্টিফিকেট দিয়ে এর সমাধান করেছে যা SUDI-2099 নামে পরিচিত, এটি ডিসেম্বর ২০৯৯ পর্যন্ত বৈধ। আপনি যদি ২০১৯ সালের আগে তৈরি Catalyst 9000 সিরিজের হার্ডওয়্যার ব্যবহার করেন, তবে আপনাকে এখনই আপনার SUDI মেয়াদোত্তীর্ণের তারিখ পরীক্ষা করতে হবে। IOS-XE-তে কমান্ডটি হলো show crypto pki certificate। CISCO_IDEVID_SUDI ট্রাস্টপয়েন্টটি খুঁজুন এবং শেষ তারিখটি পরীক্ষা করুন। আপনি যদি Catalyst 9200 ব্যবহার করেন, তবে আপনি সঠিক ২০৯৯ সার্টিফিকেট ব্যবহার করছেন তা নিশ্চিত করতে IOS-XE 17.12.2 বা তার পরের সংস্করণে আপগ্রেড করুন। - সেগমেন্ট ৩: বাস্তবায়ন সুপারিশ এবং সম্ভাব্য সমস্যাসমূহ (প্রায় ২ মিনিট) আমি আপনাকে ব্যবহারিক বাস্তবায়নের বিষয়টি বুঝিয়ে বলি। আপনি যদি কোনো ভেন্যু পরিবেশে SUDI-ভিত্তিক প্রমাণীকরণ স্থাপন করতে চান, তবে নিচে বর্ণিত পর্যায়টি কাজ করবে। আপনার RADIUS পরিকাঠামো দিয়ে শুরু করুন। আপনি যদি ইতিমধ্যে Cisco ইকোসিস্টেম ব্যবহার করে থাকেন তবে Cisco ISE স্বাভাবিক পছন্দ, তবে যেকোনো RADIUS সার্ভার যা EAP-TLS সমর্থন করে এবং একটি বাহ্যিক CA-এর বিপরীতে যাচাই করতে পারে তা কাজ করবে। আপনাকে Cisco-এর রুট CA এবং ACT2 SUDI CA সার্টিফিকেটগুলো আপনার RADIUS ট্রাস্ট স্টোরে ইমপোর্ট করতে হবে। এগুলো Cisco-এর PKI পোর্টাল থেকে সর্বজনীনভাবে উপলব্ধ। এরপরে, পরিকাঠামো ডিভাইসগুলোর জন্য সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ বাধ্যতামূলক করতে আপনার 802.1X নীতি কনফিগার করুন। এটিকে আপনার এন্ড-ইউজার প্রমাণীকরণ নীতি থেকে আলাদা রাখুন - কর্মী এবং অতিথি প্রমাণীকরণ ফ্লো আলাদা এবং ISE-তে বিভিন্ন নীতি সেটে থাকা উচিত। নতুন স্থাপনার জন্য, Zero Touch Provisioning সক্ষম করুন। আপনার নেটওয়ার্ক ম্যানেজমেন্ট সিস্টেম - Cisco DNA Centre বা Catalyst Centre - কনফিগারেশন পুশ করার আগে ডিভাইসের পরিচয় যাচাই করতে SUDI ব্যবহার করতে পারে। এটি ম্যানুয়াল স্টেজিং প্রক্রিয়াকে দূর করে এবং ডিভাইস প্রতি প্রোভিশনিংয়ের সময়কে ঘণ্টার থেকে কমিয়ে মিনিটে নিয়ে আসে। এবার আসা যাক সম্ভাব্য ভুলত্রুটিগুলোর কথায়। আমি সবচেয়ে সাধারণ যে ভুলটি দেখতে পাই তা হলো একই পোর্টে SUDI প্রমাণীকরণের সাথে MAC অ্যাড্রেস বাইপাস মিশ্রিত করা। SUDI ব্যর্থ হলে আপনি যদি MAB-তে ফিরে যান, তবে আপনি সিকিউরিটি মডেলটিকেই দুর্বল করে দিচ্ছেন। একটি স্পষ্ট নীতি নির্ধারণ করুন: SUDI-সক্ষম ডিভাইসগুলোকে অবশ্যই SUDI-এর মাধ্যমে প্রমাণীকরণ করতে হবে, ব্যস। অ-SUDI ডিভাইসগুলো ম্যানুয়াল পর্যালোচনার অপেক্ষায় একটি কোয়ারেন্টাইন VLAN-এ যাবে। দ্বিতীয় ভুলটি হলো সার্টিফিকেটের মেয়াদ শেষ হয়ে যাওয়া। আপনার পুরো এস্টেট জুড়ে এখনই SUDI-এর মেয়াদ শেষের তারিখগুলোর জন্য মনিটরিং সেট আপ করুন। আপনার অ্যাক্সেস পয়েন্টগুলো আর প্রমাণীকরণ করতে পারছে না - এটি আবিষ্কার করার জন্য একটি সার্ভিস বিভ্রাট হওয়া পর্যন্ত অপেক্ষা করবেন না। একটি একক ড্যাশবোর্ডে ডিভাইসের স্বাস্থ্য সংক্রান্ত সংকেত - যার মধ্যে প্রমাণীকরণের স্থিতি অন্তর্ভুক্ত রয়েছে - প্রদর্শন করতে Purple-এর প্ল্যাটফর্ম Cisco Meraki এবং অন্যান্য হার্ডওয়্যার ভেন্ডরদের সাথে একীভূত হয়, যা স্কেলে এই ধরনের সক্রিয় মনিটরিংকে ব্যবহারিক করে তোলে। তৃতীয় ভুলটি হলো স্কোপ ক্রিপ বা পরিধি বৃদ্ধি করা। SUDI হার্ডওয়্যার ডিভাইসটিকে প্রমাণীকরণ করে। এটি সেই ডিভাইসের মাধ্যমে সংযোগকারী ব্যবহারকারীকে প্রমাণীকরণ করে না। অতিথি, কর্মী এবং বাসিন্দাদের জন্য আপনার এখনও একটি আলাদা পরিচয় স্তরের প্রয়োজন। এখানেই Purple-এর মতো একটি প্ল্যাটফর্ম কাজ করে - আমরা মানুষের পরিচয় স্তর, সম্মতি গ্রহণ, অতিথি ট্রাফিকের জন্য VLAN অ্যাসাইনমেন্ট এবং অ্যানালিটিক্স পরিচালনা করি, যখন SUDI নিচের পরিকাঠামো স্তরটি পরিচালনা করে। --- সেগমেন্ট ৪: দ্রুত প্রশ্নোত্তর (প্রায় ১ মিনিট) আমি নিয়মিতভাবে যে তিনটি প্রশ্নের সম্মুখীন হই, সেগুলো এক নজরে দেখে নেওয়া যাক। SUDI কি আমার বিদ্যমান PKI-কে প্রতিস্থাপন করে? না। SUDI হলো একটি ম্যানুফ্যাকচারার-ইনস্টল করা IDevID। এটি প্রমাণ করে যে ডিভাইসটি একটি খাঁটি Cisco হার্ডওয়্যার। আপনার এন্টারপ্রাইজ PKI অন্য সব কিছুর জন্য LDevID এবং ব্যবহারকারী সার্টিফিকেট ইস্যু করে। এগুলো সমান্তরালভাবে কাজ করে। আমি কি অ-Cisco হার্ডওয়্যারে SUDI ব্যবহার করতে পারি? না। SUDI শুধুমাত্র Cisco-এর জন্য নির্দিষ্ট। HPE Aruba-এর একটি সমতুল্য ব্যবস্থা রয়েছে যাকে IAP প্রোভিশনিং সার্টিফিকেট বলা হয়। Ruckus এবং Juniper Mist-এর নিজস্ব ডিভাইস আইডেন্টিটি মেকানিজম রয়েছে। মূল স্ট্যান্ডার্ড - IEEE 802.1AR - ভেন্ডর-নিরপেক্ষ, তবে প্রতিটি প্রস্তুতকারক এটি ভিন্নভাবে প্রয়োগ করে।একটি SUDI সার্টিফিকেট এক্সপায়ার বা মেয়াদোত্তীর্ণ হলে কী ঘটে? HTTPS, সার্টিফিকেট অথেনটিকেশন সহ SSH, Zero Touch Provisioning - এর মতো যে পরিষেবাগুলি অথেনটিকেশনের জন্য SUDI-এর উপর নির্ভর করে, সেগুলি ব্যর্থ হবে। ডিভাইসটি নিজেই কাজ করতে থাকে, কিন্তু এটি আর ক্রিপ্টোগ্রাফিকভাবে তার পরিচয় প্রমাণ করতে পারে না। এই কারণেই SUDI-2099 মাইগ্রেশন অত্যন্ত গুরুত্বপূর্ণ। --- SEGMENT 5: SUMMARY AND NEXT STEPS (প্রায় ১ মিনিট) সংক্ষেপে বলতে গেলে: Cisco SUDI আপনাকে হার্ডওয়্যার-রুটেড ডিভাইস আইডেন্টিটি প্রদান করে যা স্পুফ, ক্লোন বা এক্সপোর্ট করা যায় না। এটি একটি নির্ভরযোগ্য ইনফ্রাস্ট্রাকচার লেয়ারের ভিত্তি। IEEE 802.1X এবং একটি সঠিকভাবে কনফিগার করা RADIUS পলিসির সাথে সংযুক্ত হয়ে, এটি অননুমোদিত ডিভাইসের ঝুঁকি দূর করে এবং স্কেলে স্বয়ংক্রিয় প্রভিশনিং সক্ষম করে। আপনার অবিলম্বে করণীয় তিনটি কাজ: এক, show crypto pki certificate ব্যবহার করে SUDI এর মেয়াদ শেষ হওয়ার তারিখের জন্য আপনার Cisco এস্টেট অডিট করুন। দুই, Cisco-এর রুট CA আপনার RADIUS ট্রাস্ট স্টোরে ইম্পোর্ট করুন এবং ইনফ্রাস্ট্রাকচার ডিভাইসের জন্য EAP-TLS পলিসি কনফিগার করুন। তিন, আপনার ইনফ্রাস্ট্রাকচার অথেনটিকেশন পলিসিকে আপনার এন্ড-ইউজার অথেনটিকেশন পলিসি থেকে আলাদা করুন - এগুলি ভিন্ন উদ্দেশ্যে কাজ করে এবং স্বাধীনভাবে পরিচালনা করা উচিত। অতিথি, কর্মী এবং বাসিন্দাদের জন্য আইডেন্টিটি-ভিত্তিক নেটওয়ার্ক সেগমেন্টেশন প্রদানের জন্য Purple কীভাবে Cisco Meraki এবং অন্যান্য হার্ডওয়্যার ভেন্ডরদের সাথে একীভূত হয় সে সম্পর্কে আরও বিস্তারিত জানতে, purple.ai ভিজিট করুন বা এই পর্বের নিচে লিঙ্ক করা সম্পর্কিত নির্দেশিকাগুলি পড়ুন। শোনার জন্য ধন্যবাদ। পরবর্তী ব্রিফিংয়ে আপনার সাথে দেখা হবে। --- END OF SCRIPT