মূল কন্টেন্টে যান
বাংলা

Windows 11 802.1X প্রমাণীকরণ সমস্যা সমাধান: এন্টারপ্রাইজ IT নির্দেশিকা

Windows 11 802.1X প্রমাণীকরণ ব্যর্থতার জন্য একটি ডায়াগনস্টিক এবং প্রতিকার নির্দেশিকা। RADIUS সার্টিফিকেট ট্রাস্টের ত্রুটি, Credential Guard PEAP ব্লক এবং GPO ওয়্যারলেস প্রোফাইল সমস্যা সমাধান করুন।

লিখেছেন Iain Jewittপ্রকাশিত হালনাগাদ করা হয়েছে
📖 10 মিনিট পাঠ1,866 শব্দ2 সমাধানকৃত উদাহরণ3 অনুশীলনী প্রশ্ন6 মূল সংজ্ঞা

Video overview

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
[Introduction & Context] Purple-এর এই টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগতম। আমি আপনার হোস্ট, এবং আজ আমরা একটি নির্দিষ্ট, উচ্চ-প্রভাবশালী সমস্যা নিয়ে আলোচনা করছি যা এন্টারপ্রাইজ ল্যান্ডস্কেপ জুড়ে IT টিমগুলির জন্য মাথাব্যথার কারণ হয়ে দাঁড়িয়েছে: Windows 11 আপগ্রেডগুলি 802.1X ওয়্যারলেস প্রামাণীকরণ বা অ্যাথেন্টিকেশন ব্যাহত করছে। আপনি যদি কোনো কর্পোরেট নেটওয়ার্ক পরিচালনা করেন - তা একটি বিশাল হাসপাতাল ক্যাম্পাস, একটি মাল্টি-সাইট খুচরা ব্যবসা, বা একটি বড় পাবলিক ভেন্যু যাই হোক না কেন - আপনার ওয়্যারলেস অবকাঠামো সুরক্ষিত করতে আপনি 802.1X-এর উপর নির্ভর করেন। এটি গোল্ড স্ট্যান্ডার্ড। কিন্তু সম্প্রতি, আমরা সাপোর্ট টিকিটের সংখ্যা বেড়ে যেতে দেখেছি যেখানে ডিভাইসগুলি Windows 11-এ আপগ্রেড হয় এবং হঠাৎ করেই সুরক্ষিত WiFi থেকে বিচ্ছিন্ন হয়ে যায়। আজ, আমরা বিস্তারিতভাবে বিশ্লেষণ করব কেন এটি ঘটে, কীভাবে দ্রুত এটি নির্ণয় করা যায়, এবং এটি সমাধান করতে ও ভবিষ্যতের রোলআউট পর্যায়গুলিতে এটি প্রতিরোধ করতে আপনাকে কী পদক্ষেপ নিতে হবে। চলুন বিস্তারিত জানা যাক। [Technical Deep-Dive] তাহলে, একটি মেশিন যখন Windows 11-এ আপডেট হয় তখন আসলে কী ভেঙে পড়ে? এই ব্যর্থতা বুঝতে, আমাদের অ্যাথেন্টিকেশন হ্যান্ডশেক বিশ্লেষণ করতে হবে। বেশিরভাগ এন্টারপ্রাইজ তাদের 802.1X নেটওয়ার্কের জন্য PEAP-MSCHAPv2 বা EAP-TLS ব্যবহার করে। উভয়ই সার্টিফিকেট ট্রাস্টের উপর ব্যাপকভাবে নির্ভর করে। যখন একটি Windows ক্লায়েন্ট সংযোগ করার চেষ্টা করে, RADIUS সার্ভার - যা প্রায়শই একটি Network Policy Server বা NPS - তার সার্টিফিকেট প্রদান করে। ক্লায়েন্ট তখন পরীক্ষা করে যে এটি সেই Root Certificate Authority-কে বিশ্বাস করে কিনা যা NPS সার্টিফিকেট ইস্যু করেছে। এখানেই Windows 11 সমস্যার মূল বিষয়: কিছু আপগ্রেড পাথ চলাকালীন, অথবা Windows 11-এর কঠোর সিকিউরিটি ডিফল্টের কারণে, ওয়্যারলেস প্রোফাইলের জন্য ট্রাস্টেড রুট সার্টিফিকেট বাইন্ডিংগুলি মুছে যায় বা সঠিকভাবে মাইগ্রেট হতে ব্যর্থ হয়। তাছাড়া, Windows 11 সামঞ্জস্যপূর্ণ হার্ডওয়্যারে বাই ডিফল্ট Credential Guard সক্ষম করেছে, যা NTLM এবং MS-CHAPv2 শংসাপত্রগুলি কীভাবে সংরক্ষিত এবং অ্যাক্সেস করা হয় তা পরিবর্তন করে, যা কখনও কখনও লেগ্যাসি PEAP কনফিগারেশনগুলিকে ভেঙে দেয়। যখন ক্লায়েন্ট সার্ভারের সার্টিফিকেট যাচাই করতে পারে না, তখন সংযোগটি সাথে সাথে বিচ্ছিন্ন হয়ে যায়। ব্যবহারকারী কেবল "Can't connect to this network" দেখতে পান, কিন্তু ব্যাকএন্ডে, এটি TLS টানেল প্রতিষ্ঠার একটি কঠিন ব্যর্থতা। [Implementation Recommendations & Pitfalls] আমরা কীভাবে এটি সমাধান করব? তাৎক্ষণিক প্রতিকারের মধ্যে আপনার এন্ডপয়েন্টগুলিতে একটি আপডেট করা Group Policy Object, বা GPO পুশ করা জড়িত। প্রথমত, আপনাকে অবশ্যই নিশ্চিত করতে হবে যে আপনার Root CA সার্টিফিকেট সমস্ত ক্লায়েন্ট মেশিনে 'Trusted Root Certification Authorities' স্টোরে স্পষ্টভাবে স্থাপন করা হয়েছে। দ্বিতীয়ত, এবং এই পদক্ষেপটি অনেকেই মিস করেন, আপনাকে GPO-তে আপনার Wireless Network (IEEE 802.11) Policies আপডেট করতে হবে। ওয়্যারলেস প্রোফাইলের PEAP বা EAP-TLS প্রপার্টিজে আপনাকে অবশ্যই ট্রাস্টেড রুট CA স্পষ্টভাবে নির্বাচন করতে হবে। যদি সেই বক্সটি আনটিক করা থাকে, তাহলে Windows 11 সংযোগটি প্রত্যাখ্যান করবে। একটি বড় ভুল আমরা দেখতে পাই তা হলো IT টিমগুলি সার্ভার সার্টিফিকেট প্রামাণীকরণ সম্পূর্ণ নিষ্ক্রিয় করে সমস্যাটি এড়ানোর চেষ্টা করে। এটি করবেন না। সার্টিফিকেট প্রামাণীকরণ নিষ্ক্রিয় করা আপনার নেটওয়ার্ককে Evil Twin অ্যাটাক এবং শংসাপত্র চুরির জন্য উন্মুক্ত করে দেয়। এটি PCI-DSS এবং GDPR সম্মতির প্রয়োজনীয়তা লঙ্ঘন করে। সর্বদা ট্রাস্ট চেইন ঠিক করুন; এটি কখনই বাইপাস করবেন না। একটি দীর্ঘমেয়াদী সমাধানের জন্য, বিশেষ করে আপনি যদি [Retail](/industries/retail) বা [Hospitality](/industries/hospitality)-এর মতো একটি বড় আকারের ডেপ্লয়মেন্ট পরিচালনা করেন, তবে পাসওয়ার্ড-ভিত্তিক PEAP থেকে সম্পূর্ণ সরে যাওয়ার কথা বিবেচনা করুন। মেশিন এবং ইউজার সার্টিফিকেটসহ EAP-TLS-এ স্থানান্তরিত হওয়া এই OS-স্তরের ক্রেডেনশিয়াল পরিবর্তনের বিরুদ্ধে অনেক বেশি শক্তিশালী। আমাদের [Implementing WPA3-Enterprise for Enhanced Wireless Security](/guides/implementing-wpa3-enterprise-for-enhanced-wireless-security) গাইডে আপনি এই বিষয়ে আরও বিস্তারিত পড়তে পারেন। [Rapid-Fire Q&A] নেটওয়ার্ক আর্কিটেক্টদের কাছ থেকে আমরা প্রায়ই যে দ্রুত প্রশ্নগুলো পাই, চলুন সেগুলোর একটি সংক্ষিপ্ত আলোচনা করা যাক। প্রশ্ন ১: "আমরা আমাদের RADIUS সার্ভারের জন্য একটি পাবলিক CA ব্যবহার করি। আমাদের কি এখনও এটি GPO-এর মাধ্যমে পুশ করতে হবে?" উত্তর: হ্যাঁ। CA-টি ডিফল্টভাবে Windows ট্রাস্টেড রুট স্টোরে থাকলেও, নেটওয়ার্ক অথেন্টিকেশনের জন্য সেই নির্দিষ্ট CA-কে বিশ্বাস করার জন্য নির্দিষ্ট ওয়্যারলেস প্রোফাইলটি কনফিগার করতে হবে। প্রশ্ন ২: "আমরা কি এটি বাইপাস করার জন্য Purple-এর প্ল্যাটফর্ম ব্যবহার করতে পারি?" উত্তর: Purple মূলত [Guest WiFi](/guest-wifi) এবং Captive Portal-এর মাধ্যমে অনবোর্ডিং-এ পারদর্শী। 802.1X ব্যবহার করে আপনার অভ্যন্তরীণ কর্পোরেট SSID-এর জন্য, আপনাকে এন্ডপয়েন্টে অন্তর্নিহিত সার্টিফিকেট ট্রাস্টের সমাধান করতে হবে। তবে, BYOD বা ঠিকাদারদের অ্যাক্সেসের জন্য, OpenRoaming সহ একটি Purple Captive Portal-এর মাধ্যমে তাদের রাউট করা লোকাল সার্টিফিকেট পরিচালনার একটি অত্যন্ত কার্যকর বিকল্প হতে পারে। [Summary & Next Steps] সংক্ষেপে: সার্টিফিকেট ট্রাস্ট মাইগ্রেশন ব্যর্থতা এবং Credential Guard প্রয়োগের কারণে Windows 11 আপগ্রেডগুলো 802.1X-কে বাধাগ্রস্ত করছে। আপনার অ্যাকশন প্ল্যান: Event Viewer-এ WLAN-AutoConfig লগগুলোতে Error 11 বা 15 পরীক্ষা করুন। আপনার RADIUS সার্ভারের Root CA-কে স্পষ্টভাবে বিশ্বাস করতে আপনার ওয়্যারলেস GPO-গুলো আপডেট করুন। এবং স্থায়ী স্থিতিশীলতার জন্য EAP-TLS-এ স্থানান্তরের পরিকল্পনা করুন। এই টেকনিক্যাল ব্রিফিংয়ে যোগ দেওয়ার জন্য ধন্যবাদ। এন্টারপ্রাইজ নেটওয়ার্কিং সম্পর্কে আরও গভীর আলোচনার জন্য, Purple.ai-তে আমাদের রিসোর্সগুলো দেখুন।

আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →

Interactive Diagnostic Tool

Windows 11 802.1X & network authentication troubleshooter

Select your Windows 11 build, authentication protocol, deployment mechanism, and error symptom below to generate an immediate CLI repair sequence and Intune/GPO remediation steps.

Wired AutoConfig Service Authentication Loop (EAPOL Timeout)

High Impact

Root Cause Diagnosis: The 802.1X Wired AutoConfig service (dot3svc) did not initiate EAPOL Handshake after NIC driver initialisation, or 802.1X authentication mode is disabled on the Ethernet adapter.

Elevated CLI Remediation Sequence
netsh lan set autoconfig enabled=yes interface="Ethernet"
netsh lan reconnect interface="Ethernet"
Step-by-Step Resolution Workflow (INTUNE)
  1. Verify that Wired AutoConfig service (dot3svc) Startup Type is set to Automatic in services.msc.
  2. Execute netsh lan set autoconfig enabled=yes interface="Ethernet" from an elevated Command Prompt.
  3. Check switch port configuration to ensure 802.1X re-authentication timer is not expiring before client response.
  4. Re-enable 802.1X authentication in Ethernet Adapter Properties > Authentication tab.
Event Viewer Verification Path: Microsoft-Windows-Wired-AutoConfig/Operational -> Event ID 12014 (EAPOL Start Sent)

Need automated Cloud RADIUS & 802.1X certificate management?

Purple Cloud RADIUS eliminates Windows 11 upgrade authentication failures by providing automated Passpoint certificate provisioning, zero-touch Intune payload integration, and centralised IEEE 802.1X policy management for enterprise network environments.

Request 802.1X & enterprise WiFi audit

Useful? Link to this tool

দ্রুত উত্তর: একটি আপগ্রেডের পরে অধিকাংশ Windows 11 802.1X ব্যর্থতা চারটি কারণের একটি থেকে আসে - RADIUS সার্ভার সার্টিফিকেট আর যাচাই করে না (Event ID 12013), Credential Guard যা PEAP-MSCHAPv2 সিঙ্গেল সাইন-অন ব্লক করে, EAP-TLS-এর জন্য একটি অনুপস্থিত বা মেয়াদউত্তীর্ণ ক্লায়েন্ট সার্টিফিকেট, অথবা ইথারনেটে Wired AutoConfig সার্ভিস (dot3svc) চালু না থাকা। প্রথমে WLAN-AutoConfig বা Wired-AutoConfig অপারেশনাল লগ পড়ুন, নিচের সারণীতে Event ID মেলান, তারপর ল্যাপটপ বাই ল্যাপটপ না করে Group Policy বা Intune-এর মাধ্যমে কেন্দ্রীয়ভাবে প্রোফাইল ঠিক করুন।

এন্টারপ্রাইজ এনভায়রনমেন্ট জুড়ে 802.1X নেটওয়ার্ক অথেন্টিকেশন ডেপ্লয় এবং রক্ষণাবেক্ষণ করার জন্য ক্লায়েন্ট অপারেটিং সিস্টেম, অ্যাক্সেস পয়েন্ট, সুইচ অবকাঠামো এবং RADIUS অথেন্টিকেশন সার্ভারের মধ্যে নিরবচ্ছিন্ন ইন্টারঅপারেবিলিটি প্রয়োজন। Windows 11-এর ফিচার আপডেটের পর, এন্টারপ্রাইজ IT বিভাগগুলি প্রায়শই তারহীন WiFi এবং তারযুক্ত ইথারনেট উভয় নেটওয়ার্ক জুড়ে অথেন্টিকেশন ব্যর্থতার হঠাৎ বৃদ্ধি অনুভব করে।

এই প্রযুক্তিগত নির্দেশিকাটি মূল কারণগুলি সনাক্ত করতে, RADIUS ট্রাস্টের সমস্যা সমাধান করতে, Credential Guard দ্বন্দ্ব নিরসন করতে এবং পরিচালিত Windows 11 এন্ডপয়েন্টগুলির জন্য নির্ভরযোগ্য 802.1X নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল প্রতিষ্ঠা করতে একটি ধাপে ধাপে ডায়াগনস্টিক ফ্রেমওয়ার্ক প্রদান করে।

Windows 11 802.1X আর্কিটেকচারাল পরিবর্তনগুলি বোঝা

Windows 11 উন্নত সুরক্ষা নিয়ন্ত্রণগুলি পরিচয় করিয়ে দেয় যা অপারেটিং সিস্টেম কীভাবে এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল (EAP) নেগোসিয়েশন, সার্টিফিকেট ভ্যালিডেশন এবং ক্রিডেনশিয়াল ক্যাশিং পরিচালনা করে তা পরিবর্তন করে। যদিও এই সিকিউরিটি হার্ডেনিংগুলি কর্পোরেট ডিভাইসগুলিকে পরিচয় চুরি থেকে রক্ষা করে, তবে এগুলি বিদ্যমান Group Policy Objects (GPO) এবং Mobile Device Management (MDM) পেলোডে সুপ্ত কনফিগারেশনের দুর্বলতা প্রকাশ করে।

Windows 11 OS Build সিকিউরিটি ফিচার / পরিবর্তন 802.1X অথেন্টিকেশনে প্রভাব প্রয়োজনীয় প্রতিকার
Windows 11 22H2 ডিফল্টরূপে Credential Guard সক্ষম NTLMv2 হ্যাশ পৃথক করে, যা লেগ্যাসি PEAP-MSCHAPv2 SSO অথেন্টিকেশন ভেঙে দেয়। EAP-TLS সার্টিফিকেটে স্থানান্তরিত হন বা স্পষ্ট ক্রিডেনশিয়াল প্রম্পটিং কনফিগার করুন।
Windows 11 23H2 WPA3-Enterprise 192-বিট মোড প্রয়োগ উচ্চ-সুরক্ষা তারহীন প্রোফাইলের জন্য Suite B ক্রিপ্টোগ্রাফি সম্মতি আবশ্যক করে। নিশ্চিত করুন যে RADIUS সার্ভার সার্টিফিকেট SHA-384 এবং RSA 3072+ বা ECDSA P-384 ব্যবহার করে।
Windows 11 24H2 কঠোর RADIUS সার্টিফিকেট ভ্যালিডেশন ট্রাস্টেড স্টোরে Root CA অনুপস্থিত থাকলে বা SAN মিলতে ব্যর্থ হলে সংযোগ প্রত্যাখ্যান করে। ক্লায়েন্ট ট্রাস্ট স্টোরে Root CA ডেপ্লয় করুন এবং তারহীন প্রোফাইল সার্ভার নামের তালিকা আপডেট করুন।
All Builds ডিফল্টরূপে Wired AutoConfig নিষ্ক্রিয় ইথারনেট সুইচ পোর্টগুলি 802.1X হ্যান্ডশেকে ব্যর্থ হয়; এন্ডপয়েন্টগুলিতে APIPA ঠিকানা বরাদ্দ করা হয়। GPO বা PowerShell স্ক্রিপ্টের মাধ্যমে dot3svc স্টার্টআপ টাইপ Automatic-এ সক্ষম করুন।

Windows 11 802.1X অথেন্টিকেশন ব্যর্থতার প্রাথমিক কারণসমূহ

যখন একটি Windows 11 ডিভাইস একটি 802.1X এন্টারপ্রাইজ নেটওয়ার্কে অথেন্টিকেট করতে ব্যর্থ হয়, তখন সমস্যাটি সাধারণত চারটি প্রাথমিক ব্যর্থতা ভেক্টরের একটি থেকে উদ্ভূত হয়:

1. RADIUS সার্ভার সার্টিফিকেট ভ্যালিডেশন ব্যর্থতা

802.1X EAP-TLS বা PEAP হ্যান্ডশেকের সময়, ক্লায়েন্টের কাছে তার পরিচয় প্রমাণ করতে RADIUS সার্ভার তার X.509 ডিজিটাল সার্টিফিকেট প্রদর্শন করে। এগিয়ে যাওয়ার আগে Windows 11 তিনটি মানদণ্ড যাচাই করে:

  • Trust chain: ইস্যুকারী Root CA সার্টিফিকেটটি এন্ডপয়েন্টের Local Computer Trusted Root Certification Authorities স্টোরে উপস্থিত থাকতে হবে।
  • Subject Alternative Name (SAN): RADIUS সার্ভারের হোস্টনেম বা FQDN অবশ্যই ক্লায়েন্টের 802.1X প্রোফাইল XML কনফিগারেশনে নির্দিষ্ট করা সার্ভারের নামের সাথে মিলতে হবে।
  • Expiration and revocation: সার্টিফিকেটটির মেয়াদ থাকা আবশ্যক এবং এটি অবশ্যই Certificate Revocation List (CRL) বা OCSP যাচাইয়ে উত্তীর্ণ হতে হবে।

যেকোনো একটি মানদণ্ড ব্যর্থ হলে, অনাকাঙ্ক্ষিত অ্যাক্সেস পয়েন্টের সাথে সংযোগ প্রতিরোধ করতে Windows 11 অবিলম্বে EAP সেশনটি শেষ করে দেয়।

2. PEAP-MSCHAPv2 এর সাথে Credential Guard এর দ্বন্দ্ব

মেমোরিতে সংরক্ষিত সিক্রেটগুলোকে আলাদা রাখতে Credential Guard মূলত Virtualization-Based Security (VBS) ব্যবহার করে। লেগ্যাসি 802.1X সেটআপগুলো, যা PEAP-MSCHAPv2 এর ওপর নির্ভর করে, Active Directory এর বিপরীতে স্বয়ংক্রিয়ভাবে অথেন্টিকেট করার জন্য ইউজার লগঅন হ্যাশগুলো সংগ্রহ করার চেষ্টা করে। Credential Guard মেমোরির এই অ্যাক্সেস ব্লক করে দেয়, যার ফলে বারবার ক্রেডেনশিয়াল প্রম্পট লুপ তৈরি হয় অথবা সরাসরি RADIUS প্রত্যাখ্যান ঘটে।

3. অনুপস্থিত বা মেয়াদোত্তীর্ণ ক্লায়েন্ট সার্টিফিকেট (EAP-TLS)

EAP-TLS ব্যবহারকারী জিরো ট্রাস্ট পরিবেশে, প্রতিটি ডিভাইস বা ব্যবহারকারী একটি অভ্যন্তরীণ Certificate Authority (যেমন Microsoft ADCS) দ্বারা ইস্যু করা আলাদা সার্টিফিকেট প্রদর্শন করে। Intune SCEP বা PKCS সার্টিফিকেট প্রোফাইল সিঙ্ক করতে ব্যর্থ হলে, ক্লায়েন্ট সার্টিফিকেটের মেয়াদ শেষ হয়ে গেলে, অথবা Private Key Extended Key Usage (EKU) অ্যাট্রিবিউটে Client Authentication (1.3.6.1.5.5.7.3.2) অনুপস্থিত থাকলে সংযোগের ব্যর্থতা ঘটে।

4. Wired AutoConfig (dot3svc) সার্ভিস স্টেট

ওয়্যার্ড ইথারনেট 802.1X পরিবেশের জন্য, Windows 11 ডেক্সটপ ইনস্টলেশনগুলো স্বতঃস্ফূর্তভাবে dot3svc সার্ভিস চালু করে না। এর ফলে, নেটওয়ার্ক ইন্টারফেস কার্ড (NIC) গুলো ম্যানেজড সুইচ পোর্ট দ্বারা প্রেরিত EAPOL Start ফ্রেমগুলোতে সাড়া দেয় না, যা ডিভাইসটিকে নেটওয়ার্ক অ্যাক্সেস ছাড়া আটকে রাখে অথবা একটি APIPA IP ঠিকানা (169.254.x.x) অ্যাসাইন করে।

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।

IT অ্যাডমিনিস্ট্রেটরদের জন্য ধাপে ধাপে ডায়াগনস্টিক ওয়ার্কফ্লো

ম্যানেজড এন্ডপয়েন্টগুলোতে অথেন্টিকেশন ব্যর্থতার নিয়মমাফিক সমস্যা সমাধানের জন্য, এই ডায়াগনস্টিক ধাপগুলো অনুসরণ করুন:

ধাপ 1: Windows Event Viewer লগ বিশ্লেষণ করা

Windows সমস্ত 802.1X নেটওয়ার্ক ইভেন্ট নির্দিষ্ট Event Viewer অপারেশনাল লগের অধীনে লগ করে:

  • ওয়্যারলেস 802.1X: Applications and Services Logs > Microsoft > Windows > WLAN-AutoConfig > Operational এ যান
  • ওয়্যার্ড 802.1X: Applications and Services Logs > Microsoft > Windows > Wired-AutoConfig > Operational এ যান
Event ID Log Source Error Description Root Cause & Remediation
12014 WLAN / Wired-AutoConfig EAPOL টাইমআউটের কারণে 802.1X অথেন্টিকেশন ব্যর্থ হয়েছে ক্লায়েন্ট RADIUS সার্ভার থেকে কোনো সাড়া পায়নি। সুইচ RADIUS সিক্রেট এবং IP রিচেবিলিটি পরীক্ষা করুন।
12013 WLAN / Wired-AutoConfig সার্ভার সার্টিফিকেট ভ্যালিডেশন ব্যর্থ হয়েছে 802.1X প্রোফাইলে ট্রাস্টেড স্টোর থেকে Root CA নিখোঁজ বা সার্ভার SAN এর অমিল। Root CA ইমপোর্ট করুন।
5632 WLAN / Wired-AutoConfig স্পষ্ট 802.1X অথেনটিকেশন প্রত্যাখ্যান RADIUS সার্ভার ক্রেডেনশিয়াল বা ক্লায়েন্ট সার্টিফিকেট প্রত্যাখ্যান করেছে। প্রত্যাখ্যানের কোডগুলির জন্য NPS/ISE অডিট লগ পরীক্ষা করুন।
10001 WLAN / Wired-AutoConfig প্রোফাইল তৈরি বা আপডেট লগ করা হয়েছে স্থানীয় Windows নেটওয়ার্ক রেজিস্ট্রি-তে প্রোফাইল সফলভাবে আপডেট বা ইমপোর্ট করা হয়েছে।

ফেজ 2: netsh কমান্ড-লাইন ডায়াগনস্টিকস চালান

সক্রিয় নেটওয়ার্ক স্ট্যাটাস পরিদর্শন করতে এবং কনফিগারেশন প্রোফাইল এক্সপোর্ট করতে আক্রান্ত এ্যান্ডপয়েন্টে একটি এলিভেটেড Command Prompt বা PowerShell সেশন খুলুন:

# Check active wireless interface state and signal quality
netsh wlan show interfaces

# List all installed wireless 802.1X profiles
netsh wlan show profiles

# Export a wireless profile to XML for inspection
netsh wlan export profile name="Corporate-WiFi" folder="C:\temp" key=clear

# Inspect active wired Ethernet 802.1X status
netsh lan show state

# Verify local Root CA certificate store installation
certutil -store Root "Your-Internal-Root-CA"

ফেজ 3: অনুরোধটি RADIUS সার্ভারে পৌঁছেছে কিনা তা পরীক্ষা করুন

Windows লগ কেবল আপনাকে বলে যে ক্লায়েন্ট কী দেখেছে। কোনো প্রোফাইল পরিবর্তন করার আগে, কোন দিকটি ব্যর্থ হয়েছে তা নিশ্চিত করুন:

  • RADIUS লগে কোনো অনুরোধই নেই: ডিভাইসটি সার্ভার পর্যন্ত পৌঁছাতেই পারেনি। অ্যাক্সেস পয়েন্ট বা সুইচ RADIUS কনফিগারেশন, শেয়ার্ড সিক্রেট এবং IP রিচেবিলিটি পরীক্ষা করুন এবং ক্লায়েন্টে dot3svc বা WLAN AutoConfig চলছে কিনা নিশ্চিত করুন।
  • Access-Reject লগ করা হয়েছে: সার্ভার অনুরোধটি পেয়েছে এবং এটি প্রত্যাখ্যান করেছে। Microsoft NPS-এ, Event ID 6273-এর জন্য সিকিউরিটি লগ ফিল্টার করুন এবং কারণের কোডটি পড়ুন।
  • Access-Accept লগ করা হয়েছে কিন্তু ডিভাইসে এখনও কোনো নেটওয়ার্ক নেই: অথেনটিকেশন কাজ করেছে। এর বদলে VLAN অ্যাসাইনমেন্ট, DHCP স্কোপ এবং সুইচ পোর্ট কনফিগারেশন দেখুন।
NPS কারণ কোড অর্থ সাধারণ Windows 11 এর কারণ
16 ইউজার ক্রেডেনশিয়ালের অমিলের কারণে অথেনটিকেশন ব্যর্থ হয়েছে Credential Guard PEAP-MSCHAPv2 সেভ করা ক্রেডেনশিয়াল ব্লক করছে, অথবা মেয়াদোত্তীর্ণ পাসওয়ার্ড
22 EAP টাইপটি সার্ভার দ্বারা প্রসেস করা যায়নি ক্লায়েন্ট প্রোফাইল EAP-TLS-এ সেট করা আছে যখন নেটওয়ার্ক পলিসি কেবল PEAP সমর্থন করে, অথবা এর বিপরীত
48 সংযোগের অনুরোধটি কোনো নেটওয়ার্ক পলিসির সাথে মেলেনি পলিসি যেখানে একটি ইউজার গ্রুপ প্রত্যাশা করে সেখানে মেশিন অথেনটিকেশন পাঠানো হয়েছে, অথবা এর বিপরীত
265 সার্টিফিকেট চেইনটি এমন একটি অথরিটি দ্বারা ইস্যু করা হয়েছে যা ট্রাস্টেড নয় RADIUS সার্ভার ট্রাস্ট করে না এমন একটি CA দ্বারা ক্লায়েন্ট সার্টিফিকেট ইস্যু করা হয়েছে

আপগ্রেডের পর অদৃশ্য হয়ে যাওয়া একটি ওয়্যার্ড 802.1X প্রোফাইল রিস্টোর করুন

ফিচার আপডেটের পর যদি Authentication ট্যাবটি খালি থাকে, তবে একটি সঠিকভাবে কাজ করা ডিভাইস থেকে প্রোফাইলটি পুনরায় ইমপোর্ট করুন:

# On a working device: export the wired profile
netsh lan export profile folder="C:\temp" interface="Ethernet"

# On the affected device: make sure Wired AutoConfig is running
Set-Service -Name dot3svc -StartupType Automatic
Start-Service dot3svc

# Import the exported profile
netsh lan add profile filename="C:\temp\Ethernet.xml" interface="Ethernet"

এটি একটি ল্যাপটপকে সচল করে। এটি যাতে আবার না ঘটে তা রোধ করতে, নিচে বর্ণিত গ্রুপ পলিসি বা Intune-এর মাধ্যমে একই প্রোফাইল পুশ করুন, যাতে প্রতিটি আপগ্রেড এটি পুনরায় প্রয়োগ করে।

প্রতিকার কৌশল: GPO এবং Microsoft Intune

ব্যর্থতার কারণ চিহ্নিত হয়ে গেলে, সমস্ত Windows 11 ডিভাইসে এন্ডপয়েন্ট কনফিগারেশন মানক করতে এন্টারপ্রাইজ-ওয়াইড পলিসি আপডেট ডিপ্লয় করুন।

Active Directory Group Policy (GPO) প্রতিকার

ডোমেন-যুক্ত এন্ডপয়েন্টগুলির জন্য, কেন্দ্রীয় Wireless এবং Wired Network Policies কনফিগার করুন:

  1. Group Policy Management Console (gpmc.msc) খুলুন এবং আপনার বেসলাইন এন্ডপয়েন্ট পলিসি সম্পাদনা করুন।
  2. Computer Configuration > Policies > Windows Settings > Security Settings > System Services-এ যান। Wired AutoConfig সনাক্ত করুন, Startup Mode-কে Automatic-এ সেট করুন এবং সার্ভিসটি চালু করুন।
  3. Public Key Policies > Trusted Root Certification Authorities-এ যান। আপনার RADIUS সার্ভারের জন্য ইস্যু করা Root CA সার্টিফিকেট ইমপোর্ট করুন।
  4. Wireless Network (IEEE 802.11) Policies-এ যান, আপনার এন্টারপ্রাইজ প্রোফাইল খুলুন, Security ট্যাবটি নির্বাচন করুন এবং Authentication-কে Microsoft: Smart Card or other certificate (EAP-TLS-এর জন্য) অথবা PEAP-এ সেট করুন।
  5. Properties-এ ক্লিক করুন এবং Connect to these servers ফিল্ডে আপনার RADIUS সার্ভার FQDN নির্দিষ্ট করার সাথে সাথে Trusted Root Certification Authorities তালিকায় আপনার Root CA স্পষ্টভবে চেক করুন।

Microsoft Intune MDM প্রোফাইল ডিপ্লয়মেন্ট

Intune-এ ক্লাউড-ম্যানেজড বা হাইব্রিড এন্ডপয়েন্টগুলির জন্য:

  1. আপনার এন্টারপ্রাইজ Root CA সার্টিফিকেট পেলোড সমন্বিত একটি Trusted Certificate profile তৈরি করুন এবং এটি All Devices-এ অ্যাসাইন করুন।
  2. EAP-TLS-এর জন্য ডিভাইস বা ব্যবহারকারীদের অনন্য ক্লায়েন্ট সার্টিফিকেট ইস্যু করতে একটি সেকেন্ডারি PKCS or SCEP Certificate profile তৈরি করুন।
  3. Trusted Certificate এবং SCEP/PKCS প্রোফাইল উভয়কেই রেফারেন্স করে EAP টাইপ হিসেবে EAP-TLS নির্দিষ্ট করে একটি WiFi Configuration profile তৈরি করুন।
  4. নিশ্চিত করুন যে পলিসি মূল্যায়নের ক্রমটি WiFi প্রোফাইল প্রয়োগের আগে Trusted Certificate পেলোড ইনস্টল করার অনুমতি দেয়।

দীর্ঘমেয়াদী নিরাপত্তা আর্কিটেকচার: EAP-TLS এবং Passpoint-এ মাইগ্রেশন

যদিও PEAP-MSCHAPv2 প্যাচ করা যেতে পারে, পাসওয়ার্ড-ভিত্তিক 802.1X প্রোটোকলগুলি সহজাতভাবেই ক্রিডেনশিয়াল হার্ভেস্টিং, অফলাইন ডিকশনারি অ্যাটাক এবং রোগ AP ইমপার্সোনেশনের ক্ষেত্রে ঝুঁকিপূর্ণ থাকে। NIST এবং Wi-Fi Alliance-এর শিল্প নিরাপত্তা গাইডলাইনগুলি এন্টারপ্রাইজ নেটওয়ার্কগুলিকে EAP-TLS certificate authentication বা Passpoint (Hotspot 2.0)-এ মাইগ্রেট করার নির্দেশ দেয়।

আমাদের বিস্তারিত Enterprise WiFi Security Guide-এ অ্যান্ড-টু-অ্যান্ড সিকিউরিটি আর্কিটেকচার বাস্তবায়ন সম্পর্কে আরও জানুন। বিস্তারিত প্রোটোকল তুলনার জন্য, EAP Methods Compared (PEAP, EAP-TLS, EAP-TTLS, and EAP-FAST)-এ আমাদের বিশ্লেষণ দেখুন অথবা আমাদের Deploying WiFi Certificates via Microsoft Intune গাইডে স্বয়ংক্রিয় সার্টিফিকেট পুশিং অনুসন্ধান করুন।

স্বয়ংক্রিয় ক্লাউড RADIUS ব্যবস্থাপনার সাথে সার্টিফিকেট-ভিত্তিক 802.1X যুক্ত করে, এন্টারপ্রাইজ IT টিমগুলো পাসওয়ার্ড প্রম্পট দূর করে, Windows 11 এন্ডপয়েন্ট অনবোর্ডিং সহজ করে এবং সমস্ত কর্পোরেট সুবিধা জুড়ে জিরো-ট্রাস্ট নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল অর্জন করে।

কখন Windows 11 802.1X কে RADIUS-as-a-Service-এ নিয়ে যাবেন

এই গাইডের বেশিরভাগ ব্যর্থতার কারণ এমন ইনফ্রাস্ট্রাকচার যা Windows-এর সাথে ম্যানুয়ালি বজায় রাখতে হয়: একটি NPS বা FreeRADIUS সার্ভার সার্টিফিকেট যা মেয়ারাদোত্তীর্ণ হয়ে যায়, একটি রুট CA যা নতুন বিল্ড থেকে অনুপস্থিত, বা একটি PEAP-MSCHAPv2 পলিসি যা Credential Guard আর সাপোর্ট করে না। অথেন্টিকেশনকে ক্লাউডে নিয়ে গেলে সেই তালিকা থেকে সার্ভার বাদ পড়ে।

Purple RADIUS-as-a-Service EAP-TLS, PEAP, EAP-TTLS বা EAP-FAST দিয়ে Windows 11 ডিভাইসগুলোকে অথেন্টিকেট করে, আপনার আইডেন্টিটি প্রোভাইডারের বিরুদ্ধে প্রতিটি রিকোয়েস্ট চেক করে এবং আপনার ইতিপূর্বে চালিত অ্যাক্সেস পয়েন্টগুলোতে সঠিক VLAN অ্যাসাইন করে - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks এবং Fortinet। এটি Microsoft NPS, FreeRADIUS এবং Cisco ISE কে প্রতিস্থাপন করে এবং মাল্টি-রিজিয়ন রান করে, তাই কোনো ফিচার আপডেটের পর প্যাচ করার মতো কোনো সার্ভার থাকে না।

আপনার ডিরেক্টরির সাথে মেলে এমন সেটআপ বেছে নিন:

  • RADIUS with Microsoft Intune - একটি পলিসি সেটে SCEP বা PKCS সার্টিফিকেট এবং WiFi প্রোফাইল ডেলিভার করুন।
  • RADIUS with Microsoft Entra ID - কোনো ডোমেন কন্ট্রোলার ছাড়াই ক্লাউড-অনলি ডিভাইসের জন্য সার্টিফিকেট-ভিত্তিক 802.1X।
  • RADIUS with Okta বা Google Workspace - অ-Microsoft ডিরেক্টরিগুলোর জন্য একই মডেল।

প্রথমে অপশনগুলো তুলনা করছেন? আমাদের cloud RADIUS providers comparison এবং EAP-TLS vs PEAP দেখুন।

প্রতিটি Windows আপডেটের পর কি একই 802.1X সমস্যা সমাধান করছেন? একটি ডেমো বুক করুন এবং আমরা আপনার বিদ্যমান অ্যাক্সেস পয়েন্টগুলো ব্যবহার করে, ক্লাউড RADIUS-এ আপনার Windows 11 ফ্লিটকে সার্টিফিকেট-ভিত্তিক WiFi-এ স্থানান্তরের প্রক্রিয়াটি বিশদভাবে দেখাব।

মূল সংজ্ঞাসমূহ

802.1X

পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের (PNAC) জন্য একটি IEEE স্ট্যান্ডার্ড যা 802.11 এন্টারপ্রাইজ WiFi এবং 802.3 ইথারনেট নেটওয়ার্কগুলির জন্য প্রমাণীকৃত অ্যাক্সেস প্রদান করে।

সুইচ পোর্ট বা ওয়্যারলেস অ্যাক্সেস পয়েন্টগুলি নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে এন্ডপয়েন্টগুলিকে একটি RADIUS সার্ভারের বিরুদ্ধে প্রমাণীকরণ করতে বাধ্য করার মাধ্যমে এন্টারপ্রাইজ নেটওয়ার্ক সিকিউরিটির ভিত্তি তৈরি করে।

Credential Guard

Windows 11-এর একটি ভার্চুয়ালাইজেশন-ভিত্তিক নিরাপত্তা বৈশিষ্ট্য যা গোপনীয় তথ্যগুলিকে আলাদা করে রাখে যাতে শুধুমাত্র প্রিভিলেজড সিস্টেম সফটওয়্যার সেগুলি অ্যাক্সেস করতে পারে।

মেমরি থেকে MSCHAPv2 পাসওয়ার্ড হ্যাশ নিষ্কাশন প্রতিরোধ করে, যা এন্টারপ্রাইজ নেটওয়ার্ক জুড়ে লেগ্যাসি PEAP-MSCHAPv2 প্রমানীকরণ সেটআপগুলিকে অকার্যকর করে দেয়।

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security। একটি 802.1X প্রমানীকরণ পদ্ধতি যা ক্লায়েন্ট এবং সার্ভার যাচাইকরণের জন্য পারস্পরিক X.509 ডিজিটাল সার্টিফিকেট ব্যবহার করে।

এন্টারপ্রাইজ WiFi নিরাপত্তার জন্য প্রস্তাবিত প্রমানীকরণ প্রোটোকল কারণ এটি পাসওয়ার্ডের প্রয়োজনীয়তা দূর করে এবং মেশিন-ইন-দ্য-মিডল আক্রমণ প্রতিরোধ করে।

PEAP-MSCHAPv2

Protected Extensible Authentication Protocol with Microsoft Challenge Handshake Authentication Protocol version 2।

একটি লেগ্যাসি পাসওয়ার্ড-ভিত্তিক 802.1X প্রোটোকল যা সার্ভার যাচাইকরণ ভুলভাবে কনফিগার করা হলে ক্রেডেনশিয়াল হারভেস্টিং এবং সার্টিফিকেট স্পুফিংয়ের কাছে সংবেদনশীল।

WLAN AutoConfig (wlansvc)

অন্তর্নির্মিত Windows পরিষেবা যা ওয়্যারলেস নেটওয়ার্ক অ্যাডাপ্টার গণনা করে, উপলব্ধ WiFi নেটওয়ার্কগুলি আবিষ্কার করে এবং 802.1X প্রমানীকরণ প্রোফাইল পরিচালনা করে।

ওয়্যারলেস 802.1X সংযোগ ব্যর্থ হলে Microsoft-Windows-WLAN-AutoConfig/Operational-এর অধীনে Event Viewer-এ বিস্তারিত ডায়াগনস্টিক ইভেন্ট লগ করে।

Wired AutoConfig (dot3svc)

ওয়্যার্ড সুইচ পোর্টে IEEE 802.3 ইথারনেট 802.1X প্রমানীকরণের জন্য দায়ী Windows পরিষেবা।

Windows ডেস্কটপ সংস্করণে ডিফল্টরূপে নিষ্ক্রিয় থাকে; ওয়্যার্ড 802.1X এনভায়রনমেন্টের জন্য GPO বা PowerShell-এর মাধ্যমে চালু করতে হবে এবং Automatic-এ সেট করতে হবে।

সমাধানকৃত উদাহরণসমূহ

দৃশ্যপট ১: Windows 11 24H2-এ একটি এন্টারপ্রাইজ আপগ্রেডের পর, ৩৫০টি কর্পোরেট ল্যাপটপ WPA3-Enterprise WiFi নেটওয়ার্কে সংযোগ করতে ব্যর্থ হচ্ছে। Event Viewer-এ Event ID 12013 দেখাচ্ছে এবং টেক্সটে বলা হচ্ছে সার্ভার সার্টিফিকেট ভ্যালিডেশন ব্যর্থ হয়েছে। RADIUS সার্ভারটি একটি কমার্শিয়াল TLS সার্টিফিকেট ব্যবহার করে। নেটওয়ার্ক টিমের কীভাবে এই প্রমাণীকরণ ব্যর্থতা সমাধান করা উচিত?

Windows 11 24H2 এর কঠোর ভ্যালিডেশন এনফোর্সমেন্টের কারণে তৈরি রুট সার্টিফিকেট ট্রাস্ট চেইন অমিল নেটওয়ার্ক ইঞ্জিনিয়ারিং টিমকে অবশ্যই সমাধান করতে হবে।

  1. একটি প্রভাবিত এন্ডপয়েন্টে লোকাল কম্পিউটার সার্টিফিকেট ম্যানেজার (certlm.msc) খুলুন এবং RADIUS সার্ভারের ইস্যুকারী Intermediate এবং Root CA সার্টিফিকেট ইনস্টল করা আছে কিনা তা যাচাই করতে Trusted Root Certification Authorities পরীক্ষা করুন।
  2. অনুপস্থিত থাকলে, Certificate Authority থেকে Root CA এবং Intermediate CA পাবলিক সার্টিফিকেট (.cer) এক্সপোর্ট করুন।
  3. Active Directory Group Policy-তে, Computer Configuration > Policies > Windows Settings > Security Settings > Public Key Policies-এ যান এবং Trusted Root Certification Authorities-এ Root CA ইমপোর্ট করুন।
  4. Microsoft Intune-এ, সমস্ত কর্পোরেট ডিভাইস গ্রুপে Root CA পেলোড ধারণকারী একটি Trusted Certificate profile ডিপ্লয় করুন।
  5. Validate server certificate ফিল্ডে RADIUS সার্ভারের Fully Qualified Domain Name (FQDN) স্পষ্ট করে তালিকাভুক্ত করতে এন্টারপ্রাইজ WiFi 802.1X প্রোফাইল XML কনফিগারেশন আপডেট করুন।
পরীক্ষকের মন্তব্য: Windows 11 24H2 কঠোরভাবে সার্ভার সার্টিফিকেট ভ্যালিডেশন এনফোর্স করে। যদি এন্ডপয়েন্টের লোকাল ট্রাস্টেড স্টোরে রুট সার্টিফিকেট না থাকে বা 802.1X প্রোফাইলে সার্ভারের নাম RADIUS সার্টিফিকেটের SAN-এর সাথে না মেলে, তবে Windows ক্রেডেনশিয়াল পাঠানোর আগেই EAP হ্যান্ডশেক বাতিল করে দেয়। GPO বা Microsoft Intune-এর মাধ্যমে Root CA ডিপ্লয় করলে সিকিউরিটি চেক নিষ্ক্রিয় না করেই ট্রাস্ট পুনর্প্রতিষ্ঠিত হয়।

দৃশ্যপট ২: একটি ফিন্যান্সিয়াল সার্ভিস ফার্ম কর্পোরেট ল্যাপটপ WiFi অ্যাক্সেসের জন্য PEAP-MSCHAPv2 ব্যবহার করে। সমস্ত এন্ডপয়েন্ট জুড়ে Windows 11 Credential Guard সক্ষম করার পর, ব্যবহারকারীরা ক্রমাগত প্রম্পট ব্যর্থতা এবং Event ID 5632 RADIUS রিজেক্টের সম্মুখীন হচ্ছেন। সিকিউরিটি কমপ্লায়েন্স বজায় রেখে IT বিভাগ কীভাবে নির্ভরযোগ্য নেটওয়ার্ক প্রমাণীকরণ পুনরুদ্ধার করতে পারে?

Credential Guard একটি ভার্চুয়ালাইজড কন্টেইনারে সিঙ্গেল সাইন-অন ক্রেডেনশিয়াল আলাদা করে রাখে, যা EAP প্রমাণীকরণের জন্য পাসওয়ার্ড হ্যাশ বের করতে MSCHAPv2-কে বাধা দেয়।

  1. GPO-তে একটি ডেডিকেটেড 802.1X ব্যবহারকারী প্রোফাইল কনফিগার করে একটি তাৎক্ষণিক সমাধান বাস্তবায়ন করুন যা Windows Single Sign-On (SSO) হ্যাশ পাস-থ্রু-এর ওপর নির্ভর করার বদলে স্পষ্ট ব্যবহারকারী ক্রেডেনশিয়ালের জন্য প্রম্পট করে।
  2. একটি স্থায়ী সমাধানের জন্য, PEAP-MSCHAPv2 থেকে EAP-TLS সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ-এ মাইগ্রেশনের পরিকল্পনা করুন।
  3. সমস্ত ম্যানেজড এন্ডপয়েন্টে অনন্য X.509 ডিভাইস সার্টিফিকেট ইস্যু করতে Microsoft Intune-এর মাধ্যমে Microsoft SCEP বা PKCS সার্টিফিকেট প্রোফাইল ডিপ্লয় করুন।
  4. EAP-TLS-এর মাধ্যমে এন্ডপয়েন্ট ডিভাইস সার্টিফিকেট প্রমাণীকরণ করতে RADIUS সার্ভার (Cisco ISE, Aruba ClearPass, বা Microsoft NPS) কনফিগার করুন।
  5. সমগ্র এন্টারপ্রাইজ জুড়ে পাসওয়ার্ড এক্সপোজার ঝুঁকি দূর করতে ওয়্যারলেস কন্ট্রোলারগুলিতে PEAP-MSCHAPv2 ডিকমিশন করুন।
পরীক্ষকের মন্তব্য: Credential Guard নিষ্ক্রিয় করলে Windows 11 এন্ডপয়েন্ট সিকিউরিটি দুর্বল হয়ে যায় এবং তা CIS বেঞ্চমার্ক লঙ্ঘন করে। সঠিক আর্কিটেকচারাল পথ হলো নেটওয়ার্ককে পাসওয়ার্ড-ভিত্তিক PEAP থেকে EAP-TLS-এ আপগ্রেড করা। সার্টিফিকেটগুলি Credential Guard-এর সীমাবদ্ধতা সম্পূর্ণরূপে বাইপাস করে, পাশাপাশি ভুয়া অ্যাক্সেস পয়েন্ট আক্রমণের বিরুদ্ধে সেরা সুরক্ষা প্রদান করে।

অনুশীলনী প্রশ্নসমূহ

Q1. কোন Windows Command Prompt ইউটিলিটি ক্লায়েন্ট মেশিনে সক্রিয় 802.1X ওয়্যারলেস প্রোফাইল সেটিংস, প্রমানীকরণ স্টেট এবং সাইফার স্যুটগুলির রিয়েল-টাইম যাচাইকরণ প্রদান করে?

ইঙ্গিত: Windows-এ নির্মিত নেটিভ ওয়্যারলেস কমান্ড-লাইন হেলপার টুল ব্যবহার করুন।

মডেল উত্তর দেখুন

কমান্ড netsh wlan show interfaces বর্তমান সংযোগ স্থিতি, SSID, BSSID, রেডিও টাইপ এবং প্রমানীকরণ মোড প্রদর্শন করে। প্রোফাইল বিবরণ এবং EAP কনফিগারেশন পরীক্ষা করতে, netsh wlan show profile name="ProfileName" key=clear রান করুন। ওয়্যার্ড ইথারনেট 802.1X সংযোগের জন্য, netsh lan show state ব্যবহার করুন।

Q2. Windows 11 ডেস্কটপ ক্লায়েন্টদের জন্য কর্পোরেট ইথারনেট সুইচ পোর্টে 802.1X নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল ডিপ্লয় করার সময় Wired AutoConfig পরিষেবা (dot3svc) শুরু করা কেন বাধ্যতামূলক?

ইঙ্গিত: ডেস্কটপ ইনস্টলেশনের জন্য ডিফল্ট অপারেটিং সিস্টেম সার্ভিস স্টেট বিবেচনা করুন।

মডেল উত্তর দেখুন

WLAN AutoConfig পরিষেবা (wlansvc)-এর বিপরীতে যা ওয়্যারলেস-সক্ষম ডিভাইসগুলিতে স্বয়ংক্রিয়ভাবে চলে, Wired AutoConfig পরিষেবা (dot3svc) Windows 11 ডেস্কটপ ইনস্টলেশনে ডিফল্টরূপে Manual স্টার্টআপে সেট করা থাকে। dot3svc সক্রিয় না থাকলে, অপারেটিং সিস্টেম সুইচ পোর্ট থেকে আসা 802.1X EAPOL অনুরোধগুলি উপেক্ষা করে, যার ফলে সুইচটি এন্ডপয়েন্টটিকে একটি অননুমোদিত স্টেট বা APIPA নেটওয়ার্কে (169.254.x.x) পাঠিয়ে দেয়।

Q3. একজন IT অ্যাডমিনিস্ট্রেটর ওয়্যারলেস নেটওয়ার্ক বৈশিষ্ট্যে "Validate server certificate" আনচেক করে একটি 802.1X সংযোগ ত্রুটি সমাধান করার চেষ্টা করেন। এই ওয়ার্কঅ্যারাউন্ডটি কী ধরণের নিরাপত্তা ঝুঁকি তৈরি করে?

ইঙ্গিত: মেশিন-ইন-দ্য-মিডল আক্রমণ এবং রগ অ্যাক্সেস পয়েন্ট সম্পর্কে চিন্তা করুন।

মডেল উত্তর দেখুন

সার্ভার সার্টিফিকেট যাচাইকরণ নিষ্ক্রিয় করলে ক্লায়েন্ট মেশিনটি কর্পোরেট SSID ব্রডকাস্ট করা যেকোনো রগ অ্যাক্সেস পয়েন্টের সাথে যুক্ত হতে পারে। একজন আক্রমণকারী একটি ভুয়া RADIUS সার্ভার সেট আপ করতে পারে, ব্যবহারকারীর PEAP-MSCHAPv2 ক্রেডেনশিয়াল হ্যাশ ক্যাপচার করতে পারে এবং কর্পোরেট ট্রাফিকের মেশিন-ইন-দ্য-মিডল ডিক্রিপশন পরিচালনা করতে পারে। এন্টারপ্রাইজ সিকিউরিটি স্ট্যান্ডার্ডগুলি কঠোরভাবে সার্ভার যাচাইকরণ নিষ্ক্রিয় করা নিষিদ্ধ করে।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

একটি Windows 11 আপগ্রেডের পর কেন 802.1X কাজ করা বন্ধ করে দেয়?

একটি ফিচার আপডেট একই সাথে তিনটি জিনিস পরিবর্তন করতে পারে: এটি স্থানীয়ভাবে ইমপোর্ট করা 802.1X প্রোফাইলগুলি রিসেট বা রিমুভ করতে পারে, এটি 22H2 থেকে উপযুক্ত Enterprise এবং Education ডিভাইসগুলিতে ডিফল্টভাবে Credential Guard সক্রিয় করে, এবং এটি আরও কঠোর RADIUS সার্ভার সার্টিফিকেট ভ্যালিডেশন প্রয়োগ করে। এর যেকোনো একটির কারণে একটি সচল কানেকশন "Authenticating..." লুপে আটকে যেতে পারে বা Access-Reject হতে পারে। Group Policy বা Intune দ্বারা পুশ করা প্রোফাইল এবং ট্রাস্টেড রুট সার্টিফিকেটগুলি স্বয়ংক্রিয়ভাবে পুনরায় প্রয়োগ করা হয়, যার কারণে কেন্দ্রীয়ভাবে পরিচালিত ডিভাইসগুলি রিকভার করে কিন্তু ম্যানুয়ালি কনফিগার করা ল্যাপটপগুলি পারে না।

Windows 11-এ Event ID 12013 কীভাবে ঠিক করব?

Event ID 12013-এর অর্থ হলো ডিভাইসটি RADIUS সার্ভার সার্টিফিকেট যাচাই করতে পারেনি। Group Policy বা একটি Intune Trusted Certificate প্রোফাইলের মাধ্যমে Local Computer Trusted Root Certification Authorities স্টোরে ইস্যুকারী রুট CA (এবং যেকোনো ইন্টারমিডিয়েট CA) ডিপ্লয় করুন, তারপর নিশ্চিত করুন যে 802.1X প্রোফাইলের সার্ভার নেম তালিকাটি RADIUS সার্টিফিকেটের Subject Alternative Name-এর সাথে মিলছে। সমাধান হিসেবে "Validate server certificate" থেকে টিক চিহ্ন তুলবেন না - এটি নেটওয়ার্ককে ক্ষতিকারক অ্যাক্সেস পয়েন্টের ঝুঁকিতে ফেলে।

Credential Guard কি Windows 11-এ PEAP-MSCHAPv2 অকার্যকর করে দেয়?

হ্যাঁ, সিঙ্গেল সাইন-অন-এর জন্য। Credential Guard চালু থাকলে, Windows আর MSCHAPv2-ভিত্তিক সিঙ্গেল সাইন-অন সাপোর্ট করে না, তাই সেভ করা বা Windows লগঅন ক্রেডেনশিয়ালের ওপর নির্ভর করা PEAP-MSCHAPv2 প্রোফাইলগুলি ব্যর্থ হয়। সাময়িক সমাধান হলো এমন একটি প্রোফাইল যা ব্যবহারকারীর কাছে ক্রেডেনশিয়াল চায়। স্থায়ী সমাধান হলো Intune (SCEP বা PKCS) দ্বারা ইস্যুকৃত সার্টিফিকেট সহ EAP-TLS-এ স্থানান্তরিত হওয়া, যা Credential Guard দ্বারা প্রভাবিত হয় না।

একটি Windows 11 Ethernet অ্যাডাপ্টারে কীভাবে 802.1X সক্রিয় করব?

Wired AutoConfig সার্ভিস (dot3svc) চালু করুন এবং এটি services.msc-এ, PowerShell (Set-Service -Name dot3svc -StartupType Automatic, তারপর Start-Service dot3svc) দিয়ে অথবা Group Policy System Services-এর মাধ্যমে সম্পূর্ণ ডিভাইসে Automatic সেট করুন। সার্ভিসটি চালুর পরেই কেবল Ethernet অ্যাডাপ্টার প্রপার্টিজে Authentication ট্যাবটি দৃশ্যমান হয়।

RADIUS সার্ভার একটি Windows 11 ডিভাইস প্রত্যাখ্যান করেছে কিনা তা কীভাবে বুঝব?

Microsoft NPS-এ, Security লগ খুলুন এবং Event ID 6273 (অ্যাক্সেস প্রত্যাখ্যান) বা 6272 (অ্যাক্সেস অনুমোদিত)-এর জন্য ফিল্টার করুন। 6273-এর কারণ কোডটি সমস্যাটি নির্দিষ্ট করে: 16 হলো ক্রেডেনশিয়াল অমিল, 22-এর অর্থ EAP টাইপ প্রসেস করা যায়নি, 48-এর অর্থ কোনো নেটওয়ার্ক পলিসি মেলেনি এবং 265-এর অর্থ হলো সার্টিফিকেট চেইনটি একটি অবিশ্বস্ত অথরিটি দ্বারা ইস্যু করা হয়েছে। যদি সার্ভারে কোনো রিকোয়েস্টই না পৌঁছায়, তবে সমস্যাটি Windows-এর বদলে অ্যাক্সেস পয়েন্ট, সুইচ বা শেয়ার্ড সিক্রেটের।

Windows 11 802.1X-এর জন্য কি আমার একটি অন-প্রেমিসেস RADIUS সার্ভার প্রয়োজন?

না। Purple RADIUS-as-a-Service-এর মতো একটি ক্লাউড RADIUS সার্ভিস Intune দ্বারা প্রদত্ত সার্টিফিকেট সহ Microsoft Entra ID, Okta বা Google Workspace-এর বিরুদ্ধে EAP-TLS দিয়ে Windows 11 ডিভাইসগুলিকে অ্থেন্টিকেট করে। আপনার অ্যাক্সেস পয়েন্ট এবং সুইচগুলি NPS, FreeRADIUS বা Cisco ISE সার্ভারের পরিবর্তে একটি হোস্টনেমকে পয়েন্ট করে, তাই প্যাচ করার জন্য কোনো সার্ভার নেই এবং প্রতিটি Windows ফিচার আপডেটের পর পুনরায় তৈরি করার জন্য কোনো সার্টিফিকেট ট্রাস্ট নেই।

এই সিরিজে পড়া চালিয়ে যান

Cyber Essentials এবং স্টাফ WiFi: আপনার ওয়্যারলেস নেটওয়ার্কে পাঁচটি কন্ট্রোল পাস করা

আপনি Cyber Essentials-এর পাঁচটি কন্ট্রোলের প্রত্যেকটি আপনার স্টাফ WiFi-এর সাথে ম্যাপ করতে এবং অ্যাসেসরদের খুঁজে পাওয়া ত্রুটিগুলো সমাধান করতে সক্ষম হবেন। এরপর আপনি প্রতিটি ডিভাইস ক্লাসের জন্য 802.1X, iPSK এবং একটি পৃথকীকৃত WPA2-PSK নেটওয়ার্কের মধ্যে থেকে বেছে নিতে পারেন। সবশেষে, একটি Cyber Essentials Plus অডিটের জন্য কীভাবে অ্যাক্সেস পয়েন্ট, কন্ট্রোলার এবং BYOD প্রস্তুত করতে হয় তা আপনি জানতে পারবেন।

গাইডটি পড়ুন →

HPE Aruba Central presence analytics: সেটআপ, এক্সপোর্ট এবং সীমাবদ্ধতা

আপনি প্রতি সাইটে Aruba Central presence analytics সক্ষম করতে, একটি গ্রাউন্ড-ট্রুথ গণনার বিপরীতে RSSI threshold এবং dwell boundaries ক্যালিব্রেট করতে এবং Central REST API-এর মাধ্যমে সাইট-স্তরের সমষ্টি রপ্তানি করতে সক্ষম হবেন। আপনার বিদ্যমান Aruba অ্যাক্সেস পয়েন্টগুলিতে কখন নেটিভ presence analytics বন্ধ হয় এবং কখন Purple-এর মতো একটি হার্ডওয়্যার-অ্যাগনস্টিক প্ল্যাটফর্ম লেয়ার তার স্থান করে নেয় তাও আপনি জানতে পারবেন।

গাইডটি পড়ুন →

CIPA compliance: ভেন্যু অপারেটরদের জন্য একটি কমপ্লায়েন্স চেকলিস্ট

আপনি সিদ্ধান্ত নিতে পারবেন CIPA আপনার WiFi-কে বাধ্য করে কিনা, তারপর নেটওয়ার্ক সেগমেন্ট করতে পারবেন, Purple Shield-এর মাধ্যমে DNS রাউট করতে পারবেন এবং বাইপাস রুট বন্ধ করতে পারবেন। Form 486 বা Form 479 সার্টিফিকেশনের জন্য কী প্রমাণ রাখতে হবে তাও আপনি জানতে পারবেন। এই চেকলিস্টটি প্রতিটি প্রয়োজনীয়তার জন্য একজন দায়িত্বশীল ব্যক্তি নির্ধারণ করে, যাতে আপনার পরবর্তী ফান্ডিং বছরের সার্টিফিকেশনে কোনো কিছুই বাদ না পড়ে।

গাইডটি পড়ুন →

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।