Enterprise SCEP সেটআপ গাইড: উচ্চ শিক্ষা এবং বৃহৎ নেটওয়ার্কের জন্য সার্টিফিকেট-ভিত্তিক WiFi অথেন্টিকেশন

Enterprise SCEP Setup Guide: Certificate-Based WiFi Authentication for Higher Education and Large Networks A Purple Technical Briefing - Podcast Script (approximately 10 minutes) --- INTRODUCTION AND CONTEXT - approximately 1 minute Purple Technical Briefing সিরিজে আপনাকে স্বাগত জানাচ্ছি। আজ আমি এমন একটি বিষয় নিয়ে কথা বলছি যা অনেক IT ইনবক্সে আসে কিন্তু খুব কমই এর সরাসরি কোনো সমাধান পাওয়া যায়: একটি বড় নেটওয়ার্ক জুড়ে - সেটি কোনো বিশ্ববিদ্যালয়ের ক্যাম্পাস, মাল্টি-সাইট হোটেল গ্রুপ বা কোনো বড় পাবলিক সেক্টর স্টেট যাই হোক না কেন - SCEP ব্যবহার করে কীভাবে আপনি প্রকৃতপক্ষে সার্টিফিকেট-ভিত্তিক WiFi authentication স্কেলে স্থাপন করবেন? আমরা সম্পূর্ণ চিত্রটি কভার করতে যাচ্ছি। SCEP আসলে কী করে, কীভাবে এটি একটি 802.1X আর্কিটেকচারের সাথে মানানসই হয়, স্থাপনের এমন একটি ধারাবাহিকতা যা বেশিরভাগ দল ভুল করে, দুটি বাস্তব-জগতের বাস্তবায়ন পরিস্থিতি এবং এমন কিছু সমস্যা যা আপনার পরিকল্পনার অভাবে আপনার জীবনের একটি সপ্তাহান্ত নষ্ট করে দিতে পারে। এটি একটি পরামর্শমূলক ব্রিফিং, কোনো টিউটোরিয়াল নয়। আমি ধরে নিচ্ছি যে আপনি একটি RADIUS সার্ভার কী তা জানেন এবং আপনি সম্ভবত ইতিমধ্যেই প্রাক-শেয়ার্ড কী থেকে সরে আসার সিদ্ধান্ত নিয়েছেন। আপনার এখন যা প্রয়োজন তা হলো বাস্তবায়নের মানচিত্র। আসুন শুরু করা যাক। --- TECHNICAL DEEP-DIVE - approximately 5 minutes তাহলে, প্রথম নীতি। SCEP-এর অর্থ হলো Simple Certificate Enrollment Protocol। এটি ২০২০ সালে IETF দ্বারা RFC 8894 হিসেবে আনুষ্ঠানিকভাবে রূপ পায়, যদিও তার এক দশকেরও বেশি সময় আগে থেকে এটি এন্টারপ্রাইজগুলোতে ব্যাপকভাবে ব্যবহৃত হয়ে আসছিল। এর কাজ খুব সহজ: প্রতিটি মেশিনে মানুষের স্পর্শের প্রয়োজন ছাড়াই একটি পরিচালিত ডিভাইসে ডিজিটাল সার্টিফিকেট পাওয়ার প্রক্রিয়াটিকে স্বয়ংক্রিয় করা। WiFi authentication-এর প্রেক্ষাপটে, SCEP হলো ডেলিভারি মেকানিজম। আপনি যে প্রকৃত authentication প্রোটোকলটি লক্ষ্য করছেন তা হলো EAP-TLS - Extensible Authentication Protocol with Transport Layer Security - যা 802.1X কাঠামোর মধ্যে থাকে। EAP-TLS-কে এন্টারপ্রাইজ ওয়্যারলেস নেটওয়ার্কের জন্য সবচেয়ে নিরাপদ authentication পদ্ধতি হিসেবে ব্যাপকভাবে বিবেচনা করা হয় কারণ এতে ক্লায়েন্ট ডিভাইস এবং RADIUS সার্ভার উভয়েরই বৈধ সার্টিফিকেট উপস্থাপন করা প্রয়োজন। ক্রিপ্টোগ্রাফিক প্রমাণ ছাড়া কোনো পক্ষই অন্য পক্ষকে বিশ্বাস করে না। এই পারস্পরিক authentication-ই আপনাকে evil twin আক্রমণ থেকে রক্ষা করে - যেখানে একজন আক্রমণকারী ক্রেডেনশিয়াল হাতিয়ে নেওয়ার জন্য একটি অননুমোদিত অ্যাক্সেস পয়েন্ট তৈরি করে। সম্পূর্ণ চেইনটি যেভাবে কাজ করে তা এখানে দেওয়া হলো। একটি পরিচালিত ডিভাইস - একজন শিক্ষার্থীর ল্যাপটপ, একজন কর্মচারীর ফোন, একটি হোটেলের পয়েন্ট-অফ-সেল টার্মিনাল - করপোরেট ওয়্যারলেস নেটওয়ার্কে যুক্ত হতে চায়। আপনার MDM প্ল্যাটফর্ম, যা Microsoft Intune বা Jamf হতে পারে, সেটি ঐ ডিভাইসে একটি SCEP পে-লোড পুশ করে। পে-লোডে দুটি জিনিস থাকে: SCEP URL, যা আপনার NDES সার্ভার বা ক্লাউড SCEP গেটওয়েকে নির্দেশ করে এবং একটি চ্যালেঞ্জ পাসওয়ার্ড বা শেয়ার্ড সিক্রেট। ডিভাইসটি স্থানীয়ভাবে নিজস্ব পাবলিক এবং প্রাইভেট কী পেয়ার তৈরি করে। এটি অত্যন্ত গুরুত্বপূর্ণ। প্রাইভেট কী কখনোই ডিভাইস থেকে বাইরে যায় না। এটি ডিভাইসের ভেতরেই তৈরি হয়, সিকিউর এনক্লেভ বা TPM-এ সংরক্ষিত থাকে এবং কখনোই নেটওয়ার্কের মাধ্যমে স্থানান্তরিত হয় না। এরপর ডিভাইসটি একটি সার্টিফিকেট সাইনিং রিকোয়েস্ট - একটি CSR - তৈরি করে এবং SCEP গেটওয়েতে পাঠায়। গেটওয়ে চ্যালেঞ্জটি যাচাই করে, CSR-টি আপনার সার্টিফিকেট অথরিটির কাছে ফরওয়ার্ড করে এবং CA এটি সাইন করে পাবলিক সার্টিফিকেটটি ডিভাইসে ফেরত পাঠায়। সেই মুহূর্ত থেকে, যখনই ডিভাইসটি আপনার WiFi SSID-এর সাথে সংযোগ স্থাপন করে, এটি RADIUS সার্ভারে সেই সার্টিফিকেটটি উপস্থাপন করে। RADIUS সার্ভার আপনার CA-এর ট্রাস্ট চেইনের বিপরীতে সার্টিফিকেটটি যাচাই করে, সার্টিফিকেটটি প্রত্যাহার করা হয়নি তা নিশ্চিত করতে সার্টিফিকেট রেভোকেশন লিস্ট পরীক্ষা করে এবং সবকিছু ঠিক থাকলে অ্যাক্সেস পয়েন্টে একটি গ্রহণের বার্তা পাঠায়। ডিভাইসটি নেটওয়ার্কে যুক্ত হয়ে যায়। পুরো প্রক্রিয়াটি ব্যবহারকারীর কাছে সম্পূর্ণ অদৃশ্য থাকে। এখন, আসুন এর বিকল্প PKCS-এর তুলনায় SCEP-এর অবস্থান নিয়ে আলোচনা করি। PKCS - Public Key Cryptography Standards - হলো অন্য আরেকটি সার্টিফিকেট ডেলিভারি পদ্ধতি যা Intune-এর মতো প্ল্যাটফর্ম দ্বারা সমর্থিত। PKCS-এর ক্ষেত্রে, CA কেন্দ্রীয়ভাবে পাবলিক এবং প্রাইভেট কী উভয়ই তৈরি করে এবং সার্টিফিকেট কানেক্টর এই কী পেয়ারটি ডিভাইসে পুশ করে। এর অর্থ হলো প্রাইভেট কী নেটওয়ার্কের মাধ্যমে পরিভ্রমণ করে, যা তাত্ত্বিকভাবে আক্রমণের সুযোগ তৈরি করতে পারে। S/MIME ইমেল এনক্রিপশনের মতো ব্যবহারের ক্ষেত্রে PKCS ঠিক আছে যেখানে কী এসক্রো করা আসলে বাঞ্ছনীয়। WiFi অথেন্টিকেশনের জন্য, SCEP হলো সঠিক পছন্দ। প্রাইভেট কী ডিভাইসের ভেতরেই থাকে, ব্যস এটাই শেষ কথা। এবার আসা যাক হার্ডওয়্যার লেয়ারে। SCEP এবং EAP-TLS হলো ভেন্ডর-নিরপেক্ষ স্ট্যান্ডার্ড, যার অর্থ এগুলো Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet অ্যাক্সেস পয়েন্ট জুড়ে কাজ করে। আপনার RADIUS কনফিগারেশন - তা Windows NPS, FreeRADIUS বা একটি ক্লাউড RADIUS পরিষেবাই হোক না কেন - এখানেই আপনি সার্টিফিকেট যাচাইকরণের নীতি নির্ধারণ করেন এবং অত্যন্ত গুরুত্বপূর্ণ বিষয় হলো, এখানেই আপনি ডাইনামিক VLAN অ্যাসাইনমেন্ট কনফিগার করেন। ডাইনামিক VLAN হলো সেই মাধ্যম যার সাহায্যে আপনি আইডেন্টিটি বা পরিচয় অনুযায়ী নেটওয়ার্ককে বিভক্ত করেন। একজন শিক্ষার্থীর ডিভাইস পায় VLAN 20 - শুধুমাত্র ইন্টারনেট অ্যাক্সেস। একজন শিক্ষকের ডিভাইস পায় VLAN 10 - অভ্যন্তরীণ গবেষণা সিস্টেমে অ্যাক্সেস। একটি ফ্যাসিলিটিজ ম্যানেজমেন্ট ডিভাইস পায় VLAN 30 - বিল্ডিং ম্যানেজমেন্ট সিস্টেমে অ্যাক্সেস। এই সমস্ত কিছু সার্টিফিকেট অ্যাট্রিবিউট এবং RADIUS নীতি দ্বারা পরিচালিত হয়, যার জন্য প্রতি ডিভাইসে কোনো ম্যানুয়াল হস্তক্ষেপের প্রয়োজন হয় না।Identity provider ইন্টিগ্রেশনের জন্য, SCEP সার্টিফিকেট অ্যাট্রিবিউট - বিশেষ করে Subject Alternative Name - Microsoft Entra ID, Okta, বা Google Workspace থেকে ব্যবহারকারীর প্রধান নাম বহন করতে পারে। এটি সার্টিফিকেটটিকে একটি নির্দিষ্ট আইডেন্টিটির সাথে সংযুক্ত করে, যার অর্থ হলো যখন আপনি Entra ID-তে একটি অ্যাকাউন্ট নিষ্ক্রিয় করেন এবং MDM ডিভাইসটিকে আনএনরোল করে, তখন সার্টিফিকেটটি বাতিল হয়ে যায় এবং WiFi অ্যাক্সেস স্বয়ংক্রিয়ভাবে বন্ধ হয়ে যায়। এটি এমন একটি বাতিলকরণের প্রক্রিয়া যা প্রি-শেয়ার্ড কি-সমূহ প্রদান করতে পারে না। - - - বাস্তবায়ন সংক্রান্ত সুপারিশ এবং ত্রুটিসমূহ - প্রায় ২ মিনিট ঠিক আছে, চলুন ডিপ্লয়মেন্ট সিকোয়েন্স নিয়ে কথা বলি, কারণ এখানেই বেশিরভাগ টিম ভুল করে থাকে। এই সিকোয়েন্সটি অপরিবর্তনীয়: প্রথমে Trusted Root সার্টিফিকেট, দ্বিতীয়ত SCEP সার্টিফিকেট প্রোফাইল, তৃতীয়ত WiFi প্রোফাইল। Intune এবং Jamf উভয়ই প্রোফাইল ডিপেন্ডেন্সি প্রয়োগ করে। যদি আপনার WiFi প্রোফাইল এমন একটি SCEP সার্টিফিকেটকে নির্দেশ করে যা এখনও ডিভাইসে ডিপ্লয় করা হয়নি, তবে WiFi প্রোফাইলটি একটি রহস্যময় ত্রুটির সাথে ব্যর্থ হবে যা দেখতে ভুল কনফিগারেশনের মতো মনে হয় তবে আসলে এটি কেবল সময়ের একটি সমস্যা। দ্বিতীয় ত্রুটিটি হলো গ্রুপ টার্গেটিং। তিনটি প্রোফাইলই - Trusted Root, SCEP, এবং WiFi - অবিকল একই Azure AD বা Jamf গ্রুপে ডিপ্লয় করতে হবে। যদি SCEP প্রোফাইলটি একটি ইউজার গ্রুপকে টার্গেট করে এবং WiFi প্রোফাইলটি একটি ডিভাইস গ্রুপকে টার্গেট করে, তবে Intune এই ডিপেন্ডেন্সির সমাধান করতে পারে না এবং WiFi প্রোফাইলটি Not Applicable হিসেবে দেখাবে। এটি টিমগুলোকে প্রতিনিয়ত সমস্যায় ফেলে। তৃতীয়ত: NDES সার্ভারের অ্যাক্সেসিবিলিটি। আপনার NDES সার্ভারটি ইন্টারনেট থেকে অ্যাক্সেসযোগ্য হতে হবে যাতে ডিভাইসগুলো অন-সাইটে পৌঁছানোর আগেই এনরোল করতে পারে। এটি করার সঠিক উপায় হলো Azure AD Application Proxy-র মাধ্যমে, আপনার ফায়ারওয়ালে কোনো পোর্ট খোলার মাধ্যমে নয়। App Proxy আপনাকে ইনবাউন্ড পোর্ট ছাড়াই নিরাপদ রিমোট অ্যাক্সেস দেয় এবং এনরোলমেন্ট ফ্লোতে Conditional Access পলিসি প্রয়োগ করতে সাহায্য করে। চতুর্থত: CRL-এর প্রাপ্যতা। আপনার RADIUS সার্ভার প্রতিবার একটি ডিভাইস অথেন্টিকেট করার সময় Certificate Revocation List চেক করে। যদি আপনার CRL Distribution Point অনুপলব্ধ থাকে - কোনো সার্ভার ডাউন থাকার কারণে, বা URL পরিবর্তন হওয়ার কারণে - তবে নেটওয়ার্কের প্রতিটি ডিভাইসের জন্য একই সাথে অথেন্টিকেশন ব্যর্থ হয়। এটি পুরো ক্যাম্পাস জুড়ে একটি আউটএজ তৈরি করে। আপনার CRL এন্ডপয়েন্টগুলোকে অত্যন্ত নির্ভরযোগ্য (highly available) করুন এবং লাইভ করার আগে বাতিলকরণ প্রক্রিয়াটি পরীক্ষা করুন। বড় নেটওয়ার্কের জন্য - ৫০০টির বেশি ডিভাইসের ক্ষেত্রে - অন-প্রেমিসেস NDES-এর পরিবর্তে একটি ক্লাউড SCEP গেটওয়ে বিবেচনা করুন। ক্লাউড গেটওয়েগুলো NDES-এর একক পয়েন্ট অফ ফেইলিউর দূর করে, হরাইজন্টালি স্কেল করে এবং সাধারণত সরাসরি ক্লাউড RADIUS সার্ভিসের সাথে একীভূত হয়, যা আরেকটি ইনফ্রাস্ট্রাকচার ডিপেন্ডেন্সি কমিয়ে দেয়। - - - দ্রুত প্রশ্নোত্তর - প্রায় ১ মিনিট SCEP কি এমন BYOD ডিভাইসগুলো পরিচালনা করতে পারে যা MDM-এনরোলড নয়? সরাসরি নয়। সার্টিফিকেটের পে-লোড পুশ করার জন্য SCEP-এর MDM এনরোলমেন্ট প্রয়োজন। আনম্যানেজড BYOD-এর জন্য, আপনার একটি ভিন্ন পদ্ধতির প্রয়োজন - হয় একটি সেলফ-সার্ভিস অনবোর্ডিং পোর্টাল, অথবা আইডেন্টিটি ভেরিফিকেশন সহ একটি Captive Portal ব্যবহার করে একটি পৃথক SSID। Purple-এর প্ল্যাটফর্ম সেই গেস্ট এবং BYOD লেয়ারটি চমৎকারভাবে পরিচালনা করে, যা আপনার সার্টিফিকেট-অথেন্টিকেটেড স্টাফ নেটওয়ার্কের পাশাপাশি কাজ করে।iOS এবং Android এর ক্ষেত্রে কী হবে? দুটি প্ল্যাটফর্মই নেটিভভাবে SCEP সমর্থন করে। iOS 4 থেকে iOS-এ SCEP সমর্থিত। Android Enterprise মূলত Intune এবং অন্যান্য MDM-এর মাধ্যমে SCEP সমর্থন করে। প্রতিটি প্ল্যাটফর্মের জন্য কনফিগারেশন কিছুটা আলাদা তবে অন্তর্নিহিত প্রোটোকল সম্পূর্ণ অভিন্ন। EAP-TLS কি WPA3 এর সাথে কাজ করে? হ্যাঁ। WPA3-Enterprise সংবেদনশীল পরিবেশের জন্য 192-বিট সিকিউরিটি মোড বাধ্যতামূলক করে, এবং EAP-TLS এর সাথে সম্পূর্ণ সামঞ্জস্যপূর্ণ। প্রকৃতপক্ষে, সরকারি এবং আর্থিক নেটওয়ার্কের জন্য Wi-Fi Alliance দ্বারা EAP-TLS সহ WPA3-Enterprise এর সংমিশ্রণটি সুপারিশ করা হয়েছে। - সংক্ষিপ্তসার এবং পরবর্তী পদক্ষেপ - আনুমানিক ১ মিনিট সবকিছু সংক্ষেপে বলতে গেলে। ৫০টির বেশি পরিচালিত ডিভাইস রয়েছে এমন যেকোনো নেটওয়ার্কের জন্য SCEP সার্টিফিকেট WiFi প্রমাণীকরণ (authentication) হলো সঠিক আর্কিটেকচার। এটি শেয়ার্ড ক্রেডেনশিয়াল দূর করে, আপনাকে প্রতি-ডিভাইস আইডেন্টিটি প্রদান করে, ডাইনামিক VLAN সেগমেন্টেশন সক্ষম করে এবং স্বয়ংক্রিয়ভাবে বাতিলের জন্য আপনার আইডেন্টিটি প্রোভাইডারের সাথে সরাসরি একীভূত হয়। ডিপ্লয়মেন্ট সিকোয়েন্স - প্রথমে Trusted Root, তারপর SCEP প্রোফাইল, তারপর WiFi প্রোফাইল - অপরিবর্তনীয়। গ্রুপ টার্গেটিং সামঞ্জস্যপূর্ণ হতে হবে। CRL প্রাপ্যতা ঐচ্ছিক নয়। বিশেষ করে উচ্চশিক্ষার জন্য, কর্মী এবং অনুষদের ডিভাইসের জন্য SCEP, পাশাপাশি ব্যক্তিগত ডিভাইসে শিক্ষার্থীদের জন্য একটি পৃথক গেস্ট WiFi স্তরের সংমিশ্রণ আপনাকে কোনো আপস ছাড়াই নিরাপত্তা এবং একটি দুর্দান্ত ব্যবহারকারীর অভিজ্ঞতা উভয়ই প্রদান করে। আপনি যদি আরও বিস্তারিত জানতে চান, তবে Active Directory বা অন-প্রেমিস সার্ভার ছাড়াই এন্টারপ্রাইজ WiFi প্রমাণীকরণের বিষয়ে Purple-এর গাইডটিতে ক্লাউড-নেটিভ পাথ কভার করা হয়েছে। আর কোনো কর্মচারী চলে গেলে কী ঘটে তা নিয়ে যদি আপনি ভাবছেন, তবে আমাদের WiFi অ্যাক্সেস বাতিল করার গাইডটি সম্পূর্ণ রেভোকেশন ওয়ার্কফ্লো ব্যাখ্যা করে। শোনার জন্য ধন্যবাদ। আমি Purple টেকনিক্যাল টিম থেকে বলছি, পরবর্তী ব্রিফিংয়ে আপনার সাথে দেখা হবে। - স্ক্রিপ্ট সমাপ্ত