উচ্চশিক্ষায় নিরাপদ BYOD এবং WiFi অথেন্টিকেশনের জন্য SCEP স্থাপন

Purple টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগতম। আমি আপনাদের হোস্ট, এবং আজ আমরা এমন একটি বিষয় নিয়ে আলোচনা করছি যা উচ্চশিক্ষার IT-তে প্রতিনিয়ত সামনে আসে: নিরাপদ BYOD এবং WiFi অথেন্টিকেশনের জন্য SCEP স্থাপন করা। আপনি যদি আপনার ক্যাম্পাস নেটওয়ার্কে PEAP-MSCHAPv2 চালিয়ে থাকেন, তবে এই ব্রিফিংটি সরাসরি আপনার জন্য প্রাসঙ্গিক। আর আপনি যদি ইতিমধ্যেই সার্টিফিকেট-ভিত্তিক অথেন্টিকেশনে স্থানান্তরের পরিকল্পনা করে থাকেন, তবে আমরা আপনাকে সেখানে পৌঁছানোর আর্কিটেকচার, সম্ভাব্য ত্রুটি এবং বাস্তবায়নের ধারাবাহিকতা জানাব। চলুন সমস্যাটি দিয়ে শুরু করা যাক। বিশ্ববিদ্যালয়গুলো স্বভাবতই উন্মুক্ত পরিবেশ। শিক্ষার্থীরা সেপ্টেম্বরে দুই, তিন, কখনও কখনও পাঁচটি ব্যক্তিগত ডিভাইস নিয়ে আসে। তারা হেল্পডেস্কে কল না করেই অবিলম্বে এবং নিরাপদে কানেক্ট হতে চায়। বেশিরভাগ প্রতিষ্ঠানের বাস্তব চিত্র হলো সেমিস্টার শুরু হওয়ার আটচল্লিশ ঘণ্টার মধ্যে হেল্পডেস্কের কিউ দুই হাজার টিকিটে পৌঁছে যায়। এটি কোনো স্টাফিংয়ের সমস্যা নয়। এটি একটি আর্কিটেকচারাল সমস্যা। এর মূল কারণটি প্রায় সবসময়ই এক: পাসওয়ার্ড-ভিত্তিক WiFi অথেন্টিকেশন। আপনি যখন PEAP এবং MSCHAPv2 সহ WPA2-Enterprise চালান, তখন আপনি শিক্ষার্থীদের প্রতিটি ডিভাইসে ম্যানুয়ালি 802.1X সেটিংস কনফিগার করতে বলছেন। একটি ভুল সেটিং তাদের ম্যান-ইন-দ্য-মিডল আক্রমণের ঝুঁকিতে ফেলে দেয়। আরও খারাপ বিষয় হলো, যখন বিশ্ববিদ্যালয় প্রতি নব্বই দিনে পাসওয়ার্ড রিসেট করতে বাধ্য করে, তখন ক্যাম্পাসের প্রতিটি ডিভাইস একই সাথে WiFi অ্যাক্সেস হারায়। এটি একটি অনুমানযোগ্য এবং প্রতিরোধযোগ্য বিপর্যয়। এর উত্তর হলো EAP-TLS ব্যবহার করে সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন, এবং যে মেকানিজমটি এটিকে স্কেলেবল করে তোলে তা হলো SCEP: Simple Certificate Enrolment Protocol। SCEP ২০২০ সালে RFC 8894-এ IETF দ্বারা আনুষ্ঠানিকভাবে রূপ দেওয়া হয়েছিল, যদিও এটি ২০০০-এর দশকের শুরু থেকেই ব্যবহৃত হয়ে আসছে। এটি প্রতি ডিভাইসে কোনো ম্যানুয়াল IT হস্তক্ষেপ ছাড়াই ডিভাইসে X.509 ডিজিটাল সার্টিফিকেটের অনুরোধ এবং ইনস্টল করার প্রক্রিয়াকে স্বয়ংক্রিয় করে। উচ্চ স্তরে এটি যেভাবে কাজ করে তা এখানে দেওয়া হলো। আপনার MDM প্ল্যাটফর্ম, সেটি Microsoft Intune বা Jamf যাই হোক না কেন, প্রতিটি এনরোলড ডিভাইসে একটি SCEP পে-লোড পুশ করে। সেই পে-লোডে দুটি জিনিস থাকে: SCEP গেটওয়ে URL এবং একটি শেয়ার্ড চ্যালেঞ্জ পাসওয়ার্ড। ডিভাইসটি একটি Certificate Signing Request তৈরি করে, এটি SCEP গেটওয়েতে পাঠায়, যা চ্যালেঞ্জ পাসওয়ার্ডটি যাচাই করে এবং অনুরোধটি আপনার সার্টিফিকেট অথরিটির কাছে ফরোয়ার্ড করে। CA সার্টিফিকেটটি স্বাক্ষর করে এবং ডিভাইসে ফেরত পাঠায়। সেই মুহূর্ত থেকে, ডিভাইসটি EAP-TLS ব্যবহার করে আপনার WiFi নেটওয়ার্কে অথেন্টিকেট করে: সার্টিফিকেটটি RADIUS সার্ভারের কাছে ডিভাইসের পরিচয় প্রমাণ করে এবং RADIUS সার্ভারের সার্টিফিকেটটি ডিভাইসের কাছে নেটওয়ার্কের পরিচয় প্রমাণ করে। পারস্পরিক অথেন্টিকেশন। বাতাসে কোনো পাসওয়ার্ড আদান-প্রদান হয় না। এই পারস্পরিক অথেন্টিকেশনের অংশটি অত্যন্ত গুরুত্বপূর্ণ। PEAP-এর ক্ষেত্রে, আপনার SSID ব্রডকাস্ট করা একটি ভুয়া অ্যাক্সেস পয়েন্টের সাথে কানেক্ট হওয়া শিক্ষার্থী সানন্দে তার ক্রেডেনশিয়াল দিয়ে দেবে। EAP-TLS-এর ক্ষেত্রে, ডিভাইসটি এগিয়ে যাওয়ার আগে RADIUS সার্ভার সার্টিফিকেট চেক করে। যদি এটি বিশ্বস্ত CA-এর সাথে না মেলে, তবে কানেকশনটি কোনো ত্রুটি না দেখিয়েই ব্যর্থ হয়। আপনি এভাবেই ইভিল টুইন আক্রমণের পুরো শ্রেণীটিকেই নির্মূল করে দিলেন। এখন আর্কিটেকচার নিয়ে কথা বলা যাক। একটি বিশ্ববিদ্যালয়ের জন্য প্রোডাকশন SCEP ডেপ্লয়মেন্টের privatisation ছয়টি মূল উপাদান রয়েছে। প্রথমত, আপনার আইডেন্টিটি প্রোভাইডার: Microsoft Entra ID, Okta, বা Google Workspace। দ্বিতীয়ত, আপনার MDM প্ল্যাটফর্ম: Windows এবং Android-এর জন্য Intune, macOS এবং iOS-এর জন্য Jamf। তৃতীয়ত, আপনার সার্টিফিকেট অথরিটি: অন-প্রেমিসেস Microsoft Active Directory Certificate Services অথবা একটি ক্লাউড PKI। quarto, আপনার SCEP গেটওয়ে: HTTP এন্ডপয়েন্ট যা সার্টিফিকেটের অনুরোধ গ্রহণ করে। পঞ্চমত, অথেন্টিকেশনের জন্য আপনার RADIUS সার্ভার। ষষ্ঠত, আপনার অ্যাক্সেস লেয়ার: 802.1X-এর জন্য কনফিগার করা Cisco Meraki, HPE Aruba, Ruckus, বা Juniper Mist অ্যাক্সেস পয়েন্ট। ট্রাস্ট চেইনটি এভাবে কাজ করে। CA একটি রুট সার্টিফিকেট ইস্যু করে। সেই রুটটি MDM-এর মাধ্যমে প্রতিটি ডিভাইসে বিতরণ করা হয়, যা বিশ্বাসযোগ্যতা প্রতিষ্ঠা করে। এরপর CA SCEP-এর মাধ্যমে ডিভাইসগুলোতে ক্লায়েন্ট সার্টিফিকেট ইস্যু করে। যখন কোনো ডিভাইস কানেক্ট হয়, তখন এটি RADIUS সার্ভারের কাছে তার ক্লায়েন্ট সার্টিফিকেট উপস্থাপন করে এবং RADIUS সার্ভার ডিভাইসের কাছে তার সার্ভার সার্টিফিকেট উপস্থাপন করে। উভয় পক্ষই বিশ্বস্ত রুটের বিপরীতে এটি যাচাই করে। পাসওয়ার্ডের ওপর ভিত্তি করে নয়, বরং সার্টিফিকেটের বৈধতার ওপর ভিত্তি করে অ্যাক্সেস মঞ্জুর বা প্রত্যাখ্যান করা হয়। আমি আপনাকে বাস্তবায়নের ধারাবাহিকতাটি বুঝিয়ে বলি। এই ক্রমটিই কাজ করে। ধাপ এক: আপনার আইডেন্টিটি স্টোরটি পরিষ্কার করুন। নিশ্চিত করুন যে আপনার Active Directory বা Entra ID-তে শিক্ষার্থী, স্টাফ এবং অতিথিদের জন্য সুনির্দিষ্ট গ্রুপ রয়েছে। সার্টিফিকেট পলিসি এবং VLAN অ্যাসাইনমেন্টগুলো এই গ্রুপগুলোর সাথে যুক্ত থাকবে। ধাপ দুই: আপনার সার্টিফিকেট অথরিটি স্থাপন করুন। আপনি যদি Microsoft ADCS ব্যবহার করেন, তবে একটি দ্বি-স্তরের হায়ারার্কি তৈরি করুন: একটি অফলাইন রুট CA এবং একটি অনলাইন ইস্যুয়িং CA। প্রাথমিক সেটআপের পর রুট CA-টি এয়ার-গ্যাপড করা উচিত। ধাপ তিন: আপনার SCEP গেটওয়ে কনফিগার করুন। এটি হলো সেই HTTP এন্ডপয়েন্ট যার দিকে আপনার MDM ডিভাইসগুলোকে নির্দেশ করবে। নিশ্চিত করুন যে এটি সেই নেটওয়ার্ক সেগমেন্ট থেকে অ্যাক্সেসযোগ্য যেখানে ডিভাইসগুলো প্রাথমিক এনরোলমেন্ট সম্পন্ন করে, যা সাধারণত আপনার অনবোর্ডিং SSID। ধাপ চার: আপনার RADIUS সার্ভার কনফিগার করুন। ইস্যুয়িং CA সার্টিফিকেটটিকে একটি ট্রাস্টেড CA হিসেবে ইম্পোর্ট করুন। আপনার অথেন্টিকেশন পদ্ধতি হিসেবে EAP-TLS কনফিগার করুন। VLAN রিটার্ন অ্যাট্রিবিউটগুলো সেট আপ করুন যাতে RADIUS ডাইনামিকভাবে শিক্ষার্থীদের সঠিক নেটওয়ার্ক সেগমেন্টে অ্যাসাইন করতে পারে। ধাপ পাঁচ: আপনার MDM প্রোফাইলগুলো কনফিগার করুন। Intune-এ প্রথমে একটি ট্রাস্টেড সার্টিফিকেট প্রোফাইল তৈরি করুন, তারপর একটি SCEP সার্টিফিকেট প্রোফাইল এবং সবশেষে একটি WiFi প্রোফাইল যা SCEP সার্টিফিকেটটিকে উল্লেখ করে। ঠিক এই ক্রমে এগুলো স্থাপন করুন। প্রতিটি প্রোফাইল তার পূর্ববর্তী প্রোফাইলের ওপর নির্ভরশীল। ধাপ ছয়: আপনার অ্যাক্সেস পয়েন্টগুলো কনফিগার করুন। Cisco Meraki, HPE Aruba, Ruckus, বা Juniper Mist-এ WPA2-Enterprise বা WPA3-Enterprise-এর জন্য আপনার সুরক্ষিত SSID কনফিগার করুন। পিক অনবোর্ডিংয়ের সময় সার্টিফিকেট যাচাইকরণের ল্যাটেন্সি সামাল দিতে RADIUS টাইমআউট কমপক্ষে পাঁচ সেকেন্ড সেট করুন। এখন সম্ভাব্য ভুলত্রুটিগুলো নিয়ে আলোচনা করা যাক। আমি এগুলোকে বারবার ডেপ্লয়মেন্ট ব্যাহত করতে দেখেছি। প্রথমটি হলো ভুল ক্রমে MDM প্রোফাইল স্থাপন করা। SCEP সার্টিফিকেট প্রোফাইলের আগে যদি WiFi প্রোফাইলটি ডিভাইসে পৌঁছায়, তবে অথেন্টিকেট করার জন্য ডিভাইসের কাছে কোনো সার্টিফিকেট থাকে না। কানেকশনটি ব্যর্থ হয় এবং ব্যবহারকারী হেল্পডেস্কে কল করে। দ্বিতীয় ভুলটি হলো BYOD ডিভাইসগুলোর কথা ভুলে যাওয়া। Intune এবং Jamf আপনার প্রতিষ্ঠানের নিজস্ব ডিভাইসগুলো পরিচালনা করে। কিন্তু শিক্ষার্থীদের ব্যক্তিগত ডিভাইসগুলো আপনার MDM-এ এনরোল করা থাকে না। সেগুলোর জন্য আপনার একটি সেলফ-সার্ভিস অনবোর্ডিং পোর্টাল প্রয়োজন। শিক্ষার্থী তাদের বিশ্ববিদ্যালয়ের ক্রেডেনশিয়াল ব্যবহার করে Single Sign-On-এর মাধ্যমে অথেন্টিকেট করে এবং পোর্টালটি সার্টিফিকেট প্রদানের জন্য SCEP ব্যবহার করে। Purple-এর প্ল্যাটফর্ম এই অনবোর্ডিং ফ্লো সরাসরি ক্যাপটিভ পোর্টাল অভিজ্ঞতার সাথে একীভূত করে, যাতে শিক্ষার্থীরা কোনো IT হস্তক্ষেপ ছাড়াই দুই মিনিটেরও কম সময়ে এনরোলমেন্ট সম্পন্ন করতে পারে। তৃতীয় ভুলটি হলো পিক অনবোর্ডিংয়ের সময় RADIUS টাইমআউট ব্যর্থতা। সেপ্টেম্বরের সময়ে নয়, বরং তার আগেই আপনার RADIUS ইনফ্রাস্ট্রাকচারের লোড টেস্ট করুন। অন্তত দুটি RADIUS নোড জুড়ে লোড ব্যালেন্সিং বাস্তবায়ন করুন। fourth ভুলটি হলো সার্টিফিকেট বাতিলকরণ। যখন কোনো শিক্ষার্থী চলে যায়, অথবা কোনো ডিভাইস হারিয়ে যায় বা চুরি হয়, তখন আপনাকে অবিলম্বে সার্টিফিকেটটি বাতিল করতে হবে। আপনার CA যাতে একটি Certificate Revocation List প্রকাশ করে এবং আপনার RADIUS সার্ভার যাতে প্রতিটি অথেন্টিকেশনে এটি চেক করে তা নিশ্চিত করুন। এখন আমরা সবচেয়ে বেশি যে প্রশ্নগুলো শুনি সেগুলোর একটি দ্রুত প্রশ্নোত্তর পর্ব। MDM ছাড়া কি SCEP কাজ করতে পারে? প্রযুক্তিগতভাবে হ্যাঁ, কিন্তু ব্যবহারিক ক্ষেত্রে না। SCEP পে-লোড এবং WiFi প্রোফাইল পুশ করার জন্য একটি MDM না থাকলে, আপনাকে আবার ম্যানুয়াল ডিভাইস কনফিগারেশনে ফিরে যেতে হবে। সার্টিফিকেটের মেয়াদ কতদিন হওয়া উচিত? শিক্ষার্থীদের ডিভাইসের জন্য এক থেকে দুই বছর স্ট্যান্ডার্ড। এটি নবায়নের ঝামেলা ছাড়াই শিক্ষাবর্ষ পার করার জন্য যথেষ্ট দীর্ঘ, আবার কোনো সার্টিফিকেট ক্ষতিগ্রস্ত হলে ঝুঁকি সীমিত করার জন্য যথেষ্ট সংক্ষিপ্ত। যেসব IoT ডিভাইস 802.1X সমর্থন করে না সেগুলোর ক্ষেত্রে কী হবে? একটি সেলফ-সার্ভিস ডিভাইস রেজিস্ট্রেশন পোর্টালের সাথে MAC Authentication Bypass ব্যবহার করুন। শিক্ষার্থীরা তাদের গেমিং কনসোল বা স্মার্ট টিভির MAC অ্যাড্রেস রেজিস্টার করবে এবং আপনার NAC সিস্টেম এটিকে সঠিক VLAN-এ স্থাপন করবে। এটি কি eduroam-এর সাথে কাজ করে? হ্যাঁ। eduroam ফেডারেশন দ্বারা EAP-TLS সম্পূর্ণভাবে সমর্থিত। আপনার ক্যাম্পাসের CA দ্বারা ইস্যু করা সার্টিফিকেটগুলো বিশ্বজুড়ে যেকোনো অংশগ্রহণকারী প্রতিষ্ঠানে eduroam-এ শিক্ষার্থীদের অথেন্টিকেট করতে পারে। শেষ করার আগে, এখানে তিনটি সিদ্ধান্ত দেওয়া হলো যা একটি সফল SCEP ডেপ্লয়মেন্ট নির্ধারণ করে। প্রথমত: অন্য সবকিছুর আগে আপনার CA আর্কিটেকচার বেছে নিন। অন-প্রেমিসেস ADCS আপনাকে সম্পূর্ণ নিয়ন্ত্রণ দেয়। ক্লাউড PKI আপনাকে পরিচালনাগত সহজতা দেয়। এখানে ভুল সিদ্ধান্ত নিলে আপনাকে মাসের পর মাস পুনরায় কাজ করতে হতে পারে। দ্বিতীয়ত: প্রথম দিন থেকেই BYOD অনবোর্ডিং স্বয়ংক্রিয় করুন। ধরে নেবেন না যে শিক্ষার্থীরা তাদের ব্যক্তিগত ডিভাইসগুলো ম্যানুয়ালি কনফিগার করবে। তারা করবে না। সেমিস্টার শুরু হওয়ার আগেই সেলফ-সার্ভিস পোর্টালটি তৈরি করুন। তৃতীয়ত: সেপ্টেম্বরের আগেই লোডের অধীনে আপনার RADIUS ক্যাপাসিটি পরীক্ষা করুন। সেমিস্টার শুরুর প্রথম দিনে RADIUS বিভ্রাট সম্পূর্ণভাবে প্রতিরোধযোগ্য। Purple-এর প্ল্যাটফর্ম এই তিনটির সবকটিই সমর্থন করে: ক্লাউড ওভারলে PKI ইন্টিগ্রেশন, আমাদের ক্যাপটিভ পোর্টালের মাধ্যমে সেলফ-সার্ভিস BYOD অনবোর্ডিং এবং আশি হাজারেরও বেশি লাইভ ভেন্যুতে নিরানব্বই দশমিক নয় নয় নয় শতাংশ আপটাইম সহ পরীক্ষিত RADIUS ইনফ্রাস্ট্রাকচার। Purple টেকনিক্যাল ব্রিফিংয়ে যোগ দেওয়ার জন্য আপনাকে ধন্যবাদ। আরও নির্দেশনার জন্য, purple.ai ভিজিট করুন।