Cisco SUDI বোঝা: নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলে হার্ডওয়্যার-ভিত্তিক ডিভাইস আইডেন্টিটি

Understanding Cisco SUDI: Hardware-Based Device Identity in Network Access Control A Purple Technical Briefing - Full Podcast Script (approx. 10 minutes) --- SEGMENT 1: INTRODUCTION AND CONTEXT (approx. 1 minute) হ্যালো এবং একটি Purple টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগত জানাই। আমি আগামী দশ মিনিট আপনাকে Cisco SUDI - Secure Unique Device Identifier - এটি আসলে কী, কীভাবে এটি আপনার নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল আর্কিটেকচারের সাথে খাপ খায় এবং আপনি যদি স্কেলে Cisco অবকাঠামো চালান তবে আপনাকে এটি নিয়ে কী করতে হবে তা বিস্তারিত জানাব। এটি ভেন্যুগুলোর নেটওয়ার্ক আর্কিটেক্ট, আইটি ম্যানেজার এবং CTO-দের উদ্দেশ্যে তৈরি করা হয়েছে - হোটেল, রিটেইল এস্টেট, স্টেডিয়াম, কনফারেন্স সেন্টার - যেখানেই আপনি এন্টারপ্রাইজ WiFi চালাচ্ছেন এবং আপনার নেটওয়ার্কের হার্ডওয়্যারটি ঠিক যা দাবি করছে তা নিশ্চিত হওয়া প্রয়োজন। আসুন SUDI যে সমস্যার সমাধান করে তা দিয়ে শুরু করি। যেকোনো বড় ভেন্যু নেটওয়ার্কে আপনার কয়েক ডজন বা শত শত অ্যাক্সেস পয়েন্ট, সুইচ এবং কন্ট্রোলার থাকে। আপনার নিরাপত্তা ব্যবস্থার কার্যকারিতা যে প্রশ্নের ওপর নির্ভর করে তা হলো: আপনি কীভাবে জানবেন যে এই ডিভাইসগুলোর প্রতিটি একটি আসল, অপরিবর্তিত Cisco পণ্য - এবং কোনো জাল, আপোসকৃত ইউনিট বা পরিবহনের সময় ট্যাম্পার করা ডিভাইস নয়? এই শূন্যতাটিই SUDI পূরণ করে। --- SEGMENT 2: TECHNICAL DEEP-DIVE (approx. 5 minutes) SUDI-এর পূর্ণরূপ হলো Secure Unique Device Identifier। এটি একটি X.509 সংস্করণ ৩ সার্টিফিকেট - HTTPS এবং TLS-এ ব্যবহৃত একই সার্টিফিকেট ফরম্যাট - তবে এটি কোনো ব্যক্তি বা সার্ভারকে ইস্যু করার পরিবর্তে, ম্যানুফ্যাকচারিংয়ের সময় একটি নির্দিষ্ট হার্ডওয়্যারকে ইস্যু করা হয়। এতে ডিভাইসের প্রোডাক্ট আইডেন্টিফায়ার এবং সিরিয়াল নম্বর থাকে এবং এটি Cisco-এর নিজস্ব পাবলিক কী ইনফ্রাস্ট্রাকচারের ওপর ভিত্তি করে তৈরি। আপনি নিজে ইনস্টল করবেন এমন একটি সফটওয়্যার সার্টিফিকেটের থেকে SUDI-কে যা আলাদা করে তা এখানে দেওয়া হলো। SUDI সার্টিফিকেট এবং এর সাথে সংশ্লিষ্ট কী পেয়ার (key pair) ট্রাস্ট অ্যাঙ্কর মডিউল বা TAm নামক একটি ট্যাম্পার-প্রতিরোধী চিপের ভেতরে থাকে। প্রাইভেট কী-টি সেই চিপের ভেতরে তৈরি হয় এবং এটি কখনই চিপ থেকে বের হয় না। আপনি এটি এক্সপোর্ট করতে পারবেন না। আপনি এটি ক্লোন করতে পারবেন না। যদি কেউ শারীরিকভাবে চিপটির সাথে ট্যাম্পার করে, তবে কী-টি ধ্বংস হয়ে যায়। এটিই হলো হার্ডওয়্যার রুট অফ ট্রাস্ট। SUDI হলো IEEE 802.1AR স্ট্যান্ডার্ডের Cisco-এর নিজস্ব বাস্তবায়ন - যা সিকিউর ডিভাইস আইডেন্টিফায়ার বা DevID-এর জন্য ইন্ডাস্ট্রি স্ট্যান্ডার্ড। 802.1AR-এর অধীনে, ম্যানুফ্যাকচারার-ইনস্টল করা ক্রেডেনশিয়ালকে ইনিশিয়াল ডিভাইস আইডেন্টিফায়ার বা IDevID বলা হয়। Cisco-এর SUDI ঠিক সেটাই - একটি IDevID যা Cisco ফ্যাক্টরিতে ইনস্টল করে। আপনি এটিকে একটি লোকালি সিগনিফিক্যান্ট ডিভাইস আইডেন্টিফায়ার বা LDevID দিয়ে পরিপূরক করতে পারেন, যা আপনার নিজস্ব PKI স্থানীয় অথরাইজেশন পলিসির জন্য ইস্যু করে। এখন, এটি কীভাবে নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের সাথে যুক্ত হয়? সবচেয়ে সাধারণ ইন্টিগ্রেশন পয়েন্ট হলো IEEE 802.1X - পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড। যখন একটি Cisco অ্যাক্সেস পয়েন্ট বা সুইচ অনলাইন হয়, তখন এটি EAP-TLS ব্যবহার করে একটি RADIUS সার্ভারে (সাধারণত Cisco ISE, Identity Services Engine) তার SUDI সার্টিফিকেট উপস্থাপন করতে পারে, যা হলো ট্রান্সপোর্ট লেয়ার সিকিউরিটি সহ এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল। RADIUS সার্ভারটি Cisco-এর পাবলিক সার্টিফিকেট অথরিটির বিপরীতে সার্টিফিকেটটি যাচাই করে, ডিভাইসটি আসল কিনা তা নিশ্চিত করে এবং তারপরে উপযুক্ত নেটওয়ার্ক পলিসি প্রয়োগ করে। এটি MAC address bypass-এর চেয়ে উল্লেখযোগ্যভাবে শক্তিশালী, যা বেশিরভাগ নেটওয়ার্ক অবকাঠামো ডিভাইসের জন্য ফলব্যাক হিসেবে ব্যবহার করে। MAC অ্যাড্রেসগুলো এক মিনিটেরও কম সময়ে স্পুফ করা যেতে পারে। ডিভাইসটিকে শারীরিকভাবে ধ্বংস না করে একটি ট্যাম্পার-প্রতিরোধী চিপে থাকা হার্ডওয়্যার-বাউন্ড সার্টিফিকেট স্পুফ করা অসম্ভব। একটি ভেন্যুর প্রেক্ষাপটে, এটি তিনটি কারণে গুরুত্বপূর্ণ। প্রথমত, এটি আপনার নেটওয়ার্কে অননুমোদিত অ্যাক্সেস পয়েন্ট যুক্ত হওয়ার ঝুঁকি দূর করে। একটি জাল বা অননুমোদিত ডিভাইস কেবল একটি বৈধ SUDI উপস্থাপন করতে পারে না। দ্বিতীয়ত, এটি স্বয়ংক্রিয়, Zero Touch Provisioning সক্ষম করে - একটি নতুন ডিভাইস আপনার ভেন্যুতে পাঠানো হয়, চালু হয়, তার SUDI উপস্থাপন করে এবং আপনার ম্যানেজমেন্ট সিস্টেম কনফিগারেশন পুশ করার আগে আপনার ইনভেন্টরির সাথে এটি যাচাই করে। কোনো ম্যানুয়াল হস্তক্ষেপের প্রয়োজন হয় হয় না। তৃতীয়ত, এটি আপনাকে একটি ক্রিপ্টোগ্রাফিকভাবে যাচাইযোগ্য অডিট ট্রেইল দেয়। আপনার নেটওয়ার্কে অথেন্টিকেট হওয়া প্রতিটি ডিভাইস এমন একটি সার্টিফিকেট দিয়ে তা করেছে যা প্রমাণ করে যে এটি একটি নির্দিষ্ট, নামযুক্ত Cisco পণ্য। আমাকে ট্রাস্ট অ্যাঙ্কর মডিউল সম্পর্কে আরও কিছুটা বিস্তারিত বলতে দিন, কারণ এটিই হলো সেই ভিত্তি যার ওপর অন্য সবকিছু দাঁড়িয়ে আছে। TAm হলো একটি মালিকানাধীন Cisco চিপ যা তিনটি জিনিস প্রদান করে: SUDI এবং কীগুলোর জন্য নন-ভোলাটাইল সুরক্ষিত স্টোরেজ, র্যান্ডম নম্বর জেনারেশন সহ ক্রিপ্টোগ্রাফিক পরিষেবা এবং হার্ডওয়্যার ফিঙ্গারপ্রিন্টিং। শেষটি লক্ষণীয় - Cisco ম্যানুফ্যাকচারিংয়ের সময় একটি ডিভাইসের গুরুত্বপূর্ণ হার্ডওয়্যার উপাদানগুলোর ফিঙ্গারপ্রিন্ট নেয় এবং সেই ফিঙ্গারপ্রিন্টটি TAm-এ সংরক্ষণ করে। যখন ডিভাইসটি বুট হয়, তখন এটি সংরক্ষিত ফিঙ্গারপ্রিন্টের সাথে পরিলক্ষিত হার্ডওয়্যার ফিঙ্গারপ্রিন্টটি পরীক্ষা করে। যদি সেগুলো না মেলে, তবে ডিভাইসটি বুট হবে না। এটি পরিবহনের সময় হার্ডওয়্যার ট্যাম্পারিং সনাক্ত করে - যা বড় ভেন্যু স্থাপনের জন্য একটি বাস্তব উদ্বেগ যেখানে হার্ডওয়্যার ইনস্টলেশনের আগে একাধিক হাত ঘুরে আসতে পারে। একটি অপারেশনাল সমস্যা সম্পর্কে আপনার সচেতন হওয়া দরকার: মে ২০১৯-এর আগে জারি করা SUDI সার্টিফিকেটগুলোর মেয়াদ ম্যানুফ্যাকচারিংয়ের তারিখ থেকে দশ বছর বা ১৪ মে ২০২৯-এর মধ্যে যেটি আগে আসে, তাতে শেষ হয়ে যায়। Cisco এটিকে SUDI-2099 নামক একটি নতুন প্রজন্মের সার্টিফিকেটের মাধ্যমে সমাধান করেছে, যা ডিসেম্বর ২০৯৯ পর্যন্ত বৈধ। আপনি যদি ২০১৯-এর আগে তৈরি Catalyst 9000 সিরিজের হার্ডওয়্যার চালান, তবে আপনাকে এখনই আপনার SUDI-এর মেয়াদ শেষ হওয়ার তারিখগুলো পরীক্ষা করতে হবে। IOS-XE-তে কমান্ডটি হলো show crypto pki certificate। CISCO_IDEVID_SUDI ট্রাস্টপয়েন্টটি খুঁজুন এবং শেষ তারিখটি পরীক্ষা করুন। আপনি যদি Catalyst 9200-এ থাকেন, তবে আপনি সঠিক ২০৯৯ সার্টিফিকেট ব্যবহার করছেন তা নিশ্চিত করতে IOS-XE 17.12.2 বা তার পরবর্তী সংস্করণে আপগ্রেড করুন। --- SEGMENT 3: IMPLEMENTATION RECOMMENDATIONS AND PITFALLS (approx. 2 minutes) আমাকে আপনাকে ব্যবহারিক বাস্তবায়নের চিত্রটি দিতে দিন। আপনি যদি কোনো ভেন্যু পরিবেশে SUDI-ভিত্তিক অথেন্টিকেশন স্থাপন করেন, তবে এখানে সেই সিকোয়েন্সটি দেওয়া হলো যা কাজ করে। আপনার RADIUS অবকাঠামো দিয়ে শুরু করুন। আপনি যদি ইতিমধ্যে Cisco ইকোসিস্টেমে থাকেন তবে Cisco ISE একটি স্বাভাবিক পছন্দ, তবে EAP-TLS সমর্থন করে এবং একটি বাহ্যিক CA-এর বিপরীতে যাচাই করতে পারে এমন যেকোনো RADIUS সার্ভার কাজ করবে। আপনাকে আপনার RADIUS ট্রাস্ট স্টোরে Cisco-এর রুট CA এবং ACT2 SUDI CA সার্টিফিকেটগুলো ইম্পোর্ট করতে হবে। এগুলো Cisco-এর PKI পোর্টাল থেকে সর্বজনীনভাবে উপলব্ধ। এরপরে, অবকাঠামো ডিভাইসগুলোর জন্য সার্টিফিকেট-ভিত্তিক অথেন্টিকেশনের প্রয়োজন মেটাতে আপনার 802.1X পলিসি কনফিগার করুন। এটিকে আপনার শেষ-ব্যবহারকারী অথেন্টিকেশন পলিসি থেকে আলাদা করুন - স্টাফ এবং গেস্ট অথেন্টিকেশন ফ্লো আলাদা এবং ISE-তে আলাদা পলিসি সেটে থাকা উচিত। নতুন স্থাপনার জন্য, Zero Touch Provisioning সক্ষম করুন। আপনার নেটওয়ার্ক ম্যানেজমেন্ট সিস্টেম - Cisco DNA Centre বা Catalyst Centre - কনফিগারেশন পুশ করার আগে ডিভাইসের আইডেন্টিটি যাচাই করতে SUDI ব্যবহার করতে পারে। এটি ম্যানুয়াল স্টেজিং প্রক্রিয়া দূর করে এবং ডিভাইস প্রতি প্রোভিশনিংয়ের সময় কয়েক ঘণ্টা থেকে কমিয়ে কয়েক মিনিটে নিয়ে আসে। এখন, ত্রুটিগুলো। আমি সবচেয়ে সাধারণ যে ত্রুটিটি দেখি তা হলো একই পোর্টে MAC address bypass-এর সাথে SUDI অথেন্টিকেশন মিশ্রিত করা। SUDI ব্যর্থ হলে আপনি যদি MAB-তে ফিরে যান, তবে আপনি নিরাপত্তা মডেলটিকে দুর্বল করে ফেলেছেন। একটি স্পষ্ট পলিসি নির্ধারণ করুন: SUDI-সক্ষম ডিভাইসগুলোকে অবশ্যই SUDI-এর মাধ্যমে অথেন্টিকেট হতে হবে, ব্যস। নন-SUDI ডিভাইসগুলো ম্যানুয়াল পর্যালোচনার অপেক্ষায় একটি কোয়ারেন্টাইন VLAN-এ যাবে। দ্বিতীয় ত্রুটিটি হলো সার্টিফিকেটের মেয়াদ শেষ হওয়া। এখনই আপনার এস্টেট জুড়ে SUDI-এর মেয়াদ শেষ হওয়ার তারিখগুলোর জন্য মনিটরিং সেট আপ করুন। আপনার অ্যাক্সেস পয়েন্টগুলো আর অথেন্টিকেট করতে পারছে না তা আবিষ্কার করার জন্য কোনো পরিষেবা বিভ্রাটের অপেক্ষা করবেন না। Purple-এর প্ল্যাটফর্ম Cisco Meraki এবং অন্যান্য হার্ডওয়্যার ভেন্ডরদের সাথে একীভূত হয়ে একটি একক ড্যাশবোর্ডে ডিভাইসের হেলথ সিগন্যাল - অথেন্টিকেশন স্ট্যাটাস সহ - প্রদর্শন করে, যা স্কেলে এই ধরনের সক্রিয় মনিটরিংকে ব্যবহারিক করে তোলে। তৃতীয় ত্রুটিটি হলো স্কোপ ক্রিপ (scope creep)। SUDI হার্ডওয়্যার ডিভাইসটিকে অথেন্টিকেট করে। এটি সেই ডিভাইসের মাধ্যমে সংযোগকারী ব্যবহারকারীকে অথেন্টিকেট করে না। অতিথি, স্টাফ এবং বাসিন্দাদের জন্য আপনার এখনও একটি পৃথক আইডেন্টিটি লেয়ারের প্রয়োজন। সেখানেই Purple-এর মতো একটি প্ল্যাটফর্ম কাজ করে - আমরা মানুষের আইডেন্টিটি লেয়ার, সম্মতি গ্রহণ, গেস্ট ট্রাফিকের জন্য VLAN অ্যাসাইনমেন্ট এবং অ্যানালিটিক্স পরিচালনা করি, যখন SUDI নিচের অবকাঠামো লেয়ারটি পরিচালনা করে। --- SEGMENT 4: RAPID-FIRE Q AND A (approx. 1 minute) আমাকে নিয়মিত জিজ্ঞাসা করা হয় এমন তিনটি প্রশ্ন দ্রুত দেখে নেওয়া যাক। SUDI কি আমার বিদ্যমান PKI-কে প্রতিস্থাপন করে? না। SUDI হলো একটি ম্যানুফ্যাকচারার-ইনস্টল করা IDevID। এটি প্রমাণ করে যে ডিভাইসটি আসল Cisco হার্ডওয়্যার। আপনার এন্টারপ্রাইজ PKI অন্য সব কিছুর জন্য LDevID এবং ব্যবহারকারী সার্টিফিকেট ইস্যু করে। এগুলো সমান্তরালভাবে কাজ করে। আমি কি নন-Cisco হার্ডওয়্যারে SUDI ব্যবহার করতে পারি? না। SUDI হলো Cisco-নির্দিষ্ট। HPE Aruba-এর একটি সমতুল্য ব্যবস্থা রয়েছে যাকে IAP প্রোভিশনিং সার্টিফিকেট বলা হয়। Ruckus এবং Juniper Mist-এর নিজস্ব ডিভাইস আইডেন্টিটি মেকানিজম রয়েছে। অন্তর্নিহিত স্ট্যান্ডার্ড - IEEE 802.1AR - ভেন্ডর-নিরপেক্ষ, তবে প্রতিটি ম্যানুফ্যাকচারার এটি ভিন্নভাবে বাস্তবায়ন করে। SUDI সার্টিফিকেটের মেয়াদ শেষ হলে কী হয়? অথেন্টিকেশনের জন্য SUDI-এর ওপর নির্ভরশীল পরিষেবাগুলো - HTTPS, সার্টিফিকেট অথেন্টিকেশন সহ SSH, Zero Touch Provisioning - ব্যর্থ হবে। ডিভাইসটি নিজেই কাজ করতে থাকে, তবে এটি আর ক্রিপ্টোগ্রাফিকভাবে তার পরিচয় প্রমাণ করতে পারে না। এই কারণেই SUDI-2099 মাইগ্রেশন গুরুত্বপূর্ণ। --- SEGMENT 5: SUMMARY AND NEXT STEPS (approx. 1 minute) সারসংক্ষেপ করতে: Cisco SUDI আপনাকে হার্ডওয়্যার-রুটেড ডিভাইস আইডেন্টিটি দেয় যা স্পুফ, ক্লোন বা এক্সপোর্ট করা যায় না। এটি একটি বিশ্বস্ত অবকাঠামো লেয়ারের ভিত্তি। IEEE 802.1X এবং একটি সু-কনফিগার করা RADIUS পলিসির সাথে মিলিত হয়ে, এটি অননুমোদিত ডিভাইসের ঝুঁকি দূর করে এবং স্কেলে স্বয়ংক্রিয় প্রোভিশনিং সক্ষম করে। আপনার তিনটি তাৎক্ষণিক পদক্ষেপ: এক, show crypto pki certificate ব্যবহার করে SUDI-এর মেয়াদ শেষ হওয়ার তারিখগুলোর জন্য আপনার Cisco এস্টেট অডিট করুন। দুই, আপনার RADIUS ট্রাস্ট স্টোরে Cisco-এর রুট CA ইম্পোর্ট করুন এবং অবকাঠামো ডিভাইসগুলোর জন্য EAP-TLS পলিসি কনফিগার করুন। তিন, আপনার অবকাঠামো অথেন্টিকেশন পলিসিকে আপনার শেষ-ব্যবহারকারী অথেন্টিকেশন পলিসি থেকে আলাদা করুন - এগুলো ভিন্ন উদ্দেশ্যে কাজ করে এবং স্বাধীনভাবে পরিচালনা করা উচিত। অতিথি, স্টাফ এবং বাসিন্দাদের জন্য আইডেন্টিটি-ভিত্তিক নেটওয়ার্ক সেগমেন্টেশন প্রদান করতে Purple কীভাবে Cisco Meraki এবং অন্যান্য হার্ডওয়্যার ভেন্ডরদের সাথে একীভূত হয় সে সম্পর্কে আরও জানতে, purple.ai ভিজিট করুন বা এই এপিসোডের নিচে লিঙ্ক করা সম্পর্কিত নির্দেশিকাগুলো পড়ুন। শোনার জন্য ধন্যবাদ। পরবর্তী ব্রিফিংয়ে আপনার সাথে দেখা হবে। --- স্ক্রিপ্ট সমাপ্ত