ডিভাইসে WiFi সার্টিফিকেট পুশ করতে কীভাবে Microsoft Intune ব্যবহার করবেন
Microsoft Intune-এর মাধ্যমে 802.1X WiFi সার্টিফিকেট স্থাপন করার বিষয়ে IT লিডারদের জন্য একটি বিস্তৃত টেকনিক্যাল রেফারেন্স। এতে এন্টারপ্রাইজ পরিবেশের জন্য SCEP বনাম PKCS আর্কিটেকচার, বাস্তবায়নের ধাপ, কমপ্লায়েন্স ম্যাপিং এবং বাস্তব-ক্ষেত্রের ডিপ্লয়মেন্ট পরিস্থিতি কভার করা হয়েছে।
Video overview
এই গাইডটি শুনুন
পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
আমাদের মূল সিরিজের অংশ: Enterprise WiFi Security Guide →
Microsoft Intune WiFi certificate profile and architecture advisor
Model your enterprise 802.1X certificate deployment. Compare SCEP vs PKCS vs Microsoft Cloud PKI, validate OS-specific key storage parameters, eliminate group targeting conflicts (error 0x87D1FDE8), and generate deployment profiles.
Certificate Enrollment Specifications
- Protocol: Simple Certificate Enrollment Protocol (RFC 8894)
- Key Security: Generated on client device (TPM / Secure Enclave) - never leaves endpoint
- Key Length: RSA 2048-bit (SHA-256 Signature Hash)
- Hardware Provider: TPM KSP (Microsoft Platform Crypto Provider) if present, fallback to Software KSP
- Subject Name Format:
CN={{UserName}},OU=WiFi Users,DC=corp,DC=internal - Subject Alternative Name (SAN):
User Principal Name (UPN) = {{UserPrincipalName}} - Renewal Threshold: 20% (Trigger certificate renewal at 80% of validity period)
AAA & RADIUS Integration Details
- RADIUS Engine: Purple Cloud RADIUS (Recommended)
- Architecture Mode: 100% Cloud Native AAA
- RadSec (RFC 6614): Supported (Encrypted TLS Tunnel)
- Directory Lookup: Direct REST API integration with Microsoft Entra ID for dynamic role mapping & group sync
- CRL & OCSP Validation: Real-time OCSP & Automated CRL distribution point polling
- Operating System Best Practice: Configure Identity Certificate reference in WiFi profile to avoid manual user certificate prompts.
Remove on-premises NPS and NDES with Purple Cloud RADIUS
Authenticate Microsoft Entra ID and Intune-enrolled devices natively with zero on-premises servers. Get dynamic role-based VLAN steering, RadSec encryption, and automated certificate revocation.
এক্সিকিউটিভ সামারি
Hospitality, Retail, বা পাবলিক-সেক্টর ভেন্যু জুড়ে বড় আকারের পরিবেশ পরিচালনা করার জন্য এন্টারপ্রাইজ IT লিডারদের কাছে সুরক্ষিত ওয়্যারলেস অ্যাক্সেস একটি মৌলিক অপারেশনাল প্রয়োজন। শেয়ার্ড PSKs (Pre-Shared Keys) বা ইউজারনেম/পাসওয়ার্ড প্রমাণীকরণের (PEAP-MSCHAPv2) উপর নির্ভর করা নেটওয়ার্ককে ক্রেডেনশিয়াল চুরি, ফিশিং এবং কমপ্লায়েন্স ব্যর্থতার ঝুঁকিতে ফেলে। শক্তিশালী এন্টারপ্রাইজ WiFi সুরক্ষার জন্য ইন্ডাস্ট্রি স্ট্যান্ডার্ড হল EAP-TLS (Extensible Authentication Protocol with Transport Layer Security) সহ 802.1X, যা ডিভাইস এবং নেটওয়ার্কের মধ্যে পারস্পরিক সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ বাধ্যতামূলক করে।
যাইহোক, ঐতিহাসিকভাবে EAP-TLS গ্রহণের ক্ষেত্রে প্রধান বাধা ছিল সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্টের অপারেশনাল ওভারহেড। Microsoft Intune স্কেলে ম্যানেজড ডিভাইসগুলোতে ডিজিটাল সার্টিফিকেট বিতরণ, পুনর্নবীকরণ এবং প্রত্যাহার স্বয়ংক্রিয় করার মাধ্যমে এটি সমাধান করে।
এই টেকনিক্যাল রেফারেন্সে Microsoft Intune এর মাধ্যমে WiFi সার্টিফিকেট পুশ করার জন্য প্রয়োজনীয় আর্কিটেকচার, ডিপ্লয়মেন্ট মেথডোলজি (SCEP বনাম PKCS), এবং ইমপ্লিমেন্টেশন ধাপগুলো বিস্তারিতভাবে বর্ণনা করা হয়েছে। এটি নেটওয়ার্ক আর্কিটেক্ট এবং সিস্টেম ইঞ্জিনিয়ারদের জন্য কার্যকরী গাইডলাইন প্রদান করে যাদের কাজ হল কর্পোরেট যোগাযোগ সুরক্ষিত করা এবং একই সাথে ভিজিটর নেটওয়ার্ক (যেমন একটি Guest WiFi প্ল্যাটফর্ম দ্বারা পরিচালিত নেটওয়ার্ক) থেকে কঠোরভাবে আলাদা রাখা।
Technical Deep-Dive: Architecture and Protocols
সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন কার্যকরভাবে প্রয়োগ করতে, IT টিমগুলোকে অবশ্যই Mobile Device Management (MDM) প্ল্যাটফর্ম, Public Key Infrastructure (PKI), এবং নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল লেয়ারের মধ্যকার মিথস্ক্রিয়া বুঝতে হবে।
The 802.1X Authentication Framework
IEEE 802.1X স্ট্যান্ডার্ডটি পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সংজ্ঞায়িত করে। ওয়্যারলেস কনটেক্সটে, এটি কোনো ডিভাইসের পরিচয় যাচাই না হওয়া পর্যন্ত কোনো ট্রাফিক (EAP অথেন্টিকেশন ফ্রেম ছাড়া) পাস করা প্রতিরোধ করে। এই আর্কিটেকচারটি তিনটি উপাদান নিয়ে গঠিত:
- Supplicant: ক্লায়েন্ট ডিভাইস (ল্যাপটপ, স্মার্টফোন, ট্যাবলেট) যা নেটওয়ার্ক অ্যাক্সেসের জন্য অনুরোধ করছে।
- Authenticator: ওয়্যারলেস অ্যাক্সেস পয়েন্ট বা ওয়্যারলেস LAN কন্ট্রোলার যা অথেন্টিকেশন সফল না হওয়া পর্যন্ত ট্রাফিক ব্লক করে।
- Authentication Server: RADIUS (Remote Authentication Dial-In User Service) সার্ভার, যেমন Microsoft Network Policy Server (NPS) বা Cisco ISE, যা ক্রেডেন্সিয়াল যাচাই করে এবং অ্যাক্সেস অনুমোদন করে।
EAP-TLS and Mutual Authentication
EAP-TLS হলো সবচেয়ে সুরক্ষিত EAP পদ্ধতি কারণ এতে পারস্পরিক অথেন্টিকেশন প্রয়োজন হয়। RADIUS সার্ভার এটি যে বৈধ কর্পোরেট নেটওয়ার্ক তা প্রমাণ করতে supplicant-এর কাছে তার সার্টিফিকেট পেশ করে (যা ইভিল-টুইন আক্রমণ প্রতিরোধ করে), এবং supplicant এটি যে একটি অনুমোদিত ডিভাইস বা ব্যবহারকারী তা প্রমাণ করতে RADIUS সার্ভারের কাছে তার ক্লায়েন্ট সার্টিফিকেট পেশ করে।
Intune Certificate Deployment Mechanisms: SCEP vs PKCS
ডিভাইসগুলোতে ক্লায়েন্ট সার্টিফিকেট ডেপ্লয় করার জন্য Microsoft Intune দুটি প্রাথমিক প্রোটোকল সমর্থন করে। উপযুক্ত মেকানিজম নির্বাচন করা একটি অত্যন্ত গুরুত্বপূর্ণ আর্কিটেকচারাল সিদ্ধান্ত।
Simple Certificate Enrollment Protocol (SCEP)
SCEP-এর ক্ষেত্রে, প্রাইভেট কি-টি সরাসরি ক্লায়েন্ট ডিভাইসে জেনারেট হয়। ডিভাইসটি একটি Certificate Signing Request (CSR) তৈরি করে এবং Intune-এর মাধ্যমে তা Network Device Enrollment Service (NDES) সার্ভারে সাবমিট করে, যা Active Directory Certificate Services (ADCS) ইনফ্রাস্ট্রাকচারের প্রক্সি হিসেবে কাজ করে। CA সার্টিফিকেট ইস্যু করে, যা ডিভাইসে ফেরত পাঠানো হয়।
যেহেতু প্রাইভেট কি-টি কখনোই ডিভাইস থেকে বাইরে যায় না, তাই SCEP-কে অত্যন্ত সুরক্ষিত বলে মনে করা হয় এবং BYOD (Bring Your Own Device) ডেপ্লয়মেন্ট এবং জিরো-ট্রাস্ট আর্কিটেকচারের জন্য এটি একটি প্রস্তাবিত পদ্ধতি।
Public Key Cryptography Standards (PKCS)
PKCS-এর ক্ষেত্রে, Intune Certificate Connector ডিভাইসের পক্ষ থেকে CA-এর কাছে সার্টিফিকেটের জন্য অনুরোধ করে। CA পাবলিক সার্টিফিকেট এবং প্রাইভেট কি উভয়ই জেনারেট করে, যা কানেক্টরটি তখন Intune-এর মাধ্যমে ডিভাইসে নিরাপদে পৌঁছে দেয়।
যদিও PKCS ইনফ্রাস্ট্রাকচারের প্রয়োজনীয়তা সহজ করে দেয় (কোনো NDES সার্ভারের প্রয়োজন হয় না), তবুও প্রাইভেট কি-টি নেটওয়ার্কের মাধ্যমে স্থানান্তরিত হয়। এই মডেলটি সাধারণত কর্পোরেট-মালিকানাধীন, সম্পূর্ণ পরিচালিত ডিভাইস ফ্লিটের জন্য গ্রহণযোগ্য যেখানে MDM প্ল্যাটফর্মটি ইতিমধ্যেই একটি অত্যন্ত বিশ্বস্ত উপাদান।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।
বাস্তবায়ন নির্দেশিকা: ধাপে ধাপে ডেপ্লয়মেন্ট
Intune-এর মাধ্যমে WiFi সার্টিফিকেট ডেপ্লয় করার জন্য সুনির্দিষ্ট সিকোয়েন্সিং বা ক্রম অনুসরণ করা প্রয়োজন। প্রোফাইলগুলো সঠিক ক্রমানুসারে ডেপ্লয় না করা হলো বাস্তবায়ন ব্যর্থ হওয়ার সবচেয়ে সাধারণ কারণ।
ধাপ ১: পাবলিক কি ইনফ্রাস্ট্রাকচার (PKI) প্রস্তুত করা
অন-প্রিমিসেস ADCS ব্যবহার করা হোক বা Microsoft Cloud PKI-এর মতো ক্লাউড-নেটিভ সমাধান ব্যবহার করা হোক না কেন, সার্টিফিকেট অথরিটিকে (CA) উপযুক্ত টেমপ্লেট সহ কনফিগার করতে হবে।
- কি ব্যবহার (Key Usage): টেমপ্লেটে অবশ্যই
Client AuthenticationOID (1.3.6.1.5.5.7.3.2) অন্তর্ভুক্ত থাকতে হবে। - কি সাইজ (Key Size): আধুনিক ক্রিপ্টোগ্রাফিক স্ট্যান্ডার্ডের সাথে সামঞ্জস্য রাখতে সর্বনিম্ন ২০৪৮ বিট (RSA) কি সাইজ কনফিগার করুন।
- সাবজেক্টের নাম (Subject Name): ব্যবহারকারী সার্টিফিকেটের ক্ষেত্রে, সাবজেক্ট অল্টারনেটিভ নেম (SAN) অবশ্যই ইউজার প্রিন্সিপাল নেম (UPN) ব্যবহার করার জন্য কনফিগার করতে হবে। ডিভাইস সার্টিফিকেটের জন্য, Azure AD ডিভাইস ID ব্যবহার করুন।
ধাপ ২: ট্রাস্টেড রুট সার্টিফিকেট ডেপ্লয় করা
কোনো ডিভাইস অথেন্টিকেট করার আগে, RADIUS সার্ভারের সার্টিফিকেট ইস্যুকারী CA-কে অবশ্যই ট্রাস্ট করতে হবে।
১. Root CA সার্টিফিকেট (এবং যেকোনো ইন্টারমিডিয়েট CA সার্টিফিকেট) .cer ফরম্যাটে এক্সপোর্ট করুন।
২. Intune অ্যাডমিন সেন্টারে যান এবং Devices > Configuration profiles > Create profile-এ নেভিগেট করুন।
৩. প্ল্যাটফর্ম নির্বাচন করুন এবং Trusted certificate প্রোফাইল টাইপটি বেছে নিন।
৪. .cer ফাইলটি আপলোড করুন এবং টার্গেট করা ডিভাইস বা ইউজার গ্রুপে প্রোফাইলটি অ্যাসাইন করুন।
দ্রষ্টব্য: পরবর্তী ধাপে যাওয়ার আগে এই প্রোফাইলটি সফলভাবে ডিভাইসে প্রয়োগ করা আবশ্যক।
ধাপ ৩: ক্লায়েন্ট সার্টিফিকেট প্রোফাইল ডেপ্লয় করা
সাপ্লিক্যান্টের কাছে আইডেন্টিটি সার্টিফিকেট পৌঁছে দেওয়ার জন্য একটি SCEP বা PKCS সার্টিফিকেট প্রোফাইল তৈরি করুন।
১. Devices > Configuration profiles > Create profile-এ নেভিগেট করুন। ২. প্ল্যাটফর্ম নির্বাচন করুন এবং SCEP certificate অথবা PKCS certificate বেছে নিন। ৩. আপনার আইডেন্টিটি প্রয়োজন অনুযায়ী (ব্যবহারকারী বনাম ডিভাইস) সাবজেক্টের নামের ফরম্যাট এবং SAN কনফিগার করুন। ৪. কি স্টোরেজ প্রোভাইডার (KSP) নির্দিষ্ট করুন - সাধারণত হার্ডওয়্যার-ব্যাকড সিকিউরিটির জন্য ট্রাস্টেড প্ল্যাটফর্ম মডিউল (TPM) ব্যবহার করা হয়। ৫. ধাপ ২-এ টার্গেট করা একই গ্রুপে প্রোফাইলটি অ্যাসাইন করুন।
ধাপ ৪: WiFi প্রোফাইল কনফিগার করা
চূড়ান্ত উপাদানটি সার্টিফিকেটগুলোকে ওয়্যারলেস নেটওয়ার্ক সেটিংসের সাথে যুক্ত করে।
১. Devices > Configuration profiles > Create profile-এ নেভিগেট করুন। ২. প্ল্যাটফর্ম নির্বাচন করুন এবং WiFi প্রোফাইল টাইপটি বেছে নিন। ৩. WiFi টাইপ সেট করুন Enterprise এবং সঠিক SSID লিখুন। ৪. EAP টাইপ সেট করুন EAP-TLS। ৫. Server Trust-এর অধীনে, RADIUS সার্ভার সার্টিফিকেটের সঠিক নামটি নির্দিষ্ট করুন এবং ধাপ ২-এ ডেপ্লয় করা ট্রাস্টেড রুট সার্টিফিকেট প্রোফাইলটি নির্বাচন করুন। ৬. Client Authentication-এর অধীনে, ধাপ ৩-এ ডেপ্লয় করা SCEP বা PKCS সার্টিফিকেট প্রোফাইলটি নির্বাচন করুন। ৭. টার্গেট গ্রুপে প্রোফাইলটি অ্যাসাইন করুন।
সর্বোত্তম অনুশীলন এবং কৌশলগত সুপারিশ
ডিভাইস বনাম ব্যবহারকারী সার্টিফিকেট
নেটওয়ার্ক আর্কিটেক্টদের সিদ্ধান্ত নিতে হবে তারা ডিভাইসে সার্টিফিকেট (ডিভাইস অথেন্টিকেশন) নাকি ব্যবহারকারীকে সার্টিফিকেট (ইউজার অথেন্টিকেশন) প্রদান করবেন।
- ডিভাইস সার্টিফিকেট: ব্যবহারকারী লগইন করার আগেই মেশিনটিকে WiFi নেটওয়ার্কের সাথে সংযুক্ত করার অনুমতি দেয়। এটি প্রাথমিক ডিভাইস প্রভিশনিং, গ্রুপ পলিসি প্রসেসিং এবং লগইন স্ক্রিনে পাসওয়ার্ড রিসেট করার জন্য অত্যন্ত গুরুত্বপূর্ণ। কর্পোরেট-মালিকানাধীন ডিভাইসের জন্য প্রস্তাবিত।
- ইউজার সার্টিফিকেট: নেটওয়ার্ক অ্যাক্সেসকে ব্যক্তির পরিচয়ের সাথে যুক্ত করে। এটি বিস্তারিত অডিটিং এবং রোল-ভিত্তিক অ্যাক্সেস কন্ট্রোল প্রদান করে। BYOD সিনারিওর জন্য প্রস্তাবিত।
নেটওয়ার্ক সেগমেন্টেশন এবং গেস্ট অ্যাক্সেস
একটি মৌলিক নিরাপত্তা নীতি হলো কর্পোরেট 802.1X নেটওয়ার্ককে ভিজিটর বা পাবলিক অ্যাক্সেস নেটওয়ার্ক থেকে কঠোরভাবে যৌক্তিক উপায়ে আলাদা করা। Intune-পরিচালিত অবকাঠামোটি শুধুমাত্র কর্পোরেট ডিভাইস এবং অথেন্টিকেটেড কর্মীদের জন্য ডেডিকেটেড হওয়া উচিত।
ভিজিটর অ্যাক্সেসের জন্য, প্রতিষ্ঠানগুলোর একটি ডেডিকেটেড Guest WiFi SSID স্থাপন করা উচিত যা একটি captive portal দ্বারা সমর্থিত। এটি নিশ্চিত করে যে অনিয়ন্ত্রিত ডিভাইসগুলো আলাদা থাকে, পাশাপাশি ব্যবসা প্রতিষ্ঠানগুলো একটি WiFi Analytics প্ল্যাটফর্মের মাধ্যমে ভিজিটর অ্যানালিটিক্স সংগ্রহ করতে পারে। উভয় সেগমেন্টে DNS অবকাঠামো সুরক্ষিত করার বিষয়ে আরও জানতে, কীভাবে Protect Your Network with Strong DNS and Security করবেন সে সংক্রান্ত আমাদের গাইডটি দেখুন।
NPS সার্টিফিকেট ম্যাপিং প্রয়োজনীয়তা সমাধান করা
যেসব প্রতিষ্ঠান Azure AD-যুক্ত ডিভাইসের সাথে Microsoft Network Policy Server (NPS) ব্যবহার করছে, তাদের জন্য Microsoft একটি অত্যন্ত গুরুত্বপূর্ণ কনফিগারেশন পরিবর্তন নিয়ে এসেছে। NPS-এর জন্য এখন স্ট্রং সার্টিফিকেট ম্যাপিং প্রয়োজন।
ডিভাইস সার্টিফিকেট ব্যবহার করার সময়, অন-প্রিমিসেস Active Directory-তে কম্পিউটার অবজেক্টের altSecurityIdentities অ্যাট্রিবিউটটি সার্টিফিকেটের বিবরণ (সাধারণত X509IssuerSerialNumber) দিয়ে পূর্ণ থাকতে হবে। Intune যখন একটি নতুন সার্টিফিকেট ইস্যু করে, তখন IT টিমকে এই অ্যাট্রিবিউটটি আপডেট করার জন্য একটি শিডিউলড স্ক্রিপ্ট বা ইভেন্ট-চালিত ওয়ার্কফ্লো প্রয়োগ করতে হবে, অন্যথায় অথেন্টিকেশন ব্যর্থ হবে।
ট্রাবলশুটিং ও ঝুঁকি প্রশমন
যখন একটি 802.1X ডিপ্লয়মেন্ট ব্যর্থ হয়, তখন সমস্যাটি প্রায় সব সময়ই সার্টিফিকেট চেইন বা Intune প্রোফাইল সিকোয়েন্সিংয়ের মধ্যে থাকে।
সাধারণ ব্যর্থতার ধরণসমূহ
- সাইলেন্ট WiFi প্রোফাইল ব্যর্থতা: ক্লায়েন্ট সার্টিফিকেট সফলভাবে প্রভিশন করার আগে যদি ডিভাইসে Intune WiFi প্রোফাইল প্রয়োগ করা হয়, তবে WiFi প্রোফাইলটি প্রায়শই ইনস্টল হতে ব্যর্থ হবে বা কোনো সতর্কবার্তা ছাড়াই ব্যর্থ হবে। WiFi কনফিগারেশন ট্রাবলশুট করার আগে সর্বদা ডিভাইসের পার্সোনাল স্টোরে (
certmgr.mscWindows-এ) সার্টিফিকেটের উপস্থিতি যাচাই করুন। - সার্ভার ট্রাস্ট ভ্যালিডেশন ত্রুটি: ডিভাইসটি যদি RADIUS সার্ভারটিকে প্রত্যাখ্যান করে, তবে যাচাই করুন যে Intune WiFi প্রোফাইলে নির্দিষ্ট করা সার্ভারের নামটি RADIUS সার্ভারের সার্টিফিকেটের সাবজেক্ট নেম বা SAN-এর সাথে হুবহু মিলছে কিনা। উপরন্তু, নিশ্চিত করুন যে সম্পূর্ণ সার্টিফিকেট চেইন (রুট এবং ইন্টারমিডিয়েট) ডিভাইসের ট্রাস্টেড রুট সার্টিফিকেশন অথরিটিজ স্টোরে উপস্থিত রয়েছে।3. Certificate Revocation List (CRL) Unavailability: যদি RADIUS সার্ভার ক্লায়েন্ট সার্টিফিকেটের স্থিতি যাচাই করার জন্য CA-এর CRL ডিস্ট্রিবিউশন পয়েন্টে পৌঁছাতে না পারে, তবে প্রমাণীকরণ প্রত্যাখ্যান করা হবে। নিশ্চিত করুন যে CRL URL টি অত্যন্ত উপলব্ধ এবং RADIUS সার্ভার থেকে অ্যাক্সেসযোগ্য।
ROI ও ব্যবসায়িক প্রভাব
Intune-এর মাধ্যমে সার্টিফিকেট-ভিত্তিক WiFi প্রমাণীকরণে স্থানান্তরিত হওয়া উল্লেখযোগ্য কার্যক্ষম এবং নিরাপত্তা সংক্রান্ত রিটার্ন প্রদান করে।
- ঝুঁকি প্রশমন: ক্রেডেনশিয়াল হার্ভেস্টিং, পাস-দ্য-হ্যাশ আক্রমণ এবং শেয়ার করা PSK-এর মাধ্যমে অননুমোদিত নেটওয়ার্ক অ্যাক্সেসের ঝুঁকি দূর করে।
- কার্যক্ষম দক্ষতা: পাসওয়ার্ডের মেয়াদ শেষ হওয়া এবং WiFi সংযোগ সংক্রান্ত সমস্যার সাথে সম্পর্কিত IT হেল্পডেস্ক টিকিট হ্রাস করে। স্বয়ংক্রিয় লাইফসাইকেল ম্যানেজমেন্টের অর্থ হলো ব্যবহারকারীর হস্তক্ষেপ ছাড়াই সার্টিফিকেটগুলো স্বচ্ছভাবে নবায়ন করা হয়।
- অনুবর্তিতা সক্ষমকরণ: কঠোর নিয়ন্ত্রক প্রয়োজনীয়তা পূরণ করে। খুচরা পরিবেশের জন্য, এটি সরাসরি শক্তিশালী ওয়্যারলেস এনক্রিপশন এবং প্রমাণীকরণের জন্য PCI DSS প্রয়োজনীয়তাগুলো পূরণ করে। সরকারি খাত এবং স্বাস্থ্যসেবার জন্য, এটি জিরো-ট্রাস্ট নেটওয়ার্ক অ্যাক্সেস (ZTNA) নীতিগুলোর সাথে সারিবদ্ধ হয়।
সার্টিফিকেট স্থাপনের জন্য Microsoft Entra ID এবং Microsoft Intune ব্যবহার করে, IT টিমগুলো একটি নির্বিঘ্ন, অত্যন্ত নিরাপদ ওয়্যারলেস অভিজ্ঞতা অর্জন করতে পারে যা ব্যাকগ্রাউন্ডে নীরবে কাজ করে, যা ব্যবসাকে মূল ক্রিয়াকলাপে মনোনিবেশ করতে দেয়।
মূল সংজ্ঞাসমূহ
802.1X
পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য একটি IEEE স্ট্যান্ডার্ড যা সফলভাবে অথেন্টিকেট না হওয়া পর্যন্ত অননুমোদিত ডিভাইসকে LAN বা WLAN অ্যাক্সেস করতে বাধা দেয়।
মূল সিকিউরিটি প্রোটোকল যা কর্পোরেট পরিবেশে শেয়ারড WiFi পাসওয়ার্ডের পরিবর্তে এন্টারপ্রাইজ-গ্রেড অথেন্টিকেশন নিয়ে আসে।
EAP-TLS
ডিজিটাল সার্টিফিকেট ব্যবহার করে ক্লায়েন্ট এবং সার্ভার উভয়কেই তাদের পরিচয় প্রমাণ করতে বাধ্য করে এমন একটি অথেন্টিকেশন ফ্রেমওয়ার্ক।
ক্রেডেনশিয়াল চুরির ঝুঁকি দূর করতে এবং মিউচুয়াল সার্টিফিকেট অথেন্টিকেশন কার্যকর করতে Intune WiFi প্রোফাইলে কনফিগার করা নির্দিষ্ট প্রোটোকল।
SCEP
একটি প্রক্রিয়া যেখানে ক্লায়েন্ট ডিভাইস তার নিজস্ব প্রাইভেট কি তৈরি করে এবং একটি মধ্যবর্তী সার্ভারের মাধ্যমে CA-র কাছে সার্টিফিকেটের জন্য অনুরোধ করে।
BYOD পরিবেশের জন্য সবচেয়ে পছন্দের ডিপ্লয়মেন্ট পদ্ধতি কারণ এতে প্রাইভেট কি কখনই নেটওয়ার্কের মাধ্যমে ট্রান্সমিট হয় না।
PKCS
Public Key Cryptography Standards। Intune-এর প্রসঙ্গে, এটি এমন একটি ডেপ্লয়মেন্ট পদ্ধতি যেখানে CA প্রাইভেট কী তৈরি করে এবং Intune Connector এটিকে নিরাপদে ডিভাইসে পৌঁছে দেয়।
কর্পোরেট মালিকানাধীন ডিভাইস ফ্লিটের জন্য প্রায়শই ব্যবহৃত একটি সহজ ডেপ্লয়মেন্ট আর্কিটেকচার, কারণ এটি একটি NDES সার্ভারের প্রয়োজনীয়তা দূর করে।
NDES
Network Device Enrolment Service। একটি Microsoft সার্ভার রোল যা একটি প্রক্সি হিসাবে কাজ করে, যা ডোমেন ক্রেডেনশিয়াল ছাড়াই চলমান ডিভাইসগুলোকে একটি Active Directory Certificate Authority থেকে সার্টিফিকেট পেতে অনুমতি দেয়।
একটি অন-প্রিমিসেস ADCS এনভায়রনমেন্টে SCEP-এর মাধ্যমে সার্টিফিকেট ডেপ্লয় করার সময় একটি বাধ্যতামূলক পরিকাঠামো উপাদান।
RADIUS
Remote Authentication Dial-In User Service। একটি নেটওয়ার্কিং প্রোটোকল যা সেন্ট্রালাইজড অথেন্টিকেশন, অথরাইজেশন এবং অ্যাকাউন্টিং (AAA) ম্যানেজমেন্ট প্রদান করে।
সার্ভার (যেমন Microsoft NPS বা Cisco ISE) যা WiFi অ্যাক্সেস পয়েন্ট থেকে অথেন্টিকেশন রিকোয়েস্ট গ্রহণ করে এবং ডিভাইসের সার্টিফিকেট যাচাই করে।
Supplicant
এন্ড-ইউজার ডিভাইসের (ল্যাপটপ, স্মার্টফোন) সফটওয়্যার ক্লায়েন্ট যা 802.1X অথেন্টিকেশন প্রক্রিয়া শুরু করে।
Intune WiFi প্রোফাইলটি সঠিক সার্টিফিকেট এবং EAP পদ্ধতি ব্যবহার করতে নেটিভ OS supplicant (যেমন, Windows WLAN AutoConfig) কনফিগার করে।
Certificate Revocation List (CRL)
Certificate Authority দ্বারা প্রকাশিত একটি ডিজিটালি সাইন করা তালিকা যাতে এমন সার্টিফিকেটের সিরিয়াল নম্বর থাকে যা রিভোক করা হয়েছে এবং যেগুলোকে আর বিশ্বাস করা উচিত নয়।
সিকিউরিটি কমপ্লায়েন্সের জন্য অত্যন্ত গুরুত্বপূর্ণ; একটি সংযোগকারী ডিভাইস হারিয়ে গেছে বা চুরি হয়েছে বলে রিপোর্ট করা হয়নি তা নিশ্চিত করতে RADIUS সার্ভারকে অবশ্যই CRL চেক করতে হবে।
সমাধানকৃত উদাহরণসমূহ
একটি ৪০০টি লোকেশন বিশিষ্ট রিটেইল চেইন ইনভেন্টরি ম্যানেজমেন্টের জন্য তাদের নিজস্ব কর্পোরেট ট্যাবলেট স্থাপন করছে। ডিভাইসগুলি সম্পূর্ণভাবে Intune-এর মাধ্যমে পরিচালিত এবং Azure AD-তে যুক্ত। কোনো নির্দিষ্ট ব্যবহারকারী লগ ইন করার আগে, ইনভেন্টরি ডাটাবেস সিঙ্ক করার জন্য ডিভাইসগুলি বুট হওয়ার সাথে সাথেই তাদের নেটওয়ার্ক অ্যাক্সেসের প্রয়োজন। নেটওয়ার্ক ইনফ্রাস্ট্রাকচারে RADIUS সার্ভার হিসেবে Cisco ISE ব্যবহার করা হয়েছে। এক্ষেত্রে সার্টিফিকেট স্থাপনের সবচেয়ে উপযুক্ত কৌশল কোনটি?
IT টিমের উচিত PKCS ডিভাইস সার্টিফিকেট বাস্তবায়ন করা।
১. CA-তে একটি ডিভাইস সার্টিফিকেট টেমপ্লেট কনফিগার করুন। ২. Intune-এর মাধ্যমে ট্যাবলেটগুলিতে Root CA সার্টিফিকেট স্থাপন করুন। ৩. Intune-এ একটি PKCS সার্টিফিকেট প্রোফাইল তৈরি করুন, যেখানে Subject Name ফর্ম্যাটটি Azure AD Device ID ({{AAD_Device_ID}}) হিসেবে সেট করা থাকবে। ৪. ISE সার্ভারের সার্টিফিকেটের নাম এবং স্থাপিত PKCS প্রোফাইলটি উল্লেখ করে EAP-TLS নির্দিষ্ট করা একটি Enterprise WiFi প্রোফাইল তৈরি করুন। ৫. ট্যাবলেট সম্বলিত ডিভাইস গ্রুপে সমস্ত প্রোফাইল অ্যাসাইন করুন।
একটি বড় টিচিং হাসপাতাল তাদের মেডিকেল কর্মীদের ক্লিনিকাল শিডিউলিং অ্যাপ্লিকেশন অ্যাক্সেস করতে নিজস্ব স্মার্টফোন (BYOD) ব্যবহারের অনুমতি দেয়। ডিভাইসগুলি Work Profile-এর মাধ্যমে Intune-এ এনরোল করা আছে। সিকিউরিটি পলিসি অনুযায়ী ব্যক্তিগত ডিভাইসে কোনো কর্পোরেট ক্রেডেনশিয়াল সংরক্ষণ করা যাবে না এবং কোনো ডিভাইস ঝুঁকিপূর্ণ বা কম্প্রোমাইজড হলে তাৎক্ষণিকভাবে নেটওয়ার্ক অ্যাক্সেস বাতিল করতে হবে। কীভাবে WiFi অথেন্টিকেশন ডিজাইন করা উচিত?
হাসপাতালটিকে অবশ্যই Intune Compliance Policies-এর সাথে সমন্বিত SCEP ইউজার সার্টিফিকেট বাস্তবায়ন করতে হবে।
১. CA-তে রিকোয়েস্ট প্রক্সি করতে একটি NDES সার্ভার স্থাপন করুন। ২. Intune-এ একটি SCEP ইউজার সার্টিফিকেট প্রোফাইল তৈরি করুন, যেখানে SAN-টি User Principal Name ({{UserPrincipalName}}) হিসেবে কনফিগার করা থাকবে। ৩. একটি Intune Compliance Policy তৈরি করুন যার জন্য ন্যূনতম OS সংস্করণ, একটি সক্রিয় স্ক্রিন লক এবং কোনো জেলব্রেক/রুট অ্যাক্সেস না থাকা আবশ্যক। ৪. একটি হাইলি অ্যাভেলেবল সার্টিফিকেট রিভোকেশন লিস্ট (CRL) প্রকাশ করতে CA কনফিগার করুন। ৫. প্রতিটি অথেন্টিকেশন চেষ্টায় কঠোরভাবে CRL চেকিং কার্যকর করতে RADIUS সার্ভার কনফিগার করুন।
অনুশীলনী প্রশ্নসমূহ
Q1. আপনার প্রতিষ্ঠান কর্পোরেট WiFi-এর জন্য PEAP-MSCHAPv2 (ইউজারনেম/পাসওয়ার্ড) থেকে EAP-TLS-এ মাইগ্রেট করছে। পাইলট ফেজ চলাকালীন, বেশ কয়েকটি Windows 11 ল্যাপটপ সফলভাবে Intune কনফিগারেশন প্রোফাইল গ্রহণ করে কিন্তু নেটওয়ার্কের সাথে সংযোগ করতে ব্যর্থ হয়। Windows Event Logs পর্যালোচনা করে Event ID 20271 দেখা যাচ্ছে যা নির্দেশ করে যে RADIUS সার্ভার সার্টিফিকেটটি প্রত্যাখ্যাত হয়েছে। এর সবচেয়ে সম্ভাব্য কারণ কী?
ইঙ্গিত: মিউচুয়াল অথেন্টিকেশনের জন্য প্রয়োজনীয় চেইন অফ ট্রাস্ট বিবেচনা করুন।
মডেল উত্তর দেখুন
ডিভাইসগুলোতে Trusted Root CA সার্টিফিকেটের অভাব রয়েছে যা RADIUS সার্ভারের সার্টিফিকেট ইস্যু করেছিল। EAP-TLS-এ, ডিভাইসটিকে অবশ্যই RADIUS সার্ভারের পরিচয় যাচাই করতে হবে। IT টিমকে অবশ্যই নিশ্চিত করতে হবে যে Root CA (এবং যেকোনো Intermediate CA) ধারণকারী 'Trusted certificate' প্রোফাইলটি Intune-এর মাধ্যমে ডিভাইসে ডেপ্লয় করা হয়েছে এবং WiFi প্রোফাইলটি সংযোগ করার চেষ্টা করার আগেই সফলভাবে ইনস্টল করা হয়েছে।
Q2. একটি পাবলিক সেক্টর ভেন্যু Intune এবং PKCS সার্টিফিকেট ব্যবহার করে স্টাফ ডিভাইসের জন্য 802.1X ডেপ্লয় করছে। তারা একটি পৃথক ভিজিটর নেটওয়ার্কও পরিচালনা করে যা একটি গেস্ট WiFi প্ল্যাটফর্ম দ্বারা পরিচালিত হয়। একজন অডিটর উল্লেখ করেছেন যে যদি কোনো স্টাফ ল্যাপটপ চুরি হয়ে যায়, তবে সার্টিফিকেটটি ১২ মাসের জন্য বৈধ থাকে। নেটওয়ার্ক আর্কিটেক্টের কীভাবে এই ঝুঁকি মোকাবেলা করা উচিত?
ইঙ্গিত: অথেন্টিকেশন সার্ভার কীভাবে মেয়াদ শেষ হওয়ার আগেই জানতে পারে যে একটি সার্টিফিকেট আর বৈধ নয়?
মডেল উত্তর দেখুন
আর্কিটেক্টকে অবশ্যই একটি শক্তিশালী Certificate Revocation ওয়ার্কফ্লো বাস্তবায়ন করতে হবে। প্রথমত, নিশ্চিত করুন যে CA একটি অত্যন্ত সহজলভ্য ডিস্ট্রিবিউশন পয়েন্টে Certificate Revocation List (CRL) প্রকাশ করে। দ্বিতীয়ত, প্রতিটি অথেন্টিকেশন চেষ্টার সময় CRL চেকিং বাধ্যতামূলক করতে RADIUS সার্ভার (যেমন, NPS) কনফিগার করুন। সবশেষে, হারিয়ে যাওয়া বা চুরি হওয়া হিসাবে চিহ্নিত যেকোনো ডিভাইসের সার্টিফিকেট স্পষ্টভাবে রিভোক করার জন্য একটি Intune অপারেশনাল পদ্ধতি প্রতিষ্ঠা করুন, যা CRL আপডেট করে এবং নেটওয়ার্ক অ্যাক্সেস ব্লক করে।
Q3. আপনি একটি রিটেল এনভায়রনমেন্টে শেয়ার্ড কিয়স্ক ডিভাইসের একটি ফ্লিটের জন্য Intune ডেপ্লয়মেন্ট ডিজাইন করছেন। এই ডিভাইসগুলো প্রতিদিন রিবুট হয় এবং কোনো ব্যবহারকারী ইন্টারঅ্যাক্ট করার আগেই আপডেট ডাউনলোড করতে অবিলম্বে কর্পোরেট নেটওয়ার্কের সাথে সংযুক্ত হতে হবে। আপনার কি ইউজার সার্টিফিকেট নাকি ডিভাইস সার্টিফিকেট ডেপ্লয় করা উচিত, এবং কোন Subject Alternative Name (SAN) ফরম্যাট ব্যবহার করা উচিত?
ইঙ্গিত: রিবুট করার ঠিক পরেই ডিভাইসের অবস্থা বিবেচনা করুন।
মডেল উত্তর দেখুন
আপনাকে Device সার্টিফিকেট ডেপ্লয় করতে হবে। কারণ ব্যবহারকারী লগ ইন করার আগে কিয়স্কগুলোর নেটওয়ার্ক অ্যাক্সেস প্রয়োজন, তাই বুট করার সময় User সার্টিফিকেট অনুপলব্ধ থাকবে। Intune সার্টিফিকেট প্রোফাইলের Subject Alternative Name (SAN) অবশ্যই Azure AD Device ID ({{AAD_Device_ID}}) অথবা ডিভাইসের ফুললি কোয়ালিফাইড ডোমেন নেম ব্যবহার করার জন্য কনফিগার করতে হবে, যা RADIUS সার্ভারকে নির্দিষ্ট হার্ডওয়্যার অ্যাসেটটি প্রমাণীকরণ করার অনুমতি দেয়।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী
What is the difference between SCEP and PKCS for Intune WiFi certificates?
SCEP (Simple Certificate Enrollment Protocol, RFC 8894) generates the private key directly on the endpoint hardware (TPM or Secure Enclave) through a one-time challenge password; the private key never leaves the client device. PKCS #12 generates the private key on the certificate authority (AD CS) and transfers the encrypted PFX file over TLS to the device. SCEP is strongly recommended for Zero-Trust enterprise 802.1X WiFi.
What on-premises infrastructure is required for SCEP deployment with Intune?
A standard SCEP deployment requires an Active Directory Certificate Services (AD CS) Enterprise Certificate Authority, the Network Device Enrollment Service (NDES) server role, the Microsoft Intune Certificate Connector, and an external publishing mechanism such as Microsoft Entra Application Proxy or a reverse proxy with valid public SSL certificates.
How does Microsoft Cloud PKI simplify 802.1X WiFi certificate management?
Microsoft Cloud PKI (included in Intune Suite) eliminates all on-premises Windows Servers, NDES roles, and connector agents by hosting the issuing and root certificate authorities entirely in the Microsoft cloud. Intune handles SCEP certificate requests natively, slashing maintenance overhead while supporting multi-platform 802.1X authentication.
In what order must Intune configuration profiles be assigned to endpoints?
Profiles must be assigned in a strict three-tier dependency sequence: first, the Trusted Root Certificate Profile containing the CA chain; second, the SCEP or PKCS Client Certificate Profile targeting user or device authentication; and third, the 802.1X WiFi Configuration Profile configured with WPA3-Enterprise and referencing the client certificate.
How does Purple integrate with Microsoft Intune and Entra ID for enterprise WiFi?
Purple provides a hardware-agnostic Cloud RADIUS AAA service with native Microsoft Entra ID and Intune integration. Purple validates SCEP and Cloud PKI X.509 certificates with automated revocation checking (CRL/OCSP), applies real-time directory-driven dynamic VLAN assignments, and isolates corporate and visitor traffic across all major enterprise access point vendors.
এই সিরিজে পড়া চালিয়ে যান
iOS এবং macOS 802.1X ট্রাবলশুটিং: Intune, Jamf এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট
iPhones, iPads এবং Macs কেন Intune বা Jamf Pro-তে 802.1X ব্যর্থ হয় তা সনাক্ত করতে এই চেকলিস্টটি ব্যবহার করুন। প্রতিটি ব্যর্থতার পিছনে চারটি কারণের যেকোনো একটি থাকে: সার্ভার ট্রাস্ট, আইডেন্টিটি সার্টিফিকেট, macOS মোড বা Entra ID গ্রুপ স্কোপিং। আপনি eapolclient এবং RADIUS লগ থেকে এর কারণ নিশ্চিত করবেন, সমাধান প্রয়োগ করবেন এবং ভবিষ্যতের সার্টিফিকেট রোটেশন পরিচালনা করবেন।
Intune WiFi প্রোফাইল সার্ভার ট্রাস্ট: Microsoft Entra ID -এর জন্য সার্টিফিকেট সার্ভার নাম এবং রুট CA চেকলিস্ট
আপনি একটি Intune WiFi প্রোফাইলের সার্ভার ভ্যালিডেশন অংশটি কনফিগার করতে পারবেন যাতে Windows, Apple এবং Android -এ EAP-TLS এবং PEAP কানেক্ট হয়। আপনি RADIUS সার্টিফিকেটের সাথে সার্টিফিকেট সার্ভারের নাম মেলাতে পারবেন, সঠিক রুট CA ডেপ্লয় করতে পারবেন, Microsoft Entra ID গ্রুপ অ্যাসাইনমেন্ট অ্যালাইন করতে পারবেন এবং সার্টিফিকেট রিনিউয়াল কানেকশন বন্ধ করার আগেই সেটিকে প্রস্তুত করতে পারবেন।
Android 802.1X এবং EAP-TLS ট্রাবলশুটিং: Intune এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট
আপনি সহজেই সনাক্ত করতে পারবেন কেন ম্যানেজড Android ফোনগুলো আপনার স্টাফ SSID-এ EAP-TLS সংযোগ করতে ব্যর্থ হচ্ছে এবং তা Intune-এ ঠিক করতে পারবেন। প্রতিটি লক্ষণকে চারটি সাধারণ কারণের সাথে মেলান - অনুপস্থিত CA বা ডোমেন, ভুল প্রোফাইলে থাকা ক্লায়েন্ট সার্টিফিকেট, একটি অমিল RADIUS সার্ভার নামের মান, অথবা একটি অপৌঁছানো ট্রাস্টেড রুট। তারপর একটি রোলআউট চেকলিস্ট প্রয়োগ করুন যা বারবার বিভ্রাট হওয়া বন্ধ করে।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।