Jamf এবং RADIUS: Apple ডিভাইস ফ্লিটের জন্য সার্টিফিকেট-ভিত্তিক WiFi অথেন্টিকেশন
এই টেকনিক্যাল রেফারেন্স গাইডটি IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং CTO-দের Jamf Pro এবং RADIUS ব্যবহার করে Apple ডিভাইস ফ্লিটের জন্য সার্টিফিকেট-ভিত্তিক 802.1X WiFi অথেন্টিকেশন মোতায়েন করার কার্যকর পদক্ষেপ প্রদান করে। এটি সম্পূর্ণ SCEP সার্টিফিকেট প্রভিশনিং ওয়ার্কফ্লো, WiFi কনফিগারেশন প্রোফাইল স্ট্রাকচার, RADIUS ইন্টিগ্রেশন প্রয়োজনীয়তা এবং হেলথকেয়ার ও এন্টারপ্রাইজ পরিবেশ থেকে বাস্তবায়নের বাস্তব পরিস্থিতি কভার করে। পাসওয়ার্ড-ভিত্তিক WiFi দুর্বলতা দূর করতে, হেল্পডেস্কের ওভারহেড কমাতে এবং PCI-DSS ও GDPR নেটওয়ার্ক অ্যাক্সেস স্ট্যান্ডার্ডের সাথে কমপ্লায়েন্স অর্জন করতে চাওয়া যেকোনো সংস্থার জন্য এই গাইডটি অপরিহার্য।
Video overview
এই গাইডটি শুনুন
পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
আমাদের মূল সিরিজের অংশ: Enterprise WiFi সিকিউরিটি গাইড →
Jamf Pro & RADIUS architecture planner for Apple fleets
Model SCEP certificate distribution, generate production-ready Jamf Configuration Profiles, estimate CA load, and resolve 802.1X trust chain failures across macOS and iOS fleets.
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>PayloadDisplayName</key>
<string>Corporate 802.1X WiFi - Jamf SCEP Profile</string>
<key>PayloadIdentifier</key>
<string>ai.purple.jamf.wifi.profile</string>
<key>PayloadType</key>
<string>Configuration</string>
<key>PayloadUUID</key>
<string>E7182904-4B2E-4D78-958C-51928374AA10</string>
<key>PayloadVersion</key>
<integer>1</integer>
<key>PayloadContent</key>
<array>
<!-- Payload 1: SCEP Client Certificate Enrollment -->
<dict>
<key>PayloadType</key>
<string>com.apple.security.scep</string>
<key>PayloadIdentifier</key>
<string>ai.purple.jamf.scep.payload</string>
<key>PayloadUUID</key>
<string>C5921098-72DA-4E11-BC83-1283746590AA</string>
<key>PayloadVersion</key>
<integer>1</integer>
<key>URL</key>
<string>https://your-jamf-pro.jamfcloud.com/scep/dynamic</string>
<key>Subject</key>
<string>CN=$COMPUTERNAME,OU=CorporateLaptops,DC=corp,DC=internal</string>
<key>Keysize</key>
<integer>2048</integer>
<key>KeyType</key>
<string>RSA</string>
<key>KeyUsage</key>
<integer>5</integer> <!-- Digital Signature & Key Encipherment -->
<key>SubjectAltName</key>
<dict>
<key>rfc822Name</key>
<string>$MACADDRESS@corp.internal</string>
</dict>
</dict>
<!-- Payload 2: 802.1X WiFi Managed Association -->
<dict>
<key>PayloadType</key>
<string>com.apple.wifi.managed</string>
<key>PayloadIdentifier</key>
<string>ai.purple.jamf.wifi.payload</string>
<key>PayloadUUID</key>
<string>D9482910-5C29-4F82-AE19-847293847210</string>
<key>PayloadVersion</key>
<integer>1</integer>
<key>SSID_STR</key>
<string>Corporate-Secure-WiFi</string>
<key>EncryptionType</key>
<string>WPA3</string>
<key>AutoJoin</key>
<true/>
<key>PayloadCertificateUUID</key> <!-- identity certificate: the SCEP payload above -->
<string>C5921098-72DA-4E11-BC83-1283746590AA</string>
<key>EAPClientConfiguration</key>
<dict>
<key>AcceptEAPTypes</key>
<array>
<integer>13</integer> <!-- EAP-TLS Mandatory -->
</array>
<key>TLSTrustedServerNames</key>
<array>
<string>radius.purple.ai</string>
</array>
</dict>
</dict>
</array>
</dict>
</plist>Mandatory certificate trust rules
- Upload Root CA certificate to Jamf Pro and link it in the profile Trust payload.
- Specify exact RADIUS Common Name 'radius.purple.ai' in TLSTrustedServerNames to avoid interactive prompts.
- Verify that the SCEP profile and WiFi profile are delivered in a single configuration payload or staged sequentially.
- For 1:1 fleets, ensure Jamf renewal threshold is set between 21 and 30 days before expiry.
Deploy zero-touch Apple 802.1X WiFi with Purple Cloud RADIUS
Remove on-premises RADIUS servers, active directory credential rotation tickets, and complex NDES infrastructure. Purple Cloud RADIUS integrates directly with Jamf Pro and SCEP to automate 802.1X certificate lifecycles across thousands of Apple endpoints.
এক্সিকিউটিভ সামারি
ঐতিহ্যগত পাসওয়ার্ড-ভিত্তিক অথেন্টিকেশনের উপর নির্ভর করার সময় একটি এন্টারপ্রাইজ পরিবেশে Apple ডিভাইসের একটি ফ্লিটের জন্য সুরক্ষিত WiFi অ্যাক্সেস পরিচালনা করা একটি গুরুত্বপূর্ণ অপারেশনাল এবং নিরাপত্তা চ্যালেঞ্জ উপস্থাপন করে। ব্যবহারকারীরা তাদের Active Directory ক্রেডেন্সিয়াল পরিবর্তন করেন, এবং অবিলম্বে তাদের iPhone, iPad এবং MacBook নেটওয়ার্ক থেকে বিচ্ছিন্ন হয়ে যায় - যা হেল্পডেস্ক টিকিট তৈরি করে, কাজের প্রবাহকে ব্যাহত করে এবং সংস্থাকে ক্রেডেন্সিয়াল-ভিত্তিক আক্রমণের সম্মুখীন করে।
হোটেল, রিটেল চেইন, স্টেডিয়াম এবং পাবলিক-সেক্টর সংস্থার IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং CTO-দের জন্য সমাধান হল EAP-TLS ব্যবহার করে সার্টিফিকেট-ভিত্তিক 802.1X অথেন্টিকেশন। SCEP (Simple Certificate Enrollment Protocol) এর মাধ্যমে অনন্য ক্রিপ্টোগ্রাফিক সার্টিফিকেট বিতরণ করতে Jamf Pro ব্যবহার করে এবং একটি RADIUS সার্ভারের সাথে সংহত করার মাধ্যমে, সংস্থাগুলি প্রতিটি পরিচালিত Apple ডিভাইসের জন্য নিরবচ্ছিন্ন, পাসওয়ার্ডহীন WiFi অ্যাক্সেস অর্জন করতে পারে। এই নির্দেশিকাটি Jamf RADIUS WiFi সার্টিফিকেট অথেন্টিকেশন ডেপ্লয় করার জন্য একটি ব্যবহারিক, ভেন্ডর-নিরপেক্ষ পদ্ধতি প্রদান করে, যা শক্তিশালী নিরাপত্তা, PCI-DSS এবং GDPR-এর মতো মানগুলির সাথে সম্মতি এবং সাপোর্ট ওভারহেডে পরিমাপযোগ্য হ্রাস নিশ্চিত করে।
টেকনিক্যাল ডিপ-ডাইভ
802.1X EAP-TLS আর্কিটেকচার
সার্টিফিকেট-ভিত্তিক WiFi অথেন্টিকেশনের ভিত্তি হল IEEE 802.1X স্ট্যান্ডার্ডের সাথে EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) প্রোটোকলের সমন্বয়। 802.1X স্ট্যান্ডার্ডের একটি বিস্তারিত প্রাইমারের জন্য, 802.1X Authentication: Securing Network Access on Modern Devices সংক্রান্ত আমাদের নির্দেশিকাটি দেখুন।
PEAP (Protected EAP)-এর বিপরীতে, যা ব্যবহারকারীর নাম এবং পাসওয়ার্ডের উপর নির্ভর করে, EAP-TLS-এর জন্য ক্লায়েন্ট ডিভাইস এবং অথেন্টিকেশন সার্ভার উভয়েরই ডিজিটাল সার্টিফিকেট ব্যবহার করে তাদের পরিচয় প্রমাণ করার প্রয়োজন হয়। এই পারস্পরিক অথেন্টিকেশনই EAP-TLS-কে এন্টারপ্রাইজ ডেপ্লয়মেন্টের জন্য গোল্ড স্ট্যান্ডার্ড করে তোলে। থ্রি-পার্টি মডেলটি নিম্নলিখিত উপাদানগুলি নিয়ে গঠিত।
| উপাদান | ভূমিকা | উদাহরণ |
|---|---|---|
| Supplicant | Apple ডিভাইসটি নেটওয়ার্ক অ্যাক্সেসের অনুরোধ করছে | MacBook, iPhone, iPad |
| Authenticator | নেটওয়ার্ক এজ ডিভাইস যা অ্যাক্সেস নিয়ন্ত্রণ প্রয়োগ করে | WiFi অ্যাক্সেস পয়েন্ট, WLC |
| Authentication Server | সার্টিফিকেট যাচাই করে এবং অ্যাক্সেস অনুমোদন করে | FreeRADIUS, Cisco ISE, Microsoft NPS |
অ্যাক্সেস পয়েন্টটি গেটকিপার হিসাবে কাজ করে, যতক্ষণ না RADIUS সার্ভার একটি Access-Accept বার্তা পাঠায় ততক্ষণ পর্যন্ত সমস্ত ট্রাফিক ব্লক করে। এটিই IEEE 802.1X পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (PNAC) মডেলের মূল ভিত্তি।
SCEP এবং Jamf Pro: স্কেলেবল সার্টিফিকেট বিতরণ
স্কেলে EAP-TLS-এর প্রধান চ্যালেঞ্জ হলো সার্টিফিকেট বিতরণ। ৫০০টি iPad-এ ম্যানুয়ালি একটি অনন্য সার্টিফিকেট ইনস্টল করা কোনো কার্যকর সমাধান নয়। এইখানেই Jamf Pro and SCEP Jamf ইন্টিগ্রেশন একটি অত্যন্ত গুরুত্বপূর্ণ ভূমিকা পালন করে।
SCEP (Simple Certificate Enrollment Protocol) হলো একটি হালকা ওজনের প্রোটোকল যা একটি ডিভাইসকে একটি Certificate Authority (CA) থেকে স্বয়ংক্রিয়ভাবে একটি স্বাক্ষরিত সার্টিফিকেটের জন্য অনুরোধ করতে এবং তা গ্রহণ করতে সাহায্য করে। Jamf Pro অর্কেস্ট্রেটর হিসেবে কাজ করে, প্রতিটি Apple ডিভাইসে একটি Configuration Profile পুশ করে। এই প্রোফাইলে একটি SCEP পে-লোড থাকে যা ডিভাইসটিকে SCEP সার্ভারের সাথে যোগাযোগ করার নির্দেশ দেয়, একটি ডাইনামিক চ্যালেঞ্জ পাসওয়ার্ড প্রদান করে এবং প্রয়োজনীয় সার্টিফিকেটের বৈশিষ্ট্যগুলি নির্দিষ্ট করে - যেমন Subject Alternative Name (SAN), যা সাধারণত ডিভাইসের MAC অ্যাড্রেস বা সিরিয়াল নম্বরের সাথে ম্যাপ করা থাকে।
ডাইনামিক চ্যালেঞ্জ পাসওয়ার্ড মেকানিজমটি বিশেষভাবে গুরুত্বপূর্ণ। একটি Jamf-ইন্টিগ্রেটেড SCEP ডিপ্লয়মেন্টে, Jamf প্রতিটি ডিভাইসের জন্য একটি অনন্য, একক-ব্যবহারের চ্যালেঞ্জ পাসওয়ার্ড তৈরি করে। এটি নিশ্চিত করে যে শুধুমাত্র Jamf Pro-তে এনরোল করা ডিভাইসগুলি - এবং তাই কর্পোরেটভাবে পরিচালিত - CA থেকে সফলভাবে একটি সার্টিফিকেট পেতে পারে। এটি একটি অত্যন্ত গুরুত্বপূর্ণ নিরাপত্তা নিয়ন্ত্রণ যা অননুমোদিত ডিভাইসগুলিকে এনরোল হতে বাধা দেয়।
Apple ডিভাইস অথেনটিকেশনের জন্য RADIUS অ্যাট্রিবিউট
যখন RADIUS সার্ভার Access Point থেকে একটি Access-Request পায়, তখন এটি অথরাইজেশনের সিদ্ধান্ত নেওয়ার জন্য বেশ কয়েকটি অ্যাট্রিবিউট মূল্যায়ন করে। Apple 802.1X ডিপ্লয়মেন্টের জন্য, সবচেয়ে প্রাসঙ্গিক RADIUS অ্যাট্রিবিউটগুলি নিম্নরূপ।
| RADIUS Attribute | বিবরণ | Apple প্রাসঙ্গিকতা |
|---|---|---|
User-Name (Attr 1) |
সাপ্লিক্যান্ট দ্বারা উপস্থাপিত পরিচয় | সাধারণত সার্টিফিকেটের Subject CN বা SAN |
NAS-IP-Address (Attr 4) |
Access Point-এর IP | AP-নির্দিষ্ট পলিসির জন্য ব্যবহৃত হয় |
Called-Station-Id (Attr 30) |
AP-এর BSSID এবং SSID | SSID-ভিত্তিক পলিসি প্রয়োগ সক্ষম করে |
EAP-Message (Attr 79) |
এনক্যাপসুলেটেড EAP প্যাকেট | TLS হ্যান্ডশেক ডেটা ধারণ করে |
Tunnel-Type (Attr 64) |
VLAN অ্যাসাইনমেন্টের ধরন নির্দিষ্ট করে | অথেনটিকেশন পরবর্তী ডাইনামিক VLAN অ্যাসাইনমেন্টের জন্য ব্যবহৃত হয় |
Tunnel-Medium-Type (Attr 65) |
টানেলের মাধ্যম নির্দিষ্ট করে | 802.1Q VLAN ট্যাগিংয়ের জন্য প্রয়োজনীয় |
Tunnel-Private-Group-Id (Attr 81) |
অ্যাসাইন করার জন্য VLAN ID | রোল-ভিত্তিক নেটওয়ার্ক সেগমেন্টেশন সক্ষম করে |
Tunnel-Private-Group-Id অ্যাট্রিবিউটটি এন্টারপ্রাইজ ডিপ্লয়মেন্টে বিশেষভাবে শক্তিশালী। সার্টিফিকেটের বৈশিষ্ট্যের ওপর ভিত্তি করে (যেমন, বিভাগ, ডিভাইসের ধরন) বিভিন্ন VLAN ID ফেরত দিয়ে, RADIUS সার্ভার আলাদা SSID-এর প্রয়োজন ছাড়াই ডাইনামিকালি নেটওয়ার্ককে সেগমেন্ট করতে পারে।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।
ইমপ্লিমেন্টেশন গাইড
Jamf Pro-এর মাধ্যমে সার্টিফিকেট WiFi Apple অথেনটিকেশন ডিপ্লয়মেন্ট একটি সুনির্দিষ্ট অনুক্রম অনুসরণ করে। এই ক্রম থেকে বিচ্যুত হওয়া হলো ব্যর্থ ডিপ্লয়মেন্টের প্রধান কারণ।
ধাপ ১: আপনার Certificate Authority ইনফ্রাস্ট্রাকচার প্রতিষ্ঠা করুন
Jamf কনফিগার করার আগে, আপনার CA পরিকাঠামো প্রস্তুত থাকতে হবে। Microsoft পরিবেশের জন্য, এটি সাধারণত Active Directory Certificate Services (AD CS) এর সাথে Network Device Enrollment Service (NDES) রোল, যা SCEP সার্ভার হিসেবে কাজ করে। non-Microsoft পরিবেশের জন্য, বিকল্পগুলোর মধ্যে রয়েছে EJBCA, HashiCorp Vault PKI, অথবা ক্লাউড-ভিত্তিক CA যেমন AWS Private CA।
আপনার CA অনুক্রমটি স্পষ্ট তা নিশ্চিত করুন: একটি Root CA যা অফলাইনে রাখা হয়, এবং এক বা একাধিক Issuing CA যা ডিভাইসের সার্টিফিকেট স্বাক্ষর করে। RADIUS সার্ভারের নিজস্ব সার্টিফিকেটের প্রয়োজন হবে যা এই একই CA অনুক্রম দ্বারা স্বাক্ষরিত।
ধাপ ২: Jamf Pro-তে SCEP পে-লোড কনফিগার করুন
Computers (অথবা Mobile Devices) > Configuration Profiles > New-এ যান। একটি Certificate পে-লোড যোগ করুন এবং সার্টিফিকেটের উৎস হিসেবে SCEP নির্বাচন করুন। গুরুত্বপূর্ণ ক্ষেত্রগুলো নিম্নরূপ।
- URL: SCEP এন্ডপয়েন্ট (যেমন,
http://ndes.yourdomain.com/certsrv/mscep/mscep.dll)। - Name: একটি বর্ণনামূলক নাম যা ডিভাইসের Keychain-এ প্রদর্শিত হবে।
- Subject: সার্টিফিকেটের Distinguished Name। কম্পিউটারগুলোর জন্য
CN=$COMPUTERNAMEবা মোবাইল ডিভাইসের জন্যCN=$JSSIDএর মতো Jamf ভেরিয়েবল ব্যবহার করুন। - Subject Alternative Name (SAN): SAN Type-টি
$MACADDRESS@yourdomain.comমান সহRFC 822 Name, অথবা$COMPUTERNAME.yourdomain.comসহDNS Nameহিসেবে সেট করুন। RADIUS সার্ভার ডিভাইসটি সনাক্ত করতে এটি রিড করবে। - Challenge Type: Jamf-এর বিল্ট-ইন SCEP প্রক্সি ব্যবহার করতে Dynamic নির্বাচন করুন, যা প্রতি-ডিভাইস চ্যালেঞ্জ পাসওয়ার্ড তৈরি করে।
- Key Size: সর্বনিম্ন 2048-bit RSA। নতুন ডিপ্লয়মেন্টের জন্য 4096-bit সাজেস্ট করা হয়।
- Key Usage: Signing এবং Encryption উভয়ই সক্রিয় করুন।
ধাপ ৩: WiFi পে-লোড কনফিগার করুন
একই Configuration Profile-এ, একটি WiFi পে-লোড যোগ করুন। Apple 802.1X-এর জন্য প্রধান সেটিংসগুলো নিম্নরূপ।
- SSID: আপনার কর্পোরেট সুরক্ষিত SSID-এর সঠিক নাম।
- Security Type: WPA2 Enterprise অথবা WPA3 Enterprise (যেখানে হার্ডওয়্যার এটি সমর্থন করে সেখানে সাজেস্ট করা হয়)।
- Protocols - Accepted EAP Types: শুধুমাত্র TLS নির্বাচন করুন। একচেটিয়াভাবে EAP-TLS প্রয়োগ করতে PEAP, TTLS এবং অন্য সব ধরনের বিকল্প ডি-সিলেক্ট করুন।
- Authentication - Identity Certificate: ধাপ ২-এ আপনার তৈরি করা SCEP পে-লোডটি নির্বাচন করুন। এটি সার্টিফিকেট এবং WiFi কানেকশনের মধ্যকার গুরুত্বপূর্ণ লিঙ্ক।
- Trust - Trusted Server Certificate Names: আপনার RADIUS সার্ভারের সার্টিফিকেটের সঠিক Common Name (CN) লিখুন (যেমন,
radius.yourdomain.com)। এটি সবচেয়ে বেশি বাদ পড়ে যাওয়া কনফিগারেশন আইটেম। - Trust - Trusted Certificates: Root CA এবং যেকোনো Intermediate CA সার্টিফিকেট আপলোড করুন যা RADIUS সার্ভারের সার্টিফিকেট স্বাক্ষর করেছে।
ধাপ ৪: RADIUS সার্ভার কনফিগার করুন
আপনার RADIUS সার্ভারে, Jamf-এ আপনার সংজ্ঞায়িত সার্টিফিকেটের বৈশিষ্ট্যগুলোর সাথে মেলে এমন একটি নেটওয়ার্ক পলিসি তৈরি করুন। Microsoft NPS-এর জন্য, এর অর্থ হলো একটি Connection Request Policy তৈরি করা যা Called-Station-Id বৈশিষ্ট্যের মাধ্যমে SSID-এর সাথে মেলে, এবং একটি Network Policy যা আপনার CA-এর বিপরীতে সার্টিফিকেট যাচাই করে এবং ঐচ্ছিক উপায়ে Tunnel বৈশিষ্ট্যের মাধ্যমে একটি VLAN অ্যাসাইন করে।
FreeRADIUS-এর জন্য, tls ব্যবহার করতে eap মডিউলটি কনফিগার করুন এবং আপনার CA সার্টিফিকেট, সার্ভার সার্টিফিকেট ও প্রাইভেট কি-কে নির্দেশ করুন। সার্টিফিকেটের SAN-এর সাথে আপনার ডিভাইস ইনভেন্টরি মেলানোর জন্য users ফাইল বা SQL ব্যাকএন্ড কনফিগার করা উচিত।
ধাপ ৫: প্রোফাইলের পরিধি নির্ধারণ এবং স্থাপন করুন
Jamf Pro-তে, কনফিগারেশন প্রোফাইলটিকে উপযুক্ত ডিভাইস গ্রুপে নিয়ে যান - উদাহরণস্বরূপ, "Corporate Fleet" স্মার্ট গ্রুপের সমস্ত ডিভাইস। প্রোফাইলটি MDM-এর মাধ্যমে স্বয়ংক্রিয়ভাবে পুশ করা হবে। অনলাইনে থাকা ডিভাইসগুলো কয়েক মিনিটের মধ্যে এটি পেয়ে যাবে; অফলাইনে থাকা ডিভাইসগুলো পরবর্তী সময়ে চেক ইন করার সময় এটি পাবে।
সর্বোত্তম অনুশীলন
যেখানে সম্ভব WPA3 Enterprise ব্যবহার করুন। GCMP-256 এবং HMAC-SHA-384 ব্যবহার করে 192-বিট মোড সহ WPA3 Enterprise উন্নত ক্রিপ্টোগ্রাফিক শক্তি প্রদান করে, যা WPA2 Enterprise-এর চেয়ে উল্লেখযোগ্যভাবে শক্তিশালী সুরক্ষা দেয়। Hospitality পরিবেশ এবং সংবেদনশীল ডেটা নিয়ে কাজ করা Healthcare সংস্থাগুলোর জন্য, এই আপগ্রেডটি কেবল একটি সর্বোত্তম অনুশীলনের চেয়ে ক্রমবর্ধমানভাবে একটি কমপ্লায়েন্স প্রয়োজনীয়তা হয়ে উঠছে।
শেয়ার্ড হার্ডওয়্যারের জন্য ডিভাইস-ভিত্তিক সার্টিফিকেট ব্যবহার করুন। শেয়ার্ড ডিভাইসগুলোর জন্য - যেমন রিটেল পয়েন্ট-অফ-সেল আইপ্যাড, হোটেল কনসিয়ার্জ ট্যাবলেট, বা ক্লিনিকাল ডিভাইস - ব্যবহারকারী-ভিত্তিক সার্টিফিকেটের পরিবর্তে ডিভাইস-বাউন্ড সার্টিফিকেট ব্যবহার করুন। এটি নিশ্চিত করে যে ডিভাইসটি বুট করার সময়, কোনো ব্যবহারকারী লগইন করার আগেই নেটওয়ার্কের সাথে সংযুক্ত হয়, যা MDM চেক-ইন, অ্যাপ আপডেট এবং পুশ নোটিফিকেশন সঠিকভাবে কাজ করার সুবিধা দেয়। Retail স্থাপনার জন্য এটি একটি অত্যন্ত গুরুত্বপূর্ণ বিবেচনা যেখানে ডিভাইসগুলো বিভিন্ন শিফটে শেয়ার করা হতে পারে।
আপনার সামগ্রিক সিকিউরিটি পোস্টারের সাথে নেটওয়ার্ক অ্যাক্সেস একীভূত করুন। কর্মীরা নিরাপদ অভ্যন্তরীণ অ্যাক্সেসের জন্য 802.1X ব্যবহার করার পাশাপাশি, ট্রাফিকের স্পষ্ট বিভাজন বজায় রাখতে আপনার পাবলিক-ফেসিং নেটওয়ার্কগুলো একটি শক্তিশালী Guest WiFi সমাধানের মাধ্যমে পরিচালিত হচ্ছে তা নিশ্চিত করুন। WiFi Analytics-এর সাথে সার্টিফিকেট-ভিত্তিক স্টাফ প্রমাণীকরণ যুক্ত করা প্রমাণীকৃত ডিভাইসের আচরণ এবং গেস্ট নেটওয়ার্ক অ্যাক্টিভিটি উভয় ক্ষেত্রেই সম্পূর্ণ ভিজিবিলিটি প্রদান করে।
সার্টিফিকেট নবায়ন স্বয়ংক্রিয় করুন। কোনো সার্টিফিকেট মেয়াদ শেষ হওয়ার ১৪ থেকে ৩০ দিনের মধ্যে থাকলে Jamf-এ SCEP পে-লোডটি স্বয়ংক্রিয় নবায়ন ট্রিগার করার জন্য কনফিগার করুন। এটি এমন পরিস্থিতি প্রতিরোধ করে যেখানে কোনো ডিভাইস তার সার্টিফিকেটের মেয়াদ শেষ হয়ে যাওয়ার কারণে হঠাৎ নেটওয়ার্ক অ্যাক্সেস হারিয়ে ফেলে। Jamf Pro-তে, এটি SCEP পে-লোডের Renewal Threshold সেটিং-এর মাধ্যমে নিয়ন্ত্রিত হয়।
একটি সার্টিফিকেট রিভোকেশন লিস্ট (CRL) বা OCSP রেসপন্ডার বজায় রাখুন। যখন কোনো ডিভাইস বাতিল, চুরি বা Jamf থেকে আনএনরোল করা হয়, তখন CA স্তরে তার সার্টিফিকেট অবশ্যই বাতিল করতে হবে। প্রতিবার প্রমাণীকরণের প্রচেষ্টায় CRL বা OCSP এন্ডপয়েন্ট চেক করতে আপনার RADIUS সার্ভারটি কনফিগার করুন। এটি ছাড়া, একটি বৈধ সার্টিফিকেট সহ চুরি যাওয়া ডিভাইসও নেটওয়ার্কে প্রমাণীকরণ করতে সক্ষম হতে পারে।
আধুনিক নেটওয়ার্ক পরিকাঠামোর সিদ্ধান্তের বিষয়ে আরও বিস্তারিত জানতে, The Core SD WAN Benefits for Modern Businesses গাইডটি কীভাবে সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন SD-WAN ওভারলে আর্কিটেকচারের সাথে একীভূত হয় সে সম্পর্কে দরকারী তথ্য প্রদান করে।
সমস্যা সমাধান ও ঝুঁকি হ্রাস
চিকেন-অ্যান্ড-এগ প্রোভিশনিং সমস্যা। SCEP সার্ভারে পৌঁছাতে এবং তাদের সার্টিফিকেট ডাউনলোড করার জন্য ডিভাইসগুলোর একটি নেটওয়ার্ক সংযোগ প্রয়োজন, কিন্তু সুরক্ষিত WiFi-এ যুক্ত হওয়ার জন্য তাদের সার্টিফিকেটের প্রয়োজন। এটি সবচেয়ে সাধারণ ডিপ্লয়মেন্ট বাধা। প্রস্তাবিত সমাধান কৌশলগুলো হলো: USB-C বা Lightning থেকে Ethernet অ্যাডাপ্টার ব্যবহার করে Ethernet-এর মাধ্যমে প্রোভিশনিং করা; iPhones এবং সেলুলার সুবিধাযুক্ত iPads-এ সেলুলার ডেটা ব্যবহার করা; অথবা ফায়ারওয়াল নিয়মের সাথে একটি অস্থায়ী, সীমাবদ্ধ অনবোর্ডিং SSID তৈরি করা যা শুধুমাত্র SCEP এবং MDM ট্র্যাফিক অনুমোদন করে।
macOS-এ সাইলেন্ট EAP-TLS ব্যর্থতা। ট্রাস্ট চেইনটি অসম্পূর্ণ হলে, macOS UI-তে কোনো অর্থপূর্ণ ত্রুটি না দেখিয়েই সংযোগ করতে নীরবে ব্যর্থ হতে পারে। এর একমাত্র ইঙ্গিত পাওয়া যায় সিস্টেম লগে। রিয়েল-টাইম অথেন্টিকেশন ইভেন্টগুলো ক্যাপচার করতে log stream --predicate 'subsystem == "com.apple.network"' ব্যবহার করুন। Jamf প্রোফাইলে Trusted Server Certificate Names অ্যারেটি RADIUS সার্ভারের সার্টিফিকেটের CN-এর সাথে হুবহু মিলছে কিনা তা সর্বদা যাচাই করুন।
উচ্চ-লোডের সময় RADIUS টাইমআউট। স্টেডিয়াম বা কনফারেন্স সেন্টারের মতো পরিবেশে, শত শত ডিভাইস থেকে একই সাথে আসা অথেন্টিকেশন অনুরোধগুলো RADIUS সার্ভারকে অভিভূত করতে পারে। একটি হাই-অ্যাভেলেবিলিটি পেয়ারে RADIUS ডিপ্লয় করে, FreeRADIUS-এ max_requests প্যারামিটার টিউন করে এবং প্রত্যাশিত সমসাময়িক অথেন্টিকেশন লোডের জন্য RADIUS সার্ভারে পর্যাপ্ত CPU এবং মেমরি রয়েছে তা নিশ্চিত করে এটি হ্রাস করুন। বড় আকারের ভেন্যু ডিপ্লয়মেন্টের জন্য, ক্যাপাসিটি প্ল্যানিংয়ের বিবেচনার জন্য আমাদের Wireless Access Points Definition Your Ultimate 2026 Guide গাইডলাইনটি পর্যালোচনা করুন।
সার্টিফিকেট অ্যাট্রিবিউট অমিল। ডিভাইস সার্টিফিকেটের SAN যদি RADIUS নেটওয়ার্ক পলিসির প্রত্যাশার সাথে না মেলে, তবে অথেন্টিকেশন ব্যর্থ হবে। এটি বিশেষ করে একটি CA থেকে অন্যটিতে স্থানান্তরিত হওয়ার সময় বা Jamf ভেরিয়েবলগুলো প্রত্যাশার চেয়ে আলাদাভাবে কাজ করলে ঘটে থাকে। সম্পূর্ণ ফ্লিটে রোল আউট করার আগে সর্বদা একটি একক ডিভাইস দিয়ে পরীক্ষা করুন এবং উপস্থাপিত সঠিক আইডেন্টিটি স্ট্রিংটি নিশ্চিত করতে RADIUS সার্ভার লগগুলো পরীক্ষা করুন।
ROI এবং ব্যবসায়িক প্রভাব
Jamf RADIUS WiFi সার্টিফিকেট অথেন্টিকেশনে রূপান্তর বেশ কয়েকটি দিক জুড়ে পরিমাপযোগ্য ব্যবসায়িক মূল্য প্রদান করে।
| মেট্রিক | সাধারণ ফলাফল |
|---|---|
| হেল্পডেস্ক টিকিট হ্রাস | WiFi সংক্রান্ত সাপোর্ট অনুরোধে ৬০-৮৫% হ্রাস |
| ডিভাইস প্রতি অনবোর্ডিং সময় | ১৫-৩০ মিনিট থেকে কমে ২ মিনিটেরও কম (জিরো-টাচ) |
| নিরাপত্তা ঘটনার ঝুঁকি | ক্রেডেন্সিয়াল-ভিত্তিক WiFi আক্রমণের প্রায় সম্পূর্ণ অবসান |
| কমপ্লায়েন্সের অবস্থা | PCI-DSS Requirement 1.3 এবং GDPR Article 32 নেটওয়ার্ক নিয়ন্ত্রণ পূরণ করে |
| সার্টিফিকেট লাইফসাইকেল | স্বয়ংক্রিয় রিনিউয়াল ম্যানুয়াল সার্টিফিকেট ম্যানেজমেন্ট দূর করে |
সবচেয়ে গুরুত্বপূর্ণ ROI চালিকাশক্তি হলো পাসওয়ার্ড পরিবর্তনের ফলে নেটওয়ার্ক থেকে বিচ্ছিন্ন হওয়ার সমস্যা দূর করা। ৫০০টি ডিভাইসের একটি বহরে যেখানে পাসওয়ার্ড পরিবর্তনের কারণে প্রতি ত্রৈমাসিকে ১০% ডিভাইস নেটওয়ার্ক থেকে বাদ পড়ে যায় এবং প্রতিটি ঘটনা সমাধানের জন্য আইটি টিমের ২০ মিনিট সময় লাগে, সেখানে শুধুমাত্র বার্ষিক সাপোর্ট খরচ সাশ্রয়ের মাধ্যমেই প্রথম বছরের মধ্যে এই বাস্তবায়ন বিনিয়োগের যৌক্তিকতা প্রমাণ করা সম্ভব।
Transport অপারেটর এবং বড় ভেন্যুর পরিবেশের জন্য, ডাইনামিক VLAN অ্যাসাইনমেন্ট কার্যকর করার ক্ষমতার মাধ্যমে এই ব্যবসায়িক সুবিধাটি আরও জোরালো হয় - যা নিশ্চিত করে যে কোনো ম্যানুয়াল নেটওয়ার্ক পুনর্গঠন ছাড়াই অপারেশনাল ডিভাইস, স্টাফ ডিভাইস এবং ম্যানেজমেন্ট সিস্টেমগুলি স্বয়ংক্রিয়ভাবে সেগমেন্টেড হয়ে যায়।
মূল সংজ্ঞাসমূহ
EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)
সবচেয়ে সুরক্ষিত 802.1X প্রমাণীকরণ পদ্ধতি, যার জন্য ক্লায়েন্ট ডিভাইস এবং RADIUS সার্ভার উভয়েরই ডিজিটাল সার্টিফিকেট ব্যবহার করে একে অপরকে প্রমাণীকরণ করা প্রয়োজন। কোনো পাসওয়ার্ড বিনিময় বা আদান-প্রদান করা হয় না।
আইটি টিমগুলোর যখন পাসওয়ার্ড-ভিত্তিক WiFi বাদ দেওয়ার এবং কঠোর ডিভাইস কমপ্লায়েন্স প্রয়োগ করার প্রয়োজন হয়, তখন EAP-TLS হল বাধ্যতামূলক মান। এটি একমাত্র EAP টাইপ যা পারস্পরিক প্রমাণীকরণ (mutual authentication) প্রদান করে।
SCEP (Simple Certificate Enrollment Protocol)
একটি প্রোটোকল যা ডিভাইসগুলোকে একটি চ্যালেঞ্জ-রেসপন্স মেকানিজম ব্যবহার করে একটি সার্টিফিকেট অথরিটি থেকে সুরক্ষিতভাবে এবং স্বয়ংক্রিয়ভাবে ডিজিটাল সার্টিফিকেটের অনুরোধ করার অনুমতি দেয়।
আইটি কর্মীদের ম্যানুয়ালি হাজার হাজার ডিভাইসে সার্টিফিকেট ইনস্টল করার প্রয়োজন ছাড়াই Jamf Pro-এর মাধ্যমে সার্টিফিকেট ডিপ্লয়মেন্ট স্কেল করার জন্য এটি অপরিহার্য। Jamf-এর ডায়নামিক SCEP প্রক্সি প্রতিটি ডিভাইসের জন্য আলাদা চ্যালেঞ্জ পাসওয়ার্ড তৈরি করে।
RADIUS (Remote Authentication Dial-In User Service)
একটি নেটওয়ার্কিং প্রোটোকল যা একটি নেটওয়ার্ক সার্ভিসের সাথে সংযোগকারী ডিভাইসগুলোর জন্য কেন্দ্রীয়ভাবে প্রমাণীকরণ (Authentication), অনুমোদন (Authorisation), এবং অ্যাকাউন্টিং (Accounting) বা AAA ব্যবস্থাপনা প্রদান করে।
এটি একটি কেন্দ্রীয় সিদ্ধান্ত ইঞ্জিন যা WiFi অ্যাক্সেস পয়েন্টকে জানায় যে কোনো Jamf-পরিচালিত ডিভাইসকে নেটওয়ার্কে প্রবেশের অনুমতি দেওয়া হবে কিনা, এবং ঐচ্ছিকভাবে কোন VLAN বরাদ্দ করা হবে।
Configuration Profile
Jamf Pro দ্বারা ডিপ্লয় করা একটি XML ফাইল (.mobileconfig) যা সার্টিফিকেট, WiFi, VPN এবং বিধিনিষেধ সহ অ্যাপল ডিভাইসগুলোর সেটিংস পরিচালনা করতে এক বা একাধিক পে-লোড ধারণ করে।
আইফোন, আইপ্যাড বা ম্যাক-এ SCEP সেটিংস, WiFi SSID কনফিগারেশন এবং সার্টিফিকেট ট্রাস্ট চেইন পুশ করার জন্য এই মাধ্যমটি ব্যবহার করা হয়।
CSR (Certificate Signing Request)
অ্যাপল ডিভাইস দ্বারা তৈরি করা এনকোড করা টেক্সটের একটি ব্লক যা পাবলিক কী এবং আইডেন্টিটি ইনফরমেশন ধারণ করে এবং একটি স্বাক্ষরিত ডিজিটাল সার্টিফিকেটের জন্য আবেদন করতে সার্টিফিকেট অথরিটির কাছে পাঠানো হয়।
SCEP প্রক্রিয়ার প্রথম ধাপ। ডিভাইসটি স্থানীয়ভাবে CSR তৈরি করে, যা নিশ্চিত করে যে প্রাইভেট কী কখনই ডিভাইস থেকে বাইরে যাবে না - এটি PKI সুরক্ষার একটি মৌলিক নীতি।
Subject Alternative Name (SAN)
একটি X.509 সার্টিফিকেটের একটি এক্সটেনশন যা সার্টিফিকেটের সাথে একাধিক আইডেন্টিটি ভ্যালু যুক্ত করার অনুমতি দেয়, যেমন ইমেল অ্যাড্রেস, DNS নাম, IP অ্যাড্রেস বা MAC অ্যাড্রেস।
RADIUS প্রমাণীকরণের জন্য অত্যন্ত গুরুত্বপূর্ণ। RADIUS সার্ভার ডিভাইস বা ব্যবহারকারীকে সনাক্ত করতে SAN রিড করে। Jamf ডিপ্লয়মেন্টে, SAN সাধারণত ডিভাইসের MAC অ্যাড্রেস বা ব্যবহারকারীর UPN-এ সেট করা থাকে।
Root CA (Certificate Authority)
একটি PKI হায়ারার্কির সবচেয়ে উপরের সার্টিফিকেট, যার প্রাইভেট কী সাবঅর্ডিনেট CA সার্টিফিকেটগুলোতে স্বাক্ষর করতে ব্যবহৃত হয়। প্রমাণীকরণ চেইনের সমস্ত পক্ষ দ্বারা Root CA সার্টিফিকেটটি অবশ্যই বিশ্বস্ত হতে হবে।
অবশ্যই Jamf-এর মাধ্যমে অ্যাপল ডিভাইসগুলোতে ডিপ্লয় করতে হবে যাতে তারা EAP-TLS হ্যান্ডশেকের সময় RADIUS সার্ভার দ্বারা উপস্থাপিত সার্টিফিকেটগুলোকে বিশ্বাস করে। এটি ছাড়া, হ্যান্ডশেক ব্যর্থ হয়।
IEEE 802.1X
পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (PNAC)-এর জন্য একটি IEEE স্ট্যান্ডার্ড, যা নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে LAN বা WLAN-এর সাথে সংযুক্ত হতে চাওয়া ডিভাইসগুলোকে একটি প্রমাণীকরণ প্রক্রিয়া প্রদান করে।
একটি সর্বব্যাপী ফ্রেমওয়ার্ক যা অ্যাক্সেস পয়েন্টে নেটওয়ার্ক ট্রাফিক ব্লক করে যতক্ষণ না RADIUS সার্ভার Jamf-প্রভিশনড সার্টিফিকেট যাচাই করে। সমস্ত এন্টারপ্রাইজ WiFi নিরাপত্তা এই স্ট্যান্ডার্ডের ওপর ভিত্তি করে তৈরি।
Dynamic VLAN Assignment
একটি RADIUS বৈশিষ্ট্য যা RADIUS টানেল অ্যাট্রিবিউট ৬৪, ৬৫ এবং ৮১ ব্যবহার করে, Access-Accept মেসেজে ফিরে আসা পলিসি অ্যাট্রিবিউটের ওপর ভিত্তি করে একটি সংযোগকারী ডিভাইসকে একটি নির্দিষ্ট VLAN-এ বরাদ্দ করে।
একাধিক SSID ছাড়াই নেটওয়ার্ক সেগমেন্টেশন সক্ষম করে। একটি একক কর্পোরেট SSID স্বয়ংক্রিয়ভাবে ক্লিনিকাল আইপ্যাডগুলোকে VLAN 20-এ, এক্সিকিউটিভ ম্যাকবুকগুলোকে VLAN 30-এ এবং গেস্ট ডিভাইসগুলোকে VLAN 100-এ রাখতে পারে।
সমাধানকৃত উদাহরণসমূহ
একটি ৫০০ শয্যার হাসপাতালের ক্লিনিকাল স্টাফদের জন্য ১,২০০টি শেয়ার্ড iPad মোতায়েন করা প্রয়োজন। তারা বর্তমানে Active Directory ক্রেডেনশিয়াল সহ PEAP ব্যবহার করে, যার ফলে প্রতি ৯০ দিনে পাসওয়ার্ডের মেয়াদ শেষ হওয়ার পর শত শত ডিসকানেক্টেড ডিভাইস তৈরি হয়। তাদের কীভাবে তাদের অথেন্টিকেশন আর্কিটেকচার রিডিজাইন করা উচিত?
হাসপাতালের উচিত Jamf Pro-এর মাধ্যমে পরিচালিত ডিভাইস-ভিত্তিক সার্টিফিকেট ব্যবহার করে EAP-TLS-এ মাইগ্রেট করা। এই বাস্তবায়নের সাথে চারটি মূল ধাপ জড়িত। প্রথমত, SCEP সার্ভার হিসেবে কাজ করার জন্য NDES রোল সহ AD CS মোতায়েন করুন, যা একটি ডেডিকেটেড 'Clinical Device' সার্টিফিকেট টেমপ্লেট থেকে সার্টিফিকেট ইস্যু করবে। দ্বিতীয়ত, SAN হিসেবে $MACADDRESS ব্যবহার করে একটি SCEP পেলোড এবং শুধুমাত্র EAP-TLS সহ ক্লিনিকাল SSID-কে লক্ষ্য করে একটি WiFi পেলোড সহ একটি Jamf কনফিগারেশন প্রোফাইল কনফিগার করুন, যা RADIUS সার্ভার সার্টিফিকেটকে স্পষ্টভাবে ট্রাস্ট করে। তৃতীয়ত, একটি নেটওয়ার্ক পলিসি সহ Microsoft NPS কনফিগার করুন যা 'Clinical Device' সার্টিফিকেট টেমপ্লেটের সাথে মেলে এবং ডিভাইসগুলিকে ক্লিনিকাল VLAN (Tunnel-Private-Group-Id = 20) এ অ্যাসাইন করে। চতুর্থত, IT হস্তক্ষেপ ছাড়াই স্বয়ংক্রিয় সার্টিফিকেট রিনিউয়াল নিশ্চিত করতে SCEP রিনিউয়াল থ্রেশহোল্ড ৩০ দিন সেট করুন। অনবোর্ডিং নেটওয়ার্ক চ্যালেঞ্জের সমাধান করতে প্রাথমিক রোলআউটের সময় ডিভাইসগুলিকে ইথারনেটের মাধ্যমে প্রভিশন করা উচিত।
৩০০টি MacBook সহ একটি ক্রিয়েটিভ এজেন্সি একটি নতুন অফিসে স্থানান্তরিত হচ্ছে। তারা জিরো-টাচ WiFi প্রভিশনিং চায় - শেষ ব্যবহারকারীরা তাদের ডেস্কে নতুন MacBook আনবক্স করার সময় কোনো IT হস্তক্ষেপ ছাড়াই স্বয়ংক্রিয়ভাবে নিরাপদ কর্পোরেট SSID-এর সাথে কানেক্ট হতে হবে। তারা কীভাবে এটি অর্জন করবে?
এজেন্সিকে অবশ্যই Apple Automated Device Enrollment (ADE)-এর সাথে Jamf Pro এবং একটি সাবধানে সাজানো কনফিগারেশন প্রোফাইল একত্রিত করতে হবে। macOS সেটআপ অ্যাসিস্ট্যান্ট চলাকালীন, MacBook একটি অস্থায়ী ওপেন অনবোর্ডিং SSID-এর মাধ্যমে ইন্টারনেটের সাথে কানেক্ট হয় (যা শুধুমাত্র Apple অ্যাক্টিভেশন, Jamf MDM এবং SCEP ট্রাফিকের অনুমতি দেওয়ার জন্য ফায়ারওয়াল দ্বারা সীমাবদ্ধ)। এটি Apple-এর সাথে যোগাযোগ করে, ADE-এর মাধ্যমে এটি এজেন্সির অন্তর্গত তা সনাক্ত করে এবং স্বয়ংক্রিয়ভাবে Jamf Pro-তে এনরোল হয়। Jamf Pro অবিলম্বে SCEP পেলোড এবং কর্পোরেট WiFi পেলোড ধারণকারী একটি প্রি-স্টেজড কনফিগারেশন প্রোফাইল পুশ করে। অনবোর্ডিং SSID-এর মাধ্যমে SCEP এনরোলমেন্ট সম্পন্ন হয়, কিচেইনে সার্টিফিকেট ইনস্টল হয় এবং WiFi পেলোড সক্রিয় হয়। এরপর MacBook স্বয়ংক্রিয়ভাবে নিরাপদ 802.1X কর্পোরেট SSID-এ স্থানান্তরিত হয়। ব্যবহারকারীর দৃষ্টিকোণ থেকে, তারা কেবল সেটআপ অ্যাসিস্ট্যান্ট সম্পন্ন করে এবং ল্যাপটপটি কর্পোরেট নেটওয়ার্কে চলে আসে।
অনুশীলনী প্রশ্নসমূহ
Q1. আপনি ৫০টি MacBook-এ একটি SCEP পেলোড এবং একটি WiFi পেলোড সহ একটি Jamf কনফিগারেশন প্রোফাইল স্থাপন করেছেন। SCEP সার্টিফিকেটগুলো কিচেইনে সফলভাবে ইনস্টল হয়েছে, কিন্তু MacBook-গুলো কর্পোরেট SSID-এর সাথে সংযোগ করার চেষ্টা করার সময় ব্যবহারকারীদের একটি 'Verify Certificate' ডায়ালগ দেখাচ্ছে। কোন কনফিগারেশন উপাদানটি অনুপস্থিত বা ভুল?
ইঙ্গিত: ব্যবহারকারীর হস্তক্ষেপ ছাড়াই RADIUS সার্ভারের পরিচয় স্বয়ংক্রিয়ভাবে বিশ্বাস করার জন্য Apple ডিভাইসের কী ধরনের তথ্যের প্রয়োজন তা বিবেচনা করুন।
মডেল উত্তর দেখুন
Jamf কনফিগারেশন প্রোফাইলের WiFi পেলোডে হয় 'Trusted Server Certificate Names' এন্ট্রিটি অনুপস্থিত (যা RADIUS সার্ভারের সার্টিফিকেটের CN-এর সাথে হুবহু মিলতে হবে), অথবা RADIUS সার্ভারের সার্টিফিকেটে স্বাক্ষরকারী Root CA এবং Intermediate CA সার্টিফিকেটগুলো প্রোফাইলের Trust পেলোডে অন্তর্ভুক্ত করা হয়নি। MDM দ্বারা স্পষ্ট ট্রাস্ট সংজ্ঞায়িত না থাকলে, EAP-TLS হ্যান্ডশেকের সময় macOS এবং iOS-এর ক্ষেত্রে ব্যবহারকারীকে ম্যানুয়ালি RADIUS সার্ভারের সার্টিফিকেট যাচাই ও গ্রহণ করতে হয়। উভয় ফিল্ডই পূরণ করতে হবে: Trusted Certificates অ্যারে (CA চেইন সহ) এবং Trusted Server Certificate Names অ্যারে (RADIUS সার্ভারের CN সহ)।
Q2. একটি রিটেইল চেইন চায় যে তাদের পয়েন্ট-অফ-সেল iPad-গুলো কোনো কর্মী POS অ্যাপ্লিকেশনে লগইন করার আগেই, বুট হওয়ার সাথে সাথে সুরক্ষিত কর্পোরেট WiFi-এর সাথে সংযুক্ত হোক। বর্তমান ডেপ্লয়মেন্টে ব্যক্তিগত কর্মচারীর UPN-এর সাথে যুক্ত ইউজার সার্টিফিকেট ব্যবহার করা হচ্ছে। শিফট শুরু হওয়ার সময় ডিভাইসগুলো প্রায়শই সংযোগ করতে ব্যর্থ হয়। এর মূল কারণ কী এবং সঠিক আর্কিটেকচারাল পরিবর্তন কী হতে হবে?
ইঙ্গিত: ব্যবহারকারী অথেনটিকেশন লাইফসাইকেলের সাপেক্ষে iOS নেটওয়ার্ক স্ট্যাকে কখন বিভিন্ন ধরণের সার্টিফিকেট উপলব্ধ হয় তা বিবেচনা করুন।
মডেল উত্তর দেখুন
এর মূল কারণ হলো ইউজার সার্টিফিকেটগুলো (যা একটি UPN-এর সাথে যুক্ত) ব্যবহারকারীর কিচেইনে সংরক্ষিত থাকে এবং ব্যবহারকারী ডিভাইসে অথেনটিকেট করার পরেই কেবল সেগুলো অ্যাক্সেস করা যায়। বুট করার সময় বা iOS লক স্ক্রিনে, ব্যবহারকারীর কিচেন লক থাকে, যার ফলে WiFi স্ট্যাক EAP-TLS সম্পন্ন করার জন্য সার্টিফিকেট অ্যাক্সেস করতে পারে না। সঠিক আর্কিটেকচারাল পরিবর্তন হলো ডিভাইস সার্টিফিকেটে স্থানান্তরিত হওয়া, যেখানে SAN-টি ডিভাইসের MAC অ্যাড্রেস বা সিরিয়াল নম্বরে সেট করা থাকে। ডিভাইস সার্টিফিকেটগুলো সিস্টেম কিচেইনে সংরক্ষিত থাকে, যা কোনো ব্যবহারকারী লগইন করার আগেই বুট করার সময় অ্যাক্সেস করা যায়। RADIUS নেটওয়ার্ক পলিসি অবশ্যই ইউজার সার্টিফিকেটের পরিবর্তে ডিভাইস সার্টিফিকেটের সাথে মেলানোর জন্য আপডেট করতে হবে, এবং Jamf SCEP পেলোডটি SAN হিসেবে $MACADDRESS বা $SERIALNUMBER-এর মতো ডিভাইস-লেভেল ভেরিয়েবল ব্যবহার করার জন্য আপডেট করতে হবে।
Q3. আপনার প্রতিষ্ঠান RADIUS সার্ভার হিসেবে Microsoft NPS ব্যবহার করে। আপনি ২০০টি MacBook-এর জন্য একটি নতুন Jamf SCEP পেলোড কনফিগার করছেন। NPS নেটওয়ার্ক পলিসি এমনভাবে কনফিগার করা হয়েছে যাতে সার্টিফিকেটের Subject Alternative Name অবশ্যই Active Directory-তে থাকা একটি কম্পিউটার অ্যাকাউন্টের সাথে মিলে যায়। Jamf SCEP পেলোডে আপনার কোন SAN মান কনফিগার করা উচিত এবং NPS কোন ফরম্যাটটি প্রত্যাশা করে?
ইঙ্গিত: NPS কম্পিউটার সার্টিফিকেট অথেনটিকেশনের জন্য SAN-টি Active Directory-তে থাকা কম্পিউটারের পরিচয়ের সাথে একটি নির্দিষ্ট ফরম্যাটে মিলতে হবে।
মডেল উত্তর দেখুন
NPS কম্পিউটার সার্টিফিকেট অথেনটিকেশনের জন্য, SAN-টি $COMPUTERNAME.yourdomain.com মান সহ DNS Name টাইপে সেট করতে হবে (কম্পিউটারের হোস্টনামের জন্য Jamf ভেরিয়েবল ব্যবহার করে)। NPS প্রত্যাশা করে যে SAN DNS Name-টি Active Directory-তে প্রদর্শিত কম্পিউটারের ফুললি কোয়ালিফাইড ডোমেন নেম (FQDN) এর সাথে মিলবে। বিকল্পভাবে, User Principal Name SAN টাইপ ব্যবহার করলে, ফরম্যাটটি host/$COMPUTERNAME@YOURDOMAIN.COM হতে হবে। NPS নেটওয়ার্ক পলিসির কন্ডিশনটি 'Client Certificate SAN' অ্যাট্রিবিউটের সাথে মেলানোর জন্য সেট করা উচিত। নিশ্চিত করুন যে MacBook-গুলো Active Directory-র সাথে যুক্ত আছে, অথবা Jamf-এ কম্পিউটারের নামগুলো AD-র কম্পিউটার অবজেক্টের সাথে মিলছে, অন্যথায় সার্টিফিকেটটি বৈধ হলেও NPS লুকআপ ব্যর্থ হবে।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী
How does SCEP automate 802.1X WiFi certificate enrollment in Jamf Pro?
Jamf Pro deploys a Configuration Profile containing a SCEP payload (com.apple.security.scep) to managed Apple devices. The profile specifies the SCEP server URL, Subject DN, Subject Alternative Name (SAN), and a dynamic single-use challenge password. The Apple device generates a private key in the Keychain, sends a Certificate Signing Request (CSR) directly to the CA via SCEP, and installs the signed certificate without IT touching the hardware.
Why do Apple devices silently fail EAP-TLS WiFi authentication without an error?
macOS and iOS strictly validate the server certificate presented by the RADIUS server during the TLS handshake. If the RADIUS server Common Name (CN) is not explicitly listed in the TLSTrustedServerNames array of the Jamf WiFi payload, or if the issuing Root CA is missing from the device trust store, Apple devices silently terminate the 802.1X connection to prevent man-in-the-middle attacks.
Should enterprise Apple fleets use device certificates or user certificates for WiFi?
Shared Apple hardware (such as retail POS iPads or clinical hospital tablets) should always use device-bound certificates with the MAC address or serial number as the SAN. Device certificates reside in the system keychain, allowing the device to authenticate to corporate WiFi at boot before any user logs in. User certificates reside in user keychains and disconnect whenever the user session logs out or locks.
How does Purple Cloud RADIUS simplify Jamf 802.1X WiFi deployments?
Purple Cloud RADIUS replaces on-premise Active Directory Certificate Services (AD CS) and complex NDES proxy setups with a zero-footprint cloud RADIUS service. It integrates directly with Jamf Pro via SCEP APIs to validate managed Apple device identities, automate certificate lifecycle renewals, and assign dynamic VLANs across multi-vendor enterprise wireless access points.
এই সিরিজে পড়া চালিয়ে যান
এন্টারপ্রাইজ ডেপ্লয়মেন্টের জন্য IronWiFi এর বিকল্পসমূহ
আপনি আপনার নেটওয়ার্কের প্রয়োজনীয় কাজগুলোর ওপর ভিত্তি করে একটি IronWiFi বিকল্পের সংক্ষিপ্ত তালিকা তৈরি করতে পারবেন: অথেন্টিকেশন, আইডেন্টিটি, সম্মতি, হার্ডওয়্যার কভারেজ এবং তিন বছরের খরচ। আপনি জানতে পারবেন কখন Purple, Cloud4Wi, Spotipo বা Cloudi-Fi আরও ভালভাবে মানিয়ে যায়, কখন IronWiFi এখনও জয়ী হয় এবং কীভাবে একটি ওয়ান-ভেন্যু পাইলট চালাতে হয় যা প্রতিটি ভেন্ডরের দাবি প্রমাণ করে।
Sophos Firewall এবং গেস্ট WiFi: Purple-এর সাথে ক্যাপটিভ পোর্টাল সেটআপ
কীভাবে Purple-এর ক্লাউড গেস্ট WiFi একটি স্ট্যান্ডার্ড এক্সটার্নাল ক্যাপটিভ পোর্টাল এবং RADIUS-এর মাধ্যমে Sophos Firewall এবং এর অ্যাক্সেস পয়েন্টগুলোর সাথে কাজ করে, এবং কোথায় সাপোর্ট পরীক্ষা করতে হবে ও ধাপগুলো খুঁজে পেতে হবে।
Aruba Central এবং Purple WiFi: ক্লাউড-ম্যানেজড ইন্টিগ্রেশন
Purple-এর ক্লাউড-হোস্টেড গেস্ট WiFi ইন্টেলিজেন্স প্ল্যাটফর্মের সাথে Aruba Central-কে ইন্টিগ্রেট করার জন্য একটি বিস্তৃত টেকনিক্যাল রেফারেন্স গাইড। এই গাইডটি এন্টারপ্রাইজ আইটি টিমগুলোর জন্য আর্কিটেকচার, এক্সটার্নাল Captive Portal এবং RADIUS-এর ধাপে ধাপে কনফিগারেশন এবং মাল্টি-সাইট রোলআউট কৌশলগুলো কভার করে।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।