ক্লাউড RADIUS সহ Juniper Mist-এ 802.1X কনফিগার করা

Juniper Mist-এ 802.1X কনফিগার করতে, WPA2 বা WPA3-Enterprise সিকিউরিটি সহ একটি WLAN তৈরি করুন। অথেন্টিকেশন এবং অ্যাকাউন্টিংয়ের জন্য আপনার ক্লাউড RADIUS সার্ভারগুলি যোগ করুন, এবং পরিষেবাটি সাপোর্ট করলে RadSec সচল করুন। VLAN-কে ডাইনামিক হিসেবে সেট করুন যাতে RADIUS উত্তরগুলি প্রতিটি ডিভাইসকে সঠিক সেগমেন্টে পাঠায়। Mist-এর ক্লায়েন্ট ইনসাইট টাইমলাইন এবং Marvis তারপর দেখিয়ে দেয় কোথায় কোনো ব্যর্থ অথেন্টিকেশন আটকে গেছে।

Juniper Mist-এ 802.1X আসলে কী কাজ করে?

IEEE 802.1X হলো পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল। একটি ওয়্যারলেস নেটওয়ার্কে, এটি কোনো ডিভাইসের ট্র্যাফিক ব্লক করে রাখে যতক্ষণ না ডিভাইসটি কোনো অথেন্টিকেশন সার্ভারের কাছে তার পরিচয় প্রমাণ করে। অ্যাক্সেস পয়েন্টটি অথেন্টিকেটর হিসেবে কাজ করে। এটি ডিভাইস এবং একটি RADIUS সার্ভারের মধ্যে Extensible Authentication Protocol (EAP) মেসেজগুলি রিলে করে। RADIUS হলো RFC 2865-এ সংজ্ঞায়িত অথেন্টিকেশন প্রোটোকল।

RADIUS সার্ভার ক্রেডেনশিয়াল যাচাই করে এবং Access-Accept বা Access-Reject রিটার্ন করে। একটি Accept বার্তা বিভিন্ন অ্যাট্রিবিউট বহন করতে পারে, যেমন ডিভাইসটি যে VLAN-এ যোগ দেবে। এরপর প্রতিটি ডিভাইস তার নিজের এনক্রিপশন কী তৈরি করে, তাই কোনো দুজন কর্মী একটি সিক্রেট শেয়ার করেন না।

Juniper Mist-এ, প্রতিটি অ্যাক্সেস পয়েন্ট হলো একটি RADIUS ক্লায়েন্ট। Mist তার ক্লাউডে WLAN কনফিগারেশন ধারণ করে এবং প্রতিটি সাইটের প্রতিটি AP-তে এটি পুশ করে। এটি প্রতিটি সংযোগের চেষ্টার প্রতিটি ধাপ রেকর্ড করে, যা অথেন্টিকেশন ব্যর্থ হলে Mist-কে দরকারী করে তোলে।

EAP মেথড নির্ধারণ করে ডিভাইসটি কী উপস্থাপন করবে:

• EAP-TLS: ডিভাইস এবং সার্ভার উভয়ই সার্টিফিকেট উপস্থাপন করে। এখানে ফিশিং করা, শেয়ার করা বা মেয়াদ শেষ হওয়ার মতো কোনো পাসওয়ার্ড নেই।
• PEAP with MSCHAPv2: Protected EAP একটি TLS টানেলের ভেতরে একটি পাসওয়ার্ড এক্সচেঞ্জ কভার করে। এটি চালু করা সহজ কিন্তু তুলনামূলক দুর্বল। Microsoft ডকুমেন্ট করেছে যে সম্প্রতি Windows 11 বিল্ডে ডিফল্টভাবে চালু থাকা Credential Guard, MSCHAPv2-ভিত্তিক অথেন্টিকেশনের জন্য সিঙ্গেল সাইন-অন ব্লক করে।
• EAP-TTLS: একটি অনুরূপ টানেলযুক্ত মেথড, যা সেখানে সাধারণ যেখানে আইডেন্টিটি স্টোরটি Microsoft নয়।

Mist মেথডটি নিয়ে নেগোশিয়েট করে না। ডিভাইস এবং RADIUS সার্ভার নিজেদের মধ্যে এটি নির্ধারণ করে, এবং AP এই এক্সচেঞ্জটি রিলে করে। এর অর্থ হলো আপনি RADIUS-এর দিকে এবং আপনার ডিভাইস প্রোফাইলে EAP মেথড বেছে নেবেন, Mist কনসোলে নয়।

Mist-এ 802.1X কনফিগার করার আগে আপনার কী কী প্রয়োজন?

কনসোল খোলার আগে এগুলি সংগ্রহ করুন। বেশিরভাগ ব্যর্থ রোলআউটের কারণ এই তালিকার একটি অনুপস্থিত আইটেম, Mist কনফিগারেশন নয়।

• Mist অ্যাক্সেস। অর্গানাইজেশন অ্যাডমিন রাইটস, যেখানে APগুলি ক্লেইম করা এবং সাইটগুলিতে অ্যাসাইন করা আছে।
• ক্লাউড RADIUS বিবরণ। সার্ভার হোস্টনেম বা IP অ্যাড্রেস, পোর্ট, শেয়ার্ড সিক্রেট, এবং আপনার প্রোভাইডার সাপোর্ট করলে RadSec বিশদ।
• একটি আইডেন্টিটি সোর্স। Microsoft Entra ID, Okta বা Google Workspace, যা RADIUS পরিষেবার সাথে সংযুক্ত, এবং যেগুলির গ্রুপ নেটওয়ার্ক রোলের সাথে ম্যাপ করা থাকে।
• সার্টিফিকেট। একটি RADIUS সার্ভার সার্টিফিকেট যা আপনার ডিভাইসগুলি ট্রাস্ট করে। EAP-TLS-এর জন্য, আপনার MDM বা PKI-এর মাধ্যমে ইস্যু করা ক্লায়েন্ট সার্টিফিকেট।
• তারযুক্ত নেটওয়ার্ক। AP-গুলির সুইচে থাকা পোর্টগুলোকে সেই প্রতিটি VLAN-কে ট্রাঙ্ক করতে হবে যা RADIUS ফেরত দিতে পারে। প্রতিটি VLAN-এর জন্য একটি করে DHCP স্কোপ প্রয়োজন।
• ফায়ারওয়াল ইগ্রেস। স্ট্যান্ডার্ড RADIUS-এর জন্য UDP 1812 এবং 1813, অথবা RadSec-এর জন্য TCP 2083, যা IANA প্রতিটি পোর্টের জন্য বরাদ্দ করে।
• ডিভাইসের সক্ষমতা। WPA3-Enterprise-এর জন্য প্রোটেক্টেড ম্যানেজমেন্ট ফ্রেম (PMF, IEEE 802.11w) প্রয়োজন। পুরোনো স্ক্যানার, প্রিন্টার এবং হ্যান্ডহেল্ড ডিভাইসগুলো এটি সাপোর্ট নাও করতে পারে।
• কভারেজ। এন্টারপ্রাইজ অথেন্টিকেশন রাউন্ড ট্রিপ বৃদ্ধি করে, তাই দুর্বল কভারেজ থাকলে অথেন্টিকেশন টাইমআউট দেখা দেয়। আপনি যদি সম্প্রতি কভারেজ যাচাই না করে থাকেন, তবে আমাদের WiFi site surveys নির্দেশিকা থেকে এই পদ্ধতিটি দেখে নিতে পারেন।

একটি Mist WLAN-কে কোন RADIUS ব্যাক এন্ডের দিকে নির্দেশ করা উচিত?

ব্যাক এন্ড ঠিক করে যে AP-গুলো কীভাবে RADIUS-এ পৌঁছাবে, আপনার ফায়ারওয়ালকে কী অনুমতি দিতে হবে এবং সার্ভার কীভাবে প্রতিটি সাইটকে শনাক্ত করবে।

বিকল্প	AP থেকে ট্রান্সপোর্ট	সাইটে হার্ডওয়্যার	ফায়ারওয়াল ইগ্রেস	RADIUS কীভাবে সাইটকে শনাক্ত করে	যেটির জন্য সবচেয়ে উপযুক্ত
অন-প্রিমিসেস RADIUS (Microsoft NPS, FreeRADIUS)	LAN বা VPN জুড়ে UDP-এর মাধ্যমে RADIUS	হেড অফিসে সার্ভার, পাশাপাশি প্রতিটি সাইটে VPN	হেড অফিসে UDP 1812 এবং 1813	সোর্স IP এবং শেয়ার্ড সিক্রেট	একটি বিদ্যমান সার্ভার রুম সহ একক ক্যাম্পাস
UDP-এর মাধ্যমে ক্লাউড RADIUS	ইন্টারনেট জুড়ে UDP-এর মাধ্যমে RADIUS	নেই	UDP 1812 এবং 1813 আউটবাউন্ড	সাইটের পাবলিক IP এবং শেয়ার্ড সিক্রেট	স্ট্যাটিক পাবলিক IP অ্যাড্রেস সহ সাইটসমূহ
RadSec-এর মাধ্যমে ক্লাউড RADIUS	TCP (RFC 6614)-এর মাধ্যমে TLS-এর ভেতরে RADIUS	নেই	TCP 2083 আউটবাউন্ড	মিউচুয়াল সার্টিফিকেট অথেন্টিকেশন	ব্রডব্যান্ড বা ডাইনামিক IP-তে থাকা একাধিক সাইটের প্রোপার্টি
Mist Edge প্রক্সি হয়ে ক্লাউড RADIUS	AP থেকে Mist Edge, তারপর Mist Edge থেকে RADIUS	Mist Edge অ্যাপ্লায়েন্স বা ভার্চুয়াল মেশিন	কেবল Mist Edge থেকে RADIUS পোর্টসমূহ	Mist Edge সোর্স IP	একটি মাত্র ইগ্রেস পয়েন্ট প্রত্যাশী বড় ক্যাম্পাসসমূহ

Juniper তাদের নিজস্ব ক্লাউড নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সার্ভিস হিসেবে Mist Access Assurance-ও বিক্রি করে। এই নির্দেশিকাটিতে একটি বাহ্যিক ক্লাউড RADIUS সার্ভিস কভার করা হয়েছে, যা আপনার অথেন্টিকেশন পলিসিকে AP ভেন্ডর থেকে স্বাধীন রাখে।

ক্লাউড RADIUS সহ Juniper Mist-এ আপনি কীভাবে 802.1X কনফিগার করবেন?

Mist কনসোল নিয়মিত পরিবর্তন হয়, তাই বর্তমান ধাপগুলোর জন্য Juniper-এর Mist ডকুমেন্টেশন ব্যবহার করুন। নিচের ক্রমানুসারে প্রতিটি ধাপ কী কাজ করে এবং এর পেছনের সিদ্ধান্তগুলো দেখানো হলো।

ধাপ ১: WPA2 বা WPA3-Enterprise WLAN তৈরি করুন

আপনি যদি একের বেশি সাইট পরিচালনা করেন তবে একটি অর্গানাইজেশন-লেভেল WLAN টেমপ্লেটে WLAN তৈরি করুন। টেমপ্লেটগুলো সাইট বা সাইট গ্রুপগুলোতে প্রযোজ্য হয়, ফলে একটি পরিবর্তন সম্পূর্ণ এস্টেটে পৌঁছে যায়। একক সাইটের পাইলট প্রজেক্টের জন্য এটি সাইট লেভেলে তৈরি করুন।

SSID-এর নাম দিন এবং এন্টারপ্রাইজ (802.1X) সিকিউরিটি টাইপ নির্বাচন করুন। তারপর WPA2 বা WPA3 বেছে নিন।

• WPA3-Enterprise PMF-কে বাধ্যতামূলক করে এবং এটি 6 GHz রেডিওর একমাত্র এন্টারপ্রাইজ বিকল্প। ম্যানেজড ল্যাপটপ এবং বর্তমান ফোনগুলোর জন্য এটি বেছে নিন।
• WPA2-Enterprise এখনো পুরোনো ডিভাইসগুলোকে কানেক্ট করে। আপনার প্রধান SSID-কে দুর্বল করার বদলে, যদি পুরোনো কোনো ডিভাইস বহর এখনো পরিবর্তন করা না যায়, তবে সেটিকে একটি আলাদা SSID-তে রাখুন।

IEEE 802.11r (Fast BSS Transition) এর মাধ্যমে দ্রুত রোমিং সক্রিয় করার কথা বিবেচনা করুন। এটি কোনো ডিভাইস যখন APs এর মধ্যে চলাচল করে তখন পুনরায় অথেন্টিকেশন প্রক্রিয়াকে দ্রুততর করে। পুরো এস্টেট জুড়ে এটি সক্রিয় করার আগে ভয়েস হ্যান্ডসেট এবং পুরোনো ক্লায়েন্টগুলির সাথে এটি পরীক্ষা করে নিন।

ধাপ ২: আপনার ক্লাউড RADIUS সার্ভিসের দিকে WLAN কে নির্দেশ করুন

WLAN-এর অথেন্টিকেশন সার্ভার সেটিংসে আপনার প্রোভাইডারের RADIUS সার্ভারগুলি যোগ করুন।

• অথেন্টিকেশন সার্ভার। অন্তত দুটি সার্ভারের জন্য হোস্ট, পোর্ট এবং শেয়ার্ড সিক্রেট লিখুন। একটি সার্ভার প্রতিক্রিয়া জানানো বন্ধ করলে Mist পরবর্তী সার্ভারে নেভিগেট করে।
• অ্যাকাউন্টিং সার্ভার। এগুলি আলাদাভাবে যোগ করুন। অ্যাকাউন্টিং সেশনের শুরু এবং শেষের সময় রেকর্ড করে, যা আপনার অডিট এবং ইনসিডেন্ট টিমগুলির প্রয়োজন হবে।
• NAS আইডেন্টিফায়ার। এমন একটি মান সেট করুন যা RADIUS সার্ভিস সাইটগুলিকে আলাদা করতে ব্যবহার করতে পারে। আপনার প্রোভাইডার তখন সাইট-নির্দিষ্ট পলিসি প্রয়োগ করতে পারবে।

UDP এর মাধ্যমে স্ট্যান্ডার্ড RADIUS এর ক্ষেত্রে, NAT-এর পর প্রতিটি সাইটের পাবলিক IP ঠিকানা থেকে রিকোয়েস্টগুলি বের হয়। আপনার ক্লাউড RADIUS প্রোভাইডারকে অবশ্যই সেই ঠিকানাকে ক্লায়েন্ট হিসেবে রেজিস্টার করতে হবে। ডায়নামিক IP-তে থাকা একটি সাইট তার ঠিকানা পরিবর্তন হওয়ার সাথে সাথেই অথেন্টিকেশন হারাবে। ধাপ ৩-এ থাকা RadSec সেই নির্ভরতা দূর করে।

শেয়ার্ড সিক্রেটকে একটি ক্রেডেনশিয়াল হিসেবে বিবেচনা করুন। এটিকে দীর্ঘ ও র‍্যান্ডম করুন এবং আপনার পাসওয়ার্ড ভল্টে সংরক্ষণ করুন। জুলাই ২০২৪-এ, গবেষকরা BlastRADIUS (CVE-2024-3596) প্রকাশ করেছেন, যা UDP-এর মাধ্যমে RADIUS-এর বিরুদ্ধে একটি ফোরজারি অ্যাটাক। আপনার প্রোভাইডারের মেসেজ-অথেন্টিকেটর অ্যাট্রিবিউট প্রয়োজন কিনা তা নিশ্চিত করুন, যেমনটা পরামর্শে বলা হয়েছে, অথবা RadSec-এ স্থানান্তরিত হন।

ধাপ ৩: RadSec সক্রিয় করুন

হ্যাঁ, Juniper Mist RadSec সমর্থন করে। RFC 6614-এ সংজ্ঞায়িত RadSec, TCP-এর মাধ্যমে একটি TLS সেশনের ভেতরে RADIUS বহন করে। Mist APs সরাসরি আপনার ক্লাউড RADIUS সার্ভিসে সেই সেশন শুরু করতে পারে।

WLAN-এর RADIUS সেটিংসে RadSec সক্রিয় করুন এবং সার্ভার হোস্টনেম লিখুন। হোস্টনেমটি অবশ্যই সার্ভারের সার্টিফিকেটের নামের সাথে মিলতে হবে। তারপর উভয় দিকে ট্রাস্ট সেট আপ করুন:

• AP সার্ভারকে ট্রাস্ট করে। Mist-এর অর্গানাইজেশন সেটিংসে আপনার RadSec সার্ভারের সার্টিফিকেটে স্বাক্ষরকারী সার্টিফিকেট অথরিটি যোগ করুন।
• সার্ভার AP-কে ট্রাস্ট করে। আপনার RadSec সার্ভারকে অবশ্যই Mist APs যে সার্টিফিকেট প্রদান করে তা ট্রাস্ট করতে হবে। এটি কোথায় পাবেন তা Juniper-এর ডকুমেন্টেশনে ব্যাখ্যা করা হয়েছে।

প্রতিটি সাইট থেকে আউটবাউন্ড TCP 2083 খুলুন। RadSec তিনটি ব্যবহারিক সুবিধা নিয়ে আসে:

১. এনক্রিপশন। এটি এর ভেতরের আইডেন্টিটি এবং MAC ঠিকানা সহ পুরো RADIUS প্যাকেটটি এনক্রিপ্ট করে। স্ট্যান্ডার্ড RADIUS কেবল পাসওয়ার্ড গোপন করে। ২. কোনো IP রেজিস্ট্রেশন নেই। সার্টিফিকেটটি AP-কে অথেন্টিকেট করে, সোর্স অ্যাড্রেসকে নয়। ডায়নামিক ব্রডব্যান্ড IPs তখন আর কোনো সমস্যা তৈরি করে না। ৩. নির্ভরযোগ্য ডেলিভারি। EAP-TLS মেসেজগুলি সার্টিফিকেট চেইন বহন করে এবং প্রায়শই একটি প্যাকেট অতিক্রম করে। ইন্টারনেটের মাধ্যমে UDP-তে, ফ্র্যাগমেন্টগুলি ড্রপ হয়ে যায়। TCP এর পরিবর্তে পুনরায় পাঠায়।

ধাপ ৪: ডায়নামিক VLANs-এ RADIUS অ্যাট্রিবিউটস ম্যাপ করুন

ডায়নামিক VLAN অ্যাসাইনমেন্ট প্রতিটি রোলকে একটি SSID-তে রাখে এবং RADIUS-কে সেগমেন্ট নির্ধারণ করতে দেয়। WLAN-এর VLAN সেটিংসে, ডায়নামিক VLAN নির্বাচন করুন। AP যে প্রতিটি VLAN ID বা নাম পেতে পারে তার তালিকা তৈরি করুন এবং কোনো VLAN বহন করে না এমন উত্তরের জন্য একটি ডিফল্ট সেট করুন।

আপনার RADIUS পলিসি তখন তিনটি টানেল অ্যাট্রিবিউট রিটার্ন করে, যা RFC 2868-এ সংজ্ঞায়িত এবং RFC 3580-এ 802.1X-এ প্রয়োগ করা হয়েছে।

বৈশিষ্ট্য	মান	এটি কী করে
Tunnel-Type	13 (VLAN)	AP-কে জানায় যে টানেলটি একটি VLAN
Tunnel-Medium-Type	6 (IEEE-802)	একটি IEEE 802 মিডিয়াম নির্দিষ্ট করে
Tunnel-Private-Group-ID	WLAN-এ তালিকাভুক্ত VLAN ID বা নাম	এই সেশনের জন্য VLAN নির্বাচন করে

আইডেন্টিটি গ্রুপের ওপর ভিত্তি করে পলিসি তৈরি করুন। হাউসকিপিং ডিভাইসগুলো হাউসকিপিং VLAN-এ স্থান পায়। পেমেন্ট টার্মিনালগুলো একটি পৃথক সেগমেন্টে থাকে। PCI-DSS উপযুক্ত সেগমেন্টেশনকে কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের স্কোপ কমানোর একটি উপায় হিসেবে বিবেচনা করে। একই প্যাটার্ন healthcare-এ ভিজিটর ট্রাফিক থেকে ক্লিনিকাল ডিভাইসগুলোকে আলাদা করে।

ধাপ 5: পাইলট প্রয়োগ করুন, তারপর টেমপ্লেটের মাধ্যমে স্কেল করুন

প্রথমে একটি সাইটে টেমপ্লেটটি অ্যাসাইন করুন। পরবর্তী সেকশনের চেকগুলো রান করুন। সেগুলো পাস করলে, বাকি সাইট বা সাইট গ্রুপগুলোতে টেমপ্লেটটি অ্যাসাইন করুন। প্রতিটি নতুন সাইট স্বয়ংক্রিয়ভাবে WLAN, RADIUS সার্ভার, RadSec সেটিংস এবং VLAN তালিকা ইনহেরিট করে।

Mist-এ 802.1X ঠিকমতো কাজ করছে কিনা তা কীভাবে পরীক্ষা করবেন?

শুধু একটি অ্যাকাউন্ট নয়, প্রতিটি রোল পরীক্ষা করুন। একটি গ্রুপের জন্য ওয়ার্কিং অ্যাকসেপ্ট অন্য একটি গ্রুপের VLAN ম্যাপিং সম্পর্কে কিছুই প্রমাণ করে না।

1. প্রতিটি রোলের জন্য একটি টেস্ট ডিভাইস কানেক্ট করুন। Mist-এর ক্লায়েন্ট তালিকায় SSID, ব্যবহৃত আইডেন্টিটি, VLAN এবং প্রত্যাশিত সাবনেটের একটি IP ঠিকানা নিশ্চিত করুন।
2. RADIUS লগ পড়ুন। প্রত্যাশিত টানেল অ্যাট্রিবিউটসহ একটি Access-Accept নিশ্চিত করুন, যার পরে একটি অ্যাকাউন্টিং স্টার্ট রেকর্ড থাকবে।
3. রোম করুন। AP-গুলোর মধ্যে ডিভাইসটিকে ঘুরিয়ে আনুন এবং সেশনটি টিকে আছে কিনা তা নিশ্চিত করুন, বিশেষ করে যদি আপনি 802.11r চালু করে থাকেন।
4. রিভোক করুন। আপনার আইডেন্টিটি প্রোভাইডারে একটি টেস্ট অ্যাকাউন্ট নিষ্ক্রিয় করুন। নিশ্চিত করুন যে এর পরবর্তী অথেনটিকেশন রিজেক্ট হয়েছে।
5. সার্ভিস লেভেল পর্যবেক্ষণ করুন। Mist-এর Successful Connects সার্ভিস লেভেল এক্সপেক্টেশন (SLE)-এ একটি অথরাইজেশন ক্লাসিফায়ার অন্তর্ভুক্ত রয়েছে। Time to Connect দেখায় যে অথেনটিকেশন জয়েনিং ধীরগতির করছে কিনা।

ধাপ 4-এ একটি বিষয় রয়েছে। একটি অ্যাকাউন্ট নিষ্ক্রিয় করলে তা পরবর্তী অথেনটিকেশন বন্ধ করে, বর্তমান সেশন নয়। লাইভ সেশন শেষ করতে, আপনার RADIUS সার্ভিস এবং WLAN, Change of Authorization (CoA, RFC 5176) সাপোর্ট করে কিনা তা পরীক্ষা করুন। CoA সার্ভারকে প্রয়োজন অনুযায়ী একটি সেশন ডিসকানেক্ট করার সুবিধা দেয়।

Mist কোথায় দেখায় কেন একটি অথেনটিকেশন ব্যর্থ হয়েছে?

ক্লায়েন্ট ইনসাইটস টাইমলাইন পড়া

ব্যর্থ হওয়া ক্লায়েন্টটি খুলুন এবং এর Insights পৃষ্ঠায় যান। Mist প্রতিটি কানেকশন ইভেন্ট ক্রমানুসারে তালিকাভুক্ত করে: অ্যাসোসিয়েশন, EAP এক্সচেঞ্জ, RADIUS ফলাফল, তারপর DHCP। এটি বাম থেকে ডানে পড়ুন। শেষ সফল ইভেন্টটি আপনাকে বলে দেয় কোন লেয়ারটি ভেঙে গেছে।

• যেকোনো RADIUS ইভেন্টের আগে ব্যর্থ হয়: একটি রেডিও বা অ্যাসোসিয়েশন সমস্যা, 802.1X নয়।
• RADIUS টাইমআউট: AP এবং সার্ভারের মধ্যে একটি রিচেবিলিটি বা ট্রাস্টের সমস্যা।
• RADIUS রিজেক্ট: সার্ভার একটি সিদ্ধান্তে পৌঁছেছে। কারণটি আপনার RADIUS প্রোভাইডারের লগে রয়েছে।
• অথেনটিকেটেড, কিন্তু DHCP ব্যর্থ হয়: একটি VLAN বা তারযুক্ত নেটওয়ার্ক সমস্যা।

Mist-এর ডায়নামিক প্যাকেট ক্যাপচার স্বয়ংক্রিয়ভাবে কানেকশন ব্যর্থতার আশেপাশের ফ্রেমগুলো রেকর্ড করে। ক্যাপচারটি ডাউনলোড করুন এবং Wireshark-এ ওপেন করে সঠিক EAP মেসেজটি দেখুন যেখানে এক্সচেঞ্জটি বন্ধ হয়েছিল।

Marvis কুয়েরি যা ট্রায়াজকে সহজ করে

Mist-এর কথোপকথন সহকারী, Marvis, সাধারণ ভাষার প্রশ্ন গ্রহণ করে এবং এর জন্য একটি Marvis সাবস্ক্রিপশন প্রয়োজন। এই ধরনের প্রশ্নগুলি সবচেয়ে বেশি সময় বাঁচায়:

• "[ক্লায়েন্টের নাম বা MAC ঠিকানা] ট্রাবলশুট করুন" একটি ডিভাইসের ব্যর্থতার বিন্দু এবং সম্ভাব্য কারণ প্রদান করে।
• "[সাইটের নাম] ট্রাবলশুট করুন" ব্যর্থতাগুলি কোনো একটি সাইটে নিবন্ধিত হচ্ছে কিনা তা দেখায়, যা ফায়ারওয়াল বা WAN সমস্যার দিকে ইঙ্গিত করে।
• "আজ [সাইট]-এ কোন ক্লায়েন্টগুলি সংযোগ করতে ব্যর্থ হয়েছে?" আপনি স্বতন্ত্র টাইমলাইন খোলার আগেই সমস্যার পরিধি নির্ধারণ করে।

পরিধি নির্ধারণ প্রথমে আসে। একটি একক ব্যর্থ ডিভাইস সাধারণত একটি ডিভাইস প্রোফাইল সম্পর্কিত সমস্যা। একটি সাইটের প্রতিটি ডিভাইস সম্পর্কিত সমস্যা সাধারণত নেটওয়ার্ক পাথ। সব জায়গার প্রতিটি ডিভাইস সম্পর্কিত সমস্যা সাধারণত RADIUS পরিষেবা বা একটি সার্টিফিকেট।

Mist-এ সাধারণ 802.1X ব্যর্থতা এবং সেগুলির সমাধান

Mist যা দেখায়	সম্ভাব্য কারণ	সমাধান
RADIUS টাইমআউট, কোনো উত্তর নেই	ফায়ারওয়াল UDP 1812 বা TCP 2083 ব্লক করছে, সোর্স IP নিবন্ধিত নয়, অথবা শেয়ার করা সিক্রেট মিলছে না	ইগ্রেস ওপেন করুন, সাইট IP নিবন্ধিত করুন বা RadSec-এ স্থানান্তরিত করুন, উভয় পক্ষে সিক্রেট পুনরায় এন্টার করুন
এক্সেস-রিজেক্ট	ভুল ক্রিডেনশিয়াল, নিষ্ক্রিয় অ্যাকাউন্ট, অথবা প্রতিটি নীতি গ্রুপের বাইরে থাকা ডিভাইস	RADIUS লগগুলিতে রিজেক্টের কারণ পড়ুন এবং নীতি বা অ্যাকাউন্ট সংশোধন করুন
সার্ভার সার্টিফিকেটের পর EAP বন্ধ হয়	ডিভাইস সার্ভার CA কে বিশ্বাস করে না, অথবা সার্ভারের নাম মিলছে না	আপনার MDM প্রোফাইলের মাধ্যমে ডিভাইসগুলিতে CA এবং সার্ভারের নাম পুশ করুন
অথেন্টিকেটেড, কোনো IP ঠিকানা নেই	রিটার্ন করা VLAN AP-তে ট্রাঙ্ক করা নেই, মিসিং DHCP স্কোপ, অথবা VLAN টি WLAN তালিকায় নেই	VLAN ট্রাঙ্ক করুন, স্কোপ যোগ করুন, VLAN নামের সাথে হুবহু মিল রাখুন
RadSec সেশন কখনো তৈরি হয় না	যেকোনো এক পক্ষে CA বিশ্বাসযোগ্য নয়, মেয়াদোত্তীর্ণ সার্টিফিকেট, অথবা ঘড়ির ত্রুটি	উভয় সার্টিফিকেট, মেয়াদ শেষের তারিখ এবং NTP পুনরায় পরীক্ষা করুন
UDP-তে বিচ্ছিন্ন EAP-TLS ব্যর্থতা	ইন্টারনেটে খণ্ডিত প্যাকেটগুলি ড্রপ হয়েছে	RadSec-এ স্থানান্তরিত হন অথবা সার্টিফিকেট চেইন ছোট করুন
WPA3 ডিভাইসগুলি কানেক্ট হয়, পুরনো ডিভাইসগুলি ব্যর্থ হয়	পুরনো ডিভাইসগুলিতে WPA3 বা PMF সমর্থনের অভাব রয়েছে	লেগাসি ডিভাইসগুলিকে একটি পৃথক WPA2-Enterprise SSID-এ স্থানান্তরিত করুন

একটি বাস্তব ভেন্যুতে এটি দেখতে কেমন লাগে?

এই দুটি দৃশ্যপট দৃষ্টান্তমূলক। এগুলি দেখায় কিভাবে কনফিগারেশন পরিমাপযোগ্য অপারেশনাল ফলাফল পরিবর্তন করে।

উদাহরণ দৃশ্যপট: একটি ২০০ রুমের হোটেল কর্মীদের শেয়ার করা কীগুলি বাতিল করে

পরিস্থিতি। একটি ২০০ রুমের হোটেল কর্মীদের চারটি SSID চালাচ্ছিল: ফ্রন্ট ডেস্ক, হাউসকিপিং, ম্যানেজমেন্ট এবং ইঞ্জিনিয়ারিং। প্রতিটি একটি শেয়ার করা পাসওয়ার্ড ব্যবহার করত। যখন একজন হাউসকিপার চাকরি ছেড়ে দিতেন, তখন দলটি ডজন ডজন ডিভাইসে কী পরিবর্তন করত অথবা তা অপরিবর্তিত রেখে দিত। অতিথিরা পঞ্চম একটি SSID-তে যুক্ত হতেন।

যা করা হয়েছিল। দলটি একটি Mist WLAN টেমপ্লেটে একটি WPA3-Enterprise কর্মী SSID তৈরি করেছিল। পরিচালিত ডিভাইসগুলি EAP-TLS ব্যবহার করেছিল, যার সার্টিফিকেটগুলি MDM-এর মাধ্যমে পুশ করা হয়েছিল। Cloud RADIUS Microsoft Entra ID থেকে গ্রুপ মেম্বারশিপ পড়ত এবং বিভাগ অনুযায়ী একটি VLAN রিটার্ন করত। পুরনো রুম-সার্ভিস ট্যাবলেটগুলির জন্য একটি পৃথক WPA2-Enterprise SSID রাখা হয়েছিল। অতিথিরা Guest WiFi-এ ছিলেন।

ফলাফল। চারটি কর্মী SSID কমে একটি হয়েছে, সাথে একটি লেগ্যাসি SSID, ফলে হোটেলটি পাঁচটি নেটওয়ার্কের বদলে তিনটি নেটওয়ার্ক সম্প্রচার করেছে। কম SSID-এর অর্থ হলো এয়ারটাইমের জন্য কম বিকন ফ্রেম প্রতিযোগিতা করা। শেয়ার করা স্টাফ কি-র সংখ্যা চার থেকে শূন্যে নেমে এসেছে। কোনো কর্মী চাকরি ছাড়লে HR অ্যাকাউন্টটি নিষ্ক্রিয় করার সাথে সাথেই তার অ্যাক্সেস শেষ হয়ে যায়, কোনো কি পরিবর্তনের প্রয়োজন হয় না। একই পদ্ধতি ডিপার্টমেন্টাল PSK নেটওয়ার্ক চালানো বেশিরভাগ হোটেলের ক্ষেত্রে প্রযোজ্য।

বাস্তব দৃশ্যপট: একটি ১২০-স্টোরের খুচরা বিক্রেতা চেইন RadSec-এ স্থানান্তরিত হয়েছে

পরিস্থিতি। একটি ১২০-স্টোরের চেইন বিজনেস ব্রডব্যান্ডে Mist APস চালাচ্ছিল। সাইট-টু-সাইট VPN-এর মাধ্যমে প্রধান কার্যালয়ে অবস্থিত অন-প্রিমিসেস RADIUS সার্ভারে অথেন্টিকেশন সম্পন্ন হতো। যখন কোনো স্টোরের VPN বিচ্ছিন্ন হতো, তখন কর্মীদের ডিভাইস এবং হ্যান্ডহেল্ড স্ক্যানারগুলি আর অথেন্টিকেট করতে পারতো না।

যা করা হয়েছিল। চেইনটি একটি ক্লাউড RADIUS পরিষেবায় স্থানান্তরিত হয় এবং Mist WLAN টেমপ্লেটে RadSec সক্রিয় করে। Mist-এর অর্গানাইজেশন সেটিংসে একবার সার্টিফিকেট ট্রাস্ট সেট করা হয়েছিল। স্টোরগুলি আউটবাউন্ড TCP 2083 উন্মুক্ত করে। পেমেন্ট টার্মিনালগুলি ডায়নামিক অ্যাসাইনমেন্টের মাধ্যমে একটি আইসোলেটেড VLAN পায়, যা PCI DSS সেগমেন্টেশনকে সহায়তা করে।

ফলাফল। RADIUS সার্ভার প্রতি স্টোরের ১২০টি IP ক্লায়েন্ট এন্ট্রি ট্র্যাক করা বন্ধ করে দেয়; সার্টিফিকেটগুলি সেগুলির সমস্ত স্থান দখল করে। অথেন্টিকেশন আর VPN-এর ওপর নির্ভরশীল ছিল না। একটি নতুন স্টোর তার সাইট টেমপ্লেটে যুক্ত হওয়ার সাথে সাথেই 802.1X পেয়ে যায়। এই মডেলটি সেইসব খুচরা প্রতিষ্ঠানের জন্য উপযুক্ত যেখানে স্টোরের সংযোগ পরিবর্তনশীল IP অ্যাড্রেস সহ ব্রডব্যান্ড।

এর খরচ কত, এবং আপনি বিনিময়ে কী পাবেন?

আপনার নতুন এক্সেস পয়েন্টের প্রয়োজন নেই। 802.1X, RadSec এবং ডায়নামিক VLANগুলি আপনার ইতিমধ্যে মালিকানাধীন Mist APস-এই চলে। আমাদের নিবন্ধ কেন আপনার পরবর্তী WiFi আপগ্রেডের জন্য নতুন হার্ডওয়্যারের প্রয়োজন নেই-এ এই ক্লাউড ওভারলে মডেলটি আরও বিস্তারিতভাবে তুলে ধরা হয়েছে।

খরচ চারটি জায়গায় রয়েছে:

• Juniper সাবস্ক্রিপশন। সার্ভিস লেভেল এক্সপেক্টেশন এবং Marvis আপনার Mist সাবস্ক্রিপশন স্তরের ওপর নির্ভর করে। আপনার Juniper পার্টনারের সাথে কভারেজ নিশ্চিত করুন।
• RADIUS পরিষেবা। অন-প্রিমিসেস RADIUS-এর জন্য সার্ভার, লাইসেন্স, প্যাচিং এবং VPN-এর খরচ হয়। ক্লাউড RADIUS হলো একটি সাবস্ক্রিপশন যাতে কোনো হার্ডওয়্যারের প্রয়োজন নেই।
• সার্টিফিকেট। EAP-TLS-এর জন্য সার্টিফিকেট ইস্যু করতে একটি PKI এবং একটি MDM প্রয়োজন। বেশিরভাগ প্রতিষ্ঠান ইতিমধ্যে উভয়ই পরিচালনা করে।
• ইঞ্জিনিয়ারিং সময়। Mist কনফিগারেশন হলো দ্রুততম অংশ। ডিভাইসগুলিতে সার্টিফিকেট বিতরণ প্রক্রিয়াটি গতি নির্ধারণ করে।

আপনি বিনিময়ে যা পান তা পরিমাপযোগ্য। শেয়ার করা কি শূন্যে নেমে আসে। অ্যাক্সেস বাতিলকরণ আইডেন্টিটি প্রোভাইডারকে অনুসরণ করে, কোনো কি রোটেশন প্রজেক্টকে নয়। SSID সংখ্যা হ্রাস পায়। সেগমেন্টেশন PCI DSS-এর স্কোপ কমিয়ে আনে। সাইট ভিজিটের পরিবর্তে একটি টাইমলাইন এবং একটি Marvis কোয়েরি থেকে ট্রায়াজ শুরু হয়।

Mist-এর জন্য একটি ক্লাউড RADIUS বিকল্প হলো Purple-এর RADIUS-as-a-Service। এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet জুড়েই হার্ডওয়্যার-নিরপেক্ষ। এটি নেটওয়ার্ক অ্যাক্সেসকে Microsoft Entra ID, Okta বা Google Workspace-এর পরিচয়ের সাথে সংযুক্ত করে, ফলে নতুন যোগদানকারী, পদ পরিবর্তনকারী এবং প্রতিষ্ঠান ত্যাগকারীদের তথ্য স্বয়ংক্রিয়ভাবে আপডেট হয়। Purple হলো ISO 27001 এবং Cyber Essentials সার্টিফাইড এবং GDPR অনুcompliant। আমাদের নিজস্ব ডেটা অনুযায়ী 2024 সালে 80,000+ লাইভ ভেন্যুতে 99.999% আপটাইম এবং 440 মিলিয়ন লগইন দেখা গেছে। আপনার সংক্ষিপ্ত তালিকায় থাকা যেকোনো প্রোভাইডারের সাথে RadSec সাপোর্ট যাচাই করে নিন, যার মধ্যে Purple-ও অন্তর্ভুক্ত। আপনি যদি গেস্ট নেটওয়ার্কের খরচ হিসাব করতে চান, তবে আমাদের captive portal pricing models তুলনাটি দেখুন।

বারবার জিজ্ঞাসা করা প্রশ্নাবলী

Juniper Mist কি নেটিভভাবে RadSec সাপোর্ট করে?

হ্যাঁ। Mist অ্যাক্সেস পয়েন্টগুলো RFC 6614-এ সংজ্ঞায়িত অনুযায়ী TCP-র ওপর TLS-এর মাধ্যমে RADIUS বহন করে সরাসরি একটি ক্লাউড RADIUS সার্ভিসে RadSec সেশন খুলতে পারে। আপনি WLAN-এর RADIUS সেটিংসে এটি সক্রিয় করতে পারেন এবং অর্গানাইজেশন সেটিংসে সার্টিফিকেট ট্রাস্ট পরিচালনা করতে পারেন। সাইটগুলোর জন্য আউটবাউন্ড TCP 2083 প্রয়োজন। RadSec সম্পূর্ণ RADIUS প্যাকেট এনক্রিপ্ট করে এবং আপনার প্রোভাইডারের কাছে প্রতিটি সাইটের পাবলিক IP ঠিকানা রেজিস্টার করার প্রয়োজনীয়তা দূর করে।

ক্লাউড RADIUS ব্যবহার করতে কি আমার Mist Edge প্রয়োজন?

না। Mist AP কোনো অতিরিক্ত হার্ডওয়্যার ছাড়াই সরাসরি ক্লাউড সার্ভিসে RADIUS বা RadSec পাঠাতে পারে। একটি Mist Edge প্রক্সি বড় ক্যাম্পাসে সাহায্য করে যেখানে আপনি একটি নিয়ন্ত্রিত পয়েন্টের মাধ্যমে প্রতিটি RADIUS রিকোয়েস্ট বের করতে চান। এটি সেইসব সাইটের জন্যও উপযোগী যেখানে AP সরাসরি ইন্টারনেটে পৌঁছাতে পারে না। বেশিরভাগ মাল্টি-সাইট এস্টেটের জন্য, AP থেকে সরাসরি RadSec হলো একটি সহজ ডিজাইন।

আমি কি ক্লাউড RADIUS-এ স্থানান্তরিত হওয়ার সময় Microsoft NPS চালু রাখতে পারি?

হ্যাঁ, তবে সার্ভারের ক্রম অনুযায়ী না করে গ্রুপ অনুযায়ী কাটওভারের পরিকল্পনা করুন। Mist কেবল তখনই অথেন্টিকেশন সার্ভারের মধ্যে ফেলওভার করে যখন একটি সাড়া দেওয়া বন্ধ করে, যখন কেউ রিকোয়েস্ট প্রত্যাখ্যান করে তখন নয়। তাই একই WLAN-এ NPS এবং একটি ক্লাউড সার্ভিস তালিকাভুক্ত করলে অপ্রত্যাশিত ফলাফল পাওয়া যায়। ক্লাউড RADIUS-এর দিকে নির্দেশিত একটি দ্বিতীয় SSID চালান, একসাথে একটি বিভাগ সরান, এবং তারপর NPS বন্ধ করুন।

Purple-এর RADIUS-as-a-Service কি Juniper Mist-এর সাথে কাজ করে?

হ্যাঁ। Purple হলো হার্ডওয়্যার-নিরপেক্ষ এবং Juniper Mist-এর পাশাপাশি Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ ক্লাউড ওভারলে হিসেবে চলে। এটি নেটওয়ার্ক অ্যাক্সেসকে Microsoft Entra ID, Okta বা Google Workspace-এর সাথে যুক্ত করে, তাই কোনো অ্যাকাউন্ট পরিবর্তিত হলে অ্যাক্সেসও পরিবর্তিত হয়। আপনি আপনার বিদ্যমান Mist APগুলো বজায় রাখতে পারবেন, কোনো রিপ অ্যান্ড রিপ্লেসের প্রয়োজন নেই।

Mist-এ 802.1X-এর জন্য কি WPA3-Enterprise প্রয়োজন?

না। 802.1X WPA2-Enterprise বা WPA3-Enterprise-এর সাথে কাজ করে। WPA3 বাধ্যতামূলক Protected Management Frames যুক্ত করে এবং এটি 6 GHz রেডিওতে একমাত্র এন্টারপ্রাইজ বিকল্প। বর্তমান ল্যাপটপ এবং ফোনের জন্য WPA3 ব্যবহার করুন। আপনার প্রধান SSID-এ সুরক্ষা কমানোর পরিবর্তে, PMF সাপোর্ট নেই এমন পুরনো স্ক্যানার, প্রিন্টার বা ট্যাবলেটের জন্য একটি পৃথক WPA2-Enterprise SSID রাখুন।

Mist-এ 802.1X-এর জন্য কি অতিরিক্ত Juniper লাইসেন্সের প্রয়োজন আছে?

WLAN-এর জন্য কোনো অতিরিক্ত লাইসেন্সের প্রয়োজন নেই। একটি Mist WLAN-কে একটি বাহ্যিক RADIUS সার্ভারে নির্দেশ করা একটি স্ট্যান্ডার্ড কনফিগারেশন। ট্রাবলশুটিং টুলগুলো ভিন্ন: Marvis-এর জন্য একটি Marvis সাবস্ক্রিপশন প্রয়োজন, এবং সার্ভিস লেভেল প্রত্যাশা আপনার Mist সাবস্ক্রিপশন স্তরের ওপর নির্ভর করে। Juniper-এর নিজস্ব Mist Access Assurance একটি পৃথক পণ্য। ট্রায়াজের জন্য Marvis-এর ওপর নির্ভর করার আগে আপনার Juniper পার্টনারের সাথে আপনার স্তরটি নিশ্চিত করুন।

802.1X কীভাবে GDPR অনুপালনকে প্রভাবিত করে?

RADIUS এবং অ্যাকাউন্টিং লগগুলোতে ব্যক্তিগত ডেটা থাকে: পরিচয়, ডিভাইসের MAC ঠিকানা এবং সেশনের সময়। GDPR-এর অধীনে, আপনার একটি বৈধ ভিত্তি, একটি নির্দিষ্ট সংরক্ষণের সময়সীমা এবং আপনার RADIUS প্রদানকারীর সাথে একটি ডেটা প্রসেসিং চুক্তি থাকা প্রয়োজন। RadSec ট্রানজিটের সময় পরিচয় এনক্রিপ্ট করে সহায়তা করে। Purple হলো GDPR অনু বাধ্য এবং ISO 27001 সার্টিফাইড, এবং এটি একটি ডেটা প্রসেসিং চুক্তির অধীনে প্রামাণীকরণ ডেটা প্রসেস করে।

Mist-এ একটি 802.1X রোলআউট করতে কত সময় লাগে?

Mist কনফিগারেশনে সবচেয়ে কম সময় লাগে; সার্টিফিকেট বিতরণ গতি নির্ধারণ করে। WLAN তৈরি করা, RADIUS সার্ভার যোগ করা এবং RadSec সক্রিয় করা একটি টেমপ্লেটে একটি একক পরিবর্তন। MDM-এর মাধ্যমে প্রতিটি পরিচালিত ডিভাইসে সার্টিফিকেট ইস্যু করা এবং পুরানো ডিভাইসগুলো স্থানান্তর করতে বেশি সময় লাগে। একটি সাইটে পাইলট করুন, প্রতিটি ভূমিকা পরীক্ষা করুন, তারপর অবশিষ্ট সাইটগুলোতে টেমপ্লেটটি বরাদ্দ করুন।