মূল কন্টেন্টে যান
বাংলা

SCEP এবং PKCS-এর মাধ্যমে Microsoft Intune WiFi সার্টিফিকেট ডেপ্লয়মেন্ট

আপনি স্টাফ WiFi সার্টিফিকেটের জন্য SCEP এবং PKCS-এর মধ্যে পছন্দ করার সুবিধা পাবেন, তারপর সঠিক ক্রমে Intune-এ ট্রাস্টেড রুট, ক্লায়েন্ট সার্টিফিকেট এবং 802.1X WiFi প্রোফাইল ডেপ্লয় করতে পারবেন। এছাড়া আপনি পাইলট ভ্যালিডেট করা, রিভোকেশন পরীক্ষা করা এবং Windows, iOS এবং Android-এ EAP-TLS রোলআউটকে থামিয়ে দেওয়া ত্রুটিগুলি সমাধান করার উপায় জানতে পারবেন।

লিখেছেন Tom Hackettপ্রকাশিত হালনাগাদ করা হয়েছে
📖 15 মিনিট পাঠ3,525 শব্দ3 সমাধানকৃত উদাহরণ3 অনুশীলনী প্রশ্ন12 মূল সংজ্ঞা

Video overview

আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →

Interactive Architecture Tool802.1X EAP-TLS Profile Sizer

Microsoft Intune WiFi certificate profile and architecture advisor

Model your enterprise 802.1X certificate deployment. Compare SCEP vs PKCS vs Microsoft Cloud PKI, validate OS-specific key storage parameters, eliminate group targeting conflicts (error 0x87D1FDE8), and generate deployment profiles.

Architecture Score
95/100
Strong architecture

Certificate Enrollment Specifications

  • Protocol: Simple Certificate Enrollment Protocol (RFC 8894)
  • Key Security: Generated on client device (TPM / Secure Enclave) - never leaves endpoint
  • Key Length: RSA 2048-bit (SHA-256 Signature Hash)
  • Hardware Provider: TPM KSP (Microsoft Platform Crypto Provider) if present, fallback to Software KSP
  • Subject Name Format: CN={{UserName}},OU=WiFi Users,DC=corp,DC=internal
  • Subject Alternative Name (SAN): User Principal Name (UPN) = {{UserPrincipalName}}
  • Renewal Threshold: 20% (Trigger certificate renewal at 80% of validity period)

AAA & RADIUS Integration Details

  • RADIUS Engine: Purple Cloud RADIUS (Recommended)
  • Architecture Mode: 100% Cloud Native AAA
  • RadSec (RFC 6614): Supported (Encrypted TLS Tunnel)
  • Directory Lookup: Direct REST API integration with Microsoft Entra ID for dynamic role mapping & group sync
  • CRL & OCSP Validation: Real-time OCSP & Automated CRL distribution point polling
  • Operating System Best Practice: Configure Identity Certificate reference in WiFi profile to avoid manual user certificate prompts.

Remove on-premises NPS and NDES with Purple Cloud RADIUS

Authenticate Microsoft Entra ID and Intune-enrolled devices natively with zero on-premises servers. Get dynamic role-based VLAN steering, RadSec encryption, and automated certificate revocation.

Useful? Link to this tool

Intune WiFi সার্টিফিকেট ডিপ্লয়মেন্ট তিনটি প্রোফাইল ব্যবহার করে: একটি ট্রাস্টেড রুট সার্টিফিকেট, একটি SCEP বা PKCS ক্লায়েন্ট সার্টিফিকেট, এবং EAP-TLS-এ সেট করা একটি 802.1X WiFi প্রোফাইল। এগুলি একই ক্রমে ডিপ্লয় করুন, যা সমস্ত একই Microsoft Entra ID গ্রুপে বরাদ্দ করা থাকবে। SCEP ডিভাইসে প্রাইভেট কি তৈরি করে, অন্যদিকে PKCS এটি কেন্দ্রীয়ভাবে তৈরি করে। Windows, iOS এবং Android-এ WiFi-এর জন্য, SCEP বেছে নিন।

Intune WiFi সার্টিফিকেট ডিপ্লয়মেন্ট আসলে কী করে?

Intune প্রতিটি ম্যানেজড ডিভাইসকে তার নিজস্ব আইডেন্টিটি সার্টিফিকেট এবং এটি উপস্থাপন করার জন্য WiFi সেটিংস প্রদান করে। এরপর ডিভাইসটি পাসওয়ার্ড টাইপ না করেই আপনার কর্মীদের নেটওয়ার্কে যুক্ত হয়।

এর প্রক্রিয়াটি হলো IEEE 802.1X, যা পোর্ট-ভিত্তিক নেটওয়ার্ক এক্সেস কন্ট্রোলের স্ট্যান্ডার্ড। 802.1X-এর অধীনে, কোনো অ্যাথেন্টিকেশন সার্ভার অনুমোদন না করা পর্যন্ত এক্সেস পয়েন্ট ডিভাইসটিকে নেটওয়ার্কের বাইরে রাখে। সেই সার্ভারটি হলো একটি RADIUS সার্ভার, একটি ডিভাইসকে প্রবেশ করতে দেওয়ার আগে আপনার এক্সেস পয়েন্টগুলি যে সার্ভিসটিতে কোয়েরি পাঠায়।

অ্যাথেন্টিকেশন মেথডটি হলো EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), যা RFC 5216-এ সংজ্ঞায়িত। উভয় পক্ষই সার্টিফিকেটের মাধ্যমে তাদের পরিচয় প্রমাণ করে:

  • ডিভাইসটি একটি ক্লায়েন্ট সার্টিফিকেট উপস্থাপন করে।
  • RADIUS সার্ভারটি একটি সার্ভার সার্টিফিকেট উপস্থাপন করে।
  • প্রতিটি পক্ষ যাচাই করে যে অন্য পক্ষের সার্টিফিকেট চেইনটি তার বিশ্বস্ত সার্টিফিকেট অথরিটি (CA)-র সাথে যুক্ত রয়েছে কিনা।

কোনো পাসওয়ার্ড টাইপ, সেভ বা ফিশিংয়ের ঝুঁকিতে ফেলা হয় না।

প্রতি বছর এটি আরও গুরুত্বপূর্ণ হয়ে উঠছে। Microsoft নথিতে উল্লেখ করেছে যে Windows Defender Credential Guard পাসওয়ার্ড-ভিত্তিক 802.1X মেথড যেমন PEAP-MSCHAPv2-এর জন্য সিঙ্গেল সাইন-অন ব্লক করে। PEAP (Protected EAP) একটি এনক্রিপ্টেড টানেলের ভেতর পাসওয়ার্ড পাঠায়। সাম্প্রতিক Windows 11 Enterprise বিল্ডগুলিতে Credential Guard বাই ডিফল্ট অন থাকে, এবং Microsoft এর পরিবর্তে সার্টিফিকেট-ভিত্তিক অ্যাথেন্টিকেশনের সুপারিশ করে।

Intune তিনটি কনফিগারেশন প্রোফাইলের মাধ্যমে সার্টিফিকেট-ভিত্তিক WiFi প্রদান করে:

  • ট্রাস্টেড সার্টিফিকেট প্রোফাইল। আপনার রুট CA এবং যেকোনো ইন্টারমিডিয়েট CA ইন্সটল করে। ডিভাইসটি তখন তার নিজস্ব সার্টিফিকেট চেইন এবং আপনার RADIUS সার্ভারকে ট্রাস্ট করতে পারে।
  • SCEP বা PKCS সার্টিফিকেট প্রোফাইল। প্রতিটি ডিভাইসকে একটি ইউনিক ক্লায়েন্ট সার্টিফিকেট ইস্যু করে।
  • WiFi প্রোফাইল। SSID (সম্প্রচারিত নেটওয়ার্কের নাম), সিকিউরিটি টাইপ এবং EAP মেথড সেট করে। এটি উপস্থাপন করার জন্য সার্টিফিকেট এবং ট্রাস্ট করার জন্য সার্ভারের নামও নির্ধারণ করে।

ভেন্যু অপারেটরদের জন্য, এটি নেটওয়ার্কের কর্মীদের অংশ। Hotels, Retail এবং Healthcare-এ কর্মীদের ল্যাপটপ, হ্যান্ডহেল্ড এবং ট্যাবলেটগুলির এমন সিস্টেমগুলিতে এক্সেস প্রয়োজন যা অতিথি, ক্রেতা এবং রোগীরা কখনই পেতে পারে না। আপনার Guest WiFi তার Captive Portal ধরে রাখে, যা ভিজিটরদের দেখা সাইন-ইন পেজ। কর্মীদের ডিভাইসগুলি একটি পৃথক SSID এবং VLAN-এ (একটি লজিক্যালি আইসোলেটেড নেটওয়ার্ক সেগমেন্ট) নিঃশব্দে অ্যাথেন্টিকেট করে।

SCEP বা PKCS: আপনার কোনো সার্টিফিকেট প্রোফাইলটি ব্যবহার করা উচিত?

উভয় প্রোফাইলই ডিভাইসে একটি ক্লায়েন্ট সার্টিফিকেট রেখে যায়। পার্থক্য হলো প্রাইভেট কি কোথায় তৈরি করা হচ্ছে।

SCEP (Simple Certificate Enrolment Protocol, RFC 8894) ডিভাইসটিকে নিজস্ব কী পেয়ার তৈরি করতে দেয়। ডিভাইসটি একটি Network Device Enrolment Service (NDES) সার্ভার বা Microsoft Cloud PKI-এর মাধ্যমে একটি সার্টিফিকেট সাইনিং রিকোয়েস্ট পাঠায়। CA রিকোয়েস্টে সাইন করে এবং সার্টিফিকেটটি ফেরত দেয়। প্রাইভেট কী কখনোই ডিভাইস থেকে বাইরে যায় না। Windows-এ, SCEP প্রোফাইল সেই কী-টিকে ট্রাস্টেড প্ল্যাটফর্ম মডিউল (TPM), যা একটি হার্ডওয়্যার সিকিউরিটি চিপ, সেখানে রাখতে পারে।

PKCS প্রোফাইল আপনার CA থেকে সার্টিফিকেটের অনুরোধ করতে Certificate Connector for Microsoft Intune ব্যবহার করে। কী পেয়ারটি ডিভাইস থেকে দূরে তৈরি করা হয়। Intune তারপর এনক্রিপ্ট করা আকারে ডিভাইসটিতে সার্টিফিকেট এবং প্রাইভেট কী পৌঁছে দেয়। আপনি NDES চালানো এড়াতে পারেন, তবে প্রাইভেট কী-টি ডিভাইস ছাড়া অন্য কোথাও অবস্থান করেছিল।

তৃতীয় ধরনটি হলো, PKCS imported certificates, যা আপনার পূর্বের থাকা সার্টিফিকেটগুলো সরবরাহ করে। এর সাধারণ কাজ হলো S/MIME ইমেইল এনক্রিপশন, যেখানে কী গচ্ছিত রাখা হয়। এটি WiFi-এর জন্য সঠিক টুল নয়।

NDES এবং AD CS-এর মাধ্যমে SCEP Microsoft Cloud PKI-এর মাধ্যমে SCEP কানেক্টর এবং AD CS-এর মাধ্যমে PKCS
প্রাইভেট কী কোথায় তৈরি হয় ডিভাইসে ডিভাইসে ডিভাইসের বাইরে, তারপর সরবরাহ করা হয়
সার্টিফিকেট অথরিটি আপনার Active Directory Certificate Services (AD CS) এন্টারপ্রাইজ CA Microsoft-হোস্টেড CAs, অথবা আপনার নিজস্ব রুট আপনার AD CS এন্টারপ্রাইজ CA
আপনার পরিচালিত অন-প্রেমিসেস সার্ভার CA, NDES সার্ভার, Certificate Connector কোনটিই নয় CA, Certificate Connector
ইন্টারনেট-ফেসিং উপাদান NDES URL, Microsoft Entra ID অ্যাপ্লিকেশন প্রক্সির মাধ্যমে প্রকাশিত কোনটিই নয়: Microsoft SCEP এন্ডপয়েন্ট হোস্ট করে কোনটিই নয়: কানেক্টর শুধুমাত্র আউটবাউন্ড সংযোগ করে
অতিরিক্ত লাইসেন্স Windows Server ছাড়া আর কিছু নয় Cloud PKI অ্যাড-অন বা Microsoft Intune Suite Windows Server ছাড়া আর কিছু নয়
সেটআপের প্রচেষ্টা সবচেয়ে বেশি: CA, NDES, কানেক্টর এবং প্রক্সি পাবলিশিং সবচেয়ে কম: Intune অ্যাডমিন সেন্টারে তৈরি CAs মাঝারি: CA এবং কানেক্টর, কোনো NDES নেই
এটি যাদের জন্য উপযোগী AD CS সহ এস্টেট যা ডিভাইসে কী রাখতে চায় অন-প্রেমিসেস PKI ছাড়া ক্লাউড-ফার্স্ট এস্টেট AD CS সহ এস্টেট যা NDES এন্ডপয়েন্ট প্রকাশ করতে পারে না

WiFi-এর জন্য, SCEP বেছে নিন যদি না আপনি এর ইনফ্রাস্ট্রাকচারের প্রয়োজনীয়তাগুলো পূরণ করতে না পারেন। যে কী কখনোই ডিভাইস ছেড়ে যায় না তা সার্ভার থেকে কপি করা বা ট্রানজিটের সময় ইন্টারসেপ্ট করা সম্ভব নয়। যদি আপনার কোনো অন-প্রেমিসেস PKI না থাকে এবং আপনি একটি তৈরি করতে না চান তবে Microsoft Cloud PKI বেছে নিন। আপনি যদি AD CS চালান কিন্তু ইন্টারনেটে একটি NDES এন্ডপয়েন্ট প্রকাশ করতে না পারেন তবে PKCS বেছে নিন।

Intune-এর সাথে WiFi সার্টিফিকেট প্রয়োগ করার আগে আপনার কী প্রয়োজন?

একটি একক প্রোফাইল তৈরি করার আগেই প্রতিটি আইটেম নিশ্চিত করুন। বেশিরভাগ ব্যর্থ রোলআউট এই তালিকার কোনো একটি ঘাটতির কারণে ঘটে থাকে।

  • লাইসেন্সিং। প্রতিটি ব্যক্তির একটি Intune লাইসেন্স প্রয়োজন। Intune যা Microsoft 365 E3, E5 এবং Business Premium, এবং Enterprise Mobility + Security E3 এবং E5-এর অন্তর্ভুক্ত।
  • তালিকাভুক্ত ডিভাইস। Windows ডিভাইসগুলি Microsoft Entra ID-এর সাথে যুক্ত, যা প্রায়শই Windows Autopilot-এর মাধ্যমে হয়। iOS এবং iPadOS ডিভাইসগুলি Apple Business Manager স্বয়ংক্রিয় ডিভাইস এনরোলমেন্টের মাধ্যমে তালিকাভুক্ত হয়। Android ডিভাইসগুলি Android Enterprise ব্যবহার করে। Google Mobile Services থাকা ডিভাইসগুলির জন্য Microsoft ডিভাইস অ্যাডমিনিস্ট্রেটর ম্যানেজমেন্ট বন্ধ করে দিয়েছে, তাই Android Enterprise-এর পরিকল্পনা করুন।
  • একটি সার্টিফিকেট অথরিটি। এর অর্থ একটি AD CS এন্টারপ্রাইজ CA, Microsoft Cloud PKI, বা একটি তৃতীয় পক্ষের CA যা Intune সাপোর্ট করে।
  • একটি সার্টিফিকেট টেমপ্লেট। AD CS-এ, ক্লায়েন্ট অথেনটিকেশন এক্সটেন্ডেড কি ইউসেজ সহ একটি টেমপ্লেট প্রকাশ করুন।
  • কানেক্টর ইনফ্রাস্ট্রাকচার। AD CS-এ SCEP-এর জন্য একটি NDES সার্ভার এবং Certificate Connector for Microsoft Intune প্রয়োজন। PKCS-এর জন্য কেবল কানেক্টর প্রয়োজন।
  • একটি RADIUS সার্ভার যা EAP-TLS সাপোর্ট করে। এর সার্ভার সার্টিফিকেটটি এমন একটি রুটের সাথে যুক্ত থাকতে হবে যা আপনি ডিপ্লয় করবেন। সেই সার্টিফিকেটের নিখুঁত নামটি রেকর্ড করুন, কারণ WiFi প্রোফাইলের এটি প্রয়োজন।
  • সহজে অ্যাক্সেসযোগ্য রিভোকেশন। আপনার RADIUS সার্ভারকে অবশ্যই সার্টিফিকেট রিভোকেশন লিস্ট (CRL) বা একটি OCSP (অনলাইন সার্টিফিকেট স্ট্যাটাস প্রোটোকল) রেসপন্ডারের কাছে পৌঁছাতে হবে। এটি করতে না পারলে, অথেনটিকেশন ব্যর্থ হবে।
  • এন্টারপ্রাইজ SSIDs। আপনার এক্সেস পয়েন্টগুলিকে অবশ্যই আপনার RADIUS সার্ভারের দিকে নির্দেশিত একটি WPA2-Enterprise বা WPA3-Enterprise SSID সম্প্রচার করতে হবে। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet সবই 802.1X সাপোর্ট করে।
  • Entra ID গ্রুপ। একটি পাইলট গ্রুপ এবং একটি প্রোডাকশন গ্রুপ তৈরি করুন। এগুলিতে মানুষ নাকি ডিভাইস থাকবে তা এখনই সিদ্ধান্ত নিন।
  • একটি বুটস্ট্র্যাপ নেটওয়ার্ক। একটি ডিভাইসের 802.1X SSID-এ যোগদান করার আগে তার সার্টিফিকেট সংগ্রহ করার জন্য ইন্টারনেট অ্যাক্সেসের প্রয়োজন হয়। তারযুক্ত অ্যাক্সেস, মোবাইল ডাটা বা একটি বিচ্ছিন্ন অনবোর্ডিং SSID প্রদান করুন। অন-বোর্ড ক্রুদের কাছে ট্যাবলেট ইস্যুকারী Trains অপারেটরদের ট্যাবলেটগুলি ভ্রমণের আগে ডিপোতে প্রভিশন করা উচিত।

কীভাবে আপনি Intune-এ SCEP বা PKCS WiFi সার্টিফিকেট সেট আপ করবেন?

Microsoft-এর Intune ডকুমেন্টেশনে প্রতিটি প্ল্যাটফর্মের জন্য ফিল্ড-বাই-ফিল্ড পদক্ষেপ রয়েছে। নিচের সিকোয়েন্স এবং সিদ্ধান্তগুলিই সাফল্য নির্ধারণ করে। প্রতি প্ল্যাটফর্মে একটি করে প্রোফাইল সেট তৈরি করুন: Windows, iOS/iPadOS এবং Android Enterprise।

ধাপ ১: ট্রাস্টেড রুট সার্টিফিকেট প্রোফাইল ডিপ্লয় করুন

আপনার রুট CA সার্টিফিকেটকে .cer ফাইল হিসেবে এক্সপোর্ট করুন। এটি ধারণ করে এমন একটি ট্রাস্টেড সার্টিফিকেট প্রোফাইল তৈরি করুন। প্রতিটি ট্রাস্টেড সার্টিফিকেট প্রোফাইল একটি করে সার্টিফিকেট ধারণ করে, তাই রুট এবং প্রতিটি ইন্টারমিডিয়েট CA-এর জন্য আলাদা প্রোফাইল তৈরি করুন।

Windows-এ, রুটটিকে কম্পিউটার রুট স্টোরে এবং ইন্টারমিডিয়েটগুলিকে ইন্টারমিডিয়েট স্টোরে পাঠান। যদি কোনো ভিন্ন CA আপনার RADIUS সার্ভার সার্টিফিকেটে সাইন করে থাকে, তবে সেই রুটটিও ডিপ্লয় করুন। এটি ছাড়া, ডিভাইসগুলি সার্ভার যাচাই করতে পারবে না।

ধাপ ২: SCEP বা PKCS সার্টিফিকেট প্রোফাইল ডিপ্লয় করুন

সার্টিফিকেটের ধরন দিয়ে শুরু করুন, কারণ এটি বাকি সবকিছু পরিচালনা করে।

  • ডিভাইস সার্টিফিকেট শেয়ার করা হ্যান্ডহেল্ড, কিওস্ক এবং ল্যাপটপের জন্য উপযুক্ত যা অবশ্যই Windows সাইন-ইন স্ক্রিনে কানেক্ট হতে হবে। ডিভাইস আইডেন্টিফায়ার থেকে তৈরি একটি সাবজেক্ট নাম ব্যবহার করুন, যেমন CN={{AAD_Device_ID}}।
  • ব্যক্তি-ভিত্তিক সার্টিফিকেট কোনো একজন কর্মী সদস্যের জন্য বরাদ্দ করা ফোন এবং ল্যাপটপের উপযোগী। বিষয়বস্তুতে (subject) CN={{UserPrincipalName}} ব্যবহার করুন। Subject alternative name হিসেবে একই মান যোগ করুন, কারণ অনেক RADIUS সার্ভার সেখান থেকে পরিচয় পড়ে।

তারপর অবশিষ্ট ফিল্ডগুলি সেট করুন:

  • কী (Key) ব্যবহার: ডিজিটাল সিগনেচার এবং কী এনসাইফারমেন্ট।
  • বর্ধিত কী ব্যবহার: ক্লায়েন্ট অথেন্টিকেশন, OID 1.3.6.1.5.5.7.3.2।
  • কী-এর আকার: সর্বনিম্ন ২০৪৮ বিট।
  • মেয়াদ: আপনার CA টেমপ্লেট যা অনুমতি দেয় তার বেশি নয়।
  • নবায়নের থ্রেশহোল্ড: সার্টিফিকেটের অবশিষ্ট মেয়াদের ২০% হলো Microsoft এর ডিফল্ট।
  • রুট সার্টিফিকেট: ধাপ ১ থেকে ট্রাস্টেড সার্টিফিকেট প্রোফাইল বেছে নিন।
  • Windows এ কী স্টোরেজ: হার্ডওয়্যার-ব্যাকড কী-এর জন্য TPM বিকল্পটি বেছে নিন।

SCEP এর জন্য, বাহ্যিক NDES URL অথবা আপনার Cloud PKI SCEP URI লিখুন। PKCS এর জন্য, এর বদলে CA নাম এবং টেমপ্লেটের নাম লিখুন।

আপনি যদি হাইব্রিড আইডেন্টিটি সহ Microsoft NPS (নেটওয়ার্ক পলিসি সার্ভার) ব্যবহার করেন, তবে স্ট্রং সার্টিফিকেট ম্যাপিং সংক্রান্ত Microsoft এর KB5014754 নিবন্ধটি পড়ুন। ঠিক এই ধরনের ক্ষেত্রের জন্য Microsoft একটি subject alternative name URI নথিভুক্ত করেছে যা অন-প্রেমিস সিকিউরিটি আইডেন্টিফায়ার বহন করে।

ধাপ ৩: 802.1X WiFi প্রোফাইল ডিপ্লয় করুন

এই সেটিংগুলি সহ একটি এন্টারপ্রাইজ WiFi প্রোফাইল তৈরি করুন:

  • আপনার অ্যাক্সেস পয়েন্টগুলি যেভাবে ব্রডকাস্ট করে ঠিক সেই অনুযায়ী SSID লিখুন।
  • সিকিউরিটি টাইপ WPA2-Enterprise-এ সেট করুন, অথবা আপনার অ্যাক্সেস পয়েন্ট এবং প্ল্যাটফর্ম যেখানে এটি সমর্থন করে সেখানে WPA3-Enterprise সেট করুন।
  • EAP টাইপ EAP-TLS-এ সেট করুন।
  • সার্টিফিকেট সার্ভারের নামগুলি লিখুন যা আপনার RADIUS সার্ভার সার্টিফিকেটের নামের সাথে মেলে। এটি ডিভাইসগুলিকে কোনো ভুয়া অ্যাক্সেস পয়েন্টে তাদের পরিচয় জমা দেওয়া থেকে আটকায়।
  • সার্ভার ভ্যালিডেশনের জন্য রুট সার্টিফিকেট হিসেবে ধাপ ১ এর প্রোফাইলটি বেছে নিন।
  • ক্লায়েন্ট অথেন্টিকেশন সার্টিফিকেট হিসেবে ধাপ ২ এর প্রোফাইলটি বেছে নিন।

Windows, iOS এবং Android এ কী পার্থক্য রয়েছে?

  • Windows যে কেউ সাইন ইন করার আগেই একটি ডিভাইস সার্টিফিকেটের মাধ্যমে সংযোগ স্থাপন করে। ব্যক্তি-ভিত্তিক সার্টিফিকেট কেবল সাইন ইন করার পরেই সংযোগ স্থাপন করে, যা শেয়ার করা ল্যাপটপগুলিতে প্রথম সাইন ইন করার প্রক্রিয়া ব্যাহত করে।
  • iOS এবং iPadOS আপনার লেখা সার্টিফিকেট সার্ভারের নামগুলির সাথে মিল রেখে RADIUS সার্ভারকে বিশ্বাস করে। অমিল হলে ট্রাস্ট ব্যর্থতা দেখা দেয়, সাইলেন্ট ফলব্যাক হয় না।
  • Android Enterprise ভ্যালিডেশনের জন্য একটি RADIUS সার্ভার ডোমেইন নাম এবং একটি রুট সার্টিফিকেট দাবি করে। সাম্প্রতিক Android সংস্করণগুলিতে সার্ভার ভ্যালিডেশন এড়িয়ে যাওয়ার বিকল্পটি সরিয়ে দেওয়া হয়েছে।

একটি নতুন ডিভাইস এনরোল হলে কী ঘটে?

একটি নতুন এনরোল করা ডিভাইসে সার্টিফিকেট ডিপ্লয়মেন্টের ক্রমটি এখানে দেওয়া হলো:

১. ডিভাইসটি এনরোল হয় এবং এর নির্ধারিত Entra ID গ্রুপে যুক্ত হয়। ২. Intune ট্রাস্টেড রুট এবং ইন্টারমিডিয়েট প্রোফাইলগুলি প্রদান করে। ৩. ডিভাইসটি তার ক্লায়েন্ট সার্টিফিকেটের জন্য অনুরোধ করে। SCEP এর অধীনে, এটি একটি কী পেয়ার তৈরি করে এবং একটি ওয়ান-টাইম চ্যালেঞ্জ সহ একটি সাইনিং রিকোয়েস্ট পাঠায়। CA কিছু ইস্যু করার আগেই কানেক্টর Intune এর সাথে সেই চ্যালেঞ্জটি যাচাই করে। PKCS এর অধীনে, কানেক্টর সার্টিফিকেটের জন্য অনুরোধ করে এবং Intune তা প্রদান করে। ৪. ডিভাইসটি ইনস্টল করা সার্টিফিকেট সম্পর্কে Intune কে রিপোর্ট করে। ৫. WiFi প্রোফাইলটি, যা উভয় সার্টিফিকেট প্রোফাইলের ওপর নির্ভরশীল, প্রয়োগ করা হয়। 6. ডিভাইসটি SSID-এ তার সার্টিফিকেট দেখায়। RADIUS চেইন যাচাই করে, বাতিলকরণ পরীক্ষা করে এবং ডিভাইসটিকে গ্রহণ করে। এরপর এটি RADIUS অ্যাট্রিবিউটের মাধ্যমে একটি VLAN নির্ধারণ করতে পারে। 7. নবায়নের সীমানায় পৌঁছালে Intune সার্টিফিকেটটি নবায়ন করে। আপনি যখন ডিভাইসটি রিটায়ার বা ওয়াইপ করেন তখন Intune এটি বাতিল করে দেয়, যদি সংযোগকারীটির CA-তে বাতিলকরণের অধিকার থাকে।

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।

Intune WiFi সার্টিফিকেট কাজ করছে কিনা তা কীভাবে পরীক্ষা করবেন?

আপনি অ্যাসাইনমেন্টের পরিসর বাড়ানোর আগে প্রতি প্ল্যাটফর্মে 10 থেকে 20টি ডিভাইসের একটি পাইলট দিয়ে পরীক্ষা করুন। চারটি স্থান পরীক্ষা করুন।

  1. Intune প্রোফাইল স্ট্যাটাস। তিনটি প্রোফাইলের প্রতিটিতে প্রতিটি পাইলট ডিভাইসের জন্য Succeeded রিপোর্ট করা উচিত। যেকোনো একটিতে Pending, Error বা Not applicable স্ট্যাটাস থাকলে তা WiFi প্রোফাইলটিকে ব্লক করে।
  2. ডিভাইসটি নিজেই। Windows-এ, ব্যক্তিগত সার্টিফিকেট স্টোর খুলুন এবং Client Authentication উদ্দেশ্য এবং আপনার ইস্যুকারী CA নিশ্চিত করুন। iOS এবং Android-এ, ম্যানেজমেন্ট প্রোফাইল এবং ওয়ার্ক প্রোফাইল ক্রেডেনশিয়ালে সার্টিফিকেট এবং WiFi প্রোফাইল প্রদর্শিত হচ্ছে এবং কাজ করছে কিনা তা নিশ্চিত করুন।
  3. RADIUS লগ। প্রত্যাশিত বিষয় নামসহ সফল EAP-TLS অথেনটিকেশন খুঁজুন। NPS-এ, ইভেন্ট ID 6272 অ্যাক্সেস মঞ্জুর এবং 6273 একটি কারণ কোডসহ অ্যাক্সেস প্রত্যাখ্যান রেকর্ড করে।
  4. কানেক্টর এবং NDES লগ। Certificate Connector মূল Windows ইভেন্ট লগে লেখে। NDES অনুরোধগুলি IIS লগে প্রদর্শিত হয়।

তারপর উদ্দেশ্যমূলকভাবে বাতিলকরণ পরীক্ষা করুন। Intune-এ একটি পাইলট ডিভাইস রিটায়ার করুন এবং CA-তে সার্টিফিকেটটি বাতিল হিসেবে দেখানো হয়েছে কিনা তা নিশ্চিত করুন। CRL প্রকাশ করুন এবং RADIUS পরবর্তী অথেনটিকেশন প্রত্যাখ্যান করছে কিনা তা নিশ্চিত করুন।

Intune WiFi প্রোফাইলে কী সমস্যা হয় এবং কীভাবে তা সমাধান করবেন?

WiFi প্রোফাইলে Error বা Not applicable দেখাচ্ছে

সার্টিফিকেট এসেছে, কিন্তু WiFi প্রোফাইল ব্যর্থ হয়েছে। সাধারণ কারণ হলো মিশ্র গ্রুপ টার্গেটিং। উদাহরণস্বরূপ, SCEP প্রোফাইলটি একদল লোককে অ্যাসাইন করা হয়েছে যেখানে WiFi প্রোফাইলটি একটি ডিভাইস গ্রুপকে টার্গেট করে। Intune ডিপেনডেন্সি মিটাতে পারে না। এর সমাধান হলো তিনটি প্রোফাইলকেই একই গ্রুপে, অথবা অন্তত একই ধরনের গ্রুপে অ্যাসাইন করা।

SCEP সার্টিফিকেট কখনই আসছে না

NDES IIS লগ HTTP 403 বা 500 রেসপন্স দেখায়। কানেক্টর সার্ভিস অ্যাকাউন্টের সার্টিফিকেট টেমপ্লেটে Read এবং Enrol অনুমতি রয়েছে কিনা তা পরীক্ষা করুন। আপনার ফায়ারওয়াল, রিভার্স প্রক্সি বা অ্যাপ্লিকেশন প্রক্সি operation=GetCACaps-এর মতো SCEP কুয়েরি স্ট্রিংগুলি স্ট্রিপ করে দিচ্ছে না তা পরীক্ষা করুন। তারপর বাহ্যিক NDES URL আপনার নেটওয়ার্কের বাইরে থেকে রেজলভ হচ্ছে কিনা তা নিশ্চিত করুন।

ডিভাইসে সার্টিফিকেট আছে, কিন্তু RADIUS এটি প্রত্যাখ্যান করছে

ক্রমানুসারে চারটি কারণ পরীক্ষা করুন:

  1. WiFi প্রোফাইলে সার্টিফিকেট সার্ভারের নাম RADIUS সার্ভার সার্টিফিকেটের সাথে মিলছে না।
  2. RADIUS সার্ভার ক্লায়েন্ট সার্টিফিকেট ইস্যুকারী CA-কে বিশ্বাস করে না।
  3. RADIUS সার্ভার একটি সাম্প্রতিক CRL ডাউনলোড করতে পারছে না।
  4. KB5014754-এর অধীনে NPS শক্তিশালী ম্যাপিং প্রয়োগ একটি শক্তিশালী ম্যাপিং ছাড়া সার্টিফিকেট প্রত্যাখ্যান করে।

NPS কারণ কোড আপনাকে সঠিক কারণটি দেখিয়ে দেবে।

বাতিলকরণ পরীক্ষা একটি বিভ্রাট বা আউটজের কারণ হয়

যদি CRL ডিস্ট্রিবিউশন পয়েন্ট অফলাইনে চলে যায় বা CRL-এর মেয়াদ শেষ হয়ে যায়, তবে কঠোর RADIUS সার্ভারগুলি প্রতিটি সার্টিফিকেট প্রত্যাখ্যান করে। একটি উচ্চ সুবিধাযুক্ত HTTP লোকেশনে CRL গুলি প্রকাশ করুন যেখানে আপনার RADIUS সার্ভার পৌঁছাতে পারে। CRL-এর পরবর্তী আপডেটের সময় ট্র্যাক করুন।

ডিভাইসগুলি পুরনো নেটওয়ার্কে যুক্ত হতে থাকে

ডিভাইসে এখনও থাকা কোনো পুরনো প্রি-শেয়ার্ড কী বা PEAP প্রোফাইল অগ্রাধিকার পায়। নতুন প্রোফাইল সফলভাবে কাজ করার পর Intune-এর মাধ্যমে পুরনো প্রোফাইলটি সরিয়ে ফেলুন, তারপর পুরনো SSID-টি নিষ্ক্রিয় করুন।

একটি আসল ভেন্যুতে Intune সার্টিফিকেট ভিত্তিক WiFi কীভাবে কাজ করে?

নিচের দুটি দৃশ্যকল্প Microsoft-এর নথিভুক্ত আচরণের ওপর ভিত্তি করে তৈরি ব্যবহারিক উদাহরণ। এগুলো ভেন্যুর ধরণ বর্ণনা করে, কোনো নির্দিষ্ট স্থানের ডিপ্লয়মেন্ট নয়।

১২টি হোটেলের একটি গ্রুপ একটি শেয়ার্ড স্টাফ পাসওয়ার্ড নিষ্ক্রিয় করছে

পরিস্থিতি। ১২টি হোটেলের একটি গ্রুপ, প্রতিটিতে প্রায় ২০০টি কক্ষ রয়েছে, তারা একটি প্রি-শেয়ার্ড কী-তে একটি স্টাফ SSID পরিচালনা করে। কী-টি ৮৪০টি ডিভাইস দ্বারা শেয়ার করা হয়: রিক্রিফশন PC, হাউস কিপিং iPhone, এবং ফুড অ্যান্ড বেভারেজের Android হ্যান্ডহেল্ড। নেটওয়ার্কটি কার্ডহোল্ডার ডাটা এনভায়রনমেন্টের সাথে সংযুক্ত। PCI-DSS v4.0-এর প্রয়োজনীয়তা 2.3.2 তাই নির্দেশ করে যে কী জানা কেউ চাকরি ছেড়ে গেলে প্রতিবার কী পরিবর্তন করতে হবে। ফ্রন্ট-অফিস কর্মীদের ঘনঘন পরিবর্তনের কারণে, প্রতিবার কী পরিবর্তনের পর কেউ নতুন কী ইনপুট না করা পর্যন্ত ডিভাইসগুলো আটকে থাকে।

যা করা হয়েছিল। টিম NDES-এর মাধ্যমে SCEP ডিপ্লয় করে, যা Microsoft Entra ID অ্যাপ্লিকেশান প্রক্সির মাধ্যমে প্রকাশিত হয়। রিক্রিফশন PC গুলি ডিভাইস সার্টিফিকেট পায় যাতে তারা সাইন-ইন স্ক্রিনেই সংযুক্ত হতে পারে। ফোনগুলি ব্যক্তি-ভিত্তিক সার্টিফিকেট পায়। একটি হোটেলে দুই সপ্তাহের জন্য ২০টি ডিভাইসের একটি পাইলট রান করা হয়। এরপর, পুরনো SSID সমান্তরালভাবে চালু রেখে প্রতি সপ্তাহে একটি করে হোটেল স্থানান্তর করা হয়।

পরিমাপযোগ্য ফলাফল। ১২ সপ্তাহ পর, সমস্ত ৮৪০টি ডিভাইস EAP-TLS দিয়ে অথেন্টিকেট করে এবং প্রি-শেয়ার্ড কী SSID বন্ধ করে দেওয়া হয়। ১২টি সাইট জুড়ে শেয়ার্ড কী ঘোরানোর সংখ্যা এক থেকে শূন্যে নেমে আসে। চাকরি ছেড়ে দেওয়া ব্যক্তির অ্যাক্সেস এখন তার ডিভাইসটি অবসর নিলে এবং CRL পুনরায় প্রকাশিত হলে শেষ হয়, পরবর্তী কী পরিবর্তনের সময় নয়।

১৫০টি স্টোরের একটি খুচরা চেইন যেখানে শেয়ার্ড হ্যান্ডহেল্ড রয়েছে

পরিস্থিতি। প্রতিটি স্টোর চারটি শেয়ার্ড Android হ্যান্ডহেল্ড এবং দুটি Windows ব্যাক-অফিস ল্যাপটপ পরিচালনা করে, মোট ৯০০টি ডিভাইস। হ্যান্ডহেল্ডগুলি প্রতিটি শিফটে কর্মীদের মধ্যে হাতবদল হয়, তাই ব্যক্তি-ভিত্তিক সার্টিফিকেটের কোনো অর্থ হয় না। চেইনের ক্লাউড RADIUS সার্ভিস শুধুমাত্র অভ্যন্তরীণ নেটওয়ার্কে প্রকাশিত CRL-এ পৌঁছাতে পারে না।

যা করা হয়েছিল। চেইনটি হ্যান্ডহেল্ডগুলিকে Android Enterprise ডেডিকেটেড ডিভাইস হিসেবে এনরোল করে এবং SCEP-এর মাধ্যমে ডিভাইস সার্টিফিকেট ইস্যু করে। প্রতিটি প্ল্যাটফর্মের জন্য একটি WiFi প্রোফাইল প্রতিটি স্টোরে কাজ করে, কারণ SSID সর্বত্র একই। CRL একটি ইন্টারনেট-প্রাপ্য HTTP ডিস্ট্রিবিউশন পয়েন্টে স্থানান্তরিত হয়।

পরিমাপযোগ্য ফলাফল। কোনো শেয়ার্ড হ্যান্ডহেল্ডে WiFi পাসওয়ার্ড থাকে না। স্টোর কর্মীরা প্রতিটি পরিবর্তনের পর কী চাওয়া বন্ধ করে দেয়। একটি হারিয়ে যাওয়া হ্যান্ডহেল্ড Intune-এ রিটার্ন করে সংযোগ বিচ্ছিন্ন করা হয়, এবং CRL রিফ্রেশ হওয়ার পর পরবর্তী অথেন্টিকেশনে এর সার্টিফিকেট ব্যর্থ হয়।

Intune WiFi সার্টিফিকেট ডিপ্লয়মেন্টের খরচ কত, এবং আপনি কী ফেরত পান?

এতে যা খরচ হয়

  • লাইসেন্স। বেশিরভাগ প্রতিষ্ঠানের ইতিধ্যেই Microsoft 365 বা Enterprise Mobility + Security-এর মাধ্যমে Intune-এর মালিকানা রয়েছে, তাই কোনো নতুন পার-সিট খরচ নেই।
  • সার্ভার। AD CS, NDES এবং NPS হলো Windows Server রোল যার জন্য Windows Server-এর বাইরে আলাদা কোনো লাইসেন্সের প্রয়োজন নেই।
  • Cloud PKI। Microsoft Cloud PKI হলো একটি পেইড অ্যাড-অন, যা Microsoft Intune Suite-এর মধ্যেও অন্তর্ভুক্ত। একটি অন-প্রেমিসেস CA এবং NDES তৈরি ও রক্ষণাবেক্ষণের খরচের সাথে এর খরচ তুলনা করে দেখুন।
  • প্রচেষ্টা। কাজটি মূলত PKI ডিজাইন, NDES পাবলিশিং এবং পাইলট প্রকল্পের মধ্যে সীমাবদ্ধ। এই তিনটি প্রোফাইল তৈরি করতে কয়েক সপ্তাহ নয়, মাত্র কয়েক ঘণ্টা সময় লাগে।

আপনি যা ফেরত পাবেন

  • কোনো শেয়ার করা WiFi কী নেই। এটি সেই কী রোটেশনের ঝামেলা দূর করে যা কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের সাথে যুক্ত ওয়্যারলেস নেটওয়ার্কগুলোর ওপর PCI-DSS প্রয়োজনীয়তা ২.৩.২ আরোপ করে।
  • কর্মী চলে গেলে অ্যাক্সেস বাতিল করার সুবিধা। Intune-এ কোনো ডিভাইস রিটারায়ার করা হলে তার সার্টিফিকেট বাতিল হয়ে যেতে পারে, তাই WiFi অ্যাক্সেস আপনার কর্মীদের যোগদান, পরিবর্তন ও বিদায় (JML) প্রক্রিয়া অনুসরণ করে।
  • Credential Guard-এর সাথে সামঞ্জস্যপূর্ণ। যেখানে Windows পাসওয়ার্ড-ভিত্তিক 802.1X সিঙ্গেল সাইন-অন ব্লক করে, সেখানেও EAP-TLS কাজ করতে থাকে।
  • ফিশিং করার মতো কোনো ক্রিডেনশিয়াল নেই। TPM-এর সাথে আবদ্ধ একটি সার্টিফিকেট কোনো ভুয়া লগইন পেজে টাইপ করা সম্ভব নয়।
  • পাসওয়ার্ডের কোনো মেয়ার্দের মেয়াদউত্তীর্ণতা নেই। মেয়ার্দ শেষ হওয়ার আগেই সার্টিফিকেটগুলো স্বয়ংক্রিয়ভাবে নবায়ন হয়ে যায়, যা WiFi সংক্রান্ত টিকিটের কারণ হিসেবে পাসওয়ার্ড রিসেট করার প্রয়োজনীয়তা দূর করে।

শুরু থেকেই GDPR পরিচালনার পরিকল্পনা করুন। যেসব সার্টিফিকেটের সাবজেক্টে কোনো কর্মীর সাইন-ইন নাম থাকে, সেগুলো আপনার RADIUS লগগুলোতে ব্যক্তিগত ডেটা হিসেবে গণ্য হয়। একটি নির্দিষ্ট রিটেনশন পিরিয়ড সেট করুন এবং সেই লগগুলোতে অ্যাক্সেস সীমিত করুন।

Purple ৮০,০০০+ এরও বেশি লাইভ ভেন্যুতে কর্মীদের WiFi এবং গেস্ট WiFi পাশাপাশি পরিচালনা করে (Purple ডেটা)। প্ল্যাটফর্মটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks এবং Fortinet জুড়ে হার্ডওয়্যার-অ্যাগনস্টিক। Purple-এর ISO 27001 সার্টিফকেশন রয়েছে। আমাদের Identity-Based Networks ব্যবস্থাটি Microsoft Entra ID, Okta এবং Google Workspace-এর সাথে কাজ করে, তাই কর্মীদের অ্যাক্সেস আপনার Intune এস্টেটের মতো একই আইডেন্টিটি সোর্স অনুসরণ করে। ভিজিটরদের ক্ষেত্রে, WiFi Analytics কর্মীদের ট্র্যাফিক থেকে আলাদাভাবে গেস্ট কানেকশনের রিপোর্ট প্রদান করে।

সাধারণ জিজ্ঞাসা

Intune-এর মাধ্যমে WiFi সার্টিফিকেট ডিপ্লয় করতে কি অতিরিক্ত লাইসেন্সের প্রয়োজন হয়?

না, NDES-এর মাধ্যমে SCEP অথবা PKCS-এর জন্য কোনো অতিরিক্ত লাইসেন্সের প্রয়োজন নেই। Intune প্ল্যাটফর্মটি Microsoft 365 E3, E5 এবং Business Premium-এর পাশাপাশি Enterprise Mobility + Security E3 এবং E5-এর অন্তর্ভুক্ত। Active Directory Certificate Services এবং NDES হলো Windows Server রোল, তাই এগুলোর জন্য শুধুমাত্র আপনার বিদ্যমান Windows Server লাইসেন্সিং প্রয়োজন। একমাত্র ব্যতিক্রম হলো Microsoft Cloud PKI, যা একটি পেইড অ্যাড-অন এবং Microsoft Intune Suite-এর মধ্যেও অন্তর্ভুক্ত। আপনি যদি অন-প্রেমিসেস CA চালানো এড়াতে চান তবেই এটির জন্য বাজেট বরাদ্দ করুন।

Intune থেকে সার্টিফিকেট-ভিত্তিক WiFi কি আপনার বিদ্যমান অ্যাক্সেস পয়েন্টগুলোর সাথে কাজ করবে?

হ্যাঁ, যদি আপনার অ্যাক্সেস পয়েন্টগুলো একটি WPA2-Enterprise বা WPA3-Enterprise SSID ব্রডকাস্ট করতে পারে। EAP-TLS ডিভাইস এবং RADIUS সার্ভারের মধ্যে চলে, আর অ্যাক্সেস পয়েন্টটি শুধুমাত্র IEEE 802.1X-এর অধীনে এটি রিলে করে। Purple হলো হার্ডওয়্যার-অ্যাগনস্টিক এবং এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks এবং Fortinet-এ চলে। আপনি আপনার বিদ্যমান হার্ডওয়্যার অপরিবর্তিত রেখে শুধুমাত্র SSID সিকিউরিটি সেটিংসে পরিবর্তন আনবেন।

আপনি কি কোনো ডাউনটাইম ছাড়াই PEAP বা একটি শেয়ার করা পাসওয়ার্ড থেকে EAP-TLS-এ স্থানান্তরিত হতে পারেন?

হ্যাঁ। পুরানোটির পাশাপাশি নতুন 802.1X SSID চালান, অথবা রূপান্তর চলাকালীন PEAP এবং EAP-TLS উভয়ই গ্রহণ করতে আপনার RADIUS সার্ভার কনফিগার করুন। প্রথমে একটি পাইলট গ্রুপে তিনটি Intune প্রোফাইল ডিপ্লয় করুন। আপনার RADIUS লগগুলিতে সফল EAP-TLS প্রমাণীকরণ নিশ্চিত করুন, তারপরে পর্যায়ক্রমে অ্যাসাইনমেন্টের পরিধি বাড়ান। নতুনটি সফলতার রিপোর্ট করার পরেই কেবল লেগ্যাসি WiFi প্রোফাইলটি সরান, তারপরে পুরানো SSID অবসর দিন।

স্টাফ WiFi এর জন্য আপনার কি SCEP নাকি PKCS বেছে নেওয়া উচিত?

SCEP বেছে নিন। SCEP এর সাহায্যে ডিভাইসটি তার নিজস্ব প্রাইভেট কী তৈরি করে, যা এটি থেকে কখনও বের হয় না, এবং Windows সেই কীটি TPM-এ সংরক্ষণ করতে পারে। PKCS ডিভাইসের বাইরে কী তৈরি করে এবং তা সরবরাহ করে। এটি NDES সার্ভারকে সরিয়ে দেয় তবে কীটি কোথায় বিদ্যমান ছিল তার পরিধি বাড়ায়। শুধুমাত্র তখনই PKCS বেছে নিন যখন আপনি Active Directory Certificate Services চালান এবং NDES প্রকাশ করতে পারেন না, অথবা NDES ছাড়াই SCEP এর জন্য Microsoft Cloud PKI ব্যবহার করুন।

আপনার কি এখনও একটি NDES সার্ভার প্রয়োজন?

শুধুমাত্র একটি অন-প্রিমাইস Active Directory Certificate Services CA সহ SCEP এর জন্য। Microsoft Cloud PKI একটি হোস্ট করা SCEP এন্ডপয়েন্ট সরবরাহ করে, তাই আপনাকে কোনো NDES সার্ভার, কানেক্টর বা অন-প্রিমাইস CA চালাতে হবে না। PKCS প্রোফাইলগুলিও NDES এড়িয়ে চলে, কারণ Certificate Connector for Microsoft Intune আউটবাউন্ড সংযোগের মাধ্যমে আপনার CA থেকে সার্টিফিকেটের অনুরোধ করে। Intune সমর্থিত থার্ড-পার্টি সার্টিফিকেট অথরিটিগুলিও NDES ছাড়াই SCEP সার্টিফিকেট ইস্যু করতে পারে।

কেউ চলে গেলে কত দ্রুত WiFi অ্যাক্সেস শেষ হয়?

আপনার রিভোকেশন পাইপলাইন যতটা দ্রুত অনুমতি দেয়। আপনি যখন Intune-এ কোনো ডিভাইস রিটায়ার বা ওয়াইপ করেন, তখন Certificate Connector আপনার CA-তে তার সার্টিফিকেট বাতিল করতে পারে। আপনার RADIUS সার্ভার একটি রিফ্রেশ করা CRL বা OCSP চেকের মাধ্যমে সেই বাতিলকরণ দেখতে পেলে অ্যাক্সেস শেষ হয়ে যায়। একই ঘণ্টার মধ্যে রিমুভাল গুরুত্বপূর্ণ হলে CRL প্রকাশের ব্যবধান কমিয়ে দিন, অথবা OCSP ব্যবহার করুন। শুধুমাত্র অ্যাকাউন্টটি নিষ্ক্রিয় করা একটি বৈধ সার্টিফিকেটকে থামাতে নাও পারে যদি না RADIUS ডিরেক্টরিও চেক করে।

সার্টিফিকেট ভিত্তিক WiFi কি PCI-DSS এবং GDPR-এ সহায়তা করে?

হ্যাঁ। PCI-DSS v4.0 প্রয়োজনীয়তা 2.3.2 অনুযায়ী কার্ডহোল্ডার ডাটা এনভায়রনমেন্টের সাথে সংযুক্ত নেটওয়ার্কগুলির ওয়্যারলেস কীগুলি পরিবর্তন করা আবশ্যক যখনই সেগুলি জানে এমন কেউ চলে যায়। প্রতি-ডিভাইস সার্টিফিকেটের অর্থ হল রোটেট করার জন্য কোনো ভাগ করা কী বিদ্যমান নেই। GDPR-এর জন্য, কর্মীদের সাইন-ইন নাম থাকা সার্টিফিকেট সাবজেক্টগুলিকে ব্যক্তিগত ডাটা হিসাবে বিবেচনা করুন। RADIUS লগের জন্য একটি রিটেনশন পিরিয়ড নির্ধারণ করুন, সেগুলিতে অ্যাক্সেস সীমিত করুন এবং প্রসেসিং রেকর্ড করুন।

মূল সংজ্ঞাসমূহ

IEEE 802.1X

পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য IEEE স্ট্যান্ডার্ড। কোনো অথেন্টিকেশন সার্ভার, যা সাধারণত RADIUS, অনুমোদন না দেওয়া পর্যন্ত অ্যাক্সেস পয়েন্ট ডিভাইসটিকে নেটওয়ার্ক থেকে দূরে রাখে; অ্যাক্সেস পয়েন্ট কেবল EAP এক্সচেঞ্জ রিলে করে।

আপনার WPA2-Enterprise বা WPA3-Enterprise স্টাফ SSID 802.1X ব্যবহার করে। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet সবই এটি সাপোর্ট করে, তাই হার্ডওয়্যার পরিবর্তন করার বদলে আপনি কেবল SSID সিকিউরিটি সেটিংস পরিবর্তন করবেন।

EAP-TLS

এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল - ট্র্যন্সপোর্ট লেয়ার সিকিউরিটি, যা RFC 5216-এ সংজ্ঞায়িত। ডিভাইসটি একটি ক্লায়েন্ট সার্টিফিকেট পেশ করে এবং RADIUS সার্ভার একটি সার্ভার সার্টিফিকেট পেশ করে, এবং প্রতিটি পক্ষ পরীক্ষা করে যে অন্য পক্ষটি কোনো ট্রাস্টেড সার্টিফিকেট অথরিটির সাথে যুক্ত কিনা।

এটি হলো সেই EAP টাইপ যা আপনি Intune WiFi প্রোফাইলে সেট করেন। এটি টাইপ করা পাসওয়ার্ডের প্রয়োজনীয়তা দূর করে, Windows Defender Credential Guard-এর অধীনে কাজ চালিয়ে যায় এবং ফিশিং করার মতো কোনো ক্রেডেনশিয়াল অবশিষ্ট রাখে না।

SCEP

Simple Certificate Enrolment Protocol, RFC 8894। ডিভাইসটি নিজস্ব কী পেয়ার তৈরি করে এবং NDES বা Microsoft Cloud PKI-এর মাধ্যমে ওয়ান-টাইম চ্যালেঞ্জ সহ একটি সার্টিফিকেট সাইনিং রিকুয়েস্ট পাঠায়; প্রাইভেট কী কখনোই ডিভাইস থেকে বাইরে যায় না।

Windows, iOS এবং Android-এ WiFi-এর জন্য সুপারিশকৃত Intune সার্টিফিকেট প্রোফাইল, কারণ যে কী ডিভাইস থেকে কখনোই বের হয় না তা কোনো সার্ভার থেকে কপি করা বা ট্রানজিটে ইন্টারসেপ্ট করা সম্ভব নয়।

PKCS সার্টিফিকেট প্রোফাইল

এমন একটি Intune প্রোফাইল যেখানে Certificate Connector for Microsoft Intune আপনার CA থেকে সার্টিফিকেটের অনুরোধ জানায়, ডিভাইসের বাইরে কী পেয়ার তৈরি হয় এবং Intune এনক্রিপ্ট করা আকারে সার্টিফিকেট ও প্রাইভেট কী ডিভাইসে পৌঁছে দেয়।

আপনি যখন AD CS চালান কিন্তু NDES এন্ডপয়েন্ট প্রকাশ করতে পারেন না তখন এটি ব্যবহার করুন। এটি NDES এড়িয়ে চলে, তবে এর মূল্য হিসেবে প্রাইভেট কী ডিভাইস ছাড়া অন্য কোথাও অবস্থান করে। PKCS ইম্পোর্টেড সার্টিফিকেটগুলো S/MIME-এর জন্য, WiFi-এর জন্য নয়।

NDES

Network Device Enrolment Service, একটি Windows Server রোল যা SCEP সার্টিফিকেট সাইনিং রিকুয়েস্ট গ্রহণ করে এবং সেগুলোকে একটি Active Directory Certificate Services এন্টারপ্রাইজ CA-তে পাঠিয়ে দেয়।

শুধুমাত্র অন-প্রেমিসেস AD CS CA সহ SCEP-এর জন্য প্রয়োজনীয়। এটি ইন্টারনেটে প্রকাশ করা আবশ্যক, সাধারণত Microsoft Entra ID অ্যাপ্লিকেশন প্রক্সির মাধ্যমে, এবং সার্টিফিকেট কখনোই না পৌঁছালে এর IIS লগগুলোতে HTTP 403 বা 500 এরর দেখায়।

RADIUS

যে অথেন্টিকেশন সার্ভারটিকে কোনো ডিভাইসকে অনুমতি দেওয়ার আগে IEEE 802.1X অ্যাক্সেস পয়েন্টগুলো কুয়েরি করে। EAP-TLS-এর জন্য এটি ক্লায়েন্ট সার্টিফিকেট চেইন যাচাই করে, রিভোকেশন পরীক্ষা করে এবং RADIUS অ্যাট্রিবিউটের মাধ্যমে একটি VLAN অ্যাসাইন করতে পারে।

এর সার্ভার সার্টিফিকেটের নাম অবশ্যই WiFi প্রোফাইলের সাথে মিলতে হবে এবং এটিকে ইস্যুকারী CA-কে বিশ্বাস করতে হবে। Microsoft NPS-এ, ইভেন্ট ID 6272 মঞ্জুরীকৃত অ্যাক্সেস রেকর্ড করে এবং 6273 একটি রিজন কোড সহ প্রত্যাখ্যাত অ্যাক্সেস রেকর্ড করে।

Microsoft Cloud PKI

Microsoft-হোস্টেড CA বা আপনার নিজস্ব রুট সহ একটি Microsoft-হোস্টেড সার্টিফিকেট অথরিটি সার্ভিস, যা Intune অ্যাডমিন সেন্টার থেকে তৈরি একটি হোস্টেড SCEP এন্ডপয়েন্ট প্রদান করে।

অন-প্রেমিসেস CA, NDES সার্ভার এবং কানেক্টরের প্রয়োজনীয়তা দূর করে। এটি একটি পেইড অ্যাড-অন যা Microsoft Intune Suite-এর মধ্যেও অন্তর্ভুক্ত, তাই অন-প্রেমিসেস PKI তৈরি ও রক্ষণাবেক্ষণের বিপরীতে এর খরচ বিবেচনা করুন।

সার্টিফিকেট রিভোকেশন লিস্ট (CRL) এবং OCSP

CRL হলো CA-প্রকাশিত বাতিল করা সার্টিফিকেটের তালিকা; OCSP (Online Certificate Status Protocol) হলো একটি রেসপন্ডার যা একক সার্টিফিকেটের জন্য রিভোকেশন কুয়েরির উত্তর দেয়।

আপনার RADIUS সার্ভারকে অবশ্যই এগুলোর যেকোনো একটিতে পৌঁছাতে হবে, অন্যথায় অথেন্টিকেশন ব্যর্থ হবে। কোনো ডিভাইস রিটায়ার করার পর কোনো কর্মী কত দ্রুত অ্যাক্সেস হারাবেন তাও এগুলো নির্ধারণ করে, তাই একই ঘণ্টার মধ্যে অপসারণ গুরুত্বপূর্ণ হলে CRL ইন্টারভাল কমান অথবা OCSP ব্যবহার করুন।

PEAP-MSCHAPv2

একটি এনক্রিপ্ট করা টানেলের ভেতরে MSCHAPv2 পাসওয়ার্ড বহনকারী সুরক্ষিত EAP; একটি পাসওয়ার্ড-ভিত্তিক 802.1X পদ্ধতি।

Microsoft ডকুমেন্টে উল্লেখ করেছে যে সাম্প্রতিক Windows 11 Enterprise বিল্ডগুলোতে ডিফল্টভাবে চালু থাকা Windows Defender Credential Guard এর জন্য সিঙ্গেল সাইন-অন ব্লক করে। মাইগ্রেশনের সময়, RADIUS পাশাপাশি PEAP এবং EAP-TLS গ্রহণ করতে পারে।

স্ট্রং সার্টিফিকেট ম্যাপিং (KB5014754)

Windows ডোমেন কন্ট্রোলারগুলোর জন্য Microsoft-এর সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন পরিবর্তন, যার মধ্যে একটি সাবজেক্ট অল্টারনেটিভ নেম URI অন্তর্ভুক্ত যা অন-প্রেমিসেস সিকিউরিটি আইডেন্টিফায়ার বহন করে।

হাইব্রিড আইডেন্টিটি সহ Microsoft NPS ব্যবহার করলে এটি প্রাসঙ্গিক। এনফোর্সমেন্ট স্ট্রং ম্যাপিং নেই এমন Intune-ইস্যুকৃত সার্টিফিকেট প্রত্যাখ্যান করতে পারে, যা একটি বৈধ সার্টিফিকেট থাকা সত্ত্বেও RADIUS রিজেকশন হিসেবে দেখা যায়।

Trusted Platform Module (TPM)

Windows ডিভাইসগুলোর হার্ডওয়্যার সিকিউরিটি চিপ যার মধ্যে SCEP প্রোফাইল প্রাইভেট কী তৈরি এবং স্টোর করতে পারে, যা এটিকে হার্ডওয়্যার-ব্যাকড এবং অনির্যাযোগ (non-exportable) করে তোলে।

Windows SCEP প্রোফাইলে TPM কী স্টোরেজ সিলেক্ট করার অর্থ হলো সার্টিফিকেটটি কোনো ভুয়া লগইন পেজে টাইপ করা যাবে না বা ল্যাপটপ থেকে কপি করা যাবে না।

PCI DSS v4.0 প্রয়োজনীয়তা 2.3.2

PCI DSS প্রয়োজনীয়তা যে কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের সাথে সংযুক্ত নেটওয়ার্কগুলোতে ওয়্যারলেস এনক্রিপশন কী পরিবর্তন করতে হবে যখনই কী জানা কেউ প্রতিষ্ঠান ছেড়ে চলে যায়।

হোটেল এবং রিটেইলে শেয়ার্ড প্রাক-শেয়ার্ড কী স্টাফ SSIDs প্রতিটি কর্মী চলে যাওয়ার পর রোটেট করা আবশ্যক। প্রতি-ডিভাইস EAP-TLS সার্টিফিকেট শেয়ার্ড কী-এর প্রয়োজনীয়তা সম্পূর্ণরূপে দূর করে।

সমাধানকৃত উদাহরণসমূহ

১২টি হোটেলের একটি গ্রুপ রিसेप्शन PC, হাউসকিপিং iPhone এবং Android হ্যান্ডহেল্ডসহ ৮৪০টি ডিভাইসের মাধ্যমে শেয়ার করা একটি প্রি-শেয়ার্ড কী-তে একটি স্টাফ SSID পরিচালনা করে। নেটওয়ার্কটি কার্ডহোল্ডার ডেটা এভায়রনমেন্টের সাথে সংযুক্ত, তাই কোনো কর্মী চাকরি ছাড়লে প্রতিবার একটি কী রোটেশন বাধ্য হয়ে করতে হয় যা ডিভাইসগুলোকে নেটওয়ার্ক থেকে বিচ্ছিন্ন করে দেয়।

টিম Microsoft Entra অ্যাপ্লিকেশন প্রক্সির সাথে প্রকাশিত NDES-এর মাধ্যমে SCEP ডেপ্লয় করেছে। রিसेप्शन PC-গুলো ডিভাইস সার্টিফিকেট পেয়েছে যাতে তারা Windows সাইন-ইন স্ক্রিনেই কানেক্ট হতে পারে, আর ফোনগুলো ব্যক্তি-ভিত্তিক সার্টিফিকেট পেয়েছে। একটি হোটেলে দুই সপ্তাহের জন্য ২০টি ডিভাইসের পাইলট চালানো হয়েছিল, তারপর সমান্তরালভাবে পুরোনো SSID চালু রেখে প্রতি সপ্তাহে একটি করে হোটেল স্থানান্তরিত করা হয়েছে। ১২ সপ্তাহ পর ৮৪০টি ডিভাইসই EAP-TLS দিয়ে অথেন্টিকেট করে এবং প্রি-শেয়ার্ড কী SSID বন্ধ করে দেওয়া হয়। PCI DSS v4.0 প্রয়োজনীয়তা ২.৩.২-এর অধীনে রোটেট করার মতো শেয়ার করা কী-এর সংখ্যা ১২টি সাইট জুড়ে ১ থেকে শূন্যে নেমে এসেছে। চাকরি ছেড়ে দেওয়া কোনো কর্মীর অ্যাক্সেস এখন তার ডিভাইস রিটায়ার করার সাথে সাথে এবং CRL পুনরায় প্রকাশ করার সাথে সাথে শেষ হয়ে যায়, পরবর্তী কী রোটেশনের জন্য অপেক্ষা করতে হয় না।

১৫০টি স্টোরের একটি খুচরা চেইন প্রতি স্টোরে চারটি করে শেয়ার করা Android হ্যান্ডহেল্ড এবং দুটি করে Windows ব্যাক-অফিস ল্যাপটপ পরিচালনা করে, যা মোট ৯০০টি ডিভাইস। হ্যান্ডহেল্ডগুলো প্রতি শিফটে হাতবদল হয়, এবং ক্লাউড RADIUS সার্ভিস কেবল ইন্টারনাল নেটওয়ার্কে প্রকাশিত কোনো CRL-এ পৌঁছাতে পারে না।

যেহেতু হ্যান্ডহেল্ডগুলো কর্মীদের মধ্যে হাতবদল হয়, তাই ব্যক্তি-ভিত্তিক সার্টিফিকেটের কোনো অর্থ ছিল না। চেইন সেগুলোকে Android Enterprise ডেডিকেটেড ডিভাইস হিসেবে এনরোল করেছে এবং SCEP-এর মাধ্যমে ডিভাইস সার্টিফিকেট ইস্যু করেছে। প্রতিটি স্টোরে SSID অভিন্ন, তাই প্ল্যাটফর্ম প্রতি একটি WiFi প্রোফাইল পুরো এস্টেটের কাজ সম্পন্ন করে। CRL-কে ইন্টারনেট থেকে অ্যাক্সেসযোগ্য একটি HTTP ডিস্ট্রিবিউশন পয়েন্টে সরানো হয়েছে, যাতে ক্লাউড RADIUS সার্ভিস রিভোকেশন পরীক্ষা করতে পারে। ফলাফল: শেয়ার করা কোনো হ্যান্ডহেল্ডে কোনো WiFi পাসওয়ার্ড থাকে না এবং স্টোর কর্মীরা প্রতিটি পরিবর্তনের পর আর কী বা পাসওয়ার্ড চায় না। হারিয়ে যাওয়া একটি হ্যান্ডহেল্ডকে Intune-এ রিটায়ার করার মাধ্যমে বিচ্ছিন্ন করা হয়, এবং CRL রিফ্রেশ হওয়ার পর পরবর্তী অথেন্টিকেশনে এর সার্টিফিকেট ব্যর্থ হয়।

পাইলট ডিভাইসগুলোতে SCEP সার্টিফিকেট ইনস্টলড দেখাচ্ছে, তবুও WiFi প্রোফাইল Error রিপোর্ট করছে অথবা RADIUS সার্ভার কানেকশন প্রত্যাখ্যান করছে।

প্রথমে টার্গেটিং পরীক্ষা করুন। যদি SCEP প্রোফাইলটি কোনো ব্যক্তিবর্গের গ্রুপে অ্যাসাইন করা হয় কিন্তু WiFi প্রোফাইলটি কোনো ডিভাইস গ্রুপকে টার্গেট করে, তবে Intune ডিপেনডেন্সি মিটমাট করতে পারে না, তাই তিনটি প্রোফাইলকেই একই গ্রুপ বা গ্রুপ টাইপে অ্যাসাইন করুন। যদি প্রোফাইল অ্যাপ্লাই হয় কিন্তু RADIUS ডিভাইসটিকে প্রত্যাখ্যান করে, তবে ক্রমানুসারে চারটি কারণ পর্যালোচনা করুন: সার্টিফিকেট সার্ভারের নাম যা RADIUS সার্টিফিকেটের সাথে মেলে না, একটি RADIUS সার্ভার যা ইস্যুকারী CA-কে ট্রাস্ট করে না, একটি CRL যা RADIUS সার্ভার ডাউনলোড করতে পারে না, এবং KB5014754-এর অধীনে NPS স্ট্রং ম্যাপিং এনফোর্সমেন্ট। NPS-এ, ইভেন্ট ID 6273-এর রিজন কোড নির্দিষ্ট করে দেয় কোন কারণটি প্রযোজ্য।

অনুশীলনী প্রশ্নসমূহ

Q1. আপনি আপনার Windows 10 ডিভাইসে Root CA, SCEP, এবং WiFi প্রোফাইল মোতায়েন করেছেন। সার্টিফিকেট সফলভাবে ইনস্টল হয়েছে, কিন্তু Intune কনসোলে 'Error' দেখিয়ে WiFi প্রোফাইল প্রয়োগ হতে ব্যর্থ হয়েছে। এর সবচেয়ে সম্ভাব্য কারণ কী?

ইঙ্গিত: Azure AD গ্রুপগুলোতে কীভাবে প্রোফাইল অ্যাসাইন করা হয়েছে তা পরীক্ষা করুন।

মডেল উত্তর দেখুন

সবচেয়ে সম্ভাব্য কারণ হলো গ্রুপ টার্গেটিংয়ের অমিল। যদি SCEP প্রোফাইলটি কোনো ইউজার গ্রুপে বরাদ্দ করা হয়, কিন্তু WiFi প্রোফাইলটি কোনো ডিভাইস গ্রুপে বরাদ্দ করা হয়, তবে Intune তাদের মধ্যবর্তী নির্ভরতা সমাধান করতে পারে না। তিনটি প্রোফাইলকেই (Root, SCEP, WiFi) ঠিক একই গ্রুপ টাইপে টার্গেট করতে হবে।

Q2. আপনার সিকিউরিটি টিম নির্দেশ দিয়েছে যে প্রাইভেট কী কখনোই নেটওয়ার্কের মাধ্যমে পাঠোনো যাবে না, এমনকি এনক্রিপ্ট করা থাকলেও নয়। Intune-এ আপনাকে কোনো সার্টিফিকেট ডেপ্লয়মেন্ট মেথড ব্যবহার করতে হবে এবং অতিরিক্ত কোন্ ইনফ্রাস্ট্রাকচার সার্ভারের প্রয়োজন?

ইঙ্গিত: কী জোড়াটি (key pair) কোথায় তৈরি হয় সে সম্পর্কে চিন্তা করুন।

মডেল উত্তর দেখুন

আপনাকে অবশ্যই SCEP (Simple Certificate Enrolment Protocol) ব্যবহার করতে হবে। কারণ SCEP এন্ডপয়েন্ট ডিভাইসকে স্থানীয়ভাবে প্রাইভেট কী তৈরি করার নির্দেশ দেয়, যা কখনোই নেটওয়ার্কে আদান-প্রদান হয় না। এই ডেপ্লয়মেন্টের জন্য Certificate Authority-এর ব্রিজ হিসেবে কাজ করতে একটি Network Device Enrolment Service (NDES) সার্ভারের প্রয়োজন।

Q3. একজন রিমোট কর্মচারী Windows Autopilot-এর মাধ্যমে বাড়িতে বসে একটি নতুন ল্যাপটপ প্রোভিশন করেছেন। Intune প্রোফাইলগুলি সফলভাবে মোতায়েন হলেও, ডিভাইসটি SCEP সার্টিফিকেট পেতে ব্যর্থ হয়। কোন্ ইনফ্রাস্ট্রাকচার কনফিগারেশনটি মিসিং হতে পারে?

ইঙ্গিত: ডিভাইসটি কীভাবে ইন্টারনেট থেকে ইন্টারনাল CA-তে পৌঁছায়?

মডেল উত্তর দেখুন

সম্ভবত NDES সার্ভারটি ইন্টারনেটে পাবলিশ করা হয়নি। রিমোট ডিভাইসগুলি কর্পোরেট অফিসে আসার আগেই সার্টিফিকেটের অনুরোধ জানানোর জন্য NDES URL-টি বাহ্যিকভাবে অ্যাক্সেসযোগ্য হতে হবে, যা আদর্শভাবে Azure AD Application Proxy-এর মাধ্যমে নিরাপদে পাবলিশ করা উচিত।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

What is the difference between SCEP and PKCS for Intune WiFi certificates?

SCEP (Simple Certificate Enrollment Protocol, RFC 8894) generates the private key directly on the endpoint hardware (TPM or Secure Enclave) through a one-time challenge password; the private key never leaves the client device. PKCS #12 generates the private key on the certificate authority (AD CS) and transfers the encrypted PFX file over TLS to the device. SCEP is strongly recommended for Zero-Trust enterprise 802.1X WiFi.

What on-premises infrastructure is required for SCEP deployment with Intune?

A standard SCEP deployment requires an Active Directory Certificate Services (AD CS) Enterprise Certificate Authority, the Network Device Enrollment Service (NDES) server role, the Microsoft Intune Certificate Connector, and an external publishing mechanism such as Microsoft Entra Application Proxy or a reverse proxy with valid public SSL certificates.

How does Microsoft Cloud PKI simplify 802.1X WiFi certificate management?

Microsoft Cloud PKI (included in Intune Suite) eliminates all on-premises Windows Servers, NDES roles, and connector agents by hosting the issuing and root certificate authorities entirely in the Microsoft cloud. Intune handles SCEP certificate requests natively, slashing maintenance overhead while supporting multi-platform 802.1X authentication.

In what order must Intune configuration profiles be assigned to endpoints?

Profiles must be assigned in a strict three-tier dependency sequence: first, the Trusted Root Certificate Profile containing the CA chain; second, the SCEP or PKCS Client Certificate Profile targeting user or device authentication; and third, the 802.1X WiFi Configuration Profile configured with WPA3-Enterprise and referencing the client certificate.

How does Purple integrate with Microsoft Intune and Entra ID for enterprise WiFi?

Purple provides a hardware-agnostic Cloud RADIUS AAA service with native Microsoft Entra ID and Intune integration. Purple validates SCEP and Cloud PKI X.509 certificates with automated revocation checking (CRL/OCSP), applies real-time directory-driven dynamic VLAN assignments, and isolates corporate and visitor traffic across all major enterprise access point vendors.

সূত্রসমূহ

  1. IETF RFC 5216: The EAP-TLS Authentication Protocol
  2. IETF RFC 8894: Simple Certificate Enrolment Protocol
  3. Microsoft Learn: Use certificates for authentication in Microsoft Intune
  4. Microsoft Learn: Configure infrastructure to support SCEP with Intune
  5. Microsoft Learn: Configure and use PKCS certificates with Intune
  6. Microsoft Learn: Windows Defender Credential Guard
  7. Microsoft KB5014754: Certificate-based authentication changes on Windows domain controllers
  8. PCI Security Standards Council document library (PCI DSS v4.0)

এই সিরিজে পড়া চালিয়ে যান

এন্টারপ্রাইজ ডেপ্লয়মেন্টের জন্য IronWiFi এর বিকল্পসমূহ

আপনি আপনার নেটওয়ার্কের প্রয়োজনীয় কাজগুলোর ওপর ভিত্তি করে একটি IronWiFi বিকল্পের সংক্ষিপ্ত তালিকা তৈরি করতে পারবেন: অথেন্টিকেশন, আইডেন্টিটি, সম্মতি, হার্ডওয়্যার কভারেজ এবং তিন বছরের খরচ। আপনি জানতে পারবেন কখন Purple, Cloud4Wi, Spotipo বা Cloudi-Fi আরও ভালভাবে মানিয়ে যায়, কখন IronWiFi এখনও জয়ী হয় এবং কীভাবে একটি ওয়ান-ভেন্যু পাইলট চালাতে হয় যা প্রতিটি ভেন্ডরের দাবি প্রমাণ করে।

গাইডটি পড়ুন →

Sophos Firewall এবং গেস্ট WiFi: Purple-এর সাথে ক্যাপটিভ পোর্টাল সেটআপ

কীভাবে Purple-এর ক্লাউড গেস্ট WiFi একটি স্ট্যান্ডার্ড এক্সটার্নাল ক্যাপটিভ পোর্টাল এবং RADIUS-এর মাধ্যমে Sophos Firewall এবং এর অ্যাক্সেস পয়েন্টগুলোর সাথে কাজ করে, এবং কোথায় সাপোর্ট পরীক্ষা করতে হবে ও ধাপগুলো খুঁজে পেতে হবে।

গাইডটি পড়ুন →

Aruba Central এবং Purple WiFi: ক্লাউড-ম্যানেজড ইন্টিগ্রেশন

Purple-এর ক্লাউড-হোস্টেড গেস্ট WiFi ইন্টেলিজেন্স প্ল্যাটফর্মের সাথে Aruba Central-কে ইন্টিগ্রেট করার জন্য একটি বিস্তৃত টেকনিক্যাল রেফারেন্স গাইড। এই গাইডটি এন্টারপ্রাইজ আইটি টিমগুলোর জন্য আর্কিটেকচার, এক্সটার্নাল Captive Portal এবং RADIUS-এর ধাপে ধাপে কনফিগারেশন এবং মাল্টি-সাইট রোলআউট কৌশলগুলো কভার করে।

গাইডটি পড়ুন →

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।