On-Premises RADIUS (NPS) থেকে RADIUS-as-a-Service-এ স্থানান্তর

PODCAST SCRIPT: On-Premises RADIUS (NPS) থেকে RADIUS-as-a-Service-এ মাইগ্রেশন সময়সীমা: ~১০ মিনিট | কণ্ঠ: UK English, পুরুষ, সিনিয়র কনসালট্যান্ট টোন --- SEGMENT 1: ভূমিকা এবং প্রসঙ্গ Purple WiFi টেকনিক্যাল ব্রিফিং সিরিজে আপনাদের স্বাগত। আজ আমরা এমন একটি মাইগ্রেশন নিয়ে আলোচনা করছি যা এই মুহূর্তে বহু এন্টারপ্রাইজ IT টিমের রোডম্যাপে রয়েছে: অন-প্রিমিসেস RADIUS — বিশেষ করে Microsoft-এর Network Policy Server — থেকে ক্লাউড-হোস্টেড RADIUS-as-a-Service মডেলে স্থানান্তরিত হওয়া। আপনি যদি কোনো হোটেল গ্রুপ, রিটেল এস্টেট, স্টেডিয়াম বা পাবলিক সেক্টর ক্যাম্পাসে WiFi অথেন্টিকেশন পরিচালনা করেন, তবে এটি সরাসরি আপনার কাজের সাথে সম্পর্কিত। অন-প্রিমিসেস NPS মডেলটি প্রায় দুই দশক ধরে আমাদের ভালোভাবে সেবা দিয়েছে, তবে অপারেশনাল ওভারহেড, সিঙ্গেল-পয়েন্ট-অফ-ফেইলিওর ঝুঁকি এবং স্কেলিংয়ের সীমাবদ্ধতাগুলো বর্তমানে সমর্থন করা ক্রমশ কঠিন হয়ে উঠছে — বিশেষ করে যখন ক্লাউড-নেটিভ বিকল্পগুলো এখন মোট মালিকানা ব্যয়ের সামান্য অংশেই এন্টারপ্রাইজ-গ্রেড নির্ভরযোগ্যতা অফার করছে। আগামী দশ মিনিটে, আমরা উভয় পদ্ধতির টেকনিক্যাল আর্কিটেকচার কভার করব, একটি সুগঠিত মাইগ্রেশন পদ্ধতির মধ্য দিয়ে যাব, দুটি বাস্তব-ক্ষেত্রের ইমপ্লিমেন্টেশন সিনারিও দেখব এবং শেষ করব সেই মূল সিদ্ধান্ত কাঠামোগুলো দিয়ে যা আপনাকে আত্মবিশ্বাসের সাথে এই সিদ্ধান্ত নিতে সাহায্য করবে। চলুন শুরু করা যাক। --- SEGMENT 2: টেকনিক্যাল ডিপ-ডাইভ প্রথমে, আপনার নেটওয়ার্ক স্ট্যাকে RADIUS আসলে কী কাজ করে সে সম্পর্কে আমরা একমত হয়ে নিই। RADIUS — Remote Authentication Dial-In User Service — হলো RFC 2865-এ সংজ্ঞায়িত একটি প্রোটোকল যা নেটওয়ার্ক অ্যাক্সেসের জন্য অথেন্টিকেশন, অথোরাইজেশন এবং অ্যাকাউন্টিং পরিচালনা করে। একটি WiFi প্রেক্ষাপটে, এটি IEEE 802.1X পোর্ট-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণের মেরুদণ্ড। যখন একটি ডিভাইস WPA2-Enterprise বা WPA3-Enterprise SSID-এর সাথে সংযোগ স্থাপন করে, তখন অ্যাক্সেস পয়েন্টটি একটি RADIUS ক্লায়েন্ট — যাকে আমরা নেটওয়ার্ক অ্যাক্সেস সার্ভার বলি — হিসেবে কাজ করে এবং অথেন্টিকেশন অনুরোধটি RADIUS সার্ভারে ফরোয়ার্ড করে। সার্ভারটি সাধারণত Active Directory বা একটি LDAP ডিরেক্টরির বিপরীতে ক্রেডেনশিয়ালগুলো যাচাই করে এবং একটি Access-Accept বা Access-Reject প্রতিক্রিয়া ফেরত দেয়। এটিই মূল ফ্লো। এখন, অন-প্রিমিসেস NPS মডেলে — Network Policy Server হলো Microsoft-এর RADIUS ইমপ্লিমেন্টেশন যা Windows Server-এর সাথে বান্ডেল করা থাকে — আপনি সেই অথেন্টিকেশন লজিকটি আপনার নিজস্ব হার্ডওয়্যারে রান করছেন, এমন একটি ডেটা সেন্টার বা সার্ভার রুমে যা আপনি রক্ষণাবেক্ষণ করেন। NPS সার্ভারটি আপনার নেটওয়ার্ক পলিসি, EAP-TLS বা PEAP-MSCHAPv2-এর জন্য আপনার সার্টিফিকেট ইনফ্রাস্ট্রাকচার এবং আপনার কানেকশন রিকোয়েস্ট পলিসিগুলো ধারণ করে। এটি কাজ করে। এটি পরিপক্ক। তবে এর সাথে এমন কিছু অপারেশনাল বাস্তবতা আসে যা সময়ের সাথে সাথে জটিল হয়ে ওঠে। প্রথমটি হলো হার্ডওয়্যার নির্ভরতা। আপনার NPS সার্ভার হলো একটি ফিজিক্যাল বা ভার্চুয়াল মেশিন যার জন্য প্যাচিং, ক্যাপাসিটি প্ল্যানিং এবং শেষ পর্যন্ত হার্ডওয়্যার রিফ্রেশ প্রয়োজন হয়। একটি মাল্টি-সাইট ডিপ্লয়মেন্টে — ধরা যাক, সমগ্র UK জুড়ে প্রপার্টি রয়েছে এমন একটি হোটেল গ্রুপ — আপনি হয় WAN নির্ভরতার সাথে একটি সেন্ট্রালাইজড NPS চালাচ্ছেন, অথবা প্রতিটি সাইটে NPS ইনস্ট্যান্স ডিপ্লয় করছেন এবং সেগুলো আলাদাভাবে পরিচালনা করছেন। এর কোনোটিই নিখুঁত নয়। দ্বিতীয়টি হল প্রাপ্যতা। একটি একক NPS ইনস্ট্যান্স আপনার সম্পূর্ণ প্রমাণীকরণ পরিকাঠামোর জন্য একটি একক ব্যর্থতার বিন্দু (single point of failure)। হ্যাঁ, আপনি একটি ফেইলওভার পেয়ারে NPS মোতায়েন করতে পারেন, তবে এটি আপনার হার্ডওয়্যার এবং লাইসেন্সিং ওভারহেডকে দ্বিগুণ করে এবং এটি এখনও আপনাকে ভৌগোলিক অপ্রয়োজনীয়তা (geographic redundancy) প্রদান করে না যা একটি ক্লাউড পরিষেবা স্বাভাবিকভাবেই প্রদান করে। তৃতীয়টি হল স্কেলেবিলিটি। NPS কর্পোরেট LAN পরিবেশের জন্য ডিজাইন করা হয়েছিল। যখন আপনি কোনো স্টেডিয়াম ইভেন্ট বা কনফারেন্স সেন্টারের পিক টাইমে হাজার হাজার সমবর্তী প্রমাণীকরণ অনুরোধ পরিচালনা করছেন, তখন একটি একক NPS ইনস্ট্যান্সের থ্রুপুট সীমাবদ্ধতাগুলি খুব স্পষ্ট হয়ে ওঠে। প্রমাণীকরণ লেটেন্সি স্পাইক হয় এবং ব্যবহারকারীরা ঠিক সেই মুহূর্তে সংযোগ ব্যর্থতার সম্মুখীন হন যখন আপনি এটি মোটেও বহন করতে পারেন না। RADIUS-as-a-Service কাঠামোগতভাবে এই তিনটি সীমাবদ্ধতাকেই সমাধান করে। ক্লাউড RADIUS প্রদানকারী RADIUS সার্ভারের একটি বিতরণ করা, জিও-রিডান্ডেন্ট ক্লাস্টার চালায়। আপনার অ্যাক্সেস পয়েন্টগুলি অন-প্রিমিসেস সার্ভারের পরিবর্তে ক্লাউড-হোস্টেড RADIUS এন্ডপয়েন্টগুলির দিকে নির্দেশ করে। প্রমাণীকরণের অনুরোধগুলি ক্লাস্টার জুড়ে লোড-ব্যালেন্স করা হয় এবং ফেইলওভার স্বয়ংক্রিয় এবং স্বচ্ছ হয়। প্রদানকারী প্যাচিং, ক্ষমতা স্কেলিং এবং সার্টিফিকেট পরিচালনা করে। নেটওয়ার্ক অপারেটর হিসেবে আপনার দৃষ্টিকোণ থেকে, RADIUS একটি পরিচালিত উপাদানের পরিবর্তে একটি ব্যবহৃত পরিষেবা হয়ে ওঠে। প্রমাণীকরণ প্রোটোকলগুলি নিজেরা পরিবর্তিত হয় না। আপনি এখনও আপনার ক্লায়েন্ট ডিভাইসের মিশ্রণের উপর নির্ভর করে EAP-TLS, PEAP-MSCHAPv2, বা EAP-TTLS সহ 802.1X চালাচ্ছেন। পার্থক্য হল RADIUS সার্ভার কোথায় থাকে এবং এর অপারেশনাল ধারাবাহিকতার জন্য কে দায়ী। এখানে একটি গুরুত্বপূর্ণ সুরক্ষার বিষয় রয়েছে যা আমি সরাসরি বলতে চাই, কারণ এটি প্রায় প্রতিটি ক্লায়েন্টের আলোচনায় উঠে আসে। RADIUS-কে ক্লাউডে স্থানান্তর করার অর্থ হল ক্লাউড RADIUS এন্ডপয়েন্টে পৌঁছানোর জন্য আপনার প্রমাণীকরণ ট্র্যাফিক পাবলিক ইন্টারনেট অতিক্রম করছে। এটি দুটি প্রক্রিয়ার মাধ্যমে প্রশমিত করা হয়। প্রথমত, Network Access Server এবং RADIUS সার্ভারের মধ্যে RADIUS ট্র্যাফিক একটি শেয়ার্ড সিক্রেট এবং MD5-ভিত্তিক বার্তা প্রমাণীকরণ ব্যবহার করে সুরক্ষিত থাকে। দ্বিতীয়ত এবং আধুনিক মোতায়েনের জন্য সবচেয়ে গুরুত্বপূর্ণ, আপনার RadSec চালানো উচিত - TLS এর মাধ্যমে RADIUS, যা RFC 6614-এ সংজ্ঞায়িত - যা একটি TLS টানেলের মধ্যে সম্পূর্ণ RADIUS কথোপকথনকে আবৃত করে। এটি আপনাকে HTTPS-এর সমতুল্য ট্রান্সপোর্ট-লেয়ার এনক্রিপশন দেয়, যা MD5 দুর্বলতাকে দূর করে এবং NAS ও RADIUS সার্ভারের মধ্যে পারস্পরিক প্রমাণীকরণ প্রদান করে। বিবেচনা করার মতো যেকোনো ক্লাউড RADIUS প্রদানকারীর স্ট্যান্ডার্ড হিসেবে RadSec সমর্থন করা উচিত। আইডেন্টিটি ইন্টিগ্রেশনের দিকে, ক্লাউড RADIUS পরিষেবাগুলি সাধারণত আপনার অন-প্রিমিসেস Active Directory-তে ফেরত যাওয়ার জন্য LDAP এবং LDAPS সংযোগ সমর্থন করে, অথবা SAML বা SCIM-এর মাধ্যমে Azure Active Directory এবং Microsoft Entra ID-এর সাথে নেটিভ ইন্টিগ্রেশন সমর্থন করে। এর অর্থ হল আপনার ব্যবহারকারী ডিরেক্টরি স্থানান্তর করার প্রয়োজন নেই - ক্লাউড RADIUS পরিষেবা আপনার বিদ্যমান আইডেন্টিটি স্টোরকে কুয়েরি করে, আপনার বিদ্যমান ব্যবহারকারীর জীবনচক্র পরিচালনা প্রক্রিয়া বজায় রাখে।‌ রাখে।‌ রাখে। কমপ্লায়েন্স সম্পর্কে সচেতন সংস্থাগুলোর জন্য - যার মধ্যে PCI-DSS-এর অধীনে পেমেন্ট কার্ড ডেটা বা GDPR-এর অধীনে ব্যক্তিগত ডেটা পরিচালনা করে এমন যেকোনো প্রতিষ্ঠান অন্তর্ভুক্ত - ক্লাউড RADIUS প্রদানকারীরা যারা SOC 2 Type II প্রত্যয়িত এবং ISO 27001 স্বীকৃত, তারা সেলফ-ম্যানেজড NPS অবকাঠামোর তুলনায় অনেক শক্তিশালী কমপ্লায়েন্স ব্যবস্থা প্রদান করে যা বেশিরভাগ সংস্থা নিজে অর্জন করতে পারে না। - - - সেগমেন্ট ৩: বাস্তবায়নের সুপারিশ এবং সম্ভাব্য সমস্যা ঠিক আছে, চলুন আলোচনা করা যাক কীভাবে আপনার অথেন্টিকেশন অবকাঠামো অফলাইনে না নিয়ে এই মাইগ্রেশনটি আসলে সম্পন্ন করবেন। আমি যে পদ্ধতির সুপারিশ করি তা হলো একটি পাঁচ ধাপের পদ্ধতি। প্রথম ধাপ হলো অডিট এবং ইনভেন্টরি। প্রতিটি RADIUS ক্লায়েন্ট - প্রতিটি অ্যাক্সেস পয়েন্ট, প্রতিটি সুইচ, প্রতিটি VPN কনসেনট্রেটর - তার বর্তমান শেয়ার্ড সিক্রেট, এটি যে EAP পদ্ধতি ব্যবহার করছে এবং আপনার NPS পলিসিগুলোর যেকোনো ভেন্ডর-নির্দিষ্ট অ্যাট্রিবিউটসহ নথিভুক্ত করুন। এটি একটি সাধারণ কাজ মনে হতে পারে, কিন্তু এটি বাদ দেওয়াই হলো মাইগ্রেশন ব্যর্থ হওয়ার এক নম্বর কারণ। দ্বিতীয় ধাপ হলো পাইলট ডেপ্লয়মেন্ট। আপনার ক্লাউড RADIUS ইনস্ট্যান্সটি চালু করুন এবং একটি নন-প্রোডাকশন SSID বা একটি একক টেস্ট সাইটকে এটির দিকে নির্দেশ করুন। যাচাই করুন যে আপনার EAP পদ্ধতিটি শুরু থেকে শেষ পর্যন্ত কাজ করছে, আপনার আইডেন্টিটি ইন্টিগ্রেশন ঠিকঠাক চলছে এবং আপনার অ্যাকাউন্টিং ডেটা সঠিকভাবে প্রবাহিত হচ্ছে। তৃতীয় ধাপ হলো সমান্তরালভাবে চালানো। এটি একটি অত্যন্ত গুরুত্বপূর্ণ ঝুঁকি প্রশমন পদক্ষেপ। আপনার অ্যাক্সেস পয়েন্টগুলোকে অন-প্রিমিসেস NPS সার্ভার এবং ক্লাউড RADIUS সার্ভার উভয়ের সাথেই অথেন্টিকেশনের লক্ষ্য হিসেবে কনফিগার করুন, যেখানে ক্লাউড সার্ভিস থাকবে প্রাইমারি এবং NPS থাকবে ফলব্যাক হিসেবে। একটি সম্পূর্ণ ব্যবসায়িক চক্রের মধ্যে অন্তত দুই সপ্তাহ এই কনফিগারেশনে সিস্টেমটি চালান। অথেন্টিকেশনের সাফল্যের হার, লেটেন্সি এবং যেকোনো পলিসির অমিল পর্যবেক্ষণ করুন। চতুর্থ ধাপ হলো কাটওভার। NPS ফলব্যাক কনফিগারেশনটি সরিয়ে ফেলুন এবং আপনার একমাত্র অথেন্টিকেশন অবকাঠামো হিসেবে ক্লাউড RADIUS ব্যবহার শুরু করুন। একটি পরিকল্পিত রক্ষণাবেক্ষণ উইন্ডোর সময় এটি করুন এবং একটি রোলব্যাক পদ্ধতি নথিভুক্ত ও পরীক্ষা করে রাখুন। পঞ্চম ধাপ হলো ডিকমিশন বা নিষ্ক্রিয়করণ। কাটওভারের পর ত্রিশ দিন ধরে স্থিতিশীল কার্যক্রম যাচাই করার পর, NPS সার্ভারগুলো নিষ্ক্রিয় করুন এবং হার্ডওয়্যার বা ভার্চুয়াল মেশিন রিসোর্সগুলো পুনরুদ্ধার করুন। আমি সবচেয়ে বেশি যে সমস্যাগুলো দেখি সেগুলো হলো: সার্টিফিকেট ট্রাস্ট চেইনের সমস্যা - বিশেষ করে, ক্লায়েন্ট ডিভাইসগুলো ক্লাউড RADIUS সার্ভারের সার্টিফিকেট বিশ্বাস করে না কারণ CA তাদের ট্রাস্টেড স্টোরে থাকে না। কাটওভারের আগে আপনার MDM বা গ্রুপ পলিসির মাধ্যমে এটি সমাধান করুন। দ্বিতীয় সাধারণ সমস্যাটি হলো ফায়ারওয়াল নিয়ম। ক্লাউড RADIUS-এর জন্য আপনার অ্যাক্সেস পয়েন্ট থেকে ক্লাউড এন্ডপয়েন্টগুলোতে আউটবাউন্ড UDP 1812 এবং 1813 প্রয়োজন, অথবা RadSec-এর জন্য TCP 2083 প্রয়োজন। আপনার নেটওয়ার্ক পেরিমিটার যাতে এই ট্র্যাফিক অনুমোদন করে তা নিশ্চিত করুন। তৃতীয়: শেয়ার্ড সিক্রেটের জটিলতা। যদি আপনার বিদ্যমান NPS শেয়ার্ড সিক্রেটগুলো দুর্বল হয়, তবে মাইগ্রেশনটিকে ক্রিপ্টোগ্রাফিকভাবে শক্তিশালী সিক্রেটে রূপান্তর করার একটি সুযোগ হিসেবে ব্যবহার করুন, অথবা আরও ভালো হয়, RadSec-এ স্থানান্তরিত হোন এবং শেয়ার্ড সিক্রেটের প্রয়োজনীয়তা সম্পূর্ণভাবে দূর করুন। - - - সেগমেন্ট ৪: দ্রুত প্রশ্নোত্তর এই বিষয়ে আমি সবচেয়ে বেশি যে প্রশ্নগুলো পাই সেগুলোর উত্তর দেওয়া যাক। আমরা কি Active Directory অন-প্রিমিসেস রাখতে পারি? হ্যাঁ, অবশ্যই। ক্লাউড RADIUS LDAPS-এর মাধ্যমে আপনার অন-প্রিমিসেস AD-এর সাথে সংযোগ স্থাপন করে। আপনার ডিরেক্টরি যেখানে আছে সেখানেই থাকবে। যদি আমাদের ইন্টারনেট কানেকশন বিচ্ছিন্ন হয়ে যায় তাহলে কী হবে? এটি একটি অন্যতম প্রধান নির্ভরতার পরিবর্তন। ক্লাউড RADIUS-এর সাথে, অথেন্টিকেশনের জন্য ইন্টারনেট কানেক্টিভিটি একটি বড় নির্ভরতা হয়ে ওঠে। বিভ্রাটের সময় পরিচিত ডিভাইসগুলোর জন্য অথেনটিকেশন ক্যাশে করে রাখে এমন লোকাল RADIUS প্রক্সি অথবা রিডানডেন্ট WAN লিঙ্কের সাহায্যে এই ঝুঁকি কমান। এটি কি আমাদের PCI-DSS কমপ্লায়েন্সকে প্রভাবিত করে? একটি প্রত্যয়িত ক্লাউড RADIUS প্রোভাইডারের কাছে স্থানান্তরিত হওয়া সাধারণত আপনার কমপ্লায়েন্সের অবস্থাকে উন্নত করে। নিশ্চিত করুন যেন আপনার প্রোভাইডার SOC 2 Type II রিপোর্ট সরবরাহ করতে পারে এবং এটি আপনার বার্ষিক QSA অ্যাসেসমেন্ট স্কোপের অন্তর্ভুক্ত থাকে। একটি সম্পূর্ণ মাইগ্রেশন সম্পন্ন হতে কত সময় লাগে? একটি একক সাইটের জন্য, দুই থেকে চার সপ্তাহ। পঞ্চাশ বা তার বেশি লোকেশনের মাল্টি-সাইট এস্টেটের জন্য, একটি পর্যায়ক্রমিক রোলআউট সহ তিন থেকে ছয় মাসের পরিকল্পনা করুন। - সেগমেন্ট ৫: সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ পরিশেষে বলা যায়: অন-প্রেমিসেস NPS থেকে RADIUS-as-a-Service-এ স্থানান্তরিত হওয়ার বিষয়টি অপারেশনাল, ফাইন্যান্সিয়াল এবং কমপ্লায়েন্সের দিক থেকে অত্যন্ত যুক্তিযুক্ত। একটি সুগঠিত প্যারালাল-রানিং ফেজের মাধ্যমে সম্পন্ন করা হলে এই মাইগ্রেশন অত্যন্ত কম ঝুঁকিপূর্ণ হয়। মূল টেকনিক্যাল সিদ্ধান্তগুলো হলো আপনার EAP মেথড নির্বাচন, আপনার আইডেন্টিটি ইন্টিগ্রেশন পদ্ধতি এবং ট্রান্সপোর্ট সিকিউরিটির জন্য RadSec ইমপ্লিমেন্ট করবেন কিনা - যা আমি যেকোনো নতুন ডেপ্লয়মেন্টের জন্য জোরালোভাবে সুপারিশ করব। আপনার তাৎক্ষণিক পরবর্তী পদক্ষেপসমূহ: আপনার বর্তমান RADIUS ক্লায়েন্ট এবং পলিসিগুলোর অডিট পরিচালনা করুন, একটি পাইলট এনভায়রনমেন্টের জন্য আপনার ক্লাউড RADIUS প্রোভাইডারের সাথে যোগাযোগ করুন এবং শুরু করার আগে আপনার ফায়ারওয়াল রুলস এবং সার্টিফিকেট ট্রাস্ট চেইনগুলো পর্যালোচনা করুন। যেসব অর্গানাইজেশন Purple WiFi-এর গেস্ট অ্যাক্সেস প্ল্যাটফর্ম ব্যবহার করছে, তাদের জন্য RADIUS-as-a-Service ফিচারটি সরাসরি গেস্ট WiFi অথেন্টিকেশন ফ্লো-এর সাথে ইন্টিগ্রেট করে। এটি আপনাকে কর্পোরেট 802.1X অথেন্টিকেশন এবং গেস্ট নেটওয়ার্ক অ্যাক্সেস ম্যানেজমেন্ট উভয়ের জন্যই বিল্ট-ইন অ্যানালিটিক্স এবং কমপ্লায়েন্স রিপোর্টিং সহ একটি একক কন্ট্রোল প্লেন প্রদান করে। শোনার জন্য ধন্যবাদ। সম্পূর্ণ টেকনিক্যাল রেফারেন্স গাইডটি Purple ওয়েবসাইটটিতে পাওয়া যাবে, এবং আপনি যদি সামনে এগিয়ে যেতে প্রস্তুত থাকেন তবে একটি স্কোপিং আলোচনার জন্য আমাদের সল্যুশন টিম সর্বদা প্রস্তুত রয়েছে। - স্ক্রিপ্ট সমাপ্ত