On-Premises RADIUS (NPS) থেকে RADIUS-as-a-Service-এ মাইগ্রেশন

পডকাস্ট স্ক্রিপ্ট: অন-প্রিমিসেস RADIUS (NPS) থেকে RADIUS-as-a-Service-এ মাইগ্রেশন সময়সীমা: ~১০ মিনিট | ভয়েস: ইউকে ইংলিশ, পুরুষ, সিনিয়র কনসালট্যান্ট টোন --- সেগমেন্ট ১: ভূমিকা এবং প্রেক্ষাপট Purple WiFi টেকনিক্যাল ব্রিফিং সিরিজে আপনাকে স্বাগত জানাই। আজ আমরা এমন একটি মাইগ্রেশন নিয়ে আলোচনা করছি যা বর্তমানে উল্লেখযোগ্য সংখ্যক এন্টারপ্রাইজ আইটি টিমের রোডম্যাপে রয়েছে: অন-প্রিমিসেস RADIUS - বিশেষ করে Microsoft-এর Network Policy Server - থেকে একটি ক্লাউড-হোস্টেড RADIUS-as-a-Service মডেলে স্থানান্তরিত হওয়া। আপনি যদি কোনো হোটেল গ্রুপ, রিটেল এস্টেট, স্টেডিয়াম বা পাবলিক-সেক্টর ক্যাম্পাস জুড়ে WiFi অথেনটিকেশন পরিচালনা করেন, তবে এটি সরাসরি আপনার সাথে প্রাসঙ্গিক। অন-প্রিমিসেস NPS মডেলটি বিগত প্রায় দুই দশক ধরে আমাদের ভালো সেবা দিয়েছে, কিন্তু অপারেশনাল ওভারহেড, সিঙ্গেল-পয়েন্ট-অফ-ফেইলিওর ঝুঁকি এবং স্কেলিংয়ের সীমাবদ্ধতাগুলোর যৌক্তিকতা প্রমাণ করা ক্রমশ কঠিন হয়ে উঠছে - বিশেষ করে যখন ক্লাউড-নেটিভ বিকল্পগুলো এখন মালিকানার মোট খরচের একটি সামান্য অংশে এন্টারপ্রাইজ-গ্রেড নির্ভরযোগ্যতা অফার করছে। পরবর্তী দশ মিনিটে, আমরা উভয় পদ্ধতির টেকনিক্যাল আর্কিটেকচার কভার করব, একটি স্ট্রাকচার্ড মাইগ্রেশন মেথডোলজির মাধ্যমে এগিয়ে যাব, দুটি বাস্তব-ক্ষেত্রের ইমপ্লিমেন্টেশন সিনারিও দেখব এবং এই সিদ্ধান্তটি আত্মবিশ্বাসের সাথে নেওয়ার জন্য আপনার প্রয়োজনীয় মূল ডিসিশন ফ্রেমওয়ার্কগুলো দিয়ে শেষ করব। চলুন শুরু করা যাক। --- সেগমেন্ট ২: টেকনিক্যাল ডিপ-ডাইভ প্রথমে, আপনার নেটওয়ার্ক স্ট্যাকে RADIUS আসলে কী কাজ করে সে সম্পর্কে আমরা একই পৃষ্ঠায় আছি কিনা তা নিশ্চিত করে নেওয়া যাক। RADIUS - রিমোট অথেনটিকেশন ডায়াল-ইন ইউজার সার্ভিস - হলো RFC 2865-এ সংজ্ঞায়িত প্রোটোকল যা নেটওয়ার্ক অ্যাক্সেসের জন্য অথেনটিকেশন, অথোরাইজেশন এবং অ্যাকাউন্টিং পরিচালনা করে। একটি WiFi প্রেক্ষাপটে, এটি IEEE 802.1X পোর্ট-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণের মূল ভিত্তি। যখন একটি ডিভাইস WPA2-Enterprise বা WPA3-Enterprise SSID-এর সাথে সংযোগ স্থাপন করে, তখন অ্যাক্সেস পয়েন্টটি একটি RADIUS ক্লায়েন্ট - যাকে আমরা নেটওয়ার্ক অ্যাক্সেস সার্ভার বলি - হিসেবে কাজ করে এবং অথেনটিকেশন অনুরোধটি RADIUS সার্ভারে ফরোয়ার্ড করে। সার্ভারটি সাধারণত Active Directory বা একটি LDAP ডিরেক্টরির বিপরীতে ক্রেডেনশিয়ালগুলো যাচাই করে এবং একটি Access-Accept বা Access-Reject প্রতিক্রিয়া প্রদান করে। এটিই হলো মূল প্রবাহ। এখন, অন-প্রিমিসেস NPS মডেলে - Network Policy Server হলো Windows Server-এর সাথে বান্ডেল করা Microsoft-এর RADIUS ইমপ্লিমেন্টেশন - আপনি সেই অথেনটিকেশন লজিকটি আপনার নিজের হার্ডওয়্যারে চালাচ্ছেন, যা আপনার রক্ষণাবেক্ষণ করা একটি ডেটা সেন্টার বা সার্ভার রুমে থাকে। NPS সার্ভারটি আপনার নেটওয়ার্ক পলিসি, EAP-TLS বা PEAP-MSCHAPv2-এর জন্য আপনার সার্টিফিকেট ইনফ্রাস্ট্রাকচার এবং আপনার কানেকশন রিকোয়েস্ট পলিসিগুলো ধারণ করে। এটি কাজ করে। এটি পরিপক্ক। কিন্তু এটি এমন কিছু অপারেশনাল বাস্তবতার সাথে আসে যা সময়ের সাথে সাথে জটিল হয়ে ওঠে। প্রথমটি হলো হার্ডওয়্যারের ওপর নির্ভরশীলতা। আপনার NPS সার্ভার হলো একটি ফিজিক্যাল বা ভার্চুয়াল মেশিন যার জন্য প্যাচিং, ক্যাপাসিটি প্ল্যানিং এবং শেষ পর্যন্ত হার্ডওয়্যার রিফ্রেশ প্রয়োজন। একটি মাল্টি-সাইট ডিপ্লয়মেন্টে - ধরা যাক, পুরো ইউকে জুড়ে প্রপার্টি থাকা একটি হোটেল গ্রুপ - আপনি হয় WAN নির্ভরশীলতার সাথে একটি সেন্ট্রালাইজড NPS চালাচ্ছেন, অথবা আপনি প্রতিটি সাইটে NPS ইনস্ট্যান্স ডিপ্লয় করছেন এবং সেগুলো আলাদাভাবে পরিচালনা করছেন। এর কোনোটিই নিখুঁত নয়। দ্বিতীয়টি হলো নির্ভরযোগ্যতা (availability)। একটি একক NPS ইনস্ট্যান্স আপনার সম্পূর্ণ প্রমাণীকরণ (authentication) অবকাঠামোর জন্য একটি সিঙ্গেল পয়েন্ট অব ফেইলিউর (single point of failure)। হ্যাঁ, আপনি একটি ফেইলওভার পেয়ারে NPS স্থাপন করতে পারেন, তবে এটি আপনার হার্ডওয়্যার এবং লাইসেন্সিং খরচ দ্বিগুণ করে, এবং তবুও এটি আপনাকে সেই ভৌগোলিক রিডান্ডেন্সি প্রদান করে না যা একটি ক্লাউড পরিষেবা নেটিভভাবে প্রদান করে। তৃতীয়টি হলো স্কেলেবিলিটি (scalability)। NPS ডিজাইন করা হয়েছিল কর্পোরেট LAN পরিবেশের জন্য। আপনি যখন একটি স্টেডিয়ামের ইভেন্ট বা একটি কনফারেন্স সেন্টারের পিক আওয়ারে হাজার হাজার সমসাময়িক প্রমাণীকরণ অনুরোধ পরিচালনা করছেন, তখন একটি একক NPS ইনস্ট্যান্সের থ্রুপুট সীমাবদ্ধতা খুব স্পষ্ট হয়ে ওঠে। প্রমাণীকরণ লেটেন্সি বৃদ্ধি পায় এবং ব্যবহারকারীরা ঠিক সেই মুহূর্তেই সংযোগ ব্যর্থতার সম্মুখীন হন যখন আপনি এটি একেবারেই সহ্য করতে পারেন না। RADIUS-as-a-Service কাঠামোগতভাবে এই তিনটি সীমাবদ্ধতারই সমাধান করে। ক্লাউড RADIUS প্রদানকারী RADIUS সার্ভারের একটি ডিস্ট্রিবিউটেড, জিও-রিডান্ডেন্ট ক্লাস্টার পরিচালনা করে। আপনার অ্যাক্সেস পয়েন্টগুলো কোনো অন-প্রেমিসেস সার্ভারের পরিবর্তে ক্লাউড-হোস্টেড RADIUS এন্ডপয়েন্টের দিকে নির্দেশ করে। প্রমাণীকরণ অনুরোধগুলো ক্লাস্টার জুড়ে লোড-ব্যালেন্স করা হয় এবং ফেইলওভার স্বয়ংক্রিয় ও স্বচ্ছ হয়। প্রদানকারী প্যাচিং, ক্যাপাসিটি স্কেলিং এবং সার্টিফিকেট ম্যানেজমেন্ট পরিচালনা করে। নেটওয়ার্ক অপারেটর হিসেবে আপনার দৃষ্টিকোণ থেকে, RADIUS একটি পরিচালিত উপাদানের পরিবর্তে একটি ব্যবহৃত পরিষেবাতে (consumed service) পরিণত হয়। প্রমাণীকরণ প্রোটোকলগুলো নিজেদের পরিবর্তন করে না। আপনি আপনার ক্লায়েন্ট ডিভাইসের মিশ্রণের উপর ভিত্তি করে এখনও EAP-TLS, PEAP-MSCHAPv2, বা EAP-TTLS সহ 802.1X চালাচ্ছেন। পার্থক্যটি হলো RADIUS সার্ভারটি কোথায় থাকে এবং এর অপারেশনাল ধারাবাহিকতার জন্য কে দায়ী। এখানে একটি গুরুত্বপূর্ণ নিরাপত্তা বিবেচনা রয়েছে যা আমি সরাসরি উল্লেখ করতে চাই, কারণ এটি প্রায় প্রতিটি ক্লায়েন্ট আলোচনায় উঠে আসে। RADIUS ক্লাউডে স্থানান্তর করার অর্থ হলো আপনার প্রমাণীকরণ ট্রাফিক ক্লাউড RADIUS এন্ডপয়েন্টে পৌঁছানোর জন্য পাবলিক ইন্টারনেট অতিক্রম করছে। এটি দুটি প্রক্রিয়ার মাধ্যমে প্রশমিত করা হয়। প্রথমত, নেটওয়ার্ক অ্যাক্সেস সার্ভার এবং RADIUS সার্ভারের মধ্যকার RADIUS ট্রাফিক একটি শেয়ার্ড সিক্রেট এবং MD5-ভিত্তিক মেসেজ প্রমাণীকরণ ব্যবহার করে সুরক্ষিত থাকে। দ্বিতীয়ত, এবং আধুনিক স্থাপনার জন্য আরও গুরুত্বপূর্ণভাবে, আপনার RadSec চালানো উচিত - TLS এর ওপর RADIUS, যা RFC 6614-এ সংজ্ঞায়িত - যা সম্পূর্ণ RADIUS কথোপকথনকে একটি TLS টানেলে মোড়ানো থাকে। এটি আপনাকে HTTPS-এর সমতুল্য ট্রান্সপোর্ট-লেয়ার এনক্রিপশন দেয়, MD5 দুর্বলতা দূর করে এবং NAS ও RADIUS সার্ভারের মধ্যে পারস্পরিক প্রমাণীকরণ প্রদান করে। বিবেচনার যোগ্য যেকোনো ক্লাউড RADIUS প্রদানকারীর স্ট্যান্ডার্ড হিসেবে RadSec সমর্থন করা উচিত। আইডেন্টিটি ইন্টিগ্রেশনের ক্ষেত্রে, ক্লাউড RADIUS পরিষেবাগুলো সাধারণত আপনার অন-প্রেমিসেস অ্যাক্টিভ ডিরেক্টরিতে LDAP এবং LDAPS সংযোগ, অথবা SAML বা SCIM-এর মাধ্যমে Azure Active Directory এবং Microsoft Entra ID-এর সাথে নেটিভ ইন্টিগ্রেশন সমর্থন করে। এর অর্থ হলো আপনার ব্যবহারকারী ডিরেক্টরি স্থানান্তরিত করার প্রয়োজন নেই - ক্লাউড RADIUS পরিষেবা আপনার বিদ্যমান আইডেন্টিটি স্টোরকে কোয়েরি করে, আপনার বিদ্যমান ব্যবহারকারী লাইফসাইকেল ম্যানেজমেন্ট প্রক্রিয়াগুলো বজায় রাখে। কমপ্লায়েন্স সম্পর্কে সচেতন সংস্থাগুলির জন্য - এবং এর মধ্যে এমন যে কেউ অন্তর্ভুক্ত যারা PCI-DSS-এর অধীনে পেমেন্ট কার্ড ডেটা বা GDPR-এর অধীনে ব্যক্তিগত ডেটা পরিচালনা করেন - ক্লাউড RADIUS প্রদানকারী যেগুলি SOC 2 Type II সার্টিফাইড এবং ISO 27001 স্বীকৃত, তারা স্ব-পরিচালিত NPS পরিকাঠামোর চেয়ে অনেক শক্তিশালী কমপ্লায়েন্স কাঠামো প্রদান করে। --- সেগমেন্ট ৩: বাস্তবায়নের সুপারিশ এবং সম্ভাব্য সমস্যাসমূহ ঠিক আছে, আসুন কথা বলি কীভাবে আপনি আপনার প্রমাণীকরণ (authentication) পরিকাঠামো অফলাইনে না নিয়ে এই মাইগ্রেশনটি আসলে সম্পাদন করবেন। আমি যে পদ্ধতির সুপারিশ করি তা হলো একটি পাঁচ-ধাপের প্রক্রিয়া। প্রথম ধাপ হলো অডিট এবং ইনভেন্টরি। প্রতিটি RADIUS ক্লায়েন্ট - প্রতিটি অ্যাক্সেস পয়েন্ট, প্রতিটি সুইচ, প্রতিটি VPN কনসেন্ট্রেটর - এর বর্তমান শেয়ার্ড সিক্রেট, এটি যে EAP পদ্ধতি ব্যবহার করছে এবং আপনার NPS পলিসিগুলিতে থাকা যেকোনো ভেন্ডর-নির্দিষ্ট অ্যাট্রিবিউটসহ নথিভুক্ত করুন। এটি একটি সাধারণ কাজ মনে হতে পারে, তবে এটি বাদ দেওয়া হলো মাইগ্রেশন ব্যর্থতার এক নম্বর কারণ। দ্বিতীয় ধাপ হলো পাইলট ডেপ্লয়মেন্ট। আপনার ক্লাউড RADIUS ইনস্ট্যান্স চালু করুন এবং একটি নন-প্রোডাকশন SSID বা একটি একক টেস্ট সাইটকে এটির দিকে নির্দেশ করুন। আপনার EAP পদ্ধতিটি শুরু থেকে শেষ পর্যন্ত কাজ করছে কিনা, আপনার আইডেন্টিটি ইন্টিগ্রেশন কাজ করছে কিনা এবং আপনার অ্যাকাউন্টিং ডেটা সঠিকভাবে প্রবাহিত হচ্ছে কিনা তা যাচাই করুন। তৃতীয় ধাপ হলো সমান্তরালভাবে চালানো (parallel running)। এটি অত্যন্ত গুরুত্বপূর্ণ ঝুঁকি হ্রাসের পদক্ষেপ। আপনার অ্যাক্সেস পয়েন্টগুলিকে অন-প্রিমিসেস NPS সার্ভার এবং ক্লাউড RADIUS সার্ভার উভয়ের সাথেই প্রমাণীকরণ টার্গেট হিসেবে কনফিগার করুন, যেখানে ক্লাউড সার্ভিস থাকবে প্রাইমারি এবং NPS থাকবে ফলব্যাক হিসেবে। একটি সম্পূর্ণ ব্যবসায়িক চক্র জুড়ে ন্যূনতম দুই সপ্তাহের জন্য এই কনফিগারেশনে চালান। প্রমাণীকরণের সাফল্যের হার, লেটেন্সি এবং যেকোনো পলিসিগত অসঙ্গতি পর্যবেক্ষণ করুন। চতুর্থ ধাপ হলো কাটওভার। NPS ফলব্যাক কনফিগারেশনটি সরিয়ে ফেলুন এবং আপনার একমাত্র প্রমাণীকরণ পরিকাঠামো হিসাবে ক্লাউড RADIUS-কে নিশ্চিত করুন। এটি একটি পরিকল্পিত রক্ষণাবেক্ষণের সময়ে (maintenance window) করুন এবং একটি রোলব্যাক প্রক্রিয়া নথিভুক্ত ও পরীক্ষা করে রাখুন। পঞ্চম ধাপ হলো ডিকমিশন। কাটওভারের পর ত্রিশ দিন ধরে স্থিতিশীল অপারেশন যাচাই করার পরে, NPS সার্ভারগুলি ডিকমিশন করুন এবং হার্ডওয়্যার বা ভার্চুয়াল মেশিন রিসোর্সগুলি পুনরুদ্ধার করুন। আমি প্রায়শই যে সমস্যাগুলি দেখি সেগুলি হলো: সার্টিফিকেট ট্রাস্ট চেইনের সমস্যা - বিশেষ করে, ক্লায়েন্ট ডিভাইসগুলি ক্লাউড RADIUS সার্ভারের সার্টিফিকেট বিশ্বাস করে না কারণ CA তাদের ট্রাস্টেড স্টোরে নেই। কাটওভারের আগে আপনার MDM বা গ্রুপ পলিসির মাধ্যমে এটি সমাধান করুন। দ্বিতীয় সাধারণ সমস্যাটি হলো ফায়ারওয়াল নিয়ম। ক্লাউড RADIUS-এর জন্য আপনার অ্যাক্সেস পয়েন্ট থেকে ক্লাউড এন্ডপয়েন্টগুলিতে আউটবাউন্ড UDP 1812 এবং 1813 প্রয়োজন, অথবা RadSec-এর জন্য TCP 2083 প্রয়োজন। আপনার নেটওয়ার্ক পেরিমিটার যাতে এই ট্রাফিকটি অনুমতি দেয় তা নিশ্চিত করুন। তৃতীয়: শেয়ার্ড সিক্রেটের জটিলতা। যদি আপনার বিদ্যমান NPS শেয়ার্ড সিক্রেটগুলি দুর্বল হয়, তবে ক্রিপ্টোগ্রাফিকভাবে শক্তিশালী সিক্রেটে রোটেট করার জন্য এই মাইগ্রেশনটিকে একটি সুযোগ হিসাবে ব্যবহার করুন, অথবা আরও ভালো হয়, RadSec-এ চলে যান এবং শেয়ার্ড সিক্রেট সম্পূর্ণরূপে বাদ দিন। --- সেগমেন্ট ৪: দ্রুত প্রশ্নোত্তর এই বিষয়ে আমি প্রায়শই যে প্রশ্নগুলি পাই সেগুলি সংক্ষেপে দেখে নেওয়া যাক। আমরা কি Active Directory অন-প্রিমিসেস রাখতে পারি? হ্যাঁ, অবশ্যই। ক্লাউড RADIUS আপনার অন-প্রিমিসেস AD-এর সাথে LDAPS-এর মাধ্যমে সংযুক্ত হয়। আপনার ডিরেক্টরি যেখানে আছে সেখানেই থাকবে। যদি আমাদের ইন্টারনেট সংযোগ বিচ্ছিন্ন হয়ে যায় তবে কী হবে? এটি একটি গুরুত্বপূর্ণ নির্ভরতার পরিবর্তন। ক্লাউড RADIUS-এর সাথে, প্রমাণীকরণের (authentication) জন্য ইন্টারনেট সংযোগ একটি নির্ভরতা হয়ে ওঠে। বিভ্রাটের সময় পরিচিত ডিভাইসগুলির জন্য প্রমাণীকরণ ক্যাশ করে এমন রিডান্ড্যান্ট WAN লিঙ্ক বা একটি স্থানীয় RADIUS প্রক্সি ব্যবহার করে এটি প্রশমিত করুন। এটি কি আমাদের PCI-DSS সম্মতিকে প্রভাবিত করে? একটি প্রত্যয়িত ক্লাউড RADIUS প্রদানকারীতে স্থানান্তরিত হওয়া সাধারণত আপনার সম্মতির অবস্থানকে উন্নত করে। নিশ্চিত করুন যে আপনার প্রদানকারী SOC 2 Type II রিপোর্ট সরবরাহ করতে পারে এবং এটি আপনার বার্ষিক QSA মূল্যায়ন পরিধির অন্তর্ভুক্ত রয়েছে। একটি সম্পূর্ণ মাইগ্রেশন করতে কত সময় লাগে? একটি একক সাইটের জন্য, দুই থেকে চার সপ্তাহ। পঞ্চাশ বা তার বেশি লোকেশনের মাল্টি-সাইটের জন্য, একটি পর্যায়ভিত্তিক রোলআউট সহ তিন থেকে ছয় মাসের পরিকল্পনা করুন। - - - সেগমেন্ট ৫: সারসংক্ষেপ এবং পরবর্তী পদক্ষেপসমূহ সংক্ষেপে বলতে গেলে: অন-প্রেমিসেস NPS থেকে RADIUS-as-a-Service-এ স্থানান্তরিত হওয়ার বিষয়টি অপারেশনাল, আর্থিক এবং সম্মতির দিক থেকে অত্যন্ত জোরালো। একটি কাঠামোগত সমান্তরাল-চলমান পর্বের সাথে সম্পাদিত হলে মাইগ্রেশন নিজেই কম ঝুঁকিপূর্ণ হয়। মূল প্রযুক্তিগত সিদ্ধান্তগুলি হল আপনার EAP পদ্ধতি নির্বাচন, আপনার পরিচয় একীকরণ পদ্ধতি এবং ট্রান্সপোর্ট সুরক্ষার জন্য RadSec বাস্তবায়ন করবেন কিনা - যা আমি যেকোনো নতুন স্থাপনার জন্য জোরালোভাবে সুপারিশ করব। আপনার তাত্ক্ষণিক পরবর্তী পদক্ষেপসমূহ: আপনার বর্তমান RADIUS ক্লায়েন্ট এবং নীতিগুলির অডিট পরিচালনা করুন, একটি পাইলট পরিবেশের জন্য আপনার ক্লাউড RADIUS প্রদানকারীকে নিযুক্ত করুন এবং শুরু করার আগে আপনার ফায়ারওয়াল নিয়ম এবং সার্টিফিকেট ট্রাস্ট চেইনগুলি পর্যালোচনা করুন। Purple WiFi-এর গেস্ট অ্যাক্সেস প্ল্যাটফর্ম ব্যবহারকারী সংস্থাগুলির জন্য, RADIUS-as-a-Service সক্ষমতা সরাসরি গেস্ট WiFi প্রমাণীকরণ প্রবাহের সাথে একীভূত হয়, যা আপনাকে কর্পোরেট 802.1X প্রমাণীকরণ এবং গেস্ট নেটওয়ার্ক অ্যাক্সেস ম্যানেজমেন্ট উভয়ের জন্যই একটি একক নিয়ন্ত্রণ প্লেন প্রদান করে - যার সাথে অ্যানালিটিক্স এবং সম্মতি রিপোর্টিং বিল্ট-ইন থাকে। শোনার জন্য ধন্যবাদ। সম্পূর্ণ প্রযুক্তিগত নির্দেশিকা গাইডটি Purple ওয়েবসাইটে উপলব্ধ রয়েছে এবং আপনি যদি এগিয়ে যেতে প্রস্তুত হন তবে একটি স্কোপিং আলোচনার জন্য আমাদের সলিউশন টিম উপলব্ধ রয়েছে। - - - স্ক্রিপ্ট সমাপ্ত