On-Premises RADIUS (NPS) থেকে RADIUS as a Service-এ মাইগ্রেশন

PODCAST SCRIPT: Migrating from On-Premises RADIUS (NPS) to RADIUS as a Service Duration: ~10 minutes | Voice: UK English, Male, Senior Consultant tone --- SEGMENT 1: INTRODUCTION AND CONTEXT Purple WiFi-এর টেকনিক্যাল ব্রিফিং সিরিজে আপনাকে স্বাগতম। আজ আমরা এমন একটি মাইগ্রেশন নিয়ে আলোচনা করছি যা বর্তমানে উল্লেখযোগ্য সংখ্যক এন্টারপ্রাইজ আইটি টিমের রোডম্যাপে রয়েছে: অন-প্রিমিসেস RADIUS — বিশেষ করে Microsoft-এর Network Policy Server — থেকে একটি ক্লাউড-হোস্টেড RADIUS as a Service মডেলে স্থানান্তরিত হওয়া। আপনি যদি কোনো হোটেল গ্রুপ, রিটেইল এস্টেট, স্টেডিয়াম বা পাবলিক-সেক্টর ক্যাম্পাস জুড়ে WiFi অথেন্টিকেশন পরিচালনা করেন, তবে এটি সরাসরি আপনার জন্য প্রাসঙ্গিক। অন-প্রিমিসেস NPS মডেলটি প্রায় দুই দশক ধরে আমাদের ভালো সেবা দিয়েছে, কিন্তু অপারেশনাল ওভারহেড, একক পয়েন্ট অফ ফেইলিওরের ঝুঁকি এবং স্কেলিং সীমাবদ্ধতাগুলি সমর্থন করা ক্রমশ কঠিন হয়ে উঠছে — বিশেষ করে যখন ক্লাউড-নেটিভ বিকল্পগুলি এখন মালিকানার মোট খরচের একটি ভগ্নাংশে এন্টারপ্রাইজ-গ্রেড নির্ভরযোগ্যতা প্রদান করে। পরবর্তী দশ মিনিটে, আমরা উভয় পদ্ধতির প্রযুক্তিগত আর্কিটেকচার কভার করব, একটি কাঠামোগত মাইগ্রেশন পদ্ধতির মধ্য দিয়ে যাব, দুটি বাস্তব-জগতের বাস্তবায়ন পরিস্থিতি দেখব এবং আত্মবিশ্বাসের সাথে এই সিদ্ধান্ত নেওয়ার জন্য প্রয়োজনীয় মূল সিদ্ধান্ত ফ্রেমওয়ার্কগুলির মাধ্যমে শেষ করব। চলুন শুরু করা যাক। --- SEGMENT 2: TECHNICAL DEEP-DIVE প্রথমে, আসুন নিশ্চিত করি যে আপনার নেটওয়ার্ক স্ট্যাকে RADIUS আসলে কী কাজ করে সে সম্পর্কে আমরা একমত। RADIUS — Remote Authentication Dial-In User Service — হলো RFC 2865-এ সংজ্ঞায়িত প্রোটোকল যা নেটওয়ার্ক অ্যাক্সেসের জন্য অথেন্টিকেশন, অথরাইজেশন এবং অ্যাকাউন্টিং পরিচালনা করে। WiFi-এর প্রসঙ্গে, এটি IEEE 802.1X পোর্ট-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণের মেরুদণ্ড। যখন একটি ডিভাইস WPA2-Enterprise বা WPA3-Enterprise SSID-এর সাথে সংযোগ করে, তখন অ্যাক্সেস পয়েন্টটি একটি RADIUS ক্লায়েন্ট — যাকে আমরা Network Access Server বলি — হিসাবে কাজ করে এবং অথেন্টিকেশন অনুরোধটি RADIUS সার্ভারে ফরোয়ার্ড করে। সার্ভার ক্রেডেনশিয়ালগুলি যাচাই করে, সাধারণত Active Directory বা একটি LDAP ডিরেক্টরির বিপরীতে, এবং একটি Access-Accept বা Access-Reject প্রতিক্রিয়া প্রদান করে। এটিই মৌলিক প্রবাহ। এখন, অন-প্রিমিসেস NPS মডেলে — Network Policy Server হলো Windows Server-এর সাথে বান্ডেল করা Microsoft-এর RADIUS বাস্তবায়ন — আপনি আপনার মালিকানাধীন হার্ডওয়্যারে, একটি ডেটা সেন্টার বা সার্ভার রুমে সেই অথেন্টিকেশন লজিক চালাচ্ছেন যা আপনি রক্ষণাবেক্ষণ করেন। NPS সার্ভার আপনার নেটওয়ার্ক পলিসি, EAP-TLS বা PEAP-MSCHAPv2-এর জন্য আপনার সার্টিফিকেট ইনফ্রাস্ট্রাকচার এবং আপনার সংযোগ অনুরোধের পলিসিগুলি ধারণ করে। এটি কাজ করে। এটি পরিপক্ক। কিন্তু এটি এমন কিছু অপারেশনাল বাস্তবতার সাথে আসে যা সময়ের সাথে সাথে জটিল হয়ে ওঠে। প্রথমটি হলো হার্ডওয়্যার নির্ভরতা। আপনার NPS সার্ভার হলো একটি ফিজিক্যাল বা ভার্চুয়াল মেশিন যার প্যাচিং, ক্যাপাসিটি প্ল্যানিং এবং শেষ পর্যন্ত হার্ডওয়্যার রিফ্রেশের প্রয়োজন হয়। একটি মাল্টি-সাইট ডিপ্লয়মেন্টে — ধরা যাক, যুক্তরাজ্য জুড়ে প্রোপার্টি সহ একটি হোটেল গ্রুপ — আপনি হয় WAN নির্ভরতা সহ একটি সেন্ট্রালাইজড NPS চালাচ্ছেন, অথবা আপনি প্রতিটি সাইটে NPS ইনস্ট্যান্স স্থাপন করছেন এবং সেগুলি আলাদাভাবে পরিচালনা করছেন। কোনোটিই মার্জিত নয়। দ্বিতীয়টি হলো প্রাপ্যতা। একটি একক NPS ইনস্ট্যান্স আপনার সম্পূর্ণ অথেন্টিকেশন ইনফ্রাস্ট্রাকচারের জন্য একটি একক পয়েন্ট অফ ফেইলিওর। হ্যাঁ, আপনি একটি ফেইলওভার পেয়ারে NPS স্থাপন করতে পারেন, তবে এটি আপনার হার্ডওয়্যার এবং লাইসেন্সিং ওভারহেড দ্বিগুণ করে এবং এটি এখনও আপনাকে সেই জিওগ্রাফিক রিডান্ডেন্সি দেয় না যা একটি ক্লাউড পরিষেবা নেটিভভাবে প্রদান করে। তৃতীয়টি হলো স্কেলিবিলিটি। NPS কর্পোরেট LAN এনভায়রনমেন্টের জন্য ডিজাইন করা হয়েছিল। যখন আপনি একটি স্টেডিয়াম ইভেন্ট বা একটি কনফারেন্স সেন্টারের পিক টাইমে হাজার হাজার সমসাময়িক অথেন্টিকেশন অনুরোধ পরিচালনা করছেন, তখন একটি একক NPS ইনস্ট্যান্সের থ্রুপুট সীমাবদ্ধতাগুলি খুব স্পষ্ট হয়ে ওঠে। অথেন্টিকেশন ল্যাটেন্সি বৃদ্ধি পায় এবং ব্যবহারকারীরা ঠিক সেই মুহূর্তে সংযোগ ব্যর্থতার সম্মুখীন হন যখন আপনি এটি একেবারেই সহ্য করতে পারেন না। RADIUS as a Service আর্কিটেকচারালভাবে এই তিনটি সীমাবদ্ধতারই সমাধান করে। ক্লাউড RADIUS প্রদানকারী RADIUS সার্ভারগুলির একটি বিতরণকৃত, জিও-রিডান্ডেন্ট ক্লাস্টার চালায়। আপনার অ্যাক্সেস পয়েন্টগুলি অন-প্রিমিসেস সার্ভারের পরিবর্তে ক্লাউড-হোস্টেড RADIUS এন্ডপয়েন্টগুলিকে নির্দেশ করে। অথেন্টিকেশন অনুরোধগুলি ক্লাস্টার জুড়ে লোড-ব্যালেন্স করা হয় এবং ফেইলওভার স্বয়ংক্রিয় ও স্বচ্ছ হয়। প্রদানকারী প্যাচিং, ক্যাপাসিটি স্কেলিং এবং সার্টিফিকেট ম্যানেজমেন্ট পরিচালনা করে। নেটওয়ার্ক অপারেটর হিসাবে আপনার দৃষ্টিকোণ থেকে, RADIUS একটি পরিচালিত উপাদানের পরিবর্তে একটি ব্যবহৃত পরিষেবাতে পরিণত হয়। অথেন্টিকেশন প্রোটোকলগুলি নিজেরা পরিবর্তিত হয় না। আপনি এখনও আপনার ক্লায়েন্ট ডিভাইসের মিশ্রণের উপর নির্ভর করে EAP-TLS, PEAP-MSCHAPv2, বা EAP-TTLS সহ IEEE 802.1X চালাচ্ছেন। পার্থক্য হলো RADIUS সার্ভারটি কোথায় থাকে এবং এর অপারেশনাল ধারাবাহিকতার জন্য কে দায়ী। এখানে একটি গুরুত্বপূর্ণ নিরাপত্তা বিবেচনা রয়েছে যা আমি সরাসরি সমাধান করতে চাই, কারণ এটি প্রায় প্রতিটি ক্লায়েন্ট আলোচনায় উঠে আসে। RADIUS-কে ক্লাউডে স্থানান্তরিত করার অর্থ হলো আপনার অথেন্টিকেশন ট্রাফিক ক্লাউড RADIUS এন্ডপয়েন্টে পৌঁছানোর জন্য পাবলিক ইন্টারনেট অতিক্রম করছে। এটি দুটি প্রক্রিয়ার মাধ্যমে প্রশমিত করা হয়। প্রথমত, Network Access Server এবং RADIUS সার্ভারের মধ্যে RADIUS ট্রাফিক একটি শেয়ার্ড সিক্রেট এবং MD5-ভিত্তিক মেসেজ অথেন্টিকেশন ব্যবহার করে সুরক্ষিত থাকে। দ্বিতীয়ত, এবং আধুনিক ডিপ্লয়মেন্টের জন্য আরও গুরুত্বপূর্ণভাবে, আপনার RadSec — RADIUS over TLS, যা RFC 6614-এ সংজ্ঞায়িত — চালানো উচিত, যা সম্পূর্ণ RADIUS কথোপকথনকে একটি TLS টানেলে আবৃত করে। এটি আপনাকে HTTPS-এর সমতুল্য ট্রান্সপোর্ট-লেয়ার এনক্রিপশন দেয়, MD5 দুর্বলতা দূর করে এবং NAS ও RADIUS সার্ভারের মধ্যে মিউচুয়াল অথেন্টিকেশন প্রদান করে। যেকোনো বিবেচনাযোগ্য ক্লাউড RADIUS প্রদানকারীর স্ট্যান্ডার্ড হিসেবে RadSec সমর্থন করা উচিত। আইডেন্টিটি ইন্টিগ্রেশনের দিকে, ক্লাউড RADIUS পরিষেবাগুলি সাধারণত আপনার অন-প্রিমিসেস Active Directory-তে ফিরে যাওয়ার জন্য LDAP এবং LDAPS সংযোগ সমর্থন করে, অথবা SAML বা SCIM-এর মাধ্যমে Azure Active Directory এবং Entra ID-এর সাথে নেটিভ ইন্টিগ্রেশন সমর্থন করে। এর অর্থ হলো আপনার ব্যবহারকারী ডিরেক্টরি মাইগ্রেট করার প্রয়োজন নেই — ক্লাউড RADIUS পরিষেবা আপনার বিদ্যমান আইডেন্টিটি স্টোরকে কোয়েরি করে, আপনার বিদ্যমান ব্যবহারকারী লাইফসাইকেল ম্যানেজমেন্ট প্রক্রিয়াগুলি বজায় রাখে। কমপ্লায়েন্স-সচেতন সংস্থাগুলির জন্য — এবং এর মধ্যে PCI DSS-এর অধীনে পেমেন্ট কার্ড ডেটা বা GDPR-এর অধীনে ব্যক্তিগত ডেটা পরিচালনাকারী যে কেউ অন্তর্ভুক্ত — ক্লাউড RADIUS প্রদানকারী যারা SOC 2 Type II প্রত্যয়িত এবং ISO 27001 স্বীকৃত তারা স্ব-পরিচালিত NPS ইনফ্রাস্ট্রাকচারের চেয়ে শক্তিশালী কমপ্লায়েন্স পোস্টার প্রদান করে। --- SEGMENT 3: IMPLEMENTATION RECOMMENDATIONS AND PITFALLS ঠিক আছে, আসুন কথা বলি কীভাবে আপনি আপনার অথেন্টিকেশন ইনফ্রাস্ট্রাকচার অফলাইনে না নিয়েই এই মাইগ্রেশনটি কার্যকর করবেন। আমি যে পদ্ধতির সুপারিশ করি তা হলো একটি পাঁচ-পর্যায়ের পদ্ধতি। প্রথম পর্যায় হলো অডিট এবং ইনভেন্টরি। প্রতিটি RADIUS ক্লায়েন্ট — প্রতিটি অ্যাক্সেস পয়েন্ট, প্রতিটি সুইচ, প্রতিটি VPN কনসেনট্রেটর — এর বর্তমান শেয়ার্ড সিক্রেট, এটি যে EAP পদ্ধতি ব্যবহার করছে এবং আপনার NPS পলিসির যেকোনো ভেন্ডর-নির্দিষ্ট বৈশিষ্ট্য সহ নথিভুক্ত করুন। এটি একটি নিরানন্দ কাজ, কিন্তু এটি এড়িয়ে যাওয়া মাইগ্রেশন ব্যর্থতার এক নম্বর কারণ। দ্বিতীয় পর্যায় হলো পাইলট ডিপ্লয়মেন্ট। আপনার ক্লাউড RADIUS ইনস্ট্যান্স চালু করুন এবং একটি নন-প্রোডাকশন SSID বা একটি একক টেস্ট সাইটকে এটির দিকে নির্দেশ করুন। যাচাই করুন যে আপনার EAP পদ্ধতি এন্ড-টু-এন্ড কাজ করছে, আপনার আইডেন্টিটি ইন্টিগ্রেশন কাজ করছে এবং আপনার অ্যাকাউন্টিং ডেটা সঠিকভাবে প্রবাহিত হচ্ছে। তৃতীয় পর্যায় হলো সমান্তরালভাবে চালানো। এটি অত্যন্ত গুরুত্বপূর্ণ ঝুঁকি প্রশমন পদক্ষেপ। আপনার অ্যাক্সেস পয়েন্টগুলিকে অন-প্রিমিসেস NPS সার্ভার এবং ক্লাউড RADIUS সার্ভার উভয়কেই অথেন্টিকেশন টার্গেট হিসাবে কনফিগার করুন, যেখানে ক্লাউড পরিষেবা প্রাথমিক এবং NPS ফলব্যাক হিসাবে থাকবে। একটি সম্পূর্ণ ব্যবসায়িক চক্র জুড়ে ন্যূনতম দুই সপ্তাহের জন্য এই কনফিগারেশনে চালান। অথেন্টিকেশন সাফল্যের হার, ল্যাটেন্সি এবং যেকোনো পলিসির অসঙ্গতি পর্যবেক্ষণ করুন। চতুর্থ পর্যায় হলো কাটওভার। NPS ফলব্যাক কনফিগারেশনটি সরিয়ে ফেলুন এবং আপনার একমাত্র অথেন্টিকেশন ইনফ্রাস্ট্রাকচার হিসাবে ক্লাউড RADIUS-কে নির্ধারণ করুন। একটি পরিকল্পিত রক্ষণাবেক্ষণ উইন্ডো চলাকালীন এটি করুন এবং একটি রোলব্যাক পদ্ধতি নথিভুক্ত ও পরীক্ষা করে রাখুন। পঞ্চম পর্যায় হলো নিষ্ক্রিয় করা। কাটওভারের ত্রিশ দিন পর স্থিতিশীল অপারেশন যাচাই করার পর, NPS সার্ভারগুলি নিষ্ক্রিয় করুন এবং হার্ডওয়্যার বা ভার্চুয়াল মেশিন রিসোর্সগুলি পুনরুদ্ধার করুন। আমি যে ত্রুটিগুলি প্রায়শই দেখি সেগুলি হলো: সার্টিফিকেট ট্রাস্ট চেইন সমস্যা — বিশেষ করে, ক্লায়েন্ট ডিভাইসগুলি যা ক্লাউড RADIUS সার্ভারের সার্টিফিকেটকে বিশ্বাস করে না কারণ CA তাদের ট্রাস্টেড স্টোরে নেই। কাটওভারের আগে আপনার MDM বা Group Policy-র মাধ্যমে এটি সমাধান করুন। দ্বিতীয় সাধারণ ত্রুটি হলো ফায়ারওয়াল নিয়ম। ক্লাউড RADIUS-এর জন্য আপনার অ্যাক্সেস পয়েন্ট থেকে ক্লাউড এন্ডপয়েন্টে আউটবাউন্ড UDP ১৮১২ এবং ১৮১৩ প্রয়োজন, অথবা RadSec-এর জন্য TCP ২০৮৩ প্রয়োজন। আপনার নেটওয়ার্ক পেরিমিটার যাতে এই ট্রাফিকের অনুমতি দেয় তা নিশ্চিত করুন। তৃতীয়: শেয়ার্ড সিক্রেট জটিলতা। যদি আপনার বিদ্যমান NPS শেয়ার্ড সিক্রেটগুলি দুর্বল হয়, তবে মাইগ্রেশনের সুযোগটি ব্যবহার করে ক্রিপ্টোগ্রাফিকভাবে শক্তিশালী সিক্রেটে রোটেট করুন, অথবা আরও ভালো হয়, RadSec-এ চলে যান এবং শেয়ার্ড সিক্রেটগুলি সম্পূর্ণরূপে দূর করুন। --- SEGMENT 4: RAPID-FIRE Q&A এই বিষয়ে আমি প্রায়শই যে প্রশ্নগুলি পাই সেগুলি সংক্ষেপে দেখে নেওয়া যাক। আমরা কি Active Directory অন-প্রিমিসেস রাখতে পারি? হ্যাঁ, অবশ্যই। ক্লাউড RADIUS LDAPS-এর মাধ্যমে আপনার অন-প্রিমিসেস AD-র সাথে সংযোগ করে। আপনার ডিরেক্টরি যেখানে আছে সেখানেই থাকবে। আমাদের ইন্টারনেট সংযোগ বিচ্ছিন্ন হলে কী হবে? এটিই মূল নির্ভরতা পরিবর্তন। ক্লাউড RADIUS-এর সাথে, ইন্টারনেট সংযোগ অথেন্টিকেশনের জন্য একটি নির্ভরতা হয়ে ওঠে। রিডান্ডেন্ট WAN লিঙ্ক বা একটি স্থানীয় RADIUS প্রক্সির মাধ্যমে এটি প্রশমিত করুন যা বিভ্রাটের সময় পরিচিত ডিভাইসগুলির জন্য অথেন্টিকেশন ক্যাশ করে। এটি কি আমাদের PCI DSS কমপ্লায়েন্সকে প্রভাবিত করে? একটি প্রত্যয়িত ক্লাউড RADIUS প্রদানকারীতে স্থানান্তরিত হওয়া সাধারণত আপনার কমপ্লায়েন্স পোস্টারকে উন্নত করে। নিশ্চিত করুন যে আপনার প্রদানকারী SOC 2 Type II রিপোর্ট সরবরাহ করতে পারে এবং এটি আপনার বার্ষিক QSA মূল্যায়ন স্কোপের অন্তর্ভুক্ত। একটি সম্পূর্ণ মাইগ্রেশনে কত সময় লাগে? একটি একক সাইটের জন্য, দুই থেকে চার সপ্তাহ। পঞ্চাশ বা তার বেশি অবস্থানের একটি মাল্টি-সাইট এস্টেটের জন্য, পর্যায়ক্রমিক রোলআউট সহ তিন থেকে ছয় মাসের পরিকল্পনা করুন। --- SEGMENT 5: SUMMARY AND NEXT STEPS উপসংহারে: অন-প্রিমিসেস NPS থেকে RADIUS as a Service-এ মাইগ্রেট করার বিষয়টি অপারেশনাল, আর্থিক এবং কমপ্লায়েন্সের দিক থেকে অত্যন্ত জোরালো। একটি কাঠামোগত সমান্তরাল-চলমান পর্যায়ের সাথে সম্পাদিত হলে মাইগ্রেশন নিজেই কম ঝুঁকিপূর্ণ। মূল প্রযুক্তিগত সিদ্ধান্তগুলি হলো আপনার EAP পদ্ধতি নির্বাচন, আপনার আইডেন্টিটি ইন্টিগ্রেশন পদ্ধতি এবং ট্রান্সপোর্ট সিকিউরিটির জন্য RadSec বাস্তবায়ন করবেন কিনা — যা আমি যেকোনো নতুন ডিপ্লয়মেন্টের জন্য দৃঢ়ভাবে সুপারিশ করব। আপনার তাৎক্ষণিক পরবর্তী পদক্ষেপ: আপনার বর্তমান RADIUS ক্লায়েন্ট এবং পলিসিগুলির অডিট পরিচালনা করুন, একটি পাইলট এনভায়রনমেন্টের জন্য আপনার ক্লাউড RADIUS প্রদানকারীকে যুক্ত করুন এবং শুরু করার আগে আপনার ফায়ারওয়াল নিয়ম এবং সার্টিফিকেট ট্রাস্ট চেইনগুলি পর্যালোচনা করুন। যেসব সংস্থা Purple WiFi-এর গেস্ট অ্যাক্সেস প্ল্যাটফর্ম চালাচ্ছে, তাদের জন্য RADIUS as a Service ক্ষমতা সরাসরি গেস্ট WiFi অথেন্টিকেশন ফ্লোর সাথে সংহত হয়, যা আপনাকে কর্পোরেট 802.1X অথেন্টিকেশন এবং গেস্ট নেটওয়ার্ক অ্যাক্সেস ম্যানেজমেন্ট উভয়ের জন্য একটি একক কন্ট্রোল প্লেন প্রদান করে — যার সাথে অ্যানালিটিক্স এবং কমপ্লায়েন্স রিপোর্টিং বিল্ট-ইন থাকে। শোনার জন্য ধন্যবাদ। সম্পূর্ণ টেকনিক্যাল রেফারেন্স গাইডটি Purple ওয়েবসাইটে উপলব্ধ রয়েছে এবং আপনি যদি এগিয়ে যেতে প্রস্তুত হন তবে আমাদের সলিউশন টিম একটি স্কোপিং আলোচনার জন্য প্রস্তুত রয়েছে। --- END OF SCRIPT