মূল কন্টেন্টে যান
বাংলা

Server RADIUS: ব্যবসার জন্য একটি বিস্তৃত নির্দেশিকা

এই নির্দেশিকাটি IT ম্যানেজার, নেটওয়ার্ক স্থপতি এবং CTO-দের এন্টারপ্রাইজ WiFi-এর জন্য server RADIUS প্রমাণীকরণ (authentication) সংক্রান্ত একটি সুনির্দিষ্ট প্রযুক্তিগত রেফারেন্স প্রদান করে। এতে AAA ফ্রেমওয়ার্ক, 802.1X আর্কিটেকচার, EAP পদ্ধতি নির্বাচন, ক্লাউড বনাম অন-প্রিমিসেস ডেপ্লয়মেন্টের সুবিধা-অসুবিধা এবং ডাইনামিক VLAN অ্যাসাইনমেন্ট অন্তর্ভুক্ত রয়েছে। আতিথেয়তা (hospitality), রিটেইল, ইভেন্ট এবং পাবলিক সেক্টর জুড়ে ভেন্যু অপারেটররা এখানে কার্যকরী বাস্তবায়ন নির্দেশিকা, বাস্তব-জগতের কেস স্টাডি এবং অনিরাপদ প্রি-শেয়ার্ড কি (PSK) থেকে একটি নিরাপদ, পরিচয়-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল আর্কিটেকচারে স্থানান্তরিত হওয়ার জন্য প্রয়োজনীয় সিদ্ধান্ত গ্রহণের ফ্রেমওয়ার্ক পাবেন।

📖 9 মিনিট পাঠ📝 2,075 শব্দ🔧 2 সমাধানকৃত উদাহরণ❓ 4 অনুশীলনী প্রশ্ন📚 10 মূল সংজ্ঞা

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
Purple-এর টেকনিক্যাল ব্রিফিং-এ আপনাকে স্বাগত। আমি আপনাদের হোস্ট, এবং আগামী দশ মিনিটে আমরা যেকোনো এন্টারপ্রাইজ IT টিমের জন্য সবচেয়ে গুরুত্বপূর্ণ পরিকাঠামোগত সিদ্ধান্তগুলোর একটি আলোচনা করতে যাচ্ছি: server RADIUS অথেন্টিকেশন। আপনি যদি কোনো হোটেল, রিটেইল চেইন, স্টেডিয়াম বা কনফারেন্স সেন্টারে Wi-Fi-এর জন্য দায়িত্বপ্রাপ্ত একজন IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট বা CTO হন, তবে এই ব্রিফিংটি আপনার জন্য। আমরা জটিল শব্দার্থ বাদ দিয়ে সহজ ভাষায় আর্কিটেকচারটি ব্যাখ্যা করব এবং এই ত্রৈমাসিকে সঠিক সিদ্ধান্ত নেওয়ার জন্য প্রয়োজনীয় বাস্তবসম্মত ধারণা প্রদান করব। চলুন মূল বিষয়টি দিয়ে শুরু করা যাক। কেন এটি এত গুরুত্বপূর্ণ? আপনি যদি এখনও আপনার গেস্ট বা স্টাফ Wi-Fi একটি একক শেয়ার করা পাসওয়ার্ড বা Pre-Shared Key-র মাধ্যমে পরিচালনা করে থাকেন, তবে আপনি একটি বড় এবং ক্রমবর্ধমান নিরাপত্তা ঝুঁকির মধ্যে কাজ করছেন। সেই পাসওয়ার্ডটি মানুষের মধ্যে শেয়ার হয়, রসিদে লেখা থাকে, হোয়াইটবোর্ডে ছবি তোলা হয় এবং মেসেজিং অ্যাপের মাধ্যমে ফরোয়ার্ড করা হয়। একবার এটি হাতছাড়া হয়ে গেলে, আপনার নেটওয়ার্কে কে আছে সে সম্পর্কে আপনার কোনো ধারণা থাকে না, সবাইকে বিরক্ত না করে কোনো একজন একক ব্যবহারকারীর অ্যাক্সেস বাতিল করার ক্ষমতা থাকে না এবং কোনো সমস্যা হলে কোনো অডিট ট্রেইলও থাকে না। PCI DSS, GDPR বা HIPAA-র আওতাভুক্ত প্রতিষ্ঠানগুলোর জন্য এটি কেবল একটি প্রযুক্তিগত সমস্যা নয়, এটি একটি কমপ্লায়েন্স সংক্রান্ত আইনি ঝুঁকিও বটে। server RADIUS হলো এমন একটি সমাধান যা এই সমস্যা সমাধানের জন্য পুরো ইন্ডাস্ট্রি গ্রহণ করেছে। সুতরাং, আসুন সঠিকভাবে জেনে নিই এটি কী এবং কীভাবে কাজ করে। RADIUS-এর পূর্ণরূপ হলো Remote Authentication Dial-In User Service। নামটি ডায়াল-আপ ইন্টারনেটের শুরুর দিনগুলোর একটি ঐতিহাসিক নিদর্শন, তবে এই প্রোটোকলটি এখন অনেক উন্নত হয়েছে এবং বর্তমানে এন্টারপ্রাইজ নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের মেরুদণ্ড হিসেবে কাজ করছে। সহজ কথায়, একটি server RADIUS হলো একটি কেন্দ্রীভূত সিস্টেম যা AAA নামক একটি ফ্রেমওয়ার্ক ব্যবহার করে নেটওয়ার্ক অ্যাক্সেস পরিচালনা করে: Authentication (অথেন্টিকেশন), Authorisation (অথরাইজেশন) এবং Accounting (অ্যাকাউন্টিং)। এই তিনটি স্তম্ভই হলো আজকের আলোচনার মূল ভিত্তি। অথেন্টিকেশন হলো প্রথম স্তম্ভ: কেউ কে তা যাচাই করা। অথরাইজেশন হলো দ্বিতীয় স্তম্ভ: তারা কী করার অনুমতি পাবে তা নির্ধারণ করা। এবং অ্যাকাউন্টিং হলো তৃতীয় স্তম্ভ: তারা আসলে কী করেছে তা রেকর্ড করা। আসুন প্রতিটি বিষয় বিস্তারিতভাবে জেনে নিই। অথেন্টিকেশন। যখন কোনো ব্যবহারকারী WPA2-Enterprise বা WPA3-Enterprise দ্বারা সুরক্ষিত একটি Wi-Fi নেটওয়ার্কে সংযোগ করার চেষ্টা করেন, তখন তাদের ডিভাইস (যাকে আমরা Supplicant বলি) ওয়্যারলেস অ্যাক্সেস পয়েন্টে একটি সংযোগের অনুরোধ পাঠায়। অ্যাক্সেস পয়েন্ট (যাকে আমরা Authenticator বলি) নিজে অথেন্টিকেশনের সিদ্ধান্ত নেয় না। এটি একটি রিলে হিসেবে কাজ করে, অনুরোধটি server RADIUS-এ ফরোয়ার্ড করে দেয়। এরপর সার্ভারটি একটি কনফিগার করা আইডেন্টিটি সোর্সের বিপরীতে ব্যবহারকারীর পরিচয় যাচাই করে। এটি Microsoft Entra ID, Okta, Google Workspace বা একটি লোকাল ইউজার ডাটাবেস হতে পারে। আপনার নেটওয়ার্কে কার প্রবেশের অনুমতি রয়েছে তার জন্য আইডেন্টিটি সোর্সটিই হলো একমাত্র নির্ভরযোগ্য উৎস। অথরাইজেশন (অনুমোদন)। ব্যবহারকারী প্রমাণীকৃত হওয়ার পর, RADIUS সার্ভার কেবল হ্যাঁ বলেই সরে দাঁড়ায় না। এটি অ্যাক্সেস পয়েন্টকে স্পষ্ট নির্দেশ দেয় এই ব্যবহারকারীর সাথে ঠিক কী করতে হবে। এটি একগুচ্ছ অ্যাট্রিবিউট বা বৈশিষ্ট্য পাঠায়, যা মূলত কিছু নির্দেশনাবলী, যা ব্যবহারকারীর নেটওয়ার্ক অভিজ্ঞতা নির্ধারণ করে। এর মধ্যে সবচেয়ে গুরুত্বপূর্ণ হলো সাধারণত VLAN অ্যাসাইনমেন্ট। RADIUS সার্ভার বলতে পারে: এই ব্যবহারকারী কর্পোরেট স্টাফ গ্রুপের সদস্য, তাদের VLAN টেন (১০)-এ যুক্ত করুন, যার মাধ্যমে অভ্যন্তরীণ ফাইল সার্ভার এবং প্রিন্টারে অ্যাক্সেস পাওয়া যায়। অথবা: এই ব্যবহারকারী একজন গেস্ট বা অতিথি, তাকে VLAN টুয়েন্টি (২০)-তে যুক্ত করুন, যেখানে কেবল ইন্টারনেট অ্যাক্সেস থাকবে এবং এটি কর্পোরেট নেটওয়ার্ক থেকে সম্পূর্ণ বিচ্ছিন্ন থাকবে। এই ডাইনামিক VLAN অ্যাসাইনমেন্ট হলো RADIUS সার্ভারের অন্যতম শক্তিশালী বৈশিষ্ট্য এবং এটি এমন একটি প্রক্রিয়া যা সঠিক নেটওয়ার্ক সেগমেন্টেশন বা বিভাজন সক্ষম করে। অ্যাকাউন্টিং। তৃতীয় স্তম্ভটি প্রায়শই উপেক্ষা করা হয়, তবে কমপ্লায়েন্স এবং অপারেশনের জন্য এটি অত্যন্ত গুরুত্বপূর্ণ। ব্যবহারকারীর সেশন যত চলতে থাকে, RADIUS সার্ভার প্রধান তথ্যগুলো লগ বা রেকর্ড করতে থাকে: তাদের সংযোগের সময়, সংযোগ বিচ্ছিন্ন করার সময়, মোট সেশনের সময়কাল, স্থানান্তরিত ডেটার পরিমাণ এবং তাদের ডিভাইসের MAC অ্যাড্রেস। এটি আপনার নেটওয়ার্কের প্রতিটি সংযোগের জন্য একটি বিস্তারিত অডিট ট্রেইল তৈরি করে। PCI DSS ভার্সন ৪-এর অধীনে, এই ধরনের লগিং ঐচ্ছিক নয়। এটি একটি কঠোর আবশ্যিকতা। এবং কোনো নিরাপত্তা সংক্রান্ত ঘটনা ঘটলে ফরেনসিক তদন্তের জন্য এই লগগুলো অমূল্য। এখন, আসুন সেই টেকনিক্যাল স্ট্যান্ডার্ড সম্পর্কে আলোচনা করি যা এই সমস্ত কাজকে সম্ভব করে তোলে: IEEE 802.1X। 802.1X হলো এমন একটি স্ট্যান্ডার্ড যা পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সংজ্ঞায়িত করে। এটি এমন একটি প্রোটোকল যা একটি অ্যাক্সেস পয়েন্টকে কোনো ডিভাইসের সমস্ত নেটওয়ার্ক ট্রাফিক ব্লক করার অনুমতি দেয় যতক্ষণ না RADIUS সার্ভার নিশ্চিত করে যে ডিভাইসটি অনুমোদিত। ব্যবহারকারীর ডিভাইস এবং অ্যাক্সেস পয়েন্টের মধ্যকার যোগাযোগে EAP (এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল) নামক একটি প্রোটোকল ব্যবহৃত হয়। EAP মূলত একটি ফ্রেমওয়ার্ক যা একাধিক প্রমাণীকরণ পদ্ধতি সমর্থন করে। এন্টারপ্রাইজ WiFi-এ তিনটি সবচেয়ে সাধারণ EAP পদ্ধতি হলো: PEAP, যার অর্থ প্রোটেক্টেড এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল; EAP-TTLS; এবং EAP-TLS। PEAP এবং EAP-TTLS হলো ক্রেডেনশিয়াল বা প্রমাণপত্র-ভিত্তিক পদ্ধতি। এগুলো ডিভাইস এবং RADIUS সার্ভারের মধ্যে একটি এনক্রিপ্টেড টানেল তৈরি করে এবং এরপর সেই টানেলের ভেতরে ব্যবহারকারীর ইউজারনেম ও পাসওয়ার্ড যাচাই করা হয়। এগুলো স্থাপন করা তুলনামূলকভাবে সহজ এবং এমন পরিবেশে ভালো কাজ করে যেখানে আপনি এখনও সম্পূর্ণ সার্টিফিকেট পরিকাঠামোর জন্য প্রস্তুত নন। EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড বা সেরা মানদণ্ড। এটি সার্টিফিকেট-ভিত্তিক, যার অর্থ সার্ভার এবং ক্লায়েন্ট ডিভাইস উভয়ই একে অপরকে প্রমাণীকৃত করার জন্য ডিজিটাল সার্টিফিকেট উপস্থাপন করে। এখানে কোনো পাসওয়ার্ডের প্রয়োজন হয় না। এটি ক্রেডেনশিয়াল চুরি, ফিশিং আক্রমণ এবং ম্যান-ইন-দ্য-মিডল আক্রমণের ঝুঁকি সম্পূর্ণভাবে দূর করে। কর্পোরেট ডিভাইসের জন্য, EAP-TLS হলো এমন একটি প্রমাণীকরণ পদ্ধতি যা বাস্তবায়নের জন্য আপনার কাজ করা উচিত। এখন ডেপ্লয়মেন্ট বা স্থাপন মডেল সম্পর্কে আলোচনা করা যাক। যখন RADIUS সার্ভারের বিষয় আসে, তখন আপনার কাছে দুটি প্রাথমিক বিকল্প থাকে: অন-প্রেমিসেস এবং ক্লাউড-হোস্টেড। FreeRADIUS বা Microsoft Network Policy Server-এর মতো প্ল্যাটফর্ম ব্যবহার করে অন-প্রেমিসেস (On-premises) RADIUS আপনাকে পরিকাঠামোর উপর সম্পূর্ণ নিয়ন্ত্রণ দেয়। স্টেডিয়াম বা হাসপাতালের মতো একটি একক বড় ভেন্যুর জন্য এটি সঠিক সিদ্ধান্ত হতে পারে। প্রমাণীকরণ (Authentication) অনুরোধগুলো স্থানীয় নেটওয়ার্কের মাধ্যমে যাতায়াত করে, যা আপনাকে সাব-মিলিসেকেন্ড রেসপন্স টাইম প্রদান করে। এবং যদি আপনার আইডেন্টিটি ডিরেক্টরিটি একটি অন-প্রেমিসেস Active Directory হয় যা কমপ্লায়েন্সের কারণে ইন্টারনেটে প্রকাশ করা যায় না, তবে অন-প্রেমিসেস সার্ভার RADIUS প্রায়শই আপনার একমাত্র কার্যকর বিকল্প। তবে, বহু-সাইট বিশিষ্ট সংস্থাগুলোর জন্য অন-প্রেমিসেস RADIUS উল্লেখযোগ্য অপারেশনাল ওভারহেড তৈরি করে। আপনাকে প্রতিটি লোকেশনে আলাদা সার্ভার ইনস্ট্যান্স পরিচালনা করতে হয়, ম্যানুয়ালি সার্টিফিকেট রিনিউয়াল করতে হয় এবং ভোর দুইটায় কোনো সমস্যা হলে তার পরিণতির মুখোমুখি হতে হয়। Cloud RADIUS এটিকে সম্পূর্ণভাবে পরিবর্তন করে। পরিকাঠামোটি বিশ্বব্যাপী একাধিক অ্যাভেইলেবিলিটি জোনে হোস্ট করা হয়। কোনো ব্যবহারকারী যখন কোনো ব্রাঞ্চ লোকেশন থেকে সংযোগ করেন, তখন অনুরোধটি নিকটতম ক্লাউড এজ নোডে পাঠানো হয়। হাই অ্যাভেইলেবিলিটি ডিফল্ট হিসেবে বিল্ট-ইন থাকে। এবং সার্টিফিকেট রোটেশন স্বয়ংক্রিয় হয়, যা অন-প্রেমিসেস ডেপ্লয়মেন্টে প্রমাণীকরণ বিভ্রাটের একমাত্র সাধারণ কারণটিকে দূর করে। Microsoft Entra ID, Okta বা Google Workspace-এর মতো ক্লাউড-নেটিভ আইডেন্টিটি প্রোভাইডার থাকা বহু-সাইট বিশিষ্ট সংস্থাগুলোর জন্য, Cloud RADIUS প্রায় সবসময়ই অপারেশনাল দিক থেকে সেরা পছন্দ। Purple-এর Cloud RADIUS সরাসরি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর সাথে একীভূত হয়। এর অর্থ হলো আপনি একটি অ্যাক্সেস পয়েন্টও প্রতিস্থাপন না করে আপনার সম্পূর্ণ হার্ডওয়্যার এস্টেট জুড়ে এটি ডেপ্লয় করতে পারেন। এটিকে আরও সুনির্দিষ্ট করতে আমাকে দুটি বাস্তব-জগতের পরিস্থিতি শেয়ার করতে দিন। প্রথমটি হলো একটি ইউরোপীয় হোটেল গ্রুপ যাদের ছয়টি দেশে ৪৫টি প্রপার্টি রয়েছে। আইটি টিম প্রতিটি প্রপার্টিতে ভার্চুয়াল মেশিনে FreeRADIUS চালাচ্ছিল, যা প্যাচ, মনিটর এবং রক্ষণাবেক্ষণ করার জন্য ৪৫টি আলাদা ইনস্ট্যান্স ছিল। যখন একটি প্রপার্টিতে সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়, তখন এটি একটি বড় কনফারেন্সের সময় সম্পূর্ণ গেস্ট WiFi বিভ্রাট সৃষ্টি করেছিল। তারা একটি Cloud RADIUS সার্ভিসে স্থানান্তরিত হয়, যা পলিসি ম্যানেজমেন্টকে কেন্দ্রীভূত করে এবং প্রতিটি সাইটের রক্ষণাবেক্ষণের প্রয়োজনীয়তা দূর করে। তিন-প্রকৌশলীর দলটি পূর্বে RADIUS রক্ষণাবেক্ষণে ব্যয় করা তাদের সময়ের প্রায় ৪০ শতাংশ পুনরুদ্ধার করতে সক্ষম হয়। দ্বিতীয় পরিস্থিতিটি হলো ৬৮,০০০ আসন বিশিষ্ট একটি জাতীয় ক্রীড়া স্টেডিয়াম। আইটি টিমের ডেটা সোভেরেনটি (সার্বভৌমত্ব) নিয়ে কঠোর প্রয়োজনীয়তা ছিল। সমস্ত প্রমাণীকরণ লগ অবশ্যই ইউকে (UK) ভূখণ্ডে থাকতে হবে। তারা অ্যাক্টিভ-অ্যাক্টিভ কনফিগারেশনে একটি ডুয়াল অন-প্রেমিসেস RADIUS ক্লাস্টার ডেপ্লয় করেছে, যার সাথে ২০ মাইল দূরে একটি কো-লোকেশন সুবিধায় একটি সেকেন্ডারি ক্লাস্টার ছিল। এটি তাদের স্থানীয় নিয়ন্ত্রণ, সাব-মিলিসেকেন্ড প্রমাণীকরণ এবং ইন্টারনেট সংযোগের উপর নির্ভর না করেই আকস্মিক ট্রাফিক (burst traffic) পরিচালনা করার ক্ষমতা প্রদান করেছে। এই দুটি দৃশ্যপট সিদ্ধান্তের রূপরেখাকে স্পষ্টভাবে ব্যাখ্যা করে। যখন আপনার একটি বিস্তৃত মাল্টি-সাইট ফুটপ্রিন্ট, ক্লাউড-নেটিভ আইডেন্টিটি প্রোভাইডার এবং একটি ছোট সেন্ট্রাল আইটি টিম থাকবে, তখন Cloud RADIUS বেছে নিন। আপনার যদি কঠোর ডেটা সার্বভৌমত্বের প্রয়োজনীয়তা সহ একটি একক বড় লোকেশন বা একটি এয়ার-গ্যাপড সিকিউরিটি এনভায়রনমেন্ট থাকে, তবে অন-প্রিমিসেস বেছে নিন। এবার কিছু দ্রুত প্রশ্নোত্তর যা আমরা সবচেয়ে বেশি শুনতে পাই। প্রথমত: একটি সার্ভার RADIUS এবং একটি Captive Portal-এর মধ্যে পার্থক্য কী? Captive Portal হলো লগইন পেজ যা অতিথিরা সংযোগ করার সময় দেখতে পান। এটি RADIUS-এর সাথে কাজ করে। পোর্টালটি হলো ইউজার ইন্টারফেস; সার্ভার RADIUS হলো ব্যাক-এন্ড ইঞ্জিন। দ্বিতীয়ত: আমি কি তারযুক্ত নেটওয়ার্কের জন্য RADIUS ব্যবহার করতে পারি? অবশ্যই। 802.1X স্ট্যান্ডার্ড তারযুক্ত ইথারনেট এবং ওয়্যারলেস নেটওয়ার্কের ক্ষেত্রে সমানভাবে প্রযোজ্য। তৃতীয়ত: আমার Cloud RADIUS প্রোভাইডারের আউটএজ বা বিভ্রাট হলে কী হবে? নামী প্রোভাইডাররা মাল্টি-রিজিয়ন রিডানডেন্সির ব্যাকআপ সহ ৯৯.৯৯ শতাংশ আপটাইমের সার্ভিস লেভেল এগ্রিমেন্ট প্রকাশ করে। পরিস্থিতিটি সুচারুভাবে পরিচালনা করতে সর্বদা আপনার অ্যাক্সেস পয়েন্টগুলোকে একটি ফলব্যাক পলিসি দিয়ে কনফিগার করুন, যেমন একটি সীমাবদ্ধ VLAN-এ ওপেন অ্যাক্সেস বা স্থানীয়ভাবে ক্যাশ করা ক্রেডেনশিয়াল। চতুর্থত: গেস্ট WiFi-এর সাথে RADIUS কীভাবে ইন্টারঅ্যাক্ট করে? দর্শনার্থীদের WiFi প্রদানকারী ভেন্যুগুলোর জন্য, আপনার সার্ভার RADIUS অবকাঠামোকে একটি Captive Portal সলিউশনের সাথে একীভূত করা একটি স্তরভিত্তিক অ্যাক্সেস মডেল তৈরি করে। স্টাফ এবং কর্পোরেট ডিভাইসগুলো 802.1X-এর মাধ্যমে নীরবে প্রমাণীকরণ করে, যেখানে অতিথিদের অনবোর্ডিংয়ের জন্য একটি ব্র্যান্ডেড পোর্টালে নির্দেশিত করা হয়। Purple-এর প্ল্যাটফর্ম এরপর ফার্স্ট-পার্টি ডেটা সংগ্রহ করে এবং ভিজিটরদের আচরণের উপর অ্যানালিটিক্স প্রদান করে, যা আপনার নেটওয়ার্ককে একটি ব্যয় কেন্দ্র থেকে একটি বিজনেস ইন্টেলিজেন্স অ্যাসেটে পরিণত করে। সংক্ষেপে বলতে গেলে। সার্ভার RADIUS হলো একটি সেন্ট্রালাইজড প্রোটোকল যা এন্টারপ্রাইজ WiFi নিরাপত্তাকে চালিত করে। এটি আপনার নেটওয়ার্কে কে অ্যাক্সেস করতে পারবে, তারা কী করতে পারবে এবং তাদের অ্যাক্টিভিটির একটি সম্পূর্ণ অডিট ট্রেইল প্রদান করতে আপনাকে সুনির্দিষ্ট নিয়ন্ত্রণ দিতে AAA ফ্রেমওয়ার্ক বাস্তবায়ন করে। ভেন্যু অপারেটর, হোটেল ব্যবসায়ী, খুচরা বিক্রেতা এবং সরকারি খাতের সংস্থাগুলোর জন্য, একটি নিরাপদ, কমপ্লায়েন্ট এবং পেশাদারভাবে পরিচালিত WiFi অবকাঠামো তৈরির ক্ষেত্রে সার্ভার RADIUS স্থাপন করা হলো একটি মৌলিক পদক্ষেপ। আপনার পরবর্তী পদক্ষেপ স্পষ্ট। আপনি যদি এখনও প্রি-শেয়ার্ড কি ব্যবহার করে থাকেন, তবে আজই আপনার মাইগ্রেশনের পরিকল্পনা শুরু করুন। WPA3-Enterprise সমর্থনের জন্য আপনার বর্তমান হার্ডওয়্যার পরীক্ষা করুন, আপনার আইডেন্টিটি ডিরেক্টরি ইন্টিগ্রেশন বিকল্পগুলো মূল্যায়ন করুন এবং একটি Cloud RADIUS প্ল্যাটফর্ম অন্বেষণ করুন যা আপনার সংস্থার সাথে স্কেল করতে পারে। আরও প্রযুক্তিগত নির্দেশিকা এবং ইমপ্লিমেন্টেশন রিসোর্সের জন্য, আমাদের purple.ai-তে ভিজিট করুন। পরবর্তী সময় পর্যন্ত, সুরক্ষিত থাকুন।

header_image.png

সারসংক্ষেপ

IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং আতিথেয়তা , রিটেইল , পরিবহন এবং বড় পাবলিক ভেন্যু জুড়ে কাজ করা CTO-দের জন্য, ওয়্যারলেস অ্যাক্সেস সুরক্ষিত করা একটি মূল অপারেশনাল প্রয়োজনীয়তা - কোনো ঐচ্ছিক আপগ্রেড নয়। WiFi অ্যাক্সেসের জন্য একটি প্রি-শেয়ার্ড কী (PSK) এর উপর নির্ভর করা একটি উল্লেখযোগ্য নিরাপত্তা ঝুঁকি। একটি মাত্র আপসকৃত শংসাপত্র পুরো নেটওয়ার্ককে উন্মুক্ত করে দেয়, এবং অ্যাক্সেস প্রত্যাহার করার জন্য এস্টেটের প্রতিটি ডিভাইসের পাসওয়ার্ড পরিবর্তন করতে হয়। একটি সার্ভার RADIUS (Remote Authentication Dial-In User Service) আর্কিটেকচারের মাধ্যমে 802.1X প্রমাণীকরণ বাস্তবায়ন এই সমস্যার সমাধান করে। প্রতিটি ব্যবহারকারী পৃথকভাবে প্রমাণীকরণ করে, অ্যাক্সেস তাৎক্ষণিকভাবে বাতিল করা যেতে পারে এবং নেটওয়ার্ক সেগমেন্টেশন গতিশীলভাবে প্রয়োগ করা হয়।

সার্ভার RADIUS মূলত AAA ফ্রেমওয়ার্ক বাস্তবায়ন করে: Authentication (প্রমাণীকরণ), Authorisation (অনুমোদন), এবং Accounting (অ্যাকাউন্টিং)। এটি Microsoft Entra ID, Okta, বা Google Workspace-এর মতো ডিরেক্টরিগুলির বিপরীতে পরিচয় যাচাই করে, ডাইনামিক VLAN অ্যাসাইনমেন্টের মাধ্যমে ব্যবহারকারীদের সঠিক নেটওয়ার্ক সেগমেন্টে বরাদ্দ করে এবং প্রতিটি সেশনের জন্য একটি বিস্তারিত অডিট ট্রেইল বজায় রাখে। PCI DSS, GDPR, বা Cyber Essentials-এর অধীনস্থ সংস্থাগুলির জন্য, এই অডিট ট্রেইলটি ঐচ্ছিক নয়। এটি একটি কঠোর সম্মতি (compliance) প্রয়োজনীয়তা। Purple-এর ক্লাউড RADIUS সার্ভার সার্টিফিকেট-ভিত্তিক 802.1X প্রমাণীকরণের মাধ্যমে স্টাফ এবং কর্পোরেট ডিভাইসগুলিকে সুরক্ষিত করে, যা ৮০,০০০+ লাইভ ভেন্যু জুড়ে Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর সাথে একীভূত হয়।

টেকনিক্যাল ডিপ-ডাইভ: সার্ভার RADIUS আর্কিটেকচার

IEEE 802.1X স্ট্যান্ডার্ড পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (PNAC) সংজ্ঞায়িত করে। ওয়্যারলেস প্রসঙ্গে, নেটওয়ার্কের প্রান্ত সুরক্ষিত করতে এটি একত্রে কাজ করা তিনটি প্রাথমিক ভূমিকা অন্তর্ভুক্ত করে।

ভূমিকা উপাদান দায়িত্ব
Supplicant ক্লায়েন্ট ডিভাইস (ল্যাপটপ, স্মার্টফোন) নেটওয়ার্ক অ্যাক্সেসের অনুরোধ করতে শংসাপত্র উপস্থাপন করে
Authenticator WiFi অ্যাক্সেস পয়েন্ট বা কন্ট্রোলার অ্যাক্সেস নিয়ন্ত্রণ প্রয়োগ করে; EAP বার্তা রিলে করে
Authentication server সার্ভার RADIUS শংসাপত্র যাচাই করে; গ্রহণ বা প্রত্যাখ্যান এবং পলিসি বৈশিষ্ট্যগুলি প্রদান করে

যখন একটি supplicant একটি অ্যাক্সেস পয়েন্টের সাথে যুক্ত হয়, তখন AP এক্সটেনসিবল অথেনটিকেশন প্রোটোকল (EAP) বার্তা ছাড়া অন্য সমস্ত ডেটা ট্রাফিক ব্লক করে। AP এই EAP বার্তাগুলিকে RADIUS প্যাকেটে এনক্যাপসুলেট করে এবং UDP পোর্ট 1812-এর মাধ্যমে সার্ভার RADIUS-এ ফরওয়ার্ড করে। সার্ভার একটি ব্যাকএন্ড ডিরেক্টরির বিপরীতে শংসাপত্রগুলি যাচাই করে এবং একটি Access-Accept বা Access-Reject বার্তা ফেরত পাঠায়। যদি গৃহীত হয়, AP পোর্টটি আনব্লক করে এবং ক্লায়েন্ট ট্রাফিক অবাধে প্রবাহিত হয়। architecture_overview.png

বাস্তবে AAA ফ্রেমওয়ার্ক

Authentication হলো প্রথম স্তম্ভ: কেউ কে তা যাচাই করা। যখন একটি ডিভাইস একটি WPA3-Enterprise SSID-এর সাথে সংযুক্ত হয়, তখন সার্ভার RADIUS কনফিগার করা পরিচয় উৎসের বিপরীতে উপস্থাপিত শংসাপত্র বা সার্টিফিকেট পরীক্ষা করে। Microsoft Entra ID, Okta, এবং Google Workspace হলো ক্যানোনিকাল ক্লাউড আইডেন্টিটি প্রোভাইডার যা আধুনিক Cloud RADIUS প্ল্যাটফর্মের সাথে সরাসরি সংহত হয়।

Authorisation হলো দ্বিতীয় স্তম্ভ: প্রমাণিত ব্যবহারকারী কী করতে পারেন তা নির্ধারণ করা। সার্ভার RADIUS অ্যাক্সেস পয়েন্টে RADIUS অ্যাট্রিবিউট ফেরত পাঠায়, যার মধ্যে সবচেয়ে গুরুত্বপূর্ণ হলো VLAN ID। ফাইন্যান্স টিমের একজন স্টাফ সদস্য অভ্যন্তরীণ সিস্টেমে অ্যাক্সেস সহ VLAN 10-এ যান। একজন ঠিকাদার শুধুমাত্র ইন্টারনেট অ্যাক্সেস সহ VLAN 20-এ যান। একজন অতিথি সমস্ত কর্পোরেট রিসোর্স থেকে বিচ্ছিন্ন হয়ে VLAN 30-এ যান। এই ডাইনামিক VLAN অ্যাসাইনমেন্ট হলো সেই প্রক্রিয়া যা সঠিক নেটওয়ার্ক সেগমেন্টেশন সক্ষম করে - যা খুচরা ব্যবসা পরিবেশে PCI DSS সম্মতির জন্য একটি বাধ্যতামূলক নিয়ন্ত্রণ।

Accounting হলো তৃতীয় স্তম্ভ: আসলে কী ঘটেছে তা রেকর্ড করা। সার্ভার RADIUS প্রতিটি ডিভাইসের সেশন শুরু ও শেষ হওয়ার সময়, সেশনের সময়কাল, স্থানান্তরিত ডেটা এবং MAC অ্যাড্রেস লগ করে। PCI DSS v4.0-এর অধীনে, এই লগিং একটি কঠোর প্রয়োজনীয়তা। কোনো নিরাপত্তা ঘটনার ক্ষেত্রে, এই লগগুলো যেকোনো ফরেনসিক তদন্তের ভিত্তি।

EAP পদ্ধতি নির্বাচন

আপনার সার্ভার RADIUS স্থাপনার নিরাপত্তা মূলত নির্বাচিত EAP পদ্ধতির ওপর নির্ভর করে। এন্টারপ্রাইজ WiFi-এ তিনটি সবচেয়ে সাধারণ পদ্ধতি হলো PEAP, EAP-TTLS এবং EAP-TLS।

PEAP-MSCHAPv2 হলো সবচেয়ে ব্যাপকভাবে ব্যবহৃত পদ্ধতি। এটি একটি সার্ভার-সাইড সার্টিফিকেট ব্যবহার করে একটি এনক্রিপ্ট করা TLS টানেল তৈরি করে, যার ভেতরে ব্যবহারকারী ব্যবহারকারীর নাম এবং পাসওয়ার্ড দিয়ে প্রমাণীকরণ করেন। এটি স্থাপন করা তুলনামূলকভাবে সহজ কারণ আপনাকে কেবল একটি সার্টিফিকেট পরিচালনা করতে হয় - সার্ভারের সার্টিফিকেটটি। তবে, ক্লায়েন্ট ডিভাইসগুলো যদি সার্ভার সার্টিফিকেট যাচাই করার জন্য স্পষ্টভাবে কনফিগার করা না থাকে, তবে সেগুলো ক্ষতিকারক অ্যাক্সেস পয়েন্ট আক্রমণের শিকার হতে পারে। একজন আক্রমণকারী একটি জাল সার্টিফিকেট প্রদর্শন করতে পারে এবং শংসাপত্র হাতিয়ে নিতে পারে। এটি একটি প্রমাণিত বাস্তব হুমকি, তাত্ত্বিক বিষয় নয়। কোনো ব্যতিক্রম ছাড়াই Group Policy Objects বা MDM প্রোফাইলের মাধ্যমে কঠোরভাবে সার্টিফিকেট যাচাইকরণ প্রয়োগ করুন।

EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। এর জন্য সার্ভার RADIUS এবং প্রতিটি ক্লায়েন্ট ডিভাইস উভয় ক্ষেত্রেই ডিজিটাল সার্টিফিকেটের প্রয়োজন হয়, যা পাসওয়ার্ডের প্রয়োজনীয়তা সম্পূর্ণভাবে দূর করে। এমনকি কোনো আক্রমণকারী সম্পূর্ণ প্রমাণীকরণ বিনিময় ক্যাপচার করলেও, সেখান থেকে হাতিয়ে নেওয়ার মতো কোনো শংসাপত্র থাকে না। এর একমাত্র অসুবিধা হলো প্রশাসনিক তদারকি: ক্লায়েন্ট সার্টিফিকেট স্থাপন এবং পরিচালনা করার জন্য একটি Public Key Infrastructure (PKI) এবং Microsoft Intune বা Jamf-এর মতো একটি MDM প্ল্যাটফর্মের প্রয়োজন হয়। কর্পোরেট ডিভাইসগুলোর জন্য, EAP-TLS হলো এমন একটি প্রমাণীকরণ পদ্ধতি যা বাস্তবায়নের জন্য আপনার কাজ করা উচিত। Purple-এর Cloud RADIUS নেটিভভাবে EAP-TLS সমর্থন করে, যার সাথে রয়েছে স্বয়ংক্রিয় সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট।

Implementation guide: cloud vs on-premises

সার্ভার RADIUS আর্কিটেকচার ডেপ্লয় করার সময়, IT টিমগুলোকে অবশ্যই ক্লাউড-হোস্টেড এবং অন-প্রিমিসেস ডেপ্লয়মেন্টের মধ্যে একটি বেছে নিতে হবে। এই প্রোজেক্টে এটি সবচেয়ে গুরুত্বপূর্ণ আর্কিটেকচারাল সিদ্ধান্ত।

cloud_vs_onprem_comparison.png

অন-প্রিমিসেস RADIUS, যা FreeRADIUS বা Microsoft Network Policy Server (NPS)-এর মতো প্ল্যাটফর্ম ব্যবহার করে, আপনাকে ইনফ্রাস্ট্রাকচারের উপর সম্পূর্ণ নিয়ন্ত্রণ দেয়। একটি একক বড় ভেন্যুর জন্য - যেমন একটি স্টেডিয়াম, একটি হাসপাতাল, বা একটি সরকারি প্রতিষ্ঠান - এটি সঠিক সিদ্ধান্ত হতে পারে। অথেন্টিকেশন রিকোয়েস্টগুলো লোকাল LAN-এর মাধ্যমে স্থানান্তরিত হয়, যা সাব-মিলিসেকেন্ড রেসপন্স টাইম প্রদান করে। ডাটা সার্বভৌমত্বের কারণে যদি আপনার আইডেন্টিটি ডিরেক্টরি একটি অন-প্রিমিসেস Active Directory হয় যা ইন্টারনেটে এক্সপোজ করা যাবে না, তবে একটি অন-প্রিমিসেস সার্ভার RADIUS প্রায়শই আপনার একমাত্র কার্যকর বিকল্প।

তবে, মাল্টি-সাইট সংস্থাগুলোর জন্য, অন-প্রিমিসেস RADIUS উল্লেখযোগ্য অপারেশনাল ওভারহেড তৈরি করে। আপনি প্রতিটি লোকেশনে আলাদা আলাদা সার্ভার ইনস্ট্যান্স পরিচালনা করছেন, ম্যানুয়ালি সার্টিফিকেট রিনিউয়াল হ্যান্ডেল করছেন এবং রাত দুটোর সময় কোনো সার্টিফিকেট এক্সপায়ার হয়ে গেলে আউটজের রেসপন্স করছেন। ৫০টি লোকেশন বিশিষ্ট একটি রিটেইল চেইনের জন্য, এর অর্থ হল প্যাচ, মনিটর এবং রক্ষণাবেক্ষণ করার জন্য ৫০টি আলাদা RADIUS ইনস্ট্যান্স।

Cloud RADIUS এটিকে সম্পূর্ণ বদলে দেয়। ইনফ্রাস্ট্রাকচারটি বিশ্বব্যাপী একাধিক অ্যাভেইলেবিলিটি জোনে হোস্ট করা হয়। যখন কোনো ব্যবহারকারী কোনো ব্রাঞ্চ লোকেশনে কানেক্ট করেন, তখন রিকোয়েস্টটি নিকটতম ক্লাউড এজ নোডে চলে যায়। হাই অ্যাভেইলেবিলিটি ডিফল্ট হিসেবে বিল্ট-ইন থাকে। সার্টিফিকেট রোটেশন স্বয়ংক্রিয় হয়, যা অন-প্রিমিসেস ডেপ্লয়মেন্টে অথেন্টিকেশন আউটজের সবচেয়ে সাধারণ একক কারণটিকে দূর করে। Microsoft Entra ID, Okta বা Google Workspace-এর মতো ক্লাউড-নেটিভ আইডেন্টিটি প্রোভাইডার থাকা মাল্টি-সাইট সংস্থাগুলোর জন্য, Cloud RADIUS প্রায় সবসময়ই অপারেশনাল দিক থেকে সেরা পছন্দ।

Purple-এর Cloud RADIUS সরাসরি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর সাথে ইন্টিগ্রেট হয়। আপনি একটি অ্যাক্সেস পয়েন্টও প্রতিস্থাপন না করে আপনার সম্পূর্ণ হার্ডওয়্যার এস্টেট জুড়ে এটি ডেপ্লয় করতে পারেন।

Step-by-step deployment

ধাপ ১: আপনার ডেপ্লয়মেন্ট মডেলটি বেছে নিন। তিনটি বিষয় অডিট করুন: আপনার বর্তমান আইডেন্টিটি প্রোভাইডার এবং এটি ক্লাউড-নেটিভ কিনা; প্রতিটি সাইটে আপনার WAN রেজিলিয়েন্স; এবং চলমান রক্ষণাবেক্ষণ পরিচালনা করার জন্য আপনার টিমের সক্ষমতা। এই তিনটি বিষয় নির্ধারণ করে যে ক্লাউড নাকি অন-প্রিমিসেস আপনার জন্য সঠিক পথ।

ধাপ ২: আপনার আইডেন্টিটি সোর্স ইন্টিগ্রেট করুন। আপনার সার্ভার RADIUS-কে আপনার সংস্থার আইডেন্টিটি ডিরেক্টরির সাথে কানেক্ট করুন। বেশিরভাগ Cloud RADIUS প্ল্যাটফর্ম LDAP বা SAML-এর মাধ্যমে Microsoft Entra ID, Okta এবং Google Workspace-এর সাথে সরাসরি ইন্টিগ্রেশন সমর্থন করে। অন-প্রিমিসেস Active Directory-এর জন্য, একটি সিকিউর কানেক্টরের মাধ্যমে LDAP ব্যবহার করুন।

ধাপ ৩: আপনার নেটওয়ার্ক হার্ডওয়্যার কনফিগার করুন। WPA2-Enterprise বা WPA3-Enterprise-এর জন্য কনফিগার করা একটি নতুন SSID তৈরি করুন এবং এটিকে আপনার server RADIUS-এর দিকে নির্দেশ করুন। শেয়ারড সিক্রেট (shared secret) কনফিগার করুন - এটি এমন একটি পাসওয়ার্ড যা অ্যাক্সেস পয়েন্ট এবং server RADIUS-এর মধ্যকার যোগাযোগকে এনক্রিপ্ট করে। এই শেয়ারড সিক্রেটটি অবশ্যই উভয় দিকে হুবহু মিলতে হবে। প্রাথমিক স্থাপনার সময় প্রমাণীকরণ (authentication) ব্যর্থ হওয়ার সবচেয়ে সাধারণ কারণগুলির মধ্যে একটি হলো এই মিল না থাকা।

ধাপ ৪: অথরাইজেশন পলিসি নির্ধারণ করুন। আপনার আইডেন্টিটি ডিরেক্টরি থেকে ইউজার গ্রুপগুলোকে নেটওয়ার্ক পলিসির সাথে ম্যাপ করুন। কর্মীরা VLAN 10-এ সম্পূর্ণ অ্যাক্সেস পাবেন। অতিথিরা VLAN 20-এ শুধুমাত্র ইন্টারনেট অ্যাক্সেস পাবেন। IoT ডিভাইসগুলি ফায়ারওয়াল নিয়মসহ একটি সীমিত VLAN পাবে যা ল্যাটারাল মুভমেন্ট ব্লক করে।

ধাপ ৫: আপনার ব্যবহারকারীদের অনবোর্ড করুন। কর্পোরেট কর্মীদের জন্য, আপনার MDM প্ল্যাটফর্মের মাধ্যমে WiFi প্রোফাইলগুলি ডেপ্লয় করুন। অতিথিদের জন্য, একটি Captive Portal ব্যবহার করুন। Purple-এর Guest WiFi প্ল্যাটফর্ম গেস্ট অনবোর্ডিং ফ্লোকে স্বয়ংক্রিয় করে, যা সোশ্যাল লগইন, রেজিস্ট্রেশন ফর্ম এবং ভাউচার কোড সমর্থন করে। কর্মী এবং কর্পোরেট ডিভাইসগুলি 802.1X-এর মাধ্যমে নীরবে প্রমাণীকরণ করে, যেখানে অতিথিদের একটি ব্র্যান্ডেড পোর্টালে নির্দেশিত করা হয় - এটি একটি টিয়ার্ড অ্যাক্সেস মডেল যা নিরাপত্তা এবং WiFi Analytics উভয়ই প্রদান করে।

গেস্ট, কর্মী এবং IoT নেটওয়ার্ক জুড়ে SSID আর্কিটেকচারের আরও বিশদ বিবরণের জন্য, Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi দেখুন।

সর্বোত্তম অনুশীলনসমূহ (Best practices)

প্রতিটি ক্লায়েন্ট ডিভাইসে কঠোর সার্টিফিকেট যাচাইকরণ (certificate validation) প্রয়োগ করুন। Windows ডিভাইসের জন্য Group Policy Objects এবং macOS ও মোবাইল ডিভাইসের জন্য MDM প্রোফাইল ব্যবহার করুন। প্রোফাইলটিতে অবশ্যই নির্দিষ্ট করে দিতে হবে যে কোন Certificate Authority-কে বিশ্বাস করতে হবে এবং প্রত্যাশিত সার্ভারের নাম কী। এটি ব্যবহারকারীর ম্যানুয়ালি কনফিগার করার জন্য ছেড়ে দেবেন না। এটি প্রয়োগ করতে ব্যর্থ হওয়া PEAP ডেপ্লয়মেন্টে ক্রেডেনশিয়াল চুরির প্রাথমিক আক্রমণ ভেক্টর।

অন্তত দুটি server RADIUS ইনস্ট্যান্স ডেপ্লয় করুন। প্রাইমারি সার্ভারটি নাগালের বাইরে চলে গেলে সেকেন্ডারিতে ফেইল ওভার করার জন্য সমস্ত অ্যাক্সেস পয়েন্ট কনফিগার করুন। Cloud RADIUS-এর জন্য, এই রিডান্ডেন্সি বিল্ট-ইন থাকে এবং প্রোভাইডার দ্বারা পরিচালিত হয়। অন-প্রেমিসের (on-premises) জন্য, দুটি ভৌগোলিকভাবে পৃথক স্থানে একটি অ্যাক্টিভ-অ্যাক্টিভ ক্লাস্টার ডেপ্লয় করুন।

হেডলেস IoT ডিভাইসের জন্য MAC Authentication Bypass (MAB) ব্যবহার করুন। প্রিন্টার, সেন্সর এবং ডিজিটাল সাইনেজ 802.1X ক্রেডেনশিয়াল প্রদর্শন করতে পারে না। MAB মূলত MAC অ্যাড্রেসের ভিত্তিতে প্রমাণীকরণের অনুমতি দেয়। যেহেতু MAC অ্যাড্রেস সহজেই স্পুফ (spoof) করা যায়, তাই সর্বদা MAB-প্রমাণিত ডিভাইসগুলিকে একটি সীমাবদ্ধ VLAN এবং কর্পোরেট রিসোর্সে অ্যাক্সেস ব্লক করার ফায়ারওয়াল নিয়মের সাথে সংযুক্ত করুন।

শেয়ারড সিক্রেট নিয়মিত পরিবর্তন করুন। আপনার অ্যাক্সেস পয়েন্ট এবং server RADIUS-এর মধ্যকার শেয়ারড সিক্রেটটি অবশ্যই দীর্ঘ, র্যান্ডম এবং পর্যায়ক্রমে পরিবর্তিত হতে হবে। একটি দুর্বল বা ডিফল্ট শেয়ারড সিক্রেট সম্পূর্ণ প্রমাণীকরণ প্রক্রিয়াকে দুর্বল করে দেয়।

পেনিট্রেশন টেস্টিংয়ের মাধ্যমে সেগমেন্টেশন যাচাই করুন। শুধুমাত্র কনফিগারেশনই কোনো প্রমাণ নয়। একটি পেনিট্রেশন টেস্ট করান যা স্পষ্টভাবে ওয়্যারলেস পরিবেশ এবং VLAN সেগমেন্টেশনের বৈধতা অন্তর্ভুক্ত করে। একজন টেস্টারের সক্রিয়ভাবে গেস্ট VLAN থেকে কর্পোরেট রিসোর্স অ্যাক্সেস করার চেষ্টা করা উচিত এবং প্রতিটি চেষ্টা যে ব্লক করা হয়েছে তা নথিভুক্ত করা উচিত। এটিই আপনার PCI DSS কোয়ালিফাইড সিকিউরিটি অ্যাসেসরের প্রয়োজনীয় প্রমাণ।

সমস্যা সমাধান এবং ঝুঁকি প্রশমন

সার্ভার RADIUS ডেপ্লয়মেন্টের সবচেয়ে সাধারণ ব্যর্থতাগুলি চারটি বিভাগে পড়ে।

শেয়ার্ড সিক্রেট অমিল। অ্যাক্সেস পয়েন্টে কনফিগার করা শেয়ার্ড সিক্রেট যদি সার্ভার RADIUS-এর সিক্রেটের সাথে না মেলে, তবে প্রতিটি অথেনটিকেশন প্রচেষ্টা কোনো নোটিফিকেশন ছাড়াই ব্যর্থ হবে। শেয়ার্ড সিক্রেটগুলি ম্যানুয়ালি টাইপ করার পরিবর্তে সর্বদা কপি-পেস্ট করুন। টেস্ট করার আগে উভয় দিকের কনফিগারেশন যাচাই করুন।

সার্টিফিকেটের মেয়াদ শেষ হওয়া। অন-প্রিমিসেস ডেপ্লয়মেন্টে, সার্ভার সার্টিফিকেটের মেয়াদ শেষ হয়ে গেলে, প্রতিটি ক্লায়েন্ট ডিভাইস কানেকশন প্রত্যাখ্যান করবে। এর ফলে কোনো মসৃণ ডাউনগ্রেড ছাড়াই সম্পূর্ণ অথেনটিকেশন বিভ্রাট ঘটে। ক্লাউড RADIUS প্রদানকারীরা সার্টিফিকেটের রোটেশন স্বয়ংক্রিয় করে এই ঝুঁকি দূর করে। অন-প্রিমিসেস ডেপ্লয়মেন্টের জন্য, মেয়াদ শেষ হওয়ার ৬০ দিন, ৩০ দিন এবং সাত দিন আগে মনিটরিং অ্যালার্ট কনফিগার করুন।

ক্লায়েন্ট সার্টিফিকেট ভ্যালিডেশন বাধ্যতামূলক না করা। PEAP ক্লায়েন্টদের যদি সার্ভার সার্টিফিকেট যাচাই করার জন্য কনফিগার করা না হয়, তবে তারা রেসপন্স করা যেকোনো RADIUS সার্ভারের সাথে কানেক্ট হয়ে যাবে - যার মধ্যে অননুমোদিত অ্যাক্সেস পয়েন্টও রয়েছে। প্রতিটি পরিচালিত ডিভাইসে GPO বা MDM প্রোফাইলের মাধ্যমে সার্টিফিকেট ভ্যালিডেশন বাধ্যতামূলক করুন।

ক্লাউড RADIUS-এর জন্য WAN নির্ভরতা। ক্লাউড RADIUS প্রতিটি ভেন্যুতে সম্পূর্ণভাবে WAN লিঙ্কের ওপর নির্ভর করে। ইন্টারনেট কানেকশন বিচ্ছিন্ন হলে, অথেনটিকেশন ব্যর্থ হয়। একটি লোকাল সারভাইভেবিলিটি স্ট্র্যাটেজি বাস্তবায়ন করুন: গুরুত্বপূর্ণ কর্মীদের জন্য ক্রেডেনশিয়াল ক্যাশ করতে অ্যাক্সেস পয়েন্টগুলি কনফিগার করুন, অথবা ইন্টারনেট লিঙ্কের উচ্চ প্রাপ্যতা নিশ্চিত করতে SD-WAN ব্যবহার করুন। সর্বদা একটি ফলব্যাক পলিসি কনফিগার করুন - হয় একটি সীমিত VLAN-এ ওপেন অ্যাক্সেস, অথবা লোকালি ক্যাশড ক্রেডেনশিয়াল।

ROI এবং ব্যবসায়িক প্রভাব

একটি সার্ভার RADIUS আর্কিটেকচার ডেপ্লয় করলে তা ওয়্যারলেস নেটওয়ার্ককে একটি দুর্বলতা থেকে পরিমাপযোগ্য অপারেশনাল সুবিধা সহ একটি পরিচালিত, সুরক্ষিত সম্পদে রূপান্তর করে।

৪৫টি প্রোপার্টি সহ একটি ইউরোপীয় হোটেল গ্রুপের জন্য, ৪৫টি অন-প্রিমিসেস FreeRADIUS ইনস্ট্যান্স থেকে ক্লাউড RADIUS-এ মাইগ্রেট করার ফলে সেন্ট্রাল আইটি টিমের রক্ষণাবেক্ষণের সময়ের প্রায় ৪০% সাশ্রয় হয়েছে (Purple-এর অভ্যন্তরীণ ডেটা)। এটি এমন ইঞ্জিনিয়ারিং সক্ষমতা যা রুটিন কাজ থেকে কৌশলগত উদ্যোগে রিডাইরেক্ট করা হয়েছে।

PCI DSS অডিটের জন্য প্রস্তুতি নেওয়া একটি রিটেইল চেইনের ক্ষেত্রে, ডাইনামিক VLAN অ্যাসাইনমেন্টের মাধ্যমে সঠিক নেটওয়ার্ক সেগমেন্টেশন গেস্ট WiFi নেটওয়ার্কটিকে কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের আওতা থেকে সম্পূর্ণরূপে সরিয়ে দেয়। Purple-এর Guest WiFi -এর মতো প্ল্যাটফর্মগুলি গেস্ট-ফেসিং VLAN-এ কাজ করে, যা পেমেন্ট ট্র্যাফিক থেকে সম্পূর্ণ আলাদা থাকে। অ্যানালিটিক্স প্ল্যাটফর্মটি PCI-এর আওতার বাইরে থাকে এবং ব্যবসাটি নিরাপদে ও আত্মবিশ্বাসের সাথে রাজস্ব-উৎপাদনকারী টুলসমূহ - গেস্ট অ্যানালিটিক্স, লয়্যালটি প্রোগ্রাম, কাস্টমার এনগেজমেন্ট - ডেপ্লয় করার স্বাধীনতা বজায় রাখে।

১০টির বেশি সাইট এবং পাঁচজনের কম নেটওয়ার্ক ইঞ্জিনিয়ার রয়েছে এমন সংস্থাগুলির জন্য, ক্লাউড RADIUS-এর অনুমানযোগ্য পরিচালন ব্যয় সাধারণত অন-প্রিমিসেস অবকাঠামো রক্ষণাবেক্ষণের তুলনায় ১৮ মাসের মধ্যে বিনিয়োগের ওপর একটি ইতিবাচক রিটার্ন (ROI) প্রদান করে (Purple-এর অভ্যন্তরীণ তথ্য)। বড় পরিসরে অন-প্রিমিসেস মোতায়েনের জন্য হার্ডওয়্যার সংগ্রহ, বিদ্যুৎ, কুলিং এবং ইঞ্জিনিয়ারিং সময় ধারাবাহিকভাবে একটি পরিচালিত ক্লাউড RADIUS পরিষেবার সাবস্ক্রিপশন খরচকে ছাড়িয়ে যায়।

Purple ৮০,০০০+ লাইভ ভেন্যুতে ৯৯.৯৯৯% আপটাইম, ISO 27001 সার্টিফিকেশন, GDPR এবং CCPA কমপ্লায়েন্স এবং Cyber Essentials সার্টিফিকেশন সহ কাজ করে। যে আইটি টিমগুলিকে তাদের বোর্ড বা অডিটরদের কাছে যথাযথ সতর্কতা (due diligence) প্রদর্শন করতে হয়, তাদের জন্য এই সার্টিফিকেশনগুলি এমন থার্ড-পার্টি ভ্যালিডেশন প্রদান করে যা একটি স্ব-পরিচালিত অন-প্রিমিসেস মোতায়েন করতে পারে না।

বিকল্প প্ল্যাটফর্মগুলির সাথে Purple-এর ক্লাউড RADIUS-এর বিস্তারিত তুলনার জন্য, Aruba ClearPass বনাম Purple WiFi-এর বৈশিষ্ট্য এবং সহ-মোতায়েন তুলনা দেখুন।

মূল সংজ্ঞাসমূহ

Server RADIUS

Remote Authentication Dial-In User Service. একটি নেটওয়ার্কিং প্রোটোকল সার্ভার যা নেটওয়ার্ক অ্যাক্সেসের জন্য সেন্ট্রালাইজড Authentication, Authorisation এবং Accounting (AAA) ম্যানেজমেন্ট প্রদান করে। RFC 2865-এ সংজ্ঞায়িত এবং পরবর্তী RFCs দ্বারা বর্ধিত।

মূল ইঞ্জিন যা একটি ডিরেক্টরির বিপরীতে ব্যবহারকারীর ক্রেডেনশিয়াল যাচাই করে এবং নেটওয়ার্ক অ্যাক্সেস পলিসি নির্ধারণ করে। 802.1X ব্যবহার করে প্রতিটি এন্টারপ্রাইজ WiFi ডেপ্লয়মেন্টের জন্য একটি server RADIUS প্রয়োজন।

802.1X

পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের জন্য একটি IEEE স্ট্যান্ডার্ড যা LAN বা WLAN-এ যুক্ত হতে ইচ্ছুক ডিভাইসগুলোর জন্য একটি অথেন্টিকেশন মেকানিজম প্রদান করে। এটি Supplicant, Authenticator এবং Authentication Server-এর ভূমিকা নির্ধারণ করে।

অ্যাক্সেস পয়েন্টগুলো RADIUS সার্ভারের সাথে যোগাযোগ করতে এই স্ট্যান্ডার্ডটি ব্যবহার করে। 802.1X ছাড়া, নেটওয়ার্কের প্রান্তে অথেন্টিকেশনহীন ডিভাইসগুলোকে ব্লক করার কোনো মেকানিজম নেই।

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. একটি অথেন্টিকেশন পদ্ধতি যার জন্য ক্লায়েন্ট ডিভাইস এবং RADIUS সার্ভার উভয়ের উপরেই ডিজিটাল সার্টিফিকেটের প্রয়োজন হয়। কোনো পাসওয়ার্ড ছাড়াই পারস্পরিক অথেন্টিকেশন প্রদান করে।

কর্পোরেট ডিভাইস অথেন্টিকেট করার জন্য গোল্ড স্ট্যান্ডার্ড। এটি ক্রেডেনশিয়াল চুরি এবং ফিশিং আক্রমণ দূর করে। স্কেলে ক্লায়েন্ট সার্টিফিকেট ডেপ্লয় করতে একটি PKI এবং MDM প্ল্যাটফর্মের প্রয়োজন হয়।

PEAP-MSCHAPv2

Protected Extensible Authentication Protocol with Microsoft Challenge Handshake Authentication Protocol version 2. একটি এনক্রিপ্টেড টানেল তৈরি করতে একটি সার্ভার-সাইড TLS সার্টিফিকেট ব্যবহার করে, যার ভিতরে ব্যবহারকারী একটি ইউজারনেম এবং পাসওয়ার্ড দিয়ে অথেন্টিকেট করে।

সবচেয়ে সাধারণ এন্টারপ্রাইজ WiFi অথেন্টিকেশন পদ্ধতি। শুধুমাত্র তখনই সুরক্ষিত যখন ক্লায়েন্টদের GPO বা MDM প্রোফাইলের মাধ্যমে সার্ভার সার্টিফিকেট ভ্যালিডেট করার জন্য স্পষ্টভাবে কনফিগার করা হয়।

Dynamic VLAN assignment

যে প্রক্রিয়ার মাধ্যমে একটি RADIUS সার্ভার একটি অ্যাক্সেস পয়েন্টকে ডিরেক্টরিতে তার পরিচয় এবং গ্রুপ মেম্বারশিপের উপর ভিত্তি করে একটি নির্দিষ্ট Virtual Local Area Network (VLAN)-এ একজন অথেন্টিকেটেড ব্যবহারকারীকে স্থাপন করার নির্দেশ দেয়।

এই মেকানিজমটি নেটওয়ার্ক সেগমেন্টেশন কার্যকর করে। রিটেইল এবং হসপিটালিটিতে PCI DSS কমপ্লায়েন্সের জন্য অপরিহার্য। একটি একক SSID-কে পৃথক নেটওয়ার্ক সেগমেন্টে স্টাফ, ঠিকাদার, অতিথি এবং IoT ডিভাইসগুলোকে সেবা দেওয়ার অনুমতি দেয়।

AAA framework

Authentication, Authorisation এবং Accounting. নেটওয়ার্ক অ্যাক্সেস পরিচালনার জন্য RADIUS সার্ভার দ্বারা বাস্তবায়িত তিন-স্তম্ভের ফ্রেমওয়ার্ক। Authentication পরিচয় যাচাই করে, Authorisation অ্যাক্সেসের স্তর নির্ধারণ করে এবং Accounting সেশন অ্যাক্টিভিটি লগ করে।

সমস্ত RADIUS সার্ভার ডেপ্লয়মেন্টের ধারণাগত ভিত্তি। পেমেন্ট ডেটা পরিচালনা করা নেটওয়ার্কগুলোর জন্য PCI DSS v4.0-এ এই তিনটি স্তম্ভই বাস্তবায়ন করা প্রয়োজন।

Supplicant

ক্লায়েন্ট ডিভাইস (ল্যাপটপ, স্মার্টফোন, IoT সেন্সর) যা Authenticator-এর কাছে ক্রেডেনশিয়াল বা একটি সার্টিফিকেট উপস্থাপন করে নেটওয়ার্কে অ্যাক্সেসের জন্য অনুরোধ করে।

এন্ডপয়েন্ট যা অবশ্যই RADIUS সার্ভারের অথেন্টিকেশন চ্যালেঞ্জ পূরণ করবে। কোন কম্পোনেন্টটি ব্যর্থ হচ্ছে তা বোঝা কার্যকর ট্রাবলশুটিংয়ের মূল ভিত্তি।

Captive portal

একটি ওয়েব পেজ যার সাথে ব্যবহারকারীদের একটি পাবলিক WiFi নেটওয়ার্কে অ্যাক্সেস পাওয়ার আগে ইন্টারঅ্যাক্ট করতে হবে। ব্যবহারকারী-মুখী অনবোর্ডিং অভিজ্ঞতা পরিচালনা করে যখন RADIUS সার্ভার ব্যাক-এন্ড অথেন্টিকেশন এবং সেশন পলিসি প্রয়োগ পরিচালনা করে।

হসপিটালিটি, রিটেইল এবং ভেন্যু এনভায়রনমেন্টে গেস্ট অনবোর্ডিংয়ের জন্য ব্যবহৃত হয়। RADIUS সার্ভারের সাথে একযোগে কাজ করে - পোর্টালটি হলো ইউজার ইন্টারফেস, RADIUS সার্ভার হলো ব্যাক-এন্ড ইঞ্জিন।

MAC Authentication Bypass (MAB)

একটি মেকানিজম যা 802.1X ক্ষমতা ছাড়া ডিভাইসগুলোকে (প্রিন্টার, IoT সেন্সর, ডিজিটাল সাইনেজ) ক্রেডেনশিয়াল বা সার্টিফিকেটের পরিবর্তে তাদের MAC অ্যাড্রেসের ভিত্তিতে অথেন্টিকেট করার অনুমতি দেয়।

হেডলেস ডিভাইসগুলোর জন্য প্রয়োজন যা একটি 802.1X supplicant চালাতে পারে না। যেহেতু MAC অ্যাড্রেসগুলো সহজেই স্পুফ করা যায়, তাই MAB-অথেন্টিকেটেড ডিভাইসগুলোকে অবশ্যই সবসময় একটি অত্যন্ত সীমাবদ্ধ VLAN-এ রাখতে হবে।

Shared secret

একটি পাসওয়ার্ড যা একটি অ্যাক্সেস পয়েন্ট (RADIUS ক্লায়েন্ট) এবং RADIUS সার্ভারের মধ্যে যোগাযোগকে এনক্রিপ্ট করে। উভয় দিকে অভিন্নভাবে কনফিগার করা আবশ্যক এবং পর্যায়ক্রমে পরিবর্তন করা উচিত।

প্রাথমিক ডেপ্লয়মেন্টের সময় অথেন্টিকেশন ব্যর্থ হওয়ার সবচেয়ে সাধারণ কারণগুলোর মধ্যে একটি হলো শেয়ার্ড সিক্রেট অমিল হওয়া। ম্যানুয়ালি টাইপ করার পরিবর্তে সর্বদা কপি-পেস্ট করুন।

সমাধানকৃত উদাহরণসমূহ

একটি ২০০ কক্ষের হোটেলের কর্মীদের ডিভাইসগুলো 802.1X-এর মাধ্যমে সুরক্ষিত করা প্রয়োজন এবং একই সাথে আইসোলেটেড গেস্ট WiFi অ্যাক্সেস প্রদান করা দরকার। প্রোপার্টি ম্যানেজমেন্ট সিস্টেমটি কর্মীদের ডিভাইসে চলে এবং গেস্ট নেটওয়ার্ক থেকে এটি অ্যাক্সেসযোগ্য হওয়া যাবে না। হোটেলটি একটি তিন সদস্যের সেন্ট্রাল IT টিম দ্বারা পরিচালিত ৪৫টি প্রোপার্টির একটি গ্রুপের অংশ।

Microsoft Entra ID-এর সাথে ইন্টিগ্রেটেড Purple-এর Cloud RADIUS ডেপ্লয় করুন। EAP-TLS সহ WPA3-Enterprise ব্যবহার করে একটি স্টাফ SSID কনফিগার করুন, যা Microsoft Intune-এর মাধ্যমে সমস্ত স্টাফ ডিভাইসে ক্লায়েন্ট সার্টিফিকেট ডেপ্লয় করবে। server RADIUS-টি এমনভাবে কনফিগার করুন যাতে এটি ডাইনামিকালি কর্মীদের ডিভাইসগুলোকে VLAN 10-এ অ্যাসাইন করে, যার প্রোপার্টি ম্যানেজমেন্ট সিস্টেম এবং অভ্যন্তরীণ প্রিন্টারে অ্যাক্সেস রয়েছে। অনবোর্ডিংয়ের জন্য একটি Captive Portal সহ WPA2-Personal ব্যবহার করে একটি পৃথক গেস্ট SSID কনফিগার করুন, যা ইন্টারনেট-মাত্র অ্যাক্সেস সহ VLAN 20-এ অ্যাসাইন করা থাকবে এবং কঠোর ফায়ারওয়াল নিয়মের মাধ্যমে VLAN 10-এর সমস্ত ট্রাফিক ব্লক করবে। Cloud RADIUS একটি একক ম্যানেজমেন্ট ড্যাশবোর্ড থেকে সমস্ত ৪৫টি প্রোপার্টি পরিচালনা করে, যেখানে স্বয়ংক্রিয় সার্টিফিকেট রোটেশন প্রতি-সাইটের রক্ষণাবেক্ষণ খরচ দূর করে যা আগে টিমের ৪০% সময় নষ্ট করত।

পরীক্ষকের মন্তব্য: এই পরিস্থিতিটি মাল্টি-সাইট আতিথেয়তার জন্য Cloud RADIUS-এর মূল গুরুত্বকে তুলে ধরে। server RADIUS-টি EAP-TLS-এর মাধ্যমে স্টাফদের প্রমাণীকরণ পরিচালনা করে, যা সংবেদনশীল অপারেশনাল সিস্টেম অ্যাক্সেসকারী ডিভাইসগুলোর জন্য সবচেয়ে শক্তিশালী উপলব্ধ নিরাপত্তা প্রদান করে। Captive Portal গেস্ট অনবোর্ডিং আলাদাভাবে পরিচালনা করে, যেখানে VLAN আইসোলেশন নিশ্চিত করে যে গেস্ট নেটওয়ার্কটি PCI DSS-এর আওতার বাইরে থাকে। ৪৫টি প্রোপার্টি পরিচালনাকারী একটি তিন সদস্যের টিমের জন্য ক্লাউড ডেপ্লয়মেন্ট মডেলটি সবচেয়ে গুরুত্বপূর্ণ সিদ্ধান্তকারী উপাদান - অন-প্রিমিসেস হলে রক্ষণাবেক্ষণের জন্য ৪৫টি পৃথক ইনস্ট্যান্সের প্রয়োজন হতো।

৫০টি স্টোর সহ একটি রিটেইল চেইন তাদের স্থানীয় FreeRADIUS সার্ভারে এক্সপায়ার্ড সার্টিফিকেটের কারণে ঘন ঘন প্রমাণীকরণ আউটেজের সম্মুখীন হচ্ছে। POS ট্যাবলেটগুলো 802.1X-এর মাধ্যমে প্রমাণীকরণ করে এবং প্রতিটি আউটেজের ফলে সার্টিফিকেট ম্যানুয়ালি রিনিউ না করা পর্যন্ত কর্মীরা পেমেন্ট প্রসেস করতে পারেন না। IT ডিরেক্টর পরবর্তী পিক ট্রেডিং পিরিয়ডের আগেই এই ত্রুটি দূর করতে চান।

৫০টি অন-প্রিমিসেস FreeRADIUS ইনস্ট্যান্স থেকে একটি কেন্দ্রীভূত Cloud RADIUS প্ল্যাটফর্মে স্থানান্তরিত হন। Cloud RADIUS-টিকে কর্পোরেট Okta ডিরেক্টরির সাথে ইন্টিগ্রেট করুন। নতুন Cloud RADIUS এন্ডপয়েন্টগুলোকে নির্দেশ করতে সমস্ত ৫০টি লোকেশনের অ্যাক্সেস পয়েন্ট কনফিগারেশন আপডেট করুন। POS ট্যাবলেটগুলোকে VLAN 10 (পেমেন্ট নেটওয়ার্ক) এবং স্টাফ ডিভাইসগুলোকে VLAN 20 (কর্পোরেট নেটওয়ার্ক)-এ রাখতে ডাইনামিক VLAN অ্যাসাইনমেন্ট কনফিগার করুন। ক্লাউড প্রদানকারী স্বয়ংক্রিয়ভাবে সমস্ত সার্ভার সার্টিফিকেট রোটেশন পরিচালনা করে। পরবর্তী অডিট সাইকেলের আগে একটি পেনিট্রেশন টেস্টের মাধ্যমে পেমেন্ট নেটওয়ার্ক এবং গেস্ট WiFi নেটওয়ার্কের মধ্যে VLAN সেগমেন্টেশন যাচাই করুন।

পরীক্ষকের মন্তব্য: আউটেজের মূল কারণ হলো ৫০টি পৃথক অন-প্রিমিসেস ইনস্ট্যান্সে ম্যানুয়াল সার্টিফিকেট ম্যানেজমেন্ট - যা ডিস্ট্রিবিউটেড রিটেইল IT এস্টেটের জন্য একটি সাধারণ অপারেশনাল ঝুঁকি। Cloud RADIUS সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট স্বয়ংক্রিয় করার মাধ্যমে এটি দূর করে। এই মাইগ্রেশন পলিসি ম্যানেজমেন্টকেও কেন্দ্রীভূত করে, যার অর্থ একটি পলিসি পরিবর্তন প্রতিটি সাইটে ম্যানুয়াল আপডেটের প্রয়োজন ছাড়াই একই সাথে সমস্ত ৫০টি লোকেশনে ডেপ্লয় করা যায়। পেনিট্রেশন টেস্টের সুপারিশটি PCI DSS-এর সেগমেন্টেশন যাচাই করার প্রয়োজনীয়তা পূরণ করে, শুধুমাত্র এটি কনফিগার করার মধ্যেই সীমাবদ্ধ থাকে না।

অনুশীলনী প্রশ্নসমূহ

Q1. একটি রিটেইল ভেন্যু PCI DSS v4.0 অডিটের জন্য প্রস্তুতি নিচ্ছে। তারা বর্তমানে কর্মীদের POS ট্যাবলেট এবং গেস্ট অ্যাক্সেস উভয়ের জন্য একটি প্রি-শেয়ার্ড কী সহ একটি মাত্র SSID চালাচ্ছেন। কোয়ালিফাইড সিকিউরিটি অ্যাসেসর এটিকে একটি গুরুতর সমস্যা হিসেবে চিহ্নিত করেছেন। অবিলম্বে কী ধরনের আর্কিটেকচারাল পরিবর্তন প্রয়োজন এবং এই প্রতিকারের মূল কেন্দ্রবিন্দুতে সার্ভার RADIUS-এর কোন ফিচারটি রয়েছে?

ইঙ্গিত: নেটওয়ার্ক সেগমেন্টেশন এবং নির্দিষ্ট RADIUS ফিচারের ওপর ফোকাস করুন যা এটিকে ডাইনামিকভাবে কার্যকর করে।

মডেল উত্তর দেখুন

ভেন্যুকে অবশ্যই 802.1X অথেন্টিকেশন প্রয়োগ করতে এবং শেয়ার্ড PSK প্রতিস্থাপন করতে একটি সার্ভার RADIUS স্থাপন করতে হবে। এর প্রধান ফিচারটি হলো ডাইনামিক VLAN অ্যাসাইনমেন্ট: POS ট্যাবলেটগুলোকে একটি পেমেন্ট VLAN-এ এবং গেস্টদের একটি আইসোলেটেড শুধুমাত্র-ইন্টারনেট VLAN-এ রাখার জন্য সার্ভার RADIUS কনফিগার করতে হবে, যার সাথে কঠোর ফায়ারওয়াল নিয়ম থাকবে যা তাদের মধ্যে কোনো ট্রাফিক আদান-প্রদান রোধ করবে। গেস্ট SSID-এর অনবোর্ডিংয়ের জন্য একটি Captive Portal ব্যবহার করা উচিত। PCI DSS রিকোয়ারমেন্ট ১১ পূরণের জন্য এই সেগমেন্টেশনটি শুধুমাত্র কনফিগারেশন পর্যালোচনার মাধ্যমে নয়, বরং একটি পেনিট্রেশন টেস্টের মাধ্যমে যাচাই করতে হবে।

Q2. ৩০টি শাখা অফিস বিশিষ্ট একটি এন্টারপ্রাইজ Cloud RADIUS এবং অন-প্রিমিসেস সার্ভার RADIUS-এর মধ্যে যেকোনো একটি বেছে নেওয়ার সিদ্ধান্ত নিচ্ছে। তাদের চারজন ইঞ্জিনিয়ারের একটি ছোট সেন্ট্রাল আইটি টিম রয়েছে, তারা আইডেন্টিটি ম্যানেজমেন্টের জন্য Okta ব্যবহার করে এবং তাদের কোনো ডেটা সার্বভৌমত্বের (data sovereignty) প্রয়োজনীয়তা নেই। কোন ডেপ্লয়মেন্ট মডেলটি সুপারিশ করা হয় এবং এর প্রাথমিক অপারেশনাল যৌক্তিকতা কী?

ইঙ্গিত: ৩০টি আলাদা ইনস্ট্যান্স পরিচালনা করার রক্ষণাবেক্ষণ খরচের সাথে একটি কেন্দ্রীভূত ক্লাউড সার্ভিসের তুলনা করে মূল্যায়ন করুন।

মডেল উত্তর দেখুন

Cloud RADIUS জোরালোভাবে সুপারিশ করা হয়। ৩০টি সাইট এবং চারজন ইঞ্জিনিয়ারের ক্ষেত্রে, ৩০টি অন-প্রিমিসেস সার্ভার RADIUS ইনস্ট্যান্স স্থাপন ও রক্ষণাবেক্ষণ করা টিমের ক্ষমতার তুলনায় অনেক বেশি সময় ও শ্রম অপচয় করবে। Cloud RADIUS মূলত Okta-র সাথে নেটিভভাবে কাজ করে, সার্টিফিকেট রোটেশন অটোমেট করে এবং টিমকে মূল অবকাঠামো পরিচালনা করার ঝামেলা ছাড়াই বিল্ট-ইন হাই অ্যাভেইলেবিলিটি প্রদান করে। ডেটা সার্বভৌমত্বের প্রয়োজনীয়তা না থাকায় অন-প্রিমিসেস ব্যবহারের মূল কারণটি আর থাকে না। WAN ডিপেন্ডেন্সি সহজে পরিচালনা করার জন্য টিমের উচিত অ্যাক্সেস পয়েন্টগুলোকে একটি ফলব্যাক পলিসি সহ কনফিগার করা।

Q3. একটি PEAP-MSCHAPv2 ডেপ্লয়মেন্টের সময়, ব্যবহারকারীরা কর্পোরেট WiFi SSID-এ সংযোগ করার সময় তাদের ডিভাইসে সিকিউরিটি সার্টিফিকেট ওয়ার্নিং পাওয়ার কথা জানাচ্ছেন। কিছু ব্যবহারকারী ওয়ার্নিংগুলো এড়িয়ে গিয়ে সংযোগ করছেন। এর নিরাপত্তা ঝুঁকি কী এবং কোন কনফিগারেশন ধাপটি মিস করা হয়েছে?

ইঙ্গিত: একটি ক্লায়েন্ট যখন সার্ভার সার্টিফিকেট যাচাই করে না তখন কী ঘটে এবং একজন আক্রমণকারী কীভাবে এর সুযোগ নিতে পারে তা বিবেচনা করুন।

মডেল উত্তর দেখুন

নিরাপত্তা ঝুঁকিটি হলো একটি রোগ অ্যাক্সেস পয়েন্ট (rogue access point) আক্রমণ। বাধ্যতামূলক সার্টিফিকেট যাচাইকরণ ছাড়া, একটি ক্লায়েন্ট ডিভাইস সাড়া দেওয়া যেকোনো সার্ভার RADIUS-এর সাথে সংযুক্ত হবে - যার মধ্যে আক্রমণকারীর দ্বারা পরিচালিত সার্ভারও অন্তর্ভুক্ত। আক্রমণকারী একটি জাল সার্টিফিকেট উপস্থাপন করে, ব্যবহারকারী ওয়ার্নিংটি উপেক্ষা করেন এবং আক্রমণকারী PEAP টানেলের মধ্যে থাকা ইউজারনেম ও পাসওয়ার্ড হাতিয়ে নেয়। যে কনফিগারেশন ধাপটি মিস করা হয়েছে তা হলো MDM প্রোফাইল (macOS এবং মোবাইলের জন্য) এবং গ্রুপ পলিসি অবজেক্ট (Windows-এর জন্য) স্থাপন করা যা স্পষ্টভাবে বিশ্বস্ত সার্টিফিকেট অথরিটি এবং প্রত্যাশিত সার্ভারের নাম নির্দিষ্ট করে। সার্টিফিকেট ট্রাস্টের সিদ্ধান্ত ব্যবহারকারীদের ওপর ম্যানুয়ালি নেওয়ার জন্য কখনোই ছেড়ে দেওয়া উচিত নয়।

Q4. ৬৮,০০০ আসন বিশিষ্ট একটি স্টেডিয়ামকে একটি বড় ইভেন্ট চলাকালীন কর্মীদের ডিভাইস অথেন্টিকেট করতে হবে যেখানে একটি ৩০ মিনিটের উইন্ডোর মধ্যে ৪০,০০০ ডিভাইস সংযোগ করার চেষ্টা করতে পারে। আইটি টিমের কঠোর ডেটা সার্বভৌমত্বের (data sovereignty) প্রয়োজনীয়তা রয়েছে: সমস্ত অথেন্টিকেশন লগ অবশ্যই যুক্তরাজ্যের মাটিতে থাকতে হবে। কোন ডেপ্লয়মেন্ট মডেলটি সুপারিশ করা হয় এবং কোন নির্দিষ্ট আর্কিটেকচার এই তীব্র ট্রাফিকের প্রয়োজনীয়তা পূরণ করে?

ইঙ্গিত: তীব্র চাপের পরিস্থিতিতে লোকাল অথেন্টিকেশনের লেটেন্সি এবং থ্রুপুট সুবিধার সাথে ক্লাউড-রাউটেড রিকোয়েস্টের তুলনা বিবেচনা করুন।

মডেল উত্তর দেখুন

ডেটা সার্বভৌমত্বের প্রয়োজনীয়তা এবং চরম আকস্মিক প্রমাণীকরণ লোডের কারণে অন-প্রিমিসেস সার্ভার RADIUS সুপারিশ করা হয়। সুপারিশকৃত আর্কিটেকচারটি হল অ্যাক্টিভ-অ্যাক্টিভ কনফিগারেশনে একটি ডুয়াল অন-প্রিমিসেস RADIUS ক্লাস্টার, যার সাথে যুক্তরাজ্যের মধ্যে একটি কো-লোকেশন সুবিধায় একটি সেকেন্ডারি ক্লাস্টার থাকবে। স্থানীয় প্রমাণীকরণ সাব-মিলিসেকেন্ড প্রতিক্রিয়া সময় প্রদান করে এবং WAN-এর উপর নির্ভরশীলতা দূর করে যা চরম আকস্মিক ইভেন্টগুলির সময় একটি বাধা তৈরি করতে পারে। অ্যাক্টিভ-অ্যাক্টিভ ক্লাস্টারটি ইন্টারনেট সংযোগের উপর নির্ভর না করেই রিডানড্যান্সি প্রদান করে। প্রমাণীকরণ লগগুলি যুক্তরাজ্যের মাটিতেই থাকে, যা ডেটা সার্বভৌমত্বের প্রয়োজনীয়তা পূরণ করে।

এই সিরিজে পড়া চালিয়ে যান

Aruba ClearPass বনাম Purple WiFi: ফিচার এবং সহ-স্থাপনার তুলনা

Aruba ClearPass এবং Purple WiFi-এর সহ-স্থাপনা আর্কিটেকচারের বিবরণ সম্বলিত একটি ব্যাপক প্রযুক্তিগত নির্দেশিকা। এটি এন্টারপ্রাইজ NAC-এর পাশাপাশি সুরক্ষিত, অ্যানালিটিক্স-চালিত গেস্ট নেটওয়ার্ক প্রদানের জন্য RADIUS proxy কনফিগারেশন, ডায়নামিক VLAN অ্যাসাইনমেন্ট এবং সর্বোত্তম অনুশীলনগুলি কভার করে।

গাইডটি পড়ুন →

Cisco ISE বনাম Purple WiFi: কীভাবে তারা তুলনা করে এবং একসাথে কাজ করে

এই নির্দেশিকাটি ব্যাখ্যা করে যে কীভাবে Cisco ISE এবং Purple WiFi এন্টারপ্রাইজ নেটওয়ার্কে আলাদা কিন্তু পরিপূরক ভূমিকা পালন করে। এটি নিরাপদ 802.1X কর্পোরেট অ্যাক্সেসের জন্য Cisco ISE কীভাবে ব্যবহার করবেন তা বিস্তারিতভাবে বর্ণনা করে, পাশাপাশি GDPR-সম্মত গেস্ট WiFi, মার্কেটিং অ্যানালিটিক্স এবং CRM ইন্টিগ্রেশনের জন্য Purple-কে কাজে লাগায়।

গাইডটি পড়ুন →

EAP-TLS বনাম EAP-TTLS: কোন সার্টিফিকেট-ভিত্তিক WiFi প্রোটোকলটি আপনার বেছে নেওয়া উচিত?

এই নির্দেশিকাটি IEEE 802.1X এর অধীনে এন্টারপ্রাইজ WiFi অথেন্টিকেশনের জন্য EAP-TLS এবং EAP-TTLS-এর একটি সুনির্দিষ্ট তুলনামূলক বিশ্লেষণ প্রদান করে। এটি মিউচুয়াল সার্টিফিকেট অথেন্টিকেশন এবং সার্ভার-অনলি সার্টিফিকেট টানেলিং-এর মধ্যে আর্কিটেকচারাল পার্থক্য ব্যাখ্যা করে এবং IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং CISO-দের ডিভাইস ম্যানেজমেন্ট সক্ষমতা এবং কমপ্লায়েন্স প্রয়োজনীয়তার উপর ভিত্তি করে একটি স্পষ্ট সিদ্ধান্ত গ্রহণের কাঠামো প্রদান করে। Purple স্টাফ WiFi-এর জন্য EAP-TLS এবং EAP-TTLS উভয় অথেন্টিকেশন পাথ সমর্থন করে, এবং এই নির্দেশিকাটি সংস্থাগুলিকে যেকোনো একটি পদ্ধতি প্রয়োগ করার আগে অবকাঠামো সংক্রান্ত সুবিধা-অসুবিধাগুলো বুঝতে সাহায্য করে।

গাইডটি পড়ুন →