WiFi অথেন্টিকেশনের জন্য কীভাবে একটি RADIUS সার্ভার সেট আপ করবেন

এক্সিকিউটিভ সামারি

এন্টারপ্রাইজ পরিবেশের জন্য — তা কোনো বিশাল বিশ্ববিদ্যালয় ক্যাম্পাস, উচ্চ-ঘনত্বের স্টেডিয়াম বা কোনো বিস্তৃত রিটেইল চেইনই হোক না কেন — WiFi অ্যাক্সেসের জন্য একটি Pre-Shared Key (PSK)-এর ওপর নির্ভর করা একটি বড় ধরনের নিরাপত্তা ঝুঁকি। একটিমাত্র আপোসকৃত ক্রেডেনশিয়াল পুরো নেটওয়ার্ককে ঝুঁকির মুখে ফেলে দেয় এবং অ্যাক্সেস বাতিল করার জন্য এস্টেটের প্রতিটি ডিভাইসের পাসওয়ার্ড পরিবর্তন করতে হয়। একটি RADIUS (Remote Authentication Dial-In User Service) সার্ভারের মাধ্যমে 802.1X অথেন্টিকেশন বাস্তবায়ন করলে এই সমস্যাটি সম্পূর্ণ দূর হয়: প্রতিটি ব্যবহারকারী আলাদাভাবে অথেন্টিকেট হন, অ্যাক্সেস তাৎক্ষণিকভাবে বাতিল করা যায় এবং নেটওয়ার্ক সেগমেন্টেশন ডাইনামিকভাবে প্রয়োগ করা হয়।

এই গাইডটি IT ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য RADIUS অথেন্টিকেশন ডেপ্লয় করার একটি সুনির্দিষ্ট রোডম্যাপ প্রদান করে। আমরা অন-প্রেমিস এবং ক্লাউড-হোস্টেড ডেপ্লয়মেন্টের মধ্যে আর্কিটেকচারাল সুবিধা-অসুবিধা, Extensible Authentication Protocol (EAP) মেথডগুলোর কনফিগারেশন এবং Active Directory-এর মতো ডিরেক্টরি সার্ভিসগুলোর সাথে ইন্টিগ্রেশন কভার করেছি। আমরা আরও দেখিয়েছি কীভাবে একটি শক্তিশালী অথেন্টিকেশন লেয়ার Guest WiFi সলিউশনের সাথে ইন্টিগ্রেট হয়ে ভিজিটরদের নিরবচ্ছিন্ন অ্যাক্সেস প্রদান করে, পাশাপাশি WiFi Analytics ক্যাপচার করে যা আপনার নেটওয়ার্ককে একটি বিজনেস ইন্টেলিজেন্স অ্যাসেটে পরিণত করে।

টেকনিক্যাল ডিপ-ডাইভ

802.1X আর্কিটেকচার

IEEE 802.1X স্ট্যান্ডার্ড পোর্ট-ভিত্তিক Network Access Control (PNAC) সংজ্ঞায়িত করে। একটি ওয়্যারলেস প্রেক্ষাপটে, এতে তিনটি প্রাথমিক ভূমিকা একসাথে কাজ করে:

যখন একটি supplicant একটি অ্যাক্সেস পয়েন্টের সাথে যুক্ত হয়, তখন AP, EAP (Extensible Authentication Protocol) মেসেজ ছাড়া অন্য সব ডেটা ট্রাফিক ব্লক করে দেয়। AP এই EAP মেসেজগুলোকে RADIUS প্যাকেটে এনক্যাপসুলেট করে এবং RADIUS সার্ভারে ফরোয়ার্ড করে। সার্ভারটি একটি ব্যাকএন্ড ডেটাবেস — সাধারণত LDAP বা Active Directory — এর বিপরীতে ক্রেডেনশিয়ালগুলো যাচাই করে এবং একটি Access-Accept বা Access-Reject মেসেজ ফেরত পাঠায়। যদি গৃহীত হয়, AP পোর্টটি আনব্লক করে দেয় এবং ক্লায়েন্টের ট্রাফিক অবাধে প্রবাহিত হয়।

একটি EAP মেথড নির্বাচন করা

আপনার RADIUS ডেপ্লয়মেন্টের নিরাপত্তা মূলত নির্বাচিত EAP মেথডের ওপর নির্ভর করে। এন্টারপ্রাইজ ডেপ্লয়মেন্টে সবচেয়ে প্রচলিত দুটি মেথড হলো:

EAP-TLS (Transport Layer Security) হলো গোল্ড স্ট্যান্ডার্ড। এর জন্য RADIUS সার্ভার এবং প্রতিটি ক্লায়েন্ট ডিভাইস উভয় ক্ষেত্রেই ডিজিটাল সার্টিফিকেটের প্রয়োজন হয়, যা পাসওয়ার্ডের প্রয়োজনীয়তা সম্পূর্ণ দূর করে। এমনকি কোনো আক্রমণকারী যদি সম্পূর্ণ অথেন্টিকেশন এক্সচেঞ্জ ক্যাপচারও করে ফেলে, তবুও এক্সট্র্যাক্ট করার মতো কোনো ক্রেডেনশিয়াল থাকে না। এর একমাত্র অসুবিধা হলো অ্যাডমিনিস্ট্রেটিভ ওভারহেড: ক্লায়েন্ট সার্টিফিকেট ডেপ্লয় এবং ম্যানেজ করার জন্য একটি কার্যকর Public Key Infrastructure (PKI) এবং এন্ডপয়েন্টগুলোতে সার্টিফিকেট বিতরণ করার জন্য একটি MDM সলিউশন (যেমন, Microsoft Intune, Jamf) প্রয়োজন।

PEAP-MSCHAPv2 (Protected EAP) হলো বাস্তবে সবচেয়ে বেশি ব্যবহৃত মেথড। এটি একটি এনক্রিপ্টেড TLS টানেল তৈরি করতে একটি সার্ভার-সাইড সার্টিফিকেট ব্যবহার করে, যার ভেতরে ক্লায়েন্ট একটি ইউজারনেম এবং পাসওয়ার্ড দিয়ে অথেন্টিকেট হয়। এটি EAP-TLS-এর চেয়ে ডেপ্লয় করা অনেক সহজ কারণ এখানে কেবল একটি সার্টিফিকেট — সার্ভারেরটি — ম্যানেজ করতে হয়। তবে, এর একটি গুরুতর সীমাবদ্ধতা রয়েছে: যদি ক্লায়েন্ট ডিভাইসগুলো RADIUS সার্ভারের সার্টিফিকেট যাচাই করার জন্য স্পষ্টভাবে কনফিগার করা না থাকে, তবে সেগুলো ক্ষতিকারক অ্যাক্সেস পয়েন্টের মাধ্যমে Man-in-the-Middle (MitM) আক্রমণের শিকার হতে পারে।

গুরুত্বপূর্ণ নিরাপত্তা নোট: ক্লায়েন্ট ডিভাইসগুলোতে কঠোর সার্টিফিকেট যাচাইকরণ প্রয়োগ করতে ব্যর্থ হলে তা PEAP-MSCHAPv2-এর নিরাপত্তা সুবিধাকে কার্যকরভাবে বাতিল করে দেয়। একজন আক্রমণকারী একটি ক্ষতিকারক AP ডেপ্লয় করতে পারে, একটি জাল সার্টিফিকেট প্রদর্শন করতে পারে এবং প্লেইনটেক্সটে ব্যবহারকারীর ক্রেডেনশিয়াল ক্যাপচার করতে পারে। এটি কোনো তাত্ত্বিক ঝুঁকি নয় — এটি একটি সুপ্রতিষ্ঠিত অ্যাটাক ভেক্টর যা বাস্তব-বিশ্বের পরিবেশে ব্যবহৃত হয়েছে।

ইমপ্লিমেন্টেশন গাইড

ধাপ ১: আর্কিটেকচারাল সিদ্ধান্ত — On-Premise বনাম ক্লাউড RADIUS

প্রথম সিদ্ধান্তটি হলো RADIUS ইনফ্রাস্ট্রাকচার কোথায় হোস্ট করা হবে। এটি মূলত একটি অপারেশনাল এবং খরচ সংক্রান্ত প্রশ্ন, কোনো নিরাপত্তা সংক্রান্ত প্রশ্ন নয় — উভয় মডেলই নিরাপদে ডেপ্লয় করা সম্ভব।

On-Premise RADIUS (যেমন, Microsoft NPS, FreeRADIUS, Cisco ISE) ডেডিকেটেড IT স্টাফ, বিদ্যমান অন-প্রেমিস ডিরেক্টরি ইনফ্রাস্ট্রাকচার এবং কঠোর ডেটা সার্বভৌমত্ব বা কমপ্লায়েন্সের প্রয়োজনীয়তা রয়েছে এমন সংস্থাগুলোর জন্য উপযুক্ত। এটি অথেন্টিকেশনের জন্য ইন্টারনেট সংযোগের ওপর নির্ভর করে না, যা এমন পরিবেশের জন্য একটি উল্লেখযোগ্য সুবিধা যেখানে ইন্টারনেটের আপটাইম নিশ্চিত করা যায় না।

Cloud RADIUS ক্রমশ বিতরণকৃত পরিবেশের জন্য পছন্দের মডেল হয়ে উঠছে — যেমন Retail চেইন, Hospitality গ্রুপ এবং Transport হাব, যেখানে প্রতিটি লোকেশনে সার্ভার ডেপ্লয় করা অপারেশনালভাবে অবাস্তব। Cloud RADIUS ক্লাউড আইডেন্টিটি প্রোভাইডারদের (Azure AD, Google Workspace, Okta) সাথে নেটিভভাবে ইন্টিগ্রেট হয় এবং বিল্ট-ইন হাই অ্যাভেলেবিলিটি ও গ্লোবাল স্কেলেবিলিটি প্রদান করে।

ধাপ ২: RADIUS সার্ভার ইনস্টল এবং কনফিগার করা

Windows-কেন্দ্রিক পরিবেশে সবচেয়ে সাধারণ পছন্দ Microsoft NPS ব্যবহার করে একটি অন-প্রেমিস ডেপ্লয়মেন্টের জন্য:

1. Server Manager-এর মাধ্যমে Network Policy Server রোলটি ইনস্টল করুন।
2. Active Directory-তে NPS সার্ভারটি রেজিস্টার করুন যাতে এটি ব্যবহারকারীর ডায়াল-ইন প্রোপার্টিজ পড়তে পারে।
3. প্রতিটি অ্যাক্সেস পয়েন্ট বা ওয়্যারলেস কন্ট্রোলারের জন্য একটি RADIUS Client এন্ট্রি তৈরি করুন, যেখানে AP-এর IP অ্যাড্রেস এবং একটি শক্তিশালী, অনন্য Shared Secret উল্লেখ থাকবে।
4. অ্যাক্সেসের শর্তাবলী (যেমন, ইউজার গ্রুপ মেম্বারশিপ) এবং সীমাবদ্ধতা (যেমন, EAP মেথড, সেশন টাইমআউট) নির্ধারণ করে একটি Network Policy কনফিগার করুন।
5. অনুরোধগুলো স্থানীয়ভাবে প্রসেস করার জন্য Connection Request Policy কনফিগার করুন।

Linux-এ FreeRADIUS-এর জন্য:

1. প্যাকেজ ম্যানেজারের মাধ্যমে ইনস্টল করুন: sudo apt-get install freeradius freeradius-ldap।
2. RADIUS ক্লায়েন্ট (APs) এবং তাদের shared secrets সংজ্ঞায়িত করতে /etc/freeradius/3.0/clients.conf কনফিগার করুন।
3. আপনার Active Directory বা LDAP সার্ভারকে নির্দেশ করতে /etc/freeradius/3.0/mods-available/ldap-এ LDAP মডিউলটি কনফিগার করুন।
4. LDAP মডিউলটি সক্রিয় করুন: sudo ln -s /etc/freeradius/3.0/mods-available/ldap /etc/freeradius/3.0/mods-enabled/।
5. /etc/freeradius/3.0/mods-available/eap-এ EAP মেথডগুলো সংজ্ঞায়িত করুন।

ধাপ ৩: অ্যাক্সেস পয়েন্টগুলো কনফিগার করা

আপনার ওয়্যারলেস কন্ট্রোলার বা পৃথক অ্যাক্সেস পয়েন্টগুলোতে:

1. RADIUS সার্ভারের IP অ্যাড্রেস এবং অথেন্টিকেশন পোর্ট (ডিফল্ট: UDP 1812) নির্ধারণ করুন।
2. Shared Secret কনফিগার করুন — আলফানিউমেরিক এবং বিশেষ অক্ষরের মিশ্রণে ন্যূনতম ২২টি অক্ষর ব্যবহার করুন। প্রতি লোকেশন বা AP গ্রুপের জন্য একটি অনন্য সিক্রেট ব্যবহার করুন।
3. 802.1X কী ম্যানেজমেন্ট সহ WPA2-Enterprise বা WPA3-Enterprise সিকিউরিটি মোড ব্যবহার করতে SSID কনফিগার করুন।
4. ফেইলওভারের জন্য একটি সেকেন্ডারি RADIUS সার্ভার কনফিগার করুন।

ধাপ ৪: ডিরেক্টরি ইন্টিগ্রেশন

অন-প্রেমিস AD ইন্টিগ্রেশনের জন্য, RADIUS সার্ভারটিকে অবশ্যই ডোমেনে যুক্ত হতে হবে অথবা LDAP রিড অ্যাক্সেস থাকতে হবে। নিশ্চিত করুন যে LDAP বাইন্ডিংয়ের জন্য ব্যবহৃত সার্ভিস অ্যাকাউন্টগুলোর ন্যূনতম প্রয়োজনীয় পারমিশন রয়েছে। ক্লাউড RADIUS-এর জন্য, আপনার IdP-এর সাথে API-ভিত্তিক সিঙ্ক্রোনাইজেশন বা SAML/OIDC ইন্টিগ্রেশন কনফিগার করুন।

আপনার ডিরেক্টরিতে স্পষ্ট ইউজার গ্রুপ সংজ্ঞায়িত করুন, কারণ এগুলো অথরাইজেশন পলিসি পরিচালনা করবে। প্রস্তাবিত গ্রুপ স্ট্রাকচার:

ধাপ ৫: ক্লায়েন্ট কনফিগারেশন এবং সার্টিফিকেট যাচাইকরণ

এটি অপারেশনাল দিক থেকে সবচেয়ে গুরুত্বপূর্ণ ধাপ। ম্যানেজড ডিভাইসগুলোতে ব্যাকগ্রাউন্ডে নিরবচ্ছিন্নভাবে WiFi কনফিগারেশন পুশ করতে Windows-এর জন্য Group Policy (GPO) এবং macOS/iOS/Android-এর জন্য MDM প্রোফাইল ব্যবহার করুন। প্রোফাইলে অবশ্যই নিম্নলিখিত বিষয়গুলো উল্লেখ থাকতে হবে:

• যে Root CA RADIUS সার্ভারের সার্টিফিকেট ইস্যু করেছে।
• প্রত্যাশিত সার্ভারের নাম (সার্ভার সার্টিফিকেটের CN বা SAN)।
• EAP মেথড এবং ভেতরের অথেন্টিকেশন প্রোটোকল।

আনম্যানেজড BYOD ডিভাইসগুলোর জন্য, স্পষ্ট সেলফ-সার্ভিস অনবোর্ডিং নির্দেশনা প্রদান করুন, আদর্শভাবে একটি Network Access Control (NAC) পোর্টালের মাধ্যমে।

ধাপ ৬: ডাইনামিক VLAN অ্যাসাইনমেন্ট বাস্তবায়ন করা

Access-Accept রেসপন্সে VLAN অ্যাসাইনমেন্ট অ্যাট্রিবিউট ফেরত দেওয়ার জন্য RADIUS সার্ভারটি কনফিগার করুন:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = IEEE-802 (6)
• Tunnel-Private-Group-Id = <VLAN ID>

অ্যাক্সেস পয়েন্ট এই অ্যাট্রিবিউটগুলো পড়ে এবং অথেন্টিকেটেড ক্লায়েন্টকে নির্দিষ্ট VLAN-এ স্থাপন করে — ব্যবহারকারীরা তাদের রোল বা লোকেশন পরিবর্তন করলেও কোনো ম্যানুয়াল রিকনফিগারেশনের প্রয়োজন হয় না।

বেস্ট প্র্যাকটিস

রেডান্ডান্সি নিয়ে কোনো আপোস করা যাবে না। ন্যূনতম দুটি RADIUS সার্ভার (প্রাইমারি এবং সেকেন্ডারি) ডেপ্লয় করুন এবং স্বয়ংক্রিয়ভাবে ফেইলওভার করার জন্য সমস্ত অ্যাক্সেস পয়েন্ট কনফিগার করুন। অন-প্রেমিস ডেপ্লয়মেন্টের জন্য, সেকেন্ডারি সার্ভারটিকে একটি ভিন্ন ফিজিক্যাল লোকেশন বা অ্যাভেলেবিলিটি জোনে রাখার কথা বিবেচনা করুন। একটি RADIUS বিভ্রাট মানে কেউ অথেন্টিকেট হতে পারবে না, যা 802.1X-সুরক্ষিত SSID-গুলোর জন্য সম্পূর্ণ নেটওয়ার্ক বিভ্রাট।

সার্টিফিকেটের মেয়াদ শেষ হওয়ার বিষয়টি প্রোঅ্যাক্টিভলি মনিটর করুন। একটি RADIUS সার্ভার সার্টিফিকেটের মেয়াদ শেষ হওয়া হঠাৎ এবং ব্যাপক অথেন্টিকেশন ব্যর্থতার অন্যতম সাধারণ কারণ। মেয়াদ শেষ হওয়ার কমপক্ষে ৩০ দিন আগে অ্যাডমিনিস্ট্রেটরদের সতর্ক করার জন্য মনিটরিং ব্যবস্থা চালু করুন। এটি সার্ভার সার্টিফিকেট এবং চেইনের যেকোনো ইন্টারমিডিয়েট CA সার্টিফিকেট উভয়ের ক্ষেত্রেই প্রযোজ্য।

Shared Secret-কে একটি অত্যন্ত গুরুত্বপূর্ণ ক্রেডেনশিয়াল হিসেবে বিবেচনা করুন। AP এবং RADIUS সার্ভারের মধ্যকার shared secret, RADIUS প্যাকেটগুলোকে এনক্রিপ্ট করে। প্রতি লোকেশন বা AP গ্রুপের জন্য অনন্য সিক্রেট ব্যবহার করুন, সেগুলো একটি সিক্রেটস ম্যানেজারে সংরক্ষণ করুন এবং পর্যায়ক্রমে পরিবর্তন করুন। আরও ব্যাপক নেটওয়ার্ক সিকিউরিটি হাইজিন সুপারিশের জন্য আমাদের Protect Your Network with Strong DNS and Security গাইডটি দেখুন।

কমপ্লায়েন্স ফ্রেমওয়ার্কের সাথে সামঞ্জস্যপূর্ণ রাখুন। PCI-DSS-এর আওতাধীন পরিবেশের জন্য (যেমন, রিটেইল পেমেন্ট নেটওয়ার্ক), 802.1X অথেন্টিকেশন সরাসরি নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল এবং অডিট লগিংয়ের প্রয়োজনীয়তাগুলোকে সমর্থন করে। GDPR কমপ্লায়েন্সের জন্য, RADIUS অ্যাকাউন্টিং লগ (পোর্ট ১৮১৩) কে, কোথা থেকে এবং কখন নেটওয়ার্ক অ্যাক্সেস করেছে তার একটি বিস্তারিত অডিট ট্রেইল প্রদান করে — যা ইনসিডেন্ট রেসপন্সের জন্য অত্যন্ত মূল্যবান। Healthcare পরিবেশের জন্য, ডাইনামিক VLAN অ্যাসাইনমেন্টের মাধ্যমে নেটওয়ার্ক সেগমেন্টেশন ইলেকট্রনিক প্রটেক্টেড হেলথ ইনফরমেশন (ePHI) সুরক্ষার জন্য HIPAA প্রয়োজনীয়তাগুলোকে সমর্থন করে।

ট্রাবলশুটিং এবং ঝুঁকি প্রশমন

802.1X কনফিগারেশন প্রক্রিয়া সম্পর্কে আরও বিস্তারিত জানতে, How to Configure 802.1X WiFi Authentication: A Step-by-Step Guide গাইডটি সুনির্দিষ্ট এবং ভেন্ডর-ভিত্তিক কনফিগারেশন নির্দেশিকা প্রদান করে।

ROI এবং ব্যবসায়িক প্রভাব

PSK থেকে RADIUS-ভিত্তিক 802.1X-এ স্থানান্তরের জন্য কনফিগারেশনে প্রাথমিক বিনিয়োগ এবং ক্লাউড সলিউশনের জন্য সম্ভাব্য লাইসেন্সিং বা অন-প্রেমিস ডেপ্লয়মেন্টের জন্য হার্ডওয়্যারের প্রয়োজন হয়। এর ROI-এর হিসাবটি অত্যন্ত স্পষ্ট:

ঝুঁকি প্রশমন: যুক্তরাজ্যে একটি ডেটা ব্রিচের গড় খরচ ৩ মিলিয়ন পাউন্ডের বেশি (IBM Cost of a Data Breach Report)। একটি আপোসকৃত PSK পুরো নেটওয়ার্ককে ঝুঁকির মুখে ফেলতে পারে। 802.1X ক্ষয়ক্ষতির পরিধিকে কেবল একটি আপোসকৃত ইউজার অ্যাকাউন্টের মধ্যে সীমাবদ্ধ রাখে, যা ডিরেক্টরির মাধ্যমে কয়েক সেকেন্ডের মধ্যে নিষ্ক্রিয় করা যেতে পারে।

অপারেশনাল দক্ষতা: ডাইনামিক VLAN অ্যাসাইনমেন্ট কর্মীদের রোল পরিবর্তনের সাথে সাথে ম্যানুয়াল নেটওয়ার্ক রিকনফিগারেশনের প্রয়োজনীয়তা দূর করে। একজন নতুন কর্মচারীকে অনবোর্ড করার অর্থ হলো তাকে সঠিক AD গ্রুপে যুক্ত করা — নেটওয়ার্ক অ্যাক্সেস স্বয়ংক্রিয়ভাবে কার্যকর হয়ে যায়।

কমপ্লায়েন্সের অবস্থা: PCI-DSS, ISO 27001 বা Cyber Essentials Plus-এর আওতাধীন সংস্থাগুলোর জন্য, 802.1X হলো একটি সরাসরি কন্ট্রোল যা অডিটররা দেখতে আশা করেন। এটি ডেপ্লয় করলে আপনার কমপ্লায়েন্সের অবস্থা শক্তিশালী হয় এবং অডিট সংশোধনের খরচ কমে যায়।

ভিজিটর অভিজ্ঞতা এবং অ্যানালিটিক্স: ভেন্যু অপারেটরদের জন্য, ভিজিটর অ্যাক্সেসের জন্য Purple-এর Guest WiFi প্ল্যাটফর্মের সাথে স্টাফ অথেন্টিকেশনের জন্য RADIUS ইন্টিগ্রেট করলে একটি ইউনিফাইড, টায়ার্ড অ্যাক্সেস মডেল তৈরি হয়। কর্মীরা 802.1X-এর মাধ্যমে ব্যাকগ্রাউন্ডে অথেন্টিকেট হন; অতিথিরা একটি ব্র্যান্ডেড ক্যাপটিভ পোর্টাল-এর মাধ্যমে সংযুক্ত হন। Purple-এর WiFi Analytics প্ল্যাটফর্ম তখন ভিজিটরদের থাকার সময় (dwell times), বারবার আসার হার (repeat visit rates) এবং এনগেজমেন্ট মেট্রিক্সের রিয়েল-টাইম ভিজিবিলিটি প্রদান করে — এই ডেটা সরাসরি মার্কেটিং খরচ এবং ভেন্যু অপারেশন সংক্রান্ত সিদ্ধান্ত গ্রহণে সাহায্য করে।

আরও পড়ার জন্য, পর্তুগিজ ভাষার ইমপ্লিমেন্টেশন নির্দেশিকার জন্য Como Configurar a Autenticação 802.1X WiFi: Um Guia Passo a Passo এবং অন্তর্নিহিত কানেক্টিভিটি এন্টারপ্রাইজের প্রয়োজনীয়তা পূরণ করছে কিনা তা নিশ্চিত করার নির্দেশিকার জন্য What Is a Leased Line? Dedicated Business Internet দেখুন।