মূল কন্টেন্টে যান
বাংলা

কীভাবে WiFi অথেন্টিকেশনের জন্য একটি RADIUS সার্ভার সেট আপ করবেন: ধাপে ধাপে 802.1X নির্দেশিকা

এন্টারপ্রাইজ 802.1X WiFi অথেন্টিকেশনের জন্য FreeRADIUS, Windows Server NPS এবং Cloud RADIUS কনফিগার করুন। শেয়ার্ড সিক্রেট, EAP-TLS সার্টিফিকেট, ডাইনামিক VLAN অ্যাসাইনমেন্ট এবং Microsoft Entra ID ইন্টিগ্রেশন কভার করা ধাপে ধাপে নির্দেশিকা।

লিখেছেন Iain Jewittপ্রকাশিত
📖 8 মিনিট পাঠ1,651 শব্দ2 সমাধানকৃত উদাহরণ3 অনুশীলনী প্রশ্ন5 মূল সংজ্ঞা

Video overview

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
Purple-এর টেকনিক্যাল ব্রিফিং-এ আপনাকে স্বাগতম। আজ আমরা যেকোনো এন্টারপ্রাইজ IT লিডারের জন্য একটি অত্যন্ত গুরুত্বপূর্ণ পরিকাঠামো সংক্রান্ত সিদ্ধান্ত নিয়ে আলোচনা করছি: WiFi অথেন্টিকেশনের জন্য কীভাবে একটি RADIUS সার্ভার সেট আপ করতে হয়। আপনি যদি একটি বৃহৎ-পরিমাপের ডিপ্লয়মেন্ট পরিচালনা করেন - তা কোনো হোটেল চেইন, কোনো রিটেইল নেটওয়ার্ক, বা কোনো বিস্তৃত বিশ্ববিদ্যালয় ক্যাম্পাস যাই হোক না কেন - একটি সাধারণ প্রি-শেয়ার্ড কী-র ওপর নির্ভর করা একটি বড় ধরণের নিরাপত্তা ঝুঁকি। আমাদের 802.1X প্রয়োজন, আর তার মানে আমাদের RADIUS প্রয়োজন। আসুন প্রেক্ষাপট দিয়ে শুরু করা যাক। RADIUS, বা রিমোট অথেন্টিকেশন ডায়াল-ইন ইউজার সার্ভিস, আপনার নেটওয়ার্কের গেটকিপার হিসেবে কাজ করে। যখন কোনো ডিভাইস একটি WiFi অ্যাক্সেস পয়েন্টের সাথে সংযোগ করার চেষ্টা করে, তখন অ্যাক্সেস পয়েন্টটি একটি অথেনটিকেটর হিসেবে কাজ করে এবং ক্রেডেনশিয়ালগুলো RADIUS সার্ভারে পাঠিয়ে দেয়। সার্ভার সেই ক্রেডেনশিয়ালগুলো একটি ডিরেক্টরির সাথে - যেমন Active Directory বা একটি LDAP ডাটাবেস - যাচাই করে এবং তারপর একটি গ্রহণযোগ্য বা প্রত্যাখ্যানের বার্তা পাঠায়। এটি এন্টারপ্রাইজ WiFi নিরাপত্তার ভিত্তি, এবং এটি এমন একটি মেকানিজম যা আপনাকে বৃহৎ পরিসরে সুনির্দিষ্ট অ্যাক্সেস পলিসি প্রয়োগ করতে সাহায্য করে। এখন টেকনিক্যাল বিষয়ের গভীরে যাওয়া যাক। আপনি যে প্রথম বড় ধরণের আর্কিটেকচারাল সিদ্ধান্তের মুখোমুখি হবেন তা হলো একটি অন-প্রেমিস RADIUS সার্ভার এবং একটি ক্লাউড-হোস্টেড সমাধানের মধ্যে যেকোনো একটিকে বেছে নেওয়া। ঐতিহাসিকভাবে, অন-প্রেমিস সমাধান যেমন Microsoft-এর নেটওয়ার্ক পলিসি সার্ভার, বা NPS, অথবা ওপেন সোর্স FreeRADIUS ছিল স্ট্যান্ডার্ড। এগুলো পরিকাঠামোর ওপর সম্পূর্ণ নিয়ন্ত্রণ প্রদান করে এবং অথেন্টিকেশনের জন্য কোনো বাহ্যিক ইন্টারনেট সংযোগের ওপর নির্ভর করে না। তবে, এগুলোর জন্য ডেডিকেটেড হার্ডওয়্যার, চলমান রক্ষণাবেক্ষণ এবং রিডান্ড্যান্সির ম্যানুয়াল কনফিগারেশনের প্রয়োজন হয়। আপনার যদি একটি একক ডেটা সেন্টার এবং পর্যাপ্ত কর্মী সমৃদ্ধ একটি IT টিম থাকে, তবে এটি একটি সম্পূর্ণ সঠিক পদ্ধতি। অন্য দিকে, ক্লাউড RADIUS সমাধানগুলো ক্রমশ জনপ্রিয় হয়ে উঠেছে, বিশেষ করে রিটেইল চেইন বা হসপিটালিটি ভেন্যুর মতো ডিস্ট্রিবিউটেড পরিবেশের জন্য। ক্লাউড RADIUS হার্ডওয়্যার পরিচালনাকে সম্পূর্ণভাবে সহজ করে দেয়, বিল্ট-ইন উচ্চ প্রাপ্যতা নিশ্চিত করে এবং ক্লাউড আইডেন্টিটি প্রোভাইডার যেমন Azure Active Directory বা Okta-র সাথে নির্বিঘ্নে সংহত হয়। এর অসুবিধা হলো যে অথেন্টিকেশনের জন্য একটি নির্ভরযোগ্য ইন্টারনেট সংযোগের প্রয়োজন হয়, এবং একটি চলমান সাবস্ক্রিপশন খরচ থাকে। পঞ্চাশ বা একশত লোকেশন পরিচালনা করছেন এমন একজন ভেন্যু অপারেটরের জন্য, প্রতিটি সাইটে অন-প্রেমিস সার্ভার ডিপ্লয় এবং রক্ষণাবেক্ষণ না করার ফলে যে পরিচালনগত সাশ্রয় হবে তা নিশ্চিতভাবেই এই খরচের চেয়ে অনেক বেশি সুবিধাজনক হবে। RADIUS ডিপ্লয় করার সময়, এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল - EAP - হলো একটি গুরুত্বপূর্ণ অংশ। ক্লায়েন্ট এবং সার্ভার কীভাবে অথেন্টিকেশন আলোচনা এবং সম্পাদন করবে তা এটি নির্ধারণ করে। EAP-TLS নিরাপত্তার জন্য গোল্ড স্ট্যান্ডার্ড হিসেবে বিবেচিত কারণ এটি ক্লায়েন্ট এবং সার্ভার উভয় ক্ষেত্রেই ডিজিটাল সার্টিফিকেট ব্যবহার করে, যার ফলে পাসওয়ার্ডের প্রয়োজনীয়তা সম্পূর্ণ দূর হয়। এর অর্থ হলো কোনো আক্রমণকারী যদি অথেন্টিকেশন এক্সচেঞ্জটি ক্যাপচারও করে, তবুও চুরি করার মতো কোনো ক্রেডেনশিয়াল থাকবে না। তবে, ক্লায়েন্ট সার্টিফিকেট ডিপ্লয় করা প্রশাসনিকভাবে বেশ জটিল হতে পারে। প্রতিটি ডিভাইসে সার্টিফিকেট পুশ করার জন্য আপনার একটি পাবলিক কী ইনফ্রাস্ট্রাকচার এবং একটি MDM সমাধানের প্রয়োজন হবে।PEAP-MSCHAPv2 হলো সবচেয়ে সাধারণ বিকল্প। এটি একটি এনক্রিপ্ট করা TLS টানেল তৈরি করতে একটি সার্ভার-সাইড সার্টিফিকেট ব্যবহার করে, যার ভিতরে ব্যবহারকারী একটি ইউজারনেম এবং পাসওয়ার্ড দিয়ে প্রমাণীকরণ করেন। এটি EAP-TLS এর চেয়ে স্থাপন করা উল্লেখযোগ্যভাবে সহজ কারণ আপনাকে কেবল একটি সার্টিফিকেট পরিচালনা করতে হবে - সার্ভারের। তবে, এবং এটি অত্যন্ত গুরুত্বপূর্ণ - যদি ক্লায়েন্টদের সার্ভারের সার্টিফিকেট যাচাই করার জন্য কঠোরভাবে কনফিগার না করা হয়, তবে তারা অননুমোদিত অ্যাক্সেস পয়েন্টের জন্য ঝুঁকিপূর্ণ হয়ে পড়ে। একজন আক্রমণকারী একটি নকল অ্যাক্সেস পয়েন্ট তৈরি করতে পারে, একটি জাল সার্টিফিকেট উপস্থাপন করতে পারে এবং ক্রেডেনশিয়াল হাতিয়ে নিতে পারে। এটি কোনো তাত্ত্বিক আক্রমণ নয়। এটি একটি সুপ্রতিষ্ঠিত বাস্তব-জগতের হুমকি। আসুন বাস্তবায়নের সুপারিশ এবং সমস্যাগুলি নিয়ে কথা বলি। প্রথম সুপারিশ হলো প্রতিটি ক্লায়েন্ট ডিভাইসে কঠোর সার্টিফিকেট যাচাইকরণ বাধ্যতামূলক করা। Windows ডিভাইসের জন্য গ্রুপ পলিসি অবজেক্ট এবং macOS ও মোবাইল ডিভাইসের জন্য MDM প্রোফাইল - তা Intune, Jamf বা অন্য কোনো সমাধানই হোক না কেন - ব্যবহার করুন। প্রোফাইলটিতে অবশ্যই সুনির্দিষ্টভাবে উল্লেখ করতে হবে যে কোন সার্টিফিকেট অথরিটিকে বিশ্বাস করতে হবে এবং প্রত্যাশিত সার্ভারের নাম কী। এটি শেষ ব্যবহারকারীর ম্যানুয়ালি কনফিগার করার জন্য ছেড়ে দেবেন না। দ্বিতীয় সুপারিশ হলো ডাইনামিক VLAN অ্যাসাইনমেন্ট বাস্তবায়ন করা। সমস্ত প্রমাণীকৃত ব্যবহারকারীদের একই ফ্ল্যাট নেটওয়ার্কে রাখার পরিবর্তে, ডিরেক্টরিতে তাদের গ্রুপ মেম্বারশিপের উপর ভিত্তি করে ব্যবহারকারীকে একটি নির্দিষ্ট VLAN-এ রাখার জন্য অ্যাক্সেস পয়েন্টকে নির্দেশ দিতে RADIUS সার্ভার কনফিগার করুন। কর্পোরেট ডিভাইসগুলিকে BYOD বা গেস্ট ডিভাইস থেকে আলাদা করার জন্য এটি অপরিহার্য। ফাইন্যান্স টিমের একজন স্টাফ মেম্বার দিনের জন্য আসা একজন ঠিকাদারের চেয়ে আলাদা নেটওয়ার্ক সেগমেন্টে থাকা উচিত। তৃতীয় সুপারিশটি গেস্ট অ্যাক্সেস সম্পর্কিত। যেসব ভেন্যুর দর্শকদের জন্য WiFi প্রদান করা প্রয়োজন - হোটেল, রিটেল স্টোর, কনফারেন্স সেন্টার - তাদের জন্য আপনার RADIUS অবকাঠামোকে Purple-এর গেস্ট WiFi প্ল্যাটফর্মের মতো একটি Captive Portal সমাধানের সাথে একীভূত করা একটি শক্তিশালী সমন্বয়। স্টাফ এবং কর্পোরেট ডিভাইসগুলি 802.1X এর মাধ্যমে নীরবে প্রমাণীকৃত হয়, যখন অতিথিদের প্রমাণীকরণের জন্য একটি ব্র্যান্ডেড পোর্টালে নির্দেশিত করা হয়। Purple-এর প্ল্যাটফর্ম তখন ফার্স্ট-পার্টি ডেটা সংগ্রহ করে এবং ভিজিটরের আচরণের উপর অ্যানালিটিক্স প্রদান করে, যা আপনার নেটওয়ার্ককে একটি খরচ কেন্দ্র থেকে একটি ব্যবসায়িক ইন্টেলিজেন্স সম্পদে পরিণত করে।এখন একটি দ্রুত প্রশ্নোত্তর পর্বের পালা। প্রথম প্রশ্ন: RADIUS এর জন্য কি আমার একটি ডেডিকেটেড সার্ভার প্রয়োজন? অন-প্রিমিজ ডেপ্লয়মেন্টের জন্য, হ্যাঁ, এটি একটি ডোমেন কন্ট্রোলারের সাথে রিসোর্স শেয়ার করার চেয়ে একটি ডেডিকেটেড ভার্চুয়াল মেশিনে চালানো অত্যন্ত সুপারিশ করা হয়। অথেনটিকেশন একটি ল্যাটেন্সি-সংবেদনশীল প্রক্রিয়া, এবং রিসোর্স নিয়ে দ্বন্দ্বের কারণে মাঝে মাঝে এমন জটিল সমস্যা দেখা দিতে পারে যা নির্ণয় করা খুব কঠিন। দ্বিতীয় প্রশ্ন: RADIUS কি প্রিন্টার বা IoT সেন্সরের মতো হেডলেস ডিভাইসের জন্য অথেনটিকেশন পরিচালনা করতে পারে? হ্যাঁ, MAC Authentication Bypass বা MAB-এর মাধ্যমে এটি সম্ভব। এটি 802.1X সুবিধা না থাকা ডিভাইসগুলোকে তাদের MAC অ্যাড্রেসের ভিত্তিতে অথেনটিকেট করতে সাহায্য করে। তবে, যেহেতু MAC অ্যাড্রেস সহজেই স্পুফ করা বা নকল করা যায়, তাই MAB-অথেনটিকেটেড ডিভাইসগুলোকে সর্বদা একটি অত্যন্ত সুরক্ষিত VLAN-এ রাখা উচিত। তৃতীয় প্রশ্ন: আমি কীভাবে RADIUS সার্ভার রিডান্ডেন্সি পরিচালনা করব? সর্বদা অন্তত দুটি RADIUS সার্ভার ডেপ্লয় করুন - একটি প্রাইমারি এবং একটি সেকেন্ডারি। প্রাইমারি সার্ভারটি উপলব্ধ না থাকলে সেকেন্ডারি সার্ভারে ফেইল ওভার করার জন্য সমস্ত অ্যাক্সেস পয়েন্ট কনফিগার করুন। ক্লাউড RADIUS-এর ক্ষেত্রে, এই রিডান্ডেন্সি সাধারণত বিল্ট-ইন থাকে এবং সরবরাহকারী দ্বারা পরিচালিত হয়। আজকের ব্রিফিংয়ের মূল বিষয়গুলো সংক্ষেপে বলতে গেলে, এন্টারপ্রাইজ WiFi-এর জন্য প্রি-শেয়ার্ড কী গ্রহণযোগ্য নয়। 802.1X প্রয়োগ করুন। আপনার IT রিসোর্স, আপনি যে লোকেশনগুলো পরিচালনা করছেন তার সংখ্যা এবং আপনার বিদ্যমান আইডেন্টিটি ইনফ্রাস্ট্রাকচারের উপর ভিত্তি করে আপনার ডেপ্লয়মেন্ট মডেল - অন-প্রিমিজ বা ক্লাউড - বেছে নিন। আপনি যদি ডিস্ট্রিবিউটেড এবং ক্লাউড-ফার্স্ট হন, তবে ক্লাউড RADIUS নিঃসন্দেহে সঠিক সিদ্ধান্ত। ক্লায়েন্টদের উপর কঠোর সার্টিফিকেট ভ্যালিডেশন বাধ্যতামূলক করুন। এটি নিয়ে কোনো আপস চলে না। আপনার নেটওয়ার্ককে বিভক্ত করতে ডায়নামিক VLAN অ্যাসাইনমেন্ট ব্যবহার করুন। এবং সবশেষে, কেবল অ্যাক্সেস নিয়ন্ত্রণের বাইরে গিয়ে আরও বেশি ব্যবসায়িক সুবিধা দিতে আপনার অথেনটিকেশন ইনফ্রাস্ট্রাকচার কীভাবে আরও বড় প্ল্যাটফর্মের সাথে ইন্টিগ্রেট হতে পারে তা বিবেচনা করুন। আরও বিস্তারিত পড়ার জন্য, আমরা 802.1X WiFi অথেনটিকেশন কনফিগার করা এবং শক্তিশালী DNS পলিসির মাধ্যমে আপনার নেটওয়ার্ক সুরক্ষিত করার বিষয়ে Purple-এর নির্দেশিকাগুলো পড়ার সুপারিশ করছি। শোনার জন্য ধন্যবাদ।

আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →

Interactive Network Tool

RADIUS server setup & 802.1X architecture configurator

Model your enterprise RADIUS deployment: configure Identity Provider sync, EAP authentication methods, dynamic VLAN attributes, and firewall ports.

Architectural Blueprint

Cloud-Native 802.1X Architecture

Security & ComplianceMaximum Enterprise Security (A+)
Est. Admin Overhead9 hrs/year
Network Protocol & Ports: RadSec (TCP 2083 with TLS) & UDP 1812/1813
RadSec TLS Support: Yes (Encrypted RADIUS over TLS)
BlastRADIUS (CVE-2024-3596) Hardening: Protected (Message-Authenticator)
Dynamic VLAN Attributes: Tunnel-Type=13, Tunnel-Medium-Type=6, Tunnel-Private-Group-ID

Architecture Insight: Eliminate shared PSKs by pushing device certificates via Microsoft Intune or Jamf. EAP-TLS with Cloud RADIUS removes local server maintenance while enforcing strict role-based VLAN segmentation.

Useful? Link to this tool

Executive summary

কীভাবে WiFi অথেন্টিকেশনের জন্য একটি RADIUS সার্ভার সেট আপ করবেন: ধাপে ধাপে 802.1X নির্দেশিকা

Enterprise ওয়্যারলেস নেটওয়ার্কের জন্য সেন্ট্রালাইজড আইডেন্টিটি ম্যানেজমেন্ট, রোল-ভিত্তিক সেগমেন্টেশন এবং শক্তিশালী ক্রিপ্টোগ্রাফিক সুরক্ষা প্রয়োজন। শেয়ার্ড Pre-Shared Keys (PSKs) এর উপর নির্ভর করলে তা সংস্থাকে ক্রেডেনশিয়াল লিক, অননুমোদিত ডিভাইস অ্যাক্সেস এবং কোনো কর্মচারী চলে যাওয়ার সময় প্রশাসনিক জটিলতার মুখে ফেলে।

একটি RADIUS (Remote Authentication Dial-In User Service) সার্ভার সেট আপ করার মাধ্যমে IEEE 802.1X enterprise authentication সক্ষম হয়। প্রতিটি সংযোগকারী ডিভাইস এবং ব্যবহারকারী একটি সেন্ট্রাল ডিরেক্টরি - যেমন Microsoft Entra ID, Google Workspace, Okta, বা অন-প্রেমিস Active Directory-এর বিপরীতে আলাদাভাবে অথেন্টিকেট করে।

এই টেকনিক্যাল গাইডটি enterprise WiFi-এর জন্য একটি RADIUS সার্ভার কনফিগার করার ধাপে ধাপে ডিপ্লয়মেন্ট নির্দেশাবলী প্রদান করে। আমরা Linux FreeRADIUS কনফিগারেশন, Windows Server Network Policy Server (NPS) সেটআপ, আধুনিক Cloud RADIUS আর্কিটেকচার, ডায়নামিক VLAN অ্যাসাইনমেন্ট এবং BlastRADIUS সিকিউরিটি হার্ডেনিং কভার করেছি।

802.1X & RADIUS architecture overview

IEEE 802.1X ফ্রেমওয়ার্ক নেটওয়ার্ক অ্যাক্সেসকে তিনটি আলাদা সত্তায় বিভক্ত করে:

  1. The Supplicant: ক্লায়েন্ট এন্ডপয়েন্ট (ল্যাপটপ, স্মার্টফোন বা ট্যাবলেট) যা 802.1X ক্লায়েন্ট সফ্টওয়্যার চালায় এবং আইডেন্টিটি ক্রেডেনশিয়াল উপস্থাপন করে।
  2. The Authenticator: ওয়্যারলেস অ্যাক্সেস পয়েন্ট (AP) বা Wireless LAN Controller (WLC) যা নেটওয়ার্কে ফিজিক্যাল অ্যাক্সেস নিয়ন্ত্রণ করে এবং অথেন্টিকেশন মেসেজ রিলে করে।
  3. The Authentication Server: RADIUS সার্ভার যা একটি আইডেন্টিটি ডিরেক্টরির বিপরীতে ক্রেডেনশিয়াল যাচাই করে এবং নেটওয়ার্ক অথরাইজেশন পলিসি ফেরত পাঠায়।
+---------------+        EAP over LAN (EAPoL)        +-------------------+
|  Supplicant   | <================================> |   Authenticator   |
| (Client Device)|                                    | (AP / Controller) |
+---------------+                                    +-------------------+
                                                               ||
                                                               || RADIUS Protocol
                                                               || (UDP 1812 / TCP 2083)
                                                               \/
                                                     +-------------------+
                                                     |   RADIUS Server   |
                                                     |  (FreeRADIUS/NPS) |
                                                     +-------------------+
                                                               ||
                                                               || Identity Lookup
                                                               \/
                                                     +-------------------+
                                                     | Identity Provider |
                                                     | (Entra ID / LDAP) |
                                                     +-------------------+

RADIUS যোগাযোগ প্রবাহ

  1. অ্যাসোসিয়েশন: ক্লায়েন্ট এন্টারপ্রাইজ SSID (WPA2-Enterprise বা WPA3-Enterprise) এর সাথে যুক্ত হয়।
  2. EAP সূচনা: AP সমস্ত ডেটা ট্রাফিক ব্লক করে এবং ক্লায়েন্টকে একটি EAP-Request/Identity ফ্রেম পাঠায়।
  3. পরিচয় প্রতিক্রিয়া: ক্লায়েন্ট একটি EAP-Response/Identity ফ্রেমের মাধ্যমে প্রতিক্রিয়া জানায়।
  4. RADIUS এনক্যাপসুলেশন: AP EAP পেলোডটিকে একটি RADIUS Access-Request প্যাকেটে এনক্যাপসুলেট করে এবং এটি RADIUS সার্ভারে ফরোয়ার্ড করে।
  5. EAP আলোচনা: ক্লায়েন্ট এবং RADIUS সার্ভার ক্রিপ্টোগ্রাফিক প্রমাণীকরণ পদ্ধতি (যেমন EAP-TLS বা PEAP) আলোচনা করে।
  6. অনুমোদন এবং অ্যাক্সেস-গ্রহণ: সফল যাচাইকরণের পরে, RADIUS সার্ভার একটি RADIUS Access-Accept প্যাকেট জারি করে যার মধ্যে Pairwise Master Key (PMK) এবং ঐচ্ছিক ডাইনামিক VLAN অ্যাসাইনমেন্ট অ্যাট্রিবিউট থাকে।
  7. পোর্ট ওপেন: AP ভার্চুয়াল পোর্টটি আনব্লক করে এবং বাতাসে ওয়্যারলেস ট্রাফিক এনক্রিপ্ট করতে 4-way হ্যান্ডশেক শুরু করে।

আরও গভীর আর্কিটেকচারাল ধারণার জন্য, আমাদের Enterprise WiFi Security Guide এবং Captive Portal Guide দেখুন।

ধাপে ধাপে সেটআপ: Linux-এ FreeRADIUS

FreeRADIUS হল বিশ্বের ওপেন-সোর্স RADIUS স্যুট স্ট্যান্ডার্ড। নীচে Ubuntu 24.04 LTS / Debian 12-এর জন্য কনফিগারেশন সিকোয়েন্স দেওয়া হল।

ধাপ ১: FreeRADIUS প্যাকেজ ইনস্টল করুন

sudo apt update
sudo apt install -y freeradius freeradius-utils freeradius-ldap ssl-cert

ধাপ ২: নেটওয়ার্ক অ্যাক্সেস সার্ভার (NAS) ক্লায়েন্ট সংজ্ঞায়িত করুন

আপনার ওয়্যারলেস অ্যাক্সেস পয়েন্টগুলিকে অনুমোদন করতে এবং একটি শেয়ার্ড সিক্রেট কনফিগার করতে /etc/freeradius/3.0/clients.conf এডিট করুন:

client enterprise_wlan {
  ipaddr: 192.168.10.0/24
  secret: Str0ngSh@redSecr3t2026!
  shortname: branch-aps
  nas_type: other
  require_message_authenticator: yes
}

দ্রষ্টব্য: BlastRADIUS জালিয়াতি আক্রমণ থেকে রক্ষা করতে সর্বদা RFC 2869 Message-Authenticator অ্যাট্রিবিউট প্রয়োগ করুন।

ধাপ ৩: EAP প্রমাণীকরণ মডিউল কনফিগার করুন

/etc/freeradius/3.0/mods-available/eap খুলুন এবং ডিফল্ট EAP পদ্ধতি কনফিগার করুন:

eap {
  default_eap_type: tls
  timer_expire: 60
  ignore_unknown_eap_types: no
  cisco_accounting_username_bug: no
  max_sessions: 4096

  tls-config tls-common {
    certdir: ${confdir}/certs
    cadir: ${confdir}/certs
    private_key_file: ${certdir}/radius-server.key
    certificate_file: ${certdir}/radius-server.crt
    ca_file: ${cadir}/ca.crt
    cipher_list: HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH
    tls_min_version: 1.2
  }
}

ধাপ ৪: ডিবাগ মোডে পরীক্ষা করুন

সিস্টেম সার্ভিস হিসেবে চালানোর আগে, ডেমন বন্ধ করুন এবং ফোরগ্রাউন্ড ডিবাগ মোডে শুরু করুন:

sudo systemctl stop freeradius
sudo freeradius -X

radtest ব্যবহার করে স্থানীয় প্রমাণীকরণ পরীক্ষা করুন:

radtest testuser Password123 127.0.0.1 0 testing123

একটি সফল প্রতিক্রিয়া Received Access-Accept Id 1 প্রদান করে।

ধাপে ধাপে সেটআপ: Windows Server NPS

Microsoft Network Policy Server (NPS) হলো Active Directory Domain Services (AD DS) এর সাথে সংযুক্ত Windows Server এনভায়রনমেন্টের জন্য বিল্ট-ইন RADIUS সার্ভার রোল।

+-------------------------------------------------------------------------+
|                  Windows Server Network Policy Server                   |
|                                                                         |
|  [RADIUS Clients (AP / WLC)] ---> [Connection Request Policies]         |
|                                                  |                      |
|                                                  v                      |
|  [Active Directory DS / PKI] <--- [Network Policies (VLAN / EAP-TLS)]   |
+-------------------------------------------------------------------------+

ধাপ ১: Network Policy and Access Services ইনস্টল করুন

Administrator হিসেবে PowerShell ওপেন করুন:

Install-WindowsFeature NPAS -IncludeManagementTools
Register-ActiveDirectoryServer -Server nps01.corp.local

ধাপ ২: RADIUS ক্লায়েন্ট (অ্যাক্সেস পয়েন্ট) রেজিস্টার করুন

১. Network Policy Server (nps.msc) ওপেন করুন। ২. RADIUS Clients and Servers এক্সপ্যান্ড করুন > RADIUS Clients-এ রাইট-ক্লিক করুন > New সিলেক্ট করুন। ৩. Friendly Name লিখুন: Cisco-Catalyst-AP-Cluster। ৪. IP Address বা Subnet CIDR লিখুন (যেমন 10.50.0.0/24)। ৫. একটি স্ট্রং Shared Secret তৈরি করে লিখুন (নূন্যতম ২৪টি আলফানিউমেরিক ক্যারেক্টার)।

ধাপ ৩: WiFi অথেনটিকেশনের জন্য নেটওয়ার্ক পলিসি তৈরি করুন

১. Policies > Network Policies এর অধীনে, রাইট-ক্লিক করে New সিলেক্ট করুন। ২. Policy Name লিখুন: Staff-WiFi-802.1X-Policy। Type of network access server সিলেক্ট করুন: Unspecified। ৩. Conditions:

  • Windows Groups যোগ করুন: CORP\WiFi-Authorised-Users
  • NAS-Port-Type যোগ করুন: Wireless - IEEE 802.11 অথবা Wireless - Other ৪. Access Permission: Access granted সিলেক্ট করুন। ৫. Authentication Methods:
  • অপেক্ষাকৃত কম সুরক্ষিত পদ্ধতিগুলোর টিক চিহ্ন তুলে দিন।
  • EAP Types এর অধীনে, Microsoft: Smart Card or other certificate (EAP-TLS) যোগ করুন।
  • পদ্ধতিটি এডিট করুন এবং আপনার Active Directory Certificate Services (AD CS) Enterprise CA থেকে ইস্যু করা RADIUS Server Certificate সিলেক্ট করুন। ৬. Constraints: Idle Timeout ৩০ মিনিট এবং Session Timeout ৮ ঘণ্টা সেট করুন।

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।

Cloud RADIUS: আধুনিক জিরো-ট্রাস্ট আর্কিটেকচার

ঐতিহ্যগত অন-প্রিমিস RADIUS সার্ভারগুলো বড় ধরনের অপারেশনাল চ্যালেঞ্জ তৈরি করে:

  • উচ্চ সার্ভার লাইসেন্সিং এবং প্যাচিং ওভারহেড।
  • Microsoft Entra ID বা Google Workspace এর মতো ক্লাউড আইডেন্টিটি ডিরেক্টরিগুলোর জন্য কোনো নেটিভ অথেনটিকেশন API নেই।
  • ব্রাঞ্চ অফিস জুড়ে WAN আউটেজের ঝুঁকি।

আধুনিক এন্টারপ্রাইজ নেটওয়ার্কগুলো অন-প্রিমিস সার্ভারের ঝামেলা ছাড়াই অথেনটিকেশন সেন্ট্রালাইজ করতে Cloud RADIUS মোতায়েন করে।

বৈশিষ্ট্য লেগাসি Windows NPS / FreeRADIUS Cloud RADIUS আর্কিটেকচার
ডিরেক্টরি ইন্টিগ্রেশন অন-প্রিমিস LDAP / Kerberos নেটিভ Microsoft Entra ID, Google Workspace, Okta
ট্রান্সপোর্ট সিকিউরিটি আনএনক্রিপ্টেড UDP 1812/1813 RadSec (RFC 6614) TLS over TCP 2083
সার্টিফিকেট অটোমেশন ম্যানুয়াল SCEP / NDES সেটআপ স্বয়ংক্রিয় Intune এবং Jamf PKI কানেক্টর
উচ্চ প্রাপ্যতা ম্যানুয়াল অ্যাক্টিভ-প্যাসিভ ফেইলওভার মাল্টি-রিজিয়ন গ্লোবাল Anycast রিডানডেন্সি
রক্ষণাবেক্ষণ অপারেটিং সিস্টেম প্যাচিং এবং OS লাইসেন্সিং ক্রমাগত আপডেট সহ পরিচালিত ক্লাউড সার্ভিস

আপনার আর্কিটেকচার মডেল করতে, আমাদের Multi-Tenant WiFi Guide এবং Staff WiFi Solutions দেখুন।

ডায়নামিক VLAN অ্যাসাইনমেন্ট কনফিগারেশন

ডায়নামিক VLAN অ্যাসাইনমেন্ট (RFC 2868 এবং RFC 3580 এর অধীনে সংজ্ঞায়িত) একটি একক এন্টারপ্রাইজ SSID-কে ব্যবহারকারীদের তাদের ডিরেক্টরি গ্রুপ মেম্বারশিপের উপর ভিত্তি করে ডায়নামিকভাবে বিভিন্ন নেটওয়ার্ক সাবনেটে বিভক্ত করার অনুমতি দেয়।

                          [Enterprise Staff SSID]
                                     |
              +----------------------+----------------------+
              |                      |                      |
              v                      v                      v
        [VLAN 10: Exec]       [VLAN 20: Engineering]  [VLAN 30: Contractors]
        (10.10.10.0/24)        (10.10.20.0/24)        (10.10.30.0/24)

প্রয়োজনীয় স্ট্যান্ডার্ড RADIUS অ্যাট্রিবিউট

যখন RADIUS সার্ভার ক্রেডেনশিয়াল যাচাই করে, তখন এটি Access-Accept রেসপন্সের সাথে এই অ্যাট্রিবিউটগুলি যুক্ত করে:

Tunnel-Type = 13 (VLAN)
Tunnel-Medium-Type = 6 (802 - includes all 802 media plus Ethernet canonical format)
Tunnel-Private-Group-ID = 20 (or VLAN Name "CORP_ENG")

FreeRADIUS ডায়নামিক VLAN ম্যাপিং উদাহরণ

/etc/freeradius/3.0/users এ:

DEFAULT Group == "Engineering-Team"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "20"

DEFAULT Group == "Contractors"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "30"

নেটওয়ার্ক ফায়ারওয়াল নিয়ম ও পোর্ট কনফিগারেশন

অ্যাক্সেস পয়েন্ট এবং RADIUS সার্ভারের মধ্যে নেটওয়ার্ক ফায়ারওয়াল যোগাযোগ অনুমোদিত করছে কিনা তা নিশ্চিত করুন:

প্রোটোকল পোর্ট নম্বর বিবরণ উৎস গন্তব্য
UDP 1812 RADIUS প্রমাণীকরণ (RFC 2865) অ্যাক্সেস পয়েন্ট / WLC RADIUS সার্ভার
UDP 1813 RADIUS অ্যাকাউন্টিং (RFC 2866) অ্যাক্সেস পয়েন্ট / WLC RADIUS সার্ভার
TCP 2083 RadSec - TLS-এর উপর RADIUS (RFC 6614) অ্যাক্সেস পয়েন্ট / WLC ক্লাউড RADIUS
UDP 1645 / 1646 লিগ্যাসি RADIUS প্রমাণীকরণ / অ্যাকাউন্টিং (অবচিত) লিগ্যাসি NAS ডিভাইস RADIUS সার্ভার

সিকিউরিটি হার্ডেনিং এবং BlastRADIUS প্রশমন

BlastRADIUS প্রশমন (CVE-2024-3596)

জুলাই ২০২৪-এ, গবেষকরা BlastRADIUS প্রকাশ করেছেন, যা RADIUS প্রোটোকলের একটি MD5 কলিশন দুর্বলতা। এটি অ্যাক্সেস পয়েন্ট এবং RADIUS সার্ভারের মাঝে অবস্থানকারী একজন আক্রমণকারীকে জাল Access-Accept প্রতিক্রিয়া তৈরি করার অনুমতি দেয়।

আপনার ডিপ্লয়মেন্ট সুরক্ষিত করতে: ১. Message-Authenticator প্রয়োগ করুন: সমস্ত Access-Request এবং Access-Accept প্যাকেটে Message-Authenticator অ্যাট্রিবিউট (RFC 2869) বাধ্যতামূলক করুন। 2. EAP-TLS-এ রূপান্তর: সার্টিফিকেট-ভিত্তিক EAP-TLS ক্রিপ্টোগ্রাফিকভাবে প্রক্সি জালিয়াতি থেকে সুরক্ষিত কারণ TLS ক্রিপ্টোগ্রাফিক কিগুলি ক্লায়েন্ট এবং RADIUS সার্ভারের মধ্যে এন্ড-টু-এন্ড হিসেবে প্রাপ্ত হয়। 3. RadSec (RFC 6614) স্থাপন করুন: ম্যান-ইন-দ্য-মিডল প্যাকেট টেম্পারিং প্রতিরোধ করতে TLS টানেলের মধ্যে RADIUS ট্রাফিক এনক্যাপসুলেট করুন।

802.1X প্রমাণীকরণ ব্যর্থতার সমস্যা সমাধান

ত্রুটির লক্ষণ মূল কারণ প্রযুক্তিগত প্রতিকার
ক্লায়েন্ট অবিলম্বে সংযোগ ব্যর্থতার বার্তা পায় AP এবং RADIUS সার্ভারের মধ্যে শেয়ার্ড সিক্রেট অমিল AP কন্ট্রোলার এবং RADIUS কনফিগারেশনে শেয়ার্ড সিক্রেট স্ট্রিং যাচাই করুন।
১০ থেকে ১৫ সেকেন্ড পরে প্রমাণীকরণের সময় শেষ ফায়ারওয়াল UDP পোর্ট ১৮১২ ব্লক করছে বা রাউটিং অনুপস্থিত ফায়ারওয়াল ACLs যাচাই করুন এবং ম্যানেজমেন্ট VLAN-এর মাধ্যমে AP যাতে RADIUS সার্ভার IP-কে পিং করতে পারে তা নিশ্চিত করুন।
RADIUS লগ: "Unknown CA" বা "Certificate Untrusted" ক্লায়েন্ট বা RADIUS সার্ভারে Root CA সার্টিফিকেট অনুপস্থিত ক্লায়েন্ট ট্রাস্ট স্টোর এবং RADIUS সার্ভার সার্টিফিকেট ডিরেক্টরিতে ইন্টারমিডিয়েট এবং root CA সার্টিফিকেট ইনস্টল করুন।
ক্লায়েন্ট প্রমাণীকরণ করে কিন্তু APIPA IP (169.254.x.x) পায় AP সুইচ ট্রাঙ্ক পোর্টে ডাইনামিক VLAN ID বিদ্যমান নেই সুইচ ট্রাঙ্ক কনফিগারেশন Tunnel-Private-Group-ID-তে নির্দিষ্ট করা টার্গেট VLAN ID বহন করে কিনা তা যাচাই করুন।
RADIUS লগ: "Message-Authenticator is missing" NAS ক্লায়েন্ট RFC 2869 সমর্থন করে না বা ফার্মওয়্যার আপডেটের অভাব রয়েছে AP কন্ট্রোলার ফার্মওয়্যার আপডেট করুন বা NAS প্রোফাইলে Message-Authenticator প্রয়োগ সক্রিয় করুন।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

WiFi প্রমাণীকরণের জন্য একটি RADIUS সার্ভার কোন পোর্ট ব্যবহার করে?

স্ট্যান্ডার্ড RADIUS প্রমাণীকরণ UDP পোর্ট ১৮১২-এ কাজ করে, এবং অ্যাকাউন্টিং UDP পোর্ট ১৮১৩-এ চলে। পূর্ববর্তী প্রয়োগগুলিতে UDP পোর্ট ১৬৪৫ এবং ১৬৪৬ ব্যবহৃত হতো। আধুনিক ক্লাউড RADIUS স্থাপনে TLS এনক্রিপশন সহ TCP পোর্ট ২০৮৩-এর ওপর RadSec ব্যবহার করা হয়।

আমার কি FreeRADIUS নাকি Windows Server NPS বেছে নেওয়া উচিত?

আপনার প্রতিষ্ঠান যদি কঠোরভাবে অন-প্রেমিস অ্যাক্টিভ ডিরেক্টরি ডোমেইন সার্ভিসের ওপর নির্ভরশীল হয় তবে Windows Server NPS বেছে নিন। উচ্চ কার্যক্ষমতা, ওপেন-সোর্স নমনীয়তা এবং Linux পরিবেশের জন্য FreeRADIUS বেছে নিন। আপনার প্রতিষ্ঠান যদি Microsoft Entra ID বা Google Workspace-এর মতো ক্লাউড আইডেন্টিটি প্রোভাইডার ব্যবহার করে, তবে Cloud RADIUS বেছে নিন।

আমি কীভাবে Microsoft Entra ID (Azure AD)-কে একটি RADIUS সার্ভারের সাথে সংযুক্ত করব?

Microsoft Entra ID নেটিভভাবে পূর্ববর্তী অন-প্রেমিস LDAP বা NTLM প্রমাণীকরণ প্রোটোকল সমর্থন করে না। এন্টারপ্রাইজ WiFi-এর সাথে Entra ID সংযুক্ত করতে, EAP-TLS ব্যবহার করে এন্ডপয়েন্টগুলি প্রমাণীকরণ করার জন্য Microsoft Intune SCEP সার্টিফিকেট স্থাপনের সাথে যুক্ত Cloud RADIUS স্থাপন করুন।

কেন PEAP-MSCHAPv2-এর চেয়ে EAP-TLS-কে বেশি পছন্দ করা হয়?

EAP-TLS পারস্পরিক X.509 সার্টিফিকেট প্রমাণীকরণ ব্যবহার করে যেখানে ক্লায়েন্ট এবং সার্ভার উভয়ই ক্রিপ্টোগ্রাফিক পরিচয় যাচাই করে। PEAP-MSCHAPv2 একটি TLS টানেলের মধ্যে ব্যবহারকারীর পাসওয়ার্ডের ওপর নির্ভর করে, যা নেটওয়ার্কগুলিকে পাসওয়ার্ড স্প্রেয়িং, ফিশিং এবং ক্ষতিকারক AP শংসাপত্র চুরির ঝুঁকিতে ফেলে।

উপযোগী এন্টারপ্রাইজ WiFi সিকিউরিটি আর্কিটেকচারের জন্য, আমাদের WiFi অ্যানালিটিক্স গাইড দেখুন অথবা এন্টারপ্রাইজ নেটওয়ার্ক বিশেষজ্ঞের সাথে কথা বলুন।

মূল সংজ্ঞাসমূহ

RADIUS (RFC 2865)

Remote Authentication Dial-In User Service. একটি নেটওয়ার্কিং ক্লায়েন্ট-সার্ভার প্রোটোকল যা সেন্ট্রালাইজড অথেন্টিকেশন, অথরাইজেশন এবং অ্যাকাউন্টিং (AAA) ম্যানেজমেন্ট প্রদান করে।

ওয়্যারলেস অ্যাক্সেস পয়েন্টের মাধ্যমে জমা দেওয়া ডিভাইস এবং ব্যবহারকারীর শংসাপত্র যাচাইকারী অথেন্টিকেশন সার্ভার হিসেবে কাজ করে।

IEEE 802.1X

পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (PNAC)-এর জন্য একটি IEEE স্ট্যান্ডার্ড যা LAN বা WLAN-এ সংযোগ করার চেষ্টা করা ডিভাইসগুলির জন্য সুরক্ষিত অথেন্টিকেশন প্রদান করে।

সাপ্লিক্যান্ট (এন্ডপয়েন্ট ডিভাইস) এবং অথেনটিকেটর (অ্যাক্সেস পয়েন্ট)-এর মধ্যে EAP ফ্রেমের এনক্যাপসুলেশন সংজ্ঞায়িত করে।

EAP-TLS (RFC 5216)

Extensible Authentication Protocol - Transport Layer Security. পারস্পরিক সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন প্রোটোকল যেখানে RADIUS সার্ভার এবং ক্লায়েন্ট উভয়ই ডিজিটাল সার্টিফিকেট যাচাই করে।

এন্টারপ্রাইজ জিরো-ট্রাস্ট WiFi-এর জন্য ইন্ডাস্ট্রি স্ট্যান্ডার্ড অথেন্টিকেশন পদ্ধতি, যা পাসওয়ার্ডের প্রয়োজনীয়তা দূর করে।

RadSec (RFC 6614)

TLS-এর মাধ্যমে RADIUS। একটি স্ট্যান্ডার্ড যা নিরাপদ TCP পোর্ট ২০৮৩ TLS টানেলের ভিতরে ঐতিহ্যবাহী UDP RADIUS প্যাকেটগুলিকে এনক্যাপসুলেট করে।

লোকাল অ্যাক্সেস পয়েন্ট এবং Cloud RADIUS সার্ভারের মধ্যে অনিরাপদ পাবলিক WAN লিঙ্কের মধ্য দিয়ে যাওয়া RADIUS অথেন্টিকেশন ট্রাফিক সুরক্ষিত করে।

Dynamic VLAN Assignment (RFC 3580)

একটি RADIUS মেকানিজম যা ব্যবহারকারীর ভূমিকা বা ডিভাইসের অবস্থার উপর ভিত্তি করে Access-Accept রেসপন্সে VLAN ID প্রদান করে।

একটি একক এন্টারপ্রাইজ SSID-কে ব্যবহারকারীদের ডাইনামিকালি আইসোলেটেড নেটওয়ার্ক সেগমেন্টে রাখার অনুমতি দেয়।

সমাধানকৃত উদাহরণসমূহ

একজন নেটওয়ার্ক ইঞ্জিনিয়ারকে সাবনেট 10.20.0.0/24-এ শেয়ার্ড সিক্রেট SecretAuthKey2026 সহ 12টি Cisco Catalyst অ্যাক্সেস পয়েন্টের মাধ্যমে সংযোগকারী ওয়্যারলেস ক্লায়েন্টদের অথেন্টিকেট করার জন্য FreeRADIUS কনফিগার করতে হবে। clients.conf-এ কী কনফিগারেশন রাখতে হবে?

client branch_aps { ipaddr = 10.20.0.0/24 secret = SecretAuthKey2026 nas_type = cisco require_message_authenticator = yes }

পরীক্ষকের মন্তব্য: clients.conf-এ একটি সম্পূর্ণ সাবনেট স্কোপ সংজ্ঞায়িত করা অ্যাক্সেস পয়েন্ট যুক্ত করা সহজ করে। require_message_authenticator = yes সেট করা BlastRADIUS (CVE-2024-3596) জালিয়াতি আক্রমণ প্রতিরোধ করে।

একটি আইটি বিভাগ Active Directory থেকে Microsoft Entra ID এবং Intune-এ 2,000টি কর্পোরেট Windows 11 ল্যাপটপ স্থানান্তরিত করছে। অন-প্রিমিস ডোমেন কন্ট্রোলার না রেখে পাসওয়ার্ডহীন WiFi অথেন্টিকেশন সমর্থন করার জন্য RADIUS অবকাঠামো কীভাবে আপডেট করা উচিত?

১. নেটিভ Microsoft Entra ID ইন্টিগ্রেশন সহ Cloud RADIUS স্থাপন করুন। ২. ম্যানেজড ল্যাপটপগুলিতে স্বয়ংক্রিয়ভাবে ক্লায়েন্ট সার্টিফিকেট ইস্যু করতে Microsoft Intune SCEP বা PKCS সার্টিফিকেট প্রোফাইল কনফিগার করুন। ৩. RadSec (TLS পোর্ট ২০৮৩) ব্যবহার করে Cloud RADIUS সার্ভারে 802.1X অথেন্টিকেশন নির্দেশ করার জন্য ওয়্যারলেস কন্ট্রোলার কনফিগার করুন। ৪. Intune WiFi কনফিগারেশন প্রোফাইলে প্রাথমিক অথেন্টিকেশন পদ্ধতি হিসাবে EAP-TLS প্রয়োগ করুন।

পরীক্ষকের মন্তব্য: যেহেতু Microsoft Entra ID লিগ্যাসি PEAP-MSCHAPv2-এর জন্য নেটিভ NTLM বা Kerberos এন্ডপয়েন্ট প্রকাশ করে না, তাই Cloud RADIUS-এর সাথে সার্টিফিকেট-ভিত্তিক EAP-TLS হলো প্রস্তাবিত এন্টারপ্রাইজ মাইগ্রেশন পথ।

অনুশীলনী প্রশ্নসমূহ

Q1. একটি ওয়্যারলেস 802.1X রোলআউটের সময়, ক্লায়েন্ট ডিভাইসগুলি সফলভাবে সংযুক্ত এবং অথেন্টিকেট হয়, কিন্তু তারা অ্যাসাইন করা কর্পোরেট VLAN-এর পরিবর্তে ডিফল্ট নেটিভ VLAN-এ একটি IP অ্যাড্রেস পায়। সার্ভারকে কী কী RADIUS অ্যাট্রিবিউট ফেরত দিতে হবে?

ইঙ্গিত: RFC 2868 এবং RFC 3580 টানেল অ্যাট্রিবিউটগুলি পর্যালোচনা করুন।

মডেল উত্তর দেখুন

RADIUS সার্ভারকে অবশ্যই Access-Accept রেসপন্সে তিনটি নির্দিষ্ট অ্যাট্রিবিউট ফেরত দিতে হবে: ১. Tunnel-Type = ১৩ (VLAN), ২. Tunnel-Medium-Type = ৬ (802), ৩. Tunnel-Private-Group-ID = [VLAN_ID_or_Name]। অ্যাক্সেস পয়েন্ট সুইচ পোর্টটিকেও সেই VLAN বহনকারী একটি ট্রাঙ্ক পোর্ট হিসাবে কনফিগার করতে হবে।

Q2. ক্লায়েন্ট ডিভাইসে RADIUS সার্ভার রুট CA সার্টিফিকেট প্রয়োগ না করে BYOD নেটওয়ার্কগুলিতে PEAP-MSCHAPv2 প্রয়োগ করার নিরাপত্তা ঝুঁকি কী?

ইঙ্গিত: রোগ অ্যাক্সেস পয়েন্ট এবং ইভিল টুইন আক্রমণ বিবেচনা করুন।

মডেল উত্তর দেখুন

যদি ক্লায়েন্ট ডিভাইসগুলো RADIUS সার্ভার সার্টিফিকেট যাচাই না করে, তবে একজন আক্রমণকারী একই SSID সম্প্রচারকারী একটি ক্ষতিকারক অ্যাক্সেস পয়েন্ট স্থাপন করতে পারে। যখন ক্লায়েন্ট সংযোগ করে, তখন ক্ষতিকারক সার্ভারটি MS-CHAPv2 চ্যালেঞ্জ-রেসপন্স হ্যান্ডশেক ক্যাপচার করে, যা আক্রমণকারীকে asleap এর মতো টুল দিয়ে অফলাইনে পাসওয়ার্ড ক্র্যাক করার সুযোগ দেয়।

Q3. RadSec বনাম স্ট্যান্ডার্ড RADIUS ব্যবহার করার সময় একটি অন-প্রিমিস ওয়্যারলেস অ্যাক্সেস পয়েন্ট এবং একটি Cloud RADIUS সার্ভারের মধ্যে কোন ফায়ারওয়াল পোর্টগুলো খোলা থাকতে হবে?

ইঙ্গিত: আধুনিক TLS-এনক্যাপসুলেটেড RADIUS-এর সাথে লিগ্যাসি UDP পোর্টগুলোর তুলনা করুন।

মডেল উত্তর দেখুন

স্ট্যান্ডার্ড RADIUS-এর জন্য আউটবাউন্ড UDP পোর্ট ১৮১২ (অথেন্টিকেশন) এবং UDP পোর্ট ১৮১৩ (অ্যাকাউন্টিং) প্রয়োজন। RadSec-এর জন্য TLS এনক্রিপশন সহ আউটবাউন্ড TCP পোর্ট ২০৮৩ প্রয়োজন, যা পারস্পরিক সার্টিফিকেট যাচাইকরণ প্রদান করে এবং পাবলিক ইন্টারনেটে প্লেইনটেক্সট UDP ট্রান্সমিশন দূর করে।

এই সিরিজে পড়া চালিয়ে যান

iOS এবং macOS 802.1X ট্রাবলশুটিং: Intune, Jamf এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট

iPhones, iPads এবং Macs কেন Intune বা Jamf Pro-তে 802.1X ব্যর্থ হয় তা সনাক্ত করতে এই চেকলিস্টটি ব্যবহার করুন। প্রতিটি ব্যর্থতার পিছনে চারটি কারণের যেকোনো একটি থাকে: সার্ভার ট্রাস্ট, আইডেন্টিটি সার্টিফিকেট, macOS মোড বা Entra ID গ্রুপ স্কোপিং। আপনি eapolclient এবং RADIUS লগ থেকে এর কারণ নিশ্চিত করবেন, সমাধান প্রয়োগ করবেন এবং ভবিষ্যতের সার্টিফিকেট রোটেশন পরিচালনা করবেন।

গাইডটি পড়ুন →

Intune WiFi প্রোফাইল সার্ভার ট্রাস্ট: Microsoft Entra ID -এর জন্য সার্টিফিকেট সার্ভার নাম এবং রুট CA চেকলিস্ট

আপনি একটি Intune WiFi প্রোফাইলের সার্ভার ভ্যালিডেশন অংশটি কনফিগার করতে পারবেন যাতে Windows, Apple এবং Android -এ EAP-TLS এবং PEAP কানেক্ট হয়। আপনি RADIUS সার্টিফিকেটের সাথে সার্টিফিকেট সার্ভারের নাম মেলাতে পারবেন, সঠিক রুট CA ডেপ্লয় করতে পারবেন, Microsoft Entra ID গ্রুপ অ্যাসাইনমেন্ট অ্যালাইন করতে পারবেন এবং সার্টিফিকেট রিনিউয়াল কানেকশন বন্ধ করার আগেই সেটিকে প্রস্তুত করতে পারবেন।

গাইডটি পড়ুন →

Android 802.1X এবং EAP-TLS ট্রাবলশুটিং: Intune এবং Entra ID-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট

আপনি সহজেই সনাক্ত করতে পারবেন কেন ম্যানেজড Android ফোনগুলো আপনার স্টাফ SSID-এ EAP-TLS সংযোগ করতে ব্যর্থ হচ্ছে এবং তা Intune-এ ঠিক করতে পারবেন। প্রতিটি লক্ষণকে চারটি সাধারণ কারণের সাথে মেলান - অনুপস্থিত CA বা ডোমেন, ভুল প্রোফাইলে থাকা ক্লায়েন্ট সার্টিফিকেট, একটি অমিল RADIUS সার্ভার নামের মান, অথবা একটি অপৌঁছানো ট্রাস্টেড রুট। তারপর একটি রোলআউট চেকলিস্ট প্রয়োগ করুন যা বারবার বিভ্রাট হওয়া বন্ধ করে।

গাইডটি পড়ুন →

আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?

আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।