Cloud RADIUS এর সাথে কীভাবে 802.1X প্রমাণীকরণ প্রয়োগ করবেন

কীভাবে Cloud RADIUS-এর সাথে 802.1X প্রমাণীকরণ বাস্তবায়ন করবেন একটি Purple WiFi ইন্টেলিজেন্স ব্রিফিং --- ভূমিকা এবং প্রেক্ষাপট (প্রায় ১ মিনিট) --- Purple WiFi ইন্টেলিজেন্স ব্রিফিং-এ আপনাকে স্বাগত। আমি আপনার হোস্ট, এবং আজ আমরা Cloud RADIUS-এর সাথে 802.1X প্রমাণীকরণের বিস্তারিত বিষয়ে আলোচনা করছি - এটি কী, কেন এটি এখন গুরুত্বপূর্ণ এবং কীভাবে এটি একটি বহু-সাইট এস্টেট জুড়ে আসলে মোতায়েন করা যায়। আপনি যদি একটি হোটেল গ্রুপ, একটি খুচরা চেইন, একটি স্টেডিয়াম বা একটি পাবলিক-সেক্টর সংস্থার জন্য WiFi পরিকাঠামো পরিচালনা করেন, তবে এটি এমন একটি বিষয় যা বারবার সামনে আসে - এবং তার সঠিক কারণও রয়েছে। হুমকির চিত্রপট পরিবর্তিত হয়েছে। শেয়ার্ড PSK নেটওয়ার্কগুলিকে এখন ক্রমবর্ধমানভাবে সম্মতি দায়বদ্ধতা হিসাবে দেখা হচ্ছে, কেবল সুরক্ষার অসুবিধা হিসাবে নয়। নিয়ন্ত্রক, নিরীক্ষক এবং সাইবার বীমাকারীরা সবাই নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের বিষয়ে আরও কঠিন প্রশ্ন জিজ্ঞাসা করছেন। এবং সুখবর হলো ক্লাউড-ডেলিভারড RADIUS এখন 802.1X-কে সত্যিকার অর্থে স্কেলে মোতায়েনযোগ্য করে তুলেছে, অন-প্রিমিসেস পরিকাঠামোর ওভারহেড ছাড়াই যা আগে এটিকে বিতরণ করা এস্টেটের জন্য অবাস্তব করে তুলেছিল। তাহলে চলুন বিস্তারিত আলোচনা করা যাক। --- প্রযুক্তিগত গভীর বিশ্লেষণ (প্রায় ৫ মিনিট) --- প্রথমে, আসুন নিশ্চিত করি যে আমরা সবাই একই সংজ্ঞা থেকে কাজ করছি। IEEE 802.1X হলো একটি পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড। এটি একটি প্রমাণীকরণ কাঠামো সংজ্ঞায়িত করে যা OSI মডেলের Layer 2-এ অবস্থান করে - তাই একটি ডিভাইসকে যেকোনো IP সংযোগ দেওয়ার আগেই এটি কাজ করে। অ্যাপ্লিকেশন-লেয়ার প্রমাণীকরণের সাথে এটাই মূল পার্থক্য। 802.1X-এর ক্ষেত্রে, কোনো ডিভাইস নিশ্চিতভাবে প্রমাণীকৃত না হওয়া পর্যন্ত নেটওয়ার্কে প্রবেশ করতে পারে না। এই প্রোটোকলের তিনটি উপাদান রয়েছে। সাপ্লিক্যান্ট - এটি হলো শেষ ডিভাইস, তা সে একটি ল্যাপটপ, একটি স্মার্টফোন বা একটি পয়েন্ট-অফ-সেল টার্মিনাল হোক। অথেন্টিকেটর - সাধারণত আপনার WiFi অ্যাক্সেস পয়েন্ট বা আপনার পরিচালিত সুইচ। এবং প্রমাণীকরণ সার্ভার - যা আধুনিক মোতায়েনে আপনার ক্লাউড RADIUS পরিষেবা। প্রবাহটি এইভাবে কাজ করে। একটি ডিভাইস একটি অ্যাক্সেস পয়েন্টের সাথে যুক্ত হওয়ার চেষ্টা করে। অ্যাক্সেস পয়েন্ট অবিলম্বে সম্পূর্ণ নেটওয়ার্ক অ্যাক্সেস প্রদান করে না। পরিবর্তে, এটি একটি নিয়ন্ত্রিত পোর্ট খোলে এবং ডিভাইসের সাথে একটি EAP এক্সচেঞ্জ - যা হলো এক্সটেনসিবল প্রমাণীকরণ প্রোটোকল - শুরু করে। ডিভাইসটি তার শংসাপত্র উপস্থাপন করে, যা একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড, একটি ডিজিটাল শংসাপত্র বা একটি SIM-ভিত্তিক পরিচয় হতে পারে। অ্যাক্সেস পয়েন্ট UDP-এর মাধ্যমে RADIUS প্রোটোকল ব্যবহার করে RADIUS সার্ভারে সেই এক্সচেঞ্জটি রিলে করে, যা সাধারণত প্রমাণীকরণের জন্য পোর্ট 1812 এবং অ্যাকাউন্টিংয়ের জন্য পোর্ট 1813 ব্যবহার করে। RADIUS সার্ভার একটি পরিচয় স্টোরের - Active Directory, Azure AD, বা একটি LDAP ডিরেক্টরি - বিপরীতে শংসাপত্রগুলি যাচাই করে এবং একটি Access-Accept বা একটি Access-Reject বার্তা প্রদান করে। গৃহীত হলে, অ্যাক্সেস পয়েন্টটি পোর্টটি খোলে এবং ডিভাইসটি নেটওয়ার্ক অ্যাক্সেস পায়। প্রত্যাখ্যান করা হলে, এটি অবরুদ্ধ থাকে। নীতিগতভাবে সহজ, কিন্তু বাস্তবায়নের বিশদ বিবরণ অত্যন্ত গুরুত্বপূর্ণ। এখন, EAP পদ্ধতি নির্বাচন হলো এমন একটি জায়গা যেখানে অনেক মোতায়েন ভুল হয়ে যায়। সাধারণ ব্যবহারে বেশ কয়েকটি EAP পদ্ধতি রয়েছে এবং সেগুলির অত্যন্ত ভিন্ন সুরক্ষা প্রোফাইল এবং অপারেশনাল প্রয়োজনীয়তা রয়েছে।EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। এর জন্য পারস্পরিক সার্টিফিকেট প্রমাণীকরণ প্রয়োজন - সার্ভার এবং ক্লায়েন্ট উভয়েই একটি সার্টিফিকেট উপস্থাপন করে। এটি ক্রেডেনশিয়াল চুরির ঝুঁকি সম্পূর্ণভাবে দূর করে, কারণ এখানে চুরি করার মতো কোনো পাসওয়ার্ড নেই। তবে এর জন্য একটি PKI অবকাঠামো এবং ডিভাইসে ক্লায়েন্ট সার্টিফিকেট পুশ করার জন্য একটি মেকানিজম প্রয়োজন, যার অর্থ সাধারণত একটি MDM সমাধান। কর্পোরেট BYOD পরিবেশ এবং উচ্চ-নিরাপত্তা ব্যবহারের ক্ষেত্রে এটি সঠিক উত্তর। এন্টারপ্রাইজ পরিবেশে PEAP সহ MSCHAPv2 হলো সবচেয়ে বেশি ব্যবহৃত পদ্ধতি। এর জন্য শুধুমাত্র একটি সার্ভার-সাইড সার্টিফিকেট প্রয়োজন এবং এটি TLS-এর ভেতরে ক্রেডেনশিয়াল এক্সচেঞ্জ টানেল করে। এটি নেটিভভাবে Active Directory-এর সাথে সামঞ্জস্যপূর্ণ, যা এটিকে কার্যকারীভাবে সহজ করে তোলে। ঝুঁকি হলো যে এটি ক্রেডেনশিয়াল হার্ভেস্টিংয়ের জন্য ঝুঁকিপূর্ণ যদি ব্যবহারকারীরা একটি সেলফ-সাইনড সার্টিফিকেট সহ একটি রোগ অ্যাক্সেস পয়েন্টের সাথে সংযোগ স্থাপন করে - তাই ক্লায়েন্ট-সাইডে সার্টিফিকেট যাচাইকরণ আবশ্যক। EAP-TTLS হলো PEAP-এর মতো কিন্তু ইনার অথেনটিকেশন পদ্ধতিতে আরও নমনীয়। এটি বিশেষ করে মিশ্র-ডিভাইস পরিবেশে কার্যকর যেখানে আপনার কাছে বিভিন্ন সাপ্লিক্যান্ট ক্ষমতা সম্পন্ন Windows, macOS, iOS, এবং Android ডিভাইসের সমন্বয় রয়েছে। লেগেসি ডিভাইস সমর্থনের জন্য - যেমন পুরনো পয়েন্ট-অফ-সেল হার্ডওয়্যার বা IoT সেন্সর - EAP-FAST একটি বাস্তবসম্মত পছন্দ হতে পারে, কারণ এর জন্য সার্টিফিকেটের প্রয়োজন হয় না এবং এর পরিবর্তে একটি সুরক্ষিত অ্যাক্সেস ক্রেডেনশিয়াল ব্যবহার করে। এখন, ক্লাউড RADIUS-এর বিষয়টি। ঐতিহ্যগতভাবে, RADIUS ছিল একটি অন-প্রেমিস পরিষেবা - Linux সার্ভারে FreeRADIUS, বা Windows Server-এ Microsoft NPS। সেই মডেলটি কাজ করে, তবে এর আসল পরিচালন খরচ রয়েছে: হার্ডওয়্যার রক্ষণাবেক্ষণ, হাই অ্যাভেইলেবিলিটি কনফিগারেশন, প্যাচিং এবং প্রতিটি সাইটে স্থানীয় অবকাঠামোর প্রয়োজনীয়তা যার কম-লেটেন্সি প্রমাণীকরণ প্রয়োজন। ক্লাউড RADIUS সেই হিসাবটিকে উল্লেখযোগ্যভাবে পরিবর্তন করে। একটি ক্লাউড RADIUS পরিষেবা প্রদানকারী দ্বারা হোস্ট এবং পরিচালনা করা হয়। আপনার অ্যাক্সেস পয়েন্টগুলো ইন্টারনেটের মাধ্যমে ক্লাউড পরিষেবাতে RADIUS অনুরোধ পাঠায়, যা আপনার আইডেন্টিটি প্রোভাইডারের বিপরীতে প্রমাণীকরণ পরিচালনা করে। লেটেন্সি সংক্রান্ত উদ্বেগটি বাস্তব কিন্তু পরিচালনাযোগ্য - আধুনিক ক্লাউড RADIUS পরিষেবাগুলো বিশ্বব্যাপী বিতরণ করা হয় এবং প্রমাণীকরণ রাউন্ড-ট্রিপ সাধারণত ১০০ মিলিসেকেন্ডের কম সময়ে সম্পন্ন হয়, যা শেষ ব্যবহারকারীদের কাছে অদৃশ্য থাকে। আইডেন্টিটি প্রোভাইডারদের সাথে ইন্টিগ্রেশন হলো গুরুত্বপূর্ণ নির্ভরতা। বেশিরভাগ ক্লাউড RADIUS প্ল্যাটফর্ম LDAP, LDAPS, SAML 2.0 এবং সরাসরি Azure AD বা Okta ইন্টিগ্রেশন সমর্থন করে। যেসব প্রতিষ্ঠান ইতিমধ্যেই Microsoft 365 ব্যবহার করছে, তাদের জন্য Azure AD ইন্টিগ্রেশন হলো স্বাভাবিক পথ - আপনি সিঙ্গেল সাইন-অন, কন্ডিশনাল অ্যাক্সেস পলিসি এবং MFA প্রয়োগের সুবিধা পাবেন যা সবই আপনার নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল লেয়ারে ফিড করে।যেসব ভেন্যুতে স্টাফ নেটওয়ার্কের পাশাপাশি গেস্ট WiFi ডেপ্লয় করা হচ্ছে, সেখানকার আর্কিটেকচার সাধারণত এগুলিকে ভিন্ন অথেন্টিকেশন পলিসি সহ আলাদা SSID-এ বিভক্ত করে। স্টাফ নেটওয়ার্কগুলি কর্পোরেট ক্রেডেনশিয়াল সহ 802.1X ব্যবহার করে। গেস্ট নেটওয়ার্কগুলি একটি captive portal বা সোশ্যাল লগইন ফ্লো ব্যবহার করে। Purple-এর প্ল্যাটফর্ম উভয় মডেলকেই সমর্থন করে, এবং WiFi অ্যানালিটিক্স লেয়ারটি উভয়ের উপরেই কাজ করে, যা আপনাকে সিকিউরিটি সেগমেন্টেশন আপস না করেই ডিভাইসের আচরণ, ডুয়েল টাইম এবং নেটওয়ার্ক ব্যবহারের দৃশ্যমানতা প্রদান করে। - ইমপ্লিমেন্টেশন সংক্রান্ত সুপারিশ এবং সমস্যাসমূহ (প্রায় ২ মিনিট) - আমি আপনাকে ব্যবহারিক ডেপ্লয়মেন্টের ধাপগুলি এবং আমি প্রায়শই যে সমস্ত ব্যর্থতার ঘটনাগুলি দেখি সেগুলি চিহ্নিত করে দিই। আপনার আইডেন্টিটি প্রোভাইডার ইন্টিগ্রেশন দিয়ে শুরু করুন। একটি সিঙ্গেল অ্যাক্সেস পয়েন্ট স্পর্শ করার আগে, নিশ্চিত করুন যে আপনার ক্লাউড RADIUS সার্ভিসটি আপনার ডিরেক্টরির বিপরীতে অথেন্টিকেট করতে পারে। একটি সার্ভিস অ্যাকাউন্ট দিয়ে পরীক্ষা করুন, LDAP বাইন্ড ভ্যালিডেট করুন এবং গ্রুপ মেম্বারশিপ অ্যাট্রিবিউটগুলি সঠিকভাবে রিটার্ন হচ্ছে কিনা তা নিশ্চিত করুন - কারণ VLAN অ্যাসাইনমেন্ট পলিসির জন্য আপনার এগুলির প্রয়োজন হবে। দ্বিতীয়ত, আপনার সার্টিফিকেট স্ট্র্যাটেজি পরিকল্পনা করুন। আপনি যদি EAP-TLS ব্যবহার করেন, তাহলে আপনার একটি CA প্রয়োজন, আপনাকে সিদ্ধান্ত নিতে হবে যে আপনি একটি পাবলিক CA নাকি ইন্টারনাল CA ব্যবহার করছেন এবং ক্লায়েন্ট সার্টিফিকেটের জন্য আপনার একটি MDM রোলআউট প্ল্যান প্রয়োজন। আপনি যদি PEAP ব্যবহার করেন, তাহলে আপনার একটি বিশ্বস্ত CA থেকে সার্ভার সার্টিফিকেট প্রয়োজন - সেলফ-সাইনড নয় - এবং আপনাকে সমস্ত ক্লায়েন্ট ডিভাইসে CA সার্টিফিকেট পুশ করতে হবে যাতে সার্টিফিকেট ভ্যালিডেশন সঠিকভাবে কাজ করে। এটি এমন একটি ধাপ যা এড়িয়ে যাওয়া হয় এবং যার ফলে সিকিউরিটি সংক্রান্ত দুর্ঘটনা ঘটে। তৃতীয়ত, আপনার RADIUS ক্লায়েন্টদের - যা আপনার অ্যাক্সেস পয়েন্ট এবং কন্ট্রোলার - সঠিক শেয়ার্ড সিক্রেট এবং সার্ভার IP বা হোস্টনেম দিয়ে কনফিগার করুন। একটি শক্তিশালী, র্যান্ডমলি জেনারেট করা শেয়ার্ড সিক্রেট ব্যবহার করুন, কোনো ডিকশনারি শব্দ নয়। এবং যদি আপনার ক্লাউড RADIUS প্রোভাইডার TLS-এর মাধ্যমে RADIUS - RadSec - সমর্থন করে, তবে এটি ব্যবহার করুন। এটি ট্রানজিটে থাকা RADIUS ট্রাফিককে এনক্রিপ্ট করে, যা বিশেষভাবে গুরুত্বপূর্ণ যখন সেই ট্রাফিক পাবলিক ইন্টারনেটের মধ্য দিয়ে যায়। চতুর্থত, সম্পূর্ণ রোলআউটের আগে একটি পাইলট গ্রুপ নিয়ে পরীক্ষা করুন। স্কেলে অথেন্টিকেশন ব্যর্থতা বিঘ্ন সৃষ্টিকারী এবং চাপের মধ্যে নির্ণয় করা কঠিন। দশ থেকে বিশটি ডিভাইস নিয়ে একটি পাইলট চালান, অথেন্টিকেশন লগগুলি ভ্যালিডেট করুন, VLAN অ্যাসাইনমেন্ট কাজ করছে কিনা তা নিশ্চিত করুন এবং অ্যাকাউন্টিং রেকর্ডগুলি সঠিকভাবে লেখা হচ্ছে কিনা তা পরীক্ষা করুন। আমি প্রায়শই যে সমস্ত ব্যর্থতার ঘটনাগুলি দেখি: ক্লায়েন্টদের ওপর সার্টিফিকেট ভ্যালিডেশন নিষ্ক্রিয় করা থাকে, যার ফলে ম্যান-ইন-দ্য-মিডল দুর্বলতা তৈরি হয়। শেয়ার্ড সিক্রেটগুলি খুব ছোট বা বিভিন্ন সাইট জুড়ে পুনরায় ব্যবহৃত হয়। RADIUS সার্ভার IP অ্যালওলিস্টিং কনফিগার করা থাকে না, তাই নতুন সাইট থেকে অথেন্টিকেশনের অনুরোধগুলি নীরবে বাতিল হয়ে যায়। এবং সার্টিফিকেটগুলির মেয়াদ শেষ হয়ে গেলে MDM প্রোফাইলগুলি আপডেট করা হয় না, যার ফলে রিনিউয়াল দিনে ব্যাপক অথেন্টিকেশন ব্যর্থতা ঘটে। - দ্রুত প্রশ্নোত্তর (প্রায় ১ মিনিট) - কয়েকটি প্রশ্ন যা আমাকে নিয়মিত জিজ্ঞাসা করা হয়। আমি কি এমন একটি নেটওয়ার্কে 802.1X চালাতে পারি যেখানে IoT ডিভাইসও রয়েছে যা EAP সমর্থন করে না? হ্যাঁ - যেসব ডিভাইস সাপ্লিক্যান্ট চালাতে পারে না সেগুলির জন্য একটি ফলব্যাক হিসাবে MAC অথেন্টিকেশন বাইপাস ব্যবহার করুন, তবে সেই ডিভাইসগুলিকে কঠোর ফায়ারওয়াল নিয়ম সহ একটি সীমাবদ্ধ VLAN-এ রাখুন।802.1X কি WPA2 বা WPA3 এনক্রিপশনকে প্রতিস্থাপন করে? না - 802.1X প্রমাণীকরণ (authentication) পরিচালনা করে। WPA2-Enterprise বা WPA3-Enterprise এনক্রিপশন পরিচালনা করে। আপনার উভয়ই প্রয়োজন। নতুন স্থাপনার জন্য 802.1X সহ WPA3-Enterprise বর্তমানে সর্বোত্তম অনুশীলন। প্রমাণীকরণের ক্ষেত্রে লেটেন্সির প্রভাব কেমন? একটি ভালোভাবে কনফিগার করা ক্লাউড RADIUS সার্ভিসের মাধ্যমে, প্রতি প্রমাণীকরণে ৫০ থেকে ১৫০ মিলিসেকেন্ড আশা করতে পারেন। রোমিংয়ের ক্ষেত্রে, 802.11r দ্রুত BSS ট্রানজিশন পুনঃ-প্রমাণীকরণের ওভারহেড উল্লেখযোগ্যভাবে হ্রাস করতে পারে। এটি কি PCI-DSS সম্মত? একটি সঠিকভাবে বিভক্ত নেটওয়ার্কে EAP-TLS বা PEAP সহ 802.1X নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের জন্য PCI-DSS Requirement 1 এবং Requirement 8 পূরণ করে। আপনার QSA-কে দ্রুত যুক্ত করুন। --- সারাংশ এবং পরবর্তী পদক্ষেপ (প্রায় ১ মিনিট) --- সংক্ষেপে বলতে গেলে: যেসব সংস্থাকে অডিটরদের কাছে নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণ প্রদর্শন করতে হবে, ক্রেডেনশিয়াল লঙ্ঘনের প্রভাব হ্রাস করতে হবে বা একটি বিতরণকৃত এস্টেট জুড়ে কেন্দ্রীয়ভাবে প্রমাণীকরণ পরিচালনা করতে হবে, তাদের জন্য ক্লাউড RADIUS সহ 802.1X হলো সঠিক সমাধান। এই স্থাপনাটি সহজ নয়, তবে সঠিক প্রস্তুতির মাধ্যমে এটি সম্পূর্ণরূপে পরিচালনাযোগ্য। প্রথমে আপনার আইডেন্টিটি প্রোভাইডার ইন্টিগ্রেশন ঠিক করুন। আপনার ডিভাইস এস্টেট এবং সার্টিফিকেট পরিচালনা করার অপারেশনাল ক্ষমতার উপর ভিত্তি করে আপনার EAP পদ্ধতি বেছে নিন। আপনার ইনফ্রাস্ট্রাকচার সমর্থন করলে RadSec ব্যবহার করুন। এবং বড় আকারে রোল আউট করার আগে পরীক্ষা করুন। আপনি যদি একটি মিশ্র গেস্ট এবং স্টাফ নেটওয়ার্ক পরিচালনা করেন - যা বেশিরভাগ হসপিটালিটি এবং রিটেইল অপারেটররা করে থাকেন - তবে Purple-এর মতো প্ল্যাটফর্মগুলি আপনাকে একটি একক ড্যাশবোর্ড থেকে উভয় প্রমাণীকরণ মডেল পরিচালনা করার সুবিধা দেয়, যেখানে অ্যানালিটিক্স লেয়ারটি সম্পূর্ণ এস্টেট জুড়ে কাজ করে। আপনার পরবর্তী পদক্ষেপের জন্য: আপনার বর্তমান নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের অবস্থা অডিট করুন, কোন সাইটগুলি এখনও শেয়ার্ড PSK চালাচ্ছে তা চিহ্নিত করুন এবং একটি ধাপে ধাপে মাইগ্রেশন পরিকল্পনা তৈরি করুন। আপনার সবচেয়ে ঝুঁকিপূর্ণ সাইটগুলি দিয়ে শুরু করুন - যেগুলি PCI-DSS এর আওতাভুক্ত বা যেগুলি সংবেদনশীল ডেটা পরিচালনা করে - এবং ধীরে ধীরে বাকিগুলি সম্পন্ন করুন। শোনার জন্য ধন্যবাদ। আরও টেকনিক্যাল ব্রিফিং purple.ai-তে উপলব্ধ রয়েছে।