ইউনিভার্সিটি ক্যাম্পাস WiFi: eduroam, আবাসিক হল, এবং বৃহৎ পরিসরে BYOD

এই রেফারেন্স আর্কিটেকচার বিশ্ববিদ্যালয় ক্যাম্পাসের WiFi-এর জন্য উন্নত স্থাপনা কৌশল প্রদান করে, eduroam ফেডারেশন মেকানিক্স, আবাসিক হলগুলিতে প্রতি-রুম VLAN মাইক্রো-সেগমেন্টেশন, এবং বৃহৎ পরিসরে স্বয়ংক্রিয় BYOD সার্টিফিকেট অনবোর্ডিং কভার করে। এটি আইটি নেতা এবং নেটওয়ার্ক স্থপতিদের বিক্রেতা-নিরপেক্ষ, অবিলম্বে কার্যকর নির্দেশিকা দিয়ে সজ্জিত করে নিরাপত্তা বাড়াতে, হেল্পডেস্কের কাজ কমাতে এবং একাডেমিক ও আবাসিক পরিবেশ জুড়ে একটি নির্বিঘ্ন সংযোগ অভিজ্ঞতা প্রদান করতে।

📖 8 মিনিট পাঠ📝 1,940 শব্দ🔧 2 উদাহরণ❓ 3 প্রশ্ন📚 10 মূল শব্দসমূহ

🎧 এই গাইডটি শুনুন

ট্রান্সক্রিপ্ট দেখুন

Welcome to the Purple Technical Briefing. I'm your host, and today we're diving deep into the reference architecture for University Campus WiFi. We'll be covering eduroam federation, managing residence halls at scale, and BYOD onboarding for thousands of concurrent users.

For IT directors and network architects in higher education, the campus network is mission-critical infrastructure. It's not simply about coverage anymore. It's about handling immense device density, securing the perimeter, and providing a frictionless user experience for tens of thousands of concurrent users — students, faculty, visiting researchers, and a growing fleet of IoT devices.

Let's begin with eduroam. It's the backbone of academic mobility worldwide, operating in over 100 countries. But how does it actually work at scale?

The architecture relies on an 802.1X framework paired with a hierarchical RADIUS proxy system. When a visiting student connects to your local eduroam SSID, your access point — acting as the Network Access Server — sends an EAP request to your campus RADIUS server. Your server inspects the realm: the domain portion after the at-symbol in the user's identity. If that realm doesn't match your local domain, your RADIUS server proxies the request up to a national proxy. In the UK, that's JANET. In Europe, it's GÉANT. That proxy then routes the request to the student's home institution. The home Identity Provider validates the credentials against its directory — Active Directory or LDAP — and sends an Access-Accept or Access-Reject message back down the chain.

The golden rule here is what I call the 'Home Always Knows' principle. The visited institution never sees the password. Authentication always resolves at the home institution. This is a critical security property. If a visiting researcher from Edinburgh arrives at your campus in Bristol, your RADIUS server is simply a relay. You are never in possession of their credentials.

This has important implications for troubleshooting. If a visiting user cannot connect, and your local RADIUS logs confirm the request is being forwarded outward, the problem lies upstream — either at the national proxy or at the home institution. Escalate accordingly.

Now, let's talk about the most challenging RF environment on any campus: the residence hall. You have massive device density — sometimes three to five devices per student — concrete and masonry walls, fire doors, and a flood of consumer IoT devices including smart speakers, gaming consoles, streaming sticks, and wireless printers.

The legacy approach of deploying a flat subnet across an entire building is a recipe for operational disaster. Broadcast storms, security vulnerabilities, and a degraded user experience are the inevitable outcomes. A single compromised device on a flat network has lateral movement access to every other device in the building.

The modern architectural standard is Per-Room VLAN mapping. Using your Network Access Control system, you dynamically assign a unique VLAN to every individual dorm room or suite. When a student authenticates, RADIUS evaluates their identity and location attributes, and drops them into their specific micro-segment. We describe this as creating a Personal Area Network — a PAN — around each room. The student's phone can discover and communicate with their Apple TV or wireless printer, but they are completely isolated from the room next door.

This architecture requires in-room AP deployments. Hallway access points are an anti-pattern for modern high-density environments. When APs are deployed in a long corridor, they can hear each other perfectly, causing severe co-channel interference. More critically, the RF signal must penetrate thick fire doors and masonry walls to reach devices inside the rooms — exactly where users are. The result is poor signal quality and low throughput precisely where it matters most. The correct approach is one AP per room, or one AP per two rooms in newer construction, with transmit power reduced to create clean RF boundaries.

Now let's address BYOD onboarding. The start of the academic year is a high-stakes event for any university IT team. In the first 48 hours of term, you may need to onboard 10,000 or more devices. A manual or poorly designed onboarding process will overwhelm the helpdesk. I've seen institutions where the WiFi helpdesk queue hits 2,000 tickets within 24 hours of term starting. That is entirely avoidable.

A scalable BYOD architecture moves away from manual PEAP configuration — where students must enter complex EAP settings by hand — and instead relies on automated certificate provisioning. The optimal flow uses an open onboarding SSID that restricts traffic to the captive portal and provisioning servers only. The student connects, gets redirected to a branded self-service portal, authenticates via Single Sign-On using their university credentials, and downloads a small configuration payload. That payload uses SCEP — the Simple Certificate Enrollment Protocol — or EST to request a unique client certificate from your campus Certificate Authority. Once the certificate is installed, the device automatically drops the onboarding connection and associates with the secure 802.1X network using EAP-TLS.

This is the critical shift: you are decoupling WiFi authentication from the user's directory password. When a student changes their AD password — which many institutions force every 90 days — their WiFi connection is completely unaffected. The certificate remains valid for its full lifetime, typically one to four years. This single architectural decision eliminates the number one cause of WiFi helpdesk tickets in higher education.

For headless IoT devices — gaming consoles, smart TVs, Chromecasts — that do not have a native 802.1X supplicant, you implement a self-service device registration portal. Students log in with their university credentials and register the MAC address of their device. Your NAC system uses MAC Authentication Bypass, or MAB, to authenticate that registered MAC address and place the device into the student's designated Per-Room VLAN. This ensures the Xbox in Room 214 is on the same micro-segment as the student's laptop and phone, enabling local discovery protocols to function correctly.

Let me now walk through the key implementation steps for this architecture.

First, standardise your identity store. Ensure your Active Directory or LDAP directory is clean, with well-defined groups for students, faculty, staff, and guests. This is foundational for policy enforcement. Garbage in, garbage out.

Second, deploy a robust NAC solution with high availability. Your RADIUS infrastructure must handle peak loads without timeout failures. Implement load balancing across multiple RADIUS nodes, and tune EAP timers on your wireless LAN controller to accommodate slight proxy delays during peak periods.

Third, configure your eduroam RADIUS proxies correctly. Establish secure tunnels to your national roaming operator and implement strict realm routing rules. You must prevent routing loops and ensure only valid, registered realms are proxied outward.

Fourth, implement device registration for IoT. The self-service portal must be simple enough for a first-year student to use without IT assistance. Tie it directly to your NAC for automatic VLAN assignment.

Fifth, optimise your RF design for high density. Commission a proper RF survey before deployment. In residence halls, plan for in-room coverage. In lecture theatres and libraries, use high-density APs with directional antennas and disable legacy data rates below 12 megabits per second to force clients to roam to the optimal AP.

Now let's cover the common pitfalls and how to mitigate them.

RADIUS timeout failures during peak onboarding are the most common operational issue. The mitigation is pre-emptive capacity planning: load test your RADIUS infrastructure before term starts, not during it.

IoT device discovery failures are the second most common complaint. Students report that they cannot cast to their smart TVs. If devices are on separate VLANs, you need an mDNS gateway or Bonjour proxy service to forward multicast DNS traffic across the VLAN boundary. Configure this carefully — you want to allow discovery within a Per-Room VLAN, not broadcast it across the entire building.

Rogue DHCP servers are a persistent threat. A student plugging a consumer router into a dorm room Ethernet port can take down the entire subnet. Enforce DHCP Snooping and BPDU Guard on all access switch ports without exception.

Finally, let's talk about the business impact and ROI.

Automated certificate-based BYOD onboarding can reduce WiFi-related helpdesk tickets by up to 70% during the critical start-of-term period. That translates directly to reduced staffing costs and faster resolution times for the tickets that do come in.

Micro-segmentation through Per-Room VLANs dramatically reduces the blast radius of a compromised device. In a flat network, ransomware can propagate laterally across the entire building. In a micro-segmented architecture, it is contained to a single room's VLAN.

By integrating network telemetry with analytics platforms, universities can make data-driven decisions about space utilisation, AP placement, and capacity planning. Real-time heatmaps and client association data can inform facilities management decisions about study space allocation and HVAC scheduling.

Let me close with a rapid-fire summary of the key decisions every campus IT architect needs to make.

On eduroam: use EAP-TLS for managed devices and EAP-TTLS or PEAP only as a fallback for unmanaged. Always monitor your RADIUS proxy logs, not just the local authentication logs.

On residence halls: deploy in-room APs, implement Per-Room VLANs via NAC, and build a self-service IoT registration portal before the first day of term.

On BYOD: automate certificate provisioning. Do not rely on users to manually configure 802.1X settings. The onboarding experience must be as simple as connecting to a consumer WiFi network.

On IoT: treat IoT devices as a separate policy class. Register them by MAC, assign them to the correct micro-segment, and never put them on the same VLAN as managed endpoints.

To summarise: the university campus WiFi challenge is fundamentally a policy and identity problem, not just a radio frequency problem. Get your identity infrastructure right, automate onboarding, and micro-segment your residential network. Those three decisions will define the quality of your campus connectivity for the next decade.

Thank you for joining the Purple Technical Briefing. For further guidance on campus network architecture, guest WiFi solutions, and WiFi analytics, visit purple.ai.

মূল বিষয়সমূহ

✓eduroam uses a hierarchical RADIUS proxy model — authentication always resolves at the user's home institution, never at the visited campus. The 'Home Always Knows' principle defines your troubleshooting escalation path.
✓Per-Room VLANs create micro-segmented Personal Area Networks in residence halls, simultaneously improving security and enabling IoT device discovery within each room's boundary.
✓Automated EAP-TLS certificate onboarding — not PEAP-MSCHAPv2 — is the only scalable solution for BYOD at university scale. It decouples WiFi authentication from the AD password lifecycle.
✓IoT devices require MAC Authentication Bypass (MAB) and a self-service registration portal, as they lack 802.1X supplicants. They must be placed in the student's Per-Room VLAN, not a separate building-wide IoT VLAN.
✓In-room AP deployments are mandatory for modern residence halls. Hallway APs cause co-channel interference and poor in-room coverage, and are architecturally incompatible with Per-Room VLAN micro-segmentation.
✓DHCP Snooping and BPDU Guard must be enforced on all access switch ports to prevent rogue DHCP servers from consumer routers taking down dormitory subnets.
✓WiFi analytics and sensor integration transform the network from a connectivity utility into a strategic data asset for space utilisation, facilities management, and operational efficiency.

কার্যনির্বাহী সারসংক্ষেপ

আধুনিক বিশ্ববিদ্যালয়গুলির জন্য, ক্যাম্পাসের WiFi নেটওয়ার্ক আর নিছক একটি সুবিধা নয় — এটি একটি গুরুত্বপূর্ণ অবকাঠামো যা একাডেমিক বিতরণ, ছাত্র জীবন এবং অপারেশনাল দক্ষতার ভিত্তি। উচ্চশিক্ষা প্রতিষ্ঠানগুলি যখন স্কেল করে, তখন আইটি দলগুলি জটিল নেটওয়ার্কিং চ্যালেঞ্জগুলির একটি ত্রয়ীর মুখোমুখি হয়: eduroam-এর নির্বিঘ্ন, সুরক্ষিত ফেডারেশন পরিচালনা করা, আবাসিক হলগুলিতে উচ্চ-ঘনত্বের মাইক্রো-সেগমেন্টেড পরিবেশ তৈরি করা, এবং হাজার হাজার সমসাময়িক ব্যবহারকারীর জন্য Bring Your Own Device (BYOD) অনবোর্ডিং স্বয়ংক্রিয় করা।

এই রেফারেন্স গাইডটি সিনিয়র আইটি নেতা, নেটওয়ার্ক স্থপতি এবং ভেন্যু অপারেশনস ডিরেক্টরদের জন্য ক্যাম্পাস সংযোগের জন্য একটি ব্যবহারিক, বিক্রেতা-নিরপেক্ষ ব্লুপ্রিন্ট প্রদান করে। আমরা eduroam-কে চালিত করে এমন হায়ারার্কিক্যাল RADIUS প্রক্সি মডেল পরীক্ষা করি, শিক্ষার্থীদের ডিভাইস সুরক্ষিত করার জন্য প্রতি-রুম VLAN-এর বাস্তবায়ন বিস্তারিতভাবে বর্ণনা করি এবং একটি শক্তিশালী ডিভাইস রেজিস্ট্রেশন লাইফসাইকেল রূপরেখা করি। এই স্থাপত্য মানগুলি গ্রহণ করে, প্রতিষ্ঠানগুলি হেল্পডেস্কের কাজ উল্লেখযোগ্যভাবে কমাতে পারে, ডেটা সুরক্ষা প্রবিধানগুলির সাথে সম্মতি নিশ্চিত করতে পারে এবং একাডেমিক ও আবাসিক স্থান জুড়ে একটি নির্বিঘ্ন ডিজিটাল অভিজ্ঞতা প্রদান করতে পারে। এখানে অন্বেষণ করা নীতিগুলি Hospitality এবং Healthcare পরিবেশগুলিতেও সমানভাবে প্রযোজ্য যেখানে উচ্চ-ঘনত্বের, বহু-ভাড়াটে সংযোগ একটি দৈনন্দিন অপারেশনাল চ্যালেঞ্জ।

প্রযুক্তিগত গভীর-পর্যালোচনা

eduroam ফেডারেশন আর্কিটেকচার

eduroam (education roaming) হল আন্তর্জাতিক গবেষণা ও শিক্ষা সম্প্রদায়ের জন্য তৈরি একটি সুরক্ষিত, বিশ্বব্যাপী রোমিং অ্যাক্সেস পরিষেবা। এটি অংশগ্রহণকারী প্রতিষ্ঠানগুলির ছাত্র, গবেষক এবং কর্মীদের ক্যাম্পাস জুড়ে এবং অন্যান্য অংশগ্রহণকারী প্রতিষ্ঠানে পরিদর্শনের সময় ইন্টারনেট সংযোগ পেতে দেয়, কেবল তাদের ল্যাপটপ খুলে বা তাদের মোবাইল ডিভাইস সংযোগ করে — পরিদর্শিত সাইটে কোনও ম্যানুয়াল কনফিগারেশনের প্রয়োজন হয় না।

পর্দার আড়ালে, eduroam একটি হায়ারার্কিক্যাল RADIUS (Remote Authentication Dial-In User Service) প্রক্সি আর্কিটেকচারের সাথে সংযুক্ত একটি IEEE 802.1X প্রমাণীকরণ কাঠামোর উপর নির্ভর করে। যখন একজন ব্যবহারকারী একটি পরিদর্শিত প্রতিষ্ঠানে (পরিষেবা প্রদানকারী, বা SP) eduroam SSID-এর সাথে সংযোগ করার চেষ্টা করে, তখন স্থানীয় অ্যাক্সেস পয়েন্ট নেটওয়ার্ক অ্যাক্সেস সার্ভার (NAS) হিসাবে কাজ করে। এটি এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল (EAP) এর মাধ্যমে প্রমাণীকরণ অনুরোধটি ক্যাম্পাসের RADIUS সার্ভারে ফরোয়ার্ড করে।

যদি ব্যবহারকারীর realm (যেমন, @university.edu) স্থানীয় ডোমেনের সাথে মেলে না, তাহলে ক্যাম্পাসের RADIUS সার্ভার অনুরোধটি একটি জাতীয় RADIUS প্রক্সিতে প্রক্সি করে — যুক্তরাজ্যের JANET, প্যান-ইউরোপীয় স্তরে GÉANT। জাতীয় প্রক্সি অনুরোধটি ব্যবহারকারীর হোম প্রতিষ্ঠানে (পরিচয় প্রদানকারী, বা IdP) রুট করে, যা তার পরিচয় স্টোর (Active Directory বা LDAP) এর বিরুদ্ধে শংসাপত্রগুলি যাচাই করে এবং প্রক্সি চেইনের মাধ্যমে একটি অ্যাক্সেস-অ্যাকসেপ্ট বা অ্যাক্সেস-রিজেক্ট বার্তা ফেরত দেয়।

এই আর্কিটেকচার নিশ্চিত করে যে ব্যবহারকারীর শংসাপত্রগুলি পরিদর্শিত প্রতিষ্ঠানের কাছে কখনও প্রকাশ করা হয় না, GDPR প্রয়োজনীয়তাগুলির সাথে সামঞ্জস্যপূর্ণ কঠোর নিরাপত্তা এবং গোপনীয়তা মান বজায় রাখে। পরিদর্শিত ক্যাম্পাস কখনও ব্যবহারকারীর পাসওয়ার্ড ধারণ বা প্রক্রিয়া করে না — এটি শুধুমাত্র হোম প্রতিষ্ঠানে প্রেরণ এবং যাচাই করা হয়।

আবাসিক হল মাইক্রো-সেগমেন্টেশন: প্রতি-রুম VLAN

এন্টারপ্রাইজ নেটওয়ার্কিংয়ে আবাসিক হলগুলি সবচেয়ে চ্যালেঞ্জিং RF পরিবেশগুলির মধ্যে একটি উপস্থাপন করে। ডিভাইসের ঘনত্ব — প্রায়শই প্রতি ছাত্রে তিন থেকে পাঁচটি — ভোক্তা IoT (স্মার্ট স্পিকার, গেমিং কনসোল, স্ট্রিমিং স্টিক, ওয়্যারলেস প্রিন্টার) এর প্রসারের সাথে মিলিত হয়ে এমন একটি পরিবেশ তৈরি করে যা দ্রুত ফ্ল্যাট নেটওয়ার্ক আর্কিটেকচারগুলিকে অভিভূত করে। ঐতিহ্যবাহী একক-সাবনেট ডরমিটরি নেটওয়ার্কগুলি অতিরিক্ত ব্রডকাস্ট ট্র্যাফিক তৈরি করে, উল্লেখযোগ্য নিরাপত্তা দুর্বলতা তৈরি করে এবং ডিভাইসগুলি পুরো বিল্ডিং জুড়ে একে অপরকে আবিষ্কার করার সাথে সাথে একটি অবনমিত ব্যবহারকারীর অভিজ্ঞতা তৈরি করে।

শিল্প মান পদ্ধতি হল প্রতি-রুম VLAN ম্যাপিং। এই আর্কিটেকচারে, নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (NAC) সিস্টেম প্রতিটি স্বতন্ত্র ডর্ম রুম বা স্যুটে গতিশীলভাবে একটি অনন্য VLAN বরাদ্দ করে। যখন একজন ছাত্র তাদের স্মার্টফোন, ল্যাপটপ, বা নিবন্ধিত IoT ডিভাইস সংযোগ করে, তখন RADIUS সার্ভার ব্যবহারকারীর পরিচয় এবং অবস্থানের বৈশিষ্ট্যগুলি মূল্যায়ন করে, তাদের নির্দিষ্ট মাইক্রো-সেগমেন্টে বরাদ্দ করে। এটি একটি পার্সোনাল এরিয়া নেটওয়ার্ক (PAN) অভিজ্ঞতা তৈরি করে: ছাত্রের ডিভাইসগুলি একে অপরের সাথে যোগাযোগ করতে পারে (যেমন, একটি ফোন থেকে একটি Apple TV-তে কাস্টিং), তবে সংলগ্ন রুমের ডিভাইসগুলি থেকে সম্পূর্ণ বিচ্ছিন্ন থাকে।

বৃহৎ পরিসরে এটি পরিচালনা করতে, আইটি দলগুলিকে সক্ষম ডিভাইসগুলির (ল্যাপটপ, স্মার্টফোন) জন্য 802.1X ব্যবহার করে গতিশীল VLAN অ্যাসাইনমেন্ট এবং এন্টারপ্রাইজ প্রমাণীকরণ সমর্থন করে না এমন হেডলেস IoT ডিভাইসগুলির জন্য একটি ডিভাইস রেজিস্ট্রেশন পোর্টালের সাথে MAC অথেন্টিকেশন বাইপাস (MAB) বাস্তবায়ন করতে হবে। VLAN অ্যাসাইনমেন্ট RADIUS সার্ভার দ্বারা অ্যাক্সেস-অ্যাকসেপ্ট বার্তায় একটি স্ট্যান্ডার্ড অ্যাট্রিবিউট হিসাবে ফেরত দেওয়া হয় (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID)।

বৃহৎ পরিসরে BYOD অনবোর্ডিং

শিক্ষাবর্ষের শুরুতে, বিশ্ববিদ্যালয়গুলি ব্যাপক অনবোর্ডিং স্পাইকের সম্মুখীন হয়। একটি ম্যানুয়াল বা খারাপভাবে ডিজাইন করা BYOD প্রক্রিয়া কয়েক ঘন্টার মধ্যে আইটি হেল্পডেস্ককে অভিভূত করবে। একটি স্কেলযোগ্য আর্কিটেকচার স্বয়ংক্রিয় সার্টিফিকেট প্রভিশনিং এর উপর নির্ভর করে, ব্যবহারকারীদের জটিল EAP সেটিংস ম্যানুয়ালি কনফিগার করতে বা তাদের ডিরেক্টরি পাসওয়ার্ড পরিবর্তন হওয়ার সাথে সাথে তাদের WiFi কনফিগারেশন আপডেট করার কথা মনে রাখতে বলার পরিবর্তে।

সর্বোত্তম প্রবাহ একটি উন্মুক্ত অনবোর্ডিং SSID ব্যবহার করে যা একটি captive portal এবং প্রয়োজনীয় প্রভিশনিং সার্ভারগুলিতে অ্যাক্সেস সীমাবদ্ধ করে। ব্যবহারকারীরা Single Sign-On (SSO) এর মাধ্যমে প্রমাণীকরণ করে, একটিযার পরে একটি নেটিভ OS প্রোফাইল পেলোড ডাউনলোড করা হয়। এই পেলোডটি ক্যাম্পাসের সার্টিফিকেট অথরিটি থেকে একটি অনন্য ক্লায়েন্ট সার্টিফিকেট অনুরোধ করতে SCEP (Simple Certificate Enrollment Protocol) অথবা EST (Enrollment over Secure Transport) ব্যবহার করে।

একবার সার্টিফিকেট ইনস্টল হয়ে গেলে, ডিভাইসটি স্বয়ংক্রিয়ভাবে অনবোর্ডিং সংযোগ বিচ্ছিন্ন করে এবং EAP-TLS ব্যবহার করে সুরক্ষিত 802.1X নেটওয়ার্কের (যেমন eduroam) সাথে যুক্ত হয়। এটি পাসওয়ার্ড-সম্পর্কিত সংযোগ সমস্যাগুলি দূর করে — যা WiFi হেল্পডেস্ক টিকিটের প্রধান কারণ — এবং নেটওয়ার্ক টিমকে প্রতিটি সংযুক্ত ডিভাইসের উপর বিস্তারিত দৃশ্যমানতা প্রদান করে।

ব্যক্তিগত এবং বিশ্ববিদ্যালয়-মালিকানাধীন ডিভাইসের মিশ্রণ পরিচালনা করা প্রতিষ্ঠানগুলির জন্য, একটি MDM (Mobile Device Management) সমাধানের সাথে অনবোর্ডিং ফ্লোকে একত্রিত করা সার্টিফিকেট প্রভিশনিং ধাপের সময় স্বয়ংক্রিয়ভাবে নীতি প্রোফাইলগুলি পুশ করার অনুমতি দেয়, যা অতিরিক্ত ব্যবহারকারীর ইন্টারঅ্যাকশন ছাড়াই প্রতি-ডিভাইস নীতি প্রয়োগ সক্ষম করে।

বাস্তবায়ন নির্দেশিকা

এই আর্কিটেকচার স্থাপন করতে নেটওয়ার্ক ইঞ্জিনিয়ারিং, পরিচয় ব্যবস্থাপনা এবং নিরাপত্তা দলগুলির মধ্যে সতর্ক সমন্বয় প্রয়োজন। নিম্নলিখিত ক্রমটি একটি গ্রিনফিল্ড বা প্রধান রিফ্রেশ প্রকল্পের জন্য একটি প্রমাণিত স্থাপনার ক্রমকে উপস্থাপন করে।

ধাপ 1 — পরিচয় স্টোরকে মানসম্মত করুন। নিশ্চিত করুন যে আপনার Active Directory বা LDAP ডিরেক্টরি পরিষ্কার আছে, যেখানে ছাত্র, অনুষদ, কর্মী এবং অতিথিদের জন্য সুনির্দিষ্ট গ্রুপ রয়েছে। নিশ্চিত করুন যে গ্রুপ সদস্যপদ সঠিক এবং স্বয়ংক্রিয় প্রভিশনিং ও ডি-প্রভিশনিং প্রক্রিয়াগুলি বিদ্যমান। এটি নীতি প্রয়োগের জন্য মৌলিক: ভুল তথ্য দিলে ভুল ফলাফল আসবে।

ধাপ 2 — একটি শক্তিশালী NAC সমাধান স্থাপন করুন। একটি Network Access Control সিস্টেম বাস্তবায়ন করুন যা উচ্চ-ভলিউম RADIUS অনুরোধ, ডাইনামিক VLAN অ্যাসাইনমেন্ট এবং ডিভাইস প্রোফাইলিং পরিচালনা করতে সক্ষম। পৃথক ডেটা সেন্টারগুলিতে একাধিক নোডের মধ্যে রিডানডেন্সি নিশ্চিত করুন। সেমিস্টার শুরু হওয়ার আগে অবকাঠামো লোড পরীক্ষা করুন, চলাকালীন নয়।

ধাপ 3 — eduroam RADIUS প্রক্সি কনফিগার করুন। আপনার জাতীয় রোমিং অপারেটরের সাথে সুরক্ষিত টানেল স্থাপন করুন। লুপ প্রতিরোধ করতে এবং শুধুমাত্র বৈধ, নিবন্ধিত রিয়েলমগুলি বাইরে প্রক্সি করা হয় তা নিশ্চিত করতে কঠোর রিয়েলম রাউটিং নিয়ম প্রয়োগ করুন। প্রক্সি লেটেন্সি এবং ব্যর্থতার হারের জন্য মনিটরিং অ্যালার্ট কনফিগার করুন।

ধাপ 4 — IoT-এর জন্য ডিভাইস রেজিস্ট্রেশন বাস্তবায়ন করুন। একটি স্ব-পরিষেবা পোর্টাল স্থাপন করুন যেখানে শিক্ষার্থীরা তাদের গেমিং কনসোল, স্মার্ট টিভি এবং অন্যান্য হেডলেস ডিভাইসের MAC ঠিকানা নিবন্ধন করতে পারবে। পোর্টালটি IT সহায়তা ছাড়াই ব্যবহার করার জন্য যথেষ্ট সহজ হতে হবে। MAB এর মাধ্যমে স্বয়ংক্রিয় VLAN অ্যাসাইনমেন্টের জন্য এটিকে সরাসরি আপনার NAC এর সাথে সংযুক্ত করুন।

ধাপ 5 — উচ্চ ঘনত্বের জন্য RF অপ্টিমাইজ করুন। স্থাপনার আগে একটি সঠিক RF সমীক্ষা কমিশন করুন। আবাসিক হলগুলিতে, কক্ষের মধ্যে AP কভারেজের পরিকল্পনা করুন। ক্লায়েন্টদের সর্বোত্তম AP-তে রোম করতে বাধ্য করার জন্য 12 Mbps এর নিচে লিগ্যাসি ডেটা রেটগুলি নিষ্ক্রিয় করুন। কক্ষগুলির মধ্যে পরিষ্কার RF সীমানা তৈরি করতে ট্রান্সমিট পাওয়ার কনফিগার করুন।

ক্যাম্পাসের পাবলিক এলাকাগুলিতে — লাইব্রেরি, স্টুডেন্ট ইউনিয়ন, আউটডোর স্পেস — eduroam শংসাপত্রবিহীন দর্শকদের জন্য সোশ্যাল লগইন বা SMS প্রমাণীকরণ সহ Guest WiFi সমাধানগুলি ব্যবহার করার কথা বিবেচনা করুন। WiFi Analytics দিয়ে এই পরিবেশগুলি পর্যবেক্ষণ করা রিয়েল-টাইম ক্ষমতা ব্যবস্থাপনা এবং কভারেজ ফাঁকগুলির সক্রিয় সনাক্তকরণ সক্ষম করে।

সেরা অনুশীলন

পরিচালিত ডিভাইসগুলির জন্য EAP-TLS বাধ্যতামূলক করুন। বিশ্ববিদ্যালয়-মালিকানাধীন সম্পদের জন্য, শুধুমাত্র সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ ব্যবহার করুন। এটি সর্বোচ্চ স্তরের নিরাপত্তা প্রদান করে এবং শংসাপত্র চুরি প্রতিরোধ করে। EAP-TTLS বা PEAP শুধুমাত্র একটি রূপান্তরকালীন সময়ে অপরিবর্তিত ব্যক্তিগত ডিভাইসগুলির জন্য একটি ফলব্যাক হিসাবে সংরক্ষিত রাখা উচিত।

DHCP Snooping এবং BPDU Guard প্রয়োগ করুন। একজন ছাত্র একটি ডর্ম রুমের ইথারনেট পোর্টে একটি কনজিউমার রাউটার প্লাগ করলে পুরো সাবনেটটি অকার্যকর হতে পারে। এই নিয়ন্ত্রণগুলি ব্যতিক্রম ছাড়াই সমস্ত অ্যাক্সেস সুইচ পোর্টে প্রয়োগ করতে হবে।

ক্রমাগত পর্যবেক্ষণ ও বিশ্লেষণ করুন। AP ব্যবহার, ক্লায়েন্ট সংখ্যা এবং রোমিং প্যাটার্ন নিরীক্ষণের জন্য WiFi Analytics ব্যবহার করুন। এই ডেটা ক্ষমতা পরিকল্পনা এবং লেকচার থিয়েটার ও লাইব্রেরিতে RF ডেড জোন সনাক্ত করার জন্য অমূল্য। স্থান ব্যবহারের মেট্রিক্সের সাথে WiFi উপস্থিতি ডেটা সম্পর্কযুক্ত করা ডেটা-চালিত সুবিধা ব্যবস্থাপনা সিদ্ধান্ত সক্ষম করে।

ক্যাম্পাস পরিচালনার জন্য লোকেশন সার্ভিস ব্যবহার করুন। নতুন শিক্ষার্থীদের জটিল ভবনগুলিতে নেভিগেট করতে এবং রিয়েল-টাইম AP অ্যাসোসিয়েশন ডেটার উপর ভিত্তি করে উপলব্ধ অধ্যয়ন স্থানগুলি সনাক্ত করতে সহায়তা করার জন্য ক্যাম্পাস অ্যাপে Wayfinding ইন্টিগ্রেশন বাস্তবায়ন করুন। এটি শারীরিক সাইনেজের উপর চাপ কমায় এবং উচ্চ-ট্রাফিক সময়কালে শিক্ষার্থীদের অভিজ্ঞতা উন্নত করে।

WPA3 ট্রানজিশন পরিকল্পনার সাথে সারিবদ্ধ হন। যদিও WPA2-Enterprise প্রভাবশালী মান হিসাবে রয়ে গেছে, আপনার AP রিফ্রেশ চক্রের পরিকল্পনা করুন যাতে WPA3-Enterprise (উচ্চ-নিরাপত্তা পরিবেশের জন্য 192-বিট মোড) এবং গেস্ট SSIDs-এর জন্য Enhanced Open (OWE) সমর্থন করে। WPA3 KRACK দুর্বলতা শ্রেণীকে দূর করে এবং ফরোয়ার্ড সিক্রেসি প্রদান করে, যা GDPR সম্মতির জন্য ক্রমবর্ধমান প্রাসঙ্গিক।

সমস্যা সমাধান ও ঝুঁকি প্রশমন

পিক অনবোর্ডিংয়ের সময় RADIUS টাইমআউট ব্যর্থতা। সেমিস্টারের প্রথম 48 ঘন্টার মধ্যে, RADIUS সার্ভারগুলি অতিরিক্ত লোড হয়ে যেতে পারে, যার ফলে প্রমাণীকরণ টাইমআউট এবং হেল্পডেস্ক কলের বন্যা হতে পারে। প্রশমন: পূর্ব-সক্রিয় লোড টেস্টিং, একাধিক RADIUS নোডের মধ্যে লোড ব্যালেন্সিং, এবং সামান্য প্রক্সি বিলম্বের জন্য ওয়্যারলেস LAN কন্ট্রোলারে EAP টাইমার টিউন করা।

IoT ডিভাইস আবিষ্কার ব্যর্থতা। শিক্ষার্থীরা প্রায়শই রিপোর্ট করে যে তারা তাদের স্মার্ট টিভিতে কাস্ট করতে বা ওয়্যারলেস প্রিন্টারের সাথে সংযোগ করতে পারে না। প্রশমন: যদি ডিভাইসগুলি পৃথক VLAN-এ থাকে, তাহলে প্রাসঙ্গিক প্রতি-রুম VLAN জোড়ার জন্য VLAN সীমানা জুড়ে নির্দিষ্ট আবিষ্কার প্রোটোকল ফরোয়ার্ড করতে একটি mDNS গেটওয়ে বা Bonjour প্রক্সি কনফিগার করুন। নিশ্চিত করুন যে গেটওয়েটি পৃথক রুম VLAN-এর জন্য নির্ধারিত, পুরো বিল্ডিংয়ের জন্য নয়।

eduroam প্রক্সি রাউটিং লুপ। ভুলভাবে কনফিগার করা রিয়েলম রাউটিং নিয়মগুলি প্রক্সি সার্ভারগুলির মধ্যে প্রমাণীকরণ অনুরোধগুলিকে লুপ করতে পারে, যার ফলে টাইমআউট হয়। প্রশমনপ্রশমন:** আপনার RADIUS প্রক্সিতে কঠোর রিয়েলম হোয়াইটলিস্টিং প্রয়োগ করুন এবং লুপ ডিটেকশন কনফিগার করুন। জাতীয় অপারেটরের প্রকাশিত রিয়েলম রেজিস্ট্রি অনুসারে নিয়মিতভাবে রাউটিং টেবিলগুলি নিরীক্ষা করুন।

ব্যাপক পরিসরে সার্টিফিকেট বাতিলকরণ। যখন একজন শিক্ষার্থী প্রতিষ্ঠান ছেড়ে চলে যায়, তখন তাদের সার্টিফিকেট দ্রুত বাতিল করতে হবে যাতে নেটওয়ার্ক অ্যাক্সেস অব্যাহত না থাকে। প্রশমন: OCSP (Online Certificate Status Protocol) স্ট্যাপলিং প্রয়োগ করুন এবং নিশ্চিত করুন যে আপনার CA-এর CRL (Certificate Revocation List) প্রকাশিত হয়েছে এবং আপনার RADIUS সার্ভারগুলির জন্য অ্যাক্সেসযোগ্য। শিক্ষার্থীর ডি-প্রভিশনিং ওয়ার্কফ্লোর অংশ হিসাবে বাতিলকরণ স্বয়ংক্রিয় করুন।

ROI এবং ব্যবসায়িক প্রভাব

একটি শক্তিশালী, স্বয়ংক্রিয় ক্যাম্পাস WiFi আর্কিটেকচারে বিনিয়োগ একাধিক মাত্রায় উল্লেখযোগ্য, পরিমাপযোগ্য রিটার্ন প্রদান করে।

মেট্রিক	বেসলাইন (লেগ্যাসি আর্কিটেকচার)	লক্ষ্য (আধুনিক আর্কিটেকচার)	উন্নতি
হেল্পডেস্ক WiFi টিকিট (১ম সপ্তাহ)	২,০০০–৩,০০০	৬০০–৯০০	~৭০% হ্রাস
একটি নতুন ডিভাইস অনবোর্ড করার গড় সময়	১৫–৩০ মিনিট (ম্যানুয়াল)	৩–৫ মিনিট (স্বয়ংক্রিয়)	~৮০% হ্রাস
নিরাপত্তা ঘটনার প্রভাবের ব্যাসার্ধ	পুরো বিল্ডিং সাবনেট	একক রুম VLAN	নিয়ন্ত্রিত
প্রতি রুমে AP স্থাপনের খরচ	উচ্চ (হলওয়ে মডেল)	মধ্যম (ইন-রুম, কম শক্তি)	উন্নত ফলাফলের সাথে তুলনীয়

হেল্পডেস্কের কাজের চাপ হ্রাস। স্বয়ংক্রিয় সার্টিফিকেট-ভিত্তিক BYOD অনবোর্ডিং টার্ম শুরুর গুরুত্বপূর্ণ সময়ে WiFi-সম্পর্কিত সাপোর্ট টিকিট ৭০% পর্যন্ত কমাতে পারে, যা IT কর্মীদের উচ্চ-মূল্যের কাজে মনোযোগ দিতে সহায়তা করে।

উন্নত নিরাপত্তা অবস্থান। মাইক্রো-সেগমেন্টেশন এবং 802.1X প্রমাণীকরণ একটি আপোসকৃত ডিভাইসের প্রভাবের ব্যাসার্ধকে নাটকীয়ভাবে হ্রাস করে, র‍্যানসমওয়্যারের দ্বারা পার্শ্বীয় চলাচলের ঝুঁকি কমায় — যা উচ্চ শিক্ষা প্রতিষ্ঠানে একটি ক্রমবর্ধমান হুমকি।

ডেটা-চালিত ক্যাম্পাস ব্যবস্থাপনা। Sensors এবং অ্যানালিটিক্স প্ল্যাটফর্মের সাথে নেটওয়ার্ক ডেটা একত্রিত করে, বিশ্ববিদ্যালয়গুলি স্থানের ব্যবহার অপ্টিমাইজ করতে পারে, দখলদারিত্বের উপর ভিত্তি করে HVAC সময়সূচী সামঞ্জস্য করতে পারে এবং সামগ্রিক ক্যাম্পাস কার্যক্রম উন্নত করতে পারে। নেটওয়ার্ক ব্যবস্থাপনার জন্য ব্যবহৃত একই WiFi Analytics অবকাঠামো সুবিধা এবং এস্টেট পরিকল্পনার জন্য একটি কৌশলগত সম্পদ হয়ে ওঠে।

এই নির্দেশিকায় বর্ণিত স্থাপত্যিক প্যাটার্নগুলি — মাইক্রো-সেগমেন্টেশন, স্বয়ংক্রিয় অনবোর্ডিং এবং ফেডারেল আইডেন্টিটি — উচ্চ শিক্ষার বাইরেও সরাসরি প্রযোজ্য। Retail পরিবেশগুলি কর্মীদের ডিভাইসের জন্য একই BYOD সেগমেন্টেশন নীতিগুলি থেকে উপকৃত হয় এবং Healthcare নেটওয়ার্কগুলির জন্য মেডিকেল IoT বিচ্ছিন্নতার জন্য সমতুল্য কঠোরতা প্রয়োজন। ক্যাম্পাস WAN সংযোগের ভিত্তি SD-WAN নীতিগুলি The Core SD-WAN Benefits for Modern Businesses -এ আরও বিস্তারিতভাবে অন্বেষণ করা হয়েছে।

যে সংস্থাগুলি WiFi-চালিত বুদ্ধিমত্তাকে মার্কেটিং অটোমেশন এবং এনগেজমেন্ট ওয়ার্কফ্লোতে প্রসারিত করতে চায়, তাদের জন্য উপস্থিতি-ভিত্তিক ট্রিগারিংয়ের নীতিগুলি Event-Driven Marketing Automation Triggered by WiFi Presence -এ বিস্তারিতভাবে বর্ণনা করা হয়েছে।

অডিও ব্রিফিং শুনুন:

মূল শব্দ ও সংজ্ঞা

RADIUS Proxy

A server that forwards authentication requests between a Network Access Server (NAS) and the final authentication server (IdP), routing based on the user's realm.

Crucial for eduroam federation. When a visiting user's realm does not match the local domain, the campus RADIUS server proxies the request outward through the national hierarchy to the home institution.

EAP-TLS (Extensible Authentication Protocol — Transport Layer Security)

An 802.1X authentication method requiring both a server-side certificate (on the RADIUS server) and a client-side certificate (on the endpoint device). No passwords are transmitted.

The gold standard for BYOD security in higher education. Eliminates password-related WiFi helpdesk tickets and provides mutual authentication, preventing rogue AP attacks.

Micro-segmentation

The practice of dividing a network into small, isolated segments — typically at the VLAN level — to limit lateral movement and reduce the attack surface.

Applied in residence halls via Per-Room VLANs to isolate student devices from one another, preventing ransomware propagation and enforcing privacy between residents.

MAC Authentication Bypass (MAB)

A fallback authentication method that uses a device's MAC address as its identity when the device does not support 802.1X.

Essential for connecting IoT devices (gaming consoles, smart TVs, printers) in dormitories to the secure network. The MAC must be pre-registered in the NAC to receive a valid VLAN assignment.

Realm

The domain portion of a user's Network Access Identifier (NAI), typically the part after the '@' symbol (e.g., 'university.edu' in 'student@university.edu').

RADIUS proxy servers use the realm to route eduroam authentication requests to the correct home institution. Misconfigured realm routing is a common cause of eduroam failures for visiting users.

SCEP (Simple Certificate Enrollment Protocol)

A protocol that enables network devices to automatically request and receive digital certificates from a Certificate Authority.

Used in BYOD onboarding flows to automatically provision client certificates to student devices without manual IT intervention, enabling EAP-TLS authentication at scale.

mDNS Gateway (Bonjour Proxy)

A service that forwards Multicast DNS packets across different subnets or VLANs, enabling device discovery protocols to function in segmented networks.

Required in Per-Room VLAN architectures when a student's phone (on the wireless VLAN) needs to discover their smart TV (on the wired VLAN) within the same room's micro-segment.

Network Access Control (NAC)

A security solution that enforces policy on devices seeking to access a network, controlling admission based on identity, device health, and context.

The central orchestration layer in a campus WiFi architecture. NAC handles 802.1X authentication, dynamic VLAN assignment, device profiling, and MAB for IoT devices.

Supplicant

The software component on an endpoint device that handles the 802.1X authentication exchange with the network.

Built into modern operating systems (Windows, macOS, iOS, Android). When troubleshooting eduroam connection failures, the supplicant configuration — specifically the EAP method and server certificate validation settings — is the first place to investigate.

WPA3-Enterprise

The latest generation of the Wi-Fi Protected Access enterprise security standard, introducing 192-bit cryptographic strength and eliminating vulnerabilities present in WPA2.

Relevant for campus network refresh planning. WPA3-Enterprise provides forward secrecy via ECDHE key exchange, meaning captured traffic cannot be decrypted retroactively even if a certificate is later compromised.

কেস স্টাডিজ

A university is upgrading a 500-bed residence hall built in the 1970s. Students are complaining that they cannot see their wireless printers or cast to their smart TVs, while the IT security team is concerned about the flat /22 subnet currently serving the entire building. How should the network be redesigned?

Phase 1 — Network Redesign: Replace the flat /22 subnet with a Per-Room VLAN architecture. Assign a unique VLAN ID (e.g., VLANs 1000–1499) to each room. Configure the NAC to dynamically assign the correct VLAN based on the student's authenticated identity and their room assignment in the student records system.

Phase 2 — Device Registration Portal: Deploy a self-service portal where students register the MAC addresses of headless devices (printers, smart TVs, gaming consoles). The portal authenticates the student via SSO and records the MAC-to-room mapping in the NAC database.

Phase 3 — MAB Configuration: Configure switch ports and the residential SSID to use MAC Authentication Bypass for registered devices. When a registered MAC connects, RADIUS returns the student's Per-Room VLAN assignment, placing the device in the correct micro-segment.

Phase 4 — mDNS Gateway: Configure the wireless controller's mDNS gateway to proxy Bonjour and SSDP discovery traffic within each Per-Room VLAN boundary, enabling casting and printing without cross-room exposure.

Phase 5 — AP Refresh: Replace hallway APs with in-room units. Reduce transmit power to 8–12 dBm to create clean RF cells and reduce co-channel interference.

বাস্তবায়ন সংক্রান্ত নোট: This approach resolves both the security concern and the usability complaint simultaneously. Micro-segmentation eliminates the massive broadcast domain of the /22 subnet, significantly improving security and network performance. By placing all of a student's devices — including registered IoT devices — into a single Per-Room VLAN, local discovery protocols (Bonjour, SSDP) function normally within the room's micro-segment, restoring casting and printing without exposing those devices to the rest of the building. The mDNS gateway is the critical enabling component that is most frequently overlooked in initial deployments.

During the first week of term, a 15,000-student university's IT helpdesk receives over 2,500 WiFi tickets in 48 hours. The majority are from students who changed their university portal password and are now unable to connect to eduroam. The current authentication method is PEAP-MSCHAPv2. What is the architectural change required, and how should it be rolled out?

Root Cause: PEAP-MSCHAPv2 authenticates using the user's AD password. When the password changes, the stored WiFi profile credential becomes invalid, breaking the connection.

Architectural Change: Transition from PEAP-MSCHAPv2 to EAP-TLS (certificate-based authentication).

Rollout Plan:

Deploy a Campus Certificate Authority (or integrate with an existing PKI) and configure SCEP/EST endpoints.
Stand up a BYOD onboarding tool (vendor-neutral options include FreeRADIUS with a custom portal, or commercial solutions). Configure it to authenticate via SSO and provision client certificates.
Create an 'Onboarding' SSID (open, captive-portal restricted) alongside the existing eduroam SSID.
Communicate to students: 'Connect to Onboarding-WiFi, follow the steps, and your WiFi will never break when you change your password again.'
Once certificate adoption reaches >80%, disable PEAP-MSCHAPv2 on the RADIUS server and enforce EAP-TLS only.
Set certificate lifetime to 2 years with automated renewal 30 days before expiry.

বাস্তবায়ন সংক্রান্ত নোট: Password churn is the single leading cause of WiFi helpdesk tickets in higher education. The transition to EAP-TLS decouples WiFi authentication from the AD password lifecycle entirely. The phased rollout — running both methods in parallel during the transition — is essential to avoid a mass outage. The certificate renewal automation is equally critical: a certificate expiry event without automated renewal creates the same helpdesk spike as a password change, just on a 2-year cycle instead of a 90-day one.

দৃশ্যপট বিশ্লেষণ

Q1. A visiting researcher from the University of Amsterdam arrives at your campus in London. They connect to the eduroam SSID but receive an 'Authentication Failed' error. Your local RADIUS logs confirm the Access-Request is being forwarded to the national proxy, but no response is received within the timeout window. Where is the most likely point of failure, and what is your escalation path?

💡 ইঙ্গিত:Apply the 'Home Always Knows' principle. Your local infrastructure is functioning correctly if the request is leaving your campus.

প্রস্তাবিত পদ্ধতি দেখুন

Since the local RADIUS server is successfully proxying the request outward, the local campus infrastructure is functioning correctly. The most likely failure points are: (1) the national proxy (JANET) is unable to route to the Dutch national proxy (SURFnet), or (2) the researcher's home institution RADIUS server is offline or misconfigured. The escalation path is: first, contact your national roaming operator (JANET) with the timestamp and realm (@uva.nl) to check proxy routing logs. Second, advise the researcher to contact their home institution's IT helpdesk, as the issue is almost certainly on their side. Do not spend time troubleshooting your own RADIUS infrastructure.

Q2. You are designing the WiFi for a new 1,000-bed residence hall. The facilities team wants to install APs in the hallways to save on cabling and installation costs. Provide a technical argument against this approach and specify the recommended alternative.

💡 ইঙ্গিত:Consider RF attenuation through fire doors and masonry, co-channel interference in long corridors, and the implications for Per-Room VLAN architecture.

প্রস্তাবিত পদ্ধতি দেখুন

Hallway deployments are an anti-pattern for modern high-density residential environments for three reasons. First, RF signals must penetrate thick fire-rated doors and masonry walls to reach devices inside rooms, resulting in poor signal quality and low throughput precisely where users are located. Second, APs deployed in a long corridor have clear line-of-sight to each other, causing severe co-channel interference that degrades performance for all clients. Third, the hallway model makes Per-Room VLAN micro-segmentation architecturally ambiguous — a hallway AP serves multiple rooms simultaneously, complicating dynamic VLAN assignment. The recommended approach is in-room AP deployment: one AP per room for new builds, or one AP per two rooms in modern construction with thin partition walls. Transmit power should be set to 8–12 dBm to create clean RF cells. While the upfront cabling cost is higher, the operational savings from reduced helpdesk volume and improved user experience deliver a positive ROI within the first academic year.

Q3. A student registers their PlayStation 5 MAC address in the device registration portal. The console is connected via the residential SSID but cannot discover the student's phone for Remote Play. Both devices are confirmed to be on the same Per-Room VLAN. What is the most likely configuration issue?

💡 ইঙ্গিত:Consider the wireless controller's client isolation settings and the protocols used by device discovery.

প্রস্তাবিত পদ্ধতি দেখুন

The most likely cause is that client isolation (also called AP isolation or wireless isolation) is enabled on the residential SSID. Client isolation prevents wireless clients on the same SSID from communicating directly with each other, even if they are on the same VLAN. This is a common security default that is appropriate for guest networks but counterproductive in a Per-Room VLAN environment where device-to-device communication is intentional. The fix is to disable client isolation specifically on the residential SSID (or create a policy exception for the Per-Room VLAN range). If the console is on the wired network and the phone is on wireless, the issue may instead be an mDNS gateway not forwarding Sony's device discovery protocol (SSDP/UPnP) across the wired-to-wireless boundary within the same VLAN.