WPA2 Enterprise: একটি সম্পূর্ণ নির্দেশিকা

Purple টেকনিক্যাল ব্রিফিংয়ে স্বাগত। আমি আপনার হোস্ট, এবং আজ আমরা একটি অত্যন্ত গুরুত্বপূর্ণ পরিকাঠামো রূপান্তর নিয়ে আলোচনা করব যার মুখোমুখি প্রায় প্রতিটি ক্রমবর্ধমান এন্টারপ্রাইজকে হতে হয়: WPA2-Personal থেকে WPA2-Enterprise-এ স্থানান্তর। আপনি যদি একজন IT ডিরেক্টর, একজন নেটওয়ার্ক আর্কিটেক্ট হন বা কোনও বড় ভেন্যুর অপারেশন পরিচালনা করেন - তা কোনও রিটেইল চেন, হোটেল বা স্টেডিয়াম যাই হোক না কেন - আপনি শেয়ার করা WiFi পাসওয়ার্ডের সমস্যাগুলো ভালো করেই জানেন। এটি হোয়াইটবোর্ডে লেখা থাকে। এটি কন্ট্রাক্টরদের সাথে শেয়ার করা হয়। এবং যখন কোনও কর্মচারী চলে যান, শত শত ডিভাইস জুড়ে এটি পরিবর্তন করা একটি অপারেশনাল দুঃস্বপ্ন হয়ে দাঁড়ায়। আরও গুরুত্বপূর্ণ বিষয় হলো, কমপ্লায়েন্সের দৃষ্টিকোণ থেকে, একটি শেয়ার করা কি (key) থাকার অর্থ হলো কোনো দায়বদ্ধতা না থাকা। আপনি কোনো নির্দিষ্ট সময়ে নেটওয়ার্কে ঠিক কে ছিলেন তা প্রমাণ করতে না পারলে একটি কঠোর PCI-DSS বা ISO 27001 অডিট পাস করতে পারবেন না। ঠিক এখানেই WPA2-Enterprise কাজে আসে। এটি মৌলিকভাবে চিন্তাধারাকে বদলে দেয়। একটি শেয়ার করা কি (key) দিয়ে লোকেশনটি অথেন্টিকেট করার পরিবর্তে, আপনি ব্যবহারকারীর একক পরিচয় অথেন্টিকেট করেন। প্রতিটি ব্যবহারকারী, প্রতিটি ডিভাইস নিজস্ব ক্রেডেনশিয়াল পায়। এবং যখন কেউ চলে যান, আপনি তাদের অ্যাকাউন্ট নিষ্ক্রিয় করে দেন - এবং তারা সাথে সাথে নেটওয়ার্ক থেকে বিচ্ছিন্ন হয়ে যান। কোনো পাসওয়ার্ড রোটেট করতে হয় না। কোনো হেল্পডেস্ক টিকিট প্রয়োজন হয় না। কোনো ঝুঁকি থাকে না। আসুন কিছু প্রাসঙ্গিক তথ্য দিয়ে শুরু করি। WPA2 - ওয়াই-ফাই প্রোটেক্টেড অ্যাক্সেস ২ - ২০০৪ সাল থেকে প্রধান ওয়্যারলেস সিকিউরিটি স্ট্যান্ডার্ড হিসেবে ব্যবহৃত হয়ে আসছে। এটি দুটি রূপে আসে। WPA2-Personal, যাকে PSK বা প্রি-শেয়ার্ড কি (Pre-Shared Key)-ও বলা হয়, যা বেশিরভাগ বাড়ি এবং ছোট অফিসে ব্যবহৃত হয়। একটি পাসওয়ার্ড, যা সবার সাথে শেয়ার করা হয়। WPA2-Enterprise হলো প্রতিষ্ঠানগুলোর জন্য ডিজাইন করা সংস্করণ। এটি একটি সেন্ট্রাল অথেন্টিকেশন সার্ভারের মাধ্যমে প্রতিটি ব্যবহারকারী বা ডিভাইসকে আলাদাভাবে অথেন্টিকেট করতে IEEE 802.1X স্ট্যান্ডার্ড ব্যবহার করে। এখন, আসুন টেকনিক্যাল আর্কিটেকচারের গভীরে যাই, কারণ এটি সঠিকভাবে ডেপ্লয় করার জন্য এর ধারণা থাকা অত্যন্ত জরুরি। WPA2-Enterprise মূলত তিনটি উপাদানের সমন্বিত কাজের ওপর নির্ভর করে। প্রথমত, Supplicant - যা হলো ক্লায়েন্ট ডিভাইস। ল্যাপটপ, স্মার্টফোন, IoT সেন্সর। এটি হলো সেই সত্ত্বা যা নেটওয়ার্কে অ্যাক্সেস করার অনুরোধ করছে। দ্বিতীয়ত, Authenticator - এটি আপনার ওয়্যারলেস অ্যাক্সেস পয়েন্ট, অথবা একটি ওয়্যার্ড প্রেক্ষাপটে, একটি ম্যানেজড সুইচ। এটি নেটওয়ার্কের প্রান্তে অবস্থান করে এবং পলিসি প্রয়োগ করে। সেন্ট্রাল সার্ভার সবুজ সংকেত না দেওয়া পর্যন্ত এটি অথেন্টিকেশন অনুরোধ ছাড়া বাকি সব ট্রাফিক ব্লক করে দেয়। তৃতীয়ত, Authentication Server - যা সাধারণত একটি RADIUS সার্ভার। RADIUS-এর অর্থ হলো রিমোট অথেন্টিকেশন ডায়াল-ইন ইউজার সার্ভিস। এটি পুরো প্রক্রিয়ার মস্তিষ্ক। এটি অ্যাক্সেস পয়েন্ট থেকে অথেন্টিকেশন অনুরোধ গ্রহণ করে, অ্যাক্টিভ ডিরেক্টরি বা একটি LDAP ডিরেক্টরির মতো একটি আইডেন্টিটি স্টোরের বিপরীতে ক্রেডেনশিয়াল যাচাই করে এবং একটি অ্যাক্সেস-অ্যাকসেপ্ট (Access-Accept) বা অ্যাক্সেস-রিজেক্ট (Access-Reject) রেসপন্স প্রদান করে। এখানে মূল বিষয়টি হলো: অ্যাক্সেস পয়েন্ট কখনোই আপনার পাসওয়ার্ড দেখতে পায় না। এটি কেবল ক্লায়েন্ট এবং RADIUS সার্ভারের মধ্যে এনক্রিপ্ট করা অথেন্টিকেশন এক্সচেঞ্জটি রিলে বা রি-ট্রান্সমিট করে। দায়িত্বের এই বিভাজনই আর্কিটেকচারটিকে স্কেলযোগ্য এবং অডিটেবল করে তোলে। দুটোই করে তোলে।এখন, এই কাঠামোর মধ্যে, প্রকৃত ক্রেডেনশিয়াল বিনিময়টি EAP - এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল দ্বারা পরিচালিত হয়। এবং আপনার বেছে নেওয়া EAP পদ্ধতিটি আপনার সিকিউরিটি পজিশন এবং আপনার ডেপ্লয়মেন্টের জটিলতা উভয়ই নির্ধারণ করে। এন্টারপ্রাইজ ডেপ্লয়মেন্টে আপনি প্রায়শই দুটি পদ্ধতির মুখোমুখি হবেন। প্রথমটি হলো PEAP, বা প্রটেক্টেড EAP। এটি সবচেয়ে ব্যাপকভাবে ডেপ্লয় করা পদ্ধতি। এটি যেভাবে কাজ করে তা এখানে দেওয়া হলো: RADIUS সার্ভার ক্লায়েন্ট ডিভাইসে একটি ডিজিটাল সার্টিফিকেট উপস্থাপন করে। ক্লায়েন্ট সেই সার্টিফিকেটটি যাচাই করে - মূলত নিশ্চিত করে যে এটি আসল নেটওয়ার্কের সাথে কথা বলছে এবং কোনো ছদ্মবেশীর সাথে নয়। একবার সেই বিশ্বাসটি প্রতিষ্ঠিত হয়ে গেলে, একটি সুরক্ষিত TLS টানেল তৈরি হয়। সেই টানেলের ভিতরে, ব্যবহারকারী তাদের স্ট্যান্ডার্ড ইউজারনেম এবং পাসওয়ার্ড দিয়ে অথেন্টিকেট করে - সাধারণত তাদের অ্যাক্টিভ ডিরেক্টরি ক্রেডেনশিয়াল। PEAP জনপ্রিয় কারণ এটি ডেপ্লয় করা তুলনামূলকভাবে সহজ। ব্যবহারকারীরা ইতিমধ্যে তাদের পাসওয়ার্ড জানেন। ক্লায়েন্ট ডিভাইসে সার্টিফিকেট বিতরণ করার কোনো প্রয়োজন নেই। যাইহোক, এর একটি দুর্বলতা রয়েছে: ব্যবহারকারী যদি অসাবধানতাবশত একটি প্রতারণামূলক সার্ভার সার্টিফিকেট গ্রহণ করেন, তাহলে তারা একটি ক্ষতিকর অ্যাক্সেস পয়েন্টের সাথে সংযুক্ত হতে পারেন - যাকে আমরা ইভিল টুইন অ্যাটাক বলি - এবং তাদের ক্রেডেনশিয়াল চুরি হয়ে যেতে পারে। দ্বিতীয় পদ্ধতিটি হলো EAP-TLS, এবং এটি উচ্চ-সিকিউরিটি পরিবেশের জন্য গোল্ড স্ট্যান্ডার্ড। EAP-TLS-এর জন্য পারস্পরিক সার্টিফিকেট অথেন্টিকেশন প্রয়োজন। সার্ভার এবং ক্লায়েন্ট ডিভাইস উভয়কেই বৈধ সার্টিফিকেট উপস্থাপন করতে হবে। ট্রানজিটে কোনো পাসওয়ার্ড থাকে না। যেহেতু চুরি করার মতো কোনো পাসওয়ার্ড নেই, তাই ফিশিং আক্রমণ সম্পূর্ণ নিষ্ক্রিয় হয়ে যায়। এর অসুবিধা হলো ডেপ্লয়মেন্টের জটিলতা। ক্লায়েন্ট সার্টিফিকেট ইস্যু এবং পরিচালনা করার জন্য আপনার একটি পাবলিক কী ইনফ্রাস্ট্রাকচার - একটি PKI - প্রয়োজন। এবং ডিভাইসগুলিতে নীরবে সেই সার্টিফিকেটগুলি পাঠাতে আপনার একটি মোবাইল ডিভাইস ম্যানেজমেন্ট প্ল্যাটফর্মের প্রয়োজন। আপনি যদি ম্যানুয়ালি সার্টিফিকেট ইনস্টল করার জন্য ব্যবহারকারীদের উপর নির্ভর করেন, তাহলে আপনার হেল্পডেস্কের উপর প্রচণ্ড চাপ সৃষ্টি হবে। তবে যেখানে সিকিউরিটি সবচেয়ে গুরুত্বপূর্ণ - আর্থিক পরিষেবা, সরকারি, স্বাস্থ্যসেবা - সেই সমস্ত পরিবেশের জন্য EAP-TLS হলো একমাত্র যুক্তিযুক্ত বিকল্প। তাহলে, আপনি আসলে কীভাবে এটি বাস্তবায়ন করবেন? আমি আপনাকে মূল পর্যায়গুলোর মধ্য দিয়ে নিয়ে যাই। প্রথম পর্যায় হলো অবকাঠামো প্রস্তুতি। আপনার RADIUS সার্ভার এখন একটি অত্যন্ত গুরুত্বপূর্ণ বিষয়। এটি বন্ধ হয়ে গেলে, কেউ WiFi-এ প্রবেশ করতে পারবে না। এটি কোনো ঐচ্ছিক রিডান্ডেন্সি নয় - এটি অপরিহার্য। রিটেইল চেইন বা হোটেল গ্রুপের মতো বিস্তৃত পরিবেশের জন্য, ক্লাউড-হোস্টেড RADIUS পরিষেবাগুলির কথা বিবেচনা করুন। এগুলো বিল্ট-ইন রিডান্ডেন্সি অফার করে এবং প্রতিটি সাইটে অন-প্রিমিসেস সার্ভার পরিচালনা করার প্রয়োজনীয়তা দূর করে। আপনার RADIUS সার্ভারটি আপনার কেন্দ্রীয় আইডেন্টিটি প্রোভাইডারের সাথে একীভূত রয়েছে কিনা তা নিশ্চিত করুন। বেশিরভাগ সংস্থার জন্য, এটি হলো অ্যাজুর অ্যাক্টিভ ডিরেক্টরি বা LDAP-এর মাধ্যমে অন-প্রিমিসেস অ্যাক্টিভ ডিরেক্টরি। আপনি যদি EAP-TLS ব্যবহার করেন তবে দ্বিতীয় ধাপটি হলো সার্টিফিকেট ম্যানেজমেন্ট। সবকিছু অটোমেট করুন। আপনার MDM প্ল্যাটফর্ম - Intune, Jamf বা আপনার যা আছে তা ব্যবহার করে কর্পোরেট মালিকানাধীন ডিভাইসগুলোতে নীরবে সার্টিফিকেট পুশ করুন। BYOD পরিস্থিতির জন্য, একটি অনবোর্ডিং পোর্টাল বিবেচনা করুন। SecureW2 বা Foxpass-এর মতো প্রোডাক্টগুলো ব্যক্তিগত ডিভাইসের জন্য কনফিগারেশন প্রোফাইল ইনস্টলেশন অটোমেট করতে পারে, যা হেল্পডেস্কের কাজের চাপ নাটকীয়ভাবে হ্রাস করে। তৃতীয় ধাপটি হলো রোলআউট বা চালু করা। কোনো আকস্মিক পরিবর্তন করবেন না। আমি এটার ওপর যথেষ্ট জোর দিতে পারছি না। সোমবার সকালে PSK নেটওয়ার্ক বন্ধ করে দিয়ে সবকিছু ঠিকঠাক কাজ করবে এমন আশা করবেন না। একটি পাইলট গ্রুপ দিয়ে শুরু করুন - আইটি টিম এর জন্য স্পষ্ট পছন্দ। তারপর একটি একক ফ্লোর, একটি একক বিভাগ, একটি একক সাইটে এটি প্রসারিত করুন। এই ধাপে আপনার RADIUS লগগুলো গভীরভাবে মনিটর করুন। অথেনটিকেশন টাইমআউট সাধারণত আপনার অ্যাক্সেস পয়েন্ট এবং RADIUS সার্ভারের মধ্যে নেটওয়ার্ক রাউটিং সমস্যা নির্দেশ করে। সার্টিফিকেট ট্রাস্ট ত্রুটিগুলোর মানে হলো আপনার CA রুট সার্টিফিকেটটি এন্ডপয়েন্টগুলোতে সঠিকভাবে ডেপ্লয় করা হয়নি। এখন আমি WPA2-Enterprise-এর সবচেয়ে শক্তিশালী এবং সবচেয়ে কম ব্যবহৃত ফিচারগুলোর একটি সম্পর্কে কথা বলি: Dynamic VLAN Assignment। একটি PSK পরিবেশে, আপনি সাধারণত বিভিন্ন ব্যবহারকারী গ্রুপকে আলাদা করতে একাধিক SSID ব্রডকাস্ট করেন। এক SSID-তে স্টাফ, অন্যটিতে পয়েন্ট-অফ-সেল টার্মিনাল, তৃতীয়টিতে IoT ডিভাইস। প্রতিটি অতিরিক্ত SSID আপনার রেডিও ফ্রিকোয়েন্সি পরিবেশে ওভারহেড যোগ করে। একটি ব্যস্ত রিটেইল স্টোর বা স্টেডিয়ামে, এই আরএফ দূষণ প্রকৃতপক্ষে পারফরম্যান্সকে হ্রাস করতে পারে। WPA2-Enterprise এবং Dynamic VLAN Assignment-এর সাহায্যে, আপনি একটি একক SSID ব্রডকাস্ট করতে পারেন এবং RADIUS সার্ভারকে সিদ্ধান্ত নিতে দিতে পারেন যে প্রতিটি ডিভাইস কোন নেটওয়ার্ক সেগমেন্টে যাবে। যখন একজন ক্যাশিয়ার অথেনটিকেট করেন, তখন RADIUS সার্ভার এমন অ্যাট্রিবিউট ফেরত পাঠায় যা অ্যাক্সেস পয়েন্টকে সেই সেশনটি VLAN 10 - যা PCI-compliant সেগমেন্ট - এ রাখার নির্দেশ দেয়। যখন একজন স্টোর ম্যানেজার অথেনটিকেট করেন, তখন তারা VLAN 20 - যা কর্পোরেট সেগমেন্ট - এ পৌঁছান। একই SSID, আলাদা নেটওয়ার্ক, সবই আইডেন্টিটি দ্বারা নিয়ন্ত্রিত। এটি মার্জিত, এটি স্কেলেবল এবং এটি একটি উল্লেখযোগ্য অপারেশনাল সরলীকরণ। বিশেষ করে ভেন্যু অপারেটরদের জন্য - হোটেল, কনফারেন্স সেন্টার, স্টেডিয়াম - একটি অতিরিক্ত বিবেচনার বিষয় রয়েছে: গেস্ট নেটওয়ার্ক। শুধুমাত্র স্টাফ নেটওয়ার্ক নয়, ম্যানেজড গেস্ট অ্যাক্সেসের জন্য WPA2-Enterprise ক্রমশ প্রাসঙ্গিক হয়ে উঠছে। Purple-এর মতো প্ল্যাটফর্মগুলো সুরক্ষিত WiFi অ্যাক্সেসের জন্য আইডেন্টিটি ম্যানেজমেন্ট প্রদান করে। Connect লাইসেন্সের অধীনে, Purple একটি ফ্রি আইডেন্টিটি প্রোভাইডার হিসেবে কাজ করে এবং OpenRoaming সমর্থন করে - এটি এমন একটি স্ট্যান্ডার্ড যা ব্যবহারকারীদের পুনরায় অথেনটিকেট না করেই অংশগ্রহণকারী নেটওয়ার্কগুলোর মধ্যে নির্বিঘ্নে এবং নিরাপদে রোমিং করতে দেয়। কনফারেন্স ডেলিগেট বা লয়্যালটি প্রোগ্রামের সদস্যদের মতো ঘন ঘন ভিজিটরদের জন্য এটি বিশেষভাবে কার্যকরী। এখন আমি সবচেয়ে সাধারণ ব্যর্থতার ধরনগুলো কভার করি, কারণ কী ভুল হতে পারে তা জানা থাকাটাই যুদ্ধের অর্ধেক জয়ের মতো। প্রথমটি হলো বিশ্বস্ত নয় এমন সার্ভার সার্টিফিকেটের সতর্কতা। ক্লায়েন্টরা যদি একটি প্রম্পট দেখে যা বলে যে সার্ভার সার্টিফিকেট যাচাই করা যাচ্ছে না, তবে এর অর্থ হলো আপনার RADIUS সার্ভারের সার্টিফিকেটের মেয়াদ শেষ হয়ে গেছে, ক্লায়েন্টদের কাছে রুট CA ডেপ্লয় না করেই স্ব-স্বাক্ষরিত করা হয়েছে, অথবা এমন একটি CA দ্বারা ইস্যু করা হয়েছে যা ডিভাইসটি বিশ্বাস করে না। এর সমাধান: একটি পাবলিক CA থেকে নেওয়া সার্টিফিকেট ব্যবহার করুন যা ইতিমধ্যেই ডিভাইসের বিশ্বস্ত রুট স্টোরে রয়েছে, অথবা গ্রুপ পলিসি বা MDM-এর মাধ্যমে আপনার ইন্টারনাল CA রুট ডেপ্লয় করা নিশ্চিত করুন। দ্বিতীয়টি হলো RADIUS টাইমআউট। এটি ক্লায়েন্টদের অথেন্টিকেশন স্ক্রিনে আটকে থাকার মাধ্যমে প্রকাশ পায় এবং শেষ পর্যন্ত ব্যর্থ হয়। এর কারণ প্রায় সবসময়ই একটি নেটওয়ার্ক পাথ সমস্যা - অ্যাক্সেস পয়েন্টটি RADIUS সার্ভারে পৌঁছাতে পারছে না, অথবা একটি ফায়ারওয়াল দ্বারা রেসপন্সটি ড্রপ করা হচ্ছে। UDP পোর্ট 1812 এবং 1813-এর জন্য আপনার ফায়ারওয়াল নিয়মগুলো পরীক্ষা করুন, যা স্ট্যান্ডার্ড RADIUS অথেন্টিকেশন এবং অ্যাকাউন্টিং পোর্ট। তৃতীয়টি হলো IoT সমস্যা। অনেক লেগাসি ডিভাইস - প্রিন্টার, HVAC কন্ট্রোলার, অ্যাক্সেস কন্ট্রোল রিডার - সহজভাবে 802.1X সমর্থন করে না। এগুলোর জন্য আপনাকে একটি আলাদা কৌশল বজায় রাখতে হবে। বিকল্পগুলোর মধ্যে রয়েছে MAC Authentication Bypass, যেখানে ডিভাইসটি ক্রেডেন্সিয়ালের পরিবর্তে তার MAC অ্যাড্রেস ব্যবহার করে অথেন্টিকেট করে, অথবা Multi-PSK, যেখানে প্রতিটি ডিভাইস একটি অনন্য প্রি-শেয়ার্ড কী পায়। কোনোটিই 802.1X-এর মতো নিরাপদ নয়, তবে লেগাসি হার্ডওয়্যারের জন্য এগুলো বাস্তবসম্মত সমাধান। এখন, আসুন ব্যবসার প্রভাব এবং ROI সম্পর্কে কথা বলি, কারণ এটি কেবল একটি সিকিউরিটি প্রজেক্ট নয় - এটি একটি অপারেশনাল দক্ষতার প্রজেক্ট। সবচেয়ে তাত্ক্ষণিক ROI আসে পাসওয়ার্ড রোটেশন দূর করার মাধ্যমে। প্রতিবার একটি শেয়ার্ড WiFi পাসওয়ার্ড পরিবর্তন করা হলে, IT-কে নেটওয়ার্কের প্রতিটি ডিভাইস আপডেট করতে হয়। একটি ৫০টি লোকেশন বিশিষ্ট রিটেইল চেইনে, এতে সম্ভাব্য হাজার হাজার ডিভাইস আপডেটের প্রয়োজন হতে পারে। WPA2-Enterprise-এর মাধ্যমে, একজন কর্মচারীকে ডিপ্রোভিশন করা Active Directory-তে একটি একক অ্যাকশন মাত্র। দ্বিতীয় ROI চালিকাশক্তি হলো কমপ্লায়েন্স। PCI-DSS-এর আওতাভুক্ত যেকোনো সংস্থার জন্য - যার অর্থ কার্ড পেমেন্ট প্রসেসকারী যে কেউ - প্রতি-ব্যবহারকারী নেটওয়ার্ক অ্যাক্সেস লগ দেখানোর ক্ষমতা একটি উল্লেখযোগ্য অডিট সুবিধা দেয়। একই কথা GDPR-এর ক্ষেত্রেও প্রযোজ্য, যেখানে ব্যক্তিগত ডেটা প্রসেসকারী সিস্টেমে নিয়ন্ত্রিত অ্যাক্সেস প্রদর্শন করা ক্রমেই নিবিড়ভাবে পরীক্ষা করা হচ্ছে। তৃতীয়টি হলো নেটওয়ার্ক ইন্টেলিজেন্স। প্রতি-ব্যবহারকারী অথেন্টিকেশন আপনার নেটওয়ার্ক ম্যানেজমেন্ট প্ল্যাটফর্মে সমৃদ্ধ ডেটা সরবরাহ করে। আপনি ঠিক দেখতে পাবেন কোন ডিভাইসগুলো নেটওয়ার্কে রয়েছে, কখন তারা সংযুক্ত হয়েছে, কতটা ব্যান্ডউইথ ব্যবহার করেছে এবং কোন লোকেশন থেকে। ক্যাপাসিটি প্ল্যানিং এবং অস্বাভাবিক আচরণ সনাক্ত করার জন্য এই ডেটা অমূল্য। আমি প্রায়শই যে প্রশ্নগুলো শুনি সেগুলোর ওপর একটি দ্রুত প্রশ্নোত্তর দিয়ে শেষ করছি। আমরা কি আমাদের বিদ্যমান PSK নেটওয়ার্কের পাশাপাশি WPA2-Enterprise চালাতে পারি? অবশ্যই পারেন, এবং ট্রানজিশনের সময় আপনার এটি করা উচিত। এগুলোকে সমান্তরালভাবে চালান, ব্যাচ অনুযায়ী ব্যবহারকারীদের মাইগ্রেট করুন, এবং মাইগ্রেশন সম্পূর্ণ হয়ে গেলে PSK নেটওয়ার্কটি বন্ধ করে দিন। আমাদের কি অ্যাক্সেস পয়েন্টগুলো পরিবর্তন করতে হবে? তা জরুরি নয়। Cisco, Aruba, Ruckus এবং Ubiquiti-এর মতো ভেন্ডরদের বেশিরভাগ এন্টারপ্রাইজ-গ্রেড অ্যাক্সেস পয়েন্ট 802.1X সমর্থন করে। আপনার ফার্মওয়্যার সংস্করণ পরীক্ষা করুন এবং এটি আপ-টু-ডেট থাকা নিশ্চিত করুন। WPA3-Enterprise সম্পর্কে কী ভাবছেন? আমাদের কি অপেক্ষা করা উচিত? WPA3-Enterprise উচ্চ-নিশ্চয়তাযুক্ত পরিবেশের জন্য ১৯২-বিট সিকিউরিটি মোড সহ আরও শক্তিশালী ক্রিপ্টোগ্রাফিক প্রয়োজনীয়তা যুক্ত করে। আপনি যদি আজ নতুন পরিকাঠামো স্থাপন করেন, তবে WPA3 সমর্থন করে এমন হার্ডওয়্যার বেছে নিন। তবে নিখুঁততার খোঁজে ভালো কিছুকে হাতছাড়া করবেন না - PSK-এর তুলনায় WPA2-Enterprise একটি বিশাল নিরাপত্তা উন্নতি এবং এই মুহূর্তে এটিই সঠিক পদক্ষেপ। একটি সাধারণ স্থাপনে কত সময় লাগে? বিদ্যমান Active Directory সহ একটি একক-সাইটের সংস্থার জন্য, একটি মৌলিক PEAP স্থাপন কয়েক দিনের মধ্যে সম্পন্ন করা যেতে পারে। পাইলট পর্ব সহ একটি মাল্টি-সাইট EAP-TLS স্থাপন এবং MDM ইন্টিগ্রেশনের জন্য সাধারণত চার থেকে আট সপ্তাহ সময় লাগে। আজকের ব্রিফিংয়ের মূল বিষয়গুলো সংক্ষেপে বলতে গেলে। এক: WPA2-Enterprise কোনো শেয়ার করা লোকেশন নয়, বরং ব্যক্তিগত পরিচয় যাচাই করে। এটিই হলো মৌলিক পরিবর্তন। দুই: BYOD এবং ক্রেডেনশিয়াল-ভিত্তিক পরিবেশের জন্য PEAP বেছে নিন; উচ্চ-নিরাপত্তা এবং পরিচালিত-ডিভাইস পরিবেশের জন্য EAP-TLS বেছে নিন। তিন: আপনার RADIUS সার্ভার একটি অত্যন্ত গুরুত্বপূর্ণ পরিকাঠামো - প্রথম দিন থেকেই এতে রিডানড্যান্সি তৈরি করুন। চার: কঠোর নেটওয়ার্ক সেগমেন্টেশন বজায় রেখে আপনার RF পরিবেশকে সহজ করতে Dynamic VLAN Assignment ব্যবহার করুন। পাঁচ: IoT ডিভাইসের জন্য আলাদাভাবে পরিকল্পনা করুন - এগুলো 802.1X সমর্থন করবে না। ছয়: কখনোই একসাথে সব পরিবর্তন (flash cutover) করবেন না। আপনার রোলআউট ধাপে ধাপে সম্পন্ন করুন এবং RADIUS লগগুলো নিবিড়ভাবে পর্যবেক্ষণ করুন। সম্পূর্ণ বাস্তবায়ন নির্দেশিকা, আর্কিটেকচার ডায়াগ্রাম এবং কাজের উদাহরণগুলোর জন্য, Purple-এর ওয়েবসাইটে সম্পূর্ণ লিখিত নির্দেশিকাটি দেখুন। শোনার জন্য ধন্যবাদ, এবং আপনার স্থাপনের জন্য শুভকামনা।