সার্টিফিকেট ভিত্তিক WiFi অথেন্টিকেশন: EAP-TLS নির্দেশিকা

কেউ একজন ব্যবসা ছেড়ে চলে যাচ্ছেন, এবং আপনার টিম সিদ্ধান্ত নিচ্ছে যে কর্মীদের WiFi পাসওয়ার্ড আবার পরিবর্তন করা হবে কিনা। এটি পরিবর্তন করার অর্থ হলো ল্যাপটপ, ফোন, রিশেপশন ট্যাবলেট এবং এমন সরঞ্জাম পুনর্সংযোগ করা যা কনফিগার করার কথা কেউ মনে রাখে না। এটি যেমন আছে তেমন রাখার অর্থ হলো এটি মেনে নেওয়া যে সংস্থার বাইরের কেউ এখনও জানে কীভাবে নেটওয়ার্কে যুক্ত হতে হয়।

সার্টিফিকেট ভিত্তিক WiFi অথেন্টিকেশন আপনাকে বিশ্বস্ত ডিভাইসগুলি সনাক্ত করার একটি দুর্দান্ত উপায় প্রদান করে। তবে এটি আপনার টিমকে যে কাজ করতে হবে তাও পরিবর্তন করে: পাসওয়ার্ড বিতরণ করার পরিবর্তে, আপনি ট্রাস্ট চেইন, সার্টিফিকেট রিনিউয়াল, রিভোকেশন এবং মাস পর মাস স্টোরেজে অদৃশ্য হয়ে থাকা ডিভাইসগুলি পরিচালনা করবেন। নিরাপত্তার উন্নতি অত্যন্ত বাস্তবসম্মত। নির্ভরযোগ্য অপারেশনের জন্য একটি ওয়ারলেস প্রোফাইলে EAP-TLS বেছে নেওয়ার চেয়েও বেশি কিছু প্রয়োজন।

সূচিপত্র

• What Certificate Based WiFi Authentication Means
  • উপাদানগুলি কোথায় উপযুক্ত হয়
• ধাপে ধাপে EAP-TLS Handshake কীভাবে কাজ করে
  • আদান-প্রদান এবং এর ব্যর্থতার পয়েন্টগুলি অনুধাবন করুন
  • সার্ভার যাচাই করতে ক্লায়েন্ট কনফিগার করুন
• শেয়ার করা পাসওয়ার্ড এবং PEAP-এর সাথে সার্টিফিকেটের তুলনা
  • শুধু লেবেল নয়, ক্রেডেনশিয়ালের তুলনা করুন
  • ব্যবহারকারী জনসংখ্যার সাথে পদ্ধতি মেলান
• CA তৈরি করা এবং MDM-এর মাধ্যমে সার্টিফিকেট প্রোভিশনিং
  • সার্টিফিকেট ইস্যু করার আগে প্রোফাইল চয়ন করুন
  • বিশ্বাস, ক্রেডেনশিয়াল এবং কনফিগারেশন একসাথে প্রদান করুন
• ইস্যু থেকে রিনিউয়াল পর্যন্ত সার্টিফিকেট লাইফসাইকেল পরিচালনা
  • প্রতিটি পর্যায়কে একটি করে অপারেশনাল নিয়ন্ত্রণ দিন
  • অনলাইনে নেই এমন ডিভাইসগুলির জন্য পরিকল্পনা করুন
• ডিভাইস হারিয়ে গেলে বা কর্মীরা চলে গেলে অ্যাক্সেস প্রত্যাহার করা
  • স্ট্যাটাস চেকগুলি বুঝুন
  • একটি সম্পূর্ণ হারানো-ডিভাইস পদ্ধতি ব্যবহার করুন
• ডিভাইসের যোগ্যতা এবং ব্যতিক্রমের পরিকল্পনা
  • সম্পূর্ণ ডিভাইস লাইফসাইকেল পরীক্ষা করুন
  • ব্যতিক্রমগুলি সুনির্দিষ্ট এবং জবাবদিহিমূলক রাখুন
• রোল আউট করার আগে আপনার সার্টিফিকেট পরিকল্পনা নিশ্চিত করুন
  • এই সপ্তাহের প্রস্তুতির পর্যালোচনা সুনির্দিষ্ট করুন
  • সহায়তাযোগ্যতা দ্বারা পাইলট বিচার করুন

সার্টিফিকেট ভিত্তিক WiFi অথেন্টিকেশন বলতে কী বোঝায়

সার্টিফিকেট-ভিত্তিক WiFi অথেন্টিকেশন একটি শেয়ার্ড WiFi পাসওয়ার্ডের পরিবর্তে একটি ব্যক্তিগত ডিজিটাল সার্টিফিকেট দ্বারা প্রতিস্থাপন করে, যা নেটওয়ার্ক অ্যাক্সেস দেওয়ার আগে যাচাই করে। একটি শেয়ার্ড অফিসের দরজার কোডের সাথে একটি কর্মীর ব্যাজের তুলনা করে ভাবুন। কোডের মাধ্যমে, সবাই প্রমাণ করে যে তারা একই গোপন তথ্য জানে। কিন্তু ব্যাজের ক্ষেত্রে, সিকিউরিটি ডেস্ক একটি নির্দিষ্ট পরিচয়পত্র সনাক্ত করতে পারে এবং এটি আলাদাভাবে বাতিল করতে পারে।

ধরা যাক একটি ম্যানেজড ল্যাপটপের স্টাফ নেটওয়ার্কে অ্যাক্সেসের প্রয়োজন। এর সার্টিফিকেটটি ডিভাইস বা তার নির্ধারিত ব্যবহারকারীকে সনাক্ত করে, এবং এর সুরক্ষিত প্রাইভেট কী এটিকে প্রমাণ করতে দেয় যে এটি সেই ক্রেনডেনশিয়াল বহন করে। সার্টিফিকেটটি নিজেই কোনো গোপন পাসওয়ার্ড নয়, এবং কেবল পাবলিক সার্টিফিকেট কপি করলেই সংশ্লিষ্ট প্রাইভেট কী পাওয়া যায় না।

ডায়াগ্রামটি দেখায় কীভাবে ব্যক্তিগত ক্রিডেনশিয়ালগুলি সাধারণ পাসওয়ার্ডকে প্রতিস্থাপন করে।

উপাদানগুলি কোথায় ফিট করে

মূল কাঠামোটি হলো IEEE 802.1X, যা মূলত তারযুক্ত Ethernet-এর জন্য তৈরি করা হয়েছিল এবং ওয়্যারলেস LAN-এর জন্য অভিযোজিত হয়েছে। Microsoft-এর IEEE 802.1X অথেন্টিকেশনের ওভারভিউ) কাঠামোটি এবং RADIUS-এর মাধ্যমে কেন্দ্রীয় অথেন্টিকেশনের ভূমিকা বর্ণনা করে।

অ্যাক্সেস পয়েন্ট প্রবেশ নিয়ন্ত্রণ করে, এবং RADIUS পরিষেবা অথেন্টিকেশন অনুরোধটি মূল্যায়ন করে। EAP-TLS হলো সেই ব্যবস্থার মাধ্যমে চালিত সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন পদ্ধতি। কানেকশনের জন্য কিয়িং মেটেরিয়াল তৈরি করার আগে ডিভাইস এবং অথেন্টিকেশন সার্ভার একে অপরকে ভ্যালিডেট করে।

এই উপাদানগুলিকে পৃথক রাখুন:

• ডিভাইস সার্টিফিকেট: এন্ডপয়েন্ট বা ব্যবহারকারীকে সনাক্ত করে এবং ডিভাইস দ্বারা ধারণ করা একটি প্রাইভেট কী-এর সাথে কাজ করে।
• অথেন্টিকেশন সার্ভার সার্টিফিকেট: ডিভাইসটিকে যাচাই করতে দেয় যে এটি একটি অনুমোদিত অথেন্টিকেশন সার্ভিসের সাথে কথা বলছে।
• সার্টিফিকেশন অথরিটি: এমন সার্টিফিকেট ইস্যু করে যা প্রতিটি পক্ষ একটি স্পষ্ট বিশ্বস্ত সার্টিফিকেট চেইনের মাধ্যমে ভ্যালিডেট করতে পারে।

ডিভাইস এবং সার্ভারের একই ইস্যুয়িং অথরিটির শংসাপত্রের প্রয়োজন নেই। আসল বিষয়টি হলো প্রতিটি পক্ষ উপযুক্ত ইস্যুকারীকে বিশ্বাস করে এবং সঠিক ভ্যালিডেশন পলিসি প্রয়োগ করে।

ব্যবহারিক নিয়ম: শংসাপত্রগুলিকে (certificates) একটি নেটওয়ার্ক আইডেন্টিটি সিস্টেম হিসেবে বিবেচনা করুন, কোনো জটিল পাসওয়ার্ড হিসেবে নয়।

এই পার্থক্যটি আপনার হারিয়ে যাওয়া ল্যাপটপ সামলানোর পদ্ধতি বদলে দেয়। আপনি অন্য কারও যন্ত্রপাতির ক্রিডেনশিয়াল পরিবর্তন না করেই এর ক্রিডেনশিয়াল প্রত্যাহার করতে পারেন। তবে, একটি বৈধ সার্টিফিকেটের মালিকানা পরিচয় প্রতিষ্ঠা করে, সীমাহীন অনুমতি নয়। আপনার অ্যাক্সেস পলিসির এখনও সিদ্ধান্ত নেওয়া প্রয়োজন যে সেই পরিচয় কোথায় পৌঁছাতে পারবে।

কীভাবে EAP-TLS হ্যান্ডশেক ধাপে ধাপে কাজ করে

একটি কানেকশনের সাথে ডিভাইসের সাপ্লিক্যান্ট, অথেন্টিকেটর হিসেবে কাজ করা অ্যাক্সেস পয়েন্ট এবং অথেন্টিকেশন সার্ভার জড়িত থাকে। সাপ্লিক্যান্ট হলো অপারেটিং-সিস্টেমের এমন একটি উপাদান যা এন্টারপ্রাইজ নেটওয়ার্ক অথেন্টিকেশন পরিচালনা করে।

এই সহজীকৃত ফ্লোটি প্রতিটি প্রোটোকল বার্তার বদলে প্রধান প্রধান হ্যান্ডঅফগুলি প্রদর্শন করে।

এক্সচেঞ্জ এবং এর ব্যর্থতার জায়গাগুলি পর্যবেক্ষণ করুন

এই আদান-প্রদানের মূল মিউচুয়াল অথেন্টিকেশন এবং কী ডেরিভেশন EAP-TLS স্পেসিফিকেশন, RFC 5216-এ সংজ্ঞায়িত করা হয়েছে।

1. ডিভাইসটি অ্যাক্সেস পয়েন্টের সাথে সংযুক্ত হয়। এটি এন্টারপ্রাইজ প্রমাণীকরণ আদান-প্রদান শুরু করে এবং একটি পরিচয় প্রদান করে। শুধুমাত্র সংযোগ স্থাপনই সাধারণ নেটওয়ার্ক অ্যাক্সেস প্রদান করে না। একটি ভুল ওয়ারলেস সিকিউরিটি সেটিং ডিভাইসটিকে সার্টিফিকেট প্রমাণীকরণ পর্যন্ত পৌঁছাতে বাধা দিতে পারে।

2. অ্যাক্সেস পয়েন্টটি EAP বার্তাগুলি RADIUS-এ পাঠায়। এটি ডিভাইস সার্টিফিকেট নিজেই ইস্যু করার বদলে এন্ডপয়েন্ট এবং প্রমাণীকরণ পরিষেবার মধ্যে আদান-প্রদান সম্পন্ন করায়। RADIUS কানেক্টিভিটি সমস্যা বা ভুলভাবে নিবন্ধিত অ্যাক্সেস পয়েন্ট এই আদান-প্রদানকে এখানেই থামিয়ে দিতে পারে।

3. সার্ভারটি তার সার্টিফিকেট পেশ করে। ডিভাইসটি সার্টিফিকেট চেইন, বৈধতা এবং প্রত্যাশিত সার্ভার পরিচয় পরীক্ষা করে। একটি বিশ্বস্ত নয় এমন ইস্যুকারী, অসম্পূর্ণ চেইন বা অপ্রত্যাশিত সার্ভার নাম ডিভাইসটিকে কানেকশন প্রত্যাখান করতে বাধ্য করবে।

4. ডিভাইসটি তার ক্লায়েন্ট সার্টিফিকেট পেশ করে। সার্ভারটি ক্রিডেনশিয়াল যাচাই করে, প্রযোজ্য রিভোকেশন সম্পর্কিত তথ্য পরীক্ষা করে এবং পরিচয় মূল্যায়ন করে। একটি অনুপস্থিত সার্টিফিকেট বা অ্যাক্সেস অযোগ্য প্রাইভেট কী ব্যবহারকারীর কাছে একটি সাধারণ কানেকশন ব্যর্থতা বলে মনে হতে পারে, এমনকি যখন সার্ভার লগে একটি নির্দিষ্ট কারণ দেখানো হয়।

5. TLS এক্সচেঞ্জ শেয়ার্ড কিয়িং মেটেরিয়াল প্রতিষ্ঠা করে। এন্ডপয়েন্টকে তার প্রাইভেট কী-এর মালিকানা প্রমাণ করতে হবে, শুধুমাত্র একটি সার্টিফিকেট ফাইল উপস্থাপন করাই যথেষ্ট নয়। অসঙ্গতিপূর্ণ ক্রিপ্টোগ্রাফিক সেটিংস উভয় সার্টিফিকেট বৈধ হওয়া সত্ত্বেও সম্পন্ন হওয়া প্রতিহত করতে পারে।

6. RADIUS প্রমাণীকরণের ফলাফল এবং পলিসি সম্পর্কিত বৈশিষ্ট্যগুলি ফেরত পাঠায়। একটি সম্মতি গ্রহণের মধ্যে একটি VLAN অ্যাসাইনমেন্ট বা অন্যান্য সমর্থিত অথরাইজেশন বৈশিষ্ট্য অন্তর্ভুক্ত থাকতে পারে। একটি সফল প্রমাণীকরণের পর একটি অব্যবহারযোগ্য কানেকশন একটি সার্টিফিকেট সমস্যার চেয়ে বরং একটি VLAN বা ডাউনস্ট্রিম পলিসি সমস্যাকে নির্দেশ করতে পারে।

সার্ভার যাচাই করার জন্য ক্লায়েন্ট কনফিগার করুন

সাপ্লিক্যান্ট প্রোফাইলে, স্পষ্টভাবে EAP-TLS নির্বাচন করুন, বিশ্বস্ত CA কনফিগার করুন এবং প্রত্যাশিত RADIUS সার্ভারের নাম নির্দেশ করুন। সার্ভার শংসাপত্র যাচাইকরণ সক্রিয় রাখুন। শুধুমাত্র অনলাইনে যুক্ত হওয়ার জন্য ব্যবহারকারীদের কোনো সতর্কবার্তা বাইপাস করতে দেবেন না।

আপনার টিমের সাথে এক্সচেঞ্জ নিয়ে আলোচনা করার সময় প্রোটোকল ফ্লোয়ের পাশাপাশি এই ভিডিওটি ব্যবহার করুন।

প্রতিটি কানেকশন অথেন্টিকেশনের সময় ক্রেডেনশিয়াল উপস্থিত, অ্যাক্সেসযোগ্য এবং গ্রহণযোগ্য হওয়ার ওপর নির্ভর করে। তাই সমস্যা সমাধানের জন্য শুধু একটি অ্যাক্সেস পয়েন্ট ড্যাশবোর্ড দেখাই যথেষ্ট নয় যা জানায় ক্লায়েন্ট যুক্ত হতে ব্যর্থ হয়েছে, বরং সাপ্লিক্যান্ট এবং RADIUS উভয় থেকেই প্রমাণের প্রয়োজন হয়।

শেয়ার করা পাসওয়ার্ড এবং PEAP

-এর সাথে শংসাপত্রের তুলনা

WiFi অথেন্টিকেশন পদ্ধতি একই মানদণ্ডে

পদ্ধতি	ডিভাইসে থাকা ক্রিডেনশিয়াল	বাতিলকরণের আওতা	জবাবদিহিতা	সেটআপের প্রচেষ্টা
শেয়ার্ড WPA2 বা WPA3-পার্সোনাল পাসফ্রেজ	একটি পাসফ্রেজ যা প্রতিটি ব্যবহারকারীর জানা থাকে	সবার জন্য কী (key) পরিবর্তন করে	শেয়ার্ড ক্রিডেনশিয়াল থেকে কোনো জবাবদিহিতা নেই	কম
PEAP-MSCHAPv2 সহ WPA2-Enterprise	প্রতি ব্যবহারকারীর জন্য ইউজারনেম এবং পাসওয়ার্ড	একটি অ্যাকাউন্ট নিষ্ক্রিয় করে	প্রতি ব্যবহারকারী পিছু	মাঝারি
WPA2 বা WPA3-Enterprise-এ EAP-TLS	প্রতিটি ডিভাইসে অনন্য ক্লায়েন্ট সার্টিফিকেট এবং প্রাইভেট কী	একটি সার্টিফিকেট বাতিল করে	ম্যাপ করা থাকলে প্রতি ডিভাইস এবং ব্যবহারকারী পিছু	বেশি, PKI এবং পরিচালিত প্রভিশনিং প্রয়োজন
EAP-TLS সহ WPA3-Enterprise 192-বিট	প্রোফাইলের ক্রিপ্টোগ্রাফিক প্রয়োজনীয়তা পূরণকারী সার্টিফিকেট	একটি সার্টিফিকেট বাতিল করে	ম্যাপ করা থাকলে প্রতি ডিভাইস এবং ব্যবহারকারী পিছু	বেশি, সাথে সাইফারের সামঞ্জস্যতা পরীক্ষা করা প্রয়োজন

EAP-TLS হল না WPA3 এর সমার্থক। WiFi অ্যালায়েন্স সার্টিফিকেশন রেকর্ড সমর্থিত এন্টারপ্রাইজ অথেন্টিকেশন পদ্ধতিগুলির মধ্যে EAP-TLS কে চিহ্নিত করে। সার্টিফিকেট অথেন্টিকেশন হল একটি এন্টারপ্রাইজ অথেন্টিকেশন পছন্দ, যখন WPA প্রোফাইল ওয়ারলেস নিরাপত্তার প্রয়োজনীয়তাও নির্ধারণ করে।

শুধু লেবেল নয়, ক্রিডেনশিয়ালের তুলনা করুন

একটি শেয়ার্ড পাসফ্রেজ একটি সাধারণ সিক্রেটের জ্ঞান প্রমাণ করে। এটি কোন কর্মী এটি প্রদান করেছেন তা নির্ধারণ করে না, যদিও নেটওয়ার্ক সরঞ্জামগুলি এখনও কানেকশনের বিবরণ রেকর্ড করতে পারে। কর্মী চলে গেলে পরিস্থিতি অস্বস্তিকর হয়ে ওঠে কারণ ক্রিডেনশিয়াল পরিবর্তন করার অর্থ হল এটি ব্যবহারকারী প্রতিটি ডিভাইস আপডেট করা।

PEAP-MSCHAPv2 পৃথক ইউজারনেম এবং পাসওয়ার্ডে স্থানান্তরিত হয়। এটি ভেতরের অথেন্টিকেশন বিনিময় সুরক্ষিত করতে একটি সার্ভার-অথেন্টিকেটেড TLS টানেল ব্যবহার করে, তাই যথাযথ সার্ভার ভ্যালিডেশন এখনও গুরুত্বপূর্ণ। এটি দরকারী প্রতি-ব্যবহারকারী রেকর্ড প্রদান করতে পারে, তবে পাসওয়ার্ড পরিবর্তন এবং অ্যাকাউন্ট সম্পর্কিত সমস্যাগুলি ওয়্যারলেস সাপোর্টের অংশ হিসেবেই থেকে যায়।

EAP-TLS-এর সাহায্যে, অথেন্টিকেশনের সময় এন্ডপয়েন্ট অ্যাকাউন্টের পাসওয়ার্ডের পরিবর্তে তার শংসাপত্র এবং প্রাইভেট কি (private key) ব্যবহার করে। এটি অ্যাডমিনিস্ট্রেটরদের পরিচালনার জন্য একটি ডিভাইস-নির্দিষ্ট ক্রেডেনশিয়াল প্রদান করে, যদি ইনভেন্টরিটি শংসাপত্রগুলিকে এন্ডপয়েন্ট এবং মালিকদের সাথে সঠিকভাবে ম্যাপ করে।

কন্ট্রোলার মেনুর সবচেয়ে শক্তিশালী লেবেলটি বেছে নেওয়ার পরিবর্তে, এমন মেথডটি নির্বাচন করুন যার ক্রিডেনশিয়াল লাইফসাইকেল আপনার টিম প্রকৃতপক্ষে পরিচালনা করতে পারে।

জনসংখ্যার সাথে পদ্ধতির মিল খুঁজুন

ম্যানেজ করা কর্মীদের অ্যাক্সেসের জন্য শেয়ার করা পাসফ্রেজগুলি একটি দুর্বল ডিফল্ট বিকল্প, যেখানে ব্যক্তিগত অ্যাক্সেস প্রত্যাহার এবং জবাবদিহিতা গুরুত্বপূর্ণ। এমনকি অতিথি এবং কম ঝুঁকিপূর্ণ সনদের ক্ষেত্রেও, একটি সাধারণ পাসওয়ার্ডের জন্য সুনির্দিষ্ট ডিস্ট্রিবিউশন এবং রিপ্লেসমেন্ট পলিসি থাকা প্রয়োজন।

সার্টিফিকেটগুলি পরিচালনাকৃত ল্যাপটপ এবং ফোনের জন্য উপযোগী কারণ আপনি একটি বিদ্যমান ম্যানেজমেন্ট সিস্টেমের মাধ্যমে সেগুলি সরবরাহ করতে পারেন। উচ্চতর-অ্যাসুরেন্স যুক্ত এন্টারপ্রাইজ প্রোফাইল সামঞ্জস্যের কাজ যোগ করে; এটি কোনো লাইফসাইকেল সম্পর্কিত দায়িত্ব সরিয়ে দেয় না। PEAP একটি মাইগ্রেশন বিকল্প হিসেবে থেকে যেতে পারে যেখানে ব্যক্তিগত অ্যাকাউন্ট বিদ্যমান কিন্তু সার্টিফিকেট প্রোভিশনিং প্রস্তুত নয়, যা পরিচয়-ভিত্তিক অ্যাক্সেস ডিজাইন অনির্দিষ্টকালের জন্য স্থগিত করার কোনো কারণ হতে পারে না।

CA তৈরি করা এবং MDM-এর মাধ্যমে শংসাপত্র (certificates) প্রোভিশন করা

একটি পরিচালনাযোগ্য ডিপ্লয়মেন্ট একটি পাবলিক কী ইনফ্রাস্ট্রাকচার বা PKI দিয়েই শুরু হয়, যার মালিকানা স্পষ্ট। একটি সাধারণ পদক্রম রুট সার্টিফায়িং অথরিটিকে অফলাইনে রাখে এবং রুটিন সার্টিফিকেট ইস্যু করার জন্য একটি ইসুয়িং CA ব্যবহার করে। একটি ম্যানেজড PKI পরিষেবা আপনার টিমকে স্থানীয়ভাবে প্রতিটি উপাদান পরিচালনা না করেই সেই ভূমিকাগুলি পূরণ করতে পারে।

ইস্যুকারী CA ডিভাইস এবং সার্ভার সার্টিফিকেটে সাইন করে। RADIUS-কে অবশ্যই ক্লায়েন্ট সার্টিফিকেট চেইনকে ট্রাস্ট করতে হবে, যখন এন্ডপয়েন্টগুলিকে অবশ্যই উপযুক্ত সার্ভার চেইনকে ট্রাস্ট করতে হবে। ধরে নেবেন না যে একটি রুট সার্টিফিকেট ইনস্টল করলেই বাকি ওয়্যারলেস পলিসি স্বয়ংক্রিয়ভাবে কনফিগার হয়ে যায়।

শংসাপত্র ইস্যু করার আগে প্রোফাইল নির্বাচন করুন

একটি ডিভাইস টেমপ্লেটের জন্য ক্লায়েন্ট প্রমাণীকরণ ব্যবহার, একটি ডিভাইস বা ব্যবহারকারীর পরিচয় যা আপনার নীতি সমাধান করতে পারে, এবং আপনার রিনিউয়াল ও রিকভারি ডিজাইন দ্বারা নিয়ন্ত্রিত একটি বৈধতার সময়সীমা প্রয়োজন।

নিরাপত্তা স্তর অনুযায়ী সার্টিফিকেট প্রোফাইল

প্রোফাইল	কী এবং অ্যালগরিদম	সাধারণ বৈধতা	যেখানে এটি মানানসই
স্ট্যান্ডার্ড পরিচালিত ল্যাপটপ বা ফোন	সংস্থা-অনুমোদিত অ্যালগরিদম যা পুরো ফ্লিট জুড়ে সমর্থিত	রিনিউয়াল এবং রিকভারি পলিসি দ্বারা সেট করা হয়	WPA2-Enterprise-এ মিশ্র ফ্লিট
আরও কঠোর পরিচালিত ডিভাইস	এন্ডপয়েন্ট পরীক্ষার পরে অনুমোদিত শক্তিশালী টেমপ্লেট	পলিসি এবং রিনিউয়াল ক্ষমতা দ্বারা সেট করা হয়	বর্তমান ফার্মওয়্যার সহ আধুনিক ফ্লিট
WPA3-Enterprise 192-bit	ECDSA P-384 বা RSA 3072 বা তার চেয়ে বড়	পলিসি এবং রিনিউয়াল ক্ষমতা দ্বারা সেট করা হয়	সামঞ্জস্য পরীক্ষার পরে উচ্চতর-নিশ্চয়তার সাইটগুলি
হেডলেস বা লেগাসি ডিভাইস	প্রায়শই অসমর্থিত	ভেন্ডার-সমর্থিত লাইফসাইকেল বা ব্যতিক্রমের মেয়াদ শেষ	ব্যতিক্রম পাথ

WiFi Alliance ডিপ্লয়মেন্ট গাইড নির্দিষ্ট করে যে WPA3-Enterprise 192-bit মোড প্রমাণীকরণকে EAP-TLS-এ সীমাবদ্ধ করে এবং P-384 এলিপটিক-কার্ভ প্যারামিটার বা কমপক্ষে 3072 বিটের RSA/DH মডুলাস সাইজ সহ AES-256-GCM স্যুট ব্যবহার করে। তাই তালিকার উচ্চতর-নিশ্চয়তা প্রোফাইলটি কেবল শংসাপত্রের কী লেবেলের বিপরীতে নয়, পুরো নির্বাচিত স্যুটের বিপরীতে পরীক্ষা করা আবশ্যক।

সার্টিফিকেট টেমপ্লেট, RADIUS সফটওয়্যার, আবেদনকারী এবং ক্রিপ্টোগ্রাফিক প্রদানকারীদের অবশ্যই একমত হতে হবে। সাধারণ EAP-TLS সমর্থন করে এমন একটি এন্ডপয়েন্টও এই কঠোর প্রোফাইলের অধীনে ব্যর্থ হতে পারে।

ট্রাস্ট, ক্রিডেনশিয়াল এবং কনফিগারেশন একসাথে প্রদান করুন

SCEP-এর মাধ্যমে, ম্যানেজমেন্ট প্রোফাইল ডিভাইসটিকে একটি কি পেয়ার জেনারেট করতে এবং একটি সার্টিফিকেটের জন্য অনুরোধ করতে নির্দেশ দেয়। CA সেই অনুরোধে সাইন করে; ডিভাইসটি সুরক্ষিত স্টোরেজে তার প্রাইভেট কি ধরে রাখে। একাধিক মেশিনে একই ক্লায়েন্ট সার্টিফিকেট এবং প্রাইভেট কি ডিস্ট্রিবিউট করবেন না।

একটি নিয়ন্ত্রিত ক্রমে ডিপেন্ডেন্সিগুলি ডিপ্লয় করুন:

• প্রথমে ট্রাস্ট: প্রয়োজনীয় ট্রাস্টেড CA সার্টিফিকেট ইনস্টল করুন।
• তারপরে ক্রিডেনশিয়াল: SCEP কনফিগারেশন প্রদান করুন এবং সফল ইস্যুয়েন্স নিশ্চিত করুন।
• সবার শেষে ওয়্যারলেস প্রোফাইল: কাঙ্ক্ষিত ক্লায়েন্ট ক্রিডেনশিয়াল এবং সার্ভার ভ্যালিডেশন সেটিংস রেফারেন্স করুন।

নির্ভরশীল প্রোফাইল জুড়ে গ্রুপ টার্গেটিং সামঞ্জস্যপূর্ণ রাখুন। রোলআউট মানসম্মত করার আগে প্ল্যাটফর্মের পার্থক্য পর্যালোচনা করতে MDM WiFi সার্টিফিকেট প্রোফাইল তুলনা ব্যবহার করুন। এছাড়াও একটি এনরোলমেন্ট কানেকশন প্রদান করুন যা ডিভাইসটি এখনও প্রাপ্ত করার চেষ্টা করছে এমন সার্টিফিকেটের ওপর নির্ভর করে না।

ইস্যু করা থেকে রিনিউ করা পর্যন্ত শংসাপত্রের লাইফসাইকেল পরিচালনা করা

একটি ল্যাপটপ যা আজ সফলভাবে যুক্ত হয়েছে, তা আলমারিতে বসে তার নবায়নের সময়সীমা অতিক্রম করার পর ব্যর্থ হতে পারে। অ্যাক্সেস পয়েন্টটি সঠিক থাকতে পারে, পাসওয়ার্ড পরিবর্তন হয়নি এবং ব্যবহারকারী কোনো ভুল করেননি। তবুও এন্ডপয়েন্টের কাছে আর কোনো গ্রহণযোগ্য ক্রেডেনশিয়াল থাকে না।

NIST-এর EAP প্রয়োজনীয় সংক্রান্ত নির্দেশিকা প্রমাণীকরণের আগে সার্টিফিকেট প্রোভিশন করার, এক্সচেঞ্জের সময় সেগুলি উপলভ্য রাখার এবং রিভোকেশন স্ট্যাটাস সহ যাচাইযোগ্য করার প্রয়োজনীয়তা বর্ণনা করে। সেই প্রয়োজনীয়তাগুলি লাইফসাইকেল ডিপেন্ডেন্সিগুলিকে নেটওয়ার্কের উপলভ্যতার অংশ করে তোলে।

প্রাথমিক ডিপ্লয়মেন্টের বাইরে মালিকানা নির্ধারণের জন্য এই টাইমলাইনটি দরকারী।

প্রতিটি পর্যায়কে একটি করে অপারেশনাল নিয়ন্ত্রণ প্রদান করুন

পর্যায়	নিয়ন্ত্রণ	যে ব্যর্থতা এটি প্রতিরোধ করে
এনরোলমেন্ট	MDM রেজিস্ট্রেশন এবং প্রোফাইল টার্গেটিং পর্যবেক্ষণ করুন	ডিভাইস কখনোই এনরোলমেন্ট নির্দেশ পায় না
ইস্যু করা	টেমপ্লেট পারমিশন এবং অনুরোধের ফলাফল যাচাই করুন	CA অনুরোধ প্রত্যাখ্যান করে বা ব্যবহার অযোগ্য সার্টিফিকেট ইস্যু করে
ডিপ্লয়মেন্ট	ইনস্টলেশন এবং সুরক্ষিত প্রাইভেট-কী অ্যাক্সেস পরীক্ষা করুন	সার্টিফিকেট বিদ্যমান কিন্তু আবেদনকারী (supplicant) এটি ব্যবহার করতে পারছে না
নবায়ন	দ্রুত শুরু করুন, সমাপ্তি পর্যবেক্ষণ করুন এবং পরীক্ষিত ওভারল্যাপের অনুমতি দিন	ডিভাইসগুলি প্রতিস্থাপন ছাড়াই মেয়াদোত্তীর্ণ অবস্থায় পৌঁছে যায়
মেয়াদোত্তীর্ণ	মালিকদের সতর্ক করুন এবং একটি সীমাবদ্ধ রিকভারি পথ প্রদান করুন	মেয়াদোত্তীর্ণ ডিভাইসগুলির পুনরুদ্ধারের কোনো উপায় থাকে না
অবসর (Retirement)	ক্রেডেনশিয়াল প্রত্যাহার করুন এবং পুরনো ইনভেন্টরি এন্ট্রি সরিয়ে দিন	অবসরপ্রাপ্ত সরঞ্জাম একটি গ্রহণযোগ্য পরিচয় ধরে রাখে

পুনর্নবীকরণের জন্য সমাপ্তির প্রমাণ প্রয়োজন, কেবল একটি সক্রিয় অটোমেশন সেটিং নয়। একটি প্রতিস্থাপন সার্টিফিকেট ইস্যু করা হয়েছে, ইনস্টল করা হয়েছে এবং সফলভাবে ব্যবহৃত হয়েছে কিনা তা ট্র্যাক করুন। ওভারল্যাপের সময়, নিশ্চিত করুন যে অ্যাপ্লিক্যান্ট বারবার একটি অপ্রচলিত ক্রিডেনশিয়াল নির্বাচন না করে একটি উপযুক্ত ক্রিডেনশিয়াল বেছে নেয়।

অনলাইনে নেই এমন ডিভাইসগুলির জন্য পরিকল্পনা করুন

প্রকৃত ডিভাইসের আচরণের চারপাশে রিনিউয়াল উইন্ডো সেট করুন। ঋতুভেদে ব্যবহৃত বা স্পেয়ার হিসেবে রাখা যন্ত্রাংশের দৈনিক চেক ইন করা ল্যাপটপের চেয়ে আলাদা রিকভারি প্রসেসের প্রয়োজন হতে পারে। ধরে নেবেন না যে একটি অফলাইন এন্ডপয়েন্ট রিনিউ করতে পারে কারণ এর পুরোনো সার্টিফিকেটটি এখনও MDM-এ তালিকাভুক্ত রয়েছে।

সার্টিফিকেট সিরিয়াল নম্বর, এন্ডপয়েন্ট আইডেন্টিফায়ার, মালিক, ইস্যুকারী, মেয়াদ শেষ হওয়ার তারিখ এবং নবায়নের স্থিতি যুক্ত করে একটি ইনভেন্টরি বজায় রাখুন। ইস্যুকারী CA এবং অথেন্টিকেশন সার্ভারের শংসাপত্রগুলি অন্তর্ভুক্ত করুন, কারণ তাদের প্রতিস্থাপন আরও বৃহত্তর ব্যবহারকারীকে প্রভাবিত করতে পারে।

সফলভাবে সম্পন্ন হওয়া একটি রিনিউয়াল কাজ আর একটি ডিভাইস তার প্রতিস্থাপিত শংসাপত্রের (certificate) সাহায্যে অথেন্টিকেট করতে পারা - এই দুটি বিষয় এক নয়।

ক্লক এরর, অপারেটিং-সিস্টেম রিবিল্ড এবং CA চেন পরিবর্তনের পরীক্ষা করুন। একটি রিবিল্ড প্রাইভেট কী মুছে ফেলতে পারে; একটি ক্লক এরর একটি বৈধ শংসাপত্রকে এখনও বৈধ নয় বলে দেখাতে পারে; এবং একটি চেন পরিবর্তন এন্ডপয়েন্টগুলিকে প্রয়োজনীয় ট্রাস্ট ছাড়া রেখে দিতে পারে।

MDM, PKI এবং নেটওয়ার্ক পরিষেবা জড়িত ব্যর্থতাগুলির জন্য নির্দিষ্ট মালিকদের দায়িত্ব দিন। অন্যথায়, প্রতিটি টিম রিপোর্ট করতে পারে যে তাদের নিজস্ব সিস্টেম সুস্থ রয়েছে যখন এন্ডপয়েন্টটি ডিসকানেক্টেড থাকে। EAP-TLS আউটেজের ঝুঁকিকে একটি ইনভেন্টরি, অটোমেশন এবং ডিপেন্ডেন্সি-ম্যানেজমেন্ট সমস্যায় রূপান্তরিত করে। এটি সেই ঝুঁকি পুরোপুরি দূর করে না।

ডিভাইস হারিয়ে গেলে বা কর্মীরা চলে গেলে অ্যাক্সেস বাতিল (Revoke) করা

একজন প্রস্থানকারী কর্মীর ডিরেক্টরি অ্যাকাউন্টটি নিষ্ক্রিয় করা হয়েছে, কিন্তু তাদের ল্যাপটপে এখনও এমন একটি সার্টিফিকেট রয়েছে যা মেয়াদোত্তীর্ণ হয়নি। এটি পুনরায় সংযোগ করতে পারবে কিনা তা নির্ভর করে আপনার অথরাইজেশন ইন্টিগ্রেশন এবং রিভোকেশন নিয়ন্ত্রণের ওপর। অ্যাকাউন্ট নিষ্ক্রিয় করা এবং একটি সার্টিফিকেট রিভোক বা বাতিল করা দুটি আলাদা কাজ, যদি না আপনার কনফিগার করা ওয়ার্কফ্লো স্পষ্টভাবে সেগুলিকে যুক্ত করে।

অফবোর্ডিংয়ের ফলাফল কার্যকরী পরিভাষায় সংজ্ঞায়িত করুন: নতুন অথেন্টিকেশন ব্যর্থ হতে হবে, এনরোলমেন্টের মাধ্যমে নতুন ক্রেডেনশিয়াল ইস্যু করা যাবে না এবং সমর্থিত মেকানিজমের মাধ্যমে বিদ্যমান সেশনগুলি শেষ হতে হবে। একটি সম্পন্ন HR টিকেট এই ফলাফলগুলির কোনোটিরই প্রমাণ দেয় না।

স্ট্যাটাস চেকগুলি বুঝুন

একটি certificate revocation list, বা CRL, এমন শংসাপত্রগুলি প্রকাশ করে যা একজন ইস্যুকারী প্রত্যাহার করে নিয়েছেন। Online Certificate Status Protocol, বা OCSP, একজন ভ্যালিডেটরকে রেসপন্ডারের কাছ থেকে শংসাপত্রের স্ট্যাটাসের জন্য অনুরোধ করার অনুমতি দেয়।

সার্টিফিকেট বৈধতাদানকারী উপাদান সংশ্লিষ্ট স্ট্যাটাস-চেকিং নীতি প্রয়োগ করে। ক্লায়েন্ট সার্টিফিকেটের জন্য, এটি সাধারণত অ্যাক্সেস পয়েন্ট নয়, সার্ভিসটিকে অথেন্টিকেট করা হয়। যদি স্ট্যাটাসের তথ্য অনুপলব্ধ হয়, তবে একটি ফেল-ক্লোজড নীতি অন্যথায় বৈধ ডিভাইসগুলিকে ব্লক করতে পারে, অন্যদিকে একটি ফেল-ওপেন নীতি এমন একটি ক্রেডেনশিয়াল গ্রহণ করতে পারে যার রেভোকেশন নিশ্চিত করা যায় না।

সেই পছন্দটি সুস্পষ্ট করুন। "revoke"-এ ক্লিক করলে প্রতিটি অথেন্টিকেশন সংক্রান্ত সিদ্ধান্ত অবিলম্বে পরিবর্তিত হয়ে যাবে এমনটি ধরে নেওয়ার পরিবর্তে আপনার পরীক্ষায় ক্যাশে করা স্ট্যাটাস সংক্রান্ত তথ্য, পাবলিকেশন বিলম্ব এবং রেসপন্ডারের উপলব্ধতা অন্তর্ভুক্ত করুন।

একটি সম্পূর্ণ হারিয়ে যাওয়া ডিভাইস সম্পর্কিত প্রক্রিয়া ব্যবহার করুন

একটি হারিয়ে যাওয়া ল্যাপটপের জন্য, প্রতিটি পদক্ষেপকে একটি পৃথক টিমের চূড়ান্ত পদক্ষেপ হিসাবে দেখার পরিবর্তে অ্যাকশনগুলি সমন্বয় করুন:

1. ক্রেডেনশিয়াল চিহ্নিত করুন এবং প্রত্যাহার করুন। এন্ডপয়েন্টটিকে তার আসল শংসাপত্র সিরিয়াল নম্বরের সাথে মেলান এবং প্রাসঙ্গিক ক্রেডেনশিয়াল বাতিল করুন।
2. বিকল্প প্রদান প্রতিরোধ করুন। ডিভাইসের এনরোলমেন্টের যোগ্যতা নিষ্ক্রিয় করুন এবং উপযুক্ত MDM রিটায়ারমেন্ট বা অপসারণ প্রক্রিয়া প্রয়োগ করুন।
3. সক্রিয় অ্যাক্সেস শেষ করুন। সমর্থিত সেশন-ডিসকানেক্ট নিয়ন্ত্রণগুলি ব্যবহার করুন, যার মধ্যে রয়েছে RADIUS Change of Authorization যেখানে পরিকাঠামো এটিকে সমর্থন করে।
4. ফলাফল পরীক্ষা করে নিন। নিশ্চিত করুন যে সেশনটি শেষ হয়েছে এবং একটি নতুন প্রমাণীকরণের প্রচেষ্টা প্রত্যাখ্যান করা হয়েছে।

শুধুমাত্র রিভোকেশন করলেই একটি প্রতিষ্ঠিত ওয়্যারলেস সেশন বন্ধ হয়ে যায় না। সমর্থিত ডিসকানেক্ট মেকানিজম ছাড়া অন্য যন্ত্রাংশে, পুনরায় কানেকশন, পুনরায় অথেনটিকেশন বা অন্য কোনো বাধ্যবাধকতামূলক সেশন সীমানা না পাওয়া পর্যন্ত সেশনটি চলতে পারে। ইন্সিডেন্ট প্রসিডিউরে সেই সীমাবদ্ধতা রেকর্ড করুন।

আপনার অডিট রেকর্ডে যা অন্তর্ভুক্ত থাকা উচিত:

• ক্রেডেনশিয়াল পরিচিতি: ডিভাইস আইডেন্টিফায়ার, শংসাপত্র সিরিয়াল নম্বর এবং সম্পর্কিত মালিক।
• সিদ্ধান্তের প্রমাণ: বাতিলের কারণ, অপারেটর এবং পদক্ষেপের সময়।
• প্রয়োগের প্রমাণ: সেশন সমাপ্তির সময় এবং পরবর্তী প্রত্যাখ্যানের ফলাফল।
• অবশিষ্ট এক্সপোজার: যে কোনও সেশন যা জোরপূর্বক শেষ করা যায়নি এবং তার জন্য গৃহীত কন্টেইনমেন্ট পদক্ষেপ।

রিভোকেশন মহড়ার সময়সূচী নির্ধারণ করুন। রুটিন অপারেশনাল টেস্টিংয়ের পাশাপাশি অথেন্টিকেশন-পলিসি পরিবর্তনের পরেও সেগুলি চালান, যাতে একটি প্রকৃত ডিভাইস হারিয়ে যাওয়ার ঘটনা সমগ্র পথ প্রমাণ করার আপনার প্রথম প্রচেষ্টা না হয়।

ডিভাইসের যোগ্যতা এবং ব্যতিক্রমের পরিকল্পনা

ডিভাইস ক্লাস এবং EAP-TLS

এর সাথে তাদের উপযুক্ততা

ডিভাইসের শ্রেণি	EAP-TLS উপযুক্ততা	সাধারণ বিকল্প	জিজ্ঞাসা করার মূল প্রশ্ন
ম্যানেজ করা ল্যাপটপ এবং ফোন	শক্তিশালী	কোনোটির প্রয়োজন নেই, MDM এনরোলমেন্ট	MDM এনরোলমেন্ট কি নির্ভরযোগ্য?
কর্পোরেট ট্যাবলেট এবং কিওস্ক	MDM-ম্যানেজ করা হলে ভালো	স্বতন্ত্র কিওস্ক-নির্দিষ্ট কী SSID	প্রাইভেট কী-টি কি সুরক্ষিত স্টোরেজে থাকতে পারে?
হেডলেস IoT সেন্সর	উপযুক্ত ফার্মওয়্যার ছাড়া দুর্বল	একটি বিচ্ছিন্ন VLAN-এ প্রতি-ডিভাইস কী	ফার্মওয়্যার কি 802.1X সমর্থন করে?
রুম সিস্টেম, AV এবং কনফারেন্সিং	ভেন্ডর-নির্দিষ্ট সমর্থন	প্রতি-ডিভাইস কী সহ ডেডিকেটেড SSID	ভেন্ডর কি সার্টিফিকেট ইনস্টল এবং নবায়ন করতে পারে?
মেডিকেল ডিভাইস	প্রায়শই সীমিত	ভেন্ডর-অনুমোদিত পদ্ধতি সহ সেগমেন্টেড নেটওয়ার্ক	ডিভাইসটি কি এই পদ্ধতির জন্য সার্টিফাইড?
লেগ্যাসি অপারেটিং সিস্টেম এন্ডপয়েন্ট	প্রয়োজনীয় ক্ষমতা না থাকলে অসমর্থিত	নির্দিষ্ট সময়সীমা ভিত্তিক ব্যতিক্রম সহ কোয়ারেন্টাইন VLAN	ব্যতিক্রমটি কখন পর্যালোচনা করা হবে?

মৌলিক বাধ্যবাধকতা হলো প্রতিটি EAP-TLS ক্লায়েন্টের নিজস্ব সার্টিফিকেট প্রয়োজন, কেবল সার্ভারের প্রতি বিশ্বাস থাকলেই হবে না। NIST-এর ওয়ারলেস নেটওয়ার্ক নির্দেশিকা কেবল-সার্ভার সার্টিফিকেট প্রমাণীকরণ থেকে এই ক্লায়েন্ট-সার্টিফিকেটের প্রয়োজনীয়তাকে আলাদা করে।

তাই একটি ডিভাইসের একটি সচল সাপ্লিক্যান্ট, উপযুক্ত প্রাইভেট-কি সুরক্ষা এবং তার ক্রেডেনশিয়াল গ্রহণ ও প্রতিস্থাপন করার জন্য একটি সমর্থিত উপায়ের প্রয়োজন হয়। “এন্টারপ্রাইজ WiFi সমর্থিত” উল্লেখ করে তৈরি একটি স্পেসিফিকেশন শিট এই ক্ষমতাগুলি নিশ্চিত করার জন্য যথেষ্ট নয়।

সমগ্র ডিভাইস লাইফসাইকেল পরীক্ষা করুন

কনফারেন্স-রুম সিস্টেমের ক্ষেত্রে, ভেন্ডরকে ফ্যাক্টরি রিসেটের পর শংসাপত্র ইনস্টলেশন, পুনর্নবীকরণ এবং রিকভারি ডেমো দিতে বলুন। একটি ওয়েব ইন্টারফেস যা শংসাপত্র আপলোড গ্রহণ করে তা রক্ষণাবেক্ষণের সমাধান না করেই অনবোর্ডিংয়ের সমাধান করতে পারে।

মেডিকেল এবং অপারেশনাল ইকুয়েপমেন্টের জন্য, ভেন্ডরের সাপোর্টের প্রয়োজনীয়তা বজায় রাখুন। একই প্রস্তুতকারকের অন্য একটি প্রোডাক্ট সমর্থন করে বলেই কোনও প্রোডাকশন ডিভাইসের অথেন্টিকেশন মেথড পরিবর্তন করবেন না।

ব্যক্তিগত ডিভাইসগুলির জন্য একটি পৃথক যোগ্যতার সিদ্ধান্তের প্রয়োজন হয়। ব্যবহারকারীদের এনরোল করতে বলার আগে আপনার BYOD অনবোর্ডিং ডিজাইনটি নিশ্চিত করা উচিত যে কোন ধরনের ম্যানেজমেন্ট বা প্রোফাইল ইনস্টলেশন গ্রহণযোগ্য।

ব্যতিক্রমগুলিকে নির্দিষ্ট এবং দায়বদ্ধ রাখুন

যে ডিভাইসটি শংসাপত্র ব্যবহার করতে পারে না সেটির একজন ম্যানেজ করা কর্মচারীর ল্যাপটপের অ্যাক্সেস পারমিশন উত্তরাধিকার সূত্রে পাওয়া উচিত নয়। এটির বিকল্প ক্রিডেনশিয়ালকে একটি নির্দিষ্ট মালিক দিন এবং নেটওয়ার্কটিকে কেবল তার প্রয়োজনীয় গন্তব্যে সীমাবদ্ধ করুন।

প্রতিটি ব্যতিক্রমের জন্য নিম্নলিখিত বিষয়গুলি রেকর্ড করুন:

• কারিগরি কারণ: কনফিগারেশন চেক দ্বারা সমর্থিত অনুপস্থিত ক্ষমতা বা ভেন্ডার সীমাবদ্ধতা।
• ক্ষতিপূরণমূলক নিয়ন্ত্রণগুলি: সেগমেন্টেশন, অনুমোদিত পরিষেবা এবং ব্যক্তিগতভাবে প্রত্যাহারযোগ্য বিকল্প।
• পর্যালোচনার তারিখ: ব্যতিক্রমটি নবায়ন, পরিবর্তন বা অপসারণ করার একটি নির্ধারিত সিদ্ধান্ত।
• প্রতিস্থাপনের পরিকল্পনা: ফার্মওয়্যার আপগ্রেড, সমর্থিত অনবোর্ডিং পদ্ধতি বা হার্ডওয়্যার প্রতিস্থাপন যা এটি শেষ করবে।

একটি অস্থায়ী কোয়ারেন্টাইন নেটওয়ার্ককে পরিচয়হীন যন্ত্রপাতির স্থায়ী স্থায়ী ঠিকানায় পরিণত করা এড়িয়ে চলুন। কোনো মালিক বা এক্সিট কন্ডিশন ছাড়া একটি ব্যতিক্রম পরবর্তীতে একটি নথিভুক্তহীন অ্যাক্সেস পলিসিতে পরিণত হয়। সমর্থনযোগ্য পদ্ধতি হলো যেকোনো মূল্যে সার্টিফিকেট ব্যবহার করা নয়; এটি হলো সচেতনভাবে সংকুচিত বিকল্পগুলির পাশাপাশি শক্তিশালী ম্যানেজড-ডিভাইস প্রমাণীকরণ।

রোল আউট করার আগে আপনার শংসাপত্র পরিকল্পনা নিশ্চিত করুন

একটি সফল ডেমো দেখায় যে একটি সুরক্ষিত ল্যাপটপ কানেক্ট করতে পারে। একটি দরকারী পাইলট দেখায় যে যখন এনরোলমেন্ট ব্যর্থ হয়, একটি ক্রিডেনশিয়ালের মেয়াদ শেষ হয়, একটি ডিভাইস প্রত্যাহার করা হয় এবং একটি ডিপেন্ডেন্সি অনুপলব্ধ হয়ে পড়ে তখন কী ঘটে। শুধু প্রথম সফল হ্যান্ডশেক নয়, অপারেটিং মডেল অনুমোদন করুন।

প্রোডাকশন অ্যাক্সেস পরিবর্তন করার আগে একটি পাইলট সাইট বেছে নিন এবং স্কোপে থাকা ডিভাইস ক্লাসগুলি চিহ্নিত করুন। অ্যাক্সেস পয়েন্টের ক্ষমতা, সাপ্লিক্যান্টের আচরণ এবং ফার্মওয়্যার সংস্করণের তালিকা তৈরি করুন। যেখানে আরও উচ্চ-আশ্বাসযুক্ত প্রোফাইলের প্রয়োজন, সেখানে প্রতিনিধিমূলক এন্ডপয়েন্টগুলির বিরুদ্ধে নির্বাচিত সার্টিফিকেট টেমপ্লেট, সার্টিফিকেট-চেইন চেক এবং এক্সটেন্ডেড কী ইউসেজ যাচাই করুন।

এই সপ্তাহের প্রস্তুতির পর্যালোচনা বাস্তবসম্মত করুন

অনুপস্থিত দায়িত্বপ্রাপ্ত ব্যক্তি এবং অপরীক্ষিত ধারণাগুলিকে সামনে আনতে এই চেকলিস্টটি ব্যবহার করুন।

• ডিভাইস সমর্থন নিশ্চিত করুন: পরীক্ষা করে দেখুন যে প্রতিটি আওতাভুক্ত ডিভাইস কেবল সার্টিফিকেট ইমপোর্ট করার পরিবর্তে একটি সুরক্ষিত প্রাইভেট কী সংরক্ষণ ও ব্যবহার করতে পারে।
• বিশ্বাস ও নবায়ন নিশ্চিত করুন: CA চেইন, এনরোলমেন্ট পরিষেবা, নবায়ন পর্যবেক্ষণ এবং রিকভারি পাথের জন্য মালিক নির্ধারণ করুন।
• প্রয়োগ পরীক্ষা করুন: গ্রহণযোগ্যতা, প্রত্যাখ্যান, বাতিলকরণ এবং সমর্থিত লাইভ-সেশন সমাপ্তি প্রদর্শন করুন।
• ব্যতিক্রম অনুমোদন করুন: প্রতিটি অসমর্থিত শ্রেণিকে একটি সীমাবদ্ধ বিকল্প, জবাবদিহি করার মতো মালিক এবং পর্যালোচনার তারিখ দিন।
• কার্যকর সতর্কতা সেট করুন: আসন্ন মেয়াদোত্তীর্ণ এবং ব্যর্থ নবায়নের ঘটনাগুলি এমন কারো কাছে পাঠান যিনি সেগুলি সমাধান করতে পারেন।

একটি পুনরাবৃত্তিযোগ্য RADIUS অথেনটিকেশন টেস্টিং প্রসিডিউর ব্যবহার করুন যাতে ইঞ্জিনিয়াররা তুলনামূলক প্রমাণ সংগ্রহ করতে পারেন। ক্লায়েন্টের অবস্থা, প্রত্যাশিত ফলাফল, প্রকৃত ফলাফল এবং প্রাসঙ্গিক ব্যর্থতার কোড রেকর্ড করুন।

সমর্থনযোগ্যতা দ্বারা পাইলট বিচার করুন

একটি নির্দিষ্ট রোলব্যাক পদ্ধতির মাধ্যমে বিদ্যমান নেটওয়ার্কের পাশাপাশি সার্টিফিকেট পাথটি চালান। এর মধ্যে রিমোট এনরোলমেন্ট, একটি পুনর্নির্মিত এন্ডপয়েন্ট, একটি অফলাইন স্পেয়ার এবং আপনার হেল্পডেস্ক সমর্থন করে এমন অপারেটিং সিস্টেম অন্তর্ভুক্ত করুন। শুধুমাত্র সম্প্রতি প্রোভিশন করা ল্যাপটপ নির্বাচন করবেন না।

অথেন্টিকেশন লগের পাশাপাশি হেল্পডেস্ক টিকিটগুলি পর্যালোচনা করুন। ওয়্যারলেস কভারেজ, অ্যাড্রেস অ্যালোকেশন এবং VLAN সমস্যাগুলি থেকে শংসাপত্রের ব্যর্থতাগুলিকে আলাদা করুন, যাতে টিম একটি সম্পর্কহীন ত্রুটি সমাধানের জন্য PKI পুনরায় ডিজাইন না করে।

পাইলট গ্রহণের অর্থ হওয়া উচিত যে পরিচালিত ডিভাইসগুলি সাধারণত ব্যবহারকারীর হস্তক্ষেপ ছাড়াই যুক্ত হয়, ব্যর্থতার নির্দিষ্ট কারণ থাকে এবং অ্যাক্সেস প্রত্যাহার প্রদর্শন করা যায়। সিদ্ধান্তটি ব্যাখ্যা করার জন্য পর্যাপ্ত পরিচয় সঙ্ক্রান্ত তথ্য সহ সফল এবং প্রত্যাখ্যাত উভয় প্রচেষ্টার প্রমাণ রাখুন।

পাইলট শুরু হওয়ার আগেই এর পর্যালোচনার তারিখ নির্ধারণ করুন। এই সপ্তাহে সাইট, ডিভাইস ক্লাস, মালিক এবং গ্রহণযোগ্যতার মানদণ্ড নিশ্চিত করুন, তারপর টিম ত্রুটিগুলি সমাধান করে রিকভারি নিশ্চিত করার পরেই কেবল এটি সম্প্রসারণ করুন। আত্মবিশ্বাসের সাথে মেরামত করা যায় না এমন একটি ব্যাপক ডিপ্লয়মেন্টের চেয়ে নির্ভরযোগ্য রিনিউয়াল এবং রিভোকেশন সহ একটি ছোট রোলআউট অনেক ভালো ভিত্তি।

---

Purple Access আপনার ইতিমধ্যেই মালিকানাধীন অ্যাক্সেস পয়েন্টগুলিতে অতিথি এবং ডিভাইস-প্রতি অ্যাক্সেসের পাশাপাশি MDM-বিতরণ করা EAP-TLS এর মাধ্যমে সার্টিফিকেট-ভিত্তিক কর্মী WiFi অফার করে। একটি সাইটে পাইলট পরিকল্পনা করতে, সার্টিফিকেট এবং ব্যতিক্রমের পথগুলি ভ্যালিডেট করতে, এবং রোলআউট প্রসারিত করার আগে সাপোর্ট টিকিট এবং অডিট প্রমাণের ফলাফল মূল্যায়ন করতে Purple Access দেখুন।