ধাপে ধাপে কীভাবে RADIUS authentication পরীক্ষা করবেন

আপনি একটি ল্যাপটপ, একটি অ্যাক্সেস পয়েন্ট এবং একটি RADIUS সার্ভার সহ একটি সাইটে আছেন যা "ইতিমধ্যেই ঠিক থাকা উচিত।" কেউ এটিকে পিং করেছে। UDP 1812 উন্মুক্ত আছে। একটি ড্যাশবোর্ড প্রোব এমনকি সবুজ সংকেত ফেরত দিয়েছে। এর কোনোটিই আপনাকে বলে না যে কর্মী সদস্যের ডিভাইস কর্মীদের VLAN-এ পৌঁছায় কিনা, বা একটি বাতিল হওয়া সার্টিফিকেট এখনও কোনো সেশন পায় কিনা।

কীভাবে RADIUS অথেন্টিকেশন পরীক্ষা করবেন তা হল প্রমাণের একটি শৃঙ্খল, কোনো একটি লগইন নয়। প্রতিটি Access-Accept-কে একটি অনুমান হিসাবে বিবেচনা করুন। সার্ভার, ডাইরেক্টরি বা সার্টিফিকেট ভুল হলে পদ্ধতি, অ্যাট্রিবিউটস, সোর্স অ্যাড্রেস এবং নেটওয়ার্ক কী করে তা আপনাকে এখনও পরীক্ষা করতে হবে।

একটি নিয়ন্ত্রিত অনুরোধ দিয়ে শুরু করুন। তারপরে কেসগুলি প্রসারিত করুন যতক্ষণ না একটি ভুল পাস লুকানোর জন্য কোনও জায়গা না পায়।

সূচিপত্র

• radtest এর সাহায্যে আপনার প্রথম পরীক্ষা পাঠান
  • অন্য কিছু পরিবর্তন করার আগে বেসলাইনটি রান করুন
• কেন Access-Accept নেটওয়ার্ক অ্যাক্সেস প্রমাণ করে না
  • চারটি লেয়ার, চারটি ভিন্ন প্রশ্ন
  • একটি অতিরিক্ত ডিভাইসে EAP-TLS প্রমাণ করুন
• প্রতিটি RADIUS ডিপ্লয়মেন্টের জন্য প্রয়োজনীয় টেস্ট কেসসমূহ
  • সর্বনিম্ন হিসাবে বিবেচিত নয়টি সারি
• radclient এর সাহায্যে লোড এবং ল্যাটেন্সি পরিমাপ করুন
  • অ্যাকাউন্ট স্টোর থেকে টানেল আলাদা করুন
• ব্যর্থতার পথ, ফেলওভার এবং সুরক্ষা সংক্রান্ত পরীক্ষাসমূহ
  • ফেলওভারের সাথে একই রানে থাকা প্রয়োজনীয় পরীক্ষাসমূহ
  • আঞ্চলিক ফেলওভারকে যা সংরক্ষণ করতে হবে
• প্রতিটি পরীক্ষার ফলাফল নিশ্চিত করতে লগ পড়ুন
  • তিনটি প্যাটার্ন যার অর্থ নোটগুলি ভুল
• RADIUS কখন রোলআউটের জন্য প্রস্তুত তা সিদ্ধান্ত নিন

radtest এর সাথে আপনার প্রথম টেস্ট পাঠান

পরবর্তী পাঁচ মিনিটের মধ্যে আপনি যে কমান্ডটি চালাতে পারেন তা হল radtest testing password 127.0.0.1 0 testing123। FreeRADIUS radtest ম্যানুয়াল এটিকে পাঁচটি ইনপুট সহ একটি নিয়ন্ত্রিত Access-Request হিসাবে সংজ্ঞায়িত করে: ব্যবহারকারীর নাম, পাসওয়ার্ড, সার্ভারের ঠিকানা, NAS-Port এবং শেয়ার করা গোপন তথ্য। PAP হল ডিফল্ট। একই ইউটিলিটি CHAP, MS-CHAP, বা EAP-MD5 পাঠাতে পারে।

অন্য কিছু পরিবর্তন করার আগে বেসলাইনটি চালান

1. একটি টেস্ট অ্যাকাউন্ট সংজ্ঞায়িত করুন। সার্ভার যেখান থেকে খুঁজে পাবে সেখানে একটি জানা ব্যবহারকারীর নাম এবং পাসওয়ার্ড রাখুন। আপনি এমন একটি ক্রেনডেনশিয়াল চান যা কোনো ডাইরেক্টরি না খুঁজে টাইপ করা যায়।
2. ক্লায়েন্ট তালিকাভুক্ত করুন। আপনি যে হোস্ট বা NAS থেকে পাঠাচ্ছেন তা আপনার টাইপ করা সিক্রেট সহ clients.conf-এ অবশ্যই থাকতে হবে। একটি অজানা সোর্স একটি খারাপ পাসওয়ার্ডের থেকে আলাদা ব্যর্থতা।
3. ডিবাগ মোডে সার্ভার চালু করুন। প্রতিটি প্যাকেট এবং প্রত্যাখ্যানের কারণ টার্মিনালে প্রিন্ট হওয়া উচিত। একটি সাইলেন্ট ব্যর্থতা রানটিকে নষ্ট করে।
4. পাঁচটি ইনপুট পাঠান। ব্যবহারকারীর নাম, পাসওয়ার্ড, সার্ভার, NAS-Port, সিক্রেট। এই প্রথম প্রমাণের জন্য 0-এর একটি NAS-Port-ই যথেষ্ট।
5. কোডটি পড়ুন, তারপর কারণটি বলুন। Access-Accept-এর অর্থ হল সার্ভার সেই ক্রেডেনশিয়ালগুলি অনুমোদন করেছে। Access-Reject-এর অর্থ হল এটি সেগুলি প্রত্যাখ্যান করেছে। ডিবাগ আউটপুট একটি ভুল শেয়ার্ড সিক্রেট, একটি অজানা ক্লায়েন্ট, অবৈধ ক্রেডেনশিয়াল এবং একটি পলিসি ব্যর্থতাকে আলাদা করে।
6. NAS থেকে পুনরাবৃত্তি করুন। কেবল লোকালহোস্ট থেকেই নয়, অ্যাক্সেস পয়েন্ট বা সুইচ ঠিকানা থেকেও একই অনুরোধ সোর্স করুন। ক্লায়েন্টদের সাধারণত সোর্স ঠিকানা এবং শেয়ার্ড সিক্রেট একসাথে ব্যবহার করে অথরাইজ করা হয়।

পৌঁছানোই ফলাফল নয়। প্যাকেটটি পৌঁছাতে হবে, এবং অথরাইজেশন সিদ্ধান্তটি আপনার প্রত্যাশিত হতে হবে। একটি অ্যাক্সেপ্ট প্রক্রিয়ায়, ফেরত পাঠানো অ্যাট্রিবিউটগুলি পরিদর্শন করুন যেমন VLAN, পরিষেবার ধরণ, বা ফ্রেমড ঠিকানা। ভুল VLAN নির্দেশ করে এমন একটি অ্যাক্সেপ্ট কোনো পাস নয়, এমনকি কোডটি সঠিক দেখালেও।

সেই মূল গ্রহণযোগ্যতার পরে, একই ম্যানুয়ালে আটটি পদ্ধতির তালিকা রয়েছে যা উদাহরণ অ্যাকাউন্টের জন্য কাজ করতে পারে: PAP, CHAP, MS-CHAPv1, MS-CHAPv2, PEAP, EAP-TTLS, EAP-GTC, এবং EAP-MD5। আজই এই আটটি পদ্ধতির সবগুলির পেছনে ছুটবেন না।

ব্যবহারিক নিয়ম: আসল NAS ঠিকানা থেকে একটি Access-Accept এবং একটি ভুল পাসওয়ার্ড থেকে একটি Access-Reject সংরক্ষণ করুন। এই দুটি নোট হল মূল ভিত্তি যার সাথে পরবর্তী প্রতিটি কেস মূল্যায়ন করা হয়।

কেন Access-Accept নেটওয়ার্ক অ্যাক্সেস প্রমাণ করে না

একটি গ্রিন পরিকাঠামো পরীক্ষা হলো এমন একটি ভুল সাকসেস যা আমি সাইন অফ করব না। এটি প্রায়শই কেবল দেখায় যে কোনও অনুরোধের একটি উত্তর এসেছে।

Meraki RADIUS ট্রাবলশুটিং নির্দেশিকা উল্লেখ করে যে এর ড্যাশবোর্ড পরীক্ষা PEAP এর সাথে MS-CHAPv2 ব্যবহার করে। EAP-TLS-এর জন্য সেই পরীক্ষা ব্যর্থ হয়, বা কোনো অর্থপূর্ণ বৈধতা দেয় না, কারণ অ্যাক্সেস পয়েন্টে কোনো ক্লায়েন্ট সার্টিফিকেট নেই। শংসাপত্র ওয়্যারলেস এমন একটি আসল আবেদনকারীর মাধ্যমে পরীক্ষা করতে হবে যা সঠিক শংসাপত্র এবং বিশ্বস্ত শৃঙ্খল ধারণ করে।

চারটি স্তর, চারটি ভিন্ন প্রশ্ন

ট্রান্সপোর্ট জানতে চায় কিছু উত্তর দিয়েছে কিনা। একটি টাইমআউট মানে কিন্তু রিজেক্ট নয়।

অথেন্টিকেশন দেখে যে পাসওয়ার্ড বা শংসাপত্রটি সেই পরিচয়ের জন্য বৈধ ছিল কিনা।

অ্যাপ্রুভাল দেখে যে উত্তরটি আপনি যে VLAN, রোল বা ACL পাঠাতে চেয়েছিলেন তা বহন করেছে কিনা।

রিচাবিলিটি জিজ্ঞাসা করে যে এন্ডপয়েন্ট প্রত্যাশিত ঠিকানা, DNS নীতি, এবং সেই সেগমেন্ট অনুমোদন করা উচিত এমন সংস্থানগুলিতে অ্যাক্সেস পেয়েছে কিনা।

একটি স্তরে পাস হওয়া মানে বাকি তিনটি স্তরেও পাস হওয়া নয়। একই Meraki নির্দেশিকা, যা FreeRADIUS EAP আচরণ সহ পঠিত হয়, একটি সফল EAP-TLS পরীক্ষাকে একটি মাল্টি-প্যাকেট Access-Request এবং Access-Challenge বিনিময়, এবং তারপর আসল ক্লায়েন্ট নেটওয়ার্ক অ্যাক্সেস হিসাবে বর্ণনা করে। একটি একক কানেক্টিভিটি প্রোব সেই পরীক্ষা নয়।

সাপ্লিক্যান্ট যে সার্ভার নামকে বিশ্বাস করে তা, CA চেইন, সার্টিফিকেটের মেয়াদ শেষ হওয়ার তারিখ এবং ডিভাইসের ঘড়ি চেক করুন। ক্লাকের সময় এদিক-ওদিক হলে ভালো সার্টিফিকেটও ব্যর্থ হয়। ধরা যাক একজন কর্মীর ল্যাপটপ প্রামাণিকরণ শেষ করে স্টাফ সেগমেন্টের বদলে ডিফল্ট VLAN-এ আটকে রইল। Accept সঠিক ছিল। নেটওয়ার্ক প্লেসমেন্ট ভুল ছিল। বেশিরভাগ চেকলিস্টে এই ভুলটি কখনোই নথিভুক্ত হয় না।

পাসওয়ার্ড ব্যবহারকারী, EAP-TLS ডিভাইস, xPSK আইডেন্টিটি এবং ডিরেক্টরি-চালিত নীতির জন্য পৃথক সারি বজায় রাখুন। একটি PAP গ্রহণ যেন শংসাপত্র জয়েনের বিকল্প না হয়।

একটি অতিরিক্ত ডিভাইসে EAP-TLS প্রমাণ করুন

1. সার্ভার যে CA-কে বিশ্বাস করে সেই একই CA থেকে একটি টেস্ট ক্লায়েন্ট সার্টিফিকেট ইস্যু করুন।
2. একটি অতিরিক্ত ল্যাপটপ বা ফোনে সার্টিফিকেট এবং CA চেইন ইনস্টল করুন।
3. সাপ্লিক্যান্ট আপনার কনফিগার করা সার্ভার নামটি যাচাই করে তা নিশ্চিত করুন।
4. সংযুক্ত হন এবং চ্যালেঞ্জ এক্সচেঞ্জ ক্যাপচার করুন, কোনো এক-প্যাকেটের প্রোব নয়।
5. প্রকৃত নেটওয়ার্ক অ্যাক্সেস সহ প্রত্যাশিত VLAN-এ সেশনটি শেষ হয়েছে তা নিশ্চিত করুন।

সেই আদান-প্রদানের একটি সংক্ষিপ্ত দৃশ্য ক্যাপচারটিকে চেনা সহজ করে তোলে যখন আপনার নিজের ট্রেসটি গোলমেলে হয়।

টেস্ট কেস যা প্রতিটি RADIUS ডিপ্লয়মেন্টের প্রয়োজন

একটি বৈধ শংসাপত্র একটি Access-Accept তৈরি করতে পারে যখন ব্যবহারকারী ভুল নেটওয়ার্কে পৌঁছান। প্রতিটি স্তর আলাদাভাবে পরীক্ষা করুন: অনুরোধ হ্যান্ডলিং, প্রমাণীকরণ, অনুমোদন বৈশিষ্ট্য এবং শেষ পয়েন্টের আসল অ্যাক্সেস। FreeRADIUS কর্মক্ষমতা পরীক্ষা নির্দেশিকা লোডের পাশাপাশি সঠিকতাও কভার করে। নেতিবাচক ঘটনাগুলিও অন্তর্ভুক্ত করুন: অবৈধ শংসাপত্রগুলির Access-Reject ফেরত দেওয়া উচিত, যখন বিকৃত অনুরোধ, একটি অস্বীকৃত NAS এবং একটি ভুল শেয়ার করা গোপনীয়তা কোনো সফল লগইন তৈরি করতে পারবে না।

radtest ওয়ার্কফ্লোটি বহু পুরনো এবং এখনও একই পাঁচটি ইনপুট ব্যবহার করে। টানেলযুক্ত পদ্ধতির জন্য, UDP port 18120-এ ইনার অথেনটিকেশন সার্ভার আলাদাভাবে পরীক্ষা করুন। যখন PEAP আউটার পদ্ধতি হয়, তখন একটি MS-CHAP ইনার টেস্ট ব্যবহার করুন। এটি কোনো ব্যর্থতা আউটার EAP এক্সচেঞ্জ, সার্টিফিকেট বা TLS সেটআপ, নাকি ইনার ক্রেডেনশিয়াল চেকে রয়েছে তা আলাদা করতে সাহায্য করে।

একটি Access-Accept হলো যাচাই করার মতো একটি অনুমিতি, সঠিক নেটওয়ার্ক অ্যাক্সেসের প্রমাণ নয়। FreeRADIUS ইমপ্লিমেন্টেশন গাইড ব্যাখ্যা করে কীভাবে একটি NAS কোনো অসমর্থিত VLAN অ্যাট্রিবিউট বাতিল করতে পারে বা একটি অনুপস্থিত অ্যাট্রিবিউটকে ডিফল্ট VLAN এ ম্যাপ করতে পারে। ফেরত আসা অ্যাট্রিবিউটগুলি পরীক্ষা করুন, তারপর শেষ পয়েন্টের ঠিকানা, VLAN, ACL, DNS পলিসি এবং পৌঁছানোর যোগ্যতা যাচাই করুন। EAP-MD5 ওয়্যারলেসের প্রয়োজনীয় মূল উপাদান প্রদান করে না, তাই একটি EAP-MD5 অ্যাক্সেপ্ট ওয়্যারলেস প্রস্তুতির কোনো প্রমাণ নয়। এটি শুধুমাত্র সীমিত ওয়্যার্ড টেস্টিংয়ের জন্য ব্যবহার করুন।

অথরাইজেশন পরীক্ষা চালানোর আগে কাঙ্ক্ষিত সেগমেন্টগুলি নির্ধারণ করুন; WiFi অ্যাক্সেস কন্ট্রোল কীভাবে সেই নীতি গঠন করতে হয় তা ব্যাখ্যা করে।

নয়টি রো যা ন্যূনতম হিসাবে গণনা করা হয়

টেস্ট কেস	কীভাবে এটি চালাতে হবে	প্রত্যাশিত ফলাফল
বেসলাইন গ্রহণ	NAS IP থেকে একটি বৈধ টেস্ট অ্যাকাউন্ট সহ radtest চালান	প্রত্যাশিত VLAN অ্যাট্রিবিউট সহ Access-Accept; নিশ্চিত করুন যে এন্ডপয়েন্টটি সেই VLAN-এ পৌঁছায়
ভুল পাসওয়ার্ড	একটি ভুল পাসওয়ার্ড সহ radtest চালান	লগ করা কারণ সহ Access-Reject
ভুল শেয়ার্ড সিক্রেট	একটি অমিল সিক্রেট দিয়ে কনফিগার করা ক্লায়েন্ট থেকে পাঠান	কোনো Access-Accept নেই; ডিবাগ আউটপুটে সিক্রেট ত্রুটি দৃশ্যমান
অজানা NAS	ক্লায়েন্ট হিসাবে সংজ্ঞায়িত নয় এমন একটি IP ঠিকানা থেকে পাঠান	ড্রপ করা হয়েছে বা প্রত্যাখ্যান এবং লগ করা হয়েছে
বৈধ EAP-TLS ডিভাইস	একটি বৈধ সার্টিফিকেট এবং বিশ্বস্ত চেইন সহ একটি আসল সাপ্লিক্যান্ট সংযোগ করুন	Access-Accept এবং এটির গ্রুপের জন্য সঠিক VLAN; ডিভাইস থেকে নেটওয়ার্ক অ্যাক্সেস নিশ্চিত করুন
মেয়াদোত্তীর্ণ বা বাতিল হওয়া সার্টিফিকেট	একটি মেয়াদোত্তীর্ণ বা বাতিল হওয়া সার্টিফিকেট সহ একটি ডিভাইস সংযোগ করুন	Access-Reject, একটি ডিফল্ট নেটওয়ার্কে কোনো ফলব্যাক ছাড়াই
ডাইরেক্টরি গ্রুপ পরিবর্তন	টেস্ট ব্যবহারকারীকে অন্য গ্রুপে সরান, তারপর পুনরায় প্রমাণীকরণ করুন	নতুন গ্রুপের সাথে মেলাতে VLAN বা রোল পরিবর্তন হয়, অথবা অ্যাক্সেস প্রত্যাখ্যাত হয়
প্রাথমিক সার্ভার অনুপলব্ধ	প্রাথমিক সার্ভারে UDP 1812 ব্লক করুন বা এটি বন্ধ করুন	একই পলিসি প্রয়োগ করে সময়সীমার মধ্যে সেকেন্ডারিতে ফেলওভার করুন
অ্যাকাউন্টিং শুরু এবং বন্ধ	একটি সেশন শুরু করুন, তারপর এটি শেষ করুন	স্টার্ট এবং স্টপ রেকর্ড সেশনের সাথে মিলে যায়

প্রতিটি সারির জন্য, অনুরোধের আগমন, প্রতিক্রিয়া কোড, রাউন্ড-ট্রিপ ল্যাটেন্সি, নির্বাচিত নীতি, ফেরত আসা বৈশিষ্ট্যগুলি এবং অ্যাকাউন্টিং শুরু ও শেষ রেকর্ড করুন। সাময়িক UDP ক্ষতি ধরার জন্য প্রতিটি পরীক্ষা পুনরায় পুনরাবৃত্তি করুন। একটি একক নিখুঁত রান ভুল VLAN বা একটি অসঙ্গতিপূর্ণ নীতির সিদ্ধান্ত মিস করতে পারে।

একটি গ্রহণ যা ক্লায়েন্টকে ভুল নেটওয়ার্কে রাখে তা হল একটি ব্যর্থ টেস্ট।

radclient দিয়ে লোড এবং ল্যাটেন্সি পরিমাপ করুন

একটি নীরব সাকসেস সারিবদ্ধ হওয়া লুকায়। ভলিউম টেস্টিংয়ের জন্য ব্যাচের জন্য তৈরি করা একটি টুল প্রয়োজন, অন্য একটি সিঙ্গল লগইন নয়।

1. র্যান্ডমাইজ করা ব্যবহারকারীর নাম এবং পাসওয়ার্ডের একটি অথেন্টিকেশন ফাইল তৈরি করুন। বৈধ এবং অবৈধ এন্ট্রিগুলি মিশ্রিত করুন যাতে রিজেক্ট গণনা করা হয়, সেগুলিকে নয়েজ হিসাবে বিবেচনা না করা হয়।
2. ফাইলটি পাঠান এবং ব্যাচের সময় নির্ধারণ করুন Unix time কমান্ডের মাধ্যমে, যখন radclient সার্ভারটি পরিচালনা করে।
3. র গণনা রেকর্ড করুন। মোট রিকোয়েস্ট, অ্যাক্সেপ্ট, রিজেক্ট, টাইমআউট, এরর রেসপন্স এবং অতিবাহিত সময়।
4. হার হিসাব করুন। অ্যাক্সেপ্টেন্সের হার ফাইলের বৈধ অংশের সাথে মেলা উচিত। রিজেক্টের হার অবৈধ অংশের সাথে মেলা উচিত। এছাড়াও গড় এবং পার্সেন্টাইল লেটেন্সি গ্রহণ করুন।
5. ব্যস্ততার সময় এই প্রক্রিয়া পুনরাবৃত্তি করুন। একটি সকালের চেক-ইন বা স্কুলের শুরুর সময় এমন কিউ দেখাবে যা মধ্যাহ্নভোজের সময় ল্যাব রান কখনো দেখাবে না।

মেট্রিক	এটি কীভাবে হিসাব করবেন	টার্গেট
মোট রিকোয়েস্ট	অথেন্টিকেশন ফাইল থেকে পাঠানো লাইনের গণনা	ফাইলের দৈর্ঘ্যের সমান
অ্যাক্সেপ্টেন্সের হার	মোট রিকোয়েস্ট দিয়ে ভাগ করা অ্যাক্সেপ্টের সংখ্যা	ফাইলের বৈধ অংশের সাথে মেলে
রিজেক্টের হার	মোট রিকোয়েস্ট দিয়ে ভাগ করা রিজেক্টের সংখ্যা	ফাইলের অবৈধ অংশের সাথে মেলে
টাইমআউট এবং এরর	রান চলাকালীন কোনো প্রতিক্রিয়া না পাওয়া এবং এরর রেসপন্সের গণনা	ক্লিন পাথ-এ শূন্য
গড় লেটেন্সি	সমস্ত রিকোয়েস্ট জুড়ে গড় রেসপন্সের সময়	পিক সময় আপনার লেটেন্সি টার্গেটের মধ্যে
অতিবাহিত সময়	সম্পূর্ণ ব্যাচের জন্য Unix সময় আউটপুট	পুনরাবৃত্তি রানিং জুড়ে স্থিতিশীল

অ্যাকাউন্ট স্টোর থেকে টানেলটিকে আলাদা করুন

গ্রহণের হার বৈধ অংশের চেয়ে কম হলে, কোন অর্ধেকটি ব্যর্থ হয়েছে তা না জানা পর্যন্ত "লোড"-কে দোষ দেবেন না। PEAP-এর জন্য, ইনার সার্ভারের বিরুদ্ধে একটি MS-CHAP অনুরোধের মাধ্যমে ইনার মেথডটি আলাদাভাবে পরীক্ষা করুন। একটি ভাঙা আউটার জয়েনের সাথে ইনার অ্যাক্সেপ্ট সার্টিফিকেট বা TLS সেটিংসের দিকে নির্দেশ করে। ইনার চেক-এ ব্যর্থ হওয়া একটি আউটার হ্যান্ডশেক অ্যাকাউন্ট স্টোর, পাসওয়ার্ড হ্যাশ বা পলিসির প্রত্যাশিত গ্রুপের দিকে নির্দেশ করে।

কার্যকরী ফলাফলের সাথে একই লগে এই সময়গুলি রাখুন। পরবর্তী একটি ফার্মওয়্যার বা ডিরেক্টরি পরিবর্তনের সাথে সেই বেসলাইনের তুলনা করা উচিত, "এটি ধীর মনে হয়েছিল" এমন অনুভূতির সাথে নয়।

যদি টাইমআউট শুধুমাত্র পিক সময়ে বাড়ে, তাহলে সাইট যোগ করার আগে ক্যাপাসিটি বা পাথ ঠিক করুন। একটি সার্ভার সঠিক এবং ধীর হলেও সেটি সেই ক্লায়েন্টদের ক্ষেত্রে ব্যর্থ হবে যা আগে ছেড়ে দেয়।

ব্যর্থতার পাথ, ফেলওভার এবং সুরক্ষা সংক্রান্ত চেক

একটি কার্যকরী আদান-প্রদানও অনিরাপদ হতে পারে। ট্রাবলশুটিং যদি কেবল জিজ্ঞাসা করে যে UDP 1812 একটি উত্তর পেয়েছে কিনা, তবে তা খুব আগেই থেমে যায়।

Juniper-এর 2025 সিকিউরিটি বুলেটিন RFC 2865 প্রতিক্রিয়া প্রমানীকরণে Blast-RADIUS এক্সপোজার বর্ণনা করে। একজন স্থানীয় আক্রমণকারী যে ট্র্যাফিক পরিবর্তন করতে পারে সে একটি MD5 বাছাই করা-উপসর্গ সংঘর্ষের মাধ্যমে একটি বৈধ প্রতিক্রিয়াকে অন্য বিক্রিয়ায় রূপান্তর করতে পারে। "প্রমাণীকরণ সফল হয়েছে" ডিপ্লয়মেন্টটি সুরক্ষিত থাকার প্রমাণ নয়।

যাচাইকরণ যা ফেলওভারের মতো একই রানে থাকা উচিত

প্ল্যাটফর্ম যেখানে অনুমতি দেয় সেই পাথটি সুরক্ষিত করুন। অন-পাথ ম্যানিপুলেশন ব্লক করা হয়েছে কিনা এবং যে প্যাকেটগুলিতে প্রয়োজন সেগুলিতে Message-Authenticator ভ্যালিডেশন প্রয়োগ করা হয়েছে কিনা তা নিশ্চিত করুন।

দুর্বল পদ্ধতিগুলি বন্ধ করুন। সেকেলে EAP ধরনগুলি অক্ষম করা উচিত, "শুধু সুবিধার জন্য" রেখে দেওয়া উচিত নয়। আপনি যদি এখনও সার্টিফিকেট এবং পাসওয়ার্ড আউটার মেথডের মধ্যে বেছে নেন, তবে উভয়ই সক্ষম রাখার আগে EAP-TLS বনাম PEAP-এ সেগুলি তুলনা করুন।

উদ্দেশ্যমূলকভাবে সার্ভারটিকে ব্যর্থ করুন। নীচের প্রতিটি পরিস্থিতিতে নির্দিষ্ট ফেল-ক্লোজড বা নিয়ন্ত্রিত ফলব্যাক, সাথে একটি লগ লাইন, একটি সতর্কতা এবং একটি ব্যবহারকারীর অভিজ্ঞতা দেখানো উচিত যা আপনি সাইট ম্যানেজারকে ব্যাখ্যা করতে পারেন।

ব্যর্থতার পরিস্থিতি	এটি কীভাবে ট্র্রিগার করবেন	উত্তীর্ণের শর্ত
টাইমআউট	সার্ভারে UDP 1812 ব্লক করুন	ফেল ক্লোজড বা নিয়ন্ত্রিত ফলব্যাক, লগ করা এবং অ্যালার্ট দেওয়া হয়েছে
Access-Reject	একটি ভুল পাসওয়ার্ড ব্যবহার করুন	কোনো ফলব্যাক নেটওয়ার্ক ছাড়া অ্যাক্সেস প্রত্যাখ্যাত হয়েছে
মেয়াদউত্তীর্ণ শংসাপত্র	মেয়াদউত্তীর্ণ শংসাপত্র সহ ডিভাইস	ডিফল্ট VLAN ছাড়াই Access-Reject
বাতিল করা শংসাপত্র	বাতিল করা শংসাপত্র সহ ডিভাইস	ডিফল্ট VLAN ছাড়াই Access-Reject
অজ্ঞাত NAS সোর্স IP	একটি অনির্ধারিত ঠিকানা থেকে পাঠান	ড্রপ করা বা প্রত্যাখ্যাত এবং লগ করা হয়েছে
ভুল শেয়ার্ড সিক্রেট	ক্লায়েন্টে অসামঞ্জস্যপূর্ণ সিক্রেট	ডিবাগ আউটপুটে কোনো Access-Accept নেই এবং সিক্রেট ত্রুটি রয়েছে
অগম্য ডিরেক্টরি	ডিরেক্টরি সংযোগ বন্ধ করুন	নীতি অনুযায়ী প্রত্যাখ্যাত বা নিয়ন্ত্রিত ফলব্যাক
বিলম্বিত অথরাইজেশন প্রতিক্রিয়া	অথরাইজেশন জবাবে বিলম্ব যোগ করুন	উন্মুক্ত অ্যাক্সেস ছাড়াই টাইমআউট সামলানো হয়েছে

আঞ্চলিক ফেলওভারকে যা সংরক্ষণ করতে হবে

অন্য একটি সার্ভার উত্তর দেওয়ার অর্থ নীতিগত ধারাবাহিকতা নয়। আপনি প্রাইমারি সার্ভারটি বন্ধ করার সময়, ব্যাকআপ থেকে প্রাপ্ত VLAN, ব্যান্ডউইথ সীমা, রিভোকেশন স্ট্যাটাস এবং অডিট অ্যাট্রিবিউটগুলির সাথে প্রাইমারি সার্ভারের তুলনা করুন। একজন অতিথি যে ফেলওভার করে কোনো কর্মীদের সেগমেন্টে প্রবেশ করে, তার সংযোগ দ্রুত হলেও এটি একটি ব্যর্থ পরীক্ষা।

ব্যবহারকারী অনলাইনে থাকুন বা না থাকুন, ওপেন অ্যাক্সেসে ফিরে যাওয়া যেকোনো পরিস্থিতিকে ব্যর্থ হিসেবে চিহ্নিত করুন। কার্যকরী বেসলাইনের মতো একই টেস্ট লগে প্রতিটি ফলাফল লিখুন যাতে পরবর্তী ফেলওভার পরিবর্তন স্পষ্ট হয়।

প্রতিটি পরীক্ষার ফলাফল নিশ্চিত করতে লগ পড়ুন

প্রতিটি পরীক্ষার একটি চিহ্ন রাখা উচিত যা আপনি একটি টেস্ট ID বা একটি পরিচিত অ্যাকাউন্টের সাথে মেলাতে পারেন। একটি ব্যস্ত এস্টেটে, এই লেবেলটির মাধ্যমেই আপনি অন্যদের সকালের কাজ স্ক্রোল না করেই নিজের রানটি খুঁজে পান।

প্রতিটি প্রমাণের জন্য, এই ক্ষেত্রগুলি সারিবদ্ধ করুন:

• পরিচয় এবং ডিভাইস: কে বা কী যোগ দিয়েছে, কেবল একটি MAC নয় যা আপনি নিজের বলে আশা করছেন।
• পদ্ধতি: EAP-TLS, PEAP, অথবা একটি ব্যক্তিগত PSK। আপনি যা প্রয়োগ করেননি এমন একটি পদ্ধতি হলো একটি অনুসন্ধান লভ্য তথ্য।
• স্থান: অ্যাক্সেস পয়েন্ট, SSID, এবং সাইট।
• সিদ্ধান্ত: VLAN এবং ভূমিকা ফেরত এসেছে, অথবা প্রত্যাখ্যানের কারণ।
• সময়: আপনার পরীক্ষা করা উইন্ডোর মধ্যে থাকা টাইমস্ট্যাম্প।

আমাদের অথেন্টিকেশন লগ সেই মেলানোর জন্যই তৈরি করা হয়েছে। একটি সম্পূর্ণ এস্টেট-ওয়াইড কুয়েরি পরিচয়, ডিভাইস, এনরোলমেন্ট স্টেট, পদ্ধতি, অ্যাক্সেস পয়েন্ট, SSID, সাইট, VLAN, ভূমিকা, কারণ এবং টাইমস্ট্যাম্প সহ প্রতিটি সুইকৃতি এবং প্রত্যাখ্যান দেখায়। কোনো সাইটে একাধিক অ্যাক্সেস পয়েন্ট থাকলে এবং একই ব্যর্থতা সর্বত্র ঘটছে নাকি কেবল একটি কন্ট্রোলারে ঘটছে তা দেখার প্রয়োজন হলে এটি ব্যবহার করুন।

তিনটি প্যাটার্ন যার অর্থ নোটগুলি ভুল

কারণটি পরীক্ষার সাথে মিলছে না। আপনি একটি ভুল পাসওয়ার্ড পাঠিয়েছেন এবং লগ বলছে অজানা ক্লায়েন্ট। আপনি ভুল জিনিস পরীক্ষা করেছেন, অথবা দুটি ত্রুটি একসাথে ঘটেছে।

অ্যাক্সেপ্টে ডিফল্ট VLAN এর নাম উল্লেখ থাকে। শংসাপত্র কাজ করেছে। প্লেসমেন্ট করেনি। কেসটি বন্ধ করবেন না।

হিসাবরক্ষণ শুরু হয়েছে এবং কখনোই থামেনি। সেশন রেকর্ডটি অসম্পূর্ণ, তাই আপনি যখন ভেবেছিলেন ক্লায়েন্টটি প্রস্থান করেছে তা প্রমাণ করতে পারবেন না। কাছাকাছি থাকা অন্য ব্যবহারকারীর সেশনের সাথে নয়, আপনার চালানো সেশনের সাথে শুরু এবং শেষ তুলনা করুন।

পরীক্ষার উইন্ডো চলাকালীন রিজেক্ট স্পাইকের জন্য একটি সতর্কতা সেট করুন যাতে একটি খারাপ ফরোয়ার্ড করা শেয়ার্ড সিক্রেটকে "ব্যবহারকারীরা ভুল টাইপ করেছেন" বলে মনে না হয়। পরীক্ষার নোটের সাথে লগ এক্সট্র্যাক্টটি রাখুন। কয়েক সপ্তাহ পরে যখন কেউ জিজ্ঞেস করবে যে আপনি কী প্রমাণ করেছেন, তখন সেই এক্সট্র্যাক্টটিই অডিট প্রমাণ হিসাবে কাজ করবে।

কখন RADIUS রোলআউটের জন্য প্রস্তুত তা সিদ্ধান্ত নিন

কেবলমাত্র তখনই লাইভ হন যখন প্রমাণ পাঁচটি গেট পূরণ করে। একজন আত্মবিশ্বাসী ইঞ্জিনিয়ার তাদের একজন নন।

1. আপনি যা কিছু ডিপ্লয় করছেন তার প্রতিটি ম্যাট্রিক্স সারি প্রতিটি NAS টাইপে সফল হয়, যার মধ্যে প্রতিটি SSID বা অ্যাক্সেস পলিসি অন্তর্ভুক্ত যা আপনি বজায় রাখতে চান।
2. ফেলওভার প্রাইমারির মতোই একই VLAN, পলিসি এবং রিভোকেশন আচরণ বজায় রাখে। একটি দ্বিতীয় সার্ভার যা অন্য ভূমিকা নিয়ে উত্তর দেয় তা এই গেটে ব্যর্থ হয়।
3. কোনো ফেলিয়র দৃশ্যপট উন্মুক্ত থাকে না। ভুল পাসওয়ার্ড, ডেড ডিরেক্টরি, মেয়াদোত্তীর্ণ সার্টিফিকেট এবং বিলম্বিত রেসপন্সের কারণে ব্যবহারকারীকে কোনো অনিয়ন্ত্রিত নেটওয়ার্কে ফেলে দেওয়া উচিত নয়।
4. পিক সময় লোড আপনার লেটেন্সি টার্গেটের ভেতরে থাকে, যেখানে অ্যাক্সেপ্টেন্সের হার টেস্ট ফাইলের বৈধ অংশের সাথে মিলে যায়।
5. আপনি পাস হিসেবে দাবি করা প্রতিটি রানের জন্য লগগুলিতে প্রত্যাশিত কারণ এবং VLAN দেখানো হয়।

ল্যাব VLAN-এ নয়, আসল সাইটে ওই পাঁচটি সত্য না হওয়া পর্যন্ত ব্যাপক রোলআউট স্থগিত রাখুন।

আমরা আপনাকে প্রথমে একটি সাইটে এটি প্রমাণ করার সুযোগ দিই। অন্য যেকোনো সাইট পরিবর্তনের আগে, সেই সাইটে ইতিমধ্যেই চালু থাকা অ্যাক্সেস পয়েন্টগুলোতে নতুন উন্মুক্ত, সুরক্ষিত এবং xPSK নেটওয়ার্কগুলো যোগ করুন (আজকে এটি যে নেটওয়ার্ক ব্যবহার করে তার পাশাপাশি) এবং টিকিট ও অডিট প্রমাণের ভিত্তিতে ফলাফল বিবেচনা করুন। সেই পাইলট চলাকালীন, লগের উচিত কোনো মিটিং ছাড়াই দুটি প্রশ্নের উত্তর দেওয়া। কোন ডিভাইসগুলো কোন VLAN-এ যুক্ত হয়েছে, এবং কোন গ্রহণ বা প্রত্যাখ্যানের কারণটি সবচেয়ে বেশি দেখা গেছে।

শুধুমাত্র তখনই প্রসারিত করুন যখন টিকিট এবং অডিট এক্সট্র্যাক্ট কোনো অপ্রত্যাশিত প্রত্যাখ্যান এবং ভুল সেগমেন্টে কোনো ডিভাইস না দেখায়। ম্যাট্রিক্সটিকে একটি স্থায়ী রিগ্রেশন স্যুট হিসাবে রাখুন। ব্যবহারকারীরা পরিবর্তন দেখার আগে, প্রতিটি সার্টিফিকেট পুনর্নবীকরণ, ফার্মওয়্যার আপডেট বা ডিরেক্টরি পরিবর্তনের পরে, একই বেসলাইনের বিরুদ্ধে এটি পুনরায় চালান। সেই পাইলট সাইটটি কীভাবে তৈরি করা উচিত তার জন্য, WiFi নেটওয়ার্ক ডিজাইন থেকে শুরু করুন এবং আপনি যে ডিজাইনটি রাখার পরিকল্পনা করছেন তা পরীক্ষা করুন, এমন কোনো অস্থায়ী SSID নয় যা আপনি পরের সপ্তাহে মুছে ফেলবেন।

---

Purple Access আপনাকে ক্লাউড RADIUS প্রদান করে যা প্রতিটি ডিভাইসকে পরিচয়ের ভিত্তিতে উন্মুক্ত, সুরক্ষিত বা xPSK নেটওয়ার্কে রাখে, যার সাথে প্রামাণীকরণ লগে VLAN এবং প্রত্যাখ্যানের কারণ দৃশ্যমান থাকে। আপনি যদি আপনার বর্তমান অ্যাক্সেস পয়েন্টগুলোতে সেই টেস্ট প্ল্যানটি চালাতে চান, তবে আরও এগিয়ে যাওয়ার আগে একটি সাইট দিয়ে শুরু করুন এবং ফলাফলটি দেখুন। Purple Access-এ যান এবং প্রথম সাইটটিকে এমন একটি বেসলাইনে আনুন যা আপনি সমর্থন করতে পারেন।