Cisco ISE থেকে ক্লাউড RADIUS-এ মাইগ্রেশন: একটি পর্যায়ক্রমিক কাটওভার পরিকল্পনা

প্রতিটি ডিভাইস নতুন সার্ভার সার্টিফিকেট বিশ্বাস করার সাথে সাথে কোনো ফ্ল্যাগ ডে ছাড়া আপনি পাঁচটি ধাপে Cisco ISE থেকে ক্লাউড RADIUS-এ স্থানান্তরিত হতে পারেন। সাইট অনুসারে ISE-এর সাথে সাথে Purple চালান। ক্লায়েন্টে IEEE 802.1X এবং EAP-TLS অপরিবর্তিত রাখুন। শেষ সাইটটি স্থানান্তরিত না হওয়া পর্যন্ত রোলব্যাক পথ হিসেবে ISE-কে রেখে ধাপে ধাপে রূপান্তর সম্পন্ন করুন।

আপনি যখন Cisco ISE থেকে স্থানান্তরিত হন তখন কী পরিবর্তন হয় এবং কী একই থাকে?

চূড়ান্ত অবস্থা ব্যাখ্যা করা সংক্ষিপ্ত। আপনার অ্যাক্সেস পয়েন্টগুলি আপনার ডেটা সেন্টারের ISE নোডের পরিবর্তে Purple-এর ক্লাউড RADIUS-এ প্রামাণীকরণ অনুরোধগুলি পাঠায়। Purple ডিভাইস বা ব্যবহারকারীর পরিচয় Microsoft Entra ID, Okta বা Google Workspace-এর বিরুদ্ধে যাচাই করে। এটি তখন নির্দিষ্ট পরিচয়টি যে VLAN-এর অন্তর্গত সেটি রিটার্ন করে। ISE বন্ধ করে দেওয়া হয়, এর লাইসেন্সের মেয়াদ শেষ হয় এবং কেউ আর এটি প্যাচ করে না।

প্রথমে কয়েকটি পরিভাষা। RADIUS (RFC 2865) হলো প্রামাণীকরণ প্রোটোকল যা আপনার কন্ট্রোলারগুলি ইতিমধ্যেই ব্যবহার করে। IEEE 802.1X হলো পোর্ট-ভিত্তিক অ্যাক্সেস কন্ট্রোল স্ট্যান্ডার্ড যা WiFi-এর মাধ্যমে লগইন বহনের সুবিধা দেয়। EAP-TLS (RFC 5216) একটি সার্টিফিকেটের মাধ্যমে প্রতিটি ডিভাইসকে প্রামাণাপিত করে। PEAP একটি এনক্রিপ্ট করা TLS টানেলের মধ্যে পাসওয়ার্ড আদান-প্রদানকে আবদ্ধ করে। একটি VLAN, বা ভার্চুয়াল LAN, হলো এমন একটি নেটওয়ার্ক সেগমেন্ট যেখানে প্রামাণীকরণের পরে একটি ডিভাইস প্রবেশ করে।

চারটি বিষয় পরিবর্তিত হয়:

• প্রতিটি নেটওয়ার্ক অ্যাক্সেস ডিভাইস (NAD), অর্থাৎ অনুরোধ পাঠানো কন্ট্রোলার, AP বা ক্লাউড ড্যাশবোর্ডে RADIUS সার্ভার অ্যাড্রেস এবং শেয়ার্ড সিক্রেট।
• সার্ভার সার্টিফিকেট যা ডিভাইসগুলি 802.1X চলাকালীন দেখতে পায়।
• নীতি যেখানে অবস্থান করে। ISE নীতির সেট এবং অথরাইজেশন প্রোফাইলগুলি VLAN-এ ম্যাপ করা আইডেন্টিটি গ্রুপে পরিণত হয়।
• পরিচয় যেখান থেকে আসে। একটি ক্লাউড ডিরেক্টরি অন-প্রেমিস অ্যাক্টিভ ডিরেক্টরির সাথে যুক্ত ISE-কে প্রতিস্থাপন করে।

আপনার SSID, অ্যাক্সেস পয়েন্ট, VLAN, স্যুইচিং এবং আপনার নিজস্ব CA থেকে নেওয়া যেকোনো ক্লায়েন্ট সার্টিফিকেট যেমন আছে তেমনই থাকবে। এটিই পর্যায়ক্রমিক স্থানান্তরকে সম্ভব করে তোলে। ISE ফাংশনগুলির নিজেদের জন্য একটি গন্তব্যের প্রয়োজন এবং সেগুলি সবই সুরক্ষিত নেটওয়ার্কে পৌঁছায় না।

ISE আজ যা করে	এটি যেখানে যায়	Purple নেটওয়ার্ক
কর্মী এবং কর্পোরেট ডিভাইসের জন্য 802.1X	EAP-TLS এবং আপনার আইডেন্টিটি প্রোভাইডারের সাথে Purple ক্লাউড RADIUS	সুরক্ষিত
স্ক্যানার, প্রিন্টার এবং সেন্সরের জন্য MAB (MAC Authentication Bypass)	প্রতি ডিভাইস বা ডিভাইস গ্রুপের জন্য একটি কী (iPSK বা PPSK, একসাথে xPSK)	xPSK
গেস্ট এবং স্পন্সরড পোর্টাল	একটি ক্যাপটিভ পোর্টাল, অ্যাক্সেসের আগে দেখানো সাইন-ইন পেজ	উন্মুক্ত
ISE ইন্টারনাল CA-এর সাথে BYOD অনবোর্ডিং	আপনার MDM বা আপনার নিজস্ব CA থেকে নেওয়া সার্টিফিকেট	সুরক্ষিত
TACACS+, ওয়্যার্ড 802.1X, পস্চার, TrustSec	এই পরিকল্পনার আওতাবহির্ভূত; প্রতিটির জন্য একজন মালিক নির্ধারণ করুন	কোনটিই নয়
এই প্ল্যানটি আপনার অ্যাক্সেস পয়েন্টগুলিতে WiFi প্রমাণীকরণ কভার করে। যদি ISE ডিভাইস অ্যাডমিনিস্ট্রেশন, ওয়্যার্ড পোর্ট বা পোস্টার পরিচালনা করে, তবে ১ নং পর্যায়ের আগে প্রতিটির তালিকা তৈরি করুন এবং প্রতিটি কাজের জন্য আলাদা দায়িত্বপ্রাপ্ত ব্যক্তি নির্ধারণ করুন। যদি ISE একটি গেস্ট পোর্টাল হোস্ট করে যা মার্কেটিংয়ের জন্য ব্যবহৃত হয়, তবে এটি উন্মুক্ত নেটওয়ার্ক এবং Purple Engage-এ স্থানান্তরিত হবে। সার্টিফিকেট, আইডেন্টিটি এবং Passpoint-এর সিকিউর নেটওয়ার্ক গাইড মূল ডিজাইনকে বিস্তারিতভাবে কভার করে।

১ নং পর্যায়ের আগে কোন বিষয়গুলো সত্য হতে হবে?

ছয়টি শর্ত, প্রতিটির উত্তর হ্যাঁ বা না। ছয়টির উত্তরই হ্যাঁ না হওয়া পর্যন্ত সেটআপ শুরু করবেন না।

1. ইনভেন্টরি সম্পূর্ণ হতে হবে। প্রতিটি SSID, যৌথ গোপনীয় তথ্য সহ প্রতিটি NAD, প্রতিটি পলিসি সেট এবং অথরাইজেশন প্রোফাইল, এবং MAB-এর উপর নির্ভরশীল প্রতিটি এন্ডপয়েন্ট গ্রুপ।
2. আপনার কাছে একটি ISE বেসলাইন রয়েছে। কমপক্ষে দুই সপ্তাহের জন্য প্রতি সাইটে প্রতি SSID-এর জন্য প্রতি ঘণ্টার প্রমাণীকরণ এবং সফলতার হার রেকর্ড করুন। ISE-এর লাইভ লগ এবং রিপোর্টগুলি আপনাকে এটি প্রদান করে। একটি বেসলাইন ছাড়া, আপনি বলতে পারবেন না যে একটি ওয়েভ সফল হয়েছে কিনা।
3. সার্টিফিকেট প্ল্যানটি লেখা হয়েছে। কোন CA আপনার ক্লায়েন্ট সার্টিফিকেট ইস্যু করেছে এবং ISE EAP-এর জন্য কোন সার্টিফিকেট উপস্থাপন করে তা নোট করুন। ISE অভ্যন্তরীণ CA থেকে কোনো ডিভাইস সার্টিফিকেট ধারণ করে কিনা তা নোট করুন।
4. আপনার ডিরেক্টরিতে আইডেন্টিটি গ্রুপ বিদ্যমান। প্রতিটি ISE অথরাইজেশন নিয়মের জন্য Microsoft Entra ID, Okta বা Google Workspace-এ একটি সমতুল্য গ্রুপ থাকা প্রয়োজন, এবং প্রতিটি গ্রুপের জন্য একটি VLAN প্রয়োজন।
5. সাইটগুলি ক্লাউডে পৌঁছাতে পারে। প্রতিটি সাইটের ফায়ারওয়াল কন্ট্রোলার বা APs থেকে Purple-এর RADIUS সার্ভারে RADIUS ট্র্যাফিক অনুমতি দেয়।
6. ISE সমর্থিত থাকে। ৫ নং পর্যায় সমাপ্ত না হওয়া পর্যন্ত ISE লাইসেন্সপ্রাপ্ত, প্যাচ করা এবং দায়িত্বপ্রাপ্ত ব্যক্তির অধীনে রাখুন। এটি আপনার রোলব্যাক পথ।

একটি ডিজাইন সংক্রান্ত সিদ্ধান্তও এখানে নেয়া প্রয়োজন। PEAP-MSCHAPv2 একটি পাসওয়ার্ড হ্যাশ পরীক্ষা করে যা Microsoft Entra ID-এর মতো ক্লাউড ডিরেক্টরিগুলি RADIUS সার্ভারে প্রকাশ করে না। যদি ISE অন-প্রিমিস Active Directory-এর বিরুদ্ধে PEAP যাচাই করে, তবে ডিভাইসগুলিকে প্রথমে EAP-TLS-এ স্থানান্তর করুন, যখন ISE এখনও সেগুলিকে প্রমাণীকরণ করে। প্রতি ওয়েভে একটি জিনিস পরিবর্তন করুন: প্রথমে EAP পদ্ধতি, তারপর RADIUS সার্ভার।

{"tone":"warning","title":"যে ঝুঁকিটি জটিলতা তৈরি করে: সার্ভার সার্টিফিকেট ট্রাস্ট","text":"প্রতিটি ডিভাইস 802.1X চলাকালীন RADIUS সার্ভার সার্টিফিকেট পরীক্ষা করে। যে প্রোফাইলগুলি কেবল ISE EAP সার্টিফিকেট বা এর CA-কে ট্রাস্ট করে, সেগুলি আপনার MDM নতুন ট্রাস্ট পুশ না করা পর্যন্ত Purple প্রত্যাখ্যান করবে, তাই এটি ২ নং পর্যায়ে প্রয়োগ করুন, কাটওভারের রাতে নয়।"}

ক্রমানুসারে একটি ISE মাইগ্রেশনের পর্যায়গুলি কী কী?

পাঁচটি পর্যায়, প্রতিটির সাথে একজন দায়িত্বপ্রাপ্ত ব্যক্তি এবং একটি এক্সিট টেস্ট রয়েছে। নীচের সময়কালগুলি একটি ৪০-সাইটের প্রপার্টির উপযুক্ত; আপনার নিজের প্রয়োজন অনুসারে এগুলি পরিবর্তন করুন। যে কোনো একটি সাইটে কাটওভার সাধারণত একটি সাপ্তাহিক ছুটির দিনের কাজ। এর আগের সপ্তাহগুলিই এটিকে সফল করে তোলে।

{"kind":"timeline","direction":"lr","caption":"Cisco ISE থেকে Purple ক্লাউড RADIUS-এ স্থানান্তরিত হওয়া একটি ৪০-সাইট এস্টেটের জন্য পাঁচটি ফেজ। ফেজ ৫ শেষ না হওয়া পর্যন্ত ISE লাইভ থাকবে।","alt":"স্থানান্তরের পাঁচটি ফেজের একটি টাইমলাইন, ১ থেকে ২ সপ্তাহে আবিষ্কার থেকে শুরু করে ১০তম সপ্তাহ থেকে ISE ডিকমিশন পর্যন্ত।","nodes":[{"id":"p1","label":"ফেজ ১: আবিষ্কার এবং ডিজাইন","sub":"NADs, পলিসি সেট, সার্টিফিকেট এবং MAB ডিভাইসগুলোর ইনভেন্টরি তৈরি করুন","tone":"neutral","when":"সপ্তাহ ১-২"},{"id":"p2","label":"ফেজ ২: সমান্তরালভাবে তৈরি করুন","sub":"ক্লাউড RADIUS, IdP গ্রুপ, VLAN নিয়ম, সার্টিফিকেট বিশ্বাস","tone":"brand","when":"সপ্তাহ ৩"},{"id":"p3","label":"ফেজ ৩: একটি সাইটে পাইলট","sub":"সঠিক VLAN-এ প্রতিটি ডিভাইস ক্লাস অথেন্টিকেট করে","tone":"brand","when":"সপ্তাহ ৪-৫"},{"id":"p4","label":"ফেজ ৪: তরঙ্গে কাট ওভার","sub":"সাপ্তাহিক ছুটির দিনে পরিবর্তনের উইন্ডো, রোলব্যাকের জন্য ISE রাখা হয়েছে","tone":"brand","when":"সপ্তাহ ৬-৯"},{"id":"p5","label":"ফেজ ৫: ISE ডিকমিশন করুন","sub":"শূন্য ISE অথেন্টিকেশন, নোডগুলোর পাওয়ার বন্ধ","tone":"success","when":"সপ্তাহ ১০+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"ISE থেকে ক্লাউড RADIUS ফেজ পরিকল্পনা","asOf":"2026-06-10","columns":[{"key":"phase","label":"ফেজ"},{"key":"scope","label":"স্কোপ"},{"key":"owner","label":"মালিক"},{"key":"exit","label":"এক্সিট টেস্ট"}],"rows":[["১. আবিষ্কার এবং ডিজাইন","প্রতিটি SSID, NAD, পলিসি সেট, অথরাইজেশন প্রোফাইল, সার্টিফিকেট এবং MAB ডিভাইস","নেটওয়ার্ক আর্কিটেক্ট","একটি আইডেন্টিটি গ্রুপ এবং VLAN-এ প্রতিটি ISE নিয়মের সাক্ষরিত ম্যাপিং"],["২. সমান্তরালভাবে তৈরি করুন","ক্লাউড RADIUS, IdP সংযোগ, VLAN নিয়ম, xPSK কি, সার্ভার সার্টিফিকেট বিশ্বাস","আইডেন্টিটি অ্যান্ড অ্যাক্সেস লিড","ল্যাব SSID থেকে টেস্ট ডিভাইসগুলো Purple-এর বিরুদ্ধে অথেন্টিকেট করে"],["৩. একটি সাইটে পাইলট","একটি প্রতিনিধি সাইট, প্রতিটি ডিভাইস ক্লাস","সাইট লিডের সাথে IT ম্যানেজার","ISE বেসলাইনে বা তার উপরে পাঁচটি কর্মদিবস, প্রতিটি ক্লাসের জন্য সঠিক VLAN"],["৪. তরঙ্গে কাট ওভার","গ্রুপে সাইটগুলো, প্রতিটিতে একটি পরিবর্তনের উইন্ডো","নেটওয়ার্ক অপারেশনস","প্রতিটি তরঙ্গ কোনো রোলব্যাক ছাড়া ৪৮ ঘণ্টার জন্য বেসলাইন ধরে রাখে"],["৫. ISE ডিকমিশন করুন","ISE নোড, NAD এন্ট্রি, লাইসেন্স, অভ্যন্তরীণ CA","IT ডিরেক্টর","আপনার নির্ধারিত সময়ের জন্য শূন্য ISE অথেন্টিকেশন, প্রমাণ আর্কাইভ করা হয়েছে"]],"footnote":"একটি ৪০-সাইট এস্টেটের জন্য স্থায়িত্ব এবং থ্রেশহোল্ডগুলো হলো পরিকল্পনার ডিফল্ট। ফেজ ১-এর আগে আপনার ক্যাপচার করা ISE বেসলাইন থেকে আপনার নিজস্ব সেট করুন।","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

ISE মাইগ্রেশনের প্রতিটি ফেজে কী ঘটে?

ফেজ ১: আবিষ্কার এবং ডিজাইন

আপনি কিছু পরিবর্তন করার আগে ISE যা জানে তা এক্সপোর্ট করুন। প্রতিটি পলিসি সেট, এর শর্তাবলী এবং এটি যে অথরাইজেশন প্রোফাইল রিটার্ন করে তার তালিকা তৈরি করুন। অধিকাংশ এস্টেট দেখতে পায় যে বছরের পর বছর ধরে থাকা নিয়মগুলো কয়েকটি প্রকৃত ফলাফলে নেমে আসে: স্টাফ VLAN, কন্ট্রাক্টর VLAN, IoT VLAN, ডিনাই।

প্রত্যেকটি ফলাফলকে একটি আইডেন্টিটি গ্রুপ এবং একটি VLAN হিসাবে লিখুন। RADIUS-এর মাধ্যমে VLAN অ্যাসাইনমেন্ট RFC 3580-এ বর্ণিত টানেল অ্যাট্রিবিউট ব্যবহার করে। কিছু কন্ট্রোলার ভেন্ডর-নির্দিষ্ট অ্যাট্রিবিউট (VSAs)-ও পড়ে, যেমন রোল অ্যাট্রিবিউট HPE Aruba কন্ট্রোলার ব্যবহার করে। আপনার হার্ডওয়্যার কোনটি প্রত্যাশা করে তা নোট করুন।

তারপর সেইসব ডিভাইসগুলি খুঁজুন যা 802.1X করতে পারে না। ISE-এর এন্ডপয়েন্ট তালিকা দেখায় যে কোন MAC অ্যাড্রেসগুলি MAB দ্বারা অথেন্টিকেট করে। সাইট সরানোর আগে প্রতিটির জন্য একটি করে xPSK কী এবং একটি VLAN প্রয়োজন।

ফেজ 2: সমান্তরালভাবে Purple তৈরি করুন

Purple-কে আপনার আইডেন্টিটি প্রোভাইডারের সাথে কানেক্ট করুন এবং ফেজ 1 থেকে গ্রুপ-টু-VLAN নিয়মগুলি তৈরি করুন। আপনার ক্লায়েন্ট সার্টিফিকেটগুলি ইস্যুকারী CA আপলোড করুন যাতে EAP-TLS সেটির বিরুদ্ধে যাচাই করতে পারে। হেডলেস ডিভাইস গ্রুপগুলির জন্য xPSK কী ইস্যু করুন।

আপনার MDM-এর মাধ্যমে প্রতিটি পরিচালিত ডিভাইসে Purple-এর সার্ভার সার্টিফিকেটের জন্য ট্রাস্ট পুশ করুন। এটি বিল্ডের সবচেয়ে দীর্ঘতম সময় সাপেক্ষ কাজ, তাই এটি প্রথম দিনেই শুরু করুন। Purple-এর দিকে নির্দেশিত একটি ল্যাব SSID সেট আপ করুন এবং প্রতিটি ক্লাসের একটি ডিভাইস অথেন্টিকেট করুন।

ফেজ 3: একটি প্রতিনিধি সাইট পাইলট করুন

আপনার মালিকানাধীন প্রতিটি ডিভাইস ক্লাস সম্বলিত একটি সাইট বেছে নিন: Windows, macOS, iOS, Android, স্ক্যানার এবং যেকোনো অস্বাভাবিক জিনিস। আপনার ফ্ল্যাগশিপ সাইট এবং সবচেয়ে সহজ সাইটটি এড়িয়ে চলুন। আপনি ওয়েভগুলিতে যে পদক্ষেপগুলি ব্যবহার করবেন, সেই একই পদক্ষেপগুলি নিয়ে এটি কাট ওভার করুন।

পাঁচটি কর্মদিবসের জন্য এটি ধরে রাখুন। সেই সাইটের জন্য ISE বেসলাইনের সাথে Purple-এর সফলতার হার তুলনা করুন। প্রতিটি ডিভাইস ক্লাস সঠিক VLAN-এ পৌঁছাচ্ছে কিনা তা পরীক্ষা করে দেখুন। কোনো ওয়েভে নয়, এখানেই ব্যর্থ হওয়া যেকোনো বিষয় ঠিক করুন।

ফেজ 4: ওয়েভগুলিতে কাট ওভার করুন

অবশিষ্ট সাইটগুলিকে এমন ওয়েভগুলিতে গ্রুপভুক্ত করুন যা একটি টিম একটি একক চেঞ্জ উইন্ডোতে সাপোর্ট দিতে পারে। প্রতিটি ওয়েভের আগে গো বা নো-গো চেক চালান। প্রতিটি সাইটে একই পদক্ষেপ অনুসরণ করুন।

{"title":"ISE থেকে Purple ক্লাউড RADIUS-এ একটি সাইট কাট ওভার করুন","steps":[{"title":"বেসলাইন রেকর্ড করুন","body":"মাইগ্রেশন লগ-এ সাইটের প্রতি ঘণ্টার ISE অথেন্টিকেশন এবং প্রতি SSID-তে সফলতার হার নোট করুন।","check":"উইন্ডো খোলার আগেই বেসলাইন পরিসংখ্যান লগ করা হয়েছে।"},{"title":"সুরক্ষিত SSID-টিকে Purple-এর দিকে পয়েন্ট করুন","body":"ISE RADIUS সার্ভারগুলিকে Purple-এর সার্ভার এবং শেয়ার্ড সিক্রেট দিয়ে প্রতিস্থাপন করুন। রোলব্যাকের জন্য ISE এন্ট্রিগুলি লিখে রাখুন।","check":"ড্যাশবোর্ড দেখাচ্ছে যে এই SSID-এর জন্য Purple হলো RADIUS সার্ভার।","variants":[{"label":"Cisco Meraki","body":"Meraki ড্যাশবোর্ডে, SSID অ্যাক্সেস কন্ট্রোল সেটিংস এডিট করুন এবং RADIUS সার্ভার তালিকা আপডেট করুন।"},{"label":"HPE Aruba","body":"Aruba Central বা কন্ট্রোলারে, WLAN 802.1X প্রোফাইল দ্বারা ব্যবহৃত সার্ভার গ্রুপ আপডেট করুন।"},{"label":"Ruckus","body":"RUCKUS One বা SmartZone-এ, WLAN-এ অ্যাসাইন করা AAA সার্ভারটি আপডেট করুন।"},{"label":"Juniper Mist","body":"Mist ড্যাশবোর্ডে, WLAN এন্টারপ্রাইজ সিকিউরিটি সেটিংস এডিট করুন এবং RADIUS সার্ভারগুলি আপডেট করুন।"},{"label":"Ubiquiti UniFi","body":"UniFi Network-এ, এন্টারপ্রাইজ SSID দ্বারা ব্যবহৃত RADIUS প্রোফাইলটি আপডেট করুন।"}]},{"title":"প্রোব ডিভাইসগুলি পুনরায় কানেক্ট করুন","body":"xPSK-তে থাকা হেডলেস ডিভাইস সহ সাইটের প্রতিটি ক্লাসের একটি ডিভাইস পুনরায় কানেক্ট করুন।","check":"প্রতিটি প্রোব ডিভাইস তার প্রত্যাশিত VLAN-এ পৌঁছায়।"},{"title":"প্রথম ঘণ্টা পর্যবেক্ষণ করুন","body":"Purple-এর অথেন্টিকেশন লগ পড়ুন এবং কারণ অনুযায়ী ব্যর্থতাগুলি গ্রুপ করুন।","check":"সফলতার হার সাইট বেসলাইনের সমান বা তার ওপরে রয়েছে।"},{"title":"হোল্ড করুন বা রোল ব্যাক করুন","body":"যদি সম্মত সময়সীমার শেষে হার বেসলাইনের নিচে থাকে, তবে SSID-তে ISE সার্ভারগুলি পুনর্বাহাল করুন।","check":"সিদ্ধান্ত এবং কারণ মাইগ্রেশন লগে রয়েছে।"},{"title":"সাইটটি ক্লোজ করুন","body":"48 ঘণ্টা পর সাইটটিকে মাইগ্রেটেড হিসেবে চিহ্নিত করুন। ফেজ 5 না হওয়া পর্যন্ত ISE-তে এর NAD এন্ট্রি বজায় রাখুন যাতে রোলব্যাক এখনও কাজ করে।","check":"ISE এই সাইট থেকে কোনো নতুন অথেন্টিকেশন দেখাচ্ছে না।"}]}

ফেজ 5: ISE ডিকমিশন করুন

আপনি নির্ধারিত কোনো নির্দিষ্ট সময়ের জন্য (যেমন 30 দিন) ISE-তে শূন্য WiFi অথেন্টিকেশন দেখার পরেই কেবল ফেজ 5 শুরু করুন। আপনার অডিট রিটেনশন পলিসির জন্য প্রয়োজনীয় ISE অথেন্টিকেশন রিপোর্ট এক্সপোর্ট করুন। NAD এন্ট্রিগুলি সরিয়ে ফেলুন, তারপর নোডগুলির পাওয়ার বন্ধ করে দিন। আগে থেকে বাতিল না করে রিনিউয়ালের সময় লাইসেন্সগুলোর মেয়াদ শেষ হতে দিন।

ISE ইন্টারনাল CA সবার শেষে রিটারায় করুন। ISE চলে গেলে এটি দ্বারা ইস্যু করা যেকোনো সার্টিফিকেট কোনো লাইভ CA-এর সাথে চেইন করা বন্ধ করে দেয়।

কাটওভারের সময় ISE এবং Purple কীভাবে পাশাপাশি চলে?

এখানে দুটি প্যাটার্ন রয়েছে এবং সেগুলো ভিন্নভাবে কাজ করে।

প্যারালাল SSID। ISE SSID-এর পাশাপাশি Purple দ্বারা অথেন্টিকেট করা একটি দ্বিতীয় সুরক্ষিত SSID ব্রডকাস্ট করুন। আপনার MDM ডিভাইস গ্রুপগুলোকে ব্যাচ আকারে নতুন SSID প্রোফাইলে সরিয়ে নেয়। দুটি নেটওয়ার্ক একসাথেই চলে, তাই এটি সত্যিকারের পাশাপাশি চলা। মাইগ্রেশনের সময়কালজুড়ে আরও একটি অতিরিক্ত SSID থেকে এয়ারটাইমের খরচ হবে।

একই SSID, পরিবর্তিত সার্ভার। একটি SSID রাখুন এবং চেঞ্জ উইন্ডোর সময় এর RADIUS সার্ভার পরিবর্তন করুন। এটি বাতাসে পরিষ্কার থাকে, তবে এটি একটি সুইচ, কোনো ব্লেন্ড বা মিশ্রণ নয়।

বেশিরভাগ টিমের মিস করা পয়েন্টটি হলো: বেশিরভাগ কন্ট্রোলারে RADIUS ফেলওভার তখন সক্রিয় হয় যখন প্রাইমারি সার্ভার সাড়া দেওয়া বন্ধ করে, ডিভাইস রিজেক্ট করার সময় নয়। আপনি যদি Purple প্রথমে এবং ISE দ্বিতীয় স্থানে তালিকাভুক্ত করেন, তবে Purple থেকে রিজেক্ট হওয়া অনুরোধ ISE-তে ফলব্যাক করে না। সেফটি নেট হিসেবে সার্ভার অর্ডারের ওপর নির্ভর করবেন না। পাইলটের ওপর নির্ভর করুন।

বাস্তবের দৃশ্যপট: Cisco Meraki চালিত একটি ৪০টি হোটেলের গ্রুপ

একটি হোটেল গ্রুপ Cisco Meraki-তে ৪০টি হোটেলজুড়ে Staff WiFi পরিচালনা করে। ডেটা সেন্টারের দুটি ISE নোড অন-প্রেমিস Active Directory-এর বিরুদ্ধে PEAP দিয়ে স্টাফদের প্রামাণীকরণ করে। গ্রুপটি ডেটা সেন্টারটি বন্ধ করে দিতে চায়।

টিমটি এই পদক্ষেপটিকে দুটি ভাগে ভাগ করেছে। প্রথমত, এটি ISE সব কিছু প্রামাণীকরণ করার সময়ই MDM-এর মাধ্যমে EAP-TLS সার্টিফিকেট এবং Purple সার্ভার ট্রাস্ট পুশ করেছে। ISE নতুন সার্টিফিকেটগুলো যাচাই করেছে, তাই স্টাফদের জন্য কিছুই পরিবর্তিত হয়নি। দ্বিতীয়ত, এটি একটি মাঝারি আকারের হোটেলে পাইলট পরিচালনা করেছে, তারপর নয় বা দশটি হোটেলের চারটি উইকেন্ড ওয়েভে বাকিগুলো স্থানান্তরিত করেছে।

পরিমাপযোগ্য ফলাফলটি ছিল এক্সিট টেস্ট নিজেই। শেষ ওয়েভের পর ISE-এর স্টাফ SSID প্রামাণীকরণের সংখ্যা শূন্যে পৌঁছেছে। কোনো ওয়েভেই রোলব্যাকের প্রয়োজন হয়নি। পরের মাসের শেষে ISE নোডগুলোর পাওয়ার বন্ধ করে দেওয়া হয়েছিল।

ব্যর্থ হওয়া একটি ওয়েভ আপনি কীভাবে রোলব্যাক করবেন?

রোলব্যাক হলো দ্বিতীয় ধাপের বিপরীত: প্রভাবিত SSID-গুলোতে ISE সার্ভার এবং শেয়ার্ড সিক্রেট পুনরুদ্ধার করা। যেহেতু ISE লাইভ থাকে এবং এর NAD এন্ট্রিগুলো বহাল থাকে, তাই পরবর্তী সংযোগেই সাইটটি আগের অবস্থায় ফিরে আসে। কে সিদ্ধান্ত নেবে এবং সিদ্ধান্ত নেওয়ার আগে আপনি কতক্ষণ অপেক্ষা করবেন তা আগে থেকেই সম্মত হয়ে নিন।

{"title":"কাটওভার ওয়েভের জন্য যান, যাবেন না বা রোলব্যাক করুন","start":"q1","nodes":[{"id":"q1","question":"পাইলট বা আগের ওয়েভ কি ISE সফলতার হারের বেসলাইন ধরে রাখতে পেরেছে?","help":"একই সাইটগুলোর জন্য ISE বেসলাইনের সাথে প্রতি SSID-তে Purple-এর সফলতার হার তুলনা করুন।","options":[{"label":"হ্যাঁ","to":"q2"},{"label":"না","to":"o3"}]},{"id":"q2","question":"এই ওয়েভের প্রতিটি ডিভাইস কি Purple-এর সার্ভার সার্টিফিকেট ট্রাস্ট করে?","help":"এই সাইটগুলোর প্রতিটি ডিভাইস গ্রুপের জন্য MDM ডিপ্লয়মেন্ট স্ট্যাটাস পরীক্ষা করুন।","options":[{"label":"হ্যাঁ","to":"q3"},{"label":"না","to":"o2"}]},{"id":"q3","question":"ওয়েভের প্রতিটি সাইট কি Purple-এর RADIUS সার্ভারগুলোতে পৌঁছাতে পারছে?","help":"উইন্ডো খোলার আগে প্রতিটি সাইট ফায়ারওয়ালের মাধ্যমে পরীক্ষা করুন।","options":[{"label":"হ্যাঁ","to":"q4"},{"label":"না","to":"o2"}]},{"id":"q4","question":"ISE কি এখনো লাইভ আছে, এবং একজন নির্দিষ্ট রোলব্যাক ওনার কল-এ আছেন?","options":[{"label":"হ্যাঁ","to":"o1"},{"label":"না","to":"o2"}]},{"id":"o1","outcome":"যান","detail":"চেঞ্জ উইন্ডো খুলুন এবং সাইট কাটওভার ধাপগুলো অনুসরণ করুন।"},{"id":"o2","outcome":"যাবেন না: ঠিক করুন এবং পুনরায় সময় নির্ধারণ করুন","detail":"সমস্যা সমাধান করুন, তারপর পরবর্তী উইন্ডোর আগে এই চেকটি আবার চালান।"},{"id":"o3","outcome":"রোলব্যাক করুন এবং সমস্যা নির্ণয় করুন","detail":"প্রভাবিত SSID-গুলোতে ISE পুনরুদ্ধার করুন, ব্যর্থ হওয়া ডিভাইস ক্লাস বা নিয়মটি খুঁজুন এবং প্রথমে পাইলট সাইটে এটি ঠিক করুন।","link":"[ISE বিকল্পের তুলনা করুন](guide:cisco-ise-alternatives)"}]}

বাস্তবের দৃশ্যপট: HPE Aruba চালিত একটি ৩০০টি স্টোরের খুচরা বিক্রেতা

একজন খুচরা বিক্রেতা HPE Aruba-তে ৩০০টি স্টোর পরিচালনা করেন। ISE EAP-TLS সহ কর্মীদের ল্যাপটপ এবং MAB সহ হ্যান্ডহেল্ড স্টক স্ক্যানার প্রামাণীকরণ করে। পাইলট স্টোরটি সফল হয়েছিল, তাই টিম ৩০টি স্টোরের প্রথম ওয়েভ শুরু করে।

দ্বিতীয় ওয়েভে চারটি স্টোরে স্ক্যানার ব্যর্থ হয়েছে। সেই স্টোরগুলিতে একটি নতুন স্ক্যানার মডেল ছিল যার MAC অ্যাড্রেসগুলি ১ ফেজের ইনভেন্টরিতে পৌঁছায়নি। রোলব্যাক মালিক পরিবর্তন উইন্ডোর মধ্যে প্রভাবিত WLAN-গুলিতে ISE সার্ভার গ্রুপ পুনরুদ্ধার করেন এবং স্ক্যানিং আবার শুরু হয়।

টিম ISE-এর এন্ডপয়েন্ট তালিকা থেকে নতুন মডেলের অ্যাড্রেসগুলি বের করে এবং এটিকে xPSK কী ইস্যু করে। এটি পাইলট স্টোরে একটি স্ক্যানার পরীক্ষা করে, তারপর ওয়েভটি পুনরায় চালিত করে। সমস্ত ৩০০টি স্টোর Purple-এ সম্পন্ন হয়েছে। প্রতিটি MAB নিয়ম বাতিল করা হয়েছে এবং কার্ড টার্মিনালগুলি এখন তাদের নিজস্ব VLAN-এ রয়েছে। সেই সেগমেন্টেশনটি খুচরা বিক্রেতার PCI-DSS স্কোপিংয়ের জন্য প্রমাণ হয়ে উঠেছে।

কীভাবে প্রমাণ করবেন যে ISE থেকে মাইগ্রেশন শেষ হয়েছে?

"সমাপ্ত" হলো তথ্যের একটি সেট, কোনো অনুভুতি নয়। এগুলির সবকটি সত্য হলে আপনার কাজ শেষ:

• আপনি যে সময়সীমা নির্ধারণ করেছেন তার জন্য ISE শূন্য WiFi প্রামাণীকরণ রেকর্ড করেছে।
• প্রতিটি সাইটে Purple-এর সাফল্যের হার তার ISE বেসলাইনের সমান বা উপরে রয়েছে।
• প্রতিটি আইডেন্টিটি গ্রুপ তার নির্ধারিত VLAN-এ ল্যান্ড করে, যা ক্লাস প্রতি একটি প্রোব ডিভাইস দিয়ে পরীক্ষা করা হয়।
• কোনো ডিভাইসে এমন সার্টিফিকেট নেই যা ISE অভ্যন্তরীণ CA-এর সাথে সম্পর্কিত।
• আপনার ধরে রাখার সময়সীমার জন্য ISE রিপোর্টগুলি এক্সপোর্ট এবং সংরক্ষিত হয়েছে।
• ISE নোডগুলি বন্ধ করা হয়েছে এবং রিনিউয়াল বাতিল করা হয়েছে।

পুরো প্রোগ্রামের জন্য একটি লগ রাখুন। নীচের চেকলিস্টটি সেই লগ।

{"title":"ISE থেকে ক্লাউড RADIUS মাইগ্রেশন লগ","groups":[{"heading":"ফেজ ১ এর আগে","items":[{"text":"প্রতিটি SSID, NAD এবং শেয়ার্ড সিক্রেট তালিকাভুক্ত করা হয়েছে"},{"text":"প্রতিটি পলিসি সেট একটি আইডেন্টিটি গ্রুপ এবং VLAN-এ ম্যাপ করা হয়েছে"},{"text":"সাইট এবং SSID প্রতি দুই সপ্তাহের ISE বেসলাইন ক্যা্যাপচার করা হয়েছে","why":"এটি ছাড়া, কোনো ওয়েভ পাস বা ব্যর্থ হতে পারে না"},{"text":"PEAP ডিভাইস শনাক্ত করা হয়েছে এবং একটি EAP-TLS পরিকল্পনায় সম্মত হওয়া হয়েছে"},{"text":"ISE এন্ডপয়েন্ট তালিকা থেকে MAB ডিভাইসগুলি তালিকাভুক্ত করা হয়েছে"},{"text":"ওয়্যারড, TACACS+ এবং পোস্টার স্কোপের জন্য আলাদা মালিক নির্দিষ্ট করা হয়েছে"}]},{"heading":"বিল্ড এবং পাইলট","items":[{"text":"আইডেন্টিটি প্রোভাইডার সংযুক্ত এবং গ্রুপগুলি VLAN-এ ম্যাপ করা হয়েছে"},{"text":"EAP-TLS এর জন্য ক্লায়েন্ট সার্টিফিকেট CA বিশ্বস্ত"},{"text":"Purple সার্ভার সার্টিফিকেট ট্রাস্ট MDM-এর মাধ্যমে পুশ করা হয়েছে","why":"যে ঝুঁকিটি কাটওভারের রাতে বড় সমস্যা তৈরি করে"},{"text":"হেডলেস ডিভাইস গ্রুপের জন্য xPSK কী ইস্যু করা হয়েছে"},{"text":"সাইট ফায়ারওয়ালগুলি Purple-এ RADIUS ট্র্যাফিক অনুমতি দেয়"},{"text":"পাইলট সাইট পাঁচ কার্যদিবসের জন্য বেসলাইন বজায় রেখেছে"}]},{"heading":"ওয়েভস","items":[{"text":"প্রতিটি ওয়েভের জন্য গো বা নো-গো চেক রেকর্ড করা হয়েছে"},{"text":"প্রতিটি উইন্ডোর জন্য রোলব্যাক মালিকের নাম উল্লেখ করা হয়েছে"},{"text":"প্রতিটি ওয়েভ ৪৮ ঘণ্টার জন্য বেসলাইন বজায় রেখেছে"}]},{"heading":"সমাপ্ত","items":[{"text":"সম্মত সময়ের জন্য শূন্য ISE WiFi প্রামাণীকরণ"},{"text":"কোনো সার্টিফিকেট ISE অভ্যন্তরীণ CA-এর সাথে যুক্ত নয়"},{"text":"অডিট ধরে রাখার জন্য ISE রিপোর্ট এক্সপোর্ট করা হয়েছে"},{"text":"NAD এন্ট্রিগুলি সরানো হয়েছে এবং ISE নোড বন্ধ করা হয়েছে"},{"text":"ISE লাইসেন্স রিনিউয়াল বাতিল করা হয়েছে"}]}],"download":{"filename":"ise-migration-log.csv"}}

ফিল্ডে কোন ধরণের ফেইলিওর মোড দেখা যায়?

বেশিরভাগ ব্যর্থ তরঙ্গ কয়েকটি সুনির্দিষ্ট কারণ থেকে শুরু হয়।

• অবিশ্বস্ত সার্ভার শংসাপত্র। ডিভাইসগুলি প্রম্পট দেখায় বা নীরবে যুক্ত হতে অস্বীকার করে। আপনার MDM এর মাধ্যমে ফেজ 2 এ এটি সমাধান করুন, কর্মীদের কখনও কোনো প্রম্পট গ্রহণ করতে বলবেন না।
• একসাথে দুটি জিনিস পরিবর্তন করা। সার্ভার পরিবর্তনের সময় একই উইন্ডোতে PEAP থেকে EAP-TLS এ স্থানান্তরিত হলে কোন পরিবর্তনের কারণে কোনটি ব্যর্থ হয়েছে তা চিহ্নিত করা কঠিন হয়ে পড়ে।
• ভুলে যাওয়া হেডলেস ডিভাইস। MAB-তে থাকা স্ক্যানার, প্রিন্টার এবং সেন্সরগুলি প্রথমে ব্যর্থ হয়, যা খুচরা বিক্রেতা আবিষ্কার করেছিলেন। প্রতিটি তরঙ্গের ঠিক আগে ISE থেকে MAB তালিকাটি পুনরায় তৈরি করুন।
• শেয়ার্ড সিক্রেট অমিল। একটি কন্ট্রোলারে ভুল টাইপ করা একটি সিক্রেট পুরো সাইটটি প্রত্যাখ্যান করতে পারে। সিক্রেটগুলি একটি উৎস থেকে অনুলিপি করুন, হাত দিয়ে টাইপ করবেন না।
• ফায়ারওয়াল ইগ্রেস। স্থানীয় ব্রেকআউট বা পুরানো ফায়ারওয়াল নিয়ম সহ সাইটগুলি ক্লাউডে RADIUS ট্র্যাফিক ব্লক করে। এর উইন্ডোর আগে প্রতিটি সাইট পরীক্ষা করুন।
• VLAN অ্যাট্রিবিউট পার্থক্য। ISE অথরাইজেশন প্রোফাইলগুলি একটি VLAN নাম, একটি VLAN ID বা একটি ভেন্ডর নির্দিষ্ট রোল ফেরত দিতে পারে। পাইলট সাইটে প্রতিটি কন্ট্রোলার যা আশা করে তা মেলান।
• নীরব ডাউনস্ট্রিম গ্রাহক। যদি কোনো ফায়ারওয়াল pxGrid এর মাধ্যমে ISE থেকে পরিচয় শিখে থাকে, তবে কাটওভারের সময় সেই ফিড বন্ধ হয়ে যায়। আপনি যদি সেশন শেষ করতে Change of Authorisation (RFC 5176) এর ওপর নির্ভর করেন, তবে পাইলট চলাকালীন এটি পরীক্ষা করুন।
• ফেলওভারের ওপর নির্ভর করা। ISE-কে সেকেন্ডারি সার্ভার হিসাবে তালিকাভুক্ত করা প্রত্যাখ্যানগুলি ক্যাপচার করে না। কেবল একটি পরীক্ষিত রোলব্যাক তা করে।

যেখানে Purple মানানসই

Purple Access আপনার পূর্বের অ্যাক্সেস পয়েন্টগুলিতে তিনটি নেটওয়ার্ক পরিচালনা করে: ওপেন, সিকিউর এবং xPSK। একটি ISE মাইগ্রেশন সিকিউর নেটওয়ার্কে অবতরণ করে। Purple cloud RADIUS Microsoft Entra ID, Okta বা Google Workspace এর বিপরীতে EAP-TLS দিয়ে প্রমাণীকরণ করে। Passpoint, যা স্বয়ংক্রিয় এবং এনক্রিপ্ট করা যুক্ত হওয়ার জন্য Hotspot 2.0 স্ট্যান্ডার্ড, সাইট জুড়ে একই পরিচয় প্রসারিত করে। নেটওয়ার্কের প্রতিটি VLAN এ পরিচয় সেট হয়।

Purple হার্ডওয়্যার অগ্নোস্টিক। এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet এর সাথে কোনো নতুন হার্ডওয়্যার ছাড়াই কাজ করে। Purple বিশ্বের বৃহত্তম ক্লাউড RADIUS পরিচালনা করে। এটি ৯৯.৯৯৯% আপটাইমে চলা একটি প্ল্যাটফর্মে ৯৯.৯% RADIUS আপটাইম SLA বহন করে।

{"items":[{"value":"99.9%","label":"RADIUS আপটাইম SLA","note":"Purple এর চুক্তিবদ্ধ SLA"},{"value":"99.999%","label":"প্ল্যাটফর্ম আপটাইম","note":"Purple এর নিজস্ব ডেটা"},{"value":"80,000+","label":"লাইভ ভেন্যু","note":"Purple এর নিজস্ব ডেটা"},{"value":"90","label":"দেশ","note":"Purple এর নিজস্ব ডেটা"}]}

{"tone":"proof","title":"শাখা স্কেলে স্টাফ WiFi","text":"JPMorgan ৫,০০০ টি শাখা জুড়ে Purple এ স্টাফ WiFi পরিচালনা করে।"}

Purple ISO 27001, Cyber Essentials এবং B Corp শংসাপত্র ধারণ করে, এবং GDPR ও CCPA এর অধীনে কাজ করে। এই শংসাপত্রগুলি আপনার নিরাপত্তা দল দ্বারা পরিচালিত সরবরাহকারী মূল্যায়নকে সংক্ষিপ্ত করে। বিস্তৃত নিরাপত্তার চিত্রের জন্য, এন্টারপ্রাইজ WiFi নিরাপত্তা গাইড পড়ুন। আপনি যদি এখনও গন্তব্য বেছে নিতে থাকেন, তবে WiFi প্রমাণীকরণের জন্য Cisco ISE বিকল্পগুলি দেখুন।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

Cisco ISE থেকে ক্লাউড RADIUS-এ মাইগ্রেট করতে কত সময় লাগে?

কাটওভারের কাজ সাধারণত একটি সাপ্তাহিক ছুটির দিনের মধ্যেই শেষ হয়; প্রস্তুত নিতে বেশি সময় লাগে। ৪০ টি সাইটের একটি এস্টেটের জন্য, দুই সপ্তাহের ডিসকভারি, এক সপ্তাহের বিল্ড, দুই সপ্তাহের পাইলট এবং বেশ কয়েকটি উইকএন্ড ওয়েভ পরিকল্পনা করুন। সার্টিফিকেট হলো সবচেয়ে বড় পরিবর্তনশীল উপাদান। ডিভাইসগুলি যদি ইতিমধ্যেই আপনার নিজস্ব CA-এর সার্টিফিকেট সহ EAP-TLS ব্যবহার করে, তবে সময় কম লাগবে। যদি Active Directory-র বিরুদ্ধে PEAP সক্রিয় থাকে, তবে সেই ডিভাইসগুলিকে প্রথমে EAP-TLS-এ সরিয়ে নেওয়ার জন্য একটি পর্যায় যোগ করুন।

Cisco ISE থেকে স্থানান্তরিত হতে কি আমার নতুন অ্যাক্সেস পয়েন্টের প্রয়োজন আছে?

না। ক্লাউড RADIUS আপনার বর্তমান অ্যাক্সেস পয়েন্ট এবং কন্ট্রোলারগুলির সাথেই কাজ করে: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet। স্থানান্তরের জন্য প্রতিটি SSID-এ একটি কনফিগারেশন পরিবর্তন করতে হয়: নতুন RADIUS সার্ভার ঠিকানা, একটি নতুন শেয়ার্ড সিক্রেট এবং যেখানে প্রয়োজন সেখানে নতুন VLAN অ্যাট্রিবিউট। আপনার সুইচিং, VLAN এবং SSID-গুলি হুবহু আগের মতোই থাকবে।

আমরা যে ক্লায়েন্ট সার্টিফিকেটগুলি ইতিমধ্যেই ইস্যু করেছি সেগুলি কি রাখতে পারি?

হ্যাঁ, যদি সেগুলি আপনার নিজস্ব CA বা MDM ইস্যু করে থাকে। ক্লাউড RADIUS ইস্যুকারী CA-র সাথে EAP-TLS সার্টিফিকেট যাচাই করে, তাই সেই CA বিশ্বাসযোগ্য হলে সেগুলি কাজ করতে থাকবে। শুধুমাত্র ISE অভ্যন্তরীণ CA থেকে পাওয়া সার্টিফিকেটগুলির ক্ষেত্রে এটি প্রযোজ্য নয়। সেগুলি এমন একটি সিস্টেমের সাথে সংযুক্ত থাকে যা আপনি বন্ধ করতে যাচ্ছেন, তাই পর্যায় 5 শুরু হওয়ার আগেই আপনার MDM বা CA থেকে সেগুলি পুনরায় ইস্যু করুন।

ISE-তে MACAuthentication Bypass ব্যবহার করে এমন ডিভাইসগুলির কী হবে?

সেগুলি xPSK নেটওয়ার্কে স্থানান্তরিত হয়। MAB একটি MAC ঠিকানাকে ট্রাস্ট করে, যা সহজেই স্পুফ করা যায়। প্রতি ডিভাইস বা ডিভাইস গ্রুপে একটি করে কি (key) স্ক্যানার, প্রিন্টার এবং সেন্সরগুলিকে নিজস্ব ক্রিডেনশিয়াল দেয় এবং তাদের নিজস্ব VLAN-এ নিয়ে যায়। পর্যায় 1-এ ISE-এর অ্যান্ডপয়েন্ট তালিকা থেকে সেগুলি খুঁজুন। পর্যায় 2-এ কি ইস্যু করুন, তারপর পাইলট সাইটে প্রতিটি মডেলের একটি করে পরীক্ষা করুন।

ISE থেকে সরিয়ে নিলে কি আমাদের PCI DSS বা ISO 27001 প্রমাণের ওপর কোনো প্রভাব পড়বে?

এটি প্রমাণ কোথা থেকে আসছে তা পরিবর্তন করে, আপনার কাছে তা আছে কি না তা পরিবর্তন করে না। ডিকমিশন করার আগে আপনার ধরে রাখার সময়ের জন্য ISE অথেনটিকেশন রিপোর্ট এক্সপোর্ট করুন। কাটওভারের পর থেকে, Purple-এর অথেনটিকেশন লগ এবং VLAN অ্যাসাইনমেন্ট নেটওয়ার্ক সেগমেন্টেশন এবং অ্যাক্সেস কন্ট্রোলের জন্য প্রমাণ সরবরাহ করে। Purple-এর নিজস্ব ISO 27001 এবং Cyber Essentials শংসাপত্রও সরবরাহকারীর মূল্যায়নে সহায়তা করে যা আপনার অডিটররা দেখার আশা করবেন।

ক্লাউড RADIUS মূল্যের সাথে Cisco ISE-র তুলনা কীভাবে করা হয়?

লাইসেন্সের সারির চেয়ে মোট খরচের তুলনা করুন। ISE খরচের মধ্যে রয়েছে লাইসেন্স, এটি পরিচালনাকারী নোড বা ভার্চুয়াল মেশিন, সাপোর্ট চুক্তি এবং প্যাচিং ও আপগ্রেড করতে ইঞ্জিনিয়ারের ব্যয় করা সময়। ক্লাউড RADIUS হলো একটি সাবস্ক্রিপশন যেখানে আপনার চালানোর জন্য কোনো সার্ভার নেই। Purple আপনার এস্টেটের জন্য কোটেশন প্রদান করে, তাই আপনার সাইটের সংখ্যা, SSID এবং ডিভাইসের বিবরণ প্রদান করুন। ISE বিকল্প গাইড থেকে আরও কী কী তুলনা করতে হবে তা সেট আপ করে।

WiFi-এর সাথেই কি আমাদের ওয়্যার্ড 802.1X স্থানান্তরিত করা উচিত?

না। প্রথমে WiFi সরান এবং তারযুক্ত 802.1X-কে তার নিজের পাইলট সহ একটি আলাদা প্রজেক্ট হিসাবে বিবেচনা করুন। তারযুক্ত পোর্টগুলিতে প্রায়শই MAB ডিভাইস, ডেস্ক ফোন এবং পোস্টার রুলস থাকে যেগুলির জন্য নিজস্ব ইনভেন্টরি প্রয়োজন। একটি উইন্ডোতে উভয় পরিবর্তন করলে একসাথে ব্যর্থ হতে পারে এমন জিনিসের সংখ্যা দ্বিগুণ হয়ে যায়। এটি চাপের মুখে রোলব্যাক সিদ্ধান্ত নেওয়াও আরও কঠিন করে তোলে।

Aruba ClearPass থেকে মাইগ্রেট করা কি আলাদা?

পাঁচটি ফেজ একই রকম; এক্সপোর্ট আলাদা হয়। ClearPass পলিসি সেটগুলির পরিবর্তে সার্ভিস, এনফোর্সমেন্ট পলিসি এবং প্রোফাইল হিসাবে পলিসি স্টোর করে। সেগুলিকে আইডেন্টিটি গ্রুপ এবং VLAN-এ ম্যাপ করাই ফেজ 1-এর প্রধান কাজ। সার্টিফিকেট ট্রাস্ট ঝুঁকি এবং ফেলওভার আচরণ ঠিক একইভাবে প্রযোজ্য। ClearPass মাইগ্রেশন গাইড বিস্তারিতভাবে এক্সপোর্ট কভার করে।