কম্পিউটার টিউটোরিয়াল
 Computer >> কম্পিউটার টিউটোরিয়াল >  >> নেটওয়ার্কিং >> নেটওয়ার্ক নিরাপত্তা

EAP (Extensible Authentication Protocol) নেটওয়ার্ক সিকিউরিটিতে: পদ্ধতি, প্রকার ও সেরা অনুশীলন

EAP (Extensible Authentication Protocol): নেটওয়ার্ক সিকিউরিটির আধুনিক অথেনটিকেশন ফ্রেমওয়ার্ক

EAP (RFC 3748, RFC 5247) হলো একটি অথেনটিকেশন ফ্রেমওয়ার্ক, নিজে একটি অথেনটিকেশন মেথড নয়। এটি PPP, 802.1X (Wired/Wireless), RADIUS, Diameter, VPN (IKEv2, SSL VPN) এ প্লাগ-ইন হয় विविध অথেনটিকেশন মেথড (Password, Certificate, Token, SIM, Biometric) সাপোর্ট করার জন্য। নিচে EAP মেথডগুলো, তুলনা, ডিপ্লয়মেন্ট এবং সেরা অনুশীলন দেওয়া হলো।

প্রধান EAP মেথডস এবং তাদের বৈশিষ্ট্য

EAP-TLS vs PEAP vs EAP-TTLS: বিস্তারিত তুলনা

EAP মেথডFull Nameক্রেডেনশিয়াল টাইপসার্টিফিকেট প্রয়োজনMutual Authসুরক্ষা স্তরপ্রয়োগ ক্ষেত্র
EAP-TLSEAP-Transport Layer SecurityClient & Server Certificate (X.509)হ্যাঁ (দুই পাশে)হ্যাঁ (Strongest)সর্বোচ্চ (FIPS 140-3, CNSA Suite)এন্টারপ্রাইজ Wi-Fi (802.1X), VPN, Zero Trust — সেরা সিকিউরিটি
EAP-TTLSEAP-Tunneled TLSServer Cert + Inner Method (PAP, CHAP, MS-CHAPv2, EAP-GTC)সার্ভার পাশেহ্যাঁ (টানেলের ভিতরে)উচ্চলিগ্যাসি ক্লায়েন্ট সাপোর্ট, পাসওয়ার্ড-ভিত্তিক, Active Directory ইন্টিগ্রেশন
PEAP (PEAPv0/EAP-MSCHAPv2)Protected EAPServer Cert + Inner MS-CHAPv2 (Username/Password)সার্ভার পাশেহ্যাঁ (টানেলের ভিতরে)উচ্চ (কিন্তু MS-CHAPv2 দুর্বল)Windows Native (সবচেয়ে कॉमन), Enterprise Wi-Fi, VPN — Deploy সহজ
EAP-FASTFlexible Authentication via Secure TunnelingServer Cert (Optional) + PAC (Protected Access Credential) + Inner Methodঅপশনাল (PAC ব্যবহার করে)হ্যাঁউচ্চ (PAC প্রোভিশনিং সিকিউর হলে)Cisco Ecosystem, Fast Re-auth, Low CPU Client (IoT/Embedded)
EAP-SIM / EAP-AKA / EAP-AKA'SIM / USIM based (3GPP)SIM/USIM Card (IMSI, Ki/OPc)না (SIM-ভিত্তিক)হ্যাঁ (Network Authenticates User, User Authenticates Network)খুব উচ্চ (Cellular Grade)5G/4G/3G Mobile Core, Wi-Fi Offload (Hotspot 2.0 / Passpoint), Private LTE/5G
EAP-PWDEAP-Password (RFC 5931)Shared Password (SAE-like)নাহ্যাঁউচ্চ (Offline Dict Attack Resistant)Mesh Networks, IoT, WPA3-SAE Alternative
EAP-POTP / EAP-TOTPOne-Time Password / Time-based OTPOTP Token / Authenticator Appনাহ্যাঁউচ্চ (MFA Built-in)VPN, High-Security Admin Access
LEAP (Cisco)Lightweight EAPUsername/Password (MS-CHAPv1 based)নানা (One-way)খুব দুর্বল (Deprecated, Crackable)Legacy Cisco Only — ব্যবহার করবেন না

EAP Arkitecture: 802.1X / RADIUS / AAA Context


[Supplicant/Client] <--EAPOL (802.1X)--> [Authenticator (AP/Switch/Controller)] <--RADIUS (EAP over RADIUS)--> [Authentication Server (RADIUS: ISE, ClearPass, FreeRADIUS, NPS, Aruba CPPM)]
                                                                 |
                                                                 +---> [Identity Store: AD, LDAP, SQL, Token Server, Certificate Authority (PKI)]
  • Supplicant: ক্লায়েন্ট সফটওয়্যার (Windows Native, wpa_supplicant, Intel PROSet, Cisco AnyConnect, FortiClient, OpenConnect)।
  • Authenticator: NAS (Network Access Server) — AP, Switch, Controller, VPN Gateway। EAP প্যাকেট RADIUS-এ এনক্যাপসুলেট করে পাঠায় (EAP over RADIUS - RFC 3579)।
  • Authentication Server (AS): RADIUS সার্ভার (Cisco ISE, Aruba ClearPass, FreeRADIUS, Microsoft NPS, FortiAuthenticator, Radiator, PacketFence) — EAP টার্মিনেশন, ইনার মেথড প্রসেসিং, আইডেন্টিটি স্টোর কুয়েরি, Access-Accept/Reject/Challenge।

EAP ডিপ্লয়মেন্ট সেরা অনুশীলন (Best Practices)

  1. EAP-TLS ব্যবহার করুন সর্বোচ্চ সিকিউরিটির জন্য। PKI ডিপ্লয় করুন (Microsoft AD CS, EJBCA, Venafi, Smallstep, Let's Encrypt for Device Certs via ACME/EST/SCEP)। MDM (Intune, Jamf, Workspace ONE) দিয়ে সার্টিফিকেট প্রোভিশনিং অটোমেট করুন।
  2. PEAP-MSCHAPv2 ব্যবহার করলে:
    • Server Certificate Validation বাধ্যতামূলক করুন (Client-সাইড: "Validate Server Certificate", Trusted Root CA, Expected Server Name/CN)।
    • Anonymous Identity (Outer Identity) ব্যবহার করুন: anonymous@realm — রিয়েল ইউজারনেম প্রোটেক্ট করে।
    • Password Complexity + Expiry + MFA (Azure MFA / Duo / RADIUS MFA Extension) একসাথে ব্যবহার করুন।
  3. EAP-TTLS ব্যবহার করলে: Inner Method = EAP-MSCHAPv2 বা EAP-GTC (Token) — PAP/CHAP এড়িয়ে চলুন।
  4. Protected Management Frames (802.11w / PMF) সক্রিয় করুন Wi-Fi-এ (Deauth/Disassoc Protection)।
  5. RADIUS/TLS (RadSec - RFC 6614) ব্যবহার করুন Authenticator ↔ RADIUS Server লিংক সিকিউর করার জন্য (TCP/TLS, Mutual Auth)।
  6. Fast Re-auth / Session Resumption: EAP Session Resumption (RFC 5296), OKC (Opportunistic Key Caching), 802.11r (FT), PMK Caching — রোমিং লেটেন্সি কমাতে।
  7. Monitoring & Alerting: RADIUS Auth Failures (Rate, Pattern), Cert Expiry (30/60/90 Day Alerts), CRL/OCSP Failures, Anomalous NAS-IP/Calling-Station-ID।

সাধারণ সমস্যা ও সমাধান

  • "Certificate Validation Failed" / "Untrusted CA": Client-এ Root CA ইমপোর্ট করুন, Server Cert CN/SAN মেনে চলে কিনা চেক করুন, OCSP/CRL доступযোগ্য কিনা চেক করুন।
  • PEAP-MSCHAPv2 Auth Failure (Event ID 4625 / RADIUS Access-Reject): Password Expired, Account Locked, Bad Password, NTLM Disabled (Domain Functional Level), MS-CHAPv2 Disabled (Registry: LMCompatibilityLevel 5) — চেক করুন।
  • EAP-TLS Client Cert Not Found: User/Computer Certificate Store (MY) এ Cert নেই, EKU (Client Authentication) নেই, Private Key Non-Exportable/Missing, Cert Expired/Revoked।
  • Roaming Failure (Sticky Client): 802.11r/k/v/r সক্ষম করুন, PMK Caching / OKC সক্ষম করুন, AP گروهের মধ্যে RADIUS Session Cache শেয়ার করুন (ISE/ CPPM Clustering)।
  • IoT/Embedded Device EAP Support নেই: MAB (MAC Authentication Bypass) + Profiling (ISE/CPPM) + VLAN Assignment + DACL/SGT (Cisco TrustSec) / Aruba ClearPass Policy Manager Role Mapping।

EAP এবং RADIUS: পার্থক্য

  • EAP: অথেনটিকেশন ফ্রেমওয়ার্ক (প্যাকেট ফরম্যাট, মেথড নেগোশিয়েশন, কী ডেরাইভেশন - MSK/EMSK)। কনটেন্ট জানা থাকে না RADIUS-এ (EAP-Message Attribute-এ এনক্যাপসুলেটেড)।
  • RADIUS: AAA প্রোটোকল (Authentication, Authorization, Accounting) — ট্রান্সপোর্ট (UDP 1812/1813, TCP/TLS for RadSec)। EAP কে RADIUS Attribute (Type 79: EAP-Message, Type 80: Message-Authenticator) দিয়ে ক্যারি করে।
  • সামঞ্জস্য: EAP = "কীভাবে অথেনটিকেট করবেন" (মেথড), RADIUS = "কোথায় এবং কে অথেনটিকেশন করবেন" (সার্ভার, পলিসি, অথরাইজেশন এট্রিবিউট: VLAN, ACL, DACL, Session-Timeout)।
ত্রিভুজ
ত্রিভুজ

  1. নেটওয়ার্ক সিকিউরিটি কী? ধরন, গুরুত্ব এবং বাস্তব উদাহরণ

  2. নেটওয়ার্ক সিকিউরিটি আইডি/কী কী এবং কীভাবে খুঁজে বের করবেন

  3. নেটওয়ার্ক সিকিউরিটি কী? প্রকার, গুরুত্ব ও কাজ করার পদ্ধতি

  4. নেটওয়ার্ক সিকিউরিটিতে অথোরাইজেশন কী?
কপিরাইট © https://bd.wsxdn.com সমস্ত অধিকার সংরক্ষিত
ফ্যাক্টরEAP-TLSPEAP-MSCHAPv2EAP-TTLS
Client Certificateবাধ্যতামূলকনहींনहीं
Server Certificateবাধ্যতামূলকবাধ্যতামূলকবাধ্যতামূলক
Inner AuthTLS Client Cert VerifyMS-CHAPv2 (Password)Flexible (PAP, CHAP, MS-CHAPv2, EAP-GTC, EAP-MSCHAPv2)
Deployment ComplexityHigh (PKI, Cert Lifecycle, MDM/SCEP/EST)Low (Windows Native, No Client Cert)Medium (Server Cert Only, Inner Method Config)
Security StrengthHighest (Mutual Cert, No Password)Medium (MS-CHAPv2 Vulnerable to Dictionary/Offline Attack if TLS Broken)High (Depends on Inner Method; PAP=Cleartext in Tunnel — Avoid)
Performance (CPU/Handshake)Higher (Cert Verify)LowerMedium
Legacy Client SupportLimited (Needs Supplicant: Windows, macOS, iOS, Android, Linux wpa_supplicant, Intel PROSet)Excellent (Windows Native since XP, All Major OS)Good (wpa_supplicant, Funk, Odyssey, Meetinghouse)
Revocation CheckingCritical (OCSP/CRL Stapling, CRL DP)Server Cert OnlyServer Cert Only
Best ForHigh Security (Gov, Finance, Defense), Zero Trust, Certificate-Based Zero Touch DeploymentGeneral Enterprise Wi-Fi/VPN (Windows Heavy), Easy DeployMixed Environment (Legacy Apps, Non-Windows, Password + Token)