WiFi অ্যাক্সেস কন্ট্রোল ব্যাখ্যা করা হয়েছে: পদ্ধতি এবং নীতিসমূহ

যদি একটি দীর্ঘ WiFi পাসওয়ার্ডই যথেষ্ট হয়, তবে একটি ফাঁস হওয়া ফ্রেজ কেন এখনও সাইটের প্রতিটি ক্যাশ রেজিস্টার, ক্যামেরা এবং গেস্ট ল্যাপটপ অ্যাক্সেস করতে পারে? টিমগুলো এনক্রিপশনকেই পুরো কাজ বলে মনে করে। এনক্রিপশন বাতাসে ডেটা ট্রাফিক লুকিয়ে রাখে। কে সংযোগ করতে পারে, তারা কী অ্যাক্সেস করতে পারে বা আপনি কীভাবে সেই অনুমতি ফিরিয়ে নেবেন - তা এটি নির্ধারণ করে না। WiFi অ্যাক্সেস কন্ট্রোল হলো দ্বিতীয় কাজ, এবং শেয়ার করা পাসওয়ার্ডটি সাধারণত এর সবচেয়ে দুর্বল লিঙ্ক।

সূচিপত্র

• WiFi অ্যাক্সেস কন্ট্রোল প্রকৃতপক্ষে কী নির্ধারণ করে
• এক নজরে WiFi অ্যাক্সেস কন্ট্রোল পদ্ধতির তুলনা
  • রেটিংগুলিকে সাধারণ হিসাবে দেখুন, গ্যারান্টিযুক্ত নয়
• কীভাবে WPA2 এবং WPA3 এনক্রিপশন বেসলাইন নির্ধারণ করে
• কীভাবে 802.1X এবং EAP-TLS অ্যাক্সেসকে পরিচয়ের সাথে যুক্ত করে
  • প্রবেশদ্বারের চারটি ধাপ
  • যে ফাঁদ পুরো অফিসকে লক করে দেয়
• Captive Portal, ডিভাইস-ভিত্তিক কী এবং Passpoint-এর তুলনা
  • একটি কী, একটি ডিভাইস
  • কেন MAC অ্যাড্রেস নীতি সুরক্ষিত করতে পারবে না
• নীতি এবং সেগমেন্টেশনের জন্য আইডেন্টিটি-চালিত VLAN
  • রিস্টব্যান্ড বিশ্বাস করার আগে তিনটি পরীক্ষা
• সেগমেন্টেশন প্রকৃতপক্ষে কাজ করছে কিনা তা পরিমাপ করা
  • একটি লাইফসাইকেল যা আপনি পরিচালনা করতে পারেন
• আপনার WiFi অ্যাক্সেস কন্ট্রোল সেটআপ নির্বাচন করা

WiFi অ্যাক্সেস নিয়ন্ত্রণ প্রকৃতপক্ষে কী সিদ্ধান্ত নেয়

কেউ যখন আপনার WiFi-এ যোগ দেয়, তখন কী পরীক্ষা করা হয় এবং কার দ্বারা পরীক্ষা করা হয়? অনেকে কেবল একটি পাসওয়ার্ড বক্সের কথা ভাবেন। তবে একটি ভবনের ছবি এটিকে আরও পরিষ্কার করে।

এনক্রিপশন হলো লক করা করিডোর। এটি অলিন্দে দাঁড়িয়ে থাকা যে কারো কাছ থেকে কথোপকথন গোপন রাখে। অ্যাক্সেস কন্ট্রোল হলো দরজার নিয়ম নীতি। এটি ঠিক করে কে চাবি পাবে, তারা কোন তলায় প্রবেশ করতে পারবে এবং কখন সেই চাবি কাজ করা বন্ধ করবে। একটি জিমও QR এবং PIN জিম এন্ট্রি বিকল্পগুলির মাধ্যমে একই ধরনের বিভাজন করে: লকটি কিন্তু সেই নিয়ম নয় যা বলে কোন সদস্য ভেতরে প্রবেশ করতে পারেন এবং কতক্ষণের জন্য।

প্রতিটি নেটওয়ার্ক তিনটি সিদ্ধান্ত নেয়।

অথেন্টিকেশন জিজ্ঞাসা করে যে কে বা কী সংযোগ করতে পারে। একজন ব্যক্তি, একটি ল্যাপটপ, একটি পেমেন্ট টার্মিনাল বা একটি ক্যামেরা - এগুলো যে আসলেই এই নেটওয়ার্কের তা প্রমাণ করতে হবে।

অথরাইজেশন জিজ্ঞাসা করে যে সেই সংযোগটি কোথায় পৌঁছাতে পারে। স্টাফ অ্যাপ, কেবল ইন্টারনেট এবং ক্যামেরা সাবনেট আলাদা দরজা।

রিভোকেশন জানতে চায় যে অনুমতি কতক্ষণ স্থায়ী হয়। সেশন লিমিট, মেয়ার্সোত্তীর্ণ লগইন এবং একটি কী যা আপনি কেবল একটি ডিভাইসের জন্য ব্লক করতে পারেন - এগুলো সবই এখানে রয়েছে।

একটি শেয়ার করা পাসফ্রেজ কেবল প্রথম প্রশ্নের উত্তর দেয়, এবং এটি সবার জন্য একই সাথে উত্তর দেয়।

একই ভবনে থাকা অতিথি, কর্মী, পেমেন্ট টার্মিনাল, ক্যামেরা, রুমের ডিভাইস এবং ঠিকাদারদের জন্য ভিন্ন উত্তর প্রয়োজন। যে কেউ ফ্রেজটি জানে সে-ই "অনুমোদিত।" আপনি ক্যাশ রেজিস্টারকে অন্য তলায় রাখতে পারবেন না এবং পুরো সাইটের পাসওয়ার্ড পরিবর্তন না করে আপনি একজন ঠিকাদারকে বাদ দিতে পারবেন না। নীচের পদ্ধতিগুলি নেটওয়ার্ক নামের স্তূপ থেকে নয়, বরং পরিচয় থেকে শুরু হয়।

WiFi অ্যাক্সেস নিয়ন্ত্রণ পদ্ধতির একনজরে তুলনা

ছোট সাইটের জন্য WPA3-Personal, এন্টারপ্রাইজের জন্য সার্টিফিকেটসহ 802.1X, IoT এবং মাল্টি-টেন্যান্ট সাইটের জন্য পার-ডিভাইস কি, গেস্ট অ্যাক্সেসের জন্য Captive Portal, এবং রোমিং ব্যবহারকারীদের জন্য Passpoint।

পদ্ধতি	এটি কী পরীক্ষা করে	সাধারণ সিকিউরিটি লেভেল	সবচেয়ে উপযুক্ত	কীভাবে অ্যাক্সেস বাতিল করা হয়
WPA2-Personal	শেয়ার করা পাসফ্রেজ	মাঝারি	বাড়ি এবং ছোট অফিস	সবার জন্য পাসফ্রেজ পরিবর্তন করুন
WPA3-Personal	SAE এক্সচেঞ্জের মাধ্যমে পাসফ্রেজ	পাসওয়ার্ড অনুমানের বিরুদ্ধে শক্তিশালী	আধুনিক বাড়ি এবং ছোট অফিস	সবার জন্য পাসফ্রেজ পরিবর্তন করুন
802.1X সহ WPA2/WPA3-Enterprise	RADIUS এর মাধ্যমে ব্যবহারকারী বা ডিভাইস সার্টিফিকেট বা ক্রেডেনশিয়াল	উচ্চ	এন্টারপ্রাইজ এবং ক্যাম্পাস	একটি আইডেন্টিটি বা সার্টিফিকেট বাতিল করুন
xPSK বা ডিভাইস-ভিত্তিক কী	ডিভাইস, ব্যবহারকারী বা টেন্যান্ট প্রতি অনন্য কী	IoT এবং শেয়ার করা সাইটের জন্য উচ্চ	হোটেল, আবাসিক, কনসেশন এবং IoT ফ্লিট	অন্যদের প্রভাবিত না করে একটি কী বাতিল করুন
Captive portal	সম্মতিসহ SSO, সোশ্যাল লগইন বা SMS ওয়ান-টাইম পাসকোডের মাধ্যমে সাইন-ইন	মাঝারি; ব্যবহারকারীদের সনাক্ত করে কিন্তু প্রতিটি লিঙ্ক সুরক্ষিত করে না	গেস্ট এবং BYOD অনবোর্ডিং	সেশন বা লগইনের মেয়াদ শেষ করুন
Passpoint এবং OpenRoaming	রোমিং আইডেন্টিটি ক্রেডেনশিয়াল	উচ্চ, কোনো পোর্টালের প্রয়োজন নেই	ভেন্যু এবং রোমিং ব্যবহারকারী	আইডেন্টিটি প্রোভাইডারে ক্রেডেনশিয়াল বাতিল করুন

রেটিংগুলোকে সাধারণ হিসেবে বিবেচনা করুন, গ্যারান্টিযুক্ত হিসেবে নয়

এই স্তরগুলো একটি সতর্কতার সাথে করা ডিপ্লয়মেন্ট বর্ণনা করে, প্রতিটি প্রান্তিক ক্ষেত্র নয়। দুর্বল EAP মেথড চালু রাখা এবং কোনো রিভোকেশন প্রসেস না থাকা একটি অগোছালো এন্টারপ্রাইজ সেটআপ, হোটেলের কোনো ফ্লোরে চলা একটি ভালো পার-ডিভাইস কি সিস্টেমের চেয়েও দুর্বল হতে পারে। বাতাসের এয়ার সাইফারটি এমন কোনো নিয়ন্ত্রণ নয় যা আপনাকে রাত ২টায় রক্ষা করবে।

এনক্রিপশনের ধরনের চেয়ে সাধারণত রিভোকেশন স্পিডই পছন্দ নির্ধারণ করে। যদি একটি ফোন হারানোর অর্থ হয় পুরো অফিসের জন্য একটি পাসফ্রেজ পুনরায় প্রিন্ট করা, তবে সেই পদ্ধতিটি কোনো শেয়ার্ড বিল্ডিংয়ের জন্য উপযুক্ত নয়। শেষে একটি ডিজাইন বেছে নেওয়ার সময় পরিস্থিতির সাথে সারিটি মেলান।

কীভাবে WPA2 এবং WPA3 এনক্রিপশনের বেসলাইন নির্ধারণ করে

একটি WiFi পাসওয়ার্ড রেডিও লিঙ্ককে সুরক্ষিত করতে পারে, তবে এটি কারা প্রবেশ করছে তা নিয়ন্ত্রণ করার একটি দুর্বল উপায় হতে পারে। WEP এর সূচনা 1997 সালে। এর ডিজাইনের দুর্বলতার কারণে 2003 সালে WPA আসে, এর পরে 2004 সালে WPA2 চালু হয়, যা IEEE 802.11i এর সাথে সামঞ্জস্যপূর্ণ এবং WEP-এর দুর্বল পদ্ধতির পরিবর্তে AES ব্যবহার করে, যেমনটি ডিপার্টমেন্ট অব ভেটেরান্স অ্যাফেয়ার্স টেকনোলজি রেফারেন্স রেকর্ড করে।

WPA2 এবং WPA3 এনক্রিপশনের বেসলাইন নির্ধারণ করে, তবে পাসওয়ার্ডটি এখনও গুরুত্বপূর্ণ। WPA3-Personal ব্যবহার করে SAE, যা অফলাইন পাসওয়ার্ড অনুমান করার চেষ্টা প্রতিরোধ করে। WPA3 Enterprise সংবেদনশীল পরিবেশের জন্য একটি শক্তিশালী নিরাপত্তা বিকল্পও প্রদান করে।

Transitional mode WPA2 এবং WPA3 ডিভাইসগুলোকে একই নেটওয়ার্ক ব্যবহার করতে দেয়। কোনো স্থানে মিশ্র ডিভাইস থাকলে এই ব্রিজটি সাহায্য করে, তবে এটি WPA2 ডিভাইসগুলোকে দুর্বল অপশনটি ব্যবহারে রেখে দেয়। একটি নেটওয়ার্কের নতুন লেবেল এমন কোনো পুরানো ক্লায়েন্টকে সুরক্ষা দেয় না যা এখনও WPA2 দিয়ে কানেক্ট করে।

মোড পরিবর্তন করার আগে প্রতিটি সাইট পরীক্ষা করুন:

• সিকিউরিটি মোড: প্রতিটি SSID WPA2 নাকি WPA3 ব্যবহার করে এবং এটি পার্সোনাল নাকি এন্টারপ্রাইজ তা নিশ্চিত করুন।
• লেগ্যাসি নেটওয়ার্ক: পোর্টাল ছাড়া WEP এবং উন্মুক্ত নেটওয়ার্কগুলো আর ব্যবহার করা হচ্ছে না কিনা তা পরীক্ষা করুন।
• ক্লায়েন্ট প্রস্তুতকারক: ফোন, ক্যাশ রেজিস্টার এবং ক্যামেরাগুলো WPA3 বাধ্য করার আগে সেগুলো এটি সমর্থন করে কিনা তা নিশ্চিত করুন।

এঙ্কিপশন এয়ারের মাধ্যমে ডেটা আদান-প্রদানকে সুরক্ষিত রাখে। অ্যাক্সেস কন্ট্রোল ঠিক করে যে কোন ব্যক্তি বা ডিভাইস সংযোগ করার অনুমতি পাবে। একটি শেয়ার করা পাসওয়ার্ড এই পার্থক্যটিকে অস্পষ্ট করে দেয়: এটি পরিবর্তন করলে যারা এটি জানেন তাদের সকলেই প্রভাবিত হতে পারে, তবে শুধুমাত্র একটি শক্তিশালী সাইফার প্রতিটি ব্যবহারকারীকে সনাক্ত করতে পারে না।

কীভাবে 802.1X এবং EAP-TLS আইডেন্টিটির সাথে অ্যাক্সেস সংযুক্ত করে

একটি অফিস ব্যাজের কথা চিন্তা করুন। অ্যাক্সেস পয়েন্ট হলো দরজা। RADIUS সার্ভার হলো সিকিউরিটি ডেস্ক। ডিরেক্টরি, বা সার্টিফিকেট অথরিটি হলো কর্মীদের তালিকা।

প্রবেশদ্বারের চারটি ধাপ

1. ডিভাইসটি যুক্ত হয় এবং একটি পরিচয় প্রদান করে, সাধারণত একটি সার্টিফিকেট বা ব্যবহারকারীর নাম।
2. অ্যাক্সেস পয়েন্ট সিদ্ধান্ত নেয় না। এটি অনুরোধটি RADIUS-এ ফরোয়ার্ড করে।
3. সার্ভার ডিরেক্টরি বা সার্টিফিকেট অথরিটির সাথে সেই শংসাপত্রটি যাচাই করে।
4. RADIUS Accept বা Reject ফেরত পাঠায়, পাশাপাশি অ্যাট্রিবিউট দেয় যা সেশনকে আকার দেয়, যেমন একটি VLAN বা একটি ভূমিকা।

EAP-TLS হলো এমন একটি পদ্ধতি যা ব্যাজ কপি করা কঠিন করে তোলে। NIST's EAP গাইডেন্স TLS-কে টানেল-ভিত্তিক EAP-এর জন্য প্রতিরক্ষামূলক টানেল হিসেবে গণ্য করে এবং উল্লেখ করে যে EAP-TLS পারস্পরিক অথেনটিকেশনের জন্য পিয়ার সার্টিফিকেট প্রয়োজন। ক্লায়েন্ট প্রমাণ করে যে এটির কাছে একটি বৈধ সার্টিফিকেট রয়েছে এবং ক্লায়েন্ট অথেনটিকেশন সার্ভারও পরীক্ষা করে। একটি পাসওয়ার্ড পদ্ধতি শুধুমাত্র ব্যবহারকারীকে একটি গোপন তথ্য জানতে বলে। আপনার MDM দ্বারা একটি সার্টিফিকেট ইস্যু করা যেতে পারে, স্বল্প মেয়াদ দেওয়া যেতে পারে, নবায়ন করা যেতে পারে এবং একটি হারানো ল্যাপটপের জন্য বাতিল করা যেতে পারে। সেই সার্টিফিকেটটিকে একটি ডিরেক্টরি গ্রুপের সাথে বাইন্ড করুন যাতে RADIUS ম্যাচিং পলিসি ফেরত দিতে পারে। বাকি সবাই অনলাইন থাকে।

যেখানে ক্লায়েন্টরা অনুমতি দেয়, সেখানে PEAP-MSCHAPv2, CHAP, এবং PAP বন্ধ করুন। বর্তমান এন্টারপ্রাইজ WLAN নির্দেশিকা AES-256-GCM এবং আধুনিক এলিপটিক-কার্ভ বা পর্যাপ্ত বড় RSA প্যারামিটারসহ EAP-TLS ব্যবহারের দিকে নির্দেশ করে। পুরোনো পদ্ধতিটি "শুধু যদি লাগে" হিসেবে রেখে দেওয়ার আগে EAP-TLS এবং PEAP-এর পাশাপাশি তুলনাটি পড়া বেশ মূল্যবান।

যে ফাঁদটি পুরো অফিস লক করে দেয়

সাধারণ ব্যর্থতার কারণ হলো একটি ট্রাস্ট চেইন যা কখনো ডিভাইসগুলোতে পৌঁছায়নি। প্রতিটি লগইন একবারে ব্যর্থ হয় এবং হেল্পডেস্ক "সার্টিফিকেট ট্রাস্টেড নয়" শোনার বদলে শোনে "WiFi কাজ করছে না।" সার্ট ইস্যু করা একই MDM-এর মাধ্যমে চেইনটি পুশ করুন এবং পাসওয়ার্ড বাতিল করার আগে একটি নতুন ল্যাপটপ পরীক্ষা করুন।

রোলআউটের আগেই বিভ্রাটের পথ নির্ধারণ করুন। যদি RADIUS বা সার্টিফিকেট অথরিটি অ্যাক্সেস করা না যায়, তবে কি বিদ্যমান সেশনগুলো চালু থাকবে, নতুন ডিভাইসগুলো কি একটি সীমিত অনবোর্ডিং নেটওয়ার্কে পৌঁছাবে, এবং ক্যাশ করা ক্রেডেনশিয়ালগুলো কতক্ষণ বৈধ থাকবে? প্রতিটি পথ পরীক্ষা করুন। কোনো পরিকল্পনা ছাড়া যে ব্যাজ সিস্টেম বন্ধ হয়ে যায়, তা নেটওয়ার্কের প্রথম সমস্যাতেই বিল্ডিং খালি করে দেবে।

এই আদান-প্রদানের একটি সংক্ষিপ্ত বিবরণ ডেস্ক-এবং-ডোর পিকচারটিকে আরও স্পষ্ট করে তোলে:

Captive Portals, ডিভাইস-ভিত্তিক কী এবং Passpoint-এর তুলনা

হোটেল বা ক্যাফের কোনো ভিজিটর সার্টিফিকেট ইনস্টল করবেন না। একটি Captive Portal তাদের সোশ্যাল লগইন, SSO, বা একটি SMS ওয়ান-টাইম পাসকোডের মাধ্যমে সাইন ইন করতে দেয় এবং এটি GDPR ও CCPA-এর মতো গোপনীয়তা নিয়মের জন্য সম্মতি রেকর্ড করতে পারে। আপনি জানতে পারবেন কে সাইন ইন করেছেন। আপনি সেই ফোনটিকে শক্তিশালী পার-লিঙ্ক কী প্রদান করবেন না। উন্মুক্ত নেটওয়ার্কের ক্ষেত্রেও একটি ছোট সেশন এবং একটি VLAN প্রয়োজন যা ক্যাশ রেজিস্টার বা ক্যামেরা দেখতে পারে না। ভিজিট শেষ হলে, লগইনের মেয়াদ উত্তীর্ণ করুন।

একটি কী, একটি ডিভাইস

প্রতি-ডিভাইস কী (xPSK, এবং ভেন্ডর নাম iPSK, DPSK, MPSK, বা PPSK) প্রতিটি ডিভাইস, ব্যবহারকারী বা টেন্যান্টকে তার নিজস্ব সিক্রেট প্রদান করে। রুমের TV, থার্মোস্টেট, টিল, টেন্যান্ট রাউটার এবং ক্যামেরাগুলো এই প্যাটার্নের সাথে মানানসই কারণ কেউই এতে প্রতি সপ্তাহে পাসওয়ার্ড টাইপ করতে যাবে না। একটি কী বাতিল করলেও অন্যগুলো কাজ করতে থাকে। সাপোর্ট করে এমন এক্সেস পয়েন্টগুলোতে, RADIUS Change of Authorization ডিভাইসটির রোম করার জন্য অপেক্ষা না করেই লাইভ সেশনটি শেষ করতে পারে। "আমরা আজ রাতে WiFi পরিবর্তন করব" এবং "ওই ক্যামেরাটি এখন নেটওয়ার্কের বাইরে" এর মধ্যে এটাই হলো পার্থক্য।

যাদের কাছে ইতিমধ্যেই একটি রোমিং আইডেন্টিটি রয়েছে, Passpoint এবং OpenRoaming তাদের জন্য পোর্টালটিকে স্কিপ করে। ফোনটি আইডেন্টিটি প্রোভাইডারের ক্রেডেনশিয়াল ব্যবহার করে প্রামাণীকরণ করে, যা বিমানবন্দর, ক্যাম্পাস এবং বড় ভেন্যুগুলোর জন্য উপযোগী যেখানে একই ব্যক্তি একাধিক সাইটে উপস্থিত থাকেন। এখানে ব্যর্থতার মোডটি হলো বিশ্বাস: যদি আইডেন্টিটি প্রোভাইডার বা রোমিং সম্পর্কটি বন্ধ থাকে, তবে বিকল্প হিসেবে ব্যবহারের জন্য কোনো লোকাল পাসওয়ার্ড থাকে না। পোর্টালটি অবসর দেওয়ার আগে এই আউটেজ আচরণের বিষয়টি প্রকাশ করুন। Hotspot 2.0 হলো ডিভাইস সেটিংসে দেখা ক্লায়েন্ট-সাইডের নাম।

কেন MAC অ্যাড্রেস নীতি সুরক্ষিত রাখতে পারবে না

র্যান্ডমাইজড MAC ঠিকানা হার্ডওয়্যার তালিকাগুলোকে নির্ভরযোগ্য করে তোলে। Wireless Broadband Alliance এর অনুসন্ধানের বিষয়ে Help Net Security'র প্রতিবেদন উল্লেখ করে যে র্যান্ডমাইজড MAC ঠিকানা নেটওয়ার্ক পরিচালনা এবং থ্রেট ডিটেকশনকে জটিল করে তোলে, যেখানে টিমগুলোর এখনও গেস্ট, ম্যানেজড এন্ডপয়েন্ট এবং অপারেশনাল ডিভাইসগুলোকে আলাদা করার প্রয়োজন হয়। সেশনগুলোর মধ্যে ঠিকানা পরিবর্তিত হতে পারে, তাই গতকালের MAC-এর ওপর ভিত্তি করে তৈরি অ্যালাউ-লিঙ্ক আজকের ফোনটিকে ট্র্যাক করতে মিস করে। স্থায়ী আইডেন্টিটিকে অবশ্যই একটি সার্টিফিকেট, ফেডারেটেড ক্রেডেনশিয়াল, ডিভাইস-ম্যানেজমেন্ট পোস্টার বা প্রতি-ডিভাইস কী-এর ওপর ভিত্তি করে তৈরি করতে হবে।

একই চারটি পরীক্ষার মাধ্যমে তিনটি বিকল্প মূল্যায়ন করুন: আপনি কত দ্রুত বাতিল করতে পারেন, পদ্ধতিটি কতটা উন্মুক্ত করে, এটি রোম করে কিনা এবং লগটি কোনো ব্যক্তির নাম নির্দেশ করে নাকি কেবল একটি রেডিও ঠিকানা দেখায়। পলিসি যখন ক্রেনডেনশিয়ালের ওপর নির্ভর করে তখন গোপনীয়তা এবং নিয়ন্ত্রণ একসাথে থাকে। পলিসি যখন MAC-এর ওপর নির্ভর করে তখন তারা একে অপরের বিরুদ্ধে অবস্থান নেয়।

নীতিমালা এবং সেগমেন্টেশনের জন্য আইডেন্টিটি-চালিত VLANs

একটি প্রবেশদ্বার, কিন্তু অনেক রিস্টব্যান্ড। একজন অতিথি চেক-ইন করার পর, ব্যান্ডটি সুইমিং পুলের দরজা খোলে, প্ল্যান্ট রুমের নয়। 802.1X বা অন্য কোনো RADIUS অ্যাথেন্টিকেশন সফল হওয়ার পর, অ্যাক্সেস পয়েন্টটি ক্লায়েন্টকে SSID-এর ডিফল্ট VLAN-এর বদলে Access-Accept-এ নির্দিষ্ট করা VLAN-এ স্থানান্তরিত করতে পারে।

Fortinet এর RADIUS VLAN ডকুমেন্টেশন মানসম্পন্ন অ্যাট্রিবিউটগুলি বর্ণনা করে যা আপনি কনফিগার করবেন: Tunnel-Type VLAN-এ সেট করা, Tunnel-Medium-Type 802-এ সেট করা, এবং Tunnel-Private-Group-ID VLAN আইডেন্টিফায়ার বহন করে। যখন সেই অ্যাট্রিবিউটগুলি ফিরে আসে, তখন RADIUS-অ্যাসাইন করা VLAN WLAN-এর লোকাল VLAN-এর চেয়ে অগ্রাধিকার পায়। ব্যক্তির গ্রুপ পরিবর্তন করুন, এবং পরবর্তী প্রমাণীকরণ তাদের অন্য কোথাও নিয়ে যাবে। পরিচয় প্রত্যাহার করুন, এবং পরবর্তী অ্যাক্সেস বন্ধ হয়ে যাবে। স্টাফ, অতিথি, পেমেন্ট সিস্টেম, ক্যামেরা, বাসিন্দা এবং IoT আলাদা থাকলেও আপনি একটি ছোট SSID সেট বজায় রাখতে পারেন। WiFi নেটওয়ার্ক ডিজাইন-এর একটি ব্যবহারিক রূপ আপনাকে সিদ্ধান্ত নিতে সাহায্য করে যে সেই সেটটিতে কত কম সংখ্যক SSID থাকা উচিত।

আইডেন্টিটি গ্রুপ	আইডেন্টিটি সোর্স	উদাহরণ VLAN	পলিসি
গেস্ট	পোর্টাল সাইন-ইন বা সম্মতি	10	শুধু ইন্টারনেট, কোনো অভ্যন্তরীণ অ্যাক্সেস নেই
কর্মীবৃন্দ	MDM এর মাধ্যমে ডিভাইস সার্টিফিকেট	20	অভ্যন্তরীণ অ্যাপ্লিকেশন এবং ফাইল শেয়ার
রুম বা IoT ডিভাইস	ডিভাইস-ভিত্তিক কী	40	নিজের সাবনেট, শুধুমাত্র ভেন্ডর সার্ভিসে আউটবাউন্ড
পেমেন্ট টার্মিনাল	সার্টিফিকেট বা ডিভাইস-ভিত্তিক কী	30	PCI DSS স্কোপে আইসোলেটেড সেগমেন্ট
ক্যামেরা	ডিভাইস-ভিত্তিক কী	50	শুধুমাত্র ভিডিও আপলোড, অন্য কোনো ইস্ট-ওয়েস্ট অ্যাক্সেস নেই

রিস্টব্যান্ড বিশ্বাস করার আগে তিনটি বিষয় যাচাই করুন

নিরাপদ ডিফল্ট। অ্যাট্রিবিউটটি অনুপস্থিত থাকলে বা অর্থহীন হলে, ক্লায়েন্টকে এমন একটি VLAN-এ গিয়ে পৌঁছাতে হবে যা প্রায় কিছুই অ্যাক্সেস করতে পারে না। কোনো বাগের কারণে একটি ফিল্ড বাদ পড়েছে বলে কর্মীদের নেটওয়ার্কে "fail open" করবেন না।

শুধু AP নয়, ট্রাঙ্ক পাথও গুরুত্বপূর্ণ। অ্যাক্সেস পয়েন্ট থেকে সুইচের প্রতিটি ট্রাঙ্ককে সেই সমস্ত ডায়নামিক VLAN বহন করতে হবে। একটি VLAN যা RADIUS-এ রয়েছে কিন্তু ট্রাঙ্কে নেই, সেটিকে একটি সফল লগইনের পর নিস্তব্ধতা বলে মনে হয়।

লগ। আইডেন্টিটি, VLAN এবং সাইট সহ প্রতিটি Access-Accept রেকর্ড করুন। সেই লাইনটি ছাড়া আপনি প্রমাণ করতে পারবেন না যে কোন রিস্টব্যান্ডটি কোন দরজাটি খুলেছিল।

নীতিসমূহ ব্যক্তি বা ডিভাইস রেকর্ড অনুসরণ করে, তারা কোন অ্যাক্সেস পয়েন্টে যুক্ত হয়েছে তার ওপর নির্ভর করে না।

সেগমেন্টেশন প্রকৃতপক্ষে কাজ করছে কিনা তা পরিমাপ করা

অধিক SSID মানেই আরও ভালো আইসোলেশন নয়। এই ধারণার কারণেই কিছু সাইট এক ডজন নাম ব্রডকাস্ট করে এবং তবুও টিল VLAN-এ একটি গেস্ট ল্যাপটপ দেখতে পায়।

প্রতিটি অতিরিক্ত SSID বিকন এবং এয়ারটাইম ওভারহেড, আরও বেশি কনফিগারেশন, পরীক্ষার জন্য আরও রোমিং আচরণ এবং স্ট্যান্ডার্ড থেকে সাইটের বিচ্যুত হওয়ার ঝুঁকি বাড়ায়। Cisco State of Wireless Report নেটওয়ার্ক সেগমেন্টেশন এবং ডাইনামিক আইডেন্টিটি ভেরিফিকেশনকে ওয়্যারলেস এক্সপোজার কমানোর মূল উপায় হিসেবে চিহ্নিত করেছে, এবং এটি রেডিও ও ব্যান্ড জুড়ে মিশ্র-প্রজন্মের ক্লায়েন্ট, বিপুল সংখ্যক IoT ডিভাইস এবং কঠোর ভিজিবিলিটির প্রয়োজনের কথা উল্লেখ করে। খুব কম আলাদা করার ক্ষেত্রে বিপরীত বিপর্যয় ঘটে: একটি সংক্রমিত গেস্ট ডিভাইস টিল, ক্যামেরা, নিবাসী বা কর্মীদের শেয়ারিংয়ের দিকে ছড়িয়ে পড়তে পারে।

একটি লাইফসাইকেল যা আপনি পরিচালনা করতে পারেন

1. পরিচয় এবং ঝুঁকির ভিত্তিতে সেগমেন্ট নির্ধারণ করুন, ফোনের WiFi তালিকায় কতগুলি নাম আঁটে তার ভিত্তিতে নয়।
2. অ্যান্টিকেশন ফলাফল থেকে গতিশীলভাবে পলিসি অ্যাসাইন করুন, যাতে একটি গ্রুপ পরিবর্তনের জন্য নতুন SSID এর প্রয়োজন না হয়।
3. প্রতিটি ব্যতিক্রম ডকুমেন্ট করুন একজন মালিক এবং মেয়াদ শেষ হওয়ার তারিখ সহ। শেষ তারিখ ছাড়া একটি ব্যতিক্রম নতুন নেটওয়ার্কে পরিণত হয়।
4. ব্যর্থ অনুষঙ্গকরণ, অননুমোদিত ইস্ট-ওয়েস্ট ট্র্যাফিক এবং রিভোকেশন সময় পরিমাপ করুন, এবং প্রতি প্রান্তিকে একটি ব্রেক-গ্লাস পাথ পরীক্ষা করুন।

চারটি ফলাফলের ওপর ভিত্তি করে ডিজাইন বিচার করুন: কন্টেইনমেন্ট, বাতিলের সময়, অডিট প্রমাণ, এবং অপারেশনাল ওয়ার্কলোড। SSID সংখ্যা এই তালিকায় নেই। Wi-Fi 7 এবং ঘন IoT ব্যবহারের কারণে এই পরিমাপগুলো আরও জরুরি হয়ে উঠেছে, কারণ ক্লায়েন্ট জেনারেশনগুলো মিশ্রিত থাকে এবং ডিভাইসের সংখ্যা বৃদ্ধি পায়, তাই সমস্ত ব্যান্ড জুড়ে দৃশ্যমানতা ধারাবাহিক রাখতে হয়।

একটি আইডেন্টিটি ডিসকানেক্ট করুন, পরবর্তী অথেন্টিকেশন প্রত্যাখ্যাত হয়েছে কিনা তা নিশ্চিত করুন এবং নিশ্চিত করুন যে লগ রিফিউজাল প্রদর্শন করছে। আপনি যদি একটি সিঙ্গেল ক্যামেরার জন্য এটি করতে না পারেন, তবে সেগমেন্টটি এখনও বাস্তব নয়।

আপনার WiFi অ্যাক্সেস নিয়ন্ত্রণ সেটআপ নির্বাচন করা

নতুন সাইফারের ওপর ভিত্তি করে নয়, আপনার পরিস্থিতির ওপর নির্ভর করে নির্বাচন করুন।

• ক্যাফে বা অতিথিদের সুবিধা সহ বাড়ি: প্রাইভেট সাইডে WPA3-Personal, এবং দর্শনার্থীদের জন্য একটি captive portal।
• ম্যানেজড ল্যাপটপ সহ প্রায় ২০০টি ডেস্কের অফিস: MDM থেকে সার্টিফিকেট সহ 802.1X, এবং একটি পৃথক গেস্ট পোর্টাল।
• হোটেল, আবাসিক ব্লক বা কনসেশন এস্টেট: রুম, ভাড়াটে এবং নির্দিষ্ট ডিভাইসের জন্য পরিচয়-চালিত VLANs সহ ডিভাইস-প্রতি কী।
• ক্যাম্পাস বা ভেন্যু যেখানে মানুষ চলাচল করে: কর্মীদের ডিভাইসের জন্য সার্টিফিকেটের পাশাপাশি Passpoint বা OpenRoaming।

আমরা সেই বিশৃঙ্খলাকে তিনটি SSID-তে সংকুচিত করি: অতিথি এবং BYOD-এর জন্য Open, কর্মী এবং বিশ্বস্ত ব্যবহারকারীদের জন্য Secure, এবং ডিভাইস, ভাড়াটিয়া ও সম্প্রদায়ের জন্য xPSK। একটি প্ল্যানার আপনাকে আজ কী যুক্ত হচ্ছে তা টিক দিতে এবং প্রতিটি গ্রুপ এই তিনটির মধ্যে কোথায় অবস্থান করছে তা দেখতে সাহায্য করে।

সিলিংয়ে থাকা অ্যাক্সেস পয়েন্টগুলি প্রায়শই সিদ্ধান্ত নেয় যে আপনি সেই পদ্ধতিগুলির মধ্যে কোনটি চালুর অনুমতি পাবেন। হার্ডওয়্যারটি যা সম্পূর্ণ করতে পারে না তা ডিজাইন করার প্রতিশ্রুতি দেওয়ার আগে সার্টিফিকেট, পার-ডিভাইস কী এবং CoA সাপোর্ট পরীক্ষা করে নিন।

1. অস্বস্তিকর ডিভাইসগুলি সহ প্রতিটি ডিভাইস গ্রুপর তালিকা তৈরি করুন: ঠিকাদার, লোনের ল্যাপটপ, রুমের টিভি।
2. অতিথি, কর্মী, IoT, পেমেন্ট এবং ক্যামেরার জন্য আপনি যে একই ম্যাপিং ব্যবহার করেন, তা ব্যবহার করে প্রতিটি গ্রুপকে একটি পরিচয় উৎস এবং একটি VLAN প্রদান করুন।
3. প্রতিটি গ্রুপের একটি ডিভাইসে ডিসকানেক্ট-এন্ড-ভেরিফাই টেস্ট পরিচালনা করুন।
4. এক সপ্তাহ পর লগগুলি পর্যবেক্ষণ করুন। এমন অনুমোদনগুলি খুঁজুন যা আপনি ব্যাখ্যা করতে পারছেন না এবং এমন প্রত্যাখ্যান যা আসল কাজে বাধা দেয়।
5. রোলআউটের আগে একজন নেটওয়ার্ক ইঞ্জিনিয়ারের সাথে পরিকল্পনাটি পর্যালোচনা করুন, বিশেষ করে RADIUS অনুপলব্ধ থাকলে ব্যর্থতার পথটি।

ডিভাইস-ভিত্তিক বাতিলকরণ সুবিধা সহ আইডেন্টিটি-চালিত নিয়ন্ত্রণই হলো সঠিক স্কেলযোগ্য ডিজাইন। একটি পাসফ্রেজ তা করতে পারে না।

---

Purple Access আপনার ইতিমধ্যে চালিত অ্যাক্সেস পয়েন্টগুলিতে অতিথি, কর্মী এবং ডিভাইসগুলিকে তাদের নিজস্ব পরিচয় বা কী দেয়, তাই WiFi অ্যাক্সেস কন্ট্রোল একটি নতুন নাম সহ শেয়ার করা পাসওয়ার্ড নয়। আপনি দেখতে পারেন যে প্রতিটি গ্রুপ কোথায় শেষ হচ্ছে, বাকিদের স্পর্শ না করে একটি ডিভাইস বাতিল করতে পারেন এবং একাধিক SSID তালিকার পরিবর্তে RADIUS-এ পলিসিটি রাখতে পারেন। আপনার সাইটগুলি ম্যাপ করতে এবং নেটওয়ার্ক ইঞ্জিনিয়ারের সাথে সেটআপ নিয়ে আলোচনা করতে Purple Access ভিজিট করুন।