মাল্টি-সাইট এস্টেট জুড়ে কর্মীদের WiFi-কে শেয়ার্ড পাসওয়ার্ড থেকে 802.1X-এ মাইগ্রেট করা

শেয়ার করা পাসওয়ার্ড SSID-এর পাশাপাশি একটি নতুন WPA-Enterprise SSID চালান এবং ডিভাইসগুলি ধাপে ধাপে সরিয়ে নিন। ম্যানেজড ডিভাইসগুলি আপনার MDM থেকে EAP-TLS সার্টিফিকেট পায়। ব্যক্তিগত ফোনগুলি Captive Portal-এর মাধ্যমে অনবোর্ড হয়। যে ডিভাইসগুলি সার্টিফিকেট রাখতে পারে না, সেগুলি xPSK নেটওয়ার্কে নিজস্ব কী পায়। প্রতিটি সাইটের অথেন্টিকেশন লগ-এ কোনো পুরনো ডিভাইস না দেখালে সেখানে শেয়ার করা পাসওয়ার্ড বন্ধ করে দিন।

স্টাফ WiFi-কে শেয়ার করা পাসওয়ার্ড থেকে 802.1X-এ সরিয়ে নিলে কী পরিবর্তন হয়?

একটি শেয়ার করা স্টাফ পাসওয়ার্ড হলো প্রতিটি সহকর্মী, প্রতিটি ডিভাইস এবং প্রতিটি প্রাক্তন সহকর্মীর কাছে থাকা একটি সিক্রেট। কেউ চাকরি ছেড়ে দিলে, তার কাছে এটি থেকে যায়। এটি পরিবর্তন করার অর্থ প্রতিটি সাইটের প্রতিটি টিল, ট্যাবলেট এবং ল্যাপটপে কী (key) পুনরায় টাইপ করা।

PCI DSS v4.0.1 রিকোয়ারমেন্ট 2.3.2 এটিকে একটি বাধ্যবাধকতায় পরিণত করে। এটি কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের সাথে সংযুক্ত বা অ্যাকাউন্টের ডেটা ট্রান্সমিট করা ওয়্যারলেস এনভায়রনমেন্টগুলিকে কভার করে। এটি জানা আছে এমন কেউ কোম্পানি বা সংশ্লিষ্ট ভূমিকা ছেড়ে গেলেই আপনাকে ওয়্যারলেস এনক্রিপশন কী পরিবর্তন করতে হবে। কোনো কী আপোস করা হয়েছে বলে সন্দেহ হলে বা জানা গেলেও তা পরিবর্তন করতে হবে। উচ্চ কর্মী পরিবর্তনের হারে, এর অর্থ প্রতি সপ্তাহেই পুনরায় কী সেট করা।

IEEE 802.1X এই শেয়ার করা সিক্রেট দূর করে। এটি পোর্ট ভিত্তিক নেটওয়ার্ক অ্যাক্সেস কন্ট্রোলের স্ট্যান্ডার্ড। অ্যাক্সেস পয়েন্ট ট্র্যাফিক ফরওয়ার্ড করার আগে একটি ডিভাইসকে প্রমাণ করতে হবে যে সে কে। অ্যাক্সেস পয়েন্ট RADIUS-এর মাধ্যমে জিজ্ঞাসা করে, যা নেটওয়ার্ক সরঞ্জামগুলি অথেন্টিকেশন সার্ভার কোয়েরি করার জন্য ব্যবহার করে।

EAP-TLS (Extensible Authentication Protocol with Transport Layer Security, RFC 5216) হলো এর উত্তর দেওয়ার সবচেয়ে শক্তিশালী উপায়। ডিভাইস এবং সার্ভার প্রতিটি একটি করে সার্টিফিকেট উপস্থাপন করে। এখানে শেয়ার করার, ফিশিং করার বা ব্যাক-অফিস হোয়াইটবোর্ডে লেখার মতো কোনো পাসওয়ার্ড নেই।

আইডেন্টিটি তখন VLAN (ভার্চুয়াল LAN, একটি লজিক্যালি আলাদা নেটওয়ার্ক সেগমেন্ট) সেট করে। RFC 3580-এ সংজ্ঞায়িত টানেল অ্যাট্রিবিউট ব্যবহার করে RADIUS প্রতিটি ডিভাইসের জন্য একটি VLAN ফেরত দেয়। একটি ফাইন্যান্স ল্যাপটপ এবং একটি রান্নাঘরের ট্যাবলেট একই SSID-এ যোগদান করতে পারে এবং বিভিন্ন সেগমেন্টে ল্যান্ড করতে পারে।

Purple Access-এ এটি যেখানে অবস্থান করে

Purple Access একটি প্ল্যাটফর্মে তিনটি নেটওয়ার্ক পরিচালনা করে:

• Open: একটি Captive Portal, যে ওয়েব পেজটি কোনো ডিভাইস নেটওয়ার্ক অ্যাক্সেস পাওয়ার আগে দেখতে পায়। এই মাইগ্রেশনে এটি ব্যক্তিগত ফোন অনবোর্ড করে।
• Secure: EAP-TLS, আইডেন্টিটি প্রোভাইডার ইন্টিগ্রেশন, Passpoint এবং ক্লাউড RADIUS। স্টাফ ল্যাপটপ, ট্যাবলেট এবং ফোনগুলি এখানে শেষ হয়।
• xPSK: আপনার ভেন্ডরের ওপর নির্ভর করে প্রতিটি ডিভাইসের জন্য একটি আলাদা কী, যাকে iPSK বা PPSK বলা হয়। সার্টিফিকেট রাখতে পারে না এমন প্রতিটি ডিভাইস এখানে শেষ হয়।

গেস্ট WiFi তার নিজস্ব নেটওয়ার্কে থাকে এবং এই প্রজেক্টের বাইরে থাকে। Guest network security: A practical Guide for 2026 সেই দিকটি কভার করে। এর যেকোনো নেটওয়ার্কে DNS ফিল্টারিং হলো Shield। আরও বিস্তারিত জানতে, আমাদের WiFi security পিলারটি দেখুন।

ক্রেনডশিয়াল মডেলের তুলনা

PEAP-MSCHAPv2 (ইউজারনেম এবং পাসওয়ার্ড সহ সুরক্ষিত EAP) হলো সাধারণ একটি মাঝামাঝি সমাধান, তাই এটি এই তুলনার অন্তর্ভুক্ত।

ক্রেডেনশিয়াল মডেল	প্রতিটি ডিভাইস কী প্রদর্শন করে	একজন কর্মী চাকরি ছাড়লে সাথে কী নিয়ে যান	একজন ব্যক্তি বা ডিভাইস রিভোক করা	PCI DSS 2.3.2 কী পরিবর্তনের ওপর প্রভাব	কাদের জন্য উপযুক্ত
Shared PSK	সবার জন্য একটি পাসওয়ার্ড	প্রতিটি সাইটের জন্য কি (Key)	SSID-এর প্রতিটি ডিভাইসে পুনরায় কি (Re-key) দিন	একজন চাকরি ছাড়া ব্যক্তি কি (Key) জানলে প্রতিবার সবার জন্য কি পরিবর্তন করুন	WiFi-তে কার্ডের তথ্য নেই এমন একটি একক ছোট সাইট
PEAP-MSCHAPv2	ব্যক্তিগত ইউজারনেম এবং পাসওয়ার্ড	অ্যাকাউন্ট ডিসেবল না হওয়া পর্যন্ত তাদের নিজস্ব পাসওয়ার্ড	অ্যাকাউন্ট ডিসেবল করুন	কোনো শেয়ার্ড কি নেই, তবে সার্ভার সার্টিফিকেট ভ্যালিডেট না করা হলে পাসওয়ার্ড ক্যাপচার হতে পারে	যেসব এস্টেটে এখনো কোনো সার্টিফিকেট অথরিটি নেই
EAP-TLS	প্রতি ডিভাইস বা ব্যক্তির জন্য একটি সার্টিফিকেট	সার্টিফিকেট রিভোক করার পর ব্যবহারযোগ্য কিছু থাকে না	সার্টিফিকেট রিভোক করুন বা আইডেন্টিটি ডিসেবল করুন	পরিবর্তন করার মতো কোনো শেয়ার্ড কি নেই	ম্যানেজড ল্যাপটপ, ট্যাবলেট, হ্যান্ডহেল্ড এবং অনবোর্ড করা ফোন
xPSK	প্রতি ডিভাইসে একটি ইউনিক কি	শুধুমাত্র তারা ব্যক্তিগতভাবে যে ডিভাইস কি-গুলো ইনপুট করেছেন	সেই ডিভাইসের কি মুছে ফেলুন	শুধুমাত্র চাকরি ছেড়ে দেওয়া ব্যক্তি যে কি-গুলো হ্যান্ডেল করেছেন তা পরিবর্তন করুন	টিল, কার্ড টার্মিনাল, প্রিন্টার, CCTV, সাইনেজ

শেয়ার্ড WiFi পাসওয়ার্ড 802.1X-এ মাইগ্রেট করার আগে আপনার কী কী প্রয়োজন?

আপনার কোনো নতুন এক্সেস পয়েন্টের প্রয়োজন নেই। Purple Access হলো হার্ডওয়্যার নিরপেক্ষ এবং এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ ক্লাউড ওভারলে হিসেবে চলে। পাইলট শুরু করার আগে আপনার ছয়টি জিনিস প্রস্তুত রাখা প্রয়োজন।

1. প্রতিটি সাইটের জন্য একটি ডিভাইস ইনভেন্টরি। অন্তত 14 দিনের ডেটা কভার করে প্রতিটি সাইটের কনসোল থেকে স্টাফ SSID-এর জন্য ক্লায়েন্ট তালিকা এক্সপোর্ট করুন। প্রতিটি ডিভাইসকে তিনটি শ্রেণীর যেকোনো একটিতে সাজান। ম্যানেজড ডিভাইসগুলো আপনার MDM (মোবাইল ডিভাইস ম্যানেজমেন্ট প্ল্যাটফর্ম)-এ এনরোল করা থাকে। ব্যক্তিগত ডিভাইসগুলো হলো কর্মীদের নিজস্ব ফোন। হেডলেস ডিভাইসগুলো হলো টিল, কার্ড টার্মিনাল, প্রিন্টার, ক্যামেরা এবং সার্টিফিকেট স্টোর নেই এমন অন্য যেকোনো কিছু।
2. ক্লিন গ্রুপ সহ একটি আইডেন্টিটি প্রোভাইডার। Microsoft Entra ID, Okta বা Google Workspace ব্যবহার করুন। যে প্রতিটি গ্রুপের নিজস্ব সেগমেন্ট প্রয়োজন সেটি একটি VLAN রুলে পরিণত হয়। Okta WiFi Authentication: Setup Steps, Options and Fixes Okta-এর দিকটি বিস্তারিত ব্যাখ্যা করে।
3. একটি সার্টিফিকেট অথরিটি যা থেকে আপনার MDM রিকোয়েস্ট করতে পারে। Microsoft Intune, Jamf Pro এবং বেশিরভাগ অন্যান্য MDM এগুলো SCEP (সিম্পল সার্টিফিকেট এনরোলমেন্ট প্রোটোকল) বা PKCS প্রোফাইলের মাধ্যমে সার্টিফিকেট ইস্যু করে। এখনই সিদ্ধান্ত নিন যে একটি সার্টিফিকেট ডিভাইসকে নাকি ব্যক্তিকে সনাক্ত করবে। শেয়ার্ড ট্যাবলেট এবং হ্যান্ডহেল্ডের জন্য ডিভাইস সার্টিফিকেটের প্রয়োজন।
4. প্রতিটি সাইটে প্রয়োগ করা একটি VLAN প্ল্যান। একটি সাধারণ প্ল্যানে পাঁচটি সেগমেন্ট থাকে: স্টাফ, ম্যানেজড করপোরেট ডিভাইস, পেমেন্ট ডিভাইস, অন্যান্য হেডলেস ডিভাইস এবং একটি রেস্ট্রিক্টেড লেগ্যাসি সেগমেন্ট। নিশ্চিত করুন যে প্রতিটি এক্সেস পয়েন্টের সুইচ ট্রাঙ্ক প্রতিটি VLAN বহন করে।
5. সুরক্ষিত SSID-এর জন্য RADIUS-as-a-Service হিসেবে Purple Access সেট করা। যেখানে আপনার ভেন্ডর প্রতি-ডিভাইস কি-এর জন্য RADIUS ব্যবহার করে, সেখানে xPSK নেটওয়ার্ককেও এর দিকে নির্দেশ করুন। ক্লাউড RADIUS মানে সাইটগুলোতে ইনস্টল, প্যাচ বা ক্লাস্টার করার মতো কিছুই নেই।
6. প্রতিটি সাইটে একজন নির্দিষ্ট দায়িত্বপ্রাপ্ত ব্যক্তি। ইনভেনটরিতে থাকা অজানা ডিভাইসগুলো সনাক্ত করতে এবং তা বন্ধ করার অনুমোদন দিতে পারে এমন কাউকে আপনার প্রয়োজন।

কাটোভার উইকেন্ডের ঝামেলা ছাড়াই আপনি কীভাবে কর্মীদের WiFi 802.1X-এ মাইগ্রেট করবেন?

তিনটি নীতি কাটোভার উইকেন্ডের প্রয়োজনীয়তা দূর করে। পুরোনো নেটওয়ার্কের পাশাপাশি নতুন নেটওয়ার্ক তৈরি করুন। সাইট অনুসারে না করে, ক্লাসের ভিত্তিতে ডিভাইসগুলো সরান। অ্যাথেনটিকেশন লগের প্রমাণের ওপর ভিত্তি করে, প্রতিটি সাইট একে একে বন্ধ বা সুইচ অফ করুন।

আপনি কি মাইগ্রেশনের সময় উভয় SSID চালাতে পারেন?

হ্যাঁ, এবং পুরো প্রজেক্ট জুড়ে আপনার এগুলো একসাথে চালানো উচিত। আসল প্রশ্নটি হলো এয়ারটাইম নিয়ে। প্রতিটি ব্রডকাস্ট SSID প্রতিটি রেডিওতে বিকন ফ্রেম যোগ করে, তাই Vendor ডিজাইন গাইডগুলো (যার মধ্যে Cisco Meraki-ও রয়েছে) SSID-এর সংখ্যা কম রাখার পরামর্শ দেয়।

এর পরিচ্ছন্ন সমাধান হলো লেগ্যাসি SSID-কে xPSK নেটওয়ার্কে রূপান্তরিত করা। এর নাম এবং সিকিউরিটি মোড একই রাখুন। পুরোনো শেয়ার্ড পাসওয়ার্ডটিকে প্রতি-ডিভাইস কি (key) তালিকার একটি কি হিসেবে যোগ করুন, যা রেস্ট্রিক্টেড লেগ্যাসি VLAN-এর সাথে ম্যাপ করা থাকবে। যেসব ডিভাইস পুরোনো পাসওয়ার্ডটি জানে, সেগুলো ব্যবহারকারীদের অজান্তেই পুনরায় কানেক্ট হয়ে যাবে। আপনার সরানো প্রতিটি ডিভাইস নিজস্ব কি পাবে।

যখন কোনো সাইটে লেগ্যাসি কি-এর সাথে কোনো ডিভাইস যুক্ত থাকবে না, তখন আপনি এটি ডিলিট করে দেবেন। এর ফলে শেয়ার্ড পাসওয়ার্ডটি বন্ধ হয়ে যাবে এবং কোনো নতুন SSID-ও কখনো তৈরি হবে না। আপনার চূড়ান্ত অবস্থা হবে তিনটি SSID: guest, secure staff এবং xPSK।

প্রথমে একটি সাইটে এটি টেস্ট করুন। বেশ কয়েকটি Vendor WPA3-SAE-এর পরিবর্তে WPA2-Personal-এ পার-কি ফিচারগুলো পরিচালনা করে, তাই আপনার Vendor-এর ডকুমেন্টেশন চেক করে নিন। আপনার প্ল্যাটফর্মটি যদি একটি কি হিসেবে পুরোনো পাসওয়ার্ড ধরে রাখতে না পারে, তবে মাইগ্রেশনের সময় চারটি SSID চালান এবং সুইচ-অফের সময় লেগ্যাসি SSID টি সরিয়ে ফেলুন।

ফেজ 1: একবার তৈরি করুন, পুরো এস্টেট জুড়ে প্রয়োগ করুন

secure SSID এবং xPSK নেটওয়ার্ক একবার কনফিগার করুন, তারপর একটি টেমপ্লেট থেকে প্রতিটি সাইটে সেগুলো প্রয়োগ করুন। আপনার ম্যানেজ করা ডিভাইসগুলো যেখানে সাপোর্ট করে সেখানে WPA3-Enterprise ব্যবহার করুন, অন্যথায় WPA2/WPA3 ট্রানজিশন মোড ব্যবহার করুন।

Vendor	কনসোল	Secure SSID সেটিং	প্রতি-ডিভাইস কি (key) ফিচার	সাইটজুড়ে যা দিয়ে প্রয়োগ করবেন
Cisco Meraki	Meraki Dashboard	আমার RADIUS সার্ভার সহ Enterprise	Identity PSK (iPSK)	কনফিগারেশন টেমপ্লেট
HPE Aruba	Aruba Central	Enterprise সিকিউরিটি লেভেল	MPSK	গ্রুপসমূহ
Ruckus	SmartZone বা RUCKUS One	802.1X EAP অ্যাথেনটিকেশন	Dynamic PSK (DPSK)	জোন বা ভেন্যুসমূহ
Juniper Mist	Mist পোর্টাল	Enterprise (802.1X) WLAN সিকিউরিটি	Multi PSK	WLAN টেমপ্লেট
Ubiquiti UniFi	UniFi Network	একটি RADIUS প্রোফাইল সহ WPA Enterprise	Private Pre-Shared Keys	সাইট প্রতি সাইট সেটিং

ফার্মওয়্যার ভার্সনের ওপর ভিত্তি করে লেবেল পরিবর্তিত হয়, তাই বর্তমান পাথ জানতে আপনার Vendor-এর ডকুমেন্টেশন অনুসরন করুন। আরও কনফিগারেশন নির্দেশিকা দেখতে আমাদের Access guides-এ যান।

ফেজ 2: দুই বা তিনটি প্রতিনিধি সাইটে পাইলট রান করুন

ভিন্ন ধরনের সাইট বেছে নিন: একটি বড় সাইট, একটি ছোট সাইট এবং অস্বাভাবিক সুইচের মডেল আছে এমন একটি সাইট। পরবর্তী প্রতিটি ফেজ প্রথমে সেই সাইটগুলোতে শুরু থেকে শেষ পর্যন্ত সম্পূর্ণ রান করুন। যে ট্রাঙ্কটি VLAN বহন করে না, যে ক্যাশ কাউন্টার বা টিলটি কেবল WPA2 সাপোর্ট করে এবং যে MDM প্রোফাইলটি ভুল ক্রমে ইনস্টল হয় - তা খুঁজে বের করার জন্যই এই পাইলট রান করা হয়।

ফেজ 3: MDM-এর মাধ্যমে ম্যানেজ করা ডিভাইসগুলোতে সার্টিফিকেট পুশ করুন

Managed ডিভাইসগুলি সবচেয়ে দ্রুত কাজ করে কারণ MDM একযোগে প্রতিটি সাইটে পৌঁছে যায়। তিনটি প্রোফাইল ক্রমানুসারে ডিপ্লয় করুন: ট্রাস্টেড রুট সার্টিফিকেট, ডিভাইস সার্টিফিকেট, এবং তারপর WiFi প্রোফাইল। বেশিরভাগ MDM ব্যর্থ হয় যদি এটি যে সার্টিফিকেটটি উল্লেখ করে তা নিখোঁজ থাকে।

WiFi প্রোফাইলটি সুরক্ষিত SSID-এর নাম দেয়, EAP-TLS সেট করে এবং RADIUS সার্ভারের সার্টিফিকেট নাম এবং রুট পিন করে। ডিভাইসটি সুরক্ষিত SSID-এ প্রমাণীকৃত হয়ে গেলে, এমন একটি প্রোফাইল পুশ করুন যা পুরানো নেটওয়ার্কটিকে সরিয়ে দেয়। অন্যথায় ডিভাইসটি আবার তার বিশ্বাসযোগ্য পুরানো SSID-এ ফিরে যেতে পারে।

ফেজ 4: একই SSID-এ ব্যক্তিগত ফোনগুলি অনবোর্ড করুন

কর্মীরা ওপেন নেটওয়ার্কে যোগদান করেন, প্রায়শই ব্যাক অফিসে পোস্ট করা একটি QR কোড স্ক্যান করে। তারা তাদের কাজের পরিচয় দিয়ে Captive Portal-এ সাইন ইন করে এবং সুরক্ষিত নেটওয়ার্ক প্রোফাইল গ্রহণ করে। আমাদের Captive portals পিলারে পোর্টাল ডিজাইন অন্তর্ভুক্ত রয়েছে।

একটি Passpoint (Hotspot 2.0) প্রোফাইল একটি মাল্টি-সাইট এস্টেটকে সবচেয়ে বেশি সাহায্য করে। Passpoint একটি ফোনকে SSID নামের পরিবর্তে তার ক্রেডেনশিয়াল দ্বারা একটি নেটওয়ার্ক খুঁজে পেতে এবং যোগদান করতে দেয়। ফলে একবার অনবোর্ডিং করলেই প্রতিটি সাইটে কাজ করে। ব্যক্তিগত ফোনগুলিকে পেমেন্ট এবং ব্যাক-অফিস সেগমেন্ট থেকে দূরে, শুধুমাত্র ইন্টারনেট-ব্যবহারযোগ্য স্টাফ VLAN-এ ম্যাপিং করুন। অঞ্চল অনুসারে অনবোর্ডিং পরিচালনা করুন যাতে হেল্পডেস্ক একটি স্থির প্রবাহ দেখতে পায়, হঠাৎ স্পাইক নয়।

ফেজ 5: যেসব ডিভাইস সার্টিফিকেট ধারণ করতে পারে না সেগুলির প্রতিটি নিজস্ব কি-তে সরিয়ে নিন

প্রতিটি হেডলেস ডিভাইসকে একটি অনন্য কি দিন এবং ক্লাস অনুসারে VLAN-এ কি ম্যাপ করুন। কার্ড টার্মিনালগুলি পেমেন্ট সেগমেন্টে এবং ক্যামেরাগুলি ক্যামেরা সেগমেন্টে যাবে। ডিভাইস, MAC ঠিকানা, সাইট, কি এবং যে ব্যক্তি এটি প্রবেশ করিয়েছেন তার বিবরণ রেকর্ড করুন।

প্রিন্টার এবং ক্যামেরা রেকর্ডারগুলিতে সাধারণত ওয়েব ইন্টারফেস থাকে যা আপনি দূরবর্তীভাবে রিকি করতে পারেন। টিল এবং টার্মিনালগুলির জন্য ভেন্ডরের ম্যানেজমেন্ট প্ল্যাটফর্ম বা কোনও সাইট ভিজিটের প্রয়োজন হতে পারে। PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist এই ধাপটি বিস্তারিতভাবে কভার করে।

একটি মাল্টি-সাইট 802.1X রোলআউট করতে কত সময় লাগে?

নীচের সময়কালগুলিকে আপনার পাইলটে পরীক্ষা করার জন্য পরিকল্পনা অনুমান হিসাবে বিবেচনা করুন, বেঞ্চমার্ক হিসাবে নয়। হেডলেস ডিভাইসগুলি গতি নির্ধারণ করে, কারণ এগুলিই একমাত্র ক্লাস যার জন্য সাইটে ম্যানুয়াল কাজের প্রয়োজন হতে পারে।

ফেজ	কি ঘটে	স্কোপ	পরিকপনা সময়কাল
0. প্রস্তুতি	ইনভেন্টরি, আইডেন্টিটি গ্রুপ, VLAN প্ল্যান, সার্টিফিকেট অথরিটি	পুরো এস্টেট, কোনও ডিভাইস পরিবর্তন নয়	2-3 সপ্তাহ
1. নির্মাণ	টেমপ্লেটে সুরক্ষিত SSID এবং xPSK নেটওয়ার্ক	পুরো এস্টেট	1 সপ্তাহ
2. পাইলট	শুরু থেকে শেষ পর্যন্ত প্রতিটি ধাপ	2-3 টি সাইট	3-4 সপ্তাহ
3. Managed ডিভাইসসমূহ	MDM পুশ সার্টিফিকেট এবং WiFi প্রোফাইল	একযোগে সমস্ত সাইট	2 সপ্তাহ প্লাস পিছিয়ে পড়াদের জন্য 2 সপ্তাহ
4. ব্যক্তিগত ফোন	ওপেন নেটওয়ার্কের মাধ্যমে অনবোর্ডিং	প্রতি ওয়েভে 20-30 টি সাইট	প্রতি ওয়েভে 2 সপ্তাহ
5. হেডলেস ডিভাইসসমূহ	প্রতি ডিভাইসে অনন্য কি	রিমোট বা সাইট ভিজিট	সাইট প্রতি অর্ধেক দিন, সমান্তরালভাবে পরিচালনা করুন
6. সুইচ-অফ	পুরানো কি মুছে ফেলুন	সাইট প্রতি	সাইট প্রতি সর্বনিম্ন 14 টি ক্লিন দিন

Phase 3, 4 এবং 5 একে অপরের উপর ওভারল্যাপ করে। সেই ধারণার ভিত্তিতে, 50টি সাইট জুড়ে 10 থেকে 14 সপ্তাহ এবং 200টি সাইট জুড়ে 20 থেকে 26 সপ্তাহের পরিকল্পনা করুন।

একটি বাস্তব উদাহরণ: Cisco Meraki -তে থাকা একটি 64টি হোটেলের গ্রুপ

চিত্রণমূলক পরিসংখ্যান। প্রতিটি হোটেল একটি শেয়ার করা স্টাফ কি-এর মাধ্যমে প্রায় 40টি ডিভাইস চালাতো। এর অর্থ হলো 22টি ম্যানেজড ডিভাইস, ছয়টি ব্যক্তিগত ফোন এবং 12টি হেডলেস ডিভাইস: কার্ড টার্মিনাল, রসিদ প্রিন্টার এবং সাইনেজ প্লেয়ার। এজেন্সির হাউসকিপিং কর্মীরা কি (key) জানতে পেরেছিল, তাই এজেন্সির প্রতিটি রোটেশন PCI DSS 2.3.2 লিভার কন্ডিশন কার্যকর করতো।

টিমটি লেগ্যাসি SSID কে iPSK -এ রূপান্তরিত করেছে এবং একটি সীমাবদ্ধ VLAN -এ পুরানো পাসওয়ার্ডটিকে একটি কি হিসেবে রেখেছে। তারা একটি কনফিগারেশন টেমপ্লেটে Enterprise SSID তৈরি করেছে। Pilot-এর পর তৃতীয় সপ্তাহে Intune সমস্ত 1,408টি ম্যানেজড ডিভাইসে সার্টিফিকেট পুশ করেছে। ডিউটি ম্যানেজাররা অঞ্চল ভিত্তিতে 384টি ব্যক্তিগত ফোন অনবোর্ড করেছেন। ইঞ্জিনিয়াররা নির্ধারিত রক্ষণাবেক্ষণ পরিদর্শনের সময় 768টি হেডলেস ডিভাইস পুনরায় কি (re-keyed) করেছেন।

ফলাফল: নবম সপ্তাহের মধ্যে, লেগ্যাসি কি-তে কেবল হেডলেস ডিভাইসগুলিই চলছিল। শেষ হোটেলটি 16 তম সপ্তাহে কোনো কাটওভার নাইট ছাড়াই এটি মুছে ফেলেছে। এখন কোনো কর্মী কাজ ছেড়ে দিলে 64টি হোটেল জুড়ে 2,560টি ডিভাইস পুনরায় কি করার বদলে কেবল একটি অ্যাকাউন্ট নিষ্ক্রিয় করতে হয়।

একটি বাস্তব উদাহরণ: Juniper Mist -এ থাকা একটি 180-স্টোরের খুচরা বিক্রেতা

চিত্রণমূলক পরিসংখ্যান। প্রতিটি স্টোর শেয়ার করা কি-এর মাধ্যমে 27টি ডিভাইস চালাতো: 12টি হ্যান্ডহেল্ড স্ক্যানার, তিনটি ব্যাক-অফিস PC, চারটি লেবেল প্রিন্টার, ছয়টি ক্যামেরা এবং দু'জন ম্যানেজারের ফোন। কর্মীদের ছেড়ে যাওয়ার পর পুনরায় কি করা স্থগিত হয়ে গিয়েছিল, কারণ একই দিনে কেউ প্রতিটি স্টোরে পৌঁছাতে পারতো না।

স্ক্যানার এবং PC গুলি MDM-এর মাধ্যমে EAP-TLS -এ স্থানান্তরিত হয়েছে, মোট 2,700টি ডিভাইস। প্রিন্টার এবং ক্যামেরাগুলি Multi PSK -এ স্থানান্তরিত হয়েছে, দুটি VLAN -এ 1,800টি অনন্য কি ম্যাপ করা হয়েছে। স্টোরগুলি 30টির ছয়টি ওয়েভে স্থানান্তরিত হয়েছে। Pilot-এ এমন একটি স্টোর ফরম্যাট পাওয়া গেছে যার সুইচগুলি ক্যামেরা VLAN ট্রাঙ্ক করেনি। প্রথম ওয়েভের আগেই টিমটি টেমপ্লেটটি ঠিক করে নিয়েছে।

ফলাফল: 22 তম সপ্তাহের মধ্যে সমস্ত 180টি স্টোরে স্টোর-ভিত্তিক লেগ্যাসি সংখ্যা শূন্যে পৌঁছেছে। এখন পুরো প্রপার্টিতে কোথাও কোনো শেয়ার করা স্টাফ কি নেই।

প্রতিটি সাইটে মাইগ্রেশন কাজ করছে কিনা তা আপনি কীভাবে পরীক্ষা করবেন?

Pilot-এ প্রতিটি ফেজ প্রমাণ করুন

স্কেল করার আগে প্রতিটি pilot সাইটে চারটি পরীক্ষা চালান:

• Join পরীক্ষা: একটি নতুন ম্যানেজড ডিভাইস, একটি অনবোর্ড করা ফোন এবং একটি পুনরায় কি করা টিল প্রতিটি প্রথমবার সংযুক্ত হয়।
• VLAN পরীক্ষা: প্রতিটি ডিভাইস তার পরিচয় বা কি যে সেগমেন্ট নির্ধারণ করা উচিত সেখানেই গিয়ে পৌঁছায়।
• Roaming পরীক্ষা: একটি হ্যান্ডহেল্ড অ্যাক্সেস পয়েন্টগুলির মধ্যে হাঁটার সময় তার সেশন বজায় রাখে।
• Leaver পরীক্ষা: একটি টেস্ট আইডেন্টিটি নিষ্ক্রিয় করুন এবং এর সার্টিফিকেট বাতিল করুন, তারপর নিশ্চিত করুন যে পরবর্তী প্রমাণীকরণ প্রত্যাখ্যাত হয়েছে।

অটেনটিকেশন লগ থেকে প্রতি সাইটের অগ্রগতি পরিমাপ করুন

অটেনটিকেশন লগ এবং কন্ট্রোলারের ক্লায়েন্ট তালিকা থেকে প্রতি সপ্তাহে সাইট প্রতি তিনটি নম্বর রিপোর্ট করুন:

1. সুরক্ষিত SSID-এ EAP-TLS দিয়ে প্রমানীকরণকারী ডিভাইস।
2. তাদের নিজস্ব xPSK কি-তে থাকা ডিভাইস।
3. এখনও লেগ্যাসি কি ব্যবহার করা ডিভাইস।

গত 14 দিনে দেখা সমস্ত পৃথক কর্মী ডিভাইসের যোগফল দিয়ে প্রথম দুটি ডিভাইসের যোগফলকে ভাগ করে অগ্রগতি গণনা করা হয়। লেগ্যাসি সংখ্যা অনুসারে সাইটগুলি সাজান এবং যেখানে সংখ্যা সবচেয়ে বেশি সেখানে কাজ করার উদ্যোগ নিন। ব্যক্তিগত ফোনগুলি MAC address দিয়ে নয়, আইডেন্টিটি দিয়ে গণনা করুন। iOS এবং Android প্রতি নেটওয়ার্কে MAC addresses র‍্যান্ডমাইজ করে, তাই একটি ফোনকে দুটি বলে মনে হতে পারে।

আপনি কখন শেয়ার করা পাসওয়ার্ড বন্ধ করবেন?

নিম্নলিখিত চারটি শর্ত পূরণ হলে একটি সাইটে লেগ্যাসি কী মুছে ফেলুন:

• লেগ্যাসি সংখ্যা টানা 14 দিন ধরে শূন্য রয়েছে, যা দুটি পূর্ণ রোটা সাইকেল কভার করে।
• ইনভেন্টরির প্রতিটি হেডলেস ডিভাইসের নিজস্ব কী রয়েছে।
• সেই সাইটের জন্য হেল্পডেস্ক টিকিট বেসলাইনে ফিরে এসেছে।
• সাইট লিড অনুমোদন করেছেন।

তারিখটি রেকর্ড করুন। এরপর থেকে, 2.3.2 এর জন্য পরিবর্তন করার প্রয়োজন হতে পারে এমন কোনো শেয়ার করা কী থাকবে না। আপনার কী রেজিস্টার এবং অথেনটিকেশন লগ প্রয়োজনীয় প্রমাণের অংশ হয়ে উঠবে। যদি পরবর্তীতে কোনো বাদ পড়া ডিভাইস দেখা যায়, তবে এটিকে নিজস্ব কী দিন। শেয়ার করা কীটি কখনই পুনঃপ্রতিষ্ঠা করবেন না।

একটি মাল্টি-সাইট 802.1X রোলআউটে কী কী সমস্যা হয়, এবং আপনি কীভাবে তা ঠিক করবেন?

ডিভাইসগুলি আবার পুরোনো SSID-এ ফিরে যায়

ডিভাইসগুলি উভয় নেটওয়ার্ক মনে রাখে এবং পুরোনো নেটওয়ার্কটিকে বেশি অগ্রাধিকার দিতে পারে। সুরক্ষিত SSID কাজ করা শুরু করলে MDM প্রোফাইলের মাধ্যমে লেগ্যাসি নেটওয়ার্কটি সরিয়ে ফেলুন। ব্যক্তিগত ফোনের ক্ষেত্রে, অনবোর্ডিং নির্দেশাবলীতে "পুরোনো নেটওয়ার্কটি ভুলে যান" বিষয়টি অন্তর্ভুক্ত করুন।

সার্ভার ভ্যালিডেট না করেই ডিভাইসগুলি যুক্ত হয়

যে WiFi প্রোফাইল সার্ভার সার্টিফিকেট ভ্যালিডেশন এড়িয়ে যায়, তা একই SSID ব্রডকাস্ট করা একটি ভুয়া অ্যাক্সেস পয়েন্টকেও বিশ্বাস করবে। প্রতিটি প্রোফাইলে ট্রাস্টেড রুট এবং RADIUS সার্ভারের নাম পিন করুন।

ক্লায়েন্টরা অথেনটিকেশন করে কিন্তু কোনো IP address পায় না

RADIUS এমন একটি VLAN অ্যাসাইন করেছে যা সুইচ ট্রাঙ্ক বহন করে না। পাইলেটে থাকা প্রতিটি সুইচ মডেলে ট্রাঙ্ক অডিট করুন, তারপর পুরো টেমপ্লেটটি ঠিক করুন, একক সাইট নয়।

Windows ল্যাপটপগুলি PEAP-এ ব্যর্থ হয়

Microsoft নথিতে উল্লেখ রয়েছে যে Windows Defender Credential Guard সেভ করা ক্রিডেনশিয়াল সহ MSCHAPv2 সিঙ্গেল সাইন-অন ব্লক করে। এই ল্যাপটপগুলিকে EAP-TLS-এ স্থানান্তর করলে পাসওয়ার্ডের ওপর নির্ভরতা দূর হয়।

পুরো নেটওয়ার্ক জুড়ে সার্টিফিকেটগুলি একসাথে এক্সপায়ার হয়ে যায়

একবারে পুশ করা সার্টিফিকেটগুলি একই সপ্তাহে এক্সপায়ার হয়। মেয়াদ শেষ হওয়ার আগেই MDM-এ অটোমেটিক রিনিউয়াল সেট করুন, এবং আপনার সার্টিফিকেট অথরিটি অনুমতি দিলে প্রাথমিক পুশটি ধাপে ধাপে সম্পন্ন করুন।

অতিরিক্ত SSID প্রতিটি নেটওয়ার্ককে ধীরগতির করে দেয়

গেস্ট, লেগ্যাসি, সিকিউর এবং xPSK SSIDগুলি একসাথে চালানো প্রতিটি রেডিওতে বিকন ওভারহেড বাড়িয়ে দেয়। সংখ্যাটি তিনে ধরে রাখতে, উপরে বর্ণিত উপায়ে লেগ্যাসি SSID-টিকে xPSK নেটওয়ার্কে রূপান্তর করুন।

একটি 802.1X মাইগ্রেশনের খরচ কত, এবং আপনি বিনিময়ে কী পাবেন?

খরচগুলি লাইসেন্স এবং পরিশ্রমের, হার্ডওয়্যারের নয়। আপনি Purple Access, পাশাপাশি MDM প্রোফাইলের কাজ, হেডলেস ডিভাইসগুলির জন্য সাইট ভিজিট এবং অনবোর্ডিংয়ের সময় হেল্পডেস্কের সময়ের জন্য অর্থ প্রদান করেন। অ্যাক্সেস পয়েন্ট, সুইচ এবং কন্ট্রোলারগুলি আগের মতোই থাকে।

বিনিময়ে আপনি যা পাবেন তা হলো আপনার অপ্রয়োজনীয় কাজ বন্ধ হওয়া। রিটেইল পরিস্থিতির ক্ষেত্রে, শেয়ার করা কী পুরো নেটওয়ার্ক জুড়ে একবার রোটেশন করার অর্থ হলো 4,860টি ডিভাইসে এটি পুনরায় এন্টার করা। ডিভাইস প্রতি আনুমানিক তিন মিনিট ধরে হিসেব করলে, প্রতি রোটেশনে কর্মী বাহিনীর 243 ঘণ্টা সময় ব্যয় হয়। মাইগ্রেশনের পরে, কোনো কর্মী চাকরি ছেড়ে দিলে কেবল একটি আইডেন্টিটি ডিসেবল করতে হবে, পাশাপাশি সেই ব্যক্তি যে সকল ডিভাইস কী এন্টার করেছিলেন তা পরিবর্তন করতে হবে।

আপনি কোন পরিচয় বা কী (key) কোন সাইটে এবং কখন যুক্ত হয়েছে তার একটি অডিটেবল অথেনটিকেশন লগও পাবেন। সেই লগটি PCI DSS 2.3.2 এর জন্য এবং ISO 27001 Annex A কন্ট্রোল 5.18 এর অধীনে অ্যাক্সেস-অধিকার পর্যালোচনার প্রমাণ হিসেবে কাজ করে। Purple-এর ISO 27001 এবং Cyber Essentials সার্টিফিকেট রয়েছে এবং এটি 80,000+ লাইভ ভেন্যুতে 99.999% আপটাইমে চলে। RADIUS যখন কর্মীরা কাজ করতে পারবেন কিনা তা নির্ধারণ করে, তখন এই আপটাইম অত্যন্ত গুরুত্বপূর্ণ।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

কর্মীদের WiFi 802.1X-এ রূপান্তর করতে আমাদের কি নতুন অ্যাক্সেস পয়েন্টের প্রয়োজন আছে?

না। 802.1X এবং ডিভাইস-ভিত্তিক কীগুলি আপনার বিদ্যমান অ্যাক্সেস পয়েন্টগুলিতেই চলে। Purple Access হার্ডওয়্যার-নিরপেক্ষ এবং এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ একটি ক্লাউড ওভারলে হিসেবে কাজ করে। আপনি একটি Enterprise SSID কনফিগার করবেন যা Purple-এর ক্লাউড RADIUS-কে পয়েন্ট করে, সাথে আপনার ভেন্ডরের নিজস্ব ফিচার ব্যবহার করে একটি ডিভাইস-ভিত্তিক কী নেটওয়ার্ক তৈরি করবেন। কেবল একটি ফিজিক্যাল চেক নিশ্চিত করতে হবে যে প্রতিটি সুইচ ট্রাঙ্ক যেন নতুন VLAN বহন করে।

আমরা কি একই সাথে শেয়ার্ড পাসওয়ার্ড SSID এবং 802.1X SSID চালাতে পারি?

হ্যাঁ, এবং আপনার এটি করা উচিত, কারণ উভয়টি একসাথে চালানো হলে তা সিস্টেম পরিবর্তনের সময় কাটওভার উইকএন্ডের ঝামেলা দূর করে। আপনার প্ল্যাটফর্ম যেখানে অনুমোদন দেয়, সেখানে লেগ্যাসি SSID-কে xPSK নেটওয়ার্কে রূপান্তরিত করুন। পুরোনো পাসওয়ার্ডটি একটি সীমিত VLAN-এ একটি কী হিসেবে রাখুন, যাতে ডিভাইসগুলি স্থানান্তরের সময় কাজ চালিয়ে যেতে পারে। প্রতিটি সাইটে অথেনটিকেশন লগে টানা 14 দিন কোনো ডিভাইস এটি ব্যবহার করছে না দেখা গেলে সেই কীটি মুছে ফেলুন।

যে সমস্ত ডিভাইস 802.1X সাপোর্ট করে না সেগুলির ক্ষেত্রে কী হবে?

সেগুলি xPSK নেটওয়ার্কে স্থানান্তরিত হবে, যেখানে প্রতিটির নিজস্ব কী থাকবে। টিল, কার্ড টার্মিনাল, প্রিন্টার, ক্যামেরা এবং সাইনেজ প্লেয়ারগুলিতে সাধারণত সার্টিফিকেট থাকে না, তবে প্রায় সবই WPA2 পাসফ্রেজ গ্রহণ করে। প্রতিটি কী তার ডিভাইস ক্লাসের জন্য একটি VLAN-এর সাথে ম্যাপ করে, তাই আপনি অন্য কোনও ডিভাইসকে স্পর্শ না করেই একটি ডিভাইস বাতিল করতে পারেন। কে কোন কী ইনপুট করেছে তার একটি রেজিস্টার রাখুন, কারণ প্রতিষ্ঠান ত্যাগকারী কোনো ব্যক্তি যে কী জানতেন, সেটির ক্ষেত্রেও PCI DSS 2.3.2 প্রযোজ্য।

বহু-সাইট বিশিষ্ট একটি 802.1X মাইগ্রেশন করতে কত সময় লাগে?

50টি সাইটের জন্য 10 থেকে 14 সপ্তাহ এবং 200টি সাইটের জন্য 20 থেকে 26 সপ্তাহের পরিকল্পনা করুন, তারপর আপনার পাইলট প্রজেক্টে সেই অনুমানগুলি পরীক্ষা করুন। ম্যানেজড ডিভাইসগুলি সবচেয়ে দ্রুত স্থানান্তরিত হয় কারণ MDM একযোগে প্রতিটি সাইটে পুশ পাঠায়। হেডলেস ডিভাইসগুলির ক্ষেত্রে বেশি সময় লাগে, কারণ কিছুর জন্য সাইট ভিজিটের প্রয়োজন হয়। আপনি শেয়ার্ড পাসওয়ার্ড বন্ধ করার আগে প্রতিটি সাইটের অথেনটিকেশন লগে অন্তত 14 দিনের পরিষ্কার ডেটা থাকতে হবে।

802.1X কি আমাদের কর্মীদের WiFi-কে PCI DSS অনুগত করে তোলে?

কোনো একক কন্ট্রোল এটি করে না, এবং আপনার অ্যাসেসর এই সিদ্ধান্ত নেন। EAP-TLS এবং ডিভাইস-ভিত্তিক কীগুলি আপনাকে PCI DSS v4.0.1-এর প্রয়োজনীয়তা 2.3.2 এর প্রমাণ প্রদান করে। একবার শেয়ার্ড কী না থাকলে, প্রতিষ্ঠান ত্যাগকারী কোনো ব্যক্তির জন্য পুরো নেটওয়ার্ক জুড়ে কী পরিবর্তনের প্রয়োজন হয় না। অথেনটিকেশন লগ দেখায় কোন পরিচয় বা কী কোন সাইটে এবং কখন যুক্ত হয়েছে, যা ISO 27001-এর অধীনে অ্যাক্সেস-অধিকার পর্যালোচনাকেও সমর্থন করে।

আমাদের কি সার্টিফিকেটগুলির বদলে পাসওয়ার্ড সহ PEAP ব্যবহার করা উচিত?

যেখানে সম্ভব EAP-TLS ব্যবহার করুন। PEAP-MSCHAPv2 শেয়ার্ড কী সরিয়ে দেয় তবে এখনও পাসওয়ার্ডের উপর নির্ভর করে। কোনো ডিভাইস সার্ভার সার্টিফিকেট যাচাই না করলে সেই পাসওয়ার্ডগুলি ক্যাপচার করা যেতে পারে। Microsoft এও নথিভুক্ত করেছে যে Windows Defender Credential Guard সেভ করা ক্রেনডশিয়াল সহ MSCHAPv2 একক সাইন-অন ব্লক করে। এটি অনেক ম্যানেজড Windows ল্যাপটপে পাসওয়ার্ড ভিত্তিক WiFi ব্যাহত করে। আপনার MDM দ্বারা পাঠানো সার্টিফিকেট উভয় সমস্যাই এড়ায় এবং কর্মীদের কোনো পদক্ষেপের প্রয়োজন হয় না।

802.1X এর জন্য কি আমাদের অন-প্রিমিসেস RADIUS সার্ভারের প্রয়োজন আছে?

না। Purple Access ক্লাউড RADIUS প্রদান করে, তাই প্রতিটি সাইটে ইনস্টল করা, প্যাচ করা বা স্থিতিস্থাপক করার মতো কিছু নেই। আপনার অ্যাক্সেস পয়েন্টগুলি Purple-এ অ্যাথেন্টিকেশন অনুরোধ পাঠায়। Purple সার্টিফিকেট বা কী পরীক্ষা করে, Microsoft Entra ID, Okta বা Google Workspace থেকে আইডেন্টিটি রুল প্রয়োগ করে এবং VLAN ফেরত দেয়। Purple ৯৯.৯৯৯% আপটাইমে চলে এবং ISO 27001 ও Cyber Essentials সার্টিফিকেশন ধারণ করে।

কর্মীরা কি একই 802.1X SSID-এ ব্যক্তিগত ফোন ব্যবহার করতে পারেন?

হ্যাঁ, যদি আপনার নীতি এটি অনুমতি দেয়। কর্মীরা ওপেন নেটওয়ার্কে যোগদান করেন, তাদের কাজের আইডেন্টিটি সহ Captive Portal-এ সাইন ইন করেন এবং সুরক্ষিত নেটওয়ার্ক প্রোফাইল গ্রহণ করেন। একটি Passpoint প্রোফাইল তখন এস্টেটের প্রতিটি সাইটে স্বয়ংক্রিয়ভাবে ফোনটিকে যুক্ত করে। পেমেন্ট এবং ব্যাক-অফিস সেগমেন্ট থেকে দূরে, ব্যক্তিগত ফোনগুলিকে শুধুমাত্র ইন্টারনেট-ব্যবহারযোগ্য স্টাফ VLAN-এ ম্যাপ করুন। আপনার রিলিজ বা লিভার প্রসেস যাতে তাদের অ্যাক্সেস সরিয়ে দেয় তা পাইলটে পরীক্ষা করুন।