রিটেইল স্টোর ডিভাইসের জন্য PPSK: Cisco Meraki এবং Juniper Mist-এ টিল, স্ক্যানার এবং CCTV-র জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট

প্রাইভেট প্রি-শেয়ার্ড কী (PPSK) প্রতিটি ক্যাশ রেজিস্টার বা টিল, স্ক্যানার, প্রিন্টার এবং স্ক্রিনকে একটি নির্দিষ্ট SSID-তে নিজস্ব WiFi কী প্রদান করে। প্রতিটি কী একটি VLAN (ভার্চুয়াল LAN), পলিসি এবং ব্যান্ডউইথ সীমার সাথে ম্যাপ করা থাকে, ফলে টিলগুলো সাইনেজ এবং CCTV থেকে আলাদা থাকে। কীগুলোকে MAC অ্যাড্রেসের সাথে যুক্ত করুন এবং হারিয়ে যাওয়া যেকোনো একটি ডিভাইসের কী বাতিল করুন। Cisco Meraki একে Identity PSK বলে; Juniper Mist একে Multi PSK বলে।

খুচরা বিক্রেতা প্রতিষ্ঠানের ডিভাইসের জন্য PPSK আসলে কী ভূমিকা পালন করে?

বেশিরভাগ খুচরা বিক্রেতা প্রতিষ্ঠান দুর্ঘটনাবশত তাদের ডিভাইস WiFi তৈরি করে ফেলে। স্ক্যানারগুলো স্টাফ SSID-তে যুক্ত হয়। সাইনেজ প্লেয়ারগুলো ইনস্টলারের দৃশ্যমান যেকোনো নেটওয়ার্কে যুক্ত হয়। একটি ওয়্যারলেস ক্যামেরা শেষ পর্যন্ত গেস্ট নেটওয়ার্কে গিয়ে যুক্ত হয়। প্রতিটি ডিভাইস একটি মাত্র পাসওয়ার্ড শেয়ার করে যা স্টোর খোলার পর থেকে কখনোই পরিবর্তন করা হয়নি।

ডিভাইসটিকে নতুন কিছু করতে না বলেই PPSK এই সমস্যার সমাধান করে। ডিভাইসটি এখনও একটি মাত্র SSID দেখতে পায় এবং একটি WPA2-Personal পাসফ্রেজ প্রবিষ্ট করে। পরিবর্তনটি কেবল নেটওয়ার্কের অংশে ঘটে। প্রতিটি ডিভাইস একটি আলাদা পাসফ্রেজ পায়। অ্যাক্সেস পয়েন্ট প্রতিটি পাসফ্রেজকে স্থানীয়ভাবে অথবা একটি RADIUS সার্ভারকে জিজ্ঞাসা করে কোনো পরিচয়ের সাথে মিলিয়ে নেয়। তারপর এটি সেই পরিচয়ের সাথে সংযুক্ত VLAN, ফায়ারওয়াল নিয়ম এবং ব্যান্ডউইথ সীমা প্রয়োগ করে। RADIUS হলো একটি প্রোটোকল যা একটি অ্যাক্সেস পয়েন্ট কোনো কেন্দ্রীয় সার্ভারকে একটি ডিভাইস কে এবং এটি কী অ্যাক্সেস করতে পারবে তা জিজ্ঞাসা করতে ব্যবহার করে।

একটি স্টোরে তিনটি পরিণতি গুরুত্বপূর্ণ:

• পরিচয় দ্বারা পৃথকীকরণ। একই SSID-তে থাকা একটি টিল এবং একটি সাইনেজ প্লেয়ার বিভিন্ন ফায়ারওয়াল নিয়মসহ ভিন্ন ভিন্ন VLAN-এ থাকবে।
• সুরক্ষা বিস্তার রোধ। IEEE 802.11i-এর অধীনে, প্রতিটি ডিভাইস তার নিজস্ব পাসফ্রেজ থেকে সেশন কী তৈরি করে। যে কেউ একটি শেয়ার্ড পাসফ্রেজ ব্যবহার করে হ্যান্ডশেক ক্যাপচার করতে পারে, সে অন্য একটি ডিভাইসের সেশন কী বের করে নিতে পারে। PPSK ব্যবহারের ফলে, কোনো সাইনেজ কী লিক হলেও তা টিল ট্র্যাফিক ডিক্রিপ্ট করতে পারবে না।
• এক জায়গা থেকেই বাতিলকরণ। একটি কী মুছে ফেললে কেবল একটি ডিভাইসের অ্যাক্সেস বন্ধ হবে। স্টোরের আর কোনো কিছু পরিবর্তিত হবে না।

আপনার তিনটি নেটওয়ার্কের মধ্যে PPSK যেখানে অবস্থান করে

Purple Access একটি প্ল্যাটফর্মে তিনটি নেটওয়ার্ক পরিচালনা করে এবং পরিচয় প্রতিটি নেটওয়ার্কে VLAN নির্ধারণ করে। ওপেন নেটওয়ার্কটি একটি ক্যাপ্তার পোর্টালের মাধ্যমে ক্রেতাদের পরিষেবা দেয়, যা আমাদের Captive portals গাইডে বর্ণনা করা হয়েছে। সিকিউর নেটওয়ার্কটি IEEE 802.1X এবং EAP-TLS-এর মাধ্যমে কর্মীদের পরিষেবা দেয়। 802.1X হলো ডিভাইসের যুক্ত হওয়ার আগে সেটিকে প্রমানীকরণের মানদণ্ড। EAP-TLS হলো এমন একটি পদ্ধতি যা ডিভাইসে একটি সার্টিফিকেট ব্যবহার করে। কর্মীগণ Microsoft Entra ID, Okta বা Google Workspace দিয়েও সাইন ইন করতে পারেন, যা Okta WiFi Authentication: Setup Steps, Options and Fixes এ দেখানো হয়েছে।

সার্টিফিকেটগুলি মানুষের জন্য ডিফল্ট হিসেবে থাকে। xPSK নেটওয়ার্ক এমন সব কিছুকে কভার করে যা একটি ধারণ করতে পারে না: ক্যাশ কাউন্টার, হ্যান্ডহেল্ড স্ক্যানার, রসিদ প্রিন্টার, সাইনেজ প্লেয়ার এবং ওয়্যারলেস CCTV। আমরা অ্যাপার্টমেন্ট বিল্ডিংয়ের বাসিন্দাদের জন্য একই মডেল ব্যবহার করি, যা Multifamily WiFi: how isolation, xPSK and billing work-এ ব্যাখ্যা করা হয়েছে। সম্পূর্ণ সুরক্ষা মডেলের জন্য, আমাদের WiFi security গাইড দেখুন।

বিকল্পগুলির সাথে PPSK-এর তুলনা

পদ্ধতি	ডিভাইসটি কী ধারণ করে	একটি ডিভাইস বাতিল করা	ডিভাইস-প্রতি VLAN এবং নীতি	অতিরিক্ত পরিকাঠামো	যার জন্য উপযুক্ত
শেয়ার্ড PSK	প্রতিটি ডিভাইসের জন্য একটি পাসফ্রেজ শেয়ার করা হয়েছে	SSID-এ থাকা প্রতিটি ডিভাইসে নতুন কি (key) দিন	না, SSID প্রতি একটি VLAN	কোনটিই নয়	পেমেন্ট সংক্রান্ত কিছুর জন্য নয়
PPSK (Meraki Identity PSK, Mist Multi PSK)	এর নিজস্ব পাসফ্রেজ, ঐচ্ছিকভাবে এর MAC-এর সাথে আবদ্ধ	একটি কি (key) মুছুন	হ্যাঁ, কি (key) প্রতি	Meraki: MAC বাইন্ডিংয়ের জন্য RADIUS। Mist: Cloud PSK সহ কোনটিই নয়	ক্যাশ কাউন্টার, স্ক্যানার, প্রিন্টার, সাইনেজ, CCTV
EAP-TLS সহ IEEE 802.1X	একটি ক্লায়েন্ট সার্টিফিকেট	একটি সার্টিফিকেট বাতিল করুন	হ্যাঁ, আইডেন্টিটি প্রতি	RADIUS সার্ভার এবং পাবলিক কি পরিকাঠামো (PKI)	MDM-এর অধীনে থাকা কর্মীদের ল্যাপটপ এবং ফোন
MAC অথেনটিকেশন বাইপাস	কিছু না: MAC অ্যাড্রেসটিই হলো আইডেন্টিটি	একটি MAC অ্যাড্রেস সরান	হ্যাঁ, MAC অ্যাড্রেস প্রতি	RADIUS সার্ভার	তারযুক্ত ডিভাইস যা অন্য কিছু সমর্থন করে না

MDM মানে মোবাইল ডিভাইস ম্যানেজমেন্ট, এটি এমন একটি সিস্টেম যা কোম্পানির মালিকানাধীন ফোন, স্ক্যানার এবং ল্যাপটপে সেটআপ পাঠায়।

আপনার স্টোরগুলিতে PPSK প্রয়োগ করার আগে কী কী প্রয়োজন?

বেশিরভাগ কাজ একটি একক কি (key) তৈরি করার আগেই হয়ে যায়। প্রথমে এগুলি প্রস্তুত রাখুন:

• স্টোর প্রতি একটি ডিভাইস ইনভেন্টরি। ডিভাইসের শ্রেণী, মেক, মডেল, MAC অ্যাড্রেস, MAC ফিক্সড কিনা, সমর্থিত সিকিউরিটি মোড এবং রেডিও ব্যান্ড রেকর্ড করুন।
• একটি সেগমেন্ট প্ল্যান। পেমেন্ট, CCTV এবং সাইনেজ চুক্তির মালিক যিনিই হোন না কেন, তার সাথে ডিভাইস শ্রেণী প্রতি একটি VLAN নির্ধারণ করুন।
• প্রতিটি অ্যাক্সেস পয়েন্টে VLAN ট্রাঙ্কিং। প্রতিটি AP আপলিংক পোর্টে প্রতিটি সেগমেন্ট VLAN বহন করতে হবে, অন্যথায় ডিভাইসগুলি যুক্ত হলেও কোনো IP অ্যাড্রেস পাবে না।
• সেগমেন্ট প্রতি ফায়ারওয়াল নিয়ম। আপনি কিছু কনফিগার করার আগেই প্রতিটি সেগমেন্ট কী পর্যন্ত পৌঁছাতে পারে তা লিখে রাখুন।
• কনসোল অ্যাক্সেস। Meraki Dashboard বা Juniper Mist পোর্টালে আপনার প্রতিষ্ঠান-পর্যায়ের অ্যাডমিন অধিকার প্রয়োজন।
• কি (key) কোথায় থাকবে সে সম্পর্কে একটি সিদ্ধান্ত। কি (key) গুলি SSID-এ, একটি RADIUS সার্ভারে বা ক্লাউড কি (key) সার্ভিসে থাকতে পারে। নিচের সারণীটি আপনার নেটওয়ার্কের জন্য একটি পছন্দ নির্ধারণ করে।
• Android স্ক্যানারগুলির MDM নিয়ন্ত্রণ। নেটওয়ার্ক প্রতি MAC অ্যাড্রেস ঠিক করতে এবং রিমোটলি কি (key) পাঠাতে আপনার এটির প্রয়োজন হবে।
• কি (key) রেজিস্টারের একজন দায়িত্বপ্রাপ্ত ব্যক্তি। কর্মীদের মতো ডিভাইসেরও নতুন সংযোজন, স্থানান্তর এবং অপসারণ রয়েছে। ইস্যু করা প্রতিটি কি (key) এবং বাতিল করা প্রতিটি কি (key) কাউকে অবশ্যই রেকর্ড করতে হবে।

আপনার নেটওয়ার্ক সম্পদ	কি (key) কোথায় থাকা উচিত	MAC বাইন্ডিং	কেন
শুধুমাত্র Cisco Meraki, ডিভাইস শ্রেণী প্রতি একটি কি (key)	RADIUS ছাড়া Identity PSK, SSID-এ সংরক্ষিত কি (key)	উপলব্ধ নয়	দ্রুততম শুরু, তবে একটি ফাঁস হওয়া কি (key) যেকোনো ডিভাইসে কাজ করে
Cisco Meraki, ডিভাইস প্রতি একটি কি	RADIUS সহ Identity PSK, একটি ক্লাউড RADIUS সার্ভারকে নির্দেশ করে	হ্যাঁ, MAC অ্যাড্রেস দ্বারা লুকআপ	প্রতিটি কি কেবল সেই ডিভাইসের জন্য কাজ করে যার জন্য এটি ইস্যু করা হয়েছে
কেবল Juniper Mist	Mist Cloud PSK	হ্যাঁ, একক ব্যবহারের কি সহ	Mist ক্লাউডের নেটিভ, কি-প্রতি VLAN, ভূমিকা এবং মেয়াদ শেষ সহ
মিশ্র এস্টেট: Meraki এর সাথে HPE Aruba, Ruckus, Mist বা Ubiquiti UniFi	ক্লাউড RADIUS হিসেবে Purple Access xPSK	হ্যাঁ	প্রতিটি ভেন্ডর জুড়েই একটি কি রেজিস্টার করে, কোনো রিপ অ্যান্ড রিপ্লেস নেই

আপনি কীভাবে Cisco Meraki এবং Juniper Mist-এ PPSK সেটআপ করবেন?

ধাপ ১: কি-টু-সেগমেন্ট ম্যাপ ডিজাইন করুন

যেকোনো একটি কনসোলে হাত দেওয়ার আগেই সেগমেন্টগুলি ডিজাইন করুন। এই ম্যাপটি পেমেন্ট টার্মিনাল WiFi সিকিউরিটিকে পেমেন্ট অ্যাক্সেস করার প্রয়োজন নেই এমন প্রতিটি জিনিস থেকে আলাদা রাখে।

ডিভাইস ক্লাস	সেগমেন্ট	যা অ্যাক্সেস করতে পারে	ব্যান্ডউইথ পলিসি	কি-এর স্কোপ
পেমেন্ট টার্মিনাল এবং ক্যাশ রেজিস্টার/টিল	পেমেন্ট	কেবল পেমেন্ট প্রসেসর এবং টিল সার্ভার	আনক্যাপড, সর্বোচ্চ অগ্রাধিকার	ডিভাইস প্রতি একটি, MAC-বাউন্ড
হ্যান্ডহেল্ড স্ক্যানার	স্টোর অপারেশন	স্টক, অর্ডারিং এবং হ্যান্ডহেল্ড ম্যানেজমেন্ট সিস্টেম	ডিভাইস-প্রতি ক্যাপ	ডিভাইস প্রতি একটি, MAC-বাউন্ড
রসিদ এবং লেবেল প্রিন্টার	স্টোর অপারেশন	টিল এবং প্রিন্ট সার্ভার	কম ডিভাইস-প্রতি ক্যাপ	ডিভাইস প্রতি একটি, MAC-বাউন্ড
ডিজিটাল সাইনেজ প্লেয়ার	সাইনেজ	কনটেন্ট ম্যানেজমেন্ট সিস্টেম এবং আপডেট সার্ভার	ডিভাইস-প্রতি ক্যাপ	ডিভাইস প্রতি একটি, MAC-বাউন্ড
ওয়্যারলেস সিসিটিভি ক্যামেরা	সিসিটিভি	কেবল নেটওয়ার্ক ভিডিও রেকর্ডার	ক্যামেরা বিটরেটে সংরক্ষিত হেডরুম	ডিভাইস প্রতি একটি, MAC-বাউন্ড

সেগমেন্টের সংখ্যা কম রাখুন। বেশিরভাগ এস্টেটের জন্য স্টোর প্রতি পাঁচটি সেগমেন্টই যথেষ্ট, এবং প্রতিটি অতিরিক্ত VLAN অবশ্যই প্রতিটি AP-তে ট্রাঙ্ক করতে হবে।

ধাপ ২: Cisco Meraki এবং Identity PSK

Meraki গ্রুপ পলিসির মাধ্যমে কি-প্রতি পলিসি প্রয়োগ করে, তাই সেগুলি আগে তৈরি করুন। Meraki Dashboard-এ, সেগমেন্ট প্রতি একটি গ্রুপ পলিসি তৈরি করুন। প্রতিটি পলিসি সেই সেগমেন্টের জন্য VLAN ট্যাগ, ব্যান্ডউইথ সীমা এবং লেয়ার ৩ ও লেয়ার ৭ ফায়ারওয়াল নিয়ম সেট করে।

এরপরে, আপনার ডিভাইস SSID-এর জন্য অ্যাক্সেস কন্ট্রোল সেটিংস খুলুন। Meraki দুটি Identity PSK মোড অফার করে:

• RADIUS ছাড়া Identity PSK। আপনি সরাসরি SSID-এ কি লিখুন এবং প্রতিটি কি একটি গ্রুপ পলিসিতে ম্যাপ করুন। কোনো MAC বাইন্ডিং উপলব্ধ নেই, তাই যে ডিভাইসটি একটি কি জানতে পারে সে সেই কি-এর পলিসি পেয়ে যায়।
• RADIUS সহ Identity PSK। অ্যাক্সেস পয়েন্টটি আপনার RADIUS সার্ভারে ডিভাইস MAC অ্যাড্রেস পাঠায়। সার্ভারটি সেই MAC অ্যাড্রেসের জন্য পাসফ্রেজ এবং গ্রুপ পলিসি ফেরত পাঠায়। একটি কি কেবল সেই ডিভাইসের জন্যই কাজ করে যার জন্য এটি ইস্যু করা হয়েছিল।

টিল এবং পেমেন্ট সেগমেন্টের যেকোনো ডিভাইসের জন্য RADIUS মোড ব্যবহার করুন। Cisco-র ডকুমেন্টেশন পেজ "IPSK without RADIUS" এবং "IPSK with RADIUS Authentication" প্রতিটি মোডের জন্য সঠিক ধাপগুলি দেয়।

ধাপ ৩: Juniper Mist এবং Multi PSK

Juniper Mist পোর্টালে, একাধিক পাসফ্রেজ ব্যবহার করতে আপনার ডিভাইস WLAN সেট করুন। Mist আপনাকে তিনটি কি-এর উৎস দেয়: WLAN-এ স্থানীয়ভাবে সংরক্ষিত কি, সংস্থাগত স্তরে ধারণ করা Cloud PSK, বা একটি RADIUS সার্ভার দ্বারা ফেরত পাঠানো কি।

একটি স্টোর এস্টেটের জন্য, Cloud PSK হলো সবচেয়ে উপযোগী পছন্দ। প্রতিটি Cloud PSK-এর নিজস্ব VLAN, ভূমিকা এবং মেয়াদ শেষ হওয়ার তারিখ থাকে। স্টোর ডিভাইসগুলোকে সিঙ্গেল-ইউজে সেট করুন, যা কী-টিকে প্রথম যুক্ত হওয়া MAC অ্যাড্রেসের সাথে বাইন্ড করে। তারপর সেই সেগমেন্টটি কোথায় পৌঁছাতে পারে তা নিয়ন্ত্রণ করতে আপনার WxLAN নীতিগুলোতে প্রতিটি কী-এর ভূমিকা ব্যবহার করুন। সাইনেজ এবং স্ক্যানার ব্যান্ডউইথ সীমিত করতে রেট লিমিট প্রয়োগ করুন। Juniper-এর Multi PSK ডকুমেন্টেশনে WLAN সেটিংস এবং Cloud PSK ফিল্ডগুলো বিস্তারিতভাবে কভার করা হয়েছে।

ধাপ 4: বিভিন্ন ভেন্ডর জুড়ে একক কী রেজিস্টার হিসেবে Purple Access

অধিগ্রহণ এবং সংস্কারের পর বেশিরভাগ রিটেইল এস্টেটে একাধিক হার্ডওয়্যার ভেন্ডর পরিচালিত হয়। Purple Access ক্লাউড RADIUS হিসেবে xPSK নেটওয়ার্ক পরিচালনা করে, তাই একটি একক কী রেজিস্টার প্রতিটি স্টোরে সেবা দেয়। Meraki SSID-গুলো Identity PSK-কে RADIUS সহ Purple-এর দিকে নির্দেশ করে। Mist WLAN-গুলো কী-এর উৎস হিসেবে RADIUS ব্যবহার করে। Purple প্রতিটি MAC অ্যাড্রেসের জন্য ডিভাইস-ভিত্তিক কী, VLAN এবং নীতি প্রদান করে।

একই মডেল Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ চলে। আপনি আপনার এক্সেস পয়েন্ট এবং সুইচগুলো বজায় রাখবেন। আপনার ভেন্ডরের জন্য Purple-এর সহায়তা আর্টিকেলে সঠিক RADIUS সেটিংসের তালিকা দেওয়া আছে।

স্টোর রোলআউট চেকলিস্ট

1. একটি পাইলট স্টোর বেছে নিন যার মধ্যে আপনার পরিচালিত প্রতিটি ডিভাইস ক্লাস রয়েছে।
2. প্রতিটি ডিভাইসের জন্য একটি যাচাইকৃত MAC অ্যাড্রেস সহ সেই স্টোরের ডিভাইস ইনভেন্টরি এক্সপোর্ট করুন।
3. কাটওভার দিনের আগে প্রতিটি AP আপলিংক পোর্টে প্রতিটি সেগমেন্ট VLAN ট্রাঙ্ক করুন।
4. সেগমেন্ট নীতিগুলো তৈরি করুন: Meraki-তে গ্রুপ পলিসি, Mist-এ রোল এবং WxLAN পলিসি।
5. প্রতি ডিভাইসে একটি কী তৈরি করুন এবং এটি কী রেজিস্টারে রেকর্ড করুন।
6. MDM-এর মাধ্যমে Android স্ক্যানারগুলোতে ডিভাইস SSID-এর জন্য একটি ফিক্সড-MAC সেটিং পুশ করুন।
7. বিদ্যমান স্টাফ SSID-এর পাশাপাশি ডিভাইস SSID ব্রডকাস্ট করুন।
8. ডিভাইসগুলোকে ক্লাস অনুযায়ী সরান: প্রথমে সাইনেজ, তারপর প্রিন্টার এবং স্ক্যানার, তারপর ব্যবসার সময়সূচীর বাইরে ক্যাশ রেজিস্টার বা টিল।
9. পরবর্তী ক্লাস সরানোর আগে পরবর্তী সেকশনের প্রতিটি পরীক্ষা চালান।
10. পুরোনো শেয়ার করা স্টাফ পাসওয়ার্ড শেষবারের মতো পরিবর্তন করুন, যাতে কোনো ডিভাইস এতে ফিরে যেতে না পারে।
11. রিভোকেশন রানবুক লিখুন: ডিভাইস হারিয়ে গেছে, কী বাতিল করা হয়েছে, নতুন কী সহ প্রতিস্থাপন জারি করা হয়েছে।
12. পাইলট নীতিগুলো পুনরায় ব্যবহার করে স্টোরগুলোর বিভিন্ন ধাপে রোলআউট করুন এবং প্রমান হিসেবে পরীক্ষার ফলাফলগুলো সংরক্ষণ করুন।

প্রতিটি স্টোরে PPSK কাজ করছে কিনা তা কীভাবে পরীক্ষা করবেন?

শুধুমাত্র একটি ডিভাইস নয়, প্রতিটি ডিভাইস ক্লাস পরীক্ষা করুন। একটি স্ক্যানারে সফল পরীক্ষা আপনাকে অন্য VLAN-এর একটি প্রিন্টার সম্পর্কে কিছুই জানায় না।

• সঠিক সেগমেন্ট। Meraki Dashboard বা Mist ক্লায়েন্ট ইনসাইটে ক্লায়েন্ট তালিকা পরীক্ষা করুন। প্রতিটি ডিভাইসে প্রত্যাশিত VLAN এবং সেই সেগমেন্টের সাবনেট থেকে একটি IP অ্যাড্রেস দেখানো উচিত।
• আইসোলেশন। সাইনেজ সেগমেন্টের একটি টেস্ট ডিভাইস থেকে, টিল সার্ভার এবং ভিডিও রেকর্ডারে পৌঁছানোর চেষ্টা করুন। দুটি চেষ্টাই ব্যর্থ হওয়া উচিত।
• MAC বাইন্ডিং। একটি টেস্ট ফোনে স্ক্যানারের কী লিখুন। ফোনটি প্রত্যাখ্যান করা উচিত।
• বাতিলকরণ (Revocation)। একটি টেস্ট কী বাতিল করুন এবং নিশ্চিত করুন যে ডিভাইসটি পুনরায় যুক্ত হতে পারছে না। যদি বিদ্যমান সেশনটি বজায় থাকে, তবে কনসোল থেকে ক্লায়েন্টকে বিচ্ছিন্ন করুন। স্টোরের অন্য প্রতিটি ডিভাইস সংযুক্ত থাকা উচিত।
• Bandwidth. একটি সাইনেজ প্লেয়ার থেকে থ্রুপুট টেস্ট চালান এবং ক্যাপটি কার্যকর আছে কিনা তা নিশ্চিত করুন। আমাদের Bandwidth Usage Measurement: Methods, KPIs and Setup গাইডটিতে এই পদ্ধতিটি ব্যাখ্যা করা হয়েছে।
• Roaming. স্টকটিভিটি থেকে দোকানের শেষ প্রান্ত পর্যন্ত একটি স্ক্যানার নিয়ে হেঁটে যান। স্ক্যানিং অ্যাপটির কানেক্টেড থাকা উচিত।

আউটপুটগুলি সংরক্ষণ করুন। আপনার কী রেজিস্টার, সেগমেন্ট পলিসি, রিভোকেশন লগ এবং আইসোলেশন টেস্টের ফলাফল PCI-DSS v4.0-এর প্রমাণ হিসেবে কাজ করে। Requirement 1 সেগমেন্টগুলির মধ্যে নেটওয়ার্ক সিকিউরিটি কন্ট্রোল কভার করে। Requirement 2.3 ডিফোল্ট কী পরিবর্তন সহ ওয়্যারলেস এনভায়রনমেন্ট কভার করে। Requirement 11.2.1-এর অধীনে থাকা রোগ অ্যাক্সেস পয়েন্ট চেকগুলি একটি পৃথক কাজ হিসেবে থাকবে।

PPSK-এর ক্ষেত্রে কী কী সমস্যা হয়, এবং আপনি কীভাবে সেগুলি সমাধান করবেন?

লক্ষণ	সম্ভাব্য কারণ	সমাধান
ডিভাইস যুক্ত হলেও কোনো IP ঠিকানা পাচ্ছে না	সেগমেন্ট VLAN AP-এর সুইচ পোর্টে ট্রাঙ্ক করা নেই	প্রতিটি AP আপলিঙ্ক পোর্টে প্রতিটি সেগমেন্ট VLAN ট্যাগ করুন
OS আপডেটের পর স্ক্যানার প্রত্যাখ্যান করা হচ্ছে	MAC র্যান্ডমাইজেশন চালু করা আছে; Android 10 এবং পরবর্তী সংস্করণগুলিতে ডিফোল্টভাবে প্রতি নেটওয়ার্কে র্যান্ডমাইজ হয়	MDM-এর মাধ্যমে ডিভাইসের MAC ব্যবহার করার জন্য ডিভাইস SSID প্রোফাইল সেট করুন
একটি কী দুটি ডিভাইসে কাজ করছে	কীটি কোনো MAC ঠিকানার সাথে বাউন্ড করা নেই (RADIUS ছাড়া Meraki, Mist মাল্টি-ইউজ)	RADIUS বা Mist সিঙ্গেল-ইউজ কী সহ Identity PSK-এ স্থানান্তরিত হন
পুরোনো প্রিন্টার যুক্ত হতে পারছে না	ডিভাইসটি কেবল 2.4 GHz এবং WPA2-Personal সাপোর্ট করে	ডিভাইস SSID-এ 2.4 GHz এবং WPA2-Personal এনাবল রাখুন
আইলগুলির মধ্যে চলাচলের সময় স্ক্যানার সংযোগ বিচ্ছিন্ন হয়ে যাচ্ছে	802.11r ফাস্ট রোমিং পুরোনো ক্লায়েন্টের সাথে সামঞ্জস্যপূর্ণ নয়	ডিভাইস SSID-এ ফাস্ট ট্রানজিশন ডিজেবল করে পরীক্ষা করুন
সাইনেজ কন্টেন্ট পুশ করার সময় ক্যাশ কাউন্টার ধীর হয়ে যাচ্ছে	সাইনেজ পলিসিতে কোনো Bandwidth ক্যাপ নেই	সাইনেজ সেগমেন্টে ডিভাইস-প্রতি ক্যাপ প্রয়োগ করুন
কী মুছে ফেলার পরেও হারানো ডিভাইস অনলাইন রয়েছে	পুনরায় অথেন্টিকেশন না হওয়া পর্যন্ত বিদ্যমান সেশনটি বজায় থাকে	রিভোক করার পর কনসোলে ক্লায়েন্টটিকে ডিসকানেক্ট করুন

দুটি সমস্যা টেবিলের একটি সারির চেয়ে বেশি আলোচনার দাবি রাখে।

প্রথমটি হলো সেই কী যা দ্বিতীয় শেয়ার করা পাসওয়ার্ডে পরিণত হয়। একজন টেকনিশিয়ান একটি স্টিকারে স্ক্যানার কী লিখে রাখেন, এবং শেষ পর্যন্ত ছয়টি ডিভাইস সেটি ব্যবহার করে। MAC বাইন্ডিং এটি বন্ধ করে। বাইন্ডিং ছাড়া, একটি পার-ডিভাইস কী কেবল নিয়ম রক্ষার জন্য পার-ডিভাইস কী হিসেবে থেকে যায়।

দ্বিতীয়টি হলো WPA3। অনেক পার-ডিভাইস কী ইমপ্লিমেন্টেশন WPA2-Personal-এর ওপর নির্ভর করে, এবং অনেক ক্যাশ কাউন্টার ও প্রিন্টার এর চেয়ে নতুন কিছু সাপোর্ট করে না। ডিজাইন করার আগে আপনার ফার্মওয়্যারে WPA3 সাপোর্টের জন্য Cisco Meraki এবং Juniper Mist ডকুমেন্টেশন পরীক্ষা করে নিন।

দুটি বাস্তবিক পরিস্থিতি: একটি ফ্যাশন চেইন এবং একটি স্টেডিয়াম

রিটেইল: Cisco Meraki-তে একটি ১৫০টি স্টোরের ফ্যাশন চেইন

পরিস্থিতি। ১৫০টি স্টোরের একটি চেইন বিবেচনা করুন যেখানে প্রতি স্টোরে ছয়টি ক্যাশ কাউন্টার, আটটি স্ক্যানার, দুটি প্রিন্টার এবং চারটি সাইনেজ প্লেয়ার রয়েছে। সমস্ত ২০টি ডিভাইস স্টাফ SSID এবং একটি পাসওয়ার্ড শেয়ার করে। এর ফলে পুরো নেটওয়ার্ক জুড়ে ৩,০০০টি ডিভাইস একটি মাত্র কী ব্যবহার করছে। PCI-DSS requirement 2.3.2 অনুযায়ী, পাসওয়ার্ড জানা কেউ চাকরি ছেড়ে দিলে ওয়্যারলেস কী পরিবর্তন করতে হয়। প্রতিটি স্টোর ম্যানেজার এই পাসওয়ার্ড জানেন, তাই কোনো ম্যানেজারের প্রস্থান ৩,০০০টি ডিভাইসের কী পরিবর্তনের কারণ হওয়া উচিত। বাস্তবে, এটি কখনোই ঘটে না।

কী করা হয়েছিল। এই চেইনটি RADIUS সহ Identity PSK ব্যবহার করে একটি ডিভাইস SSID যোগ করে, যেখানে Purple Access মূল কি (key) রেজিস্টার ধরে রাখে। চারটি গ্রুপ পলিসি পেমেন্ট, স্টোর অপারেশন, সাইনেজ এবং প্রিন্টারকে আলাদা করে। MDM স্ক্যানারে কি পাঠায়, ফলে স্টোর কর্মীরা কখনই কোনও ডিভাইস কি দেখতে পান না।

ফলাফল। একটি স্ক্যানার চুরি হওয়ার অর্থ এখন সেই স্টোরের ২০টি ডিভাইসের পরিবর্তে একটি কি বাতিল করা এবং অন্য জিরো ডিভাইসে হাত দেওয়া। একজন ম্যানেজার চলে গেলে আর কি রোটেশনের প্রয়োজন হয় না, কারণ ম্যানেজাররা কখনই ডিভাইস কি ধারণ করেন না। পেমেন্ট সেগমেন্টটি একটি ফ্ল্যাট নেটওয়ার্কে প্রতি স্টোরে ২০টি ডিভাইস থেকে কমে ছয়টি টিলে চলে আসে। PCI SSC নির্দেশিকা বলে যে সেগমেন্টেশন আপনার অ্যাসেসরের মূল্যায়নের সাপেক্ষে স্কোপের মধ্যে থাকা সিস্টেমগুলি কমাতে পারে।

ইভেন্ট: Juniper Mist-এ একটি স্টেডিয়াম

পরিস্থিতি। ৪০টি স্থায়ী কনসেশন টিল এবং ১২০টি সাইনেজ স্ক্রিন সহ একটি স্টেডিয়ামের কথা বিবেচনা করুন। একটি টিকিটিং ঠিকাদার প্রতিটি ইভেন্টে ২৫টি হ্যান্ডহেল্ড স্ক্যানার আনে। ঠিকাদারকে সর্বদা কর্মীদের পাসওয়ার্ড দেওয়া হয়েছে, এবং এটি কখনই পরিবর্তিত হয়নি।

কী করা হয়েছিল। স্টেডিয়ামটি Mist Cloud PSKs-এ স্থানান্তরিত হয়। টিলগুলি পেমেন্ট VLAN-এ একক ব্যবহারের কি পায়। সাইনেজ কি রেট লিমিট সহ একটি রোল বহন করে। প্রতিটি ইভেন্টে, ঠিকাদারের ২৫টি স্ক্যানার তাদের নিজেদের VLAN-এ একক ব্যবহারের কি পায়, যার মেয়াদ ইভেন্টের দিন শেষে শেষ হওয়ার জন্য সেট করা থাকে।

ফলাফল। প্রতিটি ইভেন্টের পরে সমস্ত ২৫টি ঠিকাদার কি স্বয়ংক্রিয়ভাবে মেয়াদ শেষ হয়ে যায়, যেখানে হাত দিয়ে বাতিল করার কিছু নেই। ঠিকাদার ডিভাইসগুলি কখনই এমন কোনও কি ধারণ করে না যা টিল সেগমেন্টে পৌঁছায়। সাইনেজ ক্যাপের অর্থ হলো হাফ-টাইমে কনটেন্ট পুশ কনসেশন পেমেন্টকে ধীর করতে পারবে না।

PPSK-এর খরচ কত, এবং আপনি ফেরত কী পাবেন?

PPSK-এর জন্য নতুন কোনও হার্ডওয়্যারের প্রয়োজন নেই। আপনার খরচ চারটি জায়গায় হয়:

• ডিজাইন করার সময়। ইনভেন্টরি তৈরি করা, সেগমেন্ট সম্মত হওয়া এবং ফায়ারওয়াল নিয়ম লেখা।
• সুইচ পরিবর্তন। প্রতিটি AP-তে ট্রাঙ্কিং সেগমেন্ট VLAN, যা সাধারণত একটি টেমপ্লেট পুশ।
• আনম্যানেজড ডিভাইসের জন্য স্টোর ভিজিট। MDM ছাড়া প্রিন্টার এবং ক্যামেরার জন্য একটি স্থানীয় পরিবর্তন প্রয়োজন।
• MAC বাইন্ডিংয়ের জন্য একটি কি সার্ভিস। Meraki-তে, তার অর্থ হলো Purple Access-এর মতো একটি RADIUS সার্ভিস। আপনার রিসেলারের সাথে আপনার Meraki এবং Mist লাইসেন্স টিয়ারগুলি পরীক্ষা করে নিন।

রিটার্নটি গণিতে দেখা সবচেয়ে সহজ। উপরের ফ্যাশন চেইনে, একটি শেয়ার করা কি রোটেট করার অর্থ হলো ৩,০০০টি ডিভাইসে হাত দেওয়া। ডিভাইস প্রতি পাঁচ মিনিট সময় ধরলে, একটি রোটেশনে ২৫০ ঘণ্টার স্টোর এবং IT সময় ব্যয় হয়। PPSK-এর মাধ্যমে, একই ইভেন্টে কেবল একটি কি পরিবর্তন করতে হয়। আরও বড় রিটার্ন হলো কন্টেইনমেন্ট: একটি হারিয়ে যাওয়া স্ক্যানার কেবল একটি ডিভাইসের সেগমেন্ট উন্মোচিত করে, পেমেন্ট নেটওয়ার্ক নয়।

Purple ৮০,০০০+ এরও বেশি লাইভ ভেন্যুতে চালিত হয় এবং ২০২৪ সালে ৪৪০ মিলিয়ন লগইন হ্যান্ডেল করেছে (Purple-এর নিজস্ব তথ্য)। Purple ISO 27001 সার্টিফিকেট ধারণ করে। ওপেন নেটওয়ার্কে গেস্ট মার্কেটিং Engage-এ রয়েছে। যেকোনো সেগমেন্টের জন্য DNS ফিল্টারিং হলো Shield, যা একটি আলাদা অ্যাড-অন। ওপেন এবং সিকিউর নেটওয়ার্কের জন্য, আমাদের Access নির্দেশিকাগুলি ব্রাউজ করুন।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

আমাদের স্টোরগুলিতে PPSK চালানোর জন্য আমাদের কি নতুন অ্যাক্সেস পয়েন্টের প্রয়োজন আছে?

না। PPSK আপনার ইতিমধ্যে বিদ্যমান অ্যাক্সেস পয়েন্টগুলিতেই চলে। Cisco Meraki MR অ্যাক্সেস পয়েন্টগুলি এটি Identity PSK হিসেবে সমর্থন করে এবং Juniper Mist অ্যাক্সেস পয়েন্টগুলি এটি Multi PSK হিসেবে সমর্থন করে। Purple Access কোনো নির্দিষ্ট হার্ডওয়্যারের ওপর নির্ভরশীল নয় এবং একটি ক্লাউড ওভারলে হিসেবে এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর উপরে কাজ করে। আপনি SSID সেটিংস, VLAN ট্রাঙ্ক এবং পলিসি পরিবর্তন করবেন, হার্ডওয়্যার নয়।

PPSK কি আমাদের PCI-DSS অ্যাসেসরকে সন্তুষ্ট করবে?

PPSK আপনাকে PCI-DSS-এর জন্য প্রমাণ সরবরাহ করে, তবে স্বয়ংক্রিয়ভাবে পাস করায় না। প্রতি ডিভাইসের আলাদা কি (key) প্রয়োজনীয়তা 2.3.2 কে সমর্থন করে, যেখানে বলা হয়েছে যে পাসওয়ার্ড জানা কেউ চাকরি ছাড়লে বা কি (key) হ্যাক হলে ওয়্যারলেস কি পরিবর্তন করতে হবে। টিল (till) বা ক্যাশ কাউন্টারের ডিভাইসগুলিকে নিজস্ব VLAN-এ সরিয়ে নেওয়া প্রয়োজনীয়তা 1 কে সমর্থন করে এবং স্কোপের অধীনে থাকা সিস্টেমের সংখ্যা কমাতে পারে। আপনার Qualified Security Assessor সিদ্ধান্ত নেবেন কোনটি গ্রহণযোগ্য, তাই তাদের জন্য আপনার কি (key) রেজিস্টার, পলিসি এবং টেস্টের ফলাফল এক্সপোর্ট করুন।

স্টোরের ডিভাইসগুলির কি PPSK বা 802.1X সার্টিফিকেট ব্যবহার করা উচিত?

যেসব ডিভাইস সার্টিফিকেট এনরোল এবং রিনিউ করতে পারে সেগুলির জন্য সার্টিফিকেট ব্যবহার করুন, এবং বাকি সবকিছুর জন্য PPSK ব্যবহার করুন। MDM-এর অধীনে থাকা কর্মীদের ল্যাপটপ এবং ফোনের জন্য EAP-TLS সহ IEEE 802.1X ডিফল্ট হিসেবে থাকবে। বেশিরভাগ টিল (till), প্রিন্টার, সাইনেজ প্লেয়ার এবং ক্যামেরা স্কেলে সার্টিফিকেট এনরোল করতে পারে না এবং এদের অনেকেই কেবল WPA2-Personal সমর্থন করে। PPSK সেই ডিভাইসগুলিকে ডিভাইস পরিবর্তন না করেই প্রতি ডিভাইসের জন্য নিজস্ব আইডেন্টিটি, VLAN এবং রেভোকেশন সুবিধা দেয়।

আমরা কি প্রতিটি স্টোরে সশরীরে না গিয়ে একটি শেয়ার করা স্টাফ পাসওয়ার্ড থেকে ডিভাইসগুলি সরাতে পারি?

হ্যাঁ, যেসব ডিভাইস আপনি MDM-এর মাধ্যমে পরিচালনা করেন সেগুলির জন্য পারবেন। নতুন ডিভাইস SSID, এর প্রতি ডিভাইসের জন্য নির্দিষ্ট কি (key) এবং একটি ফিক্সড-MAC সেটিং একটি একক প্রোফাইল হিসেবে পুশ করুন। তারপর প্রতিটি ডিভাইস সঠিক VLAN-এ পৌঁছেছে কিনা তা নিশ্চিত করুন। MDM ছাড়া অন্যান্য ডিভাইস, যেমন অনেক প্রিন্টার এবং ক্যামেরার জন্য লোকাল পরিবর্তন বা ভেন্ডরের কনফিগারেশন টুলের প্রয়োজন হয়। বিদ্যমান স্টোর ভিজিটের সময় সেগুলির পরিকল্পনা করুন এবং শেষ ডিভাইসটি স্থানান্তরিত না হওয়া পর্যন্ত পুরানো SSID-টি চালু রাখুন।

কোনো স্ক্যানার তার MAC অ্যাড্রেস র‍্যান্ডমাইজ করলে কী হবে?

একটি MAC-বাউন্ড কি (key) এটিকে প্রত্যাখ্যান করবে, তাই ডিভাইসের SSID-এর জন্য র‍্যান্ডমাইজেশন নিষ্ক্রিয় করুন। Android 10 এবং পরবর্তী সংস্করণগুলি ডিফল্টরূপে প্রতি নেটওয়ার্কে একটি র‍্যান্ডমাইজড MAC ব্যবহার করে এবং বেশিরভাগ রাগড (rugged) স্ক্যানার Android-এ চলে। আপনার MDM-এর মাধ্যমে ডিভাইসের MAC ব্যবহার করতে WiFi প্রোফাইলটি সেট করুন। র‍্যান্ডমাইজেশন পাবলিক নেটওয়ার্কে মানুষের গোপনীয়তা রক্ষা করে। এটি আপনার নিজস্ব নেটওয়ার্কে যুক্ত হওয়া কোনো পরিচালিত টিল (till) বা স্ক্যানারের ক্ষেত্রে অতিরিক্ত কোনো সুবিধা যোগ করে না।

Purple Access কি গ্রাহকদের WiFi এবং কন্টেন্ট ফিল্টারিংও কভার করে?

হ্যাঁ, একটি একক প্ল্যাটফর্ম থেকে পরিচালিত আলাদা নেটওয়ার্কগুলিতে এটি করে। গ্রাহকরা একটি Captive Portal-এর মাধ্যমে ওপেন নেটওয়ার্কে যুক্ত হন, যেখানে Engage-এর মাধ্যমে মার্কেটিং এবং সচেতন পছন্দের অপ্ট-ইন পরিচালনা করা হয়। কর্মীরা সার্টিফিকেট বা Microsoft Entra ID, Okta বা Google Workspace সাইন-ইন সহ সিকিউর নেটওয়ার্কে যুক্ত হন। DNS ফিল্টারিং হলো Shield, যা একটি পৃথক অ্যাড-অন। ডিভাইসগুলি xPSK-এ থাকে, তাই একটি টিল (till) কখনোই একজন গ্রাহকের ফোনের সাথে নেটওয়ার্ক শেয়ার করে না।

একটি স্টোর এস্টেটজুড়ে PPSK রোলআউট করতে কতটা প্রচেষ্টার প্রয়োজন হয়?

প্রথম কী তৈরি হওয়ার আগেই বেশিরভাগ কাজ সম্পন্ন হবে বলে আশা রাখুন। কন্সোলের কাজের চেয়ে MAC অ্যাড্রেস দিয়ে ডিভাইসের ইনভেন্টরি তৈরি করতে বেশি সময় লাগে। পেমেন্ট এবং CCTV মালিকদের সাথে সেগমেন্টের বিষয়ে একমত হতে এবং প্রতিটি অ্যাক্সেস পয়েন্টে ট্রাঙ্কিং VLAN সেটআপ করতেও সময় বেশি লাগে। একবার একটি পাইলট স্টোর প্রতিটি পরীক্ষায় উত্তীর্ণ হয়ে গেলে, পরবর্তী স্টোরগুলো একই পলিসি এবং কী টেমপ্লেট পুনরায় ব্যবহার করতে পারে। MDM-এর অধীনে থাকা ডিভাইসগুলো রিমোটলি স্থানান্তরিত হয়, যেখানে আনম্যানেজড প্রিন্টার এবং ক্যামেরাগুলো প্রতিটি ওয়েভের গতি নির্ধারণ করে।