রিটেল সেন্টারগুলোতে কনসেসন এবং টেন্যান্ট WiFi: প্রতি টেন্যান্টে একটি কি (key) এবং VLAN সহ একটি xPSK আর্কিটেকচার

প্রত্যেকটি কনসেশন এবং টেন্যান্ট ইউনিটের জন্য একটি করে xPSK SSID চালান। প্রতিটি টেন্যান্ট তাদের নিজস্ব কী পাবে, এবং এই কী তাদের টিল, ট্যাবলেট এবং ব্যাক-অফিস ডিভাইসগুলোকে তাদের নিজস্ব VLAN-এ স্থাপন করবে। ক্রেতারা উন্মুক্ত Captive Portal নেটওয়ার্কে এবং সেন্টারের সিস্টেমগুলো একটি সুরক্ষিত 802.1X নেটওয়ার্কে থাকবে: সর্বমোট তিনটি SSID, যেখানে লিজ শেষ হওয়ার দিনেই কী বাতিল করা হয়।

প্রতি টেন্যান্টের জন্য কী-এবং-VLAN নেটওয়ার্ক প্রকৃতপক্ষে কী করে?

একটি খুচরা বিক্রয় কেন্দ্রের অ্যাক্সেস পয়েন্টগুলোর মালিক কেন্দ্র নিজেই, তবে ডজন ডজন আলাদা ব্যবসা সেগুলোর ওপর নির্ভর করে। প্রতিটি কনসেশন, কিওস্ক এবং টেন্যান্ট ইউনিট টিল, স্টক ট্যাবলেট, ব্যাক-অফিস পিসি এবং প্রায়শই ডিজিটাল সাইনেজ পরিচালনা করে। এই ডিভাইসগুলো যেন একে অপরকে, ক্রেতাদের বা সেন্টারের নিজস্ব বিল্ডিং সিস্টেমগুলোকে দেখতে না পায়।

xPSK হলো এমন নেটওয়ার্কের জন্য একটি সার্বিক শব্দ যেখানে একটি একক SSID-এ প্রতিটি টেন্যান্ট বা ডিভাইসের নিজস্ব প্রি-শেয়ার্ড কী থাকে। প্রতিটি ভেন্ডর এটিকে আলাদা নামে ডাকে:

• Cisco Meraki: Identity PSK (iPSK)।
• HPE Aruba: MPSK।
• Ruckus: DPSK।
• Juniper Mist: Multi PSK।
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK)।

যখন কোনো ডিভাইস যুক্ত হয়, সেটি যে কী প্রদর্শন করে তা দ্বারা টেন্যান্টকে শনাক্ত করা হয়। এরপর RADIUS সেই টেন্যান্টের VLAN ফেরত পাঠায়। RADIUS হলো একটি প্রোটোকল যা আপনার অ্যাক্সেস পয়েন্টগুলো ব্যবহার করে একটি অথেনটিকেশন সার্ভারকে জিজ্ঞাসা করার জন্য যে কে সংযোগ স্থাপন করছে। একটি VLAN (ভার্চুয়াল LAN, IEEE 802.1Q-এ সংজ্ঞায়িত) হলো একই সুইচ এবং ক্যাবলিংয়ের ওপর চলা একটি আলাদা লেয়ার 2 নেটওয়ার্ক।

এর ফলে বাতাসে একটি নেটওয়ার্কের নাম থাকে এবং তারের মাধ্যমে অনেকগুলো বিচ্ছিন্ন নেটওয়ার্ক তৈরি হয়। পরিচয় VLAN নির্ধারণ করে, SSID নয়।

কেন প্রতি টেন্যান্টের জন্য একটি SSID স্কেল করে না

প্রতিটি SSID প্রতিটি রেডিওতে তার নিজস্ব বিকন ফ্রেম সম্প্রচার করে। IEEE 802.11 ডিফোল্ট বিকন ব্যবধান হলো 100 টাইম ইউনিট, বা 102.4 মিলি-সেকেন্ড, তাই প্রতিটি SSID সেকেন্ডে প্রায় 10 বার বিকন পাঠায়। বিকনগুলো সর্বনিম্ন মৌলিক ডেটা রেটে যায়, যা সেগুলোকে এয়ারটাইমের দিক থেকে ব্যয়বহুল করে তোলে।

তাই প্রতিটি অতিরিক্ত SSID এয়ারটাইম খরচ করে যা টেন্যান্ট এবং ক্রেতাদের ট্রাফিকের কাজে লাগতে পারত। 20টি টেন্যান্ট SSID থাকলে, সীমানার মধ্যে থাকা প্রতিটি অ্যাক্সেস পয়েন্ট 20 সেট বিকন পাঠায়। ভেন্ডরগুলো একটি একক রেডিও সর্বোচ্চ কতটি SSID সম্প্রচার করতে পারে তারও সীমা নির্ধারণ করে দেয়। 60টি ইউনিট বিশিষ্ট একটি সেন্টার তার শেষ লিজ চুক্তি স্বাক্ষর করার আগেই সেই সীমায় পৌঁছে যায়।

পরিচালনা ব্যয়ও বৃদ্ধি পায়। প্রতিটি SSID-এর ঘোরানোর জন্য নিজস্ব পাসফ্রেজ রয়েছে, এবং প্রতিটি রোটেশন সেই টেন্যান্টের সমস্ত ডিভাইসকে একবারে বিচ্ছিন্ন করে দেয়।

একটি খুচরা বিক্রয় কেন্দ্রের কতগুলো SSID প্রয়োজন?

অধিকাংশ সেন্টারের জন্য তিনটিই সঠিক সংখ্যা:

1. ক্রেতাদের জন্য ওপেন গেস্ট নেটওয়ার্ক। এই নেটওয়ার্কটি একটি Captive Portal ব্যবহার করে: কোনো ডিভাইস ইন্টারনেটে পৌঁছানোর আগে যে সাইন-ইন পৃষ্ঠাটি দেখে। ডিজাইনের বিকল্পগুলোর জন্য Captive portals দেখুন। এই নেটওয়ার্কে গেস্ট মার্কেটিং Purple Engage প্ল্যানের অন্তর্ভুক্ত, এবং DNS ফিল্টারিং হলো Shield।
2. ভাড়াটেদের জন্য xPSK নেটওয়ার্ক। প্রতিটি কনসেশন, কিওস্ক এবং ভাড়াটে ইউনিট এখানে সংযুক্ত হয়। কেন্দ্রের নিজস্ব হেডলেস ডিভাইস, যেমন CCTV, বিল্ডিং ম্যানেজমেন্ট কন্ট্রোলার এবং সাইনেজ প্লেয়ারগুলিও এতে যোগ দেয়, যার প্রতিটির নিজস্ব কী এবং VLAN রয়েছে।
3. কেন্দ্রের কর্মীদের জন্য সুরক্ষিত নেটওয়ার্ক। এই নেটওয়ার্কটি পোর্ট ভিত্তিক নেটওয়ার্ক অথেন্টিকেশনের জন্য IEEE স্ট্যান্ডার্ড 802.1X ব্যবহার করে। এটিকে EAP-TLS এর সাথে পেয়ার করুন, যা একটি সার্টিফিকেট দিয়ে প্রতিটি ডিভাইসকে অথেন্টিকেট করে। আইডেন্টিটি আসে Microsoft Entra ID, Okta বা Google Workspace থেকে। EAP TLS vs PEAP: Security, Certs and Fit এবং Okta WiFi Authentication: Setup Steps, Options and Fixes এই বিষয়গুলি কভার করে।

দৃষ্টিভঙ্গি	60 জন ভাড়াটের জন্য SSID	ভাড়াটে আইসোলেশন	একজন ভাড়াটেকে সরানো	বিকন ওভারহেড	এটি কাদের জন্য উপযুক্ত
প্রতি ভাড়াটে একটি করে SSID	60 টি ভাড়াটে SSID, যা প্রতি-রেডিও সীমার বাইরে	প্রতি SSID-তে একটি VLAN	সেই SSID টি মুছে ফেলুন এবং রেডিওগুলি পুনরায় কনফিগার করুন	প্রতিটি SSID এর সাথে বৃদ্ধি পায়	পাঁচজনের কম ভাড়াটে রয়েছে এমন কেন্দ্রগুলি
সমস্ত ভাড়াটের জন্য একটি শেয়ার্ড কী	1	কোনোটিই নয়: একটি কী, একটি VLAN	প্রতিটি ভাড়াটের জন্য কী পরিবর্তন করুন	একটি SSID	কোনো কেন্দ্র যেখানে ভাড়াটেরা ক্যাশ কাউন্টার বা টিল পরিচালনা করে সেখানে প্রযোজ্য নয়
xPSK: প্রতি ভাড়াটে একটি কী এবং VLAN	1	প্রতি কী-তে একটি VLAN	একটি কী বাতিল করুন; অন্যরা অপরিবর্তিত থাকবে	একটি SSID	হেডলেস ডিভাইস সহ কনসেশন, কিওস্ক এবং ইউনিটগুলি
প্রতি ডিভাইসে 802.1X	1	প্রতি আইডেন্টিটিতে একটি VLAN	সার্টিফিকেট বা অ্যাকাউন্টটি বাতিল করুন	একটি SSID	ম্যানেজড ডিভাইস সহ ভাড়াটেরা যা একটি 802.1X অ্যাপ্লিক্যান্ট পরিচালনা করে

যেখানে কোনো ভাড়াটের ডিভাইস এটি সাপোর্ট করে, সেখানে 802.1X হলো সবচেয়ে শক্তিশালী মডেল। অধিকাংশ কনসেশন এস্টেটে টিল, কার্ড টার্মিনাল, ট্যাবলেট এবং সাইনেজ প্লেয়ারের মিশ্রণ থাকে। এগুলির মধ্যে অনেকগুলি 802.1X অ্যাপ্লিক্যান্ট চালাতে পারে না, তাই xPSK সেগুলি পরিচালনা করে।

শুরু করার আগে আপনার কী প্রয়োজন?

এক্সেস পয়েন্ট এবং একটি কনসোল যা মাল্টি-কী PSK সাপোর্ট করে

আপনার কোনো নতুন হার্ডওয়্যারের প্রয়োজন নেই। Purple হলো ক্লাউড RADIUS সহ একটি হার্ডওয়্যার-নিরপেক্ষ ক্লাউড ওভারলে, এবং এটি আপনার ইতিমধ্যেই মালিকানাধীন এক্সেস পয়েন্টগুলির উপরে কাজ করে। আপনি শুরু করার আগে, নিশ্চিত করুন যে আপনার মডেল এবং ফার্মওয়্যার RADIUS-অ্যাসাইন করা VLAN সহ মাল্টি-কী PSK সাপোর্ট করে।

ভেন্ডর	ফিচারের নাম	কনসোল
Cisco Meraki	RADIUS সহ Identity PSK (iPSK)	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone বা RUCKUS One
Juniper Mist	Multi PSK	Juniper Mist ক্লাউড ড্যাশবোর্ড
Ubiquiti UniFi	Private Pre-Shared Keys	UniFi Network অ্যাপ্লিকেশন

আপনার ভেন্ডরের ডকুমেন্টেশনে আরও একটি বিষয় পরীক্ষা করুন: WPA3 সাপোর্ট। অনেক xPSK ইমপ্লিমেন্টেশন AES সহ WPA2-PSK-এ চলে। একটি SSID-তে একাধিক কী-এর জন্য WPA3-SAE সাপোর্ট ভেন্ডর এবং ফার্মওয়্যার অনুযায়ী ভিন্ন হয়। Meraki এবং Mist বিল্ড বিশদের জন্য, PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist দেখুন।

একটি VLAN এবং IP প্ল্যান

IEEE 802.1Q একটি 12-বিট VLAN ID ব্যবহার করে, যা 4,094 টি ব্যবহারযোগ্য VLAN প্রদান করে। এটি যেকোনো কেন্দ্রকে স্বাচ্ছন্দ্যে কভার করে। প্রথম কী ইস্যু করার আগে নিম্নলিখিত বিষয়গুলি পরিকল্পনা করুন:

• টেন্যান্টদের জন্য একটি সংরক্ষিত VLAN ব্লক। এটিকে সেন্টারের ম্যানেজমেন্ট, CCTV এবং গেস্ট VLAN থেকে আলাদা রাখুন।
• প্রতিটি টেন্যান্ট VLAN-এর জন্য একটি সাবনেট এবং DHCP স্কোপ। টেন্যান্টের ঘোষিত ডিভাইসের সংখ্যা এবং মরশুমি অতিরিক্ত ডিভাইসের কথা মাথায় রেখে প্রতিটি সাইজ নির্ধারণ করুন।
• প্রতিটি এক্সেস পয়েন্ট সুইচ পোর্টের ট্রাঙ্ক। প্রতিটি টেন্যান্ট VLAN-কে এমন প্রতিটি পোর্টে পৌঁছাতে হবে যেখানে টেন্যান্ট ডিভাইস কানেক্ট হতে পারে। বাস্তবে, এর অর্থ হল সেন্টারের প্রতিটি পোর্ট।
• গেটওয়েতে ফায়ারওয়াল রুল। টেন্যান্ট-টু-টেন্যান্ট ট্র্যাফিক এবং টেন্যান্ট-টু-সেন্টার ট্র্যাফিক ব্লক (Deny) করুন এবং ইন্টারনেট এক্সেসের অনুমতি দিন। টেন্যান্টের প্রয়োজন অনুযায়ী তাদের পেমেন্ট প্রসেসর এবং হেড-অফিস VPN-এর অনুমতি দিন।

চাবি বা কী (key) কার কাছে থাকবে সে বিষয়ে সিদ্ধান্ত

সেন্টার IT-র প্রতিটি কী ইস্যু করা উচিত এবং প্রতিটি টেন্যান্টের একজন নির্দিষ্ট পরিচিত ব্যক্তির নাম দেওয়া উচিত যিনি এটি গ্রহণ করবেন। কী-এর বিপরীতে সেই পরিচিত ব্যক্তির তথ্য রেকর্ড করুন। এই রেকর্ড না থাকলে, কোনো টেন্যান্ট কী কম্প্রোমাইজ হওয়ার রিপোর্ট করলে কে সেই কী জানত তা আপনি বলতে পারবেন না।

এরপর, প্রতি টেন্যান্টে একটি কী নাকি প্রতি ডিভাইসে একটি কী - এর মধ্যে থেকে বেছে নিন। প্রতি টেন্যান্টে একটি কী ম্যানেজ করা দ্রুততর। টিল (till) এবং কার্ড হ্যান্ডলিং সরঞ্জামের জন্য প্রতি ডিভাইসে একটি কী ব্যবহার করা বেশি নিরাপদ। যদি একটি স্টক ট্যাবলেট হারিয়ে যায়, আপনি কেবল সেটির কী বাতিল করবেন এবং টিলগুলো অনলাইনে থাকবে।

PCI DSS v4.0-এর নিয়ম 2.3.2 অনুযায়ী, কার্ডহোল্ডার ডেটা এনভায়রনমেন্টের সাথে সংযুক্ত ওয়্যারলেস কীগুলো পরিবর্তন করা প্রয়োজন যখন কী সম্পর্কে অবগত কোনো ব্যক্তি প্রতিষ্ঠান ত্যাগ করেন। প্রতি-টেন্যান্ট এবং প্রতি-ডিভাইস কী এই পরিবর্তনকে সবচেয়ে ছোট সম্ভাব্য গ্রুপে সীমাবদ্ধ রাখে।

আপনি কীভাবে প্রতি টেন্যান্টের জন্য একটি কী এবং VLAN সেট আপ করবেন?

একবার xPSK SSID তৈরি করুন

Purple-এর দিকে নির্দেশিত RADIUS অথেন্টিকেশন সহ আপনার ভেন্ডর কনসোলে টেন্যান্ট SSID তৈরি করুন। বেসলাইন হিসেবে AES সহ WPA2-PSK ব্যবহার করুন এবং যেখানে আপনার ভেন্ডর মাল্টি-কী PSK-এর জন্য এটি সাপোর্ট করে সেখানে WPA3 ব্যবহার করুন। SSID ব্রডকাস্ট করুন: নেটওয়ার্কের নাম লুকিয়ে রাখলে বাড়তি কোনো সিকিউরিটি যোগ হয় না, বরং ডিভাইসগুলো এটিকে সব জায়গায় খোঁজার চেষ্টা করে।

আপনার ভেন্ডরের জন্য Purple-এর সেটআপ ডকুমেন্টেশনে সঠিক সেটিং দেওয়া আছে। অন্য কোনো সাইট থেকে মান কপি করার বদলে সেটি অনুসরণ করুন।

প্রতিটি টেন্যান্ট কী-কে তার VLAN-এর সাথে ম্যাপ করুন

Purple-এ, প্রতিটি টেন্যান্ট রেকর্ডে এক বা একাধিক কী এবং একটি VLAN ID থাকে। যখন কোনো ডিভাইস অথেন্টিকেট করে, তখন Purple RFC 3580-এ বর্ণিত স্ট্যান্ডার্ড RADIUS টানেল অ্যাট্রিবিউট ব্যবহার করে VLAN রিটার্ন করে। এগুলো হল Tunnel-Type, Tunnel-Medium-Type এবং Tunnel-Private-Group-ID। এক্সেস পয়েন্ট তখন ডিভাইসটিকে সেই VLAN-এ রাখে।

প্রতি টেন্যান্ট অনুযায়ী ব্যান্ডউইথ লিমিট সেট করুন

Purple VLAN নির্ধারণ করে। আপনার কনসোল সেই VLAN, গ্রুপ বা রোলে যে পলিসি অ্যাপ্লাই করে, ব্যান্ডউইথ লিমিট তার সাথে যুক্ত হয়। Cisco Meraki গ্রুপ পলিসি এবং HPE Aruba ইউজার রোল উভয়েই রেট লিমিট সাপোর্ট করে এবং অন্যান্য ভেন্ডরগুলোও এর সমতুল্য সুবিধা দেয়।

কিয়স্ক, স্ট্যান্ডার্ড ইউনিট এবং অ্যাঙ্কর স্টোরের মতো কয়েকটি ক্যাটাগরি বা টায়ার সংজ্ঞায়িত করুন। নতুন টেন্যান্ট যুক্ত করার সময় প্রতিটি টেন্যান্টকে একটি টায়ারে অ্যাসাইন করুন। এই টায়ারগুলো কোনো একটি একক ইউনিটকে প্রমোশনাল ভিডিও স্ট্রিম করে পাশের দোকানের টিলগুলোর নেটওয়ার্ক স্লো করা থেকে আটকায়। লিজের মধ্যে কানেক্টিভিটির শর্ত অন্তর্ভুক্ত থাকলে এগুলো আপনাকে একটি সুবিধা দেয়।

একটি নতুন ইউনিট অনবোর্ড করুন

অনবোর্ডিং প্রক্রিয়াটি খোলার সপ্তাহের জন্য ফেলে না রেখে ফিট-আউট চেকক্লিনিকের অন্তর্ভুক্ত করুন:

1. টেন্যান্ট রেকর্ড তৈরি করুন যখন লিজ স্বাক্ষরিত হয়। ইউনিট নম্বর, মনোনীত পরিচিতি, লিজ শুরু ও শেষ হওয়ার তারিখ এবং ব্যান্ডউইথ টিয়ার অন্তর্ভুক্ত করুন।
2. টেন্যান্ট ব্লক থেকে একটি VLAN বরাদ্দ করুন এবং এর DHCP স্কোপ নিশ্চিত করুন।
3. টেন্যান্টের ঘোষণা করা যেকোনো পেমেন্ট প্রসেসর বা VPN এন্ডপয়েন্ট সহ সেই VLAN-এর জন্য ফায়ারওয়াল নিয়ম প্রয়োগ করুন।
4. Purple-এ কী (key) বা কীসমূহ তৈরি করুন এবং সেগুলিকে VLAN-এ ম্যাপ করুন।
5. একটি এনক্রিপ্ট করা চ্যানেলের মাধ্যমে মনোনীত পরিচিতির কাছে কী (key) পাঠান। লিজ প্যাকের মধ্যে এটি কখনোই প্রিন্ট করবেন না।
6. ইউনিট থেকে পরীক্ষা করুন। একটি ডিভাইস কানেক্ট করুন এবং নিশ্চিত করুন যে এটি সঠিক সাবনেট পাচ্ছে এবং ইন্টারনেটে পৌঁছাতে পারছে।
7. তারিখ, প্রদানকারী, প্রাপক এবং VLAN সহ ইস্যুটি রেকর্ড করুন।

একজন টেন্যান্ট চলে গেলে অ্যাক্সেস বাতিল করুন

লিজ শেষ হওয়ার তারিখে টেন্যান্টের কী (key) বাতিল করুন এবং এক্সিট চেকলিস্টের অংশ হিসেবে এটি শিডিউল করুন। অ্যাক্সেস বাতিল করার সাথে সাথে নতুন কানেকশন বন্ধ হয়ে যায়।

যে ডিভাইসগুলি ইতিমধ্যেই কানেক্টেড আছে, সেগুলি আপনার প্ল্যাটফর্মের ওপর ভিত্তি করে পুনরায় কানেক্ট না হওয়া পর্যন্ত যুক্ত থাকতে পারে। যেখানে আপনার প্ল্যাটফর্ম RADIUS Change of Authorisation (CoA, যা RFC 5176-এ সংজ্ঞায়িত) সাপোর্ট করে, সেগুলিকে ডিসকানেক্ট করতে এটি ব্যবহার করুন। অন্যথায়, ভেন্ডর কনসোল থেকে ক্লায়েন্টদের ডিসকানেক্ট করুন।

পুনরায় বরাদ্দ করার আগে মুক্ত হওয়া VLAN-কে একটি কোয়ারেন্টাইন সময়ের জন্য অব্যবহৃত রাখুন। এটি একটি ভুলে যাওয়া ডিভাইসকে পরবর্তী টেন্যান্টের নেটওয়ার্কে দেখা দেওয়া থেকে আটকায়। আপনার HR টিম স্টাফ অ্যাকাউন্টগুলির জন্য যে জয়েনার, মুভার এবং লিভার শৃঙ্খলা প্রয়োগ করে, তা এখন টেন্যান্টদের ক্ষেত্রেও প্রযোজ্য।

সেগমেন্টেশন কাজ করছে কিনা তা আপনি কীভাবে পরীক্ষা করবেন?

অনবোর্ডিংয়ের সময় প্রতিটি নতুন টেন্যান্ট পরীক্ষা করুন এবং প্রতি ত্রৈমাসিকে পুরো এস্টেট স্যাম্পল করুন:

• সঠিক VLAN: টেন্যান্ট কী (key) ব্যবহার করে এমন একটি ডিভাইস সেই টেন্যান্টের সাবনেটে একটি অ্যাড্রেস পায়।
• কোনো ল্যাটেরাল অ্যাক্সেস নেই: একটি টেন্যান্ট ডিভাইস থেকে, পার্শ্ববর্তী টেন্যান্টের VLAN-এর গেটওয়ে সাড়া দেয় না।
• সেন্টার সিস্টেমে কোনো অ্যাক্সেস নেই: CCTV, বিল্ডিং ম্যানেজমেন্ট এবং সেন্টার স্টাফের সাবনেটগুলিতে পৌঁছানো যায় না।
• ইন্টারনেট কাজ করে: টেন্যান্ট ইন্টারনেটে এবং যেকোনো অনুমোদিত পেমেন্ট বা VPN এন্ডপয়েন্টে পৌঁছাতে পারে।
• বাতিলকরণ কাজ করে: একটি বাতিল করা কী (key) অথেন্টিকেট করতে ব্যর্থ হয়।

যদি টেন্যান্টের টিলগুলি কার্ড ডাটা হ্যান্ডেল করে, তবে PCI-DSS v4.0-এর প্রয়োজনীয়তা 11.4.5 অন্তত প্রতি 12 মাসে একবার সেগমেন্টেশন নিয়ন্ত্রণের পেনিট্রেশন টেস্টিং আশা করে। আপনার ত্রৈমাসিক ফলাফল এবং বার্ষিক পরীক্ষা হলো সেই প্রয়োজনীয়তার প্রমাণ। মার্চেন্ট হিসেবে প্রতিটি টেন্যান্ট তাদের নিজস্ব PCI-DSS মূল্যায়নের জন্য তারা নিজেরাই দায়ী থাকে।

কী লগ করতে হবে

তিনটি প্রশ্নের উত্তর দেওয়ার জন্য পর্যাপ্ত তথ্য লগ করুন: কার অ্যাক্সেস ছিল, কখন এবং কোন VLAN-এ।

• ইসু করা কী (key): টেন্যান্ট, কী ID, VLAN, প্রদানকারী, প্রাপক এবং তারিখ।
• বাতিল করা কী (key): টেন্যান্ট, কী ID, কারণ, বাতিলকারী এবং তারিখ।
• অথেন্টিকেশন ইভেন্টগুলি: কী ID, ডিভাইস MAC অ্যাড্রেস, অ্যাক্সেস পয়েন্ট, বরাদ্দ করা VLAN, টাইমস্ট্যাম্প এবং ফলাফল।
• প্রতি টেন্যান্ট VLAN-এ ফায়ারওয়াল নিয়মের পরিবর্তন।

GDPR-এর অধীনে ডিভাইসের MAC ঠিকানাগুলো ব্যক্তিগত ডাটা হতে পারে যখন সেগুলো কোনো ব্যক্তির সাথে যুক্ত করা যায়। একটি সংরক্ষণের সময়সীমা নির্ধারণ করুন, এটি নথিভুক্ত করুন এবং সময়সূচী অনুযায়ী মুছে ফেলুন। Purple-এর ISO 27001 সার্টিফিকেশন রয়েছে এবং এটি GDPR ও CCPA-এর জন্য সার্টিফাইড, যা আপনার নিজস্ব সরবরাহকারী মূল্যায়নের প্রমাণ দেয়। বিস্তৃত নিয়ন্ত্রণ সেটের জন্য, WiFi security এবং Guest network security: A practical Guide for 2026 দেখুন।

কাজের কিছু বাস্তব চিত্র

এই দুটি দৃশ্যপট কাল্পনিক ডিজাইন, কোনো নির্দিষ্ট নামযুক্ত স্থাপনা নয়। এর ফলাফলগুলো ডিজাইন থেকেই অনুমিত।

একটি ৭০টি ইউনিটের শপিং সেন্টার যা ভাড়াটিয়াদের SSID পরিবর্তন করছে

পরিস্থিতি। সেন্টারটি ১৪টি SSID ব্রডকাস্ট করত: গেস্ট, সেন্টার স্টাফ এবং প্রথম দিকের বড় ভাড়াটিয়াদের জন্য তৈরি ১২টি ভাড়াটিয়া SSID। বাকি ৫৮টি ইউনিট একটি একক VLAN-এ একটি শেয়ার করা ভাড়াটিয়া পাসওয়ার্ড ব্যবহার করত। একজন ভাড়াটিয়া চলে যাওয়ার অর্থ ছিল সেন্টারের অন্য প্রতিটি ভাড়াটিয়ার জন্য সেই পাসওয়ার্ড পরিবর্তন করা।

যা করা হয়েছিল। IT সবকিছুকে তিনটি SSID-এ কমিয়ে এনেছে: গেস্ট, EAP-TLS সহ 802.1X-এ সেন্টার স্টাফ, এবং একটি xPSK ভাড়াটিয়া SSID। ৭০টি ইউনিটের প্রতিটিই তাদের নিজস্ব কী এবং VLAN পেয়েছে, সাথে ক্যাশ কাউন্টারের জন্য ডিভাইস-প্রতি কী রয়েছে। IT ১২টি SSID-ভিত্তিক ভাড়াটিয়াকে একে একে স্থানান্তরিত করেছে, প্রতিটি পুরোনো SSID তুলে নেওয়া হয়েছে যখনই এর ডিভাইসগুলো স্থানান্তরিত হয়েছে। CCTV এবং বিল্ডিং ম্যানেজমেন্ট একই ভাড়াটিয়া SSID-এ তাদের নিজস্ব কী এবং VLAN-এ স্থানান্তরিত হয়েছে।

ফলাফল। প্রতিটি রেডিও ১৪টি SSID থেকে তিনটি SSID-এ নেমে এসেছে। রেডিও প্রতি বীকন ফ্রেম প্রতি সেকেন্ডে প্রায় ১৩৭ থেকে কমে প্রায় ২৯-এ এসেছে। একজন ভাড়াটিয়া চলে গেলে ৫৮টি ব্যবসার জন্য নতুন করে কী তৈরির পরিবর্তে শুধু একটি কী বাতিল করলেই কাজ হয়ে যাচ্ছে। ভাড়াটিয়া-থেকে-ভাড়াটিয়া ট্র্যাফিক, যা আগে শেয়ার করা VLAN-এ উন্মুক্ত ছিল, তা এখন গেটওয়েতে ব্লক করা হয়েছে এবং ত্রৈমাসিক পরীক্ষা করা হয়।

সপ্তাহের ছুটির দিনের ব্যবসায়ীদের সাথে কাউন্সিল পরিচালিত একটি মার্কেট হল

পরিস্থিতি। একটি পাবলিক-সেক্টর মার্কেট হলে ৪০টি স্থায়ী স্টল এবং ২৫ জন পর্যন্ত সপ্তাহের ছুটির দিনের ব্যবসায়ী থাকে। প্রতিটি ব্যবসায়ী একটি শেয়ার করা পাসওয়ার্ড ব্যবহার করতেন যা বছরের পর বছর ধরে পরিবর্তন করা হয়নি। প্রাক্তন ব্যবসায়ীরা এখনও কার পার্কিং এলাকা থেকে কানেক্ট করতে পারতেন।

যা করা হয়েছিল। প্রতিটি স্থায়ী স্টল তার নিজস্ব কী এবং VLAN পেয়েছে। সপ্তাহের ছুটির দিনের ব্যবসায়ীরা একটি শেয়ার করা, ক্লায়েন্ট-আইসোলেটেড ট্রেডার VLAN-এ ম্যাপ করা পৃথক কী পেয়েছেন, যাতে তাদের ডিভাইসগুলো একে অপরের সাথে যোগাযোগ করতে না পারে। দায়িত্বপ্রাপ্ত ম্যানেজার রবিবার বন্ধের চেকলিস্টের অংশ হিসেবে সপ্তাহের ছুটির দিনের সমস্ত কী বাতিল করেন এবং শনিবার স্টল বরাদ্দের সাথে নতুন কী দিয়ে দেওয়া হয়।

ফলাফল। কাউন্সিল একটি দীর্ঘস্থায়ী শেয়ার করা পাসওয়ার্ড থেকে ৪০টি স্থায়ী কী এবং ২৫টি পর্যন্ত সাপ্তাহিক কী ব্যবহারের সুবিধা পাচ্ছে। কোনো কী এর ব্যবহারকারীর মেয়াদের চেয়ে বেশি দিন কার্যকর থাকে না। কাউন্সিল প্রতিটি ইস্যু করা এবং বাতিল করা কী-এর একটি লগও তৈরি করতে পারছে, যা আগে তাদের কাছে ছিল না।

সমস্যা কোথায় হতে পারে, এবং আপনি কীভাবে তা সমাধান করবেন?

লক্ষণ	সম্ভাব্য কারণ	সমাধান
ডিভাইস কানেক্ট হলেও ডিফল্ট VLAN-এ চলে যায়	RADIUS উত্তরের মধ্যে VLAN অ্যাট্রিবিউট নেই, অথবা SSID-টি RADIUS VLAN ওভাররাইড উপেক্ষা করে	Purple-এ কী-থেকে-VLAN ম্যাপিং নিশ্চিত করুন, তারপর SSID-এ RADIUS VLAN অ্যাসাইনমেন্ট সক্রিয় করুন
ডিভাইস কানেক্ট হলেও কোনো IP ঠিকানা পায় না	ভাড়াটিয়া VLAN সেই অ্যাক্সেস পয়েন্টের সুইচ পোর্টে ট্রাঙ্ক করা নেই, অথবা কোনো DHCP স্কোপ নেই	ট্রাঙ্কে VLAN যোগ করুন এবং DHCP স্কোপ নিশ্চিত করুন
পুরানো টিল বা টার্মিনাল যুক্ত হবে না	SSID শুধুমাত্র WPA3-তে সেট করা হয়েছে বা Protected Management Frames প্রয়োজন	সেই SSID-এর জন্য AES সহ WPA2-PSK অথবা WPA2/WPA3 ট্রানজিশন মোড ব্যবহার করুন
বাতিল করা টেন্যান্ট এখনও অনলাইনে আছে	ডিভাইসটি পুনরায় সংযোগ না করা পর্যন্ত বিদ্যমান সেশন বজায় থাকে	একটি CoA ডিসকানেক্ট পাঠান বা ভেন্ডর কনসোলে ক্লায়েন্টটিকে সরিয়ে দিন
এক টেন্যান্ট অন্য টেন্যান্টের কাছে পৌঁছাতে পারে	কোর সুইচ বা গেটওয়েতে Inter-VLAN রাউটিং অনুমোদিত	টেন্যান্ট VLAN-গুলির মধ্যে ডিনাই রুল যুক্ত করুন এবং পুনরায় পরীক্ষা করুন
একটি টেন্যান্ট VLAN-এ অজানা ডিভাইস	টেন্যান্ট তার কী কোনো প্রতিবেশী বা ঠিকাদারের সাথে শেয়ার করেছে	সেই কীটি বাতিল করুন, একটি নতুন কী ইস্যু করুন এবং মনোনীত পরিচিতিকে জানান

এর খরচ কত, এবং আপনি ফেরত কী পাবেন?

এর খরচ। আপনার কোনো নতুন অ্যাক্সেস পয়েন্ট, কন্ট্রোলার বা সুইচের প্রয়োজন নেই। আপনি কেবল Purple অ্যাক্সেস সাবস্ক্রিপশন, এবং সেইসাথে VLAN প্ল্যান, ট্রাঙ্কিং এবং ফায়ারওয়াল নিয়মের জন্য ইঞ্জিনিয়ারিং সময় বাবদ খরচ করবেন। এর পরে, প্রতিটি টেন্যান্ট অনবোর্ডিংয়ের সময় একটি রেকর্ড, একটি VLAN এবং একটি কী গ্রহণ করে এবং প্রস্থান করার সময় একটি বাতিলকরণ হয়।

আপনি যা ফেরত পাবেন।

• এয়ারটাইম। একটি টেন্যান্ট SSID প্রতিটি টেন্যান্টের জন্য একটি করে SSID-এর স্থান নেয়, তাই প্রতিটি লিজের সাথে বিকন ওভারহেড বাড়া বন্ধ হয়।
• কন্টেইনমেন্ট। একটি ফাঁস হওয়া বা প্রস্থান করা কী কেবল একটি টেন্যান্টকে প্রভাবিত করে, পুরো সেন্টারকে নয়।
• প্রমাণ। ইস্যু এবং বাতিলের লগ PCI DSS প্রয়োজনীয়তা 2.3.2 সমর্থন করে। সেগমেন্টেশন টেস্ট প্রয়োজনীয়তা 11.4.5 সমর্থন করে।
• স্কেল। Purple ৮০,০০০+ এরও বেশি লাইভ ভেন্যুতে কাজ করে এবং ২০২৪ সালে ৪৪০ মিলিয়ন লগইন পরিচালনা করেছে (Purple-এর নিজস্ব তথ্য)। একটি ৭০-ইউনিটের সেন্টার কোনো অতিরিক্ত চাপ তৈরি করে না।

যদি আপনার সেন্টারের কর্মীরা এখনও একটি একক পাসওয়ার্ড শেয়ার করেন, তবে তাদের পরবর্তীতে মাইগ্রেট করুন। ম্যাল্টি-সাইট এস্টেট জুড়ে একটি শেয়ার করা পাসওয়ার্ড থেকে 802.1X-এ কর্মীদের WiFi মাইগ্রেট করা এর ক্রম নির্ধারণ করে। আরও অ্যাক্সেস ডিজাইন রয়েছে Access guides-এ।

বারবার জিজ্ঞাসিত প্রশ্নাবলী

এটি কি আমাদের সেন্টারের বর্তমান অ্যাক্সেস পয়েন্টগুলির সাথে কাজ করে?

হ্যাঁ, Purple আপনার বর্তমান অ্যাক্সেস পয়েন্টগুলিতে একটি ক্লাউড ওভারলে হিসাবে চলে, যাতে কোনো কিছু সম্পূর্ণ পাল্টানোর প্রয়োজন হয় না। Purple হলো Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet জুড়ে হার্ডওয়্যার-নিরপেক্ষ। একটি টেন্যান্ট xPSK নেটওয়ার্কের জন্য, আপনার মডেল এবং ফার্মওয়্যার একটি RADIUS-অ্যাসাইন করা VLAN-এর সাথে মাল্টি-কী PSK সমর্থন করে কিনা তা নিশ্চিত করুন। Meraki একে iPSK বলে, Aruba একে MPSK বলে এবং Ruckus একে DPSK বলে।

টেন্যান্টরা কি নেটওয়ার্ক শেয়ার না করে অ্যাক্সেস পয়েন্ট শেয়ার করতে পারে?

হ্যাঁ, প্রতি টেন্যান্টে একটি করে কী এবং VLAN থাকার উদ্দেশ্যই এটি। প্রতিটি টেন্যান্ট একই অ্যাক্সেস পয়েন্টের মাধ্যমে একই SSID-এ সংযোগ করে। প্রতিটি কী সেই টেন্যান্টের ডিভাইসগুলিকে নিজস্ব VLAN-এ রাখে। গেটওয়েতে থাকা ফায়ারওয়াল নিয়মগুলি তখন টেন্যান্ট VLAN এবং সেন্টারের নিজস্ব সিস্টেমগুলির মধ্যে ট্র্যাফিক ব্লক করে। প্রতিবেশী ইউনিটগুলি রেডিও এবং এয়ারটাইম শেয়ার করে তবে কখনোই একটি লেয়ার 2 নেটওয়ার্ক শেয়ার করে না।

একটি শপিং সেন্টারের কতগুলি SSID প্রয়োজন?

Three প্রায় সব সেন্টার কভার করে। ক্রেতাদের জন্য Captive Portal সহ একটি ওপেন গেস্ট নেটওয়ার্ক এবং প্রতিটি টেন্যান্ট ও সেন্টারের হেডলেস ডিভাইসের জন্য একটি xPSK নেটওয়ার্ক প্রয়োজন। সেন্টারের কর্মীদের জন্য Microsoft Entra ID, Okta বা Google Workspace-এর মাধ্যমে প্রমানীকৃত একটি সুরক্ষিত 802.1X নেটওয়ার্ক যুক্ত করুন। প্রতিটি অতিরিক্ত SSID প্রতিটি রেডিওতে বীকন ওভারহেড বাড়ায়, তাই প্রতি টেন্যান্টের জন্য একটি করে SSID তৈরি করা থেকে বিরত থাকুন।

কোনো টেন্যান্ট চলে গেলে আমরা কীভাবে তাদের WiFi অ্যাক্সেস সরিয়ে দেব?

আপনি Purple-এ সেই টেন্যান্টের কী (key) বাতিল করেন, এবং নতুন সংযোগ সাথে সাথেই বন্ধ হয়ে যায়। লিজ শেষ হওয়ার তারিখ অনুযায়ী লিজ এক্সিট চেকক্লিনস্টে এই অ্যাক্সেস বাতিলের বিষয়টি অন্তর্ভুক্ত করুন। যেসব ডিভাইস ইতিমধ্যেই কানেক্টেড আছে, সেগুলি পুনরায় কানেক্ট না হওয়া পর্যন্ত অনলাইন থাকতে পারে। আপনার প্ল্যাটফর্ম এটি সাপোর্ট করলে RADIUS Change of Authorisation দিয়ে বা ভেন্ডর কনসোল থেকে সেগুলি ডিসকানেক্ট করুন। তারপর VLAN পুনর্যানুনির্ধারণ করার আগে সেটিকে কোয়ারেন্টাইন করুন।

এটি কি আমাদের টেন্যান্টদের বিলিং ক্যাশ কাউন্টার বা টিলগুলিকে PCI-DSS অনুবর্তী করবে?

না, কেবল নেটওয়ার্ক ডিজাইন কোনো মার্চেন্টকে অনুবর্তী করতে পারে না। প্রতিটি টেন্যান্ট তার নিজস্ব PCI-DSS মূল্যায়নের জন্য নিজেই দায়ী। প্রতি টেন্যান্টের জন্য একটি কী এবং VLAN আপনাকে নির্দিষ্ট প্রয়োজনীয়তার প্রমাণ সরবরাহ করে। Requirement 2.3.2-এ পাসওয়ার্ড বা কী জানা থাকা ব্যক্তিরা চলে গেলে ওয়ারলেস কী পরিবর্তন করার কথা বলা হয়েছে। Requirement 11.4.5-এ সেগমেন্টেশন নিয়ন্ত্রণের বার্ষিক পেনিট্রেশন টেস্টিং কভার করা হয়েছে। অনুরোধের ভিত্তিতে টেন্যান্টদের সাথে আপনার সেগমেন্টেশন টেস্টের ফলাফল শেয়ার করুন।

আমরা কি প্রতিটি টেন্যান্টের ব্যান্ডউইথ সীমিত করতে পারি?

হ্যাঁ, প্রতিটি টেন্যান্ট কী যে গ্রুপ, রোল বা VLAN-এর সাথে ম্যাপ করা আছে, তার বিপরীতে আপনি আপনার ভেন্ডর কনসোলে সীমা নির্ধারণ করতে পারেন। Cisco Meraki গ্রুপ পলিসি এবং HPE Aruba ইউজার রোল উভয়টিতেই রেট লিমিট রয়েছে এবং অন্যান্য ভেন্ডররাও এর সমতুল্য সুবিধা অফার করে। কয়েকটি টিয়ার নির্ধারণ করুন, যেমন কিওস্ক, স্ট্যান্ডার্ড ইউনিট এবং অ্যাঙ্কর স্টোর। অনবোর্ডিংয়ের সময় প্রতিটি টেন্যান্টকে একটি টিয়ারে বরাদ্দ করুন যাতে একটি একক ইউনিট তার পাশের ইউনিটের টিলগুলির ব্যান্ডউইথ শেষ করতে না পারে।

কোনো ডাউনটাইম ছাড়াই আমরা কীভাবে প্রতি টেন্যান্টের জন্য একটি করে SSID থেকে মাইগ্রেট করব?

পুরানো এবং নতুন নেটওয়ার্কগুলি পাশাপাশি চালু রেখে আপনি টেন্যান্ট ধরে ধরে মাইগ্রেট করবেন। প্রথমে xPSK SSID তৈরি করুন, তারপর একটি টেন্যান্টের ডিভাইসগুলিকে তাদের নতুন কী এবং VLAN-এ সরিয়ে নিন। প্রতিটি ডিভাইস মাইগ্রেট হয়ে গেলে সেই টেন্যান্টের পুরানো SSID টি সরিয়ে ফেলুন। VLAN ট্রাঙ্কিং এবং ফায়ারওয়াল রুল পরীক্ষা করতে একটি ছোট কনসেসন দিয়ে শুরু করুন। তারপর ব্যবসার সময়ের বাইরে বড় ইউনিটগুলির মাইগ্রেশন শিডিউল করুন।