অধিকাংশ উপদেশ যেখানে what is mac address filtering নিয়ে আলোচনা করে, তারা এখনও এটিকে একটি বিচক্ষণ WiFi সিকিউরিটি সেটিং হিসেবে বিবেচনা করে। এটি অত্যন্ত পুরানো ধারণা।
MAC ফিল্টারিং কোনো আধুনিক সিকিউরিটি কন্ট্রোল নয়। এটি শুধুমাত্র একটি device list। আপনার রাউটার বা অ্যাক্সেস পয়েন্ট একটি হার্ডওয়্যার আইডেন্টিফায়ার চেক করে, তারপর সিদ্ধান্ত নেয় সেই ডিভাইসটি নেটওয়ার্কে যুক্ত হতে পারবে কিনা। এটি তখন অর্থপূর্ণ ছিল যখন ওয়্যারলেস নেটওয়ার্কগুলো ছোট ছিল, ডিভাইসের সংখ্যা কম ছিল এবং বেশিরভাগ অ্যাডমিন একই সাথে কর্মী, গেস্ট, ঠিকাদার, ভাড়াটে এবং আনম্যানেজড এন্ডপয়েন্ট ম্যানেজ করার চেয়ে সাধারণ, কাছাকাছি কানেকশনগুলোকে বাইরে রাখার চেষ্টা করছিলেন।
বর্তমান বিজনেস নেটওয়ার্কগুলোতে, এই মডেলটি খুব দ্রুত ভেঙে পড়ে। এটি যে আইডেন্টিফায়ারের ওপর নির্ভর করে তা গোপন নয়, এটিকে অনুকরণ করা যেতে পারে এবং আধুনিক ডিভাইসগুলোতে এটি প্রায়শই স্থিতিশীল থাকে না। অ্যাডমিনদের কাজও ঠিক ভুল দিকে বৃদ্ধি পেতে থাকে। প্রতিটি নতুন ফোন, প্রতিস্থাপিত ল্যাপটপ, পরিবর্তিত অ্যাডাপ্টার বা গেস্ট ডিভাইস একটি "সহজ কন্ট্রোল"-কে ম্যানুয়াল লিস্ট রক্ষণাবেক্ষণের কাজে পরিণত করে।
এই কারণেই বেশিরভাগ গুরুতর ওয়্যারলেস ডিজাইন এখন অ্যাক্সেসকে একটি পরিবর্তনযোগ্য হার্ডওয়্যার অ্যাড্রেসের সাথে না মিলিয়ে identity, certificates, SSO, অথবা role-based policy-র সাথে যুক্ত করে। MAC ফিল্টারিং এখনও প্রোডাক্টগুলোতে রয়ে গেছে কারণ কিছু বিশেষ ক্ষেত্রে এখনও এটির প্রয়োজন হয়। কিন্তু এন্টারপ্রাইজ, হসপিটালিটি, রিটেইল বা হেলথকেয়ার WiFi-এর জন্য এটিকে প্রাথমিক কন্ট্রোল হিসেবে বিবেচনা করা একটি ঐতিহ্যগত অভ্যাস মাত্র, কোনো সঠিক ডিজাইনের সিদ্ধান্ত নয়।
Is MAC Address Filtering Still Relevant in 2026
কেউ যদি আপনাকে বলে যে MAC ফিল্টারিং WiFi সুরক্ষিত করার একটি শক্তিশালী উপায়, তবে তা অবিলম্বে চ্যালেঞ্জ করুন।
UK ওয়্যারলেস অনুশীলনে, MAC অ্যাড্রেস ফিল্টারিংকে একটি শক্তিশালী সিকিউরিটি কন্ট্রোলের চেয়ে ডিভাইসের জন্য একটি অ্যাক্সেস-কন্ট্রোল লিস্ট হিসেবে বোঝা সবচেয়ে ভালো। একটি রাউটার বা অ্যাক্সেস পয়েন্ট কোনো ডিভাইসের MAC অ্যাড্রেস চেক করে যখন সেটি একটি WiFi নেটওয়ার্কে যোগ দেওয়ার চেষ্টা করে, তারপর একটি অ্যালাউলিস্ট বা ব্লকলিস্টের ওপর ভিত্তি করে কানেকশনটি অনুমতি দেয় বা ব্লক করে। সমস্যাটি অত্যন্ত সহজ। MAC অ্যাড্রেস গোপন নয়, WiFi অ্যাসোসিয়েশনের সময় এটি প্লেইনটেক্সটে পাঠানো হয় এবং এটি স্পুফ করা যেতে পারে, তাই এই কন্ট্রোলটি এনক্রিপশন বা প্রকৃত আইডেন্টিটি নিশ্চিতকরণের চেয়ে বেসিক ডিভাইস অ্যাডমিশনে সাহায্য করে, যা এই MAC filtering overview -এ ব্যাখ্যা করা হয়েছে।
এই একটি মাত্র পয়েন্ট আপনি ফিচারটি সম্পর্কে যেভাবে ভাবেন তা পরিবর্তন করে দেয়। এটি একটি বিশ্বস্ত ব্যাজ সিস্টেমের চেয়ে দরজার পাশে থাকা একটি ক্লিপবোর্ডের কাছাকাছি। আইডেন্টিফায়ারটি যদি লক্ষ্য করা এবং কপি করা যায়, তবে নেটওয়ার্কটি ব্যবহারকারী কে তা যাচাই করছে না। এটি কেবল পরীক্ষা করছে যে উপস্থাপিত লেবেলটি তালিকার একটির সাথে মিলছে কিনা।
Where it still fits
এখনও কিছু সীমিত ক্ষেত্র রয়েছে যেখানে MAC ফিল্টারিং উপযোগী হতে পারে:
- ছোট স্ট্যাটিক সেটআপ যেখানে ডিভাইসের সংখ্যা খুব কমই পরিবর্তিত হয়
- লেগেসি এন্ডপয়েন্টগুলোর জন্য বেসিক অ্যাডমিশন কন্ট্রোল যা আরও শক্তিশালী অথেন্টিকেশন করতে পারে না
- অ্যাডমিনিস্ট্রেটিভ সুবিধা যখন আপনি একটি লোকাল নেটওয়ার্ক থেকে দুর্ঘটনাবশত বা অনাকাঙ্ক্ষিত কানেকশনগুলো দূরে রাখতে চান
সেগুলো সীমিত ব্যবহারের ক্ষেত্র, কোনো ব্যাপক নিরাপত্তা কৌশল নয়।
MAC ফিল্টারিং সাধারণ অ্যাক্সেস কমাতে পারে। এটি আধুনিক প্রমাণীকরণের (authentication) বিকল্প হতে পারে না।
যেখানে এটি মানানসই নয়
গেস্ট WiFi, স্টাফ নেটওয়ার্ক, শেয়ার্ড ওয়ার্কস্পেস, ভেন্যু এবং মাল্টি-টেন্যান্ট সাইটের জন্য, MAC ফিল্টারিং কোনো সঠিক প্রাথমিক টুল নয়। এটি ব্যবহারকারীর পরিচয় প্রমাণ করে না, এনক্রিপ্ট করা প্রমাণীকরণ প্রতিস্থাপন করে না এবং প্রতিবার ডিভাইস পরিবর্তনের সাথে সাথে জটিলতা তৈরি করে।
২০২৬ সালের মানদণ্ড অনুযায়ী, প্রশ্নটি এটি নয় যে MAC ফিল্টারিং বিদ্যমান আছে কিনা। এটি আছে। আসল প্রশ্নটি হলো এটি আপনার অ্যাক্সেস ডিজাইনের কেন্দ্রে থাকা উচিত কিনা। বেশিরভাগ ব্যবসায়িক নেটওয়ার্কের জন্য, উত্তরটি হলো না।
কীভাবে MAC Address ফিল্টারিং আসলে কাজ করে
MAC ফিল্টারিং ব্যাখ্যা করার সবচেয়ে সহজ উপায় হলো একটি পেপার গেস্ট লিস্ট ব্যবহার করে নাইটক্লাবের দারোয়ানের কথা চিন্তা করা।
একটি ডিভাইস WiFi-এ যুক্ত হওয়ার চেষ্টা করে। অ্যাক্সেস পয়েন্ট তার MAC address দেখতে পায় এবং এটি একটি সংরক্ষিত তালিকার সাথে মিলিয়ে পরীক্ষা করে। যদি অ্যাড্রেসটি অনুমোদিত হয়, তবে ডিভাইসটি প্রবেশ করতে পারে। যদি এটি অস্বীকার তালিকায় থাকে, বা অনুমতি তালিকায় না থাকে, তবে ডিভাইসটি প্রত্যাখ্যান করা হয়।
MAC address আসলে কী
একটি MAC address হলো একটি নেটওয়ার্ক ইন্টারফেসের সাথে সম্পর্কিত একটি হার্ডওয়্যার আইডেন্টিফায়ার। WiFi অ্যাক্সেস কন্ট্রোলে, এটি একটি ডিভাইস লেবেলের মতো কাজ করে, কোনো গোপন ক্রেডেনশিয়াল বা পাসওয়ার্ড হিসেবে নয়।
এই পার্থক্যটি গুরুত্বপূর্ণ। অ্যাক্সেস পয়েন্ট ডিভাইসটির কাছে গভীর বিশ্বাসের প্রমাণ চাইছে না। এটি কেবল একটি দৃশ্যমান আইডেন্টিফায়ারকে একটি স্থানীয় নিয়মের সাথে তুলনা করছে।
দুটি সাধারণ মোড
বেশিরভাগ রাউটার এবং অ্যাক্সেস পয়েন্ট দুটি সাধারণ ধরনের MAC ফিল্টারিং সমর্থন করে:
Allowlist মোড
শুধুমাত্র তালিকায় থাকা MAC address গুলোকে সংযোগ করার অনুমতি দেওয়া হয়। অ্যাডমিনরা যখন সচেতনভাবে MAC ফিল্টারিং ব্যবহার করেন, তখন এটি আরও কঠোর এবং সাধারণ একটি বিকল্প।Blocklist মোড
পরিচিত MAC address গুলোকে প্রত্যাখ্যান করা হয়, আর বাকি সবাইকে অনুমতি দেওয়া হয়। কিছু অ্যাড-হক পরিস্থিতিতে এটি পরিচালনা করা সহজ, তবে এটি একটি নিয়ন্ত্রণ হিসেবে দুর্বল কারণ ডিফল্টভাবে এটি অপরিচিত ডিভাইসের জন্য উন্মুক্ত থাকে।
সংযোগের সময় যা ঘটে
আসল প্রক্রিয়াটি অত্যন্ত সহজ:
- একটি ক্লায়েন্ট WiFi নেটওয়ার্কের সাথে অ্যাসোসিয়েশন শুরু করে।
- AP ক্লায়েন্টের MAC address টি পড়ে যা সেই প্রক্রিয়ার সময় প্রদর্শিত হয়।
- AP তার স্থানীয় পলিসি পরীক্ষা করে অ্যাড্রেসটি অনুমোদিত নাকি অস্বীকৃত তা দেখার জন্য।
- AP সেই ম্যাচের ফলাফলের উপর ভিত্তি করে অ্যাক্সেসের অনুমতি দেয় বা ব্লক করে।
পুরো প্রক্রিয়াটি ঠিক এইটুকুই। এর পেছনে কোনো জাদু নেই।
এটি যা করে না
MAC ফিল্টারিং প্রায়শই এমন সুরক্ষার কৃতিত্ব পায় যা এটি আসলে প্রদান করে না।
এটি ট্র্যাফিক এনক্রিপ্ট করে না। এটি ডিভাইস ব্যবহারকারী ব্যক্তিকে যাচাই করে না। এটি ডিভাইসের অবস্থা, সম্মতি অবস্থা বা ডিরেক্টরি সদস্যপদ নিশ্চিত করে না। এটি গেস্ট অনবোর্ডিং সমস্যার সমাধান করে না। এটি কর্মীদের অ্যাক্সেসের সিদ্ধান্তের জন্য দরকারী আইডেন্টিটি ট্রেইল তৈরি করে না।
ব্যবহারিক নিয়ম: MAC ফিল্টারিং-কে ডিভাইস অ্যাডমিশন লজিক হিসেবে বিবেচনা করুন, অথেন্টিকেশন হিসেবে নয়।
এই কারণেই MAC ফিল্টারিংয়ের একই ইউকে-ভিত্তিক ব্যাখ্যায় প্রকৃত ওয়্যারলেস সুরক্ষার জন্য দীর্ঘকাল ধরে WPA2 বা WPA3-এর মতো আরও শক্তিশালী পদ্ধতির সুপারিশ করা হয়েছে। একবার আপনি এটিকে ট্রাস্ট সিস্টেমের পরিবর্তে কাগজের গেস্ট লিস্ট হিসেবে বিবেচনা করলে, এর বাকি সুবিধা-অসুবিধাগুলো বিচার করা অনেক সহজ হয়ে যায়।
আপনার নেটওয়ার্কের জন্য ব্যবহারিক ভালো-মন্দ দিকগুলি
ব্যবসায়িক পরিবেশে MAC ফিল্টারিং-এর বিরুদ্ধে সবচেয়ে বড় যুক্তি সাধারণত তাত্ত্বিক নিরাপত্তা নয়। এটি হলো অপারেশনস।
একটি ফিচার টেকনিক্যালি বৈধ হতে পারে এবং তাও ভুল উত্তর হতে পারে কারণ অ্যাডমিন খরচ কখনই শেষ হয় না। MAC ফিল্টারিং সেই ক্যাটাগরিতে পড়ে। প্রতিটি অনুমোদিত ডিভাইস শনাক্ত করতে হবে, এন্ট্রি করতে হবে এবং একটি অ্যালাওলিস্ট বা ব্লকলিস্টে রক্ষণাবেক্ষণ করতে হবে। যদি একটি ল্যাপটপ প্রতিস্থাপন করা হয়, একটি ওয়্যারলেস অ্যাডাপ্টার পরিবর্তন করা হয়, বা কোনও ব্যবহারকারী একটি নতুন ফোন আনেন, তাহলে তালিকাটিতে মনোযোগ দেওয়ার প্রয়োজন হয়।
কয়েকটি সুবিধা
MAC ফিল্টারিং-এর কিছু ব্যবহারিক সুবিধা রয়েছে।
সহজ ধারণা
জুনিয়র অ্যাডমিন এবং নন-স্পেশালিস্ট ম্যানেজাররা সাধারণত এটি দ্রুত বুঝতে পারেন। একটি ডিভাইস হয় তালিকায় আছে, অথবা নেই।ছোট স্ট্যাটিক পরিবেশের জন্য দরকারী
আপনার যদি অল্প কয়েকটি নির্দিষ্ট ডিভাইস থাকে এবং প্রায় কোনও পরিবর্তন না হয়, তবে এটি পরিচালনা করা সম্ভব।সীমিত পলিসি ব্যতিক্রমের জন্য ভালো
যখন আরও শক্তিশালী পদ্ধতি উপলব্ধ থাকে না, তখন কিছু লিগ্যাসি এন্ডপয়েন্টের জন্য এখনও একটি অতিরিক্ত নিয়ন্ত্রণের প্রয়োজন হয়।
বৃহত্তর অপারেশনাল সমস্যাসমূহ
সমস্যা তখন শুরু হয় যখন নেটওয়ার্ক বাস্তব জীবনকে প্রতিফলিত করে।
ভেন্ডর নির্দেশিকা অনুযায়ী অ্যাডমিনিস্ট্রেটরদের আগে থেকেই প্রতিটি ক্লায়েন্ট MAC অ্যাড্রেস শনাক্ত করতে হবে এবং প্রতিটিকে অ্যালাওলিস্ট বা ব্লকলিস্টে যুক্ত করতে হবে। ঠিক এই কারণেই ফিচারটি কেবল তখনই সবচেয়ে ব্যবহারিক হয় যখন ডিভাইসের সংখ্যা কম এবং স্ট্যাটিক থাকে, যেমনটি Belkin-এর MAC ফিল্টারিং নির্দেশিকায় উল্লেখ করা হয়েছে।
দৈনন্দিন অ্যাডমিনিস্ট্রেশনে এর অর্থ যা দাঁড়ায়:
- কর্মীদের আনাগোনায় টিকিট বৃদ্ধি পায়
নতুন যোগদানকারী, প্রস্থানকারী, প্রতিস্থাপন এবং অস্থায়ী কর্মী - সবাই তালিকায় পরিবর্তনের কারণ হয়ে দাঁড়ায়। - BYOD স্প্রেডশীটের কাজে পরিণত হয়
ফোন, ট্যাবলেট এবং ব্যক্তিগত ল্যাপটপ রক্ষণাবেক্ষণের বোঝাকে বহুগুণ বাড়িয়ে দেয়। - গেস্ট অ্যাক্সেস অসম্ভব হয়ে পড়ে
একটি হোটেল, ক্লিনিক বা রিটেইল ভেন্যু কখনোই প্রতিটি ক্ষণস্থায়ী ডিভাইস একে একে আগে থেকে নিবন্ধন করতে পারে না। - হার্ডওয়্যার পরিবর্তনের ফলে অ্যাক্সেস ব্যাহত হয়
একজন ব্যবহারকারী ডিভাইস পরিবর্তন করলেই হঠাৎ করে “WiFi ডাউন” মনে হতে পারে, যেখানে আসল সমস্যা হলো পুরানো নীতি।
আপনার অ্যাক্সেস পদ্ধতির জন্য যদি সাধারণ ব্যবহারকারীদের অনলাইন রাখতে ক্রমাগত ম্যানুয়াল এডিটিংয়ের প্রয়োজন হয়, তবে এটি স্কেল করছে না। এটি কার্যকারিতা হারাচ্ছে।
কেন আইডেন্টিটি-ভিত্তিক অ্যাক্সেস আরও ভালোভাবে স্কেল করে
এর বিপরীতে, আধুনিক অ্যাক্সেস সিস্টেমগুলি অ্যাক্সেস দেওয়ার ক্ষেত্রে হার্ডওয়্যার আইডেন্টিফায়ারের (যা পরিবর্তিত হতে পারে) পরিবর্তে ব্যবহারকারী, সার্টিফিকেট বা ডিরেক্টরি স্টেট-এর ওপর নির্ভর করে। এর অর্থ হলো অনবোর্ডিং, বাতিলকরণ এবং রোল পরিবর্তনগুলি ম্যানুয়াল ডিভাইস তালিকার পরিবর্তে Microsoft Entra ID, Google Workspace বা Okta এর মতো আইডেন্টিটি সিস্টেম অনুসরণ করে।
মাল্টি-ডিভাইস ইউকে ব্যবসায়িক পরিবেশের জন্য, ডিজাইনের নিয়মটি বেশ সহজ, যা অ্যালোলিস্ট এবং ব্লকলিস্ট সংক্রান্ত ভেন্ডর নির্দেশিকায় রয়েছে। শুধুমাত্র লেগ্যাসি এন্ডপয়েন্টগুলির জন্য একটি সম্পূরক নীতি হিসেবে MAC ফিল্টারিং ব্যবহার করুন এবং গেস্ট, স্টাফ এবং শেয়ার্ড পরিবেশের জন্য আরও শক্তিশালী নিয়ন্ত্রণকে অগ্রাধিকার দিন।
নিরাপত্তা সরঞ্জাম হিসেবে MAC ফিল্টারিং কেন ব্যর্থ হয়
কার্যক্ষমতার দিক থেকে অসুবিধাগুলি যেমন বিরক্তিকর, সুরক্ষার দুর্বলতাগুলি তার চেয়েও খারাপ।
একটি প্রাথমিক নিরাপত্তা সরঞ্জাম হিসেবে MAC ফিল্টারিং ব্যর্থ হয় কারণ এটি এমন একটি মানকে বিশ্বাস করে যা আক্রমণকারীরা সহজেই অনুকরণ করতে পারে এবং আধুনিক ডিভাইসগুলি ইচ্ছাকৃতভাবে পরিবর্তন করতে পারে। এই সংমিশ্রণটি এটিকে সক্রিয় অপব্যবহার এবং সাধারণ ডিভাইসের আচরণ উভয়ের বিরুদ্ধেই দুর্বল করে তোলে।
স্পুফিং হলো সরাসরি বাইপাস করার উপায়
একটি MAC অ্যাড্রেস স্পুফ বা জাল করা যেতে পারে। বাস্তবে, এর অর্থ হলো একটি ডিভাইস ফ্যাক্টরি-অ্যাসাইন করা অ্যাড্রেসের পরিবর্তে একটি ভিন্ন MAC অ্যাড্রেস প্রদর্শন করতে পারে। যদি কোনো আক্রমণকারী একটি অনুমোদিত অ্যাড্রেস জেনে যায়, তবে ফিল্টারটি সেই ছদ্মবেশীকে গ্রহণ করতে পারে কারণ নেটওয়ার্কটি লেবেল যাচাই করছে, আসল পরিচয় প্রমাণ করছে না।
ইউকে নেটওয়ার্কের জন্য, একক নিয়ন্ত্রণ হিসেবে MAC ফিল্টারিং দুর্বল কারণ MAC অ্যাড্রেসগুলি সহজেই স্পুফ করা যায়, এবং এই পদ্ধতিটি পাসকী-ভিত্তিক বা সার্টিফিকেট-ভিত্তিক অ্যাক্সেস পদ্ধতির চেয়ে সহজে বাইপাস করা সম্ভব, যেমনটি ২০২৬ সালে MAC অ্যাড্রেস ফিল্টারিং নিয়ে Portnox-এর আলোচনায় ব্যাখ্যা করা হয়েছে।
যেসব পরিবেশে অডিটেবিলিটির প্রয়োজন রয়েছে, সেখানে এই দুর্বলতা আরও বেশি প্রভাব ফেলে। একটি ভেন্যু বা এন্টারপ্রাইজ কেবল “একটি পরিচিত ডিভাইস সংযুক্ত হয়েছে” এইটুকু জেনেই সন্তুষ্ট থাকে না। তারা জানতে চায় কোন গেস্ট, কর্মচারী, ঠিকাদার বা ভাড়াটে কোন নেটওয়ার্ক অ্যাক্সেস করেছেন এবং কোন নীতির অধীনে করেছেন।
র্যান্ডমাইজেশন অন্য দিক থেকে এই মডেলটিকে ভেঙে দেয়
আধুনিক ডিভাইসগুলো গোপনীয়তার জন্য MAC অ্যাড্রেস র্যান্ডমাইজও করে। এর মানে হলো আপনার ফিল্টার যে আইডেন্টিফায়ারের ওপর নির্ভর করে, তা হয়তো আগের WiFi ডিজাইনের মতো স্থিতিশীল নাও থাকতে পারে।
এটি কোনো বাগ নয়। এটি একটি গোপনীয়তা ফিচার। প্যাসিভ ট্র্যাকিং কঠিন করতে ডিভাইস নির্মাতারা এটি চালু করেছে। এটি ব্যবহারকারীদের জন্য ভালো, তবে এটি এমন যেকোনো অ্যাক্সেস মডেলকে দুর্বল করে যা হার্ডওয়্যার অ্যাড্রেসকে একটি স্থায়ী আইডেন্টিটি অ্যাঙ্কর হিসেবে বিবেচনা করে গড়ে উঠেছে।
আপনি যদি বর্তমান সময়ের ফোন এবং ল্যাপটপ নিয়ে কাজ করেন, তবে কীভাবে র্যান্ডমাইজড MAC অ্যাড্রেস WiFi ক্রিয়াকলাপকে প্রভাবিত করে তা বোঝা এখন মৌলিক ওয়্যারলেস প্রশাসনের অংশ।
কেন সিকিউরিটি ব্যবস্থা ভেঙে পড়ে
এই দুটি বাস্তবতাকে একসাথে মেলালে MAC ফিল্টারিং দ্রুত তার গ্রহণযোগ্যতা হারায়:
- যদি MAC দৃশ্যমান হয়, তবে তা গোপন নয়
- যদি MAC কপি করা যায়, তবে তা বিশ্বস্ত নয়
- যদি গোপনীয়তার জন্য MAC পরিবর্তিত হয়, তবে তা স্থিতিশীল নয়
- যদি এটি গোপন, বিশ্বস্ত বা স্থিতিশীল না হয়, তবে এটি আপনার প্রধান আইডেন্টিটি সিগন্যাল হতে পারে না
পরিবর্তনযোগ্য ডিভাইস লেবেলের ওপর নির্ভরশীল নিরাপত্তা সবসময়ই ভঙ্গুর হবে।
এই কারণেই MAC ফিল্টারিং প্রায়শই নিয়ন্ত্রণের একটি ভুল ধারণা তৈরি করে। এটি হয়তো কিছু সাধারণ সংযোগের চেষ্টা আটকাতে পারে, তবে এটি এন্টারপ্রাইজ, গেস্ট বা শেয়ার্ড-অ্যাক্সেস WiFi-এর জন্য কোনো গুরুতর বাধা হিসেবে কাজ করে না।
সুরক্ষিত নেটওয়ার্ক অ্যাক্সেসের জন্য আধুনিক বিকল্প
একটি উন্নত ডিজাইন শুরু হয় প্রশ্নটি পরিবর্তনের মাধ্যমে। “কোন হার্ডওয়্যার অ্যাড্রেসকে আমার বিশ্বাস করা উচিত?” - এটি না জিজ্ঞাসা করে বলুন, “কীভাবে এই ব্যবহারকারী বা ডিভাইস প্রমাণ করবে যে তারা কে, এবং এর ফলে তাদের কী ধরনের অ্যাক্সেস পাওয়া উচিত?”
এই পরিবর্তনটি আইডেন্টিটি-ভিত্তিক অ্যাক্সেসের দিকে নিয়ে যায়। ডিভাইসের লেবেল খোঁজার পরিবর্তে, আপনি আধুনিক নেটওয়ার্কের জন্য ডিজাইন করা পদ্ধতিগুলো ব্যবহার করে মানুষ এবং পরিচালিত এন্ডপয়েন্টগুলোকে প্রমাণীকরণ করেন।
কর্মী অ্যাক্সেসের জন্য WPA3-Enterprise এবং 802.1X
কর্মীদের WiFi-এর জন্য, WPA3-Enterprise এবং 802.1X হলো স্ট্যান্ডার্ড দিকনির্দেশনা। অ্যাক্সেস ব্যবহারকারীর ক্রেডেনশিয়াল, সার্টিফিকেট বা উভয়ের সাথেই যুক্ত থাকে, যা প্রায়শই Entra ID, Okta বা Google Workspace-এর মতো ডিরেক্টরি এবং SSO সিস্টেম দ্বারা সমর্থিত হয়।
এটি এমন বেশ কয়েকটি সমস্যার সমাধান করে যা MAC ফিল্টারিং কখনই করতে পারত না:
- অ্যাক্সেস ব্যবহারকারীর পরিচয় অনুসরণ করে
- ডিরেক্টরির স্ট্যাটাস পরিবর্তিত হলে অ্যাক্সেস বাতিল হয়ে যায়
- পলিসি ভূমিকা, গ্রুপ, ডিভাইসের ধরন বা অবস্থানের ওপর ভিত্তি করে ভিন্ন হতে পারে
- “SSID-এ MAC অ্যাড্রেস দেখা গেছে” - এর চেয়ে অডিট ট্রেইলগুলো অনেক বেশি অর্থপূর্ণ হয়
গেস্ট এবং পাবলিক WiFi-এর জন্য OpenRoaming এবং Passpoint
গেস্ট WiFi-এর নিরাপত্তা এবং সুবিধা উভয়ই প্রয়োজন। ঐতিহ্যবাহী Captive Portal এবং শেয়ার করা পাসওয়ার্ড ব্যবহারকারীদের জন্য ঝামেলা তৈরি করে। MAC ফিল্টারিং আরও কম উপযুক্ত কারণ গেস্ট ডিভাইসগুলো ক্ষণস্থায়ী এবং প্রায়শই গোপনীয়তার জন্য র্যান্ডমাইজড থাকে।
OpenRoaming and Passpoint অভিজ্ঞতাকে আরও এগিয়ে নিয়ে যায়। ব্যবহারকারীরা একবার একটি বিশ্বস্ত আইডেন্টিটি ফ্লোর মাধ্যমে প্রমাণীকরণ করেন এবং তারপরে অংশগ্রহণকারী পরিবেশগুলোতে সুরক্ষিতভাবে এবং স্বয়ংক্রিয়ভাবে সংযুক্ত হন। এটি ভেন্যুগুলোকে প্রথম প্যাকেট থেকেই এনক্রিপ্ট করা কানেক্টিভিটি প্রদান করে, কোনো ভঙ্গুর হার্ডওয়্যার-অ্যাড্রেস লজিকের ওপর নির্ভর না করেই।
যেসব টিম আরও ব্যাপক network access control approaches মূল্যায়ন করছেন, তাদের জন্য এটিই প্রধান বিভাজন রেখা। ডিভাইস-লিস্ট কন্ট্রোলগুলো স্ট্যাটিক। আইডেন্টিটি-ভিত্তিক অনবোর্ডিং হলো ডায়নামিক এবং পলিসি-চালিত।
লেগেসি এবং হেডলেস ডিভাইসের জন্য iPSK
কিছু ডিভাইস এখনও 802.1X ব্যবহার করতে পারে না। প্রিন্টার, সেন্সর, স্ক্যানার, সাইনেজ ইউনিট এবং নির্দিষ্ট কিছু IoT এন্ডপয়েন্ট প্রায়শই এই বিভাগে পড়ে।
সেখানেই Individual Pre-Shared Keys ( iPSK ) সাহায্য করে। সবকিছুর জন্য একটি সাধারণ পাসওয়ার্ডের পরিবর্তে, প্রতিটি ডিভাইস বা ডিভাইসের শ্রেণী নিজস্ব ক্রেডেনশিয়াল এবং পলিসি পায়। এটি আপনাকে একটি MAC অনুমতি তালিকার চেয়ে অনেক উন্নত আইসোলেশন, রিভোকেশন এবং অপারেশনাল কন্ট্রোল প্রদান করে।
অ্যাক্সেস কন্ট্রোল পদ্ধতির তুলনা
| বৈশিষ্ট্য | MAC Address Filtering | WPA3-Enterprise (802.1X) | OpenRoaming/Passpoint | Individual PSK (iPSK) |
|---|---|---|---|---|
| প্রাথমিক ট্রাস্ট মডেল | ডিভাইস অ্যাড্রেস | ব্যবহারকারী বা ডিভাইস আইডেন্টিটি | ফেডারেটেড বা প্ল্যাটফর্ম আইডেন্টিটি | প্রতি-ডিভাইস বা প্রতি-পলিসি ক্রেডেনশিয়াল |
| স্টাফ WiFi এর জন্য উপযুক্ত | দুর্বলভাবে উপযুক্ত | দৃঢ়ভাবে উপযুক্ত | সীমাবদ্ধ | নন-802.1X ডিভাইসের জন্য দরকারী |
| গেস্ট WiFi এর জন্য উপযুক্ত | অনুপযুক্ত | সাধারণত গেস্ট মডেল নয় | দৃঢ়ভাবে উপযুক্ত | সীমাবদ্ধ |
| ডিভাইস পরিবর্তন ভালোভাবে পরিচালনা করে | না | হ্যাঁ | হ্যাঁ | MAC তালিকার চেয়ে ভালো |
| আরও শক্তিশালী পলিসি কন্ট্রোল সমর্থন করে | সীমাবদ্ধ | হ্যাঁ | হ্যাঁ | হ্যাঁ |
| প্রাইভেসি-র্যান্ডমাইজড ডিভাইসের সাথে ভালোভাবে কাজ করে | দুর্বলভাবে | আরও ভালো | আরও ভালো | আরও ভালো |
| প্রশাসনিক চাপ | ম্যানুয়াল তালিকা রক্ষণাবেক্ষণ | কেন্দ্রীয় আইডেন্টিটি ম্যানেজমেন্ট | কেন্দ্রীয় অনবোর্ডিং | ডিভাইস বা পলিসি প্রতি পরিচালিত |
একটি ব্যবহারিক মাইগ্রেশন পাথ
আপনি যদি একটি লাইভ পরিবেশে MAC ফিল্টারিং প্রতিস্থাপন করতে চান, তবে চরমপন্থী সিদ্ধান্ত নেবেন না। ব্যবহারকারী এবং ডিভাইসের বিভাগ অনুযায়ী চিন্তা করুন:
- স্টাফ এবং ঠিকাদাররা ডিরেক্টরি-ব্যাকড প্রমাণীকরণ সহ 802.1X এ স্থানান্তরিত হন।
- গেস্ট এবং সাধারণ ব্যবহারকারীরা Passpoint বা OpenRoaming-স্টাইল অনবোর্ডিং-এ স্থানান্তরিত হন।
- লেগেসি এবং হেডলেস ডিভাইসগুলো সমর্থিত ক্ষেত্রে iPSK বা সার্টিফিকেট-ভিত্তিক বিকল্পগুলোতে স্থানান্তরিত হয়।
- অসাধারণ পুরানো এন্ডপয়েন্টগুলো সাময়িকভাবে MAC-ভিত্তিক নিয়মগুলো রাখতে পারে, তবে কেবল একটি সম্পূরক হিসেবে।
এই ক্ষেত্রে একটি উদাহরণ হলো Purple, যা পরিচয়-ভিত্তিক গেস্ট এবং স্টাফ অ্যাক্সেস, OpenRoaming এবং Passpoint, এর পাশাপাশি লেগাসি এনভায়রনমেন্টের জন্য iPSK এর মতো বিকল্পগুলো সমর্থন করে। আপনার নেটওয়ার্ক যখন ডিভাইস তালিকার ক্ষমতাকে ছাড়িয়ে যায়, তখন মূল্যায়ন করার জন্য এটিই সঠিক ক্যাটাগরির সমাধান।
হসপিটালিটি, রিটেইল এবং হেলথকেয়ারের জন্য বাস্তবসম্মত নির্দেশিকা
বিভিন্ন খাত বিভিন্ন কারণে একই MAC ফিল্টারিং সীমার সম্মুখীন হয়। হোটেলগুলো গেস্টদের ঘন ঘন আসা-যাওয়ার কারণে সমস্যায় পড়ে। রিটেইলারদের গ্রাহক, স্টাফ এবং অপারেশনাল ট্রাফিকের মধ্যে সেগমেন্টেশন প্রয়োজন। হেলথকেয়ার সংস্থাগুলোর কে এবং কী সংযুক্ত হচ্ছে তা নিয়ে আরও জোরালো নিশ্চয়তা প্রয়োজন।
ঐতিহাসিকভাবে, আধুনিক এনক্রিপ্টেড প্রমাণীকরণ স্ট্যান্ডার্ড হওয়ার আগে MAC ফিল্টারিং একটি প্রাথমিক WiFi অ্যাক্সেস-কন্ট্রোল মাইলফলক হিসেবে আত্মপ্রকাশ করেছিল। ওয়্যারলেস নেটওয়ার্কগুলো যখন সহজ এবং ছোট ছিল তখন এটি কার্যকর ছিল। কিন্তু ২০১০-এর দশকের মধ্যেই, সিকিউরিটি এডুকেটররা এর সীমাবদ্ধতাগুলো তুলে ধরছিলেন কারণ MAC অ্যাড্রেসগুলো ম্যানুয়ালি পরিবর্তন করা যেতে পারে, যার কারণে যুক্তরাজ্যের বর্তমান এন্টারপ্রাইজ এবং ভেন্যু নেটওয়ার্কগুলো সাধারণত এটিকে বড়জোর একটি সহায়ক ব্যবস্থা হিসেবে বিবেচনা করে, যেমনটি Smallstep-এর MAC ফিল্টারিং সীমাবদ্ধতার ব্যাখ্যায় উল্লেখ করা হয়েছে।
হসপিটালিটি
হোটেল, রেস্তোরাঁ, বার এবং ইভেন্ট ভেন্যুগুলো একটি নির্দিষ্ট MAC তালিকার মাধ্যমে গেস্ট অ্যাক্সেস পরিচালনা করতে পারে না। ব্যবহারকারীরা সাময়িক, ডিভাইসগুলো আনম্যানেজড এবং এর ফলে সহায়তার ঝামেলা ক্রমাগত চলতেই থাকবে।
একটি আরও ভালো মডেল এই রকম দেখায়:
- Passpoint বা অনুরূপ পাসওয়ার্ডহীন অনবোর্ডিংয়ের মাধ্যমে গেস্ট অ্যাক্সেস
- 802.1X এবং SSO-ব্যাকড আইডেন্টিটির মাধ্যমে স্টাফ অ্যাক্সেস
- প্রয়োজন অনুযায়ী রোল-ভিত্তিক পলিসি বা iPSK দিয়ে আলাদা করা ব্যাক-অফিস ডিভাইস
আপনি যদি এখনও হসপিটালিটিতে MAC ফিল্টারিং দেখতে পান, তবে এটি সাধারণত মূল নেটওয়ার্ক ডিজাইনের পরিবর্তে একটি সংকীর্ণ লেগাসি ব্যতিক্রমের সাথে যুক্ত থাকে।
রিটেইল
রিটেইল নেটওয়ার্কগুলোর জন্য স্পষ্ট সেপারেশন প্রয়োজন। পয়েন্ট অব সেল, হ্যান্ডহেল্ড স্টক ডিভাইস, স্টাফদের মোবাইল, ডিজিটাল সাইনেজ এবং গ্রাহকদের WiFi-কে অ্যাক্সেস পলিসি হিসেবে দেখানোর চেষ্টা করা একটি সাধারণ ডিভাইস তালিকার আড়ালে রাখা উচিত নয়।
এর পরিবর্তে আইডেন্টিটি এবং সেগমেন্টেশন ব্যবহার করুন:
- স্টাফ আইডেন্টিটিগুলো স্টাফ নেটওয়ার্কের সাথে ম্যাপ করা থাকে
- অপারেশনাল ডিভাইসগুলো কঠোরভাবে সীমিত অ্যাক্সেস পায়
- গ্রাহকদের ট্রাফিক অভ্যন্তরীণ সিস্টেম থেকে আলাদা থাকে
ফিক্সড টার্মিনালগুলোর জন্য MAC ফিল্টারিং আকর্ষণীয় মনে হতে পারে, তবে iPSK বা সার্টিফিকেট-ব্যাকড পদ্ধতিগুলো পরিচালনা করা এবং সহজে বাতিল করা আরও সুবিধাজনক।
হেলথকেয়ার
Healthcare পরিবেশগুলোতে দুর্বল আইডেন্টিটির ক্ষেত্রে সহনশীলতা সবচেয়ে কম। ক্লিনিকাল ওয়ার্কফ্লো, শেয়ার্ড ডিভাইস, রোমিং স্টাফ এবং সংবেদনশীল সিস্টেম - সবকিছুর জন্যই হার্ডওয়্যার-অ্যাড্রেস চেকের চেয়ে আরও শক্তিশালী নিয়ন্ত্রণের প্রয়োজন হয়।
Healthcare-এর ক্ষেত্রে, "পরিচিত ডিভাইস" মানেই "সঠিক পলিসির অধীনে অনুমোদিত ব্যবহারকারী" নয়।
এটাই হলো মূল ডিজাইন প্রিন্সিপাল। যদি কোনো ওয়ার্ডের ট্যাবলেট প্রতিস্থাপন, ধার বা পুনরায় কনফিগার করা হয়, তবে কানেকশনটি বিশ্বস্ত হওয়া উচিত কিনা সে সম্পর্কে MAC ফিল্টারিং আপনাকে খুব কমই তথ্য দিতে পারে। আইডেন্টিটি-সমর্থিত অ্যাক্সেস এবং সেগমেন্টেড ডিভাইস পলিসি অনেক বেশি নিরাপদ বিকল্প।
ডিভাইস লিস্টের বাইরে গিয়ে আইডেন্টিটি-ভিত্তিক সিকিউরিটির দিকে অগ্রসর হওয়া
MAC ফিল্টারিং একদম অকেজো নয়। এটি কেবল মূল সমাধান হিসেবে এখন আর যথেষ্ট নয়।
এটি Wi-Fi প্রশাসনের একটি পূর্ববর্তী স্তর থেকে এসেছে যখন নেটওয়ার্কগুলো ছোট ছিল এবং থ্রেট মডেল সহজ ছিল। আজকের পরিবেশগুলো মোবাইল, শেয়ার্ড, গোপনীয়তা-সচেতন এবং পলিসি-নির্ভর। একটি নির্দিষ্ট ডিভাইস আইডেন্টিফায়ারকে কেন্দ্র করে তৈরি করা নিয়ন্ত্রণ এই বাস্তবতার সাথে তাল মিলিয়ে চলতে পারে না।
এর চেয়েও বড় শিক্ষা নেটওয়ার্কিংয়ের বাইরেও দেখা যায়। ফেসিলিটি টিমগুলো ফিজিক্যাল অ্যাক্সেসের ক্ষেত্রেও একই জিনিস শিখেছে। পুরোনো সিস্টেমগুলো স্ট্যাটিক লিস্ট এবং শেয়ার্ড ক্রেডেন্সিয়ালের ওপর নির্ভর করত, যেখানে নতুন প্ল্যাটফর্মগুলো আইডেন্টিটি, অটোমেশন এবং পলিসি ব্যবহার করে। আপনি যদি একটি নন-নেটওয়ার্ক উদাহরণ দেখতে চান, তবে automated gym access solutions সংক্রান্ত এই নির্দেশিকাটি ম্যানুয়াল অ্যাডমিশন নিয়ম থেকে আরও স্মার্ট অ্যাক্সেস কন্ট্রোলের দিকে একই ধরণের রূপান্তর প্রদর্শন করে।
Wi-Fi-এর জন্য, আধুনিক ডিজাইন প্রিন্সিপালটি সহজ। একটি পরিবর্তনশীল হার্ডওয়্যার লেবেলের ওপর নয়, আইডেন্টিটির ওপর আস্থা রাখুন। এমন পদ্ধতিগুলো ব্যবহার করুন যা প্রমাণ করতে পারে কোনো ব্যক্তি বা পরিচালিত ডিভাইস আসলে কে বা কোনটি, ধারাবাহিকভাবে পলিসি প্রয়োগ করুন এবং স্ট্যাটাস পরিবর্তিত হলে অ্যাক্সেস পরিষ্কারভাবে বাতিল করুন। আপনি যদি আপনার ওয়্যারলেস রোডম্যাপ পর্যালোচনা করছেন, তবে secure wireless networking -এর ওপর এই ব্যাপক দৃষ্টিভঙ্গিটি শুরু করার জন্য সঠিক স্থান।
এর ব্যবহারিক ফলাফল হলো আরও উন্নত সিকিউরিটি এবং কম প্রশাসনিক ঝামেলা। আপনি তালিকা সম্পাদনা করতে কম সময় এবং কর্মী, অতিথি, ভাড়াটে ও ডিভাইসজুড়ে প্রকৃত পলিসি প্রয়োগ করতে বেশি সময় ব্যয় করতে পারবেন।
আপনি যদি MAC ফিল্টারিংয়ের বদলে আরও আধুনিক অ্যাক্সেস মডেল ব্যবহার করতে চান, তবে পাসওয়ার্ডহীন গেস্ট অ্যাক্সেস, আইডেন্টিটি প্রোভাইডারের সাথে সংযুক্ত স্টাফ অথেন্টিকেশন, OpenRoaming এবং Passpoint সমর্থন এবং লেগাসি ডিভাইসের জন্য পলিসি অপশনের জন্য মূল্যায়নের একটি প্ল্যাটফর্ম হলো Purple ।
