আপনার নেটওয়ার্কে সম্ভবত ইতিমধ্যেই আপনার টিমের সুবিধাজনকভাবে ট্র্যাক করার ক্ষমতার চেয়ে বেশি আইডেন্টিটি রয়েছে। স্টাফদের ল্যাপটপ, ব্যক্তিগত ফোন, প্রিন্টার, স্মার্ট টিভি, POS টার্মিনাল, স্ক্যানার, ট্যাবলেট, মেডিকেল কিট, গেস্ট ডিভাইস, ঠিকাদার, বাসিন্দা, কিয়স্ক। সমস্যাটি কেবল তারা সংযোগ করতে পারছে কিনা তা নয়। এটি হল যে প্রত্যেকের সংযোগ করা উচিত কিনা, কিসের সাথে এবং কোন শর্তের অধীনে।
এখানেই মানুষ একটি খুব বাস্তবসম্মত প্রশ্ন জিজ্ঞাসা করতে শুরু করে: আসলে network access control কী? ভেন্ডর স্লাইডের সংস্করণ নয়। অপারেশনাল সংস্করণ।
সংক্ষিপ্ত উত্তরটি সহজ। Network access control (NAC) হল পলিসি লেয়ার যা নির্ধারণ করে কে এবং কী আপনার নেটওয়ার্কে প্রবেশ করবে, এবং তারপরে সঠিক স্তরের অ্যাক্সেস প্রয়োগ করে। একটি ভাল NAC ডেপ্লয়মেন্ট কেবল একটি ইউজারনেম চেক করে ট্রাফিক পার করে দেয় না। এটি ডিভাইসটিকে সনাক্ত করে, এটি পলিসি পূরণ করে কিনা তা পরীক্ষা করে এবং এটিকে নেটওয়ার্কের সঠিক অংশে বা একেবারেই কোথাও রাখে না।
এটি এখন আরও বেশি গুরুত্বপূর্ণ কারণ যুক্তরাজ্যের সংস্থাগুলি ঘন, উচ্চ-গতির, মিশ্র-ব্যবহারের পরিবেশের সাথে মোকাবিলা করছে। যুক্তরাজ্যের সরকারের Cyber Security Breaches Survey 2024-এ দেখা গেছে যে ৫০% ইউকে ব্যবসা পূর্ববর্তী ১২ মাসে একটি সাইবার সিকিউরিটি লঙ্ঘন বা আক্রমণের রিপোর্ট করেছে, যা বড় ব্যবসার জন্য ৭৪%-এ উন্নীত হয়েছে ( এখানে ইউকে লঙ্ঘনের পরিসংখ্যান উল্লেখ করা হয়েছে )। সেই পরিপ্রেক্ষিতে, ডিফল্টরূপে WiFi সিগন্যাল বা ইথারনেট পোর্ট সহ যেকোনো কিছুকে নেটওয়ার্কে প্রবেশ করতে দেওয়া মানেই বিপদ ডেকে আনা।
ডিজিটাল বাউন্সার কেন প্রতিটি নেটওয়ার্কের জন্য Access Control প্রয়োজন
রিসেপশন ডেস্ক, টার্নস্টাইল, স্টাফ পাস, ভিজিটর ব্যাজ এবং সংরক্ষিত ফ্লোর সহ একটি সুপরিচালিত ভবনের কথা চিন্তা করুন। গার্ড কেবল কেউ এসেছে কিনা তা জিজ্ঞাসা করেন না। তারা আইডেন্টিটি, উদ্দেশ্য এবং সেই ব্যক্তিকে কোথায় যাওয়ার অনুমতি দেওয়া উচিত তা পরীক্ষা করেন।
NAC নেটওয়ার্কের জন্য একই কাজ করে।
একটি ফায়ারওয়াল এখনও গুরুত্বপূর্ণ, তবে এটি নিজের থেকে যথেষ্ট নয়। একটি ফায়ারওয়াল প্রধানত ট্রাফিক প্রবাহ পরিচালনা করে। NAC পরিচালনা করে অ্যাডমিশন। এটি সেই বিন্দুতে বসে যেখানে একটি ডিভাইস নেটওয়ার্কে যোগ দেওয়ার চেষ্টা করে এবং একটি ভিন্ন সেট প্রশ্ন জিজ্ঞাসা করে: এটি কে, এই ডিভাইসটি কী, এটি কি অনুগত, এবং এটি কোন পর্যন্ত পৌঁছানোর অনুমতি পাবে?
কেন পুরানো মডেলটি ভেঙে পড়ে
অনেক নেটওয়ার্ক একটি সাধারণ অনুমানের উপর ভিত্তি করে তৈরি করা হয়েছিল। যদি একটি ডিভাইস ভিতরে প্রবেশ করতে পারে, তবে এটি ব্যাপকভাবে বিশ্বস্ত ছিল। সেই মডেলটি আধুনিক পরিবেশে ভেঙে পড়ে যেখানে "ভেতরের" অংশে আনম্যানেজড ফোন, IoT কিট, গেস্ট ট্রাফিক এবং অস্থায়ী ব্যবহারকারীরা অন্তর্ভুক্ত থাকে।
কয়েকটি সাধারণ উদাহরণ:
- একজন ঠিকাদারের ল্যাপটপ ফাইন্যান্স স্টাফদের ব্যবহৃত একই ওয়্যারলেস এস্টেটে সংযোগ করে।
- একটি গেস্ট ডিভাইস এমন একটি নেটওয়ার্কে প্রবেশ করে যা অভ্যন্তরীণ পরিষেবাগুলি থেকে স্পষ্টভাবে সেগমেন্ট করা ছিল না।
- একটি শেয়ার্ড ট্যাবলেট বৈধ ক্রেডেনশিয়াল দিয়ে প্রমাণীকরণ করে, কিন্তু এতে আপনার পলিসির প্রয়োজনীয় নিয়ন্ত্রণগুলি অনুপস্থিত থাকে।
- একটি আপোসকৃত এন্ডপয়েন্ট (compromised endpoint) স্বাভাবিক অ্যাক্সেস লাভ করে এবং ল্যাটারাল প্রোবিং শুরু করে।
এগুলোর কোনোটিই অস্বাভাবিক দৃশ্যপট নয়। এগুলো স্বাভাবিক অপারেশনাল বাস্তবতা।
ব্যবহারিক নিয়ম: আপনি যদি প্রান্তে (edge) অ্যাক্সেসের সিদ্ধান্ত নিতে না পারেন, তবে শেষ পর্যন্ত আপনাকে নেটওয়ার্কের আরও গভীরে গিয়ে ট্রাস্ট সংক্রান্ত সমস্যাগুলো সমাধানের চেষ্টা করতে হবে, যেখানে এগুলোকে নিয়ন্ত্রণ করা আরও কঠিন।
যুক্তরাজ্যের পরিপ্রেক্ষিতে, এই কারণেই NAC স্বাভাবিকভাবেই একটি Zero Trust network access approach -এর সাথে খাপ খেয়ে যায়। আপনি লোকেশন মানেই ট্রাস্ট - এই ধারণা করা বন্ধ করুন। প্রাঙ্গনে থাকা, SSID-এ থাকা, বা তারের সাথে যুক্ত থাকার মানে এই নয় যে কোনো ব্যবহারকারী বা ডিভাইস ব্যাপক অ্যাক্সেস পেয়ে যাবে।
বাস্তবে NAC কী পরিবর্তন নিয়ে আসে
NAC যে সবচেয়ে বড় পরিবর্তনটি নিয়ে আসে তা হলো: সংযোগ মানেই ট্রাস্ট নয়।
ডিভাইসগুলোকে ব্যাপক অ্যাক্সেস দিয়ে পরবর্তী কন্ট্রোলের ওপর ভরসা করার পরিবর্তে, NAC যা করতে পারে:
- স্বাভাবিক অ্যাক্সেস দেওয়ার আগে ব্যবহারকারী এবং ডিভাইসগুলোকে অথেন্টিকেট করা
- এন্ডপয়েন্ট প্রোফাইল করা যাতে অজানা বা আনম্যানেজড কিট নেটওয়ার্কের সাথে মিশে যেতে না পারে
- রোল-ভিত্তিক অ্যাক্সেস প্রয়োগ করা যাতে কর্মী, অতিথি এবং ডিভাইসগুলো একই নেটওয়ার্কের অভিজ্ঞতা শেয়ার না করে
- প্রোডাকশন অ্যাসেটের সাথে মিশতে দেওয়ার পরিবর্তে নন-কমপ্লায়েন্ট সিস্টেমগুলোকে কোয়ারেন্টিন করা
এটি NAC-কে একটি ফ্রন্টলাইন কন্ট্রোল হিসেবে গড়ে তোলে, কোনো ব্যাকআপ লেয়ার হিসেবে নয়। এটি বিশেষ করে এমন জায়গাগুলোতে বেশি কার্যকর যেখানে প্রচুর মানুষ এবং ডিভাইস একই ফিজিক্যাল ইনফ্রাস্ট্রাকচার শেয়ার করে, কিন্তু কখনোই একই ট্রাস্ট লেভেল শেয়ার করা উচিত নয়।
NAC-এর মূল উপাদানগুলো বোঝা
NAC-কে জটিল মনে হতে পারে কারণ এখানে বেশ কয়েকটি সিস্টেম একসাথে কাজ করে। একটি দরকারী মানসিক মডেল হলো একটি শহরের স্বয়ংক্রিয় ট্রাফিক সিস্টেম। একটি সিস্টেম নিয়ম ঠিক করে, একটি সিস্টেম যাচাই করে কাকে যাওয়ার অনুমতি দেওয়া হবে, এবং আরেকটি সিস্টেম মাটিতে ব্যারিয়ার ও লেন পরিবর্তন নিয়ন্ত্রণ করে।
সেই অংশগুলো হলো পলিসি ইঞ্জিন (policy engine), অথেন্টিকেশন সার্ভার (authentication server) এবং এনফোর্সমেন্ট পয়েন্ট (enforcement point)।
পলিসি ইঞ্জিন
এটি হলো সিদ্ধান্ত গ্রহণকারী। এটি ব্যবহারকারী, ডিভাইস, লোকেশন, সংযোগের ধরন এবং পোস্টার সম্পর্কে ইনপুট নেয়, তারপর সেগুলোকে একটি অ্যাক্সেস ফলাফলের সাথে ম্যাপ করে।
সহজ কথায়, পলিসি ইঞ্জিন নিচের মতো প্রশ্নের উত্তর দেয়:
- এটি কি কোনো কর্মীর ল্যাপটপ, অতিথির ফোন, নাকি প্রিন্টার?
- ব্যবহারকারী কি সঠিক গ্রুপে আছেন?
- এই ডিভাইসটি কি পরিচিত এবং কমপ্লায়েন্ট?
- এই সেশনটি কি ফুল অ্যাক্সেস, কেবল-ইন্টারনেট অ্যাক্সেস, নাকি রিমিডিয়েশন অ্যাক্সেস পাবে?
পলিসি ইঞ্জিনটি গুরুত্বপূর্ণ কারণ NAC শুধুমাত্র একটি অথেন্টিকেশন চেক নয়। এটি একটি পলিসি প্রয়োগকারী সিস্টেম (policy enforcement system)। দুজন ব্যক্তি বৈধ পরিচয় প্রদর্শন করতে পারেন এবং তবুও ভিন্ন নেটওয়ার্ক পথ পেতে পারেন কারণ পলিসি ইঞ্জিন প্রসঙ্গটিকে ভিন্নভাবে বিবেচনা করে।
অথেন্টিকেশন সার্ভার
এটি হলো পরিচয় যাচাইকারী। অনেক পরিবেশে, এর অর্থ হলো RADIUS, যা প্রায়শই ডিরেক্টরি এবং আইডেন্টিটি সিস্টেমের সাথে যুক্ত থাকে।
যখন একটি ডিভাইস সংযোগ করার চেষ্টা করে, তখন অথেন্টিকেশন সার্ভার উপস্থাপিত শংসাপত্র বা সার্টিফিকেট পরীক্ষা করে এবং অনুমোদন, অস্বীকৃতি বা নেটওয়ার্ক ব্যবহার করতে পারে এমন অতিরিক্ত বৈশিষ্ট্য সহ প্রতিক্রিয়া জানায়। সেই বৈশিষ্ট্যগুলির মধ্যে ভূমিকা, VLAN অ্যাসাইনমেন্ট বা অ্যাক্সেসের শর্তাবলী অন্তর্ভুক্ত থাকতে পারে।
অ-বিশেষজ্ঞদের মধ্যে একটি সাধারণ ভুল ধারণা হলো যে NAC এবং RADIUS একই জিনিস। তারা তা নয়। RADIUS সাধারণত ওয়ার্কফ্লোর অংশ। NAC সেই ওয়ার্কফ্লো ব্যবহার করে, তারপর তার উপরে পলিসি এবং প্রয়োগের স্তর যুক্ত করে।
একটি স্বাস্থ্যকর NAC ডিজাইন অ্যাক্সেসের উদ্দেশ্য থেকে পরিচয় প্রমাণকে আলাদা করে। অথেন্টিকেশন বলে যে এটি কে। NAC সিদ্ধান্ত নেয় যে সেই পরিচয়টি এই নেটওয়ার্কে, এই সেশনে কী করতে পারে।
প্রয়োগকারী বিন্দু (Enforcement point)
নেটওয়ার্ক তার প্রয়োগের কার্য সম্পাদন করে। প্রয়োগকারী বিন্দুটি সাধারণত সুইচ, ওয়্যারলেস কন্ট্রোলার, বা অ্যাক্সেস পয়েন্ট (access point) হয় যা সংযোগ মঞ্জুর করে, সীমাবদ্ধ করে বা অস্বীকার করে।
যদি পলিসিতে বলা থাকে "শুধুমাত্র ইন্টারনেট", প্রয়োগকারী বিন্দুটি এন্ডপয়েন্টটিকে একটি গেস্ট VLAN বা সীমাবদ্ধ ভূমিকায় পরিচালিত করতে পারে। যদি পলিসিতে বলা থাকে "কোয়ারেন্টাইন", তবে এন্ডপয়েন্টটি বিচ্ছিন্ন হয়ে যায়। যদি পলিসিতে বলা থাকে "অস্বীকার", তবে এটি কোথাও যেতে পারে না।
একটি সহজ দৃশ্য নিম্নরূপ:
| উপাদান | প্রধান কাজ | সাধারণ উদাহরণ |
|---|---|---|
| পলিসি ইঞ্জিন | অ্যাক্সেস লজিক প্রয়োগ করে | NAC প্ল্যাটফর্ম |
| অথেন্টিকেশন সার্ভার | পরিচয় যাচাই করে | RADIUS পরিষেবা |
| প্রয়োগকারী বিন্দু | নেটওয়ার্ক অ্যাক্সেস পরিবর্তন করে | সুইচ, AP, কন্ট্রোলার |
কার্যকরীভাবে যা গুরুত্বপূর্ণ তা হলো এই উপাদানগুলির মধ্যে সমন্বয়। যদি পরিচয়ের ডেটা দুর্বল হয়, তবে পলিসি অনুমান নির্ভর হয়ে যায়। প্রয়োগ দুর্বল হলে, পলিসি কেবল লোকদেখানো হয়ে দাঁড়ায়।
NAC-এর প্রকারভেদ এবং প্রয়োগের পদ্ধতিসমূহ অন্বেষণ
সব NAC ডিপ্লয়মেন্ট একইভাবে কাজ করে না। কোনো কোনো নিয়ন্ত্রণ একটি ডিভাইস অর্থপূর্ণ অ্যাক্সেস পাওয়ার আগেই ঘটে। অন্যগুলি সংযোগের পরেও চলতে থাকে এবং পরিস্থিতি পরিবর্তনের সাথে সাথে অ্যাক্সেস সামঞ্জস্য করে। সেরা বাস্তবায়নগুলিতে সাধারণত উভয়ই সমন্বয় করা হয়।
UK enterprise নেটওয়ার্কগুলোতে, NAC সাধারণত IEEE 802.1X এবং RADIUS-এর আশেপাশে একটি পলিসি প্রয়োগকারী স্তর হিসেবে প্রয়োগ করা হয়, যেখানে সুইচ বা ওয়্যারলেস কন্ট্রোলার ডিজিটাল দরজায় একটি ডিভাইসকে থামায় এবং RADIUS ব্যবহার করে পরিচয়পত্র এবং কার্যক্ষমতা পরীক্ষা করে, এরপর NAC সিদ্ধান্ত নেয় যে সেই ডিভাইসটিকে একটি নির্দিষ্ট VLAN, সীমাবদ্ধ নেটওয়ার্কের মধ্যে রাখা উচিত নাকি সম্পূর্ণরূপে প্রত্যাখ্যান করা উচিত ( 802.1X এবং RADIUS সহ NAC-এর প্রযুক্তিগত ওভারভিউ )।
প্রাক-প্রবেশ এবং প্রবেশ-পরবর্তী
প্রাক-প্রবেশ নিয়ন্ত্রণ (Pre-admission control) হলো তুলনামূলক পরিষ্কার মডেল। প্রকৃত অ্যাক্সেস পাওয়ার আগেই ডিভাইসটিকে পরিচয় প্রমাণ করতে হয় এবং পলিসি পূরণ করতে হয়। এটি ব্যর্থ হলে, নেটওয়ার্ক এটিকে ব্লক করতে পারে বা একটি কঠোরভাবে সীমিত সেগমেন্টে রাখতে পারে।
প্রবেশ-পরবর্তী নিয়ন্ত্রণ (Post-admission control) ধরে নেয় যে প্রাথমিক সংযোগই শেষ কথা নয়। লগইন করার পরে ডিভাইসগুলো কমপ্লায়েন্সের বাইরে চলে যেতে পারে, অ্যাকাউন্ট পরিবর্তিত হতে পারে এবং আচরণ সন্দেহজনক হতে পারে। প্রবেশ-পরবর্তী নিয়ন্ত্রণগুলো সেশন চলাকালীন NAC-কে অ্যাক্সেস পুনরায় মূল্যায়ন এবং কঠোর করার সুযোগ দেয়।
একটি ব্যবহারিক তুলনা:
| পদ্ধতি | যেটিতে এটি ভালো কাজ করে | যেখানে এটি সমস্যার সম্মুখীন হতে পারে |
|---|---|---|
| প্রাক-প্রবেশ | খারাপ অ্যাক্সেস শুরুতেই বন্ধ করে | লিগ্যাসি এবং অনিয়ন্ত্রিত ডিভাইসের ক্ষেত্রে তুলনামূলক কঠিন |
| প্রবেশ-পরবর্তী | পরিবর্তনশীল পরিস্থিতিতে প্রতিক্রিয়া জানায় | ভালো ভিজিবিলিটি এবং স্পষ্ট ট্রিগার প্রয়োজন |
টিমগুলো প্রায়শই প্রথম গেটের উপর বেশি ফোকাস করে এবং সেশন কন্ট্রোলের কথা ভুলে যায়। এটি একটি ভুল। সকাল ৯টায় যে ডিভাইসটি গ্রহণযোগ্য ছিল, পরে তার পোস্টার পরিবর্তিত হলে বা ঝুঁকির প্রেক্ষাপট বদলে গেলে সেটি আর গ্রহণযোগ্য নাও হতে পারে।
এজেন্ট-ভিত্তিক এবং এজেন্টবিহীন
কিছু NAC প্ল্যাটফর্ম সিকিউরিটি পোস্টার আরও নির্ভরযোগ্যভাবে রিপোর্ট করতে এন্ডপয়েন্টে একটি এজেন্ট ব্যবহার করে। এটি ম্যানেজড স্টাফ ল্যাপটপ এবং অন্যান্য কর্পোরেট ডিভাইসের জন্য দরকারী হতে পারে।
অন্যান্য ক্ষেত্রে এজেন্টবিহীন (agentless) কৌশলের প্রয়োজন হয়। গেস্ট ফোন, কনজিউমার ডিভাইস এবং অনেক IoT এন্ডপয়েন্ট আপনার এজেন্ট বহন করবে না এবং জোর করে এটি ব্যবহার করাতে গেলে উপকারের চেয়ে জটিলতাই বেশি তৈরি হয়। সেইসব ক্ষেত্রে, প্রোফাইলিং, সার্টিফিকেট চেক, পোর্টাল ফ্লো বা নেটওয়ার্ক মেটাডেটা ব্যবহার করা বেশি বাস্তবসম্মত।
কোনো মডেলই সার্বজনীনভাবে সেরা নয়। সঠিক প্রশ্নটি হলো আপনার কাছে কোন ধরণের ডিভাইস রয়েছে এবং তার মধ্যে কোনগুলো আপনার নিয়ন্ত্রণে আছে।
প্রয়োগের জন্য গুরুত্বপূর্ণ টুলসমূহ
লোকেরা যখন জিজ্ঞেস করে নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল কী, তারা প্রায়শই একটি একক মেকানিজম আশা করে। বাস্তবে, NAC হলো প্রয়োগ পদ্ধতির একটি সংগ্রহ।
সবচেয়ে সাধারণ কয়েকটি নিম্নে দেওয়া হলো:
802.1X
পোর্ট-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণের স্ট্যান্ডার্ড। ডিভাইসগুলি যখন এটি সঠিকভাবে সমর্থন করতে পারে, তখন এটিই পছন্দের পথ, কারণ এটি আপনাকে তারযুক্ত এবং তারবিহীন নেটওয়ার্কে আরও শক্তিশালী পরিচয়-ভিত্তিক প্রবেশের অনুমতি দেয়।ডায়নামিক VLAN অ্যাসাইনমেন্ট
NAC পলিসির উপর ভিত্তি করে ব্যবহারকারী এবং ডিভাইসগুলিকে বিভিন্ন VLAN-এ রাখতে পারে। একই সুইচ পোর্ট বা SSID, কিন্তু ভিন্ন নেটওয়ার্ক ফলাফল।রোল-ভিত্তিক অ্যাক্সেস নিয়ন্ত্রণ (RBAC)
একটি ফাইন্যান্স ল্যাপটপ, একটি গেস্ট হ্যান্ডসেট এবং একটি প্রিন্টার একই ধরনের বিশ্বাসযোগ্যতা পাওয়া উচিত নয়। RBAC পলিসিকে শুধুমাত্র সংযোগের অবস্থানের পরিবর্তে কাজের ভূমিকা এবং ডিভাইসের ধরন প্রতিফলিত করতে সাহায্য করে।কোয়ারেন্টাইন নেটওয়ার্ক
ডিভাইসটি পরিচিত কিন্তু নিয়ম মেনে চলছে না এমন ক্ষেত্রে দরকারী। সব-অথবা-কিছুই-না সিদ্ধান্তের পরিবর্তে, NAC এটিকে এমন কোথাও রাখতে পারে যেখানে এটি সংবেদনশীল সিস্টেমে না পৌঁছেই সমস্যার সমাধান করতে পারে।MAC অথেনটিকেশন বাইপাস
এটি প্রায়শই এমন ডিভাইসগুলির জন্য ব্যবহৃত হয় যা 802.1X করতে পারে না, যেমন কিছু প্রিন্টার, স্ক্যানার বা বিশেষ কিট। এটি কাজ করে, তবে এটি সার্টিফিকেট বা ব্যবহারকারী-ভিত্তিক পদ্ধতির চেয়ে দুর্বল, তাই এর চারপাশে আরও কঠোর পলিসির প্রয়োজন হয়।Captive Portal এবং ওয়েব অথেনটিকেশন
গেস্ট অ্যাক্সেস পরিবেশে সাধারণ। সাময়িক অ্যাক্সেসের জন্য ঠিক আছে, কিন্তু বারবার ব্যবহারকারীদের জন্য এটি ঝামেলার এবং স্টাফ বা বিশ্বস্ত ডিভাইসগুলির জন্য দীর্ঘমেয়াদী সমাধান হিসাবে আদর্শ নয়।
প্ল্যাটফর্মের বিকল্পগুলি পর্যালোচনা করার সময়, সংস্থাগুলির জন্য শুধুমাত্র মূল বৈশিষ্ট্যের তালিকার পরিবর্তে তারা এই প্রয়োগের ধরণগুলির মধ্যে কোনটি ভালভাবে সমর্থন করে তার উপর ভিত্তি করে নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণ সমাধানগুলি তুলনা করা সহায়ক হবে।
কীভাবে NAC আপনার বিদ্যমান IT স্ট্যাকের সাথে সংহত হয়
NAC তখনই সবচেয়ে বেশি কার্যকর হয় যখন এটি একা কাজ করে না। নিজস্বভাবে, এটি একটি সংযোগের অনুরোধ যাচাই করতে পারে এবং একটি স্থানীয় নিয়ম প্রয়োগ করতে পারে। সঠিকভাবে সংহত করা হলে, এটি পরিচয়, ডিভাইসের বিশ্বাসযোগ্যতা এবং কার্যকারিতার প্রসঙ্গের উপর ভিত্তি করে একটি অ্যাক্সেস সিদ্ধান্তের পয়েন্ট হয়ে ওঠে।
এটি সিদ্ধান্তের গুণমান পরিবর্তন করে।
পরিচয় প্ল্যাটফর্ম এবং ডিরেক্টরি
বেশিরভাগ সংস্থা চায় না যে NAC ব্যবহারকারী এবং ভূমিকার একটি পৃথক ডেটাবেস পরিচালনা করুক। তারা চায় এটি এমন সিস্টেমের সাথে যুক্ত থাকুক যা ইতিমধ্যে কর্মশক্তির পরিচয় নির্ধারণ করছে। বাস্তবে, এর অর্থ সাধারণত Microsoft Entra ID, Google Workspace, Okta, বা বিদ্যমান ডিরেক্টরি পরিষেবাগুলির সাথে সংহত করা।
এটি NAC-কে আরও দরকারী প্রশ্ন জিজ্ঞাসা করতে দেয়:
- এই ব্যবহারকারী কি বর্তমান এবং সক্রিয় আছেন?
- তারা কোন গ্রুপ বা ভূমিকায় আছেন?
- অ্যাক্সেস কি কেন্দ্রীয়ভাবে বাতিল করা হয়েছে?
- এই ব্যক্তির সাথে কি স্টাফ, ঠিকাদার, গেস্ট নাকি বাসিন্দা হিসাবে আচরণ করা উচিত?
যখন অ্যাক্সেস পলিসি ডিরেক্টরি ট্রুথ অনুসরণ করে, তখন অনবোর্ডিং এবং অফবোর্ডিং অনেক বেশি সহজ হয়ে যায়। যদি HR-চালিত আইডেন্টিটির পরিবর্তনগুলো অ্যাক্সেস সিদ্ধান্তের সাথে যুক্ত হয়, তবে নেটওয়ার্ক আপনার কন্ট্রোল প্লেনের বাকি অংশের চেয়ে পিছিয়ে থাকে না।
সার্টিফিকেট, পশ্চার এবং পাসওয়ার্ডহীন অ্যাক্সেস
সবচেয়ে শক্তিশালী NAC পরিবেশগুলো SSID-এ শেয়ার করা পাসওয়ার্ড বা দীর্ঘদিন ধরে থাকা স্ট্যাটিক ক্রেডেন্সিয়ালের ওপর নির্ভর করে না। এন্ডপয়েন্টটি শনাক্ত করার জন্য তারা সার্টিফিকেট এবং ডিভাইস ট্রাস্ট সিগন্যাল ব্যবহার করে।
এটি গুরুত্বপূর্ণ কারণ একটি ইউজার অ্যাকাউন্ট কেবল গল্পের একটি অংশ প্রকাশ করে। একটি অজানা ডিভাইসে থাকা একজন বৈধ ব্যবহারকারীও একটি ঝুঁকির কারণ হতে পারে।
ফিল্ড অ্যাডভাইস: আপনার কর্মীদের অ্যাক্সেস যদি এখনও একটি শেয়ার করা WiFi পাসওয়ার্ডের ওপর নির্ভর করে, তবে আপনার কোনো কার্যকর অ্যাডমিশন কন্ট্রোল নেই। আপনার কেবল একটি সুবিধার সেটিং আছে।
এখানেই NAC আধুনিক পাসওয়ার্ডহীন নেটওয়ার্কিংয়ের সাথে যুক্ত হতে শুরু করে। আইডেন্টিটি-নেতৃত্বাধীন অ্যাক্সেস পুরোনো Captive Portal অভিজ্ঞতার বাইরেও প্রসারিত হতে পারে। গেস্ট এবং ভেন্যু পরিবেশের জন্য, OpenRoaming এবং Passpoint-এর মতো প্রযুক্তিগুলো কম জটিলতায় নিরাপদ, স্বয়ংক্রিয় সংযোগের দিকে এগিয়ে নিয়ে যায়। এই অ্যাক্সেসের জন্য এখনও পলিসির প্রয়োজন রয়েছে। তবে এতে পুরোনো, বিরক্তিকর ইউজার জার্নির প্রয়োজন হয় না।
কাজে NAC - সাধারণ ব্যবহারের ক্ষেত্রসমূহ
NAC যে অপারেশনাল সমস্যাগুলো সমাধান করে তা দেখলে এটি আরও বেশি যুক্তিযুক্ত মনে হয়। পলিসি ইঞ্জিন এবং RADIUS ফ্লো গুরুত্বপূর্ণ, তবে বেশিরভাগ ক্রেতাই একটি বিষয়ের প্রতি যত্নশীল: এটি কি ব্যবহারকারীর অভিজ্ঞতা নষ্ট না করে নিয়ন্ত্রণ উন্নত করে?
হসপিটালিটি
হোটেলগুলো ওভারল্যাপিং ট্রাস্ট জোনে ভরপুর থাকে। গেস্টদের ফোন এবং ল্যাপটপের ইন্টারনেট অ্যাক্সেস প্রয়োজন। কর্মীদের ডিভাইসের অপারেশনাল সিস্টেমে অ্যাক্সেস প্রয়োজন। টিভি, ডোর সিস্টেম, কিয়স্ক এবং ব্যাক-অফিস সরঞ্জামগুলোর সংযোগ প্রয়োজন, তবে ডিফল্টরূপে একে অপরের সাথে নয়।
একটি ভালো NAC ডিজাইন এই শ্রেণীগুলোকে স্পষ্টভাবে আলাদা করে, এমনকি যখন তারা একই ফিজিক্যাল ইনফ্রাস্ট্রাকচার শেয়ার করে। গেস্টরা সহজ অনবোর্ডিং এবং ইন্টারনেট অ্যাক্সেস পায়। কর্মীদের ডিভাইসগুলো প্রতিষ্ঠানের আইডেন্টিটি স্ট্যাকের বিপরীতে অথেন্টিকেট করে। অপারেশনাল ডিভাইসগুলো নির্দিষ্ট সীমার সেগমেন্টে যুক্ত হয়।
যা কাজ করে না তা হলো সহজ সংস্করণটি। একটি ব্রড SSID, একটি পাসওয়ার্ড, এবং "আমরা সংবেদনশীল অংশগুলো অন্য কোথাও রাখব"। হসপিটালিটিতে, এটি সাধারণত ট্রাবলশুটিংয়ের ঝামেলা এবং অস্পষ্ট জবাবদিহিতায় পরিণত হয়।
রিটেইল
রিটেইল পরিবেশগুলো প্রায়শই পাবলিক WiFi, কর্মীদের ট্যাবলেট, POS সিস্টেম, স্ক্যানার, ডিজিটাল সাইনেজ এবং ভেন্ডর দ্বারা রক্ষণাবেক্ষণ করা সরঞ্জামগুলোর মিশ্রণ থাকে। যদি NAC চালু না থাকে, তবে দোকানগুলোতে এমন সিস্টেম তৈরি হতে পারে যা কেবল কাছাকাছি থাকার কারণে একে অপরকে বিশ্বাস করে।
এখানে আরও বেশি মূল্যবান নিয়ন্ত্রণ হলো সেগমেন্টেড অ্যাডমিশন। POS সিস্টেমগুলোর কেবল তাদের প্রয়োজনীয় জিনিসের সাথেই যোগাযোগ করা উচিত। গেস্ট ট্রাফিক কখনই পরোক্ষ বিশ্বাসের প্রতিবেশী হওয়া উচিত নয়। ভেন্ডরের কিট শনাক্তকরণযোগ্য এবং সীমাবদ্ধ হওয়া উচিত।
একটি ভালো রিটেইল NAC সেটআপ অপারেশনাল অস্পষ্টতাও হ্রাস করে। নেটওয়ার্কে অদ্ভুত কিছু দেখা দিলে, ট্রেডিং আওয়ারের মাঝখানে তাৎক্ষণিকভাবে কিছু করার চেয়ে টিম এটিকে দ্রুত শ্রেণীবদ্ধ করতে পারে এবং একটি পরিচিত পলিসি প্রয়োগ করতে পারে।
Healthcare
Healthcare এমন একটি ক্ষেত্র যেখানে NAC দ্রুত নিজের কার্যকারিতা প্রমাণ করে। এর মধ্যে রয়েছে ক্লিনিশিয়ান, প্রশাসনিক কর্মী, অতিথি, ঠিকাদার, আনম্যানেজড মেডিকেল ডিভাইস এবং পুরোনো স্পেশালিস্ট সরঞ্জাম যা সবসময় আধুনিক অথেন্টিকেশন সঠিকভাবে সমর্থন করতে পারে না।
NCSC থেকে যুক্তরাজ্যের পাবলিক-সেক্টর নির্দেশিকা সংস্থাগুলোকে একটি Zero Trust মানসিকতা গ্রহণ করার পরামর্শ দিয়ে NAC নীতিগুলোর সাথে সারিবদ্ধ করে, যেখানে অ্যাক্সেস দেওয়ার আগে প্রতিটি ব্যবহারকারী এবং ডিভাইস যাচাই করা হয় এবং যেকোনো নিরাপত্তার আপোষের প্রভাব সীমিত করতে সেগমেন্টেশন ব্যবহার করা হয় ( Zero Trust and NAC alignment in UK public-sector guidance )।
হাসপাতাল এবং ক্লিনিকগুলোতে কঠিন অংশটি থিওরি নয়। এটি হলো পুরো এস্টেটের ট্রাস্টকে দুর্বল না করে মিশ্র ডিভাইস ক্লাসগুলো পরিচালনা করা।
মাল্টি-টেন্যান্ট রেসিডেন্সিয়াল এবং স্টুডেন্ট হাউজিং
রেসিডেন্সিয়াল অপারেটরদের এমন একটি নেটওয়ার্ক মডেল প্রয়োজন যা বাসিন্দাদের কাছে সহজ মনে হয় কিন্তু ব্যাকগ্রাউন্ডে আইসোলেটেড বা বিচ্ছিন্ন থাকে। একজন বাসিন্দা একই বিল্ডিং অবকাঠামোতে থাকার কারণে অন্য বাসিন্দার ডিভাইসগুলো খুঁজে পাওয়ার সুযোগ থাকা উচিত নয়।
NAC পলিসি, প্রাইভেট নেটওয়ার্ক অ্যাসাইনমেন্ট এবং iPSK এর মতো পদ্ধতিগুলো এই পরিস্থিতিতে দারুণ সুবিধা দেয়। বাসিন্দারা বাড়ির মতো অভিজ্ঞতা পান। লেগ্যাসি ডিভাইসগুলো তখনও কানেক্ট করতে পারে। অপারেটর সেপারেশন এবং নিয়ন্ত্রণ বজায় রাখে।
এটি এন্টারপ্রাইজ অফিস NAC-এর চেয়ে সম্পূর্ণ ভিন্ন একটি সমস্যা, কিন্তু একই অ্যাডমিশন লজিক এখানেও প্রযোজ্য। আইডেন্টিটি, ডিভাইসের ধরন এবং পলিসি নির্ধারণ করে যে সেই ব্যবহারকারীর জন্য নেটওয়ার্ক কেমন হবে।
ডিপ্লয়মেন্টের সেরা অনুশীলন এবং ROI বিবেচ্য বিষয়সমূহ
বেশিরভাগ NAC ব্যর্থতা দুর্বল প্রযুক্তির কারণে হয় না। এগুলো ঘটে উচ্চাভিলাষী পলিসি, অগোছালো এস্টেট এবং টিমগুলোর খুব দ্রুত ও খুব বেশি নিয়ম প্রয়োগ করার চেষ্টার কারণে।
একটি ভালো পদ্ধতি হলো সুশৃঙ্খল এবং কিছুটা সাধারণ হওয়া। নেটওয়ার্ক সিকিউরিটির ক্ষেত্রে এটিকে সাধারণত একটি ইতিবাচক গুণ হিসেবেই ধরা হয়।
যা সাধারণত কার্যকর হয়
ব্লক করার আগে পর্যবেক্ষণ দিয়ে শুরু করুন। যেখানে সম্ভব NAC মনিটরিং বা কম-প্রভাবশালী মোডে চালান, ডিভাইসের ধরন সম্পর্কে একটি বাস্তবসম্মত ধারণা তৈরি করুন, তারপর ধাপে ধাপে পলিসিগুলো কঠোর করুন।
একটি কার্যকর ধারাবাহিকতা এমন হতে পারে:
প্রথমে ইনভেন্টরি
কী কানেক্ট হচ্ছে তা জানুন। সংস্থাগুলো প্রায়শই প্রত্যাশার চেয়ে বেশি আনম্যানেজড বা ভুলভাবে শ্রেণীবদ্ধ ডিভাইস খুঁজে পায়।সহজ পলিসি দিয়ে শুরু করুন
প্রাথমিক মডেলের জন্য কর্পোরেট পরিচালিত ডিভাইস, গেস্ট, প্রিন্টার এবং অজ্ঞাত ডিভাইসগুলোই যথেষ্ট। পরে আপনি আরও জটিলতা যোগ করতে পারেন।ব্যতিক্রমগুলোর জন্য স্পষ্টভাবে পরিকল্পনা করুন
লেগ্যাসি ডিভাইস, ক্লিনিক্যাল সরঞ্জাম, বিশেষায়িত IoT এবং ফেসিলিটিজ সিস্টেমের জন্য একটি নির্দিষ্ট পথ প্রয়োজন। এগুলো সব একদম নিখুঁত মডেলে মানিয়ে যাবে এমন ভাবা সময় নষ্ট মাত্র।তারযুক্ত এবং তারহীন সংযোগ একসাথে বিবেচনা করুন
যদি পলিসি WiFi-এ শক্তিশালী এবং সুইচ পোর্টে দুর্বল হয়, তবে মানুষ সেই দুর্বল জায়গাটি খুঁজে বের করবেই।
UK প্রাইভেসি এবং কমপ্লায়েন্স ডিজাইনের অংশ
NAC সম্পর্কিত নিবন্ধগুলোতে প্রায়শই এই অংশটি এড়িয়ে যাওয়া হয়, তবে UK-তে এটি বেশ গুরুত্বপূর্ণ। NAC ডিভাইস এবং ব্যবহারকারীর বৈশিষ্ট্য সংগ্রহ ও মূল্যায়ন করে, এবং এটি গভর্নেন্স সংক্রান্ত প্রশ্ন তৈরি করে। ডেটা মিনিমাইজেশন এবং স্টোরেজ লিমিটেশন সম্পর্কিত UK GDPR নীতিমালা অনুযায়ী, সংস্থাগুলোর উচিত একটি নির্দিষ্ট উদ্দেশ্যে যা প্রয়োজন কেবল সেটুকুই সংগ্রহ করা এবং কেবল প্রয়োজনীয় সময় পর্যন্ত তা সংরক্ষণ করা। এর অর্থ হলো NAC ডিজাইনে এটি নির্ধারণ করা উচিত যে অ্যাক্সেস সংক্রান্ত সিদ্ধান্তের জন্য কোন বৈশিষ্ট্যগুলো অপরিহার্য, কী লগ করা হচ্ছে, কতক্ষণ লগ রাখা হচ্ছে এবং কীভাবে সিকিউরিটি ডেটাকে মার্কেটিং বা অ্যানালিটিক্স ব্যবহার থেকে আলাদা করা হচ্ছে ( NAC এবং প্রাইভেসি-বাই-ডিজাইন বিবেচনার UK-ভিত্তিক আলোচনা )।
এর অর্থ এই নয় যে NAC সমস্যাযুক্ত। এর সহজ অর্থ হলো ডেটা মডেলটির জন্য নিয়মানুবর্তিতা প্রয়োজন।
উপলব্ধ প্রতিটি আইডি এবং ডিভাইস বৈশিষ্ট্য সংগ্রহ করার জন্য ভ্যাকুয়াম ক্লিনার হিসেবে NAC তৈরি করবেন না। এটিকে একটি যৌক্তিক প্রমাণ সেট সহ একটি সিদ্ধান্ত নেওয়ার সিস্টেম হিসেবে তৈরি করুন।
ROI কেবল লঙ্ঘন হ্রাসের চেয়েও বিস্তৃত
সিকিউরিটি ক্রেতারা প্রায়শই ইনভেস্টমেন্ট রিটার্ন (ROI) জানতে চান এবং তারপর এটিকে খুব সংকীর্ণভাবে বিবেচনা করেন। এর মূল্য কেবল "NAC কোনো ঘটনা প্রতিরোধ করেছে কি না" তার মধ্যে সীমাবদ্ধ নয়। এটি প্রতিদিনের অপারেশনেও প্রকাশ পায়।
রিটার্ন পাওয়ার সাধারণ ক্ষেত্রগুলোর মধ্যে রয়েছে:
- কম সাপোর্ট জটিলতা কারণ কর্মী ও গেস্টরা আরও ধারাবাহিকভাবে সঠিক অ্যাক্সেস অবস্থায় পৌঁছাতে পারেন
- দ্রুত ট্রাবলশুটিং কারণ নেটওয়ার্কের কাছে আরও স্পষ্ট পরিচয় এবং পলিসিগত প্রেক্ষাপট থাকে
- সহজ অফবোর্ডিং যখন অ্যাক্সেস কেন্দ্রীয় পরিচয় এবং সার্টিফিকেট অবস্থার উপর নির্ভর করে
- ম্যানুয়াল ব্যতিক্রম হ্যান্ডলিংয়ের প্রয়োজনীয়তা হ্রাস যখন পুনরাবৃত্তিযোগ্য ভূমিকা এবং ডিভাইস ক্লাসগুলো সঠিকভাবে ম্যাপ করা হয়
এখানেই ক্লাউড-পরিচালিত এবং আইডেন্টিটি-ফার্স্ট বিকল্পগুলো কার্যকর হতে পারে। কিছু সংস্থা এখনও লোকাল RADIUS এবং সুইচিংয়ের সাথে যুক্ত অন-প্রিমিসেস NAC পছন্দ করে। অন্যরা কম অবকাঠামোগত খরচ চান। Purple-এর নেটওয়ার্ক এবং তারহীন সিকিউরিটি সার্ভিস -এর মতো প্ল্যাটফর্মগুলো পরিচয়-ভিত্তিক অ্যাক্সেস, পাসওয়ার্ডহীন ওয়ার্কফ্লো এবং ভেন্ডর ইন্টিগ্রেশনকে একত্রিত করে শেষের প্যাটার্নটির সাথে খাপ খাইয়ে নেয়, যার জন্য শেয়ার করা পাসওয়ার্ড এবং জটিল ম্যানুয়াল গেস্ট ফ্লোর মতো পুরনো অপারেশনাল ঝামেলার প্রয়োজন হয় না।
অ্যাক্সেসের ভবিষ্যৎ - NAC থেকে আইডেন্টিটি নেটওয়ার্কিং
ঐতিহ্যগত NAC-এর গুরুত্ব এখনও রয়েছে। এটি সেই অ্যাডমিশন লেয়ার হিসেবে কাজ করে যা নেটওয়ার্ককে জানায় যে কাকে এবং কী বিশ্বাস করা উচিত, কোন পরিস্থিতিতে এবং কী ধরণের অ্যাক্সেস লেভেল দেওয়া উচিত।
তবে NAC-কে ঘিরে ব্যবহারকারীর অভিজ্ঞতা পরিবর্তিত হচ্ছে।
২০২৪ সালের জানুয়ারি পর্যন্ত, যুক্তরাজ্যের ৯৬% প্রাঙ্গনে গিগাবিট-সক্ষম ব্রডব্যান্ডের সুবিধা ছিল ( যুক্তরাজ্যের কানেক্টিভিটি আপডেট এখানে উল্লেখ করা হয়েছে )। এই স্তরের কানেক্টিভিটি মানে আরও বেশি ডিভাইস, আরও বেশি সেশন এবং অ্যাক্সেস যাতে তাৎক্ষণিক হয় সেই প্রত্যাশা। শেয়ার্ড পাসওয়ার্ড, জটিল Captive Portal এবং ম্যানুয়াল নিয়মের পুরনো মডেল এই পরিবেশে কার্যকরভাবে স্কেল করতে পারে না।
বর্তমান লক্ষ্য হলো identity networking। অ্যাক্সেসের সিদ্ধান্ত এখনও NAC নীতিগুলি অনুসরণ করেই নেওয়া হয়, তবে এর বাস্তবায়ন আরও নির্বিঘ্ন হয়। কর্মীরা আইডেন্টিটি-ব্যাকড, সার্টিফিকেট-গ্রেড ট্রাস্টের মাধ্যমে অথেন্টিকেট করেন। অতিথিরা এমন সব স্ট্যান্ডার্ডের মাধ্যমে সংযোগ স্থাপন করেন যা ঘর্ষণ কমায় এবং প্রথম প্যাকেট থেকেই এনক্রিপশন উন্নত করে। মাল্টি-টেন্যান্ট এবং মিশ্র ব্যবহারের জায়গাগুলি প্রতিটি ব্যবহারকারীকে লগইন ধাপের সাথে জটিলতায় না ফেলে আইসোলেশন সুবিধা পায়।
আজকের দিনে নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল কী, তার বর্তমান উত্তর এটিই। এটি এখন আর কেবল একটি লেগ্যাসি গেটকিপার নয়। এটি পাসওয়ার্ডহীন, আইডেন্টিটি-চালিত অ্যাক্সেসের ভিত্তি যা একই সাথে সুরক্ষিত, সেগমেন্টেড এবং সহজে ব্যবহারযোগ্য হতে পারে।
Purple সংস্থাগুলিকে বেসিক WiFi অ্যাক্সেস থেকে আইডেন্টিটি-ভিত্তিক নেটওয়ার্কিংয়ে রূপান্তর করতে সাহায্য করে। এটি অতিথি, কর্মী এবং মাল্টি-টেন্যান্ট পরিবেশের জন্য শেয়ার্ড পাসওয়ার্ড এবং Captive Portal-এর পরিবর্তে নিরাপদ, পাসওয়ার্ডহীন অ্যাক্সেস প্রদান করে। আপনি যদি মূল্যায়ন করতে চান কীভাবে NAC নীতিগুলি OpenRoaming, Passpoint, সার্টিফিকেট-ভিত্তিক কর্মী অ্যাক্সেস বা আইসোলেটেড আবাসিক কানেক্টিভিটিকে সমর্থন করতে পারে, তবে Purple হলো পর্যালোচনা করার মতো একটি প্ল্যাটফর্ম।
