Captive Portal আর্কিটেকচার: নিরাপত্তা, রিডাইরেকশন এবং সর্বোত্তম অনুশীলন

British English-এ আত্মবিশ্বাসী, কর্তৃত্বপূর্ণ এবং কথোপকথনমূলক টোনে কথা বলুন - যেমন একজন সিনিয়র নেটওয়ার্ক কনসালট্যান্ট কফি খেতে খেতে কোনো ক্লায়েন্টকে ব্রিফ করছেন। পরিমিত গতি, স্পষ্ট উচ্চারণ, কোনো তাড়া নেই। জোর দেওয়ার জন্য মাঝে মাঝে স্বাভাবিক বিরতি। পেশাদার কিন্তু আড়ষ্ট নয়: Purple টেকনিক্যাল ব্রিফিং-এ স্বাগতম। আমি আপনাদের হোস্ট, এবং আজ আমরা captive portal আর্কিটেকচার নিয়ে বিস্তারিত আলোচনা করছি - বিশেষ করে সিকিউরিটি মডেল, রিডাইরেকশন মেকানিক্স এবং ডিজাইনের সিদ্ধান্তগুলো যা একটি কমপ্লায়েন্ট, সুনিয়ন্ত্রিত ডেপ্লয়মেন্টকে এমন একটি ডেপ্লয়মেন্ট থেকে আলাদা করে যা শেষ রাতে আপনার সমস্যার কারণ হতে পারে। [medium pause] চলুন পরিস্থিতিটা একটু বুঝে নেওয়া যাক। আপনি একটি hotel chain, retail estate বা stadium-এ গেস্ট WiFi চালাচ্ছেন। প্রতিদিন হাজার হাজার ডিভাইস সংযুক্ত হচ্ছে। এর মধ্যে কিছু ডিভাইসে malware থাকতে পারে। কিছু ব্যবহারকারী এমন content অ্যাক্সেস করার চেষ্টা করতে পারেন যা তাদের করা উচিত নয়। এবং আপনার legal team লিখিতভাবে জানতে চায় যে, আপনি একটি single byte ব্যক্তিগত ডেটা সংরক্ষণ করার আগে বৈধ সম্মতি নিয়েছেন কিনা। [medium pause] এই সমস্যাটি সমাধান করার জন্যই captive portal আর্কিটেকচার ডিজাইন করা হয়েছে। চলুন বিশদভাবে জানা যাক এটি আসলে কীভাবে কাজ করে। [medium pause] সেকশন এক। রিডাইরেকশন চেইন। যখন একটি গেস্ট ডিভাইস আপনার WiFi SSID-এর সাথে সংযুক্ত হয়, তখন এটি একটি ডেডিকেটেড গেস্ট VLAN - ধরুন VLAN 20 -এর একটি DHCP pool থেকে একটি IP address পায়। আপনার কর্পোরেট ডিভাইসগুলো VLAN 10-এ রয়েছে। এই দুটি VLAN-এর কখনোই একে অপরের সাথে route করা উচিত নয়। এটি PCI DSS-এর দৃষ্টিকোণ থেকে আপসহীন, এবং সত্যি বলতে একটি মৌলিক নিরাপত্তার দৃষ্টিকোণ থেকেও। এখন, ডিভাইসটি সংযুক্ত হয়েছে, কিন্তু এটি এখনও authenticate করেনি। কন্ট্রোলার এটিকে একটি pre-authentication state-এ রাখে। ডিভাইসটি শুধুমাত্র ডোমেনের একটি ছোট whitelist-এ পৌঁছাতে পারে - যাকে walled garden বলা হয়। অন্য সবকিছু intercept করা হয়। এখানেই আসল চতুরতা। যখন ডিভাইসটি কোনো webpage load করার চেষ্টা করে - অথবা যখন অপারেটিং সিস্টেম তার captive portal detection check করে, যা iOS স্বয়ংক্রিয়ভাবে captive.apple.com-এ hit করে করে থাকে - তখন gateway-র DNS resolver আসল গন্তব্যের পরিবর্তে captive portal সার্ভারের IP address ফেরত দেয়। ব্রাউজারটি সেই redirect অনুসরণ করে এবং আপনার splash page-এ পৌঁছায়। [medium pause] এটি Layer 3 এবং Layer 7 একসাথে কাজ করার উদাহরণ। VLAN নেটওয়ার্ক isolation পরিচালনা করে। DNS intercept রিডাইরেক্ট পরিচালনা করে। এবং captive portal আইডেন্টিটি এবং consent layer পরিচালনা করে। তিনটি ভিন্ন মেকানিজম, সবগুলো ক্রমানুসারে কাজ করে। [medium pause] সেকশন দুই। অথেন্টিকেশন এবং RADIUS। গেস্ট একবার splash page-এর সাথে ইন্টারঅ্যাক্ট করলে - তা শর্তাবলী মেনে নেওয়া হোক, কোনো email address দেওয়া হোক, social login-এর মাধ্যমে authenticate করা হোক বা একটি SMS code যাচাই করা হোক - প্ল্যাটফর্মটিকে সেই নির্দিষ্ট ডিভাইসের জন্য firewall খোলার জন্য নেটওয়ার্ক কন্ট্রোলারকে জানাতে হবে। এখানেই RADIUS-এর ভূমিকা আসে। RADIUS-এর অর্থ হলো Remote Authentication Dial-In User Service। এটি RFC 2865-এ সংজ্ঞায়িত একটি প্রোটোকল, এবং এটি একটি policy server এবং একটি network access device-এর মধ্যে অথেন্টিকেশন সিদ্ধান্তগুলো আদান-প্রদান করার জন্য ইন্ডাস্ট্রির স্ট্যান্ডার্ড প্রোটোকল। Purple একটি ক্লাউড-হোস্টেড RADIUS সার্ভার হিসাবে কাজ করে। যখন একজন অতিথি Captive Portal ফ্লো সম্পন্ন করেন, তখন Purple লোকাল WiFi কন্ট্রোলারে একটি RADIUS Access-Accept বার্তা পাঠায় - সেটি Cisco Meraki, একটি HPE Aruba কন্ট্রোলার, একটি Ruckus SmartZone বা একটি Juniper Mist অ্যাক্সেস পয়েন্ট যাই হোক না কেন। কন্ট্রোলারটি সেই বার্তাটি পায় এবং অতিথি ডিভাইসটিকে প্রাক-অথেন্টিকেশন স্টেট থেকে অথরাইজড স্টেটে স্থানান্তরিত করে, ফায়ারওয়াল নিয়মগুলি উন্মুক্ত করে এবং ইন্টারনেট অ্যাক্সেস মঞ্জুর করে। [medium pause] RADIUS-এর একটি গুরুত্বপূর্ণ এক্সটেনশন রয়েছে যা আপনার জানা উচিত: Change of Authorisation বা CoA। CoA RADIUS সার্ভারকে ইতিমধ্যেই সক্রিয় থাকা একটি সেশন বাতিল বা সংশোধন করার জন্য কন্ট্রোলারে একটি মিড-সেশন বার্তা পাঠানোর অনুমতি দেয়। Purple সেশন টাইমআউট প্রয়োগ করতে, নীতি লঙ্ঘনের জন্য চিহ্নিত ডিভাইসগুলির সংযোগ বিচ্ছিন্ন করতে এবং GDPR-এর অধীনে রাইট-টু-ইরেজার (right-to-erasure) ওয়ার্কফ্লো সমর্থন করতে CoA ব্যবহার করে - যেখানে একজন ব্যবহারকারী তাদের ডেটা মুছে ফেলার অনুরোধ করেন এবং Purple অবিলম্বে তাদের সক্রিয় সেশন বাতিল করতে পারে। [medium pause] সেকশন তিন। The walled garden (ওয়াল্ড গার্ডেন)। Walled garden হলো আইপি অ্যাড্রেস এবং ডোমেন নামের একটি হোয়াইটলিস্ট যা অনঅথেন্টিকেটেড ডিভাইসগুলি Captive Portal ফ্লো সম্পন্ন করার আগে অ্যাক্সেস করতে পারে। এটি ভুল হলে আপনার স্প্ল্যাশ পেজ লোড হবে না। এটি খুব বেশি ভুল হলে আপনি একটি নিরাপত্তা ত্রুটি তৈরি করে ফেলবেন। ন্যূনতমপক্ষে, আপনার walled garden-এ Captive Portal URL নিজেই, পোর্টালের অ্যাসেটগুলি পরিবেশনকারী যেকোনো CDN এন্ডপয়েন্ট এবং আপনি যে সামাজিক লগইন প্রদানকারীগুলি ব্যবহার করছেন - Google, Facebook, Microsoft-এর অথেন্টিকেশন এন্ডপয়েন্টগুলি অন্তর্ভুক্ত করা প্রয়োজন। আপনি যদি SMS ভেরিফিকেশন ব্যবহার করেন, তবে আপনাকে SMS গেটওয়ের API এন্ডপয়েন্টটিকে হোয়াইটলিস্ট করতে হবে। যে ফাঁদটি বেশিরভাগ ডেপ্লয়মেন্টকে সমস্যায় ফেলে তা হলো ডায়নামিক আইপি অ্যাড্রেস। ক্লাউড পরিষেবাগুলিতে সর্বদা স্ট্যাটিক আইপি থাকে না। আপনি যদি ডোমেনের পরিবর্তে একটি আইপি হোয়াইটলিস্ট করেন এবং সেই আইপি পরিবর্তিত হয়, তবে আপনার পোর্টালটি কাজ করা বন্ধ করে দেবে। আপনার কন্ট্রোলার যেখানে এটি সমর্থন করে সেখানে ডোমেন-ভিত্তিক হোয়াইটলিস্টিং ব্যবহার করুন এবং প্রতিটি পরিবর্তনের পরে পরীক্ষা করুন। [medium pause] সেকশন চার। নিরাপত্তা ডিজাইন। আসুন নিরাপত্তা আর্কিটেকচার সম্পর্কে আরও বিশদ আলোচনা করি, কারণ এখানেই বেশিরভাগ ডেপ্লয়মেন্টে ত্রুটি থাকে। প্রথমত: ক্লায়েন্ট আইসোলেশন। এটি সক্রিয় করুন। এটি অ্যাক্সেস পয়েন্টের একটি সেটিং যা অতিথি ডিভাইসগুলিকে ওয়্যারলেস মাধ্যমে একে অপরের সাথে সরাসরি যোগাযোগ করতে বাধা দেয়। এটি ছাড়া, আপনার অতিথি নেটওয়ার্কের একটি ক্ষতিগ্রস্থ ডিভাইস অন্যান্য অতিথি ডিভাইসগুলিতে অনুসন্ধান এবং আক্রমণ চালাতে পারে। এটি একটি ওয়ান-চেকবক্স সমাধান যা সম্পূর্ণ এক শ্রেণীর পিয়ার-টু-পিয়ার আক্রমণকে দূর করে। দ্বিতীয়ত: DHCP লিজ টাইম। উচ্চ-টার্নওভারের স্থানে - যেমন একটি পরিবহন হাব, একটি স্টেডিয়াম, একটি ব্যস্ত রিটেল স্টোর - আপনার সংক্ষিপ্ত লিজ টাইম প্রয়োজন। ত্রিশ থেকে ষাট মিনিট। আপনি যদি ডিফল্ট হিসেবে চব্বিশ ঘণ্টা রেখে দেন এবং ম্যাচ ডে-তে আপনার দশ হাজার ডিভাইস সংযুক্ত হয়, তবে হাফ-টাইমের আগেই আপনার আইপি অ্যাড্রেস পুল শেষ হয়ে যাবে। নতুন ডিভাইসগুলি সংযোগ করতে পারবে না। আপনার অপারেশন টিম অভিযোগ পাবে। লিজ টাইম সংক্ষিপ্ত রাখুন। তৃতীয়ত: এনক্রিপশন। আপনার Captive Portal অবশ্যই একটি বৈধ TLS সার্টিফিকেট সহ HTTPS-এর মাধ্যমে পরিবেশন করা উচিত। যদি এটি HTTP-এর মাধ্যমে পরিবেশন করা হয়, তবে আধুনিক ব্রাউজারগুলো এটিকে অনিরাপদ হিসেবে চিহ্নিত করবে, ব্যবহারকারীরা এটিকে অবিশ্বাস করবে এবং আপনি প্লেইনটেক্সটে ক্রেডেন্সিয়াল প্রেরণ করছেন। ন্যূনতম TLS 1.2 ব্যবহার করুন; TLS 1.3-কে অগ্রাধিকার দেওয়া হয়। WiFi ট্রান্সপোর্ট লেয়ারে WPA2-AES বা WPA3 ব্যবহার করা উচিত - কখনই WEP বা TKIP ব্যবহার করবেন না। চতুর্থত: VLAN সেগমেন্টেশন। আপনার গেস্ট VLAN অবশ্যই পেমেন্ট কার্ডের ডেটা স্পর্শ করে এমন যেকোনো নেটওয়ার্ক সেগমেন্ট থেকে সম্পূর্ণ আলাদা হতে হবে। PCI DSS সংস্করণ 4.0 এই বিষয়ে সুস্পষ্ট। যদি আপনার গেস্ট নেটওয়ার্ক কোনো পয়েন্ট-অফ-সেল সিস্টেম ধারণকারী সাবনেটে রাউট করতে পারে, তবে আপনার সমগ্র POS নেটওয়ার্ক একটি PCI অডিটের আওতাভুক্ত হবে। এটি একটি উল্লেখযোগ্য কমপ্লায়েন্সের বোঝা। প্রথম দিন থেকেই সঠিকভাবে সেগমেন্ট করুন। [medium pause] পঞ্চম বিভাগ। GDPR এবং ডেটা কমপ্লায়েন্স। প্রতিটি Captive Portal যা ব্যক্তিগত ডেটা সংগ্রহ করে - এবং ইমেল ঠিকানা, ফোন নম্বর এবং সোশ্যাল লগইন সবই GDPR-এর অধীনে ব্যক্তিগত ডেটা হিসেবে গণ্য হয় - সেগুলোকে অবশ্যই নির্দিষ্ট প্রয়োজনীয়তা পূরণ করতে হবে। প্রসেসিংয়ের জন্য আপনার একটি আইনি ভিত্তি প্রয়োজন। গেস্ট WiFi-এর জন্য, সেটি সাধারণত সম্মতি (consent)। এই সম্মতি অবশ্যই অবাধে দেওয়া, সুনির্দিষ্ট, অবহিত এবং দ্ব্যর্থহীন হতে হবে। আগে থেকে টিক দেওয়া বক্সগুলো গণ্য হবে না। মার্কেটিংয়ের সম্মতির সাথে WiFi-এর সম্মতি একত্রিত করা যাবে না। Purple-এর সচেতন-পছন্দের অপ্ট-ইন মডেল নেটওয়ার্ক অ্যাক্সেসের সম্মতিকে মার্কেটিংয়ের সম্মতি থেকে আলাদা করে, যাতে অতিথিরা মার্কেটিং ইমেল গ্রহণ করতে বাধ্য না হয়েই অনলাইনে যুক্ত হতে পারেন। আপনার কী ডেটা সংগ্রহ করছেন, কেন সংগ্রহ করছেন, এটি কোথায় সংরক্ষণ করা হচ্ছে এবং কতদিন রাখছেন তা নথিভুক্ত করতে হবে। Purple হলো ISO 27001 সার্টিফাইড, GDPR কমপ্লায়েন্ট, CCPA কমপ্লায়েন্ট এবং Cyber Essentials সার্টিফাইড। প্ল্যাটফর্মটি নথিবদ্ধ রিটেনশন পলিসি সহ কমপ্লায়েন্ট ডেটা সেন্টারে ডেটা সংরক্ষণ করে। এবং আপনার একটি 'রাইট-টু-ইরেজার' (মুছে ফেলার অধিকার) ওয়ার্কফ্লো প্রয়োজন। কোনো অতিথি যদি তাদের ডেটা মুছে ফেলার অনুরোধ করেন, তবে আপনাকে অবশ্যই ত্রিশ দিনের মধ্যে তা কার্যকর করতে হবে। Purple-এর প্ল্যাটফর্ম এটিকে নেটিভভাবে সমর্থন করে এবং আমি আগে যে RADIUS CoA মেকানিজমের কথা উল্লেখ করেছি তার অর্থ হলো আপনি একই সময়ে সক্রিয় সেশনগুলো বাতিল করতে পারবেন। [medium pause] এখন চলুন ইমপ্লিমেন্টেশন সংক্রান্ত সুপারিশ এবং আমরা সবচেয়ে বেশি যে ভুলগুলো দেখতে পাই সেগুলোর দিকে যাওয়া যাক। [medium pause] প্রথম ভুল: ভুল কনফিগার করা ওয়াল্ড গার্ডেন (walled gardens)। স্প্ল্যাশ পেজটি লোড হয়, কিন্তু সোশ্যাল লগইন বোতামটি কাজ করে না। অথবা পেজটি লোড হয় কিন্তু লোগোটি প্রদর্শিত হয় না কারণ CDN ডোমেনটি হোয়াইটলিস্ট করা নেই। লাইভ করার আগে কোনো ক্যাশড DNS ছাড়া একটি নতুন ডিভাইসে আপনার ওয়াল্ড গার্ডেন পরীক্ষা করুন। দ্বিতীয় ভুল: শেয়ার করা PSK। কিছু ভেন্যু এখনও একটি চকবোর্ডে লেখা একটি একক WiFi পাসওয়ার্ড ব্যবহার করে। এটি কোনো Captive Portal নয় - এটি একটি শেয়ার করা গোপন বিষয় যা যে কেউ ছবি তুলে শেয়ার করতে পারে। এটি আপনাকে কোনো আইডেন্টিটি ডেটা, সম্মতির রেকর্ড এবং ব্যক্তিগত অ্যাক্সেস বাতিল করার কোনো ক্ষমতা দেয় না। এটিকে একটি ম্যানেজড Captive Portal দিয়ে প্রতিস্থাপন করুন। তৃতীয় ভুল: অপর্যাপ্ত DHCP পুল সাইজিং। আমি এটি আলোচনা করেছি, তবে এটি পুনরায় উল্লেখ করা প্রয়োজন। আপনার DHCP পুলের আকার গড় সংযোগের জন্য নয়, বরং পিক কনকারেন্ট সংযোগের জন্য নির্ধারণ করুন। চল্লিশ হাজার দর্শক ধারণক্ষমতার একটি স্টেডিয়ামে, আপনার একসাথে বিশ হাজার ডিভাইস সংযোগ করার চেষ্টা করতে পারে। সেই অনুযায়ী পরিকল্পনা করুন। চতুর্থ সমস্যা: কোনো সেশন টাইমআউট না থাকা। সেশন টাইমআউট না থাকলে, ছয় মাস আগে সংযুক্ত হওয়া এবং আর কখনো ফিরে না আসা একটি ডিভাইস এখনও আপনার কন্ট্রোলারে একটি অনুমোদিত সেশন স্টেট ধরে রাখে। এটি একটি পুরানো রেকর্ড যা রিসোর্স নষ্ট করে এবং অডিট নয়েজ তৈরি করে। সেশন টাইমআউট সেট করুন। ৩০ মিনিটের নিষ্ক্রিয়তা একটি যুক্তিসঙ্গত ডিফল্ট সময়। [medium pause] দ্রুত প্রশ্নোত্তর। প্রশ্ন: Captive Portal কি সব ডিভাইসে কাজ করে? উত্তর: আধুনিক অপারেটিং সিস্টেম - iOS, Android, Windows, macOS - সবগুলিতেই Captive Portal ডিটেকশন বিল্ট-ইন থাকে। এগুলো রিডাইরেক্ট সনাক্ত করে এবং স্বয়ংক্রিয়ভাবে পোর্টালটি প্রদর্শন করে। পুরানো ডিভাইসগুলোর ক্ষেত্রে ব্যবহারকারীকে ম্যানুয়ালি একটি ব্রাউজার খুলতে হতে পারে। Purple-এর প্ল্যাটফর্ম উভয় ফ্লোই পরিচালনা করে। প্রশ্ন: আমরা কি 802.1X এর পাশাপাশি Captive Portal ব্যবহার করতে পারি? উত্তর: হ্যাঁ। অনেক এন্টারপ্রাইজ ডেপ্লয়মেন্টে কর্মীদের ডিভাইসের জন্য 802.1X ব্যবহার করা হয় - যেখানে সার্টিফিকেট বা ক্রেডেনশিয়াল স্বয়ংক্রিয়ভাবে প্রমাণীকরণ করে - এবং একটি পৃথক SSID-তে গেস্ট ডিভাইসের জন্য একটি Captive Portal ব্যবহার করা হয়। Purple এমন RADIUS ইনফাস্ট্রাকচারের সাথে সংহত হয় যা একসাথে উভয় ফ্লো সমর্থন করে। প্রশ্ন: OpenRoaming-এর ব্যাপারে কী বলা যায়? উত্তর: OpenRoaming হল একটি স্ট্যান্ডার্ড যা ডিভাইসগুলোকে সার্টিফিকেট-ভিত্তিক প্রমাণীকরণ ব্যবহার করে স্বয়ংক্রিয়ভাবে WiFi-এর সাথে সংযুক্ত হতে দেয়, যার ফলে Captive Portal সম্পূর্ণভাবে এড়ানো যায়। Purple কানেক্ট লাইসেন্সের অধীনে OpenRoaming-এর জন্য একটি ফ্রি আইডেন্টিটি প্রোভাইডার হিসেবে কাজ করে। এটি নির্বিঘ্ন গেস্ট কানেক্টিভিটির জন্য ভবিষ্যতের দিকনির্দেশনা, তবে ডেটা ক্যাপচার এবং সম্মতি ব্যবস্থাপনার জন্য আজ Captive Portal-ই স্ট্যান্ডার্ড হিসেবে রয়ে গেছে। [medium pause] সংক্ষেপে বলতে গেলে। একটি সুপরিকল্পিত Captive Portal ডেপ্লয়মেন্ট পাঁচটি ভিত্তির ওপর নির্ভর করে। আপনার কর্পোরেট নেটওয়ার্ককে সুরক্ষিত করতে VLAN আইসোলেশন। স্প্ল্যাশ পেজটি প্রদর্শন করার জন্য DNS ইন্টারসেপশন এবং HTTPS রিডাইরেকশন। সম্মতির পরে ফায়ারওয়াল খোলার জন্য RADIUS প্রমাণীকরণ। পোর্টালটি যাতে নির্ভরযোগ্যভাবে লোড হয় তা নিশ্চিত করতে একটি সঠিকভাবে কনফিগার করা ওয়াল্ড গার্ডেন (walled garden)। এবং আপনার গেস্ট ও আপনার প্রতিষ্ঠান উভয়কে সুরক্ষিত রাখতে GDPR-সম্মত ডেটা হ্যান্ডলিং। Purple-এর প্ল্যাটফর্ম ৮০,০০০ লাইভ ভেন্যু জুড়ে এই পাঁচটি লেয়ারই পরিচালনা করে, যা ২০২৪ সালে ৪৪০ মিলিয়ন লগইন প্রসেস করেছে এবং এর আপটাইম ৯৯.৯৯৯%। এটি নেটিভলি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর সাথে সংহত হয় - তাই আপনি যে হার্ডওয়্যারই ব্যবহার করুন না কেন, কোনো কিছু পরিবর্তন না করেই এটি ডেপ্লয় করতে পারবেন। যদি আপনি এই বিষয়গুলোর কোনোটি সম্পর্কে বিস্তারিত জানতে চান - SSID ডিজাইন, RADIUS কনফিগারেশন, বা GDPR কমপ্লায়েন্স ওয়ার্কফ্লো - তাহলে সম্পূর্ণ টেকনিক্যাল গাইড লাইব্রেরির জন্য purple.ai ভিজিট করুন। শোনার জন্য ধন্যবাদ।