ইউনিট-প্রতি VLAN এবং PSK আর্কিটেকচার: MDU নেটওয়ার্কের জন্য একটি ডিজাইন গাইড

ইউনিটগুলিতে তারযুক্ত (wired) পোর্ট থাকলে এবং বিল্ডিংয়ে কয়েকশো দরজা থাকলে প্রতিটি অ্যাপার্টমেন্টকে তার নিজস্ব VLAN দিন। একটি 250-দরজার BTR স্কিম 4,094 টি IEEE 802.1Q VLAN ID-এর মধ্যে প্রায় 256 টি ব্যবহার করে। 800-বেডের PBSA-এর মতো উচ্চ-পরিবর্তনশীল (high-churn) সাইটগুলির জন্য, গুটি কয়েক শেয়ার্ড VLAN-এ পার-কী পলিসি সহ প্রতিটি বাসিন্দার অনন্য কী-তে সেগমেন্টেশন রাখুন।

প্রতিটি অ্যাপার্টমেন্টের কি নিজস্ব VLAN পাওয়া উচিত?

সবসময় নয়। বিল্ড-টু-রেন্ট (BTR), মাল্টি-ডওয়েলিং ইউনিট (MDU) বা পারপাস-বিল্ট স্টুডেন্ট অ্যাকোমোডেশন (PBSA) স্কিমের প্রতিটি বাসিন্দার একটি প্রাইভেট নেটওয়ার্ক প্রয়োজন। তাদের ল্যাপটপ, স্মার্ট টিভি এবং প্রিন্টার একে অপরকে দেখতে পাওয়া উচিত, এবং অন্য কারো ডিভাইস সেগুলি দেখতে পাওয়া উচিত নয়। এটি এন্টারপ্রাইজ সিকিউরিটির সাথে বাড়িতে ব্যবহারের অভিজ্ঞতা, এবং আপনি এটি দুটি উপায়ে প্রদান করতে পারেন।

অ্যাপার্টমেন্ট প্রতি VLAN। প্রতিটি ইউনিট তার নিজস্ব ভার্চুয়াল LAN (VLAN) পায়। একটি VLAN হল তার নিজস্ব সাবনেট এবং DHCP স্কোপ সহ একটি পৃথক লেয়ার 2 ব্রডকাস্ট ডোমেন। একটি RADIUS সার্ভার অ্যাক্সেস পয়েন্টকে জানিয়ে দেয় যে প্রতিটি ডিভাইস কোন VLAN-এ যোগদান করবে। RADIUS হল একটি অথেন্টিকেশন প্রোটোকল যা প্রতিটি ডিভাইস যাচাই করে এবং এর নেটওয়ার্ক পলিসি রিটার্ন করে। ইউনিটগুলির মধ্যে ট্রাফিককে একটি লেয়ার 3 গেটওয়ে অতিক্রম করতে হবে, এবং আপনার ফায়ারওয়াল এটি সেখানে ব্লক করে।

কী দ্বারা বাহিত পলিসি। প্রতিটি বাসিন্দা একটি শেয়ার্ড SSID-এ একটি অনন্য প্রি-শেয়ার্ড কী (PSK) পায়। ভেন্ডররা একে আইডেন্টিটি PSK (iPSK), প্রাইভেট PSK (PPSK), মাল্টি-PSK বা ডায়নামিক PSK বলে। কী-টি বাসিন্দাকে শনাক্ত করে, এবং নেটওয়ার্ক এটির সাথে যুক্ত পলিসি প্রয়োগ করে। একই কী-তে থাকা ডিভাইসগুলি একে অপরের সাথে কথা বলতে পারে। বিভিন্ন কী-তে থাকা ডিভাইসগুলি তা পারে না, এমনকি একটি শেয়ার্ড VLAN-এ থাকলেও। Purple এটিকে প্রাইভেট এরিয়া নেটওয়ার্ক (PAN) বলে: একটি প্রাইভেট নেটওয়ার্ক বাবল যা কী-এর সাথে ভ্রমণ করে।

উভয় ডিজাইনই বাসিন্দাদের সঠিকভাবে আলাদা করে। আইসোলেশন কোথায় প্রয়োগ করা হয় এবং আপনি কতটা কনফিগারেশন বজায় রাখেন তার ওপর ভিত্তি করে তাদের পার্থক্য হয়। এই পছন্দটি চারটি বিষয়ের ওপর নির্ভর করে:

• ইউনিটগুলিতে তারযুক্ত পোর্ট
• বাসিন্দাদের পরিবর্তনশীলতা (churn)
• মোট সেগমেন্ট সংখ্যা
• আপনার অ্যাক্সেস পয়েন্ট এবং সুইচগুলি যা সাপোর্ট করে

নিচের সেকশনগুলি একটি 250-দরজার BTR স্কিম এবং একটি 800-বেডের PBSA সাইটের জন্য ইউনিট গণনা সহ প্রতিটি বিষয়ের মধ্য দিয়ে কাজ করে।

যেখানে পার-ইউনিট VLAN এবং কী-ভিত্তিক পলিসি প্রকৃতপক্ষে আলাদা

4,094 VLAN সীমা, এবং যখন আপনি বাস্তবে এটি স্পর্শ করেন

IEEE 802.1Q একটি 12-বিট ফিল্ডে VLAN ID বহন করে। এটি 4,096 টি মান প্রদান করে। ID 0 এবং 4,095 সংরক্ষিত, যা 4,094 টি ব্যবহারযোগ্য ID বাকি রাখে। এই সীমাটি প্রতি লেয়ার 2 ডোমেনে প্রযোজ্য, প্রতি সংস্থায় নয়, তাই একটি রাউটেড বাউন্ডারির পেছনে থাকা দুটি বিল্ডিং একই ID পুনরায় ব্যবহার করতে পারে।

একটি একক বিল্ডিং শুধুমাত্র আবাসিক VLAN-এ খুব কমই 4,094-এ পৌঁছায়। আপনি তিনটি পরিস্থিতিতে এই সীমাতে পৌঁছান:

• একটি মাল্টি-ব্লক ক্যাম্পাস একটি ফ্ল্যাট লেয়ার 2 ডোমেন পরিচালনা করে। স্টাফ, CCTV বা বিল্ডিং ম্যানেজমেন্ট যোগ করার আগে একটি কোরে পাঁচটি 800-বেডের হলের 4,000 টি আবাসিক VLAN প্রয়োজন।
• আপনি প্রতি বেড এবং প্রতি পোর্টে সেগমেন্ট করেন। যদি প্রতিটি বেড একটি পৃথক তারযুক্ত VLAN পায়, তবে আপনার গণনা দ্বিগুণ হয়ে যায়।
• আপনি স্মার্ট লক বা থার্মোস্টেটের জন্য প্রতি ইউনিট একটি IoT VLAN যোগ করেন, যা পুনরায় গণনা দ্বিগুণ করে।

ব্যবহারিক সীমা সাধারণত শীঘ্রই চলে আসে। প্রতি VLAN স্প্যানিং ট্রি ভ্যারিয়েন্টগুলি প্রতি VLAN-এ একটি করে স্প্যানিং ট্রি ইন্সট্যান্স পরিচালনা করে, এবং সুইচ প্ল্যাটফর্মগুলি ইন্সট্যান্সগুলিকে 4,094 এর অনেক নিচে সীমিত করে। ওয়্যারলেস কন্ট্রোলার এবং গেটওয়েগুলিও VLAN এবং লেয়ার 3 ইন্টারফেসের উপর তাদের নিজস্ব সীমা প্রকাশ করে। আপনি সিদ্ধান্ত নেওয়ার আগে এই তিনটি ডেটাশিট পরিসংখ্যান পরীক্ষা করুন। 802.1Q সর্বাধিক সংখ্যাটি পরিকল্পনা করার জন্য ভুল সংখ্যা।

আপনি যদি সীমা অতিক্রম করেন, তবে আপনার কাছে দুটি পরিষ্কার সমাধান রয়েছে। প্রতিটি বিল্ডিংয়ে একটি রাউটেড বাউন্ডারি রাখুন এবং প্রতিটির ভেতরে VLAN ID গুলি পুনরায় ব্যবহার করুন। অথবা VXLAN-এ যান, যা RFC 7348-এ সংজ্ঞায়িত, যার 24-বিট সেগমেন্ট আইডেন্টিফায়ার প্রায় 16 মিলিয়ন সেগমেন্টের অনুমতি দেয়। একাধিক স্প্যানিং ট্রি, মূলত IEEE 802.1s এবং এখন 802.1Q এর অংশ, অনেক VLAN-কে কয়েকটি ইন্সট্যান্সে ম্যাপ করে। এটি স্প্যানিং ট্রির সীমাবদ্ধতা দূর করে।

কীভাবে RADIUS একজন বাসিন্দাকে একটি VLAN-এ অ্যাসাইন করে

RFC 3580 ডায়নামিক VLAN অ্যাসাইনমেন্ট সংজ্ঞায়িত করে। যখন RADIUS একটি ডিভাইস গ্রহণ করে, তখন Access-Accept বার্তাটি তিনটি অ্যাট্রিবিউট বহন করে:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = সেই অ্যাপার্টমেন্টের জন্য VLAN ID

অ্যাক্সেস পয়েন্ট বা সুইচ তখন ডিভাইসটিকে সেই VLAN-এ রাখে। ম্যাপিংটি বাসিন্দার রেকর্ডে থাকে, তাই তাদের ফোনটি ফ্ল্যাটে, জিমে বা ছাদের ট্র্যাসে একই VLAN-এ যুক্ত হয়।

সার্ভার কীভাবে ডিভাইসের মালিককে সনাক্ত করে তা অথেন্টিকেশন পদ্ধতির ওপর নির্ভর করে:

• IEEE 802.1X (WPA2-Enterprise বা WPA3-Enterprise)। বাসিন্দা একটি ক্রেডেনশিয়াল বা সার্টিফিকেট দিয়ে সাইন ইন করেন এবং RADIUS এটি সরাসরি অনুসন্ধান করে।
• Per-key PSK। কন্ট্রোলার বা RADIUS সার্ভার ডিভাইসের উপস্থাপন করা কি (key)-টিকে বাসিন্দার রেকর্ডের সাথে মেলায়, তারপর VLAN বা পলিসির নাম ফেরত দেয়।

ভেন্ডাররা সেই কি (key) অনুসন্ধান ভিন্নভাবে বাস্তবায়ন করে। কনফিগারেশন ধাপগুলির জন্য আপনার প্ল্যাটফর্মের ডকুমেন্টেশন অনুসরণ করুন।

একটি ব্যবহারিক কারণে আবাসিক ভবনগুলিতে PSK জনপ্রিয়। স্মার্ট টিভি, গেম কনসোল, স্মার্ট স্পিকার এবং প্রিন্টারগুলি খুব কমই 802.1X সাপোর্ট করে, তবে একটি কি (key) সেগুলির সবকটিতেই কাজ করে।

আপনার প্ল্যাটফর্ম WPA3-Personal এর সাথে per-key PSK সাপোর্ট করে কিনা তা পরীক্ষা করুন। অনেক per-key ইমপ্লিমেন্টেশন WPA2-Personal-এ চালু হয়েছে। SAE (Simultaneous Authentication of Equals, WPA3-Personal হ্যান্ডশেক) কীভাবে একটি কি (key) মেলানো যায় তা পরিবর্তন করে, এবং সাপোর্ট ভেন্ডার ও ফার্মওয়্যার অনুযায়ী পরিবর্তিত হয়।

যখন একজন বাসিন্দা ফ্ল্যাট পরিবর্তন করেন বা চলে যান, তখন RADIUS ডায়নামিক অথরাইজেশন সাহায্য করে। এটি RFC 5176-এ সংজ্ঞায়িত করা হয়েছে, এবং এটি সার্ভারকে একটি সেশন বিচ্ছিন্ন করতে বা সরাসরি নতুন পলিসি পুশ করতে দেয়।

ব্রডকাস্ট ডোমেন হাইজিন

প্রতিটি VLAN একটি ব্রডকাস্ট ডোমেন। ARP রিকোয়েস্ট, DHCP ডিসকভারি এবং মাল্টিকাস্ট ডিসকভারি প্রোটোকল এতে থাকা প্রতিটি ডিভাইসে পৌঁছায়। এই প্রোটোকলগুলির মধ্যে রয়েছে mDNS, যা AirPlay এবং Chromecast ব্যবহার করে, এবং SSDP। WiFi-এ, ব্রডকাস্ট এবং মাল্টিকাস্ট ফ্রেমগুলি একটি মৌলিক ডেটা রেটে বাইরে যায়। তারা VLAN বহনকারী প্রতিটি অ্যাক্সেস পয়েন্টে এয়ারটাইম ব্যবহার করে।

একটি পার-ইউনিট VLAN প্রতিটি ডোমেনকে একটি পরিবারে সীমাবদ্ধ রাখে, প্রায় আট থেকে 36 টি ডিভাইস। mDNS গেটওয়ে ছাড়াই ফ্ল্যাটের ভেতরে ডিসকভারি কাজ করে এবং পাশের বাড়িতে কিছুই লিক হয় না।

একটি শেয়ার্ড VLAN বহু বাসিন্দার শত শত ডিভাইস ধারণ করতে পারে, তাই এটির সক্রিয় পরিচ্ছন্নতার প্রয়োজন:

• অ্যাক্সেস পয়েন্টে প্রক্সি ARP বা ARP সাপ্রেশন, যাতে AP ARP অনুরোধগুলি ফ্লাড করার বদলে সেগুলির উত্তর দিতে পারে।
• বাসিন্দা SSID-এ মাল্টিকাস্ট-টু-ইউনিকাস্ট কনভার্সন বা ব্রডকাস্ট ফিল্টারিং।
• কী-এর ওপর ভিত্তি করে স্কোপড mDNS গেটওয়ে, যাতে একজন বাসিন্দার কাস্টিং টার্গেটগুলি কেবল তাদের নিজস্ব ডিভাইসে উপস্থিত হয়।
• একটি আকারের সীমা। আমাদের কাজের নিয়ম হলো প্রতি শেয়ার্ড VLAN-এ কয়েকশ ক্লায়েন্ট। এর বেশি হলে ফ্লোর বা ব্লক অনুযায়ী আলাদা করুন।

কিছু প্ল্যাটফর্ম নেটিভভাবে কী-লেভেল গ্রুপিং প্রয়োগ করে। উদাহরণস্বরূপ, Cisco Meraki-এর Wireless Personal Network আইডেন্টিটি PSK দ্বারা ডিভাইসগুলিকে গ্রুপ করে এবং একটি শেয়ার্ড VLAN-এ গ্রুপগুলিকে একে অপরের থেকে বিচ্ছিন্ন করে। একটি Meraki এস্টেটে, এর সাথে ফাস্ট রোমিং পরীক্ষা করুন। Cisco Meraki 802.11r adaptive vs enabled সম্পর্কিত আমাদের গাইড এই আচরণটি কভার করে।

প্রতি সেগমেন্টে DHCP স্কোপ ডিজাইন

আমরা প্রতি বাসিন্দার জন্য আট থেকে 12 টি ডিভাইসের পরিকল্পনা করি। এটি Purple-এর পরিকল্পনার পরিসংখ্যান, এবং এতে অন্তর্ভুক্ত রয়েছে:

• ফোন, ল্যাপটপ, ট্যাবলেট এবং ঘড়ি
• টিভি, কনসোল এবং স্পিকার
• স্মার্ট-হোম ডিভাইস

গড় নয়, ইউনিটের সর্বোচ্চ ধারণক্ষমতা থেকে প্রতিটি স্কোপের আকার নির্ধারণ করুন।

তারপর প্রাইভেট MAC অ্যাড্রেসের জন্য অতিরিক্ত জায়গা যোগ করুন। Apple এবং Google উভয়ই ডিফল্টরূপে প্রতি নেটওয়ার্কে একটি ডিভাইসের MAC অ্যাড্রেস র‍্যান্ডমাইজ করে। একটি নতুন র‍্যান্ডম অ্যাড্রেস একটি নতুন লিজ নেয়। লিজের সময় সংক্ষিপ্ত করুন যাতে পরিত্যক্ত অ্যাড্রেসগুলি এক দিনের মধ্যে পুলে ফিরে আসে, এবং প্রতিটি স্কোপের অন্তত এক-তৃতীয়াংশ খালি রাখুন।

প্রিফিক্স	ব্যবহারযোগ্য অ্যাড্রেস	গেটওয়ের পরে লিজ	ফিট করে
/28	14	13	প্রস্তাবিত নয়: 12 টি ডিভাইসে একজন বাসিন্দা থাকলে মাত্র একটি খালি থাকে
/27	30	29	12 টি ডিভাইসে একজন বাসিন্দা, 17 টি খালি
/26	62	61	12 টি ডিভাইসে তিনজন বাসিন্দা, 25 টি খালি
/23	510	509	12 টি ডিভাইসে 25 জন বাসিন্দার একটি ফ্লোর, 209 টি খালি

গেটওয়েতে বা প্রতিটি VLAN ইন্টারফেসে DHCP রিলে সহ একটি সেন্ট্রাল সার্ভারে DHCP পরিচালনা করুন। একটি প্রতি-ইউনিট ডিজাইনের জন্য VLAN প্রতি একটি স্কোপ এবং একটি রিলে প্রয়োজন, তাই একটি 250-দরজার বিল্ডিংয়ে 250 টি স্কোপ থাকে। সুবিধা হলো একটি IP অ্যাড্রেস ফ্ল্যাটটিকে শনাক্ত করে, যা ত্রুটি খুঁজে বের করা দ্রুত করে। শেয়ার্ড VLAN-এ, অ্যাড্রেসটি আর কোনো ইউনিটের সাথে ম্যাপ করে না। আপনি RADIUS অ্যাকাউন্টিংয়ের মাধ্যমে বাসিন্দাকে খুঁজে পেতে পারেন, যা কী, MAC অ্যাড্রেস এবং সেশন লগ করে।

ফ্যাক্টর	অ্যাপার্টমেন্ট প্রতি VLAN	কী দ্বারা বাহিত পলিসি
যেখানে আইসোলেশন প্রয়োগ করা হয়	লেয়ার 3 গেটওয়ে এবং ফায়ারওয়াল	অ্যাক্সেস পয়েন্ট বা কন্ট্রোলার
ব্যবহৃত রেসিডেন্ট VLAN	প্রতি ইউনিটে একটি	প্রতি ফ্লোর বা ব্লকে একটি
ইউনিটগুলিতে ওয়্যার্ড পোর্ট	পোর্ট VLAN বা MAC অথেন্টিকেশনের মাধ্যমে WiFi-এর মতো একই সেগমেন্ট	একটি পৃথক ওয়্যার্ড ডিজাইন প্রয়োজন
AirPlay এবং Chromecast ডিসকভারি	VLAN-এর ভেতরে কাজ করে, কোনো গেটওয়ে নেই	কী-এর ওপর ভিত্তি করে স্কোপড mDNS গেটওয়ে প্রয়োজন
ব্রডকাস্ট ডোমেন সাইজ	একটি পরিবার, প্রায় 36 টি ডিভাইস পর্যন্ত	কয়েকশ ডিভাইস পর্যন্ত
DHCP স্কোপ	প্রতি ইউনিটে একটি	প্রতি শেয়ার্ড VLAN-এ একটি
হার্ডওয়্যার ডিপেনডেন্সি	ডাইনামিক VLAN অ্যাসাইনমেন্ট (RFC 3580)	প্রতি-কী PSK এবং প্রতি-কী আইসোলেশন
সেরা প্রয়োগ	তারযুক্ত পোর্ট এবং দীর্ঘ মেয়াদের জন্য BTR এবং MDU	PBSA, অ্যান্ড পার্টহোটেল, মাল্টি-ব্লক ক্যাম্পাস

কখন প্রতি অ্যাপার্টমেন্টে একটি VLAN সঠিক সিদ্ধান্ত

প্রতি অ্যাপার্টমেন্টে একটি VLAN বেছে নিন যখন এগুলির বেশিরভাগই প্রযোজ্য হয়:

• ইউনিটগুলোতে তারযুক্ত পোর্ট রয়েছে। একটি VLAN রেসিডেন্টের তারযুক্ত TV, স্মার্ট হাব এবং WiFi ডিভাইসগুলো বহন করে, ফলে উভয় ক্ষেত্রেই কাস্টিং কাজ করে।
• ভাড়া নেওয়ার মেয়াদ মাস বা বছর ধরে চলে। VLAN-টু-ইউনিট ম্যাপ খুব কমই পরিবর্তিত হয়।
• সেগমেন্ট গণনা আপনার প্ল্যাটফর্ম সীমার ভালোভাবেই নিচে থাকে। স্প্যানিং ট্রি ইনস্ট্যান্স, কন্ট্রোলার VLANs এবং গেটওয়ে ইন্টারফেসগুলি গণনা করুন।
• আপনার সিকিউরিটি টিম লেয়ার 3-এ আইসোলেশন চায়, প্রতি সেগমেন্টে ফায়ারওয়াল লগ সহ।
• সাপোর্টের জন্য RADIUS লুকআপ ছাড়াই ইউনিট সনাক্ত করতে IP ঠিকানার প্রয়োজন।

বাস্তবিক দৃশ্যপট: একটি ২৫০-দরজার BTR স্কিম

পরিস্থিতি। স্টুডিও থেকে দুটি বেড রুমের একটি ২৫০-অ্যাপার্টমেন্টের বিল্ড-টু-রেন্ট ব্লক, যেখানে প্রতি ইউনিটে সর্বোচ্চ তিনজন রেসিডেন্ট থাকেন। প্রতিটি অ্যাপার্টমেন্টে TV এবং একটি স্মার্ট-হোম হাবের জন্য তারযুক্ত পোর্ট রয়েছে। অ্যামেনিটি ফ্লোরে একটি জিম, একটি কো-ওয়ার্কিং লাউঞ্জ এবং একটি রুফটপ টেরেস রয়েছে। স্টাফ, CCTV, বিল্ডিং ম্যানেজমেন্ট এবং লাউঞ্জ দর্শনার্থীদের প্রত্যেকের নিজস্ব নেটওয়ার্ক প্রয়োজন।

যা করা হয়েছিল।

• প্রতি অ্যাপার্টমেন্টে একটি VLAN: ২৫০টি রেসিডেন্ট VLANs।
• ছয়টি ইনফ্রাস্ট্রাকচার VLANs: ম্যানেজমেন্ট, স্টাফ, CCTV, বিল্ডিং ম্যানেজমেন্ট, IoT এবং অ্যামেনিটি স্পেসগুলোর জন্য একটি ভিজিটর Guest WiFi নেটওয়ার্ক। এটি মোট ২৫৬টি VLAN ID তৈরি করে।
• প্রতি অ্যাপার্টমেন্টে একটি অভিন্ন /26। ১২টি ডিভাইসে ৩ জন রেসিডেন্ট অর্থাৎ ৩৬টি ডিভাইস, যা ২৫টি লিজ খালি রাখে। একটি টেমপ্লেট প্রতিটি ইউনিটকে কভার করে।
• সমস্ত রেসিডেন্ট স্কোপের জন্য একটি /18। ২৫০টি /26 স্কোপ RFC 1918 প্রাইভেট স্পেসের একটি একক /18-এর ভেতরে ফিট হয়, যেখানে ছয়টি /26 ব্লক অবশিষ্ট থাকে।
• এক সেগমেন্টে তারযুক্ত এবং ওয়্যারলেস। RADIUS প্রতিটি রেসিডেন্টের কী তাদের অ্যাপার্টমেন্ট VLAN-এ ম্যাপ করে এবং ফ্ল্যাটের তারযুক্ত পোর্টগুলো একই VLAN-এ থাকে।
• মাল্টিপল স্প্যানিং ট্রি ২৫৬টি VLAN-কে একটি ছোট সংখ্যার ইনস্ট্যান্সে ম্যাপ করে।

ফলাফল (ডিজাইন পরিসংখ্যান)।

• ৪,০৯৪টি VLAN ID-এর মধ্যে ২৫৬টি ব্যবহৃত হয়েছে, যা প্রায় ৬%।
• ২৫৬টি DHCP স্কোপ এবং ২৫৬টি লেয়ার 3 ইন্টারফেস, যা একটি ফায়ারওয়াল রুল টেমপ্লেট থেকে পরিচালিত হয়।
• প্রতিটি রেসিডেন্টের ঠিকানা তার ফ্ল্যাটকে সনাক্ত করে।
• একটি দ্বিতীয় ২৫০-দরজার ফেইজ মোট VLAN সংখ্যা ৫০৬-এ নিয়ে যাবে, যা এখনও ID স্পেসের প্রায় ১২%।

কখন পলিসি-ভিত্তিক সেগমেন্টেশন সঠিক সিদ্ধান্ত

কী দ্বারা চালিত পলিসি বেছে নিন যখন এগুলির বেশিরভাগই প্রযোজ্য হয়:

• চর্ন বেশি। বার্ষিক নতুন উপস্থিতি বা রাতারাতি অবস্থান VLAN-টু-ইউনিট রক্ষণাবেক্ষণকে একটি নিয়মিত কাজে পরিণত করে।
• রেসিডেন্টরা পুরো বিল্ডিংয়ে ঘোরাফেরা করে, যার মধ্যে রয়েছে স্টাডি রুম, ক্যাফে এবং জিম।
• প্রতি বেড আইসোলেশন VLAN গণনাকে শত শত বা হাজারে ঠেলে দেবে।
• রুমগুলোতে কোনো তারযুক্ত পোর্ট নেই, অথবা পোর্টগুলো কেবল বিল্ডিং সিস্টেমের কাজ করে।
• আপনার অ্যাকসেস পয়েন্টগুলো প্রতি-কী PSK, প্রতি-কী আইসোলেশন এবং স্কোপড mDNS সমর্থন করে।

বাস্তবিক দৃশ্যপট: একটি ৮০০-বেডের বিশ্ববিদ্যালয় হল

পরিস্থিতি। একটি বিশ্ববিদ্যালয় আট তলার চারটি ব্লক জুড়ে একটি ৮০০ বেডের হল পরিচালনা করে, প্রতি তলায় ২৫টি বেড রয়েছে। শিক্ষার্থীরা একটি শেয়ার্ড রান্নাঘরের চারপাশে পাঁচ থেকে আটটি বেডরুমের ক্লাস্টার ফ্ল্যাটে বসবাস করে। ফ্ল্যাটমেটরা একে অপরের থেকে গোপনীয়তা আশা করে, তাই সেগমেন্টেশন প্রতি বেড অনুযায়ী করা হয়। বেশিরভাগ বেড প্রতিটি শিক্ষাবর্ষের শুরুতে পরিবর্তিত হয়।

বিকল্প A: প্রতি বেডে একটি VLAN।

• ৮০০টি রেসিডেন্ট VLAN।
• প্রতি বেডে একটি /27 যা ১৭টি অতিরিক্ত সহ ১২টি ডিভাইস ধারণ করে, যা মোট ২৫,৬০০টি ঠিকানা নির্দেশ করে এবং একটি /17 প্রয়োজন হয়।
• ৮০০টি DHCP স্কোপ এবং ৮০০টি গেটওয়ে ইন্টারফেস।
• একজন শিক্ষার্থী ব্যবহার করতে পারে এমন প্রতিটি অ্যাক্সেস পয়েন্টে প্রতিটি VLAN ট্রাঙ্ক করা হয়, যার অর্থ পুরো সাইট।

বিকল্প B: কী (Key) দ্বারা চালিত পলিসি।

• চেক-ইন করার সময় প্রতিটি শিক্ষার্থী একটি অনন্য কী পায়।
• প্রতি তলায় একটি শেয়ার্ড VLAN থাকলে ৩২টি রেসিডেন্ট VLAN পাওয়া যায়।
• প্রতিটি /23 ৩০০টি ডিভাইসের বিপরীতে ৫০৯টি লিজ প্রদান করে (২৫ জন শিক্ষার্থী ১২টি করে ডিভাইস), যার ফলে ২০৯টি অতিরিক্ত থাকে।
• ৩২টি /23 স্কোপ একটি /18 এর মধ্যে ফিট হয়।
• অ্যাক্সেস পয়েন্টগুলোতে প্রতি-কী আইসোলেশন চলে, সাথে প্রতিটি কী-এর জন্য স্কোপ করা একটি mDNS গেটওয়ে থাকে। SSID-এ প্রক্সি ARP এবং মাল্টিকাস্ট-টু-ইউনিকাস্ট চলে।

যা করা হয়েছিল। বিকল্প B। কী-টি প্রতিটি শিক্ষার্থীকে তাদের হোম-ফ্লোর VLAN-এর সাথে ম্যাপ করে। ক্যাফেতে হেঁটে যাওয়া একজন শিক্ষার্থী একই ঠিকানা এবং পলিসি বজায় রাখে। সমস্ত ৩২টি VLAN প্রতিটি অ্যাক্সেস পয়েন্টে ট্রাঙ্ক করা হয়েছে, যা ৮০০টির চেয়ে অনেক হালকা লোড।

ফলাফল (ডিজাইন পরিসংখ্যান)।

• ৮০০টির বদলে ৩২টি রেসিডেন্ট VLAN, ৯৬% হ্রাস।
• ৮০০টির বদলে ৩২টি DHCP স্কোপ।
• অর্ধেক অ্যাড্রেস স্পেস: /17 এর বদলে একটি /18।
• আমাদের ওয়ার্কিং রুলের মধ্যে প্রতিটিতে প্রায় ৩০০টি ডিভাইসের ব্রডকাস্ট ডোমেইন।
• বার্ষিক পরিবর্তনের অর্থ হলো কেবল কীগুলো বাতিল করা এবং পুনরায় ইস্যু করা, এতে কোনো VLAN, স্কোপ বা ট্রাঙ্ক পরিবর্তন হয় না।

কাজের একটি দৃশ্যপট: একটি ১২০ ইউনিটের এপার্টহোটেল

পরিস্থিতি। ছয় তলা জুড়ে একটি ১২০ এপার্টমেন্টের এপার্টহোটেল, প্রতি তলায় ২০টি এপার্টমেন্ট। ১ থেকে ১৪ রাত পর্যন্ত থাকা যায়। অতিথিরা স্ট্রিম করার স্টিক নিয়ে আসেন এবং তাদের ফোন থেকে কাস্ট করার আশা করেন। ফ্রন্ট ডেস্ক চেক-ইন করার সময় WiFi অ্যাক্সেস ইস্যু করে।

যা করা হয়েছিল।

• প্রতিটি স্টে (Stay) চেক-ইন করার সময় নিজস্ব কী পায়, যা প্রতি এপার্টমেন্ট পলিসি গ্রুপের সাথে ম্যাপ করা থাকে।
• কম সময়ের জন্য থাকা অতিথিরা কম ডিভাইস বহন করেন, তাই পরিকল্পনাটি প্রতি অতিথির জন্য আটটি ডিভাইস এবং প্রতি এপার্টমেন্টে দুজন অতিথি ব্যবহার করে। তা প্রতি তলায় ৩২০টি ডিভাইস।
• প্রতিটি তলায় একটি /23 VLAN পায়, যা ১৮৯টি লিজ অতিরিক্ত রাখে।
• ডিজাইনটি চেকআউটের সময় প্রতিটি কী বাতিল করে।

ফলাফল (ডিজাইন পরিসংখ্যান)।

• ১২০টির বদলে ছয়টি রেসিডেন্ট VLAN, ৯৫% হ্রাস।
• ছয়টি DHCP স্কোপ।
• স্টে (Stay) এর মধ্যবর্তী সময়ে কোনো VLAN পরিবর্তন হয় না।
• পার-কী mDNS স্কোপের মাধ্যমে প্রতিটি স্টে-এর ভিতরে কাস্টিং কাজ করে।

ব্যাপক গেস্ট নেটওয়ার্ক চিত্র সম্পর্কে জানতে, আমাদের Hotels পৃষ্ঠাটি দেখুন।

প্রতিটি ডিজাইন পরিচালনা করতে কী খরচ হয়

কোনো ডিজাইনই আপনার অ্যাক্সেস পয়েন্টের সংখ্যা পরিবর্তন করে না। এটি ডিভাইসের ঘনত্ব এবং কভারেজ দ্বারা নির্ধারিত হয়। পরিচালন খরচ হলো আপনার কনফিগার করা, পরিবর্তন করা এবং ট্রাবলশুট করা অবজেক্টের সংখ্যা।

রক্ষণাবেক্ষণের জন্য আইটেম	২৫০-দরজার BTR, প্রতি এপার্টমেন্টে VLAN	৮০০-বেডের PBSA, প্রতি বেডে VLAN	৮০০-বেডের PBSA, কী দ্বারা পলিসি
রেসিডেন্ট VLANs	২৫০	৮০০	৩২
DHCP স্কোপ	২৫০	৮০০	৩২
লেয়ার 3 গেটওয়ে ইন্টারফেস	২৫০	৮০০	৩২
প্রাইভেট অ্যাড্রেস স্পেস	/18	/17	/18
VLANs প্রতিটি AP তে ট্রাঙ্ক করা হয়েছে (6 টি ইনফ্রাস্ট্রাকচার সহ)	256	806	38
আইসোলেশন প্রয়োগ করা হয়	গেটওয়ে ফায়ারওয়াল	গেটওয়ে ফায়ারওয়াল	অ্যাক্সেস পয়েন্ট বা কন্ট্রোলার
রেসিডেন্টের টার্নওভার পরিবর্তনের ক্ষেত্রে	কী পুনরায় ইস্যু করুন	কী পুনরায় ইস্যু করুন	কী পুনরায় ইস্যু করুন

প্রতি ইউনিটে একটি VLAN এর ক্ষেত্রে খরচ হয় চেঞ্জ ম্যানেজমেন্ট বা পরিবর্তন পরিচালনায়। প্রতিটি নতুন ব্লক VLANs, স্কোপ, গেটওয়ে ইন্টারফেস, ফায়ারওয়াল এন্ট্রি এবং পাথের প্রতিটি সুইচে ট্রাঙ্ক পরিবর্তন যুক্ত করে। সেই কাজটিকে টেমপ্লেট করুন এবং স্বয়ংক্রিয় করুন, অন্যথায় এটি ট্র্যাকের বাইরে চলে যাবে।

কী দ্বারা নীতি পরিচালিত হলে খরচের দিকটি অন্য জায়গায় স্থানান্তরিত হয়। আপনি আপনার অ্যাক্সেস পয়েন্ট ফার্মওয়্যার এবং লাইসেন্সের পার-কী ফিচারের ওপর নির্ভর করেন। ট্রাবলশুটিংও IP অ্যাড্রেস থেকে RADIUS অ্যাকাউন্টিং লগগুলিতে স্থানান্তরিত হয়, তাই এগুলি পড়ার জন্য আপনার সাপোর্ট টিমকে প্রশিক্ষণ দিন।

Purple Multi-Tenant WiFi আপনার ইতিমধ্যেই মালিকানাধীন হার্ডওয়্যারের ওপর একটি ক্লাউড ওভারলে হিসেবে রান করে। আমাদের ক্লাউড RADIUS প্রতিটি রেসিডেন্টকে একটি কী ইস্যু করে এবং তাদের VLAN বা নীতি ফেরত পাঠায়। জয়েনার, মুভার এবং লিভারদের পরিচালনা একটি একক পেইন অফ গ্লাস থেকে করা হয়। Purple নিম্নে উল্লেখিত ব্র্যান্ডজুড়ে হার্ডওয়্যার-অ্যাগোনিস্টিক:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme
• Fortinet

Purple এর নিজস্ব তথ্য অনুসারে, Purple ৮০,০০০+ লাইভ ভেন্যুতে রান করে এবং ২০২৪ সালে ৪৪০ মিলিয়ন লগইন পরিচালনা করেছে। Purple ISO 27001 সার্টিফাইড এবং GDPR কমপ্লায়েন্ট। সেগমেন্টেশনের জন্য কেন খুব কমই নতুন অ্যাক্সেস পয়েন্টের প্রয়োজন হয় তা জানতে পড়ুন কেন আপনার পরবর্তী WiFi আপগ্রেডে নতুন হার্ডওয়্যারের প্রয়োজন নেই।

আপনার এস্টেটের জন্য কীভাবে সিদ্ধান্ত নেবেন

আপনার পরিস্থিতি	সুপারিশ	কেন
প্রায় ৫০০ ইউনিট পর্যন্ত, তারযুক্ত পোর্ট, ১২ মাস বা তার বেশি মেয়াদের ভাড়াটিয়া	অ্যাপার্টমেন্ট প্রতি VLAN	তারযুক্ত এবং WiFi একটি সেগমেন্ট শেয়ার করে; ID এর ব্যবহার ১২% এর কাছাকাছি থাকে
প্রতি বেড প্রাইভেসি এবং বার্ষিক টার্নওভার সহ PBSA	কী দ্বারা নীতি, ফ্লোর প্রতি একটি শেয়ার করা VLAN	৮০০ বেডে ৯৬% কম VLANs; প্রতিটি ইনটেক-এ নতুন করে প্ল্যান করার প্রয়োজন নেই
কয়েকদিনের জন্য থাকার সুবিধাসহ অ্যাপার্টমেন্ট হোটেল বা সার্ভিসড অ্যাপার্টমেন্ট	কী দ্বারা নীতি	কীগুলি থাকার মেয়াদ অনুসরণ করে; VLAN ম্যাপ কখনও পরিবর্তিত হয় না
একটি লেয়ার ২ কোরে মাল্টি-ব্লক ক্যাম্পাস, ৩,০০০ এর বেশি সেগমেন্ট	বিল্ডিং প্রতি রুটেড বাউন্ডারি, বা VXLAN, তারপর যেকোনো একটি মডেল	লেয়ার ২ ডোমেন প্রতি ৪,০৯৪ টি ID
একটি সাইটে তারযুক্ত-পোর্ট অ্যাপার্টমেন্ট এবং ক্লাস্টার ফ্ল্যাট	হাইব্রিড: যেখানে পোর্ট রয়েছে সেখানে অ্যাপার্টমেন্ট প্রতি VLAN, অন্যত্র কী দ্বারা নীতি	যে মডেলে যা সুবিধা সেখানে সেটি প্রয়োগ করুন
পার-কী আইসোলেশন ছাড়া অ্যাক্সেস পয়েন্ট	অ্যাপার্টমেন্ট প্রতি VLAN, অথবা ফার্মওয়্যার বা AP আপগ্রেডের পরিকল্পনা করুন	আইসোলেশন কোথাও না কোথাও জোরদারভাবে প্রয়োগ করতে হবে

কোনো ডিজাইনে প্রতিশ্রুতিবদ্ধ হওয়ার আগে পাঁচটি ধাপের মাধ্যমে কাজ করুন।

১. আপনার সেগমেন্ট গণনা করুন। ইউনিট বা বেড গণনা করুন, তারপর ইনফ্রাস্ট্রাকচার VLANs এবং যেকোনো তারযুক্ত বা IoT গুণক যোগ করুন। ৪,০৯৪ এর সাথে নয়, আপনার স্প্যানিং ট্রি, কন্ট্রোলার এবং গেটওয়ে সীমার সাথে মোট সংখ্যা তুলনা করুন। ২. সর্বোচ্চ দখল থেকে স্কোপের আকার নির্ধারণ করুন। রেসিডেন্টদের ১২ টি ডিভাইস দিয়ে গুণ করুন, তারপর প্রতিটি স্কোপের অন্তত এক-তৃতীয়াংশ খালি রাখুন। ৩. আপনার ভেন্ডরের সাথে পার-কী ফিচারগুলি নিশ্চিত করুন। আপনার ফার্মওয়্যারে পার-কী PSK, পার-কী VLAN অ্যাসাইনমেন্ট, পার-কী আইসোলেশন, স্কোপড mDNS এবং WPA3-Personal সাপোর্ট চেক করুন। 4. ঘনত্বের জন্য জরিপ করুন। প্রতি বাসিন্দার জন্য আট থেকে 12টি ডিভাইস অ্যাক্সেস পয়েন্টের সংখ্যা পরিবর্তন করে। আমাদের WiFi Site Surveys নির্দেশিকা এতে পরিকল্পনার বিষয়টি অন্তর্ভুক্ত রয়েছে। 5. ফ্ল্যাট এবং অন্যান্য সুবিধাগুলোর স্পেসের মধ্যে রোমিং পরীক্ষা করুন। বাসিন্দারা যদি তলার মধ্যে আসা-যাওয়া করেন, তবে 802.11r এবং 802.11k টিউন করুন। ভেন্ডর-নির্দিষ্ট সেটিংসের জন্য 802.11r and 802.11k on Android দেখুন।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

Purple Multi-Tenant WiFi কি আমার ভবনে থাকা অ্যাক্সেস পয়েন্টগুলোর সাথে কাজ করে?

হ্যাঁ। Purple হার্ডওয়্যার-নিরপেক্ষ এবং এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ ক্লাউড ওভারলে হিসেবে চলে। আপনি আপনার অ্যাক্সেস পয়েন্ট এবং সুইচগুলো বজায় রাখতে পারেন। Purple ক্লাউড RADIUS এবং আইডেন্টিটি লেয়ার প্রদান করে যা প্রতিটি বাসিন্দাকে একটি কী প্রদান করে এবং তাদের VLAN বা পলিসি ফেরত পাঠায়। আপনি যদি পলিসি-ভিত্তিক সেগমেন্টেশন বেছে নেন, তবে আপনার ফার্মওয়্যার কী-প্রতি PSK এবং কী-প্রতি আইসোলেশন সমর্থন করে কিনা তা নিশ্চিত করুন।

আমরা কি হার্ডওয়্যার পরিবর্তন না করেই একটি শেয়ার করা বিল্ডিং পাসওয়ার্ড থেকে প্রতি-ইউনিট কী-তে স্থানান্তরিত হতে পারি?

হ্যাঁ, যদি আপনার অ্যাক্সেস পয়েন্টগুলো কী-প্রতি PSK বা ডাইনামিক VLAN অ্যাসাইনমেন্ট সমর্থন করে। Purple বিদ্যমান অবকাঠামোর ওপরে কাজ করে, তাই পুরোনো হার্ডওয়্যার সরিয়ে নতুন করে কিছু ইনস্টল করার প্রয়োজন নেই। পুরোনোটির পাশাপাশি নতুন রেসিডেন্ট SSID চালান, তারপর প্রতিটি ইউনিট ধরে বাসিন্দাদের সরিয়ে নিন। শেষ বাসিন্দা স্থানান্তরিত হয়ে গেলে শেয়ার করা পাসওয়ার্ডটি নিষ্ক্রিয় করুন। প্রথম বাসিন্দা স্যুইচ করার আগেই আপনার VLAN বা পলিসি ম্যাপ এবং DHCP স্কোপগুলো পরিকল্পনা করে নিন।

একটি MDU বিল্ডিং কয়টি VLAN সমর্থন করতে পারে?

IEEE 802.1Q-এ 12-বিট VLAN ID দ্বারা নির্ধারিত সীমা অনুযায়ী প্রতিটি লেয়ার 2 ডোমেনে 4,094টি পর্যন্ত। বাস্তবে, স্প্যানিং ট্রির ইনস্ট্যান্সের সীমা, কন্ট্রোলার VLAN সীমা এবং গেটওয়ে ইন্টারফেস সংখ্যা সাধারণত আগে বাধা সৃষ্টি করে। ছয়টি অবকাঠামোগত VLAN সহ একটি 250-দরজার BTR স্কিম 256টি ID ব্যবহার করে। যে সমস্ত ক্যাম্পাসে আরও বেশি প্রয়োজন, সেগুলোর প্রতিটি ভবনে একটি রুটেড বাউন্ডারি স্থাপন করা উচিত অথবা VXLAN-এ স্থানান্তরিত হওয়া উচিত।

কী-ভিত্তিক সেগমেন্টেশন কি প্রতিটি অ্যাপার্টমেন্টের জন্য একটি VLAN-এর মতোই সুরক্ষিত?

হ্যাঁ, শর্ত থাকে যে আপনার প্ল্যাটফর্মটি অ্যাক্সেস পয়েন্ট বা কন্ট্রোলারে কীগুলোর মধ্যে আইসোলেশন নিশ্চিত করে। পার্থক্য হলো প্রয়োগের স্থানে। প্রতি-ইউনিটের VLAN একটি লেয়ার 3 গেটওয়েতে ক্রস-ইউনিট ট্রাফিককে ব্লক করে। কী-ভিত্তিক পলিসি ট্রাফিক অ্যাক্সেস পয়েন্ট ত্যাগ করার আগেই তা ব্লক করে। এটি কোনো রেসিডেন্ট ডিভাইস থেকে পরীক্ষা করে দেখুন। আপনি অন্য কোনো বাসিন্দার ডিভাইসে পৌঁছাতে পারছেন না বা তাদের কাস্টিং লক্ষ্যগুলো আবিষ্কার করতে পারছেন না তা নিশ্চিত করুন।

স্মার্ট টিভি, কনসোল এবং IoT ডিভাইসগুলো কি কোনো সেগমেন্টেড রেসিডেন্ট নেটওয়ার্কে কাজ করবে?

হ্যাঁ। উভয় ডিজাইনই একটি প্রাক-শেয়ার করা কী ব্যবহার করে, যা 802.1X সমর্থনহীন ডিভাইসগুলোতে কাজ করে, যেমন স্মার্ট টিভি, গেম কনসোল এবং স্মার্ট স্পিকার। প্রতিটি বাসিন্দার ডিভাইসগুলো তাদের নিজস্ব VLAN বা কী গ্রুপ শেয়ার করে, তাই বাড়ির ভেতরে কাস্টিং এবং প্রিন্টিং কাজ করে। শেয়ার করা VLAN-এ, কী-প্রতি একটি mDNS গেটওয়ে যোগ করুন যাতে ডিভাইস আবিষ্কার প্রতিটি বাসিন্দার জন্য ব্যক্তিগত থাকে।

GDPR-এর অধীনে Purple কীভাবে বাসিন্দাদের ডেটা পরিচালনা করে?

Purple হলো ISO 27001 সার্টিফাইড এবং GDPR অনুcompliant। প্রতিটি কী ক্লাউড RADIUS লেয়ারের একজন বাসিন্দার রেকর্ডের সাথে লিঙ্ক করে। RADIUS অ্যাকাউন্টিং লগ করে যে কোন কী এবং ডিভাইস কোন সেশন পরিচালনা করেছে, যা ত্রুটি খোঁজা এবং অ্যাক্সেসের অনুরোধে সহায়তা করে। একজন বাসিন্দা যখন চলে যান, আপনি তাদের কী বাতিল করে দেন, এবং জয়েনার, মুভার এবং লিভার প্রক্রিয়াটি একটি সিঙ্গেল প্যান অফ গ্লাস থেকে তাদের নেটওয়ার্ক অ্যাক্সেস বন্ধ করে দেয়।

একজন বাসিন্দা চলে গেলে তাদের ডিভাইসগুলোর কী হয়?

আপনি কী বা ক্রেডেনশিয়াল বাতিল করলে তারা অ্যাক্সেস হারায়। আপনার অ্যাক্সেস পয়েন্টগুলো সমর্থন করলে, RADIUS ডাইনামিক অথরাইজেশন (RFC 5176) সাথে সাথে সক্রিয় সেশনগুলো বিচ্ছিন্ন করে দেয়। অ্যাপার্টমেন্ট প্রতি একটি VLAN থাকলে, VLAN এবং DHCP স্কোপ পরবর্তী বাসিন্দার জন্য একই থাকে। কী ভিত্তিক পলিসির ক্ষেত্রে পুনরায় পরিকল্পনা করার কিছু নেই: আপনি নতুন বাসিন্দাকে একটি নতুন কী ইস্যু করবেন।