মূল কন্টেন্টে যান
বাংলা

BYOD WiFi নিরাপত্তা: কীভাবে আপনার নেটওয়ার্কে ব্যক্তিগত ডিভাইসগুলো নিরাপদে ব্যবহার করতে দেবেন

BYOD WiFi অ্যাক্সেস সুরক্ষিত করার বিষয়ে IT লিডারদের জন্য একটি বাস্তবসম্মত, ভেন্ডর-নিরপেক্ষ গাইড। ব্যক্তিগত ডিভাইস ব্যবহারের সুবিধা দেওয়ার পাশাপাশি কর্পোরেট সম্পদ রক্ষা করতে এটি 802.1X অথেন্টিকেশন বাস্তবায়ন, MDM ইন্টিগ্রেশন এবং কঠোর নেটওয়ার্ক সেগমেন্টেশন কভার করে।

📖 5 মিনিট পাঠ📝 1,146 শব্দ🔧 2 সমাধানকৃত উদাহরণ❓ 3 অনুশীলনী প্রশ্ন📚 8 মূল সংজ্ঞা

এই গাইডটি শুনুন

পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
[0:00 - 0:10] আপবিট, প্রফেশনাল ইলেকট্রনিক ইন্ট্রো মিউজিক ফেড ইন এবং আউট হয়। [0:10 - 1:00] ভূমিকা ও প্রেক্ষাপট Host (UK English, আত্মবিশ্বাসী, কর্তৃত্বপূর্ণ): "হ্যালো এবং স্বাগতম। আমি আপনাদের হোস্ট, এবং আজ আমরা এন্টারপ্রাইজ IT টিমগুলোর সবচেয়ে দীর্ঘস্থায়ী মাথাব্যথাগুলোর একটি সমাধান করতে যাচ্ছি: BYOD WiFi নিরাপত্তা। ম্যালওয়্যার, ডেটা লিক এবং কমপ্লায়েন্স লঙ্ঘনের পথ উন্মুক্ত না করে কীভাবে আপনি নিরাপদে আপনার কর্পোরেট নেটওয়ার্কে ব্যক্তিগত ডিভাইসগুলো ব্যবহার করতে দেবেন? আপনি ৫০০ রুমের একটি হোটেল পরিচালনা করছেন, রিটেইল স্টোরের একটি চেইন, নাকি একটি বড় পাবলিক-সেক্টর ভেন্যু, শেয়ার্ড WPA2 পাসওয়ার্ড দেওয়ার দিন শেষ হয়ে গেছে। আজ, আমরা তাত্ত্বিক বিষয়গুলো এড়িয়ে এন্টারপ্রাইজ এজ সুরক্ষিত করার জন্য প্রয়োজনীয় ব্যবহারিক আর্কিটেকচারের দিকে নজর দেব। আমরা 802.1X, সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন এবং কঠোর নেটওয়ার্ক সেগমেন্টেশন কভার করব। চলুন শুরু করা যাক।" [1:00 - 6:00] টেকনিক্যাল ডিপ-ডাইভ Host: "ঠিক আছে, চলুন আর্কিটেকচারটি দেখে নেওয়া যাক। আপনাকে যে মৌলিক পরিবর্তনটি করতে হবে তা হলো শেয়ার্ড সিক্রেট থেকে আইডেন্টিটি-ভিত্তিক অ্যাক্সেসে স্থানান্তরিত হওয়া। আপনি যদি এখনও আপনার কর্মীদের WiFi-এর জন্য একটি প্রি-শেয়ার্ড কি ব্যবহার করেন, তবে আপনার একটি বিশাল অন্ধ গলিপথ রয়েছে। এখানে আপসহীন বেসলাইনটি হলো IEEE 802.1X। এটি নিশ্চিত করে যে কোনো ডিভাইস স্পষ্টভাবে অথেন্টিকেট না হওয়া পর্যন্ত ট্রাফিক পাঠাতে পারবে না। তবে 802.1X কেবল একটি ফ্রেমওয়ার্ক; আসল নিরাপত্তা আসে আপনার নির্বাচিত EAP পদ্ধতি থেকে। যদিও ইউজারনেম এবং পাসওয়ার্ড সহ PEAP সাধারণ, এটি ক্রেডেনশিয়াল চুরির জন্য ঝুঁকিপূর্ণ। আপনার যে গোল্ড স্ট্যান্ডার্ডটি লক্ষ্য করা উচিত তা হলো EAP-TLS। এটি ক্লায়েন্ট-সাইড can-এর ওপর নির্ভর করে। যখন কোনো কর্মচারীর iPhone সংযোগ করার চেষ্টা করে, তখন RADIUS সার্ভার সেই ডিভাইসের অনন্য সার্টিফিকেটটি পরীক্ষা করে। কোনো পাসওয়ার্ড চুরির ভয় নেই, কোনো ম্যান-ইন-দ্য-মিডল অ্যাটাক নেই। কিন্তু আপনি কীভাবে সেই সার্টিফিকেটগুলো অনিয়ন্ত্রিত ব্যক্তিগত ডিভাইসগুলোতে পাবেন? সেখানেই Mobile Device Management বা MDM-এর ভূমিকা। Microsoft Intune বা Jamf-এর মতো সমাধানগুলো আপনার গেটকিপার হিসেবে কাজ করে। আপনি একটি কমপ্লায়েন্স পলিসি সেট করেন—যেমন, ডিভাইসে সর্বশেষ OS, একটি স্ক্রিন লক থাকতে হবে এবং এটি জেলব্রোকেন হতে পারবে না। ডিভাইসটি সফল হলে, MDM SCEP-এর মাধ্যমে সার্টিফিকেট পুশ করে এবং ডিভাইসটি সংযুক্ত হয়। ব্যবহারকারী যদি পরে পাসকোডটি সরিয়ে ফেলেন, তবে MDM সার্টিফিকেটটি বাতিল করে দেয় এবং WiFi সংযোগ তাৎক্ষণিকভাবে বিচ্ছিন্ন হয়ে যায়। এটি একটি স্বয়ংক্রিয়, জিরো-ট্রাস্ট অ্যাক্সেস। এখন, নেটওয়ার্কটি নিয়ে কথা বলা যাক। একটি ফ্ল্যাট নেটওয়ার্ক হলো একটি আসন্ন বিপর্যয়। আপনাকে অবশ্যই কঠোর সেগমেন্টেশন বাস্তবায়ন করতে হবে। আমরা একটি থ্রি-জোন আর্কিটেকচার (Three-Zone Architecture) সুপারিশ করি। VLAN 10 হলো পরিচালিত ডিভাইসগুলোর জন্য আপনার Corporate Zone। VLAN 20 হলো কর্মচারীদের ব্যক্তিগত ডিভাইসের জন্য আপনার BYOD Zone—এটি ইন্টারনেট অ্যাক্সেস এবং নির্দিষ্ট অভ্যন্তরীণ অ্যাপগুলোতে কঠোরভাবে নিয়ন্ত্রিত অ্যাক্সেস পায়। এবং VLAN 30 হলো আপনার Guest Zone—শুধুমাত্র ইন্টারনেট, যেখানে ক্লায়েন্ট আইসোলেশন চালু থাকে যাতে ডিভাইসগুলো একে অপরের সাথে কথা বলতে না পারে। আপনার ফায়ারওয়ালে ডিফল্টরূপে এই VLANs গুলোর মধ্যে রাউটিং ব্লক করা থাকতে হবে।" [6:00 - 8:00] ইমপ্লিমেন্টেশন সুপারিশ এবং ত্রুটিসমূহ Host: "যখন ডেপ্লয়মেন্টের কথা আসে, তখন সবচেয়ে বড় ত্রুটি হলো অনবোর্ডিং অভিজ্ঞতা। এটি যদি খুব জটিল হয়, তবে আপনার হেল্পডেস্কের ওপর অতিরিক্ত চাপ পড়বে। "আপনার একটি নির্বিঘ্ন অনবোর্ডিং ফ্লো প্রয়োজন। একটি প্রোভিশনিং SSID ব্রডকাস্ট করুন। যখন কোনো ব্যবহারকারী সংযুক্ত হন, তখন তাদের একটি ক্যাপটিভ পোর্টাল-এ রিডাইরেক্ট করুন—এখানেই Purple-এর Guest WiFi-এর মতো প্ল্যাটফর্মগুলো সেই প্রাথমিক টাচপয়েন্ট হিসেবে কাজ করতে পারে, যা ব্যবহারকারীকে MDM প্রোফাইল ডাউনলোড করতে গাইড করে। একবার ইনস্টল হয়ে গেলে, ডিভাইসটি স্বয়ংক্রিয়ভাবে নিরাপদ 802.1X নেটওয়ার্কে চলে যায়। আরেকটি ত্রুটি যা খেয়াল রাখতে হবে তা হলো MAC র্যান্ডমাইজেশন। আধুনিক iOS এবং Android ডিভাইসগুলো প্রাইভেসি রক্ষার জন্য তাদের MAC অ্যাড্রেস র্যান্ডমাইজ করে। আপনি যদি অ্যাক্সেস কন্ট্রোল বা ক্যাপটিভ পোর্টাল বাইপাসের জন্য MAC অ্যাড্রেসের ওপর নির্ভর করেন, তবে আপনার সিস্টেমটি কাজ করবে না। আপনাকে অবশ্যই MAC অ্যাড্রেসের পরিবর্তে 802.1X সার্টিফিকেট আইডেন্টিটির ওপর নির্ভর করতে হবে।" [8:00 - 9:00] র‍্যাপিড-ফায়ার প্রশ্নোত্তর Host: "চলুন CTO-দের কাছ থেকে শোনা কয়েকটি দ্রুত প্রশ্নের উত্তর দেওয়া যাক। প্রশ্ন এক: আমাদের কি WPA3 প্রয়োজন? উত্তর: হ্যাঁ। WPA3-Enterprise-এ স্থানান্তরিত হন। এটি Protected Management Frames বাধ্যতামূলক করে, যা ডিঅথেন্টিকেশন অ্যাটাকগুলোকে সম্পূর্ণরূপে থামিয়ে দেয়। প্রশ্ন দুই: OpenRoaming সম্পর্কে কী বলা যায়? উত্তর: নির্বিঘ্ন কানেক্টিভিটির জন্য অত্যন্ত সুপারিশকৃত। Purple আসলে Connect লাইসেন্সের অধীনে OpenRoaming-এর জন্য একটি ফ্রি আইডেন্টিটি প্রোভাইডার হিসেবে কাজ করে, যা নিরাপত্তা বিঘ্নিত না করেই ব্যবহারকারীর অভিজ্ঞতার জন্য একটি বিশাল জয়। প্রশ্ন তিন: আমরা হেলথকেয়ারে কমপ্লায়েন্স কীভাবে পরিচালনা করব? উত্তর: HIPAA-এর জন্য কঠোর সেগমেন্টেশন অত্যন্ত গুরুত্বপূর্ণ। BYOD ট্রাফিককে ক্লিনিকাল নেটওয়ার্ক এবং ইলেকট্রনিক হেলথ রেকর্ড সিস্টেম থেকে সম্পূর্ণ আলাদা রাখুন।" [9:00 - 10:00] সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ Host: "সংক্ষেপে বলতে গেলে: শেয়ার্ড পাসওয়ার্ড বন্ধ করুন। EAP-TLS সহ 802.1X বাস্তবায়ন করুন। সার্টিফিকেট ইস্যু করার আগে একটি MDM-এর মাধ্যমে ডিভাইসের কমপ্লায়েন্স প্রয়োগ করুন। এবং আপনার নেটওয়ার্ক কঠোরভাবে সেগমেন্ট করুন। BYOD সুরক্ষিত করা কেবল ঝুঁকি প্রশমন নয়; এটি হেলথডেস্কের টিকিট কমানো এবং আপনার কর্মীদের নিরাপদে কাজ করার সুযোগ দেওয়ার বিষয়। কনফিগারেশন ধাপ এবং আর্কিটেকচার ডায়াগ্রাম সহ সম্পূর্ণ টেকনিক্যাল ব্রেকডাউনের জন্য, Purple ওয়েবসাইটে সম্পূর্ণ গাইডটি দেখুন। শোনার জন্য ধন্যবাদ, এবং সুরক্ষিত থাকুন।" [10:00] আউটরো মিউজিক বৃদ্ধি পায় এবং ফেড আউট হয়।

📚 আমাদের মূল সিরিজের অংশ: Enterprise WiFi Security Guide →

header_image.png

সারসংক্ষেপ

কর্পোরেট নেটওয়ার্কের পরিধি ক্রমাগত বিলুপ্ত হওয়ার সাথে সাথে, BYOD (Bring Your Own Device) WiFi অ্যাক্সেস পরিচালনা করা একটি সুবিধাজনক ফিচার থেকে একটি গুরুত্বপূর্ণ সুরক্ষার প্রয়োজনীয়তায় পরিণত হয়েছে। এন্টারপ্রাইজ পরিবেশ জুড়ে কর্মরত IT ম্যানেজার এবং নেটওয়ার্ক আর্কিটেক্টদের জন্য— হসপিটালিটি এবং রিটেইল থেকে শুরু করে হেলথকেয়ার এবং ট্রান্সপোর্ট পর্যন্ত—চ্যালেঞ্জটি স্পষ্ট: কর্পোরেট সম্পদগুলোকে অগ্রহণযোগ্য ঝুঁকির মুখে না ফেলে কীভাবে নিরাপদে ব্যক্তিগত ডিভাইসগুলোকে নেটওয়ার্কে প্রবেশ করতে দেওয়া যায়।

এই গাইডটি একটি নিরাপদ BYOD WiFi স্থাপনের জন্য একটি বাস্তবসম্মত, ভেন্ডর-নিরপেক্ষ ফ্রেমওয়ার্ক প্রদান করে। আমরা তাত্ত্বিক মডেলগুলো এড়িয়ে সরাসরি কার্যকর আর্কিটেকচারের ওপর ফোকাস করব: 802.1X অথেন্টিকেশন বাস্তবায়ন করা, কমপ্লায়েন্সের জন্য Mobile Device Management (MDM) ব্যবহার করা এবং কঠোর নেটওয়ার্ক সেগমেন্টেশন প্রয়োগ করা। এই টেকনিক্যাল কন্ট্রোলগুলোকে ব্যবসায়িক ফলাফলের সাথে যুক্ত করে, IT লিডাররা এমন সমাধান স্থাপন করতে পারেন যা অপারেশনাল দক্ষতা বজায় রাখার পাশাপাশি ডেটার অখণ্ডতা রক্ষা করে। আপনি লিগ্যাসি WPA2-PSK নেটওয়ার্ক আপগ্রেড করছেন বা একেবারে শুরু থেকে একটি জিরো-ট্রাস্ট আর্কিটেকচার ডিজাইন করছেন, এই রেফারেন্সটি আধুনিক এন্টারপ্রাইজ এজ সুরক্ষিত করার জন্য প্রয়োজনীয় সুনির্দিষ্ট কনফিগারেশনের বিবরণ দেয়।

টেকনিক্যাল ডিপ-ডাইভ: আর্কিটেকচার এবং স্ট্যান্ডার্ডস

নিরাপদ BYOD WiFi সুরক্ষার ভিত্তি হলো শেয়ার্ড পাসওয়ার্ড বর্জন করে আইডেন্টিটি-ভিত্তিক অ্যাক্সেস কন্ট্রোল গ্রহণ করা।

802.1X স্ট্যান্ডার্ড এবং EAP প্রোটোকল

IEEE 802.1X স্ট্যান্ডার্ডটি এন্টারপ্রাইজ WiFi সুরক্ষার জন্য একটি আপসহীন বেসলাইন। এটি পোর্ট-ভিত্তিক Network Access Control (PNAC) প্রদান করে, যা নিশ্চিত করে যে কোনো ডিভাইস স্পষ্টভাবে অথেন্টিকেট না হওয়া পর্যন্ত নেটওয়ার্কে যোগাযোগ করতে পারবে না।

BYOD ডেপ্লয়মেন্টের জন্য, নির্বাচিত Extensible Authentication Protocol (EAP) পদ্ধতিটি অত্যন্ত গুরুত্বপূর্ণ। যদিও ইউজারনেম এবং পাসওয়ার্ড ব্যবহার করে EAP-PEAP একটি বেসলাইন প্রদান করে, তবে EAP-TLS হলো গোল্ড স্ট্যান্ডার্ড। EAP-TLS ক্লায়েন্ট-সাইড সার্টিফিকেটের ওপর নির্ভর করে, যা ক্রেডেনশিয়াল চুরি এবং ম্যান-ইন-দ্য-মিডল অ্যাটাকের ঝুঁকি দূর করে। যখন কোনো ব্যবহারকারীর ব্যক্তিগত স্মার্টফোন সংযোগ করার চেষ্টা করে, তখন RADIUS সার্ভার সেই ডিভাইসে ইনস্টল করা অনন্য সার্টিফিকেটটি যাচাই করে, যা ব্যবহারকারীর আইডেন্টিটি এবং ডিভাইসের অথরাইজেশন স্ট্যাটাস উভয়ই নিশ্চিত করে।

নেটওয়ার্ক সেগমেন্টেশন এবং VLANs

একটি ফ্ল্যাট নেটওয়ার্ক হলো একটি ঝুঁকিপূর্ণ নেটওয়ার্ক। BYOD ডিভাইসগুলোকে কখনোই কর্পোরেট সার্ভার, পয়েন্ট-অফ-সেল সিস্টেম বা গুরুত্বপূর্ণ ইনফাস্ট্রাকচারের সাথে সাবনেট শেয়ার করতে দেওয়া উচিত নয়।

একটি কঠোর থ্রি-জোন আর্কিটেকচার (Three-Zone Architecture) বাস্তবায়ন করা প্রয়োজন:

  1. Corporate Zone (VLAN 10): অভ্যন্তরীণ রিসোর্সে পূর্ণ অ্যাক্সেস সহ পরিচালিত, কোম্পানির মালিকানাধীন ডিভাইস।
  2. BYOD Zone (VLAN 20): কর্মচারীদের মালিকানাধীন ডিভাইস। এই জোনে ইন্টারনেট অ্যাক্সেস এবং নির্দিষ্ট অভ্যন্তরীণ অ্যাপ্লিকেশনগুলোতে সীমিত ও নিবিড়ভাবে পর্যবেক্ষণ করা অ্যাক্সেস থাকা উচিত (যেমন, একটি রিভার্স প্রক্সি বা অভ্যন্তরীণ VPN-এর মাধ্যমে)।
  3. Guest Zone (VLAN 30): ভিজিটরদের ডিভাইস। শুধুমাত্র ইন্টারনেট অ্যাক্সেস। পিয়ার-টু-পিয়ার যোগাযোগ রোধ করতে ক্লায়েন্ট আইসোলেশন (Client isolation) অবশ্যই সক্রিয় থাকতে হবে।

network_segmentation_diagram.png

Mobile Device Management (MDM) ইন্টিগ্রেশন

ব্যক্তিগত ডিভাইসে কমপ্লায়েন্স প্রয়োগ করতে, MDM ইন্টিগ্রেশন অপরিহার্য। Microsoft Intune বা Jamf-এর মতো সমাধানগুলো IT-কে নেটওয়ার্ক অ্যাক্সেসের জন্য প্রয়োজনীয় EAP-TLS সার্টিফিকেট ইস্যু করার আগে বেসলাইন সিকিউরিটি পোস্টার—যেমন ন্যূনতম OS সংস্করণ, সক্রিয় স্ক্রিন লক এবং আন-রুটেড স্ট্যাটাস—প্রয়োগ করার অনুমতি দেয়। যদি কোনো ডিভাইস কমপ্লায়েন্সের বাইরে চলে যায়, তবে MDM সার্টিফিকেটটি বাতিল করে দেয়, যা তাৎক্ষণিকভাবে WiFi অ্যাক্সেস বন্ধ করে দেয়।

ইমপ্লিমেন্টেশন গাইড: ধাপে ধাপে ডেপ্লয়মেন্ট

একটি নিরাপদ BYOD আর্কিটেকচার স্থাপন করার জন্য ওয়্যারলেস LAN কন্ট্রোলার (WLC), আইডেন্টিটি প্রোভাইডার (IdP) এবং MDM প্ল্যাটফর্মের মধ্যে সতর্ক সমন্বয় প্রয়োজন।

ফেজ ১: ইনফ্রাস্ট্রাকচার প্রস্তুতি

  1. VLANs কনফিগার করুন: আপনার কোর সুইচে আলাদা VLANs তৈরি করুন এবং সেগুলো অ্যাক্সেস পয়েন্টগুলোতে ছড়িয়ে দিন। নিশ্চিত করুন যে ফায়ারওয়ালে ডিফল্টরূপে ইন্টার-VLAN রাউটিং ব্লক করা আছে।
  2. RADIUS ডেপ্লয় করুন: আপনার কর্পোরেট ডিরেক্টরির (Active Directory, Entra ID) সাথে ইন্টিগ্রেট করা একটি RADIUS সার্ভার (যেমন, Cisco ISE, Aruba ClearPass, বা ক্লাউড RADIUS) বাস্তবায়ন করুন।

ফেজ ২: সার্টিফিকেট অথরিটি এবং MDM সেটআপ

  1. একটি PKI প্রতিষ্ঠা করুন: ক্লায়েন্ট সার্টিফিকেট ইস্যু করার জন্য একটি সার্টিফিকেট অথরিটি (CA) সেটআপ করুন।
  2. SCEP/EST কনফিগার করুন: ডিভাইসে স্বয়ংক্রিয়ভাবে সার্টিফিকেট প্রেরণের জন্য Simple Certificate Enrolment Protocol (SCEP) বা Enrolment over Secure Transport (EST) সক্ষম করুন।
  3. MDM পলিসি নির্ধারণ করুন: আপনার MDM-এ একটি কমপ্লায়েন্স পলিসি তৈরি করুন যা ডিভাইসের হেলথ চেক করে। একটি WiFi প্রোফাইল পে-লোড তৈরি করুন যা কমপ্লায়েন্ট ডিভাইসগুলোতে EAP-TLS কনফিগারেশন এবং SCEP URL পুশ করে।

byod_onboarding_flow.png

ফেজ ৩: অনবোর্ডিং অভিজ্ঞতা

হেল্পডেস্কের ওপর চাপ কমাতে অনবোর্ডিং প্রক্রিয়াটি নির্বিঘ্ন হতে হবে।

  1. প্রোভিশনিং SSID: একটি ওপেন বা WPA3-SAE প্রোভিশনিং SSID ব্রডকাস্ট করুন।
  2. ক্যাপটিভ পোর্টাল রিডাইরেকশন: ব্যবহারকারীরা যখন সংযুক্ত হবেন, তখন তাদের একটি ক্যাপটিভ পোর্টাল-এ রিডাইরেক্ট করুন। এখানে, Purple-এর গেস্ট WiFi প্ল্যাটফর্মটি প্রাথমিক টাচপয়েন্ট হিসেবে কাজ করতে পারে, যা ব্যবহারকারীদের MDM প্রোফাইল ডাউনলোড করতে নির্দেশিকা প্রদান করবে।
  3. স্বয়ংক্রিয় ট্রানজিশন: একবার MDM প্রোফাইল ইনস্টল এবং সার্টিফিকেট প্রোভিশন হয়ে গেলে, ডিভাইসটি স্বয়ংক্রিয়ভাবে প্রোভিশনিং SSID থেকে বিচ্ছিন্ন হয়ে যাবে এবং নিরাপদ 802.1X BYOD SSID-এর সাথে সংযুক্ত হবে।

সেরা অনুশীলন এবং ইন্ডাস্ট্রি স্ট্যান্ডার্ডস

একটি শক্তিশালী সিকিউরিটি পোস্টার বজায় রাখতে, নিম্নলিখিত সেরা অনুশীলনগুলো মেনে চলুন:

  • ক্লায়েন্ট আইসোলেশন প্রয়োগ করুন: Guest এবং BYOD VLANs উভয় ক্ষেত্রেই, অ্যাক্সেস পয়েন্ট স্তরে ক্লায়েন্ট আইসোলেশন সক্ষম করুন। এটি কোনো ব্যক্তিগত ডিভাইস ঝুঁকিপূর্ণ হলে ল্যাটারাল মুভমেন্ট প্রতিরোধ করে।
  • WPA3-Enterprise বাস্তবায়ন করুন: বাধ্যতামূলক Protected Management Frames (PMF) এবং উন্নত ক্রিপ্টোগ্রাফিক সুইটের সুবিধা পেতে WPA2 থেকে WPA3-Enterprise-এ স্থানান্তরিত হন।
  • OpenRoaming-এর সুবিধা নিন: বিভিন্ন ভেন্যু জুড়ে নির্বিঘ্ন, নিরাপদ কানেক্টিভিটির জন্য, OpenRoaming বাস্তবায়নের কথা বিবেচনা করুন। Purple Connect লাইসেন্সের অধীনে OpenRoaming-এর জন্য একটি ফ্রি আইডেন্টিটি প্রোভাইডার হিসেবে কাজ করে, যা ম্যানুয়াল অনবোর্ডিং ছাড়াই নিরাপদ অ্যাক্সেস সহজ করে তোলে।
  • ক্রমাগত মনিটরিং: ট্রাফিক প্যাটার্ন পর্যবেক্ষণ করতে WiFi Analytics ব্যবহার করুন। BYOD সাবনেট থেকে অস্বাভাবিক ব্যান্ডউইথ ব্যবহার বা সংযোগের চেষ্টা করা হলে স্বয়ংক্রিয় অ্যালার্ট ট্রিগার হওয়া উচিত।
  • কমপ্লায়েন্স সামঞ্জস্যতা: আপনার BYOD পলিসিগুলো প্রাসঙ্গিক নিয়মনীতির সাথে সামঞ্জস্যপূর্ণ কিনা তা নিশ্চিত করুন। উদাহরণস্বরূপ, হেলথকেয়ারের ক্ষেত্রে, HIPAA কমপ্লায়েন্সের জন্য BYOD ট্রাফিক আলাদা করা অত্যন্ত গুরুত্বপূর্ণ, যা হাসপাতালে WiFi: একটি নিরাপদ ক্লিনিকাল নেটওয়ার্কের গাইড -এ বিস্তারিত আলোচনা করা হয়েছে।

ট্রাবলশুটিং এবং ঝুঁকি প্রশমন

একটি শক্তিশালী আর্কিটেকচার থাকা সত্ত্বেও সমস্যা দেখা দিতে পারে। এখানে কিছু সাধারণ ফেইলিউর মোড এবং প্রশমন কৌশল দেওয়া হলো:

সার্টিফিকেটের মেয়াদ শেষ হওয়া

ঝুঁকি: ক্লায়েন্ট সার্টিফিকেটের মেয়াদ শেষ হয়ে গেলে ডিভাইসগুলো হঠাৎ কানেক্টিভিটি হারিয়ে ফেলে। প্রশমন: SCEP-এর মাধ্যমে মেয়াদ শেষ হওয়ার ৩০ দিন আগে স্বয়ংক্রিয়ভাবে সার্টিফিকেট রিনিউ করার জন্য MDM কনফিগার করুন। আসন্ন মেয়াদের সমাপ্তি সম্পর্কে IT-কে সতর্ক করতে CA-তে মনিটরিং বাস্তবায়ন করুন।

Android MAC র্যান্ডমাইজেশন

ঝুঁকি: আধুনিক iOS এবং Android ডিভাইসগুলো ডিফল্টরূপে তাদের MAC অ্যাড্রেস র্যান্ডমাইজ করে, যা MAC-ভিত্তিক অ্যাক্সেস কন্ট্রোল বা ক্যাপটিভ পোর্টাল বাইপাস নিয়মগুলোকে ব্যাহত করতে পারে। প্রশমন: অথেন্টিকেশন এবং পলিসি প্রয়োগের জন্য MAC অ্যাড্রেসের পরিবর্তে সম্পূর্ণভাবে 802.1X আইডেন্টিটি (সার্টিফিকেট)-এর ওপর নির্ভর করুন।

রোগ অ্যাক্সেস পয়েন্ট (Rogue Access Points)

ঝুঁকি: কর্মচারীরা বিধিনিষেধ এড়াতে ব্যক্তিগত রাউটার প্লাগ ইন করতে পারে, যা রোগ অ্যাক্সেস পয়েন্ট (rogue access points) তৈরি করে। প্রশমন: আপনার এন্টারপ্রাইজ WLC-তে Rogue AP সনাক্তকরণ সক্ষম করুন (যেমন, একটি ওয়্যারলেস অ্যাক্সেস পয়েন্ট Ruckus ডেপ্লয়মেন্ট পরিচালনা করার সময়) এবং একাধিক MAC অ্যাড্রেস সনাক্ত করার সাথে সাথে সুইচ পোর্টগুলো নিষ্ক্রিয় (Port Security) করার জন্য কনফিগার করুন।

ROI এবং ব্যবসায়িক প্রভাব

BYOD WiFi সুরক্ষিত করা কেবল একটি ব্যয় কেন্দ্র নয়; এটি পরিমাপযোগ্য ব্যবসায়িক মূল্য প্রদান করে:

  1. হ্রাসকৃত হেল্পডেস্ক ওভারহেড: MDM-এর মাধ্যমে স্বয়ংক্রিয় সার্টিফিকেট প্রোভিশনিং পাসওয়ার্ড রিসেট টিকিট এবং ম্যানুয়াল অনবোর্ডিং অনুরোধ ৮০% পর্যন্ত কমিয়ে দেয়।
  2. ঝুঁকি প্রশমন: কঠোর সেগমেন্টেশন এবং কমপ্লায়েন্স চেক একটি ঝুঁকিপূর্ণ ব্যক্তিগত ডিভাইস থেকে উদ্ভূত ব্যয়বহুল ডেটা ব্রিচের সম্ভাবনা নাটকীয়ভাবে হ্রাস করে।
  3. উন্নত উৎপাদনশীলতা: কর্মচারীরা তাদের পছন্দের ডিভাইসে প্রয়োজনীয় রিসোর্সগুলোতে নির্বিঘ্ন, নিরাপদ অ্যাক্সেস পান, যা সামগ্রিক দক্ষতা বৃদ্ধি করে।
  4. ডেটা-চালিত ইনসাইট: একটি অ্যানালিটিক্স প্ল্যাটফর্মের মাধ্যমে BYOD এবং গেস্ট ট্রাফিক রাউট করে, ভেন্যুগুলো স্পেস ইউটিলাইজেশন এবং ডোয়েল টাইমের ওপর কার্যকর বুদ্ধিমত্তা সংগ্রহ করতে পারে।

ব্যক্তিগত ডিভাইসগুলো কীভাবে বৃহত্তর নেটওয়ার্ক ইকোসিস্টেমের সাথে একীভূত হয় সে সম্পর্কে আরও বিস্তৃত ধারণার জন্য, আমাদের Personal Area Networks (PANs): প্রযুক্তি, অ্যাপ্লিকেশন, নিরাপত্তা এবং ভবিষ্যৎ প্রবণতা গাইডটি দেখুন।

মূল সংজ্ঞাসমূহ

802.1X

পোর্ট-ভিত্তিক Network Access Control (PNAC)-এর জন্য একটি IEEE স্ট্যান্ডার্ড যা LAN বা WLAN-এর সাথে যুক্ত হতে চাওয়া ডিভাইসগুলোকে একটি অথেন্টিকেশন মেকানিজম প্রদান করে।

ভিত্তিগত প্রোটোকল যা অননুমোদিত ডিভাইসগুলোকে এন্টারপ্রাইজ নেটওয়ার্কে ট্রাফিক পাঠানো থেকে বিরত রাখে।

EAP-TLS

Extensible Authentication Protocol-Transport Layer Security। একটি অথেন্টিকেশন পদ্ধতি যা পাবলিক কি ইনফ্রাস্ট্রাকচার (PKI) এবং ক্লায়েন্ট-সাইড সার্টিফিকেট ব্যবহার করে।

BYOD অথেন্টিকেশনের জন্য গোল্ড স্ট্যান্ডার্ড, যা পাসওয়ার্ডের প্রয়োজনীয়তা দূর করে এবং ক্রেডেনশিয়াল চুরি থেকে রক্ষা করে।

MDM (Mobile Device Management)

এমন সফটওয়্যার যা IT অ্যাডমিনিস্ট্রেটরদের স্মার্টফোন, ট্যাবলেট এবং ল্যাপটপে পলিসি নিয়ন্ত্রণ, সুরক্ষিত এবং প্রয়োগ করার অনুমতি দেয়।

BYOD WiFi-তে যুক্ত হওয়ার জন্য প্রয়োজনীয় সার্টিফিকেট ইস্যু করার আগে ডিভাইসের হেলথ (কমপ্লায়েন্স) যাচাই করতে ব্যবহৃত হয়।

Network Segmentation

কর্মক্ষমতা এবং নিরাপত্তা উন্নত করতে একটি কম্পিউটার নেটওয়ার্ককে একাধিক সাবনেট বা VLANs-এ বিভক্ত করার অনুশীলন।

ঝুঁকিপূর্ণ ব্যক্তিগত ডিভাইসগুলো যাতে কর্পোরেট সার্ভার বা পয়েন্ট-অফ-সেল সিস্টেডম অ্যাক্সেস করতে না পারে তা নিশ্চিত করার জন্য অত্যন্ত গুরুত্বপূর্ণ।

Client Isolation

একটি ওয়্যারলেস নেটওয়ার্ক সিকিউরিটি ফিচার যা একই AP-এর সাথে সংযুক্ত ডিভাইসগুলোকে একে অপরের সাথে সরাসরি যোগাযোগ করতে বাধা দেয়।

পিয়ার-টু-পিয়ার ম্যালওয়্যার ছড়ানো বা ল্যাটারাল মুভমেন্ট রোধ করতে Guest এবং BYOD নেটওয়ার্কে অবশ্যই সক্রিয় থাকতে হবে।

SCEP (Simple Certificate Enrollment Protocol)

ডিজিটাল সার্টিফিকেট ইস্যু এবং বাতিলকরণকে যতটা সম্ভব স্কেলযোগ্য করার জন্য ডিজাইন করা একটি প্রোটোকল।

কমপ্লায়েন্ট BYOD ডিভাইসগুলোতে নীরবে এবং স্বয়ংক্রিয়ভাবে EAP-TLS সার্টিফিকেট পুশ করতে MDM দ্বারা ব্যবহৃত হয়।

RADIUS

Remote Authentication Dial-In User Service। একটি নেটওয়ার্কিং প্রোটোকল যা সেন্ট্রালাইজড Authentication, Authorisation, and Accounting (AAA) ম্যানেজমেন্ট প্রদান করে।

যে সার্ভারটি ডিরেক্টরির সাথে ডিভাইসের সার্টিফিকেট যাচাই করে এবং কানেকশনটি অনুমোদন করা হবে কিনা তা WLC-কে জানায়।

WPA3-Enterprise

WiFi সুরক্ষার সর্বশেষ প্রজন্ম, যা উন্নত ক্রিপ্টোগ্রাফিক শক্তি এবং বাধ্যতামূলক Protected Management Frames (PMF) অফার করে।

ডিঅথেন্টিকেশন অ্যাটাক প্রতিরোধ করতে আধুনিক BYOD ডেপ্লয়মেন্টের জন্য প্রস্তাবিত সিকিউরিটি স্ট্যান্ডার্ড।

সমাধানকৃত উদাহরণসমূহ

একটি ২০০ রুমের হোটেলের কর্মীদের ক্লাউড-ভিত্তিক হাউসকিপিং অ্যাপ অ্যাক্সেস করার জন্য ব্যক্তিগত স্মার্টফোন ব্যবহারের অনুমতি দেওয়া প্রয়োজন, তবে এটি নিশ্চিত করতে হবে যে এই ডিভাইসগুলো যেন প্রপার্টি ম্যানেজমেন্ট সিস্টেম (PMS) বা গেস্ট WiFi নেটওয়ার্ক অ্যাক্সেস করতে না পারে।

১. কোর সুইচ এবং WLC-তে একটি ডেডিকেটেড BYOD VLAN (যেমন, VLAN 20) কনফিগার করুন। ২. VLAN 20-এর সাথে ম্যাপ করা একটি 802.1X SSID (যেমন, 'Staff-BYOD') তৈরি করুন। ৩. শুধুমাত্র ন্যূনতম সিকিউরিটি বেসলাইন পূরণকারী ডিভাইসগুলোতে EAP-TLS সার্টিফিকেট পুশ করতে একটি MDM (যেমন, Intune) ইন্টিগ্রেট করুন। ৪. এজে ফায়ারওয়াল নিয়ম কনফিগার করুন: ক্লাউড হাউসকিপিং অ্যাপে পৌঁছানোর জন্য VLAN 20-এর জন্য আউটবাউন্ড ইন্টারনেট অ্যাক্সেসের অনুমতি দিন। VLAN 20 থেকে Corporate VLAN (যেখানে PMS অবস্থিত) এবং Guest VLAN-এ রাউটিং স্পষ্টভাবে ব্লক করুন।

পরীক্ষকের মন্তব্য: এই পদ্ধতিটি সুরক্ষার সাথে অপারেশনাল চাহিদার নিখুঁত ভারসাম্য বজায় রাখে। EAP-TLS-এর ওপর নির্ভর করে হোটেলটি শেয়ার্ড পাসওয়ার্ড এড়িয়ে চলে। কঠোর ফায়ারওয়াল নিয়মগুলো নিশ্চিত করে যে কোনো কর্মীর ব্যক্তিগত ডিভাইস ম্যালওয়্যার দ্বারা আক্রান্ত হলেও, সংক্রমণটি গুরুত্বপূর্ণ PMS সার্ভারগুলোতে ছড়িয়ে পড়তে পারবে না।

একটি বড় রিটেইল চেইনে কর্মচারীদের BYOD সার্টিফিকেটের মেয়াদ শেষ হয়ে যাওয়ার কারণে হেল্পডেস্কে কলের সংখ্যা অনেক বেড়ে গেছে, যার ফলে কর্মীরা ইনভেন্টরি নেটওয়ার্ক থেকে লক আউট হয়ে যাচ্ছেন।

১. MDM এবং সার্টিফিকেট অথরিটি (CA) ইন্টিগ্রেশন অডিট করুন। ২. স্বয়ংক্রিয় সার্টিফিকেট রিনিউয়ালের জন্য SCEP (Simple Certificate Enrollment Protocol) ব্যবহার করতে MDM পলিসি কনফিগার করুন। ৩. সার্টিফিকেটের মেয়াদ শেষ হওয়ার ৩০ দিন আগে রিনিউয়াল ট্রিগার করার থ্রেশহোল্ড সেট করুন। ৪. রিনিউয়ালের কোনো ব্যাচ ব্যর্থ হলে IT অপারেশন টিমকে জানানোর জন্য CA-তে একটি অ্যালার্ট সিস্টেম বাস্তবায়ন করুন।

পরীক্ষকের মন্তব্য: সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট হলো BYOD ডেপ্লয়মেন্টের একটি সাধারণ ব্যর্থতার জায়গা। ম্যানুয়াল প্রোভিশনিং থেকে স্বয়ংক্রিয় SCEP রিনিউয়ালে স্থানান্তরিত হওয়া হেল্পডেস্কের প্রতিবন্ধকতাকে একটি নীরব, স্বয়ংক্রিয় ব্যাকগ্রাউন্ড প্রক্রিয়ায় রূপান্তরিত করে, যা উল্লেখযোগ্যভাবে ROI উন্নত করে।

অনুশীলনী প্রশ্নসমূহ

Q1. একটি হাসপাতালের IT ডিরেক্টর ভিজিটিং ডাক্তারদের তাদের ব্যক্তিগত iPad ব্যবহার করে অ-সংবেদনশীল সময়সূচী দেখার অনুমতি দিতে চান। ডিরেক্টর রাউটিং সহজ করার জন্য এই iPad গুলোকে বিদ্যমান Corporate VLAN-এ রাখার প্রস্তাব করেন। প্রাথমিক ঝুঁকিটি কী এবং সঠিক আর্কিটেকচারাল পদ্ধতি কী?

ইঙ্গিত: ন্যূনতম প্রিভিলেজের নীতি এবং ক্লিনিকাল সিস্টেমে একটি ঝুঁকিপূর্ণ ব্যক্তিগত ডিভাইসের প্রভাব বিবেচনা করুন।

মডেল উত্তর দেখুন

প্রাথমিক ঝুঁকিটি হলো ল্যাটারাল মুভমেন্ট; যদি কোনো ভিজিটিং ডাক্তারের iPad ম্যালওয়্যার দ্বারা আক্রান্ত হয়, তবে এটিকে Corporate VLAN-এ রাখলে তা গুরুত্বপূর্ণ ক্লিনিকাল সিস্টেম এবং ইলেকট্রনিক হেলথ রেকর্ডস (EHR)-কে সম্ভাব্য ঝুঁকির মুখে ফেলে। সঠিক পদ্ধতি হলো কঠোর ফায়ারওয়াল নিয়ম সহ একটি ডেডিকেটেড BYOD বা পার্টনার VLAN বাস্তবায়ন করা যা শুধুমাত্র নির্দিষ্ট সময়সূচী অ্যাপ্লিকেশনে আউটবাউন্ড অ্যাক্সেসের অনুমতি দেয় এবং Corporate VLAN-এ রাউটিং স্পষ্টভাবে ব্লক করে।

Q2. আপনার নেটওয়ার্ক বর্তমানে এক্সিকিউটিভদের ব্যক্তিগত ডিভাইসগুলোকে একটি প্রিভিলেজড WiFi নেটওয়ার্কে প্রবেশ করতে দিতে MAC Address Authentication Bypass (MAB) ব্যবহার করে। এক্সিকিউটিভরা অভিযোগ করছেন যে তাদের প্রায়শই নতুন iPhone গুলো পুনরায় রেজিস্টার করতে হচ্ছে। এটি কেন ঘটছে এবং কীভাবে আপনার অথেন্টিকেশন মেকানিজমটি রিডিজাইন করা উচিত?

ইঙ্গিত: হার্ডওয়্যার আইডেন্টিফায়ার সম্পর্কিত আধুনিক মোবাইল OS-এর প্রাইভেসি ফিচারগুলো সম্পর্কে ভাবুন।

মডেল উত্তর দেখুন

এটি ঘটছে কারণ আধুনিক iOS (and Android) ডিভাইসগুলো ব্যবহারকারীর প্রাইভেসি রক্ষার জন্য ডিফল্টরূপে MAC র্যান্ডমাইজেশন ব্যবহার করে, যার অর্থ হলো MAC অ্যাড্রেস পরিবর্তিত হয় এবং MAB নিয়মগুলো ভেঙে যায়। এটি সমাধান করতে, আপনাকে অবশ্যই MAC-ভিত্তিক অথেন্টিকেশন বর্জন করতে হবে এবং EAP-TLS সহ 802.1X বাস্তবায়ন করতে হবে। এক্সিকিউটিভদের ডিভাইসে অনন্য ক্লায়েন্ট সার্টিফিকেট পুশ করার জন্য একটি MDM ডেপ্লয় করার মাধ্যমে, অথেন্টিকেশন একটি পরিবর্তনশীল হার্ডওয়্যার আইডেন্টিফায়ারের পরিবর্তে ক্রিপ্টোগ্রাফিক আইডেন্টিটির সাথে যুক্ত হয়।

Q3. একটি BYOD রোলআউটের সময়, আপনি একটি সার্টিফিকেট অথরিটি সেটআপ করার সময় বাঁচাতে EAP-TLS-এর পরিবর্তে EAP-PEAP (ইউজারনেম এবং পাসওয়ার্ড) ব্যবহার করার সিদ্ধান্ত নেন। এটি কী নির্দিষ্ট নিরাপত্তা দুর্বলতা তৈরি করে?

ইঙ্গিত: ডিভাইসগুলো কীভাবে তারা যে নেটওয়ার্কের সাথে সংযুক্ত হচ্ছে তা যাচাই করে এবং ক্রেডেনশিয়াল কীভাবে স্থানান্তরিত হয় তা বিবেচনা করুন।

মডেল উত্তর দেখুন

EAP-PEAP ব্যবহার করা ম্যান-ইন-দ্য-মিডল (MitM) অ্যাটাক বা রোগ অ্যাক্সেস পয়েন্টের মাধ্যমে ক্রেডেনশিয়াল চুরির ঝুঁকি তৈরি করে। যদি কোনো ডিভাইস সার্ভার সার্টিফিকেট কঠোরভাবে যাচাই করার জন্য কনফিগার করা না থাকে (যা অনিয়ন্ত্রিত BYOD ডিভাইসে সাধারণ), তবে একজন আক্রমণকারী একটি স্পুফড SSID ব্রডকাস্ট করতে পারে, PEAP হ্যান্ডশেক ইন্টারসেপ্ট করতে পারে এবং ব্যবহারকারীর কর্পোরেট ক্রেডেনশিয়াল হাতিয়ে নিতে পারে। EAP-TLS পারস্পরিক সার্টিফিকেট অথেন্টিকেশনের প্রয়োজনীয়তার মাধ্যমে এটি সম্পূর্ণরূপে প্রশমিত করে।

এই সিরিজে পড়া চালিয়ে যান

Cisco SUDI বোঝা: Secure Network Access Control-এ হার্ডওয়্যার-অ্যাঙ্কর্ড আইডেন্টিটি

এই নির্দেশিকাটি ব্যাখ্যা করে যে কিভাবে Cisco SUDI এন্টারপ্রাইজ নেটওয়ার্ক পরিকাঠামোর জন্য হার্ডওয়্যার-অ্যাঙ্কর্ড, ক্রিপ্টোগ্রাফিকভাবে সুরক্ষিত আইডেন্টিটি প্রদান করে। আপনার ভেন্যুর নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সুরক্ষিত করতে সহজে স্পুফ করা যায় এমন MAC অ্যাড্রেসের পরিবর্তে অপরিবর্তনীয় 802.1AR সার্টিফিকেট কিভাবে ব্যবহার করবেন তা জানুন।

গাইডটি পড়ুন →

স্বয়ংক্রিয় এন্টারপ্রাইজ WiFi সার্টিফিকেট এনরোলমেন্টের জন্য কীভাবে SCEP কনফিগার করবেন

এই গাইডটি ব্যাখ্যা করে যে কীভাবে স্বয়ংক্রিয় এন্টারপ্রাইজ WiFi সার্টিফিকেট এনরোলমেন্টের জন্য SCEP (Simple Certificate Enrollment Protocol) কনফিগার করতে হয়, যা PKI এবং NDES থেকে শুরু করে MDM প্রোফাইল ডেপ্লয়মেন্ট এবং RADIUS ভ্যালিডেশন পর্যন্ত সম্পূর্ণ আর্কিটেকচার কভার করে। এটি হোটেল, রিটেইল চেইন, স্টেডিয়াম, কনফারেন্স সেন্টার এবং পাবলিক সেক্টরের আইটি ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট এবং CTO-দের উদ্দেশ্যে তৈরি করা হয়েছে যাদের প্রি-শেয়ার্ড কী-এর বাইরে গিয়ে স্কেলযোগ্য, আইডেন্টিটি-ভিত্তিক 802.1X EAP-TLS অথেন্টিকেশন ইমপ্লিমেন্ট করা প্রয়োজন। Purple-এর হার্ডওয়্যার-অ্যাগনস্টিক, ক্লাউড ওভারলে প্ল্যাটফর্মটি সরাসরি এই আর্কিটেকচারের সাথে একীভূত হয়, যা আপনার সার্টিফিকেট-অথেন্টিকেটেড স্টাফ নেটওয়ার্কের পাশাপাশি গেস্ট এবং BYOD WiFi লেয়ার প্রদান করে।

গাইডটি পড়ুন →

স্বয়ংক্রিয় WiFi সার্টিফিকেট এনরোলমেন্টের জন্য কীভাবে SCEP বাস্তবায়ন করবেন

এই নির্দেশিকাটি ব্যাখ্যা করে যে কীভাবে এন্টারপ্রাইজ ভেন্যু জুড়ে স্বয়ংক্রিয় WiFi সার্টিফিকেট এনরোলমেন্টের জন্য SCEP (Simple Certificate Enrollment Protocol) বাস্তবায়ন করা যায়। এটি PKI ডিজাইন এবং MDM ইন্টিগ্রেশন থেকে শুরু করে বাধ্যতামূলক তিন-ধাপের স্থাপনা অনুক্রম পর্যন্ত সম্পূর্ণ আর্কিটেকচারাল ব্লুপ্রিন্ট কভার করে - এবং IT ম্যানেজার ও নেটওয়ার্ক আর্কিটেক্টদের দেখায় কীভাবে শেয়ার্ড শংসাপত্রগুলো দূর করা যায়, সার্টিফিকেট লাইফসাইকেল ম্যানেজমেন্ট স্বয়ংক্রিয় করা যায় এবং স্কেলে PCI DSS এবং GDPR প্রয়োজনীয়তাগুলো পূরণ করা যায়।

গাইডটি পড়ুন →
BYOD WiFi নিরাপত্তা: কীভাবে আপনার নেটওয়ার্কে ব্যক্তিগত ডিভাইসগুলো নিরাপদে ব্যবহার করতে দেবেন | টেকনিক্যাল গাইড | Purple