ক্যাপটিভ পোর্টাল আর্কিটেকচার: নিরাপত্তা, রিডাইরেকশন এবং সর্বোত্তম অনুশীলনসমূহ

ব্রিটিশ ইংরেজিতে আত্মবিশ্বাসী, কর্তৃত্বপূর্ণ এবং কথোপকথনের সুরে কথা বলুন - যেমন একজন সিনিয়র নেটওয়ার্ক কনসালট্যান্ট কফির আড্ডায় কোনো ক্লায়েন্টকে ব্রিফ করছেন। পরিমিত গতি, স্পষ্ট উচ্চারণ, কোনো তাড়া নেই। জোর দেওয়ার জন্য মাঝে মাঝে স্বাভাবিক বিরতি। পেশাদার কিন্তু আড়ষ্ট নয়: Purple টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগত জানাই। আমি আপনার হোস্ট, এবং আজ আমরা ক্যাপটিভ পোর্টাল আর্কিটেকচার নিয়ে বিস্তারিত আলোচনা করব - বিশেষ করে সিকিউরিটি মডেল, রিডাইরেকশন মেকানিক্স এবং ডিজাইনের সিদ্ধান্তগুলো যা একটি কমপ্লায়েন্ট, সুপরিকল্পিত ডেপ্লয়মেন্টকে এমন একটি ডেপ্লয়মেন্ট থেকে আলাদা করে যা ভোর তিনটায় আপনার সমস্যার কারণ হতে পারে। [medium pause] চলুন পরিস্থিতিটা একটু দেখে নেওয়া যাক। আপনি একটি হোটেল চেইন, একটি রিটেইল এস্টেট বা একটি স্টেডিয়াম জুড়ে গেস্ট WiFi চালাচ্ছেন। প্রতিদিন হাজার হাজার ডিভাইস সংযুক্ত হচ্ছে। এর মধ্যে কিছু ডিভাইস ম্যালওয়্যার বহন করছে। কিছু ব্যবহারকারী এমন কন্টেন্ট অ্যাক্সেস করার চেষ্টা করবেন যা তাদের করা উচিত নয়। এবং আপনার লিগ্যাল টিম লিখিতভাবে জানতে চায় যে, আপনি একটি বাইট ব্যক্তিগত ডেটা সংরক্ষণ করার আগে তাদের কাছ থেকে বৈধ সম্মতি সংগ্রহ করেছেন কিনা। [medium pause] ক্যাপটিভ পোর্টাল আর্কিটেকচার এই সমস্যাটি সমাধান করার জন্যই ডিজাইন করা হয়েছে। চলুন এটি আসলে কীভাবে কাজ করে তা বিশ্লেষণ করা যাক। [medium pause] সেকশন এক। রিডাইরেকশন চেইন। যখন একটি গেস্ট ডিভাইস আপনার WiFi SSID-এর সাথে সংযুক্ত হয়, তখন এটি একটি ডেডিকেটেড গেস্ট VLAN-এ - ধরুন VLAN ২০ - একটি DHCP পুল থেকে একটি IP অ্যাড্রেস পায়। আপনার কর্পোরেট ডিভাইসগুলো VLAN ১০-এ রয়েছে। এই দুটি VLAN কখনই একে অপরের সাথে রাউট করা যাবে না। PCI-DSS-এর দৃষ্টিকোণ থেকে এবং সত্যি বলতে একটি মৌলিক নিরাপত্তার দৃষ্টিকোণ থেকেও এটি নিয়ে কোনো আপস করা যাবে না। এখন, ডিভাইসটি সংযুক্ত, কিন্তু এটি এখনও অথেন্টিকেট করেনি। কন্ট্রোলার এটিকে এমন একটি অবস্থায় রাখে যাকে আমরা প্রি-অথেন্টিকেশন স্টেট বলি। ডিভাইসটি কেবল ডোমেনের একটি ছোট হোয়াইটলিস্টে পৌঁছাতে পারে - যা হলো walled garden। বাকি সবকিছু ইন্টারসেপ্ট করা হয়। এখানেই আসল চাতুর্য। যখন ডিভাইসটি কোনো ওয়েবপেজ লোড করার চেষ্টা করে - অথবা যখন অপারেটিং সিস্টেম তার ক্যাপটিভ পোর্টাল সনাক্তকরণ পরীক্ষা করে, যা iOS স্বয়ংক্রিয়ভাবে captive.apple.com-এ হিট করে করে থাকে - তখন গেটওয়ের DNS রিজলভার আসল গন্তব্যের পরিবর্তে ক্যাপটিভ পোর্টাল সার্ভারের IP অ্যাড্রেস ফেরত দেয়। ব্রাউজার সেই রিডাইরেক্ট অনুসরণ করে এবং আপনার স্প্ল্যাশ পেজে পৌঁছায়। [medium pause] এটি Layer 3 এবং Layer 7 একসাথে কাজ করার উদাহরণ। VLAN নেটওয়ার্ক আইসোলেশন পরিচালনা করে। DNS ইন্টারসেপ্ট রিডাইরেক্ট পরিচালনা করে। এবং ক্যাপটিভ পোর্টাল আইডেন্টিটি এবং কনসেন্ট লেয়ার পরিচালনা করে। তিনটি ভিন্ন মেকানিজম, সবগুলোই ক্রমানুসারে কাজ করে। [medium pause] সেকশন দুই। অথেন্টিকেশন এবং RADIUS। গেস্ট একবার স্প্ল্যাশ পেজের সাথে ইন্টারঅ্যাক্ট করলে - তা শর্তাবলী স্বীকার করা, একটি ইমেল অ্যাড্রেস প্রবেশ করানো, সোশ্যাল লগইনের মাধ্যমে অথেন্টিকেট করা বা একটি SMS কোড যাচাই করাই হোক না কেন - প্ল্যাটফর্মটিকে সেই নির্দিষ্ট ডিভাইসের জন্য ফায়ারওয়াল খুলতে নেটওয়ার্ক কন্ট্রোলারকে জানাতে হবে। এখানেই RADIUS-এর ভূমিকা। RADIUS-এর পূর্ণরূপ হলো Remote Authentication Dial-In User Service। এটি RFC 2865-এ সংজ্ঞায়িত একটি প্রোটোকল এবং এটি একটি পলিসি সার্ভার এবং একটি নেটওয়ার্ক অ্যাক্সেস ডিভাইসের মধ্যে অথেন্টিকেশন সিদ্ধান্তগুলো যোগাযোগের জন্য ইন্ডাস্ট্রি স্ট্যান্ডার্ড। Purple একটি ক্লাউড-হোস্টেড RADIUS সার্ভার হিসেবে কাজ করে। যখন একজন গেস্ট ক্যাপটিভ পোর্টাল ফ্লো সম্পন্ন করেন, তখন Purple স্থানীয় WiFi কন্ট্রোলারে - তা Cisco Meraki, একটি HPE Aruba কন্ট্রোলার, একটি Ruckus SmartZone বা একটি Juniper Mist অ্যাক্সেস পয়েন্টই হোক না কেন - একটি RADIUS Access-Accept বার্তা পাঠায়। কন্ট্রোলার সেই বার্তাটি গ্রহণ করে এবং গেস্ট ডিভাইসটিকে প্রি-অথেন্টিকেশন স্টেট থেকে অথরাইজড স্টেটে স্থানান্তরিত করে, ফায়ারওয়াল রুলস খুলে দেয় এবং ইন্টারনেট অ্যাক্সেস মঞ্জুর করে। [medium pause] RADIUS-এর একটি গুরুত্বপূর্ণ এক্সটেনশন রয়েছে যা আপনার জানা উচিত: Change of Authorisation, বা CoA। CoA RADIUS সার্ভারকে ইতিমধ্যে সক্রিয় একটি সেশন বাতিল বা সংশোধন করতে সেশনের মাঝামাঝি সময়ে কন্ট্রোলারে একটি বার্তা পাঠানোর অনুমতি দেয়। Purple সেশন টাইমআউট কার্যকর করতে, পলিসি লঙ্ঘনের জন্য চিহ্নিত ডিভাইসগুলোর সংযোগ বিচ্ছিন্ন করতে এবং GDPR-এর অধীনে রাইট-টু-ইরেজার (মুছে ফেলার অধিকার) ওয়ার্কফ্লো সমর্থন করতে CoA ব্যবহার করে - যেখানে একজন ব্যবহারকারী তাদের ডেটা মুছে ফেলার অনুরোধ করেন এবং Purple অবিলম্বে তাদের সক্রিয় সেশন বাতিল করতে পারে। [medium pause] সেকশন তিন। walled garden। walled garden হলো IP অ্যাড্রেস এবং ডোমেন নামের একটি হোয়াইটলিস্ট যা অথেন্টিকেশন না করা ডিভাইসগুলো ক্যাপটিভ পোর্টাল ফ্লো সম্পন্ন করার আগে অ্যাক্সেস করতে পারে। এটি ভুল হলে আপনার স্প্ল্যাশ পেজ লোড হবে না। এটি খুব বেশি ভুল হলে আপনি একটি নিরাপত্তা ফাঁক তৈরি করবেন। ন্যূনতমপক্ষে, আপনার walled garden-এ ক্যাপটিভ পোর্টাল URL নিজেই, পোর্টালের অ্যাসেটগুলো পরিবেশনকারী যেকোনো CDN এন্ডপয়েন্ট এবং আপনি যে সোশ্যাল লগইন প্রোভাইডারগুলো ব্যবহার করছেন - Google, Facebook, Microsoft - সেগুলোর অথেন্টিকেশন এন্ডপয়েন্ট অন্তর্ভুক্ত থাকতে হবে। আপনি যদি SMS ভেরিফিকেশন ব্যবহার করেন, তবে আপনাকে SMS গেটওয়ের API এন্ডপয়েন্ট হোয়াইটলিস্ট করতে হবে। যে ফাঁদটি বেশিরভাগ ডেপ্লয়মেন্টকে আটকে দেয় তা হলো ডাইনামিক IP অ্যাড্রেস। ক্লাউড পরিষেবাগুলোর সর্বদা স্ট্যাটিক IP থাকে না। আপনি যদি ডোমেনের পরিবর্তে কোনো IP হোয়াইটলিস্ট করেন এবং সেই IP পরিবর্তিত হয়, তবে আপনার পোর্টাল ভেঙে যাবে। আপনার কন্ট্রোলার যেখানেই এটি সমর্থন করে সেখানে ডোমেন-ভিত্তিক হোয়াইটলিস্টিং ব্যবহার করুন এবং প্রতিটি পরিবর্তনের পরে পরীক্ষা করুন। [medium pause] সেকশন চার। সিকিউরিটি ডিজাইন। আসুন সিকিউরিটি আর্কিটেকচার সম্পর্কে আরও বিস্তারিতভাবে কথা বলি, কারণ এখানেই বেশিরভাগ ডেপ্লয়মেন্টে ফাঁকফোকর থাকে। প্রথমত: ক্লায়েন্ট আইসোলেশন। এটি সক্ষম করুন। এটি অ্যাক্সেস পয়েন্টের একটি সেটিং যা গেস্ট ডিভাইসগুলোকে ওয়্যারলেস মাধ্যমের সাহায্যে একে অপরের সাথে সরাসরি যোগাযোগ করতে বাধা দেয়। এটি ছাড়া, একটি আপসকৃত (compromised) ডিভাইস আপনার গেস্ট নেটওয়ার্কে অন্যান্য গেস্ট ডিভাইসগুলোকে স্ক্যান এবং আক্রমণ করতে পারে। এটি একটি ওয়ান-চেকবক্স সমাধান যা পিয়ার-টু-পিয়ার আক্রমণের একটি সম্পূর্ণ শ্রেণীকে দূর করে। দ্বিতীয়ত: DHCP লিজ টাইম। একটি উচ্চ-টার্নওভার ভেন্যুতে - একটি ট্রান্সপোর্ট হাব, একটি স্টেডিয়াম, একটি ব্যস্ত রিটেইল স্টোরে - আপনার সংক্ষিপ্ত লিজ টাইম প্রয়োজন। ৩০ থেকে ৬০ মিনিট। আপনি যদি ডিফল্ট ২৪ ঘণ্টা রেখে দেন এবং একটি ম্যাচের দিনে আপনার দশ হাজার ডিভাইস সংযুক্ত হয়, তবে হাফ-টাইমের আগেই আপনার IP অ্যাড্রেস পুল শেষ হয়ে যাবে। নতুন ডিভাইসগুলো সংযুক্ত হবে না। আপনার অপারেশন টিম অভিযোগ পাবে। লিজ টাইম সংক্ষিপ্ত রাখুন। তৃতীয়ত: এনক্রিপশন। আপনার ক্যাপটিভ পোর্টালটি অবশ্যই একটি বৈধ TLS সার্টিফিকেট সহ HTTPS-এর মাধ্যমে পরিবেশন করা উচিত। যদি এটি HTTP-এর মাধ্যমে পরিবেশন করা হয়, তবে আধুনিক ব্রাউজারগুলো এটিকে অনিরাপদ হিসেবে চিহ্নিত করবে, ব্যবহারকারীরা এটি বিশ্বাস করবে না এবং আপনি প্লেইনটেক্সটে ক্রেডেনশিয়াল প্রেরণ করছেন। ন্যূনতম TLS 1.2 ব্যবহার করুন; TLS 1.3 পছন্দনীয়। WiFi ট্রান্সপোর্ট লেয়ারে WPA2-AES বা WPA3 ব্যবহার করা উচিত - কখনই WEP বা TKIP নয়। চতুর্থত: VLAN সেগমেন্টেশন। আপনার গেস্ট VLAN অবশ্যই পেমেন্ট কার্ড ডেটা স্পর্শ করে এমন যেকোনো নেটওয়ার্ক সেগমেন্ট থেকে সম্পূর্ণরূপে বিচ্ছিন্ন হতে হবে। PCI-DSS সংস্করণ ৪.০ এই বিষয়ে স্পষ্ট। যদি আপনার গেস্ট নেটওয়ার্ক POS সিস্টেম সম্বলিত একটি সাবনেটে রাউট করতে পারে, তবে আপনার সম্পূর্ণ POS নেটওয়ার্ক একটি PCI অডিটের আওতাভুক্ত হবে। এটি একটি উল্লেখযোগ্য কমপ্লায়েন্স বোঝা। প্রথম দিন থেকেই সঠিকভাবে সেগমেন্ট করুন। [medium pause] সেকশন পাঁচ। GDPR এবং ডেটা কমপ্লায়েন্স। ব্যক্তিগত ডেটা সংগ্রহকারী প্রতিটি ক্যাপটিভ পোর্টালকে - এবং ইমেল অ্যাড্রেস, ফোন নম্বর এবং সোশ্যাল লগইন সবই GDPR-এর অধীনে ব্যক্তিগত ডেটা হিসেবে গণ্য হয় - নির্দিষ্ট প্রয়োজনীয়তা পূরণ করতে হবে। প্রসেসিংয়ের জন্য আপনার একটি আইনি ভিত্তি প্রয়োজন। গেস্ট WiFi-এর জন্য, এটি সাধারণত সম্মতি। সম্মতিটি অবশ্যই অবাধে দেওয়া, নির্দিষ্ট, অবহিত এবং দ্ব্যর্থহীন হতে হবে। আগে থেকে টিক দেওয়া বক্সগুলো গণ্য হবে না। মার্কেটিং সম্মতির সাথে WiFi সম্মতি বান্ডেল করা গণ্য হবে না। Purple-এর সচেতন-পছন্দের অপ্ট-ইন মডেল নেটওয়ার্ক অ্যাক্সেস সম্মতিকে মার্কেটিং সম্মতি থেকে আলাদা করে, যাতে গেস্টরা মার্কেটিং ইমেল গ্রহণ করতে বাধ্য না হয়েই অনলাইনে যেতে পারেন। আপনি কী ডেটা সংগ্রহ করছেন, কেন সংগ্রহ করছেন, কোথায় এটি সংরক্ষণ করা হচ্ছে এবং কতক্ষণ এটি রাখছেন তা আপনাকে ডকুমেন্ট করতে হবে। Purple ISO 27001 সার্টিফাইড, GDPR কমপ্লায়েন্ট, CCPA কমপ্লায়েন্ট এবং Cyber Essentials সার্টিফাইড। প্ল্যাটফর্মটি ডকুমেন্ট করা রিটেনশন পলিসি সহ কমপ্লায়েন্ট ডেটা সেন্টারে ডেটা সংরক্ষণ করে। এবং আপনার একটি রাইট-টু-ইরেজার (মুছে ফেলার অধিকার) ওয়ার্কফ্লো প্রয়োজন। যদি কোনো গেস্ট তাদের ডেটা মুছে ফেলার অনুরোধ করেন, তবে আপনাকে অবশ্যই ৩০ দিনের মধ্যে তা কার্যকর করতে হবে। Purple-এর প্ল্যাটফর্ম এটিকে নেটিভভাবে সমর্থন করে এবং আমি আগে যে RADIUS CoA মেকানিজমের কথা উল্লেখ করেছি তার মানে হলো আপনি একই সময়ে সক্রিয় সেশনগুলো বাতিল করতে পারেন। [medium pause] এখন আসুন ইমপ্লিমেন্টেশন সুপারিশ এবং আমরা প্রায়শই যে ত্রুটিগুলো দেখি সেগুলোতে চলে যাই। [medium pause] ত্রুটি এক: ভুলভাবে কনফিগার করা walled garden। স্প্ল্যাশ পেজ লোড হয়, কিন্তু সোশ্যাল লগইন বাটন কাজ করে না। অথবা পেজ লোড হয় কিন্তু লোগো প্রদর্শিত হয় না কারণ CDN ডোমেনটি হোয়াইটলিস্ট করা নেই। লাইভ হওয়ার আগে কোনো ক্যাশড DNS নেই এমন একটি নতুন ডিভাইসে আপনার walled garden পরীক্ষা করুন। ত্রুটি দুই: শেয়ার্ড PSK। কিছু ভেন্যু এখনও একটি চক বোর্ডে লেখা একটি একক WiFi পাসওয়ার্ড ব্যবহার করে। এটি কোনো ক্যাপটিভ পোর্টাল নয় - এটি একটি শেয়ার্ড সিক্রেট যা যে কেউ ছবি তুলতে এবং শেয়ার করতে পারে। এটি আপনাকে কোনো আইডেন্টিটি ডেটা দেয় না, কোনো সম্মতির রেকর্ড দেয় না এবং ব্যক্তিগত অ্যাক্সেস বাতিল করার কোনো ক্ষমতা দেয় না। এটিকে একটি পরিচালিত ক্যাপটিভ পোর্টাল দিয়ে প্রতিস্থাপন করুন। ত্রুটি তিন: অপর্যাপ্ত DHCP পুল সাইজিং। আমি এটি কভার করেছি, তবে এটি পুনরাবৃত্তি করা মূল্যবান। আপনার DHCP পুলের আকার গড় সংযোগের জন্য নয়, পিক কনকারেন্ট সংযোগের জন্য নির্ধারণ করুন। চল্লিশ হাজার ভক্তের একটি স্টেডিয়ামে, আপনার একসাথে বিশ হাজার ডিভাইস সংযুক্ত হওয়ার চেষ্টা করতে পারে। সেই অনুযায়ী পরিকল্পনা করুন। ত্রুটি চার: কোনো সেশন টাইমআউট না থাকা। সেশন টাইমআউট ছাড়া, একটি ডিভাইস যা sechs মাস আগে সংযুক্ত হয়েছিল এবং আর কখনও ফিরে আসেনি সেটি এখনও আপনার কন্ট্রোলারে একটি অথরাইজড সেশন স্টেট ধরে রাখে। এটি একটি বাসি রেকর্ড যা রিসোর্স নষ্ট করে এবং অডিট নয়েজ তৈরি করে। সেশন টাইমআউট সেট করুন। নিষ্ক্রিয়তার ৩০ মিনিট একটি যুক্তিসঙ্গত ডিফল্ট। [medium pause] র‌্যাপিড-ফায়ার প্রশ্নোত্তর। প্রশ্ন: ক্যাপটিভ পোর্টাল কি সব ডিভাইসে কাজ করে? উত্তর: আধুনিক অপারেটিং সিস্টেম - iOS, Android, Windows, macOS - সবগুলোতে ক্যাপটিভ পোর্টাল সনাক্তকরণ বিল্ট-ইন থাকে। তারা রিডাইরেক্ট সনাক্ত করে এবং স্বয়ংক্রিয়ভাবে পোর্টালটি উপস্থাপন করে। পুরানো ডিভাইসগুলোর ক্ষেত্রে ব্যবহারকারীকে ম্যানুয়ালি একটি ব্রাউজার খুলতে হতে পারে। Purple-এর প্ল্যাটফর্ম উভয় ফ্লোই পরিচালনা করে। প্রশ্ন: আমরা কি 802.1X-এর পাশাপাশি ক্যাপটিভ পোর্টাল ব্যবহার করতে পারি? উত্তর: হ্যাঁ। অনেক এন্টারপ্রাইজ ডেপ্লয়মেন্ট স্টাফ ডিভাইসের জন্য 802.1X ব্যবহার করে - যেখানে সার্টিফিকেট বা ক্রেডেনশিয়াল স্বয়ংক্রিয়ভাবে অথেন্টিকেট করে - এবং একটি পৃথক SSID-এ গেস্ট ডিভাইসের জন্য একটি ক্যাপটিভ পোর্টাল ব্যবহার করে। Purple এমন RADIUS অবকাঠামোর সাথে সংহত হয় যা একই সাথে উভয় ফ্লো সমর্থন করে। প্রশ্ন: OpenRoaming সম্পর্কে কী বলা যায়? উত্তর: OpenRoaming হলো একটি স্ট্যান্ডার্ড যা ডিভাইসগুলোকে সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন ব্যবহার করে স্বয়ংক্রিয়ভাবে WiFi-এর সাথে সংযুক্ত হতে দেয়, যা ক্যাপটিভ পোর্টালকে সম্পূর্ণরূপে বাইপাস করে। Purple Connect লাইসেন্সের অধীনে OpenRoaming-এর জন্য একটি ফ্রি আইডেন্টিটি প্রোভাইডার হিসেবে কাজ করে। নির্বিঘ্ন গেস্ট কানেক্টিভিটির জন্য এটি ভবিষ্যতের দিকনির্দেশনা, তবে ক্যাপটিভ পোর্টালগুলো আজ ডেটা সংগ্রহ এবং সম্মতি ব্যবস্থাপনার জন্য স্ট্যান্ডার্ড হিসেবে রয়ে গেছে। [medium pause] সংক্ষেপে বলতে গেলে। একটি সুপরিকল্পিত ক্যাপটিভ পোর্টাল ডেপ্লয়মেন্ট পাঁচটি স্তম্ভের উপর নির্ভর করে। আপনার কর্পোরেট নেটওয়ার্ক রক্ষা করতে VLAN আইসোলেশন। স্প্ল্যাশ পেজ উপস্থাপন করতে DNS ইন্টারসেপশন এবং HTTPS রিডাইরেকশন। সম্মতি সংগ্রহের পরে ফায়ারওয়াল খুলতে RADIUS অথেন্টিকেশন। পোর্টালটি যাতে নির্ভরযোগ্যভাবে লোড হয় তা নিশ্চিত করতে একটি সঠিকভাবে কনফিগার করা walled garden। এবং আপনার গেস্ট এবং আপনার সংস্থা উভয়কে রক্ষা করতে GDPR-কমপ্লায়েন্ট ডেটা হ্যান্ডলিং। Purple-এর প্ল্যাটফর্ম ৮০,০০০ লাইভ ভেন্যু জুড়ে এই পাঁচটি লেয়ারই পরিচালনা করে, যেখানে ২০২৪ সালে ৪৪০ মিলিয়ন লগইন প্রসেস করা হয়েছে এবং ৯৯.৯৯৯% আপটাইম রয়েছে। এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর সাথে নেটিভভাবে সংহত হয় - তাই আপনি যে হার্ডওয়্যারই ব্যবহার করুন না কেন, আপনি রিপ এবং রিপ্লেস না করেই ডেপ্লয় করতে পারেন। আপনি যদি এই বিষয়গুলোর যেকোনো একটি সম্পর্কে আরও বিস্তারিত জানতে চান - SSID ডিজাইন, RADIUS কনফিগারেশন বা GDPR কমপ্লায়েন্স ওয়ার্কফ্লো - তবে সম্পূর্ণ টেকনিক্যাল গাইড লাইব্রেরির জন্য purple.ai ভিজিট করুন। can ধন্যবাদ।