Cisco iPSK: ব্যবসার জন্য একটি বিস্তৃত নির্দেশিকা

Purple-এর টেকনিক্যাল ব্রিফিং সিরিজে আপনাকে স্বাগত। আজ আমরা Cisco iPSK - Identity Pre-Shared Key - এবং কেন এটি প্রপার্টি ডেভেলপার, BTR অপারেটর, হোটেল এবং মাল্টি-সাইট রিটেইল ব্যবসার জন্য পছন্দের WiFi সিকিউরিটি মডেল হয়ে উঠেছে তা নিয়ে আলোচনা করব।\n\nশুরুতেই সমস্যাটি দেখে নেওয়া যাক। আপনি একটি ২০০-ইউনিটের Build-to-Rent ডেভেলপমেন্ট পরিচালনা করছেন। আপনি চান প্রতিটি আবাসিক প্রথম দিন থেকেই নিরাপদ, ব্যক্তিগত WiFi পান। আপনি প্রতিটি ফ্ল্যাটে একটি রাউটার বসাতে চান না। আপনি ২০০টি আলাদা নেটওয়ার্ক ম্যানেজ করতে চান না। এবং আপনি একেবারেই চান না যে এক আবাসিক অন্য আবাসিকের স্মার্ট টিভি নেটওয়ার্কে দেখতে পান।\n\nস্ট্যান্ডার্ড WPA2-PSK - অর্থাৎ শেয়ার্ড পাসওয়ার্ড মডেল - এখানে অবিলম্বে ব্যর্থ হয়। পুরো বিল্ডিংয়ের জন্য একটি পাসওয়ার্ড থাকার মানে হলো একটি নিরাপত্তা লঙ্ঘন সবার ওপর প্রভাব ফেলে। এবং আপনি বাকি ১৯৯ জনের পাসওয়ার্ড পরিবর্তন না করে কোনো একক আবাসিকের অ্যাক্সেস বাতিল করতে পারবেন না।\n\n802.1X সহ WPA3-Enterprise হলো অন্য চরমপন্থা। অত্যন্ত নিরাপদ। কিন্তু এর জন্য প্রতিটি ডিভাইসের জন্য সার্টিফিকেট বা ইউজারনেম-পাসওয়ার্ড ক্রেডেনশিয়ালের প্রয়োজন হয়। আপনার বাসিন্দাদের স্মার্ট থার্মোস্ট্যাট, গেমিং কনসোল এবং Amazon Alexa ডিভাইসগুলো কোনোভাবেই একটি 802.1X নেটওয়ার্কে কানেক্ট হতে পারে না। সেগুলোতে কোনো সাপ্লিক্যান্ট থাকে না। আপনাকে প্রতিদিন সাপোর্ট কলের মুখোমুখি হতে হবে।\n\nCisco iPSK ঠিক এর মাঝামাঝি জায়গায় অবস্থান করে। প্রতিটি আবাসিক তাদের নিজস্ব ইউনিক প্রি-শেয়ার্ড কি পান। বাসিন্দার কাছে এটি দেখতে এবং ব্যবহারে ঠিক একটি সাধারণ হোম WiFi পাসওয়ার্ডের মতোই মনে হয়। তারা এটি একবার টাইপ করেন, এবং তাদের প্রতিটি ডিভাইস কানেক্ট হয়ে যায়। তবে এর ব্যাকএন্ডে, Cisco Wireless LAN Controller ক্লায়েন্টের MAC অ্যাড্রেস সহ Cisco ISE - যা হলো Identity Services Engine - এ একটি RADIUS রিকোয়েস্ট পাঠায়। ISE সেই MAC অ্যাড্রেসটি খুঁজে বের করে, ম্যাচিং অথরাইজেশন প্রোফাইল সনাক্ত করে এবং একটি Cisco AV-pair অ্যাট্রিবিউটের মাধ্যমে সঠিক PSK রিটার্ন করে। কন্ট্রোলার তখন সেই নির্দিষ্ট কি ব্যবহার করে কানেকশনটি যাচাই করে।\n\nএর ফলাফল: পুরো বিল্ডিংয়ের জন্য একটি মাত্র SSID, কিন্তু প্রতিটি আবাসিক তাদের নিজস্ব ব্যক্তিগত নেটওয়ার্ক সেগমেন্টে আইসোলেটেড থাকেন। RADIUS-এর মাধ্যমে VLAN ওভাররাইডের মানে হলো আবাসিক A ল্যান্ড করবেন VLAN 101-এ, আবাসিক B ল্যান্ড করবেন VLAN 102-এ এবং আপনার বিল্ডিংয়ের IoT ডিভাইসগুলো - যেমন দরজার সেন্সর, CCTV, স্মার্ট মিটার - সম্পূর্ণ আলাদা একটি VLAN-এ থাকবে, যার ফলে কোনো ক্রস-কনট্যামিনেশন হবে না।\n\nএখন আমি আপনাকে আর্কিটেকচারটি আরও বিস্তারিতভাবে বুঝিয়ে বলব, কারণ এখানেই এর আসল শক্তি লুকিয়ে রয়েছে।\n\nঅথেন্টিকেশন ফ্লোতে চারটি ধাপ রয়েছে। প্রথমত, ক্লায়েন্ট ডিভাইস অ্যাক্সেস পয়েন্টে একটি অ্যাসোসিয়েশন রিকোয়েস্ট পাঠায়। দ্বিতীয়ত, Cisco Wireless LAN Controller - তা সেটি Catalyst 9800 হোক বা Cisco Meraki ড্যাশবোর্ড-ম্যানেজড নেটওয়ার্ক হোক - ISE-তে একটি RADIUS Access-Request পাঠায়, যেখানে ক্লায়েন্টের MAC অ্যাড্রেসটি ইউজারনেম এবং পাসওয়ার্ড হিসেবে থাকে। তৃতীয়ত, ISE তার অথরাইজেশন পলিসি মূল্যায়ন করে। এটি MAC অ্যাড্রেসের সাথে একটি এন্ডপয়েন্ট আইডেন্টিটি গ্রুপ ম্যাচ করায়, অ্যাসাইন করা PSK উদ্ধার করে এবং দুটি Cisco AV-pair অ্যাট্রিবিউট সহ একটি Access-Accept রেসপন্স রিটার্ন করে: psk-mode equals ascii এবং psk equals আসল পাসফ্রেজ। চতুর্থত, কন্ট্রোলার ক্লায়েন্টের সাথে WPA2 ফোর-ওয়ে EAPOL হ্যান্ডশেক সম্পন্ন করতে সেই রিটার্ন করা পাসফ্রেজটি ব্যবহার করে।\n\nক্লায়েন্টের দৃষ্টিকোণ থেকে, এটিকে আলাদা করা অসম্ভবএকটি স্ট্যান্ডার্ড WPA2-PSK কানেকশন। এর জটিলতা সম্পূর্ণভাবে সার্ভার-সাইড। এটাই হলো iPSK এর সৌন্দর্য।\n\nCatalyst 9800-এ কনফিগারেশনের জন্য চারটি জিনিসের প্রয়োজন হয়। আপনি WLAN-এ MAC ফিল্টারিং চালু করবেন। আপনি আপনার ISE সার্ভার গ্রুপ নির্দেশকারী একটি AAA অথরাইজেশন মেথড লিস্ট কনফিগার করবেন। আপনি পলিসি প্রোফাইলে AAA ওভাররাইড চালু করবেন। এবং আপনি WLAN-এ একটি ডিফল্ট PSK সেট করবেন - এটি শুধুমাত্র একটি প্লেসহোল্ডার ভ্যালু; কোনো ডিভাইস আসলে এটি ব্যবহার করে না, কারণ ISE সর্বদা এটিকে একক কী (key) দিয়ে ওভাররাইড করে।\n\nCisco Meraki-এর ক্ষেত্রে পথটি কিছুটা ভিন্ন। আপনি অ্যাক্সেস কন্ট্রোল সেটিংস থেকে RADIUS সহ Identity PSK নির্বাচন করবেন। Meraki দুটি মোড সাপোর্ট করে: MAC-ভিত্তিক, যেখানে ISE MAC-টু-PSK ম্যাপিং সংরক্ষণ করে, এবং Easy PSK, যা MR 30.x ফার্মওয়্যারে প্রবর্তন করা হয়েছে, যা প্রতিটি MAC অ্যাড্রেস আগে থেকে রেজিস্টার না করেই সরাসরি PSK পাস করতে ভেন্ডর-স্পেসিফিক EAPOL অ্যাট্রিবিউট ব্যবহার করে। Easy PSK বিশেষভাবে কার্যকর যখন আপনি iOS 14 এবং Android 10 ডিভাইসে MAC র্যান্ডমাইজেশনের মুখোমুখি হন - যা MAC-ভিত্তিক মডেলের ক্ষেত্রে একটি বড় অপারেশনাল মাথাব্যথা।\n\nবিষয়টি আরও স্পষ্ট করার জন্য আমি আপনাকে দুটি বাস্তব পরিস্থিতি (scenarios) বলি।\n\nপরিস্থিতি এক: একটি ৩৫০-ইউনিটের বিল্ড-টু-রেন্ট (Build-to-Rent) ডেভেলপমেন্ট। অপারেটর চান যেন বাসিন্দারা তাদের ঘরে ওঠার আগেই তাদের WiFi ক্রেডেনশিয়াল পেয়ে যান। Purple-এর মাল্টি-টেন্যান্ট WiFi প্ল্যাটফর্ম প্রোপার্টি ম্যানেজমেন্ট সিস্টেমের সাথে ইন্টিগ্রেট করে। যখন একটি লিজ সাইন করা হয়, তখন PMS Purple-এ একটি API কল ট্রিগার করে, যা একটি অনন্য iPSK তৈরি করে এবং ISE-তে এটি প্রোভিশন করে। বাসিন্দা ইমেইলের মাধ্যমে তাদের কী পেয়ে যান। তারা প্রথম দিনেই এসে তাদের সমস্ত ডিভাইস কানেক্ট করেন এবং নেটওয়ার্ক চালু হয়ে যায়। যখন তারা চলে যান, কী-টি স্বয়ংক্রিয়ভাবে বাতিল হয়ে যায়। ফ্যাসিলিটিজ টিমের পক্ষ থেকে কোনো ম্যানুয়াল হস্তক্ষেপের প্রয়োজন হয় না। অপারেটর তাদের আগের শেয়ার্ড-পাসওয়ার্ড মডেলের তুলনায় WiFi সংক্রান্ত সাপোর্ট কল ৬০ শতাংশের বেশি কমিয়ে এনেছেন।\n\nপরিস্থিতি দুই: একটি ১৮০-রুমের হোটেল প্রোপার্টি। হোটেলটি সেই Captive Portal লগইনটি বাদ দিতে চেয়েছিল যা নিয়ে অতিথিরা বারবার অভিযোগ করতেন। iPSK-এর মাধ্যমে, প্রতিটি রুম একটি অনন্য কী পায় যা কী-কার্ডে প্রিন্ট করা থাকে অথবা বুকিং কনফার্মেশন ইমেইলের মাধ্যমে পাঠানো হয়। অতিথিরা একবার কানেক্ট করেন। একই ট্রিপের মধ্যে পরবর্তী ভিজিটগুলোতে তাদের ফোন, ট্যাবলেট এবং ল্যাপটপ সবই স্বয়ংক্রিয়ভাবে কানেক্ট হয়ে যায়। রুমের IoT ডিভাইসগুলো - যেমন স্মার্ট টিভি, Chromecast, ইন-রুম ট্যাবলেট - একটি আলাদা VLAN-এ থাকে, যা অতিথিদের ট্রাফিক থেকে সম্পূর্ণ বিচ্ছিন্ন। হোটেলের PMS ইন্টিগ্রেশনের অর্থ হলো চেক-ইনের সময় কী তৈরি হয় এবং চেক-আউটের সময় ফ্রন্ট ডেস্কে কোনো ম্যানুয়াল পদক্ষেপ ছাড়াই তা বাতিল হয়ে যায়।\n\nএখন সীমাবদ্ধতা নিয়ে কিছু কথা - কারণ কোনো প্রযুক্তিই সীমাবদ্ধতাহীন নয়।\n\nবর্তমানে Cisco iPSK-এর সবচেয়ে বড় সীমাবদ্ধতা হলো WPA3 এবং 6 GHz ব্যান্ড। WPA3-এ Simultaneous Authentication of Equals - SAE - ব্যবহার করা হয়, যা WPA2-PSK-এর চেয়ে বেশি নিরাপদ হ্যান্ডশেক। SAE বর্তমানে প্রতি SSID-তে একাধিক প্রি-শেয়ার্ড কী সাপোর্ট করে না যেভাবে WPA2 করত। এটি কেবল Cisco-নির্দিষ্ট কোনো সীমাবদ্ধতা নয়। এটি HPE Aruba-এর MPSK, Ruckus DPSK, Juniper Mist PPSK - সব ভেন্ডরকেই এই একই সীমাবদ্ধতার মুখোমুখি হতে হয় কারণ এটি সরাসরি IEEE 802.11 স্ট্যান্ডার্ডের সাথে জড়িত।\n\nএর ব্যবহারিক প্রভাব: আপনি যদি WiFi 6E বা WiFi 7 অ্যাক্সেসs points and want to use the 6 GHz band, you cannot run iPSK there. 6 GHz ব্যান্ডে WPA3 বাধ্যতামূলক। আপনার বিকল্পগুলো হলো পরিচালিত ডিভাইসগুলোর জন্য 6 GHz-এ WPA3-Enterprise ব্যবহার করার পাশাপাশি 2.4 এবং 5 GHz ব্যান্ডে iPSK চালানো, অথবা স্ট্যান্ডার্ডটি আরও উন্নত হওয়া পর্যন্ত অপেক্ষা করা। দ্বিতীয় অপারেশনাল চ্যালেঞ্জটি হলো MAC address randomisation। Apple iOS 14 এবং Android 10 গোপনীয়তার ফিচার হিসেবে প্রতি-নেটওয়ার্ক র‍্যান্ডমাইজড MAC অ্যাড্রেস প্রবর্তন করেছে। একটি MAC-ভিত্তিক iPSK ডেপ্লয়মেন্টে, কন্ট্রোলার ISE-তে র‍্যান্ডমাইজড MAC পাঠায়। ISE এটি চিনতে পারে না। অথেন্টিকেশন ব্যর্থ হয়। Cisco Meraki-এর Easy PSK মোড মূলত MAC লুকআপের পরিবর্তে EAPOL প্যারামিটারের মাধ্যমে অথেন্টিকেট করে এই সমস্যার সমাধান করে। শেষ করার আগে আমি আপনাকে পাঁচটি কার্যকর নিয়ম বা রুল অফ থাম্ব দিচ্ছি। নিয়ম এক: যদি আপনার একটি একক SSID-এ ৫০টির বেশি ডিভাইস বা ব্যবহারকারী থাকে এবং আপনার প্রতি-ডিভাইস অ্যাক্সেস কন্ট্রোলের প্রয়োজন হয়, তবে iPSK প্রায় নিশ্চিতভাবেই সঠিক মডেল। স্ট্যান্ডার্ড PSK স্কেল করা যায় না, এবং 802.1X আপনার IoT ডিভাইসগুলোকে অচল করে দেবে। নিয়ম দুই: iPSK কনফিগার করার আগে সর্বদা আপনার VLAN আর্কিটেকচার পরিকল্পনা করুন। iPSK-এর ক্ষমতা হলো RADIUS-এর মাধ্যমে VLAN ওভাররাইড করা। আপনি যদি আপনার VLAN-গুলো - আবাসিক, IoT, স্টাফ, ম্যানেজমেন্ট - ডিজাইন না করে থাকেন, তবে পরবর্তীতে বড় খরচে এটি নতুন করে করতে হবে। নিয়ম তিন: আপনি যদি Cisco Meraki ব্যবহার করেন এবং আপনার iOS বা Android ক্লায়েন্ট থাকে, তবে MAC-ভিত্তিক মোড নয়, Easy PSK মোড ব্যবহার করুন। MAC randomisation বড় স্কেলে অথেন্টিকেশন ব্যর্থতার কারণ হবে। নিয়ম চার: লাইফসাইকেল ম্যানেজমেন্ট লেয়ার ছাড়া iPSK ডেপ্লয় করবেন না। ISE-তে ম্যানুয়ালি হাজার হাজার কী (key) ম্যানেজ করা সম্ভব নয়। আপনার আইডেন্টিটি প্রোভাইডার - Microsoft Entra ID, Okta, বা Google Workspace - এর সাথে ইন্টিগ্রেট করুন অথবা Purple-এর মতো একটি প্ল্যাটফর্ম ব্যবহার করুন যা আপনার প্রোপার্টি ম্যানেজমেন্ট বা HR সিস্টেমের মাধ্যমে প্রোভিশনিং এবং রিভোকেশন স্বয়ংক্রিয় করে। নিয়ম পাঁচ: আজ আপনি 6 GHz ডেপ্লয় না করলেও, এখনই আপনার WPA3 মাইগ্রেশন পরিকল্পনা করুন। আপনার নেটওয়ার্ক এমনভাবে ডিজাইন করুন যাতে WPA2-এ iPSK লেগাসি এবং IoT ডিভাইসগুলো পরিচালনা করে, এবং WPA3-Enterprise পরিচালিত কর্পোরেট এন্ডপয়েন্টগুলো হ্যান্ডেল করে। আজ একটি হাইব্রিড SSID ডিজাইন ১৮ মাস পরে একটি কঠিন রিআর্কিটেকচার এড়াতে সাহায্য করে। এখন দ্রুত কিছু প্রশ্নোত্তর। Cisco ISE ছাড়া কি iPSK কাজ করতে পারে? হ্যাঁ। FreeRADIUS এবং Microsoft NPS উভয়ই Tunnel-Password অ্যাট্রিবিউট সাপোর্ট করে যা iPSK-এর জন্য প্রয়োজন। ISE সবচেয়ে বেশি ফিচার সমৃদ্ধ বিকল্প, তবে এটি বাধ্যতামূলক নয়। একটি একক SSID কতটি ইউনিক কী (key) সাপোর্ট করতে পারে? ISE সহ Catalyst 9800-এ, সীমাটি কার্যত আপনার RADIUS ডাটাবেজের ধারণক্ষমতা - দশ হাজারেরও বেশি এন্ট্রি। RADIUS ছাড়া Cisco Meraki-তে সীমা হলো ৫০টি কী। RADIUS সহ এটি ISE-এর মতো একই স্তরে স্কেল করে। iPSK কি ফাস্ট রোমিং সাপোর্ট করে? হ্যাঁ। Catalyst 9800 iPSK-এর সাথে ফাস্ট সিকিউর রোমিং সাপোর্ট করে, এবং কী ক্যাশিং-এর অর্থ হলো প্রতিটি রোম ইভেন্টে কন্ট্রোলারকে RADIUS-এ কোয়েরি করতে হবে না। iPSK কি PCI-DSS কমপ্লায়েন্ট? iPSK নিজে PCI-DSS কমপ্লায়েন্সের গ্যারান্টি দেয় না, তবে এটি PCI-DSS 4.0-এর নেটওয়ার্ক সেগমেন্টেশন প্রয়োজনীয়তাগুলোকে সাপোর্ট করে। কার্ডহোল্ডার ডেটা এনভায়রনমেন্ট অবশ্যই গেস্ট এবং IoT নেটওয়ার্ক থেকে আলাদা রাখতে হবে - iPSK-এর VLAN ওভাররাইড ক্ষমতাই হলো সেই প্রক্রিয়া যা এই সেগমেন্টেশন অর্জন করে।শন। সংক্ষেপে বলতে গেলে, Cisco iPSK আপনাকে একটি একক SSID-এ প্রতি-ডিভাইস আইডেন্টিটি প্রদান করে, কোনো 802.1X সার্টিফিকেটের জটিলতা ছাড়াই এবং একটি শেয়ার করা পাসওয়ার্ডের নিরাপত্তা ব্যর্থতা ছাড়াই। এটি Build-to-Rent, হোটেল, রিটেইল এবং যেকোনো মাল্টি-টেন্যান্ট পরিবেশের জন্য সঠিক মডেল যেখানে আপনার ট্রাফিক আলাদা করা, অ্যাক্সেস লাইফসাইকেল অটোমেট করা এবং একটি গেমিং কনসোল থেকে শুরু করে একটি ইন্ডাস্ট্রিয়াল IoT সেন্সর পর্যন্ত প্রতিটি ধরণের ডিভাইস সাপোর্ট করা প্রয়োজন। মূল সিদ্ধান্তগুলো হলো: Catalyst 9800 নাকি Meraki, ISE নাকি বিকল্প RADIUS, MAC-ভিত্তিক নাকি Easy PSK, এবং লাইফসাইকেল অটোমেশনের জন্য আপনি কীভাবে আপনার আইডেন্টিটি প্রোভাইডারের সাথে ইন্টিগ্রেট করবেন। Purple-এর মাল্টি-টেন্যান্ট WiFi প্ল্যাটফর্ম সেই শেষ অংশটি পরিচালনা করে - যা আপনার প্রোপার্টি ম্যানেজমেন্ট সিস্টেম বা আইডেন্টিটি প্রোভাইডারকে আপনার Cisco ইনফ্রাস্ট্রাকচারের সাথে সংযুক্ত করে, ৮০,০০০-এরও বেশি লাইভ ভেন্যু জুড়ে স্কেলে কী (key) প্রোভিশনিং এবং রিভোকেশন অটোমেট করে। আপনি যদি এগুলোর যেকোনো বিষয়ে আরও বিস্তারিত জানতে চান - আর্কিটেকচার রিভিউ, ISE কনফিগারেশন, বা একটি পাইলট ডেপ্লয়মেন্ট - তবে আমাদের টিমের সাথে কথা বলার লিঙ্কটি গাইডে দেওয়া আছে। শোনার জন্য ধন্যবাদ।