Cloud RADIUS বনাম on-premise RADIUS: IT টিমের জন্য সিদ্ধান্ত নেওয়ার গাইড

পার্ট ১ — পরিচিতি এবং প্রসঙ্গ Purple-এর টেকনিক্যাল ব্রিফিং-এ আপনাকে স্বাগত জানাই। আমি আপনার হোস্ট, এবং আজ আমরা মাল্টি-সাইট ভেন্যুগুলোর জন্য একটি অত্যন্ত গুরুত্বপূর্ণ পরিকাঠামো সংক্রান্ত সিদ্ধান্ত নিয়ে আলোচনা করছি: Cloud RADIUS বনাম On-Premises RADIUS। আপনি যদি কোনো হোটেল গ্রুপ, রিটেল চেইন, বা কোনো বড় পাবলিক ভেন্যুর অথেনটিকেশন ম্যানেজ করার দায়িত্বে থাকা একজন IT ডিরেক্টর বা নেটওয়ার্ক আর্কিটেক্ট হন, তবে এই ব্রিফিংটি আপনাকে সঠিক সিদ্ধান্ত নেওয়ার জন্য প্রয়োজনীয় কার্যকরী গাইডলাইন প্রদান করবে। আসুন প্রসঙ্গটি বুঝে নেওয়া যাক। RADIUS - Remote Authentication Dial-In User Service - হলো আপনার নেটওয়ার্কের গেটকিপার। প্রতিবার যখন কোনো অতিথি আপনার WiFi-এ লগ ইন করেন, অথবা কোনো কর্মচারী 802.1X-এর মাধ্যমে কর্পোরেট SSID-তে কানেক্ট করেন, তখন RADIUS-ই হলো সেই ইঞ্জিন যা আপনার ডিরেক্টরির সাথে তাদের ক্রেডেনশিয়াল পরীক্ষা করে এবং অ্যাক্সেসের অনুমতি দেয়। ঐতিহ্যগতভাবে, এর মানে ছিল আপনার ডেটা সেন্টারে ফিজিক্যাল সার্ভার সাজানো, FreeRADIUS বা একটি প্রোপ্রাইটারি নেটওয়ার্ক পলিসি সার্ভার ইনস্টল করা এবং সম্পূর্ণ স্ট্যাকটি নিজেই পরিচালনা করা। বর্তমানে, Cloud RADIUS পরিষেবাগুলো একটি ম্যানেজড এবং বিশ্বজুড়ে ডিস্ট্রিবিউটেড বিকল্প অফার করে। কিন্তু আপনার নির্দিষ্ট ডিপ্লয়মেন্টের জন্য কোনটি সঠিক? আসুন এর টেকনিক্যাল সুবিধা এবং অসুবিধাগুলো বিস্তারিতভাবে জেনে নেওয়া যাক। পার্ট ২ — টেকনিক্যাল বিশ্লেষণ প্রথমে আর্কিটেকচার এবং লেটেন্সি নিয়ে আলোচনা করা যাক। একটি অন-প্রেমিসেস ডিপ্লয়মেন্টে, আপনার অ্যাক্সেস পয়েন্টগুলো সরাসরি একটি স্থানীয় RADIUS সার্ভারের সাথে যোগাযোগ করে। একটি একক বড় স্টেডিয়াম বা কোনো হাসপাতালের জন্য এটি অত্যন্ত কম লেটেন্সি প্রদান করে। অথেনটিকেশন রিকোয়েস্টগুলো স্থানীয় LAN-এর মাধ্যমে আদান-প্রদান হয় - যা মিলি-সেকেন্ডেরও কম সময়ের মধ্যে সম্পন্ন হয়। তবে, আপনি যদি একটি মাল্টি-সাইট রিটেল চেইন হন, তবে সমস্ত অথেনটিকেশন ট্রাফিক একটি কেন্দ্রীয় অন-প্রেমিসেস সার্ভারে ফেরত পাঠানো WAN লেটেন্সি বাড়িয়ে দেয় এবং এটি একটি সিঙ্গেল পয়েন্ট অফ ফেইলিউর তৈরি করে। যদি সেই WAN লিঙ্কটি বিচ্ছিন্ন হয়ে যায়, তবে আপনার রিমোট সাইটগুলো ব্যবহারকারীদের মোটেও অথেনটিকেট করতে পারবে না। Cloud RADIUS এই মডেলটিকে সম্পূর্ণ বদলে দেয়। RADIUS পরিকাঠামোটি বিশ্বজুড়ে একাধিক অ্যাভেইলেবিলিটি জোনে হোস্ট করা থাকে। যখন কোনো ব্যবহারকারী কোনো ব্রাঞ্চ লোকেশন থেকে কানেক্ট হন, তখন রিকোয়েস্টটি নিকটতম ক্লাউড এজ নোডে পাঠানো হয়। এটি একটি কেন্দ্রীয় অন-প্রেমিসেস সার্ভারে ব্যাকহল করার তুলনায় ডিস্ট্রিবিউটেড ডিপ্লয়মেন্টের জন্য লেটেন্সি উল্লেখযোগ্যভাবে কমিয়ে দেয়। তদুপরি, ক্লাউড প্রদানকারীরা ডিফল্টভাবেই হাই অ্যাভেইলেবিলিটি নিশ্চিত করে। যদি একটি নোড ব্যর্থ হয়, তবে ট্রাফিক স্বয়ংক্রিয়ভাবে পরবর্তী নিকটতম নোডে চলে যায়। অন-প্রেমিসেস সিস্টেমে এই স্তরের রিডান্ডেন্সি অর্জন করতে হলে, আপনাকে ভৌগোলিকভাবে ছড়িয়ে থাকা একাধিক ডেটা সেন্টার জুড়ে অ্যাক্টিভ-অ্যাক্টিভ ক্লাস্টার ডিপ্লয় করতে হবে - যার জন্য প্রচুর ইঞ্জিনিয়ারিং প্রচেষ্টা এবং ক্যাপিটাল এক্সপেন্ডিচার প্রয়োজন।এখন, রক্ষণাবেক্ষণের ওভারহেড এবং স্কেলাবিলিটি বা পরিমাপযোগ্যতার বিষয়টি দেখে নেওয়া যাক। অন-প্রিমিসেস RADIUS-এর জন্য আপনার টিমকে অপারেটিং সিস্টেম পরিচালনা করা, সিকিউরিটি প্যাচ প্রয়োগ করা, SSL সার্টিফিকেট পরিচালনা করা এবং চব্বিশ ঘণ্টা সার্ভারের স্বাস্থ্য পর্যবেক্ষণ করতে হয়। যখন কোনো বড় ইভেন্টের জন্য আপনার স্কেল আপ বা পরিমাপ বাড়ানোর প্রয়োজন হয় - ধরা যাক, ৭০,০০০ মানুষের কনসার্ট হোস্ট করা একটি স্টেডিয়াম - তখন আপনাকে আগে থেকেই নতুন হার্ডওয়্যার বা ভার্চুয়াল মেশিন প্রস্তুত রাখতে হবে। এতে কোনো ইলাস্টিক স্কেলিং নেই। ক্লাউড RADIUS একটি পরিষেবা হিসেবে প্রদান করা হয়। পরিষেবা প্রদানকারী অটোমেটিকভাবে অন্তর্নিহিত অবকাঠামো, প্যাচিং এবং স্কেলিং পরিচালনা করে। আপনি কেবল একটি ওয়েব ড্যাশবোর্ড বা API-এর মাধ্যমে পলিসি এবং ইন্টিগ্রেশনগুলো পরিচালনা করেন। এটি আপনার সিনিয়র ইঞ্জিনিয়ারদের নিয়মিত রক্ষণাবেক্ষণের কাজ থেকে মুক্ত করে, যার ফলে তারা লাইট জ্বালিয়ে রাখার মতো সাধারণ কাজের পরিবর্তে কৌশলগত উদ্যোগে মনোযোগ দিতে পারেন। এবার Identity Providers-এর সাথে ইন্টিগ্রেশনের বিষয়টি আলোচনা করা যাক। আপনার ইউজার ডিরেক্টরি যদি ইতিমধ্যেই ক্লাউডে থাকে - যেমন Azure Active Directory, Google Workspace, বা Okta ব্যবহার করে - তবে একটি ক্লাউড RADIUS সমাধানই সবচেয়ে উপযুক্ত। এটি API বা নিরাপদ কানেক্টরের মাধ্যমে নির্বিঘ্নে সংহত হয়। বিপরীতভাবে, যদি আপনার একটি লিগ্যাসি অন-প্রিমিসেস Active Directory থাকে যা নিরাপত্তা বা কমপ্লায়েন্সের কারণে ইন্টারনেটে এক্সপোজ করা যায় না, তবে একটি অন-প্রিমিসেস RADIUS সার্ভারই আপনার একমাত্র কার্যকর বিকল্প হতে পারে। এটি ফায়ারওয়াল অতিক্রম না করেই সরাসরি লোকাল AD-কে কুয়েরি করতে পারে, যা বিশেষ করে স্বাস্থ্যসেবা পরিবেশ বা সরকারি প্রতিষ্ঠানগুলোতে প্রাসঙ্গিক যেখানে ডেটা সার্বভৌমত্ব একটি কঠোর প্রয়োজনীয়তা। এখন কমপ্লায়েন্স সম্পর্কে কথা বলা যাক। PCI DSS-এর জন্য কার্ডধারীদের ডেটা পরিবেশে শক্তিশালী প্রমাণীকরণ বা স্ট্রং অথেন্টিকেশন ব্যবহার করা আবশ্যক। GDPR-এর জন্য প্রমাণীকরণ লগসহ ব্যক্তিগত ডেটা যথাযথভাবে পরিচালনা করা প্রয়োজন। ক্লাউড RADIUS প্রদানকারীরা সাধারণত SOC 2 Type II সার্টিফিকেশন, GDPR ডেটা প্রসেসিং চুক্তি এবং আঞ্চলিক ডেটা রেসিডেন্সির বিকল্প অফার করে। অন-প্রিমিসেস আপনাকে আপনার ডেটা কোথায় থাকবে তার ওপর সম্পূর্ণ নিয়ন্ত্রণ দেয়, যা অত্যন্ত নিয়ন্ত্রিত ক্ষেত্রগুলোতে সুবিধাজনক হতে পারে। তবে, এর অর্থ এই যে কমপ্লায়েন্সের সম্পূর্ণ বোঝা আপনার টিমের ওপর বর্তায়। আমাকে প্রতিটি পদ্ধতির প্রযুক্তিগত আর্কিটেকচার আরও গভীরভাবে বিশ্লেষণ করতে দিন, কারণ এর কার্যপ্রণালী বোঝা আপনাকে আরও সচেতন সিদ্ধান্ত নিতে সাহায্য করবে। একটি ঐতিহ্যবাহী অন-প্রিমিসেস RADIUS স্থাপনায়, আপনার সাধারণত এক বা একাধিক সার্ভার থাকে যা Microsoft-এর Network Policy Server - যা সাধারণত NPS নামে পরিচিত - অথবা ওপেন সোর্স FreeRADIUS প্ল্যাটফর্ম চালনা করে। এই সার্ভারগুলো আপনার নেটওয়ার্কের সীমানার ভেতরে থাকে এবং UDP-এর মাধ্যমে আপনার অ্যাক্সেস পয়েন্টগুলোর সাথে যোগাযোগ করে, যা সাধারণত অথেন্টিকেশনের জন্য পোর্ট ১৮১২ এবং অ্যাকাউন্টিংয়ের জন্য পোর্ট ১৮১৩ ব্যবহার করে। অ্যাক্সেস পয়েন্ট এবং RADIUS সার্ভারের মধ্যকার শেয়ার্ড সিক্রেট একটি অত্যন্ত গুরুত্বপূর্ণ নিরাপত্তা উপাদান - এটি দীর্ঘ, র্যান্ডম এবং পর্যায়ক্রমে পরিবর্তনশীল হতে হবে।FreeRADIUS হল বিশ্বের সবচেয়ে বহুল ব্যবহৃত RADIUS সার্ভার, যা বিশ্বব্যাপী কোটি কোটি ব্যবহারকারীর প্রমাণীকরণ বা authentication পরিচালনা করে। এটি অত্যন্ত কনফিগারযোগ্য, বিভিন্ন ধরনের EAP মেথড সমর্থন করে এবং কার্যত যেকোনো ব্যাকএন্ড ডিরেক্টরির সাথে সংহত হতে পারে। তবে, এই নমনীয়তার একটি মূল্য আছে: এর জন্য দক্ষ প্রশাসনের প্রয়োজন। ভুল কনফিগারেশন হল প্রমাণীকরণ ব্যর্থতার একটি সাধারণ উৎস এবং FreeRADIUS লগ ডিবাগ করার জন্য অভিজ্ঞতার প্রয়োজন। Cloud RADIUS প্ল্যাটফর্মগুলি এই সমস্ত জটিলতাকে সহজ করে তোলে। ব্যাকএন্ডে, তারা একাধিক ক্লাউড অঞ্চল জুড়ে বিতরণ করা RADIUS অবকাঠামো পরিচালনা করে, কিন্তু আপনি একটি পরিষ্কার ওয়েব ইন্টারফেস বা API-এর মাধ্যমে সেগুলির সাথে ইন্টারঅ্যাক্ট করেন। আপনি আপনার প্রমাণীকরণ নীতিগুলি নির্ধারণ করেন — কোন SSID-গুলি কোন ব্যবহারকারী গ্রুপগুলির সাথে ম্যাপ করা হবে, কোন EAP মেথডগুলি অনুমোদিত, কীভাবে অজানা ডিভাইসগুলি পরিচালনা করা হবে — এবং প্ল্যাটফর্মটি বাকিটা পরিচালনা করে। একটি ক্ষেত্র যেখানে অন-প্রিমিসেস RADIUS এখনও একটি স্পষ্ট সুবিধা ধরে রেখেছে তা হল খুব উচ্চ প্রমাণীকরণ থ্রুপুট প্রয়োজনীয়তা এবং কঠোর লেটেন্সি বাজেটের পরিবেশ। একটি বড় পরিবহন হাবের কথা চিন্তা করুন - একটি বিমানবন্দর বা রেলওয়ে স্টেশন - যেখানে হাজার হাজার ডিভাইস যাত্রী আসার সাথে সাথে একযোগে প্রমাণীকরণের চেষ্টা করছে। এই পরিস্থিতিতে, একটি স্থানীয় RADIUS ক্লাস্টার এক মিলিসেকেন্ডেরও কম সময়ের মধ্যে প্রমাণীকরণ অনুরোধগুলি প্রক্রিয়া করতে পারে, যেখানে একটি ক্লাউড RADIUS অনুরোধ অবশ্যই ইন্টারনেট এবং ব্যাক ট্রাভার্স করবে, যা প্রদানকারীর নিকটতম এজ নোডের উপর নির্ভর করে ৫ থেকে ৫০ মিলিসেকেন্ড পর্যন্ত যোগ করে। পার্ট ৩ - বাস্তবায়ন সুপারিশ এবং সম্ভাব্য ভুলত্রুটি এটিকে আরও স্পষ্ট করার জন্য আমি আপনাকে দুটি বাস্তব-বিশ্বের পরিস্থিতির মধ্য দিয়ে নিয়ে যাই। পরিস্থিতি এক: ছয়টি দেশ জুড়ে ৪৫টি প্রোপার্টি সহ একটি ইউরোপীয় হোটেল গ্রুপ। আইটি টিমটি কেন্দ্রীভূত, যেখানে মাত্র তিনজন নেটওয়ার্ক প্রকৌশলী সম্পূর্ণ এস্টেট পরিচালনা করছেন। তারা প্রতিটি প্রোপার্টিতে ভার্চুয়াল মেশিনে FreeRADIUS চালাচ্ছিলেন - প্যাচ, মনিটর এবং রক্ষণাবেক্ষণ করার জন্য ৪৫টি পৃথক ইনস্ট্যান্স। যখন একটি প্রোপার্টিতে সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়, তখন এটি একটি বড় কনফারেন্সের সময় সম্পূর্ণ গেস্ট WiFi বিভ্রাটের সৃষ্টি করে। তারা একটি Cloud RADIUS পরিষেবাতে স্থানান্তরিত হয়েছে, নীতি পরিচালনাকে কেন্দ্রীভূত করেছে এবং প্রতি-সাইট রক্ষণাবেক্ষণ দূর করেছে। তিন-প্রকৌশলীর দলটি পূর্বে RADIUS রক্ষণাবেক্ষণে ব্যয় করা তাদের সময়ের প্রায় ৪০ শতাংশ পুনরুদ্ধার করেছে। পরিস্থিতি দুই: ৬৮,০০০ আসন বিশিষ্ট একটি জাতীয় ক্রীড়া স্টেডিয়াম। আইটি টিমের ডেটা সার্বভৌমত্বের চারপাশে কঠোর প্রয়োজনীয়তা রয়েছে - সমস্ত প্রমাণীকরণ লগ অবশ্যই যুক্তরাজ্যের মাটিতে থাকতে হবে। তারা অ্যাক্টিভ-অ্যাক্টিভ কনফিগারেশনে একটি ডুয়াল অন-প্রিমিসেস RADIUS ক্লাস্টার স্থাপন করেছে, যার সাথে ২০ মাইল দূরে একটি কো-লোকেশন সুবিধায় একটি সেকেন্ডারি ক্লাস্টার রয়েছে। এটি তাদের স্থানীয় নিয়ন্ত্রণ, সাব-মিলিসেকেন্ড প্রমাণীকরণ এবং ইন্টারনেট সংযোগের উপর নির্ভর না করে আকস্মিক ট্র্যাফিক পরিচালনা করার ক্ষমতা দিয়েছে। Cloud RADIUS স্থাপন করার সময়, সবচেয়ে সাধারণ ভুলটি হল ভেন্যুতে স্থানীয় ইন্টারনেট সংযোগকে উপেক্ষা করা। Cloud RADIUS সম্পূর্ণরূপে WAN লিঙ্কের উপর নির্ভর করে। এটি প্রশমিত করতে, একটি স্থানীয় টিকে থাকার কৌশল প্রয়োগ করুন - গুরুত্বপূর্ণ কর্মীদের জন্য স্থানীয় নেটওয়ার্ক কন্ট্রোলারে শংসাপত্র ক্যাশ করে রাখা, বা ইন্টারনেট লিঙ্কের উচ্চ প্রাপ্যতা নিশ্চিত করতে SD-WAN ব্যবহার করা।অন-প্রিমিসেস ডেপ্লয়মেন্টের জন্য, সবচেয়ে বড় অপারেশনাল ঝুঁকি হলো সার্টিফিকেট পরিচালনা। যদি আপনার অন-প্রিমিসেস RADIUS সার্ভারের সার্টিফিকেটের মেয়াদ শেষ হয়ে যায়, তবে প্রতিটি ক্লায়েন্ট ডিভাইস সংযোগটি প্রত্যাখ্যান করবে, যার ফলে সম্পূর্ণ অথেন্টিকেশন বিভ্রাট ঘটবে। ক্লাউড RADIUS প্রদানকারীরা সার্টিফিকেট ঘূর্ণন স্বয়ংক্রিয় করে এই ঝুঁকি সম্পূর্ণরূপে দূর করে। পার্ট ৪ — দ্রুত প্রশ্নোত্তর প্রশ্ন এক: Cloud RADIUS কি প্রিন্টার এবং IoT সেন্সরের মতো হেডলেস ডিভাইসের জন্য MAC Authentication Bypass সমর্থন করে? উত্তর: হ্যাঁ। বেশিরভাগ এন্টারপ্রাইজ Cloud RADIUS প্ল্যাটফর্ম MAB সমর্থন করে। আপনি তাদের ড্যাশবোর্ড বা API-এর মাধ্যমে MAC অ্যাড্রেসের অনুমতি তালিকা পরিচালনা করতে পারেন, যা শত শত লোকেশন জুড়ে IoT ডিভাইসগুলি পরিচালনা করা অনেক সহজ করে তোলে। প্রশ্ন দুই: পাঁচ বছরে মালিকানার মোট খরচ কীভাবে তুলনা করা হয়? উত্তর: অন-প্রিমিসেস CapEx নির্ভর - হার্ডওয়্যার, লাইসেন্স, পাওয়ার, কুলিং এবং ইঞ্জিনিয়ারিং সময়। Cloud RADIUS হলো OpEx - যা সাধারণত বার্ষিক প্রতি ব্যবহারকারী বা প্রতি ডিভাইস হিসেবে মূল্য নির্ধারণ করা হয়। দ্রুত বর্ধনশীল মাল্টি-সাইট ডেপ্লয়মেন্টের জন্য, ক্লাউডের অনুমানযোগ্য OpEx সাধারণত বেশি সাশ্রয়ী হয়। ১০টির বেশি সাইট এবং ৫ জনের কম নেটওয়ার্ক ইঞ্জিনিয়ার রয়েছে এমন সংস্থাগুলি প্রায়শই ১৮ মাসের মধ্যে ক্লাউড থেকে একটি ইতিবাচক ROI দেখতে পায়। প্রশ্ন তিন: আপনি কি একটি হাইব্রিড মডেল চালাতে পারেন? উত্তর: অবশ্যই। গেস্ট এবং IoT SSID-এর জন্য Cloud RADIUS, এবং ইন্টারনাল Active Directory-এর বিপরীতে অথেন্টিকেট করা কর্পোরেট SSID-এর জন্য অন-প্রিমিসেস। Purple WiFi স্থানীয়ভাবে এই হাইব্রিড মডেলটি সমর্থন করে। প্রশ্ন চার: ক্লাউড প্রদানকারীর বিভ্রাটের সময় কী ঘটে? উত্তর: স্বনামধন্য Cloud RADIUS প্রদানকারীরা বহু-অঞ্চল রিডান্ডেন্সি দ্বারা সমর্থিত ৯৯.৯৯ শতাংশ আপটাইমের SLA প্রকাশ করে। পরিস্থিতিটি সুন্দরভাবে পরিচালনা করতে সর্বদা একটি ফলব্যাক পলিসি সহ আপনার অ্যাক্সেস পয়েন্টগুলি কনফিগার করুন - হয় একটি সীমাবদ্ধ VLAN-এ ওপেন অ্যাক্সেস, অথবা স্থানীয়ভাবে ক্যাশ করা ক্রেডেন্সিয়াল। পার্ট ৫ — সারাংশ এবং পরবর্তী পদক্ষেপ মূল সিদ্ধান্ত কাঠামোর সংক্ষিপ্তসার হিসেবে। অন-প্রিমিসেস RADIUS বেছে নিন যখন আপনার কাছে কঠোর ডেটা সার্বভৌমত্বের প্রয়োজনীয়তা সহ একটি একক বড় লোকেশন, একটি এয়ার-গ্যাপড সিকিউরিটি পরিবেশ, বা লেগ্যাসি অন-প্রিমিসেস ডিরেক্টরি রয়েছে যা ক্লাউড-সংযুক্ত করা যায় না। Cloud RADIUS বেছে নিন যখন আপনার একটি বিতরণ করা মাল্টি-সাইট ফুটপ্রিন্ট, ক্লাউড-নেটিভ আইডেন্টিটি প্রোভাইডার যেমন Okta বা Azure AD, একটি ছোট সেন্ট্রাল আইটি দল থাকে, অথবা যখন হার্ডওয়্যার সংগ্রহের লিড টাইম ছাড়াই নতুন সাইটগুলিতে দ্রুত ডেপ্লয়মেন্টের প্রয়োজন হয়। মূল কথা: আজকের বেশিরভাগ মাল্টি-সাইট ভেন্যু অপারেটরদের জন্য, Cloud RADIUS হলো অপারেশনালভাবে চমৎকার পছন্দ। অন-প্রিমিসেসের জন্য লেটেন্সির যুক্তি বিশ্বব্যাপী বিতরণ করা ক্লাউড অবকাঠামো দ্বারা অনেকাংশে নিষ্ক্রিয় হয়ে গেছে। সিদ্ধান্ত নেওয়ার আগে তিনটি জিনিস অডিট করুন: আপনার বর্তমান আইডেন্টিটি প্রোভাইডার এবং এটি ক্লাউড-নেটিভ কিনা, প্রতিটি সাইটে আপনার WAN স্থিতিস্থাপকতা, এবং চলমান রক্ষণাবেক্ষণ পরিচালনা করার জন্য আপনার দলের সক্ষমতা। এই তিনটি উপাদান আপনাকে বলে দেবে যে কোন পথটি আপনার সংস্থার জন্য সঠিক। Purple-এর এই প্রযুক্তিগত ব্রিফিংয়ে যোগ দেওয়ার জন্য আপনাকে ধন্যবাদ। এন্টারপ্রাইজ WiFi আর্কিটেকচার সম্পর্কে আরও গভীর ধারণার জন্য, Purple.ai-তে আমাদের গাইড লাইব্রেরি দেখুন।