সবকিছুর জন্য তিনটি SSID: guest, Passpoint, এবং IoT WiFi সেটআপ গাইড

Purple-এর টেকনিক্যাল ব্রিফিং সিরিজে আপনাকে স্বাগত। আজ আমরা three-SSID WiFi ডিজাইন নিয়ে আলোচনা করছি - একটি নেটওয়ার্ক আর্কিটেকচার যা তিনটি উদ্দেশ্যমূলকভাবে তৈরি ওয়্যারলেস নেটওয়ার্কের অধীনে গেস্ট অ্যাক্সেস, সুরক্ষিত অটোমেটেড অনবোর্ডিং এবং IoT ডিভাইস ম্যানেজমেন্টকে একত্রিত করে। আপনি যদি কোনও হোটেল, রিটেল এস্টেট, স্টেডিয়াম বা কনফারেন্স সেন্টারে WiFi পরিচালনা করেন, তবে এটিই সেই ডিজাইন যা আপনার ২০২৫ এবং তার পরবর্তী সময়ে মোতায়েন করা উচিত। [medium pause] প্রথমে প্রসঙ্গটি একটু ব্যাখ্যা করি। আমরা যে সমস্ত ভেন্যুগুলির মুখোমুখি হই, সেগুলির বেশিরভাগই এখনও বড়জোড় দুটি SSID চালাচ্ছে - একটি গেস্ট নেটওয়ার্ক এবং অন্যটি যা সাধারণভাবে স্টাফ নেটওয়ার্ক নামে পরিচিত। সমস্যা হলো, এই দুটি নেটওয়ার্ক শেষ পর্যন্ত সবকিছুর বোঝা বহন করে। কার্ড টার্মিনালগুলো গেস্টদের স্মার্টফোনের মতো একই সেগমেন্টে থাকে। ঠিকাদাররা আপনার ডিজিটাল সাইনেজের মতো একই SSID-এ সংযোগ করে। IoT সেন্সরগুলো ভিডিও স্ট্রিম করা দর্শকদের সাথে ব্যান্ডউইথ শেয়ার করে। এটি কোনো সিকিউরিটি পোস্চার নয়। এটি একটি দায়। three-SSID ডিজাইনটি প্রতিটি শ্রেণির ডিভাইস এবং ব্যবহারকারীকে নিজস্ব ডেডিকেটেড নেটওয়ার্ক, নিজস্ব VLAN এবং নিজস্ব অথেন্টিকেশন পদ্ধতি প্রদান করে এর সমাধান করে। তিনটি SSID। তিনটি VLAN। একটি সুসংগত সিকিউরিটি আর্কিটেকচার। [medium pause] চলুন প্রতিটির বিস্তারিত দেখে নেওয়া যাক। SSID নম্বর ওয়ান হলো আপনার ওপেন Guest WiFi। এটি হলো ঐতিহ্যগত Captive Portal নেটওয়ার্ক - যা আপনার দর্শকরা তাদের ফোন খুললে এবং সংযোগ করার সময় দেখতে পায়। এটি ওপেন, যার অর্থ কোনো প্রি-শেয়ার্ড কি নেই, কারণ আপনি সংযোগের সময় কোনো বাধা বা জটিলতা চান না। অথেন্টিকেশনটি পোর্টাল লেয়ারে ঘটে। ভিজিটর সংযোগ করে, একটি স্প্ল্যাশ পেজে রিডাইরেক্ট হয়, আপনার পরিষেবার শর্তাবলী মেনে নেয় এবং ঐচ্ছিকভাবে একটি ইমেল ঠিকানা বা ফোন নম্বর প্রদান করে। এটি হলো GDPR কমপ্লায়েন্সের জন্য আপনার সচেতন-পছন্দের অপ্ট-ইন। Purple-এর প্ল্যাটফর্ম এটি নেটিভভাবে হ্যান্ডেল করে - পোর্টালটি ফার্স্ট-পার্টি ডেটা সংগ্রহ করে, সম্মতির টাইমস্ট্যাম্প লগ করে এবং সেশনটিকে VLAN 10-এ ম্যাপ করে, যা আপনার গেস্ট সেগমেন্ট। VLAN 10 শুধুমাত্র ইন্টারনেট অ্যাক্সেস পায়। এটি আপনার POS সিস্টেম, আপনার ব্যাক-অফিস সার্ভার বা অন্য কোনো অভ্যন্তরীণ রিসোর্সে পৌঁছাতে পারে না। ফায়ারওয়াল নিয়মগুলো এজে এটি কার্যকর করে। কমপ্লায়েন্সের দৃষ্টিকোণ থেকে, এই SSID সবচেয়ে কঠিন কাজগুলো করে। GDPR-এর জন্য আপনার সম্মতি, প্রক্রিয়াকরণের বৈধ ভিত্তি এবং টাইমস্ট্যাম্প রেকর্ড করা প্রয়োজন। Purple এই সমস্ত কিছু স্বয়ংক্রিয়ভাবে লগ করে। আপনি যদি এমন একটি ভেন্যুতে থাকেন যা PCI DSS-এর আওতায় পড়ে - উদাহরণস্বরূপ, ইন-রুম পেমেন্ট টার্মিনাল সহ একটি হোটেল - তবে গেস্ট SSID-টিকে অবশ্যই যেকোনো কার্ডহোল্ডার ডেটা এনভায়রনমেন্ট থেকে সম্পূর্ণরূপে বিচ্ছিন্ন রাখতে হবে। একটি ইন্টার-VLAN ফায়ারওয়াল পলিসির সাথে VLAN সেগমেন্টেশন এটি অর্জন করে। [medium pause] SSID নম্বর টু হলো আপনার Passpoint নেটওয়ার্ক, যা Hotspot 2.0 নামেও পরিচিত। এখানেই ডিজাইনটি সত্যিই আকর্ষণীয় হয়ে ওঠে। Passpoint হলো একটি IEEE 802.11u স্ট্যান্ডার্ড যা কোনো ব্যবহারকারীর হস্তক্ষেপ ছাড়াই একটি ডিভাইসকে স্বয়ংক্রিয়ভাবে একটি WiFi নেটওয়ার্ক আবিষ্কার, অথেন্টিকেট এবং সংযোগ করতে দেয়। কোনো পোর্টাল নেই। কোনো পাসওয়ার্ড প্রম্পট নেই। ডিভাইসটি EAP - এক্সটেনসিবল অথেন্টিকেশন প্রোটোকল - ব্যবহার করে ব্যাকগ্রাউন্ডে অথেন্টিকেশন সম্পন্ন করে এবং প্রথম প্যাকেট থেকেই এনক্রিপ্টেড উপায়ে সংযুক্ত হয়。 একটি ডিভাইস কীভাবে সংযোগ করতে হবে তা কীভাবে জানে? এতে একটি Passpoint প্রোফাইল ইনস্টল করা থাকে। Purple-এর সাথে, সেই প্রোফাইলটি Purple অ্যাপের মাধ্যমে বা আপনার নিজস্ব ব্র্যান্ডেড অ্যাপে এম্বেড করা একটি SDK-এর মাধ্যমে বিতরণ করা হয়। যখন একজন ফিরে আসা ভিজিটর আপনার ভেন্যুতে প্রবেশ করেন, তখন তাদের ডিভাইস আপনার Passpoint SSID-কে একটি ANQP রেসপন্স ব্রডকাস্ট করতে দেখে, এটিকে ইনস্টল করা প্রোফাইলের সাথে মেলায় এবং স্বয়ংক্রিয়ভাবে সংযুক্ত হয়। পুরো প্রক্রিয়াটি দুই সেকেন্ডেরও কম সময় নেয়। ব্যবহারকারী কখনই তাদের ফোন স্পর্শ করেন না। আপনার কনফিগারেশনের ওপর নির্ভর করে অথেন্টিকেশন ফ্লো EAP-TLS বা PEAP সহ EAP-TTLS ব্যবহার করে। ডিভাইসটি আপনার RADIUS সার্ভারে একটি ক্রেডেন্সিয়াল উপস্থাপন করে - Purple ক্লাউডে সেই RADIUS সার্ভার হিসেবে কাজ করে - এবং সার্ভারটি একটি VLAN অ্যাসাইনমেন্ট অ্যাট্রিবিউট সহ একটি RADIUS Access-Accept রিটার্ন করে। সেই অ্যাট্রিবিউটটি অ্যাক্সেস পয়েন্টকে বলে যে সেই সেশনটি কোন VLAN-এ রাখতে হবে। তাই একজন লয়্যালটি অ্যাপ ব্যবহারকারী VLAN 20-এ যেতে পারেন, যা আপনার লয়্যালটি প্ল্যাটফর্ম এবং আরও সমৃদ্ধ কন্টেন্ট অ্যাক্সেস করতে পারে। ভিন্ন ক্রেডেন্সিয়াল সহ একই Passpoint SSID ব্যবহারকারী একজন স্টাফ মেম্বার VLAN 30-এ যান, যা অভ্যন্তরীণ সিস্টেমে অ্যাক্সেস পায়। একটি SSID। ডাইনামিক VLAN অ্যাসাইনমেন্ট। প্রতিটি আইডেন্টিটি অনুযায়ী পলিসি প্রয়োগ করা হয়। [medium pause] SSID নম্বর তিন হলো আপনার xPSK নেটওয়ার্ক। xPSK হলো একটি আমব্রেলা টার্ম যা iPSK, PPSK, DPSK এবং MPSK-কে কভার করে - এগুলি সবই প্রতি-ডিভাইস বা প্রতি-গ্রুপ প্রি-শেয়ার্ড কী-এর একই ধারণার বিভিন্ন রূপ। ধারণাটি সহজ: আপনার IoT ডিভাইস এবং ঠিকাদারদের জন্য একটি শেয়ার্ড পাসওয়ার্ডের পরিবর্তে, প্রতিটি ডিভাইস বা গ্রুপ তার নিজস্ব অনন্য কী পায়। সেই কীটি একটি নির্দিষ্ট VLAN-এ ম্যাপ করে। যখন একটি কার্ড টার্মিনাল তার কী দিয়ে সংযোগ করে, তখন এটি VLAN 40-এ পৌঁছায়, যা আপনার PCI-স্কোপড পেমেন্ট নেটওয়ার্ক। যখন একটি ডিজিটাল সাইনেজ প্লেয়ার তার কী দিয়ে সংযোগ করে, তখন এটি VLAN 50-এ পৌঁছায়, যা আপনার কন্টেন্ট ম্যানেজমেন্ট সার্ভারে অ্যাক্সেস পায় কিন্তু অন্য কিছুতে নয়। যখন একজন ঠিকাদার একটি অস্থায়ী কী দিয়ে সংযোগ করেন, তখন তারা VLAN 60-এ পৌঁছান, যা ইন্টারনেট অ্যাক্সেস পায় এবং অভ্যন্তরীণ কিছুতে নয়। যখন আপনি সেই ঠিকাদারের কী প্রত্যাহার করেন, তখন তারা অবিলম্বে নেটওয়ার্ক থেকে বিচ্ছিন্ন হয়ে যান। প্রতিটি ডিভাইসে পাসওয়ার্ড পরিবর্তন করার প্রয়োজন হয় না। xPSK-এর পেছনের মেকানিজম ভেন্ডর অনুযায়ী ভিন্ন হয়। Cisco Meraki-তে এটিকে iPSK - Identity PSK - বলা হয় এবং এটি RADIUS-এর মাধ্যমে কাজ করে। HPE Aruba-তে এর সমতুল্য হলো MPSK, এটিও RADIUS-চালিত। Ruckus এটিকে DPSK - Dynamic PSK বলে। Juniper Mist, Mist-এর ক্লাউড ড্যাশবোর্ডের মাধ্যমে ডাইনামিক VLAN অ্যাসাইনমেন্ট সহ PPSK ব্যবহার করে। Ubiquiti UniFi সাম্প্রতিক ফার্মওয়্যার সংস্করণগুলিতে প্রতি-ক্লায়েন্ট VLAN অ্যাসাইনমেন্ট সহ নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল সমর্থন করে। Purple ক্লাউড RADIUS প্রদানকারী হিসেবে এই পাঁচটি প্ল্যাটফর্মের সাথেই ইন্টিগ্রেট করে। [medium pause] এবার বাস্তবায়নের সিকোয়েন্স বা ক্রম সম্পর্কে কথা বলা যাক। ক্রমটি গুরুত্বপূর্ণ। ওয়্যারলেস কনফিগারেশনে হাত দেওয়ার আগে আপনার VLAN ডিজাইন দিয়ে শুরু করুন। প্রথমে সুইচ লেয়ারে আপনার VLAN-গুলি সংজ্ঞায়িত করুন। কোনো ডিভাইস সংযোগ করার আগে আপনার ইন্টার-VLAN রাউটিং পলিসি কনফিগার করুন এবং ফায়ারওয়ালে এটি লক ডাউন করুন। এটি আমাদের দেখা সবচেয়ে সাধারণ ভুল: টিমগুলি প্রথমে ওয়্যারলেস কনফিগার করে, তারপরে VLAN সেগমেন্টেশন রেট্রোফিট করার চেষ্টা করে। এটি উল্টোভাবে করুন। দ্বিতীয়ত, আপনার RADIUS সার্ভার কনফিগার করুন। Purple-এর প্ল্যাটফর্মে, RADIUS কনফিগারেশন সেকশনে যান, আপনার সার্ভার ক্রেডেনশিয়াল জেনারেট করুন এবং প্রাইমারি ও সেকেন্ডারি IP অ্যাড্রেস, অথেন্টিকেশন পোর্ট - সাধারণত 1812 - এবং শেয়ার্ড সিক্রেট নোট করুন। তৃতীয়ত, আপনার SSIDগুলি তৈরি করুন। গেস্ট SSID-এর জন্য, সিকিউরিটি open সেট করুন, captive portal রিডাইরেক্ট সক্রিয় করুন এবং রিডাইরেক্ট URL-টি আপনার Purple পোর্টালের দিকে নির্দেশ করুন। Passpoint SSID-এর জন্য, 802.11u সক্রিয় করুন এবং আপনার ANQP উপাদানগুলি কনফিগার করুন - আপনার NAI Realm, আপনি যদি OpenRoaming-এ অংশগ্রহণ করেন তবে আপনার Roaming Consortium OI এবং আপনার ভেন্যু সংক্রান্ত তথ্য। সিকিউরিটি টাইপ হিসেবে WPA2-Enterprise বা WPA3-Enterprise সেট করুন। xPSK SSID-এর জন্য, ভেন্ডর-নির্দিষ্ট MPSK বা DPSK সেটিংস কনফিগার করুন এবং আপনার Purple RADIUS এন্ডপয়েন্টে অথেন্টিকেশন নির্দেশ করুন। চতুর্থত, গেস্ট SSID-এর জন্য আপনার ওয়াল্ড গার্ডেন (walled garden) কনফিগার করুন। এর মধ্যে Purple-এর পোর্টাল ডোমেন, আপনার DNS রিজলভার এবং iOS ও Android যে captive portal ডিটেকশন এন্ডপয়েন্টগুলি ব্যবহার করে তা অন্তর্ভুক্ত করুন - Apple-এর captivedetect.apple.com এবং Google-এর connectivitycheck.gstatic.com। [medium pause] বাস্তব জগতের দুটি উদাহরণ। সেন্ট্রাল লন্ডনের একটি ৩৫০ রুমের হোটেল HPE Aruba হার্ডওয়্যার চালিত ২৮টি অ্যাক্সেস পয়েন্ট জুড়ে এই আর্কিটেকচারটি স্থাপন করেছে। এই স্থাপনার আগে, কার্ড টার্মিনালগুলি গেস্ট ডিভাইসগুলির সাথে একটি নেটওয়ার্ক সেগমেন্ট শেয়ার করত - যা একটি PCI কমপ্লায়েন্স ব্যর্থতা ছিল। তিনটি-SSID রিডিজাইনের মাধ্যমে কার্ড টার্মিনালগুলিকে একটি ডেডিকেটেড VLAN-এ স্থানান্তর করা হয়েছে যার ফায়ারওয়াল নিয়মগুলি পেমেন্ট প্রসেসরে কেবল আউটবাউন্ড HTTPS-এর অনুমতি দেয়। পরবর্তী সাইকেলে PCI অডিট সফলভাবে পাস হয়। প্রথম তিন মাসে গেস্ট ডেটা ক্যাপচার ৩৪% বৃদ্ধি পেয়েছে কারণ পোর্টালের অভিজ্ঞতা দ্রুততর ছিল এবং অপ্ট-ইন প্রবাহ আরও সহজ ছিল। যুক্তরাজ্য জুড়ে ৮০টি স্টোর থাকা একটি রিটেল চেইন তাদের প্রতি স্টোরে SSID সংখ্যা গড়ে ৪.২ থেকে কমিয়ে তিনটিতে নামিয়ে এনেছে। EPOS টার্মিনাল এবং সাইনেজগুলি xPSK SSID-তে স্থানান্তরিত করা হয়েছে, যার প্রতি-ডিভাইস কীগুলি Purple-এর মাধ্যমে সেন্ট্রালি পরিচালনা করা হয়। কর্মীরা EAP-TTLS-এর মাধ্যমে তাদের Microsoft Entra ID ক্রেডেনশিয়াল ব্যবহার করে একটি Passpoint SSID-তে স্থানান্তরিত হয়েছেন। আইটি টিম রোলআউটের পর প্রথম কোয়ার্টারে WiFi সংক্রান্ত সাপোর্ট টিকিটে ৬০% হ্রাসের কথা জানিয়েছে। [medium pause] বাস্তবায়নের কয়েকটি ত্রুটি যা খেয়াল রাখতে হবে। RADIUS টাইমআউট কনফিগারেশন: আপনার অ্যাক্সেস পয়েন্টগুলি যদি কনফিগার করা টাইমআউটের মধ্যে Purple RADIUS সার্ভারে পৌঁছাতে না পারে, তবে তারা সংযোগটি অস্বীকার করবে। সর্বদা প্রাইমারি এবং সেকেন্ডারি RADIUS সার্ভার উভয় অ্যাড্রেসই কনফিগার করুন। ট্রাঙ্ক পোর্টে VLAN ট্যাগিং: প্রতিটি অ্যাক্সেস পয়েন্ট আপলিঙ্ক পোর্টকে ট্রাঙ্ক হিসেবে কনফিগার করতে হবে যা আপনার SSIDগুলি ব্যবহার করে এমন সমস্ত VLAN বহন করে। একটি সাধারণ ভুল হলো কন্ট্রোলারে VLAN কনফিগার করা কিন্তু সুইচ পোর্টের ট্রাঙ্কে এটি যুক্ত করতে ভুলে যাওয়া। Passpoint ANQP কনফিগারেশন: NAI Realm তালিকাটি ডিভাইসে ইনস্টল করা Passpoint প্রোফাইলের সাথে হুবহু মিলতে হবে। অমিল থাকলে ডিভাইসগুলি অনুসন্ধানের সময় আপনার নেটওয়ার্কটি এড়িয়ে যাবে। প্রোডাকশনে রোলআউট করার আগে একটি পরিচিত ভালো ডিভাইস দিয়ে পরীক্ষা করুন। xPSK কী রোটেশন: প্রোভিশনিংয়ের সময় ঠিকাদারদের কী-গুলোর একটি মেয়াদ শেষ হওয়ার তারিখ সেট করা উচিত। Purple-এর ড্যাশবোর্ড আপনাকে নেটওয়ার্কের অন্য কোনও ডিভাইসকে প্রভাবিত না করেই পৃথক কী বাতিল করার সুবিধা দেয়। [medium pause] র‌্যাপিড-ফায়ার প্রশ্ন। আমি কি একই অ্যাক্সেস পয়েন্টে তিনটি SSID-ই চালাতে পারি? হ্যাঁ। বিকন ওভারহেড কমাতে প্রতি অ্যাক্সেস পয়েন্টে মোট SSID-এর সংখ্যা ছয় বা তার কম রাখুন। Passpoint-এর জন্য কি কোনও নির্দিষ্ট অ্যাপের প্রয়োজন হয়? Purple-এর ক্ষেত্রে, এর জন্য হয় Purple অ্যাপ অথবা আপনার নিজস্ব ব্র্যান্ডেড অ্যাপে ইন্টিগ্রেট করা একটি SDK প্রয়োজন। SDK ব্যাকগ্রাউন্ডে নীরবে প্রোফাইল প্রোভিশনিং পরিচালনা করে। কার্ড টার্মিনালের জন্য কি xPSK PCI কমপ্লায়েন্ট? হ্যাঁ, তবে পেমেন্ট ডিভাইসের ট্র্যাফিক বহনকারী VLAN সঠিকভাবে সেগমেন্ট করা থাকতে হবে এবং ফায়ারওয়াল নিয়মগুলো যেন ট্র্যাফিককে শুধুমাত্র পেমেন্ট প্রসেসরের প্রয়োজনীয়তার মধ্যে সীমাবদ্ধ রাখে। গেস্ট SSID পোর্টাল বন্ধ হয়ে গেলে কী হবে? অ্যাক্সেস পয়েন্ট কন্ট্রোলারে একটি ফলব্যাক রিডাইরেক্ট বা একটি লোকাল স্প্ল্যাশ পেজ কনফিগার করুন। Purple-এর প্ল্যাটফর্ম ৯৯.৯৯৯% আপটাইমে চলে, তবে অতিরিক্ত সুরক্ষার জন্য কনফিগারেশন রাখা সবসময়ই একটি ভালো অভ্যাস। [medium pause] সংক্ষেপে বলতে গেলে। থ্রি-SSID ডিজাইন আপনাকে ডেটা ক্যাপচারের জন্য একটি কমপ্লায়েন্ট Captive Portal সহ একটি গেস্ট নেটওয়ার্ক, ডায়নামিক VLAN অ্যাসাইনমেন্ট সহ Purple অ্যাপ বা SDK-এর মাধ্যমে স্বয়ংক্রিয় সুরক্ষিত অনবোর্ডিংয়ের জন্য একটি Passpoint নেটওয়ার্ক এবং একটি xPSK নেটওয়ার্ক প্রদান করে যা নির্দিষ্ট VLAN-এ ম্যাপ করা প্রতি-ডিভাইস কী-এর অধীনে IoT ডিভাইস, কার্ড টার্মিনাল, ডিজিটাল সাইনেজ, ঠিকাদার এবং BYOD-কে একত্রিত করে। এর ফলে একটি আরও পরিচ্ছন্ন নিরাপত্তা ব্যবস্থা, উন্নত ভিজিটর অভিজ্ঞতা এবং এমন একটি নেটওয়ার্ক পাওয়া যায় যা সত্যিই স্কেলে পরিচালনা করা সম্ভব। আপনার VLAN ডিজাইন দিয়ে শুরু করুন, RADIUS কনফিগার করুন, আপনার SSID-গুলো তৈরি করুন এবং আপনার ওয়াল্ড গার্ডেন সেট করুন। Purple-এর অনবোর্ডিং টিম আপনাকে আপনার নির্দিষ্ট হার্ডওয়্যার প্ল্যাটফর্মের কনফিগারেশন ধাপে ধাপে বুঝিয়ে দিতে পারে। সম্পূর্ণ লিখিত গাইডটি purple.ai-তে পাওয়া যাচ্ছে। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist এবং Ubiquiti UniFi-এর জন্য ভেন্ডর-নির্দিষ্ট বিবরণসহ ধাপে ধাপে কনফিগারেশন রেফারেন্সের জন্য "three SSIDs to rule them all" লিখে সার্চ করুন। শোনার জন্য ধন্যবাদ।