যুক্তরাজ্যে পাবলিক WiFi নেটওয়ার্কের জন্য IWF কমপ্লায়েন্স

হোস্ট: হ্যালো এবং Purple এন্টারপ্রাইজ আইটি ব্রিফিং-এ আপনাকে স্বাগতম। আমি আপনার হোস্ট, এবং আজ আমরা এমন একটি বিষয় নিয়ে আলোচনা করছি যা যুক্তরাজ্যের প্রতিটি আইটি ডিরেক্টর, সিটিও এবং নেটওয়ার্ক আর্কিটেক্টের জানা প্রয়োজন: পাবলিক WiFi নেটওয়ার্কের জন্য IWF কমপ্লায়েন্স। আপনি যদি রিটেইল চেইন, হসপিটালিটি ভেন্যু, স্টেডিয়াম বা পাবলিক সেক্টরের ভবনগুলোর জন্য ইনফ্রাস্ট্রাকচার পরিচালনা করেন, তবে গেস্ট WiFi প্রদান করা এখন আর কেবল ব্যান্ডউইথ এবং কভারেজের বিষয় নয়। এটি রিস্ক মিটিগেশনের বিষয়। শক্তিশালী, সার্টিফায়েড ফিল্টারিং ছাড়া ইন্টারনেটে একটি ওপেন পাইপ প্রদান করা আপনার প্রতিষ্ঠানকে মারাত্মক আইনি এবং সম্মানহানির ঝুঁকির মুখে ফেলে। আজ, আমরা অপ্রয়োজনীয় কথা বাদ দিয়ে মূল বিষয়ে আসছি। কোনো তাত্ত্বিক কথা নয়—কীভাবে একটি কমপ্লায়েন্ট, হাই-পারফরম্যান্স নেটওয়ার্ক তৈরি করা যায় সে সম্পর্কে কেবল কার্যকর, ভেন্ডর-নিরপেক্ষ গাইডেন্স। চলুন সরাসরি মূল প্রসঙ্গে যাওয়া যাক। ইন্টারনেট ওয়াচ ফাউন্ডেশন, বা IWF, চাইল্ড সেক্সুয়াল অ্যাবিউজ ম্যাটেরিয়াল, বা CSAM ধারণকারী URL-গুলোর যুক্তরাজ্যের সুনির্দিষ্ট তালিকা রক্ষণাবেক্ষণ করে। পাবলিক WiFi অফার করে এমন যেকোনো ভেন্যুর জন্য, এই ব্লকলিস্টটি একীভূত করা দায়িত্বশীল পরিচালনার একেবারে বেসলাইন। তবে এখানে একটি গুরুত্বপূর্ণ বিষয় হলো: আপনি মাসে একবার একটি স্ট্যাটিক তালিকা ডাউনলোড করে আপনার ফায়ারওয়ালে আপলোড করতে পারবেন না। IWF তালিকাটি অত্যন্ত ডায়নামিক। URL-গুলো প্রতিনিয়ত যোগ এবং অপসারণ করা হয়। আপনার ওয়েব ফিল্টারিং ইঞ্জিনকে অবশ্যই রিয়েল-টাইম বা নিয়ার-রিয়েল-টাইমে এই ফিডটি গ্রহণ করতে হবে। আপনি যদি এমন কোনো ভেন্ডর ব্যবহার করেন যিনি অফিসিয়াল IWF সদস্য নন এবং সক্রিয়ভাবে তাদের ডায়নামিক ফিড গ্রহণ করছেন না, তবে আপনি কমপ্লায়েন্ট নন। ফুল স্টপ। তাহলে, আমরা কীভাবে নেটওয়ার্ক এজে এটি আর্কিটেক্ট করব? চলুন টেকনিক্যাল ডিপ-ডাইভে প্রবেশ করি। IWF কমপ্লায়েন্স বাস্তবায়নের জন্য একটি মাল্টি-লেয়ারড পদ্ধতি প্রয়োজন। আপনি একটি মাত্র চোক পয়েন্টের ওপর নির্ভর করতে পারবেন না। লেয়ার ওয়ান হলো DNS ফিল্টারিং। এটি আপনার প্রতিরক্ষার প্রথম সারি। যখন কোনো গেস্ট ডিভাইস একটি পরিচিত CSAM ডোমেইনের রিকোয়েস্ট করে, তখন আপনার সুরক্ষিত DNS এটি ইন্টারসেপ্ট করে এবং একটি ব্লক পেজে রিডাইরেক্ট করে। এটি অত্যন্ত কার্যকর এবং এতে কার্যত শূন্য ল্যাটেন্সি থাকে। তবে, আধুনিক কমপ্লায়েন্সের জন্য শুধুমাত্র DNS ফিল্টারিং মৌলিকভাবে ত্রুটিপূর্ণ। কেন? কারণ DNS ডোমেইন লেভেলে কাজ করে। IWF তালিকা প্রায়শই নির্দিষ্ট URL উল্লেখ করে—একটি সাইটের গভীরে থাকা নির্দিষ্ট পেজ। আপনি যদি শুধুমাত্র DNS ব্যবহার করেন, তবে আপনি দুটি বড় সমস্যার সম্মুখীন হবেন। হয় আপনি আন্ডার-ব্লক করবেন, ডিরেক্ট IP-এর মাধ্যমে অ্যাক্সেসের অনুমতি দেবেন, অথবা আপনি ওভার-ব্লক করবেন, শুধুমাত্র একটি আপত্তিকর URL-এর কারণে একটি সম্পূর্ণ বৈধ ডোমেইন ব্ল্যাকহোল করবেন। ওভার-ব্লকিংয়ের ফলে ব্যবহারকারীরা হতাশ হয় এবং সাপোর্ট টিকিট বেড়ে যায়। এটি আমাদের লেয়ার টুতে নিয়ে আসে: HTTP এবং HTTPS ডিপ প্যাকেট ইন্সপেকশন, বিশেষ করে SNI ইন্সপেকশন। যেহেতু ওয়েব ট্রাফিকের বিশাল অংশ HTTPS-এর মাধ্যমে এনক্রিপ্ট করা থাকে, তাই ট্রাফিক ডিক্রিপ্ট না করে আপনি সহজেই সম্পূর্ণ URL পাথ দেখতে পারবেন না। এখন, কিছু নেটওয়ার্ক ইঞ্জিনিয়ার সম্পূর্ণ SSL ডিক্রিপশন—SSL ইন্সপেকশনের পরামর্শ দিতে পারেন। আমি পরিষ্কার করে বলছি: পাবলিক গেস্ট নেটওয়ার্কে এটি করবেন না। এর জন্য গেস্ট ডিভাইসগুলোতে কাস্টম রুট সার্টিফিকেট ইনস্টল করা প্রয়োজন, যা প্রয়োগ করা অসম্ভব, ব্রাউজার ট্রাস্ট ভেঙে দেয় এবং এটি একটি বিশাল প্রাইভেসি লঙ্ঘন। ইন্ডাস্ট্রি স্ট্যান্ডার্ড হলো SNI—সার্ভার নেম ইন্ডিকেশন—ইন্সপেকশন। SNI আপনার ফায়ারওয়ালকে প্রাথমিক TLS হ্যান্ডশেক দেখার অনুমতি দেয় এবং এনক্রিপ্ট করা টানেল প্রতিষ্ঠিত হওয়ার আগে ক্লায়েন্ট কোন হোস্টনেমের রিকোয়েস্ট করছে তা দেখতে দেয়। উন্নত SNI ইন্সপেকশন এবং ডায়নামিক IP ক্যাটাগরাইজেশনের সাথে শক্তিশালী DNS ফিল্টারিং একত্রিত করে, আপনি এন্ড-টু-এন্ড এনক্রিপশন না ভেঙে নির্ভুলভাবে IWF তালিকা প্রয়োগ করতে পারেন। চলুন ইমপ্লিমেন্টেশন রেকমেন্ডেশন এবং যে বিষয়গুলো আপনার এড়িয়ে চলা উচিত সে সম্পর্কে কথা বলি। প্রথমত, বাইপাস সমস্যা। ব্যবহারকারীরা যদি তাদের DNS সেটিংস 8.8.8.8-এ পরিবর্তন করে আপনার কন্ট্রোলগুলো বাইপাস করতে পারে তবে আপনার ফিল্টারিং অকেজো। আপনাকে অবশ্যই আপনার এজ রাউটার বা ফায়ারওয়ালগুলো কনফিগার করতে হবে যাতে UDP এবং TCP পোর্ট 53, সেইসাথে DNS ওভার TLS-এর জন্য পোর্ট 853-এ আউটবাউন্ড ট্রাফিক ব্লক করা যায়। আপনার কমপ্লায়েন্ট ইনফ্রাস্ট্রাকচারের মাধ্যমে সমস্ত DNS রিকোয়েস্ট বাধ্য করুন। এছাড়া, DNS ওভার HTTPS, বা DoH-এর দিকে নজর রাখুন। আধুনিক ব্রাউজারগুলো ক্রমবর্ধমানভাবে DoH ব্যবহার করছে, যা স্ট্যান্ডার্ড HTTPS ট্রাফিকে DNS কোয়েরিগুলোকে এনক্যাপসুলেট করে। আপনাকে নিশ্চিত করতে হবে যে আপনার ফায়ারওয়ালটি পরিচিত DoH রিসলভার এন্ডপয়েন্টগুলো ব্লক করার জন্য কনফিগার করা হয়েছে যাতে ব্রাউজারটি আপনার লোকাল, সুরক্ষিত DNS-এ ফলব্যাক করতে বাধ্য হয়। দ্বিতীয়ত, Captive Portal। Captive Portal কেবল আপনার লোগো রাখার জায়গা নয়; এটি একটি আইনি কন্ট্রোল গেট। আপনার অ্যাক্সেপ্টেবল ইউজ পলিসি, বা AUP-তে অবশ্যই স্পষ্টভাবে উল্লেখ থাকতে হবে যে কন্টেন্ট ফিল্টারিং সক্রিয় আছে এবং অবৈধ উপাদানে অ্যাক্সেস মনিটর ও ব্লক করা হয়। অ্যাক্সেস পাওয়ার আগে ব্যবহারকারীদের অবশ্যই সক্রিয়ভাবে এই AUP গ্রহণ করতে হবে। এটি আপনার আইনি সুরক্ষা প্রদান করে। তৃতীয়ত, লগিং। আপনাকে আপনার সিস্টেমগুলো কনফিগার করতে হবে যাতে ব্লক করা অ্যাক্সেস প্রচেষ্টার লগগুলো, ডিভাইসের MAC অ্যাড্রেস এবং সেশন ডেটার সাথে যুক্ত করে ন্যূনতম ১২ মাসের জন্য সংরক্ষণ করা যায়। এটি GDPR-এর সাথে সামঞ্জস্যপূর্ণ এবং কোনো ঘটনা ঘটলে আইন প্রয়োগকারী সংস্থার তদন্তে সহায়তা করে। এবং পরিশেষে, নেটওয়ার্ক সেগমেন্টেশন। গেস্ট ট্রাফিকের সাথে অপারেশনাল ট্রাফিক কখনোই মেলাবেন না। আপনার গেস্ট VLAN-কে অবশ্যই আপনার পয়েন্ট অফ সেল সিস্টেম বা কর্পোরেট ইনফ্রাস্ট্রাকচার থেকে কঠোরভাবে আইসোলেট করতে হবে। গেস্ট নেটওয়ার্কে ভারী ওয়েব ফিল্টারিং প্রয়োগ করুন, কিন্তু ট্রানজ্যাকশনের জন্য শূন্য ল্যাটেন্সি গ্যারান্টি দিতে আপনার POS নেটওয়ার্কের জন্য কঠোর অ্যালাও-লিস্ট ব্যবহার করুন। ঠিক আছে, ফিল্ডে আমরা যে সাধারণ পরিস্থিতিগুলো দেখি তার ওপর ভিত্তি করে একটি র‍্যাপিড-ফায়ার প্রশ্নোত্তর পর্বের সময় হয়েছে। প্রশ্ন ১: "আমরা কি আমাদের নতুন ফায়ারওয়াল কনফিগারেশন পরীক্ষা করতে আসল IWF URL ব্যবহার করতে পারি?" উত্তর: একেবারেই না। ওই URL-গুলো অ্যাক্সেস করা বেআইনি। আপনার ফিল্টারিং ইঞ্জিন সঠিকভাবে কাজ করছে কিনা তা যাচাই করার জন্য IWF নির্দিষ্ট, নিরাপদ টেস্ট URL প্রদান করে। সেগুলো ব্যবহার করুন। প্রশ্ন ২: "আমাদের মার্কেটিং টিম কোনো Captive Portal ছাড়াই একটি 'ফ্রিকশনলেস' ওপেন WiFi নেটওয়ার্ক চায়। এটি কি কমপ্লায়েন্ট?" উত্তর: না। Captive Portal ছাড়া, আপনি অ্যাক্সেপ্টেবল ইউজ পলিসি প্রয়োগ করতে পারবেন না, যার অর্থ ব্যবহারকারীর সাথে আপনার কোনো আইনি চুক্তি নেই। এটি ভেন্যুটিকে উল্লেখযোগ্য দায়ের মুখে ফেলে। প্রশ্ন ৩: "VPN ব্যবহারকারী অতিথিদের বিষয়ে আমরা কী করব?" উত্তর: হোটেলগুলোর মতো পরিবেশে, ব্যবসায়িক ভ্রমণকারীদের VPN প্রয়োজন। আপনি সবগুলো ব্লক করতে পারবেন না। তবে, আপনার অতিরিক্ত, অবিচ্ছিন্ন এনক্রিপ্টেড টানেলগুলো মনিটর করা উচিত যা স্ট্যান্ডার্ড পোর্টগুলো বাইপাস করে, কারণ এটি বৈধ কর্পোরেট অ্যাক্সেসের পরিবর্তে অপব্যবহারের ইঙ্গিত দিতে পারে। চলুন পরবর্তী পদক্ষেপগুলো সংক্ষেপে জেনে নিই। কমপ্লায়েন্স কোনো কস্ট সেন্টার নয়; এটি ব্র্যান্ড প্রটেকশন। অবৈধ কন্টেন্টের সাথে আপনার ভেন্যু যুক্ত থাকার কারণে যে সম্মানহানি হয়, তা ডেপ্লয়মেন্ট খরচের চেয়ে অনেক বেশি। এটি সঠিকভাবে করতে: ১. যাচাই করুন যে আপনার ওয়েব ফিল্টারিং ভেন্ডর একজন সক্রিয় IWF সদস্য। ২. সুরক্ষিত DNS এবং SNI ইন্সপেকশন উভয়ই ব্যবহার করে ডুয়াল-লেয়ার ফিল্টারিং বাস্তবায়ন করুন। ৩. বাইপাস রোধ করতে আউটবাউন্ড DNS পোর্টগুলো লক ডাউন করুন। ৪. একটি Captive Portal-এর মাধ্যমে একটি AUP প্রয়োগ করুন। ৫. আপনার লগগুলো ১২ মাসের জন্য সংরক্ষণ করুন। আপনি যদি এই পদক্ষেপগুলো অনুসরণ করেন, তবে আপনি এমন একটি নেটওয়ার্ক তৈরি করবেন যা কেবল হাই-পারফরম্যান্সই নয় বরং মৌলিকভাবে সুরক্ষিত এবং কমপ্লায়েন্ট। এই Purple এন্টারপ্রাইজ আইটি ব্রিফিং-এ যোগ দেওয়ার জন্য আপনাকে ধন্যবাদ। আরও বিস্তারিত আর্কিটেকচার ডায়াগ্রাম এবং ইমপ্লিমেন্টেশন চেকলিস্টের জন্য, সম্পূর্ণ টেকনিক্যাল গাইডটি দেখুন। সুরক্ষিত থাকুন, এবং আগামীতে আবার দেখা হবে।