KCSIE এবং স্কুলের WiFi: কন্টেন্ট ফিল্টারিংয়ের সাথে সুরক্ষিত অ্যাক্সেসের সংমিশ্রণ
আপনি স্টাফ, শিক্ষার্থী এবং গেস্ট WiFi-এ কীভাবে DfE ফিল্টারিং এবং মনিটরিং স্ট্যান্ডার্ড মেনে চলবেন তা সিদ্ধান্ত নিতে সক্ষম হবেন। আপনি দেখতে পাবেন কীভাবে ব্যক্তি-ভিত্তিক অথেন্টিকেশন এবং DNS ফিল্টারিং একত্রিত হয় যাতে প্রতিটি লগ একজন নির্দিষ্ট ব্যক্তিকে চিহ্নিত করতে পারে। আপনি একটি সিকোয়েন্সড প্ল্যান, যে সীমানাগুলো মাথায় রেখে পরিকল্পনা করতে হবে সেগুলি এবং আপনার ফিল্টারিং প্রদানকারীকে জিজ্ঞাসা করার জন্য প্রয়োজনীয় প্রশ্নগুলিও পাবেন।
আমাদের মূল সিরিজের অংশ: এন্টারপ্রাইজ WiFi সিকিউরিটি গাইড →
Keeping Children Safe in Education (KCSIE) এর অধীনে ইংল্যান্ডের স্কুল এবং কলেজগুলিতে উপযুক্ত ফিল্টারিং এবং মনিটরিং পরিচালনা করা আবশ্যক। DfE-এর স্ট্যান্ডার্ডগুলি আপনার কানেকশন ব্যবহারকারী প্রতিটি ব্যক্তি, গেস্ট অ্যাকাউন্ট এবং ডিভাইসে ফিল্টারিং প্রত্যাশা করে। যেখানে সম্ভব লগগুলিতে নির্দিষ্ট ব্যক্তিকে সনাক্ত করা উচিত। প্রতি ব্যক্তির নেটওয়ার্ক অথেন্টিকেশনের সাথে DNS ফিল্টারিং যুক্ত করলে তা স্টাফ, শিক্ষার্থী এবং গেস্ট নেটওয়ার্ক জুড়ে উভয় চাহিদা পূরণ করে।
স্কুল WiFi ফিল্টারিং এবং মনিটরিং সম্পর্কে KCSIE কী নির্দেশ দেয়?
Keeping Children Safe in Education হলো ডিপার্টমেন্ট ফর এডুকেশন (DfE)-এর একটি সংবিধিবদ্ধ নির্দেশিকা। ইংল্যান্ডের স্কুল ও কলেজগুলিকে তাদের সেফগার্ডিং দায়িত্ব পালনের সময় এটি মেনে চলতে হবে। এটি গভর্নিং বডি এবং স্বত্বাধিকারীদের উপযুক্ত ফিল্টারিং এবং মনিটরিং সিস্টেমের জন্য এবং সেই সিস্টেমগুলি কতটা ভালো কাজ করছে তা পর্যালোচনার জন্য দায়ী করে।
KCSIE ডেজিগনেটেড সেফগার্ডিং লিড (DSL)-কে অনলাইন সুরক্ষার প্রধান দায়িত্ব দেয়। এর মধ্যে রয়েছে বহাল থাকা ফিল্টারিং এবং মনিটরিং সিস্টেমগুলি বোঝা। আপনার নেটওয়ার্ক এখন একটি সেফগার্ডিং নিয়ন্ত্রণ মাধ্যম, এবং এটি কীভাবে কাজ করে তা DSL-এর জানা প্রয়োজন।
KCSIE অনলাইন ঝুঁকিকে চারটি ক্ষেত্রে বিভক্ত করে: বিষয়বস্তু (content), যোগাযোগ (contact), আচরণ (conduct) এবং বাণিজ্য (commerce)। ফিল্টারিং মূলত বিষয়বস্তু সংক্রান্ত সমস্যা সমাধান করে। মনিটরিং হলো সেই উপায় যার মাধ্যমে আপনি যোগাযোগ এবং আচরণগত ঝুঁকিগুলি আগে থেকেই চিহ্নিত করতে পারেন।
চারটি DfE ফিল্টারিং এবং মনিটরিং স্ট্যান্ডার্ড
KCSIE স্কুল ও কলেজগুলির জন্য DfE-এর ফিল্টারিং এবং মনিটরিং স্ট্যান্ডার্ডগুলির দিকে নির্দেশ করে, যা মার্চ ২০২৩-এ প্রথম প্রকাশিত হয়েছিল। সেগুলি চারটি প্রত্যাশা নির্ধারণ করে:
- আপনার ফিল্টারিং এবং মনিটরিং সিস্টেম পরিচালনার জন্য ভূমিকা ও দায়িত্ব চিহ্নিত করুন এবং বণ্টন করুন।
- কমপক্ষে বার্ষিকভাবে আপনার ফিল্টারিং এবং মনিটরিং ব্যবস্থা পর্যালোচনা করুন।
- শিখন ও শিক্ষাদানে অহেতুক প্রভাব না ফেলে ক্ষতিকারক এবং অনুপযুক্ত বিষয়বস্তু ব্লক করুন।
- কার্যকর মনিটরিং কৌশল রাখুন যা আপনার স্কুল বা কলেজের সেফগার্ডিং প্রয়োজনীয়তা পূরণ করে।
আপনার WiFi এর জন্য তৃতীয় স্ট্যান্ডার্ডের অর্থ কী
তৃতীয় স্ট্যান্ডার্ডেই ওয়্যারলেস ডিজাইন নির্দিষ্ট রূপ নেয়। ফিল্টারিং সবার ক্ষেত্রে প্রযোজ্য হওয়া উচিত, যার মধ্যে গেস্ট অ্যাকাউন্ট, স্কুলের মালিকানাধীন ডিভাইস এবং আপনার ব্রডব্যান্ড কানেকশন ব্যবহারকারী যেকোনো ডিভাইস অন্তর্ভুক্ত। একটি আনফিল্টার্ড স্টাফ নেটওয়ার্ক বা পৃথক লাইনে থাকা ভিজিটর নেটওয়ার্ক একটি নিরাপত্তা ফাঁক।
একই স্ট্যান্ডার্ড প্রত্যাশা করে যে আপনার সিস্টেম ডিভাইসের নাম বা ID, IP ঠিকানা এবং সম্ভব হলে ব্যক্তিকে সনাক্ত করবে। এটি অ্যাক্সেসের চেষ্টার সময় ও তারিখ এবং ব্লক করা সার্চ টার্ম বা বিষয়বস্তু সনাক্ত করারও প্রত্যাশা করে।
আপনার ফিল্টারিং প্রদানকারীকে Internet Watch Foundation (IWF)-এর সদস্য হতে হবে। এটি Counter-Terrorism Internet Referral Unit (CTIRU) তালিকার বিষয়বস্তুও ব্লক করবে। UK Safer Internet Centre উপযুক্ত ফিল্টারিং এবং উপযুক্ত মনিটরিংয়ের সংজ্ঞা প্রকাশ করে, এবং প্রদানকারীরা সেগুলির বিরুদ্ধে স্ব-প্রত্যয়ন করে। আমাদের সহ আপনার সংক্ষিপ্ত তালিকায় থাকা যেকোনো প্রদানকারীর কাছে সেই রেসপন্স ডকুমেন্টটি চান।
কেন KCSIE WiFi ফিল্টারিং কে কানেক্টেড আছে তা জানার ওপর নির্ভর করে?
অধিকাংশ স্কুল ফিল্টার ইতিমধ্যেই স্পষ্ট ক্যাটাগরিগুলো ব্লক করে। দুর্বল জায়গাটি হলো অ্যাট্রিবিউশন। আপনার স্টাফ এবং শিক্ষার্থীদের নেটওয়ার্ক যদি শেয়ার করা পাসওয়ার্ডে চলে, তবে ফিল্টারটি কেবল একটি IP ঠিকানা দেখে এবং আর কিছুই দেখতে পায় না।
প্রতিবার ঠিকানার লিজের মেয়াদ শেষ হলে সেই IP ঠিকানাটি অন্য ডিভাইসে চলে যায়। অ্যাড্রেস ট্রান্সলেশনের আড়ালে, আপস্ট্রিম ফিল্টারের কাছে একটি সম্পূর্ণ বিল্ডিংকে একটি মাত্র ঠিকানা বলে মনে হতে পারে। যখন DSL জানতে চায় কে ১৩:৪২ এ আত্মক্ষতি সংক্রান্ত কোনো শব্দ অনুসন্ধান করেছে, তখন সৎ উত্তরটি প্রায়শই হয় "ষষ্ঠ-ফর্ম নেটওয়ার্কের একটি ডিভাইস"।
শেয়ার করা পাসওয়ার্ডগুলোও ফাঁস হয়ে যায়। একটি গ্রুপ চ্যাটে শেয়ার করা স্টাফদের WiFi কী শিক্ষার্থীদের ফোনকে স্টাফ নেটওয়ার্ক এবং এর শিথিল নীতিমালার আওতায় এনে দেয়। গত টার্মে চলে যাওয়া একজন শিক্ষকের কাছে এখনও সেই কী টি সংরক্ষিত রয়েছে। কোনো ইভেন্টই কোনো লগ-এ দেখায় না, কারণ নেটওয়ার্ক একজন কী-হোল্ডারকে অন্যজনের থেকে আলাদা করতে পারে না।
জনপ্রতি অথেন্টিকেশন সংযোগের পয়েন্টেই অ্যাট্রিবিউশন ঠিক করে দেয়। প্রতিটি ডিভাইস এমন কোনো ক্রিডেনশিয়াল দিয়ে যুক্ত হয় যা একজন নির্দিষ্ট ব্যক্তির নামের সাথে সংযুক্ত, তাই প্রতিটি লগ লাইন সেই ব্যক্তির সাথে সঠিকভাবে ম্যাপ হয়ে যায়।
নেটওয়ার্ক অথেন্টিকেশন এবং DNS ফিল্টারিং কীভাবে একসাথে কাজ করে?
এটিকে তিনটি স্তর হিসেবে বিবেচনা করুন। অথেন্টিকেশন নির্ধারণ করে নেটওয়ার্কে কে রয়েছে এবং তারা কোন সেগমেন্টে ল্যান্ড করছে। DNS ফিল্টারিং সিদ্ধান্ত নেয় তারা কোনগুলোতে পৌঁছাতে পারবে। উভয় দিক থেকে প্রাপ্ত লগ, IP ঠিকানা এবং সময়ের সাথে যুক্ত হয়ে DSL-কে একটি নামযুক্ত রেকর্ড প্রদান করে।
স্তর ১: ডিভাইস সংযুক্ত হওয়ার সময় পরিচয়
স্টাফদের জন্য স্ট্যান্ডার্ড হলো IEEE 802.1X, যা WPA2-Enterprise এবং WPA3-Enterprise-এর পেছনে পোর্ট-ভিত্তিক অ্যাক্সেস কন্ট্রোল ফ্রেমওয়ার্ক হিসেবে কাজ করে। ডিভাইসটি একটি RADIUS (রিমোট অথেন্টিকেশন ডায়াল-ইন ইউজার সার্ভিস) সার্ভারে ক্রিডেনশিয়াল উপস্থাপন করে, যা আপনার ডিরেক্টরির সাথে এগুলো পরীক্ষা করে দেখে। Purple-এর ক্লাউড RADIUS Microsoft Entra ID, Google Workspace বা Okta-এর সাথে মিলিয়ে স্টাফদের পরিচয় যাচাই করে। আপনি প্রতি বিল্ডিংয়ে একটি করে WiFi পাসওয়ার্ডের বদলে প্রতি ব্যক্তির জন্য একটি অ্যাকাউন্ট পরিচালনা করবেন।
শিক্ষার্থীদের নিজস্ব ফোন, বোর্ডিং-হাউসের কনসোল এবং ক্লাসরুমের যেসব সরঞ্জাম 802.1X পরিচালনা করতে পারে না সেগুলোর জন্য অন্য একটি পথ প্রয়োজন। আইডেন্টিটি প্রি-শেয়ার্ড কী (iPSK) একটি একক SSID (নেটওয়ার্কের নাম)-এ প্রতিটি ব্যক্তি বা ডিভাইসকে তার নিজস্ব WiFi কী প্রদান করে। Purple-এর SecurePass এই জনপ্রতি কীগুলো ইস্যু করে, ফলে ষষ্ঠ-ফর্মের একজন শিক্ষার্থীর ফোন এমন একটি কী দিয়ে যুক্ত হয় যা কেবল তার নিজস্ব।
দর্শনার্থী, ঠিকাদার এবং লিজ নেওয়া গ্রুপগুলো একটি Captive Portal-এর মাধ্যমে যুক্ত হয়। এটি সেই ওয়েব পেজ যা একটি ডিভাইস ইন্টারনেটে পৌঁছানোর আগে দেখতে পায়, যেখানে দর্শনার্থী রেজিস্ট্রেশন করেন অথবা স্টাফদের কোনো সদস্য তাদের স্পন্সর করেন। Guest WiFi সেই রেজিস্ট্রেশন পরিচালনা করে এবং প্রতিটি সেশনের জন্য একটি সময়সীমা নির্ধারণ করে।
RADIUS রেসপন্স প্রতিটি ডিভাইসকে একটি VLAN (ভার্চুয়াল LAN)-এ স্থাপন করতে পারে, যা লজিক্যালি একটি পৃথক নেটওয়ার্ক সেগমেন্ট। ফলে একই অ্যাক্সেস পয়েন্টেও স্টাফ, শিক্ষার্থী এবং দর্শনার্থীরা পৃথক ফিল্টারিং পলিসি সহ পৃথক সেগমেন্টে থাকেন।
স্তর ২: প্রতিটি সেগমেন্টে DNS ফিল্টারিং
কোনো ব্রাউজার বা অ্যাপ একটি সাইটে সংযুক্ত হওয়ার আগে, এটি সেই ডোমেইনের ঠিকানার জন্য একটি DNS রিভলভারকে জিজ্ঞাসা করে। একটি ফিল্টারিং রিভলভার ক্যাটাগরি তালিকার সাথে ডোমেইনটি পরীক্ষা করে। যদি সেই সেগমেন্টে ক্যাটাগরি নিষিদ্ধ থাকে তবে এটি একটি ব্লক পেজ ফেরত দেয়।
যেহেতু এটি লুকআপে কাজ করে, তাই DNS ফিল্টারিং সেগমেন্টের প্রতিটি ডিভাইসকে কভার করে, তা ম্যানেজড হোক বা না হোক। এর জন্য ডিভাইসে কোনো এজেন্ট এবং কোনো ইন্সপেকশন সার্টিফিকেটের প্রয়োজন হয় না। এটি গেস্ট এবং BYOD নেটওয়ার্কের সাথে মানানসই, যা DfE স্ট্যান্ডার্ডের আওতায় পড়ে কিন্তু আপনি তা ম্যানেজ করতে পারেন না। Purple-এর Shield অ্যাড-অন এই লেয়ারে কন্টেন্ট ফিল্টারিং প্রয়োগ করে।
আপনি এখানেও সেফ সার্চ বাধ্যবাধকতামূলক করতে পারেন। Google forcesafesearch.google.com-এ একটি DNS ম্যাপিং নথিভুক্ত করেছে যা আপনার সমাধানকারী ব্যবহার করে যেকোনো ডিভাইসে SafeSearch প্রয়োগ করে। YouTube সীমাবদ্ধ মোডের জন্য restrict.youtube.com-এ একটি অনুরূপ ম্যাপিং সমর্থন করে।
লেয়ার ৩: লগগুলি সংযুক্ত করা
RADIUS অ্যাকাউন্টিং রেকর্ড করে যে কোন আইডেন্টিটি কোন IP অ্যাড্রেস ধারণ করেছিল এবং কখন। DNS ফিল্টার রেকর্ড করে কোন IP অ্যাড্রেস কোন ডোমেনের জন্য অনুরোধ করেছিল এবং কখন। IP এবং টাইমস্ট্যাম্পে এই দুটি সংযুক্ত করুন, এবং একটি ব্লক করা লুকআপ একজন নামযুক্ত শিক্ষার্থী, ডিভাইস এবং সার্চ টার্মে পরিণত হয়।
এই সংযুক্তিটিই হলো যা তৃতীয় স্ট্যান্ডার্ডে বলা হয়েছে যে সম্ভব হলে ব্যক্তিকে শনাক্ত করা। এটি দ্বিতীয় স্ট্যান্ডার্ডের জন্য প্রয়োজনীয় বার্ষিক পর্যালোচনার প্রমাণও সরবরাহ করে: কোন বিভাগগুলি কতবার এবং কোন নেটওয়ার্কে হিট হয়েছিল।
স্টাফ, শিক্ষার্থী এবং গেস্ট নেটওয়ার্কের তুলনা
| নেটওয়ার্ক | কারা কানেক্ট করে | তারা কীভাবে অথেন্টিকেট করে | আইডেন্টিটির উৎস | ফিল্টারিং পলিসি | লগে যার নাম থাকে | অ্যাক্সেস কীভাবে শেষ হয় |
|---|---|---|---|---|---|---|
| স্টাফ | শিক্ষক ও সহায়তা কর্মী, গভর্নর | 802.1X (WPA2- বা WPA3-Enterprise) | Microsoft Entra ID, Google Workspace বা Okta | অবৈধ এবং ক্ষতিকারক কন্টেন্ট ব্লক করা হয়েছে, শিক্ষার উপকরণের জন্য বিস্তৃত অ্যাক্সেস | নামযুক্ত স্টাফ অ্যাকাউন্ট এবং ডিভাইস | ডিরেক্টরিতে অ্যাকাউন্ট ডিজেবল করা হয়েছে |
| শিক্ষার্থী, স্কুলের নিজস্ব ডিভাইস | স্কুলের ল্যাপটপ এবং ট্যাবলেটে শিক্ষার্থীরা | শিক্ষার্থীদের অ্যাকাউন্ট সহ 802.1X, অথবা প্রতি-ডিভাইস কী | স্কুল ডিরেক্টরি | কি স্টেজ অনুযায়ী বয়স-উপযোগী পলিসি, সেফ সার্চ বাধ্যবাধকতামূলক করা হয়েছে | নামযুক্ত শিক্ষার্থী বা অ্যাসেট-ট্যাগ করা ডিভাইস | ডিরেক্টরি থেকে শিক্ষার্থীকে সরিয়ে দেওয়া হয়েছে |
| শিক্ষার্থী BYOD | ষষ্ঠ ফর্মের শিক্ষার্থীদের নিজস্ব ফোন এবং ল্যাপটপ, যেখানে পলিসি অনুমতি দেয় | SecurePass-এর মাধ্যমে প্রতি-ব্যক্তি iPSK | স্কুল ডিরেক্টরি | শিক্ষার্থী পলিসির সাথে VPN, প্রক্সি এবং এনক্রিপ্ট করা DNS বিভাগগুলি ব্লক করা হয়েছে | নামযুক্ত শিক্ষার্থী এবং ডিভাইস | ব্যক্তিগত কী বাতিল করা হয়েছে |
| গেস্ট এবং ভাড়া | ভিজিটর, ঠিকাদার, অভিভাবক, ভাড়া নেওয়া গ্রুপ | রেজিস্ট্রেশন বা স্টাফ স্পন্সরশিপ সহ Captive Portal | ভিজিটর রেজিস্ট্রেশন রেকর্ড | যেখানে শিশুরা কানেক্ট করতে পারে সেখানে অন্তত শিক্ষার্থীদের মূল লাইন | রেজিস্টার্ড ভিজিটর এবং ডিভাইস | সময়ের সীমায় সেশন শেষ হয় |
এটি আপনার ইতিমধ্যে চালিত ফিল্টারিংয়ের সাথে কীভাবে বসে?
বেশিরভাগ স্কুল ইতিমধ্যেই কিছু ফিল্টারিং চালায়। ব্রডব্যান্ড প্রোভাইডার এবং আঞ্চলিক কনসোর্টিয়াম প্রায়ই এটি সরবরাহ করে এবং অনেক ফায়ারওয়ালে ওয়েব ফিল্টারিং অন্তর্ভুক্ত থাকে। স্কুল-মালিকানাধীন ডিভাইসগুলি মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM)-এর মাধ্যমে বিতরণ করা একটি ফিল্টার এজেন্ট বহন করতে পারে। নেটওয়ার্ক অথেন্টিকেশন এবং DNS ফিল্টারিং সম্পূর্ণরূপে প্রতিস্থাপন করার বদলে এই নিয়ন্ত্রণগুলিতে যোগ করে।
| পদ্ধতি | এটি যা দেখে | BYOD এবং গেস্ট ডিভাইস কভার করে | সাইটের বাইরের ডিভাইস কভার করে | প্রধান ব্যবধান |
|---|---|---|---|---|
| DNS filtering | যে সমস্ত ডোমেন নাম অনুসন্ধান করা হয়েছে | হ্যাঁ, আপনার সমাধানকারী (resolver) ব্যবহার করা প্রতিটি ডিভাইসে | না | একক পৃষ্ঠাগুলি ব্লক করা সম্ভব নয়, এবং এনক্রিপ্ট করা DNS বা VPN গুলি ব্লক না করা থাকলে তা এটিকে বাইপাস করে |
| HTTPS পরিদর্শন সহ Firewall filtering | ডিক্রিপশনের পরে পূর্ণ URL এবং সামগ্রী | কেবল ডোমেন স্তরে, কারণ আনম্যানেজড ডিভাইসে আপনার সার্টিফিকেট নেই | না | সার্টিফিকেট ডিপ্লয়মেন্ট, গোপনীয়তা সংক্রান্ত উদ্বেগ এবং যে অ্যাপগুলি পরিদর্শনের ফলে কাজ করা বন্ধ করে দেয় |
| MDM-এর মাধ্যমে Device agent | ডিভাইসের ভেতরের অ্যাক্টিভিটি | না, কেবল স্কুলের মালিকানাধীন ডিভাইসে | হ্যাঁ | দর্শনার্থী, BYOD বা এনরোল না করা ডিভাইসে কিছুই থাকে না |
ব্যবহারিক পদ্ধতিটি হলো স্তরভিত্তিক ব্যবস্থা গ্রহণ করা। স্কুলের ল্যাপটপগুলিতে device agents রাখুন যাতে ফিল্টারিং তাদের বাড়িতেও অনুসরণ করে। BYOD এবং গেস্ট ডিভাইসগুলিতে DNS filtering ব্যবহার করুন যেখানে কোনো এজেন্ট পৌঁছায় না। প্রতি ব্যক্তির জন্য আলাদা অথেনটিকেশন ব্যবহার করুন যাতে উভয় ধরণের লগেই ব্যক্তির নাম উল্লেখ থাকে।
Purple আপনার আগে থেকেই থাকা অ্যাক্সেস পয়েন্টগুলির উপরে ক্লাউড ওভারলে হিসাবে কাজ করে: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet। এটি কীভাবে রিপ্লেসমেন্টের ঝঞ্ঝাট এড়ায় তা আমরা Why your next WiFi upgrade doesn't need new hardware-এ ব্যাখ্যা করেছি। SSID এবং সেগমেন্টেশন ডিজাইনের জন্য দেখুন Network Best Practices for Venues and Enterprises in 2026।
আপনি যদি কর্মীদের WPA3-Enterprise-এ স্থানান্তরিত করেন, তবে প্রোটেক্টেড ম্যানেজমেন্ট ফ্রেম (IEEE 802.11w) বাধ্যতামূলক হয়ে যায়। এগুলি জাল ডিসকানেক্ট ফ্রেমগুলি বন্ধ করে, যা কোনো ডিভাইসকে একটি ফেক নেটওয়ার্কের দিকে ঠেলে দেওয়ার সহজ উপায়। Protected Management Frames: A Practical Guide for 2026 বিস্তারিত আলোচনা করে।
Purple ৮০,০০০+ এর বেশি লাইভ ভেন্যুতে সক্রিয় রয়েছে এবং ২০২৪ সালে ৪৪০ মিলিয়ন লগইন পরিচালনা করেছে (Purple ডাটা), যার আপটাইম ৯৯.৯৯৯%। শিক্ষার ক্ষেত্রে, আমাদের গ্রাহকদের মধ্যে রয়েছে University of Sheffield, University of Leeds এবং University of the Arts London। বিশ্ববিদ্যালয়গুলি KCSIE-এর বাইরে অবস্থিত, তবে আইডেন্টিটি মডেলটি একই।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।
একটি আসল স্কুলের সম্পত্তিতে এটি দেখতে কেমন লাগে?
নীচের উভয় দৃশ্যকল্পই দৃষ্টান্তমূলক। বর্ণনা করা কনফিগারেশন থেকেই ফলাফলগুলি সরাসরি পাওয়া যায়।
একটি মাধ্যমিক বিদ্যালয় তিনটি শেয়ার করা পাসওয়ার্ড সরিয়ে দিয়েছে
পরিস্থিতি। ১,১০০ জন শিক্ষার্থী এবং একটি সিক্সথ ফর্ম সহ একটি মাধ্যমিক বিদ্যালয়ে তিনটি SSID চলে। কর্মীরা একটি কী শেয়ার করেন, সিক্সথ ফর্মের শিক্ষার্থীরা প্রতিটি টার্মে পরিবর্তিত হওয়া একটি কী শেয়ার করে এবং দর্শনার্থীরা অভ্যর্থনা ডেক্স থেকে তাদের কী পড়ে নেন। ফিল্টারিং ব্রডব্যান্ড লাইনে সেট করা রয়েছে। DSL কোনো ব্লক করা অনুসন্ধানকে কোনো ব্যক্তির সাথে যুক্ত করতে পারে না এবং কর্মীদের কী শিক্ষার্থীদের ফোনে পাওয়া গেছে।
যা করা হয়েছিল। কর্মীরা Microsoft Entra ID-এর বিরুদ্ধে 802.1X-এ স্থানান্তরিত হন। প্রতিটি সিক্সথ ফর্মের শিক্ষার্থী একটি শিক্ষার্থী VLAN-এ একটি ব্যক্তিগত SecurePass কী পায়। দর্শনার্থীরা আট ঘণ্টার সেশনের সাথে একটি Captive Portal-এর মাধ্যমে রেজিস্টার করেন। প্রতিটি VLAN-এ DNS filtering চলে, যেখানে নিরাপদ অনুসন্ধান বাধ্যতামূলক করা হয়েছে এবং শিক্ষার্থী ও গেস্ট সেগমেন্টে এনক্রিপ্ট করা DNS এবং VPN ক্যাটাগরিগুলি ব্লক করা হয়েছে।
ফলাফল। শেয়ার করা WiFi পাসওয়ার্ড তিনটি থেকে শূন্যে নেমে এসেছে। স্টাফ এবং ষষ্ঠ-ফর্ম নেটওয়ার্কের প্রতিটি ফিল্টারিং লগ লাইন নির্দিষ্ট কোনো নামযুক্ত অ্যাকাউন্টের সাথে ম্যাপ করা থাকে। IT যখন Entra ID-তে অ্যাকাউন্টটি নিষ্ক্রিয় করে, তখনই স্টাফদের অ্যাক্সেস শেষ হয়ে যায় - পরবর্তী টার্মের কি (key) পরিবর্তনের সময় নয়।
একটি মাল্টি-একাডেমি ট্রাস্ট কমিউনিটি ভাড়ার জন্য তাদের হলগুলো উন্মুক্ত করেছে
পরিস্থিতি। আটটি প্রাথমিক বিদ্যালয়ের একটি ট্রাস্ট সান্ধ্যকালীন ক্লাব, উইকএন্ড ফেয়ার এবং শনিবারের একটি ফুটবল প্রোগ্রামের জন্য তাদের হলগুলো ভাড়া দেয়। ভাড়া নেওয়া গ্রুপগুলো প্রতিটি স্কুলের গেস্ট কি (key) পায়। বেশ কয়েকটি একাডেমি রূপান্তরের পর, সাইটগুলোতে বিভিন্ন লোকাল সেটিংসে Cisco Meraki এবং Ubiquiti UniFi-এর সংমিশ্রণ ব্যবহার করা হয়।
যা করা হয়েছিল। ট্রাস্ট উভয় ভেন্ডরের ওভারলে হিসেবে আটটি সাইটজুড়ে একটি Captive Portal চালু করে। সাইট ম্যানেজাররা প্রতিটি বুকিংয়ের সময়ের সাথে মিলিয়ে লেটিংস (lettings) সেশন স্পনসর করেন। লেটিংস নেটওয়ার্কটি শিক্ষার্থীদের ফিল্টারিং বেসলাইন বজায় রাখে, কারণ ১৮ বছরের কম বয়সীরা বেশিরভাগ বুকিংয়ে উপস্থিত থাকে।
ফলাফল। আটটি লোকাল গেস্ট কনফিগারেশন একটি কেন্দ্রীয় পলিসিতে পরিণত হয়েছে। প্রতিটি লেটিংস ডিভাইস একজন নিবন্ধিত পরিচিতি এবং বুকিংয়ের সাথে সংযুক্ত। ট্রাস্ট এক জায়গা থেকেই আটটি স্কুলের জন্য বার্ষিক পর্যালোচনার প্রমাণ তৈরি করে, যা দ্বিতীয় স্ট্যান্ডার্ড পূরণ করে। WiFi Analytics সাইট অনুযায়ী সংযোগের সংখ্যা দেখায়, যা এস্টেট টিমকে লেটিংসের জন্য কর্মী পরিকল্পনায় সাহায্য করে।
আপনার কোন সীমাবদ্ধতাগুলো জানা উচিত?
DNS ফিল্টারিং ডোমেইন দেখে, পেজ নয়
DNS ফিল্টারিং ডোমেইন নামের উপর ভিত্তি করে সিদ্ধান্ত নেয়। আপনার অনুমোদিত ডোমেইনের একটি ক্ষতিকারক ভিডিও এটি ব্লক করতে পারে না। এর জন্য, ম্যানেজড ডিভাইসে HTTPS ইন্সপেকশন বা প্ল্যাটফর্মের ভিতরের কন্ট্রোল ব্যবহার করুন, যেমন YouTube Restricted Mode।
এনক্রিপ্টেড DNS এবং VPN এটি এড়িয়ে রুট করতে পারে
ব্রাউজারগুলো HTTPS (DoH)-এর মাধ্যমে DNS পাঠাতে পারে, যা এনক্রিপ্ট করা ওয়েব ট্রাফিকের ভেতরে লুকআপগুলোকে লুকিয়ে রাখে এবং আপনার রিজলভারকে এড়িয়ে যায়। জানা থাকা পাবলিক DoH রিজলভার এবং VPN ও প্রক্সি ক্যাটাগরি ব্লক করুন। তারপর ফায়ারওয়ালে আপনার রিজলভার ছাড়া অন্য যেকোনো রিজলভারে আউটবাউন্ড DNS ব্লক করুন। আপনার রিজলভার যখন ক্যানারি ডোমেইন use-application-dns.net ব্লক করে, তখন Firefox ডিফল্ট DoH নিষ্ক্রিয় করে দেয়। UK Safer Internet Centre-এর ফিল্টারিংয়ের সংজ্ঞায় আশা করা হয় যে প্রোভাইডাররা এই ধরনের কৌশল ব্যবস্থাপনা করবে।
মোবাইল ডেটা আপনার নেটওয়ার্কের বাইরে থাকে
4G বা 5G ব্যবহারকারী একজন শিক্ষার্থী কখনোই আপনার WiFi স্পর্শ করে না। KCSIE নিজেই উল্লেখ করেছে যে অনেক শিশুর মোবাইল নেটওয়ার্কের মাধ্যমে অবাধ ইন্টারনেট অ্যাক্সেস রয়েছে। এটি আশা করে যে আপনার অনলাইন নিরাপত্তা পদ্ধতি তা প্রতিফলিত করবে। স্কুলে মোবাইল ফোন সম্পর্কিত DfE-এর ২০২৪ নির্দেশিকা স্কুলের সময় ফোন ব্যবহার নিষিদ্ধ করাকে সমর্থন করে।
লগ হলো প্রমাণ, মনিটরিং নয়
চতুর্থ স্ট্যান্ডার্ড মনিটরিং কৌশল চায়, এবং কেউ পড়ে না এমন একটি লগ কিছুই পূরণ করে না। কারা অ্যালার্ট পর্যালোচনা করবে, কত দ্রুত করবে এবং কীভাবে উদ্বেগগুলো DSL-এর কাছে পৌঁছাবে তা সম্মত হন। ক্লাসরুমে তদারকি করা কৌশলেরই একটি অংশ, কোনো বিকল্প পথ নয়।
অতিরিক্ত ব্লক করার নিজস্ব ঝুঁকি রয়েছে
KCSIE গভর্নিং বডিগুলোকে অতিরিক্ত ব্লক করার বিষয়ে সতর্ক করে যা শিক্ষাদানে অযৌক্তিক বিধিনিষেধের দিকে নিয়ে যায়। কি (key) স্টেজের ভিত্তিতে আলাদা করা স্টাফ এবং শিক্ষার্থীদের পলিসিগুলো ষষ্ঠ-ফর্মের একটি পলিটিক্স ক্লাসকে খবরের সাইটগুলোতে পৌঁছানোর সুযোগ দেয়, যেখানে ৭ম শ্রেণি কড়া ফিল্টারিংয়ের মধ্যে থাকে।
KCSIE শুধুমাত্র England-এর ক্ষেত্রে প্রযোজ্য
Wales, Scotland এবং Northern Ireland স্কুলের জন্য তাদের নিজস্ব সেফগার্ডিং নির্দেশিকা প্রকাশ করে। এখানের আর্কিটেকচারটি চারটি দেশেই কাজ করে, তবে স্থানীয় প্রত্যাশাগুলি যাচাই করে নিন।
আপনার পরবর্তীতে কী করা উচিত?
- প্রতিটি নেটওয়ার্ক ম্যাপ করুন। প্রতিটি সাইটের প্রতিটি SSID-কে তার প্রমাণীকরণ পদ্ধতি এবং ফিল্টার পলিসি সহ তালিকাভুক্ত করুন। শেয়ার্ড কী বা কোনো পলিসি নেই এমন যেকোনো নেটওয়ার্ক চিহ্নিত করুন।
- ভূমিকাগুলি নির্দিষ্ট করুন। প্রথম স্ট্যান্ডার্ডটি ফিল্টারিং এবং মনিটরিংয়ের জন্য একজন সিনিয়র লিডারকে দায়বদ্ধ করার, DSL নেতৃত্ব প্রদান করার এবং একজন নির্দিষ্ট IT প্রোভাইডার থাকার প্রত্যাশা করে। এটি লিখে রাখুন।
- প্রতিটি SSID থেকে পরীক্ষা করুন। SWGfL-এর টেস্ট ফিল্টারিং টুল চেক করে যে একটি কানেকশন IWF এবং CTIRU কন্টেন্ট সহ মূল বিভাগগুলিকে ব্লক করে কিনা। এটি কেবল স্টাফ নেটওয়ার্ক থেকেই নয়, গেস্ট এবং BYOD নেটওয়ার্ক থেকেও রান করুন।
- স্থানান্তরের ক্রম নির্ধারণ করুন। 802.1X-এ স্টাফদের দিয়ে শুরু করুন, কারণ একটি ফাস হয়ে যাওয়া স্টাফ কী শিক্ষার্থীদের সবচেয়ে শিথিল পলিসির মুখোমুখি করে। তারপর শিক্ষার্থী-প্রতি কী যুক্ত করুন, তারপর গেস্ট Captive Portal।
- প্রতিটি সেগমেন্ট অনুযায়ী ফিল্টার করুন। VLAN অনুসারে DNS ফিল্টারিং প্রয়োগ করুন, সেফ সার্চ বাধ্যতামূলক করুন এবং এনক্রিপ্টেড DNS এবং VPN বিভাগগুলি ব্লক করুন।
- প্রশ্নটি মহড়া দিন। কোনো দুর্ঘটনা ঘটয়ার আগেই DSL-এর সাথে জিজ্ঞাসা করুন "কে এটি অনুসন্ধান করেছিল, এবং কখন?"। আপনার বার্ষিক পর্যালোচনায় ফলাফল রেকর্ড করুন।
আপনি যদি বাণিজ্যিক স্থানেও WiFi পরিচালনা করেন, তবে আমাদের Hotel WiFi RFP checklist: authentication, content filtering and guest marketing একটি পাবলিক এস্টেটেও একই প্রশ্নগুলি প্রয়োগ করে।
বারবার জিজ্ঞাসিত প্রশ্নাবলী
KCSIE কি একটি স্কুলের গেস্ট WiFi-এ ফিল্টারিং বাধ্যতামূলক করে?
হ্যাঁ। DfE ফিল্টারিং এবং মনিটরিং স্ট্যান্ডার্ডগুলি বলে যে ফিল্টারিং গেস্ট অ্যাকাউন্ট সহ প্রত্যেকের জন্য এবং আপনার ব্রডব্যান্ড কানেকশন ব্যবহার করা যেকোনো ডিভাইসের জন্য প্রযোজ্য হওয়া উচিত। আপনার ফিল্টারকে বাইপাস করে এমন একটি ভিজিটর বা লেটিংস নেটওয়ার্ক হলো এমন একটি ফাঁক যা আপনার বার্ষিক পর্যালোচনায় ধরা উচিত। ন্যূনতম হিসেবে অবৈধ এবং ক্ষতিকারক কন্টেন্ট ব্লক করুন, এবং যেখানেই শিশুরা কানেক্ট হতে পারে, যেমন ইভনিং ক্লাব, ওপেন ডে এবং ছুটির স্কিমগুলিতে শিক্ষার্থীদের পলিসির সাথে মিল রাখুন।
Purple কি আমাদের কাছে ইতিমধ্যে থাকা অ্যাক্সেস পয়েন্টগুলিতে চলতে পারে?
হ্যাঁ। Purple যেকোনো হার্ডওয়্যারের সাথে সামঞ্জস্যপূর্ণ এবং এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ একটি ক্লাউড ওভারলে হিসেবে চলে। যে ট্রাস্টগুলি অ্যাকাডেমি রূপান্তরের মাধ্যমে মিশ্র হার্ডওয়্যার পায়, তারা প্রতিটি সাইট জুড়ে একটি প্রমাণীকরণ এবং ফিল্টারিং পলিসি চালাতে পারে। আপনি আপনার ভেন্ডরের জন্য Purple-এর সাপোর্ট ডকুমেন্টেশন অনুসরণ করে, আপনার কন্ট্রোলারগুলিকে Purple-এর ক্লাউড RADIUS এবং Captive Portal-এর দিকে নির্দেশ করেন।
আমাদের কি আমাদের ব্রডব্যান্ড প্রোভাইডারের ফিল্টার পরিবর্তন করতে হবে?
না। অনেক স্কুল তাদের প্রোভাইডার বা কনসোর্টিয়াম ফিল্টার বজায় রাখে এবং ব্যক্তি-প্রতি প্রমাণীকরণ যোগ করে, যাতে এর লগগুলিতে IP ঠিকানার বদলে একজন ব্যক্তির নাম থাকে। অন্যরা BYOD এবং গেস্ট সেগমেন্টগুলিতে DNS ফিল্টারিং যোগ করে যা বিদ্যমান ফিল্টারটিতে পৌঁছায় না। আপনি যা-ই চালান না কেন, এটি UK Safer Internet Centre-এর উপযুক্ত ফিল্টারিং সংজ্ঞা পূরণ করে কিনা তা পরীক্ষা করে নিন। এছাড়াও আপনার প্রোভাইডার CTIRU তালিকা ব্লককারী একজন IWF মেম্বার কিনা তা নিশ্চিত করুন।
কেবল DNS ফিল্টারিং কি DfE স্ট্যান্ডার্ড পূরণ করার জন্য যথেষ্ট?
না। DNS ফিল্টারিং ফিল্টারিং স্ট্যান্ডার্ডের জন্য আপনার নেটওয়ার্কের প্রতিটি ডিভাইসকে কভার করে, তবে এটি সম্পূর্ণ পেজের চেয়ে ডোমেনগুলি দেখে। এটি নিজস্বভাবে নজরদারির জন্য কিছুই করে না। স্ট্যান্ডার্ডগুলি নির্দিষ্ট ভূমিকা, একটি বার্ষিক পর্যালোচনা এবং আপনার DSL-এর নেতৃত্বে পরিচালিত একটি মনিটরিং কৌশলেরও প্রত্যাশা করে। DNS ফিল্টারিং-এর সাথে ব্যক্তিভিত্তিক যাচাইকরণ, স্কুলের মালিকানাধীন কিটে ডিভাইস এজেন্ট এবং শ্রেণীকক্ষে তত্ত্বাবধানের সমন্বয় করুন।
কোনো কর্মী চাকরি ছেড়ে দিলে WiFi অ্যাক্সেসের কী হয়?
Identity-Based Networks-এর সাথে, আপনি Microsoft Entra ID, Google Workspace বা Okta-তে অ্যাকাউন্ট নিষ্ক্রিয় করলে অ্যাক্সেস শেষ হয়ে যায়। কর্মীরা আপনার ডিরেক্টরির বিরুদ্ধে 802.1X-এর মাধ্যমে প্রামাণিকতা যাচাই করেন, তাই প্রপ্রাক্তন কর্মচারীর ফোনে কোনো যৌথ কী থেকে যায় না। যোগদানকারী, স্থানান্তরিত এবং বিদায়ী কর্মীরা আপনার আগে থেকেই চালু থাকা HR প্রক্রিয়া অনুসরণ করেন। আপনাকে আর প্রতিটি বিদায়ের পর একটি যৌথ পাসওয়ার্ড পরিবর্তন এবং প্রতিটি ডিভাইস পুনরায় কী-ইন করতে হবে না।
শিক্ষার্থীদের নিজস্ব ফোন কীভাবে পরিচালনা করা উচিত?
প্রথমে নীতি সেট করুন, তারপর নেটওয়ার্কে এটি প্রয়োগ করুন। DfE-এর 2024 মোবাইল ফোন নির্দেশিকা অনুসারে শিক্ষার্থীরা যদি দিনের বেলা ফোন ব্যবহার করতে না পারে, তবে তাদের স্কুলের WiFi থেকে সম্পূর্ণরূপে দূরে রাখুন। যদি ষষ্ঠ শ্রেণীর শিক্ষার্থীরা সংযোগ করতে পারে, তবে একটি ফিল্টার করা শিক্ষার্থী সেগমেন্টে প্রতিটি শিক্ষার্থীকে একটি ব্যক্তিগত SecurePass কী দিন। 4G বা 5G-তে থাকা ফোনগুলি আপনার নেটওয়ার্ককে বাইপাস করে, তাই আচরণ নীতি এবং তত্ত্বাবধান এখনও গুরুত্বপূর্ণ।
GDPR-এর অধীনে প্রামাণিকতা এবং ফিল্টারিং ডেটা কীভাবে পরিচালনা করা হয়?
Purple হলো GDPR মেনে চলা এবং ISO 27001 ও Cyber Essentials দ্বারা প্রত্যয়িত। নির্দিষ্ট শিক্ষার্থীর সাথে অনুসন্ধানের শর্তাবলী যুক্ত করা লগগুলি শিশুদের সম্পর্কে ব্যক্তিগত ডেটা। সেগুলি চালু করার আগে একটি ডেটা সুরক্ষা প্রভাব মূল্যায়ন সম্পন্ন করুন। আপনার সেফগার্ড নীতি মেলে এমন একটি ধরে রাখার সময়কাল সেট করুন এবং DSL ও নির্দিষ্ট ডেপুটিদের অ্যাক্সেস সীমাবদ্ধ করুন। আপনার গোপনীয়তা বিজ্ঞপ্তিতে আইনি ভিত্তি রেকর্ড করুন।
মূল সংজ্ঞাসমূহ
Keeping Children Safe in Education (KCSIE)
Department for Education-এর সংবিধিবদ্ধ নির্দেশিকা যা ইংল্যান্ডের স্কুল এবং কলেজগুলিকে সেফগার্ডিং দায়িত্ব পালনের সময় অবশ্যই মেনে চলতে হবে। এটি গভর্নিং বডি এবং স্বত্বাধিকারীদের উপযুক্ত ফিল্টারিং এবং মনিটরিংয়ের জন্য দায়বদ্ধ করে। এটি চারমুখী ঝুঁকি ক্ষেত্র জুড়ে ডেজিগনেটেড সেফগার্ডিং লিডকে অনলাইন নিরাপত্তার দায়িত্ব দেয়: কন্টেন্ট, কন্ট্যাক্ট, কন্ডাক্ট এবং কমার্স।
KCSIE আপনার WiFi-কে একটি সেফগার্ডিং কন্ট্রোলে পরিণত করে। এমন যেকোনো SSID যা আপনার ফিল্টারকে বাইপাস করে, অথবা কোনো ব্যক্তির কার্যকলাপ চিহ্নিত করতে পারে না, তা একটি ফাঁক হয়ে দাঁড়ায় যার জন্য আপনার গভর্নিং বডি দায়বদ্ধ।
DfE filtering and monitoring standards
স্কুল এবং কলেজের জন্য DfE-এর চারটি স্ট্যান্ডার্ড, যা প্রথম মার্চ ২০২৩-এ প্রকাশিত হয়েছিল। এগুলি নির্দিষ্ট ভূমিকা এবং দায়িত্ব, ব্যবস্থার একটি বার্ষিক পর্যালোচনা, শিক্ষাদানে অযৌক্তিক প্রভাব না ফেলে ক্ষতিকারক কন্টেন্ট ব্লক করা এবং কার্যকর মনিটরিং কৌশলগুলি কভার করে। তৃতীয় স্ট্যান্ডার্ডটি গেস্ট অ্যাকাউন্ট এবং আপনার ব্রডব্যান্ড ব্যবহার করা যেকোনো ডিভাইসে ফিল্টারিং প্রত্যাশা করে, যেখানে লগে ডিভাইস, IP ঠিকানা, সময়, ব্লক করা কন্টেন্ট এবং যেখানে সম্ভব, ব্যক্তিকে দেখানো হয়।
এই স্ট্যান্ডার্ডগুলি এমন পরীক্ষা নির্ধারণ করে যা আপনার নেটওয়ার্ক ডিজাইনকে অবশ্যই পাস করতে হবে। তৃতীয় স্ট্যান্ডার্ডটি গেস্ট, লেটিংস এবং BYOD নেটওয়ার্কগুলিকে এর আওতায় নিয়ে আসে।
Designated safeguarding lead (DSL)
KCSIE কর্তৃক নির্ধারিত স্টাফের জ্যেষ্ঠ সদস্য যার ওপর সেফগার্ডিং এবং অনলাইন সুরক্ষার প্রধান দায়িত্ব অর্পিত হয়, যার মধ্যে কার্যকর ফিল্টারিং এবং মনিটরিং সিস্টেমগুলো সম্পর্কে সম্যক ধারণা দেখাও অন্তর্ভুক্ত। প্রথম DfE স্ট্যান্ডার্ডটি প্রত্যাশা করে যে DSL একজন দায়িত্বশীল জ্যেষ্ঠ নেতা এবং একটি নির্দিষ্ট IT প্রদানকারীর সাথে একত্রে নেতৃত্ব দেবেন।
DSL হলেন সেই ব্যক্তি যিনি জিজ্ঞাসা করেন কে এবং কখন একটি ক্ষতিকারক শব্দ সার্চ করেছে। আপনার অথেন্টিকেশন এবং লগিং ডিজাইনকে তাদের একজন নির্দিষ্ট ব্যক্তির উত্তর দিতে হবে।
IEEE 802.1X
পোর্ট ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের জন্য IEEE স্ট্যান্ডার্ড। এটি ডিভাইস, অ্যাক্সেস পয়েন্ট এবং একটি অথেন্টিকেশন সার্ভারের মধ্যে Extensible Authentication Protocol (EAP) আদান-প্রদান পরিচালনা করে এবং WPA2-Enterprise ও WPA3-Enterprise-এর মূল ভিত্তি হিসেবে কাজ করে। প্রতিটি ডিভাইস কোনো শেয়ার করা কী-এর পরিবর্তে ব্যক্তিগত পরিচয়পত্র বা ক্রেডেনশিয়াল দিয়ে সেটিকে অথেন্টিকেট করে।
এটি স্টাফ এবং স্কুলের নিজস্ব শিক্ষার্থীর ডিভাইসের জন্য ব্যবহৃত পদ্ধতি। আপনার ডিরেক্টরিতে অ্যাকাউন্টটি নিষ্ক্রিয় করার সাথেই অ্যাক্সেস সমাপ্ত হয়, পরবর্তী শেয়ার করা পাসওয়ার্ড পরিবর্তনের সময় নয়।
RADIUS
Remote Authentication Dial-In User Service হলো IETF RFC 2865-এ সংজ্ঞায়িত অথেন্টিকেশন, অথরাইজেশন এবং অ্যাকাউন্টিং প্রোটোকল, যার অ্যাকাউন্টিং RFC 2866-এ অন্তর্ভুক্ত। সার্ভারটি একটি ডিরেক্টরির সাথে ক্রেডেনশিয়াল যাচাই করে এবং উক্ত সেশনের জন্য একটি VLAN অ্যাসাইনমেন্টের মতো অ্যাট্রিবিউট ফিরিয়ে দিতে পারে।
Purple-এর ক্লাউড RADIUS স্টাফদের Microsoft Entra ID, Google Workspace বা Okta-এর সাথে যাচাই করে। এটি প্রতিটি ডিভাইসকে সঠিক সেগমেন্টে স্থানান্তর করে, যা নির্ধারণ করে কোন ফিল্টারিং পলিসি প্রযোজ্য হবে।
RADIUS accounting
IETF RFC 2866-এ নির্দিষ্ট করা RADIUS-এর অ্যাকাউন্টিং ফাংশন। এটি টাইমস্ট্যাম্পসহ অথেন্টিকেট করা পরিচয় এবং উক্ত সেশনের জন্য অ্যাসাইন করা IP ঠিকানাসহ সেশন শুরু, বন্ধ এবং অন্তর্বর্তী আপডেট রেকর্ড করে।
অ্যাকাউন্টিং রেকর্ডগুলো হলো লগ জয়েনিংয়ের পরিচয়ের অংশ। এগুলো ছাড়া, একটি DNS ফিল্টার লগ কেবল একটি IP ঠিকানা দেখায়, যার লিজ শেষ হলে সেটি অন্য ডিভাইসে স্থানান্তরিত হয়।
Identity pre-shared key (iPSK)
একটি WPA2-Personal ধাঁচের পদ্ধতি যেখানে প্রতিটি ব্যক্তি বা ডিভাইস একটি একক SSID-তে নিজস্ব অনন্য প্রি-শেয়ার্ড কী লাভ করে। অথেন্টিকেশন সার্ভার প্রতিটি কী-কে একটি পরিচয় এবং পলিসির সাথে ম্যাপ করে, যাতে 802.1X চালাতে না পারা ডিভাইসগুলোও চিহ্নিত করা যায় এমন ক্রেডেনশিয়ালের মাধ্যমে সংযুক্ত হতে পারে।
iPSK সিক্সথ ফর্মের নিজস্ব ফোন, বোর্ডিং হাউসের কনসোল এবং ক্লাসরুম কিটের জন্য উপযুক্ত। Purple-এর SecurePass এই ব্যক্তিভিত্তিক কীগুলো ইস্যু এবং বাতিল করে।
Captive portal
একটি ডিভাইস নেটওয়ার্কের সাথে যুক্ত হওয়ার পর এবং ইন্টারনেটে পৌঁছানোর আগে তাকে প্রদর্শিত একটি ওয়েব পেজ। দর্শনার্থী নিবন্ধন না করা, শর্তাবলী স্বীকার না করা বা স্পনসর না হওয়া পর্যন্ত এটি সাধারণত HTTP অনুরোধগুলোকে ইন্টারসেপ্ট করে, যার পরে একটি নির্দিষ্ট সেশন সময়ের জন্য অ্যাক্সেস দেওয়া হয়।
দর্শনার্থী, ঠিকাদার, অভিভাবক এবং ভাড়াটিয়া গোষ্ঠী এখানে নিবন্ধন করেন। প্রতিটি গেস্ট ডিভাইস একজন নিবন্ধিত পরিচিতির সাথে লিঙ্ক করে, যা গেস্ট অ্যাকাউন্টের তৃতীয় স্ট্যান্ডার্ডের প্রত্যাশা পূরণ করে।
VLAN
একটি ভার্চুয়াল LAN হলো IEEE 802.1Q ফ্রেম ট্যাগিং দ্বারা সংজ্ঞায়িত লজিক্যালি পৃথক লেয়ার 2 নেটওয়ার্ক সেগমেন্ট। RADIUS প্রতি সেশনে একটি VLAN অ্যাসাইন করতে পারে, তাই একই অ্যাক্সেস পয়েন্টে থাকা ডিভাইসগুলো ভিন্ন ভিন্ন সেগমেন্টে যুক্ত হয়।
স্টাফ, শিক্ষার্থী এবং অতিথিদের জন্য পৃথক VLAN আপনাকে শেয়ার করা হার্ডওয়্যারে বিভিন্ন DNS ফিল্টারিং পলিসি, যেমন কি-স্টেজ অনুযায়ী বয়স-উপযোগী নিয়ম প্রয়োগ করতে দেয়।
DNS filtering
ডোমেইন নেম সিস্টেম রিজলভারে প্রয়োগ করা ফিল্টারিং, যা ডোমেইন নামগুলোকে IP ঠিকানায় রূপান্তর করে। রিজলভার প্রতিটি অনুরোধ করা ডোমেইন ক্যাটাগরি তালিকার সাথে যাচাই করে এবং নিষিদ্ধ ক্যাটাগরির জন্য একটি ব্লক পেজ প্রদর্শন করে। এটি সম্পূর্ণ URL বা পেজের তথ্যের ওপর নয়, কেবল ডোমেইন লুকআপের ওপর কাজ করে।
DNS ফিল্টারিং কোনো এজেন্ট বা ইন্সপেকশন সার্টিফিকেট ছাড়াই আপনার রিজলভার ব্যবহার করে এমন প্রতিটি ডিভাইসকে কভার করে। এটি BYOD এবং গেস্ট নেটওয়ার্কের জন্য উপযুক্ত যা আপনি পরিচালনা করতে পারেন না। Purple-এর Shield অ্যাড-অন এই লেয়ারে ফিল্টারিং প্রয়োগ করে।
DNS over HTTPS (DoH)
IETF RFC 8484-এ সংজ্ঞায়িত একটি প্রোটোকল যা এনক্রিপ্ট করা HTTPS ট্রাফিকের ভেতরে DNS কোয়েরি পাঠায়, যা নেটওয়ার্কের কনফিগার করা রিজলভারকে বাইপাস করে। লোকাল রিজলভার যখন তার ক্যানারি ডোমেইন use-application-dns.net ব্লক করে, তখন Firefox ডিফল্ট DoH নিষ্ক্রিয় করে দেয়।
DoH হলো DNS ফিল্টারিং বাইপাস করার একটি সাধারণ উপায়। পরিচিত পাবলিক DoH রিজলভারগুলো ব্লক করুন, আপনার রিজলভার ছাড়া অন্য যেকোনো রিজলভারে আউটবাউন্ড DNS ব্লক করুন এবং ক্যানারি ডোমেইন ব্লক করুন।
IWF এবং CTIRU তালিকা
Internet Watch Foundation (IWF) হলো UK-এর একটি সংস্থা যা শিশু যৌন নির্যাতনের কন্টেন্ট শনাক্ত করে এবং সদস্য সংস্থাগুলিকে ব্লক তালিকা প্রদান করে। Counter-Terrorism Internet Referral Unit (CTIRU) তালিকা বেআইনি সন্ত্রাসী কন্টেন্ট শনাক্ত করে। DfE মানকগুলি ফিল্টারিং প্রদানকারীদের IWF সদস্য হওয়ার এবং CTIRU কন্টেন্ট ব্লক করার প্রত্যাশা করে।
আপনার বাছাই করা যেকোনো প্রদানকারীকে উভয় তালিকা নিশ্চিত করতে বলুন। UK Safer Internet Centre-এর উপযুক্ত ফিল্টারিং সংজ্ঞার বিপরীতে তাদের সেলফ-সার্টিফিকেশনের অনুরোধ করুন।
সমাধানকৃত উদাহরণসমূহ
১,১০০ জন শিক্ষার্থীর একটি সেকেন্ডারি স্কুল স্টাফ, ষষ্ঠ শ্রেণীর শিক্ষার্থী এবং দর্শকদের জন্য শেয়ার্ড কী-এর মাধ্যমে তিনটি SSID পরিচালনা করে। ফিল্টারিং ব্রডব্যান্ড লাইনে সেট করা আছে। DSL কোনো ব্লক করা সার্চের জন্য কোনো নির্দিষ্ট ব্যক্তিকে চিহ্নিত করতে পারে না, এবং স্টাফদের কী শিক্ষার্থীদের ফোনে চলে এসেছে। স্কুলের কীভাবে ব্যক্তিনির্ধারণের সমস্যা সমাধান করা উচিত?
স্টাফ সদস্যরা Microsoft Entra ID-এর বিপরীতে 802.1X-এ স্থানান্তরিত হন, ফলে প্রতিটি সংযোগ একটি নির্দিষ্ট অ্যাকাউন্টের নাম ব্যবহার করে। প্রতিটি ষষ্ঠ শ্রেণীর শিক্ষার্থী একটি শিক্ষার্থী VLAN-এ একটি ব্যক্তিগত SecurePass কী পায়। দর্শকরা আট ঘণ্টার সেশন সহ Captive Portal-এর মাধ্যমে নিবন্ধন করেন। DNS ফিল্টারিং প্রতি VLAN-এ চলে, যেখানে নিরাপদ সার্চ বাধ্যতাকূলভাবে কার্যকর করা হয় এবং এনক্রিপ্ট করা DNS ও VPN ক্যাটাগরিগুলি শিক্ষার্থী এবং গেস্ট সেগমেন্টে ব্লক করা হয়। শেয়ার্ড WiFi পাসওয়ার্ড তিনটি থেকে শূন্যে নেমে আসে। স্টাফ এবং ষষ্ঠ শ্রেণীর নেটওয়ার্কের প্রতিটি ফিল্টারিং লগ লাইন একটি নির্দিষ্ট অ্যাকাউন্টের সাথে ম্যাপ করে। স্টাফদের অ্যাক্সেস শেষ হয় যখন IT Entra ID-তে অ্যাকাউন্টটি নিষ্ক্রিয় করে, পরবর্তী মেয়াদী কী পরিবর্তনের সময় নয়। দৃশ্যপটটি উদাহরণমূলক, যেখানে কনফিগারেশনের ভিত্তিতে ফলাফল পাওয়া গেছে।
আটটি প্রাইমারি স্কুলের একটি মাল্টি-একাডেমি ট্রাস্ট সান্ধ্যকালীন ক্লাব, উইকএন্ড মেলা এবং শনিবারের ফুটবলের জন্য তাদের হল ঘরগুলি ভাড়া দেয়। ভাড়া নেওয়া দলগুলি প্রতিটি স্কুলের গেস্ট কী পায়। সাইটগুলি বিভিন্ন লোকাল সেটিংস সহ Cisco Meraki এবং Ubiquiti UniFi-এর মিশ্রণ পরিচালনা করে। ট্রাস্ট কীভাবে ভাড়া দেওয়া WiFi-কে DfE স্ট্যান্ডার্ডের সাথে সামঞ্জস্যপূর্ণ করতে পারে?
ট্রাস্ট উভয় ভেন্ডরের ওপর ক্লাউড ওভারলে হিসেবে আটটি সাইট জুড়েই একটি Captive Portal প্রয়োগ করে, তাই কোনো হার্ডওয়্যার পরিবর্তন করার প্রয়োজন হয় না। সাইট ম্যানেজাররা প্রতিটি বুকিংয়ের সময় অনুযায়ী ভাড়া নেওয়ার সেশন স্পন্সর করেন। ভাড়া দেওয়া নেটওয়ার্কটি শিক্ষার্থীদের ফিল্টারিং বেসলাইন বহন করে, কারণ ১৮ বছরের কম বয়সী অনেকেই বেশিরভাগ বুকিংয়ে উপস্থিত থাকে। আটটি লোকাল গেস্ট কনফিগারেশন একটি কেন্দ্রীয় পলিসিতে পরিণত হয়। প্রতিটি ভাড়া নেওয়া ডিভাইস একজন নিবন্ধিত পরিচিতি এবং বুকিংয়ের সাথে যুক্ত হয়। ট্রাস্ট এক স্থান থেকেই আটটি স্কুলের জন্য বার্ষিক পর্যালোচনার প্রমাণ তৈরি করে, যা দ্বিতীয় স্ট্যান্ডার্ডের উত্তর দেয়। WiFi Analytics সাইট অনুযায়ী সংযোগের সংখ্যা দেখায়, যা এস্টেট টিমকে ভাড়ার স্টাফিং পরিকল্পনা করতে সাহায্য করে। দৃশ্যপটটি উদাহরণমূলক।
প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী
KCSIE কি কোনো স্কুলের গেস্ট WiFi-এ ফিল্টারিং বাধ্যতামূলক করে?
হ্যাঁ। DfE ফিল্টারিং এবং মনিটরিং মানগুলিতে বলা হয়েছে যে ফিল্টারিং গেস্ট অ্যাকাউন্ট সহ প্রত্যেকের জন্য এবং আপনার ব্রডব্যান্ড কানেকশন ব্যবহার করে এমন যেকোনো ডিভাইসের জন্য প্রযোজ্য হওয়া উচিত। আপনার ফিল্টারকে বাইপাস করে এমন একটি ভিজিটর বা লেটিংস নেটওয়ার্ক হলো এমন একটি ফাঁক যা আপনার বার্ষিক পর্যালোচনায় ধরা পরা উচিত। ন্যূনতম হিসেবে বেআইনি এবং ক্ষতিকারক কন্টেন্ট ব্লক করুন, এবং সন্ধ্যায় ক্লাব, ওপেন ডে ও ছুটির ক্লাসের মতো যেখানেই শিশুরা কানেক্ট করতে পারে সেখানে Pupil পলিসির সাথে মেলান।
আমাদের কাছে আগে থেকেই থাকা অ্যাক্সেস পয়েন্টগুলিতে কি Purple চলতে পারে?
হ্যাঁ। Purple যেকোনো হার্ডওয়্যারের সাথে সামঞ্জস্যপূর্ণ এবং Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ ক্লাউড ওভারলে হিসেবে কাজ করে। যে ট্রাস্টগুলি একাডেমি রূপান্তরের মাধ্যমে মিশ্র হার্ডওয়্যার পায়, তারা প্রতিটি সাইট জুড়ে একটি অথেন্টিকেশন এবং ফিল্টারিং পলিসি চালাতে পারে। আপনার ভেন্ডারের জন্য Purple-এর সহায়তা ডকুমেন্টেশন অনুসরণ করে আপনি আপনার কন্ট্রোলারগুলিকে Purple-এর ক্লাউড RADIUS এবং Captive Portal-এর দিকে নির্দেশ করতে পারেন।
আমাদের কি ব্রডব্যান্ড প্রদানকারীর ফিল্টার পরিবর্তন করতেই হবে?
না। অনেক স্কুল তাদের প্রদানকারী বা কনসোর্টিয়াম ফিল্টার বজায় রাখে এবং ব্যক্তিভিত্তিক অথেন্টিকেশন যোগ করে, ফলে এর লগগুলি একটি IP ঠিকানার পরিবর্তে একজন ব্যক্তির নাম চিহ্নিত করে। অন্যরা BYOD এবং গেস্ট সেগমেন্টে DNS ফিল্টারিং যোগ করে যা বিদ্যমান ফিল্টার পৌঁছায় না। আপনি যা-ই চালান না কেন, এটি UK Safer Internet Centre-এর উপযুক্ত ফিল্টারিং সংজ্ঞা পূরণ করে কিনা তা পরীক্ষা করে দেখুন। এছাড়াও নিশ্চিত করুন যে আপনার প্রদানকারী একটি IWF সদস্য যিনি CTIRU তালিকা ব্লক করেন।
DfE মান পূরণের জন্য কি কেবল DNS ফিল্টারিং-ই যথেষ্ট?
না। DNS ফিল্টারিং ফিল্টারিং মানকটির জন্য আপনার নেটওয়ার্কের প্রতিটি ডিভাইসকে কভার করে, তবে এটি পূর্ণাঙ্গ পেজের বদলে ডোমেইনগুলি দেখে। এটি মনিটরিংয়ের জন্য একা কিছুই করে না। মানকগুলি নির্দিষ্ট ভূমিকা, একটি বার্ষিক পর্যালোচনা এবং আপনার DSL-এর নেতৃত্বে মানুষের দ্বারা পরিচালিত একটি মনিটরিং কৌশলেরও প্রত্যাশা করে। DNS ফিল্টারিংয়ের সাথে ব্যক্তিভিত্তিক অথেন্টিকেশন, স্কুলের নিজস্ব ডিভাইসে ডিভাইস এজেন্ট এবং শ্রেণীকক্ষে পর্যবেক্ষণ যুক্ত করুন।
কোনো স্টাফ সদস্য চলে গেলে WiFi অ্যাক্সেসের কী হয়?
Identity-Based Networks-এর সাথে, আপনি Microsoft Entra ID, Google Workspace বা Okta-তে অ্যাকাউন্ট নিষ্ক্রিয় করলেই অ্যাক্সেস শেষ হয়ে যায়। স্টাফরা আপনার ডিরেক্টরির বিপরীতে 802.1X-এর মাধ্যমে অথেন্টিকেট করে, তাই কোনো প্রাক্তন কর্মচারীর ফোনে শেয়ার করা কী থেকে যায় না। নতুন যোগদানকারী, স্থানান্তরিত এবং বিদায়ী ব্যক্তিরা আপনার পরিচালিত HR প্রক্রিয়া অনুসরণ করে। প্রতিবার কেউ চাকরি ছাড়ার পর আপনাকে আর শেয়ার করা পাসওয়ার্ড পরিবর্তন করতে হয় না এবং প্রতিটি ডিভাইসে নতুন করে রি-কী করতে হয় না।
শিক্ষার্থীদের নিজস্ব ফোন আমাদের কীভাবে হ্যান্ডেল করা উচিত?
প্রথমে নীতি নির্ধারণ করুন, তারপর এটি নেটওয়ার্কে প্রয়োগ করুন। DfE-এর ২০২৪ সালের মোবাইল ফোন নির্দেশিকা অনুসারে যদি শিক্ষার্থীরা দিনের বেলা ফোন ব্যবহার করতে না পারে, তবে তাদের স্কুলের WiFi থেকে পুরোপুরি দূরে রাখুন। যদি ষষ্ঠ শ্রেণীর শিক্ষার্থীদের সংযোগ করার অনুমতি থাকে, তবে তাদের প্রতিটি শিক্ষার্থীকে একটি ফিল্টার করা শিক্ষার্থী সেগমেন্টে একটি ব্যক্তিগত SecurePass কি দিন। 4G বা 5G-তে চলা ফোনগুলো আপনার নেটওয়ার্ককে বাইপাস করে, তাই আচরণগত নীতি এবং তদারকি এখনও গুরুত্বপূর্ণ।
GDPR-এর অধীনে প্রমাণীকরণ এবং ফিল্টারিং ডেটা কীভাবে হ্যান্ডেল করা হয়?
Purple হলো GDPR অনুcompliant এবং ISO 27001 ও Cyber Essentials সার্টিফাইড। কোনো নামোল্লিখিত শিক্ষার্থীকে সার্চ টার্মের সাথে যুক্ত করে এমন লগগুলো শিশুদের ব্যক্তিগত ডেটা। আপনি সেগুলো চালু করার আগে একটি ডেটা সুরক্ষা প্রভাব মূল্যায়ন সম্পন্ন করুন। আপনার সেফগার্ডিং নীতির সাথে মিলে যায় এমন একটি রিটেনশন পিরিয়ড নির্ধারণ করুন এবং DSL ও মনোনীত ডেপুটিদের জন্য অ্যাক্সেস সীমাবদ্ধ করুন। আপনার গোপনীয়তা বিজ্ঞপ্তিতে আইনি ভিত্তি রেকর্ড করুন।
এই সিরিজে পড়া চালিয়ে যান
CIPA compliance: ভেন্যু অপারেটরদের জন্য একটি কমপ্লায়েন্স চেকলিস্ট
আপনি সিদ্ধান্ত নিতে পারবেন CIPA আপনার WiFi-কে বাধ্য করে কিনা, তারপর নেটওয়ার্ক সেগমেন্ট করতে পারবেন, Purple Shield-এর মাধ্যমে DNS রাউট করতে পারবেন এবং বাইপাস রুট বন্ধ করতে পারবেন। Form 486 বা Form 479 সার্টিফিকেশনের জন্য কী প্রমাণ রাখতে হবে তাও আপনি জানতে পারবেন। এই চেকলিস্টটি প্রতিটি প্রয়োজনীয়তার জন্য একজন দায়িত্বশীল ব্যক্তি নির্ধারণ করে, যাতে আপনার পরবর্তী ফান্ডিং বছরের সার্টিফিকেশনে কোনো কিছুই বাদ না পড়ে।
WPA3 transition mode কানেকশন ব্যর্থতা: Cisco Meraki, HPE Aruba এবং Ruckus-এর জন্য একটি ডিপ্লয়মেন্ট চেকলিস্ট
ডিভাইসগুলো কেন একটি WPA3 SAE transition mode SSID-তে ব্যর্থ হচ্ছে তা নির্ণয় করতে এবং Cisco Meraki, HPE Aruba বা Ruckus-এ এটি সমাধান করতে এই চেকলিস্টটি ব্যবহার করুন। আপনি 802.11 স্ট্যাটাস কোডগুলোর সাথে কারণগুলো মেলাবেন, PMF, 802.11r এবং 6GHz সমস্যাগুলো আলাদা করবেন এবং কখন একটি WPA3-only SSID-তে স্থানান্তরিত হতে হবে তা সিদ্ধান্ত নেবেন।
সেরা DNS filtering: ব্যবসার জন্য একটি বিস্তৃত নির্দেশিকা
এই প্রযুক্তিগত রেফারেন্স নির্দেশিকাটি ব্যাখ্যা করে যে কীভাবে এন্টারপ্রাইজ DNS filtering কোনো সংযোগ স্থাপন করার আগেই রেজোলিউশন স্তরে ক্ষতিকারক ডোমেনগুলিকে ব্লক করে পাবলিক নেটওয়ার্কগুলিকে সুরক্ষিত করে। এটি আইটি ডিরেক্টর, নেটওয়ার্ক আর্কিটেক্ট এবং ভেন্যু অপারেশন টিমকে ডেপ্লয়মেন্ট আর্কিটেকচার, ফায়ারওয়াল কনফিগারেশন এবং কমপ্লায়েন্স প্রসঙ্গ প্রদান করে যা তাদের আতিথেয়তা, খুচরা বিক্রয় এবং পাবলিক সেক্টরের পরিবেশ জুড়ে Guest WiFi সুরক্ষিত করতে প্রয়োজন। Purple Shield ৮০,০০০+ লাইভ ভেন্যু জুড়ে DNS স্তরে ম্যালওয়্যার, বটনেট এবং অনুপযুক্ত সামগ্রী ব্লক করে।
আপনার নির্দিষ্ট সেটআপ নিয়ে কোনো প্রশ্ন আছে?
আমাদের টিম ৮০,০০০ ভেন্যুতে ভেন্যু অপারেটর, IT ম্যানেজার এবং নেটওয়ার্ক ইঞ্জিনিয়ারদের সাথে কাজ করে। একটি ২০ মিনিটের কল বুক করুন এবং আপনার মতো অন্যরা কীভাবে এর সমাধান করেছেন তা আমরা আপনাকে দেখাব।