Legacy NAC থেকে Cloud-Native NAC-এ স্থানান্তরের চেকলিস্ট

The Checklist for Migrating from Legacy NAC to Cloud-Native NAC একটি Purple WiFi Intelligence Briefing — প্রায় ১০ মিনিট --- INTRODUCTION AND CONTEXT — প্রায় ১ মিনিট Purple WiFi Intelligence Briefing-এ আপনাকে স্বাগত। আমি আপনার হোস্ট, এবং আজ আমরা নেটওয়ার্ক আর্কিটেক্ট ও IT ডিরেক্টরদের মুখোমুখি হওয়া সবচেয়ে গুরুত্বপূর্ণ অবকাঠামোগত সিদ্ধান্তগুলোর একটি নিয়ে আলোচনা করছি: লেগ্যাসি Network Access Control থেকে একটি ক্লাউড-নেটিভ NAC আর্কিটেকচারে স্থানান্তরিত হওয়া। আপনি যদি কোনো হোটেল গ্রুপ, রিটেইল এস্টেট, স্টেডিয়াম বা পাবলিক-সেক্টর ক্যাম্পাস পরিচালনা করেন, তবে সম্ভাবনা খুব বেশি যে আপনার বর্তমান NAC ডিপ্লয়মেন্টের মেয়াদ শেষ হয়ে গেছে, এটি স্কেল করতে হিমশিম খাচ্ছে, অথবা এমন কিছু কমপ্লায়েন্স সংক্রান্ত সমস্যা তৈরি করছে যা এই দশকের দ্বিতীয়ার্ধে আপনার পক্ষে মেনে নেওয়া অসম্ভব। GDPR প্রয়োগ আরও কঠোর হচ্ছে। PCI-DSS সংস্করণ ৪ সম্পূর্ণরূপে কার্যকর হয়েছে। এবং আপনার গেস্ট ও স্টাফ WiFi এস্টেট আপনার অন-প্রিমিসেস হার্ডওয়্যারের সামর্থ্যের চেয়েও দ্রুতগতিতে বৃদ্ধি পাচ্ছে। তাই আজ আমি আপনাকে একটি বাস্তবমুখী, কাঠামোগত চেকলিস্ট দিতে চাই - যা কোনো মাইগ্রেশন চুক্তিতে স্বাক্ষর করার আগে একজন সিনিয়র সলিউশন আর্কিটেক্ট আপনাকে বুঝিয়ে বলবেন। আমরা আলোচনা করব কাজ শুরু করার আগে কী কী অডিট করতে হবে, কীভাবে নিরাপদে একটি প্যারালাল ডিপ্লয়মেন্ট চালাতে হবে, আসল ঝুঁকিগুলো কোথায় থাকে এবং মাইগ্রেশনটি আসলেই কোনো ভ্যালু যোগ করেছে কিনা তা কীভাবে পরিমাপ করতে হবে। চলুন শুরু করা যাক। --- TECHNICAL DEEP-DIVE — প্রায় ৫ মিনিট চলুন মৌলিক বিষয়গুলো দিয়ে শুরু করা যাক। লেগ্যাসি NAC - যেমন পুরোনো হার্ডওয়্যারে চালিত Cisco ISE, অথবা এক দশক পুরোনো ডিরেক্টরির সাথে যুক্ত একটি RADIUS সার্ভার - এমন একটি জগতের জন্য ডিজাইন করা হয়েছিল যেখানে আপনার নেটওয়ার্কের সীমানা সুনির্দিষ্ট ছিল, আপনার ডিভাইসগুলো করপোরেট-নিয়ন্ত্রিত ছিল এবং আপনার গেস্ট ট্রাফিককে খুব একটা গুরুত্ব দেওয়া হতো না। সেই জগৎ এখন আর নেই। ক্লাউড-নেটিভ NAC এই মডেলটিকে সম্পূর্ণ বদলে দেয়। এখানে পলিসি প্রয়োগের বিষয়টি হার্ডওয়্যার থেকে আলাদা করা থাকে। আপনার কন্ট্রোল প্লেন থাকে ক্লাউডে, আপনার এনফোর্সমেন্ট পয়েন্টগুলো হলো লাইটওয়েট এজেন্ট বা API-ইন্টিগ্রেটেড অ্যাক্সেস পয়েন্ট এবং আপনার আইডেন্টিটি স্টোরটি হলো ফেডারেটেড - যা সাধারণত Microsoft Entra ID, Okta বা Purple-এর মতো গেস্ট আইডেন্টিটির জন্য বিশেষভাবে তৈরি প্ল্যাটফর্মের সাথে ইন্টিগ্রেট করা থাকে। তাহলে চেকলিস্টটি দেখতে কেমন হবে? আমি এটিকে তিনটি ধাপে ভাগ করছি। প্রথম ধাপ হলো মাইগ্রেশন-পূর্ব মূল্যায়ন। যেকোনো কনফিগারেশনে হাত দেওয়ার আগে, আপনার বিদ্যমান NAC অবকাঠামোর একটি সম্পূর্ণ তালিকা বা ইনভেন্টরি প্রয়োজন। এর অর্থ হলো প্রতিটি RADIUS সার্ভার, প্রতিটি সাপ্লিক্যান্ট পলিসি, প্রতিটি VLAN অ্যাসাইনমেন্ট এবং প্রতিটি ইন্টিগ্রেশন পয়েন্ট - যেমন আপনার SIEM, আপনার ITSM টিকেটিং সিস্টেম, আপনার ডিরেক্টরি সার্ভিসসমূহ। ক্লাউডে প্রতিলিপি করার আগে আপনার লেগ্যাসি সিস্টেমটি ঠিক কী করছে তা আপনার সুনির্দিষ্টভাবে জানা প্রয়োজন। সেই ইনভেন্টরির মধ্যে, তিনটি বিষয়ের উপর বিশেষভাবে নজর দিন। প্রথমত, আপনার IEEE 802.1X ডিপ্লয়মেন্ট। বর্তমানে ব্যবহৃত প্রতিটি EAP মেথড - EAP-TLS, PEAP-MSCHAPv2 বা আপনি যা-ই ব্যবহার করছেন না কেন - তা নথিবদ্ধ করুন কারণ আপনার ক্লাউড-নেটিভ NAC-কে অবশ্যই একই মেথডগুলো সমর্থন করতে হবে, অন্যথায় প্রথম দিনেই আপনার এন্ডপয়েন্ট অথেনটিকেশন ব্যর্থ হতে পারে। দ্বিতীয়ত, আপনার গেস্ট WiFi ফ্লো। আপনি যদি বর্তমানে একটি captive portal ব্যবহার করেন, তবে এটি আপনার NAC-এর সাথে কীভাবে যুক্ত রয়েছে তা সঠিকভাবে বুঝে নিন - এটি কি ইনলাইন, নাকি রিডাইরেক্ট-ভিত্তিক, নাকি এটি অথেনটিকেশন পরবর্তী VLAN পরিবর্তনের জন্য একটি RADIUS CoA ব্যবহার করছে? উদাহরণস্বরূপ, Purple-এর গেস্ট WiFi প্ল্যাটফর্ম ক্লাউড-ভিত্তিক পলিসি প্রয়োগের মাধ্যমে এটি নেটিভভাবে পরিচালনা করে, তবে মাইগ্রেট করার আগে আপনার বর্তমান ফ্লোটি ম্যাপ করা প্রয়োজন। তৃতীয়ত, আপনার কমপ্লায়েন্সের অবস্থা। আপনি যদি PCI-DSS-এর আওতায় থাকেন, তবে আপনার বর্তমান নেটওয়ার্ক সেগমেন্টেশন নথিবদ্ধ করতে হবে - বিশেষ করে কার্ডধারীর ডেটা এনভায়রনমেন্টগুলো কীভাবে গেস্ট এবং স্টাফ নেটওয়ার্ক থেকে আলাদা রাখা হয়েছে। ক্লাউড-নেটিভ NAC আসলে এটিকে আরও পরিষ্কার করতে পারে, তবে মাইগ্রেশন নিজেই একটি পরিবর্তন ইভেন্ট যা আপনার QSA-এর জন্য নথিবদ্ধ করা প্রয়োজন। দ্বিতীয় ধাপ হলো প্যারালাল রান। এখানেই বেশিরভাগ মাইগ্রেশন সফল বা ব্যর্থ হয়। সঠিক পদ্ধতি হলো আপনার লেগ্যাসি সিস্টেমের পাশাপাশি শ্যাডো মোডে আপনার ক্লাউড-নেটিভ NAC ডিপ্লয় করা। আপনি এখনই এটি পুরোপুরি চালু করছেন না - বরং আপনি পলিসি প্যারিটি যাচাই করছেন। আপনার লেগ্যাসি সিস্টেম প্রতিটি অ্যাক্সেসের ক্ষেত্রে যে সিদ্ধান্ত নেয়, আপনি ক্লাউড-নেটিভ সিস্টেম থেকেও ঠিক একই সিদ্ধান্ত দেখতে চান। এটি অন্তত দুই সপ্তাহ, আদর্শভাবে চার সপ্তাহ চালান। আসল এন্ডপয়েন্টগুলোর একটি অংশ ব্যবহার করুন - যেমন স্টাফ ডিভাইসের একটি পাইলট গ্রুপ, একটি ভেন্যুতে একটি একক গেস্ট SSID - এবং পাশাপাশি অথেনটিকেশন লগগুলো তুলনা করুন। প্যারালাল রান চলাকালীন, তিনটি নির্দিষ্ট বিষয় যাচাই করতে হবে। এক: লেটেন্সি। বেশিরভাগ রিকোয়েস্টের জন্য ক্লাউড-নেটিভ RADIUS অথেনটিকেশন ১০০ মিলিসেকেন্ডের কম হওয়া উচিত। আপনি যদি বেশি লেটেন্সি দেখতে পান, তবে আপনার RADIUS প্রক্সি কনফিগারেশন এবং আপনার ক্লাউড রিজিয়ন সিলেকশন পরীক্ষা করুন। দুই: পলিসি বিশ্বস্ততা। প্রতিটি রোল অ্যাসাইনমেন্ট, প্রতিটি VLAN ট্যাগ, প্রতিটি অ্যাক্সেস সীমাবদ্ধতা - ক্লাউড সিস্টেম কি লেগ্যাসি সিস্টেমের সাথে মিলছে? যেকোনো অমিল একটি সম্ভাব্য নিরাপত্তা ফাঁক বা ব্যবহারকারীর অভিজ্ঞতার ব্যর্থতা হতে পারে। তিন: ফেইলওভার আচরণ। ক্লাউড কন্ট্রোল প্লেন সাময়িকভাবে অ্যাক্সেস করা না গেলে কী ঘটবে? আপনার এনফোর্সমেন্ট পয়েন্টগুলোর একটি নির্দিষ্ট ফলব্যাক পলিসি থাকতে হবে - সাধারণত গেস্ট ট্রাফিকের জন্য ফেইল-ওপেন অথবা স্টাফ ও IoT-এর জন্য ফেইল-ক্লোজড। এটি স্পষ্টভাবে নথিবদ্ধ করুন। তৃতীয় ধাপ হলো সম্পূর্ণ কাটওভার এবং অপ্টিমাইজেশন। একবার আপনি পলিসি প্যারিটি যাচাই করে নিলে, একটি মেইনটেইন্যান্স উইন্ডোর মধ্যে কাটওভার করুন। এখানে মূল বিষয় হলো সিকোয়েন্সিং: প্রথমে গেস্ট ট্রাফিক কাটওভার করুন - এটি সবচেয়ে কম ঝুঁকিপূর্ণ এবং রোল ব্যাক করা সবচেয়ে সহজ। তারপর স্টাফ SSIDগুলো। এরপর প্রযোজ্য ক্ষেত্রে ওয়্যারড 802.1X। সবশেষে, IoT এবং অপারেশনাল টেকনোলজি নেটওয়ার্কগুলো, যেগুলোর অথেনটিকেশন কনফিগারেশন প্রায়শই সবচেয়ে নাজুক হয় এবং সবচেয়ে বেশি যত্নের প্রয়োজন হয়। মাইগ্রেশনের পরে, আপনার প্রথম ত্রিশ দিন অপ্টিমাইজেশানের জন্য উৎসর্গ করুন। ক্লাউড নেটিভ NAC আপনাকে এমন টেলিমেট্রি দেয় যা আগে আপনার কাছে ছিলই না - প্রতি-ডিভাইস অথেন্টিকেশন হার, পলিসি হিট কাউন্ট, অস্বাভাবিক আচরণ ফ্ল্যাগ। সেই ডেটা ব্যবহার করুন। উদাহরণস্বরূপ, Purple এর WiFi অ্যানালিটিক্স প্ল্যাটফর্ম একটি একক ড্যাশবোর্ডে ডিভাইসের অবস্থান সময়কাল, সংযোগ প্যাটার্ন এবং অথেন্টিকেশন অসঙ্গতিগুলো প্রদর্শন করে, যা আপনার মাইগ্রেশন পরবর্তী পলিসিগুলো টিউন করার জন্য অত্যন্ত দরকারী। আরেকটি প্রযুক্তিগত পয়েন্ট যা উল্লেখ করা প্রয়োজন: WPA3। আপনি যদি আপনার NAC মাইগ্রেট করেন, তবে আপনার এনক্রিপশন স্ট্যান্ডার্ড মূল্যায়ন করার জন্যও এটি সঠিক সময়। Wi-Fi Alliance-এর সিকিউরিটি সার্টিফিকেশন প্রোগ্রামের অধীনে উচ্চ-নিরাপত্তা সম্পন্ন পরিবেশের জন্য এখন 192-বিট মোড সহ WPA3-Enterprise ব্যবহার করার পরামর্শ দেওয়া হয়। বেশিরভাগ গেস্ট WiFi ডিপ্লয়মেন্টের জন্য এটি বাধ্যতামূলক নয়, তবে সংবেদনশীল ডেটা পরিচালনা করা স্টাফ এবং IoT নেটওয়ার্কগুলোর জন্য এই আপগ্রেডটি সমান্তরালভাবে করা অত্যন্ত সুবিধাজনক। - বাস্তবায়ন সুপারিশ এবং ত্রুটিসমূহ - প্রায় ২ মিনিট NAC মাইগ্রেশনে সাধারণত যে তিনটি ব্যর্থতা আমি দেখে থাকি এবং কীভাবে সেগুলো এড়ানো যায়, তা আপনাদের জানাচ্ছি। ব্যর্থতা এক: আইডেন্টিটি ডিপেনডেন্সিকে অবমূল্যায়ন করা। ক্লাউড নেটিভ NAC শুধুমাত্র আপনার আইডেন্টিটি ইনফ্রাস্ট্রাকচারের মতোই ভালো পারফর্ম করতে পারে। যদি আপনার Active Directory দুর্বলভাবে রক্ষণাবেক্ষণ করা হয় - বাসি অ্যাকাউন্ট, অসঙ্গতিপূর্ণ গ্রুপ মেম্বারশিপ, কোনো MFA প্রয়োগ না থাকা - তবে আপনি ক্লাউডে সেই সমস্যাগুলোরই পুনরাবৃত্তি করবেন যা আক্রমণকারীদের কাছে আরও স্পষ্টভাবে দৃশ্যমান হবে। আপনার NAC মাইগ্রেট করার আগে, একটি আইডেন্টিটি হাইজিন অডিট করুন। বাসি অ্যাকাউন্টগুলো সাফ করুন। সমস্ত প্রিভিলেজড আইডেন্টিটিতে MFA প্রয়োগ করুন। আপনার কর্পোরেট ডিরেক্টরিতে গেস্টদের যুক্ত করার চেষ্টা না করে একটি নির্দিষ্টভাবে তৈরি প্ল্যাটফর্মের মাধ্যমে আপনার গেস্ট আইডেন্টিটি যুক্ত করুন। ব্যর্থতা দুই: IoT উপেক্ষা করা। হসপিটালিটি এবং রিটেল পরিবেশে, IoT ডিভাইসগুলো - ডোর কন্ট্রোলার, HVAC সেন্সর, ডিজিটাল সাইনেজ, POS টার্মিনাল - প্রায়শই MAC অ্যাড্রেস বাইপাসের মাধ্যমে অথেন্টিকেট করে, যা একটি দুর্বল অথেন্টিকেশন পদ্ধতি এবং লিগ্যাসি NAC ঐতিহাসিকভাবে এটি সহ্য করে এসেছে। ক্লাউড নেটিভ NAC আপনাকে IoT-এর জন্য সঠিক সার্টিফিকেট-ভিত্তিক অথেন্টিকেশন প্রয়োগ করার সুযোগ দেয়, তবে এর জন্য একটি ডিভাইস সার্টিফিকেট ডিপ্লয়মেন্ট প্রজেক্ট প্রয়োজন যা অনেক প্রতিষ্ঠান অবমূল্যায়ন করে। এর জন্য আলাদা বাজেট বরাদ্দ করুন। ব্যর্থতা তিন: মাইগ্রেশনকে একটি এককালীন প্রজেক্ট হিসেবে বিবেচনা করা। ক্লাউড নেটিভ NAC কোনো সেট-অ্যান্ড-ফরগেট ডিপ্লয়মেন্ট নয়। এর আসল মূল্য রয়েছে চলমান টেলিমেট্রি এবং পলিসি অটোমেশনের মধ্যে। আপনি যদি মাইগ্রেশনের পরে প্ল্যাটফর্মটির মালিকানা নির্ধারণ না করেন - একজন নির্দিষ্ট নেটওয়ার্ক সিকিউরিটি ইঞ্জিনিয়ার বা কোনো ম্যানেজড সার্ভিস পার্টনার - তবে বারো মাসের মধ্যে আপনি আবার সেই একই কমপ্লায়েন্স এবং ভিজিবিলিটির ঘাটতিতে ফিরে যাবেন যা আপনার লিগ্যাসি সিস্টেমে ছিল। - র‌্যাপিড-ফায়ার প্রশ্নোত্তর - প্রায় ১ মিনিট কিছু প্রশ্ন যা আমাকে নিয়মিত জিজ্ঞাসা করা হয়। "একটি সাধারণ মাইগ্রেশন সম্পন্ন হতে কতক্ষণ সময় লাগে?" একটি সিঙ্গেল-সাইট ডিপ্লয়মেন্টের জন্য, মূল্যায়ন থেকে শুরু করে সম্পূর্ণ মাইগ্রেশন পর্যন্ত চার থেকে আট সপ্তাহ সময় লাগে। একটি মাল্টি-সাইট এস্টেটের জন্য - ধরা যাক, পঞ্চাশটি প্রোপার্টি সহ একটি হোটেল গ্রুপ - সাইট অনুসারে একটি রোলিং প্রোগ্রাম চালানোর জন্য ছয় থেকে বারো মাস সময় নির্ধারণ করুন।"আমাদের কি অ্যাক্সেস পয়েন্টগুলো পরিবর্তন করতে হবে?" একদমই নয়। বেশিরভাগ ক্লাউড-নেটিভ NAC প্ল্যাটফর্ম স্ট্যান্ডার্ড RADIUS অথেন্টিকেশন সমর্থন করে, তাই আপনার বিদ্যমান 802.1X-সক্ষম APs কাজ করবে। তবে, আপনার APs যদি পাঁচ বছরের বেশি পুরানো হয় এবং WPA3 বা আধুনিক ম্যানেজমেন্ট APIs সমর্থন না করে, তবে এই মাইগ্রেশনটি একই সাথে হার্ডওয়্যার রিফ্রেশ করার একটি ভালো সুযোগ। "GDPR এবং গেস্ট ডেটার ক্ষেত্রে কি হবে?" ক্লাউড-নেটিভ NAC, একটি সঠিক গেস্ট WiFi প্ল্যাটফর্মের সাথে যুক্ত হয়ে, আসলে আপনার GDPR অবস্থানকে আরও উন্নত করে। আপনি সেন্ট্রালাইজড কনসেন্ট ম্যানেজমেন্ট, ডেটা রেসিডেন্সি কন্ট্রোল এবং স্বয়ংক্রিয় রিটেনশন পলিসি পাবেন - যার সবগুলোই লিগ্যাসি অন-প্রেমিসেস ইনফ্রাস্ট্রাকচারে প্রয়োগ করা উল্লেখযোগ্যভাবে কঠিন। - সারাংশ এবং পরবর্তী পদক্ষেপ - প্রায় ১ মিনিট সংক্ষেপে বলতে গেলে: লিগ্যাসি NAC থেকে ক্লাউড-নেটিভ NAC-এ মাইগ্রেশন করা কেবল একটি ইনফ্রাস্ট্রাকচার রিফ্রেশ নয় - এটি স্কেলে নেটওয়ার্ক অ্যাক্সেস, কমপ্লায়েন্স এবং গেস্ট ইন্টেলিজেন্স পরিচালনা করার ক্ষেত্রে একটি কৌশলগত পরিবর্তন। চেকলিস্টটি স্পষ্ট। শুরু করার আগে আপনার বিদ্যমান ইনফ্রাস্ট্রাকচার পুঙ্খানুপুঙ্খভাবে অডিট করুন। পলিসির সমতা যাচাই করতে একটি প্যারালাল ডিপ্লয়মেন্ট চালান। একটি সিকোয়েন্সড, কম-ঝুঁকিপূর্ণ ক্রমে কাট ওভার করুন। এবং চলমান টেলিমেট্রি ও পলিসি অটোমেশনে বিনিয়োগ করুন যা ক্লাউড-নেটিভ NAC-কে পূর্ববর্তী প্রযুক্তির চেয়ে সত্যিকার অর্থে শ্রেষ্ঠ করে তোলে। আপনি যদি প্ল্যাটফর্মগুলি মূল্যায়ন করেন, Purple-এর গেস্ট WiFi এবং অ্যানালিটিক্স ক্ষমতাগুলি ক্লাউড-নেটিভ NAC আর্কিটেকচারের সাথে নেটিভভাবে সংহত হয়, যা আপনাকে গেস্ট আইডেন্টিটি, নেটওয়ার্ক পলিসি এবং ভেন্যু অ্যানালিটিক্স-এর জন্য একটি একক ইন্টারফেস প্রদান করে। এটি আমাদের টিমের সাথে কথা বলার মতো একটি বিষয়। Purple WiFi ইন্টেলিজেন্স ব্রিফিং শোনার জন্য ধন্যবাদ। সম্পূর্ণ টেকনিক্যাল ডকুমেন্টেশন, আর্কিটেকচার ডায়াগ্রাম এবং এই চেকলিস্টের লিখিত সংস্করণ purple.ai-তে উপলব্ধ রয়েছে। আগামীবার পর্যন্ত।