OpenWrt এবং গেস্ট WiFi: Purple-এর সাথে ক্যাপটিভ পোর্টাল সেটআপ

[0:00 - 1:00] ভূমিকা ও প্রেক্ষাপট Purple টেকনিক্যাল ব্রিফিংয়ে আপনাকে স্বাগতম। আমি আপনার হোস্ট, এবং আগামী দশ মিনিটে আমরা Purple WiFi-এর সাথে OpenWrt কাস্টম ফার্মওয়্যার ইন্টিগ্রেশন বিশ্লেষণ করব। আপনি যদি একজন IT ম্যানেজার, নেটওয়ার্ক আর্কিটেক্ট বা CTO হন যিনি হসপিটালিটি, রিটেইল বা পাবলিক-সেক্টর পরিবেশে কাস্টম ফার্মওয়্যার স্থাপন করছেন, তবে এই ব্রিফিংটি আপনার জন্য। আমরা তাত্ত্বিক আলোচনার বাইরে গিয়ে আপনাকে CoovaChilli কনফিগার করা, 802.1X-এর মাধ্যমে স্টাফ নেটওয়ার্ক সুরক্ষিত করা এবং Private Pre-Shared Keys ব্যবহার করে মাল্টি-টেন্যান্ট পরিবেশকে বিভক্ত করার সঠিক নির্দেশিকা দেব। এটি কেন গুরুত্বপূর্ণ? কারণ OpenWrt-এর মতো কাস্টম ফার্মওয়্যার স্থাপন করা আপনাকে অবিশ্বাস্য নমনীয়তা এবং হার্ডওয়্যার স্বাধীনতা দেয়। কিন্তু একটি কাঠামোগত, আইডেন্টিটি-চালিত অ্যাক্সেস কন্ট্রোল লেয়ার ছাড়া, সেই নমনীয়তা একটি নিরাপত্তা ঝুঁকিতে পরিণত হয়। আপনাকে নিরাপদে ফার্স্ট-পার্টি ডেটা সংগ্রহ করতে হবে, GDPR কমপ্লায়েন্স প্রয়োগ করতে হবে এবং নির্ভরযোগ্যভাবে আপনার ট্রাফিক বিভক্ত করতে হবে। চলুন টেকনিক্যাল ডিপ-ডাইভে প্রবেশ করা যাক। [1:00 - 6:00] টেকনিক্যাল ডিপ-ডাইভ OpenWrt ইন্টিগ্রেশনের মূল ভিত্তি হলো CoovaChilli। CoovaChilli হলো একটি ওপেন-সোর্স অ্যাক্সেস কন্ট্রোলার যা অথেন্টিকেট না করা ক্লায়েন্ট ট্রাফিককে বাধা দেয় এবং এটিকে Purple ক্যাপটিভ পোর্টালে রিডাইরেক্ট করে। যখন কোনো গেস্ট আপনার ওপেন SSID-এর সাথে সংযুক্ত হন, তখন CoovaChilli গেটকিপার হিসেবে কাজ করে। এটি tun0 ইন্টারফেসে চলমান নিজস্ব ইন্টারনাল DHCP সার্ভারের মাধ্যমে একটি IP অ্যাড্রেস বরাদ্দ করে এবং ওয়াল্ড গার্ডেনে আপনি স্পষ্টভাবে যা অনুমতি দিয়েছেন তা ছাড়া বাকি সব ট্রাফিক ব্লক করে। যখন গেস্ট ব্রাউজ করার চেষ্টা করেন, CoovaChilli তখন HTTP রিকোয়েস্টটি ইন্টারসেপ্ট করে এবং Purple স্প্ল্যাশ পেজে একটি রিডাইরেক্ট ওয়ান-টাইম ইস্যু করে। এখানেই ওয়াল্ড গার্ডেন কনফিগারেশন অত্যন্ত গুরুত্বপূর্ণ। আপনার chilli.conf ফাইলে, আপনাকে অবশ্যই HS_UAMDOMAINS প্যারামিটারটি সংজ্ঞায়িত করতে হবে। এটি হলো ডোমেনগুলোর একটি কমা-দ্বারা-বিভক্ত তালিকা যা গেস্টরা অথেন্টিকেট করার আগে অ্যাক্সেস করতে পারেন। আপনাকে অবশ্যই splash.purple.ai, api.purple.ai এবং পোর্টাল অ্যাসেটগুলো পরিবেশন করতে আমরা যে বিভিন্ন CDN ডোমেন ব্যবহার করি তা অন্তর্ভুক্ত করতে হবে। আপনি যদি কোনো ডোমেন বাদ দেন, তবে পোর্টালটি লোড হতে ব্যর্থ হবে অথবা সোশ্যাল লগইন বাটনগুলো কাজ করবে না। এটি এতটাই সহজ। গেস্ট একবার Purple পোর্টালে অথেন্টিকেট করলে, Purple-এর ক্লাউড RADIUS সার্ভার UDP পোর্ট ১৮১২-এ CoovaChilli-এর কাছে একটি Access-Accept মেসেজ ফেরত পাঠায়। CoovaChilli তখন MAC অ্যাড্রেসটি অথেন্টিকেট করে, সেই সেশনের জন্য ফায়ারওয়াল নিয়মগুলো খুলে দেয় এবং UDP পোর্ট ১৮১৩-এ অ্যাকাউন্টিং ডেটা পাঠানো শুরু করে। অ্যাকাউন্টিং ঐচ্ছিক নয়। এভাবেই Purple আপনার অ্যানালিটিক্স ড্যাশবোর্ডের জন্য সেশনের সময়কাল এবং ডেটা ব্যবহার ট্র্যাক করে। এখন, স্টাফ WiFi সম্পর্কে কথা বলা যাক। আপনি স্টাফদের জন্য CoovaChilli ব্যবহার করবেন না। স্টাফ নেটওয়ার্কের জন্য, আপনি WPA2-Enterprise বা WPA3-Enterprise সহ hostapd ব্যবহার করবেন। এটি হলো স্ট্যান্ডার্ড 802.1X অথেন্টিকেশন। অ্যাক্সেস পয়েন্টটি অথেন্টিকেটর হিসেবে কাজ করে, আপনার RADIUS সার্ভারে EAP মেসেজগুলো ফরোয়ার্ড করে। কর্পোরেট ডিভাইসগুলোর জন্য, আপনার EAP-TLS স্থাপন করা উচিত, যা পাসওয়ার্ডের পরিবর্তে ডিজিটাল সার্টিফিকেট ব্যবহার করে। এটি শংসাপত্র চুরি সম্পূর্ণরূপে দূর করে। আপনি আপনার RADIUS সার্ভারকে নির্দেশ করতে hostapd.conf কনফিগার করবেন এবং RADIUS সার্ভার সেই নির্দিষ্ট ব্যবহারকারীর জন্য VLAN অ্যাসাইনমেন্ট নির্ধারণ করবে। এটি আমাদের আধুনিক OpenWrt ডেপ্লয়মেন্টের অন্যতম শক্তিশালী ফিচারগুলোর একটিতে নিয়ে আসে: Private Pre-Shared Keys, বা PPSK। একটি মাল্টি-টেন্যান্ট পরিবেশে - ধরা যাক, একটি BTR প্রপার্টি বা একটি কোওয়ার্কিং স্পেস - আপনি পঞ্চাশটি ভিন্ন SSID ব্রডকাস্ট করতে চান না। এটি আপনার এয়ারটাইম দক্ষতা নষ্ট করে। পরিবর্তে, আপনি একটি SSID ব্রডকাস্ট করেন। যখন একটি ডিভাইস সংযুক্ত হয়, hostapd তখন RADIUS সার্ভারে MAC অ্যাড্রেস পাঠায়। RADIUS সার্ভার Tunnel-Password অ্যাট্রিবিউট ব্যবহার করে সেই ডিভাইসের জন্য একটি নির্দিষ্ট পাসফ্রেজ এবং একটি নির্দিষ্ট VLAN ID দিয়ে প্রতিক্রিয়া জানায়। এর মানে হলো শপ A-এর রিটেইল স্টাফ মেম্বার VLAN 10-এ চলে যান, আর মেইন হলের ইভেন্ট অ্যাটেন্ডি VLAN 30-এ চলে যান, অথচ সবাই ঠিক একই SSID-তে সংযুক্ত হচ্ছেন। এটি চমৎকার, এটি স্কেল করা যায় এবং এটি এজে (edge) সর্বনিম্ন-সুবিধাপ্রাপ্ত অ্যাক্সেস নিশ্চিত করে। [6:00 - 8:00] বাস্তবায়ন সুপারিশ এবং সম্ভাব্য সমস্যা চলুন বাস্তবায়ন নিয়ে আলোচনা করা যাক। Purple-এর সাথে OpenWrt স্থাপন করার সময়, আপনার প্রথম ধাপ হলো সর্বদা Purple পোর্টাল থেকে আপনার RADIUS ক্রেডেনশিয়ালগুলো সংগ্রহ করা। আপনার প্রাইমারি এবং সেকেন্ডারি RADIUS IP অ্যাড্রেস, শেয়ার্ড সিক্রেট এবং পোর্টাল URL প্রয়োজন হবে। আপনার OpenWrt কনফিগারেশনে, আপনি আপনার গেস্ট নেটওয়ার্ক ইন্টারফেস - সাধারণত eth1 বা wlan0 - সংজ্ঞায়িত করবেন এবং এতে CoovaChilli বাইন্ড করবেন। নিশ্চিত করুন যে আপনার chilli.conf-এ থাকা HS_RADSECRET ঠিক Purple পোর্টালে থাকা তথ্যের সাথে মিলে যায়। একটিমাত্র অক্ষরের অমিল হলেও অথেন্টিকেশন নীরবে ব্যর্থ হবে। সবচেয়ে বড় যে সমস্যাটি আমরা দেখি তা হলো প্রি-অথেন্টিকেশন DNS রেজোলিউশন। CoovaChilli DNS রিকোয়েস্টগুলো ইন্টারসেপ্ট করে। যদি আপনার আপস্ট্রিম ফায়ারওয়াল OpenWrt রাউটারকে এক্সটার্নাল DNS রেজোলিউশন করা থেকে ব্লক করে, তবে ক্যাপটিভ পোর্টাল রিডাইরেক্ট ব্যর্থ হবে। নিশ্চিত করুন যে আপনার OpenWrt রাউটারের Google বা OpenDNS-এর মতো পাবলিক রিজলভারগুলোতে অবাধ DNS অ্যাক্সেস রয়েছে। আরেকটি সাধারণ সমস্যা হলো iOS এবং Android-এ বিল্ট-ইন ক্যাপটিভ পোর্টাল সনাক্তকরণ মেকানিজম। Apple ডিভাইসগুলো ইন্টারনেট সংযোগ পরীক্ষা করতে captive.apple.com-এ যোগাযোগ করে। আপনি যদি আপনার ওয়াল্ড গার্ডেনে captive.apple.com-কে হোয়াইটলিস্ট করেন, তবে ডিভাইসটি মনে করবে যে এটির ইন্টারনেট অ্যাক্সেস রয়েছে এবং ক্যাপটিভ নেটওয়ার্ক অ্যাসিস্ট্যান্ট পপ-আপ করবে না। আপনি যদি স্বয়ংক্রিয় পপ-আপ চান, তবে Apple-এর ডোমেনগুলোকে ওয়াল্ড গার্ডেনের বাইরে রাখুন। [8:00 - 9:00] র‍্যাপিড-ফায়ার প্রশ্নোত্তর চলুন একটি র‍্যাপিড-ফায়ার প্রশ্নোত্তর পর্ব করা যাক। প্রশ্ন এক: আমি কি একই OpenWrt অ্যাক্সেস পয়েন্টে CoovaChilli এবং hostapd 802.1X চালাতে পারি? হ্যাঁ। আপনি আপনার গেস্ট SSID ইন্টারফেসে CoovaChilli বাইন্ড করবেন এবং আপনার স্টাফ SSID ইন্টারফেসে 802.1X সহ hostapd কনফিগার করবেন। এগুলো স্বাধীনভাবে কাজ করে। প্রশ্ন দুই: Purple কি OpenWrt-এর সাথে ডাইনামিক VLAN অ্যাসাইনমেন্ট সমর্থন করে? হ্যাঁ। Purple-এর RADIUS সার্ভারগুলো স্ট্যান্ডার্ড RADIUS অ্যাট্রিবিউট ফেরত দিতে পারে, যার মধ্যে রয়েছে Tunnel-Type, Tunnel-Medium-Type এবং Tunnel-Private-Group-ID, যা OpenWrt-কে অথেন্টিকেট করা ব্যবহারকারীকে একটি নির্দিষ্ট VLAN-এ পাঠাতে নির্দেশ দেয়। প্রশ্ন তিন: OpenWrt রাউটারটি যদি Purple RADIUS সার্ভারের সাথে সংযোগ হারায় তবে কী হবে? CoovaChilli নতুন সেশনগুলো অথেন্টিকেট করতে ব্যর্থ হবে। বিদ্যমান অথেন্টিকেট করা সেশনগুলো তাদের সেশনের সময়সীমা শেষ না হওয়া পর্যন্ত সক্রিয় থাকবে। উচ্চ প্রাপ্যতা নিশ্চিত করতে সর্বদা সেকেন্ডারি Purple RADIUS সার্ভার কনফিগার করুন। [9:00 - 10:00] সারসংক্ষেপ এবং পরবর্তী পদক্ষেপ সংক্ষেপে বলতে গেলে: OpenWrt এন্টারপ্রাইজ WiFi-এর জন্য একটি শক্তিশালী, হার্ডওয়্যার-অ্যাগনস্টিক প্ল্যাটফর্ম প্রদান করে। গেস্ট অ্যাক্সেসের জন্য CoovaChilli এবং সুরক্ষিত স্টাফ ও মাল্টি-টেন্যান্ট PPSK-এর জন্য hostapd একীভূত করে, আপনি একটি আইডেন্টিটি-ভিত্তিক নেটওয়ার্ক তৈরি করেন। Purple, RADIUS অবকাঠামোর জটিলতাকে সহজ করে একটি ক্লাউড-ম্যানেজড পোর্টাল প্রদান করে যা ফার্স্ট-পার্টি ডেটা সংগ্রহ করে এবং কমপ্লায়েন্স নিশ্চিত করে। আপনার পরবর্তী পদক্ষেপ হলো আপনার বর্তমান কাস্টম ফার্মওয়্যার ডেপ্লয়মেন্টগুলো অডিট করা। আপনার ওয়াল্ড গার্ডেনগুলো সম্পূর্ণভাবে কনফিগার করা আছে কিনা তা নিশ্চিত করুন, আপনার RADIUS অ্যাকাউন্টিং ইন্টারভালগুলো যাচাই করুন এবং শেয়ার্ড PSK থেকে ডাইনামিক PPSK সেগমেন্টেশনে স্থানান্তরের পরিকল্পনা শুরু করুন। Purple টেকনিক্যাল ব্রিফিং শোনার জন্য আপনাকে ধন্যবাদ। কীভাবে Purple আপনার গেস্ট WiFi সুরক্ষিত এবং মনিটাইজ করতে পারে সে সম্পর্কে আরও জানতে, purple.ai ভিজিট করুন। পরবর্তী সময় পর্যন্ত বিদায়।