WiFi নেটওয়ার্ক সেগমেন্টেশন: VLANs, SSIDs এবং গেস্ট ট্রাফিক

Purple টেকনিক্যাল ব্রিফিং সিরিজে স্বাগতম। আজ আমরা এন্টারপ্রাইজ ওয়্যারলেস নেটওয়ার্ক ডিজাইনের সবচেয়ে গুরুত্বপূর্ণ এবং প্রায়শই ভুল বোঝা সিদ্ধান্তগুলোর একটি নিয়ে আলোচনা করছি: WiFi নেটওয়ার্ক সেগমেন্টেশন。 আপনি যদি কোনো হোটেল, রিটেইল এস্টেট, কনফারেন্স সেন্টার, স্টেডিয়াম বা এমন কোনো ভেন্যু পরিচালনা করেন যেখানে আপনি গেস্ট-ফেসিং এবং অপারেশনাল উভয় WiFi চালাচ্ছেন, তবে এই পর্বটি সরাসরি আপনার জন্য প্রাসঙ্গিক। আমরা কভার করতে যাচ্ছি কেন ২০২৪ সালে সেগমেন্টেশন অপরিহার্য, কীভাবে VLANs এবং একাধিক SSIDs এটি সরবরাহ করতে একসাথে কাজ করে এবং একটি সু-পরিকল্পিত ডিপ্লয়মেন্ট বাস্তবে কেমন দেখায়। এটি কোনো তাত্ত্বিক বক্তৃতা নয়। এই ব্রিফিংয়ের শেষে, আপনার বর্তমান নেটওয়ার্ক মূল্যায়ন করার, ফাঁকগুলো চিহ্নিত করার এবং আপনার পরবর্তী পদক্ষেপগুলো সম্পর্কে একটি আত্মবিশ্বাসী সিদ্ধান্ত নেওয়ার জন্য আপনার কাছে একটি পরিষ্কার ফ্রেমওয়ার্ক থাকবে। চলুন শুরু করা যাক। তাহলে, WiFi নেটওয়ার্ক সেগমেন্টেশন আসলে কী? মূলত, এটি একটি একক ফিজিক্যাল ওয়্যারলেস ইনফ্রাস্ট্রাকচারকে একাধিক লজিক্যালি আইসোলেটেড নেটওয়ার্কে বিভক্ত করার প্রক্রিয়া। প্রতিটি সেগমেন্ট ভিন্ন ট্রাফিক বহন করে, ভিন্ন ব্যবহারকারী বা ডিভাইসকে পরিষেবা দেয় এবং ভিন্ন সিকিউরিটি পলিসি দ্বারা পরিচালিত হয়, যা সবই একই ফিজিক্যাল অ্যাক্সেস পয়েন্ট এবং ক্যাবলিংয়ের উপর চলে। যে দুটি প্রযুক্তি এটি সম্ভব করে তা হলো VLANs, ভার্চুয়াল লোকাল এরিয়া নেটওয়ার্ক এবং SSIDs, সার্ভিস সেট আইডেন্টিফায়ার। আসুন একে একে আলোচনা করি। একটি VLAN হলো IEEE 802.1Q স্ট্যান্ডার্ডে সংজ্ঞায়িত একটি Layer 2 কনস্ট্রাক্ট। এটি একটি একক ফিজিক্যাল সুইচ বা অ্যাক্সেস পয়েন্টকে একাধিক, লজিক্যালি আলাদা ব্রডকাস্ট ডোমেইন বহন করার অনুমতি দেয়। এটিকে একই টানেলের মধ্য দিয়ে চলমান একাধিক আলাদা রাস্তার মতো ভাবুন। যানবাহনগুলো, অর্থাৎ আপনার ডেটা প্যাকেটগুলো নেটওয়ার্কে প্রবেশ করার সময় একটি VLAN ID দিয়ে ট্যাগ করা হয় এবং সেই ট্যাগ নির্ধারণ করে যে তারা কোন রাস্তায় ভ্রমণ করবে এবং কোন প্রস্থানগুলো ব্যবহার করতে পারবে। VLAN ID-র রেঞ্জ ১ থেকে ৪০৯৪ পর্যন্ত, এবং একটি সু-পরিকল্পিত এন্টারপ্রাইজ ডিপ্লয়মেন্টে, প্রতিটি ট্রাফিক ক্লাস তার নিজস্ব ID পায়। একটি SSID হলো কেবল নেটওয়ার্কের নাম যা একটি ওয়্যারলেস ডিভাইস দেখে এবং কানেক্ট করে। যখন আপনি একটি অ্যাক্সেস পয়েন্টে একাধিক SSIDs কনফিগার করেন, তখন প্রতিটিকে একটি সংশ্লিষ্ট VLAN-এর সাথে ম্যাপ করা হয়। সুতরাং আপনার গেস্ট নেটওয়ার্ক, ধরা যাক এর নাম VenueGuest, VLAN 10-এ ম্যাপ করা হয়। আপনার স্টাফ নেটওয়ার্ক VLAN 20-এ ম্যাপ করা হয়। আপনার IoT এবং বিল্ডিং ম্যানেজমেন্ট ডিভাইসগুলো VLAN 30-এ ম্যাপ করা হয়। এবং আপনার পয়েন্ট-অফ-সেল বা পেমেন্ট টার্মিনালগুলো VLAN 40-এ থাকে, যা PCI DSS প্রয়োজনীয়তাগুলো পূরণ করতে সবচেয়ে কঠোর অ্যাক্সেস কন্ট্রোল বহন করে। এখন, সিকিউরিটির দৃষ্টিকোণ থেকে এটি এত গুরুত্বপূর্ণ কেন? উত্তর হলো ল্যাটারাল মুভমেন্ট। একটি ফ্ল্যাট, আনসেগমেন্টেড নেটওয়ার্কে, যেখানে প্রতিটি ডিভাইস একই ব্রডকাস্ট ডোমেইন শেয়ার করে, একটি আপসকৃত ডিভাইস সেই নেটওয়ার্কের অন্য প্রতিটি ডিভাইসের সাথে সরাসরি যোগাযোগ করতে পারে। ম্যালওয়্যারে আক্রান্ত একজন গেস্টের স্মার্টফোন তাত্ত্বিকভাবে আপনার POS টার্মিনাল, আপনার স্টাফ ল্যাপটপ, আপনার CCTV সিস্টেমে অনুসন্ধান চালাতে পারে। এটি কোনো তাত্ত্বিক ঝুঁকি নয়। এটি একটি ডকুমেন্টেড অ্যাটাক ভেক্টর। নেটওয়ার্ক সেগমেন্টেশন নিশ্চিত করে যে একটি সেগমেন্টের ট্রাফিক কোনো ফায়ারওয়াল বা রাউটার (যা স্পষ্ট পলিসি প্রয়োগ করে) অতিক্রম না করে অন্য সেগমেন্টে পৌঁছাতে পারবে না, যার ফলে সেই অ্যাটাক সারফেসটি দূর হয়। কমপ্লায়েন্সের দৃষ্টিকোণ থেকে, সেগমেন্টেশন প্রায়শই বাধ্যতামূলক, ঐচ্ছিক নয়। PCI DSS, পেমেন্ট কার্ড ইন্ডাস্ট্রি ডেটা সিকিউরিটি স্ট্যান্ডার্ড, দাবি করে যে কার্ডহোল্ডার ডেটা এনভায়রনমেন্টগুলোকে অন্যান্য সমস্ত নেটওয়ার্ক ট্রাফিক থেকে আইসোলেট করতে হবে। GDPR ডেটা মিনিমাইজেশন এবং অ্যাক্সেস কন্ট্রোলের বিষয়ে বাধ্যবাধকতা আরোপ করে যা পূরণ করা অনেক সহজ হয় যখন আপনার নেটওয়ার্ক আর্কিটেকচার ডিজাইনের মাধ্যমেই সেপারেশন প্রয়োগ করে। হেলথকেয়ার পরিবেশে, NHS ডিজিটাল নির্দেশিকাগুলোর অধীনে ক্লিনিক্যাল ডিভাইস নেটওয়ার্কগুলোকে সাধারণ-উদ্দেশ্যের WiFi থেকে আইসোলেট করতে হবে। আসুন আর্কিটেকচার সম্পর্কে আরও একটু বিস্তারিত কথা বলি। একটি সাধারণ এন্টারপ্রাইজ ডিপ্লয়মেন্টে, আপনার ইন্টারনেট আপলিঙ্ক এবং ফায়ারওয়ালের সাথে সংযুক্ত একটি কোর সুইচ থাকবে। সেই সুইচটি ট্যাগ করা ট্রাফিক হিসেবে একাধিক VLAN বহন করে, যাকে ট্রাঙ্ক পোর্ট বলা হয়, আপনার ওয়্যারলেস LAN কন্ট্রোলার বা ক্লাউড-ম্যানেজড অ্যাক্সেস পয়েন্টগুলোতে। প্রতিটি অ্যাক্সেস পয়েন্ট একই সাথে একাধিক SSIDs ব্রডকাস্ট করে। Cisco Meraki, Aruba, Ruckus এবং Ubiquiti-এর মতো ভেন্ডরদের আধুনিক এন্টারপ্রাইজ অ্যাক্সেস পয়েন্টগুলো প্রতি রেডিওতে আট থেকে ষোলটি SSIDs পরিচালনা করতে পারে, যদিও ম্যানেজমেন্ট ওভারহেড এবং রেডিও ফ্রিকোয়েন্সি দূষণ কমানোর জন্য এটিকে চার বা তার কমে রাখা বেস্ট প্র্যাকটিস। ওয়্যারলেস LAN কন্ট্রোলার SSIDs এবং VLANs-এর মধ্যে ম্যাপিং পরিচালনা করে এবং প্রতিটি SSID-এর মধ্যে ক্লায়েন্ট আইসোলেশনও প্রয়োগ করে। ক্লায়েন্ট আইসোলেশন একটি গুরুত্বপূর্ণ সেটিং: এটি একই SSID-তে থাকা ডিভাইসগুলোকে একে অপরের সাথে সরাসরি যোগাযোগ করতে বাধা দেয়, যা একটি গেস্ট নেটওয়ার্কে অপরিহার্য যেখানে আপনি চান না যে একজন গেস্টের ডিভাইস অন্যের ডিভাইসের সাথে কথা বলুক। অথেনটিকেশন হলো আরেকটি মূল দিক। আপনার গেস্ট নেটওয়ার্কের জন্য, আপনি সাধারণত একটি Captive Portal-এর সাথে একটি ওপেন SSID ব্যবহার করবেন, এটি একটি ওয়েব-ভিত্তিক অথেনটিকেশন পেজ যেখানে গেস্টরা সোশ্যাল মিডিয়া, ইমেইল বা ভাউচার কোডের মাধ্যমে লগ ইন করে। এখানেই Purple-এর Guest WiFi সলিউশনের মতো একটি প্ল্যাটফর্ম উল্লেখযোগ্য ভ্যালু যোগ করে: এটি Captive Portal, ডেটা ক্যাপচার, GDPR-এর অধীনে সম্মতি পরিচালনা এবং ডাউনস্ট্রিম মার্কেটিং অ্যানালিটিক্স পরিচালনা করে, যা সবই আপনার VLAN আর্কিটেকচারের সাথে ইন্টিগ্রেটেড। আপনার কর্পোরেট স্টাফ নেটওয়ার্কের জন্য, আপনার WPA3-Enterprise চালানো উচিত, যা একটি RADIUS সার্ভারের বিপরীতে IEEE 802.1X অথেনটিকেশন ব্যবহার করে, সাধারণত আপনার Active Directory বা Azure AD-এর সাথে ইন্টিগ্রেটেড থাকে। এর মানে হলো প্রতিটি স্টাফ মেম্বার তাদের কর্পোরেট শংসাপত্র দিয়ে অথেনটিকেট করে এবং নেটওয়ার্ক ভূমিকা বা বিভাগের উপর ভিত্তি করে ব্যবহারকারী-ভিত্তিক পলিসি প্রয়োগ করতে পারে। IoT ডিভাইসের জন্য, চ্যালেঞ্জটি ভিন্ন। বেশিরভাগ IoT ডিভাইস 802.1X সাপোর্ট করে না, তাই আপনি একটি শক্তিশালী, রোটেটেড পাসফ্রেজ সহ WPA2-PSK বা WPA3-SAE ব্যবহার করবেন, সাথে কঠোর ফায়ারওয়াল নিয়মগুলো যুক্ত করবেন যা সেই ডিভাইসগুলোর পৌঁছানোর ক্ষমতা সীমিত করে। অনেক প্রতিষ্ঠান IoT VLAN-গুলোতে একটি অতিরিক্ত নিয়ন্ত্রণ হিসেবে MAC অ্যাড্রেস ফিল্টারিংও ডিপ্লয় করে, যদিও এটিকে প্রাথমিক সিকিউরিটি কন্ট্রোলের পরিবর্তে একটি গৌণ ব্যবস্থা হিসেবে বিবেচনা করা উচিত। আরও একটি আর্কিটেকচার বিবেচনা উল্লেখ করার মতো: ব্যান্ডউইথ ম্যানেজমেন্ট। আপনার গেস্ট VLAN-এ, আপনার প্রতি-ক্লায়েন্ট রেট লিমিটিং বাস্তবায়ন করা উচিত, সাধারণত আপনার মোট আপলিঙ্ক ক্যাপাসিটি এবং প্রত্যাশিত সমসাময়িক ব্যবহারকারীর সংখ্যার উপর নির্ভর করে ডাউনস্ট্রিমে ৫ থেকে ২০ মেগাবিট প্রতি সেকেন্ডের মধ্যে। এটি কোনো একক গেস্টকে আপনার আপলিঙ্ক স্যাচুরেট করতে এবং অন্য সবার জন্য অভিজ্ঞতা খারাপ করতে বাধা দেয়। এখন আমি আপনাকে ব্যবহারিক ইমপ্লিমেন্টেশন ফ্রেমওয়ার্ক দিচ্ছি। আমি এটিকে পাঁচটি পর্যায়ে ভাগ করব। পর্যায় এক: ট্রাফিক ক্লাসিফিকেশন। আপনি একটি একক সুইচ পোর্ট স্পর্শ করার আগে, আপনার পরিবেশের প্রতিটি ডিভাইসের ধরন এবং ট্রাফিক ক্লাস ডকুমেন্ট করুন। গেস্ট ডিভাইস, স্টাফ ডিভাইস, IoT, পেমেন্ট টার্মিনাল, বিল্ডিং ম্যানেজমেন্ট সিস্টেম, CCTV। প্রতিটির একটি জায়গা প্রয়োজন। পর্যায় দুই: VLAN ডিজাইন। প্রতিটি ট্রাফিক ক্লাসে একটি VLAN ID এবং IP সাবনেট বরাদ্দ করুন। আপনার গেস্ট VLAN-কে আপনার ইন্টারনাল অ্যাড্রেস স্পেসের কোনো রাউট ছাড়াই সম্পূর্ণ আলাদা একটি সাবনেটে রাখুন। আপনার ফায়ারওয়ালে গেস্ট VLAN এবং ইন্টারনাল সবকিছুর মধ্যে একটি স্পষ্ট ডিনাই-অল নিয়ম থাকা উচিত, যেখানে শুধুমাত্র আউটবাউন্ড ইন্টারনেট অ্যাক্সেস অনুমোদিত। পর্যায় তিন: SSID ম্যাপিং। আপনার ওয়্যারলেস কন্ট্রোলারে আপনার SSIDs কনফিগার করুন, প্রতিটিকে তার VLAN-এর সাথে ম্যাপ করুন, গেস্ট SSID-তে ক্লায়েন্ট আইসোলেশন চালু করুন এবং সেগমেন্ট অনুযায়ী আপনার অথেনটিকেশন পদ্ধতি সেট করুন。 পর্যায় চার: ফায়ারওয়াল পলিসি। এখানেই বেশিরভাগ ডিপ্লয়মেন্ট পিছিয়ে পড়ে। VLAN আর্কিটেকচার কেবল আপনার ফায়ারওয়ালের ইন্টার-VLAN রাউটিং নিয়মগুলোর মতোই শক্তিশালী। প্রতিটি অনুমোদিত ফ্লো স্পষ্টভাবে ডকুমেন্ট করুন। অন্য সবকিছু ডিফল্ট-ডিনাই করুন। পর্যায় পাঁচ: মনিটরিং এবং ভ্যালিডেশন। একটি নেটওয়ার্ক মনিটরিং টুল ডিপ্লয় করুন এবং যাচাই করুন যে আপনার সেগমেন্টেশন আসলে কাজ করছে। পর্যায়ক্রমিক পেনিট্রেশন টেস্ট চালান, বা অন্ততপক্ষে একটি গেস্ট ডিভাইস থেকে একটি স্ক্যানিং টুল ব্যবহার করে নিশ্চিত করুন যে আপনি ইন্টারনাল সাবনেটগুলোতে পৌঁছাতে পারবেন না। এখন, ত্রুটিগুলো। আমি সবচেয়ে সাধারণ যে ত্রুটিটি দেখি তা হলো ভুলভাবে কনফিগার করা ট্রাঙ্ক পোর্ট। যদি একাধিক VLAN বহনকারী একটি সুইচ পোর্ট ভুলবশত একটি অ্যাক্সেস পোর্ট হিসেবে কনফিগার করা হয়, তবে সমস্ত ট্রাফিক একটি একক VLAN-এ পরিণত হয় এবং আপনার সেগমেন্টেশন নীরবে অদৃশ্য হয়ে যায়। যেকোনো পরিবর্তনের পর সর্বদা আপনার সুইচ কনফিগারেশন অডিট করুন। দ্বিতীয় ত্রুটি হলো SSID-এর বিস্তার। আপনার ব্রডকাস্ট করা প্রতিটি অতিরিক্ত SSID বিকন ফ্রেমের জন্য এয়ারটাইম খরচ করে, এমনকি যখন কোনো ক্লায়েন্ট সংযুক্ত থাকে না তখনও। শত শত অ্যাক্সেস পয়েন্ট সহ একটি ঘন ভেন্যুতে, প্রতি AP-তে আটটি SSIDs ব্রডকাস্ট করা থ্রুপুটকে উল্লেখযোগ্যভাবে কমিয়ে দিতে পারে। এটিকে সীমিত রাখুন। তৃতীয় ত্রুটি হলো ওয়্যার্ড নেটওয়ার্ক ভুলে যাওয়া। যদি আপনার ওয়্যার্ড ইনফ্রাস্ট্রাকচার সমানভাবে সেগমেন্টেড না হয় তবে WiFi সেগমেন্টেশন অর্থহীন। একজন গেস্ট যিনি একটি কনফারেন্স রুমে একটি ইথারনেট পোর্টে প্লাগ ইন করেন এবং নিজেকে আপনার কর্পোরেট নেটওয়ার্কে খুঁজে পান, তিনি আপনার সম্পূর্ণ ওয়্যারলেস সিকিউরিটি আর্কিটেকচার বাইপাস করেছেন। আমাকে ক্লায়েন্টদের কাছ থেকে নিয়মিত শোনা কয়েকটি প্রশ্নের উত্তর দিতে দিন। আমাদের কয়টি SSIDs ব্রডকাস্ট করা উচিত? প্রতি রেডিও ব্যান্ডে চারটির বেশি নয়। তিনটি হলো আদর্শ: গেস্ট, কর্পোরেট, IoT। গেস্টদের জন্য কি আমাদের একটি আলাদা ফিজিক্যাল অ্যাক্সেস পয়েন্ট দরকার? না। আধুনিক এন্টারপ্রাইজ AP-গুলো একই হার্ডওয়্যারে একাধিক SSIDs এবং VLANs পরিচালনা করে। ফিজিক্যাল সেপারেশন অপ্রয়োজনীয় এবং ব্যয়বহুল। Purple-এর প্ল্যাটফর্ম কি বিদ্যমান ওয়্যারলেস ইনফ্রাস্ট্রাকচারের সাথে কাজ করতে পারে? হ্যাঁ। Purple স্ট্যান্ডার্ড RADIUS এবং VLAN ট্যাগিংয়ের মাধ্যমে সমস্ত প্রধান এন্টারপ্রাইজ ওয়্যারলেস ভেন্ডরদের সাথে ইন্টিগ্রেট করে। আপনার AP-গুলো প্রতিস্থাপন করার দরকার নেই। গেস্ট নেটওয়ার্কের জন্য কি WPA3 বাধ্যতামূলক? এখনও বাধ্যতামূলক নয়, তবে দৃঢ়ভাবে সুপারিশ করা হয়। WPA3-এর Simultaneous Authentication of Equals প্রোটোকল WPA2-PSK-তে উপস্থিত ডিকশনারি অ্যাটাক দুর্বলতা দূর করে। যেখানে আপনার ক্লায়েন্ট ডিভাইসের মিশ্রণ এটি সাপোর্ট করে সেখানে এটি ডিপ্লয় করুন। একটি ছোট ভেন্যুর জন্য ন্যূনতম কার্যকর সেগমেন্টেশন কী? ন্যূনতম: একটি গেস্ট VLAN, একটি স্টাফ VLAN, একটি IoT VLAN। অর্থাৎ তিনটি VLANs, তিনটি SSIDs এবং ইন্টার-VLAN নিয়ম সহ একটি ফায়ারওয়াল। এটি আপনার বেসলাইন। পরিশেষে: VLANs এবং একাধিক SSIDs ব্যবহার করে WiFi নেটওয়ার্ক সেগমেন্টেশন হলো যেকোনো এন্টারপ্রাইজ বা ভেন্যু ওয়্যারলেস ডিপ্লয়মেন্টের জন্য মৌলিক সিকিউরিটি এবং কমপ্লায়েন্স আর্কিটেকচার। আপনি যদি গেস্ট ট্রাফিক, পেমেন্ট ডেটা বা ক্লিনিক্যাল ডিভাইস পরিচালনা করেন তবে এটি ঐচ্ছিক নয়। এটি একটি সুরক্ষিত নেটওয়ার্ক এবং একটি ঝুঁকিপূর্ণ নেটওয়ার্কের মধ্যে পার্থক্য। মূল বিষয়গুলো হলো এগুলো। প্রথমত: আপনি কিছু ডিজাইন করার আগে প্রতিটি ডিভাইসের ধরনকে একটি ডেডিকেটেড VLAN-এ ম্যাপ করুন। দ্বিতীয়ত: আপনার ফায়ারওয়াল ইন্টার-VLAN নিয়মগুলো VLAN আর্কিটেকচারের মতোই গুরুত্বপূর্ণ। ডিফল্ট-ডিনাই, এক্সপ্লিসিট-পারমিট। তৃতীয়ত: আপনার SSID সংখ্যা কম রাখুন, গেস্ট নেটওয়ার্কগুলোতে ক্লায়েন্ট আইসোলেশন চালু করুন এবং প্রতি-ক্লায়েন্ট রেট লিমিটিং বাস্তবায়ন করুন। চতুর্থত: আপনার সেগমেন্টেশন নিয়মিত যাচাই করুন। আপনি এটি একবার কনফিগার করেছেন বলেই এটি কাজ করছে বলে ধরে নেবেন না। আপনি যদি আপনার সেগমেন্টেড আর্কিটেকচারের উপরে GDPR-কমপ্লায়েন্ট ডেটা ক্যাপচার, Captive Portal অথেনটিকেশন এবং মার্কেটিং অ্যানালিটিক্স সহ একটি ম্যানেজড গেস্ট WiFi লেয়ার যুক্ত করতে চান, তবে Purple-এর প্ল্যাটফর্মটি সরাসরি এই আর্কিটেকচারে যুক্ত হওয়ার জন্য ডিজাইন করা হয়েছে। আপনি purple dot ai-তে আরও জানতে পারেন। শোনার জন্য ধন্যবাদ। আগামী পর্ব পর্যন্ত বিদায়।