DNS ফিল্টারিং ফেল ওপেন বনাম ফেল ক্লোজড: ফিল্টার ডাউন হলে কী ঘটে

DNS ফিল্টারিংয়ের ফেল ওপেন বনাম ফেল ক্লোজড হলো, যখন কোনো নেটওয়ার্কের ফিল্টারিং রিজলভার উত্তর দেওয়া বন্ধ করে দেয়, তখন সেই নেটওয়ার্ক কী করবে তার একটি পছন্দ। ফেল ওপেন পদ্ধতি অনাকাঙ্ক্ষিতভাবে একটি ফিল্টার না করা রিজলভারে ফিরে যায়, যার ফলে সুরক্ষা ছাড়াই ব্রাউজিং চালু থাকে। ফেল ক্লোজড পদ্ধতি অন্য কোথাও কুয়েরি পাঠায় না, যা NIST SP 800-53 কন্ট্রোল SC-24 (পরিচিত অবস্থায় ফেল হওয়া) নীতি মেনে চলে, ফলে ফিল্টার করা ছাড়া কোনো কিছুই রিজলভ হয় না।

DNS ফিল্টারিংয়ের ফেল ওপেন বনাম ফেল ক্লোজড কী?

প্রতিটি সংযোগের প্রথম ধাপে DNS ফিল্টারিং কাজ করে। যেকোনো সেশন শুরু করার আগে একটি ফোন রিজলভারকে একটি ডোমেইন নামকে IP ঠিকানায় রূপান্তরিত করতে বলে (RFC 1035)। একটি প্রতিরক্ষামূলক DNS রিজলভার থ্রেট ইন্টেলিজেন্স এবং আপনার কনটেন্ট পলিসির বিরুদ্ধে সেই নামটি পরীক্ষা করে। তারপর এটি আসল ঠিকানা, একটি ব্লক পেজের ঠিকানা বা একটি প্রত্যাখ্যানের বার্তা ফেরত পাঠায়।

এই অবস্থানের কারণেই DNS ফিল্টারিং কাজ করে। গন্তব্যে একটি একক প্যাকেট পৌঁছানোর আগেই পরীক্ষাটি সম্পন্ন হয়। এটি একটি ফিশিং লিঙ্ক বা ম্যালওয়্যার কলব্যাক প্রতিরোধ করতে পারে, যা একটি ফায়ারওয়াল কেবল পোর্ট 443-এ অনুমোদিত ট্র্যাফিক হিসেবে দেখতে পেত। UK National Cyber Security Centre একই নীতির ওপর ভিত্তি করে পাবলিক সেক্টরের জন্য একটি Protective DNS service পরিচালনা করে।

এই অবস্থানটি দুর্বল স্থানও বটে। যদি প্রতিটি লুকআপ ফিল্টারিং রিজলভারের ওপর নির্ভর করে, তবে যখন এতে পৌঁছানো যাবে না তখন কী করণীয় তার একটি পরিকল্পনা থাকা প্রয়োজন। এর কেবল দুটি পরিকল্পনা রয়েছে।

• ফেল ওপেন। নেটওয়ার্ক বা ডিভাইসটি কুয়েরিটি অন্য একটি রিজলভারে পাঠায় যা কোনো পলিসি প্রয়োগ করে না। ব্রাউজিং চালু থাকে, কিন্তু ফিল্টারটি ফিরে না আসা পর্যন্ত সুরক্ষা, লগিং এবং কনটেন্ট সংক্রান্ত নিয়ম বন্ধ থাকে।
• ফেল ক্লোজড। ফিল্টার না করা কোনো পথ থাকে না। নতুন লুকআপগুলো ফিল্টারিং রিজলভারের উত্তরের জন্য অপেক্ষা করে এবং পলিসির সিদ্ধান্ত ছাড়া কিছুই রিজলভ হয় না।

এই পছন্দটি হলো প্রাপ্যতা এবং সুরক্ষার নিশ্চয়তার মধ্যে একটি বোঝাপড়া। ফেল ওপেন সেই ভিজিটরকে প্রাধান্য দেয় যে পেজটি এখনই লোড করতে চায়। ফেল ক্লোজড আপনার সিকিউরিটি টিম, সেফগার্ডিং লিড এবং অডিটরের পক্ষে কাজ করে, যাদের বছরের প্রতি মুহূর্তে নেটওয়ার্কটি ফিল্টার করা হয়েছিল তা দেখাতে হয়।

NIST SP 800-53 Rev. 5 দুটি কন্ট্রোলে একই ধারণাকে তুলে ধরেছে। SC-24 হলো "পরিচিত অবস্থায় ফেল হওয়া" এবং SC-7(18) হলো "নিরাপদে ফেল হওয়া" (NIST SP 800-53 Rev. 5)।

রিজলভারে ফিল্টার ফেলিয়োর আচরণ কীভাবে কাজ করে?

আপনার কনফিগারেশন ফিল্টার ফেলিয়োর আচরণ নির্ধারণ করে, ফিল্টার নিজে নয়। তিনটি স্থান এটি সেট করে: DHCP, যেকোনো লোকাল DNS ফরওয়ার্ডার এবং ডিভাইস।

DHCP DNS ফিল্ডসমূহ

DHCP হলো সেই প্রোটোকল যা প্রতিটি ডিভাইস যুক্ত হওয়ার সময় তাকে তার IP ঠিকানা এবং নেটওয়ার্ক সেটিংস হস্তান্তর করে। বেশিরভাগ গেস্ট এবং স্টাফ নেটওয়ার্ক প্রতিটি ডিভাইসকে দুটি বা তার বেশি DNS সার্ভার ঠিকানা দেওয়ার জন্য এটি ব্যবহার করে। যদি সেগুলোর সবকটিই ফিল্টারিং রিজলভারের দিকে নির্দেশ করে, তবে ডিজাইনটি ফেল ক্লোজড হয়। যদি দ্বিতীয়টি কোনো ISP বা পাবলিক রিজলভারের দিকে নির্দেশ করে, তবে ফিল্টারিং ভেন্ডর যাই প্রতিশ্রুতি দিক না কেন, ডিজাইনটি ফেল ওপেন হয়।

লোকাল ফরওয়ার্ডার

অনেক ফায়ারওয়াল এবং গেটওয়ে একটি DNS ফরওয়ার্ডার পরিচালনা করে। ডিভাইসগুলি গেটওয়েতে কুয়েরি করে এবং গেটওয়ে আপস্ট্রিম রিসলভারে ফরওয়ার্ড করে। এখানে ফলব্যাকটি ফরওয়ার্ডারের আপস্ট্রিম তালিকায় থাকে। ফিল্টারের নিচে একটি পাবলিক রিসলভার তালিকাভুক্ত করে এমন একটি ফরওয়ার্ডার ফেইল ওপেন হয়, এমনকি DHCP দেখতে পরিষ্কার হলেও।

ডিভাইসের নিজস্ব আচরণ

অপারেটিং সিস্টেম অনুযায়ী রিসলভার নির্বাচন পরিবর্তিত হয়। কিছু ডিভাইস দ্বিতীয় সার্ভারটিকে কঠোরভাবে স্ট্যান্ডবাই হিসেবে বিবেচনা করে। অন্যগুলো যখনই প্রথমটি ধীরগতির হয় তখনই এতে কুয়েরি পাঠায়, বা উভয়টিতেই কুয়েরি পাঠায়। একটি ফেইল ওপেন ডিজাইনে, ফিল্টারটি সম্পূর্ণরূপে সুস্থ থাকা অবস্থাতেও ফিল্টারহীন উত্তরগুলি বাইরে বেরিয়ে আসতে পারে।

ফেইল ক্লোজড দেখতে কেমন

একটি ফেইল ক্লোজড ডিজাইনে, একটি ডিভাইস বা ফরওয়ার্ডার যে প্রতিটি DNS ঠিকানা ব্যবহার করতে পারে তা একই পলিসিসহ একটি ফিল্টারিং রিসলভারকে নির্দেশ করে। একটি উত্তর দেওয়া বন্ধ করলে, ডিভাইসটি পরবর্তীটির বিরুদ্ধে পুনরায় চেষ্টা করে। অনুসন্ধানটি কেবল তখনই ব্যর্থ হয় যখন প্রতিটি ফিল্টারিং রিসলভারে পৌঁছানো অসম্ভব হয়। ডিভাইসটি তখন ফিল্টারহীন উত্তরের পরিবর্তে একটি টাইমআউট বা SERVFAIL, যা মানক DNS "সার্ভার ফেইলিয়ার" প্রতিক্রিয়া, সেটি পায়।

সঠিকভাবে করা হলে, fail closed ভঙ্গুর হয় না। এর স্থায়িত্ব আসে রিডান্ড্যান্ট ফিল্টারিং রিসলভার থেকে, কোনো আনফিল্টারড এস্কেপ হ্যাচ থেকে নয়।

Fail open, fail closed, fail secure: কোন শব্দগুলো নিয়ে বিভ্রান্তি তৈরি হয়?

ভেন্ডর ডকুমেন্ট, অডিট ফাইন্ডিং এবং চেঞ্জ টিকেটে চারটি কাছাকাছি শব্দ প্রায়ই দেখা যায়। এগুলো ভিন্ন ভিন্ন বিষয় বর্ণনা করে, এবং এদের মধ্যে বিভ্রান্তি ভুল ডিজাইনের দিকে চালিত করে।

Fail closed মানে default deny নয়

Default deny হলো অশ্রেণীবদ্ধ ডোমেন সম্পর্কিত একটি পলিসি পছন্দ। ফিল্টারটি সঠিকভাবে কাজ করার সময় এটি চলে। আর ফিল্টার অনুপস্থিত থাকলে কী ঘটবে, তা সম্পর্কিত হলো fail closed। আপনি একটি শিথিল পলিসির সাথে fail closed চালাতে পারেন, অথবা একটি কঠোর পলিসির সাথে fail open চালাতে পারেন।

Serve-stale এই দুটির মাঝামাঝি অবস্থান করে

RFC 8767 আপস্ট্রিম সার্ভারগুলিতে পৌঁছাতে না পারলে রেজলভারকে মেয়াদোত্তীর্ণ ক্যাশে থেকে উত্তর দেওয়ার অনুমতি দেয়। এটি সংক্ষিপ্ত আউটজের সময় জনপ্রিয় নামগুলির কাজ অব্যাহত রাখে। এটি শেষ সিদ্ধান্তটি পুনরায় উপস্থাপন করে, তাই এর মধ্যে ক্ষতিকারক হয়ে ওঠা কোনো ডোমেন এতে ধরা পড়ে না।

Bypass কিন্তু সিস্টেমের ব্যর্থতা নয়

পাবলিক রেজলভারে DNS over HTTPS (DoH, RFC 8484) বা DNS over TLS (DoT, RFC 7858) ব্যবহার করে এমন একটি ডিভাইস কখনই আপনার ফিল্টার স্পর্শ করে না। Fail closed সেটিংসে এটি প্রতিরোধে কিছুই করা যায় না। আপনি এগ্রেস নিয়ম দিয়ে এই Bypass সামলাবেন।

বাস্তবে DNS ফিল্টারিং আউটজের মুখোমুখি আপনি কোথায় হন?

একটি DNS ফিল্টারিং আউটজ কেবল তখনই গুরুত্বপূর্ণ হয় যখন ইন্টারনেট লিংক সচল থাকে কিন্তু ফিল্টারটিতে পৌঁছানো যায় না। পুরো আপলিঙ্ক ডাউন হয়ে গেলে, উভয় মোডই দেখতে একই রকম লাগে। বাস্তবে, সাধারণ কিছু অপারেশানাল ঘটনার মাধ্যমেই এই ফারাক তৈরি হয়:

• একটি ফায়ারওয়াল পরিবর্তন যা ফিল্টারের ঠিকানায় আউটবাউন্ড পোর্ট 53 ব্লক করে;
• একটি লোকাল ফরওয়ার্ডার যা ক্র্যাশ করে বা আপস্ট্রিমে ফরওয়ার্ড করা বন্ধ করে দেয়;
• একটি ব্রাঞ্চ WAN-এ রাউটিং পরিবর্তন যা 잘못িত উপায়ে DNS পাঠায়;
• একজন ঠিকাদার যিনি DHCP স্কোপ সম্পাদনা করছেন এবং "স্থিতিস্থাপকতার জন্য" একটি পাবলিক রিজলভার যোগ করছেন;
• ফিল্টারিং প্রদানকারীর নিজের একটি ঘটনা।

এর প্রতিটিই একটি ফেল ক্লোজড নেটওয়ার্কে ক্ষতিকারক মনে হতে পারে। প্রতিটিই ফেল ওপেন নেটওয়ার্কে নীরবে সুরক্ষা সরিয়ে দেয়।

আতিথেয়তা গেস্ট নেটওয়ার্ক

হোটেল এবং পাব গ্রুপগুলি গেস্ট WiFi পরিবারের জন্য উপযুক্ত এবং ম্যালওয়্যার থেকে সুরক্ষিত রাখতে কন্টেন্ট পলিসি প্রয়োগ করে। একটি ফেল ওপেন গেস্ট নেটওয়ার্ক কাউকেও না জানিয়ে সেই পলিসিটি বাদ দেয়। বড় আতিথেয়তা অপারেটরদের জন্য, পাবলিক WiFi-এ পলিসির ত্রুটি নিরাপত্তার ঝুঁকির পাশাপাশি ব্র্যান্ডের ঝুঁকিও বহন করে।

হেলথকেয়ার

St George's Healthcare NHS Trust-এ Purple Shield সপ্তাহে প্রায় ২৪১,০০০টি হুমকি প্রতিরোধ করে। আমাদের হিসাব অনুযায়ী, এটি ঘণ্টায় গড়ে প্রায় ১,৪০০টি। একটি এক ঘণ্টার ফেল ওপেন উইন্ডো রোগী, দর্শনার্থী এবং কর্মীদের ডিভাইস জুড়ে সেই লুকআপগুলিকে পরীক্ষা ছাড়াই রেজলভ করার অনুমতি দেবে।

পরিবহন হাব

বিমানবন্দরগুলি পাবলিক নেটওয়ার্কে হাজার হাজার যাত্রী ডিভাইস বহন করে, যার মধ্যে অনেকগুলি আনম্যানেজড। একটি টার্মিনালে, একটি ফেল ওপেন গ্যাপ মানে পিক ভলিউমে একটি ফিল্টার না করা পাবলিক নেটওয়ার্ক।

স্টাফ এবং কর্পোরেট নেটওয়ার্ক

স্টাফ নেটওয়ার্কগুলি প্রাপ্যতার উপর ঝুঁকি বাড়ায়। ব্যবসায়িক অ্যাপগুলিকে অবশ্যই কাজ চালিয়ে যেতে হবে, তাই ফেল ক্লোজডের পিছনে প্রকৃত রিডানডেন্সি প্রয়োজন। অভ্যন্তরীণ নামগুলি সাধারণত অভ্যন্তরীণ DNS সার্ভারগুলিতে রেজলভ হয়, যা পরবর্তীতে ফিল্টারে বাহ্যিক কোয়েরিগুলি ফরওয়ার্ড করে। নিশ্চিত করুন যে সেই ফরওয়ার্ডিং টায়ারেও কোনো ফিল্টার না করা আপস্ট্রিম নেই।

ফেল ক্লোজড DNS-এর সীমাবদ্ধতা এবং এজ কেসগুলি কী কী?

বেশিরভাগ গেস্ট এবং স্টাফ WiFi-এর জন্য ফেল ক্লোজড হল সঠিক ডিফল্ট। তবুও এর সীমাবদ্ধতা রয়েছে, এবং আপনার এটি ডিজাইন করার আগে সেগুলি জানা উচিত।

একটি রিজলভার সহ ফেল ক্লোজড মানে হল একটি আউটেজ প্ল্যান

যদি নেটওয়ার্কে একটি একক ফিল্টারিং ঠিকানা তালিকাভুক্ত থাকে, তবে ফেল ক্লোজডের অর্থ হল সেই ঠিকানার প্রতিটি বিভ্রাট DNS-কে অকার্যকর করে দেয়। একাধিক ফিল্টারিং রিজলভার জুড়ে রিডানডেন্সিই ফেল ক্লোজডকে কার্যকর করে তোলে। আপনার প্রদানকারীকে জিজ্ঞাসা করুন আপনি কতগুলি রিজলভার ঠিকানা কনফিগার করতে পারেন এবং প্রতিটি পরীক্ষা করতে পারেন।

ক্যাশে কিছু নাম সচল রাখে

প্রতিটি DNS উত্তর একটি TTL (টাইম টু লিভ) বহন করে, অর্থাৎ একটি ডিভাইস বা রিজলভার যত সেকেন্ড এটি ক্যাশে রাখতে পারে। একটি স্বল্পমেয়াদী বিভ্রাটের সময়, ক্যাশ করা নামগুলি কাজ চালিয়ে যায় এবং নতুন নামগুলি ব্যর্থ হয়। দর্শনার্থীরা এটিকে "কিছু সাইট কাজ করে, অন্যগুলি করে না" হিসাবে লক্ষ্য করেন, যা আপনার হেল্পডেস্ককে বিভ্রান্ত করতে পারে।

Captive Portal-এর লগইনের আগে DNS প্রয়োজন

Captive Portal হল সেই স্প্ল্যাশ পেজ যা একজন গেস্ট অনলাইনে যাওয়ার আগে দেখেন। ডিভাইসটিকে প্রমানীকরণের আগে পোর্টাল এবং যেকোনো ওয়াল্ড গার্ডেন ডোমেন রেজলভ করতে হবে। প্রাক-লগইন নেটওয়ার্ক যদি একটি ফিল্টার না করা রিজলভার ব্যবহার করে, তবে পোর্টালটি গ্যাপ তৈরি করে। যদি এটি রিডানডেন্সি ছাড়া ফেল ক্লোজড হয়, তবে অতিথিরা একেবারেই লগইন করতে পারবেন না।

একটি ব্যর্থতা ব্লকের থেকে আলাদা দেখায়

একটি ব্লক করা ডোমেনের একটি ব্লক পৃষ্ঠা বা একটি স্পষ্ট প্রত্যাখ্যান প্রতিক্রিয়া পাঠানো উচিত। একটি ব্যর্থ লুকআপ টাইমআউট বা SERVFAIL ফেরত দেয়। RFC 8914 Extended DNS Errors এগুলির মধ্যে পার্থক্য করার জন্য কোড যোগ করে, যেমন Blocked (15) এবং Filtered (17) বনাম No Reachable Authority (22)। আপনার হেল্পডেস্ককে উভয় বিষয়ে সংক্ষিপ্ত ধারণা দিন, যাতে তারা একটি নীতিগত ব্লক এবং আউটএজের মধ্যে পার্থক্য বুঝতে পারে।

DNS নামের বাইরে কিছু দেখতে পায় না

ফেল ক্লোজড প্রতিটি লুকআপে একটি নীতিগত সিদ্ধান্তের নিশ্চয়তা দেয়, সম্পূর্ণ কভারেজের নয়। র IP ঠিকানার সংযোগগুলি DNS পুরোপুরি এড়িয়ে যায়। আউটএজের আগে ইতিমধ্যেই খোলা সংযোগগুলি চালু থাকে। DNS কেবল ডোমেন দেখতে পায়, কখনো পথ দেখতে পায় না, যা কেন DNS ফিল্টারিং পূর্ণ URL দেখতে পায় না-এ ব্যাখ্যা করা হয়েছে।

একটি বিস্তৃত স্ট্যাকে এই সীমাগুলি কোথায় ফিট করে তার জন্য, DNS ফিল্টারিং কি যথেষ্ট? এবং DNS ফিল্টারিং সীমাবদ্ধতা ওভারভিউ দেখুন।

কীভাবে ফেল ক্লোজড DNS Purple Shield এর সাথে সম্পর্কিত?

Purple Shield হলো প্রতিটি নেটওয়ার্কের জন্য প্রতিরক্ষামূলক DNS এবং কনটেন্ট ফিল্টারিং। Shield ফেল ক্লোজড মোডে কাজ করে, তাই আউটএজ কখনো কোনো নেটওয়ার্ককে আনফিল্টার্ড রেখে যায় না। প্রতিটি লুকআপ একটি নীতিগত সিদ্ধান্ত পায় অথবা কোনো উত্তর পায় না, কখনোই একটি আনচেকড উত্তর পায় না।

আপনি যেকোনো WiFi নেটওয়ার্কে স্বাধীনভাবে অথবা Purple Access এর পাশাপাশি Shield চালাতে পারেন। আপনি প্রতি নেটওয়ার্ক এবং প্রতি VLAN (ভার্চুয়াল LAN, শেয়ার্ড হার্ডওয়্যারে একটি যৌক্তিকভাবে পৃথক নেটওয়ার্ক) একটি করে নীতি সেট করতে পারেন। একটি স্থানের অতিথি, কর্মী এবং ব্যাক-অফিস নেটওয়ার্ক প্রতিটি আলাদা নিয়ম বহন করতে পারে। Shield এর জন্য নতুন কোনো হার্ডওয়্যারের প্রয়োজন নেই এবং এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet এর উপর একটি ক্লাউড ওভারলে হিসাবে কাজ করে।

DNSFilter এবং Cisco Umbrella ও DNS রেজোলিউশনে ফিল্টার করে, তাই প্লেসমেন্ট সংক্রান্ত যুক্তি তিনটি ক্ষেত্রেই প্রযোজ্য। প্রতিটি বিক্রেতাকে জিজ্ঞাসা করার মতো প্রশ্ন হলো ফলব্যাক কোথায় থাকে। রিজলভারগুলিতে পৌঁছানো না গেলে তাদের রোমিং এজেন্টগুলি কীভাবে আচরণ করে এবং আপনি কতগুলি ফিল্টারিং ঠিকানা কনফিগার করতে পারেন তা জিজ্ঞাসা করুন। তারপর আপনার নিজস্ব DHCP এবং ফরোয়ার্ডার সেটিংস একটি আনফিল্টার্ড পথ পুনরায় চালু করে কিনা তা পরীক্ষা করুন।

Shield ৯০টি দেশে Purple এর ৮০,০০০+ ভেন্যুর ফুটপ্রিন্ট জুড়ে চলে। ডিপ্লয়মেন্ট বিস্তারিত জানার জন্য Shield কীভাবে কাজ করে পড়ুন। এন্টারপ্রাইজ WiFi সুরক্ষা গাইড দেখায় যে আইডেন্টিটি এবং সেগমেন্টেশনের পাশাপাশি DNS ফিল্টারিং কোথায় অবস্থান করে।

এই ধারণাটির আসল প্রভাব ব্রোশারে নয়, চেঞ্জ উইন্ডোতে বোঝা যায়। আপনার নেটওয়ার্ক ফিল্টার করা থাকবে কিনা তা ফায়ারওয়াল রুল, DHCP এডিট বা "রেজিলিয়েন্ট" পাবলিক সেকেন্ডারি নির্ধারণ করে। এই ত্রৈমাসিকে এই তিনটি সেটিং অডিট করুন। এরপর, DNS over TLS and filtering: what port 853 changes পড়ুন, কারণ একটি ফেল ক্লোজড রিজলভার কেবল সেই ডিভাইসগুলিকেই সুরক্ষিত রাখে যা বাস্তবে এটি ব্যবহার করে।

প্রায়শই জিজ্ঞাসিত প্রশ্নাবলী

ফেল ক্লোজড DNS ব্যবহারের অর্থ কি এই যে কোনো বিভ্রাটের কারণে আমার WiFi অফলাইন হয়ে যাবে?

না, ফিল্টারটি রিডানড্যান্ট রিজলভারে চললে তা হয় না। ফেল ক্লোজড কেবল তখনই নতুন লুকআপ বন্ধ করে যখন প্রতিটি ফিল্টারিং রিজলভার একসাথে অনভিগম্য হয়ে পড়ে। ডিভাইসগুলি প্রথমে পরবর্তী ফিল্টারিং ঠিকানায় পুনরায় চেষ্টা করে। ক্যাশ করা উত্তরগুলি স্বল্পস্থায়ী ব্যাঘাতের সময়েও সম্প্রতি ভিজিট করা সাইটগুলির রেজোলিউশন বজায় রাখে। লাইভ করার আগে রিডানডেন্সি ডিজাইন করুন, তারপর একটি টেস্ট VLAN থেকে একবারে একটি রিজলভার ব্লক করে এটি পরীক্ষা করুন।

Shield কি আমার বর্তমান অ্যাক্সেস পয়েন্ট এবং ফায়ারওয়ালের সাথে কাজ করবে?

হ্যাঁ। Shield DNS রেজোলিউশনে ফিল্টার করে, তাই এটির জন্য কোনো নতুন হার্ডওয়্যারের প্রয়োজন নেই এবং এটি যেকোনো WiFi নেটওয়ার্কে এককভাবে চলে। Purple কাজ করে Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর সাথে। আপনি প্রতিটি নেটওয়ার্ক বা VLAN-এর জন্য DNS-কে Shield-এর দিকে নির্দেশ করেন, যেকোনো আনফিল্টারড ফলব্যাক সরিয়ে ফেলেন এবং নেটওয়ার্ক প্রতি একটি পলিসি প্রয়োগ করেন। প্রোডাক্ট পেজে এই ধাপগুলি আলোচনা করা হয়েছে।

Shield-এর মূল্য কীভাবে নির্ধারিত হয়?

Purple এই গাইডে তালিকাভুক্ত মূল্য প্রকাশ না করে আপনার এস্টেটের জন্য Shield-এর কোটেশন দেয়। Shield হলো একটি সিকিউরিটি অ্যাড-অন যা আপনি যেকোনো WiFi নেটওয়ার্কে এককভাবে বা Purple Access-এর সাথে চালাতে পারেন। তাই এই কোটেশন আপনার নেটওয়ার্ক এবং ভেন্যুকে প্রতিফলিত করে, নতুন হার্ডওয়্যারকে নয়। আপনার ভেন্যু সংখ্যা, আপনার নেটওয়ার্ক ও VLAN সংখ্যা এবং আপনি ইতিমধ্যেই Purple ব্যবহার করছেন কিনা তা জানিয়ে কোটেশনের জন্য অনুরোধ করুন।

ফিল্টারিংয়ে কোনো ফাঁক না রেখে আমি কীভাবে DNSFilter বা Cisco Umbrella থেকে মাইগ্রেট করব?

একবারে একটি নেটওয়ার্ক বা VLAN কাট ওভার করুন। একটি টেস্ট VLAN-এর DHCP DNS-কে Shield-এর দিকে নির্দেশ করুন, ব্লক এবং লগ নিশ্চিত করুন, তারপর চেঞ্জ উইন্ডোতে লাইভ নেটওয়ার্কগুলি সরান। পুরনো রিজলভার ঠিকানাগুলি সেকেন্ডারি DNS হিসেবে রেখে দেওয়ার পরিবর্তে সম্পূর্ণরূপে সরিয়ে ফেলুন। কর্মীদের ডিভাইসে রোমিং এজেন্টগুলিও পরীক্ষা করুন, কারণ সেগুলির ফলব্যাক সেটিংস আপনার DHCP স্কোপের বাইরে থাকে।

কোনো নিয়মকানুন কি ফেল ক্লোজড DNS ফিল্টারিং বাধ্যতামূলক করে?

কোনো নিয়মকানুন সরাসরি ফেল ক্লোজড DNS-এর নাম উল্লেখ করে না, তবে কন্ট্রোল ফ্রেমওয়ার্কগুলি আশা করে যে সিকিউরিটি কন্ট্রোলগুলি যেন একটি জানা, সুরক্ষিত অবস্থায় ফেল করে। NIST SP 800-53 Rev. 5 কন্ট্রোল SC-24 জানা অবস্থায় ফেল করাকে কভার করে। SC-7(18) সীমা সুরক্ষাকে কভার করে যা ফেল সিকিউর হয়। ফেল ক্লোজড ফিল্টারিং আপনাকে প্রমাণ দেয় যে পলিসি প্রতি মিনিটে প্রয়োগ করা হয়েছে, যা অডিটর বা সেফগার্ডিং লিডরা প্রশ্ন করলে সাহায্য করে।

আমি কীভাবে আমার বর্তমান ফিল্টার ফেলিয়র আচরণ পরীক্ষা করব?

একটি একক টেস্ট VLAN থেকে আপনার ফিল্টারিং রিজলভারগুলিতে আউটবাউন্ড DNS ব্লক করুন এবং ডিভাইসটি কী করে তা পর্যবেক্ষণ করুন। যদি ওয়েবসাইটগুলি এখনও লোড হয় এবং ফিল্টার কিছুই লগ না করে, তবে নেটওয়ার্কটি ফেল ওপেন করে। DHCP DNS ফিল্ড, ফরওয়ার্ডার আপস্ট্রিম তালিকা এবং যেকোনো হার্ড-কোডেড ডিভাইস সেটিংস পরীক্ষা করুন। রিডানডেন্সি কাজ করছে তা নিশ্চিত করতে একবারে একটি ফিল্টারিং রিজলভার ব্লক করে পুনরায় পরীক্ষা করুন।

DNS ফিল্টারিং কি একাই যথেষ্ট, নাকি আমার একটি সিকিউর ওয়েব গেটওয়ে প্রয়োজন?

DNS ফিল্টারিং বেশিরভাগ গেস্ট এবং ভেন্যু নেটওয়ার্কের জন্য হুমকি সুরক্ষা এবং কন্টেন্ট পলিসি কভার করে, তবে সম্পূর্ণ URL পরিদর্শন বা ডেটা লস প্রিভেনশন নয়। এটি ডোমেনের নাম দেখে, পথ বা ফাইল কন্টেন্ট নয়। আপনার যদি সেই নিয়ন্ত্রণগুলির প্রয়োজন হয়, তবে পরিচালিত ডিভাইসগুলিতে একটি সিকিউর ওয়েব গেটওয়ে যোগ করুন। সীমানা কোথায় সে সম্পর্কে জানতে DNS filtering vs secure web gateway দেখুন।