MSP এবং বহু-সাইট এস্টেটের জন্য DNS ফিল্টারিং

MSP এবং মাল্টি-সাইট এস্টেটের জন্য DNS filtering ডিভাইস যুক্ত হওয়ার আগেই ক্লাউডে থাকা সিকিউরিটি পলিসির সাথে ডোমেন অনুরোধগুলি যাচাই করে। SSID, Captive Portal এবং অ্যানালিটিক্সের পাশাপাশি Purple-এর মাধ্যমে কেন্দ্রীয়ভাবে পরিচালিত হওয়ায় এতে কোনো অন-সাইট হার্ডওয়্যারের প্রয়োজন হয় না। Cisco Meraki এবং HPE Aruba-র মতো ইন্টিগ্রেশনের মাধ্যমে কাজ করে, Purple কোনো এজেন্ট ছাড়াই ৮০,০০০+ এরও বেশি লাইভ ভেন্যু জুড়ে বিস্তৃত নেটওয়ার্ক এস্টেট সুরক্ষিত রাখে।

MSP এবং মাল্টি-সাইট এস্টেটের জন্য DNS filtering কী?

একটি ডিভাইসের তৈরি প্রতিটি কানেকশন DNS (Domain Name System) লুকআপ দিয়ে শুরু হয়। ডিভাইসটি একটি রিজলভারকে example.com-এর মতো একটি নামকে IP ঠিকানায় রূপান্তর করতে বলে। DNS filtering, যাকে প্রটেক্টিভ DNS-ও বলা হয়, উত্তর দেওয়ার আগে একটি পলিসির সাথে সেই নামটি মিলিয়ে দেখে। ডোমেনটি ক্ষতিকর বা পলিসির বাইরে হলে, রিজলভার সঠিক ঠিকানাটি দেয় না। ডিভাইসটি কখনোই কানেকশন তৈরি করতে পারে না, তাই কিছুই ডাউনলোড হয় না এবং কোনো পেজও লোড হয় না।

একটি একক ভেন্যুর জন্য, এটি একটি দরকারী নিয়ন্ত্রণ। তবে একটি ম্যানেজড সার্ভিস প্রোভাইডার (MSP) বা মাল্টি-সাইট IT টিমের জন্য এই প্রয়োজনীয়তার ধরন বদলে যায়। আপনাকে বিভিন্ন হার্ডওয়্যারে, বিভিন্ন নিয়মে, একাধিক ক্লায়েন্টের মালিকানাধীন ডজন ডজন বা শত শত নেটওয়ার্ক ফিল্টার করতে হয়। এটি তিনটি প্রয়োজনীয়তা নিয়ে আসে যা একটি একক-সাইটের ফিল্টার খুব কমই পূরণ করতে পারে:

• টেন্যান্ট-ভিত্তিক পলিসি। টেন্যান্ট হলো একটি ক্লায়েন্ট বা বিজনেস ইউনিট যার নিজস্ব নিয়ম রয়েছে। একটি ফ্যামিলি হোটেল গ্রুপ, একটি পাব চেইন এবং একটি জিপি সার্জারি কখনোই একটি সাধারণ পলিসি শেয়ার করা উচিত নয়।
• কেন্দ্রীয় ব্যবস্থাপনা। প্রতিটি সাইটে লগ ইন না করেই এক জায়গা থেকে প্রতিটি টেন্যান্টের পলিসি দেখার এবং পরিবর্তন করার সুবিধা প্রয়োজন।
• সাইট-ভিত্তিক কোনো হার্ডওয়্যার নয়। প্রতিটি লোকেশনে একটি অ্যাপ্লায়েন্স পাঠানো, র‍্যাক করা এবং প্যাচ করা পুরো ফ্লিট জুড়ে স্কেল করা সম্ভব নয়।

SecurePass এবং Verify-এর পাশাপাশি Shield হলো Purple-এর একটি প্রটেক্টিভ-DNS অ্যাড-অন। ফিল্টারিং ক্লাউডে চলে এবং আপনি প্রতিটি ক্লায়েন্টের জন্য ইতিমধ্যেই পরিচালনা করছেন এমন SSID (নেটওয়ার্ক নাম), Captive Portal এবং অ্যানালিটিক্সের সাথে যুক্ত থাকে। একটি Captive Portal হলো সেই লগইন পেজ যা একজন ভিজিটর অনলাইনে যাওয়ার আগে দেখতে পান।

একটি একক-সাইট ডিপ্লয়মেন্ট থেকে MSP ফিল্টারিং কীভাবে আলাদা

একটি একক-সাইট ফিল্টারে একটি পলিসি, একজন অ্যাডমিন এবং একটি নেটওয়ার্ক থাকে। কিন্তু একটি MSP এস্টেটে একটি হায়ারার্কি বা পর্যায়ক্রম থাকে। আপনি এস্টেটের জন্য নিয়ম নির্ধারণ করেন, ক্লায়েন্ট অনুযায়ী তা পরিবর্তন করেন, এবং তারপর একটি সাইটের মধ্যে নেটওয়ার্ক অনুযায়ী তা আলাদা করেন। একটি হোটেলের গেস্ট নেটওয়ার্কের জন্য রিসেপশনের পেছনের স্টাফ নেটওয়ার্কের চেয়ে ভিন্ন নিয়মের প্রয়োজন হয়।

স্ট্যান্ডঅ্যালোন DNS ফিল্টারগুলি সাধারণত WiFi থেকে আলাদাভাবে কনফিগার করা প্রতিটি টেন্যান্টের একটি সাব-অর্গানাইজেশনের মাধ্যমে এটি পরিচালনা করে। ফলে আপনাকে প্রতিটি ক্লায়েন্টের জন্য দুটি স্ট্যাক চালাতে হয়: একটি নেটওয়ার্ক এবং পোর্টালের জন্য, অন্যটি রিজলভারের জন্য। Shield এই দ্বিতীয় স্ট্যাকের প্রয়োজনীয়তা সরিয়ে দেয়, কারণ ফিল্টারিং পলিসিটি Purple-এ আপনার ইতিমধ্যেই সংজ্ঞায়িত নেটওয়ার্কগুলিকে অনুসরণ করে।

ক্লায়েন্ট সাইটের ফ্লিট জুড়ে DNS filtering কেন গুরুত্বপূর্ণ?

তিনটি প্রধান বিষয় একটি MSP-এর এজেন্ডায় ফিল্টারিংয়ের গুরুত্ব বাড়িয়ে দেয়: ডিউটি অব কেয়ার, থ্রেট এক্সপোজার এবং সীমিত ব্যান্ডউইথ।

শেয়ার্ড নেটওয়ার্কে ডিউটি অব কেয়ার

পাবলিক এবং গেস্ট WiFi-এর সাথে প্রকৃত দায়বদ্ধতা জড়িত। ইংল্যান্ডে, স্কুল এবং কলেজগুলি ডিপার্টমেন্ট ফর এডুকেশনের ফিল্টারিং এবং মনিটরিং মান নির্দেশিকা মেনে চলে, যা Keeping children safe in education-এ উল্লেখিত রয়েছে। ইউএস-এ, Children's Internet Protection Act (CIPA)-এর নিয়মানুসারে যেসকল স্কুল এবং লাইব্রেরি E-rate ফান্ডিং পায় সেগুলির ফিল্টারিং করা আবশ্যক। যেসব হোটেল, ক্যাফে এবং লেজার সেন্টার পরিবারদের স্বাগত জানায়, তারা কোনো শিশু প্রাপ্তবয়স্কদের কন্টেন্টে পৌঁছে গেলে সুনামহানির ঝুঁকির মুখে পড়ে। ঠিক সেই কারণেই ইউকের Friendly WiFi স্কিমটি বিদ্যমান।

আপনি যখন ৪০ জন ক্লায়েন্টের জন্য WiFi পরিচালনা করেন, তখন আপনি প্রতিটি বাধ্যবাধকতার শেয়ার বহন করেন। একটি অনিয়ন্ত্রিত বা ফিল্টার না করা সাইট মানেই ক্লায়েন্টের সাথে এমন এক কথোপকথন যা আপনি কখনোই চান না।

যেসকল হুমকি আনম্যানেজড ডিভাইসে পৌঁছায়

আপনি কোনো ভিজিটরের ফোনে একটি এজেন্ট ইনস্টল করতে পারবেন না এবং এটি প্যাচও করতে পারবেন না। ফিশিং লিঙ্ক, মালওয়্যার ডাউনলোড এবং কমান্ড-অ্যান্ড-কন্ট্রোল কলব্যাক - সবই একটি DNS লুকআপের মাধ্যমে শুরু হয়। এটি লুকআপটিকে নেটওয়ার্কের প্রতিটি ডিভাইসের জন্য আপনার নিয়ন্ত্রণের একক পয়েন্ট করে তোলে।

Shield DNS লুকআপ ধাপে হুমকি চিহ্নিত করে, সংযোগ সম্পূর্ণ হওয়ার আগেই ক্ষতিকারক অনুরোধগুলি বন্ধ করে দেয়। পুরো নেটওয়ার্ক ফ্লীট জুড়ে, একটি হুমকি ব্লগ একই মুহূর্তে প্রতিটি ক্লায়েন্ট সাইটে কার্যকর হয়। বাজার সম্পর্কে বিশদ ধারণার জন্য দেখুন Phishing Protection Software: 10 Options for Shared WiFi।

সীমাবদ্ধ সাইটগুলিতে ব্যান্ডউইথ

অনেক প্রপার্টি সীমিত ব্যাকহলে গেস্ট WiFi পরিচালনা করে: ফোরকোর্টে একটি 4G রাউটার, পাব-এ একটি শেয়ার্ড লাইন, বা কোনো স্টেশনে একটি ব্যস্ত সার্কিট। বিজ্ঞাপনের ট্র্যাফিক এবং অনাকাঙ্ক্ষিত ওয়েব কন্টেন্ট অন্যান্য সমস্ত কিছুর সাথে প্রতিযোগিতা করে। DNS লেয়ারে বিজ্ঞাপন এবং ক্ষতিকারক ডোমেইন ফিল্টার করা নেটওয়ার্ক ডেটা ব্যবহার হ্রাস করে এবং লোডিং স্পিড উন্নত করে। একটি জ্যামযুক্ত সাইটে, সেই অতিরিক্ত স্পেস অতিথিরা যে কাজের জন্য এসেছে সেই ট্র্যাফিকের জন্য কাজে লাগে।

একটি ফায়ারওয়াল যা যা মিস করে

একটি ফায়ারওয়াল এখনও গুরুত্বপূর্ণ, তবে এটি অন্য পয়েন্টে কাজ করে। DNS ইতিমধ্যেই উত্তর দেওয়ার পরে এটি সংযোগগুলি পর্যবেক্ষণ করে। এটি একটি মাল্টি-সাইট গেস্ট প্রপার্টিতে চারটি ফাঁক রেখে দেয়:

1. এনক্রিপশন ডেস্টিনেশন লুকিয়ে ফেলে। TLS 1.3 (RFC 8446) সার্ভার সার্টিফিকেট এনক্রিপ্ট করে। Encrypted Client Hello (ECH), TLS-এর একটি IETF এক্সটেনশন, সার্ভারের নামও লুকিয়ে রাখতে পারে। এনক্রিপশন ছা়ড়া, একটি ফায়ারওয়াল একটি IP ঠিকানা দেখে এবং এছাড়া আর তেমন কিছুই দেখে না, আর আপনি কোনো ভিজিটরের ডিভাইসে এনক্রিপশন সার্টিফিকেট ইনস্টল করতে পারবেন না।
2. শেয়ার্ড IP ঠিকানাগুলি নিয়মগুলিকে অস্পষ্ট করে তোলে। কন্টেন্ট ডেলিভারি নেটওয়ার্কগুলি একই ঠিকানায় অনেক ডোমেইন হোস্ট করে। IP ব্লক করলে আপনি বৈধ সাইটগুলি ভেঙে ফেলবেন; এটি অনুমতি দিলে খারাপ ডোমেইনটি পার পেয়ে যাবে।
3. সাইট-ভিত্তিক রুল সেট পরিবর্তনের মুখে পড়ে। বছরের পর বছর ধরে তৈরি হওয়া ফ্লীট ফায়ারওয়াল ভেন্ডর এবং ফার্মওয়্যার সংস্করণগুলিকে মিশ্রিত করে। ৬০টি রুল সেট একই সাথে সারিবদ্ধ রাখা একটি ফুল-টাইম কাজ, এবং একটি ভুলে যাওয়া সাইটই হলো সেই ফাটল।
4. ব্লকটি দেরিতে আসে। একটি ফায়ারওয়াল ব্যবস্থা নেওয়ার আগেই, ডিভাইসটি নামটি সনাক্ত করে এবং সংযোগের চেষ্টা করে। DNS ফিল্টারিং কোনো সংযোগ তৈরির আগেই অনুরোধটি বন্ধ করে দেয়।

DNS ফিল্টারিং এনক্রিপশন, এজেন্ট বা সাইট-ভিত্তিক নিয়ম ছাড়াই এই ফাঁকগুলি বন্ধ করে। এটি নেটওয়ার্ক সেগমেন্টিং এবং পোর্ট নিয়ন্ত্রণের ফায়ারওয়ালের কাজকে প্রতিস্থাপন করে না।

একাধিক টেন্যান্ট জুড়ে কীভাবে DNS ফিল্টারিং কাজ করে?

প্রতিটি লুকআপের সময় কী ঘটে

1. একজন অতিথি ক্লায়েন্টের WiFi-এ যোগ দেন, যা প্রায়শই একটি Captive Portal-এর মাধ্যমে হয়।
2. ডিভাইসটি একটি ডোমেনের জন্য অনুরোধ পাঠায়, উদাহরণস্বরূপ একটি ফিশিং ইমেলের লিংক থেকে।
3. Shield সেই নেটওয়ার্কে নির্ধারিত পলিসির সাথে ডোমেনটি পরীক্ষা করে।
4. ডোমেনটি অনুমোদিত হলে, ডিভাইসটি অ্যাড্রেসটি গ্রহণ করে এবং স্বাভাবিকভাবে কানেক্ট হয়।
5. এটি ব্লক করা থাকলে, লুকআপটি আসল অ্যাড্রেস রিটার্ন করে না, ফলে কোনো কানেকশন খোলে না।

পার-টেন্যান্ট পলিসি কীভাবে সাজাবেন

পার-টেন্যান্ট কন্টেন্ট ফিল্টারিং প্রতিটি সাইটের জন্য আলাদা রুল সেটের বদলে স্ট্যান্ডার্ড পলিসির একটি ছোট সেট হিসেবে সবচেয়ে ভালো কাজ করে। এই প্যাটার্নটি হসপিটালিটি, খুচরা বিক্রেতা এবং পাবলিক সেক্টর জুড়ে কার্যকর:

• সিকিউরিটি বেসলাইন। প্রতিটি নেটওয়ার্কে, প্রতিটি টেন্যান্টের জন্য মালওয়্যার, ফিশিং এবং অন্যান্য হুমকির বিভাগ ব্লক করা থাকে। কেউ এর বাইরে নয়।
• ফ্যামিলি গেস্ট। বেসলাইনের পাশাপাশি অ্যাডাল্ট এবং বয়সের জন্য অনুপযুক্ত কন্টেন্ট। এটি ফ্যামিলি হোটেল, লাইব্রেরি, লেজার সেন্টার, স্কুল এবং হেলথকেয়ার ওয়েটিং এরিয়ার জন্য উপযুক্ত।
• অ্যাডাল্ট গেস্ট। হালকা কন্টেন্ট রুলসহ বেসলাইন। এটি বার, লেট নাইট ভেন্যু এবং বিজনেস হোটেলের জন্য উপযুক্ত।
• স্টাফ। বেসলাইনের সাথে প্রতিটি ক্লায়েন্টের গ্রহণযোগ্য ব্যবহারের পলিসি প্রতিফলিত করে এমন রুল।

প্রতিটি নেটওয়ার্কে একটি পলিসি বরাদ্দ করুন, তারপর কেবল কোনো ব্যবসার প্রয়োজন হলেই ক্লায়েন্ট এক্সেপশন যোগ করুন। একটি হোটেলের মার্কেটিং টিমের এমন সোশ্যাল প্ল্যাটফর্ম দরকার হতে পারে যা একটি স্কুল ব্লক করবে। ৬০টি আলাদাভাবে তৈরি করা রুল সেটের চেয়ে চারটি পলিসি এবং একটি ছোট এক্সেপশন তালিকা নিরীক্ষা করা অনেক সহজ।

যেহেতু Shield সেই নেটওয়ার্কগুলোতে পলিসি যুক্ত করে যা আপনি Purple-এ চালান, তাই একটি সাইটের গেস্ট এবং স্টাফ SSID-গুলোতে বিভিন্ন পলিসি থাকতে পারে। পোর্ট ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের স্ট্যান্ডার্ড IEEE 802.1X ব্যবহারকারী স্টাফ নেটওয়ার্কগুলো তাদের আইডেন্টিটি কন্ট্রোল বজায় রাখে। Shield এর উপরে DNS লেয়ার যোগ করে।

একটি ড্যাশবোর্ড থেকে পুরো ফ্লীট পরিচালনা করা

সেন্ট্রাল DNS পলিসি ম্যানেজমেন্ট তখনই কার্যকর হয় যখন এটি আপনার বর্তমান কাজের ধারার সাথে মিলে যায়। Shield একই Purple প্ল্যাটফর্মে থাকে যা প্রতিটি ক্লায়েন্টের SSID, Captive Portal এবং অ্যানালিটিক্স পরিচালনা করে। ফিল্টার পরিবর্তন করার জন্য আপনাকে কনসোল পরিবর্তন করতে হয় না, এবং আপনাকে দ্বিতীয় কোনো সাইট ইনভেন্টরি বজায় রাখতে হয় না।

একটি MSP-এর জন্য এর ব্যবহারিক সুবিধা রয়েছে:

• অনবোর্ডিং। Purple-এ একটি নতুন ক্লায়েন্ট সাইটের জন্য কোনো আলাদা রিজলভার অ্যাকাউন্টের প্রয়োজন হয় না।
• চেঞ্জ কন্ট্রোল। একবার পলিসি পরিবর্তন করুন এবং এটি সেই পলিসিতে নির্ধারিত প্রতিটি নেটওয়ার্কে প্রযোজ্য হবে।
• রিপোর্টিং। ফিল্টারিং অ্যাক্টিভিটি আপনার শেয়ার করা কানেকশন অ্যানালিটিক্সের পাশেই থাকে, তাই একটি ত্রৈমাসিক রিভিউতেই WiFi এবং সিকিউরিটি কভার হয়।

কেন শিপিং করার কিছু নেই

Shield ক্লাউডে ফিল্টার করে, তাই প্রতিটি লোকেশনে কেনার, কনফিগার করার, শিপ করার বা পরিবর্তন করার মতো কোনো অ্যাপ্লায়েন্স নেই। Purple হার্ডওয়্যার নির্ভর নয় এবং Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks এবং Fortinet-এ ক্লাউড ওভারলে হিসেবে চলে। অধিগ্রহণের পর বিভিন্ন ভেন্ডরের মিশ্রণ থাকা কোনো ক্লায়েন্ট এস্টেটেও একই সেটের পলিসি চলে। হার্ডওয়্যার ভেদে সেটআপ আলাদা হয়, তাই আপনার হার্ডওয়্যারের জন্য Purple-এর সাপোর্ট ডকুমেন্টেশন অনুসরণ করুন।

Purple ইতিমধ্যেই ৮০,০০০+ লাইভ ভেন্যুতে চলছে এবং ২০২৪ সালে ৪৪০ মিলিয়ন লগইন রেকর্ড করেছে (Purple ডেটা)।

রিয়েল এস্টেটে DNS ফিল্টারিং দেখতে কেমন হয়?

নিচের তিনটি দৃশ্যপট সাধারণ এস্টেট স্ট্রাকচার থেকে তৈরি করা হয়েছে। সাইটের সংখ্যা এবং হার্ডওয়্যার স্বাভাবিক; ফলাফলগুলি প্রতিটি পরিবর্তনের অপারেশনাল হিসেব মাত্র।

দৃশ্যপট ১: ১৪টি হসপিটালিটি ক্লায়েন্ট সহ একটি MSP

পরিস্থিতি। একটি MSP ৬০টি সাইট জুড়ে ১৪টি হসপিটালিটি ক্লায়েন্টের জন্য গেস্ট এবং স্টাফ WiFi পরিচালনা করে। এর মধ্যে রয়েছে স্বাধীন হোটেল, ২০টি সাইটের একটি পাব গ্রুপ এবং একটি হলিডে পার্ক। WiFi এবং Captive Portal ইতিমধ্যেই Purple-এ চলে। ফিল্টারিং একটি আলাদা DNS সার্ভিসে চলত, যেখানে ক্লায়েন্ট প্রতি একটি অ্যাকাউন্ট এবং সাইট তালিকা ছিল।

যা করা হয়েছিল। MSP ফিল্টারিং প্রক্রিয়াটিকে Shield-এ স্থানান্তরিত করেছে এবং ১৪টি বেসপোক রুল সেটকে চারটি স্ট্যান্ডার্ড পলিসি দিয়ে প্রতিস্থাপন করেছে। ফ্যামিলি হোটেল এবং হলিডে পার্ক ফ্যামিলি গেস্ট পলিসি নিয়েছে; পাব গ্রুপ অ্যাডাল্ট গেস্ট পলিসি নিয়েছে। দুটি ক্লায়েন্ট ছোট ব্যতিক্রম তালিকা রেখেছিল।

ফলাফল। ৬০টি সাইট জুড়ে কোনো হার্ডওয়্যার পাঠাতে হয়নি এবং কোনো সাইট ভিজিট করতে হয়নি। MSP ১৪টি আলাদা ফিল্টারিং অ্যাকাউন্ট বন্ধ করে দিয়েছে এবং এখন প্রতিটি ক্লায়েন্টকে তাদের পূর্বের ব্যবহৃত Purple ড্যাশবোর্ড থেকেই পরিচালনা করে। একটি রুল পরিবর্তনের অর্থ হল ৬০টি সাইট এন্ট্রির পরিবর্তে চারটি পলিসির যেকোনো একটি সম্পাদনা করা।

দৃশ্যপট ২: একটি কাউন্সিলের লাইব্রেরি এবং লেজার সেন্টার

পরিস্থিতি। একটি কাউন্টি কাউন্সিল ২২টি লাইব্রেরি এবং পাঁচটি লেজার সেন্টারে পাবলিক WiFi অফার করে। শিশুরা স্কুলের পরে লাইব্রেরি নেটওয়ার্ক ব্যবহার করে। দুটি ক্রয়ের পর লাইব্রেরিতে HPE Aruba এবং লেজার সেন্টারে Ubiquiti UniFi রাখা হয়েছে। IT টিমে মাত্র তিনজন ব্যক্তি রয়েছেন।

যা করা হয়েছিল। কাউন্সিল প্রতিটি পাবলিক SSID-এ ফ্যামিলি গেস্ট এবং স্টাফ নেটওয়ার্কে স্টাফ পলিসি প্রয়োগ করেছে। স্টাফ অথেন্টিকেশন 802.1X এবং WPA3-Enterprise (বর্তমান এন্টারপ্রাইজ WiFi এনক্রিপশন স্ট্যান্ডার্ড) এ থাকে। দর্শনার্থীরা এখনও কাউন্সিলের Captive Portal-এর মাধ্যমে যুক্ত হন।

ফলাফল। সমস্ত ২৭টি সাইট দুটি হার্ডওয়্যার ভেন্ডর জুড়ে একটি পাবলিক পলিসি পরিচালনা করে, যেখানে কোথাও কোনো অ্যাপ্লায়েন্স নেই। একটি সম্পাদনা সমস্ত ২৭টি সাইটে পৌঁছে যায়। কাউন্সিল অডিটরদের ২৭টি লোকাল কনফিগারেশনের বদলে একটি পলিসি এবং একটি লগ সোর্স দেখায়।

দৃশ্যপট ৩: সীমিত ব্যাকহলে ১২০টি স্টোরের একটি খুচরা বিক্রেতা

পরিস্থিতি। একজন খুচরা বিক্রেতা ১২০টি স্টোরে ক্রেীদের জন্য গেস্ট WiFi পরিচালনা করেন, যার মধ্যে এক-তৃতীয়াংশ 4G ব্যাকহলে চলে। ক্রেতাদের ব্রাউজিং ব্যান্ডউইথের জন্য স্টোর সিস্টেমের সাথে প্রতিযোগিতা করে। PCI DSS স্কোপের বাইরে রাখতে কার্ডহোল্ডার ডেটা এনভায়রনমেন্টকে ইতিমধ্যেই গেস্ট ট্র্যাফিক থেকে আলাদা বা সেগমেন্ট করা হয়েছে।

যা করা হয়েছিল। খুচরা বিক্রেতা শুধুমাত্র গেস্ট SSID-এ Shield-এর থ্রেট প্রটেকশন এবং অ্যাড ব্লকিং সক্ষম করেছে। এটি তাদের ব্যস্ততম 4G সাইটগুলিতে ১০টি স্টোরের পাইলট প্রকল্প দিয়ে শুরু হয়েছিল। স্টাফ এবং স্টোর-সিস্টেম নেটওয়ার্কগুলি তাদের নিজস্ব সেগমেন্লেই রাখা হয়েছিল।

ফলাফল। পাইলট প্রকল্পটি চার সপ্তাহ ধরে ব্যবহার পরিমাপ করে সীমাবদ্ধ কানেকশনে সামগ্রিক ডেটা খরচ হ্রাসের প্রমাণ পেয়েছে। খুচরা বিক্রেতা এরপর কোনো স্টোর ভিজিট ছাড়াই একটি পরিবর্তনের মাধ্যমে সমস্ত ১২০টি স্টোরে পলিসিটি সম্প্রসারিত করেছে।

আপনার বর্তমান সিস্টেমের পাশাপাশি DNS ফিল্টারিং কোথায় অবস্থান করে?

সুরক্ষামূলক DNS হলো একটি স্তর। এটি আপনার বর্তমান কন্ট্রোলগুলির সাথে সবচেয়ে ভালো কাজ করে।

• সেগমেন্টেশন। VLANs (ভার্চুয়াল LANs, যা একটি ফিজিক্যাল নেটওয়ার্ককে পৃথক লজিক্যাল নেটওয়ার্কে বিভক্ত করে) গেস্ট ট্র্যাফিককে স্টাফ এবং পেমেন্ট সিস্টেম থেকে আলাদা রাখে। গেস্ট এবং স্টাফদের জন্য কীভাবে নেটওয়ার্ক সেগমেন্টেশন সেট আপ করবেন দেখুন।
• অথেন্টিকেশন। RADIUS সহ 802.1X, যে প্রোটোকলটি একটি সেন্ট্রাল সার্ভারের বিরুদ্ধে ক্রেডেনশিয়াল যাচাই করে, সিদ্ধান্ত নেয় কে স্টাফ নেটওয়ার্কে যোগ দেবে। Microsoft Entra ID, Okta বা Google Workspace সহ SecurePass-ও একই কাজ করে। কানেক্ট হওয়ার পর ডিভাইসগুলো কোথায় যেতে পারবে তা Shield নির্ধারণ করে।
• ফায়ারওয়াল। আপনার ফায়ারওয়াল এখনও পোর্ট, প্রোটোকল এবং সেগমেন্টের মধ্যে ট্র্যাফিক নিয়ন্ত্রণ করে। Shield লুকআপের সময় জানা ক্ষতিকারক গন্তব্যগুলোকে থামায়।
• প্রাইভেসি আইন। DNS লগগুলোতে IP অ্যাড্রেস এবং ডিভাইস আইডেন্টিফায়ার থাকতে পারে, যা GDPR ব্যক্তিগত ডেটা হিসেবে বিবেচনা করে। Purple GDPR অনুবর্তী এবং ISO 27001 সার্টিফাইড।

DNSFilter এবং Cisco Umbrella-এর সাথে Shield-এর তুলনা

DNSFilter এবং WebTitan প্রধানত MSP-দের লক্ষ্য করে তৈরি, এবং Cisco Umbrella অনেক Cisco এস্টেটে ডিফল্ট হিসেবে ব্যবহৃত হয়। সবগুলোই ক্লাউডের DNS লেয়ারে ফিল্টার করে। পার্থক্য হলো কে কী পরিচালনা করে এবং কোথায় করে।

মানদণ্ড	Purple Shield	DNSFilter	Cisco Umbrella
যেখানে ফিল্টারিং হয়	DNS লুকআপ, Purple-এর ক্লাউডে	DNS লুকআপ, DNSFilter-এর ক্লাউডে	DNS লুকআপ, Cisco-এর ক্লাউডে
প্রতি সাইটে হার্ডওয়্যার	নেই	নেটওয়ার্ক ফিল্টারিংয়ের জন্য নেই	DNS-লেয়ার সুরক্ষার জন্য নেই
টেন্যান্ট ম্যানেজমেন্ট	ক্লায়েন্ট WiFi চালানো Purple ড্যাশবোর্ডের ভেতরে	সাব-অর্গানাইজেশন সহ আলাদা MSP কনসোল	আলাদা মাল্টি-অর্গ বা MSP কনসোল
SSIDs, ক্যা his ্টিভ পোর্টাল এবং WiFi অ্যানালিটিক্সের সাথে যুক্ত	হ্যাঁ, WiFi প্ল্যাটফর্মের নেটিভ ফিচার	না, একটি আলাদা স্ট্যাক হিসেবে কনফিগার করা হয়	Cisco Meraki-এর সাথে সংহত, নিজস্ব কনসোলে পরিচালিত
অফ-সাইট রোমিং ডিভাইস	আপনার চালানো WiFi-তে থাকা ডিভাইসগুলোর জন্য তৈরি	রোমিং ক্লায়েন্ট এজেন্ট	Cisco Secure Client রোমিং মডিউল
হার্ডওয়্যার কভারেজ	Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, Fortinet	যে কোনো নেটওয়ার্ক যা এর রিযলভারগুলোতে DNS ফরোয়ার্ড করতে পারে	যে কোনো নেটওয়ার্ক যা এর রিযলভারগুলোতে DNS ফরোয়ার্ড করতে পারে, Cisco-এর সাথে সবচেয়ে গভীর
যার জন্য সবচেয়ে উপযোগী	MSP যাদের ক্লায়েন্টদের WiFi Purple-এ চলে	MSP যারা সাইটে এবং সাইটের বাইরে পরিচালিত এন্ডপয়েন্ট রক্ষা করে	Cisco সিকিউরিটিতে স্ট্যান্ডার্ডাইজ করা এস্টেট

বিকল্পগুলো সেখানে শক্তিশালী যেখানে Shield প্রতিযোগিতা করে না। DNSFilter এবং Cisco Umbrella উভয়ই সাইটের বাইরে পরিচালিত ল্যাপটপের জন্য রোমিং এজেন্ট অফার করে। Umbrella, Cisco-এর বিস্তৃত সিকিউরিটি পোর্টফোলিওর ভেতরেও অবস্থান করে। TitanHQ-এর WebTitan, MSP-দের জন্যও একটি মাল্টি-টেন্যান্ট ক্লাউড ফিল্টার অফার করে। আপনার চুক্তিগুলো যদি কর্পোরেট এন্ডপয়েন্টগুলোকে তারা যেখানেই ভ্রমণ করুক না কেন কভার করে, তবে সেগুলোর একটি উপযুক্ত হতে পারে।

Shield-এর কেস আরও নির্দিষ্ট এবং WiFi-চালিত MSP-গুলির জন্য অনেক বেশি শক্তিশালী। আপনি যদি Purple-এ প্রতিটি ক্লায়েন্টের SSID, Captive Portal এবং অ্যানালিটিক্স পরিচালনা করেন, তবে প্রতি টেন্যান্টে একটি পৃথক রিজলভার স্ট্যাক থাকা অতিরিক্ত কাজের চাপ সৃষ্টি করে। বিস্তারিত জানতে, Shield vs DNSFilter: a protective DNS comparison for WiFi operators এবং Shield vs Cisco Umbrella: choosing protective DNS for guest WiFi পড়ুন।

DNS ফিল্টারিংয়ের সীমাবদ্ধতাগুলি কী কী যা আপনার জানা উচিত?

DNS ফিল্টারিং একটি সংযোগের কেবল একটি নির্দিষ্ট বিন্দুতে কাজ করে, এবং এটিই এর সীমাবদ্ধতা তৈরি করে।

• এনক্রিপ্টেড DNS এটিকে বাইপাস করতে পারে। DNS over HTTPS (DoH, RFC 8484) এবং DNS over TLS (DoT, RFC 7858) ডিভাইসকে তার নিজস্ব রিজলভার বেছে নিতে দেয়। নেটওয়ার্ক নিয়ন্ত্রণ আনম্যানেজড ডিভাইসগুলিতে এটি হ্রাস করতে পারে তবে সম্পূর্ণ দূর করতে পারে না। দেখুন DNS over HTTPS explained: privacy vs public WiFi filtering।
• VPN টানেল ব্যবহার করে এটি অতিক্রম করে। একটি ব্যক্তিগত VPN-এ থাকা অতিথি টানেলের ভেতর থেকে নেম রিজলভ করেন। আপনি পরিচিত VPN ডোমেনগুলি ব্লক করতে পারেন, প্রতিটি নয়।
• সরাসরি IP সংযোগগুলি DNS এড়িয়ে যায়। একটি হার্ড-কোডেড IP ঠিকানায় কল করা ম্যালওয়্যার কখনও লুকআপ তৈরি করে না। আপনার ফায়ারওয়াল সেই কেসটি কভার করে।
• এটি ডোমেন দেখে, কন্টেন্ট নয়। DNS ফিল্টারিং একটি সম্পূর্ণ ডোমেনকে অনুমতি দেয় বা ব্লক করে, একক পৃষ্ঠা বা ফাইল নয়।
• ক্যাটাগরি পর্যালোচনার প্রয়োজন। যেকোনো ক্যাটাগরি তালিকা মাঝে মাঝে অতিরিক্ত ব্লক বা কম ব্লক করতে পারে। প্রতিটি ক্লায়েন্টকে একজন নির্দিষ্ট পরিচিত ব্যক্তি এবং পরিবর্তনগুলির অনুরোধ করার একটি মাধ্যম দিন।
• লগগুলির জন্য গভর্নেন্স প্রয়োজন। রোলআউটের আগে প্রতি ক্লায়েন্টের জন্য ডেটা রিটেনশন এবং অ্যাক্সেস সম্মত হন, এবং এটি আপনার ডেটা প্রসেসিং চুক্তিতে রেকর্ড করুন।

আপনার পরবর্তী পদক্ষেপ কী হওয়া উচিত?

১. আপনার টেন্যান্টগুলি ম্যাপ করুন। প্রতিটি ক্লায়েন্ট, সাইট এবং নেটওয়ার্কের তালিকা তৈরি করুন, সাথে তাদের ইন্ডাস্ট্রি এবং নিয়ন্ত্রণমূলক দায়িত্ব যেমন স্কুল, লাইব্রেরি, স্বাস্থ্যসেবা এবং লাইসেন্সপ্রাপ্ত ভেন্যু অন্তর্ভুক্ত করুন। ২. মানক নীতিগুলি খসড়া করুন। ওপরের চারটি দিয়ে শুরু করুন এবং সিকিউরিটি বেসলাইন বাধ্যতামূলক রাখুন। ৩. প্রতিনিধিত্বমূলক সাইটগুলিতে পাইলট পরিচালনা করুন। প্রতিটি ইন্ডাস্ট্রির জন্য একটি সাইট বেছে নিন, যার মধ্যে একটি সীমিত ব্যাকহল বিশিষ্ট সাইট অন্তর্ভুক্ত থাকবে, এবং আগের ও পরের ডেটা ব্যবহার পরিমাপ করুন। ৪. সাইট অনুযায়ী নয়, নীতি অনুযায়ী রোলআউট করুন। প্রতিটি ক্লায়েন্টের জন্য নেটওয়ার্কগুলিতে নীতি বরাদ্দ করুন, তারপর ৩০ দিন পরে ব্যতিক্রমগুলি পর্যালোচনা করুন। ৫. রিপোর্ট প্রদান করুন। আপনি ইতিমধ্যে প্রদান করা WiFi পর্যালোচনাগুলিতে ফিল্টারিং কার্যক্রম যুক্ত করুন।

যদি আপনার ক্লায়েন্টদের WiFi এখনও Purple-এ না চলে, তবে Guest WiFi দিয়ে শুরু করুন, তারপর Shield যোগ করুন। সম্পূর্ণ প্রপার্টি জুড়ে নেটওয়ার্ক সুরক্ষার বিষয়ে আরও জানতে, All guides ব্রাউজ করুন।

বারবার জিজ্ঞাসিত প্রশ্নাবলী

DNS ফিল্টারিং ব্যবহার করার জন্য আমাকে কি প্রতিটি ক্লায়েন্ট সাইটে হার্ডওয়্যার ইনস্টল করতে হবে?

না। Shield ক্লাউডের DNS লেয়ারে ফিল্টার করে, তাই কোনো স্থানে কোনো অ্যাপ্লায়েন্স কেনার, কনফিগার করার বা পাঠানোর প্রয়োজন নেই। আপনার ক্লায়েন্টদের ইতিমধ্যে থাকা অ্যাক্সেস পয়েন্টগুলিতে Purple একটি ক্লাউড ওভারলে হিসাবে চলে, যার মধ্যে রয়েছে Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet। ভেন্ডর ভেদে সেটআপ আলাদা হয়, তাই আপনার নেটওয়ার্কের প্রতিটি হার্ডওয়্যার টাইপের জন্য Purple-এর সাপোর্ট ডকুমেন্টেশন অনুসরণ করুন।

আমি কি প্রতিটি ক্লায়েন্ট এবং প্রতিটি নেটওয়ার্কের জন্য আলাদা ফিল্টারিং নীতি সেট করতে পারি?

হ্যাঁ। Shield ফিল্টারিং নীতিকে আপনার আগে থেকেই Purple-এ চলতে থাকা নেটওয়ার্কের সাথে যুক্ত করে, যাতে প্রতিটি ক্লায়েন্ট এবং একটি সাইটের মধ্যে থাকা প্রতিটি SSID নিজস্ব নীতি বহন করতে পারে। একটি হোটেলের গেস্ট নেটওয়ার্ক অ্যাডাল্ট কন্টেন্ট ব্লক করতে পারে, অন্যদিকে এর স্টাফ নেটওয়ার্ক ক্লায়েন্টের গ্রহণযোগ্য ব্যবহারের নিয়ম প্রয়োগ করে। সাইট ভিত্তিক আলাদা নিয়মের চেয়ে সংক্ষিপ্ত ব্যতিক্রমী তালিকা সহ স্ট্যান্ডার্ড নীতির একটি ছোট সেট অডিট করা সহজ।

আমি কি একটি ড্যাশবোর্ড থেকে অনেকগুলো সাইটের কন্টেন্ট ফিল্টারিং পরিচালনা করতে পারি?

হ্যাঁ। Shield একই Purple প্ল্যাটফর্মে পরিচালিত হয় যা আপনার ক্লায়েন্টদের SSID, captive portal এবং অ্যানালিটিক্স পরিচালনা করে, ফলে কনসোল পরিবর্তন না করেই আপনি ফিল্টারিং পরিবর্তন করতে পারেন। একটি নীতি পরিবর্তন সেই নীতির অধীনে থাকা প্রতিটি নেটওয়ার্কে প্রয়োগ করা হয়, সমস্ত সাইট জুড়ে। ফিল্টারিং অ্যাক্টিভিটি আপনার বিদ্যমান WiFi রিপোর্টিংয়ের সাথে থাকে, তাই একটি একক ক্লায়েন্ট রিভিউতে কানেক্টিভিটি এবং সিকিউরিটি উভয়ই একসাথে কভার হয়।

একটি MSP-এর জন্য DNSFilter-এর সাথে Shield-এর তুলনা কীভাবে করা যায়?

Shield সেই সমস্ত MSP-এর জন্য উপযুক্ত যাদের ক্লায়েন্টদের WiFi ইতিমধ্যেই Purple-এ চলে, আর DNSFilter সেই সমস্ত MSP-এর জন্য উপযুক্ত যারা সাইটের ভেতরে এবং বাইরে পরিচালিত ল্যাপটপগুলোকে সুরক্ষিত রাখে। উভয়ই ক্লাউডে DNS লেয়ারে ফিল্টার করে যেখানে কোনো প্রতি-সাইট হার্ডওয়্যারের প্রয়োজন হয় না। DNSFilter একটি রোমিং এজেন্ট সহ একটি পৃথক মাল্টি-টেন্যান্ট কনসোল হিসাবে চলে। Shield চলে WiFi প্ল্যাটফর্মের ভেতরে, যা আপনি ইতিমধ্যেই পরিচালনা করছেন এমন একই SSID, captive portal এবং অ্যানালিটিক্সের সাথে যুক্ত।

গেস্টরা কি DNS over HTTPS বা VPN দিয়ে DNS ফিল্টারিং বাইপাস করতে পারে?

হ্যাঁ, একজন সচেষ্ট গেস্ট তা করতে পারেন। DNS over HTTPS, DNS over TLS এবং ব্যক্তিগত VPN-গুলো আপনার রিজার্ভারের বাইরে লুকআপ পাঠায়। নেটওয়ার্ক কন্ট্রোল এটি কমাতে পারে, উদাহরণস্বরূপ পরিচিত VPN এবং পাবলিক DoH এন্ডপয়েন্ট ব্লক করে, তবে কোনো DNS ফিল্টারই একটি অনিয়ন্ত্রিত ডিভাইসকে সম্পূর্ণভাবে নিয়ন্ত্রণ করে না। নেটওয়ার্কের DNS ব্যবহার করে এমন প্রতিটি ডিভাইসের জন্য সেগমেন্টেশন এবং আপনার ফায়ারওয়ালের পাশাপাশি DNS ফিল্টারিং-কে ডিফল্ট সুরক্ষা হিসাবে বিবেচনা করুন।

DNS ফিল্টারিং কি স্কুল এবং লাইব্রেরির ফিল্টারিং প্রয়োজনীয়তা পূরণ করতে সাহায্য করে?

এটি ফিল্টারিং উপাদানটিকে কভার করে, তবে শুধুমাত্র ফিল্টারিং সম্পূর্ণ প্রয়োজনীয়তা পূরণ করে না। ইংল্যান্ডে, ডিপার্টমেন্ট ফর এডুকেশন-এর ফিল্টারিং এবং মনিটরিং মানদণ্ড অনুযায়ী ফিল্টারিং এবং মনিটরিং উভয়ই প্রত্যাশিত, যার সাথে নির্দিষ্ট দায়িত্ব এবং নিয়মিত পর্যালোচনা অন্তর্ভুক্ত। মার্কিন যুক্তরাষ্ট্রে, CIPA-এর জন্য E-rate অর্থায়নপ্রাপ্ত স্কুল এবং লাইব্রেরিগুলোকে একটি ইন্টারনেট সুরক্ষা নীতির মধ্যে প্রযুক্তি সুরক্ষা ব্যবস্থা ব্যবহার করতে হবে। আপনার মনিটরিং এবং সেফগার্ডিং প্রক্রিয়ার সাথে সমস্ত সাইট জুড়ে সামঞ্জস্যপূর্ণ ফিল্টারিং যুক্ত করুন।

GDPR-এর অধীনে DNS কোয়েরি লগগুলো কীভাবে পরিচালনা করা হয়?

Purple হলো GDPR অনুবর্তী এবং এর ISO 27001 সার্টিফিকেশন রয়েছে। DNS লগে IP ঠিকানা এবং ডিভাইস আইডেন্টিফায়ার অন্তর্ভুক্ত থাকতে পারে, যেগুলোকে GDPR ব্যক্তিগত ডেটা হিসাবে বিবেচনা করে। রোলআউটের আগে প্রতিটি ক্লায়েন্টের সাথে ধরে রাখার সময়সীমা, অ্যাক্সেস এবং উদ্দেশ্য সম্পর্কে সম্মত হন এবং আপনার ডেটা প্রসেসিং চুক্তিতে সেই শর্তাবলী রেকর্ড করুন। MSP হিসাবে, আপনি প্রায়শই আপনার ক্লায়েন্টদের জন্য প্রসেসর হিসাবে কাজ করবেন, তাই প্রতিটি এস্টেটের লগ কে নিয়ন্ত্রণ করে তা নথিভুক্ত করুন।

একটি মাল্টি-সাইট এস্টেটের জন্য Shield-এর মূল্য কীভাবে নির্ধারণ করা হয়?

Shield হলো Purple প্ল্যাটফর্মের একটি সিকিউরিটি অ্যাড-অন, SecurePass এবং Verify-এর পাশাপাশি, তাই আপনি এটি ইতিমধ্যেই Purple-এ চলা সাইটগুলোতে যুক্ত করতে পারেন। কোনো প্রতি-সাইট হার্ডওয়্যার নেই, তাই মডেল করার জন্য কোনো অ্যাপ্লায়েন্স, শিপিং বা রিপ্লেসমেন্ট খরচ নেই। আপনার ক্লায়েন্ট এবং সাইটের সংখ্যার ওপর ভিত্তি করে মূল্যের জন্য Purple-কে জিজ্ঞাসা করুন, এবং আপনি এই বছর যুক্ত করার পরিকল্পনা করছেন এমন যে কোনো সাইট অন্তর্ভুক্ত করুন।