স্কুল এবং লাইব্রেরির জন্য DNS ফিল্টারিং

স্কুল এবং লাইব্রেরির জন্য DNS filtering যেকোনো কানেকশন খোলার আগেই DNS লুকআপের সময় ক্ষতিকারক এবং অনাকাঙ্ক্ষিত সাইটগুলোকে ব্লক করে। কোনো এজেন্ট বা নতুন হার্ডওয়্যার ছাড়াই এটি আপনার WiFi-এর প্রতিটি ডিভাইসকে সুরক্ষিত রাখে। পুঙ্খানুপুঙ্খ পরীক্ষার মুখে কার্যকর থাকতে হলে, এটিকে অবশ্যই encrypted-DNS bypass বন্ধ করতে হবে, Google, Bing এবং YouTube-এ Safe Search লক করতে হবে এবং আপনার সেফগার্ডিং লিডের প্রমাণ হিসেবে উপস্থাপন করার মতো রিপোর্ট তৈরি করতে হবে।

স্কুল এবং লাইব্রেরির জন্য DNS filtering কী?

প্রতিটি ওয়েব কানেকশন একটি DNS লুকআপ দিয়ে শুরু হয়। একটি ডিভাইস কোনো নামকে IP ঠিকানায় রূপান্তর করতে রেজলভারের কাছে অনুরোধ করে। DNS filtering সেই উত্তরে একটি পলিসি চেক যোগ করে। যদি ডোমেইনটি কোনো ব্লক করা ক্যাটাগরিতে থাকে বা এতে সুরক্ষার ঝুঁকি থাকে, তবে রেজলভার আসল ঠিকানা প্রদান থেকে বিরত থাকে। ব্রাউজার কখনোই কানেকশন খোলে না, ফলে ক্ষতিকর কনটেন্ট, ম্যালওয়্যার বা বিজ্ঞাপন কখনোই লোড হয় না।

যে রেজলভার এটি করে তাকে protective DNS বলা হয়। একটি স্কুল বা লাইব্রেরির নেটওয়ার্কে এটি একসাথে তিনটি কাজ করে:

• এটি আপনার কনটেন্ট পলিসি প্রয়োগ করে।
• এটি ফিশিং এবং ম্যালওয়্যার ডোমেইন ব্লক করে।
• এটি সার্চ ইঞ্জিনগুলোকে তাদের নিরাপদ মোডে লক করে রাখে।

ফিল্টারিং কোথায় হয়, এবং ফায়ারওয়াল কী মিস করে?

ফিল্টারিং ঘটে লুকআপের সময়, ডিভাইসটির সংযোগ করার মতো একটি ঠিকানা পাওয়ার আগেই। ফায়ারওয়াল পরে কাজ করে, কানেকশন তৈরি হওয়ার পর। ডিক্রিপশন ছাড়া এটি কেবল একটি IP ঠিকানা, একটি পোর্ট এবং খুব সামান্য তথ্য দেখতে পায়।

বেশিরভাগ ওয়েব ট্র্যাফিক এখন পোর্ট 443-এ HTTPS-এর মাধ্যমে চলে। এর সিংহভাগই কনটেন্ট ডেলিভারি নেটওয়ার্কে যায়, যা শেয়ার করা ঠিকানার পেছনে হাজার হাজার অসংশ্লিষ্ট সাইট হোস্ট করে। আপনি যদি সেই IP-গুলোর মধ্যে একটি ব্লক করেন, তবে আপনি এর সাথে বৈধ সাইটগুলোকেও ব্লক করবেন। আর যদি আপনি এটি অনুমোদন করেন, তবে ক্ষতিকারক সাইটটি প্রবেশাধিকার পেয়ে যায়।

একটি ফায়ারওয়াল HTTPS পরীক্ষা করতে পারে, তবে কেবল তখনই যখন আপনি প্রতিটি ডিভাইসে একটি বিশ্বস্ত সার্টিফিকেট ইনস্টল করবেন। আপনি স্কুলের নিজস্ব ল্যাপটপে এটি করতে পারেন। তবে আপনি একটি লাইব্রেরিতে দর্শনার্থীর ফোনে বা ষষ্ঠ শ্রেণীর WiFi-এ শিক্ষার্থীদের নিজস্ব ট্যাবলেটে এটি করতে পারেন না। DNS filtering-এর জন্য ডিভাইসে কিছুর প্রয়োজন হয় না। এটি আপনার নেটওয়ার্ক থেকে DNS সেটআপ নেওয়া যেকোনো ডিভাইসের ওপর প্রযোজ্য হয়।

আপনার নেটওয়ার্কে একটি স্কুলের DNS কনটেন্ট ফিল্টার কেন গুরুত্বপূর্ণ?

স্কুল: KCSIE এবং DfE স্ট্যান্ডার্ড

ইংল্যান্ডে, Keeping Children Safe in Education (KCSIE) হলো ডিপার্টমেন্ট ফর এডুকেশন (DfE)-এর একটি সংবিধিবদ্ধ সেফগার্ডিং নির্দেশনা। এর জন্য গভর্নিং বডি এবং স্বত্বাধিকারীদের উপযুক্ত ফিল্টারিং এবং মনিটরিং ব্যবস্থা চালু রাখা এবং সেগুলো কতটা ভালো কাজ করছে তা পর্যালোচনা করা আবশ্যক। এটি অনলাইনে সুরক্ষার দায়িত্ব ডেসিমনেটেড সেফগার্ডিং লিড (DSL)-কে দেয়, যার মধ্যে ফিল্টারিং এবং মনিটরিং সিস্টেমগুলো ভালোভাবে বোঝাও অন্তর্ভুক্ত।

স্কুল ও কলেজের জন্য DfE-এর ফিল্টারিং এবং মনিটরিং স্ট্যান্ডার্ডগুলো বাস্তবে এর অর্থ কী তা নির্ধারণ করে:

• নির্দিষ্ট দায়িত্ব অর্পণ করা।
• অন্তত বার্ষিকভাবে আপনার ব্যবস্থা পর্যালোচনা করা।
• শিক্ষা ও শিখনকে অহেতুক প্রভাবিত না করে ক্ষতিকর এবং অনুপযুক্ত কনটেন্ট ব্লক করা।

KCSIE স্কুলগুলোকে UK Safer Internet Centre এর উপযুক্ত ফিল্টারিংয়ের সংজ্ঞার দিকে নির্দেশ করে। সেই সংজ্ঞায় আশা করা হয় যে আপনার প্রদানকারী একটি Internet Watch Foundation (IWF) এর সদস্য হবে এবং child sexual abuse বিষয়ক সামগ্রীর IWF তালিকাটি ব্লক করবে। এটি আরও আশা করে যে প্রদানকারী Counter Terrorism Internet Referral Unit (CTIRU) থেকে পুলিশ-মূল্যায়িত বেআইনি সন্ত্রাসী বিষয়বস্তুর তালিকা ব্লক করবে। আপনার বাছাই করা যেকোনো ভেন্ডরের কাছে দুটি প্রশ্নই রাখুন।

US এর স্কুলগুলো এর পরিবর্তে Children's Internet Protection Act (CIPA) এর মুখোমুখি হয়। আমরা CIPA-অনুগামী WiFi ফিল্টারিং সংক্রান্ত আমাদের পৃথক গাইডে সার্টিফিকেশন ধাপগুলো কভার করেছি। নীতিগত দিকের জন্য, Web filtering for schools: Policies that work দেখুন।

লাইব্রেরিগুলোর কি কন্টেন্ট ফিল্টারিং প্রয়োজন?

ব্যবহারিক ক্ষেত্রে, হ্যাঁ। আইনি বাধ্যবাধকতা নির্ভর করে আপনি কোথায় কাজ করছেন এবং কীভাবে আপনার অর্থায়ন করা হয় তার ওপর।

US-এ, CIPA সেইসব পাবলিক লাইব্রেরির জন্য প্রযোজ্য যা ইন্টারনেট অ্যাক্সেসের জন্য E-rate ডিসকাউন্ট নেয়। সেই লাইব্রেরিগুলোকে একটি প্রযুক্তিগত সুরক্ষা ব্যবস্থা পরিচালনা করতে হবে যা অশ্লীল, child sexual abuse material বা অপ্রাপ্তবয়স্কদের জন্য ক্ষতিকারক ছবিগুলো ব্লক করে। Federal Communications Commission (FCC) একটি লাইব্রেরিকে একজন প্রাপ্তবয়স্ক ব্যক্তির খাঁটি গবেষণা বা অন্য কোনো আইনি উদ্দেশ্যে ফিল্টারটি নিষ্ক্রিয় করার অনুমতি দেয়।

UK-তে, কোনো সংবিধানে পাবলিক লাইব্রেরির ফিল্টার করার প্রয়োজন নেই। অনেক লাইব্রেরি পরিষেবা তবুও ফিল্টার করে, এবং অনেকেই Friendly WiFi অ্যাক্রেডিটেশন চায়। Friendly WiFi হলো পাবলিক WiFi এর জন্য একটি সরকার-উদ্যোগী সার্টিফিকেশন স্কিম। এর ন্যূনতম মানদণ্ডের জন্য আপনাকে পর্নোগ্রাফি এবং IWF-তালিকাভুক্ত child sexual abuse কন্টেন্ট ফিল্টার করতে হবে যেখানে শিশুরা উপস্থিত থাকতে পারে।

লাইব্রেরিগুলোর জন্য কাজ করা স্কুলগুলোর চেয়ে কঠিন। একটি নেটওয়ার্ক হোমওয়ার্ক ক্লাবের একজন শিশু এবং একটি চিকিৎসা অবস্থা নিয়ে গবেষণা করা একজন প্রাপ্তবয়স্ক উভয়কেই সেবা দেয়। আপনার নীতিকে প্রাপ্তবয়স্কদের অতিরিক্ত ব্লক না করে শিশুকে রক্ষা করতে হবে। সেইসব দর্শকদের পৃথক নেটওয়ার্কে ভাগ করা সাধারণত সবচেয়ে পরিষ্কার উত্তর। How to Set Up Network Segmentation for Guests and Staff এই পদ্ধতিটি ধাপে ধাপে ব্যাখ্যা করে।

স্কুল এবং লাইব্রেরির জন্য DNS ফিল্টারিং কীভাবে কাজ করে?

আপনি একটি সেটিংস পরিবর্তন করবেন: DNS সার্ভারগুলো আপনার DHCP স্কোপ ডিভাইসগুলোতে প্রদান করে। অ্যাক্সেস পয়েন্ট, কন্ট্রোলার এবং সুইচগুলো যেখানে আছে সেখানেই থাকে। প্রতিটি ডিভাইস তখন তার লুকআপগুলো সুরক্ষামূলক রিভলভারের কাছে পাঠায়, এবং রিভলভার আপনার নীতি প্রয়োগ করে।

কন্টেন্ট বিভাগ এবং হুমকি সুরক্ষা

রিজলভার প্রতিটি ডোমেনকে দুটি সিগন্যাল সেটের বিরুদ্ধে পরীক্ষা করে।

• কন্টেন্ট বিভাগ, যেমন এডাল্ট কন্টেন্ট, জুয়া, অস্ত্র বা প্রক্সি এবং অ্যানোনিমাইজার। প্রতিটি দর্শকদের জন্য কোনটি ব্লক করবেন তা আপনি বেছে নেবেন।
• হুমকি বুদ্ধিমত্তা, যার মধ্যে ফিশিং, মালওয়্যার, কমান্ড-এন্ড-কন্ট্রোল এবং আক্রমণে ব্যবহৃত নতুন নিবন্ধিত ডোমেনগুলো অন্তর্ভুক্ত রয়েছে।

হুমকির ক্ষেত্রে গতি গুরুত্বপূর্ণ, কারণ আক্রমণকারীরা ডোমেন নিবন্ধিত করে এবং কয়েক ঘণ্টার মধ্যে সেগুলো ব্যবহার করে। ক্ষতিকারক ডোমেন শনাক্ত হওয়ার সাথে সাথেই Shield এই হুমকিগুলোকে চিহ্নিত করে। একটি স্কুলের জন্য, এটি একজন কর্মী সদস্যের একটি ফিশিং লিঙ্কে ক্লিক করা এবং রিজলভারের উত্তর দিতে অস্বীকৃতি জানানোর মধ্যবর্তী ব্যবধান।

ব্যস্ত শেয়ার্ড WiFi-এ বিজ্ঞাপনী ব্লকিং কী করে

লাইব্রেরি এবং স্কুলগুলি প্রায়শই সীমিত ব্যাকহলে ঘন WiFi পরিচালনা করে। DNS লেয়ারে বিজ্ঞাপন এবং অ্যানালিটিক্স ডোমেনগুলি ব্লক করা আপনার কানেকশনে পৌঁছানোর আগেই অপ্রয়োজনীয় ট্রাফিক সরিয়ে দেয়। এই অনুরোধগুলি ফিল্টার করার ফলে:

• ব্যবহারকারীদের জন্য দ্রুত পেজ লোড হয়
• সামগ্রিক ডেটা ব্যবহার হ্রাস পায়
• নেটওয়ার্কে কম DNS কুয়েরি আঘাত করে
• সামগ্রিক ওয়েব ট্রাফিকের পরিমাণ কমে

পাবলিক পিসি এবং ভিজিটরদের ফোনের মাধ্যমে শেয়ার করা একটি লাইব্রেরি কানেকশনে, সেই অতিরিক্ত ব্যান্ডউইথ হোমওয়ার্ক, চাকরির আবেদন এবং ভিডিও পাঠের কাজে ফিরে আসে।

আপনি কীভাবে একটি স্কুল নেটওয়ার্ক জুড়ে Safe Search কার্যকর করবেন?

ক্যাটাগরি ব্লকিং সম্পূর্ণ সাইটগুলি বন্ধ করে দেয়। সার্চ ইঞ্জিনগুলি নিয়ন্ত্রণ করা কঠিন, কারণ Google, Bing এবং YouTube শেখার জন্য অপরিহার্য কিন্তু তাদের ডিফল্ট মোডে অনুপযুক্ত ফলাফল দেখায়। প্রতিটি ভেন্ডর একটি DNS পদ্ধতি নথিভুক্ত করে যা নেটওয়ার্ক জুড়ে এর সেফ মোড কার্যকর করে:

• Google forcesafesearch.google.com প্রকাশ করে। যখন আপনার রিজলভার Google সার্চ অনুসন্ধানের উত্তর সেই অ্যাড্রেস দিয়ে দেয়, তখন SafeSearch লক হয়ে যায় এবং অনুসন্ধানকারী ব্যক্তি এটি বন্ধ করতে পারেন না।
• Bing strict.bing.com প্রকাশ করে, যা একইভাবে কড়া SafeSearch কার্যকর করে।
• YouTube restrict.youtube.com এবং restrictmoderate.youtube.com প্রকাশ করে, যা কড়া বা মাঝারি স্তরে Restricted Mode প্রয়োগ করে।

একটি প্রতিরক্ষামূলক DNS সার্ভিস আপনার জন্য এই ম্যাপিং পরিচালনা করে, তাই হাতে রেকর্ড এডিট করার বদলে আপনি একটি সেটিংস বেছে নিতে পারেন। মাঝারি স্তরের YouTube নিষেধাজ্ঞা সাধারণত মাধ্যমিক স্কুলের জন্য উপযুক্ত, কারণ কড়া মোড অনেক বৈধ শিক্ষার ভিডিও লুকিয়ে ফেলে। সমস্ত সাইটে রোল আউট করার আগে আসল পাঠের কন্টেন্ট দিয়ে পরীক্ষা করুন।

ছাত্ররা কীভাবে DoH এর মাধ্যমে স্কুলের WiFi ফিল্টারিং বাইপাস করে?

একটি DNS ফিল্টার এড়ানোর জন্য এনক্রিপ্ট করা DNS সবচেয়ে সাধারণ উপায়। HTTPS এর মাধ্যমে DNS (DoH, যা RFC 8484 এ সংজ্ঞায়িত) সাধারণ HTTPS ট্রাফিকের ভেতরে অনুসন্ধান পাঠায়। TLS এর মাধ্যমে DNS (DoT, RFC 7858) পোর্ট 853-এ সেগুলিকে এনক্রিপ্ট করে। যেকোনো একটি ডিভাইসের অনুসন্ধানকে আপনার রিজলভার পার করে একটি পাবলিক রিজলভারে নিয়ে যেতে পারে যা কোনো পলিসি প্রয়োগ করে না।

শিক্ষার্থীদের নিজেদের এটি সেট আপ করার প্রয়োজন খুব কমই পড়ে, কারণ ব্রাউজার এবং অপারেটিং সিস্টেমগুলি এনক্রিপ্ট করা DNS বিকল্প সহ আসে। নিচের টেবিলটি প্রতিটি পথ এবং তা বন্ধ করার নথিভুক্ত উপায়ের ম্যাপিং দেখায়।

বাইপাসের পথ	এটি যেভাবে আপনার ফিল্টার এড়িয়ে যায়	কীভাবে এটি বন্ধ করবেন
Firefox ডিফল্ট DoH	Firefox একটি পাবলিক DoH রিজলভারে অনুসন্ধান পাঠাতে পারে	Mozilla এর ক্যানারি ডোমেন, use-application-dns.net এর জন্য কোনো উত্তর দেবেন না, যা Firefox কে আপনার নেটওয়ার্কের রিজলভার ব্যবহার চালিয়ে যেতে বলে
Chrome এবং Edge সুরক্ষিত DNS	কনফিগার করা রিজলভারের কোনো পরিচিত DoH সমতুল্য থাকলে DoH-এ আপগ্রেড হয়	ম্যানোজড ডিভাইসগুলিতে DnsOverHttpsMode পলিসি বন্ধ করুন; আনম্যানেজড ডিভাইসগুলিতে এই আপগ্রেড কেবল আপনার নিজের রিজলভার প্রদানকারীর বিপক্ষেই চলে
iCloud Private Relay	Apple এর সার্ভারের মাধ্যমে Safari ট্রাফিক এবং DNS রিলে করে	mask.icloud.com এবং mask-h2.icloud.com এর জন্য একটি নেতিবাচক উত্তর দিন, যেমনটা Apple নথিভুক্ত করেছে, এবং ডিভাইসগুলি Private Relay অনুপলব্ধ হিসাবে দেখাবে
Android Private DNS (DoT)	পোর্ট 853-এ TLS এর মাধ্যমে অনুসন্ধান পাঠায়	আপনার ফায়ারওয়ালে আউটবাউন্ড পোর্ট 853 ব্লক করুন; অটোমেটিক মোড আপনার রিজলভারে ফিরে আসবে
হার্ড-কোট করা পাবলিক রিজলভার	ডিভাইস বা অ্যাপ DHCP উপেক্ষা করে এবং পোর্ট 53-এ পাবলিক রিজলভারকে কোয়েরি পাঠায়	আপনার প্রোটেক্টিভ রিজলভার ছাড়া অন্য যে কোনো কিছুর জন্য আউটবাউন্ড পোর্ট 53 ব্লক করুন
VPN এবং প্রক্সি অ্যাপস	আপনার নেটওয়ার্কের বাইরে সমস্ত ট্র্যাফিক টানেল করে	প্রক্সি এবং অ্যানোনিমাইজার ক্যাটাগরি ব্লক করুন, এবং ম্যানেজড ডিভাইসে MDM পলিসির মাধ্যমে VPN অ্যাপস ব্লক করুন

এর সমাধানের জন্য DNS রুল, ফায়ারওয়াল রুল এবং ডিভাইস পলিসির সংমিশ্রণ প্রয়োজন, কারণ কোনো একটি একক লেয়ার সব রুট বন্ধ করতে পারে না। এনক্রিপ্টেড DNS এবং DoH বাইপাস ব্লক করার বিষয়ে আমাদের পৃথক গাইডটি প্রতিটি কন্ট্রোল নিয়ে বিস্তারিত আলোচনা করে।

প্রমাণ হিসেবে স্কুল এবং লাইব্রেরির কী ধরনের রিপোর্টিং প্রয়োজন?

যে ফিল্টারিংয়ের কোনো প্রমাণ আপনি দিতে পারবেন না, তা গভর্নিং বডি, একটি Ofsted পরিদর্শন বা একটি CIPA অডিটকে সন্তুষ্ট করতে পারবে না। DfE স্ট্যান্ডার্ড একটি নথিভুক্ত বার্ষিক পর্যালোচনার প্রত্যাশা করে। মার্কিন যুক্তরাষ্ট্রে, CIPA-এর জন্য পাবলিক নোটিশ এবং পাবলিক হিয়ারিংয়ের পরে গৃহীত একটি ইন্টারনেট সেফটি পলিসি থাকা প্রয়োজন। উভয়ই রেকর্ডের ওপর নির্ভর করে।

যেকোনো প্রোভাইডারকে জিজ্ঞেস করুন তারা নিম্নলিখিত বিষয়গুলো এক্সপোর্ট করতে পারে কিনা:

• ক্যাটাগরি অনুযায়ী ব্লক করা লুকআপ, যাতে DSL দেখতে পারে ফিল্টারটি আসলে কোন কোন ক্ষতিকর বিষয় আটকে দিয়েছে।
• সাইট এবং নেটওয়ার্ক অনুযায়ী ফলাফল, যাতে একটি ট্রাস্ট তাদের স্কুলগুলোর মধ্যে এবং একটি লাইব্রেরি সার্ভিস তাদের শাখাগুলোর মধ্যে তুলনা করতে পারে।
• সময়ের সাথে সাথে ট্রেন্ডের পরিবর্তন, পর্যালোচনার মধ্যে পলিসি পরিবর্তনের প্রভাব দেখানোর জন্য।
• বাইপাস সিগন্যাল, যেমন DoH রিজলভার ডোমেইন, Firefox ক্যানারি ডোমেইন বা Private Relay ডোমেইনের জন্য লুকআপ।
• Safe Search স্ট্যাটাস, প্রতিটি নেটওয়ার্কে এই লক প্রযোজ্য হয়েছে কিনা তার প্রমাণসহ।
• একটি পলিসি পরিবর্তনের লগ, কে, কখন এবং কোন সেটিংস পরিবর্তন করেছে তার রেকর্ড।
• ওভারব্লকিংয়ের একটি রেকর্ড, যেখানে কর্মীরা কোন বৈধ সাইটগুলো আনব্লক করার অনুরোধ করেছিলেন এবং আপনি কত দ্রুত ব্যবস্থা নিয়েছেন তার লগ থাকে।

ওভারব্লকিংয়ের রেকর্ডটি বেশিরভাগ টিম যতটা আশা করে তার চেয়েও বেশি গুরুত্বপূর্ণ। DfE স্ট্যান্ডার্ড স্পষ্টভাবে এমন ফিল্টারিংয়ের বিরুদ্ধে সতর্ক করে যা শিক্ষাদানকে অযৌক্তিকভাবে প্রভাবিত করে। আনব্লক অনুরোধ এবং রেসপন্স টাইমের একটি লগ প্রমাণ করে যে আপনি শিক্ষার সাথে সুরক্ষার ভারসাম্য বজায় রেখেছেন।

ডাটা প্রোটেকশনের বিষয়টি নজরে রাখুন। UK GDPR-এর অধীনে, যে DNS লগগুলো সনাক্তযোগ্য কোনো ব্যক্তির সাথে লিঙ্ক করা যেতে পারে তা ব্যক্তিগত ডাটা (personal data)। একটি রিটেনশন পিরিয়ড নির্ধারণ করুন, নির্দিষ্ট কর্মীদের জন্য অ্যাক্সেস সীমাবদ্ধ করুন এবং আপনার প্রাইভেসি নোটিশে আইনি ভিত্তি নথিভুক্ত করুন। Purple-এর ISO 27001, GDPR, CCPA এবং Cyber Essentials সার্টিফিকেশন রয়েছে, যা আপনি আপনার ডাটা প্রোটেকশন ইম্প্যাক্ট অ্যাসেসমেন্টে উল্লেখ করতে পারেন।

আপনি ইতিমধ্যে যা পরিচালনা করছেন তার সাথে DNS ফিল্টারিং কোথায় অবস্থান করে?

Protective DNS হলো আপনার বিদ্যমান নেটওয়ার্কের ওপর একটি অতিরিক্ত লেয়ার, এটি তার বিকল্প নয়। Purple যেকোনো হার্ডওয়্যারের সাথে কাজ করতে সক্ষম। Shield Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এর WiFi-তে চলে, কারণ এটি আপনার নেটওয়ার্ক প্রদান করা DNS পরিবর্তন করে, এক্সেস পয়েন্ট নয়।

সাধারণত এর পর্যায়ক্রমিক রূপটি নিম্নরূপ হয়:

• ফায়ারওয়াল: অনুমোদনহীন রিজলভারের জন্য আউটবাউন্ড পোর্ট 53 এবং 853 ব্লক করে, এবং প্রান্তিক নিরাপত্তা বা পেরিমিটারের সেই কাজগুলো করতে থাকে যা DNS করতে পারে না।
• নেটওয়ার্ক সেগমেন্টেশন: স্টাফ, শিক্ষার্থী, ভিজিটর এবং বাচ্চাদের এরিয়ার জন্য পৃথক নেটওয়ার্ক বা VLAN (ভার্চুয়াল LAN, যা একটি ফিজিক্যাল নেটওয়ার্ককে একাধিক আইসোলেটেড লজিক্যাল নেটওয়ার্কে বিভক্ত করে), যার প্রতিটির নিজস্ব পলিসি থাকে।
• মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM): ব্রাউজার পলিসি প্রয়োগ করে এবং স্কুলের মালিকানাধীন ডিভাইসে ভেন্যুর বাইরেও VPN অ্যাপস ব্লক করে।
• Captive Portal: এটি সেই সাইন-ইন পেজ যা ভিজিটররা অনলাইনে যাওয়ার আগে দেখতে পান। Guest WiFi-এ এখানেই আপনি আপনার গ্রহণযোগ্য ব্যবহারের নীতি প্রদর্শন করেন এবং সম্মতি সংগ্রহ করেন।

Shield, DNSFilter এবং Cisco Umbrella-এর তুলনা

তিনটিই DNS লেয়ারে ফিল্টার করে এবং তিনটিই Safe Search প্রয়োগ করতে পারে। এদের মূল গঠনের মধ্যে পার্থক্য রয়েছে।

	Purple Shield	DNSFilter	Cisco Umbrella
যেখানে ফিল্টারিং হয়	DNS লুকআপ	DNS লুকআপ	DNS লুকআপ, ঐচ্ছিক সিকিউর ওয়েব গেটওয়ে সহ
নতুন হার্ডওয়্যারের প্রয়োজন	কোনো প্রয়োজন নেই: আপনার WiFi থেকে দেওয়া DNS পরিবর্তন করুন	কোনো প্রয়োজন নেই: DNS ফরওয়ার্ডিং বা রোমিং এজেন্ট	DNS লেয়ারের জন্য প্রয়োজন নেই; অভ্যন্তরীণ IP অ্যাট্রিবিউশনের জন্য ঐচ্ছিক ভার্চুয়াল অ্যাপ্লায়েন্স
Safe Search প্রয়োগ	Google, Bing এবং YouTube	Google, Bing এবং YouTube	Google, Bing এবং YouTube
অফ-নেটওয়ার্ক ডিভাইস	আপনার ভেন্যু WiFi-এ থাকা ডিভাইসগুলি কভার করে; বাড়ি নিয়ে যাওয়া ডিভাইসের জন্য MDM ব্যবহার করুন	রোমিং ক্লায়েন্ট এজেন্ট	Cisco Secure Client-এ রোমিং মডিউল
যেখান থেকে পরিচালিত হয়	Purple প্ল্যাটফর্ম থেকে, Guest WiFi এবং Staff WiFi-এর পাশাপাশি	DNSFilter ড্যাশবোর্ড	Cisco Secure Access-এর মধ্যে Cisco Umbrella ড্যাশবোর্ড
সবচেয়ে উপযুক্ত	যে ভেন্যুগুলি ইতিমধ্যেই Purple WiFi ব্যবহার করছে বা এটিতে স্থানান্তরিত হচ্ছে	MSPs এবং এজেন্ট-ভিত্তিক এন্ডপয়েন্ট ফ্লিট

আপনার ট্রাস্ট বা কাউন্সিল যদি ইতিমধ্যেই Cisco Secure Access পরিচালনা করে এবং একটি একক সিকিউরিটি ভেন্ডর চায়, তবে Cisco Umbrella বেছে নিন। যদি আপনার প্রতিটি বাড়ি নিয়ে যাওয়া ল্যাপটপে একজন এজেন্টের প্রয়োজন হয় এবং একজন MSP হিসেবে অনেক টেন্যান্ট পরিচালনা করেন, তবে DNSFilter বেছে নিন। আপনার অগ্রাধিকার যদি ভেন্যু WiFi নিজেই হয় - অর্থাৎ আপনার ছাত্র ও ভিজিটররা যে নেটওয়ার্কে যোগ দেয় তাতে ফিল্টারিং, থ্রেট প্রোটেকশন এবং অ্যাড ব্লকিং, যা আপনার WiFi-এর সাথে পরিচালিত হয় - তবে Shield বেছে নিন। আরও বিস্তৃত মার্কেট ভিউয়ের জন্য, গেস্ট এবং পাবলিক WiFi-এর জন্য সেরা প্রোটেক্টিভ DNS নিবন্ধটি পড়ুন।

বাস্তবে এটি কীভাবে কাজ করে?

নিচের দুটি দৃশ্যপট হলো বর্ণনামূলক কম্পোজিট, যা উপরে বর্ণিত ডিসপ্লয়মেন্ট প্যাটার্ন থেকে তৈরি করা হয়েছে।

Friendly WiFi অর্জনে কর্মরত একটি কাউন্টি লাইব্রেরি সার্ভিস

পরিস্থিতি। একটি লাইব্রেরি সার্ভিস একটি শেয়ার্ড নেটওয়ার্কে শাখা জুড়ে পাবলিক WiFi পরিচালনা করে। শিশুদের হোমওয়ার্ক ক্লাব এবং প্রাপ্তবয়স্ক ভিজিটররা একই SSID ব্যবহার করে। এর পুরোনো ফিল্টারটি প্রতিটি শাখার একটি ফায়ারওয়ালে চলত এবং বেশিরভাগ শাখা স্পষ্ট Google চিত্র ফলাফল অনুমোদন করত।

যা করা হয়েছিল। IT প্রধান প্রতিটি শাখাকে দুটি নেটওয়ার্কে বিভক্ত করেছেন: একটি কঠোর নীতি সহ শিশুদের নেটওয়ার্ক এবং একটি হালকা নীতি সহ প্রাপ্তবয়স্কদের নেটওয়ার্ক। উভয়ই পর্নোগ্রাফি এবং IWF-তালিকাভুক্ত কন্টেন্ট ব্লক করা একটি প্রোটেক্টিভ DNS রিজলভারের দিকে নির্দেশিত ছিল, যা Friendly WiFi-এর ন্যূনতম শর্ত পূরণ করে। উভয় নেটওয়ার্কের জন্য Google এবং Bing-এ Safe Search লক করা ছিল। YouTube রেস্ট্রিক্টেড মোড শিশুদের জন্য কঠোর এবং প্রাপ্তবয়স্কদের জন্য মডারেট সেট করা হয়েছিল। ফায়ারওয়াল প্রোটেক্টিভ রিজলভার ছাড়া অন্য সব রিজলভারে আউটবাউন্ড DNS ব্লক করেছে।

পরিমাপযোগ্য ফলাফল। দলটি প্রতিটি শাখায় উভয় নেটওয়ার্কে ক্যাটাগরি এবং অনুসন্ধান শব্দগুলোর একটি নির্দিষ্ট তালিকা পরীক্ষা করেছে। প্রতিটি শাখা উত্তীর্ণ হয়েছে, এবং ফলাফলগুলো প্রমাণ হিসেবে Friendly WiFi আবেদনে অন্তর্ভুক্ত করা হয়েছে। শাখা কর্মীরা এখন একটি লিখিত অনুমোদন-তালিকা প্রক্রিয়ার মাধ্যমে প্রাপ্তবয়স্কদের আনব্লক করার অনুরোধগুলো পরিচালনা করেন, এবং পরিষেবাটি প্রতিটি অনুরোধ ও সমাধানের সময় লগ করে।

একটি মাল্টি-একাডেমি ট্রাস্ট যা DoH ব্যবধান দূর করছে

পরিস্থিতি। একটি ট্রাস্ট সেকেন্ডারি স্কুল পরিচালনা করে, যেখানে ষষ্ঠ শ্রেণীর শিক্ষার্থীদের জন্য ব্যক্তিগত-ডিভাইস WiFi সুবিধা রয়েছে। একজন DSL লক্ষ্য করেছেন যে শিক্ষার্থীরা তাদের নিজেদের ফোনে ব্লক করা সামাজিক এবং গেমিং সাইটগুলোতে পৌঁছাচ্ছে। স্কুল-মালিকানাধীন ল্যাপটপগুলোতে এই ধরনের কোনো সমস্যা দেখা যায়নি।

যা করা হয়েছিল। নেটওয়ার্ক ম্যানেজার উপরের তালিকায় বাইপাস রুটগুলো পর্যালোচনা করেছেন। রিজলভার এখন Firefox ক্যানারি ডোমেন এবং iCloud Private Relay ডোমেনগুলোর জন্য কোনো উত্তর ফেরত দেয় না। প্রতিটি স্কুলের ফায়ারওয়াল পাবলিক রিজলভারগুলোতে আউটবাউন্ড পোর্ট 853 এবং আউটবাউন্ড পোর্ট 53 ব্লক করে। স্কুল-মালিকানাধীন ল্যাপটপগুলোতে, MDM দ্বারা Chrome এবং Edge সুরক্ষিত DNS বন্ধ হিসেবে সেট করা হয়। প্রক্সি এবং অ্যানোনিমাইজার ক্যাটাগরি ষষ্ঠ শ্রেণীর নেটওয়ার্কে ব্লক করা হয়েছে।

পরিমাপযোগ্য ফলাফল। Firefox, Private Relay সহ Safari এবং Android Private DNS চালিত টেস্ট ফোনগুলো সবই স্কুলের রিজলভারে ফিরে এসেছে। ব্লক করা ক্যাটাগরিগুলো তখন উদ্দেশ্য অনুযায়ী প্রয়োগ করা হয়েছে। বাইপাস-সংকেত অনুসন্ধানগুলো এখন মাসিক রিপোর্টে প্রদর্শিত হয় যা DSL পর্যালোচনা করেন, যা DfE মানদণ্ডের অধীনে ট্রাস্টের বার্ষিক ফিল্টারিং পর্যালোচনায় সহায়তা করে। এই আকারের এস্টেটগুলোর জন্য, DNS filtering for MSPs and multi-site estates সাইটজুড়ে কেন্দ্রীয় নীতি ব্যবস্থাপনা কভার করে।

DNS ফিল্টারিংয়ের কোন সীমাবদ্ধতাগুলো আপনার জানা উচিত?

DNS ফিল্টারিং কী করতে পারে না সে সম্পর্কে আপনার গভর্নিং বডি বা পরিচালকদের কাছে স্পষ্ট থাকুন।

• এটি ডোমেনে কাজ করে, পাতায় নয়। এটি অন্যথায় অনুমোদিত ডোমেনের একটি ক্ষতিকারক পাতা ব্লক করতে পারে না। YouTube Restricted Mode এবং Safe Search সেই ব্যবধানটি কমায় কিন্তু তা পুরোপুরি বন্ধ করে না।
• এটি ফিল্টারিং, মনিটরিং নয়। DfE মানদণ্ড মনিটরিংকে একটি পৃথক দায়িত্ব হিসেবে বিবেচনা করে। একটি শেয়ার্ড নেটওয়ার্কে, DNS লগগুলো একটি ডিভাইস দেখায়, কোনো নির্দিষ্ট নামযুক্ত শিক্ষার্থীকে নয়। ব্যক্তিভিত্তিক শনাক্তকরণের জন্য ব্যক্তিভিত্তিক প্রমাণীকরণ প্রয়োজন, যেমন 802.1X (ব্যক্তিগত শংসাপত্র ব্যবহার করে পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণ) বা iPSK (ব্যক্তিপ্রতি একটি অনন্য প্রাক-শেয়ার করা কী)। Purple-এর Identity-Based Networks উভয়ই প্রদান করে।
• এটি আপনার নেটওয়ার্কের প্রান্তে শেষ হয়। হোম ব্রডব্যান্ডে বাড়ি নিয়ে যাওয়ার ডিভাইসগুলোর জন্য MDM বা একটি এজেন্ট প্রয়োজন।
• দৃঢ়সংকল্প বাইপাস বন্ধ করতে কয়েকটি স্তরের প্রয়োজন। একটি VPN যা এখনও শ্রেণীবদ্ধ করা হয়নি তা আপনার ফায়ারওয়াল বা MDM এটি না ধরা পর্যন্ত টানেল তৈরি করে যুক্ত থাকতে পারে।

এর কোনোটিই DNS ফিল্টারিং এড়িয়ে যাওয়ার কারণ নয়। প্রতিটি কারণই এটিকে সঠিক নিয়ন্ত্রণের সাথে যুক্ত করার এবং আপনার বার্ষিক পর্যালোচনায় সেই সংযুক্তি নথিভুক্ত করার ভিত্তি।

আপনার পরবর্তী পদক্ষেপ কী হওয়া উচিত?

1. আপনার পরিচালিত প্রতিটি নেটওয়ার্ক এবং প্রতিটির ব্যবহারকারীদের তালিকা তৈরি করুন: কর্মী, শিক্ষার্থী, দর্শনার্থী এবং শিশু।
2. DSL প্রতিটি ক্যাটাগরি অনুমোদন করে প্রতিটি ব্যবহারকারী দলের জন্য একটি নীতি তৈরি করুন।
3. একটি পাইলট সাইটের DHCP DNS-কে একটি সুরক্ষামূলক রিজলভারে নির্দেশ করুন এবং Safe Search লক করুন।
4. উপরের তালিকার বাইপাস রুটগুলো বন্ধ করুন এবং প্রকৃত ডিভাইস দিয়ে পরীক্ষা করুন।
5. আপনার রোল আউট করার আগে রিপোর্টিং প্যাক এবং ডেটা রাখার সময়সীমা নির্ধারণ করুন।
6. এখনই বার্ষিক পর্যালোচনার সময় নির্ধারণ করুন, যাতে এটি নিশ্চিতভাবে সম্পন্ন হয়।

Purple কীভাবে আপনার বিদ্যমান WiFi-এ ফিল্টারিং, থ্রেট প্রোটেকশন এবং অ্যাড ব্লকিং পরিচালনা করে তা দেখতে Shield দিয়ে শুরু করুন। সম্পর্কিত বিষয়গুলির জন্য, All guides ব্রাউজ করুন।

Frequently asked questions

স্কুলের WiFi-এ DNS ফিল্টারিং যোগ করতে আমাদের কি নতুন হার্ডওয়্যারের প্রয়োজন আছে?

না। Shield এমনভাবে কাজ করে যা আপনার নেটওয়ার্ক ডিভাইসগুলিতে যে DNS সার্ভারগুলি পাঠায় তা পরিবর্তন করে, তাই আপনার অ্যাক্সেস পয়েন্ট, কন্ট্রোলার এবং সুইচগুলি যথাস্থানে থাকে। এটি Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme এবং Fortinet-এ চলে। অন্যান্য রিজলভারগুলিতে আউটবাউন্ড DNS এবং পোর্ট 853 ব্লক করতে আপনি ফায়ারওয়াল নিয়ম যুক্ত করতে পারেন, তবে এটি আপনার বিদ্যমান সরঞ্জামের কনফিগারেশন মাত্র।

কেবল DNS ফিল্টারিং কি KCSIE-এর প্রয়োজনীয়তা পূরণ করে?

না। DNS ফিল্টারিং KCSIE-এর ফিল্টারিং অংশটি কভার করে, তবে DfE মানদণ্ড মনিটরিংকে একটি আলাদা দায়িত্ব হিসাবে বিবেচনা করে। আপনার নির্দিষ্ট ভূমিকা, একটি বার্ষিক পর্যালোচনা এবং একটি মনিটরিং পদ্ধতিরও প্রয়োজন। UK Safer Internet Centre-এর উপযুক্ত ফিল্টারিংয়ের সংজ্ঞার প্রত্যাশা অনুযায়ী আপনার ফিল্টারিং প্রদানকারী IWF-এর সদস্য কিনা এবং CTIRU সন্ত্রাসী কন্টেন্ট তালিকা ব্লক করে কিনা তা পরীক্ষা করে নিন। তারপর ফিল্টার, মনিটরিং এবং আপনার সেফগার্ডিং প্রক্রিয়াগুলি কীভাবে একসাথে কাজ করে তা নথিভুক্ত করুন।

Cisco Umbrella বা DNSFilter থেকে মাইগ্রেট করা কতটুকু কঠিন?

মাইগ্রেশন নিজেই একটি হার্ডওয়্যার প্রজেক্টের চেয়ে একটি DNS পরিবর্তন মাত্র। প্রথমে, নতুন সার্ভিসে আপনার ক্যাটাগরি এবং Safe Search পলিসি পুনর্নির্মাণ করুন। এটি একটি পাইলট সাইটে সমান্তরালভাবে চালান এবং আসল ডিভাইসগুলির মাধ্যমে ব্লক করা ক্যাটাগরি, Safe Search এবং বাইপাস কন্ট্রোলগুলি পরীক্ষা করুন। তারপর সাইট অনুসারে আপনার DHCP স্কোপগুলিতে DNS সার্ভারগুলি আপডেট করুন। প্রথমে আপনার পুরানো রিপোর্টগুলি এক্সপোর্ট করুন, যাতে আপনার বার্ষিক পর্যালোচনায় এর ইতিহাস বজায় থাকে।

Shield কীভাবে লাইসেন্সপ্রাপ্ত হয়?

Shield হলো SecurePass এবং Verify-এর পাশাপাশি Purple-এর Connect, Capture এবং Engage প্ল্যানগুলির একটি সিকিউরিটি অ্যাড-অন। আপনি সফটওয়্যারের লাইসেন্স নেন, অ্যাপ্লায়েন্সের নয়, তাই এতে কোনও হার্ডওয়্যার খরচ বা রিফ্রেশ সাইকেল নেই। আপনার কোটেশনটি আপনার চালিত ভেন্যু এবং নেটওয়ার্কের সংখ্যার উপর নির্ভর করে। একটি মাল্টি-একাডেমি ট্রাস্ট বা লাইব্রেরি সার্ভিস একটি চুক্তির অধীনে প্রতিটি সাইটকে আনতে পারে এবং এটি Purple প্ল্যাটফর্ম থেকে পরিচালনা করতে পারে।

শিশুদের জন্য সুরক্ষা দুর্বল না করে একটি লাইব্রেরি কি প্রাপ্তবয়স্কদের জন্য সাইটগুলি আনব্লক করতে পারে?

হ্যাঁ। সবচেয়ে পরিষ্কার পদ্ধতি হলো পৃথক নেটওয়ার্ক ব্যবহার করা: যেখানে শিশুরা উপস্থিত থাকে সেখানে একটি কঠোর পলিসি এবং প্রাপ্তবয়স্ক দর্শনার্থীদের জন্য একটি সহজ পলিসি। ইউএস-এ, CIPA একটি লাইব্রেরিকে একজন প্রাপ্তবয়স্ক ব্যক্তির দ্বারা প্রকৃত গবেষণা বা অন্য কোনো আইনি উদ্দেশ্যে ফিল্টারিং নিষ্ক্রিয় করার অনুমতি দেয়। আপনার এক্তিয়ার যাই হোক না কেন, প্রতিটি আনব্লকের অনুরোধ এবং এর ফলাফল লগ করুন, যাতে আপনি প্রমাণ করতে পারেন যে শিশুরা সুরক্ষা না হারিয়ে প্রাপ্তবয়স্করা অ্যাক্সেস পেয়েছে।

GDPR-এর অধীনে DNS ফিল্টারিং লগগুলি কি ব্যক্তিগত ডেটা?

হ্যাঁ, যখন একটি লগ একজন শনাক্তযোগ্য ব্যক্তির সাথে লিঙ্ক করা যেতে পারে। UK GDPR-এর অধীনে এর অর্থ হল একটি রিটেনশন পিরিয়ড নির্ধারণ করা, নির্দিষ্ট কর্মীদের জন্য অ্যাক্সেস সীমিত করা এবং আপনার গোপনীয়তা বিজ্ঞপ্তিতে আপনার আইনি ভিত্তি উল্লেখ করা। একটি শেয়ার্ড নেটওয়ার্কে, লগগুলি সাধারণত একজন ব্যক্তির চেয়ে বরং একটি ডিভাইসকে শনাক্ত করে, যা ঝুঁকি কমায়। Purple ISO 27001, GDPR, CCPA এবং Cyber Essentials সার্টিফিকেট ধারণ করে, যা আপনার ডেটা সুরক্ষার প্রভাব মূল্যায়নে সহায়তা করে।

আমরা যদি DNS filtering পরিচালনা করি তবে কি আমাদের এখনও একটি ফায়ারওয়ালের প্রয়োজন আছে?

হ্যাঁ। একটি সংযোগ খোলার আগেই DNS filtering ক্ষতিকারক এবং ম্যালওয়্যার ডোমেনগুলি বন্ধ করে দেয়, তবে এটি পেরিমিটার সুরক্ষাকে প্রতিস্থাপন করে না। আপনার ফায়ারওয়াল এখনও ইনবাউন্ড অ্যাক্সেস নিয়ন্ত্রণ করে এবং নেটওয়ার্কগুলিকে বিভক্ত করে। এটি অনুমোদনহীন রেসোলভারগুলিতে আউটবাউন্ড DNS এবং পোর্ট 853 ব্লক করে, যা এনক্রিপ্ট করা DNS বাইপাস বন্ধ করে। এই দুটি স্তর একসাথে সবচেয়ে ভালো কাজ করে: DNS সিদ্ধান্ত নেয় যে কোন নামগুলি সমাধান করা হবে, এবং ফায়ারওয়াল নিশ্চিত করে যে প্রতিটি লুকআপ আপনার রেসোলভারের মাধ্যমে যায়।