MAB (MAC Authentication Bypass) কী এবং কীভাবে কাজ করে?
MAB (MAC Authentication Bypass) হলো একটি নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল পদ্ধতি যেখানে ৮০২.১X সাপোর্ট না করে এমন ডিভাইসগুলো (যেমন: প্রিন্টার, IoT ডিভাইস, IP ফোন, মেডিকেল ইকুইপমেন্ট) তাদের MAC অ্যাড্রেসের ভিত্তিতে নেটওয়ার্কে প্রবেশ পায়।
MAB কীভাবে কাজ করে?
- ডিভাইস নেটওয়ার্কে কানেক্ট হলে সווিচটি এর MAC অ্যাড্রেস শিখে (প্রথম ফ্রেম থেকে)।
- সুইচটি MAC অ্যাড্রেসটি RADIUS সার্ভার (যেমন Cisco ISE) তে পাঠায় যাচাই করার জন্য।
- RADIUS সার্ভার MAC অ্যাড্রেসটি ডাটাবেসে (এন্ডপয়েন্ট আইডেন্টিটি গ্রুপে) খুঁজে বের করে।
- যদি MAC অ্যাড্রেস অনুমোদিত হয়, তবে RADIUS সার্ভার অ্যাক্সেস-অ্যাক্সেপ্ট পাঠায় সহ VLAN, DACL, ইত্যাদি অথোরাইজেশন প্রোফাইলসহ।
- সুইচটি ডিভাইসকে নির্দিষ্ট VLAN-এ রাখে এবং নীতিটি প্রয়োগ করে।
MAB-এর সুবিধা ও সীমাবদ্ধতা
| সুবিধা | সীমাবদ্ধতা/ঝুঁকি |
|---|---|
| ৮০২.১X-অসামর্থ্য ডিভাইসের জন্য নেটওয়ার্ক আভিসিবিলিটি | MAC স্পুফিং সহজ (সিকিউরিটি কম) |
| কনফিগারেশন সহজ, কোনো ক্লায়েন্ট সফ্টওয়্যার লাগে না | যথার্থ ইউজার আইডেন্টিটি নেই (ডিভাইস-ভিত্তিক) |
| Cisco ISE, Aruba ClearPass-এর সাথে ইন্টিগ্রেশন | অ্যাকাউন্টিং/অডিটিং সীমিত |
| ফলব্যাক মেকানিজম হিসেবে ৮০২.১X ফেললে কাজে লাগে | বড় স্কেলে ম্যানেজমেন্ট কঠিন |
MAB বনাম ৮০২.১X (Dot1x)
- ৮০২.১X: ইউজার/ডিভাইস কредেনশিয়াল (username/password, সার্টিফিকেট) দিয়ে স্ট্রং অথেন্টিকেশন।
- MAB: শুধু MAC অ্যাড্রেস দিয়ে दुর্বল অথেন্টিকেশন। ফলব্যাক হিসেবে ব্যবহার করা উচিত।
MAB স্থাপনের সেরা অনুশীলন (Best Practices)
- শুধু অতिआবশ্যক ডিভাইসের জন্য ব্যবহার করুন (প্রিন্টার, ক্যামেরা, IoT সেন্সর)।
- প্রোফাইলিং (Profiling) সক্ষম করুন Cisco ISE-এ যাতে ডিভাইস টাইপ অটোমেটিক শনাক্ত হয়।
- স্ট্যাটিক MAC এন্ট্রি ব্যবহার করুন ডাইনামিক লার্নিং-এর বদলে যেখানে সম্ভব।
- ভিএলএন (VLAN) সেগমেন্টেশন: MAB ডিভাইসগুলো আলাদা সিকিউরিটি জোন/ভিএলএন-এ রাখুন।
- ডএসিএল (dACL) বা এসジアム (SGT) ব্যবহার করুন ট্রাফিক সীমাবদ্ধ করতে।
- নিয়মিত অডিট: অনুমোদিত MAC লিস্ট পর্যায়ক্রমে রিভিউ করুন।
- পোর্ট সিকিউরিটি সক্ষম করুন (sticky MAC, violation mode restrict) সুইচ পোর্ট লেভেলে।
- ৮০২.১X বাধ্যতামূলক করুন যেসব ডিভাইস সাপোর্ট করে, তাদের জন্য MAB ব্যবহার করবেন না।
সيسكو আইএসই (ISE) তে MAB কনফিগারেশন সারসংক্ষেপ
- Network Access Policy → Allow Access → Conditions: MAB + Profiling Policy (e.g., Cisco-IP-Phone)
- Authorization Profile: VLAN Assignment + dACL + SGT
- Endpoint Identity Group: Registered Devices → Static MAC entries বা Auto-registration
- Posture Assessment: MAB ডিভাইসের জন্য সাধারণত বাইপাস করা হয়।
নিরাপত্তা বাড়ানোর অতিরিক্ত উপায়
- MACsec (৮০২.১AE) এনক্রিপশন লিংক লেভেলে।
- DHCP Snooping, Dynamic ARP Inspection (DAI), IP Source Guard।
- NetFlow/Stealthwatch দিয়ে অ্যানোমালি ডিটেকশন।
- জিরো ট্রাস্ট নেটওয়ার্ক অ্যাক্সেস (ZTNA) আর্কিটেকচার আডপ্ট করুন।
