Purple WiFi-এর সাথে Sophos Firewall এবং Access Points ইন্টিগ্রেশন
এই নির্দেশিকাটি Sophos Firewall (XG/XGS) এবং Sophos AP6/APX access points-এর সাথে Purple WiFi-এর প্রযুক্তিগত ইন্টিগ্রেশনের বিস্তারিত বিবরণ দেয়। এতে এক্সটার্নাল Captive Portal রিডাইরেকশন, RADIUS অথেন্টিকেশন এবং অ্যাকাউন্টিং কনফিগারেশন, Walled Garden সেটআপ, স্টাফ WiFi-এর জন্য 802.1X এবং হসপিটালিটি, রিটেইল ও পাবলিক-সেক্টর ভেন্যু জুড়ে নিরাপদ মাল্টি-টেন্যান্ট নেটওয়ার্ক সেগ্রিগেশনের জন্য Sophos PPSK ব্যবহার করে ডাইনামিক VLAN অ্যাসাইনমেন্ট কভার করা হয়েছে।
এই গাইডটি শুনুন
পডকাস্ট ট্রান্সক্রিপ্ট দেখুন
執行摘要
如果您運行 Sophos 基礎架構並需要部署可收集第一方數據的 Guest WiFi ，本指南將為您提供確切的設定步驟。Purple 與 Sophos Firewall（XG 和 XGS 系列）以及 Sophos AP6/APX 無線基地台整合，作為外部 Captive Portal，將訪客身分管理、GDPR 同意書收集和社群登入處理卸載到 Purple 的雲端 RADIUS。您的 Sophos Firewall 將繼續對所有流量執行深層封包檢測與統一威脅管理。最終結果：一個符合規範且細分的網路，訪客透過品牌化的 Purple 網頁驗證，員工透過 WPA2-Enterprise 的 802.1X 連線，而多租戶環境則使用 Sophos 私有預共用金鑰 (PPSK) 進行動態 VLAN 分配。Purple 在全球 80,000 多個實體場域運行，並在 2024 年處理了 4.4 億次登入（Purple 內部數據，2024 年）。它已獲得 ISO 27001 認證、符合 GDPR 規範，並獲得 Cyber Essentials 認證。
技術深度解析
重新導向的運作原理
此整合使用標準 RADIUS 協定和 HTTP 重新導向。當場域使用者在 Sophos AP6 或 APX 無線基地台上與您的開放式 Guest WiFi SSID 建立關聯時，Sophos Firewall 會攔截該未驗證裝置的第一個 HTTP 請求。防火牆不會提供本地儲存的登入頁面，而是發出 302 重新導向到 Purple 的雲端代管登入網頁 URL — 通常格式為 https://region1.purpleportal.net/access/。
在此預先驗證階段，裝置處於 Walled Garden（圍牆花園）內：這是一個未驗證裝置可以存取的嚴格網域白名單。此白名單必須包含 Purple 的入口網站資源、任何社群登入提供商（Facebook、Google、LinkedIn）以及您使用的任何身分識別同盟端點，例如 Microsoft Entra ID 或 Okta。一旦使用者在 Purple 登入網頁上完成驗證，Purple 的雲端 RADIUS 就會向 Sophos Firewall 發送 RADIUS Access-Accept 訊息。防火牆會將工作階段狀態更新為已驗證，並套用您驗證後的安全性原則。
RADIUS 驗證與帳務
Purple 提供 RADIUS 即服務（RADIUS-as-a-Service）。您不需要為訪客網路部署 FreeRADIUS、Windows NPS 或任何本地 RADIUS 基礎架構。只需將 Sophos Firewall 設定為直接指向 Purple 的雲端 RADIUS IP 位址即可。
需要兩種 RADIUS 功能：
| 功能 | 協定 | 連接埠 | 用途 |
|---|---|---|---|
| 驗證 | UDP | 1812 | 驗證訪客憑證並傳回 Access-Accept 或 Access-Reject |
| 帳務 | UDP | 1813 | 向 Purple 回報工作階段開始、過渡更新和工作階段結束 |
帳務處理並非選配。它是 Sophos Firewall 用來將工作階段持續時間、消耗的頻寬以及工作階段終止事件回報給 Purple 的機制。若沒有帳務資料，您的 WiFi 分析 儀表板將會顯示不完整的訪客指標。請將帳務中期時間間隔設定為 120 秒，以在即時可見性與網路負載之間取得良好平衡。
Sophos 設定與 Purple 傳送門之間的 RADIUS 共用密鑰必須完全一致。單一字元的差異都會導致無聲的驗證失敗。
Walled Garden 設定
Walled Garden 是最重要的前置驗證設定元素，也是最常見的部署失敗原因。請在 Sophos Firewall 的 無線 > 熱點設定 (Wireless > Hotspot Settings) 下進行設定。
您必須至少允許以下網域：
| 類別 | 允許的網域 |
|---|---|
| Purple 核心 | region1.purpleportal.net, venuewifi.com, cloudfront.net |
| 付款（如適用） | stripe.com |
| 天氣小工具（如使用） | openweathermap.org |
| Facebook 登入 | facebook.com, fbcdn.net, connect.facebook.net, akamaihd.net |
| Google 登入 | accounts.google.com, googleapis.com, gstatic.com |
| LinkedIn 登入 | linkedin.com, licdn.net, licdn.com |
| Microsoft Entra ID | login.microsoftonline.com, login.microsoft.com |
務必允許未經驗證用戶端的 DNS 解析（UDP 53 埠）。若沒有 DNS，裝置將無法解析 Purple 傳送門的主機名稱，重新導向在開始前就會失敗。
員工 WiFi 的 802.1X
針對員工 WiFi，請搭配 WPA2-Enterprise 或 WPA3-Enterprise 使用 802.1X（IEEE 802.1X 基於連接埠的網路存取控制）。設定 Sophos AP 以針對您的內部 RADIUS 伺服器或雲端身分識別提供者（例如 Microsoft Entra ID）使用 EAP-TLS（基於憑證）或 PEAP-MSCHAPv2（使用者名稱/密碼）。
RADIUS 伺服器會傳回 VLAN 分配屬性，以將已驗證的員工裝置分配到正確的內部 VLAN。這與下方針對 PPSK 所述的動態 VLAN 機制相同，並套用於企業驗證。
請將員工 WiFi 的 SSID 與 VLAN，與 Guest WiFi 的 SSID 與 VLAN 完全隔離。切勿將訪客流量橋接到管理或企業子網。如果任何網路區段處理持卡人資料，此隔離是 PCI DSS 的規範要求。
適用於多租戶環境的 Sophos PPSK 與動態 VLAN 分配
在多租戶環境（例如共享工作空間、租賃型住宅大樓、學生宿舍或零售特許櫃位）中，您需要在網路層級隔離不同的使用者群組，而無需為每個租戶廣播個別的 SSID。廣播多個 SSID 會增加無線電頻率開銷並使管理複雜化。
Sophos AP6 無線基地台支援 PPSK (Private Pre-Shared Key)，也稱為 Identity PSK 或每使用者 PSK。PPSK 允許單一 SSID 接受多個唯一的密碼，每個密碼均透過 RADIUS 屬性對應到特定的 VLAN。
動態 VLAN 分配流程如下：
- 住戶或成員連線到該單一共享 SSID 並輸入其唯一的 PPSK。
- Sophos AP 向配置的 RADIUS 伺服器發送 RADIUS Access-Request，其中包含 PPSK 作為憑證。
- RADIUS 伺服器驗證 PPSK 並傳回包含以下 VLAN 屬性的 Access-Accept：
Tunnel-Type=VLAN(值 13)Tunnel-Medium-Type=IEEE-802(值 6)Tunnel-Private-Group-ID= `` (例如100)
- Sophos AP 使用傳回的 VLAN ID 標記該裝置的流量，並將其置於正確的隔離網路區段中。
這就是基於身分識別的網路運作方式 (Identity-Based Networking)：單一 SSID，多個隔離 VLAN，由使用者的唯一憑證驅動。
實作指南
步驟 1：取得 Purple 憑證
登入 Purple 入口網站。導覽至 Management > Locations > [您的場所] > Hardware > Add Hardware。選擇 Sophos 作為硬體類型。入口網站將顯示：
- 主要與次要 RADIUS 伺服器 IP 位址
- RADIUS 共用金鑰 (Shared Secret)
- Captive Portal URL (例如
https://region1.purpleportal.net/access/) - 重新導向 URL (例如
https://region1.purpleportal.net/access/?res=success) - 完整的 Walled Garden 網域名單
請先記下這四個值再繼續。
步驟 2：在 Sophos Firewall 上設定 RADIUS 伺服器
導覽至 Sophos Firewall 上的 Authentication > Servers (或針對 AP 管理的配置，導覽至 Sophos Central > Wireless > SSIDs > [SSID] > Advanced Settings)。
- 按一下 Add 以建立新的 RADIUS 伺服器項目。
- 將 Server IP 設定為主要的 Purple RADIUS IP 位址。
- 將 Authentication port 設定為
1812。 - 將 Accounting port 設定為
1813。 - 輸入來自 Purple 入口網站的 Shared secret。
- 對次要 Purple RADIUS 伺服器重複此步驟。
對於透過 Sophos Central 管理的 Sophos AP6，請在 SSID 的 Advanced Settings > Backend authentication 區段下設定 RADIUS 伺服器。
步驟 3：設定 Walled Garden
導覽至 Sophos Firewall 上的 Wireless > Hotspot Settings。
- 在 Walled garden 下，按一下 Add new item。
- 新增 Purple 提供之清單中的每個網域。
- 確保未驗證的用戶端可透過驗證前防火牆規則允許 DNS (UDP 連接埠 53)。
- 按一下 Apply。
步驟 4：建立訪客 SSID
導覽至 Wireless > Wireless Settings > SSIDs (或 Sophos Central > Wireless > SSIDs)。
- 按一下 Add SSID。
- 將 Encryption mode 設定為 Open (無預共用金鑰)。
- 在 Advanced Settings > Captive portal 下，啟用 captive portal。
- 選擇 Backend authentication 作為驗證類型。
- 輸入 Purple RADIUS 伺服器 IP、連接埠
1812與共用密鑰。 - 將 Redirect URL 設定為 Purple splash page URL。
- 將 SSID 指派給專用的訪客 VLAN (例如：VLAN 100)。
- 啟用 Client isolation 以防止訪客之間的流量互通。
步驟 5：建立驗證後防火牆規則
導覽至 Rules and policies > Firewall rules。
- 建立一條允許從訪客 VLAN 到 WAN 區域之流量的規則。
- 套用網頁篩選以封鎖惡意類別。
- 套用流量整形以限制每位使用者的頻寬 (建議訪客網路設定為：下載 10 Mbps，上傳 5 Mbps)。
- 明確封鎖所有從訪客 VLAN 到任何包含 POS 系統、PMS 或企業資源之內部 VLAN 的流量。
步驟 6：針對多租戶環境設定 PPSK (選用)
- 在 Sophos Central 中，建立一個 WPA2-Personal SSID。
- 在 SSID 的進階設定下啟用 RADIUS VLAN assignment。
- 設定 RADIUS 伺服器以接受 PPSK 憑證，並根據使用者群組傳回對應的 VLAN 屬性。
- 透過 Purple 入口網站或您的 RADIUS 管理介面，發放唯一的 PPSK 給每個租戶群組。
最佳實踐
在 Layer 2 與 Layer 3 進行流量隔離。 務必將訪客 WiFi 置於專用 VLAN 上。建立明確的防火牆規則，以封鎖所有從訪客 VLAN 到內部網路區段上 RFC 1918 位址空間的流量。這符合 PCI DSS 網路分割要求，並可在訪客裝置受侵害時防止橫向移動。
針對高密度部署使用橋接模式。 在有超過 200 個同時訪客連線的環境中 (例如飯店、體育館、會議中心)，請將訪客 SSID 設定為橋接模式。這會將流量導入由企業級 DHCP 伺服器處理的 VLAN，防止 Sophos AP 或防火牆成為 DHCP 效能瓶頸。一間擁有 500 間客房、入住率為 70% 且每位房客有兩台裝置的飯店，會同時產生大約 700 個 DHCP 租約。企業級 DHCP 可以處理此類需求；AP 內建的 DHCP 則無法。
使用受公開信任的 SSL 憑證。 設定 Sophos 防火牆，為重新導向介面提供由公開 CA 簽署的憑證。自簽章憑證會在 iOS 與 Android 上產生瀏覽器安全性警告，進而提高入口網站流失率。這在 旅宿業 環境中尤為重要，因為訪客體驗會直接影響評價分數。 設定 RADIUS 驗證和記帳。 驗證（連接埠 1812）用於授權存取。記帳（連接埠 1813）用於追蹤使用情況。兩者皆為 Purple 的分析功能正常運作所必需。記帳資料可驅動 Purple 儀表板中的工作階段持續時間指標、頻寬報告以及重複訪客識別。
在正式上線前規劃您的 Walled Garden（圍牆花園）。 在部署到生產環境之前，請至少在一部 iOS 裝置和一部 Android 裝置上測試入口網站。這兩個平台具有不同的 Captive Portal 偵測機制，且在 Walled Garden 設定不完整時可能會有不同的行為。在 pre-authentication 階段，使用 Sophos 防火牆上的封包擷取功能來識別任何遭封鎖的網域。
在驗證後套用 Sophos Synchronized Security。 Sophos AP6 無線基地台支援 Synchronized Security，該技術與 Sophos Endpoint Protection 整合。如果偵測到訪客裝置受危害（紅色 Security Heartbeat 狀態），AP 可以自動將該裝置限制在 Walled Garden 內，無需人工干預即可將其與網際網路隔離。對於 醫療保健 和 零售 環境而言，這是一項極具意義的安全控制措施。
如需更廣泛的企業 WiFi 安全背景資訊，請參閱我們的指南： 企業 WiFi 安全：2026 年完整指南 。
疑難排解與風險緩釋
問題症狀：入口網站頁面無法載入（空白畫面或逾時） 原因：Walled Garden 設定不完整。Sophos 防火牆在驗證前封鎖了對 Purple 的 CSS/JS 資產或社群登入 API 的存取。 解決方法：在 Sophos 防火牆上針對訪客 VLAN 啟用封包擷取。識別遭封鎖的網域。將其新增至 Walled Garden。確認在驗證前已允許 DNS 解析。
問題症狀：入口網站可載入，但驗證始終失敗
原因：RADIUS 共享金鑰不比對，或 UDP 連接埠 1812/1813 遭到封鎖。
解決方法：逐字驗證 Sophos 設定和 Purple 入口網站中的共享金鑰。在 Sophos CLI 中使用 nmap -sU -p 1812,1813 來確認 UDP 可達性。
問題症狀：分析資料顯示工作階段持續時間為零且無頻寬資料 原因：未設定 RADIUS 記帳或記帳遭到封鎖。 解決方法：驗證記帳伺服器是否已在連接埠 1813 上配置正確的共享金鑰。檢查是否有任何中間 ACL 封鎖了 UDP 1813 的輸出。
問題症狀：訪客裝置上出現憑證警告 原因：Sophos 防火牆在重定向介面上使用自我簽署憑證。 解決方法：將由公開 CA（Let's Encrypt、DigiCert 或類似機構）簽署的憑證上傳至 Sophos 防火牆，並在 Wireless > Hotspot Settings 下將其指派為登入頁面憑證。
問題症狀：PPSK 使用者進入錯誤的 VLAN
原因：RADIUS VLAN 屬性設定不正確，或 Sophos AP 不接受動態 VLAN 指派。
修正：驗證 RADIUS 伺服器傳回 Tunnel-Type = 13、Tunnel-Medium-Type = 6 與 Tunnel-Private-Group-ID = 。確認 Sophos Central 中 SSID 的 RADIUS VLAN 分配已啟用。
投資報酬率（ROI）與業務影響
在 Sophos 基礎架構上部署 Purple，可將訪客 WiFi 從公用事業成本轉化為第一方數據資產。其商業案例顯而易見。
一家擁有 200 間客房、入住率為 70% 且平均停留 1.8 晚的飯店，每年透過 Purple 的自主選擇加入頁面將產生約 50,000 個已驗證的訪客個人資料。每份資料均包含姓名、電子郵件地址、人口統計數據及造訪記錄。這些數據可直接匯入電子郵件行銷活動，顯著提升直接訂房量與餐飲營收。
針對 零售 環境，Purple 的分析功能可識別停留時間、重複造訪頻率以及客流高峰期。擁有 50 個據點的零售連鎖店可以使用這些數據來優化人員配置、調整促銷時機，並衡量店內活動對造訪頻率的影響。
針對公共部門和 交通運輸 營運商，Purple 提供可審計的 GDPR 同意記錄，並支援關鍵服務營運商符合英國《網路與資訊系統（NIS）法規》。
Purple 達 99.999% 的可用性 SLA 可確保訪客驗證服務不會成為您網路的單一故障點。雲端 RADIUS 架構意味著無需維護、修補或更換地端驗證伺服器。
如需相關整合指南，請參閱 Alta Labs 與 Purple WiFi 整合：設定與 Captive Portal 組態 指南。
মূল সংজ্ঞাসমূহ
Captive portal
একটি ওয়েব পেজ যা ব্যবহারকারীর প্রাথমিক HTTP রিকোয়েস্টকে ইন্টারসেপ্ট করে এবং ইন্টারনেট অ্যাক্সেস দেওয়ার আগে ইন্টারঅ্যাকশন (অথেন্টিকেশন, সম্মতি বা পেমেন্ট) দাবি করে।
গেস্ট WiFi-এর প্রাথমিক ইন্টারফেস। Purple ক্লাউডে Captive Portal হোস্ট করে; Sophos Firewall অথেন্টিকেট না হওয়া ক্লায়েন্টদের এতে রিডাইরেক্ট করে।
Walled Garden
ডোমেন এবং IP ঠিকানার একটি কঠোর অনুমতি তালিকা (allowlist) যা প্রমাণীকরণ সম্পন্ন করার আগে অননুমোদিত ডিভাইসগুলো অ্যাক্সেস করতে পারে।
অবশ্যই Purple-এর পোর্টাল ডোমেন, সোশ্যাল লগইন প্রোভাইডার এবং যেকোনো আইডেন্টিটি ফেডারেশন এন্ডপয়েন্ট অন্তর্ভুক্ত করতে হবে। একটি অসম্পূর্ণ Walled Garden হলো পোর্টাল লোড ব্যর্থ হওয়ার সবচেয়ে সাধারণ কারণ।
RADIUS (রিমোট অথেন্টিকেশন ডায়াল-ইন ইউজার সার্ভিস)
একটি নেটওয়ার্কিং প্রোটোকল যা একটি নেটওয়ার্কের সাথে সংযোগকারী ব্যবহারকারীদের জন্য কেন্দ্রীভূত প্রমাণীকরণ, অনুমোদন এবং অ্যাকাউন্টিং প্রদান করে। প্রমাণীকরণের জন্য UDP পোর্ট 1812 এবং অ্যাকাউন্টিংয়ের জন্য 1813 ব্যবহার করে।
Purple RADIUS-as-a-Service প্রদান করে। অতিথিদের প্রমাণীকরণ করতে এবং সেশন ডেটা রিপোর্ট করতে Sophos Firewall এবং AP-সমূহ Purple-এর ক্লাউড RADIUS-এর সাথে যোগাযোগ করে।
RADIUS অ্যাকাউন্টিং
RADIUS-এর সেই উপাদান যা সেশন শুরুর সময়, সময়কাল, স্থানান্তরিত বাইট এবং সেশন সমাপ্তির কারণ সহ নেটওয়ার্ক ব্যবহারের মেট্রিক্স ট্র্যাক করে।
Purple-এর WiFi অ্যানালিটিক্সের জন্য অপরিহার্য। পোর্ট 1813-এ অ্যাকাউন্টিং ডেটা ছাড়া, Purple ড্যাশবোর্ডে সেশনের সময়কাল এবং ব্যান্ডউইথ মেট্রিক্স পাওয়া যায় না।
PPSK (প্রাইভেট প্রি-শেয়ার্ড কি)
একটি WiFi সিকিউরিটি ফিচার যা একটি একক SSID-কে একাধিক অনন্য পাসফ্রেজ গ্রহণ করার অনুমতি দেয়, যার প্রতিটি সাধারণত RADIUS-এর মাধ্যমে একটি নির্দিষ্ট VLAN বা পলিসির সাথে ম্যাপ করা থাকে।
একাধিক SSID প্রচার না করেই ব্যবহারকারী-ভিত্তিক বা গ্রুপ-ভিত্তিক নেটওয়ার্ক আইসোলেশন প্রদান করতে মাল্টি-টেন্যান্ট WiFi ডেপ্লয়মেন্টে ব্যবহৃত হয়। Sophos AP6 ডাইনামিক VLAN অ্যাসাইনমেন্ট সহ PPSK সমর্থন করে।
ডাইনামিক VLAN অ্যাসাইনমেন্ট
এমন একটি প্রক্রিয়া যেখানে RADIUS সার্ভার Access-Accept মেসেজে Tunnel-Type, Tunnel-Medium-Type, এবং Tunnel-Private-Group-ID অ্যাট্রিবিউটগুলো ফেরত পাঠিয়ে অ্যাক্সেস পয়েন্টকে একজন প্রমাণীকৃত ব্যবহারকারীকে একটি নির্দিষ্ট VLAN-এ রাখার নির্দেশ দেয়।
আইডেন্টিটি-ভিত্তিক নেটওয়ার্ক সক্ষম করে। ব্যবহারকারীরা কোন ফিজিক্যাল AP-এর সাথে সংযুক্ত হচ্ছেন তা বিবেচনা না করেই তাদের ক্রেডেনশিয়ালের উপর ভিত্তি করে সঠিক নেটওয়ার্ক সেগমেন্টে স্থানান্তরিত হন।
802.1X
পোর্ট-ভিত্তিক নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণের জন্য একটি IEEE স্ট্যান্ডার্ড। LAN বা WLAN-এর সাথে সংযোগকারী ডিভাইসগুলোর জন্য একটি প্রমাণীকরণ ফ্রেমওয়ার্ক প্রদান করে, যার জন্য একটি সাপ্লিক্যান্ট (ক্লায়েন্ট), অথেন্টিকেটর (AP বা সুইচ) এবং প্রমাণীকরণ সার্ভার (RADIUS) প্রয়োজন হয়।
স্টাফ WiFi-এর জন্য এন্টারপ্রাইজ স্ট্যান্ডার্ড। Sophos AP6 EAP-TLS বা PEAP-MSCHAPv2 ব্যবহার করে WPA2-Enterprise এবং WPA3-Enterprise সহ 802.1X সমর্থন করে।
ব্রিজ মোড
একটি নেটওয়ার্ক কনফিগারেশন যেখানে অ্যাক্সেস পয়েন্ট NAT বা লোকাল DHCP সম্পাদন না করেই ওয়্যারলেস ক্লায়েন্ট ট্রাফিককে সরাসরি তারযুক্ত LAN-এ ট্যাগ করা VLAN ফ্রেম হিসেবে প্রেরণ করে।
উচ্চ-ঘনত্বের ডেপ্লয়মেন্টের জন্য প্রস্তাবিত। এটি DHCP-এর চাপ এন্টারপ্রাইজ সার্ভারে স্থানান্তর করে এবং সঠিক অ্যানালিটিক্সের জন্য Purple যাতে আসল ক্লায়েন্ট IP ঠিকানা পায় তা নিশ্চিত করে।
ফার্স্ট-পার্টি ডেটা
আপনার নিজস্ব চ্যানেলের মাধ্যমে ব্যবহারকারীদের কাছ থেকে সরাসরি সংগৃহীত তথ্য, যা আপনার মালিকানাধীন এবং কোনো তৃতীয় পক্ষের সাথে শেয়ার করা বা তাদের থেকে নেওয়া নয়।
Purple গেস্ট WiFi-এর প্রাথমিক ব্যবসায়িক মূল্য। Captive Portal-এ সচেতন-পছন্দের অপ্ট-ইন-এর মাধ্যমে সংগৃহীত এই ডেটা GDPR-সম্মত এবং থার্ড-পার্টি কুকিজের উপর নির্ভরশীল নয়।
সমাধানকৃত উদাহরণসমূহ
একটি ৩০০ রুমের হোটেলে Sophos Central-এর মাধ্যমে পরিচালিত Sophos AP6 access points স্থাপন করা হয়েছে। তাদের অতিথিদের একটি ব্র্যান্ডেড Purple স্প্ল্যাশ পেজের মাধ্যমে অথেন্টিকেট করা প্রয়োজন এবং PCI DSS কমপ্লায়েন্স বজায় রাখতে গেস্ট নেটওয়ার্কটিকে VLAN 20-এ থাকা প্রোপার্টি ম্যানেজমেন্ট সিস্টেম (PMS) থেকে সম্পূর্ণরূপে বিচ্ছিন্ন করা প্রয়োজন। হোটেলটি পিক পিরিয়ডে ৬০০টি পর্যন্ত সমসাময়িক গেস্ট কানেকশন আশা করছে।
১. Sophos Central-এ, Open এনক্রিপশন সহ 'Hotel Guest WiFi' নামে একটি ডেডিকেটেড গেস্ট SSID তৈরি করুন। ২. কোর নেটওয়ার্ক DHCP সার্ভারের মাধ্যমে ৬০০টি ডিভাইসের DHCP লোড পরিচালনা করতে Bridge মোডে SSID-টিকে VLAN 100-এ অ্যাসাইন করুন। ৩. Advanced Settings-এর অধীনে Captive Portal সক্ষম করুন এবং Backend authentication নির্বাচন করুন। ৪. ১৮১২ পোর্টে Purple RADIUS সার্ভার IP এবং Purple পোর্টাল থেকে শেয়ার করা সিক্রেটটি লিখুন। ৫. region1.purpleportal.net, venuewifi.com এবং সমস্ত সোশ্যাল লগইন ডোমেন অনুমোদন করতে Walled Garden কনফিগার করুন। ৬. Sophos Firewall-এ, ওয়েব ফিল্টারিং প্রয়োগ করে WAN জোনে VLAN 100 অনুমোদনকারী একটি ফায়ারওয়াল রুল তৈরি করুন। ৭. VLAN 100 থেকে VLAN 20 (PMS নেটওয়ার্ক)-এ সমস্ত ট্রাফিক ব্লক করে একটি স্পষ্ট DENY রুল তৈরি করুন। ৮. ১২০ সেকেন্ডের অন্তর্বর্তীকালীন ব্যবধান সহ ১৮১৩ পোর্টে RADIUS অ্যাকাউন্টিং কনফিগার করুন। ৯. রিডাইরেক্ট ইন্টারফেসের জন্য Sophos Firewall-এ একটি পাবলিকলি ট্রাস্টেড SSL সার্টিফিকেট আপলোড করুন। ১০. লাইভ করার আগে iOS এবং Android উভয় ডিভাইসেই পরীক্ষা করুন।
একটি কো-ওয়ার্কিং স্পেস অপারেটর তিনটি ফ্লোর জুড়ে ১৫টি টেন্যান্ট কোম্পানি পরিচালনা করে। প্রতিটি কোম্পানির নিজস্ব বিচ্ছিন্ন নেটওয়ার্ক সেগমেন্ট প্রয়োজন। তারা বর্তমানে ১৫টি পৃথক SSID ব্রডকাস্ট করছে, যা মারাত্মক RF কনজেশন তৈরি করছে। তারা কঠোর Layer 2 আইসোলেশন বজায় রেখে Sophos AP6 access points ব্যবহার করে একটি একক SSID-তে একত্রিত করতে চায়।
১. প্রতিটি টেন্যান্ট কোম্পানিকে একটি ইউনিক VLAN অ্যাসাইন করুন (যেমন, VLANs 200-214)। ২. Sophos Central-এ, 'CoWork WiFi' নামে একটি একক WPA2-Personal SSID তৈরি করুন। ৩. SSID-তে RADIUS VLAN অ্যাসাইনমেন্ট সক্ষম করুন। ৪. প্রতি টেন্যান্টে একটি ইউনিক PPSK সংরক্ষণ করতে এবং অথেন্টিকেশনের সময় উপযুক্ত VLAN অ্যাট্রিবিউট ফেরত দিতে RADIUS সার্ভার (Purple-এর ক্লাউড RADIUS বা একটি ইন্টিগ্রেটেড ডিরেক্টরি) কনফিগার করুন। ৫. Purple পোর্টালের মাধ্যমে প্রতিটি টেন্যান্ট কোম্পানিকে তাদের ইউনিক PPSK প্রদান করুন। ৬. Sophos Firewall-এ, টেন্যান্ট VLAN-গুলোর মধ্যে সমস্ত ট্রাফিক ব্লক করতে ইন্টার-VLAN ফায়ারওয়াল রুল কনফিগার করুন। প্রতিটি VLAN-কে শুধুমাত্র ইন্টারনেটে অ্যাক্সেস করার অনুমতি দিন। ৭. যেসব টেন্যান্টের শেয়ার্ড সার্ভিস প্রয়োজন (যেমন, একটি শেয়ার্ড প্রিন্টার), শুধুমাত্র সেই নির্দিষ্ট রিসোর্সগুলোর জন্য স্পষ্ট পারমিট রুল তৈরি করুন।
অনুশীলনী প্রশ্নসমূহ
Q1. একটি রিটেইল চেইন ৫০টি স্টোর জুড়ে Sophos AP6 অ্যাক্সেস পয়েন্ট স্থাপন করেছে। ক্রেতারা জানাচ্ছেন যে Purple স্প্ল্যাশ পেজ লোড হতে ৩০ সেকেন্ডের বেশি সময় নিচ্ছে, অথবা সম্পূর্ণ টাইম আউট হয়ে যাচ্ছে। আইটি টিম নিশ্চিত করেছে যে RADIUS প্রমাণীকরণ সঠিকভাবে কনফিগার করা হয়েছে। এর সম্ভাব্য কারণ কী এবং আপনি কীভাবে এটি সমাধান করবেন?
ইঙ্গিত: ব্যবহারকারী প্রমাণীকরণ ধাপে পৌঁছানোর আগে কী ঘটে তা বিবেচনা করুন।
মডেল উত্তর দেখুন
Walled Garden-টি অসম্পূর্ণ। Sophos Firewall প্রমাণীকরণের আগে Purple-এর CSS এবং JavaScript অ্যাসেট অথবা সোশ্যাল লগইন CDN ডোমেনগুলোতে অ্যাক্সেস ব্লক করছে। গেস্ট VLAN-এর জন্য Sophos Firewall-এ একটি প্যাকেট ক্যাপচার সক্ষম করুন এবং অপ্রমাণিত ক্লায়েন্টদের থেকে ব্লক করা ট্রাফিকের জন্য ফিল্টার করুন। ব্লক করা ডোমেনগুলো চিহ্নিত করুন এবং Wireless > Hotspot Settings-এর অধীনে Walled Garden-এ সেগুলো যোগ করুন। এছাড়াও প্রমাণীকরণের আগে DNS (UDP পোর্ট ৫৩) অনুমোদিত কিনা তা যাচাই করুন। DNS রেজোলিউশন ছাড়া, ডিভাইসটি Purple পোর্টাল হোস্টনেম রেজোলিউট করতে পারে না এবং রিডাইরেক্ট অবিলম্বে ব্যর্থ হয়।
Q2. আপনি Sophos AP6 অ্যাক্সেস পয়েন্ট ব্যবহার করে একটি ৫,০০০ আসনের স্টেডিয়ামের জন্য একটি Guest WiFi ডেপ্লয়মেন্টের ডিজাইন করছেন। ইভেন্ট চলাকালীন ভেন্যুটি ৪,০০০ সমসাময়িক ফ্যান কানেকশন আশা করে। আপনার কি গেস্ট SSID-টি NAT মোডে নাকি Bridge মোডে কনফিগার করা উচিত? আপনার সিদ্ধান্তের যৌক্তিকতা ব্যাখ্যা করুন।
ইঙ্গিত: একই সাথে ৪,০০০টি সংযোগের ফলে তৈরি হওয়া DHCP লোড বিবেচনা করুন।
মডেল উত্তর দেখুন
Bridge মোড। ৪,০০০ সমসাময়িক কানেকশনে, NAT মোড Sophos AP-গুলির অন-বোর্ড DHCP সার্ভার বা ফায়ারওয়ালকে অতিরিক্ত চাপে ফেলবে। Bridge মোডে, AP-গুলি গেস্ট ট্রাফিক সরাসরি একটি ডেডিকেটেড VLAN-এ পাঠিয়ে দেয় এবং এন্টারপ্রাইজ DHCP সার্ভারগুলি IP অ্যাড্রেস অ্যাসাইনমেন্ট পরিচালনা করে। এটি DHCP ক্লান্তি রোধ করে এবং সঠিক অ্যানালিটিক্সের জন্য Purple প্ল্যাটফর্ম যাতে আসল ক্লায়েন্ট IP অ্যাড্রেস পায় তা নিশ্চিত করে। Bridge মোড NAT মোডের চেয়ে উচ্চতর থ্রুপুটও প্রদান করে, যা একটি হাই-ডেনসিটি ইভেন্ট পরিবেশের জন্য গুরুত্বপূর্ণ। প্রত্যাশিত পিক লোডের জন্য পর্যাপ্ত অ্যাড্রেস এবং সাথে একটি ২০% বাফার সহ কোর নেটওয়ার্কে একটি DHCP স্কোপ কনফিগার করুন।
Q3. আপনার Purple Analytics ড্যাশবোর্ড সঠিক সংখ্যক লগইন দেখাচ্ছে, কিন্তু সমস্ত সেশনের সময়কাল শূন্য মিনিট হিসেবে রিপোর্ট করা হচ্ছে এবং ব্যান্ডউইথ ব্যবহার ট্র্যাক করা হচ্ছে না। গেস্ট পোর্টালটি সঠিকভাবে কাজ করছে এবং গেস্টরা ইন্টারনেট ব্রাউজ করতে পারছেন। কোন কনফিগারেশন উপাদানটি অনুপস্থিত?
ইঙ্গিত: অথেনটিকেশন অ্যাক্সেস মঞ্জুর করে। অ্যাক্সেস মঞ্জুর করার পর ব্যবহার কে ট্র্যাক করে?
মডেল উত্তর দেখুন
RADIUS অ্যাকাউন্টিং কনফিগার করা নেই অথবা ব্লক করা হচ্ছে। ১৮১২ পোর্টে অথেনটিকেশন ইন্টারনেট অ্যাক্সেস মঞ্জুর করে, কিন্তু ১৮১৩ পোর্টের অ্যাকাউন্টিং হলো সেই মেকানিজম যা সেশনের সময়কাল এবং ব্যান্ডউইথ ডেটা Purple-এ ফেরত পাঠায়। Sophos ফায়ারওয়াল কনফিগারেশন পরীক্ষা করে নিশ্চিত করুন যে অ্যাকাউন্টিং সার্ভারটি সঠিক শেয়ার্ড সিক্রেট সহ ১৮১৩ পোর্টে Purple RADIUS IP-তে সেট করা আছে। তারপর যাচাই করুন যে Sophos ফায়ারওয়াল এবং Purple-এর ক্লাউড RADIUS সার্ভারগুলির মধ্যে কোনো ইন্টারমিডিয়েট ACL বা ফায়ারওয়াল নিয়মের মাধ্যমে UDP পোর্ট ১৮১৩ ব্লক করা হচ্ছে না। অ্যাকাউন্টিং প্যাকেটগুলি Sophos ফায়ারওয়াল থেকে বের হচ্ছে এবং রেসপন্স পাচ্ছে কিনা তা নিশ্চিত করতে একটি প্যাকেট ক্যাপচার ব্যবহার করুন।
Q4. একটি কো-ওয়ার্কিং স্পেস অপারেটর তাদের ২০টি টেন্যান্ট কোম্পানির প্রত্যেককে একটি আইসোলেটেড নেটওয়ার্ক সেগমেন্ট দেওয়ার জন্য Sophos PPSK ব্যবহার করতে চায়। কনফিগারেশনের পর, সমস্ত PPSK ব্যবহারকারী সফলভাবে কানেক্ট হচ্ছেন কিন্তু তারা কোন PPSK ব্যবহার করছেন তা নির্বিশেষে সকলেই একই VLAN-এ গিয়ে পৌঁছাচ্ছেন। এর সম্ভাব্য কারণ কী?
ইঙ্গিত: RADIUS সার্ভারকে কী ফেরত দিতে হবে এবং AP-কে কী গ্রহণ করতে হবে তা নিয়ে ভাবুন।
মডেল উত্তর দেখুন
এর দুটি সম্ভাব্য কারণ রয়েছে। প্রথমত, RADIUS সার্ভার Access-Accept মেসেজে সঠিক VLAN অ্যাট্রিবিউট ফেরত দিচ্ছে না। যাচাই করুন যে RADIUS সার্ভার Tunnel-Type = 13 (VLAN), Tunnel-Medium-Type = 6 (IEEE-802), এবং Tunnel-Private-Group-ID = প্রতিটি PPSK-এর জন্য সঠিক VLAN ID ফেরত দিচ্ছে। দ্বিতীয়ত, Sophos Central-এ SSID-তে RADIUS VLAN অ্যাসাইনমেন্ট সক্রিয় করা নাও থাকতে পারে। SSID-এর Advanced Settings-এ যান এবং নিশ্চিত করুন যে RADIUS VLAN অ্যাসাইনমেন্ট টগলটি অন করা আছে। Access-Accept মেসেজগুলি পরীক্ষা করতে এবং VLAN অ্যাট্রিবিউটগুলি উপস্থিত ও সঠিকভাবে ফর্ম্যাট করা আছে কিনা তা নিশ্চিত করতে একটি RADIUS ডিবাগ লগ বা প্যাকেট ক্যাপচার ব্যবহার করুন।
এই সিরিজে পড়া চালিয়ে যান
Purple WiFi -এর সাথে Cisco WLC এবং Catalyst ইন্টিগ্রেশন: ধাপে ধাপে গেস্ট অ্যাক্সেস গাইড
এই প্রামাণিক নির্দেশিকাটিতে Purple WiFi -এর সাথে Cisco Catalyst 9800 WLCs -এর ধাপে ধাপে ইন্টিগ্রেশনের বিস্তারিত বিবরণ দেওয়া হয়েছে। এতে গেস্ট Captive Portal -এর জন্য External Web Authentication, নিরাপদ কর্মীদের অ্যাক্সেসের জন্য 802.1X EAP-TLS, এবং মাল্টি-টেন্যান্ট ডাইনামিক VLAN সেগমেন্টেশনের জন্য Cisco iPSK কভার করা হয়েছে।
Purple WiFi-এর সাথে CommScope Ruckus ইন্টিগ্রেশন: সেটআপ এবং কনফিগারেশন গাইড
এই টেকনিক্যাল রেফারেন্স গাইডটি Purple WiFi-এর সাথে CommScope Ruckus আর্কিটেকচার ইন্টিগ্রেট করার জন্য একটি নির্ভরযোগ্য কনফিগারেশন প্লেবুক প্রদান করে। এটি গেস্ট WiFi Captive Portal, 802.1X-এর মাধ্যমে সিকিউর স্টাফ WiFi এবং Ruckus ডাইনামিক PSK ব্যবহার করে মাল্টি-টেন্যান্ট নেটওয়ার্ক আইসোলেশনের জন্য ধাপে ধাপে ডেপ্লয়মেন্টের বিবরণ দেয়।
Purple WiFi-এর সাথে Allied Telesis Access Points ইন্টিগ্রেশন
এই গাইডটি Purple WiFi-এর সাথে Allied Telesis TQ-Series access points ইন্টিগ্রেট করার জন্য একটি ব্যাপক কনফিগারেশন প্লেবুক প্রদান করে। এটি নিরাপদ মাল্টি-টেন্যান্ট ডেপ্লয়মেন্টের জন্য এক্সটার্নাল Captive Portal রিডাইরেকশন, 802.1X RADIUS অথেন্টিকেশন এবং প্রাইভেট প্রি-শেয়ার্ড কি (PPSK) ব্যবহার করে ডাইনামিক VLAN স্টিয়ারিং কভার করে।