एक नेटवर्क पर SSIDs की संख्या को कम करना चुपचाप एक प्रतिस्पर्धी खेल बन गया है। किसी भी नेटवर्किंग फ़ोरम में एक दोपहर बिताएं और आपको इस बात पर मजबूत राय, वेंडर के व्यावहारिक नियम और कभी-कभार तीखी बहस मिल जाएगी कि कितने SSID बहुत अधिक हैं। कुछ लोग कहते हैं कि इसे प्रति रेडियो तीन या चार तक सीमित रखें। कुछ का कहना है कि आधुनिक एक्सेस पॉइंट बिना किसी परेशानी के इससे कहीं अधिक संभाल लेते हैं। मार्गदर्शन वास्तव में भिन्न होता है, क्योंकि ईमानदार उत्तर आपके परिनियोजन (deployment) पर निर्भर करता है।
यहाँ हमारा दृष्टिकोण है। बीकन (beacons) द्वारा उपभोग किया जाने वाला एयरटाइम वास्तविक है, लेकिन यह केवल तभी समस्या बनता है जब आपके पास एक ही चैनल पर ओवरलैप होने वाले बहुत सारे एक्सेस पॉइंट हों। यदि आपके APs अच्छी तरह से दूरी पर हैं, जिनमें बहुत कम को-चैनल ओवरलैप है, तो आप कई SSIDs चला सकते हैं और पूरी तरह से सुरक्षित रह सकते हैं। कुछ भी हटाने से पहले, हमारे beacon and SSID overhead calculator में अपनी संख्या दर्ज करें और देखें कि आप वास्तव में कहाँ खड़े हैं।
इसके बावजूद, हम साफ-सफाई के भी प्रशंसक हैं। भले ही परफॉर्मेंस पर पड़ने वाला असर नगण्य हो, एक-एक करके नेटवर्क जोड़कर तैयार की गई SSID सूची का दस्तावेज़ीकरण करना, उसे सुरक्षित करना और अगले इंजीनियर को सौंपना कठिन होता है। इसलिए यदि आप उन्हें समेकित (consolidate) करना चाहते हैं, तो यहाँ वह डिज़ाइन है जिस पर हम बार-बार भरोसा करते हैं: तीन SSIDs, प्रत्येक को प्रमाणित करने के एक तरीके से मैप किया गया है, और बाकी सब कुछ VLANs द्वारा नियंत्रित होता है।
जहाँ एयरटाइम टैक्स वास्तविक है, और जहाँ नहीं है
प्रत्येक रेडियो पर प्रत्येक SSID प्रति सेकंड कई बार बीकन फ़्रेम भेजता है, न्यूनतम अनिवार्य मूल दर पर, चाहे एक भी क्लाइंट उससे जुड़ा हो या न हो। वह लागत प्रति चैनल होती है। अपने स्वयं के चैनल पर, मुट्ठी भर SSIDs का विज्ञापन करने वाला एक एक्सेस पॉइंट शायद ही कभी कोई समस्या पैदा करता है। समस्या तब शुरू होती है जब कई एक्सेस पॉइंट एक ही चैनल पर होते हैं और एक-दूसरे को सुनते हैं: उनके बीकन अब एक ही एयरटाइम के लिए प्रतिस्पर्धा करते हैं, और ओवरहेड उन सभी में से प्रत्येक SSID पर जमा होता जाता है।
इसलिए वास्तविक वेरिएबल को-चैनल ओवरलैप है, न कि केवल SSID की कुल संख्या। 2.4 GHz पर बहुत सारे ओवरलैपिंग सेल्स के साथ एक सघन परिनियोजन, जहाँ मूल दर 1 Mbps पर छोड़ दी गई हो, और आठ SSIDs वास्तव में थ्रूपुट (throughput) को कम कर सकते हैं। वही आठ SSIDs चलाने वाले कुछ अच्छी तरह से दूरी पर स्थित APs पूरी तरह से ठीक हो सकते हैं। यह केवल राय का विषय नहीं बल्कि मापने योग्य है: overhead calculator आपके प्रति रेडियो SSIDs, बीकन अंतराल और मूल दर को लेता है और आपके बीकन द्वारा उपभोग किए जाने वाले चैनल एयरटाइम का प्रतिशत बताता है। 2% से कम स्वस्थ है, 2% से 6% ध्यान देने योग्य है, और 6% से ऊपर वह जगह है जहाँ यह प्रभावित करने लगता है। यह तय करने से पहले कि कोई समस्या है, अपनी संख्या की जाँच करें।
साफ-सफाई का पक्ष
मान लीजिए कि कैलकुलेटर आपको बताता है कि आप पूरी तरह से सुरक्षित बैंड के अंदर हैं। क्या अभी भी समेकित करने का कोई कारण है? हम ऐसा सोचते हैं, और इसका एयरटाइम से कोई लेना-देना नहीं है। एक SSID एक प्रमाणीकरण सीमा है, न कि एक विभाजन सीमा। जब आप हर नई आवश्यकता के लिए एक नया SSID बनाते हैं, एक टिल्स के लिए, एक प्रिंटर के लिए, एक साइनेज के लिए, एक ठेकेदारों के लिए, तो आपके पास एक लंबी सूची बन जाती है जहाँ किसी को भी ठीक से पता नहीं होता कि कौन सा नेटवर्क क्या करता है, कौन सी कीज़ अभी भी उपयोग में हैं, या कोई नया डिवाइस कहाँ जाना चाहिए। इसे घटाकर तीन कर दें, जिनमें से प्रत्येक पहचान साबित करने के एक स्पष्ट तरीके से जुड़ा हो, और नेटवर्क खुद को दस्तावेज करना शुरू कर देता है। आप VLANs और फ़ायरवॉल पॉलिसी के साथ टिल्स को कैमरों और निवासियों से अलग करते हैं, और आप केवल तभी एक अलग SSID चलाते हैं जब डिवाइसों के एक समूह को वास्तव में एक अलग प्रमाणीकरण विधि की आवश्यकता होती है। इनमें से केवल तीन ही हैं।
SSID 1: एक Captive Portal के साथ ओपन गेस्ट नेटवर्क
विज़िटर नेटवर्क ओपन है, इसलिए कोई भी डिवाइस बिना किसी प्री-शेयर्ड की के जुड़ सकता है, और एक captive portal साइन-इन को संभालता है। ब्रांडेड स्प्लैश पेज, जागरूक-विकल्प ऑप्ट-इन, सोशल या ईमेल या SMS लॉगिन, फिर एक पृथक VLAN पर इंटरनेट तक पहुंच जो आपके बैक ऑफिस को नहीं देख सकता है।
यह एक ऐसा नेटवर्क है जिसे उस फोन के लिए भी काम करना होता है जिसे वेन्यू ने पहले कभी नहीं देखा है, इसलिए इसके लिए केवल एक ब्राउज़र की आवश्यकता होती है और कुछ नहीं। यहीं पर व्यावसायिक मूल्य भी है: कनेक्शन के समय कैप्चर किया गया ऑप्ट-इन, GDPR-compliant फ़र्स्ट-पार्टी डेटा, जो सीधे आपके CRM में भेजा जाता है। Purple इसे 80,000 से अधिक वेन्यू में Guest WiFi के रूप में चलाता है, और यह एक ही SSID रहता है चाहे इसके पीछे कितने भी टेनेंट या ज़ोन क्यों न हों।
SSID 2: स्टाफ और सुरक्षित मेहमानों के लिए WPA2/3-Enterprise
दूसरा SSID एन्क्रिप्टेड और पहचान-आधारित है। यह RADIUS द्वारा समर्थित 802.1X के साथ WPA2/3-Enterprise चलाता है, और यह एक ही ब्रॉडकास्ट पर दो प्रकार के उपयोगकर्ताओं को सेवा प्रदान करता है: आपका स्टाफ और आपके विश्वसनीय मेहमान।
यहाँ वह हिस्सा है जो एक SSID को दो काम करने की अनुमति देता है। जब कोई डिवाइस प्रमाणित होता है, तो RADIUS केवल हाँ या ना नहीं कहता है। इट वह VLAN लौटाता है जिससे वह पहचान संबंधित है। स्टाफ अपने मौजूदा Microsoft Entra ID, Okta, या Google Workspace क्रेडेंशियल के साथ एक बार साइन इन करते हैं, प्रबंधित लैपटॉप के लिए EAP-TLS और पुराने डिवाइसों के लिए PEAP का उपयोग करते हैं, और स्टाफ VLAN पर पहुँचते हैं। एक ठेकेदार या लंबे समय तक ठहरने वाला मेहमान अपने स्वयं के जारी किए गए क्रेडेंशियल के साथ प्रमाणित होता है और एक अलग, लॉक-डाउन VLAN पर पहुँचता है। समान SSID, समान एन्क्रिप्शन, दो पूरी तरह से अलग नेटवर्क, कनेक्शन के समय प्रत्येक पहचान के आधार पर तय किए गए।
यह एक व्हाइटबोर्ड पर साझा किए गए पासवर्ड और उचित एक्सेस कंट्रोल के बीच का अंतर है। जब कोई व्यक्ति काम छोड़ता है, तो आप उन्हें आइडेंटिटी प्रोवाइडर में अक्षम कर देते हैं और उनकी WiFi एक्सेस उसी दिन समाप्त हो जाती है - न तो पूरे भवन के पासवर्ड को बदलने की आवश्यकता होती है, और न ही कोई ऐसा डिवाइस भरोसेमंद रहता है जिसे नहीं होना चाहिए। Purple इसे क्लाउड RADIUS के साथ Staff WiFi के रूप में प्रदान करता है, और IT टीमें आमतौर पर देखती हैं कि पासवर्ड हटने के बाद WiFi सहायता टिकटों में लगभग 80% की कमी आती है। यह ISO 27001 प्रमाणित है और उन्हीं एक्सेस पॉइंट्स के साथ काम करता है जो आपके पास पहले से हैं।
SSID 3: टिलेज (tills), स्क्रीन, प्रिंटर और IoT के लिए xPSK
तीसरा SSID उन सभी चीज़ों के लिए है जो Captive Portal नहीं चला सकती हैं और 802.1X का उपयोग नहीं कर सकती हैं: कार्ड टर्मिनल, डिजिटल साइनेज, लेबल और रसीद प्रिंटर, बिल्डिंग सेंसर, स्मार्ट टीवी और अन्य तदर्थ IoT उपकरण। इन डिवाइसों में कोई ब्राउज़र और कोई सप्लीकेंट नहीं होता है, लेकिन वे एक प्री-शेयर्ड की (key) को स्टोर कर सकते हैं, इसलिए इसका समाधान पूरे समूह के लिए एक साझा पासवर्ड के बजाय प्रति-डिवाइस की (key) है।
हर प्रमुख विक्रेता का इसके लिए अपना नाम है। Cisco Meraki इसे iPSK कहता है, HPE Aruba इसे MPSK कहता है, Ruckus इसे DPSK कहता है, और Juniper Mist व Ubiquiti UniFi इसे प्रति-डिवाइस या मल्टीपल प्री-शेयर्ड की के रूप में प्रदर्शित करते हैं। इसका मुख्य शब्द xPSK है। तंत्र प्रत्येक मामले में समान है: एक SSID, कई विशिष्ट कीज़ (keys), प्रत्येक की एक डिवाइस या मालिक से बंधी होती है और एक विशिष्ट VLAN के लिए पिन की जाती है।
इसलिए पेमेंट टर्मिनलों को एक ऐसी की (key) मिलती है जो उन्हें PCI-सेगमेंटेड VLAN पर लाती है, साइनेज को एक ऐसी की मिलती है जो बिना किसी लैटरल एक्सेस वाले कंटेंट VLAN पर पहुंचती है, और एक नए IoT सेंसर को अपनी खुद की की मिलती है जिसे आप बिना किसी अन्य चीज़ को प्रभावित किए स्वतंत्र रूप से निरस्त कर सकते हैं। यदि कोई की लीक होती है, तो आप केवल उसी एक की को बदलते हैं। आप कभी भी पूरे नेटवर्क को बंद नहीं करते हैं। आवासीय और बहु-किराएदार (multi-tenant) साइटों में यह वही आइडेंटिटी प्री-शेयर्ड की मॉडल है जो प्रत्येक निवासी के डिवाइस को अपने स्वयं के अलग बबल में रखता है - इसका विवरण हमारे multi-tenant WiFi guide में है।
कैसे तीन SSIDs सब कुछ कवर करते हैं
किसी भी स्थान (venue) के किसी भी डिवाइस को तीन प्रश्नों में से एक से जोड़ें और आपको उसका स्थान मिल जाएगा:
- क्या यह एक वेब पेज खोल सकता है और क्या यह एक अविश्वासी विज़िटर है? Captive Portal के साथ ओपन गेस्ट SSID।
- क्या यह किसी ऐसे व्यक्ति का है जिसकी पहचान आप प्रबंधित करते हैं? WPA2/3-Enterprise SSID, पहचान के अनुसार VLAN।
- क्या यह एक हेडलेस डिवाइस है जो केवल एक की (key) रख सकता है? xPSK SSID, की (key) के अनुसार VLAN।
बाकी सब कुछ सेगमेंटेशन है, और सेगमेंटेशन VLAN का काम है। वॉयस, CCTV, पेमेंट, साइनेज, बिल्डिंग मैनेजमेंट और प्रति-किराएदार आइसोलेशन सभी इन तीन SSIDs के पीछे VLAN के रूप में रहते हैं, जो RADIUS एट्रिब्यूट्स या डिवाइस द्वारा प्रस्तुत की (key) द्वारा निर्देशित होते हैं। आप दस SSIDs के साथ मिलने वाले अलगाव के हर हिस्से को बनाए रखते हैं, और वह भी एक ऐसी छोटी सूची के साथ जिसे अगला इंजीनियर एक नज़र में समझ सकता है।
क्या SSIDs को कम करने से वास्तव में प्रदर्शन में सुधार होता है?
कभी-कभी, और मुख्य रूप से तब जब को-चैनल ओवरलैप अधिक होता है। यदि आपके पास चैनल साझा करने वाले कई एक्सेस पॉइंट हैं, तो आठ या दस SSIDs से घटाकर तीन करने से प्रत्येक ओवरलैपिंग रेडियो पर बीकन फ्रेम आनुपातिक रूप से कम हो जाते हैं, और बुनियादी दर को बढ़ाने से ताकि बीकन तेजी से प्रसारित हों, बचत और बढ़ जाती है। यदि आपके AP मुश्किल से ओवरलैप करते हैं, तो लाभ मामूली होता है और इसे करने का बेहतर कारण सुव्यवस्थितता है। किसी भी तरह से, अपने पहले और बाद के नंबरों को ओवरहेड कैलकुलेटर के माध्यम से चलाएं ताकि आप किसी सामान्य नियम के बजाय सबूतों के आधार पर निर्णय ले सकें।
अतिथि (guest), IoT, और स्टाफ सभी को अलग-अलग सुरक्षा की आवश्यकता होने के बारे में क्या?
उन्हें वास्तव में अलग सुरक्षा की आवश्यकता होती है, और यही कारण है कि एक के बजाय तीन SSIDs हैं। प्रत्येक SSID एक अलग प्रमाणीकरण विधि है - पोर्टल के साथ ओपन, 802.1X, और प्रति-डिवाइस कुंजी - जो कि एक ऐसी चीज है जो एक अलग प्रसारण को उचित ठहराती है। एक विधि के भीतर विभिन्न ट्रस्ट स्तरों को VLAN और फ़ायरवॉल नीति द्वारा प्रबंधित किया जाता है, न कि अधिक SSIDs जोड़कर। आपको फैली हुई व्यवस्था की तुलना में अधिक सख्त अलगाव मिलता है, क्योंकि हर सीमा पहचान या कुंजी द्वारा लागू की जाती है, न कि इस उम्मीद पर कि किसी ने स्टाफ पासवर्ड का अनुमान नहीं लगाया है।
संक्षिप्त रूप
क्या आपकी SSID संख्या के कारण आपको एयरटाइम का नुकसान हो रहा है, यह मुख्य रूप से इस बात पर निर्भर करता है कि आपके एक्सेस पॉइंट कितने ओवरलैप करते हैं, इसलिए सबसे खराब स्थिति मान लेने से पहले कैलकुलेटर की जांच करें। लेकिन SSIDs को आवश्यकता से अधिक बनाना आसान है और एक सुव्यवस्थित नेटवर्क को चलाना आसान है, इसलिए जब आप समेकित करते हैं, तो प्रत्येक SSID को प्रमाणीकरण के एक तरीके से जोड़ें और हर दूसरे अंतर को VLAN पर छोड़ दें। किसी भी वेन्यू को केवल तीन की आवश्यकता होती है: पोर्टल के साथ ओपन गेस्ट, लोगों के लिए WPA2/3-Enterprise, चीजों के लिए xPSK। यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi और बाकी सभी पर काम करता है, क्योंकि यदि आपके एक्सेस पॉइंट RADIUS बोलते हैं, तो Purple उनके साथ काम करता है।
क्या आप किसी भी सेगमेंटेशन को खोए बिना एक अत्यधिक बढ़ी हुई SSID सूची को छोटा करने में सहायता चाहते हैं? एक विशेषज्ञ से बात करें और हम आपके उपकरणों को उन तीन नेटवर्कों से मैप करेंगे जो उन्हें कवर करते हैं।
