स्कूल WiFi खरीद: एक ही स्पेसिफिकेशन में स्टाफ 802.1X, छात्रों के डिवाइस, विज़िटर और फ़िल्टरिंग
आप स्टाफ, प्रबंधित छात्र डिवाइस, विज़िटर्स और बिल्डिंग डिवाइस को कवर करते हुए एक ही स्कूल WiFi स्पेसिफिकेशन लिख सकेंगे, जिनमें से प्रत्येक का अपना प्रमाणीकरण, VLAN और फ़िल्टरिंग नीति होगी। इसके बाद आप लाइव डिमॉन्स्ट्रेशन पर बोलीदाताओं का मूल्यांकन कर सकते हैं, DfE फ़िल्टरिंग और मॉनिटरिंग मानकों के विरुद्ध नेटवर्क का परीक्षण कर सकते हैं, और हर एक लाइन के आधार पर कीमतों की तुलना कर सकते हैं।
हमारी मुख्य श्रृंखला का हिस्सा: एंटरप्राइज़ WiFi सुरक्षा और प्रमाणीकरण: पूरी गाइड →
स्कूल WiFi विनिर्देश में चार नेटवर्क सूचीबद्ध होने चाहिए: कर्मचारी, प्रबंधित छात्र डिवाइस, आगंतुक और भवन डिवाइस। इसे प्रत्येक के लिए प्रमाणीकरण, विभाजन और फ़िल्टरिंग निर्धारित करनी चाहिए। कर्मचारियों और प्रबंधित छात्र डिवाइसों को साझा पासवर्ड के बजाय हमेशा 802.1X या प्रति-डिवाइस कुंजियों के साथ कनेक्ट होना चाहिए। फ़िल्टरिंग को आगंतुक नेटवर्क सहित प्रत्येक नेटवर्क पर DfE फ़िल्टरिंग और निगरानी मानकों को पूरा करना चाहिए।
एक एकल स्कूल WiFi विनिर्देश वास्तव में क्या करता है?
एक एकल विनिर्देश उस कमी को दूर करता है जो तब उत्पन्न होती है जब तीन आपूर्तिकर्ता नेटवर्क के अलग-अलग हिस्सों के मालिक होते हैं। एक सामान्य स्कूल में, एक आपूर्तिकर्ता एक्सेस पॉइंट बेचता है, दूसरा RADIUS चलाता है और तीसरा वेब ट्रैफ़िक को फ़िल्टर करता है। जब कोई छात्र आगंतुक नेटवर्क पर हानिकारक सामग्री तक पहुँचता है, तो कोई भी एकल आपूर्तिकर्ता इसके लिए ज़िम्मेदार नहीं होता है।
प्रत्येक नेटवर्क को एक स्कूल WiFi टेंडर में शामिल करने से अनुबंध के स्तर पर ही इस समस्या का समाधान हो जाता है। प्रत्येक नेटवर्क को चार चीज़ें मिलती हैं:
- एक नामित स्वामी।
- एक प्रमाणीकरण विधि।
- एक VLAN, जिसका अर्थ है वर्चुअल LAN: एक लॉजिकल नेटवर्क जो साझा स्विच और एक्सेस पॉइंट पर ट्रैफ़िक को अलग रखता है।
- एक फ़िल्टरिंग नीति।
बोलीदाता पूरी संपत्ति के लिए मूल्य निर्धारण करते हैं। आपके नामित सुरक्षा लीड (DSL) को तीन के बजाय रिपोर्ट का एक सेट मिलता है।
मल्टी एकेडमी ट्रस्ट WiFi के लिए, यह विनिर्देश एक टेम्पलेट के रूप में भी कार्य करता है। प्रत्येक स्कूल को समान नेटवर्क और नीतियां मिलती हैं, जिसमें केवल वहीं स्थानीय बदलाव की अनुमति होती है जहाँ ट्रस्ट इसकी अनुमति देता है। अगले वर्ष ट्रस्ट में शामिल होने वाला स्कूल अपनी स्वयं की खरीद प्रक्रिया चलाने के बजाय इस टेम्पलेट को अपनाता है।
स्कूल WiFi टेंडर लिखने से पहले आपको क्या चाहिए?
ड्राफ़्ट तैयार करने से पहले पाँच चीज़ें एकत्र करें। इनमें से प्रत्येक चीज़ यह तय करती है कि आप बोलीदाताओं से क्या आपूर्ति करने के लिए कहेंगे।
प्रति स्कूल एक संपत्ति सूची। एक्सेस पॉइंट मॉडल, कंट्रोलर, स्विच और वेंडर सहायता तिथियों को रिकॉर्ड करें। Purple हार्डवेयर-एग्नोस्टिक है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर क्लाउड ओवरले के रूप में काम करता है। यदि आपका हार्डवेयर उस सूची में है और अभी भी सहायता प्राप्त है, तो टेंडर में हार्डवेयर लॉट की बिल्कुल भी आवश्यकता नहीं हो सकती है। आपके अगले WiFi अपग्रेड को नए हार्डवेयर की आवश्यकता क्यों नहीं है में इसके बारे में विस्तार से बताया गया है।
आपका पहचान स्रोत। अधिकांश स्कूल कर्मचारियों और छात्रों के खातों के लिए Microsoft Entra ID या Google Workspace चलाते हैं, और कुछ ट्रस्ट Okta का उपयोग करते हैं। WiFi प्लेटफ़ॉर्म को खातों की किसी दूसरी सूची के बजाय उसी डायरेक्टरी के आधार पर प्रमाणित करना चाहिए।
एक डिवाइस इन्वेंट्री। प्रबंधित iPad, Chromebook और Windows लैपटॉप की गिनती करें, और रिकॉर्ड करें कि उनका प्रबंधन कौन करता है। नोट करें कि क्या कोई मोबाइल डिवाइस प्रबंधन (MDM) प्लेटफ़ॉर्म पहले से ही उन्हें नामांकित करता है। MDM वह सॉफ़्टवेयर है जो स्कूल के स्वामित्व वाले डिवाइसों पर सेटिंग्स, ऐप्स और क्रेडेंशियल्स भेजता है।
आपकी वर्तमान फ़िल्टरिंग और निगरानी व्यवस्था। प्रदाता, अनुबंध समाप्ति तिथि और ज़िम्मेदार वरिष्ठ लीडर को रिकॉर्ड करें। DfE मानक किसी भी तकनीकी निर्णय से पहले नामित भूमिकाओं की अपेक्षा करता है।
सुरक्षा (Safeguarding) संबंधी स्वीकृति। टेंडर जारी होने से पहले आपके DSL और ऑनलाइन सुरक्षा के लिए ज़िम्मेदार गवर्नर को फ़िल्टरिंग आवश्यकताओं को मंज़ूरी देनी चाहिए। Keeping Children Safe in Education द्वारा DSL को ऑनलाइन सुरक्षा की प्रमुख ज़िम्मेदारी दी जाती है, जिसमें लागू फ़िल्टरिंग और मॉनिटरिंग को समझना भी शामिल है।
आप स्कूल नेटवर्क विनिर्देश (specification) में प्रत्येक नेटवर्क को कैसे दर्ज करते हैं?
विनिर्देश की शुरुआत नीचे दी गई तालिका जैसी तालिका से करें। यह प्रत्येक बोलीदाता (bidder) को यह बताती है कि प्रत्येक नेटवर्क का उपयोग कौन करता है, वे कैसे जुड़ते हैं और क्या फ़िल्टर किया जाता है। इसके बाद बोलीदाता पंक्ति-दर-पंक्ति उत्तर देते हैं।
| नेटवर्क | इसका उपयोग कौन करता है | यह कैसे प्रमाणित करता है | सेगमेंटेशन | फ़िल्टरिंग नीति | Purple घटक |
|---|---|---|---|---|---|
| स्टाफ़ | शिक्षक, सहयोगी स्टाफ़, आपूर्ति स्टाफ़, ट्रस्ट सेंट्रल टीम | Entra ID, Google Workspace या Okta के विरुद्ध IEEE 802.1X; प्रबंधित लैपटॉप पर प्रमाणपत्र | MIS, प्रिंटर और फ़ाइल शेयर तक पहुंच के साथ अपना स्वयं का VLAN | स्टाफ़ नीति, नामित व्यक्ति के लिए फ़िल्टर और लॉग की गई | Purple Access, Shield |
| प्रबंधित छात्र डिवाइस | स्कूल के स्वामित्व वाले iPad, Chromebook और लैपटॉप | MDM नामांकन द्वारा वितरित EAP-TLS प्रमाणपत्र या प्रति-डिवाइस iPSK | अपना स्वयं का VLAN, स्टाफ़ संसाधनों के लिए कोई रूट नहीं | उम्र के अनुसार उपयुक्त छात्र नीति, प्रति डिवाइस लॉग की गई | Purple Access, Purple MDM, Shield |
| छात्र के निजी डिवाइस (वैकल्पिक, सिक्स्थ फ़ॉर्म) | व्यक्तिगत फ़ोन और लैपटॉप वाले सिक्स्थ-फ़ॉर्म छात्र | छात्र खाते के साथ 802.1X या प्रति-छात्र iPSK | अपना स्वयं का VLAN, केवल इंटरनेट | छात्र नीति, प्रति छात्र लॉग की गई | Purple Access, Shield |
| आगंतुक और ठेकेदार | माता-पिता, गवर्नर, ठेकेदार, हॉल किराए पर लेने वाले | समय-सीमित या प्रायोजित एक्सेस वाला कैप्टिव पोर्टल | क्लाइंट आइसोलेशन, केवल इंटरनेट | आगंतुक नीति, फ़िल्टर और लॉग की गई | Purple Access, Shield |
| भवन संबंधी डिवाइस | प्रिंटर, AV, डोर एंट्री, CCTV, सेंसर | प्रति-डिवाइस iPSK | पृथक (Isolated) VLAN, केवल वही सेवाएँ जिनकी प्रत्येक डिवाइस को आवश्यकता है | आवश्यक गंतव्यों तक सीमित | Purple Access, Shield |
स्टाफ़: आपके द्वारा पहले से संचालित डायरेक्टरी के विरुद्ध 802.1X
IEEE 802.1X नेटवर्क एक्सेस कंट्रोल का मानक है। किसी भी नेटवर्क तक पहुंच प्राप्त करने से पहले डिवाइस को RADIUS सर्वर पर प्रमाणित होना चाहिए। RADIUS (रिमोट ऑथेंटिकेशन डायल-इन यूज़र सर्विस) वह प्रोटोकॉल है जो क्रेडेंशियल की जांच करता है और स्वीकार या अस्वीकार का परिणाम देता है।
इस आवश्यकता को स्पष्ट रूप से लिखें: "स्टाफ़ डिवाइस ट्रस्ट के पहचान प्रदाता (identity provider) के विरुद्ध IEEE 802.1X से प्रमाणित होते हैं। कोई साझा स्टाफ़ पासवर्ड नहीं है।" Purple Access क्लाउड RADIUS प्रदान करता है, इसलिए आपको प्रत्येक स्कूल में कोई ऑन-प्रिमाइसेस सर्वर तैनात करने की आवश्यकता नहीं होती है।
दो तरीकों की मांग करें:
- प्रबंधित स्टाफ़ लैपटॉप के लिए EAP-TLS। प्रत्येक डिवाइस MDM द्वारा भेजा गया प्रमाणपत्र प्रस्तुत करता है, इसलिए किसी को कुछ भी टाइप करने की आवश्यकता नहीं होती है।
- स्टाफ़ फ़ोन के लिए PEAP या प्रति-व्यक्ति कुंजियाँ। PEAP एन्क्रिप्टेड TLS टनल के अंदर पासवर्ड भेजता है।
जहाँ एक्सेस पॉइंट और डिवाइस इसका समर्थन करते हैं, वहाँ WPA3-Enterprise निर्दिष्ट करें, जिसमें फ़ॉलबैक के रूप में WPA2-Enterprise शामिल हो। 802.1X के साथ iOS और macOS पर एंटरप्राइज़ WiFi कैसे सेट करें में डिवाइस-साइड के चरणों के बारे में बताया गया है।
ज्वाइनर्स, मूवर्स और लीवर्स को स्वचालित बनाएं। जब ट्रस्ट किसी जाने वाले (लीवर) के डायरेक्टरी खाते को निष्क्रिय करता है, तो उनका WiFi एक्सेस उसी समय समाप्त हो जाना चाहिए। बोलीदाताओं से यह विस्तार से समझाने के लिए कहें कि खाते में बदलाव नेटवर्क तक कैसे पहुंचते हैं। यह SCIM हो सकता है, जो सिस्टम के बीच खातों को सिंक करने का एक मानक है, या एक लाइव डायरेक्टरी लुकअप हो सकता है। खाता निष्क्रिय करने और एक्सेस समाप्त होने के बीच के अंतराल के आधार पर उनका मूल्यांकन करें।
प्रबंधित छात्र डिवाइस: एनरोल किए गए, टाइप नहीं किए गए
600 छात्र iPads पर एक साझा पासवर्ड का विफल होना तय है। एक बार जब कोई छात्र पासवर्ड जान लेता है, तो उसका व्यक्तिगत फ़ोन केवल स्कूल डिवाइसों के लिए बनाए गए नेटवर्क से जुड़ जाता है। इसके बाद लॉग ऐसा ट्रैफ़िक दिखाते हैं जिसे आप किसी प्रबंधित डिवाइस से संबद्ध नहीं कर सकते।
यह आवश्यकता लिखें: "प्रबंधित छात्र डिवाइस MDM एनरोलमेंट के माध्यम से अपना नेटवर्क क्रेडेंशियल प्राप्त करते हैं। कोई भी छात्र या स्टाफ़ सदस्य पासवर्ड टाइप नहीं करता या नहीं जानता है।" दो तरीके इसे पूरा करते हैं:
- EAP-TLS प्रमाणपत्र, प्रति डिवाइस एक। यह सबसे सुरक्षित विकल्प है।
- iPSK (पहचान प्री-शेयर्ड की, जिसे PPSK भी कहा जाता है)। प्रत्येक डिवाइस को समान नेटवर्क नाम पर अपना पासवर्ड मिलता है, ताकि आप बाकी को प्रभावित किए बिना किसी एक डिवाइस के एक्सेस को रद्द कर सकें।
Purple MDM प्रबंधित छात्र डिवाइसों को एनरोल करता है ताकि क्रेडेंशियल डिवाइस कॉन्फ़िगरेशन के साथ आए। खोया हुआ iPad केवल एक रद्द क्रेडेंशियल बनता है, पूरे स्कूल में पासवर्ड बदलने की ज़रूरत नहीं पड़ती।
साझा ट्रॉली डिवाइसों के लिए स्पेसिफिकेशन में एक अतिरिक्त पंक्ति की आवश्यकता होती है। फ़िल्टरिंग लॉग डिवाइस का नाम दिखाएंगे, छात्र का नहीं। बोलीदाताओं से यह प्रदर्शित करने के लिए कहें कि डिवाइस लॉग आपके साइन-आउट या समय-सारिणी रिकॉर्ड से कैसे मेल खाते हैं। इससे आपका DSL पहचान सकता है कि उस समय डिवाइस किसके पास था।
विज़िटर और ठेकेदार: समय-सीमित और निरंतर फ़िल्टर किए गए
विज़िटर कैप्टिव पोर्टल के ज़रिये जुड़ते हैं। यह नेटवर्क एक्सेस दिए जाने से पहले दिखाया जाने वाला एक वेब पेज है। तीन प्रकार के एक्सेस निर्दिष्ट करें:
- माता-पिता और समुदाय समूहों के लिए इवेंट एक्सेस, जो इवेंट के समाप्त होने पर समाप्त हो जाता है।
- गवर्नर्स और विज़िटिंग पेशेवरों के लिए प्रायोजित एक्सेस, जिसे स्टाफ़ के एक नामित सदस्य द्वारा अनुमोदित किया जाता है।
- ठेकेदार एक्सेस, जो अनुबंध समाप्ति तिथि पर समाप्त हो जाता है।
केवल वही डेटा एकत्र करें जिसकी आपको आवश्यकता है, GDPR के तहत, एक्सेस के अतिरिक्त किसी भी अन्य चीज़ के लिए सचेत-पसंद ऑप्ट-इन के साथ। Purple का Guest WiFi 90 देशों में 80,000+ से अधिक लाइव वेन्यू पर इस मॉडल का संचालन करता है।
विज़िटर नेटवर्क को फ़िल्टरिंग से छूट नहीं है। DfE मानक गेस्ट खातों और स्कूल के ब्रॉडबैंड कनेक्शन का उपयोग करने वाले प्रत्येक डिवाइस पर फ़िल्टरिंग लागू करता है।
व्यावहारिक परिदृश्य: शाम को किराये पर दी जाने वाली सुविधाओं वाला एक माध्यमिक स्कूल। एक माध्यमिक स्कूल सप्ताह में चार शामों को अपने स्पोर्ट्स हॉल और थिएटर को सामुदायिक समूहों को किराये पर देता है। किराये पर लेने वालों को एक लैमिनेटेड कार्ड से स्टाफ़ का WiFi पासवर्ड दिया जाता था। उनके डिवाइस स्टाफ़ फ़िल्टरिंग नीति के तहत स्टाफ़ VLAN पर मौजूद रहते थे।
स्कूल ने तीन कदम उठाए:
- स्टाफ़ को 802.1X पर माइग्रेट किया, ताकि देने के लिए कोई भी साझा स्टाफ़ पासवर्ड न बचे।
- चारों साप्ताहिक किरायेदार समूहों में से प्रत्येक को उनका स्वयं का कैप्टिव पोर्टल कोड दिया, जो बुकिंग समाप्त होने के समय पर समाप्त हो जाता है।
- प्रत्येक किरायेदार के डिवाइस पर विज़िटर फ़िल्टरिंग नीति लागू की।
मॉडल किया गया परिणाम गणना योग्य है। प्रचलन में मौजूद शेयर्ड स्टाफ़ क्रेडेंशियल्स एक से घटकर शून्य हो गए। प्रत्येक लेटिंग को अपना स्वयं का एक्सपायर होने वाला कोड मिला। फ़िल्टरिंग लॉग में प्रत्येक किराएदार सत्र में अब एक कोड होता है जो बुकिंग संदर्भ से मैप होता है।
बिल्डिंग डिवाइसेस: डिफ़ॉल्ट रूप से आइसोलेटेड
प्रिंटर, AV सिस्टम, डोर एंट्री और CCTV शायद ही कभी 802.1X का समर्थन करते हैं। प्रत्येक डिवाइस, या प्रत्येक डिवाइस क्लास को एक आइसोलेटेड VLAN पर अपना स्वयं का iPSK दें। प्रत्येक डिवाइस को केवल उन्हीं सेवाओं तक सीमित रखें जिनकी उसे आवश्यकता है। एक प्रोजेक्टर को MIS सर्वर के रूट की आवश्यकता नहीं होती है।
प्रत्येक नेटवर्क पर फ़िल्टरिंग और मॉनिटरिंग: DfE मानक क्या अपेक्षा करते हैं
स्कूलों और कॉलेजों के लिए अपने डिजिटल और प्रौद्योगिकी मानकों के हिस्से के रूप में, DfE फ़िल्टरिंग और मॉनिटरिंग मानक चार अपेक्षाएँ निर्धारित करते हैं:
- फ़िल्टरिंग और मॉनिटरिंग सिस्टम प्रबंधित करने के लिए भूमिकाओं और जिम्मेदारियों को पहचानें और असाइन करें।
- प्रत्येक शैक्षणिक वर्ष में कम से कम एक बार फ़िल्टरिंग और मॉनिटरिंग प्रावधान की समीक्षा करें।
- शिक्षण और सीखने को अनुचित रूप से प्रभावित किए बिना हानिकारक और अनुचित सामग्री को ब्लॉक करें।
- ऐसी प्रभावी मॉनिटरिंग रणनीतियाँ रखें जो स्कूल की सुरक्षा आवश्यकताओं को पूरा करती हों।
यह मानक फ़िल्टरिंग सिस्टम के बारे में विशिष्ट है। इसे गेस्ट खातों, स्कूल के स्वामित्व वाले डिवाइसेस और स्कूल ब्रॉडबैंड कनेक्शन का उपयोग करने वाले किसी भी डिवाइस पर लागू होना चाहिए। इसे:
- किसी भी बैकअप कनेक्शन सहित सभी इंटरनेट फ़ीड्स को फ़िल्टर करना चाहिए।
- आयु और क्षमता के अनुसार उपयुक्त होना चाहिए।
- बहुभाषी सामग्री, छवियों, सामान्य वर्तनी की गलतियों और संक्षेपों को संभालना चाहिए।
- VPNs और प्रॉक्सी सेवाओं जैसे सरकमवेंशन (बायपास करने के तरीकों) को पहचानना और ब्लॉक करना चाहिए।
- सामग्री ब्लॉक होने पर अलर्ट करना चाहिए।
फ़िल्टरिंग प्रदाता को Internet Watch Foundation (IWF) का सदस्य होना चाहिए। इसे Counter-Terrorism Internet Referral Unit (CTIRU) सूची में साइन अप होना चाहिए और बाल यौन शोषण सामग्री सहित अवैध सामग्री को ब्लॉक करना चाहिए। फ़िल्टरिंग रिपोर्ट में यह दिखाई देना चाहिए:
- डिवाइस का नाम या ID और IP एड्रेस, और जहाँ संभव हो व्यक्ति का विवरण।
- एक्सेस के प्रयास का समय और दिनांक।
- ब्लॉक किया गया सर्च टर्म या सामग्री।
प्रत्येक बिंदु को एक क्रमांकित आवश्यकता में बदलें और प्रत्येक बोलीदाता से केवल हाँ नहीं, बल्कि साक्ष्य मांगें। उस साक्ष्य में उनकी IWF सदस्यता, CTIRU स्थिति और UK Safer Internet Centre की उपयुक्त फ़िल्टरिंग परिभाषाओं पर उनकी प्रकाशित प्रतिक्रिया शामिल होनी चाहिए।
Purple Shield प्रति नेटवर्क फ़िल्टरिंग लागू करता है। छात्र, स्टाफ़ और विज़िटर नेटवर्क प्रत्येक लॉग के एक सेट के तहत एक अलग नीति लागू कर सकते हैं। चूँकि Purple Access जानता है कि किसने या किस डिवाइस ने प्रमाणित किया है, इसलिए एक ब्लॉक किया गया अनुरोध किसी नामित स्टाफ़ सदस्य, किसी प्रबंधित डिवाइस या किसी विज़िटर कोड से मैप होता है। वह पहचान ठीक वही है जो DfE रिपोर्टिंग आवश्यकता मांगती है।
ट्रस्ट भर में रिपोर्टिंग, सहायता और रोलआउट
रिपोर्टिंग। तीन स्तरों पर रिपोर्ट मांगें: प्रति नेटवर्क, प्रति स्कूल और ट्रस्ट-व्यापी। DSL को ब्लॉक किए गए अनुरोधों की रिपोर्ट और अलर्ट की आवश्यकता होती है। बिज़नेस मैनेजर को कनेक्शन और क्षमता डेटा की आवश्यकता होती है। गवर्नर्स को वार्षिक समीक्षा के लिए साक्ष्य की आवश्यकता होती है। विज़िटर नेटवर्क रिपोर्टिंग, इवेंट और लेटिंग डेटा के लिए WiFi Analytics के साथ रह सकती है।
सपोर्ट. स्कूल के समय के दौरान, छुट्टियों के दौरान और सुरक्षा संबंधी वृद्धि (एस्केलेशन) के लिए प्रतिक्रिया समय (रिस्पॉन्स टाइम) निर्दिष्ट करें। गैर-कार्य घंटों (आउट ऑफ़ आवर्स) में उत्पन्न फ़िल्टरिंग अलर्ट के लिए एस्केलेशन मार्ग का नाम दें। प्रमाणन (सर्टिफ़िकेशन) मांगें। Purple के पास ISO 27001 और Cyber Essentials प्रमाणन है, GDPR का अनुपालन करता है और 99.999% अपटाइम पर काम करता है।
रोलआउट. ट्रस्ट-स्तरीय परिनियोजन (डिप्लॉयमेंट) से पहले अनुबंध में एक पायलट स्कूल को शामिल करें। शेष स्कूलों को छुट्टियों की अवधि में निर्धारित करें। बोलीदाताओं से एक समानांतर-संचालन (पैरेलल-रनिंग) योजना मांगें: डिवाइसों के स्थानांतरित होने तक पुराना शेयर्ड-की नेटवर्क कुछ समय के लिए सक्रिय रहता है, फिर एक निश्चित तिथि पर इसे समाप्त कर दिया जाता है।
कार्यान्वित परिदृश्य: आठ स्कूलों का एक ट्रस्ट. दो माध्यमिक और छह प्राथमिक स्कूलों के एक ट्रस्ट ने आठ अलग-अलग WiFi कॉन्फ़िगरेशन चलाए। फ़िल्टरिंग तीन अलग-अलग अनुबंधों में विभाजित थी। प्रत्येक स्कूल के छात्रों के iPad एक शेयर्ड की पर जुड़े थे।
ट्रस्ट ने चार कदम उठाए:
- ऊपर दी गई पांच-पंक्तियों वाली नेटवर्क तालिका के साथ एक विनिर्देश (स्पेसिफिकेशन) जारी किया।
- अपने मौजूदा Cisco Meraki और HPE Aruba एक्सेस पॉइंट्स पर क्लाउड ओवरले निर्दिष्ट किया।
- ईस्टर की छुट्टियों में एक प्राथमिक स्कूल का पायलट परीक्षण किया।
- गर्मियों की छुट्टियों के दौरान शेष सात स्कूलों में इसे रोल आउट किया।
मॉडल किया गया परिणाम: आठ शेयर्ड छात्र कुंजियां (कीज़) घटकर शून्य हो गईं। तीन फ़िल्टरिंग अनुबंध प्रति-नेटवर्क नीतियों के एक सेट में बदल गए। आठ अलग-अलग वार्षिक समीक्षा पैक एक ट्रस्ट-व्यापी रिपोर्ट बन गए।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।
आप बोलीदाताओं के उत्तरों और लाइव नेटवर्क की जांच कैसे करते हैं?
दस्तावेज़ों को नहीं, डिमॉन्स्ट्रेशन को स्कोर करें। प्रत्येक शॉर्टलिस्ट किए गए बोलीदाता से लाइव पांच कार्य करने के लिए कहें:
- अपनी डायरेक्टरी में किसी कर्मचारी खाते को अक्षम (डिसेबल) करें और दिखाएं कि WiFi एक्सेस समाप्त हो रहा है।
- दूसरों को प्रभावित किए बिना एक छात्र के iPad के क्रेडेंशियल रद्द करें।
- डिवाइस ID, समय और खोज शब्द (सर्च टर्म) के साथ एक ब्लॉक किया गया अनुरोध दिखाएं।
- विज़िटर नेटवर्क को अपनी फ़िल्टरिंग नीति लागू करते हुए दिखाएं।
- उसी डेटा का एक स्कूल-स्तरीय दृश्य और एक ट्रस्ट-स्तरीय दृश्य दिखाएं।
डिप्लॉयमेंट के बाद, प्रत्येक नेटवर्क से स्वीकृति परीक्षण (एक्सेप्टेंस टेस्ट) चलाएं। यह जांचने के लिए SWGfL टेस्ट फ़िल्टरिंग टूल का उपयोग करें कि IWF और CTIRU सामग्री कर्मचारियों, छात्रों, आगंतुकों और बैकअप कनेक्शनों पर ब्लॉक है या नहीं। फिर सेगमेंटेशन की जांच करें: किसी छात्र के डिवाइस से और विज़िटर नेटवर्क से कर्मचारी संसाधनों तक पहुंचने का प्रयास करें। एक परीक्षण डिवाइस पर एक सामान्य VPN ऐप इंस्टॉल करें और पुष्टि करें कि फ़िल्टर इसका पता लगाता है। परिणाम रिकॉर्ड करें; वे आपकी वार्षिक समीक्षा में पहली प्रविष्टि बनते हैं।
क्या गलत हो सकता है, और आप इसे कैसे ठीक करते हैं?
बैकअप लाइन अनफ़िल्टर्ड है. सेकेंडरी ब्रॉडबैंड कनेक्शन वाले स्कूल अक्सर केवल प्राइमरी को ही फ़िल्टर करते हैं। DfE मानक सभी इंटरनेट फ़ीड को कवर करता है, इसलिए विनिर्देश में बैकअप कनेक्शन का नाम स्पष्ट रूप से लिखें।
सत्र के बीच में प्रमाणपत्र (सर्टिफिकेट) समाप्त हो जाते हैं. यदि मार्च में छात्र डिवाइस के सर्टिफिकेट समाप्त हो जाते हैं, तो एक पूरा बैच (ईयर ग्रुप) नेटवर्क से बाहर हो जाता है। समाप्ति से पहले MDM के माध्यम से नवीनीकरण अनिवार्य करें, जिसमें नेटवर्क प्रबंधक को 30 दिन पहले अलर्ट मिले।
पुराने डिवाइस 802.1X का समर्थन नहीं कर सकते. कुछ AV उपकरण और पुराने प्रिंटर केवल प्री-शेयर्ड की का समर्थन करते हैं। शेयर्ड की को सक्रिय रखने के बजाय उन्हें बिल्डिंग डिवाइसेस VLAN पर प्रति-डिवाइस iPSK में स्थानांतरित करें।
अत्यधिक ब्लॉकिंग (Over-blocking) पाठों में बाधा डालती है। मानक आपसे अपेक्षा करता है कि आप शिक्षण को अनुचित रूप से प्रभावित न करें। शिक्षकों के लिए उसी दिन अनब्लॉक करने के अनुरोध का एक मार्ग निर्धारित करें, जिसमें वार्षिक समीक्षा के लिए प्रत्येक परिवर्तन को लॉग किया गया हो।
स्टाफ़ के फ़ोन सर्टिफ़िकेट पर भरोसा करने का निर्देश देते हैं। अनमैनेज्ड फ़ोन पहली बार कनेक्ट होने पर स्टाफ़ से RADIUS सर्वर सर्टिफ़िकेट स्वीकार करने के लिए कहते हैं। स्क्रीनशॉट के साथ एक पृष्ठ की जॉइनिंग गाइड प्रकाशित करें, और मैनेज्ड डिवाइसों पर प्रोफ़ाइल पुश करें ताकि यह प्रॉम्प्ट कभी दिखाई न दे।
ट्रॉली डिवाइस गुमनाम लॉग उत्पन्न करते हैं। डिवाइस-स्तरीय लॉग केवल तभी व्यक्ति-स्तरीय साक्ष्य बनते हैं जब वे साइन-आउट रिकॉर्ड से मेल खाते हैं। गो-लाइव से पहले अपने DSL के साथ साइन-आउट प्रक्रिया पर सहमति बनाएं।
इसकी लागत क्या है, और इसके बदले आपको क्या मिलता है?
बोलीदाताओं को एकमुश्त राशि न देने दें। उनसे इन छह मदों के तहत अलग-अलग मूल्य निर्धारण करने को कहें:
- स्कूलों की संख्या।
- प्रति स्कूल नेटवर्क।
- मैनेज्ड डिवाइस।
- ऐड-ऑन।
- वन-ऑफ़ रोलआउट।
- वार्षिक नवीनीकरण।
Purple तीन योजनाओं के माध्यम से मूल्य तय करता है: Connect, Capture और Engage। SecurePass, Verify और Shield सुरक्षा ऐड-ऑन के रूप में उपलब्ध हैं। समर्थित हार्डवेयर का पुन: उपयोग अधिकांश निविदाओं से सबसे बड़ी पूंजीगत लागत (capital line) को समाप्त कर देता है।
इसका लाभ काम और अनुबंधों को कम करने से मिलता है:
- रोटेट करने के लिए कोई साझा कीज़ (shared keys) नहीं। स्टाफ़ और छात्रों के साझा पासवर्ड को हर बार लीक होने के बाद बदलने की आवश्यकता नहीं होती है।
- छोड़कर जाने वालों का ऑटोमैटिक निष्कासन। जब HR उनके डायरेक्टरी खाते को अक्षम कर देता है, तो संस्थान छोड़ने वाले WiFi एक्सेस खो देते हैं।
- एक वार्षिक समीक्षा पैक। DfE समीक्षा प्रति स्कूल एक रिपोर्ट के बजाय एक एकल रिपोर्ट सेट पर आधारित होती है।
- कम अनुबंध। WiFi, RADIUS और फ़िल्टरिंग तीन अलग-अलग अनुबंधों से सिमटकर एक हो जाते हैं।
अलग-अलग गेस्ट WiFi, RADIUS और DNS फ़िल्टरिंग वेंडरों को बदलना मल्टी-साइट संपत्तियों के समेकन के पक्ष को पूरी तरह से प्रस्तुत करता है।
अक्सर पूछे जाने वाले प्रश्न
क्या Purple उन एक्सेस पॉइंट्स पर चल सकता है जो हमारे स्कूलों के पास पहले से हैं?
हाँ। Purple हार्डवेयर-अज्ञेयवादी (hardware-agnostic) है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर क्लाउड ओवरले के रूप में चलता है। यदि आपके एक्सेस पॉइंट्स उस सूची में हैं और अभी भी वेंडर समर्थन में हैं, तो आपके स्कूल WiFi टेंडर को हार्डवेयर लॉट की आवश्यकता नहीं हो सकती है। स्कोरिंग करने से पहले बोलीदाताओं से अपनी संपत्ति सूची के प्रत्येक मॉडल के लिए समर्थन तिथियों की पुष्टि करने के लिए कहें।
क्या फ़िल्टरिंग विज़िटर नेटवर्क पर भी लागू होनी चाहिए?
हाँ। DfE फ़िल्टरिंग और मॉनिटरिंग मानक गेस्ट खातों और स्कूल के ब्रॉडबैंड कनेक्शन का उपयोग करने वाले प्रत्येक डिवाइस पर फ़िल्टरिंग लागू करते हैं। आपके विज़िटर नेटवर्क को अपनी स्वयं की फ़िल्टरिंग नीति की आवश्यकता होती है, जिसे किसी भी अन्य नेटवर्क की तरह लॉग किया जाता है। Purple Shield प्रति नेटवर्क फ़िल्टरिंग लागू करता है, इसलिए विज़िटर्स, छात्रों और स्टाफ़ की रिपोर्ट के एक ही सेट के तहत अलग-अलग नीतियां हो सकती हैं।
मैनेज्ड छात्र iPads और Chromebooks बिना किसी साझा पासवर्ड के कैसे जुड़ते हैं?
वे MDM नामांकन के माध्यम से एक यूनीक क्रेडेंशियल प्राप्त करते हैं, जो या तो EAP-TLS प्रमाणपत्र होता है या प्रति-डिवाइस iPSK। कोई भी छात्र या शिक्षक कभी भी कुंजी को देखता या टाइप नहीं करता है। Purple MDM प्रबंधित छात्र डिवाइसों को नामांकित करता है ताकि क्रेडेंशियल डिवाइस कॉन्फ़िगरेशन के साथ आए। किसी खोए हुए डिवाइस का मतलब केवल एक रद्द किया गया क्रेडेंशियल होता है, न कि पूरे स्कूल में पासवर्ड बदलना।
क्या कर्मचारी अपने Microsoft Entra ID या Google Workspace खातों से साइन इन कर सकते हैं?
हाँ। Purple Access क्लाउड RADIUS के माध्यम से Microsoft Entra ID, Okta या Google Workspace के विरुद्ध IEEE 802.1X पर कर्मचारियों को प्रमाणित करता है। आपको कोई अलग WiFi खाता सूची बनाए रखने की आवश्यकता नहीं होती है। जब ट्रस्ट किसी संस्थान छोड़ने वाले का डायरेक्टरी खाता अक्षम करता है, तो उनका नेटवर्क एक्सेस भी उसी के साथ समाप्त हो जाता है। मूल्यांकन के दौरान बोलीदाताओं से इस क्रम को लाइव प्रदर्शित करने के लिए कहें।
क्या फ़िल्टरिंग को WiFi के साथ खरीदा जाना चाहिए या अलग से निविदा दी जानी चाहिए?
आप चाहे जो भी तरीका चुनें, WiFi विनिर्देश के अंतर्गत प्रति नेटवर्क फ़िल्टरिंग निर्दिष्ट करें। Purple Access और Purple Shield के माध्यम से दोनों को एक साथ खरीदने का अर्थ है कि प्रत्येक ब्लॉक किए गए अनुरोध में वह पहचान शामिल होती है जो प्रमाणित हुई थी। DfE रिपोर्टिंग आवश्यकता में यही पहचान मांगी जाती है। अलग-अलग अनुबंध आपकी वार्षिक समीक्षा में इस लिंक को प्रमाणित करना अधिक कठिन बना देते हैं।
क्या कोई ट्रस्ट प्रत्येक स्कूल को शामिल करने से पहले किसी एक स्कूल में पायलट परीक्षण कर सकता है?
हाँ। अनुबंध में स्वीकृति परीक्षणों के साथ एक पायलट स्कूल शामिल करें, फिर शेष स्कूलों को छुट्टियों की अवधियों में शेड्यूल करें। Purple का क्लाउड ओवरले प्रत्येक स्कूल को ट्रस्ट के नेटवर्क टेम्पलेट को इनहेरिट करने की अनुमति देता है। प्रत्येक स्कूल केवल वहीं स्थानीय भिन्नता रखता है जहाँ ट्रस्ट इसकी अनुमति देता है, जिससे पायलट कॉन्फ़िगरेशन ही ट्रस्ट का मानक बन जाता है।
क्या विज़िटर डेटा को GDPR के अनुरूप प्रबंधित किया जाता है?
हाँ। Purple GDPR के अनुरूप है और ISO 27001 प्रमाणित है। कैप्टिव पोर्टल एक्सेस के लिए आवश्यक न्यूनतम जानकारी एकत्र कर सकता है, जिसमें आगे की किसी भी चीज़ के लिए सचेत-विकल्प (ऑप्ट-इन) शामिल हैं। विनिर्देश में अपनी स्वयं की डेटा प्रतिधारण अवधि निर्धारित करें। प्रत्येक बोलीदाता से यह बताने के लिए कहें कि विज़िटर डेटा कहाँ संग्रहीत किया जाता है और कौन इसे एक्सेस कर सकता है।
हमें बोलीदाताओं से स्कूल WiFi टेंडर की कीमत तय करने के लिए कैसे कहना चाहिए?
स्कूल, नेटवर्क, प्रबंधित डिवाइस, ऐड-ऑन, एकमुश्त रोलआउट और वार्षिक नवीनीकरण के आधार पर विभाजित कीमतों की मांग करें। Purple अपनी कीमतें Connect, Capture और Engage प्लान के माध्यम से तय करता है, जिसमें SecurePass, Verify और Shield ऐड-ऑन के रूप में शामिल हैं। प्रत्येक पंक्ति का अलग-अलग विवरण आपको बोलीदाताओं की निष्पक्ष रूप से तुलना करने की अनुमति देता है। यह आपके पास पहले से मौजूद एक्सेस पॉइंट का पुन: उपयोग करने से होने वाली बचत को भी दर्शाता है।
मुख्य परिभाषाएं
IEEE 802.1X
पोर्ट-आधारित नेटवर्क एक्सेस नियंत्रण के लिए IEEE मानक। यह एक सप्लिकेंट (डिवाइस), एक प्रमाणक (एक्सेस पॉइंट या स्विच) और एक प्रमाणीकरण सर्वर, आमतौर पर RADIUS के बीच EAP ओवर LAN (EAPOL) को परिभाषित करता है। प्रमाणीकरण सफल होने तक कोई नेटवर्क एक्सेस प्रदान नहीं किया जाता है।
आपके टेंडर की स्टाफ पंक्ति। आपकी मौजूदा डायरेक्टरी के विरुद्ध 802.1X की आवश्यकता शेयर्ड स्टाफ पासवर्ड को हटा देती है और डायरेक्टरी खाता अक्षम होने पर संस्थान छोड़ने वालों का क्रेडेंशियल निरस्तीकरण संभव बनाती है।
RADIUS
रिमोट ऑथेंटिकेशन डायल-इन यूज़र सर्विस, जिसे IETF RFC 2865 में निर्दिष्ट किया गया है। यह एक्सेस पॉइंट से सर्वर तक प्रमाणीकरण अनुरोध ले जाता है और Access-Accept या Access-Reject लौटाता है, वैकल्पिक रूप से VLAN असाइनमेंट जैसी विशेषताओं के साथ।
Purple एक्सेस क्लाउड RADIUS प्रदान करता है, इसलिए आपको प्रत्येक स्कूल में कोई ऑन-प्रिमाइसेस सर्वर तैनात करने की आवश्यकता नहीं होती है। यह उन तीन अनुबंधों (WiFi, RADIUS, फ़िल्टरिंग) में से एक है जिन्हें यह एकल स्पेसिफिकेशन समेकित करता है।
EAP-TLS
IETF RFC 5216 में परिभाषित एक Extensible Authentication Protocol विधि (RFC 9190 में TLS 1.3 उपयोग के साथ)। क्लाइंट और सर्वर X.509 प्रमाणपत्रों के साथ एक-दूसरे को प्रमाणित करते हैं, इसलिए किसी पासवर्ड का आदान-प्रदान नहीं होता है।
प्रबंधित स्टाफ़ लैपटॉप और प्रबंधित छात्र डिवाइस के लिए सबसे मज़बूत विकल्प। MDM प्रमाणपत्र को पुश करता है, इसलिए किसी को कुछ भी टाइप करने की ज़रूरत नहीं होती है। अवधि के बीच में समाप्ति से बचने के लिए प्रमाणपत्र नवीनीकरण को निर्दिष्ट किया जाना चाहिए।
PEAP
Protected EAP, जिसे Microsoft द्वारा MS-PEAP विनिर्देश में प्रलेखित किया गया है। यह एक सर्वर-प्रमाणित TLS टनल बनाता है और इसके अंदर उपयोगकर्ता नाम और पासवर्ड भेजने के लिए एक आंतरिक विधि, आमतौर पर EAP-MSCHAPv2 चलाता है।
स्टाफ़ के ऐसे फ़ोनों के लिए एक फ़ॉलबैक जो प्रबंधित नहीं हैं। अप्रबंधित फ़ोन स्टाफ़ को RADIUS सर्वर प्रमाणपत्र पर भरोसा करने के लिए प्रॉम्प्ट करते हैं, इसलिए एक पेज का जॉइनिंग गाइड प्रकाशित करें।
iPSK (PPSK)
Identity pre-shared key, जिसे निजी PSK भी कहा जाता है। WPA2 या WPA3 Personal पर निर्मित एक वेंडर सुविधा जिसमें प्रत्येक डिवाइस या डिवाइस समूह को समान SSID पर अपनी स्वयं की कुंजी प्राप्त होती है, जहाँ RADIUS सर्वर कुंजी को एक पहचान और नीति से मैप करता है।
प्रबंधित छात्र डिवाइस जो प्रमाणपत्रों का उपयोग नहीं कर सकते, 16-18 वर्ष (सिक्स्थ-फ़ॉर्म) के छात्रों के अपने डिवाइस और प्रिंटर तथा AV किट जैसे बिल्डिंग डिवाइस के लिए उपयोग किया जाता है। एक कुंजी को निरस्त करने पर भी अन्य सभी डिवाइस जुड़े रहते हैं।
VLAN
Virtual LAN, जिसे IEEE 802.1Q द्वारा परिभाषित किया गया है। ईथरनेट फ्रेम में 12-बिट VLAN ID टैग साझा किए गए स्विच और एक्सेस पॉइंट पर लॉजिकल नेटवर्क को अलग रखता है।
विनिर्देश में प्रत्येक नेटवर्क को अपना स्वयं का VLAN मिलता है। छात्र और आगंतुक VLAN के पास MIS जैसे स्टाफ़ संसाधनों तक कोई मार्ग नहीं होना चाहिए, जिसकी पुष्टि आपके स्वीकृति परीक्षणों द्वारा की जानी चाहिए।
कैप्टिव पोर्टल
नेटवर्क एक्सेस दिए जाने से पहले नए कनेक्ट किए गए डिवाइस पर दिखाया जाने वाला एक वेब पेज। IETF RFC 8952 में आर्किटेक्चर और RFC 8910 में इसे खोजने के लिए DHCP तथा राउटर विज्ञापन विकल्प का वर्णन करता है।
आगंतुकों और ठेकेदारों के लिए जुड़ने की विधि। आप ईवेंट, प्रायोजित और ठेकेदार एक्सेस प्रकार निर्दिष्ट करते हैं, प्रत्येक समय-सीमित, GDPR-अनुपालन डेटा संग्रह और सोच-समझकर चुने गए ऑप्ट-इन के साथ।
SCIM
System for Cross-domain Identity Management, जिसे IETF RFC 7643 (कोर स्कीमा) और RFC 7644 (प्रोटोकॉल) में परिभाषित किया गया है। यह REST API पर सिस्टम के बीच खातों को प्रोविज़न, अपडेट और डीप्रोविज़न करता है।
खाते में हुए परिवर्तन WiFi प्लेटफ़ॉर्म तक पहुँचने का एक तरीका। छोड़ने वाले के डायरेक्ट्री खाते को अक्षम करने और उनके WiFi एक्सेस के समाप्त होने के बीच के विलंब के आधार पर बोलीदाताओं का मूल्यांकन करें।
WPA3-Enterprise
WPA3 सुरक्षा प्रमाणन का एंटरप्राइज मोड। यह अनिवार्य Protected Management Frames (IEEE 802.11w) के साथ IEEE 802.1X प्रमाणीकरण का उपयोग करता है और एक वैकल्पिक 192-बिट सुरक्षा मोड प्रदान करता है।
जहाँ एक्सेस पॉइंट और डिवाइस इसका समर्थन करते हैं, वहाँ WPA3-Enterprise निर्दिष्ट करें, और पुराने क्लाइंट के लिए WPA2-Enterprise को फ़ॉलबैक के रूप में रखें।
मोबाइल डिवाइस प्रबंधन (MDM)
सॉफ़्टवेयर जो स्कूल के स्वामित्व वाले डिवाइस पर सेटिंग्स, ऐप्स और क्रेडेंशियल्स को पुश करता है। Apple डिवाइस पर यह EAP-TLS प्रमाणपत्र या कुंजियों वाले WiFi कॉन्फ़िगरेशन प्रोफ़ाइल प्रदान करता है; Chromebooks और Windows लैपटॉप समकक्ष प्रबंधित नेटवर्क नीतियां प्राप्त करते हैं।
MDM नामांकन वह तरीका है जिससे प्रबंधित छात्र डिवाइस एक ऐसा क्रेडेंशियल प्राप्त करते हैं जिसे कोई नहीं देखता। Purple MDM उन डिवाइस को नामांकित करता है ताकि क्रेडेंशियल डिवाइस कॉन्फ़िगरेशन के साथ आए।
DfE फ़िल्टरिंग और निगरानी मानक
स्कूलों और कॉलेजों के लिए शिक्षा विभाग (DfE) के डिजिटल और प्रौद्योगिकी मानकों का हिस्सा, जिसे वैधानिक मार्गदर्शन कीपिंग चिल्ड्रेन सेफ़ इन एजुकेशन द्वारा संदर्भित किया गया है। उन्हें नामित भूमिकाओं, वार्षिक समीक्षा, शिक्षण को अनुचित रूप से प्रभावित किए बिना हानिकारक सामग्री को ब्लॉक करने और प्रभावी निगरानी की आवश्यकता होती है।
आपके टेंडर में फ़िल्टरिंग आवश्यकताएं। वे अतिथि खातों, स्कूल के स्वामित्व वाले डिवाइस, स्कूल ब्रॉडबैंड पर प्रत्येक डिवाइस और बैकअप लाइनों सहित सभी इंटरनेट फ़ीड को कवर करती हैं।
IWF और CTIRU सूचियाँ
इंटरनेट वॉच फाउंडेशन की बाल यौन शोषण सामग्री होस्ट करने वाले URLs की सूची, और काउंटर-टेररिज्म इंटरनेट रेफरल यूनिट की गैर-कानूनी आतंकवादी सामग्री की सूची। DfE मानक के अनुसार फ़िल्टरिंग प्रदाताओं का IWF सदस्य होना और CTIRU सूची के लिए पंजीकृत होना अपेक्षित है।
प्रत्येक बोलीदाता से IWF सदस्यता और CTIRU स्थिति के प्रमाण मांगें। परिनियोजन के बाद, SWGfL टेस्ट फ़िल्टरिंग टूल का उपयोग करके परीक्षण करें कि यह सामग्री प्रत्येक नेटवर्क पर ब्लॉक है या नहीं।
हल किए गए उदाहरण
एक सेकेंडरी स्कूल सप्ताह में चार शामों के लिए अपने स्पोर्ट्स हॉल और थिएटर को कम्युनिटी समूहों को किराए पर देता है। किराएदारों को एक लेमिनेटेड कार्ड से स्टाफ WiFi पासवर्ड दिया गया था, इसलिए उनके डिवाइस स्टाफ फ़िल्टरिंग नीति के तहत स्टाफ VLAN पर आ गए। स्कूल को इसे कैसे ठीक करना चाहिए?
स्कूल ने तीन कदम उठाए। पहला, इसने स्टाफ को 802.1X पर स्थानांतरित कर दिया, जिससे साझा करने के लिए कोई स्टाफ की (key) बाकी नहीं रही। दूसरा, इसने साप्ताहिक चार किराएदारों में से प्रत्येक को अपना कैप्टिव पोर्टल कोड दिया, जो बुकिंग समाप्त होने के समय पर एक्सपायर हो जाता है। तीसरा, इसने प्रत्येक किराएदार डिवाइस पर विज़िटर फ़िल्टरिंग नीति लागू की। इसका परिणाम स्पष्ट रूप से मापने योग्य है। प्रचलन में मौजूद साझा स्टाफ क्रेडेंशियल्स की संख्या एक से घटकर शून्य हो गई। प्रत्येक किराएदार को अपना स्वयं का एक्सपायर होने वाला कोड मिला। फ़िल्टरिंग लॉग में प्रत्येक किराएदार सत्र में अब एक कोड होता है जो बुकिंग संदर्भ से जुड़ा होता है, जो DfE की इस अपेक्षा को पूरा करता है कि फ़िल्टरिंग गेस्ट खातों को भी कवर करे।
दो सेकेंडरी और छह प्राइमरी स्कूलों का एक ट्रस्ट आठ अलग-अलग WiFi कॉन्फ़िगरेशन चलाता है। फ़िल्टरिंग तीन अलग-अलग अनुबंधों में विभाजित है, और प्रत्येक स्कूल के छात्रों के iPad एक शेयर्ड की (key) पर जुड़ते हैं। ट्रस्ट को रिप्लेसमेंट की खरीद कैसे करनी चाहिए?
ट्रस्ट ने पांच-पंक्तियों वाली नेटवर्क तालिका के साथ एक स्पेसिफिकेशन जारी किया, जिससे प्रत्येक बोलीदाता ने पूरी संपत्ति के लिए कीमत तय की। इसने अपने मौजूदा Cisco Meraki और HPE Aruba एक्सेस पॉइंट्स पर एक क्लाउड ओवरले निर्दिष्ट किया, जिससे हार्डवेयर लॉट की आवश्यकता समाप्त हो गई। इसने ईस्टर की छुट्टियों में एक प्राइमरी स्कूल में इसका परीक्षण किया, फिर गर्मियों के दौरान शेष सात स्कूलों में इसे रोल आउट कर दिया। परिणाम: छात्रों की आठ शेयर्ड की (keys) घटकर शून्य हो गईं। तीन फ़िल्टरिंग अनुबंध प्रति-नेटवर्क नीतियों के एक सेट में बदल गए। आठ अलग-अलग वार्षिक समीक्षा पैक DSL और गवर्नर्स के लिए एक ट्रस्ट-व्यापी रिपोर्ट बन गए।
एक स्कूल में एक ही शेयर्ड पासवर्ड पर 600 छात्र iPad हैं। एक छात्र को की (key) पता चल जाती है और वह अपने व्यक्तिगत फोन को कनेक्ट कर लेता है, और फ़िल्टरिंग लॉग ऐसा ट्रैफ़िक दिखाते हैं जिसे किसी भी प्रबंधित डिवाइस से संबद्ध नहीं किया जा सकता है। स्पेसिफिकेशन में क्या आवश्यकता होनी चाहिए?
एक ऐसी आवश्यकता निर्धारित करें कि प्रबंधित छात्र डिवाइस MDM नामांकन के माध्यम से अपना नेटवर्क क्रेडेंशियल प्राप्त करें, और कोई भी छात्र या स्टाफ सदस्य की (key) टाइप न करे या न जाने। दो तरीके इसे पूरा करते हैं: प्रति डिवाइस एक EAP-TLS प्रमाणपत्र, जो सबसे मजबूत विकल्प है, या उसी नेटवर्क नाम पर प्रति-डिवाइस iPSK। Purple MDM iPads को नामांकित करता है ताकि क्रेडेंशियल डिवाइस कॉन्फ़िगरेशन के साथ प्राप्त हो। इस प्रकार एक खोया हुआ iPad केवल एक निरस्त क्रेडेंशियल बन जाता है, न कि पूरे स्कूल में की (key) बदलने की आवश्यकता। शेयर्ड ट्रॉली डिवाइसों के लिए, बोलीदाताओं से यह दिखाने के लिए कहें कि डिवाइस लॉग साइन-आउट या टाइमटेबल रिकॉर्ड के साथ कैसे मेल खाते हैं, ताकि आपका DSL यह पहचान सके कि प्रत्येक डिवाइस किसके पास था।
अक्सर पूछे जाने वाले प्रश्न
क्या Purple उन एक्सेस पॉइंट्स पर चल सकता है जो हमारे स्कूलों के पास पहले से मौजूद हैं?
हाँ। Purple हार्डवेयर-अज्ञेयवादी है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर क्लाउड ओवरले के रूप में चलता है। यदि आपके एक्सेस पॉइंट उस सूची में हैं और अभी भी वेंडर सहायता के अंतर्गत हैं, तो आपके स्कूल WiFi टेंडर में हार्डवेयर लॉट की आवश्यकता नहीं हो सकती है। स्कोरिंग से पहले बोलीदाताओं से अपनी संपत्ति सूची के प्रत्येक मॉडल के लिए सहायता तिथियों की पुष्टि करने के लिए कहें।
क्या विज़िटर नेटवर्क पर फ़िल्टरिंग लागू होना आवश्यक है?
हाँ। DfE फ़िल्टरिंग और मॉनिटरिंग मानक अतिथि खातों और स्कूल के ब्रॉडबैंड कनेक्शन का उपयोग करने वाले प्रत्येक उपकरण पर फ़िल्टरिंग लागू करते हैं। आपके विज़िटर नेटवर्क को अपनी स्वयं की फ़िल्टरिंग नीति की आवश्यकता होती है, जिसे किसी भी अन्य नेटवर्क की तरह लॉग किया जाता है। Purple Shield प्रति नेटवर्क फ़िल्टरिंग लागू करता है, ताकि विज़िटर, छात्रों और स्टाफ़ के लिए रिपोर्ट के एक सेट के तहत अलग-अलग नीतियां हो सकें।
प्रबंधित छात्र iPads और Chromebooks बिना किसी साझा पासवर्ड के कैसे जुड़ते हैं?
उन्हें MDM एनरोलमेंट के माध्यम से एक विशिष्ट क्रेडेंशियल प्राप्त होता है, या तो एक EAP-TLS प्रमाणपत्र या प्रति-उपकरण iPSK। कोई भी छात्र या शिक्षक कभी भी कुंजी नहीं देखता या टाइप नहीं करता है। Purple MDM प्रबंधित छात्र उपकरणों को एनरोल करता है ताकि क्रेडेंशियल उपकरण कॉन्फ़िगरेशन के साथ आ जाए। खोया हुआ उपकरण केवल एक निरस्त क्रेडेंशियल बन जाता है, न कि पूरे स्कूल में पासवर्ड परिवर्तन।
क्या स्टाफ़ अपने Microsoft Entra ID या Google Workspace खातों से साइन इन कर सकता है?
हाँ। Purple Access क्लाउड RADIUS के माध्यम से Microsoft Entra ID, Okta या Google Workspace के विरुद्ध IEEE 802.1X पर स्टाफ़ को प्रमाणित करता है। आप कोई अलग WiFi खाता सूची बनाए नहीं रखते हैं। जब ट्रस्ट किसी जाने वाले व्यक्ति के डायरेक्टरी खाते को अक्षम करता है, तो उसका नेटवर्क एक्सेस उसी के साथ समाप्त हो जाता है। मूल्यांकन के दौरान बोलीदाताओं से उस क्रम को लाइव प्रदर्शित करने के लिए कहें।
क्या फ़िल्टरिंग को WiFi के साथ खरीदा जाना चाहिए या अलग से टेंडर किया जाना चाहिए?
आप जो भी मार्ग चुनें, WiFi विनिर्देश के भीतर प्रति नेटवर्क फ़िल्टरिंग निर्दिष्ट करें। Purple Access और Purple Shield के माध्यम से दोनों को एक साथ खरीदने का अर्थ है कि प्रत्येक ब्लॉक किए गए अनुरोध में प्रमाणित पहचान शामिल होती है। वह पहचान वही है जिसकी DfE रिपोर्टिंग आवश्यकता में मांग की जाती है। अलग-अलग अनुबंध आपकी वार्षिक समीक्षा में उस लिंक को प्रमाणित करना कठिन बना देते हैं।
क्या कोई ट्रस्ट प्रत्येक स्कूल को सौंपने से पहले एक स्कूल में पायलट परीक्षण कर सकता है?
हाँ। स्वीकृति परीक्षणों के साथ अनुबंध में एक पायलट स्कूल शामिल करें, फिर शेष स्कूलों को छुट्टियों की अवधियों में शेड्यूल करें। Purple का क्लाउड ओवरले प्रत्येक स्कूल को ट्रस्ट के नेटवर्क टेम्पलेट को इनहेरिट करने की अनुमति देता है। प्रत्येक स्कूल केवल वहीं स्थानीय भिन्नता रखता है जहाँ ट्रस्ट इसकी अनुमति देता है, ताकि पायलट कॉन्फ़िगरेशन ट्रस्ट मानक बन जाए।
क्या विज़िटर डेटा को GDPR के अनुसार प्रबंधित किया जाता है?
हाँ। Purple GDPR के अनुरूप और ISO 27001 प्रमाणित है। कैप्टिव पोर्टल एक्सेस के लिए आवश्यक न्यूनतम डेटा एकत्र कर सकता है, साथ ही किसी भी अतिरिक्त जानकारी के लिए सोच-समझकर चुने गए ऑप्ट-इन विकल्प दे सकता है। विनिर्देश में अपनी स्वयं की डेटा रिटेंशन अवधि निर्धारित करें। प्रत्येक बोलीदाता से यह बताने के लिए कहें कि विज़िटर डेटा कहाँ संग्रहीत किया जाता है और कौन उस तक पहुँच सकता है।
हमें बोलीदाताओं से स्कूल WiFi टेंडर की कीमत तय करने के लिए कैसे कहना चाहिए?
स्कूल, नेटवर्क, प्रबंधित डिवाइस, ऐड-ऑन, एकमुश्त रोलआउट और वार्षिक रिन्यूअल के आधार पर कीमतों का विवरण मांगें। Purple अपने Connect, Capture और Engage प्लान के माध्यम से कीमतें निर्धारित करता है, जिसमें SecurePass, Verify और Shield ऐड-ऑन के रूप में उपलब्ध हैं। लाइन-दर-लाइन विवरण आपको बोलीदाताओं की निष्पक्ष तुलना करने की सुविधा देता है। यह आपके पास पहले से मौजूद एक्सेस पॉइंट का पुन: उपयोग करके होने वाली बचत को भी दर्शाता है।
इस श्रृंखला में आगे पढ़ें
अलग-अलग गेस्ट WiFi, RADIUS और DNS फ़िल्टरिंग वेंडर्स को बदलना: बहु-साइट संपत्तियों के लिए समेकन का मामला
आप यह तय कर सकेंगे कि गेस्ट WiFi, स्टाफ़ RADIUS और DNS फ़िल्टरिंग को एक ही प्लेटफ़ॉर्म पर समेकित किया जाए, किसी एक विशेषज्ञ को बनाए रखा जाए, या रिन्यूअल की प्रतीक्षा की जाए। आप अपने स्वयं के टिकट डेटा पर सप्लायर्स के बीच हैंड-ऑफ़ की लागत का आकलन कर सकते हैं, हटाए जाने वाले ऑडिट साक्ष्यों की गणना कर सकते हैं, और अपने मौजूदा एक्सेस पॉइंट्स पर चरणबद्ध बदलाव की योजना बना सकते हैं।
KCSIE और स्कूल WiFi: कंटेंट फिल्टरिंग के साथ सुरक्षित एक्सेस को मिलाना
आप यह तय करने में सक्षम होंगे कि स्टाफ, छात्र और गेस्ट WiFi पर DfE फिल्टरिंग और मॉनिटरिंग मानकों को कैसे पूरा किया जाए। आप देखेंगे कि प्रति-व्यक्ति प्रमाणीकरण और DNS फिल्टरिंग कैसे मिलकर काम करते हैं ताकि हर लॉग एक व्यक्ति का नाम दे सके। आपको एक क्रमबद्ध योजना, योजना बनाते समय ध्यान रखने योग्य सीमाएं और अपने फिल्टरिंग प्रदाता से पूछे जाने वाले प्रश्न भी मिलेंगे।
CIPA अनुपालन: वेन्यू ऑपरेटरों के लिए अनुपालन चेकलिस्ट
आप यह तय कर सकेंगे कि CIPA आपके WiFi को बाध्य करता है या नहीं, फिर नेटवर्क को विभाजित करें, DNS को Purple Shield के माध्यम से रूट करें और बाईपास मार्गों को बंद करें। आपको यह भी पता चल जाएगा कि Form 486 या Form 479 प्रमाणन के लिए कौन से साक्ष्य रखने हैं। चेकलिस्ट प्रत्येक आवश्यकता के लिए एक मालिक सौंपती है, ताकि आपके अगले फंडिंग वर्ष के प्रमाणन में कुछ भी न छूटे।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।