Allied Telesis TQ Series AP और गेस्ट WiFi: Purple के साथ कैप्टिव पोर्टल सेटअप

आप एक प्राइवेट ब्रीफिंग में क्लाइंट के IT डायरेक्टर से बात कर रहे एक सीनियर नेटवर्क कंसलटेंट हैं। आत्मविश्वास से भरे, आधिकारिक और संवादात्मक लहजे में बात करें। मापी गई गति, स्पष्ट उच्चारण। कोई फालतू शब्द नहीं। जोर देने के लिए बीच-बीच में स्वाभाविक ठहराव: Allied Telesis TQ-Series एक्सेस पॉइंट्स को Purple WiFi के साथ इंटीग्रेट करने पर इस टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपको गेस्ट कैप्टिव पोर्टल रीडायरेक्शन से लेकर मल्टी-टेनेंट PPSK आइसोलेशन तक, पूरे डिप्लॉयमेंट की तस्वीर समझाने जा रहा हूँ। इसके अंत तक, आपके पास एक स्पष्ट इम्प्लीमेंटेशन रोडमैप होगा। [medium pause] आइए संदर्भ से शुरू करते हैं। Allied Telesis TQ-Series का उत्पादन करता है, जिसमें TQ5403 और TQ6702 GEN2 WiFi 6 एक्सेस पॉइंट्स शामिल हैं। ये AlliedWare Plus फ़र्मवेयर पर चलने वाले एंटरप्राइज़-ग्रेड APs हैं, और इन्हें हॉस्पिटैलिटी, रिटेल और पब्लिक सेक्टर के वातावरण में व्यापक रूप से डिप्लॉय किया गया है। Purple एक हार्डवेयर-एग्नॉस्टिक क्लाउड ओवरले प्लेटफॉर्म है जो 80,000 वेन्यू में काम करता है और जिसने 2024 में 440 मिलियन लॉगिन संभाले हैं। इन दोनों प्लेटफॉर्म के बीच इंटीग्रेशन साफ-सुथरा, स्टैंडर्ड-बेस्ड और प्रोडक्शन-रेडी है। [medium pause] अब, पहली चीज़ जिसे अधिकांश IT टीमों को कॉन्फ़िगर करने की आवश्यकता होती है, वह है गेस्ट कैप्टिव पोर्टल रीडायरेक्शन। Allied Telesis AP तीन कैप्टिव पोर्टल मोड का समर्थन करता है: क्लिक-थ्रू, RADIUS ऑथेंटिकेशन, और external page redirect। Purple इंटीग्रेशन के लिए, आप External Page Redirect मोड का उपयोग करेंगे। व्यावहारिक रूप से यह कैसे काम करता है, यहाँ देखें। आप AP के डिवाइस GUI में लॉग इन करते हैं, Wireless पर नेविगेट करते हैं, प्रासंगिक VAP चुनते हैं, Advanced Settings पर जाते हैं, फिर Security टैब पर जाते हैं। Captive Portal को External Page Redirect पर सेट करें। External Page URL फ़ील्ड में, आप अपने Purple डैशबोर्ड में प्रदान किया गया Purple स्प्लैश पेज URL दर्ज करते हैं। यह वह URL है जिस पर आपके गेस्ट पहली बार कनेक्ट होने पर पहुँचेंगे। [short pause] अब, AP प्रत्येक नए क्लाइंट से पहले HTTP या HTTPS पैकेट को इंटरसेप्ट करता है और उस ट्रैफ़िक को आपके Purple स्प्लैश पेज पर रीडायरेक्ट करता है। गेस्ट Purple के माध्यम से ऑथेंटिकेट करता है, और Purple का RADIUS सर्वर AP को वापस Access-Accept भेजता है। इसके बाद AP नेटवर्क एक्सेस प्रदान करता है। [medium pause] RADIUS कॉन्फ़िगरेशन के लिए, Purple आपको एक RADIUS सर्वर IP एड्रेस, एक शेयर्ड सीक्रेट और ऑथेंटिकेशन पोर्ट प्रदान करता है, जो UDP 1812 है। अकाउंटिंग UDP 1813 पर चलती है। आप इन्हें AP GUI में Network Services, फिर RADIUS के तहत कॉन्फ़िगर करते हैं। NAS आइडेंटिफायर को AP के मैनेजमेंट IP या एक वर्णनात्मक होस्टनाम पर सेट किया जाना चाहिए। Purple का RADIUS-as-a-Service ऑथेंटिकेशन बैकएंड को संभालता है, इसलिए आपको अपना खुद का RADIUS इन्फ्रास्ट्रक्चर चलाने की आवश्यकता नहीं है। [short pause] एक चीज़ जिसे सही करना ज़रूरी है वह है Walled Garden। गेस्ट के ऑथेंटिकेट होने से पहले, AP व्हाइटलिस्ट किए गए डेस्टिनेशन को छोड़कर सभी ट्रैफ़िक को ब्लॉक कर देता है। आपको Purple के प्लेटफ़ॉर्म डोमेन को walled garden में जोड़ना होगा ताकि स्प्लैश पेज सही ढंग से लोड हो सके। कम से कम, Purple स्प्लैश पेज डोमेन, एसेट्स के लिए Purple द्वारा उपयोग किए जाने वाले किसी भी CDN एंडपॉइंट्स, और आपके द्वारा सक्षम किए गए किसी भी सोशल लॉगिन प्रोवाइडर्स, जैसे कि Google या Facebook को व्हाइटलिस्ट करें। आप इसे Walled Garden के तहत उसी VAP Advanced Settings पैनल में कॉन्फ़िगर करते हैं। [medium pause] आइए 802.1X का उपयोग करके स्टाफ WiFi पर आगे बढ़ें। यह वह जगह है जहाँ आप एक अलग VAP पर WPA Enterprise कॉन्फ़िगर करते हैं। AP GUI में, Security ड्रॉपडाउन से WPA Enterprise चुनें, फिर RADIUS ऑथेंटिकेशन ग्रुप को अपने बाहरी RADIUS सर्वर की ओर पॉइंट करें, जो इस मामले में Purple की SecurePass सर्विस या आपका अपना Microsoft Entra ID या Okta-समर्थित RADIUS है। स्टाफ डिवाइस MSCHAPv2 के साथ EAP-PEAP का उपयोग करके, या उच्च सुरक्षा वाले वातावरण के लिए सर्टिफिकेट के साथ EAP-TLS का उपयोग करके ऑथेंटिकेट करते हैं। AP 802.1X ऑथेंटिकेटर के रूप में कार्य करता है, क्रेडेंशियल्स को RADIUS सर्वर पर फॉरवर्ड करता है और रिस्पॉन्स को लागू करता है। [short pause] स्टाफ नेटवर्क पर डायनेमिक VLAN असाइनमेंट के लिए, आप VAP की Advanced Security सेटिंग्स में Dynamic VLAN को सक्षम करते हैं। जब RADIUS सर्वर Access-Accept लौटाता है, तो इसमें तीन स्टैंडर्ड एट्रिब्यूट शामिल होते हैं: Tunnel-Type को VLAN पर सेट किया गया है, Tunnel-Medium-Type को IEEE 802 पर सेट किया गया है, और Tunnel-Private-Group-Id को VLAN ID पर सेट किया गया है। AP इन एट्रिब्यूट्स को पढ़ता है और ऑथेंटिकेटेड डिवाइस को स्वचालित रूप से सही VLAN पर रख देता है। यह RFC 3580 में परिभाषित मैकेनिज्म है और यह Allied Telesis हार्डवेयर पर लगातार काम करता है। [medium pause] अब मल्टी-टेनेंट डिप्लॉयमेंट के लिए सबसे दिलचस्प क्षमता के बारे में बात करते हैं: Allied Telesis PPSK, या Private Pre-Shared Key। इसे कभी-कभी अन्य प्लेटफॉर्म पर iPSK भी कहा जाता है। अवधारणा सीधी है। आपके पास एक सिंगल SSID है, लेकिन प्रत्येक टेनेंट या यूजर ग्रुप को एक यूनिक पासफ़्रेज़ मिलता है। जब कोई डिवाइस कनेक्ट होता है, तो AP उस पासफ़्रेज़ को RADIUS Access-Request में पासवर्ड फ़ील्ड के रूप में RADIUS सर्वर पर भेजता है। RADIUS सर्वर पासफ़्रेज़ का मिलान यूजर रिकॉर्ड से करता है, और उस टेनेंट के लिए VLAN को निर्दिष्ट करने वाले Tunnel-Private-Group-Id एट्रिब्यूट के साथ एक Access-Accept लौटाता है। [short pause] तो एक मिक्स्ड-यूज़ बिल्डिंग में, रिटेल यूनिट में टेनेंट A अपने पासफ़्रेज़ के साथ कनेक्ट होता है और VLAN 100 पर पहुँचता है। ग्राउंड फ्लोर पर स्थित रेस्टोरेंट एक अलग पासफ़्रेज़ का उपयोग करता है और VLAN 300 पर पहुँचता है। बिल्डिंग का गेस्ट WiFi तीसरे पासफ़्रेज़ का उपयोग करता है और VLAN 400 पर पहुँचता है जहाँ Purple का कैप्टिव पोर्टल सक्रिय है। यह सब एक SSID पर चलता है। कोई SSID प्रसार नहीं। साफ-सुथरा, स्केलेबल और मैनेज करने में आसान। [medium pause] Purple की तरफ, आप Purple डैशबोर्ड में या RADIUS-as-a-Service इंटरफ़ेस के माध्यम से PPSK यूजर रिकॉर्ड को कॉन्फ़िगर करते हैं। प्रत्येक टेनेंट को एक VLAN ID से मैप किया गया एक यूनिक पासफ़्रेज़ मिलता है। Purple का RADIUS सर्वर मिलान को संभालता है और सही Tunnel-Private-Group-Id लौटाता है। जब आपको किसी टेनेंट का एक्सेस वापस लेना होता है, तो आप Purple में उनके PPSK रिकॉर्ड को डिलीट या डिसेबल कर देते हैं। AP अगले ऑथेंटिकेशन प्रयास पर बदलाव को लागू करता है। [medium pause] मुझे आपको दो वास्तविक दुनिया के परिदृश्य देने दें जहाँ यह मायने रखता है। पहला, एक 250 कमरों वाला कॉन्फ्रेंस होटल। होटल तीन नेटवर्क चलाता है: Purple स्प्लैश पेज और सोशल लॉगिन के साथ गेस्ट WiFi, Microsoft Entra ID के माध्यम से एक्टिव डायरेक्टरी से जुड़ा 802.1X पर स्टाफ WiFi, और इवेंट्स के लिए एक कॉन्फ्रेंस डेलिगेट नेटवर्क। Allied Telesis TQ6702 GEN2 APs अलग-अलग VLANs के साथ अलग-अलग VAPs पर इन तीनों को संभालते हैं। Purple गेस्ट स्प्लैश पेज को मैनेज करता है, होटल के CRM के लिए फर्स्ट-पार्टी डेटा एकत्र करता है, और पीक यूसेज पीरियड्स पर एनालिटिक्स प्रदान करता है। होटल की IT टीम ऑन-साइट एक अलग RADIUS सर्वर बनाए रखे बिना Purple के SecurePass के माध्यम से स्टाफ नेटवर्क को मैनेज करती है। [short pause] दूसरा परिदृश्य: 12 स्वतंत्र टेनेंट्स वाला एक रिटेल पार्क। लैंडलॉर्ड प्रत्येक टेनेंट को एक-दूसरे के ट्रैफ़िक तक एक्सेस दिए बिना एक सर्विस के रूप में WiFi की पेशकश करना चाहता है। वे एक सिंगल SSID के साथ पूरी साइट पर Allied Telesis APs डिप्लॉय करते हैं। प्रत्येक टेनेंट को एक यूनिक PPSK प्राप्त होता है। Purple का RADIUS सर्वर प्रत्येक PPSK को एक समर्पित VLAN से मैप करता है। लैंडलॉर्ड Purple में एक नया PPSK रिकॉर्ड बनाकर और टेनेंट को पासफ़्रेज़ सौंपकर दस मिनट से भी कम समय में एक नए टेनेंट को ऑनबोर्ड कर सकता है। किसी AP रीकॉन्फ़िगरेशन की आवश्यकता नहीं है। [medium pause] अब, बचने के लिए कुछ गलतियाँ। सबसे आम समस्या जो हम देखते हैं वह है गलत तरीके से कॉन्फ़िगर किए गए walled gardens। यदि आप किसी Purple CDN एंडपॉइंट को व्हाइटलिस्ट करना भूल जाते हैं, तो स्प्लैश पेज आंशिक रूप से लोड होगा या कुछ डिवाइसेस पर विफल हो जाएगा। लाइव होने से पहले एक ऐसे नए डिवाइस के साथ टेस्ट करें जिसमें कोई कैश्ड DNS न हो। दूसरा, RADIUS शेयर्ड सीक्रेट मिसमैच। AP पर कॉन्फ़िगर किया गया सीक्रेट Purple के RADIUS सर्वर कॉन्फ़िगरेशन में सीक्रेट से बिल्कुल मेल खाना चाहिए। एक सिंगल कैरेक्टर का अंतर भी साइलेंट ऑथेंटिकेशन विफलताओं का कारण बनता है। सीक्रेट जेनरेट करने और स्टोर करने के लिए पासवर्ड मैनेजर का उपयोग करें। तीसरा, Dynamic VLAN का सक्षम न होना। Allied Telesis APs पर, Dynamic VLAN डिफ़ॉल्ट रूप से अक्षम होता है, भले ही WPA Enterprise सक्रिय हो। आपको इसे VAP Advanced Security सेटिंग्स में स्पष्ट रूप से सक्षम करना होगा। हम इसे नियमित रूप से छूटते हुए देखते हैं। चौथा, PPSK और MAC ऑथेंटिकेशन टकराव। यदि आपके पास PPSK के समान VAP पर MAC ऑथेंटिकेशन सक्षम है, तो ऑथेंटिकेशन का क्रम मायने रखता है। यह पुष्टि करने के लिए कि कौन सी विधि प्राथमिकता लेती है, अपने फ़र्मवेयर संस्करण के लिए AP डॉक्यूमेंटेशन की जाँच करें। [medium pause] IT टीमों से मुझे मिलने वाले त्वरित प्रश्न। क्या मैं एक ही डिप्लॉयमेंट पर गेस्ट कैप्टिव पोर्टल और स्टाफ 802.1X दोनों के लिए Purple के RADIUS सर्वर का उपयोग कर सकता हूँ? हाँ। Purple का RADIUS-as-a-Service दोनों ऑथेंटिकेशन फ्लो का समर्थन करता है। आप प्रत्येक उपयोग के मामले के लिए Purple में अलग RADIUS ग्रुप या नीतियां कॉन्फ़िगर करते हैं। क्या Allied Telesis APs कैप्टिव पोर्टल के साथ WPA3 का समर्थन करते हैं? फ़र्मवेयर 5.5.4-2.3 या बाद के संस्करण पर चलने वाला TQ6702 GEN2, WPA3 CCMP साइफ़र का समर्थन करता है। हालाँकि, एक्सटर्नल रीडायरेक्ट वाला कैप्टिव पोर्टल आमतौर पर एक ओपन या WPA2 पर्सनल SSID पर चलता है। स्टाफ 802.1X, WPA3-Enterprise का उपयोग कर सकता है। क्या होगा यदि Purple RADIUS सर्वर अनुपलब्ध हो? AP नए ऑथेंटिकेशन प्रयासों को अस्वीकार कर देगा। मौजूदा सेशन तब तक जारी रहते हैं जब तक वे टाइम आउट नहीं हो जाते। आपको रिडंडेंसी के लिए AP के RADIUS ग्रुप में एक सेकेंडरी RADIUS सर्वर कॉन्फ़िगर करना चाहिए। Purple का प्लेटफ़ॉर्म 99.999% अपटाइम बनाए रखता है, लेकिन गहराई से सुरक्षा (defence in depth) एक अच्छा अभ्यास है। [medium pause] संक्षेप में। Allied Telesis TQ-Series APs तीन प्राथमिक तंत्रों के माध्यम से Purple के साथ इंटीग्रेट होते हैं: गेस्ट WiFi के लिए एक्सटर्नल कैप्टिव पोर्टल रीडायरेक्ट, स्टाफ 802.1X के लिए RADIUS के साथ WPA Enterprise, और मल्टी-टेनेंट आइसोलेशन के लिए डायनेमिक VLAN के साथ PPSK। जिन RADIUS एट्रिब्यूट्स की आपको आवश्यकता है वे हैं Tunnel-Type VLAN, Tunnel-Medium-Type IEEE 802, और VLAN ID ले जाने वाला Tunnel-Private-Group-Id। Purple, RADIUS-as-a-Service बैकएंड, स्प्लैश पेज प्लेटफ़ॉर्म और एनालिटिक्स लेयर प्रदान करता है। [short pause] आपके अगले कदम: अपने डैशबोर्ड से Purple RADIUS क्रेडेंशियल्स प्राप्त करें, अपने गेस्ट VAP पर external page redirect कॉन्फ़िगर करें, walled garden प्रविष्टियाँ जोड़ें, अपने स्टाफ VAP पर Dynamic VLAN सक्षम करें, और लाइव होने से पहले प्रत्येक नेटवर्क सेगमेंट के लिए एक टेस्ट ऑथेंटिकेशन चलाएँ। यदि आप मल्टी-टेनेंट के लिए PPSK डिप्लॉय कर रहे हैं, तो शुरू करने से पहले अपनी VLAN नंबरिंग योजना की योजना बनाएं, क्योंकि टेनेंट्स के लाइव होने के बाद VLAN IDs को बदलने के लिए समन्वय की आवश्यकता होती है। [medium pause] यह ब्रीफिंग समाप्त हुई। पूर्ण स्टेप-बाय-स्टेप कॉन्फ़िगरेशन संदर्भ, Mermaid आर्किटेक्चर आरेख और RADIUS एट्रिब्यूट टेबल के लिए, लिखित गाइड देखें। आपके समय के लिए धन्यवाद।