Captive Portal आर्किटेक्चर: सुरक्षा, रीडायरेक्शन और सर्वोत्तम अभ्यास

एक आत्मविश्वासी, आधिकारिक और संवादात्मक लहजे में बात करें - जैसे एक सीनियर नेटवर्क कंसल्टेंट कॉफी पर किसी क्लाइंट को जानकारी दे रहा हो। मापी गई गति, स्पष्ट उच्चारण, कोई जल्दबाजी नहीं। जोर देने के लिए बीच-बीच में स्वाभाविक विराम। पेशेवर लेकिन रूखा नहीं: Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम Captive Portal आर्किटेक्चर पर गहराई से चर्चा कर रहे हैं - विशेष रूप से सुरक्षा मॉडल, रीडायरेक्शन मैकेनिक्स और उन डिज़ाइन निर्णयों पर जो एक अनुपालन और अच्छी तरह से इंजीनियर किए गए डिप्लॉयमेंट को उस डिप्लॉयमेंट से अलग करते हैं जो सुबह के तीन बजे आपके लिए समस्याएँ पैदा करेगा। [medium pause] आइए स्थिति को समझें। आप एक होटल चेन, रिटेल एस्टेट या स्टेडियम में गेस्ट WiFi चला रहे हैं। हर दिन हजारों डिवाइस कनेक्ट होते हैं। उनमें से कुछ डिवाइस में मैलवेयर हो सकता है। कुछ उपयोगकर्ता ऐसी सामग्री तक पहुँचने का प्रयास करेंगे जो उन्हें नहीं करनी चाहिए। और आपकी कानूनी टीम लिखित में जानना चाहती है कि व्यक्तिगत डेटा का एक भी बाइट स्टोर करने से पहले आपने वैध सहमति ली है। [medium pause] यह वही समस्या है जिसे हल करने के लिए Captive Portal आर्किटेक्चर को डिज़ाइन किया गया है। आइए विश्लेषण करें कि यह वास्तव में कैसे काम करता है। [medium pause] भाग एक। रीडायरेक्शन चेन। जब कोई गेस्ट डिवाइस आपके WiFi SSID से कनेक्ट होता है, तो उसे एक समर्पित गेस्ट VLAN - मान लें कि VLAN 20 - पर DHCP पूल से एक IP एड्रेस मिलता है। आपके कॉर्पोरेट डिवाइस VLAN 10 पर हैं। इन दोनों VLANs को कभी भी एक-दूसरे से रूट नहीं होना चाहिए। PCI DSS के दृष्टिकोण से यह गैर-परक्राम्य है, और स्पष्ट रूप से बुनियादी सुरक्षा के दृष्टिकोण से भी। अब, डिवाइस कनेक्ट हो गया है, लेकिन अभी तक प्रमाणित नहीं हुआ है। कंट्रोलर इसे उस स्थिति में रखता है जिसे हम प्री-ऑथेंटिकेशन स्थिति कहते हैं। डिवाइस केवल डोमेन की एक छोटी व्हाइटलिस्ट - जिसे वॉल्ड गार्डन कहते हैं - तक ही पहुँच सकता है। बाकी सब कुछ इंटरसेप्ट कर लिया जाता है। यहाँ एक समझदारी वाला हिस्सा है। जब डिवाइस किसी वेबपेज को लोड करने का प्रयास करता है - या जब ऑपरेटिंग सिस्टम अपना Captive Portal डिटेक्शन चेक करता है, जो कि iOS स्वचालित रूप से captive.apple.com पर जाकर करता है - तो गेटवे पर DNS रिज़ॉल्वर वास्तविक गंतव्य के बजाय Captive Portal सर्वर का IP एड्रेस देता है। ब्राउज़र उस रीडायरेक्ट का अनुसरण करता है और आपके स्प्लैश पेज पर पहुँच जाता है। [medium pause] यह Layer 3 और Layer 7 का मिलकर काम करना है। VLAN नेटवर्क आइसोलेशन को संभालता है। DNS इंटरसेप्ट रीडायरेक्ट को संभालता है। और Captive Portal पहचान और सहमति लेयर को संभालता है। तीन अलग-अलग तंत्र, जो सभी क्रम में काम कर रहे हैं। [medium pause] भाग दो। ऑथेंटिकेशन और RADIUS। एक बार जब गेस्ट स्प्लैश पेज के साथ इंटरैक्ट करता है - चाहे वह नियम और शर्तों को स्वीकार करना हो, ईमेल एड्रेस दर्ज करना हो, सोशल लॉगिन के माध्यम से प्रमाणित करना हो, या SMS कोड को सत्यापित करना हो - तो प्लेटफॉर्म को नेटवर्क कंट्रोलर को उस विशिष्ट डिवाइस के लिए फ़ायरवॉल खोलने के लिए कहना होगा। यहीं पर RADIUS की भूमिका आती है। RADIUS का अर्थ है Remote Authentication Dial-In User Service। यह RFC 2865 में परिभाषित एक प्रोटोकॉल है, और यह पॉलिसी सर्वर और नेटवर्क एक्सेस डिवाइस के बीच ऑथेंटिकेशन निर्णयों को संप्रेषित करने के लिए उद्योग का मानक है। Purple एक क्लाउड-होस्टेड RADIUS सर्वर के रूप में कार्य करता है। जब कोई अतिथि captive portal फ़्लो को पूरा करता है, तो Purple स्थानीय WiFi कंट्रोलर को एक RADIUS Access-Accept संदेश भेजता है - चाहे वह Cisco Meraki हो, एक HPE Aruba कंट्रोलर हो, एक Ruckus SmartZone हो, या फिर Juniper Mist एक्सेस पॉइंट हो। कंट्रोलर उस संदेश को प्राप्त करता है और अतिथि डिवाइस को प्री-ऑथेंटिकेशन (pre-authentication) स्थिति से अधिकृत (authorised) स्थिति में स्थानांतरित करता है, जिससे फ़ायरवॉल नियम खुल जाते हैं और इंटरनेट एक्सेस मिल जाता है। [medium pause] RADIUS का एक महत्वपूर्ण एक्सटेंशन है जिसके बारे में आपको जानना चाहिए: Change of Authorisation, या CoA। CoA, RADIUS सर्वर को पहले से सक्रिय सेशन को रद्द करने या उसमें संशोधन करने के लिए कंट्रोलर को एक मिड-सेशन संदेश भेजने की अनुमति देता है। Purple सेशन टाइमआउट लागू करने, नीति उल्लंघन के लिए फ़्लैग किए गए डिवाइस को डिस्कनेक्ट करने, और GDPR के तहत राइट-टू-इरेज़र (right-to-erasure) वर्कफ़्लो का समर्थन करने के लिए CoA का उपयोग करता है - जहां एक उपयोगकर्ता अपने डेटा को हटाने का अनुरोध करता है, और Purple तुरंत उनके सक्रिय सेशन को रद्द कर सकता है। [medium pause] भाग तीन। वॉल्ड गार्डन (walled garden)। वॉल्ड गार्डन (walled garden) IP पतों और डोमेन नामों की एक श्वेतसूची (whitelist) है, जहां अप्रमाणित डिवाइस captive portal फ़्लो पूरा करने से पहले पहुंच सकते हैं। यदि आप इसे गलत करते हैं, तो आपका स्प्लैश पेज लोड नहीं होगा। यदि आप इसे बहुत अधिक गलत करते हैं, तो आप एक सुरक्षा अंतर (security gap) पैदा कर देंगे। कम से कम, आपके वॉल्ड गार्डन में स्वयं captive portal URL, पोर्टल की संपत्तियों (assets) को सेवा देने वाले किसी भी CDN एंडपॉइंट और आपके द्वारा उपयोग किए जा रहे किसी भी सोशल लॉगिन प्रदाताओं - Google, Facebook, Microsoft के प्रमाणीकरण (authentication) एंडपॉइंट शामिल होने चाहिए। यदि आप SMS सत्यापन (verification) का उपयोग कर रहे हैं, तो आपको SMS गेटवे के API एंडपॉइंट को श्वेतसूची (whitelist) में डालना होगा। अधिकांश डिप्लॉयमेंट में फंसने वाली मुख्य समस्या डायनेमिक IP पते हैं। क्लाउड सेवाओं में हमेशा स्टैटिक IP नहीं होते हैं। यदि आप किसी डोमेन के बजाय किसी IP को श्वेतसूची में डालते हैं, और वह IP बदल जाता है, तो आपका पोर्टल काम करना बंद कर देता है। जहां आपका कंट्रोलर इसका समर्थन करता है, वहां डोमेन-आधारित श्वेतसूची (domain-based whitelisting) का उपयोग करें, और हर बदलाव के बाद परीक्षण करें। [medium pause] भाग चार। सुरक्षा डिज़ाइन (Security design)। आइए सुरक्षा आर्किटेक्चर के बारे में अधिक विस्तार से बात करें, क्योंकि यहीं पर अधिकांश डिप्लॉयमेंट में कमियां होती हैं। पहला: क्लाइंट आइसोलेशन (client isolation)। इसे सक्षम (enable) करें। यह एक्सेस पॉइंट पर एक सेटिंग है जो अतिथि उपकरणों को वायरलेस माध्यम से एक-दूसरे के साथ सीधे संवाद करने से रोकती है। इसके बिना, आपके अतिथि नेटवर्क पर एक समझौता किया गया (compromised) डिवाइस अन्य अतिथि डिवाइसों की जांच कर सकता है और उन पर हमला कर सकता है। यह एक वन-चेकबॉक्स समाधान है जो पीयर-टू-पीयर (peer-to-peer) हमलों की एक पूरी श्रेणी को समाप्त कर देता है। दूसरा: DHCP लीज समय (lease times)। उच्च-टर्नओवर वाले स्थान पर - जैसे कि एक परिवहन केंद्र, एक स्टेडियम, एक व्यस्त रिटेल स्टोर - आपको कम लीज समय की आवश्यकता होती है। तीस से साठ मिनट। यदि आप डिफॉल्ट को चौबीस घंटे पर छोड़ देते हैं और किसी मैच के दिन आपके पास दस हजार डिवाइस कनेक्ट होते हैं, तो आप हाफ-टाइम से पहले ही अपने IP एड्रेस पूल को समाप्त कर देंगे। नए डिवाइस कनेक्ट नहीं होंगे। आपकी ऑपरेशन्स टीम को शिकायतें मिलेंगी। लीज को छोटा रखें।तीसरा: एन्क्रिप्शन। आपका Captive Portal वैध TLS प्रमाणपत्र के साथ HTTPS पर ही चलना चाहिए। यदि इसे HTTP पर चलाया जाता है, तो आधुनिक ब्राउज़र इसे असुरक्षित के रूप में चिह्नित करेंगे, उपयोगकर्ता इस पर अविश्वास करेंगे, और आप क्रेडेंशियल्स को प्लेनटेक्स्ट में ट्रांसमिट कर रहे होंगे। कम से कम TLS 1.2 का उपयोग करें; TLS 1.3 को प्राथमिकता दी जाती है। WiFi ट्रांसपोर्ट लेयर को WPA2-AES या WPA3 का उपयोग करना चाहिए - WEP या TKIP का कभी नहीं। चौथा: VLAN सेगमेंटेशन। आपका गेस्ट VLAN भुगतान कार्ड डेटा को छूने वाले किसी भी नेटवर्क सेगमेंट से पूरी तरह से अलग होना चाहिए। PCI DSS संस्करण 4.0 इस पर स्पष्ट है। यदि आपका गेस्ट नेटवर्क किसी ऐसे सबनेट पर रूट कर सकता है जिसमें पॉइंट-ऑफ-सेल सिस्टम है, तो आपका पूरा POS नेटवर्क PCI ऑडिट के दायरे में आ जाता है। यह एक महत्वपूर्ण अनुपालन (compliance) बोझ है। पहले दिन से ही सही तरीके से सेगमेंट करें। [medium pause] धारा पाँच। GDPR और डेटा अनुपालन। व्यक्तिगत डेटा एकत्र करने वाले प्रत्येक Captive Portal को - और ईमेल पता, फ़ोन नंबर और सोशल लॉगिन सभी GDPR के तहत व्यक्तिगत डेटा माने जाते हैं - विशिष्ट आवश्यकताओं को पूरा करना होगा। आपको प्रोसेसिंग के लिए एक कानूनी आधार की आवश्यकता है। गेस्ट WiFi के लिए, यह आमतौर पर सहमति (consent) होती है। सहमति स्वतंत्र रूप से दी गई, विशिष्ट, सूचित और स्पष्ट होनी चाहिए। पहले से टिक किए गए बॉक्स मान्य नहीं होते हैं। WiFi सहमति को मार्केटिंग सहमति के साथ जोड़ना मान्य नहीं है। Purple का सचेत-विकल्प (conscious-choice) ऑप्ट-इन मॉडल नेटवर्क एक्सेस सहमति को मार्केटिंग सहमति से अलग करता है, ताकि गेस्ट मार्केटिंग ईमेल स्वीकार करने के लिए मजबूर हुए बिना ऑनलाइन हो सकें। आपको यह दस्तावेज़ीकरण करने की आवश्यकता है कि आप कौन सा डेटा एकत्र करते हैं, इसे क्यों एकत्र करते हैं, इसे कहाँ संग्रहीत किया जाता है, और आप इसे कब तक रखते हैं। Purple ISO 27001 प्रमाणित, GDPR अनुपालन, CCPA अनुपालन और Cyber Essentials प्रमाणित है। प्लेटफ़ॉर्म दस्तावेज़ीकृत रिटेंशन नीतियों के साथ अनुपालन करने वाले डेटा केंद्रों में डेटा संग्रहीत करता है। और आपको एक राइट-टू-इरेज़र (right-to-erasure) वर्कफ़्लो की आवश्यकता है। यदि कोई गेस्ट अपना डेटा हटाने का अनुरोध करता है, तो आपको तीस दिनों के भीतर उस पर कार्रवाई करने में सक्षम होना चाहिए। Purple का प्लेटफ़ॉर्म मूल रूप से इसका समर्थन करता है, और RADIUS CoA तंत्र जिसका मैंने पहले उल्लेख किया है, उसका अर्थ है कि आप एक ही समय में सक्रिय सत्रों (active sessions) को रद्द कर सकते हैं। [medium pause] अब चलिए कार्यान्वयन (implementation) की सिफारिशों और उन कमियों पर चलते हैं जिन्हें हम अक्सर देखते हैं। [medium pause] पहली कमी: गलत तरीके से कॉन्फ़िगर किए गए वॉल्ड गार्डन (walled gardens)। स्प्लैश पेज लोड होता है, लेकिन सोशल लॉगिन बटन काम नहीं करता है। या पेज लोड होता है लेकिन लोगो दिखाई नहीं देता क्योंकि CDN डोमेन को श्वेतसूची (whitelist) में नहीं डाला गया है। लाइव होने से पहले बिना कैश्ड DNS वाले एक नए डिवाइस पर अपने वॉल्ड गार्डन का परीक्षण करें। दूसरी कमी: शेयर्ड PSKs। कुछ स्थान अभी भी चॉकबोर्ड पर लिखे एक सिंगल WiFi पासवर्ड का उपयोग करते हैं। यह एक Captive Portal नहीं है - यह एक साझा रहस्य है जिसे कोई भी फोटो खींचकर साझा कर सकता है। यह आपको कोई पहचान डेटा, कोई सहमति रिकॉर्ड और व्यक्तिगत पहुंच को रद्द करने की कोई क्षमता नहीं देता है। इसे एक प्रबंधित Captive Portal से बदलें। तीसरी कमी: अपर्याप्त DHCP पूल साइज़िंग। मैंने इसे कवर किया है, लेकिन इसे दोहराना आवश्यक है। अपने DHCP पूल का आकार औसत कनेक्शन के लिए नहीं, बल्कि चरम समवर्ती (peak concurrent) कनेक्शन के लिए निर्धारित करें। चालीस हज़ार प्रशंसकों वाले स्टेडियम में, आपके पास एक साथ कनेक्ट करने का प्रयास करने वाले बीस हज़ार डिवाइस हो सकते हैं। तदनुसार योजना बनाएं। चौथी गलती: कोई सेशन टाइमआउट (session timeout) न होना। सेशन टाइमआउट के बिना, एक डिवाइस जो छह महीने पहले कनेक्ट हुआ था और कभी वापस नहीं आया, वह अभी भी आपके कंट्रोलर में एक अधिकृत सेशन स्टेट (session state) रखता है। यह एक पुराना रिकॉर्ड है जो संसाधनों को बर्बाद करता है और ऑडिट में बाधा डालता है। सेशन टाइमआउट सेट करें। तीस मिनट की निष्क्रियता एक उचित डिफॉल्ट है। [medium pause] त्वरित प्रश्न और उत्तर। प्रश्न: क्या Captive Portal सभी डिवाइस पर काम करता है? अन्सर: आधुनिक ऑपरेटिंग सिस्टम - iOS, Android, Windows, macOS - सभी में Captive Portal डिटेक्शन इन-बिल्ट होता है। वे रीडायरेक्ट का पता लगाते हैं और पोर्टल को स्वचालित रूप से प्रदर्शित करते हैं। पुराने डिवाइस के लिए उपयोगकर्ता को मैन्युअल रूप से ब्राउज़र खोलने की आवश्यकता हो सकती है। Purple का प्लेटफॉर्म दोनों फ्लो को संभालता है। प्रश्न: क्या हम 802.1X के साथ Captive Portal का उपयोग कर सकते हैं? अन्सर: हाँ। कई एंटरप्राइज़ डिप्लॉयमेंट स्टाफ डिवाइसों के लिए 802.1X का उपयोग करते हैं - जहाँ सर्टिफिकेट या क्रेडेंशियल स्वचालित रूप से प्रमाणित होते हैं - और एक अलग SSID पर गेस्ट डिवाइसों के लिए एक Captive Portal का उपयोग करते हैं। Purple ऐसे RADIUS इंफ्रास्ट्रक्चर के साथ एकीकृत होता है जो एक ही समय में दोनों फ्लो का समर्थन करता है। प्रश्न: OpenRoaming के बारे में क्या? अन्सर: OpenRoaming एक मानक है जो डिवाइसों को सर्टिफिकेट-आधारित प्रमाणीकरण का उपयोग करके स्वचालित रूप से WiFi से कनेक्ट करने की अनुमति देता है, जिससे Captive Portal पूरी तरह से बायपास हो जाता है। Purple, Connect लाइसेंस के तहत OpenRoaming के लिए एक मुफ्त पहचान प्रदाता के रूप में कार्य करता है। यह निर्बाध गेस्ट कनेक्टिविटी के लिए भविष्य की दिशा है, लेकिन डेटा कैप्चर और सहमति प्रबंधन के लिए आज भी Captive Portal एक मानक बने हुए हैं। [medium pause] संक्षेप में। एक अच्छी तरह से आर्किटेक्ट किया गया Captive Portal डिप्लॉयमेंट पांच स्तंभों पर निर्भर करता है। आपके कॉर्पोरेट नेटवर्क की सुरक्षा के लिए VLAN आइसोलेशन। स्प्लैश पेज प्रदर्शित करने के लिए DNS इंटरसेप्शन और HTTPS रीडायरेक्शन। सहमति के बाद फ़ायरवॉल खोलने के लिए RADIUS प्रमाणीकरण। पोर्टल को सही तरीके से लोड करने के लिए एक सही ढंग से कॉन्फ़िगर किया गया वॉल्ड गार्डन (walled garden)। और आपके मेहमानों और आपके संगठन दोनों की सुरक्षा के लिए GDPR-अनुरूप डेटा हैंडलिंग। Purple का प्लेटफॉर्म 2024 में संसाधित 440 मिलियन लॉगइन्स और 99.999% अपटाइम के साथ, 80,000 लाइव वेन्यू में इन सभी पांचों परतों को संभालता है। यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet के साथ मूल रूप से एकीकृत होता है - इसलिए आप चाहे जो भी हार्डवेयर चला रहे हों, आप बिना किसी परेशानी के इसे डिप्लॉय कर सकते हैं। यदि आप इनमें से किसी भी विषय पर गहराई से जानना चाहते हैं - SSID डिज़ाइन, RADIUS कॉन्फ़िगरेशन, या GDPR अनुपालन वर्कफ़्लो - तो संपूर्ण तकनीकी गाइड लाइब्रेरी के लिए purple.ai पर जाएं। सुनने के लिए धन्यवाद।