प्रति-इकाई VLAN और PSK आर्किटेक्चर: MDU नेटवर्क के लिए एक डिज़ाइन गाइड

जब इकाइयों में वायर्ड पोर्ट हों और इमारत में कुछ सौ दरवाजे हों, तो प्रत्येक अपार्टमेंट को अपना खुद का VLAN दें। 250-दरवाजों वाली BTR योजना 4,094 IEEE 802.1Q VLAN IDs में से लगभग 256 का उपयोग करती है। 800-बेड वाले PBSA जैसी उच्च-मंथन वाली साइटों के लिए, प्रत्येक निवासी की विशिष्ट कुंजी में विभाजन रखें, जिसमें कुछ साझा VLANs पर प्रति-कुंजी नीति हो।

क्या हर अपार्टमेंट को अपना खुद का VLAN मिलना चाहिए?

हमेशा नहीं। बिल्ड-टू-रेंट (BTR), मल्टी-डवेलिंग यूनिट (MDU) या पर्पस-बिल्ट स्टूडेंट अकोमोडेशन (PBSA) योजना में प्रत्येक निवासी को एक निजी नेटवर्क की आवश्यकता होती है। उनके लैपटॉप, स्मार्ट TV और प्रिंटर को एक-दूसरे को देखना चाहिए, और किसी अन्य के उपकरण उन्हें न देख सकें। यह एंटरप्राइज सुरक्षा के साथ घर जैसा अनुभव है, और आप इसे दो तरीकों से प्रदान कर सकते हैं।

प्रति अपार्टमेंट VLAN। प्रत्येक इकाई को अपना स्वयं का वर्चुअल LAN (VLAN) मिलता है। VLAN अपने स्वयं के सबनेट और DHCP स्कोप के साथ एक अलग लेयर 2 ब्रॉडकास्ट डोमेन है। एक RADIUS सर्वर एक्सेस प्वाइंट को बताता है कि प्रत्येक डिवाइस किस VLAN में शामिल होता है। RADIUS एक प्रमाणीकरण प्रोटोकॉल है जो प्रत्येक डिवाइस की जांच करता है और उसकी नेटवर्क नीति लौटाता है। इकाइयों के बीच ट्रैफिक को लेयर 3 गेटवे को पार करना होगा, और आपका फ़ायरवॉल इसे वहां रोकता है।

कुंजी द्वारा ले जाई जाने वाली नीति। प्रत्येक निवासी को एक साझा SSID पर एक विशिष्ट प्री-शेयर्ड कुंजी (PSK) मिलती है। विक्रेता इसे आइडेंटिटी PSK (iPSK), प्राइवेट PSK (PPSK), मल्टी-PSK या डायनेमिक PSK कहते हैं। कुंजी निवासी की पहचान करती है, और नेटवर्क इससे जुड़ी नीति लागू करता है। एक ही कुंजी वाले उपकरण एक-दूसरे से बात कर सकते हैं। अलग-अलग कुंजियों वाले उपकरण बात नहीं कर सकते, भले ही वे एक साझा VLAN पर हों। Purple इसे प्राइवेट एरिया नेटवर्क (PAN) कहता है: एक निजी नेटवर्क बबल जो कुंजी के साथ यात्रा करता है।

दोनों डिज़ाइन निवासियों को ठीक से अलग करते हैं। वे इसमें भिन्न हैं कि अलगाव कहां लागू किया जाता है और आप कितना कॉन्फ़िगरेशन बनाए रखते हैं। चयन चार कारकों पर निर्भर करता है:

• इकाइयों में वायर्ड पोर्ट
• निवासी मंथन
• कुल सेगमेंट संख्या
• आपके एक्सेस पॉइंट और स्विच क्या सपोर्ट करते हैं

नीचे दिए गए अनुभाग 250-दरवाजों की BTR योजना और 800-बेड की PBSA साइट के लिए इकाई संख्या के साथ प्रत्येक कारक के माध्यम से काम करते हैं।

जहां प्रति-इकाई VLANs और कुंजी-आधारित नीति वास्तव में भिन्न हैं

4,094 VLAN सीमा, और जब आप वास्तव में इसे प्राप्त करते हैं

IEEE 802.1Q VLAN ID को 12-बिट फ़ील्ड में ले जाता है। यह 4,096 मान देता है। IDs 0 और 4,095 आरक्षित हैं, जिससे 4,094 उपयोग योग्य IDs बचती हैं। सीमा प्रति लेयर 2 डोमेन लागू होती है, प्रति संगठन नहीं, इसलिए एक राउटेड सीमा के पीछे की दो इमारतें समान IDs का पुनः उपयोग कर सकती हैं।

एक एकल इमारत केवल निवासी VLANs पर शायद ही कभी 4,094 तक पहुंचती है। आप तीन स्थितियों में सीमा तक पहुंचते हैं:

• एक मल्टी-ब्लॉक कैंपस एक फ्लैट लेयर 2 डोमेन चलाता है। आपके द्वारा स्टाफ, CCTV या बिल्डिंग मैनेजमेंट को जोड़ने से पहले एक कोर पर पांच 800-बेड वाले हॉल को 4,000 निवासी VLANs की आवश्यकता होती है।
• आप प्रति बेड और प्रति पोर्ट विभाजित करते हैं। यदि प्रत्येक बेड को एक अलग वायर्ड VLAN भी मिलता है, तो आपकी संख्या दोगुनी हो जाती है।
• आप स्मार्ट लॉक या थर्मोस्टैट के लिए प्रति-यूनिट IoT VLAN जोड़ते हैं, जो इस संख्या को फिर से दोगुना कर देता है।

व्यावहारिक सीमा आमतौर पर जल्द ही आ जाती है। Per-VLAN स्पैनिंग ट्री वेरिएंट प्रति VLAN एक स्पैनिंग ट्री इंस्टेंस चलाते हैं, और स्विच प्लेटफॉर्म इंस्टेंस को 4,094 से काफी नीचे सीमित करते हैं। वायरलेस कंट्रोलर और गेटवे भी VLANs और लेयर 3 इंटरफेस पर अपनी सीमाएं प्रकाशित करते हैं। प्रतिबद्ध होने से पहले उन तीन डेटाशीट आंकड़ों की जांच करें। योजना बनाने के लिए 802.1Q की अधिकतम संख्या गलत संख्या है।

यदि आप इस सीमा से आगे बढ़ जाते हैं, तो आपके पास दो स्पष्ट रास्ते हैं। प्रत्येक इमारत में एक रूट की गई सीमा रखें और प्रत्येक के भीतर VLAN IDs का पुन: उपयोग करें। या VXLAN पर जाएं, जो RFC 7348 में परिभाषित है, जिसका 24-बिट सेगमेंट आइडेंटिफायर लगभग 16 मिलियन सेगमेंट की अनुमति देता है। Multiple Spanning Tree, जो मूल रूप से IEEE 802.1s था और अब 802.1Q का हिस्सा है, कई VLANs को कुछ इंस्टेंस में मैप करता है। वह स्पैनिंग ट्री की बाधा को हटा देता है।

RADIUS निवासी को VLAN कैसे असाइन करता है

RFC 3580 डायनेमिक VLAN असाइनमेंट को परिभाषित करता है। जब RADIUS किसी डिवाइस को स्वीकार करता है, तो Access-Accept संदेश में तीन एट्रिब्यूट होते हैं:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = उस अपार्टमेंट के लिए VLAN ID

इसके बाद एक्सेस प्वाइंट या स्विच उस डिवाइस को उस VLAN पर रख देता है। यह मैपिंग निवासी के रिकॉर्ड में रहती है, इसलिए उनका फोन फ्लैट, जिम या छत की छत पर एक ही VLAN पर आता है।

सर्वर डिवाइस के मालिक की पहचान कैसे करता है, यह ऑथेंटिकेशन विधि पर निर्भर करता है:

• IEEE 802.1X (WPA2-Enterprise या WPA3-Enterprise)। निवासी क्रेडेंशियल या सर्टिफिकेट के साथ साइन इन करता है, और RADIUS इसे सीधे देखता है।
• Per-key PSK। कंट्रोलर या RADIUS सर्वर निवासी के रिकॉर्ड में डिवाइस द्वारा प्रस्तुत की गई कुंजी का मिलान करता है, फिर VLAN या पॉलिसी का नाम लौटाता है।

वेंडर उस कुंजी लुकअप को अलग-अलग तरीके से लागू करते हैं। कॉन्फ़िगरेशन चरणों के लिए अपने प्लेटफॉर्म के दस्तावेज़ों का पालन करें।

आवासीय भवनों में एक व्यावहारिक कारण से PSK जीतता है। स्मार्ट टीवी, गेम कंसोल, स्मार्ट स्पीकर और प्रिंटर शायद ही कभी 802.1X का समर्थन करते हैं, लेकिन एक कुंजी उन सभी पर काम करती है।

जांचें कि क्या आपका प्लेटफॉर्म WPA3-Personal के साथ प्रति-कुंजी PSK का समर्थन करता है या नहीं। WPA2-Personal पर कई प्रति-कुंजी कार्यान्वयन शुरू किए गए थे। SAE (Simultaneous Authentication of Equals, WPA3-Personal हैंडशेक) बदलता है कि एक कुंजी का मिलान कैसे किया जा सकता है, और समर्थन वेंडर और फर्मवेयर के अनुसार भिन्न होता है।

जब कोई निवासी फ्लैट बदलता है या बाहर जाता है, तो RADIUS डायनेमिक ऑथराइजेशन मदद करता है। इसे RFC 5176 में परिभाषित किया गया है, और यह सर्वर को किसी सत्र को डिस्कनेक्ट करने या सीधे नई पॉलिसी लागू करने की अनुमति देता है।

ब्रॉडकास्ट डोमेन हाइजीन

प्रत्येक VLAN एक ब्रॉडकास्ट डोमेन है। ARP अनुरोध, DHCP डिस्कवरी और मल्टीकास्ट डिस्कवरी प्रोटोकॉल इसमें मौजूद हर डिवाइस तक पहुंचते हैं। उन प्रोटोकॉल में mDNS (जिसका उपयोग AirPlay और Chromecast करते हैं) और SSDP शामिल हैं। WiFi पर, ब्रॉडकास्ट और मल्टीकास्ट फ्रेम एक बुनियादी डेटा दर पर बाहर जाते हैं। वे VLAN को ले जाने वाले प्रत्येक एक्सेस प्वाइंट पर एयरटाइम की खपत करते हैं।

एक प्रति-यूनिट VLAN प्रत्येक डोमेन को एक घर तक सीमित रखता है, जिसमें लगभग आठ से 36 डिवाइस होते हैं। डिस्कवरी बिना किसी mDNS गेटवे के फ्लैट के अंदर काम करती है, और बगल के घर में कुछ भी लीक नहीं होता है।

एक साझा VLAN कई निवासियों के सैकड़ों डिवाइस रख सकता है, इसलिए इसे सक्रिय स्वच्छता की आवश्यकता होती है:

• एक्सेस प्वाइंट पर Proxy ARP या ARP suppression, ताकि AP ARP अनुरोधों का उत्तर देने के लिए उन्हें फ्लड करने के बजाय खुद उत्तर दे।
• निवासी SSID पर Multicast-to-unicast conversion या broadcast filtering।
• प्रति कुंजी के आधार पर स्कोप्ड mDNS gateway, ताकि निवासी के कास्टिंग लक्ष्य केवल उनके अपने डिवाइस पर दिखाई दें।
• एक आकार सीमा। हमारा कार्य नियम प्रति साझा VLAN पर कुछ सौ क्लाइंट्स का है। इससे ऊपर होने पर मंजिल या ब्लॉक के आधार पर विभाजित करें।

कुछ प्लेटफॉर्म मूल रूप से कुंजी-स्तरीय ग्रुपिंग लागू करते हैं। उदाहरण के लिए, Cisco Meraki का Wireless Personal Network, पहचान PSK द्वारा डिवाइस को समूहित करता है और साझा VLAN पर समूहों को एक-दूसरे से अलग करता है। Meraki एस्टेट पर, इसके साथ तेज़ रोमिंग का परीक्षण करें। हमारी Cisco Meraki 802.11r adaptive vs enabled गाइड इस व्यवहार को कवर करती है।

प्रति सेगमेंट DHCP स्कोप डिज़ाइन

हम प्रति निवासी आठ से 12 डिवाइस की योजना बनाते हैं। यह Purple का योजना आंकड़ा है, और इसमें शामिल हैं:

• फोन, लैपटॉप, टैबलेट और घड़ियां
• टीवी, कंसोल और स्पीकर
• स्मार्ट-होम डिवाइस

प्रत्येक स्कोप का आकार इकाई की अधिकतम अधिभोग से तय करें, औसत से नहीं।

फिर प्राइवेट MAC पते के लिए अतिरिक्त स्थान जोड़ें। Apple और Google दोनों डिफ़ॉल्ट रूप से प्रति नेटवर्क किसी डिवाइस का MAC पता रैंडम करते हैं। एक नया रैंडम पता एक नया लीज लेता है। लीज का समय छोटा करें ताकि छोड़े गए पते एक दिन के भीतर पूल में वापस आ जाएं, और प्रत्येक स्कोप का कम से कम एक तिहाई हिस्सा खाली रखें।

प्रिफिक्स	उपयोग योग्य पते	गेटवे के बाद लीज	उपयुक्तता
/28	14	13	अनुशंसित नहीं: 12 डिवाइस वाला एक निवासी केवल एक स्पेयर छोड़ता है
/27	30	29	12 डिवाइस वाला एक निवासी, 17 स्पेयर
/26	62	61	12 डिवाइस वाले तीन निवासी, 25 स्पेयर
/23	510	509	12 डिवाइस वाले 25 निवासियों की एक मंजिल, 209 स्पेयर

DHCP को गेटवे पर चलाएं, या प्रत्येक VLAN इंटरफ़ेस पर DHCP रिले के साथ एक केंद्रीय सर्वर पर चलाएं। प्रति-इकाई डिज़ाइन में प्रति VLAN एक स्कोप और एक रिले की आवश्यकता होती है, इसलिए 250-दरवाजों वाली इमारत में 250 स्कोप होते हैं। इसका लाभ यह है कि एक IP पता अपार्टमेंट की पहचान करता है, जिससे खराबी ढूंढने में तेजी आती है। साझा VLAN पर, पता अब किसी इकाई से मैप नहीं होता है। आप निवासी को RADIUS अकाउंटिंग के माध्यम से ढूंढते हैं, जो कुंजी, MAC पता और सत्र को लॉग करता है।

कारक	प्रति अपार्टमेंट VLAN	कुंजी द्वारा संचालित नीति
जहां आइसोलेशन लागू किया जाता है	लेयर 3 गेटवे और फ़ायरवॉल	एक्सेस पॉइंट या कंट्रोलर
उपयोग किए गए निवासी VLAN	प्रति इकाई एक	प्रति मंजिल या ब्लॉक एक
इकाइयों में वायर्ड पोर्ट	पोर्ट VLAN या MAC प्रमाणीकरण के माध्यम से WiFi के समान सेगमेंट	एक अलग वायर्ड डिज़ाइन की आवश्यकता है
AirPlay और Chromecast डिस्कवरी	VLAN के भीतर काम करता है, कोई गेटवे नहीं	प्रति कुंजी स्कोप्ड mDNS गेटवे की आवश्यकता है
ब्रॉडकास्ट डोमेन का आकार	एक घर, लगभग 36 डिवाइस तक	कुछ सौ डिवाइस तक
DHCP स्कोप	प्रति इकाई एक	प्रति साझा VLAN एक
हार्डवेयर निर्भरता	डायनामिक VLAN असाइनमेंट (RFC 3580)	प्रति-कुंजी PSK प्लस प्रति-कुंजी आइसोलेशन
सर्वोत्तम उपयुक्त	वायर्ड पोर्ट और लंबी अवधि के किरायेदारों वाले BTR और MDU	PBSA, अपारथोटल, मल्टी-ब्लॉक कैंपस

प्रत्येक अपार्टमेंट के लिए एक VLAN कब सही विकल्प है

प्रत्येक अपार्टमेंट के लिए एक VLAN तब चुनें जब इनमें से अधिकांश स्थितियां लागू हों:

• यूनिट्स में वायर्ड पोर्ट हैं। एक VLAN निवासी के वायर्ड TV, स्मार्ट हब और WiFi डिवाइस को संभालता है, जिससे दोनों में कास्टिंग काम करती है।
• किराएदारी महीनों या वर्षों तक चलती है। VLAN-से-यूनिट मैपिंग शायद ही कभी बदलती है।
• सेगमेंट की संख्या आपकी प्लेटफॉर्म सीमाओं से काफी नीचे रहती है। स्पैनिंग ट्री इंस्टेंस, कंट्रोलर VLANs और गेटवे इंटरफेस की गणना करें।
• आपकी सुरक्षा टीम लेयर 3 पर अलगाव चाहती है, प्रत्येक सेगमेंट के लिए फ़ायरवॉल लॉग के साथ।
• सपोर्ट को बिना किसी RADIUS लुकअप के यूनिट की पहचान करने के लिए IP एड्रेस की आवश्यकता होती है।

व्यावहारिक परिदृश्य: एक 250-दरवाजों वाली BTR योजना

स्थिति। एक 250-अपार्टमेंट बिल्ड-टू-रेंट ब्लॉक, जिसमें स्टूडियो से लेकर दो-बेड वाले अपार्टमेंट शामिल हैं, जिसमें प्रति यूनिट अधिकतम तीन निवासी हैं। प्रत्येक अपार्टमेंट में TV और स्मार्ट-होम हब के लिए वायर्ड पोर्ट हैं। एमेनिटी फ्लोर पर एक जिम, एक को-वर्किंग लाउंज और एक रूफ टैरेस है। स्टाफ, CCTV, बिल्डिंग मैनेजमेंट और लाउंज में आने वाले आगंतुकों में से प्रत्येक को अपने नेटवर्क की आवश्यकता होती है।

क्या किया गया।

• प्रति अपार्टमेंट एक VLAN: 250 निवासी VLANs।
• छह इंफ्रास्ट्रक्चर VLANs: मैनेजमेंट, स्टाफ, CCTV, बिल्डिंग मैनेजमेंट, IoT और एमेनिटी स्पेस के लिए एक विजिटर Guest WiFi नेटवर्क। यह कुल मिलाकर 256 VLAN IDs बनाता है।
• प्रति अपार्टमेंट एक समान /26। 12 डिवाइस पर तीन निवासी यानी 36 डिवाइस, जिससे 25 लीज अतिरिक्त बचते हैं। एक ही टेम्पलेट हर यूनिट को कवर करता है।
• सभी निवासी स्कोप के लिए एक /18। 250 /26 स्कोप RFC 1918 प्राइवेट स्पेस के एक ही /18 के अंदर फिट होते हैं, जिसमें छह /26 ब्लॉक बच जाते हैं।
• एक ही सेगमेंट पर वायर्ड और वायरलेस। RADIUS प्रत्येक निवासी की कुंजी को उनके अपार्टमेंट VLAN से मैप करता है, और फ्लैट के वायर्ड पोर्ट उसी VLAN पर स्थित होते हैं।
• मल्टीपल स्पैनिंग ट्री 256 VLANs को कम संख्या में इंस्टेंस पर मैप करता है।

परिणाम (डिज़ाइन आंकड़े)।

• 4,094 VLAN IDs में से 256 का उपयोग किया गया, जो लगभग 6% है।
• 256 DHCP स्कोप और 256 लेयर 3 इंटरफेस, एक ही फ़ायरवॉल नियम टेम्पलेट से प्रबंधित।
• प्रत्येक निवासी का पता उसके फ्लैट की पहचान करता है।
• 250-दरवाजों का दूसरा चरण कुल मिलाकर 506 VLANs ले जाएगा, जो अभी भी ID स्पेस का लगभग 12% है।

नीति-आधारित सेगमेंटेशन कब सही विकल्प है

कुंजी द्वारा ले जाई जाने वाली नीति तब चुनें जब इनमें से अधिकांश स्थितियां लागू हों:

• टर्नओवर अधिक है। वार्षिक प्रवेश या रात भर ठहरने से VLAN-से-यूनिट रखरखाव एक आवर्ती कार्य बन जाता है।
• निवासी पूरी इमारत में घूमते हैं, जिसमें स्टडी रूम, कैफ़े और जिम शामिल हैं।
• प्रति-बेड गोपनीयता से VLAN की संख्या सैकड़ों या हज़ारों में पहुँच जाएगी।
• कमरों में कोई वायर्ड पोर्ट नहीं हैं, या पोर्ट केवल बिल्डिंग सिस्टम के लिए काम करते हैं।
• आपके एक्सेस पॉइंट प्रति-कुंजी PSK, प्रति-कुंजी अलगाव और स्कोप्ड mDNS का समर्थन करते हैं।

व्यावहारिक परिदृश्य: एक 800-बेड वाला यूनिवर्सिटी हॉस्टल

स्थिति। एक विश्वविद्यालय आठ मंजिलों के चार ब्लॉक में 800 बिस्तरों वाले हॉस्टल का संचालन करता है, जिसमें प्रति मंजिल 25 बिस्तर हैं। छात्र एक साझा रसोईघर के आसपास पांच से आठ बेडरूम के क्लस्टर फ्लैटों में रहते हैं। फ्लैटमेट्स एक-दूसरे से गोपनीयता की उम्मीद करते हैं, इसलिए विभाजन प्रति बिस्तर है। अधिकांश बिस्तर प्रत्येक शैक्षणिक वर्ष की शुरुआत में बदलते हैं।

विकल्प A: प्रति बिस्तर एक VLAN।

• 800 निवासी VLANs।
• प्रति बिस्तर एक /27 में 17 स्पेयर के साथ 12 डिवाइस होते हैं, कुल 25,600 एड्रेस और एक /17 की आवश्यकता होती है।
• 800 DHCP स्कोप और 800 गेटवे इंटरफेस।
• प्रत्येक VLAN को प्रत्येक एक्सेस प्वाइंट पर ट्रंक किया गया है जिसका छात्र उपयोग कर सकता है, जिसका अर्थ है पूरी साइट।

विकल्प B: कुंजी द्वारा संचालित नीति।

• चेक-इन पर प्रत्येक छात्र को एक विशिष्ट कुंजी प्राप्त होती है।
• प्रति मंजिल एक साझा VLAN 32 निवासी VLANs देता है।
• प्रत्येक /23 300 डिवाइस (12 डिवाइस पर 25 छात्र) के मुकाबले 509 लीज प्रदान करता है, जिससे 209 स्पेयर बचते हैं।
• 32 /23 स्कोप एक /18 में फिट होते हैं।
• प्रति-कुंजी पृथक्करण एक्सेस प्वाइंट पर चलता है, जिसमें प्रति कुंजी एक mDNS गेटवे स्कोप होता है। प्रोक्सी ARP और मल्टीकास्ट-टू-यूनिकास्ट SSID पर चलते हैं।

क्या किया गया। विकल्प B। कुंजी प्रत्येक छात्र को उनके होम-फ्लोर VLAN से मैप करती है। कैफे में जाने वाला छात्र समान एड्रेस और नीति रखता है। सभी 32 VLANs को प्रत्येक एक्सेस प्वाइंट पर ट्रंक किया गया है, जो 800 की तुलना में बहुत हल्का लोड है।

परिणाम (डिजाइन आंकड़े)।

• 800 के बजाय 32 निवासी VLANs, 96% की कमी।
• 800 के बजाय 32 DHCP स्कोप।
• आधा एड्रेस स्थान: /17 के बजाय एक /18।
• हमारे कार्य नियम के भीतर लगभग 300 डिवाइसों का प्रत्येक ब्रॉडकास्ट डोमेन।
• वार्षिक बदलाव का अर्थ केवल कुंजियों को रद्द करना और पुन: जारी करना है, जिसमें कोई VLAN, स्कोप या ट्रंक परिवर्तन नहीं होता है।

व्यावहारिक परिदृश्य: एक 120-यूनिट अपार्टहोटल

स्थिति। छह मंजिलों में एक 120-अपार्टमेंट अपार्टहोटल, प्रति मंजिल 20 अपार्टमेंट। प्रवास एक से 14 रातों तक चलता है। मेहमान स्ट्रीमिंग स्टिक लाते हैं और अपने फोन से कास्ट करने की उम्मीद करते हैं। फ्रंट डेस्क चेक-इन पर WiFi एक्सेस जारी करता है।

क्या किया गया।

• प्रत्येक प्रवास को चेक-इन पर अपनी कुंजी प्राप्त होती है, जो प्रति-अपार्टमेंट नीति समूह से मैप की जाती है।
• छोटे प्रवास में कम डिवाइस होते हैं, इसलिए योजना प्रति मेहमान आठ डिवाइस और प्रति अपार्टमेंट दो मेहमानों का उपयोग करती है। वह प्रति मंजिल 320 डिवाइस है।
• प्रत्येक मंजिल को एक /23 VLAN मिलता है, जो 189 लीज स्पेयर छोड़ता है।
• डिजाइन चेकआउट पर प्रत्येक कुंजी को रद्द कर देता है।

परिणाम (डिजाइन आंकड़े)।

• 120 के बजाय छह निवासी VLANs, 95% की कमी।
• छह DHCP स्कोप।
• प्रवासों के बीच कोई VLAN परिवर्तन नहीं।
• प्रति-कुंजी mDNS स्कोप के माध्यम से प्रत्येक प्रवास के भीतर कास्टिंग काम करती है।

व्यापक अतिथि नेटवर्क स्थिति के लिए, हमारा Hotels पृष्ठ देखें।

प्रत्येक डिजाइन को चलाने में क्या लागत आती है

दोनों में से कोई भी डिजाइन आपके एक्सेस प्वाइंट की संख्या को नहीं बदलता है। वह डिवाइस घनत्व और कवरेज द्वारा निर्धारित होता है। चालू रखने की लागत उन ऑब्जेक्ट्स की संख्या है जिन्हें आप कॉन्फ़िगर, परिवर्तित और ट्रबलशूट करते हैं।

बनाए रखने के लिए आइटम	250-डोर BTR, प्रति अपार्टमेंट VLAN	800-बेड PBSA, प्रति बिस्तर VLAN	800-बेड PBSA, कुंजी द्वारा नीति
निवासी VLANs	250	800	32
DHCP स्कोप	250	800	32
लेयर 3 गेटवे इंटरफेस	250	800	32
निजी एड्रेस स्पेस	/18	/17	/18
प्रत्येक AP के लिए ट्रंक किए गए VLAN (6 इंफ्रास्ट्रक्चर के साथ)	256	806	38
आइसोलेशन लागू किया गया	गेटवे फ़ायरवॉल पर	गेटवे फ़ायरवॉल पर	एक्सेस पॉइंट या कंट्रोलर पर
निवासी टर्नओवर पर बदलाव	की (key) फिर से जारी करें	की (key) फिर से जारी करें	की (key) फिर से जारी करें

प्रति यूनिट एक VLAN के साथ, लागत चेंज मैनेजमेंट की होती है। प्रत्येक नया ब्लॉक पाथ में हर स्विच पर VLANs, स्कोप्स, गेटवे इंटरफेस, फ़ायरवॉल प्रविष्टियों और ट्रंक परिवर्तनों को जोड़ता है। उस काम को टेम्प्लेट करें और ऑटोमेट करें, अन्यथा यह अव्यवस्थित हो जाता है।

की (key) द्वारा ले जाई जाने वाली पॉलिसी के साथ, लागत कहीं और स्थानांतरित हो जाती है। आप अपने एक्सेस पॉइंट फर्मवेयर और लाइसेंस में प्रति-की (per-key) सुविधाओं पर निर्भर करते हैं। ट्रबलशूटिंग भी IP एड्रेस से RADIUS अकाउंटिंग लॉग्स में बदल जाती है, इसलिए अपनी सपोर्ट टीम को उन्हें पढ़ने के लिए प्रशिक्षित करें।

Purple Multi-Tenant WiFi आपके पास पहले से मौजूद हार्डवेयर पर क्लाउड ओवरले के रूप में चलता है। हमारा क्लाउड RADIUS प्रत्येक निवासी को एक की (key) जारी करता है और उनका VLAN या पॉलिसी लौटाता है। जॉइनर्स, मूवर्स और लीवर्स को एक ही पेन ऑफ ग्लास से संभाला जाता है। Purple इन सभी पर हार्डवेयर-एग्नॉस्टिक है:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme
• Fortinet

Purple के अपने डेटा के अनुसार, Purple 80,000+ लाइव स्थानों में चलता है और 2024 में 440 मिलियन लॉगिन संभाले हैं। Purple ISO 27001 प्रमाणित और GDPR अनुपालनकर्ता है। सेगमेंटेशन के लिए नए एक्सेस पॉइंट्स की आवश्यकता क्यों दुर्लभ ही होती है, यह जानने के लिए पढ़ें Why your next WiFi upgrade doesn't need new hardware।

अपनी संपत्ति के लिए निर्णय कैसे लें

आपकी स्थिति	सिफारिश	क्यों
लगभग 500 इकाइयों तक, वायर्ड पोर्ट, 12 महीने या उससे अधिक का किरायेदार	प्रति अपार्टमेंट VLAN	वायर्ड और WiFi एक सेगमेंट साझा करते हैं; ID का उपयोग 12% के आसपास रहता है
प्रति-बेड गोपनीयता और वार्षिक टर्नओवर वाला PBSA	की (key) द्वारा पॉलिसी, प्रति मंजिल एक साझा VLAN	800 बेड पर 96% कम VLANs; प्रत्येक इनटेक पर कोई पुनरियोजना नहीं
Aparthotel या सर्विस्ड अपार्टमेंट जिसमें कुछ दिनों का प्रवास हो	की (key) द्वारा पॉलिसी	की (key) प्रवास का अनुसरण करती है; VLAN मैप कभी नहीं बदलता
एक लेयर 2 कोर पर मल्टी-ब्लॉक कैंपस, 3,000 से अधिक सेगमेंट	प्रति इमारत रूटेड बाउंड्री, या VXLAN, फिर कोई भी मॉडल	प्रति लेयर 2 डोमेन में 4,094 IDs
एक ही साइट पर वायर्ड-पोर्ट अपार्टमेंट और क्लस्टर फ्लैट	हाइब्रिड: जहाँ पोर्ट मौजूद हैं वहाँ प्रति अपार्टमेंट VLAN, अन्य स्थानों पर की (key) द्वारा पॉलिसी	प्रत्येक मॉडल जहाँ उसकी ताकत लागू होती है
बिना प्रति-की (per-key) आइसोलेशन वाले एक्सेस पॉइंट्स	प्रति अपार्टमेंट VLAN, या फर्मवेयर या AP अपग्रेड की योजना बनाएं	आइसोलेशन को कहीं न कहीं लागू करना होगा

डिजाइन के लिए प्रतिबद्ध होने से पहले पांच चरणों के माध्यम से काम करें।

1. अपने सेगमेंट गिनें। इकाइयों या बेड को गिनें, फिर इंफ्रास्ट्रक्चर VLANs और किसी भी वायर्ड या IoT गुणक को जोड़ें। कुल की तुलना 4,094 से नहीं, बल्कि अपने स्पैनिंग ट्री, कंट्रोलर और गेटवे सीमाओं से करें।
2. अधिकतम अधिभोग से स्कोप का आकार तय करें। निवासियों को 12 डिवाइस से गुणा करें, फिर प्रत्येक स्कोप का कम से कम एक तिहाई हिस्सा खाली रखें।
3. अपने विक्रेता के साथ प्रति-की (per-key) सुविधाओं की पुष्टि करें। अपने फर्मवेयर पर प्रति-की PSK, प्रति-की VLAN असाइनमेंट, प्रति-की आइसोलेशन, स्कोप्ड mDNS और WPA3-Personal सपोर्ट की जांच करें।
4. घनत्व के लिए सर्वेक्षण करें। प्रति निवासी 8 से 12 डिवाइस एक्सेस प्वाइंट की संख्या बदल देते हैं। हमारी WiFi Site Surveys गाइड नियोजन को कवर करती है।
5. फ्लैट और सुविधाओं वाले स्थानों के बीच रोमिंग का परीक्षण करें। यदि निवासी मंजिलों के बीच आवाजाही करते हैं, तो 802.11r और 802.11k को ट्यून करें। विक्रेता-विशिष्ट सेटिंग्स के लिए 802.11r and 802.11k on Android देखें।

अक्सर पूछे जाने वाले प्रश्न

क्या Purple मल्टी-टेनेंट WiFi मेरे भवन में पहले से मौजूद एक्सेस पॉइंट के साथ काम करता है?

हाँ। Purple हार्डवेयर-अज्ञेयवादी है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर क्लाउड ओवरले के रूप में चलता है। आप अपने एक्सेस प्वाइंट और स्विच को बरकरार रखते हैं। Purple क्लाउड RADIUS और पहचान परत प्रदान करता है जो प्रत्येक निवासी को एक कुंजी जारी करता है और उनका VLAN या नीति लौटाता है। यदि आप नीति-आधारित विभाजन चुनते हैं, तो पुष्टि करें कि आपका फर्मवेयर प्रति-कुंजी PSK और प्रति-कुंजी अलगाव का समर्थन करता है।

क्या हम हार्डवेयर बदले बिना एक साझा भवन पासवर्ड से प्रति-इकाई कुंजियों पर स्थानांतरित हो सकते हैं?

हाँ, यदि आपके एक्सेस प्वाइंट प्रति-कुंजी PSK या डायनामिक VLAN असाइनमेंट का समर्थन करते हैं। Purple मौजूदा इंफ्रास्ट्रक्चर के शीर्ष पर काम करता है, इसलिए किसी उपकरण को हटाने या बदलने की आवश्यकता नहीं है। पुराने SSID के साथ नया निवासी SSID चलाएं, फिर निवासियों को एक-एक करके स्थानांतरित करें। अंतिम निवासी के स्थानांतरित होने के बाद साझा पासवर्ड को सेवानिवृत्त कर दें। पहले निवासी के स्विच करने से पहले अपने VLAN या नीति मानचित्र और DHCP स्कोप की योजना बनाएं।

एक MDU भवन कितने VLAN का समर्थन कर सकता है?

IEEE 802.1Q में 12-बिट VLAN ID द्वारा निर्धारित सीमा के अनुसार, प्रति लेयर 2 डोमेन 4,094 तक। व्यवहार में, स्पैनिंग ट्री इंस्टेंस सीमाएं, नियंत्रक VLAN सीमाएं और गेटवे इंटरफ़ेस गणनाएं आमतौर पर सबसे पहले सीमित करती हैं। छह इंफ्रास्ट्रक्चर VLAN वाला 250-डोर BTR प्रोजेक्ट 256 ID का उपयोग करता है। जिन परिसरों को अधिक की आवश्यकता है, उन्हें प्रत्येक भवन में एक रूटेड सीमा रखनी चाहिए या VXLAN पर जाना चाहिए।

क्या कुंजी-आधारित विभाजन प्रति अपार्टमेंट VLAN जितना ही सुरक्षित है?

हाँ, बशर्ते आपका प्लेटफ़ॉर्म एक्सेस पॉइंट या कंट्रोलर पर कुंजियों के बीच अलगाव लागू करता हो। अंतर प्रवर्तन बिंदु का है। एक प्रति-इकाई VLAN लेयर 3 गेटवे पर क्रॉस-यूनिट ट्रैफ़िक को रोकता है। कुंजी-आधारित नीति ट्रैफ़िक के एक्सेस पॉइंट छोड़ने से पहले ही इसे रोक देती है। किसी निवासी डिवाइस से इसका परीक्षण करें। पुष्टि करें कि आप किसी अन्य निवासी के डिवाइस तक नहीं पहुँच सकते या उनके कास्टिंग लक्ष्यों की खोज नहीं कर सकते।

क्या स्मार्ट टीवी, कंसोल और IoT डिवाइस एक विभाजित निवासी नेटवर्क पर काम करेंगे?

हाँ। दोनों डिज़ाइन एक प्री-शेयर की का उपयोग करते हैं, जो 802.1X समर्थन के बिना वाले डिवाइसों पर काम करता है, जैसे स्मार्ट टीवी, गेमिंग कंसोल और स्मार्ट स्पीकर। प्रत्येक निवासी के डिवाइस अपना स्वयं का VLAN या कुंजी समूह साझा करते हैं, इसलिए घर के अंदर कास्टिंग और प्रिंटिंग काम करती है। साझा VLAN पर, प्रति कुंजी स्कोप वाला एक mDNS गेटवे जोड़ें ताकि डिवाइस खोज प्रत्येक निवासी के लिए निजी रहे।

GDPR के तहत Purple निवासी डेटा को कैसे संभालता है?

Purple ISO 27001 प्रमाणित है और GDPR का अनुपालन करता है। प्रत्येक कुंजी क्लाउड RADIUS लेयर में एक निवासी रिकॉर्ड से जुड़ी होती है। RADIUS अकाउंटिंग यह लॉग करती है कि किस सत्र में कौन सी कुंजी और डिवाइस का उपयोग किया गया था, जो त्रुटि खोजने और पहुंच अनुरोधों का समर्थन करता है। जब कोई निवासी बाहर जाता है, तो आप उनकी कुंजी को रद्द कर देते हैं, और जॉइनर्स, मूवर्स और लीवर्स प्रक्रिया एकल ग्लास फलक से उनकी नेटवर्क पहुंच को बंद कर देती है।

जब कोई निवासी बाहर जाता है तो उसके उपकरणों का क्या होता है?

जब आप कुंजी या क्रेडेंशियल रद्द कर देते हैं तो वे अपनी पहुंच खो देते हैं। जहां आपके एक्सेस पॉइंट इसका समर्थन करते हैं, RADIUS डायनेमिक ऑथराइजेशन (RFC 5176) सक्रिय सत्रों को तुरंत डिस्कनेक्ट कर देता है। प्रति अपार्टमेंट VLAN के साथ, VLAN और DHCP स्कोप अगले निवासी के लिए यथावत रहते हैं। कुंजी-आधारित नीति के साथ, पुनरियोजना (re-plan) करने की कोई आवश्यकता नहीं है: आप नए निवासी को एक नई कुंजी जारी करते हैं।