Aruba ClearPass बनाम Purple WiFi: सुविधाओं और सह-तैनाती (Co-deployment) की तुलना

ब्रिटिश अंग्रेजी में एक आत्मविश्वासी, आधिकारिक और संवादात्मक लहजे में बात करें। आप एक वरिष्ठ नेटवर्क सलाहकार हैं जो एक क्लाइंट को जानकारी दे रहे हैं। नपी-तुली गति, स्पष्ट उच्चारण, पेशेवर लेकिन कठोर नहीं। जोर देने के लिए बीच-बीच में स्वाभाविक ठहराव लें: Purple के इस तकनीकी ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम उस प्रश्न पर चर्चा कर रहे हैं जो हमारे द्वारा काम किए जाने वाले लगभग हर एंटरप्राइज़ वायरलेस प्रोजेक्ट में सामने आता है: जब आपके पास पहले से ही Aruba ClearPass तैनात है, तो Purple WiFi कहाँ फिट बैठता है, और दोनों सिस्टम एक साथ मिलकर कैसे काम करते हैं? [medium pause] यह कोई सैद्धांतिक चर्चा नहीं है। यदि आप एक आईटी मैनेजर, एक नेटवर्क आर्किटेक्ट, या एक होटल ग्रुप, रिटेल चेन, या स्टेडियम ऑपरेटर में सुरक्षा इंजीनियर हैं, तो यह एक ऐसा निर्णय है जो आपको इसी तिमाही में लेना पड़ सकता है। तो चलिए इसके बारे में विस्तार से जानते हैं। [medium pause] परिचय और संदर्भ। [short pause] सबसे पहले, आइए स्पष्ट करें कि प्रत्येक प्लेटफ़ॉर्म वास्तव में किस काम के लिए डिज़ाइन किया गया है। Aruba ClearPass पॉलिसी मैनेजर एक नेटवर्क एक्सेस कंट्रोल प्लेटफ़ॉर्म है। इसका काम डिवाइस और उपयोगकर्ताओं को प्रमाणित करना, एंडपॉइंट पोस्चर का आकलन करना और आपके पूरे नेटवर्क में एक्सेस पॉलिसी लागू करना है। यह 802.1X को संभालता है, जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक है, जिसमें प्रमाणपत्रों के साथ EAP-TLS और उपयोगकर्ता नाम और पासवर्ड के साथ PEAP जैसे EAP तरीकों का उपयोग किया जाता है। यह Microsoft Entra ID, Okta और अन्य पहचान प्रदाताओं (Identity Providers) के साथ एकीकृत होता है। यह डिवाइसों का विश्लेषण करता है, जाँचता है कि वे आपकी सुरक्षा नीति के अनुकूल हैं या नहीं, और उन्हें सही नेटवर्क रोल सौंपता है। कॉर्पोरेट डिवाइसों के लिए, ClearPass बेहतरीन है। इसे ठीक इसी यूज़ केस के लिए बनाया गया था। [medium pause] Purple WiFi पूरी तरह से एक अलग चीज़ है। Purple एक क्लाउड-आधारित गेस्ट WiFi इंटेलिजेंस प्लेटफ़ॉर्म है। इसका काम एक ब्रांडेड Captive Portal के माध्यम से विजिटर्स को प्रमाणित करना, GDPR-अनुरूप सहमति प्रवाह (consent flows) के साथ फ़र्स्ट-पार्टी डेटा कैप्चर करना और उस डेटा को आपके मार्केटिंग और एनालिटिक्स स्टैक में फीड करना है। Purple दुनिया भर में 80,000 से अधिक वेन्यू में काम करता है और अकेले 2024 में 440 मिलियन लॉगिन प्रोसेस कर चुका है। यह CRM और मार्केटिंग ऑटोमेशन प्लेटफ़ॉर्म सहित 400 से अधिक कनेक्टर्स के साथ एकीकृत होता है। गेस्ट नेटवर्क के लिए, Purple विशेषज्ञ है। [medium pause] अधिकांश संगठनों के सामने समस्या यह आती है कि वे दोनों काम करने के लिए एक ही प्लेटफ़ॉर्म का उपयोग करने का प्रयास करते हैं। या तो वे ClearPass को अपना गेस्ट पोर्टल चलाने के लिए कहते हैं, जो यह कर तो सकता है लेकिन उतने बेहतर ढंग से नहीं, या वे अपने मौजूदा NAC निवेश के साथ यह सोचे बिना Purple को तैनात कर देते हैं कि यह कैसे काम करेगा। सही उत्तर एक सह-तैनाती (co-deployment) आर्किटेक्चर है जहाँ प्रत्येक प्लेटफ़ॉर्म वह काम करता है जो वह सबसे अच्छा करता है। [medium pause] तकनीकी गहन विश्लेषण (Technical deep-dive)। [short pause] आइए मैं आपको आर्किटेक्चर समझाता हूँ। एक सह-तैनाती में, आपका Aruba मोबिलिटी कंट्रोलर या Aruba इंस्टेंट एक्सेस पॉइंट कई SSIDs ब्रॉडकास्ट करते हैं। आमतौर पर तीन: एक कॉर्पोरेट डिवाइसों के लिए, एक गेस्ट के लिए, और एक IoT के लिए। इस SSID डिज़ाइन पैटर्न के बारे में अधिक जानने के लिए, Purple ने 'थ्री SSIDs टू रूल देम ऑल' (Three SSIDs to rule them all) नाम से एक विस्तृत गाइड प्रकाशित किया है, जिसे मैं इस ब्रीफिंग के साथ पढ़ने की सलाह दूँगा। [medium pause] कॉरपोरेट SSID EAP-TLS के साथ 802.1X का उपयोग करता है। डिवाइस ClearPass Onboard के माध्यम से प्रोविज़न किए गए सर्टिफिकेट का उपयोग करके प्रमाणित होते हैं, जो ClearPass का इन-बिल्ट सर्टिफिकेट एनरोलमेंट और डिवाइस प्रोविजनिंग मॉड्यूल है। ClearPass डिवाइस पॉस्चर की जांच करता है, सर्टिफिकेट को सत्यापित करता है, Active Directory या Microsoft Entra ID से क्वेरी करता है, और डिवाइस को उपयुक्त VLAN में असाइन करता है। आमतौर पर कॉरपोरेट के लिए VLAN 10। यह पूरा फ्लो ClearPass के भीतर ही रहता है। Purple इसमें शामिल नहीं है। [medium pause] गेस्ट SSID वह जगह है जहां इंटीग्रेशन होता है। जब कोई विज़िटर गेस्ट SSID से कनेक्ट होता है, तो Aruba कंट्रोलर उनके HTTP ट्रैफ़िक को इंटरसेप्ट करता है और उनके ब्राउज़र को Purple के Captive Portal पर रीडायरेक्ट करता है। विज़िटर Purple के माध्यम से प्रमाणित होता है, शायद Google के माध्यम से सोशल लॉगिन, एक कस्टम ईमेल फ़ॉर्म, या OpenRoaming का उपयोग करके, जहां Purple Connect लाइसेंस के तहत एक फ्री आइडेंटिटी प्रोवाइडर के रूप में कार्य करता है। एक बार जब Purple विज़िटर को वैलिडेट कर लेता है, तो यह कंट्रोलर को वापस एक RADIUS Access-Accept संदेश भेजता है, जो इंटरनेट एक्सेस प्रदान करता है। [medium pause] अब, मुख्य आर्किटेक्चरल निर्णय यह है कि क्या आप कंट्रोलर और Purple के बीच RADIUS प्रॉक्सी के रूप में ClearPass को इन्सर्ट करते हैं, या कंट्रोलर सीधे Purple के RADIUS सर्वर से बात करता है। अधिकांश एंटरप्राइज डेप्लॉयमेंट के लिए, प्रॉक्सी मॉडल सही विकल्प है। यहाँ जानिए क्यों। [medium pause] RADIUS प्रॉक्सी के रूप में ClearPass के साथ, आपके नेटवर्क पर प्रत्येक ऑथेंटिकेशन इवेंट, कॉरपोरेट और गेस्ट दोनों, ClearPass के माध्यम से प्रवाहित होता है। आपको एक सिंगल ऑडिट ट्रेल मिलती है। आपकी सिक्योरिटी ऑपरेशन्स टीम को सब कुछ एक ही जगह पर दिखाई देता है। ClearPass कंट्रोलर को रिस्पॉन्स वापस करने से पहले अपनी खुद की पॉलिसी एट्रिब्यूट्स जोड़ सकता है, जिससे रोल के आधार पर डायनेमिक VLAN असाइनमेंट सक्षम होता है। और आप गेस्ट सेशन पर अतिरिक्त पॉलिसियां लागू करने की क्षमता बनाए रखते हैं, जैसे कि बैंडविड्थ सीमाएं या समय-आधारित एक्सेस प्रतिबंध। एक आत्मविश्वासी, आधिकारिक और संवादात्मक टोन के साथ ब्रिटिश इंग्लिश में बोलें। आप एक क्लाइंट को ब्रीफिंग देने वाले एक सीनियर नेटवर्क कंसलटेंट हैं। नपा-तुला पेस, स्पष्ट डिक्शन, पेशेवर लेकिन रूखा नहीं: ClearPass में प्रॉक्सी कॉन्फ़िगरेशन सीधा और सरल है। आप एक RADIUS Routing Policy बनाते हैं जो NAS आइडेंटिफायर या कॉल्ड स्टेशन ID द्वारा गेस्ट SSID से मेल खाती है। उस पॉलिसी से मेल खाने वाले रिक्वेस्ट को Purple के क्लाउड RADIUS सर्वर पर फॉरवर्ड कर दिया जाता है। Purple प्रतिक्रिया देता है, ClearPass Aruba-User-Role वेंडर-विशिष्ट एट्रिब्यूट जोड़ता है, और कंट्रोलर गेस्ट को केवल इंटरनेट एक्सेस के साथ VLAN 20 में रखता है। [medium pause] IoT डिवाइस के लिए, तीसरा SSID MAC ऑथेंटिकेशन बाईपास का उपयोग करता है। ClearPass डिवाइस को उसके OUI (MAC एड्रेस के पहले छह कैरेक्टर जो निर्माता की पहचान करते हैं) का उपयोग करके प्रोफाइल करता है, और इसे ROLE_IOT में असाइन करता है, जो VLAN 30 पर मैप होता है। इस VLAN के पास कोई इंटरनेट एक्सेस नहीं है, केवल लोकल कनेक्टिविटी है। आपके स्मार्ट TV, थर्मोस्टेट और डोर लॉक कॉरपोरेट और गेस्ट दोनों ट्रैफ़िक से पूरी तरह से अलग रहते हैं। [medium pause] आइए अनुपालन (compliance) के बारे में बात करते हैं, क्योंकि यहीं पर यह आर्किटेक्चर अपनी उपयोगिता साबित करता है। PCI DSS के तहत, कार्डधारक के डेटा को छूने वाले किसी भी नेटवर्क सेगमेंट को गेस्ट नेटवर्क से अलग किया जाना चाहिए। इस आर्किटेक्चर में VLAN सेगमेंटेशन उस आवश्यकता को पूरा करता है। GDPR के तहत, Purple का captive portal जागरूक-विकल्प (conscious-choice) ऑप्ट-इन के साथ सहमति एकत्र करने का काम संभालता है, जिसका अर्थ है कि विज़िटर डिफ़ॉल्ट रूप से अपना डेटा एकत्र किए जाने के बजाय सक्रिय रूप से उसे साझा करना चुनते हैं। Purple ISO 27001 प्रमाणित है, GDPR अनुपालन करता है, और इसके पास Cyber Essentials सर्टिफिकेशन है। ClearPass वह ऑडिट ट्रेल प्रदान करता है जिसकी आपकी सुरक्षा टीम को अनुपालन रिपोर्टिंग के लिए आवश्यकता होती है। [medium pause] कार्यान्वयन (Implementation) सिफारिशें और कमियां। [short pause] आइए मैं आपको पांच ऐसी चीजें बताता हूं जो इस डिप्लॉयमेंट में सबसे अधिक गलत होती हैं, और उनसे कैसे बचा जाए। [medium pause] नंबर एक: walled garden। विज़िटर द्वारा प्रमाणित (authenticate) करने से पहले, Aruba कंट्रोलर केवल डेस्टिनेशन की एक पूर्व-निर्धारित सूची में ट्रैफ़िक की अनुमति देता है। यदि Purple के पोर्टल डोमेन, इसके CDN एंडपॉइंट और सोशल लॉगिन प्रदाता डोमेन उस सूची में नहीं हैं, तो पोर्टल लोड नहीं होगा। आपको star dot purple dot ai, star dot cloudfront dot net, और आप जिन भी सोशल लॉगिन प्रदाताओं को सक्षम कर रहे हैं उनके लिए OAuth डोमेन शामिल करने की आवश्यकता है। Google, Facebook, Apple और Microsoft Entra ID सभी के अपने डोमेन सेट हैं। walled garden को एक सक्रिय कॉन्फ़िगरेशन के रूप में मानें, क्योंकि सोशल लॉगिन प्रदाता समय-समय पर अपने CDN डोमेन बदलते रहते हैं। [medium pause] नंबर दो: RADIUS टाइमआउट। अधिकांश Aruba कंट्रोलर पर डिफ़ॉल्ट RADIUS टाइमआउट तीन सेकंड होता है। एक प्रॉक्सी आर्किटेक्चर में, अनुरोध एक्सेस पॉइंट से कंट्रोलर, फिर ClearPass, इंटरनेट के माध्यम से Purple के क्लाउड RADIUS और फिर वापस यात्रा करता है। एक व्यस्त (congested) नेटवर्क पर, इस राउंड ट्रिप में तीन सेकंड से अधिक का समय लग सकता है। अपने टाइमआउट को कम से कम दस सेकंड पर सेट करें और कम से कम दो रीट्राय के साथ रीट्राय लॉजिक को कॉन्फ़िगर करें। [medium pause] नंबर तीन: shared secret मिसमैच। Aruba कंट्रोलर और ClearPass के बीच का shared secret बिल्कुल मेल खाना चाहिए। ClearPass और Purple के RADIUS सर्वर के बीच का shared secret भी बिल्कुल मेल खाना चाहिए। एक भी कैरेक्टर का अंतर विज़िटर को बिना किसी सार्थक त्रुटि संदेश (error message) के मूक प्रमाणीकरण विफलता (silent authentication failure) का कारण बनता है। हमेशा इन्हें कैरेक्टर दर कैरेक्टर सत्यापित करें। [medium pause] नंबर चार: रोल नाम केस संवेदनशीलता (case sensitivity)। ClearPass द्वारा लौटाया गया Aruba-User-Role एट्रिब्यूट Aruba कंट्रोलर पर परिभाषित रोल नाम से बिल्कुल मेल खाना चाहिए, जिसमें कैपिटलाइजेशन भी शामिल है। यदि ClearPass guest-authenticated लौटाता है लेकिन कंट्रोलर पर Guest-Authenticated परिभाषित है, तो विज़िटर बिना इंटरनेट एक्सेस वाले डिफ़ॉल्ट लॉगऑन रोल पर वापस आ जाता है। [medium pause] नंबर पांच: RADIUS accounting। कई परिनियोजन (deployments) ऑथेंटिकेशन प्रॉक्सीइंग को सही ढंग से कॉन्फ़िगर करते हैं लेकिन एकाउंटिंग को भी प्रॉक्सी करना भूल जाते हैं। Purple सत्र की अवधि (session duration), डेटा उपयोग को ट्रैक करने और अपने एनालिटिक्स डैशबोर्ड को पॉप्युलेट करने के लिए RADIUS accounting डेटा का उपयोग करता है। यदि एकाउंटिंग Purple में प्रवाहित नहीं हो रही है, तो आपके फुटफॉल एनालिटिक्स और ड्वेल टाइम (dwell time) रिपोर्ट अपूर्ण रहेंगे। [medium pause] रैपिड-फायर प्रश्न। [short pause] क्या मैं इसे पूर्ण Mobility Controller के बजाय Aruba Instant पर चला सकता हूँ? हाँ। Aruba Instant बाहरी RADIUS सर्वर और Captive Portal रीडायरेक्ट का समर्थन करता है। कॉन्फ़िगरेशन थोड़ा भिन्न होता है लेकिन सिद्धांत समान हैं। [medium pause] क्या Purple Change of Authorisation का समर्थन करता है? हाँ। CoA कंट्रोलर को किसी विज़िटर के सत्र को बिना दोबारा कनेक्ट किए गतिशील रूप से अपडेट करने की अनुमति देता है। यह समय-सीमित एक्सेस या टियर अपग्रेड के लिए उपयोगी है। [medium pause] क्या यह WPA3 के साथ काम करता है? हाँ। व्यक्तिगत नेटवर्क के लिए WPA3-SAE और 802.1X के लिए WPA3-Enterprise दोनों समर्थित हैं। Captive Portals का उपयोग करने वाले गेस्ट नेटवर्क के लिए, WPA3-SAE या Opportunistic Wireless Encryption के साथ एक ओपन SSID सामान्य विकल्प हैं। [medium pause] क्या मैं कर्मचारियों और मेहमानों दोनों के लिए एकल SSID का उपयोग कर सकता हूँ? आप कर सकते हैं, लेकिन यह जटिलता बढ़ाता है। ClearPass एक ही SSID पर 802.1X और MAC ऑथेंटिकेशन दोनों को संभालता है, ट्रैफ़िक प्रकारों में अंतर करने और तदनुसार रूट करने के लिए सर्विस रूल्स का उपयोग करता है। अधिकांश स्थानों के लिए, अलग SSID अधिक स्पष्ट विकल्प हैं। [medium pause] सारांश और अगले कदम। [short pause] ClearPass और Purple पूरक हैं, प्रतिस्पर्धी नहीं। ClearPass कॉर्पोरेट उपकरणों के लिए आपका पॉलिसी इंजन है: 802.1X, एंडपॉइंट पोस्चर, सर्टिफिकेट मैनेजमेंट और एकीकृत ऑडिट ट्रेल। Purple आपका गेस्ट इंटेलिजेंस प्लेटफॉर्म है: ब्रांडेड Captive Portal, GDPR-अनुरूप डेटा कैप्चर, फुटफॉल एनालिटिक्स और मार्केटिंग ऑटोमेशन। [medium pause] सह-परिनियोजन आर्किटेक्चर ClearPass को RADIUS प्रॉक्सी के रूप में उपयोग करता है। सभी ऑथेंटिकेशन अनुरोध ClearPass के माध्यम से प्रवाहित होते हैं। गेस्ट अनुरोधों को Purple के क्लाउड RADIUS पर रूट किया जाता है। कॉर्पोरेट अनुरोधों को ClearPass द्वारा स्थानीय रूप से संभाला जाता है। Aruba कंट्रोलर डायनेमिक VLAN असाइनमेंट के माध्यम से परिणामी नीतियों को लागू करता है। [medium pause] तीन कॉन्फ़िगरेशन तत्व जिन्हें आपको सही करना होगा वे हैं: वॉल्ड गार्डन, RADIUS टाइमआउट, और रोल नेम कंसिस्टेंसी। इन्हें सही करें, और आपके पास एक अनुपालन (compliant), व्यावसायिक रूप से मूल्यवान गेस्ट WiFi परिनियोजन होगा जो आपकी कॉर्पोरेट सुरक्षा स्थिति से समझौता नहीं करता है। [medium pause] आपके अगले कदमों के लिए: Purple डैशबोर्ड से अपने Purple वेन्यू RADIUS क्रेडेंशियल प्राप्त करें, साथ में दी गई लिखित गाइड में वॉल्ड गार्डन संदर्भ सूची की समीक्षा करें, और प्रोडक्शन में रोल आउट करने से पहले एक समर्पित परीक्षण डिवाइस के साथ पूर्ण ऑथेंटिकेशन फ्लो का परीक्षण करें। यदि आप इसे कई साइटों पर तैनात कर रहे हैं, तो Purple का मल्टी-साइट मैनेजमेंट कंसोल आपको एकल इंटरफ़ेस से आपके संपूर्ण एस्टेट में Captive Portal कॉन्फ़िगरेशन, ब्रांडिंग और एनालिटिक्स को प्रबंधित करने की अनुमति देता है। [medium pause] सुनने के लिए धन्यवाद। अपने विशिष्ट डिप्लॉयमेंट के बारे में सॉल्यूशंस आर्किटेक्ट से बात करने के लिए purple dot ai पर जाएं।