कैप्टिव पोर्टल आर्किटेक्चर: सुरक्षा, रीडायरेक्शन और सर्वोत्तम प्रथाएं

एक आश्वस्त, आधिकारिक और संवादात्मक लहजे के साथ ब्रिटिश अंग्रेजी में बोलें - जैसे कोई वरिष्ठ नेटवर्क सलाहकार कॉफी पर किसी क्लाइंट को जानकारी दे रहा हो। मापी गई गति, स्पष्ट उच्चारण, कोई जल्दबाजी नहीं। जोर देने के लिए बीच-बीच में स्वाभाविक ठहराव। पेशेवर लेकिन रूखा नहीं: Purple टेक्निकल ब्रीफिंग में स्वागत है। मैं आपका होस्ट हूँ, और आज हम कैप्टिव पोर्टल आर्किटेक्चर पर गहराई से चर्चा कर रहे हैं - विशेष रूप से सुरक्षा मॉडल, रीडायरेक्शन मैकेनिक्स, और उन डिज़ाइन निर्णयों पर जो एक अनुपालन करने वाले, अच्छी तरह से इंजीनियर किए गए परिनियोजन (deployment) को उस परिनियोजन से अलग करते हैं जो आपको सुबह तीन बजे परेशानी में डाल सकता है। [medium pause] आइए स्थिति को समझें। आप किसी होटल चेन, रिटेल एस्टेट या स्टेडियम में गेस्ट WiFi चला रहे हैं। हर दिन हजारों डिवाइस कनेक्ट होते हैं। उनमें से कुछ डिवाइस में मैलवेयर हो सकता है। कुछ उपयोगकर्ता ऐसी सामग्री तक पहुँचने का प्रयास करेंगे जो उन्हें नहीं करनी चाहिए। और आपकी कानूनी टीम लिखित में यह जानना चाहती है कि आपने व्यक्तिगत डेटा का एक भी बाइट स्टोर करने से पहले वैध सहमति ली है। [medium pause] यह वही समस्या है जिसे हल करने के लिए कैप्टिव पोर्टल आर्किटेक्चर को डिज़ाइन किया गया है। आइए विश्लेषण करें कि यह वास्तव में कैसे काम करता है। [medium pause] भाग एक। रीडायरेक्शन चेन। जब कोई गेस्ट डिवाइस आपके WiFi SSID से कनेक्ट होता है, तो उसे एक समर्पित गेस्ट VLAN - मान लेते हैं VLAN 20 - पर DHCP पूल से एक IP एड्रेस मिलता है। आपके कॉर्पोरेट डिवाइस VLAN 10 पर हैं। ये दोनों VLAN कभी भी एक-दूसरे से रूट नहीं होने चाहिए। PCI-DSS के दृष्टिकोण से, और स्पष्ट रूप से बुनियादी सुरक्षा के दृष्टिकोण से भी, यह गैर-परक्राम्य (non-negotiable) है। अब, डिवाइस कनेक्ट हो गया है, लेकिन इसने अभी तक ऑथेंटिकेट नहीं किया है। कंट्रोलर इसे उस स्थिति में रखता है जिसे हम प्री-ऑथेंटिकेशन स्थिति कहते हैं। डिवाइस केवल डोमेन की एक छोटी व्हाइटलिस्ट - यानी वॉल्ड गार्डन - तक ही पहुँच सकता है। बाकी सब कुछ इंटरसेप्ट कर लिया जाता है। यहाँ एक समझदारी भरा काम होता है। जब डिवाइस किसी वेबपेज को लोड करने का प्रयास करता है - या जब ऑपरेटिंग सिस्टम अपना कैप्टिव पोर्टल डिटेक्शन चेक करता है, जो iOS स्वचालित रूप से captive.apple.com पर जाकर करता है - तो गेटवे पर DNS रिज़ॉल्वर वास्तविक गंतव्य के बजाय कैप्टिव पोर्टल सर्वर का IP एड्रेस लौटाता है। ब्राउज़र उस रीडायरेक्ट का अनुसरण करता है और आपके स्प्लैश पेज पर पहुँच जाता है। [medium pause] यह लेयर 3 और लेयर 7 का मिलकर काम करना है। VLAN नेटवर्क आइसोलेशन को संभालता है। DNS इंटरसेप्ट रीडायरेक्ट को संभालता है। और कैप्टिव पोर्टल पहचान और सहमति लेयर को संभालता है। तीन अलग-अलग तंत्र, सभी क्रम में काम कर रहे हैं। [medium pause] भाग दो। ऑथेंटिकेशन और RADIUS। एक बार जब मेहमान स्प्लैश पेज के साथ इंटरैक्ट करता है - चाहे वह नियम और शर्तों को स्वीकार करना हो, ईमेल पता दर्ज करना हो, सोशल लॉगिन के माध्यम से ऑथेंटिकेट करना हो, या SMS कोड सत्यापित करना हो - प्लेटफॉर्म को उस विशिष्ट डिवाइस के लिए फ़ायरवॉल खोलने के लिए नेटवर्क कंट्रोलर को बताना होगा। यहीं पर RADIUS काम आता है। RADIUS का मतलब रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस है। यह RFC 2865 में परिभाषित एक प्रोटोकॉल है, और यह पॉलिसी सर्वर और नेटवर्क एक्सेस डिवाइस के बीच ऑथेंटिकेशन निर्णयों को संप्रेषित करने के लिए उद्योग का मानक है। Purple क्लाउड-होस्टेड RADIUS सर्वर के रूप में काम करता है। जब कोई मेहमान कैप्टिव पोर्टल फ्लो को पूरा करता है, तो Purple स्थानीय WiFi कंट्रोलर को एक RADIUS Access-Accept संदेश भेजता - चाहे वह Cisco Meraki हो, HPE Aruba कंट्रोलर हो, Ruckus SmartZone हो, या Juniper Mist एक्सेस पॉइंट हो। कंट्रोलर उस संदेश को प्राप्त करता है और गेस्ट डिवाइस को प्री-ऑथेंटिकेशन स्थिति से ऑथराइज्ड स्थिति में बदल देता है, जिससे फ़ायरवॉल नियम खुल जाते हैं और इंटरनेट एक्सेस मिल जाता है। [medium pause] RADIUS का एक महत्वपूर्ण विस्तार है जिसके बारे में आपको जानना चाहिए: Change of Authorisation, या CoA। CoA RADIUS सर्वर को पहले से सक्रिय सेशन को रद्द करने या संशोधित करने के लिए कंट्रोलर को मिड-सेशन संदेश भेजने की अनुमति देता है। Purple सेशन टाइमआउट लागू करने, नीति उल्लंघनों के लिए चिह्नित किए गए उपकरणों को डिस्कनेक्ट करने और GDPR के तहत डेटा मिटाने के अधिकार (right-to-erasure) के वर्कफ़्लो का समर्थन करने के लिए CoA का उपयोग करता है - जहाँ एक उपयोगकर्ता अपना डेटा हटाने का अनुरोध करता है, और Purple तुरंत उनके सक्रिय सेशन को रद्द कर सकता है। [medium pause] भाग तीन। वॉल्ड गार्डन। वॉल्ड गार्डन IP एड्रेस और डोमेन नामों की एक व्हाइटलिस्ट है, जहाँ अनऑथेंटिकेटेड डिवाइस कैप्टिव पोर्टल फ्लो पूरा करने से पहले पहुँच सकते हैं। इसे गलत करने पर आपका स्प्लैश पेज लोड नहीं होगा। इसे बहुत गलत करने पर आप एक सुरक्षा अंतर (security gap) पैदा कर देंगे। कम से कम, आपके वॉल्ड गार्डन में कैप्टिव पोर्टल URL, पोर्टल के एसेट की सेवा करने वाले कोई भी CDN एंडपॉइंट और आपके द्वारा उपयोग किए जा रहे किसी भी सोशल लॉगिन प्रदाता - Google, Facebook, Microsoft - के लिए ऑथेंटिकेशन एंडपॉइंट शामिल होने चाहिए। यदि आप SMS सत्यापन का उपयोग कर रहे हैं, तो आपको SMS गेटवे के API एंडपॉइंट को व्हाइटलिस्ट करना होगा। अधिकांश परिनियोजनों को प्रभावित करने वाली समस्या डायनेमिक IP एड्रेस है। क्लाउड सेवाओं में हमेशा स्टैटिक IP नहीं होते हैं। यदि आप डोमेन के बजाय IP को व्हाइटलिस्ट करते हैं, और वह IP बदल जाता है, तो आपका पोर्टल काम करना बंद कर देता है। जहाँ भी आपका कंट्रोलर इसका समर्थन करता है, डोमेन-आधारित व्हाइटलिस्टिंग का उपयोग करें और हर बदलाव के बाद परीक्षण करें। [medium pause] भाग चार। सुरक्षा डिज़ाइन। आइए सुरक्षा आर्किटेक्चर के बारे में अधिक विस्तार से बात करें, क्योंकि यहीं पर अधिकांश परिनियोजनों में कमियां होती हैं। पहला: क्लाइंट आइसोलेशन। इसे सक्षम करें। यह एक्सेस पॉइंट पर एक सेटिंग है जो गेस्ट डिवाइसेस को वायरलेस माध्यम से एक-दूसरे के साथ सीधे संवाद करने से रोकती है। इसके बिना, आपके गेस्ट नेटवर्क पर एक संक्रमित डिवाइस अन्य गेस्ट डिवाइसेस की जांच कर सकता है और उन पर हमला कर सकता है। यह एक-चेकबॉक्स का समाधान है जो पीयर-टू-पीयर हमलों की एक पूरी श्रेणी को समाप्त कर देता है। दूसरा: DHCP लीज टाइम। एक उच्च-टर्नओवर वाले वेन्यू में - जैसे ट्रांसपोर्ट हब, स्टेडियम, या व्यस्त रिटेल स्टोर - आपको कम लीज टाइम की आवश्यकता होती है। तीस से साठ मिनट। यदि आप डिफ़ॉल्ट को चौबीस घंटे पर छोड़ देते हैं और मैच के दिन दस हजार डिवाइस कनेक्ट होते हैं, तो आप हाफ-टाइम से पहले ही अपना IP एड्रेस पूल समाप्त कर देंगे। नए डिवाइस कनेक्ट नहीं होंगे। आपकी ऑपरेशन्स टीम को शिकायतें मिलेंगी। लीज टाइम को कम रखें। तीसरा: एन्क्रिप्शन। आपका कैप्टिव पोर्टल एक वैध TLS सर्टिफिकेट के साथ HTTPS पर परोसा जाना चाहिए। यदि इसे HTTP पर परोसा जाता है, तो आधुनिक ब्राउज़र इसे असुरक्षित के रूप में चिह्नित करेंगे, उपयोगकर्ता इस पर अविश्वास करेंगे, और आप क्रेडेंशियल को प्लेनटेक्स्ट में प्रसारित कर रहे होंगे। कम से कम TLS 1.2 का उपयोग करें; TLS 1.3 को प्राथमिकता दी जाती है। WiFi ट्रांसपोर्ट लेयर को WPA2-AES या WPA3 का उपयोग करना चाहिए - कभी भी WEP या TKIP का नहीं। चौथा: VLAN सेगमेंटेशन। आपका गेस्ट VLAN भुगतान कार्ड डेटा को छूने वाले किसी भी नेटवर्क सेगमेंट से पूरी तरह से अलग होना चाहिए। PCI-DSS संस्करण 4.0 इस पर स्पष्ट है। यदि आपका गेस्ट नेटवर्क पॉइंट-ऑफ-सेल सिस्टम वाले सबनेट पर रूट हो सकता है, तो आपका पूरा POS नेटवर्क PCI ऑडिट के दायरे में आ जाता है। यह एक महत्वपूर्ण अनुपालन बोझ है। पहले दिन से ही सही ढंग से सेगमेंट करें। [medium pause] भाग पांच। GDPR और डेटा अनुपालन। व्यक्तिगत डेटा एकत्र करने वाले प्रत्येक कैप्टिव पोर्टल को - और ईमेल पता, फोन नंबर और सोशल लॉगिन सभी GDPR के तहत व्यक्तिगत डेटा माने जाते हैं - विशिष्ट आवश्यकताओं को पूरा करना होगा। आपको प्रोसेसिंग के लिए एक कानूनी आधार की आवश्यकता है। गेस्ट WiFi के लिए, यह आमतौर पर सहमति होती है। सहमति स्वतंत्र रूप से दी गई, विशिष्ट, सूचित और स्पष्ट होनी चाहिए। पहले से टिक किए गए बॉक्स मान्य नहीं होते हैं। WiFi सहमति को मार्केटिंग सहमति के साथ जोड़ना मान्य नहीं है। Purple का सचेत-विकल्प ऑप्ट-इन मॉडल नेटवर्क एक्सेस सहमति को मार्केटिंग सहमति से अलग करता है, ताकि मेहमान मार्केटिंग ईमेल स्वीकार करने के लिए मजबूर हुए बिना ऑनलाइन हो सकें। आपको यह दस्तावेज तैयार करना होगा कि आप कौन सा डेटा एकत्र करते हैं, क्यों एकत्र करते हैं, यह कहाँ संग्रहीत है, और आप इसे कितने समय तक रखते हैं। Purple ISO 27001 प्रमाणित, GDPR अनुपालन, CCPA अनुपालन और Cyber Essentials प्रमाणित है। प्लेटफॉर्म प्रलेखित प्रतिधारण नीतियों के साथ अनुपालन करने वाले डेटा केंद्रों में डेटा संग्रहीत करता है। और आपको डेटा मिटाने के अधिकार (right-to-erasure) के वर्कफ़्लो की आवश्यकता है। यदि कोई मेहमान अपना डेटा हटाने का अनुरोध करता है, तो आपको तीस दिनों के भीतर उस पर कार्रवाई करने में सक्षम होना चाहिए। Purple का प्लेटफॉर्म मूल रूप से इसका समर्थन करता है, और जिस RADIUS CoA तंत्र का मैंने पहले उल्लेख किया था, उसका अर्थ है कि आप एक ही समय में सक्रिय सेशन को रद्द कर सकते हैं। [medium pause] अब आइए कार्यान्वयन सिफारिशों और उन कमियों पर चलते हैं जिन्हें हम अक्सर देखते हैं। [medium pause] पहली कमी: गलत तरीके से कॉन्फ़िगर किया गया वॉल्ड गार्डन। स्प्लैश पेज लोड होता है, लेकिन सोशल लॉगिन बटन काम नहीं करता है। या पेज लोड होता है लेकिन लोगो दिखाई नहीं देता क्योंकि CDN डोमेन व्हाइटलिस्ट नहीं है। लाइव होने से पहले बिना किसी कैश्ड DNS वाले नए डिवाइस पर अपने वॉल्ड गार्डन का परीक्षण करें। दूसरी कमी: साझा PSK। कुछ वेन्यू अभी भी चॉकबोर्ड पर लिखे एक ही WiFi पासवर्ड का उपयोग करते हैं। यह कैप्टिव पोर्टल नहीं है - यह एक साझा रहस्य है जिसे कोई भी फोटो खींचकर साझा कर सकता है। यह आपको कोई पहचान डेटा, कोई सहमति रिकॉर्ड और व्यक्तिगत एक्सेस को रद्द करने की कोई क्षमता नहीं देता है। इसे एक प्रबंधित कैप्टिव पोर्टल से बदलें। तीसरी कमी: अपर्याप्त DHCP पूल साइजिंग। मैंने इसे कवर किया है, लेकिन इसे दोहराना जरूरी है। अपने DHCP पूल का आकार औसत कनेक्शन के लिए नहीं, बल्कि पीक समवर्ती कनेक्शन के लिए निर्धारित करें। चालीस हजार प्रशंसकों वाले स्टेडियम में, आपके पास एक साथ कनेक्ट होने का प्रयास करने वाले बीस हजार डिवाइस हो सकते हैं। तदनुसार योजना बनाएं। चौथी कमी: कोई सेशन टाइमआउट न होना। सेशन टाइमआउट के बिना, छह महीने पहले कनेक्ट हुआ और कभी वापस नहीं आया डिवाइस अभी भी आपके कंट्रोलर में एक ऑथराइज्ड सेशन स्थिति रखता है। यह एक पुराना रिकॉर्ड है जो संसाधनों को बर्बाद करता है और ऑडिट में बाधा डालता है। सेशन टाइमआउट सेट करें। तीस मिनट की निष्क्रियता एक उचित डिफ़ॉल्ट है। [medium pause] त्वरित प्रश्न और उत्तर। प्रश्न: क्या कैप्टिव पोर्टल सभी उपकरणों पर काम करता है? उत्तर: आधुनिक ऑपरेटिंग सिस्टम - iOS, Android, Windows, macOS - सभी में कैप्टिव पोर्टल डिटेक्शन अंतर्निहित होता है। वे रीडायरेट का पता लगाते हैं और पोर्टल को स्वचालित रूप से प्रस्तुत करते हैं। पुराने उपकरणों के लिए उपयोगकर्ता को मैन्युअल रूप से ब्राउज़र खोलने की आवश्यकता हो सकती है। Purple का प्लेटफॉर्म दोनों फ्लो को संभालता है। प्रश्न: क्या हम 802.1X के साथ कैप्टिव पोर्टल का उपयोग कर सकते हैं? उत्तर: हाँ। कई एंटरप्राइज परिनियोजन स्टाफ उपकरणों के लिए 802.1X का उपयोग करते हैं - जहाँ सर्टिफिकेट या क्रेडेंशियल स्वचालित रूप से ऑथेंटिकेट होते हैं - और एक अलग SSID पर गेस्ट उपकरणों के लिए कैप्टिव पोर्टल का उपयोग करते हैं। Purple ऐसे RADIUS बुनियादी ढांचे के साथ एकीकृत होता है जो दोनों फ्लो का एक साथ समर्थन करता है। प्रश्न: OpenRoaming के बारे में क्या ख्याल है? उत्तर: OpenRoaming एक मानक है जो उपकरणों को कैप्टिव पोर्टल को पूरी तरह से बायपास करते हुए, सर्टिफिकेट-आधारित ऑथेंटिकेशन का उपयोग करके स्वचालित रूप से WiFi से कनेक्ट होने की अनुमति देता है। Purple, Connect लाइसेंस के तहत OpenRoaming के लिए एक मुफ्त पहचान प्रदाता के रूप में कार्य करता है। यह निर्बाध गेस्ट कनेक्टिविटी के लिए भविष्य की दिशा है, लेकिन कैप्टिव पोर्टल आज भी डेटा कैप्चर और सहमति प्रबंधन के लिए मानक बने हुए हैं। [medium pause] संक्षेप में। एक अच्छी तरह से आर्किटेक्ट किया गया कैप्टिव पोर्टल परिनियोजन पांच स्तंभों पर टिका है। आपके कॉर्पोरेट नेटवर्क की सुरक्षा के लिए VLAN आइसोलेशन। स्प्लैश पेज प्रस्तुत करने के लिए DNS इंटरसेप्शन और HTTPS रीडायरेक्शन। सहमति के बाद फ़ायरवॉल खोलने के लिए RADIUS ऑथेंटिकेशन। पोर्टल विश्वसनीय रूप से लोड हो, यह सुनिश्चित करने के लिए सही ढंग से कॉन्फ़िगर किया गया वॉल्ड गार्डन। और आपके मेहमानों और आपके संगठन दोनों की सुरक्षा के लिए GDPR-अनुपालन डेटा हैंडलिंग। Purple का प्लेटफॉर्म 2024 में प्रोसेस किए गए 440 मिलियन लॉगिन और 99.999% अपटाइम के साथ 80,000+ लाइव वेन्यू में सभी पांच लेयर्स को संभालता है। यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet के साथ मूल रूप से एकीकृत होता है - इसलिए आप जो भी हार्डवेयर चला रहे हों, आप बिना किसी बदलाव या प्रतिस्थापन के तैनात कर सकते हैं। यदि आप इनमें से किसी भी विषय पर गहराई से जाना चाहते हैं - SSID डिज़ाइन, RADIUS कॉन्फ़िगरेशन, या GDPR अनुपालन वर्कफ़्लो - तो पूर्ण तकनीकी गाइड लाइब्रेरी के लिए purple.ai पर जाएं। सुनने के लिए धन्यवाद।