Enterprise Network Controllers पर Captive Portal रीडायरेक्शन कॉन्फ़िगर करना

Purple Technical Briefing में आपका स्वागत है। मैं आपका होस्ट हूँ, और अगले दस मिनटों में हम सीधे एंटरप्राइज़ WiFi में सबसे अधिक खोजे जाने वाले और सबसे कम प्रलेखित (documented) विषयों में से एक पर बात करने जा रहे हैं: नेटवर्क कंट्रोलर्स पर captive portal रीडायरेक्शन को कॉन्फ़िगर करना। यदि आपने कभी "configurar controlador portal cautivo" खोजा है और आपको कुछ नहीं मिला, तो यह वही ब्रीफिंग है जिसकी आपको आवश्यकता थी। हम पूरे परिदृश्य को कवर कर रहे हैं - तकनीकी आर्किटेक्चर, कंट्रोलर-दर-कंट्रोलर कॉन्फ़िगरेशन चरण, अनुपालन (compliance) आवश्यकताएं, और वास्तविक दुनिया की वे कमियां जो अनुभवी नेटवर्क टीमों को भी उलझा देती हैं। चलिए शुरू करते हैं। captive portal वह प्रणाली है जो आपके WiFi नेटवर्क से कनेक्ट होने के बाद किसी गेस्ट डिवाइस के पहले HTTP या HTTPS अनुरोध (request) को इंटरसेप्ट करती है, और इंटरनेट एक्सेस देने से पहले इसे एक ब्रांडेड स्प्लैश पेज पर रीडायरेक्ट करती है। वह स्प्लैश पेज सोशल लॉगिन, फॉर्म सबमिशन, शर्तों की एक साधारण क्लिक-थ्रू स्वीकृति, या RADIUS-समर्थित क्रेडेंशियल जांच के लिए पूछ सकता है। रीडायरेक्शन को स्वयं कंट्रोलर स्तर पर संभाला जाता है - न कि एक्सेस पॉइंट या फ़ायरवॉल पर। कंट्रोलर अप्रमाणित क्लाइंट के ट्रैफ़िक को इंटरसेप्ट करता है, एक प्री-ऑथेंटिकेशन एक्सेस कंट्रोल लिस्ट लागू करता है - जिसे हम walled garden कहते हैं - और क्लाइंट के ब्राउज़र को आपके पोर्टल URL पर भेजता है। व्यावसायिक रूप से यह क्यों महत्वपूर्ण है? तीन कारण हैं। पहला, अनुपालन। GDPR के तहत, आगंतुकों से व्यक्तिगत डेटा एकत्र करने से पहले आपको स्पष्ट, सूचित सहमति प्राप्त करना आवश्यक है। एक उचित रूप से कॉन्फ़िगर किया गया captive portal आपकी सहमति का माध्यम है। इसके बिना, आप कानूनी आधार के बिना डेटा एकत्र कर रहे हैं - और यह एक नियामक जोखिम (regulatory exposure) है। दूसरा, सुरक्षा। बिना किसी ऑथेंटिकेशन के एक ओपन SSID एक बड़ी जोखिम (liability) है। captive portal रीडायरेक्शन, VLAN सेगमेंटेशन और एक RADIUS सर्वर के साथ मिलकर, आपको प्रति-सेशन जवाबदेही देता है। आप जानते हैं कि कौन, कब और किस डिवाइस से कनेक्ट हुआ। तीसरा, बिजनेस इंटेलिजेंस। हर प्रमाणित सेशन एक फर्स्ट-पार्टी डेटा पॉइंट है। Purple सालाना 80,000 स्थानों पर 440 मिलियन लॉगिन प्रोसेस करता है। वह डेटा - ड्वेल टाइम (dwell time), विज़िट फ़्रीक्वेंसी, डेमोग्राफिक संकेत - केवल तभी उपलब्ध होता है जब आपका captive portal इसे कैप्चर और ट्रांसमिट करने के लिए सही ढंग से कॉन्फ़िगर किया गया हो। अब मैं आपको चरण-दर-चरण रीडायरेक्ट फ्लो के माध्यम से ले चलता हूँ। चरण एक: एक गेस्ट डिवाइस आपके गेस्ट SSID से जुड़ता है। कंट्रोलर इसे DHCP के माध्यम से एक IP पता असाइन करता है लेकिन इसे एक प्रतिबंधित प्री-ऑथेंटिकेशन स्थिति में रखता है। DNS और उन walled garden डोमेन को छोड़कर सभी ट्रैफ़िक ब्लॉक कर दिया जाता है जिन्हें आपने स्पष्ट रूप से अनुमति दी है। चरण दो: गेस्ट एक ब्राउज़र खोलता है। उनका HTTP अनुरोध कंट्रोलर तक पहुँचता है। कंट्रोलर इसे इंटरसेप्ट करता है और आपके पोर्टल URL पर 302 रीडायरेक्ट जारी करता है। यह मुख्य रीडायरेक्ट मैकेनिज्म है। चरण तीन: गेस्ट का ब्राउज़र आपके स्प्लैश पेज को लोड करता है, जो या तो कंट्रोलर पर ही होस्ट होता है या, एंटरप्राइज़ डिप्लॉयमेंट में आमतौर पर, Purple जैसे बाहरी क्लाउड प्लेटफ़ॉर्म पर होस्ट होता है। चरण चार: अतिथि प्रमाणित करता है - सोशल लॉगिन, फ़ॉर्म या क्रेडेंशियल्स के माध्यम से। पोर्टल आमतौर पर एक RADIUS Access-Accept संदेश या MAC प्राधिकरण बाईपास के माध्यम से नियंत्रक को वापस एक प्राधिकरण संकेत भेजता है। चरण पाँच: नियंत्रक क्लाइंट को प्री-ऑथेंटिकेशन VLAN से पोस्ट-ऑथेंटिकेशन VLAN में ले जाता है, रीडायरेक्ट नियम को हटाता है, और इंटरनेट एक्सेस प्रदान करता है। यह पांच-चरणीय प्रवाह सभी प्रमुख नियंत्रक प्लेटफ़ॉर्म पर समान रहता है। अंतर केवल इस बात में है कि आप Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi और अन्य पर प्रत्येक चरण को कैसे कॉन्फ़िगर करते हैं। आइए प्रमुख प्लेटफ़ॉर्म पर नज़र डालें। Cisco Meraki. Meraki एक कस्टम स्प्लैश पेज का उपयोग करता है जिसे पूरी तरह से Meraki डैशबोर्ड के माध्यम से कॉन्फ़िगर किया जाता है - इसमें कोई CLI नहीं है। Wireless पर जाएं, फिर Access Control पर जाएं, अपने गेस्ट SSID को चुनें, स्प्लैश पेज को "Sign-on with my RADIUS server" या "Click-through" पर सेट करें, फिर Custom Splash URL फ़ील्ड में अपना बाहरी पोर्टल URL दर्ज करें। वॉल्ड गार्डन को Advanced Splash Settings अनुभाग में कॉन्फ़िगर किया गया है - आप अपने पोर्टल सर्वर के IP पते जोड़ते हैं ताकि अतिथि प्रमाणीकरण से पहले स्प्लैश पेज तक पहुंच सकें। RADIUS सर्वर का विवरण RADIUS अनुभाग में जाता है: पोर्ट 1812 पर प्रमाणीकरण, पोर्ट 1813 पर अकाउंटिंग। HPE Aruba. ArubaOS पर, आप AAA अनुभाग के तहत एक Captive Portal प्रोफ़ाइल कॉन्फ़िगर करते हैं, जिसमें लॉगिन URL, आपके RADIUS सर्वर की ओर इशारा करने वाला सर्वर समूह और रीडायरेक्ट URL निर्दिष्ट होता है। फिर आप उस प्रोफ़ाइल को वर्चुअल AP प्रोफ़ाइल के माध्यम से अपने SSID पर लागू करते हैं। प्री-ऑथेंटिकेशन भूमिका - जिसे Aruba "logon" भूमिका कहता है - में वह ACL होता है जो DNS, DHCP और आपके पोर्टल सर्वर की IP रेंज तक पहुंच की अनुमति देता है। पोस्ट-ऑथेंटिकेशन के बाद, नियंत्रक "authenticated" भूमिका प्रदान करता है, जो पूर्ण इंटरनेट एक्सेस की अनुमति देती है। Ruckus SmartZone, Captive Portal डिप्लॉयमेंट के लिए Hotspot WLAN प्रकार का उपयोग करता है। WLAN कॉन्फ़िगरेशन के तहत, WLAN प्रकार को Hotspot पर सेट करें, फिर पोर्टल URL, प्रमाणीकरण और अकाउंटिंग के लिए RADIUS सर्वर, और वॉल्ड गार्डन प्रविष्टियों को कॉन्फ़िगर करें। Northbound Portal Interface पोर्टल और नियंत्रक के बीच MAC प्राधिकरण प्रवाह को संभालता है। Juniper Mist क्लाउड-नेटिव दृष्टिकोण का उपयोग करता है। Network और फिर WLANs के तहत, एक गेस्ट WLAN बनाएं और पोर्टल प्रकार को "External Captive Portal" पर सेट करें। अपना पोर्टल URL दर्ज करें और RADIUS सर्वर विवरण कॉन्फ़िगर करें। Mist क्लाइंट MAC, AP MAC, और SSID नाम को URL पैरामीटर के रूप में पोर्टल पर भेजता है। Ubiquiti UniFi. UniFi नेटवर्क नियंत्रक में, Settings और फिर WiFi पर जाएं, अपने गेस्ट नेटवर्क का चयन करें, और Advanced Options के तहत हॉटस्पॉट पोर्टल को सक्षम करने के लिए Guest Policy सेट करें। पोर्टल प्रकार को "External" पर सेट करें और अपना पोर्टल URL दर्ज करें। Profiles और फिर RADIUS के तहत RADIUS सर्वर को कॉन्फ़िगर करें। वॉल्ड गार्डन Captive Portal डिप्लॉयमेंट में सबसे अधिक गलत कॉन्फ़िगर किया जाने वाला तत्व है। इसे गलत करने पर आपके अतिथियों को आपके स्प्लैश पेज के बजाय ब्राउज़र त्रुटि दिखाई देगी। Walled garden को न्यूनतम के रूप में निम्नलिखित की अनुमति देनी चाहिए: आपके पोर्टल सर्वर के IP पते या डोमेन, आपके RADIUS सर्वर के IP पते, पोर्ट 53 पर DNS रेजोल्यूशन, और पोर्ट 67 और 68 पर DHCP। यदि आपका पोर्टल किसी CDN से एसेट लोड करता है - जैसे फ़ॉन्ट, चित्र, JavaScript - तो उन CDN डोमेन को भी walled garden में होना चाहिए। Purple डिप्लॉयमेंट के लिए, हम ऑनबोर्डिंग के दौरान व्हाइटलिस्ट करने के लिए विशिष्ट IP रेंज और डोमेन प्रदान करते हैं। सबसे आम विफलता मोड वह पोर्टल है जो HTML फ्रेम लोड करता है लेकिन छवियों को रेंडर करने या JavaScript को निष्पादित करने में विफल रहता है क्योंकि CDN डोमेन walled garden से गायब होते हैं। यहाँ दो अनुपालन मानक प्रमुख हैं: GDPR और PCI DSS। GDPR के तहत, आपके captive portal को व्यक्तिगत डेटा एकत्र करने से पहले एक स्पष्ट, विशिष्ट सहमति तंत्र प्रस्तुत करना होगा। इसका अर्थ है WiFi एक्सेस और मार्केटिंग सहमति के लिए अलग-अलग, अनटिक किए गए चेकबॉक्स। आप उन्हें बंडल नहीं कर सकते। सहमति रिकॉर्ड को ऑडिट उद्देश्यों के लिए संग्रहीत और पुनर्प्राप्त करने योग्य होना चाहिए। Purple का प्लेटफ़ॉर्म इसे स्वचालित रूप से संभालता है, प्रत्येक प्रमाणित सत्र के विरुद्ध सहमति रिकॉर्ड संग्रहीत करता है। PCI DSS के तहत, यदि आपका वेन्यू कार्ड भुगतान संसाधित करता है, तो आपका गेस्ट WiFi नेटवर्क आपके भुगतान कार्ड परिवेश से अलग होना चाहिए। इसका अर्थ है एक समर्पित गेस्ट VLAN जिसमें फ़ायरवॉल नियम गेस्ट सेगमेंट और आपके POS नेटवर्क के बीच किसी भी राउटिंग को रोकते हैं। PCI DSS संस्करण 4.0, जो मार्च 2024 में अनिवार्य हो गया था, के लिए वर्ष में कम से कम हर छह महीने में नेटवर्क सेगमेंटेशन परीक्षण की आवश्यकता होती है। आइए मैं आपको दो ठोस परिदृश्य देता हूँ। परिदृश्य एक: Cisco Meraki चलाने वाला एक 350 कमरों का होटल। होटल एक बुनियादी क्लिक-थ्रू पोर्टल को एक ब्रांडेड अतिथि अनुभव से बदलना चाहता है जो उनके लॉयल्टी कार्यक्रम के लिए ईमेल पते कैप्चर करता है। कॉन्फ़िगरेशन: केवल इंटरनेट एक्सेस के साथ एक अलग VLAN पर एक समर्पित गेस्ट SSID बनाएं। Purple के पोर्टल URL को इंगित करने के लिए Meraki स्प्लैश पेज को कॉन्फ़िगर करें। Purple के RADIUS सर्वर विवरण का उपयोग करके RADIUS प्रमाणीकरण सेट करें। Purple के IP रेंज के साथ walled garden को कॉन्फ़िगर करें। Purple डैशबोर्ड में, नाम, ईमेल और कमरा नंबर कैप्चर करने वाले फॉर्म के साथ एक ब्रांडेड स्प्लैश पेज बनाएं, जिसमें स्पष्ट GDPR सहमति चेकबॉक्स हों। Purple CRM कनेक्टर को होटल के मार्केटिंग प्लेटफॉर्म से कनेक्ट करें। Premier Inn ने अपने पूरे एस्टेट में इस मॉडल को लागू किया और WiFi-अधिग्रहीत मेहमानों से सीधे बुकिंग दरों में मापने योग्य वृद्धि देखी। परिदृश्य दो: HPE Aruba चलाने वाले 40 स्टोरों वाली एक क्षेत्रीय रिटेल श्रृंखला। रिटेलर को स्टोर के प्रदर्शन की तुलना करने के लिए फुटफॉल एनालिटिक्स के साथ सभी साइटों पर एक सुसंगत अतिथि WiFi अनुभव की आवश्यकता होती है। एक ही डैशबोर्ड से सभी 40 साइटों को प्रबंधित करने के लिए Aruba Central को परिनियोजित करें। Purple की ओर इशारा करते हुए बाहरी captive portal के साथ एक अतिथि WLAN टेम्पलेट कॉन्फ़िगर करें। Aruba Central की ग्रुप पॉलिसी सुविधा का उपयोग करके सभी साइटों पर टेम्पलेट लागू करें। Purple में, एक एकल पोर्टल टेम्पलेट कॉन्फ़िगर करें जो प्रति-स्थल एनालिटिक्स डैशबोर्ड के साथ सभी स्थलों पर लागू होता है। वॉलड गार्डन (walled garden) और RADIUS कॉन्फ़िगरेशन को टेम्पलेट में एक बार परिभाषित किया जाता है और स्वचालित रूप से प्रसारित किया जाता है। परिणाम: IT टीम एक कंसोल से 40 साइटों का प्रबंधन करती है। मार्केटिंग टीम को प्रति-स्टोर फुटफॉल डेटा, ड्वेल टाइम (dwell time) विश्लेषण, और बार-बार आने वाले विजिट की दरें मिलती हैं - यह सब एक ही Purple डैशबोर्ड से। चार कमियाँ जो मैं बार-बार देखता हूँ। एक: HTTPS इंटरसेप्शन विफलताएं। आधुनिक ब्राउज़र और मोबाइल ऑपरेटिंग सिस्टम captive portals का पता लगाने के लिए HTTPS जांच (probes) का उपयोग करते हैं। यदि आपका कंट्रोलर HTTPS ट्रैफ़िक को इंटरसेप्ट नहीं कर सकता है - जिसके लिए रीडायरेक्ट डोमेन के लिए एक वैध प्रमाणपत्र की आवश्यकता होती है - तो जांच चुपचाप विफल हो जाती है और अतिथि को कोई रीडायरेक्ट नहीं दिखाई देता है। समाधान: अपने कंट्रोलर के वर्चुअल इंटरफ़ेस को एक विश्वसनीय प्रमाणपत्र के साथ कॉन्फ़िगर करें, या अपने अतिथि SSID पर केवल-HTTP जांच का उपयोग करें। दो: DNS लीकेज। यदि आपकी प्री-ऑथेंटिकेशन ACL अप्रतिबंधित DNS की अनुमति देती है, तो अतिथि captive portal को पूरी तरह से बायपास करने के लिए DNS टनलिंग का उपयोग कर सकते हैं। DNS को केवल अपने निर्दिष्ट रिज़ॉल्वर तक सीमित करें। थ्री: सत्र टाइमआउट (session timeout) बेमेल। यदि आपके कंट्रोलर का सत्र टाइमआउट आपके पोर्टल की सत्र टोकन वैधता से कम है, तो अतिथियों को सत्र के बीच में ही वापस पोर्टल पर रीडायरेक्ट कर दिया जाता है। इन मानों को संरेखित करें - आमतौर पर हॉस्पिटैलिटी के लिए 24 घंटे, रिटेल के लिए आठ घंटे। चार: गुम अकाउंटिंग। RADIUS अकाउंटिंग - Accounting-Start और Accounting-Stop संदेश - वह तरीका है जिससे आपके पोर्टल को पता चलता है कि एक सत्र समाप्त हो गया है। बिना अकाउंटिंग कॉन्फ़िगर किए, आपके पोर्टल के सत्र रिकॉर्ड गलत होंगे और आपका एनालिटिक्स अविश्वसनीय होगा। त्वरित प्रश्न, त्वरित उत्तर। क्या मैं किसी भी कंट्रोलर के साथ बाहरी पोर्टल का उपयोग कर सकता हूँ? हाँ, बशर्ते कंट्रोलर बाहरी captive portal रीडायरेक्ट का समर्थन करता हो - जो कि हमारे द्वारा चर्चा किए गए सभी प्लेटफॉर्म करते हैं। क्या मुझे captive portal चलाने के लिए RADIUS सर्वर की आवश्यकता है? हमेशा नहीं। साधारण क्लिक-थ्रू पोर्टल पूर्ण RADIUS सर्वर के बिना MAC प्राधिकरण बाईपास का उपयोग कर सकते हैं। लेकिन क्रेडेंशियल-आधारित या सोशल लॉगिन पोर्टलों के लिए, RADIUS मानक तंत्र है। क्या captive portal, WPA3 के साथ काम करता है? हाँ। WPA3 वायरलेस एन्क्रिप्शन परत को संभालता है। Captive portal प्रमाणीकरण परत को संभालता है। वे स्वतंत्र रूप से काम करते हैं और पूरी तरह से अनुकूल हैं। Purple मेरे मौजूदा कंट्रोलर के साथ कैसे एकीकृत (integrate) होता है? Purple बाहरी पोर्टल सर्वर के रूप में कार्य करता है। आप अपने कंट्रोलर के स्प्लैश URL को Purple के पोर्टल एंडपॉइंट पर इंगित करते हैं, Purple के IP रेंज के साथ walled garden को कॉन्फ़िगर करते हैं, और Purple के सर्वर विवरण का उपयोग करके RADIUS सेट करते हैं। एकीकरण की प्रक्रिया समान है, चाहे आप Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, या Ubiquiti UniFi का उपयोग कर रहे हों। संक्षेप में कहें तो, Captive Portal रीडायरेक्शन कंट्रोलर स्तर पर कॉन्फ़िगर किया जाता है, न कि एक्सेस पॉइंट पर। मुख्य घटक हैं: आपके पोर्टल को इंगित करने वाला स्प्लैश URL, आपके पोर्टल सर्वर तक पहुंच की अनुमति देने वाला walled garden, प्रमाणीकरण और अकाउंटिंग के लिए RADIUS, और नेटवर्क अलगाव के लिए VLAN सेगमेंटेशन। कॉन्फ़िगरेशन के चरण वेंडर के अनुसार भिन्न होते हैं लेकिन आर्किटेक्चर सुसंगत है। अनुपालन के लिए, आपके पोर्टल को GDPR-compliant सहमति कैप्चर और PCI DSS-compliant नेटवर्क सेगमेंटेशन को लागू करना चाहिए। WPA3 वायरलेस एन्क्रिप्शन के लिए वर्तमान मानक है और किसी भी नए डिप्लॉयमेंट पर आपकी बेसलाइन विशिष्टता होनी चाहिए। Purple मूल रूप से Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet के साथ एकीकृत होता है। 2024 में 80,000 स्थानों और 440 मिलियन लॉगइन्स में, यह प्लेटफ़ॉर्म डिज़ाइन द्वारा हार्डवेयर-अज्ञेयवादी (hardware-agnostic) है - आपके कंट्रोलर का चयन प्रथम-पक्ष अतिथि डेटा कैप्चर करने या एनालिटिक्स चलाने की आपकी क्षमता को सीमित नहीं करता है। आपका अगला कदम: इस गाइड में दिए गए walled garden और RADIUS अकाउंटिंग चेकलिस्ट के साथ अपने वर्तमान कंट्रोलर कॉन्फ़िगरेशन की समीक्षा करें। यदि आप एक नया गेस्ट WiFi नेटवर्क डिप्लॉय कर रहे हैं, तो अपने कंट्रोलर प्लेटफ़ॉर्म के लिए वेंडर-विशिष्ट कॉन्फ़िगरेशन चरणों के साथ शुरू करें और Purple को अपने बाहरी पोर्टल के रूप में कनेक्ट करें। सुनने के लिए धन्यवाद। यह Purple Technical Briefing थी।