तीनों पर शासन करने के लिए तीन SSIDs: अतिथि, Passpoint, और IoT WiFi सेटअप गाइड

Purple तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। आज हम three-SSID WiFi डिज़ाइन को कवर कर रहे हैं - एक नेटवर्क आर्किटेक्चर जो अतिथि एक्सेस, सुरक्षित स्वचालित ऑनबोर्डिंग और IoT डिवाइस प्रबंधन को तीन विशेष रूप से निर्मित वायरलेस नेटवर्क के तहत समेकित करता है। यदि आप किसी होटल, रिटेल एस्टेट, स्टेडियम या कॉन्फ्रेंस सेंटर में WiFi चला रहे हैं, तो यह वह डिज़ाइन है जिसे आपको 2025 और उसके बाद तैनात करना चाहिए। [medium pause] पहले मैं इसका संदर्भ स्पष्ट कर देता हूँ। हमारे सामने आने वाले अधिकांश स्थानों पर अभी भी केवल दो SSID चल रहे होते हैं - एक गेस्ट नेटवर्क और दूसरा जिसे आम तौर पर स्टाफ नेटवर्क कहा जाता है। समस्या यह है कि वे दो नेटवर्क अंततः सब कुछ संभालते हैं। कार्ड टर्मिनल अतिथि स्मार्टफ़ोन वाले सेगमेंट पर ही स्थित होते हैं। ठेकेदार उसी SSID से कनेक्ट होते हैं जिससे आपके डिजिटल साइनेज कनेक्ट होते हैं। IoT सेंसर वीडियो स्ट्रीमिंग करने वाले आगंतुकों के साथ बैंडविड्थ साझा करते हैं। यह कोई सुरक्षात्मक स्थिति नहीं है। यह एक जोखिम है। three-SSID डिज़ाइन प्रत्येक श्रेणी के डिवाइस और उपयोगकर्ता को अपना समर्पित नेटवर्क, अपना VLAN और अपनी प्रमाणीकरण विधि प्रदान करके इसे हल करता है। तीन SSID। तीन VLAN। एक सुसंगत सुरक्षा आर्किटेक्चर। [medium pause] आइए इनमें से प्रत्येक को समझते हैं। SSID नंबर एक आपका ओपन Guest WiFi है। यह पारंपरिक Captive Portal नेटवर्क है - जिसे आपके आगंतुक तब देखते हैं जब वे अपना फोन खोलते हैं और कनेक्ट करते हैं। यह खुला है, जिसका अर्थ है कि कोई पूर्व-साझा कुंजी नहीं है, क्योंकि आप कनेक्शन के समय किसी भी तरह की बाधा नहीं चाहते हैं। प्रमाणीकरण पोर्टल लेयर पर होता है। आगंतुक कनेक्ट होता है, एक स्पलैश पेज पर रीडायरेक्ट होता है, आपकी सेवा की शर्तों को स्वीकार करता है, और वैकल्पिक रूप से एक ईमेल पता या फ़ोन नंबर प्रदान करता है। यह GDPR अनुपालन के लिए आपकी जागरूक-पसंद है। Purple का प्लेटफ़ॉर्म इसे मूल रूप से संभालता है - पोर्टल फर्स्ट-पार्टी डेटा कैप्चर करता है, सहमति टाइमस्टैम्प लॉग करता है, और सेशन को VLAN 10 पर मैप करता है, जो आपका गेस्ट सेगमेंट है। VLAN 10 को केवल इंटरनेट एक्सेस मिलता है। यह आपके POS सिस्टम, आपके बैक-ऑफिस सर्वर या किसी अन्य आंतरिक संसाधन तक नहीं पहुँच सकता। फ़ायरवॉल नियम इसे किनारे पर लागू करते हैं। अनुपालन के दृष्टिकोण से, यह SSID मुख्य काम करता है। GDPR के लिए आवश्यक है कि आप सहमति, प्रसंस्करण के लिए कानूनी आधार और टाइमस्टैम्प रिकॉर्ड करें। Purple यह सब स्वचालित रूप से लॉग करता है। यदि आप किसी ऐसे स्थान पर हैं जो PCI DSS के अंतर्गत आता है - उदाहरण के लिए इन-रूम पेमेंट टर्मिनल वाला होटल - तो गेस्ट SSID को किसी भी कार्डधारक डेटा वातावरण से पूरी तरह से अलग किया जाना चाहिए। इंटर-VLAN फ़ायरवॉल नीति के साथ VLAN सेगमेंटेशन इसे प्राप्त करता है। [medium pause] SSID नंबर दो आपका Passpoint नेटवर्क है, जिसे Hotspot 2.0 के रूप में भी जाना जाता है। यहीं पर डिज़ाइन वास्तव में दिलचस्प हो जाता है। Passpoint एक IEEE 802.11u मानक है जो किसी डिवाइस को बिना किसी उपयोगकर्ता इंटरैक्शन के स्वचालित रूप से WiFi नेटवर्क को खोजने, प्रमाणित करने और कनेक्ट करने की अनुमति देता है। कोई पोर्टल नहीं। कोई पासवर्ड प्रॉम्प्ट नहीं। डिवाइस पृष्ठभूमि में EAP - Extensible Authentication Protocol - का उपयोग करके प्रमाणीकरण पर बातचीत करता है और पहले पैकेट से ही एन्क्रिप्टेड कनेक्ट हो जाता है।एक डिवाइस को कैसे पता चलता है कि उसे कनेक्ट करना है? इसमें एक Passpoint प्रोफाइल इंस्टॉल होती है। Purple के साथ, वह प्रोफाइल Purple ऐप के जरिए या एक SDK के जरिए डिलीवर की जाती है जिसे आप अपने खुद के ब्रांडेड ऐप में एम्बेड करते हैं। जब कोई लौटने वाला विज़िटर आपके वेन्यू में आता है, तो उनका डिवाइस आपके Passpoint SSID ब्रॉडकास्टिंग को एक ANQP रिस्पॉन्स के रूप में देखता है, इसे इंस्टॉल की गई प्रोफाइल से मिलाता है, और ऑटोमैटिक रूप से कनेक्ट हो जाता है। इस पूरी प्रक्रिया में दो सेकंड से भी कम समय लगता है। यूजर को कभी अपने फोन को छूने की भी जरूरत नहीं पड़ती। ऑथेंटिकेशन फ़्लो आपके कॉन्फ़िगरेशन के आधार पर PEAP के साथ EAP-TLS या EAP-TTLS का उपयोग करता है। डिवाइस आपके RADIUS सर्वर के सामने एक क्रेडेंशियल प्रस्तुत करता है - Purple क्लाउड में उस RADIUS सर्वर के रूप में कार्य करता है - और सर्वर VLAN असाइनमेंट एट्रिब्यूट के साथ एक RADIUS Access-Accept वापस करता है। वह एट्रिब्यूट एक्सेस पॉइंट को बताता है कि उस सेशन को किस VLAN पर रखना है। इसलिए एक लॉयल्टी ऐप यूजर VLAN 20 पर जा सकता है, जिसके पास आपके लॉयल्टी प्लेटफॉर्म और अधिक समृद्ध कंटेंट तक पहुंच है। एक स्टाफ सदस्य जो अलग क्रेडेंशियल के साथ उसी Passpoint SSID का उपयोग कर रहा है, VLAN 30 पर जाता है, जिसके पास आंतरिक सिस्टम तक पहुंच होती है। एक SSID। डायनेमिक VLAN असाइनमेंट। प्रत्येक पहचान के अनुसार लागू की गई पॉलिसी। [medium pause] SSID नंबर तीन आपका xPSK नेटवर्क है। xPSK एक अम्ब्रेला टर्म है जिसमें iPSK, PPSK, DPSK, और MPSK शामिल हैं - ये सभी प्रति-डिवाइस या प्रति-ग्रुप प्री-शेयर्ड कीज़ (pre-shared keys) की एक ही अवधारणा के विभिन्न रूप हैं। विचार सीधा है: आपके IoT डिवाइस और कॉन्ट्रैक्टर्स के लिए एक साझा पासवर्ड के बजाय, प्रत्येक डिवाइस या ग्रुप को अपनी विशिष्ट की (key) मिलती है। वह की (key) एक विशिष्ट VLAN से मैप होती है। जब कोई कार्ड टर्मिनल अपनी की (key) के साथ कनेक्ट होता है, तो वह VLAN 40 पर जाता है, जो आपका PCI-scoped पेमेंट नेटवर्क है। जब कोई डिजिटल साइनेज प्लेयर अपनी की (key) के साथ कनेक्ट होता है, तो वह VLAN 50 पर जाता है, जिसके पास आपके कंटेंट मैनेजमेंट सर्वर तक पहुंच होती है लेकिन और किसी चीज़ तक नहीं। जब कोई कॉन्ट्रैक्टर एक अस्थायी की (key) के साथ कनेक्ट होता है, तो वे VLAN 60 पर जाते हैं, जिसके पास इंटरनेट एक्सेस होता है और कोई आंतरिक पहुंच नहीं होती। जब आप उस कॉन्ट्रैक्टर की की (key) को रीवोक (निरस्त) करते हैं, तो वे तुरंत नेटवर्क से बाहर हो जाते हैं। हर डिवाइस पर पासवर्ड बदलने की कोई आवश्यकता नहीं होती। xPSK के पीछे की प्रणाली वेंडर के अनुसार अलग-अलग होती है। Cisco Meraki पर, इसे iPSK - Identity PSK - कहा जाता है और यह RADIUS के माध्यम से काम करता है। HPE Aruba पर, इसका समकक्ष MPSK है, जो RADIUS-संचालित भी है। Ruckus इसे DPSK - Dynamic PSK कहता है। Juniper Mist, Mist के क्लाउड डैशबोर्ड के माध्यम से डायनेमिक VLAN असाइनमेंट के साथ PPSK का उपयोग करता है। Ubiquiti UniFi हाल के फ़र्मवेयर वर्शन्स में प्रति-क्लाइंट VLAN असाइनमेंट के साथ Network Access Control का समर्थन करता है। Purple एक क्लाउड RADIUS प्रदाता के रूप में इन पांचों प्लेटफॉर्म्स के साथ एकीकृत होता है। [medium pause] अब आइए इम्प्लीमेंटेशन सीक्वेंस (कार्यान्वयन अनुक्रम) के बारे में बात करते हैं। इसका क्रम बहुत मायने रखता है। वायरलेस कॉन्फ़िगरेशन को छूने से पहले अपने VLAN डिज़ाइन से शुरुआत करें। सबसे पहले स्विच लेयर पर अपने VLAN को परिभाषित करें। किसी भी डिवाइस के कनेक्ट होने से पहले अपने इंटर-VLAN राउटिंग पॉलिसी को कॉन्फ़िगर करें और इसे फ़ायरवॉल पर लॉक कर दें। यह सबसे आम गलती है जो हम देखते हैं: टीमें पहले वायरलेस कॉन्फ़िगर करती हैं, फिर VLAN सेगमेंटेशन को फिट करने की कोशिश करती हैं। इसे इसके विपरीत तरीके से करें। दूसरा, अपने RADIUS सर्वर को कॉन्फ़िगर करें। Purple के प्लेटफ़ॉर्म में, आप RADIUS कॉन्फ़िगरेशन सेक्शन पर जाएँ, अपने सर्वर क्रेडेंशियल जेनरेट करें, और प्राइमरी और सेकेंडरी IP एड्रेस, ऑथेंटिकेशन पोर्ट - आमतौर पर 1812 - और शेयर्ड सीक्रेट को नोट करें। तीसरा, अपने SSIDs बनाएँ। गेस्ट SSID के लिए, सुरक्षा को ओपन पर सेट करें, captive portal रीडायरेक्ट को सक्षम करें, और रीडायरेक्ट URL को अपने Purple पोर्टल पर इंगित करें। Passpoint SSID के लिए, 802.11u को सक्षम करें और अपने ANQP तत्वों को कॉन्फ़िगर करें - आपका NAI Realm, आपका Roaming Consortium OI यदि आप OpenRoaming में भाग ले रहे हैं, और आपकी वेन्यू जानकारी। सुरक्षा प्रकार के रूप में WPA2-Enterprise या WPA3-Enterprise सेट करें। xPSK SSID के लिए, वेंडर-विशिष्ट MPSK या DPSK सेटिंग्स कॉन्फ़िगर करें और ऑथेंटिकेशन को अपने Purple RADIUS एंडपॉइंट पर इंगित करें। चौथा, गेस्ट SSID के लिए अपने walled garden को कॉन्फ़िगर करें। इसमें Purple के पोर्टल डोमेन, आपका DNS रिज़ॉल्वर, और वे captive portal डिटेक्शन एंडपॉइंट शामिल करें जिनका उपयोग iOS और Android करते हैं - Apple का captivedetect.apple.com और Google का connectivitycheck.gstatic.com। [medium pause] दो वास्तविक दुनिया के उदाहरण। सेंट्रल लंदन में एक 350-कमरों वाले होटल ने HPE Aruba हार्डवेयर चलाने वाले 28 एक्सेस पॉइंट्स पर इस आर्किटेक्चर को तैनात किया। तैनाती से पहले, कार्ड टर्मिनल गेस्ट डिवाइसेज के साथ एक नेटवर्क सेगमेंट साझा करते थे - जो एक PCI अनुपालन विफलता थी। तीन-SSID रीडिज़ाइन ने कार्ड टर्मिनलों को एक समर्पित VLAN में स्थानांतरित कर दिया जिसमें फ़ायरवॉल नियम केवल पेमेंट प्रोसेसर को आउटबाउंड HTTPS की अनुमति देते थे। अगली साइकिल में PCI ऑडिट पास हो गया। पहले तीन महीनों में गेस्ट डेटा कैप्चर में 34% की वृद्धि हुई क्योंकि पोर्टल का अनुभव तेज़ था और ऑप्ट-इन फ़्लो अधिक स्पष्ट था। पूरे UK में 80 स्टोर्स वाली एक रिटेल चेन ने अपने प्रति-स्टोर SSID की संख्या को औसतन 4.2 से घटाकर तीन कर दिया। EPOS टर्मिनल और साइनेज को xPSK SSID पर स्थानांतरित कर दिया गया, जिसमें प्रति-डिवाइस कुंजियों को Purple के माध्यम से केंद्रीय रूप से प्रबंधित किया जाता है। स्टाफ EAP-TTLS के माध्यम से अपने Microsoft Entra ID क्रेडेंशियल का उपयोग करके एक Passpoint SSID पर स्थानांतरित हो गया। IT टीम ने रोलआउट के बाद पहली तिमाही में WiFi-संबंधी सपोर्ट टिकटों में 60% की कमी की रिपोर्ट की। [medium pause] ध्यान देने योग्य कुछ कार्यान्वयन कमियाँ। RADIUS टाइमआउट कॉन्फ़िगरेशन: यदि आपके एक्सेस पॉइंट कॉन्फ़िगर किए गए टाइमआउट के भीतर Purple RADIUS सर्वर तक नहीं पहुँच पाते हैं, तो वे कनेक्शन को अस्वीकार कर देंगे। हमेशा प्राइमरी और सेकेंडरी दोनों RADIUS सर्वर एड्रेस कॉन्फ़िगर करें। VLAN टैगिंग on trunk ports: प्रत्येक एक्सेस पॉइंट अपलिंक पोर्ट को एक ट्रंक के रूप में कॉन्फ़िगर किया जाना चाहिए जो आपके SSIDs द्वारा उपयोग किए जाने वाले सभी VLANs को ले जाता है। एक आम गलती कंट्रोलर पर VLAN को कॉन्फ़िगर करना है लेकिन स्विच पोर्ट पर ट्रंक में इसे जोड़ना भूल जाना है। Passpoint ANQP कॉन्फ़िगरेशन: NAI Realm सूची डिवाइस पर इंस्टॉल किए गए Passpoint प्रोफाइल में मौजूद सूची से बिल्कुल मेल खानी चाहिए। बेमेल होने के कारण डिवाइस खोज के दौरान आपके नेटवर्क को छोड़ देंगे। प्रोडक्शन में रोल आउट करने से पहले एक ज्ञात-अच्छे डिवाइस के साथ परीक्षण करें। xPSK key rotation: कॉन्ट्रैक्टर की keys के लिए प्रोविज़निंग के समय एक एक्सपायरी डेट सेट होनी चाहिए। Purple का डैशबोर्ड आपको नेटवर्क पर किसी अन्य डिवाइस को प्रभावित किए बिना व्यक्तिगत keys को रिवोक (revoke) करने की अनुमति देता है। [medium pause] त्वरित प्रश्न। क्या मैं एक ही एक्सेस पॉइंट पर सभी तीन SSIDs चला सकता हूँ? हाँ। बीकन ओवरहेड को कम करने के लिए प्रति एक्सेस पॉइंट कुल SSID संख्या को छह या उससे कम रखें। क्या Passpoint के लिए किसी विशिष्ट ऐप की आवश्यकता होती है? Purple के साथ, इसके लिए या तो Purple ऐप या आपके अपने ब्रांडेड ऐप में एकीकृत SDK की आवश्यकता होती है। SDK बैकग्राउंड में चुपचाप प्रोफ़ाइल प्रोविज़निंग को संभालता है। क्या कार्ड टर्मिनलों के लिए xPSK PCI compliant है? हाँ, बशर्ते पेमेंट डिवाइस ट्रैफ़िक ले जाने वाले VLAN को ठीक से विभाजित किया गया हो और फ़ायरवॉल नियम ट्रैफ़िक को केवल उसी तक सीमित करते हों जिसकी पेमेंट प्रोसेसर को आवश्यकता होती है। यदि गेस्ट SSID पोर्टल डाउन हो जाता है तो क्या होगा? एक्सेस पॉइंट कंट्रोलर पर एक फ़ॉलबैक रीडायरेक्ट या एक लोकल स्प्लैश पेज कॉन्फ़िगर करें। Purple का प्लेटफ़ॉर्म 99.999% अपटाइम पर चलता है, लेकिन सुरक्षा के लिए अतिरिक्त कॉन्फ़िगरेशन हमेशा एक अच्छा अभ्यास है। [medium pause] संक्षेप में। तीन-SSID डिज़ाइन आपको डेटा कैप्चर के लिए एक अनुपालन Captive Portal के साथ एक गेस्ट नेटवर्क देता है, डायनामिक VLAN असाइनमेंट के साथ Purple ऐप या SDK के माध्यम से स्वचालित सुरक्षित ऑनबोर्डिंग के लिए एक Passpoint नेटवर्क देता है, और एक xPSK नेटवर्क देता है जो विशिष्ट VLANs से मैप की गई प्रति-डिवाइस keys के तहत IoT डिवाइस, कार्ड टर्मिनल, डिजिटल साइनेज, कॉन्ट्रैक्टर्स और BYOD को समेकित करता है। इसका परिणाम एक बेहतर सुरक्षा स्थिति, एक बेहतर विज़िटर अनुभव और एक ऐसा नेटवर्क है जो वास्तव में बड़े पैमाने पर प्रबंधनीय है। अपने VLAN डिज़ाइन से शुरुआत करें, RADIUS कॉन्फ़िगर करें, अपने SSIDs बनाएं और अपना वॉल्ड गार्डन सेट करें। Purple की ऑनबोर्डिंग टीम आपको आपके विशिष्ट हार्डवेयर प्लेटफ़ॉर्म के लिए कॉन्फ़िगरेशन के बारे में मार्गदर्शन कर सकती है। पूर्ण लिखित गाइड purple.ai पर उपलब्ध है। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist और Ubiquiti UniFi के लिए विक्रेता-विशिष्ट विवरण के साथ चरण-दर-चरण कॉन्फ़िगरेशन संदर्भ के लिए "three SSIDs to rule them all" खोजें। सुनने के लिए धन्यवाद।