Cisco WLC और Catalyst का Purple WiFi के साथ एकीकरण: चरण-दर-चरण गेस्ट एक्सेस गाइड

यह आधिकारिक गाइड Cisco Catalyst 9800 WLCs के Purple WiFi के साथ चरण-दर-चरण एकीकरण का विवरण देती है। इसमें गेस्ट Captive Portal के लिए External Web Authentication, सुरक्षित स्टाफ एक्सेस के लिए 802.1X EAP-TLS, और मल्टी-टेनेंट डायनेमिक VLAN सेगमेंटेशन के लिए Cisco iPSK शामिल है।

📖 6 मिनट का पाठ📝 1,300 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 8 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें

Purple तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। आज हम उस विषय को कवर कर रहे हैं जो हॉस्पिटैलिटी, रिटेल या बड़े पैमाने के स्थानों में काम करने वाले लगभग हर एंटरप्राइज़ नेटवर्क आर्किटेक्ट के डेस्क पर आता है: Cisco Wireless LAN Controllers और Catalyst वायरलेस इंफ्रास्ट्रक्चर को Purple के Guest WiFi प्लेटफॉर्म के साथ एकीकृत करना। यदि आप Cisco Catalyst 9800 सीरीज़ कंट्रोलर, या लीगेसी AireOS प्लेटफॉर्म चला रहे हैं, और आपको एक कंप्लायंट, सेगमेंटेड, एनालिटिक्स-संचालित गेस्ट नेटवर्क प्रदान करने की आवश्यकता है, तो यह ब्रीफिंग आपके लिए है। [medium pause]

आइए संदर्भ के साथ शुरुआत करें। Purple विश्व स्तर पर 80,000 से अधिक लाइव वेन्यू में काम करता है, और Cisco एंटरप्राइज़ वातावरण में प्रमुख वायरलेस इंफ्रास्ट्रक्चर विक्रेता है। इन दोनों प्लेटफॉर्म्स को एक साथ सुचारू रूप से काम करने के लिए प्रेरित करना जटिल नहीं है, लेकिन इसके लिए आपको शुरुआत में ही सही आर्किटेक्चरल निर्णय लेने की आवश्यकता होती है। यदि आप इन्हें गलत तरीके से चुनते हैं, तो आप रीडायरेक्ट लूप्स, VLAN बेमेल और RADIUS टाइमआउट को हल करने में हफ़्तों बिताएंगे। इन्हें सही तरीके से चुनें, और आपके पास एक ऐसा नेटवर्क होगा जो मेहमानों, कर्मचारियों और IoT डिवाइसों को स्वचालित रूप से सेगमेंट करता है, कंप्लायंट तरीके से फर्स्ट-पार्टी डेटा एकत्र करता है, और बिना किसी मैन्युअल हस्तक्षेप के सैकड़ों साइटों पर स्केल करता है। [medium pause]

तो आइए आर्किटेक्चर को समझते हैं। [short pause]

जब कोई गेस्ट Cisco डिप्लॉयमेंट पर आपके WiFi नेटवर्क से कनेक्ट होता है, तो इंटरनेट तक पहुंचने से पहले तीन चीजें होनी आवश्यक हैं। सबसे पहले, Cisco Catalyst 9800 WLC को उस प्रारंभिक HTTP अनुरोध को इंटरसेप्ट करना होगा और क्लाइंट को Purple के कैप्टिव पोर्टल पर रीडायरेक्ट करना होगा। दूसरा, Purple के पोर्टल को उपयोगकर्ता को प्रमाणित करना होगा, चाहे वह सोशल लॉगिन, ईमेल, SMS या साधारण नियमों और शर्तों की स्वीकृति के माध्यम से हो। तीसरा, Purple के RADIUS सर्वर को WLC को वापस सिग्नल देना होगा कि उपयोगकर्ता अधिकृत है, और वैकल्पिक रूप से उन्हें एक विशिष्ट VLAN में असाइन करना होगा। [medium pause]

पहले चरण को संभालने वाले मैकेनिज्म को एक्सटर्नल वेब ऑथेंटिकेशन या EWA कहा जाता है। Catalyst 9800 पर, आप एक वेब ऑथेंटिकेशन पैरामीटर मैप कॉन्फ़िगर करते हैं जो Purple के स्प्लैश पेज URL की ओर इशारा करता है। WLC अनऑथेंटिकेटेड क्लाइंट्स से सभी HTTP ट्रैफ़िक को इंटरसेप्ट करता है और उस URL पर 302 रीडायरेक्ट जारी करता है। आपको एक प्री-ऑथेंटिकेशन ACL को कॉन्फ़िगर करने की भी आवश्यकता होगी, या 9800 के URL फ़िल्टर फीचर का उपयोग करना होगा, ताकि Purple के पोर्टल IP एड्रेस को व्हाइटलिस्ट किया जा सके जिससे क्लाइंट प्रमाणित होने से पहले वास्तव में स्प्लैश पेज तक पहुंच सकें। Purple अपने पोर्टल के लिए दो IP एड्रेस प्रदान करता है, और आपको अपने प्री-ऑथ ACL में दोनों को अनुमति देनी होगी। [medium pause]

Catalyst 9800 के लिए कॉन्फ़िगरेशन क्रम इस प्रकार है। सबसे पहले, पैरामीटर मैप बनाएं। फिर प्री-ऑथेंटिकेशन के लिए Purple के डोमेन को अनुमति देने के लिए अपना URL फ़िल्टर कॉन्फ़िगर करें। इसे अपने WLAN पॉलिसी प्रोफाइल पर लागू करें, लेयर 2 सुरक्षा को None पर सेट करें, लेयर 3 पर वेब पॉलिसी सक्षम करें, और इसे अपने पैरामीटर मैप पर पॉइंट करें। [medium pause]

अब, RADIUS। Purple इस आर्किटेक्चर में RADIUS सर्वर के रूप में कार्य करता है। आप WLC को Purple के RADIUS एंडपॉइंट पर इंगित करने के लिए कॉन्फ़िगर करते हैं, जिसे आप Purple डैशबोर्ड में अपने स्थान की नेटवर्क सेटिंग्स के अंतर्गत पाएंगे। साझा सीक्रेट प्रति-स्थान जनरेट किया जाता है। Catalyst 9800 पर, Configuration, Security, AAA, Servers पर जाएं, और सही IP और साझा सीक्रेट के साथ Purple का RADIUS सर्वर जोड़ें। फिर एक सर्वर ग्रुप, एक ऑथेंटिकेशन मेथड लिस्ट बनाएं और इसे अपने WLAN पर लागू करें। [medium pause]

एक चीज़ जो लोगों को उलझा देती है: 9800 पर, आपको ग्लोबल वेब ऑथेंटिकेशन पैरामीटर मैप में वर्चुअल IP एड्रेस भी कॉन्फ़िगर करना होगा। वर्चुअल IPv4 एड्रेस के रूप में 192.0.2.1 का उपयोग करें। यदि आप इसे छोड़ देते हैं, तो क्लाइंट कभी-कभी Purple के पोर्टल के बजाय इंटरनल पोर्टल पर रीडायरेक्ट हो जाते हैं, और आप यह सोचने में एक परेशान करने वाली दोपहर बिताएंगे कि ऐसा क्यों हो रहा है। [medium pause]

आइए 802.1X वाले Staff WiFi पर आगे बढ़ते हैं। [short pause]

स्टाफ नेटवर्क के लिए, आप EAP-TLS का उपयोग करके सर्टिफिकेट-बेस्ड ऑथेंटिकेशन चाहते हैं, या उन वातावरणों के लिए MSCHAPv2 के साथ कम से कम PEAP चाहते हैं जहां सर्टिफिकेट डिप्लॉयमेंट संभव नहीं है। Catalyst 9800 पर, स्टाफ के लिए एक अलग WLAN बनाएं, लेयर 2 सिक्योरिटी को WPA2 Enterprise पर सेट करें, और ऑथेंटिकेशन को अपने RADIUS सर्वर पर इंगित करें। यदि आप अपने आइडेंटिटी प्रोवाइडर के रूप में Microsoft Entra ID या Okta का उपयोग कर रहे हैं, तो Purple का SecurePass ऐड-ऑन RADIUS प्रॉक्सी के रूप में कार्य करता है, जो 802.1X ऑथेंटिकेशन रिक्वेस्ट को आइडेंटिटी प्रोवाइडर लुकअप में बदल देता है। इसका मतलब है कि आपको स्टाफ ऑथेंटिकेशन के लिए एक अलग ऑन-प्रिमाइसेस RADIUS सर्वर की आवश्यकता नहीं है। Purple, EAP टर्मिनेशन को संभालता है और आइडेंटिटी चेक को आपके आइडेंटिटी प्रोवाइडर को फॉरवर्ड करता है। [medium pause]

विशेष रूप से EAP-TLS के लिए, आपको स्टाफ डिवाइस पर क्लाइंट सर्टिफिकेट डिप्लॉय करने की आवश्यकता होगी, चाहे Microsoft Intune, Jamf, या किसी समान MDM प्लेटफॉर्म के माध्यम से। सर्टिफिकेट चेन को Purple के RADIUS सर्वर द्वारा ट्रस्ट किया जाना चाहिए, जिसका अर्थ है कि अपना रूट CA सर्टिफिकेट Purple डैशबोर्ड पर अपलोड करना होगा। एक बार जब यह लागू हो जाता है, तो स्टाफ डिवाइस बिना किसी पासवर्ड प्रॉम्प्ट, बिना किसी स्पैश पेज के साइलेंटली ऑथेंटिकेट हो जाते हैं। उपयोगकर्ता कनेक्ट होता है, सर्टिफिकेट मान्य किया जाता है, और वे कुछ ही सेकंड में स्टाफ VLAN पर आ जाते हैं। [medium pause]

अब, वह हिस्सा जिसे अधिकांश आर्किटेक्ट वास्तव में दिलचस्प पाते हैं: Cisco Identity PSK, या iPSK। [short pause]

iPSK एक विशिष्ट समस्या का समाधान करता है जो मल्टी-टेनेंट वातावरण में लगातार सामने आती है। 300 कमरों वाले एक होटल, या 50 स्टोर वाले रिटेल एस्टेट, या 200 अपार्टमेंट वाले बिल्ड-टू-रेंट डेवलपमेंट की कल्पना करें। आप एक सिंगल SSID चाहते हैं, लेकिन आपको प्रत्येक टेनेंट, प्रत्येक कमरे, या प्रत्येक डिवाइस ग्रुप को उसके अपने VLAN पर आइसोलेट करने की आवश्यकता है। पारंपरिक उत्तर प्रति टेनेंट एक अलग SSID बनाना था, जो स्केल नहीं होता है और रेडियो फ्रीक्वेंसी कंजेशन पैदा करता है। iPSK आपको एक सिंगल SSID देता है जहाँ प्रत्येक क्लाइंट या क्लाइंट्स के ग्रुप के पास एक यूनिक प्री-शेयर्ड की होती है, और RADIUS सर्वर उस की को एक विशिष्ट VLAN से मैप करता है। [medium pause]

यह तकनीकी रूप से इस तरह काम करता है। जब कोई क्लाइंट SSID से जुड़ता है, तो Catalyst 9800 WLC, Purple के RADIUS सर्वर को एक RADIUS Access-Request भेजता है, जिसमें क्लाइंट का MAC एड्रेस शामिल होता है। Purple का RADIUS सर्वर अपने iPSK डेटाबेस में उस MAC एड्रेस को खोजता है, संबंधित PSK और VLAN असाइनमेंट ढूंढता है, और PSK के साथ Cisco AV-pair और VLAN असाइनमेंट के लिए IETF टनल एट्रिब्यूट्स वाले एक RADIUS Access-Accept को वापस करता है। WLC प्राप्त हुए PSK का उपयोग WPA2 फोर-वे हैंडशेक को पूरा करने के लिए करता है, और फिर क्लाइंट को असाइन किए गए VLAN पर रख देता है। [medium pause]

डायनेमिक VLAN असाइनमेंट के लिए आपको जिन तीन RADIUS एट्रिब्यूट्स की आवश्यकता होती है, वे हैं: IETF एट्रिब्यूट 64, Tunnel-Type, जिसे 13 मान के साथ VLAN पर सेट किया गया है। IETF एट्रिब्यूट 65, Tunnel-Medium-Type, जिसे 6 मान के साथ 802 पर सेट किया गया है। और IETF एट्रिब्यूट 81, Tunnel-Private-Group-ID, जिसे एक स्ट्रिंग के रूप में VLAN ID पर सेट किया गया है। RADIUS Access-Accept में एक साथ भेजे गए ये तीन एट्रिब्यूट्स WLC को ठीक से बताते हैं कि कौन सा VLAN असाइन करना है। VLAN पहले से ही WLC पर एक डायनेमिक इंटरफ़ेस के रूप में मौजूद होना चाहिए, और अपलिंक स्विच पोर्ट को सभी प्रासंगिक VLANs ले जाने वाले ट्रंक के रूप में कॉन्फ़िगर किया जाना चाहिए। [medium pause]

WLC की तरफ, iPSK WLAN पर MAC फ़िल्टरिंग सक्षम करें, AAA Override सक्षम करें, और लेयर 2 सुरक्षा को WPA2-PSK पर सेट करें। WLAN पर आपके द्वारा कॉन्फ़िगर किया गया ग्लोबल PSK केवल एक फ़ॉलबैक के रूप में कार्य करता है। Purple के iPSK डेटाबेस में पंजीकृत MAC एड्रेस वाले किसी भी क्लाइंट के लिए RADIUS-रिटर्न वाले PSK को प्राथमिकता दी जाती है। अपंजीकृत डिवाइसों के लिए, आप अपनी नीति के आधार पर या तो एक्सेस को अस्वीकार कर सकते हैं या ग्लोबल PSK पर वापस जा सकते हैं। [medium pause]

इसे स्पष्ट करने के लिए मैं आपको दो वास्तविक दुनिया के उदाहरण देता हूँ। [short pause]

पहला उदाहरण: एक 200 कमरों वाला होटल। होटल चाहता है कि मेहमान केवल इंटरनेट एक्सेस के साथ VLAN 10 पर हों, कर्मचारी प्रॉपर्टी मैनेजमेंट सिस्टम तक पहुंच के साथ VLAN 20 पर हों, और IoT डिवाइस, दरवाजों के लॉक, थर्मोस्टेट, CCTV, बिना इंटरनेट एक्सेस के VLAN 30 पर हों। वे Cisco 9100 सीरीज़ एक्सेस पॉइंट्स के साथ Cisco Catalyst 9800 कंट्रोलर चला रहे हैं। [medium pause]

आर्किटेक्चर: WLC पर तीन पॉलिसी प्रोफाइल, प्रति VLAN एक। मेहमानों के लिए एक सिंगल SSID जो Purple की ओर इशारा करने वाले एक्सटर्नल वेब ऑथेंटिकेशन का उपयोग कर रहा है। Microsoft Entra ID के खिलाफ Purple SecurePass के माध्यम से प्रमाणित, EAP-TLS के साथ WPA2 Enterprise का उपयोग करने वाले कर्मचारियों के लिए एक अलग SSID। और IoT डिवाइसों के लिए iPSK, जिसमें प्रत्येक डिवाइस का MAC एड्रेस Purple के पोर्टल में पंजीकृत है और VLAN 30 को असाइन किया गया है। होटल का प्रॉपर्टी मैनेजमेंट सिस्टम Purple के API के माध्यम से नए IoT डिवाइसों को प्रोविज़न करता है, इसलिए जब कोई नया डोर लॉक इंस्टॉल किया जाता है, तो उसका MAC एड्रेस अपने आप पंजीकृत हो जाता है और सही VLAN को असाइन हो जाता है। किसी मैन्युअल RADIUS कॉन्फ़िगरेशन की आवश्यकता नहीं है। [medium pause]

दूसरा उदाहरण: 80 स्टोर्स वाली एक रिटेल चेन। प्रत्येक स्टोर में एक गेस्ट WiFi नेटवर्क, एक स्टाफ नेटवर्क और पेमेंट टर्मिनल्स के लिए एक नेटवर्क है। PCI DSS अनुपालन के लिए पेमेंट टर्मिनल नेटवर्क को गेस्ट नेटवर्क से पूरी तरह से अलग रखना आवश्यक है। रिटेलर प्रत्येक साइट पर Cisco Catalyst 9800-L कंट्रोलर का उपयोग करता है, जिसे Cisco Catalyst Centre के माध्यम से केंद्रीय रूप से प्रबंधित किया जाता है। [medium pause]
Purple क्लाउड ओवरले के रूप में काम करता है। प्रत्येक स्टोर के WLC को Purple के RADIUS सर्वर विवरण के साथ कॉन्फ़िगर किया जाता है। गेस्ट ऑथेंटिकेशन ईमेल कैप्चर वाले एक ब्रांडेड स्पैश पेज का उपयोग करता है, जो Purple के एनालिटिक्स प्लेटफॉर्म में फर्स्ट-पार्टी डेटा भेजता है। स्टाफ ऑथेंटिकेशन Purple SecurePass के माध्यम से Active Directory के विरुद्ध PEAP का उपयोग करता है। पेमेंट टर्मिनल एक समर्पित VLAN के साथ iPSK का उपयोग करते हैं, और प्री-ऑथेंटिकेशन ACL पेमेंट VLAN और गेस्ट VLAN के बीच किसी भी ट्रैफ़िक को स्पष्ट रूप से ब्लॉक करता है, जो नेटवर्क सेगमेंटेशन के लिए PCI-DSS आवश्यकता 1.3 को पूरा करता है। [medium pause]

आइए अब कमियों के बारे में बात करते हैं। [short pause]

सबसे आम विफलता मोड रीडायरेक्ट लूप है। यह तब होता है जब प्री-ऑथेंटिकेशन ACL Purple के पोर्टल IP एड्रेस को सही ढंग से व्हाइटलिस्ट नहीं करता है, इसलिए WLC क्लाइंट को Purple के पोर्टल पर रीडायरेक्ट करता है, लेकिन क्लाइंट पोर्टल तक नहीं पहुंच पाता क्योंकि ACL इसे ब्लॉक कर देता है, जिससे WLC बार-बार रीडायरेक्ट करता रहता है। समाधान: सत्यापित करें कि आपके URL फ़िल्टर या प्री-ऑथेंटिकेशन ACL में Purple के दोनों पोर्टल IP एड्रेस शामिल हैं, और पुष्टि करें कि प्री-ऑथेंटिकेशन में DNS रिज़ॉल्यूशन की अनुमति है। [medium pause]

दूसरी आम समस्या VLAN मिसमैच है। RADIUS सर्वर एक VLAN ID देता है जो WLC पर डायनेमिक इंटरफ़ेस के रूप में मौजूद नहीं है। WLC फिर क्लाइंट को नेटिव VLAN पर रख देता है, जो आमतौर पर मैनेजमेंट VLAN होता है। यह एक सुरक्षा जोखिम है। समाधान: डिप्लॉय करने से पहले, Purple के RADIUS नियमों में कॉन्फ़िगर किए गए VLAN ID के साथ अपने WLC डायनेमिक इंटरफेस का ऑडिट करें। वे बिल्कुल मेल खाने चाहिए। [medium pause]

तीसरी कमी: EAP-TLS डिप्लॉयमेंट में सर्टिफिकेट ट्रस्ट की विफलता। यदि क्लाइंट की सर्टिफिकेट चेन पर Purple के RADIUS सर्वर द्वारा भरोसा नहीं किया जाता है, तो यूजर के दृष्टिकोण से ऑथेंटिकेशन बिना किसी सूचना के विफल हो जाता है। वे बस कनेक्ट नहीं कर पाते हैं। समाधान: क्लाइंट सर्टिफिकेट रोल आउट करने से पहले अपने रूट CA और किसी भी इंटरमीडिएट CA सर्टिफिकेट को Purple के SecurePass कॉन्फ़िगरेशन पर अपलोड करें। पूरे बेड़े में रोल आउट करने से पहले एक सिंगल डिवाइस के साथ परीक्षण करें। [medium pause]

त्वरित सवाल-जवाब। [short pause]

क्या मैं WLC के बजाय Cisco Meraki के साथ Purple का उपयोग कर सकता हूँ? हाँ। Cisco Meraki के पास अपना कैप्टिव पोर्टल इंटीग्रेशन मैकेनिज्म है, और Purple इसका मूल रूप से समर्थन करता है। RADIUS कॉन्फ़िगरेशन समान है लेकिन WLC कमांड लाइन के बजाय Meraki के डैशबोर्ड का उपयोग करता है। [short pause]

क्या Purple Cisco पर WPA3 का समर्थन करता है? हाँ। WPA3-SAE का समर्थन IOS-XE 17.3 और बाद के संस्करणों के साथ Cisco Catalyst 9800 पर किया जाता है। Purple का RADIUS इंटीग्रेशन WPA3 के साथ समान रूप से काम करता है। [short pause]

RADIUS टाइमआउट की सिफारिश क्या है? अपने प्राइमरी RADIUS सर्वर टाइमआउट को दो प्रयासों के साथ तीन सेकंड पर सेट करें। फेलओवर के लिए सेकेंडरी RADIUS सर्वर कॉन्फ़िगर करें। Purple एंटरप्राइज ग्राहकों के लिए रिडंडेंट RADIUS एंडपॉइंट प्रदान करता है। [short pause]

क्या मैं Purple के साथ Cisco ISE का उपयोग कर सकता हूँ? हाँ। कुछ संगठन पोस्चर असेसमेंट और डिवाइस प्रोफाइलिंग के लिए ISE का उपयोग करते हैं जबकि गेस्ट पोर्टल और एनालिटिक्स के लिए Purple का उपयोग करते हैं। दोनों RADIUS सर्वर अलग-अलग WLAN पर कॉन्फ़िगर किए गए हैं। [medium pause]

संक्षेप में कहें तो। [short pause]

Cisco WLC और Catalyst वायरलेस इंफ्रास्ट्रक्चर गेस्ट Captive Portal रिडायरेक्शन के लिए External Web Authentication, Purple SecurePass के माध्यम से स्टाफ ऑथेंटिकेशन के लिए 802.1X EAP-TLS या PEAP, और मल्टी-टेनेंट और IoT सेगमेंटेशन के लिए डायनेमिक VLAN असाइनमेंट के साथ Cisco iPSK का उपयोग करके Purple के साथ आसानी से एकीकृत होता है। तीन RADIUS VLAN एट्रिब्यूट - Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID - वे तंत्र हैं जो डायनेमिक सेगमेंटेशन को संचालित करते हैं। फ्लीट डिप्लॉयमेंट से पहले अपने प्री-ऑथ ACLs को सही करें, RADIUS और WLC के बीच अपने VLAN IDs का मिलान करें, और सर्टिफिकेट ट्रस्ट चेन का परीक्षण करें। [medium pause]

Purple 80,000 से अधिक स्थानों पर काम करता है और इसने 2024 में 440 मिलियन लॉगिन प्रोसेस किए हैं। Cisco इंटीग्रेशन वैश्विक स्तर पर हमारे सबसे अधिक डिप्लॉय किए गए कॉन्फ़िगरेशन में से एक है। यदि आप शुरुआत करना चाहते हैं, तो Purple डैशबोर्ड आपको प्रति-स्थान RADIUS कॉन्फ़िगरेशन के बारे में मार्गदर्शन करता है, और हमारी इंटीग्रेशन टीम एंटरप्राइज़ डिप्लॉयमेंट के लिए उपलब्ध है। [medium pause]

इस ब्रीफिंग के लिए बस इतना ही। सुनने के लिए धन्यवाद।

मुख्य निष्कर्ष

✓बिना ऑथेंटिकेशन वाले गेस्ट ट्रैफ़िक को Purple के ब्रांडेड Captive Portal पर रीडायरेक्ट करने के लिए Catalyst 9800 WLCs पर External Web Authentication (EWA) का उपयोग करें।
✓रीडायरेक्ट लूप से बचने के लिए सुनिश्चित करें कि प्री-ऑथेंटिकेशन ACL या URL फ़िल्टर स्पष्ट रूप से Purple के पोर्टल IP एड्रेस तक पहुँच की अनुमति देते हैं।
✓कर्मचारियों को 802.1X EAP-TLS या PEAP के माध्यम से सीधे Entra ID या Okta के खिलाफ ऑथेंटिकेट करने के लिए क्लाउड RADIUS प्रॉक्सी के रूप में Purple SecurePass तैनात करें।
✓एक ही SSID का उपयोग करके IoT उपकरणों और मल्टी-टेनेंट उपयोगकर्ताओं को विशिष्ट VLAN पर सुरक्षित रूप से विभाजित करने के लिए Cisco Identity PSK (iPSK) का लाभ उठाएं।
✓RADIUS-संचालित डायनेमिक VLAN असाइनमेंट की अनुमति देने के लिए हमेशा WLC पर 'AAA Override' सक्षम करें और सुनिश्चित करें कि स्थानीय स्तर पर डायनेमिक इंटरफ़ेस मौजूद हैं।
✓ऑथेंटिकेशन के लिए उच्च उपलब्धता सुनिश्चित करने के लिए 3-सेकंड के टाइमआउट और 2 रीट्राय के साथ सेकेंडरी RADIUS सर्वर कॉन्फ़िगर करें।

कार्यकारी सारांश (Executive Summary)

एंटरप्राइज परिवेशों में एक सुरक्षित, अनुपालन-अनुकूल और स्केलेबल वायरलेस नेटवर्क को तैनात करने के लिए इन्फ्रास्ट्रक्चर और पहचान प्रदाताओं (identity providers) के बीच कड़े एकीकरण की आवश्यकता होती है। यह गाइड Cisco Catalyst 9800 Wireless LAN Controllers (WLC) को Purple के क्लाउड प्लेटफ़ॉर्म के साथ एकीकृत करने के लिए आवश्यक आर्किटेक्चरल निर्णयों और कॉन्फ़िगरेशन चरणों का विवरण देती है।

अतिथि (guest) एक्सेस के लिए, हम Captive Portal रीडायरेक्शन के लिए External Web Authentication (EWA) का पता लगाते हैं, जो फ़र्स्ट-पार्टी डेटा कैप्चर और Guest WiFi एनालिटिक्स को सक्षम बनाता है। स्टाफ एक्सेस के लिए, हम Microsoft Entra ID या Okta के लिए RADIUS प्रॉक्सी के रूप में Purple SecurePass का उपयोग करके 802.1X EAP-TLS और PEAP प्रमाणीकरण का विवरण देते हैं। IoT और मल्टी-टेनेंट परिवेशों के लिए, हम Cisco Identity PSK (iPSK) कॉन्फ़िगरेशन को रेखांकित करते हैं, जो जटिल प्रमाणपत्र तैनाती पर निर्भर किए बिना एकल SSID पर डायनामिक VLAN असाइनमेंट और नेटवर्क सेगमेंटेशन को सक्षम बनाता है।

Purple वैश्विक स्तर पर 80,000+ से अधिक लाइव स्थानों पर काम करता है, जिसने 2024 में 440 मिलियन लॉगिन को प्रोसेस किया है। यह एकीकरण उच्च-घनत्व वाले Hospitality , Retail , और Transport परिवेशों में सिद्ध है जहां अपटाइम, अनुपालन और निर्बाध उपयोगकर्ता अनुभव से समझौता नहीं किया जा सकता है।

तकनीकी गहन विश्लेषण: आर्किटेक्चर और प्रमाणीकरण प्रवाह

1. Guest WiFi: External Web Authentication (EWA)

एक ब्रांडेड Captive Portal प्रदान करने और WiFi Analytics के लिए उपयोगकर्ता डेटा कैप्चर करने के लिए, Cisco Catalyst 9800 WLC को अप्रमाणित HTTP ट्रैफ़िक को रोकना होगा और इसे Purple के क्लाउड-होस्ट किए गए स्प्लैश पेज पर रीडायरेक्ट करना होगा। इस तंत्र को External Web Authentication (EWA) कहा जाता है।

यह प्रक्रिया एक विशिष्ट अनुक्रम का पालन करती है:

क्लाइंट ओपन या Opportunistic Wireless Encryption (OWE) SSID से जुड़ता है।
WLC क्लाइंट को Webauth_reqd स्थिति में रखता है और प्री-ऑथेंटिकेशन एक्सेस कंट्रोल लिस्ट (ACL) लागू करता है।
WLC क्लाइंट के HTTP अनुरोध को रोकता है और Purple के स्प्लैश पेज URL पर 302 रीडायरेक्ट जारी करता है, जिसमें AP MAC एड्रेस, क्लाइंट MAC एड्रेस और WLAN SSID जैसे पैरामीटर शामिल होते हैं।
क्लाइंट Purple पोर्टल पर प्रमाणीकरण यात्रा पूरी करता है (जैसे, सोशल लॉगिन, ईमेल कैप्चर, या शर्तों की स्वीकृति)।
Purple का RADIUS सर्वर WLC को एक Access-Accept संदेश भेजता है।
WLC क्लाइंट को Run स्थिति में ले जाता है, जिससे पोस्ट-ऑथेंटिकेशन पॉलिसी के आधार पर इंटरनेट एक्सेस प्रदान किया जाता है।

2. Staff WiFi: 802.1X EAP-TLS और PEAP

कॉर्पोरेट डिवाइस के लिए, 802.1X के साथ WPA2/WPA3 Enterprise सबसे मजबूत सुरक्षा प्रदान करता है। Cisco ISE जैसे ऑन-प्रिमाइसेस RADIUS सर्वर को तैनात करने के बजाय, Purple SecurePass एक क्लाउड RADIUS प्रॉक्सी के रूप में कार्य करता है। यह एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल (EAP) टनल को समाप्त करता है और पहचान सत्यापन को आपके आइडेंटिटी प्रोवाइडर (IdP), जैसे कि Microsoft Entra ID या Google Workspace पर फॉरवर्ड करता है।

EAP-TLS: प्रबंधित कॉर्पोरेट डिवाइस के लिए अनुशंसित। इसके लिए MDM (जैसे, Microsoft Intune) के माध्यम से क्लाइंट सर्टिफिकेट तैनात करने की आवश्यकता होती है। ऑथेंटिकेशन मूक और अत्यधिक सुरक्षित होता है।
PEAP-MSCHAPv2: BYOD परिवेशों के लिए अनुशंसित जहां सर्टिफिकेट की तैनाती व्यावहारिक नहीं है। उपयोगकर्ता अपने कॉर्पोरेट क्रेडेंशियल के साथ ऑथेंटिकेट करते हैं।

3. IoT और मल्टी-टेनेंट: Cisco Identity PSK (iPSK)

बिल्ड-टू-रेंट (BTR) प्रॉपर्टीज, छात्र आवास, या कई IoT डिवाइस वाले रिटेल स्टोर जैसे परिवेशों में, 802.1X को तैनात करना अक्सर असंभव होता है क्योंकि डिवाइस में सप्लिकेंट सपोर्ट नहीं होता है। प्रत्येक टेनेंट या डिवाइस प्रकार के लिए एक अलग SSID बनाने से RF कंजेशन होता है।

Cisco iPSK एक ही SSID पर कई विशिष्ट प्री-शेयर्ड कीज़ (PSKs) की अनुमति देकर इसे हल करता है। जब कोई डिवाइस संबद्ध होता है, तो WLC उसका MAC एड्रेस Purple के RADIUS सर्वर पर भेजता है। Purple डायनेमिक VLAN असाइनमेंट एट्रिब्यूट्स के साथ उस डिवाइस के लिए विशिष्ट PSK वापस करता है, जिससे स्विच पोर्ट पर ट्रैफिक अलग हो जाता है।

कार्यान्वयन गाइड

गेस्ट Captive Portal रीडायरेक्शन कॉन्फ़िगर करना

Catalyst 9800 WLC पर एक्सटर्नल वेब ऑथेंटिकेशन को कॉन्फ़िगर करने के लिए, आपको Purple के पोर्टल पर प्री-ऑथेंटिकेशन ट्रैफिक की अनुमति देने के लिए एक पैरामीटर मैप और एक URL फ़िल्टर को परिभाषित करना होगा [1]।

स्टेप 1: वेब ऑथेंटिकेशन पैरामीटर मैप बनाएं

WLC को क्लाइंट्स को Purple पोर्टल पर रीडायरेक्ट करने के लिए कॉन्फ़िगर करें, और आवश्यक वेरिएबल्स पास करें। आपको वर्चुअल IPv4 एड्रेस (आमतौर पर 192.0.2.1) को ग्लोबली कॉन्फ़िगर करना होगा।

parameter-map type webauth PURPLE-GUEST
  type consent
  timeout init-state sec 600
  redirect for-login https://portal.purple.ai
  redirect append ap-mac tag ap_mac
  redirect append wlan-ssid tag wlan
  redirect append client-mac tag client_mac
  redirect portal ipv4 
  logout-window-disabled
  success-window-disabled

स्टेप 2: प्री-ऑथेंटिकेशन URL फ़िल्टर कॉन्फ़िगर करें

क्लाइंट्स को ऑथेंटिकेट होने से पहले Purple के पोर्टल तक पहुंचना होगा। 9800 WLC DNS स्नूपिंग के आधार पर इंटरसेप्ट ACL में डायनेमिक रूप से सुराग बनाने के लिए URL फ़िल्टर का उपयोग करता है।

urlfilter list PURPLE-PREAUTH
  action permit
  url portal.purple.ai

इस URL फ़िल्टर को अपनी WLAN पॉलिसी प्रोफाइल पर प्री-ऑथेंटिकेशन ACL सेटिंग्स के तहत लागू करें।

iPSK के लिए डायनेमिक VLAN असाइनमेंट कॉन्फ़िगर करना

उपयोगकर्ताओं या उपकरणों को गतिशील रूप से विशिष्ट VLANs में रखने के लिए, Purple RADIUS सर्वर को Access-Accept प्रतिक्रिया [2] में तीन विशिष्ट IETF विशेषताएँ भेजनी चाहिए।

IETF 64 (Tunnel-Type): VLAN (मान 13) पर सेट करें।
IETF 65 (Tunnel-Medium-Type): 802 (मान 6) पर सेट करें।
IETF 81 (Tunnel-Private-Group-ID): VLAN ID को एक स्ट्रिंग के रूप में सेट करें (जैसे, "10")।

Catalyst 9800 WLC पर, सुनिश्चित करें कि iPSK WLAN पर निम्नलिखित कॉन्फ़िगर किए गए हैं:

MAC फ़िल्टरिंग सक्षम है।
AAA Override सक्षम है (RADIUS VLAN असाइनमेंट को स्वीकार करने के लिए महत्वपूर्ण है)।
Layer 2 सुरक्षा WPA2-PSK पर सेट है (कॉन्फ़िगर किया गया PSK एक फ़ॉलबैक के रूप में कार्य करता है)।

सर्वोत्तम प्रथाएं

VLAN सत्यापन: RADIUS सर्वर द्वारा Tunnel-Private-Group-ID में लौटाया गया VLAN ID, WLC पर एक गतिशील इंटरफ़ेस के रूप में मौजूद होना चाहिए। यदि ऐसा नहीं होता है, तो WLC क्लाइंट को मूल VLAN पर छोड़ देता है, जिससे एक गंभीर सुरक्षा जोखिम पैदा होता है।
प्रमाणपत्र ट्रस्ट चेन: EAP-TLS परिनियोजन के लिए, क्लाइंट प्रमाणपत्रों को रोल आउट करने से पहले अपने Root CA और किसी भी Intermediate CA प्रमाणपत्र को Purple SecurePass डैशबोर्ड पर अपलोड करें। यदि RADIUS सर्वर चेन को मान्य नहीं कर सकता है, तो प्रमाणीकरण चुपचाप विफल हो जाता है।
अनावश्यक RADIUS: हमेशा द्वितीयक RADIUS सर्वर कॉन्फ़िगर करें। उपयोगकर्ता को निराश किए बिना तेजी से फ़ेलओवर सुनिश्चित करने के लिए प्राथमिक टाइमआउट को 2 रिट्राय के साथ 3 सेकंड पर सेट करें।
WPA3 अपनाना: iPSK नेटवर्क के लिए WPA3-SAE का उपयोग करें जहाँ क्लाइंट उपकरणों द्वारा समर्थित हो। खुले अतिथि नेटवर्क के लिए, पासवर्ड की आवश्यकता के बिना ट्रैफ़िक को एन्क्रिप्ट करने के लिए WPA3-OWE (ऑपर्च्युनिस्टिक वायरलेस एन्क्रिप्शन) लागू करें।

समस्या निवारण और जोखिम शमन

विफलता मोड	लक्षण	मूल कारण	शमन
रीडायरेक्ट लूप	क्लाइंट डिवाइस बिना लोड किए लगातार Captive Portal पेज को रिफ्रेश करता रहता है।	प्री-ऑथेंटिकेशन ACL या URL फ़िल्टर Purple के पोर्टल IP पते तक पहुंच की अनुमति नहीं देता है। WLC क्लाइंट को रीडायरेक्ट करता है, क्लाइंट पेज लोड करने का प्रयास करता है, WLC इसे ब्लॉक करता है और फिर से रीडायरेक्ट करता है।	सत्यापित करें कि `PURPLE-PREAUTH` URL फ़िल्टर पॉलिसी प्रोफ़ाइल पर लागू है और पोर्टल डोमेन की स्पेलिंग सही है। सुनिश्चित करें कि DNS ट्रैफ़िक को प्री-ऑथ की अनुमति है।
iPSK फ़ॉलबैक विफलता	अपंजीकृत IoT डिवाइस नेटवर्क से जुड़ता है लेकिन गलत IP पता प्राप्त करता है।	डिवाइस का MAC पता Purple के RADIUS डेटाबेस में नहीं है। WLC WLAN पर कॉन्फ़िगर किए गए वैश्विक PSK पर वापस आ जाता है और डिफ़ॉल्ट VLAN असाइन करता है।	Purple डैशबोर्ड में MAC पते का ऑडिट करें। सुनिश्चित करें कि WLAN पॉलिसी प्रोफ़ाइल को सौंपा गया डिफ़ॉल्ट VLAN एक प्रतिबंधित संगरोध (quarantine) नेटवर्क है, न कि कॉर्पोरेट LAN।
RADIUS टाइमआउट	क्लाइंट्स को कनेक्ट करने में लंबा विलंब होता है; WLC लॉग RADIUS सर्वर को अप्राप्य दिखाते हैं।	WLC और Purple के क्लाउड RADIUS एंडपॉइंट के बीच फ़ायरवॉल UDP पोर्ट 1812 (प्रमाणीकरण) या 1813 (अकाउंटिंग) को ब्लॉक कर रहे हैं।	सत्यापित करें कि आउटबाउंड फ़ायरवॉल नियम WLC प्रबंधन इंटरफ़ेस से Purple के प्रकाशित RADIUS IP पतों पर UDP 1812/1813 की अनुमति देते हैं।

ROI और व्यावसायिक प्रभाव

Cisco और Purple के साथ एक एकीकृत आर्किटेक्चर लागू करना तीन प्रमुख स्तंभों में मापने योग्य व्यावसायिक मूल्य प्रदान करता है:

परिचालन दक्षता (Operational Efficiency): मैन्युअल VLAN प्रोविजनिंग और कई SSIDs को iPSK से बदलने से IT टिकटों की संख्या कम हो जाती है। API के माध्यम से IoT ऑनबोर्डिंग को ऑटोमैटिक करने से प्रति साइट तकनीशियन के कई घंटों के समय की बचत होती है।
अनुपालन और सुरक्षा (Compliance and Security): डायनेमिक VLAN असाइनमेंट पेमेंट टर्मिनलों को गेस्ट ट्रैफ़िक से पूरी तरह से अलग करके रिटेल परिवेश में PCI DSS अनुपालन सुनिश्चित करता है (आवश्यकता 1.3)। EAP-TLS साझा स्टाफ पासवर्ड के जोखिम को समाप्त करता है।
राजस्व सृजन (Revenue Generation): Captive Portal एकीकरण एक लागत केंद्र (गेस्ट WiFi) को एक मार्केटिंग संपत्ति में बदल देता है। सोच-समझकर किए गए ऑप्ट-इन को कैप्चर करने से एक फर्स्ट-पार्टी डेटाबेस तैयार होता है जो लॉयल्टी अभियानों और बार-बार आने वाले विज़िट्स को बढ़ावा देता है।

संदर्भ

[1] Cisco Systems, "Configure Spaces Captive Portal with Catalyst 9800 WLC," मई 2025. [2] Cisco Systems, "Configure a RADIUS Server and WLC for Dynamic VLAN Assignment," सितंबर 2012.

मुख्य परिभाषाएं

External Web Authentication (EWA)

एक ऐसी प्रक्रिया जहां Cisco WLC अप्रमाणित HTTP ट्रैफ़िक को रोकता है और क्लाइंट को प्रमाणीकरण के लिए बाहरी रूप से होस्ट किए गए Captive Portal (जैसे Purple) पर रीडायरेक्ट करता है।

WLC के सीमित आंतरिक वेब सर्वर पर निर्भर हुए बिना ब्रांडेड स्प्लैश पेज देने और फर्स्ट-पार्टी डेटा कैप्चर करने के लिए उपयोग किया जाता है।

Identity PSK (iPSK)

एक Cisco सुविधा जो एक ही SSID पर कई विशिष्ट Pre-Shared Keys का उपयोग करने की अनुमति देती है, जिसमें प्रत्येक की को RADIUS के माध्यम से एक विशिष्ट क्लाइंट MAC एड्रेस और VLAN से मैप किया जाता है।

IoT उपकरणों और मल्टी-टेनेंट वातावरण को सुरक्षित करने के लिए आवश्यक है जहाँ 802.1X असमर्थित है, जिससे कई SSIDs की आवश्यकता कम हो जाती है।

AAA Override

Cisco WLC पर एक WLAN सेटिंग जो कंट्रोलर को RADIUS सर्वर द्वारा लौटाए गए पॉलिसी पैरामीटर (जैसे VLAN IDs या ACLs) को स्वीकार करने के लिए बाध्य करती है, जो स्थानीय WLAN कॉन्फ़िगरेशन को ओवरराइड करती है।

डायनेमिक VLAN असाइनमेंट और iPSK को सही ढंग से कार्य करने के लिए सक्षम किया जाना चाहिए।

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security। एक अत्यधिक सुरक्षित 802.1X प्रमाणीकरण विधि जो पासवर्ड के बजाय पारस्परिक प्रमाणपत्र एक्सचेंज पर निर्भर करती है।

स्टाफ WiFi सुरक्षा के लिए स्वर्ण मानक, जिसके लिए कॉर्पोरेट उपकरणों पर क्लाइंट प्रमाणपत्र तैनात करने के लिए एक MDM की आवश्यकता होती है।

PEAP-MSCHAPv2

Protected Extensible Authentication Protocol। एक 802.1X विधि जो प्रमाणीकरण प्रक्रिया को TLS टनल के भीतर एन्क्रिप्ट करती है, जिससे उपयोगकर्ता उपयोगकर्ता नाम और पासवर्ड के साथ सुरक्षित रूप से प्रमाणित हो सकते हैं।

BYOD स्टाफ नेटवर्क के लिए उपयोग किया जाता है जहाँ क्लाइंट प्रमाणपत्र तैनात करना व्यवहार्य नहीं है।

Pre-Authentication ACL

प्रमाणित होने से पहले वायरलेस क्लाइंट पर लागू की गई एक एक्सेस कंट्रोल लिस्ट, जो यह निर्धारित करती है कि वे वास्तव में किन नेटवर्क संसाधनों तक पहुँच सकते हैं।

Captive Portal के लिए महत्वपूर्ण; इसे अन्य सभी ट्रैफ़िक को ब्लॉक करते हुए DNS और Purple स्प्लैश पेज IPs तक पहुंच की अनुमति देनी चाहिए।

Dynamic Interface

WLC पर बनाया गया एक लॉजिकल इंटरफ़ेस जो एक विशिष्ट VLAN ID और भौतिक पोर्ट से मैप किया जाता है।

जब RADIUS डायनेमिक असाइनमेंट के लिए VLAN ID लौटाता है, तो वह VLAN पहले से ही WLC पर एक डायनेमिक इंटरफ़ेस के रूप में मौजूद होना चाहिए, अन्यथा क्लाइंट को नेटिव VLAN पर छोड़ दिया जाएगा।

WPA3-SAE

Simultaneous Authentication of Equals. WPA2-PSK का आधुनिक रिप्लेसमेंट, जो फॉरवर्ड सीक्रेसी और ऑफलाइन डिक्शनरी हमलों के खिलाफ सुरक्षा प्रदान करता है।

आधुनिक IoT और गेस्ट नेटवर्क को सुरक्षित करने के लिए Cisco Catalyst 9800 और Purple RADIUS द्वारा समर्थित।

हल किए गए उदाहरण

एक 200 कमरों वाले होटल को एक ही Cisco Catalyst 9800 WLC का उपयोग करके मेहमानों, कर्मचारियों और IoT उपकरणों (दरवाजे के लॉक, थर्मोस्टेट) के बीच नेटवर्क ट्रैफ़िक को विभाजित करने की आवश्यकता है, बिना कई SSIDs बनाए जो RF कंजेशन का कारण बनते हैं।

Cisco iPSK का उपयोग करके एक एकल SSID तैनात करें। Purple के डैशबोर्ड में प्रत्येक IoT उपकरण का MAC एड्रेस पंजीकृत करें, और प्रत्येक को VLAN 30 पर असाइन करें। MAC फ़िल्टरिंग, AAA Override और WPA2-PSK के साथ WLC WLAN को कॉन्फ़िगर करें। जब एक दरवाजा लॉक कनेक्ट होता है, तो Purple का RADIUS सर्वर डिवाइस को गतिशील रूप से VLAN 30 पर भेजने के लिए विशिष्ट PSK और IETF एट्रिब्यूट्स 64, 65, और 81 लौटाता है। मेहमान External Web Authentication के साथ एक अलग ओपन SSID का उपयोग करते हैं जो Purple के Captive Portal की ओर इंगित करता है।

परीक्षक की टिप्पणी: यह दृष्टिकोण सख्त लेयर 2 आइसोलेशन को बनाए रखते हुए SSID ओवरहेड को कम करता है। बिना स्क्रीन वाले IoT उपकरणों के लिए iPSK का उपयोग करने से उन एंडपॉइंट्स पर 802.1X प्रमाणपत्र तैनात करने की जटिलता से बचा जा सकता है जो उनका समर्थन नहीं करते हैं।

80 स्टोर वाली एक रिटेल चेन को PCI DSS अनुपालन बनाए रखने के लिए पेमेंट टर्मिनल ट्रैफ़िक को गेस्ट WiFi ट्रैफ़िक से अलग करना होगा, जिसे Cisco Catalyst Centre के माध्यम से केंद्रीय रूप से प्रबंधित किया जाता है।

गेस्ट SSID को प्री-ऑथेंटिकेशन ACL के साथ कॉन्फ़िगर करें जो पेमेंट टर्मिनल सबनेट (VLAN 40) के लिए लक्षित ट्रैफ़िक को स्पष्ट रूप से हटा देता है। पेमेंट टर्मिनलों को प्रमाणित करने के लिए iPSK का उपयोग करें, उन्हें Purple के RADIUS सर्वर के माध्यम से गतिशील रूप से VLAN 40 पर असाइन करें। गेस्ट ट्रैफ़िक को Purple Captive Portal के माध्यम से प्रमाणित किया जाता है और VLAN 10 पर रखा जाता है।

परीक्षक की टिप्पणी: यह डिज़ाइन नेटवर्क सेगमेंटेशन लागू करके PCI DSS आवश्यकता 1.3 को पूरा करता है। Purple में RADIUS पॉलिसी को केंद्रित करने से बिना मैन्युअल स्विचपोर्ट कॉन्फ़िगरेशन के सभी 80 स्टोरों में सुसंगत VLAN असाइनमेंट सुनिश्चित होता है।

अभ्यास प्रश्न

Q1. आप Catalyst 9800 WLC पर एक Captive Portal तैनात कर रहे हैं। क्लाइंट SSID से जुड़ते हैं, लेकिन उनके ब्राउज़र कंटेंट को लोड किए बिना लगातार स्प्लैश पेज URL को रिफ्रेश करते रहते हैं। इसका सबसे संभावित आर्किटेक्चरल कारण क्या है?

संकेत: ऑथेंटिकेशन पूरा होने से पहले क्लाइंट की स्थिति और किस ट्रैफ़िक की अनुमति है, इस पर विचार करें।

मॉडल उत्तर देखें

प्री-ऑथेंटिकेशन ACL या URL फ़िल्टर गलत तरीके से कॉन्फ़िगर किया गया है। यह Purple के पोर्टल IP एड्रेस तक पहुँच को ब्लॉक कर रहा है। WLC ट्रैफ़िक को रोकता है और पोर्टल पर रीडायरेक्ट करता है, लेकिन क्लाइंट इसे लोड करने के लिए पोर्टल तक नहीं पहुँच पाता है, जिससे एक अंतहीन रीडायरेक्ट लूप शुरू हो जाता है। आपको स्पष्ट रूप से Purple के IP एड्रेस की अनुमति देनी होगी या पोर्टल डोमेन के लिए URL फ़िल्टर का उपयोग करना होगा।

Q2. एक IoT डिवाइस iPSK के माध्यम से सफलतापूर्वक ऑथेंटिकेट होता है, और Purple का RADIUS सर्वर VLAN 50 को निर्दिष्ट करते हुए IETF एट्रिब्यूट्स 64, 65 और 81 के साथ एक Access-Accept वापस करता है। हालांकि, डिवाइस को VLAN 10 (मैनेजमेंट VLAN) पर रखा गया है। ऐसा क्यों हुआ?

संकेत: RADIUS-असाइन किए गए VLAN को स्वीकार और लागू करने के लिए स्वयं WLC पर आवश्यक पूर्व-आवश्यकताओं के बारे में सोचें।

मॉडल उत्तर देखें

या तो WLAN एडवांस सेटिंग्स पर 'AAA Override' डिसेबल है, जिससे WLC, RADIUS एट्रिब्यूट्स को अनदेखा कर रहा है, या VLAN 50, WLC पर कॉन्फ़िगर किए गए डायनेमिक इंटरफ़ेस के रूप में मौजूद नहीं है। यदि असाइन किया गया VLAN स्थानीय रूप से मौजूद नहीं है, तो WLC नेटिव/मैनेजमेंट VLAN पर वापस चला जाता है।

Q3. एक वेन्यू Microsoft Entra ID का उपयोग करके स्टाफ WiFi के लिए 802.1X तैनात करना चाहता है। उनके पास Cisco ISE जैसा ऑन-प्रिमाइसेस RADIUS सर्वर नहीं है। Purple प्लेटफ़ॉर्म का उपयोग करके इसे कैसे प्राप्त किया जा सकता है?

संकेत: इस बात पर विचार करें कि Purple, EAP टनल और पहचान सत्यापन को कैसे संभालता है।

मॉडल उत्तर देखें

WLC को RADIUS सर्वर के रूप में Purple SecurePass का उपयोग करने के लिए कॉन्फ़िगर करें। Purple एक क्लाउड RADIUS प्रॉक्सी के रूप में कार्य करता है, जो WLC से EAP-TLS या PEAP टनल को समाप्त करता है और API/SAML के माध्यम से Microsoft Entra ID पर पहचान की खोज को सुरक्षित रूप से अग्रेषित करता है। किसी ऑन-प्रिमाइसेस RADIUS सर्वर की आवश्यकता नहीं है।

इस श्रृंखला में आगे पढ़ें

Purple WiFi के साथ CommScope Ruckus एकीकरण: सेटअप और कॉन्फ़िगरेशन गाइड

यह तकनीकी संदर्भ मार्गदर्शिका CommScope Ruckus आर्किटेक्चर को Purple WiFi के साथ एकीकृत करने के लिए एक आधिकारिक कॉन्फ़िगरेशन प्लेबुक प्रदान करती है। यह Guest WiFi कैप्टिव पोर्टल, 802.1X के माध्यम से सुरक्षित स्टाफ WiFi, और Ruckus Dynamic PSK का उपयोग करके मल्टी-टेनेंट नेटवर्क आइसोलेशन के लिए चरण-दर-चरण परिनियोजन का विवरण देती है।

Purple WiFi के साथ Allied Telesis Access Points का एकीकरण

यह गाइड Allied Telesis TQ-Series एक्सेस पॉइंट्स को Purple WiFi के साथ एकीकृत करने के लिए एक व्यापक कॉन्फ़िगरेशन प्लेबुक प्रदान करती है। इसमें सुरक्षित मल्टी-टेनेंट परिनियोजन के लिए बाहरी कैप्टिव पोर्टल रीडायरेक्शन, 802.1X RADIUS प्रमाणीकरण, और Private Pre-Shared Keys (PPSK) का उपयोग करके डायनेमिक VLAN स्टीयरिंग शामिल है।

Purple WiFi के साथ Grandstream GWN एक्सेस पॉइंट्स का एकीकरण

यह आधिकारिक तकनीकी संदर्भ मार्गदर्शिका विस्तार से बताती है कि Grandstream GWN एक्सेस पॉइंट्स को Purple के Guest WiFi और एनालिटिक्स प्लेटफॉर्म के साथ कैसे एकीकृत किया जाए। यह Grandstream कैप्टिव पोर्टल कॉन्फ़िगरेशन, RADIUS AAA सेटिंग्स, walled garden सेटअप, डायनेमिक VLAN स्टीयरिंग के साथ सुरक्षित स्टाफ 802.1X प्रमाणीकरण, और मल्टी-टेनेंट PPSK सेगमेंटेशन को कवर करता है - जो बड़े पैमाने पर गेस्ट और स्टाफ WiFi तैनात करने वाले MSPs और आईटी टीमों के लिए व्यावहारिक, चरण-दर-चरण मार्गदर्शन प्रदान करता है।