Purple WiFi के साथ Huawei AirEngine और CloudCampus एकीकरण

Purple तकनीकी श्रृंखला में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम क्षेत्र में देखे जाने वाले अधिक सूक्ष्म एंटरप्राइज WiFi एकीकरणों में से एक पर चर्चा कर रहे हैं - Huawei AirEngine एक्सेस पॉइंट्स और CloudCampus iMaster NCE-Campus कंट्रोलर, जो अतिथि WiFi, स्टाफ प्रमाणीकरण और मल्टी-किरायेदार नेटवर्क सेगमेंटेशन के लिए Purple के साथ एकीकृत है। यदि आप एक नेटवर्क आर्किटेक्ट या IT मैनेजर हैं जो Huawei एस्टेट चला रहे हैं - चाहे वह होटल समूह हो, रिटेल चेन हो, कॉन्फ्रेंस सेंटर हो, या पब्लिक-सेक्टर कैंपस हो - तो यह एपिसोड आपके लिए है। हम पूरे स्टैक को कवर करेंगे: कैप्टिव पोर्टल रीडायरेक्शन, प्री-ऑथेंटिकेशन ACLs, 802.1X का उपयोग करके सुरक्षित स्टाफ WiFi, और कई किरायेदारों में डायनेमिक VLAN स्टीयरिंग के लिए Huawei की Private Pre-Shared Key विशेषता। आइए शुरू करते हैं। अनुभाग एक: संदर्भ और आर्किटेक्चर। Huawei का AirEngine पोर्टफोलियो - जिसमें 5700, 6700, 8700 और 9700 सीरीज़ शामिल हैं - WiFi 6 और WiFi 6E पर चलता है, जिसमें टॉप-एंड 9700 सीरीज़ WiFi 7 का समर्थन करती है। ये गंभीर एंटरप्राइज एक्सेस पॉइंट्स हैं। प्रबंधन लेयर iMaster NCE-Campus है, जो Huawei का क्लाउड-आधारित नेटवर्क कंट्रोलर है, जो SSID प्रोविज़निंग और RADIUS रिले से लेकर पॉलिसी प्रवर्तन और सिशलॉग फॉरवर्डिंग तक सब कुछ संभालता है। Purple इसके ऊपर एक क्लाउड ओवरले के रूप में बैठता है। हम 80,000 लाइव स्थानों पर काम करते हैं और अकेले 2024 में 440 मिलियन लॉगिन प्रोसेस किए हैं। हम हार्डवेयर-अज्ञेयवादी हैं - जिसका अर्थ है कि हम Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist और हाँ, Huawei AirEngine के साथ एकीकृत होते हैं - उन्हीं RADIUS और कैप्टिव पोर्टल मानकों का उपयोग करके जो प्रत्येक एंटरप्राइज कंट्रोलर समर्थन करता है। यहाँ एकीकरण मॉडल सीधा है। iMaster NCE-Campus RADIUS रिले के रूप में कार्य करता है, जो एक्सेस पॉइंट्स से प्रमाणीकरण अनुरोधों को Purple के RADIUS सर्वरों पर फॉरवर्ड करता है। Purple प्रमाणीकरण तर्क को संभालता है - चाहे वह अतिथि स्प्लैश पेज हो, 802.1X क्रेडेंशियल जांच हो, या PPSK लुकअप हो - और किसी भी डायनेमिक VLAN असाइनमेंट एट्रिब्यूट्स सहित उपयुक्त RADIUS प्रतिक्रिया लौटाता है। अनुभाग दो: Guest WiFi और कैप्टिव पोर्टल कॉन्फ़िगरेशन। आइए सबसे आम तैनाती के साथ शुरू करें: Purple कैप्टिव पोर्टल के साथ अतिथि WiFi। iMaster NCE-Campus में, आप Design, फिर Network Design, फिर Template Management पर जाते हैं। आप एक RADIUS Relay Server टेम्पलेट बनाते हैं। मुख्य पैरामीटर हैं: प्रमाणीकरण सेवा को Portal authentication पर सेट करें, प्रमाणीकरण के लिए UDP पोर्ट 1812 और अकाउंटिंग के लिए 1813 पर Purple के RADIUS सर्वर IP पते जोड़ें, NAS पहचानकर्ता को Device MAC पर सेट करें, और शेयर्ड सीक्रेट को कॉन्फ़िगर करें। Purple ये RADIUS क्रेडेंशियल Purple डैशबोर्ड में स्थान कॉन्फ़िगरेशन स्क्रीन से प्रदान करता है। इसके बाद, आप एक ACL बनाते हैं - यह आपका वॉल्ड गार्डन है। मेहमान के प्रमाणित होने से पहले, उन्हें Purple के स्प्लैश पेज और किसी भी सहायक डोमेन तक पहुँचने की आवश्यकता होती है। आपके ACL नियमों को UDP 53 पर DNS की अनुमति देनी चाहिए, Purple के पोर्टल डोमेन पर HTTPS की अनुमति देनी चाहिए, और आपके द्वारा सक्षम किए गए किसी भी सोशल लॉगिन प्रदाताओं की अनुमति देनी चाहिए - उदाहरण के लिए, यदि आप सोशल साइन-ऑन का उपयोग कर रहे हैं तो Facebook के ग्राफ़ API एंडपॉइंट्स। बाकी सब कुछ प्री-ऑथेंटिकेशन में अस्वीकार कर दिया जाता है। फिर आप SSID को कॉन्फ़िगर करते हैं। नेटवर्क प्रकार को Open पर सेट करें, Open plus Portal authentication चुनें, प्रमाणीकरण प्रकार को Relay authentication by cloud platform पर सेट करें, और इंटरकनेक्शन मोड के रूप में RADIUS रिले चुनें। पेज पुश प्रोटोकॉल को HTTPS पर सेट करें। थर्ड-पार्टी पोर्टल प्रमाणीकरण मापदंडों में, Purple रीडायरेक्ट URL पेस्ट करें - यह स्प्लैश पेज URL है जिसे आप Purple वेन्यू डैशबोर्ड से कॉपी करते हैं, जिसमें प्रत्यय को Huawei-विशिष्ट मापदंडों को शामिल करने के लिए संशोधित किया गया है: ap-mac, uaddress, umac, ssid, और redirect-url। अंत में, iMaster NCE-Campus में एक URL टेम्पलेट बनाएं जो इन पैरामीटर नामों को उन मानों से मैप करता है जिन्हें Huawei रीडायरेक्ट में पास करता है। पैरामीटर मैपिंग है: redirect-url से redirect-url, loginurl to login-url, device-mac to ap-mac, user-ip to uaddress, user-mac to umac, और ssid to ssid। एक बार जब यह कॉन्फ़िगर हो जाता है, तो एक अतिथि SSID से जुड़ता है, एक DHCP पता प्राप्त करता है, और उनके HTTP ट्रैफ़िक को कंट्रोलर द्वारा रोक दिया जाता है और Purple स्प्लैश पेज पर रीडायरेक्ट कर दिया जाता है। वे प्रमाणित होते हैं - ईमेल, सोशल लॉगिन, या SMS सत्यापन के माध्यम से - और Purple का RADIUS सर्वर iMaster NCE-Campus को वापस एक Access-Accept भेजता है, जो अतिथि को पूर्ण इंटरनेट एक्सेस प्रदान करता है। डेटा के दृष्टिकोण से, Purple इस बिंदु पर फर्स्ट-पार्टी सहमति डेटा कैप्चर करता है। प्रत्येक लॉगिन एक सचेत-विकल्प ऑप्ट-इन है, जो GDPR और CCPA के अनुरूप है। वह डेटा Purple के एनालिटिक्स प्लेटफॉर्म को फीड करता है, जिससे आपको सत्र की अवधि, डिवाइस का प्रकार, बार-बार आने वाले आगंतुकों की दर और ड्वेल टाइम मिलता है - वह भी बिना किसी थर्ड-पार्टी ट्रैकिंग के। अनुभाग तीन: 802.1X के साथ सुरक्षित स्टाफ WiFi। अब स्टाफ WiFi के बारे में बात करते हैं। यह पूरी तरह से एक अलग सुरक्षा स्थिति है। आप नहीं चाहते कि स्टाफ मेहमानों के समान नेटवर्क सेगमेंट पर हो, और आप साझा PSK पासवर्ड नहीं चाहते जो किसी के जाने पर बाहर चले जाएं। इसका उत्तर 802.1X प्रमाणीकरण है, जिसे IEEE 802.1X-2020 में परिभाषित किया गया है, जिसमें EAP-TLS या EAP-PEAP का उपयोग किया जाता है। iMaster NCE-Campus में, आप कर्मचारियों के लिए एक अलग SSID बनाते हैं - मान लें कि इसे CorpNet कहते हैं। इस SSID के प्रमाणीकरण प्रोफ़ाइल में, आप प्रमाणीकरण मोड को 802.1X पर सेट करते हैं, इसे Purple के RADIUS सर्वर की ओर इंगित करते हैं, और सुरक्षा प्रोफ़ाइल को AES-CCMP एन्क्रिप्शन के साथ WPA2-Enterprise या WPA3-Enterprise पर सेट करते हैं। Purple यहाँ भी RADIUS सर्वर के रूप में कार्य करता है, लेकिन अब यह आपके पहचान प्रदाता के विरुद्ध क्रेडेंशियल को सत्यापित कर रहा है। Purple मूल रूप से Microsoft Entra ID, Okta और Google Workspace के साथ एकीकृत होता है। जब कोई स्टाफ सदस्य CorpNet से जुड़ता है, तो उनका डिवाइस एक्सेस पॉइंट पर EAP क्रेडेंशियल भेजता है, जो उन्हें RADIUS के माध्यम से Purple पर रिले करता है, जो SCIM या SAML का उपयोग करके Entra ID के विरुद्ध उन्हें सत्यापित करता है। यदि क्रेडेंशियल वैध हैं, तो Purple स्टाफ VLAN - मान लें कि VLAN 20 - निर्दिष्ट करने वाले RADIUS एट्रिब्यूट के साथ एक Access-Accept लौटाता है। iMaster NCE-Campus क्लाइंट को स्वचालित रूप से उस VLAN में स्टीयर करता है। डायनेमिक VLAN असाइनमेंट के लिए मुख्य RADIUS एट्रिब्यूट्स हैं: Tunnel-Type को VLAN या मान 13 पर सेट किया गया है, Tunnel-Medium-Type को 802 या मान 6 पर सेट किया गया है, और Tunnel-Private-Group-ID को VLAN ID पर सेट किया गया है। ये तीनों एट्रिब्यूट्स मिलकर Huawei कंट्रोलर को बताते हैं कि प्रमाणित क्लाइंट को किस VLAN में असाइन करना है। विशेष रूप से EAP-TLS के लिए - जो स्टाफ प्रमाणीकरण के लिए गोल्ड स्टैंडर्ड है - आपको क्लाइंट प्रमाणपत्रों की आवश्यकता होती है। Purple का SecurePass ऐड-ऑन प्रमाणपत्र जारी करने और जीवनचक्र प्रबंधन को संभालता है, जो आपके मौजूदा PKI के साथ एकीकृत होता है या एक लाइटवेट प्रमाणपत्र प्राधिकरण के रूप में कार्य करता है। यह पासवर्ड-आधारित हमलों को पूरी तरह से समाप्त करता है। कोई पासवर्ड नहीं, कोई फ़िशिंग का खतरा नहीं। अनुभाग चार: Huawei PPSK के साथ मल्टी-किरायेदार सेगमेंटेशन। यह वह जगह है जहाँ यह वास्तव में दिलचस्प हो जाता है। यदि आप एक मिश्रित-उपयोग वाले स्थान को चला रहे हैं - जैसे कई खुदरा किरायेदारों वाला एक शॉपिंग सेंटर, कई सदस्य कंपनियों वाला एक को-वर्किंग स्पेस, या समवर्ती कार्यक्रमों की मेजबानी करने वाला एक कॉन्फ्रेंस सेंटर - तो आपको प्रत्येक के लिए एक अलग SSID तैनात किए बिना किरायेदारों के बीच नेटवर्क अलगाव की आवश्यकता होती है। Huawei की PPSK विशेषता - Private Pre-Shared Key - इसे हल करती है। इसे कभी-कभी अन्य विक्रेता पारिस्थितिकी तंत्र में iPSK भी कहा जाता है। अवधारणा है: एक SSID, कई अद्वितीय पासवर्ड, प्रत्येक पासवर्ड एक विशिष्ट VLAN से मैप किया गया है। किरायेदार A को पासवर्ड Alpha मिलता है, जो VLAN 30 से मैप होता है। किरायेदार B को पासवर्ड Beta मिलता है, जो VLAN 40 से मैप होता है। दोनों किरायेदार एक ही SSID देखते हैं, लेकिन वे लेयर 2 पर पूरी तरह से अलग होते हैं। Huawei CLI में, आप ppsk-user कमांड का उपयोग करके WLAN व्यू में इसे कॉन्फ़िगर करते हैं। प्रत्येक किरायेदार के लिए, आप चलाते हैं: ppsk-user psk pass-phrase, उसके बाद अद्वितीय पासफ़्रेज़, फिर user-name, किरायेदार पहचानकर्ता, फिर vlan, VLAN ID, फिर ssid, SSID नाम। यदि आपको कड़े नियंत्रण की आवश्यकता है तो आप समाप्ति तिथि, अधिकतम डिवाइस संख्या भी सेट कर सकते हैं और एक विशिष्ट MAC पते से बाइंड कर सकते हैं। iMaster NCE-Campus में, PPSK लुकअप को कंट्रोलर पर स्थानीय रूप से संभाला जा सकता है, या - बड़े पैमाने पर तैनाती के लिए - RADIUS के माध्यम से। जब RADIUS-समर्थित PPSK का उपयोग किया जाता है, तो Purple PPSK-से-VLAN मैपिंग के लिए आधिकारिक स्रोत बन जाता है। एक किरायेदार का डिवाइस उनके अद्वितीय पासफ़्रेज़ के साथ जुड़ता है, कंट्रोलर क्रेडेंशियल के रूप में पासफ़्रेज़ के साथ Purple को एक RADIUS Access-Request भेजता है, Purple मैपिंग को देखता है, और तीन VLAN टनल एट्रिब्यूट्स के साथ एक Access-Accept लौटाता है। कंट्रोलर क्लाइंट को सही VLAN में स्टीयर करता है। यह आर्किटेक्चर एक ही SSID पर सैकड़ों किरायेदारों तक स्केल करता है। इसका मतलब यह भी है कि आप कंट्रोलर कॉन्फ़िगरेशन को छुए बिना Purple डैशबोर्ड से किरायेदार क्रेडेंशियल का प्रावधान, रोटेशन और निरसन कर सकते हैं। अनुभाग पांच: कार्यान्वयन की कमियां और उनसे कैसे बचें। मुझे आपको तीन विफलता मोड बताने दें जो मैं Huawei और Purple तैनाती में सबसे अधिक बार देखता हूँ। पहला: वॉल्ड गार्डन अधूरा है। मेहमान SSID पर आते हैं, स्प्लैश पेज पर रीडायरेक्ट होते हैं, लेकिन पेज लोड नहीं होगा क्योंकि एक आवश्यक डोमेन - अक्सर एक CDN एंडपॉइंट या एक सोशल लॉगिन API - प्री-ऑथेंटिकेशन ACL द्वारा ब्लॉक कर दिया जाता है। इसका समाधान लाइव होने से पहले एक नए डिवाइस से स्प्लैश पेज फ्लो का परीक्षण करना है, इसके द्वारा किए जाने वाले DNS प्रश्नों और HTTPS कनेक्शनों को कप्चर करना है, और प्रत्येक आवश्यक डोमेन को ACL में जोड़ना है। Purple एकीकरण दस्तावेज़ में आवश्यक डोमेन की एक सूची प्रकाशित करता है। दूसरा: RADIUS शेयर्ड सीक्रेट बेमेल। iMaster NCE-Campus में कॉन्फ़िगर किया गया सीक्रेट Purple डैशबोर्ड के सीक्रेट से बिल्कुल मेल खाना चाहिए। एक भी कैरेक्टर का अंतर मूक प्रमाणीकरण विफलताओं का कारण बनता है - कंट्रोलर लॉग बिना किसी उपयोगी त्रुटि संदेश के Access-Reject दिखाते हैं। हमेशा सीक्रेट को कॉपी-पेस्ट करें, इसे कभी भी मैन्युअल रूप से टाइप न करें। तीसरा: VLAN ट्रंक गलत कॉन्फ़िगरेशन। RADIUS के माध्यम से डायनेमिक VLAN असाइनमेंट केवल तभी काम करता है जब VLAN पहले से ही एक्सेस पॉइंट और एग्रीगेशन स्विच के बीच अपलिंक पोर्ट पर ट्रंक किया गया हो। यदि VLAN 20 स्विच इंटरफ़ेस पर ट्रंक अनुमति सूची में नहीं है, तो प्रमाणित स्टाफ क्लाइंट्स को DHCP टाइमआउट मिलेगा और ऐसा लगेगा कि प्रमाणीकरण विफल हो गया है। RADIUS-असाइन किए गए VLANs का परीक्षण करने से पहले अपने ट्रंक कॉन्फ़िगरेशन का ऑडिट करें। अनुभाग छह: रैपिड-फायर प्रश्न। प्रश्न: क्या मैं क्लाउड संस्करण के बजाय Huawei के ऑन-प्रिमाइसेस iMaster NCE-Campus तैनाती के साथ Purple के अंतर्निहित RADIUS का उपयोग कर सकता हूँ? हाँ। Purple के RADIUS सर्वर क्लाउड-होस्टेड हैं और इंटरनेट पर सुलभ हैं। आपके ऑन-प्रिमाइसेस iMaster NCE-Campus कंट्रोलर को Purple के RADIUS IP श्रेणियों के लिए आउटबाउंड UDP 1812 और 1813 की आवश्यकता होती है। Purple इन IP श्रेणियों को वेन्यू सेटिंग्स के तहत डैशबोर्ड में प्रकाशित करता है। प्रश्न: क्या Huawei PPSK WPA3-SAE का समर्थन करता है? AirEngine फ़र्मवेयर V600R025 के अनुसार, 6700 और 9700 सीरीज़ पर WPA3-SAE-PPSK समर्थित है। PPSK SSIDs पर WPA3 सक्षम करने से पहले अपने फ़र्मवेयर संस्करण की जांच करें। प्रश्न: कैसे Purple Huawei हार्डवेयर पर अतिथि WiFi के लिए GDPR सहमति को संभालता है? Purple का स्प्लैश पेज प्रमाणीकरण के बिंदु पर सहमति एकत्र करता है। सहमति रिकॉर्ड - जिसमें टाइमस्टैम्प, IP पता और स्वीकृत विशिष्ट शर्तें शामिल हैं - Purple के प्लेटफॉर्म में संग्रहीत किया जाता है और अनुपालन ऑडिट के लिए निर्यात योग्य है। यह अंतर्निहित हार्डवेयर विक्रेता की परवाह किए बिना लागू होता है। अनुभाग सात: सारांश और अगले चरण। संक्षेप में: Huawei AirEngine और iMaster NCE-Campus अतिथि कैप्टिव पोर्टल के लिए RADIUS रिले, स्टाफ WiFi के लिए 802.1X, और मल्टी-किरायेदार VLAN सेगमेंटेशन के लिए PPSK के माध्यम से Purple के साथ एकीकृत होते हैं। कॉन्फ़िगरेशन iMaster NCE-Campus में RADIUS और ACL सेटअप के लिए Design, Network Design, Template Management के तहत, और SSID और प्रमाणीकरण प्रोफ़ाइल बाइंडिंग के लिए Provision, Device Configuration, Site Configuration के तहत रहता है। आपके अगले चरण: अपने वेन्यू डैशबोर्ड से Purple RADIUS क्रेडेंशियल प्राप्त करें, iMaster NCE-Campus में RADIUS रिले सर्वर टेम्पलेट को कॉन्फ़िगर करें, अपना वॉल्ड गार्डन ACL बनाएं, Open plus Portal प्रमाणीकरण के साथ अतिथि SSID बनाएं, और फ्लोर पर रोल आउट करने से पहले एक नए डिवाइस के साथ एंड-टू-एंड परीक्षण करें। यदि आप मल्टी-किरायेदार अलगाव के लिए PPSK तैनात कर रहे हैं, तो पहले अपनी VLAN योजना की योजना बनाएं - सुनिश्चित करें कि एक भी PPSK उपयोगकर्ता को कॉन्फ़िगर करने से पहले प्रत्येक किरायेदार VLAN एंड-टू-एंड ट्रंक किया गया हो। CLI उदाहरणों और आर्किटेक्चर आरेखों सहित पूर्ण चरण-दर-चरण कॉन्फ़िगरेशन गाइड के लिए, Purple वेबसाइट पर पूरा लिखित गाइड पढ़ें। सुनने के लिए धन्यवाद।