मुख्य सामग्री पर जाएं
हिन्दी

Purple WiFi के साथ Arista Cognitive WiFi एकीकरण

यह तकनीकी संदर्भ एंटरप्राइज स्थानों के लिए Purple के गेस्ट WiFi प्लेटफ़ॉर्म के साथ Arista Cognitive WiFi (CV-CUE) के चरण-दर-चरण एकीकरण का विवरण देता है। यह Arista कैप्टिव पोर्टल कॉन्फ़िगरेशन, Walled Garden ACL डिज़ाइन, RADIUS सर्वर सेटअप, सुरक्षित स्टाफ 802.1X प्रमाणीकरण, और डायनेमिक VLAN स्टीयरिंग के साथ Arista PPSK का उपयोग करके Multi-Tenant अलगाव को कवर करता है - जो IT टीमों और नेटवर्क आर्केटेक्ट्स को एक निश्चित परिनियोजन ब्लूप्रिंट देता है।

📖 10 मिनट का पाठ📝 2,486 शब्द🔧 3 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 10 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
ब्रीफिंग में स्वागत है। आज, हम Purple प्लेटफ़ॉर्म के साथ Arista Cognitive WiFi के एकीकरण का विश्लेषण कर रहे हैं। यह एक वरिष्ठ सलाहकार ब्रीफिंग है, जिसका उद्देश्य सीधे तौर पर एंटरप्राइज नेटवर्क आर्किटेक्ट्स और क्लाउड सिस्टम एडमिनिस्ट्रेटर हैं जिन्हें इसे पहली बार में ही सही ढंग से तैनात करने की आवश्यकता है। आइए परिदृश्य को समझें। Arista Cognitive WiFi, जिसे CloudVision Cognitive Unified Edge प्लेटफ़ॉर्म के माध्यम से प्रबंधित किया जाता है, एक क्लाउड-प्रबंधित वायरलेस बुनियादी ढांचा है जो एंटरप्राइज-ग्रेड अतिथि और स्टाफ नेटवर्क परिनियोजन का समर्थन करता है। Purple एक हार्डवेयर-अज्ञेयवादी (hardware-agnostic) क्लाउड ओवरले है जो अतिथि पोर्टल, पहचान कैप्चर, RADIUS प्रमाणीकरण और विश्लेषण परत प्रदान करता है। जब आप दोनों को मिलाते हैं, तो आपको एक पूर्ण, अनुपालन और व्यावसायिक रूप से मूल्यवान गेस्ट WiFi आर्किटेक्चर मिलता है। आइए इसके तंत्र को समझें। सबसे पहले समझने वाली बात कैप्टिव पोर्टल ऑनबोर्डिंग प्रवाह है। जब कोई अतिथि डिवाइस Arista एक्सेस पॉइंट पर ओपन गेस्ट SSID से जुड़ता है, तो AP तुरंत उस डिवाइस को प्री-ऑथेंटिकेशन VLAN में रख देता है। इस स्थिति में, डिवाइस के पास DHCP-असाइन किया गया IP पता होता है, लेकिन उसका DNS और HTTP ट्रैफ़िक भारी रूप से प्रतिबंधित होता है। डिवाइस ऑपरेटिंग सिस्टम, चाहे वह iOS, Android, या Windows हो, एक कैप्टिव पोर्टल डिटेक्शन प्रोब करता है। iOS `captive.apple.com` पर एक HTTP अनुरोध भेजता है। Android `connectivitycheck.gstatic.com` की जांच करता है। Arista AP इस अनुरोध को रोकता है और एक 302 रीडायरेक्ट लौटाता है, जो डिवाइस को Purple स्प्लैश पेज URL की ओर इंगित करता है। अब, यहीं पर अधिकांश परिनियोजन गलत हो जाते हैं। उस रीडायरेक्ट के काम करने और स्प्लैश पेज को वास्तव में रेंडर करने के लिए, आपको Arista CV-CUE में Walled Garden को सही ढंग से कॉन्फ़िगर करना होगा। Walled Garden एक स्पष्ट अनुमति-सूची है। प्री-ऑथेंटिकेशन स्थिति में, डिफ़ॉल्ट रूप से सभी ट्रैफ़िक को छोड़ दिया जाता है। पोर्टल लोड करने के लिए आवश्यक प्रत्येक डोमेन को आपको स्पष्ट रूप से श्वेतसूची में डालना होगा। न्यूनतम रूप से, इसका अर्थ है मुख्य Purple डोमेन: region1.purpleportal.net, venuewifi.com, और cloudfront.net। यदि आप Google Workspace के माध्यम से सोशल लॉगिन की पेशकश कर रहे हैं, तो आपको accounts.google.com और इसके संबंधित CDN श्रेणियों को जोड़ना होगा। Facebook के लिए, आपको facebook.com, fbcdn.net, और akamaihd.net की आवश्यकता है। इनमें से किसी एक को भी छोड़ दें, और अतिथि को एक खाली स्क्रीन या घूमता हुआ लॉगिन बटन दिखाई देता है। वे चले जाते हैं, और आप डेटा कैप्चर करने का अवसर खो देते हैं। आइए मैं आपको CV-CUE में RADIUS कॉन्फ़िगरेशन के बारे में बताता हूँ। Configure, फिर Network Profiles, फिर RADIUS पर जाएं। Add RADIUS Server पर क्लिक करें। Purple प्राथमिक RADIUS सर्वर IP पता दर्ज करें, प्रमाणीकरण पोर्ट को 1812 पर, अकाउंटिंग पोर्ट को 1813 पर सेट करें, और Purple द्वारा प्रदान किया गया साझा रहस्य (shared secret) दर्ज करें। द्वितीयक सर्वर के लिए इसे दोहराएं। यह अतिरेक (redundancy) महत्वपूर्ण है। यदि प्राथमिक सर्वर अनुपलब्ध है, तो द्वितीयक सर्वर अतिथि एक्सेस को बाधित किए बिना कार्यभार संभाल लेता है। एक बार RADIUS प्रोफाइल सहेजने के बाद, Configure, फिर WiFi, फिर SSID पर जाएं और Add New SSID पर क्लिक करें। अपने SSID को नाम दें, प्रकार को Guest पर सेट करें, और Security टैब के तहत, सुरक्षा स्तर को Open पर सेट करें। कैप्टिव पोर्टल परिनियोजन के लिए यह सही है। Captive Portal टैब के तहत, कैप्टिव पोर्टल चेकबॉक्स को सक्षम करें, Cloud Hosted ड्रॉप-डाउन से Third-Party Hosted चुनें, और With RADIUS Authentication बॉक्स को चेक करें। Purple स्प्लैश पेज URL को Splash Page URL फ़ील्ड में पेस्ट करें। यह आमतौर पर https://region1.purpleportal.net/access/ प्रारूप में होता है। साझा रहस्य दर्ज करें। फिर, Websites that users can access before login अनुभाग में, अपने Walled Garden डोमेन जोड़ें। Called Station ID प्रारूप को percent-m पर सेट करें, जो MAC पते को उस प्रारूप में भेजता है जिसकी Purple अपेक्षा करता है। Accounting Interval को 2 मिनट पर सेट करें। HTTPS Redirection चेकबॉक्स को साफ़ करें। SSID सहेजें। यह कुछ ही मिनटों में आपके Arista APs पर प्रसारित हो जाएगा। अब बात करते हैं कि अतिथि द्वारा Purple पोर्टल पर अपना विवरण सबमिट करने के बाद क्या होता है। Purple RADIUS सर्वर के रूप में कार्य करता है। यह पहचान को मान्य करता है, सहमति को कैप्चर करता है, और Arista AP को वापस एक RADIUS Access-Accept संदेश भेजता है। लेकिन यहाँ महत्वपूर्ण बात यह है: उस Access-Accept संदेश में RFC 3576 में परिभाषित Change of Authorization विशेषताएँ शामिल होती हैं। ये विशेषताएँ Arista AP को उस विशिष्ट क्लाइंट को प्रतिबंधित प्री-ऑथेंटिकेशन स्थिति से पूर्ण इंटरनेट एक्सेस के साथ पोस्ट-ऑथेंटिकेशन VLAN में गतिशील रूप से स्थानांतरित करने का निर्देश देती हैं। साथ ही, AP पोर्ट 1813 पर Purple को एक RADIUS Accounting-Start संदेश भेजता है। यह सत्र टाइमर शुरू करता है और सत्र अवधि के डेटा को Purple एनालिटिक्स डैशबोर्ड में फीड करता है। आइए अधिक उन्नत उपयोग के मामले पर चलें: Arista Private Pre-Shared Keys, या PPSK का उपयोग करके Multi-Tenant WiFi। यह वह आर्किटेक्चर है जिसे आप कोवर्किंग स्पेस, रिटेल मॉल, आवासीय भवनों, या किसी भी ऐसे वातावरण के लिए चाहते हैं जहाँ आपके पास कई अलग-अलग उपयोगकर्ता समूह हैं जिन्हें सख्त नेटवर्क अलगाव की आवश्यकता है। पारंपरिक दृष्टिकोणों के साथ समस्या यह है कि प्रत्येक टेनेंट के लिए एक अलग SSID प्रसारित करने से भारी RF ओवरहेड पैदा होता है। प्रत्येक SSID को बीकन फ्रेम की आवश्यकता होती है। 20 टेनेंट्स वाले घने वातावरण में, यह 20 SSIDs हैं जो एयरटाइम की खपत कर रहे हैं। PPSK इसे खूबसूरती से हल करता है। आप एक एकल SSID प्रसारित करते हैं। लेकिन Purple पोर्टल में, प्रत्येक टेनेंट को एक अद्वितीय पासफ़्रेज़ असाइन किया जाता है। जब कोई उपयोगकर्ता कनेक्ट होता है, तो Arista AP, Purple RADIUS सर्वर के खिलाफ उस पासफ़्रेज़ को प्रमाणित करता है। Purple पासफ़्रेज़ को खोजता है, संबंधित टेनेंट की पहचान करता है, और एक Access-Accept संदेश लौटाता है। लेकिन महत्वपूर्ण रूप से, यह तीन RADIUS विशेषताओं को जोड़ता है: Tunnel-Type, जिसे VLAN पर सेट किया गया है; Tunnel-Medium-Type, जिसे 802 पर सेट किया गया है; और Tunnel-Private-Group-ID, जिसे टेनेंट के विशिष्ट VLAN ID पर सेट किया गया है। Arista AP इन विशेषताओं को पढ़ता है और क्लाइंट को गतिशील रूप से सही VLAN पर ले जाता है। टेनेंट A, अपने पासफ़्रेज़ का उपयोग करके, VLAN 100 पर जाता है। टेनेंट B, VLAN 200 पर जाता है। वे Layer 2 पर पूरी तरह से अलग हैं। वे एक-दूसरे के डिवाइस, प्रिंटर या सर्वर नहीं देख सकते हैं। यह व्यवहार में पहचान-आधारित नेटवर्किंग (Identity-Based Networking) है। पासफ़्रेज़ की पहचान नेटवर्क खंड को निर्धारित करती है। इसे Purple के माध्यम से केंद्रीकृत रूप से प्रबंधित किया जाता है, इसलिए जब कोई टेनेंट जाता है, तो आप Purple पोर्टल में उनके पासफ़्रेज़ को रद्द कर देते हैं, और एक्सेस तुरंत समाप्त हो जाता है। Arista बुनियादी ढांचे पर किसी बदलाव की आवश्यकता नहीं होती है। अब, आइए IEEE 802.1X का उपयोग करके सुरक्षित स्टाफ WiFi को कवर करें। अपने स्टाफ SSID के लिए, आपको साझा पासफ़्रेज़ का उपयोग नहीं करना चाहिए। आपको EAP, एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल के साथ 802.1X का उपयोग करना चाहिए। CV-CUE में, एक नया कॉर्पोरेट SSID बनाएं। Security टैब के तहत, WPA2-Enterprise या WPA3-Enterprise चुनें। अपने RADIUS प्रोफ़ाइल का चयन करें, जो आपके कॉर्पोरेट पहचान प्रदाता, जैसे कि Microsoft Entra ID या Okta की ओर इशारा करना चाहिए। जब कोई स्टाफ सदस्य कनेक्ट होता है, तो उनका डिवाइस Arista AP को क्रेडेंशियल प्रस्तुत करता, जो उन्हें EAP के माध्यम से RADIUS सर्वर पर अग्रेषित करता है। पहचान प्रदाता क्रेडेंशियल को मान्य करता है और एक Access-Accept लौटाता है। EAP-TLS का उपयोग करके प्रमाणपत्र-आधारित प्रमाणीकरण के लिए, डिवाइस उपयोगकर्ता नाम और पासवर्ड के बजाय एक क्लाइंट प्रमाणपत्र प्रस्तुत करता है, जिससे हमले के खतरे के रूप में क्रेडेंशियल चोरी पूरी तरह से समाप्त हो जाती है। आइए मैं Arista Cloud WIPS एकीकरण के बारे में बात करता हूँ। Arista का Wireless Intrusion Prevention System पृष्ठभूमि में काम करता है, जो अनधिकृत एक्सेस पॉइंट्स और अनधिकृत क्लाइंट्स को स्कैन करता है। CV-CUE में, Configure, फिर WIPS, फिर Automatic Intrusion Prevention पर जाएं। आप रोकथाम स्तर को Degrade से लेकर Block तक कॉन्फ़िगर कर सकते हैं। एंटरप्राइज परिनियोजन के लिए, हम शुरुआती बिंदु के रूप में Disrupt स्तर की अनुशंसा करते हैं, जो अनधिकृत संचार को पूरी तरह से ब्लॉक किए बिना उसमें बाधा डालता है, जिससे गलत सकारात्मक (false positive) जोखिम कम होता है। आपको Configure, फिर Device, फिर Access Point के तहत Security टैब का चयन करके VLAN निगरानी भी कॉन्फ़िगर करनी चाहिए। SSID VLAN Monitoring सक्षम करें ताकि APs अनधिकृत गतिविधि के लिए अपने असाइन किए गए VLANs की सक्रिय रूप से निगरानी करें। अब, बचने के लिए कुछ कार्यान्वयन कमियाँ। पहला, DHCP पूल की समाप्ति। रिटेल स्टोर या स्टेडियम जैसे अत्यधिक भीड़भाड़ वाले वातावरण में, डिवाइस संक्षेप में कनेक्ट होते हैं और चले जाते हैं। यदि आपका निष्क्रिय टाइमआउट (idle timeout) बहुत अधिक सेट है, तो वे सत्र सक्रिय रहते हैं, जिससे IP पते ब्लॉक रहते हैं। रिटेल के लिए CV-CUE में निष्क्रिय टाइमआउट को 10 मिनट और इवेंट स्थानों के लिए 5 मिनट तक कम सेट करें। यह आक्रामक रूप से IPs को वापस लेता है और पूल को समाप्त होने से रोकता है। दूसरा, MAC पता रैंडमाइजेशन। iOS 14 और Android 10 के बाद से, डिवाइस डिफ़ॉल्ट रूप से प्रति SSID अपने MAC पते को रैंडमाइज करते हैं। यह किसी भी ऐसे आर्किटेक्चर को बाधित करता है जो लौटने वाले अतिथियों की पहचान करने के लिए MAC पतों पर निर्भर करता है। सही प्रतिक्रिया अपने पहचान मॉडल को प्रमाणित क्रेडेंशियल, ईमेल पते या Purple पोर्टल के माध्यम से कैप्चर किए गए सोशल लॉगिन पर स्थानांतरित करना है। बिना पोर्टल के निर्बाध पुन: कनेक्शन के लिए, दीर्घकालिक माइग्रेशन पथ Passpoint है, जिसे Hotspot 2.0 के रूप में भी जाना जाता है, जो प्रमाणपत्र-आधारित प्रमाणीकरण का उपयोग करता है और कैप्टिव पोर्टल को पूरी तरह से समाप्त कर देता है। तीसरा, HTTPS रीडायरेक्शन। CV-CUE में कैप्टिव पोर्टल को कॉन्फ़िगर करते समय, सुनिश्चित करें कि HTTPS Redirection चेकबॉक्स साफ़ है। Purple स्वतंत्र रूप से HTTPS सत्र को संभालता है। Arista की ओर से HTTPS रीडायरेक्शन सक्षम करने से प्रमाणपत्र बेमेल (certificate mismatch) त्रुटियां हो सकती हैं जो पोर्टल को लोड होने से रोकती हैं। आइए सामान्य परिदृश्यों पर एक त्वरित प्रश्न और उत्तर सत्र करें। प्रश्न: अतिथि का पोर्टल पेज एक खाली स्क्रीन दिखाता है। आप सबसे पहले कहाँ देखते हैं? उत्तर: Walled Garden। एक गायब डोमेन लगभग हमेशा इसका कारण होता है। जांचें कि सभी Purple डोमेन और संबंधित पहचान प्रदाता CDN डोमेन CV-CUE में श्वेतसूची में हैं। प्रश्न: PPSK उपयोगकर्ता सभी डिफ़ॉल्ट VLAN पर जा रहे हैं। क्या गलत है? उत्तर: Purple RADIUS सर्वर Tunnel-Private-Group-ID विशेषता वापस नहीं कर रहा है। CV-CUE समस्या निवारण लॉग में RADIUS प्रतिक्रिया की जांच करें और Purple पोर्टल में VLAN मैपिंग को सत्यापित करें। प्रश्न: Purple में RADIUS अकाउंटिंग डेटा शून्य सेकंड का सत्र दिखा रहा है। समस्या क्या है? उत्तर: अकाउंटिंग पोर्ट संभवतः गलत तरीके से कॉन्फ़िगर किया गया है या ब्लॉक है। सत्यापित करें कि Arista APs और Purple RADIUS सर्वर के बीच फ़ायरवॉल पर पोर्ट 1813 खुला है, और SSID सेटिंग्स में अकाउंटिंग अंतराल 2 मिनट पर सेट है। इस ब्रीफिंग से मुख्य निष्कर्षों को संक्षेप में प्रस्तुत करने के लिए। एक: Walled Garden एक स्पष्ट अनुमति-सूची है। इसे एक आवर्ती परिचालन कार्य के रूप में बनाए रखें, न कि एक बार के सेटअप के रूप में। दो: RADIUS Change of Authorization वह तंत्र है जो एक्सेस प्रदान करता है। इसके बिना, पोर्टल पूरा हो जाता है लेकिन अतिथि ब्लॉक रहता है। तीन: Purple RADIUS के साथ Arista PPSK बीकन ओवरहेड को समाप्त करते हुए, एक ही SSID पर मल्टी-टेनेंट अलगाव के लिए डायनेमिक VLAN स्टीयरिंग सक्षम करता है। चार: पार्श्व आंदोलन को रोकने के लिए गेस्ट SSIDs पर हमेशा Client Isolation सक्षम करें। पांच: सटीक विश्लेषण के लिए MAC पता रैंडमाइजेशन को पहचान-आधारित प्रमाणीकरण की ओर बदलाव की आवश्यकता होती है। छह: उचित एकीकरण GDPR सहमति आवश्यकताओं को पूरा करता है और प्रथम-पक्ष डेटा कैप्चर करता है जो सीधे विपणन ROI को संचालित करता है। आपके अगले कदम: Purple पोर्टल हार्डवेयर कॉन्फ़िगरेशन पेज से Purple RADIUS सर्वर IP पते और साझा रहस्य प्राप्त करें। CV-CUE में RADIUS प्रोफाइल कॉन्फ़िगर करें। अपनी Walled Garden डोमेन सूची बनाएं। अपना गेस्ट SSID तैनात करें। उत्पादन में रोल आउट करने से पहले एक मोबाइल डिवाइस से पूर्ण प्रमाणीकरण प्रवाह का परीक्षण करें। और यदि आप मल्टी-टेनेंट वातावरण तैनात कर रहे हैं, तो PPSK पासफ़्रेज़ को कॉन्फ़िगर करने से पहले Purple में अपने टेनेंट VLAN IDs को मैप करें। यह इस तकनीकी ब्रीफिंग को समाप्त करता है। सुनने के लिए धन्यवाद।

header_image.png

कार्यकारी सारांश

अतिथि एक्सेस के लिए Arista कैप्टिव पोर्टल को तैनात करना केवल एक कनेक्टिविटी कार्य नहीं है। यह नेटवर्क सुरक्षा, नियामक अनुपालन और डेटा रणनीति का एक महत्वपूर्ण चौराहा है। वितरित स्थानों का प्रबंधन करने वाले IT लीडर्स के लिए, Purple के साथ Arista CloudVision Cognitive Unified Edge (CV-CUE) का एकीकरण अप्रबंधित अतिथि ट्रैफ़िक को एक सुरक्षित, खंडित और मापने योग्य संपत्ति में बदल देता है।

यह संदर्भ Purple के साथ Arista Cognitive WiFi को कॉन्फ़िगर करने के लिए एक निश्चित ब्लूप्रिंट प्रदान करता है। हम थर्ड-पार्टी होस्टेड स्प्लैश पेजों को तैनात करने, सटीक Walled Garden एक्सेस कंट्रोल सूचियों का निर्माण करने और RADIUS प्रमाणीकरण को लागू करने के लिए आवश्यक सटीक तंत्र का विवरण देते हैं। हम Arista Private Pre-Shared Keys (PPSK) और डायनेमिक VLAN स्टीयरिंग का उपयोग करके उन्नत Multi-Tenant WiFi अलगाव को भी कवर करते हैं - यह वह आर्किटेक्चर है जो कोवर्किंग स्पेस, रिटेल मॉल और आवासीय भवनों में SSID के फैलाव को समाप्त करता है।

Purple 80,000+ से अधिक लाइव स्थानों पर काम करता है और इसने 2024 में 440 मिलियन लॉगिन संसाधित किए हैं (Purple आंतरिक डेटा)। यह प्लेटफ़ॉर्म ISO 27001 प्रमाणित, GDPR और CCPA अनुपालन है, और इसके पास Cyber Essentials और B Corp प्रमाणन है। यह गाइड हॉस्पिटैलिटी, रिटेल और सार्वजनिक क्षेत्र के परिनियोजन में मान्य उत्पादन-परीक्षणित कॉन्फ़िगरेशन को दर्शाती है।

तकनीकी गहन विश्लेषण

Arista कैप्टिव पोर्टल ऑनबोर्डिंग आर्किटेक्चर

अतिथि ऑनबोर्डिंग प्रवाह यह तय करता है कि प्रमाणीकरण से पहले और बाद में डिवाइस Arista एक्सेस पॉइंट (AP) के साथ कैसे इंटरैक्ट करते हैं। जब कोई डिवाइस ओपन गेस्ट SSID से जुड़ता है, तो Arista AP इसे प्री-ऑथेंटिकेशन VLAN में असाइन करता है। इस स्थिति में, AP DNS और HTTP ट्रैफ़िक को एक परिभाषित अनुमति-सूची (allow-list) तक सीमित करता है। डिवाइस ऑपरेटिंग सिस्टम कैप्टिव पोर्टल का पता लगाता है और एक ज्ञात एंडपॉइंट तक पहुँचने का प्रयास करता है - iOS captive.apple.com पर एक HTTP अनुरोध भेजता है, Android connectivitycheck.gstatic.com पर, और Windows www.msftconnecttest.com पर भेजता है। Arista AP इस अनुरोध को रोकता है और Purple स्प्लैश पेज URL पर HTTP 302 रीडायरेक्ट जारी करता है।

{{asset:captive_portal_flow.png}}

यह सुनिश्चित करने के लिए कि यह प्रवाह बिना किसी त्रुटि के निष्पादित हो, Arista CV-CUE कंट्रोलर को Purple को थर्ड-पार्टी होस्टेड पोर्टल के रूप में इंगित करने के लिए कॉन्फ़िगर किया जाना चाहिए। इसके लिए CV-CUE नेटवर्क प्रोफाइल के भीतर Purple RADIUS सर्वर (प्रमाणीकरण पोर्ट 1812, अकाउंटिंग पोर्ट 1813) को परिभाषित करने की आवश्यकता होती है। एक बार जब अतिथि अपने क्रेडेंशियल सबमिट करता है या Purple पोर्टल पर शर्तों को स्वीकार करता है, तो Purple RADIUS सर्वर के रूप में कार्य करता है और Arista AP को वापस एक Access-Accept संदेश भेजता है। इस संदेश में RFC 3576 में परिभाषित RADIUS Change of Authorization (CoA) विशेषताएँ शामिल हैं, जो AP को क्लाइंट MAC पते को प्रतिबंधित प्री-ऑथेंटिकेशन स्थिति से पोस्ट-ऑथेंटिकेशन VLAN पर पूर्ण इंटरनेट एक्सेस में स्थानांतरित करने का निर्देश देती हैं।

architecture_overview.png

CV-CUE में Walled Garden ACL डिज़ाइन

Walled Garden उन डोमेन और IP पतों की एक श्वेतसूची (whitelist) है, जहाँ अप्रमाणित उपकरणों को स्प्लैश पेज लोड करने और प्रमाणीकरण पूरा करने के लिए पहुँचना आवश्यक है। Arista CV-CUE में, आप इसे कैप्टिव पोर्टल सेटिंग्स के तहत "Websites that users can access before login" (लॉगिन से पहले उपयोगकर्ता जिन वेबसाइटों तक पहुँच सकते हैं) के रूप में कॉन्फ़िगर करते हैं।

Walled Garden एक स्पष्ट अनुमति-सूची है। पोर्टल को रेंडर करने के लिए आपको मुख्य Purple डोमेन शामिल करने होंगे। यदि आप सोशल लॉगिन की पेशकश करते हैं, तो आपको पहचान प्रदाता (IdP) डोमेन को भी श्वेतसूची में डालना होगा। इस सूची को बनाए रखने में विफलता के परिणामस्वरूप अतिथि प्रमाणीकरण प्रदाता की लॉगिन स्क्रीन लोड करने में असमर्थ होते हैं, जिससे वे तुरंत प्रक्रिया छोड़ देते हैं।

ज़ोन ट्रैफ़िक की अनुमति कार्यान्वयन
प्री-ऑथेंटिकेशन DNS (प्रतिबंधित), DHCP, पोर्टल सर्वर, कैप्टिव पोर्टल डिटेक्शन एंडपॉइंट्स गेटवे ACL - श्वेतसूची को छोड़कर सभी को अस्वीकार करें
Walled Garden Purple पोर्टल डोमेन, सोशल लॉगिन प्रदाता, भुगतान प्रोसेसर CV-CUE में FQDN-आधारित ACL
पोस्ट-ऑथेंटिकेशन सामग्री फ़िल्टरिंग और बैंडविड्थ नीति के अधीन पूर्ण इंटरनेट एक्सेस RADIUS CoA के माध्यम से लागू प्रति-उपयोगकर्ता ACL

Purple के लिए न्यूनतम आवश्यक Walled Garden प्रविष्टियाँ:

  • region1.purpleportal.net
  • venuewifi.com
  • cloudfront.net
  • openweathermap.org
  • stripe.com (यदि भुगतान-गेटेड एक्सेस सक्षम है)

सोशल लॉगिन के लिए अतिरिक्त प्रविष्टियाँ:

  • Facebook: facebook.com, fbcdn.net, akamaihd.net, connect.facebook.net
  • Google Workspace: accounts.google.com, googleapis.com
  • Twitter/X: twitter.com, twimg.com
  • LinkedIn: linkedin.com, licdn.net

मल्टी-टेनेंट अलगाव के लिए Arista PPSK कॉन्फ़िगरेशन

कोवर्किंग स्पेस, आवासीय भवनों या रिटेल मॉल जैसे वातावरण के लिए, मानक 802.1X अक्सर अप्रबंधित उपकरणों के लिए बहुत जटिल होता है, फिर भी ओपन नेटवर्क में आवश्यक सुरक्षा की कमी होती है। Arista Private Pre-Shared Keys (PPSK) एक ही SSID पर कई अद्वितीय पासफ़्रेज़ की अनुमति देकर इसे हल करता है, जिनमें से प्रत्येक एक अलग नेटवर्क नीति से मैप होता है।

ppsk_vlan_diagram.png

जब Purple RADIUS के साथ एकीकृत किया जाता है, तो Arista PPSK डायनेमिक VLAN स्टीयरिंग को सक्षम बनाता है। एक निवासी या रिटेल टेनेंट अपने विशिष्ट PPSK का उपयोग करके एकीकृत SSID से जुड़ता है। Arista AP, Purple RADIUS सर्वर के खिलाफ कुंजी को प्रमाणित करता है। Purple मानक Access-Accept लौटाता है, लेकिन तीन RADIUS विशेषताओं को जोड़ता है जो VLAN असाइनमेंट को संचालित करती हैं:

RADIUS विशेषता मान उद्देश्य
Tunnel-Type 13 (VLAN) टनल प्रकार निर्दिष्ट करता है
Tunnel-Medium-Type 6 (802) माध्यम प्रकार निर्दिष्ट करता है
Tunnel-Private-Group-ID जैसे, "100" असाइन करने के लिए विशिष्ट VLAN ID

Arista AP डिवाइस को गतिशील रूप से उस VLAN में असाइन करता है। यह दर्जनों अलग-अलग SSIDs को प्रसारित किए बिना टेनेंट्स के बीच सख्त Layer 2 अलगाव प्रदान करता है, जिससे पूर्ण सुरक्षा सीमाओं को बनाए रखते हुए RF उपयोग को अनुकूलित किया जा सकता है।

IEEE 802.1X के साथ सुरक्षित स्टाफ WiFi

स्टाफ नेटवर्क के लिए, साझा पासफ़्रेज़ एक सुरक्षा दायित्व हैं। IEEE 802.1X (IEEE Std 802.1X-2020 में परिभाषित) प्रति-उपयोगकर्ता क्रेडेंशियल का उपयोग करके पोर्ट-आधारित नेटवर्क एक्सेस नियंत्रण प्रदान करता है। CV-CUE में, आप WPA2-Enterprise या WPA3-Enterprise सुरक्षा के साथ एक कॉर्पोरेट SSID कॉन्फ़िगर करते हैं। AP प्रमाणीकरणकर्ता के रूप में कार्य करता है, जो EAP (एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल) के माध्यम से क्रेडेंशियल को RADIUS सर्वर पर अग्रेषित करता है। Purple उपयोगकर्ता नाम/पासवर्ड प्रमाणीकरण के लिए EAP-PEAP और प्रमाणपत्र-आधारित प्रमाणीकरण के लिए EAP-TLS का समर्थन करता है।

EAP-TLS परिनियोजन के लिए, आप प्रमाणपत्र प्राधिकारी (certificate authority) के रूप में Microsoft Entra ID, Okta, या Google Workspace के साथ एकीकृत करते हैं। जब किसी स्टाफ सदस्य का डिवाइस एक वैध क्लाइंट प्रमाणपत्र प्रस्तुत करता है, तो RADIUS सर्वर निर्देशिका (directory) के खिलाफ इसे मान्य करता है और एक Access-Accept लौटाता है। यह हमले के खतरे के रूप में क्रेडेंशियल चोरी को पूरी तरह से समाप्त कर देता है।

Arista Cloud WIPS एकीकरण

Arista का Wireless Intrusion Prevention System (WIPS) पृष्ठभूमि में लगातार काम करता है, जो अनधिकृत एक्सेस पॉइंट्स, गलत तरीके से कॉन्फ़िगर किए गए APs और अनधिकृत क्लाइंट्स को स्कैन करता है। CV-CUE में, रोकथाम स्तर को कॉन्फ़िगर करने के लिए Configure > WIPS > Automatic Intrusion Prevention पर जाएं। Arista चार स्तर प्रदान करता है: Degrade, Interrupt, Disrupt, और Block। एंटरप्राइज परिनियोजन के लिए, Disrupt से शुरू करें, जो अनधिकृत संचार को पूरी तरह से ब्लॉक किए बिना उसमें बाधा डालता है, जिससे प्रारंभिक परिनियोजन के दौरान गलत सकारात्मक (false positive) जोखिम कम हो जाता है।

यह सुनिश्चित करने के लिए कि APs अनधिकृत गतिविधि के लिए अपने असाइन किए गए VLANs की सक्रिय रूप से निगरानी करें, Configure > Device > Access Point > Security tab के तहत SSID VLAN Monitoring सक्षम करें। Arista AP-3xx श्रृंखला के मॉडल एक साथ 42 VLANs तक की निगरानी का समर्थन करते हैं (Arista WIPS दस्तावेज़, 2025)।

कार्यान्वयन गाइड

चरण 1: नेटवर्क विभाजन और RADIUS सेटअप

  1. Arista CV-CUE में लॉग इन करें और Configure > Network Profiles > RADIUS पर जाएं।
  2. Add RADIUS Server पर क्लिक करें।
  3. प्राथमिक Purple RADIUS सर्वर विवरण दर्ज करें: IP पता, प्रमाणीकरण पोर्ट (1812), अकाउंटिंग पोर्ट (1813), और Purple पोर्टल हार्डवेयर कॉन्फ़िगरेशन पेज से साझा रहस्य (Shared Secret)।
  4. उच्च उपलब्धता सुनिश्चित करने के लिए द्वितीयक Purple RADIUS सर्वर के लिए दोहराएं।
  5. सत्यापित करें कि आपके फ़ायरवॉल पर Arista APs और Purple RADIUS सर्वर के बीच UDP पोर्ट 1812 और 1813 खुले हैं।

चरण 2: गेस्ट SSID और कैप्टिव पोर्टल कॉन्फ़िगरेशन

  1. Configure > WiFi > SSID पर जाएं और Add New SSID पर क्लिक करें।
  2. SSID नाम परिभाषित करें (जैसे, Guest_WiFi) और SSID प्रकार को Guest पर सेट करें।
  3. Security टैब के तहत, सुरक्षा स्तर को Open पर सेट करें।
  4. Network टैब के तहत, एक समर्पित DHCP स्कोप के साथ प्री-ऑथेंटिकेशन VLAN (जैसे, VLAN 10) को कॉन्फ़िगर करें।
  5. Captive Portal टैब के तहत, कैप्टिव पोर्टल चेकबॉक्स को सक्षम करें।
  6. Cloud Hosted ड्रॉप-डाउन से Third-Party Hosted चुनें।
  7. With RADIUS Authentication को चेक करें और Purple RADIUS प्रोफ़ाइल का चयन करें।
  8. Purple स्प्लैश पेज URL (जैसे, https://region1.purpleportal.net/access/) और रीडायरेक्ट URL (जैसे, https://region1.purpleportal.net/access/?res=success) दर्ज करें।
  9. Called Station ID प्रारूप को %m पर सेट करें (Purple द्वारा आवश्यक MAC पता प्रारूप)।
  10. Accounting Interval को 2 मिनट पर सेट करें।
  11. HTTPS Redirection चेकबॉक्स को साफ़ करें।

चरण 3: Walled Garden परिनियोजन

  1. Captive Portal टैब के भीतर, Websites that users can access before login अनुभाग का पता लगाएं।
  2. ऊपर सूचीबद्ध सभी आवश्यक Purple डोमेन और पहचान प्रदाता डोमेन जोड़ें।
  3. SSID कॉन्फ़िगरेशन सहेजें और इसे लक्षित Arista AP समूहों पर लागू करें।

चरण 4: PPSK मल्टी-टेनेंट सेटअप

  1. Purple पोर्टल में, स्थान हार्डवेयर कॉन्फ़िगरेशन पर जाएं और PPSK RADIUS सेटिंग्स प्राप्त करें।
  2. CV-CUE में, WPA2-Personal सुरक्षा के साथ एक नया SSID बनाएं और PPSK मोड सक्षम करें।
  3. Purple RADIUS प्रोफ़ाइल के खिलाफ प्रमाणित करने के लिए SSID को कॉन्फ़िगर करें।
  4. Purple पोर्टल में, प्रत्येक टेनेंट के लिए एक PPSK पासफ़्रेज़ बनाएं और इसे संबंधित VLAN ID से मैप करें।
  5. सत्यापित करें कि Arista APs से जुड़ने वाले स्विच पोर्ट आवश्यक टेनेंट VLANs को ट्रंक करने के लिए कॉन्फ़िगर किए गए हैं।

चरण 5: सुरक्षित स्टाफ WiFi (802.1X)

  1. CV-CUE में एक नया कॉर्पोरेट SSID बनाएं।
  2. Security टैब के तहत, WPA2-Enterprise या WPA3-Enterprise चुनें।
  3. अपने कॉर्पोरेट पहचान प्रदाता (Microsoft Entra ID, Okta, या Google Workspace) की ओर इशारा करने वाले RADIUS प्रोफ़ाइल का चयन करें।
  4. EAP प्रकार कॉन्फ़िगर करें: उपयोगकर्ता नाम/पासवर्ड के लिए PEAP, प्रमाणपत्र-आधारित प्रमाणीकरण के लिए EAP-TLS।
  5. स्टाफ SSID को गेस्ट VLAN से अलग एक समर्पित VLAN (जैसे, VLAN 20) में असाइन करें।

सर्वोत्तम प्रथाएं

Walled Garden अपडेट को स्वचालित करें। पहचान प्रदाता अक्सर अपने CDN डोमेन बदलते रहते हैं। Purple की अद्यतन डोमेन सूचियों के खिलाफ अपने Arista CV-CUE Walled Garden कॉन्फ़िगरेशन की त्रैमासिक समीक्षा निर्धारित करें। एक भी गायब CDN प्रविष्टि सभी अतिथियों के लिए सोशल लॉगिन को बाधित कर देगी।

स्थान के प्रकार के अनुसार सत्र टाइमर को अनुकूलित करें। अपने स्थान के ट्रैफ़िक प्रोफ़ाइल से मेल खाने के लिए Arista CV-CUE में निष्क्रिय टाइमआउट (idle timeouts) कॉन्फ़िगर करें। स्टोर से बाहर जा चुके उपकरणों से IP पते वापस पाने के लिए रिटेल वातावरण को 10 मिनट के निष्क्रिय टाइमआउट से लाभ होता है। होटल परिनियोजन में अतिथि के ठहरने के दौरान पोर्टल को बार-बार ट्रिगर होने से बचाने के लिए लंबे टाइमआउट (4-8 घंटे) का उपयोग किया जाना चाहिए।

Client Isolation लागू करें। Arista CV-CUE के भीतर गेस्ट SSID पर हमेशा Client Isolation सक्षम करें। यह अतिथि उपकरणों को एक-दूसरे के साथ संवाद करने से रोकता है, जिससे पार्श्व आंदोलन (lateral movement) के जोखिम कम होते हैं और PCI DSS नेटवर्क विभाजन आवश्यकताओं को पूरा किया जाता है।

RADIUS Accounting सक्षम करें। सुनिश्चित करें कि RADIUS Accounting 2 मिनट के अंतराल के साथ सक्षम है। यह Purple को सटीक सत्र अवधि और डेटा ट्रांसफर मेट्रिक्स प्रदान करता है, जो WiFi Analytics डैशबोर्ड में फीड होता है और सटीक आगंतुक ठहराव समय (dwell time) विश्लेषण को सक्षम बनाता है।

AP के बजाय SSID प्रकार के अनुसार विभाजित करें। एक ही AP समूहों में गेस्ट, स्टाफ और Multi-Tenant SSIDs लागू करें। Arista CV-CUE प्रति SSID के अनुसार VLAN टैगिंग को संभालता है, इसलिए आपको प्रत्येक उपयोगकर्ता प्रकार के लिए अलग APs की आवश्यकता नहीं है। यह सख्त तार्किक अलगाव बनाए रखते हुए आपके हार्डवेयर परिनियोजन को सरल बनाता है।

एंटरप्राइज WiFi सुरक्षा आर्किटेक्चर के व्यापक दृष्टिकोण के लिए, हमारी Enterprise WiFi Security: A Complete Guide for 2026 देखें।

केस स्टडीज

केस स्टडी 1: 350 कमरों वाली होटल श्रृंखला

12 संपत्तियों वाली एक मध्यम स्तर की होटल श्रृंखला ने सभी साइटों पर Arista WiFi 6E APs तैनात किए, जिन्हें एक एकल CV-CUE इंस्टेंस के माध्यम से प्रबंधित किया गया। आवश्यकता प्रॉपर्टी मैनेजमेंट सिस्टम (PMS) नेटवर्क से अलग, मार्केटिंग के लिए ईमेल कैप्चर के साथ ब्रांडेड गेस्ट WiFi प्रदान करने की थी, साथ ही स्टाफ उपकरणों के लिए 802.1X का समर्थन भी करना था।

टीम ने प्रति संपत्ति तीन SSIDs कॉन्फ़िगर किए: Purple की ओर इशारा करने वाला एक गेस्ट SSID (VLAN 10), Microsoft Entra ID के खिलाफ 802.1X का उपयोग करने वाला एक स्टाफ SSID (VLAN 20), और भवन प्रबंधन उपकरणों के लिए एक IoT SSID (VLAN 30)। Purple पोर्टल ने चेक-इन के समय अतिथि के ईमेल पते और सहमति को कैप्चर किया। 90 दिनों के भीतर, श्रृंखला ने 68% अतिथियों (Purple आंतरिक डेटा) से सत्यापित प्रथम-पक्ष डेटा एकत्र कर लिया था, जिससे लक्षित पुन: जुड़ाव (re-engagement) अभियानों को सक्षम किया गया। PMS नेटवर्क पूरी तरह से अलग रहा, जिससे कार्डधारक डेटा पर्यावरण विभाजन के लिए PCI DSS आवश्यकताओं को पूरा किया गया।

केस स्टडी 2: मल्टी-टेनेंट कोवर्किंग स्पेस

आठ स्थानों का प्रबंधन करने वाले एक कोवर्किंग ऑपरेटर को 35 SSIDs प्रसारित किए बिना प्रति साइट 35 सदस्य कंपनियों को अलग WiFi प्रदान करने की आवश्यकता थी। RF वातावरण पहले से ही भीड़भाड़ वाला था, और SSID के फैलाव से सभी सदस्यों के लिए प्रदर्शन खराब हो रहा था।

समाधान Purple RADIUS के साथ Arista PPSK का उपयोग करके प्रति साइट एक एकल SSID था। प्रत्येक सदस्य कंपनी को एक अद्वितीय PPSK पासफ़्रेज़ प्राप्त हुआ। Purple ने प्रत्येक पासफ़्रेज़ को एक समर्पित VLAN (VLAN 100 से VLAN 3500) से मैप किया। जब कोई सदस्य कनेक्ट होता था, तो Arista AP उन्हें Purple RADIUS द्वारा लौटाए गए Tunnel-Private-Group-ID के आधार पर गतिशील रूप से उनके VLAN पर ले जाता था। इसका परिणाम प्रति साइट 35 SSIDs से घटकर केवल एक होना, एयरटाइम दक्षता में मापने योग्य सुधार और सदस्य कंपनियों के बीच पूर्ण Layer 2 अलगाव था। जब किसी सदस्य का अनुबंध समाप्त होता था, तो ऑपरेटर Purple पोर्टल में उनके पासफ़्रेज़ को रद्द कर देता था, जिससे कुछ ही सेकंड में एक्सेस समाप्त हो जाता था।

समस्या निवारण और जोखिम शमन

समस्या: Apple उपकरणों पर स्प्लैश पेज लोड होने में विफल रहता है। iOS कैप्टिव पोर्टल्स का पता लगाने के लिए एक विशिष्ट तंत्र का उपयोग करता है। यदि स्प्लैश पेज स्वचालित रूप से लोड होने में विफल रहता है, तो सत्यापित करें कि Arista Walled Garden में सभी Purple CDN डोमेन शामिल हैं। यदि Walled Garden अत्यधिक प्रतिबंधात्मक है, तो iOS डिवाइस पोर्टल संपत्तियों को लोड नहीं कर सकता है और कनेक्शन को रद्द कर देता है।

समस्या: MAC पता रैंडमाइजेशन लौटने वाले अतिथि की पहचान को बाधित करता है। iOS 14+ और Android 10+ डिवाइस प्रति SSID अपने MAC पते को रैंडमाइज करते हैं। यह Purple को केवल उनके MAC पते के आधार पर लौटने वाले अतिथि को पहचानने से रोकता है। दीर्घकालिक ट्रैकिंग के लिए प्रमाणित पहचान (ईमेल या सोशल लॉगिन) पर भरोसा करें। कैप्टिव पोर्टल के बिना निर्बाध, सुरक्षित पुन: कनेक्शन के लिए, Passpoint/Hotspot 2.0 आर्किटेक्चर पर माइग्रेट करें।

समस्या: PPSK के साथ डायनेमिक VLAN स्टीयरिंग विफल रहता है। यदि टेनेंट्स को उनके विशिष्ट VLAN के बजाय डिफ़ॉल्ट VLAN असाइन किया गया है, तो Arista CV-CUE समस्या निवारण टूल का उपयोग करके RADIUS प्रतिक्रिया को सत्यापित करें। सुनिश्चित करें कि Purple सही Tunnel-Private-Group-ID, Tunnel-Type, और Tunnel-Medium-Type विशेषताएँ लौटा रहा है, और निर्दिष्ट VLAN Arista AP से जुड़े स्विच पोर्ट पर मौजूद है।

समस्या: गेस्ट VLAN पर DHCP पूल समाप्त होना। अत्यधिक भीड़भाड़ वाले वातावरण में निष्क्रिय टाइमआउट (idle timeout) को घटाकर 5-10 मिनट करें। यदि स्थान नियमित रूप से 80% से अधिक पूल उपयोग को पार करता है, तो DHCP स्कोप का आकार बढ़ाएं। स्टेडियम या सम्मेलन केंद्रों जैसे उच्च-घनत्व वाले स्थानों के लिए /22 या बड़े सबनेट का उपयोग करने पर विचार करें।

समस्या: RADIUS अकाउंटिंग डेटा शून्य-सेकंड सत्र दिखाता है। सत्यापित करें कि Arista APs और Purple RADIUS सर्वर के बीच फ़ायरवॉल पर UDP पोर्ट 1813 खुला है। पुष्टि करें कि CV-CUE SSID सेटिंग्स में Accounting Interval 2 मिनट पर सेट है।

एंटरप्राइज वातावरण में वायरलेस डिस्प्ले और प्रोटोकॉल सर्वोत्तम प्रथाओं पर संबंधित मार्गदर्शन के लिए, What Is Wireless Display: Protocols and Best Practices 2026 देखें।

ROI और व्यावसायिक प्रभाव

Purple के साथ Arista Cognitive WiFi को तैनात करना एक नेटवर्क लागत केंद्र को मापने योग्य व्यावसायिक संपत्ति में बदल देता है। एक अनुपालन कैप्टिव पोर्टल लागू करके, आप GDPR जुर्माने के जोखिम को कम करते हैं, जो वैश्विक वार्षिक कारोबार का 4% तक पहुँच सकता है। इससे भी महत्वपूर्ण बात यह है कि Guest WiFi पोर्टल सत्यापित, प्रथम-पक्ष डेटा कैप्चर करता है। Purple ने अपने नेटवर्क पर 29 बिलियन डेटा पॉइंट एकत्र किए हैं (Purple आंतरिक डेटा), जो यह दर्शाता है कि उचित रूप से तैनात गेस्ट WiFi आर्किटेक्चर क्या उत्पन्न कर सकता है।

Retail स्थानों के लिए, यह डेटा सीधे CRM सिस्टम में फीड होता है, जिससे विज़िट आवृत्ति और ठहराव समय के आधार पर लक्षित विपणन अभियानों को सक्षम किया जा सकता है। Hospitality ऑपरेटरों के लिए, यह लौटने वाले अतिथियों के साथ व्यक्तिगत पुन: जुड़ाव को सक्षम बनाता है। Transport केंद्रों के लिए, यह सटीक यात्री प्रवाह डेटा प्रदान करता है जो परिचालन निर्णयों को सूचित करता है। Healthcare सुविधाओं के लिए, यह सुनिश्चित करता है कि नैदानिक (clinical) प्रणालियों को पूरी तरह से अलग रखते हुए रोगियों और आगंतुकों को उचित नेटवर्क एक्सेस प्राप्त हो।

Purple प्लेटफ़ॉर्म 99.999% अपटाइम (Purple आंतरिक डेटा) पर काम करता है, यह सुनिश्चित करता है कि प्लेटफ़ॉर्म उपलब्धता समस्याओं के कारण अतिथि एक्सेस कभी भी बाधित न हो। Arista के क्लाउड-प्रबंधित बुनियादी ढांचे के साथ मिलकर, आपको एक एंड-टू-एंड आर्किटेक्चर मिलता है जो बिना किसी आर्किटेक्चरल बदलाव के एक एकल स्थान से 80,000+ स्थानों तक स्केल करता है।

अतिरिक्त एकीकरण संदर्भ के लिए, NETGEAR Insight and Enterprise Access Points Integration with Purple WiFi पर हमारी गाइड देखें। अपने WiFi एनालिटिक्स के पूरक के लिए सर्वेक्षण उपकरणों का मूल्यांकन करने वाले स्थान ऑपरेटरों के लिए, Design of a Survey: A Practical Guide for Venues देखें।

मुख्य परिभाषाएं

Arista CV-CUE

CloudVision Cognitive Unified Edge. केंद्रीकृत क्लाउड प्रबंधन प्लेटफ़ॉर्म जिसका उपयोग Arista WiFi एक्सेस पॉइंट्स, स्विच और RADIUS और SSID सेटिंग्स सहित नेटवर्क प्रोफाइल को कॉन्फ़िगर, मॉनिटर और प्रबंधित करने के लिए किया जाता है।

IT टीमें एक ही इंटरफ़ेस से सभी Arista APs पर SSIDs को परिभाषित करने, RADIUS सर्वर को कॉन्फ़िगर करने, Walled Garden नियम सेट करने और WIPS नीतियों को प्रबंधित करने के लिए CV-CUE का उपयोग करती हैं।

Captive portal

एक वेब पेज जो अप्रमाणित नेटवर्क ट्रैफ़िक को रोकता है, जिससे उपयोगकर्ता को इंटरनेट एक्सेस देने से पहले इंटरैक्ट (लॉगिन, शर्तों को स्वीकार करना, या भुगतान करना) करने की आवश्यकता होती है। इसे वायरलेस कंट्रोलर या गेटवे स्तर पर लागू किया जाता है।

प्रथम-पक्ष डेटा कैप्चर करने और Guest WiFi नेटवर्क पर GDPR सहमति लागू करने के लिए प्राथमिक इंटरफ़ेस। Arista परिनियोजन में, कैप्टिव पोर्टल फ़ंक्शन को Purple को थर्ड-पार्टी होस्टेड सेवा के रूप में सौंपा गया है।

Walled Garden

एक प्रतिबंधित नेटवर्क वातावरण जो प्रमाणीकरण से पहले केवल डोमेन या IP पतों की एक विशिष्ट श्वेतसूची (whitelist) तक पहुँच की अनुमति देता है। इसे वायरलेस कंट्रोलर पर ACL के रूप में लागू किया जाता है।

उपकरणों को पूर्ण इंटरनेट एक्सेस मिलने से पहले Purple स्प्लैश पेज और पहचान प्रदाताओं तक पहुँचने की अनुमति देने के लिए आवश्यक। CDN IP श्रेणियों के बदलने पर इसे एक आवर्ती परिचालन कार्य के रूप में बनाए रखा जाना चाहिए।

PPSK (Private Pre-Shared Key)

एक सुरक्षा तंत्र जो एक ही SSID पर कई अद्वितीय पासफ़्रेज़ का उपयोग करने की अनुमति देता है, जिसमें प्रत्येक पासफ़्रेज़ को RADIUS प्रमाणीकरण के माध्यम से एक अलग नेटवर्क नीति या VLAN से मैप किया जाता है।

अनेक SSIDs को प्रसारित किए बिना सुरक्षित, अलग नेटवर्क प्रदान करने के लिए मल्टी-टेनेंट वातावरण में उपयोग किया जाता है। Purple RADIUS के साथ Arista PPSK प्रति पासफ़्रेज़ के अनुसार डायनेमिक VLAN स्टीयरिंग सक्षम करता है।

Dynamic VLAN steering

एक स्थिर SSID-से-VLAN मैपिंग के बजाय, प्रमाणीकरण के दौरान लौटाए गए RADIUS विशेषताओं (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) के आधार पर एक क्लाइंट डिवाइस को एक विशिष्ट VLAN में असाइन करने की प्रक्रिया।

Multi-Tenant WiFi के लिए महत्वपूर्ण, जो एक ही SSID को कई अलग-अलग उपयोगकर्ता समूहों की सेवा करने की अनुमति देता है। इसके लिए APs से जुड़े स्विच पोर्ट को सभी संभावित टेनेंट VLANs को ट्रंक करने की आवश्यकता होती है।

RADIUS CoA (Change of Authorization)

RADIUS प्रोटोकॉल (RFC 3576) का एक विस्तार जो एक RADIUS सर्वर को पुन:-प्रमाणीकरण की आवश्यकता के बिना सक्रिय सत्र की प्राधिकरण विशेषताओं को गतिशील रूप से संशोधित करने की अनुमति देता है।

उपयोगकर्ता द्वारा पोर्टल लॉगिन पूरा करने के तुरंत बाद Arista AP को पूर्ण इंटरनेट एक्सेस देने का निर्देश देने के लिए Purple द्वारा उपयोग किया जाता है, बिना डिवाइस को SSID के साथ फिर से जुड़ने की आवश्यकता के।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस नियंत्रण के लिए एक IEEE मानक जो LAN या WLAN से जुड़ने वाले उपकरणों के लिए एक प्रमाणीकरण तंत्र प्रदान करता है। क्रेडेंशियल पास करने के लिए EAP (एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल) का उपयोग करता है।

Staff WiFi के लिए सही प्रमाणीकरण मानक। साझा पासफ़्रेज़ को समाप्त करता है और Microsoft Entra ID या Okta जैसे कॉर्पोरेट पहचान प्रदाताओं के साथ एकीकृत प्रति-उपयोगकर्ता क्रेडेंशियल प्रबंधन को सक्षम बनाता है।

MAC address randomization

आधुनिक ऑपरेटिंग सिस्टम (iOS 14+, Android 10+) में एक गोपनीयता सुविधा जहाँ डिवाइस हार्डवेयर-बर्न किए गए MAC पते का उपयोग करने के बजाय प्रत्येक WiFi नेटवर्क के लिए एक यादृच्छिक (random) MAC पता उत्पन्न करता है जिससे वह कनेक्ट होता है।

केवल हार्डवेयर पहचानकर्ताओं के आधार पर लौटने वाले अतिथियों को ट्रैक करने की क्षमता को प्रभावित करता है। सटीक आगंतुक विश्लेषण और CRM एकीकरण के लिए पहचान-आधारित प्रमाणीकरण (ईमेल, सोशल लॉगिन) की ओर बदलाव की आवश्यकता है।

Client Isolation

एक wireless नेटवर्क सेटिंग जो एक ही AP से जुड़े क्लाइंट उपकरणों को Layer 2 पर एक-दूसरे के साथ सीधे संवाद करने से रोकती है, जिससे सभी ट्रैफ़िक गेटवे के माध्यम से जाने के लिए मजबूर होते हैं।

पार्श्व आंदोलन (lateral movement) और डिवाइस-टू-डिवाइस हमलों को रोकने के लिए Guest WiFi के लिए एक अनिवार्य सुरक्षा कॉन्फ़िगरेशन। जब अतिथि नेटवर्क भुगतान प्रणालियों के साथ भौतिक बुनियादी ढांचे को साझा करते हैं तो PCI DSS अनुपालन के लिए भी आवश्यक है।

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

एक प्रमाणपत्र-आधारित EAP विधि जहाँ क्लाइंट और प्रमाणीकरण सर्वर दोनों पारस्परिक प्रमाणीकरण के लिए X.509 प्रमाणपत्र प्रस्तुत करते हैं। एंटरप्राइज WiFi के लिए सबसे सुरक्षित EAP विधि मानी जाती है।

उच्च-सुरक्षा वातावरण में Staff WiFi के लिए अनुशंसित प्रमाणीकरण विधि। एक विश्वसनीय प्रमाणपत्र प्राधिकारी द्वारा जारी एक वैध क्लाइंट प्रमाणपत्र की आवश्यकता के द्वारा पासवर्ड-आधारित क्रेडेंशियल चोरी को समाप्त करता है।

हल किए गए उदाहरण

एक 40-साइट रिटेल श्रृंखला को Arista APs का उपयोग करके सभी स्थानों पर Guest WiFi तैनात करने की आवश्यकता है। उन्हें अतिथियों को Google Workspace या Facebook के माध्यम से प्रमाणित करने की आवश्यकता है, और यह सुनिश्चित करने की आवश्यकता है कि कॉर्पोरेट नेटवर्क अतिथि ट्रैफ़िक से पूरी तरह से अलग रहे। उन्हें GDPR-अनुपालन सहमति कैप्चर की भी आवश्यकता है।

नेटवर्क आर्केटेक्ट कोर स्विच पर एक समर्पित गेस्ट VLAN (VLAN 50) बनाता है और इसे Arista APs से ट्रंक करता है। CV-CUE में, एक नया गेस्ट SSID बनाया जाता है, जिसे VLAN 50 से मैप किया जाता है, जिसमें Client Isolation सक्षम होता है। कैप्टिव पोर्टल को Third-Party Hosted पर सेट किया जाता है, जो Purple की ओर इशारा करता है। Walled Garden को Purple के डोमेन, साथ ही accounts.google.com, facebook.com और उनके संबंधित CDNs को शामिल करने के लिए कॉन्फ़िगर किया गया है। Purple RADIUS सर्वर पोर्ट 1812 और 1813 पर प्रमाणीकरण के लिए कॉन्फ़िगर किए गए हैं। Purple पोर्टल को एक अनचेक किए गए GDPR सहमति चेकबॉक्स और सरल भाषा की शर्तों के साथ कॉन्फ़िगर किया गया है। जब कोई खरीदार कनेक्ट होता है, तो वे VLAN 50 पर अलग हो जाते हैं, Google या Facebook का उपयोग करके Purple पोर्टल के माध्यम से प्रमाणित होते हैं, और उन्हें RADIUS CoA के माध्यम से एक्सेस दिया जाता है। सहमति को Purple में टाइमस्टैम्प और शर्तों के संस्करण के साथ लॉग किया जाता है, जो GDPR अनुच्छेद 7 की आवश्यकताओं को पूरा करता है।

परीक्षक की टिप्पणी: यह दृष्टिकोण कॉर्पोरेट और अतिथि ट्रैफ़िक के बीच पूर्ण Layer 2 अलगाव सुनिश्चित करता है। पहचान और सहमति परत के लिए Purple पर और प्रवर्तन (enforcement) परत के लिए Arista पर भरोसा करके, रिटेलर जटिल ऑन-प्रिमाइसेस बुनियादी ढांचे के बिना अनुपालन और सुरक्षा प्राप्त करता है। यहाँ मुख्य निर्णय केवल AP फ़ायरवॉल पर भरोसा करने के बजाय स्विच स्तर पर VLAN विभाजन का उपयोग करना है, जो गहराई से सुरक्षा (defense in depth) प्रदान करता है।

एक कोवर्किंग स्पेस को 40 सदस्य कंपनियों के लिए Multi-Tenant WiFi की आवश्यकता होती है। वे चाहते हैं कि एक एकल SSID प्रसारित किया जाए, लेकिन सुरक्षा के लिए प्रत्येक सदस्य कंपनी को उनके अपने VLAN पर अलग करने की आवश्यकता है। जब किसी सदस्य का अनुबंध समाप्त होता है, तो एक्सेस तुरंत रद्द कर दिया जाना चाहिए।

IT प्रबंधक Arista APs तैनात करता है और Arista PPSK का उपयोग करके एक एकल SSID कॉन्फ़िगर करता है। SSID को Purple RADIUS के खिलाफ प्रमाणित करने के लिए कॉन्फ़िगर किया गया है। Purple पोर्टल में, प्रत्येक सदस्य कंपनी को एक अद्वितीय पासफ़्रेज़ और एक विशिष्ट VLAN ID (VLAN 100 से VLAN 4000) असाइन किया जाता है। जब कंपनी A का कोई उपयोगकर्ता अपने पासफ़्रेज़ का उपयोग करके कनेक्ट होता है, तो Arista AP, Purple RADIUS से पूछताछ करता है। Purple एक Access-Accept लौटाता है जिसमें Tunnel-Type (13), Tunnel-Medium-Type (6), और Tunnel-Private-Group-ID (100) शामिल होते हैं। AP उपयोगकर्ता को गतिशील रूप से VLAN 100 पर ले जाता है। जब किसी सदस्य का अनुबंध समाप्त होता है, तो ऑपरेटर Purple पोर्टल में पासफ़्रेज़ को रद्द कर देता है। उस पासफ़्रेज़ का उपयोग करने वाले किसी भी डिवाइस द्वारा अगले कनेक्शन प्रयास को RADIUS Access-Reject प्राप्त होता है, जिससे एक्सेस तुरंत समाप्त हो जाता है।

परीक्षक की टिप्पणी: यह मल्टी-टेनेंट वातावरण के लिए इष्टतम आर्किटेक्चर है। यह SSID ओवरहेड को 40 SSIDs से घटाकर प्रति साइट एक कर देता है, जिससे सीधे एयरटाइम दक्षता और क्लाइंट रोमिंग प्रदर्शन में सुधार होता है। Purple RADIUS के माध्यम से केंद्रीकृत रद्दीकरण किसी टेनेंट के जाने पर किसी भी Arista कॉन्फ़िगरेशन को संशोधित करने की आवश्यकता को समाप्त करता है, जिससे परिचालन ओवरहेड काफी कम हो जाता है।

एक सम्मेलन केंद्र प्रति सप्ताह 10 कार्यक्रमों की मेजबानी करता है, जिनमें से प्रत्येक का एक अलग आयोजक होता है जिसे अपने स्वयं के ब्रांडेड स्प्लैश पेज और अलग अतिथि नेटवर्क की आवश्यकता होती है। IT टीम प्रत्येक कार्यक्रम के लिए Arista बुनियादी ढांचे को पुन: कॉन्फ़िगर नहीं कर सकती है।

सम्मेलन केंद्र Arista PPSK का उपयोग करके एक स्थायी Multi-Tenant WiFi आर्किटेक्चर तैनात करता है। प्रत्येक कार्यक्रम आयोजक को Purple पोर्टल में एक अद्वितीय PPSK पासफ़्रेज़, एक समर्पित VLAN (जैसे, कार्यक्रम A के लिए VLAN 200, कार्यक्रम B के लिए VLAN 201), और एक ब्रांडेड स्प्लैश पेज टेम्पलेट के साथ पूर्व-प्रावधानित किया जाता है। Arista APs साल भर एक ही SSID प्रसारित करते हैं। कार्यक्रम आयोजक उपस्थित लोगों को अपना PPSK वितरित करता है। उपस्थित लोग कनेक्ट होते हैं, Purple RADIUS के खिलाफ प्रमाणित होते हैं, अपना VLAN असाइनमेंट प्राप्त करते हैं, और आयोजक का ब्रांडेड पोर्टल देखते हैं। IT टीम एक शेड्यूल पर Purple पोर्टल में कार्यक्रम पासफ़्रेज़ को सक्षम और अक्षम करती है, जिसके लिए Arista CV-CUE कॉन्फ़िगरेशन में किसी बदलाव की आवश्यकता नहीं होती है।

परीक्षक की टिप्पणी: यह आर्किटेक्चर परिचालन चिंताओं को स्पष्ट रूप से अलग करता है: Arista RF और प्रवर्तन (enforcement) परत को संभालता है, Purple पहचान और नीति परत को संभालता है। सम्मेलन केंद्र की IT टीम एक स्थिर बुनियादी ढांचा कॉन्फ़िगरेशन का प्रबंधन करती है। कार्यक्रम-विशिष्ट अनुकूलन पूरी तरह से Purple पोर्टल के माध्यम से संभाला जाता है, जिसे नेटवर्क इंजीनियरिंग कौशल की आवश्यकता के बिना कार्यक्रम आयोजकों या स्थान संचालन कर्मचारियों को सौंपा जा सकता है।

अभ्यास प्रश्न

Q1. एक होटल का अतिथि Guest WiFi SSID से जुड़ता है, लेकिन उनके iPhone पर पोर्टल लॉगिन पेज एक खाली स्क्रीन या टाइमआउट त्रुटि प्रदर्शित करता है। कॉर्पोरेट WiFi पूरी तरह से काम करता है। Arista AP ऑनलाइन है और Purple RADIUS सर्वर तक पहुँचा जा सकता है। Arista CV-CUE में आपको सबसे पहले किस कॉन्फ़िगरेशन तत्व को सत्यापित करना चाहिए, और आप किन विशिष्ट प्रविष्टियों की तलाश कर रहे हैं?

संकेत: विचार करें कि प्रमाणीकरण पूरा होने से पहले डिवाइस के पास क्या नेटवर्क एक्सेस है, और डिवाइस को पोर्टल पेज लोड करने के लिए क्या चाहिए।

मॉडल उत्तर देखें

CV-CUE में कैप्टिव पोर्टल सेटिंग्स के तहत Walled Garden कॉन्फ़िगरेशन को सत्यापित करें। Walled Garden को स्पष्ट रूप से Purple पोर्टल डोमेन को श्वेतसूची में डालना चाहिए: region1.purpleportal.net, venuewifi.com, और cloudfront.net। यदि ये गायब हैं, तो डिवाइस पोर्टल संपत्तियों को लोड नहीं कर सकता है। इसके अतिरिक्त, जांचें कि कैप्टिव पोर्टल डिटेक्शन एंडपॉइंट्स (iOS के लिए captive.apple.com) ब्लॉक नहीं किए जा रहे हैं। एक खाली स्क्रीन आमतौर पर इंगित करती है कि पोर्टल HTML लोड हो रहा है लेकिन CDN से जावास्क्रिप्ट या CSS संपत्तियों को ब्लॉक किया जा रहा है।

Q2. आप 30 सदस्य कंपनियों वाले एक कोवर्किंग स्पेस के लिए Arista PPSK का उपयोग करके Multi-Tenant WiFi तैनात कर रहे हैं। उपयोगकर्ता रिपोर्ट करते हैं कि वे SSID से कनेक्ट हो सकते हैं और एक IP पता प्राप्त कर सकते हैं, लेकिन वे सभी अपने असाइन किए गए टेनेंट VLANs के बजाय डिफ़ॉल्ट प्रबंधन VLAN (VLAN 1) पर जा रहे हैं। कौन सी RADIUS विशेषताएँ संभवतः गायब हैं या गलत तरीके से कॉन्फ़िगर की गई हैं, और आप इसे कैसे सत्यापित करते हैं?

संकेत: इस बारे में सोचें कि RADIUS AP को एक विशिष्ट नेटवर्क खंड असाइन करने का निर्देश कैसे देता है, और इसे प्राप्त करने के लिए कौन सी तीन विशेषताएँ एक साथ काम करती हैं।

मॉडल उत्तर देखें

Purple RADIUS सर्वर संभवतः Access-Accept संदेश में डायनेमिक VLAN विशेषताओं को वापस करने में विफल हो रहा है। तीन विशेषताएँ मौजूद होनी चाहिए: Tunnel-Type (मान 13, जिसका अर्थ है VLAN), Tunnel-Medium-Type (मान 6, जिसका अर्थ है 802), और Tunnel-Private-Group-ID (एक स्ट्रिंग के रूप में विशिष्ट VLAN ID, जैसे, '100')। सत्यापित करने के लिए, परीक्षण कनेक्शन के लिए RADIUS एक्सचेंज को कैप्चर करने के लिए Arista CV-CUE समस्या निवारण टूल का उपयोग करें। इन तीन विशेषताओं के लिए Access-Accept पैकेट की जांच करें। यह भी सत्यापित करें कि Arista AP को जोड़ने वाला स्विच पोर्ट सभी आवश्यक टेनेंट VLANs को ट्रंक करने के लिए कॉन्फ़िगर किया गया है - यदि VLAN ट्रंक नहीं है, तो AP क्लाइंट को उस पर नहीं रख सकता है भले ही RADIUS विशेषता सही हो।

Q3. 200 दैनिक आगंतुकों वाला एक रिटेल स्थान देखता है कि Purple Analytics बहुत कम अवधि के सत्रों (1 मिनट से कम) की एक उच्च संख्या दिखाता है, और गेस्ट VLAN पर DHCP स्कोप सुबह के मध्य तक लगातार समाप्त हो जाता है, जिससे नए खरीदार कनेक्ट नहीं हो पाते हैं। DHCP स्कोप एक /24 (254 उपयोगी पते) है। दो सबसे संभावित कारण क्या हैं, और आप Arista CV-CUE और DHCP सर्वर में क्या विशिष्ट कॉन्फ़िगरेशन परिवर्तन करते हैं?

संकेत: विचार करें कि नेटवर्क कैसे निर्धारित करता है कि कोई डिवाइस स्थान से कब बाहर गया है, और नेटवर्क को स्कैन करते समय आधुनिक डिवाइस कैसा व्यवहार करते हैं।

मॉडल उत्तर देखें

दो सबसे संभावित कारण हैं: पहला, एक निष्क्रिय टाइमआउट (idle timeout) जो बहुत लंबा है, जिससे स्टोर से बाहर जा चुके उपकरणों के लिए सत्र सक्रिय रहते हैं; और दूसरा, MAC पता रैंडमाइजेशन जिसके कारण डिवाइस प्रत्येक विज़िट पर नए क्लाइंट के रूप में दिखाई देते हैं, जिससे अतिरिक्त IP लीज की खपत होती है। निष्क्रिय टाइमआउट को हल करने के लिए, CV-CUE SSID सत्र सेटिंग्स में इसे घटाकर 10 मिनट करें। यह सुनिश्चित करता है कि पुराने सत्र साफ़ हो जाएं और IPs पूल में वापस आ जाएं। पूल की समाप्ति को हल करने के लिए, रैंडमाइजेशन द्वारा उत्पन्न अद्वितीय MAC पतों की मात्रा को समायोजित करने के लिए DHCP स्कोप को /22 (1022 उपयोगी पते) तक बढ़ाएं। इसके अतिरिक्त, डिस्कनेक्ट किए गए उपकरणों से IP सुधार को तेज करने के लिए DHCP लीज समय को घटाकर 30 मिनट करें।

इस श्रृंखला में आगे पढ़ें

Purple WiFi के साथ Grandstream GWN Access Points का एकीकरण

यह आधिकारिक तकनीकी संदर्भ गाइड विस्तार से बताती है कि Grandstream GWN access points को Purple के Guest WiFi और एनालिटिक्स प्लेटफॉर्म के साथ कैसे एकीकृत किया जाए। यह Grandstream कैप्टिव पोर्टल कॉन्फ़िगरेशन, RADIUS AAA सेटिंग्स, walled garden सेटअप, डायनेमिक VLAN स्टीयरिंग के साथ सुरक्षित स्टाफ 802.1X प्रमाणीकरण, और मल्टी-टेनेंट PPSK विभाजन को कवर करता है - जो बड़े पैमाने पर अतिथि और स्टाफ WiFi तैनात करने वाले MSPs और आईटी टीमों के लिए व्यावहारिक, चरण-दर-चरण मार्गदर्शन प्रदान करता है।

गाइड पढ़ें →

Cisco WLC और Catalyst एकीकरण Purple WiFi के साथ: चरण-दर-चरण अतिथि एक्सेस गाइड

यह गाइड Purple के साथ Cisco WLC और Catalyst 9800 Wireless के चरण-दर-चरण एकीकरण का विवरण देती है, जिसमें Central Web Authentication के माध्यम से Guest WiFi कैप्टिव पोर्टल रीडायरेक्शन, 802.1X EAP-TLS का उपयोग करके सुरक्षित Staff WiFi, और डायनेमिक VLAN असाइनमेंट के साथ Cisco Identity Pre-Shared Keys (iPSK) का उपयोग करके मल्टी-टेनेंट सेगमेंटेशन शामिल है। यह उन एंटरप्राइज नेटवर्क आर्किटेक्ट्स और IT सुरक्षा निदेशकों के लिए लिखी गई है जो हॉस्पिटैलिटी, रिटेल और बड़े सार्वजनिक वेन्यू में Cisco इन्फ्रास्ट्रक्चर को डिप्लॉय कर रहे हैं।

गाइड पढ़ें →

Purple WiFi के साथ OpenWrt कस्टम फ़र्मवेयर एकीकरण

यह गाइड Purple WiFi के साथ OpenWrt कस्टम फ़र्मवेयर को तैनात करने के लिए संपूर्ण एकीकरण प्लेबुक प्रदान करती है। इसमें CoovaChilli कैप्टिव पोर्टल कॉन्फ़िगरेशन, iptables वॉल्ड गार्डन प्रबंधन, hostapd के साथ 802.1X सुरक्षित स्टाफ WiFi, और डायनेमिक VLAN असाइनमेंट के साथ मल्टी-टेनेंट PPSK सेगमेंटेशन शामिल है - जो IT टीमों को किसी भी OpenWrt-सक्षम हार्डवेयर पर पहचान-आधारित नेटवर्क बनाने के लिए आवश्यक सटीक कॉन्फ़िगरेशन चरण प्रदान करता है।

गाइड पढ़ें →