एंटरप्राइज नेटवर्क कंट्रोलर्स पर कैप्टिव पोर्टल रीडायरेक्शन कॉन्फ़िगर करना

Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और अगले दस मिनटों में हम सीधे एंटरप्राइज WiFi में सबसे अधिक खोजे जाने वाले, लेकिन सबसे कम प्रलेखित विषयों में से एक पर जा रहे हैं: नेटवर्क कंट्रोलर्स पर कैप्टिव पोर्टल रीडायरेक्शन को कॉन्फ़िगर करना। यदि आपने कभी "configurar controlador portal cautivo" खोजा है और खाली हाथ लौटे हैं, तो यह वही ब्रीफिंग है जिसकी आपको आवश्यकता थी। हम पूरी तस्वीर को कवर कर रहे हैं - तकनीकी आर्किटेक्चर, कंट्रोलर-दर-कंट्रोलर कॉन्फ़िगरेशन चरण, अनुपालन आवश्यकताएं, और वास्तविक दुनिया की कमियां जो अनुभवी नेटवर्क टीमों को भी उलझा देती हैं। आइए शुरू करते हैं। कैप्टिव पोर्टल वह तंत्र है जो आपके WiFi नेटवर्क से कनेक्ट होने के बाद गेस्ट डिवाइस के पहले HTTP या HTTPS अनुरोध को रोकता है, और इंटरनेट एक्सेस प्रदान करने से पहले इसे एक ब्रांडेड स्प्लैश पेज पर रीडायरेक्ट करता है। वह स्प्लैश पेज सोशल लॉगिन, फॉर्म सबमिशन, शर्तों की एक साधारण क्लिक-थ्रू स्वीकृति, या RADIUS-समर्थित क्रेडेंशियल जांच के लिए पूछ सकता है। रीडायरेक्शन स्वयं कंट्रोलर स्तर पर नियंत्रित किया जाता है - न कि एक्सेस पॉइंट या फ़ायरवॉल पर। कंट्रोलर अनऑथेंटिकेटेड क्लाइंट के ट्रैफ़िक को रोकता है, एक प्री-ऑथेंटिकेशन एक्सेस कंट्रोल लिस्ट लागू करता है - जिसे हम वॉल्ड गार्डन कहते हैं - और क्लाइंट के ब्राउज़र को आपके पोर्टल URL पर भेजता है। व्यावसायिक रूप से यह क्यों मायने रखता है? इसके तीन कारण हैं। पहला, अनुपालन। GDPR के तहत, आपको आगंतुकों से व्यक्तिगत डेटा एकत्र करने से पहले स्पष्ट, सूचित सहमति प्राप्त करने की आवश्यकता होती है। एक उचित रूप से कॉन्फ़िगर किया गया कैप्टिव पोर्टल आपका सहमति तंत्र है। इसके बिना, आप कानूनी आधार के बिना डेटा एकत्र कर रहे हैं - और यह एक नियामक जोखिम है। दूसरा, सुरक्षा। बिना ऑथेंटिकेशन के एक खुला SSID एक दायित्व (लायबिलिटी) है। कैप्टिव पोर्टल रीडायरेक्शन, VLAN सेगमेंटेशन और एक RADIUS सर्वर के साथ मिलकर, आपको प्रति-सेशन जवाबदेही देता है। आप जानते हैं कि कौन, कब और किस डिवाइस से कनेक्ट हुआ। तीसरा, बिजनेस इंटेलिजेंस। प्रत्येक ऑथेंटिकेटेड सेशन एक फर्स्ट-पार्टी डेटा पॉइंट है। Purple सालाना 80,000 स्थानों पर 440 मिलियन लॉगिन संसाधित करता है। वह डेटा - ड्वेल टाइम, विज़िट फ़्रीक्वेंसी, जनसांख्यिकीय संकेत - केवल तभी उपलब्ध होता है जब आपका कैप्टिव पोर्टल इसे कैप्चर और ट्रांसमिट करने के लिए सही ढंग से कॉन्फ़िगर किया गया हो। अब मैं आपको चरण-दर-चरण रीडायरेक्ट फ़्लो के माध्यम से ले चलता हूँ। चरण एक: एक गेस्ट डिवाइस आपके गेस्ट SSID से जुड़ता है। कंट्रोलर इसे DHCP के माध्यम से एक IP एड्रेस असाइन करता है लेकिन इसे एक प्रतिबंधित प्री-ऑथेंटिकेशन स्थिति में रखता है। DNS और आपके द्वारा स्पष्ट रूप से अनुमति दिए गए वॉल्ड गार्डन डोमेन को छोड़कर सभी ट्रैफ़िक ब्लॉक कर दिए जाते हैं। चरण दो: गेस्ट एक ब्राउज़र खोलता है। उनका HTTP अनुरोध कंट्रोलर तक पहुँचता है। कंट्रोलर इसे रोकता है और आपके पोर्टल URL पर 302 रीडायरेक्ट जारी करता है। यह मुख्य रीडायरेक्ट तंत्र है। चरण तीन: गेस्ट का ब्राउज़र आपका स्प्लैश पेज लोड करता है, जो या तो स्वयं कंट्रोलर पर होस्ट किया जाता है या, एंटरप्राइज परिनियोजन में अधिक सामान्यतः, Purple जैसे बाहरी क्लाउड प्लेटफॉर्म पर होस्ट किया जाता है। चरण चार: गेस्ट ऑथेंटिकेट करता है - सोशल लॉगिन, फॉर्म या क्रेडेंशियल के माध्यम से। पोर्टल कंट्रोलर को वापस एक ऑथराइजेशन सिग्नल भेजता है, आमतौर पर RADIUS Access-Accept संदेश या MAC ऑथराइजेशन बाईपास के माध्यम से। चरण पांच: कंट्रोलर क्लाइंट को प्री-ऑथेंटिकेशन VLAN से पोस्ट-ऑथेंटिकेशन VLAN में ले जाता है, रीडायरेक्ट नियम को हटाता है, और इंटरनेट एक्सेस प्रदान करता है। यह पांच-चरणीय फ़्लो सभी प्रमुख कंट्रोलर प्लेटफॉर्म पर सुसंगत है। अंतर केवल इस बात में है कि आप Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi और अन्य पर प्रत्येक चरण को कैसे कॉन्फ़िगर करते हैं। आइए प्रमुख प्लेटफॉर्मों पर नज़र डालें। Cisco Meraki. Meraki पूरी तरह से Meraki डैशबोर्ड के माध्यम से कॉन्फ़िगर किए गए एक कस्टम स्प्लैश पेज का उपयोग करता है - इसमें कोई CLI नहीं है। Wireless पर जाएं, फिर Access Control पर जाएं, अपना गेस्ट SSID चुनें, स्प्लैश पेज को "Sign-on with my RADIUS server" या "Click-through" पर सेट करें, फिर Custom Splash URL फ़ील्ड में अपना बाहरी पोर्टल URL दर्ज करें। वॉल्ड गार्डन को Advanced Splash Settings अनुभाग में कॉन्फ़िगर किया गया है - आप अपने पोर्टल सर्वर के IP एड्रेस जोड़ते हैं ताकि गेस्ट ऑथेंटिकेशन से पहले स्प्लैश पेज तक पहुंच सके। RADIUS सर्वर विवरण RADIUS अनुभाग में जाते हैं: पोर्ट 1812 पर ऑथेंटिकेशन, पोर्ट 1813 पर अकाउंटिंग। HPE Aruba. ArubaOS पर, आप AAA अनुभाग के तहत एक कैप्टिव पोर्टल प्रोफ़ाइल कॉन्फ़िगर करते हैं, जिसमें लॉगिन URL, आपके RADIUS सर्वर की ओर इशारा करने वाला सर्वर समूह और रीडायरेक्ट URL निर्दिष्ट होता है। फिर आप वर्चुअल AP प्रोफ़ाइल के माध्यम से उस प्रोफ़ाइल को अपने SSID पर लागू करते हैं। प्री-ऑथेंटिकेशन भूमिका - जिसे Aruba "logon" भूमिका कहता है - में वह ACL होता है जो DNS, DHCP और आपके पोर्टल सर्वर के IP रेंज तक पहुंच की अनुमति देता है। पोस्ट-ऑथेंटिकेशन के बाद, कंट्रोलर "authenticated" भूमिका असाइन करता है, जो पूर्ण इंटरनेट एक्सेस की अनुमति देती है। Ruckus SmartZone कैप्टिव पोर्टल परिनियोजन के लिए Hotspot WLAN प्रकार का उपयोग करता है। WLAN कॉन्फ़िगरेशन के तहत, WLAN प्रकार को Hotspot पर सेट करें, फिर पोर्टल URL, ऑथेंटिकेशन और अकाउंटिंग के लिए RADIUS सर्वर और वॉल्ड गार्डन प्रविष्टियों को कॉन्फ़िगर करें। Northbound Portal Interface पोर्टल और कंट्रोलर के बीच MAC ऑथराइजेशन फ़्लो को संभालता है। Juniper Mist क्लाउड-नेटिव दृष्टिकोण का उपयोग करता है। Network, फिर WLANs के अंतर्गत, एक गेस्ट WLAN बनाएं और पोर्टल प्रकार को "External Captive Portal" पर सेट करें। अपना पोर्टल URL दर्ज करें और RADIUS सर्वर विवरण कॉन्फ़िगर करें। Mist क्लाइंट MAC, AP MAC और SSID नाम को URL पैरामीटर के रूप में पोर्टल पर पास करता है। Ubiquiti UniFi. UniFi नेटवर्क कंट्रोलर में, Settings, फिर WiFi पर जाएं, अपना गेस्ट नेटवर्क चुनें, और Advanced Options के अंतर्गत हॉटस्पॉट पोर्टल को सक्षम करने के लिए Guest Policy सेट करें। पोर्टल प्रकार को "External" पर सेट करें और अपना पोर्टल URL दर्ज करें। Profiles, फिर RADIUS के अंतर्गत RADIUS सर्वर को कॉन्फ़िगर करें। कैप्टिव पोर्टल परिनियोजन में वॉल्ड गार्डन सबसे आम तौर पर गलत कॉन्फ़िगर किया जाने वाला तत्व है। इसे गलत करने पर आपके मेहमानों को आपके स्प्लैश पेज के बजाय ब्राउज़र त्रुटि दिखाई देगी। वॉल्ड गार्डन को कम से कम अनुमति देनी चाहिए: आपके पोर्टल सर्वर के IP एड्रेस या डोमेन, आपके RADIUS सर्वर के IP एड्रेस, पोर्ट 53 पर DNS रिज़ॉल्यूशन, और पोर्ट 67 और 68 पर DHCP। यदि आपका पोर्टल किसी CDN से एसेट - फ़ॉन्ट, इमेज, जावास्क्रिप्ट - लोड करता है, तो वे CDN डोमेन भी वॉल्ड गार्डन में होने चाहिए। Purple परिनियोजन के लिए, हम ऑनबोर्डिंग के दौरान व्हाइटलिस्ट करने के लिए विशिष्ट IP रेंज और डोमेन प्रदान करते हैं। सबसे आम विफलता मोड एक ऐसा पोर्टल है जो HTML फ़्रेम लोड करता है लेकिन इमेज रेंडर करने या जावास्क्रिप्ट निष्पादित करने में विफल रहता है क्योंकि CDN डोमेन वॉल्ड गार्डन से गायब हैं। यहाँ दो अनुपालन मानक हावी हैं: GDPR और PCI DSS। GDPR के तहत, आपके कैप्टिव पोर्टल को व्यक्तिगत डेटा एकत्र करने से पहले एक स्पष्ट, विशिष्ट सहमति तंत्र प्रस्तुत करना होगा। इसका मतलब है WiFi एक्सेस और मार्केटिंग सहमति के लिए अलग, अन-टिक किए गए चेकबॉक्स। आप उन्हें बंडल नहीं कर सकते। सहमति रिकॉर्ड को ऑडिट उद्देश्यों के लिए संग्रहीत और पुनर्प्राप्त करने योग्य होना चाहिए। Purple का प्लेटफॉर्म इसे स्वचालित रूप से संभालता है, प्रत्येक ऑथेंटिकेटेड सेशन के विरुद्ध सहमति रिकॉर्ड संग्रहीत करता है। PCI DSS के तहत, यदि आपका स्थान कार्ड भुगतान संसाधित करता है, तो आपका गेस्ट WiFi नेटवर्क आपके भुगतान कार्ड वातावरण से अलग होना चाहिए। इसका मतलब है एक समर्पित गेस्ट VLAN जिसमें फ़ायरवॉल नियम गेस्ट सेगमेंट और आपके POS नेटवर्क के बीच किसी भी रूटिंग को रोकते हैं। PCI DSS संस्करण 4.0, जो मार्च 2024 में अनिवार्य हो गया था, के लिए कम से कम हर छह महीने में नेटवर्क सेगमेंटेशन परीक्षण की आवश्यकता होती है। आइए मैं आपको दो ठोस परिदृश्य देता हूँ। परिदृश्य एक: Cisco Meraki चलाने वाला एक 350 कमरों वाला होटल। होटल एक बुनियादी क्लिक-थ्रू पोर्टल को एक ब्रांडेड गेस्ट अनुभव से बदलना चाहता है जो उनके लॉयल्टी प्रोग्राम के लिए ईमेल पते कैप्चर करता है। कॉन्फ़िगरेशन: केवल इंटरनेट एक्सेस के साथ एक अलग VLAN पर एक समर्पित गेस्ट SSID बनाएं। Purple के पोर्टल URL की ओर इशारा करने के लिए Meraki स्प्लैश पेज को कॉन्फ़िगर करें। Purple के RADIUS सर्वर विवरण का उपयोग करके RADIUS ऑथेंटिकेशन सेट करें। Purple के IP रेंज के साथ वॉल्ड गार्डन को कॉन्फ़िगर करें। Purple डैशबोर्ड में, स्पष्ट GDPR सहमति चेकबॉक्स के साथ नाम, ईमेल और कमरा नंबर कैप्चर करने वाले फॉर्म के साथ एक ब्रांडेड स्प्लैश पेज बनाएं। Purple CRM कनेक्टर को होटल के मार्केटिंग प्लेटफॉर्म से कनेक्ट करें। Premier Inn ने अपने पूरे एस्टेट में इस मॉडल को लागू किया और WiFi-प्राप्त मेहमानों से सीधे बुकिंग दरों में औसत दर्जे की वृद्धि देखी। परिदृश्य दो: HPE Aruba चलाने वाली 40 स्टोर वाली एक क्षेत्रीय रिटेल श्रृंखला। रिटेल विक्रेता को स्टोर के प्रदर्शन की तुलना करने के लिए फुटफॉल एनालिटिक्स के साथ सभी साइटों पर एक सुसंगत गेस्ट WiFi अनुभव की आवश्यकता होती है। एक ही डैशबोर्ड से सभी 40 साइटों को प्रबंधित करने के लिए Aruba Central तैनात करें। Purple की ओर इशारा करते हुए बाहरी कैप्टिव पोर्टल के साथ एक गेस्ट WLAN टेम्पलेट कॉन्फ़िगर करें। Aruba Central की समूह नीति (ग्रुप पॉलिसी) सुविधा का उपयोग करके सभी साइटों पर टेम्पलेट लागू करें। Purple में, एक एकल पोर्टल टेम्पलेट कॉन्फ़िगर करें जो प्रति-स्थान एनालिटिक्स डैशबोर्ड के साथ सभी स्थानों पर लागू होता है। वॉल्ड गार्डन और RADIUS कॉन्फ़िगरेशन को टेम्पलेट में एक बार परिभाषित किया जाता है और स्वचालित रूप से प्रचारित किया जाता है। परिणाम: IT टीम एक कंसोल से 40 साइटों का प्रबंधन करती है। मार्केटिंग टीम को प्रति-स्टोर फुटफॉल डेटा, ड्वेल टाइम विश्लेषण और बार-बार आने की दरें मिलती हैं - सब कुछ एक ही Purple डैशबोर्ड से। चार कमियां जो मैं बार-बार देखता हूँ। एक: HTTPS इंटरसेप्शन विफलताएं। आधुनिक ब्राउज़र और मोबाइल ऑपरेटिंग सिस्टम कैप्टिव पोर्टल का पता लगाने के लिए HTTPS प्रोब का उपयोग करते हैं। यदि आपका कंट्रोलर HTTPS ट्रैफ़िक को नहीं रोक सकता है - जिसके लिए रीडायरेक्ट डोमेन के लिए एक वैध प्रमाणपत्र की आवश्यकता होती है - तो प्रोब चुपचाप विफल हो जाता है और गेस्ट को कोई रीडायरेक्ट नहीं दिखता है। समाधान: अपने कंट्रोलर के वर्चुअल इंटरफ़ेस को एक विश्वसनीय प्रमाणपत्र के साथ कॉन्फ़िगर करें, या अपने गेस्ट SSID पर केवल-HTTP प्रोब का उपयोग करें। दो: DNS लीकेज। यदि आपका प्री-ऑथेंटिकेशन ACL अप्रतिबंधित DNS की अनुमति देता है, तो मेहमान कैप्टिव पोर्टल को पूरी तरह से बायपास करने के लिए DNS टनलिंग का उपयोग कर सकते हैं। DNS को केवल अपने निर्दिष्ट रिज़ॉल्वर तक सीमित करें। तीन: सेशन टाइमआउट बेमेल। यदि आपका कंट्रोलर सेशन टाइमआउट आपके पोर्टल के सेशन टोकन वैधता से छोटा है, तो मेहमानों को सेशन के बीच में ही वापस पोर्टल पर रीडायरेक्ट कर दिया जाता है। इन मानों को संरेखित करें - आमतौर पर हॉस्पिटैलिटी के लिए 24 घंटे, रिटेल के लिए आठ घंटे। चार: गायब अकाउंटिंग। RADIUS अकाउंटिंग - Accounting-Start और Accounting-Stop संदेश - वह तरीका है जिससे आपके पोर्टल को पता चलता है कि एक सेशन समाप्त हो गया है। अकाउंटिंग कॉन्फ़िगर किए बिना, आपके पोर्टल के सेशन रिकॉर्ड गलत होंगे और आपका एनालिटिक्स अविश्वसनीय होगा। त्वरित प्रश्न, त्वरित उत्तर। क्या मैं किसी भी कंट्रोलर के साथ बाहरी पोर्टल का उपयोग कर सकता हूँ? हाँ, बशर्ते कंट्रोलर बाहरी कैप्टिव पोर्टल रीडायरेक्ट का समर्थन करता हो - जो कि हमारे द्वारा चर्चा किए गए सभी प्लेटफॉर्म करते हैं। क्या मुझे कैप्टिव पोर्टल चलाने के लिए RADIUS सर्वर की आवश्यकता है? हमेशा नहीं। साधारण क्लिक-थ्रू पोर्टल बिना पूर्ण RADIUS सर्वर के MAC ऑथराइजेशन बाईपास का उपयोग कर सकते हैं। लेकिन क्रेडेंशियल-आधारित या सोशल लॉगिन पोर्टल के लिए, RADIUS मानक तंत्र है। क्या कैप्टिव पोर्टल WPA3 के साथ काम करता है? हाँ। WPA3 वायरलेस एन्क्रिप्शन लेयर को संभालता है। कैप्टिव पोर्टल ऑथेंटिकेशन लेयर को संभालता है। वे स्वतंत्र रूप से काम करते हैं और पूरी तरह से संगत हैं। Purple मेरे मौजूदा कंट्रोलर के साथ कैसे एकीकृत होता है? Purple बाहरी पोर्टल सर्वर के रूप में कार्य करता है। आप अपने कंट्रोलर के स्प्लैश URL को Purple के पोर्टल एंडपॉइंट की ओर इंगित करते हैं, Purple के IP रेंज के साथ वॉल्ड गार्डन को कॉन्फ़िगर करते हैं, और Purple के सर्वर विवरण का उपयोग करके RADIUS सेट करते हैं। एकीकरण की प्रक्रिया समान है चाहे आप Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, या Ubiquiti UniFi पर हों। संक्षेप में। कैप्टिव पोर्टल रीडायरेक्शन कंट्रोलर स्तर पर कॉन्फ़िगर किया जाता है, न कि एक्सेस पॉइंट पर। मुख्य घटक हैं: आपके पोर्टल की ओर इशारा करने वाला स्प्लैश URL, आपके पोर्टल सर्वर तक पहुंच की अनुमति देने वाला वॉल्ड गार्डन, ऑथेंटिकेशन और अकाउंटिंग के लिए RADIUS, और नेटवर्क अलगाव के लिए VLAN सेगमेंटेशन। कॉन्फ़िगरेशन चरण वेंडर के अनुसार भिन्न होते हैं लेकिन आर्किटेक्चर सुसंगत है। अनुपालन के लिए, आपके पोर्टल को GDPR-अनुपालन सहमति कैप्चर और PCI DSS-अनुपालन नेटवर्क सेगमेंटेशन लागू करना होगा। WPA3 वायरलेस एन्क्रिप्शन के लिए वर्तमान मानक है और किसी भी नए परिनियोजन पर आपका बेसलाइन विनिर्देश होना चाहिए। Purple मूल रूप से Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet के साथ एकीकृत होता है। 2024 में 80,000 स्थानों और 440 मिलियन लॉगिन में, प्लेटफॉर्म डिज़ाइन द्वारा हार्डवेयर-अज्ञेयवादी है - आपका कंट्रोलर विकल्प फर्स्ट-पार्टी गेस्ट डेटा कैप्चर करने या एनालिटिक्स चलाने की आपकी क्षमता को सीमित नहीं करता है। आपका अगला कदम: इस गाइड में वॉल्ड गार्डन और RADIUS अकाउंटिंग चेकलिस्ट के विरुद्ध अपने वर्तमान कंट्रोलर कॉन्फ़िगरेशन की समीक्षा करें। यदि आप एक नया गेस्ट WiFi नेटवर्क तैनात कर रहे हैं, तो अपने कंट्रोलर प्लेटफॉर्म के लिए वेंडर-विशिष्ट कॉन्फ़िगरेशन चरणों के साथ शुरू करें और Purple को अपने बाहरी पोर्टल के रूप में कनेक्ट करें। सुनने के लिए धन्यवाद। यह Purple टेक्निकल ब्रीफिंग थी।