Purple WiFi के साथ OpenWrt कस्टम फ़र्मवेयर इंटीग्रेशन

यह गाइड Purple WiFi के साथ OpenWrt कस्टम फ़र्मवेयर को तैनात करने के लिए संपूर्ण इंटीग्रेशन प्लेबुक प्रदान करती है। इसमें CoovaChilli कैप्टिव पोर्टल कॉन्फ़िगरेशन, iptables वॉल्ड गार्डन प्रबंधन, hostapd के साथ 802.1X सुरक्षित स्टाफ WiFi, और डायनेमिक VLAN असाइनमेंट के साथ मल्टी-टेनेंट PPSK सेगमेंटेशन शामिल है - जो IT टीमों को किसी भी OpenWrt-सक्षम हार्डवेयर पर पहचान-आधारित नेटवर्क (Identity-Based Network) बनाने के लिए आवश्यक सटीक कॉन्फ़िगरेशन चरण प्रदान करता है।

📖 9 मिनट का पाठ📝 2,146 शब्द🔧 2 हल किए गए उदाहरण❓ 4 अभ्यास प्रश्न📚 10 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें

[0:00 - 1:00] परिचय और संदर्भ

Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और अगले दस मिनट में, हम Purple WiFi के साथ OpenWrt कस्टम फ़र्मवेयर इंटीग्रेशन का विश्लेषण करने जा रहे हैं। यदि आप एक IT प्रबंधक, नेटवर्क आर्किटेक्ट, या CTO हैं जो हॉस्पिटैलिटी, रिटेल, या सार्वजनिक क्षेत्र के वातावरण में कस्टम फ़र्मवेयर तैनात कर रहे हैं, तो यह ब्रीफिंग आपके लिए है। हम अकादमिक सिद्धांत को छोड़ देंगे और आपको CoovaChilli को कॉन्फ़िगर करने, 802.1X के साथ स्टाफ नेटवर्क को सुरक्षित करने, और Private Pre-Shared Keys का उपयोग करके मल्टी-टेनेंट वातावरण को विभाजित करने के लिए सटीक प्लेबुक देंगे।

यह क्यों मायने रखता है? क्योंकि OpenWrt जैसे कस्टम फ़र्मवेयर को तैनात करना आपको अविश्वसनीय लचीलापन और हार्डवेयर स्वतंत्रता देता है। लेकिन एक संरचित, पहचान-संचालित एक्सेस कंट्रोल परत के बिना, वह लचीलापन एक सुरक्षा दायित्व बन जाता है। आपको प्रथम-पक्ष डेटा को सुरक्षित रूप से कैप्चर करने, GDPR अनुपालन लागू करने, और अपने ट्रैफ़िक को मज़बूती से विभाजित करने की आवश्यकता है। आइए तकनीकी गहन विश्लेषण में चलें।

[1:00 - 6:00] तकनीकी गहन विश्लेषण

OpenWrt इंटीग्रेशन का मूल CoovaChilli पर निर्भर करता है। CoovaChilli ओपन-सोर्स एक्सेस कंट्रोलर है जो अप्रमाणित क्लाइंट ट्रैफ़िक को रोकता है और इसे Purple कैप्टिव पोर्टल पर रीडायरेक्ट करता है। जब कोई गेस्ट आपके ओपन SSID से कनेक्ट होता, तो CoovaChilli गेटकीपर के रूप में कार्य करता है। यह tun0 इंटरफ़ेस पर चलने वाले अपने स्वयं के आंतरिक DHCP सर्वर के माध्यम से एक IP पता असाइन करता है, और वॉल्ड गार्डन में आपके द्वारा स्पष्ट रूप से अनुमति दिए गए ट्रैफ़िक को छोड़कर सभी ट्रैफ़िक को ब्लॉक कर देता है।

जब गेस्ट ब्राउज़ करने का प्रयास करता है, तो CoovaChilli HTTP अनुरोध को रोकता है और Purple स्प्लैश पेज पर रीडायरेक्ट जारी करता है। यहीं पर वॉल्ड गार्डन कॉन्फ़िगरेशन महत्वपूर्ण है। अपनी chilli.conf फ़ाइल में, आपको HS_UAMDOMAINS पैरामीटर को परिभाषित करना होगा। यह उन डोमेन की अल्पविराम से अलग की गई सूची है जहाँ गेस्ट प्रमाणित होने से पहले पहुँच सकते हैं। आपको splash.purple.ai, api.purple.ai, और विभिन्न CDN डोमेन शामिल करने होंगे जिनका उपयोग हम पोर्टल एसेट की सेवा के लिए करते हैं। यदि आप कोई डोमेन भूल जाते हैं, तो पोर्टल लोड होने में विफल हो जाएगा, या सोशल लॉगिन बटन टूट जाएंगे। यह इतना सरल है।

एक बार जब गेस्ट Purple पोर्टल पर प्रमाणित हो जाता है, तो Purple का क्लाउड RADIUS सर्वर UDP पोर्ट 1812 पर CoovaChilli को वापस एक Access-Accept संदेश भेजता है। CoovaChilli फिर MAC पते को अधिकृत करता है, उस सत्र के लिए फ़ायरवॉल नियम खोलता है, और UDP पोर्ट 1813 पर अकाउंटिंग डेटा भेजना शुरू करता है। अकाउंटिंग वैकल्पिक नहीं है। इसी तरह Purple आपके एनालिटिक्स डैशबोर्ड के लिए सत्र की अवधि और डेटा उपयोग को ट्रैक करता है।

अब, आइए स्टाफ WiFi के बारे में बात करते हैं। आप स्टाफ के लिए CoovaChilli का उपयोग नहीं करते हैं। स्टाफ नेटवर्क के लिए, आप WPA2-Enterprise या WPA3-Enterprise के साथ hostapd का उपयोग करते हैं। यह मानक 802.1X प्रमाणीकरण है। एक्सेस पॉइंट ऑथेंटिकेटर के रूप में कार्य करता है, जो आपके RADIUS सर्वर पर EAP संदेशों को अग्रेषित करता है। कॉर्पोरेट उपकरणों के लिए, आपको EAP-TLS तैनात करना चाहिए, जो पासवर्ड के बजाय डिजिटल प्रमाणपत्रों का उपयोग करता है। यह क्रेडेंशियल चोरी को पूरी तरह से समाप्त करता है। आप hostapd.conf को अपने RADIUS सर्वर को इंगित करने के लिए कॉन्फ़िगर करते हैं, और RADIUS सर्वर उस विशिष्ट उपयोगकर्ता के लिए VLAN असाइनमेंट तय करता है।

यह हमें आधुनिक OpenWrt परिनियोजन में सबसे शक्तिशाली विशेषताओं में से एक पर लाता है: Private Pre-Shared Keys, या PPSK। एक मल्टी-टेनेंट वातावरण में - मान लें कि एक बिल्ड-टू-रेंट (BTR) संपत्ति या एक कोवर्किंग स्पेस - आप पचास अलग-अलग SSID प्रसारित नहीं करना चाहते हैं। यह आपकी एयरटाइम दक्षता को बर्बाद करता है। इसके बजाय, आप एक सिंगल SSID प्रसारित करते हैं। जब कोई डिवाइस कनेक्ट होता है, तो hostapd RADIUS सर्वर को MAC पता भेजता है। RADIUS सर्वर उस डिवाइस के लिए एक विशिष्ट पासफ़्रेज़ और एक विशिष्ट VLAN ID के साथ प्रतिक्रिया करता है, Tunnel-Password विशेषता का उपयोग करके।

इसका मतलब है कि दुकान A में रिटेल स्टाफ सदस्य VLAN 10 पर पहुँच जाता है, जबकि मुख्य हॉल में इवेंट प्रतिभागी VLAN 30 पर पहुँच जाता है, सभी बिल्कुल एक ही SSID से कनेक्ट होते हैं। यह सुरुचिपूर्ण है, यह स्केल करता है, और यह एज पर न्यूनतम-विशेषाधिकार एक्सेस लागू करता है।

[6:00 - 8:00] कार्यान्वयन सिफारिशें और नुकसान

आइए कार्यान्वयन पर चर्चा करें। Purple के साथ OpenWrt तैनात करते समय, आपका पहला कदम हमेशा Purple पोर्टल से अपने RADIUS क्रेडेंशियल प्राप्त करना होता है। आपको प्राथमिक और द्वितीयक RADIUS IP पते, शेयर्ड सीक्रेट और पोर्टल URL की आवश्यकता होती है।

अपने OpenWrt कॉन्फ़िगरेशन में, आप अपने गेस्ट नेटवर्क इंटरफ़ेस - आमतौर पर eth1 या wlan0 - को परिभाषित करेंगे और CoovaChilli को इससे बांधेंगे। सुनिश्चित करें कि आपकी chilli.conf में HS_RADSECRET बिल्कुल वही है जो Purple पोर्टल में है। एक एकल वर्ण का बेमेल मूक प्रमाणीकरण विफलताओं का कारण बनेगा।

सबसे बड़ा नुकसान जो हम देखते हैं वह प्री-ऑथेंटिकेशन DNS रिज़ॉल्यूशन है। CoovaChilli DNS अनुरोधों को रोकता है। यदि आपका अपस्ट्रीम फ़ायरवॉल OpenWrt राउटर को बाहरी DNS को रिज़ॉल्यूशन करने से रोकता है, तो कैप्टिव पोर्टल रीडायरेक्ट विफल हो जाएगा। सुनिश्चित करें कि आपके OpenWrt राउटर के पास Google या OpenDNS जैसे सार्वजनिक रिज़ॉल्वर तक निर्बाध DNS एक्सेस है।

एक और आम समस्या iOS और Android में निर्मित कैप्टिव पोर्टल डिटेक्शन तंत्र है। Apple डिवाइस इंटरनेट कनेक्टिविटी की जांच करने के लिए captive.apple.com तक पहुँचते हैं। यदि आप अपने वॉल्ड गार्डन में captive.apple.com को अनुमति सूची में डालते हैं, तो डिवाइस सोचता है कि उसके पास इंटरनेट एक्सेस है और वह कैप्टिव नेटवर्क असिस्टेंट को पॉप अप नहीं करेगा। यदि आप स्वचालित पॉप-अप चाहते हैं, तो Apple के डोमेन को वॉल्ड गार्डन से बाहर रखें।

[8:00 - 9:00] रैपिड-फायर प्रश्नोत्तर (Q&A)

आइए एक रैपिड-फायर प्रश्नोत्तर करते हैं।

प्रश्न एक: क्या मैं एक ही OpenWrt एक्सेस पॉइंट पर CoovaChilli और hostapd 802.1X चला सकता हूँ? हाँ। आप CoovaChilli को अपने गेस्ट SSID इंटरफ़ेस से बांधते हैं, और आप अपने स्टाफ SSID इंटरफ़ेस पर 802.1X के साथ hostapd कॉन्फ़िगर करते हैं। वे स्वतंत्र रूप से काम करते हैं।

प्रश्न दो: क्या Purple OpenWrt के साथ डायनेमिक VLAN असाइनमेंट का समर्थन करता है? हाँ। Purple के RADIUS सर्वर मानक RADIUS विशेषताएँ लौटा सकते हैं, जिसमें Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID शामिल हैं, जो OpenWrt को प्रमाणित उपयोगकर्ता को एक विशिष्ट VLAN पर रखने का निर्देश देते हैं।

प्रश्न तीन: क्या होगा यदि OpenWrt राउटर का Purple RADIUS सर्वर से कनेक्शन टूट जाता है? CoovaChilli नए सत्रों को प्रमाणित करने में विफल रहेगा। मौजूदा अधिकृत सत्र तब तक सक्रिय रहेंगे जब तक कि उनकी सत्र समय-सीमा समाप्त नहीं हो जाती। उच्च उपलब्धता सुनिश्चित करने के लिए हमेशा द्वितीयक Purple RADIUS सर्वर को कॉन्फ़िगर करें।

[9:00 - 10:00] सारांश और अगले कदम

संक्षेप में: OpenWrt एंटरप्राइज़ WiFi के लिए एक मजबूत, हार्डवेयर-अज्ञेयवादी (hardware-agnostic) प्लेटफॉर्म प्रदान करता है। गेस्ट एक्सेस के लिए CoovaChilli और सुरक्षित स्टाफ और मल्टी-टेनेंट PPSK के लिए hostapd को एकीकृत करके, आप एक पहचान-आधारित नेटवर्क (Identity-Based Network) बनाते हैं। Purple, RADIUS बुनियादी ढांचे की जटिलता को दूर करता है, एक क्लाउड-प्रबंधित पोर्टल प्रदान करता है जो प्रथम-पक्ष डेटा कैप्चर करता है और अनुपालन सुनिश्चित करता है।

आपका अगला कदम आपके वर्तमान कस्टम फ़र्मवेयर परिनियोजन का ऑडिट करना है। सुनिश्चित करें कि आपके वॉल्ड गार्डन पूरी तरह से भरे हुए हैं, अपने RADIUS अकाउंटिंग अंतरालों को सत्यापित करें, और साझा PSK से डायनेमिक PPSK सेगमेंटेशन में अपने माइग्रेशन की योजना बनाना शुरू करें।

Purple टेक्निकल ब्रीफिंग सुनने के लिए धन्यवाद। Purple आपके गेस्ट WiFi को कैसे सुरक्षित और मुद्रीकृत (monetise) कर सकता है, इसके बारे में अधिक जानने के लिए, purple.ai पर जाएँ। अगली बार तक।

मुख्य निष्कर्ष

✓OpenWrt को गेस्ट नेटवर्क के लिए कैप्टिव पोर्टल रीडायरेक्शन लागू करने के लिए CoovaChilli की आवश्यकता होती है; यह इसे मूल रूप से प्रदान नहीं करता है। सेवा को सक्षम करने से पहले opkg के माध्यम से coova-chilli इंस्टॉल करें और HS_RADIUS, HS_RADSECRET, और HS_UAMDOMAINS कॉन्फ़िगर करें।
✓वॉल्ड गार्डन (HS_UAMDOMAINS) सबसे महत्वपूर्ण परिचालन कॉन्फ़िगरेशन तत्व है। अनुपलब्ध डोमेन पोर्टल या सोशल लॉगिन प्रवाह को तोड़ देते हैं। ब्लॉक किए गए प्री-ऑथ अनुरोधों की व्यवस्थित रूप से पहचान करने के लिए एक परीक्षण डिवाइस पर ब्राउज़र डेवलपर टूल का उपयोग करें।
✓स्टाफ नेटवर्क को WPA2-Enterprise (802.1X) के साथ hostapd का उपयोग करना चाहिए। wpad-mini पैकेज इसका समर्थन नहीं करता है - एंटरप्राइज़ प्रमाणीकरण या डायनेमिक VLAN असाइनमेंट की आवश्यकता वाले किसी भी परिनियोजन के लिए हमेशा wpad-openssl इंस्टॉल करें।
✓Private Pre-Shared Keys (PPSK) एक ही SSID पर मल्टी-टेनेंट सेगमेंटेशन को सक्षम करते हैं, जिसमें RADIUS प्रति डिवाइस MAC पते पर एक अद्वितीय पासफ़्रेज़ और VLAN ID लौटाता है। यह SSID के फैलाव को समाप्त करता है और घने वातावरण में RF प्रदर्शन में सुधार करता।
✓Purple एनालिटिक्स के लिए RADIUS अकाउंटिंग (UDP 1813) अनिवार्य है। HS_RADIUS और HS_RADIUS2 दोनों को अकाउंटिंग पोर्ट के साथ कॉन्फ़िगर करें, और सत्यापित करें कि स्थान के एज फ़ायरवॉल के माध्यम से आउटबाउंड UDP 1813 की अनुमति है।
✓19.07 में ath10k-ct ड्राइवर में एक ज्ञात AP/VLAN प्रतिगमन (regression) के कारण ath10k हार्डवेयर पर डायनेमिक VLAN असाइनमेंट के लिए OpenWrt 21.02 या बाद के संस्करण की आवश्यकता होती है।
✓फ़ेलओवर के लिए हमेशा एक द्वितीयक Purple RADIUS सर्वर (HS_RADIUS2) कॉन्फ़िगर करें। यदि प्राथमिक सर्वर अनुपलब्ध है, तो CoovaChilli नए सत्रों को तब तक प्रमाणित करने में विफल रहेगा जब तक कि प्राथमिक सर्वर ठीक नहीं हो जाता।

कार्यकारी सारांश (Executive summary)

OpenWrt हे अशा IT टीम्ससाठी पसंतीचे फर्मवेअर आहे ज्यांना एंटरप्राइझ-ग्रेड नियंत्रण न गमावता हार्डवेअर स्वातंत्र्याची आवश्यकता असते. हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील ठिकाणांवर तैनात केलेले, हे पूर्णपणे कॉन्फिगर करण्यायोग्य Linux-आधारित नेटवर्क स्टॅक प्रदान करते. परंतु डीफॉल्ट स्वरूपात, OpenWrt एक कोरा कॅनव्हास आहे. संरचित ओळख स्तराशिवाय (identity layer), अतिथी नेटवर्क्स व्यवस्थापित करणे कठीण होते, कर्मचारी नेटवर्क्स असुरक्षित राहतात आणि मल्टी-टेनंट वातावरण एकाच सपाट नेटवर्कमध्ये संकुचित होते.

हे मार्गदर्शक OpenWrt ला Purple च्या क्लाउड RADIUS आणि Captive Portal प्लॅटफॉर्मशी जोडण्यासाठी निश्चित एकत्रीकरण प्लेबुक प्रदान करते. आम्ही चार वेगवेगळ्या उपयोजन परिस्थिती कव्हर करतो: CoovaChilli वापरून अतिथी Captive Portal पुनर्निर्देशन (redirection), iptables वॉल्ड गार्डन कॉन्फिगरेशन, hostapd आणि IEEE 802.1X वापरून सुरक्षित कर्मचारी WiFi, आणि डायनॅमिक VLAN असाइनमेंटसह प्रायव्हेट प्री-शेअर्ड की (PPSK) वापरून मल्टी-टेनंट सेगमेंटेशन. शेवटी, तुमच्याकडे कोणत्याही OpenWrt-सक्षम हार्डवेअरवर उत्पादन-तयार, GDPR-सुसंगत, ओळख-चालित नेटवर्क तैनात करण्यासाठी अचूक कॉन्फिगरेशन पॅरामीटर्स, सामान्य त्रुटींचे प्रकार आणि निर्णय घेण्याची फ्रेमवर्क असेल.

Purple हे ८०,०००+ हून अधिक लाइव्ह ठिकाणी कार्यरत आहे आणि २०२४ मध्ये ४४० दशलक्ष लॉगिन प्रक्रियेतून गेले आहेत (Purple अंतर्गत डेटा, २०२४). येथे वर्णन केलेले आर्किटेक्चर हेच हॉस्पिटॅलिटी चेन्स, रिटेल इस्टेट्स आणि ट्रान्सपोर्ट हबमध्ये मोठ्या प्रमाणावर तैनात केलेले आहे.

तांत्रिक सखोल विश्लेषण (Technical deep-dive)

CoovaChilli captive portal आर्किटेक्चर

OpenWrt वर Guest WiFi तैनात करताना, CoovaChilli हे उद्योग-मानक ॲक्सेस कंट्रोलर आहे. हे एक Captive Portal डिमन म्हणून कार्य करते जे अनधिकृत क्लायंट ट्रॅफिक अडवते, tun0 व्हर्च्युअल इंटरफेसवरील त्याच्या अंतर्गत DHCP सर्व्हरद्वारे IP पत्ते प्रदान करते, आणि थेट व्यवस्थापित करत असलेल्या iptables नियमांचा वापर करून वॉल्ड गार्डन धोरणे लागू करते.

प्रमाणीकरण (authentication) प्रवाह खालीलप्रमाणे कार्य करतो. अतिथी डिव्हाइस ओपन SSID शी जोडले जाते. CoovaChilli डिव्हाइसला त्याच्या अंतर्गत पूल मधून (सहसा 10.1.0.0/24) एक IP पत्ता नियुक्त करते. जेव्हा डिव्हाइस त्याची पहिली HTTP विनंती पाठवते, तेव्हा CoovaChilli ती अडवते आणि Purple स्प्लॅश पेज URL वर HTTP 302 पुनर्निर्देशन जारी करते. या पूर्व-प्रमाणीकरण (pre-authentication) टप्प्यादरम्यान, डिव्हाइस वेगळे केले जाते - ते केवळ वॉल्ड गार्डनमध्ये स्पष्टपणे सूचीबद्ध केलेल्या डोमेनपर्यंत पोहोचू शकते.

एकदा अतिथीने Purple पोर्टलवर प्रमाणीकरण पूर्ण केले की, Purple चे क्लाउड RADIUS सर्व्हर UDP पोर्ट 1812 वर CoovaChilli ला Access-Accept संदेश पाठवते. त्यानंतर CoovaChilli त्या विशिष्ट MAC पत्त्यासाठी इंटरनेट प्रवेशाची परवानगी देण्यासाठी त्याचे iptables नियम अद्यतनित करते आणि UDP पोर्ट 1813 वर Purple RADIUS अकाउंटिंग सर्व्हरकडे अकाउंटिंग डेटा (सत्र कालावधी, हस्तांतरित केलेले बाईट्स) पाठवू लागते. अकाउंटिंग पर्यायी नाही - हे असे माध्यम आहे ज्याद्वारे Purple तुमच्या WiFi Analytics डॅशबोर्डमध्ये सत्राच्या डेटासह माहिती भरते.

वॉल्ड गार्डन (Walled garden): iptables आणि डोमेन परवानगी सूची

कोणत्याही Captive Portal उपयोजनामध्ये वॉल्ड गार्डन हा सर्वात महत्त्वपूर्ण ऑपरेशनल कॉन्फिगरेशन घटक आहे. CoovaChilli दोन माध्यमांद्वारे वॉल्ड गार्डन व्यवस्थापित करते: वैयक्तिक IP पत्त्यांसाठी uamallowed पॅरामीटर आणि DNS तपासणीसह डोमेन-आधारित परवानगी सूचीसाठी uamdomains पॅरामीटर.

Purple इंटिग्रेशनसाठी, किमान आवश्यक वॉल्ड गार्डन नोंदी खालीलप्रमाणे आहेत:

डोमेन	उद्देश
`*.purple.ai`	पोर्टल मालमत्ता, API, आणि प्रमाणीकरण एंडपॉइंट्स
`*.googleapis.com`	Google Fonts आणि Google Sign-In
`*.gstatic.com`	Google कनेक्टिव्हिटी तपासणी आणि स्थिर मालमत्ता
`*.facebook.com`	Facebook Login API
`*.fbcdn.net`	लॉगिन मालमत्तेसाठी Facebook CDN
`captive.apple.com`	Apple CNA शोध (खालील टीप पहा)
`connectivitycheck.gstatic.com`	Android Captive Portal शोध

Apple CNA व्यवस्थापनावर टीप: जर तुम्ही वॉल्ड गार्डनमध्ये captive.apple.com समाविष्ट केले, तर iOS डिव्हाइसेस प्रमाणीकरणापूर्वी इंटरनेट कनेक्टिव्हिटी शोधतील आणि Captive Network Assistant पॉप-अप दाबून टाकतील (दाखवणार नाहीत). बहुतांश आदरातिथ्य (hospitality) उपयोजने मुद्दाम हे डोमेन वगळतात जेणेकरून स्वयंचलित पोर्टल प्रॉम्प्ट सुरू होईल. योग्य पर्याय तुमच्या अतिथी अनुभवाच्या रचनेवर अवलंबून असतो.

सुरक्षित कर्मचारी WiFi: hostapd आणि IEEE 802.1X

अतिथी नेटवर्कसाठी अडथळा नसलेल्या ऑनबोर्डिंगची आवश्यकता असते. कर्मचारी नेटवर्कसाठी पूर्ण सुरक्षिततेची आवश्यकता असते. अंतर्गत वापरकर्त्यांसाठी, OpenWrt IEEE 802.1X प्रमाणीकरण सुलभ करण्यासाठी hostapd चा वापर करते. या आर्किटेक्चरमध्ये, OpenWrt ॲक्सेस पॉइंट Authenticator म्हणून काम करतो, जे क्लायंट डिव्हाइस (Supplicant) आणि Purple RADIUS सर्व्हर दरम्यान Extensible Authentication Protocol (EAP) संदेश फॉरवर्ड करते.

कॉर्पोरेट डिव्हाइसेससाठी, EAP-TLS हा अनिवार्य मानक आहे. हे परस्पर प्रमाणपत्र प्रमाणीकरणावर अवलंबून असते - सर्व्हर आणि क्लायंट डिव्हाइस दोन्ही डिजिटल प्रमाणपत्रे सादर करतात - ज्यामुळे पासवर्ड आणि संबंधित क्रेडेंशियल चोरी किंवा फिशिंगचे धोके पूर्णपणे नष्ट होतात. संपूर्ण पब्लिक की इन्फ्रास्ट्रक्चर (PKI) साठी अद्याप तयार नसलेल्या वातावरणासाठी, PEAP-MSCHAPv2 वापरकर्ता नाव आणि पासवर्ड क्रेडेंशियलचे संरक्षण करण्यासाठी एनक्रिप्टेड टनेलचा वापर करून एक चांगला अंतरिम पर्याय प्रदान करतो.

जेव्हा एखादा कर्मचारी यशस्वीरित्या ऑथेंटिकेट करतो, तेव्हा RADIUS सर्व्हर ऑथरायझेशन ॲट्रिब्युट्स परत करतो. नेटवर्क सेगमेंटेशनसाठी मुख्य ॲट्रिब्युट Tunnel-Private-Group-ID आहे, जे OpenWrt ला युझरला योग्य VLAN मध्ये डायनॅमिकली असाइन करण्याचे निर्देश देते. आयडेंटिटी-बेस्ड नेटवर्क्स (Identity-Based Networks) मागची हीच यंत्रणा आहे: युझरची ओळख (identity), त्यांचे भौतिक स्थान नाही, त्यांचे नेटवर्क ॲक्सेस ठरवते.

मल्टी-टेनंट सेगमेंटेशन: OpenWrt PPSK कॉन्फिगरेशन

मल्टी-टेनंट वातावरणात - जसे की कोवर्कर्स स्पेसेस, बिल्ड-टू-रेंट (BTR) प्रॉपर्टीज, एकाधिक विक्रेते असलेले रिटेल सेंटर्स किंवा स्वतंत्र स्पॉन्सर झोन असलेले स्टेडियम्स - एकाधिक SSIDs ब्रॉडकास्ट करणे हे ऑपरेशनली खर्चिक आणि RF-अकार्यक्षम असते. प्रत्येक अतिरिक्त SSID मॅनेजमेंट फ्रेम ओव्हरहेड वाढवतो, ज्यामुळे डेटा ट्रॅफिकसाठी उपलब्ध एअरटाइम कमी होतो.

प्रायव्हेट प्री-शेअर्ड की (PPSK), ज्याला कधीकधी डायनॅमिक PSK देखील म्हटले जाते, यावर उपाय शोधतात. तुम्ही एकच SSID ब्रॉडकास्ट करता. जेव्हा एखादे डिव्हाइस कनेक्ट करण्याचा प्रयत्न करते, तेव्हा hostapd प्रमाणित Access-Request द्वारे डिव्हाइसचा MAC ॲड्रेस RADIUS सर्व्हरकडे पाठवते. RADIUS सर्व्हर त्याच्या डेटाबेसमध्ये MAC ॲड्रेसची पडताळणी करतो आणि दोन महत्त्वपूर्ण ॲट्रिब्युट्स असलेले Access-Accept परत करतो: Tunnel-Password ॲट्रिब्युट (त्या डिव्हाइससाठी युनिक पासफ्रेज) आणि Tunnel-Private-Group-ID ॲट्रिब्युट (VLAN असाइनमेंट). डिव्हाइस त्याच्या युनिक पासफ्रेजचा वापर करून कनेक्ट होते आणि थेट त्याच्या नियुक्त केलेल्या VLAN वर जाते.

याचा अर्थ असा आहे की एखादा रिटेल मॅनेजर आणि इव्हेंटला आलेला व्यक्ती एकाच SSID शी कनेक्ट होऊ शकतात परंतु त्यांच्या युनिक ओळखीच्या आधारावर पूर्णपणे वेगळ्या, आयसोलेटेड नेटवर्क्सवर राउट केले जाऊ शकतात.

इम्प्लीमेंटेशन गाईड

पायरी १: Purple RADIUS क्रेडेंशियल्स मिळवा

OpenWrt कॉन्फिगरेशनला हात लावण्यापूर्वी, Purple पोर्टल ॲडमिन कन्सोलमधून खालील गोष्टी मिळवा:

प्रायमरी RADIUS सर्व्हर IP ॲड्रेस
सेकंडरी RADIUS सर्व्हर IP ॲड्रेस (फेलओव्हरसाठी)
RADIUS शेअर्ड सिक्रेट (Shared Secret)
Captive Portal Splash Page URL
पोस्ट-ऑथेंटिकेशन रिडायरेक्ट URL

पायरी २: गेस्ट WiFi साठी CoovaChilli इंस्टॉल आणि कॉन्फिगर करा

opkg द्वारे coova-chilli पॅकेज इंस्टॉल करा:

opkg update &amp;&amp; opkg install coova-chilli

मुख्य कॉन्फिगरेशन फाईल /etc/chilli/defaults ही आहे. मुख्य नेटवर्क पॅरामीटर्स परिभाषित करा:

# Network interfaces
HS_WANIF=eth0           # Upstream internet interface
HS_LANIF=wlan0          # The guest WiFi interface (or a VLAN sub-interface)

# Guest subnet
HS_NETWORK=10.10.20.0
HS_NETMASK=255.255.255.0
HS_UAMLISTEN=10.10.20.1 # CoovaChilli's IP on the guest network
HS_UAMPORT=3990

# Purple RADIUS integration
HS_RADIUS=
HS_RADIUS2=
HS_RADSECRET=
HS_NASID=venue-openwrt-01

# Purple splash page
HS_UAMSERVER=

# Walled garden - domain-based allowlisting
HS_UAMDOMAINS=".purple.ai,.googleapis.com,.gstatic.com,.facebook.com,.fbcdn.net"

सर्व्हिस सुरू आणि सक्रिय करा:

/etc/init.d/chilli enable
/etc/init.d/chilli start

पायरी 3: गेस्ट SSID साठी OpenWrt वायरलेस इंटरफेस कॉन्फिगर करा

/etc/config/wireless मध्ये, गेस्ट SSID ला CoovaChilli व्यवस्थापित करत असलेल्या इंटरफेसशी बांधील असलेले ओपन नेटवर्क म्हणून परिभाषित करा:

config wifi-iface 'guest_wifi'
    option device 'radio0'
    option network 'guest'
    option mode 'ap'
    option ssid 'Venue_Guest'
    option encryption 'none'
    option isolate '1'

क्लायंट आयसोलेशन (isolate '1') गेस्ट डिव्हाइसेसना एकमेकांशी संवाद साधण्यापासून रोखते - कोणत्याही सामायिक नेटवर्कसाठी हे एक अनिवार्य सुरक्षा नियंत्रण आहे.

पायरी 4: 802.1X स्टाफ WiFi साठी hostapd कॉन्फिगर करा

स्टाफ SSID साठी, /etc/config/wireless मध्ये WPA2-Enterprise कॉन्फिगर करा:

config wifi-iface 'staff_wifi'
    option device 'radio0'
    option network 'staff_vlan10'
    option mode 'ap'
    option ssid 'Venue_Staff'
    option encryption 'wpa2'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option vlan_bridge 'br-vlan'
    option vlan_naming '0'

dynamic_vlan '2' सेट केल्याने hostapd ला RADIUS सर्व्हरद्वारे परत केलेले VLAN असाइनमेंट लागू करण्याचे आणि कोणतेही VLAN परत न आल्यास प्रमाणीकरण नाकारण्याचे निर्देश मिळतात.

पॅकेज आवश्यकता: मानक wpad-mini पॅकेज WPA2-Enterprise ला सपोर्ट करत नाही. तुम्ही wpad किंवा wpad-openssl इंस्टॉल करणे आवश्यक आहे:

opkg remove wpad-mini &amp;&amp; opkg install wpad-openssl

पायरी 5: मल्टी-टेनंट सेगमेंटेशनसाठी PPSK कॉन्फिगर करा

PPSK ला RADIUS सर्व्हरच्या विरोधात MAC ॲड्रेस प्रमाणीकरण करण्यासाठी hostapd ची आवश्यकता असते, जे नंतर प्रति-डिव्हाइस पासफ्रेज परत करते. /etc/config/wireless मध्ये:

config wifi-iface 'ppsk_ssid'
    option device 'radio0'
    option mode 'ap'
    option ssid 'Venue_Connect'
    option encryption 'psk2'
    option key 'default_fallback_key'
    option macfilter 'radius'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option wpa_psk_radius '2'

wpa_psk_radius '2' पॅरामीटर hostapd ला RADIUS प्रतिसादातून Tunnel-Password विशेषता आवश्यक असल्याचे निर्देश देतो. जर RADIUS सर्व्हरने पासफ्रेज परत केला नाही, तर प्रमाणीकरण नाकारले जाते.

Purple RADIUS बाजूला, तुमच्या FreeRADIUS कॉन्फिगरेशनचा (किंवा समतुल्य) authorize विभाग MAC ॲड्रेसेसना पासफ्रेज आणि VLAN IDs शी मॅप करतो:

# PPSK साठी RADIUS ऑथोराईझ एन्ट्रीचे उदाहरण
AA:BB:CC:DD:EE:FF   Auth-Type := Accept
    Tunnel-Password = "GuestPass2024",
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-ID = "20"

पायरी 6: डायनॅमिक VLAN असाइनमेंट कॉन्फिगर करा

डायनॅमिक VLAN असाइनमेंट कार्य करण्यासाठी, तुमचे OpenWrt स्विच कोर स्विचशी जोडणाऱ्या ट्रंक पोर्टवर संबंधित VLANs टॅग केलेले ट्रॅफिक म्हणून वाहून नेण्यासाठी कॉन्फिगर केलेले असणे आवश्यक आहे. /etc/config/network मध्ये:

config interface 'vlan10'
    option ifname 'eth0.10'
    option proto 'dhcp'

config interface 'vlan20'
    option ifname 'eth0.20'
    option proto 'dhcp'

config interface 'vlan30'
    option ifname 'eth0.30'
    option proto 'dhcp'

तुमचे कोर स्विच पोर्ट ट्रंक म्हणून कॉन्फिगर केले असल्याची खात्री करा, जे VLANs 10, 20 आणि 30 टॅग केलेले पाठवेल.

सर्वोत्तम पद्धती

पूर्णपणे नेटवर्क अलगाव (Absolute network segregation). गेस्ट इंटरफेसेसना अंतर्गत नेटवर्कशी कधीही ब्रिज करू नका. गेस्ट ट्रॅफिक समर्पित VLAN वर वेगळे केले पाहिजे आणि थेट इंटरनेट फायरवॉलकडे पाठवले पाहिजे. PCI DSS 4.0 चे पालन करण्यासाठी ही एक अनिवार्य आवश्यकता आहे, ज्यामध्ये अशी तरतूद आहे की गेस्ट WiFi नेटवर्क्स कार्डधारक डेटा हाताळणाऱ्या कोणत्याही नेटवर्क सेगमेंटपासून पूर्णपणे वेगळे असावेत.

अचूक वॉल्ड गार्डन (Walled garden precision). अपूर्ण वॉल्ड गार्डन हे Captive Portal अयशस्वी होण्याचे मुख्य कारण आहे. गेस्ट SSID शी कनेक्ट केलेल्या चाचणी डिव्हाइसवर तुमच्या ब्राउझरचे डेव्हलपर टूल्स वापरा, जेणेकरून प्रमाणीकरणापूर्वी कोणते रिक्वेस्ट्स ब्लॉक केले जात आहेत हे ओळखता येईल. प्रत्येक ब्लॉक केलेले डोमेन हे पोर्टल अयशस्वी होण्याचे संभाव्य कारण असू शकते.

RADIUS अकाउंटिंग अंतराळ (RADIUS accounting intervals). CoovaChilli अकाउंटिंग अंतर १२० सेकंदांवर कॉन्फिगर करा. यामुळे अतिरिक्त RADIUS ट्रॅफिक निर्माण न करता Purple ॲनालिटिक्स डॅशबोर्डमध्ये रिअल-टाइमच्या जवळचा सेशन डेटा मिळतो.

दुय्यम RADIUS सर्व्हर. तुमच्या CoovaChilli कॉन्फिगरेशनमध्ये नेहमी HS_RADIUS2 कॉन्फिगर करा. मुख्य Purple RADIUS सर्व्हर अनुपलब्ध असल्यास, CoovaChilli नवीन सेशन्स प्रमाणित करू शकणार नाही. दुय्यम सर्व्हर ॲक्सेस पॉइंटवर कोणत्याही कॉन्फिगरेशन बदलाशिवाय स्वयंचलित फेलओव्हर प्रदान करतो.

पॅकेज निवड. बऱ्याच OpenWrt बिल्ड्ससह येणारे wpad-mini पॅकेज WPA2-Enterprise किंवा डायनॅमिक VLAN असाइनमेंटला सपोर्ट करत नाही. 802.1X किंवा PPSK आवश्यक असणाऱ्या कोणत्याही उपयोजनासाठी (deployment) नेहमी wpad-openssl इंस्टॉल करा.

एंटरप्राइझ WiFi सुरक्षा आर्किटेक्चरवरील अधिक मार्गदर्शनासाठी, आमचे Enterprise WiFi Security: A Complete Guide for 2026 पहा.

त्रुटी निवारण आणि जोखीम निवारण

लक्षण	संभाव्य कारण	उपाय
रिडायरेक्शननंतर पोर्टल लोड होत नाही	अपूर्ण वॉल्ड गार्डन	गहाळ असलेले CDN/API डोमेन्स `HS_UAMDOMAINS` मध्ये जोडा
प्रमाणीकरण न सांगता अयशस्वी होते	RADIUS सामायिक सिक्रेट विसंगती	`HS_RADSECRET` हे CoovaChilli आणि Purple पोर्टल दोन्हीमध्ये अचूक जुळत असल्याची खात्री करा
Purple ॲनालिटिक्समध्ये डेटा नाही	RADIUS अकाउंटिंग ब्लॉक केले आहे	आउटबाउंड UDP 1813 ला परवानगी असल्याची खात्री करा; `HS_RADIUS2` अकाउंटिंग कॉन्फिगरेशन तपासा
iOS वर पोर्टल पॉप-अप दिसत नाही	वॉल्ड गार्डनमध्ये `captive.apple.com` आहे	`HS_UAMDOMAINS` मधून Apple डिटेक्शन डोमेन्स काढा
PPSK क्लायंट चुकीच्या VLAN वर जातात	`vlan_tagged_interface` चुकीचे कॉन्फिगर केले आहे	OpenWrt आणि कोर स्विच दोन्हीवर ट्रंक पोर्ट कॉन्फिगरेशन तपासा
wpad त्रुटीसह 802.1X प्रमाणीकरण अयशस्वी	`wpad-mini` इंस्टॉल केलेले आहे	`wpad-mini` काढा, `wpad-openssl` इंस्टॉल करा
Dynamic VLAN fails on ath10k	Known driver issue in older builds	Update to OpenWrt 21.02 or later; use non-CT ath10k firmware

GDPR अनुपालन नोंद: CoovaChilli स्वतः वैयक्तिक डेटा गोळा किंवा स्टोअर करत नाही. सर्व संमती मिळवणे, डेटा प्रक्रिया करणे आणि GDPR अनुपालन यंत्रणा पोर्टल लेयरवर Purple प्लॅटफॉर्मद्वारे हाताळल्या जातात. लाइव्ह जाण्यापूर्वी तुमचे Purple पोर्टल तुमच्या वेन्यूच्या अटी व शर्ती आणि डेटा प्रोसेसिंग नोटीससह कॉन्फिगर केले असल्याची खात्री करा.

संबंधित हार्डवेअर इंटिग्रेशन पॅटर्नसाठी, आमचे EnGenius Cloud Access Points Integration with Purple WiFi आणि DrayTek Vigor Routers and Access Points Integration with Purple WiFi वरील मार्गदर्शक पहा.

ROI आणि व्यावसायिक प्रभाव

बेसिक PSK नेटवर्कवरून Purple-व्यवस्थापित OpenWrt आर्किटेक्चरवर स्थलांतरित केल्याने तीन आयामांमध्ये मोजण्यायोग्य प्रभाव दिसून येतो.

डेटा कॅप्चर आणि मार्केटिंग. Captive Portal ऑथेंटिकेशन लागू करून, वेन्यू WiFi कनेक्शनच्या वेळी सुसंगत, फर्स्ट-पार्टी डेमोग्राफिक डेटा - नावे, ईमेल पत्ते, सोशल प्रोफाइल - कॅप्चर करतात. हा डेटा थेट CRM आणि ईमेल मार्केटिंग प्लॅटफॉर्मवर पाठवला जातो, ज्यामुळे लॉयल्टी प्रोग्राम साइन-अप वाढतात आणि लक्ष्यित मोहिमा सक्षम होतात. Purple ने 2024 मध्ये 440 दशलक्ष लॉगिनवर प्रक्रिया केली आहे (Purple अंतर्गत डेटा), जे नेटवर्क एजवर शक्य असलेल्या फर्स्ट-पार्टी डेटा कॅप्चरचे प्रमाण दर्शवते.

ऑपरेशनल कार्यक्षमता. PPSK लागू केल्याने SSID ओव्हरहेड कमी होतो, ज्यामुळे दाट वातावरणात WiFi कामगिरी सुधारते. 200-लोकेशन असलेल्या रिटेल चेनसाठी, प्रत्येक साइटवर स्थानिक राउटर कॉन्फिगरेशन अपडेट करण्याऐवजी - Purple च्या क्लाउड RADIUS द्वारे मध्यवर्ती पद्धतीने ओळख व्यवस्थापित केल्याने - दरवर्षी शेकडो इंजिनिअरिंग तास वाचतात. एकच RADIUS पॉलिसी बदल सर्व 200 ठिकाणी त्वरित लागू होतो.

सुरक्षा आणि अनुपालन. डायनॅमिक VLAN असाइनमेंट एजवर सर्वात कमी-विशेषाधिकार प्रवेश (least-privilege access) लागू करते. कर्मचारी पाहुण्यांपासून वेगळे केले जातात. IoT डिव्हाइसेस कर्मचाऱ्यांपासून वेगळे केले जातात. POS टर्मिनल्स इतर सर्व ट्रॅफिकपासून वेगळे केले जातात. हे वर्गीकरण PCI DSS 4.0 नेटवर्क आयसोलेशन आवश्यकता पूर्ण करते आणि GDPR अनुपालन पुनरावलोकनांसाठी स्पष्ट, ऑडिट करण्यायोग्य नेटवर्क टोपोलॉजी प्रदान करते.

विशिष्ट क्षेत्रांतील डिप्लॉयमेंट पॅटर्नसाठी, आमचे Retail , Hospitality , Healthcare , आणि Transport वातावरणासाठीचे मार्गदर्शक पहा. वेन्यू डिप्लॉयमेंटमधील पूरक वायरलेस तंत्रज्ञान समजून घेण्यासाठी तुम्हाला आमचे What Is Wireless Display: Protocols & Best Practices 2026 वरील मार्गदर्शक देखील उपयुक्त वाटू शकते.

मुख्य परिभाषाएं

CoovaChilli

एक ओपन-सोर्स सॉफ़्टवेयर एक्सेस कंट्रोलर जो वायरलेस नेटवर्क के लिए एक कैप्टिव पोर्टल और वॉल्ड-गार्डन वातावरण प्रदान करता है, प्रमाणीकरण और अकाउंटिंग के लिए RADIUS का उपयोग करता है।

IT टीमें गेस्ट HTTP ट्रैफ़िक को रोकने और उसे Purple स्प्लैश पेज पर रीडायरेक्ट करने के लिए OpenWrt पर CoovaChilli तैनात करती हैं। यह उन iptables नियमों का प्रबंधन करता है जो वॉल्ड गार्डन को लागू करते हैं और पोस्ट-ऑथेंटिकेशन इंटरनेट एक्सेस प्रदान करते हैं।

Walled garden

IP पतों या डोमेन की एक सख्त अनुमति सूची (allowlist) जिसे एक अप्रमाणित उपयोगकर्ता कैप्टिव पोर्टल प्रमाणीकरण पूरा करने से पहले एक्सेस कर सकता है।

सामान्य इंटरनेट एक्सेस को ब्लॉक करते हुए गेस्ट डिवाइसों को Purple पोर्टल ग्राफ़िक्स लोड करने और सोशल मीडिया लॉगिन API तक पहुँचने की अनुमति देने के लिए महत्वपूर्ण है। एक अधूरा वॉल्ड गार्डन कैप्टिव पोर्टल विफलताओं का सबसे आम कारण है।

PPSK (Private Pre-Shared Key)

एक सुरक्षा तंत्र जहाँ व्यक्तिगत उपयोगकर्ताओं या उपकरणों को एक ही WiFi SSID के लिए अद्वितीय पासफ़्रेज़ असाइन किए जाते हैं, जिसमें RADIUS प्रति डिवाइस MAC पते पर सही पासफ़्रेज़ और VLAN असाइनमेंट लौटाता है।

कई SSID प्रसारित किए बिना मल्टी-टेनेंट वातावरण को विभाजित करने के लिए उपयोग किया जाता है। hostapd में wpa_psk_radius पैरामीटर के माध्यम से OpenWrt में समर्थित है।

Dynamic VLAN assignment

वह प्रक्रिया जहाँ एक RADIUS सर्वर एक्सेस पॉइंट को Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID RADIUS विशेषताओं का उपयोग करके एक विशिष्ट प्रमाणित उपयोगकर्ता को एक विशिष्ट वर्चुअल LAN पर रखने का निर्देश देता है।

पहचान-आधारित नेटवर्क (Identity-Based Networks) के लिए मुख्य तंत्र। उपयोगकर्ता की पहचान, न कि उनका भौतिक पोर्ट, उनके नेटवर्क सेगमेंट और एक्सेस अधिकारों को निर्धारित करती है।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक, जो एंटरप्राइज़ WiFi प्रमाणीकरण में ऑथेंटिकेटर (एक्सेस पॉइंट), सप्लीकेंट (क्लाइंट डिवाइस), और ऑथेंटिकेशन सर्वर (RADIUS) की भूमिकाओं को परिभाषित करता है।

OpenWrt पर सुरक्षित स्टाफ WiFi के लिए अंतर्निहित प्रोटोकॉल। पूर्ण wpad या wpad-openssl पैकेज की आवश्यकता होती है - wpad-mini इसका समर्थन नहीं करता है।

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

एक 802.1X प्रमाणीकरण विधि जो पारस्परिक प्रमाणपत्र-आधारित प्रमाणीकरण का उपयोग करती है, जिसमें RADIUS सर्वर और क्लाइंट डिवाइस दोनों को वैध डिजिटल प्रमाणपत्र प्रस्तुत करने की आवश्यकता होती है।

कॉर्पोरेट डिवाइस प्रमाणीकरण के लिए स्वर्ण मानक। पासवर्ड को पूरी तरह से समाप्त करता है, क्रेडेंशियल चोरी और फ़िशिंग हमलों को बेअसर करता है। क्लाइंट प्रमाणपत्र जारी करने के लिए एक PKI बुनियादी ढांचे की आवश्यकता होती है।

Captive Network Assistant (CNA)

छद्म-ब्राउज़र (pseudo-browser) जिसे iOS और Android डिवाइस स्वचालित रूप से प्रदर्शित करते हैं जब वे पता लगाते हैं कि वे एक कैप्टिव पोर्टल के पीछे हैं, जो विशिष्ट डिटेक्शन URL की जाँच पर आधारित होता है।

नेटवर्क इंजीनियरों को यह नियंत्रित करने के लिए अपने वॉल्ड गार्डन का सावधानीपूर्वक प्रबंधन करना चाहिए कि CNA स्वचालित रूप से ट्रिगर होता है या नहीं। अधिकांश हॉस्पिटैलिटी परिनियोजन CNA पॉप-अप को बाध्य करने के लिए Apple और Google डिटेक्शन डोमेन को बाहर रखते हैं।

RADIUS accounting

AAA (प्रमाणीकरण, प्राधिकरण, अकाउंटिंग) ढांचे का तीसरा स्तंभ, UDP पोर्ट 1813 पर सत्र प्रारंभ, अंतरिम अपडेट और सत्र समाप्ति घटनाओं को रिकॉर्ड करके नेटवर्क संसाधन खपत को ट्रैक करता है।

सत्र अवधि और बैंडविड्थ डेटा के साथ एनालिटिक्स डैशबोर्ड को पॉप्युलेट करने के लिए Purple द्वारा आवश्यक। CoovaChilli में HS_RADIUS2 और radiusacctport पैरामीटर के माध्यम से कॉन्फ़िगर किया गया।

hostapd

OpenWrt द्वारा वायरलेस इंटरफेस प्रबंधित करने के लिए उपयोग किया जाने वाला ओपन-सोर्स IEEE 802.11 एक्सेस पॉइंट डेमन, जो WPA2/WPA3-Enterprise, 802.1X, और PPSK प्रमाणीकरण मोड का समर्थन करता है।

OpenWrt पर स्टाफ और PPSK WiFi के लिए मुख्य डेमन। wpad-openssl पैकेज एंटरप्राइज़ प्रमाणीकरण के लिए आवश्यक पूर्ण-विशेषताओं वाला hostapd बिल्ड प्रदान करता है।

Tunnel-Password attribute

PPSK परिनियोजन में उपयोग की जाने वाली एक RADIUS विशेषता (विशेषता 69) जो MAC प्रमाणीकरण के दौरान RADIUS सर्वर से एक्सेस पॉइंट पर प्रति-डिवाइस पासफ़्रेज़ लौटाती है।

वह तंत्र जिसके द्वारा Purple का RADIUS सर्वर PPSK-आधारित मल्टी-टेनेंट सेगमेंटेशन के लिए OpenWrt के hostapd डेमन को अद्वितीय PSK प्रदान करता है।

हल किए गए उदाहरण

एक 200-कमरों वाले होटल को स्तरीय (tiered) WiFi एक्सेस प्रदान करने की आवश्यकता है: गेस्ट के लिए मुफ्त बुनियादी इंटरनेट, लॉयल्टी सदस्यों के लिए हाई-स्पीड एक्सेस, और स्टाफ पॉइंट-ऑफ-सेल (POS) उपकरणों के लिए सुरक्षित एक्सेस। IT टीम SSID ओवरहेड को कम करना चाहती है और POS टर्मिनलों और गेस्ट ट्रैफ़िक के बीच PCI-DSS नेटवर्क अलगाव लागू करना चाहती है।

दो SSID प्रसारित करने वाले OpenWrt एक्सेस पॉइंट तैनात करें: 'Hotel_Guest' (ओपन, CoovaChilli-प्रबंधित) और 'Hotel_Secure' (hostapd के माध्यम से PPSK-प्रबंधित)। 'Hotel_Guest' पर, CoovaChilli सभी अप्रमाणित ट्रैफ़िक को Purple स्प्लैश पेज पर रीडायरेक्ट करता है। गेस्ट पोर्टल के माध्यम से प्रमाणित होते हैं और VLAN 20 (केवल-इंटरनेट) पर पहुँचते हैं। 'Hotel_Secure' पर, wpa_psk_radius=2 के साथ hostapd कॉन्फ़िगर करें। जब किसी लॉयल्टी सदस्य का डिवाइस कनेक्ट होता है, तो RADIUS सर्वर उनका अद्वितीय PSK और VLAN 21 (उच्च बैंडविड्थ स्तर) लौटाता है। जब एक POS टर्मिनल कनेक्ट होता है, तो RADIUS सर्वर POS डिवाइस PSK और VLAN 10 (आंतरिक नेटवर्क एक्सेस, इंटरनेट ब्लॉक) लौटाता है। VLAN सेगमेंटेशन एक्सेस पॉइंट स्तर पर कार्डधारक डेटा (VLAN 10) और गेस्ट ट्रैफ़िक (VLAN 20 और 21) के बीच PCI-DSS अलगाव लागू करता है।

परीक्षक की टिप्पणी: यह आर्किटेक्चर कैप्टिव पोर्टल प्रवाह (गेस्ट) को PPSK प्रवाह (स्टाफ और लॉयल्टी) से अलग करने के लिए एक के बजाय दो SSID का उपयोग करता है। यह सही दृष्टिकोण है क्योंकि CoovaChilli और hostapd PPSK मौलिक रूप से विभिन्न प्रमाणीकरण मॉडलों की सेवा करते हैं। उन्हें एक ही SSID पर संयोजित करने के लिए एक RADIUS प्रॉक्सी कॉन्फ़िगरेशन की आवश्यकता होती है जो अनावश्यक जटिलता जोड़ता है। दो-SSID मॉडल सरल, अधिक विश्वसनीय और PCI-DSS अनुपालन के लिए ऑडिट करने में आसान है।

एक रिटेल चेन 50 स्थानों पर OpenWrt राउटर रोल आउट कर रही है। पहली साइट पर UAT के दौरान, रीडायरेक्ट के बाद Purple स्प्लैश पेज सही ढंग से लोड होता है, लेकिन Facebook लॉगिन बटन पर क्लिक करने से कनेक्शन टाइमआउट हो जाता है। Google Sign-In बटन सही ढंग से काम करता है।

समस्या एक अधूरा CoovaChilli वॉल्ड गार्डन है। Facebook के प्रमाणीकरण प्रवाह के लिए कई डोमेन तक पहुँच की आवश्यकता होती है: facebook.com, connect.facebook.net, और fbcdn.net (लॉगिन एसेट के लिए Facebook का CDN)। Google Sign-In काम करता है क्योंकि googleapis.com and gstatic.com पहले से ही वॉल्ड गार्डन में हैं। '.facebook.com,.connect.facebook.net,.fbcdn.net' जोड़ने के लिए /etc/chilli/defaults में HS_UAMDOMAINS पैरामीटर को अपडेट करें। '/etc/init.d/chilli restart' के साथ chilli डेमन को रीलोड करें और दोबारा परीक्षण करें। भविष्य में वॉल्ड गार्डन की समस्याओं का व्यवस्थित रूप से निदान करने के लिए, गेस्ट SSID से एक परीक्षण डिवाइस कनेक्ट करें और यह पहचानने के लिए ब्राउज़र डेवलपर टूल (नेटवर्क टैब) का उपयोग करें कि प्रमाणीकरण से पहले कौन से अनुरोध कनेक्शन त्रुटियां लौटाते हैं।

परीक्षक की टिप्पणी: आधुनिक सोशल लॉगिन प्रवाह कई CDN और API डोमेन से एसेट लोड करते हैं। अकेले Facebook SDK कम से कम तीन अलग-अलग डोमेन को संदर्भित करता है। वॉल्ड गार्डन डिबगिंग के लिए एक व्यवस्थित दृष्टिकोण - ब्लॉक किए गए प्री-ऑथ अनुरोधों की पहचान करने के लिए ब्राउज़र डेवलपर टूल का उपयोग करना - डोमेन सूचियों का अनुमान लगाने की तुलना में कहीं अधिक विश्वसनीय है। सभी 50 स्थानों पर गो-लाइव से पहले, इंजीनियर को प्रत्येक कॉन्फ़िगर की गई प्रमाणीकरण विधि (Facebook, Google, ईमेल, SMS) का परीक्षण करना चाहिए और सत्यापित करना चाहिए कि प्रत्येक सफलतापूर्वक पूरी हो गई है।

अभ्यास प्रश्न

Q1. आपने एक Premier Inn संपत्ति पर CoovaChilli के साथ OpenWrt तैनात किया है। गेस्ट रिपोर्ट करते हैं कि जब वे गेस्ट WiFi से कनेक्ट होते हैं तो उनके iPhone स्वचालित रूप से उन्हें लॉगिन करने के लिए संकेत नहीं देते हैं। पोर्टल को ट्रिगर करने के लिए उन्हें मैन्युअल रूप से Safari खोलना होगा और एक HTTP साइट पर जाना होगा। कौन सा कॉन्फ़िगरेशन परिवर्तन इसका कारण बनता है, और आप इसे कैसे हल करते हैं?

संकेत: विचार करें कि एसोसिएशन पर iOS कैसे निर्धारित करता है कि नेटवर्क के पास पूर्ण इंटरनेट एक्सेस है या नहीं।

मॉडल उत्तर देखें

इंजीनियर ने HS_UAMDOMAINS के माध्यम से CoovaChilli वॉल्ड गार्डन में Apple के कैप्टिव पोर्टल डिटेक्शन डोमेन (captive.apple.com) को शामिल किया है। जब एक iPhone कनेक्ट होता है, तो iOS captive.apple.com पर एक जांच (probe) भेजता है। चूंकि यह डोमेन वॉल्ड गार्डन में है, इसलिए जांच प्री-ऑथेंटिकेशन सफल हो जाती है, और iOS निष्कर्ष निकालता है कि उसके पास पूर्ण इंटरनेट एक्सेस है - जिससे कैप्टिव नेटवर्क असिस्टेंट पॉप-अप दब जाता है। इसे हल करने के लिए, HS_UAMDOMAINS से captive.apple.com को हटाएँ और chilli डेमन को पुनरारंभ करें। iOS डिवाइसों को तब एक विफल जांच प्रतिक्रिया प्राप्त होगी, वे कैप्टिव पोर्टल की सही पहचान करेंगे, और स्वचालित रूप से लॉगिन प्रॉम्प्ट प्रदर्शित करेंगे।

Q2. एक कोवर्किंग स्पेस ऑपरेटर अपनी पूरी संपत्ति में IoT स्मार्ट थर्मोस्टेट तैनात करना चाहता है। वे पहले से ही एक 'Cowork_Guest' SSID (CoovaChilli) and एक 'Cowork_Staff' SSID (802.1X) प्रसारित करते हैं। थर्मोस्टेट WPA2-Enterprise का समर्थन नहीं करते हैं। आप तीसरा SSID जोड़े बिना उन्हें सुरक्षित रूप से कैसे ऑनबोर्ड करते हैं?

संकेत: IoT डिवाइस आमतौर पर केवल WPA2-PSK का समर्थन करते हैं। विचार करें कि प्रति-डिवाइस पासफ़्रेज़ का समर्थन करने के लिए किस मौजूदा SSID को बढ़ाया जा सकता है।

मॉडल उत्तर देखें

hostapd कॉन्फ़िगरेशन में wpa_psk_radius=2 को सक्षम करके 'Cowork_Staff' SSID पर PPSK कॉन्फ़िगर करें। Purple RADIUS सर्वर में प्रत्येक थर्मोस्टेट के MAC पते को एक अद्वितीय पासफ़्रेज़ और Tunnel-Private-Group-ID के रूप में VLAN 40 (IoT VLAN) के साथ पंजीकृत करें। जब एक थर्मोस्टेट कनेक्ट होता है, तो hostapd डिवाइस MAC के साथ RADIUS सर्वर से पूछताछ करता है, अद्वितीय PSK और VLAN असाइनमेंट प्राप्त करता है, और थर्मोस्टेट को VLAN 40 पर रखता है - जो VLAN 10 पर स्टाफ ट्रैफ़िक से पूरी तरह से अलग है। यह दृष्टिकोण तीसरे SSID से बचाता है, RF दक्षता बनाए रखता है, और 802.1X प्रमाणपत्र बुनियादी ढांचे की आवश्यकता के बिना IoT उपकरणों के लिए न्यूनतम-विशेषाधिकार एक्सेस लागू करता है।

Q3. एक रिटेल स्थान पर CoovaChilli के साथ OpenWrt तैनात करने के बाद, Purple एनालिटिक्स डैशबोर्ड शून्य सक्रिय सत्र और कोई बैंडविड्थ डेटा नहीं दिखाता है, इसके बावजूद कि गेस्ट सफलतापूर्वक कनेक्ट हो रहे हैं और इंटरनेट ब्राउज़ कर रहे हैं। सबसे संभावित कारण क्या है, और इसका निदान करने के लिए दो चरण क्या हैं?

संकेत: प्रमाणीकरण (पोर्ट 1812) और अकाउंटिंग (पोर्ट 1813) अलग-अलग RADIUS कार्य हैं।

मॉडल उत्तर देखें

RADIUS अकाउंटिंग कॉन्फ़िगरेशन या तो गायब है या ब्लॉक है। चरण 1: CoovaChilli कॉन्फ़िगरेशन सत्यापित करें। जांचें कि /etc/chilli/defaults में HS_RADIUS और HS_RADIUS2 सही ढंग से सेट हैं, और पुष्टि करें कि radiusacctport 1813 पर सेट है। यदि HS_RADIUS2 कॉन्फ़िगर नहीं है, तो कोई अकाउंटिंग सर्वर परिभाषित नहीं है। चरण 2: फ़ायरवॉल नियमों को सत्यापित करें। पुष्टि करें कि OpenWrt राउटर से Purple RADIUS सर्वर IP पतों पर आउटबाउंड UDP पोर्ट 1813 ट्रैफ़िक की अनुमति स्थान के एज फ़ायरवॉल द्वारा दी गई है। यह पुष्टि करने के लिए कि अकाउंटिंग पैकेट भेजे जा रहे हैं या नहीं, OpenWrt डिवाइस पर 'tcpdump -i eth0 udp port 1813' का उपयोग करें। यदि पैकेट tcpdump में दिखाई देते हैं लेकिन डैशबोर्ड खाली रहता है, तो समस्या राउटर और Purple के क्लाउड RADIUS सर्वरों के बीच ट्रैफ़िक को ब्लॉक करने वाला फ़ायरवॉल है।

Q4. एक स्टेडियम में OpenWrt परिनियोजन प्रशंसक WiFi (VLAN 30), मीडिया (VLAN 40), और संचालन (VLAN 50) को विभाजित करने के लिए RADIUS के माध्यम से डायनेमिक VLAN असाइनमेंट का उपयोग करता है। ath10k ड्राइवरों के साथ OpenWrt 19.07 चलाने वाले नए हार्डवेयर में एक्सेस पॉइंट्स को अपग्रेड करने के बाद, VLAN असाइनमेंट काम करना बंद कर देता है। प्रमाणित उपयोगकर्ता RADIUS विशेषताओं की परवाह किए बिना डिफ़ॉल्ट VLAN पर पहुँचते हैं। इसका ज्ञात कारण क्या है?

संकेत: ath10k में AP/VLAN मोड के लिए ड्राइवर-स्तरीय समर्थन पर विचार करें।

मॉडल उत्तर देखें

यह OpenWrt 19.07 में शामिल ath10k-ct (Candela Technologies) फ़र्मवेयर में एक ज्ञात प्रतिगमन (regression) है। इस रिलीज़ में ath10k-ct ड्राइवर में एक बग है जो AP/VLAN मोड को तोड़ता है, जिससे डायनेमिक VLAN असाइनमेंट काम नहीं कर पाता है। इसका समाधान OpenWrt 21.02 या बाद के संस्करण में अपग्रेड करना है, जहाँ AP/VLAN कार्यक्षमता को बहाल करने के लिए ath10k-ct ड्राइवर को अपडेट किया गया था। वैकल्पिक रूप से, 19.07 बिल्ड पर ath10k-ct फ़र्मवेयर को मानक ath10k फ़र्मवेयर (गैर-CT संस्करण) से बदलें। यह समस्या ath9k-आधारित हार्डवेयर को प्रभावित नहीं करती है, जो सभी OpenWrt संस्करणों में AP/VLAN मोड को सही ढंग से संभालता है।

इस श्रृंखला में आगे पढ़ें

Cisco WLC और Catalyst का Purple WiFi के साथ एकीकरण: चरण-दर-चरण गेस्ट एक्सेस गाइड

यह आधिकारिक गाइड Cisco Catalyst 9800 WLCs के Purple WiFi के साथ चरण-दर-चरण एकीकरण का विवरण देती है। इसमें गेस्ट Captive Portal के लिए External Web Authentication, सुरक्षित स्टाफ एक्सेस के लिए 802.1X EAP-TLS, और मल्टी-टेनेंट डायनेमिक VLAN सेगमेंटेशन के लिए Cisco iPSK शामिल है।

Purple WiFi के साथ CommScope Ruckus एकीकरण: सेटअप और कॉन्फ़िगरेशन गाइड

यह तकनीकी संदर्भ मार्गदर्शिका CommScope Ruckus आर्किटेक्चर को Purple WiFi के साथ एकीकृत करने के लिए एक आधिकारिक कॉन्फ़िगरेशन प्लेबुक प्रदान करती है। यह Guest WiFi कैप्टिव पोर्टल, 802.1X के माध्यम से सुरक्षित स्टाफ WiFi, और Ruckus Dynamic PSK का उपयोग करके मल्टी-टेनेंट नेटवर्क आइसोलेशन के लिए चरण-दर-चरण परिनियोजन का विवरण देती है।

Purple WiFi के साथ Allied Telesis Access Points का एकीकरण

यह गाइड Allied Telesis TQ-Series एक्सेस पॉइंट्स को Purple WiFi के साथ एकीकृत करने के लिए एक व्यापक कॉन्फ़िगरेशन प्लेबुक प्रदान करती है। इसमें सुरक्षित मल्टी-टेनेंट परिनियोजन के लिए बाहरी कैप्टिव पोर्टल रीडायरेक्शन, 802.1X RADIUS प्रमाणीकरण, और Private Pre-Shared Keys (PPSK) का उपयोग करके डायनेमिक VLAN स्टीयरिंग शामिल है।