OpenWrt और अतिथि WiFi: Purple के साथ कैप्टिव पोर्टल सेटअप

[0:00 - 1:00] परिचय और संदर्भ Purple तकनीकी ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और अगले दस मिनटों में, हम Purple WiFi के साथ OpenWrt कस्टम फ़र्मवेयर एकीकरण का विश्लेषण करने जा रहे हैं। यदि आप एक IT मैनेजर, नेटवर्क आर्किटेक्ट, या CTO हैं जो हॉस्पिटैलिटी, रिटेल, या सार्वजनिक क्षेत्र के वातावरण में कस्टम फ़र्मवेयर तैनात कर रहे हैं, तो यह ब्रीफिंग आपके लिए है। हम अकादमिक सिद्धांत को दरकिनार करेंगे और आपको CoovaChilli को कॉन्फ़िगर करने, 802.1X के साथ स्टाफ नेटवर्क को सुरक्षित करने, और Private Pre-Shared Keys का उपयोग करके मल्टी-टेनेंट वातावरण को विभाजित करने के लिए सटीक प्लेबुक देंगे। यह क्यों महत्वपूर्ण है? क्योंकि OpenWrt जैसे कस्टम फ़र्मवेयर को तैनात करना आपको अविश्वसनीय लचीलापन और हार्डवेयर स्वतंत्रता देता है। लेकिन एक संरचित, पहचान-संचालित एक्सेस कंट्रोल लेयर के बिना, वह लचीलापन एक सुरक्षा दायित्व बन जाता है। आपको फ़र्स्ट-पार्टी डेटा को सुरक्षित रूप से कैप्चर करने, GDPR अनुपालन लागू करने, और अपने ट्रैफ़िक को मज़बूती से विभाजित करने की आवश्यकता है। आइए तकनीकी गहन विश्लेषण में उतरते हैं। [1:00 - 6:00] तकनीकी गहन विश्लेषण OpenWrt एकीकरण का मूल CoovaChilli पर निर्भर करता है। CoovaChilli एक ओपन-सोर्स एक्सेस कंट्रोलर है जो अप्रमाणित क्लाइंट ट्रैफ़िक को रोकता है और इसे Purple कैप्टिव पोर्टल पर रीडायरेक्ट करता है। जब कोई अतिथि आपके ओपन SSID से जुड़ता है, तो CoovaChilli गेटकीपर के रूप में कार्य करता है। यह tun0 इंटरफ़ेस पर चलने वाले अपने स्वयं के आंतरिक DHCP सर्वर के माध्यम से एक IP पता असाइन करता है, और वॉल्ड गार्डन में आपके द्वारा स्पष्ट रूप से अनुमति दिए गए ट्रैफ़िक को छोड़कर सभी ट्रैफ़िक को ब्लॉक कर देता है। जब अतिथि ब्राउज़ करने का प्रयास करता है, तो CoovaChilli HTTP अनुरोध को रोकता है और Purple स्प्लैश पेज पर एक रीडायरेक्ट जारी करता है। यहीं पर वॉल्ड गार्डन कॉन्फ़िगरेशन महत्वपूर्ण है। आपकी chilli.conf फ़ाइल में, आपको HS_UAMDOMAINS पैरामीटर को परिभाषित करना होगा। यह उन डोमेन की अल्पविराम से अलग की गई सूची है जिन तक अतिथि अधिकृत होने से पहले पहुँच सकते हैं। आपको splash.purple.ai, api.purple.ai, और विभिन्न CDN डोमेन शामिल करने होंगे जिनका उपयोग हम पोर्टल संपत्तियों को परोसने के लिए करते हैं। यदि आप कोई डोमेन छोड़ देते हैं, तो पोर्टल लोड होने में विफल हो जाएगा, या सोशल लॉगिन बटन काम नहीं करेंगे। यह इतना आसान है। एक बार जब अतिथि Purple पोर्टल पर अधिकृत हो जाता है, तो Purple का क्लाउड RADIUS सर्वर UDP पोर्ट 1812 पर CoovaChilli को वापस एक Access-Accept संदेश भेजता है। CoovaChilli फिर MAC पते को अधिकृत करता है, उस सत्र के लिए फ़ायरवॉल नियम खोलता है, और UDP पोर्ट 1813 पर अकाउंटिंग डेटा भेजना शुरू करता है। अकाउंटिंग वैकल्पिक नहीं है। इसी तरह Purple आपके एनालिटिक्स डैशबोर्ड के लिए सत्र की अवधि और डेटा उपयोग को ट्रैक करता है। अब, आइए स्टाफ WiFi के बारे में बात करते हैं। आप स्टाफ के लिए CoovaChilli का उपयोग नहीं करते हैं। स्टाफ नेटवर्क के लिए, आप WPA2-Enterprise या WPA3-Enterprise के साथ hostapd का उपयोग करते हैं। यह मानक 802.1X प्रमाणीकरण है। एक्सेस पॉइंट ऑथेंटिकेटर के रूप में कार्य करता है, जो आपके RADIUS सर्वर पर EAP संदेशों को अग्रेषित करता है। कॉर्पोरेट उपकरणों के लिए, आपको EAP-TLS तैनात करना चाहिए, जो पासवर्ड के बजाय डिजिटल प्रमाणपत्रों का उपयोग करता है। यह क्रेडेंशियल चोरी को पूरी तरह से समाप्त कर देता है। आप hostapd.conf को अपने RADIUS सर्वर की ओर इंगित करने के लिए कॉन्फ़िगर करते हैं, और RADIUS सर्वर उस विशिष्ट उपयोगकर्ता के लिए VLAN असाइनमेंट तय करता है। यह हमें आधुनिक OpenWrt तैनाती में सबसे शक्तिशाली विशेषताओं में से एक पर लाता है: प्राइवेट प्री-शेयर्ड कीज़, या PPSK। एक मल्टी-टेनेंट वातावरण में - मान लें, एक BTR संपत्ति या एक कोवर्किंग स्पेस में - आप पचास अलग-अलग SSIDs का प्रसारण नहीं करना चाहते हैं। यह आपकी एयरटाइम दक्षता को बर्बाद करता है। इसके बजाय, आप एक SSID प्रसारित करते हैं। जब कोई डिवाइस कनेक्ट होता है, तो hostapd, RADIUS सर्वर को MAC पता भेजता है। RADIUS सर्वर Tunnel-Password विशेषता का उपयोग करके उस डिवाइस के लिए एक विशिष्ट पासफ़्रेज़ और एक विशिष्ट VLAN ID के साथ प्रतिक्रिया करता है। इसका मतलब है कि दुकान A में रिटेल स्टाफ सदस्य को VLAN 10 पर भेज दिया जाता है, जबकि मुख्य हॉल में इवेंट अटेंडी को VLAN 30 पर भेज दिया जाता है, जो सभी बिल्कुल एक ही SSID से जुड़ते हैं। यह सुरुचिपूर्ण है, यह स्केल करता है, और यह एज पर न्यूनतम-विशेषाधिकार एक्सेस लागू करता है। [6:00 - 8:00] कार्यान्वयन सिफारिशें और नुकसान आइए कार्यान्वयन पर चर्चा करें। Purple के साथ OpenWrt तैनात करते समय, आपका पहला कदम हमेशा Purple पोर्टल से अपने RADIUS क्रेडेंशियल प्राप्त करना होता है। आपको प्राथमिक और माध्यमिक RADIUS IP पते, साझा रहस्य, और पोर्टल URL की आवश्यकता होती है। अपने OpenWrt कॉन्फ़िगरेशन में, आप अपने अतिथि नेटवर्क इंटरफ़ेस - आमतौर पर eth1 या wlan0 - को परिभाषित करेंगे और CoovaChilli को इससे बांधेंगे। सुनिश्चित करें कि आपके chilli.conf में HS_RADSECRET बिल्कुल वही है जो Purple पोर्टल में है। एक एकल वर्ण का बेमेल होना भी मूक प्रमाणीकरण विफलताओं का कारण बनेगा। सबसे बड़ा नुकसान जो हम देखते हैं वह है प्री-ऑथेंटिकेशन DNS रिज़ॉल्यूशन। CoovaChilli DNS अनुरोधों को रोकता है। यदि आपका अपस्ट्रीम फ़ायरवॉल OpenWrt राउटर को बाहरी DNS को रिज़ॉल्व करने से रोकता है, तो कैप्टिव पोर्टल रीडायरेक्ट विफल हो जाएगा। सुनिश्चित करें कि आपके OpenWrt राउटर के पास Google या OpenDNS जैसे सार्वजनिक रिज़ॉल्वर तक निर्बाध DNS पहुंच हो। एक और आम समस्या iOS और Android में निर्मित कैप्टिव पोर्टल डिटेक्शन मैकेनिज्म है। Apple डिवाइस इंटरनेट कनेक्टिविटी की जांच करने के लिए captive.apple.com तक पहुंचते हैं। यदि आप अपने वॉल्ड गार्डन में captive.apple.com को व्हाइटलिस्ट करते हैं, तो डिवाइस सोचता है कि उसके पास इंटरनेट एक्सेस है और वह कैप्टिव नेटवर्क असिस्टेंट को पॉप अप नहीं करेगा। यदि आप स्वचालित पॉप-अप चाहते हैं, तो Apple के डोमेन को वॉल्ड गार्डन से बाहर रखें। [8:00 - 9:00] रैपिड-फायर प्रश्नोत्तर आइए एक रैपिड-फायर प्रश्नोत्तर करते हैं। प्रश्न एक: क्या मैं एक ही OpenWrt एक्सेस पॉइंट पर CoovaChilli और hostapd 802.1X चला सकता हूँ? हाँ। आप CoovaChilli को अपने अतिथि SSID इंटरफ़ेस से बांधते हैं, और आप अपने स्टाफ SSID इंटरफ़ेस पर 802.1X के साथ hostapd को कॉन्फ़िगर करते हैं। वे स्वतंत्र रूप से काम करते हैं। प्रश्न दो: क्या Purple, OpenWrt के साथ डायनेमिक VLAN असाइनमेंट का समर्थन करता है? हाँ। Purple के RADIUS सर्वर मानक RADIUS विशेषताओं को वापस कर सकते हैं, जिसमें Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID शामिल हैं, जो OpenWrt को अधिकृत उपयोगकर्ता को एक विशिष्ट VLAN पर भेजने का निर्देश देते हैं। प्रश्न तीन: क्या होगा यदि OpenWrt राउटर का Purple RADIUS सर्वर से कनेक्शन टूट जाता है? CoovaChilli नए सत्रों को प्रमाणित करने में विफल रहेगा। मौजूदा अधिकृत सत्र तब तक सक्रिय रहेंगे जब तक कि उनके सत्र का समय समाप्त नहीं हो जाता। उच्च उपलब्धता सुनिश्चित करने के लिए हमेशा माध्यमिक Purple RADIUS सर्वर को कॉन्फ़िगर करें। [9:00 - 10:00] सारांश और अगले कदम संक्षेप में: OpenWrt उद्यम WiFi के लिए एक मजबूत, हार्डवेयर-अज्ञेयवादी मंच प्रदान करता है। अतिथि पहुंच के लिए CoovaChilli और सुरक्षित स्टाफ और मल्टी-टेनेंट PPSK के लिए hostapd को एकीकृत करके, आप एक पहचान-आधारित नेटवर्क का निर्माण करते हैं। Purple, RADIUS बुनियादी ढांचे की जटिलता को दूर करता है, एक क्लाउड-प्रबंधित पोर्टल प्रदान करता है जो फ़र्स्ट-पार्टी डेटा कैप्चर करता है और अनुपालन सुनिश्चित करता है। आपका अगला कदम आपके वर्तमान कस्टम फ़र्मवेयर तैनाती का ऑडिट करना है। सुनिश्चित करें कि आपके वॉल्ड गार्डन पूरी तरह से भरे हुए हैं, अपने RADIUS अकाउंटिंग अंतरालों को सत्यापित करें, और साझा PSKs से डायनेमिक PPSK विभाजन में अपने माइग्रेशन की योजना बनाना शुरू करें। Purple तकनीकी ब्रीफिंग सुनने के लिए धन्यवाद। Purple आपके अतिथि WiFi को कैसे सुरक्षित और मुद्रीकृत कर सकता है, इसके बारे में अधिक जानने के लिए, purple.ai पर जाएं। अगली बार तक।