विक्रेता के अनुसार प्रति-डिवाइस PSK: iPSK, DPSK, MPSK और PPSK की तुलना (और WPA3 समर्थन)

विक्रेता द्वारा प्रति-डिवाइस PSK: iPSK, DPSK, MPSK और PPSK की तुलना, और WPA3 सपोर्ट। एक Purple तकनीकी ब्रीफिंग। परिचय और संदर्भ। Purple तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। मैं आपको एंटरप्राइज WiFi में वर्तमान में सबसे व्यावहारिक रूप से महत्वपूर्ण - और अक्सर गलत समझे जाने वाले - विषयों में से एक के बारे में विस्तार से बताने जा रहा हूँ: प्रति-डिवाइस प्री-शेयर्ड कीज़ (pre-shared keys)। विशेष रूप से, हम तुलना करने जा रहे हैं कि प्रत्येक प्रमुख विक्रेता इस क्षमता को कैसे लागू करता है, वे इसे क्या कहते हैं, यह वास्तव में कैसे काम करता है, और - सबसे महत्वपूर्ण रूप से - तब क्या होता है जब आप WPA3 पर माइग्रेट करने का प्रयास करते हैं। यदि आप एक IT मैनेजर, नेटवर्क आर्किटेक्ट, या वेन्यू ऑपरेशन्स डायरेक्टर हैं जो किसी होटल एस्टेट, रिटेल चेन, स्टेडियम, या सार्वजनिक क्षेत्र के कैंपस में WiFi चला रहे हैं, तो यह ब्रीफिंग आपके लिए है। आपने शायद पहले ही इन विभिन्न नामों को सुना होगा: iPSK, DPSK, MPSK, PPSK। ये सभी एक ही अवधारणा को संदर्भित करते हैं - एक ही SSID पर प्रत्येक डिवाइस या उपयोगकर्ता को अपना अनूठा पासवर्ड देना - लेकिन इनके क्रियान्वयन में काफी अंतर है, और जब आप अपने अगले इंफ्रास्ट्रक्चर अपग्रेड की योजना बना रहे हों तो वे अंतर बहुत मायने रखते हैं। आइए बुनियादी बातों से शुरू करें, फिर प्रत्येक विक्रेता के कार्यप्रणाली को समझें, और अंत में WPA3 के उस प्रश्न पर चर्चा करें जिससे हर कोई इस समय जूझ रहा है। तकनीकी गहन विश्लेषण। तो प्रति-डिवाइस PSK क्या है, और यह क्यों अस्तित्व में है? पारंपरिक WPA2-Personal पूरे SSID के लिए एक ही शेयर्ड पासफ़्रेज़ का उपयोग करता है। आपके गेस्ट नेटवर्क पर हर कोई एक ही पासवर्ड का उपयोग करता है। इससे दो समस्याएं पैदा होती हैं। पहला, आप सभी के लिए पासवर्ड बदले बिना किसी एक डिवाइस के लिए एक्सेस वापस नहीं ले सकते। दूसरा, आपके पास प्रति-डिवाइस दृश्यता या पॉलिसी लागू करने का कोई विकल्प नहीं होता है। प्रति-डिवाइस PSK इन दोनों समस्याओं को हल करता है। प्रत्येक डिवाइस या उपयोगकर्ता को एक अनूठा क्रेडेंशियल मिलता है। आप दूसरों को प्रभावित किए बिना किसी एक का एक्सेस वापस ले सकते हैं। आप प्रति की (key) के अनुसार अलग-अलग VLAN, बैंडविड्थ नीतियां, या एक्सेस शेड्यूल असाइन कर सकते हैं। यह WPA2-Personal की सरलता और पूर्ण 802.1X एंटरप्राइज ऑथेंटिकेशन की जटिलता के बीच का एक मध्यम मार्ग है। अब आइए देखें कि प्रत्येक विक्रेता इसे कैसे लागू करता है। Cisco Meraki इसे iPSK - आइडेंटिटी प्री-शेयर्ड की (Identity Pre-Shared Key) कहता है। Meraki दो मोड का समर्थन करता है। RADIUS के बिना, आप सीधे Meraki डैशबोर्ड में पांच अनूठे PSK तक कॉन्फ़िगर करते हैं, जिनमें से प्रत्येक एक VLAN से मैप होता है। इसे सेटअप करना त्वरित है और इसके लिए किसी बाहरी इंफ्रास्ट्रक्चर की आवश्यकता नहीं होती है। RADIUS के साथ - आमतौर पर Cisco ISE - आप हजारों कीज़ तक स्केल कर सकते हैं। क्लाइंट संबद्ध होता है, AP RADIUS सर्वर को MAC एड्रेस और एक PSK हिंट भेजता है, सर्वर सही प्रति-डिवाइस की वापस करता है, और मानक WPA2 फोर-वे हैंडशेक उस की को पेयरवाइज मास्टर की (Pairwise Master Key) के रूप में उपयोग करके पूरा होता है। यहाँ मुख्य बात यह है कि RADIUS सर्वर लुकअप कर रहा है, AP नहीं। AP केवल इस एक्सचेंज को सुगम बनाता है। HPE Aruba इसे MPSK - Multiple Pre-Shared Key कहता है। Aruba Central और Aruba Instant दो मोड में MPSK का समर्थन करते हैं: MPSK Local, जहां कुंजियां (keys) कंट्रोलर या AP क्लस्टर पर संग्रहीत की जाती हैं, और ClearPass के साथ MPSK, जो Aruba का RADIUS और पॉलिसी इंजन है। ClearPass हजारों कुंजियों को सुरक्षित रख सकता है, डायनामिक VLANs असाइन कर सकता है, और प्रति कुंजी भूमिका-आधारित नीतियां लागू कर सकता है। प्रमाणीकरण (authentication) प्रवाह अनिवार्य रूप से Meraki के RADIUS मोड के समान ही है - MAC-आधारित लुकअप फोर-वे हैंडशेक से पहले प्रति-डिवाइस कुंजी प्रदान करता है। Ruckus - जो अब CommScope का हिस्सा है - इसे DPSK, Dynamic Pre-Shared Key कहता है। यह यकीनन बाजार में सबसे परिपक्व कार्यान्वयन है। Ruckus DPSK शुरुआती SmartZone के दिनों से ही उपलब्ध है। स्थानीय मोड में, DPSK सेवा कंट्रोलर पर चलती है और कुंजी डेटाबेस को संभालती है। RADIUS मोड में, यह Cloudpath के साथ एकीकृत होती है, जो Ruckus का अपना नेटवर्क एक्सेस कंट्रोल प्लेटफॉर्म है। जो बात Ruckus को खास बनाती है वह है DPSK3 - DPSK का उनका WPA3 एक्सटेंशन, जिस पर हम जल्द ही वापस आएंगे। DPSK3 Wi-Fi 6, 6E, और 7 एक्सेस पॉइंट्स पर उपलब्ध है जो फर्मवेयर 7.0 या उसके बाद के संस्करण पर चल रहे हैं, और यह WPA2 स्लैश WPA3 मिश्रित मोड में काम करता है। Juniper Mist इसे PPSK - Private Pre-Shared Key - या कभी-कभी Multi-PSK कहता है। Mist कुंजियों को क्लाउड में, Mist ऑर्गनाइजेशन या साइट कुंजी डेटाबेस में संग्रहीत करता है, जिसमें प्रति साइट 5,000 कुंजियों की सीमा होती है। कुंजियाँ प्रति उपयोगकर्ता, प्रति डिवाइस, या प्रति समूह असाइन की जा सकती हैं। Mist अपनी Access Assurance सेवा - जो कि क्लाउड-नेटिव NAC है - के साथ भी एकीकृत होता है, जो RADIUS-आधारित PSK लुकअप जोड़ता है। महत्वपूर्ण रूप से, Juniper ने Access Assurance के माध्यम से WPA3 RADIUS PSK सहायता की घोषणा की है, जिससे एक एकल WPA3-Personal SSID कई पासफ़्रेज़ की सेवा कर सकता है। यह बाजार में अधिक भविष्योन्मुखी कार्यान्वयनों में से एक है। Extreme Networks - जिसने Aerohive का अधिग्रहण किया था - ExtremeCloud IQ के माध्यम से इसे PPSK, Private Pre-Shared Key कहता है। Extreme का कार्यान्वयन स्वयं AP पर स्थानीय कुंजी भंडारण का समर्थन करता है, जो सीमित कनेक्टिविटी वाले शाखा या दूरस्थ स्थानों के लिए उपयोगी है। यह ExtremeCloud IQ की क्लाउड RADIUS सेवा के माध्यम से RADIUS-आधारित लुकअप का भी समर्थन करता है। MAC बाइंडिंग उपलब्ध है, जो अतिरिक्त सुरक्षा के लिए PPSK को एक विशिष्ट डिवाइस MAC पते से जोड़ता है। Fortinet इसे MPSK, Multiple Pre-Shared Key कहता है, जिसे FortiAP और FortiGate वायरलेस कंट्रोलर के माध्यम से प्रबंधित किया जाता है। Fortinet का कार्यान्वयन उल्लेखनीय है क्योंकि यह अपने MPSK प्रोफाइल में WPA3-SAE और WPA3-SAE Transition सुरक्षा मोड का स्पष्ट रूप से समर्थन करता है - FortiAP फर्मवेयर 8.0 के अनुसार। आप WPA3-SAE कुंजियों के साथ एक MPSK प्रोफाइल बना सकते हैं, उन्हें VAP पर असाइन कर सकते हैं, और प्रति कुंजी डायनामिक VLAN असाइनमेंट सक्षम कर सकते हैं। यह आज उपलब्ध अधिक स्पष्ट WPA3 MPSK कार्यान्वयनों में से एक है। Ubiquiti UniFi इसे Private Pre-Shared Keys, या Private PSK कहता है। UniFi का क्रियान्वयन केवल स्थानीय है - कुंजियाँ UniFi Network नियंत्रक में संग्रहीत की जाती हैं, न कि किसी बाहरी RADIUS सर्वर में। आप प्रति कुंजी अलग-अलग VLANs असाइन कर सकते हैं और प्रति कुंजी क्लाइंट सीमाएँ निर्धारित कर सकते हैं। महत्वपूर्ण सीमा: मध्य-2026 तक, UniFi Private PSK केवल 2.4 GHz और 5 GHz पर WPA2 नेटवर्क पर काम करता है। WPA3 और 6 GHz समर्थित नहीं हैं। छोटे डिप्लॉयमेंट के लिए यह ठीक है, लेकिन बड़े पैमाने पर UniFi एस्टेट का उपयोग करने से पहले यह जानने योग्य सीमा है। अब, WPA3 का प्रश्न। यह वह जगह है जहाँ यह तकनीकी रूप से दिलचस्प हो जाता है। WPA2-Personal फोर-वे हैंडशेक का उपयोग करता है। क्लाइंट और AP एक साझा Pairwise Master Key से एक Pairwise Transient Key प्राप्त करते हैं, जो स्वयं पासफ़्रेज़ से प्राप्त होती है। क्योंकि PMK की प्राप्ति RADIUS लुकअप के बाद होती है, AP उस बिंदु पर प्रति-डिवाइस कुंजी को बदल सकता है। मानक को इससे कोई फर्क नहीं पड़ता - यह केवल एक वैध PMK देखता है। WPA3-Personal फोर-वे हैंडशेक को SAE - Simultaneous Authentication of Equals से बदल देता है। SAE एक Diffie-Hellman-आधारित प्रोटोकॉल है। एसोसिएशन पूरा होने से पहले दोनों पक्ष पासफ़्रेज़ से प्राप्त एक साझा पासवर्ड तत्व के लिए प्रतिबद्ध होते हैं। महत्वपूर्ण अंतर: SAE एक्सचेंज शुरू होने से पहले दोनों पक्षों को पासवर्ड ज्ञात होना चाहिए। प्रोटोकॉल में ऐसा कोई बिंदु नहीं है जहाँ RADIUS सर्वर प्रति डिवाइस एक अलग कुंजी इंजेक्ट कर सके। AP और क्लाइंट पहले से ही एक ही साझा मूल्य के साथ एक क्रिप्टोग्राफिक डांस कर रहे हैं। यही कारण है कि WPA3 वर्तमान में अपने मानक रूप में प्रति SSID केवल एक कुंजी की अनुमति देता है। यह कोई फर्मवेयर सीमा नहीं है। यह एक प्रोटोकॉल बाधा है। इसके समाधान तीन श्रेणियों में आते हैं। पहला, WPA3 ट्रांज़िशन मोड - जिसे WPA2 स्लैश WPA3 मिक्स्ड मोड भी कहा जाता है। SSID, WPA2-PSK और WPA3-SAE दोनों का विज्ञापन करता है। WPA2 क्लाइंट फोर-वे हैंडशेक का उपयोग करते हैं और RADIUS के माध्यम से प्रति-डिवाइस कुंजियाँ प्राप्त कर सकते हैं। WPA3 क्लाइंट एक साझा पासवर्ड के साथ SAE का उपयोग करते हैं। यह आज सबसे व्यापक रूप से उपयोग किया जाने वाला तरीका है और Cisco Meraki, HPE Aruba, Ruckus और अन्य द्वारा समर्थित है। दूसरा, मालिकाना एक्सटेंशन। Ruckus DPSK3 इसका सबसे स्पष्ट उदाहरण है। Cloudpath को RADIUS बैकएंड के रूप में उपयोग करके WPA2 स्लैश WPA3 मिक्स्ड मोड में चलने से, DPSK3, WPA3-सक्षम उपकरणों को SAE का उपयोग करने की अनुमति देता है जबकि सिस्टम Cloudpath एकीकरण के माध्यम से प्रति-डिवाइस कुंजी बाइंडिंग को प्रबंधित करता है। Juniper का Access Assurance WPA3 RADIUS PSK भी इसी तरह का दृष्टिकोण अपनाता है। WPA3-SAE ट्रांज़िशन मोड के साथ Fortinet का MPSK आपको एक ही MPSK प्रोफ़ाइल में WPA2-Personal और WPA3-SAE कुंजियों को मिलाने की अनुमति देता है। तीसरा, 802.1X पर जाना। प्रबंधित एंडपॉइंट्स के लिए - कॉर्पोरेट लैपटॉप, स्टाफ डिवाइस, कुछ भी जिस पर आप प्रमाणपत्र भेज सकते हैं - EAP-TLS के साथ WPA3-Enterprise एक स्पष्ट उत्तर है। यह WPA3 और 6 GHz के साथ पूरी तरह से संगत है, प्रति-डिवाइस पहचान प्रदान करता है, और Microsoft Entra ID, Okta और Google Workspace के साथ एकीकृत होता है। इसका नुकसान डिप्लॉयमेंट की जटिलता और प्रमाणपत्र बुनियादी ढांचे की आवश्यकता है। क्रियान्वयन की सिफारिशें और कमियाँ। तो आपको वास्तव में क्या करना चाहिए? यदि आप अतिथि उपकरणों, IoT सेंसरों और कर्मचारियों के उपकरणों के मिश्रण के साथ एक होटल एस्टेट चला रहे हैं, तो 2026 में व्यावहारिक उत्तर एक हाइब्रिड SSID डिज़ाइन है। पुराने IoT और अतिथि उपकरणों के लिए प्रति-उपकरण PSK के साथ एक WPA2-Personal SSID रखें। आपके द्वारा नियंत्रित कर्मचारियों के उपकरणों के लिए एक WPA3-Enterprise SSID चलाएं। अपनी SSID संख्या को खंडित किए बिना WPA2 और WPA3 दोनों क्लाइंट्स का समर्थन करने के लिए अपने प्राथमिक अतिथि SSID पर ट्रांज़िशन मोड का उपयोग करें। यदि आप Ruckus पर हैं और WiFi 6 या नए हार्डवेयर का उपयोग कर रहे हैं, तो Cloudpath के साथ WPA2 स्लैश WPA3 मिक्स्ड मोड में DPSK3 का मूल्यांकन करने योग्य है। यह आपको आज उपलब्ध मूल WPA3 प्रति-उपकरण PSK के सबसे निकटतम विकल्प प्रदान करता है। यदि आप Fortinet पर हैं, तो WPA3-SAE ट्रांज़िशन के साथ MPSK प्रोफ़ाइल को कॉन्फ़िगर करना सीधा है और आपको एक स्पष्ट माइग्रेशन पथ प्रदान करता है। यदि आप UniFi पर हैं, तो अपने हितधारकों के साथ स्पष्ट रहें कि Private PSK केवल WPA2-only है। 6 GHz रेडियो के साथ WiFi 6E या WiFi 7 को तैनात करने वाले स्थानों के लिए, आपको उस बैंड के लिए एक अलग प्रमाणीकरण रणनीति की आवश्यकता होगी। सबसे बड़ी गलती जो हम देखते हैं वह यह है कि टीमें मान लेती हैं कि किसी मौजूदा प्रति-उपकरण PSK SSID पर WPA3 को सक्षम करना बस काम कर जाएगा। ऐसा नहीं होगा। पहले एक पायलट साइट पर परीक्षण करें। अपने AP फ़र्मवेयर संस्करणों की जाँच करें - उदाहरण के लिए Ruckus पर DPSK3 के लिए फ़र्मवेयर 7.0 या बाद के संस्करण की आवश्यकता होती है। और अपनी RADIUS सर्वर संगतता की जाँच करें - मिक्स्ड मोड में Ruckus DPSK3 के लिए विशेष रूप से Cloudpath की आवश्यकता होती है, न कि किसी सामान्य RADIUS सर्वर की। दूसरी गलती कुंजी (key) का अत्यधिक प्रसार है। प्रति-उपकरण PSK जवाबदेही के लिए उत्कृष्ट है, लेकिन केवल तभी जब आपके पास उपकरणों के बंद होने पर कुंजियों को निरस्त करने की प्रक्रिया हो। जीवनचक्र प्रबंधन के बिना, आपके पास हजारों अनाथ कुंजियाँ बचेंगी और कोई ऑडिट ट्रेल नहीं होगा। पहले दिन से ही अपने डिवाइस प्रबंधन वर्कफ़्लो के साथ अपनी कुंजी प्रोविज़निंग को एकीकृत करें। त्वरित प्रश्न और उत्तर। क्या मैं 6 GHz SSID पर प्रति-उपकरण PSK का उपयोग कर सकता हूँ? नहीं। 6 GHz केवल WPA3-only को अनिवार्य करता है, और WPA3 मूल रूप से प्रति-उपकरण PSK का समर्थन नहीं करता है। उन उपकरणों के लिए जिन्हें प्रति-उपकरण PSK की आवश्यकता है, 802.1X या एक अलग 2.4 स्लैश 5 GHz SSID का उपयोग करें। क्या प्रति-उपकरण PSK PCI-DSS आवश्यकताओं को पूरा करता है? WPA2 पर प्रति-उपकरण PSK PCI-DSS 4.0 नेटवर्क सेगमेंटेशन आवश्यकताओं को पूरा कर सकता है यदि प्रत्येक कुंजी एक पृथक VLAN से मैप होती है। लेकिन PCI-DSS कार्डधारक डेटा वातावरण के लिए दृढ़ता से 802.1X की सिफारिश करता है। अपने QSA से जाँच करें। प्रति SSID कुंजियों की अधिकतम संख्या क्या है? यह काफी भिन्न होता है। ISE के साथ Cisco Meraki बहुत बड़े स्तर के तैनाती का समर्थन करता है। Ruckus DPSK हजारों कुंजियों का समर्थन करता है। Juniper Mist प्रति साइट 5,000 पर सीमित करता है। UniFi प्रभावी रूप से कंट्रोलर मेमोरी द्वारा सीमित है। अपने विशिष्ट फ़र्मवेयर संस्करण के लिए हमेशा वेंडर दस्तावेज़ीकरण की जाँच करें।इसमें Purple कैसे फिट बैठता है? Purple आपके मौजूदा हार्डवेयर के ऊपर क्लाउड ओवरले के रूप में काम करता है। हम Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet के साथ एकीकृत होते हैं। Guest WiFi और Staff WiFi डिप्लॉयमेंट के लिए, Purple पहचान परत (आईडेंटिटी लेयर) - ऑथेंटिकेशन, डेटा कैप्चर, सहमति प्रबंधन - को संभालता है और RADIUS या API के माध्यम से आपके हार्डवेयर को उपयुक्त VLAN या नीति असाइनमेंट वापस भेजता है। आप अपना मौजूदा प्रति-डिवाइस PSK इन्फ्रास्ट्रक्चर बनाए रखते हैं; Purple इसके ऊपर पहचान और एनालिटिक्स परत जोड़ता है। सारांश और अगले कदम। आइए इसे एक साथ समझते हैं। प्रति-डिवाइस PSK - चाहे आप इसे iPSK, DPSK, MPSK, या PPSK कहें - सभी प्रमुख एंटरप्राइज WiFi विक्रेताओं के बीच एक परिपक्व, अच्छी तरह से समर्थित क्षमता है। इसके कार्यान्वयन इस बात में भिन्न हैं कि कुंजियाँ (keys) कहाँ संग्रहीत की जाती हैं, वे कैसे स्केल करती हैं, और वे RADIUS के साथ कैसे एकीकृत होती हैं। WPA3 का SAE प्रोटोकॉल प्रति-डिवाइस PSK के लिए एक वास्तविक तकनीकी बाधा पैदा करता है। मानक मूल रूप से इसका समर्थन नहीं करता है। आज व्यावहारिक समाधान ट्रांज़िशन मोड, DPSK3 जैसे मालिकाना एक्सटेंशन, या उन उपकरणों के लिए 802.1X पर जाना है जो इसका समर्थन करते हैं। विक्रेता-दर-विक्रेता सारांश: Cisco Meraki iPSK, RADIUS मोड में ISE के साथ अच्छा काम करता है; WPA3 समर्थन ट्रांज़िशन मोड के माध्यम से है। ClearPass के साथ HPE Aruba MPSK अत्यधिक स्केलेबल है; WPA3 MPSK सक्रिय विकास के अधीन है। Ruckus DPSK3 सबसे परिपक्व उपलब्ध WPA3 प्रति-डिवाइस PSK समाधान है। Juniper Mist Access Assurance, WPA3 RADIUS PSK को जोड़ता है। Fortinet MPSK अपने MPSK प्रोफाइल में स्पष्ट रूप से WPA3-SAE का समर्थन करता है। Extreme PPSK स्थानीय और RADIUS मोड के लिए ठोस है। UniFi Private PSK केवल WPA2 और केवल स्थानीय है। आपके अगले कदमों के लिए: अपने वर्तमान प्रति-डिवाइस PSK डिप्लॉयमेंट का ऑडिट करें, पहचानें कि कौन से डिवाइस WPA3-सक्षम हैं, और एक हाइब्रिड SSID रणनीति तैयार करें जो दोनों की सेवा करे। यदि आप हार्डवेयर रिफ्रेश की योजना बना रहे हैं, तो पुष्ट DPSK3 या WPA3 MPSK समर्थन वाले WiFi 6 या WiFi 7 APs को प्राथमिकता दें। यदि आप यह समझना चाहते हैं कि आपके प्रति-डिवाइस PSK डिप्लॉयमेंट के ऊपर पहचान प्रबंधन और एनालिटिक्स जोड़ने के लिए Purple आपके विशिष्ट हार्डवेयर विक्रेता के साथ कैसे एकीकृत होता है, तो purple.ai पर जाएं या अपनी अकाउंट टीम से बात करें। इस ब्रीफिंग के लिए बस इतना ही। सुनने के लिए धन्यवाद।