वेंडर द्वारा प्रति-डिवाइस PSK: iPSK, DPSK, MPSK और PPSK की तुलना (और WPA3 सपोर्ट)

प्रति-डिवाइस PSK वेंडर के अनुसार: iPSK, DPSK, MPSK और PPSK की तुलना, और WPA3 सपोर्ट। एक Purple तकनीकी ब्रीफिंग। परिचय और संदर्भ। Purple तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। मैं आपको एंटरप्राइज़ WiFi में अभी के सबसे व्यावहारिक रूप से महत्वपूर्ण - और अक्सर गलत समझे जाने वाले - विषयों में से एक के बारे में विस्तार से बताने जा रहा हूँ: प्रति-डिवाइस प्री-शेयर्ड कीज़ (pre-shared keys)। विशेष रूप से, हम तुलना करने जा रहे हैं कि प्रत्येक प्रमुख वेंडर इस क्षमता को कैसे लागू करता है, वे इसे क्या कहते हैं, यह वास्तव में बैकएंड पर कैसे काम करता है, और - सबसे महत्वपूर्ण रूप से - क्या होता है जब आप WPA3 पर जाने का प्रयास करते हैं। यदि आप एक IT मैनेजर, नेटवर्क आर्किटेक्ट, या वेन्यू ऑपरेशंस डायरेक्टर हैं जो किसी होटल एस्टेट, रिटेल चेन, स्टेडियम, या सार्वजनिक क्षेत्र के कैंपस में WiFi चला रहे हैं, तो यह ब्रीफिंग आपके लिए है। आपने शायद पहले ही संक्षिप्त शब्दों की इस श्रृंखला का सामना किया होगा: iPSK, DPSK, MPSK, PPSK। ये सभी एक ही अवधारणा को संदर्भित करते हैं - एक एकल SSID पर प्रत्येक डिवाइस या उपयोगकर्ता को उसका अपना विशिष्ट पासवर्ड देना - लेकिन इनके इम्प्लीमेंटेशन काफी भिन्न हैं, और ये अंतर तब मायने रखते हैं जब आप अपने अगले इंफ्रास्ट्रक्चर रिफ्रेश की योजना बना रहे होते हैं। आइए बुनियादी बातों से शुरू करें, फिर प्रत्येक वेंडर के बारे में विस्तार से जानें, और अंत में WPA3 के उस प्रश्न पर चर्चा करें जिससे हर कोई इस समय जूझ रहा है। तकनीकी गहन विश्लेषण। तो प्रति-डिवाइस PSK क्या है, और यह क्यों अस्तित्व में है? पारंपरिक WPA2-Personal संपूर्ण SSID के लिए एक एकल शेयर्ड पासफ़्रेज़ का उपयोग करता है। आपके गेस्ट नेटवर्क पर हर कोई एक ही पासवर्ड का उपयोग करता है। इससे दो समस्याएं पैदा होती हैं। पहला, आप सभी के लिए पासवर्ड बदले बिना किसी एक डिवाइस के लिए एक्सेस को रद्द नहीं कर सकते। दूसरा, आपके पास प्रति-डिवाइस दृश्यता (visibility) या पॉलिसी लागू करने का कोई विकल्प नहीं होता है। प्रति-डिवाइस PSK इन दोनों को हल करता है। प्रत्येक डिवाइस या उपयोगकर्ता को एक विशिष्ट क्रेडेंशियल मिलता है। आप दूसरों को प्रभावित किए बिना किसी एक को रद्द कर सकते हैं। आप प्रति की (key) के अनुसार अलग-अलग VLAN, बैंडविड्थ नीतियां, या एक्सेस शेड्यूल असाइन कर सकते हैं। यह WPA2-Personal की सरलता और पूर्ण 802.1X एंटरप्राइज़ ऑथेंटिकेशन की जटिलता के बीच का एक मध्य मार्ग है। अब आइए देखें कि प्रत्येक वेंडर इसे कैसे लागू करता है। Cisco Meraki इसे iPSK - आइडेंटिटी प्री-शेयर्ड की (Identity Pre-Shared Key) कहता है। Meraki दो मोड का समर्थन करता है। RADIUS के बिना, आप सीधे Meraki डैशबोर्ड में पांच विशिष्ट PSK तक कॉन्फ़िगर करते हैं, जिनमें से प्रत्येक एक VLAN से मैप होता है। इसे सेटअप करना त्वरित है और इसके लिए किसी बाहरी इंफ्रास्ट्रक्चर की आवश्यकता नहीं होती है। RADIUS के साथ - आमतौर पर Cisco ISE - आप हजारों कीज़ तक स्केल कर सकते हैं। क्लाइंट संबद्ध होता है, AP मैक (MAC) एड्रेस और एक PSK हिंट RADIUS सर्वर को भेजता है, सर्वर सही प्रति-डिवाइस की (key) लौटाता है, और मानक WPA2 फोर-वे हैंडशेक उस की (key) को पेयरवाइज मास्टर की (Pairwise Master Key) के रूप में उपयोग करके पूरा होता है। यहाँ मुख्य बात यह है कि RADIUS सर्वर लुकअप कर रहा है, न कि AP। AP केवल इस एक्सचेंज को सुगम बनाता है। HPE Aruba इसे MPSK - Multiple Pre-Shared Key कहता है। Aruba Central और Aruba Instant दो मोड में MPSK का समर्थन करते हैं: MPSK Local, जहां कीज़ (keys) को कंट्रोलर या AP क्लस्टर पर स्टोर किया जाता है, और ClearPass के साथ MPSK, जो Aruba का RADIUS और पॉलिसी इंजन है। ClearPass हजारों कीज़ को सुरक्षित रख सकता है, डायनामिक VLANs असाइन कर सकता है, और प्रति की (key) के आधार पर रोल-बेस्ड पॉलिसियों को लागू कर सकता है। ऑथेंटिकेशन फ्लो मुख्य रूप से Meraki के RADIUS मोड की तरह ही है - MAC-आधारित लुकअप फोर-वे हैंडशेक से पहले प्रति-डिवाइस की (key) को वापस भेजता है। Ruckus - जो अब CommScope का हिस्सा है - इसे DPSK, Dynamic Pre-Shared Key कहता है। यह बाजार में यकीनन सबसे परिपक्व इम्प्लीमेंटेशन है। Ruckus DPSK शुरुआती SmartZone के दिनों से उपलब्ध है। लोकल मोड में, DPSK सर्विस कंट्रोलर पर चलती है और की (key) डेटाबेस को रखती है। RADIUS मोड में, यह Cloudpath के साथ एकीकृत होती है, जो Ruckus का अपना नेटवर्क एक्सेस कंट्रोल प्लेटफॉर्म है। जो बात Ruckus को विशेष बनाती है वह है DPSK3 - DPSK का उनका WPA3 एक्सटेंशन, जिस पर हम जल्द ही वापस आएंगे। DPSK3 फ़र्मवेयर 7.0 या उसके बाद के वर्शन पर चलने वाले WiFi 6, 6E, और 7 एक्सेस पॉइंट्स पर उपलब्ध है, और यह WPA2 स्लैश WPA3 मिक्स्ड मोड में काम करता है। Juniper Mist इसे PPSK - Private Pre-Shared Key - या कभी-कभी Multi-PSK कहता है। Mist कीज़ को क्लाउड में, Mist आर्गेनाइजेशन या साइट की (key) डेटाबेस में स्टोर करता है, जिसमें प्रति साइट 5,000 कीज़ की सीमा होती है। कीज़ को प्रति यूजर, प्रति डिवाइस, या प्रति ग्रुप असाइन किया जा सकता है। Mist अपनी Access Assurance सर्विस - जो क्लाउड-नेटिव NAC है - के साथ भी एकीकृत होता है, जो RADIUS-आधारित PSK लुकअप जोड़ती है। महत्वपूर्ण रूप से, Juniper ने Access Assurance के माध्यम से WPA3 RADIUS PSK सपोर्ट की घोषणा की है, जिससे एक सिंगल WPA3-Personal SSID कई पासफ़्रेज़ की सेवा कर सकता है। यह बाजार में अधिक प्रगतिशील इम्प्लीमेंटेशन्स में से एक है। Extreme Networks - जिसने Aerohive का अधिग्रहण किया था - इसे ExtremeCloud IQ के माध्यम से PPSK, Private Pre-Shared Key कहता है। Extreme का इम्प्लीमेंटेशन AP पर ही लोकल की (key) स्टोरेज का समर्थन करता है, जो सीमित कनेक्टिविटी वाले ब्रांच या रिमोट साइट्स के लिए उपयोगी है। यह ExtremeCloud IQ की क्लाउड RADIUS सर्विस के माध्यम से RADIUS-आधारित लुकअप का भी समर्थन करता है। MAC बाइंडिंग उपलब्ध है, जो अतिरिक्त सुरक्षा के लिए एक PPSK को एक विशिष्ट डिवाइस MAC एड्रेस से जोड़ती है। Fortinet इसे MPSK, Multiple Pre-Shared Key कहता है, जिसे FortiAP और FortiGate वायरलेस कंट्रोलर के माध्यम से प्रबंधित किया जाता है। Fortinet का इम्प्लीमेंटेशन इसलिए उल्लेखनीय है क्योंकि यह FortiAP फ़र्मवेयर 8.0 के अनुसार अपने MPSK प्रोफाइल्स में WPA3-SAE और WPA3-SAE Transition सुरक्षा मोड का स्पष्ट रूप से समर्थन करता है। आप WPA3-SAE कीज़ के साथ एक MPSK प्रोफाइल बना सकते हैं, उन्हें एक VAP पर असाइन कर सकते हैं, और प्रति की (key) डायनामिक VLAN असाइनमेंट को सक्षम कर सकते हैं। यह आज उपलब्ध सबसे बेहतर WPA3 MPSK इम्प्लीमेंटेशन्स में से एक है। Ubiquiti UniFi इसे Private Pre-Shared Keys, या Private PSK कहता है। UniFi का क्रियान्वयन केवल स्थानीय स्तर पर होता है - कुंजियाँ बाहरी RADIUS सर्वर में नहीं, बल्कि UniFi Network कंट्रोलर में संग्रहीत होती हैं। आप प्रति कुंजी अलग-अलग VLANs असाइन कर सकते हैं और प्रति कुंजी क्लाइंट सीमाएँ निर्धारित कर सकते हैं। महत्वपूर्ण सीमा यह है कि: 2026 के मध्य तक, UniFi Private PSK केवल 2.4 GHz और 5 GHz पर WPA2 नेटवर्क पर काम करता है। WPA3 और 6 GHz समर्थित नहीं हैं। छोटे डिप्लॉयमेंट के लिए यह ठीक है, लेकिन बड़े पैमाने पर UniFi एस्टेट को अपनाने से पहले इस सीमा को जानना आवश्यक है। अब, WPA3 का प्रश्न। तकनीकी रूप से यह काफी दिलचस्प हो जाता है। WPA2-Personal एक फ़ोर-वे हैंडशेक का उपयोग करता है। क्लाइंट और AP एक साझा Pairwise Master Key से एक Pairwise Transient Key प्राप्त करते हैं, जो स्वयं पासफ़्रेज़ से प्राप्त होती है। क्योंकि PMK की व्युत्पत्ति RADIUS लुकअप के बाद होती है, इसलिए AP उस बिंदु पर प्रति-डिवाइस कुंजी को प्रतिस्थापित कर सकता है। मानक को इससे कोई फर्क नहीं पड़ता - वह केवल एक वैध PMK देखता है। WPA3-Personal फ़ोर-वे हैंडशेक को SAE - Simultaneous Authentication of Equals से बदल देता है। SAE एक Diffie-Hellman-आधारित प्रोटोकॉल है। एसोसिएशन पूरा होने से पहले दोनों पक्ष पासफ़्रेज़ से प्राप्त एक साझा पासवर्ड तत्व के प्रति प्रतिबद्ध होते हैं। महत्वपूर्ण अंतर यह है कि: SAE एक्सचेंज शुरू होने से पहले पासवर्ड दोनों पक्षों को ज्ञात होना चाहिए। प्रोटोकॉल में ऐसा कोई बिंदु नहीं होता जहाँ एक RADIUS सर्वर प्रति डिवाइस एक अलग कुंजी इंजेक्ट कर सके। AP और क्लाइंट पहले से ही एक साझा मूल्य के साथ क्रिप्टोग्राफ़िक गतिविधि कर रहे होते हैं। यही कारण है कि WPA3 वर्तमान में अपने मानक रूप में प्रति SSID केवल एक कुंजी की अनुमति देता है। यह कोई फ़र्मवेयर सीमा नहीं है। यह एक प्रोटोकॉल की बाध्यता है। इसके समाधान तीन श्रेणियों में आते हैं। पहला, WPA3 ट्रांज़िशन मोड - जिसे WPA2 स्लैश WPA3 मिक्स्ड मोड भी कहा जाता है। SSID, WPA2-PSK और WPA3-SAE दोनों को विज्ञापित करता है। WPA2 क्लाइंट फ़ोर-वे हैंडशेक का उपयोग करते हैं और RADIUS के माध्यम से प्रति-डिवाइस कुंजियाँ प्राप्त कर सकते हैं। WPA3 क्लाइंट एकल साझा पासवर्ड के साथ SAE का उपयोग करते हैं। यह आज सबसे व्यापक रूप से उपयोग किया जाने वाला तरीका है और Cisco Meraki, HPE Aruba, Ruckus, और अन्य द्वारा समर्थित है। दूसरा, मालिकाना एक्सटेंशन। Ruckus DPSK3 इसका सबसे स्पष्ट उदाहरण है। RADIUS बैकएंड के रूप में Cloudpath के साथ WPA2 स्लैश WPA3 मिक्स्ड मोड में काम करके, DPSK3, WPA3-सक्षम उपकरणों को SAE का उपयोग करने की अनुमति देता है जबकि सिस्टम Cloudpath एकीकरण के माध्यम से प्रति-डिवाइस कुंजी बाइंडिंग को प्रबंधित करता है। Juniper का Access Assurance WPA3 RADIUS PSK भी इसी तरह का दृष्टिकोण अपनाता है। Fortinet का MPSK, WPA3-SAE ट्रांज़िशन मोड के साथ आपको एक ही MPSK प्रोफ़ाइल में WPA2-Personal और WPA3-SAE कुंजियों को मिलाने की सुविधा देता है। तीसरा, 802.1X पर जाना। प्रबंधित एंडपॉइंट्स - कॉर्पोरेट लैपटॉप, स्टाफ के डिवाइस, या ऐसी कोई भी चीज़ जिस पर आप सर्टिफिकेट भेज सकते हैं - के लिए EAP-TLS के साथ WPA3-Enterprise एक सटीक समाधान है। यह WPA3 और 6 GHz के साथ पूरी तरह से संगत है, प्रति-डिवाइस पहचान प्रदान करता है, और Microsoft Entra ID, Okta, और Google Workspace के साथ एकीकृत होता है। इसके बदले में डिप्लॉयमेंट की जटिलता और सर्टिफिकेट इन्फ्रास्ट्रक्चर की आवश्यकता का सामना करना पड़ता है। क्रियान्वयन की सिफारिशें और संभावित कमियाँ। तो आपको वास्तव में क्या करना चाहिए? यदि आप अतिथि उपकरणों, IoT सेंसर और स्टाफ उपकरणों के मिश्रण के साथ एक होटल एस्टेट चला रहे हैं, तो 2026 में व्यावहारिक उत्तर एक हाइब्रिड SSID डिज़ाइन है। पुराने IoT और अतिथि उपकरणों के लिए प्रति-उपकरण PSK के साथ एक WPA2-Personal SSID रखें। आपके द्वारा नियंत्रित स्टाफ उपकरणों के लिए WPA3-Enterprise SSID चलाएँ। अपने मुख्य अतिथि SSID पर ट्रांज़िशन मोड का उपयोग करें ताकि आपके SSID काउंट को विभाजित किए बिना WPA2 और WPA3 दोनों क्लाइंट का समर्थन किया जा सके। यदि आप Ruckus पर हैं और Wi-Fi 6 या नए हार्डवेयर का उपयोग कर रहे हैं, तो Cloudpath के साथ WPA2 स्लैश WPA3 मिक्स्ड मोड में DPSK3 का मूल्यांकन करना उचित है। यह आपको आज उपलब्ध मूल WPA3 प्रति-उपकरण PSK का सबसे करीबी विकल्प देता है। यदि आप Fortinet पर हैं, तो WPA3-SAE ट्रांज़िशन के साथ MPSK प्रोफ़ाइल को कॉन्फ़िगर करना सीधा है और यह आपको एक आसान माइग्रेशन पथ देता है। यदि आप UniFi पर हैं, तो अपने हितधारकों के साथ स्पष्ट रहें कि Private PSK केवल WPA2-only है। 6 GHz रेडियो के साथ Wi-Fi 6E या Wi-Fi 7 को तैनात करने वाले स्थानों के लिए, आपको उस बैंड के लिए एक अलग प्रमाणीकरण रणनीति की आवश्यकता होगी। सबसे बड़ी समस्या जो हम देखते हैं वह यह है कि टीमें यह मान लेती हैं कि मौजूदा प्रति-उपकरण PSK SSID पर WPA3 सक्षम करने से यह आसानी से काम करने लगेगा। ऐसा नहीं होगा। पहले एक पायलट साइट पर परीक्षण करें। अपने AP फ़र्मवेयर वर्शन की जाँच करें - उदाहरण के लिए, Ruckus पर DPSK3 के लिए फ़र्मवेयर 7.0 या उसके बाद के वर्शन की आवश्यकता होती है। और अपने RADIUS सर्वर की अनुकूलता की जाँच करें - मिक्स्ड मोड में Ruckus DPSK3 के लिए विशेष रूप से Cloudpath की आवश्यकता होती है, किसी सामान्य RADIUS सर्वर की नहीं। दूसरी समस्या है कुंजियों का अत्यधिक प्रसार (key sprawl)। जवाबदेही के लिए प्रति-उपकरण PSK उत्कृष्ट है, लेकिन केवल तभी जब आपके पास उपकरणों के निष्क्रिय होने पर कुंजियों को निरस्त करने की प्रक्रिया हो। जीवनचक्र प्रबंधन के बिना, आपके पास बिना किसी ऑडिट ट्रेल के हजारों अनाथ कुंजियाँ बच जाएँगी। पहले दिन से ही अपने डिवाइस प्रबंधन वर्कफ़्लो के साथ अपनी कुंजी प्रोविज़निंग को एकीकृत करें। त्वरित प्रश्न और उत्तर। क्या मैं 6 GHz SSID पर प्रति-उपकरण PSK का उपयोग कर सकता हूँ? नहीं। 6 GHz के लिए केवल-WPA3 अनिवार्य है, और WPA3 मूल रूप से प्रति-उपकरण PSK का समर्थन नहीं करता है। उन उपकरणों के लिए 802.1X या एक अलग 2.4 स्लैश 5 GHz SSID का उपयोग करें जिन्हें प्रति-उपकरण PSK की आवश्यकता है। क्या प्रति-उपकरण PSK PCI-DSS आवश्यकताओं को पूरा करता है? WPA2 पर प्रति-उपकरण PSK PCI-DSS 4.0 नेटवर्क सेगमेंटेशन आवश्यकताओं को पूरा कर सकता है यदि प्रत्येक कुंजी एक अलग VLAN से मैप होती है। लेकिन PCI-DSS कार्डहोल्डर डेटा वातावरण के लिए 802.1X की दृढ़ता से सिफारिश करता है। अपने QSA से जाँच करें। प्रति SSID कुंजियों की अधिकतम संख्या क्या है? यह काफी भिन्न होती है। Cisco Meraki के साथ ISE बहुत बड़े परिनियोजन का समर्थन करता है। Ruckus DPSK हजारों कुंजियों का समर्थन करता है। Juniper Mist प्रति साइट 5,000 पर सीमित है। UniFi प्रभावी रूप से नियंत्रक मेमोरी द्वारा सीमित है। अपने विशिष्ट फ़र्मवेयर वर्शन के लिए हमेशा विक्रेता के दस्तावेज़ देखें। इसमें Purple कैसे फिट बैठता है? Purple आपके मौजूदा हार्डवेयर के ऊपर एक क्लाउड ओवरले के रूप में काम करता है। हम Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks और Fortinet के साथ एकीकृत होते हैं। Guest WiFi और स्टाफ WiFi डिप्लॉयमेंट के लिए, Purple आइडेंटिटी लेयर - ऑथेंटिकेशन, डेटा कैप्चर, सहमति प्रबंधन - को संभालता है और RADIUS या API के माध्यम से आपके हार्डवेयर पर उपयुक्त VLAN या पॉलिसी असाइनमेंट वापस भेजता है। आप अपना मौजूदा प्रति-डिवाइस PSK इन्फ्रास्ट्रक्चर बनाए रखते हैं; Purple इसके ऊपर आइडेंटिटी और एनालिटिक्स लेयर जोड़ता है। सारांश और अगले कदम। आइए इसे एक साथ समझते हैं। प्रति-डिवाइस PSK - चाहे आप इसे iPSK, DPSK, MPSK, या PPSK कहें - सभी प्रमुख एंटरप्राइज WiFi विक्रेताओं के बीच एक परिपक्व, अच्छी तरह से समर्थित क्षमता है। इसके कार्यान्वयन इस बात में भिन्न होते हैं कि कीज़ (keys) कहाँ संग्रहीत की जाती हैं, वे कैसे स्केल होती हैं, और वे RADIUS के साथ कैसे एकीकृत होती हैं। WPA3 का SAE प्रोटोकॉल प्रति-डिवाइस PSK के लिए एक वास्तविक तकनीकी सीमा उत्पन्न करता है। मानक मूल रूप से इसका समर्थन नहीं करता है। आज के व्यावहारिक समाधान ट्रांज़िशन मोड, DPSK3 जैसे मालिकाना एक्सटेंशन, या उन उपकरणों के लिए 802.1X पर जाना हैं जो इसका समर्थन करते हैं। विक्रेता-दर-विक्रेता सारांश: Cisco Meraki iPSK, RADIUS मोड में ISE के साथ अच्छा काम करता है; WPA3 समर्थन ट्रांज़िशन मोड के माध्यम से है। ClearPass के साथ HPE Aruba MPSK अत्यधिक स्केलेबल है; WPA3 MPSK सक्रिय विकास में है। Ruckus DPSK3 उपलब्ध सबसे परिपक्व WPA3 प्रति-डिवाइस PSK समाधान है। Juniper Mist एक्सेस एश्योरेंस WPA3 RADIUS PSK जोड़ता है। Fortinet MPSK अपने MPSK प्रोफाइल में स्पष्ट रूप से WPA3-SAE का समर्थन करता है। स्थानीय और RADIUS मोड के लिए Extreme PPSK मजबूत है। UniFi प्राइवेट PSK केवल WPA2 और केवल स्थानीय है। आपके अगले कदमों के लिए: अपने वर्तमान प्रति-डिवाइस PSK डिप्लॉयमेंट का ऑडिट करें, पहचानें कि कौन से डिवाइस WPA3-सक्षम हैं, और एक हाइब्रिड SSID रणनीति तैयार करें जो दोनों की सेवा करे। यदि आप हार्डवेयर रिफ्रेश की योजना बना रहे हैं, तो पुष्टीकृत DPSK3 या WPA3 MPSK समर्थन वाले WiFi 6 या WiFi 7 AP को प्राथमिकता दें। यदि आप यह समझना चाहते हैं कि Purple आपके प्रति-डिवाइस PSK डिप्लॉयमेंट के ऊपर आइडेंटिटी मैनेजमेंट और एनालिटिक्स जोड़ने के लिए आपके विशिष्ट हार्डवेयर विक्रेता के साथ कैसे एकीकृत होता है, तो purple.ai पर जाएं या अपनी अकाउंट टीम से बात करें। इस ब्रीफिंग के लिए बस इतना ही। सुनने के लिए धन्यवाद।