मुख्य सामग्री पर जाएं
हिन्दी

Purple WiFi के साथ Sophos Firewall और Access Points का एकीकरण

यह गाइड Sophos Firewall (XG/XGS) और Sophos AP6/APX एक्सेस पॉइंट्स के Purple WiFi के साथ तकनीकी एकीकरण का विवरण देती है। इसमें बाहरी कैप्टिव पोर्टल रीडायरेक्शन, RADIUS प्रमाणीकरण और अकाउंटिंग कॉन्फ़िगरेशन, Walled Garden सेटअप, स्टाफ WiFi के लिए 802.1X, और हॉस्पिटैलिटी, रिटेल और सार्वजनिक क्षेत्र के स्थानों पर सुरक्षित मल्टी-टेनेंट नेटवर्क अलगाव के लिए Sophos PPSK का उपयोग करके डायनेमिक VLAN असाइनमेंट शामिल है।

📖 9 मिनट का पाठ📝 2,208 शब्द🔧 2 हल किए गए उदाहरण❓ 4 अभ्यास प्रश्न📚 9 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple आर्किटेक्चर ब्रीफिंग में आपका स्वागत है। आज हम एंटरप्राइज नेटवर्क के लिए एक महत्वपूर्ण एकीकरण पर चर्चा कर रहे हैं: Sophos इन्फ्रास्ट्रक्चर, विशेष रूप से Sophos AP6 और APX एक्सेस पॉइंट्स और Sophos XG और XGS फ़ायरवॉल के साथ Purple WiFi को डिप्लॉय करना। यदि आप एक IT मैनेजर, नेटवर्क आर्किटेक्ट, या किसी स्थान का प्रबंधन करने वाले CTO हैं, चाहे वह कोई रिटेल श्रृंखला हो, स्टेडियम हो, या अस्पताल हो, तो यह सत्र आपको इन दो शक्तिशाली प्लेटफ़ॉर्मों को एक साथ निर्बाध रूप से काम करने के लिए एक व्यावहारिक ब्लूप्रिंट देने के लिए डिज़ाइन किया गया है। आइए संदर्भ सेट करें। Sophos अपनी मजबूत सुरक्षा स्थिति के लिए प्रसिद्ध है। Sophos Firewall उपकरण डीप पैकेट इंस्पेक्शन और सिंक्रोनाइज़्ड सुरक्षा प्रदान करते हैं। हालाँकि, जब Guest WiFi की बात आती है, तो आप केवल सुरक्षा नहीं चाहते हैं। आप व्यावसायिक मूल्य चाहते हैं। आप जनसांख्यिकीय डेटा कैप्चर करना चाहते हैं, विज़िटर के व्यवहार को समझना चाहते हैं, और मार्केटिंग निवेश पर रिटर्न (ROI) प्राप्त करना चाहते हैं। यहीं पर Purple काम आता है। Purple को एक बाहरी कैप्टिव पोर्टल के रूप में एकीकृत करके, आप गेस्ट आइडेंटिटी मैनेजमेंट, GDPR सहमति और सोशल लॉगिन के भारी काम को Purple के क्लाउड RADIUS पर स्थानांतरित कर देते हैं, जबकि Sophos Firewall को वह करने देते हैं जो वह सबसे अच्छा करता है: परिधि (perimeter) को सुरक्षित करना। तो, यह वास्तव में बैकएंड पर कैसे काम करता है? आइए तकनीकी गहन विश्लेषण में चलते हैं। यह आर्किटेक्चर मानक RADIUS प्रोटोकॉल और HTTP रीडायरेक्शन पर निर्भर करता है। जब कोई स्थान उपयोगकर्ता Sophos AP द्वारा प्रसारित आपके ओपन Guest WiFi SSID से जुड़ता है, तो Sophos Firewall उस शुरुआती वेब अनुरोध को इंटरसेप्ट करता है। एक बुनियादी, स्थानीय रूप से संग्रहीत पोर्टल पेज दिखाने के बजाय, फ़ायरवॉल क्लाइंट को Purple के क्लाउड-होस्टेड स्प्लैश पेज पर रीडायरेक्ट करता है। अब, यहाँ महत्वपूर्ण अवधारणा है: Walled Garden। इस प्री-ऑथेंटिकेशन चरण के दौरान, उपयोगकर्ता के पास इंटरनेट एक्सेस नहीं होता है। लेकिन उन्हें पोर्टल ग्राफिक्स लोड करने की आवश्यकता होती, और उन्हें लॉगिन करने के लिए Facebook या Google तक पहुँचने की आवश्यकता हो सकती है। Walled Garden, Sophos Firewall पर कॉन्फ़िगर की गई एक सख्त अनुमति सूची (allowlist) है जो इन विशिष्ट डोमेन पर ट्रैफ़िक की अनुमति देती है। एक बार जब उपयोगकर्ता प्रमाणित हो जाता है, तो Purple का प्लेटफ़ॉर्म Sophos Firewall को वापस एक RADIUS Access-Accept संदेश भेजता है। फ़ायरवॉल फिर स्विच को चालू करता है, सेशन की स्थिति को प्रमाणित में बदलता है, और उपयोगकर्ता को आपकी पोस्ट-ऑथेंटिकेशन फ़ायरवॉल नीति में भेज देता है। आइए RADIUS कॉन्फ़िगरेशन के बारे में अधिक विस्तार से बात करें, क्योंकि यहीं पर सटीकता मायने रखती है। Purple आपको RADIUS क्रेडेंशियल के दो सेट प्रदान करता है: एक पोर्ट 1812 पर प्रमाणीकरण के लिए, और एक पोर्ट 1813 पर अकाउंटिंग के लिए। दोनों को कॉन्फ़िगर किया जाना चाहिए। अकाउंटिंग सर्वर वैकल्पिक नहीं है। यह वह तंत्र है जिसके द्वारा Sophos Firewall सेशन डेटा की रिपोर्ट वापस Purple को देता है, जिसमें अवधि, खपत की गई बैंडविड्थ और सेशन समाप्त होने की घटनाएं शामिल हैं। सटीक अकाउंटिंग डेटा के बिना, आपका Purple एनालिटिक्स डैशबोर्ड अपूर्ण या गलत विज़िटर मेट्रिक्स दिखाएगा। अपने अकाउंटिंग अंतरिम अंतराल को 120 सेकंड पर सेट करें। यह वास्तविक समय की दृश्यता और नेटवर्क ओवरहेड के बीच एक अच्छा संतुलन प्रदान करता है। अब आइए एक ऐसे परिदृश्य के बारे में बात करते हैं जो एंटरप्राइज डिप्लॉयमेंट में लगातार सामने आता है: मल्टी-टेनेंट WiFi। एक कोवर्किंग स्पेस, BTR आवासीय ब्लॉक, या PBSA भवन के बारे में सोचें। आपके पास उपयोगकर्ताओं के कई अलग-अलग समूह हैं जिन्हें WiFi एक्सेस की आवश्यकता है, लेकिन उन्हें नेटवर्क स्तर पर एक-दूसरे से पूरी तरह से अलग होना चाहिए। प्रत्येक टेनेंट के लिए एक अलग SSID प्रसारित करना व्यावहारिक नहीं है। यह रेडियो फ्रीक्वेंसी कंजेशन पैदा करता है और प्रबंधित करने के लिए एक परिचालन दुःस्वप्न है। इसका उत्तर Sophos Private Pre-Shared Keys, या PPSK है, जो डायनेमिक VLAN असाइनमेंट के साथ संयुक्त है। यह इस तरह काम करता है। आप अपने Sophos AP6 एक्सेस पॉइंट्स पर एक एकल SSID कॉन्फ़िगर करते हैं। फिर आप प्रत्येक टेनेंट या उपयोगकर्ता समूह को एक विशिष्ट पासफ़्रेज़ जारी करते हैं। जब कोई डिवाइस कनेक्ट होता है और अपनी विशिष्ट की (key) प्रस्तुत करता है, तो Sophos AP RADIUS के माध्यम से उस की को प्रमाणित करता है। RADIUS सर्वर Access-Accept संदेश में एक विशिष्ट VLAN ID विशेषता लौटाता है। AP उपयोगकर्ता के ट्रैफ़िक को उस VLAN ID के साथ डायनेमिक रूप से टैग करता है, जिससे वे अपने समर्पित नेटवर्क सेगमेंट पर आ जाते हैं। आइडेंटिटी-आधारित नेटवर्किंग एक्शन में। एक SSID, कई पृथक नेटवर्क, अतिरिक्त प्रसारणों से शून्य रेडियो फ्रीक्वेंसी ओवरहेड। इस आर्किटेक्चर का एक महत्वपूर्ण अनुपालन लाभ भी है। PCI-DSS आवश्यकताओं के तहत, Guest WiFi नेटवर्क को कार्डधारक डेटा को संभालने वाले किसी भी नेटवर्क सेगमेंट से पूरी तरह से अलग होना चाहिए। गेस्ट SSID को एक समर्पित VLAN पर रखकर और सभी RFC 1918 निजी IP स्पेस गंतव्यों को ब्लॉक करने के लिए Sophos Firewall पर सख्त फ़ायरवॉल नीतियां लागू करके, आप इस आवश्यकता को स्पष्ट रूप से पूरा करते हैं। Purple, जो 80,000 लाइव स्थानों पर काम करता है और जिसने 2024 में 440 मिलियन लॉगिन प्रोसेस किए हैं, ISO 27001 प्रमाणित, GDPR अनुपालन और Cyber Essentials प्रमाणित है, इसलिए अनुपालन की कहानी पहचान लेयर तक भी फैली हुई है। अब आइए कार्यान्वयन सिफारिशों पर चलते हैं। जब आप इसे सेट कर रहे होते हैं, तो आपको IP असाइनमेंट के संबंध में एक महत्वपूर्ण निर्णय लेना होता है: NAT मोड बनाम Bridge मोड। यदि आप लगभग पचास से सौ समवर्ती गेस्ट कनेक्शन के साथ एक छोटा रिटेल स्टोर डिप्लॉय कर रहे हैं, तो NAT मोड पूरी तरह से पर्याप्त है। Sophos AP एक समर्पित आंतरिक सबनेट से गेस्ट्स को DHCP पते सौंपता है और ट्रैफ़िक बाहर निकलने पर उनका अनुवाद (translate) करता है। यह सरल है और इसके लिए न्यूनतम अतिरिक्त इन्फ्रास्ट्रक्चर की आवश्यकता होती है। लेकिन यदि आप एक उच्च-घनत्व वाला वातावरण डिप्लॉय कर रहे हैं, जैसे कि पांच सौ कमरों का होटल, कई समवर्ती कार्यक्रमों वाला एक सम्मेलन केंद्र, या एक स्टेडियम, तो आपको Bridge मोड का उपयोग करना चाहिए। Bridge मोड में, Sophos AP गेस्ट ट्रैफ़िक को सीधे एक समर्पित VLAN पर भेजता है, जिससे आपके कोर एंटरप्राइज DHCP सर्वर लोड को संभाल सकते हैं। यह पीक कनेक्शन इवेंट्स के दौरान एक्सेस पॉइंट या फ़ायरवॉल को DHCP बॉटलनैक बनने से रोकता है। Bridge मोड यह भी सुनिश्चित करता है कि Purple प्लेटफ़ॉर्म वास्तविक क्लाइंट IP पता देखे, जो सटीक एनालिटिक्स और समस्या निवारण के लिए महत्वपूर्ण है। आइए चरण-दर-चरण कॉन्फ़िगरेशन अनुक्रम के बारे में बात करें, क्योंकि यहाँ क्रम मायने रखता है। Purple पोर्टल से शुरुआत करें। अपने RADIUS सर्वर क्रेडेंशियल प्राप्त करें: सर्वर IP पते, साझा रहस्य, कैप्टिव पोर्टल URL और रीडायरेक्ट URL। Sophos कॉन्फ़िगरेशन को छूने से पहले ये चार महत्वपूर्ण जानकारियां हैं जिनकी आपको आवश्यकता है। फिर, Sophos Central या अपने स्थानीय फ़ायरवॉल प्रबंधन इंटरफ़ेस पर जाएँ। पहले अपने RADIUS सर्वर परिभाषित करें, 1812 पर प्रमाणीकरण, 1813 पर अकाउंटिंग। फिर Hotspot Settings के अंतर्गत अपना Walled Garden कॉन्फ़िगर करें। इसके बाद, अपना गेस्ट SSID बनाएं, एन्क्रिप्शन को Open पर सेट करें, कैप्टिव पोर्टल सक्षम करें, और Purple पोर्टल URL दर्ज करें। और अंत में, अपने पोस्ट-ऑथेंटिकेशन फ़ायरवॉल नियम परिभाषित करें। विशेष रूप से Walled Garden के लिए, आपको न्यूनतम रूप से निम्नलिखित डोमेन की अनुमति देनी होगी: Purple पोर्टल डोमेन, आमतौर पर region1.purpleportal.net; venuewifi.com; और कोई भी सोशल लॉगिन डोमेन जिसका आपके गेस्ट उपयोग करेंगे, जैसे कि facebook.com, accounts.google.com, और उनके संबंधित CDN डोमेन। यदि आप आइडेंटिटी फेडरेशन के लिए Microsoft Entra ID या Okta का उपयोग कर रहे हैं, तो उन डोमेन को भी शामिल किया जाना चाहिए। कमियों के बारे में क्या? डिप्लॉयमेंट आमतौर पर कहाँ गलत होते हैं? बिना किसी संदेह के, नंबर एक समस्या एक अपूर्ण Walled Garden है। यदि कोई गेस्ट कनेक्ट होता है और उसे खाली स्क्रीन या कनेक्शन टाइमआउट मिलता है, तो इसका लगभग हमेशा मतलब होता है कि Sophos Firewall प्रमाणीकरण से पहले Purple की CSS फ़ाइलों, JavaScript संपत्तियों, या सोशल लॉगिन API तक पहुंच को ब्लॉक कर रहा है। आपको यह सुनिश्चित करना होगा कि उस प्री-ऑथेंटिकेशन नीति में प्रत्येक आवश्यक डोमेन को स्पष्ट रूप से अनुमति दी गई है। Purple आवश्यक डोमेन की एक व्यापक सूची प्रदान करता है। इसका पूरा उपयोग करें। इसके अलावा, DNS को न भूलें। अप्रमाणित क्लाइंट्स को DNS प्रश्नों को रिज़ॉल्व करने की अनुमति दी जानी चाहिए, अन्यथा रीडायरेक्ट काम नहीं करेगा। डिवाइस को पेज लोड करने का प्रयास करने से पहले ही Purple पोर्टल होस्टनाम को रिज़ॉल्व करने की आवश्यकता होती है। दूसरा सबसे आम नुकसान प्रमाणपत्र त्रुटियां हैं। सुनिश्चित करें कि आपका Sophos Firewall रीडायरेक्शन इंटरफ़ेस के लिए एक वैध, सार्वजनिक रूप से विश्वसनीय SSL प्रमाणपत्र प्रस्तुत कर रहा है। यदि आप डिफ़ॉल्ट स्व-हस्ताक्षरित प्रमाणपत्र का उपयोग करते हैं, तो आधुनिक iPhones और Android डिवाइस महत्वपूर्ण सुरक्षा चेतावनियाँ देंगे, और आपके गेस्ट कनेक्शन को पूरी तरह से छोड़ देंगे। यह विशेष रूप से हॉस्पिटैलिटी वातावरण में एक गंभीर समस्या है जहाँ गेस्ट अनुभव सर्वोपरि है। तीसरा नुकसान RADIUS टाइमआउट त्रुटियां हैं। यदि पोर्टल लोड होता है लेकिन प्रमाणीकरण लगातार विफल रहता है, तो सत्यापित करें कि साझा रहस्य आपके Sophos कॉन्फ़िगरेशन और Purple पोर्टल के बीच बिल्कुल मेल खाते हैं। एक भी अक्षर का अंतर होने पर सभी प्रमाणीकरण प्रयास चुपचाप विफल हो जाएंगे। यह भी सत्यापित करें कि कोई मध्यवर्ती फ़ायरवॉल आपके Sophos इन्फ्रास्ट्रक्चर और Purple के क्लाउड RADIUS सर्वर के बीच UDP पोर्ट 1812 और 1813 को ब्लॉक नहीं कर रहा है। आइए ग्राहकों से मिलने वाले सबसे आम सवालों के आधार पर एक रैपिड-फायर प्रश्न और उत्तर सत्र के साथ समाप्त करें। प्रश्न एक: क्या Purple का उपयोग करने से मेरी Sophos Firewall सुरक्षा नीतियां बायपास हो जाती हैं? बिल्कुल नहीं। Purple प्रमाणीकरण और पहचान कैप्चर को संभालता है। एक बार प्रमाणित होने के बाद, सभी गेस्ट ट्रैफ़िक आपके Sophos Firewall की पोस्ट-ऑथेंटिकेशन नीति के माध्यम से प्रवाहित होते हैं। यह वही जगह है जहाँ आप वेब फ़िल्टरिंग लागू करते हैं, पीयर-टू-पीयर ट्रैफ़िक को ब्लॉक करते हैं, और बैंडविड्थ को आकार देते हैं। इसे इस तरह सोचें: प्री-ऑथेंटिकेशन लॉगिन की अनुमति देने के लिए उदार है; पोस्ट-ऑथेंटिकेशन नेटवर्क की सुरक्षा के लिए सख्त है। प्रश्न दो: क्या मुझे स्थानीय RADIUS सर्वर डिप्लॉय करने की आवश्यकता है? नहीं। Purple RADIUS-as-a-Service प्रदान करता है। आप Sophos APs को सीधे Purple के क्लाउड RADIUS IP पतों पर इंगित करने के लिए कॉन्फ़िगर करते हैं। गेस्ट नेटवर्क के लिए FreeRADIUS या Windows NPS को डिप्लॉय और बनाए रखने की कोई आवश्यकता नहीं है। प्रश्न तीन: क्या मैं Sophos AP6 और पुरानी APX श्रृंखला दोनों के साथ Purple का उपयोग कर सकता हूँ? हाँ। दोनों हार्डवेयर पीढ़ियों में एकीकरण दृष्टिकोण सुसंगत है। हालाँकि, ध्यान दें कि Sophos ने APX सीरीज़ के लिए 31 दिसंबर, 2027 की एंड-ऑफ-लाइफ तारीख की घोषणा की है। यदि आप एक नए डिप्लॉयमेंट की योजना बना रहे हैं, तो AP6 सीरीज़ में निवेश करें, जो WiFi 6 और WiFi 6E का समर्थन करती है। प्रश्न चार: GDPR अनुपालन के बारे में क्या? Purple पोर्टल स्तर पर स्पष्ट सहमति कैप्चर करता है, प्रमाणीकरण से पहले आपके नियम और शर्तें और डेटा प्रोसेसिंग नोटिस प्रस्तुत करता है। यह सहमति डेटा Purple प्लेटफ़ॉर्म के भीतर संग्रहीत किया जाता है और ऑडिट योग्य है। Sophos Firewall की भूमिका विशुद्ध रूप से नेटवर्क प्रवर्तन (enforcement) की है। आज की ब्रीफिंग के मुख्य निष्कर्षों को संक्षेप में प्रस्तुत करने के लिए। पहला: अपने स्टाफ और गेस्ट SSIDs को पूरी तरह से अलग करें। कर्मचारी WPA2-Enterprise के साथ 802.1X पर। गेस्ट बाहरी कैप्टिव पोर्टल के साथ Purple पर। दूसरा: अपने Walled Garden को सावधानीपूर्वक कॉन्फ़िगर करें। यह सबसे आम विफलता बिंदु और सबसे महत्वपूर्ण प्री-ऑथेंटिकेशन कॉन्फ़िगरेशन तत्व है। तीसरा: DHCP बॉटलनैक से बचने और सटीक क्लाइंट IP दृश्यता सुनिश्चित करने के लिए किसी भी उच्च-घनत्व वाले डिप्लॉयमेंट के लिए Bridge मोड का उपयोग करें। चौथा: RADIUS प्रमाणीकरण और अकाउंटिंग सर्वर दोनों को कॉन्फ़िगर करें। यदि आप सार्थक एनालिटिक्स चाहते हैं तो अकाउंटिंग वैकल्पिक नहीं है। पांचवां: डायनेमिक VLAN असाइनमेंट के साथ आइडेंटिटी-आधारित नेटवर्किंग को सक्षम करने के लिए मल्टी-टेनेंट वातावरण के लिए Sophos PPSK का लाभ उठाएं। एक SSID, कई पृथक नेटवर्क। छठा: पोस्ट-ऑथेंटिकेशन के बाद Sophos सुरक्षा नीतियां सख्ती से लागू करें। वेब फ़िल्टरिंग, एप्लिकेशन नियंत्रण और बैंडविड्थ शेपिंग सभी को पोस्ट-ऑथेंटिकेशन फ़ायरवॉल नीति में लागू किया जाना चाहिए। इस एकीकरण को सही ढंग से निष्पादित करके, आप Guest WiFi को एक लागत केंद्र से एक अनुपालन, सुरक्षित और राजस्व उत्पन्न करने वाली संपत्ति में बदल देते हैं। Sophos सुरक्षा की गहराई और Purple की मार्केटिंग इंटेलिजेंस का संयोजन किसी भी स्थान ऑपरेटर के लिए वास्तव में शक्तिशाली है जो अपने गेस्ट अनुभव और डेटा रणनीति को गंभीरता से लेना चाहता है। Purple आर्किटेक्चर ब्रीफिंग सुनने के लिए धन्यवाद। यदि आप अपनी विशिष्ट डिप्लॉयमेंट आवश्यकताओं पर चर्चा करना चाहते हैं, तो समाधान टीम से बात करने के लिए purple.ai पर जाएं।

header_image.png

執行摘要

如果您運行 Sophos 基礎架構並需要部署可收集第一方數據的 Guest WiFi ，本指南將為您提供確切的設定步驟。Purple 與 Sophos Firewall（XG 和 XGS 系列）以及 Sophos AP6/APX 無線基地台整合，作為外部 Captive Portal，將訪客身分管理、GDPR 同意書收集和社群登入處理卸載到 Purple 的雲端 RADIUS。您的 Sophos Firewall 將繼續對所有流量執行深層封包檢測與統一威脅管理。最終結果：一個符合規範且細分的網路，訪客透過品牌化的 Purple 網頁驗證，員工透過 WPA2-Enterprise 的 802.1X 連線，而多租戶環境則使用 Sophos 私有預共用金鑰 (PPSK) 進行動態 VLAN 分配。Purple 在全球 80,000 多個實體場域運行，並在 2024 年處理了 4.4 億次登入（Purple 內部數據，2024 年）。它已獲得 ISO 27001 認證、符合 GDPR 規範，並獲得 Cyber Essentials 認證。

技術深度解析

重新導向的運作原理

此整合使用標準 RADIUS 協定和 HTTP 重新導向。當場域使用者在 Sophos AP6 或 APX 無線基地台上與您的開放式 Guest WiFi SSID 建立關聯時，Sophos Firewall 會攔截該未驗證裝置的第一個 HTTP 請求。防火牆不會提供本地儲存的登入頁面，而是發出 302 重新導向到 Purple 的雲端代管登入網頁 URL — 通常格式為 https://region1.purpleportal.net/access/。

在此預先驗證階段，裝置處於 Walled Garden（圍牆花園）內：這是一個未驗證裝置可以存取的嚴格網域白名單。此白名單必須包含 Purple 的入口網站資源、任何社群登入提供商（Facebook、Google、LinkedIn）以及您使用的任何身分識別同盟端點，例如 Microsoft Entra ID 或 Okta。一旦使用者在 Purple 登入網頁上完成驗證，Purple 的雲端 RADIUS 就會向 Sophos Firewall 發送 RADIUS Access-Accept 訊息。防火牆會將工作階段狀態更新為已驗證，並套用您驗證後的安全性原則。

RADIUS 驗證與帳務

Purple 提供 RADIUS 即服務（RADIUS-as-a-Service）。您不需要為訪客網路部署 FreeRADIUS、Windows NPS 或任何本地 RADIUS 基礎架構。只需將 Sophos Firewall 設定為直接指向 Purple 的雲端 RADIUS IP 位址即可。

需要兩種 RADIUS 功能：

功能 協定 連接埠 用途
驗證 UDP 1812 驗證訪客憑證並傳回 Access-Accept 或 Access-Reject
帳務 UDP 1813 向 Purple 回報工作階段開始、過渡更新和工作階段結束

帳務處理並非選配。它是 Sophos Firewall 用來將工作階段持續時間、消耗的頻寬以及工作階段終止事件回報給 Purple 的機制。若沒有帳務資料，您的 WiFi 分析 儀表板將會顯示不完整的訪客指標。請將帳務中期時間間隔設定為 120 秒，以在即時可見性與網路負載之間取得良好平衡。

Sophos 設定與 Purple 傳送門之間的 RADIUS 共用密鑰必須完全一致。單一字元的差異都會導致無聲的驗證失敗。

Walled Garden 設定

Walled Garden 是最重要的前置驗證設定元素，也是最常見的部署失敗原因。請在 Sophos Firewall 的 無線 > 熱點設定 (Wireless > Hotspot Settings) 下進行設定。

您必須至少允許以下網域：

類別 允許的網域
Purple 核心 region1.purpleportal.net, venuewifi.com, cloudfront.net
付款（如適用） stripe.com
天氣小工具（如使用） openweathermap.org
Facebook 登入 facebook.com, fbcdn.net, connect.facebook.net, akamaihd.net
Google 登入 accounts.google.com, googleapis.com, gstatic.com
LinkedIn 登入 linkedin.com, licdn.net, licdn.com
Microsoft Entra ID login.microsoftonline.com, login.microsoft.com

務必允許未經驗證用戶端的 DNS 解析（UDP 53 埠）。若沒有 DNS，裝置將無法解析 Purple 傳送門的主機名稱，重新導向在開始前就會失敗。

員工 WiFi 的 802.1X

針對員工 WiFi，請搭配 WPA2-Enterprise 或 WPA3-Enterprise 使用 802.1X（IEEE 802.1X 基於連接埠的網路存取控制）。設定 Sophos AP 以針對您的內部 RADIUS 伺服器或雲端身分識別提供者（例如 Microsoft Entra ID）使用 EAP-TLS（基於憑證）或 PEAP-MSCHAPv2（使用者名稱/密碼）。

RADIUS 伺服器會傳回 VLAN 分配屬性，以將已驗證的員工裝置分配到正確的內部 VLAN。這與下方針對 PPSK 所述的動態 VLAN 機制相同，並套用於企業驗證。

請將員工 WiFi 的 SSID 與 VLAN，與 Guest WiFi 的 SSID 與 VLAN 完全隔離。切勿將訪客流量橋接到管理或企業子網。如果任何網路區段處理持卡人資料，此隔離是 PCI DSS 的規範要求。

適用於多租戶環境的 Sophos PPSK 與動態 VLAN 分配

在多租戶環境（例如共享工作空間、租賃型住宅大樓、學生宿舍或零售特許櫃位）中，您需要在網路層級隔離不同的使用者群組，而無需為每個租戶廣播個別的 SSID。廣播多個 SSID 會增加無線電頻率開銷並使管理複雜化。

Sophos AP6 無線基地台支援 PPSK (Private Pre-Shared Key)，也稱為 Identity PSK 或每使用者 PSK。PPSK 允許單一 SSID 接受多個唯一的密碼，每個密碼均透過 RADIUS 屬性對應到特定的 VLAN。

動態 VLAN 分配流程如下：

  1. 住戶或成員連線到該單一共享 SSID 並輸入其唯一的 PPSK。
  2. Sophos AP 向配置的 RADIUS 伺服器發送 RADIUS Access-Request，其中包含 PPSK 作為憑證。
  3. RADIUS 伺服器驗證 PPSK 並傳回包含以下 VLAN 屬性的 Access-Accept：
    • Tunnel-Type = VLAN (值 13)
    • Tunnel-Medium-Type = IEEE-802 (值 6)
    • Tunnel-Private-Group-ID = `` (例如 100)
  4. Sophos AP 使用傳回的 VLAN ID 標記該裝置的流量，並將其置於正確的隔離網路區段中。

這就是基於身分識別的網路運作方式 (Identity-Based Networking)：單一 SSID，多個隔離 VLAN，由使用者的唯一憑證驅動。

ppsk_vlan_diagram.png

architecture_overview.png

實作指南

步驟 1：取得 Purple 憑證

登入 Purple 入口網站。導覽至 Management > Locations > [您的場所] > Hardware > Add Hardware。選擇 Sophos 作為硬體類型。入口網站將顯示：

  • 主要與次要 RADIUS 伺服器 IP 位址
  • RADIUS 共用金鑰 (Shared Secret)
  • Captive Portal URL (例如 https://region1.purpleportal.net/access/)
  • 重新導向 URL (例如 https://region1.purpleportal.net/access/?res=success)
  • 完整的 Walled Garden 網域名單

請先記下這四個值再繼續。

步驟 2：在 Sophos Firewall 上設定 RADIUS 伺服器

導覽至 Sophos Firewall 上的 Authentication > Servers (或針對 AP 管理的配置，導覽至 Sophos Central > Wireless > SSIDs > [SSID] > Advanced Settings)。

  1. 按一下 Add 以建立新的 RADIUS 伺服器項目。
  2. 將 Server IP 設定為主要的 Purple RADIUS IP 位址。
  3. 將 Authentication port 設定為 1812。
  4. 將 Accounting port 設定為 1813。
  5. 輸入來自 Purple 入口網站的 Shared secret。
  6. 對次要 Purple RADIUS 伺服器重複此步驟。

對於透過 Sophos Central 管理的 Sophos AP6，請在 SSID 的 Advanced Settings > Backend authentication 區段下設定 RADIUS 伺服器。

步驟 3：設定 Walled Garden

導覽至 Sophos Firewall 上的 Wireless > Hotspot Settings。

  1. 在 Walled garden 下，按一下 Add new item。
  2. 新增 Purple 提供之清單中的每個網域。
  3. 確保未驗證的用戶端可透過驗證前防火牆規則允許 DNS (UDP 連接埠 53)。
  4. 按一下 Apply。

步驟 4：建立訪客 SSID

導覽至 Wireless > Wireless Settings > SSIDs (或 Sophos Central > Wireless > SSIDs)。

  1. 按一下 Add SSID。
  2. 將 Encryption mode 設定為 Open (無預共用金鑰)。
  3. 在 Advanced Settings > Captive portal 下，啟用 captive portal。
  4. 選擇 Backend authentication 作為驗證類型。
  5. 輸入 Purple RADIUS 伺服器 IP、連接埠 1812 與共用密鑰。
  6. 將 Redirect URL 設定為 Purple splash page URL。
  7. 將 SSID 指派給專用的訪客 VLAN (例如：VLAN 100)。
  8. 啟用 Client isolation 以防止訪客之間的流量互通。

步驟 5：建立驗證後防火牆規則

導覽至 Rules and policies > Firewall rules。

  1. 建立一條允許從訪客 VLAN 到 WAN 區域之流量的規則。
  2. 套用網頁篩選以封鎖惡意類別。
  3. 套用流量整形以限制每位使用者的頻寬 (建議訪客網路設定為：下載 10 Mbps，上傳 5 Mbps)。
  4. 明確封鎖所有從訪客 VLAN 到任何包含 POS 系統、PMS 或企業資源之內部 VLAN 的流量。

步驟 6：針對多租戶環境設定 PPSK (選用)

  1. 在 Sophos Central 中，建立一個 WPA2-Personal SSID。
  2. 在 SSID 的進階設定下啟用 RADIUS VLAN assignment。
  3. 設定 RADIUS 伺服器以接受 PPSK 憑證，並根據使用者群組傳回對應的 VLAN 屬性。
  4. 透過 Purple 入口網站或您的 RADIUS 管理介面，發放唯一的 PPSK 給每個租戶群組。

最佳實踐

在 Layer 2 與 Layer 3 進行流量隔離。 務必將訪客 WiFi 置於專用 VLAN 上。建立明確的防火牆規則，以封鎖所有從訪客 VLAN 到內部網路區段上 RFC 1918 位址空間的流量。這符合 PCI DSS 網路分割要求，並可在訪客裝置受侵害時防止橫向移動。

針對高密度部署使用橋接模式。 在有超過 200 個同時訪客連線的環境中 (例如飯店、體育館、會議中心)，請將訪客 SSID 設定為橋接模式。這會將流量導入由企業級 DHCP 伺服器處理的 VLAN，防止 Sophos AP 或防火牆成為 DHCP 效能瓶頸。一間擁有 500 間客房、入住率為 70% 且每位房客有兩台裝置的飯店，會同時產生大約 700 個 DHCP 租約。企業級 DHCP 可以處理此類需求；AP 內建的 DHCP 則無法。

使用受公開信任的 SSL 憑證。 設定 Sophos 防火牆，為重新導向介面提供由公開 CA 簽署的憑證。自簽章憑證會在 iOS 與 Android 上產生瀏覽器安全性警告，進而提高入口網站流失率。這在 旅宿業 環境中尤為重要，因為訪客體驗會直接影響評價分數。 設定 RADIUS 驗證和記帳。 驗證（連接埠 1812）用於授權存取。記帳（連接埠 1813）用於追蹤使用情況。兩者皆為 Purple 的分析功能正常運作所必需。記帳資料可驅動 Purple 儀表板中的工作階段持續時間指標、頻寬報告以及重複訪客識別。

在正式上線前規劃您的 Walled Garden（圍牆花園）。 在部署到生產環境之前，請至少在一部 iOS 裝置和一部 Android 裝置上測試入口網站。這兩個平台具有不同的 Captive Portal 偵測機制，且在 Walled Garden 設定不完整時可能會有不同的行為。在 pre-authentication 階段，使用 Sophos 防火牆上的封包擷取功能來識別任何遭封鎖的網域。

在驗證後套用 Sophos Synchronized Security。 Sophos AP6 無線基地台支援 Synchronized Security，該技術與 Sophos Endpoint Protection 整合。如果偵測到訪客裝置受危害（紅色 Security Heartbeat 狀態），AP 可以自動將該裝置限制在 Walled Garden 內，無需人工干預即可將其與網際網路隔離。對於 醫療保健 和 零售 環境而言，這是一項極具意義的安全控制措施。

如需更廣泛的企業 WiFi 安全背景資訊，請參閱我們的指南： 企業 WiFi 安全：2026 年完整指南 。

疑難排解與風險緩釋

問題症狀：入口網站頁面無法載入（空白畫面或逾時） 原因：Walled Garden 設定不完整。Sophos 防火牆在驗證前封鎖了對 Purple 的 CSS/JS 資產或社群登入 API 的存取。 解決方法：在 Sophos 防火牆上針對訪客 VLAN 啟用封包擷取。識別遭封鎖的網域。將其新增至 Walled Garden。確認在驗證前已允許 DNS 解析。

問題症狀：入口網站可載入，但驗證始終失敗 原因：RADIUS 共享金鑰不比對，或 UDP 連接埠 1812/1813 遭到封鎖。 解決方法：逐字驗證 Sophos 設定和 Purple 入口網站中的共享金鑰。在 Sophos CLI 中使用 nmap -sU -p 1812,1813 來確認 UDP 可達性。

問題症狀：分析資料顯示工作階段持續時間為零且無頻寬資料 原因：未設定 RADIUS 記帳或記帳遭到封鎖。 解決方法：驗證記帳伺服器是否已在連接埠 1813 上配置正確的共享金鑰。檢查是否有任何中間 ACL 封鎖了 UDP 1813 的輸出。

問題症狀：訪客裝置上出現憑證警告 原因：Sophos 防火牆在重定向介面上使用自我簽署憑證。 解決方法：將由公開 CA（Let's Encrypt、DigiCert 或類似機構）簽署的憑證上傳至 Sophos 防火牆，並在 Wireless > Hotspot Settings 下將其指派為登入頁面憑證。

問題症狀：PPSK 使用者進入錯誤的 VLAN 原因：RADIUS VLAN 屬性設定不正確，或 Sophos AP 不接受動態 VLAN 指派。 修正：驗證 RADIUS 伺服器傳回 Tunnel-Type = 13、Tunnel-Medium-Type = 6 與 Tunnel-Private-Group-ID = 。確認 Sophos Central 中 SSID 的 RADIUS VLAN 分配已啟用。

投資報酬率（ROI）與業務影響

在 Sophos 基礎架構上部署 Purple，可將訪客 WiFi 從公用事業成本轉化為第一方數據資產。其商業案例顯而易見。

一家擁有 200 間客房、入住率為 70% 且平均停留 1.8 晚的飯店，每年透過 Purple 的自主選擇加入頁面將產生約 50,000 個已驗證的訪客個人資料。每份資料均包含姓名、電子郵件地址、人口統計數據及造訪記錄。這些數據可直接匯入電子郵件行銷活動，顯著提升直接訂房量與餐飲營收。

針對 零售 環境，Purple 的分析功能可識別停留時間、重複造訪頻率以及客流高峰期。擁有 50 個據點的零售連鎖店可以使用這些數據來優化人員配置、調整促銷時機，並衡量店內活動對造訪頻率的影響。

針對公共部門和 交通運輸 營運商，Purple 提供可審計的 GDPR 同意記錄，並支援關鍵服務營運商符合英國《網路與資訊系統（NIS）法規》。

Purple 達 99.999% 的可用性 SLA 可確保訪客驗證服務不會成為您網路的單一故障點。雲端 RADIUS 架構意味著無需維護、修補或更換地端驗證伺服器。

如需相關整合指南，請參閱 Alta Labs 與 Purple WiFi 整合：設定與 Captive Portal 組態 指南。

मुख्य परिभाषाएं

कैप्टिव पोर्टल

एक वेब पेज जो उपयोगकर्ता के शुरुआती HTTP अनुरोध को इंटरसेप्ट करता है और इंटरनेट एक्सेस देने से पहले इंटरैक्शन (प्रमाणीकरण, सहमति, या भुगतान) की आवश्यकता होती है।

Guest WiFi के लिए प्राथमिक इंटरफ़ेस। Purple क्लाउड में कैप्टिव पोर्टल को होस्ट करता है; Sophos Firewall अप्रमाणित क्लाइंट्स को इस पर रीडायरेक्ट करता है।

Walled Garden

डोमेन और IP पतों की एक सख्त अनुमति सूची (allowlist) जिसे अप्रमाणित डिवाइस पोर्टल प्रमाणीकरण पूरा करने से पहले एक्सेस कर सकते हैं।

इसमें Purple के पोर्टल डोमेन, सोशल लॉगिन प्रदाता और कोई भी आइडेंटिटी फेडरेशन एंडपॉइंट शामिल होने चाहिए। अपूर्ण Walled Garden पोर्टल लोड विफलताओं का सबसे आम कारण है।

RADIUS (Remote Authentication Dial-In User Service)

एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क से कनेक्ट होने वाले उपयोगकर्ताओं के लिए केंद्रीकृत प्रमाणीकरण, प्राधिकरण और अकाउंटिंग प्रदान करता है। प्रमाणीकरण के लिए UDP पोर्ट 1812 और अकाउंटिंग के लिए 1813 का उपयोग करता है।

Purple RADIUS-as-a-Service प्रदान करता है। Sophos Firewall और APs गेस्ट्स को प्रमाणित करने और सेशन डेटा की रिपोर्ट करने के लिए Purple के क्लाउड RADIUS के साथ संचार करते हैं।

RADIUS अकाउंटिंग

RADIUS का वह घटक जो नेटवर्क उपयोग मेट्रिक्स को ट्रैक करता है, जिसमें सेशन शुरू होने का समय, अवधि, ट्रांसफर किए गए बाइट्स और सेशन समाप्त होने का कारण शामिल है।

Purple के WiFi Analytics के लिए आवश्यक। पोर्ट 1813 पर अकाउंटिंग डेटा के बिना, Purple डैशबोर्ड में सेशन अवधि और बैंडविड्थ मेट्रिक्स अनुपलब्ध होते हैं।

PPSK (Private Pre-Shared Key)

एक WiFi सुरक्षा सुविधा जो एकल SSID को कई विशिष्ट पासफ़्रेज़ स्वीकार करने की अनुमति देती है, जिनमें से प्रत्येक आमतौर पर RADIUS के माध्यम से एक विशिष्ट VLAN या नीति पर मैप किया जाता है।

मल्टी-टेनेंट WiFi डिप्लॉयमेंट में कई SSID प्रसारित किए बिना प्रति-उपयोगकर्ता या प्रति-समूह नेटवर्क अलगाव प्रदान करने के लिए उपयोग किया जाता है। Sophos AP6 डायनेमिक VLAN असाइनमेंट के साथ PPSK का समर्थन करता है।

डायनेमिक VLAN असाइनमेंट

एक प्रक्रिया जहां RADIUS सर्वर Access-Accept संदेश में Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID विशेषताओं को लौटाकर एक्सेस पॉइंट को प्रमाणित उपयोगकर्ता को एक विशिष्ट VLAN पर रखने का निर्देश देता है।

आइडेंटिटी-आधारित नेटवर्क को सक्षम बनाता है। उपयोगकर्ताओं को उनके क्रेडेंशियल के आधार पर सही नेटवर्क सेगमेंट में रखा जाता है, चाहे वे किसी भी भौतिक AP से कनेक्ट हों।

802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए एक IEEE मानक। LAN या WLAN से कनेक्ट होने वाले उपकरणों के लिए एक प्रमाणीकरण ढांचा प्रदान करता है, जिसके लिए एक सप्लीकेंट (क्लाइंट), ऑथेंटिकेटर (AP या स्विच), और प्रमाणीकरण सर्वर (RADIUS) की आवश्यकता होती है।

स्टाफ WiFi के लिए एंटरप्राइज मानक। Sophos AP6, EAP-TLS या PEAP-MSCHAPv2 का उपयोग करके WPA2-Enterprise और WPA3-Enterprise के साथ 802.1X का समर्थन करता है।

Bridge मोड

एक नेटवर्क कॉन्फ़िगरेशन जहां एक्सेस पॉइंट वायरलेस क्लाइंट ट्रैफ़िक को NAT या स्थानीय DHCP किए बिना, सीधे वायर्ड LAN पर टैग किए गए VLAN फ्रेम के रूप में पास करता है।

उच्च-घनत्व वाले डिप्लॉयमेंट के लिए अनुशंसित। DHCP को एंटरप्राइज सर्वर पर स्थानांतरित करता है और यह सुनिश्चित करता है कि सटीक एनालिटिक्स के लिए Purple को वास्तविक क्लाइंट IP पता प्राप्त हो।

फर्स्ट-पार्टी डेटा

आपके अपने चैनलों के माध्यम से सीधे उपयोगकर्ताओं से एकत्र की गई जानकारी, जो आपके स्वामित्व में है, तीसरे पक्षों के साथ साझा नहीं की जाती है या उनसे प्राप्त नहीं की जाती है।

Purple Guest WiFi का प्राथमिक व्यावसायिक मूल्य। कैप्टिव पोर्टल पर सचेत-विकल्प ऑप्ट-इन के माध्यम से कैप्चर किया गया, यह डेटा GDPR-अनुपालन है और थर्ड-पार्टी कुकीज़ से स्वतंत्र है।

हल किए गए उदाहरण

एक 300 कमरों वाले होटल ने Sophos Central के माध्यम से प्रबंधित Sophos AP6 एक्सेस पॉइंट डिप्लॉय किए हैं। उन्हें ब्रांडेड Purple स्प्लैश पेज के माध्यम से गेस्ट्स को प्रमाणित करने की आवश्यकता है और PCI-DSS अनुपालन बनाए रखने के लिए गेस्ट नेटवर्क को VLAN 20 पर प्रॉपर्टी मैनेजमेंट सिस्टम (PMS) से पूरी तरह से अलग करने की आवश्यकता है। होटल को पीक पीरियड्स के दौरान 600 तक समवर्ती गेस्ट कनेक्शन की उम्मीद है।

  1. Sophos Central में, Open एन्क्रिप्शन के साथ 'Hotel Guest WiFi' नाम से एक समर्पित गेस्ट SSID बनाएं। 2. कोर नेटवर्क DHCP सर्वर के माध्यम से 600-डिवाइस DHCP लोड को संभालने के लिए Bridge मोड में SSID को VLAN 100 पर असाइन करें। 3. Advanced Settings के अंतर्गत कैप्टिव पोर्टल को सक्षम करें और Backend authentication चुनें। 4. पोर्ट 1812 पर Purple RADIUS सर्वर IP और Purple पोर्टल से साझा रहस्य दर्ज करें। 5. region1.purpleportal.net, venuewifi.com, और सभी सोशल लॉगिन डोमेन की अनुमति देने के लिए Walled Garden को कॉन्फ़िगर करें। 6. Sophos Firewall पर, वेब फ़िल्टरिंग लागू करके VLAN 100 से WAN ज़ोन में ट्रैफ़िक की अनुमति देने वाला एक फ़ायरवॉल नियम बनाएं। 7. VLAN 100 से VLAN 20 (PMS नेटवर्क) के सभी ट्रैफ़िक को ब्लॉक करने वाला एक स्पष्ट DENY नियम बनाएं। 8. 120 सेकंड के अंतरिम अंतराल के साथ पोर्ट 1813 पर RADIUS अकाउंटिंग कॉन्फ़िगर करें। 9. रीडायरेक्ट इंटरफ़ेस के लिए Sophos Firewall पर एक सार्वजनिक रूप से विश्वसनीय SSL प्रमाणपत्र अपलोड करें। 10. गो-लाइव से पहले iOS और Android दोनों पर परीक्षण करें।
परीक्षक की टिप्पणी: यहाँ Bridge मोड आवश्यक है। 600 समवर्ती कनेक्शनों पर, ऑन-बोर्ड AP DHCP ओवरलोड हो जाएगा। VLAN 100 से VLAN 20 के लिए स्पष्ट DENY नियम PCI-DSS नेटवर्क सेगमेंटेशन आवश्यकताओं को पूरा करता है। सार्वजनिक रूप से विश्वसनीय प्रमाणपत्र iOS 14+ और Android 10+ को सुरक्षा चेतावनियाँ प्रदर्शित करने से रोकता है जिससे पोर्टल छोड़ने की दर बढ़ सकती है। Purple के एनालिटिक्स के काम करने के लिए अकाउंटिंग को कॉन्फ़िगर करना गैर-परक्राम्य है।

एक कोवर्किंग स्पेस ऑपरेटर तीन मंजिलों में 15 टेनेंट कंपनियों का प्रबंधन करता है। प्रत्येक कंपनी को अपने स्वयं के पृथक नेटवर्क सेगमेंट की आवश्यकता होती है। वे वर्तमान में 15 अलग-अलग SSID प्रसारित करते हैं, जिससे महत्वपूर्ण RF कंजेशन होता है। वे टेनेंट्स के बीच सख्त लेयर 2 अलगाव बनाए रखते हुए Sophos AP6 एक्सेस पॉइंट्स का उपयोग करके एकल SSID में समेकित करना चाहते हैं।

  1. प्रत्येक टेनेंट कंपनी को एक विशिष्ट VLAN असाइन करें (जैसे, VLANs 200-214)। 2. Sophos Central में, 'CoWork WiFi' नाम से एक एकल WPA2-Personal SSID बनाएं। 3. SSID पर RADIUS VLAN assignment सक्षम करें। 4. प्रति टेनेंट एक विशिष्ट PPSK संग्रहीत करने और प्रमाणीकरण पर उपयुक्त VLAN विशेषताएँ वापस करने के लिए RADIUS सर्वर (Purple का क्लाउड RADIUS या एक एकीकृत निर्देशिका) को कॉन्फ़िगर करें। 5. Purple पोर्टल के माध्यम से प्रत्येक टेनेंट कंपनी को उनका विशिष्ट PPSK जारी करें। 6. Sophos Firewall पर, टेनेंट VLAN के बीच सभी ट्रैफ़िक को ब्लॉक करने के लिए इंटर-VLAN फ़ायरवॉल नियम कॉन्फ़िगर करें। प्रत्येक VLAN को केवल इंटरनेट तक पहुंच की अनुमति दें। 7. साझा सेवाओं (जैसे, एक साझा प्रिंटर) की आवश्यकता वाले टेनेंट्स के लिए, केवल उन विशिष्ट संसाधनों के लिए स्पष्ट अनुमति नियम बनाएं।
परीक्षक की टिप्पणी: 15 SSID से एक में समेकित करने से प्रति AP प्रति सेकंड 15 बीकन फ्रेम का RF ओवरहेड समाप्त हो जाता है। डायनेमिक VLAN असाइनमेंट के साथ PPSK नेटवर्क लेयर पर अलग SSID के समान अलगाव प्रदान करता है। मुख्य जोखिम RADIUS सर्वर की उपलब्धता है: यदि RADIUS सर्वर अनुपलब्ध है, तो कोई भी टेनेंट कनेक्ट नहीं हो सकता है। इसे कम करने के लिए एक द्वितीयक Purple RADIUS सर्वर डिप्लॉय करें और इसे Sophos Central में फ़ॉलबैक के रूप में कॉन्फ़िगर करें।

अभ्यास प्रश्न

Q1. एक रिटेल श्रृंखला ने 50 स्टोरों में Sophos AP6 एक्सेस पॉइंट डिप्लॉय किए हैं। खरीदार रिपोर्ट करते हैं कि Purple स्प्लैश पेज लोड होने में 30 सेकंड से अधिक का समय लेता है, या पूरी तरह से टाइमआउट हो जाता है। IT टीम ने पुष्टि की है कि RADIUS प्रमाणीकरण सही ढंग से कॉन्फ़िगर किया गया है। इसका सबसे संभावित कारण क्या है और आप इसे कैसे हल करेंगे?

संकेत: विचार करें कि उपयोगकर्ता के प्रमाणीकरण चरण तक पहुँचने से पहले क्या होता है।

मॉडल उत्तर देखें

Walled Garden अपूर्ण है। Sophos Firewall प्रमाणीकरण से पहले Purple की CSS और JavaScript संपत्तियों, या सोशल लॉगिन CDN डोमेन तक पहुंच को ब्लॉक कर रहा है। गेस्ट VLAN के लिए Sophos Firewall पर पैकेट कैप्चर सक्षम करें और अप्रमाणित क्लाइंट्स से ब्लॉक किए गए ट्रैफ़िक को फ़िल्टर करें। ब्लॉक किए गए डोमेन की पहचान करें और उन्हें Wireless > Hotspot Settings के अंतर्गत Walled Garden में जोड़ें। यह भी सत्यापित करें कि प्री-ऑथेंटिकेशन में DNS (UDP पोर्ट 53) की अनुमति है। DNS रिज़ॉल्यूशन के बिना, डिवाइस Purple पोर्टल होस्टनाम को रिज़ॉल्व नहीं कर सकता है और रीडायरेक्ट तुरंत विफल हो जाता है।

Q2. आप Sophos AP6 एक्सेस पॉइंट्स का उपयोग करके 5,000 सीटों वाले स्टेडियम के लिए Guest WiFi डिप्लॉयमेंट डिज़ाइन कर रहे हैं। इवेंट्स के दौरान स्थान को 4,000 समवर्ती प्रशंसक कनेक्शनों की उम्मीद है। क्या आपको गेस्ट SSID को NAT मोड या Bridge मोड में कॉन्फ़िगर करना चाहिए? अपने निर्णय का औचित्य सिद्ध करें।

संकेत: 4,000 समवर्ती कनेक्शनों द्वारा उत्पन्न DHCP लोड पर विचार करें।

मॉडल उत्तर देखें

Bridge मोड। 4,000 समवर्ती कनेक्शनों पर, NAT मोड Sophos APs या फ़ायरवॉल के ऑन-बोर्ड DHCP सर्वर को ओवरलोड कर देगा। Bridge मोड में, APs गेस्ट ट्रैफ़िक को सीधे एक समर्पित VLAN पर भेजते हैं, और एंटरप्राइज DHCP सर्वर IP पता असाइनमेंट को संभालते हैं। यह DHCP समाप्त होने से रोकता है और यह सुनिश्चित करता है कि सटीक एनालिटिक्स के लिए Purple प्लेटफ़ॉर्म को वास्तविक क्लाइंट IP पता प्राप्त हो। Bridge मोड NAT मोड की तुलना में अधिक थ्रूपुट भी प्रदान करता है, जो उच्च-घनत्व वाले इवेंट वातावरण के लिए महत्वपूर्ण है। अपेक्षित पीक लोड के लिए पर्याप्त पतों के साथ कोर नेटवर्क पर एक DHCP स्कोप कॉन्फ़िगर करें, साथ ही 20% बफ़र भी रखें।

Q3. आपका Purple Analytics डैशबोर्ड लॉगिन की सही संख्या दिखाता है, लेकिन सभी सेशन अवधियां शून्य मिनट के रूप में रिपोर्ट की जाती हैं और बैंडविड्थ उपयोग को ट्रैक नहीं किया जाता है। गेस्ट पोर्टल सही ढंग से काम कर रहा है और गेस्ट इंटरनेट ब्राउज़ कर सकते हैं। कौन सा कॉन्फ़िगरेशन तत्व गायब है?

संकेत: प्रमाणीकरण एक्सेस प्रदान करता है। एक्सेस दिए जाने के बाद उपयोग को क्या ट्रैक करता है?

मॉडल उत्तर देखें

RADIUS अकाउंटिंग कॉन्फ़िगर नहीं है या ब्लॉक की जा रही है। पोर्ट 1812 पर प्रमाणीकरण इंटरनेट एक्सेस प्रदान करता है, लेकिन पोर्ट 1813 पर अकाउंटिंग वह तंत्र है जो सेशन की अवधि और बैंडविड्थ डेटा की रिपोर्ट वापस Purple को देता है। यह पुष्टि करने के लिए Sophos Firewall कॉन्फ़िगरेशन की जांच करें कि अकाउंटिंग सर्वर पोर्ट 1813 पर सही साझा रहस्य के साथ Purple RADIUS IP पर सेट है। फिर सत्यापित करें कि Sophos Firewall और Purple के क्लाउड RADIUS सर्वर के बीच किसी भी मध्यवर्ती ACL या फ़ायरवॉल नियम द्वारा UDP पोर्ट 1813 ब्लॉक नहीं है। यह पुष्टि करने के लिए पैकेट कैप्चर का उपयोग करें कि अकाउंटिंग पैकेट Sophos Firewall से बाहर जा रहे हैं और प्रतिक्रियाएं प्राप्त कर रहे हैं।

Q4. एक कोवर्किंग स्पेस ऑपरेटर अपनी 20 टेनेंट कंपनियों में से प्रत्येक को एक पृथक नेटवर्क सेगमेंट देने के लिए Sophos PPSK का उपयोग करना चाहता है। कॉन्फ़िगरेशन के बाद, सभी PPSK उपयोगकर्ता सफलतापूर्वक कनेक्ट होते हैं लेकिन वे सभी एक ही VLAN पर पहुँच जाते हैं, चाहे वे किसी भी PPSK का उपयोग करें। इसका सबसे संभावित कारण क्या है?

संकेत: इस बारे में सोचें कि RADIUS सर्वर को क्या वापस करने की आवश्यकता है और AP को क्या स्वीकार करने की आवश्यकता है।

मॉडल उत्तर देखें

इसके दो संभावित कारण हैं। पहला, RADIUS सर्वर Access-Accept संदेश में सही VLAN विशेषताएँ नहीं लौटा रहा है। सत्यापित करें कि RADIUS सर्वर प्रत्येक PPSK के लिए Tunnel-Type = 13 (VLAN), Tunnel-Medium-Type = 6 (IEEE-802), and Tunnel-Private-Group-ID = सही VLAN ID लौटाता है। दूसरा, Sophos Central में SSID पर RADIUS VLAN असाइनमेंट सक्षम नहीं हो सकता है। SSID की Advanced Settings पर जाएं और पुष्टि करें कि RADIUS VLAN असाइनमेंट चालू है। Access-Accept संदेशों का निरीक्षण करने और पुष्टि करने के लिए कि VLAN विशेषताएँ मौजूद हैं और सही ढंग से स्वरूपित हैं, RADIUS डिबग लॉग या पैकेट कैप्चर का उपयोग करें।

इस श्रृंखला में आगे पढ़ें

Cisco WLC और Catalyst का Purple WiFi के साथ एकीकरण: चरण-दर-चरण गेस्ट एक्सेस गाइड

यह आधिकारिक गाइड Cisco Catalyst 9800 WLCs के Purple WiFi के साथ चरण-दर-चरण एकीकरण का विवरण देती है। इसमें गेस्ट Captive Portal के लिए External Web Authentication, सुरक्षित स्टाफ एक्सेस के लिए 802.1X EAP-TLS, और मल्टी-टेनेंट डायनेमिक VLAN सेगमेंटेशन के लिए Cisco iPSK शामिल है।

गाइड पढ़ें →

Purple WiFi के साथ CommScope Ruckus एकीकरण: सेटअप और कॉन्फ़िगरेशन गाइड

यह तकनीकी संदर्भ मार्गदर्शिका CommScope Ruckus आर्किटेक्चर को Purple WiFi के साथ एकीकृत करने के लिए एक आधिकारिक कॉन्फ़िगरेशन प्लेबुक प्रदान करती है। यह Guest WiFi कैप्टिव पोर्टल, 802.1X के माध्यम से सुरक्षित स्टाफ WiFi, और Ruckus Dynamic PSK का उपयोग करके मल्टी-टेनेंट नेटवर्क आइसोलेशन के लिए चरण-दर-चरण परिनियोजन का विवरण देती है।

गाइड पढ़ें →

Purple WiFi के साथ Allied Telesis Access Points का एकीकरण

यह गाइड Allied Telesis TQ-Series एक्सेस पॉइंट्स को Purple WiFi के साथ एकीकृत करने के लिए एक व्यापक कॉन्फ़िगरेशन प्लेबुक प्रदान करती है। इसमें सुरक्षित मल्टी-टेनेंट परिनियोजन के लिए बाहरी कैप्टिव पोर्टल रीडायरेक्शन, 802.1X RADIUS प्रमाणीकरण, और Private Pre-Shared Keys (PPSK) का उपयोग करके डायनेमिक VLAN स्टीयरिंग शामिल है।

गाइड पढ़ें →