तीनों SSIDs पर नियंत्रण: guest, staff और IoT WiFi सेटअप गाइड

पॉडकास्ट स्क्रिप्ट: 'सभी को नियंत्रित करने के लिए तीन SSIDs: अतिथि, कर्मचारी और IoT WiFi सेटअप गाइड' [परिचय और संदर्भ - 1 मिनट] आप एक वरिष्ठ नेटवर्क सलाहकार हैं जो एक क्लाइंट को एक आत्मविश्वासी, आधिकारिक ब्रीफिंग दे रहे हैं। स्पष्ट, मापे हुए, पेशेवर लहजे में बोलें। शांत अधिकार, अकादमिक नहीं। संवादात्मक लेकिन सटीक। गति स्थिर और विचारशील है: Purple WiFi इंटेलिजेंस तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। आज हम तीन-SSID WiFi डिज़ाइन को कवर कर रहे हैं - वह आर्किटेक्चर जो एक एकल वायरलेस इंफ्रास्ट्रक्चर का उपयोग करके अतिथि, कर्मचारी और IoT ट्रैफ़िक को अलग, पृथक नेटवर्क में विभाजित करता है। यदि आप किसी होटल, रिटेल एस्टेट, कॉन्फ्रेंस सेंटर, स्टेडियम, या किसी ऐसे स्थान के लिए WiFi का प्रबंधन करते हैं जहाँ आप सार्वजनिक और परिचालन दोनों नेटवर्क चलाते हैं, तो यह ब्रीफिंग सीधे आपके लिए प्रासंगिक है। [तकनीकी गहन चर्चा - 5 मिनट] पहले मुझे संदर्भ सेट करने दें। आज अधिकांश एंटरप्राइज़ स्थानों में कम से कम पांच या छह SSIDs चल रहे हैं। मेहमानों के लिए एक है, कर्मचारियों के लिए एक है, पॉइंट-ऑफ़-सेल टर्मिनलों के लिए एक है, IoT उपकरणों के लिए एक है, शायद ठेकेदारों के लिए एक छिपा हुआ है, और अक्सर एक लेगेसी है जिसके बारे में कोई भी ठीक से याद नहीं रखता कि यह क्यों मौजूद है। उनमें से प्रत्येक SSID रेडियो पर सबसे कम डेटा दर पर हर 100 मिलीसेकंड में एक बीकन फ़्रेम प्रसारित करता है। एक ही चैनल पर 50 एक्सेस पॉइंट वाले घने स्थान में, उपयोगकर्ता डेटा का एक भी बाइट प्रसारित होने से पहले यह एयरटाइम की खपत करने वाले प्रति सेकंड सैकड़ों प्रबंधन फ़्रेम हैं। उद्योग की सहमति स्पष्ट है: प्रति रेडियो तीन से अधिक SSID प्रसारित न करें। तीन वह संख्या है जो वायरलेस प्रदर्शन के खिलाफ सुरक्षा विभाजन को संतुलित करती है। तो तीन-SSID डिज़ाइन यह है। SSID एक: विज़िटर एक्सेस के लिए Captive Portal के साथ एक ओपन Guest WiFi नेटवर्क। SSID दो: 802.1X और RADIUS प्रमाणीकरण का उपयोग करके कर्मचारियों और सुरक्षित मेहमानों के लिए एक WPA2 या WPA3-एंटरप्राइज़ नेटवर्क। SSID तीन: डिवाइस पहचान द्वारा VLANs को गतिशील रूप से असाइन करने के लिए प्रति-डिवाइस प्री-शेयर्ड कुंजियों का उपयोग करके IoT उपकरणों, कार्ड टर्मिनलों, डिजिटल साइनेज और प्रिंटर के लिए एक xPSK नेटवर्क। तीन SSIDs। तीन पूरी तरह से पृथक नेटवर्क सेगमेंट। एक भौतिक वायरलेस इंफ्रास्ट्रक्चर। आइए हम प्रत्येक को विस्तार से देखें। आइए हम प्रत्येक को विस्तार से देखें। SSID एक आपका Guest WiFi है। आप इसे एक ओपन नेटवर्क के रूप में कॉन्फ़िगर करते हैं - कोई प्री-शेयर्ड कुंजी नहीं, कोई WPA2-पर्सनल पासवर्ड नहीं। एक्सेस पॉइंट एसोसिएशन लेयर पर एन्क्रिप्शन के बिना SSID को प्रसारित करता है। जब कोई विज़िटर कनेक्ट होता है, तो उसके डिवाइस को आपके गेस्ट VLAN - आमतौर पर VLAN 10 पर DHCP सर्वर से एक IP पता मिलता है। प्रत्येक DNS क्वेरी और HTTP अनुरोध को वायरलेस कंट्रोलर या एक समर्पित Captive Portal उपकरण द्वारा इंटरसेप्ट किया जाता है, जो विज़िटर के ब्राउज़र को आपके पोर्टल पेज पर रीडायरेक्ट करता है। यहीं पर Purple का प्लेटफ़ॉर्म एकीकृत होता है। Captive Portal विज़िटर के प्रमाणीकरण को संभालता है - चाहे वह सोशल लॉगिन हो, ईमेल पंजीकरण हो, SMS सत्यापन हो, या वाउचर कोड हो। यह GDPR के तहत सहमति प्राप्त करता है, विज़िटर के विवरण को फ़र्स्ट-पार्टी डेटा के रूप में रिकॉर्ड करता है, और फिर इंटरनेट एक्सेस प्रदान करने के लिए कंट्रोलर को संकेत देता है। विज़िटर का सत्र (session) VLAN 10 से टैग किया जाता है, और आपका फ़ायरवॉल एक सख्त नीति लागू करता है: केवल इंटरनेट एक्सेस, जिसमें आपके आंतरिक RFC 1918 एड्रेस स्पेस के किसी भी रूट को ब्लॉक करने वाला एक स्पष्ट deny-all नियम होता है। यहाँ walled garden एक महत्वपूर्ण कॉन्फ़िगरेशन चरण है। इससे पहले कि कोई विज़िटर पोर्टल लॉगिन पूरा करे, उनके डिवाइस को पोर्टल पेज तक पहुँचना आवश्यक होता है। आप एक walled garden कॉन्फ़िगर करते हैं - IP पतों और डोमेन की एक व्हाइटलिस्ट जो बिना प्रमाणीकरण के सुलभ होते हैं। इसमें आपके Captive Portal सर्वर का IP या होस्टनाम, इसके द्वारा उपयोग किए जाने वाले कोई भी CDN एंडपॉइंट और कोई भी सोशल लॉगिन प्रदाता एंडपॉइंट जैसे Facebook के OAuth सर्वर या Google के प्रमाणीकरण एंडपॉइंट शामिल होने चाहिए। SSID दो आपका Staff WiFi है। यह WPA2-Enterprise या WPA3-Enterprise का उपयोग करता है, जिसका अर्थ है 802.1X प्रमाणीकरण। जब कोई स्टाफ सदस्य कनेक्ट होता है, तो उनका डिवाइस एक्सेस पॉइंट के साथ एक EAP एक्सचेंज शुरू करता है, जो ऑथेंटिकेटर के रूप में कार्य करता है और क्रेडेंशियल्स को आपके RADIUS सर्वर पर अग्रेषित करता है। RADIUS सर्वर आपके पहचान प्रदाता (identity provider) के विरुद्ध पहचान को सत्यापित करता है और Access-Accept संदेश लौटाता। डायनेमिक VLAN असाइनमेंट की कुंजी उस Access-Accept संदेश में तीन विशिष्ट RADIUS विशेषताएँ हैं। Attribute 64, Tunnel-Type, का मान 13 पर सेट होना चाहिए, जिसका अर्थ है VLAN। Attribute 65, Tunnel-Medium-Type, का मान 6 पर सेट होना चाहिए, जिसका अर्थ है IEEE 802। और Attribute 81, Tunnel-Private-Group-ID, में एक स्ट्रिंग के रूप में वास्तविक VLAN ID होती है। जब एक्सेस पॉइंट इन विशेषताओं को प्राप्त करता है, तो यह गतिशील रूप से उस सत्र को निर्दिष्ट VLAN के साथ टैग करता है। फाइनेंस टीम का एक स्टाफ सदस्य प्रमाणित होता है और VLAN 20 पर पहुंचता है। एक ठेकेदार एक अलग क्रेडेंशियल के साथ प्रमाणित होता है और अधिक प्रतिबंधित पहुंच के साथ VLAN 30 पर पहुंचता है। समान SSID, समान भौतिक नेटवर्क, पूरी तरह से भिन्न लॉजिकल सेगमेंट। Purple की क्लाउड RADIUS सेवा Staff WiFi के लिए RADIUS प्रमाणीकरण परत को संभालती है, जो आपके पहचान प्रदाता के साथ एकीकृत होती है और प्रति उपयोगकर्ता सही डायनेमिक VLAN विशेषताएँ लौटाती है। SSID तीन आपका IoT WiFi है। xPSK एक ऐसी समस्या का समाधान करता है जिसे न तो ओपन नेटवर्क और न ही 802.1X स्पष्ट रूप से संबोधित कर सकते हैं। IoT डिवाइस, कार्ड टर्मिनल, डिजिटल साइनेज प्लेयर और प्रिंटर 802.1X के साथ प्रमाणित नहीं हो सकते। लेकिन आप उन्हें एकल साझा पासवर्ड वाले एक फ्लैट WPA2-Personal नेटवर्क पर नहीं रख सकते, क्योंकि एक समझौता किया गया डिवाइस उस सेगमेंट के अन्य सभी डिवाइस तक पहुंच प्राप्त कर लेगा। xPSK प्रत्येक डिवाइस या डिवाइस समूह के लिए एक, अद्वितीय पासवर्ड का एक डेटाबेस बनाए रखता है। डिवाइस अपनी विशिष्ट कुंजी का उपयोग करके कनेक्ट होता है। नियंत्रक कुंजी को सत्यापित करता है और डायनेमिक VLAN विशेषताएं लौटाता है। एक कार्ड टर्मिनल कनेक्ट होता है और VLAN 50 पर पहुंचता है, जो आपका PCI DSS-पृथक भुगतान नेटवर्क है। एक स्मार्ट थर्मोस्टेट कनेक्ट होता है और VLAN 40 पर पहुंचता है, जो सीमित रूटिंग वाला आपका IoT नेटवर्क है। विक्रेता शब्दावली अलग-अलग होती है। Cisco Meraki इसे iPSK कहता है। HPE Aruba इसे MPSK कहता है। Ruckus इसे DPSK कहता है। Juniper Mist और Ubiquiti UniFi दोनों इसे PPSK कहते हैं। पांचों विक्रेताओं में अंतर्निहित आर्किटेक्चर समान है। [कार्यान्वयन सिफारिशें और संभावित खामियां - 2 मिनट] आप एक वरिष्ठ नेटवर्क सलाहकार हैं जो किसी क्लाइंट को आश्वस्त, आधिकारिक जानकारी दे रहे हैं। स्पष्ट, नपी-तुली, पेशेवर टोन में बात करें। शांत अधिकार, अकादमिक नहीं। संवादात्मक लेकिन सटीक। गति स्थिर और सुविचारित है: आइए अब कार्यान्वयन की कमियों और वास्तविक दुनिया के परिदृश्यों के बारे में बात करते हैं। पहली कमी गलत तरीके से कॉन्फ़िगर किए गए ट्रंक पोर्ट हैं। एकाधिक VLAN ले जाने वाले आपके स्विच पोर्ट को 802.1Q ट्रंक पोर्ट के रूप में कॉन्फ़िगर किया जाना चाहिए, न कि एक्सेस पोर्ट के रूप में। यदि कोई ट्रंक पोर्ट गलती से एक्सेस पोर्ट के रूप में सेट हो जाता है, तो सारा ट्रैफ़िक एक ही VLAN पर आ जाता है और आपका सेगमेंटेशन चुपचाप गायब हो जाता है। किसी भी बदलाव के बाद हमेशा अपने स्विच कॉन्फ़िगरेशन का ऑडिट करें। दूसरी कमी एक अधूरा वॉल्ड गार्डन (walled garden) है। यदि आपका Captive Portal पेज लोड होने में विफल रहता है क्योंकि आपने सही एंडपॉइंट्स को व्हाइटलिस्ट नहीं किया है, तो आगंतुकों को एक खाली स्क्रीन दिखाई देगी और वे मान लेंगे कि WiFi काम नहीं कर रहा है। लाइव होने से पहले बिना किसी कैश्ड DNS वाले एक नए डिवाइस से अपने वॉल्ड गार्डन का परीक्षण करें। तीसरी कमी MAC एड्रेस रैंडमाइजेशन है। आधुनिक iOS और Android डिवाइस प्रत्येक नेटवर्क के लिए एक रैंडमाइज्ड MAC एड्रेस का उपयोग करते हैं जिससे वे जुड़ते हैं। यदि आपका xPSK सिस्टम किसी डिवाइस को उसकी विशिष्ट कुंजी से संबद्ध करने के लिए MAC एड्रेस बाइंडिंग पर निर्भर करता है, तो डिवाइस द्वारा अपना एड्रेस बदलने पर आपको प्रमाणीकरण (authentication) विफलताओं का सामना करना पड़ेगा। उन विक्रेता कार्यान्वयनों का उपयोग करें जो सत्र को MAC के बजाय कुंजी से ही बांधते हैं। आइए मैं आपको दो वास्तविक दुनिया के परिदृश्य देता हूँ। परिदृश्य एक: 200 कमरों वाला एक होटल। होटल को सभी कमरों और सार्वजनिक क्षेत्रों में गेस्ट WiFi, फ्रंट डेस्क, हाउसकीपिंग और प्रबंधन के लिए स्टाफ WiFi, और स्मार्ट थर्मोस्टेट, IPTV सिस्टम और डोर लॉक कंट्रोलर के लिए IoT कनेक्टिविटी प्रदान करने की आवश्यकता है। वे अपने Cisco Meraki एक्सेस पॉइंट्स पर तीन SSID तैनात करते हैं। SSID एक, यानी गेस्ट नेटवर्क, ईमेल पंजीकरण और GDPR-अनुरूप सहमति कैप्चर के साथ Purple के Captive Portal का उपयोग करता है। अतिथि प्रमाणित होते हैं, VLAN 10 पर आते हैं, और 20 megabits प्रति सेकंड प्रति-क्लाइंट दर सीमा के साथ केवल-इंटरनेट एक्सेस प्राप्त करते हैं। SSID दो, यानी स्टाफ नेटवर्क, Microsoft Entra ID के विरुद्ध RADIUS प्रमाणीकरण के साथ WPA3-Enterprise का उपयोग करता है। फ्रंट डेस्क स्टाफ VLAN 20 पर आता है और उसे प्रॉपर्टी मैनेजमेंट सिस्टम तक पहुंच मिलती है। हाउसकीपिंग स्टाफ VLAN 21 पर आता है और उसे केवल हाउसकीपिंग एप्लिकेशन तक पहुंच मिलती है। SSID तीन, यानी IoT नेटवर्क, Meraki iPSK का उपयोग करता है। प्रत्येक स्मार्ट थर्मोस्टेट की एक विशिष्ट कुंजी होती है जो VLAN 40 से मैप की जाती है। प्रत्येक डोर लॉक कंट्रोलर की एक विशिष्ट कुंजी होती है जो VLAN 41 से मैप की जाती है। IPTV सिस्टम की कुंजियाँ VLAN 42 से मैप की गई हैं। सभी IoT VLANs में कोई इंटरनेट एक्सेस नहीं है और सख्त फ़ायरवॉल नियम उनके विशिष्ट प्रबंधन सर्वरों तक संचार को सीमित करते हैं। [त्वरित प्रश्नोत्तर - 1 मिनट] अब कुछ त्वरित प्रश्नों के लिए। क्या मुझे xPSK के लिए एक अलग RADIUS सर्वर की आवश्यकता है? यह वेंडर और पैमाने पर निर्भर करता है। छोटे परिनियोजन के लिए, Cisco Meraki iPSK और HPE Aruba MPSK-Local बिना किसी RADIUS सर्वर के सीधे कंट्रोलर पर कुंजियाँ संग्रहीत कर सकते हैं। एंटरप्राइज़ पैमाने के लिए, आपको एक केंद्रीय RADIUS सर्वर की आवश्यकता होती है - चाहे वह आपका अपना FreeRADIUS या NPS इंस्टेंस हो, या Purple जैसी क्लाउड RADIUS सेवा। क्या WPA3-Enterprise अनिवार्य है? अभी नहीं, लेकिन इसे वहां तैनात करें जहां आपके क्लाइंट डिवाइस इसका समर्थन करते हैं। WPA3 का 192-बिट सुरक्षा मोड और Protected Management Frames, WPA2 में मौजूद कई हमलावर वेक्टरों को समाप्त करते हैं। बैकवर्ड कम्पैटिबिलिटी बनाए रखने के लिए WPA3 को ट्रांज़िशन मोड में चलाएं। मैं स्टाफ SSID पर BYOD को कैसे संभालूं? क्रेडेंशियल-आधारित प्रमाणीकरण के लिए PEAP-MSCHAPv2 का उपयोग करें, जो व्यक्तिगत उपकरणों के साथ काम करता है और इसके लिए प्रमाणपत्र परिनियोजन की आवश्यकता नहीं होती है। यदि आपको अधिक मजबूत सुरक्षा की आवश्यकता है, तो अपने MDM के माध्यम से भेजे गए प्रमाणपत्रों के साथ EAP-TLS तैनात करें। छोटे स्थान के लिए न्यूनतम व्यावहारिक सेटअप क्या है? तीन SSID, तीन VLANs, इंटर-VLAN नियमों के साथ एक फ़ायरवॉल, और मेहमानों के लिए एक Captive Portal। यह आपकी आधाररेखा है। जैसे-जैसे आपके डिवाइस का दायरा बढ़ता है, आप RADIUS और xPSK जोड़ सकते हैं। [सारांश और अगले कदम - 1 मिनट] संक्षेप में: तीन-SSID डिज़ाइन आपको पांच या छह अलग-अलग नेटवर्क चलाने के एयरटाइम ओवरहेड के बिना आवश्यक विभाजन प्रदान करता है। Captive Portal के साथ Guest WiFi विज़िटर एक्सेस और GDPR अनुपालन को संभालता है। 802.1X और डायनेमिक VLAN असाइनमेंट के साथ स्टाफ WiFi पहचान-आधारित एक्सेस कंट्रोल को संभालता है। xPSK के साथ IoT WiFi प्रति-डिवाइस आइसोलेशन के साथ हेडलेस डिवाइसों को संभालता है। आपके अगले चरण: अपने वर्तमान SSID काउंट का ऑडिट करें। यदि आप तीन से अधिक ब्रॉडकास्ट कर रहे हैं, तो एक समेकन की योजना बनाएं। अपने VLAN डिज़ाइन और फ़ायरवॉल इंटर-VLAN नियमों की समीक्षा करें। और यदि आप पहले से ही GDPR-अनुरूप डेटा कैप्चर के साथ एक प्रबंधित captive portal का उपयोग नहीं कर रहे हैं, तो यह सबसे मूल्यवान बदलाव है जो आप आज अपने गेस्ट नेटवर्क में कर सकते हैं। Purple का प्लेटफ़ॉर्म दुनिया भर में 80,000 से अधिक लाइव वेन्यू में इस तीन-SSID आर्किटेक्चर का समर्थन करता है। हम पूरे डिज़ाइन को एक एकल प्रबंधित सिस्टम के रूप में कार्य करने के लिए गेस्ट WiFi captive portal, स्टाफ WiFi के लिए क्लाउड RADIUS, और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, और Ubiquiti UniFi के साथ इंटीग्रेशन प्रदान करते हैं। Purple की इस तकनीकी ब्रीफिंग को सुनने के लिए धन्यवाद। पूरी लिखित गाइड और आर्किटेक्चर डायग्राम के लिंक शो नोट्स में हैं।