WatchGuard WiFi Cloud AP और गेस्ट WiFi: Purple के साथ कैप्टिव पोर्टल सेटअप

इंटीग्रेशन ब्रीफिंग में स्वागत है। आज हम Purple WiFi के साथ WatchGuard Firebox और एक्सेस पॉइंट इंटीग्रेशन को कवर कर रहे हैं। यह IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और वेन्यू ऑपरेशंस निदेशकों के लिए एक तकनीकी प्लेबुक है, जिन्हें सुरक्षित, स्केलेबल वायरलेस इन्फ्रास्ट्रक्चर तैनात करने की आवश्यकता है। हम गेस्ट WiFi कैप्टिव पोर्टल, 802.1X का उपयोग करके सुरक्षित स्टाफ WiFi, और WatchGuard Private Pre-Shared Keys या PPSK का उपयोग करके मल्टी-टेनेंट सेगमेंटेशन पर नज़र डालेंगे। आइए सीधे संदर्भ पर आते हैं। जब आप किसी जटिल वेन्यू का प्रबंधन कर रहे होते हैं, जैसे कि कोई स्टेडियम, एक बड़ा रिटेल सेंटर, या एक MDU, तो आपको इस बात पर सटीक नियंत्रण की आवश्यकता होती है कि नेटवर्क तक कौन पहुँचता है और कनेक्ट होने के बाद वे क्या कर सकते हैं। आपको मार्केटिंग राजस्व बढ़ाने के लिए फ़र्स्ट-पार्टी डेटा कैप्चर करने की भी आवश्यकता होती है। WatchGuard एकीकृत सुरक्षा प्लेटफ़ॉर्म और हार्डवेयर प्रदान करता है। Purple क्लाउड ओवरले, पहचान प्रबंधन (identity management) और एनालिटिक्स प्रदान करता है। दोनों को एकीकृत करके, आप पहचान-आधारित एक्सेस कंट्रोल को स्वचालित करते हैं। आप अलग गेस्ट और स्टाफ गेटवे की आवश्यकता को समाप्त करते हैं, जिससे हार्डवेयर खर्च कम होता है और प्रबंधन सरल होता है। Purple वर्तमान में 80,000 से अधिक लाइव वेन्यू को सेवा प्रदान करता है और अकेले 2024 में 440 मिलियन लॉगिन प्रोसेस कर चुका है, इसलिए प्लेटफ़ॉर्म को आपके द्वारा प्रबंधित किए जाने वाले किसी भी वेन्यू के पैमाने को संभालने के लिए बनाया गया है। आइए तकनीकी डीप-डाइव में चलते हैं। आर्किटेक्चर मानक RADIUS प्रोटोकॉल और HTTP रीडायरेक्शन पर निर्भर करता है। हमारे पास तीन मुख्य एक्सेस टियर हैं। पहला, गेस्ट WiFi। यह एक ओपन SSID है। WatchGuard AP HTTP अनुरोधों को इंटरसेप्ट करता है और उपयोगकर्ता को Purple के होस्ट किए गए स्प्लैश पेज पर रीडायरेक्ट करता है। दूसरा, स्टाफ WiFi। यह 802.1X का उपयोग करने वाला एक सुरक्षित WPA3-Enterprise SSID है। डिवाइस EAP-TLS या PEAP का उपयोग करके सीधे Purple के RADIUS सर्वर के विरुद्ध प्रमाणित होते हैं। तीसरा, मल्टी-टेनेंट WiFi। यह WatchGuard PPSK का उपयोग करता है। कई उपयोगकर्ता एक ही SSID से कनेक्ट होते हैं, लेकिन प्रत्येक एक अद्वितीय पासवर्ड का उपयोग करता है। WatchGuard AP Purple के RADIUS सर्वर से क्वेरी करता है, जो फिर उस विशिष्ट कुंजी के आधार पर गतिशील रूप से एक VLAN असाइन करता है। तो, हम गेस्ट WiFi कैप्टिव पोर्टल को कैसे कॉन्फ़िगर करते हैं? पहला चरण WatchGuard Cloud या Firebox Policy Manager में RADIUS सर्वर सेट करना है। आप प्राथमिक RADIUS सर्वर को अपने क्षेत्र के लिए Purple के IP पते पर इंगित करते हैं। प्रमाणीकरण पोर्ट 1812 पर है, अकाउंटिंग पोर्ट 1813 पर है। आप Purple द्वारा प्रदान किया गया साझा रहस्य (shared secret) दर्ज करते हैं, और महत्वपूर्ण रूप से, आप यह सुनिश्चित करते हैं कि NAS ID, Firebox या AP के MAC पते से मेल खाती है। यह Purple को बताता है कि अनुरोध किस वेन्यू से आ रहा है। दूसरा चरण कैप्टिव पोर्टल रीडायरेक्शन ही है। SSID सेटिंग्स में, आप RADIUS प्रमाणीकरण के साथ थर्ड-पार्टी होस्टेड कैप्टिव पोर्टल का चयन करते हैं। आप Purple स्प्लैश पेज URL दर्ज करते हैं, और पोर्टल साझा रहस्य (shared secret) दर्ज करते हैं। यह Purple Analyze डैशबोर्ड में उत्पन्न एक विशिष्ट रहस्य है, और इसका उपयोग प्रमाणीकरण अनुरोधों को सत्यापित करने के लिए एक HMAC डाइजेस्ट बनाने के लिए किया जाता है। HMAC-SHA1 एल्गोरिदम यह सुनिश्चित करता है कि Purple से प्रमाणीकरण सफलता संदेश वास्तविक है और पारगमन (transit) में इसके साथ कोई छेड़छाड़ नहीं की गई है। तीसरा चरण, और यहीं पर कई परिनियोजन (deployments) लड़खड़ाते हैं, वॉल्ड गार्डन है। यदि आप इसे कॉन्फ़िगर नहीं करते हैं, तो डिवाइस स्प्लैश पेज लोड नहीं कर सकता है। आपको लॉगिन से पहले star dot mypurple dot com, api dot mypurple dot com, और cdn dot mypurple dot com तक पहुंच की अनुमति देनी होगी। यदि आप Microsoft Entra ID या Google Workspace जैसे सोशल लॉगिन का उपयोग कर रहे हैं, तो आपको उन पहचान प्रदाता (identity provider) डोमेन को भी जोड़ना होगा। वॉल्ड गार्डन को पूर्व-प्रमाणीकरण लॉबी के रूप में सोचें। इसके बिना, गेस्ट मुख्य दरवाजे तक भी नहीं पहुंच सकता। अब, आइए WatchGuard PPSK के साथ मल्टी-टेनेंट सेगमेंटेशन को देखें। यदि आप 15 दुकानों वाले एक रिटेल सेंटर का प्रबंधन करते हैं, तो 15 अलग-अलग SSID प्रसारित करना एक खराब तरीका है। यह सह-चैनल हस्तक्षेप (co-channel interference) का कारण बनता है, एयरस्पेस को अव्यवस्थित करता है, और प्रबंधन ओवरहेड बनाता है। PPSK इसे खूबसूरती से हल करता है। आप एक SSID प्रसारित करते हैं, मान लें Centre-Retail। आप WatchGuard SSID सेटिंग्स में Private Pre-Shared Key को सक्षम करते हैं, जिसके लिए आपके WatchGuard एक्सेस पॉइंट्स पर फर्मवेयर संस्करण 2.6 या उच्चतर की आवश्यकता होती है। Purple में, आप अद्वितीय कुंजियाँ बनाते हैं, प्रति टेनेंट एक। ट्रैफिक को अलग करने के लिए, आप डायनेमिक VLAN असाइनमेंट का उपयोग करते हैं। WatchGuard Cloud में, आप VLAN को RADIUS द्वारा असाइन किए गए डायनेमिक VLAN पर सेट करते हैं। जब कोई दुकान अपनी विशिष्ट कुंजी का उपयोग करके किसी डिवाइस को कनेक्ट करती है, तो AP Purple के RADIUS सर्वर को एक Access-Request भेजता है। Purple कुंजी को सत्यापित करता है और तीन महत्वपूर्ण IETF RADIUS विशेषताओं के साथ एक Access-Accept पैकेट वापस भेजता है। Tunnel-Type, जो विशेषता 64 है, VLAN पर सेट है। Tunnel-Medium-Type, विशेषता 65, 802 पर सेट है। और Tunnel-Private-Group-ID, विशेषता 81, असाइन किए गए VLAN ID पर सेट है, उदाहरण के लिए रिटेल टेनेंट A के लिए VLAN 100। WatchGuard AP फिर उस डिवाइस को VLAN 100 पर रखता है, जो अन्य टेनेंट्स से पूरी तरह से अलग है। यह व्यवहार में पहचान-आधारित नेटवर्किंग (Identity-Based Networking) है। आइए कार्यान्वयन सिफारिशों और सामान्य गलतियों पर चर्चा करें। पहला, सेशन टाइमआउट। पुनः प्रमाणीकरण को बाध्य करने के लिए Purple और WatchGuard दोनों में सख्त सेशन टाइमआउट कॉन्फ़िगर करें। यह आपके एनालिटिक्स को सटीक रखता है और यह सुनिश्चित करता है कि पुराने सेशन बैंडविड्थ का उपभोग न करें। अपने RADIUS Interim-Update अंतराल को 10 मिनट पर सेट करें। दूसरा, फर्मवेयर। आपको यह सुनिश्चित करना होगा कि आपके WatchGuard एक्सेस पॉइंट्स PPSK का समर्थन करने के लिए फर्मवेयर संस्करण 2.6 या उच्चतर चला रहे हैं। पुराने फर्मवेयर संस्करण इस सुविधा का समर्थन नहीं करते हैं। तीसरा, MAC रैंडमाइजेशन। आधुनिक डिवाइस डिफ़ॉल्ट रूप से अपने MAC पते को रैंडमाइज करते हैं। अपने सुरक्षित स्टाफ WiFi नेटवर्क के लिए, अपने स्टाफ को स्थिर 802.1X प्रमाणीकरण सुनिश्चित करने के लिए उस विशिष्ट SSID के लिए इस सुविधा को अक्षम करने के लिए शिक्षित करें। MAC रैंडमाइजेशन प्रमाणीकरण विफलताओं और असंगत एनालिटिक्स डेटा का कारण बन सकता है। क्या होता है जब चीजें गलत हो जाती हैं? यदि कैप्टिव पोर्टल लोड होने में विफल रहता है, तो पहले वॉल्ड गार्डन की जांच करें। यदि डिवाइस DNS को हल नहीं कर सकता है या Purple सर्वर तक नहीं पहुंच सकता है, तो यह स्प्लैश पेज के बजाय टाइमआउट त्रुटि दिखाएगा। यदि VLAN स्टीयरिंग विफल हो जाता है और क्लाइंट को गलत VLAN से IP प्राप्त होता है, तो Purple पोर्टल में RADIUS लॉग की जांच करें। सुनिश्चित करें कि Tunnel-Private-Group-ID विशेषता एक स्ट्रिंग के रूप में सही ढंग से स्वरूपित है और उस VLAN से मेल खाती है जो वास्तव में AP से जुड़े स्विच पोर्ट पर मौजूद है। यदि आप WatchGuard लॉग में HMAC डाइजेस्ट त्रुटियां देखते हैं, तो आपका कैप्टिव पोर्टल साझा रहस्य (Shared Secret) WatchGuard और Purple के बीच मेल नहीं खाता है। यह दोनों प्रणालियों में बिल्कुल समान होना चाहिए, एक-एक अक्षर। रैपिड-फायर प्रश्नोत्तर का समय। प्रश्न: क्या मैं एक ही SSID पर PPSK और कैप्टिव पोर्टल का उपयोग कर सकता हूँ? उत्तर: नहीं। WatchGuard एक ही SSID पर एक साथ PPSK और कैप्टिव पोर्टल के माध्यम से डायनेमिक VLAN चलाने का समर्थन नहीं करता है। आपको पोर्टल के लिए एक SSID और PPSK के लिए एक अलग SSID की आवश्यकता होगी। तदनुसार अपने SSID आर्किटेक्चर की योजना बनाएं। प्रश्न: क्या होता है यदि RADIUS सर्वर PPSK उपयोगकर्ता के लिए VLAN ID वापस नहीं करता है? उत्तर: WatchGuard Cloud में, आप एक Unassigned Clients फ़ॉलबैक विकल्प कॉन्फ़िगर करते हैं। आप उन्हें अनटैग किए गए VLAN या एक विशिष्ट पृथक क्वारंटाइन VLAN पर डाल सकते हैं ताकि यह सुनिश्चित हो सके कि वे कॉर्पोरेट नेटवर्क तक पहुंच प्राप्त न करें। आकस्मिक पहुंच से बचने के लिए हमेशा इस फ़ॉलबैक को कॉन्फ़िगर करें। संक्षेप में, Purple के साथ WatchGuard Firebox को एकीकृत करना आपको गेस्ट, स्टाफ और मल्टी-टेनेंट नेटवर्क पर सुरक्षा, पहचान और एनालिटिक्स के लिए एक एकीकृत मंच प्रदान करता है। आप गेस्ट के लिए बाहरी कैप्टिव पोर्टल रीडायरेक्शन, स्टाफ के लिए 802.1X, और मल्टी-टेनेंट वातावरण के लिए डायनेमिक VLAN के साथ PPSK का उपयोग करते हैं। ROI स्पष्ट है। आप गेटवे को समेकित करके हार्डवेयर लागत को कम करते हैं, एकल क्लाउड प्लेटफ़ॉर्म के माध्यम से प्रबंधन को सरल बनाते हैं, और Purple कैप्टिव पोर्टल के माध्यम से फ़र्स्ट-पार्टी डेटा कैप्चर करके राजस्व बढ़ाते हैं। आपके अगले कदम आपके वर्तमान SSID आर्किटेक्चर की समीक्षा करना, यह सुनिश्चित करना है कि आपका WatchGuard फर्मवेयर संस्करण 2.6 या उच्चतर है, और Purple पोर्टल में अपनी RADIUS सेटिंग्स को कॉन्फ़िगर करना शुरू करना है। सुनने के लिए धन्यवाद।