WatchGuard Wi-Fi Cloud AP और guest WiFi: Purple के साथ captive portal सेटअप

एकीकरण ब्रीफिंग में आपका स्वागत है। आज हम Purple WiFi के साथ WatchGuard Firebox और Access Point एकीकरण को कवर कर रहे हैं। यह IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और वेन्यू ऑपरेशंस निदेशकों के लिए एक तकनीकी प्लेबुक है, जिन्हें सुरक्षित, स्केलेबल वायरलेस इन्फ्रास्ट्रक्चर को तैनात करने की आवश्यकता है। हम Guest WiFi Captive Portals, 802.1X का उपयोग करके सुरक्षित Staff WiFi, और WatchGuard Private Pre-Shared Keys या PPSK का उपयोग करके Multi-Tenant विभाजन को देखेंगे। आइए सीधे विषय पर आते हैं। जब आप किसी जटिल वेन्यू का प्रबंधन कर रहे होते हैं, जैसे कि कोई स्टेडियम, एक बड़ा रिटेल सेंटर, या एक मल्टी-ड्वेलिंग यूनिट, तो आपको इस बात पर सटीक नियंत्रण की आवश्यकता होती है कि नेटवर्क तक कौन पहुँचता है और कनेक्ट होने के बाद वे क्या कर सकते हैं। मार्केटिंग रेवेन्यू को बढ़ाने के लिए आपको फर्स्ट-पार्टी डेटा कैप्चर करने की भी आवश्यकता होती है। WatchGuard एकीकृत सुरक्षा प्लेटफॉर्म और हार्डवेयर प्रदान करता है। Purple क्लाउड ओवरले, पहचान प्रबंधन (आइडेंटिटी मैनेजमेंट) और एनालिटिक्स प्रदान करता है। दोनों को एकीकृत करके, आप पहचान-आधारित एक्सेस कंट्रोल को स्वचालित करते हैं। आप अलग-अलग गेस्ट और स्टाफ गेटवे की आवश्यकता को समाप्त करते हैं, जिससे हार्डवेयर खर्च कम होता है और प्रबंधन सरल होता है। Purple वर्तमान में 80,000 से अधिक लाइव वेन्यू को सेवा प्रदान करता है और अकेले 2024 में 440 मिलियन लॉगइन्स को प्रोसेस कर चुका है, इसलिए प्लेटफॉर्म को आपके द्वारा प्रबंधित किए जाने वाले किसी भी वेन्यू के स्केल को संभालने के लिए बनाया गया है। आइए तकनीकी बारीकियों में आगे बढ़ें। यह आर्किटेक्चर मानक RADIUS प्रोटोकॉल और HTTP रीडायरेक्शन पर निर्भर करता है। हमारे पास तीन मुख्य एक्सेस टियर हैं। पहला, Guest WiFi। यह एक ओपन SSID है। WatchGuard AP HTTP अनुरोधों को इंटरसेप्ट करता है और उपयोगकर्ता को Purple के होस्टेड स्प्लैश पेज पर रीडायरेक्ट करता है। दूसरा, Staff WiFi। यह EAP-TLS या PEAP का उपयोग करके 802.1X का उपयोग करने वाला एक सुरक्षित WPA3-Enterprise SSID है। डिवाइस सीधे Purple के RADIUS सर्वर के खिलाफ प्रमाणित होते हैं। तीसरा, Multi-Tenant WiFi। यह WatchGuard PPSK का उपयोग करता है। कई उपयोगकर्ता एक ही SSID से कनेक्ट होते हैं, लेकिन प्रत्येक एक अद्वितीय पासवर्ड का उपयोग करता है। WatchGuard AP, Purple के RADIUS सर्वर से क्वेरी करता है, जो फिर उस विशिष्ट की (key) के आधार पर गतिशील रूप से एक VLAN असाइन करता है। तो, हम Guest WiFi Captive Portal को कैसे कॉन्फ़िगर करते हैं? पहला चरण WatchGuard Cloud या Firebox Policy Manager में RADIUS सर्वर सेट करना है। आप प्राथमिक RADIUS सर्वर को अपने क्षेत्र के लिए Purple के IP पते पर इंगित करते हैं। प्रमाणीकरण (ऑथेंटिकेशन) पोर्ट 1812 पर है, और एकाउंटिंग पोर्ट 1813 पर है। आप Purple द्वारा प्रदान किया गया शेयर्ड सीक्रेट दर्ज करते हैं, और महत्वपूर्ण रूप से, आप यह सुनिश्चित करते हैं कि NAS ID, Firebox या AP के MAC पते से मेल खाता हो। यह Purple को बताता है कि अनुरोध किस वेन्यू से आ रहा है। दूसरा चरण Captive Portal रीडायरेक्शन ही है। SSID सेटिंग्स में, आप RADIUS प्रमाणीकरण के साथ Third-Party Hosted Captive Portal का चयन करते हैं। आप Purple स्प्लैश पेज का URL दर्ज करते हैं, और पोर्टल शेयर्ड सीक्रेट दर्ज करते हैं। यह Purple Analyze डैशबोर्ड में जनरेट किया गया एक विशिष्ट सीक्रेट है, और इसका उपयोग प्रमाणीकरण अनुरोधों को मान्य करने के लिए HMAC डाइजेस्ट बनाने के लिए किया जाता है। HMAC-SHA1 एल्गोरिदम यह सुनिश्चित करता है कि Purple से प्रमाणीकरण सफलता का संदेश वास्तविक है और ट्रांजिट के दौरान इसमें कोई छेड़छाड़ नहीं की गई है।तीसरा चरण, और यह वह जगह है जहाँ कई परिनियोजन (deployments) अटक जाते हैं, Walled Garden है। यदि आप इसे कॉन्फ़िगर नहीं करते हैं, तो डिवाइस स्प्लैश पेज लोड नहीं कर सकता है। आपको लॉगिन से पहले star dot mypurple dot com, api dot mypurple dot com, और cdn dot mypurple dot com तक पहुँच की अनुमति देनी होगी। यदि आप Microsoft Entra ID या Google Workspace जैसे सोशल लॉगिन का उपयोग कर रहे हैं, तो आपको उन पहचान प्रदाता (identity provider) डोमेन को भी जोड़ना होगा। Walled Garden को प्री-ऑथेंटिकेशन लॉबी की तरह समझें। इसके बिना, अतिथि मुख्य दरवाजे तक भी नहीं पहुँच सकता। अब, आइए WatchGuard PPSK के साथ मल्टी-टेनेंट सेगमेंटेशन पर नज़र डालते हैं। यदि आप 15 दुकानों वाले एक रिटेल सेंटर का प्रबंधन करते हैं, तो 15 अलग-अलग SSID ब्रॉडकास्ट करना एक खराब तरीका है। यह सह-चैनल हस्तक्षेप (co-channel interference) का कारण बनता है, एयरस्पेस को अव्यवस्थित करता है, और प्रबंधन का बोझ बढ़ाता है। PPSK इसे खूबसूरती से हल करता है। आप एक SSID ब्रॉडकास्ट करते हैं, जैसे Centre-Retail। आप WatchGuard SSID सेटिंग्स में Private Pre-Shared Key को सक्षम करते हैं, जिसके लिए आपके WatchGuard एक्सेस पॉइंट्स पर फ़र्मवेयर संस्करण 2.6 या उच्चतर की आवश्यकता होती है। Purple में, आप प्रत्येक टेनेंट के लिए एक अनूठी की (key) बनाते हैं। ट्रैफिक को अलग करने के लिए, आप Dynamic VLAN Assignment का उपयोग करते हैं। WatchGuard क्लाउड में, आप VLAN को RADIUS द्वारा असाइन किए गए Dynamic VLAN पर सेट करते हैं। जब कोई दुकान अपनी विशिष्ट की (key) का उपयोग करके किसी डिवाइस को कनेक्ट करती है, तो AP Purple के RADIUS सर्वर को एक Access-Request भेजता है। Purple की (key) को सत्यापित करता है और तीन महत्वपूर्ण IETF RADIUS एट्रिब्यूट्स के साथ एक Access-Accept पैकेट वापस भेजता है। Tunnel-Type, जो एट्रिब्यूट 64 है, VLAN पर सेट है। Tunnel-Medium-Type, एट्रिब्यूट 65, 802 पर सेट है। और Tunnel-Private-Group-ID, एट्रिब्यूट 81, असाइन किए गए VLAN ID पर सेट है, उदाहरण के लिए रिटेल टेनेंट A के लिए VLAN 100। WatchGuard AP फिर उस डिवाइस को VLAN 100 पर रखता है, जो अन्य टेनेंट्स से पूरी तरह से अलग है। यह व्यवहार में Identity-Based Networking है। आइए कार्यान्वयन की सिफारिशों और सामान्य गलतियों पर चर्चा करें। पहला, सेशन टाइमआउट। पुनः प्रमाणीकरण (re-authentication) को बाध्य करने के लिए Purple और WatchGuard दोनों में कड़े सेशन टाइमआउट कॉन्फ़िगर करें। यह आपके एनालिटिक्स को सटीक रखता है और यह सुनिश्चित करता है कि पुराने सेशन बैंडविड्थ का उपभोग न करें। अपने RADIUS Interim-Update अंतराल को 10 मिनट पर सेट करें। दूसरा, फ़र्मवेयर। PPSK का समर्थन करने के लिए आपको यह सुनिश्चित करना होगा कि आपके WatchGuard एक्सेस पॉइंट्स फ़र्मवेयर संस्करण 2.6 या उच्चतर चला रहे हों। पुराने फ़र्मवेयर संस्करण इस सुविधा का समर्थन नहीं करते हैं। तीसरा, MAC रैंडमाइजेशन। आधुनिक डिवाइस डिफ़ॉल्ट रूप से अपने MAC एड्रेस को रैंडमाइज करते हैं। अपने सुरक्षित स्टाफ WiFi नेटवर्क के लिए, अपने स्टाफ को स्थिर 802.1X प्रमाणीकरण सुनिश्चित करने के लिए उस विशिष्ट SSID के लिए इस सुविधा को अक्षम करने के लिए कहें। MAC रैंडमाइजेशन के कारण प्रमाणीकरण विफलताएं और असंगत एनालिटिक्स डेटा हो सकता है। क्या होता है जब चीज़ें गलत हो जाती हैं? यदि Captive Portal लोड होने में विफल रहता है, तो सबसे पहले Walled Garden की जांच करें। यदि डिवाइस DNS को रीसॉल्व नहीं कर सकता है या Purple सर्वर तक नहीं पहुंच सकता है, तो यह स्प्लैश पेज के बजाय टाइमआउट एरर दिखाएगा। यदि VLAN स्टीयरिंग विफल हो जाता है और क्लाइंट को गलत VLAN से IP प्राप्त होता है, तो Purple पोर्टल में RADIUS लॉग्स की जांच करें। सुनिश्चित करें कि Tunnel-Private-Group-ID एट्रिब्यूट एक स्ट्रिंग के रूप में सही ढंग से फॉर्मैट किया गया है और उस VLAN से मेल खाता है जो वास्तव में AP से जुड़े स्विच पोर्ट पर मौजूद है। यदि आप WatchGuard लॉग्स में HMAC डाइजेस्ट एरर देखते हैं, तो आपका Captive Portal शेयर्ड सीक्रेट WatchGuard और Purple के बीच मेल नहीं खा रहा है। यह दोनों सिस्टम में अक्षर-दर-अक्षर बिल्कुल समान होना चाहिए। अब समय है एक त्वरित प्रश्नोत्तर का। प्रश्न: क्या मैं एक ही SSID पर PPSK और Captive Portal का उपयोग कर सकता हूँ? उत्तर: नहीं। WatchGuard एक ही SSID पर एक साथ PPSK के माध्यम से डायनेमिक VLANs और Captive Portal चलाने का समर्थन नहीं करता है। आपको पोर्टल के लिए एक SSID और PPSK के लिए एक अलग SSID की आवश्यकता होगी। अपनी SSID आर्किटेक्चर की योजना उसी अनुसार बनाएं। प्रश्न: यदि RADIUS सर्वर किसी PPSK उपयोगकर्ता के लिए VLAN ID वापस नहीं करता है तो क्या होगा? उत्तर: WatchGuard Cloud में, आप एक अनअसाइंड क्लाइंट्स फ़ॉलबैक विकल्प कॉन्फ़िगर करते हैं। आप उन्हें अनटैग्ड VLAN या एक विशिष्ट आइसोलेटेड क्वारंटाइन VLAN पर डाल सकते हैं ताकि यह सुनिश्चित हो सके कि वे कॉर्पोरेट नेटवर्क तक पहुँच प्राप्त न कर सकें। आकस्मिक पहुँच से बचने के लिए हमेशा इस फ़ॉलबैक को कॉन्फ़िगर करें। संक्षेप में, WatchGuard Firebox को Purple के साथ एकीकृत करने से आपको Guest, Staff और Multi-Tenant नेटवर्क पर सुरक्षा, पहचान और एनालिटिक्स के लिए एक एकीकृत प्लेटफ़ॉर्म मिलता है। आप मेहमानों के लिए बाहरी Captive Portal रीडायरेक्शन, कर्मचारियों के लिए 802.1X, और मल्टी-टेनेंट वातावरण के लिए डायनेमिक VLANs के साथ PPSK का उपयोग करते हैं। ROI स्पष्ट है। आप गेटवे को समेकित करके हार्डवेयर की लागत को कम करते हैं, एकल क्लाउड प्लेटफ़ॉर्म के माध्यम से प्रबंधन को सरल बनाते हैं, और Purple Captive Portal के माध्यम से फर्स्ट-पार्टी डेटा कैप्चर करके राजस्व बढ़ाते हैं। आपके अगले कदम अपने वर्तमान SSID आर्किटेक्चर की समीक्षा करना, यह सुनिश्चित करना कि आपका WatchGuard फ़र्मवेयर वर्शन 2.6 या उससे उच्चतर है, और Purple पोर्टल में अपनी RADIUS सेटिंग्स को कॉन्फ़िगर करना शुरू करना है। सुनने के लिए धन्यवाद।