Vai al contenuto principale
Italiano

Come distribuire iPSK su Cisco Meraki, HPE Aruba e Ruckus

Questa guida pratica di riferimento mostra come distribuire iPSK su Cisco Meraki, MPSK su HPE Aruba Central e DPSK su Ruckus SmartZone, con una breve appendice dedicata a UniFi PPSK. Si concentra sull'emissione delle chiavi, sul posizionamento di VLAN o policy, sui flussi decisionali RADIUS e sui test di revoca che dimostrano il funzionamento di una distribuzione in un ambiente reale.

By Marketing TeamPublished
📖 13 minuti di lettura2,855 parole2 esempi pratici10 definizioni chiave

Ascolta questa guida

Visualizza trascrizione del podcast
Benvenuto nel briefing di implementazione su iPSK per Cisco Meraki, HPE Aruba e Ruckus. Il problema operativo è noto. Hai più tipi di dispositivi di quanti SSID desideri. I dispositivi delle camere d'albergo, i dispositivi dei residenti, i sistemi dell'edificio, le apparecchiature dei fornitori e la tecnologia temporanea per eventi richiedono decisioni di accesso diverse. Una password condivisa non offre un percorso di disattivazione pulito. Un SSID separato per ogni coorte aggiunge sovraccarico radio e rende il servizio più difficile da gestire. Le implementazioni di chiavi precondivise basate sull'identità colmano questa lacuna. L'SSID condiviso rimane lo stesso, ma ogni dispositivo o gruppo riceve una chiave diversa. La chiave può portare a una VLAN, a una policy o a un ruolo diversi. I nomi variano a seconda del fornitore. Cisco Meraki utilizza iPSK con RADIUS. HPE Aruba utilizza MPSK. Ruckus utilizza DPSK. UniFi chiama la sua opzione locale Private Pre-Shared Keys, o PPSK. Il principio di funzionamento è lo stesso: si sostituisce un unico segreto condiviso con una decisione di accesso che è possibile emettere, ispezionare e revocare. Inizia con la progettazione cablata. Crea le VLAN di cui hai effettivamente bisogno e assicurati che ogni uplink dell'access point le trasporti. Non iniziare creando le chiavi in una dashboard. Concorda prima i risultati di accesso. In un edificio multitenant, questi potrebbero essere: residente, operazioni dell'edificio, dispositivo della camera e test. In un hotel, potrebbero essere: dispositivo della camera, back-office e fornitore. In uno stadio, potrebbero essere: produzione, operazioni dell'evento e dispositivo temporaneo. I nomi sono meno importanti del fatto che ognuno di essi abbia un proprietario chiaro e uno scopo definito. Quindi decidi quanto deve essere granulare la chiave. Una chiave specifica per dispositivo è più facile da revocare e analizzare. Una chiave di gruppo è più facile da distribuire, ma una fuga di notizie compromette tutti i dispositivi che la condividono. Questa distinzione è fondamentale soprattutto durante la disattivazione. Se un fornitore se ne va con una chiave di gruppo, potrebbe essere necessario ruotare un'intera coorte. Se il fornitore ha una chiave personale, puoi rimuovere un singolo record e preservare l'accesso di tutti gli altri. Cisco Meraki offre un percorso iPSK supportato da RADIUS. Nella Dashboard, vai su Wireless, Configure, Access control. Scegli il tuo SSID e seleziona Identity PSK con RADIUS. Imposta l'accesso diretto anziché una splash page, quindi configura il server RADIUS. Questo è il punto in cui occorre una proprietà chiara. L'access point è il client RADIUS. La tua piattaforma di autenticazione è il punto decisionale. Conserva il segreto condiviso RADIUS nel tuo archivio di segreti approvato. Non lasciarlo in un foglio di calcolo di implementazione. Meraki documenta un modello basato su MAC e un modello Easy PSK. Nel modello basato su MAC, il record RADIUS associa un indirizzo MAC del dispositivo alla chiave. Nel modello Easy PSK, l'AP inoltra materiale di handshake specifico a RADIUS. Il server RADIUS trova una chiave nota corrispondente e invia un Access-Accept contenente le informazioni sulla chiave che Meraki si aspetta. L'AP riavvia l'handshake e completa la connessione. Nei casi in cui la segmentazione è fondamentale, configura l'SSID Meraki in modalità bridge. Assegna una VLAN predefinita. Abilita quindi il RADIUS override documentato in modo che la risposta positiva possa sostituire il tag predefinito. È inoltre possibile applicare una group policy di Dashboard per il firewall o per i controlli del traffico. Il test non è completo finché il dispositivo non ottiene l'intervallo di indirizzi previsto e la policy desiderata. Un'approvazione RADIUS è necessaria, ma non rappresenta il risultato finale. Ci sono due limiti invalicabili nel flusso di lavoro Meraki citato. La funzionalità iPSK con RADIUS documentata non supporta il WPA3. Inoltre, non funziona quando l'SSID incanala il traffico verso un concentratore MX. Considera questi aspetti come decisioni da prendere prima del progetto pilota, non come ticket da risolvere dopo il lancio. HPE Aruba persegue lo stesso obiettivo tramite MPSK e ClearPass. In Aruba Central, accedi a Gestisci, Dispositivi, Access Point, Configurazione, quindi WLAN. Aggiungi o modifica l'SSID, apri Sicurezza, seleziona Personale, scegli MPSK-AES e seleziona ClearPass Policy Manager come server principale. Il flusso di lavoro spiega perché ClearPass è fondamentale. Un dispositivo si registra e riceve una passphrase specifica per il dispositivo o per il gruppo. Effettua l'associazione utilizzando WPA2-PSK-AES. L'AP esegue lo scambio di autenticazione MAC documentato con ClearPass. ClearPass restituisce un messaggio di Access-Accept con le informazioni di autorizzazione e un attributo della passphrase MPSK Aruba. L'AP genera la chiave e completa l'handshake a quattro vie. Se la passphrase è errata, o se ClearPass rifiuta il dispositivo, l'associazione non va a buon fine. Non aggiungere manualmente l'autenticazione MAC a una WLAN MPSK solo perché il processo utilizza una ricerca MAC. Aruba considera esplicitamente l'MPSK e l'autenticazione MAC manuale come mutuamente esclusivi. Identifica inoltre l'inserimento in blacklist e il server RADIUS interno come combinazioni incompatibili. Registra questi vincoli nella documentazione delle modifiche prima di intervenire su un profilo attivo. Un aspetto di Aruba merita particolare attenzione: il caching. Aruba documenta che un AP memorizza nella cache le informazioni MPSK per il roaming. Un record memorizzato nella cache può far sì che l'AP non esegua una nuova ricerca di autenticazione MAC. Questo è utile per il roaming. È anche il motivo per cui un tentativo rapido non costituisce una prova dell'avvenuta revoca. Torneremo sul piano di test tra un momento. Finora, il modello pratico è chiaro. Crea i segmenti di rete. Configura l'SSID condiviso. Imposta il percorso di ricerca delle chiavi del fornitore. Associa ogni chiave a un risultato di policy definito. Quindi dimostra che la decisione cambia quando la chiave scompare. Quest'ultima parte è il punto in cui molti progetti pilota, altrimenti validi, falliscono. Ora esaminiamo Ruckus, il concetto di mappatura RADIUS e VLAN, e il test di revoca che rende un'implementazione iPSK operativamente credibile. Su Ruckus SmartZone, verifica prima che la WLAN sia abilitata per DPSK. Quindi apri Sicurezza, Controllo Accessi, Dynamic PSK e scegli Genera DPSK. Seleziona la WLAN, scegli il numero di chiavi, inserisci o genera il nome utente e la passphrase, seleziona il ruolo utente, imposta l'ID della VLAN e decidi se la chiave è una DPSK di gruppo. Ruckus rende visibile il tipo di chiave nel modello operativo. Una DPSK slegata (unbound) diventa legata (bound) quando un dispositivo la utilizza per la prima volta. Una DPSK di gruppo rimane condivisibile. Una chiave legata può essere importata con un indirizzo MAC. Utilizza chiavi slegate per un passaggio controllato. Utilizza le chiavi di gruppo solo dove l'uso condiviso è intenzionale e il proprietario accetta le conseguenze della rotazione. Utilizza i record legati dove esiste già un inventario di dispositivi attendibili. La decisione sulla policy può risiedere nel ruolo o nella VLAN selezionata. Ruckus documenta che un ruolo utente comporta attributi e autorizzazioni, inclusi VLAN, UTP e restrizioni temporali. Consente inoltre di selezionare una VLAN durante la generazione della chiave. Qualunque sia il design scelto, mappalo nuovamente sulla configurazione dello switch e del gateway. Un record di chiave corretto non può superare una VLAN mancante su un uplink AP. Per una visione neutrale rispetto ai vendor, RADIUS trasporta un risultato di autenticazione e autorizzazione. Non costringe ogni controller a interpretarlo nello stesso modo. In Cisco Meraki, RADIUS può fornire le informazioni sulla chiave e sovrascrivere il tag VLAN predefinito del SSID. In Aruba, ClearPass restituisce la passphrase MPSK e le informazioni di autorizzazione. In Ruckus DPSK, SmartZone può utilizzare il proprio record DPSK, il ruolo utente e la scelta della VLAN. La specifica RFC 4675 descrive gli attributi RADIUS per l'assegnazione dinamica della VLAN nelle reti IEEE 802 e riconosce che un dispositivo WiFi può essere gestito come una porta virtuale. Ciò significa che le prove dei tuoi test devono attraversare quattro livelli. Primo, il dispositivo ha utilizzato il SSID e la chiave previsti. Secondo, l'access point o il controller ha accettato la chiave. Terzo, il servizio di policy ha restituito l'autorizzazione prevista. Quarto, il dispositivo è atterrato nella VLAN o nella policy prevista e ha potuto raggiungere solo i servizi consentiti. Se ti fermi all'evento del controller, non hai dimostrato la segmentazione. Il test di revoca è il tuo test di accettazione più importante. Inizia con un controllo positivo. Connetti un dispositivo di test con una chiave rilasciata. Cattura l'accettazione RADIUS o ClearPass dove pertinente, il record del client sul controller e la VLAN o policy osservata. Quindi revoca la chiave alla vera origine del controllo. Rimuovi o nega la mappatura RADIUS Meraki. Rimuovi la registrazione o l'autorizzazione ClearPass che fornisce la decisione Aruba. Elimina la DPSK Ruckus. In UniFi PPSK, rimuovi la mappatura password - VLAN utilizzando la guida alla configurazione UniFi corrente. Quindi forza una nuova associazione. Dissocia il SSID, oppure disabilita e riabilita il WiFi, e riprova con la vecchia chiave. La condizione di superamento del test è un nuovo tentativo di connessione negato e una voce di registro che spiega il motivo. Non utilizzare l'assenza di una chiave in una dashboard come risultato. Stai testando se la rete rifiuta l'accesso, non se un amministratore ha completato un modulo di eliminazione. Per Aruba, includi il comportamento della cache nel piano di test. Una MPSK memorizzata nella cache potrebbe evitare una nuova ricerca. Definisci la gestione della cache o la fase di scadenza nella procedura di produzione e solo allora esegui il test di associazione ex novo. Per ogni piattaforma, ripeti l'accesso con una chiave non interessata sullo stesso SSID. Dovrebbe funzionare comunque. Questo consente di individuare un profilo WLAN corrotto, una modifica RADIUS troppo ampia o una VLAN mancante nel percorso cablato. Una sequenza di implementazione breve funziona bene. Inizia con due risultati di policy e una manciata di dispositivi rappresentativi. Uno dovrebbe essere un dispositivo semplice, come un tablet gestito. L'altro dovrebbe essere un dispositivo difficile, come un controller d'ambiente più vecchio o un'unità IoT. Testa il rilascio, l'accesso consentito, il rifiuto per chiave errata, la revoca e la continuità con chiave non interessata. Registra l'identificativo del dispositivo, il proprietario della chiave, il nome della policy, l'ora di rilascio e la posizione delle prove. Solo allora passa a un gruppo più ampio. Per le attività in loco, mantieni breve la procedura di supporto. Il team di primo livello ha bisogno del nome SSID, di un identificativo del dispositivo, del proprietario della chiave rilasciata, dell'ora del guasto e delle istruzioni per non rilasciare nuovamente una chiave prima che l'evento del controller venga acquisito. L'ingegneria di rete deve avere la gestione di RADIUS, ClearPass, della mappatura dei ruoli SmartZone e del trasporto VLAN cablato. Questa suddivisione evita una tipica perdita di tempo: sostituire una chiave quando il guasto effettivo è un trunk AP o un ruolo applicato in modo errato. Un'ultima parola sull'ambito di applicazione. iPSK può supportare la segmentazione e il controllo degli accessi, ma non rende automaticamente una rete conforme al GDPR o allo standard PCI-DSS. Il GDPR richiede misure di sicurezza tecniche e organizzative adeguate. Lo standard PCI-DSS definisce i requisiti per la protezione dei dati dei conti di pagamento. Considera l'implementazione di iPSK come uno degli elementi del più ampio progetto di sicurezza e gestione dei dati, non come un certificato di conformità. Il passo successivo è pratico. Scegli un sito simile a quello di produzione, due risultati di policy e un dispositivo di test per ciascuno. Costruisci il percorso decisionale, acquisisci le prove ed esegui il test di revoca prima di rilasciare più di qualche chiave. Se il test funziona, avrai le basi per un servizio WiFi multi-tenant che è più facile da gestire, più facile da revocare e più chiaro da supportare.

Parte della nostra serie principale: Guida al WiFi Multi-Tenant →

Come distribuire iPSK su Cisco Meraki, HPE Aruba e Ruckus

Cisco Meraki, HPE Aruba आणि Ruckus यापैकी प्रत्येक तुम्हाला प्रत्येक गटासाठी स्वतंत्र SSID तयार न करता वेगवेगळ्या उपकरणांना किंवा गटांना वेगवेगळ्या पॉलिसींवर ठेवण्याची परवानगी देतात. एक WPA2 पर्सनल SSID कॉन्फिगर करा, वैयक्तिक की तयार करा किंवा मिळवा, तिला VLAN किंवा रोलशी जोडणी करा, आणि नंतर हे सिद्ध करा की डिलीट केल्याने नवीन जोडणी ब्लॉक होते. 1 2 3

iPSK डिप्लॉयमेंट प्रत्यक्षात काय करते?

एक आयडेंटिटी प्री - शेअर्ड की, म्हणजेच iPSK, सामायिक SSID राखून एखाद्या उपकरणाला किंवा गटाला एक वेगळा पासवर्ड प्रदान करते. व्हेंडर्स यासाठी वेगवेगळी नावे वापरतात. Cisco Meraki याच्या RADIUS - बॅक्ड पर्यायाला iPSK असे म्हणते. HPE Aruba याला मल्टी प्री - शेअर्ड की, म्हणजेच MPSK म्हणते. Ruckus याला डायनॅमिक PSK, म्हणजेच DPSK म्हणते. Ubiquiti UniFi याच्या स्थानिक पर्यायाला प्रायव्हेट प्री - शेअर्ड की, म्हणजेच PPSK म्हणते.

याचा व्यावहारिक परिणाम म्हणजे एकाच वैयक्तिक WiFi नेटवर्कवर नियंत्रित प्रवेश मिळणे. तुम्ही प्रत्येक वापराच्या स्थितीनुसार स्वतंत्र SSID प्रसिद्ध न करता एखादे रूम डिव्हाइस, रेसिडेंट डिव्हाइस किंवा ऑपरेशनल डिव्हाइस वेगळे करू शकता. नियंत्रण बिंदू प्लॅटफॉर्मनुसार भिन्न असतो. Cisco Meraki हे RADIUS च्या माध्यमातून की आणि VLAN ओव्हरराइड मिळवू शकते. HPE Aruba हे ClearPass कडून एनक्रिप्टेड पासफ्रेज आणि ऑथोरायझेशन माहिती मिळवते. Ruckus हे DPSK ला थेट युझर रोल किंवा VLAN मध्ये ठेवू शकते. UniFi PPSK स्थानिक पातळीवर पासवर्डला VLAN शी मॅप करते. 1 2 3 4

हे 802.1X चे पर्याय नाही. IEEE 802.1X हे पोर्ट - आधारित नेटवर्क ऍक्सेस कंट्रोल प्रदान करते, तर iPSK अशा उपकरणांसाठी योग्य आहे ज्यांना सामायिक SSID आणि वैयक्तिक - की ऍक्सेसची आवश्यकता असते. 5

प्लॅटफॉर्म क्रेडेंशियल कंट्रोल प्लेन नमूद केलेल्या वर्कफ्लोद्वारे समर्थित पॉलिसी किंवा VLAN असोसिएशन महत्त्वाचे डिझाइन बंधन
Cisco Meraki बाह्य RADIUS RADIUS VLAN ओव्हरराइडसह ब्रिज - मोड SSID, तसेच डॅशबोर्ड ग्रुप पॉलिसी RADIUS सह iPSK हे WPA3 ला सपोर्ट करत नाही, आणि ते MX कंसन्ट्रेटरला टनेल केलेल्या SSID वर ऑपरेट होऊ शकत नाही. 1
HPE Aruba ClearPass पॉलिसी मॅनेजर ClearPass Access-Accept मध्ये ऑथोरायझेशन माहिती आणि Aruba MPSK पासफ्रेज ॲट्रिब्युट समाविष्ट असते MPSK हे WPA2-PSK-AES वापरते आणि मॅन्युअल MAC ऑथेंटिकेशनसह परस्पर अनन्य असते. 2
Ruckus SmartZone SmartZone डायनॅमिक PSK स्टोअर DPSK तयार करताना निवडलेला युझर रोल आणि VLAN ID बाउंड, अनबाउंड आणि ग्रुप कीजची ऑपरेशनल मालकी वेगवेगळी असते. 3
Ubiquiti UniFi UniFi नेटवर्क कॉन्फिगरेशन प्रत्येक कॉन्फिगर केलेल्या VLAN साठी एक PPSK पासवर्ड PPSK हे फक्त WPA2 आहे आणि ते 6 GHz बँडवर काम करत नाही. 4

सुरू करण्यापूर्वी तुम्हाला कशाची आवश्यकता आहे?

डॅशबोर्ड ऐवजी फॉरवर्डिंग डिझाइनपासून सुरुवात करा. टार्गेट VLANs तयार करा आणि याची खात्री करा की प्रत्येक AP अपलिंकवर असा कोणताही VLAN कार्यरत आहे जो एखादा SSID परत करू शकतो. अशा पॉलिसीचे परिणाम निवडा जे ऑपरेटर्स स्पष्ट करू शकतील, जसे की रेसिडेंट, बिल्डिंग ऑपरेशन्स, रूम डिव्हाइस आणि टेस्ट. कीज प्रति उपकरण असणार आहेत की नियंत्रित गटानुसार असणार आहेत हे ठरवा. प्रति - उपकरण कीज अचूक रिव्होकेशन (रद्द करणे) करण्यास परवानगी देतात, तर ग्रुप कीज त्रुटींचे निवारण करण्याचे श्रम कमी करतात परंतु लीक होण्याचा प्रभाव वाढवतात. 3 RADIUS-backed डिझाइनसाठी, ऍक्सेस पॉईंट्स किंवा त्यांच्या मॅनेजमेंट सबनेटची RADIUS क्लायंट म्हणून नोंदणी करा. ऍक्सेस पॉईंट्स आणि RADIUS सर्व्हरवर तोच शेअर केलेला गुप्त कोड (shared secret) वापरा. Cisco Meraki त्याच्या RADIUS सर्व्हर कॉन्फिगरेशनमध्ये या संबंधाचे दस्तऐवजीकरण करते. गुप्त कोड तुमच्या मंजूर सिक्रेट्स स्टोअरमध्ये ठेवा आणि प्रत्येक की पॉप्युलेशनसाठी नियुक्त मालक सेट करा. 1

लागू असेल तेथे SSID, पॉलिसी आउटकम, की सोर्स, चाचणी डिव्हाइसचा MAC ॲड्रेस आणि रिव्होकेशन रिझल्टची नोंद ठेवा. MAC रँडमायझेशनमुळे MAC-बाउंड वर्कफ्लो क्लिष्ट होऊ शकतो, ज्याला Cisco Meraki द्वारे Easy PSK चे एक कारण म्हणून ओळखले जाते. 1

तुम्ही RADIUS सह Cisco Meraki iPSK कसे कॉन्फिगर करता?

जेव्हा तुम्हाला केंद्रीय नियंत्रणाची आवश्यकता असेल तेव्हा RADIUS सह Cisco Meraki iPSK वापरा. डॅशबोर्डमध्ये, Wireless > Configure > Access control उघडा, लक्ष्यित SSID निवडा आणि Identity PSK with RADIUS निवडा. स्प्लॅश पेज None (Direct access) वर सेट करा, नंतर RADIUS सर्व्हरचे तपशील जोडा. Cisco Meraki च्या मार्गदर्शकामध्ये सध्याचे स्क्रीन्स आणि उदाहरणे समाविष्ट आहेत. 1

MAC-आधारित वर्कफ्लोसाठी, तुमचे RADIUS रेकॉर्ड क्लायंट MAC ॲड्रेस आणि PSK ला Tunnel-Password द्वारे बाइंड करते. Easy PSK मध्ये, AP हा Meraki व्हेंडर-विशिष्ट हँडशेक ॲट्रिब्युट्स पुरवतो; RADIUS ला iPSK सापडते आणि तो Access-Accept पाठवतो, त्यानंतर AP की हँडशेक रीस्टार्ट करतो. 1

जिथे तुम्हाला प्रति-डिव्हाइस VLAN प्लेसमेंटची आवश्यकता असेल तिथे ब्रिज मोड कॉन्फिगर करा. Client IP and VLAN अंतर्गत डीफॉल्ट SSID VLAN सेट करा, नंतर दस्तऐवजीकरण केलेले RADIUS ओव्हरराइड सक्षम करा जेणेकरून एखादे Access-Accept त्या डीफॉल्ट VLAN टॅगला बदलू शकेल. तुम्हाला फायरवॉल, ट्रॅफिक-शेपिंग किंवा इतर डॅशबोर्ड पॉलिसीची देखील आवश्यकता असल्यास Network-wide > Configure > Group Policies अंतर्गत मॅचिंग डॅशबोर्ड ग्रुप पॉलिसी तयार करा. Cisco Meraki चा व्हॅलिडेशन सिक्वेन्स म्हणजे चाचणी डिव्हाइस कनेक्ट करणे, RADIUS लाइव्ह लॉग तपासणे आणि डॅशबोर्डमध्ये क्लायंट तपासणे. 1

Cisco Meraki हे WPA3 वर किंवा MX Concentrator वर टनेल केलेल्या SSID वर या RADIUS सह iPSK क्षमतेला सपोर्ट करत नाही. पायलट प्रोजेक्ट सुरू करण्यापूर्वी दोन्ही गोष्टींची खात्री करा. 1

तुम्ही Aruba Central मध्ये HPE Aruba MPSK कसे कॉन्फिगर करता?

जेव्हा तुम्हाला डिव्हाइस-विशिष्ट किंवा ग्रुप-विशिष्ट पासफ्रेज आणि ऑथरायझेशन निर्णय जारी करण्यासाठी ClearPass ची आवश्यकता असेल तेव्हा ClearPass सह HPE Aruba MPSK वापरा. Aruba Central मधील दस्तऐवजीकरण केलेला मार्ग Manage > Devices > Access Points > Config > WLANs असा आहे. एखादा SSID जोडा किंवा सध्याचा SSID संपादित करा, Security उघडा, Personal निवडा, की मॅनेजमेंट अंतर्गत MPSK-AES निवडा, प्रायमरी सर्व्हर म्हणून ClearPass Policy Manager निवडा आणि सेव्ह करा. 2

दस्तऐवजीकरण केलेला प्रवाह सुस्पष्ट आहे. एखादे डिव्हाइस नोंदणी करते आणि पासफ्रेज प्राप्त करते. ते WPA2-PSK-AES सह कनेक्ट होते. AP हा ClearPass विरुद्ध MAC ऑथेंटिकेशन करतो. ClearPass ऑथरायझेशन माहिती आणि Aruba-MPSK-Passphrase व्हेंडर-विशिष्ट ॲट्रिब्युटसह Access-Accept परत करतो. AP हा PSK जनरेट करतो आणि फोर-वे की एक्सचेंज पूर्ण करतो. चुकीचा पासफ्रेज किंवा Access-Reject कनेक्शन रोखतो. 2 केवळ फ्लोमध्ये MAC लुकअप समाविष्ट आहे म्हणून WLAN वर मॅन्युअली MAC ऑथेंटिकेशन सक्षम करू नका. Aruba चे असे म्हणणे आहे की MPSK आणि मॅन्युअल MAC ऑथेंटिकेशन हे परस्पर अनन्य (mutually exclusive) आहेत. हे असेही नमूद करते की MPSK हे डिनायलिस्टिंग आणि अंतर्गत RADIUS सर्व्हरसोबत परस्पर अनन्य आहे. तुम्ही प्रॉडक्शन प्रोफाइल बदलण्यापूर्वी त्या निर्बंधांना डिझाइन रिव्ह्यू चेकपॉइंट म्हणून विचारात घ्या. 2

कॅशच्या (cache) आधारे रिव्होकेशनचे नियोजन करा. Aruba चे दस्तऐवजीकरण सांगते की AP हा रोमिंगसाठी स्थानिक कॅशमध्ये MPSK पासफ्रेज स्टोअर करतो आणि जेव्हा त्याला संबंधित एन्ट्री सापडते तेव्हा तो MAC ऑथेंटिकेशन वगळू शकतो. त्यामुळे, केवळ नोंदणी हटवणे किंवा पॉलिसी बदलणे हा पुरेसा पुरावा नाही. तुमच्या एक्सेप्टन्स टेस्टमध्ये संबंधित कॅश केलेली स्थिती जुन्या क्रेडेंशियलला परवानगी देणे बंद केल्यानंतर नवीन असोसिएशन समाविष्ट असणे आवश्यक आहे. तुमच्या रिलीजसाठी कॅश-क्लिअरिंग किंवा एक्स्पायरी प्रक्रिया परिभाषित करण्यासाठी सध्याचे Aruba आणि ClearPass ऑपरेटिंग दस्तऐवज वापरा. 2

तुम्ही SmartZone वर Ruckus DPSK की कशा तयार करता?

जेव्हा SmartZone हा तुमचा ऑपरेशनल कंट्रोल पॉइंट असतो आणि तुम्हाला कंट्रोलरने की तयार कराव्यात आणि काढून टाकाव्यात असे वाटत असेल तेव्हा Ruckus DPSK वापरा. प्रथम WLAN हे DPSK-सक्षम असल्याची खात्री करा. त्यानंतर Security > Access Control > Dynamic PSK वर जा आणि Generate DPSKs निवडा. WLAN निवडा, की ची संख्या निवडा, नंतर युझरनेम आणि पासफ्रेज प्रविष्ट करा किंवा जनरेट करा. युझर रोल निवडा, VLAN ID सेट करा आणि ती की ग्रुप DPSK आहे की नाही ते निवडा. 3

DPSK चा प्रकार काळजीपूर्वक निवडा. न बांधलेली (unbound) की पहिल्या वापराच्या वेळी बांधली (bound) जाते, ग्रुप की एकाधिक डिव्हाइसेसना सेवा देऊ शकते आणि बाउंड की CSV वापरून MAC ॲड्रेसद्वारे इंपोर्ट केली जाऊ शकते. 3

Ruckus निवडलेला युझर रोल हा रोलचे गुणधर्म आणि परवानग्यांशी जोडतो, ज्यामध्ये VLAN, UTP आणि वेळेचे निर्बंध समाविष्ट असतात. की तयार करताना तुम्ही VLAN ID देखील सेट करू शकता. यामुळे तुम्हाला ॲक्सेस कंट्रोल निर्णय हा DPSK रेकॉर्ड किंवा त्याच्या रोलशी जोडलेला ठेवून एक सुसंगत SSID वापरण्याची परवानगी मिळते. 3

रिव्होकेशनसाठी, Dynamic PSK सूचीमध्ये DPSK निवडा आणि Delete वापरा. की जारी करण्यासाठी वापरलेल्या त्याच डिव्हाइससह डिलीशनची चाचणी घ्या. SSID विसरून जा (forget) किंवा ते डिस्कनेक्ट करा, त्यानंतर काढून टाकलेल्या कीचा वापर करून नवीन कनेक्शनचा प्रयत्न करा. पास कंडिशन म्हणून नाकारलेला प्रवेश (denied join) रेकॉर्ड करा. कंट्रोलर सूचीमध्ये केवळ की नसण्यावर आधारित यश घोषित करू नका. 3

RADIUS एखाद्या की ला VLAN किंवा पॉलिसीशी कसे मॅप करतो?

RADIUS प्रत्येक व्हेंडरला एकाच पद्धतीने काम करायला लावत नाही. हे ऑथेंटिकेशन आणि ऑथोरायझेशनचा निर्णय वाहून नेते. AP किंवा कंट्रोलर हे ठरवतात की ते कोणत्या रिटर्न केलेल्या ॲट्रिब्यूट्सना सपोर्ट करतात. RFC 4675 हे IEEE 802 नेटवर्कमधील डायनॅमिक VLAN असाइनमेंटसाठी RADIUS ॲट्रिब्यूट्सचे वर्णन करते आणि नमूद करते की वायरलेस नेटवर्क डिव्हाइस सिक्युरिटी असोसिएशनला व्हर्च्युअल पोर्ट म्हणून मानू शकते. 6

टप्पा RADIUS सह Cisco Meraki iPSK HPE Aruba MPSK Ruckus DPSK तुम्ही काय व्हेरिफाय केले पाहिजे
डिव्हाइस जोडणी सुरू करते क्लायंट त्याचा कॉन्फिगर केलेला PSK सादर करतो; AP दस्तऐवजीकरण केलेले iPSK साहित्य RADIUS कडे फॉरवर्ड करतो. 1 क्लायंट MPSK पासफ्रेससह जोडला जातो. 2 क्लायंट DPSK-सक्षम WLAN मध्ये जोडला जातो. 3 अचूक SSID आणि वर्तमान की वापरली जाते.
अधिकृतता शोध RADIUS की फ्लो जुळवतो आणि की माहितीसह Access-Accept परत करतो. 1 ClearPass अधिकृतता माहिती आणि MPSK पासफ्रेस VSA सह Access-Accept परत करतो. 2 SmartZone DPSK रेकॉर्ड आणि निवडलेली भूमिका किंवा VLAN वाचतो. 3 शोध स्रोत डिव्हाइस किंवा की समूह ओळखतो.
प्रवेशाचा परिणाम RADIUS ओव्हरराइड SSID डीफॉल्ट VLAN टॅग बदलू शकतो; Dashboard गट पॉलिसी अतिरिक्त नियंत्रणे लागू करू शकते. 1 Aruba ClearPass कडील अधिकृतता माहिती दस्तऐवजीकरण करते. तुमची ClearPass पॉलिसी स्वतंत्रपणे तयार करा आणि सत्यापित करा. 2 वापरकर्त्याची भूमिका तिच्या परवानग्या हस्तांतरित करते, ज्यामध्ये VLAN चा समावेश आहे; की जनरेशनच्या वेळी देखील VLAN निवडले जाऊ शकते. 3 डिव्हाइसला अपेक्षित सबनेट आणि पॉलिसी मिळते.
नकारात्मक परिणाम कोणतीही वैध RADIUS स्वीकृती नसणे म्हणजे कोणतीही यशस्वी iPSK असोसिएशन नसणे. 1 चुकीचा पासफ्रेस किंवा Access-Reject प्रमाणीकरण अयशस्वी करतो. 2 DPSK हटवा, नंतर नवीन जोडणीची चाचणी घ्या. 3 लॉग नाकारल्याचे दर्शवतात, केवळ क्लायंट-साइड एरर नाही.

Cisco Meraki साठी, डीफॉल्ट VLAN आणि RADIUS-ओव्हरराइड परिणाम दोन्हीची चाचणी घ्या, नंतर परत आलेले VLAN आणि AP ट्रंक कॉन्फिगरेशन एका बदल रेकॉर्डमध्ये ठेवा. Aruba साठी, तुमच्या स्वतःच्या वातावरणात ClearPass पॉलिसीचा निकाल सिद्ध करा. Ruckus साठी, DPSK जनरेशन दरम्यान निवडलेली भूमिका किंवा VLAN हे स्विच आणि गेटवे डिझाइनशी सुसंगत ठेवा. 1 2 3

Hai domande sulla tua configurazione specifica?

Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.

की रिव्होकेशन (रद्दीकरण) कार्य करते की नाही हे तुम्ही कसे तपासता?

पहिल्या उपयोजनातच (deployment) रद्दीकरण समाविष्ट करा. तुम्ही गमावलेले स्थानिक डिव्हाइस, ऑफबोर्ड केलेला कंत्राटदार किंवा चुकीच्या पद्धतीने जारी केलेली की यावरील ऑपरेशनल प्रतिसादाची चाचणी घेत आहात. यशस्वी होण्याची अट "आम्ही रेकॉर्ड हटवले" ही नाही. यशस्वी होण्याची अट ही आहे की "डिव्हाइस काढलेल्या की सह नवीन जोडणी पूर्ण करू शकत नाही आणि लॉग त्याचे कारण ओळखतात".

सकारात्मक चाचणीने सुरुवात करा. जारी केलेली की वापरून चाचणी डिव्हाइस कनेक्ट करा. कंट्रोलर किंवा RADIUS स्वीकृती इव्हेंट, नियुक्त केलेली क्लायंट पॉलिसी आणि डिव्हाइसद्वारे निरीक्षण केलेला नेटवर्क विभाग कॅप्चर करा. Cisco Meraki साठी, Dashboard क्लायंट तपशील आणि तुमचे RADIUS लॉग तपासा. Ruckus साठी, DPSK रेकॉर्ड, भूमिका किंवा VLAN आणि जोडणीचा निकाल कॅप्चर करा. Aruba साठी, ClearPass निकाल तसेच AP निकाल कॅप्चर करा. 1 2 3

त्यानंतर की तिच्या मूळ स्त्रोतावरून (source of truth) रद्द करा. संबंधित Cisco Meraki RADIUS मॅपिंग काढा किंवा नाकारा. Aruba MPSK निर्णय पुरवणारे ClearPass नोंदणी किंवा अधिकृतता काढून टाका. Ruckus DPSK हटवा. UniFi PPSK साठी, सध्याच्या UniFi कॉन्फिगरेशनमधील पासवर्ड-टू-VLAN मॅपिंग काढा आणि उत्पादन वातावरणात वर्कफ्लो वापरण्यापूर्वी सध्याच्या UniFi दस्तऐवजांनुसार त्याचे प्रमाणीकरण करा. 1 2 3 4 नवीन असोसिएशन जबरदस्तीने लागू करा. WiFi अक्षम करा आणि पुन्हा सक्षम करा किंवा SSID विसरून जा, नंतर जुन्या की (key) सह पुन्हा सामील व्हा. अचूक लॉग्स तपासा. Aruba साठी अतिरिक्त कॅशे विचारात घेणे आवश्यक आहे कारण कॅश केलेले MPSK नवीन MAC ऑथेंटिकेशन लुकअप टाळू शकते. कॅश केलेल्या स्टेटचा वापर करणारी नवीन चाचणी वेळेवर रिव्होकेशन (रद्द करणे) दर्शवत नाही. 2

शेवटी, त्याच SSID वरील जवळच्या अप्रभावित कीची चाचणी घ्या. ती अद्याप जॉइन झाली पाहिजे आणि तिची इच्छित पॉलिसी प्राप्त झाली पाहिजे. यामुळे WLAN, RADIUS क्लायंट रजिस्ट्रेशन किंवा स्विच ट्रंकमधील अति-व्यापक बदल लक्षात येतात. रिव्होकेशनपासून अयशस्वी नवीन असोसिएशनपर्यंतचा वेळ रेकॉर्ड करा. ते मोजमाप वेन्यू ऑपरेशन्सना सांगते की जॉइनर्स, मूव्हर्स आणि लीव्हर्स प्रक्रिया प्रत्यक्षात काय वचन देऊ शकते.

Come distribuire iPSK su Cisco Meraki, HPE Aruba e Ruckus - ipsk revocation test

काय चुकते, आणि तुम्ही ते कसे दुरुस्त करता?

लक्षण संभाव्य कॉन्फिगरेशन क्षेत्र पहिली तपासणी
क्लायंट कधीही Cisco Meraki की सह जॉइन होत नाही SSID मोड किंवा RADIUS रिटर्न Identity PSK with RADIUS, थेट ॲक्सेस, RADIUS पोहोच आणि अपेक्षित RADIUS निकालाची पुष्टी करा. 1
क्लायंट जॉइन होतो परंतु चुकीच्या Cisco Meraki सबनेटवर पोहोचतो VLAN ओव्हरराइड किंवा AP अपलिंक डीफॉल्ट SSID VLAN, RADIUS ओव्हरराइड निकाल आणि AP ट्रंक अलाउन्सची तुलना करा. 1
प्रोफाइल एडिट केल्यानंतर Aruba MPSK जॉइन अयशस्वी होतो असमर्थित संयोजन WPA2-PSK-AES, प्राथमिक सर्व्हर म्हणून ClearPass आणि कोणतेही मॅन्युअल MAC ऑथेंटिकेशन, डिनायलिसिटंग किंवा अंतर्गत RADIUS संयोजन नसल्याची पुष्टी करा. 2
Aruba रिव्होकेशन धीमे असल्याचे दिसते रोमिंग कॅशे डिझाइन सदोष घोषित करण्यापूर्वी AP ने दस्तऐवजीकरण केलेले स्थानिक MPSK कॅशे वापरले आहे की नाही ते स्थापित करा. 2
Ruckus की अनपेक्षितपणे शेअर केली जाते DPSK प्रकार बाउंड होण्याच्या उद्देशाने असलेल्या की ऐवजी ग्रुप DPSK निवडला गेला होता का याचे पुनरावलोकन करा. 3
6 GHz डिझाइनमधून UniFi PPSK गहाळ आहे सुरक्षा मोड आणि बँड PPSK केवळ WPA2 आहे आणि 6 GHz वर काम करत नाही. ॲक्सेस पद्धतीची पुनर्रचना करण्यासाठी उद्धृत केलेल्या UniFi मार्गदर्शनाचा वापर करा. 4

Multi-Tenant WiFi डिझाइनमध्ये iPSK कुठे बसते?

iPSK हा एक ॲक्सेस-कंट्रोल पॅटर्न आहे, संपूर्ण WiFi ऑपरेटिंग मॉडेल नाही. हे Multi-Tenant WiFi मध्ये बसते जिथे रहिवासी, बिल्डिंग सिस्टम्स आणि कर्मचारी उपकरणांना वेगवेगळ्या ॲक्सेस निर्णयांची आवश्यकता असते. अभ्यागतांसाठी Guest WiFi सह त्याची जोडी बनवा. बिल्डिंग कॉन्ट्रॅक्टच्या निर्णयासाठी, Bulk internet agreement vs managed WiFi: which model fits your building पहा.

हा पॅटर्न Hospitality , Retail , Transport आणि Healthcare मध्ये लागू होतो. Purple त्याचे हार्डवेअर-अज्ञेयवादी क्लाउड ओव्हरले Cisco Meraki, HPE Aruba, Ruckus किंवा Ubiquiti UniFi इन्फ्रास्ट्रक्चरवर देऊ शकते. अधिक विस्तृत संदर्भासाठी Guest WiFi Management: Smart Authentication & Segmentation आणि Cloud Wifi Management: Secure Enterprise Connectivity 2026 पहा.

सविस्तर उदाहरण: हॉटेल रूममधील उपकरणे आणि इमारत कामकाज

एका २०० खोल्यांच्या हॉटेलला रूममधील उपकरणांसाठी एक ऑपरेशनल SSID आणि स्वतंत्र इमारत कामकाज (building operations) विभाग हवा आहे, तोही प्रत्येक उपकरण श्रेणीसाठी स्वतंत्र SSID न बनवता. नेटवर्क आर्किटेक्ट ब्रिज मोडमध्ये RADIUS सह Cisco Meraki iPSK निवडतात. RADIUS डिझाइनमध्ये प्रत्येक उपकरण श्रेणीसाठी एक की (key) रेकॉर्ड आणि इच्छित VLAN चा निर्णय असतो. SSID मध्ये एक डीफॉल्ट VLAN असते, आणि केवळ परिभाषित केलेले RADIUS प्रतिसाद त्यामध्ये बदल करू शकतात. 1

मोजता येण्याजोगा स्वीकृती संच मर्यादित आहे. एका चाचणी रूम उपकरणाने त्याच्या जारी केलेल्या की सह कनेक्ट करणे आवश्यक आहे आणि रूम-डिव्हाइस विभाग प्राप्त करणे आवश्यक आहे. इमारत कामकाज उपकरणाला कामकाज विभाग प्राप्त झाला पाहिजे. RADIUS स्टोअरमधून काढून टाकलेली की नवीन जोडणीमध्ये अयशस्वी ठरली पाहिजे. दुसरी वैध की अद्याप कनेक्ट होण्यास सक्षम असावी. यामुळे हे सिद्ध होते की प्रवेश, विभाजन (segmentation) आणि रद्द करण्याची प्रक्रिया स्वतंत्र प्रात्यक्षिकांऐवजी एकत्र काम करतात.

सविस्तर उदाहरण: स्टेडियम कामकाज आणि तात्पुरती इव्हेंट उपकरणे

एक स्टेडियम तात्पुरत्या इव्हेंट टीमसाठी Ruckus SmartZone वापरते ज्यांना सेटअप दरम्यान नियंत्रित प्रवेश आवश्यक असतो. अभियंता सिंगल-डिव्हाइस हँडओव्हरसाठी अनबाउंड DPSK आणि सामायिक उपकरणांसाठी स्वतंत्रपणे नियंत्रित ग्रुप DPSK तयार करतात. SmartZone मध्ये प्रत्येक की साठी स्पष्ट भूमिका किंवा VLAN पर्याय असतो. 3

मोजता येणारा परिणाम म्हणजे जॉइन मॅट्रिक्स. पहिल्या वापरानंतर बाउंड होणाऱ्या की ने अनियोजित दुसऱ्या उपकरणाला प्रवेश देऊ नये. ग्रुप की ने प्रत्येक अधिकृत उपकरणासाठी त्याच्या इच्छित VLAN वर पोहोचले पाहिजे. कार्यक्रम संपल्यानंतर, की काढून टाकल्याने मूळ चाचणी उपकरणाद्वारे नवीन जोडणी होण्यास प्रतिबंध झाला पाहिजे. यामुळे वेन्यू ऑपरेशन्सना SSID न वाढवता वारंवार वापरता येणारे जारी-आणि-रद्द करण्याचे नियंत्रण मिळते.

Come distribuire iPSK su Cisco Meraki, HPE Aruba e Ruckus - radius lookup flow

वारंवार विचारले जाणारे प्रश्न

मी विद्यमान Cisco Meraki ॲक्सेस पॉइंट्सवर iPSK तैनात करू शकतो का?

होय, Cisco Meraki त्याच्या वायरलेस ॲक्सेस-कंट्रोल कॉन्फिगरेशनवर RADIUS सह iPSK चे दस्तऐवजीकरण करते, जे त्याच्या नमूद केलेल्या वैशिष्ट्य मर्यादांच्या अधीन असते. तुम्ही Dashboard मध्ये SSID, RADIUS सर्व्हर आणि आवश्यक असेल तिथे ब्रिज-मोड VLAN ओव्हरराइड कॉन्फिगर करता. SSID एका MX Concentrator ला टनेल केलेले नाही याची खात्री करा आणि दस्तऐवजीकरण केलेल्या RADIUS सह iPSK वर्कफ्लोसाठी WPA3 चे नियोजन करू नका. 1

HPE Aruba Central MPSK साठी ClearPass आवश्यक आहे का?

होय, नमूद केलेला HPE Aruba Central MPSK वर्कफ्लो मुख्य सर्व्हर म्हणून ClearPass पॉलिसी मॅनेजर निवडतो. ClearPass उपकरण-विशिष्ट किंवा ग्रुप-विशिष्ट पासफ्रेज पुरवतो आणि दस्तऐवजीकरण केलेली Access-Accept अधिकृतता माहिती परत करतो. रोलआउटपूर्वी Aruba ने वगळलेले कॉम्बिनेशन्स तपासा, विशेषतः मॅन्युअल MAC ऑथेंटिकेशन, डिनायलिसकटिंग आणि अंतर्गत RADIUS सर्व्हर. 2

Ruckus DPSK उपकरणाला वेगळ्या VLAN वर ठेवू शकते का?

होय, Ruckus SmartZone तुम्हाला DPSK जनरेट करताना VLAN ID निवडण्याची परवानगी देते आणि तुम्हाला अशी युझर भूमिका नियुक्त करण्याची परवानगी देते ज्याच्या परवानग्यांमध्ये VLAN समाविष्ट आहे. तरीही आपण WLAN, AP अपलिंक्स, स्विचेस आणि गेटवे त्या सेगमेंटला वाहून नेतात याची खात्री केली पाहिजे. ठिकाणाच्या प्रमाणात की जारी करण्यापूर्वी प्रत्येक इच्छित पॉलिसी परिणामासाठी एक की तयार करा आणि तिची चाचणी घ्या. 3

Ubiquiti UniFi Private PSK आणि RADIUS-assigned VLANs एकच आहेत का?

नाही, UniFi PPSK आणि RADIUS-assigned VLANs चे वर्णन स्वतंत्र पर्याय म्हणून करते. PPSK एका शेअर्ड SSID वरील पासवर्डला VLAN सोबत मॅप करते. RADIUS-assigned VLANs युनिक प्रोफाइल्स वापरतात आणि त्यासाठी WPA2 Enterprise किंवा WPA3 Enterprise आवश्यक असते. UniFi PPSK हे केवळ WPA2 आहे आणि ते 6 GHz बँडवर काम करत नाही. 4

iPSK च्या उपयोजनासाठी (deployment) किती प्रयत्नांची आवश्यकता असते?

पायलटसाठी एक परिभाषित SSID, लक्ष्यित VLANs, एक ॲक्सेस कंट्रोल सोर्स, संबंधित ठिकाणी AP-to-RADIUS कनेक्टिव्हिटी आणि रिव्होकेशन चाचणी आवश्यक असते. की मालकांच्या संख्येनुसार आणि पॉलिसीच्या परिणामांनुसार प्रयत्न वाढतात, SSIDs च्या संख्येनुसार नाही. दोन पॉलिसी आणि काही उपकरणांसह प्रारंभ करा, नंतर व्यापक रोलआउटपूर्वी जारी करणे, सपोर्ट आणि ऑफबोर्डिंग पायऱ्यांचे दस्तऐवजीकरण करा.

GDPR किंवा PCI-DSS अनुपालनात iPSK मदत करू शकते का?

iPSK सेगमेंटेशन आणि ॲक्सेस कंट्रोल डिझाइनला सपोर्ट करू शकते, परंतु ते अनुपालन प्रमाणित करत नाही. GDPR कलम ३२ साठी योग्य तांत्रिक आणि संस्थात्मक सुरक्षा उपायांची आवश्यकता असते. PCI-DSS खाते डेटा सुरक्षित ठेवण्यासाठी तांत्रिक आणि कार्यात्मक आवश्यकता प्रदान करते. संबंधित अनुपालन मालकासह आपल्या वास्तविक डेटा प्रवाह, लॉगिंग, धारणा, प्रवेश अधिकार आणि पेमेंट वातावरणाचे मूल्यांकन करा. 7 8

रहिवासी किंवा कर्मचाऱ्यांना की जारी करण्यापूर्वी मी काय चाचणी घेतली पाहिजे?

एका परवानगी असलेल्या जॉईनची, अपेक्षित VLAN किंवा पॉलिसी परिणामाची, काढून टाकलेल्या की सह नाकारलेल्या जॉईनची आणि त्याच SSID वरील एका अप्रभावित की ची चाचणी घ्या. प्रत्येक चाचणीसाठी कंट्रोलर आणि RADIUS किंवा ClearPass चे पुरावे कॅप्चर करा. Aruba उपयोजनांमध्ये दस्तऐवजीकरण केलेल्या MPSK कॅशेचा देखील विचार केला पाहिजे, कारण कॅशे केलेली पासफ्रेज तात्काळ पुन्हा केलेल्या प्रयत्नातून सिद्ध होणाऱ्या गोष्टी बदलू शकते. 1 2 3

References

Definizioni chiave

iPSK

Una chiave pre-condivisa distinta utilizzata su un SSID condiviso, che consente una decisione di accesso per dispositivo o gruppo.

Utilizzarlo quando i dispositivi richiedono un onboarding più semplice rispetto alle credenziali aziendali, ma si ha comunque la necessità di tracciare l'emissione e la revoca.

MPSK

La funzionalità Multi Pre-Shared Key di HPE Aruba, documentata con passphrase specifiche per dispositivo o gruppo emesse da ClearPass.

Utilizzarlo in una progettazione Aruba Central e ClearPass che richiede il controllo degli accessi tramite chiavi personali.

DPSK

La Dynamic PSK di Ruckus, creata e gestita in SmartZone per una WLAN abilitata a DPSK.

Utilizzarlo quando SmartZone è il punto di controllo per l'emissione, l'associazione e l'eliminazione delle chiavi.

PPSK

Le Private Pre-Shared Keys di Ubiquiti UniFi, che mappano una password a una VLAN su un SSID condiviso.

Utilizzarlo per la segmentazione VLAN locale UniFi entro i vincoli documentati per WPA2 e banda.

RADIUS

Un protocollo e modello di servizio per le decisioni di autenticazione, autorizzazione e accounting tra un access point e un servizio di policy.

Utilizzarlo laddove la piattaforma documenta un flusso di lavoro iPSK o MPSK supportato da RADIUS e si necessita di un controllo centrale.

VLAN

Un segmento di rete logico che separa i domini di trasmissione e può essere assegnato come parte di una decisione di accesso.

Utilizzarlo per mantenere il traffico di residenti, ospiti, operativo e dei dispositivi su percorsi di policy distinti.

RADIUS Access-Accept

La risposta di successo da un server RADIUS, che può includere informazioni sulla chiave o sull'autorizzazione specifiche del fornitore.

Ispezionarlo durante la risoluzione dei problemi per capire perché un dispositivo si è associato, quale policy ha ricevuto o perché l'esito di una VLAN è cambiato.

RADIUS override

Una funzionalità della piattaforma che consente a una risposta RADIUS andata a buon fine di sostituire il tag VLAN predefinito di un SSID.

Utilizzarlo su progetti in modalità bridge Cisco Meraki supportati quando la policy centrale deve controllare la VLAN del client.

Four-way key handshake

Lo scambio per lo stabilimento della chiave WPA utilizzato dopo l'associazione per impostare le chiavi di protezione del traffico.

Spiega perché sono necessarie sia una chiave personale corretta sia un risultato di policy accettato prima che un client possa utilizzare la rete.

Test di revoca

Un test controllato di nuova associazione che dimostra che una chiave rimossa o negata non consente più l'accesso alla rete.

Eseguirlo prima di una distribuzione su più ampia scala e dopo qualsiasi modifica al controllo degli accessi per verificare il processo di ingresso, spostamento e uscita degli utenti.

Esempi pratici

Un hotel da 200 camere ha l'esigenza di collocare i dispositivi delle camere e le operazioni dell'edificio su un unico SSID con segmenti di rete separati.

Configurare Cisco Meraki iPSK con RADIUS in modalità bridge. Gestire un record RADIUS e la decisione della VLAN prevista per ciascuna categoria di dispositivi, impostare una VLAN predefinita per l'SSID e abilitare l'override RADIUS documentato. Validare l'associazione di un dispositivo in camera, l'associazione di un dispositivo operativo, il rifiuto di una chiave revocata e la connessione di una chiave non interessata. [1]

Uno stadio necessita di un accesso controllato per i dispositivi temporanei degli eventi senza dover creare molteplici SSID operativi.

In Ruckus SmartZone, generare DPSK non associate per la consegna controllata a singoli dispositivi e una DPSK di gruppo governata per le apparecchiature condivise. Assegnare il ruolo o la VLAN prevista al momento della generazione. Validare che una chiave appena associata rifiuti un secondo dispositivo non pianificato, che la chiave di gruppo riceva la sua policy e che l'eliminazione blocchi una nuova associazione dopo la disattivazione. [3]

Sources

  1. Cisco Meraki: iPSK with RADIUS authentication
  2. HPE Aruba: Support for MPSK in WLAN SSID
  3. Ruckus SmartZone: Generating Dynamic PSKs
  4. Ubiquiti UniFi: PPSK and RADIUS for multiple VLANs
  5. RFC 3580: IEEE 802.1X RADIUS usage guidelines
  6. RFC 4675: RADIUS attributes for VLAN and priority support
  7. EUR-Lex: General Data Protection Regulation
  8. PCI Security Standards Council: PCI Data Security Standard

Continua a leggere questa serie

Soluzioni WiFi per appartamenti: una guida completa per le aziende

Questa guida copre l'architettura, l'implementazione e il business case per le soluzioni WiFi per appartamenti nelle proprietà Build to Rent e nelle unità abitative plurifamiliari. Spiega come la tecnologia Identity Pre-Shared Key (iPSK) crei bolle di rete sicure e isolate per ogni residente, supportando al contempo i dispositivi intelligenti e l'IoT. Gli sviluppatori immobiliari, i proprietari e gli operatori BTR troveranno indicazioni pratiche per l'implementazione, dati sul ROI e scenari di implementazione pratici.

Leggi la guida →

WiFi per centri commerciali: guida per property manager

Questa guida fornisce un piano tecnico e commerciale completo per l'implementazione del WiFi in un intero centro commerciale. Copre l'architettura di rete a tre livelli, la progettazione RF ad alta densità, l'acquisizione di dati conforme al GDPR e le strategie di monetizzazione dei media retail. I property manager, i team IT e i CTO troveranno indicazioni operative per l'implementazione, insieme a un chiaro framework ROI per trasformare la connettività degli ospiti in un asset di dati di prima parte.

Leggi la guida →

Student WiFi: What Universities Need to Get Right

Questa guida autorevole descrive in dettaglio l'architettura critica, i protocolli di sicurezza e gli analytics necessari per fornire student WiFi ad alte prestazioni su scala. Offre ai leader IT strategie pratiche per gestire la densità dei dispositivi BYOD, implementare un'autenticazione robusta e sfruttare la network intelligence per la gestione del patrimonio immobiliare.

Leggi la guida →

Hai domande sulla tua configurazione specifica?

Il nostro team collabora con gestori di sedi, responsabili IT e ingegneri di rete in 80.000 sedi. Prenota una chiamata di 20 minuti e ti mostreremo come altri professionisti come te hanno risolto il problema.