तुम्ही शुक्रवारी उशिरा WLAN बदलाचे पुनरावलोकन करत आहात. कंट्रोलर तुम्हाला प्रोटेक्टेड मॅनेजमेंट फ्रेम्ससाठी तीन सेटिंग्ज देतो - disabled, optional आणि required, आणि त्या SSID वरील प्रत्येक उपकरणाला सोमवारी सकाळी या निवडीचा परिणाम जाणवेल. ते खूप लचकदार ठेवल्यास बनावट डिस्कनेक्ट्स तरीही काम करतील. ते खूप कडक ठेवल्यास इमारतीतील प्रिंटर, स्कॅनर आणि जुने लॅपटॉप अजिबात जोडले जाणार नाहीत. हे मार्गदर्शक त्या निवडीला ती खरोखर जशी आहे तशीच मानते - प्रति-SSID अंमलबजावणीचा निर्णय ज्याच्या सुसंगततेच्या खर्चाचे नियोजन तुम्ही करू शकता.
Protected Management Frames काय करतात
एखाद्या व्यस्त WLAN वर, कोणीही त्याचा पासवर्ड न बदलता किंवा त्याचे एनक्रिप्शन न तोडता डिव्हाइसचे कनेक्शन खंडित होऊ शकते. याचे कारण बनावट मॅनेजमेंट फ्रेम असू शकते, जो एक रेडिओ संदेश आहे जो डिव्हाइसला डिस्कनेक्ट होण्यास सांगतो. Protected Management Frames (PMF) अशा प्रकारचा संदेश अस्सल म्हणून स्वीकारला जाण्यापासून रोखण्यात मदत करतात.
PMF ही कमतरता दूर करण्यासाठी तयार केले गेले होते
मॅनेजमेंट फ्रेम्स मध्ये वायरलेस कनेक्शन स्थापित करण्याचे, ते चालू ठेवण्याचे आणि समाप्त करण्याचे निर्देश असतात. यामध्ये ईमेल, रुग्णांचे रेकॉर्ड किंवा व्हिडिओ कॉल स्वतः समाविष्ट नसतात. PMF च्या आधी, रेडिओ रेंजमधील कोणताही हल्ला करणारा डिऑथेंटिकेशन किंवा डिसअसोसिएशन मेसेज बनावट बनवू शकत होता. हा मेसेज प्राप्त करणारे डिव्हाइस नेटवर्क सोडू शकत होते, जरी त्याचा एनक्रिप्टेड युझर ट्रॅफिक सुरक्षित असला तरीही.
PMF हे IEEE 802.11w दुरुस्तीमधून आले आहे, जे 2009 मध्ये प्रकाशित झाले होते, ज्याने बनावट मॅनेजमेंट फ्रेम्स, विशेषतः वैध वापरकर्त्यांना जबरदस्तीने डिस्कनेक्ट करणाऱ्या संदेशांना संबोधित केले, जसे की वाय-फाय अलायन्स प्रोटेक्टेड मॅनेजमेंट फ्रेम्सचे अवलोकन मध्ये वर्णन केले आहे. हे सुरक्षित कंट्रोल ट्रॅफिकमध्ये इंटेग्रिटी चेक्स आणि ओरिजिन ऑथेंटिकेशन जोडते. ॲक्सेस पॉइंट किंवा क्लायंट सुरक्षित संदेश कोणी पाठवला आहे हे तपासू शकतात आणि आंधळेपणाने कृती करण्याऐवजी तपासणीत अपयशी ठरलेला संदेश नाकारू शकतात.
सुरक्षित युनिकास्ट मॅनेजमेंट फ्रेम्स देखील एनक्रिप्ट केल्या जाऊ शकतात, ज्यामुळे वन-टू-वन सूचना खाजगी तसेच सत्यापित राहतात. PMF मध्ये डीऑथेंटिकेशन आणि डिसॲसोसिएशन फ्रेम्स, तसेच रेडिओ मेजरमेंट, ब्लॉक ॲकनॉलेजमेंट, फास्ट BSS ट्रान्सिशन, स्पेक्ट्रम मॅनेजमेंट आणि क्वालिटी ऑफ सर्व्हिससाठी वापरल्या जाणाऱ्या ॲक्शन फ्रेम्स समाविष्ट आहेत. हे संदेश सत्र समाप्त करू शकतात, रेडिओ परिस्थितीची तक्रार करू शकतात, डेटा ब्लॉकची पुष्टी करू शकतात, दुसऱ्या ॲक्सेस पॉइंटवर जाण्यास सपोर्ट करू शकतात किंवा व्हॉइस आणि व्हिडिओ ट्रॅफिक व्यवस्थापित करू शकतात.
PMF म्हणजे काय नाही
पीएमएफ कंट्रोल ट्रॅफिकचे रक्षण करते, वापरकर्ता डेटाचे नाही. हे प्रमाणीकरण, एन्क्रिप्शन किंवा ऑथोरायझेशन बदलण्याऐवजी WPA2 किंवा WPA3 सोबत कार्य करते. WiFi ॲलायन्स पीएमएफ चे वर्णन डिस्कनेक्ट, हानीपॉट आणि एव्हिल-ट्विन हल्ल्यांचा प्रतिकार करण्यास मदत करण्याचा एक मार्ग म्हणून करते. हे वापरकर्त्याची ओळख प्रस्थापित करत नाही किंवा नेटवर्कमध्ये कोण ॲक्सेस करू शकते हे ठरवत नाही.
PMF हे एक पूरक नियंत्रण आहे. तुमचे ऑथेंटिकेशन कोणाला प्रवेश द्यायचा हे ठरवते, तुमचे एन्क्रिप्शन डेटाचे संरक्षण करते आणि PMF सेशन जिवंत ठेवणाऱ्या सूचनांचे संरक्षण करते.
ॲक्सेस पॉइंट आणि क्लायंट दोघांनीही PMF ला सपोर्ट करणे आवश्यक आहे, आणि हे सेटिंग प्रत्येक एनक्रिप्ट केलेल्या SSID वर स्वतंत्रपणे लागू होते. त्यामुळे हे अंमलबजावणी संपूर्ण साइटसाठी एका स्विचऐवजी नेटवर्कनुसार घेण्याचा निर्णय बनवते. ट्रान्सिशन-मोड नेटवर्क्स अनेकदा सक्ती न करता PMF ला अनुमती देतात, ज्यामुळे जुने क्लायंट अजूनही कनेक्ट होऊ शकतात. याचा तोटा असा आहे की PMF वापरण्यास असमर्थ असलेल्या क्लायंटना त्या SSID वर तिचे संरक्षण मिळत नाही. किती घट्टपणे अंमलबजावणी करायची हे निवडण्यापूर्वी क्लायंटचे मिश्रण आणि नेटवर्कच्या रोमिंग आवश्यकतांचा विचार करा.
Disabled, Optional किंवा Required मोड निवडणे
PMF हे प्रत्येक WLAN साठी तीनपैकी एका मोडमध्ये चालते, आणि तो मोड ठरवतो की कोण कनेक्टेड राहील आणि कोणाचा डेटा उघडा राहील. प्रोडक्शन प्रोफाइलला हात लावण्यापूर्वी हा तक्ता मार्गदर्शक म्हणून वापरा.
| मोड | काय घडते | जुन्या डिव्हाइसवरील परिणाम | बनावट deauth चा धोका | यासाठी सर्वोत्तम वापर |
|---|---|---|---|---|
| डिसेंबर केले (Disabled) | व्यवस्थापन-फ्रेम सुरक्षा नाही | सर्वत्र कनेक्ट होते | पूर्ण धोका | बंद पडण्याच्या मार्गावर असलेले स्वतंत्र जुने नेटवर्क |
| पर्यायी (Optional) | PMF फक्त तेव्हाच वापरले जाते जेव्हा क्लायंट आणि WLAN दोघेही त्याला सपोर्ट करतात | जुने डिव्हाइसेस कनेक्ट होत राहतात | PMF नसलेल्या क्लायंटसाठी धोका कायम | WPA2 आणि WPA3 संक्रमण SSIDs |
| आवश्यक (Required) | फक्त PMF-सक्षम क्लायंटसोबतच कनेक्शन | असमर्थित डिव्हाइसेस जोडले जाण्यास अपयशी ठरतात | प्रत्येक जोडलेल्या क्लायंटसाठी सुरक्षित | फक्त WPA3 आणि उच्च-सुरक्षा SSIDs |
डिझॅबल केलेले (Disabled)
Disabled पर्याय तुम्हाला कोणतेही संरक्षण देत नाही आणि त्याचा कोणताही सुसंगतता खर्च येत नाही. पूर्वी जोडले जाऊ शकणारे प्रत्येक क्लायंट अजूनही जोडले जाऊ शकते, आणि पूर्वी काम करणारी प्रत्येक बनावट डीऑथेंटिकेशन फ्रेम अजूनही काम करते. हे सेटिंग फक्त अशा एकाकी लेगसी नेटवर्कसाठी ठेवा जे तुम्ही वेगळे केले आहे, दस्तऐवजीकृत केले आहे आणि निवृत्तीची तारीख दिली आहे. जर कोणतीही तारीख नसेल, तर डिसेबल केलेले सेटिंग हळूहळू कायमस्वरूपी बनते.
ऐच्छिक
पर्यायी मोड (optional mode) मध्ये, जेव्हा WLAN आणि क्लायंट दोघेही सपोर्ट करतात तेव्हाच क्लायंट PMF वापरतो, त्यामुळे जुनी डिव्हाइसेस कनेक्टिव्हिटी राखून ठेवतात परंतु non-PMF असोसिएशन बनावट मॅनेजमेंट-फ्रेम हल्ल्यांना उघडे राहतात. ट्रान्सिशन दरम्यान हा एक प्रामाणिक तडजोडीचा मार्ग आहे. तुमच्या आधुनिक फोन्स आणि लॅपटॉपना संरक्षण मिळते, तुमची जुनी डिव्हाइसेस काम करत राहतात, आणि कोणत्या क्लायंटना ते लागू होते ते स्पष्ट केल्याशिवाय तुम्ही SSID संरक्षित असल्याचे सांगू नये.
आवश्यक (Required)
required मोडमध्ये, जेव्हा क्लायंट PMF बाबत बोलणी (negotiates) करतो तेव्हाच असोसिएशनला अनुमती दिली जाते. WPA3-फक्त SSID आणि उच्च-सुरक्षा UK वातावरणासाठी ते योग्य सेटिंग आहे, परंतु जुने असक्षम डिव्हाइसेस कनेक्ट होण्यात अयशस्वी ठरतील. हा कमी झालेला मोड नाही. डिव्हाइस कमी सुरक्षा स्तरावर जॉईन होणार नाही, जोपर्यंत तुम्ही ड्रायव्हर दुरुस्त करत नाही, फर्मवेअर अपडेट करत नाही किंवा ते इतरत्र हलवत नाही तोपर्यंत ते SSID पासून दूरच राहील.
दोन तांत्रिक मुद्द्यांमुळे ॲडमिनिस्ट्रेटर्सची अडचण होते. पहिले, Cisco चे 802.11w कॉन्फिगरेशन मार्गदर्शन एक पूर्व अट निश्चित करते की optional किंवा mandatory PMF साठी AES सायफर सह सक्षम केलेला RSN माहिती घटक आणि योग्य प्रमाणीकरण आणि की-व्यवस्थापन कॉन्फिगरेशनसह WPA असणे आवश्यक आहे. तुमचे सायफर किंवा RSN सेटिंग्ज अलाइन नसल्यास, लेबल सुचविल्याप्रमाणे मोड कार्य करणार नाही. दुसरे, झेरॉक्स तांत्रिक दस्तऐवज चेतावणी देतात की नेटवर्क आणि डिव्हाइस सेटिंग्जमधील विसंगतीमुळे संप्रेषण अपयश (communication failures) येऊ शकते, आणि हे स्पष्ट करते की WPA3 Personal आणि WPA3 Enterprise सहसा आवश्यकतेनुसार PMF वापरतात तर ट्रान्सिशन कॉन्फिगरेशन ते optional ठेवू शकतात.
डिफॉल्ट नियम: केवळ WPA3 आणि उच्च-खात्री असलेल्या SSIDs वर आवश्यक (Required), ट्रांझिशन दरम्यान मिक्स्ड WPA2 आणि WPA3 SSIDs वर ऐच्छिक (Optional), आणि निवृत्तीची तारीख निश्चित असलेल्या आयसोलेटेड लेगसी नेटवर्कवरच अक्षम (Disabled).
तुम्ही या संकल्पनेची तुलना तुमच्या अधिक व्यापक ऑथेंटिकेशन डिझाइनशी करत असाल, तर एंटरप्राइझ ऑथेंटिकेशन मॉडेलची निवड ही PMF मोडशी संबंधित असते, आणि कोणतेही सेटिंग लॉक करण्यापूर्वी तुमचे WPA Enterprise कॉन्फिगरेशन पर्याय तपासून पाहणे योग्य ठरेल. या दोन्ही निर्णयांचा एकत्र विचार करा, म्हणजे ज्या क्लायंटची चाचणी कधीही झाली नाही अशा SSID वर तुम्हाला PMF सक्तीने लागू करावे लागणार नाही.
रोमिंग आणि डीऑथेंटिकेशन हल्ल्यांसाठी PMF का महत्त्वाचे आहे
एक बनावट deauthentication फ्रेम जवळच्या क्लायंटला ॲक्सेस पॉइंटपासून डिस्कनेक्ट करू शकते. त्यानंतर क्लायंट पुन्हा कनेक्ट होण्याचा प्रयत्न करतो, आणि वारंवार पाठवलेल्या बनावट फ्रेम्स त्याला स्थिर होण्यापासून रोखू शकतात. वापरकर्त्यांना अचानक WiFi ड्रॉप्सचा अनुभव येतो, तर हेल्पडेस्कला कोणत्याही स्पष्ट कव्हरेज फॉल्टशिवाय कनेक्शनची समस्या दिसते.
कामाच्या दरम्यान अडथळा कसा दिसतो
वैद्यकीय व्यावसायिक प्रभागांमध्ये फिरत असताना वॉर्ड टॅब्लेटचे कनेक्शन तुटू शकते. व्याख्यानादरम्यान विद्यार्थ्यांचा ॲक्सेस जाऊ शकतो. दोन्ही प्रकरणांमध्ये, एन्क्रिप्शन सुरक्षित राहू शकते आणि पासवर्ड खाजगी राहू शकतात, तरीही सेवा विस्कळीत होते. पीएमएफ स्टेशन किंवा ॲक्सेस पॉइंटला संरक्षित व्यवस्थापन संदेश अस्सल आहेत की नाही हे तपासून बनावट सूचना नाकारण्याची (reject forged instructions) अनुमती देते.
रोमिंगमुळे या फ्रेम डिस्कनेक्टपेक्षा अधिक गोष्टींसाठी महत्त्वाच्या ठरतात. जसे फोन ॲक्सेस पॉईंट्स दरम्यान हलतो, Fast BSS Transition action frames हँडओव्हरचे समन्वय साधण्यास मदत करतात. जर एखाद्या हल्लेखोराने त्या संदेशांमध्ये छेडछाड केली किंवा अडथळा आणला, तर वापरकर्ता कॉरिडॉरमधून जात असताना कॉल अडखळू शकतो किंवा खंडित होऊ शकतो. PMF रेडिओ मोजमाप, ब्लॉक ॲकनॉलेजमेंट, स्पेक्ट्रम व्यवस्थापन आणि क्वालिटी-ऑफ-सर्व्हिस ऑपरेशन्ससाठी वापरल्या जाणाऱ्या संबंधित action frames चे संरक्षण करते. प्राप्त करणारे उपकरण हँडओव्हर सूचना अंधाधुंध स्वीकारण्याऐवजी त्यांची पडताळणी करू शकते.
मानक प्रोफाइल आणि त्याच्या मर्यादा
SSID सेटिंग हा प्रत्येक नेटवर्कनुसार घेतला जाणारा निर्णय आहे. रोमिंगसाठी वापरल्या जाणाऱ्या SSID वर, PMF जोडत असलेल्या संरक्षणाचा आणि प्रत्येक क्लायंट त्या सेटिंगसह हँडओव्हर जोडणी पूर्ण करू शकतो की नाही याचा विचार करा. हे Passpoint साठी देखील महत्त्वाचे आहे: प्रमाणीकरण पद्धत क्लायंट ज्या नेटवर्कमध्ये सामील होतील त्यावर PMF सुसंगतता तपासण्याची आवश्यकता दूर करत नाही.
अल्गोरिदम तपशीलांसाठी, Cisco चे 802.11w PMF कॉन्फिगरेशन मार्गदर्शन पहा. व्यावहारिक मर्यादा देखील तितकीच महत्त्वाची आहे: केवळ मॅनेजमेंट-फ्रेम प्रोटेक्शन प्रत्येक डीऑथेंटिकेशन हल्ल्याला रोखत नाही. सुरक्षा डिझाइनमध्ये रेडिओ मॉनिटरिंग आणि वायरलेस इंट्रुजन प्रिव्हेंशन समाविष्ट ठेवा आणि एकाच वेळी एंटरप्राइज WiFi सुरक्षा धोरणा मध्ये ऑथेंटिकेशन आणि मॉनिटरिंगसह PMF चे नियोजन करा.
PMF वायरलेस हॉपवरील मॅनेजमेंट ट्रॅफिक सुरक्षित करते. व्हिजिटर डेटा ॲक्सेस पॉइंटच्या पलीकडे जात असताना त्यालादेखील सुरक्षेची गरज असते. व्हिजिटर डेटासाठी TLS आणि IPsec हे त्या ट्रॅफिकला सुरक्षित करण्यास मदत करणाऱ्या प्रोटोकॉलचे स्पष्टीकरण देते.
डिव्हाइस वर्गानुसार सुसंगततेवर होणारे परिणाम
तुमचे वापरकर्ते विचारतील तो प्रश्न प्रमाणापेक्षा सोपा आहे. कोणती साधने खंडित होतील? याचे उत्तर पीएमएफ समर्थन खरोखर कुठे आहे यापासून सुरू होते. हे ॲक्सेस पॉइंट आणि क्लायंटच्या WiFi ड्रायव्हर तसेच सप्लीकंट दरम्यान वाटाघाटीद्वारे ठरवले जाते, त्यामुळे केवळ पीएमएफ-सक्षम ॲक्सेस पॉइंट कशाचीही हमी देत नाही. जुना ड्रायव्हर असलेले लॅपटॉप अशा SSID वर अयशस्वी होऊ शकते ज्यावर नवीन फोन कोणत्याही तक्रारीशिवाय कनेक्ट होतो.
| डिव्हाइस वर्ग | सामान्य PMF सपोर्ट | आवश्यक (Required) वर सेट केल्यास धोका | सुचवलेली सेटिंग |
|---|---|---|---|
| WPA3 सपोर्ट असलेले आधुनिक फोन आणि लॅपटॉप | सामान्यतः सपोर्टेड | कमी | WPA3 SSIDs वर आवश्यक (Required) |
| WPA2-युगातील ड्रायव्हर्स असलेले WiFi 5 लॅपटॉप आणि फोन | बऱ्याचदा सपोर्टेड, ड्रायव्हरवर अवलंबून असते | मध्यम | मिश्रित SSIDs वर ऐच्छिक (Optional), ड्रायव्हर्स अपडेट करा |
| जुने WPA2-फक्त IoT सेन्सर्स आणि स्मार्ट प्लग्स | वारंवार सपोर्ट केले जात नाही | जास्त | वेगळे SSID किंवा identity PSK |
| लेगसी प्रिंटर आणि स्कॅनर | बऱ्याचदा सपोर्ट केले जात नाही | जास्त | वायर्ड कनेक्शन किंवा समर्पित लेगसी SSID |
| जुन्या फर्मवेअरवरील हँडहेल्ड स्कॅनर | फर्मवेअरवर अवलंबून | मध्यम ते जास्त | लागू करण्यापूर्वी फर्मवेअरची चाचणी घ्या |
त्या ओळींना टिपिकल पॅटर्न माना, कोणतीही हमी नाही. व्हेंडरच्या दस्तऐवजीकरणाशी आणि तुमच्या स्वतःच्या इन्व्हेंटरीशी प्रत्येक मॉडेलची पडताळणी करा, कारण एकाच वर्गातील दोन डिव्हाइसेस ड्रायव्हर अपडेटनंतर वेगळे वर्तन करू शकतात. हे टेबल तुम्हाला प्रथम कुठे पाहायचे ते सांगते. तुमच्या चाचणी असोसिएशन तुम्हाला खरी माहिती देतात.
एंटरप्राइझ असोसिएशनचा नियम
802.1X नेटवर्कसाठी वाटाघाटी स्पष्ट असतात. UK शिक्षण-नेटवर्किंग संस्था Jisc चे असे विधान आहे की WPA3-Enterprise ला केवळ WPA3-Enterprise-only मोडमध्ये PMF ची आवश्यकता असते, जिथे ॲक्सेस पॉइंट Management Frame Protection Required क्षमतेची जाहिरात करतो आणि सुसंगत स्टेशनने असोसिएशन दरम्यान PMF बद्दल वाटाघाटी करणे आवश्यक असते, जसे की Jisc चे WPA3, Wi-Fi 6E आणि eduroam मार्गदर्शकामध्ये नमूद केले आहे. जर स्टेशन वाटाघाटी करू शकले नाही, तर असोसिएशन पुढे जात नाही.
जर तुम्ही eduroam किंवा अन्य सर्टिफिकेट-आधारित नेटवर्क चालवत असाल तर हे विशेषतः प्रासंगिक आहे, कारण WPA3-Enterprise हे सर्टिफिकेट-आधारित ऑथेंटिकेशन राखून ठेवून WPA2-Enterprise वरून विकसित होऊ शकते. जुनाट सप्लिकंट PMF वर अपयशी ठरत असताना तुमची सर्टिफिकेट्स उत्तम असू शकतात. अंमलबजावणी करण्यापूर्वी ॲक्सेस पॉइंट्स आणि क्लायंट सप्लिकंट्स दोन्ही व्हेलिडेट करा, त्यानंतर बदलानंतर असोसिएशन अपयश आणि तुमच्या लेगेसी-डिव्हाइस इन्व्हेंटरीचे निरीक्षण करा.
क्लासिक लक्षणांवर लक्ष ठेवा. एखादे डिव्हाइस अजूनही जुन्या SSID शी आनंदाने कनेक्ट होते परंतु नवीन SSID मध्ये कधीही सामील होत नाही, ज्यामध्ये कोणताही स्पष्ट पासवर्ड किंवा प्रमाणपत्राची त्रुटी नसते. तो पॅटर्न क्रेडेन्शियल समस्येऐवजी क्षमता जुळत नसल्याचे दर्शवतो.
जर ते जुन्या नेटवर्कमध्ये सामील होत असेल आणि नवीन नेटवर्कला शांतपणे नकार देत असेल, तर एकही नवीन सर्टिफिकेट री-इश्यू करण्यापूर्वी PMF क्षमता तपासा.
इतर काहीही बदलण्यापूर्वी तुमच्या नेटवर्कवरील सर्व उपकरणांची व्यवस्थित यादी (Inventory) तयार करण्यासाठी तो सिग्नल महत्त्वाचा आहे. या टप्प्यावर फक्त अंदाज लावल्यास त्रुटी तुमच्या पायलट ग्रुपकडून संपूर्ण इमारतीत पसरू शकते.
टप्प्याटप्प्याने Required PMF कसे रोल आउट करावे
या क्रमानेच काम करा, कारण प्रत्येक टप्पा पुढील टप्प्याचे संरक्षण करतो. एक दिवस वाचवण्यासाठी इन्व्हेंटरीचा टप्पा वगळल्यास सहसा नंतर स्पष्टीकरण न देता येणाऱ्या तक्रारींचे निवारण करण्यात एक आठवडा वाया जातो.
लक्ष्य असलेल्या SSID वरील प्रत्येक डिव्हाइसची यादी करा. प्रत्येक डिव्हाइसचे मॉडेल, ऑपरेटिंग सिस्टम, WiFi ड्रायव्हर व्हर्जन आणि फर्मवेअर नोंदवा, कारण PMF सपोर्ट हा सहसा हार्डवेअर बॅजऐवजी ड्रायव्हरवर अवलंबून असतो. आपण ओळखू शकत नसलेल्या कोणत्याही गोष्टीला फ्लॅग करा, कारण अज्ञात डिव्हाइसेस हीच अशी असतात जी एन्फोर्समेंट दरम्यान आपल्याला चकित करतात.
कंट्रोलरच्या पूर्वअटींची पुष्टी करा. WLAN AES सायफर आणि RSN माहिती घटकासह PMF ला सपोर्ट करते का ते तपासा, कारण पर्यायी आणि आवश्यक मोड या दोन्हीवर अवलंबून असतात. पायलटपूर्वी हे करा जेणेकरून तुम्ही क्लायंटच्या वर्तनाची चाचणी घेत असाल, प्रोफाईल त्रुटीचा शोध घेत नाही.
पर्यायी वर सेट केलेला पायलट SSID तयार करा. त्याचे ऑथेंटिकेशन प्रॉडक्शनशी तंतोतंत जुळवा, जेणेकरून तुम्ही चाचणी करत असलेला एकमेव व्हेरिएबल PMF असेल. युजर्सना अजून काहीही लक्षात येऊ नये, आणि तोच मुख्य उद्देश आहे. तुम्ही पुरावे गोळा करत आहात, बदलाची घोषणा करत नाही आहात.
कमीत कमी एका कामकाजाच्या आठवड्यासाठी टेस्ट ग्रुपला पायलटवर हलवा. इमारतीत खरोखर रोमिंग करणाऱ्या कॉर्पोरेट लॅपटॉप आणि फोनची निवड करा, नंतर दररोज असोसिएशन अपयश आणि रोमिंग ड्रॉप्स लॉग करा. संपूर्ण आठवडा एकाच डेस्कवर बसणारे डिव्हाइस Fast BSS Transition वर्तनाबद्दल खूप कमी सिद्ध करते.
दुरुस्त करा, वेगळे करा, मग लागू करा
तुम्ही जे दुरुस्त करू शकता ते दुरुस्त करा आणि जे करू शकत नाही ते वेगळे करा. प्रथम ड्रायव्हर आणि फर्मवेअर अपडेट लागू करा, प्रत्येक डिव्हाइसची पुन्हा चाचणी करा आणि खरोखर बदलता न येणारे लेगसी किट अधिक कडक नेटवर्क नियंत्रणांसह एका वेगळ्या सेगमेंटेड SSID वर ठेवा. एका प्रिंटरला सामावून घेण्यासाठी मुख्य SSID कमकुवत करू नका.
प्रॉडक्शन SSID ला आवश्यक (required) वर स्विच करा. ते तुमच्या WPA3 किंवा हाय-ॲश्युरन्स SSID वर लागू करा, मिक्स्ड SSIDs पर्यायी वर ठेवा आणि त्याच प्रोफाईलविरुद्ध प्रत्येक ॲक्सेस पॉइंट ग्रुप तपासा. जुन्या सेटिंगवर सोडलेला एक ग्रुप अशी त्रासदायक त्रुटी निर्माण करतो जिथे डिव्हाइस रिसेप्शनमध्ये काम करते आणि वरच्या मजल्यावर अयशस्वी होते.
एन्फोर्समेंटनंतर दोन आठवडे निरीक्षण करा. असोसिएशन अपयश आणि रोमिंग ड्रॉप्स पहा आणि त्यांची तुलना तुमच्या पायलट लॉगशी करा. एखादा महत्त्वाचा डिव्हाइस ग्रुप अयशस्वी झाल्यास, WLAN ची पुनर्रचना करण्याऐवजी सिंगल PMF सेटिंग बदलून रोल बॅक करा.
एका वेळी एकच बदल का महत्त्वाचा आहे: जेव्हा तुम्ही फक्त PMF बदललेले असते, तेव्हा रोलबॅक हा एका प्रोफाइलवरील एक सेटिंग पुरता मर्यादित असतो. सायफर, ऑथेंटिकेशन आणि PMF हे सर्व एकत्रितपणे बदलल्यास कोणत्या बदलामुळे स्कॅनर्स बंद पडले हे तुम्हाला कधीच समजणार नाही.
गो-लाइव्हनंतर पायलट SSID सक्रिय ठेवा. पुढील डिव्हाइस रिफ्रेश, पुढील फर्मवेअर रिलीज आणि तुम्ही मॅन्युअली ऐच्छिक वरून अनिवार्य कडे नेण्याचे नियोजन करत असलेल्या पुढील SSID साठी ही तुमची चाचणी भूमी बनते. ज्या रोलआउटची तुम्ही शांततेत पुनरावृत्ती करू शकता ते पुन्हा कधीही न शिवल्या जाणाऱ्या कोणत्याही धाडसी शनिवार-रविवारच्या बदलापेक्षा खूप अधिक मोलाचे आहे.
PMF सक्षम केल्यानंतर अयशस्वी झालेल्या कनेक्शनचे ट्रबलशूटिंग
PMF सक्षम केल्यानंतर सर्वाधिक अपयश हे सुरक्षेच्या त्रुटींमुळे येत नाहीत. त्या जुळणी न होण्याच्या समस्या (mismatch problems) असतात, जसे की PMF सपोर्ट नसलेला क्लायंट, ॲक्सेस पॉइंट ग्रुप्समध्ये भिन्न असलेले WLAN प्रोफाईल, विसंगत रोमिंग सेटिंग्ज, किंवा फर्मवेअर अपडेट ज्यामुळे कोणतीही सूचना न देता डीफॉल्ट सेटिंग बदलली गेली. तुम्हाला दिसणाऱ्या लक्षणांपासून सुरुवात करा.
| लक्षण | संभाव्य कारण | उपाय |
|---|---|---|
| डिव्हाइस आवश्यक SSIDs मध्ये सामील होण्यास नकार देते | क्लायंटमध्ये PMF सपोर्ट नाही किंवा ड्रायव्हरने ते डिसेबल केले आहे | ड्रायव्हर अपडेट करा किंवा डिव्हाइसला ऐच्छिक SSID वर हलवा |
| डिव्हाइस एका ॲक्सेस पॉइंटवर जोडले जाते पण इतरांवर नाही | कंट्रोलर प्रोफाईल्स किंवा AP ग्रुप्समध्ये वेगवेगळे PMF सेटिंग्ज | प्रत्येक AP ग्रुपवर WLAN प्रोफाईल अलाइन करा |
| रोमिंग दरम्यान वारंवार ड्रॉप्स होणे | क्लायंट आणि WLAN दरम्यान फास्ट ट्रान्सिशन सेटिंग्ज जुळत नाहीत | 802.11r सेटिंग्ज तपासा आणि क्लायंट रोमिंग लॉग्सचे पुनरावलोकन करा |
| फर्मवेअर अपडेटनंतर त्रुटी दिसून येतात | व्हेंडर अपडेटने डीफॉल्ट PMF मोड बदलला आहे | प्रत्येक अपग्रेडनंतर WLAN सुरक्षा सेटिंग पुन्हा तपासा |
या निदान क्रमाने काम करा
आधी क्लायंट तपासा. डिव्हाइसची PMF क्षमता आणि त्यावर चालणारी ड्रायव्हर आवृत्ती तपासा, गेल्या तिमाहीत तुम्ही तैनात केलेली आवृत्ती नाही. अपडेट न झालेला एकच लॅपटॉप अशा तक्रारी निर्माण करू शकतो ज्या इन्फ्रास्ट्रक्चर फॉल्टसारख्या दिसतात.
त्यानंतर कंट्रोलर ग्रुप्समधील WLAN प्रोफाईलची तुलना करा. सुरक्षा प्रोफाईल एक्सपोर्ट करा आणि तपासा की त्या SSID ला सेवा देणाऱ्या प्रत्येक ॲक्सेस पॉइंट ग्रुपवर PMF मोड, सायफर आणि ऑथेंटिकेशन जुळत आहेत. प्रोफाईल मधील फरक स्थानावर आधारित बहुतांश अपयशांचे स्पष्टीकरण देतो, जिथे तेच डिव्हाइस इमारतीच्या एका भागात कार्य करते आणि दुसऱ्या भागात अपयशी ठरते.
अयशस्वी हँडओव्हर दरम्यान रोमिंग लॉगचे पुनरावलोकन करा. जर डिव्हाइस स्थिर असताना व्यवस्थित जोडले जात असेल परंतु ते हलते तेव्हा कनेक्शन ड्रॉप होत असेल, तर 802.11r फास्ट ट्रान्सिशन सेटिंग्ज आणि अपयशाच्या क्षणी क्लायंटच्या रोमिंग निर्णयांकडे पहा. पीएमएफ संक्रमण फ्रेम्सचे रक्षण करते, त्यामुळे तेथील असंतोष कधीही पूर्ण न होणाऱ्या रोमिंगच्या रूपात समोर येतो.
दोन कमी स्पष्ट कारणांवर लक्ष देणे आवश्यक आहे. लेगसी सुरक्षिततेसह प्रोव्हिजन केलेल्या Passpoint प्रोफाईल्स कनेक्ट होऊन नंतर ड्रॉप होऊ शकतात, कारण डिव्हाइस वाहून नेणारी प्रोफाईल आता WLAN च्या अपेक्षांशी जुळत नाही. RADIUS change of authorisation साठी कंट्रोलरचा सपोर्ट देखील पुन्हा-प्रमाणीकरणावर (re-authentication) परिणाम करतो, त्यामुळे पॉलिसी बदलल्यानंतर अयशस्वी झालेला सेशन ही PMF ची चूक नसू शकते.
कोणताही बदल करण्यापूर्वी, तुम्ही सुरुवात करण्यापूर्वीची कॉन्फिगरेशन निर्यात (export) जतन करून ठेवा. त्यामुळे पूर्वीचे सेटिंग्ज आठवून पुन्हा तयार करण्यात संपूर्ण दुपार घालवण्याऐवजी, फक्त एका रिस्टोरद्वारे सर्वकाही पूर्ववत करता येते. जेव्हा तुमचा पायलट ग्रुप एका पूर्ण कामाच्या दिवशी - ज्यामध्ये प्रत्येकजण एकाच वेळी येतो, रोम करतो आणि कॉलमध्ये सामील होतो त्या सकाळच्या गर्दीसह - एक स्वच्छ असोसिएशन लॉग तयार करेल, तेव्हा तुम्ही समस्या सोडवली आहे हे तुम्हाला समजेल. एखाद्या शांत रविवारी केलेल्या चाचणीवर यश घोषित करू नका.
Passpoint, OpenRoaming आणि Purple डिप्लॉयमेंट्स
PMF सेटिंग्ज एकांतात कार्य करत नाहीत. त्या अतिथी आणि कर्मचारी नेटवर्कपर्यंत कसे पोहोचतात याचा आकार ठरवतात, विशेषतः जिथे प्रत्येक वेळी Captive Portal शिवाय आपोआप कनेक्शन होणे अपेक्षित असते.
Passpoint, ज्याला Hotspot 2.0 किंवा IEEE 802.11u देखील म्हणतात, ते ANQP क्वेरी वापरून डिव्हाइसेसना नेटवर्क स्वयंचलितपणे शोधण्याची आणि ऑथेंटिकेट करण्याची अनुमती देते. हे WPA2 किंवा WPA3-Enterprise वर चालते, त्यामुळे त्या WLAN वरील PMF मोड त्या अखंड कनेक्शन्समध्ये फोर्ज्ड-फ्रेम संरक्षण किती चांगल्या प्रकारे वाहून नेले जाते ते थेट ठरवतो. पर्यायी वर सोडलेला Passpoint SSID केवळ सक्षम क्लायंटचे संरक्षण करतो, जसे की मॅन्युअली जॉईन झालेला SSID करेल. जर तुम्ही त्या प्रवासाचे नियोजन करत असाल, तर तुमचे WLAN सुरक्षा प्रोफाईलसह Passpoint ऑथेंटिकेशन आणि रोमिंग कसे कार्य करते याचे पुनरावलोकन केल्याने तुम्हाला पाहुण्यांच्या आधी विसंगती ओळखण्यास मदत होते.
OpenRoaming हे Passpoint-शैलीतील प्रोफाईल्सवर तयार केले गेले आहे, त्यामुळे याद्वारे तरतूद केलेली डिव्हाइसेस इतर कोणत्याही Passpoint क्लायंटप्रमाणेच सुरक्षा पथ प्राप्त करतात. डिव्हाइसवरील प्रोफाईल आणि तुमच्या WLAN वरील PMF सेटिंग जुळणे आवश्यक आहे. जेव्हा ते जुळत नाहीत, तेव्हा हे अपयश सुरक्षेच्या सेटिंगऐवजी रोमिंगची समस्या असल्याचे दिसते, म्हणूनच प्रोफाईल चाचणी तुमच्या PMF पायलट नंतर करण्याऐवजी त्यादरम्यानच केली पाहिजे.
Passpoint WLAN वर लागू करण्यापूर्वीच्या तपासण्या
Passpoint WLAN वर आवश्यक PMF सेट करण्यापूर्वी, फक्त PMF टॉगलपेक्षा जास्त गोष्टींची पुष्टी करा. सुसंगतता ही वेन्यूच्या कंट्रोलरमधील RADIUS, चेंज-ऑफ-ऑथोरायझेशन आणि वॉल्ड-गार्डन सपोर्ट वर अवलंबून असते, आणि त्यापैकी कशातही त्रुटी असल्यास तुमचा PMF निर्णय कितीही चांगला असला तरी पाहुण्यांचा प्रवास खंडित होईल. ANQP प्रतिसादांची पडताळणी करा, पॉलिसी बदलल्यानंतर पुन्हा ऑथेंटिकेशनची चाचणी घ्या, आणि ॲक्सेस पॉइंट्समध्ये रोमिंग टिकून राहते याची पुष्टी करण्यासाठी प्रोव्हिजन केलेल्या डिव्हाइससह साइटवर फिरून तपासा.
हार्डवेअरबाबतचा प्रश्न अनेक ठिकाणांना (venues) वाटते त्यापेक्षा सोपा आहे. आम्ही Purple ला स्थळाच्या आधीपासूनच मालकीच्या असलेल्या ॲक्सेस पॉइंट्सवर क्लाउड ओव्हरले म्हणून चालवतो, त्यामुळे कोणतीही तोडफोड किंवा बदल करण्याची गरज नाही, आणि PMF मधील बदल तुमच्या विद्यमान पायाभूत सुविधांवरील WLAN प्रोफाईलमध्ये होतो. याचा अर्थ असा की तुमचा पायलट, तुमचा रोलबॅक आणि तुमची अंमलबजावणी या सर्व गोष्टी तुम्ही आधीपासून व्यवस्थापित करत असलेल्या किटवर होतात, तर ऑथेंटिकेशन लेअर त्याच्या वर बसतो.
कर्मचाऱ्यांच्या उपकरणांसाठी तोच नियम लागू होतो. Staff WiFi हे कर्मचाऱ्यांची उपकरणे व्यवस्थापित EAP-TLS प्रमाणपत्रांसह ऑनबोर्ड करते, त्यामुळे सुरक्षिततेच्या बदलानंतर रोटेट करण्यासाठी कोणताही सामायिक पासफ्रेज नसतो. प्रमाणपत्रे आणि PMF वेगवेगळ्या समस्या सोडवतात - ओळख आणि मॅनेजमेंट-फ्रेम अखंडता, आणि ते WPA3-Enterprise SSID वर एकत्रितपणे काम करतात. तुमचा प्लॅटफॉर्म कोणताही असो, प्रत्येक व्यवस्थापित SSID साठी इच्छित PMF मोडची तुमच्या वेंडरकडून खात्री करा आणि तो required वर स्विच करण्यापूर्वी प्रत्येक SSID नुसार सहमती दर्शवलेले सेटिंग नोंदवून ठेवा जेणेकरून भविष्यातील प्रोफाईल रीबिल्ड ते नकळत रद्द करणार नाही.
उच्च-खात्री SSIDs वर प्रथम PMF लागू करा
PMF हा वायरलेस सुरक्षेचा एक भाग आहे, उर्वरित सुरक्षेला पर्याय नाही. हे विशिष्ट युनिकास्ट आणि मल्टीकास्ट मॅनेजमेंट फ्रेम्सचे संरक्षण करते, परंतु ते वापरकर्त्यांचे प्रमाणीकरण करत नाही, WPA2 किंवा WPA3 एन्क्रिप्शनची जागा घेत नाही, बनावट ॲक्सेस पॉइंट्स शोधत नाही किंवा ओपन गेस्ट नेटवर्कला एन्क्रिप्टेड एंटरप्राइज नेटवर्कमध्ये बदलत नाही. यूकेचे मार्गदर्शन नवीन वायरलेस उपयोजनांसाठी WPA3 ला पसंतीचे मानक म्हणून ओळखते आणि वैयक्तिक प्रमाणीकरणावर आधारित वैयक्तिक पासफ्रेझ नेटवर्कला एंटरप्राइज नेटवर्कपासून वेगळे करते. एंटरप्राइज मोड हा विशेषतः मोठ्या आणि नियमन केलेल्या संस्थांशी संबंधित आहे, जसे की नॉर्दर्न आयर्लंड बिझनेस गाइड टू वाय-फाय प्रोटेक्टेड ॲक्सेस मध्ये सारांशित केले आहे.
उरलेल्या त्रुटी दूर करणारे स्तर
- प्रमाणपत्र-आधारित ॲक्सेस डिव्हाइस आणि वापरकर्त्याची ओळख सत्यापित करतो; PMF करत नाही.
- गेस्ट, कर्मचारी आणि डिव्हाइस SSIDs मधील नेटवर्क आयसोलेशन हे धोक्यात आलेले किंवा जुने क्लायंट कुठे पोहोचू शकतात यावर मर्यादा आणते.
- Rogue-AP डिटेक्शन हे एव्हिल-ट्विन ॲक्सेस पॉईंट्स ओळखण्यात मदत करते जे PMF हवेतून हटवू शकत नाही.
- असोसिएशन अयशस्वी होणे आणि डीऑथेंटिकेशन बर्स्ट्सचे इंसिडेंट मॉनिटरिंग हे कॉन्फिगरेशन समस्यांपासून हल्ले वेगळे करण्यास मदत करते.
कनेक्ट होणाऱ्या डिव्हाइसेसच्या तुलनेत सुरक्षेच्या आवश्यकतेचे वजन करून, प्रति SSID नुसार PMF चे नियोजन करा. WPA3 हे 6 GHz बँड मधील डिव्हाइसेससाठी बेसलाइन बनत आहे, ज्यामुळे सुसंगतता तपासणी आणि ट्रान्सिशनचे नियोजन पुढे ढकलणे कठीण होत आहे. कर्मचाऱ्यांच्या नेटवर्क्सवर, Passpoint, xPSK, सर्टिफिकेट WiFi आणि MDM द्वारे WiFi विविध कनेक्शन पद्धती ऑफर करतात, त्यामुळे तुम्ही प्रत्येक क्लायंटला एकाच मार्गावर सक्ती करण्याऐवजी डिव्हाइस क्लासनुसार ऑथेंटिकेशन मॅच करू शकता.
तुमचा पायलट यशस्वी झाल्यानंतर WPA3-Enterprise आणि इतर उच्च-सुरक्षा SSIDs वर required PMF सेट करा. तुम्ही जुन्या डिव्हाइसेसना हटवण्याचे नियोजन करत असताना मिश्र-मोड (mixed-mode) SSIDs optional वर ठेवा आणि कोणत्याही ओपन SSID वरून कर्मचाऱ्यांचे ट्रॅफिक काढून टाका. डिव्हाइस प्रकारानुसार असोसिएशन परिणामांची नोंद ठेवा: यामुळे कोणते SSIDs required वर हलवले जाऊ शकतात आणि जुने क्लायंट अजूनही कुठे सुसज्जतेचा खर्च लादत आहेत याचा पुरावा मिळतो.
Purple कर्मचाऱ्यांच्या WiFi साठी मॅनेज केलेले EAP-TLS प्रमाणपत्रे प्रदान करते, ज्यामुळे रोटेट करण्याची आवश्यकता असलेला शेअर केलेला पासफ्रेझ टाळला जातो. त्याचा गेस्ट WiFi आणि कर्मचारी ॲक्सेस व्हेन्यूच्या विद्यमान ॲक्सेस पॉइंट्सवर क्लाउड प्लॅटफॉर्मवर चालतो. तुमच्या हार्डवेअर आणि आयडेंटिटी प्रोव्हायडरभोवती उपयोजनाचे नियोजन करण्यासाठी, Purple ला भेट द्या.
