प्रति-युनिट VLAN आणि PSK आर्किटेक्चर: MDU नेटवर्कसाठी डिझाइन मार्गदर्शक

जेव्हा युनिट्समध्ये वायर्ड पोर्ट्स असतात आणि इमारतीमध्ये काही शंभर दरवाजे असतात, तेव्हा प्रत्येक अपार्टमेंटला त्याचे स्वतःचे VLAN द्या. 250-दरवाजांची BTR योजना 4,094 IEEE 802.1Q VLAN IDs पैकी सुमारे 256 वापरते. 800-बेड्सचे PBSA सारख्या उच्च-टर्नओव्हर साइट्ससाठी, काही सामायिक VLANs वर प्रति-की पॉलिसीसह, प्रत्येक रहिवाशाच्या युनिक कीमध्ये सेगमेंटेशन ठेवा.

प्रत्येक अपार्टमेंटला स्वतःचे VLAN मिळाले पाहिजे का?

नेहमीच नाही. बिल्ड-टू-रेंट (BTR), मल्टी-ड्वेलिंग युनिट (MDU) किंवा पर्पज-बिल्ट स्टुडंट ॲकॉमोडेशन (PBSA) योजनेतील प्रत्येक रहिवाशाला खाजगी नेटवर्कची आवश्यकता असते. त्यांचा लॅपटॉप, स्मार्ट टीव्ही आणि प्रिंटर यांनी एकमेकांना पाहिले पाहिजे आणि इतर कोणाच्याही उपकरणांनी त्यांना पाहू नये. हा एंटरप्राइझ सुरक्षेसह घरातील अनुभव आहे आणि तुम्ही तो दोन प्रकारे वितरीत करू शकता.

प्रति अपार्टमेंट VLAN. प्रत्येक युनिटला स्वतःचे व्हर्च्युअल LAN (VLAN) मिळते. VLAN हे स्वतःचे सबनेट आणि DHCP स्कोप असलेले स्वतंत्र लेयर 2 ब्रॉडकास्ट डोमेन आहे. RADIUS सर्व्हर ॲक्सेस पॉइंटला सांगतो की प्रत्येक डिव्हाइस कोणत्या VLAN मध्ये सामील होते. RADIUS हा ऑथेंटिकेशन प्रोटोकॉल आहे जो प्रत्येक डिव्हाइस तपासतो आणि त्याची नेटवर्क पॉलिसी परत करतो. युनिट्समधील ट्रॅफिकने लेयर 3 गेटवे पार केला पाहिजे आणि तुमचा फायरवॉल ते तिथे ब्लॉक करतो.

की द्वारे नेलेली पॉलिसी. एका सामायिक SSID वर प्रत्येक रहिवाशाला युनिक प्री-शेअर की (PSK) मिळते. व्हेंडर्स याला आयडेंटिटी PSK (iPSK), प्रायव्हेट PSK (PPSK), मल्टी-PSK किंवा डायनॅमिक PSK म्हणतात. की रहिवाशाची ओळख पटवते आणि नेटवर्क त्याच्याशी जोडलेली पॉलिसी लागू करते. एकाच की वरील उपकरणे एकमेकांशी बोलू शकतात. सामायिक VLAN वर असले तरीही, वेगवेगळ्या की वर असलेली उपकरणे बोलू शकत नाहीत. Purple याला प्रायव्हेट एरिया नेटवर्क (PAN) म्हणते: एक खाजगी नेटवर्क बबल जो की सोबत प्रवास करतो.

दोन्ही डिझाइन्स रहिवाशांना योग्यरित्या वेगळे करतात. ते आयसोलेशन कुठे लागू केले जाते आणि तुम्ही किती कॉन्फिगरेशन ठेवता याद्वारे भिन्न असतात. ही निवड चार घटकांवर अवलंबून असते:

• युनिट्समधील वायर्ड पोर्ट्स
• रहिवाशांचा टर्नओव्हर (churn)
• एकूण सेगमेंट संख्या
• तुमचे ॲक्सेस पॉइंट्स आणि स्विचेस कशाला सपोर्ट करतात

खालील विभाग 250-दरवाजांच्या BTR योजनेसाठी आणि 800-बेड्सच्या PBSA साइटसाठी युनिट मोजणीसह प्रत्येक घटकाद्वारे कार्य करतात.

जिथे प्रति-युनिट VLANs आणि की-आधारित पॉलिसी खरोखर भिन्न आहेत

4,094 VLAN मर्यादा, आणि जेव्हा तुम्ही प्रत्यक्षात तिथे पोहोचता

IEEE 802.1Q 12-बिट फील्डमध्ये VLAN ID वाहून नेते. ते 4,096 व्हॅल्यूज देते. IDs 0 आणि 4,095 राखीव आहेत, जे 4,094 वापरण्यायोग्य IDs सोडतात. ही मर्यादा प्रति लेयर 2 डोमेन लागू होते, प्रति संस्था नाही, त्यामुळे राऊट केलेल्या सीमेमागील दोन इमारती तेच IDs पुन्हा वापरू शकतात.

एकच इमारत केवळ रहिवासी VLANs वर क्वचितच 4,094 पर्यंत पोहोचते. तुम्ही तीन परिस्थितींमध्ये या मर्यादेपर्यंत पोहोचता:

• एक मल्टी-ब्लॉक कॅम्पस एक फ्लॅट लेयर 2 डोमेन चालवतो. एका कोरवरील पाच 800-बेड्सच्या हॉस्टल्सना तुम्ही कर्मचारी, CCTV किंवा बिल्डिंग मॅनेजमेंट जोडण्यापूर्वी 4,000 रहिवासी VLANs ची आवश्यकता असते.
• तुम्ही प्रति बेड आणि प्रति पोर्ट सेगमेंट करता. जर प्रत्येक बेडला स्वतंत्र वायर्ड VLAN मिळाले, तर तुमची संख्या दुप्पट होते.
• तुम्ही स्मार्ट लॉक किंवा थर्मोस्टॅट्ससाठी प्रति-युनिट IoT VLAN जोडता, ज्यामुळे ही संख्या पुन्हा दुप्पट होते.

व्यावहारिक मर्यादा सहसा लवकर येते. प्रति-VLAN स्पॅनिंग ट्री प्रकार प्रति VLAN एक स्पॅनिंग ट्री इन्स्टन्स चालवतात, आणि स्विच प्लॅटफॉर्म्स या इन्स्टन्सेसना 4,094 च्या बरेच खाली मर्यादित करतात. वायरलेस कंट्रोलर्स आणि गेटवे देखील VLANs आणि लेयर 3 इंटरफेसेसवर त्यांच्या स्वतःच्या मर्यादा प्रकाशित करतात. तुम्ही निश्चित करण्यापूर्वी त्या तीन डेटाशीट आकडेवारी तपासा. योजना आखण्यासाठी 802.1Q कमाल मर्यादा ही चुकीची संख्या आहे.

जर तुम्ही या मर्यादेपेक्षा मोठे झालात, तर तुमच्याकडे दोन स्वच्छ मार्ग आहेत. प्रत्येक इमारतीवर एक राउटेड बाउंड्री ठेवा आणि प्रत्येकाच्या आत VLAN IDs चा पुनर्वापर करा. किंवा VXLAN वर जा, जे RFC 7348 मध्ये परिभाषित केले आहे, ज्याचा 24-बिट सेगमेंट आयडेंटिफायर सुमारे 16 दशलक्ष सेगमेंटला अनुमती देतो. मल्टिपल स्पॅनिंग ट्री, जे मूळतः IEEE 802.1s आहे आणि आता 802.1Q चा भाग आहे, ते अनेक VLANs ला काही इन्स्टन्सेसवर मॅप करते. यामुळे स्पॅनिंग ट्रीची अडचण दूर होते.

RADIUS रहिवाशाची VLAN वर कशी नियुक्ती करतो

RFC 3580 डायनॅमिक VLAN असाइनमेंट परिभाषित करतो. जेव्हा RADIUS एखादे डिव्हाइस स्वीकारतो, तेव्हा Access-Accept संदेशामध्ये तीन गुणधर्म असतात:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = त्या अपार्टमेंटसाठी VLAN ID

त्यानंतर ॲक्सेस पॉइंट किंवा स्विच डिव्हाइसला त्या VLAN वर ठेवतो. हे मॅपिंग रहिवाशाच्या रेकॉर्डमध्ये राहते, त्यामुळे त्यांचा फोन फ्लॅटमध्ये, जिममध्ये किंवा टेरेसवर त्याच VLAN वर कनेक्ट होतो.

सर्व्हर डिव्हाइसच्या मालकाला कसा ओळखतो हे ऑथेंटिकेशन पद्धतीवर अवलंबून असते:

• IEEE 802.1X (WPA2-Enterprise किंवा WPA3-Enterprise). रहिवासी क्रेडेंशियल किंवा सर्टिफिकेटसह साइन इन करतो, आणि RADIUS ते थेट शोधतो.
• प्रति-की PSK. कंट्रोलर किंवा RADIUS सर्व्हर डिव्हाइसने सादर केलेली की रहिवाशाच्या रेकॉर्डशी जुळवतो, आणि नंतर VLAN किंवा पॉलिसीचे नाव परत करतो.

व्हेंडर्स ती की शोधण्याची पद्धत वेगवेगळ्या प्रकारे लागू करतात. कॉन्फिगरेशन स्टेप्ससाठी तुमच्या प्लॅटफॉर्मचे दस्तऐवज फॉलो करा.

रहिवासी इमारतींमध्ये एका व्यावहारिक कारणासाठी PSK ला पसंती दिली जाते. स्मार्ट टीव्ही, गेमिंग कन्सोल, स्मार्ट स्पीकर्स आणि प्रिंटर्स क्वचितच 802.1X ला सपोर्ट करतात, परंतु एक की या सर्वांवर कार्य करते.

तुमचा प्लॅटफॉर्म WPA3-Personal सह प्रति-की PSK ला सपोर्ट करतो की नाही ते तपासा. WPA2-Personal वर अनेक प्रति-की अंमलबजावणी सुरू झाल्या. SAE (Simultaneous Authentication of Equals, WPA3-Personal हँडशेक्स) की कशी जुळवली जाऊ शकते ते बदलते, आणि सपोर्ट व्हेंडर आणि फर्मवेअरनुसार बदलतो.

जेव्हा एखादा रहिवासी फ्लॅट बदलतो किंवा बाहेर पडतो, तेव्हा RADIUS डायनॅमिक ऑथोरायझेशन मदत करते. हे RFC 5176 मध्ये परिभाषित केले आहे, आणि ते सर्व्हरला सत्र त्वरित डिस्कनेक्ट करण्याची किंवा नवीन पॉलिसी पुश करण्याची अनुमती देते.

ब्रॉडकास्ट डोमेन स्वच्छता

प्रत्येक VLAN हे ब्रॉडकास्ट डोमेन असते. ARP विनंत्या, DHCP डिस्कव्हरी आणि मल्टिकास्ट डिस्कव्हरी प्रोटोकॉल त्यातील प्रत्येक डिव्हाइसपर्यंत पोहोचतात. या प्रोटोकॉलमध्ये mDNS समाविष्ट आहे, जे AirPlay आणि Chromecast वापरतात, आणि SSDP. WiFi वर, ब्रॉडकास्ट आणि मल्टिकास्ट फ्रेम मूळ डेटा दराने बाहेर जातात. ते VLAN वाहून नेणाऱ्या प्रत्येक ॲक्सेस पॉइंटवर एअरटाइम वापरतात.

प्रति-युनिट VLAN प्रत्येक डोमेनला एका कुटुंबापुरते मर्यादित ठेवते, साधारणपणे आठ ते 36 डिव्हाइसेस. डिस्कव्हरी mDNS गेटवेशिवाय फ्लॅटच्या आत कार्य करते, आणि काहीही शेजारी लीक होत नाही.

सामायिक केलेल्या VLAN मध्ये अनेक रहिवाशांचे शेकडो डिव्हाइसेस असू शकतात, त्यामुळे ते सक्रियपणे स्वच्छ ठेवणे आवश्यक आहे:

• एक्सेस पॉईंटवर Proxy ARP किंवा ARP suppression, जेणेकरून AP फ्लडिंग करण्याऐवजी ARP विनंत्यांना उत्तरे देईल.
• रहिवासी SSID वर Multicast-to-unicast रूपांतरण किंवा ब्रॉडकास्ट फिल्टरिंग.
• प्रत्येक कीनुसार मर्यादित असलेला mDNS गेटवे, जेणेकरून रहिवाशाचे कास्टिंग टार्गेट्स केवळ त्यांच्या स्वतःच्या डिव्हाइसेसवरच दिसतील.
• आकाराची मर्यादा. सामायिक केलेल्या प्रत्येक VLAN साठी काही शेकडो क्लायंट्स असावेत असा आमचा कार्यरत नियम आहे. त्याहून अधिक असल्यास फ्लोअर किंवा ब्लॉकनुसार विभागणी करा.

काही प्लॅटफॉर्म्स मूळतःच की-स्तरीय ग्रुपिंग लागू करतात. उदाहरणार्थ, Cisco Meraki चे Wireless Personal Network आयडेंटिटी PSK द्वारे डिव्हाइसेसचे गट तयार करते आणि सामायिक VLAN वर गटांना एकमेकांपासून विलग करते. Meraki नेटवर्कवर, यासोबतच फास्ट रोमिंगची चाचणी घ्या. आमची Cisco Meraki 802.11r adaptive vs enabled ही मार्गदर्शिका त्या वर्तनाचा तपशील देते.

प्रति विभाग DHCP स्कोप डिझाइन

आम्ही प्रति रहिवासी आठ ते 12 डिव्हाइसेसचे नियोजन करतो. हा Purple चा नियोजनाचा आकडा आहे आणि यामध्ये खालील बाबी समाविष्ट आहेत:

• फोन, लॅपटॉप, टॅब्लेट आणि घड्याळे
• टीव्ही, कंसोल आणि स्पीकर्स
• स्मार्ट-होम डिव्हाइसेस

प्रत्येक स्कोपचा आकार युनिटच्या सरासरी ऐवजी कमाल क्षमतेनुसार ठरवा.

त्यानंतर खाजगी MAC ॲड्रेसेससाठी अतिरिक्त जागा (headroom) ठेवा. Apple आणि Google दोन्ही डीफॉल्टनुसार प्रत्येक नेटवर्कसाठी डिव्हाइसचा MAC ॲड्रेस यादृच्छिक (randomise) करतात. नवीन यादृच्छिक ॲड्रेस नवीन लीज घेतो. लीजचा कालावधी कमी करा जेणेकरून वापरात नसलेले ॲड्रेसेस एका दिवसाच्या आत पुन्हा पूलमध्ये परत येतील आणि प्रत्येक स्कोपचा किमान एक तृतीयांश भाग मोकळा ठेवा.

प्रिफिक्स	वापरण्यायोग्य ॲड्रेसेस	गेटवेनंतरचे लीजेस	सुसंगतता
/28	14	13	शिफारस केलेले नाही: 12 डिव्हाइसेस असलेला एक रहिवासी केवळ एक शिल्लक सोडतो
/27	30	29	12 डिव्हाइसेस असलेला एक रहिवासी, 17 शिल्लक
/26	62	61	12 डिव्हाइसेस असलेले तीन रहिवासी, 25 शिल्लक
/23	510	509	12 डिव्हाइसेस असलेल्या 25 रहिवाशांचा एक फ्लोअर, 209 शिल्लक

DHCP ला गेटवेवर चालवा, किंवा प्रत्येक VLAN इंटरफेसवर DHCP रिलेसह मध्यवर्ती सर्व्हरवर चालवा. प्रति-युनिट डिझाइनसाठी प्रत्येक VLAN ला एक स्कोप आणि एक रिले आवश्यक असतो, त्यामुळे 250-फ्लॅटच्या इमारतीमध्ये 250 स्कोप असतात. याचा फायदा असा आहे की IP ॲड्रेस फ्लॅटची ओळख पटवतो, ज्यामुळे त्रुटी शोधणे (fault-finding) जलद होते. सामायिक केलेल्या VLAN वर, ॲड्रेस आता युनिटशी मॅप करत नाही. तुम्ही रहिवाशाचा शोध RADIUS अकाउंटिंगद्वारे घेता, जे की, MAC ॲड्रेस आणि सत्राची नोंद ठेवते.

घटक	प्रति अपार्टमेंट VLAN	की द्वारे लागू केलेले धोरण
आयसोलेशन कुठे लागू केले जाते	लेयर 3 गेटवे आणि फायरवॉल	एक्सेस पॉईंट किंवा कंट्रोलर
वापरलेले रहिवासी VLANs	प्रति युनिट एक	प्रति फ्लोअर किंवा ब्लॉक एक
युनिट्समधील वायर्ड पोर्ट्स	पोर्ट VLAN किंवा MAC ऑथेंटिकेशनद्वारे WiFi प्रमाणेच समान सेगमेंट	स्वतंत्र वायर्ड डिझाइनची आवश्यकता आहे
AirPlay आणि Chromecast शोध	VLAN च्या आत कार्य करते, गेटवेची गरज नाही	प्रति की मर्यादित mDNS गेटवे आवश्यक आहे
ब्रॉडकास्ट डोमेनचा आकार	एक कुटुंब, साधारणपणे 36 डिव्हाइसेसपर्यंत	काही शेकडो डिव्हाइसेसपर्यंत
DHCP स्कोप्स	प्रति युनिट एक	प्रति सामायिक VLAN एक
हार्डवेअर अवलंबित्व	डायनॅमिक VLAN असाइनमेंट (RFC 3580)	प्रति-की PSK अधिक प्रति-की आयसोलेशन
सर्वोत्कृष्ट योग्य	वायर्ड पोर्ट्स आणि दीर्घकालीन भाडेकरू असलेले BTR आणि MDU	PBSA, अपार्टमेंट हॉटेल्स, मल्टी-ब्लॉक कॅम्पस

प्रत्येक अपार्टमेंटसाठी VLAN कधी योग्य पर्याय असतो

जेव्हा खालीलपैकी बहुतेक गोष्टी लागू होतात तेव्हा प्रत्येक अपार्टमेंटसाठी VLAN निवडा:

• युनिट्समध्ये वायर्ड पोर्ट्स असतात. एकच VLAN रहिवाशांच्या वायर्ड TV, स्मार्ट हब आणि WiFi डिव्हाइसेसना सपोर्ट करतो, ज्यामुळे दोन्हीवर कास्टिंग सहजतेने कार्य करते.
• भाडेकरूंचा कार्यकाळ महिने किंवा वर्षांचा असतो. VLAN-टू-युनिट मॅप क्वचितच बदलतो.
• सेगमेंटची संख्या तुमच्या प्लॅटफॉर्मच्या मर्यादेपेक्षा खूपच कमी राहते. स्पॅनिंग ट्री इन्स्टन्सेस, कंट्रोलर VLANs आणि गेटवे इंटरफेसेसची गणना करा.
• तुमच्या सुरक्षा टीमला लेयर 3 वर आयसोलेशन हवे आहे, ज्यामध्ये प्रत्येक सेगमेंटसाठी फायरवॉल लॉग असतील.
• सपोर्ट टीमला RADIUS शोध न घेता युनिट ओळखण्यासाठी IP ॲड्रेसची आवश्यकता असते.

प्रत्यक्ष उदाहरण: 250 घरांची BTR योजना

परिस्थिती. स्टुडिओपासून दोन-बेडरूमपर्यंत 250-अपार्टमेंट बिल्ड-टू-रेंट ब्लॉक, ज्यामध्ये प्रत्येक युनिटमध्ये जास्तीत जास्त तीन रहिवासी आहेत. प्रत्येक अपार्टमेंटमध्ये TV आणि स्मार्ट-होम हबसाठी वायर्ड पोर्ट्स आहेत. सुविधांच्या मजल्यावर जिम, को-वर्किंग लाउंज आणि रूफ टेरेस आहे. कर्मचारी, CCTV, इमारत व्यवस्थापन आणि लाउंजला भेट देणाऱ्यांना प्रत्येकाला स्वतःचे नेटवर्क आवश्यक आहे.

काय केले गेले.

• प्रत्येक अपार्टमेंटसाठी एक VLAN: 250 निवासी VLANs.
• सहा इन्फ्रास्ट्रक्चर VLANs: व्यवस्थापन, कर्मचारी, CCTV, इमारत व्यवस्थापन, IoT आणि सुविधांच्या जागांसाठी एक व्हिजिटर Guest WiFi नेटवर्क. हे एकूण 256 VLAN IDs बनवते.
• प्रत्येक अपार्टमेंटसाठी एकसमान /26. 12 डिव्हाइसेसवरील तीन रहिवासी म्हणजे 36 डिव्हाइसेस, ज्यामुळे 25 लिसेस शिल्लक राहतात. एकच टेम्पलेट प्रत्येक युनिटसाठी लागू होते.
• सर्व निवासी स्कोपसाठी एक /18. 250 /26 स्कोप RFC 1918 प्रायव्हेट स्पेसच्या एकाच /18 मध्ये बसतात, ज्यामध्ये सहा /26 ब्लॉक्स शिल्लक राहतात.
• एकाच सेगमेंटवर वायर्ड आणि वायरलेस. RADIUS प्रत्येक रहिवाशाच्या की ला त्यांच्या अपार्टमेंटच्या VLAN शी मॅप करतो, आणि फ्लॅटचे वायर्ड पोर्ट्स एकाच VLAN वर असतात.
• मल्टीपल स्पॅनिंग ट्री 256 VLANs ला लहान संख्येच्या इन्स्टन्सेसवर मॅप करतो.

निकाल (डिझाइनची आकडेवारी).

• 4,094 पैकी 256 VLAN IDs वापरले गेले, सुमारे 6%.
• 256 DHCP स्कोप्स आणि 256 लेयर 3 इंटरफेसेस, एका फायरवॉल नियम टेम्पलेटवरून व्यवस्थापित केले जातात.
• प्रत्येक रहिवाशाचा ॲड्रेस त्याचा फ्लॅट ओळखतो.
• 250 घरांचा दुसरा टप्पा एकूण VLANs ची संख्या 506 वर घेऊन जाईल, तरीही ID स्पेसच्या सुमारे 12% असेल.

पॉलिसी-आधारित सेगमेंटेशन कधी योग्य पर्याय असतो

जेव्हा खालीलपैकी बहुतेक गोष्टी लागू होतात तेव्हा की द्वारे लागू केलेली पॉलिसी निवडा:

• रहिवासी बदलण्याचे प्रमाण (Churn) जास्त आहे. वार्षिक प्रवेश किंवा दैनंदिन मुक्काम यामुळे VLAN-टू-युनिटची देखभाल हे वारंवार होणारे काम बनते.
• रहिवासी अभ्यासाच्या खोल्या, कॅफे आणि जिमसह संपूर्ण इमारतीमध्ये रोमिंग करतात.
• प्रत्येक बेडसाठी प्रायव्हसीमुळे VLAN ची संख्या शेकडो किंवा हजारोमध्ये जाईल.
• खोल्यांमध्ये कोणतेही वायर्ड पोर्ट्स नाहीत, किंवा ते पोर्ट्स फक्त इमारत सिस्टीमसाठी काम करतात.
• तुमचे ॲक्सेस पॉइंट्स प्रति-की PSK, प्रति-की आयसोलेशन आणि स्कोप्ड mDNS ला सपोर्ट करतात.

प्रत्यक्ष उदाहरण: 800 बेडचे युनिव्हर्सिटी हॉस्टेल

परिस्थिती. एक विद्यापीठ आठ मजल्यांच्या चार ब्लॉक वरील 800-खाटांच्या वसतिगृहाचे संचालन करते, ज्यामध्ये प्रति मजला 25 खाटा आहेत. विद्यार्थी सामायिक स्वयंपाकघराभोवती पाच ते आठ बेडरुम्सच्या क्लस्टर फ्लॅट्समध्ये राहतात. फ्लॅटमेट्सना एकमेकांपासून गोपनीयतेची अपेक्षा असते, त्यामुळे नेटवर्कचे विभागीकरण प्रति खाट केले जाते. बहुतांश खाटा प्रत्येक शैक्षणिक वर्षाच्या सुरूवातीस बदलतात.

पर्याय A: प्रति खाट एक VLAN.

• 800 निवासी VLANs.
• प्रति खाट /27 सह 12 उपकरणांसाठी जागा मिळते व 17 मोकळी राहतात, ज्यामुळे एकूण 25,600 पत्ते लागतात आणि /17 ची गरज भासते.
• 800 DHCP स्कॉप्स आणि 800 गेटवे इंटरफेसेस.
• प्रत्येक VLAN विद्यार्थ्याने वापरल्या जाऊ शकणाऱ्या प्रत्येक ॲक्सेस पॉइंटला ट्रंक केला जातो, म्हणजेच पूर्ण साइटला.

पर्याय B: कि द्वारे लागू केलेले धोरण.

• चेक-इन वेळी प्रत्येक विद्यार्थ्याला एक युनिक कि मिळते.
• प्रति मजला एक सामायिक VLAN मुळे 32 निवासी VLANs मिळतात.
• प्रत्येक /23 300 उपकरणांच्या (25 विद्यार्थी, प्रति विद्यार्थी 12 उपकरणे) तुलनेत 509 लीज प्रदान करतो, ज्यामुळे 209 मोकळे राहतात.
• 32 /23 स्कॉप्स एका /18 मध्ये बसतात.
• प्रति-कि आयसोलेशन ॲक्सेस पॉइंट्सवर चालते, ज्यामध्ये प्रति कि स्कॉप केलेला mDNS गेटवे असतो. SSID वर प्रोक्सी ARP आणि मल्टीकास्ट-टू-युनिकास्ट चालतात.

काय करण्यात आले. पर्याय B. कि प्रत्येक विद्यार्थ्याला त्यांच्या मूळ-मजल्यावरील VLAN सह मॅप करते. कॅफेमध्ये जाणाऱ्या विद्यार्थ्याचा पत्ता आणि धोरण समान राहते. सर्व 32 VLANs प्रत्येक ॲक्सेस पॉइंटला ट्रंक केले जातात, जो 800 पेक्षा खूपच हलका लोड आहे.

परिणाम (डिझाइन आकडेवारी).

• 800 ऐवजी 32 निवासी VLANs, 96% घट.
• 800 ऐवजी 32 DHCP स्कॉप्स.
• अर्धी ॲड्रेस जागा: /17 ऐवजी /18.
• आमच्या कार्य नियमांनुसार, प्रत्येकी सुमारे 300 उपकरणांचे ब्रॉडकास्ट डोमेन्स.
• वार्षिक बदलाचा अर्थ फक्त कि रद्द करणे आणि पुन्हा जारी करणे असा आहे, VLAN, स्कॉप किंवा ट्रंकमध्ये कोणताही बदल नाही.

प्रत्यक्ष उदाहरण: 120-युनिटचे अपार्टमेंट हॉटेल

परिस्थिती. सहा मजल्यांवर 120-अपार्टमेंटचे अपार्टमेंट हॉटेल, प्रति मजला 20 अपार्टमेंट्स. मुक्काम एक ते 14 रात्रींपर्यंत असतो. पाहुणे स्ट्रीमिंग स्टिक्स आणतात आणि त्यांच्या फोनवरून कास्ट करण्याची अपेक्षा करतात. फ्रंट डेस्क चेक-इन वेळी WiFi ॲक्सेस जारी करतो.

काय करण्यात आले.

• प्रत्येक मुक्कामाला चेक-इन वेळी स्वतःची कि मिळते, जी प्रति-अपार्टमेंट धोरण गटाशी मॅप केलेली असते.
• कमी कालावधीच्या मुक्कामामध्ये कमी उपकरणे असतात, त्यामुळे ही योजना प्रति पाहुणा आठ उपकरणे आणि प्रति अपार्टमेंट दोन पाहुणे वापरते. ते प्रति मजला 320 उपकरणे होतात.
• प्रत्येक मजल्याला एक /23 VLAN मिळतो, ज्यामुळे 189 लीज मोकळे राहतात.
• डिझाइन चेकआउट वेळी प्रत्येक कि रद्द करते.

परिणाम (डिझाइन आकडेवारी).

• 120 ऐवजी सहा निवासी VLANs, 95% घट.
• सहा DHCP स्कॉप्स.
• मुक्कामांच्या दरम्यान कोणतेही VLAN बदल नाहीत.
• प्रति-कि mDNS स्कॉपद्वारे प्रत्येक मुक्कामात कास्टिंग कार्य करते.

व्यापक गेस्ट नेटवर्क माहितीसाठी, आमचे हॉटेल्स पृष्ठ पहा.

प्रत्येक डिझाइन चालवण्यासाठी किती खर्च येतो

कोणतीही डिझाइन तुमच्या ॲक्सेस पॉइंटची संख्या बदलत नाही. ते उपकरणांची घनता आणि कव्हरेजद्वारे ठरवले जाते. चालू असणारा खर्च म्हणजे तुम्ही कॉन्फिगर केलेल्या, बदललेल्या आणि ट्रबलशूट केलेल्या ऑब्जेक्ट्सची संख्या.

देखरेख करायची वस्तू	250-डोअर BTR, प्रति अपार्टमेंट VLAN	800-खाटांचे PBSA, प्रति खाट VLAN	800-खाटांचे PBSA, कि द्वारे धोरण
निवासी VLANs	250	800	32
DHCP स्कॉप्स	250	800	32
लेयर 3 गेटवे इंटरफेसेस	250	800	32
प्रायव्हेट अॅड्रेस स्पेस	/18	/17	/18
प्रत्येक AP वर ट्रंक केलेले VLANs (6 इन्फ्रास्ट्रक्चरसह)	256	806	38
आयसोलेशन लागू केले जाते	गेटवे फायरवॉल येथे	गेटवे फायरवॉल येथे	ॲक्सेस पॉइंट किंवा कंट्रोलर येथे
रहिवासी बदलल्यावर होणारा बदल	की पुन्हा जारी करा	की पुन्हा जारी करा	की पुन्हा जारी करा

प्रत्येक युनिटसाठी एका VLAN मुळे बदलांच्या व्यवस्थापनाचा खर्च वाढतो. प्रत्येक नवीन ब्लॉकमुळे VLANs, स्कोप्स, गेटवे इंटरफेसेस, फायरवॉल एन्ट्रीज आणि पाथमधील प्रत्येक स्विचवर ट्रंक बदल जोडले जातात. हे काम टेम्पलेट करा आणि ऑटोमेट करा, अन्यथा त्यात तफावत निर्माण होते.

की द्वारे पॉलिसी लागू केल्यास, खर्च दुसऱ्या ठिकाणी स्थानांतरित होतो. तुम्ही तुमच्या ॲक्सेस पॉइंट फर्मवेअर आणि लायसन्स मधील प्रति-की वैशिष्ट्यांवर अवलंबून असता. ट्रबलशूटिंग देखील IP ॲड्रेसवरून RADIUS अकाउंटिंग लॉगकडे शिफ्ट होते, त्यामुळे तुमच्या सपोर्ट टीमला ते वाचण्याचे प्रशिक्षण द्या.

Purple Multi-Tenant WiFi तुमच्याकडे आधीपासून असलेल्या हार्डवेअरवर क्लाउड ओव्हरले म्हणून चालते. आमचे क्लाउड RADIUS प्रत्येक रहिवाशाला एक की जारी करते आणि त्यांचा VLAN किंवा पॉलिसी परत करते. जॉइनर्स, मूव्हर्स आणि लीव्हर्स एकाच स्क्रीनवरून व्यवस्थापित केले जातात. Purple खालील हार्डवेअरवर हार्डवेअर-अग्नोस्टिक आहे:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

Purple च्या स्वतःच्या डेटानुसार, Purple 80,000+ पेक्षा जास्त लाइव्ह ठिकाणी चालते आणि त्यांनी 2024 मध्ये 440 दशलक्ष लॉगीन्स हाताळले आहेत. Purple हे ISO 27001 प्रमाणित आणि GDPR चे पालन करणारे आहे. सेगमेंटेशनसाठी नवीन ॲक्सेस पॉइंट्सची गरज क्वचितच का असते हे जाणून घेण्यासाठी, Why your next WiFi upgrade doesn't need new hardware वाचा.

तुमच्या इस्टेटसाठी निर्णय कसा घ्यावा

तुमची परिस्थिती	शिफारस	कारण
सुमारे 500 युनिट्सपर्यंत, वायर्ड पोर्ट्स, 12 महिने किंवा त्याहून अधिक कालावधीचे भाडेकरार	प्रत्येक अपार्टमेंटसाठी एक VLAN	वायर्ड आणि WiFi एकच सेगमेंट शेअर करतात; ID वापर 12% च्या जवळ राहतो
प्रति-बेड प्रायव्हसी आणि वार्षिक टर्नओव्हरसह PBSA	की द्वारे पॉलिसी, प्रत्येक मजल्यासाठी एक शेअर केलेला VLAN	800 बेड्सवर 96% कमी VLANs; प्रत्येक प्रवेशाच्या वेळी नवीन प्लॅनिंग नाही
काही दिवसांच्या मुक्कामासह अपार्टहॉटेल किंवा सर्व्हिस्ड अपार्टमेंट्स	की द्वारे पॉलिसी	की मुक्कामाच्या कालावधीचे अनुसरण करतात; VLAN मॅप कधीही बदलत नाही
एका लेयर 2 कोरवर मल्टी-ब्लॉक कॅम्पस, 3,000 पेक्षा जास्त सेगमेंट	प्रत्येक इमारतीसाठी राउटेड बाउंड्री, किंवा VXLAN, त्यानंतर कोणताही एक मॉडेल	प्रति लेयर 2 डोमेन 4,094 IDs
एकाच साइटवर वायर्ड-पोर्ट अपार्टमेंट्स आणि क्लस्टर फ्लॅट्स	हायब्रिड: जिथे पोर्ट्स आहेत तिथे प्रति अपार्टमेंट VLAN, इतर ठिकाणी की द्वारे पॉलिसी	प्रत्येक मॉडेल जिथे त्याचे फायदे लागू होतात तिथे वापरले जाते
प्रति-की आयसोलेशन नसलेले ॲक्सेस पॉइंट्स	प्रति अपार्टमेंट VLAN, किंवा फर्मवेअर किंवा AP अपग्रेडचे प्लॅनिंग करा	आयसोलेशन कुठेतरी लागू करावेच लागते

डिझाइन नक्की करण्यापूर्वी पाच टप्प्यांतून जा.

1. तुमचे सेगमेंट मोजा. युनिट्स किंवा बेड मोजा, नंतर इन्फ्रास्ट्रक्चर VLANs आणि कोणतेही वायर्ड किंवा IoT मल्टिप्लायर जोडा. 4,094 ऐवजी, या एकूण संख्येची तुलना तुमच्या स्पॅनिंग ट्री, कंट्रोलर आणि गेटवे मर्यादेशी करा.
2. कमाल क्षमतेवरून स्कोपचा आकार ठरवा. रहिवाशांना 12 डिव्हाइसेसने गुणाकार करा, नंतर प्रत्येक स्कोपचा किमान एक तृतीयांश भाग मोकळा ठेवा.
3. तुमच्या व्हेंडरकडून प्रति-की वैशिष्ट्यांची पुष्टी करा. तुमच्या फर्मवेअरवर प्रति-की PSK, प्रति-की VLAN असाइनमेंट, प्रति-की आयसोलेशन, स्कोप्ड mDNS आणि WPA3-Personal सपोर्ट तपासा.
4. घनतेसाठी सर्वेक्षण करा. प्रति रहिवासी आठ ते 12 डिव्हाइसेस ॲक्सेस पॉइंटची संख्या बदलतात. आमची WiFi साइट सर्व्हे मार्गदर्शिका या नियोजनाचा समावेश करते.
5. फ्लॅट आणि सुविधांच्या जागांमधील रोमिंगची चाचणी करा. जर रहिवासी मजल्यांदरम्यान फिरत असतील, तर 802.11r आणि 802.11k ट्यून करा. व्हेंडर विशिष्‍ट सेटिंग्जसाठी Android वर 802.11r आणि 802.11k पहा.

वारंवार विचारले जाणारे प्रश्न

Purple Multi-Tenant WiFi माझ्या इमारतीमध्ये आधीपासून असलेल्या ॲक्सेस पॉइंट्ससह कार्य करते का?

होय. Purple हे हार्डवेअर-ॲग्नोस्टिक आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून चालते. तुम्ही तुमचे ॲक्सेस पॉइंट्स आणि स्विचेस ठेवू शकता. Purple क्लाउड RADIUS आणि आयडेंटिटी लेयर प्रदान करते जे प्रत्येक रहिवाशाला एक की जारी करते आणि त्यांचा VLAN किंवा पॉलिसी परत करते. जर तुम्ही पॉलिसी-आधारित सेगमेंटेशन निवडले, तर तुमची फर्मवेअर प्रति-की PSK आणि प्रति-की आयसोलेशनला सपोर्ट करते याची खात्री करा.

आम्ही हार्डवेअर न बदलता एका शेअर केलेल्या बिल्डिंग पासवर्डवरून प्रति-युनिट की वर शिफ्ट होऊ शकतो का?

होय, जर तुमचे ॲक्सेस पॉइंट्स प्रति-की PSK किंवा डायनॅमिक VLAN असाइनमेंटला सपोर्ट करत असतील. Purple विद्यमान पायाभूत सुविधांवर काम करते, त्यामुळे कोणतीही जुनी सिस्टीम काढून नवीन बसवण्याची गरज नाही. जुन्या रहिवासी SSID सोबत नवीन SSID चालवा, नंतर रहिवाशांना एका वेळी एक युनिटनुसार शिफ्ट करा. शेवटचा रहिवासी शिफ्ट झाल्यावर शेअर केलेला पासवर्ड बंद करा. पहिल्या रहिवाशाने स्विच करण्यापूर्वी तुमचे VLAN किंवा पॉलिसी मॅप आणि DHCP स्कॉप्सचे नियोजन करा.

एक MDU इमारत किती VLANs ना सपोर्ट करू शकते?

प्रत्येक लेयर 2 डोमेनमध्ये 4,094 पर्यंत, जी IEEE 802.1Q मधील 12-बिट VLAN ID द्वारे सेट केलेली मर्यादा आहे. प्रत्यक्ष व्यवहारात, स्पॅनिंग ट्री इन्स्टन्स मर्यादा, कंट्रोलर VLAN मर्यादा आणि गेटवे इंटरफेस काउंट सहसा प्रथम प्रभावित करतात. सहा इन्फ्रास्ट्रक्चर VLANs असलेली 250-डोअर BTR योजना 256 IDs वापरते. ज्या कॅम्पसमध्ये अधिक आवश्यकता आहे त्यांनी प्रत्येक इमारतीवर रूटेड बाउंड्री ठेवावी किंवा VXLAN वर शिफ्ट व्हावे.

की-आधारित सेगमेंटेशन हे प्रति अपार्टमेंट VLAN इतकेच सुरक्षित आहे का?

होय, अट अशी की तुमच्या प्लॅटफॉर्मने ॲक्सेस पॉइंट किंवा कंट्रोलरवर की दरम्यान आयसोलेशन लागू केले पाहिजे. फरक हा एनफोर्समेंट पॉइंटचा आहे. प्रति-युनिट VLAN लेयर 3 गेटवेवर क्रॉस-युनिट ट्रॅफिक ब्लॉक करते. की-आधारित पॉलिसी ट्रॅफिक ॲक्सेस पॉइंट सोडण्यापूर्वी ते ब्लॉक करते. रहिवासी डिव्हाइसवरून याची चाचणी करा. तुम्ही दुसऱ्या रहिवाशाच्या डिव्हाइसेसपर्यंत पोहोचू शकत नाही किंवा त्यांचे कास्टिंग टार्गेट्स शोधू शकत नाही याची खात्री करा.

स्मार्ट टिव्ही, कन्सोल आणि IoT डिव्हाइसेस सेगमेंट केलेल्या रहिवासी नेटवर्कवर कार्य करतील का?

होय. दोन्ही डिझाईन्स प्री-शेअर की वापरतात, जी 802.1X सपोर्ट नसलेल्या डिव्हाइसेसवर कार्य करते, जसे की स्मार्ट टीव्ही, गेम्स कन्सोल आणि स्मार्ट स्पीकर्स. प्रत्येक रहिवाशाची डिव्हाइसेस त्यांचा स्वतःचा VLAN किंवा की ग्रुप शेअर करतात, त्यामुळे घरामध्ये कास्टिंग आणि प्रिंटिंग कार्य करते. शेअर केलेल्या VLANs वर, प्रति की स्कोप असलेला mDNS गेटवे जोडा जेणेकरून डिव्हाइस डिस्कव्हरी प्रत्येक रहिवाशासाठी खाजगी राहील.

Purple GDPR अंतर्गत रहिवाशांचा डेटा कसा हाताळते?

Purple हे ISO 27001 प्रमाणित आणि GDPR सुसंगत आहे. प्रत्येक की क्लाउड RADIUS लेयरमधील रहिवासी रेकॉर्डशी लिंक करते. RADIUS अकाऊंटिंग कोणत्या की आणि डिव्हाइसने प्रत्येक सत्र आयोजित केले होते याची नोंद ठेवते, जे दोष शोधण्यास आणि प्रवेश विनंत्यांना मदत करते. जेव्हा एखादा रहिवासी सोडून जातो, तेव्हा तुम्ही त्यांची की रद्द करता, आणि जॉइनर्स, मूव्हर्स आणि लीव्हर्स प्रक्रिया एकाच काचेच्या पॅनमधून त्यांचा नेटवर्क प्रवेश बंद करते.

रहिवासी बाहेर गेल्यावर त्यांच्या डिव्हाइसेसचे काय होते?

तुम्ही की किंवा क्रेडेंशियल रद्द करताच ते प्रवेश गमावतात. जिथे तुमचे ॲक्सेस पॉइंट्स याला सपोर्ट करतात, तिथे RADIUS डायनॅमिक ऑथोरायझेशन (RFC 5176) सक्रिय सत्रे त्वरित खंडित करते. प्रत्येक अपार्टमेंटसाठी VLAN सह, VLAN आणि DHCP स्कोप पुढील रहिवाशासाठी जागेवरच राहतात. की आधारित धोरणासह, काहीही री-प्लान करण्याची गरज नाही: तुम्ही नवीन रहिवाशाला नवीन की जारी करता.