कर्मचारी आणि अतिथी WiFi नेटवर्क सुरक्षितपणे कसे वेगळे करावे

Purple Technical Briefing मध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे आणि आज आपण हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील IT मॅनेजर्स आणि नेटवर्क आर्किटेक्ट्स यांच्यासोबतच्या आमच्या संभाषणांमध्ये वारंवार समोर येणाऱ्या एका महत्त्वाच्या प्रश्नावर बोलणार आहोत: तुम्ही तुमचे कर्मचारी आणि गेस्ट WiFi नेटवर्क सुरक्षितपणे वेगळे कसे कराल? हा केवळ एक तात्विक विचार नाही. तुम्ही हॉटेल, रिटेल इस्टेट, स्टेडियम किंवा कॉन्फरन्स सेंटर चालवत असाल, तर तुमच्याकडे एकाच फिजिकल वायरलेस इन्फ्रास्ट्रक्चरवर कर्मचारी आणि गेस्ट दोन्ही असण्याची दाट शक्यता आहे. हे विभाजन योग्य प्रकारे करणे म्हणजे एक सुरक्षित नेटवर्क आणि एक गंभीर दायित्व यामधील फरक आहे. चला तर मग, याबद्दल सविस्तर जाणून घेऊया. [short pause] सर्वप्रथम, आपण 'सेग्रेगेशन' किंवा विभाजनाचा अर्थ स्पष्ट करून घेऊया. आम्ही दोन वेगळे ॲक्सेस पॉइंट्सचे संच खरेदी करण्याबद्दल बोलत नाही - एक गेस्टसाठी आणि दुसरा कर्मचाऱ्यांसाठी. ते खर्चिक, ऑपरेशनलदृष्ट्या क्लिष्ट आणि स्पष्टपणे सांगायचे तर अनावश्यक असेल. Cisco Meraki, HPE Aruba, Ruckus आणि Juniper Mist सारख्या कंपन्यांचे आधुनिक एंटरप्राइझ ॲक्सेस पॉइंट्स एकाच वेळी अनेक SSID ब्रॉडकास्ट करू शकतात - ही ती नेटवर्क नावे आहेत जी तुमच्या डिव्हाइसेसना दिसतात - आणि प्रत्येक SSID एका स्वतंत्र VLAN ला, म्हणजेच व्हर्च्युअल लोकल एरिया नेटवर्कला जोडलेला असतो. हे विभाजन एकाच फिजिकल हार्डवेअरवर, सॉफ्टवेअरच्या माध्यमातून लॉजिकली होते. त्यामुळे तुमचे गेस्ट नेटवर्क - समजा VenueGuest - VLAN 10 वर चालते. तुमचे कर्मचारी नेटवर्क VLAN 20 वर चालते. तुमचे IoT डिव्हाइसेस, बिल्डिंग मॅनेजमेंट सिस्टीम्स, CCTV - VLAN 30 वर चालतात. आणि जर तुम्ही कार्ड पेमेंट स्वीकारत असाल, तर तुमचे पॉइंट-ऑफ-सेल टर्मिनल्स सर्वात कडक ॲक्सेस कंट्रोल्ससह VLAN 40 वर चालतात. [short pause] आता, हे इतके महत्त्वाचे का आहे? याचे उत्तर 'लॅटरल मुव्हमेंट' मध्ये आहे. एका साध्या, अनसेगमेंटेड नेटवर्कमध्ये, एखादे असुरक्षित किंवा हॅक झालेले डिव्हाइस त्याच ब्रॉडकास्ट डोमेनमधील इतर सर्व डिव्हाइसेसशी थेट संवाद साधू शकते. मालवेअरने संक्रमित असलेला एखाद्या गेस्टचा स्मार्टफोन, सिद्धांतानुसार, तुमच्या प्रॉपर्टी मॅनेजमेंट सिस्टीम, कर्मचाऱ्यांचे लॅपटॉप आणि तुमच्या पेमेंट टर्मिनल्सची तपासणी किंवा हॅक करू शकतो. हा केवळ अंदाज नाही. हा एक सिद्ध झालेला हल्ला करण्याचा मार्ग आहे आणि म्हणूनच नेटवर्क सेगमेंटेशन ही एक मूलभूत सुरक्षा आवश्यकता आहे, कोणताही ऐच्छिक पर्याय नाही. अनुपालनाच्या (कम्प्लायन्सच्या) दृष्टिकोनातून, हे विभाजन अनेकदा अनिवार्य असते. PCI-DSS - पेमेंट कार्ड इंडस्ट्री डेटा सिक्युरिटी स्टँडर्ड - नुसार कार्डधारक डेटाचे वातावरण इतर सर्व नेटवर्क ट्रॅफिकपासून वेगळे असणे आवश्यक आहे. PCI सिक्युरिटी स्टँडर्ड्स काउन्सिलच्या मार्गदर्शनानुसार, योग्य सेगमेंटेशनमुळे तुमची PCI-DSS ऑडिट व्याप्ती 60 ते 80 टक्क्यांनी कमी होऊ शकते. याचा थेट अर्थ कमी अनुपालन खर्च आणि हल्ल्याची कमी जोखीम असा होतो. GDPR डेटा मिनिमायझेशनची बंधने लागू करते जी तुमची आर्किटेक्चर रचनाच विभाजने सुनिश्चित करते तेव्हा पूर्ण करणे खूप सोपे जाते. आणि आरोग्य सेवा वातावरणात, क्लिनिकल डिव्हाइस नेटवर्क्स सामान्य वापराच्या WiFi पासून वेगळे असणे आवश्यक आहे. [short pause] मी तुम्हाला ऑथेंटिकेशन लेयरबद्दल माहिती देतो, कारण इथेच या दोन नेटवर्कमध्ये सर्वात मोठा फरक दिसून येतो. तुमच्या अतिथी नेटवर्कसाठी, मानक पद्धत म्हणजे मुक्त SSID - किंवा WPA3-Personal - ज्यासोबत Captive Portal जोडलेले असते. Captive Portal हे वेब-आधारित ऑथेंटिकेशन पेज आहे जे अतिथींना पहिल्यांदा कनेक्ट झाल्यावर दिसते. योग्यरित्या व्यवस्थापित केल्यास, हे तुमचे फर्स्ट-पार्टी डेटा कॅप्चर करण्याचे प्राथमिक साधन बनते. अतिथी ईमेल, सोशल लॉगिन किंवा SMS पडताळणीद्वारे ऑथेंटिकेट करतात. तुम्ही त्यांच्या डिव्हाइसशी, त्यांच्या भेटीच्या वेळेच्या नोंदीशी आणि त्यांच्या थांबण्याच्या कालावधीशी लिंक केलेली एक सत्यापित ओळख कॅप्चर करता. कालांतराने, तुम्ही तुमच्या वास्तविक अभ्यागतांचा एक समृद्ध, संमती असलेला आणि GDPR-सुसंगत डेटासेट तयार करता. येथेच Purple चे Guest WiFi प्लॅटफॉर्म तुमच्या VLAN आर्किटेक्चरसह थेट समाकलित होते. आम्ही Captive Portal, GDPR अंतर्गत संमती व्यवस्थापन आणि डाउनस्ट्रीम ॲनालिटिक्स हाताळतो - हे सर्व तुमच्या विद्यमान हार्डवेअरवर चालते. आम्ही केवळ 2024 मध्येच 80,000 पेक्षा जास्त ठिकाणी हे उपयोजित केले आहे आणि 440 दशलक्ष लॉगिन कॅप्चर केले आहेत. हे प्लॅटफॉर्म हार्डवेअर-अज्ञेयवादी (hardware-agnostic) आहे, त्यामुळे तुम्ही Cisco Meraki, HPE Aruba किंवा Ubiquiti UniFi चालवत असलात तरीही, तुमची पायाभूत सुविधा न बदलता ते सहज सेट होते. [short pause] तुमच्या कर्मचारी नेटवर्कसाठी, सुवर्ण मानक म्हणजे IEEE 802.1X ऑथेंटिकेशनसह WPA3-Enterprise. 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल मानक आहे ज्यासाठी प्रत्येक डिव्हाइसला नेटवर्क ॲक्सेस मिळण्यापूर्वी RADIUS सर्व्हरद्वारे ऑथेंटिकेट करणे आवश्यक असते. RADIUS सर्व्हर - Remote Authentication Dial-In User Service - तुमच्या Microsoft Entra ID, Okta किंवा Google Workspace या आयडेंटिटी प्रोव्हाइडरसह क्रेडेंशियल्सची पडताळणी करतो. याचा अर्थ असा की प्रत्येक कर्मचारी त्यांच्या कॉर्पोरेट क्रेडेंशियल्ससह ऑथेंटिकेट करतो आणि नेटवर्क भूमिका किंवा विभागाच्या आधारावर प्रति-वापरकर्ता पॉलिसी लागू करू शकते. तुम्हाला आढळणाऱ्या दोन सर्वात सामान्य EAP पद्धती - Extensible Authentication Protocol - म्हणजे EAP-TLS, जे परस्पर प्रमाणपत्र-आधारित ऑथेंटिकेशन वापरते आणि हा सर्वात सुरक्षित पर्याय आहे, आणि PEAP, Protected EAP, जे युझरनेम आणि पासवर्ड क्रेडेंशियल्ससह सर्व्हर-साइड प्रमाणपत्र वापरते. उच्च-सुरक्षा वातावरणासाठी EAP-TLS ला प्राधान्य दिले जाते कारण ते पासवर्डची आवश्यकता पूर्णपणे काढून टाकते, ज्यामुळे पासवर्डवरील सायबर हल्ल्यांचा धोका उरत नाही. PEAP प्रत्यक्षात अधिक सामान्य आहे कारण ते पूर्ण PKI पायाभूत सुविधांशिवाय उपयोजित करणे सोपे आहे. IoT डिव्हाइसेससाठी - आणि ही एक अशी श्रेणी आहे जी बऱ्याच संस्थांना गोंधळात टाकते - बहुतेक डिव्हाइसेस 802.1X ला सपोर्ट करत नाहीत. तुमचे CCTV कॅमेरे, तुमचे स्मार्ट थर्मोस्टॅट्स, तुमचे डोअर ॲक्सेस कंट्रोल सिस्टम: हे एका प्री-शेअर्ड की सह ऑथेंटिकेट करतात. येथील पर्यायांमध्ये मजबूत, नियमितपणे बदलल्या जाणाऱ्या पासफ्रेससह WPA2-PSK, किंवा iPSK - Identity Pre-Shared Key - समाविष्ट आहे, जे प्रति डिव्हाइस किंवा डिव्हाइस ग्रुपसाठी एक युनिक पासफ्रेस नियुक्त करते. iPSK ला Cisco Meraki, HPE Aruba आणि Ruckus वर सपोर्ट आहे, आणि ते तुम्हाला एंडपॉइंटवर 802.1X सपोर्टची आवश्यकता नसतानाही डिव्हाइस-स्तरीय दृश्यमानता देते. महत्त्वाचा मुद्दा म्हणजे तुमच्या IoT VLAN मध्ये कडक फायरवॉल नियम असणे आवश्यक आहे. ही डिव्हाइसेस केवळ त्यांना आवश्यक असलेल्या विशिष्ट अंतर्गत सेवांपर्यंत पोहोचण्यास सक्षम असावीत - त्याहून अधिक काही नाही. CCTV कॅमेऱ्याने तुमच्या प्रॉपर्टी मॅनेजमेंट सिस्टमपर्यंत पोहोचण्याचे कोणतेही वैध कारण नाही. तुमच्या ॲक्सेस कंट्रोल लिस्टमध्ये ते सक्तीने लागू करा. [short pause] आता हे अधिक स्पष्ट करण्यासाठी मी तुम्हाला दोन वास्तविक परिस्थितींची उदाहरणे देतो. पहिली परिस्थिती २०० खोल्यांचे हॉटेल आहे. या मालमत्तेमध्ये पाहुणे, फ्रंट-ऑफ-हाऊस कर्मचारी, बॅक-ऑफिस टीम्स आणि कार्ड पेमेंट टर्मिनल्स असलेले रेस्टॉरंट यांचे मिश्रण आहे. यासाठी योग्य आर्किटेक्चर म्हणजे चार VLANs: VLAN १० वर पाहुणे, VLAN २० वर कर्मचारी, VLAN ३० वर IoT आणि बिल्डिंग सिस्टम्स, VLAN ४० वर POS टर्मिनल्स. गेस्ट SSID Purple च्या captive portal च्या मागे ओपन नेटवर्क वापरते - पाहुणे ईमेल किंवा सोशल लॉगिनद्वारे ऑथेंटिकेट करतात, मार्केटिंगसाठी संमती देतात आणि क्लायंट आयसोलेशन सक्षम असलेल्या केवळ-इंटरनेट एक्सेस मिळवतात. कर्मचारी Microsoft Entra ID च्या विरोधात 802.1X द्वारे ऑथेंटिकेट करतात. POS VLAN चा गेस्ट किंवा स्टाफ VLANs कडे कोणताही मार्ग नसतो, ज्यामुळे PCI-DSS नेटवर्क सेगमेंटेशन आवश्यकता पूर्ण होतात. फायरवॉल सर्व इंटर-VLAN ट्रॅफिक डीफॉल्ट-नाकारते, ज्यामध्ये केवळ दस्तऐवजीकरण केलेल्या, आवश्यक प्रवाहासाठी स्पष्ट परवानगी नियम असतात. दुसरी परिस्थिती ५० स्टोअर्स असलेली रिटेल चेन आहे. प्रत्येक स्टोअरमध्ये गेस्ट WiFi वर खरेदीदार, स्टाफ WiFi वर स्टोअर असोसिएट्स आणि IoT उपकरणांचे मिश्रण असते - डिजिटल साइनेज, इन्व्हेंटरी स्कॅनर्स, CCTV. येथील आव्हान म्हणजे मोठ्या प्रमाणावर सातत्य राखणे. तुम्हाला सर्व ५० ठिकाणी एकच VLAN आर्किटेक्चर, समान फायरवॉल पॉलिसी आणि समान captive portal कॉन्फिगरेशन एकसारखेच तैनात करणे आवश्यक आहे. क्लाउड-व्यवस्थापित वायरलेस प्लॅटफॉर्म - Cisco Meraki, HPE Aruba Central, Juniper Mist - केंद्रीकृत पॉलिसी टेम्पलेट्सद्वारे हे साध्य करणे शक्य करतात. Purple चे प्लॅटफॉर्म संपूर्ण इस्टेटमध्ये सातत्यपूर्ण ब्रँडिंग, संमती व्यवस्थापन आणि ॲनालिटिक्ससह गेस्ट लेयर प्रदान करते, ज्यामध्ये IT टीमसाठी एकच डॅशबोर्ड असतो. [थोडका विराम] आता मी सर्वात सामान्य अपयशाच्या पद्धतींबद्दल सांगतो, कारण याच ठिकाणी डिप्लॉयमेंट चुकतात. पहिली चूक म्हणजे चुकीचे कॉन्फिगर केलेले ट्रंक पोर्ट्स. जर एकाधिक VLANs वाहून नेणारा स्विच पोर्ट चुकून ॲक्सेस पोर्ट म्हणून कॉन्फिगर केला गेला, तर सर्व ट्रॅफिक एकाच VLAN वर कोलमडते आणि तुमचे सेगमेंटेशन अदृश्य होते - अगदी शांतपणे. कोणत्याही बदलानंतर नेहमी तुमच्या स्विच कॉन्फिगरेशनचे ऑडिट करा आणि VLAN टॅगिंग शेवटपर्यंत योग्यरित्या कार्य करत असल्याची पडताळणी करण्यासाठी तुमच्या नेटवर्क मॉनिटरिंग प्लॅटफॉर्मचा वापर करा. दुसरी चूक म्हणजे SSID चा अतिप्रसार. तुम्ही ब्रॉडकास्ट करत असलेला प्रत्येक अतिरिक्त SSID बीकन फ्रेम्ससाठी एअरटाइम वापरतो, अगदी कोणतेही क्लायंट कनेक्ट नसतानाही. शेकडो ॲक्सेस पॉइंट्स असलेल्या दाट गर्दीच्या ठिकाणी, प्रति AP आठ SSIDs ब्रॉडकास्ट केल्याने थ्रूटपुट लक्षणीयरीत्या कमी होऊ शकतो. सर्वोत्तम सराव म्हणजे प्रति रेडिओ बँड चारपेक्षा जास्त SSIDs नसावेत: गेस्ट, कर्मचारी, IoT आणि व्यवस्थापन. तीन असणे सर्वात आदर्श आहे. तिसरी चूक म्हणजे वायर्ड नेटवर्क विसरणे. जर तुमचे वायर्ड इन्फ्रास्ट्रक्चर तितकेच सेगमेंट केलेले नसेल तर WiFi सेग्रिगेशन निरर्थक आहे. एखादा पाहुणा कॉन्फरन्स रूममधील इथरनेट पोर्टमध्ये प्लग करतो आणि स्वतःला तुमच्या कॉर्पोरेट नेटवर्कवर शोधतो, तेव्हा त्याने तुमच्या संपूर्ण वायरलेस सुरक्षा आर्किटेक्चरला बायपास केलेले असते. पाहुण्यांसाठी प्रवेशयोग्य असलेल्या भागातील प्रत्येक वायर्ड पोर्ट गेस्ट VLAN ला नियुक्त केला गेला पाहिजे किंवा पूर्णपणे अक्षम केला गेला पाहिजे. चौथा फेल्युअर मोड म्हणजे कमकुवत inter-VLAN फायरवॉल पॉलिसी. VLAN आर्किटेक्चर केवळ तुमच्या फायरवॉलवरील नियमांइतकेच मजबूत असते. प्रत्येक गोष्टीला डीफॉल्ट-नकार (default-deny) द्या, त्यानंतर केवळ तुम्ही दस्तऐवजीकरण केलेल्या आणि मंजूर केलेल्या प्रवाहांना स्पष्टपणे परवानगी द्या. त्या नियमांचे त्रैमासिक पुनरावलोकन करा. फायरवॉल नियम वाढणे - जेथे परवानगी दिलेले प्रवाह वेळोवेळी पुनरावलोकनाशिवाय जमा होतात - हा अनपेक्षित नेटवर्क ऍक्सेसच्या सर्वात सामान्य स्रोतांपैकी एक आहे. [short pause] आता, मला नियमितपणे विचारले जाणारे काही जलद प्रश्न. आम्हाला पाहुणे आणि कर्मचाऱ्यांसाठी स्वतंत्र फिजिकल ऍक्सेस पॉइंट्सची आवश्यकता आहे का? नाही. आधुनिक एंटरप्राइझ APs एकाच हार्डवेअरवर एकाधिक SSIDs आणि VLANs हाताळतात. भौतिक वेगळेपणा अनावश्यक आणि महाग आहे. गेस्ट नेटवर्कसाठी WPA3 अनिवार्य आहे का? अद्याप कोणत्याही मानकाद्वारे अनिवार्य केलेले नाही, परंतु अत्यंत शिफारस केलेले आहे. WPA3 चे Simultaneous Authentication of Equals प्रोटोकॉल WPA2-PSK मध्ये उपस्थित असलेली डिक्शनरी अटॅकची असुरक्षितता दूर करते. जेथे तुमचे क्लायंट डिव्हाइस मिक्स याला सपोर्ट करते तेथे ते तैनात करा - जे, 2026 मध्ये, बहुसंख्य डिव्हाइसेस आहेत. Purple आमच्या विद्यमान वायरलेस इन्फ्रास्ट्रक्चरसह समाकलित होऊ शकते का? होय. Purple हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks, आणि Fortinet सोबत मानक RADIUS आणि VLAN टॅगिंगद्वारे समाकलित होते. तुम्हाला तुमचे ऍक्सेस पॉइंट्स बदलण्याची गरज नाही. एखाद्या छोट्या ठिकाणासाठी किमान व्यवहार्य वर्गीकरण (segmentation) काय आहे? किमान: एक गेस्ट VLAN, एक स्टाफ VLAN, एक IoT VLAN. म्हणजेच तीन VLANs, तीन SSIDs, आणि inter-VLAN नियमांसह एक फायरवॉल. हे तुमचे बेसलाइन आहे. [short pause] थोडक्यात सांगायचे तर: तुमचे कर्मचारी आणि गेस्ट WiFi नेटवर्क्स सुरक्षितपणे वेगळे करणे हा काही गुंतागुंतीचा प्रकल्प नाही, परंतु यासाठी शिस्तबद्ध आर्किटेक्चर आणि सुसंगत अंमलबजावणी आवश्यक आहे. या ब्रीफिंगमधून लक्षात ठेवण्यासारख्या तीन गोष्टी. पहिली: तुम्ही काहीही डिझाइन करण्यापूर्वी प्रत्येक डिव्हाइस प्रकाराचा समर्पित VLAN शी मॅप करा. गेस्ट डिव्हाइसेस, स्टाफ डिव्हाइसेस, IoT, पेमेंट टर्मिनल्स - प्रत्येकाला एका घराची गरज असते आणि त्या घराला फायरवॉल नियमांची आवश्यकता असते. दुसरी: तुमची inter-VLAN फायरवॉल पॉलिसी ही VLAN आर्किटेक्चरइतकीच महत्त्वाची आहे. डीफॉल्ट-नकार, स्पष्ट-परवानगी, त्रैमासिक पुनरावलोकन. तिसरी: तुमच्या सेगमेंटेशनचे नियमितपणे प्रमाणीकरण करा. गेस्ट डिव्हाइसवरून स्कॅन चालवा आणि तुम्ही अंतर्गत सबनेट्सपर्यंत पोहोचू शकत नसल्याची खात्री करा. तुम्ही एकदा ते कॉन्फिगर केले म्हणून ते काम करत आहे असे गृहीत धरू नका. जर तुम्हाला तुमच्या सेगमेंट केलेल्या आर्किटेक्चरवर GDPR-सुसंगत डेटा कॅप्चर, Captive Portal ऑथेंटिकेशन आणि मार्केटिंग ॲनालिटिक्ससह मॅनेज्ड गेस्ट WiFi लेयर जोडायचा असेल, तर Purple चे प्लॅटफॉर्म थेट या आर्किटेक्चरमध्ये बसण्यासाठी डिझाइन केले आहे. तुम्ही आमच्या Guest WiFi आणि WiFi Analytics प्लॅटफॉर्मचा purple dot ai वर शोध घेऊ शकता. ऐकल्याबद्दल धन्यवाद. पुन्हा भेटू या.