कर्मचारी आणि अतिथी WiFi नेटवर्क सुरक्षितपणे कसे विभाजित करावे: एंटरप्राइझ LAN साठी सर्वोत्तम पद्धती

आत्मविश्वासाने आणि संभाषणात्मक ब्रिटिश इंग्लिश सुरात बोला - जसे की एखादे ज्येष्ठ सल्लागार क्लायंटला माहिती देत आहेत. मोजलेला वेग, अधिकारयुक्त पण सुलभ संवाद. कोणतेही निरुपयोगी शब्द नकोत. --- प्रस्तावना आणि संदर्भ (अंदाजे १ मिनिट) --- चला, मुख्य विषयाकडे वळूया. जर तुमच्याकडे एखाद्या वास्तूच्या नेटवर्कची जबाबदारी असेल - मग ते हॉटेल असो, एखादी रिटेल चेन असो, स्टेडियम असो किंवा स्थानिक प्रशासनाची इमारत असो - तर इतर कोणत्याही प्रश्नापेक्षा एक प्रश्न सर्वात जास्त विचारला जातो: तुमच्या कॉर्पोरेट नेटवर्कला धोक्यात न आणता पाहुण्यांना दर्जेदार WiFi कसे द्यायचे? याचे थोडक्यात उत्तर म्हणजे 'सेगमेंटेशन' (विभाजन). पण याचे सविस्तर उत्तर - जे तुम्हाला खऱ्या अर्थाने सुरक्षित, सुसंगत आणि व्यवस्थापन करण्यायोग्य नेटवर्ककडे घेऊन जाते - त्यामध्ये 802.1X ऑथेंटिकेशन, VLAN आयसोलेशन, क्लाउड RADIUS आणि अशा क्रेडेंशियल लाइफसायकलचा समावेश होतो, ज्यासाठी कर्मचारी नोकरी सोडून गेल्यावर सामायिक केलेला पासवर्ड बदलण्याची आठवण ठेवण्यावर अवलंबून राहावे लागत नाही. पुढील दहा मिनिटांत, मी तुम्हाला अशा प्रकारे सेगमेंट केलेले नेटवर्क अचूकपणे कसे डिझाइन आणि उपयोजित करायचे हे सविस्तरपणे सांगणार आहे. आपण तांत्रिक पायाभूत गोष्टी, Cisco Meraki आणि Juniper Mist साठी व्हेंडर-विशिष्ट कॉन्फिगरेशन स्टेप्स, दोन प्रत्यक्ष अंमलबजावणीची उदाहरणे आणि बऱ्याच टीम्स ज्या चुका करतात त्या त्रुटी समजून घेणार आहोत. चला सुरू करूया. --- तांत्रिक सखोल विश्लेषण (अंदाजे ५ मिनिटे) --- चला मूलभूत गोष्टींपासून सुरुवात करूया. नेटवर्क सेगमेंटेशन म्हणजे तुमचे कर्मचारी ट्रॅफिक आणि पाहुण्यांचे ट्रॅफिक भौतिक किंवा लॉजिकल दृष्ट्या स्वतंत्र नेटवर्कवर ठेवणे, जेणेकरून गेस्ट डिव्हाइस - किंवा तडजोड केलेले (हॅक झालेले) गेस्ट डिव्हाइस - तुमच्या पॉईंट-ऑफ-सेल सिस्टम्स, तुमचे ERP, तुमचे CCTV इन्फ्रास्ट्रक्चर किंवा तुमच्या कॉर्पोरेट LAN वरील इतर कोणत्याही गोष्टीपर्यंत पोहोचू शकणार नाही. Layer 2 वर हे करण्याचा मानक मार्ग म्हणजे VLANs - म्हणजेच व्हर्च्युअल लोकल एरिया नेटवर्क्स. तुम्ही तुमच्या कर्मचाऱ्यांचे SSID एका VLAN ला, उदा. VLAN 10 ला जोडता आणि पाहुण्यांचे SSID दुसऱ्या VLAN ला, उदा. VLAN 20 ला जोडता. तुमचे मॅनेज्ड स्विचेस आणि ॲक्सेस पॉईंट्स हार्डवेअर पातळीवर हे विभाजन लागू करतात. VLAN 20 वरील पाहुण्याला फक्त इंटरनेटचा मार्ग मिळतो, इतर कशाचाही नाही. VLAN 10 वरील कर्मचाऱ्याला तुम्ही ठरवलेल्या कोणत्याही फायरवॉल नियमांच्या आधारे कॉर्पोरेट LAN आणि इंटरनेटचा मार्ग मिळतो. हे मूलभूत मॉडेल आहे. पण इथेच बहुतेक वास्तू अपयशी ठरतात: ते कर्मचारी नेटवर्कसाठी सामायिक केलेला पासफ्रेज - म्हणजेच PSK वापरतात. तो सर्वांना माहित असतो. तो एका पोस्ट-इट नोटवर लिहिला जातो. तो कधीच बदलला जात नाही. जेव्हा कोणी नोकरी सोडते, तेव्हा तो क्रेडेंशियल सक्रियच राहतो. हे सेगमेंटेशन नाही. हा सुरक्षेचा केवळ एक खोटा आभास आहे. कर्मचाऱ्यांसाठी योग्य दृष्टिकोन म्हणजे 802.1X - ज्याला "एट ओ टू डॉट वन एक्स" म्हटले जाते - जे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठीचे IEEE मानक आहे. सामायिक पासफ्रेज ऐवजी, प्रत्येक कर्मचारी त्यांच्या स्वतःच्या ओळख क्रेडेंशियलसह ऑथेंटिकेट करतो - सामान्यतः Microsoft Entra ID, Okta, किंवा Google Workspace कडून मिळालेले त्यांचे कॉर्पोरेट डिरेक्टरी अकाउंट. ॲक्सेस पॉईंट ती ऑथेंटिकेशन विनंती RADIUS सर्व्हरकडे पाठवतो, जो तुमच्या आयडेंटिटी प्रोव्हायडरद्वारे त्याची पडताळणी करतो आणि प्रवेश मंजूर किंवा नाकारतो. कोणताही सामायिक पासवर्ड नाही. कर्मचारी सोडून गेल्यानंतर कोणतेही क्रेडेंशियल शिल्लक राहत नाही. बहुतेक एंटरप्राइज डिप्लॉयमेंट्समध्ये सर्वात चांगल्या प्रकारे काम करणारी ऑथेंटिकेशन पद्धत म्हणजे EAP-TTLS - एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल टनेल्ड ट्रान्सपोर्ट लेयर सिक्युरिटी. हे डिव्हाइस आणि RADIUS सर्व्हर दरम्यान एक एन्क्रिप्टेड टनेल तयार करते, त्यानंतर PAP वापरून त्या टनेलच्या आत ऑथेंटिकेशन करते. याचा अर्थ क्रेडेन्शियल्स कधीही हवेत उघड होत नाहीत. आता, RADIUS सर्व्हर स्वतःच एक अत्यंत महत्त्वाचा घटक आहे. पारंपारिकपणे, तुम्ही तुमचा स्वतःचा ऑन-प्रिमायसेस RADIUS सर्व्हर चालवत असाल - Cisco ISE, FreeRADIUS बॉक्स, यासारखे काहीतरी. परंतु अधिकाधिक प्रमाणात, संस्था क्लाउड-नेटिव्ह RADIUS कडे वळत आहेत, ज्यामुळे ऑन-प्रिमायसेस वरील अवलंबित्व नाहीसे होते, लवचिकता सुधारते आणि व्यवस्थापन सुलभ होते. Purple चे SecurePass उत्पादन अगदी हेच करते - हे एक क्लाउड RADIUS सेवा प्रदान करते ज्याच्या विरुद्ध तुमचे ॲक्सेस पॉइंट्स RadSec वर ऑथेंटिकेट करतात, जे पोर्ट 2083 वर TLS वरील RADIUS आहे. हे तुम्हाला एन्क्रिप्टेड RADIUS ट्रॅफिक देते, पारंपारिक UDP-आधारित RADIUS नाही जे स्पष्टपणे ॲट्रिब्यूट्स पाठवते. गेस्टच्या बाजूने, हे मॉडेल वेगळे आहे. गेस्टकडे कॉर्पोरेट डिरेक्टरी खाती नसतात. ते एका स्वतंत्र SSID शी कनेक्ट होतात - सामान्यतः कॅप्टिव्ह पोर्टलद्वारे सुरक्षित केलेले जे संमती-आधारित लॉगिन गोळा करते, किंवा Passpoint द्वारे, जे Wi-Fi Alliance चे Hotspot 2.0 मानक आहे जे स्प्लॅश पेजशिवाय स्वयंचलित, अखंड ऑथेंटिकेशन सक्षम करते. Purple चे प्लॅटफॉर्म या दोन्हीला सपोर्ट करते. गेस्ट SSID त्याच्या स्वतःच्या VLAN वर असतो, फक्त इंटरनेटवर राउट करतो आणि स्टाफ नेटवर्क आणि कॉर्पोरेट LAN पासून पूर्णपणे विलग असतो. मला थोडा वेळ Passpoint बद्दल बोलू द्या, कारण ते वेगाने महत्त्वाचे बनत चालले आहे. Passpoint - ज्याला Hotspot 2.0 किंवा OpenRoaming म्हणूनही ओळखले जाते - डिव्हाइसला आधीपासून असलेल्या क्रेडेन्शियलचा वापर करून विश्वसनीय नेटवर्कशी स्वयंचलितपणे कनेक्ट होण्याची परवानगी देते, जसे की मोबाईल कॅरियर क्रेडेन्शियल किंवा Purple ॲपमधील ओळख. डिव्हाइस आणि नेटवर्क युझरला स्प्लॅश पेजशी संवाद न साधता EAP-TTLS किंवा EAP-TLS वापरून ऑथेंटिकेशनची वाटाघाटी करतात. जास्त रहदारी असलेल्या ठिकाणांसाठी - विमानतळ, स्टेडियम, शॉपिंग सेंटर्स - यामुळे सुरक्षितता राखून कनेक्शनचा अनुभव लक्षणीयरित्या सुधारतो. आता आपण दोन विशिष्ट हार्डवेअर प्लॅटफॉर्मबद्दल बोलूया: Cisco Meraki आणि Juniper Mist, कारण हे दोन सर्वात सामान्य एंटरप्राइज प्लॅटफॉर्म आहेत जे आपण ठिकाणांवर पाहतो. Cisco Meraki वर, तुम्ही Wireless, Access Control अंतर्गत तुमचे स्टाफ SSID कॉन्फिगर करता. तुम्ही सिक्युरिटी माझ्या RADIUS सर्व्हरसह Enterprise वर सेट करता, फक्त WPA2, स्प्लॅश पेज नाही. त्यानंतर तुम्ही तुमचे RADIUS सर्व्हर जोडता - Purple च्या बाबतीत, rad1-secure.purple.ai आणि rad2-secure.purple.ai, दोन्ही पोर्ट 2083 वर, RadSec सक्षम असलेले. तुम्ही Wireless, Hotspot 2.0 अंतर्गत Hotspot 2.0 देखील कॉन्फिगर करता - ते सक्षम करणे, ऑपरेटरचे नाव, डोमेन लिस्ट आणि EAP-TTLS पद्धतीसह NAI रेल्म सेट करणे. संपूर्ण स्टेप-बाय-स्टेप तपशील Purple च्या सपोर्ट डॉक्युमेंटेशनमध्ये आहेत, ज्याचा संदर्भ मी शेवटी देईन. Juniper Mist वर, तुम्ही Network, WLANs मध्ये जा, नवीन WLAN जोडा, सिक्युरिटी टाईप WPA2 Enterprise 802.1X वर सेट करा, Passpoint सक्षम करा, आणि तुमचे ऑथेंटिकेशन सर्व्हर्स RadSec म्हणून Purple च्या इन्फ्रास्ट्रक्चरकडे निर्देशित करण्यासाठी कॉन्फिगर करा. तुम्हाला Organisation Settings मध्ये RadSec सर्टिफिकेट इंस्टॉल करणे देखील आवश्यक आहे. पुन्हा सांगायचे तर, अचूक कॉन्फिगरेशन व्हॅल्यूज आणि पायऱ्या Purple च्या सपोर्ट आर्टिकलमध्ये आहेत - मी नेहमी पॉडकास्टवरील व्हॅल्यूज कॉपी करण्याऐवजी थेट लाइव्ह डॉक्युमेंटेशन फॉलो करण्याची शिफारस करेन. क्रेडेन्शियल लाइफसायकलचा भाग असा आहे जिथे आयडेंटिटी-बेस्ड नेटवर्क खऱ्या अर्थाने फायदेशीर ठरतात. जेव्हा एखादा कर्मचारी जॉइन होतो, तेव्हा त्यांचे Microsoft Entra ID किंवा Okta मधील अकाउंट प्रोव्हिजन केले जाते आणि त्यांना ऑटोमॅटिकली WiFi ॲक्सेस मिळतो. जेव्हा ते रोल बदलतात, तेव्हा त्यांचे ॲक्सेस प्रोफाइल अपडेट होते. जेव्हा ते नोकरी सोडतात - आणि हा सर्वात महत्त्वाचा भाग आहे - तेव्हा त्यांचे अकाउंट डीप्रोव्हिजन केले जाते आणि Purple रिअल टाईममध्ये त्यांचा WiFi ॲक्सेस रद्द करते. बदलण्यासाठी कोणताही सामायिक पासवर्ड नाही. कोणतीही मॅन्युअल प्रक्रिया नाही. धोक्याची कोणतीही शक्यता नाही. यालाच Purple जॉइनर्स, मूव्हर्स, लीव्हर्स वर्कफ्लो किंवा JML म्हणते, आणि हेच खरोखर सुरक्षित असलेले नेटवर्क आणि फक्त सुरक्षित दिसणारे नेटवर्क यामधील फरक दर्शवते. --- अंमलबजावणीच्या शिफारसी आणि धोके (अंदाजे २ मिनिटे) --- चला, प्रॅक्टिकली काय चुका होतात याबद्दल बोलूया, कारण काही ठराविक चुका मला वारंवार पाहायला मिळतात. पहिली चूक म्हणजे VLAN चुकीचे कॉन्फिगर करणे. तुम्ही SSIDs योग्यरित्या सेट करता, पण तुमच्या स्विचेसवरील ट्रंक पोर्ट्स दोन्ही VLANs कॅरी करत नाहीत, किंवा तुमचे इंटर-VLAN राउटिंग नियम जास्त मोकळे असतात. VLAN 20 वरील गेस्ट युझर शेवटी VLAN 10 वरील डिव्हाइसेसना पिंग करू शकतो. डिप्लॉयमेंटनंतर नेहमी गेस्ट डिव्हाइससह चाचणी करा - इंटरनल IP ॲड्रेसपर्यंत पोहोचण्याचा प्रयत्न करा. जर तुम्ही पोहोचू शकत असाल, तर तुमचे फायरवॉल नियम अधिक कडक करणे आवश्यक आहे. दुसरी चूक म्हणजे RADIUS फेलओव्हर. जर तुम्ही फक्त एकच RADIUS सर्व्हर कॉन्फिगर केला आणि तो अनरीचेबल झाला, तर कर्मचारी ऑथेंटिकेट करू शकत नाहीत. नेहमी rad1-secure आणि rad2-secure दोन्ही प्रायमरी आणि सेकंडरी म्हणून कॉन्फिगर करा. Purple चे क्लाउड RADIUS इन्फ्रास्ट्रक्चर हाय अ‍ॅव्हेलेबिलिटीसाठी डिझाइन केले आहे, परंतु तुमच्या ॲक्सेस पॉईंटला दोन्ही एंडपॉइंट्सबद्दल माहिती असणे आवश्यक आहे. तिसरी - आणि यामुळे सर्वात जास्त ऑपरेशनल त्रास होतो - पहिल्या दिवसापासून तुमच्या आयडेंटिटी प्रोव्हाइडरसह इंटिग्रेट न करणे. टीम्स अनेकदा लोकल RADIUS अकाउंट्ससह सुरुवात करतात आणि नंतर Entra ID किंवा Okta वर मायग्रेट करण्याचा विचार करतात. ते मायग्रेशन त्रासदायक असते. सुरुवातीलाच ते योग्य पद्धतीने करा. केवळ JML ऑटोमेशनच या त्रासाचे निवारण करते. चौथी चूक म्हणजे गेस्ट नेटवर्कला दुय्यम स्थान देणे. तुमच्या गेस्ट SSID ला GDPR सुसंगत संमती संकलन, एकाच गेस्ट युझरला पूर्ण लिंक वापरण्यापासून रोखण्यासाठी बँडविड्थ मॅनेजमेंट, आणि गेस्ट एकमेकांचे डिव्हाइसेस पाहू शकणार नाहीत यासाठी क्लायंट आयसोलेशन आवश्यक आहे. Purple चे प्लॅटफॉर्म संमती आणि ॲनालिटिक्सची बाजू हाताळते. तुमचा ॲक्सेस पॉईंट क्लायंट आयसोलेशन हाताळतो - तो सक्षम असल्याची खात्री करा. अनुपालनाचा (compliance) विचार केल्यास: तुम्ही त्याच भौतिक नेटवर्क इन्फ्रास्ट्रक्चरवर कोठेही कार्ड पेमेंट प्रक्रिया करत असल्यास, PCI DSS व्याप्ती ही एक खरी चिंता आहे. योग्य VLAN वर्गीकरण, सोबत गेस्ट आणि पेमेंट नेटवर्क्स दरम्यान कोणतेही क्रॉस-VLAN ट्रॅफिक नसावे यासाठी सक्ती करणारा फायरवॉल, ही मूलभूत गरज आहे. तुमच्या QSA ला त्या वर्गीकरणाचा पुरावा हवा असेल. तुमचे VLAN असाइनमेंट्स, तुमचे फायरवॉल नियम आणि तुमचे ॲक्सेस पॉइंट कॉन्फिगरेशन दस्तऐवजीकरण करून ठेवा. --- रॅपिड-फायर प्रश्न आणि उत्तरे (अंदाजे १ मिनिट) --- मला नियमितपणे विचारले जाणारे काही प्रश्न. मी कर्मचारी आणि गेस्ट एकाच ॲक्सेस पॉइंटवर चालवू शकतो का? होय - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist आणि इतरांचे आधुनिक एंटरप्राइझ ॲक्सेस पॉइंट्स एकाच रेडिओवर VLAN टॅगिंगसह मल्टिपल SSIDs ला सपोर्ट करतात. तुम्हाला वेगवेगळ्या हार्डवेअरची आवश्यकता नाही. मला WPA3 ची गरज आहे का? नवीन उपयोजनांसाठी (deployments) WPA3 अधिक श्रेयस्कर आहे, विशेषतः गेस्ट नेटवर्कसाठी, कारण ते फॉरवर्ड सिक्रसी प्रदान करते आणि ऑफलाइन डिक्शनरी हल्ल्यांपासून संरक्षण करते. परंतु कर्मचाऱ्यांसाठी 802.1X सह WPA2 Enterprise अजूनही मजबूत आहे आणि बहुतेक एंटरप्राइझ हार्डवेअर त्याला सपोर्ट करतात. तुमचे हार्डवेअर WPA3 ला सपोर्ट करत असल्यास, ते सुरू करा. BYOD बद्दल काय - कर्मचारी वैयक्तिक उपकरणे वापरत असल्यास? अशा वेळी सर्टिफिकेट-आधारित ऑथेंटिकेशन किंवा EAP-TLS अत्यंत मोलाचे ठरते. तुम्ही तुमच्या MDM द्वारे व्यवस्थापित उपकरणांना डिव्हाइस सर्टिफिकेट जारी करू शकता आणि कर्मचाऱ्यांचे WiFi केवळ सर्टिफिकेट-ऑथेंटिकेट केलेल्या उपकरणांपुरते मर्यादित करू शकता. अव्यवस्थापित वैयक्तिक उपकरणांना अधिक प्रतिबंधित प्रवेशासह वेगळ्या BYOD SSID कडे निर्देशित केले जाते. वर्गीकरणासोबत Purple चे अ‍ॅनालिटिक्स प्लॅटफॉर्म कसे कार्य करते? Purple गेस्ट WiFi लॉगइन्सवरून - संमतीने - फर्स्ट-पार्टी डेटा गोळा करते आणि WiFi Analytics प्लॅटफॉर्मद्वारे तो सादर करते. कर्मचाऱ्यांचे ट्रॅफिक वेगळे असते आणि त्यावर अशा प्रकारची अ‍ॅनालिटिक्स माहिती गोळा केली जात नाही. ही दोन्ही नेटवर्क्स आर्किटेक्चरच्या दृष्टीने भिन्न आहेत, आणि ते अगदी तसेच असायला हवे. --- सारांश आणि पुढील पावले (अंदाजे १ मिनिट) --- थोडक्यात सांगायचे तर, सुरक्षित कर्मचारी आणि गेस्ट WiFi वर्गीकरण या पाच गोष्टींवर अवलंबून असते. एक: स्विच आणि ॲक्सेस पॉइंट स्तरावर लागू केलेले, कर्मचारी आणि गेस्ट ट्रॅफिकसाठी स्वतंत्र VLANs. दोन: कर्मचारी ऑथेंटिकेशनसाठी EAP-TTLS सह 802.1X - कोणताही शेअर केलेला पासफ्रेज नाही. तीन: एन्क्रिप्टेड, लवचिक ऑथेंटिकेशन इन्फ्रास्ट्रक्चरसाठी RadSec सह क्लाउड RADIUS. चार: गेस्टसाठी Passpoint किंवा captive portal, ज्यामध्ये GDPR-सुसंगत संमती संकलन असेल. पाच: स्वयंचलित JML साठी आयडेंटिटी प्रदाता एकत्रीकरण - जेणेकरून खाते निष्क्रिय होताच सोडून जाणाऱ्या कर्मचाऱ्यांचा प्रवेश संपुष्टात येईल. तुम्ही Cisco Meraki किंवा Juniper Mist वर उपयोजन करत असल्यास, Purple च्या सपोर्ट दस्तऐवजीकरणामध्ये नेमके कॉन्फिगरेशनचे टप्पे दिले आहेत. तुम्ही अधिक व्यापक प्लॅटफॉर्मचे मूल्यमापन करत असल्यास - ज्यामध्ये कर्मचाऱ्यांच्या ओळखीसाठी SecurePass, गेस्ट इनसाइटसाठी WiFi Analytics आणि अखंड Passpoint कनेक्टिव्हिटीसाठी Purple ॲप समाविष्ट आहे - तर सुरुवात करण्यासाठी purple.ai हे योग्य ठिकाण आहे. आजच्या पुरते एवढेच. तुम्हाला हे उपयुक्त वाटले असल्यास, ते तुमच्या नेटवर्क आर्किटेक्ट किंवा तुमच्या व्हेन्यू ऑपरेशन्स डायरेक्टरसोबत शेअर करा. आणि तुमच्याकडे एखादी विशिष्ट उपयोजन परिस्थिती असल्यास ज्यावर आम्ही माहिती द्यावी अशी तुमची इच्छा असेल, तर आमच्याशी संपर्क साधा.