Guest WiFi कसा सेट करावा: द एंटरप्राइझ नेटवर्क सेगमेंटेशन गाइड

सीनियर कन्सल्टंटच्या ब्रीफिंगच्या स्वरात - मोजक्या, स्पष्ट आणि संभाषणात्मक अशा आत्मविश्वासाने भरलेल्या ब्रिटीश इंग्रजी उच्चारांमध्ये बोला. हे व्याख्यान नाही, तर तज्ज्ञांचे थेट ब्रीफिंग आहे. विभागांमध्ये नैसर्गिक विरामांसह वेग स्थिर असावा: Purple तांत्रिक ब्रीफिंग मालिकेत आपले स्वागत आहे. मी आपल्याला एक अतिशय योग्यरित्या विभागलेले, सुरक्षित आणि व्यावसायिकदृष्ट्या उपयुक्त असे गेस्ट WiFi नेटवर्क नक्की कसे सेट करायचे ते दाखवणार आहे. हे नवशिक्यांसाठीचे ट्युटोरियल नाही. आपण एक आयटी व्यवस्थापक, नेटवर्क आर्किटेक्ट किंवा CTO आहात आणि आपल्याला या तिमाहीत एक निर्णय घ्यायचा आहे. तर चला थेट विषयाकडे वळूया. [medium pause] बऱ्याच ठिकाणांची मुख्य समस्या ही नाही की त्यांच्याकडे WiFi नाही. समस्या ही आहे की त्यांच्याकडे एक सपाट नेटवर्क आहे जेथे अतिथी, कर्मचारी आणि IoT डिव्हाइसेस सर्व एकच ब्रॉडकास्ट डोमेन शेअर करतात. हा एक अनुपालन (compliance) धोका, सुरक्षा धोका आणि खरं सांगायचं तर, गमावलेली व्यावसायिक संधी आहे. २०० खोल्यांचे हॉटेल, ५० स्टोअर्स असलेली रिटेल साखळी, ४०,००० चाहत्यांचे यजमानपद भूषवणारे स्टेडियम - या सर्वांना एकाच मूलभूत गोष्टीची गरज आहे: योग्य नेटवर्क विभागणी. [medium pause] चला व्यवहारात विभागणीचा नक्की काय अर्थ होतो याबद्दल बोलूया. त्याच्या मूळ स्वरूपात, आपण VLANs - Virtual Local Area Networks चा वापर करून एकाच भौतिक पायाभूत सुविधांवर तार्किकदृष्ट्या स्वतंत्र नेटवर्क तयार करत आहात. IEEE 802.1Q अंतर्गत परिभाषित केलेले VLAN, इथरनेट फ्रेम्स टॅग करते जेणेकरून वेगवेगळ्या नेटवर्क विभागांमधील ट्रॅफिक डेटा लिंक लेयरवर वेगळे राहते, जरी ते एकाच भौतिक स्विच किंवा ॲक्सेस पॉईंटमधून जात असले तरीही. आपण प्रत्येक विभागाला एक VLAN ID नियुक्त करता - जसे की, कर्मचाऱ्यांसाठी VLAN १०, IoT डिव्हाइसेससाठी VLAN २०, अतिथींसाठी VLAN ३० - आणि ती विभागणी लागू करण्यासाठी आपण आपले व्यवस्थापित स्विचेस आणि ॲक्सेस पॉईंट्स कॉन्फिगर करता. [medium pause] आता, सर्वात महत्त्वाचा प्रश्न: आपल्याला प्रत्यक्षात किती SSIDs ची आवश्यकता आहे? बऱ्याच एंटरप्राइझ ठिकाणांसाठी याचे उत्तर तीन आहे. एक अतिथींसाठी, एक कर्मचाऱ्यांसाठी आणि एक IoT साठी. प्रत्येक SSID त्याच्या स्वतःच्या VLAN कडे मॅप करतो. अतिथींना केवळ इंटरनेटचा ॲक्सेस मिळतो, आपल्या कॉर्पोरेट नेटवर्कचा कोणताही मार्ग नसतो. कर्मचारी RADIUS सर्व्हरच्या विरोधात 802.1X द्वारे ऑथेंटिकेट करतात - आपण याकडे पुन्हा येऊ - आणि अंतर्गत संसाधनांमध्ये प्रवेश मिळवतात. IoT डिव्हाइसेस, आपले CCTV कॅमेरे, आपले HVAC सेन्सर्स, आपले स्मार्ट डिस्प्ले, कडक नियंत्रणात असलेल्या आउटगोइंग नियमांसह (egress rules) स्वतःच्या वेगळ्या विभागावर असतात. जर आपल्याला थ्री-SSID मॉडेलबद्दल अधिक सखोल माहिती हवी असेल, तर Purple कडे नेमक्या याच आर्किटेक्चरवर सविस्तर मार्गदर्शक उपलब्ध आहे. [medium pause] चला ऑथेंटिकेशन बद्दल बोलूया, कारण बहुतेक ठिकाणी याच टप्प्यावर चुका होतात. विशेषतः गेस्ट WiFi साठी, तुमच्याकडे चार व्यावहारिक पर्याय आहेत. पहिला, Captive Portal सह ओपन नेटवर्क - हा सर्वात सामान्य दृष्टिकोन आहे, आणि GDPR अंतर्गत संमती आणि फर्स्ट-पार्टी डेटा गोळा करण्याची गरज असलेल्या ठिकाणांसाठी योग्य आहे. गेस्ट कनेक्ट होतो, ब्रँडेड स्पॅश पेजवर येतो, सोशल लॉगिन, ईमेल किंवा SMS द्वारे ऑथेंटिकेट करतो, आणि तुम्ही एक सत्यापित ओळख प्राप्त करता. दुसरा, WPA2-PSK - एक शेअर केलेला पासफ्रेज. साधे आहे, परंतु हे तुम्हाला वैयक्तिक ओळख किंवा संमतीची यंत्रणा देत नाही, आणि तुम्ही प्रत्येकाचा पासवर्ड बदलल्याशिवाय एखाद्या विशिष्ट डिव्हाइसचा ॲक्सेस रद्द करू शकत नाही. तिसरा, WPA3-SAE, जो WPA2 चा आधुनिक उत्तराधिकारी आहे आणि ऑफलाइन डिक्शनरी अटॅकची असुरक्षितता दूर करतो. चौथा, RADIUS सह 802.1X - स्टाफ नेटवर्क्ससाठी हा एक सुवर्ण मानक आहे, जिथे प्रत्येक युझर Microsoft Entra ID किंवा Okta सारख्या डिरेक्टरीच्या विरूद्ध वैयक्तिकरित्या ऑथेंटिकेट करतो आणि त्याला एक युनिक सेशन क्रेडेंशियल मिळते. गेस्ट WiFi साठी, खालील SSID वर WPA3 एन्क्रिप्शनसह Captive Portal चा दृष्टिकोन हे योग्य संयोजन आहे: तुम्हाला ओळख कॅप्चर, संमती आणि आधुनिक एन्क्रिप्शन मिळते. [medium pause] आता, RADIUS बद्दल बोलूया. IEEE 802.1X हे पोर्ट-आधारित ॲक्सेस कंट्रोल मानक आहे. हे तीन-पार्टी मॉडेल परिभाषित करते: सप्लिकंट - म्हणजेच कनेक्ट करण्याचा प्रयत्न करणारे डिव्हाइस - ऑथेंटिकेटर, जो तुमचा ॲक्सेस पॉइंट किंवा स्विच असतो, आणि ऑथेंटिकेशन सर्व्हर, जो तुमचा RADIUS सर्व्हर असतो. जेव्हा एखादा स्टाफ मेंबर कनेक्ट करतो, तेव्हा त्याचे डिव्हाइस EAP - म्हणजेच एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉलद्वारे क्रेडेंशियल्स पाठवते. EAP-TLS परस्पर सर्टिफिकेट-आधारित ऑथेंटिकेशन वापरते, जो सर्वात सुरक्षित पर्याय आहे. PEAP हे EAP ला एका TLS टनेलमध्ये गुंडाळते आणि तुम्हाला Active Directory किंवा Entra ID च्या विरूद्ध युझरनेम आणि पासवर्ड क्रेडेंशियल्स वापरण्याची परवानगी देते. बहुतेक एंटरप्राइझ उपयोजनांसाठी, Microsoft Entra ID किंवा Okta च्या विरूद्ध PEAP-MSCHAPv2 हा व्यावहारिक पर्याय आहे. हे सर्व प्रमुख हार्डवेअर - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi वर चांगल्या प्रकारे समर्थित आहे आणि तुमच्या विद्यमान आयडेंटिटी प्रोव्हाइडरसह सहजपणे समाकलित होते. [medium pause] चला मी तुम्हाला एका ठोस अंमलबजावणीद्वारे मार्गदर्शन करतो. एक २०० खोल्यांचे हॉटेल गृहीत धरा. तुमच्याकडे अतिथींच्या खोल्या, कॉरिडॉर, कॉन्फरन्स सुविधा आणि बॅक-ऑफ-हाउसमध्ये Cisco Meraki ॲक्सेस पॉइंट्स तैनात आहेत. तुम्ही Meraki डॅशबोर्डवर तीन SSIDs कॉन्फिगर करता. अतिथी SSID - समजा त्याला हॉटेलचे नाव देऊ - हे ओपन आहे, VLAN 30 ला टॅग केलेले आहे, आणि Purple च्या स्प्लॅश पेजवर कॅप्टिव्ह पोर्टल (captive portal) रिडायरेक्टसह आहे. अतिथी ईमेल किंवा सोशल लॉगिनद्वारे ऑथेंटिकेट करतात. Purple त्यांची संमती कॅप्चर करते, प्रोफाइल स्टोअर करते आणि स्वयंचलितपणे स्वागत ईमेल पाठवते. स्टाफ SSID हे WPA2-Enterprise आहे, VLAN 10 ला टॅग केलेले आहे, जे RADIUS द्वारे हॉटेलच्या Microsoft Entra ID टेनंटवर ऑथेंटिकेट होते. IoT SSID हे एक छुपे नेटवर्क आहे, जे मजबूत रँडम पासफ्रेससह WPA2-PSK आहे, VLAN 20 ला टॅग केलेले आहे, आणि फायरवॉल नियमांसह जे प्रत्येक डिव्हाइस प्रकाराला आवश्यक असलेले केवळ विशिष्ट आउटबाउंड पोर्ट्स परवानगी देतात. Meraki फायरवॉलवर, तुम्ही लेयर ३ नियम जोडता जो स्पष्टपणे आंतर-VLAN ट्रॅफिक ब्लॉक करतो. अतिथी स्टाफ नेटवर्कवर पोहोचू शकत नाहीत. जोपर्यंत तुम्ही स्पष्टपणे परवानगी देत नाही तोपर्यंत कर्मचारी IoT सेगमेंटवर पोहोचू शकत नाहीत. आणि महत्त्वाचे म्हणजे, एखादे तडजोड केलेले IoT डिव्हाइस - उदा. अनपॅच केलेली असुरक्षितता असलेला स्मार्ट टीव्ही - तुमच्या PMS किंवा तुमच्या पेमेंट सिस्टमवर पोहोचू शकत नाही. [medium pause] हा शेवटचा मुद्दा PCI-DSS अनुपालनासाठी अत्यंत महत्त्वाचा आहे. जर तुमची पेमेंट कार्ड प्रोसेसिंग सिस्टम अतिथी WiFi सारख्याच नेटवर्कवर असेल, तर तुम्ही तुमच्या संपूर्ण WiFi इन्फ्रास्ट्रक्चरमध्ये PCI-DSS च्या कक्षेत येता. योग्य VLAN सेगमेंटेशन, डॉक्युमेंटेड फायरवॉल नियम आणि ॲक्सेस कंट्रोल्ससह, ही तुमची PCI-DSS व्याप्ती कमी करण्याची प्राथमिक पद्धत आहे. PCI सिक्युरिटी स्टँडर्ड्स कौन्सिल यावर स्पष्ट आहे: नेटवर्क सेगमेंटेशन ही PCI-DSS ची आवश्यकता नाही, परंतु ती कक्षेतील सिस्टम घटकांची संख्या कमी करते. हे योग्यरित्या करा आणि तुम्ही तुमचे वार्षिक मूल्यांकन नाटकीयरित्या सुलभ करू शकता. [medium pause] चला दुसऱ्या परिस्थितीबद्दल बोलूया: ५० स्टोअर्स असलेली एक रिटेल चेन. प्रत्येक स्टोअरमध्ये अतिथी खरेदीदार, इन्व्हेंटरी आणि POS साठी हँडहेल्ड डिव्हाइसेसवरील कर्मचारी, आणि डिजिटल सायनेज आणि पर्यावरणीय सेन्सर्ससह IoT एंडपॉइंट्स यांचे मिश्रण असते. येथे आव्हान स्केल आणि सातत्य राखण्याचे आहे. तुम्ही प्रत्येक स्टोअरचे नेटवर्क मॅन्युअली कॉन्फिगर करू शकत नाही. तुम्हाला क्लाउड-मॅनेज्ड प्लॅटफॉर्मची आवश्यकता आहे जो तुम्हाला एकाच डॅशबोर्डवरून सर्व ५० साइट्सवर सुसंगत कॉन्फिगरेशन टेम्पलेट पुश करू देतो. HPE Aruba Central, Cisco Meraki डॅशबोर्ड आणि Juniper Mist हे सर्व या मॉडेलला सपोर्ट करतात. तुम्ही तुमची VLAN रचना आणि SSID कॉन्फिगरेशन एकदा परिभाषित करता, ते टेम्पलेट म्हणून पुश करता आणि प्रत्येक साइटला स्वयंचलितपणे योग्य सेगमेंटेशन मिळते. Purple या सर्व प्लॅटफॉर्म्ससह क्लाउड ओव्हरले म्हणून समाकलित होते - म्हणजेच तुम्ही तुमचे विद्यमान हार्डवेअर बदलत नाही, तर तुम्ही त्यावर Purple चे captive portal आणि ॲनालिटिक्स लेयर जोडता. त्या ५० स्टोअर्समध्ये, तुम्हाला युनिफाइड अतिथी डेटा, सुसंगत ब्रँडिंग आणि केंद्रीकृत संमती व्यवस्थापन मिळते. Purple ८०,००० हून अधिक लाइव्ह ठिकाणी कार्यरत आहे आणि केवळ २०२४ मध्ये ४४० दशलक्ष लॉगिन प्रक्रियेत आणले आहेत, त्यामुळे हा प्लॅटफॉर्म नेमक्या अशाच प्रकारच्या मल्टी-साइट स्केलसाठी तयार केला आहे. [medium pause] आता मी सर्वात जास्त दिसणाऱ्या अंमलबजावणीतील त्रुटींबद्दल सांगतो. पहिले: गेस्ट SSID वर क्लायंट आयसोलेशन (client isolation) सक्षम करण्यास विसरणे. क्लायंट आयसोलेशन एका गेस्ट डिव्हाइसला त्याच SSID वरील दुसऱ्या डिव्हाइसशी थेट संवाद साधण्यापासून रोखते. याशिवाय, दुर्भावनायुक्त हेतू असलेला गेस्ट इतर गेस्टच्या डिव्हाइसेस स्कॅन करू शकतो आणि त्यावर हल्ला करू शकतो. ते सक्षम करा. प्रत्येक प्रमुख प्लॅटफॉर्म याचे समर्थन करतो. दुसरे: DHCP स्कोप चुकीच्या पद्धतीने कॉन्फिगर करणे. प्रत्येक VLAN ला योग्य गेटवे आणि DNS सेटिंग्जसह स्वतःच्या DHCP स्कोपची आवश्यकता असते. एक सामान्य चूक म्हणजे गेस्ट VLAN DHCP ला कॉर्पोरेट DNS सर्व्हरकडे निर्देशित करणे, ज्यामुळे अंतर्गत होस्टनाव लीक होतात. गेस्ट ट्रॅफिकसाठी सार्वजनिक DNS रिझॉल्व्हर - किंवा अधिक चांगले, फिल्टर केलेले DNS सेवा - वापरा. तिसरे: उपयोजनानंतर (deployment) इंटर-VLAN राउटिंगची चाचणी न करणे. तुमचे VLANs कॉन्फिगर करा, नंतर प्रत्यक्षात एका गेस्ट डिव्हाइसवरून चाचणी करा की तुम्ही स्टाफ नेटवर्कपर्यंत पोहोचू शकत नाही. nmap सारखे साधन वापरा किंवा फक्त अंतर्गत IP ब्राउझ करण्याचा प्रयत्न करा. चाचणी निकालाचे दस्तऐवजीकरण करा. चौथे: बँडविड्थ व्यवस्थापनाकडे दुर्लक्ष करणे. फ्लॅट नेटवर्कवरील गेस्ट WiFi तुमच्या अपलिंकला सॅच्युरेट करू शकते आणि कर्मचारी तसेच ऑपरेशनल ट्रॅफिकची गुणवत्ता खराब करू शकते. प्रति-क्लायंट आणि प्रति-SSID बँडविड्थ मर्यादा लागू करा. Cisco Meraki वर, हे प्रति SSID एकच सेटिंग आहे. HPE Aruba वर, तुम्ही ॲप्लिकेशन-अवेअर ट्रॅफिक शेपिंग पॉलिसी वापरता. [medium pause] GDPR वर: तुम्ही UK किंवा EU मध्ये कार्यरत असल्यास, तुम्ही कोणताही वैयक्तिक डेटा गोळा करण्यापूर्वी तुमच्या Captive Portal ने स्पष्ट, होकारार्थी संमती यंत्रणा सादर करणे आवश्यक आहे. UK GDPR अंतर्गत आधीच टिक केलेले बॉक्सेस ही वैध संमती मानली जात नाही. संमती ग्रॅन्युलर असणे आवश्यक आहे - मार्केटिंग कम्युनिकेशन विरुद्ध नेटवर्क ॲक्सेस लॉगिंगसाठी स्वतंत्र ऑप्ट-इन्स. Purple चे Conscious-Choice ऑप्ट-इन्स विशेषतः यासाठी डिझाइन केलेले आहेत: गेस्ट स्पष्ट, माहितीपूर्ण निवड करतो आणि Purple संमतीची नोंद टाईमस्टॅम्प आणि त्यांनी सहमती दर्शविलेल्या विशिष्ट संमती मजकूर आवृत्तीसह स्टोअर करते. जर ICO कडून चौकशी झाली तर तुम्हाला या ऑडिट ट्रेलची आवश्यकता असते. [medium pause] बरोबर, मला वारंवार विचारल्या जाणाऱ्या प्रश्नांवर एक जलद प्रश्नोत्तरे करूया. [short pause] मला प्रत्येक SSID साठी स्वतंत्र भौतिक ॲक्सेस पॉईंटची आवश्यकता आहे का? नाही. आधुनिक एंटरप्राइझ ॲक्सेस पॉईंट्स एकाच रेडिओवर एकाधिक SSIDs ला समर्थन देतात. मॅनेजमेंट फ्रेम ओव्हरहेडमुळे एअरटाइम कार्यक्षमता खराब होण्यापूर्वी प्रति रेडिओ व्यावहारिक मर्यादा साधारणपणे तीन ते चार SSIDs असते. तीन SSIDs - गेस्ट, स्टाफ, IoT - ही योग्य संख्या आहे. [short pause] मी गेस्ट WiFi साठी ग्राहक-दर्जाचा (consumer-grade) राउटर वापरू शकतो का? एंटरप्राइझ ठिकाणी नाही. ग्राहक राउटर VLAN टॅगिंग, 802.1X किंवा क्लाउड व्यवस्थापनास समर्थन देत नाहीत. तुम्हाला व्यवस्थापित हार्डवेअरची आवश्यकता आहे. Ubiquiti UniFi हा लहान ठिकाणांसाठी प्रवेश बिंदू आहे; 20 पेक्षा जास्त ॲक्सेस पॉईंट्स असलेल्या कशासाठीही Cisco Meraki, HPE Aruba, किंवा Ruckus वापरा. [short pause] मी Passpoint आणि OpenRoaming कसे हाताळू? Passpoint - ज्याला Hotspot 2.0 म्हणूनही ओळखले जाते, IEEE 802.11u अंतर्गत परिभाषित - डिव्हाइसेसना Captive Portal शिवाय, डिव्हाइसवर आधीपासून असलेल्या क्रेडेंशियल्सचा वापर करून WiFi नेटवर्कशी स्वयंचलितपणे कनेक्ट करण्याची अनुमती देते. OpenRoaming हे Passpoint वर तयार केलेले जागतिक फेडरेशन आहे. Purple Connect प्लॅन अंतर्गत OpenRoaming ला सपोर्ट करते, आणि आयडेंटिटी प्रदाता म्हणून काम करते. विमानतळ आणि वाहतूक केंद्रांसारख्या ठिकाणांसाठी, अखंड प्रवासी कनेक्टिव्हिटीसाठी हे अधिकाधिक योग्य उत्तर ठरत आहे. [short pause] गेस्ट नेटवर्कसाठी DNS फिल्टरिंगचे काय? हे अनिवार्य आहे. फिल्टर केलेले DNS रिझॉल्व्हर मालवेअर कमांड-अँड-कंट्रोल डोमेन्स, फिशिंग साइट्स आणि अयोग्य सामग्री ब्लॉक करते. हे तुम्हाला सुरक्षा मॉनिटरिंगसाठी DNS क्वेरींचा लॉग देखील प्रदान करते. Purple चे Shield ॲड-ऑन गेस्ट नेटवर्क सुरक्षा स्टॅकचा भाग म्हणून DNS फिल्टरिंग समाविष्ट करते. [medium pause] थोडक्यात सांगायचे तर: तुमचे गेस्ट WiFi नेटवर्क तीन VLANs सह सेट करा - VLAN 30 वर गेस्ट, VLAN 10 वर कर्मचारी, VLAN 20 वर IoT. गेस्टसाठी स्पष्ट GDPR संमतीसह Captive Portal वापरा. तुमच्या आयडेंटिटी प्रदात्याच्या विरुद्ध 802.1X द्वारे कर्मचाऱ्यांचे प्रमाणीकरण करा. कडक इग्रेस नियमांसह IoT डिव्हाइसेस वेगळे करा. गेस्ट SSID वर क्लायंट आयसोलेशन सक्षम करा. बँडविड्थ मर्यादा लागू करा. प्रत्येक कॉन्फिगरेशन बदलानंतर इंटर-VLAN राउटिंगची चाचणी घ्या. आणि क्लाउड-व्यवस्थापित प्लॅटफॉर्म वापरा जेणेकरून तुम्ही एकाच ठिकाणाहून प्रत्येक साइटवर सुसंगत कॉन्फिगरेशन लागू करू शकता. [medium pause] तुम्हाला पुढे जायचे असल्यास, Purple चे गेस्ट WiFi प्लॅटफॉर्म तुमच्या अस्तित्वात असलेल्या हार्डवेअरवर कार्य करते - मग ते Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, किंवा Ubiquiti UniFi असो - आणि Captive Portal, संमती व्यवस्थापन, ॲनालिटिक्स आणि मार्केटिंग ऑटोमेशन लेअर जोडते जे तुमच्या WiFi इन्फ्रास्ट्रक्चरला फर्स्ट-पार्टी डेटा ॲसेटमध्ये रूपांतरित करते. आम्ही purple.ai वर आहोत. आर्किटेक्चर डायग्राम्स, कार्य उदाहरणे आणि कॉन्फिगरेशन चेकलिस्टसह संपूर्ण लिखित मार्गदर्शक शो नोट्समध्ये लिंक केले आहे. ऐकल्याबद्दल धन्यवाद.