एंटरप्राइझ नेटवर्क कंट्रोलर्सवर Captive Portal रिडायरेक्शन कॉन्फिगर करणे

Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि पुढील दहा मिनिटांत आम्ही एंटरप्राइझ WiFi मधील सर्वात जास्त शोधल्या जाणार्‍या, परंतु सर्वात कमी दस्तऐवजीकरण केलेल्या विषयांपैकी एकावर थेट चर्चा करणार आहोत: नेटवर्क कंट्रोलरवर Captive Portal रिडायरेक्शन कॉन्फिगर करणे. जर तुम्ही कधीही "configurar controlador portal cautivo" शोधले असेल आणि रिकाम्या हाताने परत आला असाल, तर तुम्हाला याच ब्रीफिंगची गरज होती. आम्ही संपूर्ण तांत्रिक आर्किटेक्चर, कंट्रोलर-दर-कंट्रोलर कॉन्फिगरेशन स्टेप्स, अनुपालन आवश्यकता आणि अनुभवी नेटवर्क टीम्सना देखील अडचणीत आणणाऱ्या वास्तविक जगातील त्रुटी - या सर्वांचा सविस्तर आढावा घेणार आहोत. चला सुरुवात करूया. Captive Portal ही अशी यंत्रणा आहे जी तुमच्या WiFi नेटवर्कशी कनेक्ट केल्यानंतर गेस्ट डिव्हाइसची पहिली HTTP किंवा HTTPS विनंती अडवते (intercepts) आणि इंटरनेट ॲक्सेस देण्यापूर्वी ती एका ब्रँडेड स्प्लॅश पेजवर रिडायरेक्ट करते. ते स्प्लॅश पेज सोशल लॉगिन, फॉर्म सबमिशन, अटींची सोपी क्लिक-थ्रू स्वीकृती किंवा RADIUS-समर्थित क्रेडेंशियल चेक विचारू शकते. रिडायरेक्शन स्वतः कंट्रोलर स्तरावर हाताळले जाते - ॲक्सेस पॉइंटवर नाही आणि फायरवॉलवरही नाही. कंट्रोलर अनऑथेंटिकेटेड क्लायंटच्या ट्रॅफिकला अडवतो, प्री-ऑथेंटिकेशन ॲक्सेस कंट्रोल लिस्ट लागू करतो - ज्याला आपण वॉर्ड गार्डन (walled garden) म्हणतो - आणि क्लायंटच्या ब्राउझरला तुमच्या पोर्टल URL वर रिडायरेक्ट करतो. व्यावसायिकदृष्ट्या हे का महत्त्वाचे आहे? याची तीन कारणे आहेत. पहिले, अनुपालन (compliance). GDPR अंतर्गत, अभ्यागतांकडून वैयक्तिक डेटा गोळा करण्यापूर्वी तुम्हाला स्पष्ट, माहितीपूर्ण संमती मिळवणे आवश्यक आहे. योग्यरित्या कॉन्फिगर केलेले Captive Portal ही तुमची संमती मिळवण्याची मुख्य यंत्रणा आहे. त्याशिवाय, तुम्ही कायदेशीर आधाराशिवाय डेटा गोळा करत आहात - आणि ते कायदेशीर नियमांचे उल्लंघन ठरू शकते. दुसरे, सुरक्षा. ऑथेंटिकेशन नसलेले खुले SSID ही एक जोखीम आहे. VLAN सेगमेंटेशन आणि RADIUS सर्व्हरसह एकत्रित केलेले Captive Portal रिडायरेक्शन तुम्हाला प्रति-सत्र (per-session) उत्तरदायित्व देते. कोणाचे कनेक्शन कधी आणि कोणत्या डिव्हाइसवरून झाले हे तुम्हाला समजते. तिसरे, बिझनेस इंटेलिजन्स. प्रत्येक ऑथेंटिकेटेड सेशन हा फर्स्ट-पार्टी डेटा पॉइंट असतो. Purple दरवर्षी ८०,००० पेक्षा जास्त ठिकाणी ४४० दशलक्ष लॉगिन प्रक्रियेत आणते. तो डेटा - ड्वेल टाईम (dwell time), भेटींची वारंवारता, डेमोग्राफिक सिग्नल्स - केवळ तेव्हाच उपलब्ध होतो जेव्हा तुमचे Captive Portal तो कॅप्चर आणि ट्रान्समिट करण्यासाठी योग्यरित्या कॉन्फिगर केलेले असते. आता मी तुम्हाला रिडायरेक्ट प्रवाहाचे टप्प्याटप्प्याने मार्गदर्शन करतो. पायरी १: एक गेस्ट डिव्हाइस तुमच्या गेस्ट SSID शी जोडले जाते. कंट्रोलर त्याला DHCP द्वारे एक IP ॲड्रेस देतो परंतु त्याला मर्यादित प्री-ऑथेंटिकेशन स्थितीत ठेवतो. तुम्ही स्पष्टपणे परवानगी दिलेल्या DNS आणि वॉर्ड गार्डन (walled garden) डोमेन्सशिवाय इतर सर्व ट्रॅफिक ब्लॉक केले जाते. पायरी २: गेस्ट ब्राउझर उघडतो. त्यांची HTTP विनंती कंट्रोलरवर पोहोचते. कंट्रोलर ती अडवतो आणि तुमच्या पोर्टल URL वर ३०२ रिडायरेक्ट जारी करतो. ही मुख्य रिडायरेक्ट यंत्रणा आहे. पायरी ३: गेस्टचा ब्राउझर तुमचे स्प्लॅश पेज लोड करतो, जे एकतर कंट्रोलरवरच होस्ट केलेले असते किंवा, सामान्यतः एंटरप्राइझ डिप्लॉयमेंट्समध्ये, Purple सारख्या बाह्य क्लाउड प्लॅटफॉर्मवर होस्ट केलेले असते. चौथी पायरी: अतिथी प्रमाणीकरण (authenticate) करतो - सोशल लॉगिन, फॉर्म किंवा क्रेडेंशियल्सद्वारे. पोर्टल कंट्रोलरला परत एक ऑथोरायझेशन सिग्नल पाठवते, सामान्यतः RADIUS Access-Accept संदेश किंवा MAC ऑथोरायझेशन बायपासद्वारे. पाचवी पायरी: कंट्रोलर क्लायंटला प्री-ऑथेंटिकेशन VLAN मधून पोस्ट-ऑथेंटिकेशन VLAN मध्ये हलवतो, रिडायरेक्ट नियम काढून टाकतो आणि इंटरनेट प्रवेश मंजूर करतो. हा पाच-पायऱ्यांचा प्रवाह सर्व प्रमुख कंट्रोलर प्लॅटफॉर्मवर सारखाच असतो. फरक फक्त एवढाच आहे की तुम्ही Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi आणि इतरांवर प्रत्येक पायरी कशी कॉन्फिगर करता. चला प्रमुख प्लॅटफॉर्म्स समजून घेऊया. Cisco Meraki. Meraki संपूर्णपणे Meraki Dashboard द्वारे कॉन्फिगर केलेले सानुकूल (custom) स्प्लॅश पेज वापरते - यात कोणताही CLI नाही. Wireless, नंतर Access Control वर जा, तुमचा अतिथी SSID निवडा, स्प्लॅश पेज "Sign-on with my RADIUS server" किंवा "Click-through" वर सेट करा, नंतर Custom Splash URL फील्डमध्ये तुमचा बाह्य पोर्टल URL प्रविष्ट करा. वॉल्ड गार्डन (walled garden) Advanced Splash Settings विभागात कॉन्फिगर केले जाते - तुम्ही तुमच्या पोर्टल सर्व्हरचे IP पत्ते जोडता जेणेकरून अतिथी प्रमाणीकरणापूर्वी स्प्लॅश पेजवर पोहोचू शकेल. RADIUS सर्व्हरचे तपशील RADIUS विभागात जातात: पोर्ट १८१२ वर प्रमाणीकरण (authentication), पोर्ट १८१३ वर अकाउंटिंग. HPE Aruba. ArubaOS वर, तुम्ही AAA विभागांतर्गत Captive Portal प्रोफाइल कॉन्फिगर करता, ज्यामध्ये लॉगिन URL, तुमच्या RADIUS सर्व्हरकडे निर्देश करणारा सर्व्हर ग्रुप आणि रिडायरेक्ट URL निर्दिष्ट करता. त्यानंतर तुम्ही ते प्रोफाइल व्हर्च्युअल AP प्रोफाइलद्वारे तुमच्या SSID वर लागू करता. प्री-ऑथेंटिकेशन भूमिका - ज्याला Aruba "logon" भूमिका म्हणते - त्यामध्ये ACL समाविष्ट असते जे DNS, DHCP आणि तुमच्या पोर्टल सर्व्हरच्या IP रेंजमध्ये प्रवेशाची परवानगी देते. पोस्ट-ऑथेंटिकेशननंतर, कंट्रोलर "authenticated" भूमिका नियुक्त करतो, जी पूर्ण इंटरनेट प्रवेशाची परवानगी देते. Ruckus SmartZone Captive Portal उपयोजनांसाठी Hotspot WLAN प्रकार वापरते. WLAN कॉन्फिगरेशन अंतर्गत, WLAN प्रकार Hotspot वर सेट करा, नंतर पोर्टल URL, प्रमाणीकरण आणि अकाउंटिंगसाठी RADIUS सर्व्हर आणि वॉल्ड गार्डनच्या नोंदी कॉन्फिगर करा. Northbound Portal Interface हा पोर्टल आणि कंट्रोलरमधील MAC ऑथोरायझेशन प्रवाह हाताळतो. Juniper Mist क्लाउड-नेटिव्ह दृष्टिकोन वापरते. Network, नंतर WLANs अंतर्गत, एक अतिथी WLAN तयार करा आणि पोर्टल प्रकार "External Captive Portal" वर सेट करा. तुमचा पोर्टल URL प्रविष्ट करा आणि RADIUS सर्व्हर तपशील कॉन्फिगर करा. Mist क्लायंट MAC, AP MAC आणि SSID नाव URL पॅरामीटर्स म्हणून पोर्टलकडे पाठवते. Ubiquiti UniFi. UniFi Network Controller मध्ये, Settings, नंतर WiFi वर जा, तुमचे अतिथी नेटवर्क निवडा आणि Advanced Options अंतर्गत हॉटस्पॉट पोर्टल सक्षम करण्यासाठी Guest Policy सेट करा. पोर्टल प्रकार "External" वर सेट करा आणि तुमचा पोर्टल URL प्रविष्ट करा. Profiles, नंतर RADIUS अंतर्गत RADIUS सर्व्हर कॉन्फिगर करा. Captive Portal उपयोजनांमध्ये वॉल्ड गार्डन (walled garden) हा सर्वात जास्त चुकीच्या पद्धतीने कॉन्फिगर केला जाणारा घटक आहे. यामध्ये चूक झाल्यास, तुमच्या अतिथींना तुमच्या स्प्लॅश पेज ऐवजी ब्राउझर त्रुटी (error) दिसेल. वॉल्ड गार्डनने (walled garden) कमीत कमी पुढील गोष्टींना अनुमती दिली पाहिजे: तुमच्या पोर्टल सर्व्हरचे IP पत्ते किंवा डोमेन, तुमच्या RADIUS सर्व्हरचे IP पत्ते, पोर्ट 53 वर DNS रिझोल्यूशन आणि पोर्ट 67 आणि 68 वर DHCP. जर तुमचे पोर्टल CDN कडून ॲसेट्स - फॉन्ट, प्रतिमा, JavaScript - लोड करत असेल, तर ते CDN डोमेन देखील वॉल्ड गार्डनमध्ये असणे आवश्यक आहे. Purple डिप्लॉयमेंटसाठी, आम्ही ऑनबोर्डिंग दरम्यान व्हाईटलिस्ट करण्यासाठी विशिष्ट IP रेंज आणि डोमेन प्रदान करतो. सर्वात सामान्य बिघाड म्हणजे असे पोर्टल जे HTML फ्रेम लोड करते परंतु प्रतिमा रेंडर करण्यास किंवा JavaScript कार्यान्वित करण्यास अपयशी ठरते कारण वॉल्ड गार्डनमधून CDN डोमेन गायब असतात. येथे दोन अनुपालन मानके प्रामुख्याने लागू होतात: GDPR आणि PCI DSS. GDPR अंतर्गत, तुमच्या captive portal ने वैयक्तिक डेटा गोळा करण्यापूर्वी एक स्पष्ट, विशिष्ट संमती यंत्रणा सादर केली पाहिजे. याचा अर्थ WiFi प्रवेश आणि मार्केटिंग संमतीसाठी स्वतंत्र, अनटिक केलेले चेकबॉक्स असावेत. तुम्ही त्यांना एकत्र करू शकत नाही. संमतीचे रेकॉर्ड ऑडिटच्या उद्देशांसाठी स्टोअर केलेले आणि पुन्हा मिळवता येण्याजोगे असणे आवश्यक आहे. Purple चे प्लॅटफॉर्म हे स्वयंचलितपणे हाताळते, प्रत्येक ऑथेंटिकेटेड सेशनसाठी संमतीचे रेकॉर्ड स्टोअर करते. PCI DSS अंतर्गत, जर तुमचे ठिकाण कार्ड पेमेंट प्रोसेस करत असेल, तर तुमचे गेस्ट WiFi नेटवर्क तुमच्या पेमेंट कार्ड वातावरणापासून वेगळे केले पाहिजे. याचा अर्थ असा की, गेस्ट सेगमेंट आणि तुमच्या POS नेटवर्क दरम्यान कोणतेही राउटिंग रोखण्यासाठी फायरवॉल नियमांसह एक समर्पित गेस्ट VLAN आवश्यक आहे. PCI DSS आवृत्ती 4.0, जी मार्च 2024 मध्ये अनिवार्य झाली आहे, त्यासाठी किमान दर सहा महिन्यांनी नेटवर्क सेगमेंटेशन चाचणी आवश्यक आहे. मी तुम्हाला दोन ठोस उदाहरणे देतो. पहिले उदाहरण: Cisco Meraki वापरणारे 350 खोल्यांचे हॉटेल. हॉटेलला त्यांच्या लॉयल्टी प्रोग्रामसाठी ईमेल पत्ते गोळा करणाऱ्या ब्रँडेड गेस्ट अनुभवासह मूळ क्लिक-थ्रू पोर्टल बदलायचे आहे. कॉन्फिगरेशन: केवळ इंटरनेट प्रवेशासह स्वतंत्र VLAN वर समर्पित गेस्ट SSID तयार करा. Purple च्या पोर्टल URL कडे निर्देशित करण्यासाठी Meraki स्प्लॅश पेज कॉन्फिगर करा. Purple च्या RADIUS सर्व्हर तपशीलांचा वापर करून RADIUS ऑथेंटिकेशन सेट करा. Purple च्या IP रेंजसह वॉल्ड गार्डन कॉन्फिगर करा. Purple डॅशबोर्डमध्ये, नाव, ईमेल आणि खोली क्रमांक गोळा करणाऱ्या फॉर्मसह एक ब्रँडेड स्प्लॅश पेज तयार करा, ज्यामध्ये स्पष्ट GDPR संमती चेकबॉक्स असतील. Purple CRM कनेक्टर हॉटेलच्या मार्केटिंग प्लॅटफॉर्मशी कनेक्ट करा. Premier Inn ने त्यांच्या संपूर्ण मालमत्तेवर हे मॉडेल लागू केले आणि WiFi द्वारे मिळवलेल्या अतिथींकडून थेट बुकिंग दरांमध्ये लक्षणीय वाढ पाहिली. दुसरी परिस्थिती: HPE Aruba चालवणारी ४० स्टोअर्स असलेली प्रादेशिक रिटेल साखळी. रिटेलरला स्टोअरच्या कामगिरीची तुलना करण्यासाठी फूटफॉल विश्लेषणासह, सर्व ठिकाणी सुसंगत अतिथी WiFi अनुभवाची आवश्यकता आहे. एकाच डॅशबोर्डवरून सर्व ४० ठिकाणे व्यवस्थापित करण्यासाठी Aruba Central तैनात करा. Purple कडे निर्देश करणाऱ्या बाह्य captive portal सह अतिथी WLAN टेम्पलेट कॉन्फिगर करा. Aruba Central च्या ग्रुप पॉलिसी वैशिष्ट्याचा वापर करून सर्व ठिकाणी टेम्पलेट लागू करा. Purple मध्ये, सर्व ठिकाणी लागू होणारे एकच पोर्टल टेम्पलेट कॉन्फिगर करा, ज्यामध्ये प्रत्येक ठिकाणानुसार विश्लेषण डॅशबोर्ड असतील. वॉल गार्डन आणि RADIUS कॉन्फिगरेशन टेम्पलेटमध्ये एकदाच परिभाषित केले जाते आणि स्वयंचलितपणे प्रसारित होते. निकाल: IT टीम एकाच कन्सोलवरून ४० ठिकाणे व्यवस्थापित करते. मार्केटिंग टीमला प्रत्येक स्टोअरचा फूटफॉल डेटा, ड्वेल टाइम विश्लेषण आणि पुन्हा भेट देण्याचे प्रमाण मिळते - हे सर्व एकाच Purple डॅशबोर्डवरून. मी वारंवार पाहणाऱ्या चार अडचणी. पहिली: HTTPS इंटरसेप्शन अपयश. आधुनिक ब्राउझर आणि मोबाइल ऑपरेटिंग सिस्टम captive portals शोधण्यासाठी HTTPS प्रोबचा वापर करतात. जर तुमचा कंट्रोलर HTTPS ट्रॅफिक इंटरसेप्ट करू शकत नसेल - ज्यासाठी रिडायरेक्ट डोमेनसाठी वैध प्रमाणपत्र आवश्यक असते - तर प्रोब शांतपणे अयशस्वी होतो आणि अतिथीला कोणतेही रिडायरेक्ट दिसत नाही. उपाय: तुमच्या कंट्रोलरचा व्हर्च्युअल इंटरफेस एका विश्वसनीय प्रमाणपत्रासह कॉन्फिगर करा, किंवा तुमच्या अतिथी SSID वर केवळ HTTP-only प्रोब वापरा. दुसरी: DNS गळती. जर तुमचे प्री-ऑथेंटिकेशन ACL अनिर्बंध DNS ला परवानगी देत असेल, तर अतिथी captive portal पूर्णपणे बायपास करण्यासाठी DNS टनेलिंगचा वापर करू शकतात. DNS फक्त तुमच्या नियुक्त रिझॉल्व्हरपुरता मर्यादित करा. तिसरी: सत्र कालबाह्यता विसंगती. जर तुमच्या कंट्रोलरचा सेशन टाईमआउट तुमच्या पोर्टलच्या सेशन टोकन वैधतेपेक्षा कमी असेल, तर अतिथी सत्राच्या मध्यभागीच पुन्हा पोर्टलवर रिडायरेक्ट केले जातात. ही मूल्ये सुसंगत करा - सामान्यत: आदरातिथ्य क्षेत्रासाठी २४ तास, रिटेलसाठी आठ तास. चौथी: गहाळ अकाउंटिंग. RADIUS अकाउंटिंग - Accounting-Start आणि Accounting-Stop संदेश - याद्वारे तुमच्या पोर्टलला सत्र संपल्याचे समजते. अकाउंटिंग कॉन्फिगर केल्याशिवाय, तुमच्या पोर्टलचे सत्र रेकॉर्ड चुकीचे असतील आणि तुमचे विश्लेषण अविश्वसनीय असेल. जलद प्रश्न, जलद उत्तरे. मी कोणत्याही कंट्रोलरसह बाह्य पोर्टल वापरू शकतो का? होय, जर कंट्रोलर बाह्य captive portal रिडायरेक्टला समर्थन देत असेल तर - आम्ही चर्चा केलेले सर्व प्लॅटफॉर्म याचे समर्थन करतात. captive portal चालवण्यासाठी मला RADIUS सर्व्हरची आवश्यकता आहे का? नेहमीच नाही. साधे क्लिक-थ्रू पोर्टल पूर्ण RADIUS सर्व्हरशिवाय MAC ऑथरायझेशन बायपास वापरू शकतात. परंतु क्रेडेंशियल-आधारित किंवा सोशल लॉगिन पोर्टलसाठी, RADIUS ही प्रमाणित यंत्रणा आहे. captive portal हे WPA3 सोबत काम करते का? होय. WPA3 वायरलेस एन्क्रिप्शन लेयर हाताळते. Captive portal ऑथेंटिकेशन लेयर हाताळते. ते स्वतंत्रपणे काम करतात आणि पूर्णपणे सुसंगत आहेत. Purple तुमच्या सध्याच्या कंट्रोलरशी कसे समाकलित होते? Purple बाह्य पोर्टल सर्व्हर म्हणून कार्य करते. तुम्ही तुमच्या कंट्रोलरची splash URL Purple च्या पोर्टल एंडपॉइंटवर निर्देशित करता, Purple च्या IP श्रेणींसह walled garden कॉन्फिगर करता आणि Purple च्या सर्व्हर तपशीलांचा वापर करून RADIUS सेट अप करता. तुम्ही Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, किंवा Ubiquiti UniFi वापरत असलात तरीही समाकलनाची प्रक्रिया सारखीच असते. थोडक्यात सांगायचे तर. Captive portal रिडायरेक्शन हे कंट्रोलर स्तरावर कॉन्फिगर केले जाते, ॲक्सेस पॉइंटवर नाही. मुख्य घटक खालीलप्रमाणे आहेत: तुमच्या पोर्टलकडे निर्देशित करणारी splash URL, तुमच्या पोर्टल सर्व्हरला प्रवेश देणारे walled garden, ऑथेंटिकेशन आणि अकाउंटिंगसाठी RADIUS, आणि नेटवर्क आयसोलेशनसाठी VLAN सेगमेंटेशन. कॉन्फिगरेशनच्या पायऱ्या विक्रेत्यानुसार बदलतात परंतु आर्किटेक्चर सुसंगत असते. अनुपालनासाठी, तुमच्या पोर्टलने GDPR-सुसंगत संमती संकलन आणि PCI DSS-सुसंगत नेटवर्क सेगमेंटेशन लागू करणे आवश्यक आहे. WPA3 हे वायरलेस एन्क्रिप्शनसाठी सध्याचे मानक आहे आणि कोणत्याही नवीन डिप्लॉयमेंटवर ते तुमचे बेसलाइन तपशील असावे. Purple हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, आणि Fortinet यांच्याशी मूळ स्वरूपात समाकलित होते. २०२४ मधील ८०,००० ठिकाणे आणि ४४० दशलक्ष लॉगइनमध्ये, हे प्लॅटफॉर्म डिझाइननुसार हार्डवेअर-अज्ञेयवादी आहे - तुमची कंट्रोलरची निवड तुमच्या फर्स्ट-पार्टी गेस्ट डेटा गोळा करण्याच्या किंवा ॲनालिटिक्स चालवण्याच्या क्षमतेवर मर्यादा घालत नाही. तुमचे पुढील पाऊल: या मार्गदर्शिकेतील walled garden आणि RADIUS अकाउंटिंग चेकलिस्टच्या संदर्भात तुमच्या सध्याच्या कंट्रोलर कॉन्फिगरेशनचे पुनरावलोकन करा. तुम्ही नवीन गेस्ट WiFi नेटवर्क डिप्लॉय करत असल्यास, तुमच्या कंट्रोलर प्लॅटफॉर्मसाठी विक्रेता-विशिष्ट कॉन्फिगरेशन पायऱ्यांसह प्रारंभ करा आणि Purple ला तुमचे बाह्य पोर्टल म्हणून कनेक्ट करा. ऐकल्याबद्दल धन्यवाद. हे Purple तांत्रिक ब्रीफिंग होते.