Cisco WLC and Catalyst Integration with Purple WiFi: Step-by-Step Guest Access Guide

Purple च्या तांत्रिक ब्रिफिंग मालिकेत आपले स्वागत आहे. आज आपण अशा विषयावर बोलणार आहोत जो आदरातिथ्य (hospitality), किरकोळ विक्री (retail), किंवा मोठ्या प्रमाणावरील ठिकाणांवर काम करणाऱ्या जवळपास प्रत्येक एंटरप्राइझ नेटवर्क आर्किटेक्टच्या डेस्कवर येतो: Cisco Wireless LAN Controllers आणि Catalyst वायरलेस इन्फ्रास्ट्रक्चरला Purple च्या Guest WiFi प्लॅटफॉर्मसह समाकलित (integrate) करणे. जर तुम्ही Cisco Catalyst 9800 सिरीज कंट्रोलर्स, किंवा जुने AireOS प्लॅटफॉर्म चालवत असाल आणि तुम्हाला एक सुसंगत, विभागलेले, आणि ॲनालिटिक्स-चालित गेस्ट नेटवर्क प्रदान करायचे असेल, तर ही ब्रिफिंग तुमच्यासाठी आहे. [medium pause] प्रथम संदर्भापासून सुरुवात करूया. Purple जागतिक स्तरावर 80,000 पेक्षा जास्त लाइव्ह ठिकाणांवर कार्यरत आहे, आणि Cisco हे एंटरप्राइझ वातावरणातील अग्रगण्य वायरलेस इन्फ्रास्ट्रक्चर वेंडर आहे. या दोन्ही प्लॅटफॉर्म्सना एकत्रितपणे सुरळीतपणे चालवणे कठीण नाही, परंतु त्यासाठी तुम्हाला सुरुवातीलाच योग्य आर्किटेक्चरल निर्णय घेणे आवश्यक आहे. जर ते चुकले, तर तुम्ही रीडायरेक्ट लूप्स, VLAN विसंगती आणि RADIUS टाईमआउट्सच्या त्रुटी दूर करण्यात अनेक आठवडे घालवाल. जर ते योग्य ठरले, तर तुमच्याकडे असे नेटवर्क असेल जे पाहुणे, कर्मचारी आणि IoT उपकरणांना स्वयंचलितपणे विभाजित करते, सुसंगतपणे फर्स्ट-पार्टी डेटा गोळा करते आणि मॅन्युअल हस्तक्षेपाशिवाय शेकडो साइट्सवर विस्तार करते. [medium pause] तर आता आर्किटेक्चर समजून घेऊया. [short pause] जेव्हा एखादा पाहुणा Cisco डिप्लॉयमेंटवरील तुमच्या WiFi नेटवर्कशी कनेक्ट होतो, तेव्हा ते इंटरनेटवर पोहोचण्यापूर्वी तीन गोष्टी घडणे आवश्यक असते. पहिली गोष्ट म्हणजे, Cisco Catalyst 9800 WLC ने सुरुवातीचा HTTP रिक्वेस्ट इंटरसेप्ट करणे आणि क्लायंटला Purple च्या captive portal कडे रीडायरेक्ट करणे आवश्यक आहे. दुसरी गोष्ट म्हणजे, Purple च्या पोर्टलने युझरचे प्रमाणीकरण (authentication) करणे आवश्यक आहे, मग ते सोशल लॉगिन, ईमेल, SMS किंवा साध्या अटी-आणि-शर्ती स्वीकारण्याद्वारे असो. तिसरी गोष्ट म्हणजे, Purple च्या RADIUS सर्व्हरने WLC ला सिग्नल पाठवून युझर अधिकृत असल्याचे कळवणे आवश्यक आहे, आणि पर्यायाने त्यांना विशिष्ट VLAN वर नियुक्त करणे आवश्यक आहे. [medium pause] पहिल्या पायरीचे व्यवस्थापन करणाऱ्या यंत्रणेला External Web Authentication, किंवा EWA असे म्हणतात. Catalyst 9800 वर, तुम्ही वेब ऑथेंटिकेशन पॅरामीटर मॅप कॉन्फिगर करता जो Purple च्या splash page URL कडे निर्देशित करतो. WLC अप्रमाणित क्लायंटकडून येणारी सर्व HTTP ट्रॅफिक इंटरसेप्ट करतो आणि त्या URL कडे 302 रीडायरेक्ट जारी करतो. तुम्हाला प्री-ऑथेंटिकेशन ACL कॉन्फिगर करणे देखील आवश्यक असेल, किंवा 9800 च्या URL फिल्टर वैशिष्ट्याचा वापर करून Purple च्या पोर्टल IP पत्त्यांना व्हाइटलिस्ट करावे लागेल जेणेकरून क्लायंट प्रमाणित होण्यापूर्वी प्रत्यक्षात splash page पर्यंत पोहोचू शकतील. Purple त्याच्या पोर्टलसाठी दोन IP पत्ते प्रदान करते, आणि तुम्हाला तुमच्या प्री-ऑथ ACL मध्ये या दोन्ही पत्त्यांना परवानगी देणे आवश्यक आहे. [medium pause] Catalyst 9800 साठी कॉन्फिगरेशन क्रम खालीलप्रमाणे आहे. प्रथम, पॅरामीटर मॅप तयार करा. नंतर Purple च्या डोमेनला प्री-ऑथेंटिकेशनची परवानगी देण्यासाठी तुमचे URL फिल्टर कॉन्फिगर करा. हे तुमच्या WLAN पॉलिसी प्रोफाईलवर लागू करा, Layer 2 सिक्युरिटी 'None' वर सेट करा, Layer 3 वर Web Policy सक्षम करा आणि त्यास तुमच्या पॅरामीटर मॅपकडे निर्देशित करा. [medium pause] आता, RADIUS. या आर्किटेक्चरमध्ये Purple हे RADIUS सर्व्हर म्हणून काम करते. आपण आपल्या वेन्यूच्या नेटवर्क सेटिंग्ज अंतर्गत Purple डॅशबोर्डमध्ये शोधू शकता अशा Purple च्या RADIUS एंडपॉइंटकडे निर्देश करण्यासाठी WLC कॉन्फिगर करता. सामायिक केलेले गुपित (shared secret) प्रत्येक वेन्यूसाठी तयार केले जाते. Catalyst 9800 वर, Configuration, Security, AAA, Servers वर जा आणि योग्य IP आणि सामायिक गुपितासह Purple चे RADIUS सर्व्हर जोडा. नंतर एक सर्व्हर ग्रुप, ऑथेंटिकेशन मेथड लिस्ट तयार करा आणि ती तुमच्या WLAN वर लागू करा. [medium pause] एक गोष्ट ज्यामध्ये लोक अडकतात: 9800 वर, आपण ग्लोबल वेब ऑथ पॅरामीटर मॅपमध्ये व्हर्च्युअल IP ॲड्रेस देखील कॉन्फिगर केला पाहिजे. व्हर्च्युअल IPv4 ॲड्रेस म्हणून 192.0.2.1 वापरा. आपण हे वगळल्यास, क्लायंट काहीवेळा Purple च्या पोर्टलऐवजी अंतर्गत पोर्टलवर रिडायरेक्ट होतात आणि असे का होत आहे हे शोधण्यात तुमची दुपार निराशेत जाईल. [medium pause] चला 802.1X सह Staff WiFi कडे वळूया. [short pause] स्टाफ नेटवर्कसाठी, आपल्याला EAP-TLS वापरून प्रमाणपत्र-आधारित ऑथेंटिकेशन हवे आहे, किंवा किमान ज्या वातावरणात प्रमाणपत्र तैनात करणे शक्य नाही अशा वातावरणासाठी MSCHAPv2 सह PEAP हवे आहे. Catalyst 9800 वर, स्टाफसाठी स्वतंत्र WLAN तयार करा, लेयर 2 सुरक्षा WPA2 Enterprise वर सेट करा आणि ऑथेंटिकेशन आपल्या RADIUS सर्व्हरकडे निर्देशित करा. आपण आपला आयडेंटिटी प्रोव्हाइडर म्हणून Microsoft Entra ID किंवा Okta वापरत असल्यास, Purple चे SecurePass ॲड-ऑन RADIUS प्रॉक्सी म्हणून काम करते, जे 802.1X ऑथेंटिकेशन विनंत्यांचे आयडेंटिटी प्रोव्हाइडर लुकअपमध्ये भाषांतर करते. याचा अर्थ स्टाफ ऑथेंटिकेशनसाठी आपल्याला स्वतंत्र ऑन-प्रिमाइसेस RADIUS सर्व्हरची आवश्यकता नाही. Purple हे EAP टर्मिनेशन हाताळते आणि आयडेंटिटी पडताळणी आपल्या आयडेंटिटी प्रोव्हाइडरकडे पाठवते. [medium pause] विशेषतः EAP-TLS साठी, आपल्याला स्टाफ डिव्हाइसेसवर क्लायंट प्रमाणपत्रे तैनात करावी लागतील, मग ते Microsoft Intune, Jamf किंवा तत्सम MDM प्लॅटफॉर्मद्वारे असो. प्रमाणपत्र साखळीवर Purple च्या RADIUS सर्व्हरद्वारे विश्वास ठेवला पाहिजे, ज्याचा अर्थ आपले रूट CA प्रमाणपत्र Purple डॅशबोर्डवर अपलोड करणे आहे. एकदा ते लागू झाल्यावर, स्टाफ डिव्हाइसेस शांतपणे ऑथेंटिकेट होतात, कोणतेही पासवर्ड प्रॉम्ट्स नाही, कोणतेही स्प्लॅश पेजेस नाही. वापरकर्ता कनेक्ट होतो, प्रमाणपत्र प्रमाणित केले जाते आणि ते काही सेकंदात स्टाफ VLAN वर येतात. [medium pause] आता, तो भाग जो बऱ्याच आर्किटेक्ट्सना खरोखरच मनोरंजक वाटतो: Cisco Identity PSK, किंवा iPSK. [short pause] iPSK अशा विशिष्ट समस्येचे निराकरण करते जी मल्टी-टेनंट वातावरणात सतत उद्भवते. 300 खोल्यांचे हॉटेल, किंवा 50 स्टोअर्स असलेली रिटेल इस्टेट, किंवा 200 अपार्टमेंट्स असलेली बिल्ड-टू-रेंट डेव्हलपमेंट विचारात घ्या. आपल्याला एकच SSID हवा आहे, परंतु आपल्याला प्रत्येक भाडेकरू, प्रत्येक खोली किंवा प्रत्येक डिव्हाइस ग्रुप त्याच्या स्वतःच्या VLAN वर वेगळा असावा हवा आहे. पारंपारिक उत्तर प्रत्येक भाडेकरूसाठी स्वतंत्र SSID तयार करणे हे होते, जे स्केल होत नाही आणि रेडिओ फ्रिक्वेन्सीमध्ये गर्दी निर्माण करते. iPSK आपल्याला एकच SSID देते जिथे प्रत्येक क्लायंट किंवा क्लायंटच्या ग्रुपकडे एक युनिक प्री-शेअर्ड की असते आणि RADIUS सर्व्हर त्या की ला विशिष्ट VLAN शी मॅप करतो. [medium pause] तांत्रिकदृष्ट्या हे कसे कार्य करते ते येथे दिले आहे. जेव्हा एखादा क्लायंट SSID शी जोडला जातो, तेव्हा Catalyst 9800 WLC क्लायंटच्या MAC ॲड्रेससह, Purple च्या RADIUS सर्व्हरला RADIUS Access-Request पाठवतो. Purple चा RADIUS सर्व्हर त्याच्या iPSK डेटाबेसमध्ये तो MAC ॲड्रेस शोधतो, संबंधित PSK आणि VLAN असाइनमेंट शोधतो आणि PSK सह Cisco AV-pair आणि VLAN असाइनमेंटसाठी IETF टनेल ॲट्रिब्युट्स असलेले RADIUS Access-Accept परत करतो. WLC परत मिळालेला PSK वापरून WPA2 फोर-वे हँडशेक पूर्ण करतो आणि नंतर क्लायंटला नियुक्त केलेल्या VLAN वर ठेवतो. [medium pause] डायनॅमिक VLAN असाइनमेंटसाठी तुम्हाला आवश्यक असलेले तीन RADIUS ॲट्रिब्युट्स म्हणजे: IETF ॲट्रिब्युट 64, Tunnel-Type, जे 13 च्या मूल्यासह VLAN वर सेट केले आहे. IETF ॲट्रिब्युट 65, Tunnel-Medium-Type, जे 6 च्या मूल्यासह 802 वर सेट केले आहे. आणि IETF ॲट्रिब्युट 81, Tunnel-Private-Group-ID, जे स्ट्रिंग म्हणून VLAN ID वर सेट केले आहे. RADIUS Access-Accept मध्ये एकत्र पाठवलेले हे तीन ॲट्रिब्युट्स, WLC ला नेमका कोणता VLAN नियुक्त करायचा ते सांगतात. VLAN आधीपासूनच WLC वर डायनॅमिक इंटरफेस म्हणून अस्तित्वात असणे आवश्यक आहे आणि अपलिंक स्विच पोर्ट सर्व संबंधित VLAN वाहून नेणारा ट्रंक म्हणून कॉन्फिगर केलेला असणे आवश्यक आहे. [medium pause] WLC बाजूने, iPSK WLAN वर MAC फिल्टरिंग सक्षम करा, AAA Override सक्षम करा आणि लेअर 2 सुरक्षा WPA2-PSK वर सेट करा. तुम्ही WLAN वर कॉन्फिगर केलेला ग्लोबल PSK केवळ फॉलबॅक म्हणून काम करतो. Purple च्या iPSK डेटाबेसमध्ये ज्या क्लायंटचा MAC ॲड्रेस नोंदणीकृत आहे अशा कोणत्याही क्लायंटसाठी RADIUS-परत मिळालेल्या PSK ला प्राधान्य दिले जाते. नोंदणी नसलेल्या डिव्हाइसेससाठी, तुम्ही तुमच्या पॉलिसीनुसार एकतर प्रवेश नकारू शकता किंवा ग्लोबल PSK वर फॉलबॅक करू शकता. [medium pause] हे अधिक स्पष्ट करण्यासाठी मी तुम्हाला दोन वास्तविक-जगातील उदाहरणे देतो. [short pause] पहिले उदाहरण: 200 खोल्यांचे हॉटेल. हॉटेलला हवे आहे की पाहुणे फक्त इंटरनेट प्रवेशासह VLAN 10 वर असावेत, कर्मचारी प्रॉपर्टी मॅनेजमेंट सिस्टीमच्या प्रवेशासह VLAN 20 वर असावेत आणि IoT डिव्हाइसेस, दरवाजाचे कुलूप, थर्मोस्टॅट्स, CCTV, इंटरनेट प्रवेशाशिवाय VLAN 30 वर असावेत. ते Cisco Catalyst 9800 कंट्रोलर्ससह Cisco 9100 सिरीज ॲक्सेस पॉइंट्स वापरत आहेत. [medium pause] आर्किटेक्चर: WLC वर तीन पॉलिसी प्रोफाइल्स, प्रति VLAN एक. Purple कडे निर्देशित करणाऱ्या एक्सटर्नल वेब ऑथेंटिकेशनचा वापर करणाऱ्या पाहुण्यांसाठी एकच SSID. Microsoft Entra ID च्या विरोधात Purple SecurePass द्वारे ऑथेंटिकेट केलेल्या, EAP-TLS सह WPA2 Enterprise वापरणाऱ्या कर्मचाऱ्यांसाठी एक स्वतंत्र SSID. आणि IoT डिव्हाइसेससाठी iPSK, ज्यामध्ये प्रत्येक डिव्हाइसचा MAC ॲड्रेस Purple च्या पोर्टलमध्ये नोंदणीकृत आहे आणि VLAN 30 ला नियुक्त केला आहे. हॉटेलची प्रॉपर्टी मॅनेजमेंट सिस्टीम Purple च्या API द्वारे नवीन IoT डिव्हाइसेस प्रोव्हिजन करते, त्यामुळे जेव्हा नवीन दरवाजाचे कुलूप इन्स्टॉल केले जाते, तेव्हा त्याचा MAC ॲड्रेस आपोआप नोंदणीकृत होतो आणि योग्य VLAN ला नियुक्त केला जातो. कोणत्याही मॅन्युअल RADIUS कॉन्फिगरेशनची आवश्यकता नाही. [medium pause] दुसरे उदाहरण: 80 स्टोअर्स असलेली रिटेल साखळी. प्रत्येक स्टोअरमध्ये अतिथी WiFi नेटवर्क, कर्मचारी नेटवर्क आणि पेमेंट टर्मिनल्ससाठी एक नेटवर्क आहे. PCI DSS पूर्ततेसाठी पेमेंट टर्मिनल नेटवर्क अतिथी नेटवर्कपासून पूर्णपणे वेगळे असणे आवश्यक आहे. रिटेलर प्रत्येक साइटवर Cisco Catalyst 9800-L कंट्रोलर्स वापरतात, जे Cisco Catalyst Centre द्वारे मध्यवर्तीरित्या व्यवस्थापित केले जातात. [medium pause] Purple हे क्लाउड ओव्हरले म्हणून काम करते. प्रत्येक स्टोअरचे WLC Purple च्या RADIUS सर्व्हर तपशीलांसह कॉन्फिगर केले आहे. गेस्ट ऑथेंटिकेशनसाठी ईमेल कॅप्चरसह ब्रँडेड स्प्लॅश पेज वापरले जाते, जे पहिल्या-पक्षाचा डेटा Purple च्या ॲनालिटिक्स प्लॅटफॉर्मवर पाठवते. स्टाफ ऑथेंटिकेशन Purple SecurePass द्वारे Active Directory च्या विरूद्ध PEAP वापरते. पेमेंट टर्मिनल्स डेडिकेटेड VLAN सह iPSK वापरतात, आणि प्री-ऑथ ACL पेमेंट VLAN आणि गेस्ट VLAN मधील कोणत्याही ट्रॅफिकला स्पष्टपणे ब्लॉक करते, ज्यामुळे नेटवर्क सेगमेंटेशनसाठी PCI DSS ची आवश्यकता १.३ पूर्ण होते. [medium pause] आता संभाव्य अडचणींबद्दल बोलूया. [short pause] सर्वात सामान्य बिघाड म्हणजे रीडायरेक्ट लूप. हे तेव्हा घडते जेव्हा प्री-ऑथ ACL योग्यरित्या Purple च्या पोर्टल IP ॲड्रेसला व्हाइटलिस्ट करत नाही, त्यामुळे WLC क्लायंटला Purple च्या पोर्टलवर रीडायरेक्ट करते, परंतु ACL ने ब्लॉक केल्यामुळे क्लायंट पोर्टलवर पोहोचू शकत नाही, म्हणून WLC पुन्हा आणि अनिश्चित काळासाठी रीडायरेक्ट करते. उपाय: तुमचे URL फिल्टर किंवा प्री-ऑथ ACL मध्ये Purple च्या दोन्ही पोर्टल IP ॲड्रेसचा समावेश असल्याची पडताळणी करा आणि प्री-ऑथेंटिकेशनमध्ये DNS रिझोल्यूशनला परवानगी असल्याची खात्री करा. [medium pause] दुसरी सामान्य समस्या म्हणजे VLAN मिसमॅच. RADIUS सर्व्हर असा VLAN ID परत करतो जो WLC वर डायनॅमिक इंटरफेस म्हणून अस्तित्वात नाही. त्यानंतर WLC क्लायंटला नेटिव्ह VLAN वर ठेवते, जे सहसा मॅनेजमेंट VLAN असते. हा एक सुरक्षिततेचा धोका आहे. उपाय: डिप्लॉय करण्यापूर्वी, Purple च्या RADIUS पॉलिसींमध्ये कॉन्फिगर केलेल्या VLAN IDs सोबत तुमच्या WLC डायनॅमिक इंटरफेसचे ऑडिट करा. ते अगदी तंतोतंत जुळले पाहिजेत. [medium pause] तिसरी अडचण: EAP-TLS डिप्लॉयमेंटमधील सर्टिफिकेट ट्रस्ट बिघाड. जर क्लायंटच्या सर्टिफिकेट चेनवर Purple च्या RADIUS सर्व्हरद्वारे विश्वास ठेवला गेला नाही, तर युझरच्या बाजूने ऑथेंटिकेशन कोणतीही माहिती न मिळता अपयशी ठरते. ते फक्त कनेक्ट करू शकत नाहीत. उपाय: क्लायंट सर्टिफिकेट रोल आउट करण्यापूर्वी तुमचे रूट CA आणि कोणतेही इंटरमीडिएट CA सर्टिफिकेट Purple च्या SecurePass कॉन्फिगरेशनवर अपलोड करा. संपूर्ण ताफ्यात लागू करण्यापूर्वी एकाच डिव्हाइससह चाचणी करा. [medium pause] काही त्वरित प्रश्न. [short pause] मी WLC ऐवजी Cisco Meraki सह Purple वापरू शकतो का? होय. Cisco Meraki कडे स्वतःची कॅप्टिव्ह पोर्टल इंटिग्रेशन यंत्रणा आहे आणि Purple तिला नेटिव्हली सपोर्ट करते. RADIUS कॉन्फिगरेशन सारखेच आहे परंतु ते WLC कमांड लाईनऐवजी Meraki च्या डॅशबोर्डचा वापर करते. [short pause] Purple हे Cisco वर WPA3 ला सपोर्ट करते का? होय. IOS-XE 17.3 आणि त्यापुढील व्हर्जनसह Cisco Catalyst 9800 वर WPA3-SAE समर्थित आहे. Purple चे RADIUS इंटिग्रेशन WPA3 सोबत तंतोतंत सारखेच काम करते. [short pause] RADIUS टाइमआउट शिफारस काय आहे? तुमच्या प्रायमरी RADIUS सर्व्हरचा टाइमआउट दोन रिट्रायसह तीन सेकंदांवर सेट करा. फेलओव्हरसाठी सेकंडरी RADIUS सर्व्हर कॉन्फिगर करा. Purple एंटरप्राइझ ग्राहकांसाठी रिडंडंट RADIUS एंडपॉइंट्स प्रदान करते. [short pause] मी Purple सोबत Cisco ISE वापरू शकतो का? होय. काही संस्था पोश्चर असेसमेंट आणि डिव्हाइस प्रोफाइलिंगसाठी ISE वापरतात, तर गेस्ट पोर्टल आणि ॲनालिटिक्ससाठी Purple चा वापर करतात. हे दोन RADIUS सर्व्हर वेगवेगळ्या WLANs वर कॉन्फिगर केले जातात. [medium pause] थोडक्यात सांगायचे तर. [short pause] Cisco WLC आणि Catalyst वायरलेस इन्फ्रास्ट्रक्चर हे पाहुण्यांच्या Captive Portal रिडायरेक्शनसाठी External Web Authentication चा वापर करून, Purple SecurePass द्वारे कर्मचारी प्रमाणीकरणासाठी 802.1X EAP-TLS किंवा PEAP, आणि मल्टी-टेनंट आणि IoT सेगमेंटेशनसाठी डायनॅमिक VLAN असाइनमेंटसह Cisco iPSK चा वापर करून Purple सोबत सहजपणे समाकलित होते. तीन RADIUS VLAN ॲट्रिब्युट्स, Tunnel-Type, Tunnel-Medium-Type, आणि Tunnel-Private-Group-ID, ही डायनॅमिक सेगमेंटेशन चालवणारी यंत्रणा आहे. तुमचे प्री-ऑथ ACLs अचूक ठेवा, RADIUS आणि WLC मधील तुमचे VLAN IDs जुळवून घ्या, आणि फ्लीट डिप्लॉयमेंट करण्यापूर्वी सर्टिफिकेट ट्रस्ट चेन्स तपासा. [medium pause] Purple ८०,००० पेक्षा जास्त ठिकाणी कार्यरत आहे आणि २०२४ मध्ये याने ४४ कोटी लॉगइन्स प्रोसेस केले आहेत. Cisco इंटिग्रेशन हे जागतिक स्तरावर आमच्या सर्वात जास्त डिप्लॉय केलेल्या कॉन्फिगरेशनपैकी एक आहे. तुम्हाला सुरुवात करायची असल्यास, Purple डॅशबोर्ड तुम्हाला प्रत्येक ठिकाणच्या RADIUS कॉन्फिगरेशनचे मार्गदर्शन करतो, आणि आमची इंटिग्रेशन टीम एंटरप्राइझ डिप्लॉयमेंटसाठी उपलब्ध आहे. [medium pause] या ब्रिफिंगसाठी एवढेच. ऐकल्याबद्दल धन्यवाद.