Cisco WLC आणि Catalyst चे Purple WiFi सह एकत्रीकरण: स्टेप-बाय-स्टेप गेस्ट ॲक्सेस मार्गदर्शिका
या मार्गदर्शिकेत Cisco WLC आणि Catalyst 9800 Wireless चे Purple सोबत स्टेप-बाय-स्टेप एकत्रीकरण सविस्तर स्पष्ट केले आहे, ज्यामध्ये सेंट्रल वेब ऑथेंटिकेशनद्वारे Guest WiFi captive portal रिडायरेक्शन, 802.1X EAP-TLS वापरून सुरक्षित स्टाफ WiFi आणि डायनॅमिक VLAN असाइनमेंटसह Cisco आयडेंटिटी प्री-शेअर्ड की (iPSK) वापरून मल्टी-टेनंट सेगमेंटेशन समाविष्ट आहे. हे हॉस्पिटॅलिटी, रिटेल आणि मोठ्या सार्वजनिक ठिकाणांवर Cisco इन्फ्रास्ट्रक्चर तैनात करणाऱ्या एंटरप्राइझ नेटवर्क आर्किटेक्ट्स आणि IT सुरक्षा संचालकांसाठी लिहिले गेले आहे.
हे मार्गदर्शक ऐका
पॉडकास्ट ट्रान्सक्रिप्ट पहा
- कार्यकारी सारांश (Executive summary)
- तांत्रिक सखोल विश्लेषण: त्रि-स्तरीय आर्किटेक्चर (Three-tier architecture)
- स्तर १: Guest WiFi - सेंट्रल वेब ऑथेंटिकेशन (CWA)
- Tier 2: Staff WiFi - 802.1X EAP-TLS
- Tier 3: Multi-Tenant WiFi - Cisco iPSK आणि डायनॅमिक VLAN असाइनमेंट
- अंमलबजावणी मार्गदर्शक: Cisco Catalyst 9800 WLC कॉन्फिगरेशन
- पायरी 1: RADIUS ऑथेंटिकेशन आणि अकाउंटिंग कॉन्फिगर करा
- पायरी 2: प्री-ऑथेंटिकेशन ACL (walled garden) परिभाषित करा
- पायरी 3: गेस्ट WLAN कॉन्फिगर करा
- पायरी 4: Policy Profile कॉन्फिगर करा
- पायरी 5: मल्टी-टेनंट किंवा IoT डिप्लॉयमेंटसाठी iPSK कॉन्फिगर करा
- सर्वोत्तम पद्धती (Best practices)
- ट्रबलशूटिंग आणि जोखीम निवारण
- ROI आणि व्यावसायिक प्रभाव

कार्यकारी सारांश (Executive summary)
एंटरप्राइझ वायरलेस नेटवर्कने विविध वापरकर्ता गटांना एकाच वेळी सेवा देणे आवश्यक आहे: ज्या पाहुण्यांना कोणत्याही अडथळ्याशिवाय इंटरनेट प्रवेश हवा आहे, ज्या कर्मचाऱ्यांना कॉर्पोरेट संसाधनांमध्ये सुरक्षित प्रवेश हवा आहे, आणि हेडलेस किंवा भाडेकरू डिव्हाइसेस ज्यांना एकमेकांपासून विलग ठेवणे आवश्यक आहे. यापैकी कोणत्याही गटासाठी एका सामायिक प्री-शेअर्ड की (Pre-Shared Key) वर अवलंबून राहणे ही सुरक्षिततेची मोठी त्रुटी आहे. केवळ एक क्रेडेंशियल लीक झाल्यास संपूर्ण विभाग असुरक्षित होतो, आणि प्रवेश रद्द करण्यासाठी जागतिक पासवर्ड बदलावा लागतो ज्यामुळे नेटवर्कवरील प्रत्येक डिव्हाइसमध्ये व्यत्यय येतो.
हे मार्गदर्शक Cisco Wireless LAN Controllers (WLC) आणि Catalyst 9800 मालिका हार्डवेअरचे Purple च्या क्लाउड ओव्हरलेसह एकत्रीकरण सविस्तरपणे स्पष्ट करते. आम्ही तीन वेगवेगळ्या ऑथेंटिकेशन स्तरांसाठी चरण-दर-चरण कॉन्फिगरेशन प्रदान करतो: Purple द्वारे समर्थित Captive Portal रिडायरेक्शनसह एक मुक्त Guest WiFi नेटवर्क, 802.1X EAP-TLS प्रमाणपत्र ऑथेंटिकेशन वापरणारे सुरक्षित स्टाफ WiFi नेटवर्क, आणि डायनॅमिक VLAN असाइनमेंटसह Cisco आयडेंटिटी प्री-शेअर्ड की (iPSK) वापरणारे मल्टी-भाडेकरू WiFi वातावरण. हे आर्किटेक्चर लागू करून, आपण कॉर्पोरेट संसाधने पाहुण्यांच्या रहदारीपासून सुरक्षितपणे वेगळी करू शकता, ओळख-आधारित प्रवेश नियंत्रण स्वयंचलित करू शकता आणि Purple च्या WiFi Analytics प्लॅटफॉर्मद्वारे फर्स्ट-पार्टी डेटा गोळा करू शकता. Purple 80,000+ पेक्षा जास्त थेट कार्यरत ठिकाणांवर काम करते आणि 2024 मध्ये 440 दशलक्ष लॉगइन्सची नोंद केली आहे (Purple अंतर्गत डेटा), ज्यामुळे ते मोठ्या प्रमाणावर Cisco पायाभूत सुविधांसाठी एक सिद्ध क्लाउड ओव्हरले बनते.
तांत्रिक सखोल विश्लेषण: त्रि-स्तरीय आर्किटेक्चर (Three-tier architecture)
Cisco हार्डवेअरवरील आधुनिक एंटरप्राइझ वायरलेस उपयोजनाने विविध सुरक्षा आणि प्रवेश आवश्यकता असलेल्या वेगवेगळ्या वापरकर्ता प्रोफाइल्सना सेवा देणे आवश्यक आहे. Cisco WLC आणि Purple मधील एकत्रीकरण एकाच Catalyst 9800 कंट्रोलरवरून व्यवस्थापित केलेल्या भिन्न ऑथेंटिकेशन प्रणालींद्वारे या प्रोफाइल्सना सेवा देण्यासाठी एकात्मिक हार्डवेअर फूटप्रिंट सक्षम करते.

स्तर १: Guest WiFi - सेंट्रल वेब ऑथेंटिकेशन (CWA)
Hospitality आणि Retail वातावरणातील अभ्यागतांसाठी, मुख्य उद्दिष्ट म्हणजे सुलभ ऑनबोर्डिंग आणि नियमांनुसार डेटा मिळवणे हे आहे. हे ओपन SSID आणि सेंट्रल वेब ऑथेंटिकेशन (CWA) च्या संयोजनाद्वारे साध्य केले जाते. जेव्हा एखादा अतिथी कनेक्ट होतो, तेव्हा Cisco WLC पूर्व-ऑथेंटिकेशन ॲक्सेस कंट्रोल लिस्ट (ACL) - वॉल्ड गार्डन लागू करते. ही ACL सामान्य इंटरनेट रहदारीला ब्लॉक करते आणि Purple च्या Captive Portal डोमेन, DNS आणि सोशल लॉगइन एंडपॉइंट्सच्या रहदारीला परवानगी देते. जेव्हा अतिथी ब्राउझ करण्याचा प्रयत्न करतो, तेव्हा WLC HTTP विनंती अडवतो आणि Purple स्प्लॅश पेजवर रीडायरेक्ट करतो. अतिथी त्यांच्या निवडलेल्या पद्धतीने (सोशल लॉगिन, ईमेल नोंदणी किंवा व्हाउचर कोड) प्रमाणीकरण करतो. त्यानंतर Purple हे RADIUS सर्व्हर म्हणून कार्य करते आणि WLC ला RADIUS चेंज ऑफ ऑथरायझेशन (CoA) संदेश परत पाठवते. CoA हे WLC ला क्लायंटला प्री-ऑथेंटिकेशन स्टेटमधून आयसोलेटेड गेस्ट VLAN वरील पोस्ट-ऑथेंटिकेशन स्टेटमध्ये हलवण्याचे निर्देश देते, ज्यामुळे इंटरनेट प्रवेश मिळतो. प्रत्येक लॉगिन Purple च्या ॲनालिटिक्स प्लॅटफॉर्मवर नोंदवले जाते, जे GDPR आणि CCPA च्या अनुपालनात फर्स्ट-पार्टी डेटा गोळा करते.
Tier 2: Staff WiFi - 802.1X EAP-TLS
कॉर्पोरेट डिव्हाइसेसना सर्वोच्च पातळीवरील सुरक्षेची आवश्यकता असते. IEEE 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल (PNAC) परिभाषित करते आणि जेव्हा ते EAP-TLS (एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल - ट्रान्सपोर्ट लेयर सिक्युरिटी) सह जोडले जाते, तेव्हा ते सर्टिफिकेट-आधारित प्रमाणीकरण प्रदान करते ज्यामुळे पासवर्डची गरज पूर्णपणे संपुष्टात येते. डिजिटल सर्टिफिकेट्स कॉर्पोरेट डिव्हाइसेसवर मोबाईल डिव्हाइस मॅनेजमेंट (MDM) - Microsoft Intune, Jamf किंवा समतुल्य - द्वारे तैनात केले जातात. Cisco WLC हे ऑथेंटिकेटर म्हणून काम करते, जे सप्लिकंट (डिव्हाइस) आणि RADIUS सर्व्हर दरम्यान EAP संदेश पाठवते. RADIUS सर्व्हर सर्टिफिकेट प्रमाणित करतो आणि पर्यायी VLAN असाइनमेंट वैशिष्ट्यांसह Access-Accept परत पाठवतो.
प्रमाणीकरण पासवर्डऐवजी सर्टिफिकेट्सवर अवलंबून असल्याने, चोरीला जाण्यासारखे कोणतेही क्रेडेंशियल्स नसतात. एखादे डिव्हाइस हरवल्यास किंवा कर्मचाऱ्याने नोकरी सोडल्यास, तुम्ही सर्टिफिकेट रद्द करता. इतर कोणत्याही वापरकर्त्याला अडथळा न आणता प्रवेश त्वरित समाप्त होतो. WPA3 आणि झिरो ट्रस्टसह कॉर्पोरेट सुरक्षा मानकांच्या सर्वसमावेशक माहितीसाठी, आमचे Enterprise WiFi Security: A Complete Guide for 2026 हे मार्गदर्शक पहा.
Tier 3: Multi-Tenant WiFi - Cisco iPSK आणि डायनॅमिक VLAN असाइनमेंट
विद्यार्थी वसतिगृहे, को-वर्किंग स्पेस किंवा रिटेल मॉल्स सारख्या वातावरणात, तुम्हाला डझनभर SSIDs ब्रॉडकास्ट न करता वेगवेगळ्या भाडेकरूंसाठी खाजगी, विभागलेले नेटवर्क्स हवे असतात. Cisco आयडेंटिटी PSK (iPSK) यावर उपाय शोधते. सर्व भाडेकरू एकाच SSID शी कनेक्ट होतात. WLC प्रत्येक कनेक्ट होणाऱ्या डिव्हाइससाठी RADIUS सर्व्हरला MAC प्रमाणीकरण विनंती पाठवते. RADIUS सर्व्हर त्या भाडेकरूसाठी विशिष्ट PSK ला cisco-av-pair गुणधर्म म्हणून परत करतो, सोबतच क्लायंटला अचूक VLAN मध्ये डायनॅमिकली नियुक्त करण्यासाठी मानक IETF RADIUS गुणधर्म पाठवतो.

डायनॅमिक VLAN असाइनमेंट चालवणारे तीन IETF RADIUS गुणधर्म खालीलप्रमाणे आहेत:
| RADIUS Attribute | ID | Value |
|---|---|---|
| Tunnel-Type | 64 | VLAN |
| Tunnel-Medium-Type | 65 | 802 |
| Tunnel-Private-Group-ID | 81 | Target VLAN ID (उदा. 31) |
RFC 2868 मध्ये परिभाषित केल्याप्रमाणे, Tunnel-Private-Group-ID हे स्ट्रिंग म्हणून एन्कोड केले जाते. असाइनमेंट यशस्वी होण्यासाठी VLAN ID हा WLC वर असणे आवश्यक आहे.
अंमलबजावणी मार्गदर्शक: Cisco Catalyst 9800 WLC कॉन्फिगरेशन
Cisco Catalyst 9800 WLC (जे IOS-XE वर कार्यरत आहे) ला Guest WiFi रिडायरेक्शनसाठी Purple सोबत समाकलित करण्याच्या चरणांचा तपशील खालीलप्रमाणे आहे. जुन्या पद्धतीच्या AireOS WLC उपयोजनांसाठी (deployments), समतुल्य सेटिंग्ज Purple सपोर्ट पोर्टलवर उपलब्ध आहेत.
पायरी 1: RADIUS ऑथेंटिकेशन आणि अकाउंटिंग कॉन्फिगर करा
गेस्ट ऑथेंटिकेशन आणि सेशन अकाउंटिंग हाताळण्यासाठी तुम्ही WLC ला Purple च्या RADIUS सर्व्हरशी जोडणे आवश्यक आहे.
- Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > + Add वर जा.
- प्रायमरी Purple RADIUS सर्व्हरचा IP ॲड्रेस प्रविष्ट करा, auth-port ला 1812, acct-port ला 1813 वर सेट करा आणि Purple पोर्टलवरील शेअर्ड सिक्रेट (shared secret) प्रविष्ट करा.
- Support for CoA सक्षम करा - Captive Portal रिडायरेक्शनसाठी हे अनिवार्य आहे.
- दुय्यम (secondary) Purple RADIUS सर्व्हरसाठी हीच प्रक्रिया पुन्हा करा.
- RADIUS > Server Groups > + Add वर जा आणि दोन्ही सर्व्हर्स समाविष्ट असलेला एक ग्रुप तयार करा.
- AAA Method List > Authorization > + Add वर जा, Type ला network वर सेट करा आणि त्याला RADIUS सर्व्हर ग्रुपशी जोडा.
- AAA Method List > Accounting > + Add वर जा, Type ला identity वर सेट करा आणि त्याला त्याच ग्रुपशी जोडा.
IOS-XE वरील समतुल्य CLI कमांड्स खालीलप्रमाणे आहेत:
radius server Purple-Primary
address ipv4 auth-port 1812 acct-port 1813
key 0
!
radius server Purple-Secondary
address ipv4 auth-port 1812 acct-port 1813
key 0
!
aaa group server radius Purple-RADIUS-Group
server name Purple-Primary
server name Purple-Secondary
!
aaa authorization network Purple-Authz group Purple-RADIUS-Group
aaa accounting identity Purple-Acct start-stop group Purple-RADIUS-Group
पायरी 2: प्री-ऑथेंटिकेशन ACL (walled garden) परिभाषित करा
प्री-ऑथेंटिकेशन ACL वापरकर्त्याचे ऑथेंटिकेशन होण्यापूर्वी Purple च्या स्प्लॅश पेज आणि आवश्यक सेवांवरील ट्रॅफिकला अनुमती देते. यालाच walled garden म्हणतात.
- Configuration > Security > ACL > + Add वर जा.
Purple_Guest_Walled_Gardenनावाचे IPv4 Extended ACL तयार करा.- WLC मॅनेजमेंट IP आणि RADIUS सर्व्हर IPs वरील ट्रॅफिक deny (नकार देणारे) करण्यासाठीचे नियम जोडा.
- तुमच्या DNS सर्व्हर्सवर DNS (UDP पोर्ट 53) ला permit (अनुमती देणारे) नियम जोडा.
- Purple च्या walled garden IP रेंज आणि डोमेन्सवरील ट्रॅफिकला permit करणारे नियम जोडा (तुमच्या विशिष्ट हार्डवेअर प्रकारासाठी Purple सपोर्ट पोर्टलवरून सध्याची सूची मिळवा).
- एक अंतिम permit ip any any नियम जोडा - WLC अनुमती दिलेल्या ट्रॅफिकला पोर्टल प्रोसेसिंगसाठी CPU कडे रिडायरेक्ट करेल.
पायरी 3: गेस्ट WLAN कॉन्फिगर करा
- Configuration > Tags & Profiles > WLANs > + Add वर जा.
- तुमच्या पसंतीच्या SSID सह
Guest-WiFiनावाचे WLAN तयार करा. - Security > Layer 2 अंतर्गत, सुरक्षा None (Open) वर सेट करा.
- Security > Layer 3 अंतर्गत, Web Policy सक्षम करा आणि Web Auth प्रकार External वर सेट करा.
- रिडायरेक्ट फील्डमध्ये तुमचा Purple ॲक्सेस URL प्रविष्ट करा.
Purple_Guest_Walled_GardenACL लागू करा.- Security > AAA Servers अंतर्गत, ऑथेंटिकेशन आणि अकाउंटिंग या दोन्हीसाठी Purple RADIUS सर्व्हर्स नियुक्त करा.
पायरी 4: Policy Profile कॉन्फिगर करा
- Configuration > Tags & Profiles > Policy > + Add वर जा.
- Access Policies अंतर्गत, VLAN 20 (किंवा आपला नियुक्त गेस्ट VLAN) असाइन करा.
- Advanced अंतर्गत, Allow AAA Override आणि NAC State सक्षम करा.
- Purple अकाउन्टिंग मेथड लिस्ट असाइन करा.
याचा CLI पर्याय:
wireless profile policy Guest-Policy
aaa-override
nac
vlan 20
accounting-list Purple-Acct
no shutdown
!
wireless tag policy Guest-Policy-Tag
wlan Guest-WiFi policy Guest-Policy
पायरी 5: मल्टी-टेनंट किंवा IoT डिप्लॉयमेंटसाठी iPSK कॉन्फिगर करा
iPSK साठी, WLAN कॉन्फिगरेशन हे गेस्ट सेटअपपेक्षा वेगळे असते. WLAN हे MAC फिल्टरिंग सक्षम करून WPA2-PSK वापरते, आणि RADIUS सर्व्हरकडून प्रति-क्लायंट PSK आणि VLAN स्वीकारण्यासाठी Policy Profile चे AAA Override सक्रिय असते.
wlan Tenant-WiFi 2 Tenant-WiFi
mac-filtering Purple-Authz
security wpa psk set-key ascii 0 DefaultKey123
no security wpa akm dot1x
security wpa akm psk
peer-blocking allow-private-group
no shutdown
!
wireless profile policy Tenant-Policy
aaa-override
accounting-list Purple-Acct
vlan 30
no shutdown
RADIUS सर्व्हर (Purple किंवा आपल्या RADIUS प्लॅटफॉर्ममध्ये कॉन्फिगर केलेला) प्रत्येक भाडेकरू (tenant) ग्रुपसाठी खालील ॲट्रिब्युट्स रिटर्न करतो:
cisco-av-pair = psk-mode=ascii
cisco-av-pair = psk=
Tunnel-Type = VLAN
Tunnel-Medium-Type = 802
Tunnel-Private-Group-ID =
सर्वोत्तम पद्धती (Best practices)
प्रस्थापित मानकांचे पालन केल्याने आपल्या डिप्लॉयमेंटमध्ये स्थिरता, सुरक्षा आणि नियामक अनुपालन सुनिश्चित होते.
कडक प्रमाणपत्र प्रमाणीकरण (certificate validation) लागू करा. 802.1X डिप्लॉय करताना, आपल्या RADIUS सर्व्हरच्या सर्टिफिकेट ऑथॉरिटीवर स्पष्टपणे विश्वास ठेवण्यासाठी आणि अपेक्षित सर्व्हरचे नाव निर्दिष्ट करण्यासाठी MDM द्वारे क्लायंट डिव्हाइसेस कॉन्फिगर करा. हे लागू न केल्यास क्लायंट रोग ॲक्सेस पॉइंट (rogue access point) हल्ल्यांना बळी पडू शकतात, जेथे आक्रमणकर्ता क्रेडेंशियल चोरण्यासाठी बनावट प्रमाणपत्र सादर करतो. ही एक कडक आवश्यकता आहे, केवळ शिफारस नाही.
नेटवर्क लेयरवर गेस्ट ट्रॅफिक वेगळे करा. गेस्ट WiFi चे टर्मिनल एका समर्पित VLAN वर असले पाहिजे जे सर्व कॉर्पोरेट संसाधनांपासून फायरवॉलद्वारे सुरक्षित असेल. PCI DSS 4.0 नुसार कार्डधारक डेटा वातावरण सार्वजनिक नेटवर्कपासून वेगळे असणे आवश्यक आहे. VLAN 20 वरील गेस्ट युझरला VLAN 10 वरील कॉर्पोरेट नेटवर्कचा कोणताही मार्ग (route) मिळता कामा नये.
IoT डिव्हाइसेससाठी iPSK वापरा, MAC Authentication Bypass नाही. MAC ॲड्रेस हे प्लेनटेक्स्टमध्ये ब्रॉडकास्ट केले जातात आणि ते स्पूफ (spoof) करणे सोपे असते. iPSK हे हेडलेस डिव्हाइसेससाठी क्रिप्टोग्राफिक सुरक्षा प्रदान करते. डिस्प्ले आणि IoT डिव्हाइसेस वायरलेस प्रोटोकॉलशी कसे संवाद साधतात याच्या मार्गदर्शनासाठी, What Is Wireless Display: Protocols & Best Practices 2026 पहा.
वापराच्या स्पष्ट अटी (terms of use) निश्चित करा. आपल्या Captive Portal ने प्रवेश देण्यापूर्वी वापराच्या अटींचा करार सादर करणे आवश्यक आहे. डेटा गोळा करण्यासाठी ही एक GDPR आवश्यकता आहे आणि नेटवर्क वापर धोरणांसाठी कायदेशीर गरज आहे. अंतर्गत कर्मचारी नेटवर्कसाठी, Staff WiFi Terms and Conditions: Legal and Compliance Essentials चा सल्ला घ्या. RADIUS रिडंडंसी लागू करा. नेहमी प्रायमरी आणि सेकंडरी RADIUS सर्व्हर कॉन्फिगर करा. Purple या उद्देशासाठी दोन सर्व्हर आयपी (IP) पत्ते प्रदान करते. एक जरी RADIUS सर्व्हर निकामी झाला, तरी सर्व गेस्ट लॉगिन थांबतील.
ट्रबलशूटिंग आणि जोखीम निवारण
काळजीपूर्वक कॉन्फिगरेशन केल्यानंतरही, इंटिग्रेशनच्या समस्या उद्भवू शकतात. समस्येचे निवारण पुढील स्तरावर नेण्यापूर्वी अत्यंत सामान्य त्रुटींचे पद्धतशीरपणे निवारण करा.
समस्या: गेस्ट कनेक्ट होतात परंतु स्प्लॅश पेज दिसत नाही.
ही सर्वात सामान्य समस्या आहे. प्री-ऑथेंटिकेशन ACL हे DNS ब्लॉक करत असते. DNS शिवाय, क्लायंट सुरुवातीच्या HTTP विनंतीचे (request) निवारण करू शकत नाही आणि ऑपरेटिंग सिस्टम Captive Portal मिनी-ब्राउझर ट्रिगर करणार नाही. वॉल गार्डन ACL मध्ये तुमच्या DNS सर्व्हर्ससाठी UDP पोर्ट ५३ ला परवानगी दिली आहे याची खात्री करा. WLC वर, क्लायंट Run ऐवजी Webauth Pending स्थितीत असल्याची खात्री करण्यासाठी show wireless client summary रन करा.
समस्या: iPSK क्लायंट कनेक्ट होण्यात अयशस्वी होतात किंवा चुकीच्या VLAN वर जातात.
Tunnel-Private-Group-ID मध्ये नमूद केलेले VLAN हे WLC वर अस्तित्वात नाही, किंवा cisco-av-pair ॲट्रिब्युट्समध्ये त्रुटी आहे. मूळ RADIUS प्रतिसाद तपासण्यासाठी WLC वर debug radius all रन करा. Configuration > Layer 2 > VLAN > VLAN List अंतर्गत VLAN ID तयार केला असल्याची खात्री करा.
समस्या: 802.1X कर्मचारी क्लायंट्स वेळोवेळी ऑथेंटिकेट होण्यास अयशस्वी ठरतात.
हे सहसा RADIUS सर्व्हर टाइमआउट किंवा क्लायंटवरील सर्टिफिकेट ट्रस्टच्या समस्येमुळे होते. Access-Reject मेसेजेससाठी RADIUS सर्व्हर लॉग्स तपासा. Windows क्लायंटवर, WiFi प्रोफाइल सर्व्हर सर्टिफिकेटचे प्रमाणीकरण करण्यासाठी कॉन्फिगर केले आहे आणि योग्य विश्वसनीय CA नमूद केला आहे याची खात्री करा.
समस्या: Purple कडून येणाऱ्या CoA वर WLC द्वारे प्रक्रिया केली जात नाही.
CoA शेअर्ड सिक्रेट हे WLC वर कॉन्फिगर केलेल्या RADIUS शेअर्ड सिक्रेटशी जुळले पाहिजे. IOS-XE १७.४ आणि त्यानंतरच्या आवृत्त्यांवर, CoA की ही शेअर्ड सिक्रेटपेक्षा स्वतंत्रपणे कॉन्फिगर केली जाते. दोन्ही की Purple पोर्टल मधील मूल्यांशी जुळत असल्याची खात्री करा.
ROI आणि व्यावसायिक प्रभाव
मूलभूत PSK नेटवर्कवरून Purple च्या सहाय्याने एका सुव्यवस्थित, ओळख-आधारित (identity-based) आर्किटेक्चरवर स्थलांतरित केल्याने Hospitality , Retail , Healthcare , आणि Transport या क्षेत्रांमध्ये मोजण्यायोग्य व्यावसायिक परिणाम मिळतात.
पहिले म्हणजे, हे आर्किटेक्चर सामायिक पासवर्ड व्यवस्थापित करण्याचा ऑपरेशनल खर्च काढून टाकते. जेव्हा कर्मचारी नोकरी सोडतात, तेव्हा तुम्ही त्यांचे सर्टिफिकेट रद्द करता. तुम्हाला जागतिक पासवर्ड बदलण्याची आणि इस्टेटवरील प्रत्येक डिव्हाइस अपडेट करण्याची आवश्यकता नसते. दुसरे म्हणजे, Purple च्या Captive Portal सह इंटिग्रेशन हे IT खर्च केंद्राला महसूल मिळवून देणाऱ्या माध्यमात बदलते. Purple चे प्लॅटफॉर्म प्रत्येक लॉगिनवर सुसंगत फर्स्ट-पार्टी डेटा गोळा करते, ज्यामुळे स्वयंचलित विपणन (marketing) मोहिमा आणि अभ्यागत विश्लेषण (visitor analytics) सक्षम होते. Purple नेटवर्कवर गोळा केलेल्या २९ अब्ज डेटा पॉइंट्सच्या सहाय्याने (Purple अंतर्गत डेटा), हे प्लॅटफॉर्म अभ्यागतांचे वर्तन, थांबण्याचा वेळ (dwell time) आणि परत येण्याचा दर याविषयी महत्त्वपूर्ण अंतर्दृष्टी प्रदान करते.व्हिजिटरच्या समाधानाचा स्तर समजून घेण्यासाठी सर्वेक्षण चालवणाऱ्या व्हेन्यू ऑपरेटरसाठी, Purple प्लॅटफॉर्म थेट रिसर्च वर्कफ्लोसह समाकलित होतो. Captive Portal द्वारे वितरित केलेली प्रभावी व्हेन्यू सर्वेक्षणे तयार करण्याच्या मार्गदर्शनासाठी Design of a Survey: A Practical Guide for Venues पहा.
Cisco च्या एंटरप्राइझ-ग्रेड हार्डवेअरला Purple च्या क्लाउड ओव्हरलेसह समाकलित करून, तुम्ही एक सुरक्षित, स्केलेबल नेटवर्क प्राप्त करता जे व्हेन्यूच्या व्यावसायिक उद्दिष्टांमध्ये सक्रियपणे योगदान देते. Purple हे ISO 27001 प्रमाणित, GDPR आणि CCPA चे पालन करणारे, Cyber Essentials प्रमाणित आणि B Corp प्रमाणित आहे - जे एंटरप्राइझ खरेदी टीमच्या अनुपालन आवश्यकतांची पूर्तता करते.
महत्वाच्या व्याख्या
RADIUS
Remote Authentication Dial-In User Service. एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क ॲक्सेससाठी केंद्रीकृत Authentication, Authorization, आणि Accounting (AAA) व्यवस्थापन प्रदान करतो. RFC 2865 आणि RFC 2866 मध्ये परिभाषित.
IT टीम्स क्लायंटची क्रेडेन्शियल्स RADIUS सर्व्हरकडे फॉरवर्ड करण्यासाठी Cisco WLC कॉन्फिगर करतात, जो डिरेक्टरीमध्ये त्यांची तपासणी करतो आणि पॉलिसी ॲट्रिब्युट्ससह Access-Accept किंवा Access-Reject प्रतिसाद देतो.
Captive Portal
एक वेब पेज जे सार्वजनिक-ॲक्सेस नेटवर्कच्या वापरकर्त्याने इंटरनेट ॲक्सेस मिळण्यापूर्वी पाहणे आणि त्यावर संवाद साधणे आवश्यक आहे. नेटवर्क ॲक्सेस डिव्हाइसद्वारे HTTP रिडायरेक्शनच्या माध्यमातून अमलात आणले जाते.
इंटरनेट ॲक्सेस देण्यापूर्वी अभ्यागतांचा डेटा कॅप्चर करण्यासाठी, वापराच्या अटी सादर करण्यासाठी किंवा ब्रँडेड सामग्री प्रदर्शित करण्यासाठी Guest WiFi डिप्लॉयमेंट्समध्ये वापरला जातो. Purple होस्टेड Captive Portal इन्फ्रास्ट्रक्चर प्रदान करते.
iPSK (Identity Pre-Shared Key)
एक Cisco वैशिष्ट्य जे एकाच SSID वरील वेगवेगळ्या वापरकर्त्यांना किंवा डिव्हाइस ग्रुप्सना युनिक Pre-Shared Keys नियुक्त करण्याची अनुमती देते, ज्यामध्ये PSK RADIUS सर्व्हरद्वारे प्रति-क्लायंट वितरित केला जातो.
IoT डिव्हाइसेस किंवा मल्टी-टेनंट वातावरणासाठी अत्यंत आवश्यक जेथे 802.1X व्यवहार्य नाही परंतु नेटवर्क सेगमेंटेशन आवश्यक आहे. एकापेक्षा जास्त SSIDs ब्रॉडकास्ट करण्याची आवश्यकता काढून टाकते.
IEEE 802.1X
पोर्ट-आधारित Network Access Control (PNAC) साठीचा एक IEEE मानक. हा एक ऑथेंटिकेशन मेकॅनिझम प्रदान करतो जो RADIUS सर्व्हरने ऑथरायझेशनची पुष्टी करेपर्यंत डिव्हाइसवरील सर्व डेटा ट्रॅफिक ब्लॉक करतो.
एंटरप्राइझ Staff WiFi चा पाया, जो केवळ वैध क्रेडेन्शियल्स किंवा सर्टिफिकेट्स असलेल्या अधिकृत कॉर्पोरेट डिव्हाइसेसना अंतर्गत रिसोर्सेसमध्ये ॲक्सेस मिळण्याची खात्री देतो.
EAP-TLS
Extensible Authentication Protocol - Transport Layer Security. एक सर्टिफिकेट-आधारित ऑथेंटिकेशन पद्धत ज्यासाठी RADIUS सर्व्हर आणि क्लायंट डिव्हाइस दोन्हीवर डिजिटल सर्टिफिकेट्स असणे आवश्यक असते, ज्यामुळे पासवर्डची गरज पूर्णपणे संपुष्टात येते.
कॉर्पोरेट डिव्हाइसेस ऑथेंटिकेट करण्याची सर्वात सुरक्षित पद्धत. MDM द्वारे सर्टिफिकेट्स डिप्लॉय केले जातात. शेअर केलेला पासवर्ड बदलून नाही, तर सर्टिफिकेट अवैध करून ॲक्सेस रद्द केला जातो.
Walled garden
एक मर्यादित नेटवर्क वातावरण जे वापरकर्त्याने पूर्णपणे ऑथेंटिकेट करण्यापूर्वी त्याच्या वेब सामग्रीच्या ॲक्सेसवर नियंत्रण ठेवते. WLC वर प्री-ऑथेंटिकेशन ACL म्हणून अमलात आणले जाते.
पाहुण्याला पूर्ण इंटरनेट ॲक्सेस देण्यापूर्वी Purple splash page, DNS, आणि सोशल लॉगिन प्रोव्हाइडर्सना ॲक्सेस देण्याकरिता Cisco WLC वर कॉन्फिगर केले जाते.
Dynamic VLAN assignment
ऑथेंटिकेशनच्या वेळी परत मिळालेल्या RADIUS ऑथरायझेशन ॲट्रिब्युट्सवर आधारित विशिष्ट Virtual LAN वर कनेक्ट केलेले डिव्हाइस स्वयंचलितपणे ठेवण्याची प्रक्रिया.
प्रत्येक डिव्हाइससाठी मॅन्युअल कॉन्फिगरेशन न करता, कनेक्शन झाल्यावर स्टाफ, पाहुणे आणि IoT डिव्हाइसेस आपोआप स्वतंत्र नेटवर्क सेगमेंट्समध्ये ठेवले जातील याची खात्री करते.
Change of Authorization (CoA)
एक RADIUS एक्स्टेंशन (RFC 5176) जे RADIUS सर्व्हरला आधीच कनेक्ट केलेल्या क्लायंटचे सेशन ऑथरायझेशन ॲट्रिब्युट्स डायनॅमिकपणे मॉडिफाय करण्याची अनुमती देते.
Captive Portals साठी आवश्यक. पाहुण्याने Purple splash page वर ऑथेंटिकेट केल्यानंतर, क्लायंटला प्री-ऑथेंटिकेशन walled garden स्टेटमधून पूर्ण इंटरनेट ॲक्सेसमध्ये ट्रान्झिशन करण्यासाठी Purple द्वारे WLC ला CoA मेसेज पाठवला जातो.
Central Web Authentication (CWA)
एक Cisco ऑथेंटिकेशन पद्धत जिथे RADIUS सर्व्हर (WLC ऐवजी) वेब ऑथेंटिकेशन पोर्टल होस्ट करतो किंवा त्यावर रिडायरेक्ट करतो, ज्यामुळे क्लाउड-होस्टेड Captive Portal सोल्यूशन्स सक्षम होतात.
Cisco WLC ला Purple च्या क्लाउड-होस्टेड Captive Portal सोबत इंटिग्रेट करण्यासाठी वापरले जाते, ज्यामुळे Purple ला गेस्ट ऑथेंटिकेशन अनुभव आणि डेटा कॅप्चर व्यवस्थापित करण्याची अनुमती मिळते.
सोडवलेली उदाहरणे
एका मोठ्या शॉपिंग सेंटरला एकाच Cisco Catalyst 9800 WLC आणि एकाच ब्रॉडकास्ट SSID चा वापर करून ५० रिटेल भाडेकरूंना सुरक्षित, खाजगी WiFi प्रदान करायचे आहे. प्रत्येक भाडेकरू इतर सर्व भाडेकरूंच्या डिव्हाइसेसपासून वेगळा असला पाहिजे. ५० स्वतंत्र SSIDs ब्रॉडकास्ट न करता ते हे कसे साध्य करू शकतात?
IT टीम Cisco iPSK तैनात करते. ते WPA2-PSK आणि MAC फिल्टरिंग सुरू असलेले 'Mall-Tenant-WiFi' नावाचे एकच SSID कॉन्फिगर करतात. RADIUS सर्व्हरमध्ये, ते प्रत्येक भाडेकरूसाठी एक, अशा ५० एंडपॉईंट आयडेंटिटी ग्रुप्स तयार करतात. प्रत्येक ग्रुपला cisco-av-pair psk= ॲट्रिब्यूटद्वारे एक युनिक PSK आणि IETF Tunnel-Private-Group-ID ॲट्रिब्यूटद्वारे एक युनिक VLAN ID नियुक्त केला जातो. जेव्हा एखाद्या रिटेल भाडेकरूचे पॉईंट-ऑफ-सेल डिव्हाइस त्यांच्या विशिष्ट पासवर्डचा वापर करून कनेक्ट होते, तेव्हा WLC RADIUS सर्व्हरला MAC ऑथेंटिकेशन रिक्वेस्ट पाठवते. सर्व्हर त्या MAC ॲड्रेसची भाडेकरूच्या ग्रुपशी पडताळणी करतो आणि PSK आणि VLAN असाइनमेंट परत करतो. WLC ॲट्रिब्यूट्सवर प्रक्रिया करते, PSK सत्यापित करते आणि डिव्हाइसला भाडेकरूच्या वेगळ्या VLAN वर ठेवते. peer-blocking allow-private-group सेटिंग हे सुनिश्चित करते की एकाच PSK मधील डिव्हाइसेस एकमेकांशी संवाद साधू शकतात, तर वेगवेगळ्या PSK वरील डिव्हाइसेसमधील संवादाला ब्लॉक केले जाते.
एक ३०० खोल्यांची Premier Inn प्रॉपर्टी स्थानिक WLC गेस्ट अकाउंट्सवरून Purple च्या क्लाउड captive portal वर स्थलांतरित होत आहे. कॉन्फिगरेशन लागू केल्यावर, अतिथी सांगतात की ते WiFi SSID शी कनेक्ट होतात, त्यांना IP ॲड्रेस मिळतो, परंतु त्यांच्या डिव्हाइसेसवर 'No Internet' दिसते आणि स्प्लॅश पेज कधीही दिसत नाही. याची डायग्नोस्टिक प्रक्रिया काय आहे?
पायरी १: show wireless client detail <mac-address> वापरून WLC वरील क्लायंट स्टेट तपासा. क्लायंट 'Webauth Pending' स्टेटमध्ये असावा. जर तो 'Run' दाखवत असेल, तर प्री-ऑथेंटिकेशन ACL योग्यरित्या लागू केलेले नाही. पायरी २: प्री-ऑथेंटिकेशन ACL तपासा. या समस्येचे सर्वात सामान्य कारण म्हणजे ACL हे DNS (UDP पोर्ट ५३) ब्लॉक करते. DNS शिवाय, क्लायंट कोणत्याही डोमेनचे नाव शोधू (resolve) शकत नाही आणि OS ची captive portal डिटेक्शन सिस्टम शांतपणे अपयशी ठरते. ठिकाणाच्या DNS सर्व्हर IPs साठी UDP पोर्ट ५३ साठी स्पष्ट परवानगी देणारा (permit) नियम जोडा. पायरी ३: ACL मध्ये Purple वॉल्ड गार्डन डोमेनना परवानगी असल्याची खात्री करा. ऑथेंटिकेशन होण्यापूर्वी क्लायंटला Purple स्प्लॅश पेज URL पर्यंत पोहोचता आले पाहिजे. पायरी ४: WLC व्हर्च्युअल IP ॲड्रेस डीफॉल्ट १.१.१.१ वरून बदलून १९२.०.२.१ सारख्या नॉन-रूट करण्यायोग्य ॲड्रेसवर बदलला असल्याची खात्री करा, कारण डीफॉल्ट ॲड्रेस अधिकृत इंटरनेट ट्रॅफिकमध्ये व्यत्यय आणू शकतो.
सराव प्रश्न
Q1. तुम्ही Cisco Catalyst 9800 WLCs चा वापर करून ४० रिटेल शाखांमध्ये Staff WiFi उपयोजित करत आहात. तुम्हाला 802.1X वापरायचे आहे, परंतु कर्मचाऱ्यांच्या स्मार्टफोनवर प्रमाणपत्रे वितरीत करण्यासाठी कंपनीकडे अद्याप MDM सोल्यूशन नाही. सर्वात सुरक्षित व्यावहारिक दृष्टिकोन कोणता आहे आणि आपण कोणते जोखीम शमन अंमलात आणले पाहिजे?
टीप: प्रमाणपत्रे अजून उपलब्ध नसताना क्रेडेन्शियल सुरक्षा आणि उपयोजन व्यवहार्यता यांच्यातील संतुलनाचा विचार करा. पर्यायी पद्धतीमुळे उद्भवणाऱ्या विशिष्ट धोक्यावर लक्ष केंद्रित करा.
नमुना उत्तर पहा
तात्पुरती उपाययोजना म्हणून PEAP-MSCHAPv2 उपयोजित करा. हे EAP-TLS इतके सुरक्षित नसले तरी, ते TLS टनेलमध्ये एनक्रिप्टेड पासवर्ड प्रमाणीकरण प्रदान करते. प्रत्येक क्लायंट डिव्हाइसवर सर्व्हर प्रमाणपत्र प्रमाणीकरण सक्तीचे करणे हे महत्त्वपूर्ण जोखीम शमन आहे. Windows लॅपटॉपसाठी, एक ग्रुप पॉलिसी ऑब्जेक्ट उपयोजित करा जो WiFi प्रोफाइलमध्ये अचूक विश्वसनीय प्रमाणपत्र प्राधिकरण (Certificate Authority) आणि अपेक्षित RADIUS सर्व्हरचे नाव निर्दिष्ट करेल. iOS आणि Android डिव्हाइसेससाठी, ईमेल किंवा हलक्या वजनाच्या MDM-मुक्त साधनाद्वारे WiFi कॉन्फिगरेशन प्रोफाइल वितरीत करा जे प्रमाणपत्र प्रमाणीकरण सक्तीचे करते. याशिवाय, एखादा आक्रमणकर्ता फसव्या प्रमाणपत्रासह बनावट ऍक्सेस पॉइंट उपयोजित करू शकतो आणि क्रेडेन्शियल्स चोरू शकतो. MDM उपलब्ध होताच EAP-TLS कडे स्थलांतरित होण्याचे नियोजन करा.
Q2. एका स्टेडियमच्या IT संचालकाला मीडिया ब्रॉडकास्टर्स, तिकीट टर्मिनल्स आणि HVAC IoT सेन्सर्सना स्वतंत्र वेगळ्या नेटवर्कवर विभाजित करणे आवश्यक आहे. IoT सेन्सर्स 802.1X ला समर्थन देत नाहीत. तिन्ही गटांनी WiFi वापरणे आवश्यक आहे. WLC चे कॉन्फिगरेशन कसे केले पाहिजे?
टीप: अशा समाधानाचा शोध घ्या जे हेडलेस उपकरणांवर एंटरप्राइझ सप्लिकंट्सची आवश्यकता नसताना प्रति डिव्हाइस ग्रुप अनन्य क्रेडेन्शियल्स आणि VLAN असाइनमेंट प्रदान करते.
नमुना उत्तर पहा
व्हिन्यू ऑपरेशन्ससाठी एकाच SSID सह Cisco iPSK अंमलात आणा. RADIUS सर्व्हरमध्ये तीन एंडपॉइंट आयडेंटिटी ग्रुप तयार करा: ब्रॉडकास्टर्स, तिकीटिंग आणि HVAC. cisco-av-pair द्वारे प्रत्येक ग्रुपला एक युनिक PSK आणि Tunnel-Private-Group-ID द्वारे युनिक VLAN ID नियुक्त करा. WLC WLAN ला WPA2-PSK सह कॉन्फिगर करा, MAC फिल्टरिंग सक्षम करा आणि AAA Override सक्रिय करा. ब्रॉडकास्टर्सना PSK-A आणि VLAN 31, तिकीटिंगला PSK-B आणि VLAN 32 आणि HVAC सेन्सर्सना PSK-C आणि VLAN 33 प्राप्त होतात. peer-blocking ला allow-private-group वर सेट करा जेणेकरून एकाच ग्रुपमधील डिव्हाइसेस एकमेकांशी संवाद साधू शकतील (उदा. तिकीट टर्मिनल्स त्यांच्या सर्व्हरशी), तर क्रॉस-ग्रुप संवादास प्रतिबंध केला जाईल. यामुळे MAC Authentication Bypass टाळता येतो, ज्याचे सहज बनावतीकरण (spoofing) केले जाऊ शकते.
Q3. कॉन्फरन्स सेंटरमध्ये Guest WiFi उपयोजनादरम्यान, क्लायंट SSID शी कनेक्ट होतात आणि त्यांना IP पत्ता प्राप्त होतो, परंतु Captive Portal रिडायरेक्ट कधीच होत नाही. वॉल्ड गार्डन ACL सर्व Purple IP श्रेणींना ट्रॅफिकची अनुमती देते. सर्वात संभाव्य गहाळ कॉन्फिगरेशन घटक कोणता आहे आणि तुम्ही ते कसे सत्यापित कराल?
टीप: क्लायंट डिव्हाइसद्वारे HTTP विनंती केली जाण्यापूर्वी आवश्यक असलेल्या प्रोटोकॉलचा विचार करा.
नमुना उत्तर पहा
सर्वात संभाव्य कारण म्हणजे प्री-ऑथेंटिकेशन ACL द्वारे DNS ट्रॅफिक (UDP पोर्ट ५३) ब्लॉक केले जाते. क्लायंट डिव्हाइस रिडायरेक्ट ट्रिगर करण्यासाठी WLC ज्या HTTP विनंतीला अडवते, ती विनंती करण्यापूर्वी क्लायंटने DNS द्वारे डोमेन नाव रिझॉल्व्ह करणे आवश्यक आहे. आधुनिक OS Captive Portal शोध यंत्रणा (Apple चे captive.apple.com, Microsoft चे www.msftconnecttest.com , Google चे connectivitycheck.gstatic.com) या सर्वांना DNS रिझोल्यूशन आवश्यक आहे. सत्यापित करण्यासाठी: WLC वर 'show wireless client detail ' चालवा आणि क्लायंट 'Webauth Pending' स्थितीत असल्याची खात्री करा. त्यानंतर DNS ट्रॅफिक नाकारले जात आहे की नाही हे पाहण्यासाठी ACL हिट काउंटर्सचे पुनरावलोकन करा. वॉल्ड गार्डन ACL मधील व्हिन्यूच्या DNS सर्व्हर IPs साठी UDP पोर्ट ५३ साठी स्पष्ट परवानगी नियम (permit rule) जोडून याचे निवारण करा.
या मालिकेमध्ये पुढे वाचा
CommScope Ruckus चे Purple WiFi सोबत एकत्रीकरण: सेटअप आणि कॉन्फिगरेशन मार्गदर्शिका
हे तांत्रिक संदर्भ मार्गदर्शक Purple WiFi सोबत CommScope Ruckus आर्किटेक्चर समाकलित करण्यासाठी एक अधिकृत कॉन्फिगरेशन प्लेबुक प्रदान करते. यात Guest WiFi Captive Portals, 802.1X द्वारे सुरक्षित Staff WiFi, आणि Ruckus Dynamic PSK वापरून Multi-Tenant नेटवर्क अलगाव (network isolation) साठी चरण-दर-चरण उपयोजनांची तपशीलवार माहिती दिली आहे.
Allied Telesis Access Points चे Purple WiFi सोबत एकत्रीकरण
हे मार्गदर्शक Allied Telesis TQ-Series access points ला Purple WiFi सोबत एकत्रित करण्यासाठी एक सर्वसमावेशक कॉन्फिगरेशन प्लेबुक प्रदान करते. यामध्ये बाह्य Captive Portal रिडायरेक्शन, 802.1X RADIUS ऑथेंटिकेशन आणि सुरक्षित मल्टी-टेनंट डिप्लॉयमेंट्ससाठी Private Pre-Shared Keys (PPSK) वापरून डायनॅमिक VLAN स्टिअरिंग समाविष्ट आहे.
Purple WiFi सोबत Grandstream GWN ऍक्सेस पॉइंट्सचे एकत्रीकरण (Integration)
हे अधिकृत तांत्रिक संदर्भाचे मार्गदर्शक Grandstream GWN ऍक्सेस पॉइंट्सला Purple च्या Guest WiFi आणि ॲनालिटिक्स प्लॅटफॉर्मसह कसे समाकलित करावे हे तपशीलवार स्पष्ट करते. यामध्ये Grandstream Captive Portal कॉन्फिगरेशन, RADIUS AAA सेटिंग्ज, वॉल्ड गार्डन सेटअप, डायनॅमिक VLAN स्टिअरिंगसह सुरक्षित कर्मचारी 802.1X प्रमाणीकरण (Authentication), आणि मल्टी-टेनंट PPSK विभागणी समाविष्ट आहे - जे MSPs आणि IT टीम्सना मोठ्या प्रमाणावर अतिथी आणि कर्मचारी WiFi तैनात करण्यासाठी टप्प्याटप्प्याने कृतीयोग्य मार्गदर्शन प्रदान करते.