मुख्य मजकुराकडे जा

OpenWrt कस्टम फर्मवेअरचे Purple WiFi सोबत इंटिग्रेशन

हे मार्गदर्शक OpenWrt कस्टम फर्मवेअर Purple WiFi सोबत तैनात करण्यासाठी संपूर्ण इंटिग्रेशन प्लेबुक प्रदान करते. यामध्ये CoovaChilli Captive Portal कॉन्फिगरेशन, iptables वॉल्ड गार्डन मॅनेजमेंट, hostapd सह 802.1X सुरक्षित कर्मचारी WiFi आणि डायनॅमिक VLAN असाइनमेंटसह मल्टी-टेनंट PPSK सेगमेंटेशन समाविष्ट आहे - जे IT टीम्सना कोणत्याही OpenWrt-सक्षम हार्डवेअरवर आयडेंटिटी-बेस्ड नेटवर्क तयार करण्यासाठी आवश्यक असलेल्या अचूक कॉन्फिगरेशन पायऱ्या देते.

📖 9 मिनिट वाचन📝 2,146 शब्द🔧 2 सोडवलेली उदाहरणे4 सराव प्रश्न📚 10 महत्वाच्या व्याख्या

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
[0:00 - 1:00] परिचय आणि संदर्भ Purple च्या तांत्रिक ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि पुढील दहा मिनिटांत, आम्ही Purple WiFi सह OpenWrt सानुकूल (custom) फर्मवेअर इंटिग्रेशनचे विश्लेषण करणार आहोत. जर तुम्ही आयटी व्यवस्थापक (IT manager), नेटवर्क आर्किटेक्ट (network architect) किंवा हॉस्पिटॅलिटी, रिटेल किंवा सार्वजनिक-क्षेत्रातील वातावरणात सानुकूल फर्मवेअर तैनात करणारे CTO असाल, तर हे ब्रीफिंग तुमच्यासाठी आहे. आम्ही केवळ तात्विक सिद्धांतांवर चर्चा न करता CoovaChilli कॉन्फिगर करण्यासाठी, 802.1X सह कर्मचारी नेटवर्क सुरक्षित करण्यासाठी आणि Private Pre-Shared Keys चा वापर करून मल्टि-टेनंट वातावरण वेगळे करण्यासाठी अचूक प्लेबुक देणार आहोत. हे महत्त्वाचे का आहे? कारण OpenWrt सारखे सानुकूल फर्मवेअर तैनात केल्याने तुम्हाला कमालीची लवचिकता आणि हार्डवेअर स्वातंत्र्य मिळते. परंतु, एका सुव्यवस्थित, ओळख-आधारित (identity-driven) ॲक्सेस कंट्रोल लेयरशिवाय, ती लवचिकता सुरक्षेची जोखीम बनू शकते. तुम्हाला फर्स्ट-पार्टी डेटा सुरक्षितपणे कॅप्चर करणे, GDPR चे अनुपालन करणे आणि ट्रॅफिकचे सुरक्षितपणे विभाजन करणे आवश्यक आहे. चला तर मग, तांत्रिक सखोल माहिती जाणून घेऊया. [1:00 - 6:00] तांत्रिक सखोल माहिती (Technical Deep-Dive) OpenWrt इंटिग्रेशनचा मुख्य भाग CoovaChilli वर अवलंबून असतो. CoovaChilli हा एक ओपन-सोर्स ॲक्सेस कंट्रोलर आहे जो अनधिकृत क्लायंट ट्रॅफिक रोखतो आणि त्याला Purple Captive Portal कडे पुनर्निर्देशित (redirect) करतो. जेव्हा एखादा अतिथी तुमच्या खुल्या SSID शी जोडला जातो, तेव्हा CoovaChilli द्वारपाल म्हणून काम करतो. तो tun0 इंटरफेसवर चालणाऱ्या स्वतःच्या अंतर्गत DHCP सर्व्हरद्वारे IP पत्ता नियुक्त करतो आणि तुम्ही वॉल्ड गार्डनमध्ये (walled garden) स्पष्टपणे परवानगी दिलेल्या ट्रॅफिकशिवाय इतर सर्व ट्रॅफिक ब्लॉक करतो. जेव्हा अतिथी ब्राउझ करण्याचा प्रयत्न करतो, तेव्हा CoovaChilli HTTP विनंती अडवतो आणि ती Purple च्या स्प्लॅश पृष्ठावर (splash page) पुनर्निर्देशित करतो. येथेच वॉल्ड गार्डन कॉन्फिगरेशन अत्यंत महत्त्वपूर्ण ठरते. तुमच्या chilli.conf फाईलमध्ये, तुम्ही HS_UAMDOMAINS पॅरामीटर परिभाषित करणे आवश्यक आहे. ही अशा डोमेन्सची कॉमाने विभक्त केलेली सूची आहे जिथपर्यंत अतिथी त्यांचे प्रमाणीकरण (authenticate) होण्यापूर्वी पोहोचू शकतात. यामध्ये तुम्ही splash.purple.ai, api.purple.ai आणि आम्ही पोर्टल मालमत्ता सेवा देण्यासाठी वापरत असलेली विविध CDN डोमेन्स समाविष्ट करणे आवश्यक आहे. जर तुमचे एखादे डोमेन चुकले, तर पोर्टल लोड होण्यात अडचण येईल किंवा सोशल लॉगिन बटणे काम करणार नाहीत. हे इतके सोपे आहे. एकदा का अतिथीने Purple पोर्टलवर प्रमाणीकरण पूर्ण केले की, Purple चे क्लाउड RADIUS सर्व्हर UDP पोर्ट १८१२ वर CoovaChilli ला Access-Accept संदेश पाठवते. त्यानंतर CoovaChilli MAC पत्त्याला अधिकृत करतो, त्या सत्रासाठी फायरवॉल नियम उघडतो आणि UDP पोर्ट १८१३ वर अकाउंटिंग डेटा पाठवण्यास सुरवात करतो. अकाउंटिंग हे पर्यायी नाही. याद्वारेच Purple तुमच्या विश्लेषण डॅशबोर्डसाठी (analytics dashboard) सत्र कालावधी (session duration) आणि डेटा वापरावर लक्ष ठेवते. आता, आपण कर्मचाऱ्यांच्या WiFi बद्दल बोलूया. तुम्ही कर्मचाऱ्यांसाठी CoovaChilli वापरत नाही. कर्मचाऱ्यांच्या नेटवर्कसाठी, तुम्ही WPA2-Enterprise किंवा WPA3-Enterprise सोबत hostapd वापरता. हे मानक 802.1X प्रमाणीकरण (authentication) आहे. ॲक्सेस पॉइंट हा ऑथेंटिकेटर म्हणून काम करतो आणि EAP संदेश तुमच्या RADIUS सर्व्हरकडे फॉरवर्ड करतो. कॉर्पोरेट उपकरणांसाठी, तुम्ही EAP-TLS तैनात केले पाहिजे, जे पासवर्डऐवजी डिजिटल प्रमाणपत्रे वापरते. यामुळे क्रेडेंशियलची चोरी पूर्णपणे नाहीशी होते. तुम्ही तुमच्या RADIUS सर्व्हरकडे निर्देश करण्यासाठी hostapd.conf कॉन्फिगर करता आणि RADIUS सर्व्हर त्या विशिष्ट वापरकर्त्यासाठी VLAN असाइनमेंट ठरवतो. यावरून आपण मॉडर्न OpenWrt डिप्लॉयमेंटमधील सर्वात शक्तिशाली वैशिष्ट्यांपैकी एकाकडे येतो: प्रायव्हेट प्री-शेअर्ड की (Private Pre-Shared Keys), किंवा PPSK. एका मल्टी-टेनंट वातावरणात - समजा, भाड्याने देण्याची इमारत किंवा कोवर्कर्सची जागा - तुम्हाला पन्नास वेगवेगळे SSIDs ब्रॉडकास्ट करायचे नसतात. यामुळे तुमच्या एअरटाइम कार्यक्षमतेचे नुकसान होते. त्याऐवजी, तुम्ही एकच SSID ब्रॉडकास्ट करता. जेव्हा एखादे उपकरण कनेक्ट होते, तेव्हा hostapd त्याचे MAC ॲड्रेस RADIUS सर्व्हरला पाठवते. RADIUS सर्व्हर Tunnel-Password ॲट्रिब्यूटचा वापर करून त्या उपकरणासाठी एका विशिष्ट पासफ्रेज आणि विशिष्ट VLAN ID सह प्रतिसाद देतो. याचा अर्थ असा की शॉप A मधील रिटेल कर्मचारी VLAN 10 वर जातो, तर मुख्य हॉलमधील इव्हेंटला उपस्थित असलेला व्यक्ती VLAN 30 वर जातो, आणि हे सर्व एकाच समान SSID ला जोडलेले असतात. हे अत्यंत सुटसुटीत आहे, सहजपणे स्केल होते आणि काठावर (edge) किमान-अधिकार प्रवेश (least-privilege access) लागू करते. [6:00 - 8:00] अंमलबजावणीच्या शिफारसी आणि संभाव्य अडचणी चला अंमलबजावणीबद्दल चर्चा करूया. Purple सह OpenWrt तैनात करताना, तुमची पहिली पायरी नेहमी Purple पोर्टलवरून तुमचे RADIUS क्रेडेंशियल मिळवणे ही असते. तुम्हाला प्रायमरी आणि सेकंडरी RADIUS IP ॲड्रेस, शेअर्ड सिक्रेट आणि पोर्टल URL ची आवश्यकता असते. तुमच्या OpenWrt कॉन्फिगरेशनमध्ये, तुम्ही तुमचा गेस्ट नेटवर्क इंटरफेस - सहसा eth1 किंवा wlan0 - परिभाषित कराल आणि CoovaChilli ला त्याच्याशी बाइंड कराल. तुमच्या chilli.conf मधील HS_RADSECRET हे Purple पोर्टलमध्ये असलेल्या गोष्टीशी तंतोतंत जुळत असल्याची खात्री करा. एका अक्षराचीही विसंगती असल्यास प्रमाणीकरण पूर्णपणे अपयशी ठरेल. सर्वात मोठी अडचण जी आपल्याला दिसते ती म्हणजे प्री-प्रमाणीकरण DNS रिझोल्यूशन (DNS resolution pre-authentication). CoovaChilli हे DNS विनंत्या थांबवते (intercepts). जर तुमच्या अपस्ट्रीम फायरवॉलने OpenWrt राऊटरला बाह्य DNS रिझॉल्व्ह करण्यापासून ब्लॉक केले, तर Captive Portal रीडायरेक्ट अयशस्वी होईल. तुमच्या OpenWrt राऊटरला Google किंवा OpenDNS सारख्या पब्लिक रिझॉल्व्हर्सना विनाअडथळा DNS ॲक्सेस असल्याची खात्री करा. आणखी एक सामान्य समस्या म्हणजे iOS आणि Android मध्ये तयार केलेली Captive Portal शोधणारी यंत्रणा. ॲपलची उपकरणे इंटरनेट कनेक्टिव्हिटी तपासण्यासाठी captive.apple.com शी संपर्क साधतात. जर तुम्ही तुमच्या वॉल्ड गार्डन (walled garden) मध्ये captive.apple.com ला व्हाईटलिस्ट केले, तर त्या उपकरणाला वाटते की त्याच्याकडे इंटरनेट ॲक्सेस आहे आणि ते कॅप्टिव्ह नेटवर्क असिस्टंट पॉप-अप दाखवणार नाही. तुम्हाला स्वयंचलित पॉप-अप हवे असल्यास, ॲपलच्या डोमेन्सना वॉल्ड गार्डनच्या बाहेर ठेवा. [8:00 - 9:00] जलद प्रश्नोत्तरे चला एक जलद प्रश्न आणि उत्तरांची फेरी घेऊया. प्रश्न पहिला: मी एकाच OpenWrt ॲक्सेस पॉइंटवर CoovaChilli आणि hostapd 802.1X चालवू शकतो का? होय. तुम्ही तुमच्या गेस्ट SSID इंटरफेसवर CoovaChilli बाइंड करता आणि तुमच्या स्टाफ SSID इंटरफेसवर 802.1X सह hostapd कॉन्फिगर करता. ते स्वतंत्रपणे काम करतात. प्रश्न दोन: OpenWrt सोबत Purple डायनॅमिक VLAN असाइनमेंटला सपोर्ट करते का? होय. Purple चे RADIUS सर्व्हर्स Tunnel-Type, Tunnel-Medium-Type, आणि Tunnel-Private-Group-ID यांसारखे स्टँडर्ड RADIUS ॲट्रिब्युट्स परत पाठवू शकतात, ज्यामुळे OpenWrt ला ऑथेंटिकेट केलेल्या युझरला विशिष्ट VLAN वर पाठवण्याचे निर्देश मिळतात. प्रश्न तीन: जर OpenWrt राउटरचा Purple RADIUS सर्व्हरशी संपर्क तुटला तर काय होईल? CoovaChilli नवीन सेशन्स ऑथेंटिकेट करू शकणार नाही. आधीपासून अधिकृत असलेले सेशन्स त्यांचा सेशन टाईमआऊट संपेपर्यंत ॲक्टिव्ह राहतील. हाय अव्हेलेबिलिटी सुनिश्चित करण्यासाठी नेहमी दुय्यम (secondary) Purple RADIUS सर्व्हर कॉन्फिगर करा. [9:00 - 10:00] सारांश आणि पुढील पावले थोडक्यात सांगायचे तर: OpenWrt एंटरप्राइझ WiFi साठी एक मजबूत, हार्डवेअर-अज्ञेयवादी (hardware-agnostic) प्लॅटफॉर्म प्रदान करते. गेस्ट ॲक्सेससाठी CoovaChilli आणि सुरक्षित स्टाफ व मल्टी-टेनंट PPSK साठी hostapd समाविष्ट करून, तुम्ही एक आयडेंटिटी-बेस्ड नेटवर्क तयार करता. Purple हे RADIUS इन्फ्रास्ट्रक्चरची गुंतागुंत सुलभ करते आणि क्लाउड-मॅनेज्ड पोर्टल प्रदान करते जे फर्स्ट-पार्टी डेटा गोळा करते आणि नियमांचे पालन (compliance) सुनिश्चित करते. तुमचे पुढील पाऊल म्हणजे तुमच्या सध्याच्या कस्टम फर्मवेअर डिप्लॉयमेंट्सचे ऑडिट करणे. तुमचे वल्ड गार्डन्स (walled gardens) पूर्णपणे कॉन्फिगर केलेले आहेत याची खात्री करा, तुमचे RADIUS अकाउंटिंग इंटरव्हल्स तपासा आणि शेअर्ड PSKs कडून डायनॅमिक PPSK सेगमेंटेशनकडे स्थलांतरित होण्याचे नियोजन सुरू करा. Purple टेक्निकल ब्रीफिंग ऐकल्याबद्दल धन्यवाद. Purple तुमच्या गेस्ट WiFi ला कसे सुरक्षित आणि मॉनिटाइज करू शकते याबद्दल अधिक जाणून घेण्यासाठी, purple.ai ला भेट द्या. पुन्हा भेटूया.

header_image.png

कार्यकारी सारांश (Executive summary)

OpenWrt हे अशा IT टीम्ससाठी पसंतीचे फर्मवेअर आहे ज्यांना एंटरप्राइझ-ग्रेड नियंत्रण न गमावता हार्डवेअर स्वातंत्र्याची आवश्यकता असते. हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील ठिकाणांवर तैनात केलेले, हे पूर्णपणे कॉन्फिगर करण्यायोग्य Linux-आधारित नेटवर्क स्टॅक प्रदान करते. परंतु डीफॉल्ट स्वरूपात, OpenWrt एक कोरा कॅनव्हास आहे. संरचित ओळख स्तराशिवाय (identity layer), अतिथी नेटवर्क्स व्यवस्थापित करणे कठीण होते, कर्मचारी नेटवर्क्स असुरक्षित राहतात आणि मल्टी-टेनंट वातावरण एकाच सपाट नेटवर्कमध्ये संकुचित होते.

हे मार्गदर्शक OpenWrt ला Purple च्या क्लाउड RADIUS आणि Captive Portal प्लॅटफॉर्मशी जोडण्यासाठी निश्चित एकत्रीकरण प्लेबुक प्रदान करते. आम्ही चार वेगवेगळ्या उपयोजन परिस्थिती कव्हर करतो: CoovaChilli वापरून अतिथी Captive Portal पुनर्निर्देशन (redirection), iptables वॉल्ड गार्डन कॉन्फिगरेशन, hostapd आणि IEEE 802.1X वापरून सुरक्षित कर्मचारी WiFi, आणि डायनॅमिक VLAN असाइनमेंटसह प्रायव्हेट प्री-शेअर्ड की (PPSK) वापरून मल्टी-टेनंट सेगमेंटेशन. शेवटी, तुमच्याकडे कोणत्याही OpenWrt-सक्षम हार्डवेअरवर उत्पादन-तयार, GDPR-सुसंगत, ओळख-चालित नेटवर्क तैनात करण्यासाठी अचूक कॉन्फिगरेशन पॅरामीटर्स, सामान्य त्रुटींचे प्रकार आणि निर्णय घेण्याची फ्रेमवर्क असेल.

Purple हे ८०,०००+ हून अधिक लाइव्ह ठिकाणी कार्यरत आहे आणि २०२४ मध्ये ४४० दशलक्ष लॉगिन प्रक्रियेतून गेले आहेत (Purple अंतर्गत डेटा, २०२४). येथे वर्णन केलेले आर्किटेक्चर हेच हॉस्पिटॅलिटी चेन्स, रिटेल इस्टेट्स आणि ट्रान्सपोर्ट हबमध्ये मोठ्या प्रमाणावर तैनात केलेले आहे.

तांत्रिक सखोल विश्लेषण (Technical deep-dive)

CoovaChilli captive portal आर्किटेक्चर

OpenWrt वर Guest WiFi तैनात करताना, CoovaChilli हे उद्योग-मानक ॲक्सेस कंट्रोलर आहे. हे एक Captive Portal डिमन म्हणून कार्य करते जे अनधिकृत क्लायंट ट्रॅफिक अडवते, tun0 व्हर्च्युअल इंटरफेसवरील त्याच्या अंतर्गत DHCP सर्व्हरद्वारे IP पत्ते प्रदान करते, आणि थेट व्यवस्थापित करत असलेल्या iptables नियमांचा वापर करून वॉल्ड गार्डन धोरणे लागू करते.

प्रमाणीकरण (authentication) प्रवाह खालीलप्रमाणे कार्य करतो. अतिथी डिव्हाइस ओपन SSID शी जोडले जाते. CoovaChilli डिव्हाइसला त्याच्या अंतर्गत पूल मधून (सहसा 10.1.0.0/24) एक IP पत्ता नियुक्त करते. जेव्हा डिव्हाइस त्याची पहिली HTTP विनंती पाठवते, तेव्हा CoovaChilli ती अडवते आणि Purple स्प्लॅश पेज URL वर HTTP 302 पुनर्निर्देशन जारी करते. या पूर्व-प्रमाणीकरण (pre-authentication) टप्प्यादरम्यान, डिव्हाइस वेगळे केले जाते - ते केवळ वॉल्ड गार्डनमध्ये स्पष्टपणे सूचीबद्ध केलेल्या डोमेनपर्यंत पोहोचू शकते.

एकदा अतिथीने Purple पोर्टलवर प्रमाणीकरण पूर्ण केले की, Purple चे क्लाउड RADIUS सर्व्हर UDP पोर्ट 1812 वर CoovaChilli ला Access-Accept संदेश पाठवते. त्यानंतर CoovaChilli त्या विशिष्ट MAC पत्त्यासाठी इंटरनेट प्रवेशाची परवानगी देण्यासाठी त्याचे iptables नियम अद्यतनित करते आणि UDP पोर्ट 1813 वर Purple RADIUS अकाउंटिंग सर्व्हरकडे अकाउंटिंग डेटा (सत्र कालावधी, हस्तांतरित केलेले बाईट्स) पाठवू लागते. अकाउंटिंग पर्यायी नाही - हे असे माध्यम आहे ज्याद्वारे Purple तुमच्या WiFi Analytics डॅशबोर्डमध्ये सत्राच्या डेटासह माहिती भरते.

architecture_overview.png

वॉल्ड गार्डन (Walled garden): iptables आणि डोमेन परवानगी सूची

कोणत्याही Captive Portal उपयोजनामध्ये वॉल्ड गार्डन हा सर्वात महत्त्वपूर्ण ऑपरेशनल कॉन्फिगरेशन घटक आहे. CoovaChilli दोन माध्यमांद्वारे वॉल्ड गार्डन व्यवस्थापित करते: वैयक्तिक IP पत्त्यांसाठी uamallowed पॅरामीटर आणि DNS तपासणीसह डोमेन-आधारित परवानगी सूचीसाठी uamdomains पॅरामीटर.

Purple इंटिग्रेशनसाठी, किमान आवश्यक वॉल्ड गार्डन नोंदी खालीलप्रमाणे आहेत:

डोमेन उद्देश
*.purple.ai पोर्टल मालमत्ता, API, आणि प्रमाणीकरण एंडपॉइंट्स
*.googleapis.com Google Fonts आणि Google Sign-In
*.gstatic.com Google कनेक्टिव्हिटी तपासणी आणि स्थिर मालमत्ता
*.facebook.com Facebook Login API
*.fbcdn.net लॉगिन मालमत्तेसाठी Facebook CDN
captive.apple.com Apple CNA शोध (खालील टीप पहा)
connectivitycheck.gstatic.com Android Captive Portal शोध

Apple CNA व्यवस्थापनावर टीप: जर तुम्ही वॉल्ड गार्डनमध्ये captive.apple.com समाविष्ट केले, तर iOS डिव्हाइसेस प्रमाणीकरणापूर्वी इंटरनेट कनेक्टिव्हिटी शोधतील आणि Captive Network Assistant पॉप-अप दाबून टाकतील (दाखवणार नाहीत). बहुतांश आदरातिथ्य (hospitality) उपयोजने मुद्दाम हे डोमेन वगळतात जेणेकरून स्वयंचलित पोर्टल प्रॉम्प्ट सुरू होईल. योग्य पर्याय तुमच्या अतिथी अनुभवाच्या रचनेवर अवलंबून असतो.

सुरक्षित कर्मचारी WiFi: hostapd आणि IEEE 802.1X

अतिथी नेटवर्कसाठी अडथळा नसलेल्या ऑनबोर्डिंगची आवश्यकता असते. कर्मचारी नेटवर्कसाठी पूर्ण सुरक्षिततेची आवश्यकता असते. अंतर्गत वापरकर्त्यांसाठी, OpenWrt IEEE 802.1X प्रमाणीकरण सुलभ करण्यासाठी hostapd चा वापर करते. या आर्किटेक्चरमध्ये, OpenWrt ॲक्सेस पॉइंट Authenticator म्हणून काम करतो, जे क्लायंट डिव्हाइस (Supplicant) आणि Purple RADIUS सर्व्हर दरम्यान Extensible Authentication Protocol (EAP) संदेश फॉरवर्ड करते.

कॉर्पोरेट डिव्हाइसेससाठी, EAP-TLS हा अनिवार्य मानक आहे. हे परस्पर प्रमाणपत्र प्रमाणीकरणावर अवलंबून असते - सर्व्हर आणि क्लायंट डिव्हाइस दोन्ही डिजिटल प्रमाणपत्रे सादर करतात - ज्यामुळे पासवर्ड आणि संबंधित क्रेडेंशियल चोरी किंवा फिशिंगचे धोके पूर्णपणे नष्ट होतात. संपूर्ण पब्लिक की इन्फ्रास्ट्रक्चर (PKI) साठी अद्याप तयार नसलेल्या वातावरणासाठी, PEAP-MSCHAPv2 वापरकर्ता नाव आणि पासवर्ड क्रेडेंशियलचे संरक्षण करण्यासाठी एनक्रिप्टेड टनेलचा वापर करून एक चांगला अंतरिम पर्याय प्रदान करतो.

जेव्हा एखादा कर्मचारी यशस्वीरित्या ऑथेंटिकेट करतो, तेव्हा RADIUS सर्व्हर ऑथरायझेशन ॲट्रिब्युट्स परत करतो. नेटवर्क सेगमेंटेशनसाठी मुख्य ॲट्रिब्युट Tunnel-Private-Group-ID आहे, जे OpenWrt ला युझरला योग्य VLAN मध्ये डायनॅमिकली असाइन करण्याचे निर्देश देते. आयडेंटिटी-बेस्ड नेटवर्क्स (Identity-Based Networks) मागची हीच यंत्रणा आहे: युझरची ओळख (identity), त्यांचे भौतिक स्थान नाही, त्यांचे नेटवर्क ॲक्सेस ठरवते.

मल्टी-टेनंट सेगमेंटेशन: OpenWrt PPSK कॉन्फिगरेशन

मल्टी-टेनंट वातावरणात - जसे की कोवर्कर्स स्पेसेस, बिल्ड-टू-रेंट (BTR) प्रॉपर्टीज, एकाधिक विक्रेते असलेले रिटेल सेंटर्स किंवा स्वतंत्र स्पॉन्सर झोन असलेले स्टेडियम्स - एकाधिक SSIDs ब्रॉडकास्ट करणे हे ऑपरेशनली खर्चिक आणि RF-अकार्यक्षम असते. प्रत्येक अतिरिक्त SSID मॅनेजमेंट फ्रेम ओव्हरहेड वाढवतो, ज्यामुळे डेटा ट्रॅफिकसाठी उपलब्ध एअरटाइम कमी होतो.

प्रायव्हेट प्री-शेअर्ड की (PPSK), ज्याला कधीकधी डायनॅमिक PSK देखील म्हटले जाते, यावर उपाय शोधतात. तुम्ही एकच SSID ब्रॉडकास्ट करता. जेव्हा एखादे डिव्हाइस कनेक्ट करण्याचा प्रयत्न करते, तेव्हा hostapd प्रमाणित Access-Request द्वारे डिव्हाइसचा MAC ॲड्रेस RADIUS सर्व्हरकडे पाठवते. RADIUS सर्व्हर त्याच्या डेटाबेसमध्ये MAC ॲड्रेसची पडताळणी करतो आणि दोन महत्त्वपूर्ण ॲट्रिब्युट्स असलेले Access-Accept परत करतो: Tunnel-Password ॲट्रिब्युट (त्या डिव्हाइससाठी युनिक पासफ्रेज) आणि Tunnel-Private-Group-ID ॲट्रिब्युट (VLAN असाइनमेंट). डिव्हाइस त्याच्या युनिक पासफ्रेजचा वापर करून कनेक्ट होते आणि थेट त्याच्या नियुक्त केलेल्या VLAN वर जाते.

याचा अर्थ असा आहे की एखादा रिटेल मॅनेजर आणि इव्हेंटला आलेला व्यक्ती एकाच SSID शी कनेक्ट होऊ शकतात परंतु त्यांच्या युनिक ओळखीच्या आधारावर पूर्णपणे वेगळ्या, आयसोलेटेड नेटवर्क्सवर राउट केले जाऊ शकतात.

ppsk_multitenant_diagram.png

इम्प्लीमेंटेशन गाईड

पायरी १: Purple RADIUS क्रेडेंशियल्स मिळवा

OpenWrt कॉन्फिगरेशनला हात लावण्यापूर्वी, Purple पोर्टल ॲडमिन कन्सोलमधून खालील गोष्टी मिळवा:

  • प्रायमरी RADIUS सर्व्हर IP ॲड्रेस
  • सेकंडरी RADIUS सर्व्हर IP ॲड्रेस (फेलओव्हरसाठी)
  • RADIUS शेअर्ड सिक्रेट (Shared Secret)
  • Captive Portal Splash Page URL
  • पोस्ट-ऑथेंटिकेशन रिडायरेक्ट URL

पायरी २: गेस्ट WiFi साठी CoovaChilli इंस्टॉल आणि कॉन्फिगर करा

opkg द्वारे coova-chilli पॅकेज इंस्टॉल करा:

opkg update && opkg install coova-chilli

मुख्य कॉन्फिगरेशन फाईल /etc/chilli/defaults ही आहे. मुख्य नेटवर्क पॅरामीटर्स परिभाषित करा:

# Network interfaces
HS_WANIF=eth0           # Upstream internet interface
HS_LANIF=wlan0          # The guest WiFi interface (or a VLAN sub-interface)

# Guest subnet
HS_NETWORK=10.10.20.0
HS_NETMASK=255.255.255.0
HS_UAMLISTEN=10.10.20.1 # CoovaChilli's IP on the guest network
HS_UAMPORT=3990

# Purple RADIUS integration
HS_RADIUS=
HS_RADIUS2=
HS_RADSECRET=
HS_NASID=venue-openwrt-01

# Purple splash page
HS_UAMSERVER=

# Walled garden - domain-based allowlisting
HS_UAMDOMAINS=".purple.ai,.googleapis.com,.gstatic.com,.facebook.com,.fbcdn.net"

सर्व्हिस सुरू आणि सक्रिय करा:

/etc/init.d/chilli enable
/etc/init.d/chilli start

पायरी 3: गेस्ट SSID साठी OpenWrt वायरलेस इंटरफेस कॉन्फिगर करा

/etc/config/wireless मध्ये, गेस्ट SSID ला CoovaChilli व्यवस्थापित करत असलेल्या इंटरफेसशी बांधील असलेले ओपन नेटवर्क म्हणून परिभाषित करा:

config wifi-iface 'guest_wifi'
    option device 'radio0'
    option network 'guest'
    option mode 'ap'
    option ssid 'Venue_Guest'
    option encryption 'none'
    option isolate '1'

क्लायंट आयसोलेशन (isolate '1') गेस्ट डिव्हाइसेसना एकमेकांशी संवाद साधण्यापासून रोखते - कोणत्याही सामायिक नेटवर्कसाठी हे एक अनिवार्य सुरक्षा नियंत्रण आहे.

पायरी 4: 802.1X स्टाफ WiFi साठी hostapd कॉन्फिगर करा

स्टाफ SSID साठी, /etc/config/wireless मध्ये WPA2-Enterprise कॉन्फिगर करा:

config wifi-iface 'staff_wifi'
    option device 'radio0'
    option network 'staff_vlan10'
    option mode 'ap'
    option ssid 'Venue_Staff'
    option encryption 'wpa2'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option vlan_bridge 'br-vlan'
    option vlan_naming '0'

dynamic_vlan '2' सेट केल्याने hostapd ला RADIUS सर्व्हरद्वारे परत केलेले VLAN असाइनमेंट लागू करण्याचे आणि कोणतेही VLAN परत न आल्यास प्रमाणीकरण नाकारण्याचे निर्देश मिळतात.

पॅकेज आवश्यकता: मानक wpad-mini पॅकेज WPA2-Enterprise ला सपोर्ट करत नाही. तुम्ही wpad किंवा wpad-openssl इंस्टॉल करणे आवश्यक आहे:

opkg remove wpad-mini && opkg install wpad-openssl

पायरी 5: मल्टी-टेनंट सेगमेंटेशनसाठी PPSK कॉन्फिगर करा

PPSK ला RADIUS सर्व्हरच्या विरोधात MAC ॲड्रेस प्रमाणीकरण करण्यासाठी hostapd ची आवश्यकता असते, जे नंतर प्रति-डिव्हाइस पासफ्रेज परत करते. /etc/config/wireless मध्ये:

config wifi-iface 'ppsk_ssid'
    option device 'radio0'
    option mode 'ap'
    option ssid 'Venue_Connect'
    option encryption 'psk2'
    option key 'default_fallback_key'
    option macfilter 'radius'
    option server ''
    option port '1812'
    option key ''
    option dynamic_vlan '2'
    option vlan_tagged_interface 'eth0'
    option wpa_psk_radius '2'

wpa_psk_radius '2' पॅरामीटर hostapd ला RADIUS प्रतिसादातून Tunnel-Password विशेषता आवश्यक असल्याचे निर्देश देतो. जर RADIUS सर्व्हरने पासफ्रेज परत केला नाही, तर प्रमाणीकरण नाकारले जाते.

Purple RADIUS बाजूला, तुमच्या FreeRADIUS कॉन्फिगरेशनचा (किंवा समतुल्य) authorize विभाग MAC ॲड्रेसेसना पासफ्रेज आणि VLAN IDs शी मॅप करतो:

# PPSK साठी RADIUS ऑथोराईझ एन्ट्रीचे उदाहरण
AA:BB:CC:DD:EE:FF   Auth-Type := Accept
    Tunnel-Password = "GuestPass2024",
    Tunnel-Type = VLAN,
    Tunnel-Medium-Type = IEEE-802,
    Tunnel-Private-Group-ID = "20"

पायरी 6: डायनॅमिक VLAN असाइनमेंट कॉन्फिगर करा

डायनॅमिक VLAN असाइनमेंट कार्य करण्यासाठी, तुमचे OpenWrt स्विच कोर स्विचशी जोडणाऱ्या ट्रंक पोर्टवर संबंधित VLANs टॅग केलेले ट्रॅफिक म्हणून वाहून नेण्यासाठी कॉन्फिगर केलेले असणे आवश्यक आहे. /etc/config/network मध्ये:

config interface 'vlan10'
    option ifname 'eth0.10'
    option proto 'dhcp'

config interface 'vlan20'
    option ifname 'eth0.20'
    option proto 'dhcp'

config interface 'vlan30'
    option ifname 'eth0.30'
    option proto 'dhcp'

तुमचे कोर स्विच पोर्ट ट्रंक म्हणून कॉन्फिगर केले असल्याची खात्री करा, जे VLANs 10, 20 आणि 30 टॅग केलेले पाठवेल.

सर्वोत्तम पद्धती

पूर्णपणे नेटवर्क अलगाव (Absolute network segregation). गेस्ट इंटरफेसेसना अंतर्गत नेटवर्कशी कधीही ब्रिज करू नका. गेस्ट ट्रॅफिक समर्पित VLAN वर वेगळे केले पाहिजे आणि थेट इंटरनेट फायरवॉलकडे पाठवले पाहिजे. PCI DSS 4.0 चे पालन करण्यासाठी ही एक अनिवार्य आवश्यकता आहे, ज्यामध्ये अशी तरतूद आहे की गेस्ट WiFi नेटवर्क्स कार्डधारक डेटा हाताळणाऱ्या कोणत्याही नेटवर्क सेगमेंटपासून पूर्णपणे वेगळे असावेत.

अचूक वॉल्ड गार्डन (Walled garden precision). अपूर्ण वॉल्ड गार्डन हे Captive Portal अयशस्वी होण्याचे मुख्य कारण आहे. गेस्ट SSID शी कनेक्ट केलेल्या चाचणी डिव्हाइसवर तुमच्या ब्राउझरचे डेव्हलपर टूल्स वापरा, जेणेकरून प्रमाणीकरणापूर्वी कोणते रिक्वेस्ट्स ब्लॉक केले जात आहेत हे ओळखता येईल. प्रत्येक ब्लॉक केलेले डोमेन हे पोर्टल अयशस्वी होण्याचे संभाव्य कारण असू शकते.

RADIUS अकाउंटिंग अंतराळ (RADIUS accounting intervals). CoovaChilli अकाउंटिंग अंतर १२० सेकंदांवर कॉन्फिगर करा. यामुळे अतिरिक्त RADIUS ट्रॅफिक निर्माण न करता Purple ॲनालिटिक्स डॅशबोर्डमध्ये रिअल-टाइमच्या जवळचा सेशन डेटा मिळतो.

दुय्यम RADIUS सर्व्हर. तुमच्या CoovaChilli कॉन्फिगरेशनमध्ये नेहमी HS_RADIUS2 कॉन्फिगर करा. मुख्य Purple RADIUS सर्व्हर अनुपलब्ध असल्यास, CoovaChilli नवीन सेशन्स प्रमाणित करू शकणार नाही. दुय्यम सर्व्हर ॲक्सेस पॉइंटवर कोणत्याही कॉन्फिगरेशन बदलाशिवाय स्वयंचलित फेलओव्हर प्रदान करतो.

पॅकेज निवड. बऱ्याच OpenWrt बिल्ड्ससह येणारे wpad-mini पॅकेज WPA2-Enterprise किंवा डायनॅमिक VLAN असाइनमेंटला सपोर्ट करत नाही. 802.1X किंवा PPSK आवश्यक असणाऱ्या कोणत्याही उपयोजनासाठी (deployment) नेहमी wpad-openssl इंस्टॉल करा.

एंटरप्राइझ WiFi सुरक्षा आर्किटेक्चरवरील अधिक मार्गदर्शनासाठी, आमचे Enterprise WiFi Security: A Complete Guide for 2026 पहा.

त्रुटी निवारण आणि जोखीम निवारण

लक्षण संभाव्य कारण उपाय
रिडायरेक्शननंतर पोर्टल लोड होत नाही अपूर्ण वॉल्ड गार्डन गहाळ असलेले CDN/API डोमेन्स HS_UAMDOMAINS मध्ये जोडा
प्रमाणीकरण न सांगता अयशस्वी होते RADIUS सामायिक सिक्रेट विसंगती HS_RADSECRET हे CoovaChilli आणि Purple पोर्टल दोन्हीमध्ये अचूक जुळत असल्याची खात्री करा
Purple ॲनालिटिक्समध्ये डेटा नाही RADIUS अकाउंटिंग ब्लॉक केले आहे आउटबाउंड UDP 1813 ला परवानगी असल्याची खात्री करा; HS_RADIUS2 अकाउंटिंग कॉन्फिगरेशन तपासा
iOS वर पोर्टल पॉप-अप दिसत नाही वॉल्ड गार्डनमध्ये captive.apple.com आहे HS_UAMDOMAINS मधून Apple डिटेक्शन डोमेन्स काढा
PPSK क्लायंट चुकीच्या VLAN वर जातात vlan_tagged_interface चुकीचे कॉन्फिगर केले आहे OpenWrt आणि कोर स्विच दोन्हीवर ट्रंक पोर्ट कॉन्फिगरेशन तपासा
wpad त्रुटीसह 802.1X प्रमाणीकरण अयशस्वी wpad-mini इंस्टॉल केलेले आहे wpad-mini काढा, wpad-openssl इंस्टॉल करा
Dynamic VLAN fails on ath10k Known driver issue in older builds Update to OpenWrt 21.02 or later; use non-CT ath10k firmware

GDPR अनुपालन नोंद: CoovaChilli स्वतः वैयक्तिक डेटा गोळा किंवा स्टोअर करत नाही. सर्व संमती मिळवणे, डेटा प्रक्रिया करणे आणि GDPR अनुपालन यंत्रणा पोर्टल लेयरवर Purple प्लॅटफॉर्मद्वारे हाताळल्या जातात. लाइव्ह जाण्यापूर्वी तुमचे Purple पोर्टल तुमच्या वेन्यूच्या अटी व शर्ती आणि डेटा प्रोसेसिंग नोटीससह कॉन्फिगर केले असल्याची खात्री करा.

संबंधित हार्डवेअर इंटिग्रेशन पॅटर्नसाठी, आमचे EnGenius Cloud Access Points Integration with Purple WiFi आणि DrayTek Vigor Routers and Access Points Integration with Purple WiFi वरील मार्गदर्शक पहा.

ROI आणि व्यावसायिक प्रभाव

बेसिक PSK नेटवर्कवरून Purple-व्यवस्थापित OpenWrt आर्किटेक्चरवर स्थलांतरित केल्याने तीन आयामांमध्ये मोजण्यायोग्य प्रभाव दिसून येतो.

डेटा कॅप्चर आणि मार्केटिंग. Captive Portal ऑथेंटिकेशन लागू करून, वेन्यू WiFi कनेक्शनच्या वेळी सुसंगत, फर्स्ट-पार्टी डेमोग्राफिक डेटा - नावे, ईमेल पत्ते, सोशल प्रोफाइल - कॅप्चर करतात. हा डेटा थेट CRM आणि ईमेल मार्केटिंग प्लॅटफॉर्मवर पाठवला जातो, ज्यामुळे लॉयल्टी प्रोग्राम साइन-अप वाढतात आणि लक्ष्यित मोहिमा सक्षम होतात. Purple ने 2024 मध्ये 440 दशलक्ष लॉगिनवर प्रक्रिया केली आहे (Purple अंतर्गत डेटा), जे नेटवर्क एजवर शक्य असलेल्या फर्स्ट-पार्टी डेटा कॅप्चरचे प्रमाण दर्शवते.

ऑपरेशनल कार्यक्षमता. PPSK लागू केल्याने SSID ओव्हरहेड कमी होतो, ज्यामुळे दाट वातावरणात WiFi कामगिरी सुधारते. 200-लोकेशन असलेल्या रिटेल चेनसाठी, प्रत्येक साइटवर स्थानिक राउटर कॉन्फिगरेशन अपडेट करण्याऐवजी - Purple च्या क्लाउड RADIUS द्वारे मध्यवर्ती पद्धतीने ओळख व्यवस्थापित केल्याने - दरवर्षी शेकडो इंजिनिअरिंग तास वाचतात. एकच RADIUS पॉलिसी बदल सर्व 200 ठिकाणी त्वरित लागू होतो.

सुरक्षा आणि अनुपालन. डायनॅमिक VLAN असाइनमेंट एजवर सर्वात कमी-विशेषाधिकार प्रवेश (least-privilege access) लागू करते. कर्मचारी पाहुण्यांपासून वेगळे केले जातात. IoT डिव्हाइसेस कर्मचाऱ्यांपासून वेगळे केले जातात. POS टर्मिनल्स इतर सर्व ट्रॅफिकपासून वेगळे केले जातात. हे वर्गीकरण PCI DSS 4.0 नेटवर्क आयसोलेशन आवश्यकता पूर्ण करते आणि GDPR अनुपालन पुनरावलोकनांसाठी स्पष्ट, ऑडिट करण्यायोग्य नेटवर्क टोपोलॉजी प्रदान करते.

विशिष्ट क्षेत्रांतील डिप्लॉयमेंट पॅटर्नसाठी, आमचे Retail , Hospitality , Healthcare , आणि Transport वातावरणासाठीचे मार्गदर्शक पहा. वेन्यू डिप्लॉयमेंटमधील पूरक वायरलेस तंत्रज्ञान समजून घेण्यासाठी तुम्हाला आमचे What Is Wireless Display: Protocols & Best Practices 2026 वरील मार्गदर्शक देखील उपयुक्त वाटू शकते.

महत्वाच्या व्याख्या

CoovaChilli

एक ओपन-सोर्स सॉफ्टवेअर ॲक्सेस कंट्रोलर जो वायरलेस नेटवर्क्ससाठी Captive Portal आणि वॉल-गार्डन वातावरण प्रदान करतो, ज्यामध्ये प्रमाणीकरण आणि अकाउंटिंगसाठी RADIUS चा वापर केला जातो.

अतिथी HTTP ट्रॅफिक अडवण्यासाठी आणि त्यांना Purple च्या स्प्लॅश पेजवर रिडायरेक्ट करण्यासाठी IT टीम्स OpenWrt वर CoovaChilli उपयोजित करतात. हे वॉल गार्डन लागू करणाऱ्या आणि प्रमाणीकरणानंतर इंटरनेट प्रवेश देणाऱ्या iptables नियमांचे व्यवस्थापन करते.

Walled garden

IP पत्त्यांची किंवा डोमेन्सची एक कठोर परवानगी यादी (allowlist), ज्यामध्ये अप्रमाणित युझर Captive Portal प्रमाणीकरण पूर्ण करण्यापूर्वी प्रवेश करू शकतो.

सामान्य इंटरनेट प्रवेश ब्लॉक करत असताना, अतिथी डिव्हाइसेसना Purple पोर्टल ग्राफिक्स लोड करण्याची आणि सोशल मीडिया लॉगिन API पर्यंत पोहोचण्याची परवानगी देण्यासाठी हे अत्यंत आवश्यक आहे. Captive Portal अपयशाचे सर्वात सामान्य कारण म्हणजे अपूर्ण वॉल गार्डन हे असते.

PPSK (Private Pre-Shared Key)

एक सुरक्षा यंत्रणा जिथे एकाच WiFi SSID साठी वैयक्तिक युझर्स किंवा डिव्हाइसेसना युनिक पासफ्रेजेस नियुक्त केले जातात, ज्यामध्ये RADIUS प्रत्येक डिव्हाइसच्या MAC पत्त्यानुसार अचूक पासफ्रेज आणि VLAN असाइनमेंट परत पाठवतो.

एकाधिक SSIDs प्रसारित न करता मल्टी-टेनंट वातावरणाचे वर्गीकरण करण्यासाठी वापरले जाते. OpenWrt मध्ये hostapd मधील wpa_psk_radius पॅरामीटरद्वारे समर्थित आहे.

Dynamic VLAN assignment

अशी प्रक्रिया जिथे RADIUS सर्व्हर ॲक्सेस पॉईंटला विशिष्ट प्रमाणित युझरला विशिष्ट व्हर्च्युअल LAN वर ठेवण्याची सूचना देतो, यासाठी Tunnel-Type, Tunnel-Medium-Type, आणि Tunnel-Private-Group-ID RADIUS ॲट्रिब्युट्सचा वापर केला जातो.

आयडेंटिटी-बेस्ड नेटवर्क्ससाठी मुख्य यंत्रणा. युझरचे फिजिकल पोर्ट नसून, त्याची ओळख त्याचे नेटवर्क सेगमेंट आणि प्रवेश हक्क निर्धारित करते.

IEEE 802.1X

पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठीचा IEEE मानक, जो एंटरप्राइझ WiFi प्रमाणीकरणामध्ये Authenticator (ॲक्सेस पॉईंट), Supplicant (क्लायंट डिव्हाइस), आणि Authentication Server (RADIUS) च्या भूमिका परिभाषित करतो.

OpenWrt वर सुरक्षित कर्मचारी WiFi साठीची मूळ प्रोटोकॉल प्रणाली. यासाठी पूर्ण wpad किंवा wpad-openssl पॅकेज आवश्यक आहे - wpad-mini याला सपोर्ट करत नाही.

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

एक 802.1X प्रमाणीकरण पद्धत जी परस्पर प्रमाणपत्र-आधारित प्रमाणीकरण वापरते, ज्यासाठी RADIUS सर्व्हर आणि क्लायंट डिव्हाइस दोन्हीकडे वैध डिजिटल प्रमाणपत्रे सादर करणे आवश्यक असते.

कॉर्पोरेट डिव्हाइस प्रमाणीकरणासाठी सर्वोत्तम मानक. पासवर्डची गरज पूर्णपणे काढून टाकते, ज्यामुळे क्रेडेंशियल चोरी आणि फिशिंग हल्ले निकामी होतात. क्लायंट सर्टिफिकेट्स जारी करण्यासाठी PKI इन्फ्रास्ट्रक्चर आवश्यक आहे.

Captive Network Assistant (CNA)

एक छद्म-ब्राउझर (pseudo-browser) जो iOS आणि Android डिव्हाइसेस विशिष्ट शोध URLs च्या तपासणीच्या आधारे, ते Captive Portal च्या मागे असल्याचे ओळखल्यावर स्वयंचलितपणे प्रदर्शित करतात.

CNA स्वयंचलितपणे ट्रिगर होईल की नाही हे नियंत्रित करण्यासाठी नेटवर्क इंजिनिअर्सनी त्यांच्या वॉल गार्डन्सचे काळजीपूर्वक व्यवस्थापन केले पाहिजे. बऱ्याच हॉस्पिटॅलिटी उपयोजनांमध्ये Apple आणि Google च्या शोध डोमेन्सना वगळले जाते जेणेकरून CNA पॉप-अप सक्तीने दाखवता येईल.

RADIUS accounting

AAA (Authentication, Authorization, Accounting) फ्रेमवर्कचा तिसरा आधारस्तंभ, जो UDP पोर्ट 1813 वर सेशन सुरू होणे, अंतरिम अपडेट्स आणि सेशन थांबवण्याच्या इव्हेंट्सची नोंद ठेवून नेटवर्क रिसोर्सच्या वापराचा मागोवा घेतो.

सेशनचा कालावधी आणि बँडविड्थ डेटासह ॲनालिटिक्स डॅशबोर्ड भरण्यासाठी Purple ला याची आवश्यकता असते. CoovaChilli मध्ये HS_RADIUS2 आणि radiusacctport पॅरामीटरद्वारे कॉन्फिगर केले जाते.

hostapd

वायरलेस इंटरफेसचे व्यवस्थापन करण्यासाठी OpenWrt द्वारे वापरला जाणारा ओपन-सोर्स IEEE 802.11 ॲक्सेस पॉईंट डेमन, जो WPA2/WPA3-Enterprise, 802.1X, आणि PPSK प्रमाणीकरण मोड्सना सपोर्ट करतो.

OpenWrt वरील कर्मचारी आणि PPSK WiFi साठीचा मुख्य डेमन (daemon). wpad-openssl पॅकेज एंटरप्राइझ प्रमाणीकरणासाठी आवश्यक असलेले पूर्ण-वैशिष्ट्यीकृत hostapd बिल्ड प्रदान करते.

Tunnel-Password attribute

PPSK उपयोजनांमध्ये MAC प्रमाणीकरणादरम्यान RADIUS सर्व्हरकडून ॲक्सेस पॉईंटवर प्रति-डिव्हाइस पासफ्रेज परत पाठवण्यासाठी वापरला जाणारा एक RADIUS ॲट्रिब्युट (ॲट्रिब्युट 69).

अशी यंत्रणा ज्याद्वारे Purple चा RADIUS सर्व्हर PPSK-आधारित मल्टी-टेनंट वर्गीकरणासाठी OpenWrt च्या hostapd डेमनला युनिक PSKs वितरीत करतो.

सोडवलेली उदाहरणे

२०० खोल्यांच्या हॉटेलला स्तरांनुसार WiFi ॲक्सेस प्रदान करायचा आहे: पाहुण्यांसाठी विनामूल्य मूलभूत इंटरनेट, लॉयल्टी सदस्यांसाठी हाय-स्पीड ॲक्सेस आणि कर्मचाऱ्यांच्या पॉईंट-ऑफ-सेल (POS) उपकरणांसाठी सुरक्षित ॲक्सेस. IT टीमला SSID ओव्हरहेड कमी करायचा आहे आणि POS टर्मिनल्स आणि पाहुण्यांच्या ट्रॅफिक दरम्यान PCI DSS नेटवर्क आयसोलेशन लागू करायचे आहे.

दोन SSID प्रसारित करणारे OpenWrt ॲक्सेस पॉईंट्स तैनात करा: 'Hotel_Guest' (ओपन, CoovaChilli-मॅनेज्ड) आणि 'Hotel_Secure' (hostapd द्वारे PPSK-मॅनेज्ड). 'Hotel_Guest' वर, CoovaChilli सर्व अन-ऑथेंटिकेटेड ट्रॅफिकला Purple स्प्लॅश पेजवर रिडायरेक्ट करते. पाहुणे पोर्टलद्वारे ऑथेंटिकेट करतात आणि VLAN 20 (केवळ इंटरनेट) वर पोहोचतात. 'Hotel_Secure' वर, wpa_psk_radius=2 सह hostapd कॉन्फिगर करा. जेव्हा एखाद्या लॉयल्टी सदस्याचे डिव्हाइस कनेक्ट होते, तेव्हा RADIUS सर्व्हर त्यांची युनिक PSK आणि VLAN 21 (उच्च बँडविड्थ स्तर) परत करतो. जेव्हा एखादे POS टर्मिनल कनेक्ट होते, तेव्हा RADIUS सर्व्हर POS डिव्हाइस PSK आणि VLAN 10 (अंतर्गत नेटवर्क ॲक्सेस, इंटरनेट ब्लॉक केलेले) परत करतो. VLAN सेगमेंटेशन ॲक्सेस पॉईंट पातळीवर कार्डधारक डेटा (VLAN 10) आणि पाहुण्यांच्या ट्रॅफिक (VLANs 20 आणि 21) दरम्यान PCI DSS आयसोलेशन लागू करते.

परीक्षकाचे भाष्य: ही आर्किटेक्चर Captive Portal फ्लो (पाहुणे) ला PPSK फ्लो (कर्मचारी आणि लॉयल्टी) पासून वेगळे करण्यासाठी एका ऐवजी दोन SSID वापरते. हा योग्य दृष्टिकोन आहे कारण CoovaChilli आणि hostapd PPSK मूलभूतपणे भिन्न ऑथेंटिकेशन मॉडेल्सवर काम करतात. त्यांना एकाच SSID वर एकत्र करण्यासाठी RADIUS प्रॉक्सी कॉन्फिगरेशन आवश्यक आहे जे अनावश्यक गुंतागुंत वाढवते. टू-SSID मॉडेल सोपे, अधिक विश्वासार्ह आणि PCI DSS अनुपालनासाठी ऑडिट करणे सोपे आहे.

एक रिटेल चेन ५० ठिकाणी OpenWrt राउटर रोल आऊट करत आहे. पहिल्या साईटवर UAT दरम्यान, रिडायरेक्ट केल्यानंतर Purple स्प्लॅश पेज योग्यरित्या लोड होते, परंतु फेसबुक लॉगिन बटणावर क्लिक केल्यावर कनेक्शन टाईमआऊट होतो. गुगल साइन-इन बटण योग्यरित्या कार्य करते.

ही समस्या अपूर्ण CoovaChilli वॉल्ड गार्डनमुळे आहे. फेसबुकच्या ऑथेंटिकेशन फ्लोला अनेक डोमेन्सवर ॲक्सेस आवश्यक आहे: facebook.com, connect.facebook.net, आणि fbcdn.net (लॉगिन ॲसेट्ससाठी फेसबुकचे CDN). गुगल साइन-इन कार्य करते कारण googleapis.com आणि gstatic.com आधीच वॉल्ड गार्डनमध्ये आहेत. /etc/chilli/defaults मधील HS_UAMDOMAINS पॅरामीटर अपडेट करून '.facebook.com,.connect.facebook.net,.fbcdn.net' जोडा. '/etc/init.d/chilli restart' सह chilli डेमन रीलोड करा आणि पुन्हा चाचणी घ्या. भविष्यातील वॉल्ड गार्डन समस्यांचे पद्धतशीरपणे निदान करण्यासाठी, चाचणी उपकरणाला पाहुण्यांच्या SSID शी कनेक्ट करा आणि ऑथेंटिकेशनपूर्वी कोणती रिक्वेस्ट कनेक्शन एरर दाखवत आहे हे ओळखण्यासाठी ब्राउझर डेव्हलपर टूल्स (नेटवर्क टॅब) वापरा.

परीक्षकाचे भाष्य: आधुनिक सोशल लॉगिन फ्लो अनेक CDN आणि API डोमेन्सवरून ॲसेट्स लोड करतात. एकटा फेसबुक SDK किमान तीन वेगवेगळ्या डोमेन्सचा संदर्भ देतो. वॉल्ड गार्डन डीबगिंगचा पद्धतशीर दृष्टिकोन - ब्लॉक केलेल्या प्री-ऑथ रिक्वेस्ट्स ओळखण्यासाठी ब्राउझर डेव्हलपर टूल्स वापरणे - डोमेन लिस्टचा अंदाज लावण्यापेक्षा कितीतरी पतीने अधिक विश्वासार्ह आहे. सर्व ५० ठिकाणी गो-लाइव्ह होण्यापूर्वी, इंजिनिअरने प्रत्येक कॉन्फिगर केलेल्या ऑथेंटिकेशन पद्धतीची (फेसबुक, गुगल, ईमेल, एसएमएस) चाचणी घेतली पाहिजे आणि प्रत्येक यशस्वीरित्या पूर्ण झाल्याची पडताळणी केली पाहिजे.

सराव प्रश्न

Q1. तुम्ही एका प्रिमियर इन (Premier Inn) प्रॉपर्टीमध्ये CoovaChilli सह OpenWrt तैनात केले आहे. अतिथी तक्रार करतात की त्यांनी अतिथी WiFi शी कनेक्ट केल्यावर त्यांचे आयफोन्स त्यांना आपोआप लॉगिन करण्यासाठी प्रॉम्प्ट करत नाहीत. पोर्टल ट्रिगर करण्यासाठी त्यांनी मॅन्युअली सफारी उघडून HTTP साईटवर जाणे आवश्यक आहे. कोणते कॉन्फिगरेशन बदल यामुळे होते आणि तुम्ही त्याचे निराकरण कसे कराल?

टीप: नेटवर्कशी कनेक्ट झाल्यावर iOS कडे पूर्ण इंटरनेट ॲक्सेस आहे की नाही हे ते कसे ठरवते याचा विचार करा.

नमुना उत्तर पहा

इंजिनिअरने ऍपलचे कॅप्टिव्ह पोर्टल डिटेक्शन डोमेन (captive.apple.com) HS_UAMDOMAINS द्वारे CoovaChilli च्या वॉल्ड गार्डन (walled garden) मध्ये समाविष्ट केले आहे. जेव्हा आयफोन कनेक्ट होतो, तेव्हा iOS captive.apple.com वर एक प्रोब पाठवते. हे डोमेन वॉल्ड गार्डनमध्ये असल्यामुळे, प्री-ऑथेंटिकेशनच्या वेळी प्रोब यशस्वी होतो आणि iOS असा निष्कर्ष काढते की त्याला पूर्ण इंटरनेट ॲक्सेस आहे - ज्यामुळे Captive Network Assistant पॉप-अप दाबला जातो. याचे निराकरण करण्यासाठी, HS_UAMDOMAINS मधून captive.apple.com काढा आणि chilli डिमन रीस्टार्ट करा. त्यानंतर iOS डिव्हाइसेसना अयशस्वी प्रोब रिस्पॉन्स मिळेल, ते Captive Portal योग्यरित्या ओळखतील आणि लॉगिन प्रॉम्प्ट आपोआप प्रदर्शित होईल.

Q2. एका को-वर्किंग स्पेस ऑपरेटरला त्यांच्या संपूर्ण इस्टेटमध्ये IoT स्मार्ट थर्मोस्टॅट्स तैनात करायचे आहेत. ते आधीपासूनच 'Cowork_Guest' SSID (CoovaChilli) आणि 'Cowork_Staff' SSID (802.1X) ब्रॉडकास्ट करत आहेत. हे थर्मोस्टॅट्स WPA2-Enterprise ला सपोर्ट करत नाहीत. तिसरा SSID न जोडता तुम्ही त्यांना सुरक्षितपणे ऑनबोर्ड कसे कराल?

टीप: IoT डिव्हाइसेस सामान्यत: केवळ WPA2-PSK ला सपोर्ट करतात. प्रति-डिव्हाइस पासफ्रेजेसना सपोर्ट करण्यासाठी कोणत्या विद्यमान SSID चा विस्तार केला जाऊ शकतो याचा विचार करा.

नमुना उत्तर पहा

hostapd कॉन्फिगरेशनमध्ये wpa_psk_radius=2 सक्षम करून 'Cowork_Staff' SSID वर PPSK कॉन्फिगर करा. प्रत्येक थर्मोस्टॅटचा MAC ॲड्रेस Purple RADIUS सर्व्हरमध्ये एक युनिक पासफ्रेज आणि Tunnel-Private-Group-ID म्हणून VLAN 40 (IoT VLAN) सह नोंदणीकृत करा. जेव्हा थर्मोस्टॅट कनेक्ट होतो, तेव्हा hostapd डिव्हाइस MAC सह RADIUS सर्व्हरकडे क्वेरी पाठवते, युनिक PSK आणि VLAN असाइनमेंट प्राप्त करते आणि थर्मोस्टॅटला VLAN 40 वर ठेवते - जे VLAN 10 वरील स्टाफ ट्रॅफिकपासून पूर्णपणे वेगळे असते. हा दृष्टिकोन तिसरा SSID टाळतो, RF कार्यक्षमता राखतो आणि 802.1X सर्टिफिकेट इन्फ्रास्ट्रक्चरची आवश्यकता नसताना IoT डिव्हाइसेससाठी किमान-अधिकार प्रवेश लागू करतो.

Q3. रिटेल ठिकाणी CoovaChilli सह OpenWrt तैनात केल्यानंतर, अतिथी यशस्वीरित्या कनेक्ट होऊन इंटरनेट ब्राउझ करत असूनही, Purple ॲनालिटिक्स डॅशबोर्ड शून्य ॲक्टिव्ह सेशन्स आणि कोणताही बँडविड्थ डेटा दाखवत नाही. याचे सर्वात संभाव्य कारण काय आहे आणि त्याचे निदान करण्यासाठीच्या दोन पायऱ्या कोणत्या आहेत?

टीप: ऑथेंटिकेशन (पोर्ट १८१२) आणि अकाउंटिंग (पोर्ट १८१३) ही स्वतंत्र RADIUS फंक्शन्स आहेत.

नमुना उत्तर पहा

RADIUS अकाउंटिंग कॉन्फिगरेशन एकतर गहाळ आहे किंवा ब्लॉक केले आहे. पायरी १: CoovaChilli कॉन्फिगरेशनची पडताळणी करा. /etc/chilli/defaults मध्ये HS_RADIUS आणि HS_RADIUS2 योग्यरित्या सेट केले आहेत की नाही ते तपासा आणि radiusacctport १८१३ वर सेट असल्याची खात्री करा. जर HS_RADIUS2 कॉन्फिगर केलेले नसेल, तर कोणताही अकाउंटिंग सर्व्हर परिभाषित केलेला नाही. पायरी २: फायरवॉल नियमांची पडताळणी करा. OpenWrt राउटरकडून Purple RADIUS सर्व्हर IP ॲड्रेसकडे जाणारा आउटबाउंड UDP पोर्ट १८१३ ट्रॅफिक त्या ठिकाणच्या एज फायरवॉलद्वारे अनुमत असल्याची खात्री करा. अकाउंटिंग पॅकेट्स पाठवली जात आहेत की नाही याची पुष्टी करण्यासाठी OpenWrt डिव्हाइसवर 'tcpdump -i eth0 udp port 1813' वापरा. जर पॅकेट्स tcpdump मध्ये दिसत असतील परंतु डॅशबोर्ड रिकामाच राहत असेल, तर समस्या ही आहे की फायरवॉल राउटर आणि Purple च्या क्लाउड RADIUS सर्व्हरमधील ट्रॅफिक ब्लॉक करत आहे.

Q4. स्टेडियममधील OpenWrt उपयोजन फॅन WiFi (VLAN ३०), मीडिया (VLAN ४०), आणि ऑपरेशन्स (VLAN ५०) विभागण्यासाठी RADIUS द्वारे डायनॅमिक VLAN असाइनमेंट वापरते. ॲक्सेस पॉइंट्सना ath10k ड्रायव्हर्ससह OpenWrt १९.०७ चालवणाऱ्या नवीन हार्डवेअरवर अपग्रेड केल्यानंतर, VLAN असाइनमेंट काम करणे बंद करते. RADIUS ॲट्रिब्युट्स काहीही असले तरी ऑथेंटिकेटेड युजर्स सर्व डीफॉल्ट VLAN वर जातात. याचे ज्ञात कारण काय आहे?

टीप: ath10k मधील AP/VLAN मोडसाठी ड्रायव्हर-लेव्हल सपोर्टचा विचार करा.

नमुना उत्तर पहा

हा OpenWrt १९.०७ मध्ये समाविष्ट केलेल्या ath10k-ct (Candela Technologies) फर्मवेअरमधील एक ज्ञात रिग्रेशन आहे. या रिलीजमधील ath10k-ct ड्रायव्हरमध्ये एक बग आहे जो AP/VLAN मोड खंडित करतो, ज्यामुळे डायनॅमिक VLAN असाइनमेंट कार्य करण्यापासून प्रतिबंधित होते. याचे निराकरण म्हणजे OpenWrt २१.०२ किंवा नंतरच्या आवृत्तीवर अपग्रेड करणे, जिथे AP/VLAN कार्यक्षमता पुनर्संचयित करण्यासाठी ath10k-ct ड्रायव्हर अपडेट केला गेला होता. पर्यायाने, १९.०७ बिल्डवर ath10k-ct फर्मवेअरला मानक ath10k फर्मवेअरने (नॉन-CT व्हेरिएंट) रिप्लेस करा. या समस्येचा ath9k-आधारित हार्डवेअरवर परिणाम होत नाही, जे सर्व OpenWrt आवृत्त्यांमध्ये AP/VLAN मोड योग्यरित्या हाताळते.

या मालिकेमध्ये पुढे वाचा

CommScope Ruckus चे Purple WiFi सोबत एकत्रीकरण: सेटअप आणि कॉन्फिगरेशन मार्गदर्शिका

हे तांत्रिक संदर्भ मार्गदर्शक Purple WiFi सोबत CommScope Ruckus आर्किटेक्चर समाकलित करण्यासाठी एक अधिकृत कॉन्फिगरेशन प्लेबुक प्रदान करते. यात Guest WiFi Captive Portals, 802.1X द्वारे सुरक्षित Staff WiFi, आणि Ruckus Dynamic PSK वापरून Multi-Tenant नेटवर्क अलगाव (network isolation) साठी चरण-दर-चरण उपयोजनांची तपशीलवार माहिती दिली आहे.

मार्गदर्शिका वाचा →

Allied Telesis Access Points चे Purple WiFi सोबत एकत्रीकरण

हे मार्गदर्शक Allied Telesis TQ-Series access points ला Purple WiFi सोबत एकत्रित करण्यासाठी एक सर्वसमावेशक कॉन्फिगरेशन प्लेबुक प्रदान करते. यामध्ये बाह्य Captive Portal रिडायरेक्शन, 802.1X RADIUS ऑथेंटिकेशन आणि सुरक्षित मल्टी-टेनंट डिप्लॉयमेंट्ससाठी Private Pre-Shared Keys (PPSK) वापरून डायनॅमिक VLAN स्टिअरिंग समाविष्ट आहे.

मार्गदर्शिका वाचा →

Purple WiFi सोबत Grandstream GWN ऍक्सेस पॉइंट्सचे एकत्रीकरण (Integration)

हे अधिकृत तांत्रिक संदर्भाचे मार्गदर्शक Grandstream GWN ऍक्सेस पॉइंट्सला Purple च्या Guest WiFi आणि ॲनालिटिक्स प्लॅटफॉर्मसह कसे समाकलित करावे हे तपशीलवार स्पष्ट करते. यामध्ये Grandstream Captive Portal कॉन्फिगरेशन, RADIUS AAA सेटिंग्ज, वॉल्ड गार्डन सेटअप, डायनॅमिक VLAN स्टिअरिंगसह सुरक्षित कर्मचारी 802.1X प्रमाणीकरण (Authentication), आणि मल्टी-टेनंट PPSK विभागणी समाविष्ट आहे - जे MSPs आणि IT टीम्सना मोठ्या प्रमाणावर अतिथी आणि कर्मचारी WiFi तैनात करण्यासाठी टप्प्याटप्प्याने कृतीयोग्य मार्गदर्शन प्रदान करते.

मार्गदर्शिका वाचा →