मुख्य मजकुराकडे जा
मराठी

Sophos Firewall आणि Access Points चे Purple WiFi सोबत एकत्रीकरण

हे मार्गदर्शक Sophos Firewall (XG/XGS) आणि Sophos AP6/APX access points चे Purple WiFi सोबतच्या तांत्रिक एकत्रीकरणाचा तपशील देते. यामध्ये बाह्य captive portal रिडायरेक्शन, RADIUS ऑथेंटिकेशन आणि अकाउंटिंग कॉन्फिगरेशन, Walled Garden सेटअप, कर्मचाऱ्यांच्या WiFi साठी 802.1X, आणि हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील ठिकाणांवर सुरक्षित मल्टी-टेनंट नेटवर्क विलगतेसाठी Sophos PPSK वापरून डायनॅमिक VLAN असाइनमेंट समाविष्ट आहे.

📖 9 मिनिट वाचन📝 2,208 शब्द🔧 2 सोडवलेली उदाहरणे❓ 4 सराव प्रश्न📚 9 महत्वाच्या व्याख्या

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
Purple आर्किटेक्चर ब्रीफिंगमध्ये आपले स्वागत आहे. आज आपण एंटरप्राइझ नेटवर्कसाठी एका अत्यंत महत्त्वाच्या इंटिग्रेशनचा सखोल अभ्यास करत आहोत: Sophos इन्फ्रास्ट्रक्चर, विशेषतः Sophos AP6 आणि APX ॲक्सेस पॉइंट्स आणि Sophos XG आणि XGS फायरवॉल्ससह Purple WiFi तैनात करणे. जर तुम्ही आयटी मॅनेजर, नेटवर्क आर्किटेक्ट किंवा एखादे ठिकाण व्यवस्थापित करणारे CTO असाल, मग ते रिटेल चेन असो, स्टेडियम असो किंवा हॉस्पिटल असो, हे सेशन तुम्हाला या दोन शक्तिशाली प्लॅटफॉर्म्सना एकत्र अखंडपणे काम करण्यासाठी एक कृतीयोग्य ब्ल्यूप्रिंट देण्यासाठी डिझाइन केले आहे. चला आधी संदर्भ समजून घेऊया. Sophos हे त्याच्या मजबूत सुरक्षा रचनेसाठी ओळखले जाते. Sophos Firewall उपकरणे डीप पॅकेट इन्स्पेक्शन आणि सिंक्रोनाइझ्ड सुरक्षा प्रदान करतात. तथापि, जेव्हा Guest WiFi चा विचार केला जातो, तेव्हा तुम्हाला केवळ सुरक्षा नको असते. तुम्हाला व्यावसायिक मूल्य हवे असते. तुम्हाला डेमोग्राफिक डेटा कॅप्चर करायचा असतो, अभ्यागतांचे वर्तन समजून घ्यायचे असते आणि मार्केटिंगवरील गुंतवणुकीचा परतावा (ROI) वाढवायचा असतो. तिथेच Purple ची भूमिका येते. Purple ला बाह्य Captive Portal म्हणून समाकलित करून, तुम्ही अतिथी ओळख व्यवस्थापन, GDPR संमती आणि सोशल लॉगिनचे कठीण काम Purple च्या क्लाउड RADIUS वर सोपवता, तर Sophos Firewall ला त्याचे सर्वोत्तम काम करू देता: परिमिती सुरक्षित करणे. तर, हे प्रत्यक्षात पडद्यामागे कसे कार्य करते? चला तांत्रिक सखोलतेमध्ये जाऊया. हे आर्किटेक्चर मानक RADIUS प्रोटोकॉल आणि HTTP रिडायरेक्शनवर अवलंबून असते. जेव्हा एखादा वेन्यू युझर Sophos AP द्वारे ब्रॉडकास्ट केलेल्या तुमच्या ओपन Guest WiFi SSID शी जोडला जातो, तेव्हा Sophos Firewall त्या सुरुवातीच्या वेब विनंतीला अडवतो. मूळ, स्थानिक पातळीवर साठवलेले पोर्टल पेज दाखवण्याऐवजी, फायरवॉल क्लायंटला Purple च्या क्लाउड-होस्ट केलेल्या स्पॅश पेजवर रिडायरेक्ट करते. आता, येथे एक महत्त्वाची संकल्पना आहे: Walled Garden. या पूर्व-प्रमाणीकरण (pre-authentication) टप्प्यादरम्यान, युझरला इंटरनेटचा ॲक्सेस नसतो. परंतु त्यांना पोर्टलचे ग्राफिक्स लोड करावे लागतात आणि लॉग इन करण्यासाठी त्यांना Facebook किंवा Google पर्यंत पोहोचावे लागू शकते. Walled Garden ही Sophos Firewall वर कॉन्फिगर केलेली एक कठोर परवानगी सूची (allowlist) आहे जी या विशिष्ट डोमेन्सना ट्रॅफिकची परवानगी देते. एकदा युझरने प्रमाणीकरण केले की, Purple चे प्लॅटफॉर्म Sophos Firewall कडे परत RADIUS Access-Accept संदेश पाठवते. त्यानंतर फायरवॉल स्विच फ्लिप करते, सेशनची स्थिती प्रमाणीकृत (authenticated) मध्ये बदलते आणि युझरला तुमच्या पोस्ट-प्रमाणीकरण फायरवॉल पॉलिसीमध्ये पाठवते. चला RADIUS कॉन्फिगरेशनबद्दल अधिक तपशीलात बोलूया, कारण येथे अचूकता महत्त्वाची आहे. Purple तुम्हाला RADIUS क्रेडेंशियल्सचे दोन संच प्रदान करते: एक पोर्ट 1812 वर प्रमाणीकरणासाठी आणि एक पोर्ट 1813 वर अकाउंटिंगसाठी. दोन्ही कॉन्फिगर करणे आवश्यक आहे. अकाउंटिंग सर्व्हर हा पर्यायी नाही. ही अशी यंत्रणा आहे ज्याद्वारे Sophos Firewall सेशनचा डेटा Purple कडे परत रिपोर्ट करतो, ज्यामध्ये कालावधी, वापरलेली बँडविड्थ आणि सेशन संपल्याच्या इव्हेंट्सचा समावेश असतो. अचूक अकाउंटिंग डेटाशिवाय, तुमचे Purple ॲनालिटिक्स डॅशबोर्ड अपूर्ण किंवा चुकीचे अभ्यागत मेट्रिक्स दर्शवेल. तुमचा अकाउंटिंग अंतरिम कालावधी (interim interval) 120 सेकंदांवर सेट करा. हे रिअल-टाइम दृश्यमानता आणि नेटवर्क ओव्हरहेड यांच्यात चांगला समतोल प्रदान करते. आता आपण अशा एका परिस्थितीबद्दल बोलूया जी एंटरप्राइझ डिप्लॉयमेंटमध्ये सतत समोर येते: मल्टी-टेनंट WiFi. एखाद्या को-वर्किंग स्पेसचा, बिल्ड-टू-रेंट निवासी ब्लॉकचा किंवा विद्यार्थ्यांच्या निवासाच्या इमारतीचा विचार करा. तुमच्याकडे वापरकर्त्यांचे अनेक वेगळे गट आहेत ज्यांना सर्वांना WiFi ॲक्सेसची आवश्यकता आहे, परंतु ते नेटवर्क स्तरावर एकमेकांपासून पूर्णपणे वेगळे असले पाहिजेत. प्रत्येक भाडेकरूसाठी स्वतंत्र SSID ब्रॉडकास्ट करणे व्यवहार्य नाही. यामुळे रेडिओ फ्रिक्वेन्सीमध्ये गर्दी निर्माण होते आणि व्यवस्थापित करणे हे एक कठीण काम बनते. याचे उत्तर आहे Sophos Private Pre-Shared Keys, किंवा PPSK, जे डायनॅमिक VLAN असाइनमेंटसह एकत्रित केले जाते. हे कसे कार्य करते ते येथे आहे. तुम्ही तुमच्या Sophos AP6 ॲक्सेस पॉइंट्सवर एकच SSID कॉन्फिगर करता. त्यानंतर तुम्ही प्रत्येक भाडेकरू किंवा वापरकर्ता गटाला एक युनिक पासफ्रेज जारी करता. जेव्हा एखादे डिव्हाइस कनेक्ट होते आणि त्याची युनिक की सादर करते, तेव्हा Sophos AP RADIUS द्वारे त्या कीचे प्रमाणीकरण करतो. RADIUS सर्व्हर Access-Accept मेसेजमध्ये एक विशिष्ट VLAN ID ॲट्रिब्यूट परत करतो. AP डायनॅमिकपणे वापरकर्त्याच्या ट्रॅफिकला त्या VLAN ID सह टॅग करतो, ज्यामुळे त्यांना त्यांच्या समर्पित नेटवर्क सेगमेंटवर स्थान मिळते. हे आहे आयडेंटिटी-बेस्ड नेटवर्किंगचे प्रत्यक्ष उदाहरण. एकच SSID, अनेक वेगळी नेटवर्क्स आणि अतिरिक्त ब्रॉडकास्टमुळे होणारा रेडिओ फ्रिक्वेन्सीचा कोणताही अतिरिक्त भार नाही. या आर्किटेक्चरचा एक महत्त्वाचा अनुपालन (compliance) फायदा देखील आहे. PCI DSS आवश्यकतांनुसार, Guest WiFi नेटवर्क्स कार्डधारक डेटा हाताळणाऱ्या कोणत्याही नेटवर्क सेगमेंटपासून पूर्णपणे वेगळे असणे आवश्यक आहे. गेस्ट SSID ला समर्पित VLAN वर ठेवून आणि सर्व RFC 1918 प्रायव्हेट IP स्पेस डेस्टिनेशन्स ब्लॉक करण्यासाठी Sophos Firewall वर कडक फायरवॉल पॉलिसी लागू करून, तुम्ही ही आवश्यकता सहजपणे पूर्ण करता. Purple, जे ८०,००० हून अधिक लाइव्ह ठिकाणी कार्यरत आहे आणि ज्याने २०२४ मध्ये ४४ कोटी लॉगइन्स प्रविष्ट केले आहेत, ते ISO 27001 प्रमाणित, GDPR सुसंगत आणि Cyber Essentials प्रमाणित आहे, त्यामुळे अनुपालनाची ही खात्री आयडेंटिटी लेयरपर्यंत देखील विस्तारते. आता आपण अंमलबजावणीच्या शिफारसींकडे वळूया. जेव्हा तुम्ही हे सेटअप करत असता, तेव्हा तुम्हाला IP असाइनमेंटच्या संदर्भात एक महत्त्वाचा निर्णय घ्यावा लागतो: NAT मोड विरुद्ध Bridge मोड. जर तुम्ही पन्नास ते शंभर समवर्ती (concurrent) गेस्ट कनेक्शन्स असलेले एखादे लहान रिटेल आउटलेट डिप्लॉय करत असाल, तर NAT मोड पूर्णपणे पुरेसा आहे. Sophos AP समर्पित अंतर्गत सबनेटमधून पाहुण्यांना DHCP पत्ते देतो आणि ट्रॅफिक बाहेर पडताना त्यांचे भाषांतर करतो. हे सोपे आहे आणि यासाठी किमान अतिरिक्त इन्फ्रास्ट्रक्चरची आवश्यकता असते. परंतु जर तुम्ही हाय-डेन्सिटी वातावरण डिप्लॉय करत असाल, जसे की पाचशे खोल्यांचे हॉटेल, एकाधिक समवर्ती इव्हेंट्स असलेले कॉन्फरन्स सेंटर किंवा स्टेडियम, तर तुम्ही Bridge मोड वापरला पाहिजे. Bridge मोडमध्ये, Sophos AP गेस्ट ट्रॅफिक थेट समर्पित VLAN वर पाठवतो, ज्यामुळे तुमचे मुख्य एंटरप्राइझ DHCP सर्व्हर लोड हाताळू शकतात. हे पीक कनेक्शन इव्हेंट्स दरम्यान ॲक्सेस पॉइंट किंवा फायरवॉलला DHCP बॉटलनेक बनण्यापासून रोखते. Bridge मोड हे देखील सुनिश्चित करतो की Purple प्लॅटफॉर्मला क्लायंटचा खरा IP पत्ता दिसेल, जो अचूक विश्लेषण आणि ट्रबलशूटिंगसाठी अत्यंत आवश्यक आहे. आता आपण स्टेप-बाय-स्टेप कॉन्फिगरेशनच्या क्रमाबद्दल बोलूया, कारण येथे क्रम महत्त्वाचा आहे. Purple पोर्टलवरून सुरुवात करा. तुमचे RADIUS सर्व्हर क्रेडेंशियल्स मिळवा: सर्व्हर IP ॲड्रेसेस, शेअर्ड सिक्रेट्स, Captive Portal URL आणि रिडायरेक्ट URL. Sophos कॉन्फिगरेशनला स्पर्श करण्यापूर्वी तुम्हाला या चार अत्यंत महत्त्वाच्या माहितीची आवश्यकता आहे. त्यानंतर, Sophos Central किंवा तुमच्या स्थानिक फायरवॉल मॅनेजमेंट इंटरफेसवर जा. प्रथम तुमचे RADIUS सर्व्हर परिभाषित करा, 1812 वर ऑथेंटिकेशन, 1813 वर अकाउंटिंग. नंतर Hotspot Settings अंतर्गत तुमचे Walled Garden कॉन्फिगर करा. पुढे, तुमचे गेस्ट SSID तयार करा, एन्क्रिप्शन 'Open' वर सेट करा, Captive Portal सक्षम करा आणि Purple पोर्टल URL प्रविष्ट करा. आणि शेवटी, तुमचे पोस्ट-ऑथेंटिकेशन फायरवॉल नियम परिभाषित करा. विशेषतः Walled Garden साठी, तुम्ही किमान खालील डोमेन्सना परवानगी दिली पाहिजे: Purple पोर्टल डोमेन, सामान्यतः region1.purpleportal.net; venuewifi.com; आणि तुमचे पाहुणे वापरतील असे कोणतेही सोशल लॉगिन डोमेन्स, जसे की facebook.com, accounts.google.com आणि त्यांचे संबंधित CDN डोमेन्स. जर तुम्ही आयडेंटिटी फेडरेशनसाठी Microsoft Entra ID किंवा Okta वापरत असाल, तर ते डोमेन्स देखील समाविष्ट केले पाहिजेत. अडचणींबद्दल काय? उपयोजन (deployments) सहसा कुठे चुकतात? यात शंका नाही की, पहिल्या क्रमांकाची समस्या म्हणजे अपूर्ण Walled Garden. जर एखादा पाहुणा कनेक्ट झाला आणि त्याला रिकामी स्क्रीन किंवा कनेक्शन टाईमआउट दिसला, तर याचा अर्थ असा होतो की Sophos फायरवॉल ऑथेंटिकेशनपूर्वी Purple च्या CSS फाइल्स, JavaScript ॲसेट्स किंवा सोशल लॉगिन APIs चा ॲक्सेस ब्लॉक करत आहे. तुम्ही हे सुनिश्चित केले पाहिजे की प्रत्येक आवश्यक डोमेनला त्या प्री-ऑथेंटिकेशन पॉलिसीमध्ये स्पष्टपणे परवानगी दिली आहे. Purple आवश्यक डोमेन्सची सर्वसमावेशक यादी प्रदान करते. ती पूर्णपणे वापरा. तसेच, DNS विसरू नका. अनऑथेंटिकेटेड क्लायंट्सना DNS क्वेरी सोडवण्याची परवानगी असणे आवश्यक आहे, अन्यथा रिडायरेक्ट कार्य करणार नाही. पेज लोड करण्याचा प्रयत्न करण्यापूर्वी डिव्हाइसला Purple पोर्टल होस्टनेम सोडवणे आवश्यक आहे. दुसरी सर्वात सामान्य अडचण म्हणजे सर्टिफिकेट एरर्स. तुमची Sophos फायरवॉल रिडायरेक्शन इंटरफेससाठी वैध, सार्वजनिकरित्या विश्वसनीय SSL सर्टिफिकेट सादर करत असल्याची खात्री करा. तुम्ही डीफॉल्ट सेल्फ-साइन केलेले सर्टिफिकेट वापरल्यास, आधुनिक iPhones आणि Android डिव्हाइसेस मोठ्या प्रमाणावर सुरक्षा चेतावणी दर्शवतील आणि तुमचे पाहुणे कनेक्शन पूर्णपणे सोडून देतील. हॉस्पिटॅलिटी वातावरणात ही एक विशेषतः गंभीर समस्या आहे जिथे पाहुण्यांचा अनुभव सर्वोपरि असतो. तिसरी अडचण म्हणजे RADIUS टाईमआउट एरर्स. जर पोर्टल लोड झाले परंतु ऑथेंटिकेशन सतत अयशस्वी होत असेल, तर तुमच्या Sophos कॉन्फिगरेशन आणि Purple पोर्टल दरम्यान शेअर्ड सिक्रेट्स तंतोतंत जुळत असल्याची पडताळणी करा. अगदी एका अक्षराचा फरक देखील सर्व ऑथेंटिकेशन प्रयत्न शांतपणे अयशस्वी करेल. तसेच तुमच्या Sophos इन्फ्रास्ट्रक्चर आणि Purple च्या क्लाउड RADIUS सर्व्हर दरम्यान कोणतीही मध्यवर्ती फायरवॉल UDP पोर्ट्स 1812 आणि 1813 ब्लॉक करत नाही याची पडताळणी करा. आम्ही क्लायंट्सकडून ऐकत असलेल्या सर्वात सामान्य प्रश्नांवर आधारित रॅपिड-फायर प्रश्न आणि उत्तर सत्रासह समाप्त करूया. प्रश्न पहिला: Purple वापरल्याने माझ्या Sophos Firewall सुरक्षा धोरणांना बायपास केले जाते का? अजिबात नाही. Purple केवळ प्रमाणीकरण (authentication) आणि ओळख कॅप्चर करण्याचे काम हाताळते. एकदा प्रमाणीकरण पूर्ण झाले की, सर्व गेस्ट ट्रॅफिक तुमच्या Sophos Firewall च्या पोस्ट-ऑथेंटिकेशन धोरणाद्वारे प्रवाहित होते. याच ठिकाणी तुम्ही वेब फिल्टरिंग लागू करता, पीअर-टू-पीअर ट्रॅफिक ब्लॉक करता आणि बँडविड्थ नियंत्रित करता. हे अशा प्रकारे समजून घ्या: लॉगिनला परवानगी देण्यासाठी प्री-ऑथेंटिकेशन शिथिल असते; तर नेटवर्कचे रक्षण करण्यासाठी पोस्ट-ऑथेंटिकेशन कडक असते. प्रश्न दुसरा: मला स्थानिक RADIUS सर्व्हर तैनात करण्याची आवश्यकता आहे का? नाही. Purple हे RADIUS-as-a-Service प्रदान करते. तुम्ही Sophos APs थेट Purple च्या क्लाउड RADIUS IP पत्त्यांकडे निर्देशित करण्यासाठी कॉन्फिगर करता. गेस्ट नेटवर्कसाठी FreeRADIUS किंवा Windows NPS तैनात करण्याची आणि त्यांची देखभाल करण्याची कोणतीही आवश्यकता नाही. प्रश्न तिसरा: मी Sophos AP6 आणि जुन्या APX सिरीज दोन्हीसोबत Purple वापरू शकतो का? होय. दोन्ही पिढ्यांच्या हार्डवेअरमध्ये एकत्रीकरणाचा दृष्टिकोन सारखाच आहे. तथापि, हे लक्षात ठेवा की Sophos ने APX सिरीजसाठी ३१ डिसेंबर २०२७ ही एंड-ऑफ-लाइफ तारीख घोषित केली आहे. जर तुम्ही नवीन तैनातीचे नियोजन करत असाल, तर AP6 सिरीजमध्ये गुंतवणूक करा, जी Wi-Fi 6 आणि Wi-Fi 6E ला सपोर्ट करते. प्रश्न चौथा: GDPR अनुपालनाचे (compliance) काय? Purple पोर्टल स्तरावर स्पष्ट संमती कॅप्चर करते, प्रमाणीकरणापूर्वी तुमच्या अटी व शर्ती आणि डेटा प्रोसेसिंग नोटीस सादर करते. हा संमती डेटा Purple प्लॅटफॉर्ममध्ये संग्रहित केला जातो आणि त्याचे ऑडिट केले जाऊ शकते. Sophos Firewall ची भूमिका केवळ नेटवर्क अंमलबजावणीची आहे. आजच्या ब्रीफिंगमधील मुख्य मुद्द्यांचा सारांश खालीलप्रमाणे आहे. पहिला: तुमचे Staff आणि Guest SSIDs पूर्णपणे वेगळे करा. Staff साठी WPA2-Enterprise सह 802.1X वापरा. Guests साठी बाह्य Captive Portal सह Purple वापरा. दुसरा: तुमचे Walled Garden काळजीपूर्वक कॉन्फिगर करा. हा सर्वात सामान्य बिघाड बिंदू आहे आणि सर्वात महत्त्वाचा प्री-ऑथेंटिकेशन कॉन्फिगरेशन घटक आहे. तिसरा: DHCP मधील अडथळे टाळण्यासाठी आणि अचूक क्लायंट IP दृश्यमानता सुनिश्चित करण्यासाठी कोणत्याही हाय-डेन्सिटी तैनातीसाठी Bridge मोड वापरा. चौथा: RADIUS प्रमाणीकरण आणि अकाउंटिंग सर्व्हर दोन्ही कॉन्फिगर करा. जर तुम्हाला अर्थपूर्ण विश्लेषण हवे असेल तर अकाउंटिंग पर्यायी नाही. पाचवा: डायनॅमिक VLAN असाइनमेंटसह आयडेंटिटी-बेस्ड नेटवर्किंग सक्षम करण्यासाठी मल्टी-टेनंट वातावरणासाठी Sophos PPSK चा लाभ घ्या. एक SSID, अनेक विलग नेटवर्क्स. सहावा: Sophos सुरक्षा धोरणे काटेकोरपणे पोस्ट-ऑथेंटिकेशननंतर लागू करा. वेब फिल्टरिंग, ॲप्लिकेशन कंट्रोल आणि बँडविड्थ शेपिंग हे सर्व पोस्ट-ऑथेंटिकेशन फायरवॉल धोरणामध्ये लागू केले जावे. हे एकत्रीकरण योग्यरित्या अंमलात आणून, तुम्ही गेस्ट WiFi ला एका खर्चाच्या बाबीमधून एका अनुपालन, सुरक्षित आणि महसूल मिळवून देणाऱ्या मालमत्तेत रूपांतरित करता. Sophos ची सखोल सुरक्षा आणि Purple ची मार्केटिंग इंटेलिजन्स यांचे संयोजन कोणत्याही अशा वेन्यू ऑपरेटरसाठी खरोखरच शक्तिशाली आहे ज्यांना त्यांचा गेस्ट अनुभव आणि डेटा धोरण गांभीर्याने घ्यायचे आहे. Purple आर्किटेक्चर ब्रीफिंग ऐकल्याबद्दल धन्यवाद. जर तुम्हाला तुमच्या विशिष्ट तैनाती आवश्यकतांबद्दल चर्चा करायची असेल, तर सोल्यूशन्स टीमशी बोलण्यासाठी purple.ai ला भेट द्या.

header_image.png

कार्यकारी सारांश (Executive summary)

जर तुम्ही Sophos इन्फ्रास्ट्रक्चर चालवत असाल आणि तुम्हाला Guest WiFi तैनात करायचे असेल जे फर्स्ट-पार्टी डेटा कॅप्चर करते, तर हे मार्गदर्शक तुम्हाला अचूक कॉन्फिगरेशन पायऱ्या देते. Purple हे Sophos Firewall (XG आणि XGS सिरीज) आणि Sophos AP6/APX ॲक्सेस पॉइंट्ससह बाह्य Captive Portal म्हणून समाकलित होते, जे अतिथी ओळख व्यवस्थापन, GDPR संमती कॅप्चर आणि सोशल लॉगिन हाताळणी Purple च्या क्लाउड RADIUS कडे सोपवते. तुमचे Sophos Firewall सर्व ट्रॅफिकवर डीप पॅकेट इन्स्पेक्शन आणि युनिफाइड थ्रेट मॅनेजमेंट लागू करणे सुरू ठेवते. याचा परिणाम: एक सुसंगत, विभागलेले नेटवर्क जिथे अतिथी ब्रँडेड Purple स्प्लॅश पेजद्वारे ऑथेंटिकेट करतात, कर्मचारी WPA2-Enterprise सह 802.1X द्वारे कनेक्ट होतात आणि मल्टी-टेनंट वातावरण डायनॅमिक VLAN असाइनमेंटसाठी Sophos Private Pre-Shared Keys (PPSK) वापरतात. Purple हे ८०,०००+ पेक्षा जास्त लाइव्ह ठिकाणी कार्यरत आहे आणि २०२४ मध्ये ४४० दशलक्ष लॉगिन प्रक्रियेतून गेले आहे (Purple अंतर्गत डेटा, २०२४). हे ISO 27001 प्रमाणित, GDPR सुसंगत आणि Cyber Essentials प्रमाणित आहे.

तांत्रिक सखोल विश्लेषण (Technical deep-dive)

रिडायरेक्ट कसे कार्य करते

हे एकत्रीकरण मानक RADIUS प्रोटोकॉल आणि HTTP रिडायरेक्शन वापरते. जेव्हा एखादा ठिकाणचा वापरकर्ता Sophos AP6 किंवा APX ॲक्सेस पॉइंटवर तुमच्या खुल्या Guest WiFi SSID शी जोडला जातो, तेव्हा Sophos Firewall त्या ऑथेंटिकेट न झालेल्या डिव्हाइसवरून येणारी पहिली HTTP विनंती अडवते. स्थानिक पातळीवर स्टोअर केलेले लॉगिन पेज दाखवण्याऐवजी, फायरवॉल Purple च्या क्लाउड-होस्ट केलेल्या स्प्लॅश पेज URL वर ३०२ रिडायरेक्ट जारी करते - सामान्यतः https://region1.purpleportal.net/access/ या स्वरूपात.

या पूर्व-ऑथेंटिकेशन टप्प्यादरम्यान, डिव्हाइस एका Walled Garden च्या आत असते: डोमेनची एक कठोर परवानगी सूची (allowlist) ज्यावर ऑथेंटिकेट न झालेली डिव्हाइसेस पोहोचू शकतात. या परवानगी सूचीमध्ये Purple चे पोर्टल ॲसेट्स, कोणतेही सोशल लॉगिन प्रदाते (Facebook, Google, LinkedIn) आणि तुम्ही वापरत असलेले कोणतेही आयडेंटिटी फेडरेशन एंडपॉइंट्स, जसे की Microsoft Entra ID किंवा Okta समाविष्ट असणे आवश्यक आहे. एकदा वापरकर्त्याने Purple स्प्लॅश पेजवर ऑथेंटिकेशन पूर्ण केले की, Purple चे क्लाउड RADIUS Sophos Firewall ला RADIUS Access-Accept संदेश पाठवते. फायरवॉल सेशन स्टेट अपडेट करून ऑथेंटिकेटेड करते आणि तुमचे पोस्ट-ऑथेंटिकेशन सुरक्षा धोरण लागू करते.

RADIUS ऑथेंटिकेशन आणि अकाउंटिंग

Purple हे RADIUS-as-a-Service प्रदान करते. तुम्हाला अतिथी नेटवर्कसाठी FreeRADIUS, Windows NPS किंवा कोणतेही स्थानिक RADIUS इन्फ्रास्ट्रक्चर तैनात करण्याची आवश्यकता नाही. Sophos Firewall थेट Purple च्या क्लाउड RADIUS IP पत्त्यांकडे निर्देशित करण्यासाठी कॉन्फिगर करा.

दोन RADIUS फंक्शन्स आवश्यक आहेत:

फंक्शन प्रोटोकॉल पोर्ट उद्देश
Authentication UDP 1812 अतिथी क्रेडेंशियल्स प्रमाणित करते आणि Access-Accept किंवा Access-Reject परत करते
Accounting UDP 1813 Purple ला सेशन सुरू होणे, अंतरिम अपडेट्स आणि सेशन थांबल्याचा अहवाल देते

अकाउंटिंग (Accounting) पर्यायी नाही. ही अशी यंत्रणा आहे ज्याद्वारे Sophos Firewall सत्राचा कालावधी, वापरलेली बँडविड्थ आणि सत्र समाप्तीचे इव्हेंट्स Purple कडे परत रिपोर्ट करतो. अकाउंटिंग डेटाशिवाय, तुमचे WiFi Analytics डॅशबोर्ड अपूर्ण अभ्यागत मेट्रिक्स दर्शवेल. रिअल-टाइम दृश्यमानता आणि नेटवर्क ओव्हरहेड यांच्यात चांगला समतोल राखण्यासाठी अकाउंटिंगचा अंतरिम कालावधी (interim interval) १२० सेकंदांवर सेट करा.

तुमचे Sophos कॉन्फिगरेशन आणि Purple पोर्टल दरम्यान RADIUS शेअर केलेला सिक्रेट कोड तंतोतंत जुळला पाहिजे. एका अक्षराचाही फरक असल्यास सायलेंट ऑथेंटिकेशन अयशस्वी होते.

Walled Garden कॉन्फिगरेशन

Walled Garden हा सर्वात महत्त्वाचा प्री-ऑथेंटिकेशन कॉन्फिगरेशन घटक आहे आणि डिप्लॉयमेंट अयशस्वी होण्याचे सर्वात सामान्य कारण आहे. Sophos Firewall वर Wireless > Hotspot Settings अंतर्गत हे कॉन्फिगर करा.

तुम्ही किमान खालील डोमेन्सना परवानगी दिली पाहिजे:

वर्गवारी परवानगी देण्याची डोमेन्स
Purple core region1.purpleportal.net, venuewifi.com, cloudfront.net
पेमेंट (लागू असल्यास) stripe.com
वेदर विजेट (वापरले असल्यास) openweathermap.org
Facebook लॉगिन facebook.com, fbcdn.net, connect.facebook.net, akamaihd.net
Google लॉगिन accounts.google.com, googleapis.com, gstatic.com
LinkedIn लॉगिन linkedin.com, licdn.net, licdn.com
Microsoft Entra ID login.microsoftonline.com, login.microsoft.com

ऑथेंटिकेशन न झालेल्या क्लायंटसाठी नेहमी DNS रिझोल्यूशन (UDP पोर्ट ५३) ला परवानगी द्या. DNS शिवाय, डिव्हाइसेस Purple पोर्टल होस्टनेम रिझॉल्व्ह करू शकत नाहीत आणि रिडायरेक्ट सुरू होण्यापूर्वीच अयशस्वी होते.

स्टाफ WiFi साठी 802.1X

स्टाफ WiFi साठी, WPA2-Enterprise किंवा WPA3-Enterprise सह 802.1X (IEEE 802.1X पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल) वापरा. तुमच्या अंतर्गत RADIUS सर्व्हर किंवा Microsoft Entra ID सारख्या क्लाउड आयडेंटिटी प्रोव्हाइडरच्या विरुद्ध EAP-TLS (प्रमाणपत्र-आधारित) किंवा PEAP-MSCHAPv2 (वापरकर्तानाव/पासवर्ड) वापरण्यासाठी Sophos AP कॉन्फिगर करा.

ऑथेंटिकेट केलेल्या स्टाफ डिव्हाइसेसना योग्य अंतर्गत VLAN वर ठेवण्यासाठी RADIUS सर्व्हर VLAN असाइनमेंट ॲट्रिब्युट्स परत पाठवतो. ही तीच डायनॅमिक VLAN यंत्रणा आहे जी खाली PPSK साठी वर्णन केली आहे, जी एंटरप्राइझ ऑथेंटिकेशनवर लागू होते.

स्टाफ WiFi SSID आणि VLAN ला गेस्ट WiFi SSID आणि VLAN पासून पूर्णपणे वेगळे ठेवा. गेस्ट ट्रॅफिकला मॅनेजमेंट किंवा कॉर्पोरेट सबनेट्सशी कधीही जोडू नका. कोणताही नेटवर्क विभाग कार्डधारक डेटा हाताळत असल्यास हे वेगळे करणे ही PCI DSS ची आवश्यकता आहे.

मल्टी-टेनंट वातावरणासाठी Sophos PPSK आणि डायनॅमिक VLAN असाइनमेंट

मल्टी-टेनंट वातावरणात - कोवर्किंग स्पेस, बिल्ड-टू-रेंट निवासी ब्लॉक्स, विद्यार्थी निवास किंवा रिटेल कन्सेशन्स - तुम्हाला प्रत्येक भाडेकरूसाठी स्वतंत्र SSID ब्रॉडकास्ट न करता नेटवर्क स्तरावर वेगवेगळ्या वापरकर्ता गटांना वेगळे करणे आवश्यक आहे. एकाधिक SSIDs ब्रॉडकास्ट केल्याने रेडिओ फ्रिक्वेन्सी ओव्हरहेड वाढतो आणि व्यवस्थापन गुंतागुंतीचे होते.

Sophos AP6 access points PPSK (Private Pre-Shared Key) ला सपोर्ट करतात, ज्याला Identity PSK किंवा प्रति-वापरकर्ता PSK देखील म्हटले जाते. PPSK एकाच SSID ला एकाधिक युनिक पासफ्रेजेस स्वीकारण्याची परवानगी देते, जे प्रत्येक RADIUS ॲट्रिब्युट्सद्वारे विशिष्ट VLAN वर मॅप केलेले असतात.

डायनॅमिक VLAN असाइनमेंट फ्लो खालीलप्रमाणे कार्य करतो:

  1. रहिवासी किंवा सदस्य एकाच शेअर केलेल्या SSID शी कनेक्ट होतो आणि त्यांचा युनिक PPSK प्रविष्ट करतो.
  2. Sophos AP कॉन्फिगर केलेल्या RADIUS सर्व्हरला RADIUS Access-Request पाठवतो, ज्यामध्ये क्रेडेंशियल म्हणून PPSK समाविष्ट असते.
  3. RADIUS सर्व्हर PPSK प्रमाणित करतो आणि खालील VLAN ॲट्रिब्युट्ससह Access-Accept परत करतो:
    • Tunnel-Type = VLAN (मूल्य 13)
    • Tunnel-Medium-Type = IEEE-802 (मूल्य 6)
    • Tunnel-Private-Group-ID = `` (उदा., 100)
  4. Sophos AP डिव्हाइसच्या ट्रॅफिकला परत आलेल्या VLAN ID सह टॅग करतो, आणि त्याला योग्य अशा आयसोलेटेड नेटवर्क सेगमेंटवर ठेवतो.

हे Identity-Based Networking आहे: एक SSID, एकाधिक आयसोलेटेड VLANs, जे वापरकर्त्याच्या युनिक क्रेडेंशियलद्वारे चालवले जातात.

ppsk_vlan_diagram.png

architecture_overview.png

अंमलबजावणी मार्गदर्शिका

पायरी 1: Purple क्रेडेंशियल्स मिळवा

Purple पोर्टलवर लॉग इन करा. Management > Locations > [Your Venue] > Hardware > Add Hardware वर जा. हार्डवेअर प्रकार म्हणून Sophos निवडा. पोर्टल खालील गोष्टी प्रदर्शित करते:

  • प्रायमरी आणि सेकंडरी RADIUS सर्व्हर IP ॲड्रेसेस
  • RADIUS शेअर केलेला सिक्रेट (shared secret)
  • Captive Portal URL (उदा., https://region1.purpleportal.net/access/)
  • रिडायरेक्ट URL (उदा., https://region1.purpleportal.net/access/?res=success)
  • संपूर्ण Walled Garden डोमेन सूची

पुढील प्रक्रियेवर जाण्यापूर्वी हे चारही मूल्ये नोंदवून ठेवा.

पायरी 2: Sophos Firewall वर RADIUS सर्व्हर्स कॉन्फिगर करा

Sophos Firewall वर Authentication > Servers वर जा (किंवा AP-व्यवस्थापित कॉन्फिगरेशनसाठी Sophos Central > Wireless > SSIDs > [SSID] > Advanced Settings वर जा).

  1. नवीन RADIUS सर्व्हर एंट्री तयार करण्यासाठी Add वर क्लिक करा.
  2. Server IP प्रायमरी Purple RADIUS IP ॲड्रेसवर सेट करा.
  3. Authentication port 1812 वर सेट करा.
  4. Accounting port 1813 वर सेट करा.
  5. Purple पोर्टलवरून मिळालेला Shared secret प्रविष्ट करा.
  6. सेकंडरी Purple RADIUS सर्व्हरसाठी हीच प्रक्रिया पुन्हा करा.

Sophos Central द्वारे व्यवस्थापित Sophos AP6 साठी, SSID च्या Advanced Settings > Backend authentication विभागांतर्गत RADIUS सर्व्हर कॉन्फिगर करा.

पायरी 3: Walled Garden कॉन्फिगर करा

Sophos Firewall वर Wireless > Hotspot Settings वर जा.

  1. Walled garden अंतर्गत, Add new item वर क्लिक करा.
  2. Purple द्वारे प्रदान केलेल्या सूचीमधील प्रत्येक डोमेन जोडा.
  3. प्री-ऑथेंटिकेशन फायरवॉल नियमाद्वारे अनऑथेंटिकेटेड क्लायंटसाठी DNS (UDP पोर्ट 53) ला परवानगी असल्याची खात्री करा.
  4. Apply वर क्लिक करा.

पायरी 4: गेस्ट SSID तयार करा

Navigate to Wireless > Wireless Settings > SSIDs (किंवा Sophos Central > Wireless > SSIDs).

  1. Add SSID वर क्लिक करा.
  2. Encryption mode हे Open वर सेट करा (कोणतीही pre-shared key नाही).
  3. Advanced Settings > Captive portal अंतर्गत, captive portal सक्षम करा.
  4. ऑथेंटिकेशन प्रकार म्हणून Backend authentication निवडा.
  5. Purple RADIUS सर्व्हर IP, पोर्ट 1812 आणि सामायिक सिक्रेट प्रविष्ट करा.
  6. Redirect URL हे Purple splash page URL वर सेट करा.
  7. SSID एका समर्पित गेस्ट VLAN ला (उदा. VLAN 100) नियुक्त करा.
  8. गेस्ट-टू-गेस्ट ट्रॅफिक रोखण्यासाठी Client isolation सक्षम करा.

पायरी ५: ऑथेंटिकेशन-नंतरचे फायरवॉल नियम तयार करा

Rules and policies > Firewall rules वर जा.

  1. गेस्ट VLAN कडून WAN झोनकडे ट्रॅफिकला अनुमती देणारा नियम तयार करा.
  2. दुर्भावनापूर्ण श्रेणी ब्लॉक करण्यासाठी वेब फिल्टरिंग लागू करा.
  3. प्रति वापरकर्ता बँडविड्थ मर्यादित करण्यासाठी ट्रॅफिक शेपिंग लागू करा (शिफारस केलेले: गेस्ट नेटवर्कसाठी 10 Mbps डाउन, 5 Mbps अप).
  4. गेस्ट VLAN कडून POS सिस्टीम, PMS किंवा कॉर्पोरेट संसाधने असलेल्या कोणत्याही अंतर्गत VLAN कडील सर्व ट्रॅफिक स्पष्टपणे ब्लॉक करा.

पायरी ६: मल्टी-टेनंट वातावरणासाठी PPSK कॉन्फिगर करा (पर्यायी)

  1. Sophos Central मध्ये, WPA2-Personal SSID तयार करा.
  2. SSID च्या प्रगत सेटिंग्ज अंतर्गत RADIUS VLAN assignment सक्षम करा.
  3. PPSK क्रेडेंशियल्स स्वीकारण्यासाठी आणि प्रति वापरकर्ता गट योग्य VLAN गुणधर्म परत करण्यासाठी RADIUS सर्व्हर कॉन्फिगर करा.
  4. Purple पोर्टल किंवा तुमच्या RADIUS व्यवस्थापन इंटरफेसद्वारे प्रत्येक टेनंट गटाला अनन्य PPSKs जारी करा.

सर्वोत्तम पद्धती

लेअर २ आणि लेअर ३ वर ट्रॅफिक वेगळे करा. गेस्ट WiFi नेहमी एका समर्पित VLAN वर ठेवा. गेस्ट VLAN कडून अंतर्गत विभागांवरील RFC 1918 ॲड्रेस स्पेस कडील सर्व ट्रॅफिक ब्लॉक करण्यासाठी स्पष्ट फायरवॉल नियम तयार करा. हे PCI DSS नेटवर्क सेगमेंटेशन आवश्यकता पूर्ण करते आणि एखादे गेस्ट डिव्हाइस धोक्यात आल्यास लॅटरल मूव्हमेंट रोखते.

हाय-डेन्सिटी डिप्लॉयमेंटसाठी ब्रिज मोड वापरा. २०० पेक्षा जास्त समवर्ती गेस्ट कनेक्शन्स असलेल्या वातावरणात - हॉटेल्स, स्टेडियम, कॉन्फरन्स सेंटर्स - ब्रिज मोडमध्ये गेस्ट SSID कॉन्फिगर करा. हे ट्रॅफिक एंटरप्राइझ DHCP सर्व्हरद्वारे हाताळल्या जाणाऱ्या VLAN वर पाठवते, ज्यामुळे Sophos AP किंवा फायरवॉल DHCP बॉटलनेक बनण्यापासून रोखले जाते. ७०% ऑक्युपन्सी असलेल्या आणि प्रति अतिथी दोन डिव्हाइसेस असलेल्या ५०० खोल्यांच्या हॉटेलमध्ये एकाच वेळी अंदाजे ७०० DHCP लीज तयार होतात. एंटरप्राइझ DHCP हे हाताळते; ऑन-बोर्ड AP DHCP हे हाताळू शकत नाही.

सार्वजनिकरित्या विश्वसनीय SSL प्रमाणपत्र वापरा. रिडायरेक्शन इंटरफेससाठी सार्वजनिक CA द्वारे स्वाक्षरित प्रमाणपत्र सादर करण्यासाठी Sophos Firewall कॉन्फिगर करा. स्व-स्वाक्षरित प्रमाणपत्रे iOS आणि Android वर ब्राउझर सुरक्षा चेतावणी निर्माण करतात, ज्यामुळे पोर्टल सोडण्याचे प्रमाण वाढते. हे विशेषतः hospitality वातावरणात महत्त्वाचे आहे जिथे अतिथींचा अनुभव थेट पुनरावलोकन गुणांवर परिणाम करतो. RADIUS ऑथेंटिकेशन आणि अकाउंटिंग दोन्ही कॉन्फिगर करा. ऑथेंटिकेशन (पोर्ट १८१२) प्रवेश मंजूर करते. अकाउंटिंग (पोर्ट १८१३) वापराचा मागोवा घेते. Purple च्या ॲनालिटिक्सने योग्यरित्या काम करण्यासाठी दोन्ही आवश्यक आहेत. अकाउंटिंग डेटा Purple डॅशबोर्डमधील सेशन कालावधीचे मेट्रिक्स, बँडविड्थ रिपोर्ट आणि वारंवार येणाऱ्या अभ्यागतांची ओळख नियंत्रित करतो.

गो-लाइव्ह होण्यापूर्वी तुमच्या Walled Garden चे नियोजन करा. प्रोडक्शनमध्ये तैनात करण्यापूर्वी किमान एका iOS डिव्हाइसवर आणि एका Android डिव्हाइसवर पोर्टलची चाचणी घ्या. या दोन्ही प्लॅटफॉर्ममध्ये भिन्न Captive Portal शोधण्याची यंत्रणा आहे आणि अपूर्ण Walled Garden कॉन्फिगरेशनसह ते वेगळ्या पद्धतीने वर्तन करू शकतात. प्री-ऑथेंटिकेशन टप्प्यादरम्यान ब्लॉक केलेले कोणतेही डोमेन ओळखण्यासाठी Sophos Firewall वर पॅकेट कॅप्चर वापरा.

ऑथेंटिकेशननंतर Sophos Synchronized Security लागू करा. Sophos AP6 ॲक्सेस पॉइंट्स Synchronized Security ला सपोर्ट करतात, जे Sophos Endpoint Protection सोबत समाकलित होते. जर एखादे गेस्ट डिव्हाइस तडजोड केलेले (लाल Security Heartbeat स्टेटस) म्हणून ओळखले गेले, तर AP स्वयंचलितपणे त्या डिव्हाइसला Walled Garden पुरते मर्यादित करू शकतो, ज्यामुळे मॅन्युअल हस्तक्षेपाशिवाय ते इंटरनेटपासून वेगळे होते. healthcare आणि retail वातावरणासाठी हे एक महत्त्वपूर्ण सुरक्षा नियंत्रण आहे.

अधिक व्यापक एंटरप्राइझ WiFi सुरक्षा संदर्भासाठी, आमचे Enterprise WiFi Security: A Complete Guide for 2026 हे मार्गदर्शक पहा.

ट्रबलशूटिंग आणि जोखीम कमी करणे

लक्षण: पोर्टल पेज लोड होण्यात अयशस्वी (कोरी स्क्रीन किंवा टाइमआउट) कारण: अपूर्ण Walled Garden. Sophos Firewall ऑथेंटिकेशनपूर्वी Purple च्या CSS/JS ॲसेट्स किंवा सोशल लॉगिन API च्या प्रवेशाला ब्लॉक करत आहे. उपाय: गेस्ट VLAN साठी Sophos Firewall वर पॅकेट कॅप्चर सक्षम करा. ब्लॉक केलेले डोमेन ओळखा. त्यांना Walled Garden मध्ये जोडा. प्री-ऑथेंटिकेशनसाठी DNS ला परवानगी असल्याची पडताळणी करा.

लक्षण: पोर्टल लोड होते परंतु ऑथेंटिकेशन नेहमी अयशस्वी होते कारण: RADIUS शेअर्ड सिक्रेट जुळत नाही, किंवा UDP पोर्ट्स १८१२/१८१३ ब्लॉक आहेत. उपाय: Sophos कॉन्फिगरेशन आणि Purple पोर्टल दोन्हीमध्ये शेअर्ड सिक्रेटच्या प्रत्येक अक्षराची पडताळणी करा. UDP पोहोचण्याची खात्री करण्यासाठी Sophos CLI वरून nmap -sU -p 1812,1813 वापरा.

लक्षण: ॲनालिटिक्स शून्य सेशन कालावधी आणि कोणताही बँडविड्थ डेटा दर्शवत नाही कारण: RADIUS अकाउंटिंग कॉन्फिगर केलेले नाही किंवा ब्लॉक केले आहे. उपाय: अकाउंटिंग सर्व्हर योग्य शेअर्ड सिक्रेटसह पोर्ट १८१३ वर कॉन्फिगर केला असल्याची पडताळणी करा. कोणताही इंटरमीडिएट ACL UDP १८१३ आउटबाउंड ब्लॉक करत नाही याची खात्री करा.

लक्षण: गेस्ट डिव्हाइसेसवर सर्टिफिकेट चेतावणी कारण: Sophos Firewall रिडायरेक्ट इंटरफेससाठी सेल्फ-साइंड सर्टिफिकेट वापरत आहे. उपाय: Sophos Firewall वर पब्लिक CA (Let's Encrypt, DigiCert, किंवा तत्सम) द्वारे स्वाक्षरी केलेले सर्टिफिकेट अपलोड करा आणि Wireless > Hotspot Settings अंतर्गत लॉगिन पेज सर्टिफिकेट म्हणून ते नियुक्त करा.

लक्षण: PPSK वापरकर्ते चुकीच्या VLAN वर पोहोचतात कारण: RADIUS VLAN ॲट्रिब्युट्स योग्यरित्या कॉन्फिगर केलेले नाहीत, किंवा Sophos AP डायनॅमिक VLAN असाइनमेंट स्वीकारत नाही. निवारण: RADIUS सर्व्हर Tunnel-Type = 13, Tunnel-Medium-Type = 6, आणि Tunnel-Private-Group-ID = परत करत असल्याची पडताळणी करा. Sophos Central मधील SSID वर RADIUS VLAN असाइनमेंट सक्षम असल्याची खात्री करा.

ROI आणि व्यावसायिक प्रभाव

Sophos इन्फ्रास्ट्रक्चरवर Purple तैनात केल्याने Guest WiFi चे रूपांतर एका युटिलिटी खर्चातून थेट फर्स्ट-पार्टी डेटा ॲसेटमध्ये होते. याचे बिझनेस मॉडेल अगदी सोपे आहे.

70% ऑक्युपन्सी आणि सरासरी 1.8 रात्रीच्या मुक्कामासह चालणारे 200 खोल्यांचे हॉटेल Purple च्या जागरूक-पर्याय ऑप्ट-इन पोर्टलद्वारे दरवर्षी अंदाजे 50,000 सत्यापित अतिथी प्रोफाइल तयार करेल. प्रत्येक प्रोफाइलमध्ये नाव, ईमेल पत्ता, लोकसंख्याशास्त्रीय डेटा आणि भेटीचा इतिहास समाविष्ट असतो. हा डेटा थेट ईमेल मार्केटिंग मोहिमांमध्ये पाठवला जातो, ज्यामुळे थेट बुकिंग आणि फूड अँड बेव्हरेज महसुलात मोजता येण्याजोगी वाढ होते.

रिटेल वातावरणासाठी, Purple चे विश्लेषण ड्वेल टाइम (थांबण्याचा वेळ), वारंवार भेट देण्याची वारंवारता आणि पीक फूटफॉल कालावधी ओळखते. 50 ठिकाणे असलेली रिटेल साखळी या डेटाचा वापर कर्मचारी संख्या ऑप्टिमाइझ करण्यासाठी, प्रमोशनल वेळा समायोजित करण्यासाठी आणि स्टोअरमधील इव्हेंटचा भेटीच्या वारंवारतेवर होणारा प्रभाव मोजण्यासाठी करू शकते.

सार्वजनिक-क्षेत्र आणि वाहतूक ऑपरेटरसाठी, Purple ऑडिट करण्यायोग्य GDPR संमती रेकॉर्ड प्रदान करते आणि आवश्यक सेवांच्या ऑपरेटरसाठी यूकेच्या नेटवर्क आणि माहिती प्रणाली (NIS) नियमांचे पालन करण्यास समर्थन देते.

Purple चे 99.999% अपटाइम SLA हे सुनिश्चित करते की अतिथी प्रमाणीकरण (authentication) सेवा तुमच्या नेटवर्कसाठी सिंगल पॉईंट ऑफ फेल्युअर बनणार नाही. क्लाउड RADIUS आर्किटेक्चरचा अर्थ असा आहे की देखरेख, पॅच किंवा बदलण्यासाठी कोणताही ऑन-प्रिमाइसेस ऑथेंटिकेशन सर्व्हर नाही.

संबंधित इंटिग्रेशन मार्गदर्शनासाठी, Alta Labs Integration with Purple WiFi: Setup and Captive Portal Configuration मार्गदर्शक पहा.

महत्वाच्या व्याख्या

Captive Portal

एक वेब पेज जे वापरकर्त्याच्या सुरुवातीच्या HTTP विनंतीला अडवते आणि इंटरनेट प्रवेश देण्यापूर्वी परस्परसंवादाची (ऑथेंटिकेशन, संमती किंवा पेमेंट) आवश्यकता असते.

Guest WiFi साठी प्राथमिक इंटरफेस. Purple हे क्लाउडमध्ये Captive Portal होस्ट करते; Sophos Firewall अनऑथेंटिकेटेड क्लायंट्सना त्यावर रिडायरेक्ट करते.

Walled Garden

डोमेन्स आणि IP ॲड्रेसची एक कठोर परवानगी यादी (allowlist) ज्यावर अनऑथेंटिकेटेड डिव्हाइसेस पोर्टल ऑथेंटिकेशन पूर्ण करण्यापूर्वी प्रवेश करू शकतात.

यामध्ये Purple चे पोर्टल डोमेन्स, सोशल लॉगिन प्रदाते आणि कोणतेही आयडेंटिटी फेडरेशन एंडपॉइंट्स समाविष्ट असणे आवश्यक आहे. अपूर्ण Walled Garden हे पोर्टल लोड न होण्याचे सर्वात सामान्य कारण आहे.

RADIUS (Remote Authentication Dial-In User Service)

एक नेटवर्किंग प्रोटोकॉल जो नेटवर्कशी कनेक्ट होणाऱ्या वापरकर्त्यांसाठी केंद्रीकृत ऑथेंटिकेशन, ऑथोरायझेशन आणि अकाउंटिंग प्रदान करतो. ऑथेंटिकेशनसाठी UDP पोर्ट 1812 आणि अकाउंटिंगसाठी 1813 वापरतो.

Purple हे RADIUS-as-a-Service प्रदान करते. Sophos Firewall आणि APs पाहुण्यांचे ऑथेंटिकेशन करण्यासाठी आणि सेशन डेटाचा अहवाल देण्यासाठी Purple च्या क्लाउड RADIUS शी संवाद साधतात.

RADIUS accounting

RADIUS चा तो घटक जो नेटवर्क वापर मेट्रिक्सचा मागोवा घेतो, ज्यामध्ये सेशन सुरू होण्याची वेळ, कालावधी, ट्रान्सफर केलेले बाईट्स आणि सेशन समाप्त होण्याचे कारण समाविष्ट आहे.

Purple च्या WiFi Analytics साठी आवश्यक आहे. पोर्ट 1813 वरील अकाउंटिंग डेटाशिवाय, Purple डॅशबोर्डमध्ये सेशनचा कालावधी आणि बँडविड्थ मेट्रिक्स उपलब्ध नसतात.

PPSK (Private Pre-Shared Key)

एक WiFi सुरक्षा वैशिष्ट्य जे एकाच SSID ला एकाधिक युनिक पासफ्रेजेस स्वीकारण्याची परवानगी देते, ज्यातील प्रत्येक सामान्यतः RADIUS द्वारे विशिष्ट VLAN किंवा पॉलिसीशी मॅप केलेले असते.

मल्टी-टेनंट WiFi उपयोजनांमध्ये एकाधिक SSIDs प्रसारित न करता प्रति-वापरकर्ता किंवा प्रति-गट नेटवर्क आयसोलेशन प्रदान करण्यासाठी वापरले जाते. Sophos AP6 डायनॅमिक VLAN असाइनमेंटसह PPSK ला सपोर्ट करते.

Dynamic VLAN assignment

अशी प्रक्रिया जिथे RADIUS सर्व्हर Access-Accept मेसेजमध्ये Tunnel-Type, Tunnel-Medium-Type आणि Tunnel-Private-Group-ID ॲट्रिब्युट्स परत करून ऑथेंटिकेटेड वापरकर्त्याला विशिष्ट VLAN वर ठेवण्यासाठी ॲक्सेस पॉईंटला निर्देश देतो.

आयडेंटिटी-बेस्ड नेटवर्क सक्षम करते. वापरकर्ते कोणत्या फिजिकल AP शी कनेक्ट होतात याकडे दुर्लक्ष करून, त्यांच्या क्रेडेंशियल्सच्या आधारे त्यांना योग्य नेटवर्क सेगमेंटमध्ये ठेवले जाते.

802.1X

पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी एक IEEE मानक. LAN किंवा WLAN शी कनेक्ट होणाऱ्या डिव्हाइसेससाठी ऑथेंटिकेशन फ्रेमवर्क प्रदान करते, ज्यासाठी सप्लिकंट (क्लायंट), ऑथेंटिकेटर (AP किंवा स्विच) आणि ऑथेंटिकेशन सर्व्हर (RADIUS) आवश्यक असतो.

स्टाफ WiFi साठी एंटरप्राइझ मानक. Sophos AP6 हे EAP-TLS किंवा PEAP-MSCHAPv2 वापरून WPA2-Enterprise आणि WPA3-Enterprise सह 802.1X ला सपोर्ट करते.

Bridge mode

एक नेटवर्क कॉन्फिगरेशन जिथे ॲक्सेस पॉईंट वायरलेस क्लायंट ट्रॅफिक थेट वायर्ड LAN वर टॅग केलेले VLAN फ्रेम्स म्हणून पाठवतो, NAT किंवा स्थानिक DHCP न करता.

हाय-डेन्सिटी उपयोजनांसाठी शिफारस केलेले. DHCP चा भार एंटरप्राइझ सर्व्हरवर वर्ग करते आणि अचूक विश्लेषणासाठी Purple ला खरा क्लायंट IP ॲड्रेस मिळण्याची खात्री देते.

First-party data

तुमच्या स्वतःच्या चॅनेलद्वारे थेट वापरकर्त्यांकडून गोळा केलेली माहिती, जी तुमच्या मालकीची असते आणि ती इतर कोणत्याही थर्ड-पार्टीसोबत शेअर केली जात नाही किंवा त्यांच्याकडून मिळवली जात नाही.

Purple Guest WiFi चे प्राथमिक व्यावसायिक मूल्य. Captive Portal वर जाणीवपूर्वक घेतलेल्या संमतीद्वारे गोळा केलेला हा डेटा GDPR-सुसंगत आहे आणि थर्ड-पार्टी कुकीजपासून स्वतंत्र आहे.

सोडवलेली उदाहरणे

३०० खोल्यांच्या एका हॉटेलने Sophos Central द्वारे व्यवस्थापित केलेले Sophos AP6 access points तैनात केले आहेत. त्यांना पाहुण्यांनी ब्रँडेड Purple स्प्लॅश पेजद्वारे ऑथेंटिकेट करणे आवश्यक आहे आणि PCI DSS अनुपालन राखण्यासाठी पाहुण्यांचे नेटवर्क VLAN 20 वरील प्रॉपर्टी मॅनेजमेंट सिस्टम (PMS) पासून पूर्णपणे वेगळे असणे आवश्यक आहे. हॉटेलला पीक अवर्समध्ये ६०० पर्यंत एकाच वेळी पाहुण्यांच्या कनेक्शन्सची अपेक्षा आहे.

१. Sophos Central मध्ये, Open एन्क्रिप्शनसह 'Hotel Guest WiFi' नावाचे एक समर्पित गेस्ट SSID तयार करा. २. कोअर नेटवर्क DHCP सर्व्हरद्वारे ६००-डिव्हाइस DHCP लोड हाताळण्यासाठी Bridge मोडमध्ये VLAN 100 ला SSID नियुक्त करा. ३. Advanced Settings अंतर्गत captive portal सक्षम करा आणि Backend authentication निवडा. ४. पोर्ट १८१२ वर Purple RADIUS सर्व्हर IP आणि Purple पोर्टलवरून सामायिक केलेले गुपित (shared secret) प्रविष्ट करा. ५. region1.purpleportal.net, venuewifi.com आणि सर्व सोशल लॉगिन डोमेन्सना अनुमती देण्यासाठी Walled Garden कॉन्फिगर करा. ६. Sophos Firewall वर, वेब फिल्टरिंग लागू करून VLAN 100 ला WAN झोनमध्ये अनुमती देणारा फायरवॉल नियम तयार करा. ७. VLAN 100 कडून VLAN 20 (PMS नेटवर्क) कडे जाणाऱ्या सर्व ट्रॅफिकला ब्लॉक करणारा स्पष्ट DENY नियम तयार करा. ८. १२०-सेकंदांच्या अंतरिम अंतरासह पोर्ट १८१३ वर RADIUS अकाउंटिंग कॉन्फिगर करा. ९. रिडायरेक्ट इंटरफेससाठी Sophos Firewall वर सार्वजनिकरित्या विश्वसनीय SSL प्रमाणपत्र अपलोड करा. १०. लाइव्ह जाण्यापूर्वी iOS आणि Android दोन्हीवर चाचणी करा.

परीक्षकाचे भाष्य: येथे Bridge मोड आवश्यक आहे. ६०० एकाच वेळच्या कनेक्शन्सवर, ऑन-बोर्ड AP DHCP ओव्हरलोड होईल. VLAN 100 ते VLAN 20 मधील स्पष्ट DENY नियम PCI DSS नेटवर्क विलगता आवश्यकता पूर्ण करतो. सार्वजनिकरित्या विश्वसनीय प्रमाणपत्र iOS 14+ आणि Android 10+ ला सुरक्षा चेतावणी प्रदर्शित करण्यापासून प्रतिबंधित करते ज्यामुळे पोर्टल सोडण्याचे प्रमाण वाढू शकते. Purple च्या विश्लेषणाचे (analytics) कार्य करण्यासाठी अकाउंटिंग कॉन्फिगर करणे अनिवार्य आहे.

एक कोवर्किंग स्पेस ऑपरेटर तीन मजल्यांवर १५ भाडेकरू कंपन्यांचे व्यवस्थापन करतो. प्रत्येक कंपनीला स्वतःचे वेगळे नेटवर्क सेगमेंट आवश्यक आहे. ते सध्या १५ स्वतंत्र SSIDs ब्रॉडकास्ट करत आहेत, ज्यामुळे लक्षणीय RF गर्दी होत आहे. त्यांना भाडेकरूंमध्ये कठोर लेयर २ विलगता राखत Sophos AP6 access points वापरून एकाच SSID मध्ये एकत्रित करायचे आहे.

१. प्रत्येक भाडेकरू कंपनीला एक युनिक VLAN नियुक्त करा (उदा. VLANs २००-२१४). २. Sophos Central मध्ये, 'CoWork WiFi' नावाचे एकच WPA2-Personal SSID तयार करा. ३. SSID वर RADIUS VLAN असाइनमेंट सक्षम करा. ४. प्रत्येक भाडेकरूसाठी एक युनिक PPSK स्टोअर करण्यासाठी आणि ऑथेंटिकेशनवर योग्य VLAN गुणधर्म परत करण्यासाठी RADIUS सर्व्हर (Purple चे क्लाउड RADIUS किंवा एकात्मिक डिरेक्टरी) कॉन्फिगर करा. ५. प्रत्येक भाडेकरू कंपनीला त्यांचे युनिक PPSK Purple पोर्टलद्वारे जारी करा. ६. Sophos Firewall वर, भाडेकरू VLANs मधील सर्व ट्रॅफिक ब्लॉक करण्यासाठी इंटर-VLAN फायरवॉल नियम कॉन्फिगर करा. प्रत्येक VLAN ला फक्त इंटरनेटवर प्रवेश करण्याची अनुमती द्या. ७. सामायिक सेवांची (उदा. सामायिक प्रिंटर) आवश्यकता असलेल्या भाडेकरूंसाठी, केवळ त्या विशिष्ट संसाधनांसाठी स्पष्ट परवानगी नियम तयार करा.

परीक्षकाचे भाष्य: १५ SSIDs वरून एकावर एकत्रित केल्याने प्रति सेकंद प्रति AP १५ बीकन फ्रेम्सचा RF ओव्हरहेड दूर होतो. डायनॅमिक VLAN असाइनमेंटसह PPSK नेटवर्क लेयरवर स्वतंत्र SSIDs सारखीच विलगता प्रदान करते. मुख्य धोका RADIUS सर्व्हरच्या उपलब्धतेचा आहे: जर RADIUS सर्व्हर पोहोचण्यायोग्य नसेल, तर कोणतेही भाडेकरू कनेक्ट होऊ शकत नाहीत. हे कमी करण्यासाठी दुय्यम Purple RADIUS सर्व्हर तैनात करा आणि Sophos Central मध्ये फॉलबॅक म्हणून कॉन्फिगर करा.

सराव प्रश्न

Q1. एका रिटेल चेनने ५० स्टोअर्समध्ये Sophos AP6 ॲक्सेस पॉइंट्स तैनात केले आहेत. खरेदीदार तक्रार करत आहेत की Purple स्प्लॅश पेज लोड होण्यासाठी ३० सेकंदांपेक्षा जास्त वेळ घेते किंवा पूर्णपणे टाईम आऊट होते. IT टीमने पुष्टी केली आहे की RADIUS ऑथेंटिकेशन योग्यरित्या कॉन्फिगर केले आहे. याचे सर्वात संभाव्य कारण काय आहे आणि तुम्ही त्याचे निवारण कसे कराल?

टीप: वापरकर्ता ऑथेंटिकेशन टप्प्यापर्यंत पोहोचण्यापूर्वी काय घडते याचा विचार करा.

नमुना उत्तर पहा

Walled Garden अपूर्ण आहे. Sophos Firewall ऑथेंटिकेशनपूर्वी Purple च्या CSS आणि JavaScript ॲसेट्सना किंवा सोशल लॉगिन CDN डोमेन्सना ब्लॉक करत आहे. गेस्ट VLAN साठी Sophos Firewall वर पॅकेट कॅप्चर सक्षम करा आणि ऑथेंटिकेशन न झालेल्या क्लायंट्सकडून ब्लॉक केलेल्या ट्रॅफिकसाठी फिल्टर करा. ब्लॉक केलेले डोमेन्स ओळखा आणि त्यांना Wireless > Hotspot Settings अंतर्गत Walled Garden मध्ये जोडा. तसेच ऑथेंटिकेशनपूर्वी DNS (UDP पोर्ट ५३) ला परवानगी असल्याची खात्री करा. DNS रिझोल्यूशनशिवाय, डिव्हाइस Purple पोर्टल होस्टनेम रिझॉल्व्ह करू शकत नाही आणि रिडायरेक्ट त्वरित अयशस्वी होते.

Q2. तुम्ही Sophos AP6 ॲक्सेस पॉइंट्सचा वापर करून ५,००० आसनी स्टेडियमसाठी Guest WiFi तैनातीची रचना करत आहात. इव्हेंट दरम्यान ४,००० एकाच वेळी असणाऱ्या फॅन कनेक्शन्सची अपेक्षा आहे. तुम्ही गेस्ट SSID ला NAT मोडमध्ये कॉन्फिगर करावे की Bridge मोडमध्ये? तुमच्या निर्णयाचे समर्थन करा.

टीप: ४,००० एकाच वेळी असणाऱ्या कनेक्शन्सद्वारे निर्माण होणाऱ्या DHCP लोडचा विचार करा.

नमुना उत्तर पहा

Bridge मोड. ४,००० एकाच वेळी असणाऱ्या कनेक्शन्सवर, NAT मोड Sophos APs च्या किंवा फायरवॉलच्या ऑन-बोर्ड DHCP सर्व्हरवर अतिरिक्त ताण टाकेल. Bridge मोडमध्ये, APs गेस्ट ट्रॅफिक थेट एका समर्पित VLAN वर पाठवतात आणि एंटरप्राइझ DHCP सर्व्हर IP ॲड्रेस असाइनमेंट हाताळतात. हे DHCP संपण्यापासून प्रतिबंधित करते आणि अचूक ॲनालिटिक्ससाठी Purple प्लॅटफॉर्मला खरा क्लायंट IP ॲड्रेस मिळण्याची खात्री करते. Bridge मोड NAT मोडपेक्षा जास्त थ्रूटपुट देखील प्रदान करतो, जे उच्च-घनता असलेल्या इव्हेंट वातावरणासाठी महत्त्वाचे आहे. अपेक्षेपेक्षा जास्त असलेल्या पीक लोडसाठी पुरेशा ॲड्रेसेससह आणि २०% बफरसह कोर नेटवर्कवर DHCP स्कोप कॉन्फिगर करा.

Q3. तुमचे Purple Analytics डॅशबोर्ड लॉगिनची अचूक संख्या दर्शवते, परंतु सर्व सेशन कालावधी शून्य मिनिटे म्हणून नोंदवले जातात आणि बँडविड्थ वापर ट्रॅक केला जात नाही. गेस्ट पोर्टल योग्यरित्या कार्य करत आहे आणि गेस्ट इंटरनेट ब्राउझ करू शकतात. कोणते कॉन्फिगरेशन घटक गहाळ आहे?

टीप: ऑथेंटिकेशन प्रवेश मंजूर करते. प्रवेश मंजूर झाल्यानंतर वापरावर कोण लक्ष ठेवते?

नमुना उत्तर पहा

RADIUS अकाउंटिंग कॉन्फिगर केलेले नाही किंवा ब्लॉक केले जात आहे. पोर्ट १८१२ वरील ऑथेंटिकेशन इंटरनेट प्रवेश मंजूर करते, परंतु पोर्ट १८१३ वरील अकाउंटिंग ही अशी यंत्रणा आहे जी सेशनचा कालावधी आणि बँडविड्थ डेटा Purple कडे परत नोंदवते. अकाउंटिंग सर्व्हर योग्य शेअर्ड सिक्रेटसह पोर्ट १८१३ वरील Purple RADIUS IP वर सेट केला असल्याची पुष्टी करण्यासाठी Sophos Firewall कॉन्फिगरेशन तपासा. नंतर Sophos Firewall आणि Purple च्या क्लाउड RADIUS सर्व्हरमधील कोणत्याही इंटरमीडिएट ACL किंवा फायरवॉल नियमाद्वारे UDP पोर्ट १८१३ ब्लॉक केलेले नाही याची खात्री करा. अकाउंटिंग पॅकेट्स Sophos Firewall मधून बाहेर पडत आहेत आणि त्यांना प्रतिसाद मिळत आहेत याची पुष्टी करण्यासाठी पॅकेट कॅप्चर वापरा.

Q4. एका को-वर्किंग स्पेस ऑपरेटरला त्यांच्या २० भाडेकरू कंपन्यांपैकी प्रत्येकाला एक वेगळा नेटवर्क सेगमेंट देण्यासाठी Sophos PPSK वापरायचा आहे. कॉन्फिगरेशननंतर, सर्व PPSK वापरकर्ते यशस्वीरित्या कनेक्ट होतात परंतु ते कोणतेही PPSK वापरत असले तरीही सर्व एकाच VLAN वर पोहोचतात. याचे सर्वात संभाव्य कारण काय आहे?

टीप: RADIUS सर्व्हरने काय परत करणे आवश्यक आहे आणि AP ने काय स्वीकारणे आवश्यक आहे याचा विचार करा.

नमुना उत्तर पहा

याची दोन संभाव्य कारणे आहेत. पहिले, RADIUS सर्व्हर Access-Accept मेसेजमध्ये योग्य VLAN ॲट्रिब्युट्स परत करत नाही. RADIUS सर्व्हर प्रत्येक PPSK साठी Tunnel-Type = 13 (VLAN), Tunnel-Medium-Type = 6 (IEEE-802), आणि Tunnel-Private-Group-ID = योग्य VLAN ID परत करत असल्याची खात्री करा. दुसरे, Sophos Central मधील SSID वर RADIUS VLAN असाइनमेंट सक्षम नसू शकते. SSID च्या Advanced Settings वर जा आणि RADIUS VLAN असाइनमेंट टॉगल ऑन असल्याची खात्री करा. Access-Accept मेसेजेसची तपासणी करण्यासाठी आणि VLAN ॲट्रिब्युट्स उपस्थित आणि योग्यरित्या फॉरमॅट केलेले असल्याची पुष्टी करण्यासाठी RADIUS डीबग लॉग किंवा पॅकेट कॅप्चर वापरा.

या मालिकेमध्ये पुढे वाचा

CommScope Ruckus चे Purple WiFi सोबत एकत्रीकरण: सेटअप आणि कॉन्फिगरेशन मार्गदर्शिका

हे तांत्रिक संदर्भ मार्गदर्शक Purple WiFi सोबत CommScope Ruckus आर्किटेक्चर समाकलित करण्यासाठी एक अधिकृत कॉन्फिगरेशन प्लेबुक प्रदान करते. यात Guest WiFi Captive Portals, 802.1X द्वारे सुरक्षित Staff WiFi, आणि Ruckus Dynamic PSK वापरून Multi-Tenant नेटवर्क अलगाव (network isolation) साठी चरण-दर-चरण उपयोजनांची तपशीलवार माहिती दिली आहे.

मार्गदर्शिका वाचा →

Allied Telesis Access Points चे Purple WiFi सोबत एकत्रीकरण

हे मार्गदर्शक Allied Telesis TQ-Series access points ला Purple WiFi सोबत एकत्रित करण्यासाठी एक सर्वसमावेशक कॉन्फिगरेशन प्लेबुक प्रदान करते. यामध्ये बाह्य Captive Portal रिडायरेक्शन, 802.1X RADIUS ऑथेंटिकेशन आणि सुरक्षित मल्टी-टेनंट डिप्लॉयमेंट्ससाठी Private Pre-Shared Keys (PPSK) वापरून डायनॅमिक VLAN स्टिअरिंग समाविष्ट आहे.

मार्गदर्शिका वाचा →

Purple WiFi सोबत Grandstream GWN ऍक्सेस पॉइंट्सचे एकत्रीकरण (Integration)

हे अधिकृत तांत्रिक संदर्भाचे मार्गदर्शक Grandstream GWN ऍक्सेस पॉइंट्सला Purple च्या Guest WiFi आणि ॲनालिटिक्स प्लॅटफॉर्मसह कसे समाकलित करावे हे तपशीलवार स्पष्ट करते. यामध्ये Grandstream Captive Portal कॉन्फिगरेशन, RADIUS AAA सेटिंग्ज, वॉल्ड गार्डन सेटअप, डायनॅमिक VLAN स्टिअरिंगसह सुरक्षित कर्मचारी 802.1X प्रमाणीकरण (Authentication), आणि मल्टी-टेनंट PPSK विभागणी समाविष्ट आहे - जे MSPs आणि IT टीम्सना मोठ्या प्रमाणावर अतिथी आणि कर्मचारी WiFi तैनात करण्यासाठी टप्प्याटप्प्याने कृतीयोग्य मार्गदर्शन प्रदान करते.

मार्गदर्शिका वाचा →