Guest WiFi सेट अप करण्यासाठी एंटरप्राइझ मार्गदर्शक: सुरक्षितता, विभागणी (Segmentation) आणि गती

ब्रिटिश इंग्रजीमध्ये एका आत्मविश्वासाने भरलेल्या, अधिकारयुक्त आणि संवादात्मक स्वरात बोला - जसे की एखादे ज्येष्ठ नेटवर्क कन्सल्टंट बोर्ड मीटिंगपूर्वी CTO ला माहिती देत आहेत. मोजलेला वेग, स्पष्ट शब्दोच्चार, अधूनमधून सुका विनोद. व्यावसायिक परंतु ताठर नाही: Purple तांत्रिक संक्षिप्त अहवालात आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण अशा विषयावर बोलत आहोत जो IT डोकेदुखी आणि अस्सल व्यावसायिक संधीच्या अगदी मध्यभागी आहे: योग्यरित्या अतिथी WiFi सेटअप करणे. "राउटर प्लग इन करा आणि चांगल्याची आशा ठेवा" ही आवृत्ती नाही. एंटरप्राइझ आवृत्ती. जी तुमच्या ऑडिटर्सना आनंदी ठेवते, तुमच्या अतिथींना जोडलेले ठेवते आणि तुमचे कॉर्पोरेट नेटवर्क सुरक्षित ठेवते. [थोडा विराम] चला संदर्भापासून सुरुवात करूया. अतिथी WiFi आता केवळ एक अतिरिक्त सोय राहिलेली नाही. ती पायाभूत सुविधा आहे. Purple चे प्लॅटफॉर्म ८०,००० पेक्षा जास्त थेट ठिकाणांवर चालते - Premier Inn हॉटेल्सपासून ते Manchester Airports Group पर्यंत, Harrods पासून ते McDonald's पर्यंत. आणि त्या प्रत्येक उपयोजनामध्ये एक गोष्ट सामायिक आहे? ज्या क्षणी अतिथी WiFi बंद पडते, किंवा त्यात उल्लंघन होते, किंवा अनुपालन ऑडिटमध्ये अपयशी ठरते, ती इमारतीतील सर्वात दृश्यमान IT अपयश बनते. त्यामुळे तुमचे असे होणार नाही याची खात्री करूया. [थोडा विराम] विभाग एक: आर्किटेक्चर. आपण प्रत्यक्षात काय तयार करत आहोत? योग्यरित्या डिझाइन केलेल्या अतिथी WiFi उपयोजनामध्ये तीन वेगळे नेटवर्क झोन असतात, कधीकधी चार. झोन एक म्हणजे तुमचे अतिथी नेटवर्क - फक्त इंटरनेट प्रवेश, तुमच्या कॉर्पोरेट पायाभूत सुविधांपासून पूर्णपणे वेगळे. झोन दोन म्हणजे तुमचे कर्मचारी नेटवर्क - प्रमाणीकृत, कूटबद्ध केलेले, अंतर्गत संसाधनांच्या प्रवेशासह. झोन तीन म्हणजे तुमचे IoT नेटवर्क - इमारत व्यवस्थापन प्रणाली, प्रिंटर, सेन्सर, हे सर्व अतिथी आणि कर्मचारी दोघांपासून वेगळे केलेले. आणि जर तुम्ही किरकोळ किंवा आदरातिथ्य क्षेत्रात असाल, तर झोन चार हा तुमचा कॉर्पोरेट LAN आहे, ज्यामध्ये तुमच्या पॉइंट-ऑफ-सेल प्रणाली आणि कार्डधारकांच्या डेटाला स्पर्श करणाऱ्या कोणत्याही गोष्टीचा समावेश असतो. येथे सर्वात महत्त्वाचा शब्द आहे वेगळे केलेले. पासवर्डने विभक्त केलेले नाही. एकाच सबनेट सामायिक करणाऱ्या वेगवेगळ्या SSID वर नाही. नेटवर्क लेयरवर, VLANs - व्हर्च्युअल लोकल एरिया नेटवर्क - वापरून, प्रत्येक झोनमध्ये स्टेटफुल फायरवॉल नियमांसह खरोखर वेगळे केलेले. [थोडा विराम] याला इतके महत्त्व का आहे? दोन शब्द: PCI-DSS. PCI-DSS - पेमेंट कार्ड इंडस्ट्री डेटा सिक्युरिटी स्टँडर्ड - आवश्यक आहे की कार्डधारकांचा डेटा वाहून नेणारे कोणतेही नेटवर्क अतिथी प्रवेश करू शकतील अशा कोणत्याही नेटवर्कपासून पूर्णपणे वेगळे असावे. जर तुमचे अतिथी WiFi आणि तुमचे पॉइंट-ऑफ-सेल टर्मिनल्स एकच नेटवर्क सेगमेंट सामायिक करत असतील, तर तुमची संपूर्ण मालमत्ता PCI च्या कक्षेत येते. याचा अर्थ त्रैमासिक बाह्य असुरक्षितता स्कॅन, वार्षिक पेनिट्रेशन चाचण्या आणि अनुपालनाचा असा बोजा ज्याचा खर्च तुम्ही न केलेल्या VLAN कॉन्फिगरेशनपेक्षा कितीतरी जास्त आहे. यावरील उपाय सोपा आहे. अतिथींसाठी VLAN 10. कर्मचाऱ्यांसाठी VLAN 20. IoT साठी VLAN 30. तुमच्या कॉर्पोरेट LAN साठी VLAN 1. फायरवॉल नियम जे VLAN 10 कडून VLAN 20 आणि 1 कडील रहदारीला स्पष्टपणे नकार देतात. झाले. तुमची PCI व्याप्ती नाटकीयरित्या कमी होते. [थोडा विराम] आता आपण एन्क्रिप्शनबद्दल बोलूया. आज तुम्ही लागू केले पाहिजे ते मानक म्हणजे WPA3 - Wi-Fi Protected Access 3 मानक, जे Wi-Fi Alliance द्वारे मंजूर केले आहे. WPA3 हे WPA2 ची जागा घेते आणि दोन गंभीर त्रुटी दूर करते: ते KRACK हल्ला वेक्टर काढून टाकते आणि Simultaneous Authentication of Equals - SAE - सादर करते जे कॅप्चर केलेल्या हँडशेकवर ऑफलाइन डिक्शनरी हल्ले रोखते. विशेषतः अतिथी नेटवर्क्ससाठी, Enhanced Open मोडमधील WPA3, ज्याला OWE - Opportunistic Wireless Encryption - देखील म्हटले जाते, ते समजून घेणे महत्त्वाचे आहे. OWE पासवर्डची आवश्यकता नसताना प्रत्येक डिव्हाइस आणि ॲक्सेस पॉइंट दरम्यानच्या ट्रॅफिकला एन्क्रिप्ट करते. अतिथी विनाव्यत्यय कनेक्ट होतात, परंतु त्यांचे ट्रॅफिक ट्रान्झिटमध्ये एन्क्रिप्ट केलेले असते. आता ओपन नेटवर्क्सवर पॅसिव्ह स्निफिंगची भीती नाही. तुमच्या कर्मचारी नेटवर्कसाठी, तुम्हाला 802.1X ऑथेंटिकेशनसह WPA3 Enterprise हवे असेल. 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठीचे IEEE मानक आहे. नेटवर्क ॲक्सेस देण्यापूर्वी प्रत्येक डिव्हाइस स्वतंत्रपणे ऑथेंटिकेट करण्यासाठी ते RADIUS सर्व्हर - Remote Authentication Dial-In User Service - चा वापर करते. डिव्हाइस क्रेडेंशियल सादर करते, RADIUS सर्व्हर तुमच्या आयडेंटिटी प्रोव्हाइडर - Microsoft Entra ID, Okta, किंवा Google Workspace हे प्रामाणिक पर्याय आहेत - विरुद्ध त्यांचे प्रमाणीकरण करतो आणि त्यानंतरच ॲक्सेस पॉइंट पोर्ट ओपन करतो. [short pause] हे आपल्याला ऑथेंटिकेशन पद्धतींकडे घेऊन जाते. 802.1X अंतर्गत, तुमच्याकडे अनेक EAP - Extensible Authentication Protocol - व्हेरिएंट्स आहेत. EAP-TLS परस्पर सर्टिफिकेट-आधारित ऑथेंटिकेशन वापरते. सर्व्हर आणि क्लायंट दोन्ही सर्टिफिकेट सादर करतात. हा सर्वात सुरक्षित पर्याय आहे आणि तुम्ही मॅनेज्ड डिव्हाइसेस तैनात करत असलेल्या कोणत्याही वातावरणासाठी हाच शिफारस केलेला पर्याय आहे. EAP-TTLS आणि PEAP - Protected EAP - क्लायंटकडून युझरनेम आणि पासवर्ड क्रेडेंशियलसह सर्व्हर-साइड सर्टिफिकेट वापरतात. ते तैनात करणे सोपे आहे परंतु थोडे कमी सुरक्षित आहेत. अतिथी नेटवर्क्ससाठी, तुम्ही 802.1X वापरत नाही. तुम्ही Captive Portal वापरत आहात - एक वेब पेज जे अतिथीच्या ब्राउझर सेशनला इंटरसेप्ट करते आणि इंटरनेट ॲक्सेस देण्यापूर्वी त्यांना ऑथेंटिकेट करणे आवश्यक करते. Captive Portal च्या ठिकाणीच GDPR लागू होते. [short pause] GDPR - General Data Protection Regulation - नुसार तुम्ही Captive Portal वर गोळा करत असलेल्या कोणत्याही वैयक्तिक डेटासाठी कायदेशीर आधार असणे आवश्यक आहे. अतिथी WiFi साठी, तो आधार बहुतांश वेळा संमती (consent) हाच असतो. आणि GDPR अंतर्गत संमती ही पूर्णपणे स्वेच्छेने दिलेली, विशिष्ट, माहितीपूर्ण आणि स्पष्ट असावी लागते. आधीच टिक केलेले बॉक्सेस ग्राह्य धरले जात नाहीत. नेटवर्क ॲक्सेससह मार्केटिंग संमती एकत्रित करणे ग्राह्य धरले जात नाही. ग्राह्य धरले जाते ते म्हणजे ज्याला Purple कॉन्शियस-चॉईस ऑप्ट-इन्स (conscious-choice opt-ins) म्हणते. अतिथीला एक स्पष्ट, प्रामाणिक पर्याय दिसतो: WiFi ला कनेक्ट करा, आणि पर्यायी म्हणून, जर तुम्हाला मार्केटिंग कम्युनिकेशन्स मिळवायचे असतील तर या बॉक्सवर टिक करा. नेटवर्क ॲक्सेस आणि मार्केटिंग संमती हे दोन स्वतंत्र निर्णय आहेत. हे GDPR सुसंगत आहे. योगायोगाने, यामुळेच तुम्ही गोळा करत असलेला डेटा उच्च गुणवत्तेचा असतो - कारण ज्या लोकांनी ऑप्ट-इन केले आहे त्यांना खरोखरच तो हवा होता. Purple कडे ISO 27001, GDPR, CCPA, आणि Cyber Essentials सर्टिफिकेशन्स आहेत. याचा अर्थ असा की जेव्हा तुम्ही Purple ला तुमचा captive portal लेयर म्हणून डिप्लॉय करता, तेव्हा कंप्लायन्स फ्रेमवर्क आधीपासूनच त्यात समाविष्ट असते. तुम्हाला शून्यापासून सुरुवात करावी लागत नाही. [short pause] विभाग दोन: तांत्रिक सखोल विश्लेषण. हार्डवेअर आणि डिप्लॉयमेंटबद्दल विशिष्ट गोष्टींवर बोलूया. Purple हे हार्डवेअर-अज्ञेयवादी (hardware-agnostic) आहे. हे तुमच्या सध्याच्या ॲक्सेस पॉइंट्सवर क्लाउड ओव्हरले म्हणून डिप्लॉय होते. कॅनॉनिकल हार्डवेअर लिस्टमध्ये Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, आणि Fortinet यांचा समावेश आहे. जर तुम्ही यापैकी कोणतेही रन करत असाल, तर तुम्ही तुमच्या गेस्ट SSID ला Purple च्या RADIUS किंवा captive portal एंडपॉइंटवर पॉइंट करण्यासाठी कॉन्फिगर करता, आणि तिथून प्लॅटफॉर्म ऑथेंटिकेशन, डेटा कॅप्चर आणि ॲनालिटिक्स हाताळतो. एका सामान्य हॉटेल किंवा कॉन्फरन्स सेंटरसाठी डिप्लॉयमेंट सिक्वेन्स खालीलप्रमाणे असतो. पहिले, तुम्ही कोर स्विचवर तुमचे VLANs कॉन्फिगर करता. दुसरे, तुम्ही वायरलेस कंट्रोलरवर तुमचे SSIDs तयार करता - एक गेस्टसाठी, एक स्टाफसाठी, एक IoT साठी. तिसरे, तुम्ही प्रत्येक SSID ला त्याच्या संबंधित VLAN शी मॅप करता. चौथे, तुम्ही झोन आयसोलेशन लागू करण्यासाठी तुमचे फायरवॉल नियम कॉन्फिगर करता. पाचवे, तुम्ही तुमच्या गेस्ट SSID ला Purple च्या captive portal कडे पॉइंट करता. सहावे, तुम्ही तुमच्या स्टाफ SSID ला तुमच्या RADIUS सर्व्हरवर ऑथेंटिकेट करण्यासाठी कॉन्फिगर करता, जे पुढे तुमच्या आयडेंटिटी प्रोव्हाइडरला क्वेरी पाठवते. हा केवळ साचा आहे. सविस्तर माहिती तपशीलात आहे. [short pause] बँडविड्थ मॅनेजमेंटवर: गेस्ट नेटवर्कला QoS - क्वालिटी ऑफ सर्विस - पॉलिसीची आवश्यकता असते जेणेकरून कोणतेही एक डिव्हाइस तुमच्या अपलिंकला सॅच्युरेट करणार नाही. प्रति डिव्हाइस 10 megabits प्रति सेकंद डाउनलोड आणि 5 megabits प्रति सेकंद अपलोड हा एक योग्य सुरवातीचा बिंदू आहे, ज्यामध्ये SSID स्तरावर हार्ड कॅप असते. हाय-डेन्सिटी डिप्लॉयमेंट्स असलेल्या ठिकाणांसाठी - स्टेडियम्स, कॉन्फरन्स सेंटर्स - सक्षम डिव्हाइसेसना 5 gigahertz बँडवर आणि जर तुमचे ॲक्सेस पॉइंट्स Wi-Fi 6E ला सपोर्ट करत असतील तर संभाव्यतः 6 gigahertz वर पुश करण्यासाठी तुम्हाला बँड स्टिअरिंगचा वापर करावा लागेल. DNS वर: तुमच्या गेस्ट VLAN ने मालवेअरयुक्त आणि हानिकारक डोमेन्स फिल्टर करणारा DNS रिझॉल्व्हर वापरला पाहिजे. जर तुम्ही हेल्थकेअर किंवा एज्युकेशन क्षेत्रात असाल तर हे ऐच्छिक नाही - तुमच्या नेटवर्कचा वापर हानिकारक कंटेंट ॲक्सेस करण्यासाठी केला जाऊ नये यासाठी हे एक सुरक्षा कवच आहे. Purple चे Shield ॲड-ऑन हे प्लॅटफॉर्म स्तरावर प्रदान करते. [short pause] विभाग तीन: अंमलबजावणीतील त्रुटी आणि त्या कशा टाळायच्या. त्रुटी एक: फ्लॅट नेटवर्क्स. मी अजूनही हे रिटेल वातावरणात पाहतो. एक SSID, एक सबनेट, गेस्ट्स आणि पॉइंट-ऑफ-सेल टर्मिनल्स एकाच ब्रॉडकास्ट डोमेनवर. हे PCI-DSS आवश्यकता 1.3 चे उल्लंघन करते, जे अनट्रस्टेड नेटवर्क्स आणि कार्डहोल्डर डेटा एन्व्हायरनमेंट यांच्यात नेटवर्क सेगमेंटेशन अनिवार्य करते. तुमच्या पुढील QSA व्हिजिटपूर्वी VLANs वापरून हे दुरुस्त करा. त्रुटी दोन: captive portals वरील सेल्फ-साइन केलेले सर्टिफिकेट्स. जेव्हा एखादा गेस्ट तुमच्या नेटवर्कशी कनेक्ट होतो आणि त्याच्या ब्राउझरवर सर्टिफिकेट वॉर्निंग दिसते, तेव्हा ते एकतर त्यावर क्लिक करून पुढे जातात - ज्यामुळे त्यांना सुरक्षा इशाऱ्यांकडे दुर्लक्ष करण्याची सवय लागते - किंवा ते सोडून जातात. तुमच्या captive portal वर मान्यताप्राप्त सर्टिफिकेट ऑथॉरिटीचे वैध TLS सर्टिफिकेट वापरा. Let's Encrypt विनामूल्य आहे. यासाठी कोणतेही सबब चालणार नाही. तिसरी चूक: कोणताही session timeout नसणे. अतिथींचे sessions संपले पाहिजेत. हॉस्पिटॅलिटीसाठी २४ तासांचा session timeout योग्य आहे. रिटेलसाठी ४ तासांचा timeout योग्य आहे. timeout शिवाय, सहा महिन्यांपूर्वी कनेक्ट केलेल्या डिव्हाइसचे session अजूनही सक्रिय राहते - आणि संभाव्यतः तुमच्या ॲनालिटिक्समध्ये ते अजूनही "visitor" म्हणून दिसते. चौथी चूक: ॲक्सेस लॉग्ज गहाळ असणे. GDPR आणि बहुतेक राष्ट्रीय दूरसंचार नियमांनुसार तुम्हाला कनेक्शन लॉग्ज - IP address, MAC address, टाइमस्टॅम्प, session कालावधी - एका निश्चित कालावधीसाठी ठेवणे आवश्यक असते. Purple हे आपोआप राखून ठेवते आणि कायद्याची अंमलबजावणी करणाऱ्या संस्थांच्या विनंतीनुसार सुसंगत फॉरमॅटमध्ये एक्सपोर्ट करते. तुम्ही स्वतः तयार केलेले Captive Portal चालवत असल्यास, तुमचे लॉगिंग कॉन्फिगर केले असल्याची आणि तुमचे रिटेंशन पॉलिसी दस्तऐवजीकरण केले असल्याची खात्री करा. [short pause] विभाग चार: रॅपिड-फायर प्रश्न. मला IoT डिव्हाइसेससाठी स्वतंत्र SSID ची आवश्यकता आहे का? होय. IoT डिव्हाइसेस हे लॅटरल मूव्हमेंट हल्ल्यांसाठी सर्वात सामान्य माध्यम आहेत. त्यांना वेगळे करा. मी अतिथी आणि कर्मचाऱ्यांसाठी एकच ऍक्सेस पॉईंट वापरू शकतो का? होय, जर ते वेगवेगळ्या VLANs शी मॅप केलेल्या अनेक SSIDs ला सपोर्ट करत असेल तर. बहुतेक एंटरप्राइझ ऍक्सेस पॉईंट्स सपोर्ट करतात. फक्त स्विचवरील ट्रंक पोर्ट योग्यरित्या कॉन्फिगर केले असल्याची खात्री करा. WPA3 मुळे जुनी डिव्हाइसेस बंद पडतात का? काही जुनी डिव्हाइसेस WPA3 ला सपोर्ट करत नाहीत. जुन्या उपकरणांशी सुसंगतता राखण्यासाठी आणि सक्षम उपकरणांना WPA3 ऑफर करण्यासाठी तुमचे SSID WPA2/WPA3 ट्रान्झिशन मोडमध्ये कॉन्फिगर करा. Passpoint आणि Captive Portal मध्ये काय फरक आहे? Passpoint - ज्याला Hotspot 2.0 म्हणूनही ओळखले जाते - डिव्हाइसेसना कोणत्याही Captive Portal परस्परसंवादाशिवाय, आधीपासून उपलब्ध करून दिलेल्या क्रेडेंशियलचा वापर करून आपोआप कनेक्ट होण्याची परवानगी देते. वारंवार येणाऱ्या अभ्यागतांसाठी किंवा लॉयल्टी प्रोग्रामच्या सदस्यांसाठी हे आदर्श आहे. Purple हे Passpoint आणि OpenRoaming ला सपोर्ट करते, जे सहभागी ठिकाणांच्या फेडरेटेड नेटवर्कवर स्वयंचलित कनेक्शनचा विस्तार करते. [short pause] विभाग पाच: सारांश आणि पुढील पावले. या माहितीमधून तुम्ही काय शिकले पाहिजे ते येथे दिले आहे. एक: तुमचे नेटवर्क विभाजित करा. अतिथी, कर्मचारी, IoT आणि कॉर्पोरेट LAN वेगवेगळ्या VLANs वर त्यांच्यामध्ये स्पष्ट फायरवॉल नियमांसह ठेवा. सुरक्षा आणि अनुपालनासाठी तुम्ही करू शकत असलेली ही सर्वात प्रभावी गोष्ट आहे. दोन: जिथे तुमचे हार्डवेअर सपोर्ट करते तिथे WPA3 तैनात करा. कर्मचाऱ्यांसाठी WPA3 Enterprise. अतिथींसाठी WPA3 Enhanced Open किंवा Captive Portal. तीन: तुमचे Captive Portal GDPR-सुसंगत बनवा. नेटवर्क ॲक्सेस मार्केटिंग संमतीपासून वेगळा करा. जाणीवपूर्वक निवडलेल्या ऑप्ट-इन्सचा वापर करा. कनेक्शन लॉग्ज राखून ठेवा. चार: Purple सारखे हार्डवेअर-अज्ञेयवादी क्लाउड ओव्हरले वापरा. तुम्ही कोणताही ऍक्सेस पॉईंट विक्रेता वापरत असलात तरीही, ते तुम्हाला तुमच्या संपूर्ण मालमत्तेमध्ये सुसंगत अतिथी अनुभव देते. आणि ते तुमच्या अतिथी WiFi ला खर्चाच्या केंद्रामधून फर्स्ट-पार्टी डेटाच्या स्त्रोतामध्ये बदलते. पाच: याचे मोजमाप करा. Purple चे ॲनालिटिक्स प्लॅटफॉर्म तुम्हाला फूटफॉल डेटा, थांबलेला वेळ, रिटर्न व्हिजिटचे दर आणि लोकसंख्याशास्त्रीय अंतर्दृष्टी देते - हे सर्व WiFi कनेक्शन डेटावरून मिळते. ही अशा प्रकारची बुद्धिमत्ता आहे जी अशा बोर्डाला इन्फ्रास्ट्रक्चरच्या गुंतवणुकीचे समर्थन करते ज्यांना VLANs ची काळजी नसते पण महसुलाची काळजी असते. [short pause] तुम्हाला यापैकी कोणत्याही विषयावर सखोल माहिती हवी असल्यास, संपूर्ण लेखी मार्गदर्शिका Purple वेबसाइटवर उपलब्ध आहे. यामध्ये VLAN कॉन्फिगरेशन, RADIUS सेटअप, GDPR डेटा मॅपिंग आणि हॉस्पिटॅलिटी, रिटेल आणि स्टेडियम डेप्लॉयमेंट्समधील प्रत्यक्ष उदाहरणांचा समावेश आहे. Purple टेक्निकल ब्रीफ ऐकल्याबद्दल धन्यवाद. पुढील भागात पुन्हा भेटू.