PPSK: वैशिष्ट्ये आणि डिप्लॉयमेंट मॉडेल्सची तुलना

ब्रिटीश इंग्रजीमध्ये एका आत्मविश्वासाने भरलेल्या, अधिकारवाणीच्या आणि संभाषणात्मक सुरात बोला - जसे की एखादे ज्येष्ठ नेटवर्क सल्लागार मीटिंग रूममध्ये क्लायंटला माहिती देत आहेत. मोजलेला वेग, स्पष्ट शब्दोच्चार, आपुलकीचा पण थेट संवाद. हे कोणतेही व्याख्यान किंवा सेल्स पिच नाही - हा दोन तज्ज्ञांमधील संवाद आहे: Purple तांत्रिक माहिती मालिकेमध्ये आपले स्वागत आहे. आज आपण PPSK - Private Pre-Shared Key - बद्दल माहिती घेणार आहोत - ते काय आहे, इतर ऑथेंटिकेशन पर्यायांच्या तुलनेत ते कसे आहे आणि सर्वात महत्त्वाचे म्हणजे, आपण ते प्रत्यक्ष केव्हा लागू केले पाहिजे. [short pause] मी आधी पार्श्वभूमी स्पष्ट करतो. आपण वेगवेगळ्या प्रॉपर्टीजच्या पोर्टफोलिओमधील WiFi चे व्यवस्थापन करत आहात. हे Build to Rent डेव्हलपमेंट, हॉटेल ग्रुप, रिटेल इस्टेट किंवा मिक्स्ड-युज कॅम्पस असू शकते. आपल्याकडे शेकडो किंवा हजारो युजर्स आहेत, IoT डिव्हाइसेसची संख्या सतत वाढत आहे, आणि आपल्याला वेगवेगळ्या युजर ग्रुप्समध्ये नेटवर्क आयसोलेशन हवे आहे - तेही संपूर्ण 802.1X एंटरप्राइझ डिप्लॉयमेंटच्या ऑपरेशनल त्रासाशिवाय. PPSK ची रचना नेमकी याच समस्येचे निवारण करण्यासाठी करण्यात आली आहे. [medium pause] तर मग PPSK म्हणजे काय? या शब्दाचा अर्थ Private Pre-Shared Key असा आहे. आपल्याला याला iPSK - Identity Pre-Shared Key - असे म्हटले जात असल्याचे देखील ऐकू येईल, जे Cisco चे तंत्रज्ञान आहे, किंवा Cambium आणि Juniper Mist कडून याला ePSK म्हटले जाते. Aruba याला PPSK म्हणते. व्हेंडरचे नाव काहीही असले तरी याची संकल्पना अगदी सारखीच आहे: प्रत्येक युजर किंवा डिव्हाइसला एकाच SSID वर स्वतःचा वेगळा आणि युनिक WiFi पासवर्ड मिळतो. याची तुलना सामान्य WPA2 पर्सनलशी करा, जिथे नेटवर्कवरील प्रत्येक डिव्हाइस एकच पासवर्ड शेअर करते. जर तो पासवर्ड लीक झाला, तर प्रत्येकाची सुरक्षा धोक्यात येते. जर एखादी व्यक्ती तुमची बिल्डिंग सोडून गेली, तर तुम्हाला एकतर सर्वांसाठी पासवर्ड बदलावा लागतो किंवा त्यांचा ॲक्सेस तसाच सुरू ठेवणे मान्य करावे लागते. मोठ्या प्रमाणावर काम करताना यापैकी कोणताही पर्याय स्वीकारण्याजोगा नाही. PPSK ही समस्या दूर करते. प्रत्येक रहिवासी, प्रत्येक सदस्य, प्रत्येक डिव्हाइसला एक युनिक क्रेडेंशियल मिळते. जेव्हा कोणी सोडून जाते, तेव्हा आपण त्यांची की रद्द (revoke) करता. इतरांवर याचा कोणताही परिणाम होत नाही. त्यांचे डिव्हाइसेस कनेक्ट होणे थांबते. काम संपले. [short pause] आता साहजिकच प्रश्न येतो की - फक्त 802.1X का वापरू नये? हा पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठीचा IEEE स्टँडर्ड आहे. हा प्रत्येक युजरला वैयक्तिकरित्या ऑथेंटिकेट करण्यासाठी RADIUS सर्व्हर वापरतो, हा डिजिटल सर्टिफिकेट्ससह EAP-TLS ला सपोर्ट करतो, आणि हा Microsoft Entra ID, Okta, Google Workspace सोबत इंटिग्रेट होतो. कॉर्पोरेट कर्मचारी नेटवर्कसाठी हा सुवर्ण मानदंडासारखा आहे. याचे उत्तर असे आहे: 802.1X हा अशा मॅनेज्ड कॉर्पोरेट डिव्हाइसेससाठी योग्य पर्याय आहे जिथे एंडपॉइंटवर तुमचे नियंत्रण असते. पण आयटी साक्षर नसलेल्या शेकडो रहिवाशांना जोडण्यासाठी, IoT डिव्हाइसेससाठी, किंवा निवासी इमारतींमधील BYOD परिस्थितींसाठी हा योग्य पर्याय नाही. IoT डिव्हाइसेस - स्मार्ट स्पीकर्स, थर्मोस्टॅट्स, ॲक्सेस कंट्रोल पॅनेल्स, CCTV कॅमेरे - बऱ्याचदा 802.1X सप्लिकंट्सना अजिबात सपोर्ट करत नाहीत. PPSK अशा कोणत्याही डिव्हाइससोबत काम करते जे WPA2 पर्सनलला सपोर्ट करते, म्हणजेच साधारणपणे प्रत्येक डिव्हाइससोबत हे काम करू शकते. [medium pause] मी तुम्हाला टेक्निकल आर्किटेक्चर समजवून सांगतो. PPSK डिप्लॉयमेंटमध्ये, तुमच्या ॲक्सेस पॉइंट्सवर एकच SSID ब्रॉडकास्ट होतो. जेव्हा एखादे डिव्हाइस कनेक्ट होते, तेव्हा ॲक्सेस पॉइंट MAC ॲड्रेस आणि ते डिव्हाइस वापरत असलेली प्री-शेअर्ड की कॅप्चर करतो. तो ही माहिती RADIUS सर्व्हरकडे - किंवा काही व्हेंडर इम्प्लिमेंटेशन्समध्ये, कंट्रोलरवरील लोकल की डेटाबेसकडे पाठवतो. सर्व्हर त्या की ला युझर रेकॉर्डशी मॅच करतो आणि एक VLAN असाइनमेंट आणि इतर अतिरिक्त पॉलिसी ॲट्रिब्युट्स परत पाठवतो. ती VLAN असाइनमेंट हा सर्वात महत्त्वाचा भाग आहे. याचा अर्थ प्रत्येक रहिवासी किंवा युझर आपोआप त्यांच्या स्वतःच्या आयसोलेटेड नेटवर्क सेगमेंटमध्ये ठेवला जातो. रहिवासी A चे डिव्हाइसेस VLAN 10 वर जातात. रहिवासी B चे डिव्हाइसेस VLAN 20 वर जातात. ते समान फिजिकल ॲक्सेस पॉइंट्स, समान अपलिंक इन्फ्रास्ट्रक्चर शेअर करतात, परंतु ते लेयर टू (layer two) वर एकमेकांना पूर्णपणे अदृश्य असतात. रहिवासी A ला रहिवासी B चा Chromecast, त्यांचा स्मार्ट TV, किंवा त्यांचा लॅपटॉप दिसू शकत नाही. हे आयसोलेशन नेटवर्कद्वारे लागू केले जाते, युझर्स चांगले वागतील अशी अपेक्षा ठेवून नाही. [short pause] यालाच Purple च्या भाषेत WiFi बबल मॉडेल म्हणतात. प्रत्येक रहिवाशाला स्वतःचा प्रायव्हेट बबल मिळतो. एकाच की वर असलेले डिव्हाइसेस एकमेकांना शोधू शकतात - त्यामुळे Chromecast चालते, स्मार्ट होम पेअरिंग काम करते, गेमिंग कन्सोलला आवश्यक असलेला NAT टाईप मिळतो. वेगवेगळ्या की वर असलेले डिव्हाइसेस एकमेकांना दिसत नाहीत. हे अगदी होम ब्रॉडबँड कनेक्शनसारखे काम करते, परंतु संपूर्ण इमारतीमधील शेअर केलेल्या इन्फ्रास्ट्रक्चरवर चालते. [medium pause] आता मी तुम्हाला दोन प्रत्यक्ष वापरातील डिप्लॉयमेंट सिनॅरिओ सांगतो. पहिला: २५० युनिट्सचा बिल्ड टू रेंट (BTR) डेव्हलपमेंट. ऑपरेटरला राहायला आल्याच्या पहिल्याच दिवशी चालू होणारे WiFi, स्मार्ट होम डिव्हाइसेससाठी पूर्ण IoT सपोर्ट आणि भाडेकरार संपल्यावर इतर कोणत्याही रहिवाशावर परिणाम न करता त्वरित ॲक्सेस काढून घेण्याची क्षमता आवश्यक असते. सामान्य गेस्ट WiFi येथे अयशस्वी ठरते कारण ते प्रत्येक डिव्हाइसला दुसऱ्या डिव्हाइसपासून वेगळे करते, ज्यामुळे Chromecast आणि स्मार्ट स्पीकर्स चालत नाहीत. स्टँडर्ड PSK अयशस्वी ठरते कारण भाडेकरू बाहेर पडल्यावर संपूर्ण इमारतीचा पासवर्ड बदलणे मोठ्या प्रमाणावर अशक्य असते. 802.1X अयशस्वी ठरते कारण रहिवासी त्यांचे स्वतःचे IoT डिव्हाइसेस आणतात जे याला सपोर्ट करत नाहीत. Cisco Meraki, HPE Aruba, किंवा Ruckus ॲक्सेस पॉइंट्सवर क्लाउड RADIUS सर्व्हरद्वारे सपोर्ट केलेले PPSK या तिन्ही समस्या सोडवते. प्रत्येक रहिवाशाला राहायला आल्यावर एक युनिक की मिळते. त्यांचे डिव्हाइसेस - फोन, लॅपटॉप, स्मार्ट TV, Alexa, थर्मोस्टॅट - हे सर्व एकाच की चा वापर करतात आणि एकाच VLAN वर येतात. ते एकमेकांना शोधू शकतात. जेव्हा भाडेकरार संपतो, तेव्हा मॅनेजमेंट पोर्टलमध्ये ती की रद्द केली जाते. त्या रहिवाशाचे डिव्हाइसेस काही सेकंदात कनेक्ट होणे बंद होतात. इतर कोणालाही याचा पत्ता लागत नाही. ब्रिटिश प्रॉपर्टी फेडरेशनच्या बेंचमार्कनुसार, BTR सेक्टरमध्ये एक सुविधा म्हणून मॅनेज्ड WiFi मुळे प्रति युनिट प्रति महिना १५ ते ३० पाउंड अतिरिक्त भाडे मिळू शकते. २५० युनिट्सच्या इमारतीवर, हे दरमहा ३,७५० ते ७,५०० पाउंड इतके अतिरिक्त उत्पन्न आहे. इन्फ्रास्ट्रक्चरचा खर्च म्हणजे तुमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्सवरील फक्त एक सॉफ्टवेअर ओव्हरले आहे. [short pause] दुसरी परिस्थिती: १८० खोल्यांचे हॉटेल. या प्रॉपर्टीला एका सोप्या, सहज उपलब्ध WiFi नेटवर्कवर पाहुण्यांना, एका वेगळ्या कॉर्पोरेट नेटवर्कवर कर्मचाऱ्यांना आणि स्मार्ट लॉक्स, HVAC सेन्सर्स, IPTV सिस्टीम्स अशा IoT उपकरणांच्या वाढत्या संख्येला सेवा देणे आवश्यक आहे. तीन वेगळे वापरकर्ते गट, एकच प्रत्यक्ष पायाभूत सुविधा (infrastructure). येथे योग्य आर्किटेक्चर म्हणजे तीन SSID आहेत: डेटा कॅप्चर आणि अटींच्या मंजुरीसाठी Captive Portal सह ओपन WiFi वापरणारा एक गेस्ट SSID, वैयक्तिक जबाबदारी आणि त्वरित प्रवेश रद्द करण्यासाठी Active Directory इंटिग्रेशनसह 802.1X वापरणारा एक स्टाफ SSID, आणि डिव्हाइस-स्तरीय की (keys) आणि कडक इग्रेस फिल्टरिंगसह समर्पित मॅनेजमेंट VLAN वापरणारा PPSK सह एक IoT SSID. IoT लेयरसाठी PPSK हे योग्य साधन आहे कारण ती उपकरणे 802.1X करू शकत नाहीत, परंतु त्यांना आयसोलेशन आणि वैयक्तिकरित्या रद्द करण्याची क्षमता असणे आवश्यक असते. [medium pause] मी थोडक्यात वेंडर लँडस्केपबद्दल सांगतो. PPSK ला सर्व प्रमुख एंटरप्राइझ ॲक्सेस पॉइंट प्लॅटफॉर्मवर सपोर्ट आहे. Cisco Meraki वर, याला Personal Private Network म्हटले जाते आणि Meraki डॅशबोर्डद्वारे लोकल की डेटाबेससह कॉन्फिगर केले जाते. HPE Aruba वर, हे PPSK आहे आणि RADIUS-backed की व्यवस्थापनासाठी Aruba ClearPass सोबत इंटिग्रेट होते. Ruckus वर, हे Dynamic PSK आहे, जे SmartZone किंवा क्लाउड कंट्रोलरद्वारे व्यवस्थापित केले जाते. Juniper Mist याला ePSK म्हणते आणि पॉलिसी ऑटोमेशनसाठी Mist AI सोबत इंटिग्रेट करते. Ubiquiti UniFi ने फर्मवेअर 3.x पासून प्रत्येक की साठी VLAN असाइनमेंटसह PPSK ला सपोर्ट केला आहे. Cambium, Extreme, आणि Fortinet या सर्वांचे समकक्ष इम्प्लिमेंटेशन्स आहेत. इम्प्लिमेंटेशन्समधील मुख्य ऑपरेशनल फरक हा आहे की की कंट्रोलरवर स्थानिक पातळीवर (locally) स्टोअर केल्या जातात की बाह्य RADIUS सर्व्हरवर व्हॅलिडेट केल्या जातात. लोकल स्टोरेज तैनात करणे सोपे आहे परंतु ते स्केल आणि इंटिग्रेशन मर्यादित करते. RADIUS-backed PPSK हजारो की पर्यंत स्केल होते आणि तुमच्या आयडेंटिटी मॅनेजमेंट स्टॅकसह इंटिग्रेट होते, परंतु यामुळे इन्फ्रास्ट्रक्चरची गुंतागुंत वाढते. पन्नासपेक्षा जास्त वापरकर्त्यांच्या उपयोजनांसाठी, RADIUS-backed हाच योग्य पर्याय आहे. [short pause] आता, अडचणींबद्दल पाहूया. PPSK उपयोजनांमध्ये तीन गोष्टी सहसा चुकीच्या ठरतात. पहिले: VLAN ट्रंक चुकीचे कॉन्फिगरेशन. तुम्ही प्रत्येक रहिवाशासाठी एक उत्कृष्ट VLAN योजना डिझाइन करता आणि AP पासून कोर स्विचपर्यंतच्या मार्गावरील प्रत्येक ट्रंक लिंकवर त्या VLAN ला परवानगी देण्यास विसरता. ट्रॅफिक शांतपणे ड्रॉप होते. रहिवासी तक्रार करतात. तुम्ही ते शोधण्यात दिवस घालवता. काम सुरू करण्यापूर्वी तुमचे ट्रंक कॉन्फिगरेशन्स डॉक्युमेंट करा आणि कमिशनिंग दरम्यान ते तपासा. दुसरे: मोठ्या प्रमाणावर की चे वितरण. युनिक की तयार करणे सोपे आहे. त्या की योग्य वेळी योग्य लोकांपर्यंत पोहोचवणे - जसे की गृहप्रवेशाच्या वेळी, रहिवासी ॲपद्वारे किंवा वेलकम पॅकवरील QR कोडद्वारे - ही एक ऑपरेशनल प्रक्रिया आहे जी गो-लाइव्ह होण्यापूर्वी डिझाइन करणे आवश्यक आहे, नंतर नाही. Purple चे प्लॅटफॉर्म तुमच्या प्रॉपर्टी मॅनेजमेंट सिस्टीमशी इंटिग्रेट होणाऱ्या ऑटोमेटेड प्रोव्हिजनिंग वर्कफ्लोद्वारे हे हाताळते. तिसरे: IoT डिव्हाइस ऑनबोर्डिंग. बहुतांश स्मार्ट होम डिव्हाइसेस सुरुवातीच्या सेटअपसाठी Bluetooth किंवा तात्पुरता लोकल WiFi हॉटस्पॉट वापरतात, आणि नंतर त्यांना रहिवाशांच्या मुख्य नेटवर्कमध्ये सामील होण्याची आवश्यकता असते. जर तुमचे PPSK इम्प्लीमेंटेशन या डिव्हाइसेससाठी सुलभ ऑनबोर्डिंग प्रवाहाचे समर्थन करत नसेल, तर तुम्हाला सपोर्ट तिकिटे मिळतील. रहिवासी राहण्यास येण्यापूर्वी तुमच्या IoT ऑनबोर्डिंग प्रक्रियेची चाचणी घ्या. [medium pause] चला, मला वारंवार विचारल्या जाणाऱ्या प्रश्नांचा एक झटपट आढावा घेऊ द्या. PPSK स्टाफ नेटवर्कसाठी 802.1X ची जागा घेऊ शकते का? नाही. स्टाफ नेटवर्कसाठी वैयक्तिक उत्तरदायित्व, Active Directory इंटिग्रेशन आणि सर्टिफिकेट-आधारित ऑथेंटिकेशनची आवश्यकता असते. स्टाफसाठी 802.1X वापरा. PPSK हे WPA3 सोबत काम करते का? होय. SAE सह WPA3 Personal हे प्री-शेअर्ड की वरील ऑफलाइन डिक्शनरी हल्ल्यांपासून अधिक मजबूत संरक्षण प्रदान करते. जर तुमचे ॲक्सेस पॉइंट्स WPA3 ला सपोर्ट करत असतील, तर ते सक्षम करा. एकाच SSID ला किती PPSK की सपोर्ट करू शकतात? बहुतांश एंटरप्राइझ कंट्रोलर्स प्रति SSID हजारो की ला सपोर्ट करतात. Cisco Meraki दहा हजारांपर्यंत सपोर्ट करते. Aruba ClearPass लाखो की पर्यंत स्केल होते. बहुतांश डिप्लॉयमेंट्ससाठी की ची संख्या हा व्यावहारिक अडथळा नाही. PPSK हे PCI-DSS सुसंगत आहे का? PPSK चा वापर नॉन-पेमेंट नेटवर्क्सवर केला जाऊ शकतो. पेमेंट टर्मिनल्स हे कोणत्याही शेअर्ड ऑथेंटिकेशन क्रेडेंशियल्सशिवाय डेडिकेटेड VLAN वर असणे आवश्यक आहे - म्हणजेच POS सिस्टमसाठी 802.1X किंवा प्रत्यक्ष नेटवर्क पृथक्करण आवश्यक आहे. [short pause] थोडक्यात सांगायचे तर: जेव्हा तुम्हाला प्रति-वापरकर्ता आयसोलेशन आणि रिव्होकेबिलिटीची आवश्यकता असते, तुमच्या डिव्हाइसेसमध्ये 802.1X ला सपोर्ट न करणारे IoT हार्डवेअर समाविष्ट असते आणि तुम्हाला डिप्लॉयमेंट आणि ऑपरेशनल गुंतागुंत कमी ठेवायची असते, तेव्हा PPSK हे योग्य ऑथेंटिकेशन मॉडेल आहे. हे मानक PSK - जे कोणतेही वैयक्तिक नियंत्रण देत नाही - आणि 802.1X - जे कमाल सुरक्षा प्रदान करते परंतु त्यासाठी व्यवस्थापित एंडपॉइंट्स आणि PKI इन्फ्रास्ट्रक्चर आवश्यक असते, यांच्या दरम्यान कार्य करते. BTR ऑपरेटर, विद्यार्थी निवास प्रदाता आणि मोठ्या प्रमाणावर IoT वापरल्या जाणाऱ्या प्रॉपर्टीज व्यवस्थापित करणाऱ्या हॉस्पिटॅलिटी ग्रुप्ससाठी, मोठ्या प्रमाणावर भाडेकरू आयसोलेशनसाठी PPSK हा सहसा सर्वात व्यावहारिक मार्ग ठरतो. Purple चे Multi-Tenant WiFi प्लॅटफॉर्म Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, आणि Fortinet ॲक्सेस पॉइंट्सवर क्लाउड ओव्हरले म्हणून डिप्लॉय केले जाते. हे तुमच्या विद्यमान हार्डवेअरला बदलण्याची आवश्यकता नसताना की प्रोव्हिजनिंग, VLAN असाइनमेंट, रहिवासी ऑनबोर्डिंग आणि ॲनालिटिक्स हाताळते. जर तुम्ही डिप्लॉयमेंटचे नियोजन करत असाल आणि या आर्किटेक्चरचा अधिक तपशीलवार अभ्यास करू इच्छित असाल, तर संपूर्ण मार्गदर्शकाची लिंक खाली दिली आहे. ऐकल्याबद्दल धन्यवाद.