PPSK usm: वैशिष्ट्ये आणि डिप्लॉयमेंट मॉडेल्सची तुलना

Purple WiFi Intelligence Podcast मध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे आणि आज आपण अशा विषयावर बोलणार आहोत जो नवीन निवासी WiFi डेव्हलपमेंटचे नियोजन करणाऱ्या प्रॉपर्टी डेव्हलपर्स, लँडलॉर्ड्स आणि BTR ऑपरेटर्स यांच्यासोबतच्या माझ्या प्रत्येक संभाषणात समोर येतो. तो विषय म्हणजे PPSK आणि USM - Private Pre-Shared Keys आणि त्यामागे असणारे Unified Security Model. जर तुम्ही सध्या संपूर्ण इमारतीमध्ये एकच सामायिक WiFi पासवर्ड चालवत असाल किंवा 802.1X एंटरप्राइझ ऑथेंटिकेशनच्या संपूर्ण गुंतागुंतीची खरोखरच गरज आहे का हे ठरवण्याचा प्रयत्न करत असाल, तर हा एपिसोड तुम्हाला स्पष्ट आणि व्यावहारिक उत्तर देईल. आम्ही हे पाहणार आहोत की PPSK प्रत्यक्षात काय आहे, USM ऑपरेशनल मॉडेल कसे बदलतो, हे दोन्ही एकमेकांशी आणि 802.1X शी कसे तुलना करतात, आणि बऱ्याच टीम्स ज्या चुका करतात त्या टाळून हे कसे डिप्लॉय करायचे. शेवटी आम्ही एक रॅपिड-फायर प्रश्नोत्तरे घेऊ. चला तर मग सुरुवात करूया. तर, PPSK आणि USM सोडवत असलेल्या समस्येपासून सुरुवात करूया, कारण समस्या समजून घेणे म्हणजे अर्धी लढाई जिंकण्यासारखे आहे. एका स्टँडर्ड WPA2-Personal डेव्हलपमेंटमध्ये - ज्याला बहुतेक लोक सामान्य WiFi नेटवर्क समजतात - त्या SSID ला कनेक्ट होणारे प्रत्येक डिव्हाइस समान प्री-शेअर्ड की वापरते. एकच पासवर्ड, जो सर्वांद्वारे शेअर केला जातो. एका 200-युनिटच्या बिल्ड-टू-रेंट डेव्हलपमेंटमध्ये, याचा अर्थ असा की प्रत्येक रहिवासी, स्टाफचा प्रत्येक सदस्य, इमारतीमधील प्रत्येक IoT डिव्हाइस आणि साइटवर आलेला प्रत्येक कंत्राटदार त्याच क्रेडेंशियलने ऑथेंटिकेट करत असतो. याच्या सुरक्षिततेच्या दृष्टीने गंभीर परिणाम होतात. जर एका रहिवाशाने तो पासवर्ड बाहेर शेअर केला, तर तुम्ही तुमच्या नेटवर्क पेरिमिटरवरील नियंत्रण गमावता. आणि जर तुम्हाला ऍक्सेस काढून घ्यायचा असेल - समजा, एखादा रहिवासी घर सोडून गेला - तर तुम्हाला प्रत्येकासाठी पासवर्ड बदलावा लागेल. याचा अर्थ इतर प्रत्येक रहिवाशाला त्यांच्याकडील प्रत्येक डिव्हाइस पुन्हा कनेक्ट करावे लागेल. हे नेटवर्क मॅनेजमेंट नाही. हे एक दायित्व (liability) आहे. दुसऱ्या टोकाला, तुमच्याकडे 802.1X आहे - पोर्ट-बेस्ड नेटवर्क ऍक्सेस कंट्रोलसाठीचे IEEE स्टँडर्ड. 802.1X उत्कृष्ट आहे. हे तुम्हाला प्रति-युझर ऑथेंटिकेशन, सर्टिफिकेट-बेस्ड आयडेंटिटी, ग्रॅन्युलर पॉलिसी एन्फोर्समेंट देते. परंतु यासाठी RADIUS सर्व्हर इन्फ्रास्ट्रक्चर आवश्यक आहे, प्रत्येक डिव्हाइसवर सप्लिकंट कॉन्फिगरेशन आवश्यक आहे, आणि अशा निवासी वातावरणासाठी जेथे रहिवासी वैयक्तिक लॅपटॉप, फोन, स्मार्ट टीव्ही, गेमिंग कन्सोल आणि स्मार्ट स्पीकर्स आणत आहेत - ज्यांपैकी बऱ्याच उपकरणांमध्ये मर्यादित किंवा शून्य 802.1X सप्लिकंट सपोर्ट असतो - तिथे ऑनबोर्डिंगचा अनुभव खरोखरच त्रासदायक ठरतो. तुम्ही रहिवाशाला त्यांच्या वैयक्तिक डिव्हाइसवर WiFi शी कनेक्ट होण्यापूर्वी सर्टिफिकेट इंस्टॉल करण्यास सांगू शकत नाही. PPSK या दोन पद्धतींच्या अगदी मध्यभागी काम करते. हे तांत्रिकदृष्ट्या कसे कार्य करते ते येथे दिले आहे. PPSK सह, तुम्ही तरीही WPA2-Personal SSID ऑपरेट करता - त्यामुळे डिव्हाइसच्या दृष्टिकोनातून, ते प्री-शेअर्ड की वापरून मानक WiFi नेटवर्कशी कनेक्ट होत असते. कोणतेही प्रमाणपत्र नाही, कोणताही RADIUS सप्लिकंट नाही, कोणतेही क्लिष्ट ऑनबोर्डिंग नाही. रहिवासी पासवर्ड प्रविष्ट करतो आणि ते कनेक्ट होतात. परंतु पडद्यामागे, वायरलेस कंट्रोलर किंवा क्लाउड मॅनेजमेंट प्लॅटफॉर्म युनिक प्री-शेअर्ड कीजचा डेटाबेस राखतो - प्रति रहिवासी एक, प्रति युनिट एक, किंवा प्रति डिव्हाइस ग्रुप एक, तुम्हाला जशी रचना करायची असेल तशी. जेव्हा एखादे डिव्हाइस कनेक्ट होते आणि त्याची की सादर करते, तेव्हा कंट्रोलर त्या कीचा आयडेंटिटी रेकॉर्डशी मेळ घालतो आणि त्यानुसार नेटवर्क पॉलिसी लागू करतो - VLAN असाइनमेंट, बँडविड्थ मर्यादा, ॲक्सेस कंट्रोल लिस्ट. येथे मुख्य कळीचा मुद्दा असा आहे की क्रेडेंशियलचे युनिक असणे हे कंट्रोलर पातळीवर घडते, डिव्हाइस पातळीवर नाही. डिव्हाइसला त्याच्याकडे युनिक की आहे हे जाणून घेण्याची गरज नसते. ते फक्त सामान्यपणे कनेक्ट होते. परंतु तुमच्या नेटवर्कला नेमके माहित असते की ते डिव्हाइस कोणाचे आहे, आणि त्यानुसार ते पॉलिसी लागू करू शकते. आता, टर्मिनॉलॉजी गोंधळात टाकणारी असू शकते कारण भिन्न व्हेंडर एकाच संकल्पनेसाठी भिन्न नावे वापरतात. Cisco याला iPSK - Identity PSK म्हणते. HPE Aruba याला MPSK - Multi-PSK म्हणते. Ruckus याला DPSK - Dynamic PSK म्हणते. Juniper Mist ePSK वापरते. यामागील मूळ तत्व एकच आहे. अंमलबजावणीचे तपशील थोडे वेगळे असू शकतात, विशेषतः RADIUS ॲट्रिब्युट्सच्या रचनेबाबत, परंतु आर्किटेक्चर सारखेच आहे. आता USM - Unified Security Model बद्दल बोलूया. हे असे ठिकाण आहे जिथे ऑपरेशनल चित्र लक्षणीयरीत्या बदलते. USM हा मॅनेजमेंट लेयर आहे जो PPSK क्रेडेंशियल स्टोअरच्या वर कार्य करतो. ही अशी सिस्टम आहे जी की जनरेशन, डिस्ट्रिब्युशन, लाइफसायकल मॅनेजमेंट, पॉलिसी असाइनमेंट आणि रिव्होकेशन हाताळते - आदर्शपणे तुमच्या प्रॉपर्टी मॅनेजमेंट सिस्टम किंवा आयडेंटिटी प्रोव्हाइडरसोबत API इंटिग्रेशनद्वारे. USM शिवाय, PPSK म्हणजे स्प्रेडशीटमधील युनिक पासवर्डचा संग्रह आहे. USM सह, ती एक ऑटोमेटेड, ऑडिट करण्यायोग्य, पॉलिसी-ड्रिव्हन ॲक्सेस कंट्रोल सिस्टम बनते. ऑपरेशनल ओव्हरहेडमधील फरक लक्षणीय आहे. योग्यरित्या अंमलात आणलेल्या USM डिप्लॉयमेंटमध्ये, जेव्हा एखादा नवीन रहिवासी त्यांच्या भाडेकरू करारावर स्वाक्षरी करतो, तेव्हा प्रॉपर्टी मॅनेजमेंट सिस्टम USM प्लॅटफॉर्मवर API कॉल ट्रिगर करते. प्लॅटफॉर्म एक युनिक PPSK जनरेट करतो, तो रहिवाशाच्या VLAN ला असाइन करतो, बँडविड्थ पॉलिसी सेट करतो आणि क्रेडेंशियल रहिवाशाला ईमेल किंवा QR कोडद्वारे पाठवतो - हे सर्व तुमच्या IT टीमच्या कोणत्याही मॅन्युअल हस्तक्षेपाशिवाय होते. जेव्हा ते घर सोडून जातात, तेव्हा तेच इंटिग्रेशन रिव्होकेशन ट्रिगर करते. त्यांची की काम करणे बंद करते. इतर कोणत्याही रहिवाशावर याचा परिणाम होत नाही. स्प्रेडशीटमध्ये २०० युनिक पासवर्ड मॅनेज करणे आणि रहिवासी गेल्यावर ते मॅन्युअली रिव्होक करणे याच्याशी याची तुलना करा, आणि तुमच्या लक्षात येईल की कोणत्याही मोठ्या प्रमाणावर USM हा पर्यायी का नाही. मला VLAN स्टिअरिंगबद्दल बोलू द्या, कारण याच ठिकाणी बहु-भाडेकरू (multi-tenant) वातावरणात PPSK आणि USM खरोखरच उपयुक्त ठरतात. BTR डेव्हलपमेंटमध्ये, तुम्हाला साधारणपणे किमान चार नेटवर्क सेगमेंट हवे असतात: वैयक्तिक उपकरणांसाठी resident VLAN, बिल्डिंग मॅनेजमेंट आणि ॲडमिनिस्ट्रेशनसाठी staff VLAN, बिल्डिंग मॅनेजमेंट सिस्टम्स, CCTV आणि स्मार्ट लॉक्ससाठी IoT VLAN आणि अल्पकालीन अभ्यागतांसाठी guest VLAN. एकाच शेअर्ड PSK सह, तुम्ही मल्टिपल SSIDs तैनात केल्याशिवाय या ग्रुप्समध्ये फरक करू शकत नाही - ज्यामुळे रेडिओ फ्रिक्वेन्सीमध्ये अडथळा निर्माण होतो आणि मॅनेजमेंट ओव्हरहेड वाढते. PPSK आणि USM सह, एकच SSID प्रत्येक कनेक्ट होणाऱ्या डिव्हाइसला त्याने सादर केलेल्या की च्या आधारे योग्य VLAN मध्ये डायनॅमिकली पाठवू शकते. स्वच्छ, स्केलेबल आणि ऑपरेशनल दृष्टीने सोपे. कम्प्लायन्सच्या दृष्टिकोनातून - आणि हे विशेषतः GDPR साठी आणि नेटवर्कवर वैयक्तिक डेटा हाताळणाऱ्या कोणत्याही ऑपरेटरसाठी महत्त्वाचे आहे - USM सह PPSK तुम्हाला ऑडिट ट्रेल देते जे शेअर्ड PSK देऊ शकत नाही. तुम्ही नेटवर्क ॲक्टिव्हिटीचे श्रेय विशिष्ट क्रेडेंशियलला आणि पर्यायाने विशिष्ट भाडेकरू रेकॉर्डला देऊ शकता. ही केवळ एक चांगली पद्धत नाही; तर काही नियामक संदर्भांमध्ये, ती एक आवश्यकता आहे. आता हे अधिक स्पष्ट करण्यासाठी मी तुम्हाला दोन वास्तववादी उदाहरणे देतो. पहिले उदाहरण: ३०० युनिट्सचे BTR डेव्हलपमेंट. ऑपरेटर संपूर्ण इमारतीमध्ये एकच शेअर्ड WiFi पासवर्ड चालवत होता. दर सहा महिन्यांनी, जेव्हा लक्षणीय संख्येने रहिवासी स्थलांतरित व्हायचे, तेव्हा ते पासवर्ड रोटेट करायचे - आणि पुढील दोन आठवडे त्यांचे डिव्हाइस पुन्हा कनेक्ट करू न शकणाऱ्या रहिवाशांच्या सपोर्ट कॉल्स हाताळण्यात घालवायचे. स्मार्ट होम डिव्हाइसेस ही एक विशेष समस्या होती: Chromecast, Amazon Echo आणि स्मार्ट लाइटिंग या सर्वांना प्रत्येक वेळी मॅन्युअल रीकॉन्फिगरेशनची आवश्यकता असायची. त्यांच्या प्रॉपर्टी मॅनेजमेंट सिस्टमशी इंटिग्रेट केलेले USM सह PPSK तैनात केल्यानंतर - मूव्ह-आउट हा शून्य-व्यत्यय इव्हेंट बनला. निघून जाणाऱ्या रहिवाशाची की भाडेकरू कालावधी संपल्यावर स्वयंचलितपणे रद्द केली गेली. नवीन रहिवाशांना प्रॉपर्टी मॅनेजमेंट सिस्टमद्वारे पाठवलेल्या वेलकम ईमेलद्वारे त्यांची युनिक की मिळाली. स्मार्ट होम डिव्हाइसेस कनेक्टेड राहिले कारण ते सर्व एकाच resident VLAN वर होते, जे एकमेकांसाठी शोधण्यायोग्य होते परंतु इतर रहिवाशांना दिसत नव्हते. ऑपरेटरने तैनातीनंतर पहिल्या तिमाहीत WiFi-संबंधित सपोर्ट तिकिटांमध्ये ९०% घट झाल्याची नोंद केली. दुसरे उदाहरण: ५०० खाटांचे विशेषतः विद्यार्थ्यांच्या राहण्यासाठी बनवलेले स्टुडंट अकॉमोडेशन ब्लॉक. तिथले आव्हान म्हणजे कोहोर्ट टर्नओव्हर - दर ऑगस्टमध्ये ५०० विद्यार्थी बाहेर पडतात आणि ५०० नवीन विद्यार्थी आत येतात, बऱ्याचदा एकाच आठवड्यात. शेअर्ड PSK सह, तो आठवडा म्हणजे एक भयानक स्वप्न असायचा. स्टुडंट मॅनेजमेंट सिस्टममध्ये इंटिग्रेट केलेल्या PPSK आणि USM सह, संपूर्ण कोहोर्टला त्यांच्या आगमनापूर्वीच्या वेलकम पॅकचा भाग म्हणून त्यांच्या युनिक की मिळाल्या. मूव्ह-इनच्या दिवशी, ते त्वरित कनेक्ट झाले. नेटवर्क टीमने इमारतीच्या इतिहासात पहिल्यांदाच मूव्ह-इन आठवड्यात शून्य एस्कलेशनची नोंद केली. चला, आता तैनातीबद्दल बोलूया. सुरुवातीपासूनच काही गोष्टी योग्य करणे आवश्यक आहे. पहिले, की (key) जनरेशन आणि वितरण. तुमचे PPSK की पुरेसे लांब आणि यादृच्छिक (random) असणे आवश्यक आहे - किमान २० वर्ण, आदर्शपणे ३२. क्रिप्टोमॅटिकली सुरक्षित रँडम नंबर जनरेटरचा वापर करून ते प्रोग्रामॅटिकली जनरेट करा. रहिवाशांना त्यांच्या स्वतःच्या की निवडू देऊ नका. वितरण यंत्रणा देखील महत्त्वाची आहे. सुरक्षित लिंकसह ईमेलद्वारे पाठवणे, वेलकम कार्डवरील QR कोड किंवा API द्वारे तुमच्या टेनन्सी मॅनेजमेंट सिस्टमसह एकत्रीकरण हे सर्व वैध दृष्टिकोन आहेत. दुसरे, कंट्रोलर सपोर्ट. सर्व वायरलेस कंट्रोलर्स PPSK सारख्याच पद्धतीने लागू करत नाहीत. Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, आणि Fortinet या सर्वांच्या स्वतःच्या अंमलबजावणी आहेत, परंतु स्केल मर्यादा, API क्षमता आणि VLAN स्टिअरिंग ग्रॅन्युलॅरिटी भिन्न आहेत. तुम्ही प्लॅटफॉर्मची निवड करण्यापूर्वी, प्रति SSID समर्थित असलेल्या युनिक कीच्या कमाल संख्येची पडताळणी करा. काही जुने प्लॅटफॉर्म ही मर्यादा काही शंभरांवर मर्यादित ठेवतात, जे मोठ्या डेव्हलपमेंटसाठी अपुरे आहे. तिसरे - आणि ही सर्वात सामान्य चूक आहे - MAC ॲड्रेस रँडमायझेशन. आधुनिक ऑपरेटिंग सिस्टम्स, iOS १४ आणि नंतरच्या आवृत्त्या, Android १० आणि नंतरच्या आवृत्त्या, Windows ११, हे सर्व बाय डीफॉल्ट MAC ॲड्रेस रँडमायझेशन वापरतात. जर तुमची PPSK अंमलबजावणी MAC ॲड्रेस लुकअपवर अवलंबून असेल, तर रँडमाइज्ड MAC दर्शवणारे डिव्हाइस सापडणार नाही आणि ते नाकारले जाईल. पहिल्या दिवसापासूनच याचे नियोजन करा. चौथे, प्रति की डिव्हाइस मर्यादा. एक वाजवी मर्यादा सेट करा - साधारणपणे प्रति की चार ते सहा डिव्हाइसेस - आणि कंट्रोलरवर त्याची अंमलबजावणी करा. याशिवाय, एकच PPSK डझनभर डिव्हाइसेसवर पसरू शकतो, ज्यामुळे ट्रॅफिकचा अचूक मागोवा घेण्याच्या तुमच्या क्षमतेला बाधा पोहोचू शकते. सर्वात महत्त्वाची टाळायची चूक म्हणजे: दस्तऐवजीकरण (documented) केलेल्या की लाइफसायकल प्रक्रियेशिवाय PPSK तैनात करणे. कधीही रद्द न केलेल्या की कालांतराने साचत जातात आणि सुरक्षिततेसाठी धोका बनतात. लाइव्ह जाण्यापूर्वी रिव्होकेशन (रद्द करणे) वर्कफ्लो तयार करा, नंतर नाही. चला काही जलद प्रश्नोत्तरे पाहूयात. PPSK हे iPSK, MPSK, आणि DPSK सारखेच आहे का? कार्यात्मकदृष्ट्या, होय. भिन्न व्हेंडर ब्रँडिंग, परंतु संकल्पना एकच. PPSK हे WPA3 सोबत काम करते का? अंशतः. बहुतेक आधुनिक कंट्रोलर्स WPA2 आणि WPA3 ट्रान्झिशन मोडमध्ये PPSK ला सपोर्ट करतात. प्युअर WPA3 सपोर्ट व्हेंडरनुसार बदलतो - तुमच्या हार्डवेअरची सुसंगतता तपासा. PPSK क्लाउड कंट्रोलरशिवाय काम करू शकते का? काही ऑन-प्रिमाइसेस कंट्रोलर्स त्याला सपोर्ट करतात, परंतु क्लाउड मॅनेजमेंट लाइफसायकल ऑपरेशन्स आणि USM एकत्रीकरण लक्षणीयरीत्या सुलभ करते. PPSK हे GDPR अनुपालनासाठी योग्य आहे का? USM सह PPSK प्रति-वापरकर्ता ऑडिट ट्रेल प्रदान करते जे GDPR अनुपालनास समर्थन देते. हा व्यापक डेटा गव्हर्नन्स फ्रेमवर्कचा भाग असावा, केवळ स्वतंत्र अनुपालन उपाय म्हणून याकडे पाहिले जाऊ नये. प्रति SSID युनिक कीची कमाल संख्या किती आहे? कंट्रोलरवर अवलंबून असते. एंटरप्राइझ प्लॅटफॉर्म सहसा हजारो की ला सपोर्ट करतात. व्यावहारिक मर्यादा सहसा तुमच्या आयडेंटिटी स्टोअरच्या क्वेरी परफॉर्मन्सवर अवलंबून असते. निष्कर्ष काढायचा झाल्यास, पूर्ण 802.1X इन्फ्रास्ट्रक्चरच्या गुंतागुंतीशिवाय जिथे तुम्हाला प्रति-रहिवासी जबाबदारीची आवश्यकता आहे अशा कोणत्याही मल्टी-टेनंट निवासी WiFi उपयोजनासाठी (deployment) USM सह PPSK हे योग्य आर्किटेक्चर आहे. हे तुम्हाला प्रति रहिवासी युनिक क्रेडेंशियल्स, डायनॅमिक VLAN स्टिअरिंग, तपशीलवार लाइफसायकल व्यवस्थापन आणि कंप्लायन्स-रेडी ऑडिट ट्रेल प्रदान करते - हे सर्व WiFi पासवर्ड टाकण्याइतक्याच सोप्या डिव्हाइस ऑनबोर्डिंग अनुभवासह मिळते. जर तुम्ही नवीन BTR किंवा विद्यार्थ्यांच्या निवासाच्या उपयोजनाचे नियोजन करत असाल, किंवा सध्याच्या शेअर केलेल्या-PSK नेटवर्कला अपग्रेड करू इच्छित असाल, तर पुढील व्यावहारिक पावले अशी आहेत: PPSK सपोर्टसाठी तुमच्या सध्याच्या वायरलेस कंट्रोलर प्लॅटफॉर्मचे ऑडिट करा, तुमचे VLAN सेगमेंटेशन मॉडेल परिभाषित करा, प्रोव्हिजनिंगपासून ते रिव्होकेशनपर्यंत तुमच्या की (key) लाइफसायकल वर्कफ्लोचा नकाशा तयार करा आणि पहिल्या दिवसापासूनच MAC ॲड्रेस रँडमायझेशनचे नियोजन करा. Purple चा प्लॅटफॉर्म तुमच्या आयडेंटिटी प्रोव्हाइडर आणि वायरलेस इन्फ्रास्ट्रक्चरच्या दरम्यान असणारा USM ऑर्केस्ट्रेशन लेयर प्रदान करतो जेणेकरून संपूर्ण PPSK की लाइफसायकल स्वयंचलित करता येईल - मूव्ह-इन दरम्यान प्रोव्हिजनिंगपासून ते मूव्ह-आउटच्या वेळी रिव्होकेशनपर्यंत, आणि त्यावर पूर्ण ॲनालिटिक्स आणि रिपोर्टिंगसह, जे जगभरातील 80,000 पेक्षा जास्त लाइव्ह वेन्यूजवर कार्यरत आहे. मल्टी-टेनंट WiFi आर्किटेक्चरबद्दल अधिक माहितीसाठी, शो नोट्समध्ये लिंक्स दिल्या आहेत. ऐकल्याबद्दल धन्यवाद. पुढच्या वेळेपर्यंत.