WiFi कंट्रोलर्ससाठी पोर्ट फॉरवर्डिंग: एक कॉन्फिगरेशन मार्गदर्शिका
ही मार्गदर्शिका नेटवर्क आर्किटेक्ट्स आणि IT मॅनेजर्ससाठी ऑन-प्रिमाइसेस WiFi कंट्रोलर्सकरिता पोर्ट फॉरवर्डिंग कॉन्फिगर करण्याबद्दल तांत्रिक संदर्भ प्रदान करते. यामध्ये पोर्ट फॉरवर्डिंग कधी आवश्यक असते, प्रमुख व्हेंडर्ससाठी कोणते पोर्ट्स आवश्यक आहेत आणि सुरक्षित व स्केलेबल डिप्लॉयमेंट सुनिश्चित करण्यासाठी संबंधित सुरक्षा जोखीम कशा कमी करायच्या याबद्दल माहिती समाविष्ट आहे.
Video overview
हे मार्गदर्शक ऐका
पॉडकास्ट ट्रान्सक्रिप्ट पहा
आमच्या मुख्य मालिकेचा भाग: Enterprise WiFi Security Guide →
WiFi controller port forwarding & firewall rule architect
Generate vendor-specific firewall ACL rules and NAT port forward configurations for enterprise Wireless LAN Controllers (WLCs). Assess inbound exposure risks across CAPWAP and RADIUS, and evaluate zero-trust Cloud RADIUS migration.
Centralized Cisco Catalyst 9800 WLC in core data center terminating CAPWAP tunnels from remote campus buildings and external branches over WAN.
| Proto | Port | Service description | Direction | Risk |
|---|---|---|---|---|
| UDP | 5246 | CAPWAP Control Plane (RFC 5415) AP discovery, DTLS session setup, and controller keepalive heartbeats. | Bi-directional | Medium |
| UDP | 5247 | CAPWAP Data Plane (RFC 5416) Encapsulates client wireless payload when operating in centralized tunnel mode. | Bi-directional | Low |
| UDP | 1812 | RADIUS 802.1X Authentication (RFC 2865) Passes EAP authentication payloads between access points and internal RADIUS servers. | Inbound | Medium |
| UDP | 1813 | RADIUS Accounting (RFC 2866) Reports session start, stop, interim packet counters, and bandwidth consumption. | Inbound | Low |
| TCP | 8443 / 443 | External Captive Portal WebAuth Redirection Accepts captive portal splash page redirections and browser authentication callbacks. | Inbound | Low |
| UDP | 161 / 514 | SNMP Traps & Syslog Event Forwarding Transfers network health statistics and operational error alerts to centralized monitoring platforms. | Inbound | Medium |
! Cisco Catalyst 9800 IOS-XE / Perimeter Firewall Access Control ! ! Step 1: WAN access-list for inbound WLC services. ! The destination here is the PUBLIC address, not the controller's inside ! address: an inbound ACL on the outside interface is evaluated BEFORE the ! outside-to-inside NAT translation, so matching 10.100.20.10 drops exactly ! the traffic these lines mean to permit. ! Replace BRANCH-SUBNET with each remote site's public prefix wherever the ! remote APs have static addressing - 'any' is a last resort. ip access-list extended ACL-WAN-TO-WLC permit udp any host 198.51.100.25 eq 5246 ! CAPWAP control permit udp any host 198.51.100.25 eq 5247 ! CAPWAP data permit udp any host 198.51.100.25 eq 1812 ! RADIUS auth permit udp any host 198.51.100.25 eq 1813 ! RADIUS acct ! RadSec disabled permit tcp any host 198.51.100.25 eq 8443 ! Captive WebAuth ! Management GUI blocked from the public WAN deny ip any host 198.51.100.25 log-input ! Step 2: bind the list, or nothing above takes effect interface GigabitEthernet0/0/1 ip access-group ACL-WAN-TO-WLC in ! Step 3: static destination NAT (edge router / ASA) ip nat inside source static udp 10.100.20.10 5246 198.51.100.25 5246 extendable ip nat inside source static udp 10.100.20.10 5247 198.51.100.25 5247 extendable ip nat inside source static udp 10.100.20.10 1812 198.51.100.25 1812 extendable ip nat inside source static udp 10.100.20.10 1813 198.51.100.25 1813 extendable ! Step 4: MTU clamping on the WAN interface to prevent CAPWAP fragmentation interface GigabitEthernet0/0/1 ip mtu 1460 ip tcp adjust-mss 1360
मुख्य कार्यकारी सारांश
ऑन-प्रिमाइसेस वायरलेस LAN कंट्रोलर (WLC) सह अनेक ठिकाणी WiFi व्यवस्थापित करणाऱ्या व्यावसायिक संस्थांसाठी, सुरक्षित आणि विश्वासार्ह कनेक्टिव्हिटी ही एक प्राथमिक परिचालन चिंता आहे. जेव्हा ॲक्सेस पॉइंट्स (APs) रिमोट शाखांमध्ये असतात आणि मुख्य कंट्रोलरपासून इंटरनेटद्वारे वेगळे केलेले असतात, तेव्हा त्यांच्यात संवाद सुरू करण्यासाठी एका पद्धतीची आवश्यकता असते. हे मार्गदर्शक त्या पद्धतीसाठी पोर्ट फॉरवर्डिंग (इनबाउंड NAT) च्या वापराबद्दल माहिती देते. आम्ही पोर्ट फॉरवर्डिंग कधी वापरावे आणि VPN किंवा क्लाउड-व्यवस्थापित आर्किटेक्चर सारख्या अधिक सुरक्षित पर्यायांचा वापर कधी करावा याबद्दलच्या महत्त्वपूर्ण निर्णय फ्रेमवर्कचा अभ्यास करू. हा दस्तऐवज CAPWAP टनेल्स, मॅनेजमेंट ॲक्सेस आणि ऑथेंटिकेशन सेवांसाठी आवश्यक असणाऱ्या महत्त्वाच्या पोर्ट्सचा एक वेंडर-न्यूट्रल आढावा प्रदान करतो, ज्यामध्ये Cisco, Ruckus आणि Ubiquiti कंट्रोलर्ससाठीच्या विशिष्ट पोर्ट लिस्टचा समावेश आहे. महत्त्वाचे म्हणजे, आम्ही यामध्ये असणारे गंभीर सुरक्षा धोके - जसे की वाढलेले अटॅक सरफेस ते PCI-DSS आणि GDPR अंतर्गत नियमांचे उल्लंघन - याबद्दल तपशीलवार माहिती देतो आणि जोखीम कमी करण्यासाठी कृतीयोग्य सर्वोत्तम पद्धती प्रदान करतो. यामध्ये फायरवॉल नियम कॉन्फिगरेशन, DMZ मधील नेटवर्क सेगमेंटेशन आणि 'प्रिन्सिपल ऑफ लीस्ट प्रिव्हिलेज' यांचा समावेश आहे. नेटवर्कच्या अखंडतेशी तडजोड न करता व्यवसाय उद्दिष्टे साध्य करणारे एक मजबूत, सुरक्षित आणि उच्च-कार्यक्षमता असलेले मल्टि-साइट WiFi आर्किटेक्चर लागू करण्यासाठी नेटवर्क आर्किटेक्ट्स आणि IT डायरेक्टर्सना ज्ञानाने सुसज्ज करणे हा यामागचा उद्देश आहे.
तांत्रिक सखोल विश्लेषण
आधुनिक केंद्रित WiFi आर्किटेक्चरसाठीचा पायाभूत प्रोटोकॉल म्हणजे Control and Provisioning of Wireless Access Points (CAPWAP) प्रोटोकॉल आहे, जो RFC 5415 [1] मध्ये प्रमाणित आहे. CAPWAP एका WLC ला अनेक APs चे व्यवस्थापन आणि नियंत्रण करण्यास सक्षम करतो, ज्यामुळे एक युनिफाइड नेटवर्क फॅब्रिक तयार होते. हा प्रोटोकॉल राउटर आणि फायरवॉल ओलांडण्यासाठी डिझाइन केला गेला आहे, ज्यामुळे तो मल्टि-साइट डिप्लॉयमेंटसाठी योग्य बनतो. संवाद दोन प्राथमिक UDP चॅनेलवर होतो:
- CAPWAP Control (UDP 5246): हे चॅनेल AP आणि WLC मधील सर्व व्यवस्थापन आणि नियंत्रण कार्यांसाठी वापरले जाते. यामध्ये कॉन्फिगरेशन पुश, फर्मवेअर अपडेट आणि स्टेटस मॉनिटरिंग समाविष्ट आहे. मानकांनुसार, हे नियंत्रण चॅनेल डेटाग्राम ट्रान्सपोर्ट लेयर सिक्युरिटी (DTLS) एन्क्रिप्शनचा वापर करून सुरक्षित करणे बंधनकारक आहे, जे व्यवस्थापन कमांड्ससाठी एक सुरक्षित टनेल प्रदान करते.
- CAPWAP Data (UDP 5247): ज्या डिप्लॉयमेंटमध्ये क्लायंट ट्रॅफिक पुन्हा कंट्रोलरकडे पाठवले जाते (AP वर स्थानिक पातळीवर ब्रिज करण्याऐवजी), हे चॅनेल एन्कॅप्स्युलेटेड वापरकर्ता डेटा वाहून नेते. या चॅनेलसाठी एन्क्रिप्शन मानकांमध्ये पर्यायी असले तरी, ट्रान्झिटमध्ये क्लायंट डेटा सुरक्षित ठेवण्यासाठी ते देखील DTLS ने सुरक्षित केले जावे ही सर्वोत्तम पद्धत आहे.जेव्हा एखादा AP हा NAT डिव्हाइसच्या मागे असतो, तेव्हा तो WLC चा पब्लिक IP address शोधतो (सहसा DNS किंवा DHCP पर्यायाद्वारे) आणि CAPWAP कनेक्शन सुरू करतो. WLC च्या समोरील फायरवॉलवर हे येणारे UDP पॅकेट्स कंट्रोलरच्या प्रायव्हेट IP address कडे वळवण्यासाठी पोर्ट फॉरवर्डिंग नियम कॉन्फिगर केलेले असणे आवश्यक आहे.
मुख्य CAPWAP प्रोटोकॉल व्यतिरिक्त, पूर्णपणे कार्यक्षम डिप्लॉयमेंटसाठी इतर अनेक पोर्ट आवश्यक आहेत:
- मॅनेजमेंट ऍक्सेस (Management Access): ॲडमिनिस्ट्रेटर्सना कंट्रोलरच्या मॅनेजमेंट इंटरफेसचा ऍक्सेस मिळणे आवश्यक असते. हे सहसा HTTPS (TCP 443 किंवा Ruckus आणि Ubiquiti सारख्या काही प्लॅटफॉर्मवर TCP 8443) द्वारे प्रदान केले जाते. सिक्युअर शेल (TCP 22) CLI ऍक्सेस प्रदान करते. हे पोर्ट इंटरनेटवर उघडे ठेवणे ही एक प्रमुख सुरक्षा चिंता आहे आणि त्याचा ऍक्सेस अत्यंत मर्यादित असावा.
- ऑथेंटिकेशन (AAA): WPA2/WPA3-Enterprise वापरून एंटरप्राइझ-ग्रेड सुरक्षेसाठी, WLC ने RADIUS सर्व्हरशी संवाद साधला पाहिजे. यासाठी UDP 1812 (ऑथेंटिकेशन) आणि UDP 1813 (अकाउंटिंग) आवश्यक आहे. जर RADIUS सर्व्हर स्थानिक नेटवर्कच्या बाहेर असेल, तर हे पोर्ट फॉरवर्ड केले पाहिजेत.
- गेस्ट आणि Captive Portals: जर गेस्ट ऍक्सेससाठी Captive Portal वापरले जात असेल, तर WLC ला त्याच्याशी संवाद साधता आला पाहिजे. Purple सारख्या बाह्य पोर्टलसाठी, याचा अर्थ ऑथेंटिकेशन आणि सेशन माहितीवर प्रक्रिया करण्यासाठी पोर्टलच्या सर्व्हरवरून कंट्रोलरकडे येणाऱ्या HTTPS ट्रॅफिकला परवानगी देणे असा होतो.
व्हेंडर-विशिष्ट पोर्ट आवश्यकता (Vendor-Specific Port Requirements)
CAPWAP हा एक मानक प्रोटोकॉल असला तरी, व्हेंडर्स विशिष्ट वैशिष्ट्यांसाठी अतिरिक्त पोर्ट वापरतात. खालील तक्ता प्रमुख ऑन-प्रिमाइसेस कंट्रोलर प्लॅटफॉर्मसाठी सामान्य डीफॉल्ट पोर्टचा सारांश देतो. ही संपूर्ण यादी नाही आणि आपण आपल्या व्हेंडरच्या नवीनतम दस्तऐवजांचा संदर्भ घ्यावा.
| व्हेंडर/प्लॅटफॉर्म | प्रोटोकॉल | पोर्ट | उद्देश |
|---|---|---|---|
| Cisco WLC | UDP | 5246/5247 | CAPWAP Control/Data |
| TCP | 443 | HTTPS Management | |
| EoIP | 97 | Mobility/Anchor Tunnels | |
| UDP | 16666 | Mobility (Unsecured) | |
| Ruckus SmartZone | UDP | 12223 | LWAPP Discovery |
| TCP | 91/443 | AP Firmware Upgrade | |
| TCP | 8443 | HTTPS Web UI | |
| TCP | 22 | SSH Management | |
| Ubiquiti UniFi | TCP | 8080 | Device Inform |
| TCP | 8443 | HTTPS Web UI/API | |
| UDP | 3478 | STUN (NAT Traversal) | |
| UDP | 10001 | AP Discovery |
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.
अंमलबजावणी मार्गदर्शक (Implementation Guide)
WLC साठी पोर्ट फॉरवर्डिंग लागू करण्यासाठी सुरक्षेवर केंद्रित पद्धतशीर दृष्टिकोन आवश्यक आहे. इंटरनेटवर कमीत कमी आवश्यक गोष्टी उघड्या ठेवून रिमोट AP कनेक्टिव्हिटी सक्षम करणे हे याचे ध्येय आहे.
पायरी १: आर्किटेक्चर आणि नेटवर्क प्लेसमेंट
सर्वात महत्त्वाचा निर्णय म्हणजे WLC कुठे ठेवायचे. ते कधीही विश्वसनीय कॉर्पोरेट LAN वर ठेवले जाऊ नये. कंट्रोलरसाठी समर्पित नेटवर्क सेगमेंट, किंवा डिमिलिटराईज्ड झोन (DMZ) तयार करणे ही सर्वोत्तम पद्धत आहे. हे WLC ला वेगळे करते आणि हे सुनिश्चित करते की ते सुरक्षिततेशी तडजोड झाली तरीही, हल्लेखोराला अंतर्गत कॉर्पोरेट नेटवर्कमध्ये थेट प्रवेश मिळणार नाही. त्यानंतर DMZ, इंटरनेट आणि विश्वसनीय LAN मधील रहदारीवर कठोर नियंत्रण ठेवण्यासाठी फायरवॉल पॉलिसी कॉन्फिगर केली पाहिजे.
पायरी २: फायरवॉल कॉन्फिगरेशन
१. NAT आणि पोर्ट फॉरवर्डिंग नियम तयार करा: प्रत्येक आवश्यक पोर्टसाठी, एक डेस्टिनेशन NAT (DNAT) नियम तयार करा जो फायरवॉलचा सार्वजनिक IP पत्ता आणि बाह्य पोर्टला DMZ मधील WLC च्या खाजगी IP पत्त्यामध्ये आणि संबंधित अंतर्गत पोर्टमध्ये रूपांतरित करेल. २. इनबाउंड ॲक्सेस नियम तयार करा: ही सर्वात महत्त्वाची सुरक्षा पायरी आहे. फॉरवर्ड केलेल्या पोर्ट्सना ट्रॅफिकला परवानगी देण्यासाठी फायरवॉल नियम तयार करा, परंतु नेहमी सोर्स IP पत्ता निर्दिष्ट करा. CAPWAP पोर्ट्ससाठी, सोर्स तुमच्या रिमोट साइट्सचा सार्वजनिक IP पत्ता असावा. मॅनेजमेंट पोर्ट्स (HTTPS/SSH) साठी, सोर्स विश्वसनीय IP पत्त्यांच्या व्हाईटलिस्टपुरता मर्यादित असणे आवश्यक आहे, जसे की तुमचे कॉर्पोरेट ऑफिस किंवा समर्पित मॅनेजमेंट जम्प होस्ट. > सुरक्षा चेतावणी: सोर्स पत्ता 'Any' किंवा '0.0.0.0/0' म्हणून ठेवणे ही एक सामान्य आणि धोकादायक चूक आहे. हे तुमच्या कंट्रोलरचे मॅनेजमेंट इंटरफेस संपूर्ण इंटरनेटवर उघडे करते, ज्यामुळे ब्रूट - फोर्स हल्ल्यांना निमंत्रण मिळते. ३. अनावश्यक प्रोटोकॉल ब्लॉक करा: WLC च्या सार्वजनिक IP वरील इतर सर्व ट्रॅफिकला नकार देणारे नियम स्पष्टपणे तयार करा. याव्यतिरिक्त, कंट्रोलरवरच Telnet (TCP 23) आणि TFTP (UDP 69) सारखे असुरक्षित प्रोटोकॉल अक्षम केले आहेत आणि फायरवॉलवर ब्लॉक केले आहेत याची खात्री करा. ४. स्टेटफुल इन्स्पेक्शन सक्षम करा: तुमची फायरवॉल स्टेटफुल मोडमध्ये कार्यरत असल्याची खात्री करा. याचा अर्थ असा की ती कनेक्शनच्या स्थितीचा मागोवा घेते आणि ओळखीच्या सेशनचा भाग नसलेल्या न मागवलेल्या इनबाउंड पॅकेट्सना स्वयंचलितपणे नकार देईल.
पायरी ३: कंट्रोलर कॉन्फिगरेशन
WLC वर, फायरवॉलचा सार्वजनिक IP पत्ता कंट्रोलरचा मुख्य इंटरफेस किंवा NAT'd पत्ता म्हणून कॉन्फिगर केला असल्याची खात्री करा. हे कंट्रोलरला CAPWAP प्रतिसाद अचूकपणे तयार करण्यास अनुमती देते जेणेकरून ते परत AP कडे पाठवले जाऊ शकतात. CAPWAP साठी DTLS एन्क्रिप्शनसारखी वैशिष्ट्ये सक्षम असल्याची खात्री करा.
सर्वोत्तम पद्धती
- पर्यायांना प्राधान्य द्या: थेट पोर्ट फॉरवर्डिंग टाळणे हा सर्वात सुरक्षित दृष्टिकोन आहे. शक्य असल्यास, रिमोट ठिकाणे आणि कंट्रोलरच्या डेटा सेंटर दरम्यान site-to-site VPN लागू करा. हे सर्व ट्रॅफिक सुरक्षित टनेलमध्ये समाविष्ट करते, ज्यामुळे सार्वजनिक तोंड असणाऱ्या पोर्ट्सची आवश्यकता राहत नाही.* Cloud चा स्वीकार करा: नवीन उपयोजन किंवा हार्डवेअर बदलताना, cloud-managed WiFi solution चा (उदा. Cisco Meraki, Ruckus One, Aruba Central) नक्की विचार करा. हे प्लॅटफॉर्म्स अशा प्रकारे डिझाइन केले आहेत की APs क्लाउडशी आउटबाउंड कनेक्शन्स सुरू करतात, ज्यामुळे कोणत्याही इनबाउंड फायरवॉल नियमांची आवश्यकता उरत नाही आणि व्यवस्थापन सोपे होते.
- नियमित ऑडिट: PCI DSS आवश्यकता १.१.६ नुसार आवश्यक असल्याप्रमाणे, फायरवॉल आणि राउटर नियम संचांचे किमान दर सहा महिन्यांनी पुनरावलोकन केले पाहिजे. या प्रक्रियेद्वारे प्रत्येक नियमाच्या व्यावसायिक औचित्याची पडताळणी केली पाहिजे आणि ते शक्य तितके प्रतिबंधित आहेत याची खात्री केली पाहिजे.
- मजबूत ऑथेंटिकेशन वापरा: जेथे शक्य असेल तेथे मल्टी - फॅक्टर ऑथेंटिकेशन (MFA) द्वारे व्यवस्थापन इंटरफेस सुरक्षित करा. मजबूत, गुंतागुंतीचे पासवर्ड वापरा आणि ते नियमितपणे बदला.
- लॉगिंग आणि मॉनिटरिंग: फायरवॉल आणि WLC लॉग एका केंद्रीय SIEM (Security Information and Event Management) सिस्टीमवर फॉरवर्ड करा. विसंगत कनेक्शनचे प्रयत्न, वारंवार अयशस्वी झालेले लॉगिन आणि अनपेक्षित ट्रॅफिक पॅटर्न यावर लक्ष ठेवा.
ट्रबलशूटिंग आणि जोखीम निवारण
सामान्य बिघाड प्रकार: APs कंट्रोलरमध्ये सामील होण्यात अपयशी ठरणे
- लक्षण: रिमोट साइटवरील APs डिस्कव्हरी लूपमध्ये अडकतात आणि कंट्रोलर डॅशबोर्डमध्ये कधीही दिसत नाहीत.
- ट्रबलशूटिंग:
- रिमोट साइटवरून कंट्रोलरच्या पब्लिक IP पर्यंत मूलभूत नेटवर्क कनेक्टिव्हिटी सत्यापित करा (ping, traceroute).
- कंट्रोलरच्या बाजूने फायरवॉल लॉग तपासा. तुम्हाला AP च्या पब्लिक IP कडून येणारे इनबाउंड UDP ५२४६ पॅकेट्स दिसत आहेत का? त्यांना परवानगी दिली जात आहे की ड्रॉप केले जात आहे?
- WLC च्या खाजगी IP साठी NAT/पोर्ट फॉरवर्डिंग नियम योग्यरित्या कॉन्फिगर केले आहेत याची खात्री करा.
- रिमोट साइटवर NAT चा दुसरा थर (डबल NAT) नाही याची खात्री करा जो कनेक्शनमध्ये अडथळा आणू शकतो.
जोखीम: कंट्रोलरशी तडजोड (Controller Compromise)
- परिदृश्य: WLC च्या वेब मॅनेजमेंट इंटरफेसमध्ये एक त्रुटी आढळली आहे आणि TCP ४४३ साठी तुमच्या पोर्ट फॉरवर्डिंग नियमाचा स्रोत 'Any' आहे.
- निवारण: हे स्त्रोत IP प्रतिबंधित करण्याच्या महत्त्वावर प्रकाश टाकते. जर स्रोत तुमच्या ऑफिसच्या IP पुरता मर्यादित असेल, तर या त्रुटीचा बाह्य इंटरनेटवरून गैरफायदा घेतला जाऊ शकत नाही. हे डिफेन्स - इन - डेप्थ चे एक उत्कृष्ट उदाहरण आहे. पुढील निवारणामध्ये अटॅकरच्या हालचाली मर्यादित करण्यासाठी WLC ला DMZ मध्ये ठेवणे आणि विक्रेत्याकडून सुरक्षा पॅचेस वेळेवर लागू करणे समाविष्ट आहे.
जोखीम: अनुपालन उल्लंघन (Compliance Violations)
- परिदृश्य: एका PCI DSS ऑडिटमध्ये असे आढळले आहे की WLC अशा रिटेल स्टोअरमधील APs व्यवस्थापित करत आहे जे क्रेडिट कार्ड पेमेंट प्रक्रियेशी संबंधित आहे आणि WLC हे कार्डधारक डेटा एन्व्हायरनमेंट (CDE) पासून योग्यरित्या वेगळे केलेले नाही.
- निवारण: PCI DSS अनुपालनासाठी नेटवर्क वेगळे करणे बंधनकारक आहे [२]. पेमेंट टर्मिनल्सद्वारे वापरले जाणारे वायरलेस नेटवर्क हे अतिथी आणि कॉर्पोरेट WiFi सह इतर सर्व नेटवर्कपासून वेगळे केले पाहिजे. जर WLC चा CDE च्या सुरक्षेवर परिणाम होऊ शकत असेल, तर ऑडिटसाठी स्वतः WLC चा विचार करणे आवश्यक आहे. GDPR साठी, अतिथी WiFi डेटा हा वैयक्तिक डेटा आहे आणि नेटवर्क डिझाइनने त्यावर अनधिकृत प्रवेशास प्रतिबंध केला पाहिजे [३].
ROI आणि व्यावसायिक प्रभाव
हा एक तांत्रिक विषय असला, तरी WiFi आर्किटेक्चरच्या निवडीचा थेट व्यावसायिक परिणाम होतो. ऑन-प्रिमायसेस कंट्रोलर मॉडेलमध्ये लक्षणीय भांडवली खर्च (CapEx) होऊ शकतो, परंतु ते बारीक नियंत्रण प्रदान करते आणि सर्व डेटा संस्थेच्या पायाभूत सुविधांमध्ये सुरक्षित ठेवते. या मॉडेलच्या ऑपरेशनल खर्चामध्ये फायरवॉल आणि कंट्रोलर कॉन्फिगरेशनचे व्यवस्थापन, सुरक्षितता आणि ऑडिट करण्यासाठी आवश्यक असलेल्या कर्मचाऱ्यांच्या वेळेचा समावेश होतो. चुकीच्या पद्धतीने कॉन्फिगर केलेल्या फायरवॉलमुळे उद्भवणाऱ्या सुरक्षा उल्लंघनामुळे मोठे आर्थिक नुकसान, प्रतिष्ठेची हानी आणि नियामक दंड होऊ शकतात.
याउलट, क्लाउड-व्यवस्थापित सोल्यूशन खर्च मॉडेलला CapEx कडून OpEx (आवर्ती सबस्क्रिप्शन फी) कडे वळवते. कमी झालेल्या आयटी ओव्हरहेडद्वारे ROI मिळवला जातो - यामध्ये देखभालीसाठी कोणतेही ऑन-प्रिमायसेस हार्डवेअर नसते, कंट्रोलर ऍक्सेससाठी व्यवस्थापित करण्यासाठी कोणतेही गुंतागुंतीचे फायरवॉल नियम नसतात आणि नवीन साइट्स जलद गतीने तैनात करता येतात. रिटेल चेन्स किंवा हॉस्पिटॅलिटी ग्रुप्ससारख्या अनेक वितरित उपक्रमांसाठी, क्लाउड-व्यवस्थापित प्लॅटफॉर्मची मालकीची एकूण किंमत (TCO) आणि सुधारित सुरक्षा स्थिती एक मजबूत व्यावसायिक केस प्रदान करते, जी जुन्या ऑन-प्रिमायसेस आर्किटेक्चरमधून स्थलांतरित होण्याचे समर्थन करते.
References
[1] IETF, RFC 5415: Control And Provisioning of Wireless Access Points (CAPWAP) Protocol Specification, https://datatracker.ietf.org/doc/html/rfc5415 [2] PCI Security Standards Council, PCI DSS v4.0, https://www.pcisecuritystandards.org/document_library/ [3] General Data Protection Regulation (GDPR), https://gdpr-info.eu/
महत्वाच्या व्याख्या
पोर्ट फॉरवर्डिंग (Inbound NAT)
एक नेटवर्क कॉन्फिगरेशन जे पब्लिक-फेसिंग फायरवॉल किंवा राउटरवरील विशिष्ट पोर्टवरून अंतर्गत नेटवर्कमधील प्रायव्हेट डिव्हाइसवरील विशिष्ट पोर्टवर ट्रॅफिक निर्देशित करते.
IT टीम्स याचा वापर प्रायव्हेट IP ॲड्रेस असलेला ऑन-प्रिमाइसेस WiFi कंट्रोलर, सार्वजनिक इंटरनेटवर असलेल्या ॲक्सेस पॉइंट्ससाठी उपलब्ध करून देण्यासाठी करतात.
CAPWAP (Control and Provisioning of Wireless Access Points)
एक IETF मानक प्रोटोकॉल (RFC 5415) जो केंद्रीय कंट्रोलरला वायरलेस ॲक्सेस पॉइंट्सचा समूह व्यवस्थापित करण्यास सक्षम करतो. हा UDP पोर्ट्स 5246 (कंट्रोल) आणि 5247 (डेटा) वर कार्य करतो.
हा एक मूलभूत प्रोटोकॉल आहे जो APs आणि WLC मधील संवादाला सुलभ करतो. फायरवॉल कॉन्फिगर करताना याच्या पोर्टच्या आवश्यकता समजून घेणे ही पहिली पायरी आहे.
DMZ (Demilitarized Zone)
एक परिमिती नेटवर्क विभाग जो संस्थेच्या विश्वसनीय अंतर्गत LAN पासून वेगळा केलेला असतो. याचा वापर पब्लिक-फेसिंग सेवा होस्ट करण्यासाठी केला जातो आणि हा सुरक्षेचा एक अतिरिक्त स्तर जोडतो.
DMZ मध्ये WiFi कंट्रोलर ठेवणे ही एक महत्त्वाची सर्वोत्तम पद्धत आहे. जर कंट्रोलर धोक्यात आला, तर आक्रमणकर्ता DMZ च्या आतच मर्यादित राहतो आणि त्याला कॉर्पोरेट नेटवर्कमध्ये थेट प्रवेश मिळत नाही.
Stateful Firewall
एक फायरवॉल जो सक्रिय नेटवर्क कनेक्शन्सच्या स्थितीचा मागोवा ठेवतो आणि केवळ वैयक्तिक पॅकेट्सवर नाही, तर ट्रॅफिकच्या संदर्भावर आधारित निर्णय घेतो.
सुरक्षित पोर्ट फॉरवर्डिंगसाठी stateful firewall आवश्यक आहे, कारण तो WLC कडून AP कडे परत येणाऱ्या ट्रॅफिकला केवळ तेव्हाच अनुमती देईल जेव्हा तो स्थापित CAPWAP सेशनचा भाग असेल, ज्यामुळे न मागितलेल्या इनबाउंड ट्रॅफिकला प्रतिबंध होतो.
PCI DSS
पेमेंट कार्ड इंडस्ट्री डेटा सिक्युरिटी स्टँडर्ड (PCI DSS), हा सुरक्षा मानकांचा एक संच आहे जो क्रेडिट कार्ड माहिती स्वीकारणाऱ्या, त्यावर प्रक्रिया करणाऱ्या, साठवणूक करणाऱ्या किंवा प्रसारित करणाऱ्या सर्व कंपन्यांनी सुरक्षित वातावरण राखले पाहिजे याची खात्री करण्यासाठी डिझाइन केला आहे.
रिटेल किंवा हॉस्पिटॅलिटीमधील कोणत्याही संस्थेसाठी, WiFi आर्किटेक्चर PCI DSS चे पालन करते याची खात्री करणे बंधनकारक आहे. हे नेटवर्क विभाजन आणि फायरवॉल कॉन्फिगरेशनच्या निर्णयांवर मोठ्या प्रमाणावर प्रभाव पाडते.
RADIUS (Remote Authentication Dial-In User Service)
एक क्लायंट/सर्व्हर प्रोटोकॉल जो नेटवर्क सेवा जोडणाऱ्या आणि वापरणाऱ्या युजर्ससाठी केंद्रीकृत ऑथेंटिकेशन, ऑथरायझेशन आणि अकाउंटिंग (AAA) व्यवस्थापन प्रदान करतो.
एंटरप्राइझ WiFi मध्ये, WPA2/WPA3-Enterprise सुरक्षा (802.1X) सक्षम करण्यासाठी RADIUS चा वापर केला जातो. WLC हा RADIUS क्लायंट म्हणून काम करतो आणि फायरवॉल नियमांनी त्याला UDP पोर्ट्स 1812 आणि 1813 वर RADIUS सर्व्हरशी संवाद साधण्याची अनुमती दिली पाहिजे.
क्लाउड-मॅनेज्ड WiFi
एक WiFi आर्किटेक्चर जिथे ॲक्सेस पॉइंट्स कंट्रोलर प्लॅटफॉर्मद्वारे व्यवस्थापित केले जातात जे व्हेंडरद्वारे क्लाउडमध्ये होस्ट केले जातात (उदा., Cisco Meraki, Aruba Central).
हे आर्किटेक्चर ऑन-प्रिमाइसेस कंट्रोलर्सला थेट पर्याय आहे. हे डिप्लॉयमेंट सुलभ करते आणि पोर्ट फॉरवर्डिंगची आवश्यकता काढून टाकते कारण APs क्लाउडवर आउटबाउंड कनेक्शन्स सुरू करतात, जे अधिक सुरक्षित डिफॉल्ट धोरण आहे.
सोर्स IP व्हाइटलिस्टिंग
विशिष्ट, पूर्व-मंजूर सोर्स IP ॲड्रेसेसच्या सूचीमधून केवळ ट्रॅफिकला अनुमती देण्यासाठी फायरवॉल नियम कॉन्फिगर करण्याची पद्धत.
पोर्ट फॉरवर्डिंग करताना हे सर्वात महत्त्वाचे सुरक्षा नियंत्रण आहे. व्यवस्थापन प्रवेश (HTTPS/SSH) ऑफिस किंवा VPN IPs च्या व्हाइटलिस्टपुरता मर्यादित केल्याने अनधिकृत प्रवेशाचा धोका कमालीचा कमी होतो.
सोडवलेली उदाहरणे
एका २५० खोल्यांच्या हॉटेलला गेस्ट WiFi प्रदान करायचे आहे आणि अंतर्गत कर्मचारी उपकरणांना (हाऊसकीपिंग टॅब्लेट, PoS सिस्टम) सपोर्ट द्यायचा आहे. त्यांच्या सर्व्हर रूममध्ये ऑन-प्रिमाइसेस Cisco 3504 WLC आहे आणि त्यांना Purple कॅप्टिव्ह पोर्टलद्वारे अखंड गेस्ट अनुभव देताना PCI DSS अनुपालन देखील सुनिश्चित करायचे आहे.
१. नेटवर्क सेगमेंटेशन: WLC ला नवीन DMZ VLAN (उदा. VLAN 100) मध्ये ठेवले जाते. 'GUEST_WIFI' (VLAN 101), 'STAFF_CORP' (VLAN 102), आणि 'POS_SECURE' (VLAN 103) हे तीन नवीन वायरलेस LAN तयार केले जातात. हे VLAN एकमेकांपासून पूर्णपणे विलग करण्यासाठी फायरवॉल नियम कॉन्फिगर केले आहेत. पेमेंट प्रोसेसरकडे जाणाऱ्या ट्रॅफिकव्यतिरिक्त, POS_SECURE नेटवर्क इंटरनेटपासून विलग केले आहे. २. फायरवॉल आणि पोर्ट फॉरवर्डिंग: सार्वजनिक इंटरनेटवरून WLC कडे कोणतेही पोर्ट्स फॉरवर्ड केले जात नाहीत. त्याऐवजी, त्यांच्या कॅप्टिव्ह पोर्टल सेवेसाठी Purple ने प्रदान केलेल्या विशिष्ट IP श्रेणीमधून केवळ येणाऱ्या HTTPS (TCP 443) ट्रॅफिकला परवानगी देण्यासाठी एक नियम तयार केला जातो. यामुळे पोर्टलला गेस्ट सेशन्स अधिकृत करण्यासाठी कंट्रोलरशी संवाद साधता येतो. WLC कडे येणारे इतर सर्व इनबाउंड ट्रॅफिक ब्लॉक केले जाते. ३. PCI DSS अनुपालन: 'POS_SECURE' WLAN WPA2-Enterprise आणि 802.1X ऑथेंटिकेशनसह कॉन्फिगर केले आहे. फायरवॉल पॉलिसी हे सुनिश्चित करते की हा नेटवर्क सेगमेंट गेस्ट आणि कॉर्पोरेट कर्मचारी नेटवर्कपासून पूर्णपणे विलग आहे, ज्यामुळे PCI DSS आवश्यकता १.२.३ पूर्ण होते. WLC स्वतः इन-स्कोप मानले जाते आणि PCI मार्गदर्शक तत्त्वांनुसार सुरक्षित केले जाते.
५० स्टोअर्स असलेल्या एका रिटेल चेनकडे त्यांच्या मुख्यालयात मध्यवर्ती Ruckus SmartZone कंट्रोलर आहे. प्रत्येक स्टोअरमध्ये ५ ते १० APs आहेत जे सार्वजनिक इंटरनेटवर मुख्यालयातील कंट्रोलरशी जोडलेले असणे आवश्यक आहे. IT टीमला कंट्रोलरचे रिमोट व्यवस्थापन करणे आवश्यक आहे.
१. प्राथमिक पर्याय म्हणून VPN: शिफारस केलेला उपाय म्हणजे प्रत्येक रिटेल स्टोअरमध्ये एक लहान फायरवॉल/VPN गेटवे स्थापित करणे जेणेकरून मुख्यालय फायरवॉलला साईट-टू-साईट IPsec VPN तयार करता येईल. सर्व AP ट्रॅफिक नंतर सुरक्षित VPN टनेलद्वारे रूट केले जाते. यासाठी मुख्यालयात कोणत्याही इनबाउंड पोर्ट फॉरवर्डिंगची आवश्यकता नसते, ज्यामुळे हा सर्वात सुरक्षित पर्याय बनतो. २. फॉलबॅक म्हणून पोर्ट फॉरवर्डिंग: खर्च किंवा तांत्रिक मर्यादांमुळे VPN व्यवहार्य नसल्यास, पोर्ट फॉरवर्डिंगचा दृष्टिकोन वापरला जातो. मुख्यालयाच्या फायरवॉलवर, UDP 12223 (डिस्कव्हरीसाठी) आणि TCP 91/443 (फर्मवेअरसाठी) हे SmartZone कंट्रोलरकडे फॉरवर्ड करण्यासाठी DNAT नियम तयार केले जातात. महत्त्वाचे म्हणजे, या नियमांचा स्त्रोत सर्व ५० स्टोअर्सच्या स्टॅटिक पब्लिक IP ऍड्रेसेसची सूची आहे. व्यवस्थापनासाठी TCP 8443 फॉरवर्ड करण्यासाठी स्वतंत्र नियम वापरला जातो, ज्याचा स्त्रोत IT टीमच्या ऑफिस IP पुरता मर्यादित असतो. ३. AP कॉन्फिगरेशन: प्रत्येक स्टोअरमधील APs मुख्यालयाच्या फायरवॉलच्या पब्लिक IP ऍड्रेससह त्यांचे कंट्रोलर ऍड्रेस म्हणून कॉन्फिगर केले जातात. त्यानंतर ते कनेक्शन सुरू करतील, जे अंतर्गत SmartZone कंट्रोलरकडे फॉरवर्ड केले जाईल.
सराव प्रश्न
Q1. तुम्ही एका कॉन्फरन्स सेंटरसाठी नवीन WiFi नेटवर्क तैनात करत आहात. क्लायंटला अतिथी विश्लेषणासाठी (guest analytics) Purple वापरायचे आहे आणि त्यांच्याकडे आधीपासून ऑन-प्रिमाइसेस Aruba मोबिलिटी कंट्रोलर उपलब्ध आहे. Purple चे Captive Portal योग्यरित्या कार्यरत राहण्यासाठी तुम्हाला कॉन्फिगर करावा लागणारा सर्वात महत्त्वाचा फायरवॉल नियम कोणता आहे?
टीप: संवादाच्या प्रवाहाचा विचार करा. बाह्य सेवेला अंतर्गत कंट्रोलरशी बोलणे आवश्यक आहे. यामध्ये कोणते IP ॲड्रेसेस समाविष्ट आहेत?
नमुना उत्तर पहा
सर्वात महत्त्वाचा नियम म्हणजे Purple च्या विशिष्ट पब्लिक IP ॲड्रेस रेंजमधून येणाऱ्या इनबाउंड HTTPS (TCP 443) ट्रॅफिकला Aruba कंट्रोलरच्या पब्लिक-फेसिंग IP कडे परवानगी देणे. तुम्हाला ही IP रेंज Purple च्या दस्तऐवजांमधून (documentation) किंवा सपोर्ट टीमकडून मिळवावी लागेल. सोर्स म्हणून 'Any' असलेला नियम हा सुरक्षेच्या दृष्टीने मोठा धोका ठरू शकतो. त्यानंतर डीएमझेड (DMZ) मधील कंट्रोलरच्या अंतर्गत IP ॲड्रेसवर हे ट्रॅफिक फॉरवर्ड करण्यासाठी तुम्हाला DNAT नियम तयार करावा लागेल.
Q2. एका कनिष्ठ नेटवर्क इंजिनिअरने नवीन रिमोट ऑफिससाठी पोर्ट फॉरवर्डिंग कॉन्फिगर केले आहे. APs ऑनलाइन आहेत, परंतु तो तुम्हाला सांगतो की त्याने "ट्रबलशूटिंग सोपे करण्यासाठी" कोणत्याही 'Any' सोर्स IP वरून कंट्रोलरकडे TCP पोर्ट 23 उघडला आहे. यामध्ये तात्काळ धोका कोणता आहे, आणि तुमची त्याला काय सूचना असेल?
टीप: TCP पोर्ट 23 हा Telnet साठी असतो. या प्रोटोकॉलची सुरक्षा वैशिष्ट्ये कोणती आहेत?
नमुना उत्तर पहा
तात्काळ असलेला धोका अत्यंत गंभीर आहे. Telnet हा एक अनइन्क्रिप्टेड प्रोटोकॉल आहे, म्हणजेच कंट्रोलरचे युझरनेम आणि पासवर्ड प्लेन टेक्स्ट स्वरूपात पाठवले जातात. हे संपूर्ण इंटरनेटसाठी उघडे ठेवल्याने कंट्रोलर क्रेडेंशियल चोरी आणि तडजोडीसाठी (compromise) अत्यंत असुरक्षित बनतो. तुमची सूचना तात्काळ हा फायरवॉल नियम निष्क्रिय करण्याची, कंट्रोलरवरील Telnet सर्व्हिस स्वतः बंद करण्याची आणि सर्व CLI मॅनेजमेंटसाठी SSH (TCP 22) वापरण्याची असावी, ज्यामध्ये सोर्स IP केवळ विश्वासू व्यवस्थापन नेटवर्कपुरता (management network) मर्यादित असेल.
Q3. तुमचे CFO १०० नवीन रिटेल स्टोअर्ससाठी क्लाउड-मॅनेज्ड WiFi सोल्यूशनच्या सबस्क्रिप्शन खर्चावर प्रश्नचिन्ह उपस्थित करत आहेत, त्यांचा असा युक्तिवाद आहे की ऑन-प्रिमाइसेस कंट्रोलर्स खरेदी करणे हा एक वेळचा स्वस्त खर्च आहे. तुम्ही सुरक्षेच्या आणि ऑपरेशनल दृष्टीकोनातून क्लाउड सोल्यूशनचा ROI कसा स्पष्ट कराल?
टीप: केवळ सुरुवातीच्या खरेदी किंमतीचा विचार न करता मालकीच्या एकूण खर्चाचा (TCO) विचार करा. ऑन-प्रिमाइसेस, मल्टि-साइट डेप्लॉयमेंटसाठी कोणत्या सातत्यपूर्ण कामाची आवश्यकता असते?
नमुना उत्तर पहा
क्लाउड-मॅनेज्ड सोल्यूशनचा ROI हा केवळ सुरुवातीच्या हार्डवेअर खर्चाच्या पलीकडे जातो. ऑपरेशनल दृष्टीकोनातून विचार केल्यास, हे १०० वेगवेगळ्या ठिकाणांसाठी गुंतागुंतीचे फायरवॉल नियम आणि VPNs कॉन्फिगर, व्यवस्थापित आणि ऑडिट करण्यासाठी लागणाऱ्या कर्मचाऱ्यांचा मोठा वेळ आणि खर्च वाचवते. यामुळे अंमलबजावणी जलद होते आणि सततचा कर्मचारी खर्च कमी होतो. सुरक्षेच्या दृष्टीकोनातून, क्लाउड मॉडेलमध्ये मूळतःच कमी जोखमीचे प्रोफाइल असते. यामुळे कोणत्याही इनबाउंड पोर्ट फॉरवर्डिंगची आवश्यकता उरत नाही, ज्यामुळे नेटवर्कच्या बाह्य हल्ल्यांचे क्षेत्र (attack surface) कमालीचे कमी होते आणि PCI DSS सारख्या मानकांचे पालन करणे सोपे होते. सबस्क्रिप्शन खर्च प्रभावीपणे या व्यवस्थापन प्लॅटफॉर्मची सुरक्षा आणि देखभालीची जबाबदारी थेट विक्रेत्याकडे (vendor) सोपवतो, ज्यामुळे एकूण मालकी खर्च (TCO) कमी होतो आणि अधिक सुरक्षित, स्केलेबल नेटवर्क मिळते.
वारंवार विचारले जाणारे प्रश्न
When is port forwarding required for an enterprise WiFi controller?
Port forwarding is required when access points or branch switches located at external sites or home offices must communicate with an on-premises Wireless LAN Controller (WLC) located behind a network firewall or NAT boundary. Inbound NAT forwarding translates external WAN IP traffic to internal WLC interfaces for control tunnels and user traffic.
Which network ports are needed for CAPWAP controller communication?
CAPWAP (RFC 5415 and RFC 5416) requires two primary UDP ports: UDP 5246 for the control plane (discovery, DTLS management handshake, keepalives) and UDP 5247 for the data plane (tunneling client data frames in centralized switching mode). Legacy Cisco AireOS LWAPP implementations utilized UDP 12222 and 12223.
What are the security risks of forwarding ports to an on-premises WLC?
Opening inbound WAN ports exposes controller management interfaces to brute-force dictionary attacks, vulnerability scanning, and distributed denial-of-service (DDoS) packet floods. Exposing standard RADIUS ports (UDP 1812/1813) over the public internet exposes cleartext MD5 shared secrets to cryptographic offline cracking unless encapsulated in IPsec or RadSec.
How does MTU and packet fragmentation affect remote CAPWAP tunnels?
CAPWAP encapsulation adds a 44-byte outer header to every packet. When traversing WAN links with standard 1500-byte MTUs (or 1492-byte PPPoE links), frames exceed path MTU limits and undergo IP fragmentation. If intermediate firewalls drop fragmented UDP packets, access points suffer frequent DTLS retransmissions, association timeouts, and degraded throughput.
How does RadSec eliminate RADIUS port forwarding vulnerabilities?
RadSec (RFC 6614) encapsulates RADIUS authentication and accounting packets inside secure TCP port 2083 TLS 1.3 tunnels. RadSec provides mutual X.509 certificate authentication, eliminates fragile UDP packet loss over long-distance WAN connections, and protects credential hashes from eavesdropping without exposing open UDP ports.
How does Purple Cloud RADIUS eliminate the need for inbound port forwarding?
Purple Cloud RADIUS replaces on-premises authentication controllers with globally distributed cloud infrastructure. Access points establish secure outbound TLS connections to Purple endpoints, completely eliminating the need for inbound firewall pinholes, static public IP mapping, and fragile edge NAT port forwarding rules.
या मालिकेमध्ये पुढे वाचा
CIPA compliance: venue operators साठी compliance checklist
तुमचे WiFi CIPA च्या बंधनात येते की नाही हे तुम्ही ठरवू शकाल, त्यानंतर नेटवर्कचे वर्गीकरण करू शकाल, Purple Shield द्वारे DNS रूट करू शकाल आणि बायपास मार्ग बंद करू शकाल. Form 486 किंवा Form 479 प्रमाणपत्रासाठी कोणते पुरावे ठेवावे हे देखील तुम्हाला समजेल. ही checklist प्रत्येक आवश्यकतेला एक मालक नियुक्त करते, जेणेकरून तुमच्या पुढील फंडिंग वर्षाच्या प्रमाणपत्रात काहीही सुटणार नाही.
WPA3 transition mode कनेक्शन बिघाड: Cisco Meraki, HPE Aruba आणि Ruckus साठी एक उपयोजन चेकलिस्ट
डिव्हाइसेस WPA3 SAE transition mode SSID वर का अयशस्वी होत आहेत याचे निदान करण्यासाठी आणि ते Cisco Meraki, HPE Aruba किंवा Ruckus वर दुरुस्त करण्यासाठी या चेकलिस्टचा वापर करा. तुम्ही 802.11 स्टेटस कोडचे त्यांच्या कारणांशी मिलान कराल, PMF, 802.11r आणि 6GHz च्या समस्या वेगळ्या कराल आणि फक्त WPA3-only SSID वर कधी स्थलांतरित व्हायचे ते ठरवाल.
सर्वोत्तम DNS filtering: व्यवसायांसाठी एक व्यापक मार्गदर्शक
हे तांत्रिक संदर्भ मार्गदर्शक स्पष्ट करते की कशा प्रकारे एंटरप्राइझ DNS filtering हे कनेक्शन स्थापित होण्यापूर्वीच - रिझोल्यूशन लेयरवर दुर्भावनापूर्ण डोमेन्स ब्लॉक करून सार्वजनिक नेटवर्क सुरक्षित करते. हे IT संचालक, नेटवर्क आर्किटेक्ट आणि वेन्यू ऑपरेशन्स टीम्सना डेव्हलपमेंट आर्किटेक्चर, फायरवॉल कॉन्फिगरेशन आणि अनुपालन संदर्भ प्रदान करते जे त्यांना हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील वातावरणात Guest WiFi सुरक्षित करण्यासाठी आवश्यक आहे. Purple Shield हे ८०,००० पेक्षा जास्त थेट वेन्यूवर DNS स्तरावर मालवेअर, बॉटनेट्स आणि अयोग्य कंटेंट ब्लॉक करते.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.