WiFi नेटवर्क सेगमेंटेशन: VLANs, SSIDs आणि गेस्ट ट्रॅफिक

Purple टेक्निकल ब्रीफिंग सिरीजमध्ये आपले स्वागत आहे. आज आम्ही एंटरप्राइझ वायरलेस नेटवर्क डिझाइनमधील सर्वात परिणामकारक आणि वारंवार गैरसमज होणाऱ्या निर्णयांपैकी एकावर चर्चा करत आहोत: WiFi नेटवर्क सेगमेंटेशन. जर तुम्ही हॉटेल, रिटेल इस्टेट, कॉन्फरन्स सेंटर, स्टेडियम किंवा असे कोणतेही ठिकाण व्यवस्थापित करत असाल जिथे तुम्ही गेस्ट-फेसिंग आणि ऑपरेशनल WiFi दोन्ही चालवत आहात, तर हा एपिसोड थेट तुमच्याशी संबंधित आहे. 2024 मध्ये सेगमेंटेशन का अनिवार्य आहे, ते साध्य करण्यासाठी VLANs आणि मल्टिपल SSIDs एकत्र कसे काम करतात आणि एक उत्तम प्रकारे डिझाइन केलेले डिप्लॉयमेंट प्रत्यक्षात कसे दिसते हे आम्ही कव्हर करणार आहोत. हे कोणतेही सैद्धांतिक व्याख्यान नाही. या ब्रीफिंगच्या शेवटी, तुमच्याकडे तुमच्या सध्याच्या नेटवर्कचे मूल्यमापन करण्यासाठी, त्रुटी ओळखण्यासाठी आणि तुमच्या पुढील पावलांबद्दल आत्मविश्वासाने निर्णय घेण्यासाठी एक स्पष्ट फ्रेमवर्क असेल. चला तर मग सुरुवात करूया. तर, WiFi नेटवर्क सेगमेंटेशन नेमके काय आहे? मुळात, ही एकाच फिजिकल वायरलेस इन्फ्रास्ट्रक्चरला अनेक लॉजिकली आयसोलेटेड नेटवर्क्समध्ये विभागण्याची पद्धत आहे. प्रत्येक सेगमेंट वेगळे ट्रॅफिक वाहून नेते, भिन्न युजर्स किंवा उपकरणांना सेवा देते आणि भिन्न सुरक्षा धोरणांद्वारे नियंत्रित केले जाते, हे सर्व एकाच फिजिकल ॲक्सेस पॉईंट्स आणि केबलिंगवर चालते. याला शक्य करणाऱ्या दोन तंत्रज्ञाने म्हणजे VLANs (व्हर्च्युअल लोकल एरिया नेटवर्क्स) आणि SSIDs (सर्व्हिस सेट आयडेंटिफायर्स). आपण प्रत्येकाची क्रमाने माहिती घेऊया. VLAN हे IEEE 802.1Q मानकामध्ये परिभाषित केलेले लेयर 2 कन्स्ट्रक्ट आहे. हे एकाच फिजिकल स्विच किंवा ॲक्सेस पॉईंटला अनेक, लॉजिकली वेगळे ब्रॉडकास्ट डोमेन्स वाहून नेण्याची परवानगी देते. याचा विचार एकाच बोगद्यातून जाणाऱ्या अनेक स्वतंत्र रस्त्यांसारखा करा. वाहने, म्हणजेच तुमचे डेटा पॅकेट्स, नेटवर्कमध्ये प्रवेश करताना त्यांना VLAN ID ने टॅग केले जाते आणि तो टॅग ठरवतो की ते कोणत्या रस्त्यावरून प्रवास करतील आणि कोणते एक्झिट्स वापरू शकतील. VLAN IDs 1 ते 4094 पर्यंत असतात आणि एका उत्तम डिझाइन केलेल्या एंटरप्राइझ डिप्लॉयमेंटमध्ये, प्रत्येक ट्रॅफिक क्लासला स्वतःचा ID मिळतो. SSID हे फक्त नेटवर्कचे नाव आहे जे वायरलेस उपकरणाला दिसते आणि ज्याच्याशी ते कनेक्ट होते. जेव्हा तुम्ही ॲक्सेस पॉईंटवर अनेक SSIDs कॉन्फिगर करता, तेव्हा प्रत्येक SSID संबंधित VLAN शी मॅप केला जातो. त्यामुळे तुमचे गेस्ट नेटवर्क, ज्याला आपण VenueGuest म्हणूया, VLAN 10 शी मॅप होते. तुमचे स्टाफ नेटवर्क VLAN 20 शी मॅप होते. तुमची IoT आणि बिल्डिंग मॅनेजमेंट उपकरणे VLAN 30 शी मॅप होतात. आणि तुमचे पॉइंट-ऑफ-सेल किंवा पेमेंट टर्मिनल्स VLAN 40 वर असतात, ज्यामध्ये PCI DSS आवश्यकता पूर्ण करण्यासाठी सर्वात कठोर ॲक्सेस कंट्रोल्स असतात. आता, सुरक्षेच्या दृष्टिकोनातून हे इतके महत्त्वाचे का आहे? याचे उत्तर लॅटरल मूव्हमेंट आहे. एका फ्लॅट, अनसेगमेंटेड नेटवर्कमध्ये, जिथे प्रत्येक उपकरण समान ब्रॉडकास्ट डोमेन शेअर करते, तिथे तडजोड केलेले उपकरण त्या नेटवर्कवरील इतर प्रत्येक उपकरणाशी थेट संवाद साधू शकते. मालवेअरने संक्रमित झालेला गेस्टचा स्मार्टफोन, सैद्धांतिकदृष्ट्या, तुमच्या POS टर्मिनल्स, तुमचे स्टाफ लॅपटॉप्स, तुमची CCTV सिस्टीम तपासू शकतो. हा केवळ सैद्धांतिक धोका नाही. हा एक डॉक्युमेंटेड अटॅक व्हेक्टर आहे. नेटवर्क सेगमेंटेशन तो अटॅक सरफेस नष्ट करते, हे सुनिश्चित करून की एका सेगमेंटमधील ट्रॅफिक स्पष्ट धोरण लागू करणाऱ्या फायरवॉल किंवा राउटरमधून गेल्याशिवाय दुसऱ्या सेगमेंटपर्यंत पोहोचू शकत नाही. अनुपालनाच्या दृष्टिकोनातून, सेगमेंटेशन अनेकदा अनिवार्य असते, ऐच्छिक नाही. PCI DSS, पेमेंट कार्ड इंडस्ट्री डेटा सिक्युरिटी स्टँडर्ड, कार्डहोल्डर डेटा एन्व्हायर्नमेंट्स इतर सर्व नेटवर्क ट्रॅफिकपासून आयसोलेट करणे आवश्यक करते. GDPR डेटा मिनिमायझेशन आणि ॲक्सेस कंट्रोलच्या संदर्भात बंधने लादते जी पूर्ण करणे खूप सोपे असते जेव्हा तुमचे नेटवर्क आर्किटेक्चर डिझाइननुसार सेपरेशन लागू करते. हेल्थकेअर वातावरणात, NHS डिजिटल मार्गदर्शक तत्त्वांनुसार क्लिनिकल उपकरणांचे नेटवर्क्स सामान्य-उद्देशीय WiFi पासून आयसोलेट केले जाणे आवश्यक आहे. आपण आर्किटेक्चरबद्दल थोड्या अधिक तपशीलवार बोलूया. एका ठराविक एंटरप्राइझ डिप्लॉयमेंटमध्ये, तुमच्याकडे इंटरनेट अपलिंक आणि फायरवॉलशी जोडलेला एक कोर स्विच असेल. तो स्विच अनेक VLANs ला टॅग्ड ट्रॅफिक म्हणून, ज्याला ट्रंक पोर्ट्स म्हणतात, तुमच्या वायरलेस LAN कंट्रोलर किंवा क्लाउड-मॅनेज्ड ॲक्सेस पॉईंट्सपर्यंत खाली वाहून नेतो. प्रत्येक ॲक्सेस पॉईंट एकाच वेळी अनेक SSIDs ब्रॉडकास्ट करतो. Cisco Meraki, Aruba, Ruckus आणि Ubiquiti सारख्या व्हेंडर्सचे आधुनिक एंटरप्राइझ ॲक्सेस पॉईंट्स प्रति रेडिओ आठ ते सोळा SSIDs हाताळू शकतात, तरीही मॅनेजमेंट ओव्हरहेड आणि रेडिओ फ्रिक्वेन्सी प्रदूषण कमी करण्यासाठी ते चार किंवा त्याहून कमी ठेवणे ही सर्वोत्तम पद्धत आहे. वायरलेस LAN कंट्रोलर SSIDs आणि VLANs मधील मॅपिंग हाताळतो, आणि प्रत्येक SSID मध्ये क्लायंट आयसोलेशन देखील लागू करतो. क्लायंट आयसोलेशन हे एक महत्त्वपूर्ण सेटिंग आहे: ते एकाच SSID वरील उपकरणांना एकमेकांशी थेट संवाद साधण्यापासून प्रतिबंधित करते, जे गेस्ट नेटवर्कवर आवश्यक आहे जिथे तुम्हाला एका गेस्टचे उपकरण दुसऱ्याच्या उपकरणाशी बोलू द्यायचे नसते. ऑथेंटिकेशन हा दुसरा महत्त्वाचा पैलू आहे. तुमच्या गेस्ट नेटवर्कसाठी, तुम्ही सामान्यतः Captive Portal सह ओपन SSID वापराल, एक वेब-आधारित ऑथेंटिकेशन पेज जिथे गेस्ट्स सोशल मीडिया, ईमेल किंवा व्हाउचर कोडद्वारे लॉग इन करतात. येथेच Purple च्या गेस्ट WiFi सोल्यूशनसारखा प्लॅटफॉर्म लक्षणीय मूल्य जोडतो: तो Captive Portal, डेटा कॅप्चर, GDPR अंतर्गत संमती व्यवस्थापन आणि डाउनस्ट्रीम मार्केटिंग ॲनालिटिक्स हाताळतो, हे सर्व तुमच्या VLAN आर्किटेक्चरशी इंटिग्रेटेड असते. तुमच्या कॉर्पोरेट स्टाफ नेटवर्कसाठी, तुम्ही WPA3-Enterprise चालवत असले पाहिजे, जे RADIUS सर्व्हर विरुद्ध IEEE 802.1X ऑथेंटिकेशन वापरते, सामान्यतः तुमच्या Active Directory किंवा Azure AD शी इंटिग्रेटेड असते. याचा अर्थ प्रत्येक कर्मचारी त्यांच्या कॉर्पोरेट क्रेडेंशियल्ससह ऑथेंटिकेट करतो, आणि नेटवर्क भूमिका किंवा विभागानुसार प्रति-युजर धोरणे लागू करू शकते. IoT उपकरणांसाठी, आव्हान वेगळे आहे. बहुतांश IoT उपकरणे 802.1X ला सपोर्ट करत नाहीत, त्यामुळे तुम्ही मजबूत, रोटेटेड पासफ्रेजसह WPA2-PSK किंवा WPA3-SAE वापराल, सोबत कठोर फायरवॉल नियम जे ती उपकरणे कुठे पोहोचू शकतात हे मर्यादित करतात. अनेक संस्था IoT VLANs वर अतिरिक्त नियंत्रण म्हणून MAC ॲड्रेस फिल्टरिंग देखील डिप्लॉय करतात, तरीही याला प्राथमिक सुरक्षा नियंत्रणाऐवजी दुय्यम उपाय मानले पाहिजे. आणखी एक आर्किटेक्चरल विचार नोंदवण्यासारखा आहे: बँडविड्थ मॅनेजमेंट. तुमच्या गेस्ट VLAN वर, तुम्ही प्रति-क्लायंट रेट लिमिटिंग लागू केले पाहिजे, सामान्यतः 5 ते 20 मेगाबिट्स प्रति सेकंद डाउनस्ट्रीमच्या दरम्यान, जे तुमच्या एकूण अपलिंक क्षमतेवर आणि अपेक्षित एकाच वेळी वापरणाऱ्या युजर्सच्या संख्येवर अवलंबून असते. हे कोणत्याही एका गेस्टला तुमचे अपलिंक सॅच्युरेट करण्यापासून आणि इतर सर्वांचा अनुभव खराब करण्यापासून प्रतिबंधित करते. आता मी तुम्हाला प्रॅक्टिकल अंमलबजावणी फ्रेमवर्क देतो. मी हे पाच टप्प्यांत विभागू इच्छितो. टप्पा एक: ट्रॅफिक क्लासिफिकेशन. तुम्ही एकाही स्विच पोर्टला स्पर्श करण्यापूर्वी, तुमच्या वातावरणातील प्रत्येक उपकरणाचा प्रकार आणि ट्रॅफिक क्लास डॉक्युमेंट करा. गेस्ट उपकरणे, स्टाफ उपकरणे, IoT, पेमेंट टर्मिनल्स, बिल्डिंग मॅनेजमेंट सिस्टीम्स, CCTV. प्रत्येकाला एका जागेची आवश्यकता असते. टप्पा दोन: VLAN डिझाइन. प्रत्येक ट्रॅफिक क्लासला एक VLAN ID आणि IP सबनेट नियुक्त करा. तुमचे गेस्ट VLAN तुमच्या इंटरनल ॲड्रेस स्पेसकडे कोणताही मार्ग नसलेल्या पूर्णपणे वेगळ्या सबनेटवर ठेवा. तुमच्या फायरवॉलमध्ये गेस्ट VLAN आणि सर्व इंटरनल गोष्टींदरम्यान एक स्पष्ट डिनाय-ऑल नियम असावा, ज्यामध्ये केवळ आउटबाउंड इंटरनेट ॲक्सेसला परवानगी असावी. टप्पा तीन: SSID मॅपिंग. तुमच्या वायरलेस कंट्रोलरवर तुमचे SSIDs कॉन्फिगर करा, प्रत्येकाला त्याच्या VLAN शी मॅप करा, गेस्ट SSID वर क्लायंट आयसोलेशन सक्षम करा आणि प्रति सेगमेंट तुमची ऑथेंटिकेशन पद्धत सेट करा. टप्पा चार: फायरवॉल पॉलिसी. येथेच बहुतांश डिप्लॉयमेंट्स कमी पडतात. VLAN आर्किटेक्चर केवळ तुमच्या फायरवॉलवरील इंटर-VLAN राउटिंग नियमांइतकेच मजबूत असते. प्रत्येक परवानगी दिलेल्या फ्लोचे स्पष्टपणे डॉक्युमेंटेशन करा. इतर सर्व गोष्टी डिफॉल्ट-डिनाय करा. टप्पा पाच: मॉनिटरिंग आणि व्हॅलिडेशन. एक नेटवर्क मॉनिटरिंग टूल डिप्लॉय करा आणि तुमचे सेगमेंटेशन प्रत्यक्षात काम करत आहे हे व्हॅलिडेट करा. वेळोवेळी पेनिट्रेशन टेस्ट्स चालवा, किंवा किमान गेस्ट उपकरणावरून स्कॅनिंग टूल वापरून तुम्ही इंटरनल सबनेट्सपर्यंत पोहोचू शकत नाही याची खात्री करा. आता, धोके. मला सर्वात सामान्य दिसणारा धोका म्हणजे चुकीच्या पद्धतीने कॉन्फिगर केलेले ट्रंक पोर्ट्स. जर अनेक VLANs वाहून नेणारे स्विच पोर्ट चुकून ॲक्सेस पोर्ट म्हणून कॉन्फिगर केले गेले, तर सर्व ट्रॅफिक एकाच VLAN वर कोलॅप्स होते आणि तुमचे सेगमेंटेशन शांतपणे नाहीसे होते. कोणत्याही बदलानंतर नेहमी तुमच्या स्विच कॉन्फिगरेशन्सचे ऑडिट करा. दुसरा धोका म्हणजे SSID प्रोलिफरेशन (वाढ). तुम्ही ब्रॉडकास्ट केलेला प्रत्येक अतिरिक्त SSID बीकन फ्रेम्ससाठी एअरटाइम खर्च करतो, अगदी कोणतेही क्लायंट्स कनेक्ट नसतानाही. शेकडो ॲक्सेस पॉईंट्स असलेल्या दाट ठिकाणी, प्रति AP आठ SSIDs ब्रॉडकास्ट केल्याने थ्रूपुट लक्षणीयरीत्या कमी होऊ शकतो. ते मर्यादित ठेवा. तिसरा धोका म्हणजे वायर्ड नेटवर्क विसरणे. जर तुमचे वायर्ड इन्फ्रास्ट्रक्चर तितकेच सेगमेंटेड नसेल तर WiFi सेगमेंटेशन निरर्थक आहे. कॉन्फरन्स रूममधील इथरनेट पोर्टमध्ये प्लग इन करणारा आणि स्वतःला तुमच्या कॉर्पोरेट नेटवर्कवर शोधणारा गेस्ट तुमच्या संपूर्ण वायरलेस सुरक्षा आर्किटेक्चरला बायपास करतो. मी क्लायंट्सकडून नियमितपणे ऐकत असलेल्या काही प्रश्नांवर नजर टाकतो. आम्ही किती SSIDs ब्रॉडकास्ट करावेत? प्रति रेडिओ बँड चारपेक्षा जास्त नाही. तीन आदर्श आहेत: गेस्ट, कॉर्पोरेट, IoT. आम्हाला गेस्ट्ससाठी वेगळ्या फिजिकल ॲक्सेस पॉईंटची आवश्यकता आहे का? नाही. आधुनिक एंटरप्राइझ APs एकाच हार्डवेअरवर अनेक SSIDs आणि VLANs हाताळतात. फिजिकल सेपरेशन अनावश्यक आणि महागडे आहे. Purple चा प्लॅटफॉर्म विद्यमान वायरलेस इन्फ्रास्ट्रक्चरसोबत काम करू शकतो का? होय. Purple स्टँडर्ड RADIUS आणि VLAN टॅगिंगद्वारे सर्व प्रमुख एंटरप्राइझ वायरलेस व्हेंडर्ससोबत इंटिग्रेट होते. तुम्हाला तुमचे APs बदलण्याची गरज नाही. गेस्ट नेटवर्क्ससाठी WPA3 अनिवार्य आहे का? अद्याप अनिवार्य नाही, परंतु याची जोरदार शिफारस केली जाते. WPA3 चा Simultaneous Authentication of Equals प्रोटोकॉल WPA2-PSK मध्ये असलेली डिक्शनरी अटॅक व्हल्नरेबिलिटी दूर करतो. जिथे तुमचे क्लायंट डिव्हाइस मिक्स याला सपोर्ट करते तिथे ते डिप्लॉय करा. छोट्या ठिकाणासाठी किमान व्यवहार्य सेगमेंटेशन काय आहे? किमान: एक गेस्ट VLAN, एक स्टाफ VLAN, एक IoT VLAN. म्हणजेच तीन VLANs, तीन SSIDs आणि इंटर-VLAN नियमांसह एक फायरवॉल. ही तुमची बेसलाइन आहे. शेवटी: VLANs आणि मल्टिपल SSIDs वापरून WiFi नेटवर्क सेगमेंटेशन हे कोणत्याही एंटरप्राइझ किंवा व्हेन्यू वायरलेस डिप्लॉयमेंटसाठी मूलभूत सुरक्षा आणि अनुपालन आर्किटेक्चर आहे. जर तुम्ही गेस्ट ट्रॅफिक, पेमेंट डेटा किंवा क्लिनिकल उपकरणे हाताळत असाल तर हे ऐच्छिक नाही. हे एका सुरक्षित नेटवर्क आणि एका धोक्याच्या नेटवर्कमधील फरक आहे. मुख्य मुद्दे हे आहेत. पहिले: तुम्ही काहीही डिझाइन करण्यापूर्वी प्रत्येक उपकरणाचा प्रकार एका समर्पित VLAN शी मॅप करा. दुसरे: तुमचे फायरवॉल इंटर-VLAN नियम VLAN आर्किटेक्चरइतकेच महत्त्वाचे आहेत. डिफॉल्ट-डिनाय, एक्सप्लिसिट-परमिट. तिसरे: तुमची SSID संख्या कमी ठेवा, गेस्ट नेटवर्क्सवर क्लायंट आयसोलेशन सक्षम करा आणि प्रति-क्लायंट रेट लिमिटिंग लागू करा. चौथे: तुमच्या सेगमेंटेशनचे नियमितपणे व्हॅलिडेशन करा. तुम्ही ते एकदा कॉन्फिगर केले म्हणून ते काम करत आहे असे गृहीत धरू नका. जर तुम्ही तुमच्या सेगमेंटेड आर्किटेक्चरवर GDPR-सुसंगत डेटा कॅप्चर, Captive Portal ऑथेंटिकेशन आणि मार्केटिंग ॲनालिटिक्ससह मॅनेज्ड गेस्ट WiFi लेयर जोडण्याचा विचार करत असाल, तर Purple चा प्लॅटफॉर्म थेट या आर्किटेक्चरमध्ये बसण्यासाठी डिझाइन केलेला आहे. तुम्ही purple dot ai वर अधिक माहिती मिळवू शकता. ऐकल्याबद्दल धन्यवाद. पुढच्या वेळेपर्यंत.