Sophos Firewall आणि Access Points चे Purple WiFi सोबत एकत्रीकरण

Purple आर्किटेक्चर ब्रीफिंगमध्ये आपले स्वागत आहे. आज आपण एंटरप्राइझ नेटवर्कसाठी एका अत्यंत महत्त्वाच्या इंटिग्रेशनचा सखोल अभ्यास करत आहोत: Sophos इन्फ्रास्ट्रक्चर, विशेषतः Sophos AP6 आणि APX ॲक्सेस पॉइंट्स आणि Sophos XG आणि XGS फायरवॉल्ससह Purple WiFi तैनात करणे. जर तुम्ही आयटी मॅनेजर, नेटवर्क आर्किटेक्ट किंवा एखादे ठिकाण व्यवस्थापित करणारे CTO असाल, मग ते रिटेल चेन असो, स्टेडियम असो किंवा हॉस्पिटल असो, हे सेशन तुम्हाला या दोन शक्तिशाली प्लॅटफॉर्म्सना एकत्र अखंडपणे काम करण्यासाठी एक कृतीयोग्य ब्ल्यूप्रिंट देण्यासाठी डिझाइन केले आहे. चला आधी संदर्भ समजून घेऊया. Sophos हे त्याच्या मजबूत सुरक्षा रचनेसाठी ओळखले जाते. Sophos Firewall उपकरणे डीप पॅकेट इन्स्पेक्शन आणि सिंक्रोनाइझ्ड सुरक्षा प्रदान करतात. तथापि, जेव्हा Guest WiFi चा विचार केला जातो, तेव्हा तुम्हाला केवळ सुरक्षा नको असते. तुम्हाला व्यावसायिक मूल्य हवे असते. तुम्हाला डेमोग्राफिक डेटा कॅप्चर करायचा असतो, अभ्यागतांचे वर्तन समजून घ्यायचे असते आणि मार्केटिंगवरील गुंतवणुकीचा परतावा (ROI) वाढवायचा असतो. तिथेच Purple ची भूमिका येते. Purple ला बाह्य Captive Portal म्हणून समाकलित करून, तुम्ही अतिथी ओळख व्यवस्थापन, GDPR संमती आणि सोशल लॉगिनचे कठीण काम Purple च्या क्लाउड RADIUS वर सोपवता, तर Sophos Firewall ला त्याचे सर्वोत्तम काम करू देता: परिमिती सुरक्षित करणे. तर, हे प्रत्यक्षात पडद्यामागे कसे कार्य करते? चला तांत्रिक सखोलतेमध्ये जाऊया. हे आर्किटेक्चर मानक RADIUS प्रोटोकॉल आणि HTTP रिडायरेक्शनवर अवलंबून असते. जेव्हा एखादा वेन्यू युझर Sophos AP द्वारे ब्रॉडकास्ट केलेल्या तुमच्या ओपन Guest WiFi SSID शी जोडला जातो, तेव्हा Sophos Firewall त्या सुरुवातीच्या वेब विनंतीला अडवतो. मूळ, स्थानिक पातळीवर साठवलेले पोर्टल पेज दाखवण्याऐवजी, फायरवॉल क्लायंटला Purple च्या क्लाउड-होस्ट केलेल्या स्पॅश पेजवर रिडायरेक्ट करते. आता, येथे एक महत्त्वाची संकल्पना आहे: Walled Garden. या पूर्व-प्रमाणीकरण (pre-authentication) टप्प्यादरम्यान, युझरला इंटरनेटचा ॲक्सेस नसतो. परंतु त्यांना पोर्टलचे ग्राफिक्स लोड करावे लागतात आणि लॉग इन करण्यासाठी त्यांना Facebook किंवा Google पर्यंत पोहोचावे लागू शकते. Walled Garden ही Sophos Firewall वर कॉन्फिगर केलेली एक कठोर परवानगी सूची (allowlist) आहे जी या विशिष्ट डोमेन्सना ट्रॅफिकची परवानगी देते. एकदा युझरने प्रमाणीकरण केले की, Purple चे प्लॅटफॉर्म Sophos Firewall कडे परत RADIUS Access-Accept संदेश पाठवते. त्यानंतर फायरवॉल स्विच फ्लिप करते, सेशनची स्थिती प्रमाणीकृत (authenticated) मध्ये बदलते आणि युझरला तुमच्या पोस्ट-प्रमाणीकरण फायरवॉल पॉलिसीमध्ये पाठवते. चला RADIUS कॉन्फिगरेशनबद्दल अधिक तपशीलात बोलूया, कारण येथे अचूकता महत्त्वाची आहे. Purple तुम्हाला RADIUS क्रेडेंशियल्सचे दोन संच प्रदान करते: एक पोर्ट 1812 वर प्रमाणीकरणासाठी आणि एक पोर्ट 1813 वर अकाउंटिंगसाठी. दोन्ही कॉन्फिगर करणे आवश्यक आहे. अकाउंटिंग सर्व्हर हा पर्यायी नाही. ही अशी यंत्रणा आहे ज्याद्वारे Sophos Firewall सेशनचा डेटा Purple कडे परत रिपोर्ट करतो, ज्यामध्ये कालावधी, वापरलेली बँडविड्थ आणि सेशन संपल्याच्या इव्हेंट्सचा समावेश असतो. अचूक अकाउंटिंग डेटाशिवाय, तुमचे Purple ॲनालिटिक्स डॅशबोर्ड अपूर्ण किंवा चुकीचे अभ्यागत मेट्रिक्स दर्शवेल. तुमचा अकाउंटिंग अंतरिम कालावधी (interim interval) 120 सेकंदांवर सेट करा. हे रिअल-टाइम दृश्यमानता आणि नेटवर्क ओव्हरहेड यांच्यात चांगला समतोल प्रदान करते. आता आपण अशा एका परिस्थितीबद्दल बोलूया जी एंटरप्राइझ डिप्लॉयमेंटमध्ये सतत समोर येते: मल्टी-टेनंट WiFi. एखाद्या को-वर्किंग स्पेसचा, बिल्ड-टू-रेंट निवासी ब्लॉकचा किंवा विद्यार्थ्यांच्या निवासाच्या इमारतीचा विचार करा. तुमच्याकडे वापरकर्त्यांचे अनेक वेगळे गट आहेत ज्यांना सर्वांना WiFi ॲक्सेसची आवश्यकता आहे, परंतु ते नेटवर्क स्तरावर एकमेकांपासून पूर्णपणे वेगळे असले पाहिजेत. प्रत्येक भाडेकरूसाठी स्वतंत्र SSID ब्रॉडकास्ट करणे व्यवहार्य नाही. यामुळे रेडिओ फ्रिक्वेन्सीमध्ये गर्दी निर्माण होते आणि व्यवस्थापित करणे हे एक कठीण काम बनते. याचे उत्तर आहे Sophos Private Pre-Shared Keys, किंवा PPSK, जे डायनॅमिक VLAN असाइनमेंटसह एकत्रित केले जाते. हे कसे कार्य करते ते येथे आहे. तुम्ही तुमच्या Sophos AP6 ॲक्सेस पॉइंट्सवर एकच SSID कॉन्फिगर करता. त्यानंतर तुम्ही प्रत्येक भाडेकरू किंवा वापरकर्ता गटाला एक युनिक पासफ्रेज जारी करता. जेव्हा एखादे डिव्हाइस कनेक्ट होते आणि त्याची युनिक की सादर करते, तेव्हा Sophos AP RADIUS द्वारे त्या कीचे प्रमाणीकरण करतो. RADIUS सर्व्हर Access-Accept मेसेजमध्ये एक विशिष्ट VLAN ID ॲट्रिब्यूट परत करतो. AP डायनॅमिकपणे वापरकर्त्याच्या ट्रॅफिकला त्या VLAN ID सह टॅग करतो, ज्यामुळे त्यांना त्यांच्या समर्पित नेटवर्क सेगमेंटवर स्थान मिळते. हे आहे आयडेंटिटी-बेस्ड नेटवर्किंगचे प्रत्यक्ष उदाहरण. एकच SSID, अनेक वेगळी नेटवर्क्स आणि अतिरिक्त ब्रॉडकास्टमुळे होणारा रेडिओ फ्रिक्वेन्सीचा कोणताही अतिरिक्त भार नाही. या आर्किटेक्चरचा एक महत्त्वाचा अनुपालन (compliance) फायदा देखील आहे. PCI DSS आवश्यकतांनुसार, Guest WiFi नेटवर्क्स कार्डधारक डेटा हाताळणाऱ्या कोणत्याही नेटवर्क सेगमेंटपासून पूर्णपणे वेगळे असणे आवश्यक आहे. गेस्ट SSID ला समर्पित VLAN वर ठेवून आणि सर्व RFC 1918 प्रायव्हेट IP स्पेस डेस्टिनेशन्स ब्लॉक करण्यासाठी Sophos Firewall वर कडक फायरवॉल पॉलिसी लागू करून, तुम्ही ही आवश्यकता सहजपणे पूर्ण करता. Purple, जे ८०,००० हून अधिक लाइव्ह ठिकाणी कार्यरत आहे आणि ज्याने २०२४ मध्ये ४४ कोटी लॉगइन्स प्रविष्ट केले आहेत, ते ISO 27001 प्रमाणित, GDPR सुसंगत आणि Cyber Essentials प्रमाणित आहे, त्यामुळे अनुपालनाची ही खात्री आयडेंटिटी लेयरपर्यंत देखील विस्तारते. आता आपण अंमलबजावणीच्या शिफारसींकडे वळूया. जेव्हा तुम्ही हे सेटअप करत असता, तेव्हा तुम्हाला IP असाइनमेंटच्या संदर्भात एक महत्त्वाचा निर्णय घ्यावा लागतो: NAT मोड विरुद्ध Bridge मोड. जर तुम्ही पन्नास ते शंभर समवर्ती (concurrent) गेस्ट कनेक्शन्स असलेले एखादे लहान रिटेल आउटलेट डिप्लॉय करत असाल, तर NAT मोड पूर्णपणे पुरेसा आहे. Sophos AP समर्पित अंतर्गत सबनेटमधून पाहुण्यांना DHCP पत्ते देतो आणि ट्रॅफिक बाहेर पडताना त्यांचे भाषांतर करतो. हे सोपे आहे आणि यासाठी किमान अतिरिक्त इन्फ्रास्ट्रक्चरची आवश्यकता असते. परंतु जर तुम्ही हाय-डेन्सिटी वातावरण डिप्लॉय करत असाल, जसे की पाचशे खोल्यांचे हॉटेल, एकाधिक समवर्ती इव्हेंट्स असलेले कॉन्फरन्स सेंटर किंवा स्टेडियम, तर तुम्ही Bridge मोड वापरला पाहिजे. Bridge मोडमध्ये, Sophos AP गेस्ट ट्रॅफिक थेट समर्पित VLAN वर पाठवतो, ज्यामुळे तुमचे मुख्य एंटरप्राइझ DHCP सर्व्हर लोड हाताळू शकतात. हे पीक कनेक्शन इव्हेंट्स दरम्यान ॲक्सेस पॉइंट किंवा फायरवॉलला DHCP बॉटलनेक बनण्यापासून रोखते. Bridge मोड हे देखील सुनिश्चित करतो की Purple प्लॅटफॉर्मला क्लायंटचा खरा IP पत्ता दिसेल, जो अचूक विश्लेषण आणि ट्रबलशूटिंगसाठी अत्यंत आवश्यक आहे. आता आपण स्टेप-बाय-स्टेप कॉन्फिगरेशनच्या क्रमाबद्दल बोलूया, कारण येथे क्रम महत्त्वाचा आहे. Purple पोर्टलवरून सुरुवात करा. तुमचे RADIUS सर्व्हर क्रेडेंशियल्स मिळवा: सर्व्हर IP ॲड्रेसेस, शेअर्ड सिक्रेट्स, Captive Portal URL आणि रिडायरेक्ट URL. Sophos कॉन्फिगरेशनला स्पर्श करण्यापूर्वी तुम्हाला या चार अत्यंत महत्त्वाच्या माहितीची आवश्यकता आहे. त्यानंतर, Sophos Central किंवा तुमच्या स्थानिक फायरवॉल मॅनेजमेंट इंटरफेसवर जा. प्रथम तुमचे RADIUS सर्व्हर परिभाषित करा, 1812 वर ऑथेंटिकेशन, 1813 वर अकाउंटिंग. नंतर Hotspot Settings अंतर्गत तुमचे Walled Garden कॉन्फिगर करा. पुढे, तुमचे गेस्ट SSID तयार करा, एन्क्रिप्शन 'Open' वर सेट करा, Captive Portal सक्षम करा आणि Purple पोर्टल URL प्रविष्ट करा. आणि शेवटी, तुमचे पोस्ट-ऑथेंटिकेशन फायरवॉल नियम परिभाषित करा. विशेषतः Walled Garden साठी, तुम्ही किमान खालील डोमेन्सना परवानगी दिली पाहिजे: Purple पोर्टल डोमेन, सामान्यतः region1.purpleportal.net; venuewifi.com; आणि तुमचे पाहुणे वापरतील असे कोणतेही सोशल लॉगिन डोमेन्स, जसे की facebook.com, accounts.google.com आणि त्यांचे संबंधित CDN डोमेन्स. जर तुम्ही आयडेंटिटी फेडरेशनसाठी Microsoft Entra ID किंवा Okta वापरत असाल, तर ते डोमेन्स देखील समाविष्ट केले पाहिजेत. अडचणींबद्दल काय? उपयोजन (deployments) सहसा कुठे चुकतात? यात शंका नाही की, पहिल्या क्रमांकाची समस्या म्हणजे अपूर्ण Walled Garden. जर एखादा पाहुणा कनेक्ट झाला आणि त्याला रिकामी स्क्रीन किंवा कनेक्शन टाईमआउट दिसला, तर याचा अर्थ असा होतो की Sophos फायरवॉल ऑथेंटिकेशनपूर्वी Purple च्या CSS फाइल्स, JavaScript ॲसेट्स किंवा सोशल लॉगिन APIs चा ॲक्सेस ब्लॉक करत आहे. तुम्ही हे सुनिश्चित केले पाहिजे की प्रत्येक आवश्यक डोमेनला त्या प्री-ऑथेंटिकेशन पॉलिसीमध्ये स्पष्टपणे परवानगी दिली आहे. Purple आवश्यक डोमेन्सची सर्वसमावेशक यादी प्रदान करते. ती पूर्णपणे वापरा. तसेच, DNS विसरू नका. अनऑथेंटिकेटेड क्लायंट्सना DNS क्वेरी सोडवण्याची परवानगी असणे आवश्यक आहे, अन्यथा रिडायरेक्ट कार्य करणार नाही. पेज लोड करण्याचा प्रयत्न करण्यापूर्वी डिव्हाइसला Purple पोर्टल होस्टनेम सोडवणे आवश्यक आहे. दुसरी सर्वात सामान्य अडचण म्हणजे सर्टिफिकेट एरर्स. तुमची Sophos फायरवॉल रिडायरेक्शन इंटरफेससाठी वैध, सार्वजनिकरित्या विश्वसनीय SSL सर्टिफिकेट सादर करत असल्याची खात्री करा. तुम्ही डीफॉल्ट सेल्फ-साइन केलेले सर्टिफिकेट वापरल्यास, आधुनिक iPhones आणि Android डिव्हाइसेस मोठ्या प्रमाणावर सुरक्षा चेतावणी दर्शवतील आणि तुमचे पाहुणे कनेक्शन पूर्णपणे सोडून देतील. हॉस्पिटॅलिटी वातावरणात ही एक विशेषतः गंभीर समस्या आहे जिथे पाहुण्यांचा अनुभव सर्वोपरि असतो. तिसरी अडचण म्हणजे RADIUS टाईमआउट एरर्स. जर पोर्टल लोड झाले परंतु ऑथेंटिकेशन सतत अयशस्वी होत असेल, तर तुमच्या Sophos कॉन्फिगरेशन आणि Purple पोर्टल दरम्यान शेअर्ड सिक्रेट्स तंतोतंत जुळत असल्याची पडताळणी करा. अगदी एका अक्षराचा फरक देखील सर्व ऑथेंटिकेशन प्रयत्न शांतपणे अयशस्वी करेल. तसेच तुमच्या Sophos इन्फ्रास्ट्रक्चर आणि Purple च्या क्लाउड RADIUS सर्व्हर दरम्यान कोणतीही मध्यवर्ती फायरवॉल UDP पोर्ट्स 1812 आणि 1813 ब्लॉक करत नाही याची पडताळणी करा. आम्ही क्लायंट्सकडून ऐकत असलेल्या सर्वात सामान्य प्रश्नांवर आधारित रॅपिड-फायर प्रश्न आणि उत्तर सत्रासह समाप्त करूया. प्रश्न पहिला: Purple वापरल्याने माझ्या Sophos Firewall सुरक्षा धोरणांना बायपास केले जाते का? अजिबात नाही. Purple केवळ प्रमाणीकरण (authentication) आणि ओळख कॅप्चर करण्याचे काम हाताळते. एकदा प्रमाणीकरण पूर्ण झाले की, सर्व गेस्ट ट्रॅफिक तुमच्या Sophos Firewall च्या पोस्ट-ऑथेंटिकेशन धोरणाद्वारे प्रवाहित होते. याच ठिकाणी तुम्ही वेब फिल्टरिंग लागू करता, पीअर-टू-पीअर ट्रॅफिक ब्लॉक करता आणि बँडविड्थ नियंत्रित करता. हे अशा प्रकारे समजून घ्या: लॉगिनला परवानगी देण्यासाठी प्री-ऑथेंटिकेशन शिथिल असते; तर नेटवर्कचे रक्षण करण्यासाठी पोस्ट-ऑथेंटिकेशन कडक असते. प्रश्न दुसरा: मला स्थानिक RADIUS सर्व्हर तैनात करण्याची आवश्यकता आहे का? नाही. Purple हे RADIUS-as-a-Service प्रदान करते. तुम्ही Sophos APs थेट Purple च्या क्लाउड RADIUS IP पत्त्यांकडे निर्देशित करण्यासाठी कॉन्फिगर करता. गेस्ट नेटवर्कसाठी FreeRADIUS किंवा Windows NPS तैनात करण्याची आणि त्यांची देखभाल करण्याची कोणतीही आवश्यकता नाही. प्रश्न तिसरा: मी Sophos AP6 आणि जुन्या APX सिरीज दोन्हीसोबत Purple वापरू शकतो का? होय. दोन्ही पिढ्यांच्या हार्डवेअरमध्ये एकत्रीकरणाचा दृष्टिकोन सारखाच आहे. तथापि, हे लक्षात ठेवा की Sophos ने APX सिरीजसाठी ३१ डिसेंबर २०२७ ही एंड-ऑफ-लाइफ तारीख घोषित केली आहे. जर तुम्ही नवीन तैनातीचे नियोजन करत असाल, तर AP6 सिरीजमध्ये गुंतवणूक करा, जी Wi-Fi 6 आणि Wi-Fi 6E ला सपोर्ट करते. प्रश्न चौथा: GDPR अनुपालनाचे (compliance) काय? Purple पोर्टल स्तरावर स्पष्ट संमती कॅप्चर करते, प्रमाणीकरणापूर्वी तुमच्या अटी व शर्ती आणि डेटा प्रोसेसिंग नोटीस सादर करते. हा संमती डेटा Purple प्लॅटफॉर्ममध्ये संग्रहित केला जातो आणि त्याचे ऑडिट केले जाऊ शकते. Sophos Firewall ची भूमिका केवळ नेटवर्क अंमलबजावणीची आहे. आजच्या ब्रीफिंगमधील मुख्य मुद्द्यांचा सारांश खालीलप्रमाणे आहे. पहिला: तुमचे Staff आणि Guest SSIDs पूर्णपणे वेगळे करा. Staff साठी WPA2-Enterprise सह 802.1X वापरा. Guests साठी बाह्य Captive Portal सह Purple वापरा. दुसरा: तुमचे Walled Garden काळजीपूर्वक कॉन्फिगर करा. हा सर्वात सामान्य बिघाड बिंदू आहे आणि सर्वात महत्त्वाचा प्री-ऑथेंटिकेशन कॉन्फिगरेशन घटक आहे. तिसरा: DHCP मधील अडथळे टाळण्यासाठी आणि अचूक क्लायंट IP दृश्यमानता सुनिश्चित करण्यासाठी कोणत्याही हाय-डेन्सिटी तैनातीसाठी Bridge मोड वापरा. चौथा: RADIUS प्रमाणीकरण आणि अकाउंटिंग सर्व्हर दोन्ही कॉन्फिगर करा. जर तुम्हाला अर्थपूर्ण विश्लेषण हवे असेल तर अकाउंटिंग पर्यायी नाही. पाचवा: डायनॅमिक VLAN असाइनमेंटसह आयडेंटिटी-बेस्ड नेटवर्किंग सक्षम करण्यासाठी मल्टी-टेनंट वातावरणासाठी Sophos PPSK चा लाभ घ्या. एक SSID, अनेक विलग नेटवर्क्स. सहावा: Sophos सुरक्षा धोरणे काटेकोरपणे पोस्ट-ऑथेंटिकेशननंतर लागू करा. वेब फिल्टरिंग, ॲप्लिकेशन कंट्रोल आणि बँडविड्थ शेपिंग हे सर्व पोस्ट-ऑथेंटिकेशन फायरवॉल धोरणामध्ये लागू केले जावे. हे एकत्रीकरण योग्यरित्या अंमलात आणून, तुम्ही गेस्ट WiFi ला एका खर्चाच्या बाबीमधून एका अनुपालन, सुरक्षित आणि महसूल मिळवून देणाऱ्या मालमत्तेत रूपांतरित करता. Sophos ची सखोल सुरक्षा आणि Purple ची मार्केटिंग इंटेलिजन्स यांचे संयोजन कोणत्याही अशा वेन्यू ऑपरेटरसाठी खरोखरच शक्तिशाली आहे ज्यांना त्यांचा गेस्ट अनुभव आणि डेटा धोरण गांभीर्याने घ्यायचे आहे. Purple आर्किटेक्चर ब्रीफिंग ऐकल्याबद्दल धन्यवाद. जर तुम्हाला तुमच्या विशिष्ट तैनाती आवश्यकतांबद्दल चर्चा करायची असेल, तर सोल्यूशन्स टीमशी बोलण्यासाठी purple.ai ला भेट द्या.