Staff WiFi vs. Guest WiFi: Corporate Network Segmentation साठी सर्वोत्तम पद्धती

Purple Technical Briefing मध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे आणि पुढील दहा मिनिटांत, आम्ही तुम्ही वेन्यू नेटवर्किंगमध्ये घेणार असलेल्या सर्वात महत्त्वाच्या निर्णयांपैकी एकाबद्दल बोलणार आहोत: तुमचे Staff WiFi तुमच्या Guest WiFi पासून अचूकपणे कसे वेगळे करावे. तुम्ही हॉटेल, रिटेल चेन, स्टेडियम किंवा कॉन्फरन्स सेंटर चालवत असाल, तर तुम्ही एकाच एअरस्पेसवर दोन पूर्णपणे वेगवेगळ्या प्रकारच्या युजर्सना सेवा देत आहात. एका ग्रुपला तुमच्या पॉईंट-ऑफ-सेल सिस्टम, तुमचे प्रॉपर्टी मॅनेजमेंट सॉफ्टवेअर आणि तुमच्या बॅक-ऑफिस फाइल शेअर्समध्ये प्रवेश हवा असतो. दुसऱ्या ग्रुपला फक्त इंटरनेटची गरज असते. या दोन्ही ग्रुप्सना एकाच नेटवर्कवर एकत्र करणे ही केवळ एक चुकीची पद्धत नाही, तर ती एक गंभीर जोखीम आहे. चला याच्या तांत्रिक तपशिलात जाऊया. फ्लॅट, अन-सेगमेंटेड नेटवर्कमधील मुख्य समस्या म्हणजे लॅटरल मुव्हमेंट (पार्व्हीय हालचाल). जेव्हा एखाद्या अतिथीचे डिव्हाइस तुमच्या कर्मचाऱ्यांच्या टर्मिनल्ससारख्याच नेटवर्कशी कनेक्ट होते, तेव्हा ते डिव्हाइस तत्वतः थेट त्या टर्मिनल्सशी संवाद साधू शकते. जर ते डिव्हाइस मालवेअरने संक्रमित असेल किंवा एखादा दुर्भावनायुक्त युझर मुद्दाम नेटवर्क तपासत असेल, तर तुमची संपूर्ण कॉर्पोरेट इन्फ्रास्ट्रक्चर उघडी पडते. आम्ही हे प्रत्यक्षात घडलेल्या डेटा ब्रीचेसमध्ये पाहिले आहे. हा हल्ला फायरवॉलपासून सुरू होत नाही. तो Guest WiFi पासून सुरू होतो. या समस्येचे निराकरण करण्यासाठी मुख्य साधन म्हणजे VLAN, किंवा व्हर्च्युअल लोकल एरिया नेटवर्क. याचा विचार एकाच प्रत्यक्ष रस्त्यावर स्वतंत्र, तार्किकदृष्ट्या वेगळ्या लेन तयार करण्यासारखा करा. तुमचे ॲक्सेस पॉईंट्स एकाधिक WiFi नेटवर्क नावे ब्रॉडकास्ट करतात, ज्यांना आपण SSID म्हणतो. एक SSID अतिथींसाठी, तर एक कर्मचाऱ्यांसाठी. परंतु SSID हे केवळ दरवाजावरील लेबल आहे. खरी विभागणी तेव्हा होते जेव्हा प्रत्येक SSID एका वेगवेगळ्या VLAN शी मॅप केला जातो. त्यामुळे, Guest WiFi हे VLAN 10 शी मॅप केले जाते आणि Staff WiFi हे VLAN 20 शी मॅप केले जाते. अतिथीच्या डिव्हाइसमधील डेटाच्या प्रत्येक पॅकेटवर VLAN 10 चा टॅग लावला जातो. कर्मचाऱ्यांच्या डिव्हाइसमधील प्रत्येक पॅकेटवर VLAN 20 चा टॅग लावला जातो. तुमचे स्विचेस हे टॅग संपूर्ण नेटवर्कवर वाहून नेतात आणि तुमची फायरवॉल ते वाचून नियम लागू करते. आणि नियम अगदी स्पष्ट आहेत. VLAN 10 वरील ट्रॅफिक फक्त इंटरनेटवर जाते आणि इतर कुठेही नाही - पूर्णविराम. तुमच्या सुरक्षा धोरणाद्वारे परिभाषित केल्यानुसार, VLAN 20 वरील ट्रॅफिकला विशिष्ट अंतर्गत प्रणालींवर नियंत्रित प्रवेश मिळतो. हे याचे आर्किटेक्चर आहे. तत्वतः सोपे, परंतु अंमलबजावणीचे तपशील अत्यंत महत्त्वाचे आहेत. आता, ऑथेंटिकेशन. नेटवर्क आर्किटेक्चर तितकेच मजबूत असते जितके त्याचे संरक्षण करणारे क्रेडेंशियल्स मजबूत असतात. तुमच्या Staff WiFi साठी, तुम्ही IEEE 802.1X ऑथेंटिकेशनसह WPA3-Enterprise वापरणे आवश्यक आहे. या मानकाचा अर्थ असा आहे की प्रत्येक कर्मचारी एका युनिक आयडेंटिटीसह ऑथेंटिकेट करतो. कोणतेही शेअर्ड पासवर्ड नाहीत. हे दोन कारणांसाठी महत्त्वपूर्ण आहे. पहिले, सुरक्षा: एखादे डिव्हाइस धोक्यात आल्यास किंवा कर्मचारी सोडून गेल्यास, तुम्ही तुमच्या आयडेंटिटी प्रोव्हायडरमध्ये (उदा. Microsoft Entra ID, Okta किंवा Google Workspace) त्यांचे क्रेडेंशियल्स रद्द करता आणि ते त्वरित लॉग आउट होतात. दुसरे, ऑडिट ट्रेल्स: कोण, कधी आणि कोणत्या डिव्हाइसवरून कनेक्ट झाले हे तुम्ही अचूकपणे पाहू शकता. शेअर्ड पासवर्डसह, तुम्हाला यापैकी काहीही मिळत नाही. 802.1X फ्रेमवर्क ऑथेंटिकेशन ब्रोकर म्हणून RADIUS सर्व्हरचा वापर करते. ॲक्सेस पॉइंट वापरकर्त्याची क्रेडेंशियल्स RADIUS सर्व्हरकडे फॉरवर्ड करतो, जो तुमच्या आयडेंटिटी प्रोव्हायडरद्वारे त्यांची पडताळणी करतो. क्रेडेंशियल्स बरोबर असल्यास, RADIUS सर्व्हर ॲक्सेस-ॲक्सेप्ट संदेश परत पाठवतो आणि वापरकर्ता नेटवर्कवर येतो. तसे नसल्यास, ॲक्सेस नाकारला जातो. ॲक्सेस पॉइंट स्वतः पासवर्ड कधीही पाहत नाही. हे एक महत्त्वाचे सुरक्षा वैशिष्ट्य आहे. सर्टिफिकेट-आधारित ऑथेंटिकेशनसाठी, तुम्ही EAP-TLS चा वापर करून आणखी पुढे जाऊ शकता, जे पासवर्डऐवजी पूर्णपणे क्लायंट सर्टिफिकेट्सचा वापर करते. यामुळे स्टाफ नेटवर्कवरील क्रेडेंशियल फिशिंगचा धोका नाहीसा होतो. हे डिप्लॉय करणे अधिक गुंतागुंतीचे आहे, परंतु उच्च-सुरक्षा वातावरणासाठी, हाच योग्य पर्याय आहे. तुमच्या Guest WiFi साठी, ऑथेंटिकेशनची पद्धत वेगळी आहे. तुम्ही Captive Portal वापरता. जेव्हा एखादा पाहुणा कनेक्ट होतो, तेव्हा इंटरनेटवर जाण्यापूर्वी त्यांना एका लँडिंग पेजवर रिडायरेक्ट केले जाते. येथेच तुम्ही तुमच्या अटी व शर्ती सादर करता, मार्केटिंग संमती गोळा करता आणि Purple सारख्या प्लॅटफॉर्मसह त्या व्हिजिटरचे सविस्तर प्रोफाइल तयार करण्यास सुरुवात करता. Captive Portal ही केवळ एक अनुपालन पद्धत नाही. हे तुमच्या गेस्ट ॲनालिटिक्स आणि मार्केटिंग क्षमतेचे प्रवेशद्वार आहे. हे प्रत्यक्ष व्यवहारात कसे कार्य करते हे स्पष्ट करणाऱ्या दोन वास्तविक परिस्थितींद्वारे मी तुम्हाला माहिती देतो. पहिली परिस्थिती, दोनशे खोल्यांचे एक आलिशान हॉटेल. त्यांना हॉटेलमधील पाहुणे, फ्रंट डेस्क आणि हाउसकीपिंग टीम्ससह कॉर्पोरेट स्टाफ आणि स्मार्ट मिनीबार व डोअर लॉक्ससह IoT सक्षम डिव्हाइसेसना सेवा देणे आवश्यक आहे. ते त्यांच्या प्रॉपर्टी मॅनेजमेंट सिस्टमद्वारे क्रेडिट कार्ड पेमेंट देखील प्रोसेस करतात, ज्याचा अर्थ असा की PCI-DSS चे पालन करणे अनिवार्य आहे. यावरील उपाय म्हणजे चार-VLAN आर्किटेक्चर आहे. पाहुण्यांसाठी VLAN 10, कॉर्पोरेट स्टाफसाठी VLAN 20, पेमेंट कार्ड वातावरणासाठी VLAN 30, आणि IoT डिव्हाइसेससाठी VLAN 40. फायरवॉल पॉलिसी कडक आहे आणि सर्वात कमी विशेषाधिकाराच्या सिद्धांताचे पालन करते. पाहुण्यांना फक्त इंटरनेट मिळते. स्टाफला प्रॉपर्टी मॅनेजमेंट सिस्टम आणि अंतर्गत ईमेलचा ॲक्सेस मिळतो, इतर कशाचाही नाही. पेमेंट टर्मिनल्स केवळ विशिष्ट पोर्ट्सवर पेमेंट गेटवेशी कम्युनिकेट करू शकतात. IoT डिव्हाइसेस केवळ मिनीबार इन्व्हेंटरी सर्व्हरपर्यंत पोहोचू शकतात. इतर कशासाठीही नाही. हे आर्किटेक्चर PCI-DSS आवश्यकता 1.2 पूर्ण करते, जी कार्डधारक डेटाचे वातावरण असुरक्षित नेटवर्कपासून वेगळे असणे अनिवार्य करते. हे तुमच्या अनुपालनाची व्याप्ती देखील लक्षणीयरीत्या कमी करते, कारण मूल्यमापनकर्त्याला तुमच्या संपूर्ण नेटवर्कऐवजी केवळ VLAN 30 मधील सिस्टम्सची तपासणी करावी लागते. Whitbread ग्रुपचा भाग असलेले Premier Inn, शेकडो प्रॉपर्टीजमध्ये अशा प्रकारचे विभागलेले आर्किटेक्चर चालवते, ज्यामध्ये पाहुण्यांसाठीचे Captive Portal आणि ॲनालिटिक्स लेयर केंद्रीय पातळीवर व्यवस्थापित करण्यासाठी Purple च्या प्लॅटफॉर्मचा वापर केला जातो. दुसरी परिस्थिती: पाचशे स्टोअर्स असलेली एक रिटेल साखळी. येथील आव्हान स्केल आणि सुसंगततेचे आहे. तुम्ही प्रत्येक स्टोअर व्यक्तिचलितपणे कॉन्फिगर करण्यासाठी नेटवर्क इंजिनिअरची मदत घेणे परवडणारे नाही. याचे समाधान Zero-Touch Provisioning वापरून टेंपलेट-आधारित उपयोजन करणे हे आहे. तुम्ही एकदाच कॉन्फिगरेशन निश्चित करता: दोन VLANs, दोन SSIDs, फायरवॉल नियम, QoS पॉलिसी. स्टोअरमध्ये पाठवलेले प्रत्येक नवीन ऍक्सेस पॉईंट क्लाउड कंट्रोलरवरून स्वयंचलितपणे अचूक कॉन्फिगरेशन डाउनलोड करते. या परिस्थितीमधील हार्डवेअर Cisco Meraki, HPE Aruba, किंवा Ruckus असू शकते, जे सर्व क्लाउड-व्यवस्थापित Zero-Touch Provisioning ला सपोर्ट करतात. गेस्ट Captive Portal चे व्यवस्थापन मध्यवर्ती पद्धतीने Purple द्वारे केले जाते, ज्यामुळे मार्केटिंग टीमला एकाच डॅशबोर्डवरून सर्व पाचशे ठिकाणांचे फूटफॉल ॲनालिटिक्स आणि मोहीम साधने मिळतात. जेव्हा एखादा ग्राहक कोणत्याही स्टोअरमध्ये Guest WiFi शी कनेक्ट होतो, तेव्हा तोच ब्रँडेड अनुभव दिसतो. तोच डेटा त्याच ॲनालिटिक्स प्लॅटफॉर्मवर प्रवाहित होतो. हे मॉडेल मालकीचा एकूण खर्च नाट्यमयरित्या कमी करते आणि संपूर्ण इस्टेटमध्ये सुसंगत सुरक्षा राखणे सुनिश्चित करते. एका स्टोअरमधील एक चुकीचे कॉन्फिगरेशन इतरत्र पसरत नाही, कारण प्रत्येक स्टोअर त्याच प्रमाणित टेंपलेटवरून तयार केले जाते. आता, अंमलबजावणीच्या शिफारसी आणि टाळायच्या त्रुटी. पहिले, प्रत्येक गेस्ट-फेसिंग SSID वर क्लायंट आयसोलेशन सक्षम करा. हे गेस्ट नेटवर्कवरील उपकरणांना एकमेकांशी थेट संवाद साधण्यापासून रोखते. याशिवाय, तुमच्या हॉटेलच्या लॉबीमध्ये बसलेला एखादा दुर्भावनापूर्ण घटक इतर गेस्टच्या उपकरणांवर मॅन-इन-द-मिडल हल्ला करू शकतो. तुमच्या ॲक्सेस पॉईंट कॉन्फिगरेशनमध्ये हा एकच टॉगल आहे, आणि हे बंधनकारक आहे. दुसरे, QoS, म्हणजेच क्वालिटी ऑफ सर्व्हिस, पॉलिसी लागू करा. तुमच्या स्टाफ ट्रॅफिकला उच्च प्राधान्य वर्ग द्या. हे सुनिश्चित करते की शंभर गेस्ट व्हिडिओ स्ट्रीमिंग करत असताना तुमच्या पॉईंट-ऑफ-सेल टर्मिनल्स किंवा तुमच्या प्रॉपर्टी मॅनेजमेंट सिस्टमच्या कार्यक्षमतेवर परिणाम होणार नाही. गेस्ट नेटवर्कवर प्रति-वापरकर्ता बँडविड्थ थ्रॉटलिंग लागू करा. प्रति वापरकर्ता प्रति सेकंद पाच मेगाबिट्स ही एक वाजवी मर्यादा आहे. हे एकाच वापरकर्त्याला तुमची अपलिंक सॅच्युरेट करण्यापासून रोखते. तिसरे, तुमच्या SSID संख्येचे व्यवस्थापन करा. तुम्ही ब्रॉडकास्ट करत असलेला प्रत्येक SSID रेडिओ स्पेक्ट्रमवर भार वाढवतो. प्रत्येक SSID ला व्यवस्थापन फ्रेम आवश्यक असतात, ज्या एअरटाइम वापरतात. गर्दीच्या वातावरणात, सहा किंवा आठ SSIDs ब्रॉडकास्ट केल्याने प्रत्येकासाठी WiFi कार्यक्षमता लक्षणीयरीत्या कमी होऊ शकते. व्यावहारिक मर्यादा प्रति ॲक्सेस पॉईंट तीन ते चार SSIDs इतकी आहे. तुम्हाला अधिक लॉजिकल सेगमेंटची आवश्यकता असल्यास, अतिरिक्त SSIDs ऐवजी RADIUS द्वारे डायनॅमिक VLAN असाइनमेंट वापरा. आता, सर्वात सामान्य बिघाड मोड. हा कोणताही अत्याधुनिक हल्ला नाही. हे एक चुकीचे कॉन्फिगरेशन आहे. ट्रंक पोर्टऐवजी ॲक्सेस पोर्ट म्हणून कॉन्फिगर केलेले सिंगल स्विच पोर्ट तुमच्या VLANs ला शांतपणे ब्रिज करू शकते. तुमचे मॉनिटरिंग याला फ्लॅग करणार नाही. तुमच्या वापरकर्त्यांच्या ते लक्षात येणार नाही. परंतु एखादे गेस्ट डिव्हाइस अचानक तुमच्या कॉर्पोरेट नेटवर्कपर्यंत पोहोचू शकते. याला VLAN हॉप्पिंग म्हणतात, आणि नियमित कॉन्फिगरेशन बदलादरम्यान हे समाविष्ट करणे आश्चर्यकारकरीत्या सोपे आहे. याचा उपाय म्हणजे ऑपरेशनल शिस्त. मानकीकृत कॉन्फिगरेशन टेम्पलेट्स वापरा. प्रत्येक बदलाचे दस्तऐवजीकरण (document) करा. तिमाही ऑडिट चालवा जे चाचणी उपकरणावरून सेगमेंट दरम्यान ट्रॅफिक राउट करण्याचा प्रयत्न करून VLAN आयसोलेशनची पडताळणी करतात. चाचणी यशस्वी झाल्यास, तुमची समस्या आहे. शक्य तिथे ही तपासणी स्वयंचलित करा. जलद प्रश्नोत्तरे. मला प्रत्येक नेटवर्कसाठी स्वतंत्र भौतिक ऍक्सेस पॉईंट्स हवे आहेत का? नाही. Cisco Meraki, HPE Aruba, Ruckus, आणि Juniper Mist कडील आधुनिक एंटरप्राइझ ऍक्सेस पॉईंट्स एकाच रेडिओवर एकाधिक SSIDs आणि VLANs ना समर्थन देतात. हे विभाजन लॉजिकल आहे, फिजिकल नाही. माझा कर्मचारी SSID लपवणे पुरेशी सुरक्षा आहे का? नाही. लपवलेला SSID हा एक किरकोळ अडथळा आहे. एक पॅसिव्ह WiFi स्कॅनर सेकंदात तो शोधू शकतो. खरी सुरक्षा 802.1X ऑथेंटिकेशन मधून मिळते, ज्यासाठी नेटवर्क शोधल्यानंतरही वैध क्रेडेंशियल्स आवश्यक असतात. माझे ठिकाण लहान आहे. हे अतिरेक आहे का? नाही. स्केल विचारात न घेता धोका सारखाच असतो. जर अतिथी आणि कर्मचारी ट्रॅफिक एकाच नेटवर्कवर असेल, तर एका सिंगल पेमेंट टर्मिनल असलेले लहान कॅफे देखील मोठ्या हॉटेलइतकेच धोक्यात असते. बऱ्याच बिझनेस-ग्रेड राउटरमध्ये अंगभूत अतिथी नेटवर्क वैशिष्ट्य समाविष्ट असते जे कोणत्याही अतिरिक्त खर्चाशिवाय मूलभूत सेगमेंटेशन प्रदान करते. त्याचा वापर करा. हे किमान आवश्यक संरक्षण आहे. थोडक्यात सांगायचे तर. VLANs वापरून तुमचे नेटवर्क सेगमेंट करा. अतिथी आणि कर्मचारी दोघांनाही सेवा देणाऱ्या कोणत्याही ठिकाणासाठी हे नॉन-नेगोशिएबल आहे. कर्मचाऱ्यांसाठी 802.1X सह WPA3-Enterprise वापरा आणि अतिथींसाठी Captive Portal वापरा. तुमच्या फायरवॉलवर सर्वात कमी विशेषाधिकाराचे तत्त्व लागू करा: डीफॉल्टनुसार सर्वकाही नाकारा आणि केवळ स्पष्टपणे आवश्यक असलेल्या गोष्टींना परवानगी द्या. सर्व अतिथी SSIDs वर क्लायंट आयसोलेशन सक्षम करा. QoS पॉलिसी आणि प्रति-वापरकर्ता थ्रॉटलिंगसह बँडविड्थ व्यवस्थापित करा. कॉन्फिगरेशन व्यवस्थापनाकडे सुरक्षेचे नियंत्रण म्हणून पहा, नंतरचा विचार म्हणून नाही. हे योग्यरित्या केल्याने केवळ तुमचा विस्कळीत होण्याचा धोका कमी होत नाही. तर ते PCI-DSS आणि GDPR आवश्यकता पूर्ण करते, व्यवसाय ऑपरेशन्ससाठी एक स्थिर प्लॅटफॉर्म प्रदान करते, आणि जेव्हा तुम्ही यावर Purple चे ॲनालिटिक्स प्लॅटफॉर्म जोडता, तेव्हा तुमच्या Guest WiFi ला एका खर्चाच्या केंद्रातून मोजता येण्याजोग्या महसूल मालमत्तेमध्ये बदलते. Purple जगभरातील 80,000 पेक्षा जास्त ठिकाणी कसे तैनात केले जाते याबद्दल अधिक तपशीलासाठी, purple.ai ला भेट द्या. ऐकल्याबद्दल धन्यवाद.