मुख्य मजकुराकडे जा
मराठी

सर्वांवर नियंत्रण ठेवण्यासाठी तीन SSIDs: अतिथी (guest), कर्मचारी (staff), आणि IoT WiFi सेटअप मार्गदर्शक

हे अधिकृत तांत्रिक संदर्भ मार्गदर्शक तीन-SSID WiFi आर्किटेक्चर लागू करण्यासाठी टप्प्याटप्प्याने आराखडा प्रदान करते. हे कार्यप्रदर्शन सुधारण्यासाठी आणि PCI DSS अनुपालन सुनिश्चित करण्यासाठी captive portals, 802.1X RADIUS, आणि प्रति-डिव्हाइस PSK (xPSK) चा वापर करून अतिथी, कर्मचारी आणि IoT रहदारीचे वर्गीकरण कसे करावे हे स्पष्ट करते.

📖 7 मिनिट वाचन📝 1,519 शब्द🔧 2 सोडवलेली उदाहरणे❓ 3 सराव प्रश्न📚 8 महत्वाच्या व्याख्या

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
पॉडकास्ट स्क्रिप्ट: 'थ्री SSIDs टू रूल देम ऑल: गेस्ट, स्टाफ, आणि IoT WiFi सेटअप मार्गदर्शक' [प्रस्तावना आणि संदर्भ - १ मिनिट] तुम्ही एक ज्येष्ठ नेटवर्क सल्लागार आहात आणि क्लायंटला आत्मविश्वासाने, अधिकृत माहिती देत आहात. स्पष्ट, मोजक्या आणि व्यावसायिक टोनसह बोला. शांत अधिकार, शैक्षणिक नाही. संभाषणात्मक पण अचूक. वेग स्थिर आणि विचारी असावा: Purple WiFi इंटेलिजन्स तांत्रिक माहिती मालिकेमध्ये आपले स्वागत आहे. आज आपण थ्री-SSID WiFi डिझाइनबद्दल बोलत आहोत - अशी आर्किटेक्चर जी एकाच वायरलेस इन्फ्रास्ट्रक्चरचा वापर करून अतिथी, कर्मचारी आणि IoT रहदारीला वेगवेगळ्या, वेगळ्या नेटवर्कवर विभक्त करते. तुम्ही हॉटेल, रिटेल इस्टेट, कॉन्फरन्स सेंटर, स्टेडियम किंवा अशा कोणत्याही ठिकाणासाठी WiFi व्यवस्थापित करत असाल जिथे तुम्ही सार्वजनिक आणि ऑपरेशनल अशा दोन्ही नेटवर्क चालवता, तर ही माहिती थेट तुमच्याशी संबंधित आहे. [तांत्रिक सखोल विश्लेषण - ५ मिनिटे] मला आधी संदर्भ स्पष्ट करू द्या. आज बहुतेक एंटरप्राइझ ठिकाणी किमान पाच किंवा सहा SSIDs चालू आहेत. अतिथींसाठी एक, कर्मचाऱ्यांसाठी एक, पॉइंट-ऑफ-सेल टर्मिनल्ससाठी एक, IoT उपकरणांसाठी एक, कदाचित कंत्राटदारांसाठी एक लपविलेला आणि बऱ्याचदा जुना ज्याचे अस्तित्व कशासाठी आहे हे कोणालाच आठवत नाही. यापैकी प्रत्येक SSID रेडिओवरील सर्वात कमी डेटा दराने दर १०० मिलिसेकंदांनी बीकन फ्रेम ब्रॉडकास्ट करतो. एकाच चॅनेलवर ५० ॲक्सेस पॉइंट्स असलेल्या दाट गर्दीच्या ठिकाणी, युझर डेटाचा एक बाइटही ट्रान्समिट होण्यापूर्वी शेकडो मॅनेजमेंट फ्रेम्स प्रति सेकंद एअरटाइम वापरतात. इंडस्ट्रीचे एकमत स्पष्ट आहे: प्रति रेडिओ तीनपेक्षा जास्त SSIDs ब्रॉडकास्ट करू नका. तीन हा असा आकडा आहे जो वायरलेस कार्यक्षमतेच्या विरोधात सुरक्षा विभाजनाचा समतोल राखतो. तर थ्री-SSID डिझाइन असे आहे. SSID एक: व्हिजिटर ॲक्सेससाठी Captive Portal सह खुले गेस्ट WiFi नेटवर्क. SSID दोन: 802.1X आणि RADIUS प्रमाणीकरण वापरून कर्मचारी आणि सुरक्षित अतिथींसाठी WPA2 किंवा WPA3-एंटरप्राइझ नेटवर्क. SSID तीन: IoT उपकरणे, कार्ड टर्मिनल्स, डिजिटल साइनेज आणि प्रिंटर्ससाठी xPSK नेटवर्क, जे डिव्हाइसच्या ओळखीनुसार डायनॅमिकली VLANs नियुक्त करण्यासाठी प्रति-डिव्हाइस प्री-शेअर्ड की वापरते. तीन SSIDs. तीन पूर्णपणे वेगळे नेटवर्क सेगमेंट्स. एक भौतिक वायरलेस इन्फ्रास्ट्रक्चर. चला यापैकी प्रत्येकाचा सविस्तर आढावा घेऊया. चला यापैकी प्रत्येकाचा सविस्तर आढावा घेऊया. SSID एक हे तुमचे गेस्ट WiFi आहे. तुम्ही हे ओपन नेटवर्क म्हणून कॉन्फिगर करा - कोणतीही प्री-शेअर्ड की नाही, कोणताही WPA2-पर्सनल पासवर्ड नाही. ॲक्सेस पॉइंट असोसिएशन लेयरवर एन्क्रिप्शनशिवाय SSID ब्रॉडकास्ट करतो. जेव्हा एखादा व्हिजिटर कनेक्ट होतो, तेव्हा त्यांच्या डिव्हाइसला तुमच्या अतिथी VLAN वरून (सामान्यतः VLAN १०) DHCP सर्व्हरकडून IP ॲड्रेस मिळतो. प्रत्येक DNS क्वेरी आणि HTTP विनंती वायरलेस कंट्रोलर किंवा समर्पित Captive Portal अप्लायन्सद्वारे इंटरसेप्ट केली जाते, जी व्हिजिटरच्या ब्राउझरला तुमच्या पोर्टल पेजवर रिडायरेक्ट करते. याच ठिकाणी Purple च्या प्लॅटफॉर्मचे एकत्रीकरण (integrate) होते. Captive Portal पर्यटकांचे प्रमाणीकरण (authentication) हाताळते - मग ते सोशल लॉगिन असो, ईमेल नोंदणी, SMS पडताळणी किंवा व्हाउचर कोड असो. हे GDPR अंतर्गत संमती कॅप्चर करते, पर्यटकांचे तपशील फर्स्ट-पार्टी डेटा म्हणून रेकॉर्ड करते आणि नंतर इंटरनेट प्रवेश मंजूर करण्यासाठी कंट्रोलरला सिग्नल पाठवते. पर्यटकाचे सेशन VLAN 10 वर टॅग केले जाते आणि तुमची फायरवॉल एक कठोर पॉलिसी लागू करते: फक्त इंटरनेट प्रवेश, तुमच्या अंतर्गत RFC 1918 ॲड्रेस स्पेसचा कोणताही मार्ग ब्लॉक करणाऱ्या स्पष्ट deny-all नियमासह. येथे वॉल्ड गार्डन (walled garden) ही एक अत्यंत महत्त्वाची कॉन्फिगरेशन पायरी आहे. पर्यटकाने पोर्टल लॉगिन पूर्ण करण्यापूर्वी, त्यांच्या डिव्हाइसला पोर्टल पेजवर पोहोचणे आवश्यक असते. तुम्ही वॉल्ड गार्डन कॉन्फिगर करता - IP ॲड्रेस आणि डोमेनची एक व्हाईटलिस्ट ज्यावर प्रमाणीकरणाशिवाय प्रवेश केला जाऊ शकतो. यामध्ये तुमच्या Captive Portal सर्व्हरचा IP किंवा होस्टनेम, ते वापरत असलेले कोणतेही CDN एंडपॉइंट्स आणि फेसबुकचे OAuth सर्व्हर्स किंवा गुगलचे ऑथेंटिकेशन एंडपॉइंट्स यासारखे कोणतेही सोशल लॉगिन प्रदाता एंडपॉइंट्स समाविष्ट असणे आवश्यक आहे. SSID दोन हे तुमचे स्टाफ WiFi आहे. हे WPA2-Enterprise किंवा WPA3-Enterprise वापरते, ज्याचा अर्थ 802.1X प्रमाणीकरण आहे. जेव्हा एखादा कर्मचारी कनेक्ट होतो, तेव्हा त्यांचे डिव्हाइस ॲक्सेस पॉइंटसह EAP एक्सचेंज सुरू करते, जे ऑथेंटिकेटर म्हणून काम करते आणि क्रेडेंशियल्स तुमच्या RADIUS सर्व्हरकडे फॉरवर्ड करते. RADIUS सर्व्हर तुमच्या आयडेंटिटी प्रदाता कडून ओळख प्रमाणित करतो आणि Access-Accept संदेश परत पाठवतो. डायनॅमिक VLAN असाइनमेंटची गुरुकिल्ली म्हणजे त्या Access-Accept संदेशातील तीन विशिष्ट RADIUS ॲट्रिब्युट्स आहेत. ॲट्रिब्युट 64, Tunnel-Type, व्हॅल्यू 13 वर सेट करणे आवश्यक आहे, ज्याचा अर्थ VLAN असा आहे. ॲट्रिब्युट 65, Tunnel-Medium-Type, व्हॅल्यू 6 वर सेट करणे आवश्यक आहे, ज्याचा अर्थ IEEE 802 असा आहे. आणि ॲट्रिब्युट 81, Tunnel-Private-Group-ID, मध्ये प्रत्यक्ष VLAN ID स्ट्रिंग म्हणून समाविष्ट असतो. जेव्हा ॲक्सेस पॉइंटला हे ॲट्रिब्युट्स मिळतात, तेव्हा तो डायनॅमिकली त्या सेशनला निर्दिष्ट VLAN सह टॅग करतो. फायनान्स टीममधील कर्मचारी प्रमाणीकरण करतो आणि VLAN 20 वर पोहोचतो. कंत्राटदार वेगवेगळ्या क्रेडेंशियलसह प्रमाणीकरण करतो आणि अधिक मर्यादित प्रवेशासह VLAN 30 वर पोहोचतो. समान SSID, समान फिजिकल नेटवर्क, पूर्णपणे भिन्न लॉजिकल सेगमेंट्स. Purple ची क्लाउड RADIUS सेवा स्टाफ WiFi साठी RADIUS प्रमाणीकरण लेअर हाताळते, तुमच्या आयडेंटिटी प्रदात्यासह समाकलित होते आणि प्रति वापरकर्ता योग्य डायनॅमिक VLAN ॲट्रिब्युट्स परत पाठवते. SSID तीन हे तुमचे IoT WiFi आहे. xPSK अशा समस्येचे निराकरण करते ज्याचे निराकरण ओपन नेटवर्क्स किंवा 802.1X पैकी कोणीही स्पष्टपणे करू शकत नाही. IoT डिव्हाइसेस, कार्ड टर्मिनल्स, डिजिटल साइनेज प्लेयर्स आणि प्रिंटर 802.1X सह प्रमाणीकरण करू शकत नाहीत. परंतु तुम्ही त्यांना एकाच सामायिक पासवर्डसह फ्लॅट WPA2-Personal नेटवर्कवर ठेवू शकत नाही, कारण तसे केल्यास तडजोड झालेल्या डिव्हाइसला त्या सेगमेंटवरील इतर प्रत्येक डिव्हाइसमध्ये प्रवेश मिळेल. xPSK प्रत्येक डिव्हाइस किंवा डिव्हाइस ग्रुपसाठी एक, अशा युनिक पासवर्डचा डेटाबेस व्यवस्थापित करते. डिव्हाइस त्याच्या युनिक की चा वापर करून कनेक्ट होते. कंट्रोलर की सत्यापित करतो आणि डायनॅमिक VLAN ॲट्रिब्युट्स परत करतो. एखादे कार्ड टर्मिनल कनेक्ट होते आणि तुमच्या PCI DSS-आयसोलेटेड पेमेंट नेटवर्क असलेल्या VLAN 50 वर जाते. एक स्मार्ट थर्मोस्टॅट कनेक्ट होते आणि मर्यादित राउटिंग असलेल्या तुमच्या IoT नेटवर्क, म्हणजेच VLAN 40 वर जाते. व्हेंडरची शब्दरचना वेगळी असू शकते. Cisco Meraki याला iPSK म्हणते. HPE Aruba याला MPSK म्हणते. Ruckus याला DPSK म्हणते. Juniper Mist आणि Ubiquiti UniFi दोघेही याला PPSK म्हणतात. या पाचही व्हेंडर्समधील मूळ आर्किटेक्चर पूर्णपणे सारखेच आहे. [अमलबजावणीच्या शिफारसी आणि अडचणी - २ मिनिटे] तुम्ही एक वरिष्ठ नेटवर्क सल्लागार आहात आणि क्लायंटला आत्मविश्वासाने, अधिकृत माहिती देत आहात. स्पष्ट, मोजक्या आणि व्यावसायिक सुरात बोला. शांत अधिकार, अकादमिक नाही. संभाषणात्मक पण अचूक. वेग स्थिर आणि विचारी आहे: आता आपण अमलबजावणीतील अडचणी आणि वास्तविक जगातील परिस्थितींबद्दल बोलूया. पहिली अडचण म्हणजे चुकीच्या पद्धतीने कॉन्फिगर केलेले ट्रंक पोर्ट्स. तुमचे मल्टिपल VLANs वाहून नेणारे स्विच पोर्ट्स हे 802.1Q ट्रंक पोर्ट्स म्हणून कॉन्फिगर केलेले असणे आवश्यक आहे, ॲक्सेस पोर्ट्स म्हणून नाही. जर एखादा ट्रंक पोर्ट चुकून ॲक्सेस पोर्ट म्हणून सेट केला गेला, तर सर्व ट्रॅफिक एकाच VLAN वर कोसळते आणि तुमचे सेगमेंटेशन नकळत गायब होते. कोणताही बदल केल्यानंतर नेहमी तुमच्या स्विच कॉन्फिगरेशनचे ऑडिट करा. दुसरी अडचण म्हणजे अपूर्ण वॉल्ड गार्डन. जर तुम्ही योग्य एंडपॉइंट्स व्हाईटलिस्ट न केल्यामुळे तुमचे Captive Portal पेज लोड झाले नाही, तर अभ्यागतांना रिकामी स्क्रीन दिसेल आणि त्यांना वाटेल की WiFi खराब झाले आहे. लाइव्ह जाण्यापूर्वी कॅश केलेला DNS नसलेल्या नवीन डिव्हाइसवरून तुमच्या वॉल्ड गार्डनची चाचणी घ्या. तिसरी अडचण म्हणजे MAC address रँडमायझेशन. आधुनिक iOS आणि Android डिव्हाइसेस ते जोडत असलेल्या प्रत्येक नेटवर्कसाठी रँडमाइज्ड MAC address वापरतात. जर तुमची xPSK सिस्टीम एखाद्या डिव्हाइसला त्याच्या युनिक की सोबत जोडण्यासाठी MAC address बाइंडिंगवर अवलंबून असेल, तर जेव्हा एखादे डिव्हाइस त्याचा ॲड्रेस बदलेल तेव्हा तुम्हाला ऑथेंटिकेशनमध्ये त्रुटी येतील. अशा व्हेंडर इम्प्लीमेंटेशन्सचा वापर करा जे सेशनला MAC ऐवजी की सोबतच बाइंड करतात. मला तुम्हाला वास्तविक जगातील दोन परिस्थिती सांगू द्या. पहिली परिस्थिती: २०० खोल्यांचे एक हॉटेल. या हॉटेलला सर्व खोल्यांमध्ये आणि सार्वजनिक क्षेत्रांमध्ये अतिथी WiFi, फ्रंट डेस्क, हाऊसकीपिंग आणि व्यवस्थापनासाठी कर्मचारी WiFi आणि स्मार्ट थर्मोस्टॅट्स, IPTV प्रणाली आणि दरवाजाच्या लॉक कंट्रोलर्ससाठी IoT कनेक्टिव्हिटी प्रदान करणे आवश्यक आहे. ते त्यांच्या Cisco Meraki ॲक्सेस पॉइंट्सवर तीन SSIDs तैनात करतात. SSID एक, म्हणजेच अतिथी नेटवर्क, ईमेल नोंदणी आणि GDPR-सुसंगत संमती कॅप्चरसह Purple चे captive portal वापरते. अतिथी प्रमाणीकृत होतात, VLAN 10 वर येतात, आणि त्यांना प्रति-क्लायंट २० मेगाबिट प्रति सेकंद वेगमर्यादेसह केवळ-इंटरनेट प्रवेश मिळतो. SSID दोन, म्हणजेच कर्मचारी नेटवर्क, Microsoft Entra ID विरुद्ध RADIUS प्रमाणीकरणासह WPA3-Enterprise वापरते. फ्रंट डेस्क कर्मचारी मालमत्ता व्यवस्थापन प्रणालीच्या प्रवेशासह VLAN 20 वर येतात. हाऊसकीपिंग कर्मचारी केवळ हाऊसकीपिंग ॲप्लिकेशनच्या प्रवेशासह VLAN 21 वर येतात. SSID तीन, म्हणजेच IoT नेटवर्क, Meraki iPSK वापरते. प्रत्येक स्मार्ट थर्मोस्टॅटची एक युनिक की VLAN 40 वर मॅप केलेली असते. प्रत्येक दरवाजाच्या लॉक कंट्रोलरची एक युनिक की VLAN 41 वर मॅप केलेली असते. IPTV प्रणालींच्या की VLAN 42 वर मॅप केलेल्या असतात. सर्व IoT VLANs ना इंटरनेट प्रवेश नसतो आणि त्यांच्या विशिष्ट व्यवस्थापन सर्व्हरपुरता संपर्क मर्यादित ठेवणारे कडक फायरवॉल नियम असतात. [रॅपिड-फायर Q&A - १ मिनिट] आता काही झटपट प्रश्नांकडे वळूयात. मला xPSK साठी स्वतंत्र RADIUS सर्व्हरची आवश्यकता आहे का? हे विक्रेता आणि स्केलवर अवलंबून असते. लहान उपयोजनांसाठी, Cisco Meraki iPSK आणि HPE Aruba MPSK-Local हे RADIUS सर्व्हरशिवाय थेट कंट्रोलरवर की संचयित करू शकतात. एंटरप्राइझ स्केलसाठी, तुम्हाला केंद्रीय RADIUS सर्व्हरची आवश्यकता असते - एकतर तुमचा स्वतःचा FreeRADIUS किंवा NPS इन्स्टन्स, किंवा Purple सारखी क्लाउड RADIUS सेवा. WPA3-Enterprise अनिवार्य आहे का? अजून तरी नाही, परंतु तुमचे क्लायंट डिव्हाइसेस जिथे याला सपोर्ट करतात तिथे ते तैनात करा. WPA3 चा १९२-बिट सुरक्षा मोड आणि Protected Management Frames हे WPA2 मध्ये असणारे अनेक हल्ला मार्ग काढून टाकतात. मागील आवृत्त्यांशी सुसंगतता राखण्यासाठी WPA3 ट्रान्झिशन मोडमध्ये चालवा. मी कर्मचारी SSID वर BYOD कसे हाताळू? क्रेडेंशियल-आधारित प्रमाणीकरणासाठी PEAP-MSCHAPv2 वापरा, जे प्रमाणपत्र तैनातीची आवश्यकता न ठेवता वैयक्तिक उपकरणांसह कार्य करते. तुम्हाला अधिक मजबूत सुरक्षिततेची आवश्यकता असल्यास, तुमच्या MDM द्वारे पुश केलेल्या प्रमाणपत्रांसह EAP-TLS तैनात करा. लहन ठिकाणासाठी किमान व्यवहार्य सेटअप कोणता आहे? तीन SSIDs, तीन VLANs, इंटर-VLAN नियमांसह एक फायरवॉल आणि अतिथींसाठी एक captive portal. हा तुमचा बेसलाइन आहे. तुमचे डिव्हाइस नेटवर्क वाढेल तसे तुम्ही RADIUS आणि xPSK जोडू शकता. [थोडक्यात आणि पुढील पावले - १ मिनिट] थोडक्यात सांगायचे तर: तीन-SSID डिझाइन तुम्हाला पाच किंवा सहा स्वतंत्र नेटवर्क चालवण्याच्या एअरटाइम ओव्हरहेडशिवाय आवश्यक असणारे विभाजन प्रदान करते. captive portal सह असणारे अतिथी WiFi अभ्यागत प्रवेश आणि GDPR अनुपालन हाताळते. 802.1X आणि डायनॅमिक VLAN वितरणासह कर्मचारी WiFi ओळख-आधारित प्रवेश नियंत्रण हाताळते. xPSK सह असणारे IoT WiFi प्रति-डिव्हाइस अलगावसह हेडलेस डिव्हाइसेस हाताळते. तुमची पुढील पावले: तुमच्या सध्याच्या SSID संख्येचे ऑडिट करा. तुम्ही तीनपेक्षा जास्त ब्रॉडकास्ट करत असल्यास, एकत्रिकरणाची योजना आखा. तुमच्या VLAN डिझाइनचे आणि फायरवॉल inter-VLAN नियमांचे पुनरावलोकन करा. आणि जर तुम्ही आधीच GDPR-सुसंगत डेटा कॅप्चरसह व्यवस्थापित Captive Portal वापरत नसाल, तर तो आज तुमच्या गेस्ट नेटवर्कमध्ये तुम्ही करू शकत असलेला सर्वात महत्त्वाचा बदल आहे. Purple चे प्लॅटफॉर्म जगभरातील ८०,००० पेक्षा जास्त लाईव्ह ठिकाणी या तीन-SSID आर्किटेक्चरला समर्थन देते. संपूर्ण डिझाइन एकाच व्यवस्थापित प्रणाली म्हणून कार्य करण्यासाठी आम्ही Guest WiFi Captive Portal, Staff WiFi साठी क्लाउड RADIUS आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist आणि Ubiquiti UniFi सह इंटिग्रेशन्स प्रदान करतो. Purple कडील हे तांत्रिक ब्रीफिंग ऐकल्याबद्दल धन्यवाद. संपूर्ण लिखित मार्गदर्शक आणि आर्किटेक्चर डायग्राम्सच्या लिंक्स शो नोट्समध्ये आहेत।

header_image.png

कार्यकारी सारांश (Executive Summary)

व्हेन्यू ऑपरेटर्सना WiFi स्पेक्ट्रम गर्दीच्या वाढत्या समस्येचा सामना करावा लागत आहे. जेव्हा तुम्ही अतिथी (guest), कर्मचारी (staff), पॉइंट-ऑफ-सेल (POS) आणि IoT ट्रॅफिक विभाजित करण्यासाठी नवीन SSID ब्रॉडकास्ट करता, तेव्हा तुम्ही तुमच्या संपूर्ण वायरलेस नेटवर्कच्या कामगिरीवर थेट परिणाम करत असता. प्रत्येक सक्षम केलेले SSID युजर डेटाचा एकही पॅकेट ट्रान्समिट होण्यापूर्वी, उपलब्ध एअरटाईमचा 20% पर्यंत भाग वापरून, सर्वात कमी बेसिक डेटा रेटवर दर 100 मिलिसेकंदांनी एक बीकन फ्रेम ब्रॉडकास्ट करते.

इंडस्ट्रीचे मत स्पष्ट आहे: प्रति ॲक्सेस पॉइंट रेडिओवर तीनपेक्षा जास्त SSIDs ब्रॉडकास्ट करू नका. हे तांत्रिक मार्गदर्शक स्पष्ट करते की IT टीम्स अनेक विशिष्ट उद्देशांच्या नेटवर्क्सला एकाच तीन-SSID आर्किटेक्चरमध्ये एकत्रित करून WiFi परफॉर्मन्सचा ऱ्हास कसा टाळू शकतात. हे डिझाइन योग्य वायरलेस एअरटाईम वापरासह कठोर लॉजिकल नेटवर्क सेगमेंटेशन संतुलित करते.

आम्ही कॅप्टिव्ह पोर्टल (Captive Portal) सह ओपन Guest WiFi नेटवर्क, आयडेंटिटी-आधारित ॲक्सेससाठी 802.1X वापरणारे WPA3-Enterprise Staff WiFi नेटवर्क, आणि हेडलेस उपकरणांसाठी प्रति-डिव्हाइस प्री-शेअर्ड की (xPSK) वापरणारे IoT WiFi नेटवर्क यांच्या तांत्रिक कॉन्फिगरेशनचा अभ्यास करू. RADIUS द्वारे या तीन SSIDs ला डायनॅमिक VLANs मध्ये मॅप करून, तुम्ही थ्रूटपुट कमी न करता PCI DSS सारख्या अनुपालन (compliance) मानकांसाठी संपूर्ण लेयर 2 आयसोलेशन मिळवू शकता.

तांत्रिक सखोल अभ्यास (Technical Deep-Dive)

SSID चा विस्तार इतका हानिकारक का आहे हे समजून घेण्यासाठी, आपल्याला 802.11 मॅनेजमेंट फ्रेम्सकडे पाहावे लागेल. ॲक्सेस पॉइंटवरील प्रत्येक सक्षम केलेले SSID दर 100 मिलिसेकंदांनी बीकन फ्रेम ब्रॉडकास्ट करते. कव्हरेज क्षेत्राच्या सीमेवरील प्रत्येक क्लायंट डिव्हाइसला बीकन ऐकू येईल याची खात्री करण्यासाठी, ॲक्सेस पॉइंट ते सर्वात कमी बेसिक डेटा रेटवर ट्रान्समिट करतो, सामान्यतः एक किंवा दोन मेगाबिट्स प्रति सेकंद. जर तुमच्याकडे सहा SSIDs ब्रॉडकास्ट करणारा एक ॲक्सेस पॉइंट असेल, तर ते प्रति सेकंद 60 बीकन्स होतात. एका दाट वातावरणात जिथे क्लायंट एकाच चॅनेलवर चार ॲक्सेस पॉइंट्स ऐकू शकतो, तिथे ते चॅनेल प्रति सेकंद 240 बीकन्स वाहून नेतो. हा ओव्हरहेड लेटन्सी वाढवतो, व्हॉइस कॉल्सवर जिटर निर्माण करतो आणि एकंदरीत थ्रूटपुट कमी करतो.

यावर उपाय म्हणजे तीन-SSID डिझाइन. हे आर्किटेक्चर डायनॅमिक VLAN असाइनमेंटद्वारे कडक बॅकएंड आयसोलेशन राखून विविध प्रकारच्या उपकरणांसाठी स्वतंत्र ऑथेंटिकेशन यंत्रणा प्रदान करते.

architecture_overview.png

1. Guest WiFi: ओपन + Captive Portal

पहिला SSID अभ्यागतांसाठी समर्पित आहे. तुम्ही हे WPA2-Personal पासवर्डशिवाय एक ओपन नेटवर्क म्हणून कॉन्फिगर करता. जेव्हा एखादा अभ्यागत कनेक्ट होतो, तेव्हा त्यांच्या डिव्हाइसला तुमच्या समर्पित गेस्ट VLAN (उदाहरणार्थ, VLAN 10) वरील DHCP सर्व्हरकडून IP पत्ता मिळतो.

प्रत्येक DNS क्वेरी आणि HTTP विनंती वायरलेस कंट्रोलरद्वारे इंटरसेप्ट केली जाते, जी अभ्यागताच्या ब्राउझरला Captive Portal पृष्ठावर रीडायरेक्ट करते. येथेच Purple सारखे Guest WiFi प्लॅटफॉर्म्स समाकलित होतात. Captive Portal सोशल लॉगिन, ईमेल नोंदणी किंवा व्हाउचर कोडद्वारे अभ्यागत प्रमाणीकरण हाताळते. हे GDPR अनुपालनासाठी विचारपूर्वक निवडलेले पर्याय (opt-ins) कॅप्चर करते आणि अभ्यागताचा तपशील फर्स्ट-पार्टी डेटा म्हणून रेकॉर्ड करते.

अभ्यागताचे सेशन VLAN 10 शी टॅग केलेले राहते. तुमच्या फायरवॉलने या सबनेटवर कडक धोरण लागू केले पाहिजे: फक्त इंटरनेट प्रवेश, तुमच्या अंतर्गत RFC 1918 ॲड्रेस स्पेसचा कोणताही मार्ग ब्लॉक करणाऱ्या स्पष्ट deny-all नियमासह.

येथे एक महत्त्वपूर्ण कॉन्फिगरेशन पायरी म्हणजे walled garden. अभ्यागताने पोर्टल लॉगिन पूर्ण करण्यापूर्वी, त्यांच्या डिव्हाइसला पोर्टल पृष्ठापर्यंत पोहोचणे आवश्यक आहे. तुम्ही walled garden कॉन्फिगर करता, जी प्रमाणीकरणाशिवाय प्रवेश करण्यायोग्य IP पत्ते आणि डोमेनची श्वेतसूची (whitelist) असते. यामध्ये तुमच्या Captive Portal सर्व्हरचा होस्टनेम, कोणतेही CDN एंडपॉइंट्स आणि Microsoft Entra ID किंवा Google Workspace सारख्या सोशल लॉगिन प्रदाता एंडपॉइंट्सचा समावेश असणे आवश्यक आहे.

2. Staff WiFi: WPA2/3-Enterprise + 802.1X

दुसरा SSID कॉर्पोरेट डिव्हाइसेससाठी आहे. यामध्ये WPA2-Enterprise किंवा WPA3-Enterprise चा वापर होतो, ज्यासाठी 802.1X प्रमाणीकरण आवश्यक आहे. जेव्हा एखादा कर्मचारी कनेक्ट होतो, तेव्हा त्यांचे डिव्हाइस ॲक्सेस पॉइंटसह एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल (EAP) एक्सचेंज सुरू करते, जे क्रेडेंशियल्स तुमच्या RADIUS सर्व्हरकडे फॉरवर्ड करते.

RADIUS सर्व्हर ओळख प्रमाणित करतो आणि तीन विशिष्ट IETF मानक विशेषता (attributes) असलेला Access-Accept संदेश परत पाठवतो:

  • Attribute 64 (Tunnel-Type): value 13 (VLAN) वर सेट केलेले
  • Attribute 65 (Tunnel-Medium-Type): value 6 (IEEE 802) वर सेट केलेले
  • Attribute 81 (Tunnel-Private-Group-ID): यामध्ये वास्तविक VLAN ID स्ट्रिंग असते

जेव्हा ॲक्सेस पॉइंटला या विशेषता मिळतात, ते त्या सेशनला निर्दिष्ट केलेल्या VLAN सह डायनॅमिकली टॅग करते. फायनान्स टीमचा सदस्य VLAN 20 वर जातो. कंत्राटदार वेगवेगळ्या क्रेडेंशियल्ससह प्रमाणित करतो आणि VLAN 30 वर जातो. एक ब्रॉडकास्ट SSID एकाधिक लॉजिकल सेगमेंट्स प्रदान करतो.

EAP पद्धत निवडीसाठी, बहुतांश ठिकाणांसाठी MSCHAPv2 सह PEAP हा व्यावहारिक प्रारंभ बिंदू आहे, कारण यामध्ये सर्व्हर-साइड प्रमाणपत्र आणि युझरनेम-पासवर्ड क्रेडेंशियल्स वापरले जातात. EAP-TLS परस्पर प्रमाणपत्र प्रमाणीकरण वापरते आणि हा सर्वात सुरक्षित पर्याय आहे, परंतु यासाठी पार्श्वभूमीत प्रमाणपत्रे पुश करण्यासाठी मोबाईल डिव्हाइस मॅनेजमेंट (MDM) प्लॅटफॉर्मची आवश्यकता असते.

3. IoT WiFi: per-device PSK (xPSK)

तिसरा SSID अशा समस्येचे निराकरण करतो ज्याचे निराकरण ओपन नेटवर्क किंवा 802.1X दोन्ही करू शकत नाहीत. हेडलेस IoT डिव्हाइसेस, कार्ड टर्मिनल्स, डिजिटल साइनेज आणि प्रिंटर्स 802.1X द्वारे प्रमाणित करू शकत नाहीत कारण त्यांच्याकडे प्रमाणपत्र स्टोअर किंवा ब्राउझर नसतो. तथापि, त्यांना एकाच सामायिक पासवर्डसह फ्लॅट WPA2-Personal नेटवर्कवर ठेवल्याने लॅटरल मुव्हमेंटचा (lateral movement) धोका निर्माण होतो.

xPSK हे मानक WPA2 किंवा WPA3-Personal SSID वर कार्य करते. वायरलेस कंट्रोलर युनिक पासवर्डचा डेटाबेस व्यवस्थापित करतो. जेव्हा एखादे डिव्हाइस त्याच्या विशिष्ट पासवर्डचा वापर करून कनेक्ट होते, तेव्हा कंट्रोलर ती की ओळखतो आणि त्या सेशनला योग्य VLAN कडे डायनॅमिकपणे नियुक्त करण्यासाठी RADIUS ॲट्रिब्युट्सचा वापर करतो.

एक कार्ड टर्मिनल त्याच्या युनिक की सह कनेक्ट होते आणि VLAN 50 वर जाते, जे तुमचे PCI DSS-आयसोलेटेड पेमेंट नेटवर्क आहे. एक स्मार्ट थर्मोस्टॅट कनेक्ट होते आणि VLAN 40 वर जाते, जे तुमचे प्रतिबंधित IoT नेटवर्क आहे.

हार्डवेअर व्हेंडर्स या आर्किटेक्चरसाठी वेगवेगळ्या संज्ञा वापरतात: Cisco Meraki याला iPSK म्हणतात, HPE Aruba याला MPSK म्हणतात, Ruckus याला DPSK म्हणतात आणि Juniper Mist तसेच Ubiquiti UniFi याला PPSK म्हणतात.

vlan_ssid_mapping_table.png

अंमलबजावणी मार्गदर्शक (Implementation Guide)

टप्पा १: ट्रॅफिक वर्गीकरण आणि VLAN डिझाइन

स्विच पोर्टला स्पर्श करण्यापूर्वी, तुमच्या वातावरणातील प्रत्येक डिव्हाइस प्रकाराची नोंद करा. प्रत्येक ट्रॅफिक क्लासला एक VLAN ID आणि IP सबनेट नियुक्त करा. तुमचे गेस्ट VLAN पूर्णपणे वेगळ्या सबनेटवर ठेवा ज्याचा तुमच्या अंतर्गत ॲड्रेस स्पेसशी कोणताही मार्ग (route) नसेल.

टप्पा २: स्विच पोर्ट कॉन्फिगरेशन

तुमच्या ॲक्सेस पॉइंट्सशी कनेक्ट होणारे स्विच पोर्ट्स 802.1Q ट्रंक पोर्ट्स म्हणून कॉन्फिगर करा. जर ट्रंक पोर्ट चुकून ॲक्सेस पोर्ट म्हणून कॉन्फिगर झाले, तर सर्व ट्रॅफिक एकाच VLAN वर संकुचित होते आणि तुमचे सेगमेंटेशन नकळत नाहीसे होते.

टप्पा ३: कंट्रोलर कॉन्फिगरेशन

तुमच्या वायरलेस कंट्रोलरवर तुमचे तीन SSIDs मॅप करा.

  • Cisco Meraki: Wireless > Access Control वर जा. गेस्ट SSID ला क्लिक-थ्रू स्प्लॅश पेजसह Open म्हणून कॉन्फिगर करा. स्टाफ SSID ला WPA2-Enterprise सह कॉन्फिगर करा आणि तुमच्या RADIUS सर्व्हरकडे पॉइंट करा. IoT SSID ला WPA2 आणि RADIUS सह iPSK वापरून कॉन्फिगर करा.
  • HPE Aruba: Aruba Central मध्ये, गेस्ट SSID ला बाह्य Captive Portal प्रोफाईलसह कॉन्फिगर करा. स्टाफ SSID ला 802.1X सह कॉन्फिगर करा. IoT SSID ला MPSK सह कॉन्फिगर करा आणि एंटरप्राइझ स्केलसाठी ClearPass Policy Manager सह इंटिग्रेट करा.
  • Ruckus: SmartZone मध्ये, गेस्ट WLAN ला Hotspot (WISPr) पोर्टलसह कॉन्फिगर करा. स्टाफ WLAN ला 802.1X सह कॉन्फिगर करा. IoT WLAN वर DPSK सक्षम करा आणि DPSK डेटाबेस कॉन्फिगर करा.

टप्पा ४: फायरवॉल पॉलिसी

VLAN आर्किटेक्चर हे तुमच्या फायरवॉलवरील इंटर-VLAN राउटिंग नियमांइतकेच मजबूत असते. प्रत्येक परवानगी दिलेल्या ट्रॅफिक प्रवाहाची स्पष्टपणे नोंद करा. इतर सर्व गोष्टी बाय-डिफॉल्ट डिनाय (Default-deny) करा.

सर्वोत्तम पद्धती (Best Practices)

  • SSID संख्या मर्यादित ठेवा: वायरलेस एअरटाइम आणि कार्यक्षमता टिकवून ठेवण्यासाठी प्रत्येक रेडिओवर जास्तीत जास्त तीन SSIDs ब्रॉडकास्ट करा.
  • की लाइफसायकल ऑटोमेट करा: स्प्रेडशीटमध्ये हजारो युनिक xPSK पासवर्ड्स व्यवस्थापित करू नका. API द्वारे तुमचे xPSK प्लॅटफॉर्म तुमच्या प्रॉपर्टी मॅनेजमेंट सिस्टम किंवा आयडेंटिटी प्रोव्हायडरशी इंटिग्रेट करा.
  • MAC रँडमायझेशनचा विचार करा: आधुनिक मोबाईल डिव्हाइसेस रँडमाइज्ड MAC ॲड्रेसेस वापरतात. ऑथेंटिकेशन अयशस्वी होऊ नये म्हणून तुमची xPSK अंमलबजावणी MAC ॲड्रेसऐवजी थेट की सोबत सेशन बाईंड करत असल्याची खात्री करा.
  • Client Isolation सक्षम करा: उपकरणांना एकमेकांशी थेट संवाद साधण्यापासून रोखण्यासाठी आणि पीअर-टू-पीअर (peer-to-peer) हल्ले कमी करण्यासाठी तुमच्या Guest SSID वर नेहमी client isolation सक्षम करा.
  • Rate Limiting लागू करा: एकाच वापरकर्त्याला इंटरनेट अपलिंक संपवण्यापासून रोखण्यासाठी Guest SSID वर प्रति-क्लायंट बँडविड्थ मर्यादा (उदा. 10-20 Mbps) लागू करा.

समस्यानिवारण आणि जोखीम निवारण

  • Captive Portal लोड होण्यास अपयशी: हे सहसा अपूर्ण वॉल्ड गार्डन (walled garden) मुळे होते. अभ्यागतांना रिकामी स्क्रीन दिसल्यास, कॅश न केलेल्या DNS सह नवीन उपकरणावरून वॉल्ड गार्डनची चाचणी घ्या. सर्व CDN एंडपॉइंट्स आणि सोशल लॉगिन प्रदाता URLs सुरक्षित सूचीत (whitelist) असल्याचे सुनिश्चित करा.
  • Dynamic VLAN Assignment अपयशी: तुमचा RADIUS सर्व्हर तंतोतंत Attribute 64 (मूल्य 13), Attribute 65 (मूल्य 6), आणि Attribute 81 (योग्य VLAN ID स्ट्रिंग) पाठवत असल्याची खात्री करा. Access-Accept मेसेज तपासण्यासाठी पॅकेट कॅप्चर वापरा.
  • IoT उपकरणे कनेक्ट होऊ शकत नाहीत: की (key) च्या जटिलतेची तपासणी करा. काही जुन्या IoT उपकरणांना ३२ पेक्षा जास्त अक्षरे असलेल्या किंवा विशेष अक्षरे असलेल्या की वापरण्यात अडचण येते. १६ ते २४ अक्षरांच्या अल्फान्युमेरिक की प्रमाणीकृत करा.

ROI आणि व्यावसायिक प्रभाव

थ्री-SSID डिझाइनमध्ये एकत्रीकरण केल्याने हॉस्पिटॅलिटी , रिटेल , आणि वाहतूक क्षेत्रांमध्ये मोजण्यायोग्य व्यावसायिक मूल्य मिळते.

तुमच्या वायरलेस एअरटाइमचा १५-२०% भाग परत मिळवून, तुम्ही तुमच्या सध्याच्या ॲक्सेस पॉइंट्सचे उपयुक्त आयुष्य वाढवता, ज्यामुळे महागड्या हार्डवेअर रिफ्रेश सायकल पुढे ढकलल्या जातात. कामगिरीतील सुधारणेमुळे कर्मचाऱ्यांच्या व्हॉइस-ओवर-आयपी (voice-over-IP) उपकरणांसाठीचा विलंब (latency) कमी होतो आणि पॉइंट-ऑफ-सेल (POS) व्यवहारांसाठी थ्रुपुट (throughput) वाढतो.

अनुपालनाच्या (compliance) दृष्टीकोनातून, dynamic VLAN assignment हे PCI DSS 4.0 ऑडिटर्सना आवश्यक असलेले पडताळणीयोग्य नेटवर्क विभाजन (network segmentation) प्रदान करते. xPSK द्वारे पेमेंट टर्मिनल्सना समर्पित VLAN वर वेगळे केल्याने तुमचे विस्तृत कॉर्पोरेट नेटवर्क ऑडिटच्या कक्षेबाहेर राहते, ज्यामुळे अनुपालन खर्च आणि जोखीम लक्षणीयरीत्या कमी होते.

शेवटी, Purple च्या captive portal सह Guest WiFi लेयरचे प्रमाणीकरण केल्याने ठिकाणाला (venue) फर्स्ट-पार्टी डेटा गोळा करणे शक्य होते, ज्यामुळे WiFi Analytics प्लॅटफॉर्मद्वारे लक्ष्यित विपणन (marketing) मोहिमा चालवता येतात. हे वायरलेस नेटवर्कला IT खर्चाच्या केंद्रातून थेट महसूल मिळवून देणाऱ्या मालमत्तेत बदलते.

महत्वाच्या व्याख्या

VLAN (Virtual Local Area Network)

IEEE 802.1Q मध्ये परिभाषित केलेली लेयर २ रचना जी एकाच भौतिक नेटवर्क पायाभूत सुविधांना एकाधिक, तार्किकदृष्ट्या स्वतंत्र ब्रॉडकास्ट डोमेन्स वाहून नेण्याची परवानगी देते.

वायर्ड बॅकएंडवर अतिथी, कर्मचारी आणि IoT रहदारी वेगळी करण्यासाठी वापरले जाते.

Captive Portal

एक वेब पृष्ठ जे DNS आणि HTTP रहदारीला अडवते आणि नेटवर्क प्रवेश मंजूर करण्यापूर्वी वापरकर्त्यांना प्रमाणीकरणासाठी पुनर्निर्देशित करते.

संमती मिळवण्यासाठी, अभ्यागतांचे प्रमाणीकरण करण्यासाठी आणि प्रथम-पक्ष डेटा संकलित करण्यासाठी Guest WiFi SSID वर वापरले जाते.

Walled Garden

IP पत्ते आणि डोमेन्सची श्वेतसूची (whitelist) जी क्लायंट डिव्हाइसला captive portal प्रमाणीकरण पूर्ण करण्यापूर्वी प्रवेशयोग्य असते.

डिव्हाइसेसना पोर्टल पृष्ठ, CDN मालमत्ता आणि Microsoft Entra ID सारख्या सोशल लॉगिन प्रदात्यांपर्यंत पोहोचू देण्यासाठी आवश्यक आहे.

802.1X

पोर्ट-आधारित नेटवर्क प्रवेश नियंत्रणासाठी एक IEEE मानक जे LAN किंवा WLAN ला जोडू इच्छिणाऱ्या डिव्हाइसेसना प्रमाणीकरण यंत्रणा प्रदान करते.

कॉर्पोरेट क्रेडेंशियल वापरून RADIUS सर्व्हरच्या विरुद्ध वापरकर्त्यांचे प्रमाणीकरण करण्यासाठी Staff WiFi SSID वर वापरले जाते.

xPSK (Per-Device Pre-Shared Key)

अशा तंत्रज्ञानासाठी एक छत्री संज्ञा जी एकाच WPA2/3-Personal SSID वर एकाधिक अनन्य पासवर्ड वापरण्याची परवानगी देते, ज्यामध्ये प्रत्येक पासवर्ड विशिष्ट डिव्हाइस आणि VLAN शी जोडलेला असतो.

802.1X प्रमाणीकरणास समर्थन देऊ न शकणाऱ्या स्क्रीन नसलेल्या (headless) उपकरणांना सुरक्षित करण्यासाठी IoT WiFi SSID वर वापरले जाते.

RADIUS

एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क सेवा कनेक्ट करणाऱ्या आणि वापरणाऱ्या वापरकर्त्यांसाठी केंद्रीकृत प्रमाणीकरण, अधिकृतता आणि लेखा (AAA) व्यवस्थापन प्रदान करतो.

बॅकएंड सर्व्हर जो क्रेडेंशियल्स सत्यापित करतो आणि डायनॅमिक VLAN गुणधर्म परत करतो.

Beacon Frame

वायरलेस नेटवर्कच्या अस्तित्वाची घोषणा करण्यासाठी ॲक्सेस पॉइंटद्वारे वेळोवेळी ब्रॉडकास्ट केलेली 802.11 व्यवस्थापन फ्रेम.

खूप जास्त SSIDs सक्षम केल्यावर एअरटाइम ओव्हरहेडचे प्राथमिक कारण.

क्लायंट आयसोलेशन (Client Isolation)

एक वायरलेस कंट्रोलर वैशिष्ट्य जे एकाच SSID शी कनेक्ट केलेल्या डिव्हाइसेसना एकमेकांशी थेट संवाद साधण्यापासून रोखते.

पीअर-टू-पीअर हल्ल्यांना रोखण्यासाठी Guest WiFi नेटवर्कवरील एक अत्यंत महत्त्वाचे सुरक्षा नियंत्रण.

सोडवलेली उदाहरणे

२०० खोल्यांच्या हॉटेलला सर्व खोल्यांमध्ये अतिथी (guest) WiFi, फ्रंट डेस्क आणि हाउसकीपिंगसाठी कर्मचारी WiFi, आणि स्मार्ट थर्मोस्टॅट्स आणि दरवाजाच्या लॉक कंट्रोलर्ससाठी IoT कनेक्टिव्हिटी प्रदान करणे आवश्यक आहे.

Cisco Meraki वर तीन SSIDs तैनात करा. SSID 1 (Guest) Purple चे captive portal वापरते; अतिथी केवळ-इंटरनेट प्रवेशासह VLAN 10 वर जातात. SSID 2 (Staff) Microsoft Entra ID च्या विरुद्ध RADIUS सह WPA3-Enterprise वापरते; फ्रंट डेस्क कर्मचारी VLAN 20 वर, तर हाउसकीपिंग कर्मचारी VLAN 21 वर जातात. SSID 3 (IoT) Meraki iPSK वापरते; थर्मोस्टॅट्स VLAN 40 वर मॅप केलेल्या अनन्य की चा वापर करतात, दरवाजाचे लॉक VLAN 41 वर मॅप केलेल्या की चा वापर करतात. सर्व IoT VLANs कडे कडक फायरवॉल नियम आहेत आणि इंटरनेट प्रवेश नाही.

परीक्षकाचे भाष्य: हा दृष्टिकोन कडक वर्गीकरणासह वापरकर्त्याच्या अनुभवाचा समतोल राखतो. RADIUS आणि iPSK द्वारे डायनॅमिक VLAN असाइनमेंट वापरल्याने पाच स्वतंत्र SSIDs ब्रॉडकास्ट करण्याची आवश्यकता टळते, ज्यामुळे एअरटाइम वाचतो आणि मालमत्ता व्यवस्थापन प्रणाली अतिथी आणि IoT रहदारीपासून वेगळी राहणे सुनिश्चित होते.

५० स्टोअर्स असलेल्या रिटेल साखळीला कार्ड पेमेंट टर्मिनल्स, डिजिटल साइनेज स्क्रीन्स, कर्मचाऱ्यांचे हँडहेल्ड्स सुरक्षित करणे आणि खरेदीदारांना WiFi प्रदान करणे आवश्यक आहे.

HPE Aruba ॲक्सेस पॉइंट्स वापरून तीन SSIDs तैनात करा. SSID 1 (Shopper) प्रथम-पक्ष डेटा कॅप्चर करण्यासाठी Purple captive portal वापरते. SSID 2 (Staff) Okta च्या विरुद्ध RADIUS सह WPA2-Enterprise वापरते, कर्मचाऱ्यांना VLAN 20 वर नियुक्त करते. SSID 3 (IoT/POS) ClearPass Policy Manager सह Aruba MPSK वापरते. कार्ड टर्मिनल्स अनन्य की सह कनेक्ट होतात आणि VLAN 50 वर जातात, जे पेमेंट गेटवेवर केवळ आउटबाउंड HTTPS ला परवानगी देणारे फायरवॉल नियम असलेले PCI DSS-स्कोप नेटवर्क आहे. डिजिटल साइनेज स्क्रीन्स VLAN 45 वर मॅप होतात.

परीक्षकाचे भाष्य: MPSK वापरून डायनॅमिकली नियुक्त केलेल्या VLAN वर POS टर्मिनल्स ठेवून, किरकोळ विक्रेता समर्पित भौतिक ॲक्सेस पॉइंट्स किंवा कॅश काउंटरसाठी स्वतंत्र ब्रॉडकास्ट SSID ची आवश्यकता न पडता PCI DSS अनुपालन साध्य करतो. ClearPass की लाइफसायकल व्यवस्थापन केंद्रीकृत करते.

सराव प्रश्न

Q1. तुम्ही नवीन Guest WiFi नेटवर्क उपयोजित (deploy) करत आहात. अभ्यागतांची अशी तक्रार आहे की captive portal पृष्ठ रिकामे दिसत आहे आणि ते लॉग इन करू शकत नाहीत. याचे सर्वात संभाव्य कारण काय आहे?

टीप: डिव्हाइसचे प्रमाणीकरण (authentication) पूर्ण होण्यापूर्वी त्याला कोणता ॲक्सेस मिळतो याचा विचार करा.

नमुना उत्तर पहा

walled garden कॉन्फिगरेशन अपूर्ण आहे. डिव्हाइस captive portal सर्व्हर, CDN एंडपॉइंट्स किंवा सोशल लॉगिन प्रदाता URLs पर्यंत पोहोचू शकत नाही. तुम्ही पूर्व-प्रमाणीकरण (pre-authentication) ॲक्सेस नियंत्रण सूचीमध्ये या डोमेन्सना व्हाईटलिस्ट करणे आवश्यक आहे.

Q2. स्टेडियमच्या एका IT टीमला चाहते, तिकीट विक्री, VIP, मीडिया, ऑपरेशन्स, बिल्डिंग मॅनेजमेंट, कंत्राटदार आणि जुन्या (legacy) डिव्हाइसेससाठी ट्रॅफिकचे वर्गीकरण करण्यासाठी 8 SSIDs उपयोजित करायचे आहेत. ही रचना (design) खराब का आहे आणि याला दुसरा पर्याय काय आहे?

टीप: वायरलेस एअरटाइमवर 802.11 मॅनेजमेंट फ्रेम्सच्या होणाऱ्या परिणामाचा विचार करा.

नमुना उत्तर पहा

8 SSIDs ब्रॉडकास्ट केल्याने बीकन फ्रेम ओव्हरहेडमुळे कामगिरीमध्ये मोठी घट होईल, ज्यामुळे सर्वात कमी डेटा रेटवर जास्त एअरटाइम वापरला जाईल. याला पर्याय म्हणजे तीन-SSID रचना वापरणे, ज्यामध्ये RADIUS (802.1X साठी) आणि xPSK (हेडलेस डिव्हाइसेससाठी) द्वारे डायनॅमिक VLAN असाइनमेंटचा वापर करून वायरलेस ओव्हरहेडशिवाय लॉजिकल वर्गीकरण प्रदान केले जाते.

Q3. तुम्ही RADIUS सर्व्हर वापरून Staff WiFi साठी डायनॅमिक VLAN असाइनमेंट कॉन्फिगर करत आहात. प्रमाणीकरण यशस्वी होते, परंतु वापरकर्त्याला त्यांच्या नियुक्त केलेल्या VLAN ऐवजी डीफॉल्ट VLAN वर पाठवले जाते. तुम्ही कोणते RADIUS ॲट्रिब्युट्स तपासले पाहिजेत?

टीप: VLAN स्टीयरिंगसाठी तीन विशिष्ट IETF मानक ॲट्रिब्युट्स आवश्यक आहेत.

नमुना उत्तर पहा

तुम्ही हे सत्यापित केले पाहिजे की RADIUS Access-Accept संदेशामध्ये ॲट्रिब्युट 64 (Tunnel-Type) 13 वर, ॲट्रिब्युट 65 (Tunnel-Medium-Type) 6 वर सेट केले आहे आणि ॲट्रिब्युट 81 (Tunnel-Private-Group-ID) मध्ये योग्य VLAN ID स्ट्रिंग समाविष्ट आहे.

या मालिकेमध्ये पुढे वाचा

Active Directory किंवा ऑन-प्रिमाइसेस सर्व्हरशिवाय Enterprise WiFi प्रमाणीकरण

हे मार्गदर्शक ऑन-प्रिमाइसेस Active Directory, Windows NPS, किंवा RADIUS सर्व्हरशिवाय सुरक्षित WPA2/3-Enterprise WiFi प्रमाणीकरण कसे उपयोजित करावे हे स्पष्ट करते. यामध्ये क्लाउड आयडेंटिटी प्रोव्हाइडर्स आणि 802.1X मधील प्रोटोकॉल विसंगती, PEAP-MSCHAPv2 ऐवजी EAP-TLS चा वापर करण्याची कारणे, आणि Microsoft Entra ID, Okta, किंवा Google Workspace च्या विरोधात MDM-जारी केलेल्या प्रमाणपत्रांसह क्लाउड RADIUS कसे उपयोजित करावे याबद्दल माहिती दिली आहे. हे मार्गदर्शन ऑन-प्रिमाइसेस पायाभूत सुविधा काढून टाकण्यास तयार असलेल्या क्लाउड-फर्स्ट आणि जास्त Mac/Chromebook वापरणाऱ्या संस्थांमधील IT प्रमुखांसाठी लिहिले गेले आहे.

मार्गदर्शिका वाचा →

कर्मचारी नोकरी सोडून गेल्यानंतर WiFi ॲक्सेस कसा रद्द करावा

हा मार्गदर्शक कर्मचारी नोकरी सोडून गेल्यानंतर WiFi ॲक्सेस कसा रद्द करावा, असुरक्षित शेअर केलेल्या पासवर्डऐवजी प्रति-वापरकर्ता 802.1X प्रमाणपत्रे किंवा iPSK कसे वापरावे याबद्दल सविस्तर माहिती देतो. यामध्ये ISO 27001 आणि SOC 2 ऑडिट आवश्यकता पूर्ण करण्यासाठी SCIM द्वारे स्वयंचलित डीप्रोव्हिजनिंगचा समावेश आहे.

मार्गदर्शिका वाचा →

Google Workspace WiFi प्रमाणीकरण: Chromebook आणि LDAP इंटिग्रेशन

Google Workspace वातावरणात सुरक्षित WiFi डिप्लॉय करणाऱ्या IT ॲडमिनिस्ट्रेटर्ससाठी एक निश्चित तांत्रिक संदर्भ. या मार्गदर्शकामध्ये Google Admin Console द्वारे व्यवस्थापित Chromebooks वर 802.1X प्रमाणपत्र डिप्लॉयमेंट, RADIUS बॅकएंड म्हणून Google Secure LDAP इंटिग्रेशन आणि शिक्षण, मीडिया आणि एंटरप्राइझ ठिकाणांसाठी आर्किटेक्चर निर्णयांचा समावेश आहे. हे असुरक्षित शेअर केलेल्या PSKs कडून मजबूत, ओळख-आधारित नेटवर्क ॲक्सेस कंट्रोलकडे जाण्यासाठी टीम्सना मदत करण्यासाठी कृती करण्यायोग्य अंमलबजावणीच्या पायऱ्या, वास्तविक-जगातील केस स्टडीज आणि EAP पद्धतींची थेट तुलना प्रदान करते.

मार्गदर्शिका वाचा →