WPA2 Enterprise: संपूर्ण मार्गदर्शिका

Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे आणि आज आपण अशा एका महत्त्वाच्या इन्फ्रास्ट्रक्चर ट्रान्झिशनबद्दल बोलणार आहोत ज्याचा सामना प्रत्येक वाढत्या एंटरप्राइझला करावा लागतो: WPA2-Personal वरून WPA2-Enterprise कडे जाणे. तुम्ही IT डायरेक्टर, नेटवर्क आर्किटेक्ट किंवा रिटेल चेन, हॉटेल किंवा स्टेडियम असो - एखाद्या मोठ्या ठिकाणाच्या ऑपरेशन्सचे व्यवस्थापन करत असाल, तर शेअर केलेल्या WiFi पासवर्डचा त्रास तुम्हाला नक्कीच माहित असेल. तो व्हाईटबोर्डवर लिहिला जातो. कंत्राटदारांसोबत शेअर केला जातो. आणि जेव्हा एखादा कर्मचारी नोकरी सोडतो, तेव्हा शेकडो डिव्हाइसेसवर तो बदलणे हे एक ऑपरेशनल दुःस्वप्न असते. महत्त्वाचे म्हणजे, कंम्प्लायन्सच्या दृष्टिकोनातून विचार केल्यास, शेअर केलेल्या की (key) चा अर्थ शून्य जबाबदारी असा होतो. कोणत्याही विशिष्ट वेळी नेटवर्कवर कोण होते हे तुम्ही अचूकपणे सिद्ध करू शकत नसाल, तर तुम्ही कठोर PCI-DSS किंवा ISO 27001 ऑडिट उत्तीर्ण करू शकत नाही. येथेच WPA2-Enterprise चे काम सुरू होते. हे मूलभूतपणे दृष्टिकोन बदलते. शेअर केलेल्या की (key) द्वारे लोकेशनचे प्रमाणीकरण (authentication) करण्याऐवजी, तुम्ही वैयक्तिक ओळखीचे प्रमाणीकरण करता. प्रत्येक युझरला, प्रत्येक डिव्हाइसला स्वतःचे क्रेडेंशियल मिळते. आणि जेव्हा एखादी व्यक्ती नोकरी सोडते, तेव्हा तुम्ही त्यांचे खाते निष्क्रिय करता - आणि ते त्वरित नेटवर्कवरून बाहेर पडतात. कोणतीही पासवर्ड रोटेशन नाही. कोणतेही हेल्पडेस्क तिकीट नाही. कोणताही धोका नाही. चला थोड्या संदर्भापासून सुरुवात करूया. WPA2 - Wi-Fi प्रोटेक्टेड ॲक्सेस 2 - हे 2004 पासूनचे प्रमुख वायरलेस सुरक्षा मानक राहिले आहे. हे दोन प्रकारांमध्ये येते. WPA2-Personal, ज्याला PSK किंवा प्री-शेअर की देखील म्हटले जाते, जे बहुतेक घरे आणि लहान कार्यालये वापरतात. एक पासवर्ड, जो सर्वांद्वारे शेअर केला जातो. WPA2-Enterprise ही संस्थांसाठी तयार केलेली आवृत्ती आहे. हे मध्यवर्ती प्रमाणीकरण सर्व्हरद्वारे प्रत्येक युझर किंवा डिव्हाइस स्वतंत्रपणे प्रमाणित करण्यासाठी IEEE 802.1X मानकाचा वापर करते. आता, तांत्रिक आर्किटेक्चरचा सखोल अभ्यास करूया, कारण याचे योग्य उपयोजन करण्यासाठी हे समजून घेणे अत्यंत महत्त्वाचे आहे. WPA2-Enterprise हे एकत्र काम करणाऱ्या तीन घटकांवर अवलंबून असते. पहिले, सप्लिकंट (Supplicant) - म्हणजेच क्लायंट डिव्हाइस. लॅपटॉप, स्मार्टफोन, IoT सेन्सर. ही नेटवर्कवर प्रवेशाची विनंती करणारी घटक संस्था आहे. दुसरे, ऑथेंटिकेटर (Authenticator) - म्हणजेच तुमचा वायरलेस ॲक्सेस पॉइंट किंवा वायर्ड संदर्भात, मॅनेज्ड स्विच. हे नेटवर्कच्या सीमेवर असते आणि पॉलिसी लागू करते. जोपर्यंत मध्यवर्ती सर्व्हर हिरवा कंदील दाखवत नाही, तोपर्यंत हे प्रमाणीकरण विनंत्यांव्यतिरिक्त इतर सर्व ट्रॅफिक ब्लॉक करते. तिसरे, ऑथेंटिकेशन सर्व्हर (Authentication Server) - सामान्यतः एक RADIUS सर्व्हर. RADIUS म्हणजे रिमोट ऑथेंटिकेशन डायल-इन युझर सर्व्हिस. हा या संपूर्ण ऑपरेशनचा मेंदू आहे. याला ॲक्सेस पॉइंटकडून प्रमाणीकरण विनंती प्राप्त होते, Active Directory किंवा LDAP डिरेक्टरीसारख्या आयडेंटिटी स्टोअरच्या विरूद्ध क्रेडेंशियल वैध असल्याचे पडताळून पाहते आणि Access-Accept किंवा Access-Reject प्रतिसाद परत पाठवते. येथील महत्त्वाचा मुद्दा असा आहे: ॲक्सेस पॉइंटला तुमचा पासवर्ड कधीच दिसत नाही. तो केवळ क्लायंट आणि RADIUS सर्व्हर दरम्यान एनक्रिप्टेड ऑथेंटिकेशन देवाणघेवाणीचे प्रसारण करतो. ही कार्यांची विभागणीच या आर्किटेक्चरला स्केलेबल आणि ऑडिट करण्यायोग्य बनवते. आता, या फ्रेमवर्कमध्ये, प्रत्यक्ष क्रेडेंशियल देवाणघेवाण EAP - द एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉलद्वारे हाताळली जाते. आणि तुम्ही निवडलेली EAP पद्धत तुमची सुरक्षितता आणि तुमच्या उपयोजनाची जटिलता या दोन्ही गोष्टी परिभाषित करते. एंटरप्राइझ उपयोजनांमध्ये तुम्हाला वारंवार आढळणाऱ्या दोन पद्धती आहेत. पहिली म्हणजे PEAP, किंवा प्रोटेक्टेड EAP. ही सर्वात मोठ्या प्रमाणावर उपयोजित केली जाणारी पद्धत आहे. हे कसे कार्य करते ते येथे आहे: RADIUS सर्व्हर क्लायंट डिव्हाइसला डिजिटल प्रमाणपत्र सादर करतो. क्लायंट त्या प्रमाणपत्राची पडताळणी करतो - मूलतः हे सुनिश्चित करतो की तो खऱ्या नेटवर्कशी बोलत आहे आणि तो तोतया नाही. एकदा तो विश्वास प्रस्थापित झाला की, एक सुरक्षित TLS टनेल तयार केले जाते. त्या टनेलच्या आत, वापरकर्ता त्यांच्या मानक युझरनेम आणि पासवर्डसह - सामान्यतः त्यांचे ॲक्टिव्ह डिरेक्टरी क्रेडेंशियल्स वापरून ऑथेंटिकेट करतो. PEAP लोकप्रिय आहे कारण ते उपयोजित करणे तुलनेने सोपे आहे. वापरकर्त्यांना त्यांचे पासवर्ड आधीच माहित असतात. क्लायंट डिव्हाइसेसवर प्रमाणपत्रे वितरित करण्याची आवश्यकता नसते. तथापि, यामध्ये एक त्रुटी आहे: जर वापरकर्ता निष्काळजी असेल आणि त्याने बनावट सर्व्हर प्रमाणपत्र स्वीकारले, तर ते एका खोट्या ॲक्सेस पॉइंटशी कनेक्ट होऊ शकतात - ज्याला आपण Evil Twin हल्ला म्हणतो - आणि त्यांचे क्रेडेंशियल्स चोरले जाऊ शकतात. दुसरी पद्धत म्हणजे EAP-TLS, आणि ही उच्च सुरक्षिततेच्या वातावरणासाठी सुवर्ण मानक आहे. EAP-TLS ला परस्पर प्रमाणपत्र प्रमाणीकरण आवश्यक आहे. सर्व्हर आणि क्लायंट डिव्हाइस दोन्हीकडे वैध प्रमाणपत्रे असणे आवश्यक आहे. ट्रान्झिटमध्ये कोणतेही पासवर्ड नसतात. चोरी करण्यासाठी कोणताही पासवर्ड नसल्यामुळे, फिशिंगचे हल्ले पूर्णपणे निकामी होतात. या बदल्यात उपयोजनाची जटिलता वाढते. क्लायंट प्रमाणपत्रे जारी करण्यासाठी आणि व्यवस्थापित करण्यासाठी तुम्हाला पब्लिक की इन्फ्रास्ट्रक्चर - PKI - ची आवश्यकता आहे. आणि ती प्रमाणपत्रे डिव्हाइसेसवर शांतपणे पुश करण्यासाठी तुम्हाला मोबाईल डिव्हाइस मॅनेजमेंट प्लॅटफॉर्मची आवश्यकता आहे. जर तुम्ही वापरकर्त्यांवर स्वतः प्रमाणपत्रे इंस्टॉल करण्यासाठी अवलंबून असाल, तर तुमचा हेल्पडेस्क ओव्हरलोड होईल. परंतु सुरक्षिततेला सर्वाधिक प्राधान्य असणाऱ्या वातावरणासाठी - वित्तीय सेवा, सरकार, आरोग्य सेवा - EAP-TLS हा एकमेव सुरक्षित पर्याय आहे. तर, तुम्ही याची प्रत्यक्ष अंमलबजावणी कशी करता? मी तुम्हाला मुख्य टप्प्यांमधून घेऊन जातो. पहिला टप्पा म्हणजे पायाभूत सुविधांची सज्जता. तुमचा RADIUS सर्व्हर आता एक अत्यंत महत्त्वाचा घटक आहे. तो बंद पडल्यास, कोणालाही WiFi मिळणार नाही. ही ऐच्छिक रिडंडन्सी नाही - तर ती अत्यंत आवश्यक आहे. रिटेल चेन किंवा हॉटेल समूहासारख्या वितरित वातावरणासाठी, क्लाउड-होस्टेड RADIUS सेवांचा विचार करा. त्या अंगभूत रिडंडन्सी देतात आणि प्रत्येक साइटवर ऑन-प्रिमाइसेस सर्व्हर व्यवस्थापित करण्याची आवश्यकता दूर करतात. तुमचा RADIUS सर्व्हर तुमच्या केंद्रीय ओळख प्रदात्याशी समाकलित असल्याची खात्री करा. बऱ्याच संस्थांसाठी, ते Azure ॲक्टिव्ह डिरेक्टरी किंवा LDAP द्वारे ऑन-प्रिमाइसेस ॲक्टिव्ह डिरेक्टरी असते. जर तुम्ही EAP-TLS चा वापर करत असाल, तर दुसरा टप्पा म्हणजे सर्टिफिकेट मॅनेजमेंट आहे. प्रत्येक गोष्ट ऑटोमेट करा. कॉर्पोरेटच्या मालकीच्या डिव्हाइसेसवर कोणतीही माहिती न दाखवता सर्टिफिकेट्स पाठवण्यासाठी तुमच्याकडे उपलब्ध असलेले कोणतेही MDM प्लॅटफॉर्म - जसे की Intune, Jamf - वापरा. BYOD परिस्थितीसाठी, ऑनबोर्डिंग पोर्टलचा विचार करा. SecureW2 किंवा Foxpass सारखी उत्पादने वैयक्तिक डिव्हाइसेससाठी कॉन्फिगरेशन प्रोफाइल इन्स्टॉलेशन ऑटोमेट करू शकतात, ज्यामुळे हेल्पडेस्कवरील कामाचा ताण लक्षणीयरीत्या कमी होतो. तिसरा टप्पा म्हणजे प्रत्यक्ष रोलआउट. एकाच वेळी संपूर्ण सिस्टीम बदलू नका. मी या गोष्टीवर कितीही भर दिला तरी तो कमीच आहे. सोमवारी सकाळी PSK नेटवर्क बंद करून सर्व काही सुरळीत चालेल अशी अपेक्षा ठेवू नका. एका पायलट ग्रुपपासून सुरुवात करा - यासाठी IT टीम हा सर्वात योग्य पर्याय आहे. त्यानंतर एका मजल्यापर्यंत, एका विभागापर्यंत आणि मग एका साईटपर्यंत याचा विस्तार करा. या टप्प्यादरम्यान तुमच्या RADIUS लॉग्सचे बारकाईने निरीक्षण करा. ऑथेंटिकेशन टाईमआउट्स सहसा तुमच्या ॲक्सेस पॉईंट्स आणि RADIUS सर्व्हरमधील नेटवर्क राउटिंगची समस्या दर्शवतात. सर्टिफिकेट ट्रस्ट एरर्सचा अर्थ असा आहे की तुमचे CA रूट सर्टिफिकेट एंडपॉईंट्सवर योग्यरित्या डिप्लॉय केलेले नाही. आता मी WPA2-Enterprise च्या सर्वात शक्तिशाली आणि सर्वात कमी वापरल्या जाणाऱ्या फीचर्सपैकी एकाबद्दल बोलतो: Dynamic VLAN Assignment. एका PSK वातावरणात, तुम्ही सहसा वेगवेगळ्या युझर ग्रुप्सना वेगळे करण्यासाठी मल्टिपल SSIDs ब्रॉडकास्ट करता. एका SSID वर कर्मचारी, दुसऱ्यावर पॉईंट-ऑफ-सेल टर्मिनल्स आणि तिसऱ्यावर IoT डिव्हाइसेस. प्रत्येक अतिरिक्त SSID तुमच्या रेडिओ फ्रिक्वेन्सी वातावरणावर अतिरिक्त ताण वाढवतो. गर्दीच्या रिटेल स्टोअरमध्ये किंवा स्टेडियममध्ये, हे RF प्रदूषण खरोखरच परफॉर्मन्स खराब करू शकते. WPA2-Enterprise आणि Dynamic VLAN Assignment च्या सहाय्याने, तुम्ही एकच SSID ब्रॉडकास्ट करू शकता आणि प्रत्येक डिव्हाइस कोणत्या नेटवर्क सेगमेंटवर जाईल हे ठरवण्याचे काम RADIUS सर्व्हरवर सोडू शकता. जेव्हा एखादा कॅशियर ऑथेंटिकेट करतो, तेव्हा RADIUS सर्व्हर ॲक्सेस पॉईंटला त्या सेशनला VLAN 10 वर - म्हणजेच PCI-compliant सेगमेंटवर ठेवण्याचे निर्देश देणारे ॲट्रिब्युट्स पाठवतो. जेव्हा स्टोअर मॅनेजर ऑथेंटिकेट करतो, तेव्हा ते VLAN 20 वर - म्हणजेच कॉर्पोरेट सेगमेंटवर जातात. एकच SSID, वेगवेगळे नेटवर्क, आणि या सर्वांवर केवळ ओळखीद्वारे नियंत्रण ठेवले जाते. हे अतिशय सोपे, स्केलेबल आणि एक महत्त्वपूर्ण ऑपरेशनल सुलभता आणणारे आहे. विशेषतः व्हेन्यू ऑपरेटर्ससाठी - हॉटेल्स, कॉन्फरन्स सेंटर्स, स्टेडियम्स - आणखी एक गोष्ट लक्षात घेण्यासारखी आहे: गेस्ट नेटवर्क. WPA2-Enterprise हे केवळ कर्मचाऱ्यांच्या नेटवर्कसाठीच नाही तर व्यवस्थापित गेस्ट ॲक्सेससाठी देखील वाढत्या प्रमाणात उपयुक्त ठरत आहे. Purple सारखे प्लॅटफॉर्म्स सुरक्षित WiFi ॲक्सेससाठी आयडेंटिटी मॅनेजमेंट प्रदान करतात. Connect लायसन्स अंतर्गत, Purple एक मोफत आयडेंटिटी प्रोव्हायडर म्हणून काम करते आणि OpenRoaming ला सपोर्ट करते - हे एक असे मानक आहे जे युझर्सना पुन्हा ऑथेंटिकेट न करता सहभागी नेटवर्क दरम्यान अखंडपणे आणि सुरक्षितपणे रोमिंग करण्याची परवानगी देते. कॉन्फरन्स डेलिगेट्स किंवा लॉयल्टी प्रोग्राम मेंबर्ससारख्या वारंवार येणाऱ्या अभ्यागतांसाठी हे विशेषतः प्रभावी आहे. आता मी सर्वात सामान्य अपयशाच्या कारणांबद्दल सांगतो, कारण काय चूक होऊ शकते हे माहीत असणे ही अर्धी लढाई जिंकण्यासारखे आहे. पहिला म्हणजे अविश्वासू सर्व्हर प्रमाणपत्र चेतावणी (untrusted server certificate warning). जर क्लायंट्सना सर्व्हर प्रमाणपत्राची पडताळणी करता येत नसल्याचे प्रॉम्ट दिसले, तर याचा अर्थ तुमच्या RADIUS सर्व्हरचे प्रमाणपत्र एकतर कालबाह्य झाले आहे, क्लायंट्सवर रूट CA तैनात न करता स्व-स्वाक्षरीकृत (self-signed) केले आहे, किंवा डिव्हाइसचा विश्वास नसलेल्या CA कडून जारी केले आहे. यावरील उपाय: डिव्हाइसच्या विश्वसनीय रूट स्टोअरमध्ये आधीपासून असलेल्या सार्वजनिक CA कडील प्रमाणपत्र वापरा, किंवा तुमचे अंतर्गत CA रूट ग्रुप पॉलिसी किंवा MDM द्वारे तैनात केल्याची खात्री करा. दुसरा म्हणजे RADIUS टाईमआउट्स. हे क्लायंट्स शेवटी अपयशी होण्यापूर्वी ऑथेंटिकेशन स्क्रीनवर अडकून राहण्याच्या स्वरूपात दिसून येते. याचे कारण जवळजवळ नेहमीच नेटवर्क पाथची समस्या असते - अ‍ॅक्सेस पॉईंट RADIUS सर्व्हरपर्यंत पोहोचू शकत नाही, किंवा फायरवॉलद्वारे प्रतिसाद नाकारला जात असतो. UDP पोर्ट 1812 आणि 1813 साठी तुमचे फायरवॉल नियम तपासा, जे मानक RADIUS ऑथेंटिकेशन आणि अकाउंटिंग पोर्ट्स आहेत. तिसरा म्हणजे IoT चा प्रश्न. अनेक जुनी डिव्हाइसेस - प्रिंटर, HVAC नियंत्रक, अ‍ॅक्सेस कंट्रोल रीडर्स - फक्त 802.1X ला सपोर्ट करत नाहीत. तुम्हाला यांच्यासाठी एक स्वतंत्र धोरण ठेवावे लागेल. पर्यायांमध्ये MAC ऑथेंटिकेशन बायपास समाविष्ट आहे, जिथे डिव्हाइस क्रेडेंशियल्सऐवजी त्याच्या MAC अ‍ॅड्रेसचा वापर करून ऑथेंटिकेट होते, किंवा मल्टी-PSK, जिथे प्रत्येक डिव्हाइसला एक युनिक प्री-शेअर्ड की मिळते. यापैकी कोणताही पर्याय 802.1X इतका सुरक्षित नाही, परंतु जुन्या हार्डवेअरसाठी हे व्यावहारिक उपाय आहेत. आता, बिझनेस इम्पॅक्ट आणि ROI बद्दल बोलूया, कारण हा केवळ एक सुरक्षा प्रकल्प नाही - तर हा एक ऑपरेशनल कार्यक्षमता प्रकल्प आहे. सर्वात त्वरित ROI पासवर्ड रोटेशनची आवश्यकता काढून टाकल्याने मिळतो. प्रत्येक वेळी सामायिक केलेला WiFi पासवर्ड बदलल्यास, IT टीमला नेटवर्कवरील प्रत्येक डिव्हाइस अपडेट करावे लागते. 50 लोकेशन्स असलेल्या रिटेल चेनमध्ये, हे संभाव्यतः हजारो डिव्हाइस अपडेट्स असू शकतात. WPA2-Enterprise सह, एखाद्या कर्मचाऱ्याला डीप्रोव्हिजन करणे ही Active Directory मधील एक साधी कृती आहे. दुसरा ROI ड्रायव्हर म्हणजे अनुपालन (compliance). PCI-DSS च्या अधीन असलेल्या कोणत्याही संस्थेसाठी - म्हणजेच कार्ड पेमेंट प्रक्रिया करणाऱ्या कोणासाठीही - प्रति-वापरकर्ता नेटवर्क अ‍ॅक्सेस लॉग्स दाखवण्याची क्षमता असणे हा ऑडिटचा एक मोठा फायदा आहे. हेच GDPR ला देखील लागू होते, जिथे वैयक्तिक डेटावर प्रक्रिया करणाऱ्या प्रणालींवर नियंत्रित प्रवेश असल्याचे सिद्ध करणे वाढत्या प्रमाणात बारकाईने तपासले जाते. तिसरा म्हणजे नेटवर्क इंटेलिजन्स. प्रति-वापरकर्ता ऑथेंटिकेशन तुमच्या नेटवर्क व्यवस्थापन प्लॅटफॉर्ममध्ये समृद्ध डेटा पुरवते. नेटवर्कवर नेमके कोणते डिव्हाइसेस आहेत, ते कधी कनेक्ट झाले, त्यांनी किती बँडविड्थ वापरली आणि कोणत्या लोकेशनवरून वापरली हे तुम्ही अचूक पाहू शकता. क्षमता नियोजनासाठी आणि असामान्य वर्तन शोधण्यासाठी हा डेटा अत्यंत मोलाचा आहे. मला वारंवार विचारल्या जाणाऱ्या प्रश्नांवर झटपट प्रश्नोत्तराने (Q&A) समारोप करू द्या. आम्ही आमच्या सध्याच्या PSK नेटवर्कसह WPA2-Enterprise चालवू शकतो का? नक्कीच, आणि संक्रमणादरम्यान तुम्ही ते चालवले पाहिजे. ते समांतर चालवा, बॅचेसमध्ये वापरकर्ते स्थलांतरित करा, आणि स्थलांतर पूर्ण झाल्यावर PSK नेटवर्क बंद करा. आम्हाला आमचे अ‍ॅक्सेस पॉईंट्स बदलण्याची आवश्यकता आहे का? तशी गरज नाही. Cisco, Aruba, Ruckus आणि Ubiquiti सारख्या विक्रेत्यांचे बहुतेक एंटरप्राइझ-ग्रेड अ‍ॅक्सेस पॉईंट्स 802.1X ला सपोर्ट करतात. तुमची फर्मवेअर आवृत्ती तपासा आणि ती सद्यस्थितीतील असल्याची खात्री करा. WPA3-Enterprise बद्दल काय? आपण थांबायला हवे का? WPA3-Enterprise उच्च - सुरक्षिततेच्या वातावरणासाठी 192-bit सुरक्षा मोडसह अधिक मजबूत क्रिप्टोग्राफिक आवश्यकता जोडते. आपण आज नवीन पायाभूत सुविधा तैनात करत असल्यास, WPA3 ला सपोर्ट करणारे हार्डवेअर निवडा. परंतु परिपूर्णतेच्या नादात चांगल्या गोष्टीला सोडू नका - WPA2-Enterprise ही PSK पेक्षा खूप मोठी सुरक्षा सुधारणा आहे आणि सध्या हेच योग्य पाऊल आहे. सामान्य उपयोजनासाठी (deployment) किती वेळ लागतो? विद्यमान Active Directory असलेल्या सिंगल-साईट संस्थेसाठी, मूलभूत PEAP उपयोजन काही दिवसांत पूर्ण केले जाऊ शकते. MDM इंटिग्रेशनसह मल्टी-साईट EAP-TLS उपयोजनासाठी पायलट फेजसह साधारणपणे चार ते आठ आठवडे लागतात. आजच्या ब्रीफिंगमधील मुख्य मुद्दे थोडक्यात सांगायचे तर. एक: WPA2-Enterprise वैयक्तिक ओळखी प्रमाणित करते, सामायिक केलेली ठिकाणे नाही. हा पायाभूत बदल आहे. दोन: BYOD आणि क्रेडेंशियल-आधारित वातावरणासाठी PEAP निवडा; उच्च-सुरक्षा, व्यवस्थापित-डिव्हाइस (managed-device) वातावरणासाठी EAP-TLS निवडा. तीन: तुमचे RADIUS सर्व्हर ही अत्यंत महत्त्वाची पायाभूत सुविधा आहे - पहिल्या दिवसापासूनच यामध्ये रेडंडन्सी तयार करा. चार: कडक नेटवर्क विभाजन राखून तुमचे RF वातावरण सोपे करण्यासाठी Dynamic VLAN Assignment वापरा. पाच: IoT डिव्हाइसेससाठी स्वतंत्रपणे नियोजन करा - ते 802.1X ला सपोर्ट करणार नाहीत. सहा: कधीही एकदम बदल (flash cutover) करू नका. तुमचे रोलआउट टप्प्याटप्प्याने करा आणि RADIUS लॉग्सचे बारकाईने निरीक्षण करा. संपूर्ण अंमलबजावणी मार्गदर्शक, आर्किटेक्चर आकृत्या आणि सविस्तर उदाहरणांसाठी, Purple च्या वेबसाइटवरील संपूर्ण लिखित मार्गदर्शक पहा. ऐकल्याबद्दल धन्यवाद, आणि तुमच्या उपयोजनासाठी शुभेच्छा.