VLAN सेगमेंटेशन गाइड: अपना नेटवर्क डिज़ाइन करें, मैप करें और टेस्ट करें

एक नेटवर्क में एक गेस्ट WiFi नाम, एक स्टाफ नेटवर्क और डिवाइस नेटवर्क का एक कलेक्शन हो सकता है, फिर भी एक गेस्ट लैपटॉप किसी स्टाफ सर्वर से सिर्फ एक पर्मिसिव नियम दूर रह जाता है। VLAN लिस्ट दिखने में सुव्यवस्थित लग सकती है, लेकिन उपयोगी सवाल यह है कि क्या कोई डिवाइस किसी ऐसी जगह तक पहुँच सकता है जहाँ उसे नहीं पहुँचना चाहिए।

VLAN सेग्मेंटेशन आपको साझा स्विचिंग इंफ्रास्ट्रक्चर पर ट्रैफ़िक को अलग करने का एक व्यावहारिक तरीका प्रदान करता है। यह यह साबित नहीं करता है कि अलगाव सुरक्षित है। समूहों और उनके आवश्यक कनेक्शनों से शुरुआत करें, जहाँ संभव हो पहचान के आधार पर डिवाइस असाइन करें, और फिर उन पाथ्स का परीक्षण करें जिन्हें अनुमति दी जानी चाहिए और जिन्हें ब्लॉक किया जाना चाहिए।

विषय सूची

• गेस्ट, स्टाफ और डिवाइसों के लिए एक संदर्भ VLAN मैप
• अपनी एसेट इन्वेंट्री से सेगमेंट कैसे डिज़ाइन करें
• RADIUS के माध्यम से VLANs में पहचानों का मैपिंग करना
  • जुड़ने (join) के दौरान क्या होता है
  • लोगों और डिवाइसों पर मैपिंग लागू करें
• सेगमेंट नियम जो लेटरल मूवमेंट को सीमित करते हैं
• डिवाइसों और लोगों के बदलने पर VLAN असाइनमेंट को सटीक बनाए रखना
• यह परीक्षण करना कि सेग्मेंटेशन वास्तव में बना हुआ है
  • तीन जांचों का उपयोग करें, फिर परिवर्तनों का पुनः परीक्षण करें
• सेगमेंट मैप की पुष्टि करें और एक साइट का पायलट परीक्षण करें

गेस्ट, स्टाफ और डिवाइसों के लिए एक संदर्भ VLAN मैप

एक VLAN एक भौतिक स्विचिंग फैब्रिक को अलग-अलग ब्रॉडकास्ट डोमेन में विभाजित करता है, ताकि एक लॉजिकल नेटवर्क में मौजूद डिवाइस स्वचालित रूप से दूसरे में न हों। IEEE 802.1Q ईथरनेट फ्रेम को एक VLAN आइडेंटिफायर, या VID के साथ टैग करता है, जिसका उपयोग स्विच ट्रैफिक को सही वर्चुअल LAN से जुड़े रखने के लिए करते हैं, जैसा कि IEEE 802.1Q मानक में वर्णित है।

यहाँ आगंतुकों, कर्मचारियों, भवन उपकरणों, ठेकेदारों और किरायेदारों वाले स्थल के लिए एक शुरुआती नक्शा है। VLAN संख्याएँ उदाहरण असाइनमेंट हैं, सार्वभौमिक आवश्यकताएँ नहीं। ठेकेदार और किरायेदार ID 50 और 60 के रूप में भरे गए हैं ताकि उन समूहों के लिए स्थान आरक्षित करने का एक तरीका दिखाया जा सके जिन्हें अपने स्वयं के सेगमेंट की आवश्यकता है।

Segment	Network	VLAN	How devices join	Reachable from this VLAN
अतिथि और BYOD	ओपन	10	कैप्टिव पोर्टल या Passpoint, सहमति दर्ज होने के साथ	केवल इंटरनेट, क्लाइंट आइसोलेशन चालू
कर्मचारियों के लैपटॉप और फोन	सुरक्षित	20	MDM के माध्यम से EAP-TLS, या Entra ID, Okta या Google Workspace के माध्यम से SSO	केवल नामित आंतरिक सर्वर और प्रिंटर
लॉक, थर्मोस्टैट, लीक सेंसर	xPSK	40	प्रति डिवाइस एक MAC-बाउंड कुंजी	केवल विक्रेता क्लाउड, अतिथियों की पहुंच से बाहर
रखरखाव ठेकेदार	xPSK	50	समय-सीमित कुंजी, MDM की आवश्यकता नहीं है	केवल काम के लिए आवश्यक सिस्टम, काम के अंतिम दिन पहुंच समाप्त हो जाती है
किराएदार या रियायतें	xPSK	60	प्रति किराएदार एक कुंजी	खुद का VLAN, खरीदारों और केंद्र के सिस्टम से अलग

इस तालिका को लक्षित पहुंच के मैप के रूप में देखें, न कि इस बात के प्रमाण के रूप में कि पहुंच लिखित रूप में काम करती है। VLAN लॉजिकल पृथक्करण प्रदान करते हैं और बढ़ते नेटवर्क को संचालित करना आसान बना सकते हैं, लेकिन VID स्वयं एक सटीक सुरक्षा नीति नहीं बनाता है। ट्रंकिंग, एक्सेस-पोर्ट असाइनमेंट, राउटिंग और बाउंड्री नियम सभी डिज़ाइन से मेल खाने चाहिए।

VLANs एक सामान्य आधार बने हुए हैं: 352 स्वास्थ्य सेवा और विनिर्माण सुरक्षा नेताओं के एक Omdia सर्वेक्षण में, 64% ने VLANs का उपयोग किया या उपयोग करने की योजना बनाई। उसी सर्वेक्षण में पाया गया कि लगभग 50% ने पिछले वर्ष में लेटरल मूवमेंट से जुड़ी एक घटना का अनुभव किया था, जो एक अनुस्मारक है कि नेटवर्क ज़ोन को VLAN लेबल से परे नियंत्रण की आवश्यकता होती है (Omdia की माइक्रोसेगमेंटेशन रिपोर्ट)।

किसी भी स्विच कॉन्फ़िगरेशन को छूने से पहले, मालिकों और सुलभ प्रणालियों के साथ इस तालिका का अपना संस्करण तैयार करें।

अपनी एसेट इन्वेंट्री से सेगमेंट कैसे डिज़ाइन करें

उस सवाल से शुरुआत करें जिसे टीमें अक्सर छोड़ देती हैं: किसको किससे बात करनी चाहिए? VLAN नंबर बाद में आते हैं। यह जानने से पहले कि कौन से डिवाइस मौजूद हैं और उन्हें कहाँ तक पहुँचने की आवश्यकता है, IDs असाइन करने से ऐसे सेग्मेंट्स बनते हैं जिन्हें सही ठहराना कठिन और बनाए रखना अधिक कठिन होता है।

नेटवर्क इंफ्रास्ट्रक्चर को सुरक्षित करने के लिए CISA के दिशानिर्देश समान उद्देश्यों वाले उपकरणों को समूहित करने और विभिन्न सुरक्षा आवश्यकताओं वाले घटकों को अलग करने की सिफारिश करते हैं। उच्च-जोखिम वाले वातावरण के लिए, इसका अर्थ लेयर 3 एक्सेस कंट्रोल और एप्लिकेशन-अवेयर फ़ायरवॉल के साथ अलग-अलग IT और ऑपरेशनल-तकनीक VLAN हो सकते हैं।

इन्वेंट्री को एक कार्यशील डिज़ाइन में बदलने के लिए इस क्रम का उपयोग करें:

1. डिवाइस और उनके स्वामियों की इन्वेंट्री बनाएं। एंडपॉइंट, सिस्टम और मैनेजमेंट इंटरफेस की सूची बनाएं, जिसमें कैमरा, टिल (कैश काउंटर), बिल्डिंग कंट्रोल और नेटवर्क उपकरण शामिल हैं। रिकॉर्ड करें कि प्रत्येक एसेट का मालिक कौन है और इसकी एक्सेस को कौन स्वीकृत कर सकता है। अज्ञात डिवाइस अक्सर वहीं पहुंच जाते हैं जहां कोई उन्हें ऑनलाइन ला सकता है, और इस प्रकार वे ऐसी एक्सेस हासिल कर लेते हैं जो किसी का इरादा नहीं था।

2. उद्देश्य और जोखिम के अनुसार ग्रुप बनाएं। गेस्ट डिवाइस, कर्मचारी एंडपॉइंट, पेमेंट सिस्टम, कैमरा, बिल्डिंग कंट्रोल, सर्वर और नेटवर्क मैनेजमेंट को अलग करें। समान व्यावसायिक कार्य एक ज़ोन साझा कर सकते हैं जब उनकी एक्सेस आवश्यकताएं और जोखिम तुलनीय हों।

3. न्यूनतम वैध फ़्लो रिकॉर्ड करें। प्रत्येक आवश्यक कनेक्शन के लिए, स्रोत, गंतव्य, प्रोटोकॉल और पोर्ट कैप्चर करें। यदि टीम यह नहीं बता सकती कि किसी फ़्लो की आवश्यकता क्यों है, तो इसे अनुमति देने वाले अपवाद के बजाय हटाने के उम्मीदवार के रूप में देखें।

4. प्रति ग्रुप एक VLAN और IP सबनेट बनाएं। जहां वातावरण की आवश्यकता हो, वहां उच्च-जोखिम वाली ऑपरेशनल टेक्नोलॉजी को IT से अलग रखें। सीमाओं का चयन व्यावसायिक और सुरक्षा आवश्यकताओं को दर्शाने के लिए करें, न कि किसी स्विच के भौतिक स्थान को।

5. इंटर-VLANRouting को एक नियंत्रित सीमा पर रखें। फ़ायरवॉल या Layer 3 कंट्रोल पॉइंट के माध्यम से रूट करें जहां टीम नीति लागू कर सकती है। केवल इसलिए राउटिंग को खुला न छोड़ें क्योंकि VLANs के नाम अलग-अलग हैं।

6. पहले अस्वीकार करें, फिर सीमित अपवाद जोड़ें। प्रत्येक स्वीकृत नियम को आवश्यक प्रोटोकॉल, पोर्ट, दिशा और गंतव्य तक सीमित रखें। प्रत्येक अपवाद के लिए स्वामी की स्वीकृति रिकॉर्ड करें।

7. प्रारंभ से ही सीमा निर्णयों को लॉग करें। अनुमति प्राप्त और अस्वीकृत फ़्लो को दृश्यमान बनाएं ताकि टीमें समीक्षा कर सकें कि नियम क्या करते हैं।

उदाहरण के लिए, एक रेस्तरां समूह पॉइंट-ऑफ़-सेल टर्मिनलों को किचन डिस्प्ले से अलग कर सकता है। यदि एकमात्र आवश्यक इंटरैक्शन एक POS सिस्टम द्वारा एक पोर्ट पर कार्ड टर्मिनल को ट्रांजेक्शन भेजना है, तो दो VLAN के बीच सामान्य एक्सेस खोलने के बजाय उस विशिष्ट पाथ को अनुमति दें।

एक नंबरिंग स्कीम पॉलिसी को पढ़ना आसान बना सकती है। इसका एक उदाहरण क्षेत्र (ज़ोन) के अनुसार रेंज रिज़र्व करना है, जैसे अतिथियों के लिए 10, कर्मचारियों के लिए 20 और उपकरणों के लिए 40, जिससे बाद के समूहों के लिए जगह बची रहे। सबनेट के तीसरे ऑक्टेट को उसके VLAN ID से मिलाना भी फ़ायरवॉल नियमों को स्कैन करना आसान बना सकता है, बशर्ते वह स्कीम मौजूदा एड्रेस प्लान के अनुकूल हो।

आज आप जिस नियम की समीक्षा कर सकते हैं, उसके लिए पूछें: क्या मैं इसके पीछे के मालिक और व्यावसायिक प्रवाह का नाम बता सकता हूँ? यदि नहीं, तो इसे स्वीकृत डिज़ाइन में न रखें।

RADIUS

के माध्यम से पहचानों को VLANs से मैप करना

किसी डिवाइस को साझा वायरलेस नेटवर्क पर हर दूसरे डिवाइस की तरह एक ही VLAN में शामिल होने की आवश्यकता नहीं है। पहचान-आधारित (आइडेंटिटी-बेस्ड) असाइनमेंट के साथ, ऑथेंटिकेशन नेटवर्क प्लेसमेंट निर्धारित करता है।

जुड़ने (join) के दौरान क्या होता है

एक सामान्य 802.1X जॉइन एक स्पष्ट अनुक्रम का पालन करता है। डिवाइस एक्सेस पॉइंट या स्विच के माध्यम से एक ऑथेंटिकेशन अनुरोध भेजता है, और नेटवर्क इसे RADIUS को फॉरवर्ड कर देता है। RADIUS पहचान की जांच करता है और, यदि वह अनुरोध स्वीकार करता है, तो VLAN एट्रिब्यूट वापस लौटाता है। इसके बाद स्विच या एक्सेस पॉइंट उस सेशन को असाइन किए गए VLAN पर रख देता है।

VLAN की पहचान करने के लिए आमतौर पर उपयोग किए जाने वाले एट्रिब्यूट हैं - Tunnel-Type को VLAN पर सेट किया गया है, Tunnel-Medium-Type को 802 पर सेट किया गया है और Tunnel-Private-Group-ID को VLAN संख्या पर सेट किया गया है। उन मानों को नेटवर्क में कॉन्फ़िगर किए गए ID से मेल खाना चाहिए; गलत एट्रिब्यूट के साथ जोड़ी गई एक सही पहचान डिवाइस को गलत सेगमेंट में डाल सकती है।

मैपिंग को लोगों और डिवाइसों पर लागू करें

कर्मचारियों के लिए, EAP-TLS मोबाइल डिवाइस प्रबंधन के माध्यम से जारी किए गए प्रमाणपत्रों का उपयोग कर सकता है। एक प्रबंधित कर्मचारी लैपटॉप ऑथेंटिकेशन के दौरान अपना प्रमाणपत्र प्रस्तुत करता है, और पहचान नीति इसे कर्मचारी VLAN में रख सकती है। यह पहुँच के आधार के रूप में साझा WiFi पासवर्ड पर निर्भर रहने से बचाता है।

दूसरा पाथ स्टाफ पहचान प्रदाता के साथ शुरू होता है। Entra ID या Okta से समूह सदस्यता को SAML और SCIM के माध्यम से पास किया जा सकता है ताकि, उदाहरण के लिए, वित्त समूह के एक सदस्य को स्टाफ VLAN प्राप्त हो जबकि एक ठेकेदार समूह को उसका अपना VLAN प्राप्त हो। इस सेटअप के एक्सेस-कंट्रोल पक्ष को गहराई से समझने के लिए, WiFi एक्सेस कंट्रोल और पहचान-आधारित एक्सेस देखें।

कुछ डिवाइस 802.1X नहीं चला सकते। उनके लिए, एक MAC-बाउंड कुंजी एक व्यक्तिगत क्रेडेंशियल और एक परिभाषित VLAN असाइनमेंट प्रदान कर सकती है। जहाँ आपको उसी नेटवर्क का उपयोग करने वाले अन्य डिवाइस के एक्सेस को बदले बिना एक डिवाइस को निरस्त करने की आवश्यकता हो, वहाँ प्रति-डिवाइस कुंजी का उपयोग करें।

जब एनवायरनमेंट को आवश्यकता हो, तो क्रेडेंशियल एक्सेस और डिवाइस पोस्चर जॉइन निर्णय का हिस्सा होने चाहिए। यदि कोई डिवाइस किसी आवश्यक नियम में विफल रहता है, तो उसे कथित तौर पर सुरक्षित VLAN पर रखने और यह मानने के बजाय कि जोखिम नियंत्रित है, प्रमाणीकरण (authentication) के समय ही अस्वीकार कर दें।

RADIUS को कॉन्फ़िगर करने से पहले ग्रुप-टू-एट्रिब्यूट-टू-VLAN मैपिंग को एक तालिका में लिखें। फॉलबैक व्यवहार को भी शामिल करें: यदि RADIUS अप्राप्य है, तो एक मौजूदा सत्र कनेक्ट रहता है, लेकिन नए जुड़ाव स्टाफ VLAN पर लैंड करने के बजाय बंद (फेल क्लोज्ड) हो जाते हैं। एक अक्षम खाते को उसके अगले जुड़ाव पर अस्वीकार कर दिया जाना चाहिए, जिसमें प्रमाणीकरण लॉग यह रिकॉर्ड करता है कि कब और क्यों। VLAN असाइनमेंट लॉगिन के समय होता है; यह सत्र के दौरान तब तक स्वचालित रूप से पुनर्मूल्यांकित नहीं होता है जब तक कि आप ऐसा करने के लिए नीति नहीं जोड़ते हैं।

सेगमेंट के नियम जो पार्श्व आवाजाही (lateral movement) को सीमित करते हैं

एक विश्वसनीय VLAN में स्थित उपकरण केवल इसलिए विश्वसनीय नहीं हो जाता कि वह कहाँ जुड़ा है। NIST नेटवर्क सेग्रिमेंटेशन को ज़ीरो ट्रस्ट से अलग करता है: VLANs सबनेट-स्तरीय ज़ोन बनाते हैं, जबकि एक्सेस नीतियां अक्सर होस्ट के समूहों के लिए गेटवे पर लागू की जाती हैं। ज़ीरो ट्रस्ट नेटवर्क स्थान के आधार पर अंतर्निहित एक्सेस प्रदान नहीं करता है (NIST Special Publication 800-215)।

कार्य नीति के रूप में फ़्लो मैट्रिक्स का उपयोग करें। शर्तें उतनी ही महत्वपूर्ण हैं जितना कि अनुमति देने या अस्वीकार करने का निर्णय।

स्रोत	गंतव्य	नियम	शर्त
अतिथि (VLAN 10)	इंटरनेट	अनुमति दें	क्लाइंट आइसोलेशन पीयर डिवाइसों को ब्लॉक करता है
अतिथि (VLAN 10)	कर्मचारी (VLAN 20)	अस्वीकार करें	कोई रूट नहीं, डिफ़ॉल्ट रूप से अस्वीकार करें
कर्मचारी (VLAN 20)	अतिथि (VLAN 10)	अस्वीकार करें	कोई रूट नहीं, डिफ़ॉल्ट रूप से अस्वीकार करें
कर्मचारी (VLAN 20)	नामित फ़ाइल सर्वर	अनुमति दें	केवल आवश्यक पोर्ट
डिवाइस (VLAN 40)	विक्रेता क्लाउड	अनुमति दें	केवल आउटबाउंड, निश्चित गंतव्यों के लिए
डिवाइस (VLAN 40)	कर्मचारी (VLAN 20)	अस्वीकार करें	नियंत्रक तक एक स्वीकृत गेटवे के माध्यम से पहुंचा जाता है
ठेकेदार	भवन नियंत्रण	केवल अपवाद द्वारा अनुमति दें	मालिक की स्वीकृति और समाप्ति तिथि आवश्यक है

गेस्ट नियम इंटरनेट एक्सेस की अनुमति देता है, जबकि गेस्ट डिवाइसों को एक-दूसरे के साथ कनेक्शन शुरू करने से रोकता है। दो गेस्ट-टू-स्टाफ नियम दूसरे की सुरक्षा के लिए एक तरफ की नीति पर निर्भर रहने के बजाय दोनों दिशाओं में पहुँच को अस्वीकार करते हैं। स्टाफ केवल उन पोर्ट पर किसी नामित फ़ाइल सर्वर तक पहुँच सकता है जिनकी उसकी सेवा को आवश्यकता होती है। एक डिवाइस आउटबाउंड अपने विक्रेता की क्लाउड सेवा से संपर्क कर सकता है, लेकिन विक्रेता कनेक्शन स्टाफ डिवाइसों में जाने का मार्ग नहीं बनना चाहिए। यदि किसी ठेकेदार को बिल्डिंग कंट्रोल तक पहुँचने की आवश्यकता है, तो केवल स्वीकृत कार्य के लिए पहुँच प्रदान करें और सहमत समाप्ति तिथि पर इसे हटा दें।

VLAN के भीतर के नियंत्रण भी मायने रखते हैं। एक ही VLAN में मौजूद डिवाइस आम तौर पर एक-दूसरे तक पहुँच सकते हैं जब तक कि कोई अन्य नियंत्रण उन्हें न रोके। अतिथि और डिवाइस नेटवर्क के लिए क्लाइंट आइसोलेशन का उपयोग करें जहाँ पीयर संचार की आवश्यकता नहीं है, और स्थानीय कनेक्शन को सीमित करने के लिए कर्मचारी एंडपॉइंट्स पर होस्ट फ़ायरवॉल का उपयोग करें।

इन सेगमेंट-स्तरीय सुरक्षा उपायों को लागू रखें:

• डिफ़ॉल्ट एक्सेस हटाएं: अप्रयुक्त स्विच पोर्ट को डिफ़ॉल्ट VLAN से बाहर रखें और जहां व्यावहारिक हो उन्हें अक्षम करें।
• सक्रिय नेटिव VLAN से बचें: नेटिव VLAN को एक अप्रयुक्त ID पर सेट करें।
• ट्रंक को सीमित करें: प्रत्येक स्विच लिंक पर केवल आवश्यक VLANs की अनुमति दें।
• प्रबंधन को सुरक्षित करें: नेटवर्क प्रबंधन को उसके स्वयं के VLAN पर रखें और गेस्ट नेटवर्क से इसके लिए कोई मार्ग प्रदान न करें।

अधिक VLAN का अर्थ अपने आप बेहतर सुरक्षा नहीं होता है। NIST का मार्गदर्शन महत्वपूर्ण संसाधनों को अलग-अलग ट्रस्ट ज़ोन में अलग करने और इंफ्रास्ट्रक्चर को उत्तरोत्तर विभाजित करने का समर्थन करता है जहां ऐसा करने से रोकथाम और निगरानी में सुधार होता है। लेकिन सख्त VLAN की एक लंबी सूची की तुलना में कम, जोखिम-आधारित ज़ोन अधिक सुरक्षित और संचालित करने में आसान हो सकते हैं, बशर्ते प्रवर्तन पहचान और नीति पर विचार करे। हेल्थकेयर और मैन्युफैक्चरिंग सुरक्षा लीडर्स के एक Omdia सर्वेक्षण में, 99% माइक्रोसेगमेंटेशन को तैनात कर रहे थे या योजना बना रहे थे, जबकि केवल 9% के पास यह उनके महत्वपूर्ण सिस्टम की सुरक्षा कर रहा था (माइक्रोसेगमेंटेशन गैप पर Omdia का सर्वेक्षण)।

व्यवहारिक नियम के रूप में, यदि दो समूहों की एक्सेस आवश्यकताएं और जोखिम समान हैं, तो वे एक ही ज़ोन में हो सकते हैं। विज़िटर एक्सेस को आइसोलेट करने के बारे में अधिक जानकारी के लिए, इस गेस्ट नेटवर्क सुरक्षा गाइड का उपयोग करें।

डिवाइसों और लोगों के बदलने पर VLAN असाइनमेंट को सटीक बनाए रखना

एक कर्मचारी छोड़ता है, एक ठेकेदार काम पूरा करता है, या एक ताला बदल दिया जाता है। प्रत्येक परिवर्तन एक पुराना क्रेडेंशियल छोड़ सकता है जो VLAN से बंधा होता है, इसलिए एक्सेस रिकॉर्ड को प्रत्येक व्यक्ति या डिवाइस की पहचान और जीवनचक्र का पालन करने की आवश्यकता होती है।

घटना	कार्रवाई	समय सीमा	पहुंच पर प्रभाव
कर्मचारी छोड़ता है	खाता अक्षम करें; RADIUS अगली बार जुड़ने को अस्वीकार करता है	उसी दिन	कर्मचारी VLAN पहुंच समाप्त हो जाती है
डिवाइस बदला गया	MAC-बाउंड कुंजी रद्द करें और एक नई कुंजी जारी करें	स्थापना से पहले	प्रतिस्थापन अपने डिवाइस-वर्ग VLAN में शामिल होता है
लंबी अवधि का अतिथि चेक आउट करता है	कुंजी जारी करने पर निर्धारित अंतिम तिथि पर समाप्त हो जाती है	अंतिम तिथि	अतिथि VLAN पहुंच समाप्त हो जाती है
ठेकेदार का काम पूरा होता है	समय-सीमित कुंजी समाप्त हो जाती है	काम का अंतिम दिन	ठेकेदार VLAN पहुंच समाप्त हो जाती है
किराएदार बाहर जाता है	केवल उस किराएदार की कुंजी रद्द करें	बाहर जाने पर	अन्य किराएदार जुड़े रहते हैं

MAC-बाउंड कुंजी वाले बिल्डिंग लॉक की कुंजी और VLAN मेहमानों के बदलाव के बाद भी बनी रहती है। क्रेडेंशियल उस हार्डवेयर का होता है, न कि जाने वाले मेहमान का। इसे तब रद्द करें जब लॉक को बदला जाए, न कि तब जब कोई मेहमान चेक आउट करे।

बिल्डिंग कंट्रोल और पेमेंट सिस्टम जैसे उच्च-जोखिम वाले एसेट्स के लिए, VLAN असाइनमेंट को बदलने से पहले स्पष्ट चेंज कंट्रोल की आवश्यकता होती है। गेस्ट और अन्य अस्थायी एक्सेस के लिए, क्रेडेंशियल पर एक एक्सपायरी डेट सेट करें ताकि मैनुअल क्लीनअप पर निर्भर रहे बिना एक्सेस समाप्त हो जाए।

कई साइट्स पर, एक साझा VLAN योजना बनाए रखें और उसमें वैध स्थानीय अंतरों को रिकॉर्ड करें। अन्यथा, स्विच कॉन्फ़िगरेशन ही यह रिकॉर्ड रखने का एकमात्र तरीका बन सकता है कि किसी स्थान को कैसे सेट किया गया है। नियमित रूप से अपवादों और अप्रयुक्त कुंजियों की समीक्षा करें, और उन कुंजियों को हटा दें जिनका कोई वर्तमान स्वामी नहीं है। इस प्रक्रिया का आकलन इस आधार पर करें कि क्या पहचानें अभी भी लक्षित सेगमेंट से मैप होती हैं और क्या पहुंच समय पर समाप्त होती है, न कि मैप में VLAN की संख्या के आधार पर।

यह परीक्षण करना कि सेग्मेंटेशन वास्तव में काम कर रहा है या नहीं

पहुंच क्षमता (reachability) का परीक्षण करें, न कि VLAN गिनती का। प्रत्येक इच्छित पथ के लिए, सत्यापित करें कि अनुमति प्राप्त कनेक्शन काम करता है और उस डिवाइस या सेगमेंट से निषिद्ध पथ विफल हो जाते हैं जो ट्रैफ़िक शुरू करेगा।

परीक्षण	स्रोतः	गंतव्यः	सफल होने की स्थिति
लैटरल रीच	गेस्ट VLAN 10	स्टाफ VLAN 20	शून्य कनेक्शन सफल होते हैं
गेस्ट में पीयर रीच VLAN	गेस्ट डिवाइस A	गेस्ट डिवाइस B	क्लाइंट आइसोलेशन द्वारा ब्लॉक किया गया
ट्रंक लीक	एक्सेस पोर्ट	अप्रयुक्त VLAN	अप्रयुक्त VLAN के लिए कोई फ्रेम टैग नहीं किए गए हैं
डिवाइस एक्सपोजर	गेस्ट VLAN 10	लॉक कंट्रोलर	कनेक्शन अस्वीकृत है
अपवाद जाँच	स्टाफ VLAN 20	नामित फ़ाइल सर्वर	केवल स्वीकृत पोर्ट खुला है

सामान्य कॉन्फ़िगरेशन त्रुटियों के कारण लॉजिकल पृथक्करण विफल हो सकता है। एक ट्रंक उन VLAN के लिए ट्रैफ़िक ले जा सकता है जो उस लिंक से संबंधित नहीं हैं। एक नेटिव VLAN अप्रत्याशित तरीके से ट्रैफ़िक को उजागर कर सकता है। एक अनप्रबंधित स्विच पोर्ट किसी डिवाइस को डिफॉल्ट VLAN में डाल सकता है, जबकि अनुमेय राउटिंग या अत्यधिक व्यापक फ़ायरवॉल नियम उन रास्तों को फिर से खोल सकते हैं जिन्हें डिज़ाइन में ब्लॉक किया जाना था।

तीन जांचों का उपयोग करें, फिर परिवर्तनों का पुनः परीक्षण करें

सबसे पहले, स्विच और फ़ायरवॉल की ऑथेंटिकेटेड कॉन्फ़िगरेशन समीक्षा करें। एक्सेस पोर्ट्स पर VLAN सदस्यता, ट्रंक्स पर स्वीकृत VLANs, नेटिव VLAN, राउटिंग इंटरफेस और इंटर-VLAN ट्रैफ़िक की अनुमति देने वाले नियमों की जाँच करें।

दूसरा, प्रत्येक सेग्मेंट पर वल्नरेबिलिटी स्कैन चलाएं। एक स्कैन उन प्रणालियों को उजागर कर सकता है जो मौजूद नहीं होनी चाहिए, उजागर सेवाएं जिनकी समीक्षा की आवश्यकता है और इच्छित मैप तथा तैनात नेटवर्क के बीच अंतर दिखा सकता है।

तीसरा, एक पेनेट्रेशन टेस्ट का आयोजन करें जो प्रत्येक निम्न-विश्वास वाले VLAN से उच्च-विश्वास वाले ज़ोन की ओर लेटरल मूवमेंट का प्रयास करता है। टेस्ट में वास्तविक रास्तों का उपयोग किया जाना चाहिए, न कि केवल यह पुष्टि करनी चाहिए कि नेटवर्क के पास अलग-अलग VLAN नाम हैं। प्रमाणीकरण पथ की स्वयं जांच करने के मार्गदर्शन के लिए देखें कि RADIUS प्रमाणीकरण का परीक्षण कैसे करें।

पॉइंट-ऑफ-सेल वेंडर के लिए फ़ायरवॉल परिवर्तन के बाद, गेस्ट VLAN से POS सिस्टम तक फिर से परीक्षण करें और पुष्टि करें कि गेस्ट ट्रैफ़िक अभी भी ब्लॉक है। फिर उसके स्वीकृत स्रोत से वेंडर अपवाद का परीक्षण करें और पुष्टि करें कि केवल उसका स्वीकृत पोर्ट ही खुला है।

हर प्रासंगिक बदलाव के बाद इन जांचों को चलाएं:

• अनुमति प्राप्त पाथ सत्यापित करें: पुष्टि करें कि आवश्यक एप्लिकेशन अभी भी कनेक्ट हो रहे हैं।
• अस्वीकृत पाथ सत्यापित करें: उन कनेक्शन का प्रयास करें जिनके बारे में नीति कहती है कि वे विफल होने चाहिए।
• पोर्ट और VLAN असाइनमेंट की जांच करें: पुष्टि करें कि परीक्षण उपकरण इच्छित सेगमेंट में लैंड कर रहे हैं।
• बाउंड्री लॉग की समीक्षा करें: पुष्टि करें कि स्वीकृत और अस्वीकृत निर्णय रिकॉर्ड किए गए हैं।
• स्वीकृति का रिकॉर्ड रखें: प्रत्येक सक्रिय अपवाद के लिए एक मालिक और कारण बनाए रखें।

परीक्षण को केवल तभी सफल मानें जब अनधिकृत पथ विफल हों, सीमा संबंधी निर्णयों को लॉग किया गया हो और प्रत्येक अपवाद का एक दस्तावेजी मालिक हो। जब कोई परीक्षण विफल हो जाता है, तो टिकट बंद करने से पहले नियम को ठीक करें और उसी परीक्षण को फिर से चलाएं।

सेगमेंट मैप की पुष्टि करें और एक साइट का पायलट करें

एक विश्वसनीय रोलआउट एक सहमत मैप और एक ऐसे स्थान के साथ शुरू होता है जहां टीम वास्तविक उपकरणों के विरुद्ध डिज़ाइन को सत्यापित कर सकती है। इस निर्णय पथ का उपयोग करें:

1. इसके स्वामी के साथ प्रत्येक समूह की पुष्टि करें। समूह को एक VLAN, एक पहचान स्रोत और उन प्रणालियों से मिलाएँ जिन तक इसे पहुँचने की आवश्यकता है।
2. प्लानर का उपयोग करें। आज नेटवर्क से जो जुड़ता है उसे टिक करें और जाँचें कि तीनों नेटवर्क में प्रत्येक समूह कहाँ आएगा।
3. एक साइट का पायलट करें। साइट के स्वामियों के साथ रीचैबिलिटी परीक्षण चलाएँ और पुष्टि करें कि दैनिक सेवाएँ अभी भी काम कर रही हैं।
4. पायलट पास होने के बाद ही रोल आउट करें। कॉन्फ़िगरेशन को अन्यत्र लागू करने से पहले अपवादों को नामित स्वामियों से बाँध कर रखें।

Purple Access सात के बजाय तीन SSID का उपयोग करता है, जिसमें पहचान के आधार पर VLAN का निर्णय लिया जाता है और प्रत्येक निवासी, किरायेदार या डिवाइस समूह को उसके अपने सेगमेंट में रखा जाता है। इसका प्लानर टीमों को आज कनेक्ट होने वाली चीज़ों को तीन नेटवर्क से मैप करने की अनुमति देता है, और विशेषज्ञ डिज़ाइन सेशन रोलआउट से पहले योजना की समीक्षा कर सकते हैं।

एक VLAN एक ऐसी सीमा है जिसे आपको साबित करना होता है, न कि कोई ऐसा लेबल जो आप निर्दिष्ट करते हैं।

स्विच कॉन्फ़िगरेशन बदलने से पहले प्लानर चलाएं या एक डिज़ाइन सेशन बुक करें।

---

Purple Access मौजूदा एक्सेस पॉइंट पर रिवोकेशन और ऑडिट लॉगिंग के साथ, ओपन, सुरक्षित और xPSK नेटवर्क को पहचान-संचालित (आइडेंटिटी-ड्रिवन) VLAN असाइनमेंट पर मैप कर सकता है। अपने वर्तमान डिवाइस समूहों को मैप करने के लिए Purple Access planner का उपयोग करें, और फिर रोलआउट से पहले रीचेबिलिटी नियमों को सत्यापित करें।