कर्मचारियों के WiFi को एक साझा पासवर्ड से मल्टी-साइट एस्टेट में 802.1X पर माइग्रेट करना

साझा-पासवर्ड वाले SSID के साथ एक नया WPA-Enterprise SSID चलाएं और डिवाइस को चरणों में स्थानांतरित करें। Managed डिवाइस आपके MDM से EAP-TLS प्रमाण पत्र प्राप्त करते हैं। व्यक्तिगत फ़ोन Captive Portal के माध्यम से ऑनबोर्ड होते हैं। जो डिवाइस प्रमाण पत्र नहीं रख सकते, उन्हें xPSK नेटवर्क पर उनकी अपनी कुंजी मिलती है। प्रत्येक साइट पर साझा पासवर्ड को तब बंद कर दें जब उसका प्रमाणीकरण लॉग कोई पुराना लेगेसी डिवाइस न दिखाए।

स्टाफ WiFi को साझा पासवर्ड से 802.1X पर स्थानांतरित करने से क्या बदलता है?

एक साझा स्टाफ पासवर्ड एक ऐसा रहस्य है जो हर सहकर्मी, हर डिवाइस और हर पूर्व सहकर्मी के पास होता है। जब कोई कंपनी छोड़ता है, तो वे इसे अपने पास रखते हैं। इसे बदलने का अर्थ है हर साइट पर हर टिल, टैबलेट और लैपटॉप पर कुंजी को फिर से दर्ज करना।

PCI DSS v4.0.1 की आवश्यकता 2.3.2 इसे एक अनिवार्यता में बदल देती है। यह कार्डधारक डेटा वातावरण से जुड़े या खाता डेटा स्थानांतरित करने वाले वायरलेस वातावरण को कवर करता है। जब भी इसे जानने वाला कोई व्यक्ति कंपनी या उस भूमिका को छोड़ता है जिसमें इसकी आवश्यकता थी, तो आपको वायरलेस एन्क्रिप्शन कुंजियों को बदलना होगा। जब किसी कुंजी के समझौता होने का संदेह हो या ज्ञात हो, तो भी आपको उन्हें बदलना होगा। उच्च टर्नओवर वाले एस्टेट में, इसका शाब्दिक अर्थ है अधिकांश सप्ताहों में पुनः कुंजीयन (re-keying) करना।

IEEE 802.1X साझा रहस्य को हटा देता है। यह पोर्ट आधारित नेटवर्क एक्सेस कंट्रोल का मानक है। एक्सेस पॉइंट द्वारा अपने ट्रैफ़िक को आगे भेजने से पहले एक डिवाइस को यह साबित करना होगा कि वह कौन है। एक्सेस पॉइंट RADIUS पर पूछता है, जो कि प्रमाणीकरण सर्वर से पूछताछ करने के लिए नेटवर्क उपकरण द्वारा उपयोग किया जाने वाला प्रोटोकॉल है।

EAP-TLS (ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल, RFC 5216) उत्तर देने का सबसे मजबूत तरीका है। डिवाइस और सर्वर प्रत्येक एक प्रमाण पत्र प्रस्तुत करते हैं। बैक-ऑफ़िस व्हाइटबोर्ड पर साझा करने, फ़िश करने या लिखने के लिए कोई पासवर्ड नहीं है।

पहचान फिर VLAN (वर्चुअल LAN, एक तार्किक रूप से अलग नेटवर्क सेगमेंट) सेट करती है। RADIUS, RFC 3580 में परिभाषित टनल विशेषताओं का उपयोग करके प्रत्येक डिवाइस के लिए एक VLAN लौटाता है। एक फ़ाइनेंस लैपटॉप और एक किचन टैबलेट एक ही SSID में शामिल हो सकते हैं और अलग-अलग सेगमेंट में उतर सकते हैं।

Purple Access पर यह कहाँ स्थित है

Purple Access एक ही प्लेटफॉर्म पर तीन नेटवर्क चलाता है:

• Open: एक Captive Portal, वह वेब पेज जो एक डिवाइस नेटवर्क एक्सेस प्राप्त करने से पहले देखता है। इस माइग्रेशन में यह व्यक्तिगत फ़ोन को ऑनबोर्ड करता है।
• Secure: EAP-TLS, पहचान प्रदाता एकीकरण, Passpoint और क्लाउड RADIUS। स्टाफ लैपटॉप, टैबलेट और फ़ोन यहाँ पहुँचते हैं।
• xPSK: आपके विक्रेता के आधार पर प्रत्येक डिवाइस के लिए एक अलग कुंजी, जिसे iPSK या PPSK कहा जाता है। हर डिवाइस जो प्रमाण पत्र नहीं रख सकता, वह यहाँ पहुँचता है।

अतिथि WiFi अपने स्वयं के नेटवर्क पर और इस प्रोजेक्ट से बाहर रहता है। Guest network security: A practical Guide for 2026 उस पक्ष को कवर करता है। इनमें से किसी भी नेटवर्क पर DNS फ़िल्टरिंग Shield है। व्यापक तस्वीर के लिए, हमारा WiFi security पिलर देखें।

क्रेडेंशियल मॉडल की तुलना

PEAP-MSCHAPv2 (यूज़रनेम और पासवर्ड के साथ सुरक्षित EAP) सामान्यतः बीच का रास्ता है, इसलिए इसे तुलना में शामिल किया गया है।

क्रेडेंशियल मॉडल	प्रत्येक डिवाइस क्या प्रस्तुत करता है	नौकरी छोड़ने वाला व्यक्ति अपने साथ क्या ले जाता है	एक व्यक्ति या डिवाइस को रिवोक करना	PCI DSS 2.3.2 की बदलावों पर प्रभाव	किसके लिए उपयुक्त है
साझा PSK	सभी के लिए एक पासवर्ड	प्रत्येक साइट की की (key)	SSID पर मौजूद प्रत्येक डिवाइस को री-की (re-key) करें	जब भी नौकरी छोड़ने वाले व्यक्ति को इसकी जानकारी हो, तो हर बार सभी के लिए की (key) बदलें	WiFi पर बिना किसी कार्ड डेटा वाली एक एकल छोटी साइट
PEAP-MSCHAPv2	व्यक्तिगत यूज़रनेम और पासवर्ड	खाता अक्षम (disabled) होने तक उनका अपना पासवर्ड	खाता अक्षम करें	कोई साझा की (key) नहीं, लेकिन यदि सर्वर प्रमाणपत्र मान्य नहीं हैं तो पासवर्ड कैप्चर किए जा सकते हैं	ऐसी संपत्तियां जिनमें अभी तक कोई सर्टिफिकेट अथॉरिटी नहीं है
EAP-TLS	प्रति डिवाइस या व्यक्ति एक प्रमाणपत्र	प्रमाणपत्र रिवोक होने के बाद कुछ भी उपयोग योग्य नहीं	प्रमाणपत्र रिवोक करें या पहचान अक्षम करें	बदलने के लिए कोई साझा की (key) नहीं	मैनेज्ड लैपटॉप, टैबलेट, हैंडहेल्ड और ऑनबोर्ड किए गए फ़ोन
xPSK	प्रति डिवाइस एक अनूठी की (key)	केवल वही डिवाइस कीज़ जो उन्होंने व्यक्तिगत रूप से दर्ज की थीं	उस डिवाइस की की (key) हटाएं	केवल वही कीज़ बदलें जो नौकरी छोड़ने वाले व्यक्ति ने संभाली थीं	टिल (Tills), कार्ड टर्मिनल, प्रिंटर, CCTV, साइनेज

किसी साझा WiFi पासवर्ड को 802.1X पर माइग्रेट करने से पहले आपको क्या चाहिए?

आपको किसी नए एक्सेस पॉइंट की आवश्यकता नहीं है। Purple Access हार्डवेयर-अग्नोस्टिक है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर क्लाउड ओवरले के रूप में चलता है। पायलट से पहले आपके पास छह चीजें होना आवश्यक हैं।

1. प्रति साइट एक डिवाइस इन्वेंट्री। प्रत्येक साइट के कंसोल से कम से कम 14 दिनों को कवर करते हुए स्टाफ SSID के लिए क्लाइंट लिस्ट एक्सपोर्ट करें। प्रत्येक डिवाइस को तीन श्रेणियों में से एक में छांटें। मैनेज्ड डिवाइस आपके MDM (मोबाइल डिवाइस मैनेजमेंट प्लेटफॉर्म) में नामांकित हैं। व्यक्तिगत डिवाइस स्टाफ के स्वामित्व वाले फ़ोन हैं। हेडलेस डिवाइस टिल, कार्ड टर्मिनल, प्रिंटर, कैमरे और प्रमाणपत्र स्टोर के बिना कुछ भी अन्य हैं।
2. क्लीन ग्रुप्स वाला एक आइडेंटिटी प्रोवाइडर। Microsoft Entra ID, Okta या Google Workspace का उपयोग करें। प्रत्येक ग्रुप जिसे अपने स्वयं के सेगमेंट की आवश्यकता होती है, वह एक VLAN नियम बन जाता है। Okta WiFi Authentication: Setup Steps, Options and Fixes Okta पक्ष के बारे में विस्तार से बताता है।
3. एक सर्टिफिकेट अथॉरिटी जिससे आपका MDM अनुरोध कर सकता है। Microsoft Intune, Jamf Pro और अधिकांश अन्य MDM, SCEP (सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल) या PKCS प्रोफ़ाइल के माध्यम से प्रमाणपत्र जारी करते हैं। अब यह तय करें कि क्या कोई प्रमाणपत्र डिवाइस या व्यक्ति की पहचान करता है। साझा टैबलेट और हैंडहेल्ड को डिवाइस प्रमाणपत्रों की आवश्यकता होती है।
4. प्रत्येक साइट तक ले जाई गई VLAN योजना। एक विशिष्ट योजना में पांच सेगमेंट होते हैं: स्टाफ, मैनेज्ड कॉर्पोरेट डिवाइस, पेमेंट डिवाइस, अन्य हेडलेस डिवाइस और एक प्रतिबंधित लेगेसी सेगमेंट। पुष्टि करें कि प्रत्येक एक्सेस पॉइंट का स्विच ट्रंक प्रत्येक VLAN को ले जाता है।
5. सुरक्षित SSID के लिए RADIUS server के रूप में Purple Access सेट है। जहां आपका विक्रेता प्रति-डिवाइस कीज़ के लिए RADIUS का उपयोग करता है, वहां xPSK नेटवर्क को भी इसकी ओर पॉइंट करें। Cloud RADIUS का अर्थ है कि साइटों पर इंस्टॉल, पैच या क्लस्टर करने के लिए कुछ भी नहीं है।
6. प्रत्येक साइट पर एक नामित लीड। आपको किसी ऐसे व्यक्ति की आवश्यकता है जो इन्वेंट्री में अज्ञात उपकरणों की पहचान कर सके और उन्हें बंद (switch-off) करने की मंजूरी दे सके।

आप कटओवर वीकेंड के बिना स्टाफ WiFi को 802.1X पर कैसे माइग्रेट करते हैं?

तीन सिद्धांत कटओवर वीकेंड की आवश्यकता को समाप्त करते हैं। पुराने नेटवर्क के साथ नया नेटवर्क बनाएं। उपकरणों को साइट के अनुसार नहीं, बल्कि श्रेणी के अनुसार स्थानांतरित करें। प्रमाणीकरण (authentication) लॉग के साक्ष्यों के आधार पर साइट दर साइट स्विच ऑफ करें।

क्या आप माइग्रेशन के दौरान दोनों SSID चला सकते हैं?

हाँ, और आपको पूरे प्रोजेक्ट के दौरान उन्हें एक साथ चलाना चाहिए। असली सवाल एयरटाइम का है। प्रत्येक ब्रॉडकास्ट SSID प्रत्येक रेडियो पर बीकन फ्रेम जोड़ता है, इसलिए वेंडर डिजाइन गाइड - जिनमें Cisco Meraki भी शामिल है - SSID की संख्या कम रखने की सलाह देते हैं।

इसका सही समाधान लेगेसी SSID को xPSK नेटवर्क में बदलना है। इसका नाम और सुरक्षा मोड वही रखें। पुराने साझा पासवर्ड को प्रति-उपकरण (per-device) कुंजी सूची में एक कुंजी के रूप में जोड़ें, जो प्रतिबंधित लेगेसी VLAN से मैप की गई हो। जो उपकरण पुराना पासवर्ड जानते हैं, वे बिना किसी समस्या के पुनः कनेक्ट हो जाते हैं। आपके द्वारा स्थानांतरित किए जाने वाले प्रत्येक उपकरण को उसकी अपनी कुंजी मिलती है।

जब किसी साइट पर लेगेसी कुंजी में कोई उपकरण नहीं बचता है, तो आप उसे हटा देते हैं। इसके बाद साझा पासवर्ड बंद हो जाता है, और कोई नया SSID कभी नहीं दिखाई दिया। आपकी अंतिम स्थिति तीन SSIDs की होगी: guest, secure staff और xPSK।

पहले एक साइट पर इसका परीक्षण करें। कई वेंडर WPA3-SAE के बजाय WPA2-Personal पर प्रति-कुंजी (per-key) सुविधाएं चलाते हैं, इसलिए अपने वेंडर के दस्तावेज़ों की जांच करें। यदि आपका प्लेटफॉर्म पुराने पासवर्ड को एक कुंजी के रूप में नहीं रख सकता है, तो माइग्रेशन के दौरान चार SSIDs चलाएं और स्विच-ऑफ के समय लेगेसी SSID को हटा दें।

चरण 1: एक बार बनाएं, पूरी संपत्ति में लागू करें

सुरक्षित SSID और xPSK नेटवर्क को एक बार कॉन्फ़िगर करें, फिर उन्हें एक टेम्पलेट से प्रत्येक साइट पर लागू करें। जहां आपका प्रबंधित बेड़ा इसका समर्थन करता है, वहां WPA3-Enterprise का उपयोग करें, अन्यथा WPA2/WPA3 ट्रांजिशन मोड का उपयोग करें।

वेंडर	कंसोल	सुरक्षित SSID सेटिंग	प्रति-उपकरण कुंजी सुविधा	साइटों पर लागू करें
Cisco Meraki	Meraki डैशबोर्ड	मेरे RADIUS सर्वर के साथ Enterprise	Identity PSK (iPSK)	कॉन्फ़िगरेशन टेम्पलेट्स
HPE Aruba	Aruba Central	Enterprise सुरक्षा स्तर	MPSK	ग्रुप्स
Ruckus	SmartZone या RUCKUS One	802.1X EAP प्रमाणीकरण	Dynamic PSK (DPSK)	ज़ोन या स्थान
Juniper Mist	Mist पोर्टल	Enterprise (802.1X) WLAN सुरक्षा	Multi PSK	WLAN टेम्पलेट्स
Ubiquiti UniFi	UniFi Network	RADIUS प्रोफ़ाइल के साथ WPA Enterprise	Private Pre-Shared Keys	प्रति साइट सेटिंग्स

फर्मवेयर संस्करणों के बीच लेबल बदलते रहते हैं, इसलिए वर्तमान पथ के लिए अपने वेंडर के दस्तावेज़ों का पालन करें। अधिक कॉन्फ़िगरेशन वॉकथ्रू हमारे Access गाइड में उपलब्ध हैं।

चरण 2: दो या तीन प्रतिनिधि साइटों पर पायलट परीक्षण करें

ऐसी साइटें चुनें जो भिन्न हों: एक बड़ी साइट, एक छोटी साइट और एक असामान्य स्विच मॉडल वाली साइट। बाद के प्रत्येक चरण को पहले उन साइटों पर शुरू से अंत तक चलाएं। पायलट परीक्षण उस ट्रंक को खोजने के लिए मौजूद है जो VLAN नहीं ले जाता है, वह टिल (till) जो केवल WPA2 बोलता है और वह MDM प्रोफ़ाइल जो गलत क्रम में इंस्टॉल होती है।

चरण 3: MDM के माध्यम से प्रबंधित उपकरणों पर प्रमाणपत्र पुश करें

प्रबंधित डिवाइस सबसे तेज़ी से काम करते हैं क्योंकि MDM एक साथ हर साइट तक पहुँचता है। क्रम में तीन प्रोफ़ाइल लागू करें: विश्वसनीय रूट प्रमाण पत्र, डिवाइस प्रमाण पत्र, फिर WiFi प्रोफ़ाइल। यदि संदर्भित प्रमाण पत्र गायब है, तो अधिकांश MDM WiFi प्रोफ़ाइल में विफल हो जाते हैं।

WiFi प्रोफ़ाइल सुरक्षित SSID का नाम देती है, EAP-TLS सेट करती है और RADIUS सर्वर के प्रमाण पत्र का नाम और रूट पिन करती है। एक बार जब कोई डिवाइस सुरक्षित SSID पर प्रमाणित हो जाता है, तो उस प्रोफ़ाइल को पुश करें जो लीगेसी नेटवर्क को हटा देती है। अन्यथा डिवाइस वापस उस पुराने SSID की ओर जा सकता है जिस पर वह पहले से भरोसा करता है।

चरण 4: व्यक्तिगत फ़ोन को उसी SSID पर ऑनबोर्ड करें

कर्मचारी ओपन नेटवर्क से जुड़ते हैं, अक्सर बैक ऑफिस में पोस्ट किए गए QR कोड को स्कैन करके। वे अपनी कार्य पहचान के साथ Captive Portal पर साइन इन करते हैं और सुरक्षित नेटवर्क प्रोफ़ाइल प्राप्त करते हैं। हमारा Captive portals पिलर पोर्टल डिज़ाइन को कवर करता है।

Passpoint (Hotspot 2.0) प्रोफ़ाइल मल्टी-साइट एस्टेट के लिए सबसे अधिक मददगार होती है। Passpoint एक फ़ोन को SSID नाम के बजाय उसकी क्रेडेंशियल द्वारा नेटवर्क खोजने और उससे जुड़ने की अनुमति देता है। फिर एक ऑनबोर्डिंग हर साइट पर काम करती है। व्यक्तिगत फ़ोन को केवल-इंटरनेट स्टाफ VLAN पर मैप करें, जो भुगतान और बैक-ऑफिस सेगमेंट्स से दूर हो। क्षेत्र के अनुसार ऑनबोर्डिंग चलाएं ताकि हेल्पडेस्क को एक स्थिर प्रवाह दिखे, न कि कोई अचानक वृद्धि।

चरण 5: प्रत्येक ऐसे डिवाइस को अपनी स्वयं की कुंजी पर ले जाएं जो प्रमाण पत्र नहीं रख सकता

प्रत्येक हेडलेस डिवाइस को एक विशिष्ट कुंजी दें और श्रेणी के अनुसार VLAN में कुंजियों को मैप करें। कार्ड टर्मिनल भुगतान सेगमेंट में और कैमरे कैमरा सेगमेंट में जाते हैं। डिवाइस, MAC पता, साइट, कुंजी और इसे दर्ज करने वाले व्यक्ति को रिकॉर्ड करें।

प्रिंटर और कैमरा रिकॉर्डर में आमतौर पर वेब इंटरफेस होते हैं जिन्हें आप दूरस्थ रूप से री-की कर सकते हैं। टिल और टर्मिनलों को विक्रेता के प्रबंधन प्लेटफॉर्म या साइट दौरे की आवश्यकता हो सकती है। PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist इस चरण को विस्तार से कवर करता है।

एक मल्टी-साइट 802.1X रोलआउट में कितना समय लगता है?

नीचे दी गई समयावधियों को अपने पायलट में परीक्षण करने के लिए योजना संबंधी धारणाएँ मानें, न कि बेंचमार्क। हेडलेस डिवाइस गति तय करते हैं, क्योंकि वे एकमात्र ऐसी श्रेणी हैं जिन्हें साइट पर व्यावहारिक सहायता की आवश्यकता हो सकती है।

चरण	क्या होता है	दायरा	योजना समयावधि
0. तैयारी	इन्वेंट्री, पहचान समूह, VLAN योजना, प्रमाण पत्र प्राधिकरण	पूरा एस्टेट, कोई डिवाइस बदलाव नहीं	2-3 सप्ताह
1. निर्माण	टेम्प्लेट में सुरक्षित SSID और xPSK नेटवर्क	पूरा एस्टेट	1 सप्ताह
2. पायलट	शुरू से अंत तक हर चरण	2-3 साइटें	3-4 सप्ताह
3. प्रबंधित डिवाइस	MDM प्रमाण पत्र और WiFi प्रोफ़ाइल पुश करता है	सभी साइटें एक साथ	2 सप्ताह प्लस छूटे हुए लोगों के लिए 2 सप्ताह
4. व्यक्तिगत फ़ोन	ओपन नेटवर्क के माध्यम से ऑनबोर्डिंग	प्रति लहर 20-30 साइटें	प्रति लहर 2 सप्ताह
5. हेडलेस डिवाइस	प्रति डिवाइस विशिष्ट कुंजी	दूरस्थ या साइट दौरा	प्रति साइट आधा दिन, समानांतर में चलाएं
6. स्विच-ऑफ	लीगेसी कुंजी हटाएं	प्रति साइट	प्रति साइट न्यूनतम 14 स्पष्ट दिन

चरण 3, 4 और 5 आपस में ओवरलैप होते हैं। इन अनुमानों के आधार पर, 50 साइटों के लिए 10 से 14 सप्ताह और 200 साइटों के लिए 20 से 26 सप्ताह की योजना बनाएं।

व्यावहारिक परिदृश्य: Cisco Meraki पर एक 64-होटल समूह

सांकेतिक आंकड़े। प्रत्येक होटल एक साझा स्टाफ की (key) पर लगभग 40 डिवाइस चलाता था। इसका मतलब था 22 मैनेज्ड डिवाइस, छह व्यक्तिगत फोन और 12 हेडलेस डिवाइस: कार्ड टर्मिनल, रसीद प्रिंटर और साइनेज प्लेयर। एजेंसी हाउसकीपिंग स्टाफ को वह की (key) मालूम थी, इसलिए हर एजेंसी रोटेशन पर PCI DSS 2.3.2 लीवर शर्त ट्रिगर होती थी।

टीम ने लेगेसी SSID को iPSK में बदल दिया और पुराने पासवर्ड को एक प्रतिबंधित VLAN पर एक की (key) के रूप में रखा। उन्होंने एक कॉन्फ़िगरेशन टेम्पलेट में Enterprise SSID बनाया। पायलट के तीसरे सप्ताह में Intune ने सभी 1,408 मैनेज्ड डिवाइस पर प्रमाणपत्र पुश कर दिए। ड्यूटी मैनेजरों ने क्षेत्र के अनुसार 384 व्यक्तिगत फोन ऑनबोर्ड किए। इंजीनियरों ने निर्धारित रखरखाव दौरों के दौरान 768 हेडलेस डिवाइस को फिर से की (key) दी।

परिणाम: नौवें सप्ताह तक, लेगेसी की (key) केवल हेडलेस डिवाइस ले जा रही थी। अंतिम होटल ने इसे 16वें सप्ताह में हटा दिया, जिसमें कोई कटओवर नाइट नहीं थी। किसी कर्मचारी के जाने का मतलब अब 64 होटलों में 2,560 डिवाइस को फिर से की (key) देने के बजाय केवल एक अकाउंट को अक्षम करना है।

व्यावहारिक परिदृश्य: Juniper Mist पर एक 180-स्टोर रिटेलर

सांकेतिक आंकड़े। प्रत्येक स्टोर साझा की (key) पर 27 डिवाइस चलाता था: 12 हैंडहेल्ड स्कैनर, तीन बैक-ऑफिस PC, चार लेबल प्रिंटर, छह कैमरे और दो मैनेजरों के फोन। कर्मचारियों के जाने के बाद फिर से की (key) देने का काम रुक गया था, क्योंकि कोई भी एक ही दिन में हर स्टोर तक नहीं पहुंच सकता था।

स्कैनर और PC MDM के माध्यम से EAP-TLS पर चले गए, कुल मिलाकर 2,700 डिवाइस। प्रिंटर और कैमरे Multi PSK पर चले गए, 1,800 विशिष्ट की (keys) जो दो VLAN में मैप की गईं। स्टोर 30 के छह चरणों में चले गए। पायलट में एक स्टोर प्रारूप मिला जिसके स्विचों ने कैमरा VLAN को ट्रंक नहीं किया था। टीम ने चरण एक से पहले टेम्पलेट को ठीक कर दिया।

परिणाम: प्रति-स्टोर लेगेसी संख्या सप्ताह 22 तक सभी 180 स्टोरों में शून्य तक पहुंच गई। अब पूरे नेटवर्क में कहीं भी कोई साझा स्टाफ की (key) मौजूद नहीं है।

आप कैसे जांचते हैं कि माइग्रेशन साइट दर साइट काम कर रहा है?

पायलट में प्रत्येक चरण को साबित करें

स्केलिंग से पहले हर पायलट साइट पर चार परीक्षण चलाएं:

• जॉइन टेस्ट: एक नया मैनेज्ड डिवाइस, एक ऑनबोर्ड किया गया फोन और एक री-की (re-keyed) किया गया टिल प्रत्येक पहली बार कनेक्ट होता है।
• VLAN टेस्ट: प्रत्येक डिवाइस उस सेगमेंट में जाता है जो उसकी पहचान या की (key) को सेट करना चाहिए।
• रोमिंग टेस्ट: एक हैंडहेल्ड एक्सेस पॉइंट के बीच चलते समय अपना सेशन बनाए रखता है।
• लीवर टेस्ट: एक परीक्षण पहचान को अक्षम करें और उसके प्रमाणपत्र को रद्द करें, फिर पुष्टि करें कि अगला प्रमाणीकरण अस्वीकृत कर दिया गया है।

प्रमाणीकरण लॉग से प्रति साइट प्रगति मापें

प्रमाणीकरण लॉग और कंट्रोलर की क्लाइंट सूची से प्रत्येक सप्ताह प्रति साइट तीन संख्याएँ रिपोर्ट करें:

1. सुरक्षित SSID पर EAP-TLS के साथ प्रमाणित होने वाले डिवाइस।
2. अपनी xPSK की (key) पर मौजूद डिवाइस।
3. अभी भी लेगेसी की (key) का उपयोग कर रहे डिवाइस।

प्रगति की गणना अंतिम 14 दिनों में देखे गए सभी विशिष्ट स्टाफ उपकरणों से पहले दो को विभाजित करके की जाती है। लेगेसी संख्या के आधार पर साइटों को क्रमित करें और प्रयास वहीं भेजें जहाँ संख्या सबसे अधिक है। व्यक्तिगत फोन की गणना पहचान के आधार पर करें, MAC address के आधार पर नहीं। iOS और Android प्रत्येक नेटवर्क पर MAC addresses को रैंडमाइज़ करते हैं, इसलिए एक ही फोन दो के रूप में दिखाई दे सकता है।

आप साझा पासवर्ड को कब बंद करते हैं?

किसी साइट पर लेगेसी कुंजी को तब हटाएं जब ये सभी चार शर्तें पूरी हों:

• लेगेसी संख्या लगातार 14 दिनों से शून्य रही हो, जिसमें दो पूर्ण रोटा चक्र शामिल हों।
• इन्वेंट्री पर मौजूद प्रत्येक हेडलेस डिवाइस के पास अपनी कुंजी हो।
• उस साइट के लिए हेल्पडेस्क टिकट वापस बेसलाइन पर आ गए हों।
• साइट लीड ने साइन ऑफ कर दिया हो।

तारीख दर्ज करें। तब से, आपके पास बदलने की आवश्यकता के लिए 2.3.2 हेतु कोई साझा कुंजी मौजूद नहीं है। आपकी कुंजी रजिस्टर और प्रमाणीकरण लॉग आवश्यकता के प्रमाण बन जाते हैं। यदि कोई छूटा हुआ डिवाइस बाद में दिखाई देता है, तो उसे अपनी खुद की कुंजी दें। साझा कुंजी को कभी भी पुनर्स्थापित न करें।

एक मल्टी-साइट 802.1X रोलआउट में क्या गलत होता है, और आप इसे कैसे ठीक करते हैं?

डिवाइस वापस लेगेसी SSID पर चले जाते हैं

डिवाइस दोनों नेटवर्क को याद रखते हैं और पुराने वाले को प्राथमिकता दे सकते हैं। सुरक्षित SSID काम करने के बाद MDM प्रोफाइल द्वारा लेगेसी नेटवर्क को हटा दें। व्यक्तिगत फोन पर, ऑनबोर्डिंग निर्देशों में "पुराना नेटवर्क भूल जाएं" शामिल करें।

डिवाइस सर्वर को सत्यापित किए बिना जुड़ते हैं

एक WiFi प्रोफाइल जो सर्वर प्रमाण पत्र सत्यापन को छोड़ देती है, वह समान SSID प्रसारित करने वाले किसी दुष्ट एक्सेस प्वाइंट पर भरोसा करेगी। प्रत्येक प्रोफाइल में विश्वसनीय रूट और RADIUS सर्वर नाम को पिन करें।

क्लाइंट प्रमाणित होते हैं लेकिन कोई IP address नहीं मिलता है

RADIUS ने एक VLAN असाइन किया है जिसे स्विच ट्रंक ले नहीं जाता है। पायलट में प्रत्येक स्विच मॉडल पर ट्रंक का ऑडिट करें, फिर अलग-अलग साइट को नहीं, बल्कि टेम्पलेट को ठीक करें।

PEAP पर Windows लैपटॉप विफल हो जाते हैं

Microsoft दस्तावेज़ बताता है कि Windows Defender Credential Guard सहेजे गए क्रेडेंशियल्स के साथ MSCHAPv2 सिंगल साइन-ऑन को ब्लॉक करता है। उन लैपटॉप को EAP-TLS पर ले जाने से पासवर्ड पर निर्भरता समाप्त हो जाती है।

पूरे एस्टेट में एक साथ प्रमाण पत्र समाप्त हो जाते हैं

एक ही पुश में जारी किए गए प्रमाण पत्र एक ही सप्ताह में समाप्त होते हैं। समाप्ति से काफी पहले MDM में स्वचालित नवीनीकरण सेट करें, और यदि आपकी सर्टिफिकेट अथॉरिटी इसकी अनुमति देती है तो प्रारंभिक पुश को चरणबद्ध करें।

बहुत सारे SSID हर नेटवर्क को धीमा कर देते हैं

अतिथि, लेगेसी, सुरक्षित और xPSK SSIDs को एक साथ चलाने से प्रत्येक रेडियो पर बीकन ओवरहेड जुड़ जाता है। संख्या को तीन पर बनाए रखने के लिए लेगेसी SSID को xPSK नेटवर्क में बदलें, जैसा कि ऊपर बताया गया है।

802.1X माइग्रेशन में क्या लागत आती है, और आपको वापस क्या मिलता है?

लागत लाइसेंस और श्रम है, हार्डवेयर नहीं। आप Purple Access के लिए भुगतान करते हैं, साथ ही MDM प्रोफाइल कार्य, हेडलेस उपकरणों के लिए साइट विज़िट और ऑनबोर्डिंग तरंगों के दौरान हेल्पडेस्क समय के लिए भुगतान करते हैं। एक्सेस प्वाइंट, स्विच और कंट्रोलर वैसे ही रहते हैं जैसे वे हैं।

वापसी वह है जो आप करना बंद कर देते हैं। खुदरा परिदृश्य में, साझा कुंजी के एक पूरे एस्टेट-व्यापी रोटेशन का अर्थ था इसे 4,860 उपकरणों पर पुनः दर्ज करना। प्रति डिवाइस अनुमानित तीन मिनट पर, यह प्रति रोटेशन स्टाफ समय के 243 घंटे हैं। माइग्रेशन के बाद, किसी व्यक्ति के जाने का अर्थ है एक पहचान को अक्षम करना, साथ ही उस व्यक्ति द्वारा दर्ज की गई किसी भी डिवाइस कुंजी को बदलना।

आपको यह भी ऑथेंटिकेशन लॉग मिलता है कि किस पहचान या कुंजी ने किस साइट को और कब जॉइन किया। वह लॉग PCI DSS 2.3.2 के लिए और ISO 27001 Annex A कंट्रोल 5.18 के तहत एक्सेस-राइट्स समीक्षाओं के लिए साक्ष्य है। Purple के पास ISO 27001 और Cyber Essentials सर्टिफिकेशन है और यह 80,000+ लाइव स्थानों पर 99.999% अपटाइम पर चलता है। जब RADIUS यह तय करता है कि कर्मचारी काम कर सकते हैं या नहीं, तब यह अपटाइम बहुत मायने रखता है।

अक्सर पूछे जाने वाले प्रश्न

क्या कर्मचारियों के WiFi को 802.1X पर स्थानांतरित करने के लिए हमें नए एक्सेस पॉइंट की आवश्यकता है?

नहीं। 802.1X और प्रति-डिवाइस कुंजियाँ उन्हीं एक्सेस पॉइंट्स पर चलती हैं जो आपके पास पहले से हैं। Purple Access हार्डवेयर-अग्नोस्टिक है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर एक क्लाउड ओवरले के रूप में काम करता है। आप एक Enterprise SSID कॉन्फ़िगर करते हैं जो Purple के क्लाउड RADIUS की ओर इशारा करता है, साथ ही अपने वेंडर की खुद की सुविधा का उपयोग करके एक प्रति-डिवाइस कुंजी नेटवर्क भी कॉन्फ़िगर करते हैं। एक भौतिक जांच यह है कि प्रत्येक स्विच ट्रंक नए VLANs को ले जाता है।

क्या हम साझा पासवर्ड SSID और 802.1X SSID को एक ही समय में चला सकते हैं?

हां, और आपको ऐसा करना चाहिए, क्योंकि दोनों को चलाने से कटओवर सप्ताहांत की आवश्यकता समाप्त हो जाती है। जहां आपका प्लेटफॉर्म इसकी अनुमति देता है, वहां लेगेसी SSID को xPSK नेटवर्क में बदल दें। पुराने पासवर्ड को एक प्रतिबंधित VLAN पर एक कुंजी के रूप में रखें, ताकि जब आप उन्हें स्थानांतरित करें तो डिवाइस काम करते रहें। प्रत्येक साइट पर उस कुंजी को हटा दें जब उसका ऑथेंटिकेशन लॉग लगातार 14 दिनों तक इसका उपयोग करने वाले किसी भी डिवाइस को न दिखाए।

उन डिवाइसों का क्या होता है जो 802.1X का समर्थन नहीं करते हैं?

वे xPSK नेटवर्क पर चले जाते हैं, प्रत्येक की अपनी कुंजी होती है। टिल, कार्ड टर्मिनल, प्रिंटर, कैमरे और साइनेज प्लेयर शायद ही कभी सर्टिफिकेट रखते हैं, लेकिन लगभग सभी WPA2 पासफ़्रेज़ स्वीकार करते हैं। प्रत्येक कुंजी अपने डिवाइस वर्ग के लिए एक VLAN से मैप होती है, ताकि आप किसी अन्य को छुए बिना एक डिवाइस को रद्द कर सकें। प्रत्येक कुंजी किसने दर्ज की है, इसका एक रजिस्टर रखें, क्योंकि PCI DSS 2.3.2 अभी भी उन कुंजियों पर लागू होता है जिन्हें छोड़ने वाला व्यक्ति जानता था।

एक बहु-साइट 802.1X माइग्रेशन में कितना समय लगता है?

50 साइटों पर 10 से 14 सप्ताह और 200 साइटों पर 20 से 26 सप्ताह की योजना बनाएं, फिर अपने पायलट में उन मान्यताओं का परीक्षण करें। प्रबंधित डिवाइस सबसे तेज़ी से स्थानांतरित होते हैं क्योंकि MDM एक साथ हर साइट पर पुश करता है। हेडलेस डिवाइस गति निर्धारित करते हैं, क्योंकि कुछ के लिए साइट पर जाने की आवश्यकता होती है। आपके द्वारा साझा किए गए पासवर्ड को बंद करने से पहले प्रत्येक साइट को ऑथेंटिकेशन लॉग में कम से कम 14 साफ़ दिनों की आवश्यकता होती है।

क्या 802.1X हमारे कर्मचारियों के WiFi को PCI DSS अनुपालन योग्य बनाता है?

कोई भी एकल नियंत्रण ऐसा नहीं करता है, और आपका निर्धारक निर्णय लेता है। EAP-TLS और प्रति-डिवाइस कुंजियाँ आपको PCI DSS v4.0.1 में आवश्यकता 2.3.2 के लिए साक्ष्य देती हैं। एक बार कोई साझा कुंजी मौजूद न होने पर, छोड़ने वाला व्यक्ति अब पूरे एस्टेट में कुंजी परिवर्तन के लिए बाध्य नहीं करता है। ऑथेंटिकेशन लॉग दिखाता है कि किस पहचान या कुंजी ने किस साइट को और कब जॉइन किया, जो ISO 27001 के तहत एक्सेस-राइट्स समीक्षाओं का भी समर्थन करता है।

क्या हमें सर्टिफिकेट के बजाय पासवर्ड के साथ PEAP का उपयोग करना चाहिए?

जहां भी संभव हो EAP-TLS का उपयोग करें। PEAP-MSCHAPv2 साझा कुंजी को हटा देता है लेकिन फिर भी पासवर्ड पर निर्भर रहता है। यदि कोई डिवाइस सर्वर प्रमाण पत्र को सत्यापित नहीं करता है तो उन पासवर्ड को कैप्चर किया जा सकता है। Microsoft यह भी दस्तावेज करता है कि Windows Defender Credential Guard सहेजे गए क्रेडेंशियल के साथ MSCHAPv2 सिंगल साइन-ऑन को ब्लॉक करता है। यह कई प्रबंधित Windows लैपटॉप पर पासवर्ड-आधारित WiFi को बाधित करता है। आपके MDM द्वारा भेजे गए प्रमाण पत्र दोनों समस्याओं से बचाते हैं और कर्मचारियों से किसी कार्रवाई की आवश्यकता नहीं होती है।

क्या हमें 802.1X के लिए ऑन-प्रेमाइसेस RADIUS सर्वर की आवश्यकता है?

नहीं। Purple Access क्लाउड RADIUS प्रदान करता है, इसलिए प्रत्येक साइट पर कुछ भी इंस्टॉल करने, पैच करने या लचीला बनाने की आवश्यकता नहीं है। आपके एक्सेस पॉइंट Purple को प्रमाणीकरण अनुरोध भेजते हैं। Purple प्रमाण पत्र या कुंजी की जांच करता है, Microsoft Entra ID, Okta या Google Workspace से पहचान नियम लागू करता है और VLAN वापस करता है। Purple 99.999% अपटाइम पर चलता है और इसके पास ISO 27001 और Cyber Essentials प्रमाणन है।

क्या कर्मचारी एक ही 802.1X SSID पर व्यक्तिगत फोन का उपयोग कर सकते हैं?

हां, यदि आपकी नीति इसकी अनुमति देती है। कर्मचारी ओपन नेटवर्क से जुड़ते हैं, अपनी कार्य पहचान के साथ कैप्टिव पोर्टल पर साइन इन करते हैं और सुरक्षित नेटवर्क प्रोफाइल प्राप्त करते हैं। इसके बाद एक Passpoint प्रोफाइल पूरी संपत्ति की हर साइट पर फोन को स्वचालित रूप से जोड़ती है। व्यक्तिगत फोन को केवल इंटरनेट वाले स्टाफ VLAN में मैप करें, जो भुगतान और बैक-ऑफिस सेगमेंट से अलग हो। पायलट में परीक्षण करें कि आपकी लीवर प्रक्रिया उनकी पहुंच को हटा देती है।