रिटेल स्टोर उपकरणों के लिए PPSK: Cisco Meraki और Juniper Mist पर टिल, स्कैनर और CCTV के लिए एक परिनियोजन चेकलिस्ट

Private pre-shared keys (PPSK) एक ही SSID पर हर टिल, स्कैनर, प्रिंटर और स्क्रीन को अपनी खुद की WiFi कुंजी देते हैं। प्रत्येक कुंजी एक VLAN (वर्चुअल LAN), नीति और बैंडविड्थ सीमा से जुड़ी होती है, जिससे टिल सिगनेज और CCTV से अलग रहते हैं। कुंजियों को MAC पतों से बाइंड करें और किसी एक खोए हुए डिवाइस की कुंजी को रद्द करें। Cisco Meraki इसे Identity PSK कहता है; Juniper Mist इसे Multi PSK कहता है।

PPSK वास्तव में रिटेल स्टोर डिवाइस के लिए क्या करता है?

अधिकांश स्टोर संपत्तियां गलती से अपने डिवाइस का WiFi नेटवर्क बनाती हैं। स्कैनर कर्मचारियों के SSID से जुड़ते हैं। सिगनेज प्लेयर उस नेटवर्क से जुड़ते हैं जो इंस्टॉलर को दिखाई देता है। एक वायरलेस कैमरा गेस्ट नेटवर्क पर समाप्त होता है। सब कुछ एक ही पासवर्ड साझा करता है जो स्टोर खुलने के बाद से नहीं बदला है।

PPSK डिवाइस से कुछ भी नया करने की मांग किए बिना इसे ठीक करता है। डिवाइस अभी भी एक SSID देखता है और एक WPA2-Personal पासफ़्रेज़ दर्ज करता है। बदलाव नेटवर्क की तरफ होता है। प्रत्येक डिवाइस को अलग पासफ़्रेज़ मिलता है। एक्सेस पॉइंट प्रत्येक पासफ़्रेज़ को किसी पहचान से मिलाता है, या तो स्थानीय रूप से या RADIUS सर्वर से पूछकर। फिर यह उस पहचान से जुड़े VLAN, फ़ायरवॉल नियमों और बैंडविड्थ सीमा को लागू करता है। RADIUS वह प्रोटोकॉल है जिसका उपयोग एक्सेस पॉइंट एक केंद्रीय सर्वर से यह पूछने के लिए करता है कि डिवाइस कौन सा है और वह कहाँ तक पहुँच सकता है।

एक स्टोर में तीन परिणाम मायने रखते हैं:

• पहचान के आधार पर पृथक्करण। एक ही SSID पर एक टिल और एक सिगनेज प्लेयर अलग-अलग VLANs पर उतरते हैं, जिनमें अलग-अलग फ़ायरवॉल नियम होते हैं।
• नियंत्रण। IEEE 802.11i के तहत, प्रत्येक डिवाइस अपने पासफ़्रेज़ से अपनी सत्र कुंजियाँ प्राप्त करता है। साझा पासफ़्रेज़ रखने वाला कोई भी व्यक्ति जो हैंडशेक कैप्चर करता है, वह दूसरे डिवाइस की सत्र कुंजियाँ प्राप्त कर सकता है। PPSK के साथ, लीक हुई सिगनेज कुंजी टिल ट्रैफ़िक को डिकोड नहीं कर सकती।
• एक स्थान पर निरस्तीकरण। एक कुंजी हटाएं और एक डिवाइस पहुंच खो देता है। स्टोर में कुछ और नहीं बदलता है।

आपके तीन नेटवर्क के बीच PPSK कहाँ स्थित है

Purple Access एक ही प्लेटफ़ॉर्म पर तीन नेटवर्क चलाता है, और पहचान प्रत्येक पर VLAN सेट करती है। ओपन नेटवर्क कैप्टिव पोर्टल के माध्यम से खरीदारों को सेवा प्रदान करता है, जिसे हमारे Captive portals गाइड में शामिल किया गया है। सुरक्षित नेटवर्क 802.1X और EAP-TLS के साथ कर्मचारियों को सेवा प्रदान करता है। 802.1X शामिल होने से पहले प्रत्येक डिवाइस को प्रमाणित करने का मानक है। EAP-TLS वह विधि है जो डिवाइस पर एक प्रमाणपत्र का उपयोग करती है। कर्मचारी Microsoft Entra ID, Okta या Google Workspace के साथ भी साइन इन कर सकते हैं, जैसा कि Okta WiFi Authentication: Setup Steps, Options and Fixes में दिखाया गया है।

प्रमाणपत्र (Certificates) लोगों के लिए डिफ़ॉल्ट रहते हैं। xPSK नेटवर्क उन सभी चीजों को कवर करता है जिनमें एक को नहीं रखा जा सकता: टिल, हैंडहेल्ड स्कैनर, रसीद प्रिंटर, साइनेज प्लेयर और वायरलेस CCTV। हम अपार्टमेंट भवनों में रहने वालों के लिए भी उसी मॉडल का उपयोग करते हैं, जिसे Multifamily WiFi: how isolation, xPSK and billing work में समझाया गया है। पूर्ण सुरक्षा मॉडल के लिए, हमारी WiFi security गाइड देखें।

विकल्पों के साथ PPSK की तुलना

विधि	डिवाइस में क्या रहता है	एक डिवाइस को निरस्त (Revoke) करना	प्रति-डिवाइस VLAN और नीति	अतिरिक्त इन्फ्रास्ट्रक्चर	किसके लिए उपयुक्त
साझा PSK	प्रत्येक डिवाइस द्वारा साझा किया गया एक पासफ़्रेज़	SSID पर प्रत्येक डिवाइस को फिर से कुंजी (Re-key) दें	नहीं, प्रति SSID एक VLAN	कोई नहीं	भुगतान से जुड़ी किसी भी चीज़ के लिए नहीं
PPSK (Meraki Identity PSK, Mist Multi PSK)	इसका अपना पासफ़्रेज़, वैकल्पिक रूप से इसके MAC से बंधा हुआ	एक कुंजी हटाएं	हाँ, प्रति कुंजी	Meraki: MAC बाइंडिंग के लिए RADIUS। Mist: Cloud PSK के साथ कोई नहीं	टिल, स्कैनर, प्रिंटर, साइनेज, CCTV
EAP-TLS के साथ IEEE 802.1X	एक क्लाइंट प्रमाणपत्र	एक प्रमाणपत्र निरस्त करें	हाँ, प्रति पहचान	RADIUS सर्वर और पब्लिक की इन्फ्रास्ट्रक्चर (PKI)	MDM के तहत स्टाफ के लैपटॉप और फोन
MAC प्रमाणीकरण बायपास	कुछ नहीं: MAC एड्रेस ही पहचान है	एक MAC एड्रेस हटाएं	हाँ, प्रति MAC एड्रेस	RADIUS सर्वर	वायर्ड डिवाइस जो किसी अन्य चीज़ का समर्थन नहीं करते हैं

MDM का अर्थ मोबाइल डिवाइस मैनेजमेंट है, वह सिस्टम जो कंपनी के स्वामित्व वाले फोन, स्कैनर और लैपटॉप पर सेटिंग्स भेजता है।

अपने स्टोर में PPSK तैनात करने से पहले आपको क्या चाहिए?

अधिकांश काम एक भी कुंजी बनाने से पहले होता है। पहले इन्हें तैयार रखें:

• प्रति स्टोर एक डिवाइस इन्वेंट्री। डिवाइस वर्ग, मेक, मॉडल, MAC एड्रेस, क्या MAC फिक्स्ड है, समर्थित सुरक्षा मोड और रेडियो बैंड रिकॉर्ड करें।
• एक सेगमेंट प्लान। भुगतान, CCTV और साइनेज अनुबंधों के मालिक के साथ प्रति डिवाइस वर्ग एक VLAN पर सहमति व्यक्त करें।
• प्रत्येक एक्सेस पॉइंट पर VLAN ट्रंकिंग। प्रत्येक AP अपलिंक पोर्ट में प्रत्येक सेगमेंट VLAN होना चाहिए, अन्यथा डिवाइस एसोसिएट हो जाते हैं और फिर कोई IP एड्रेस प्राप्त नहीं करते हैं।
• प्रति सेगमेंट फ़ायरवॉल नियम। कुछ भी कॉन्फ़िगर करने से पहले लिखें कि प्रत्येक सेगमेंट कहाँ तक पहुँच सकता है।
• कंसोल एक्सेस। आपको Meraki Dashboard या Juniper Mist पोर्टल में संगठन-स्तरीय एडमिन अधिकारों की आवश्यकता है।
• कुंजियाँ कहाँ रहेंगी इस पर एक निर्णय। कुंजियाँ स्वयं SSID पर, RADIUS सर्वर पर, या क्लाउड की सेवा में रह सकती हैं। नीचे दी गई तालिका आपकी संपत्ति को एक विकल्प से जोड़ती है।
• Android स्कैनर का MDM नियंत्रण। प्रति नेटवर्क MAC एड्रेस को ठीक करने और दूरस्थ रूप से कुंजियों को पुश करने के लिए आपको इसकी आवश्यकता होगी।
• की रजिस्टर का एक मालिक। कर्मचारियों की तरह ही डिवाइसों के भी नए जुड़ने वाले, बदलने वाले और छोड़ने वाले होते हैं। किसी को जारी की गई प्रत्येक कुंजी और निरस्त की गई प्रत्येक कुंजी को रिकॉर्ड करना होगा।

आपकी संपत्ति	कुंजियाँ कहाँ रहनी चाहिए	MAC बाइंडिंग	क्यों
केवल Cisco Meraki, प्रति डिवाइस वर्ग एक कुंजी	RADIUS के बिना Identity PSK, SSID पर संग्रहीत कुंजियाँ	उपलब्ध नहीं	सबसे तेज़ शुरुआत, लेकिन लीक हुई कुंजी किसी भी डिवाइस पर काम करती है
Cisco Meraki, प्रति डिवाइस एक कुंजी	RADIUS के साथ Identity PSK, एक क्लाउड RADIUS सेवा की ओर इंगित करते हुए	हाँ, MAC एड्रेस द्वारा लुकअप	प्रत्येक कुंजी केवल उसी डिवाइस के लिए काम करती है जिसके लिए इसे जारी किया गया था
केवल Juniper Mist	Mist Cloud PSK	हाँ, एकल उपयोग कुंजियों के साथ	Mist क्लाउड के लिए मूल, प्रति कुंजी VLAN, भूमिका और समाप्ति के साथ
मिश्रित संपत्ति: Meraki के साथ HPE Aruba, Ruckus, Mist या Ubiquiti UniFi	क्लाउड RADIUS के रूप में Purple Access xPSK	हाँ	हर प्रदाता में एक कुंजी रजिस्टर, कोई रिप और रिप्लेस नहीं

आप Cisco Meraki और Juniper Mist पर PPSK कैसे सेट करते हैं?

चरण 1: कुंजी से सेगमेंट मैप का डिज़ाइन बनाएं

किसी भी कंसोल को छूने से पहले सेगमेंट का डिज़ाइन बनाएं। यह मैप भुगतान टर्मिनल WiFi सुरक्षा को उन सभी चीजों से अलग रखता है जिन्हें भुगतान तक पहुँचने की आवश्यकता नहीं है।

डिवाइस श्रेणी	सेगमेंट	यहाँ तक पहुँच सकता है	बैंडविड्थ नीति	कुंजी दायरा
भुगतान टर्मिनल और टिल	भुगतान	केवल भुगतान प्रोसेसर और टिल सर्वर	असीमित, सर्वोच्च प्राथमिकता	प्रति डिवाइस एक, MAC-बद्ध
हैंडहेल्ड स्कैनर	स्टोर संचालन	स्टॉक, ऑर्डरिंग और हैंडहेल्ड प्रबंधन प्रणाली	प्रति डिवाइस सीमा	प्रति डिवाइस एक, MAC-बद्ध
रसीद और लेबल प्रिंटर	स्टोर संचालन	टिल और प्रिंट सर्वर	कम प्रति डिवाइस सीमा	प्रति डिवाइस एक, MAC-बद्ध
डिजिटल साइनेज प्लेयर	साइनेज	कंटेंट मैनेजमेंट सिस्टम और अपडेट सर्वर	प्रति डिवाइस सीमा	प्रति डिवाइस एक, MAC-बद्ध
वायरलेस CCTV कैमरे	CCTV	केवल नेटवर्क वीडियो रिकॉर्डर	कैमरा बिटरेट पर आरक्षित हेडरूम	प्रति डिवाइस एक, MAC-बद्ध

सेगमेंट की संख्या कम रखें। अधिकांश संपत्तियों के लिए प्रति स्टोर पाँच सेगमेंट पर्याप्त हैं, और प्रत्येक अतिरिक्त VLAN को हर AP से ट्रंक किया जाना चाहिए।

चरण 2: Cisco Meraki और Identity PSK

Meraki समूह नीतियों के माध्यम से प्रति कुंजी नीति लागू करता है, इसलिए उन्हें पहले बनाएं। Meraki डैशबोर्ड में, प्रति सेगमेंट एक समूह नीति बनाएं। प्रत्येक नीति उस सेगमेंट के लिए VLAN टैग, बैंडविड्थ सीमा और लेयर 3 और लेयर 7 फ़ायरवॉल नियम निर्धारित करती है।

इसके बाद, अपने डिवाइस SSID के लिए एक्सेस कंट्रोल सेटिंग्स खोलें। Meraki दो Identity PSK मोड प्रदान करता है:

• बिना RADIUS के Identity PSK। आप सीधे SSID पर कुंजियाँ दर्ज करते हैं और प्रत्येक कुंजी को एक समूह नीति से मैप करते हैं। कोई MAC बाइंडिंग उपलब्ध नहीं है, इसलिए जो भी डिवाइस कुंजी सीखता है, उसे उस कुंजी की नीति मिल जाती है।
• RADIUS के साथ Identity PSK। एक्सेस पॉइंट आपके RADIUS सर्वर को डिवाइस का MAC एड्रेस भेजता है। सर्वर उस MAC एड्रेस के लिए पासफ्रेज और समूह नीति लौटाता है। एक कुंजी केवल उसी डिवाइस के लिए काम करती है जिसके लिए इसे जारी किया गया था।

टिल और भुगतान सेगमेंट के किसी भी डिवाइस के लिए, RADIUS मोड का उपयोग करें। Cisco के दस्तावेज़ पृष्ठ "IPSK without RADIUS" और "IPSK with RADIUS Authentication" प्रत्येक मोड के लिए सटीक चरण प्रदान करते हैं।

चरण 3: Juniper Mist और Multi PSK

Juniper Mist पोर्टल में, एकाधिक पासफ्रेज का उपयोग करने के लिए अपने डिवाइस WLAN को सेट करें। Mist आपको तीन कुंजी स्रोत देता है: स्थानीय रूप से WLAN पर संग्रहीत कुंजियाँ, संगठन स्तर पर रखी गई Cloud PSKs, या RADIUS सर्वर द्वारा लौटाई गई कुंजियाँ।

स्टोर संपदा के लिए, Cloud PSK एक मूल विकल्प है। प्रत्येक Cloud PSK का अपना VLAN, भूमिका और समाप्ति तिथि होती है। स्टोर डिवाइस को सिंगल-यूज़ पर सेट करें, जो की (key) को जुड़ने वाले पहले MAC एड्रेस से बांधता है। फिर यह नियंत्रित करने के लिए कि वह सेगमेंट कहां तक पहुंच सकता है, अपनी WxLAN नीतियों में प्रत्येक की (key) की भूमिका का उपयोग करें। साइनेज और स्कैनर बैंडविड्थ को सीमित करने के लिए रेट लिमिट लागू करें। Juniper का Multi PSK दस्तावेज़ WLAN सेटिंग्स और Cloud PSK फ़ील्ड को पूरी तरह से कवर करता है।

चरण 4: विक्रेताओं में एक की (key) रजिस्टर के रूप में Purple Access

अधिकांश रिटेल संपदाएं अधिग्रहण और रीफिट के बाद एक से अधिक हार्डवेयर विक्रेताओं को चलाती हैं। Purple Access xPSK नेटवर्क को क्लाउड RADIUS के रूप में चलाता है, इसलिए एक की (key) रजिस्टर हर स्टोर को सेवा प्रदान करता है। Meraki SSIDs Purple पर RADIUS के साथ Identity PSK को इंगित करते हैं। Mist WLANs की (key) स्रोत के रूप में RADIUS का उपयोग करते हैं। Purple प्रत्येक MAC एड्रेस के लिए प्रति-डिवाइस की (key), VLAN और नीति लौटाता है।

यही मॉडल Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर चलता है। आप अपने एक्सेस पॉइंट्स और स्विच रखते हैं। आपके विक्रेता के लिए Purple का सहायता लेख सटीक RADIUS सेटिंग्स सूचीबद्ध करता है।

स्टोर रोलआउट चेकलिस्ट

1. एक पायलट स्टोर चुनें जिसमें आपके द्वारा चलाई जाने वाली हर डिवाइस श्रेणी शामिल हो।
2. प्रत्येक डिवाइस के लिए एक सत्यापित MAC एड्रेस के साथ उस स्टोर की डिवाइस इन्वेंट्री निर्यात करें।
3. कटओवर दिवस से पहले प्रत्येक सेगमेंट VLAN को प्रत्येक AP अपलिंक पोर्ट से ट्रंक करें।
4. सेगमेंट नीतियां बनाएं: Meraki पर ग्रुप नीतियां, Mist पर भूमिकाएं और WxLAN नीतियां।
5. प्रति डिवाइस एक की (key) बनाएं और इसे की (key) रजिस्टर में रिकॉर्ड करें।
6. MDM के माध्यम से Android स्कैनर्स के लिए डिवाइस SSID के लिए एक निश्चित-MAC सेटिंग पुश करें।
7. मौजूदा स्टाफ SSID के साथ डिवाइस SSID प्रसारित करें।
8. डिवाइस श्रेणी के अनुसार आगे बढ़ें: पहले साइनेज, फिर प्रिंटर और स्कैनर, फिर ट्रेडिंग घंटों के बाहर टिल (tills)।
9. अगली श्रेणी में जाने से पहले अगले भाग में प्रत्येक परीक्षण चलाएं।
10. पुराने साझा किए गए स्टाफ पासवर्ड को एक अंतिम बार बदलें, ताकि कोई भी डिवाइस इस पर वापस न आ सके।
11. निरसन रनबुक लिखें: डिवाइस खो गया, की (key) रद्द कर दी गई, नई की (key) के साथ प्रतिस्थापन जारी किया गया।
12. पायलट नीतियों का पुन: उपयोग करते हुए स्टोर की तरंगों (waves) में रोल आउट करें, और सबूत के रूप में परीक्षण परिणामों को रखें।

आप कैसे जांचते हैं कि PPSK प्रत्येक स्टोर में काम करता है?

प्रत्येक डिवाइस श्रेणी का परीक्षण करें, न कि केवल एक डिवाइस का। स्कैनर पर एक सफल परीक्षण आपको अलग VLAN पर प्रिंटर के बारे में कुछ नहीं बताता है।

• सही सेगमेंट। Meraki Dashboard या Mist क्लाइंट इनसाइट्स में क्लाइंट सूची की जांच करें। प्रत्येक डिवाइस को उस सेगमेंट के सबनेट से अपेक्षित VLAN और एक IP एड्रेस दिखाना चाहिए।
• अलगाव (Isolation)। साइनेज सेगमेंट पर एक परीक्षण डिवाइस से, टिल सर्वर और वीडियो रिकॉर्डर तक पहुंचने का प्रयास करें। दोनों प्रयास विफल होने चाहिए।
• MAC बाइंडिंग। एक टेस्ट फोन पर स्कैनर की की (key) दर्ज करें। फोन को अस्वीकृत कर दिया जाना चाहिए।
• निरसन (Revocation)। एक परीक्षण की (key) को रद्द करें और पुष्टि करें कि डिवाइस फिर से नहीं जुड़ सकता है। यदि मौजूदा सत्र बना रहता है, तो क्लाइंट को कंसोल से डिस्कनेक्ट करें। स्टोर में हर दूसरा डिवाइस जुड़ा रहना चाहिए।
• बैंडविड्थ। साइनेज प्लेयर से थ्रूपुट परीक्षण चलाएं और पुष्टि करें कि सीमा लागू है। Bandwidth Usage Measurement: Methods, KPIs and Setup के लिए हमारी गाइड इस विधि को कवर करती है।
• रोमिंग। स्टॉकरूम से दुकान के दूरस्थ कोने तक स्कैनर लेकर चलें। स्कैनिंग ऐप कनेक्ट रहना चाहिए।

आउटपुट सुरक्षित रखें। आपकी कुंजी रजिस्टर, सेगमेंट नीतियां, निरसन लॉग और अलगाव परीक्षण परिणाम PCI-DSS v4.0 के लिए प्रमाण प्रदान करते हैं। आवश्यकता 1 सेगमेंट के बीच नेटवर्क सुरक्षा नियंत्रणों को कवर करती है। आवश्यकता 2.3 डिफ़ॉल्ट कुंजियों को बदलने सहित वायरलेस वातावरण को कवर करती है। आवश्यकता 11.2.1 के तहत दुष्ट एक्सेस प्वाइंट जांच एक अलग कार्य बना हुआ है।

PPSK के साथ क्या गलत होता है, और आप इसे कैसे ठीक करते हैं?

लक्षण	संभावित कारण	सुधार
डिवाइस जुड़ता है लेकिन कोई IP पता नहीं मिलता	सेगमेंट VLAN AP के स्विच पोर्ट पर ट्रंक नहीं है	प्रत्येक AP अपलिंक पोर्ट पर प्रत्येक सेगमेंट VLAN को टैग करें
OS अपडेट के बाद स्कैनर अस्वीकृत हुआ	MAC रैंडमाइजेशन चालू है; Android 10 और बाद के संस्करण डिफ़ॉल्ट रूप से प्रति नेटवर्क रैंडमाइज करते हैं	MDM के माध्यम से डिवाइस MAC का उपयोग करने के लिए डिवाइस SSID प्रोफ़ाइल सेट करें
एक कुंजी दो डिवाइस पर काम करती है	कुंजी MAC पते से बंधी नहीं है (RADIUS के बिना Meraki, Mist बहु-उपयोग)	RADIUS या Mist एकल-उपयोग कुंजियों के साथ Identity PSK पर जाएँ
पुराना प्रिंटर शामिल नहीं हो पा रहा है	डिवाइस केवल 2.4 GHz और WPA2-Personal का समर्थन करता है	डिवाइस SSID पर 2.4 GHz और WPA2-Personal सक्षम रखें
गलियारों के बीच स्कैनर का कनेक्शन टूट जाता है	802.11r फास्ट रोमिंग लेगेसी क्लाइंट के साथ असंगत है	डिवाइस SSID पर तेज़ संक्रमण अक्षम करके परीक्षण करें
साइनेज सामग्री पुश के दौरान बिलिंग काउंटर धीमे हो जाते हैं	साइनेज नीति में कोई बैंडविड्थ सीमा नहीं है	साइनेज सेगमेंट पर प्रति-डिवाइस सीमा लागू करें
कुंजी हटाने के बाद भी खोया हुआ डिवाइस ऑनलाइन है	पुन: प्रमाणीकरण होने तक मौजूदा सत्र बना रहता है	निरस्त करने के बाद कंसोल में क्लाइंट को डिस्कनेक्ट करें

दो समस्याएं तालिका की एक पंक्ति से अधिक ध्यान देने योग्य हैं।

पहला वह कुंजी है जो दूसरा साझा पासवर्ड बन जाती है। एक तकनीशियन स्टिकर पर स्कैनर कुंजी लिखता है, और छह डिवाइस इसका उपयोग करने लगते हैं। MAC बाइंडिंग इसे रोकती है। बाइंडिंग के बिना, एक प्रति-डिवाइस कुंजी केवल परिपाटी द्वारा प्रति-डिवाइस कुंजी होती है।

दूसरा WPA3 है। कई प्रति-डिवाइस कुंजी कार्यान्वयन WPA2-Personal पर निर्भर करते हैं, और कई बिलिंग काउंटर और प्रिंटर इससे नए किसी भी चीज़ का समर्थन नहीं करते हैं। इसके आसपास डिज़ाइन करने से पहले अपने फर्मवेयर पर WPA3 समर्थन के लिए Cisco Meraki और Juniper Mist दस्तावेज़ की जांच करें।

दो व्यावहारिक परिदृश्य: एक फैशन श्रृंखला और एक स्टेडियम

रिटेल: Cisco Meraki पर 150-स्टोर की फैशन श्रृंखला

स्थिति। 150-स्टोर की एक श्रृंखला पर विचार करें, जिसमें प्रति स्टोर छह बिलिंग काउंटर, आठ स्कैनर, दो प्रिंटर और चार साइनेज प्लेयर हैं। सभी 20 डिवाइस स्टाफ SSID और एक पासवर्ड साझा करते हैं। इससे पूरी संपत्ति में एक ही कुंजी पर 3,000 डिवाइस हो जाते हैं। PCI-DSS आवश्यकता 2.3.2 आपसे पूछती है कि जब कोई व्यक्ति जो उन्हें जानता है, छोड़ता है, तो वायरलेस कुंजियों को बदलें। हर स्टोर मैनेजर यह पासवर्ड जानता है, इसलिए हर मैनेजर के जाने पर 3,000 री-की ट्रिगर होने चाहिए। व्यवहार में, ऐसा कभी नहीं होता है।

क्या किया गया। चेन ने RADIUS के साथ Identity PSK का उपयोग करके एक डिवाइस SSID जोड़ा, जिसमें Purple Access के पास कुंजी का रजिस्टर है। चार ग्रुप नीतियां भुगतान, स्टोर संचालन, साइनेज और प्रिंटर को अलग करती हैं। MDM स्कैनर को कुंजियां भेजता है, इसलिए स्टोर कर्मचारियों को कभी भी डिवाइस कुंजी दिखाई नहीं देती है।

परिणाम। स्कैनर चोरी होने का मतलब अब एक कुंजी को रद्द करना है और उस स्टोर के 20 उपकरणों के बजाय शून्य अन्य उपकरणों को छूना है। किसी मैनेजर के जाने से अब रोटेशन ट्रिगर नहीं होता है, क्योंकि मैनेजर कभी भी डिवाइस कुंजियां नहीं रखते हैं। फ्लैट नेटवर्क पर प्रति स्टोर 20 डिवाइसों से भुगतान खंड घटकर छह टिल रह जाता है। PCI SSC मार्गदर्शन कहता है कि आपके मूल्यांकनकर्ता के सत्यापन के अधीन, विभाजन दायरे में मौजूद प्रणालियों को कम कर सकता है।

ईवेंट: Juniper Mist पर एक स्टेडियम

स्थिति। 40 स्थायी कंसेशन टिल और 120 साइनेज स्क्रीन वाले स्टेडियम पर विचार करें। एक टिकटिंग ठेकेदार हर ईवेंट में 25 हैंडहेल्ड स्कैनर लाता है। ठेकेदार को हमेशा कर्मचारियों का पासवर्ड दिया गया है, और यह कभी नहीं बदला है।

क्या किया गया। स्टेडियम Mist क्लाउड PSKs पर स्थानांतरित होता है। टिल को भुगतान VLAN पर एकल उपयोग कुंजियां मिलती हैं। साइनेज कुंजियां दर सीमा वाले रोल के साथ आती हैं। प्रत्येक ईवेंट में, ठेकेदार के 25 स्कैनर उनके अपने VLAN पर एकल उपयोग कुंजियां प्राप्त करते हैं, जिसकी समाप्ति ईवेंट के दिन के अंत पर सेट होती है।

परिणाम। सभी 25 ठेकेदार कुंजियां प्रत्येक ईवेंट के बाद स्वचालित रूप से समाप्त हो जाती हैं, जिसमें मैन्युअल रूप से कुछ भी रद्द नहीं करना पड़ता है। ठेकेदार के उपकरण कभी भी ऐसी कुंजी नहीं रखते हैं जो टिल सेगमेंट तक पहुंचती हो। साइनेज कैप्स का मतलब है कि हाफ टाइम पर सामग्री पुश से कंसेशन भुगतानों की गति धीमी नहीं हो सकती है।

PPSK की लागत क्या है, और आपको वापस क्या मिलता है?

PPSK को किसी नए हार्डवेयर की आवश्यकता नहीं है। आपकी लागत चार जगहों पर होती है:

• डिजाइन का समय। इन्वेंट्री बनाना, सेगमेंट पर सहमति देना और फ़ायरवॉल नियम लिखना।
• स्विच परिवर्तन। प्रत्येक AP को सेगमेंट VLANs को ट्रंक करना, जो आमतौर पर एक टेम्पलेट पुश होता है।
• अनप्रबंधित उपकरणों के लिए स्टोर विजिट। बिना MDM वाले प्रिंटर और कैमरों को स्थानीय परिवर्तन की आवश्यकता होती है।
• MAC बाइंडिंग के लिए एक कुंजी सेवा। Meraki पर, इसका मतलब Purple Access जैसी RADIUS सेवा है। अपने पुनर्विक्रेता के साथ अपने Meraki और Mist लाइसेंस स्तरों की जांच करें।

रिटर्न को अंकगणित में देखना सबसे आसान है। ऊपर दी गई फ़ैशन श्रृंखला में, एक साझा कुंजी को घुमाने का अर्थ 3,000 उपकरणों को छूना है। प्रति डिवाइस पांच मिनट मान लें, तो एक रोटेशन में 250 घंटे का स्टोर और IT समय लगता है। PPSK के साथ, उसी ईवेंट में केवल एक कुंजी परिवर्तन की लागत आती है। बड़ा रिटर्न रोकथाम है: एक खोया हुआ स्कैनर केवल एक डिवाइस के सेगमेंट को उजागर करता है, भुगतान नेटवर्क को नहीं।

Purple 80,000+ लाइव स्थानों पर काम करता है और उसने 2024 में 440 मिलियन लॉगिन को संभाला (Purple का अपना डेटा)। Purple के पास ISO 27001 प्रमाणन है। ओपन नेटवर्क पर गेस्ट मार्केटिंग Engage में है। किसी भी सेगमेंट के लिए DNS फ़िल्टरिंग Shield है, जो एक अलग ऐड ऑन है। ओपन और सुरक्षित नेटवर्क के लिए, हमारे Access गाइड्स ब्राउज़ करें।

अक्सर पूछे जाने वाले प्रश्न

क्या हमारे स्टोर में PPSK चलाने के लिए हमें नए एक्सेस पॉइंट की आवश्यकता है?

नहीं। PPSK उन एक्सेस पॉइंट्स पर काम करता है जो आपके पास पहले से मौजूद हैं। Cisco Meraki MR एक्सेस पॉइंट्स इसे Identity PSK के रूप में सपोर्ट करते हैं, और Juniper Mist एक्सेस पॉइंट्स इसे Multi PSK के रूप में सपोर्ट करते हैं। Purple Access हार्डवेयर से स्वतंत्र है और एक क्लाउड ओवरले के रूप में Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet के ऊपर काम करता है। आप SSID सेटिंग्स, VLAN ट्रंक और नीतियां बदलते हैं, हार्डवेयर नहीं।

क्या PPSK हमारे PCI-DSS एसेसर को संतुष्ट करेगा?

PPSK आपको PCI-DSS के लिए साक्ष्य देता है, यह अपने आप में कोई पास सर्टिफिकेट नहीं है। प्रति-डिवाइस कुंजियाँ आवश्यकता 2.3.2 का समर्थन करती हैं, जो आपसे वायरलेस कुंजियों को बदलने के लिए कहती है जब उन्हें जानने वाला कोई व्यक्ति नौकरी छोड़ता है या कोई कुंजी से समझौता होता है। टिल्स को उनके अपने VLAN पर ले जाना आवश्यकता 1 का समर्थन करता है और दायरे में आने वाले सिस्टम को कम कर सकता है। आपका Qualified Security Assessor यह तय करता है कि क्या मान्य है, इसलिए उनके लिए अपना की-रजिस्टर, नीतियां और परीक्षण परिणाम निर्यात करें।

क्या स्टोर डिवाइस को PPSK या 802.1X प्रमाणपत्रों का उपयोग करना चाहिए?

जहाँ भी कोई डिवाइस प्रमाणपत्र नामांकित और नवीनीकृत कर सकता है वहाँ प्रमाणपत्रों का उपयोग करें, और बाकी सभी चीज़ों के लिए PPSK का उपयोग करें। MDM के तहत कर्मचारियों के लैपटॉप और फोन के लिए EAP-TLS के साथ IEEE 802.1X डिफ़ॉल्ट बना रहता है। अधिकांश टिल, प्रिंटर, साइनेज प्लेयर और कैमरे बड़े पैमाने पर प्रमाणपत्र नामांकित नहीं कर सकते हैं, और कई केवल WPA2-Personal का समर्थन करते हैं। PPSK उन डिवाइस को खुद बदले बिना प्रति-डिवाइस पहचान, VLAN और निरसन (revocation) प्रदान करता है।

क्या हम हर स्टोर पर जाए बिना डिवाइस को साझा कर्मचारी पासवर्ड से हटा सकते हैं?

हाँ, उन डिवाइस के लिए जिन्हें आप MDM के माध्यम से प्रबंधित करते हैं। नया डिवाइस SSID, इसकी प्रति-डिवाइस कुंजी और एक निश्चित-MAC सेटिंग को एक प्रोफ़ाइल के रूप में पुश करें। फिर पुष्टि करें कि प्रत्येक डिवाइस सही VLAN पर जाता है। बिना MDM वाले डिवाइस, जैसे कई प्रिंटर और कैमरे, को स्थानीय परिवर्तन या विक्रेता के कॉन्फ़िगरेशन टूल की आवश्यकता होती है। मौजूदा स्टोर दौरों के दौरान उनके लिए योजना बनाएं, और अंतिम डिवाइस के स्थानांतरित होने तक पुराने SSID को सक्रिय रखें।

यदि कोई स्कैनर अपना MAC पता यादृच्छिक (randomise) कर देता है तो क्या होगा?

एक MAC बाउंड कुंजी इसे अस्वीकार कर देगी, इसलिए डिवाइस SSID के लिए यादृच्छिकीकरण को अक्षम करें। Android 10 और बाद के संस्करण डिफ़ॉल्ट रूप से प्रति नेटवर्क एक यादृच्छिक MAC का उपयोग करते हैं, और अधिकांश रग्ड स्कैनर Android चलाते हैं। अपने MDM के माध्यम से डिवाइस MAC का उपयोग करने के लिए WiFi प्रोफ़ाइल सेट करें। यादृच्छिकीकरण सार्वजनिक नेटवर्क पर लोगों की गोपनीयता की रक्षा करता है। यह आपके अपने नेटवर्क में शामिल होने वाले प्रबंधित टिल या स्कैनर के लिए कुछ नया नहीं जोड़ता है।

क्या Purple Access खरीदार WiFi और सामग्री फ़िल्टरिंग को भी कवर करता है?

हाँ, एक ही प्लेटफॉर्म से प्रबंधित अलग-अलग नेटवर्क पर। खरीदार एक Captive Portal के माध्यम से ओपन नेटवर्क में शामिल होते हैं, जिसमें मार्केटिंग और सचेत-पसंद ऑप-इन्स को Engage में संभाला जाता है। कर्मचारी प्रमाणपत्रों या Microsoft Entra ID, Okta या Google Workspace साइन-इन के साथ सुरक्षित नेटवर्क में शामिल होते हैं। DNS फ़िल्टरिंग Shield है, जो एक अलग एड-ऑन है। डिवाइस iPSK या PPSK पर रहते हैं, इसलिए एक टिल कभी भी खरीदार के फोन के साथ नेटवर्क साझा नहीं करता है।

एक स्टोर एस्टेट में PPSK रोलआउट में कितना प्रयास लगता है?

पहली कुंजी मौजूद होने से पहले अधिकांश प्रयास की अपेक्षा करें। MAC पतों के साथ डिवाइस इन्वेंट्री बनाने में कंसोल काम से अधिक समय लगता है। भुगतान और CCTV स्वामियों के साथ खंडों पर सहमति बनाना और प्रत्येक एक्सेस पॉइंट पर VLANs को ट्रंक करना भी समय लेता है। एक बार जब एक पायलट स्टोर हर परीक्षण पास कर लेता है, तो बाद के स्टोर समान नीतियों और कुंजी टेम्पलेट का पुनराउपयोग करते हैं। MDM के तहत डिवाइस रिमोट रूप से स्थानांतरित होते हैं, जबकि अप्रबंधित प्रिंटर और कैमरे प्रत्येक तरंग की गति निर्धारित करते हैं।