रिटेल केंद्रों में कंसेशन और किरायेदार WiFi: प्रति किरायेदार एक कुंजी और VLAN के साथ xPSK आर्किटेक्चर

प्रत्येक कंसेशन और किराएदार यूनिट के लिए एक xPSK SSID चलाएं। प्रत्येक किराएदार को उसकी अपनी कुंजी मिलती है, और यह कुंजी उनके टिल (tills), टैबलेट और बैक ऑफिस उपकरणों को उनके अपने VLAN पर रखती है। खरीदार ओपन Captive Portal नेटवर्क पर रहते हैं और सेंटर के सिस्टम एक सुरक्षित 802.1X नेटवर्क पर: कुल मिलाकर तीन SSID, और लीज समाप्त होने के दिन कुंजियों को रद्द कर दिया जाता है।

कुंजी और VLAN प्रति किराएदार नेटवर्क वास्तव में क्या करता है?

एक रिटेल सेंटर एक्सेस पॉइंट्स का मालिक होता है, लेकिन दर्जनों अलग-अलग व्यवसाय उन पर निर्भर होते हैं। प्रत्येक कंसेशन, कियोस्क और किराएदार यूनिट टिल, स्टॉक टैबलेट, बैक ऑफिस PC और अक्सर डिजिटल साइनेज चलाती है। उन उपकरणों को एक-दूसरे, खरीदारों या सेंटर के अपने बिल्डिंग सिस्टम को नहीं देखना चाहिए।

xPSK उन नेटवर्क के लिए एक समग्र शब्द है जहां प्रत्येक किराएदार या उपकरण की एक ही SSID पर अपनी प्री-शेयर की गई कुंजी होती है। प्रत्येक विक्रेता इसे अलग नाम देता है:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

जब कोई उपकरण जुड़ता है, तो इसके द्वारा प्रस्तुत की गई कुंजी किराएदार की पहचान करती है। RADIUS फिर उस किराएदार का VLAN वापस लौटाता है। RADIUS वह प्रोटोकॉल है जिसका उपयोग आपके एक्सेस पॉइंट प्रमाणीकरण सर्वर से यह पूछने के लिए करते हैं कि कौन कनेक्ट हो रहा है। VLAN (वर्चुअल LAN, जो IEEE 802.1Q में परिभाषित है) एक ही स्विच और केबल बिछाने पर चलने वाला एक अलग लेयर 2 नेटवर्क है।

इसका परिणाम हवा में एक नेटवर्क नाम और तार पर कई अलग-अलग नेटवर्क के रूप में मिलता है। पहचान VLAN तय करती है, SSID नहीं।

प्रति किराएदार एक SSID क्यों स्केल नहीं करता है

प्रत्येक SSID हर रेडियो पर अपने स्वयं के बीकन फ्रेम प्रसारित करता है। IEEE 802.11 डिफ़ॉल्ट बीकन अंतराल 100 समय इकाइयाँ, या 102.4 ms है, इसलिए प्रत्येक SSID प्रति सेकंड लगभग 10 बार बीकन भेजता है। बीकन सबसे कम बुनियादी डेटा दर पर बाहर जाते हैं, जो उन्हें एयरटाइम में महंगा बनाता है।

इसलिए प्रत्येक अतिरिक्त SSID ऐसा एयरटाइम लेता है जिसका उपयोग किराएदार और खरीदार का ट्रैफ़िक कर सकता है। 20 किराएदार SSID के साथ, सीमा में प्रत्येक एक्सेस पॉइंट बीकन के 20 सेट भेजता है। विक्रेता यह सीमा भी तय करते हैं कि एक एकल रेडियो कितने SSID प्रसारित कर सकता है। 60 इकाइयों वाला एक सेंटर अपनी अंतिम लीज पर हस्ताक्षर करने से बहुत पहले ही उस सीमा तक पहुंच जाता है।

परिचालन लागत भी बढ़ती है। प्रत्येक SSID का रोटेट करने के लिए अपना पासफ़्रेज़ होता है, और प्रत्येक रोटेशन उस किराएदार के सभी उपकरणों को एक बार में डिस्कनेक्ट कर देता है।

एक रिटेल सेंटर को कितने SSID की आवश्यकता होती है?

अधिकांश सेंटरों के लिए तीन सही संख्या है:

1. खरीदारों के लिए ओपन गेस्ट नेटवर्क। यह नेटवर्क एक Captive Portal का उपयोग करता है: वह साइन-इन पृष्ठ जो कोई उपकरण इंटरनेट तक पहुँचने से पहले देखता है। डिज़ाइन विकल्पों के लिए Captive portals देखें। इस नेटवर्क पर गेस्ट मार्केटिंग Purple Engage प्लान के अंतर्गत आती है, और DNS फ़िल्टरिंग Purple Shield है।
2. किराएदारों के लिए xPSK नेटवर्क। हर रियायत, कियोस्क और किराएदार यूनिट यहाँ कनेक्ट होती है। केंद्र के अपने हेडलेस डिवाइस, जैसे कि CCTV, बिल्डिंग मैनेजमेंट कंट्रोलर और साइनेज प्लेयर भी इससे जुड़ते हैं, जिनमें से प्रत्येक की अपनी कुंजी और VLAN होती है।
3. केंद्र के कर्मचारियों के लिए सुरक्षित नेटवर्क। यह नेटवर्क 802.1X का उपयोग करता है, जो पोर्ट आधारित नेटवर्क प्रमाणीकरण के लिए IEEE मानक है। इसे EAP-TLS के साथ पेयर करें, जो एक प्रमाणपत्र के साथ प्रत्येक डिवाइस को प्रमाणित करता है। पहचान Microsoft Entra ID, Okta या Google Workspace से आती है। EAP TLS vs PEAP: Security, Certs and Fit और Okta WiFi Authentication: Setup Steps, Options and Fixes उस पहलू को कवर करते हैं।

दृष्टिकोण	60 किराएदारों के लिए SSIDs	किराएदार अलगाव	एक किराएदार को हटाना	बीकन ओवरहेड	यह किसके लिए उपयुक्त है
प्रति किराएदार SSID	60 किराएदार SSIDs, प्रति रेडियो सीमाओं से परे	प्रति SSID एक VLAN	उस SSID को हटाएं और रेडियो को पुनर्रचना करें	हर SSID के साथ बढ़ता है	पांच से कम किराएदारों वाले केंद्र
सभी किराएदारों के लिए एक साझा कुंजी	1	कोई नहीं: एक कुंजी, एक VLAN	हर किराएदार के लिए कुंजी बदलें	एक SSID	ऐसा कोई केंद्र नहीं जहां किराएदार टिल चलाते हों
xPSK: प्रति किराएदार एक कुंजी और VLAN	1	प्रति कुंजी एक VLAN	एक कुंजी रद्द करें; अन्य अछूते रहते हैं	एक SSID	रियायतें, कियोस्क और हेडलेस डिवाइस वाली यूनिट्स
प्रति डिवाइस 802.1X	1	प्रति पहचान एक VLAN	प्रमाणपत्र या खाता रद्द करें	एक SSID	प्रबंधित डिवाइस वाले किराएदार जो 802.1X सप्लीकेंट चलाते हैं

जहां किराएदार के डिवाइस इसका समर्थन करते हैं, वहां 802.1X अधिक मजबूत मॉडल है। अधिकांश रियायत संपत्तियों में टिल, कार्ड टर्मिनल, टैबलेट और साइनेज प्लेयर शामिल होते हैं। इनमें से कई 802.1X सप्लीकेंट नहीं चला सकते हैं, इसलिए xPSK उन्हें संभालता है।

शुरू करने से पहले आपको क्या चाहिए?

एक्सेस पॉइंट्स और एक कंसोल जो मल्टी-की PSK का समर्थन करते हैं

आपको किसी नए हार्डवेयर की आवश्यकता नहीं है। Purple क्लाउड RADIUS के साथ एक हार्डवेयर-अज्ञेयवादी क्लाउड ओवरले है, और यह आपके पहले से मौजूद एक्सेस पॉइंट्स के शीर्ष पर बैठता है। शुरू करने से पहले, पुष्टि करें कि आपका मॉडल और फर्मवेयर RADIUS-असाइन किए गए VLAN के साथ मल्टी-की PSK का समर्थन करते हैं।

विक्रेता	सुविधा का नाम	कंसोल
Cisco Meraki	Identity PSK (iPSK) with RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone or RUCKUS One
Juniper Mist	Multi PSK	Juniper Mist cloud dashboard
Ubiquiti UniFi	Private Pre-Shared Keys	UniFi Network application

अपने विक्रेता के दस्तावेज़ों में एक और बिंदु जांचें: WPA3 समर्थन। कई xPSK कार्यान्वयन AES के साथ WPA2-PSK पर चलते हैं। एक SSID पर कई कुंजियों के लिए WPA3-SAE समर्थन विक्रेता और फर्मवेयर के अनुसार भिन्न होता है। Meraki और Mist निर्माण विवरण के लिए, देखें PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist।

एक VLAN और IP योजना

IEEE 802.1Q 12-बिट VLAN ID का उपयोग करता है, जो 4,094 उपयोग योग्य VLANs देता है। यह किसी भी केंद्र को आसानी से कवर करता है। पहली कुंजी जारी करने से पहले निम्नलिखित की योजना बनाएं:

• किरायेदारों के लिए एक आरक्षित VLAN ब्लॉक। इसे सेंटर के प्रबंधन, CCTV और गेस्ट VLANs से अलग रखें।
• प्रति किरायेदार VLAN एक सबनेट और DHCP स्कोप। प्रत्येक का आकार किरायेदार के घोषित उपकरणों के साथ-साथ मौसमी बढ़ोतरी के लिए अतिरिक्त क्षमता के अनुसार तय करें।
• प्रत्येक एक्सेस प्वाइंट स्विच पोर्ट के लिए ट्रंक। प्रत्येक किरायेदार VLAN को प्रत्येक उस पोर्ट तक पहुँचना चाहिए जहाँ एक किरायेदार का उपकरण कनेक्ट हो सकता है। व्यावहारिक रूप से, इसका अर्थ है सेंटर का प्रत्येक पोर्ट।
• गेटवे पर फ़ायरवॉल नियम। किरायेदार से किरायेदार के ट्रैफ़िक को अस्वीकार करें, किरायेदार से सेंटर के ट्रैफ़िक को अस्वीकार करें, और इंटरनेट एक्सेस की अनुमति दें। जहाँ आवश्यकता हो, वहाँ किरायेदार के भुगतान प्रोसेसर और हेड-ऑफिस VPN की अनुमति दें।

इस बात पर निर्णय कि चाबियाँ किसके पास होंगी

सेंटर IT को प्रत्येक कुंजी (की) जारी करनी चाहिए, और प्रत्येक किरायेदार को इसे प्राप्त करने के लिए एक एकल संपर्क नाम निर्दिष्ट करना चाहिए। कुंजी के विरुद्ध उस संपर्क को रिकॉर्ड करें। उस रिकॉर्ड के बिना, आप यह नहीं बता सकते कि कुंजी किसे पता थी जब कोई किरायेदार इसके लीक होने की रिपोर्ट करता है।

इसके बाद, प्रति किरायेदार एक कुंजी और प्रति उपकरण एक कुंजी के बीच निर्णय लें। प्रति किरायेदार एक कुंजी का प्रशासन करना तेज़ है। टिल (कैश काउंटर) और कार्ड-हैंडलिंग उपकरणों के लिए प्रति उपकरण एक कुंजी अधिक सुरक्षित है। यदि कोई स्टॉक टैबलेट गुम हो जाता है, तो आप इसकी कुंजी रद्द कर देते हैं और टिल ऑनलाइन रहते हैं।

PCI DSS v4.0 आवश्यकता 2.3.2 की अपेक्षा है कि कार्डधारक डेटा वातावरण से जुड़ी वायरलेस कुंजियों को तब बदला जाए जब कुंजी का ज्ञान रखने वाला कोई व्यक्ति नौकरी छोड़ता है। प्रति किरायेदार और प्रति उपकरण कुंजियाँ उस बदलाव को सबसे छोटे संभव समूह तक सीमित रखती हैं।

आप प्रति किरायेदार एक कुंजी और VLAN कैसे सेट अप करते हैं?

xPSK SSID एक बार बनाएं

Purple की ओर निर्देशित RADIUS प्रमाणीकरण के साथ अपने वेंडर कंसोल में किरायेदार SSID बनाएं। बेसलाइन के रूप में AES के साथ WPA2-PSK का उपयोग करें, और जहाँ आपका वेंडर मल्टी-की PSK के लिए इसका समर्थन करता है वहाँ WPA3 का उपयोग करें। SSID को ब्रॉडकास्ट करें: नेटवर्क नाम छिपाने से कोई सुरक्षा नहीं जुड़ती है और उपकरण इसे हर जगह खोजना शुरू कर देते हैं।

आपके वेंडर के लिए Purple के सेटअप दस्तावेज़ सटीक सेटिंग्स प्रदान करते हैं। किसी अन्य साइट से मानों को कॉपी करने के बजाय इसका पालन करें।

प्रत्येक किरायेदार कुंजी को उसके VLAN पर मैप करें

Purple में, प्रत्येक किरायेदार रिकॉर्ड में एक या अधिक कुंजियाँ और एक VLAN ID होती है। जब कोई उपकरण प्रमाणित होता है, तो Purple RFC 3580 में वर्णित मानक RADIUS टनल विशेषताओं का उपयोग करके VLAN वापस लौटाता है। ये Tunnel-Type, Tunnel-Medium-Type और Tunnel-Private-Group-ID हैं। इसके बाद एक्सेस प्वाइंट उस उपकरण को उस VLAN पर रखता है।

प्रति किरायेदार बैंडविड्थ सीमाएं निर्धारित करें

Purple VLAN प्रदान करता है। बैंडविड्थ सीमा उस नीति से जुड़ी होती है जो आपका कंसोल उस VLAN, समूह या भूमिका (रोल) पर लागू करता है। Cisco Meraki समूह नीतियों और HPE Aruba उपयोगकर्ता भूमिकाओं दोनों में दर सीमाएं (रेट लिमिट) शामिल हैं, और अन्य वेंडर भी इसके समकक्ष विकल्प प्रदान करते हैं।

स्तरों (टियर्स) का एक छोटा समूह परिभाषित करें, जैसे कि कियोस्क, मानक इकाई और एंकर स्टोर। जब कोई किरायेदार ऑनबोर्ड होता है तो उसे एक स्तर में असाइन करें। स्तर किसी एकल इकाई द्वारा प्रमोशनल वीडियो स्ट्रीमिंग के कारण बगल के टिल को नेटवर्क से वंचित होने से रोकते हैं। यदि किसी लीज में कनेक्टिविटी की शर्तें शामिल हैं तो वे आपको एक नियंत्रण साधन भी देते हैं।

एक नई इकाई को ऑनबोर्ड करें

ऑनबोर्डिंग को फिट आउट चेकलिस्ट में शामिल करें, न कि उद्घाटन वाले सप्ताह में:

1. टेनेंट रिकॉर्ड बनाएं जब लीज पर हस्ताक्षर किए जाएं। इसमें यूनिट नंबर, नामित संपर्क, लीज शुरू और समाप्त होने की तिथियां, और बैंडविड्थ टियर शामिल करें।
2. VLAN आवंटित करें टेनेंट ब्लॉक से और इसके DHCP स्कोप की पुष्टि करें।
3. फ़ायरवॉल नियम लागू करें उस VLAN के लिए, जिसमें टेनेंट द्वारा घोषित कोई भी भुगतान प्रोसेसर या VPN एंडपॉइंट शामिल हैं।
4. Purple में कुंजी या कुंजियां जनरेट करें और उन्हें VLAN में मैप करें।
5. नामित संपर्क को कुंजी भेजें एक एन्क्रिप्टेड चैनल पर। लीज पैक में इसे कभी न छापें।
6. यूनिट से टेस्ट करें। एक डिवाइस कनेक्ट करें और पुष्टि करें कि इसे सही सबनेट मिलता है और यह इंटरनेट तक पहुंचता है।
7. जारी करने का विवरण दर्ज करें तारीख, जारीकर्ता, प्राप्तकर्ता और VLAN के साथ।

टेनेंट के जाने पर एक्सेस रद्द करें

लीज समाप्ति तिथि पर टेनेंट की कुंजी रद्द करें और इसे एग्जिट चेकलिस्ट के हिस्से के रूप में शेड्यूल करें। निरस्तीकरण तुरंत नए कनेक्शन रोकता है।

आपके प्लेटफॉर्म के आधार पर, जो डिवाइस पहले से कनेक्ट हैं, वे तब तक जुड़े रह सकते हैं जब तक वे फिर से कनेक्ट न हों। जहां आपका प्लेटफॉर्म RADIUS Change of Authorisation (CoA, RFC 5176 में परिभाषित) का समर्थन करता है, उन्हें डिस्कनेक्ट करने के लिए इसका उपयोग करें। अन्यथा, वेंडर कंसोल से क्लाइंट्स को डिस्कनेक्ट करें।

पुनः असाइन करने से पहले खाली किए गए VLAN को क्वारंटाइन अवधि के लिए अप्रयुक्त छोड़ दें। यह किसी भूले हुए डिवाइस को अगले टेनेंट के नेटवर्क पर दिखाई देने से रोकता है। ज्वाइनर्स, मूवर्स और लीवर्स का वही अनुशासन जो आपकी HR टीम स्टाफ अकाउंट्स पर लागू करती है, अब टेनेंट्स पर भी लागू होता है।

आप कैसे जांचते हैं कि सेग्मेंटेशन काम कर रहा है?

ऑनबोर्डिंग पर हर नए टेनेंट का परीक्षण करें और हर तिमाही में पूरी एस्टेट का सैंपल लें:

• सही VLAN: टेनेंट कुंजी का उपयोग करने वाले डिवाइस को उस टेनेंट के सबनेट में एक पता प्राप्त होता है।
• कोई लेटरल एक्सेस नहीं: टेनेंट डिवाइस से, पड़ोसी टेनेंट के VLAN का गेटवे प्रतिक्रिया नहीं देता है।
• सेंटर सिस्टम तक कोई एक्सेस नहीं: CCTV, बिल्डिंग मैनेजमेंट और सेंटर स्टाफ सबनेट तक पहुंच नहीं बनाई जा सकती।
• इंटरनेट काम करता है: टेनेंट इंटरनेट और किसी भी स्वीकृत भुगतान या VPN एंडपॉइंट तक पहुंचता है।
• निरस्तीकरण काम करता है: रद्द की गई कुंजी प्रमाणित होने में विफल रहती है।

यदि टेनेंट टिल कार्ड डेटा संभालते हैं, तो PCI-DSS v4.0 आवश्यकता 11.4.5 हर 12 महीनों में कम से कम एक बार सेग्मेंटेशन नियंत्रणों के पेनिट्रेशन टेस्टिंग की अपेक्षा करती है। आपके त्रैमासिक परिणाम और वार्षिक परीक्षण उस आवश्यकता के प्रमाण हैं। प्रत्येक टेनेंट मर्चेंट के रूप में अपने स्वयं के PCI-DSS आकलन के लिए जिम्मेदार रहता है।

क्या लॉग करना है

तीन प्रश्नों का उत्तर देने के लिए पर्याप्त लॉग करें: किसके पास एक्सेस था, कब, और किस VLAN पर।

• कुंजी जारी की गई: टेनेंट, कुंजी ID, VLAN, जारीकर्ता, प्राप्तकर्ता और तिथि।
• कुंजी रद्द की गई: टेनेंट, कुंजी ID, कारण, रद्द करने वाला और तिथि।
• प्रमाणीकरण इवेंट्स: कुंजी ID, डिवाइस MAC एड्रेस, एक्सेस पॉइंट, असाइन किया गया VLAN, टाइमस्टैम्प और परिणाम।
• प्रति टेनेंट VLAN फ़ायरवॉल नियम में बदलाव।

डिवाइस MAC addresses व्यक्तिगत डेटा हो सकते हैं GDPR के तहत जब वे किसी व्यक्ति से जुड़े हो सकते हैं। एक रिटेंशन अवधि निर्धारित करें, इसे दस्तावेज़ित करें और शेड्यूल के अनुसार हटाएं। Purple के पास ISO 27001 प्रमाणन है और यह GDPR और CCPA के लिए प्रमाणित है, जो आपको आपके स्वयं के आपूर्तिकर्ता मूल्यांकनों के लिए साक्ष्य प्रदान करता है। व्यापक नियंत्रण सेट के लिए, WiFi सुरक्षा और गेस्ट नेटवर्क सुरक्षा: 2026 के लिए एक व्यावहारिक गाइड देखें।

काम किए गए परिदृश्य

ये दो परिदृश्य उदाहरणात्मक डिज़ाइन हैं, नामित परिनियोजन नहीं। परिणाम डिज़ाइन से ही निकलते हैं।

70-यूनिट वाला एक शॉपिंग सेंटर जो किरायेदार SSIDs को बदल रहा है

स्थिति। सेंटर 14 SSIDs का प्रसारण करता था: गेस्ट, सेंटर स्टाफ और शुरुआती बड़े किरायेदारों के लिए बनाए गए 12 किरायेदार SSIDs। शेष 58 इकाइयां एक ही VLAN पर एक किरायेदार पासवर्ड साझा करती थीं। एक किरायेदार के जाने का मतलब था सेंटर में हर दूसरे किरायेदार के लिए उस पासवर्ड को बदलना।

क्या किया गया। IT ने सब कुछ घटाकर तीन SSIDs कर दिया: गेस्ट, EAP-TLS के साथ 802.1X पर सेंटर स्टाफ, और एक xPSK किरायेदार SSID। सभी 70 इकाइयों को अपनी खुद की कुंजी और VLAN मिला, जिसमें टिल (कैश काउंटर) के लिए प्रति-डिवाइस कुंजियां थीं। IT ने 12 SSID आधारित किरायेदारों को एक-एक करके स्थानांतरित किया, और जैसे ही उनके डिवाइस स्थानांतरित हुए, प्रत्येक पुराने SSID को हटा दिया गया। CCTV और बिल्डिंग मैनेजमेंट उसी किरायेदार SSID पर अपनी कुंजियों और VLANs पर स्थानांतरित हो गए।

परिणाम। प्रत्येक रेडियो 14 SSIDs से घटकर तीन पर आ गया। प्रति रेडियो बीकन फ्रेम प्रति सेकंड लगभग 137 से घटकर लगभग 29 हो गए। किसी किरायेदार का बाहर निकलना 58 व्यवसायों की कुंजी बदलने के बजाय केवल एक कुंजी को रद्द करने में बदल गया। किरायेदार-से-किरायेदार ट्रैफ़िक, जो पहले साझा VLAN पर खुला था, अब गेटवे पर ब्लॉक है और त्रैमासिक रूप से परीक्षण किया जाता है।

सप्ताहांत व्यापारियों के साथ एक परिषद द्वारा संचालित मार्केट हॉल

स्थिति। एक सार्वजनिक क्षेत्र का मार्केट हॉल 40 स्थायी स्टालों और 25 सप्ताहांत व्यापारियों तक की मेजबानी करता है। प्रत्येक व्यापारी एक साझा पासवर्ड का उपयोग करता था जो वर्षों से नहीं बदला था। पूर्व व्यापारी अभी भी कार पार्क से कनेक्ट हो सकते थे।

क्या किया गया। प्रत्येक स्थायी स्टाल को अपनी स्वयं की कुंजी और VLAN मिला। सप्ताहांत व्यापारियों को एक साझा, क्लाइंट-आइसोलेटेड व्यापारी VLAN से मैप की गई व्यक्तिगत कुंजियां मिलीं, ताकि उनके डिवाइस एक-दूसरे तक न पहुंच सकें। ड्यूटी मैनेजर रविवार के क्लोज-डाउन चेकलिस्ट के हिस्से के रूप में सभी सप्ताहांत कुंजियों को रद्द कर देता है, और शनिवार के पिच आवंटन के साथ नई कुंजियां जारी की जाती हैं।

परिणाम। परिषद एक लंबे समय से चले आ रहे साझा पासवर्ड से 40 स्थायी कुंजियों और 25 साप्ताहिक कुंजियों तक पहुंच गई। कोई भी कुंजी उसे रखने वाले व्यापारी से अधिक समय तक नहीं टिकती है। परिषद ने जारी और रद्द की गई प्रत्येक कुंजी का एक लॉग भी प्राप्त किया, जो पहले उसके पास नहीं था।

क्या गलत होता है, और आप इसे कैसे ठीक करते हैं?

लक्षण	संभावित कारण	सुधार
डिवाइस कनेक्ट होता है लेकिन डिफ़ॉल्ट VLAN पर चला जाता है	RADIUS उत्तर में VLAN विशेषताओं की कमी है, या SSID RADIUS VLAN ओवरराइड को अनदेखा करता है	Purple में कुंजी-से-VLAN मैपिंग की पुष्टि करें, फिर SSID पर RADIUS VLAN असाइनमेंट सक्षम करें
डिवाइस कनेक्ट होता है लेकिन कोई IP पता नहीं मिलता है	किरायेदार VLAN उस एक्सेस पॉइंट के स्विच पोर्ट से ट्रंक नहीं है, या कोई DHCP स्कोप नहीं है	ट्रंक में VLAN जोड़ें और DHCP स्कोप की पुष्टि करें
पुरानी टिल या टर्मिनल कनेक्ट नहीं होगा	SSID WPA3-only पर सेट है या Protected Management Frames आवश्यक हैं	उस SSID के लिए AES के साथ WPA2-PSK या WPA2/WPA3 ट्रांजिशन मोड का उपयोग करें
रद्द किया गया किरायेदार (tenant) अभी भी ऑनलाइन है	मौजूदा सत्र तब तक बना रहता है जब तक डिवाइस पुनः कनेक्ट नहीं हो जाता	CoA डिस्कनेक्ट भेजें या वेंडर कंसोल में क्लाइंट को हटाएं
एक किरायेदार दूसरे तक पहुंच सकता है	कोर स्विच या गेटवे पर इंटर-VLAN राउटिंग की अनुमति है	किरायेदार VLAN के बीच deny नियम जोड़ें और पुनः परीक्षण करें
किरायेदार VLAN पर अज्ञात उपकरण	किरायेदार ने अपनी कुंजी किसी पड़ोसी या ठेकेदार के साथ साझा की है	उस कुंजी को रद्द करें, एक नई कुंजी जारी करें और मनोनीत संपर्क व्यक्ति को सूचित करें

इसकी लागत क्या है, और आपको बदले में क्या मिलता है?

इसकी लागत क्या है। आपको किसी नए एक्सेस पॉइंट, कंट्रोलर या स्विच की आवश्यकता नहीं है। आप Purple Access सब्सक्रिप्शन के साथ-साथ VLAN योजना, ट्रंकिंग और फ़ायरवॉल नियमों के लिए इंजीनियरिंग समय का भुगतान करते हैं। इसके बाद, प्रत्येक किरायेदार ऑनबोर्डिंग पर एक रिकॉर्ड, एक VLAN और एक कुंजी लेता है, और बाहर निकलने पर एक निरस्तीकरण लेता है।

आपको बदले में क्या मिलता है।

• एयरटाइम। प्रति किरायेदार एक SSID के स्थान पर एक किरायेदार SSID आ जाता है, इसलिए बीकन ओवरहेड हर लीज के साथ बढ़ना बंद हो जाता है।
• कंटेनमेंट। लीक हुई या समाप्त हुई कुंजी एक किरायेदार को प्रभावित करती है, पूरे केंद्र को नहीं।
• साक्ष्य। इश्यू और निरस्तीकरण लॉग PCI DSS आवश्यकता 2.3.2 का समर्थन करते हैं। सेगमेंटेशन परीक्षण आवश्यकता 11.4.5 का समर्थन करते हैं।
• स्केल। Purple 80,000+ से अधिक लाइव वेन्यू में चलता है और इसने 2024 में 440 मिलियन लॉगिन संभाले (Purple का अपना डेटा)। 70-यूनिट वाला केंद्र कोई अतिरिक्त दबाव नहीं डालता है।

यदि आपके केंद्र का स्टाफ अभी भी एक ही पासवर्ड साझा करता है, तो उन्हें आगे माइग्रेट करें। Migrating staff WiFi from a shared password to 802.1X across a multi-site estate इसका क्रम निर्धारित करता है। अधिक एक्सेस डिज़ाइन Access guides में मौजूद हैं।

अक्सर पूछे जाने वाले प्रश्न

क्या यह उन एक्सेस पॉइंट्स के साथ काम करता है जो हमारे केंद्र के पास पहले से मौजूद हैं?

हाँ, Purple आपके पास पहले से मौजूद एक्सेस पॉइंट्स पर बिना किसी बदलाव (rip and replace) के क्लाउड ओवरले के रूप में चलता है। Purple हार्डवेयर-अग्नोस्टिक है और Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks और Fortinet को सपोर्ट करता है। किरायेदार xPSK नेटवर्क के लिए, पुष्टि करें कि आपका मॉडल और फर्मवेयर RADIUS-as-a-Service असाइन किए गए VLAN के साथ मल्टी-की PSK का समर्थन करते हैं। Meraki इसे iPSK कहता है, Aruba इसे MPSK कहता है और Ruckus इसे DPSK कहता है।

क्या किरायेदार एक्सेस पॉइंट साझा कर सकते हैं लेकिन नेटवर्क नहीं?

हाँ, प्रति किरायेदार एक कुंजी और VLAN का यही उद्देश्य है। प्रत्येक किरायेदार समान एक्सेस पॉइंट्स के माध्यम से समान SSID से जुड़ता है। प्रत्येक कुंजी उस किरायेदार के उपकरणों को उसके स्वयं के VLAN पर रखती है। गेटवे पर फ़ायरवॉल नियम तब किरायेदार VLAN और केंद्र के अपने सिस्टम के बीच ट्रैफ़िक को ब्लॉक करते हैं। पड़ोसी इकाइयाँ रेडियो और एयरटाइम साझा करती हैं लेकिन कभी भी लेयर 2 नेटवर्क साझा नहीं करती हैं।

एक शॉपिंग सेंटर को कितने SSIDs की आवश्यकता होती है?

तीन अधिकांश केंद्रों के लिए पर्याप्त हैं। आपको खरीदारों के लिए Captive Portal वाले एक ओपन गेस्ट नेटवर्क की आवश्यकता है, और प्रत्येक किरायेदार और केंद्र के हेडलैस उपकरणों के लिए एक iPSK नेटवर्क की आवश्यकता है। केंद्र के कर्मचारियों के लिए Microsoft Entra ID, Okta या Google Workspace के खिलाफ प्रमाणित, एक सुरक्षित 802.1X नेटवर्क जोड़ें। प्रत्येक अतिरिक्त SSID हर रेडियो पर बीकन ओवरहेड बढ़ाता है, इसलिए प्रति किरायेदार एक बनाने से बचें।

जब कोई किरायेदार जाता है तो हम उसकी WiFi पहुंच कैसे हटाते हैं?

आप Purple में उस किरायेदार की कुंजी को रद्द कर देते हैं, और नए कनेक्शन तुरंत बंद हो जाते हैं। रद्दीकरण को पट्टा समाप्ति चेकलिस्ट का हिस्सा बनाएं, जो पट्टा समाप्ति की तारीख के साथ हो। जो उपकरण पहले से जुड़े हुए हैं वे तब तक ऑनलाइन रह सकते हैं जब तक वे फिर से कनेक्ट न हों। जहां आपका प्लेटफॉर्म इसका समर्थन करता है वहां RADIUS Change of Authorisation के साथ या वेंडर कंसोल से उन्हें डिस्कनेक्ट करें। फिर VLAN को पुन: असाइन करने से पहले क्वारंटाइन करें।

क्या इससे हमारे किरायेदारों के टिल (tills) PCI-DSS अनुपालन योग्य बन जाएंगे?

नहीं, केवल नेटवर्क डिज़ाइन किसी मर्चेंट को अनुपालन योग्य नहीं बना सकता। प्रत्येक किरायेदार अपने स्वयं के PCI-DSS मूल्यांकन के लिए जिम्मेदार रहता है। प्रति किरायेदार एक कुंजी और VLAN आपको विशिष्ट आवश्यकताओं के लिए प्रमाण देता है। आवश्यकता 2.3.2 में उन लोगों के जाने पर वायरलेस कुंजियों को बदलना शामिल है जो उन्हें जानते हैं। आवश्यकता 11.4.5 में सेगमेंटेशन नियंत्रणों का वार्षिक पैनेट्रेशन परीक्षण शामिल है। अनुरोध पर किरायेदारों के साथ अपने सेगमेंटेशन परीक्षण परिणाम साझा करें।

क्या हम प्रत्येक किरायेदार के बैंडविड्थ को सीमित कर सकते हैं?

हां, आप अपने वेंडर कंसोल में उस समूह, भूमिका या VLAN के विरुद्ध सीमा निर्धारित करते हैं जिससे प्रत्येक किरायेदार की कुंजी मैप होती है। Cisco Meraki समूह नीतियां और HPE Aruba उपयोगकर्ता भूमिकाएं दोनों दर सीमाएं रखती हैं, और अन्य वेंडर भी समकक्ष विकल्प प्रदान करते हैं। कुछ स्तरों को परिभाषित करें, जैसे कि कियोस्क, मानक इकाई और एंकर स्टोर। ऑनबोर्डिंग के समय प्रत्येक किरायेदार को एक स्तर असाइन करें ताकि एक एकल इकाई अपने पड़ोसियों के टिल को प्रभावित न कर सके।

बिना किसी डाउनटाइम के हम प्रति किरायेदार एक SSID से कैसे माइग्रेट करें?

आप पुराने और नए नेटवर्क को साथ-साथ चलाते हुए, किरायेदार-दर-किरायेदार माइग्रेट करते हैं। पहले iPSK SSID बनाएं, फिर एक किरायेदार के उपकरणों को उनकी नई कुंजी और VLAN पर ले जाएं। हर उपकरण के स्थानांतरित हो जाने के बाद उस किरायेदार का पुराना SSID हटा दें। VLAN ट्रंकिंग और फ़ायरवॉल नियमों को साबित करने के लिए एक छोटी रियायत से शुरुआत करें। फिर ट्रेडिंग घंटों के बाहर बड़ी इकाइयों को शेड्यूल करें।