WiFi ॲक्सेस कंट्रोल स्पष्टीकरण: पद्धती आणि धोरणे

जर एक लांब WiFi पासवर्ड पुरेसा असेल, तर एक लीक झालेला फ्रेस अद्याप साइटवरील प्रत्येक कॅश काउंटर, कॅमेरा आणि गेस्ट लॅपटॉप कसा उघडू शकतो? टीम्स एनक्रिप्शनलाच संपूर्ण काम मानतात. एनक्रिप्शन हवेतील ट्रॅफिक लपवते. कोण कनेक्ट करू शकते, ते कोणापर्यंत पोहोचू शकतात किंवा तुम्ही ती परवानगी कशी परत घेता, हे ते ठरवत नाही. WiFi ॲक्सेस कंट्रोल हे ते दुसरे काम आहे, आणि शेअर केलेला पासवर्ड सहसा त्यातील सर्वात कमकुवत दुवा असतो.

अनुक्रमणिका

• WiFi ॲक्सेस कंट्रोल नक्की काय ठरवते
• WiFi ॲक्सेस कंट्रोल पद्धतींची एका दृष्टीक्षेपात तुलना
  • रेटिंग्स सामान्य म्हणून वाचा, गॅरंटीड म्हणून नाही
• WPA2 आणि WPA3 एन्क्रिप्शन बेसलाइन कशी सेट करतात
• 802.1X आणि EAP-TLS ॲक्सेसला आयडेंटिटीशी कसे जोडतात
  • प्रवेशद्वारावरील चार पायऱ्या
  • पूर्ण ऑफिस लॉक करणारा सापळा
• Captive Portal, प्रति-डिव्हाइस की आणि Passpoint ची तुलना
  • एक की, एक डिव्हाइस
  • MAC ॲड्रेस पॉलिसी का वाचवू शकणार नाही
• पॉलिसी आणि सेगमेंटेशनसाठी आयडेंटिटी-ड्रिव्हन VLANs
  • रिस्टबँडवर विश्वास ठेवण्यापूर्वी तीन तपासण्या
• सेगमेंटेशन खरोखर कार्य करते की नाही हे मोजणे
  • तुम्ही ऑपरेट करू शकता असे लाईफसायकल
• तुमचा WiFi ॲक्सेस कंट्रोल सेटअप निवडणे

WiFi ॲक्सेस नियंत्रण नेमके काय ठरवते

जेव्हा कोणी तुमच्या WiFi मध्ये सामील होते, तेव्हा काय तपासले जात आहे आणि कोणाकडून? अनेक लोक पासवर्ड बॉक्सची कल्पना करतात. इमारत हे अधिक स्पष्ट चित्र आहे.

एनक्रिप्शन म्हणजे बंद असलेला कॉरिडॉर होय. हे हॉलवेमध्ये उभ्या असलेल्या कोणापासूनही संभाषण खाजगी ठेवते. ॲक्सेस कंट्रोल हे दरवाजाचे धोरण आहे. ते ठरवते की कोणाला की मिळावी, ते कोणत्या मजल्यावर प्रवेश करू शकतात आणि ती की कधी काम करणे थांबवेल. एक जिम QR आणि PIN जिम प्रवेश पर्यायांसह असाच फरक करते: लॉक म्हणजे कोणता सदस्य आत येऊ शकतो आणि किती काळासाठी, हे सांगणारा नियम नाही.

प्रत्येक नेटवर्क तीन निर्णय घेते.

ऑथेंटिकेशन कोण किंवा काय कनेक्ट होऊ शकते हे विचारते. एखादी व्यक्ती, लॅपटॉप, पेमेंट टर्मिनल किंवा कॅमेरा या सर्वांना ते योग्य असल्याचे सिद्ध करावे लागते.

ऑथोरायझेशन ते कनेक्शन कोठे पोहोचू शकते हे विचारते. स्टाफ ॲप्स, फक्त इंटरनेट आणि कॅमेरा सबनेट हे वेगवेगळे दरवाजे आहेत.

रिव्होकेशन ही परवानगी किती काळ टिकते हे विचारते. सत्राच्या मर्यादा, मुदत संपलेले लॉगिन आणि तुम्ही एका उपकरणासाठी बंद करू शकता अशी की हे सर्व येथे बसतात.

एक सामायिक पासफ्रेज फक्त पहिल्या प्रश्नाचे उत्तर देतो, आणि तो एकाच वेळी सर्वांसाठी उत्तर देतो.

एकाच इमारतीतील पाहुणे, कर्मचारी, पेमेंट टर्मिनल्स, कॅमेरे, खोलीतील डिव्हाइस आणि कंत्राटदार यांना वेगवेगळ्या उत्तरांची गरज असते. फ्रेस माहीत असलेली कोणतीही व्यक्ती "अधिकृत" असते. तुम्ही कॅश काउंटर दुसऱ्या मजल्यावर ठेवू शकत नाही आणि संपूर्ण साइटचा पासवर्ड बदलल्याशिवाय एका कंत्राटदाराला काढून टाकू शकत नाही. खालील पद्धती नेटवर्कच्या नावांच्या ढिगाऱ्याऐवजी ओळखीपासून सुरू होतात.

WiFi ॲक्सेस नियंत्रण पद्धतींची एका नजरेत तुलना

लहान साइट्ससाठी WPA3-Personal, एंटरप्रायझेससाठी प्रमाणपत्रांसह 802.1X, IoT आणि बहु-भाडेकरू साइट्ससाठी प्रति-उपकरण की, अतिथी प्रवेशासाठी Captive Portal, आणि रोमिंग वापरकर्त्यांसाठी Passpoint.

पद्धत	हे काय तपासते	सामान्य सुरक्षा स्तर	सर्वात योग्य	ॲक्सेस कसा रद्द केला जातो
WPA2-Personal	सामायिक पासफ्रेज	मध्यम	घरे आणि लहान कार्यालये	प्रत्येकासाठी पासफ्रेज बदला
WPA3-Personal	SAE एक्सचेंजद्वारे पासफ्रेज	पासवर्डच्या अंदाजाविरुद्ध मजबूत	आधुनिक घरे आणि लहान कार्यालये	प्रत्येकासाठी पासफ्रेज बदला
802.1X सह WPA2/WPA3-Enterprise	RADIUS द्वारे वापरकर्ता किंवा डिव्हाइस प्रमाणपत्र किंवा क्रेडेन्शियल्स	उच्च	एंटप्राइजेस आणि कॅम्पसेस	एक ओळख किंवा प्रमाणपत्र रद्द करा
xPSK किंवा प्रति-डिव्हाइस कळा (keys)	प्रति डिव्हाइस, वापरकर्ता किंवा भाडेकरू युनिक की	IoT आणि सामायिक साइट्ससाठी उच्च	हॉटेल्स, निवासी, सवलती आणि IoT ताफे	इतरांवर परिणाम न करता एक की रद्द करा
Captive portal	सहमतीसह SSO, सोशल लॉगिन किंवा SMS वन-टाइम पासकोडद्वारे साइन-इन	मध्यम; वापरकर्ते ओळखते परंतु प्रत्येक लिंक सुरक्षित करत नाही	पाहुणे आणि BYOD ऑनबोर्डिंग	सत्र किंवा लॉगिन मुदत संपवा
Passpoint आणि OpenRoaming	रोमिंग ओळख क्रेडेन्शियल्स	उच्च, कोणत्याही पोर्टलची आवश्यकता नाही	ठिकाणे आणि रोमिंग वापरकर्ते	आयडेंटिटी प्रदाता येथे क्रेडेन्शियल रद्द करा

रेटिंग्स सामान्य समजा, गॅरंटीड नाही

ती पातळी एका काळजीपूर्वक केलेल्या उपयोगाचे वर्णन करते, प्रत्येक अपवादात्मक परिस्थितीचे नाही. दुर्लक्षित केलेली एंटरप्राइझ रचना, ज्यामध्ये दुर्बल EAP पद्धती चालू ठेवल्या जातात आणि रद्द करण्याची कोणतीही प्रक्रिया नसते, ती हॉटेलच्या मजल्यावरील सुव्यवस्थित प्रति-उपकरण की प्रणालीपेक्षा कमकुवत असू शकते. हवेतील सायफर हे असे नियंत्रण नाही जे तुम्हाला रात्री २ वाजता वाचवेल.

एनक्रिप्शन प्रकारापेक्षा सहसा रद्द करण्याचा वेग निर्णय ठरवतो. जर एक फोन गमावल्याचा अर्थ संपूर्ण कार्यालयासाठी पासफ्रेज पुन्हा मुद्रित करणे असा असेल, तर ही पद्धत सामायिक केलेल्या इमारतीसाठी योग्य नाही. शेवटी डिझाइन निवडताना त्या परिस्थितीशी ओळ जुळवा.

WPA2 आणि WPA3 एन्क्रिप्शन बेसलाइन कसे सेट करतात

एक WiFi पासवर्ड रेडिओ लिंक सुरक्षित करू शकतो परंतु कोण आत येत आहे हे नियंत्रित करण्याचा तो अद्याप एक कमकुवत मार्ग असू शकतो. WEP हा 1997 मधील आहे. त्याच्या डिझाइनमधील कमतरतांमुळे 2003 मध्ये WPA आला, त्यानंतर 2004 मध्ये WPA2 आला, जो IEEE 802.11i शी सुसंगत आहे आणि WEP च्या कमकुवत दृष्टिकोनाऐवजी AES वापरतो, जसे की Department of Veterans Affairs technology reference मध्ये नोंदवले आहे.

WPA2 आणि WPA3 एनक्रिप्शन बेसलाइन सेट करतात, परंतु पासवर्ड तरीही महत्त्वाचा आहे. WPA3-Personal हे SAE वापरते, जे ऑफलाइन पासवर्डच्या अंदाजांना प्रतिकार करते. WPA3 Enterprise संवेदनशील वातावरणासाठी अधिक मजबूत सुरक्षा पर्याय देखील प्रदान करते.

Transitional mode मुळे WPA2 आणि WPA3 उपकरणे समान नेटवर्क वापरू शकतात. जेव्हा एखाद्या ठिकाणी मिश्र उपकरणे असतात तेव्हा तो पूल मदत करतो, परंतु तो WPA2 उपकरणांना कमकुवत पर्याय वापरण्यास सोडतो. नेटवर्कचे नवीन लेबल अजूनही WPA2 सह कनेक्ट होणाऱ्या जुन्या क्लायंटचे संरक्षण करत नाही.

मोड बदलण्यापूर्वी प्रत्येक साइट तपासा:

• सुरक्षा मोड: प्रत्येक SSID WPA2 किंवा WPA3 वापरते की नाही, आणि ते पर्सनल आहे की एंटरप्राइज आहे याची पुष्टी करा.
• लेगसी नेटवर्क: पोर्टलशिवाय WEP आणि ओपन नेटवर्क आता वापरात नाहीत याची खात्री करा.
• क्लायंटची तयारी: फोन, कॅश काउंटर आणि कॅमेरे WPA3 ची आवश्यकता असण्यापूर्वी त्याला सपोर्ट करतात याची पुष्टी करा.

एनक्रिप्शन हवेतील ट्रॅफिकचे संरक्षण करते. ॲक्सेस कंट्रोल हे ठरवते की कोणत्या व्यक्तीला किंवा उपकरणाला कनेक्ट करण्याची अनुमती आहे. एक सामायिक पासवर्ड तो फरक धूसर करतो: तो बदलल्याने तो माहित असलेल्या प्रत्येकावर परिणाम होऊ शकतो, तर एक मजबूत सायफर एकट्याने प्रत्येक वापरकर्त्याची ओळख पटवू शकत नाही.

802.1X आणि EAP-TLS ॲक्सेसला ओळखीशी कसे जोडतात

एखाद्या ऑफिस बॅजचा विचार करा. ॲक्सेस पॉइंट हा दरवाजा आहे. RADIUS सर्व्हर हे सुरक्षा डेस्क आहे. डिरेक्टरी, किंवा सर्टिफिकेट अथॉरिटी, ही कर्मचाऱ्यांची यादी आहे.

दरवाज्यावरील चार पायऱ्या

1. डिव्हाइस जोडले जाते आणि आयडेंटिटी ऑफर करते, सामान्यतः प्रमाणपत्र किंवा युजरनेम.
2. ॲक्सेस पॉइंट ठरवत नाही. ते ही विनंती RADIUS कडे पाठवते.
3. सर्व्हर डिरेक्टरी किंवा सर्टिफिकेट अथॉरिटीविरुद्ध त्या क्रेडेंशियलची तपासणी करतो.
4. RADIUS Accept किंवा Reject परत करतो, अधिक VLAN किंवा रोलसारखे सेशन तयार करणारे ॲट्रिब्युट्स देतो.

EAP-TLS ही बॅज कॉपी करणे कठीण करणारी पद्धत आहे. NIST चे EAP मार्गदर्शन टनेल-आधारित EAP साठी संरक्षणात्मक टनेल म्हणून TLS ला मानते आणि सांगते की EAP-TLS म्युच्युअल ऑथेंटिकेशनसाठी पीअर सर्टिफिकेट्स आवश्यक आहेत. क्लायंटकडे वैध प्रमाणपत्र असल्याचे सिद्ध करतो, आणि क्लायंट ऑथेंटिकेशन सर्व्हर देखील तपासतो. पासवर्ड पद्धत केवळ वापरकर्त्याला एक रहस्य माहित असणे आवश्यक मानते. तुमच्या MDM द्वारे प्रमाणपत्र जारी केले जाऊ शकते, कमी कालावधी दिला जाऊ शकतो, नूतनीकरण केले जाऊ शकते आणि एका हरवलेल्या लॅपटॉपसाठी रद्द केले जाऊ शकते. ते प्रमाणपत्र डिरेक्टरी ग्रुपशी बाइंड करा जेणेकरून RADIUS जुळणारे धोरण परत करू शकेल. बाकी सर्वजण ऑनलाइन राहतात.

जिथे क्लायंट्स परवानगी देतात, तिथे PEAP-MSCHAPv2, CHAP, आणि PAP बंद करा. सध्याचे एंटरप्राइज WLAN मार्गदर्शन AES-256-GCM आणि आधुनिक इलिप्टिक-कर्व्ह किंवा पुरेशा मोठ्या RSA पॅरामीटर्ससह EAP-TLS कडे निर्देश करते. जुनी पद्धत "फक्त सुरक्षेचा पर्याय म्हणून" ठेवण्यापूर्वी EAP-TLS आणि PEAP ची तुलना वाचणे फायदेशीर ठरेल.

संपूर्ण ऑफिस लॉक करणारा सापळा

सामान्य अपयश म्हणजे ट्रस्ट साखळी उपकरणांपर्यंत कधीच पोहोचत नाही. प्रत्येक लॉगिन एकाच वेळी अपयशी ठरते आणि हेल्पडेस्कला "सर्टिफिकेटवर विश्वास नाही" ऐवजी "WiFi बंद आहे" असे ऐकायला मिळते. ज्या MDM द्वारे सर्टिफिकेट्स दिली जातात त्याच MDM द्वारे ही साखळी पुढे पाठवा आणि पासवर्ड बंद करण्यापूर्वी नवीन लॅपटॉपची चाचणी घ्या.

रोलआउटपूर्वी आउटेज पाथ ठरवा. जर RADIUS किंवा सर्टिफिकेट अथॉरिटीपर्यंत पोहोचता येत नसेल, तर सध्याचे सेशन्स सुरू राहतात का, नवीन डिव्हाइस मर्यादित ऑनबोर्डिंग नेटवर्कवर जातात का, आणि कॅश केलेले क्रेडेंशियल्स किती काळ वैध राहतात? प्रत्येक पाथची चाचणी घ्या. कोणतीही योजना नसलेली आणि बंद पडणारी बॅज प्रणाली पहिल्याच नेटवर्क समस्येवर इमारत रिकामी करेल.

देवाणघेवाणीचे एक संक्षिप्त वॉक-थ्रू डेस्क-आणि-दरवाज्याचे चित्र स्पष्ट करते:

Captive Portals, प्रति-डिव्हाइस की आणि Passpoint ची तुलना

हॉटेल किंवा कॅफेमधील भेट देणारा व्यक्ती सर्टिफिकेट इन्स्टॉल करणार नाही. Captive Portal त्यांना सोशल लॉगिन, SSO किंवा SMS द्वारे मिळणाऱ्या एकवेळच्या पासकोडने साइन इन करू देतो, तसेच GDPR आणि CCPA सारख्या गोपनीयता नियमांसाठी संमतीची नोंद ठेवू शकतो. कोणी साइन इन केले हे तुम्हाला समजते. तुम्ही त्या फोनला एक मजबूत प्रति-लिंक की (per-link key) देत नाही. ओपन नेटवर्कसाठी अद्याप लहान सेशन आणि कॅश काउंटर किंवा कॅमेरे पाहू न शकणाऱ्या VLAN ची गरज असते. भेट संपल्यावर लॉगिन एक्सपायर करा.

एक की, एक डिव्हाइस

प्रति-डिव्हाइस की (xPSK, आणि व्हेंडर नावे iPSK, DPSK, MPSK, किंवा PPSK) प्रत्येक डिव्हाइस, वापरकर्ता किंवा भाडेकरूला त्याचे स्वतःचे गुपित प्रदान करतात. रुम टीव्ही, थर्मोस्टॅट्स, टिल्स, भाडेकरूंचे राउटर आणि कॅमेरे या पॅटर्नमध्ये बसतात कारण त्यांच्यावर दर आठवड्याला कोणीही पासवर्ड टाइप करणार नाही. एक की रद्द करा आणि बाकीच्या चालू राहतील. सपोर्ट करणाऱ्या अॅक्सेस पॉईंट्सवर, RADIUS Change of Authorization डिव्हाइस रोमिंग होण्याची वाट पाहण्याऐवजी लाईव्ह सेशन तात्काळ संपवू शकते. "आम्ही आज रात्री WiFi बदलू" आणि "तो कॅमेरा आता नेटवर्कवरून बंद झाला आहे" यातील हाच मुख्य फरक आहे.

Passpoint आणि OpenRoaming ज्यांच्याकडे आधीपासूनच रोमिंग ओळख आहे अशा लोकांसाठी पोर्टल वगळतात. आयडेंटिटी प्रोव्हायडरच्या क्रेडेंशियल्ससह फोन प्रमाणीकृत होतो, जे विमानतळ, कॅम्पस आणि अनेक ठिकाणी जाणार्‍या व्यक्तींसाठी योग्य आहे. यामध्ये आयडेंटिटी प्रोव्हायडर किंवा रोमिंग संबंध बंद असल्यास, वापरण्यासाठी कोणताही स्थानिक पासवर्ड उपलब्ध नसणे हा धोक्याचा मुद्दा आहे. पोर्टल बंद करण्यापूर्वी हे वर्तन तपासून घ्या. Hotspot 2.0 हे डिव्हाइस सेटिंग्जमध्ये तुम्हाला दिसणारे क्लायंट-साइड नाव आहे.

MAC ॲड्रेस धोरणाचे रक्षण का करू शकत नाही

रँडम केलेले MAC अॅड्रेस हार्डवेअर सूचींना अविश्वसनीय बनवतात. Wireless Broadband Alliance च्या निष्कर्षांचे Help Net Security वरील कव्हरेज असे दर्शवते की रँडम केलेले MAC अॅड्रेस नेटवर्क व्यवस्थापन आणि थ्रेट डिटेक्शन अधिक क्लिष्ट करतात, तर टीम्सना अजूनही पाहुणे, व्यवस्थापित एंडपॉइंट्स आणि ऑपरेटिंग डिव्हाइसेसमधील फरक ओळखावा लागतो. हे अॅड्रेस सेशन्स दरम्यान बदलू शकतात, त्यामुळे कालच्या MAC वर तयार केलेली अलाउ-लिस्ट आजच्या फोनला चुकवू शकते. टिकाऊ ओळख ही प्रमाणपत्र, फेडेरेटेड क्रेडेंशियल, डिव्हाइस-मॅनेजमेंट पोश्चर किंवा प्रति-डिव्हाइस की वर आधारित असणे आवश्यक आहे.

त्याच चार चाचण्यांवर तीन पर्यायांचे मूल्यमापन करा: तुम्ही किती वेगाने मागे घेऊ शकता, ही पद्धत किती उघड करते, ती रोमिंग करते का, आणि लॉगमध्ये एखाद्या व्यक्तीचे नाव आहे की फक्त रेडिओ पत्ता आहे. जेव्हा पॉलिसी क्रेडेंशियलवर अवलंबून असते तेव्हा गोपनीयता आणि नियंत्रण एकत्र अस्तित्वात असतात. जेव्हा पॉलिसी MAC वर अवलंबून असते तेव्हा ते एकमेकांशी संघर्ष करतात.

धोरण आणि विभागणीसाठी (segmentation) ओळख-आधारित VLANs

एक मुख्य प्रवेशद्वार, अनेक मनगटी पट्टे. पाहुण्याने चेक-इन केल्यानंतर, तो पट्टा पूल उघडतो, प्लांट रूम नाही. 802.1X किंवा इतर RADIUS प्रमाणीकरण यशस्वी झाल्यानंतर, ऍक्सेस पॉइंट त्या क्लायंटला SSID च्या डीफॉल्ट VLAN ला ओव्हरराइड करून Access-Accept मध्ये नाव दिलेल्या VLAN मध्ये ठेवू शकतो.

Fortinet चे RADIUS VLAN दस्तऐवजीकरण तुम्ही कॉन्फिगर कराल अशा मानके ॲट्रिब्युट्सचे वर्णन करते: Tunnel-Type ला VLAN वर सेट केले आहे, Tunnel-Medium-Type ला 802 वर सेट केले आहे, आणि Tunnel-Private-Group-ID VLAN आयडेंटिफायर कॅरी करते. जेव्हा ते ॲट्रिब्युट्स परत येतात, तेव्हा RADIUS-नियुक्त VLAN हे WLAN च्या स्थानिक VLAN वर प्राधान्य घेते. व्यक्तीचा ग्रुप बदला, आणि पुढील ऑथेंटिकेशन त्यांना दुसरीकडे घेऊन जाते. आयडेंटिटी रद्द करा, आणि पुढील ॲक्सेस थांबतो. कर्मचारी, अतिथी, पेमेंट सिस्टम्स, कॅमेरे, रहिवासी आणि IoT वेगळे राहतात तरीही तुम्ही एक छोटा SSID सेट ठेवता. तो सेट किती कमी SSID चा असावा हे ठरवताना WiFi नेटवर्क डिझाइन कडे व्यावहारिकदृष्ट्या पाहणे मदत करते.

आयडेंटिटी ग्रुप	आयडेंटिटी स्त्रोत	उदाहरणातील VLAN	धोरण (Policy)
पाहुणे (Guests)	पोर्टल साइन-इन किंवा संमती	10	फक्त इंटरनेट, कोणताही अंतर्गत ॲक्सेस नाही
कर्मचारी	MDM द्वारे डिव्हाइस प्रमाणपत्र	20	अंतर्गत ॲप्लिकेशन्स आणि फाइल शेअर्स
खोली किंवा IoT डिव्हाइसेस	प्रति-डिव्हाइस की	40	स्वतःचे सबनेट, फक्त व्हेंडर सेवांसाठी आउटबाउंड
पेमेंट टर्मिनल्स	प्रमाणपत्र किंवा प्रति-डिव्हाइस की	30	PCI-DSS स्कोपमधील अलगीकृत भाग
कॅमेरे	प्रति-डिव्हाइस की	50	फक्त व्हिडिओ अपलोड, इतर कोणताही पूर्व-पश्चिम ॲक्सेस नाही

रिस्टबँडवर विश्वास ठेवण्यापूर्वी तीन तपासण्या

सुरक्षित डीफॉल्ट. ॲट्रीब्यूट गहाळ असल्यास किंवा निरर्थक असल्यास, क्लायंट अशा VLAN मध्ये उतरला पाहिजे जो कशालाही पोहोचू शकत नाही. एखाद्या बगने फील्ड वगळल्यामुळे कर्मचाऱ्यांच्या नेटवर्कवर "ओपन अयशस्वी" करू नका.

फक्त AP नाही, तर मार्ग देखील. ॲक्सेस पॉइंटपासून स्विचपर्यंतच्या प्रत्येक ट्रंकला ते सर्व डायनॅमिक VLANs वाहून न्यावे लागतात. RADIUS मध्ये अस्तित्वात असलेला पण ट्रंकवर नसलेला VLAN हा यशस्वी लॉगिननंतर शांततेसारखा दिसतो.

लॉग. ओळख, VLAN आणि साइटसह प्रत्येक Access-Accept नोंदवा. त्या ओळीशिवाय तुम्ही हे सिद्ध करू शकत नाही की कोणत्या रिस्टबँडने कोणता दरवाजा उघडला.

त्यानंतरचे धोरण (policy) हे व्यक्ती किंवा डिव्हाइस रेकॉर्डचे अनुसरण करते, ते ज्या ॲक्सेस पॉइंटला कनेक्ट झाले आहेत त्याचे नाही.

विभागणी (segmentation) खरोखर कार्य करते की नाही हे मोजणे

अधिक SSIDs म्हणजे चांगले आयसोलेशन असा होत नाही. तो अंदाज हेच कारण आहे की काही साइट्स डझनभर नावांचे ब्रॉडकास्ट करतात तरीही टिल VLAN वर पाहुण्यांचा लॅपटॉप शोधतात.

प्रत्येक अतिरिक्त SSID बिकन आणि एअरटाइम ओव्हरहेड, अधिक कॉन्फिगरेशन, चाचणीसाठी अधिक रोमिंग वर्तन आणि साइटचे मानकांपासून विचलित होण्याच्या अधिक शक्यता निर्माण करते. Cisco State of Wireless Report वायरलेस एक्सपोजर कमी करण्यासाठी नेटवर्क सेगमेंटेशन आणि डायनॅमिक आयडेंटिटी व्हॅलिडेशन यांसारख्या मुख्य उपायांवर भर देते, आणि यामध्ये मिक्स-जनरेशन क्लायंट्स, मोठ्या प्रमाणात IoT सिस्टीम्स, तसेच रेडिओ आणि बँड्समध्ये अधिक अचूक दृश्यमानतेची गरज नोंदवली आहे. अतिशय कमी सेपरेशनचे परिणाम उलटे होतात: संक्रमित गेस्ट डिव्हाइस टिल्स, कॅमेरे, रहिवासी किंवा कर्मचाऱ्यांच्या डेटा शेअरिंगच्या दिशेने सुरक्षितता भेदून जाऊ शकते.

तुम्ही ऑपरेट करू शकाल असे लाईफसायकल

1. ओळख आणि धोक्यानुसार विभाग परिभाषित करा, फोनच्या WiFi सूचीवर किती नावे बसतात यानुसार नाही.
2. ऑथेंटिकेशन निकालावरून डायनॅमिकपणे पॉलिसी नियुक्त करा, जेणेकरून गट बदलासाठी नवीन SSID ची आवश्यकता भासणार नाही.
3. प्रत्येक अपवादाचे दस्तऐवजीकरण करा ज्यामध्ये मालक आणि कालबाह्यता तारीख असेल. शेवटची तारीख नसलेला अपवाद हेच नवीन नेटवर्क बनते.
4. अपयशी ठरलेले ऑथेंटिकेशन्स, अनधिकृत ईस्ट-वेस्ट ट्रॅफिक आणि मागे घेण्याच्या वेळेचे मोजमाप करा, आणि प्रत्येक तिमाहीत ब्रेक-ग्लास पाथची चाचणी घ्या.

चार परिणामांवरून डिझाइनचे मूल्यमापन करा: कंटेनमेंट, रिव्होकेशन टाईम, ऑडिट पुरावे, आणि ऑपरेशनल वर्कलोड. SSID ची संख्या त्या यादीत नाही. Wi-Fi 7 आणि दाट IoT या उपायांना अधिक तातडीचे बनवतात कारण क्लायंट जनरेशन मिक्स होतात आणि डिव्हाइसची संख्या वाढते, आणि सर्व बँडमध्ये व्हिजिबिलिटी सुसंगत राहावी लागते.

एक ओळख डिस्कनेक्ट करा, पुढील ऑथेंटिकेशन नाकारले गेले आहे याची खात्री करा आणि लॉग नाकारल्याचे दर्शवत असल्याची पुष्टी करा. जर तुम्ही एका कॅमेऱ्यासाठी हे करू शकत नसाल, तर तो सेगमेंट अद्याप वास्तविक नाही.

तुमचे WiFi ॲक्सेस नियंत्रण सेटअप निवडणे

नवीनतम सायफरऐवजी परिस्थितीनुसार निवड करा.

• कॅफे किंवा पाहुण्यांसह घर: खाजगी बाजूला WPA3-Personal, तसेच अभ्यागतांसाठी Captive Portal.
• मॅनेज केलेल्या लॅपटॉपसह सुमारे २०० डेस्कचे कार्यालय: MDM कडील प्रमाणपत्रांसह 802.1X, आणि स्वतंत्र गेस्ट पोर्टल.
• हॉटेल, निवासी ब्लॉक किंवा कंत्राटी मालमत्ता: खोल्या, भाडेकरू आणि निश्चित उपकरणांसाठी ओळख-आधारित VLANs सह प्रति-उपकरण की.
• कॅम्पस किंवा ठिकाण जिथे लोक फिरतात: कर्मचार्‍यांच्या उपकरणांच्या प्रमाणपत्रांशिवाय Passpoint किंवा OpenRoaming.

आम्ही त्या विस्तार योग्यतेला तीन SSID मध्ये संक्षिप्त करतो: पाहुणे आणि BYOD साठी Open, कर्मचारी आणि विश्वासू वापरकर्त्यांसाठी Secure, आणि गोष्टी, भाडेकरू व समुदायांसाठी xPSK. एक प्लॅनर तुम्हाला आज काय कनेक्ट होत आहे त्यावर टिक करू देतो आणि त्या तिन्हींमध्ये प्रत्येक गट कोठे पोहोचतो हे दाखवतो.

सीलिंगवर आधीपासून असलेले ॲक्सेस पॉइंट्स बऱ्याचदा ठरवतात की तुम्ही यापैकी कोणत्या पद्धती चालू करू शकता. हार्डवेअर पूर्ण करू शकत नाही अशा डिझाइनचे वचन देण्यापूर्वी सर्टिफिकेट, प्रति-उपकरण की, आणि CoA सपोर्ट तपासा.

1. अडचणीच्या उपकरणांसह प्रत्येक उपकरण गट सूचीबद्ध करा: कंत्राटदार, लोन लॅपटॉप, खोलीतील टीव्ही.
2. तुम्ही पाहुणे, कर्मचारी, IoT, पेमेंट्स आणि कॅमेऱ्यांसाठी वापरत असलेले समान मॅपिंग वापरून प्रत्येक गटाला एक ओळख स्त्रोत आणि VLAN द्या.
3. प्रत्येक गटातील एका उपकरणावर डिस्कनेक्ट-अँड-व्हॅरीफाय चाचणी चालवा.
4. एक आठवड्यानंतर लॉग वाचा. तुम्ही स्पष्ट करू शकत नसलेले स्वीकार आणि खऱ्या कामात अडथळा आणणारे नकार शोधा.
5. रोलआउट करण्यापूर्वी नेटवर्क इंजिनिअरसोबत योजनेचे पुनरावलोकन करा, विशेषत: जेव्हा RADIUS पोहोचण्यायोग्य नसेल तेव्हाची अपयश वाट.

प्रति-डिव्हाइस मागे घेण्याच्या (revocation) क्षमतेसह ओळख-आधारित (identity-driven) नियंत्रण हीच खरी स्केल होणारी डिझाइन आहे. एक पासफ्रेज हे करू शकत नाही.

---

Purple Access पाहुण्यांना, कर्मचाऱ्यांना आणि उपकरणांना तुम्ही आधीपासूनच चालवत असलेल्या ॲक्सेस पॉइंट्सवर त्यांची स्वतःची ओळख किंवा की देते, त्यामुळे WiFi ॲक्सेस कंट्रोल हा नवीन नाव असलेला सामायिक पासवर्ड राहत नाही. प्रत्येक गट कुठे लँड होतो हे तुम्ही पाहू शकता, बाकीच्या उपकरणांना स्पर्श न करता एक उपकरण मागे घेऊ शकता आणि पॉलिसी प्रदीर्घ SSID सूचीऐवजी RADIUS मध्ये ठेवू शकता. तुमच्या साइट्सचे मॅपिंग करण्यासाठी आणि नेटवर्क इंजिनिअरसोबत सेटअपवर चर्चा करण्यासाठी Purple Access ला भेट द्या.