मल्टी-साइट इस्टेटमधील कर्मचाऱ्यांचे WiFi शेअर केलेल्या पासवर्डवरून 802.1X वर मायग्रेट करणे

सामायिक केलेल्या पासवर्ड SSID च्या सोबत एक नवीन WPA-Enterprise SSID चालवा आणि डिव्हाइसेस टप्प्याटप्प्याने हलवा. व्यवस्थापित (Managed) डिव्हाइसेसना तुमच्या MDM कडून EAP-TLS प्रमाणपत्रे मिळतात. वैयक्तिक फोन Captive Portal द्वारे ऑनबोर्ड होतात. ज्या डिव्हाइसेसमध्ये प्रमाणपत्र ठेवता येत नाही, त्यांना xPSK नेटवर्कवर त्यांची स्वतःची की मिळते. प्रत्येक साईटचे ऑथेंटिकेशन लॉग कोणतेही जुने डिव्हाइस दाखवत नाहीसे झाल्यावर तेथील सामायिक पासवर्ड बंद करा.

कर्मचाऱ्यांचे WiFi सामायिक पासवर्डवरून 802.1X वर हलवल्याने काय बदल होतो?

सामायिक केलेला कर्मचारी पासवर्ड हा प्रत्येक सहकाऱ्याकडे, प्रत्येक डिव्हाइसकडे आणि प्रत्येक माजी सहकाऱ्याकडे असलेला एक गुप्त कोड असतो. जेव्हा एखादी व्यक्ती नोकरी सोडते, तेव्हा तो पासवर्ड त्यांच्याकडेच राहतो. तो बदलणे म्हणजे प्रत्येक साईटवरील प्रत्येक टिल, टॅब्लेट आणि लॅपटॉपवर तो पासवर्ड पुन्हा प्रविष्ट करणे होय.

PCI DSS v4.0.1 आवश्यकता 2.3.2 याचे अनिवार्य नियमात रूपांतर करते. यामध्ये कार्डधारक डेटा वातावरणाशी कनेक्ट केलेल्या किंवा खाते डेटा ट्रान्समिट करणाऱ्या वायरलेस वातावरणाचा समावेश होतो. जेव्हा तो पासवर्ड माहीत असलेली व्यक्ती कंपनी सोडते किंवा त्या भूमिकेतून बाहेर पडते, तेव्हा तुम्ही वायरलेस एन्क्रिप्शन की बदलणे आवश्यक आहे. जेव्हा एखादी की लीक झाल्याची शंका किंवा माहिती असेल तेव्हाही तुम्ही ती बदलली पाहिजे. कर्मचाऱ्यांची जास्त आवक-जावक असलेल्या ठिकाणी, याचा अर्थ जवळजवळ दर आठवड्याला नवीन की सेट करणे असा होतो.

IEEE 802.1X हे सामायिक गुपित काढून टाकते. पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी हे मानक आहे. ॲक्सेस पॉइंटने ट्रॅफिक पुढे पाठवण्यापूर्वी डिव्हाइसला स्वतःची ओळख सिद्ध करावी लागते. ॲक्सेस पॉइंट RADIUS द्वारे विचारतो, जो नेटवर्क उपकरणे ऑथेंटिकेशन सर्व्हरला प्रश्न विचारण्यासाठी वापरतात तो प्रोटोकॉल आहे.

EAP-TLS (Extensible Authentication Protocol with Transport Layer Security, RFC 5216) हा उत्तर देण्याचा सर्वात सुरक्षित मार्ग आहे. डिव्हाइस आणि सर्व्हर प्रत्येकजण एक प्रमाणपत्र सादर करतात. तेथे शेअर करण्यासाठी, फिशिंग करण्यासाठी किंवा बॅक-ऑफिस व्हाईटबोर्डवर लिहिण्यासाठी कोणताही पासवर्ड नसतो.

त्यानंतर ओळख VLAN (व्हर्च्युअल LAN, लॉजिकली वेगळा असलेला नेटवर्क विभाग) सेट करते. RADIUS हे RFC 3580 मध्ये परिभाषित केलेल्या टनेल वैशिष्ट्यांचा वापर करून प्रत्येक डिव्हाइससाठी VLAN परत करते. फायनान्स लॅपटॉप आणि किचन टॅब्लेट एकाच SSID मध्ये सामील होऊ शकतात आणि वेगवेगळ्या विभागांमध्ये जाऊ शकतात.

Purple Access वर हे कोठे बसते

Purple Access एकाच प्लॅटफॉर्मवर तीन नेटवर्क चालवते:

• Open: एक Captive Portal, म्हणजे डिव्हाइसला नेटवर्क ॲक्सेस मिळण्यापूर्वी दिसणारे वेब पृष्ठ. या मायग्रेशनमध्ये ते वैयक्तिक फोन्स ऑनबोर्ड करते.
• Secure: EAP-TLS, ओळख प्रदाता एकत्रीकरण, Passpoint आणि क्लाउड RADIUS. कर्मचाऱ्यांचे लॅपटॉप, टॅब्लेट आणि फोन शेवटी येथे येतात.
• xPSK: प्रत्येक डिव्हाइससाठी एक वेगळी की, ज्याला तुमच्या व्हेंडरनुसार iPSK किंवा PPSK म्हटले जाते. प्रमाणपत्र ठेवू न शकणारे प्रत्येक डिव्हाइस शेवटी येथे येते.

Guest WiFi त्याच्या स्वतःच्या नेटवर्कवर आणि या प्रोजेक्टच्या बाहेर राहते. Guest network security: A practical Guide for 2026 मध्ये त्या बाजूचा समावेश आहे. यापैकी कोणत्याही नेटवर्कवर DNS फिल्टरिंग म्हणजे Shield होय. अधिक माहितीसाठी, आमचा WiFi security पिलर पहा.

क्रेडेन्शियल मॉडेल्सची तुलना

PEAP-MSCHAPv2 (युझरनेम आणि पासवर्डसह सुरक्षित EAP) हा सहसा मध्यम मार्ग असतो, त्यामुळे त्याचा या तुलनेत समावेश होतो.

क्रेडेन्शियल मॉडेल	प्रत्येक डिव्हाइस काय सादर करते	काम सोडणारी व्यक्ती त्यांच्यासोबत काय घेऊन जाते	एका व्यक्तीला किंवा डिव्हाइसला रिव्होक करणे	PCI DSS 2.3.2 की बदलांवर होणारा परिणाम	उपयुक्तता
शेअर्ड PSK	प्रत्येकासाठी एकच पासवर्ड	प्रत्येक साइटची की	SSID वरील प्रत्येक डिव्हाइस री-की करा	काम सोडणाऱ्या व्यक्तीला की माहित असल्यास प्रत्येक वेळी प्रत्येकासाठी की बदला	WiFi वर कोणताही कार्ड डेटा नसलेली एकच छोटी साइट
PEAP-MSCHAPv2	वैयक्तिक युझरनेम आणि पासवर्ड	खाते डिसेबल करेपर्यंत त्यांचा स्वतःचा पासवर्ड	खाते डिसेबल करा	कोणतीही शेअर्ड की नाही, परंतु सर्व्हर प्रमाणपत्रे व्हॅलिडेट न केल्यास पासवर्ड कॅप्चर केले जाऊ शकतात	अद्याप कोणतेही प्रमाणपत्र प्राधिकरण (certificate authority) नसलेल्या मालमत्ता
EAP-TLS	प्रति डिव्हाइस किंवा व्यक्ती एक प्रमाणपत्र	प्रमाणपत्र रिव्होक झाल्यावर वापरण्यायोग्य काहीही नाही	प्रमाणपत्र रिव्होक करा किंवा ओळख डिसेबल करा	बदलण्यासाठी कोणतीही शेअर्ड की नाही	व्यवस्थापित लॅपटॉप, टॅब्लेट, हँडहेल्ड आणि ऑनबोर्ड केलेले फोन
xPSK	प्रति डिव्हाइस एक युनिक की	त्यांनी वैयक्तिकरित्या प्रविष्ट केलेल्या डिव्हाइस की	त्या डिव्हाइसची की हटवा	केवळ काम सोडणाऱ्या व्यक्तीने हाताळलेल्या की बदला	टिल्स, कार्ड टर्मिनल्स, प्रिंटर, CCTV, सायनेज

शेअर्ड WiFi पासवर्ड 802.1X वर मायग्रेट करण्यापूर्वी तुम्हाला कशाची गरज आहे?

तुम्हाला कोणत्याही नवीन ॲक्सेस पॉइंट्सची गरज नाही. Purple Access हे हार्डवेअर-अग्नोस्टिक आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून चालते. पायलट सुरू करण्यापूर्वी तुमच्याकडे सहा गोष्टी असणे आवश्यक आहे.

1. प्रति साइट डिव्हाइस इन्व्हेंटरी. किमान 14 दिवसांचा कालावधी कव्हर करून, प्रत्येक साइटच्या कन्सोलवरून कर्मचाऱ्यांच्या SSID साठी क्लायंट लिस्ट एक्सपोर्ट करा. प्रत्येक डिव्हाइसची तीन वर्गांपैकी एका वर्गात वर्गवारी करा. व्यवस्थापित डिव्हाइसेस तुमच्या MDM (मोबाइल डिव्हाइस मॅनेजमेंट प्लॅटफॉर्म) मध्ये नोंदणीकृत आहेत. वैयक्तिक डिव्हाइसेस हे कर्मचाऱ्यांच्या मालकीचे फोन आहेत. हेडलेस डिव्हाइसेस म्हणजे टिल्स, कार्ड टर्मिनल्स, प्रिंटर, कॅमेरे आणि प्रमाणपत्र स्टोअर नसलेले इतर काहीही.
2. स्वच्छ गट असलेले आयडेंटिटी प्रोव्हायडर. Microsoft Entra ID, Okta किंवा Google Workspace वापरा. स्वतःचे सेगमेंट आवश्यक असलेला प्रत्येक गट हा VLAN नियम बनतो. Okta WiFi Authentication: Setup Steps, Options and Fixes हे Okta बाजूने सविस्तर माहिती देते.
3. तुमचे MDM विनंती करू शकेल असे प्रमाणपत्र प्राधिकरण. Microsoft Intune, Jamf Pro आणि इतर बहुतांश MDMs हे SCEP (सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल) किंवा PKCS प्रोफाइलद्वारे प्रमाणपत्रे जारी करतात. प्रमाणपत्र डिव्हाइसची ओळख पटवते की व्यक्तीची, हे आताच ठरवा. शेअर्ड टॅब्लेट आणि हँडहेल्ड्सना डिव्हाइस प्रमाणपत्रांची आवश्यकता असते.
4. प्रत्येक साइटवर लागू केलेली VLAN योजना. एका सामान्य योजनेमध्ये पाच सेगमेंट्स असतात: कर्मचारी, व्यवस्थापित कॉर्पोरेट डिव्हाइसेस, पेमेंट डिव्हाइसेस, इतर हेडलेस डिव्हाइसेस आणि मर्यादित लेगसी सेगमेंट. प्रत्येक ॲक्सेस पॉइंटची स्विच ट्रंक प्रत्येक VLAN ला सपोर्ट करते याची खात्री करा.
5. सुरक्षित SSID साठी RADIUS सर्व्हर म्हणून Purple Access सेट करणे. जिथे तुमचा व्हेंडर प्रति-डिव्हाइस की साठी RADIUS वापरतो, तिथे xPSK नेटवर्कला देखील त्याकडे निर्देशित करा. क्लाउड RADIUS म्हणजे साइट्सवर इंस्टॉल, पॅच किंवा क्लस्टर करण्यासाठी काहीही नाही.
6. प्रत्येक साइटवर एक नियुक्त प्रमुख (named lead). तुम्हाला अशा व्यक्तीची आवश्यकता आहे जी इन्व्हेंटरीवरील अज्ञात डिव्हाइसेस ओळखू शकेल आणि ते बंद करण्यास मंजुरी देऊ शकेल.

कटओव्हर वीकेंडशिवाय तुम्ही कर्मचारी WiFi ला 802.1X वर कसे स्थलांतरित करता?

तीन तत्त्वे कटओव्हर वीकेंडची गरज काढून टाकतात. जुन्या नेटवर्कच्या शेजारी नवीन नेटवर्क तयार करा. डिव्हाइसेसना साइटनुसार नाही, तर वर्गानुसार हलवा. ऑथेंटिकेशन लॉग मधील पुराव्याच्या आधारे, साइटनुसार टप्प्याटप्प्याने नेटवर्क बंद करा.

स्थलांतरादरम्यान तुम्ही दोन्ही SSIDs चालवू शकता का?

होय, आणि तुम्ही संपूर्ण प्रकल्पादरम्यान ते एकत्र चालवले पाहिजेत. खरा प्रश्न एअरटाइमचा आहे. प्रत्येक ब्रॉडकास्ट SSID प्रत्येक रेडिओवर बीकन फ्रेम्स जोडतो, म्हणून व्हेंडर डिझाइन मार्गदर्शक, ज्यामध्ये Cisco Meraki चा देखील समावेश आहे, SSID ची संख्या कमी ठेवण्याची शिफारस करतात.

यावरील सुटसुटीत उपाय म्हणजे जुना SSID हा xPSK नेटवर्कमध्ये रूपांतरित करणे. त्याचे नाव आणि सुरक्षा मोड तसाच ठेवा. पर-डिव्हाइस की लिस्टमध्ये एक की म्हणून जुना सामायिक पासवर्ड जोडा, जो मर्यादित जुन्या VLAN शी मॅप केलेला असेल. जुना पासवर्ड माहित असलेली डिव्हाइसेस कोणत्याही अडचणीशिवाय पुन्हा कनेक्ट होतात. तुम्ही हलवलेल्या प्रत्येक डिव्हाइसला त्याची स्वतःची की मिळते.

जेव्हा एखाद्या साइटवर जुन्या की साठी एकही डिव्हाइस उरत नाही, तेव्हा तुम्ही ती हटवता. त्यानंतर सामायिक पासवर्ड बंद होतो आणि कोणताही नवीन SSID कधीही दिसत नाही. तुमची अंतिम स्थिती तीन SSIDs ची असेल: guest, secure staff आणि xPSK.

प्रथम एका साइटवर याची चाचणी घ्या. अनेक व्हेंडर्स WPA3-SAE ऐवजी WPA2-Personal वर पर-की वैशिष्ट्ये चालवतात, त्यामुळे तुमच्या व्हेंडरचे दस्तऐवज तपासा. जर तुमचे प्लॅटफॉर्म जुना पासवर्ड एका की च्या रूपात धरून ठेवू शकत नसेल, तर स्थलांतरादरम्यान चार SSIDs चालवा आणि नेटवर्क बंद करताना जुना SSID काढून टाका.

टप्पा 1: एकदा तयार करा, संपूर्ण मालमत्तेवर लागू करा

सुरक्षित SSID आणि xPSK नेटवर्क एकदा कॉन्फिगर करा, त्यानंतर टेंपलेटवरून ते प्रत्येक साइटवर लागू करा. जिथे तुमचे व्यवस्थापित केलेले ताफे याला सपोर्ट करतात तिथे WPA3-Enterprise वापरा, अन्यथा WPA2/WPA3 ट्रान्सिशन मोड वापरा.

Vendor	Console	Secure SSID setting	Per-device key feature	Apply across sites with
Cisco Meraki	Meraki Dashboard	Enterprise with my RADIUS server	Identity PSK (iPSK)	Configuration templates
HPE Aruba	Aruba Central	Enterprise security level	MPSK	Groups
Ruckus	SmartZone or RUCKUS One	802.1X EAP authentication	Dynamic PSK (DPSK)	Zones or venues
Juniper Mist	Mist portal	Enterprise (802.1X) WLAN security	Multi PSK	WLAN templates
Ubiquiti UniFi	UniFi Network	WPA Enterprise with a RADIUS profile	Private Pre-Shared Keys	Site settings per site

फर्मवेअर आवृत्त्यांमध्ये लेबल्स बदलतात, त्यामुळे सध्याच्या पाथसाठी तुमच्या व्हेंडरच्या दस्तऐवजांचे अनुसरण करा. अधिक कॉन्फिगरेशन मार्गदर्शक आमच्या Access guides मध्ये उपलब्ध आहेत.

टप्पा 2: दोन किंवा तीन प्रातिनिधिक साइट्सवर पायलट चाचणी करा

वेगवेगळ्या प्रकारच्या साइट्स निवडा: एक मोठी साइट, एक लहान साइट आणि असामान्य स्विच मॉडेल असलेली एक साइट. नंतरचे सर्व टप्पे प्रथम त्या साइट्सवर पूर्णपणे चालवून पहा. ज्या ट्रंकवर VLAN नाही, जी टिल मशीन फक्त WPA2 ला सपोर्ट करते आणि जे MDM प्रोफाईल चुकीच्या क्रमाने इंस्टॉल होते, त्यांचा शोध घेण्यासाठी ही पायलट चाचणी उपयुक्त ठरते.

टप्पा 3: MDM द्वारे व्यवस्थापित डिव्हाइसेसवर सर्टिफिकेट्स पुश करा

व्यवस्थापित डिव्हाइसेस सर्वात वेगाने काम करतात कारण MDM एकाच वेळी प्रत्येक साइटपर्यंत पोहोचतो. अनुक्रमे तीन प्रोफाईल तैनात करा: विश्वासार्ह रूट प्रमाणपत्र, डिव्हाइस प्रमाणपत्र, आणि नंतर WiFi प्रोफाईल. संदर्भित केलेले प्रमाणपत्र गहाळ असल्यास बहुतेक MDM चे WiFi प्रोफाईल अयशस्वी होतात.

WiFi प्रोफाईल सुरक्षित SSID ला नाव देते, EAP-TLS सेट करते आणि RADIUS सर्व्हरचे प्रमाणपत्र नाव आणि रूट पिन करते. एखाद्या डिव्हाइसने सुरक्षित SSID वर प्रमाणीकरण केल्यानंतर, जुने नेटवर्क हटवणारे प्रोफाईल पुश करा. अन्यथा डिव्हाइस आधीच विश्वास असलेल्या जुन्या SSID कडे परत जाऊ शकते.

टप्पा 4: वैयक्तिक फोन समान SSID वर ऑनबोर्ड करणे

कर्मचारी बहुतेकदा बॅक ऑफिसमध्ये पोस्ट केलेला QR कोड स्कॅन करून ओपन नेटवर्कमध्ये सामील होतात. ते त्यांच्या कामाच्या आयडेंटिटीसह Captive Portal वर साइन इन करतात आणि सुरक्षित नेटवर्क प्रोफाईल प्राप्त करतात. आमचा Captive portals पिलर पोर्टल डिझाइन समाविष्ट करतो.

Passpoint (Hotspot 2.0) प्रोफाईल बहु-साइट मालमत्तेला सर्वात जास्त मदत करते. Passpoint मुळे फोनला SSID नावाऐवजी त्याच्या क्रेडेंशियलद्वारे नेटवर्क शोधणे आणि त्यात सामील होणे शक्य होते. त्यानंतर एकदा केलेले ऑनबोर्डिंग प्रत्येक साइटवर कार्य करते. वैयक्तिक फोन्सना पेमेंट आणि बॅक-ऑफिस विभागांपासून दूर, केवळ-इंटरनेट असलेल्या स्टाफ VLAN वर मॅप करा. हेल्पडेस्कला अचानक वाढ न दिसता स्थिर प्रवाह दिसेल अशा प्रकारे प्रदेशानुसार ऑनबोर्डिंग चालवा.

टप्पा 5: प्रमाणपत्र धारण करू न शकणाऱ्या प्रत्येक डिव्हाइसला त्याच्या स्वतःच्या की वर हलवणे

प्रत्येक हेडलेस डिव्हाइसला एक युनिक की द्या आणि वर्गानुसार VLAN मध्ये की मॅप करा. कार्ड टर्मिनल पेमेंट विभागात आणि कॅमेरे कॅमेरा विभागात जातात. डिव्हाइस, MAC पत्ता, साइट, की आणि ती प्रविष्ट करणाऱ्या व्यक्तीची नोंद ठेवा.

प्रिंटर्स आणि कॅमेरा रेकॉर्डरमध्ये सामान्यतः वेब इंटरफेस असतात ज्यांना तुम्ही दूरस्थपणे री-की करू शकता. टिल्स आणि टर्मिनल्सना व्हेंडरचे व्यवस्थापन प्लॅटफॉर्म किंवा साइटला भेट देण्याची आवश्यकता असू शकते. PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist या टप्प्याचा सविस्तर समावेश करतो.

बहु-साइट 802.1X रोलआउटसाठी किती वेळ लागतो?

खालील कालावधी बेंचमार्क नसून आपल्या पायलटमध्ये चाचणी करण्यासाठी नियोजन गृहीतके म्हणून घ्या. हेडलेस डिव्हाइसेस वेग ठरवतात, कारण तो असा एकमेव वर्ग आहे ज्यासाठी साइटवर प्रत्यक्ष उपस्थितीची आवश्यकता असू शकते.

टप्पा	काय घडते	व्याप्ती	नियोजित कालावधी
0. तयारी	इनव्हेंटरी, आयडेंटिटी ग्रुप्स, VLAN योजना, सर्टिफिकेट अथॉरिटी	संपूर्ण मालमत्ता, डिव्हाइसमध्ये कोणतेही बदल नाहीत	2-3 आठवडे
1. बिल्ड	टेम्पलेट्समध्ये सुरक्षित SSID आणि xPSK नेटवर्क	संपूर्ण मालमत्ता	1 आठवडा
2. पायलट	प्रत्येक टप्पा सुरुवातीपासून शेवटापर्यंत	2-3 साइट्स	3-4 आठवडे
3. व्यवस्थापित डिव्हाइसेस	MDM प्रमाणपत्रे आणि WiFi प्रोफाईल पुश करतो	सर्व साइट्स एकाच वेळी	2 आठवडे अधिक उर्वरित डिव्हाइसेससाठी 2 आठवडे
4. वैयक्तिक फोन	ओपन नेटवर्कद्वारे ऑनबोर्डिंग	प्रति लाट 20-30 साइट्स	प्रति लाट 2 आठवडे
5. हेडलेस डिव्हाइसेस	प्रति डिव्हाइस युनिक की	रिमोट किंवा साइट भेट	प्रति साइट अर्धा दिवस, समांतर चालवा
6. स्विच-ऑफ	जुनी की हटवा	प्रति साइट	प्रति साइट किमान 14 स्वच्छ दिवस

टप्पे 3, 4 आणि 5 एकमेकांवर ओव्हरलॅप होतात. या गृहीतकांवर आधारित, 50 साईट्ससाठी 10 ते 14 आठवडे आणि 200 साईट्ससाठी 20 ते 26 आठवड्यांचे नियोजन करा.

प्रत्यक्ष कार्य केलेले उदाहरण: Cisco Meraki वर आधारित 64 हॉटेल्सचा समूह

प्रातिनिधिक आकडेवारी. प्रत्येक हॉटेल एका सामायिक स्टाफ की वर सुमारे 40 डिव्हाइसेस चालवत होते. याचा अर्थ 22 मॅनेज्ड डिव्हाइसेस, सहा वैयक्तिक फोन आणि 12 हेडलेस डिव्हाइसेस: कार्ड टर्मिनल्स, पावती प्रिंटर्स आणि स्वाक्षरी प्लेयर्स. एजन्सीच्या हाऊसकीपिंग कर्मचाऱ्यांना ती की माहित होती, त्यामुळे प्रत्येक एजन्सी रोटेशनमुळे PCI DSS 2.3.2 लीव्हर अट ट्रिगर होत होती.

टीमने जुन्या SSID चे iPSK मध्ये रूपांतर केले आणि जुना पासवर्ड एका प्रतिबंधित VLAN वर एक की म्हणून ठेवला. त्यांनी कॉन्फिगरेशन टेम्पलेटमध्ये Enterprise SSID तयार केले. पायलटच्या तिसऱ्या आठवड्यात Intune ने सर्व 1,408 मॅनेज्ड डिव्हाइसेसवर प्रमाणपत्रे पाठवली. ड्युटी मॅनेजर्सनी प्रदेशानुसार 384 वैयक्तिक फोन ऑनबोर्ड केले. इंजिनिअर्सनी शेड्यूल्ड मेंटेनन्स भेटींदरम्यान 768 हेडलेस डिव्हाइसेसची री-की केली.

निकाल: नवव्या आठवड्यापर्यंत, जुन्या की वर फक्त हेडलेस डिव्हाइसेस चालू होते. शेवटच्या हॉटेलने 16 व्या आठवड्यात ते डिलीट केले, तेही कोणत्याही कटओव्हर रात्रीशिवाय. लीव्हरचा अर्थ आता 64 हॉटेल्समधील 2,560 डिव्हाइसेसची री-की करण्याऐवजी एक खाते डिसेबल करणे असा होतो.

प्रत्यक्ष कार्य केलेले उदाहरण: Juniper Mist वर आधारित 180 स्टोअर्सचा रिटेलर

प्रातिनिधिक आकडेवारी. प्रत्येक स्टोअर सामायिक की वर 27 डिव्हाइसेस चालवत होते: 12 हँडहेल्ड स्कॅनर्स, तीन बॅक-ऑफिस PCs, चार लेबल प्रिंटर्स, सहा कॅमेरे आणि दोन व्यवस्थापकांचे फोन. कर्मचाऱ्यांनी काम सोडल्यानंतर री-की करण्याचे काम ठप्प झाले होते, कारण एकाच दिवशी प्रत्येक स्टोअरपर्यंत कोणीही पोहोचू शकत नव्हते.

स्कॅनर्स आणि PCs MDM द्वारे EAP-TLS वर हलवले गेले, एकूण 2,700 डिव्हाइसेस. प्रिंटर्स आणि कॅमेरे Multi PSK वर हलवले गेले, दोन VLANs शी मॅप केलेल्या 1,800 युनिक की. स्टोअर्स 30 च्या सहा लाटांमध्ये हलवले गेले. पायलटमध्ये एका स्टोअरचे फॉरमॅट असे आढळले ज्यांचे स्विचेस कॅमेरा VLAN ट्रंक करत नव्हते. टीमने पहिल्या लाटेपूर्वी टेम्पलेट दुरुस्त केले.

निकाल: सर्व 180 स्टोअर्समध्ये 22 व्या आठवड्यापर्यंत प्रति-स्टोअर जुनी संख्या शून्यावर पोहोचली. संपूर्ण मालमत्तेत आता कोठेही सामायिक स्टाफ की अस्तित्वात नाही.

मायग्रेशन कार्य करते हे तुम्ही प्रत्येक साईटनुसार कसे तपासता?

पायलटमधील प्रत्येक टप्पा सिद्ध करा

स्केलिंग करण्यापूर्वी प्रत्येक पायलट साईटवर चार चाचण्या घ्या:

• जॉईन टेस्ट: एक नवीन मॅनेज्ड डिव्हाइस, ऑनबोर्ड केलेला फोन आणि री-की केलेले टिल प्रत्येक वेळी पहिल्यांदाच कनेक्ट होतात.
• VLAN टेस्ट: प्रत्येक डिव्हाइस त्याच्या ओळख किंवा की द्वारे सेट केलेल्या सेगमेंटमध्ये लँड होते.
• रोमिंग टेस्ट: हँडहेल्ड डिव्हाइस ॲक्सेस पॉइंट्सदरम्यान फिरताना त्याचे सत्र सुरू ठेवते.
• लीव्हर टेस्ट: एक चाचणी ओळख डिसेबल करा आणि तिचे प्रमाणपत्र रद्द करा, नंतर पुढील ऑथेंटिकेशन नाकारले गेले आहे याची खात्री करा.

ऑथेंटिकेशन लॉगवरून प्रति साईट प्रगती मोजा

ऑथेंटिकेशन लॉग आणि कंट्रोलरच्या क्लायंट सूचीवरून, प्रत्येक आठवड्यात प्रति साईट तीन आकडे रिपोर्ट करा:

1. सुरक्षित SSID वर EAP-TLS सह ऑथेंटिकेट होणारी डिव्हाइसेस.
2. त्यांच्या स्वतःच्या xPSK की वरील डिव्हाइसेस.
3. अद्याप जुनी की वापरणारी डिव्हाइसेस.

मागील 14 दिवसांत दिसलेल्या एकूण सर्व कर्मचाऱ्यांच्या उपकरणांपैकी पहिल्या दोन भागांची संख्या म्हणजेच तुमची प्रगती. लेगसी संख्येनुसार साइट्सची वर्गवारी करा आणि जिथे संख्या सर्वाधिक आहे तिथे प्रयत्न पाठवा. वैयक्तिक फोनची गणना MAC address ऐवजी ओळखीनुसार करा. iOS आणि Android प्रत्येक नेटवर्कनुसार MAC address यादृच्छिक (randomise) करतात, त्यामुळे एक फोन दोन उपकरणांसारखा दिसू शकतो.

तुम्ही सामायिक पासवर्ड कधी बंद करता?

जेव्हा खालील चारही अटी पूर्ण होतील तेव्हा एका साइटवरील लेगसी की हटवा:

• दोन पूर्ण रोटा चक्र पूर्ण करून, सलग 14 दिवस लेगसी संख्या शून्य राहिली आहे.
• इन्व्हेंटरीमधील प्रत्येक हेडलेस उपकरणाची स्वतःची की आहे.
• त्या साइटसाठी हेल्पडेस्क तिकिटे पुन्हा मूळ पातळीवर आली आहेत.
• साइट प्रमुखांची स्वाक्षरी झाली आहे.

तारीख नोंदवा. त्यानंतर, 2.3.2 ला तुम्हाला बदलण्यासाठी कोणतीही सामायिक की अस्तित्त्वात नसेल. तुमची की नोंदणी आणि ऑथेंटिकेशन लॉग या गरजेचा पुरावा बनतात. चुकून राहून गेलेले उपकरण नंतर आढळल्यास, त्याला स्वतःची की द्या. सामायिक की कधीही पुनर्संचयित करू नका.

मल्टी-साइट 802.1X रोलआउटमध्ये काय चुकते आणि तुम्ही ते कसे दुरुस्त करता?

उपकरणे पुन्हा लेगसी SSID कडे जातात

उपकरणे दोन्ही नेटवर्क लक्षात ठेवतात आणि जुन्या नेटवर्कला प्राधान्य देऊ शकतात. सुरक्षित SSID कार्य करू लागल्यानंतर MDM प्रोफाइलद्वारे लेगसी नेटवर्क काढून टाका. वैयक्तिक फोनवर, ऑनबोर्डिंग सूचनांमध्ये "जुने नेटवर्क विसरून जा" चा समावेश करा.

सर्व्हर व्हॅलिडेट न करता उपकरणे जोडली जातात

सर्व्हर प्रमाणपत्र व्हॅलिडेशन वगळणारी WiFi प्रोफाइल समान SSID ब्रॉडकास्ट करणाऱ्या फसव्या ॲक्सेस पॉइंटवर विश्वास ठेवेल. प्रत्येक प्रोफाइलमध्ये विश्वासू रूट आणि RADIUS सर्व्हरचे नाव पिन करा.

क्लायंट ऑथेंटिकेट होतात परंतु त्यांना IP address मिळत नाही

RADIUS ने असे VLAN असाइन केले आहे जे स्विच ट्रंक घेऊन जात नाही. पायलटमधील प्रत्येक स्विच मॉडेलवर ट्रंकचे ऑडिट करा, नंतर वैयक्तिक साइट ऐवजी टेम्पलेट दुरुस्त करा.

Windows लॅपटॉप PEAP वर अयशस्वी होतात

Microsoft दस्तऐवजीकरण सांगते की Windows Defender Credential Guard सेव्ह केलेल्या क्रेडेन्शियल्ससह MSCHAPv2 सिंगल साइन-ऑन ब्लॉक करते. ते लॅपटॉप EAP-TLS वर हलवल्याने पासवर्डवरील अवलंबित्व निघून जाते.

संपूर्ण मालमत्तेतील प्रमाणपत्रे एकाच वेळी एक्सपायर होतात

एकाच पुशमध्ये जारी केलेली प्रमाणपत्रे एकाच आठवड्यात एक्सपायर होतात. मुदत संपण्याच्या आधीच MDM मध्ये स्वयंचलित नूतनीकरण सेट करा आणि आपल्या प्रमाणपत्र प्राधिकरणाने परवानगी दिल्यास सुरुवातीचा पुश टप्प्याटप्प्याने करा.

खूप जास्त SSID प्रत्येक नेटवर्कचा वेग मंदिरावतात

गेस्ट, लेगसी, सिक्युर आणि xPSK SSID एकत्रितपणे चालवल्याने प्रत्येक रेडिओवर बीकन ओव्हरहेड वाढतो. संख्या तीनवर ठेवण्यासाठी, वर वर्णन केल्याप्रमाणे, लेगसी SSID ला xPSK नेटवर्कमध्ये रूपांतरित करा.

802.1X मायग्रेशनसाठी काय खर्च येतो आणि त्या बदल्यात तुम्हाला काय मिळते?

खर्च हा परवाना आणि श्रमाचा आहे, हार्डवेअरचा नाही. तुम्ही Purple Access, तसेच MDM प्रोफाइल कार्य, हेडलेस उपकरणांसाठी साइट भेटी आणि ऑनबोर्डिंग लहरी दरम्यान हेल्पडेस्क वेळेसाठी पैसे देता. ॲक्सेस पॉइंट, स्विचेस आणि कंट्रोलर जसे आहेत तसेच राहतात.

बदल्यात तुम्हाला जे मिळते ते म्हणजे तुम्ही गोष्टी करणे थांबवता. रिटेल परिदृश्यात, सामायिक की च्या एका मालमत्ता-व्यापी रोटेशनचा अर्थ 4,860 उपकरणांवर ती पुन्हा प्रविष्ट करणे असा होता. प्रति उपकरण तीन मिनिटे गृहीत धरल्यास, प्रति रोटेशन कर्मचाऱ्यांचा 243 तासांचा वेळ जातो. मायग्रेशननंतर, संस्था सोडणाऱ्या व्यक्तीचा अर्थ एक ओळख निष्क्रिय करणे, तसेच त्या व्यक्तीने प्रविष्ट केलेल्या कोणत्याही उपकरणाच्या की बदलणे असा होतो.

कोणत्या ओळखीने किंवा कीने (key) कोणत्या साइटवर आणि कधी जॉईन केले याची ऑथेंटिकेशन लॉग देखील तुम्हाला मिळते. ती लॉग PCI-DSS 2.3.2 साठी आणि ISO 27001 Annex A मधील 5.18 नियंत्रणाअंतर्गत ॲक्सेस-राइट्स पुनरावलोकनांसाठी पुरावा आहे. Purple कडे ISO 27001 आणि Cyber Essentials प्रमाणपत्र आहे आणि ते 80,000+ पेक्षा जास्त लाइव्ह ठिकाणांवर 99.999% अपटाइमसह चालते. जेव्हा RADIUS कर्मचारी काम करू शकतात की नाही हे ठरवते, तेव्हा हा अपटाइम अत्यंत महत्त्वाचा ठरतो.

वारंवार विचारले जाणारे प्रश्न

कर्मचाऱ्यांचे WiFi 802.1X वर हलवण्यासाठी आम्हाला नवीन ॲक्सेस पॉइंट्सची गरज आहे का?

नाही. 802.1X आणि प्रति-डिव्हाइस की (keys) तुमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्सवरच चालतात. Purple Access हे हार्डवेअर-अग्नोस्टिक आहे आणि Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून काम करते. तुम्ही एक Enterprise SSID कॉन्फिगर करता जो Purple च्या क्लाउड RADIUS कडे पॉइंट करतो, तसेच तुमच्या व्हेंडरचे स्वतःचे वैशिष्ट्य वापरून प्रति-डिव्हाइस की नेटवर्क कॉन्फिगर करता. एकच फिजिकल तपासणी करावी लागते ती म्हणजे प्रत्येक स्विच ट्रंकवर नवीन VLANs आहेत की नाही.

आम्ही शेअर केलेला पासवर्ड SSID आणि 802.1X SSID एकाच वेळी चालवू शकतो का?

होय, आणि तुम्ही ते चालवले पाहिजे, कारण दोन्ही एकाच वेळी चालवल्याने कटओव्हरचा वीकेंड टाळता येतो. जिथे तुमचा प्लॅटफॉर्म परवानगी देतो, तिथे जुन्या SSID ला xPSK नेटवर्कमध्ये रूपांतरित करा. जुना पासवर्ड रिस्ट्रिक्टेड VLAN वरील एका की (key) स्वरूपात ठेवा, जेणेकरून तुम्ही डिव्हाइसेस हलवत असताना ते कार्यरत राहतील. सलग 14 दिवस कोणत्याही डिव्हाइसने ती की वापरल्याचे ऑथेंटिकेशन लॉगमध्ये दिसले नाही की, प्रत्येक साइटवरून ती की हटवून टाका.

802.1X ला सपोर्ट न करणाऱ्या डिव्हाइसेसचे काय होते?

ते xPSK नेटवर्कवर हलवले जातात, प्रत्येकाची स्वतःची एक की असते. टिल्स, कार्ड टर्मिनल्स, प्रिंटर्स, कॅमेरे आणि सायनोज प्लेयर्सकडे क्वचितच सर्टिफिकेट असते, परंतु जवळजवळ सर्व WPA2 पासफ्रेज स्वीकारतात. प्रत्येक की तिच्या डिव्हाइस क्लाससाठी VLAN शी मॅप केली जाते, त्यामुळे तुम्ही इतर कोणत्याही डिव्हाइसला स्पर्श न करता एका डिव्हाइसचा ॲक्सेस रद्द करू शकता. प्रत्येक की कोणी प्रविष्ट केली याची नोंद ठेवा, कारण काम सोडून गेलेल्या व्यक्तीला माहित असलेल्या की (keys) साठी PCI-DSS 2.3.2 अजूनही लागू होते.

बहु-साइट 802.1X मायग्रेशनसाठी किती वेळ लागतो?

50 साइट्ससाठी 10 ते 14 आठवडे आणि 200 साइट्ससाठी 20 ते 26 आठवड्यांचे नियोजन करा, त्यानंतर तुमच्या पायलट टेस्टमध्ये त्या गृहितकांची चाचणी घ्या. मॅनेज्ड डिव्हाइसेस सर्वात वेगाने मायग्रेट होतात कारण MDM एकाच वेळी प्रत्येक साइटवर पुश करतो. हेडलेस डिव्हाइसेसचा वेग कमी असतो, कारण काहींसाठी साइटला भेट द्यावी लागते. शेअर केलेला पासवर्ड बंद करण्यापूर्वी प्रत्येक साइटला ऑथेंटिकेशन लॉगमध्ये किमान 14 स्पष्ट (clean) दिवसांची आवश्यकता असते.

802.1X मुळे आमचे स्टाफ WiFi PCI-DSS चे पालन करते का?

कोणतेही एकच नियंत्रण ते पूर्ण करत नाही, आणि याचा निर्णय तुमचा असेसॉर घेतो. EAP-TLS आणि प्रति-डिव्हाइस की तुम्हाला PCI-DSS v4.0.1 मधील 2.3.2 आवश्यकतेसाठी पुरावा देतात. एकदा का कोणतीही शेअर केलेली की शिल्लक राहिली नाही की, काम सोडून गेलेल्या व्यक्तीमुळे संपूर्ण नेटवर्कची की बदलावा लागत नाही. ऑथेंटिकेशन लॉग दर्शवते की कोणत्या ओळखीने किंवा कीने कोणत्या साइटवर आणि कधी जॉईन केले, जे ISO 27001 अंतर्गत ॲक्सेस-राइट्स पुनरावलोकनांना देखील समर्थन देते.

आम्ही सर्टिफिकेट ऐवजी पासवर्डसह PEAP वापरावे का?

तुम्ही करू शकता तिथे EAP-TLS वापरा. PEAP-MSCHAPv2 शेअर केलेली की काढून टाकते परंतु तरीही पासवर्डवर अवलंबून राहते. जर उपकरणाने सर्व्हर सर्टिफिकेट सत्यापित केले नाही तर ते पासवर्ड कॅप्चर केले जाऊ शकतात. Microsoft हे देखील दस्तऐवजीकरण करते की Windows Defender Credential Guard सेव्ह केलेल्या क्रेडेंशियल्ससह MSCHAPv2 सिंगल साइन-ऑन ब्लॉक करते. ते अनेक व्यवस्थापित Windows लॅपटॉपवर पासवर्ड-आधारित WiFi खंडित करते. तुमच्या MDM द्वारे पुश केलेले सर्टिफिकेट या दोन्ही समस्या टाळतात आणि कर्मचाऱ्यांकडून कोणत्याही कारवाईची आवश्यकता नसते.

आम्हाला 802.1X साठी ऑन-प्रिमाइसेस RADIUS सर्व्हरची आवश्यकता आहे का?

नाही. Purple Access क्लाउड RADIUS प्रदान करते, त्यामुळे प्रत्येक साइटवर इन्स्टॉल, पॅच किंवा लवचिक बनवण्यासारखे काहीही नाही. तुमचे ॲक्सेस पॉइंट्स Purple ला ऑथेंटिकेशन विनंत्या पाठवतात. Purple सर्टिफिकेट किंवा की तपासते, Microsoft Entra ID, Okta किंवा Google Workspace कडून आयडेंटिटी नियम लागू करते आणि VLAN परत करते. Purple 99.999% अपटाइमवर चालते आणि ISO 27001 आणि Cyber Essentials सर्टिफिकेशन धारण करते.

कर्मचारी एकाच 802.1X SSID वर वैयक्तिक फोन वापरू शकतात का?

होय, तुमचे धोरण परवानगी देत असल्यास. कर्मचारी ओपन नेटवर्कमध्ये सामील होतात, कॅप्टिव्ह पोर्टलवर त्यांच्या कामाच्या आयडेंटिटीसह साइन इन करतात आणि सुरक्षित नेटवर्क प्रोफाइल प्राप्त करतात. Passpoint प्रोफाइल नंतर इस्टेटमधील प्रत्येक साइटवर फोन स्वयंचलितपणे जोडते. पेमेंट आणि बॅक-ऑफिस विभागांपासून दूर, वैयक्तिक फोन केवळ-इंटरनेट स्टाफ VLAN वर मॅप करा. पायलटमध्ये चाचणी घ्या की तुमची लीव्हर प्रक्रिया त्यांचा ॲक्सेस काढून टाकते.