रिटेल स्टोअर उपकरणांसाठी PPSK: Cisco Meraki आणि Juniper Mist वरील टिल्स, स्कॅनर्स आणि CCTV साठी तैनाती चेकलिस्ट

प्रायव्हेट प्री-शेअर कळा (PPSK) एकाच SSID वर प्रत्येक टिल, स्कॅनर, प्रिंटर आणि स्क्रीनला स्वतःची WiFi कळ प्रदान करतात. प्रत्येक कळ एका VLAN (व्हर्च्युअल LAN), पॉलिसी आणि बँडविड्थ मर्यादशी मॅप केली जाते, ज्यामुळे टिल्स हे सायनेज आणि CCTV पासून वेगळे राहतात. कळांना MAC ॲड्रेसशी बाइंड करा आणि एखादे हरवलेले डिव्हाइस असल्यास त्याची कळ रद्द करा. Cisco Meraki याला Identity PSK म्हणते; Juniper Mist याला Multi PSK म्हणते.

रिटेल स्टोअर डिव्हाइसेससाठी PPSK नेमके काय करते?

बहुतेक स्टोअर इस्टेट्स अनावधानाने त्यांचे डिव्हाइस WiFi तयार करतात. स्कॅनर्स स्टाफ SSID मध्ये सामील होतात. सायनेज प्लेयर्स इंस्टॉलला दिसणाऱ्या कोणत्याही नेटवर्कमध्ये सामील होतात. वायरलेस कॅमेरा गेस्ट नेटवर्कवर जातो. सर्व गोष्टी एकच पासवर्ड शेअर करतात जो स्टोअर सुरू झाल्यापासून बदललेला नाही.

PPSK डिव्हाइसला कोणतीही नवीन गोष्ट करण्यास न सांगता हे दुरुस्त करते. डिव्हाइस अजूनही एकच SSID पाहते आणि एक WPA2-Personal पासफ्रेझ एंटर करते. हा बदल नेटवर्कच्या बाजूला असतो. प्रत्येक डिव्हाइसला वेगळा पासफ्रेझ मिळतो. ॲक्सेस पॉइंट प्रत्येक पासफ्रेझला स्थानिक पातळीवर किंवा RADIUS सर्व्हरला विचारून ओळखीशी मॅच करतो. त्यानंतर ते त्या ओळखीशी जोडलेले VLAN, फायरवॉल नियम आणि बँडविड्थ मर्यादा लागू करते. RADIUS हा असा प्रोटोकॉल आहे जो ॲक्सेस पॉइंट एखाद्या central सर्व्हरला डिव्हाइस कोण आहे आणि ते कुठपर्यंत पोहोचू शकते हे विचारण्यासाठी वापरतो.

स्टोअरमध्ये तीन परिणाम महत्त्वाचे आहेत:

• ओळखीनुसार वर्गीकरण (Separation by identity). एकाच SSID वर असलेले टिल आणि सायनेज प्लेयर वेगवेगळ्या फायरवॉल नियमांसह वेगवेगळ्या VLANs वर जातात.
• नियंत्रण (Containment). IEEE 802.11i अंतर्गत, प्रत्येक डिव्हाइस स्वतःच्या पासफ्रेझवरून त्याचे सेशन कळा मिळवते. शेअर केलेला पासफ्रेझ असलेल्या आणि हँडशेक कॅप्चर करणाऱ्या कोणत्याही व्यक्तीला दुसऱ्या डिव्हाइसच्या सेशन कळा मिळू शकतात. PPSK सह, लीक झालेली सायनेज कळ टिल ट्रॅफिकला डिक्रिप्ट करू शकत नाही.
• एकाच ठिकाणाहून रद्द करणे (Revocation in one place). एक कळ हटवा आणि एका डिव्हाइसचा ॲक्सेस समाप्त होतो. स्टोअरमधील इतर कशातही बदल होत नाही.

तुमच्या तीन नेटवर्कमध्ये PPSK कुठे बसते

Purple Access एकाच प्लॅटफॉर्मवर तीन नेटवर्क चालवते आणि ओळख प्रत्येक नेटवर्कवर VLAN सेट करते. ओपन नेटवर्क आमच्या Captive portals मार्गदर्शकामध्ये समाविष्ट असलेल्या Captive Portal द्वारे खरेदीदारांना सेवा देते. सुरक्षित नेटवर्क IEEE 802.1X आणि EAP-TLS द्वारे कर्मचाऱ्यांना सेवा देते. 802.1X हे प्रत्येक डिव्हाइस नेटवर्कमध्ये सामील होण्यापूर्वी त्याला प्रमाणित करण्याचे मानक आहे. EAP-TLS ही अशी पद्धत आहे जी डिव्हाइसवरील प्रमाणपत्र वापरते. Okta WiFi Authentication: Setup Steps, Options and Fixes मध्ये दाखवल्याप्रमाणे कर्मचारी Microsoft Entra ID, Okta किंवा Google Workspace द्वारे देखील साइन इन करू शकतात.

प्रमाणपत्रे (Certificates) लोकांसाठी डीफॉल्ट राहतात. xPSK नेटवर्क अशा सर्व गोष्टींना कव्हर करते ज्यांच्याकडे प्रमाणपत्र असू शकत नाही: टिल्स, हँडहेल्ड स्कॅनर्स, पावती प्रिंटर्स, स्वाक्षरी करणारे प्लेयर्स आणि वायरलेस CCTV. अपार्टमेंट इमारतींमधील रहिवाशांसाठी आम्ही हेच मॉडेल वापरतो, जे Multifamily WiFi: how isolation, xPSK and billing work मध्ये स्पष्ट केले आहे. संपूर्ण सुरक्षितता मॉडेलसाठी, आमची WiFi security मार्गदर्शिका पहा.

PPSK ची पर्यायांसोबत तुलना

पद्धत	डिव्हाइसमध्ये काय असते	एक डिव्हाइस रद्द करणे	प्रति-डिव्हाइस VLAN आणि पॉलिसी	अतिरिक्त इन्फ्रास्ट्रक्चर	कोणासाठी योग्य
Shared PSK	प्रत्येक डिव्हाइसद्वारे सामायिक केलेला एक पासफ्रेज	SSID वरील प्रत्येक डिव्हाइस री-की करा	नाही, प्रति SSID एक VLAN	काहीही नाही	पेमेंट हाताळणाऱ्या कोणत्याही गोष्टीसाठी नाही
PPSK (Meraki Identity PSK, Mist Multi PSK)	स्वतःचा पासफ्रेज, इच्छित असल्यास MAC शी बाइंड केलेला	एक की हटवा	होय, प्रति की	Meraki: MAC बाइंडिंगसाठी RADIUS. Mist: Cloud PSK सह काहीही नाही	टिल्स, स्कॅनर्स, प्रिंटर्स, स्वाक्षरी, CCTV
EAP-TLS सह IEEE 802.1X	एक क्लायंट प्रमाणपत्र	एक प्रमाणपत्र रद्द करा	होय, प्रति ओळख	RADIUS सर्व्हर आणि पब्लिक की इन्फ्रास्ट्रक्चर (PKI)	MDM अंतर्गत कर्मचाऱ्यांचे लॅपटॉप आणि फोन
MAC ऑथेंटिकेशन बायपास	काहीही नाही: MAC पत्ता हीच ओळख आहे	एक MAC पत्ता हटवा	होय, प्रति MAC पत्ता	RADIUS सर्व्हर	इतर कशालाही सपोर्ट न करणारी वायर्ड डिव्हाइसेस

MDM म्हणजे मोबाईल डिव्हाइस मॅनेजमेंट, ही अशी सिस्टम आहे जी कंपनीच्या मालकीचे फोन, स्कॅनर्स आणि लॅपटॉपवर सेटिंग्ज पाठवते.

तुमच्या स्टोअरमध्ये PPSK तैनात करण्यापूर्वी तुम्हाला कशाची गरज आहे?

बहुतेक काम तुम्ही एकही की तयार करण्यापूर्वीच होते. आधी या गोष्टी तयार ठेवा:

• प्रति स्टोअर एक डिव्हाइस इन्व्हेंटरी. डिव्हाइस क्लास, मेक, मॉडेल, MAC पत्ता, MAC निश्चित आहे की नाही, समर्थित सुरक्षा मोड आणि रेडिओ बँड नोंदवा.
• एक सेगमेंट प्लॅन. पेमेंट, CCTV आणि स्वाक्षरी करारांच्या मालकाशी प्रति डिव्हाइस क्लास एक VLAN निश्चित करा.
• प्रत्येक ॲक्सेस पॉइंटसाठी VLAN ट्रंकिंग. प्रत्येक AP अपलिंक पोर्टने प्रत्येक सेगमेंट VLAN वाहून नेणे आवश्यक आहे, अन्यथा डिव्हाइसेस जोडली जातील परंतु त्यांना कोणताही IP पत्ता मिळणार नाही.
• प्रति सेगमेंट फायरवॉल नियम. तुम्ही काहीही कॉन्फिगर करण्यापूर्वी प्रत्येक सेगमेंट कुठे पोहोचू शकतो ते लिहून ठेवा.
• कन्सोल ॲक्सेस. तुम्हाला Meraki Dashboard किंवा Juniper Mist पोर्टलमध्ये संस्था-स्तरीय ॲडमिन अधिकारांची आवश्यकता आहे.
• की कोठे राहतील याबद्दलचा निर्णय. की स्वतः SSID वर, RADIUS सर्व्हरवर किंवा क्लाउड की सर्व्हिसमध्ये राहू शकतात. खालील तक्ता तुमच्या मालमत्तेला एका पर्यायाशी मॅप करतो.
• Android स्कॅनर्सचे MDM नियंत्रण. प्रति नेटवर्क MAC पत्ता निश्चित करण्यासाठी आणि रिमोटली की पाठवण्यासाठी तुम्हाला याची आवश्यकता असेल.
• की रजिस्टरचा एक मालक. कर्मचाऱ्यांप्रमाणेच डिव्हाइसेस देखील जोडली जातात, बदलली जातात आणि सोडतात. जारी केलेली प्रत्येक की आणि रद्द केलेली प्रत्येक की कोणीतरी नोंदवली पाहिजे.

तुमची मालमत्ता	की कुठे राहिल्या पाहिजेत	MAC बाइंडिंग	का
केवळ Cisco Meraki, प्रति डिव्हाइस क्लास एक की	RADIUS शिवाय Identity PSK, SSID वर स्टोअर केलेल्या की	उपलब्ध नाही	सर्वात जलद सुरुवात, परंतु लीक झालेली की कोणत्याही डिव्हाइसवर कार्य करते
Cisco Meraki, प्रति डिव्हाइस एक की	RADIUS सह Identity PSK, क्लाउड RADIUS सेवेकडे निर्देशित	होय, MAC ॲड्रेसद्वारे शोध	प्रत्येक की फक्त ज्या डिव्हाइससाठी जारी केली होती त्यासाठीच कार्य करते
केवळ Juniper Mist	Mist Cloud PSK	होय, सिंगल-यूज की सह	Mist क्लाउडसाठी नेटिव्ह, प्रति-की VLAN, भूमिका आणि मुदतीसह
मिश्र मालमत्ता: Meraki सह HPE Aruba, Ruckus, Mist किंवा Ubiquiti UniFi	क्लाउड RADIUS म्हणून Purple Access xPSK	होय	प्रत्येक व्हेंडरसाठी एक की नोंदणीकृत, कोणतीही फेरबदल करण्याची गरज नाही

तुम्ही Cisco Meraki आणि Juniper Mist वर PPSK कसे सेट करता?

पायरी 1: की-टू-सेगमेंट मॅप डिझाइन करा

कोणत्याही कन्सोलला स्पर्श करण्यापूर्वी सेगमेंट डिझाइन करा. हा मॅप पेमेंट टर्मिनल WiFi सुरक्षा इतर सर्व गोष्टींपासून वेगळा ठेवतो ज्यांना पेमेंटपर्यंत पोहोचण्याची आवश्यकता नाही.

डिव्हाइस वर्ग	सेगमेंट	पोहोचू शकते	बँडविड्थ पॉलिसी	की स्कोप
पेमेंट टर्मिनल्स आणि टिल्स	पेमेंट्स	केवळ पेमेंट प्रोसेसर आणि टिल सर्व्हर	अनकॅप्ड, सर्वोच्च प्राधान्य	प्रति डिव्हाइस एक, MAC-बाउंड
हँडहेल्ड स्कॅनर्स	स्टोअर ऑपरेशन्स	स्टॉक, ऑर्डरिंग आणि हँडहेल्ड मॅनेजमेंट सिस्टम्स	प्रति-डिव्हाइस मर्यादा	प्रति डिव्हाइस एक, MAC-बाउंड
पावती आणि लेबल प्रिंटर्स	स्टोअर ऑपरेशन्स	टिल आणि प्रिंट सर्व्हर्स	कमी प्रति-डिव्हाइस मर्यादा	प्रति डिव्हाइस एक, MAC-बाउंड
डिजिटल साइनेज प्लेयर्स	साइनेज	कंटेंट मॅनेजमेंट सिस्टम आणि अपडेट सर्व्हर्स	प्रति-डिव्हाइस मर्यादा	प्रति डिव्हाइस एक, MAC-बाउंड
वायरलेस CCTV कॅमेरे	CCTV	केवळ नेटवर्क व्हिडिओ रेकॉर्डर	कॅमेरा बिटरेटवर राखीव हेडरुम	प्रति डिव्हाइस एक, MAC-बाउंड

सेगमेंटची संख्या कमी ठेवा. बहुतांश मालमत्तांसाठी प्रति स्टोअर पाच सेगमेंट पुरेसे आहेत आणि प्रत्येक अतिरिक्त VLAN प्रत्येक AP ला ट्रंक केले पाहिजे.

पायरी 2: Cisco Meraki आणि Identity PSK

Meraki ग्रुप पॉलिसीद्वारे प्रति-की पॉलिसी लागू करते, म्हणून त्या प्रथम तयार करा. Meraki Dashboard मध्ये, प्रति सेगमेंट एक ग्रुप पॉलिसी तयार करा. प्रत्येक पॉलिसी त्या सेगमेंटसाठी VLAN टॅग, बँडविड्थ मर्यादा आणि Layer 3 व Layer 7 फायरवॉल नियम सेट करते.

त्यानंतर, तुमच्या डिव्हाइस SSID साठी ॲक्सेस कंट्रोल सेटिंग्ज उघडा. Meraki दोन Identity PSK मोड ऑफर करते:

• RADIUS शिवाय Identity PSK. तुम्ही थेट SSID वर की प्रविष्ट करता आणि प्रत्येक की ग्रुप पॉलिसीशी मॅप करता. कोणतीही MAC बाइंडिंग उपलब्ध नाही, त्यामुळे ज्या डिव्हाइसला की मिळते त्याला त्या की ची पॉलिसी मिळते.
• RADIUS सह Identity PSK. ॲक्सेस पॉइंट तुमच्या RADIUS सर्व्हरला डिव्हाइसचा MAC ॲड्रेस पाठवतो. सर्व्हर त्या MAC ॲड्रेससाठी पासफ्रेज आणि ग्रुप पॉलिसी परत पाठवतो. की फक्त ज्या डिव्हाइससाठी जारी केली होती त्यासाठीच कार्य करते.

टिल्स आणि पेमेंट्स सेगमेंटवरील कोणत्याही डिव्हाइससाठी, RADIUS मोड वापरा. Cisco ची दस्तऐवजीकरण पृष्ठे "IPSK without RADIUS" आणि "IPSK with RADIUS Authentication" प्रत्येक मोडसाठी अचूक पायऱ्या देतात.

पायरी 3: Juniper Mist आणि Multi PSK

Juniper Mist पोर्टलमध्ये, तुमचे डिव्हाइस WLAN एकाधिक पासफ्रेज वापरण्यासाठी सेट करा. Mist तुम्हाला तीन की स्रोत देते: WLAN वर स्थानिकदृष्ट्या सेव्ह केलेल्या की, संस्था स्तरावर ठेवलेले Cloud PSKs, किंवा RADIUS सर्व्हरद्वारे परत पाठवलेल्या की.

स्टोअर इस्टेटसाठी, Cloud PSK हा एक मूळ पर्याय आहे. प्रत्येक Cloud PSK मध्ये स्वतःचे VLAN, भूमिका आणि समाप्ती तारीख असते. स्टोअर डिव्हाइसेस सिंगल-यूजवर सेट करा, जे ही की त्याशी कनेक्ट होणाऱ्या पहिल्या MAC अॅड्रेसशी बाइंड करते. नंतर तो सेगमेंट कशापर्यंत पोहोचू शकतो हे नियंत्रित करण्यासाठी तुमच्या WxLAN पॉलिसींमध्ये प्रत्येक की ची भूमिका वापरा. साइनएज आणि स्कॅनर बँडविड्थ मर्यादित करण्यासाठी रेट लिमिट्स लागू करा. Juniper चे Multi PSK डॉक्युमेंटेशन WLAN सेटिंग्ज आणि Cloud PSK फील्ड्सची पूर्ण माहिती देते.

पायरी 4: व्हेंडर्समध्ये एकच की रजिस्टर म्हणून Purple Access

अधिग्रहण आणि रिफिट्सनंतर बहुतांश रिटेल इस्टेट एकापेक्षा जास्त हार्डवेअर व्हेंडर्स चालवतात. Purple Access क्लाउड RADIUS म्हणून xPSK नेटवर्क चालवते, त्यामुळे एकच की रजिस्टर प्रत्येक स्टोअरला सेवा देतो. Meraki SSIDs Identity PSK ला RADIUS सह Purple कडे निर्देश करतात. Mist WLANs की स्रोत म्हणून RADIUS चा वापर करतात. Purple प्रत्येक MAC अॅड्रेससाठी प्रति-डिव्हाइस की, VLAN आणि पॉलिसी परत पाठवते.

हेच मॉडेल Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर चालते. तुम्ही तुमचे ॲक्सेस पॉइंट्स आणि स्विचेस ठेवून देता. तुमच्या व्हेंडरसाठीचा Purple चा सपोर्ट लेख तंतोतंत RADIUS सेटिंग्ज सूचीबद्ध करतो.

स्टोअर रोलआउट चेकलिस्ट

1. एक पायलट स्टोअर निवडा ज्यामध्ये तुम्ही चालवत असलेला प्रत्येक डिव्हाइस क्लास समाविष्ट आहे.
2. प्रत्येक डिव्हाइससाठी पडताळलेल्या MAC अॅड्रेससह, त्या स्टोअरची डिव्हाइस इन्व्हेंटरी एक्सपोर्ट करा.
3. कटओव्हरच्या दिवसापूर्वी प्रत्येक सेगमेंट VLAN ला प्रत्येक AP अपलिंक पोर्टवर ट्रंक करा.
4. सेगमेंट पॉलिसी तयार करा: Meraki वर ग्रुप पॉलिसीज, Mist वर रोल आणि WxLAN पॉलिसीज.
5. प्रति डिव्हाइस एक की तयार करा आणि ती की रजिस्टरमध्ये नोंदवा.
6. MDM द्वारे Android स्कॅनर्ससाठी डिव्हाइस SSID ला फिक्स-MAC सेटिंग पुश करा.
7. विद्यमान कर्मचाऱ्यांच्या SSID सोबत डिव्हाइस SSID ब्रॉडकास्ट करा.
8. डिव्हाइस क्लासनुसार हलवा: आधी साइनएज, नंतर प्रिंटर्स आणि स्कॅनर्स, नंतर ट्रेडिंगच्या वेळेबाहेर टिल्स.
9. पुढील क्लास हलवण्यापूर्वी पुढील विभागातील प्रत्येक चाचणी पूर्ण करा.
10. जुना सामायिक केलेला कर्मचारी पासवर्ड एका अंतिम वेळी बदला, जेणेकरून कोणतेही डिव्हाइस त्यावर परत जाऊ शकणार नाही.
11. रिव्होकेशन रनबुक लिहा: डिव्हाइस हरवले, की रद्द केली, नवीन की सह बदलून दिले.
12. पायलट पॉलिसींचा पुनर्वापर करून स्टोअर्सच्या वेव्हजमध्ये रोल आउट करा आणि चाचणी परिणाम पुरावा म्हणून ठेवा.

प्रत्येक स्टोअरमध्ये PPSK कसे कार्य करते हे तुम्ही कसे तपासता?

एका डिव्हाइसची नाही, तर प्रत्येक डिव्हाइस क्लासची चाचणी घ्या. स्कॅनरवरील यशस्वी चाचणी तुम्हाला वेगळ्या VLAN वरील प्रिंटरबद्दल काहीही सांगत नाही.

• योग्य सेगमेंट. Meraki Dashboard किंवा Mist क्लायंट इनसाइट्समधील क्लायंट सूची तपासा. प्रत्येक डिव्हाइसने अपेक्षित VLAN आणि त्या सेगमेंटच्या सबनेटमधील IP ॲड्रेस दर्शवला पाहिजे.
• आयसोलेशन. साइनएज सेगमेंटवरील चाचणी डिव्हाइसवरून, टिल सर्व्हर आणि व्हिडिओ रेकॉर्डरपर्यंत पोहोचण्याचा प्रयत्न करा. दोन्ही प्रयत्न अयशस्वी झाले पाहिजेत.
• MAC बाइंडिंग. टेस्ट फोनवर स्कॅनरची की एंटर करा. तो फोन नाकारला गेला पाहिजे.
• रिव्होकेशन. टेस्ट की रद्द करा आणि डिव्हाइस पुन्हा कनेक्ट होऊ शकत नाही याची खात्री करा. विद्यमान सेशन राहिल्यास, कन्सोलवरून क्लायंट डिस्कनेक्ट करा. स्टोअरमधील इतर प्रत्येक डिव्हाइस कनेक्ट राहिले पाहिजे.
• बँडविड्थ. एका साइनएज प्लेयरवरून थ्रूपुट टेस्ट चालवा आणि कॅप कायम असल्याची खात्री करा. बँडविड्थ युसेज मेजरमेंट: पद्धती, KPIs आणि सेटअप वरील आमचे मार्गदर्शक या पद्धतीचा समावेश करते.
• रोमिंग. स्टॉकरूमपासून शॉप फ्लोअरच्या दुसऱ्या टोकापर्यंत स्कॅनर घेऊन जा. स्कॅनिंग ॲप कनेक्ट केलेले राहिले पाहिजे.

आऊटपुट जतन करा. तुमची की रजिस्टर, सेगमेंट पॉलिसी, रिव्होकेशन लॉग आणि आयसोलेशन टेस्टचे निकाल PCI DSS v4.0 साठी पुरावे प्रदान करतात. आवश्यकता 1 ही सेगमेंटमधील नेटवर्क सुरक्षा नियंत्रणांचा समावेश करते. आवश्यकता 2.3 मध्ये डीफॉल्ट की बदलण्यासह वायरलेस एनव्हायरनमेंटचा समावेश आहे. आवश्यकता 11.2.1 अंतर्गत रोग ॲक्सेस पॉइंट तपासण्या हे एक वेगळे कार्य राहते.

PPSK सह काय चुकीचे घडते आणि तुम्ही ते कसे दुरुस्त करता?

लक्षण	संभाव्य कारण	निराकरण
डिव्हाइस असोसिएट होते परंतु IP ॲड्रेस मिळत नाही	सेगमेंट VLAN हे AP च्या स्विच पोर्टवर ट्रंक केलेले नाही	प्रत्येक AP अपलिंक पोर्टवर प्रत्येक सेगमेंट VLAN टॅग करा
OS अपडेटनंतर स्कॅनर नाकारला गेला	MAC रँडमायझेशन चालू केले आहे; Android 10 आणि त्यानंतरच्या आवृत्त्या डीफॉल्टनुसार प्रति नेटवर्क रँडमायझ करतात	MDM द्वारे डिव्हाइस MAC वापरण्यासाठी डिव्हाइस SSID प्रोफाइल सेट करा
एक की दोन डिव्हाइसवर काम करते	की MAC ॲड्रेसशी बाइंड केलेली नाही (RADIUS शिवाय Meraki, Mist मल्टी-युज)	RADIUS सह Identity PSK किंवा Mist सिंगल-युज की वर श्रेणीसुधारित करा
जुना प्रिंटर जॉईन करू शकत नाही	डिव्हाइस केवळ 2.4 GHz आणि WPA2-Personal ला सपोर्ट करते	डिव्हाइस SSID वर 2.4 GHz आणि WPA2-Personal सक्षम ठेवा
aisles दरम्यान स्कॅनर डिस्कनेक्ट होतो	802.11r फास्ट रोमिंग लेगसी क्लायंटशी सुसंगत नाही	डिव्हाइस SSID वर फास्ट ट्रान्सिशन अक्षम करून चाचणी करा
साइनएज कंटेंट पुशदरम्यान टिल्स धीमे होतात	साइनएज पॉलिसीमध्ये कोणतीही बँडविड्थ कॅप नाही	साइनएज सेगमेंटवर प्रति-डिव्हाइस कॅप लागू करा
की हटवल्यानंतरही हरवलेले डिव्हाइस ऑनलाईन आहे	री-ऑथेंटिकेशन होईपर्यंत विद्यमान सेशन सुरू राहते	रिव्होक केल्यानंतर कन्सोलमध्ये क्लायंट डिस्कनेक्ट करा
दोन समस्या टेबल रोपेक्षा जास्त लक्ष देण्यास पात्र आहेत.

पहिली म्हणजे ती की जी दुसरी शेअर केलेली पासवर्ड बनते. एक तंत्रज्ञ स्टीकरवर स्कॅनर की लिहितो आणि सहा डिव्हाइस ती वापरू लागतात. MAC बाइंडिंग हे थांबवते. बाइंडिंगशिवाय, प्रति-डिव्हाइस की ही फक्त नियमानुसार प्रति-डिव्हाइस की असते.

दुसरी म्हणजे WPA3. अनेक प्रति-डिव्हाइस की अंमलबजावणी WPA2-Personal वर अवलंबून असतात आणि अनेक टिल्स आणि प्रिंटर यापेक्षा नवीन कशालाही सपोर्ट करत नाहीत. तुम्ही डिझाइन करण्यापूर्वी तुमच्या फर्मवेअरवरील WPA3 सपोर्टसाठी Cisco Meraki आणि Juniper Mist दस्तऐवजीकरण तपासा.

दोन सरावलेली उदाहरणे: एक फॅशन चेन आणि एक स्टेडियम

रिटेल: Cisco Meraki वर 150-स्टोअरची फॅशन चेन

परिस्थिती. प्रति स्टोअर सहा टिल्स, आठ स्कॅनर, दोन प्रिंटर आणि चार साइनएज प्लेयर असलेली 150-स्टोअरची चेन विचारात घ्या. सर्व 20 डिव्हाइसेस स्टाफ SSID आणि एक पासवर्ड शेअर करतात. यामुळे संपूर्ण मालमत्तेमध्ये एकाच की वर 3,000 डिव्हाइसेस येतात. PCI DSS आवश्यकता 2.3.2 तुम्हाला वायरलेस की माहित असलेली कोणतीही व्यक्ती सोडून जाते तेव्हा ती की बदलण्यास सांगते. प्रत्येक स्टोअर मॅनेजरला हा पासवर्ड माहित असतो, त्यामुळे प्रत्येक मॅनेजरने काम सोडल्यावर 3,000 री-की ट्रिगर झाल्या पाहिजेत. व्यावहारिकदृष्ट्या, हे कधीही घडत नाही.

काय केले गेले. साखळीने RADIUS सह Identity PSK चा वापर करून डिव्हाइस SSID जोडले आहे, ज्यामध्ये Purple Access कडे की रजिस्ट्रार आहे. चार ग्रुप पोलिसी पेमेंट, स्टोअर ऑपरेशन्स, साईन आणि प्रिंटर वेगळे करतात. MDM स्कॅनर्सना की पुश करते, त्यामुळे स्टोअर कर्मचाऱ्यांना डिव्हाइस की कधीही दिसत नाही.

परिणाम. चोरी झालेल्या स्कॅनरचा अर्थ आता त्या स्टोअरमधील 20 उपकरणांऐवजी एकाच की रद्द करणे आणि इतर शून्य उपकरणांना स्पर्श करणे असा होतो. एखादा मॅनेजर सोडल्यास आता की बदलण्याची (rotation) गरज भासत नाही, कारण मॅनेजर्सकडे कधीही डिव्हाइस की नसतात. पेमेंट सेगमेंट फ्लॅट नेटवर्कवरील प्रति स्टोअर 20 उपकरणांवरून कमी होऊन सहा टिल्सवर येतो. PCI SSC मार्गदर्शक तत्त्वे म्हणतात की सेगमेंटेशन स्कोपमधील सिस्टम कमी करू शकते, जे तुमच्या असेसर्सच्या व्हॅलिडेशनवर अवलंबून असते.

इव्हेंट्स: Juniper Mist वरील स्टेडियम

स्थिती. 40 कायमस्वरूपी कन्सेशन टिल्स आणि 120 साईन स्क्रीन असलेले स्टेडियम विचारात घ्या. टिकटिंग कंत्राटदार प्रत्येक इव्हेंटसाठी 25 हँडहेल्ड स्कॅनर्स आणतो. कंत्राटदाराला नेहमीच कर्मचाऱ्यांचा पासवर्ड दिला गेला आहे आणि तो कधीही बदललेला नाही.

काय केले गेले. स्टेडियम Mist Cloud PSK कडे वळते. टिल्सला पेमेंट VLAN वर सिंगल-युज की मिळतात. साईन की रेट लिमिटसह एक रोल वाहतात. प्रत्येक इव्हेंटमध्ये, कंत्राटदाराच्या 25 स्कॅनर्सना त्यांच्या स्वतःच्या VLAN वर सिंगल-युज की मिळतात, ज्याची मुदत इव्हेंटच्या दिवसाच्या शेवटी संपते.

परिणाम. कंत्राटदाराच्या सर्व 25 की प्रत्येक इव्हेंटनंतर आपोआप कालबाह्य होतात, ज्या मॅन्युअली रद्द कराव्या लागत नाहीत. कंत्राटदाराची उपकरणे कधीही अशी की धरून ठेवत नाहीत जी टिल सेगमेंटपर्यंत पोहोचेल. साईन कॅप्सचा अर्थ असा की कंटेंट पुशमुळे हाफ-टाईममध्ये कन्सेशन पेमेंट मंदावू शकत नाही.

PPSK ची किंमत काय आहे आणि तुम्हाला त्यातून काय परत मिळते?

PPSK ला नवीन हार्डवेअरची गरज नाही. तुमचा खर्च चार ठिकाणी असतो:

• डिझाईनची वेळ. इन्व्हेंटरी तयार करणे, सेगमेंट सहमत करणे आणि फायरवॉल नियम लिहिणे.
• स्विचमधील बदल. ट्रंकिंग सेगमेंट VLANs प्रत्येक AP वर पाठवणे, जे सहसा टेम्पलेट पुश असते.
• अनमॅनेज्ड उपकरणांसाठी स्टोअर भेटी. MDM शिवाय प्रिंटर आणि कॅमेऱ्यांना स्थानिक बदलाची गरज असते.
• MAC बाइंडिंगसाठी एक की सर्व्हिस. Meraki वर, याचा अर्थ Purple Access सारखी RADIUS सर्व्हिस असा होतो. तुमच्या रिसेलरकडे तुमचे Meraki आणि Mist लायसन्स टायर्स तपासा.

याचा परतावा गणितामध्ये पाहणे सर्वात सोपे आहे. वरील फॅशन साखळीमध्ये, शेअर्ड की फिरवणे (rotating) म्हणजे 3,000 उपकरणांना स्पर्श करणे. प्रति डिव्हाइस पाच मिनिटे मानल्यास, एका रोटेशनसाठी स्टोअर आणि IT चा 250 तासांचा वेळ खर्च होतो. PPSK सह, त्याच इव्हेंटसाठी एकच की बदलावी लागते. मोठा परतावा हा कंटेनमेंट आहे: हरवलेला स्कॅनर केवळ एका डिव्हाइसचा सेगमेंट उघड करतो, पेमेंट नेटवर्क नाही.

Purple 80,000+ लाईव्ह वेन्यूवर चालते आणि 2024 मध्ये 440 दशलक्ष लॉगिन हाताळले आहेत (Purple चा स्वतःचा डेटा). Purple कडे ISO 27001 प्रमाणपत्र आहे. ओपन नेटवर्कवरील गेस्ट मार्केटिंग Engage मध्ये आहे. कोणत्याही सेगमेंटसाठी DNS फिल्टरिंग हे Shield आहे, जे एक वेगळे ॲड-ऑन आहे. ओपन आणि सुरक्षित नेटवर्कसाठी, आमचे Access guides ब्राऊज करा.

वारंवार विचारले जाणारे प्रश्न

आमच्या स्टोअरमध्ये PPSK चालवण्यासाठी आम्हाला नवीन ॲक्सेस पॉईंट्सची गरज आहे का?

नाही. PPSK आपण आधीपासूनच मालकी असलेल्या ॲक्सेस पॉइंट्सवर चालते. Cisco Meraki MR ॲक्सेस पॉइंट्स Identity PSK म्हणून याला सपोर्ट करतात, आणि Juniper Mist ॲक्सेस पॉइंट्स Multi PSK म्हणून याला सपोर्ट करतात. Purple Access हे हार्डवेअर-ॲग्नोस्टिक आहे आणि क्लाउड ओव्हरले म्हणून Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर कार्य करते. आपण हार्डवेअर नाही, तर SSID सेटिंग्ज, VLAN ट्रंक्स आणि पॉलिसी बदलता.

PPSK आमच्या PCI DSS ॲसेसिंग अधिकाऱ्याचे समाधान करेल का?

PPSK आपल्याला PCI DSS साठी पुरावे देते, स्वतःहून पास करत नाही. प्रति-डिव्हाइस कळा आवश्यकता 2.3.2 ला सपोर्ट करतात, ज्यामध्ये कळा माहित असलेली एखादी व्यक्ती कंपनी सोडते किंवा कळ क्रॅक होते तेव्हा वायरलेस कळा बदलण्यास सांगितले जाते. टिल्सला (कॅश काउंटर डिव्हाइसेस) त्यांच्या स्वतःच्या VLAN वर हलवणे आवश्यकता 1 ला सपोर्ट करते आणि स्कोपमधील सिस्टम्स कमी करू शकते. आपले Qualified Security Assessor काय गृहीत धरतात हे ठरवतात, त्यामुळे आपली की रजिस्टर, पॉलिसी आणि चाचणी निकाल त्यांच्यासाठी एक्सपोर्ट करा.

स्टोअर डिव्हाइसेसने PPSK वापरावे की 802.1X सर्टिफिकेट्स?

ज्या डिव्हाइसवर सर्टिफिकेट एनरोल आणि नूतनीकरण केले जाऊ शकते तेथे सर्टिफिकेट्स वापरा आणि बाकी सर्व गोष्टींसाठी PPSK वापरा. MDM अंतर्गत कर्मचाऱ्यांच्या लॅपटॉप आणि फोनसाठी EAP-TLS सह IEEE 802.1X हा डीफॉल्ट पर्याय राहतो. बहुतेक टिल्स, प्रिंटर, साइनेज प्लेयर्स आणि कॅमेरे मोठ्या प्रमाणावर सर्टिफिकेट्स एनरोल करू शकत नाहीत आणि बरेच केवळ WPA2-Personal ला सपोर्ट करतात. PPSK डिव्हाइसमध्ये स्वतः कोणताही बदल न करता त्या डिव्हाइसेसना प्रति-डिव्हाइस ओळख, VLAN आणि रिव्होकेशन प्रदान करते.

आपण प्रत्येक स्टोअरला भेट न देता डिव्हाइसेसना सामायिक कर्मचारी पासवर्डवरून हलवू शकतो का?

होय, आपण MDM द्वारे व्यवस्थापित करत असलेल्या डिव्हाइसेससाठी हे शक्य आहे. नवीन डिव्हाइस SSID, त्याची प्रति-डिव्हाइस कळ आणि फिक्स्ड-MAC सेटिंग एकाच प्रोफाइल म्हणून पुश करा. त्यानंतर प्रत्येक डिव्हाइस योग्य VLAN वर पोहोचल्याची पुष्टी करा. MDM नसलेल्या डिव्हाइसेसना, जसे की अनेक प्रिंटर आणि कॅमेरे, स्थानिक बदल किंवा व्हेंडरचे कॉन्फिगरेशन टूल आवश्यक असते. विद्यमान स्टोअर भेटींमध्ये त्यांचे नियोजन करा आणि शेवटचे डिव्हाइस स्थलांतरित होईपर्यंत जुने SSID लाईव्ह ठेवा.

स्कॅनरने त्याचा MAC ॲड्रेस रँडम केल्यास काय होईल?

MAC बाउंड केलेली कळ ते नाकारेल, त्यामुळे डिव्हाइस SSID साठी रँडमायझेशन अक्षम (disable) करा. Android 10 आणि त्यानंतरच्या आवृत्त्या डीफॉल्टनुसार प्रति नेटवर्क रँडम केलेला MAC वापरतात आणि बहुतेक रग्ड स्कॅनर्स Android वर चालतात. आपल्या MDM द्वारे डिव्हाइस MAC वापरण्यासाठी WiFi प्रोफाइल सेट करा. रँडमायझेशन सार्वजनिक नेटवर्कवर लोकांच्या गोपनीयतेचे रक्षण करते. आपल्या स्वतःच्या नेटवर्कमध्ये सामील होणाऱ्या व्यवस्थापित टिल किंवा स्कॅनरसाठी ते काहीही अतिरिक्त जोडत नाही.

Purple Access मध्ये खरेदीदारांचे WiFi आणि कंटेंट फिल्टरिंग देखील समाविष्ट आहे का?

होय, एकाच प्लॅटफॉर्मवरून व्यवस्थापित केलेल्या स्वतंत्र नेटवर्कवर हे समाविष्ट आहे. खरेदीदार Engage मध्ये हाताळलेल्या मार्केटिंग आणि संमतीने निवडलेल्या पर्यायांसह (opt-ins) कॅप्टिव्ह पोर्टलद्वारे ओपन नेटवर्कमध्ये सामील होतात. कर्मचारी सर्टिफिकेट्स किंवा Microsoft Entra ID, Okta किंवा Google Workspace साइन इनद्वारे सुरक्षित नेटवर्कमध्ये सामील होतात. DNS फिल्टरिंग हे Shield आहे, जे एक वेगळे ॲड-ऑन आहे. डिव्हाइसेस xPSK वर राहतात, त्यामुळे टिल कधीही खरेदीदाराच्या फोनसह नेटवर्क शेअर करत नाही.

संपूर्ण स्टोअर इस्टेटमध्ये PPSK रोलआउटसाठी किती प्रयत्न लागतात?

पहिली कळ तयार होण्यापूर्वी बहुतांश प्रयत्नांची अपेक्षा ठेवा. MAC ॲड्रेससह डिव्हाइस इन्व्हेंटरी तयार करण्यासाठी कन्सोलच्या कामापेक्षा जास्त वेळ लागतो. पेमेंट्स आणि CCTV मालकांशी सेगमेंट्सवर सहमत होणे आणि प्रत्येक ॲक्सेस पॉइंटवर ट्रंकिंग VLANs सेट करणे यासाठीही वेळ लागतो. एकदा एका पायलट स्टोअरने प्रत्येक चाचणी उत्तीर्ण केली की, नंतरची स्टोअर तीच पॉलिसी आणि की टेम्पलेट पुन्हा वापरतात. MDM अंतर्गत असलेली डिव्हाइस रिमोटली हलतात, तर अनमॅनेज्ड प्रिंटर आणि कॅमेरे प्रत्येक टप्प्याचा वेग ठरवतात.