रिटेल केंद्रांमध्ये कन्सेशन आणि टेनंट WiFi: प्रति टेनंट एक की आणि VLAN असलेली xPSK आर्किटेक्चर

प्रत्येक सवलत (concession) आणि भाडेकरू युनिटसाठी एक xPSK SSID चालवा. प्रत्येक भाडेकरूला त्याची स्वतःची की (key) मिळते आणि ही की त्यांची कॅश काउंटर्स (tills), टॅब्लेट्स आणि बॅक-ऑफिस डिव्हाइसेस त्यांच्या स्वतःच्या VLAN वर ठेवते. खरेदीदार ओपन Captive Portal नेटवर्कवर राहतात आणि केंद्र प्रणाली सुरक्षित 802.1X नेटवर्कवर राहतात: एकूण तीन SSIDs, भाडेपट्टा संपल्याच्या दिवशी की रद्द केल्या जातात.

प्रति-भाडेकरू की-आणि-VLAN नेटवर्क खरोखर काय करते?

एका रिटेल सेंटरच्या मालकीचे ॲक्सेस पॉईंट्स असतात, परंतु त्यांवर डझनभर वेगवेगळे व्यवसाय अवलंबून असतात. प्रत्येक सवलत, किओस्क आणि भाडेकरू युनिट टिल्स, स्टॉक टॅब्लेट्स, बॅक-ऑफिस पीसी आणि अनेकदा डिजिटल साईनज चालवतात. त्या डिव्हाइसेसने एकमेकांना, खरेदीदारांना किंवा केंद्राच्या स्वतःच्या इमारत प्रणालींना पाहता कामा नये.

xPSK ही अशा नेटवर्कसाठीची छत्री संज्ञा (umbrella term) आहे जिथे एकाच SSID वर प्रत्येक भाडेकरू किंवा डिव्हाइसची स्वतःची प्री-शेअर केलेली की असते. प्रत्येक व्हेंडर याचे नाव वेगळे ठेवतो:

• Cisco Meraki: Identity PSK (iPSK).
• HPE Aruba: MPSK.
• Ruckus: DPSK.
• Juniper Mist: Multi PSK.
• Ubiquiti UniFi: Private Pre-Shared Keys (PPSK).

जेव्हा एखादे डिव्हाइस कनेक्ट होते, तेव्हा ते सादर करत असलेली की भाडेकरूची ओळख पटवते. त्यानंतर RADIUS त्या भाडेकरूचा VLAN परत पाठवतो. RADIUS हा असा प्रोटोकॉल आहे जो तुमचे ॲक्सेस पॉईंट्स कोण कनेक्ट होत आहे हे ऑथेंटिकेशन सर्व्हरला विचारण्यासाठी वापरतात. VLAN (व्हर्च्युअल LAN, IEEE 802.1Q मध्ये परिभाषित) हे एकाच स्विचेस आणि केबलिंगवर चालणारे स्वतंत्र लेयर 2 नेटवर्क आहे.

याचा परिणाम म्हणजे हवेत एक नेटवर्क नाव आणि वायरवर अनेक आयसोलेटेड नेटवर्क असतात. ओळख (Identity) VLAN ठरवते, SSID नाही.

प्रति भाडेकरू एक SSID का स्केल होत नाही

प्रत्येक SSID प्रत्येक रेडिओवर स्वतःचे बीकन फ्रेम्स ट्रान्समिट करतो. IEEE 802.11 डीफॉल्ट बीकन इंटरव्हल 100 टाईम युनिट्स किंवा 102.4 ms आहे, त्यामुळे प्रत्येक SSID सेकंदाला जवळजवळ 10 वेळा बीकन करतो. बीकन्स सर्वात कमी मूळ डेटा दराने बाहेर जातात, ज्यामुळे ते एअरटाईममध्ये महाग पडतात.

त्यामुळे प्रत्येक अतिरिक्त SSID असा एअरटाईम घेतो जो भाडेकरू आणि खरेदीदारांची रहदारी वापरू शकते. 20 भाडेकरू SSIDs सह, रेंजमधील प्रत्येक ॲक्सेस पॉईंट 20 बीकन्सचे संच पाठवतो. व्हेंडर्स एकाच रेडिओद्वारे किती SSIDs ब्रॉडकास्ट केले जाऊ शकतात यावर मर्यादा घालतात. 60 युनिट्स असलेले केंद्र अंतिम भाडेपट्ट्यावर स्वाक्षरी करण्यापूर्वीच त्या मर्यादेपर्यंत पोहोचते.

ऑपरेशनल खर्चही वाढतो. प्रत्येक SSID चा बदलण्यासाठी स्वतःचा पासफ्रेज असतो आणि प्रत्येक बदलामुळे त्या भाडेकरूची सर्व डिव्हाइसेस एकाच वेळी डिस्कनेक्ट होतात.

रिटेल सेंटरला किती SSIDs ची आवश्यकता असते?

बहुतेक केंद्रांसाठी तीन ही योग्य संख्या आहे:

1. खरेदीदारांसाठी ओपन गेस्ट नेटवर्क. हे नेटवर्क Captive Portal वापरते: डिव्हाइस इंटरनेटवर पोहोचण्यापूर्वी ते पाहणारे साइन-इन पृष्ठ. डिझाइन पर्यायांसाठी Captive portals पहा. या नेटवर्कवरील गेस्ट मार्केटिंग Purple च्या Engage प्लॅनमध्ये येते आणि DNS फिल्टरिंग Shield आहे.
2. भाडेकरूंसाठी xPSK नेटवर्क. प्रत्येक सवलत कक्ष, कियोस्क आणि भाडेकरू युनिट येथे जोडले जाते. केंद्राची स्वतःची हेडलेस उपकरणे, जसे की CCTV, बिल्डिंग मॅनेजमेंट कंट्रोलर्स आणि साइनज प्लेयर्स देखील त्यांच्या स्वतःच्या की आणि VLAN सह यात सामील होतात.
3. केंद्र कर्मचाऱ्यांसाठी सुरक्षित नेटवर्क. हे नेटवर्क 802.1X वापरते, जे पोर्ट आधारित नेटवर्क ऑथेंटिकेशनसाठी IEEE मानक आहे. याला EAP-TLS सोबत जोडा, जे प्रत्येक उपकरणाचे प्रमाणपत्राद्वारे ऑथेंटिकेशन करते. ओळख Microsoft Entra ID, Okta किंवा Google Workspace कडून येते. EAP TLS vs PEAP: Security, Certs and Fit आणि Okta WiFi Authentication: Setup Steps, Options and Fixes ही बाजू समाविष्ट करतात.

दृष्टिकोन	60 भाडेकरूंसाठी SSIDs	भाडेकरू आयसोलेशन	एका भाडेकरूला काढून टाकणे	बीकन ओव्हरहेड	हे कोणासाठी योग्य आहे
प्रति भाडेकरू SSID	60 भाडेकरू SSIDs, रेडिओ मर्यादांच्या पलीकडे	प्रति SSID एक VLAN	तो SSID हटवा आणि रेडिओ पुन्हा कॉन्फिगर करा	प्रत्येक SSID सह वाढते	पाचपेक्षा कमी भाडेकरू असलेली केंद्रे
सर्व भाडेकरूंसाठी एक सामायिक की	1	काहीही नाही: एक की, एक VLAN	प्रत्येक भाडेकरूसाठी की बदला	एक SSID	भाडेकरू गल्ले चालवतात असे कोणतेही केंद्र नाही
xPSK: प्रति भाडेकरू एक की आणि VLAN	1	प्रति की एक VLAN	एक की रद्द करा; इतरांना स्पर्श होत नाही	एक SSID	सवलत कक्ष, कियोस्क आणि हेडलेस उपकरणे असलेली युनिट्स
प्रति उपकरण 802.1X	1	प्रति ओळख एक VLAN	प्रमाणपत्र किंवा खाते रद्द करा	एक SSID	802.1X सप्लीकंट चालवणारी व्यवस्थापित उपकरणे असलेले भाडेकरू

भाडेकरूची उपकरणे सपोर्ट करतात तिथे 802.1X हे अधिक मजबूत मॉडेल आहे. बहुतेक सवलत इस्टेटमध्ये गल्ले, कार्ड टर्मिनल्स, टॅब्लेट आणि साइनज प्लेयर्स एकत्र असतात. यापैकी अनेक 802.1X सप्लीकंट चालवू शकत नाहीत, म्हणून xPSK त्यांना हाताळते.

सुरू करण्यापूर्वी तुम्हाला कशाची गरज आहे?

मल्टी-की PSK ला सपोर्ट करणारे ॲक्सेस पॉइंट्स आणि कन्सोल

तुम्हाला कोणत्याही नवीन हार्डवेअरची गरज नाही. Purple हे क्लाउड RADIUS सह हार्डवेअर अग्नॉस्टिक क्लाउड ओव्हरले आहे आणि ते तुमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्सच्या वर कार्य करते. सुरू करण्यापूर्वी, तुमचे मॉडेल आणि फर्मवेअर RADIUS-असाईन केलेल्या VLAN सह मल्टी-की PSK ला सपोर्ट करत असल्याची खात्री करा.

व्हेंडर	वैशिष्ट्याचे नाव	कन्सोल
Cisco Meraki	Identity PSK (iPSK) with RADIUS	Meraki Dashboard
HPE Aruba	MPSK	Aruba Central
Ruckus	DPSK	SmartZone किंवा RUCKUS One
Juniper Mist	Multi PSK	Juniper Mist cloud dashboard
Ubiquiti UniFi	Private Pre-Shared Keys	UniFi Network application

तुमच्या व्हेंडरच्या दस्तऐवजात आणखी एक मुद्दा तपासा: WPA3 सपोर्ट. अनेक xPSK अंमलबजावणी AES सह WPA2-PSK वर चालतात. एका SSID वरील एकाधिक की साठी WPA3-SAE सपोर्ट व्हेंडर आणि फर्मवेअरनुसार बदलतो. Meraki आणि Mist बिल्ड तपशीलांसाठी, PPSK for retail store devices: a deployment checklist for tills, scanners and CCTV on Cisco Meraki and Juniper Mist पहा.

एक VLAN आणि IP योजना

IEEE 802.1Q 12-बिट VLAN ID वापरते, जे 4,094 वापरण्यायोग्य VLANs देते. ते कोणत्याही केंद्राला सहजपणे समाविष्ट करते. पहिली की जारी करण्यापूर्वी खालील गोष्टींचे नियोजन करा:

• भाडेकरूंसाठी एक राखीव VLAN ब्लॉक. ते केंद्राच्या व्यवस्थापन, CCTV आणि अतिथी VLANs पासून वेगळे ठेवा.
• प्रत्येक भाडेकरू VLAN साठी एक सबनेट आणि DHCP स्कोप. प्रत्येक उपकरणाचा आकार भाडेकरूने घोषित केलेल्या उपकरणांनुसार तसेच हंगामी जोडण्यांसाठी अतिरिक्त क्षमता लक्षात घेऊन निश्चित करा.
• प्रत्येक ॲक्सेस पॉइंट स्विच पोर्टसाठी ट्रंक्स. प्रत्येक भाडेकरू VLAN असा प्रत्येक पोर्टपर्यंत पोहोचला पाहिजे जिथे भाडेकरूचे उपकरण कनेक्ट होऊ शकते. व्यवहारात, याचा अर्थ केंद्रातील प्रत्येक पोर्ट असा आहे.
• गेटवेवर फायरवॉल नियम. भाडेकरू-ते-भाडेकरू ट्रॅफिक नाकारा, भाडेकरू-ते-केंद्र ट्रॅफिक नाकारा आणि इंटरनेट ॲक्सेसला अनुमती द्या. भाडेकरूच्या पेमेंट प्रोसेसर आणि मुख्य कार्यालय VPN ला आवश्यक तिथे अनुमती द्या.

कळा (keys) कोणाकडे असाव्यात यावर निर्णय

केंद्राच्या IT ने प्रत्येक की जारी केली पाहिजे आणि ती प्राप्त करण्यासाठी प्रत्येक भाडेकरूने एकाच संपर्काचे नाव दिले पाहिजे. की च्या नोंदीसोबत त्या संपर्काची नोंद करा. त्या नोंदीशिवाय, एखाद्या भाडेकरूने की हॅक झाल्याचा अहवाल दिल्यास ती की कोणाला माहित होती हे तुम्ही सांगू शकत नाही.

त्यानंतर, प्रति भाडेकरू एक की की प्रति उपकरण एक की यापैकी एक निवडा. प्रति भाडेकरू एक की व्यवस्थापित करणे अधिक जलद आहे. टिल्स (tills) आणि कार्ड हाताळणी उपकरणांसाठी प्रति उपकरण एक की अधिक सुरक्षित आहे. स्टॉक टॅब्लेट गहाळ झाल्यास, तुम्ही त्याची की रद्द करता आणि टिल्स ऑनलाइन राहतात.

PCI-DSS v4.0 आवश्यकता 2.3.2 नुसार कार्डधारकांच्या डेटा वातावरणाशी जोडलेल्या वायरलेस की, ज्यांना त्या की ची माहिती आहे अशी व्यक्ती सोडून गेल्यास बदलणे अपेक्षित आहे. प्रति-भाडेकरू आणि प्रति-उपकरण की तो बदल शक्य तितक्या लहान गटापुरता मर्यादित ठेवतात.

तुम्ही प्रति भाडेकरू की आणि VLAN कसे सेट करता?

xPSK SSID एकदाच तयार करा

तुमच्या व्हेन्डर कन्सोलमध्ये Purple कडे निर्देशित केलेल्या RADIUS ऑथेंटिकेशनसह भाडेकरू SSID तयार करा. बेसलाइन म्हणून AES सह WPA2-PSK वापरा, आणि जिथे तुमचा व्हेन्डर मल्टी-की PSK साठी सपोर्ट करतो तिथे WPA3 वापरा. SSID ब्रॉडकास्ट करा: नेटवर्क नाव लपवल्याने कोणतीही सुरक्षा मिळत नाही आणि उपकरणांना ते सर्वत्र शोधावे लागते.

तुमच्या व्हेन्डरसाठी Purple चे सेटअप दस्तऐवजीकरण अचूक सेटिंग्ज देते. दुसऱ्या साइटवरून व्हॅल्यूज कॉपी करण्याऐवजी त्याचे अनुसरण करा.

प्रत्येक भाडेकरू की तिच्या VLAN शी मॅप करा

Purple मध्ये, प्रत्येक भाडेकरू रेकॉर्डमध्ये एक किंवा अधिक की आणि एक VLAN ID असतो. जेव्हा एखादे उपकरण ऑथेंटिकेट होते, तेव्हा Purple RFC 3580 मध्ये वर्णन केलेल्या मानके RADIUS टनेल गुणधर्मांचा वापर करून VLAN परत करते. हे Tunnel-Type, Tunnel-Medium-Type आणि Tunnel-Private-Group-ID आहेत. त्यानंतर ॲक्सेस पॉइंट उपकरणाला त्या VLAN वर ठेवतो.

प्रति भाडेकरू बँडविड्थ मर्यादा सेट करा

Purple VLAN असाइन करते. बँडविड्थ मर्यादा तुमच्या कन्सोलद्वारे त्या VLAN, गट किंवा भूमिकेला लागू केलेल्या पॉलिसीशी जोडली जाते. Cisco Meraki ग्रुप पॉलिसी आणि HPE Aruba युझर रोल या दोन्हीवर रेट मर्यादा असतात, आणि इतर व्हेन्डर्स देखील याच्या समतुल्य पर्याय देतात.

किऑस्क, मानक युनिट आणि अँकर स्टोअर यासारख्या टियर्सचा एक छोटा संच परिभाषित करा. जेव्हा नवीन भाडेकरू जोडला जाईल (onboards) तेव्हा प्रत्येक भाडेकरूला एका टियरवर असाइन करा. टियर्समुळे प्रोमोशनल व्हिडिओ स्ट्रीम करणारे एकल युनिट शेजारच्या टिल्सला बँडविड्थ मिळण्यापासून रोखू शकत नाही. जर लीजमध्ये कनेक्टिव्हिटी अटी समाविष्ट असतील तर ते तुम्हाला नियंत्रण देखील देतात.

नवीन युनिट जोडणे (Onboard a new unit)

ऑनबोर्डिंग हे फिट-आऊट चेकलिस्टमध्ये समाविष्ट करा, उद्घाटनाच्या आठवड्यात नाही:

1. भाडेकरूच्या नोंदी तयार करा जेव्हा लीजवर स्वाक्षरी केली जाते. यामध्ये युनिट क्रमांक, नामनिर्देशित संपर्क, लीज सुरू होण्याची आणि संपण्याची तारीख आणि बँडविड्थ टियर समाविष्ट करा.
2. VLAN वाटप करा भाडेकरू ब्लॉक मधून आणि त्याच्या DHCP स्कोपची पुष्टी करा.
3. फायरवॉल नियम लागू करा त्या VLAN साठी, ज्यामध्ये भाडेकरूने घोषित केलेले कोणतेही पेमेंट प्रोसेसर किंवा VPN एंडपॉइंट्स समाविष्ट आहेत.
4. Purple मध्ये की किंवा कीज जनरेट करा आणि त्यांना VLAN वर मॅप करा.
5. नामनिर्देशित संपर्काला की पाठवा एन्क्रिप्टेड चॅनेलद्वारे. लीज पॅकमध्ये ती कधीही प्रिंट करू नका.
6. युनिटमधून चाचणी करा. डिव्हाइस कनेक्ट करा आणि ते योग्य सबनेट मिळवते आणि इंटरनेटपर्यंत पोहोचते याची पुष्टी करा.
7. समस्येची नोंद ठेवा तारीख, जारीकर्ता, प्राप्तकर्ता आणि VLAN सह.

भाडेकरू सोडताना ॲक्सेस रद्द करा

लीज संपण्याच्या तारखेला भाडेकरूची की रद्द करा आणि एक्झिट चेकलिस्टचा भाग म्हणून त्याचे शेड्युल करा. की रद्द केल्याने नवीन कनेक्शन्स त्वरित थांबतात.

तुमच्या प्लॅटफॉर्मवर अवलंबून, आधीच कनेक्ट केलेली डिव्हाइसेस ते पुन्हा कनेक्ट होईपर्यंत असोसिएटेड राहू शकतात. जिथे तुमचे प्लॅटफॉर्म RADIUS Change of Authorisation (CoA, RFC 5176 मध्ये परिभाषित) ला सपोर्ट करते, त्यांना डिस्कनेक्ट करण्यासाठी त्याचा वापर करा. अन्यथा, व्हेंडर कन्सोलवरून क्लायंट डिस्कनेक्ट करा.

मोकळे झालेले VLAN री-असाइन करण्यापूर्वी क्वारंटाइन कालावधीसाठी वापरात न ठेवता सोडून द्या. हे विसरलेले डिव्हाइस पुढील भाडेकरूच्या नेटवर्कवर दिसण्यापासून थांबवते. तुमची HR टीम कर्मचाऱ्यांच्या खात्यांसाठी लागू करते तीच जॉइनर्स, मूव्हर्स आणि लीव्हर्सची शिस्त आता भाडेकरूंनाही लागू होते.

सेगमेंटेशन कार्य करते हे तुम्ही कसे तपासाल?

ऑनबोर्डिंगच्या वेळी प्रत्येक नवीन भाडेकरूची चाचणी करा आणि प्रत्येक तिमाहीत संपूर्ण इस्टेटचा नमुना घ्या:

• योग्य VLAN: भाडेकरू की वापरणाऱ्या डिव्हाइसला त्या भाडेकरूच्या सबनेटमध्ये ॲड्रेस मिळतो.
• लॅटरल ॲक्सेस नाही: भाडेकरू डिव्हाइसवरून, शेजारच्या भाडेकरूच्या VLAN चा गेटवे प्रतिसाद देत नाही.
• सेंटर सिस्टम्समध्ये ॲक्सेस नाही: CCTV, बिल्डिंग मॅनेजमेंट आणि सेंटर स्टाफ सबनेटपर्यंत पोहोचता येत नाही.
• इंटरनेट कार्य करते: भाडेकरू इंटरनेट आणि कोणत्याही परवानगी दिलेल्या पेमेंट किंवा VPN एंडपॉइंट्सपर्यंत पोहोचतो.
• की रद्द करणे कार्य करते: रद्द केलेली की ऑथेंटिकेट करण्यात अयशस्वी होते.

जर भाडेकरूचे कॅश काउंटर कार्ड डेटा हाताळत असतील, तर PCI DSS v4.0 आवश्यकता 11.4.5 ला दर 12 महिन्यांतून किमान एकदा सेगमेंटेशन कंट्रोल्सच्या पेनिट्रेशन चाचणीची अपेक्षा असते. तुमचे त्रैमासिक निकाल आणि वार्षिक चाचणी हे त्या आवश्यकतेचे पुरावे आहेत. व्यापारी म्हणून प्रत्येक भाडेकरू स्वतःच्या PCI DSS मूल्यांकनासाठी जबाबदार राहतो.

काय लॉग करावे

तीन प्रश्नांची उत्तरे देण्यासाठी पुरेसे लॉग करा: कोणाला ॲक्सेस होता, कधी आणि कोणत्या VLAN वर.

• जारी केलेली की: भाडेकरू, की ID, VLAN, जारीकर्ता, प्राप्तकर्ता आणि तारीख.
• रद्द केलेली की: भाडेकरू, की ID, कारण, रद्द करणारा आणि तारीख.
• ऑथेंटिकेशन इव्हेंट्स: की ID, डिव्हाइस MAC ॲड्रेस, ॲक्सेस पॉइंट, असाइन केलेले VLAN, टाइमस्टॅम्प आणि निकाल.
• प्रति भाडेकरू VLAN फायरवॉल नियमातील बदल.

जेव्हा डिव्हाइसच्या MAC ॲड्रेसेसचा संबंध एखाद्या व्यक्तीशी जोडला जाऊ शकतो, तेव्हा ते GDPR अंतर्गत वैयक्तिक डेटा असू शकतात. रिटेंशनचा कालावधी सेट करा, त्याची नोंद ठेवा आणि वेळेनुसार तो हटवा. Purple कडे ISO 27001 प्रमाणपत्र आहे आणि ते GDPR आणि CCPA साठी प्रमाणित आहे, जे तुम्हाला तुमच्या स्वतःच्या पुरवठादार मूल्यांकनासाठी पुरावा देते. व्यापक नियंत्रणांसाठी, WiFi security आणि Guest network security: A practical Guide for 2026 पहा.

अभ्यासासाठी उदाहरणे (Scenarios)

ही दोन उदाहरणे केवळ स्पष्टीकरणासाठीच्या डिझाइनसाठी आहेत, प्रत्यक्ष तैनाती नाहीत. त्याचे परिणाम डिझाइनवरूनच ठरतात.

भाडेकरूंच्या SSIDs ची जागा घेणारे 70 युनिट्सचे शॉपिंग सेंटर

परिस्थिती. सेंटरद्वारे 14 SSIDs ब्रॉडकास्ट केले जात होते: गेस्ट, सेंटर कर्मचारी आणि सुरुवातीच्या मोठ्या भाडेकरूंसाठी तयार केलेले 12 भाडेकरू SSIDs. उर्वरित 58 युनिट्स एकाच VLAN वर एकाच भाडेकरू पासवर्डचा वापर करत होते. एखादा भाडेकरू सोडून गेला, तर सेंटरमधील इतर सर्व भाडेकरूंसाठी तो पासवर्ड बदलावा लागत असे.

काय केले गेले. IT ने सर्व गोष्टी तीन SSIDs मध्ये एकत्रित केल्या: गेस्ट, EAP-TLS सह 802.1X वर सेंटर कर्मचारी, आणि एक xPSK भाडेकरू SSID. सर्व 70 युनिट्सना त्यांची स्वतःची की आणि VLAN मिळाले, सोबतच गल्ल्यांसाठी प्रति-डिव्हाइस की मिळाल्या. IT ने 12 SSID आधारित भाडेकरूंना एका वेळी एक याप्रमाणे मायग्रेट केले आणि त्यांचे डिव्हाइसेस शिफ्ट झाल्यावर प्रत्येक जुना SSID काढून टाकला. CCTV आणि इमारत व्यवस्थापन त्याच भाडेकरू SSID वरील त्यांच्या स्वतःच्या की आणि VLAN वर हलवले गेले.

परिणाम. प्रत्येक रेडिओ 14 SSIDs वरून तीनवर आला. प्रति रेडिओ बीकन फ्रेम्स प्रति सेकंद सुमारे 137 वरून सुमारे 29 वर आल्या. एखाद्या भाडेकरूचे एक्झिट 58 व्यवसायांचे री-कीइंग करण्याऐवजी एक की रद्द करण्यामध्ये बदलले. भाडेकरू-ते-भाडेकरू ट्रॅफिक, जे आधी सामायिक VLAN वर खुले होते, ते आता गेटवेवर ब्लॉक केले गेले आहे आणि त्रैमासिक आधारावर तपासले जाते.

वीकेंड व्यापाऱ्यांसह कौन्सिलद्वारे चालवले जाणारे मार्केट हॉल

परिस्थिती. एका सार्वजनिक क्षेत्रातील मार्केट हॉलमध्ये 40 कायमस्वरूपी स्टॉल्स आणि 25 पर्यंत वीकेंड व्यापारी असतात. प्रत्येक व्यापारी वर्षानुवर्षे न बदललेला एकच सामायिक पासवर्ड वापरत होता. जुने व्यापारी अजूनही कार पार्कवरून कनेक्ट होऊ शकत होते.

काय केले गेले. प्रत्येक कायमस्वरूपी स्टॉलला त्याची स्वतःची की आणि VLAN मिळाले. वीकेंड व्यापाऱ्यांना सामायिक, क्लायंट आयसोलेटेड ट्रेडर VLAN शी मॅप केलेल्या वैयक्तिक की मिळाल्या, ज्यामुळे त्यांचे डिव्हाइसेस एकमेकांपर्यंत पोहोचू शकत नाहीत. ड्युटी व्यवस्थापक रविवारी बंद होण्याच्या चेकलिस्टचा एक भाग म्हणून सर्व वीकेंड की रद्द करतो आणि शनिवारी जागा वितरणासोबत नवीन की दिल्या जातात.

परिणाम. कौन्सिल एका दीर्घकालीन सामायिक पासवर्डवरून 40 कायमस्वरूपी की आणि 25 पर्यंत साप्ताहिक की वर आली. कोणतीही की ती धारण करणाऱ्या व्यापाऱ्याच्या कालावधीपेक्षा जास्त काळ टिकत नाही. कौन्सिलला जारी केलेल्या आणि रद्द केलेल्या प्रत्येक की चा लॉग देखील मिळाला, जो आधी त्यांच्याकडे नव्हता.

काय चुकते आणि तुम्ही ते कसे दुरुस्त करता?

लक्षण	संभाव्य कारण	उपाय
डिव्हाइस कनेक्ट होते परंतु डीफॉल्ट VLAN वर जाते	RADIUS रिप्लायमध्ये VLAN ॲट्रीब्युट्सची कमतरता आहे, किंवा SSID RADIUS VLAN ओव्हरराइडकडे दुर्लक्ष करतो	Purple मध्ये की-टू-VLAN मॅपिंगची पुष्टी करा, नंतर SSID वर RADIUS VLAN असाइनमेंट सक्षम करा
डिव्हाइस कनेक्ट होते परंतु IP ॲड्रेस मिळत नाही	भाडेकरू VLAN त्या ॲक्सेस पॉइंटच्या स्विच पोर्टवर ट्रंक केलेले नाही, किंवा DHCP स्कोप नाही	ट्रंकमध्ये VLAN जोडा आणि DHCP स्कोपची पुष्टी करा
जुने टिल किंवा टर्मिनल जोडले जाणार नाही	SSID WPA3-only वर सेट केले आहे किंवा Protected Management Frames आवश्यक आहेत	त्या SSID साठी AES सह WPA2-PSK किंवा WPA2/WPA3 ट्रान्सिशन मोड वापरा
मागे घेतलेला भाडेकरू (tenant) अजूनही ऑनलाइन आहे	डिव्हाइस पुन्हा कनेक्ट होईपर्यंत विद्यमान सेशन सुरू राहते	Vendor कन्सोलमध्ये CoA डिस्कनेक्ट पाठवा किंवा क्लायंटला हटवा
एक भाडेकरू दुसऱ्या भाडेकरूपर्यंत पोहोचू शकतो	कोर स्विच किंवा गेटवेवर Inter-VLAN राउटिंगला अनुमती दिली आहे	भाडेकरू VLANs दरम्यान डेनाय (deny) नियम जोडा आणि पुन्हा चाचणी करा
भाडेकरू VLAN वर अज्ञात डिव्हाइस	भाडेकरूने त्याची की (key) शेजारी किंवा कंत्राटदारासोबत शेअर केली आहे	ती की मागे घ्या, नवीन जारी करा आणि नियुक्त केलेल्या संपर्काला माहिती द्या

यासाठी काय खर्च येतो आणि तुम्हाला काय परत मिळते?

काय खर्च येतो. तुम्हाला नवीन ॲक्सेस पॉइंट्स, कंट्रोलर्स किंवा स्विचेसची आवश्यकता नाही. तुम्ही Purple ॲक्सेस सबस्क्रिप्शन, तसेच VLAN प्लॅन, ट्रंकिंग आणि फायरवॉल नियमांसाठी इंजिनिअरिंग वेळेचा खर्च भरता. त्यानंतर, ऑनबोर्डिंगच्या वेळी प्रत्येक भाडेकरू एक रेकॉर्ड, एक VLAN आणि एक की घेतो आणि बाहेर पडताना एक रिव्होकेशन होते.

तुम्हाला काय परत मिळते.

• एयरटाइम. एक भाडेकरू SSID प्रत्येक भाडेकरूच्या एका SSID ची जागा घेतो, त्यामुळे प्रत्येक लीजसोबत बीकन ओव्हरहेड वाढणे थांबते.
• कंटेनमेंट. लीक झालेली किंवा सोडलेली की एका भाडेकरूवर परिणाम करते, संपूर्ण सेंटरवर नाही.
• पुरावा. इश्यू आणि रिव्होकेशन लॉग्स PCI-DSS आवश्यकता 2.3.2 ला सपोर्ट करतात. सेगमेंटेशन चाचण्या आवश्यकता 11.4.5 ला सपोर्ट करतात.
• स्केल. Purple 80,000+ पेक्षा जास्त लाईव्ह व्हेन्यूवर चालते आणि 2024 मध्ये 440 दशलक्ष लॉगीन्स हाताळले आहेत (Purple चा स्वतःचा डेटा). 70-युनिटचे सेंटर कोणताही अतिरिक्त ताण आणत नाही.

जर तुमच्या सेंटरचे कर्मचारी अजूनही एकच पासवर्ड शेअर करत असतील, तर त्यांना पुढे मायग्रेट करा. मल्टी-साइट इस्टेटमध्ये कर्मचाऱ्यांचे WiFi शेअर केलेल्या पासवर्डवरून 802.1X वर मायग्रेट करणे हा क्रम ठरवतो. अधिक ॲक्सेस डिझाइन Access guides मध्ये आहेत.

वारंवार विचारले जाणारे प्रश्न

हे आमच्या सेंटरच्या आधीपासूनच्या मालकीच्या ॲक्सेस पॉइंट्ससोबत काम करते का?

होय, Purple तुमच्या मालकीच्या आधीपासूनच्या ॲक्सेस पॉइंट्सवर क्लाउड ओव्हरले म्हणून चालते, यामध्ये जुने काढून नवीन बसवण्याची गरज नाही. Purple हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks आणि Fortinet वर हार्डवेअर-अग्नोस्टिक आहे. भाडेकरू xPSK नेटवर्कसाठी, तुमचे मॉडेल आणि फर्मवेअर RADIUS-असाईन केलेल्या VLAN सह मल्टी-की PSK ला सपोर्ट करत असल्याची खात्री करा. Meraki याला iPSK म्हणते, Aruba याला MPSK म्हणते आणि Ruckus याला DPSK म्हणते.

भाडेकरू ॲक्सेस पॉइंट्स शेअर करू शकतात पण नेटवर्क नाही, हे शक्य आहे का?

होय, प्रत्येक भाडेकरूसाठी की आणि VLAN असण्याचा हाच उद्देश आहे. प्रत्येक भाडेकरू एकाच ॲक्सेस पॉइंट्सद्वारे समान SSID शी कनेक्ट होतो. प्रत्येक की त्या भाडेकरूची डिव्हाइसेस त्याच्या स्वतःच्या VLAN वर ठेवते. गेटवेवरील फायरवॉल नियम नंतर भाडेकरू VLANs आणि सेंटरच्या स्वतःच्या सिस्टीममधील ट्रॅफिक ब्लॉक करतात. शेजारील युनिट्स रेडिओ आणि एयरटाइम शेअर करतात परंतु लेयर 2 नेटवर्क कधीही शेअर करत नाहीत.

शॉपिंग सेंटरला किती SSIDs ची आवश्यकता असते?

तीन गोष्टी बहुतेक सेंटर्सचा समावेश करतात. तुम्हाला खरेदीदारांसाठी Captive Portal असलेले ओपन गेस्ट नेटवर्क, आणि प्रत्येक भाडेकरू आणि सेंटरच्या हेडलेस उपकरणांसाठी एक xPSK नेटवर्क आवश्यक आहे. सेंटरच्या कर्मचाऱ्यांसाठी एक सुरक्षित 802.1X नेटवर्क जोडा, जे Microsoft Entra ID, Okta किंवा Google Workspace द्वारे ऑथेंटिकेट केलेले असेल. प्रत्येक अतिरिक्त SSID प्रत्येक रेडिओवर बीकन ओव्हरहेड वाढवतो, त्यामुळे प्रत्येक भाडेकरूसाठी स्वतंत्र SSID तयार करणे टाळा.

भाडेकरू सेंटर सोडताना आम्ही त्यांचा WiFi ॲक्सेस कसा काढू शकतो?

तुम्ही Purple मध्ये त्या भाडेकरूची की (key) रिव्होक करता, आणि नवीन कनेक्शन्स त्वरित बंद होतात. लीज समाप्तीच्या तारखेनुसार, लीज एक्झिट चेकलिस्टमध्ये रिव्होकेशनचा समावेश करा. आधीच कनेक्ट केलेली उपकरणे ती पुन्हा कनेक्ट होईपर्यंत ऑनलाइन राहू शकतात. तुमचे प्लॅटफॉर्म सपोर्ट करत असल्यास त्यांना RADIUS Change of Authorisation द्वारे किंवा व्हेंडर कन्सोलवरून डिस्कनेक्ट करा. त्यानंतर VLAN रीॲसाइन करण्यापूर्वी ते क्वारंटाइन करा.

यामुळे आमच्या भाडेकरूंचे टिल्स PCI DSS कंप्लायंट होतील का?

नाही, केवळ नेटवर्क डिझाइन मर्चंटला कंप्लायंट बनवू शकत नाही. प्रत्येक भाडेकरू स्वतःच्या PCI DSS असेसमेंटसाठी जबाबदार राहतो. प्रत्येक भाडेकरूसाठी एक की आणि VLAN तुम्हाला विशिष्ट आवश्यकतांसाठी पुरावा देतो. आवश्यकता 2.3.2 ही वायरलेस की ची माहिती असलेले लोक सोडून जातात तेव्हा ती बदलण्याशी संबंधित आहे. आवश्यकता 11.4.5 ही सेगमेंटेशन कंट्रोल्सच्या वार्षिक पेनिट्रेशन टेस्टिंगशी संबंधित आहे. विनंतीनुसार तुमचे सेगमेंटेशन टेस्ट निकाल भाडेकरूंसोबत शेअर करा.

आम्ही प्रत्येक भाडेकरूच्या बँडविड्थवर मर्यादा घालू शकतो का?

होय, प्रत्येक भाडेकरूची की ज्या ग्रुप, रोल किंवा VLAN शी मॅप केली आहे त्यानुसार तुम्ही तुमच्या व्हेंडर कन्सोलमध्ये मर्यादा सेट करू शकता. Cisco Meraki ग्रुप पॉलिसी आणि HPE Aruba युझर रोल्स हे दोन्ही रेट लिमिट्स सपोर्ट करतात, आणि इतर व्हेंडर देखील यासारखे पर्याय देतात. किओस्क, स्टँडर्ड युनिट आणि अँकर स्टोअर यासारखे काही टियर्स परिभाषित करा. ऑनबोर्डिंगच्या वेळी प्रत्येक भाडेकरूला एका टियरमध्ये असाइन करा जेणेकरून एका युनिटमुळे शेजारील टिल्सची बँडविड्थ कमी पडणार नाही.

डाउनटाइमशिवाय आम्ही प्रति भाडेकरू एका SSID वरून मायग्रेट कसे करू शकतो?

तुम्ही जुने आणि नवीन नेटवर्क शेजारी-शेजारी चालवून, एका वेळी एका भाडेकरूचे मायग्रेशन करता. आधी xPSK SSID तयार करा, नंतर एका भाडेकरूची उपकरणे त्यांच्या नवीन की आणि VLAN वर हलवा. प्रत्येक उपकरण हलवल्यानंतर त्या भाडेकरूचा जुना SSID काढून टाका. VLAN ट्रंकिंग आणि फायरवॉल रूल्स तपासण्यासाठी एका छोट्या कंसेशनपासून सुरुवात करा. त्यानंतर ट्रेडिंग अव्हर्सच्या बाहेर मोठ्या युनिट्सचे शेड्यूलिंग करा.