आप शुक्रवार को देर से WLAN परिवर्तन की समीक्षा कर रहे हैं। नियंत्रक आपको सुरक्षित प्रबंधन फ़्रेम के लिए तीन सेटिंग्स प्रदान करता है, अक्षम, वैकल्पिक और आवश्यक, और उस SSID पर प्रत्येक उपकरण सोमवार सुबह विकल्प को महसूस करेगा। इसे बहुत शिथिल रूप से सेट करें और जाली डिस्कनेक्ट अभी भी काम करते हैं। इसे बहुत सख्ती से सेट करें और इमारत में प्रिंटर, स्कैनर और पुराने लैपटॉप बिल्कुल भी शामिल नहीं होंगे। यह मार्गदर्शिका उस विकल्प को उसी रूप में मानती है जो यह वास्तव में है, एक संगतता लागत के साथ एक प्रति-SSID प्रवर्तन निर्णय जिसकी आप योजना बना सकते हैं।
Protected Management Frames क्या करते हैं
एक व्यस्त WLAN पर, कोई डिवाइस अपना पासवर्ड बदले या उसके एन्क्रिप्शन को तोड़े बिना भी अपना कनेक्शन खो सकता है। इसका कारण एक जाली प्रबंधन फ्रेम हो सकता है, एक रेडियो संदेश जो डिवाइस को डिस्कनेक्ट करने के लिए कहता है। Protected Management Frames (PMF) इस प्रकार के संदेश को वास्तविक के रूप में स्वीकार किए जाने से रोकने में मदद करते हैं।
वह कमजोरी जिसे बंद करने के लिए PMF बनाया गया था
मैनेजमेंट फ़्रेम उन निर्देशों को ले जाते हैं जो एक वायरलेस कनेक्शन को स्थापित, बनाए रखते और समाप्त करते हैं। वे ईमेल, मरीज के रिकॉर्ड या वीडियो कॉल को स्वयं नहीं ले जाते हैं। PMF से पहले, रेडियो रेंज के भीतर का एक हमलावर डीऑथेंटिकेशन या डिसऑोसिएशन संदेश को जाली बना सकता था। इसे प्राप्त करने वाला एक डिवाइस नेटवर्क छोड़ सकता था, भले ही उसका एन्क्रिप्टेड उपयोगकर्ता ट्रैफ़िक सुरक्षित रहा हो।
PMF 2009 में प्रकाशित IEEE 802.11w संशोधन से आया है, जिसने जाली प्रबंधन फ़्रेमों, विशेष रूप से वैध उपयोगकर्ताओं को ज़बरदस्ती डिस्कनेक्ट करने वाले संदेशों को संबोधित किया, जैसा कि सुरक्षित प्रबंधन फ़्रेमों के Wi-Fi अलायंस अवलोकन में वर्णित है। यह सुरक्षित नियंत्रण ट्रैफ़िक में अखंडता जांच और मूल प्रमाणीकरण जोड़ता है। एक्सेस पॉइंट या क्लाइंट यह जांच सकता है कि किसने सुरक्षित संदेश भेजा है और बिना सोचे-समझे कार्रवाई करने के बजाय विफल संदेश को अस्वीकार कर सकता है।
सुरक्षित यूनिकास्ट मैनेजमेंट फ्रेम्स को एन्क्रिप्ट भी किया जा सकता है, जिससे वन-टू-वन निर्देश निजी और सत्यापित रहते हैं। PMF डीऑथेंटिकेशन और डिसअसोसिएशन फ्रेम्स के साथ-साथ रेडियो मेजरमेंट, ब्लॉक एक्नॉलेजमेंट, फास्ट BSS ट्रांज़िशन, स्पेक्ट्रम मैनेजमेंट और क्वालिटी ऑफ सर्विस के लिए उपयोग किए जाने वाले एक्शन फ्रेम्स को कवर करता है। ये संदेश एक सत्र को समाप्त कर सकते हैं, रेडियो स्थितियों की रिपोर्ट कर सकते हैं, डेटा ब्लॉक की पुष्टि कर सकते हैं, दूसरे एक्सेस पॉइंट पर जाने का समर्थन कर सकते हैं या वॉयस और वीडियो ट्रैफिक को प्रबंधित कर सकते हैं।
PMF क्या नहीं है
PMF कंट्रोल ट्रैफिक की सुरक्षा करता है, उपयोगकर्ता डेटा की नहीं। यह प्रमाणीकरण, एन्क्रिप्शन या प्राधिकरण को बदलने के बजाय WPA2 या WPA3 के साथ काम करता है। WiFi Alliance PMF को डिस्कनेक्ट, हनीपॉट और एविल ट्विन हमलों का विरोध करने में मदद करने के एक तरीके के रूप में वर्णित करता है। यह उपयोगकर्ता की पहचान स्थापित नहीं करता है या यह तय नहीं करता है कि कौन नेटवर्क तक पहुंच सकता है।
PMF एक पूरक नियंत्रण है। आपका प्रमाणीकरण यह तय करता है कि किसे अंदर जाने की अनुमति है, आपका एन्क्रिप्शन डेटा की सुरक्षा करता है, और PMF उन निर्देशों की सुरक्षा करता है जो सत्र को जीवित रखते हैं।
एक्सेस पॉइंट और क्लाइंट दोनों को PMF का समर्थन करना चाहिए, और यह सेटिंग प्रत्येक एन्क्रिप्टेड SSID पर अलग से लागू होती है। यह प्रवर्तन को पूरे साइट के लिए एक स्विच के बजाय नेटवर्क-दर-नेटवर्क निर्णय बनाती है। ट्रांज़िशन-मोड नेटवर्क अक्सर बिना किसी अनिवार्यता के PMF की अनुमति देते हैं, ताकि पुराने क्लाइंट अभी भी कनेक्ट हो सकें। इसका नुकसान यह है कि जो क्लाइंट PMF का उपयोग करने में असमर्थ हैं, उन्हें उस SSID पर इसकी सुरक्षा नहीं मिलती है। इसे कितना सख्ती से लागू करना है, यह चुनने से पहले क्लाइंट मिक्स और नेटवर्क की रोमिंग आवश्यकताओं पर विचार करें।
अक्षम (Disabled), वैकल्पिक (Optional) या आवश्यक (Required) मोड चुनना
PMF प्रति WLAN तीन में से एक मोड में चलता है, और वह मोड तय करता है कि कौन जुड़ा रहेगा और कौन असुरक्षित रहेगा। प्रोडक्शन प्रोफाइल को छूने से पहले इस तालिका का उपयोग अपने संदर्भ के लिए करें।
| मोड | क्या होता है | पुराने उपकरणों पर प्रभाव | फर्जी deauth का जोखिम | किसके लिए सबसे अच्छा है |
|---|---|---|---|---|
| Disabled | कोई प्रबंधन-फ़्रेम सुरक्षा नहीं | हर जगह कनेक्ट होता है | पूरा जोखिम | रिटायर होने वाले अलग-थलग पड़े पुराने नेटवर्क |
| Optional | PMF का उपयोग केवल तब किया जाता है जब क्लाइंट और WLAN दोनों इसका समर्थन करते हैं | पुराने उपकरण कनेक्ट होते रहते हैं | गैर-PMF क्लाइंट के लिए जोखिम बना रहता है | WPA2 और WPA3 ट्रांजिशन SSIDs |
| Required | केवल PMF सक्षम क्लाइंट के साथ एसोसिएशन | असंगत उपकरण जुड़ने में विफल रहते हैं | प्रत्येक संबद्ध क्लाइंट के लिए सुरक्षित | केवल WPA3 और उच्च-आश्वासन SSIDs |
अक्षम (Disabled)
Disabled आपको कोई सुरक्षा नहीं देता है और इसमें कोई अनुकूलता लागत भी नहीं आती है। हर क्लाइंट जो पहले जॉइन कर सकता था, अब भी जॉइन कर सकता है, और हर फर्जी डीऑथेंटिकेशन फ्रेम जो पहले काम करता था, अब भी काम करता है। इस सेटिंग को केवल एक पृथक लीगेसी नेटवर्क के लिए रखें जिसे आपने विभाजित किया है, दस्तावेजीकृत किया है और रिटायरमेंट की तारीख दी है। यदि कोई तारीख नहीं है, तो Disabled धीरे-धीरे स्थायी हो जाता है।
वैकल्पिक
ऑप्शनल मोड में, एक क्लाइंट केवल तभी PMF का उपयोग करता है जब WLAN और क्लाइंट दोनों इसका समर्थन करते हैं, इसलिए पुराने डिवाइस कनेक्टिविटी बनाए रखते हैं लेकिन गैर-PMF असोसिएशन नकली मैनेजमेंट-फ्रेम हमलों के संपर्क में रहते हैं। ट्रांज़िशन के दौरान यह ईमानदार समझौता है। आपके आधुनिक फोन और लैपटॉप को सुरक्षा मिलती है, आपके पुराने डिवाइस काम करते रहते हैं, और आपको यह योग्य बनाए बिना कि यह किन क्लाइंट पर लागू होता है, SSID को सुरक्षित के रूप में रिपोर्ट नहीं करना चाहिए।
आवश्यक (Required)
required mode में, एसोसिएशन केवल तभी अनुमत होता है जब क्लाइंट PMF पर बातचीत करता है। WPA3-केवल SSIDs और उच्च आश्वासन यूके वातावरण के लिए यह सही सेटिंग है, लेकिन असंगत लीगेसी डिवाइस कनेक्ट होने में विफल रहेंगे। यह कोई ख़राब मोड नहीं है। डिवाइस निचले सुरक्षा स्तर पर शामिल नहीं होगा, यह तब तक SSID से बाहर रहेगा जब तक आप ड्राइवर को ठीक नहीं करते, फ़र्मवेयर को अपडेट नहीं करते या इसे कहीं और स्थानांतरित नहीं करते।
दो तकनीकी बिंदु प्रशासकों को दुविधा में डालते हैं। पहला, Cisco का 802.11w कॉन्फ़िगरेशन मार्गदर्शन एक पूर्व शर्त निर्धारित करता है कि वैकल्पिक या अनिवार्य PMF के लिए एक उपयुक्त प्रमाणीकरण और कुंजी-प्रबंधन कॉन्फ़िगरेशन के साथ WPA की आवश्यकता होती है, जिसमें AES साइफर के साथ RSN जानकारी तत्व सक्षम होता है। यदि आपकी साइफर या RSN सेटिंग्स संरेखित नहीं हैं, तो मोड उस तरह से व्यवहार नहीं करेगा जैसा लेबल सुझाव देता है। दूसरा, ज़ेरॉक्स तकनीकी दस्तावेज़ चेतावनी देते हैं कि नेटवर्क और डिवाइस सेटिंग्स के बीच बेमेल संचार विफलताओं का कारण बन सकता है, और नोट करते हैं कि WPA3 Personal और WPA3 Enterprise आमतौर पर आवश्यकतानुसार PMF का उपयोग करते हैं जबकि ट्रांजिशन कॉन्फ़िगरेशन इसे वैकल्पिक छोड़ सकते हैं।
डीफ़ॉल्ट नियम: केवल WPA3 और उच्च-आश्वासन वाले SSIDs पर आवश्यक (Required), संक्रमण के दौरान मिश्रित WPA2 और WPA3 SSIDs पर वैकल्पिक (Optional), केवल सेवानिवृत्ति की तिथि वाले पृथक पुराने नेटवर्क पर अक्षम (Disabled)।
यदि आप अपने व्यापक प्रमाणीकरण डिज़ाइन के विरुद्ध इसका मूल्यांकन कर रहे हैं, तो एंटरप्राइज़ प्रमाणीकरण मॉडल का चयन PMF मोड के साथ आता है, और दोनों में से किसी भी सेटिंग को लॉक करने से पहले अपने WPA Enterprise कॉन्फ़िगरेशन विकल्पों की समीक्षा करना उचित है। दोनों निर्णयों को एक साथ लें और आप उस SSID पर PMF लागू करने से बचेंगे जिसके क्लाइंट्स का कभी इसके लिए मूल्यांकन नहीं किया गया था।
रोमिंग और डी-ऑथेंटिकेशन हमलों के लिए PMF क्यों महत्वपूर्ण है
एक जाली डीऑथेंटिकेशन फ्रेम पास के किसी क्लाइंट को एक्सेस पॉइंट से डिस्कनेक्ट कर सकता है। फिर क्लाइंट फिर से कनेक्ट करने का प्रयास करता है, और बार-बार जाली फ्रेम उसे स्थिर होने से रोक सकते हैं। उपयोगकर्ताओं को स्पष्ट रूप से यादृच्छिक WiFi ड्रॉप का अनुभव होता है, जबकि हेल्पडेस्क को स्पष्ट कवरेज खराबी के बिना कनेक्शन समस्या दिखाई देती है।
ऑपरेशन में व्यवधान कैसा दिखता है
जैसे ही कोई चिकित्सक वार्डों के बीच जाता है, एक वार्ड टैबलेट का कनेक्शन टूट सकता है। व्याख्यान के दौरान छात्रों की पहुंच समाप्त हो सकती है। दोनों ही मामलों में, एन्क्रिप्शन बरकरार रह सकता है और पासवर्ड निजी रह सकते हैं, फिर भी सेवा बाधित होती है। PMF किसी स्टेशन या एक्सेस प्वाइंट को यह जांचकर कि सुरक्षित प्रबंधन संदेश प्रामाणिक हैं, फर्जी निर्देशों को अस्वीकार करने की अनुमति देता है।
रोमिंग इन फ़्रेमों को डिस्कनेक्ट से कहीं अधिक महत्वपूर्ण बनाती है। जैसे ही एक फोन एक्सेस पॉइंट्स के बीच चलता है, Fast BSS Transition एक्शन फ़्रेम हैंडओवर में समन्वय करने में मदद करते हैं। यदि कोई हमलावर उन संदेशों को जाली बनाता है या बाधित करता है, तो जब उपयोगकर्ता गलियारे से गुजरता है तो एक कॉल रुक सकती है या समाप्त हो सकती है। PMF रेडियो माप, ब्लॉक पावती, स्पेक्ट्रम प्रबंधन और सेवा की गुणवत्ता संचालन के लिए उपयोग किए जाने वाले प्रासंगिक एक्शन फ़्रेम की सुरक्षा करता है। प्राप्त करने वाला उपकरण उन्हें अंधे होकर स्वीकार करने के बजाय हैंडओवर निर्देशों को सत्यापित कर सकता है।
मानक प्रोफ़ाइल और उसकी सीमाएँ
SSID सेटिंग एक प्रति-नेटवर्क निर्णय है। रोमिंग के लिए उपयोग किए जाने वाले SSID पर, इस बात का आकलन करें कि PMF जो सुरक्षा जोड़ता है वह इस बात से अधिक महत्वपूर्ण है या नहीं कि क्या प्रत्येक क्लाइंट उस सेटिंग के साथ जुड़ सकता है और हैंडओवर पूरा कर सकता है। यह Passpoint के लिए भी मायने रखता है: प्रमाणीकरण विधि उन नेटवर्क पर PMF संगतता की जांच करने की आवश्यकता को समाप्त नहीं करती है जिनसे क्लाइंट जुड़ेंगे।
एल्गोरिदम विवरण के लिए, Cisco की 802.11w PMF कॉन्फ़िगरेशन मार्गदर्शिका देखें। व्यावहारिक सीमा भी उतनी ही महत्वपूर्ण है: केवल प्रबंधन-फ़्रेम सुरक्षा ही हर डीऑथेंटिकेशन हमले को नहीं रोक सकती। रेडियो निगरानी और वायरलेस घुसपैठ रोकथाम को सुरक्षा डिज़ाइन में रखें, और एक एंटरप्राइज़ WiFi सुरक्षा रणनीति में प्रमाणीकरण और निगरानी के साथ PMF की योजना बनाएं।
PMF वायरलेस होप पर मैनेजमेंट ट्रैफिक की सुरक्षा करता है। आगंतुक डेटा को एक्सेस पॉइंट से आगे जाने पर भी सुरक्षा की आवश्यकता होती है। आगंतुक डेटा के लिए TLS और IPsec उन प्रोटोकॉल की व्याख्या करता है जो उस ट्रैफिक को सुरक्षित करने में मदद करते हैं।
डिवाइस श्रेणी के अनुसार संगतता प्रभाव
आपके उपयोगकर्ता जो प्रश्न पूछेंगे वह मानक से अधिक सरल है। कौन से उपकरण काम करना बंद कर देंगे? इसका उत्तर यहां से शुरू होता है कि PMF समर्थन वास्तव में कहां मौजूद है। यह एक्सेस प्वाइंट और क्लाइंट के WiFi ड्राइवर और सप्लिकेंट के बीच नेगोशिएट किया जाता है, इसलिए केवल एक PMF सक्षम एक्सेस प्वाइंट किसी बात की गारंटी नहीं देता है। एक पुराने ड्राइवर वाला लैपटॉप उस SSID पर विफल हो सकता है जिसे एक नया फोन बिना किसी समस्या के जॉइन कर लेता है।
| डिवाइस क्लास | विशिष्ट PMF समर्थन | आवश्यक सेट करने पर जोखिम | सुझाया गया सेटिंग्स |
|---|---|---|---|
| WPA3 समर्थन वाले आधुनिक फोन और लैपटॉप | आमतौर पर समर्थित | कम | WPA3 SSIDs पर आवश्यक |
| WPA2-युग के ड्राइवरों वाले WiFi 5 लैपटॉप और फोन | अक्सर समर्थित, ड्राइवर पर निर्भर करता है | मध्यम | मिश्रित SSIDs पर वैकल्पिक, ड्राइवर अपडेट करें |
| पुराने केवल WPA2 वाले IoT सेंसर और स्मार्ट प्लग | अक्सर समर्थित नहीं | उच्च | अलग SSID या पहचान PSK |
| विरासत प्रिंटर और स्कैनर | अक्सर समर्थित नहीं | उच्च | वायर कनैक्शन या समर्पित विरासत SSID |
| पुराने फर्मवेयर पर हैंडहेल्ड स्कैनर | फर्मवेयर-निर्भर | मध्यम से उच्च | लागू करने से पहले फर्मवेयर का परीक्षण करें |
इन पंक्तियों को विशिष्ट पैटर्न के रूप में देखें, गारंटी के रूप में नहीं। वेंडर के दस्तावेज़ों और अपनी स्वयं की इन्वेंट्री के खिलाफ प्रत्येक मॉडल की पुष्टि करें, क्योंकि एक ही वर्ग के दो डिवाइस ड्राइवर अपडेट के बाद अलग-अलग व्यवहार कर सकते हैं। यह तालिका आपको बताती है कि सबसे पहले कहाँ देखना है। आपके परीक्षण जुड़ाव आपको सच्चाई बताते हैं।
एंटरप्राइज एसोसिएशन नियम
802.1X नेटवर्क के लिए बातचीत स्पष्ट होती है। UK शिक्षा-नेटवर्किंग निकाय Jisc का कहना है कि WPA3-Enterprise में केवल WPA3-Enterprise-केवल मोड में PMF की आवश्यकता होती है, जहाँ एक्सेस पॉइंट मैनेजमेंट फ्रेम प्रोटेक्शन रिक्वायर्ड क्षमता का विज्ञापन करता है और एक संगत स्टेशन को एसोसिएशन के दौरान PMF पर बातचीत करनी होगी, जैसा कि Jisc के WPA3, Wi-Fi 6E और eduroam मार्गदर्शन में निर्धारित किया गया है। यदि स्टेशन इस पर बातचीत नहीं कर सकता है, तो एसोसिएशन आगे नहीं बढ़ता है।
यह विशेष रूप से प्रासंगिक है यदि आप eduroam या अन्य सर्टिफिकेट-आधारित नेटवर्क चलाते हैं, क्योंकि WPA3-Enterprise सर्टिफिकेट-आधारित ऑथेंटिकेशन को बनाए रखते हुए WPA2-Enterprise से विकसित हो सकता है। आपके सर्टिफिकेट सही हो सकते हैं जबकि एक पुराना सप्लिकेंट अभी भी PMF पर विफल हो जाता है। लागू करने से पहले एक्सेस पॉइंट और क्लाइंट सप्लिकेंट दोनों को मान्य करें, फिर परिवर्तन के बाद असोसिएशन विफलताओं और अपने लीगेसी-डिवाइस इन्वेंट्री की निगरानी करें।
क्लासिक लक्षण देखें। एक उपकरण अभी भी पुराने SSID से खुशी-खुशी जुड़ता है लेकिन नए में कभी शामिल नहीं होता है, जिसमें कोई स्पष्ट पासवर्ड या प्रमाण पत्र त्रुटि नहीं होती है। वह पैटर्न क्रेडेंशियल समस्या के बजाय क्षमता बेमेल की ओर इशारा करता है।
यदि यह पुराने नेटवर्क से जुड़ता है और चुपचाप नए को अस्वीकार कर देता है, तो एक भी प्रमाणपत्र फिर से जारी करने से पहले PMF क्षमता की जाँच करें।
वह सिग्नल कुछ भी बदलने से पहले संपत्ति की ठीक से सूची बनाने का आपका संकेत है। इस चरण में अनुमान लगाने से विफलता आपके पायलट समूह से पूरी इमारत में स्थानांतरित हो जाती है।
चरमबद्ध तरीके से Required PMF कैसे लागू करें
इसे क्रमबद्ध तरीके से पूरा करें, क्योंकि प्रत्येक चरण अगले की रक्षा करता है। एक दिन बचाने के लिए इन्वेंट्री को छोड़ने से आमतौर पर आपको बाद में एक सप्ताह के अस्पष्ट टिकटों का भुगतान करना पड़ता है।
लक्षित SSID पर प्रत्येक डिवाइस की सूची बनाएं। प्रत्येक डिवाइस के लिए मॉडल, ऑपरेटिंग सिस्टम, Wi-Fi ड्राइवर वर्ज़न और फर्मवेयर रिकॉर्ड करें, क्योंकि PMF समर्थन अक्सर हार्डवेयर बैज के बजाय ड्राइवर पर निर्भर करता है। जिस भी चीज़ की आप पहचान नहीं कर सकते उसे फ्लैग करें, क्योंकि अज्ञात डिवाइस ही वे होते हैं जो एनफोर्समेंट के समय आपको आश्चर्यचकित करते हैं।
कंट्रोलर की पूर्वापेक्षाओं की पुष्टि करें। जांचें कि WLAN सक्षम AES सिफर और RSN सूचना तत्व के साथ PMF का समर्थन करता है, क्योंकि वैकल्पिक और आवश्यक मोड दोनों पर निर्भर करते हैं। पायलट से पहले ऐसा करें ताकि आप क्लाइंट के व्यवहार का परीक्षण कर रहे हों, न कि प्रोफ़ाइल त्रुटि को ठीक कर रहे हों।
वैकल्पिक पर सेट एक पायलट SSID बनाएं। इसके प्रमाणीकरण को प्रोडक्शन से बिल्कुल सटीक रूप से मिलाएं, ताकि केवल वही चर हो जिसका आप परीक्षण कर रहे हैं वह PMF है। उपयोगकर्ताओं को अभी कुछ भी ध्यान नहीं देना चाहिए, और यही मुख्य बिंदु है। आप साक्ष्य एकत्र कर रहे हैं, किसी बदलाव की घोषणा नहीं कर रहे हैं।
कम से कम एक कार्य सप्ताह के लिए परीक्षण समूह को पायलट पर ले जाएं। कॉरपोरेट लैपटॉप और फ़ोन चुनें जो वास्तव में इमारत में घूमते हैं (रोम करते हैं), फिर प्रतिदिन एसोसिएशन विफलताएं और रोमिंग ड्रॉप्स लॉग करें। जो डिवाइस पूरे सप्ताह एक ही डेस्क पर रहता है, वह Fast BSS Transition व्यवहार के बारे में बहुत कम साबित करता है।
ठीक करें, अलग करें, फिर लागू करें
जो आप ठीक कर सकते हैं उसे ठीक करें और जो नहीं कर सकते उसे अलग करें। पहले ड्राइवर और फर्मवेयर अपडेट लागू करें, प्रत्येक डिवाइस का पुन: परीक्षण करें, और वास्तव में अपूरणीय लीगेसी किट को कड़े नेटवर्क नियंत्रण वाले एक अलग खंडित SSID पर रखें। एक प्रिंटर को समायोजित करने के लिए मुख्य SSID को कमजोर न करें।
प्रोडक्शन SSID को आवश्यक (required) पर स्विच करें। इसे अपने WPA3 या उच्च-आश्वासन SSID पर लागू करें, मिश्रित SSIDs को वैकल्पिक पर रखें, और उसी प्रोफ़ाइल के विरुद्ध प्रत्येक एक्सेस पॉइंट समूह की जांच करें। पुराने सेटिंग्स पर छोड़ा गया एक समूह वह परेशानी भरा दोष उत्पन्न करता है जहां एक डिवाइस रिसेप्शन में काम करता है और ऊपर की मंजिल पर विफल हो जाता है।
लागू करने के बाद दो सप्ताह तक निगरानी रखें। एसोसिएशन विफलताओं और रोमिंग ड्रॉप्स पर नज़र रखें, और अपने पायलट लॉग के साथ उनकी तुलना करें। यदि कोई क्रिटिकल डिवाइस समूह विफल हो जाता है, तो पूरे WLAN को फिर से बनाने के बजाय केवल एकल PMF सेटिंग को बदलकर रोल बैक करें।
एक बार में एक बदलाव महत्वपूर्ण क्यों है: जब PMF ही एकमात्र चीज़ है जिसे आपने बदला है, तो रोलबैक एक प्रोफाइल पर एक सेटिंग है। सिफर, प्रमाणीकरण और PMF को एक साथ बदलें और आपको कभी पता नहीं चलेगा कि इनमें से किसने स्कैनर को खराब किया है।
गो-लाइव के बाद पायलट SSID को सक्रिय रखें। यह आपके अगले डिवाइस रिफ्रेश, अगले फ़र्मवेयर रिलीज़ और अगले SSID के लिए टेस्ट बेड बन जाता है जिसे आप ऐच्छिक से आवश्यक में स्थानांतरित करने की योजना बना रहे हैं। एक रोलआउट जिसे आप शांति से दोहरा सकते हैं, वह सप्ताहांत के किसी एक साहसी बदलाव से कहीं अधिक मूल्यवान है जिसे कोई फिर से छूना नहीं चाहता।
PMF सक्षम करने के बाद विफल कनेक्शनों का निवारण करना
PMF सक्षम करने के बाद अधिकांश विफलताएं टूटी हुई सुरक्षा के कारण नहीं होती हैं। वे बेमेल समस्याएं होती हैं, जैसे PMF समर्थन के बिना कोई क्लाइंट, एक WLAN प्रोफ़ाइल जो एक्सेस पॉइंट समूहों के बीच भिन्न होती है, रोमिंग सेटिंग्स जो सहमत नहीं होती हैं, या एक फ़र्मवेयर अपडेट जिसने बिना किसी चेतावनी के डिफ़ॉल्ट बदल दिया। उस लक्षण से शुरुआत करें जिसे आप देख सकते हैं।
| लक्षण | संभावित कारण | समाधान |
|---|---|---|
| डिवाइस किसी आवश्यक SSID से जुड़ने से मना करता है | क्लाइंट में PMF समर्थन की कमी है या ड्राइवर ने इसे अक्षम कर दिया है | ड्राइवर को अपडेट करें, या डिवाइस को वैकल्पिक SSID पर स्थानांतरित करें |
| डिवाइस एक एक्सेस पॉइंट पर जुड़ता है लेकिन दूसरों पर नहीं | नियंत्रक प्रोफाइल या AP समूहों में अलग-अलग PMF सेटिंग्स | प्रत्येक AP समूह पर WLAN प्रोफाइल को संरेखित करें |
| रोमिंग के दौरान बार-बार कनेक्शन टूटना | क्लाइंट और WLAN के बीच फास्ट ट्रांजिशन सेटिंग्स असहमत हैं | 802.11r सेटिंग्स जांचें और क्लाइंट रोमिंग लॉग की समीक्षा करें |
| फर्मवेयर अपडेट के बाद विफलताएं दिखाई देती हैं | विक्रेता अपडेट ने डिफ़ॉल्ट PMF मोड को बदल दिया | प्रत्येक अपग्रेड के बाद WLAN सुरक्षा सेटिंग की दोबारा जांच करें |
इस नैदानिक क्रम में काम करें
पहले क्लाइंट की जाँच करें। डिवाइस की PMF क्षमता और उसके द्वारा चलाए जा रहे ड्राइवर संस्करण की पुष्टि करें, न कि उस संस्करण की जिसे आपने पिछली तिमाही में तैनात किया था। अपडेट से छूटा एक अकेला लैपटॉप ऐसे टिकट उत्पन्न कर सकता है जो इंफ्रास्ट्रक्चर की खराबी की तरह दिखते हैं।
इसके बाद कंट्रोलर समूहों के बीच WLAN प्रोफ़ाइल की तुलना करें। सुरक्षा प्रोफ़ाइल को निर्यात करें और जांचें कि उस SSID को सेवा देने वाले प्रत्येक एक्सेस प्वाइंट समूह पर PMF मोड, सिफर और प्रमाणीकरण मेल खाते हैं या नहीं। प्रोफ़ाइल विचलन स्थान पर निर्भर अधिकांश विफलताओं की व्याख्या करता है, जहां एक ही डिवाइस भवन के एक हिस्से में काम करता है और दूसरे में विफल हो जाता है।
असफल हैंडओवर के दौरान रोमिंग लॉग की समीक्षा करें। यदि डिवाइस स्थिर होने पर ठीक से जुड़ता है लेकिन चलते ही डिस्कनेक्ट हो जाता है, तो विफलता के समय अपने 802.11r तेज़ ट्रांजिशन सेटिंग्स और क्लाइंट के रोमिंग निर्णयों को देखें। PMF ट्रांजिशन फ्रेम की सुरक्षा करता है, इसलिए वहां की असहमति एक ऐसी रोमिंग के रूप में दिखाई देती है जो कभी पूरी नहीं होती।
दो कम स्पष्ट कारणों पर ध्यान देने की आवश्यकता है। विरासत सुरक्षा के साथ प्रोविज़न किए गए Passpoint प्रोफाइल कनेक्ट हो सकते हैं और फिर ड्रॉप हो सकते हैं, क्योंकि डिवाइस में मौजूद प्रोफाइल अब उससे मेल नहीं खाती जो WLAN अब अपेक्षा करता है। RADIUS प्राधिकरण में परिवर्तन के लिए नियंत्रक समर्थन भी पुनः प्रमाणीकरण को प्रभावित करता है, इसलिए किसी नीति परिवर्तन के बाद विफल होने वाला सत्र जरूरी नहीं कि PMF की खराबी ही हो।
किसी भी बदलाव से पहले, शुरू करने से पहले का एक कॉन्फ़िगरेशन एक्सपोर्ट सुरक्षित रखें। इससे कोई समस्या आने पर याददाश्त से सेटिंग्स को फिर से बनाने के बजाय, केवल एक सिंगल रिस्टोर करना पड़ता है। आपको पता चल जाएगा कि आपने समस्या को ठीक कर दिया है जब आपका पायलट ग्रुप एक पूरे कार्य दिवस के लिए एक साफ़ एसोसिएशन लॉग जनरेट करता है, जिसमें सुबह की भीड़ भी शामिल है जब हर कोई एक साथ आता है, रोम करता है और कॉल से जुड़ता है। एक शांत रविवार के टेस्ट पर सफलता की घोषणा न करें।
Passpoint, OpenRoaming और Purple डिप्लॉयमेंट
PMF सेटिंग्स अलगाव में नहीं रहती हैं। वे आकार देती हैं कि अतिथि और कर्मचारी नेटवर्क तक कैसे पहुंचते हैं, खासकर जहां हर बार Captive Portal के बिना कनेक्शन स्वचालित रूप से होना होता है।
Passpoint, जिसे Hotspot 2.0 या IEEE 802.11u भी कहा जाता है, डिवाइसों को ANQP प्रश्नों का उपयोग करके स्वचालित रूप से एक नेटवर्क की खोज करने और प्रमाणित करने की अनुमति देता है। यह WPA2 या WPA3-Enterprise पर चलता है, इसलिए उस WLAN पर PMF मोड सीधे इस बात को आकार देता है कि जाली-फ्रेम सुरक्षा उन सुचारू कनेक्शनों तक कितनी अच्छी तरह ले जाई जाती है। वैकल्पिक पर छोड़ा गया Passpoint SSID केवल सक्षम क्लाइंट्स की सुरक्षा करता है, ठीक वैसे ही जैसे मैन्युअल रूप से जोड़ा गया SSID करता है। यदि आप उस यात्रा की योजना बना रहे हैं, तो यह समीक्षा करना कि Passpoint प्रमाणीकरण और रोमिंग आपके WLAN सुरक्षा प्रोफ़ाइल के साथ कैसे काम करता है, आपको मेहमानों के आने से पहले बेमेल स्थितियों को पहचानने में मदद करता है।
OpenRoaming Passpoint-शैली प्रोफ़ाइलों पर निर्मित होता है, इसलिए इसके माध्यम से प्रोविज़न किए गए डिवाइस किसी भी अन्य Passpoint क्लाइंट की तरह ही समान सुरक्षा पथ प्राप्त करते हैं। डिवाइस पर प्रोफ़ाइल और आपके WLAN पर PMF सेटिंग का सहमत होना आवश्यक है। जब वे ऐसा नहीं करते हैं, तो विफलता सुरक्षा सेटिंग के बजाय रोमिंग समस्या की तरह दिखती है, यही कारण है कि प्रोफ़ाइल परीक्षण आपके PMF पायलट के बाद के बजाय उसी के अंतर्गत आता है।
Passpoint WLAN पर लागू करने से पहले जांचें
Passpoint WLAN पर आवश्यक PMF सेट करने से पहले, PMF टॉगल से अधिक की पुष्टि करें। संगतता स्थल के कंट्रोलर में RADIUS, चेंज-ऑफ-ऑथराइजेशन और वॉल्ड-गार्डन सपोर्ट पर निर्भर करती है, और इनमें से किसी भी एक में कमी आने पर गेस्ट यात्रा बाधित हो जाएगी, चाहे आपका PMF विकल्प कितना भी सही क्यों न हो। ANQP प्रतिक्रियाओं की पुष्टि करें, नीति परिवर्तन के बाद पुनः ऑथेंटिकेशन का परीक्षण करें, और यह पुष्टि करने के लिए प्रोविज़न किए गए डिवाइस के साथ साइट का दौरा करें कि एक्सेस पॉइंट के बीच रोमिंग बनी हुई है।
हार्डवेयर का प्रश्न कई स्थानों की आशंका से कहीं अधिक सरल है। हम Purple को स्थान के स्वामित्व वाले एक्सेस पॉइंट्स पर एक क्लाउड ओवरले के रूप में चलाते हैं, इसलिए किसी रिप और रिप्लेस की आवश्यकता नहीं है, और PMF बदलाव आपके मौजूदा इंफ्रास्ट्रक्चर पर WLAN प्रोफ़ाइल में होता है। इसका अर्थ है कि आपका पायलट, आपका रोलबैक और आपका प्रवर्तन सभी उस किट पर होते हैं जिसे आप पहले से प्रबंधित करते हैं, जबकि प्रमाणीकरण लेयर इसके ऊपर रहती है।
कर्मचारियों के उपकरणों के लिए भी यही सिद्धांत लागू होता है। Staff WiFi कर्मचारी उपकरणों को प्रबंधित EAP-TLS प्रमाण पत्रों के साथ ऑनबोर्ड करता है, इसलिए सुरक्षा परिवर्तन के बाद घुमाने के लिए कोई साझा पासफ़्रेज़ नहीं है। प्रमाण पत्र और PMF अलग-अलग समस्याओं, पहचान और प्रबंधन-फ्रेम अखंडता को हल करते हैं, और वे WPA3-Enterprise SSID पर पूरी तरह से संयोजित होते हैं। आपका प्लेटफ़ॉर्म जो भी हो, प्रत्येक प्रबंधित SSID के लिए अपने विक्रेता के साथ आवश्यक PMF मोड की पुष्टि करें, इससे पहले कि आप इसे आवश्यक पर स्विच करें, और प्रति SSID सहमत सेटिंग को रिकॉर्ड करें ताकि भविष्य में प्रोफ़ाइल का पुनर्निर्माण इसे चुपचाप पूर्ववत न करे।
पहले उच्च-आश्वासन SSIDs पर PMF लागू करें
PMF वायरलेस सुरक्षा का एक हिस्सा है, बाकी चीज़ों का विकल्प नहीं। यह निर्दिष्ट यूनिकास्ट और मल्टीकास्ट प्रबंधन फ़्रेमों की सुरक्षा करता है, लेकिन यह उपयोगकर्ताओं को प्रमाणित नहीं करता है, WPA2 या WPA3 एन्क्रिप्शन को प्रतिस्थापित नहीं करता है, दुष्ट एक्सेस पॉइंट्स का पता नहीं लगाता है, या किसी खुले गेस्ट नेटवर्क को एन्क्रिप्टेड एंटरप्राइज़ नेटवर्क में परिवर्तित नहीं करता है। UK मार्गदर्शन नया वायरलेस परिनियोजन के लिए WPA3 को पसंदीदा मानक के रूप में पहचानता है और व्यक्तिगत प्रमाणीकरण के आधार पर व्यक्तिगत पासफ़्रेज़ नेटवर्क को एंटरप्राइज़ नेटवर्क से अलग करता है। एंटरप्राइज़ मोड विशेष रूप से बड़े और विनियमित संगठनों के लिए प्रासंगिक है, जैसा कि Wi-Fi Protected Access के लिए उत्तरी आयरलैंड व्यवसाय गाइड में संक्षेप में बताया गया है।
शेष कमियों को दूर करने वाली परतें
- प्रमाणपत्र-आधारित एक्सेस उपकरण और उपयोगकर्ता पहचान को सत्यापित करता है; PMF नहीं करता है।
- गेस्ट, स्टाफ और डिवाइस SSIDs के बीच नेटवर्क अलगाव यह सीमित करता है कि एक समझौता किया गया या पुराना क्लाइंट कहाँ तक पहुँच सकता है।
- रोग-AP पहचान दुष्ट-जुड़वां एक्सेस पॉइंट्स की पहचान करने में मदद करती है जिन्हें PMF हवा से नहीं हटा सकता है।
- एसोसिएशन विफलताओं और डीऑथेंटिकेशन बर्स्ट की घटना निगरानी कॉन्फ़िगरेशन समस्याओं से हमलों को अलग करने में मदद करती है।
प्रत्येक SSID के अनुसार PMF की योजना बनाएं, सुरक्षा आवश्यकता की तुलना उन डिवाइसों से करें जिन्हें कनेक्ट होने की आवश्यकता है। WPA3 6 GHz बैंड में डिवाइसों के लिए बेसलाइन बनता जा रहा है, जिससे संगतता जांच और ट्रांज़िशन योजना को टालना कठिन हो गया है। स्टाफ नेटवर्क पर, Passpoint, xPSK, सर्टिफिकेट WiFi और MDM के माध्यम से WiFi विभिन्न कनेक्शन तरीके प्रदान करते हैं, ताकि आप हर क्लाइंट को एक ही रास्ते पर मजबूर करने के बजाय डिवाइस वर्ग के साथ ऑथेंटिकेशन का मिलान कर सकें।
आपका पायलट पास होने के बाद WPA3-Enterprise और अन्य उच्च-आश्वासन SSIDs पर required PMF सेट करें। जब आप लीगेसी डिवाइस को हटाने की योजना बना रहे हों, तो मिश्रित-मोड SSIDs को optional पर रखें, और किसी भी खुले SSID से स्टाफ ट्रैफ़िक को हटा दें। डिवाइस प्रकार के अनुसार एसोसिएशन परिणामों को रिकॉर्ड करें: इससे आपको इस बात का प्रमाण मिलता है कि कौन से SSIDs required पर जा सकते हैं और कहाँ पुराने क्लाइंट अभी भी संगतता लागत लागू करते हैं।
Purple कर्मचारियों के WiFi के लिए प्रबंधित EAP-TLS प्रमाण पत्र प्रदान करता है, जिससे साझा पासफ़्रेज़ की आवश्यकता नहीं होती जिसे बदलने की आवश्यकता हो। इसका गेस्ट WiFi और स्टाफ एक्सेस स्थल के मौजूदा एक्सेस पॉइंट्स पर एक क्लाउड प्लेटफ़ॉर्म के माध्यम से चलता है। अपने हार्डवेयर और पहचान प्रदाता के आसपास परिनियोजन की योजना बनाने के लिए, Purple पर जाएं।
