आपके नेटवर्क पर शायद पहले से ही आपकी टीम की क्षमता से अधिक पहचानें (identities) मौजूद हैं। कर्मचारियों के लैपटॉप, व्यक्तिगत फोन, प्रिंटर, स्मार्ट टीवी, पीओएस टर्मिनल, स्कैनर, टैबलेट, मेडिकल किट, अतिथि उपकरण, ठेकेदार, निवासी, कियोस्क। समस्या केवल यह नहीं है कि वे कनेक्ट हो सकते हैं या नहीं। बल्कि यह है कि क्या उनमें से प्रत्येक को कनेक्ट होना चाहिए, किससे कनेक्ट होना चाहिए, और किन परिस्थितियों में होना चाहिए।
यहीं पर लोग एक बहुत ही व्यावहारिक प्रश्न पूछना शुरू करते हैं: वास्तव में नेटवर्क एक्सेस कंट्रोल क्या है? वेंडर स्लाइड वाला संस्करण नहीं। ऑपरेशनल संस्करण।
संक्षिप्त उत्तर सरल है। नेटवर्क एक्सेस कंट्रोल (NAC) वह पॉलिसी लेयर है जो यह तय करती है कि कौन और क्या आपके नेटवर्क पर आ सकता है, और फिर एक्सेस का सही स्तर लागू करती है। एक अच्छा NAC डिप्लॉयमेंट केवल यूजरनेम की जांच करके ट्रैफिक को आगे नहीं जाने देता। यह डिवाइस की पहचान करता है, जांच करता है कि यह पॉलिसी को पूरा करता है या नहीं, और इसे नेटवर्क के सही हिस्से में रखता है, या फिर कहीं भी नहीं।
यह अब और भी अधिक महत्वपूर्ण हो गया है क्योंकि यूके के संगठन सघन, हाई-स्पीड, मिश्रित-उपयोग वाले वातावरण से निपट रहे हैं। यूके सरकार के साइबर सिक्योरिटी ब्रीच सर्वे 2024 में पाया गया कि 50% यूके व्यवसायों ने पिछले 12 महीनों में साइबर सुरक्षा उल्लंघन या हमले की सूचना दी, जो बड़े व्यवसायों के लिए 74% तक बढ़ गई ( यूके के उल्लंघन के आंकड़े यहां संदर्भित हैं )। इस संदर्भ में, डिफ़ॉल्ट रूप से WiFi सिग्नल या ईथरनेट पोर्ट वाले किसी भी उपकरण को नेटवर्क पर आने देना मुसीबत को बुलावा देना है।
डिजिटल बाउंसर - हर नेटवर्क को एक्सेस कंट्रोल की आवश्यकता क्यों है
रिसेप्शन डेस्क, टर्नस्टाइल, स्टाफ पास, विज़िटर बैज और प्रतिबंधित मंजिलों वाली एक सुव्यवस्थित इमारत के बारे में सोचें। गार्ड केवल यह नहीं पूछता कि क्या कोई व्यक्ति आया है। वे पहचान, उद्देश्य और उस व्यक्ति को कहाँ जाने की अनुमति दी जानी चाहिए, इसकी जांच करते हैं।
NAC नेटवर्क के लिए यही काम करता है।
एक फ़ायरवॉल अभी भी मायने रखता है, लेकिन यह अपने आप में पर्याप्त नहीं है। फ़ायरवॉल मुख्य रूप से ट्रैफिक प्रवाह को नियंत्रित करता है। NAC प्रवेश (admission) को नियंत्रित करता है। यह उस बिंदु पर काम करता है जहां एक डिवाइस नेटवर्क में शामिल होने का प्रयास करता है और प्रश्नों का एक अलग सेट पूछता है: यह कौन है, यह कौन सा डिवाइस है, क्या यह नियमों के अनुकूल है, और इसे कहां तक पहुंचने की अनुमति दी जानी चाहिए?
पुराना मॉडल क्यों विफल हो जाता है
कई नेटवर्क एक सरल धारणा के आसपास बनाए गए थे। यदि कोई डिवाइस अंदर आने में सफल रहा, तो उस पर व्यापक रूप से भरोसा किया जाता था। यह मॉडल आधुनिक वातावरण में विफल हो जाता है जहां "अंदर" में अनमैनेज्ड फोन, IoT किट, अतिथि ट्रैफिक और अस्थायी उपयोगकर्ता शामिल हैं।
कुछ सामान्य उदाहरण:
- एक ठेकेदार का लैपटॉप उसी वायरलेस एस्टेट से कनेक्ट होता है जिसका उपयोग वित्त विभाग के कर्मचारी करते हैं।
- एक अतिथि उपकरण ऐसे नेटवर्क पर आ जाता है जिसे आंतरिक सेवाओं से स्पष्ट रूप से अलग नहीं किया गया था।
- एक साझा टैबलेट वैध क्रेडेंशियल्स के साथ प्रमाणित होता है, लेकिन इसमें वे नियंत्रण गायब हैं जिनकी आपकी पॉलिसी को आवश्यकता है।
- एक समझौता किया गया एंडपॉइंट (compromised endpoint) सामान्य एक्सेस प्राप्त करता है और नेटवर्क के भीतर अन्य प्रणालियों को खोजना शुरू कर देता है।
इनमें से कोई भी काल्पनिक स्थिति नहीं है। ये सामान्य परिचालन वास्तविकताएं हैं।
व्यावहारिक नियम: यदि आप नेटवर्क के किनारे (edge) पर एक्सेस का निर्णय नहीं ले सकते हैं, तो आप नेटवर्क के भीतर गहराई में जाकर विश्वास (trust) संबंधी समस्याओं को ठीक करने का प्रयास करेंगे, जहां उन्हें नियंत्रित करना अधिक कठिन होता है।
यूके के संदर्भ में, यही कारण है कि NAC स्वाभाविक रूप से एक Zero Trust network access approach के साथ फिट बैठता है। आप यह मानना बंद कर देते हैं कि स्थान का अर्थ विश्वास है। परिसर में होने, SSID पर होने, या तार (wire) से जुड़े होने का मतलब यह नहीं है कि किसी उपयोगकर्ता या डिवाइस को व्यापक एक्सेस मिलनी चाहिए।
व्यवहार में NAC क्या बदलता है
NAC जो सबसे बड़ा बदलाव लाता है वह यह है: कनेक्शन का अर्थ विश्वास नहीं है।
डिवाइसेस को व्यापक पहुंच देने और समस्याओं को सुलझाने के लिए डाउनस्ट्रीम नियंत्रणों पर भरोसा करने के बजाय, NAC निम्न कार्य कर सकता है:
- सामान्य एक्सेस दिए जाने से पहले उपयोगकर्ताओं और डिवाइसेस को प्रमाणित (authenticate) करना
- एंडपॉइंट्स को प्रोफाइल करना ताकि अज्ञात या अप्रबंधित उपकरण सामान्य नेटवर्क में शामिल न हो सकें
- भूमिका-आधारित एक्सेस लागू करना ताकि कर्मचारी, अतिथि और डिवाइसेस एक ही नेटवर्क अनुभव साझा न करें
- गैर-अनुपालन प्रणालियों को क्वारंटीन करना बजाय इसके कि उन्हें उत्पादन परिसंपत्तियों के साथ मिलने दिया जाए
यह NAC को एक अग्रिम पंक्ति का नियंत्रण बनाता है, न कि बाद में सफाई करने वाली परत। यह विशेष रूप से उन जगहों पर उपयोगी है जहां बहुत से लोग और डिवाइसेस एक ही भौतिक बुनियादी ढांचे को साझा करते हैं, लेकिन उन्हें कभी भी एक ही विश्वास स्तर साझा नहीं करना चाहिए।
NAC के मुख्य घटकों को समझना
NAC जटिल लग सकता है क्योंकि कई प्रणालियां एक साथ काम करती हैं। एक उपयोगी मानसिक मॉडल एक शहर की स्वचालित यातायात प्रणाली है। एक प्रणाली नियमों का फैसला करती है, एक सत्यापित करती है कि किसे जाने की अनुमति है, और एक जमीन पर बाधाओं और लेन परिवर्तनों को नियंत्रित करती है।
वे घटक हैं पॉलिसी इंजन, प्रमाणीकरण सर्वर (authentication server), और प्रवर्तन बिंदु (enforcement point)।
पॉलिसी इंजन
यह निर्णय लेने वाला घटक है। यह उपयोगकर्ता, डिवाइस, स्थान, कनेक्शन के प्रकार और स्थिति के बारे में इनपुट लेता है, और फिर उन्हें एक एक्सेस परिणाम के साथ मैप करता है।
सरल शब्दों में, पॉलिसी इंजन इस तरह के सवालों के जवाब देता है:
- क्या यह एक कर्मचारी का लैपटॉप है, एक अतिथि का फोन है, या एक प्रिंटर है?
- क्या उपयोगकर्ता सही समूह में है?
- क्या यह डिवाइस ज्ञात और अनुपालन करने वाला है?
- क्या इस सत्र को पूर्ण एक्सेस, केवल-इंटरनेट एक्सेस, या सुधारात्मक एक्सेस मिलनी चाहिए?
पॉलिसी इंजन महत्वपूर्ण है क्योंकि NAC केवल एक ऑथेंटिकेशन जांच नहीं है। यह एक पॉलिसी प्रवर्तन प्रणाली (policy enforcement system) है। दो लोग वैध पहचान प्रस्तुत कर सकते हैं और फिर भी उन्हें अलग-अलग नेटवर्क पथ मिल सकते हैं क्योंकि पॉलिसी इंजन संदर्भ को अलग तरह से देखता है।
ऑथेंटिकेशन सर्वर
यह पहचान सत्यापनकर्ता है। कई परिवेशों में, इसका अर्थ RADIUS है, जो अक्सर निर्देशिका और पहचान प्रणालियों से जुड़ा होता है।
जब कोई डिवाइस कनेक्ट करने का प्रयास करता है, तो ऑथेंटिकेशन सर्वर प्रस्तुत क्रेडेंशियल या प्रमाणपत्र की जांच करता है और अनुमोदन, अस्वीकृति, या अतिरिक्त विशेषताओं के साथ प्रतिक्रिया देता है जिनका नेटवर्क उपयोग कर सकता है। उन विशेषताओं में भूमिका, VLAN असाइनमेंट, या एक्सेस शर्तें शामिल हो सकती हैं।
गैर-विशेषज्ञों के बीच एक आम गलतफहमी यह है कि NAC और RADIUS एक ही चीज हैं। वे नहीं हैं। RADIUS आमतौर पर वर्कफ़्लो का हिस्सा होता है। NAC उस वर्कफ़्लो का उपयोग करता है, फिर उसके ऊपर पॉलिसी और प्रवर्तन को लागू करता है।
एक स्वस्थ NAC डिज़ाइन पहचान के प्रमाण को एक्सेस के इरादे से अलग करता है। ऑथेंटिकेशन बताता है कि यह कौन है। NAC यह तय करता है कि वह पहचान इस नेटवर्क पर, इस सेशन में क्या कर सकती है।
प्रवर्तन बिंदु (Enforcement point)
नेटवर्क अपने प्रवर्तन कार्य को निष्पादित करता है। प्रवर्तन बिंदु आमतौर पर स्विच, वायरलेस कंट्रोलर, या एक्सेस पॉइंट होता है जो कनेक्टिविटी प्रदान करता है, प्रतिबंधित करता है, या अस्वीकार करता है।
यदि पॉलिसी कहती है "केवल इंटरनेट", तो प्रवर्तन बिंदु एंडपॉइंट को गेस्ट VLAN या प्रतिबंधित भूमिका में भेज सकता है। यदि पॉलिसी कहती है "क्वारंटाइन", तो एंडपॉइंट को अलग कर दिया जाता है। यदि पॉलिसी कहती है "अस्वीकार करें", तो यह कहीं नहीं जा पाता।
एक सरल दृश्य इस प्रकार दिखता है:
| घटक | मुख्य कार्य | विशिष्ट उदाहरण |
|---|---|---|
| पॉलिसी इंजन | एक्सेस लॉजिक लागू करता है | NAC प्लेटफॉर्म |
| ऑथेंटिकेशन सर्वर | पहचान सत्यापित करता है | RADIUS सेवा |
| प्रवर्तन बिंदु | नेटवर्क एक्सेस बदलता है | स्विच, AP, कंट्रोलर |
परिचालन की दृष्टि से जो मायने रखता है वह इन घटकों के बीच का हैंडऑफ है। यदि पहचान डेटा कमजोर है, तो पॉलिसी केवल एक अनुमान बन जाती है। यदि प्रवर्तन कमजोर है, तो पॉलिसी सिर्फ दिखावा बन जाती है।
NAC प्रकारों और प्रवर्तन तंत्रों की खोज
हर NAC परिनियोजन एक जैसा व्यवहार नहीं करता है। कुछ नियंत्रण डिवाइस को सार्थक एक्सेस मिलने से पहले होते हैं। अन्य कनेक्शन के बाद भी जारी रहते हैं और स्थितियां बदलने पर एक्सेस को समायोजित करते हैं। सर्वोत्तम कार्यान्वयन आमतौर पर दोनों को जोड़ते हैं।
UK एंटरप्राइज नेटवर्क में, NAC को अक्सर IEEE 802.1X और RADIUS के आसपास एक पॉलिसी प्रवर्तन परत के रूप में लागू किया जाता है, जहां स्विच या वायरलेस कंट्रोलर डिजिटल दरवाजे पर एक डिवाइस को रोकता है और RADIUS का उपयोग करके क्रेडेंशियल्स और हेल्थ की जांच करता है, इससे पहले कि NAC यह तय करे कि उस डिवाइस को एक विशिष्ट VLAN, प्रतिबंधित नेटवर्क में रखा जाना चाहिए, या पूरी तरह से अस्वीकार कर दिया जाना चाहिए ( 802.1X और RADIUS के साथ NAC का तकनीकी अवलोकन )।
प्री-एडमिशन और पोस्ट-एडमिशन
प्री-एडमिशन कंट्रोल अधिक स्पष्ट मॉडल है। वास्तविक एक्सेस मिलने से पहले डिवाइस पहचान साबित करता है और पॉलिसी को पूरा करता है। यदि यह विफल रहता है, तो नेटवर्क इसे ब्लॉक कर सकता है या इसे एक कड़ाई से सीमित सेगमेंट में रख सकता है।
पोस्ट-एडमिशन कंट्रोल यह मानकर चलता है कि शुरुआती कनेक्शन ही पूरी कहानी नहीं है। लॉगिन के बाद डिवाइस अनुपालन से बाहर हो सकते हैं, खाते बदल सकते हैं, और व्यवहार संदिग्ध हो सकता है। पोस्ट-एडमिशन कंट्रोल NAC को सत्र के दौरान एक्सेस का पुनर्मूल्यांकन करने और उसे कड़ा करने की अनुमति देता है।
एक व्यावहारिक तुलना:
| दृष्टिकोण | यह क्या अच्छा करता है | यह कहाँ संघर्ष कर सकता है |
|---|---|---|
| प्री-एडमिशन | खराब एक्सेस को जल्दी रोकता है | विरासत (legacy) और अप्रबंधित उपकरणों के साथ कठिन |
| POST-admission | बदलती परिस्थितियों पर प्रतिक्रिया करता है | अच्छी दृश्यता और स्पष्ट ट्रिगर्स की आवश्यकता होती है |
टीमें अक्सर पहले गेट पर अत्यधिक ध्यान केंद्रित करती हैं और सत्र नियंत्रण को भूल जाती हैं। यह एक गलती है। सुबह 9 बजे जो डिवाइस स्वीकार्य था, वह बाद में स्वीकार्य नहीं हो सकता है यदि उसकी स्थिति बदलती है या जोखिम का संदर्भ बदल जाता है।
एजेंट-आधारित और एजेंट रहित
कुछ NAC प्लेटफॉर्म सुरक्षा स्थिति की अधिक विश्वसनीय रूप से रिपोर्ट करने के लिए एंडपॉइंट पर एक एजेंट का उपयोग करते हैं। यह प्रबंधित स्टाफ लैपटॉप और अन्य कॉर्पोरेट उपकरणों के लिए उपयोगी हो सकता है।
अन्य परिदृश्यों में एजेंट रहित तकनीकों की आवश्यकता होती है। गेस्ट फोन, उपभोक्ता उपकरण, और कई IoT एंडपॉइंट आपके एजेंट को नहीं ले जाएंगे, और किसी को मजबूर करने से आमतौर पर मूल्य से अधिक घर्षण पैदा होता है। उन मामलों में, प्रोफाइलिंग, प्रमाणपत्र जांच, पोर्टल प्रवाह, या नेटवर्क मेटाडेटा अधिक यथार्थवादी होते हैं।
कोई भी मॉडल सार्वभौमिक रूप से बेहतर नहीं है। सही सवाल यह है कि आपके पास कौन से डिवाइस वर्ग हैं, और उनमें से आप किन्हें नियंत्रित करते हैं।
प्रवर्तन उपकरण जो मायने रखते हैं
जब लोग पूछते हैं कि नेटवर्क एक्सेस कंट्रोल क्या है, तो वे अक्सर एक ही तंत्र की उम्मीद करते हैं। वास्तव में, NAC प्रवर्तन विधियों का एक संग्रह है।
कुछ सबसे आम:
802.1X
पोर्ट-आधारित एक्सेस कंट्रोल का मानक। जब डिवाइस इसे ठीक से सपोर्ट कर सकते हैं, तो यह पसंदीदा तरीका है, क्योंकि यह आपको वायर्ड और वायरलेस नेटवर्क पर मजबूत पहचान-आधारित प्रवेश देता है।डायनामिक VLAN असाइनमेंट
NAC पॉलिसी के आधार पर यूजर्स और डिवाइसेज को अलग-अलग VLAN में रख सकता है। एक ही स्विच पोर्ट या SSID, लेकिन अलग नेटवर्क परिणाम।भूमिका-आधारित एक्सेस कंट्रोल
एक फाइनेंस लैपटॉप, एक गेस्ट हैंडसेट, और एक प्रिंटर को समान ट्रस्ट स्तर नहीं मिलना चाहिए। RBAC पॉलिसी को केवल कनेक्शन लोकेशन के बजाय जॉब फंक्शन और डिवाइस प्रकार को दर्शाने की अनुमति देता है।क्वारंटाइन नेटवर्क
यह तब उपयोगी होता है जब कोई डिवाइस ज्ञात हो लेकिन अनुपालन न कर रहा हो। सब-कुछ-या-कुछ-नहीं वाले निर्णय के बजाय, NAC इसे ऐसी जगह रख सकता है जहाँ यह संवेदनशील सिस्टम तक पहुँचे बिना समस्या का समाधान कर सके।MAC ऑथेंटिकेशन बाईपास
इसका उपयोग अक्सर उन डिवाइसेज के लिए किया जाता है जो 802.1X नहीं कर सकते, जैसे कि कुछ प्रिंटर, स्कैनर, या विशेषज्ञ किट। यह काम करता है, लेकिन यह सर्टिफिकेट या यूजर-आधारित तरीकों की तुलना में कमजोर है, इसलिए इसके आसपास सख्त पॉलिसी की आवश्यकता होती है।Captive Portals और वेब ऑथेंटिकेशन
गेस्ट एक्सेस एनवायरनमेंट में सामान्य। अस्थायी पहुंच के लिए ठीक है, लेकिन बार-बार आने वाले यूजर्स के लिए असुविधाजनक है और स्टाफ या विश्वसनीय डिवाइसेज के लिए दीर्घकालिक समाधान के रूप में आदर्श नहीं है।
प्लेटफ़ॉर्म विकल्पों की समीक्षा करने वाले संगठनों के लिए, केवल मुख्य फीचर सूचियों के बजाय इस आधार पर network access control solutions की तुलना करना मददगार होता है कि वे इनमें से किस एन्फोर्समेंट पैटर्न को अच्छी तरह से सपोर्ट करते हैं।
NAC आपके मौजूदा IT स्टैक के साथ कैसे एकीकृत होता है
NAC तब सबसे अधिक उपयोगी होता है जब यह अकेले काम नहीं कर रहा होता है। अपने आप में, यह एक कनेक्शन रिक्वेस्ट की जांच कर सकता है और एक स्थानीय नियम लागू कर सकता है। ठीक से एकीकृत होने पर, यह पहचान, डिवाइस ट्रस्ट और ऑपरेशनल कॉन्टेक्स्ट द्वारा संचालित एक एक्सेस डिसीजन पॉइंट बन जाता है।
यह निर्णय की गुणवत्ता को बदल देता है।
पहचान प्लेटफ़ॉर्म और डायरेक्ट्रीज
अधिकांश संगठन यह नहीं चाहते कि NAC यूजर्स और रोल्स का एक अलग यूनिवर्स बनाए रखे। वे चाहते हैं कि यह उन सिस्टम्स से जुड़ा हो जो पहले से ही वर्कफोर्स की पहचान को परिभाषित कर रहे हैं। व्यवहार में, इसका आमतौर पर मतलब Microsoft Entra ID, Google Workspace, Okta, या मौजूदा डायरेक्ट्री सर्विसेज के साथ एकीकृत होना है।
यह NAC को अधिक उपयोगी प्रश्न पूछने की अनुमति देता है:
- क्या यह यूजर वर्तमान और एक्टिव है?
- वे किस ग्रुप या रोल में हैं?
- क्या एक्सेस को मुख्य रूप से निरस्त कर दिया गया है?
- क्या इस व्यक्ति को स्टाफ, ठेकेदार, गेस्ट या निवासी के रूप में माना जाना चाहिए?
जब एक्सेस पॉलिसी डायरेक्टरी ट्रुथ का पालन करती है, तो ऑनबोर्डिंग और ऑफबोर्डिंग काफी आसान हो जाती है। यदि HR-संचालित पहचान परिवर्तन एक्सेस निर्णयों में प्रवाहित होते हैं, तो नेटवर्क आपके कंट्रोल प्लेन से पीछे नहीं रहता है।
प्रमाणपत्र, पॉस्चर और पासवर्ड रहित एक्सेस
सबसे मजबूत NAC परिवेश SSIDs के आस-पास तैरने वाले साझा पासवर्ड या बहुत लंबे समय तक रहने वाले स्थिर क्रेडेंशियल्स पर निर्भर नहीं होते हैं। वे एंडपॉइंट की पहचान करने के लिए प्रमाणपत्रों और डिवाइस ट्रस्ट सिग्नलों का उपयोग करते हैं।
यह इसलिए मायने रखता है क्योंकि एक यूजर अकाउंट कहानी का केवल एक हिस्सा बताता है। किसी अज्ञात डिवाइस पर एक वैध यूजर अभी भी एक जोखिम का प्रश्न है।
फ़ील्ड सलाह: यदि आपके कर्मचारियों की एक्सेस अभी भी साझा WiFi पासवर्ड पर निर्भर है, तो आपके पास कोई सार्थक एडमिशन कंट्रोल नहीं है। आपके पास केवल एक सुविधा सेटिंग है।
यह वह जगह भी है जहाँ NAC आधुनिक पासवर्ड रहित नेटवर्किंग के साथ ओवरलैप करना शुरू करता है। पहचान-आधारित एक्सेस पुराने कैप्टिव पोर्टल अनुभव से आगे बढ़ सकती है। गेस्ट और वेन्यू परिवेशों के लिए, OpenRoaming और Passpoint जैसी तकनीकें कम घर्षण के साथ सुरक्षित, स्वचालित कनेक्शन की दिशा में आगे बढ़ती हैं। एक्सेस के लिए अभी भी पॉलिसी की आवश्यकता होती है। इसे बस पुरानी, अजीब यूजर यात्रा की आवश्यकता नहीं होती है।
NAC एक्शन में - सामान्य उपयोग के मामले
NAC तब अधिक समझ में आता है जब आप उन परिचालन समस्याओं को देखते हैं जिन्हें यह हल करता है। पॉलिसी इंजन और RADIUS फ्लो मायने रखते हैं, लेकिन अधिकांश खरीदार एक बात की परवाह करते हैं: क्या यह यूजर अनुभव को तोड़े बिना नियंत्रण में सुधार करता है?
हॉस्पिटैलिटी
होटल ओवरलैपिंग ट्रस्ट ज़ोन से भरे होते हैं। गेस्ट के फोन और लैपटॉप को इंटरनेट एक्सेस की आवश्यकता होती है। स्टाफ डिवाइसों को परिचालन प्रणालियों तक एक्सेस की आवश्यकता होती है। टीवी, डोर सिस्टम, कियोस्क और बैक-ऑफिस उपकरणों को कनेक्टिविटी की आवश्यकता होती है, लेकिन डिफॉल्ट रूप से एक-दूसरे से नहीं।
एक अच्छा NAC डिज़ाइन उन वर्गों को स्पष्ट रूप से अलग करता है, भले ही वे एक ही भौतिक बुनियादी ढांचे को साझा करते हों। गेस्ट को सरल ऑनबोर्डिंग और इंटरनेट एक्सेस मिलता है। स्टाफ डिवाइस संगठन के पहचान स्टैक के विरुद्ध प्रमाणित होते हैं। परिचालन उपकरण कड़ाई से सीमित सेगमेंट में आते हैं।
जो काम नहीं करता है वह इसका आलसी संस्करण है। एक व्यापक SSID, एक पासवर्ड, और "हम संवेदनशील हिस्सों को कहीं और रखेंगे"। हॉस्पिटैलिटी में, यह आमतौर पर समस्या निवारण के दर्द और अस्पष्ट जवाबदेही में बदल जाता है।
रिटेल
रिटेल परिवेशों में अक्सर सार्वजनिक WiFi, स्टाफ टैबलेट, POS सिस्टम, स्कैनर, डिजिटल साइनेज और वेंडर-रखरखाव वाले उपकरण मिक्स होते हैं। यदि NAC स्थापित नहीं है, तो दुकानों में ऐसे सिस्टम हो सकते हैं जो केवल इसलिए एक-दूसरे पर भरोसा करते हैं क्योंकि वे पास में हैं।
यहाँ उच्च-मूल्य वाला नियंत्रण सेगमेंटेड एडमिशन है। POS सिस्टम को केवल उसी चीज़ से बात करनी चाहिए जिसकी उन्हें आवश्यकता है। गेस्ट ट्रैफ़िक को कभी भी अंतर्निहित विश्वास वाला पड़ोसी नहीं होना चाहिए। वेंडर किट की पहचान की जानी चाहिए और उसे सीमित किया जाना चाहिए।
एक अच्छा रिटेल NAC सेटअप परिचालन संबंधी अस्पष्टता को भी कम करता है। जब नेटवर्क पर कुछ अजीब दिखाई देता है, तो टीम ट्रेडिंग घंटों के बीच में कुछ नया सोचने के बजाय इसे तेजी से वर्गीकृत कर सकती है और एक ज्ञात नीति लागू कर सकती है।
Healthcare
Healthcare वह क्षेत्र है जहाँ NAC जल्दी ही अपनी उपयोगिता साबित करता है। संपत्तियों में क्लीनिशियन, एडमिन स्टाफ, मेहमान, कॉन्ट्रैक्टर, अप्रबंधित मेडिकल डिवाइस और पुराने विशेषज्ञ उपकरण शामिल होते हैं जो हमेशा आधुनिक ऑथेंटिकेशन का स्पष्ट रूप से समर्थन नहीं कर सकते।
NCSC से UK सार्वजनिक-क्षेत्र का मार्गदर्शन NAC सिद्धांतों के साथ संरेखित है, जो संगठनों को Zero Trust मानसिकता अपनाने, पहुंच प्रदान करने से पहले प्रत्येक उपयोगकर्ता और डिवाइस को सत्यापित करने और समझौते के प्रभाव को सीमित करने के लिए सेगमेंटेशन का उपयोग करने की सलाह देता है ( Zero Trust and NAC alignment in UK public-sector guidance )।
अस्पतालों और क्लीनिकों में, कठिन हिस्सा थ्योरी नहीं है। यह पूरी संपत्ति में ट्रस्ट को कम किए बिना मिश्रित डिवाइस श्रेणियों को संभालना है।
मल्टी-टेनेंट आवासीय और छात्र आवास
आवासीय ऑपरेटरों को एक ऐसे नेटवर्क मॉडल की आवश्यकता होती है जो निवासियों के लिए सरल लगे लेकिन पर्दे के पीछे अलग रहे। एक निवासी को केवल इसलिए दूसरे निवासी के उपकरणों को खोजने में सक्षम नहीं होना चाहिए क्योंकि वे एक ही बिल्डिंग इंफ्रास्ट्रक्चर पर हैं।
इन स्थितियों में NAC नीतियां, निजी नेटवर्क असाइनमेंट और iPSK जैसे दृष्टिकोण उपयोगिता प्रदान करते हैं। निवासियों को घर जैसा अनुभव मिलता है। पुराने डिवाइस अभी भी कनेक्ट हो सकते हैं। ऑपरेटर अलगाव और नियंत्रण बनाए रखता है।
यह उद्यम कार्यालय NAC की तुलना में एक बहुत ही अलग समस्या है, लेकिन समान प्रवेश तर्क लागू होता है। पहचान, डिवाइस का प्रकार और नीति यह तय करती है कि उस उपयोगकर्ता के लिए नेटवर्क क्या बनता है।
परिनियोजन के सर्वोत्तम तरीके और ROI विचार
अधिकांश NAC विफलताओं का कारण कमजोर तकनीक नहीं है। वे महत्वाकांक्षी नीति, अव्यवस्थित संपत्ति और टीमों द्वारा बहुत जल्दी बहुत अधिक लागू करने का प्रयास करने के कारण होती हैं।
एक बेहतर दृष्टिकोण अनुशासित और थोड़ा उबाऊ है। नेटवर्क सुरक्षा में आमतौर पर इसे एक प्रशंसा माना जाता है।
क्या काम करता है
ब्लॉक करने से पहले निरीक्षण से शुरुआत करें। जहाँ संभव हो NAC को मॉनिटरिंग या कम-प्रभाव वाले मोड में चलाएं, डिवाइस प्रकारों का एक वास्तविक दृष्टिकोण बनाएं, फिर चरणों में नीतियों को कड़ा करें।
एक उपयोगी क्रम इस प्रकार दिखता है:
इन्वेंट्री पहले
जानें कि क्या कनेक्ट हो रहा है। संगठन अक्सर अपेक्षा से अधिक अप्रबंधित या गलत वर्गीकृत उपकरणों की खोज करते हैं।सरल नीति से शुरुआत करें
शुरुआती मॉडल के लिए कॉर्पोरेट प्रबंधित डिवाइस, मेहमान, प्रिंटर और अज्ञात डिवाइस पर्याप्त हैं। आप बाद में इसमें बारीकियां जोड़ सकते हैं।अपवादों के लिए स्पष्ट रूप से योजना बनाएं
लेगेसी डिवाइस, क्लिनिकल उपकरण, विशेषज्ञ IoT और सुविधाओं के सिस्टम को एक मार्ग की आवश्यकता होती है। यह दिखावा करना कि वे साफ-सुथरे मॉडल में फिट हो जाएंगे, समय की बर्बादी है।वायर्ड और वायरलेस को एक साथ संभालें
यदि नीति WiFi पर मजबूत है और स्विच पोर्ट पर कमजोर है, तो लोग कमजोर कड़ी को ढूंढ लेंगे।
UK गोपनीयता और अनुपालन डिजाइन का हिस्सा हैं
NAC लेखों में अक्सर इस हिस्से को छोड़ दिया जाता है, लेकिन UK में यह मायने रखता है। NAC डिवाइस और उपयोगकर्ता विशेषताओं को एकत्र और मूल्यांकन करता है, और इससे गवर्नेंस से जुड़े प्रश्न पैदा होते हैं। डेटा न्यूनीकरण और स्टोरेज सीमा से संबंधित UK GDPR सिद्धांतों के तहत, संगठनों को एक परिभाषित उद्देश्य के लिए केवल वही एकत्र करना चाहिए जिसकी उन्हें आवश्यकता है और इसे केवल तब तक रखना चाहिए जब तक आवश्यक हो। इसका मतलब है कि NAC डिजाइन को यह परिभाषित करना चाहिए कि एक्सेस निर्णयों के लिए कौन सी विशेषताएं आवश्यक हैं, क्या लॉग किया जाता है, कितने समय तक लॉग को सुरक्षित रखा जाता है, और सुरक्षा डेटा को मार्केटिंग या एनालिटिक्स उपयोग से कैसे अलग किया जाता है ( NAC और गोपनीयता-बाय-डिजाइन विचारों की UK-केंद्रित चर्चा )।
यह NAC को समस्याग्रस्त नहीं बनाता है। इसका केवल इतना मतलब है कि डेटा मॉडल को अनुशासन की आवश्यकता है।
NAC को हर उपलब्ध पहचान और डिवाइस विशेषता को समेटने वाले वैक्यूम क्लीनर के रूप में न बनाएं। इसे एक उचित साक्ष्य सेट के साथ निर्णय प्रणाली के रूप में बनाएं।
ROI केवल उल्लंघन में कमी लाने से कहीं अधिक व्यापक है
सुरक्षा खरीदार अक्सर निवेश पर रिटर्न (ROI) के बारे में पूछते हैं और फिर इसे बहुत संकीर्ण रूप से फ्रेम करते हैं। मूल्य केवल यह नहीं है कि "क्या NAC ने किसी घटना को रोका"। यह दैनिक संचालन में भी दिखाई देता है।
रिटर्न के सामान्य क्षेत्रों में शामिल हैं:
- कम सहायता संबंधी परेशानियां क्योंकि कर्मचारी और मेहमान अधिक निरंतरता के साथ सही एक्सेस स्थिति में आते हैं
- तेजी से समस्या निवारण क्योंकि नेटवर्क के पास अधिक स्पष्ट पहचान और नीति संदर्भ होता है
- अधिक स्पष्ट ऑफबोर्डिंग जब पहुंच केंद्रीय पहचान और प्रमाणपत्र स्थिति पर निर्भर करती है
- कम मैन्युअल अपवाद हैंडलिंग एक बार जब दोहराए जाने योग्य भूमिकाएं और डिवाइस श्रेणियां ठीक से मैप हो जाती हैं
यह वह जगह भी है जहां क्लाउड-प्रबंधित और पहचान-प्रथम विकल्प समझदारी भरे हो सकते हैं। कुछ संगठन अभी भी स्थानीय RADIUS और स्विचिंग से जुड़े ऑन-प्रिमाइसेस NAC चाहते हैं। अन्य कम इंफ्रास्ट्रक्चर ओवरहेड पसंद करते हैं। Purple की नेटवर्क और वायरलेस सुरक्षा सेवाएं जैसे प्लेटफॉर्म साझा पासवर्ड और अत्यधिक मैन्युअल गेस्ट फ्लो के पुराने परिचालन बोझ के बिना पहचान-संचालित एक्सेस, पासवर्ड रहित वर्कफ़्लो और विक्रेता एकीकरण को जोड़कर बाद के पैटर्न में फिट होते हैं।
एक्सेस का भविष्य - NAC से पहचान नेटवर्किंग तक
पारंपरिक NAC अभी भी महत्वपूर्ण है। यह वह प्रवेश परत बनी हुई है जो नेटवर्क को बताती है कि किसे और क्या विश्वसनीय माना जाना चाहिए, किन परिस्थितियों में, और किस स्तर के एक्सेस के साथ।
लेकिन NAC के आस-पास का उपयोगकर्ता अनुभव बदल रहा है।
जनवरी 2024 तक, 96% UK परिसरों के पास गीगाबिट-सक्षम ब्रॉडबैंड तक पहुंच थी ( यहाँ UK कनेक्टिविटी अपडेट नोट किया गया है )। उस स्तर की कनेक्टिविटी का अर्थ है अधिक डिवाइस, अधिक सेशन, और अधिक उम्मीद कि एक्सेस तुरंत मिलना चाहिए। साझा पासवर्ड, असुविधाजनक Captive Portal और मैन्युअल अपवादों का पुराना मॉडल उस वातावरण में अच्छी तरह से स्केल नहीं करता है।
यात्रा की दिशा पहचान नेटवर्किंग (identity networking) की ओर है। एक्सेस का निर्णय अभी भी NAC सिद्धांतों का पालन करता है, लेकिन कार्यान्वयन अधिक निर्बाध हो जाता है। कर्मचारी पहचान-समर्थित, प्रमाणपत्र-ग्रेड ट्रस्ट के साथ प्रमाणित होते हैं। अतिथि उन मानकों के माध्यम से जुड़ते हैं जो घर्षण को कम करते हैं और पहले पैकेट से एन्क्रिप्शन में सुधार करते हैं। मल्टी-टेनेंट और मिश्रित-उपयोग वाले स्थानों को प्रत्येक उपयोगकर्ता को लॉगिन चरणों से परेशान किए बिना अलगाव मिलता है।
आज नेटवर्क एक्सेस कंट्रोल क्या है, इसका वर्तमान उत्तर यही है। अब यह केवल एक लीगेसी गेटकीपर नहीं रह गया है। यह पासवर्ड रहित, पहचान-संचालित एक्सेस की नींव है जो एक ही समय में सुरक्षित, खंडित और उपयोग करने योग्य हो सकती है।
Purple संगठनों को साझा पासवर्ड और Captive Portal को मेहमानों, कर्मचारियों और मल्टी-टेनेंट वातावरण के लिए सुरक्षित, पासवर्ड रहित एक्सेस से बदलकर बुनियादी WiFi एक्सेस से पहचान-आधारित नेटवर्किंग पर जाने में मदद करता है। यदि आप मूल्यांकन कर रहे हैं कि NAC सिद्धांत OpenRoaming, Passpoint, प्रमाणपत्र-आधारित कर्मचारी एक्सेस, या अलग निवासी कनेक्टिविटी का समर्थन कैसे कर सकते हैं, तो Purple समीक्षा करने के लिए एक प्लेटफ़ॉर्म है।
