कॉरपोरेट नेटवर्क के लिए 802.1X Authentication की पूरी जानकारी

कॉर्पोरेट नेटवर्क के लिए 802.1X प्रमाणीकरण की व्याख्या। एक Purple WiFi इंटेलिजेंस ब्रीफिंग। स्वागत है। यदि आप एक बहु-स्थान संगठन में नेटवर्क सुरक्षा के लिए जिम्मेदार हैं - चाहे वह कोई होटल समूह हो, कोई रिटेल चेन हो, कोई स्टेडियम हो, या सार्वजनिक क्षेत्र की कोई संपत्ति हो - तो यह ब्रीफिंग आपके लिए है। अगले दस मिनटों में, हम 802.1X प्रमाणीकरण के बारे में वह सब कुछ कवर करने जा रहे हैं जो आपको जानना आवश्यक है: यह क्या है, यह हुड के नीचे कैसे काम करता है, इसे ठीक से कैसे तैनात किया जाए, और वे कमियां जो अधिकांश संगठनों को परेशान करती हैं। आइए इसमें गहराई से चलें। धारा एक: संदर्भ और यह अभी क्यों महत्वपूर्ण है। कॉर्पोरेट WiFi के लिए सुरक्षा खतरों का परिदृश्य नाटकीय रूप से बदल गया है। प्री-शेयर्ड की नेटवर्क - वह प्रकार जहां हर कोई WiFi पासवर्ड जानता है - अब विनियमित वातावरण में स्टाफ नेटवर्क के लिए स्वीकार्य नहीं हैं। PCI-DSS संस्करण 4.0 के तहत, जो 2024 में पूरी तरह से प्रभावी हो गया, भुगतान कार्ड डेटा को संभालने वाले संगठनों को किसी भी नेटवर्क पर मजबूत एक्सेस नियंत्रण लागू करना होगा जो कार्डधारक डेटा वातावरण को छूता है। GDPR व्यक्तिगत डेटा ले जाने वाले किसी भी नेटवर्क पर समान दायित्व रखता है। और हाइब्रिड वर्किंग का मतलब है कि कर्मचारी दर्जनों स्थानों पर प्रबंधित और अप्रबंधित उपकरणों से जुड़ रहे हैं, पुराना परिधि मॉडल बस काम नहीं करता है। 802.1X IEEE मानक है जो इसे हल करता है। यह पोर्ट-आधारित नेटवर्क एक्सेस नियंत्रण प्रदान करता है - जिसका अर्थ है कि कोई डिवाइस तब तक नेटवर्क में शामिल नहीं हो सकता जब तक कि उसे एक केंद्रीय पहचान स्टोर के विरुद्ध प्रमाणित न कर दिया जाए। केवल एक साझा पासवर्ड नहीं। एक वास्तविक सत्यापित पहचान। यही बुनियादी बदलाव है। धारा दो: तकनीकी गहन विश्लेषण। आइए आर्किटेक्चर को समझें। 802.1X तीन भूमिकाओं को परिभाषित करता है। सप्लीकेंट - वह अंतिम उपकरण है, लैपटॉप या स्मार्टफोन जो कनेक्ट करने का प्रयास कर रहा है। ऑथेंटिकेटर - वह वायरलेस एक्सेस पॉइंट या नेटवर्क स्विच है। और ऑथेंटिकेशन सर्वर - जो लगभग हर एंटरप्राइज डिप्लॉयमेंट में एक RADIUS सर्वर होता है। यहाँ बताया गया है कि हैंडशेक कैसे काम करता है। जब कोई डिवाइस किसी संरक्षित SSID से कनेक्ट करने का प्रयास करता है, तो एक्सेस पॉइंट उस डिवाइस को अप्रमाणित स्थिति में रख देता है। यह नेटवर्क तक नहीं पहुंच सकता। AP डिवाइस को एक EAP रिक्वेस्ट आइडेंटिटी फ्रेम भेजता है। EAP का अर्थ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल है - यह वह ढांचा है जो वास्तविक क्रेडेंशियल ले जाता है। डिवाइस अपनी पहचान के साथ प्रतिक्रिया करता है। AP इसे RADIUS एक्सेस-रिक्वेस्ट पैकेट में इनकैप्सुलेट करके RADIUS सर्वर को फॉरवर्ड करता है। RADIUS सर्वर फिर डिवाइस को चुनौती देता है - विशिष्ट चुनौती इस बात पर निर्भर करती है कि आप किस EAP विधि का उपयोग कर रहे हैं। डिवाइस अपने क्रेडेंशियल्स के साथ प्रतिक्रिया करता है। RADIUS सर्वर आपके आइडेंटिटी स्टोर - एक्टिव डायरेक्टरी, LDAP, या क्लाउड IdP - के खिलाफ उन क्रेडेंशियल्स को मान्य करता है और या तो एक्सेस-एक्सेप्ट या एक्सेस-रिजेक्ट वापस भेजता है। यदि यह एक एक्सेप्ट है, तो AP पोर्ट खोलता है और डिवाइस को नेटवर्क एक्सेस मिल जाता है। यदि यह एक रिजेक्ट है, तो डिवाइस ब्लॉक रहता है। इस पूरे लेन-देन में एक सेकंड से भी कम समय लगता है।अब, EAP विधि चयन वह जगह है जहाँ अधिकांश आर्किटेक्ट अपना समय बिताते हैं। आपके पास चार मुख्य विकल्प हैं। EAP-TLS स्वर्ण मानक है। इसके लिए प्रत्येक डिवाइस पर एक क्लाइंट सर्टिफिकेट की आवश्यकता होती है, जिसका अर्थ है कि आपको एक PKI इन्फ्रास्ट्रक्चर की आवश्यकता है, लेकिन यह पारस्परिक प्रमाणीकरण प्रदान करता है - सर्वर क्लाइंट के लिए अपनी पहचान साबित करता है, और क्लाइंट सर्वर के लिए अपनी पहचान साबित करता है। किसी भी क्रेडेंशियल को फ़िश नहीं किया जा सकता क्योंकि इसमें कोई पासवर्ड शामिल नहीं होता है। पूरी तरह से प्रबंधित डिवाइस फ़्लीट के लिए यह सही विकल्प है। PEAP - Protected EAP - व्यवहार में सबसे व्यापक रूप से तैनात की जाने वाली विधि है। यह केवल एक सर्वर सर्टिफिकेट का उपयोग करके एक TLS टनल बनाता है, फिर उस टनल के अंदर यूजरनेम और पासवर्ड क्रेडेंशियल पास करता है। इसे तैनात करना EAP-TLS की तुलना में काफी आसान है क्योंकि आपको क्लाइंट सर्टिफिकेट की आवश्यकता नहीं होती है, और यह हर प्रमुख ऑपरेटिंग सिस्टम पर मूल रूप से समर्थित है। इसका समझौता यह है कि यह उपयोगकर्ताओं द्वारा सर्वर सर्टिफिकेट को मान्य करने पर निर्भर करता है, जिसे व्यवहार में वे अक्सर नहीं करते हैं। उचित PEAP तैनाती के लिए सप्लीकेंट कॉन्फ़िगरेशन को लॉक करना आवश्यक है ताकि यह केवल आपके विशिष्ट RADIUS सर्वर सर्टिफिकेट पर भरोसा करे। EAP-TTLS, PEAP के समान है लेकिन आंतरिक प्रमाणीकरण विधि में अधिक लचीला है। यह विशेष रूप से लीगेसी डिवाइस या गैर-Windows एंडपॉइंट वाले वातावरण में उपयोगी है। EAP-FAST को Cisco द्वारा एक तेज़ विकल्प के रूप में विकसित किया गया था जो सर्टिफिकेट के बजाय Protected Access Credentials का उपयोग करता है, लेकिन इसे नए निर्माणों में कम तैनात किया जाता है। RADIUS सर्वर स्वयं ध्यान देने योग्य है। दो प्रमुख ओपन-सोर्स विकल्प FreeRADIUS हैं, जो विश्व स्तर पर उद्यम तैनाती के एक महत्वपूर्ण हिस्से को संचालित करता है, और Microsoft NPS - Network Policy Server - जो Windows Server के साथ शामिल है और एक्टिव डायरेक्टरी के साथ मूल रूप से एकीकृत होता है। व्यावसायिक विकल्पों में Cisco ISE, Aruba ClearPass, और Portnox Cloud शामिल हैं, जो एक क्लाउड-नेटिव RADIUS-as-a-service मॉडल प्रदान करता है जो ऑन-प्रिमाइसेस सर्वर इन्फ्रास्ट्रक्चर की आवश्यकता को पूरी तरह से समाप्त कर देता है। VLAN असाइनमेंट ठीक से कॉन्फ़िगर किए गए 802.1X परिनियोजन की सबसे शक्तिशाली विशेषताओं में से एक है। RADIUS सर्वर Access-Accept प्रतिक्रिया में VLAN विशेषताओं को वापस कर सकता है, जिससे प्रमाणित डिवाइस को गतिशील रूप से उपयुक्त नेटवर्क सेगमेंट में असाइन किया जा सकता है। एक स्टाफ सदस्य प्रमाणित होता है और स्टाफ VLAN पर पहुंचता है। एक ठेकेदार अलग क्रेडेंशियल के साथ प्रमाणित होता है और सीमित पहुंच वाले प्रतिबंधित VLAN पर पहुंचता है। एक डिवाइस जो सर्टिफिकेट सत्यापन में विफल रहता है उसे क्वारंटाइन VLAN में रखा जाता है। यह डायनेमिक सेगमेंटेशन है, और यह एक महत्वपूर्ण सुरक्षा नियंत्रण है। खंड तीन: कार्यान्वयन की सिफारिशें और बचने योग्य कमियां।मुझे आपको वह परिनियोजन अनुक्रम (deployment sequence) बताने दें जो काम करता है। नेटवर्क ऑडिट से शुरुआत करें। एक भी कॉन्फ़िगरेशन को छूने से पहले, हर उस डिवाइस का दस्तावेज़ीकरण करें जिसे प्रमाणित करने की आवश्यकता होगी। इसमें प्रिंटर, IP फोन, बिल्डिंग मैनेजमेंट सिस्टम, CCTV कैमरे - नेटवर्क से कनेक्ट होने वाला कोई भी डिवाइस शामिल है। इन हेडलेस डिवाइसों में कोई सप्लीकेंट नहीं होता है और वे 802.1X नहीं कर सकते हैं। आपको उनके लिए एक रणनीति की आवश्यकता होगी, आमतौर पर सख्त MAC एड्रेस व्हाइटलिस्टिंग और एक अलग VLAN में प्लेसमेंट के साथ MAC Authentication Bypass। चरण दो: अपना RADIUS इन्फ्रास्ट्रक्चर तैयार करें। लचीलेपन के लिए, आपको न्यूनतम एक प्राथमिक और माध्यमिक RADIUS सर्वर की आवश्यकता होगी। अपने एक्सेस पॉइंट्स को स्वचालित रूप से फ़ेलओवर करने के लिए कॉन्फ़िगर करें। एक RADIUS आउटेज जो सभी कर्मचारियों को नेटवर्क से ब्लॉक करता है, एक P1 घटना है। ऐसा इसलिए न होने दें क्योंकि आपने केवल एक सर्वर तैनात किया था। चरण तीन: यदि आप EAP-TLS पर जा रहे हैं तो अपना PKI तैनात करें। अपनी मौजूदा Active Directory Certificate Services या क्लाउड PKI प्रदाता का उपयोग करें। ग्रुप पॉलिसी के माध्यम से ऑटो-एनरोलमेंट क्लाइंट सर्टिफिकेट परिनियोजन को बड़े पैमाने पर प्रबंधनीय बनाता है। चरण चार: अपनी नेटवर्क नीतियां कॉन्फ़िगर करें। RADIUS में अपनी प्रमाणीकरण नीतियों को परिभाषित करें - किन उपयोगकर्ताओं या डिवाइस समूहों को कौन सा VLAN असाइनमेंट मिलता है, विफल प्रमाणीकरणों का क्या होता है, आप अतिथि बनाम कर्मचारियों के ट्रैफ़िक को कैसे संभालते हैं। यह वह जगह है जहाँ आप नेटवर्क लेयर पर न्यूनतम विशेषाधिकार के सिद्धांत को लागू करते हैं। चरण पांच: रोल आउट करने से पहले पायलट परीक्षण करें। एक स्थान, एक मंजिल, एक SSID लें। हर डिवाइस प्रकार का परीक्षण करें। विफलता के परिदृश्यों का परीक्षण करें। परीक्षण करें कि RADIUS सर्वर के अनुपलब्ध होने पर क्या होता है। केवल तभी विस्तार करें। अब, कमियों की बात करते हैं। सबसे आम कमी जो मैं देखता हूं वह PEAP परिनियोजन पर सर्टिफिकेट सत्यापन का गलत कॉन्फ़िगरेशन है। यदि आपकी सप्लीकेंट नीति सर्वर सर्टिफिकेट सत्यापन लागू नहीं करती है, तो आप दुष्ट AP हमलों के प्रति संवेदनशील हैं जहां एक हमलावर नकली एक्सेस पॉइंट स्थापित करता है और क्रेडेंशियल चुरा लेता है। ग्रुप पॉलिसी या MDM के माध्यम से अपने सप्लीकेंट प्रोफाइल को लॉक करें। दूसरी कमी गो-लाइव के दिन तक नॉन-802.1X उपकरणों की अनदेखी करना है। यदि आपने उनके लिए योजना नहीं बनाई है तो IoT डिवाइस, प्रिंटर और लीगेसी सिस्टम आपके रोलआउट को बाधित कर देंगे। MAC Authentication Bypass यहाँ आपका मददगार है, लेकिन स्विच चालू करने से पहले इसे कॉन्फ़िगर किया जाना आवश्यक है। तीसरी कमी RADIUS में विफलता का एकल बिंदु (single points of failure) होना है। मैंने संगठनों को एक एकल NPS सर्वर तैनात करते देखा है और पाया है कि Windows अपडेट रीबूट के दौरान उनका पूरा स्टाफ नेटवर्क डाउन हो जाता है। हमेशा रिडंडेंट RADIUS इन्फ्रास्ट्रक्चर तैनात करें। अनुभाग चार: त्वरित प्रश्न (Rapid-fire questions)। क्या 802.1X एक अतिथि WiFi नेटवर्क के साथ काम कर सकता है? बिल्कुल। आपका अतिथि SSID अलग से चलता है - आमतौर पर एक Captive Portal दृष्टिकोण का उपयोग करके - जबकि आपका स्टाफ SSID 802.1X लागू करता है। वे अलग-अलग VLANs के साथ पूरी तरह से स्वतंत्र SSIDs हैं। Purple का प्लेटफ़ॉर्म अतिथि पक्ष को संभालता है, जिसमें एनालिटिक्स और एंगेजमेंट टूल्स शामिल होते हैं, जबकि आपका 802.1X इन्फ्रास्ट्रक्चर स्टाफ पक्ष को सुरक्षित करता है।क्या 802.1X एक VPN को रिप्लेस करता है? नहीं। 802.1X नेटवर्क एडमिशन को कंट्रोल करता है - कि कौन नेटवर्क में शामिल हो सकता है। एक VPN ट्रांजिट में ट्रैफ़िक को एनक्रिप्ट करता है और असुरक्षित कनेक्शनों पर कॉर्पोरेट नेटवर्क का विस्तार करता है। वे विभिन्न उद्देश्यों को पूरा करते हैं और अक्सर एक साथ उपयोग किए जाते हैं। रोमिंग परफॉर्मेंस पर इसका क्या प्रभाव पड़ता है? 802.1X के साथ, हर बार जब कोई डिवाइस एक्सेस पॉइंट्स के बीच रोम करता है, तो उसे फिर से ऑथेंटिकेट करने की आवश्यकता होती है। अधिकांश एंटरप्राइज डेप्लॉयमेंट्स के लिए यह नगण्य होता है। PMK कैशिंग और OKC - Opportunistic Key Caching - री-ऑथेंटिकेशन ओवरहेड को काफी कम कर देते हैं। स्टेडियमों या कॉन्फ्रेंस सेंटरों जैसे उच्च-घनत्व वाले वातावरण के लिए, इसे स्पष्ट रूप से कॉन्फ़िगर करना उचित है। क्या WPA3-Enterprise, 802.1X का रिप्लेसमेंट है? नहीं - WPA3-Enterprise ऑथेंटिकेशन के लिए 802.1X का उपयोग करता है। WPA3 एनक्रिप्शन लेयर में सुधार करता है, विशेष रूप से सबसे संवेदनशील डेप्लॉयमेंट्स के लिए 192-बिट सुरक्षा मोड को अनिवार्य बनाता है। 802.1X इसके नीचे का ऑथेंटिकेशन फ्रेमवर्क है। सेक्शन पांच: सारांश और अगले कदम। इस ब्रीफिंग से आपको जो बातें याद रखनी चाहिए वे यहाँ हैं। कॉर्पोरेट WiFi के लिए 802.1X एकमात्र एंटरप्राइज-ग्रेड ऑथेंटिकेशन मैकेनिज्म है। रेगुलेटेड वातावरण के लिए प्री-शेयर्ड कीज़ स्वीकार्य नहीं हैं। अपने डिवाइस बेड़े के आधार पर अपना EAP तरीका चुनें - यदि आपके पास प्रबंधित डिवाइस और PKI हैं तो EAP-TLS चुनें, और यदि आपको व्यापक अनुकूलता की आवश्यकता है तो PEAP चुनें। नॉन-802.1X डिवाइसेस के लिए डेप्लॉयमेंट से पहले योजना बनाएं, न कि बाद में। रिडंडेंट RADIUS इन्फ्रास्ट्रक्चर को डेप्लॉय करें - एक सिंगल सर्वर सिंगल पॉइंट ऑफ फेल्योर होता है। ऑथेंटिकेशन के समय नेटवर्क सेगमेंटेशन लागू करने के लिए डायनामिक VLAN असाइनमेंट का उपयोग करें। और अपने पूरे एस्टेट में लागू करने से पहले पूरी तरह से पायलट टेस्ट करें। यदि आप एक मल्टी-साइट डेप्लॉयमेंट का निर्माण कर रहे हैं और इसके आर्किटेक्चर पर विचार करने की आवश्यकता है, तो Purple की टेक्निकल टीम हर दिन हॉस्पिटैलिटी, रिटेल और पब्लिक सेक्टर के नेटवर्क आर्किटेक्ट्स के साथ काम करती है। 802.1X के माध्यम से सुरक्षित स्टाफ WiFi और Purple के प्लेटफॉर्म के माध्यम से इंटेलिजेंट गेस्ट WiFi का संयोजन आपको एक संपूर्ण, सेगमेंटेड नेटवर्क रणनीति प्रदान करता है जो आपके सुरक्षा दायित्वों और आपके गेस्ट एक्सपीरियंस की आवश्यकताओं दोनों को पूरा करती है। इस ब्रीफिंग में बस इतना ही। सुनने के लिए धन्यवाद।