802.1X WiFi प्रमाणीकरण को कैसे कॉन्फ़िगर करें: एक चरण-दर-चरण मार्गदर्शिका

802.1X WiFi प्रमाणीकरण को कैसे कॉन्फ़िगर करें: एक चरण-दर-चरण मार्गदर्शिका एक Purple Enterprise WiFi Intelligence पॉडकास्ट [प्रस्तावना — लगभग 1 मिनट] आपका स्वागत है। मैं आज एक सीनियर सॉल्यूशंस आर्किटेक्ट के रूप में बोल रहा हूँ, और यदि आप इसे सुन रहे हैं, तो आप शायद एक नेटवर्क सुरक्षा परियोजना का सामना कर रहे हैं जिसमें 802.1X प्रमाणीकरण शामिल है - या तो इसलिए क्योंकि आपकी अनुपालन टीम ने इसे हरी झंडी दिखाई है, आपके बीमाकर्ता ने इसके बारे में पूछा है, या आपको सिर्फ एक ऐसा नेटवर्क विरासत में मिला है जो एक साझा PSK पर चल रहा है और आप जानते हैं कि अब यह पर्याप्त नहीं है। तो सीधे मुद्दे पर आते हैं। 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक है। यह एंटरप्राइज WiFi सुरक्षा की रीढ़ है - वह तंत्र जो यह सुनिश्चित करता है कि आपके नेटवर्क से कनेक्ट होने वाले प्रत्येक डिवाइस की सकारात्मक रूप से पहचान की गई है और उसे अधिकृत किया गया है, इससे पहले कि वह ट्रैफिक का एक भी बाइट प्राप्त कर सके। यह PCI-DSS के तहत भुगतान कार्ड डेटा को संभालने वाले संगठनों के लिए वैकल्पिक नहीं है, यह GDPR और NHS डेटा सुरक्षा मानकों के तहत स्वास्थ्य सेवा वातावरण के लिए वैकल्पिक नहीं है, और सच कहें तो, कुछ चुनिंदा एक्सेस पॉइंट्स से अधिक चलाने वाले किसी भी संगठन के लिए, यह सही आर्किटेक्चर है। अगले दस मिनटों में, मैं आपको तकनीकी आर्किटेक्चर, RADIUS कॉन्फ़िगरेशन, प्रमाणपत्र परिनियोजन और वास्तविक दुनिया के उन परिदृश्यों के बारे में बताऊंगा जहाँ यह जटिल हो जाता है। चलिए शुरू करते हैं। [तकनीकी गहन विश्लेषण — लगभग 5 मिनट] ठीक है, तो 802.1X फ्रेमवर्क के तीन घटक होते हैं। आपके पास Supplicant है - वह क्लाइंट डिवाइस है, जैसे लैपटॉप, फोन, IoT सेंसर। आपके पास Authenticator है - वह आपका एक्सेस पॉइंट या आपका नेटवर्क स्विच है, जिसे कभी-कभी NAS यानी नेटवर्क एक्सेस सर्वर कहा जाता है। और आपके पास Authentication Server है - एंटरप्राइज डिप्लॉयमेंट में लगभग सार्वभौमिक रूप से एक RADIUS सर्वर होता है। यहाँ बताया गया है कि हैंडशेक कैसे काम करता है। जब कोई डिवाइस 802.1X-सुरक्षित SSID से कनेक्ट करने का प्रयास करता है, तो एक्सेस पॉइंट उसे केवल प्रवेश नहीं करने देता है। इसके बजाय, यह एक नियंत्रित पोर्ट खोलता है - एक सीमित चैनल जो केवल EAP ट्रैफिक यानी एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल को पास करता है। AP डिवाइस को एक EAP-Request Identity भेजता है। डिवाइस अपनी पहचान के साथ प्रतिक्रिया करता है। AP फिर उसे RADIUS Access-Request पैकेट में लपेटकर RADIUS सर्वर को फॉरवर्ड करता है। RADIUS सर्वर प्रमाणीकरण चलाता है - एक्टिव डायरेक्टरी, एक सर्टिफिकेट स्टोर, या जो भी पहचान बैकएंड आपने कॉन्फ़िगर किया है, उसके विरुद्ध क्रेडेंशियल्स की जांच करता है - और या तो एक Access-Accept या Access-Reject वापस भेजता है। केवल Accept होने पर ही AP पूर्ण डेटा पोर्ट खोलता है और डिवाइस को उपयुक्त VLAN में असाइन करता है। अब, यहाँ आप जो EAP तरीका चुनते हैं वह बहुत मायने रखता है। ऐसे पांच तरीके हैं जिनका सामना आप एंटरप्राइज डिप्लॉयमेंट में करेंगे।EAP-TLS गोल्ड स्टैंडर्ड है। क्लाइंट और सर्वर दोनों X.509 सर्टिफिकेट प्रस्तुत करते हैं। इसमें कोई पासवर्ड शामिल नहीं होता है। यह सबसे सुरक्षित विकल्प है और उच्चतम PCI-DSS अनुपालन स्तरों के लिए आवश्यक है। पेंच यह है कि क्लाइंट सर्टिफिकेट जारी करने और प्रबंधित करने के लिए आपको एक पूर्ण PKI — यानी पब्लिक की इन्फ्रास्ट्रक्चर — की आवश्यकता होती है। इसका मतलब है कि एक सर्टिफिकेट अथॉरिटी, सर्टिफिकेट लाइफसाइकिल मैनेजमेंट, और प्रत्येक डिवाइस पर सर्टिफिकेट पुश करने के लिए एक तंत्र की आवश्यकता होगी। उन संगठनों के लिए जिनके पास Microsoft Active Directory और Active Directory Certificate Services हैं, यह बहुत आसानी से प्राप्त किया जा सकता है। बिना इस इन्फ्रास्ट्रक्चर वाले संगठनों के लिए, यह एक महत्वपूर्ण निवेश है। PEAP-MSCHAPv2 व्यवहार में सबसे व्यापक रूप से तैनात की जाने वाली विधि है। यह केवल सर्वर-साइड सर्टिफिकेट का उपयोग करके एक TLS टनल बनाता है, फिर उस टनल के भीतर यूजरनेम और पासवर्ड क्रेडेंशियल पास करता है। यह व्यावहारिक रूप से हर डिवाइस के साथ तुरंत संगत है, Windows Server पर NPS के माध्यम से सीधे Active Directory के साथ एकीकृत होता है, और इसके लिए क्लाइंट सर्टिफिकेट की आवश्यकता नहीं होती है। इसका नुकसान यह है कि यदि यूजर्स को किसी कपटी AP से जुड़ने के लिए धोखा दिया जाता है, तो यह क्रेडेंशियल हार्वेस्टिंग हमलों के प्रति संवेदनशील हो जाता है - क्योंकि क्लाइंट डिफ़ॉल्ट रूप से सर्वर सर्टिफिकेट को सत्यापित नहीं करता है। आपको अपने सप्लिकेंट प्रोफाइल में सर्वर सर्टिफिकेट सत्यापन लागू करना होगा। EAP-TTLS, PEAP के समान है लेकिन आंतरिक प्रमाणीकरण विधि में अधिक लचीला है। यह Linux वातावरण में और वहां आम है जहां आपको लीगेसी प्रमाणीकरण बैकएंड का समर्थन करने की आवश्यकता होती है। EAP-FAST को Cisco द्वारा LEAP की कमजोरियों के जवाब में विकसित किया गया था। यह सर्टिफिकेट के बजाय प्रोटेक्टेड एक्सेस क्रेडेंशियल्स का उपयोग करता है। यह मुख्य रूप से तब प्रासंगिक है जब आप Cisco-भारी वातावरण में हों या उन लीगेसी उपकरणों से निपट रहे हों जो अन्य का समर्थन नहीं कर सकते। EAP-SIM और EAP-AKA का उपयोग कैरियर-ग्रेड डिप्लॉयमेंट में किया जाता है - जैसे OpenRoaming या Passpoint - जहां प्रमाणीकरण SIM कार्ड या USIM से जुड़ा होता है। ये सार्वजनिक स्थानों के WiFi के लिए तेजी से प्रासंगिक हो रहे हैं जहां आप Captive Portal के बिना निर्बाध, सुरक्षित ऑनबोर्डिंग चाहते हैं। अब आइए RADIUS कॉन्फ़िगरेशन के बारे में बात करते हैं। चाहे आप Microsoft NPS, FreeRADIUS, Cisco ISE, या Aruba ClearPass तैनात कर रहे हों, मुख्य कॉन्फ़िगरेशन चरण समान हैं। सबसे पहले, आप अपने RADIUS क्लाइंट को परिभाषित करते हैं - ये आपके एक्सेस पॉइंट या वायरलेस LAN कंट्रोलर हैं। प्रत्येक क्लाइंट को उसके IP एड्रेस और एक शेयर्ड सीक्रेट के साथ रजिस्टर्ड किया जाता है। उस शेयर्ड सीक्रेट का उपयोग AP और सर्वर के बीच RADIUS संदेशों को प्रमाणित करने के लिए किया जाता है। कम से कम 22 वर्णों का उपयोग करें, जो रैंडम रूप से जनरेट किए गए हों, और प्रत्येक NAS डिवाइस के लिए अद्वितीय हों। दूसरा, आप अपनी नेटवर्क पॉलिसी कॉन्फ़िगर करते हैं। यह वह जगह है जहां आप परिभाषित करते हैं कि किसे क्या एक्सेस मिलता है। NPS के संदर्भ में, आप एक नेटवर्क पॉलिसी बना रहे हैं जो शर्तों से मेल खाती है - Active Directory में ग्रुप मेंबरशिप, डिवाइस का प्रकार, दिन का समय - और एट्रिब्यूट्स असाइन करती है - VLAN ID, सेशन टाइमआउट, बैंडविड्थ सीमाएं। जिस RADIUS एट्रिब्यूट का आप सबसे अधिक उपयोग करेंगे वह VLAN असाइनमेंट है, विशेष रूप से टनल-टाइप को VLAN पर सेट करना, टनल-मीडियम-टाइप को 802 पर सेट करना, और टनल-प्राइवेट-ग्रुप-ID को आपके VLAN नंबर पर सेट करना। तीसरा, आप अपनी कनेक्शन अनुरोध नीति को कॉन्फ़िगर करते हैं। यह NPS को बताता है कि आने वाले RADIUS अनुरोधों को कैसे संभालना है - चाहे स्थानीय रूप से प्रमाणित करना हो या किसी अन्य RADIUS सर्वर पर अग्रेषित करना हो। एक वितरित परिनियोजन में, आपके पास प्रत्येक साइट पर NPS प्रॉक्सी के साथ एक केंद्रीय RADIUS सर्वर हो सकता है। प्रमाणपत्र के मोर्चे पर, PEAP और EAP-TLS के लिए, आपके RADIUS सर्वर को आपके क्लाइंट्स द्वारा विश्वसनीय सर्वर प्रमाणपत्र की आवश्यकता होती है। सबसे आसान तरीका एक सार्वजनिक CA - DigiCert, Sectigo, Let's Encrypt - से प्रमाणपत्र का उपयोग करना है क्योंकि वे रूट प्रमाणपत्र पहले से ही सभी प्रमुख ऑपरेटिंग सिस्टम द्वारा विश्वसनीय हैं। यदि आप आंतरिक CA का उपयोग कर रहे हैं, तो आपको समूह नीति या अपने MDM प्लेटफ़ॉर्म के माध्यम से सभी क्लाइंट डिवाइसों पर रूट प्रमाणपत्र पुश करना होगा। विशेष रूप से EAP-TLS के लिए, आपको क्लाइंट प्रमाणपत्रों की भी आवश्यकता होती है। Active Directory परिवेश में, आप डोमेन-शामिल डिवाइसों पर प्रमाणपत्र पुश करने के लिए समूह नीति के माध्यम से ऑटो-नामांकन के साथ ADCS का उपयोग करेंगे। BYOD डिवाइसों के लिए, आप प्रमाणपत्र और WiFi प्रोफ़ाइल दोनों को पुश करने के लिए अपने MDM - Intune, Jamf, VMware Workspace ONE - का उपयोग करेंगे। एक्सेस पॉइंट की तरफ, कॉन्फ़िगरेशन सीधा है। आप एक नया SSID बनाते हैं, सुरक्षा को WPA2-Enterprise या WPA3-Enterprise पर सेट करते हैं, RADIUS प्रमाणीकरण सर्वर को UDP पोर्ट 1812 पर अपने NPS IP पर इंगित करते हैं, UDP पोर्ट 1813 पर RADIUS अकाउंटिंग सर्वर सेट करते हैं, साझा रहस्य दर्ज करते हैं, और यदि आप इसका उपयोग कर रहे हैं तो डायनेमिक VLAN असाइनमेंट सक्षम करते हैं। अधिकांश एंटरप्राइज़ AP प्लेटफ़ॉर्म - Cisco Meraki, Aruba, Ruckus, Extreme - के पास इसके लिए एक GUI होता है जो आपके RADIUS सर्वर के तैयार होने के बाद लगभग दस मिनट लेता है। [कार्यान्वयन सिफारिशें और संभावित खामियां - लगभग 2 मिनट] ठीक है, आइए बात करते हैं कि परिनियोजन कहाँ गलत होते हैं, क्योंकि यहीं पर मैं अपनी कंसल्टेंसी फीस कमाता हूँ। सबसे आम विफलता बिंदु प्रमाणपत्र सत्यापन है। मैंने संगठनों को सर्वर साइड पर PEAP-MSCHAPv2 को सही ढंग से तैनात करते हुए देखा है, फिर क्लाइंट सप्लीकेंट प्रोफ़ाइल को किसी भी प्रमाणपत्र को स्वीकार करने के लिए कॉन्फ़िगर छोड़ दिया है। यह पूरी तरह से सुरक्षा मॉडल को कमजोर करता है। प्रत्येक सप्लीकेंट प्रोफ़ाइल - चाहे समूह नीति या MDM के माध्यम से पुश की गई हो - को विश्वसनीय रूट CA और अपेक्षित सर्वर नाम निर्दिष्ट करना चाहिए। इसके बिना, आप इविल ट्विन हमलों के प्रति संवेदनशील हैं। दूसरा सामान्य मुद्दा RADIUS साझा रहस्य प्रबंधन है। मैंने प्रोडक्शन नेटवर्क को साझा रहस्य को "radius" या विक्रेता डिफॉल्ट पर सेट करके चलते देखा है। ये रहस्य आपके प्रमाणीकरण बुनियादी ढांचे की कुंजी हैं। उन्हें बेतरतीब ढंग से जनरेट करें, उन्हें सीक्रेट मैनेजर में स्टोर करें, और उन्हें एक शेड्यूल पर रोटेट करें। तीसरा: VLAN गलत कॉन्फ़िगरेशन। डायनेमिक VLAN असाइनमेंट शक्तिशाली है - यह आपको स्टाफ के उपकरणों को कॉर्पोरेट VLAN पर, ठेकेदारों को एक प्रतिबंधित VLAN पर, और IoT उपकरणों को एक पृथक VLAN पर रखने की अनुमति देता है, सभी एक ही SSID से। लेकिन यदि RADIUS विशेषताएँ सही ढंग से कॉन्फ़िगर नहीं की गई हैं, या स्विच ट्रंक पोर्ट सही VLAN को नहीं ले जा रहे हैं, तो डिवाइस या तो कनेक्ट होने में विफल हो जाएंगे या गलत सेगमेंट पर चले जाएंगे। प्रोडक्शन में रोल आउट करने से पहले लैब में इसका गहन परीक्षण करें।चौथा: रिडंडेंसी (redundancy)। आपका RADIUS सर्वर अब इन्फ्रास्ट्रक्चर का एक महत्वपूर्ण हिस्सा है। यदि यह डाउन हो जाता है, तो कोई भी कनेक्ट नहीं कर पाएगा। आपको हर AP पर कम से कम एक प्राइमरी और सेकेंडरी RADIUS सर्वर कॉन्फ़िगर करना होगा। बड़े डिप्लॉयमेंट में, हेल्थ मॉनिटरिंग के साथ RADIUS प्रॉक्सी क्लस्टर पर विचार करें। पांचवां, और यह विशेष रूप से हॉस्पिटैलिटी और रिटेल एनवायरनमेंट के लिए है: गेस्ट बनाम कॉर्पोरेट अलगाव। आपका 802.1X कॉर्पोरेट SSID और आपका गेस्ट WiFi SSID पूरी तरह से अलग होना चाहिए - अलग VLANs, अलग फ़ायरवॉल नीतियां, अलग DNS। Purple जैसा प्लेटफॉर्म अपने स्वयं के Captive Portal और एनालिटिक्स लेयर के साथ गेस्ट साइड को संभालता है, जबकि आपका 802.1X इन्फ्रास्ट्रक्चर कॉर्पोरेट साइड को संभालता है। ये पूरक हैं, प्रतिस्पर्धी सिस्टम नहीं। [रैपिड-फायर प्रश्नोत्तर - लगभग 1 मिनट] मुझे उन प्रश्नों को देखने दें जो मुझे अक्सर मिलते हैं। क्या मैं क्लाउड-मैनेज्ड AP प्लेटफॉर्म पर 802.1X चला सकता हूँ? हाँ - Meraki, Aruba Central, और Ruckus Cloud सभी इसका समर्थन करते हैं। आप क्लाउड डैशबोर्ड में RADIUS सर्वर डिटेल्स कॉन्फ़िगर करते हैं, और APs EAP प्रॉक्सीइंग को संभालते हैं। क्या मुझे Active Directory की आवश्यकता है? नहीं। FreeRADIUS LDAP, SQL डेटाबेस, फ्लैट फाइलों या REST APIs के खिलाफ भी ऑथेंटिकेट कर सकता है। लेकिन NPS के माध्यम से AD इंटीग्रेशन अब तक का सबसे आम एंटरप्राइज पाथ है। उन IoT उपकरणों का क्या जो 802.1X का समर्थन नहीं करते हैं? बैकअप के रूप में MAC ऑथेंटिकेशन बायपास - MAB - का उपयोग करें। डिवाइस का MAC एड्रेस RADIUS को यूजरनेम और पासवर्ड के रूप में भेजा जाता है। यह EAP जितना सुरक्षित नहीं है, लेकिन यह आपको IoT उपकरणों को एक प्रतिबंधित VLAN में रखते हुए उन्हें ऑनबोर्ड करने की अनुमति देता है। क्या 802.1X WPA3 के साथ काम करता है? हाँ। WPA3-Enterprise मूल रूप से 802.1X ऑथेंटिकेशन के साथ WPA3 है। यह मजबूत एन्क्रिप्शन जोड़ता है - हाई-सिक्योरिटी मोड में 192-बिट - और नए डिप्लॉयमेंट के लिए अनुशंसित मानक है। [सारांश और अगले कदम - लगभग 1 मिनट] तो इसे एक साथ लाने के लिए: 802.1X केवल एक विकल्प नहीं है। संवेदनशील डेटा को संभालने वाले, भुगतान प्रोसेस करने वाले, या विनियमित एनवायरनमेंट में काम करने वाले किसी भी संगठन के लिए, यह एंटरप्राइज WiFi सुरक्षा का बेसलाइन है। आर्किटेक्चर अच्छी तरह से स्थापित है, टूलिंग परिपक्व है, और डिप्लॉयमेंट पाथ स्पष्ट है। अपने EAP मेथड सिलेक्शन के साथ शुरुआत करें - यदि आपको त्वरित लाभ और व्यापक अनुकूलता की आवश्यकता है तो PEAP-MSCHAPv2, यदि आपके पास PKI इन्फ्रास्ट्रक्चर है और आपको सबसे मजबूत सुरक्षा की आवश्यकता है तो EAP-TLS। एक भी AP को छूने से पहले अपने RADIUS सर्वर को कॉन्फ़िगर और रिडंडेंट करें। लाइव होने से पहले अपने सप्लिकेंट प्रोफाइल को ग्रुप पॉलिसी या MDM के माध्यम से पुश करें। और अपने गेस्ट WiFi को पूरी तरह से अलग रखें - उस लेयर के लिए विशेष रूप से निर्मित प्लेटफॉर्म का उपयोग करें। यदि आप एक मल्टी-वेन्यू एनवायरनमेंट - होटल, रिटेल चेन, स्टेडियम - संचालित कर रहे हैं, तो जटिलता साइटों की संख्या के साथ बढ़ती है, लेकिन आर्किटेक्चर नहीं बदलता है। मुख्य कुंजी साइट-लोकल रिडंडेंसी के साथ सेंट्रलाइज्ड RADIUS है, और आपके डिवाइस बेड़े में एक सुसंगत MDM-पुश किया गया सप्लिकेंट प्रोफाइल है।सुनने के लिए धन्यवाद। पूरा लिखित गाइड, आर्किटेक्चर आरेख और कॉन्फ़िगरेशन चेकलिस्ट purple.ai पर उपलब्ध हैं। यदि आप 802.1X डिप्लॉयमेंट की योजना बना रहे हैं और अपने एनवायरनमेंट की बारीकियों पर चर्चा करना चाहते हैं, तो सीधे Purple टीम से संपर्क करें।