802.1X WiFi ऑथेंटिकेशन कैसे कॉन्फ़िगर करें: एक चरण-दर-चरण मार्गदर्शिका

802.1X WiFi ऑथेंटिकेशन कैसे कॉन्फ़िगर करें: एक चरण-दर-चरण मार्गदर्शिका एक Purple एंटरप्राइज़ WiFi इंटेलिजेंस पॉडकास्ट [परिचय — लगभग 1 मिनट] वापसी पर स्वागत है। मैं आज एक वरिष्ठ समाधान आर्किटेक्ट के रूप में बोल रहा हूं, और यदि आप इसे सुन रहे हैं, तो आप शायद एक नेटवर्क सुरक्षा प्रोजेक्ट को देख रहे हैं जिसमें 802.1X ऑथेंटिकेशन शामिल है — या तो इसलिए क्योंकि आपकी अनुपालन टीम ने इसे फ़्लैग किया है, आपके बीमाकर्ता ने इसके बारे में पूछा है, या आपको अभी-अभी एक ऐसा नेटवर्क विरासत में मिला है जो साझा PSK पर चल रहा है और आप जानते हैं कि अब यह पर्याप्त नहीं है。 तो चलिए सीधे इसमें चलते हैं। 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक है। यह एंटरप्राइज़ WiFi सुरक्षा की रीढ़ है — वह तंत्र जो यह सुनिश्चित करता है कि आपके नेटवर्क से जुड़ने वाले प्रत्येक डिवाइस की सकारात्मक रूप से पहचान की गई है और ट्रैफ़िक का एक भी बाइट प्राप्त करने से पहले उसे अधिकृत किया गया है। PCI DSS के तहत भुगतान कार्ड डेटा को संभालने वाले संगठनों के लिए यह वैकल्पिक नहीं है, GDPR और NHS डेटा सुरक्षा मानकों के तहत स्वास्थ्य सेवा वातावरण के लिए यह वैकल्पिक नहीं है, और स्पष्ट रूप से, मुट्ठी भर से अधिक एक्सेस पॉइंट चलाने वाले किसी भी संगठन के लिए, यह सही आर्किटेक्चर है。 अगले दस मिनट में, मैं आपको तकनीकी आर्किटेक्चर, RADIUS कॉन्फ़िगरेशन, सर्टिफ़िकेट डिप्लॉयमेंट, और वास्तविक दुनिया के परिदृश्यों के बारे में बताऊंगा जहां यह जटिल हो जाता है। चलिए शुरू करते हैं。 [तकनीकी डीप-डाइव — लगभग 5 मिनट] ठीक है, तो 802.1X फ्रेमवर्क में तीन घटक होते हैं। आपके पास सप्लिकेंट है — वह क्लाइंट डिवाइस है, लैपटॉप, फोन, IoT सेंसर। आपके पास ऑथेंटिकेटर है — वह आपका एक्सेस पॉइंट या आपका नेटवर्क स्विच है, जिसे कभी-कभी NAS, नेटवर्क एक्सेस सर्वर कहा जाता है। और आपके पास ऑथेंटिकेशन सर्वर है — एंटरप्राइज़ डिप्लॉयमेंट में लगभग सार्वभौमिक रूप से एक RADIUS सर्वर。 यहां बताया गया है कि हैंडशेक कैसे काम करता है। जब कोई डिवाइस 802.1X-संरक्षित SSID से कनेक्ट करने का प्रयास करता है, तो एक्सेस पॉइंट उसे ऐसे ही नहीं आने देता। इसके बजाय, यह एक नियंत्रित पोर्ट खोलता है — एक सीमित चैनल जो केवल EAP ट्रैफ़िक, एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल को पास करता है। AP डिवाइस को एक EAP-Request Identity भेजता है। डिवाइस अपनी पहचान के साथ प्रतिक्रिया करता है। AP फिर उसे RADIUS सर्वर पर अग्रेषित करता है, जिसे RADIUS Access-Request पैकेट में लपेटा जाता है। RADIUS सर्वर ऑथेंटिकेशन चलाता है — Active Directory, एक सर्टिफ़िकेट स्टोर, या जो भी आइडेंटिटी बैकएंड आपने कॉन्फ़िगर किया है, उसके विरुद्ध क्रेडेंशियल्स की जांच करता है — और या तो Access-Accept या Access-Reject वापस भेजता है। केवल Accept होने पर ही AP पूर्ण डेटा पोर्ट खोलता है और डिवाइस को उपयुक्त VLAN असाइन करता है。 अब, आप जो EAP तरीका चुनते हैं वह बहुत मायने रखता है। एंटरप्राइज़ डिप्लॉयमेंट में आपको पांच का सामना करना पड़ेगा。 EAP-TLS गोल्ड स्टैंडर्ड है। क्लाइंट और सर्वर दोनों X.509 सर्टिफ़िकेट प्रस्तुत करते हैं। इसमें कोई पासवर्ड शामिल नहीं है। यह सबसे सुरक्षित विकल्प है और उच्चतम PCI DSS अनुपालन स्तरों के लिए आवश्यक है। समस्या यह है कि आपको क्लाइंट सर्टिफ़िकेट जारी करने और प्रबंधित करने के लिए एक पूर्ण PKI — एक पब्लिक की इंफ्रास्ट्रक्चर — की आवश्यकता है। इसका मतलब है एक सर्टिफ़िकेट अथॉरिटी, सर्टिफ़िकेट जीवनचक्र प्रबंधन, और प्रत्येक डिवाइस पर सर्टिफ़िकेट पुश करने का एक तंत्र। Microsoft Active Directory और Active Directory Certificate Services वाले संगठनों के लिए, यह बहुत प्राप्त करने योग्य है। उस इंफ्रास्ट्रक्चर के बिना संगठनों के लिए, यह एक महत्वपूर्ण निवेश है。 PEAP-MSCHAPv2 व्यवहार में सबसे व्यापक रूप से डिप्लॉय किया जाने वाला तरीका है। यह केवल सर्वर-साइड सर्टिफ़िकेट का उपयोग करके एक TLS टनल बनाता है, फिर उस टनल के अंदर यूज़रनेम और पासवर्ड क्रेडेंशियल पास करता है। यह बॉक्स के बाहर लगभग हर डिवाइस के साथ संगत है, Windows Server पर NPS के माध्यम से सीधे Active Directory के साथ एकीकृत होता है, और इसके लिए क्लाइंट सर्टिफ़िकेट की आवश्यकता नहीं होती है। ट्रेड-ऑफ़ यह है कि यह क्रेडेंशियल हार्वेस्टिंग हमलों के प्रति संवेदनशील है यदि उपयोगकर्ताओं को एक दुष्ट AP से कनेक्ट करने के लिए बरगलाया जाता है — क्योंकि क्लाइंट डिफ़ॉल्ट रूप से सर्वर सर्टिफ़िकेट को मान्य नहीं करता है। आपको अपने सप्लिकेंट प्रोफ़ाइल में सर्वर सर्टिफ़िकेट वैलिडेशन लागू करना होगा。 EAP-TTLS, PEAP के समान है लेकिन आंतरिक ऑथेंटिकेशन विधि में अधिक लचीला है। यह Linux वातावरण में आम है और जहां आपको लीगेसी ऑथेंटिकेशन बैकएंड का समर्थन करने की आवश्यकता है。 EAP-FAST को Cisco द्वारा LEAP की कमजोरियों की प्रतिक्रिया के रूप में विकसित किया गया था। यह सर्टिफ़िकेट के बजाय प्रोटेक्टेड एक्सेस क्रेडेंशियल्स का उपयोग करता है। यह मुख्य रूप से तब प्रासंगिक होता है जब आप Cisco-भारी वातावरण में होते हैं या ऐसे लीगेसी उपकरणों से निपट रहे होते हैं जो दूसरों का समर्थन नहीं कर सकते。 EAP-SIM और EAP-AKA का उपयोग कैरियर-ग्रेड डिप्लॉयमेंट में किया जाता है — OpenRoaming या Passpoint के बारे में सोचें — जहां ऑथेंटिकेशन सिम कार्ड या USIM से जुड़ा होता है। ये सार्वजनिक स्थान WiFi के लिए तेजी से प्रासंगिक हैं जहां आप Captive Portal के बिना निर्बाध, सुरक्षित ऑनबोर्डिंग चाहते हैं。 अब RADIUS कॉन्फ़िगरेशन के बारे में बात करते हैं। चाहे आप Microsoft NPS, FreeRADIUS, Cisco ISE, या Aruba ClearPass डिप्लॉय कर रहे हों, मुख्य कॉन्फ़िगरेशन चरण समान हैं。 सबसे पहले, आप अपने RADIUS क्लाइंट्स को परिभाषित करते हैं — ये आपके एक्सेस पॉइंट या वायरलेस LAN कंट्रोलर हैं। प्रत्येक क्लाइंट अपने IP पते और एक शेयर्ड सीक्रेट के साथ पंजीकृत होता है। उस शेयर्ड सीक्रेट का उपयोग AP और सर्वर के बीच RADIUS संदेशों को ऑथेंटिकेट करने के लिए किया जाता है। न्यूनतम 22 वर्णों का उपयोग करें, बेतरतीब ढंग से जनरेट किए गए, और प्रति NAS डिवाइस अद्वितीय。 दूसरा, आप अपनी नेटवर्क पॉलिसी कॉन्फ़िगर करते हैं। यह वह जगह है जहां आप परिभाषित करते हैं कि किसे क्या एक्सेस मिलता है। NPS के संदर्भ में, आप एक नेटवर्क पॉलिसी बना रहे हैं जो शर्तों — Active Directory में समूह सदस्यता, डिवाइस प्रकार, दिन का समय — से मेल खाती है और एट्रिब्यूट्स — VLAN ID, सत्र टाइमआउट, बैंडविड्थ सीमाएं — असाइन करती है। आप जिस RADIUS एट्रिब्यूट का सबसे अधिक उपयोग करेंगे वह VLAN असाइनमेंट है, विशेष रूप से Tunnel-Type को VLAN पर सेट करना, Tunnel-Medium-Type को 802 पर सेट करना, और Tunnel-Private-Group-ID को आपके VLAN नंबर पर सेट करना。 तीसरा, आप अपनी कनेक्शन अनुरोध पॉलिसी कॉन्फ़िगर करते हैं। यह NPS को बताता है कि आने वाले RADIUS अनुरोधों को कैसे संभालना है — क्या स्थानीय रूप से ऑथेंटिकेट करना है या किसी अन्य RADIUS सर्वर पर अग्रेषित करना है। एक वितरित डिप्लॉयमेंट में, आपके पास प्रत्येक साइट पर NPS प्रॉक्सी के साथ एक केंद्रीय RADIUS सर्वर हो सकता है。 सर्टिफ़िकेट पक्ष पर, PEAP और EAP-TLS के लिए, आपके RADIUS सर्वर को आपके क्लाइंट्स द्वारा विश्वसनीय सर्वर सर्टिफ़िकेट की आवश्यकता होती है। सबसे आसान रास्ता सार्वजनिक CA — DigiCert, Sectigo, Let's Encrypt — से सर्टिफ़िकेट का उपयोग करना है क्योंकि वे रूट सर्टिफ़िकेट पहले से ही सभी प्रमुख ऑपरेटिंग सिस्टम द्वारा विश्वसनीय हैं। यदि आप एक आंतरिक CA का उपयोग कर रहे हैं, तो आपको ग्रुप पॉलिसी या अपने MDM प्लेटफ़ॉर्म के माध्यम से सभी क्लाइंट उपकरणों पर रूट सर्टिफ़िकेट पुश करने की आवश्यकता है。 विशेष रूप से EAP-TLS के लिए, आपको क्लाइंट सर्टिफ़िकेट की भी आवश्यकता होती है। Active Directory वातावरण में, आप डोमेन-जॉइन्ड उपकरणों पर सर्टिफ़िकेट पुश करने के लिए ग्रुप पॉलिसी के माध्यम से ऑटो-एनरोलमेंट के साथ ADCS का उपयोग करेंगे। BYOD उपकरणों के लिए, आप सर्टिफ़िकेट और WiFi प्रोफ़ाइल दोनों को पुश करने के लिए अपने MDM — Intune, Jamf, VMware Workspace ONE — का उपयोग करेंगे。 एक्सेस पॉइंट की ओर, कॉन्फ़िगरेशन सीधा है। आप एक नया SSID बनाते हैं, सुरक्षा को WPA2-Enterprise या WPA3-Enterprise पर सेट करते हैं, RADIUS ऑथेंटिकेशन सर्वर को UDP पोर्ट 1812 पर अपने NPS IP पर इंगित करते हैं, UDP पोर्ट 1813 पर RADIUS अकाउंटिंग सर्वर सेट करते हैं, शेयर्ड सीक्रेट दर्ज करते हैं, और यदि आप इसका उपयोग कर रहे हैं तो डायनेमिक VLAN असाइनमेंट सक्षम करते हैं। अधिकांश एंटरप्राइज़ AP प्लेटफ़ॉर्म — Cisco Meraki, Aruba, Ruckus, Extreme — में इसके लिए एक GUI होता है जिसमें आपका RADIUS सर्वर तैयार होने के बाद लगभग दस मिनट लगते हैं。 [कार्यान्वयन सिफ़ारिशें और कमियां — लगभग 2 मिनट] ठीक है, आइए इस बारे में बात करते हैं कि डिप्लॉयमेंट कहां गलत होते हैं, क्योंकि यहीं मैं अपनी कंसल्टेंसी फीस कमाता हूं。 सबसे आम विफलता बिंदु सर्टिफ़िकेट वैलिडेशन है। मैंने संगठनों को सर्वर साइड पर PEAP-MSCHAPv2 को सही ढंग से डिप्लॉय करते देखा है, फिर किसी भी सर्टिफ़िकेट को स्वीकार करने के लिए क्लाइंट सप्लिकेंट प्रोफ़ाइल को कॉन्फ़िगर छोड़ दिया है। यह सुरक्षा मॉडल को पूरी तरह से कमजोर कर देता है। प्रत्येक सप्लिकेंट प्रोफ़ाइल — चाहे ग्रुप पॉलिसी या MDM के माध्यम से पुश की गई हो — को विश्वसनीय रूट CA और अपेक्षित सर्वर नाम निर्दिष्ट करना चाहिए। इसके बिना, आप ईविल ट्विन हमलों के प्रति संवेदनशील हैं。 दूसरी आम समस्या RADIUS शेयर्ड सीक्रेट प्रबंधन है। मैंने उत्पादन नेटवर्क को शेयर्ड सीक्रेट के साथ "radius" या वेंडर डिफ़ॉल्ट पर सेट देखा है। ये रहस्य आपके ऑथेंटिकेशन इंफ्रास्ट्रक्चर की कुंजियां हैं। उन्हें बेतरतीब ढंग से जनरेट करें, उन्हें एक सीक्रेट्स मैनेजर में स्टोर करें, और उन्हें एक शेड्यूल पर रोटेट करें。 तीसरा: VLAN मिसकॉन्फ़िगरेशन। डायनेमिक VLAN असाइनमेंट शक्तिशाली है — यह आपको एक ही SSID से कॉर्पोरेट VLAN पर स्टाफ़ डिवाइस, प्रतिबंधित VLAN पर ठेकेदारों और एक अलग VLAN पर IoT डिवाइस रखने देता है। लेकिन यदि RADIUS एट्रिब्यूट्स सही ढंग से कॉन्फ़िगर नहीं किए गए हैं, या स्विच ट्रंक पोर्ट सही VLAN नहीं ले जा रहे हैं, तो डिवाइस या तो कनेक्ट होने में विफल हो जाएंगे या गलत सेगमेंट पर आ जाएंगे। उत्पादन में रोल आउट करने से पहले एक लैब में इसका अच्छी तरह से परीक्षण करें。 चौथा: रिडंडेंसी। आपका RADIUS सर्वर अब इंफ्रास्ट्रक्चर का एक महत्वपूर्ण हिस्सा है। यदि यह डाउन हो जाता है, तो कोई भी कनेक्ट नहीं होता है। आपको प्रत्येक AP पर कम से कम एक प्राथमिक और द्वितीयक RADIUS सर्वर कॉन्फ़िगर करने की आवश्यकता है। बड़े डिप्लॉयमेंट में, स्वास्थ्य निगरानी के साथ RADIUS प्रॉक्सी क्लस्टर पर विचार करें。 पांचवां, और यह हॉस्पिटैलिटी और रिटेल वातावरण के लिए विशिष्ट है: गेस्ट बनाम कॉर्पोरेट अलगाव। आपका 802.1X कॉर्पोरेट SSID और आपका गेस्ट WiFi SSID पूरी तरह से अलग होना चाहिए — अलग VLAN, अलग फ़ायरवॉल पॉलिसियां, अलग DNS। Purple जैसा प्लेटफ़ॉर्म अपने स्वयं के Captive Portal और एनालिटिक्स लेयर के साथ गेस्ट पक्ष को संभालता है, जबकि आपका 802.1X इंफ्रास्ट्रक्चर कॉर्पोरेट पक्ष को संभालता है। ये पूरक हैं, प्रतिस्पर्धी नहीं, सिस्टम हैं。 [रैपिड-फ़ायर प्रश्नोत्तर — लगभग 1 मिनट] मुझे उन सवालों के बारे में बताने दें जो मुझे सबसे अधिक मिलते हैं。 क्या मैं क्लाउड-प्रबंधित AP प्लेटफ़ॉर्म पर 802.1X चला सकता हूं? हां — Meraki, Aruba Central, और Ruckus Cloud सभी इसका समर्थन करते हैं। आप क्लाउड डैशबोर्ड में RADIUS सर्वर विवरण कॉन्फ़िगर करते हैं, और APs EAP प्रॉक्सीइंग को संभालते हैं。 क्या मुझे Active Directory की आवश्यकता है? नहीं। FreeRADIUS LDAP, SQL डेटाबेस, फ़्लैट फ़ाइलों या यहां तक कि REST API के विरुद्ध ऑथेंटिकेट कर सकता है। लेकिन NPS के माध्यम से AD एकीकरण अब तक का सबसे आम एंटरप्राइज़ पथ है。 उन IoT उपकरणों के बारे में क्या जो 802.1X का समर्थन नहीं करते हैं? फ़ॉलबैक के रूप में MAC ऑथेंटिकेशन बायपास — MAB — का उपयोग करें। डिवाइस का MAC पता RADIUS को यूज़रनेम और पासवर्ड के रूप में भेजा जाता है। यह EAP जितना सुरक्षित नहीं है, लेकिन यह आपको IoT उपकरणों को प्रतिबंधित VLAN में रखते हुए ऑनबोर्ड करने देता है。 क्या 802.1X WPA3 के साथ काम करता है? हां। WPA3-Enterprise अनिवार्य रूप से 802.1X ऑथेंटिकेशन के साथ WPA3 है। यह मजबूत एन्क्रिप्शन जोड़ता है — उच्च-सुरक्षा मोड में 192-बिट — और नए डिप्लॉयमेंट के लिए अनुशंसित मानक है。 [सारांश और अगले कदम — लगभग 1 मिनट] तो इसे एक साथ लाने के लिए: 802.1X कोई ऐसी चीज़ नहीं है जिसे रखना अच्छा हो। संवेदनशील डेटा को संभालने, भुगतान संसाधित करने, या विनियमित वातावरण में काम करने वाले किसी भी संगठन के लिए, यह एंटरप्राइज़ WiFi सुरक्षा के लिए आधार रेखा है। आर्किटेक्चर अच्छी तरह से स्थापित है, टूलिंग परिपक्व है, और डिप्लॉयमेंट पथ स्पष्ट है。 अपने EAP तरीके के चयन से शुरू करें — PEAP-MSCHAPv2 यदि आपको त्वरित जीत और व्यापक संगतता की आवश्यकता है, EAP-TLS यदि आपके पास PKI इंफ्रास्ट्रक्चर है और सबसे मजबूत सुरक्षा स्थिति की आवश्यकता है। किसी भी AP को छूने से पहले अपने RADIUS सर्वर को कॉन्फ़िगर और रिडंडेंट करें। लाइव होने से पहले ग्रुप पॉलिसी या MDM के माध्यम से अपने सप्लिकेंट प्रोफ़ाइल पुश करें। और अपने गेस्ट WiFi को पूरी तरह से अलग रखें — उस लेयर के लिए एक उद्देश्य-निर्मित प्लेटफ़ॉर्म का उपयोग करें。 यदि आप एक बहु-स्थान वातावरण — होटल, रिटेल श्रृंखलाएं, स्टेडियम — संचालित कर रहे हैं, तो जटिलता साइटों की संख्या के साथ बढ़ती है, लेकिन आर्किटेक्चर नहीं बदलता है। कुंजी साइट-स्थानीय रिडंडेंसी के साथ केंद्रीकृत RADIUS है, और आपके डिवाइस बेड़े में एक सुसंगत MDM-पुश सप्लिकेंट प्रोफ़ाइल है。 सुनने के लिए धन्यवाद। पूर्ण लिखित मार्गदर्शिका, आर्किटेक्चर आरेख, और कॉन्फ़िगरेशन चेकलिस्ट purple.ai पर उपलब्ध हैं। यदि आप 802.1X डिप्लॉयमेंट की योजना बना रहे हैं और अपने वातावरण की बारीकियों के बारे में बात करना चाहते हैं, तो सीधे Purple टीम से संपर्क करें।