eduroam और 802.1X: उच्च शिक्षा के लिए सुरक्षित WiFi प्रमाणीकरण

पॉडकास्ट स्क्रिप्ट: eduroam और 802.1X — उच्च शिक्षा के लिए सुरक्षित WiFi प्रमाणीकरण रनटाइम: लगभग 10 मिनट आवाज़: यूके अंग्रेज़ी, पुरुष, वरिष्ठ सलाहकार टोन — आत्मविश्वासी, संवादात्मक, आधिकारिक --- [परिचय — 1 मिनट] वापसी पर स्वागत है। मैं अगले दस मिनट आपको eduroam और 802.1X के बारे में बताने जा रहा हूँ — वे क्या हैं, वे वास्तव में कैसे काम करते हैं, और उन्हें तैनात करने या उनके साथ एकीकृत करने से पहले आपकी टीम को क्या जानना चाहिए। यदि आप किसी विश्वविद्यालय, कॉलेज या शोध संस्थान में IT प्रबंधक, नेटवर्क आर्किटेक्ट या CTO हैं — या यदि आप एक वेन्यू ऑपरेटर हैं जिन्हें यह समझने की आवश्यकता है कि आपके अकादमिक आगंतुक आपके वायरलेस इन्फ्रास्ट्रक्चर से क्या उम्मीद कर रहे हैं — तो यह ब्रीफिंग आपके लिए है। आइए बड़ी तस्वीर से शुरू करते हैं। eduroam का अर्थ है "एजुकेशन रोमिंग (education roaming)"। यह एक वैश्विक WiFi रोमिंग सेवा है जो सदस्य संस्थानों के छात्रों, शोधकर्ताओं और कर्मचारियों को किसी भी भाग लेने वाले स्थान पर इंटरनेट से जुड़ने की सुविधा देती है — स्वचालित रूप से, सुरक्षित रूप से, अपने होम संस्थान के क्रेडेंशियल्स का उपयोग करके। कोई गेस्ट पोर्टल नहीं। कोई वाउचर कोड नहीं। फ्रंट डेस्क से पासवर्ड मांगने की कोई ज़रूरत नहीं। यह 2003 से चल रहा है, अब यह 100 से अधिक देशों में 10,000 से अधिक संस्थानों को कवर करता है, और यह दुनिया भर में उच्च शिक्षा में कैंपस वायरलेस नेटवर्किंग के लिए वास्तविक मानक है। यदि आपका संगठन विश्वविद्यालयों के साथ जुड़ता है — चाहे आप कैंपस के पास एक होटल हों, अकादमिक कार्यक्रमों की मेज़बानी करने वाला एक सम्मेलन केंद्र हों, या विश्वविद्यालय शहर में एक सार्वजनिक पुस्तकालय हों — eduroam को समझना आपकी नेटवर्क रणनीति के लिए सीधे प्रासंगिक है। --- [तकनीकी डीप-डाइव — 5 मिनट] ठीक है। आइए इसके काम करने के तरीके में चलते हैं。 eduroam IEEE 802.1X के शीर्ष पर बनाया गया है — पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक। 802.1X नेटवर्क तक पहुंच प्रदान करने से पहले उपकरणों को प्रमाणित करने के लिए एक रूपरेखा परिभाषित करता है। इसे मूल रूप से वायर्ड ईथरनेट के लिए डिज़ाइन किया गया था लेकिन यह वायरलेस पर भी पूरी तरह से लागू होता है, और यह उस चीज़ की नींव है जिसे हम WPA2-Enterprise या WPA3-Enterprise सुरक्षा कहते हैं। 802.1X मॉडल के तीन घटक हैं। पहला, सप्लिकेंट (Supplicant) — वह डिवाइस जो कनेक्ट करने का प्रयास कर रहा है। किसी छात्र का लैपटॉप, किसी शोधकर्ता का फोन। दूसरा, ऑथेंटिकेटर (Authenticator) — वह आपका नेटवर्क एक्सेस पॉइंट या मैनेज्ड स्विच है। यह सप्लिकेंट और बाकी नेटवर्क के बीच बैठता है और एक द्वारपाल के रूप में कार्य करता है। तीसरा, ऑथेंटिकेशन सर्वर (Authentication Server) — लगभग हमेशा एक RADIUS सर्वर। RADIUS का अर्थ है रिमोट ऑथेंटिकेशन डायल-इन यूज़र सर्विस। यह वह घटक है जो वास्तव में क्रेडेंशियल्स को मान्य करता है। यहाँ बताया गया है कि हैंडशेक कैसे काम करता है। छात्र का डिवाइस वायरलेस एक्सेस पॉइंट के साथ जुड़ता है। एक्सेस पॉइंट अभी तक पूर्ण नेटवर्क एक्सेस नहीं देता है — यह एक नियंत्रित पोर्ट खोलता है, लेकिन केवल EAP ट्रैफ़िक के लिए। EAP एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल है। एक्सेस पॉइंट डिवाइस और RADIUS सर्वर के बीच EAP वार्तालाप को प्रॉक्सी करता है। RADIUS सर्वर डिवाइस को चुनौती देता है, डिवाइस क्रेडेंशियल्स के साथ प्रतिक्रिया करता है — आमतौर पर एक उपयोगकर्ता नाम और पासवर्ड, या एक प्रमाणपत्र — और यदि RADIUS सर्वर संतुष्ट है, तो यह एक Access-Accept संदेश वापस भेजता है। एक्सेस पॉइंट तब पूर्ण नेटवर्क पोर्ट खोलता है। एक अच्छी तरह से कॉन्फ़िगर किए गए परिनियोजन में पूरे आदान-प्रदान में दो सेकंड से भी कम समय लगता है। अब, eduroam इसके ऊपर कहाँ लेयर करता है? eduroam एक पदानुक्रमित RADIUS प्रॉक्सी इन्फ्रास्ट्रक्चर का उपयोग करता है। प्रत्येक भाग लेने वाला संस्थान अपना स्वयं का RADIUS सर्वर चलाता है — जिसे आइडेंटिटी प्रोवाइडर, या IdP कहा जाता है। जब, मान लीजिए, मैनचेस्टर विश्वविद्यालय का कोई छात्र इंपीरियल कॉलेज लंदन जाता है और eduroam SSID से जुड़ता है, तो उनका डिवाइस username@manchester.ac.uk प्रारूप में उनके क्रेडेंशियल भेजता है। इंपीरियल का RADIUS सर्वर डोमेन (realm) देखता है — जो @ प्रतीक के बाद का हिस्सा है — और प्रमाणीकरण अनुरोध को राष्ट्रीय RADIUS सर्वर तक प्रॉक्सी करता है, जो यूके में Jisc द्वारा संचालित होता है, जो राष्ट्रीय अनुसंधान और शिक्षा नेटवर्क है। Jisc फिर अनुरोध को मैनचेस्टर विश्वविद्यालय के RADIUS सर्वर पर रूट करता है, जो क्रेडेंशियल्स को मान्य करता है और एक Accept या Reject वापस भेजता है। पूरी चेन मिलीसेकंड में हल हो जाती है। यह प्रॉक्सी चेन ही है जो eduroam को संस्थानों के बीच किसी भी पूर्व-साझा रहस्य के बिना संस्थागत सीमाओं के पार काम करने में सक्षम बनाती है। चेन में प्रत्येक हॉप केवल अपने तत्काल पड़ोसी के साथ एक साझा RADIUS रहस्य का उपयोग करता है। छात्र का वास्तविक पासवर्ड कभी भी होम संस्थान के RADIUS सर्वर से बाहर नहीं जाता है — यह EAP टनल द्वारा एंड-टू-एंड सुरक्षित रहता है। EAP विधियों की बात करें तो — यहीं पर कई परिनियोजन गलत हो जाते हैं, इसलिए ध्यान दें। eduroam में सबसे आम EAP विधियाँ PEAP — Protected EAP — और EAP-TLS हैं। PEAP एक TLS टनल के अंदर एक आंतरिक प्रमाणीकरण विधि, आमतौर पर MSCHAPv2 को लपेटता है। इसके लिए RADIUS सर्वर पर सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है, लेकिन क्लाइंट को केवल उपयोगकर्ता नाम और पासवर्ड की आवश्यकता होती है। EAP-TLS अधिक सुरक्षित विकल्प है — यह पारस्परिक प्रमाणपत्र प्रमाणीकरण का उपयोग करता है, जिसका अर्थ है कि सर्वर और क्लाइंट दोनों प्रमाणपत्र प्रस्तुत करते हैं। इसे बड़े पैमाने पर तैनात करना कठिन है क्योंकि आपको क्लाइंट प्रमाणपत्र जारी करने के लिए PKI की आवश्यकता होती है, लेकिन यह क्रेडेंशियल फ़िशिंग से अनिवार्य रूप से सुरक्षित है। महत्वपूर्ण सुरक्षा आवश्यकता जिसे कई संस्थान गलत करते हैं, वह क्लाइंट साइड पर प्रमाणपत्र सत्यापन है। जब कोई डिवाइस PEAP का उपयोग करके eduroam से जुड़ता है, तो डिवाइस को क्रेडेंशियल सबमिट करने से पहले RADIUS सर्वर के प्रमाणपत्र को सत्यापित करना चाहिए। यदि डिवाइस को किसी भी प्रमाणपत्र को स्वीकार करने के लिए गलत तरीके से कॉन्फ़िगर किया गया है, तो एक हमलावर eduroam SSID प्रसारित करने वाला एक दुष्ट एक्सेस पॉइंट खड़ा कर सकता है, एक स्व-हस्ताक्षरित प्रमाणपत्र प्रस्तुत कर सकता है, और क्रेडेंशियल हार्वेस्ट कर सकता है। यह एक ज्ञात हमला वेक्टर है। इसका समाधान आपके सप्लिकेंट प्रोफ़ाइल को कॉन्फ़िगर करना है — प्रबंधित डिवाइसों के लिए MDM के माध्यम से, या व्यक्तिगत डिवाइसों के लिए eduroam Configuration Assistant Tool, जिसे CAT के रूप में जाना जाता है, के माध्यम से — अपेक्षित प्रमाणपत्र प्राधिकरण और सर्वर नाम को पिन करने के लिए। मानकों के दृष्टिकोण से, eduroam परिनियोजन से eduroam पॉलिसी सर्विस डेफिनिशन का अनुपालन करने की अपेक्षा की जाती है, जो सभी RADIUS ओवर TLS कनेक्शनों के लिए TLS 1.2 या उच्चतर को अनिवार्य करता है, EAP-MD5 या LEAP जैसी कमज़ोर EAP विधियों के उपयोग को प्रतिबंधित करता है, और यह आवश्यक करता है कि सभी RADIUS प्रॉक्सी कनेक्शन जहां संभव हो सादे UDP RADIUS के बजाय RadSec — RADIUS ओवर TLS — का उपयोग करें। यह यूके में NCSC मार्गदर्शन और अमेरिका में NIST SP 800-120 के अनुरूप है। एक और तकनीकी बिंदु ध्यान देने योग्य है: VLAN असाइनमेंट। एक अच्छी तरह से आर्किटेक्ट किए गए eduroam परिनियोजन में, RADIUS Access-Accept प्रतिक्रिया में VLAN विशेषताएँ शामिल होती हैं जो एक्सेस पॉइंट को बताती हैं कि कनेक्टिंग डिवाइस को किस VLAN को असाइन करना है। यह आपको ट्रैफ़िक को विभाजित करने देता है — विज़िटिंग छात्रों को केवल इंटरनेट एक्सेस वाले प्रतिबंधित VLAN पर रखना, जबकि आपके अपने कर्मचारियों को आंतरिक नेटवर्क पर रूट किया जाता है। यह अनुपालन के लिए आवश्यक है, विशेष रूप से यदि आप PCI DSS के अधीन हैं या अनुसंधान डेटा नेटवर्क और सामान्य इंटरनेट ट्रैफ़िक के बीच अलगाव बनाए रखने की आवश्यकता है। --- [कार्यान्वयन सिफ़ारिशें और नुकसान — 2 मिनट] मैं आपको व्यावहारिक मार्गदर्शन देता हूँ। यदि आप पहली बार eduroam तैनात कर रहे हैं, तो आपका पहला कॉल आपके राष्ट्रीय NREN को होना चाहिए — यूके में वह Jisc है, आयरलैंड में HEAnet, अमेरिका में Internet2। वे फेडरेशन सदस्यता को संभालते हैं और आपको एक RADIUS डोमेन (realm) सौंपेंगे। आप अपने राष्ट्रीय फेडरेशन के सदस्य हुए बिना eduroam में भाग नहीं ले सकते। आपकी इन्फ्रास्ट्रक्चर चेकलिस्ट: आपको 802.1X-सक्षम एक्सेस पॉइंट की आवश्यकता है — Cisco, Aruba, Juniper, Ruckus, या Ubiquiti UniFi का कोई भी एंटरप्राइज़-ग्रेड किट यह करेगा। आपको एक RADIUS सर्वर की आवश्यकता है — FreeRADIUS ओपन-सोर्स मानक है, या आप Microsoft NPS, Cisco ISE, या Aruba ClearPass का उपयोग कर सकते हैं। आपको अपने RADIUS सर्वर के लिए एक CA से एक वैध TLS प्रमाणपत्र की आवश्यकता है जो eduroam समुदाय द्वारा विश्वसनीय है — आमतौर पर आपके संस्थान के PKI से एक प्रमाणपत्र या eduroam अनुमोदित सूची में एक वाणिज्यिक CA। मेरे द्वारा देखी जाने वाली तीन सबसे आम परिनियोजन विफलताएँ हैं: पहला, प्रमाणपत्र मिसकॉन्फ़िगरेशन — या तो RADIUS प्रमाणपत्र समाप्त हो गया है, या क्लाइंट सप्लिकेंट प्रोफ़ाइल सही ढंग से पिन नहीं किए गए हैं। दूसरा, RADIUS प्रॉक्सी टाइमआउट — यदि आपके अपस्ट्रीम NREN कनेक्शन में लेटेंसी की समस्या है, तो प्रमाणीकरण टाइम आउट हो जाएगा और उपयोगकर्ताओं को कनेक्शन विफलताएँ दिखाई देंगी जो क्रेडेंशियल त्रुटियों की तरह दिखती हैं। तीसरा, VLAN मिसकॉन्फ़िगरेशन — विज़िटिंग उपयोगकर्ता गलत नेटवर्क सेगमेंट पर समाप्त होते हैं, या तो कोई इंटरनेट एक्सेस नहीं मिलता है या, इससे भी बदतर, आंतरिक संसाधनों तक पहुंच प्राप्त करते हैं जो उन्हें नहीं देखना चाहिए। क्लाइंट साइड पर, अपने MDM प्लेटफ़ॉर्म के माध्यम से सभी प्रबंधित डिवाइसों पर eduroam CAT प्रोफ़ाइल तैनात करें। व्यक्तिगत डिवाइसों के लिए, CAT इंस्टॉलर लिंक को प्रमुखता से प्रकाशित करें। यह एक कदम अधिकांश सपोर्ट टिकटों को समाप्त कर देता है। उन स्थानों के लिए जो उच्च शिक्षा संस्थान नहीं हैं लेकिन eduroam एक्सेस प्रदान करना चाहते हैं — सम्मेलन केंद्र, होटल और इसी तरह — इस प्रक्रिया को eduroam Visitor Access, या eVA कहा जाता है। यह गैर-सदस्य संगठनों को eduroam SSID होस्ट करने और पूर्ण सदस्य हुए बिना फेडरेशन को प्रमाणीकरण प्रॉक्सी करने की अनुमति देता है। यदि आप नियमित रूप से अकादमिक सम्मेलनों या विश्वविद्यालय के कार्यक्रमों की मेज़बानी करते हैं तो यह जांचने योग्य है। --- [रैपिड-फायर प्रश्नोत्तर — 1 मिनट] त्वरित प्रश्न जो मुझसे नियमित रूप से पूछे जाते हैं। "क्या eduroam हमारे गेस्ट WiFi को पूरी तरह से बदल सकता है?" नहीं। eduroam केवल उन उपयोगकर्ताओं के लिए काम करता है जिनके पास सदस्य संस्थान में क्रेडेंशियल हैं। आपको अभी भी बाकी सभी के लिए एक अलग गेस्ट WiFi समाधान की आवश्यकता है — आगंतुक, ठेकेदार, आम जनता। "क्या eduroam GDPR के अनुरूप है?" हाँ, चेतावनियों के साथ। फेडरेशन आर्किटेक्चर का मतलब है कि आपका संस्थान प्रमाणीकरण डेटा को संसाधित करता है, लेकिन आपको यह सुनिश्चित करने की आवश्यकता है कि आपके गोपनीयता नोटिस इसे कवर करते हैं और आपके RADIUS लॉग को उचित रूप से संभाला जाता है। "क्या हम eduroam के साथ WPA3 का उपयोग कर सकते हैं?" हाँ। WPA3-Enterprise 802.1X के साथ पूरी तरह से संगत है और नए परिनियोजन के लिए अनुशंसित मानक है। यह उच्च-सुरक्षा वातावरण के लिए 192-बिट मोड एन्क्रिप्शन जोड़ता है। "eduroam और OpenRoaming के बीच क्या अंतर है?" OpenRoaming वायरलेस ब्रॉडबैंड एलायंस की एक व्यापक उद्योग पहल है जो समान 802.1X और RADIUS प्रॉक्सी आर्किटेक्चर का उपयोग करती है लेकिन रोमिंग को शिक्षा से परे वाणिज्यिक स्थानों तक बढ़ाती है। Purple सहित कुछ प्लेटफ़ॉर्म, अपने गेस्ट WiFi पेशकश के हिस्से के रूप में OpenRoaming का समर्थन करते हैं। --- [सारांश और अगले कदम — 1 मिनट] समाप्त करने के लिए। eduroam एक परिपक्व, अच्छी तरह से शासित, विश्व स्तर पर तैनात WiFi रोमिंग सेवा है जो 802.1X और एक पदानुक्रमित RADIUS प्रॉक्सी इन्फ्रास्ट्रक्चर पर निर्मित है। यह साझा पासवर्ड या Captive Portal के बिना — 10,000 से अधिक संस्थानों में प्रति-उपयोगकर्ता प्रमाणीकरण, मजबूत एन्क्रिप्शन और निर्बाध रोमिंग प्रदान करता है। कैंपस वायरलेस को तैनात या अपग्रेड करने वाली IT टीमों के लिए: जहां आपका PKI इसका समर्थन कर सकता है वहां PEAP पर EAP-TLS को प्राथमिकता दें, सभी क्लाइंट प्रोफाइल पर प्रमाणपत्र सत्यापन लागू करें, सभी RADIUS प्रॉक्सी कनेक्शन के लिए RadSec का उपयोग करें, और विज़िटिंग उपयोगकर्ताओं को एक समर्पित VLAN में विभाजित करें। वेन्यू ऑपरेटरों के लिए: यदि आप नियमित रूप से अकादमिक आगंतुकों की मेज़बानी करते हैं, तो eduroam Visitor Access की जांच करें। और भले ही आप eduroam तैनात करें या नहीं, आपका गेस्ट WiFi इन्फ्रास्ट्रक्चर एंटरप्राइज़-ग्रेड 802.1X सिद्धांतों पर बनाया जाना चाहिए — साझा PSK पर नहीं। यदि आप इनमें से किसी पर भी गहराई से जाना चाहते हैं — RADIUS आर्किटेक्चर, EAP-TLS के लिए PKI डिज़ाइन, या Purple जैसे प्लेटफ़ॉर्म eduroam और OpenRoaming के साथ कैसे एकीकृत होते हैं — तो पूरी लिखित गाइड शो नोट्स में लिंक की गई है। सुनने के लिए धन्यवाद। अगली बार तक। --- स्क्रिप्ट का अंत