eduroam और 802.1X: उच्च शिक्षा के लिए सुरक्षित WiFi प्रमाणीकरण

पॉडकास्ट स्क्रिप्ट: eduroam और 802.1X - उच्च शिक्षा के लिए सुरक्षित WiFi प्रमाणीकरण रनटाइम: लगभग 10 मिनट आवाज: UK English, पुरुष, वरिष्ठ सलाहकार का लहजा - आत्मविश्वासी, संवादात्मक, आधिकारिक --- [परिचय - 1 मिनट] वापस स्वागत है। मैं अगले दस मिनट आपको eduroam और 802.1X के बारे में बताने में बिताऊंगा - वे क्या हैं, वे वास्तव में कैसे काम करते हैं, और आपकी टीम को इन्हें लागू करने या एकीकृत करने से पहले क्या जानने की आवश्यकता है। यदि आप किसी विश्वविद्यालय, कॉलेज, या अनुसंधान संस्थान में IT प्रबंधक, नेटवर्क आर्किटेक्ट, या CTO हैं - या यदि आप एक वेन्यू ऑपरेटर हैं जिन्हें यह समझने की आवश्यकता है कि आपके शैक्षणिक आगंतुक आपके वायरलेस इंफ्रास्ट्रक्चर से क्या उम्मीद कर रहे हैं - तो यह ब्रीफिंग आपके लिए ही है। आइए बड़े परिदृश्य से शुरुआत करें। eduroam का अर्थ है "education roaming"। यह एक वैश्विक WiFi रोमिंग सेवा है जो सदस्य संस्थानों के छात्रों, शोधकर्ताओं और कर्मचारियों को किसी भी भागीदार वेन्यू पर इंटरनेट से जुड़ने की अनुमति देती है - स्वचालित रूप से, सुरक्षित रूप से, उनके गृह संस्थान के क्रेडेंशियल्स का उपयोग करके। कोई गेस्ट पोर्टल नहीं। कोई वाउचर कोड नहीं। फ्रंट डेस्क से पासवर्ड मांगने की कोई आवश्यकता नहीं। यह 2003 से चल रहा है, यह अब 100 से अधिक देशों में 10,000 से अधिक संस्थानों को कवर करता है, और यह दुनिया भर में उच्च शिक्षा में कैंपस वायरलेस नेटवर्किंग के लिए वास्तविक मानक है। यदि आपका संगठन विश्वविद्यालयों से जुड़ा है - चाहे आप किसी कैंपस के पास होटल हों, शैक्षणिक कार्यक्रमों की मेजबानी करने वाले कॉन्फ्रेंस सेंटर हों, या किसी विश्वविद्यालय शहर में सार्वजनिक पुस्तकालय हों - eduroam को समझना आपकी नेटवर्क रणनीति के लिए सीधे तौर पर प्रासंगिक है। --- [तकनीकी गहन विश्लेषण - 5 मिनट] ठीक है। आइए इसकी कार्यप्रणाली को समझते हैं। eduroam को IEEE 802.1X के ऊपर बनाया गया है - जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक है। 802.1X उन उपकरणों को प्रमाणित करने के लिए एक ढांचा परिभाषित करता है जिन्हें नेटवर्क तक पहुंच दी जाती है। इसे मूल रूप से वायर्ड ईथरनेट के लिए डिज़ाइन किया गया था लेकिन यह वायरलेस पर भी पूरी तरह से काम करता है, और यह उस सुरक्षा की नींव है जिसे हम WPA2-Enterprise या WPA3-Enterprise सुरक्षा कहते हैं। 802.1X मॉडल के तीन घटक हैं। पहला, Supplicant - वह उपकरण जो कनेक्ट करने का प्रयास कर रहा है। किसी छात्र का लैपटॉप, शोधकर्ता का फोन। दूसरा, Authenticator - यह आपका नेटवर्क एक्सेस पॉइंट या प्रबंधित स्विच है। यह Supplicant और बाकी नेटवर्क के बीच बैठता है और गेटकीपर के रूप में कार्य करता है। तीसरा, Authentication Server - जो लगभग हमेशा एक RADIUS सर्वर होता है। RADIUS का अर्थ है Remote Authentication Dial-In User Service। यह वह घटक है जो वास्तव में क्रेडेंशियल्स को सत्यापित करता है। यहाँ बताया गया है कि यह हैंडशेक कैसे काम करता है। छात्र का डिवाइस वायरलेस एक्सेस पॉइंट से जुड़ता है। एक्सेस पॉइंट अभी तक पूर्ण नेटवर्क एक्सेस नहीं देता है - यह एक नियंत्रित पोर्ट खोलता है, लेकिन केवल EAP ट्रैफ़िक के लिए। EAP का अर्थ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल (Extensible Authentication Protocol) है। एक्सेस पॉइंट डिवाइस और RADIUS सर्वर के बीच EAP बातचीत को प्रॉक्सी करता है। RADIUS सर्वर डिवाइस को चुनौती देता है, डिवाइस क्रेडेंशियल्स - आमतौर पर एक यूजरनेम और पासवर्ड, या एक सर्टिफिकेट - के साथ प्रतिक्रिया करता है और यदि RADIUS सर्वर संतुष्ट होता है, तो यह वापस एक Access-Accept संदेश भेजता है। इसके बाद एक्सेस पॉइंट पूर्ण नेटवर्क पोर्ट खोलता है। एक अच्छी तरह से कॉन्फ़िगर किए गए डिप्लॉयमेंट में यह पूरी प्रक्रिया दो सेकंड से भी कम समय में पूरी हो जाती है। अब, eduroam इसके ऊपर कैसे काम करता है? eduroam एक पदानुक्रमित (hierarchical) RADIUS प्रॉक्सी इंफ्रास्ट्रक्चर का उपयोग करता है। प्रत्येक भाग लेने वाला संस्थान अपना स्वयं का RADIUS सर्वर चलाता है - जिसे आइडेंटिटी प्रोवाइडर, या IdP कहा जाता है। जब मान लीजिए यूनिवर्सिटी ऑफ़ मैनचेस्टर का कोई छात्र इंपीरियल कॉलेज लंदन जाता है और eduroam SSID से जुड़ता है, तो उनका डिवाइस उनके क्रेडेंशियल्स को username@manchester.ac.uk प्रारूप में भेजता है। इंपीरियल का RADIUS सर्वर क्षेत्र (realm) - जो कि @ प्रतीक के बाद का हिस्सा है - को देखता है और ऑथेंटिकेशन अनुरोध को राष्ट्रीय RADIUS सर्वर पर प्रॉक्सी करता है, जिसे यूके में Jisc द्वारा संचालित किया जाता है, जो राष्ट्रीय अनुसंधान और शिक्षा नेटवर्क है। इसके बाद Jisc इस अनुरोध को यूनिवर्सिटी ऑफ़ मैनचेस्टर के RADIUS सर्वर पर रूट करता है, जो क्रेडेंशियल्स को सत्यापित करता है और Accept या Reject वापस भेजता है। यह पूरी श्रृंखला मिलीसेकंड में पूरी हो जाती है। यही प्रॉक्सी श्रृंखला संस्थानों के बीच बिना किसी पूर्व-साझा रहस्यों के eduroam को संस्थागत सीमाओं के पार काम करने में सक्षम बनाती है। श्रृंखला का प्रत्येक हॉप केवल अपने निकटतम पड़ोसी के साथ एक साझा RADIUS रहस्य का उपयोग करता है। छात्र का वास्तविक पासवर्ड कभी भी गृह संस्थान के RADIUS सर्वर से बाहर नहीं जाता है - यह EAP टनल द्वारा एंड-टू-एंड सुरक्षित रहता है। EAP तरीकों की बात करें तो - यहीं पर बहुत सारे डिप्लॉयमेंट गलत हो जाते हैं, इसलिए ध्यान दें। eduroam में सबसे आम EAP तरीके PEAP - प्रोटेक्टेड EAP - और EAP-TLS हैं। PEAP एक आंतरिक ऑथेंटिकेशन विधि, आमतौर पर MSCHAPv2 को, एक TLS टनल के भीतर लपेटता है। इसके लिए RADIUS सर्वर पर एक सर्वर-साइड सर्टिफिकेट की आवश्यकता होती है, लेकिन क्लाइंट को केवल एक यूजरनेम और पासवर्ड की आवश्यकता होती है। EAP-TLS अधिक सुरक्षित विकल्प है - यह म्यूचुअल सर्टिफिकेट ऑथेंटिकेशन का उपयोग करता है, जिसका अर्थ है कि सर्वर और क्लाइंट दोनों सर्टिफिकेट प्रस्तुत करते हैं। इसे बड़े पैमाने पर तैनात करना अधिक कठिन है क्योंकि क्लाइंट सर्टिफिकेट जारी करने के लिए आपको एक PKI की आवश्यकता होती है, लेकिन यह क्रेडेंशियल फ़िशिंग से पूरी तरह सुरक्षित है। महत्वपूर्ण सुरक्षा आवश्यकता जिसे कई संस्थान गलत समझते हैं, वह क्लाइंट साइड पर सर्टिफिकेट वैलिडेशन (प्रमाणपत्र सत्यापन) है। जब कोई डिवाइस PEAP का उपयोग करके eduroam से कनेक्ट होता है, तो क्रेडेंशियल सबमिट करने से पहले डिवाइस को RADIUS सर्वर के सर्टिफिकेट को सत्यापित करना आवश्यक है। यदि डिवाइस किसी भी सर्टिफिकेट को स्वीकार करने के लिए गलत तरीके से कॉन्फ़िगर किया गया है, तो एक हमलावर eduroam SSID प्रसारित करने वाला एक नकली एक्सेस पॉइंट खड़ा कर सकता है, एक सेल्फ-हस्ताक्षरित सर्टिफिकेट प्रस्तुत कर सकता है, और क्रेडेंशियल चुरा सकता है। यह एक ज्ञात अटैक वेक्टर है। इसका समाधान आपके सप्लिकेंट प्रोफाइल को कॉन्फ़िगर करना है - प्रबंधित डिवाइसों के लिए MDM के माध्यम से, या व्यक्तिगत डिवाइसों के लिए eduroam कॉन्फ़िगरेशन असिस्टेंट टूल, जिसे CAT के रूप में जाना जाता है, के माध्यम से - ताकि अपेक्षित सर्टिफिकेट अथॉरिटी और सर्वर नाम को पिन किया जा सके। मानकों के दृष्टिकोण से, eduroam परिनियोजन से eduroam पॉलिसी सर्विस डेफिनिशन का अनुपालन करने की अपेक्षा की जाती है, जो TLS पर सभी RADIUS कनेक्शनों के लिए TLS 1.2 या उच्चतर को अनिवार्य करता है, EAP-MD5 या LEAP जैसे कमजोर EAP तरीकों के उपयोग को प्रतिबंधित करता है, और यह आवश्यक बनाता है कि जहां तक संभव हो सभी RADIUS प्रॉक्सी कनेक्शन सामान्य UDP RADIUS के बजाय RadSec - TLS पर RADIUS - का उपयोग करें। यह UK में NCSC मार्गदर्शन और US में NIST SP 800-120 के अनुरूप है। एक और तकनीकी बिंदु जिस पर ध्यान देना आवश्यक है: VLAN असाइनमेंट। एक अच्छे से डिज़ाइन किए गए eduroam परिनियोजन में, RADIUS Access-Accept रिस्पॉन्स में VLAN विशेषताएं शामिल होती हैं जो एक्सेस पॉइंट को बताती हैं कि कनेक्टिंग डिवाइस को किस VLAN में असाइन करना है। यह आपको ट्रैफ़िक को विभाजित करने की अनुमति देता है - विजिट करने वाले छात्रों को केवल-इंटरनेट एक्सेस वाले प्रतिबंधित VLAN पर रखना, जबकि आपके अपने कर्मचारियों को आंतरिक नेटवर्क पर रूट किया जाता है। यह अनुपालन के लिए आवश्यक है, विशेष रूप से तब जब आप PCI DSS के अधीन हों या अनुसंधान डेटा नेटवर्क और सामान्य इंटरनेट ट्रैफ़िक के बीच पृथकता बनाए रखना चाहते हों। - - - [कार्यान्वयन अनुशंसाएं और कमियां - 2 मिनट] मैं आपको व्यावहारिक मार्गदर्शन प्रदान करता हूं। यदि आप पहली बार eduroam तैनात कर रहे हैं, तो आपका पहला संपर्क आपके राष्ट्रीय NREN से होना चाहिए - UK में यह Jisc है, आयरलैंड में HEAnet है, US में Internet2 है। वे फेडरेशन सदस्यता का प्रबंधन करते हैं और आपको एक RADIUS रियल्म (realm) असाइन करेंगे। आप अपने राष्ट्रीय फेडरेशन का सदस्य बने बिना eduroam में भाग नहीं ले सकते। आपकी इन्फ्रास्ट्रक्चर चेकलिस्ट: आपको 802.1X-सक्षम एक्सेस पॉइंट की आवश्यकता है - Cisco, Aruba, Juniper, Ruckus, या Ubiquiti UniFi का कोई भी एंटरप्राइज़-ग्रेड किट इसके लिए काम करेगा। आपको एक RADIUS सर्वर की आवश्यकता है - FreeRADIUS ओपन-सोर्स मानक है, या आप Microsoft NPS, Cisco ISE, या Aruba ClearPass का उपयोग कर सकते हैं। आपको eduroam समुदाय द्वारा विश्वसनीय CA से अपने RADIUS सर्वर के लिए एक वैध TLS सर्टिफिकेट की आवश्यकता है - आमतौर पर आपके संस्थान के PKI या eduroam की स्वीकृत सूची में शामिल किसी कमर्शियल CA से मिला सर्टिफिकेट।तीन सबसे आम डिप्लॉयमेंट विफलताएं जो मैं देखता हूँ वे हैं: पहला, सर्टिफिकेट मिसकॉन्फ़िगरेशन - या तो RADIUS सर्टिफिकेट समाप्त हो गया है, या क्लाइंट सप्लिकेंट प्रोफाइल सही तरीके से पिन नहीं किए गए हैं। दूसरा, RADIUS प्रॉक्सी टाइमआउट - यदि आपके अपस्ट्रीम NREN कनेक्शन में लेटेंसी की समस्याएं हैं, तो ऑथेंटिकेशन टाइमआउट हो जाएगा और उपयोगकर्ताओं को कनेक्शन विफलताएं दिखाई देंगी जो क्रेडेंशियल एरर जैसी दिखती हैं। तीसरा, VLAN मिसकॉन्फ़िगरेशन - विजिट करने वाले उपयोगकर्ता गलत नेटवर्क सेगमेंट पर पहुंच जाते हैं, जिससे या तो उन्हें इंटरनेट एक्सेस नहीं मिलता है या, इससे भी बदतर, उन आंतरिक संसाधनों तक एक्सेस मिल जाता है जिन्हें उन्हें नहीं देखना चाहिए। क्लाइंट की ओर, अपने MDM प्लेटफॉर्म के माध्यम से सभी प्रबंधित डिवाइसेस पर eduroam CAT प्रोफाइल डिप्लॉय करें। पर्सनल डिवाइसेस के लिए, CAT इंस्टॉलर लिंक को प्रमुखता से पब्लिश करें। यह अकेला कदम अधिकांश सपोर्ट टिकटों को समाप्त कर देता है। उन वेन्यू के लिए जो उच्च शिक्षा संस्थान नहीं हैं लेकिन eduroam एक्सेस देना चाहते हैं - जैसे कॉन्फ्रेंस सेंटर, होटल और इसी तरह के स्थान - इस प्रक्रिया को eduroam Visitor Access, या eVA कहा जाता है। यह गैर-सदस्य संगठनों को पूर्ण सदस्य बने बिना eduroam SSID को होस्ट करने और फेडरेशन में ऑथेंटिकेशन को प्रॉक्सी करने की अनुमति देता है। यदि आप नियमित रूप से शैक्षणिक सम्मेलनों या विश्वविद्यालय कार्यक्रमों की मेजबानी करते हैं, तो इसकी जांच करना फायदेमंद है। - - - [रैपिड-फायर Q&A - 1 मिनट] त्वरित प्रश्न जो मुझसे नियमित रूप से पूछे जाते हैं। "क्या eduroam हमारे गेस्ट WiFi को पूरी तरह से रिप्लेस कर सकता है?" नहीं। eduroam केवल उन उपयोगकर्ताओं के लिए काम करता है जिनके पास किसी सदस्य संस्थान के क्रेडेंशियल हैं। आपको बाकी सभी लोगों - विजिटर्स, कॉन्ट्रैक्टर्स, आम जनता के लिए अभी भी एक अलग गेस्ट WiFi समाधान की आवश्यकता होगी। "क्या eduroam GDPR के अनुकूल है?" हाँ, कुछ शर्तों के साथ। फेडरेशन आर्किटेक्चर का मतलब है कि आपका संस्थान ऑथेंटिकेशन डेटा को प्रोसेस करता है, लेकिन आपको यह सुनिश्चित करना होगा कि आपके प्राइवेसी नोटिस इसे कवर करते हों और आपके RADIUS लॉग्स को उचित रूप से संभाला जाता हो। "क्या हम eduroam के साथ WPA3 का उपयोग कर सकते हैं?" हाँ। WPA3-Enterprise पूरी तरह से 802.1X के साथ संगत है और नए डिप्लॉयमेंट के लिए अनुशंसित मानक है। यह उच्च-सुरक्षा परिवेशों के लिए 192-बिट मोड एन्क्रिप्शन जोड़ता है। "eduroam और OpenRoaming में क्या अंतर है?" OpenRoaming वायरलेस ब्रॉडबैंड एलायंस की एक व्यापक उद्योग पहल है जो उसी 802.1X और RADIUS प्रॉक्सी आर्किटेक्चर का उपयोग करती है लेकिन रोमिंग को शिक्षा से परे कमर्शियल वेन्यू तक विस्तारित करती है। Purple सहित कुछ प्लेटफॉर्म, अपनी गेस्ट WiFi पेशकश के हिस्से के रूप में OpenRoaming का समर्थन करते हैं। - - - [सारांश और अगले कदम - 1 मिनट] समापन के लिए। eduroam एक परिपक्व, सुव्यवस्थित, विश्व स्तर पर डिप्लॉय की गई WiFi रोमिंग सेवा है जो 802.1X और एक पदानुक्रमित RADIUS प्रॉक्सी इन्फ्रास्ट्रक्चर पर बनी है। यह साझा पासवर्ड या Captive Portals के बिना, प्रति-उपयोगकर्ता ऑथेंटिकेशन, मजबूत एन्क्रिप्शन और 10,000 से अधिक संस्थानों में निर्बाध रोमिंग प्रदान करता है। कैंपस वायरलेस को डिप्लॉय या अपग्रेड करने वाली IT टीमों के लिए: जहां आपका PKI इसका समर्थन कर सके वहां PEAP पर EAP-TLS को प्राथमिकता दें, सभी क्लाइंट प्रोफाइल पर सर्टिफिकेट वेरिफिकेशन लागू करें, सभी RADIUS प्रॉक्सी कनेक्शन के लिए RadSec का उपयोग करें, और विजिट करने वाले उपयोगकर्ताओं को एक समर्पित VLAN में विभाजित करें।वेन्यू ऑपरेटरों के लिए: यदि आप नियमित रूप से शैक्षणिक आगंतुकों की मेजबानी करते हैं, तो eduroam Visitor Access की जांच करें। और भले ही आप eduroam को तैनात करें या न करें, आपका गेस्ट WiFi इन्फ्रास्ट्रक्चर एंटरप्राइज़-ग्रेड 802.1X सिद्धांतों पर बनाया जाना चाहिए - न कि साझा PSKs पर। यदि आप इनमें से किसी भी विषय पर गहराई से जानना चाहते हैं - RADIUS आर्किटेक्चर, EAP-TLS के लिए PKI डिज़ाइन, या कैसे Purple जैसे प्लेटफॉर्म eduroam और OpenRoaming के साथ एकीकृत होते हैं - तो पूरी लिखित गाइड शो नोट्स में लिंक की गई है। सुनने के लिए धन्यवाद। अगली बार तक। --- स्क्रिप्ट का अंत