Enterprise SCEP सेटअप गाइड: उच्च शिक्षा और बड़े नेटवर्क के लिए सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन

एंटरप्राइज़ SCEP सेटअप गाइड: उच्च शिक्षा और बड़े नेटवर्क के लिए प्रमाणपत्र-आधारित WiFi प्रमाणीकरण एक Purple तकनीकी ब्रीफिंग - पॉडकास्ट स्क्रिप्ट (लगभग 10 मिनट) --- परिचय और संदर्भ - लगभग 1 मिनट Purple तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। आज मैं एक ऐसे विषय पर बात कर रहा हूँ जो कई IT इनबॉक्स में तो आता है लेकिन उसका सीधा जवाब शायद ही कभी मिलता है: आप वास्तव में एक बड़े नेटवर्क पर - चाहे वह विश्वविद्यालय का परिसर हो, बहु-स्थान होटल समूह हो, या एक बड़ा सार्वजनिक क्षेत्र का एस्टेट हो - SCEP का उपयोग करके बड़े पैमाने पर प्रमाणपत्र-आधारित WiFi प्रमाणीकरण को कैसे तैनात करते हैं? हम इसके पूरे परिदृश्य को कवर करने जा रहे हैं। SCEP वास्तव में क्या करता है, यह एक 802.1X आर्किटेक्चर में कैसे फिट बैठता है, परिनियोजन (डिप्लॉयमेंट) का वह क्रम जिसे अधिकांश टीमें गलत समझती हैं, वास्तविक दुनिया के दो कार्यान्वयन परिदृश्य, और वे कमियाँ जो आपकी जिंदगी का एक सप्ताहांत (वीकेंड) बर्बाद कर देंगी यदि आप उनके लिए पहले से योजना नहीं बनाते हैं। यह एक कंसलटेंट ब्रीफिंग है, कोई ट्यूटोरियल नहीं। मैं यह मानकर चल रहा हूँ कि आप जानते हैं कि RADIUS सर्वर क्या है और आपने शायद पहले ही यह तय कर लिया है कि आपको प्री-शेयर्ड कीज़ से आगे बढ़ने की आवश्यकता है। अब आपको जिसकी आवश्यकता है, वह है कार्यान्वयन का नक्शा। आइए इसमें गहराई से समझें। --- तकनीकी विश्लेषण - लगभग 5 मिनट तो, पहले सिद्धांतों पर आते हैं। SCEP का अर्थ है सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल। इसे 2020 में IETF द्वारा RFC 8894 के रूप में औपचारिक रूप दिया गया था, हालांकि इससे एक दशक से भी पहले से यह बड़े उद्यमों में व्यापक रूप से उपयोग में था। इसका काम सीधा है: किसी व्यक्ति द्वारा प्रत्येक मशीन को छुए बिना, एक प्रबंधित डिवाइस पर डिजिटल प्रमाणपत्र प्राप्त करने की प्रक्रिया को स्वचालित करना। WiFi प्रमाणीकरण के संदर्भ में, SCEP वितरण तंत्र (डिलीवरी मैकेनिज्म) है। वास्तविक प्रमाणीकरण प्रोटोकॉल जिसे आप लक्षित कर रहे हैं वह है EAP-TLS - ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल - जो 802.1X फ्रेमवर्क के भीतर काम करता है। EAP-TLS को उद्यम वायरलेस नेटवर्क के लिए सबसे सुरक्षित प्रमाणीकरण विधि माना जाता है क्योंकि इसके लिए क्लाइंट डिवाइस और RADIUS सर्वर दोनों को मान्य प्रमाणपत्र प्रस्तुत करने की आवश्यकता होती है। दोनों में से कोई भी पक्ष क्रिप्टोग्राफिक प्रमाण के बिना दूसरे पर भरोसा नहीं करता है। वह पारस्परिक प्रमाणीकरण ही आपको इविल ट्विन हमलों से बचाता है - जहां एक हमलावर क्रेडेंशियल चुराने के लिए एक अनधिकृत एक्सेस पॉइंट तैयार करता है। यहाँ बताया गया है कि पूरी श्रृंखला कैसे काम करती है। एक प्रबंधित डिवाइस - जैसे छात्र का लैपटॉप, स्टाफ का फोन, या होटल का पॉइंट-ऑफ-सेल टर्मिनल - को कॉर्पोरेट वायरलेस नेटवर्क में शामिल होना आवश्यक होता है। आपका MDM प्लेटफ़ॉर्म, जो Microsoft Intune या Jamf हो सकता है, उस डिवाइस पर SCEP पेलोड भेजता है। पेलोड में दो चीजें शामिल होती हैं: SCEP URL, जो आपके NDES सर्वर या क्लाउड SCEP गेटवे की ओर संकेत करता है, और एक चैलेंज पासवर्ड या साझा गुप्त कुंजी। डिवाइस स्थानीय स्तर पर अपनी स्वयं की पब्लिक और प्राइवेट की (key) जोड़ी बनाता है। यह अत्यंत महत्वपूर्ण है। प्राइवेट की कभी भी डिवाइस से बाहर नहीं जाती है। यह ऑन-डिवाइस तैयार होती है, सिक्योर एन्क्लेव या TPM में सुरक्षित रूप से संग्रहीत की जाती है, और नेटवर्क पर कभी भी प्रसारित नहीं होती है। इसके बाद डिवाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट - यानी CSR - बनाता है और इसे SCEP गेटवे पर भेजता है। गेटवे चैलेंज को मान्य करता है, CSR को आपके सर्टिफिकेट अथॉरिटी (CA) के पास भेजता है, और CA इस पर हस्ताक्षर करके पब्लिक सर्टिफिकेट डिवाइस को वापस कर देता है। उस बिंदु से, जब भी डिवाइस आपके WiFi SSID से कनेक्ट होता है, तो वह यह सर्टिफिकेट RADIUS सर्वर के समक्ष प्रस्तुत करता है। RADIUS सर्वर आपके CA की ट्रस्ट चेन के विरुद्ध सर्टिफिकेट को सत्यापित करता है, यह पुष्टि करने के लिए सर्टिफिकेट रिवोकेशन लिस्ट की जांच करता है कि सर्टिफिकेट रद्द तो नहीं किया गया है, और यदि सब कुछ सही रहता है, तो एक्सेस पॉइंट को एक स्वीकृति संदेश भेजता है। डिवाइस नेटवर्क से जुड़ जाता है। यह पूरी प्रक्रिया यूजर के लिए अदृश्य होती है। अब, आइए इस बारे में बात करें कि SCEP इसके विकल्प, यानी PKCS की तुलना में कहाँ ठहरता है। PKCS - पब्लिक की क्रिप्टोग्राफी स्टैंडर्ड्स - दूसरा सर्टिफिकेट डिलीवरी मेथड है जो Intune जैसे प्लेटफ़ॉर्म द्वारा समर्थित है। PKCS के साथ, CA केंद्रीय रूप से पब्लिक और प्राइवेट की दोनों को जनरेट करता है, और सर्टिफिकेट कनेक्टर की (key) जोड़ी को डिवाइस पर भेजता है। इसका मतलब है कि प्राइवेट की नेटवर्क पर यात्रा करती है, जिससे संभावित सुरक्षा जोखिम का खतरा रहता है। PKCS उन उपयोग के मामलों के लिए ठीक है जैसे S/MIME ईमेल एन्क्रिप्शन जहां की-एस्क्रो वास्तव में वांछनीय है। WiFi ऑथेंटिकेशन के लिए, SCEP ही सही विकल्प है। इसमें प्राइवेट की हमेशा डिवाइस पर ही सुरक्षित रहती है। अब, हार्डवेयर लेयर की बात करते हैं। SCEP और EAP-TLS वेंडर-न्यूट्रल मानक हैं, जिसका अर्थ है कि वे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet एक्सेस पॉइंट पर समान रूप से काम करते हैं। आपका RADIUS कॉन्फ़िगरेशन - चाहे वह Windows NPS हो, FreeRADIUS हो, या कोई क्लाउड RADIUS सेवा हो - वह स्थान है जहां आप सर्टिफिकेट वेरिफिकेशन पॉलिसी को परिभाषित करते हैं और, सबसे महत्वपूर्ण बात, जहां आप डायनेमिक VLAN असाइनमेंट को कॉन्फ़िगर करते हैं। डायनेमिक VLAN वह तरीका है जिसके द्वारा आप पहचान के आधार पर नेटवर्क को विभाजित करते हैं। छात्र के डिवाइस को VLAN 20 मिलता है - केवल इंटरनेट एक्सेस के लिए। संकाय सदस्य के डिवाइस को VLAN 10 मिलता है - आंतरिक शोध प्रणालियों तक पहुंच के लिए। सुविधा प्रबंधन (फैसिलिटीज) डिवाइस को VLAN 30 मिलता है - बिल्डिंग मैनेजमेंट सिस्टम तक पहुंच के लिए। यह सब सर्टिफिकेट एट्रिब्यूट्स और RADIUS पॉलिसी द्वारा संचालित होता है, जिसमें प्रति डिवाइस किसी मैन्युअल हस्तक्षेप की आवश्यकता नहीं होती है। आइडेंटिटी प्रोवाइडर इंटीग्रेशन के लिए, SCEP सर्टिफिकेट एट्रिब्यूट्स - विशेष रूप से Subject Alternative Name - Microsoft Entra ID, Okta, या Google Workspace से यूजर का प्रिंसिपल नेम ले जा सकते हैं। यह सर्टिफिकेट को एक विशिष्ट आइडेंटिटी से जोड़ता है, जिसका अर्थ है कि जब आप Entra ID में किसी अकाउंट को डिसेबल करते हैं और MDM डिवाइस को अनएनरोल करता है, तो सर्टिफिकेट को रिवोक कर दिया जाता है और WiFi एक्सेस अपने आप कट हो जाता है। यह रिवोकेशन की वह कहानी है जो प्री-शेयर्ड कीज बस बयां नहीं कर सकतीं। - - - कार्यान्वयन की सिफारिशें और संभावित गलतियां - लगभग 2 मिनट ठीक है, आइए डिप्लॉयमेंट सीक्वेंस के बारे में बात करते हैं, क्योंकि यही वह जगह है जहां अधिकांश टीमें गलती कर बैठती हैं। यह सीक्वेंस अपरिवर्तनीय है: पहले Trusted Root सर्टिफिकेट, दूसरा SCEP सर्टिफिकेट प्रोफाइल, और तीसरा WiFi प्रोफाइल। Intune और Jamf दोनों प्रोफाइल डिपेंडेंसीज लागू करते हैं। यदि आपका WiFi प्रोफाइल किसी ऐसे SCEP सर्टिफिकेट को रेफर करता है जो अभी तक डिवाइस पर डिप्लॉय नहीं किया गया है, तो WiFi प्रोफाइल एक गुप्त एरर के साथ फेल हो जाएगा जो मिसकॉन्फ़िगरेशन जैसा दिखता है लेकिन वास्तव में केवल एक टाइमिंग इश्यू होता है। दूसरा नुकसान ग्रुप टारगेटिंग का है। तीनों प्रोफाइल - Trusted Root, SCEP, और WiFi - बिल्कुल उसी Azure AD या Jamf ग्रुप पर डिप्लॉय होने चाहिए। यदि SCEP प्रोफाइल किसी यूजर ग्रुप को टारगेट करता है और WiFi प्रोफाइल किसी डिवाइस ग्रुप को टारगेट करता है, तो Intune डिपेंडेंसी को रीसॉल्व नहीं कर सकता है और WiFi प्रोफाइल Not Applicable के रूप में दिखाई देगा। यह टीमों को लगातार परेशान करता है। तीसरा: NDES सर्वर एक्सेसिबिलिटी। आपके NDES सर्वर को इंटरनेट से एक्सेस किया जा सकना चाहिए ताकि डिवाइस ऑन-साइट आने से पहले एनरोल कर सकें। ऐसा करने का सही तरीका Azure AD Application Proxy के माध्यम से है, न कि आपके फ़ायरवॉल में कोई छेद करके। App Proxy आपको इनबाउंड पोर्ट्स के बिना सुरक्षित रिमोट एक्सेस देता है और आपको एनरोलमेंट फ्लो पर कंडीशनल एक्सेस नीतियां लागू करने की अनुमति देता है। चौथा: CRL उपलब्धता। आपका RADIUS सर्वर हर बार डिवाइस के ऑथेंटिकेट होने पर Certificate Revocation List की जांच करता है। यदि आपका CRL Distribution Point अनुपलब्ध है - क्योंकि कोई सर्वर डाउन है, या URL बदल गया है - तो नेटवर्क पर हर डिवाइस के लिए ऑथेंटिकेशन एक साथ फेल हो जाता है। यह पूरे कैंपस में आउटेज का कारण बन सकता है। अपने CRL एंडपॉइंट्स को अत्यधिक उपलब्ध बनाएं, और लाइव जाने से पहले रिवोकेशन का परीक्षण करें। बड़े नेटवर्क के लिए - 500 से अधिक डिवाइस वाले किसी भी नेटवर्क के लिए - ऑन-प्रिमाइसेस NDES के बजाय क्लाउड SCEP गेटवे पर विचार करें। क्लाउड गेटवे NDES सिंगल पॉइंट ऑफ फेल्योर को समाप्त करते हैं, हॉरिजॉन्टली स्केल करते हैं, और आम तौर पर क्लाउड RADIUS सेवाओं के साथ सीधे इंटीग्रेट होते हैं, जिससे एक और इन्फ्रास्ट्रक्चर डिपेंडेंसी दूर हो जाती है। - - - रैपिड-फायर प्रश्न और उत्तर - लगभग 1 मिनट क्या SCEP उन BYOD डिवाइसेज को हैंडल कर सकता है जो MDM-एनरोल्ड नहीं हैं? सीधे तौर पर नहीं। SCEP को सर्टिफिकेट पेलोड पुश करने के लिए MDM एनरोलमेंट की आवश्यकता होती है। अनमैनेज्ड BYOD के लिए, आपको एक अलग दृष्टिकोण की आवश्यकता होगी - या तो एक सेल्फ-सर्विस ऑनबोर्डिंग पोर्टल, या आइडेंटिटी वेरिफिकेशन के साथ Captive Portal का उपयोग करने वाला एक अलग SSID। Purple का प्लेटफ़ॉर्म आपके सर्टिफिकेट-ऑथेंटिकेटेड स्टाफ नेटवर्क के साथ काम करते हुए उस गेस्ट और BYOD लेयर को सफाई से संभालता है।iOS और Android के बारे में क्या? दोनों प्लेटफॉर्म SCEP का मूल रूप से समर्थन करते हैं। iOS ने iOS 4 से SCEP का समर्थन किया है। Android Enterprise, Intune और अन्य MDMs के माध्यम से SCEP का समर्थन करता है। प्रत्येक प्लेटफॉर्म के अनुसार कॉन्फ़िगरेशन थोड़ा भिन्न है लेकिन अंतर्निहित प्रोटोकॉल बिल्कुल समान है। क्या EAP-TLS, WPA3 के साथ काम करता है? हाँ। WPA3-Enterprise संवेदनशील वातावरण के लिए 192-बिट सुरक्षा मोड को अनिवार्य बनाता है, और EAP-TLS पूरी तरह से अनुकूल है। वास्तव में, EAP-TLS के साथ WPA3-Enterprise वह संयोजन है जिसकी सिफारिश Wi-Fi Alliance द्वारा सरकारी और वित्तीय नेटवर्क के लिए की जाती है। - - - सारांश और अगले कदम - लगभग 1 मिनट इसे एक साथ लाने के लिए। SCEP प्रमाणपत्र WiFi प्रमाणीकरण 50 से अधिक प्रबंधित उपकरणों वाले किसी भी नेटवर्क के लिए सही आर्किटेक्चर है। यह साझा क्रेडेंशियल्स को समाप्त करता है, आपको प्रति-उपकरण पहचान देता है, डायनेमिक VLAN सेगमेंटेशन को सक्षम बनाता है, और स्वचालित निरसन के लिए सीधे आपके पहचान प्रदाता के साथ एकीकृत होता है। परिनियोजन अनुक्रम - Trusted Root, फिर SCEP प्रोफाइल, फिर WiFi प्रोफाइल - निश्चित है। समूह लक्ष्यीकरण सुसंगत होना चाहिए। CRL उपलब्धता वैकल्पिक नहीं है। विशेष रूप से उच्च शिक्षा के लिए, कर्मचारियों और संकाय उपकरणों के लिए SCEP का संयोजन, व्यक्तिगत उपकरणों पर छात्रों के लिए एक अलग अतिथि WiFi परत के साथ, आपको बिना किसी समझौते के सुरक्षा और एक बेहतरीन उपयोगकर्ता अनुभव दोनों देता है। यदि आप और गहराई से जानना चाहते हैं, तो Active Directory या ऑन-प्रिमाइसेस सर्वर के बिना एंटरप्राइज़ WiFi प्रमाणीकरण पर Purple की मार्गदर्शिका क्लाउड-नेटिव पथ को कवर करती है। और यदि आप सोच रहे हैं कि जब कोई कर्मचारी छोड़ता है तो क्या होता है, तो WiFi एक्सेस को निरस्त करने पर हमारी मार्गदर्शिका संपूर्ण निरसन वर्कफ़्लो के बारे में बताती है। सुनने के लिए धन्यवाद। मैं Purple तकनीकी टीम से हूँ, और हम आपसे अगले ब्रीफिंग में मिलेंगे। - - - स्क्रिप्ट का अंत