EAP-TLS के साथ Android उपकरणों पर Enterprise WiFi सेटअप कैसे करें

Android डिवाइसेस पर EAP-TLS के साथ Enterprise WiFi कैसे सेटअप करें Purple का एक तकनीकी विवरण - लगभग 10 मिनट --- परिचय और संदर्भ - लगभग 1 मिनट Purple तकनीकी विवरण श्रृंखला में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम Android डिवाइसेस पर 802.1X EAP-TLS ऑथेंटिकेशन को लागू करने की विशिष्टताओं को समझने जा रहे हैं - चाहे आप किसी होटल एस्टेट, रिटेल चेन, स्टेडियम या पब्लिक-सेक्टर कैंपस का प्रबंधन कर रहे हों। यदि आप एक ऐसे नेटवर्क के लिए जिम्मेदार हैं जिसे शेयर्ड पासवर्ड पर निर्भर रहे बिना कॉर्पोरेट या BYOD Android डिवाइसेस को ऑथेंटिकेट करने की आवश्यकता है, तो यह एपिसोड आपके लिए है। EAP-TLS एंटरप्राइज WiFi सुरक्षा के लिए सबसे बेहतरीन मानक है - यह म्यूचुअल सर्टिफिकेट-आधारित ऑथेंटिकेशन का उपयोग करता है, जिसका अर्थ है कि फ़िशिंग के लिए कोई क्रेडेंशियल नहीं, बदलने के लिए कोई पासवर्ड नहीं, और एक अनुपालन स्थिति जो PCI-DSS, ISO 27001 और अधिकांश पब्लिक-सेक्टर सुरक्षा ढांचों को संतुष्ट करती है। इस विवरण के अंत तक, आप सटीक रूप से समझ जाएंगे कि Android पर EAP-TLS कैसे काम करता है, आपके डिप्लॉयमेंट विकल्प क्या हैं, और तीन सबसे सामान्य गलतियाँ कौन सी हैं जिनके कारण रोलआउट विफल होते हैं। आइए शुरू करते हैं। --- तकनीकी गहन विश्लेषण - लगभग 5 मिनट आइए आर्किटेक्चर से शुरुआत करें। 802.1X IEEE मानक है जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल को नियंत्रित करता है। जब कोई Android डिवाइस किसी एंटरप्राइज WiFi नेटवर्क से कनेक्ट होता है - जिसे WPA2-Enterprise या WPA3-Enterprise के रूप में कॉन्फ़िगर किया गया हो - तो एक्सेस पॉइंट एक ऑथेंटिकेटर के रूप में कार्य करता है। यह स्वयं ऑथेंटिकेशन का निर्णय नहीं लेता है; यह डिवाइस और RADIUS सर्वर के बीच बातचीत को पास करता है, जो कि वास्तविक ऑथेंटिकेशन सर्वर है। EAP-TLS - यानी ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल - उस 802.1X ढांचे के भीतर चलने वाली ऑथेंटिकेशन विधि है। यह इसे PEAP या EAP-TTLS से अलग बनाता है, जो TLS टनल के भीतर यूजरनेम और पासवर्ड का उपयोग करते हैं, क्योंकि EAP-TLS दोनों तरफ X.509 सर्टिफिकेट का उपयोग करता है। RADIUS सर्वर डिवाइस को एक सर्वर सर्टिफिकेट प्रस्तुत करता है, और डिवाइस वापस RADIUS सर्वर को एक क्लाइंट सर्टिफिकेट प्रस्तुत करता है। दोनों पक्ष एक-दूसरे को वैलिडेट करते हैं। यह म्यूचुअल ऑथेंटिकेशन है, और यही EAP-TLS को उपलब्ध सबसे सुरक्षित विकल्प बनाता है। अब, विशेष रूप से Android पर, कुछ चीजें हैं जो आपको समझने की आवश्यकता है। Android 11 और उसके बाद के संस्करणों ने अधिक कड़े सर्टिफिकेट वैलिडेशन आवश्यकताओं को पेश किया है। यदि आप Android 11 या उससे ऊपर के संस्करण पर डिप्लॉय कर रहे हैं - जो इस समय आपके एस्टेट का विशाल बहुमत है - तो डिवाइस तब तक कनेक्ट होने से इनकार कर देगा जब तक कि RADIUS सर्वर सर्टिफिकेट पर स्पष्ट रूप से भरोसा न किया जाए। आप अकेले सिस्टम ट्रस्ट स्टोर पर निर्भर नहीं रह सकते; आपको या तो रूट CA सर्टिफिकेट को डिवाइस पर पुश करना होगा या स्पष्ट रूप से इसका संदर्भ देने के लिए WiFi प्रोफाइल को कॉन्फ़िगर करना होगा।आइए सर्टिफिकेट चेन के बारे में बात करते हैं। किसी भी Android डिवाइस द्वारा EAP-TLS के माध्यम से प्रमाणित करने से पहले आपको तीन घटक स्थापित करने की आवश्यकता होती है। पहला, एक सर्टिफिकेट अथॉरिटी — या तो आपका आंतरिक PKI, Microsoft Active Directory Certificate Services, या Intune के माध्यम से SCEP जैसा क्लाउड PKI। दूसरा, आपके RADIUS सर्वर को जारी किया गया एक सर्वर सर्टिफिकेट, जिस पर उस CA द्वारा हस्ताक्षर किए गए हों। तीसरा, प्रत्येक डिवाइस या उपयोगकर्ता को जारी किया गया एक विशिष्ट क्लाइंट सर्टिफिकेट, जिस पर भी उसी CA द्वारा हस्ताक्षर किए गए हों। डिवाइस TLS हैंडशेक के दौरान अपना क्लाइंट सर्टिफिकेट प्रस्तुत करता है, और RADIUS सर्वर CA की सर्टिफिकेट निरस्तीकरण सूची (CRL) या OCSP - Online Certificate Status Protocol के माध्यम से इसे सत्यापित करता है। Android के लिए, क्लाइंट सर्टिफिकेट और प्राइवेट की (private key) को आमतौर पर एक PKCS12 फ़ाइल के रूप में पैक किया जाता है — यह एक डॉट-P12 या डॉट-PFX फ़ाइल होती है — जिसमें सर्टिफिकेट और एन्क्रिप्टेड प्राइवेट की दोनों शामिल होते हैं। मैन्युअल रूप से कॉन्फ़िगर किए गए डिवाइस पर, उपयोगकर्ता इस फ़ाइल को Settings, फिर Security, और फिर Install a Certificate के माध्यम से इम्पोर्ट करता है। MDM-प्रबंधित डिवाइस पर, सर्टिफिकेट चुपचाप डिवाइस के प्रबंधित कीस्टोर (keystore) पर भेज दिया जाता है — इसके लिए किसी उपयोगकर्ता इंटरैक्शन की आवश्यकता नहीं होती है। अब आइए खुद WiFi प्रोफाइल के बारे में बात करते हैं। Android पर एंटरप्राइज WiFi कनेक्शन कॉन्फ़िगर करते समय, आपको ये निर्दिष्ट करने की आवश्यकता होती है: SSID, सुरक्षा प्रकार — WPA2-Enterprise या WPA3-Enterprise — EAP विधि — जो कि TLS है — सर्वर सत्यापन के लिए CA सर्टिफिकेट, डिवाइस प्रमाणीकरण के लिए क्लाइंट सर्टिफिकेट, और पहचान स्ट्रिंग, जो आमतौर पर डिवाइस का Common Name या उपयोगकर्ता का UPN होता है। Android 11 और उससे ऊपर के संस्करणों पर, आपको मैन-इन-द-मिडल हमलों को रोकने के लिए डोमेन प्रत्यय मिलान (domain suffix match) या सर्वर सर्टिफिकेट विषय को भी निर्दिष्ट करना होगा। MDM परिनियोजन (deployments) के लिए — और यहीं पर वास्तविक पैमाना काम आता है — आप इस पूरे सेटअप को एक संरचित कॉन्फ़िगरेशन प्रोफाइल के रूप में भेज रहे हैं। Microsoft Intune में, आप एक SCEP सर्टिफिकेट प्रोफाइल बनाते हैं जो प्रत्येक नामांकित Android डिवाइस पर स्वचालित रूप से एक विशिष्ट क्लाइंट सर्टिफिकेट का अनुरोध करता है और उसे इंस्टॉल करता है। फिर आप एक WiFi कॉन्फ़िगरेशन प्रोफाइल बनाते हैं जो उस सर्टिफिकेट प्रोफाइल को संदर्भित करता है। जब डिवाइस चेक-इन करता है, तो उसे सर्टिफिकेट और WiFi प्रोफाइल दोनों प्राप्त होते हैं, और यह आपके 802.1X नेटवर्क से स्वचालित रूप से जुड़ जाता है। कोई उपयोगकर्ता इंटरैक्शन नहीं, कोई सपोर्ट कॉल नहीं। यदि आप इसके लिए Intune का उपयोग कर रहे हैं, तो डिवाइसों पर WiFi सर्टिफिकेट भेजने के लिए Microsoft Intune का उपयोग कैसे करें, इस पर हमारी सहयोगी मार्गदर्शिका सटीक कॉन्फ़िगरेशन चरणों के माध्यम से आपका मार्गदर्शन करती है — मैं इस ब्रीफिंग के साथ उसे पढ़ने की सलाह दूंगा। VMware Workspace ONE और Jamf Connect के लिए, प्रक्रिया संरचनात्मक रूप से बिल्कुल समान है — SCEP या PKCS सर्टिफिकेट प्रोफाइल, उसके बाद एक WiFi प्रोफाइल जो इसे संदर्भित करता है। विशिष्ट UI भिन्न हो सकता है, लेकिन सर्टिफिकेट चेन और RADIUS कॉन्फ़िगरेशन आवश्यकताएं समान हैं।RADIUS की ओर ध्यान देने योग्य एक बात: यदि आप FreeRADIUS, Microsoft NPS, या Cisco ISE चला रहे हैं, तो सुनिश्चित करें कि आपके सर्वर प्रमाणपत्र में सही Extended Key Usage विशेषताएं शामिल हैं - विशेष रूप से, Server Authentication, OID 1.3.6.1.5.5.7.3.1। Android इस बारे में सख्त है। एक प्रमाणपत्र जो Windows क्लाइंट के साथ ठीक काम करता है, वह Android पर विफल हो सकता है यदि EKU गायब है या गलत तरीके से कॉन्फ़िगर किया गया है। --- कार्यान्वयन सिफारिशें और संभावित त्रुटियां - लगभग 2 मिनट ठीक है, आइए बात करते हैं कि वास्तव में फ़ील्ड में क्या गलतियाँ होती हैं, क्योंकि यहीं पर अधिकांश परिनियोजन (deployments) मुश्किल में पड़ते हैं। पहली और सबसे आम विफलता प्रमाणपत्र ट्रस्ट की है। Android 11 और उससे ऊपर के संस्करण तब तक कनेक्ट नहीं होंगे जब तक कि RADIUS सर्वर की प्रमाणपत्र श्रृंखला (certificate chain) को मान्य नहीं किया जा सकता। इसका समाधान सीधा है: अपने रूट CA प्रमाणपत्र को MDM के माध्यम से डिवाइस के उपयोगकर्ता प्रमाणपत्र स्टोर में पुश करें, और WiFi प्रोफाइल के CA प्रमाणपत्र फ़ील्ड में स्पष्ट रूप से इसका संदर्भ दें। इसे "Do not validate" के रूप में न छोड़ें - यह एक सुरक्षा दोष है और यह वैसे भी कुछ Android संस्करणों पर विफल हो जाएगा। दूसरा नुकसान प्रमाणपत्र की समाप्ति (certificate expiry) है। क्लाइंट प्रमाणपत्रों की वैधता अवधि आमतौर पर एक से दो वर्ष की होती है। यदि आपके पास SCEP या NDES के माध्यम से स्वचालित नवीनीकरण की व्यवस्था नहीं है, तो आप एक सुबह उठकर पाएंगे कि आपके आधे डिवाइस समूह ने एक साथ WiFi एक्सेस खो दिया है। अपने MDM वर्कफ़्लो में पहले दिन से ही प्रमाणपत्र नवीनीकरण स्वचालन (automation) का निर्माण करें, इसे बाद के विचार के रूप में न छोड़ें। तीसरा मुद्दा RADIUS सर्वर क्षमता का है। पूर्ण पारस्परिक प्रमाणपत्र आदान-प्रदान के कारण EAP-TLS हैंडशेक, PEAP हैंडशेक की तुलना में कम्प्यूटेशनल रूप से अधिक महंगे होते हैं। हजारों एक साथ प्रमाणीकरण वाले स्टेडियम या कॉन्फ्रेंस सेंटर में, एक कम क्षमता वाला RADIUS सर्वर बाधा बन जाएगा। अपने RADIUS इन्फ्रास्ट्रक्चर को औसत लोड के लिए नहीं, बल्कि चरम समवर्ती प्रमाणीकरण (peak concurrent authentications) के लिए आकार दें। अंत में, Android की तरफ, इस बात से अवगत रहें कि विभिन्न निर्माताओं - Samsung, Google, Xiaomi - के पास WiFi कॉन्फ़िगरेशन API के थोड़े अलग कार्यान्वयन हैं। बड़े पैमाने पर रोल आउट करने से पहले अपने समूह के प्रत्येक निर्माता के प्रतिनिधि उपकरणों पर अपने MDM-पुश किए गए प्रोफाइल का परीक्षण करें। विशेष रूप से Samsung उपकरणों को ऐतिहासिक रूप से पहचान फ़ील्ड को स्पष्ट रूप से सेट करने की आवश्यकता होती है, भले ही इसका अनुमान प्रमाणपत्र से लगाया जा सकता हो। --- त्वरित प्रश्न और उत्तर - लगभग 1 मिनट कुछ त्वरित प्रश्न जो मुझसे नियमित रूप से पूछे जाते हैं। क्या मैं BYOD उपकरणों के लिए EAP-TLS का उपयोग कर सकता हूँ? हाँ, लेकिन इसके लिए उपयोगकर्ता को अपने व्यक्तिगत डिवाइस पर एक क्लाइंट प्रमाणपत्र स्थापित करने की आवश्यकता होती है। बड़े पैमाने पर BYOD के लिए, विचार करें कि क्या PAP के साथ EAP-TTLS या PEAP-MSCHAPv2 एक अधिक व्यावहारिक समझौता है, जिसमें EAP-TLS को कॉर्पोरेट-स्वामित्व वाले उपकरणों के लिए आरक्षित रखा जाए। क्या EAP-TLS, WPA3-Enterprise के साथ काम करता है? हाँ, और 192-बिट मोड के साथ WPA3-Enterprise वास्तव में EAP-TLS को अनिवार्य करता है। यदि आप उच्च-सुरक्षा वातावरण में WPA3-Enterprise तैनात कर रहे हैं, तो EAP-TLS ही आपका एकमात्र अनुपालन विकल्प है। मुझे किस न्यूनतम Android संस्करण को लक्षित करना चाहिए? Android 8 और उससे ऊपर के संस्करण मूल रूप से EAP-TLS का समर्थन करते हैं। Android 11 और उससे ऊपर के लिए, स्पष्ट CA प्रमाणपत्र सत्यापन लागू करें। Android 13 और उससे ऊपर के लिए, आप अधिक विस्तृत नियंत्रण के लिए बेहतर प्रमाणपत्र प्रबंधन APIs का लाभ उठा सकते हैं। क्या Purple का प्लेटफ़ॉर्म EAP-TLS नेटवर्क के साथ एकीकृत हो सकता है? Purple का गेस्ट WiFi और एनालिटिक्स प्लेटफ़ॉर्म आपके 802.1X कॉर्पोरेट नेटवर्क से एक अलग SSID पर काम करता है। आपके कॉर्पोरेट डिवाइस सुरक्षित SSID पर EAP-TLS के माध्यम से प्रमाणित होते हैं, जबकि अतिथि डिवाइस गेस्ट SSID पर Purple के captive portal का उपयोग करते हैं। दोनों एक ही एक्सेस पॉइंट इन्फ्रास्ट्रक्चर पर सह-अस्तित्व में रहते हैं, जिसमें VLAN पृथक्करण सुरक्षा सीमा प्रदान करता है। - सारांश और अगले कदम - लगभग 1 मिनट निष्कर्ष के तौर पर: Android पर EAP-TLS सबसे सुरक्षित एंटरप्राइज WiFi प्रमाणीकरण विधि उपलब्ध है, और आधुनिक MDM टूलिंग के साथ इसे बड़े पैमाने पर तैनात करना पूरी तरह से व्यावहारिक है। तीन चीजें जिन्हें सही करना आवश्यक है वे हैं: स्वचालित प्रमाणपत्र नवीनीकरण के साथ एक उचित रूप से कॉन्फ़िगर किया गया PKI, Android 11 और उससे ऊपर के संस्करणों पर स्पष्ट CA प्रमाणपत्र ट्रस्ट, और पीक लोड के लिए तैयार किया गया RADIUS इन्फ्रास्ट्रक्चर। यदि आप मिश्रित कॉर्पोरेट और गेस्ट ट्रैफ़िक वाले स्थान पर तैनात कर रहे हैं, तो Purple का प्लेटफ़ॉर्म आपको गेस्ट नेटवर्क पर एनालिटिक्स और एंगेजमेंट लेयर देता है जबकि आपका EAP-TLS इन्फ्रास्ट्रक्चर कॉर्पोरेट पक्ष को सुरक्षित रखता है। दोनों एक-दूसरे के पूरक हैं। आपके अगले कदमों के लिए: हमारी पूरी गाइड में हमारे आर्किटेक्चर आरेख की समीक्षा करें, Intune परिनियोजन वॉकथ्रू के माध्यम से काम करें, और अपनी पूरी संपत्ति में रोल आउट करने से पहले उपकरणों के एक सबसेट पर एक पायलट चलाएं। पचास उपकरणों के नियंत्रित समूह के साथ शुरुआत करें, प्रमाणपत्र वितरण और WiFi कनेक्टिविटी को सत्यापित करें, फिर आत्मविश्वास के साथ स्केल करें। Purple Technical Briefing सुनने के लिए धन्यवाद। आपको पूरी लिखित गाइड, आरेख और कॉन्फ़िगरेशन संदर्भ purple.ai पर मिलेंगे। अगली बार तक।