Enterprise SCEP सेटअप गाइड: उच्च शिक्षा और बड़े नेटवर्क के लिए सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन

Enterprise SCEP सेटअप गाइड: उच्च शिक्षा और बड़े नेटवर्क के लिए सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन एक Purple टेक्निकल ब्रीफिंग - पॉडकास्ट स्क्रिप्ट (लगभग 10 मिनट) --- परिचय और संदर्भ - लगभग 1 मिनट Purple टेक्निकल ब्रीफिंग सीरीज़ में आपका स्वागत है। आज मैं एक ऐसी चीज़ के बारे में बात कर रहा हूँ जो कई IT इनबॉक्स में आती है लेकिन शायद ही कभी उसका कोई सीधा जवाब मिलता है: आप वास्तव में बड़े पैमाने पर, SCEP का उपयोग करके, एक बड़े नेटवर्क पर सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन कैसे डिप्लॉय करते हैं - चाहे वह एक विश्वविद्यालय परिसर हो, एक मल्टी-साइट होटल समूह हो, या एक बड़ा सार्वजनिक क्षेत्र का एस्टेट हो? हम पूरी तस्वीर को कवर करने जा रहे हैं। SCEP वास्तव में क्या करता है, यह 802.1X आर्किटेक्चर में कैसे फिट बैठता है, डिप्लॉयमेंट सीक्वेंस जिसे अधिकांश टीमें गलत समझती हैं, दो वास्तविक दुनिया के कार्यान्वयन परिदृश्य, और वे कमियां जो आपके जीवन का एक सप्ताहांत बर्बाद कर देंगी यदि आप उनके लिए योजना नहीं बनाते हैं। यह एक कंसलटेंट ब्रीफिंग है, कोई ट्यूटोरियल नहीं। मैं मान रहा हूँ कि आप जानते हैं कि RADIUS सर्वर क्या है और आपने शायद पहले ही तय कर लिया है कि आपको प्री-शेयर्ड कीज़ से दूर जाने की आवश्यकता है। अब आपको जिसकी आवश्यकता है वह है कार्यान्वयन का नक्शा। आइए शुरू करते हैं। --- तकनीकी डीप-डाइव - लगभग 5 मिनट तो, बुनियादी सिद्धांत। SCEP का अर्थ Simple Certificate Enrollment Protocol है। इसे 2020 में IETF द्वारा RFC 8894 के रूप में औपचारिक रूप दिया गया था, हालांकि इससे पहले एक दशक से अधिक समय से इसका व्यापक रूप से एंटरप्राइज में उपयोग किया जा रहा था। इसका काम सीधा है: प्रत्येक मशीन को किसी व्यक्ति द्वारा छुए बिना एक प्रबंधित डिवाइस पर डिजिटल सर्टिफिकेट प्राप्त करने की प्रक्रिया को स्वचालित करना। WiFi ऑथेंटिकेशन के संदर्भ में, SCEP डिलीवरी मैकेनिज्म है। वास्तविक ऑथेंटिकेशन प्रोटोकॉल जिसे आप लक्षित कर रहे हैं वह EAP-TLS है - Extensible Authentication Protocol with Transport Layer Security - जो 802.1X फ्रेमवर्क के अंदर बैठता है। EAP-TLS को व्यापक रूप से एंटरप्राइज वायरलेस नेटवर्क के लिए सबसे सुरक्षित ऑथेंटिकेशन विधि माना जाता है क्योंकि इसके लिए क्लाइंट डिवाइस और RADIUS सर्वर दोनों को वैध सर्टिफिकेट प्रस्तुत करने की आवश्यकता होती है। कोई भी पक्ष बिना क्रिप्टोग्राफिक प्रमाण के दूसरे पर भरोसा नहीं करता है। यही म्यूचुअल ऑथेंटिकेशन आपको ईविल ट्विन हमलों से बचाता है - जहां एक हमलावर क्रेडेंशियल चोरी करने के लिए एक नकली एक्सेस पॉइंट बनाता है। यहाँ बताया गया है कि पूरी श्रृंखला कैसे काम करती है। एक प्रबंधित डिवाइस - एक छात्र का लैपटॉप, एक स्टाफ का फोन, एक होटल का पॉइंट-ऑफ-सेल टर्मिनल - को कॉर्पोरेट वायरलेस नेटवर्क में शामिल होने की आवश्यकता होती है। आपका MDM प्लेटफॉर्म, जो Microsoft Intune या Jamf हो सकता है, उस डिवाइस पर एक SCEP पेलोड भेजता है। पेलोड में दो चीजें होती हैं: SCEP URL, जो आपके NDES सर्वर या क्लाउड SCEP गेटवे की ओर इशारा करता है, और एक चैलेंज पासवर्ड या शेयर्ड सीक्रेट। डिवाइस स्थानीय रूप से अपनी खुद की पब्लिक और प्राइवेट की जोड़ी बनाता है। यह महत्वपूर्ण है। प्राइवेट की कभी भी डिवाइस से बाहर नहीं जाती है। यह डिवाइस पर ही उत्पन्न होती है, सुरक्षित एन्क्लेव या TPM में संग्रहीत होती है, और इसे कभी भी नेटवर्क पर प्रसारित नहीं किया जाता है। इसके बाद डिवाइस एक Certificate Signing Request - एक CSR - बनाता है और इसे SCEP गेटवे पर भेजता है। गेटवे चैलेंज को सत्यापित करता है, CSR को आपके Certificate Authority को फॉरवर्ड करता है, और CA इस पर हस्ताक्षर करके पब्लिक सर्टिफिकेट डिवाइस को वापस कर देता है। उस समय से, जब डिवाइस आपके WiFi SSID से कनेक्ट होता है, तो यह उस सर्टिफिकेट को RADIUS सर्वर के सामने प्रस्तुत करता है। RADIUS सर्वर आपके CA की ट्रस्ट चेन के खिलाफ सर्टिफिकेट को मान्य करता है, यह पुष्टि करने के लिए Certificate Revocation List की जांच करता है कि सर्टिफिकेट रद्द तो नहीं किया गया है, और यदि सब कुछ ठीक रहता है, तो एक्सेस पॉइंट को एक एक्सेप्ट संदेश भेजता है। डिवाइस नेटवर्क पर आ जाता है। यह पूरी प्रक्रिया यूजर के लिए अदृश्य होती है। अब, बात करते हैं कि SCEP विकल्प की तुलना में कहां खड़ा है, जो कि PKCS है। PKCS - Public Key Cryptography Standards - दूसरा सर्टिफिकेट डिलीवरी तरीका है जो Intune जैसे प्लेटफॉर्म द्वारा समर्थित है। PKCS के साथ, CA केंद्रीय रूप से पब्लिक और प्राइवेट दोनों की उत्पन्न करता है, और सर्टिफिकेट कनेक्टर की जोड़ी को डिवाइस पर भेजता है। इसका मतलब है कि प्राइवेट की नेटवर्क पर यात्रा करती है, जो एक सैद्धांतिक हमला क्षेत्र पेश करती है। PKCS उन उपयोग के मामलों के लिए ठीक है जैसे S/MIME ईमेल एन्क्रिप्शन जहां की एस्क्रो वास्तव में वांछनीय है। WiFi ऑथेंटिकेशन के लिए, SCEP सही विकल्प है। प्राइवेट की डिवाइस पर ही रहती है, बात खत्म। अब, हार्डवेयर लेयर। SCEP और EAP-TLS वेंडर-न्यूट्रल मानक हैं, जिसका अर्थ है कि वे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet एक्सेस पॉइंट्स पर काम करते हैं। आपका RADIUS कॉन्फ़िगरेशन - चाहे वह Windows NPS हो, FreeRADIUS हो, या क्लाउड RADIUS सेवा हो - वह जगह है जहां आप सर्टिफिकेट सत्यापन नीति को परिभाषित करते हैं और, गंभीर रूप से, जहां आप डायनेमिक VLAN असाइनमेंट कॉन्फ़िगर करते हैं। डायनेमिक VLANs वे तरीके हैं जिनसे आप पहचान के आधार पर नेटवर्क को विभाजित करते हैं। एक छात्र के डिवाइस को VLAN 20 मिलता है - केवल इंटरनेट एक्सेस। एक फैकल्टी डिवाइस को VLAN 10 मिलता है - आंतरिक अनुसंधान प्रणालियों तक पहुंच। एक सुविधा प्रबंधन डिवाइस को VLAN 30 मिलता है - भवन प्रबंधन प्रणालियों तक पहुंच। यह सब सर्टिफिकेट विशेषताओं और RADIUS नीति द्वारा संचालित होता है, जिसमें प्रति डिवाइस कोई मैन्युअल हस्तक्षेप नहीं होता है। पहचान प्रदाता एकीकरण के लिए, SCEP सर्टिफिकेट विशेषताएं - विशेष रूप से Subject Alternative Name - Microsoft Entra ID, Okta, या Google Workspace से उपयोगकर्ता का मुख्य नाम ले जा सकती हैं। यह सर्टिफिकेट को एक विशिष्ट पहचान से जोड़ता है, जिसका अर्थ है कि जब आप Entra ID में किसी खाते को अक्षम करते हैं और MDM डिवाइस को अनएनरोल करता है, तो सर्टिफिकेट रद्द कर दिया जाता है और WiFi एक्सेस स्वचालित रूप से कट जाती है। यह वह रिवोकेशन कहानी है जो प्री-शेयर्ड कीज़ बस नहीं बता सकती हैं। --- कार्यान्वयन सिफारिशें और कमियां - लगभग 2 मिनट ठीक है, आइए डिप्लॉयमेंट सीक्वेंस के बारे में बात करते हैं, क्योंकि यहीं पर अधिकांश टीमें गलती करती हैं। सीक्वेंस गैर-परक्राम्य है: पहले Trusted Root सर्टिफिकेट, दूसरा SCEP सर्टिफिकेट प्रोफाइल, तीसरा WiFi प्रोफाइल। Intune और Jamf दोनों प्रोफाइल डिपेंडेंसी लागू करते हैं। यदि आपका WiFi प्रोफाइल किसी ऐसे SCEP सर्टिफिकेट को संदर्भित करता है जो अभी तक डिवाइस पर डिप्लॉय नहीं किया गया है, तो WiFi प्रोफाइल एक गुप्त त्रुटि के साथ विफल हो जाएगा जो एक गलत कॉन्फ़िगरेशन की तरह दिखता है लेकिन वास्तव में केवल एक समय का मुद्दा है। दूसरा नुकसान ग्रुप टारगेटिंग है। तीनों प्रोफाइल - Trusted Root, SCEP, और WiFi - बिल्कुल एक ही Azure AD या Jamf ग्रुप में डिप्लॉय किए जाने चाहिए। यदि SCEP प्रोफाइल किसी यूजर ग्रुप को लक्षित करता है और WiFi प्रोफाइल किसी डिवाइस ग्रुप को लक्षित करता है, तो Intune डिपेंडेंसी को हल नहीं कर सकता है और WiFi प्रोफाइल 'Not Applicable' के रूप में दिखाई देगा। यह टीमों को लगातार परेशान करता है। तीसरा: NDES सर्वर एक्सेसिबिलिटी। आपका NDES सर्वर इंटरनेट से सुलभ होना चाहिए ताकि डिवाइस ऑन-साइट आने से पहले एनरोल कर सकें। ऐसा करने का सही तरीका Azure AD Application Proxy के माध्यम से है, न कि आपके फ़ायरवॉल में छेद करके। App Proxy आपको इनबाउंड पोर्ट के बिना सुरक्षित रिमोट एक्सेस देता है और आपको एनरोलमेंट फ़्लो पर कंडीशनल एक्सेस नीतियां लागू करने देता है। चौथा: CRL उपलब्धता। जब भी कोई डिवाइस ऑथेंटिकेट होता है, आपका RADIUS सर्वर Certificate Revocation List की जांच करता है। यदि आपका CRL Distribution Point अनुपलब्ध है - क्योंकि सर्वर डाउन है, या URL बदल गया है - तो नेटवर्क पर प्रत्येक डिवाइस के लिए ऑथेंटिकेशन एक साथ विफल हो जाता है। यह पूरे परिसर में आउटेज है। अपने CRL एंडपॉइंट्स को अत्यधिक उपलब्ध बनाएं, और लाइव होने से पहले रिवोकेशन का परीक्षण करें। बड़े नेटवर्क के लिए - 500 से अधिक डिवाइस - ऑन-प्रिमाइसेस NDES के बजाय क्लाउड SCEP गेटवे पर विचार करें। क्लाउड गेटवे NDES के सिंगल पॉइंट ऑफ़ फेलियर को समाप्त करते हैं, क्षैतिज रूप से स्केल करते हैं, और आमतौर पर क्लाउड RADIUS सेवाओं के साथ सीधे एकीकृत होते हैं, जिससे एक और बुनियादी ढांचा निर्भरता समाप्त हो जाती है। --- रैपिड-फायर प्रश्न और उत्तर - लगभग 1 मिनट क्या SCEP उन BYOD डिवाइसों को संभाल सकता है जो MDM-एनरोल नहीं हैं? सीधे तौर पर नहीं। सर्टिफिकेट पेलोड को पुश करने के लिए SCEP को MDM एनरोलमेंट की आवश्यकता होती है। अप्रबंधित BYOD के लिए, आपको एक अलग दृष्टिकोण की आवश्यकता है - या तो एक सेल्फ-सर्विस ऑनबोर्डिंग पोर्टल, या पहचान सत्यापन के साथ कैप्टिव पोर्टल का उपयोग करने वाला एक अलग SSID। Purple का प्लेटफॉर्म उस गेस्ट और BYOD लेयर को सफाई से संभालता है, जो आपके सर्टिफिकेट-ऑथेंटिकेटेड स्टाफ नेटवर्क के साथ काम करता है। iOS और Android के बारे में क्या? दोनों प्लेटफॉर्म मूल रूप से SCEP का समर्थन करते हैं। iOS ने iOS 4 के बाद से SCEP का समर्थन किया है। Android Enterprise, Intune और अन्य MDMs के माध्यम से SCEP का समर्थन करता है। कॉन्फ़िगरेशन प्रति प्लेटफॉर्म थोड़ा अलग है लेकिन अंतर्निहित प्रोटोकॉल समान है। क्या EAP-TLS, WPA3 के साथ काम करता है? हाँ। WPA3-Enterprise संवेदनशील वातावरण के लिए 192-बिट सुरक्षा मोड को अनिवार्य करता है, और EAP-TLS पूरी तरह से संगत है। वास्तव में, EAP-TLS के साथ WPA3-Enterprise सरकारी और वित्तीय नेटवर्क के लिए WiFi Alliance द्वारा अनुशंसित संयोजन है। --- सारांश और अगले कदम - लगभग 1 मिनट इसे एक साथ लाने के लिए। SCEP सर्टिफिकेट WiFi ऑथेंटिकेशन 50 से अधिक प्रबंधित डिवाइसों वाले किसी भी नेटवर्क के लिए सही आर्किटेक्चर है। यह साझा क्रेडेंशियल को समाप्त करता है, आपको प्रति-डिवाइस पहचान देता है, डायनेमिक VLAN सेगमेंटेशन को सक्षम बनाता है, और स्वचालित रिवोकेशन के लिए सीधे आपके पहचान प्रदाता के साथ एकीकृत होता है। डिप्लॉयमेंट सीक्वेंस - Trusted Root, फिर SCEP प्रोफाइल, फिर WiFi प्रोफाइल - निश्चित है। ग्रुप टारगेटिंग सुसंगत होनी चाहिए। CRL उपलब्धता वैकल्पिक नहीं है। विशेष रूप से उच्च शिक्षा के लिए, स्टाफ और फैकल्टी डिवाइसों के लिए SCEP का संयोजन, व्यक्तिगत डिवाइसों पर छात्रों के लिए एक अलग गेस्ट WiFi लेयर के साथ, आपको बिना किसी समझौते के सुरक्षा और एक बेहतरीन उपयोगकर्ता अनुभव दोनों देता है। यदि आप और गहराई से जानना चाहते हैं, तो Active Directory या ऑन-प्रिमाइसेस सर्वर के बिना एंटरप्राइज WiFi ऑथेंटिकेशन पर Purple की गाइड क्लाउड-नेटिव पथ को कवर करती है। और यदि आप सोच रहे हैं कि जब कोई कर्मचारी छोड़ता है तो क्या होता है, तो WiFi एक्सेस को रद्द करने पर हमारी गाइड पूर्ण रिवोकेशन वर्कफ़्लो के माध्यम से मार्गदर्शन करती है। सुनने के लिए धन्यवाद। मैं Purple तकनीकी टीम से हूँ, और हम आपसे अगली ब्रीफिंग में मिलेंगे। --- स्क्रिप्ट का अंत