EAP-TLS के साथ Android डिवाइस पर एंटरप्राइज WiFi कैसे सेटअप करें

EAP-TLS के साथ Android डिवाइस पर एंटरप्राइज WiFi कैसे सेटअप करें एक Purple तकनीकी ब्रीफिंग — लगभग 10 मिनट --- परिचय और संदर्भ — लगभग 1 मिनट Purple तकनीकी ब्रीफिंग श्रृंखला में स्वागत है। मैं आपका होस्ट हूँ, और आज हम Android उपकरणों पर 802.1X EAP-TLS प्रमाणीकरण को तैनात करने की बारीकियों में जा रहे हैं — चाहे आप किसी होटल संपत्ति, एक रिटेल श्रृंखला, एक स्टेडियम, या एक सार्वजनिक क्षेत्र के परिसर का प्रबंधन कर रहे हों। यदि आप एक ऐसे नेटवर्क के लिए जिम्मेदार हैं जिसे साझा पासवर्ड पर भरोसा किए बिना कॉर्पोरेट या BYOD Android उपकरणों को प्रमाणित करने की आवश्यकता है, यह एपिसोड आपके लिए है। EAP-TLS एंटरप्राइज WiFi सुरक्षा के लिए स्वर्ण मानक है — यह पारस्परिक प्रमाणपत्र-आधारित प्रमाणीकरण का उपयोग करता है, जिसका अर्थ है कि फ़िशिंग के लिए कोई क्रेडेंशियल नहीं, रोटेट करने के लिए कोई पासवर्ड नहीं, और एक अनुपालन स्थिति जो PCI-DSS, ISO 27001 और अधिकांश सार्वजनिक-क्षेत्र के सुरक्षा ढांचों को संतुष्ट करती है। इस ब्रीफिंग के अंत तक, आप ठीक से समझ जाएंगे कि Android पर EAP-TLS कैसे काम करता है, आपके परिनियोजन विकल्प क्या हैं, और तीन सबसे आम गलतियाँ क्या हैं जो विफल रोलआउट का कारण बनती हैं। आइए शुरू करते हैं। --- तकनीकी गहन विश्लेषण — लगभग 5 मिनट आइए आर्किटेक्चर से शुरू करते हैं। 802.1X IEEE मानक है जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल को नियंत्रित करता है। जब एक Android डिवाइस एक एंटरप्राइज WiFi नेटवर्क से जुड़ता है — जो WPA2-Enterprise या WPA3-Enterprise के रूप में कॉन्फ़िगर किया गया है — तो एक्सेस पॉइंट एक ऑथेंटिकेटर के रूप में कार्य करता है। यह स्वयं प्रमाणीकरण का निर्णय नहीं लेता है; यह डिवाइस और एक RADIUS सर्वर के बीच बातचीत को आगे बढ़ाता है, जो कि वास्तविक प्रमाणीकरण सर्वर है। EAP-TLS — यानी एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल विद ट्रांसपोर्ट लेयर सिक्योरिटी — उस 802.1X ढांचे के भीतर चलने वाली प्रमाणीकरण विधि है। जो बात इसे EAP-PEAP या EAP-TTLS से अलग बनाती है, जो TLS टनल के भीतर उपयोगकर्ता नाम और पासवर्ड का उपयोग करते हैं, वह यह है कि EAP-TLS दोनों पक्षों में X.509 प्रमाणपत्रों का उपयोग करता है। RADIUS सर्वर डिवाइस के सामने एक सर्वर प्रमाणपत्र प्रस्तुत करता है, और डिवाइस RADIUS सर्वर को वापस एक क्लाइंट प्रमाणपत्र प्रस्तुत करता है। दोनों पक्ष एक-दूसरे को सत्यापित करते हैं। यह पारस्परिक प्रमाणीकरण है, और यही EAP-TLS को उपलब्ध सबसे सुरक्षित विकल्प बनाता है। अब, विशेष रूप से Android पर, कुछ चीजें हैं जिन्हें आपको समझना होगा। Android 11 और उसके बाद के संस्करणों ने सख्त प्रमाणपत्र सत्यापन आवश्यकताओं को पेश किया। यदि आप Android 11 या उससे ऊपर के संस्करण पर तैनात कर रहे हैं — जो इस समय आपके अधिकांश उपकरणों का हिस्सा है — तो डिवाइस तब तक कनेक्ट होने से इनकार कर देगा जब तक कि RADIUS सर्वर प्रमाणपत्र पर स्पष्ट रूप से भरोसा न किया जाए। आप केवल सिस्टम ट्रस्ट स्टोर पर भरोसा नहीं कर सकते; आपको या तो डिवाइस पर रूट CA प्रमाणपत्र पुश करना होगा या स्पष्ट रूप से इसे संदर्भित करने के लिए WiFi प्रोफ़ाइल को कॉन्फ़िगर करना होगा। आइए प्रमाणपत्र श्रृंखला के बारे में बात करते हैं। एक भी Android डिवाइस EAP-TLS के माध्यम से प्रमाणित हो सके, इसके लिए आपको तीन घटकों की आवश्यकता होती है। पहला, एक प्रमाणपत्र प्राधिकरण (Certificate Authority) — या तो आपका आंतरिक PKI, Microsoft Active Directory Certificate Services, या Intune के माध्यम से SCEP जैसा क्लाउड PKI। दूसरा, आपके RADIUS सर्वर को जारी किया गया एक सर्वर प्रमाणपत्र, जो उस CA द्वारा हस्ताक्षरित हो। तीसरा, प्रत्येक डिवाइस या उपयोगकर्ता को जारी किया गया एक विशिष्ट क्लाइंट प्रमाणपत्र, जो उसी CA द्वारा हस्ताक्षरित हो। डिवाइस TLS हैंडशेक के दौरान अपना क्लाइंट प्रमाणपत्र प्रस्तुत करता है, और RADIUS सर्वर CA की प्रमाणपत्र निरसन सूची (CRL) या OCSP — ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल के माध्यम से इसे सत्यापित करता है। Android के लिए, क्लाइंट प्रमाणपत्र और निजी कुंजी आमतौर पर एक PKCS12 फ़ाइल के रूप में पैक की जाती है — जो कि एक डॉट-P12 या डॉट-PFX फ़ाइल है — जिसमें प्रमाणपत्र और एन्क्रिप्टेड निजी कुंजी दोनों शामिल होते हैं। मैन्युअल रूप से कॉन्फ़िगर किए गए डिवाइस पर, उपयोगकर्ता इस फ़ाइल को Settings, फिर Security, फिर Install a Certificate के माध्यम से आयात करता है। MDM-प्रबंधित डिवाइस पर, प्रमाणपत्र को चुपचाप डिवाइस के प्रबंधित कीस्टोर में पुश कर दिया जाता है — किसी उपयोगकर्ता के हस्तक्षेप की आवश्यकता नहीं होती है। अब बात करते हैं खुद WiFi प्रोफ़ाइल की। Android पर एंटरप्राइज WiFi कनेक्शन कॉन्फ़िगर करते समय, आपको निर्दिष्ट करना होगा: SSID, सुरक्षा प्रकार — WPA2-Enterprise या WPA3-Enterprise — EAP विधि — जो कि TLS है — सर्वर सत्यापन के लिए CA प्रमाणपत्र, डिवाइस प्रमाणीकरण के लिए क्लाइंट प्रमाणपत्र, और पहचान स्ट्रिंग (identity string), जो आमतौर पर डिवाइस का कॉमन नेम या उपयोगकर्ता का UPN होता है। Android 11 और उससे ऊपर के संस्करणों पर, आपको मैन-इन-द-मिडल हमलों को रोकने के लिए डोमेन प्रत्यय मिलान (domain suffix match) या सर्वर प्रमाणपत्र विषय को भी निर्दिष्ट करना होगा। MDM परिनियोजन के लिए — और यहीं पर वास्तविक पैमाना काम आता है — आप इस सब को एक संरचित कॉन्फ़िगरेशन प्रोफ़ाइल के रूप में पुश कर रहे हैं। Microsoft Intune में, आप एक SCEP प्रमाणपत्र प्रोफ़ाइल बनाते हैं जो प्रत्येक नामांकित Android डिवाइस पर स्वचालित रूप से एक विशिष्ट क्लाइंट प्रमाणपत्र का अनुरोध और स्थापना करती है। फिर आप एक WiFi कॉन्फ़िगरेशन प्रोफ़ाइल बनाते हैं जो उस प्रमाणपत्र प्रोफ़ाइल को संदर्भित करती है। जब डिवाइस चेक इन करता है, तो उसे प्रमाणपत्र और WiFi प्रोफ़ाइल दोनों प्राप्त होते हैं, और यह आपके 802.1X नेटवर्क से स्वचालित रूप से कनेक्ट हो जाता है। कोई उपयोगकर्ता हस्तक्षेप नहीं, कोई सपोर्ट कॉल नहीं। यदि आप इसके लिए Intune का उपयोग कर रहे हैं, तो उपकरणों पर WiFi प्रमाणपत्र पुश करने के लिए Microsoft Intune का उपयोग कैसे करें, इस पर हमारी साथी मार्गदर्शिका सटीक कॉन्फ़िगरेशन चरणों के माध्यम से चलती है — मैं इस ब्रीफिंग के साथ उसे पढ़ने की सलाह दूंगा। VMware Workspace ONE और Jamf Connect के लिए, प्रक्रिया संरचनात्मक रूप से समान है — SCEP या PKCS प्रमाणपत्र प्रोफ़ाइल, उसके बाद एक WiFi प्रोफ़ाइल जो इसे संदर्भित करती है। विशिष्ट UI भिन्न होता है, लेकिन प्रमाणपत्र श्रृंखला और RADIUS कॉन्फ़िगरेशन आवश्यकताएं समान होती हैं। RADIUS पक्ष पर ध्यान देने योग्य एक बात: यदि आप FreeRADIUS, Microsoft NPS, या Cisco ISE चला रहे हैं, तो सुनिश्चित करें कि आपके सर्वर प्रमाणपत्र में सही Extended Key Usage विशेषताएँ शामिल हैं — विशेष रूप से, Server Authentication, OID 1.3.6.1.5.5.7.3.1। Android इस बारे में सख्त है। एक प्रमाणपत्र जो Windows क्लाइंट के साथ ठीक काम करता है, वह Android पर विफल हो सकता है यदि EKU गायब या गलत कॉन्फ़िगर किया गया है। --- कार्यान्वयन सिफारिशें और कमियां — लगभग 2 मिनट ठीक है, आइए बात करते हैं कि वास्तव में फील्ड में क्या गलत होता है, क्योंकि यहीं पर अधिकांश परिनियोजन समस्याओं का सामना करते हैं। पहली और सबसे आम विफलता प्रमाणपत्र ट्रस्ट है। यदि RADIUS सर्वर की प्रमाणपत्र श्रृंखला को सत्यापित नहीं किया जा सकता है, तो Android 11 और उससे ऊपर के संस्करण कनेक्ट नहीं होंगे। इसका समाधान सीधा है: MDM के माध्यम से अपने रूट CA प्रमाणपत्र को डिवाइस के उपयोगकर्ता प्रमाणपत्र स्टोर में पुश करें, और WiFi प्रोफ़ाइल के CA प्रमाणपत्र फ़ील्ड में स्पष्ट रूप से इसे संदर्भित करें। इसे "Do not validate" के रूप में न छोड़ें — यह एक सुरक्षा छेद है और यह वैसे भी कुछ Android संस्करणों पर विफल हो जाएगा। दूसरा नुकसान प्रमाणपत्र की समाप्ति है। क्लाइंट प्रमाणपत्रों की वैधता अवधि आमतौर पर एक से दो वर्ष की होती है। यदि आपके पास SCEP या NDES के माध्यम से स्वचालित नवीनीकरण की व्यवस्था नहीं है, तो आप एक सुबह उठकर पाएंगे कि आपके आधे उपकरणों ने एक साथ WiFi एक्सेस खो दिया है। प्रमाणपत्र नवीनीकरण स्वचालन को अपने MDM वर्कफ़्लो में पहले दिन से ही शामिल करें, बाद के विचार के रूप में नहीं। तीसरा मुद्दा RADIUS सर्वर क्षमता का है। पूर्ण पारस्परिक प्रमाणपत्र विनिमय के कारण EAP-TLS हैंडशेक PEAP हैंडशेक की तुलना में कम्प्यूटेशनल रूप से अधिक महंगे होते हैं। हजारों समवर्ती प्रमाणीकरणों वाले स्टेडियम या सम्मेलन केंद्र में, एक कम आकार का RADIUS सर्वर बाधा बन जाएगा। अपने RADIUS बुनियादी ढांचे को औसत लोड के लिए नहीं, बल्कि चरम समवर्ती प्रमाणीकरणों के लिए आकार दें। अंत में, Android पक्ष पर, ध्यान रखें कि विभिन्न निर्माताओं — Samsung, Google, Xiaomi — के पास WiFi कॉन्फ़िगरेशन API के थोड़े अलग कार्यान्वयन हैं। बड़े पैमाने पर रोल आउट करने से पहले अपने बेड़े में प्रत्येक निर्माता के प्रतिनिधि उपकरणों पर अपने MDM-पुश किए गए प्रोफाइल का परीक्षण करें। विशेष रूप से Samsung उपकरणों को ऐतिहासिक रूप से पहचान (identity) फ़ील्ड को स्पष्ट रूप से सेट करने की आवश्यकता होती है, भले ही इसका अनुमान प्रमाणपत्र से लगाया जा सके। --- रैपिड-फायर प्रश्न और उत्तर — लगभग 1 मिनट कुछ त्वरित प्रश्न जो मुझसे नियमित रूप से पूछे जाते हैं। क्या मैं BYOD उपकरणों के लिए EAP-TLS का उपयोग कर सकता हूँ? हाँ, लेकिन इसके लिए उपयोगकर्ता को अपने व्यक्तिगत डिवाइस पर क्लाइंट प्रमाणपत्र स्थापित करने की आवश्यकता होती है। बड़े पैमाने पर BYOD के लिए, विचार करें कि क्या PAP या PEAP-MSCHAPv2 के साथ EAP-TTLS अधिक व्यावहारिक समझौता है, जिसमें EAP-TLS को कॉर्पोरेट-स्वामित्व वाले उपकरणों के लिए आरक्षित रखा गया है। क्या EAP-TLS WPA3-Enterprise के साथ काम करता है? हाँ, और 192-बिट मोड के साथ WPA3-Enterprise वास्तव में EAP-TLS को अनिवार्य करता है। यदि आप उच्च-सुरक्षा वातावरण में WPA3-Enterprise तैनात कर रहे हैं, तो EAP-TLS आपका एकमात्र अनुपालन विकल्प है। मुझे किस न्यूनतम Android संस्करण को लक्षित करना चाहिए? Android 8 और उससे ऊपर के संस्करण मूल रूप से EAP-TLS का समर्थन करते हैं। Android 11 और उससे ऊपर के लिए, स्पष्ट CA प्रमाणपत्र सत्यापन लागू करें। Android 13 और उससे ऊपर के लिए, आप अधिक बारीक नियंत्रण के लिए बेहतर प्रमाणपत्र प्रबंधन API का लाभ उठा सकते हैं। क्या Purple का प्लेटफ़ॉर्म EAP-TLS नेटवर्क के साथ एकीकृत हो सकता है? Purple का गेस्ट WiFi और एनालिटिक्स प्लेटफ़ॉर्म आपके 802.1X कॉर्पोरेट नेटवर्क से एक अलग SSID पर काम करता है। आपके कॉर्पोरेट उपकरण सुरक्षित SSID पर EAP-TLS के माध्यम से प्रमाणित होते हैं, जबकि गेस्ट उपकरण गेस्ट SSID पर Purple के कैप्टिव पोर्टल का उपयोग करते हैं। दोनों एक ही एक्सेस पॉइंट बुनियादी ढांचे पर सह-अस्तित्व में हैं, जिसमें VLAN अलगाव सुरक्षा सीमा प्रदान करता है। --- सारांश और अगले कदम — लगभग 1 मिनट संक्षेप में: Android पर EAP-TLS उपलब्ध सबसे सुरक्षित एंटरप्राइज WiFi प्रमाणीकरण विधि है, और आधुनिक MDM टूलिंग के साथ इसे बड़े पैमाने पर तैनात करना पूरी तरह से व्यावहारिक है। तीन चीजें जिन्हें सही करना है वे हैं: स्वचालित प्रमाणपत्र नवीनीकरण के साथ एक ठीक से कॉन्फ़िगर किया गया PKI, Android 11 और उससे ऊपर के संस्करणों पर स्पष्ट CA प्रमाणपत्र ट्रस्ट, और चरम लोड के लिए आकार दिया गया एक RADIUS बुनियादी ढांचा। यदि आप मिश्रित कॉर्पोरेट और गेस्ट ट्रैफ़िक वाले स्थान पर तैनात कर रहे हैं, तो Purple का प्लेटफ़ॉर्म आपको गेस्ट नेटवर्क पर एनालिटिक्स और जुड़ाव परत देता है जबकि आपका EAP-TLS बुनियादी ढांचा कॉर्पोरेट पक्ष को सुरक्षित करता है। दोनों एक-दूसरे के पूरक हैं। आपके अगले कदमों के लिए: पूरी मार्गदर्शिका में हमारे आर्किटेक्चर आरेख की समीक्षा करें, Intune परिनियोजन वॉकथ्रू के माध्यम से काम करें, और अपने पूरे बेड़े में रोल आउट करने से पहले उपकरणों के एक सबसेट पर एक पायलट चलाएं। पचास उपकरणों के एक नियंत्रित समूह के साथ शुरू करें, प्रमाणपत्र वितरण और WiFi कनेक्टिविटी को सत्यापित करें, फिर आत्मविश्वास के साथ स्केल करें। Purple तकनीकी ब्रीफिंग सुनने के लिए धन्यवाद। आपको पूरी लिखित मार्गदर्शिका, आरेख और कॉन्फ़िगरेशन संदर्भ purple.ai पर मिलेंगे। अगली बार तक के लिए अलविदा।