उच्च शिक्षा में सुरक्षित BYOD और 802.1X WiFi के लिए SCEP को लागू करना

Purple Technical Briefing में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम उस विषय पर गहराई से चर्चा कर रहे हैं जो उच्च शिक्षा IT में लगातार सामने आता है: सुरक्षित BYOD और कैंपस पर 802.1X WiFi प्रदान करने के लिए SCEP - यानी Simple Certificate Enrolment Protocol - को कैसे लागू किया जाए। यदि आप इस समय किसी विश्वविद्यालय या कॉलेज के नेटवर्क को प्रबंधित कर रहे हैं, तो आप शायद एक परिचित तनाव से जूझ रहे होंगे। एक तरफ, आपके पास छात्र, संकाय और कर्मचारी हैं जो सैकड़ों या हजारों व्यक्तिगत उपकरण ला रहे हैं। दूसरी तरफ, आपके पास एक सुरक्षा स्थिति है जिसे संस्थागत, नियामक और तेजी से बढ़ती साइबर बीमा आवश्यकताओं को पूरा करना आवश्यक है। पासवर्ड-आधारित WiFi और ओपन Captive Portals अब काम नहीं आते हैं। तो आइए बात करते हैं कि वास्तव में क्या काम करता है। सबसे पहले, परिदृश्य को समझते हैं। 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल के लिए IEEE मानक है। यह 2001 से अस्तित्व में है, लेकिन आज यह पहले से कहीं अधिक प्रासंगिक है। इसका मुख्य विचार यह है कि कोई भी उपकरण आपके नेटवर्क पर आने से पहले, उसे यह साबित करना होगा कि वह कौन है - न कि केवल एक ऐसा पासवर्ड प्रस्तुत करना जिसे कोई भी साझा कर सके, बल्कि एक सत्यापन योग्य क्रेडेंशियल प्रस्तुत करना। वायर्ड संदर्भ में, वह क्रेडेंशियल चेक स्विच पोर्ट पर होता है। WiFi में, यह एक्सेस पॉइंट पर होता है, जो RADIUS सर्वर द्वारा संचालित होता है। अब, क्रेडेंशियल स्वयं कई रूप ले सकता है। आप PEAP - यानी Protected Extensible Authentication Protocol - के माध्यम से यूजरनेम और पासवर्ड का उपयोग कर सकते हैं। या आप EAP-TLS - Extensible Authentication Protocol with Transport Layer Security - के माध्यम से डिजिटल सर्टिफिकेट का उपयोग कर सकते हैं। EAP-TLS सर्वोत्तम मानक है। यह पारस्परिक है - नेटवर्क उपकरण को प्रमाणित करता है, और उपकरण नेटवर्क को प्रमाणित करता है। यही पारस्परिक प्रमाणीकरण है जो अनधिकृत (rogue) एक्सेस पॉइंट्स को रोकता है। एक छात्र का लैपटॉप बस उस फर्जी नेटवर्क से कनेक्ट नहीं होगा जिसके पास सही सर्टिफिकेट नहीं है। तो SCEP कहाँ काम आता है? SCEP - Simple Certificate Enrolment Protocol - वह तंत्र है जिसके द्वारा उपकरण स्वचालित रूप से उन डिजिटल सर्टिफिकेट का अनुरोध करते हैं और उन्हें प्राप्त करते हैं। SCEP के बिना, आप हर उपकरण के लिए मैन्युअल रूप से सर्टिफिकेट जनरेट और वितरित कर रहे होंगे। दस हजार छात्रों और तीन हजार कर्मचारियों वाले विश्वविद्यालय में, यह एक व्यावहारिक प्रक्रिया नहीं है। SCEP इस पूरी प्रक्रिया को स्वचालित करता है। यह फ्लो इस तरह काम करता है। एक उपकरण प्रोविजनिंग नेटवर्क से कनेक्ट होता है - जिसे कभी-कभी ऑनबोर्डिंग SSID कहा जाता है। यह आपके SCEP सर्वर से संपर्क करता है, जो आमतौर पर आपकी Certificate Authority - यानी CA - के साथ एकीकृत होता है। उपकरण एक Certificate Signing Request सबमिट करता है। SCEP सर्वर अनुरोध को मान्य करता है, अक्सर आपकी डायरेक्टरी - Microsoft Entra ID या Google Workspace - के खिलाफ उपयोगकर्ता के क्रेडेंशियल की जांच करके। एक बार मान्य होने के बाद, CA एक हस्ताक्षरित सर्टिफिकेट जारी करता है, और उपकरण इसे इंस्टॉल कर लेता है। उस समय से, उपकरण आपके 802.1X-सुरक्षित SSID पर स्वचालित रूप से प्रमाणित होने के लिए उस सर्टिफिकेट का उपयोग करता है। कोई पोर्टल नहीं, कोई पासवर्ड संकेत नहीं, कोई IT टिकट नहीं। आइए इसकी आर्किटेक्चर के बारे में थोड़ा और विस्तार से बात करते हैं। एक सामान्य उच्च शिक्षा से जुड़े डिप्लॉयमेंट में, आपको नेटवर्क के तीन भागों पर विचार करना होगा। पहला, आपका ऑनबोर्डिंग नेटवर्क - यह वह जगह है जहाँ बिना नामांकित डिवाइस आते हैं। इसमें इंटरनेट की पहुंच होती है लेकिन यह आपके आंतरिक संसाधनों से अलग रहता है। दूसरा, आपका 802.1X-secured SSID - यह वह जगह है जहाँ नामांकित डिवाइस जुड़ते हैं, जिनकी भूमिका के अनुसार उपयुक्त संसाधनों तक पूर्ण पहुंच होती है। तीसरा, आपका मैनेजमेंट इंफ्रास्ट्रक्चर - आपका RADIUS सर्वर, आपका CA, आपका SCEP सर्वर, और आपका डायरेक्टरी इंटीग्रेशन। RADIUS सर्वर ट्रैफ़िक पुलिस की तरह काम करता है। जब कोई डिवाइस आपके 802.1X SSID से जुड़ने की कोशिश करता है, तो एक्सेस पॉइंट RADIUS को एक ऑथेंटिकेशन अनुरोध भेजता है। RADIUS, CA की सर्टिफिकेट निरसन सूची (certificate revocation list) के विरुद्ध सर्टिफिकेट को सत्यापित करता है, आपकी डायरेक्टरी में उपयोगकर्ता की स्थिति की जांच करता है, और पहुंच की अनुमति देता है या उसे अस्वीकार करता है। यह भूमिका के आधार पर डिवाइस को एक VLAN भी असाइन कर सकता है - छात्र एक सेगमेंट में जाते हैं, फैकल्टी दूसरे में, और प्रशासनिक कर्मचारी तीसरे में। यह वास्तव में आइडेंटिटी-बेस्ड नेटवर्किंग है। अब, मुझसे पूछे जाने वाले सबसे आम सवालों में से एक यह है: यह किस हार्डवेयर के साथ काम करता है? अच्छी बात यह है कि 802.1X एक मानक है, इसलिए यह किसी भी ऐसे एक्सेस पॉइंट के साथ काम करता है जो WPA2 या WPA3 Enterprise का समर्थन करता है। व्यवहार में, आप अपने विशिष्ट वेंडर के इम्प्लीमेंटेशन को सत्यापित करना चाहेंगे। Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi - ये सभी इस मानक का समर्थन करते हैं। कॉन्फ़िगरेशन के चरण वेंडर के अनुसार अलग-अलग होते हैं, लेकिन अंतर्निहित प्रोटोकॉल वही रहता है। आइए मैं आपको दिखाता हूँ कि एक वास्तविक इम्प्लीमेंटेशन कैसा दिखता है। मैं यूके के एक मध्यम आकार के विश्वविद्यालय पर आधारित एक संयुक्त उदाहरण का उपयोग करूँगा - जिसमें लगभग पंद्रह हजार छात्र, तीन कैंपस और Aruba तथा Meraki इंफ्रास्ट्रक्चर का मिश्रण है। परियोजना की शुरुआत एक नेटवर्क ऑडिट से हुई। मौजूदा सेटअप में खुले SSIDs और छात्रों की पहुंच के लिए एक Captive Portal का मिश्रण था। IT टीम पासवर्ड रीसेट के टिकटों से परेशान थी - प्रति सप्ताह लगभग चालीस टिकट। iOS और Android पर MAC एड्रेस रैंडमाइजेशन ने उनके एनालिटिक्स को पूरी तरह से बाधित कर दिया था, इसलिए उनके पास नेटवर्क उपयोग के पैटर्न पर कोई विश्वसनीय डेटा नहीं था। पहला चरण PKI इंफ्रास्ट्रक्चर को डिप्लॉय करना था। उन्होंने एक दो-स्तरीय CA - एक ऑफलाइन रूट CA और एक ऑनलाइन इश्यूइंग CA स्थापित किया। SCEP सर्वर को इश्यूइंग CA के साथ एकीकृत किया गया था और पहचान सत्यापन के लिए Microsoft Entra ID से जोड़ा गया था। सर्टिफिकेट की जीवन अवधि एक वर्ष निर्धारित की गई थी, जिसमें तीस दिन की अवधि पूरी होने पर ऑटो-रिन्यूअल शुरू हो जाता था। दूसरा चरण 802.1X SSID को कॉन्फ़िगर करना था। उन्होंने WPA3-Enterprise के साथ एक समर्पित SSID बनाया, इसे अपने RADIUS सर्वरों की ओर निर्देशित किया, और VLAN असाइनमेंट नियमों को कॉन्फ़िगर किया। छात्रों को एक VLAN मिला, कर्मचारियों को दूसरा, और IoT डिवाइसों को तीसरा।तीसरा चरण ऑनबोर्डिंग अनुभव का था। उन्होंने गैर-पंजीकृत उपकरणों को सेल्फ-सर्विस पोर्टल पर रीडायरेक्ट करने के लिए एक नेटवर्क एक्सेस कंट्रोल समाधान का उपयोग किया। छात्रों ने अपने विश्वविद्यालय के क्रेडेंशियल्स के साथ प्रमाणित किया, SCEP फ़्लो पृष्ठभूमि में चला, और प्रमाणपत्र इंस्टॉल हो गया। iOS पर, इसके लिए एक कॉन्फ़िगरेशन प्रोफ़ाइल की आवश्यकता थी। Android पर, यह प्रक्रिया थोड़ी भिन्न थी लेकिन समान रूप से स्वचालित थी। परिणाम? पहले महीने में ही पासवर्ड रीसेट टिकटों में नब्बे प्रतिशत से अधिक की गिरावट आई। नेटवर्क दृश्यता में नाटकीय रूप से सुधार हुआ क्योंकि प्रमाणपत्र-आधारित पहचान MAC एड्रेस की तरह रोटेट नहीं होती हैं। और सुरक्षा टीम के पास आखिरकार नेटवर्क पर हर डिवाइस के लिए एक विश्वसनीय ऑडिट ट्रेल था। अब बात करते हैं कि Purple इस परिदृश्य में कहाँ फिट बैठता है। Purple का SecurePass उत्पाद ठीक इसी आर्किटेक्चर पर बनाया गया है। SecurePass 802.1X म्यूचुअल ऑथेंटिकेशन के साथ WPA2 और WPA3-Enterprise का उपयोग करके डिजिटल रूप से हस्ताक्षरित WiFi प्रोफ़ाइल जारी करता है। नामांकन प्रक्रिया में तीस सेकंड से भी कम समय लगता है। एक बार जब किसी डिवाइस में प्रोफ़ाइल आ जाती है, तो वह स्वचालित रूप से कनेक्ट हो जाता है - कोई पोर्टल नहीं, कोई पासवर्ड नहीं, कोई घर्षण नहीं। जो चीज़ SecurePass को उच्च शिक्षा के लिए विशेष रूप से प्रासंगिक बनाती है, वह है सुरक्षा और एनालिटिक्स का संयोजन। चूंकि प्रमाणीकरण क्रेडेंशियल एक रोटेटिंग MAC एड्रेस के बजाय एक स्थिर प्रमाणपत्र है, इसलिए आपको सटीक रिटर्न विज़िट डेटा, ड्वेल टाइम और विज़िट फ्रीक्वेंसी मिलती है। वह डेटा सीधे Purple के एनालिटिक्स प्लेटफ़ॉर्म में जाता है, जिससे आपको वास्तविक दृश्यता मिलती है कि आपके कैंपस नेटवर्क का उपयोग कैसे किया जा रहा है। SecurePass स्टाफ डेप्लॉयमेंट के लिए Microsoft Entra ID और Google Workspace के साथ भी एकीकृत होता है। इसका मतलब है कि जब कोई स्टाफ सदस्य विश्वविद्यालय छोड़ता है, तो उसकी एक्सेस स्वचालित रूप से रद्द कर दी जाती है। कोई मैन्युअल प्रक्रिया नहीं, कोई भूले हुए खाते नहीं, कोई सुरक्षा अंतर नहीं। यह जॉइनर्स, मूवर्स, लीवर्स वर्कफ़्लो है जो एंड टू एंड स्वचालित है। RADIUS इंफ्रास्ट्रक्चर के लिए, Purple क्लाउड RADIUS सर्वर - प्राथमिक और माध्यमिक - संचालित करता है, इसलिए आपको उस इंफ्रास्ट्रक्चर को स्वयं प्रबंधित करने की आवश्यकता नहीं है। समर्थित हार्डवेयर सूची में Cisco Meraki, Cisco Catalyst, HPE Aruba, Ubiquiti UniFi, Ruckus, Juniper Mist, और Fortinet शामिल हैं। पूरी जानकारी Purple सपोर्ट साइट पर SecurePass FAQ में है। मैं आपको उन कार्यान्वयन समस्याओं के बारे में बताता हूँ जिनसे बचना चाहिए। ये वे चीज़ें हैं जो टीमों को वास्तविक डेप्लॉयमेंट में परेशान करती हैं। पहला: प्रमाणपत्र निरसन (सर्टिफिकेट रिवोकेशन)। आपको एक कार्यात्मक CRL - सर्टिफिकेट रिवोकेशन लिस्ट - या OCSP रिस्पॉन्डर की आवश्यकता होती है। यदि आपका RADIUS सर्वर रिवोकेशन स्थिति की जांच नहीं कर सकता है, तो आप या तो सभी कनेक्शनों को ब्लॉक कर देते हैं या सभी कनेक्शनों को स्वीकार कर लेते हैं। दोनों में से कोई भी स्वीकार्य नहीं है। लाइव होने से पहले अपने रिवोकेशन इंफ्रास्ट्रक्चर का परीक्षण करें। दूसरा: डिवाइस अनुकूलता। अधिकांश आधुनिक iOS, Android, macOS, और Windows डिवाइस मूल रूप से EAP-TLS का समर्थन करते हैं। लेकिन पुराने डिवाइस, IoT एंडपॉइंट्स और कुछ लीगेसी सिस्टम ऐसा नहीं करते हैं। आपको उन उपकरणों के लिए एक योजना की आवश्यकता है - चाहे वह अलग प्रमाणीकरण वाला एक अलग SSID हो, या एक प्रबंधित अपवाद (एक्सेप्शन) प्रक्रिया हो। तीसरा: सर्टिफिकेट का जीवनकाल और उसका रिन्यूअल। यदि सर्टिफिकेट समाप्त हो जाते हैं और रिन्यूअल प्रक्रिया विफल हो जाती है, तो यूज़र्स की पहुंच समाप्त हो जाएगी। अपनी रिन्यूअल विंडो को उदारतापूर्वक सेट करें - समाप्ति से तीस दिन पहले का समय एक उचित न्यूनतम अवधि है। सर्टिफिकेट की समाप्ति की केंद्रीय रूप से निगरानी करें और समस्या बनने से पहले अलर्ट जारी करें। चौथा: ऑनबोर्डिंग अनुभव। तकनीकी प्रवाह एकदम सही हो सकता है, लेकिन अगर छात्रों को नामांकन की प्रक्रिया भ्रमित करने वाली लगती है, तो वे इसे पूरा नहीं करेंगे। स्पष्ट साइनबोर्ड, एक सरल सेल्फ-सर्विस पोर्टल और एक संक्षिप्त सहायता गाइड पर निवेश करें। SecurePass द्वारा विज्ञापित किया जाने वाला तीस सेकंड का नामांकन हासिल किया जा सकता है, लेकिन केवल तभी जब UX सही हो। पांचवां: RADIUS सर्वर का लचीलापन। आपका 802.1X इन्फ्रास्ट्रक्चर अब नेटवर्क एक्सेस के लिए महत्वपूर्ण पथ पर है। यदि आपका RADIUS सर्वर डाउन हो जाता है, तो कोई भी कनेक्ट नहीं कर पाएगा। आपको प्राइमरी और सेकेंडरी RADIUS सर्वर की आवश्यकता होगी, आदर्श रूप से विभिन्न उपलब्धता क्षेत्रों में, जिसमें ऑटोमैटिक फेलओवर की सुविधा हो। अब हमारे रैपिड-फायर Q और A के लिए। ये वे प्रश्न हैं जो मुझसे सबसे अक्सर पूछे जाते हैं। क्या SCEP क्लाउड-आधारित CA के साथ काम कर सकता है? हाँ। Microsoft का NDES - नेटवर्क डिवाइस एनरोलमेंट सर्विस - और कई थर्ड-पार्टी क्लाउड CA प्रदाता HTTPS पर SCEP का समर्थन करते हैं। आपको ऑन-प्रेमाइसेस इन्फ्रास्ट्रक्चर की आवश्यकता नहीं है। क्या 802.1X, Passpoint और OpenRoaming के साथ काम करता है? हाँ। Passpoint - जिसे Hotspot 2.0 भी कहा जाता है - ऑथेंटिकेशन लेयर के रूप में 802.1X का उपयोग करता है। OpenRoaming इसे विश्वसनीय नेटवर्क के वैश्विक संघ तक विस्तारित करता है। SecurePass के माध्यम से नामांकित एक छात्र दुनिया भर के अस्सी हजार से अधिक OpenRoaming स्थानों पर ऑटो-कनेक्ट हो जाएगा। इसमें बिना किसी अतिरिक्त कार्रवाई के हवाई अड्डे, होटल, परिवहन केंद्र - सभी शामिल हैं। अतिथि पहुंच (guest access) के बारे में क्या? 802.1X और SCEP प्रबंधित उपकरणों और ज्ञात पहचानों के लिए हैं। वास्तविक अतिथियों के लिए, आपको अभी भी एक अलग गेस्ट एक्सेस मैकेनिज्म की आवश्यकता होगी। दोनों प्रणालियाँ समानांतर चलती हैं; वे आपस में टकराती नहीं हैं। क्या WPA3-Enterprise अनिवार्य है? नहीं, 802.1X के साथ WPA2-Enterprise अभी भी व्यापक रूप से तैनात है और अधिकांश उपयोग के मामलों के लिए पूरी तरह से सुरक्षित है। WPA3-Enterprise अधिक मजबूत एन्क्रिप्शन जोड़ता है। यदि आपका हार्डवेयर इसका समर्थन करता है, तो इसे सक्षम करें। यदि नहीं, तो WPA2-Enterprise एक ठोस आधार रेखा है। संक्षेप में, यहाँ वे पांच बातें दी गई हैं जिन्हें मैं चाहूंगा कि आप इस ब्रीफिंग से याद रखें। एक: सर्टिफिकेट-बेस्ड ऑथेंटिकेशन के साथ 802.1X उच्च शिक्षा में BYOD के लिए सही सुरक्षा आर्किटेक्चर है। आज आप जिस खतरे के माहौल में काम कर रहे हैं, उसके लिए पासवर्ड और पोर्टल पर्याप्त नहीं हैं। दो: SCEP ही वह साधन है जो सर्टिफिकेट-बेस्ड ऑथेंटिकेशन को स्केलेबल बनाता है। स्वचालित नामांकन के बिना, आप उस पैमाने पर सर्टिफिकेट तैनात नहीं कर सकते जिसकी किसी विश्वविद्यालय को आवश्यकता होती है। तीन: म्यूचुअल ऑथेंटिकेशन मुख्य सुरक्षा विशेषता है। यह आपके छात्रों को नकली एक्सेस पॉइंट्स से उतना ही बचाता है जितना कि यह आपके नेटवर्क को अनधिकृत उपकरणों से सुरक्षित रखता है। चार: डायरेक्टरी इंटीग्रेशन - Microsoft Entra ID या Google Workspace के साथ - वह विशेषता है जो शामिल होने वाले, स्थान बदलने वाले, और छोड़ने वाले (joiners, movers, leavers) वर्कफ़्लो को ऑटोमैटिक बनाती है। इसके बिना 802.1X को तैनात न करें। पाँच: ऑनबोर्डिंग का अनुभव अपनाने की दर को निर्धारित करता है। तकनीक बेहतरीन हो सकती है, लेकिन अगर नामांकन प्रक्रिया जटिल है, तो आप समय बचाने के बजाय सपोर्ट टिकटों को हल करने में अधिक समय गंवाएंगे। यदि आप इसके बारे में अधिक विस्तार से जानना चाहते हैं, तो Purple की सपोर्ट साइट पर SecurePass के विस्तृत दस्तावेज़ मौजूद हैं, जिनमें RADIUS कॉन्फ़िगरेशन, हार्डवेयर कम्पैटिबिलिटी और नामांकन फ्लो शामिल हैं। इसके लिंक शो नोट्स में दिए गए हैं। सुनने के लिए धन्यवाद। आपसे अगले ब्रीफिंग में मुलाक़ात होगी।