मुख्य सामग्री पर जाएं
हिन्दी

Jamf और RADIUS: Apple डिवाइस फ्लीट्स के लिए सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन

यह तकनीकी संदर्भ गाइड IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और CTOs को Jamf Pro और RADIUS का उपयोग करके Apple डिवाइस फ्लीट्स के लिए सर्टिफिकेट-आधारित 802.1X WiFi ऑथेंटिकेशन डिप्लॉय करने के लिए कार्रवाई योग्य कदम प्रदान करती है। यह पूर्ण SCEP सर्टिफिकेट प्रोविज़निंग वर्कफ़्लो, WiFi कॉन्फ़िगरेशन प्रोफ़ाइल संरचना, RADIUS इंटीग्रेशन आवश्यकताओं, और स्वास्थ्य सेवा और एंटरप्राइज़ वातावरण से वास्तविक दुनिया के कार्यान्वयन परिदृश्यों को कवर करती है। यह गाइड किसी भी ऐसे संगठन के लिए आवश्यक है जो पासवर्ड-आधारित WiFi कमजोरियों को खत्म करना, हेल्पडेस्क ओवरहेड को कम करना और PCI DSS और GDPR नेटवर्क एक्सेस मानकों के साथ अनुपालन प्राप्त करना चाहता है।

📖 9 मिनट का पाठ📝 2,102 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 9 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एंटरप्राइज़ Apple वातावरण के लिए एक महत्वपूर्ण इन्फ्रास्ट्रक्चर विषय पर गहराई से चर्चा कर रहे हैं: Jamf Pro और RADIUS का उपयोग करके सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन डिप्लॉय करना। यदि आप एक IT प्रबंधक, नेटवर्क आर्किटेक्ट, या वेन्यू ऑपरेशंस निदेशक हैं, तो आप पासवर्ड-आधारित WiFi का दर्द जानते हैं। उपयोगकर्ता अपने Active Directory पासवर्ड बदलते हैं, और अचानक उनके iPhones, iPads और MacBooks नेटवर्क से बाहर हो जाते हैं। हेल्पडेस्क टिकट बढ़ जाते हैं। सुरक्षा से समझौता होता है क्योंकि पासवर्ड साझा किए जा सकते हैं, फ़िश किए जा सकते हैं या इंटरसेप्ट किए जा सकते हैं। एंटरप्राइज़-ग्रेड समाधान 802.1X EAP-TLS है। वह सर्टिफिकेट-आधारित ऑथेंटिकेशन है। कोई पासवर्ड नहीं। डिवाइस एक क्रिप्टोग्राफ़िक सर्टिफिकेट का उपयोग करके खुद को ऑथेंटिकेट करता है। और जब आप Apple उपकरणों के फ्लीट का प्रबंधन कर रहे होते हैं, तो उन सर्टिफिकेट और संबंधित WiFi कॉन्फ़िगरेशन को डिप्लॉय करने का उद्योग मानक तरीका मोबाइल डिवाइस मैनेजमेंट — विशेष रूप से Jamf Pro के माध्यम से है। आइए आर्किटेक्चर को समझते हैं। एज पर, आपके पास अपने एंटरप्राइज़ एक्सेस पॉइंट्स हैं। उनके पीछे, आपका RADIUS सर्वर — शायद FreeRADIUS, Cisco ISE, या Microsoft NPS। और उपकरणों का प्रबंधन करने के लिए, आपके पास Jamf Pro है। जादू SCEP — Simple Certificate Enrollment Protocol नामक प्रोटोकॉल के माध्यम से होता है। SCEP Jamf को Apple डिवाइस को यह बताने की अनुमति देता है: जाओ और इस सर्टिफिकेट अथॉरिटी से बात करो और अपने लिए एक अद्वितीय सर्टिफिकेट प्राप्त करो। यहाँ चरण-दर-चरण प्रवाह है। सबसे पहले, आप Jamf Pro में एक कॉन्फ़िगरेशन प्रोफ़ाइल कॉन्फ़िगर करते हैं। इस प्रोफ़ाइल में दो महत्वपूर्ण पेलोड होते हैं। पहला SCEP पेलोड है। यह macOS या iOS डिवाइस को आपके SCEP सर्वर का URL बताता है और एक डायनामिक चैलेंज पासवर्ड प्रदान करता है। डिवाइस एक सर्टिफिकेट साइनिंग रिक्वेस्ट — या CSR — जनरेट करता है और इसे SCEP सर्वर को भेजता है। SCEP सर्वर चैलेंज को मान्य करता है, सर्टिफिकेट पर हस्ताक्षर करता है, और इसे वापस डिवाइस को जारी करता है। अब डिवाइस के पास एक अद्वितीय, पहचान-बाध्य सर्टिफिकेट है। लेकिन उसे यह जानने की जरूरत है कि इसके साथ क्या करना है। यहीं पर दूसरा पेलोड आता है: WiFi पेलोड। Jamf में, आप WPA2 या WPA3 Enterprise के लिए WiFi पेलोड कॉन्फ़िगर करते हैं। आप स्वीकृत EAP प्रकार के रूप में EAP-TLS का चयन करते हैं। और महत्वपूर्ण बात यह है कि, आप इस WiFi पेलोड को आपके द्वारा अभी बनाए गए SCEP पेलोड से लिंक करते हैं। आप डिवाइस को बता रहे हैं: जब आप कॉर्पोरेट SSID से कनेक्ट होते हैं, तो ऑथेंटिकेट करने के लिए इस SCEP प्रक्रिया से प्राप्त सर्टिफिकेट का उपयोग करें। जब उपयोगकर्ता कार्यालय में आता है, तो MacBook SSID देखता है। यह 802.1X कनेक्शन शुरू करता है। एक्सेस पॉइंट अनुरोध को RADIUS सर्वर को पास करता है। RADIUS सर्वर और MacBook आपसी विश्वास स्थापित करने के लिए सर्टिफिकेट का आदान-प्रदान करते हैं। RADIUS सर्वर सर्टिफिकेट अथॉरिटी के विरुद्ध MacBook के सर्टिफिकेट को मान्य करता है। यदि यह वैध है, रद्द नहीं किया गया है, और आवश्यक नीतियों से मेल खाता है, तो RADIUS सर्वर एक्सेस पॉइंट को एक Access-Accept संदेश भेजता है, और डिवाइस नेटवर्क पर आ जाता है। निर्बाध रूप से। शून्य उपयोगकर्ता इंटरैक्शन। आइए कार्यान्वयन की कमियों के बारे में बात करते हैं। हम जो नंबर एक समस्या देखते हैं वह सर्टिफिकेट ट्रस्ट चेन विफलताएं हैं। EAP-TLS के काम करने के लिए, Apple डिवाइस को RADIUS सर्वर के सर्टिफिकेट पर भरोसा करना चाहिए, और RADIUS सर्वर को डिवाइस के सर्टिफिकेट पर भरोसा करना चाहिए। आपके Jamf WiFi प्रोफ़ाइल में, आपको स्पष्ट रूप से विश्वसनीय सर्वर सर्टिफिकेट नामों को परिभाषित करना होगा और प्रोफ़ाइल में Root CA सर्टिफिकेट शामिल करना होगा। यदि आप इससे चूक जाते हैं, तो iOS और macOS चुपचाप कनेक्शन विफल कर देंगे, या उपयोगकर्ता को मैन्युअल रूप से सर्टिफिकेट पर भरोसा करने के लिए प्रेरित करेंगे — जो MDM डिप्लॉयमेंट के पूरे उद्देश्य को विफल कर देता है। एक और आम कमी प्रारंभिक SCEP नामांकन चुनौती है। यदि डिवाइस उसी WiFi नेटवर्क पर अपना SCEP सर्टिफिकेट प्राप्त करने का प्रयास कर रहा है जिसे एक्सेस करने के लिए उसे सर्टिफिकेट की आवश्यकता है, तो आपके पास चिकन-एंड-एग समस्या है। आपको एक ऑनबोर्डिंग नेटवर्क की आवश्यकता है, या कॉर्पोरेट WiFi से टकराने से पहले उपकरणों को इथरनेट या सेलुलर डेटा के माध्यम से अपनी प्रोफ़ाइल प्राप्त करने की आवश्यकता है। अब, आइए एक वास्तविक दुनिया के परिदृश्य को देखें। एक प्रमुख अस्पताल नेटवर्क क्लिनिकल कर्मचारियों के लिए पांच हजार iPads डिप्लॉय कर रहा था। वे यूज़रनेम और पासवर्ड के साथ PEAP का उपयोग कर रहे थे। हर नब्बे दिन में, Active Directory पासवर्ड समाप्त हो जाते थे। समाप्ति के बाद की सुबह, सैकड़ों नर्सें रोगी के रिकॉर्ड तक नहीं पहुंच सकीं क्योंकि उनके iPads WiFi से बाहर हो गए थे। Jamf-प्रबंधित SCEP और EAP-TLS पर जाकर, उन्होंने नेटवर्क एक्सेस के लिए पासवर्ड रोटेशन को पूरी तरह से समाप्त कर दिया। सर्टिफिकेट एक वर्ष के लिए वैध थे, और Jamf ने SCEP के माध्यम से तीस दिन पहले उन्हें स्वचालित रूप से नवीनीकृत कर दिया। WiFi के लिए हेल्पडेस्क टिकट में पच्चासी प्रतिशत की गिरावट आई। मैं आपको रैपिड-फायर प्रश्न और उत्तर देता हूं। प्रश्न: क्या मैं EAP-TLS के बजाय Jamf के साथ PEAP का उपयोग कर सकता हूं? तकनीकी रूप से हाँ, लेकिन आप पासवर्ड रहित ऑथेंटिकेशन का मुख्य लाभ खो देते हैं। EAP-TLS अनुशंसित मानक है। प्रश्न: क्या मुझे आंतरिक CA की आवश्यकता है, या क्या मैं सार्वजनिक CA का उपयोग कर सकता हूं? RADIUS ऑथेंटिकेशन के लिए, एक आंतरिक CA की दृढ़ता से अनुशंसा की जाती है क्योंकि आप डिवाइस सर्टिफिकेट जारी करने और रद्द करने को नियंत्रित करते हैं। प्रश्न: जब किसी डिवाइस को Jamf से अनएनरोल किया जाता है तो क्या होता है? सर्टिफिकेट को CA स्तर पर रद्द किया जाना चाहिए, और RADIUS सर्वर को एक्सेस से इनकार करने के लिए सर्टिफिकेट रिवोकेशन लिस्ट की जांच करनी चाहिए। तो, मुख्य निष्कर्ष क्या हैं? पहला: PEAP और पासवर्ड से दूर जाएं। EAP-TLS Apple फ्लीट्स के लिए गोल्ड स्टैंडर्ड है। दूसरा: मैन्युअल हस्तक्षेप के बिना अद्वितीय, डिवाइस-बाध्य सर्टिफिकेट जारी करने के लिए Jamf Pro के डायनामिक SCEP पेलोड का लाभ उठाएं। तीसरा: सुनिश्चित करें कि साइलेंट विफलताओं को रोकने के लिए आपकी कॉन्फ़िगरेशन प्रोफ़ाइल में आपकी सर्टिफिकेट ट्रस्ट चेन स्पष्ट रूप से परिभाषित हैं। चौथा: अपने ऑनबोर्डिंग नेटवर्क की सावधानीपूर्वक योजना बनाएं — सुरक्षित WiFi में शामिल होने से पहले उपकरणों को SCEP सर्वर के लिए एक पथ की आवश्यकता होती है। और पांचवां: साझा हार्डवेयर के लिए डिवाइस-आधारित सर्टिफिकेट और वन-टू-वन डिप्लॉयमेंट के लिए उपयोगकर्ता-आधारित सर्टिफिकेट का उपयोग करें। यह आज के लिए Jamf और RADIUS पर हमारा तकनीकी डीप-डाइव है। अधिक विस्तृत कॉन्फ़िगरेशन चरणों और आर्किटेक्चर आरेखों के लिए, Purple प्लेटफ़ॉर्म पर पूर्ण लिखित गाइड देखें। सुनने के लिए धन्यवाद।

header_image.png

कार्यकारी सारांश

एंटरप्राइज़ वातावरण में Apple डिवाइस फ्लीट के लिए सुरक्षित WiFi एक्सेस का प्रबंधन करना एक महत्वपूर्ण परिचालन और सुरक्षा चुनौती प्रस्तुत करता है, खासकर जब पारंपरिक पासवर्ड-आधारित ऑथेंटिकेशन पर निर्भर हों। उपयोगकर्ता अपने Active Directory क्रेडेंशियल्स बदलते हैं, और तुरंत उनके iPhones, iPads और MacBooks नेटवर्क से डिसकनेक्ट हो जाते हैं — जिससे हेल्पडेस्क टिकट उत्पन्न होते हैं, वर्कफ़्लो बाधित होता है, और संगठन क्रेडेंशियल-आधारित हमलों के प्रति संवेदनशील हो जाता है。

होटल, रिटेल चेन, स्टेडियम और सार्वजनिक क्षेत्र के संगठनों के IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और CTOs के लिए, इसका समाधान EAP-TLS का उपयोग करके सर्टिफिकेट-आधारित 802.1X ऑथेंटिकेशन है। SCEP (Simple Certificate Enrollment Protocol) के माध्यम से अद्वितीय क्रिप्टोग्राफ़िक सर्टिफिकेट वितरित करने के लिए Jamf Pro का लाभ उठाकर और RADIUS सर्वर के साथ इंटीग्रेट करके, संगठन प्रत्येक प्रबंधित Apple डिवाइस के लिए निर्बाध, पासवर्ड रहित WiFi एक्सेस प्राप्त कर सकते हैं। यह गाइड Jamf RADIUS WiFi सर्टिफिकेट ऑथेंटिकेशन को डिप्लॉय करने के लिए एक व्यावहारिक, वेंडर-न्यूट्रल दृष्टिकोण प्रदान करती है, जो मजबूत सुरक्षा, PCI DSS और GDPR जैसे मानकों के साथ अनुपालन, और सपोर्ट ओवरहेड में मापने योग्य कमी सुनिश्चित करती है।

तकनीकी डीप-डाइव

802.1X EAP-TLS आर्किटेक्चर

सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन की नींव IEEE 802.1X मानक है जिसे EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) प्रोटोकॉल के साथ जोड़ा गया है। 802.1X मानक पर विस्तृत जानकारी के लिए, 802.1X Authentication: Securing Network Access on Modern Devices पर हमारी गाइड देखें।

PEAP (Protected EAP) के विपरीत, जो यूज़रनेम और पासवर्ड पर निर्भर करता है, EAP-TLS में क्लाइंट डिवाइस और ऑथेंटिकेशन सर्वर दोनों को डिजिटल सर्टिफिकेट का उपयोग करके अपनी पहचान साबित करने की आवश्यकता होती है। यह म्यूचुअल ऑथेंटिकेशन ही EAP-TLS को एंटरप्राइज़ डिप्लॉयमेंट के लिए गोल्ड स्टैंडर्ड बनाता है। इस थ्री-पार्टी मॉडल में निम्नलिखित घटक शामिल हैं।

घटक (Component) भूमिका (Role) उदाहरण (Examples)
सप्लिकेंट (Supplicant) नेटवर्क एक्सेस का अनुरोध करने वाला Apple डिवाइस MacBook, iPhone, iPad
ऑथेंटिकेटर (Authenticator) नेटवर्क एज डिवाइस जो एक्सेस कंट्रोल लागू करता है WiFi एक्सेस पॉइंट, WLC
ऑथेंटिकेशन सर्वर (Authentication Server) सर्टिफिकेट को मान्य करता है और एक्सेस को अधिकृत करता है FreeRADIUS, Cisco ISE, Microsoft NPS

एक्सेस पॉइंट एक गेटकीपर के रूप में कार्य करता है, जो तब तक सभी ट्रैफ़िक को ब्लॉक करता है जब तक कि RADIUS सर्वर Access-Accept संदेश नहीं भेजता। यह IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) मॉडल का मूल है।

radius_architecture_overview.png

SCEP और Jamf Pro: स्केलेबल सर्टिफिकेट डिस्ट्रीब्यूशन

बड़े पैमाने पर EAP-TLS के साथ चुनौती सर्टिफिकेट डिस्ट्रीब्यूशन की है। 500 iPads पर मैन्युअल रूप से एक अद्वितीय सर्टिफिकेट इंस्टॉल करना कोई व्यावहारिक विकल्प नहीं है। यहीं पर Jamf Pro और SCEP Jamf इंटीग्रेशन एक महत्वपूर्ण इनेबलर बन जाता है।

SCEP (Simple Certificate Enrollment Protocol) एक हल्का प्रोटोकॉल है जो डिवाइस को सर्टिफिकेट अथॉरिटी (CA) से स्वचालित रूप से हस्ताक्षरित सर्टिफिकेट का अनुरोध करने और प्राप्त करने की अनुमति देता है। Jamf Pro एक ऑर्केस्ट्रेटर के रूप में कार्य करता है, जो प्रत्येक Apple डिवाइस पर एक कॉन्फ़िगरेशन प्रोफ़ाइल पुश करता है। इस प्रोफ़ाइल में एक SCEP पेलोड होता है जो डिवाइस को SCEP सर्वर से संपर्क करने का निर्देश देता है, एक डायनामिक चैलेंज पासवर्ड प्रदान करता है, और आवश्यक सर्टिफिकेट एट्रिब्यूट्स निर्दिष्ट करता है — जैसे कि सब्जेक्ट अल्टरनेटिव नेम (SAN), जिसे आमतौर पर डिवाइस के MAC एड्रेस या सीरियल नंबर से मैप किया जाता है।

scep_flow_diagram.png

डायनामिक चैलेंज पासवर्ड तंत्र विशेष रूप से महत्वपूर्ण है। Jamf-इंटीग्रेटेड SCEP डिप्लॉयमेंट में, Jamf प्रत्येक डिवाइस के लिए एक अद्वितीय, सिंगल-यूज़ चैलेंज पासवर्ड जनरेट करता है। यह सुनिश्चित करता है कि केवल Jamf Pro में नामांकित डिवाइस — और इसलिए कॉर्पोरेट रूप से प्रबंधित — ही CA से सफलतापूर्वक सर्टिफिकेट प्राप्त कर सकते हैं। यह एक महत्वपूर्ण सुरक्षा नियंत्रण है जो अनधिकृत (rogue) डिवाइस को नामांकित होने से रोकता है।

Apple डिवाइस ऑथेंटिकेशन के लिए RADIUS एट्रिब्यूट्स

जब RADIUS सर्वर को एक्सेस पॉइंट से Access-Request प्राप्त होता है, तो यह अपने ऑथराइज़ेशन निर्णय लेने के लिए कई एट्रिब्यूट्स का मूल्यांकन करता है। Apple 802.1X डिप्लॉयमेंट के लिए, सबसे प्रासंगिक RADIUS एट्रिब्यूट्स इस प्रकार हैं।

RADIUS एट्रिब्यूट विवरण Apple प्रासंगिकता
User-Name (Attr 1) सप्लिकेंट द्वारा प्रस्तुत पहचान आमतौर पर सर्टिफिकेट का सब्जेक्ट CN या SAN
NAS-IP-Address (Attr 4) एक्सेस पॉइंट का IP AP-विशिष्ट नीतियों के लिए उपयोग किया जाता है
Called-Station-Id (Attr 30) AP का BSSID और SSID SSID-आधारित नीति प्रवर्तन सक्षम करता है
EAP-Message (Attr 79) एनकैप्सुलेटेड EAP पैकेट इसमें TLS हैंडशेक डेटा होता है
Tunnel-Type (Attr 64) VLAN असाइनमेंट प्रकार निर्दिष्ट करता है ऑथेंटिकेशन के बाद डायनामिक VLAN असाइनमेंट के लिए उपयोग किया जाता है
Tunnel-Medium-Type (Attr 65) टनल के लिए माध्यम निर्दिष्ट करता है 802.1Q VLAN टैगिंग के लिए आवश्यक
Tunnel-Private-Group-Id (Attr 81) असाइन करने के लिए VLAN ID रोल-आधारित नेटवर्क सेगमेंटेशन सक्षम करता है

Tunnel-Private-Group-Id एट्रिब्यूट एंटरप्राइज़ डिप्लॉयमेंट में विशेष रूप से शक्तिशाली है। सर्टिफिकेट के एट्रिब्यूट्स (जैसे, विभाग, डिवाइस प्रकार) के आधार पर विभिन्न VLAN IDs लौटाकर, RADIUS सर्वर अलग-अलग SSIDs की आवश्यकता के बिना नेटवर्क को डायनामिक रूप से सेगमेंट कर सकता है。

इम्प्लीमेंटेशन गाइड

Jamf Pro के माध्यम से सर्टिफिकेट WiFi Apple ऑथेंटिकेशन डिप्लॉय करना एक संरचित क्रम का पालन करता है। इस क्रम से भटकना विफल डिप्लॉयमेंट का प्राथमिक कारण है।

चरण 1: अपना सर्टिफिकेट अथॉरिटी इन्फ्रास्ट्रक्चर स्थापित करें

Jamf को छूने से पहले, आपका CA इन्फ्रास्ट्रक्चर तैयार होना चाहिए। Microsoft वातावरण के लिए, यह आमतौर पर Network Device Enrollment Service (NDES) रोल के साथ Active Directory Certificate Services (AD CS) होता है, जो SCEP सर्वर के रूप में कार्य करता है। गैर-Microsoft वातावरण के लिए, विकल्पों में EJBCA, HashiCorp Vault PKI, या AWS Private CA जैसे क्लाउड-आधारित CAs शामिल हैं।

सुनिश्चित करें कि आपकी CA पदानुक्रम (hierarchy) स्पष्ट है: एक Root CA जिसे ऑफ़लाइन रखा जाता है, और एक या अधिक Issuing CAs जो डिवाइस सर्टिफिकेट पर हस्ताक्षर करते हैं। RADIUS सर्वर को इसी CA पदानुक्रम द्वारा हस्ताक्षरित अपने स्वयं के सर्टिफिकेट की आवश्यकता होगी।

चरण 2: Jamf Pro में SCEP पेलोड कॉन्फ़िगर करें

Computers (या Mobile Devices) > Configuration Profiles > New पर नेविगेट करें। एक Certificate पेलोड जोड़ें और सर्टिफिकेट स्रोत के रूप में SCEP चुनें। महत्वपूर्ण फ़ील्ड इस प्रकार हैं।

  • URL: SCEP एंडपॉइंट (उदा., http://ndes.yourdomain.com/certsrv/mscep/mscep.dll)।
  • Name: एक वर्णनात्मक नाम जो डिवाइस के Keychain में दिखाई देगा।
  • Subject: सर्टिफिकेट का डिस्टिंग्विश्ड नेम (Distinguished Name)। कंप्यूटर के लिए CN=$COMPUTERNAME या मोबाइल डिवाइस के लिए CN=$JSSID जैसे Jamf वेरिएबल्स का उपयोग करें।
  • Subject Alternative Name (SAN): SAN प्रकार को RFC 822 Name पर सेट करें जिसका मान $MACADDRESS@yourdomain.com हो, या DNS Name जिसका मान $COMPUTERNAME.yourdomain.com हो। डिवाइस की पहचान करने के लिए RADIUS सर्वर इसे ही पढ़ेगा।
  • Challenge Type: Jamf के बिल्ट-इन SCEP प्रॉक्सी का उपयोग करने के लिए Dynamic चुनें, जो प्रति-डिवाइस चैलेंज पासवर्ड जनरेट करता है।
  • Key Size: न्यूनतम 2048-बिट RSA। नए डिप्लॉयमेंट के लिए 4096-बिट की अनुशंसा की जाती है।
  • Key Usage: Signing और Encryption दोनों को सक्षम करें।

चरण 3: WiFi पेलोड कॉन्फ़िगर करें

उसी कॉन्फ़िगरेशन प्रोफ़ाइल में, एक Wi-Fi पेलोड जोड़ें। Apple 802.1X के लिए प्रमुख सेटिंग्स इस प्रकार हैं।

  • SSID: आपके कॉर्पोरेट सुरक्षित SSID का सटीक नाम।
  • Security Type: WPA2 Enterprise या WPA3 Enterprise (जहां हार्डवेयर इसका समर्थन करता है वहां अनुशंसित)।
  • Protocols — Accepted EAP Types: केवल TLS चुनें। विशेष रूप से EAP-TLS लागू करने के लिए PEAP, TTLS और अन्य सभी प्रकारों को अचयनित (deselect) करें।
  • Authentication — Identity Certificate: चरण 2 में आपके द्वारा बनाया गया SCEP पेलोड चुनें। यह सर्टिफिकेट और WiFi कनेक्शन के बीच की महत्वपूर्ण कड़ी है।
  • Trust — Trusted Server Certificate Names: अपने RADIUS सर्वर के सर्टिफिकेट का सटीक कॉमन नेम (CN) दर्ज करें (उदा., radius.yourdomain.com)। यह सबसे अधिक छूटने वाला कॉन्फ़िगरेशन आइटम है।
  • Trust — Trusted Certificates: Root CA और कोई भी Intermediate CA सर्टिफिकेट अपलोड करें जिन्होंने RADIUS सर्वर के सर्टिफिकेट पर हस्ताक्षर किए हैं。

चरण 4: RADIUS सर्वर कॉन्फ़िगर करें

अपने RADIUS सर्वर पर, एक नेटवर्क नीति बनाएं जो Jamf में आपके द्वारा परिभाषित सर्टिफिकेट एट्रिब्यूट्स से मेल खाती हो। Microsoft NPS के लिए, इसका मतलब है एक Connection Request Policy बनाना जो Called-Station-Id एट्रिब्यूट के माध्यम से SSID से मेल खाती हो, और एक Network Policy जो आपके CA के विरुद्ध सर्टिफिकेट को मान्य करती है और वैकल्पिक रूप से टनल एट्रिब्यूट्स के माध्यम से VLAN असाइन करती है।

FreeRADIUS के लिए, tls का उपयोग करने के लिए eap मॉड्यूल को कॉन्फ़िगर करें और अपने CA सर्टिफिकेट, सर्वर सर्टिफिकेट और प्राइवेट की (private key) को पॉइंट करें। users फ़ाइल या SQL बैकएंड को आपके डिवाइस इन्वेंट्री के विरुद्ध सर्टिफिकेट के SAN से मेल खाने के लिए कॉन्फ़िगर किया जाना चाहिए।

चरण 5: प्रोफ़ाइल को स्कोप और डिप्लॉय करें

Jamf Pro में, कॉन्फ़िगरेशन प्रोफ़ाइल को उपयुक्त डिवाइस समूहों में स्कोप करें — उदाहरण के लिए, "Corporate Fleet" स्मार्ट ग्रुप के सभी डिवाइस। प्रोफ़ाइल MDM के माध्यम से स्वचालित रूप से पुश की जाएगी। जो डिवाइस ऑनलाइन हैं वे इसे कुछ ही मिनटों में प्राप्त कर लेंगे; जो डिवाइस ऑफ़लाइन हैं वे अगली बार चेक इन करने पर इसे प्राप्त करेंगे।

सर्वोत्तम प्रथाएँ (Best Practices)

जहां संभव हो WPA3 Enterprise लागू करें। 192-बिट मोड के साथ WPA3 Enterprise GCMP-256 और HMAC-SHA-384 का उपयोग करके उन्नत क्रिप्टोग्राफ़िक शक्ति प्रदान करता है, जो WPA2 Enterprise की तुलना में काफी मजबूत सुरक्षा प्रदान करता है। संवेदनशील डेटा को संभालने वाले Hospitality वातावरण और Healthcare संगठनों के लिए, यह अपग्रेड केवल एक सर्वोत्तम प्रथा के बजाय तेजी से एक अनुपालन आवश्यकता बनता जा रहा है।

साझा हार्डवेयर के लिए डिवाइस-आधारित सर्टिफिकेट का लाभ उठाएं। साझा उपकरणों — जैसे रिटेल पॉइंट-ऑफ़-सेल iPads, होटल कंसीयज टैबलेट, या क्लिनिकल उपकरणों — के लिए उपयोगकर्ता-बाध्य (user-bound) सर्टिफिकेट के बजाय डिवाइस-बाध्य (device-bound) सर्टिफिकेट का उपयोग करें। यह सुनिश्चित करता है कि डिवाइस किसी भी उपयोगकर्ता के लॉग इन करने से पहले, बूट होने पर नेटवर्क से जुड़ जाए, जिससे MDM चेक-इन, ऐप अपडेट और पुश नोटिफिकेशन सही ढंग से काम कर सकें। यह Retail डिप्लॉयमेंट के लिए एक महत्वपूर्ण विचार है जहां उपकरणों को शिफ्ट्स में साझा किया जा सकता है।

नेटवर्क एक्सेस को अपने व्यापक सुरक्षा ढांचे के साथ इंटीग्रेट करें। जबकि कर्मचारी सुरक्षित आंतरिक एक्सेस के लिए 802.1X का उपयोग करते हैं, सुनिश्चित करें कि स्पष्ट ट्रैफ़िक पृथक्करण बनाए रखने के लिए आपके सार्वजनिक-सामना वाले नेटवर्क को एक मजबूत Guest WiFi समाधान के माध्यम से प्रबंधित किया जाता है। सर्टिफिकेट-आधारित कर्मचारी ऑथेंटिकेशन को WiFi Analytics के साथ जोड़ने से ऑथेंटिकेटेड डिवाइस व्यवहार और अतिथि नेटवर्क गतिविधि दोनों में पूर्ण दृश्यता (visibility) मिलती है।

सर्टिफिकेट नवीनीकरण को स्वचालित करें। जब कोई सर्टिफिकेट समाप्ति के 14 से 30 दिनों के भीतर हो, तो स्वचालित नवीनीकरण ट्रिगर करने के लिए Jamf में SCEP पेलोड को कॉन्फ़िगर करें। यह उस परिदृश्य को रोकता है जहां एक डिवाइस चुपचाप नेटवर्क एक्सेस खो देता है क्योंकि उसका सर्टिफिकेट रातोंरात समाप्त हो गया था। Jamf Pro में, इसे SCEP पेलोड में Renewal Threshold सेटिंग के माध्यम से नियंत्रित किया जाता है。

सर्टिफिकेट रिवोकेशन लिस्ट (CRL) या OCSP रिस्पॉन्डर बनाए रखें। जब किसी डिवाइस को डिकमीशन किया जाता है, चोरी हो जाता है, या Jamf से अनएनरोल किया जाता है, तो उसके सर्टिफिकेट को CA स्तर पर रद्द (revoke) किया जाना चाहिए। प्रत्येक ऑथेंटिकेशन प्रयास पर CRL या OCSP एंडपॉइंट की जांच करने के लिए अपने RADIUS सर्वर को कॉन्फ़िगर करें। इसके बिना, वैध सर्टिफिकेट वाला चोरी हुआ डिवाइस अभी भी नेटवर्क पर ऑथेंटिकेट कर सकता है।

आधुनिक नेटवर्क इन्फ्रास्ट्रक्चर निर्णयों पर अधिक संदर्भ के लिए, The Core SD WAN Benefits for Modern Businesses गाइड इस बात पर उपयोगी संदर्भ प्रदान करती है कि सर्टिफिकेट-आधारित ऑथेंटिकेशन SD-WAN ओवरले आर्किटेक्चर के साथ कैसे इंटीग्रेट होता है।

समस्या निवारण और जोखिम न्यूनीकरण (Troubleshooting & Risk Mitigation)

चिकन-एंड-एग प्रोविज़निंग समस्या। SCEP सर्वर तक पहुंचने और अपना सर्टिफिकेट डाउनलोड करने के लिए उपकरणों को नेटवर्क कनेक्शन की आवश्यकता होती है, लेकिन सुरक्षित WiFi से जुड़ने के लिए उन्हें सर्टिफिकेट की आवश्यकता होती है। यह सबसे आम डिप्लॉयमेंट ब्लॉकर है। अनुशंसित न्यूनीकरण रणनीतियाँ हैं: USB-C या लाइटनिंग टू इथरनेट एडेप्टर का उपयोग करके इथरनेट के माध्यम से प्रोविज़निंग; iPhones और सेलुलर-सक्षम iPads पर सेलुलर डेटा का उपयोग करना; या फ़ायरवॉल नियमों के साथ एक अस्थायी, प्रतिबंधित ऑनबोर्डिंग SSID बनाना जो केवल SCEP और MDM ट्रैफ़िक की अनुमति देता है।

macOS पर साइलेंट EAP-TLS विफलताएं। यदि ट्रस्ट चेन अधूरी है, तो macOS UI में कोई सार्थक त्रुटि प्रदर्शित किए बिना चुपचाप कनेक्ट होने में विफल हो सकता है। इसका एकमात्र संकेत सिस्टम लॉग में मिलता है। रीयल-टाइम ऑथेंटिकेशन ईवेंट कैप्चर करने के लिए log stream --predicate 'subsystem == "com.apple.network"' का उपयोग करें। हमेशा सत्यापित करें कि Jamf प्रोफ़ाइल में Trusted Server Certificate Names ऐरे RADIUS सर्वर के सर्टिफिकेट में CN से बिल्कुल मेल खाता है।

हाई-लोड ईवेंट्स के दौरान RADIUS टाइमआउट। स्टेडियम या सम्मेलन केंद्रों जैसे वातावरण में, सैकड़ों उपकरणों से एक साथ ऑथेंटिकेशन अनुरोध RADIUS सर्वर को ओवरलोड कर सकते हैं। RADIUS को हाई-अवेलेबिलिटी पेयर में डिप्लॉय करके, FreeRADIUS में max_requests पैरामीटर को ट्यून करके, और यह सुनिश्चित करके कि RADIUS सर्वर में अपेक्षित समवर्ती ऑथेंटिकेशन लोड के लिए पर्याप्त CPU और मेमोरी है, इसे कम करें। बड़े पैमाने पर वेन्यू डिप्लॉयमेंट के लिए, क्षमता नियोजन विचारों के लिए Wireless Access Points Definition Your Ultimate 2026 Guide पर हमारे मार्गदर्शन की समीक्षा करें।

सर्टिफिकेट एट्रिब्यूट बेमेल (Mismatch)। यदि डिवाइस सर्टिफिकेट में SAN RADIUS नेटवर्क नीति की अपेक्षाओं से मेल नहीं खाता है, तो ऑथेंटिकेशन विफल हो जाएगा। यह विशेष रूप से तब आम होता है जब एक CA से दूसरे में माइग्रेट किया जाता है, या जब Jamf वेरिएबल्स अपेक्षा से भिन्न रूप से रिज़ॉल्व होते हैं। हमेशा एक ही डिवाइस के साथ परीक्षण करें और पूरे फ्लीट में रोल आउट करने से पहले प्रस्तुत की जा रही सटीक पहचान स्ट्रिंग की पुष्टि करने के लिए RADIUS सर्वर लॉग का निरीक्षण करें।

ROI और व्यावसायिक प्रभाव

Jamf RADIUS WiFi सर्टिफिकेट ऑथेंटिकेशन में ट्रांज़िशन कई आयामों में मापने योग्य व्यावसायिक मूल्य प्रदान करता है।

मेट्रिक विशिष्ट परिणाम
हेल्पडेस्क टिकट में कमी WiFi-संबंधित सपोर्ट अनुरोधों में 60–85% की कमी
प्रति डिवाइस ऑनबोर्डिंग समय 15–30 मिनट से घटकर 2 मिनट से कम (ज़ीरो-टच)
सुरक्षा घटना जोखिम क्रेडेंशियल-आधारित WiFi हमलों का लगभग उन्मूलन
अनुपालन स्थिति PCI DSS आवश्यकता 1.3 और GDPR अनुच्छेद 32 नेटवर्क नियंत्रणों को पूरा करता है
सर्टिफिकेट जीवनचक्र स्वचालित नवीनीकरण मैन्युअल सर्टिफिकेट प्रबंधन को समाप्त करता है

सबसे महत्वपूर्ण ROI ड्राइवर पासवर्ड रोटेशन व्यवधानों का उन्मूलन है। 500-डिवाइस फ्लीट में जहां पासवर्ड परिवर्तन के कारण हर तिमाही में 10% डिवाइस नेटवर्क से बाहर हो जाते हैं, और प्रत्येक घटना को हल करने के लिए IT के 20 मिनट के समय की आवश्यकता होती है, केवल वार्षिक सपोर्ट लागत बचत ही पहले वर्ष के भीतर कार्यान्वयन निवेश को उचित ठहरा सकती है।

Transport ऑपरेटरों और बड़े वेन्यू वातावरण के लिए, डायनामिक VLAN असाइनमेंट लागू करने की क्षमता से व्यावसायिक मामला और मजबूत हो जाता है — यह सुनिश्चित करते हुए कि परिचालन उपकरण, कर्मचारी उपकरण और प्रबंधन सिस्टम मैन्युअल नेटवर्क पुनर्संरचना के बिना स्वचालित रूप से सेगमेंट किए गए हैं।

मुख्य परिभाषाएं

EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)

सबसे सुरक्षित 802.1X ऑथेंटिकेशन विधि, जिसमें क्लाइंट डिवाइस और RADIUS सर्वर दोनों को डिजिटल सर्टिफिकेट का उपयोग करके एक-दूसरे को ऑथेंटिकेट करने की आवश्यकता होती है। कोई पासवर्ड एक्सचेंज या ट्रांसमिट नहीं किया जाता है।

जब IT टीमों को पासवर्ड-आधारित WiFi को खत्म करने और सख्त डिवाइस अनुपालन लागू करने की आवश्यकता होती है, तो EAP-TLS अनिवार्य मानक है। यह एकमात्र EAP प्रकार है जो म्यूचुअल ऑथेंटिकेशन प्रदान करता है।

SCEP (Simple Certificate Enrollment Protocol)

एक प्रोटोकॉल जो उपकरणों को चैलेंज-रिस्पॉन्स तंत्र का उपयोग करके सर्टिफिकेट अथॉरिटी से सुरक्षित और स्वचालित रूप से डिजिटल सर्टिफिकेट का अनुरोध करने की अनुमति देता है।

IT कर्मचारियों को हजारों उपकरणों पर मैन्युअल रूप से सर्टिफिकेट इंस्टॉल करने की आवश्यकता के बिना Jamf Pro के माध्यम से सर्टिफिकेट डिप्लॉयमेंट को स्केल करने के लिए आवश्यक है। Jamf का डायनामिक SCEP प्रॉक्सी प्रति-डिवाइस चैलेंज पासवर्ड जनरेट करता है।

RADIUS (Remote Authentication Dial-In User Service)

एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क सेवा से जुड़ने वाले उपकरणों के लिए केंद्रीकृत ऑथेंटिकेशन, ऑथराइज़ेशन और अकाउंटिंग (AAA) प्रबंधन प्रदान करता है।

केंद्रीय निर्णय इंजन जो WiFi एक्सेस पॉइंट को बताता है कि क्या Jamf-प्रबंधित डिवाइस को नेटवर्क पर अनुमति है, और वैकल्पिक रूप से कौन सा VLAN असाइन करना है।

कॉन्फ़िगरेशन प्रोफ़ाइल (Configuration Profile)

Jamf Pro द्वारा डिप्लॉय की गई एक XML फ़ाइल (.mobileconfig) जिसमें Apple उपकरणों पर सेटिंग्स प्रबंधित करने के लिए एक या अधिक पेलोड होते हैं, जिनमें सर्टिफिकेट, WiFi, VPN और प्रतिबंध शामिल हैं।

यह वह माध्यम है जिसका उपयोग SCEP सेटिंग्स, WiFi SSID कॉन्फ़िगरेशन और सर्टिफिकेट ट्रस्ट चेन को iPhone, iPad या Mac पर पुश करने के लिए किया जाता है।

CSR (Certificate Signing Request)

Apple डिवाइस द्वारा जनरेट किया गया एन्कोडेड टेक्स्ट का एक ब्लॉक जिसमें पब्लिक की (public key) और पहचान की जानकारी होती है, जिसे हस्ताक्षरित डिजिटल सर्टिफिकेट के लिए आवेदन करने हेतु सर्टिफिकेट अथॉरिटी को भेजा जाता है।

SCEP प्रक्रिया में पहला कदम। डिवाइस स्थानीय रूप से CSR जनरेट करता है, यह सुनिश्चित करते हुए कि प्राइवेट की (private key) कभी भी डिवाइस से बाहर न जाए — जो PKI सुरक्षा का एक मूलभूत सिद्धांत है।

सब्जेक्ट अल्टरनेटिव नेम (SAN)

X.509 सर्टिफिकेट का एक एक्सटेंशन जो कई पहचान मानों को सर्टिफिकेट के साथ जोड़ने की अनुमति देता है, जैसे ईमेल एड्रेस, DNS नाम, IP एड्रेस, या MAC एड्रेस।

RADIUS ऑथेंटिकेशन के लिए महत्वपूर्ण। RADIUS सर्वर डिवाइस या उपयोगकर्ता की पहचान करने के लिए SAN को पढ़ता है। Jamf डिप्लॉयमेंट में, SAN को आमतौर पर डिवाइस के MAC एड्रेस या उपयोगकर्ता के UPN पर सेट किया जाता है।

Root CA (Certificate Authority)

PKI पदानुक्रम में सबसे ऊपरी सर्टिफिकेट, जिसकी प्राइवेट की (private key) का उपयोग अधीनस्थ CA सर्टिफिकेट पर हस्ताक्षर करने के लिए किया जाता है। ऑथेंटिकेशन चेन में सभी पक्षों द्वारा Root CA सर्टिफिकेट पर भरोसा किया जाना चाहिए।

Jamf के माध्यम से Apple उपकरणों पर डिप्लॉय किया जाना चाहिए ताकि वे EAP-TLS हैंडशेक के दौरान RADIUS सर्वर द्वारा प्रस्तुत सर्टिफिकेट पर भरोसा करें। इसके बिना, हैंडशेक विफल हो जाता है।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक IEEE मानक, जो नेटवर्क एक्सेस दिए जाने से पहले LAN या WLAN से जुड़ने के इच्छुक उपकरणों को एक ऑथेंटिकेशन तंत्र प्रदान करता है।

व्यापक ढांचा जो एक्सेस पॉइंट पर नेटवर्क ट्रैफ़िक को तब तक ब्लॉक करता है जब तक कि RADIUS सर्वर Jamf-प्रोविज़न किए गए सर्टिफिकेट को मान्य नहीं कर देता। सभी एंटरप्राइज़ WiFi सुरक्षा इसी मानक पर बनी है।

डायनामिक VLAN असाइनमेंट (Dynamic VLAN Assignment)

एक RADIUS सुविधा जो RADIUS टनल एट्रिब्यूट्स 64, 65 और 81 का उपयोग करके, Access-Accept संदेश में लौटाए गए नीति एट्रिब्यूट्स के आधार पर कनेक्टिंग डिवाइस को एक विशिष्ट VLAN असाइन करती है।

एकाधिक SSIDs के बिना नेटवर्क सेगमेंटेशन सक्षम करता है। एक एकल कॉर्पोरेट SSID स्वचालित रूप से क्लिनिकल iPads को VLAN 20 पर, कार्यकारी MacBooks को VLAN 30 पर, और अतिथि उपकरणों को VLAN 100 पर रख सकता है।

हल किए गए उदाहरण

एक 500-बेड वाले अस्पताल को क्लिनिकल कर्मचारियों के लिए 1,200 साझा iPads डिप्लॉय करने की आवश्यकता है। वे वर्तमान में Active Directory क्रेडेंशियल्स के साथ PEAP का उपयोग करते हैं, जिसके परिणामस्वरूप हर 90 दिनों में पासवर्ड समाप्त होने पर सैकड़ों डिवाइस डिस्कनेक्ट हो जाते हैं। उन्हें अपने ऑथेंटिकेशन आर्किटेक्चर को फिर से कैसे डिज़ाइन करना चाहिए?

अस्पताल को Jamf Pro के माध्यम से प्रबंधित डिवाइस-आधारित सर्टिफिकेट का उपयोग करके EAP-TLS पर माइग्रेट करना चाहिए। कार्यान्वयन में चार प्रमुख चरण शामिल हैं। पहला, SCEP सर्वर के रूप में कार्य करने के लिए NDES रोल के साथ AD CS डिप्लॉय करें, जो एक समर्पित 'Clinical Device' सर्टिफिकेट टेम्पलेट से सर्टिफिकेट जारी करता है। दूसरा, SAN के रूप में $MACADDRESS का उपयोग करके SCEP पेलोड के साथ एक Jamf कॉन्फ़िगरेशन प्रोफ़ाइल कॉन्फ़िगर करें, और केवल EAP-TLS के साथ क्लिनिकल SSID को लक्षित करने वाला एक WiFi पेलोड, जो स्पष्ट रूप से RADIUS सर्वर सर्टिफिकेट पर भरोसा करता है। तीसरा, Microsoft NPS को एक नेटवर्क नीति के साथ कॉन्फ़िगर करें जो 'Clinical Device' सर्टिफिकेट टेम्पलेट से मेल खाती हो और उपकरणों को क्लिनिकल VLAN (Tunnel-Private-Group-Id = 20) असाइन करती हो। चौथा, IT हस्तक्षेप के बिना स्वचालित सर्टिफिकेट नवीनीकरण सुनिश्चित करने के लिए SCEP नवीनीकरण सीमा (renewal threshold) को 30 दिनों पर सेट करें। ऑनबोर्डिंग नेटवर्क चुनौती को हल करने के लिए प्रारंभिक रोलआउट के दौरान उपकरणों को इथरनेट के माध्यम से प्रोविज़न किया जाना चाहिए।

परीक्षक की टिप्पणी: यह दृष्टिकोण 90-दिवसीय पासवर्ड रोटेशन समस्या को पूरी तरह से समाप्त कर देता है। उपयोगकर्ता-आधारित के बजाय डिवाइस-आधारित सर्टिफिकेट का उपयोग करके, iPads चार्जिंग कार्ट पर रखे होने पर भी नेटवर्क से जुड़े रहते हैं, यह सुनिश्चित करते हुए कि किसी क्लिनिशियन द्वारा उन्हें उठाने से पहले उन्हें महत्वपूर्ण MDM अपडेट और पुश नोटिफिकेशन प्राप्त हों। RADIUS के माध्यम से डायनामिक VLAN असाइनमेंट यह सुनिश्चित करता है कि क्लिनिकल डिवाइस स्वचालित रूप से सही नेटवर्क सेगमेंट पर रखे गए हैं, जो मैन्युअल कॉन्फ़िगरेशन के बिना HIPAA नेटवर्क सेगमेंटेशन आवश्यकताओं को पूरा करते हैं।

300 MacBooks वाली एक क्रिएटिव एजेंसी एक नए कार्यालय में जा रही है। वे ज़ीरो-टच WiFi प्रोविज़निंग चाहते हैं — जब एंड-यूज़र्स द्वारा उनके डेस्क पर नए MacBooks अनबॉक्स किए जाएं, तो उन्हें बिना किसी IT हस्तक्षेप के स्वचालित रूप से सुरक्षित कॉर्पोरेट SSID से कनेक्ट होना चाहिए। वे इसे कैसे प्राप्त करते हैं?

एजेंसी को Apple Automated Device Enrollment (ADE) को Jamf Pro और सावधानीपूर्वक अनुक्रमित (sequenced) कॉन्फ़िगरेशन प्रोफ़ाइल के साथ जोड़ना होगा। macOS सेटअप असिस्टेंट के दौरान, MacBook एक अस्थायी ओपन ऑनबोर्डिंग SSID (फ़ायरवॉल द्वारा प्रतिबंधित ताकि केवल Apple एक्टिवेशन, Jamf MDM और SCEP ट्रैफ़िक की अनुमति मिल सके) के माध्यम से इंटरनेट से जुड़ता है। यह Apple से संपर्क करता है, ADE के माध्यम से पहचानता है कि यह एजेंसी का है, और स्वचालित रूप से Jamf Pro में नामांकित हो जाता है। Jamf Pro तुरंत एक प्री-स्टेज्ड कॉन्फ़िगरेशन प्रोफ़ाइल पुश करता है जिसमें SCEP पेलोड और कॉर्पोरेट WiFi पेलोड होता है। SCEP नामांकन ऑनबोर्डिंग SSID पर पूरा होता है, सर्टिफिकेट Keychain में इंस्टॉल हो जाता है, और WiFi पेलोड सक्रिय हो जाता है। MacBook फिर स्वचालित रूप से सुरक्षित 802.1X कॉर्पोरेट SSID पर ट्रांज़िशन कर लेता है। उपयोगकर्ता के दृष्टिकोण से, वे बस सेटअप असिस्टेंट को पूरा करते हैं और लैपटॉप कॉर्पोरेट नेटवर्क पर आ जाता है।

परीक्षक की टिप्पणी: यह परिदृश्य ज़ीरो-टच डिप्लॉयमेंट में ऑनबोर्डिंग नेटवर्क के महत्वपूर्ण महत्व पर प्रकाश डालता है। SCEP पेलोड और WiFi पेलोड एक ही कॉन्फ़िगरेशन प्रोफ़ाइल में होने चाहिए और Prestage Enrollment समूह में स्कोप किए जाने चाहिए ताकि वे MDM नामांकन पर तुरंत पुश हो जाएं — उपयोगकर्ता के डेस्कटॉप तक पहुंचने से पहले। यदि प्रोफ़ाइल को किसी ऐसे स्मार्ट ग्रुप में स्कोप किया गया है जिसके लिए डिवाइस को पहले पूरी तरह से नामांकित होने की आवश्यकता है, तो देरी हो सकती है जिसके दौरान डिवाइस के पास कोई नेटवर्क एक्सेस नहीं होता है, जिससे ज़ीरो-टच अनुभव टूट जाता है।

अभ्यास प्रश्न

Q1. आपने 50 MacBooks पर SCEP पेलोड और WiFi पेलोड के साथ एक Jamf कॉन्फ़िगरेशन प्रोफ़ाइल डिप्लॉय की है। SCEP सर्टिफिकेट Keychain में सफलतापूर्वक इंस्टॉल हो गए हैं, लेकिन कॉर्पोरेट SSID से कनेक्ट करने का प्रयास करते समय MacBooks उपयोगकर्ताओं को 'Verify Certificate' डायलॉग के साथ संकेत दे रहे हैं। कौन सा कॉन्फ़िगरेशन तत्व गायब या गलत है?

संकेत: इस बारे में सोचें कि उपयोगकर्ता के हस्तक्षेप के बिना RADIUS सर्वर की पहचान पर स्वचालित रूप से भरोसा करने के लिए Apple डिवाइस को किस जानकारी की आवश्यकता है।

मॉडल उत्तर देखें

Jamf कॉन्फ़िगरेशन प्रोफ़ाइल में WiFi पेलोड में या तो 'Trusted Server Certificate Names' प्रविष्टि गायब है (जो RADIUS सर्वर के सर्टिफिकेट में CN से बिल्कुल मेल खानी चाहिए), या RADIUS सर्वर के सर्टिफिकेट पर हस्ताक्षर करने वाले Root CA और Intermediate CA सर्टिफिकेट प्रोफ़ाइल के Trust पेलोड में शामिल नहीं हैं। MDM द्वारा परिभाषित स्पष्ट विश्वास के बिना, macOS और iOS को EAP-TLS हैंडशेक के दौरान उपयोगकर्ता को RADIUS सर्वर के सर्टिफिकेट को मैन्युअल रूप से सत्यापित और स्वीकार करने की आवश्यकता होती है। दोनों फ़ील्ड भरे होने चाहिए: Trusted Certificates ऐरे (जिसमें CA चेन होती है) और Trusted Server Certificate Names ऐरे (जिसमें RADIUS सर्वर का CN होता है)।

Q2. एक रिटेल चेन चाहती है कि उनके पॉइंट-ऑफ़-सेल iPads बूट होने पर तुरंत सुरक्षित कॉर्पोरेट WiFi से कनेक्ट हों, इससे पहले कि कोई कर्मचारी POS एप्लिकेशन में लॉग इन करे। वर्तमान डिप्लॉयमेंट व्यक्तिगत कर्मचारी UPNs से जुड़े उपयोगकर्ता सर्टिफिकेट का उपयोग करता है। शिफ्ट की शुरुआत में डिवाइस अक्सर कनेक्ट होने में विफल रहते हैं। इसका मूल कारण क्या है और सही आर्किटेक्चरल बदलाव क्या है?

संकेत: विचार करें कि उपयोगकर्ता ऑथेंटिकेशन जीवनचक्र के सापेक्ष iOS नेटवर्क स्टैक के लिए विभिन्न प्रकार के सर्टिफिकेट कब उपलब्ध होते हैं।

मॉडल उत्तर देखें

मूल कारण यह है कि उपयोगकर्ता सर्टिफिकेट (UPN से जुड़े) उपयोगकर्ता के कीचेन (keychain) में संग्रहीत होते हैं और उपयोगकर्ता द्वारा डिवाइस पर ऑथेंटिकेट करने के बाद ही एक्सेस किए जा सकते हैं। बूट होने पर या iOS लॉक स्क्रीन पर, उपयोगकर्ता कीचेन लॉक होता है, इसलिए WiFi स्टैक EAP-TLS करने के लिए सर्टिफिकेट तक नहीं पहुंच सकता है। सही आर्किटेक्चरल बदलाव डिवाइस सर्टिफिकेट पर स्विच करना है, जहां SAN को डिवाइस के MAC एड्रेस या सीरियल नंबर पर सेट किया गया है। डिवाइस सर्टिफिकेट सिस्टम कीचेन में संग्रहीत होते हैं, जो किसी भी उपयोगकर्ता के लॉग इन करने से पहले बूट समय पर एक्सेस किए जा सकते हैं। RADIUS नेटवर्क नीति को उपयोगकर्ता सर्टिफिकेट के बजाय डिवाइस सर्टिफिकेट से मेल खाने के लिए अपडेट किया जाना चाहिए, और Jamf SCEP पेलोड को SAN के रूप में $MACADDRESS या $SERIALNUMBER जैसे डिवाइस-स्तरीय वेरिएबल्स का उपयोग करने के लिए अपडेट किया जाना चाहिए।

Q3. आपका संगठन RADIUS सर्वर के रूप में Microsoft NPS का उपयोग करता है। आप 200 MacBooks के लिए एक नया Jamf SCEP पेलोड कॉन्फ़िगर कर रहे हैं। NPS नेटवर्क नीति को यह आवश्यक करने के लिए कॉन्फ़िगर किया गया है कि सर्टिफिकेट का सब्जेक्ट अल्टरनेटिव नेम Active Directory में कंप्यूटर खाते से मेल खाए। आपको Jamf SCEP पेलोड में कौन सा SAN मान कॉन्फ़िगर करना चाहिए, और NPS किस प्रारूप की अपेक्षा करता है?

संकेत: NPS कंप्यूटर सर्टिफिकेट ऑथेंटिकेशन के लिए आवश्यक है कि SAN एक विशिष्ट प्रारूप में Active Directory में कंप्यूटर की पहचान से मेल खाए।

मॉडल उत्तर देखें

NPS कंप्यूटर सर्टिफिकेट ऑथेंटिकेशन के लिए, SAN को DNS Name प्रकार पर सेट किया जाना चाहिए जिसका मान $COMPUTERNAME.yourdomain.com हो (कंप्यूटर के होस्टनाम के लिए Jamf वेरिएबल का उपयोग करते हुए)। NPS अपेक्षा करता है कि SAN DNS Name कंप्यूटर के पूरी तरह से योग्य डोमेन नाम (FQDN) से मेल खाए जैसा कि यह Active Directory में दिखाई देता है। वैकल्पिक रूप से, यदि User Principal Name SAN प्रकार का उपयोग कर रहे हैं, तो प्रारूप host/$ COMPUTERNAME@YOURDOMAIN.COM होना चाहिए। NPS नेटवर्क नीति की शर्त को 'Client Certificate SAN' एट्रिब्यूट से मेल खाने के लिए सेट किया जाना चाहिए। सुनिश्चित करें कि MacBooks Active Directory से बंधे (bound) हैं, या Jamf में कंप्यूटर नाम AD में कंप्यूटर ऑब्जेक्ट्स से मेल खाते हैं, अन्यथा सर्टिफिकेट वैध होने पर भी NPS लुकअप विफल हो जाएगा।

इस श्रृंखला में आगे पढ़ें

Purple WiFi के साथ Huawei AirEngine और CloudCampus एकीकरण

यह गाइड Huawei AirEngine एक्सेस पॉइंट्स और iMaster NCE-Campus को Purple WiFi के साथ एकीकृत करने के लिए चरण-दर-चरण निर्देश प्रदान करती है। इसमें एंटरप्राइज नेटवर्क के लिए कैप्टिव पोर्टल कॉन्फ़िगरेशन, 802.1X स्टाफ प्रमाणीकरण और PPSK डायनेमिक VLAN स्टीयरिंग शामिल है।

गाइड पढ़ें →

Purple WiFi के साथ EnGenius Cloud Access Points का एकीकरण

यह तकनीकी संदर्भ EnGenius Cloud Access Points और ECS स्विचों के Purple के गेस्ट WiFi प्लेटफॉर्म के साथ चरण-दर-चरण एकीकरण का विवरण देता है। इसमें बाहरी स्प्लैश पेज के माध्यम से गेस्ट कैप्टिव पोर्टल रीडायरेक्शन, Walled Garden कॉन्फ़िगरेशन, IEEE 802.1X का उपयोग करके सुरक्षित स्टाफ WiFi, और गतिशील VLAN असाइनमेंट के साथ EnGenius MyPSK का उपयोग करके मल्टी-टेनेंट नेटवर्क अलगाव शामिल है। IT इंस्टॉलरों और नेटवर्क आर्किटेक्ट्स को EnGenius हार्डवेयर संपत्तियों में Purple को तैनात करने के लिए व्यावहारिक कॉन्फ़िगरेशन अनुक्रम, वास्तविक दुनिया के केस स्टडीज और एक समस्या निवारण ढांचा मिलेगा।

गाइड पढ़ें →

Purple WiFi के साथ DrayTek Vigor राउटर्स और एक्सेस पॉइंट्स का एकीकरण

यह गाइड DrayTek Vigor राउटर्स और VigorAP एक्सेस पॉइंट्स को Purple के क्लाउड प्लेटफॉर्म के साथ एकीकृत करने के लिए चरण-दर-चरण तकनीकी निर्देश प्रदान करती है। इसमें Guest WiFi के लिए DrayTek कैप्टिव पोर्टल कॉन्फ़िगरेशन, सुरक्षित Staff WiFi के लिए 802.1X प्रमाणीकरण, Walled Garden सेटअप, और डायनेमिक VLAN असाइनमेंट के साथ मल्टी-टेनेंट नेटवर्क सेगमेंटेशन के लिए DrayTek Multiple PSK (PPSK) कॉन्फ़िगरेशन शामिल है। इसे हॉस्पिटैलिटी, रिटेल और मल्टी-टेनेंट स्थानों पर Purple को तैनात करने वाले IT इंस्टॉलरों और SMB नेटवर्क प्रशासकों के लिए डिज़ाइन किया गया है।

गाइड पढ़ें →