NAC के साथ K-12 स्कूल नेटवर्क को सुरक्षित करने के सर्वोत्तम अभ्यास

NAC के साथ K-12 स्कूल नेटवर्क को सुरक्षित करने के सर्वोत्तम तरीके एक Purple WiFi इंटेलिजेंस ब्रीफिंग - लगभग 10 मिनट --- परिचय और संदर्भ - लगभग 1 मिनट Purple WiFi इंटेलिजेंस ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक ऐसे विषय पर चर्चा कर रहे हैं जो सुरक्षा, अनुपालन और व्यावहारिक नेटवर्क इंजीनियरिंग के चौराहे पर स्थित है: Network Access Control, या NAC का उपयोग करके K-12 स्कूल नेटवर्क को सुरक्षित करना। यदि आप शिक्षा क्षेत्र में काम करने वाले एक IT मैनेजर या नेटवर्क आर्किटेक्ट हैं, तो आप इस चुनौती को पहले से ही जानते हैं। आपके पास एक ही भौतिक नेटवर्क है जिसे शिक्षकों, छात्रों, गवर्नरों, आने वाले अभिभावकों, IoT डिवाइस जैसे स्मार्टबोर्ड और CCTV कैमरों और कभी-कभी ठेकेदारों को सेवा देनी होती है - वह भी एक ही समय में, और सभी के लिए अलग-अलग ट्रस्ट स्तर और एक्सेस आवश्यकताएं होती हैं। यहाँ दांव बहुत ऊंचे हैं। स्कूल नाबालिगों का संवेदनशील व्यक्तिगत डेटा रखते हैं। वे GDPR, अमेरिकी संदर्भ में CIPA, और तेजी से, यूके में Ofsted और DfE मार्गदर्शन के अधीन हैं। एक भी गलत तरीके से कॉन्फ़िगर किया गया एक्सेस पॉइंट सुरक्षा रिकॉर्ड को उजागर कर सकता है या किसी छात्र को एडमिन नेटवर्क में प्रवेश करने की अनुमति दे सकता है। इसलिए आज, हम यह देखने जा रहे हैं कि K-12 परिवेश में NAC समाधान को वास्तव में कैसे आर्किटेक्ट और तैनात किया जाए - इसके मानक, सेगमेंटेशन रणनीति, एकीकरण बिंदु और वे गलतियां जो अनुभवी टीमों को भी उलझा देती हैं। आइए इस पर विस्तार से चर्चा करें। --- तकनीकी गहरा विश्लेषण - लगभग 5 मिनट आइए बुनियादी बातों से शुरू करते हैं। NAC - Network Access Control - यह नियंत्रित करने का नियम है कि आपके नेटवर्क से कौन और क्या जुड़ सकता है, और कनेक्ट होने के बाद वे क्या कर सकते हैं। K-12 संदर्भ में, इसका मतलब नेटवर्क प्रविष्टि के बिंदु पर प्रमाणीकरण, प्राधिकरण और नीति लागू करना है, चाहे वह वायर्ड स्विच पोर्ट हो या वायरलेस एक्सेस पॉइंट। यहाँ मुख्य आधार मानक IEEE 802.1X है। यह पोर्ट-आधारित प्रमाणीकरण प्रोटोकॉल है जो एक सप्लिकेंट (कनेक्ट करने का प्रयास करने वाला डिवाइस), एक ऑथेंटिकेटर (जो आपका स्विच या एक्सेस पॉइंट है), और एक प्रमाणीकरण सर्वर (आमतौर पर एक RADIUS सर्वर) के बीच बैठता है। जब कोई डिवाइस कनेक्ट करने का प्रयास करता है, तो 802.1X इसे एक अप्रमाणित स्थिति में रखता है, RADIUS सर्वर को क्रेडेंशियल पास करता है, और सर्वर द्वारा पहचान और नीति मिलान की पुष्टि करने के बाद ही नेटवर्क एक्सेस प्रदान करता है। एक स्कूल में, यह सीधे आपके उपयोगकर्ता समूहों से मेल खाता है। कर्मचारी अपने Active Directory या Azure AD क्रेडेंशियल के साथ प्रमाणित होते हैं। छात्र अपने स्कूल द्वारा जारी क्रेडेंशियल या डिवाइस प्रमाणपत्रों के साथ प्रमाणित होते हैं। अनमैनेज्ड डिवाइस - जैसे किसी पेरेंट-टीचर मीटिंग में माता-पिता का फोन, किसी ठेकेदार का लैपटॉप - एक Captive Portal या एक प्रतिबंधित अतिथि VLAN पर रीडायरेक्ट हो जाते हैं। अब, आइए VLAN सेगमेंटेशन के बारे में बात करते हैं, क्योंकि यही वह जगह है जहाँ अधिकांश स्कूल नेटवर्क या तो इसे सही तरीके से करते हैं या खुद को असुरक्षित छोड़ देते हैं।एक K-12 नेटवर्क के लिए न्यूनतम व्यवहार्य सेगमेंटेशन मॉडल इस तरह दिखता है। आपको कम से कम चार VLANs की आवश्यकता है। पहला, एक Staff और Administration VLAN - यह शिक्षकों के वर्कस्टेशन, MIS सिस्टम, HR डेटा और फाइनेंस एप्लिकेशन को संभालता है। पूर्ण इंटरनेट एक्सेस, लेकिन छात्रों के डिवाइस तक कोई लेटरल एक्सेस नहीं। दूसरा, एक Student VLAN - फ़िल्टर किया गया इंटरनेट एक्सेस, कंटेंट फ़िल्टरिंग लागू, और स्टाफ के संसाधनों तक कोई एक्सेस नहीं। तीसरा, एक IoT और Infrastructure VLAN - यह वह जगह है जहाँ आपके स्मार्टबोर्ड, IP कैमरे, डोर एक्सेस कंट्रोलर और प्रिंटर रहते हैं। महत्वपूर्ण रूप से, इस VLAN के पास बिल्कुल भी इंटरनेट एक्सेस नहीं होना चाहिए जब तक कि किसी विशिष्ट डिवाइस को इसकी आवश्यकता न हो, और इसे स्टाफ और छात्र दोनों VLANs से फ़ायरवॉल किया जाना चाहिए। चौथा, एक Guest या Visitor VLAN - केवल-इंटरनेट, पूरी तरह से आइसोलेटेड, जिसमें नियम स्वीकार करने और पहचान कैप्चर करने के लिए एक captive portal होता है। RADIUS सर्वर इस पूरी प्रक्रिया का दिमाग है। अधिकांश स्कूलों के परिनियोजन में, आप RADIUS को अपनी मौजूदा डायरेक्टरी सेवा के साथ एकीकृत करेंगे। यदि आप Microsoft Active Directory चला रहे हैं, तो यह आमतौर पर Windows Server पर NPS - Network Policy Server के माध्यम से, या यदि आप Azure AD या Google Workspace पर चले गए हैं तो क्लाउड RADIUS सेवा के माध्यम से किया जाता है। RADIUS सर्वर ग्रुप मेंबरशिप के आधार पर पॉलिसी लागू करता है: "Staff" सुरक्षा ग्रुप के एक यूजर को VLAN 10 असाइन किया जाता है, "Students" वाले यूजर को VLAN 20 मिलता है, और इसी तरह आगे भी। वायरलेस साइड पर, वर्तमान सर्वोत्तम अभ्यास WPA3-Enterprise है। WPA3, WPA2 की ज्ञात कमजोरियों को दूर करता है, विशेष रूप से ऑफलाइन डिक्शनरी हमलों और KRACK कमजोरी के संबंध में। WPA3-Enterprise उच्च-संवेदनशीलता वाले वातावरणों के लिए 192-बिट सुरक्षा मोड का उपयोग करता है, जो स्टाफ और एडमिन SSID के लिए उपयुक्त है। छात्रों के SSIDs के लिए, SAE - Simultaneous Authentication of Equals के साथ WPA3-Personal, WPA2-PSK की तुलना में एक महत्वपूर्ण सुधार है, क्योंकि यह प्री-शेयर्ड की (pre-shared key) के लीक होने पर भी ऑफलाइन ब्रूट-फोर्स हमलों को रोकता है। हाइलाइट करने योग्य एक आर्किटेक्चरल निर्णय यह है कि डायनेमिक VLAN असाइनमेंट के साथ सिंगल SSID चलाया जाए, या मल्टीपल SSIDs। सिंगल-SSID दृष्टिकोण परिचालन रूप से अधिक साफ-सुथरा है - यूजर एक नेटवर्क नाम से कनेक्ट होते हैं, और RADIUS सर्वर उनके क्रेडेंशियल्स के आधार पर उन्हें गतिशील रूप से सही VLAN असाइन करता है। यह RF ओवरहेड को कम करता है और डिवाइस कॉन्फ़िगरेशन को सरल बनाता है। हालाँकि, इसके लिए आपके सभी एक्सेस पॉइंट्स को RADIUS एट्रिब्यूट्स, विशेष रूप से RADIUS Access-Accept रिस्पॉन्स में Tunnel-Type, Tunnel-Medium-Type और Tunnel-Private-Group-ID एट्रिब्यूट्स के माध्यम से डायनेमिक VLAN असाइनमेंट का समर्थन करना आवश्यक है।अब, स्कूलों में IoT डिवाइस प्रबंधन एक विशेष चुनौती है। स्मार्टबोर्ड, दस्तावेज़ कैमरे, पर्यावरणीय सेंसर - ये डिवाइस अक्सर 802.1X का बिल्कुल भी समर्थन नहीं करते हैं। इसका समाधान MAC Authentication Bypass, या MAB है, जो Multi-PSK, या MPSK के साथ मिलकर काम करता है। MAB आपको अपने RADIUS सर्वर में एक व्हाइटलिस्ट के विरुद्ध उनके MAC एड्रेस द्वारा डिवाइसों को प्रमाणित करने की अनुमति देता है। MPSK इससे भी आगे जाता है - यह आपको प्रति डिवाइस या डिवाइस समूह में एक अद्वितीय प्री-शेयर्ड कुंजी असाइन करने की अनुमति देता है, ताकि प्रत्येक IoT डिवाइस का अपना क्रेडेंशियल हो, और एक डिवाइस की कुंजी से समझौता होने पर दूसरों पर कोई प्रभाव न पड़े। इस दृष्टिकोण के विस्तृत विवरण के लिए, NAC और MPSK के साथ IoT डिवाइस सुरक्षा का प्रबंधन करने पर Purple की मार्गदर्शिका कॉन्फ़िगरेशन विवरणों को गहराई से कवर करती है। आइए एंडपॉइंट अनुपालन पोस्चर चेकिंग पर भी चर्चा करें, क्योंकि यही वह जगह है जहां एंटरप्राइज़ NAC समाधान बुनियादी 802.1X की तुलना में महत्वपूर्ण मूल्य जोड़ते हैं। Cisco ISE, Aruba ClearPass, या Forescout जैसे समाधान एक्सेस प्रदान करने से पहले एंडपॉइंट्स की जांच कर सकते हैं - यह जांचना कि क्या किसी डिवाइस में वर्तमान एंटीवायरस परिभाषाएं हैं, क्या ऑपरेटिंग सिस्टम पैच किया गया है, क्या डिस्क एन्क्रिप्शन सक्षम है। स्कूल के संदर्भ में, यह विशेष रूप से कर्मचारियों के स्वामित्व वाले डिवाइस या BYOD परिदृश्यों के लिए मूल्यवान है। जो डिवाइस पोस्चर चेक में विफल रहता है, उसे एक उपचारात्मक VLAN में क्वारंटाइन किया जा सकता है जहां वह केवल अपडेट सर्वर तक पहुंच सकता है, न कि उसे पूर्ण नेटवर्क एक्सेस दिया जाए। --- कार्यान्वयन सिफारिशें और नुकसान - लगभग 2 मिनट मैं आपको व्यावहारिक परिनियोजन अनुक्रम देता हूँ, और फिर उन तीन गलतियों को चिन्हित करता हूँ जिन्हें मैं अक्सर देखता हूँ। एक पूर्ण नेटवर्क ऑडिट के साथ शुरुआत करें। इससे पहले कि आप किसी एकल कॉन्फ़िगरेशन को स्पर्श करें, आपको नेटवर्क पर प्रत्येक डिवाइस - वायर्ड और वायरलेस - और वर्तमान में प्रसारित होने वाले प्रत्येक SSID की एक पूरी सूची की आवश्यकता होगी। डिवाइसों की गणना करने के लिए Nmap या अपने मौजूदा नेटवर्क प्रबंधन प्लेटफॉर्म जैसे टूल का उपयोग करें। आप निश्चित रूप से शैडो IT पाएंगे: व्यक्तिगत हॉटस्पॉट, अप्रबंधित स्विच, ऐसे डिवाइस जिनके बारे में कोई नहीं जानता था कि वे वहां थे। अपने रोलआउट को चरणों में विभाजित करें। पहले दिन ही पूरे स्कूल में 802.1X प्रमाणीकरण लागू करने का प्रयास न करें। एक पायलट के साथ शुरुआत करें - आमतौर पर एडमिन ब्लॉक में स्टाफ नेटवर्क। पहले मॉनिटर मोड में चलाएं, जहां 802.1X का मूल्यांकन किया जाता है लेकिन लागू नहीं किया जाता है, ताकि आप उन डिवाइसों की पहचान कर सकें जो प्रमाणीकरण में विफल होंगे, इससे पहले कि आप किसी को ब्लॉक करें। फिर प्रवर्तन की ओर बढ़ें, VLAN दर VLAN। उपयोगकर्ताओं के लिए परिनियोजन करने से पहले अपनी निर्देशिका सेवा के साथ एकीकृत करें। सबसे आम विफलता मोड RADIUS को तैनात करना और फिर यह पता लगाना है कि आपका निर्देशिका एकीकरण टूट गया है - या तो फ़ायरवॉल नियमों के कारण LDAP ट्रैफ़िक अवरुद्ध हो रहा है, या क्योंकि RADIUS द्वारा उपयोग किए जाने वाले सेवा खाते के पास समूह सदस्यता को क्वेरी करने के लिए पर्याप्त अनुमतियाँ नहीं हैं।अब, तीन मुख्य कमियाँ। पहली: लेगेसी डिवाइस। हर स्कूल में ये होते हैं। पुराने प्रिंटर, लेगेसी AV उपकरण, 2012 के इंटरैक्टिव व्हाइटबोर्ड। ये डिवाइस 802.1X का समर्थन नहीं करेंगे। प्रमाणीकरण लागू करने से पहले एक MAB व्हाइटलिस्ट रणनीति तैयार रखें, वरना सत्र के पहले ही दिन आपको उन सभी शिक्षकों के फोन आने लगेंगे जिनके प्रिंटर ने काम करना बंद कर दिया है। दूसरी: सर्टिफिकेट मैनेजमेंट। WPA3-Enterprise और EAP-TLS प्रमाणीकरण के लिए सर्टिफिकेट की आवश्यकता होती है। यदि आप स्कूल-प्रबंधित PKI का उपयोग कर रहे हैं, तो सुनिश्चित करें कि परिनियोजन से पहले आपके सर्टिफिकेट अथॉरिटी पर सभी प्रबंधित डिवाइसों में भरोसा किया गया हो। अप्रबंधित BYOD डिवाइस उपयोगकर्ताओं को एक अवांछित सर्टिफिकेट स्वीकार करने के लिए संकेत देंगे, जिससे फ़िशिंग का जोखिम पैदा होता है - उपयोगकर्ताओं को सर्टिफिकेट चेतावनियों पर "स्वीकार करें" क्लिक करने की आदत हो जाती है। तीसरी: अतिथि नेटवर्क अनुपालन। GDPR के तहत, यदि आप एक captive portal के माध्यम से कोई व्यक्तिगत डेटा एकत्र कर रहे हैं - यहाँ तक कि केवल एक ईमेल पता भी - तो आपको एक वैध आधार, एक गोपनीयता नोटिस और एक डेटा प्रतिधारण नीति की आवश्यकता होगी। Purple का अतिथि WiFi प्लेटफॉर्म इसे मूल रूप से संभालता है, जिसमें अंतर्निहित सहमति प्रबंधन के साथ अनुपालन करने वाले captive portal प्रवाह मिलते हैं, जो विशेष रूप से ओपन इवनिंग और अभिभावक कार्यक्रमों के लिए उपयोगी होते हैं जहाँ आप बड़ी संख्या में आगंतुकों को जल्दी से जोड़ रहे होते हैं। - त्वरित प्रश्न और उत्तर - लगभग 1 मिनट आइए उन प्रश्नों पर नज़र डालें जो मुझे इस विषय पर सबसे अधिक मिलते हैं। "क्या हमें एक समर्पित RADIUS सर्वर की आवश्यकता है या हम क्लाउड सेवा का उपयोग कर सकते हैं?" - दोनों ही मान्य हैं। Windows Server पर ऑन-प्रिमाइसेस NPS निःशुल्क है और Active Directory के साथ मूल रूप से एकीकृत होता है। Foxpass या JumpCloud RADIUS जैसी क्लाउड RADIUS सेवाएं Azure AD या Google Workspace परिवेशों के लिए अधिक उपयुक्त हैं, और वे आपके ऑन-प्रिमाइसेस बुनियादी ढांचे को कम करती हैं। "Chromebooks के बारे में क्या?" - Chromebooks मूल रूप से 802.1X का समर्थन करते हैं और Google Admin Console के माध्यम से Google के सर्टिफिकेट मैनेजमेंट द्वारा जारी किए गए डिवाइस सर्टिफिकेट के साथ EAP-TLS का उपयोग करने के लिए कॉन्फ़िगर किए जा सकते हैं। Google Workspace for Education परिनियोजन के लिए यह सबसे स्पष्ट दृष्टिकोण है। "हम ओपन इवनिंग में अभिभावकों को कैसे संभालें?" - एक अलग अतिथि VLAN पर captive portal। किसी 802.1X की आवश्यकता नहीं है। Purple का अतिथि WiFi प्लेटफॉर्म एक ब्रांडेड, GDPR-अनुपालन पोर्टल प्रदान करता है जो सहमति प्राप्त करता है और आपकी मार्केटिंग या संचार टीम को वापस एनालिटिक्स भेज सकता है। "एक स्कूल में NAC के लिए ROI का मामला क्या है?" - मुख्य रूप से जोखिम शमन। छात्र रिकॉर्ड से जुड़े डेटा उल्लंघन के परिणामस्वरूप ICO जुर्माना, प्रतिष्ठा को नुकसान और महत्वपूर्ण सुधारात्मक लागत हो सकती है। उचित रूप से तैनात NAC समाधान की लागत एक एकल उल्लंघन जांच की लागत का एक छोटा हिस्सा है। - सारांश और अगले कदम - लगभग 1 मिनट संक्षेप में कहें तो: NAC के साथ K-12 नेटवर्क को सुरक्षित करना चार स्तंभों पर निर्भर करता है। पहचान - यह जानना कि हर समय आपके नेटवर्क पर कौन और क्या है। सेगमेंटेशन - यह सुनिश्चित करना कि कोई प्रभावित छात्र डिवाइस स्टाफ डेटा या IoT इंफ्रास्ट्रक्चर तक न पहुंच सके। अनुपालन - डेटा सुरक्षा और सुरक्षा उपायों के लिए GDPR, CIPA और DfE आवश्यकताओं को पूरा करना। और दृश्यता - विसंगतियों का पता लगाने और तुरंत प्रतिक्रिया देने के लिए लॉगिंग और एनालिटिक्स क्षमता होना। व्यावहारिक शुरुआती बिंदु एक नेटवर्क ऑडिट और VLAN डिज़ाइन है। इसे सही से करें, और 802.1X परिनियोजन एक तार्किक क्रम का अनुसरण करता है। एक ही बार में सब कुछ करने की कोशिश न करें - इसे चरणों में करें, मॉनिटर मोड में परीक्षण करें, और लागू करने से पहले अपनी MAB व्हाइटलिस्ट बनाएं। यदि आप मूल्यांकन कर रहे हैं कि एक गेस्ट WiFi और एनालिटिक्स प्लेटफ़ॉर्म इस आर्किटेक्चर में कैसे फिट बैठता है, तो Purple का प्लेटफ़ॉर्म आपके कोर नेटवर्क सेगमेंटेशन में जटिलता जोड़े बिना - अनुपालन गेस्ट ऑनबोर्डिंग, विज़िटर एनालिटिक्स और नीति प्रवर्तन प्रदान करने के लिए आपके NAC इंफ्रास्ट्रक्चर के साथ सीधे एकीकृत होता है। आगे पढ़ने के लिए, NAC और MPSK के साथ IoT डिवाइस सुरक्षा पर Purple की गाइड और व्यापक एंटरप्राइज़ नेटवर्क आर्किटेक्चर संसाधन, शो नोट्स में लिंक किए गए हैं। सुनने के लिए धन्यवाद। अगली बार तक। --- स्क्रिप्ट का अंत