On-Premises RADIUS (NPS) से RADIUS as a Service में माइग्रेट करना

पॉडकास्ट स्क्रिप्ट: ऑन-प्रिमाइसेस RADIUS (NPS) से RADIUS as a Service में माइग्रेट करना अवधि: ~10 मिनट | आवाज: यूके अंग्रेजी, पुरुष, वरिष्ठ सलाहकार टोन --- खंड 1: परिचय और संदर्भ Purple WiFi तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। आज हम एक ऐसे माइग्रेशन से निपट रहे हैं जो इस समय बड़ी संख्या में एंटरप्राइज़ IT टीमों के रोडमैप पर है: ऑन-प्रिमाइसेस RADIUS — विशेष रूप से Microsoft के Network Policy Server — से क्लाउड-होस्टेड RADIUS as a Service मॉडल पर जाना। यदि आप किसी होटल समूह, रिटेल एस्टेट, स्टेडियम या सार्वजनिक क्षेत्र के परिसर में WiFi प्रमाणीकरण का प्रबंधन कर रहे हैं, तो यह सीधे आपके लिए प्रासंगिक है। ऑन-प्रिमाइसेस NPS मॉडल ने लगभग दो दशकों तक हमारी अच्छी सेवा की है, लेकिन परिचालन ओवरहेड, सिंगल-पॉइंट-ऑफ-फेलियर जोखिम और स्केलिंग सीमाओं को सही ठहराना कठिन होता जा रहा है — विशेष रूप से तब जब क्लाउड-नेटिव विकल्प अब कुल स्वामित्व लागत के एक अंश पर एंटरप्राइज़-ग्रेड विश्वसनीयता प्रदान करते हैं। अगले दस मिनटों में, हम दोनों दृष्टिकोणों के तकनीकी आर्किटेक्चर को कवर करेंगे, एक संरचित माइग्रेशन पद्धति के माध्यम से चलेंगे, दो वास्तविक दुनिया के कार्यान्वयन परिदृश्यों को देखेंगे, और उन प्रमुख निर्णय फ्रेमवर्क के साथ समाप्त करेंगे जिनकी आपको आत्मविश्वास से यह निर्णय लेने के लिए आवश्यकता है। आइए शुरू करते हैं। --- खंड 2: तकनीकी गहन विश्लेषण सबसे पहले, आइए सुनिश्चित करें कि हम इस बात पर संरेखित हैं कि RADIUS वास्तव में आपके नेटवर्क स्टैक में क्या करता है। RADIUS — Remote Authentication Dial-In User Service — RFC 2865 में परिभाषित प्रोटोकॉल है जो नेटवर्क एक्सेस के लिए प्रमाणीकरण, प्राधिकरण और लेखांकन को संभालता है। WiFi के संदर्भ में, यह IEEE 802.1X पोर्ट-आधारित एक्सेस कंट्रोल की रीढ़ है। जब कोई डिवाइस WPA2-Enterprise या WPA3-Enterprise SSID से कनेक्ट होता है, तो एक्सेस पॉइंट एक RADIUS क्लाइंट के रूप में कार्य करता है — जिसे हम Network Access Server कहते हैं — और प्रमाणीकरण अनुरोध को RADIUS सर्वर पर भेजता है। सर्वर क्रेडेंशियल्स को मान्य करता है, आमतौर पर Active Directory या LDAP निर्देशिका के विरुद्ध, और Access-Accept या Access-Reject प्रतिक्रिया देता है। यह मूल प्रवाह है। अब, ऑन-प्रिमाइसेस NPS मॉडल में — Network Policy Server, Windows Server के साथ बंडल किया गया Microsoft का RADIUS कार्यान्वयन है — आप उस प्रमाणीकरण तर्क को अपने स्वामित्व वाले हार्डवेयर पर, डेटा सेंटर या सर्वर रूम में चला रहे हैं जिसे आप बनाए रखते हैं। NPS सर्वर आपकी नेटवर्क नीतियों, EAP-TLS या PEAP-MSCHAPv2 के लिए आपके प्रमाणपत्र इंफ्रास्ट्रक्चर और आपके कनेक्शन अनुरोध नीतियों को रखता है। यह काम करता है। यह परिपक्व है। लेकिन यह परिचालन वास्तविकताओं के एक सेट के साथ आता है जो समय के साथ जटिल हो जाती हैं। पहला हार्डवेयर निर्भरता है। आपका NPS सर्वर एक भौतिक या आभासी मशीन है जिसके लिए पैचिंग, क्षमता योजना और अंततः हार्डवेयर रिफ्रेश की आवश्यकता होती है। एक बहु-साइट परिनियोजन में — मान लीजिए, पूरे यूके में संपत्तियों वाला एक होटल समूह — आप या तो WAN निर्भरता के साथ एक केंद्रीकृत NPS चला रहे हैं, या आप प्रत्येक साइट पर NPS इंस्टेंस तैनात कर रहे हैं और उन्हें व्यक्तिगत रूप से प्रबंधित कर रहे हैं। दोनों में से कोई भी सुरुचिपूर्ण नहीं है। दूसरा उपलब्धता है। एक एकल NPS इंस्टेंस आपके संपूर्ण प्रमाणीकरण इंफ्रास्ट्रक्चर के लिए विफलता का एक एकल बिंदु है। हाँ, आप फ़ेलओवर जोड़ी में NPS तैनात कर सकते हैं, लेकिन यह आपके हार्डवेयर और लाइसेंसिंग ओवरहेड को दोगुना कर देता है, और यह अभी भी आपको वह भौगोलिक अतिरेक नहीं देता है जो एक क्लाउड सेवा मूल रूप से प्रदान करती है। तीसरा स्केलेबिलिटी है। NPS को कॉर्पोरेट LAN वातावरण के लिए डिज़ाइन किया गया था। जब आप किसी स्टेडियम इवेंट या कॉन्फ्रेंस सेंटर पीक के दौरान हजारों समवर्ती प्रमाणीकरण अनुरोधों को संभाल रहे होते हैं, तो एक एकल NPS इंस्टेंस की थ्रूपुट सीमाएं बहुत स्पष्ट हो जाती हैं। प्रमाणीकरण विलंबता बढ़ जाती है, और उपयोगकर्ताओं को ठीक उसी क्षण कनेक्शन विफलताओं का अनुभव होता है जब आप इसे बिल्कुल बर्दाश्त नहीं कर सकते। RADIUS as a Service इन तीनों बाधाओं को आर्किटेक्चरल रूप से संबोधित करता है। क्लाउड RADIUS प्रदाता RADIUS सर्वरों का एक वितरित, भू-अतिरेक क्लस्टर चलाता है। आपके एक्सेस पॉइंट्स ऑन-प्रिमाइसेस सर्वर के बजाय क्लाउड-होस्टेड RADIUS एंडपॉइंट्स की ओर इशारा करते हैं। प्रमाणीकरण अनुरोधों को क्लस्टर में लोड-बैलेंस किया जाता है, और फ़ेलओवर स्वचालित और पारदर्शी होता है। प्रदाता पैचिंग, क्षमता स्केलिंग और प्रमाणपत्र प्रबंधन को संभालता है। नेटवर्क ऑपरेटर के रूप में आपके दृष्टिकोण से, RADIUS एक प्रबंधित घटक के बजाय एक उपभोग की जाने वाली सेवा बन जाता है। प्रमाणीकरण प्रोटोकॉल स्वयं नहीं बदलते हैं। आप अभी भी अपने क्लाइंट डिवाइस मिश्रण के आधार पर EAP-TLS, PEAP-MSCHAPv2, या EAP-TTLS के साथ IEEE 802.1X चला रहे हैं। अंतर यह है कि RADIUS सर्वर कहाँ रहता है और इसकी परिचालन निरंतरता के लिए कौन जिम्मेदार है। यहाँ एक महत्वपूर्ण सुरक्षा विचार है जिसे मैं सीधे संबोधित करना चाहता हूँ, क्योंकि यह लगभग हर क्लाइंट बातचीत में आता है। RADIUS को क्लाउड पर ले जाने का मतलब है कि आपका प्रमाणीकरण ट्रैफ़िक क्लाउड RADIUS एंडपॉइंट तक पहुँचने के लिए सार्वजनिक इंटरनेट से गुजर रहा है। इसे दो तंत्रों के माध्यम से कम किया जाता है। पहला, Network Access Server और RADIUS सर्वर के बीच RADIUS ट्रैफ़िक को एक साझा रहस्य और MD5-आधारित संदेश प्रमाणीकरण का उपयोग करके सुरक्षित किया जाता है। दूसरा, और आधुनिक परिनियोजन के लिए अधिक महत्वपूर्ण, आपको RadSec — RADIUS over TLS, RFC 6614 में परिभाषित — चलाना चाहिए, जो संपूर्ण RADIUS बातचीत को एक TLS टनल में लपेटता है। यह आपको HTTPS के समकक्ष ट्रांसपोर्ट-लेयर एन्क्रिप्शन देता है, MD5 भेद्यता को समाप्त करता है और NAS और RADIUS सर्वर के बीच पारस्परिक प्रमाणीकरण प्रदान करता है। विचार करने योग्य किसी भी क्लाउड RADIUS प्रदाता को मानक के रूप में RadSec का समर्थन करना चाहिए। पहचान एकीकरण पक्ष पर, क्लाउड RADIUS सेवाएं आमतौर पर आपके ऑन-प्रिमाइसेस Active Directory में वापस LDAP और LDAPS कनेक्शन का समर्थन करती हैं, या SAML या SCIM के माध्यम से Azure Active Directory और Entra ID के साथ मूल एकीकरण का समर्थन करती हैं। इसका मतलब है कि आपको अपनी उपयोगकर्ता निर्देशिका को माइग्रेट करने की आवश्यकता नहीं है — क्लाउड RADIUS सेवा आपके मौजूदा पहचान स्टोर को क्वेरी करती है, जिससे आपकी मौजूदा उपयोगकर्ता जीवनचक्र प्रबंधन प्रक्रियाएं बनी रहती हैं। अनुपालन-सचेत संगठनों के लिए — और इसमें PCI DSS के तहत भुगतान कार्ड डेटा, या GDPR के तहत व्यक्तिगत डेटा को संभालने वाला कोई भी व्यक्ति शामिल है — क्लाउड RADIUS प्रदाता जो SOC 2 Type II प्रमाणित और ISO 27001 मान्यता प्राप्त हैं, वे अधिकांश संगठनों द्वारा स्व-प्रबंधित NPS इंफ्रास्ट्रक्चर के साथ प्राप्त की जा सकने वाली तुलना में अधिक मजबूत अनुपालन स्थिति प्रदान करते हैं। --- खंड 3: कार्यान्वयन सिफारिशें और नुकसान ठीक है, आइए बात करते हैं कि आप अपने प्रमाणीकरण इंफ्रास्ट्रक्चर को ऑफ़लाइन किए बिना वास्तव में इस माइग्रेशन को कैसे निष्पादित करते हैं। जिस पद्धति की मैं अनुशंसा करता हूँ वह पांच चरणों वाला दृष्टिकोण है। चरण एक ऑडिट और इन्वेंट्री है। प्रत्येक RADIUS क्लाइंट — प्रत्येक एक्सेस पॉइंट, प्रत्येक स्विच, प्रत्येक VPN कंसंट्रेटर — को उसके वर्तमान साझा रहस्य, उसके द्वारा उपयोग की जा रही EAP विधि और आपकी NPS नीतियों में किसी भी विक्रेता-विशिष्ट विशेषताओं के साथ प्रलेखित करें। यह बिना चमक-दमक वाला काम है, लेकिन इसे छोड़ना माइग्रेशन विफलताओं का नंबर एक कारण है। चरण दो पायलट परिनियोजन है। अपने क्लाउड RADIUS इंस्टेंस को खड़ा करें और उस पर एक गैर-उत्पादन SSID या एकल परीक्षण साइट को इंगित करें। सत्यापित करें कि आपकी EAP विधि शुरू से अंत तक काम करती है, कि आपका पहचान एकीकरण काम कर रहा है, और आपका लेखांकन डेटा सही ढंग से प्रवाहित हो रहा है। चरण तीन समानांतर संचालन है। यह महत्वपूर्ण जोखिम शमन कदम है। अपने एक्सेस पॉइंट्स को ऑन-प्रिमाइसेस NPS सर्वर और क्लाउड RADIUS सर्वर दोनों के साथ प्रमाणीकरण लक्ष्यों के रूप में कॉन्फ़िगर करें, जिसमें क्लाउड सेवा प्राथमिक और NPS फ़ॉलबैक के रूप में हो। पूर्ण व्यावसायिक चक्र में न्यूनतम दो सप्ताह के लिए इस कॉन्फ़िगरेशन में चलाएं। प्रमाणीकरण सफलता दर, विलंबता और किसी भी नीति विसंगतियों की निगरानी करें। चरण चार कटओवर है। NPS फ़ॉलबैक कॉन्फ़िगरेशन को हटा दें और अपने एकमात्र प्रमाणीकरण इंफ्रास्ट्रक्चर के रूप में क्लाउड RADIUS के लिए प्रतिबद्ध हों। इसे एक नियोजित रखरखाव विंडो के दौरान करें, और एक रोलबैक प्रक्रिया का दस्तावेजीकरण और परीक्षण करें। चरण पांच बंद करना (Decommission) है। एक बार जब आप कटओवर के तीस दिनों के बाद स्थिर संचालन को सत्यापित कर लेते हैं, तो NPS सर्वरों को बंद कर दें और हार्डवेयर या वर्चुअल मशीन संसाधनों को पुनः प्राप्त करें। जिन नुकसानों को मैं सबसे अधिक बार देखता हूँ वे हैं: प्रमाणपत्र ट्रस्ट श्रृंखला के मुद्दे — विशेष रूप से, क्लाइंट डिवाइस जो क्लाउड RADIUS सर्वर के प्रमाणपत्र पर भरोसा नहीं करते हैं क्योंकि CA उनके विश्वसनीय स्टोर में नहीं है। कटओवर से पहले अपने MDM या समूह नीति के माध्यम से इसे हल करें। दूसरा आम नुकसान फ़ायरवॉल नियम है। क्लाउड RADIUS को आपके एक्सेस पॉइंट्स से क्लाउड एंडपॉइंट्स तक आउटबाउंड UDP 1812 और 1813, या RadSec के लिए TCP 2083 की आवश्यकता होती है। सुनिश्चित करें कि आपका नेटवर्क परिधि इस ट्रैफ़िक की अनुमति देता है। तीसरा: साझा रहस्य जटिलता। यदि आपके मौजूदा NPS साझा रहस्य कमजोर हैं, तो माइग्रेशन का उपयोग क्रिप्टोग्राफिक रूप से मजबूत रहस्यों को घुमाने के अवसर के रूप में करें, या बेहतर अभी तक, RadSec पर जाएं और साझा रहस्यों को पूरी तरह से समाप्त करें। --- खंड 4: रैपिड-फायर प्रश्नोत्तर आइए मैं उन प्रश्नों पर नज़र डालूँ जो मुझे इस विषय पर सबसे अधिक बार मिलते हैं। क्या हम Active Directory को ऑन-प्रिमाइसेस रख सकते हैं? हाँ, बिल्कुल। क्लाउड RADIUS LDAPS के माध्यम से आपके ऑन-प्रिमाइसेस AD से जुड़ता है। आपकी निर्देशिका वहीं रहती है जहाँ वह है। यदि हमारा इंटरनेट कनेक्शन बंद हो जाता है तो क्या होगा? यह प्रमुख निर्भरता बदलाव है। क्लाउड RADIUS के साथ, इंटरनेट कनेक्टिविटी प्रमाणीकरण के लिए एक निर्भरता बन जाती है। इसे अनावश्यक WAN लिंक या स्थानीय RADIUS प्रॉक्सी के साथ कम करें जो आउटेज के दौरान ज्ञात उपकरणों के लिए प्रमाणीकरण को कैश करता है। क्या यह हमारे PCI DSS अनुपालन को प्रभावित करता है? प्रमाणित क्लाउड RADIUS प्रदाता पर जाने से आमतौर पर आपकी अनुपालन स्थिति में सुधार होता है। सुनिश्चित करें कि आपका प्रदाता SOC 2 Type II रिपोर्ट प्रदान कर सकता है और आपके वार्षिक QSA मूल्यांकन दायरे में शामिल है। पूर्ण माइग्रेशन में कितना समय लगता है? एक एकल साइट के लिए, दो से चार सप्ताह। पचास या अधिक स्थानों के बहु-साइट एस्टेट के लिए, चरणबद्ध रोलआउट के साथ तीन से छह महीने की योजना बनाएं। --- खंड 5: सारांश और अगले कदम समाप्त करने के लिए: ऑन-प्रिमाइसेस NPS से RADIUS as a Service में माइग्रेट करने का मामला परिचालन, वित्तीय और अनुपालन आधार पर सम्मोहक है। एक संरचित समानांतर-संचालन चरण के साथ निष्पादित होने पर माइग्रेशन स्वयं कम जोखिम वाला होता है। प्रमुख तकनीकी निर्णय आपकी EAP विधि का चयन, आपका पहचान एकीकरण दृष्टिकोण और परिवहन सुरक्षा के लिए RadSec को लागू करना है या नहीं — जिसकी मैं किसी भी नए परिनियोजन के लिए दृढ़ता से अनुशंसा करूँगा। आपके तत्काल अगले कदम: अपने वर्तमान RADIUS क्लाइंट्स और नीतियों का ऑडिट करें, पायलट वातावरण के लिए अपने क्लाउड RADIUS प्रदाता को शामिल करें, और शुरू करने से पहले अपने फ़ायरवॉल नियमों और प्रमाणपत्र ट्रस्ट श्रृंखलाओं की समीक्षा करें। Purple WiFi के गेस्ट एक्सेस प्लेटफ़ॉर्म को चलाने वाले संगठनों के लिए, RADIUS as a Service क्षमता सीधे गेस्ट WiFi प्रमाणीकरण प्रवाह के साथ एकीकृत होती है, जिससे आपको कॉर्पोरेट 802.1X प्रमाणीकरण और गेस्ट नेटवर्क एक्सेस प्रबंधन दोनों के लिए एक एकल नियंत्रण विमान मिलता है — जिसमें एनालिटिक्स और अनुपालन रिपोर्टिंग अंतर्निहित होती है। सुनने के लिए धन्यवाद। पूर्ण तकनीकी संदर्भ गाइड Purple वेबसाइट पर उपलब्ध है, और यदि आप आगे बढ़ने के लिए तैयार हैं तो हमारी समाधान टीम स्कोपिंग बातचीत के लिए उपलब्ध है। --- स्क्रिप्ट का अंत