On-Premises RADIUS (NPS) से RADIUS-as-a-Service पर माइग्रेट करना

पॉडकास्ट स्क्रिप्ट: ऑन-प्रिमाइसेस RADIUS (NPS) से RADIUS-as-a-Service पर माइग्रेट करना अवधि: ~10 मिनट | आवाज़: यूके इंग्लिश, पुरुष, सीनियर कंसलटेंट टोन --- खंड 1: परिचय और संदर्भ Purple WiFi तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। आज हम एक ऐसे माइग्रेशन पर चर्चा कर रहे हैं जो वर्तमान में कई उद्यम IT टीमों के रोडमैप पर है: ऑन-प्रिमाइसेस RADIUS - विशेष रूप से Microsoft के नेटवर्क पॉलिसी सर्वर - से क्लाउड-होस्टेड RADIUS-as-a-Service मॉडल पर जाना। यदि आप किसी होटल समूह, रिटेल एस्टेट, स्टेडियम या सार्वजनिक क्षेत्र के परिसर में WiFi प्रमाणीकरण का प्रबंधन कर रहे हैं, तो यह सीधे तौर पर आपके लिए प्रासंगिक है। ऑन-प्रिमाइसेस NPS मॉडल ने लगभग दो दशकों तक हमारी अच्छी सेवा की है, लेकिन परिचालन ओवरहेड, सिंगल-पॉइंट-ऑफ-फेलियर का जोखिम और स्केलिंग की सीमाएं इसे सही ठहराना कठिन बनाती जा रही हैं - विशेष रूप से तब जब क्लाउड-नेटिव विकल्प अब कुल स्वामित्व लागत के एक अंश में उद्यम-श्रेणी की विश्वसनीयता प्रदान करते हैं। अगले दस मिनटों में, हम दोनों दृष्टिकोणों के तकनीकी आर्किटेक्चर को कवर करेंगे, एक संरचित माइग्रेशन कार्यप्रणाली को समझेंगे, वास्तविक दुनिया के दो कार्यान्वयन परिदृश्यों को देखेंगे, और उन प्रमुख निर्णय ढांचों के साथ समाप्त करेंगे जिनकी आपको आत्मविश्वास से यह निर्णय लेने के लिए आवश्यकता है। आइए शुरू करते हैं। --- खंड 2: तकनीकी गहराई सबसे पहले, आइए यह सुनिश्चित करें कि आपके नेटवर्क स्टैक में RADIUS वास्तव में क्या करता है। RADIUS - रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस - RFC 2865 में परिभाषित प्रोटोकॉल है जो नेटवर्क एक्सेस के लिए प्रमाणीकरण, प्राधिकरण और लेखांकन (अकाउंटिंग) को संभालता है। WiFi के संदर्भ में, यह IEEE 802.1X पोर्ट-आधारित एक्सेस कंट्रोल की रीढ़ है। जब कोई डिवाइस WPA2-Enterprise या WPA3-Enterprise SSID से कनेक्ट होता है, तो एक्सेस पॉइंट एक RADIUS क्लाइंट के रूप में कार्य करता है - जिसे हम नेटवर्क एक्सेस सर्वर कहते हैं - और प्रमाणीकरण अनुरोध को RADIUS सर्वर पर भेजता है। सर्वर क्रेडेंशियल्स को सत्यापित करता है, आमतौर पर Active Directory या LDAP निर्देशिका के विरुद्ध, और एक Access-Accept या Access-Reject प्रतिक्रिया देता है। यह बुनियादी प्रवाह है। अब, ऑन-प्रिमाइसेस NPS मॉडल में - नेटवर्क पॉलिसी सर्वर Windows Server के साथ बंडल किया गया Microsoft का RADIUS कार्यान्वयन है - आप उस प्रमाणीकरण तर्क को अपने स्वामित्व वाले हार्डवेयर पर चलाते हैं, एक डेटा सेंटर या सर्वर रूम में जिसका आप रख-रखाव करते हैं। NPS सर्वर आपकी नेटवर्क नीतियों, EAP-TLS या PEAP-MSCHAPv2 के लिए आपके सर्टिफिकेट इन्फ्रास्ट्रक्चर और आपके कनेक्शन अनुरोध नीतियों को रखता है। यह काम करता है। यह परिपक्व है। लेकिन यह परिचालन वास्तविकताओं के एक सेट के साथ आता है जो समय के साथ जटिल होती जाती हैं। पहला है हार्डवेयर निर्भरता। आपका NPS सर्वर एक भौतिक या वर्चुअल मशीन है जिसके लिए पैचिंग, क्षमता नियोजन और अंततः हार्डवेयर रिफ्रेश की आवश्यकता होती है। एक बहु-साइट परिनियोजन में - मान लीजिए, पूरे यूके में संपत्तियों वाला एक होटल समूह - आप या तो WAN निर्भरता के साथ एक केंद्रीकृत NPS चला रहे हैं, या आप प्रत्येक साइट पर NPS इंस्टेंस तैनात कर रहे हैं और उनका व्यक्तिगत रूप से प्रबंधन कर रहे हैं। दोनों में से कोई भी तरीका आसान नहीं है। दूसरा है उपलब्धता। एक अकेला NPS इंस्टेंस आपके पूरे ऑथेंटिकेशन इंफ्रास्ट्रक्चर के लिए सिंगल पॉइंट ऑफ फेल्योर (एकल विफलता बिंदु) होता है। हां, आप फ़ेलओवर पेयर में NPS तैनात कर सकते हैं, लेकिन इससे आपका हार्डवेयर और लाइसेंसिंग ओवरहेड दोगुना हो जाता है, और फिर भी यह आपको वह भौगोलिक अतिरेक (ज्योग्राफिक रिडंडेंसी) नहीं देता है जो क्लाउड सर्विस स्वाभाविक रूप से प्रदान करती है। तीसरा है स्केलेबिलिटी। NPS को कॉर्पोरेट LAN परिवेशों के लिए डिज़ाइन किया गया था। जब आप किसी स्टेडियम इवेंट या कॉन्फ्रेंस सेंटर के पीक समय के दौरान हजारों समवर्ती (कन्करेंट) ऑथेंटिकेशन अनुरोधों को संभाल रहे होते हैं, तो एक एकल NPS इंस्टेंस की थ्रूपुट सीमाएं बहुत स्पष्ट रूप से सामने आती हैं। ऑथेंटिकेशन लेटेंसी बढ़ जाती है, और उपयोगकर्ताओं को ठीक उसी समय कनेक्शन विफलता का अनुभव होता है जब आप इसे बिल्कुल भी बर्दाश्त नहीं कर सकते। RADIUS-as-a-Service इन तीनों सीमाओं का समाधान संरचनात्मक रूप से करता है। क्लाउड RADIUS प्रदाता RADIUS सर्वरों का एक वितरित, जियो-रिडंडेंट क्लस्टर चलाता है। आपके एक्सेस पॉइंट स्थानीय ऑन-प्रिमाइसेस सर्वर के बजाय क्लाउड-होस्टेड RADIUS एंडपॉइंट्स की ओर इशारा करते हैं। ऑथेंटिकेशन अनुरोधों को क्लस्टर में लोड-बैलेंस किया जाता है, और फ़ेलओवर स्वचालित और पारदर्शी होता है। प्रदाता पैचिंग, क्षमता स्केलिंग और सर्टिफिकेट प्रबंधन को संभालता है। नेटवर्क ऑपरेटर के रूप में आपके दृष्टिकोण से, RADIUS एक प्रबंधित घटक के बजाय एक उपभोग की जाने वाली सर्विस बन जाता है। ऑथेंटिकेशन प्रोटोकॉल खुद नहीं बदलते हैं। आप अभी भी अपने क्लाइंट डिवाइस मिक्स के आधार पर EAP-TLS, PEAP-MSCHAPv2, या EAP-TTLS के साथ IEEE 802.1X चला रहे हैं। अंतर केवल इस बात का है कि RADIUS सर्वर कहां रहता है और इसकी परिचालन निरंतरता के लिए कौन जिम्मेदार है। यहाँ एक महत्वपूर्ण सुरक्षा विचार है जिस पर मैं सीधे बात करना चाहता हूँ, क्योंकि यह लगभग हर क्लाइंट बातचीत में सामने आता है। RADIUS को क्लाउड पर ले जाने का मतलब है कि आपका ऑथेंटिकेशन ट्रैफ़िक क्लाउड RADIUS एंडपॉइंट तक पहुँचने के लिए सार्वजनिक इंटरनेट से होकर गुज़र रहा है। इसे दो तंत्रों के माध्यम से कम किया जाता है। पहला, नेटवर्क एक्सेस सर्वर और RADIUS सर्वर के बीच RADIUS ट्रैफ़िक को एक शेयर्ड सीक्रेट और MD5-आधारित मैसेज ऑथेंटिकेशन का उपयोग करके सुरक्षित किया जाता है। दूसरा, और आधुनिक तैनाती के लिए अधिक महत्वपूर्ण बात यह है कि आपको RadSec - TLS पर RADIUS, जो RFC 6614 में परिभाषित है - चलाना चाहिए, जो पूरी RADIUS बातचीत को एक TLS टनल में लपेटता है। यह आपको HTTPS के समकक्ष ट्रांसपोर्ट-लेयर एन्क्रिप्शन देता है, जिससे MD5 संवेदनशीलता समाप्त हो जाती है और NAS तथा RADIUS सर्वर के बीच आपसी ऑथेंटिकेशन प्रदान होता है। किसी भी विचार करने योग्य क्लाउड RADIUS प्रदाता को मानक के रूप में RadSec का समर्थन करना चाहिए। आइडेंटिटी इंटीग्रेशन की तरफ, क्लाउड RADIUS सेवाएं आम तौर पर आपके ऑन-प्रिमाइसेस एक्टिव डायरेक्ट्री में वापस LDAP और LDAPS कनेक्शन का समर्थन करती हैं, या SAML या SCIM के माध्यम से Azure एक्टिव डायरेक्ट्री और Entra ID के साथ मूल एकीकरण का समर्थन करती हैं। इसका मतलब है कि आपको अपनी यूजर डायरेक्ट्री को माइग्रेट करने की आवश्यकता नहीं है - क्लाउड RADIUS सर्विस आपके मौजूदा आइडेंटिटी स्टोर से क्वेरी करती है, जिससे आपकी मौजूदा यूजर लाइफसाइकिल मैनेजमेंट प्रक्रियाएं बनी रहती हैं।कम्प्लायंस के प्रति सचेत संगठनों के लिए - और इसमें वे सभी शामिल हैं जो PCI-DSS के तहत भुगतान कार्ड डेटा, या GDPR के तहत व्यक्तिगत डेटा को संभालते हैं - क्लाउड RADIUS प्रदाता जो SOC 2 Type II प्रमाणित और ISO 27001 मान्यता प्राप्त हैं, वे स्वयं-प्रबंधित NPS इन्फ्रास्ट्रक्चर की तुलना में कहीं अधिक मजबूत कम्प्लायंस स्थिति प्रदान करते हैं। --- खंड 3: कार्यान्वयन की सिफारिशें और संभावित त्रुटियाँ ठीक है, चलिए अब इस बारे में बात करते हैं कि आप अपने प्रमाणीकरण (authentication) इन्फ्रास्ट्रक्चर को ऑफलाइन किए बिना इस माइग्रेशन को वास्तव में कैसे निष्पादित कर सकते हैं। मैं जिस कार्यप्रणाली की सिफारिश करता हूँ वह पांच-चरण का दृष्टिकोण है। पहला चरण ऑडिट और इन्वेंट्री है। प्रत्येक RADIUS क्लाइंट - प्रत्येक एक्सेस पॉइंट, प्रत्येक स्विच, प्रत्येक VPN कंसंट्रेटर - को उसके वर्तमान शेयर्ड सीक्रेट, उसके द्वारा उपयोग किए जा रहे EAP तरीके, और आपकी NPS नीतियों में किसी भी वेंडर-विशिष्ट विशेषताओं के साथ दस्तावेजीकृत करें। यह भले ही आकर्षक काम न हो, लेकिन इसे छोड़ना माइग्रेशन विफलताओं का सबसे बड़ा कारण है। दूसरा चरण पायलट डिप्लॉयमेंट है। अपने क्लाउड RADIUS इंस्टेंस को चालू करें और उस पर एक नॉन-प्रोडक्शन SSID या सिंगल टेस्ट साइट को इंगित करें। सत्यापित करें कि आपका EAP तरीका एंड-टू-एंड काम कर रहा है, आपका पहचान एकीकरण (identity integration) काम कर रहा है, और आपका अकाउंटिंग डेटा सही ढंग से प्रवाहित हो रहा है। तीसरा चरण पैरेलल रनिंग है। यह महत्वपूर्ण जोखिम शमन (risk mitigation) कदम है। अपने एक्सेस पॉइंट्स को ऑन-प्रिमाइसेस NPS सर्वर और क्लाउड RADIUS सर्वर दोनों के साथ प्रमाणीकरण टारगेट के रूप में कॉन्फ़िगर करें, जिसमें क्लाउड सर्विस प्राइमरी के रूप में और NPS फॉलबैक के रूप में हो। पूरे व्यावसायिक चक्र के दौरान कम से कम दो सप्ताह तक इस कॉन्फ़िगरेशन को चलाएं। प्रमाणीकरण सफलता दर, विलंबता (latency) और किसी भी नीतिगत विसंगतियों की निगरानी करें। चौथा चरण कटओवर है। NPS फॉलबैक कॉन्फ़िगरेशन को हटा दें और अपने एकमात्र प्रमाणीकरण इन्फ्रास्ट्रक्चर के रूप में क्लाउड RADIUS को अपनाएं। इसे एक नियोजित रखरखाव (maintenance) विंडो के दौरान करें, और एक रोलबैक प्रक्रिया का दस्तावेजीकरण और परीक्षण करके रखें। पांचवां चरण डीकमिशन (decommission) करना है। एक बार जब आप कटओवर के बाद तीस दिनों तक स्थिर संचालन को सत्यापित कर लेते हैं, तो NPS सर्वर को डीकमिशन कर दें और हार्डवेयर या वर्चुअल मशीन संसाधनों को वापस प्राप्त कर लें। संभावित त्रुटियाँ जो मैं अक्सर देखता हूँ वे हैं: सर्टिफिकेट ट्रस्ट चेन के मुद्दे - विशेष रूप से, क्लाइंट डिवाइस जो क्लाउड RADIUS सर्वर के सर्टिफिकेट पर भरोसा नहीं करते हैं क्योंकि CA उनके ट्रस्टेड स्टोर में नहीं है। कटओवर से पहले अपने MDM या ग्रुप पॉलिसी के माध्यम से इसका समाधान करें। दूसरी आम त्रुटि फ़ायरवॉल नियम हैं। क्लाउड RADIUS को आपके एक्सेस पॉइंट्स से क्लाउड एंडपॉइंट्स तक आउटबाउंड UDP 1812 और 1813 की आवश्यकता होती है, या RadSec के लिए TCP 2083 की आवश्यकता होती है। सुनिश्चित करें कि आपका नेटवर्क पेरिमीटर इस ट्रैफ़िक की अनुमति देता है। तीसरा: शेयर्ड सीक्रेट की जटिलता। यदि आपके मौजूदा NPS शेयर्ड सीक्रेट कमजोर हैं, तो इस माइग्रेशन का उपयोग करके उन्हें मजबूत क्रिप्टोग्राफिक सीक्रेट्स में बदलें, या इससे भी बेहतर, RadSec पर शिफ्ट हो जाएं और शेयर्ड सीक्रेट्स को पूरी तरह से समाप्त कर दें। --- खंड 4: त्वरित प्रश्नोत्तरी आइए इस विषय पर अक्सर पूछे जाने वाले प्रश्नों पर एक नज़र डालते हैं। क्या हम Active Directory को ऑन-प्रिमाइसेस रख सकते हैं? हाँ, बिल्कुल। क्लाउड RADIUS LDAPS के माध्यम से आपके ऑन-प्रिमाइसेस AD से जुड़ता है। आपकी डायरेक्टरी वहीं रहती है जहाँ वह है। यदि हमारा इंटरनेट कनेक्शन बंद हो जाता है तो क्या होगा? यह मुख्य निर्भरता बदलाव है। क्लाउड RADIUS के साथ, इंटरनेट कनेक्टिविटी प्रमाणीकरण के लिए एक निर्भरता बन जाती है। रिडंडेंट WAN लिंक या एक स्थानीय RADIUS प्रॉक्सी के साथ इसे कम करें जो आउटेज के दौरान ज्ञात उपकरणों के लिए प्रमाणीकरण को कैश करता है। क्या यह हमारे PCI-DSS अनुपालन को प्रभावित करता है? एक प्रमाणित क्लाउड RADIUS प्रदाता पर जाने से आमतौर पर आपकी अनुपालन स्थिति में सुधार होता है। सुनिश्चित करें कि आपका प्रदाता SOC 2 Type II रिपोर्ट प्रदान कर सकता है और आपके वार्षिक QSA मूल्यांकन दायरे में शामिल है। पूर्ण माइग्रेशन में कितना समय लगता है? एक एकल साइट के लिए, दो से चार सप्ताह। पचास या अधिक स्थानों की बहु-साइट संपत्ति के लिए, चरणबद्ध रोलआउट के साथ तीन से छह महीने की योजना बनाएं। - खंड 5: सारांश और अगले कदम समाप्त करने के लिए: ऑन-प्रिमाइसेस NPS से RADIUS-as-a-Service पर माइग्रेट करने का मामला परिचालन, वित्तीय और अनुपालन के आधार पर सम्मोहक है। जब एक संरचित समानांतर-चलने वाले चरण के साथ निष्पादित किया जाता है तो माइग्रेशन स्वयं कम जोखिम वाला होता है। मुख्य तकनीकी निर्णय आपके EAP विधि का चयन, आपका पहचान एकीकरण दृष्टिकोण, और क्या परिवहन सुरक्षा के लिए RadSec को लागू करना है - जिसकी मैं किसी भी नए परिनियोजन के लिए दृढ़ता से अनुशंसा करूँगा। आपके तत्काल अगले कदम: अपने वर्तमान RADIUS क्लाइंट और नीतियों का ऑडिट करें, पायलट वातावरण के लिए अपने क्लाउड RADIUS प्रदाता को शामिल करें, और शुरू करने से पहले अपने फ़ायरवॉल नियमों और प्रमाणपत्र ट्रस्ट श्रृंखलाओं की समीक्षा करें। Purple WiFi के गेस्ट एक्सेस प्लेटफॉर्म का उपयोग करने वाले संगठनों के लिए, RADIUS-as-a-Service क्षमता सीधे गेस्ट WiFi प्रमाणीकरण प्रवाह के साथ एकीकृत होती है, जिससे आपको कॉर्पोरेट 802.1X प्रमाणीकरण और गेस्ट नेटवर्क एक्सेस प्रबंधन दोनों के लिए एक सिंगल कंट्रोल प्लेन मिलता है - जिसमें एनालिटिक्स और अनुपालन रिपोर्टिंग पहले से निर्मित होती है। सुनने के लिए धन्यवाद। पूर्ण तकनीकी संदर्भ गाइड Purple वेबसाइट पर उपलब्ध है, और यदि आप आगे बढ़ने के लिए तैयार हैं तो हमारी समाधान टीम स्कोपिंग बातचीत के लिए उपलब्ध है। - स्क्रिप्ट का अंत