Cloud RADIUS क्या है? RADIUS-as-a-Service के लिए एक व्यापक गाइड

Cloud RADIUS क्या है? RADIUS as a Service के लिए एक व्यापक गाइड। Purple WiFi इंटेलिजेंस पॉडकास्ट में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम Cloud RADIUS पर गहराई से चर्चा कर रहे हैं - यह क्या है, बैकएंड पर यह कैसे काम करता है, और सबसे महत्वपूर्ण बात, यह कैसे तय करें कि यह इस तिमाही में आपके संगठन के लिए सही कदम है या नहीं। चाहे आप एक होटल समूह, एक रिटेल एस्टेट, एक स्टेडियम, या एक सार्वजनिक-क्षेत्र का नेटवर्क चला रहे हों, यह आपके काम की बात है। आइए इस पर पृष्ठभूमि तैयार करें। परिचय और संदर्भ। यदि आपको कभी बोर्ड को यह समझाना पड़ा है कि रात के 2 बजे आपका नेटवर्क प्रमाणीकरण सर्वर क्यों बंद हो गया था - और इसे वापस चालू करने में तीन घंटे क्यों लगे - तो आप पहले से ही उस मुख्य समस्या को समझते हैं जिसे Cloud RADIUS हल करता है। पारंपरिक ऑन-प्रिमाइसेस RADIUS इन्फ्रास्ट्रक्चर शक्तिशाली है, लेकिन यह महत्वपूर्ण परिचालन ओवरहेड लाता है। हार्डवेयर खरीदना, पैच चक्रों का प्रबंधन करना, रिडंडेंसी को मैन्युअल रूप से आर्किटेक्ट करना, और आपके सर्वर रूम में बैठा विफलता का एक एकल बिंदु (सिंगल पॉइंट ऑफ़ फेलियर)। Cloud RADIUS, या RADIUS as a Service, उस प्रमाणीकरण परत (ऑथेंटिकेशन लेयर) को एक प्रबंधित, अत्यधिक उपलब्ध क्लाउड वातावरण में स्थानांतरित करता है। प्रोटोकॉल स्वयं - रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस - नहीं बदला है। यह अभी भी IEEE 802.1X नेटवर्क एक्सेस कंट्रोल की रीढ़ है, अभी भी वही तंत्र है जिसका उपयोग आपके एक्सेस पॉइंट यह सत्यापित करने के लिए करते हैं कि आपके नेटवर्क पर कौन प्रवेश कर सकता है। लेकिन इसे चलाने वाला इन्फ्रास्ट्रक्चर अब किसी और की समस्या है। और एंटरप्राइज़ IT में, यह एक महत्वपूर्ण बदलाव है। तो आइए तकनीकी विवरण में चलते हैं। तकनीकी विश्लेषण। RADIUS को मूल रूप से साल 2000 में प्रकाशित RFC 2865 में परिभाषित किया गया था, और यह उल्लेखनीय रूप से टिकाऊ रहा है। प्रोटोकॉल क्लाइंट-सर्वर मॉडल पर काम करता है। आपका नेटवर्क एक्सेस डिवाइस - चाहे वह एक WiFi एक्सेस पॉइंट हो, एक VPN कंसंट्रेटर हो, या एक वायर्ड स्विच हो - RADIUS क्लाइंट के रूप में कार्य करता है, जिसे नेटवर्क एक्सेस सर्वर या NAS भी कहा जाता है। जब कोई उपयोगकर्ता कनेक्ट करने का प्रयास करता है, तो NAS एक Access-Request पैकेट RADIUS सर्वर को फॉरवर्ड करता है, जो उपयोगकर्ता निर्देशिका - आमतौर पर Active Directory, LDAP, या क्लाउड पहचान प्रदाता - के खिलाफ क्रेडेंशियल्स को सत्यापित करता है और या तो Access-Accept या Access-Reject लौटाता है। यह मूल आदान-प्रदान है। लेकिन वास्तविक जटिलता इसके आस-पास की चीजों में है: EAP तरीके, VLAN असाइनमेंट, नीति प्रवर्तन (पॉलिसी एनफोर्समेंट), अकाउंटिंग रिकॉर्ड और सर्टिफिकेट प्रबंधन। पारंपरिक ऑन-प्रिमाइसेस परिनियोजन (डिप्लॉयमेंट) में, आप समर्पित हार्डवेयर पर FreeRADIUS या Microsoft NPS चला रहे होते हैं, अपने खुद के सर्टिफिकेट प्रबंधित कर रहे होते हैं, अपने खुद के फेलओवर को कॉन्फ़िगर कर रहे होते हैं, और अपने खुद के उपयोगकर्ता डेटाबेस सिंक को बनाए रख रहे होते हैं। एक सक्षम IT टीम वाले सिंगल-साइट डिप्लॉयमेंट के लिए, यह प्रबंधनीय है। लेकिन 50-साइट वाले रिटेल एस्टेट या कई देशों में फैली संपत्तियों वाले होटल समूह के लिए, यह एक महत्वपूर्ण परिचालन बोझ बन जाता है। Cloud RADIUS इन सभी चीज़ों को सरल बनाता है। ऑथेंटिकेशन लॉजिक, सर्टिफिकेट इंफ्रास्ट्रक्चर, रिडंडेंसी और पॉलिसी इंजन, ये सभी एक प्रबंधित सेवा के रूप में प्रदान किए जाते हैं। आपके एक्सेस पॉइंट्स क्लाउड-होस्टेड RADIUS एंडपॉइंट्स - आमतौर पर एक प्राइमरी और सेकेंडरी IP एड्रेस - की ओर इशारा करते हैं और यह सेवा इसके पीछे की सभी चीज़ों को संभालती है। आइए अब ऑथेंटिकेशन विधियों के बारे में बात करते हैं, क्योंकि यहीं पर तकनीकी निर्णय वास्तव में मायने रखते हैं। एंटरप्राइज़ WiFi में सबसे आम EAP विधि PEAP - Protected EAP - है, जो एक TLS सेशन के भीतर MSCHAPv2 को टनल करती है। यह व्यापक रूप से समर्थित है, मूल रूप से Active Directory के साथ काम करती है और अधिकांश Windows और Android डिवाइस के लिए डिफ़ॉल्ट है। हालांकि, PEAP में ज्ञात कमजोरियां हैं, विशेष रूप से सर्टिफिकेट वैलिडेशन को लेकर। यदि आपके क्लाइंट डिवाइस सर्वर सर्टिफिकेट को सत्यापित करने के लिए कॉन्फ़िगर नहीं हैं, तो आप अनधिकृत एक्सेस पॉइंट्स के माध्यम से क्रेडेंशियल हार्वेस्टिंग हमलों के शिकार हो सकते हैं। EAP-TLS सर्वोत्तम मानक है। यह आपसी सर्टिफिकेट ऑथेंटिकेशन का उपयोग करता है - सर्वर और क्लाइंट दोनों सर्टिफिकेट प्रस्तुत करते हैं - जो पासवर्ड हमले की संभावना को पूरी तरह से समाप्त कर देता है। इसके बदले में क्लाइंट सर्टिफिकेट डिप्लॉयमेंट की आवश्यकता होती है, जिसके लिए एक PKI इंफ्रास्ट्रक्चर और MDM एकीकरण की आवश्यकता होती है। प्रबंधित डिवाइस बेड़े के लिए, यह बिल्कुल सही विकल्प है। BYOD वातावरण के लिए, यह अधिक जटिल है। EAP-TTLS और EAP-FAST के बारे में जानना भी उपयोगी है। TTLS विशेष रूप से उन वातावरणों में आम है जहां आपको Linux सिस्टम सहित क्लाइंट डिवाइस की एक विस्तृत श्रृंखला का समर्थन करने की आवश्यकता होती है। EAP-FAST को Cisco द्वारा PEAP के विकल्प के रूप में विकसित किया गया था जो प्रोटेक्टेड एक्सेस क्रेडेंशियल्स का उपयोग करके सर्टिफिकेट वैलिडेशन निर्भरता से बचाता है। एक अच्छी तरह से आर्किटेक्ट की गई Cloud RADIUS सेवा इन सभी विधियों का समर्थन करती है और आपको प्रति-SSID पॉलिसी कॉन्फ़िगर करने की अनुमति देती है - ताकि आपका कॉर्पोरेट SSID सर्टिफिकेट वैलिडेशन के साथ EAP-TLS का उपयोग करे, आपका स्टाफ SSID Active Directory के साथ PEAP का उपयोग करे और आपका गेस्ट नेटवर्क RADIUS स्टैक से पूरी तरह अलग Captive Portal या सोशल लॉगिन फ्लो का उपयोग करे। इसी संदर्भ में - RADIUS और गेस्ट WiFi को अक्सर एक ही समझ लिया जाता है, लेकिन वे अलग-अलग उद्देश्यों को पूरा करते हैं। RADIUS ज्ञात उपयोगकर्ताओं और उपकरणों के लिए आपका ऑथेंटिकेशन और ऑथराइजेशन लेयर है। गेस्ट WiFi आमतौर पर एक Captive Portal फ्लो का उपयोग करता है, जो पूरी तरह से एक अलग तंत्र है। उदाहरण के लिए, Purple का प्लेटफॉर्म एक अलग पहचान लेयर के माध्यम से गेस्ट ऑथेंटिकेशन को संभालता है, फर्स्ट-पार्टी डेटा कैप्चर करता है और मार्केटिंग ऑटोमेशन को सक्षम बनाता है, जबकि RADIUS कॉर्पोरेट और स्टाफ नेटवर्क एक्सेस कंट्रोल को संभालता है। ये पूरक हैं, प्रतिस्पर्धी सिस्टम नहीं। अब, आइए बात करते हैं कि व्यावहारिक रूप से "cloud-hosted" का वास्तव में क्या अर्थ है। एक उचित रूप से निर्मित Cloud RADIUS सेवा ऑटोमैटिक फ़ेलओवर के साथ कई उपलब्धता क्षेत्रों में चलती है। प्रमाणीकरण (Authentication) अनुरोधों को नोड्स में लोड-बैलेंस किया जाता है, और यह सेवा चरम लोड के दौरान भी 100-मिलीसेकंड से कम का रिस्पॉन्स टाइम बनाए रखती है। किसी इवेंट के दौरान 40,000 एक साथ होने वाले कनेक्शन को संभालने वाले स्टेडियम के लिए, यह लेटेंसी और थ्रूपुट प्रोफ़ाइल महत्वपूर्ण है। एक सिंगल ऑन-प्रिमाइसेस सर्वर इस लचीलेपन का मुकाबला नहीं कर सकता है। अनुपालन के दृष्टिकोण से, UK और EU में काम करने वाले Cloud RADIUS प्रदाताओं को प्रमाणीकरण लॉग और उपयोगकर्ता डेटा को संभालने के तरीके में GDPR-अनुरूप होना आवश्यक है। रिटेल और हॉस्पिटैलिटी परिवेशों के लिए जो भुगतान कार्ड डेटा को भी प्रोसेस करते हैं, नेटवर्क सेगमेंटेशन और एक्सेस कंट्रोल से संबंधित PCI DSS आवश्यकताएं सीधे तौर पर प्रासंगिक हैं - RADIUS आपके कंट्रोल एनवायरनमेंट का हिस्सा है, और आपका QSA उचित कॉन्फ़िगरेशन और ऑडिट लॉगिंग का प्रमाण देखना चाहेगा। WPA3 पर भी ध्यान देना जरूरी है। WPA2 से WPA3 में संक्रमण व्यक्तिगत नेटवर्क के लिए साइमल्टेनियस ऑथेंटिकेशन ऑफ इक्वल्स - SAE - और कॉर्पोरेट परिवेशों के लिए WPA3-Enterprise पेश करता है। WPA3-Enterprise उच्चतम वर्गीकरण के लिए 192-बिट सुरक्षा मोड को अनिवार्य बनाता है, जिसके लिए विशिष्ट EAP विधियों और सिफर सुइट्स की आवश्यकता होती है। एक Cloud RADIUS सेवा को भविष्य के अनुकूल होने के लिए इन कॉन्फ़िगरेशन का समर्थन करने की आवश्यकता है। कार्यान्वयन की सिफारिशें और कमियां। ठीक है, आइए व्यावहारिक बनें। यदि आप इस तिमाही में परिनियोजन के लिए Cloud RADIUS का मूल्यांकन कर रहे हैं, तो मैं इन बातों पर ध्यान केंद्रित करूँगा। पहला, आपके पहचान प्रदाता (Identity Provider) के साथ एकीकरण। आपकी Cloud RADIUS सेवा को वहां सिंक होना चाहिए जहां आपके उपयोगकर्ता वास्तव में मौजूद हैं - चाहे वह Microsoft Entra ID हो, जिसे पहले Azure AD कहा जाता था, Google Workspace, Okta हो, या LDAP प्रॉक्सी के माध्यम से ऑन-प्रिमाइसेस Active Directory हो। इस एकीकरण की गुणवत्ता आपके परिचालन ओवरहेड को निर्धारित करती है। मैन्युअल CSV आयात की तुलना में मूल SAML या SCIM प्रोविज़निंग कहीं अधिक बेहतर है। दूसरा, प्रमाणपत्र प्रबंधन (Certificate Management)। यदि आप EAP-TLS तैनात कर रहे हैं, तो आपको क्लाइंट प्रमाणपत्रों को जारी करने, नवीनीकृत करने और निरस्त करने के तरीके पर एक स्पष्ट उत्तर की आवश्यकता है। सर्वोत्तम Cloud RADIUS सेवाओं में एक एकीकृत PKI शामिल होता है या यह आपके मौजूदा प्रमाणपत्र प्राधिकरण (Certificate Authority) के साथ सहजता से एकीकृत होता है। प्रमाणपत्र की समय सीमा समाप्त होना एंटरप्राइज़ WiFi में प्रमाणीकरण विफलताओं के सबसे आम कारणों में से एक है - उचित स्वचालन (Automation) के साथ इससे पूरी तरह से बचा जा सकता है। तीसरा, नेटवर्क डिवाइस अनुकूलता। आपके एक्सेस पॉइंट को RADIUS प्रमाणीकरण का समर्थन करने की आवश्यकता है - वस्तुतः सभी एंटरप्राइज़-ग्रेड AP करते हैं - लेकिन आपको अपने AP विक्रेता के कार्यान्वयन के खिलाफ अपनी चुनी हुई सेवा द्वारा समर्थित विशिष्ट EAP विधियों और RADIUS विशेषताओं को सत्यापित करना होगा। Cisco, Aruba, Juniper Mist, और Ruckus सभी के पास RADIUS विशेषताओं और CoA - Change of Authorisation - संदेशों को संभालने के अपने स्वयं के सूक्ष्म अंतर हैं।चौथा, रिडंडेंसी कॉन्फ़िगरेशन। हमेशा एक प्राइमरी और सेकेंडरी RADIUS सर्वर IP कॉन्फ़िगर करें। आपके NAS डिवाइस पर फ़ेलओवर टाइमआउट महत्वपूर्ण है - यदि इसे बहुत अधिक सेट किया जाता है, तो प्राइमरी तक पहुंच न होने पर उपयोगकर्ताओं को 30-सेकंड की प्रमाणीकरण देरी का सामना करना पड़ेगा। अधिकांश वातावरणों के लिए तत्काल फ़ेलओवर के साथ 3 से 5 सेकंड का टाइमआउट सही कॉन्फ़िगरेशन है। पांचवां - और यह वह है जिसे लोग अनदेखा कर देते हैं - अकाउंटिंग। RADIUS अकाउंटिंग रिकॉर्ड आपके ऑडिट ट्रेल हैं। वे आपको बताते हैं कि किसने, किस डिवाइस से, किस समय और कितने समय के लिए कनेक्ट किया। अनुपालन उद्देश्यों के लिए, विशेष रूप से हेल्थकेयर और सार्वजनिक क्षेत्र के वातावरण में, इन रिकॉर्डों को बनाए रखने और सुलभ होने की आवश्यकता होती है। सुनिश्चित करें कि आपका क्लाउड RADIUS प्रदाता आपको केवल प्रमाणीकरण लॉग ही नहीं, बल्कि अकाउंटिंग डेटा तक भी पहुंच प्रदान करता है। सामान्य गलतियाँ: शेयर्ड सीक्रेट की जटिलता। आपका RADIUS शेयर्ड सीक्रेट - आपके NAS और RADIUS सर्वर के बीच की प्री-शेयर्ड की - लंबी और रैंडम होनी चाहिए। छोटे या अनुमान लगाने योग्य शेयर्ड सीक्रेट एक वास्तविक अटैक वेक्टर हैं। कम से कम 32 वर्णों का उपयोग करें, जो रैंडम रूप से जनरेट किए गए हों, और उन्हें एक शेड्यूल पर रोटेट करें। IP व्हाइटलिस्टिंग पर भी नज़र रखें। कई क्लाउड RADIUS सेवाओं के लिए आवश्यक है कि आप अपने NAS डिवाइस के सोर्स IPs को व्हाइटलिस्ट करें। एक डायनेमिक क्लाउड वातावरण में जहाँ आपका AP मैनेजमेंट प्लेटफ़ॉर्म NAT का उपयोग कर सकता है, यह अप्रत्याशित प्रमाणीकरण विफलताओं का कारण बन सकता है। डिप्लॉयमेंट से पहले अपने नेटवर्क के NAT व्यवहार की पुष्टि करें। रैपिड-फायर Q&A। आइए मैं कुछ ऐसे सवालों पर नज़र डालूँ जो मुझसे नियमित रूप से पूछे जाते हैं। क्या क्लाउड RADIUS मल्टी-टीनेंट वातावरण का समर्थन कर सकता है? हाँ - अधिकांश एंटरप्राइज़ क्लाउड RADIUS सेवाएँ टीनेंट आइसोलेशन का समर्थन करती हैं, इसलिए एक प्रबंधित सेवा प्रदाता एक ही प्लेटफ़ॉर्म से कई ग्राहकों के लिए अलग RADIUS नीतियां चला सकता है। क्लाउड RADIUS प्रमाणीकरण के लिए सामान्य लेटेंसी क्या है? एक अच्छी तरह से डिज़ाइन की गई सेवा के लिए 100 मिलीसेकंड से कम। 802.1X हैंडशेक स्वयं कुछ ओवरहेड जोड़ता है, लेकिन अधिकांश EAP विधियों के लिए, कुल प्रमाणीकरण समय शुरू से अंत तक 500 मिलीसेकंड से कम होना चाहिए। क्या क्लाउड RADIUS OpenRoaming के साथ काम करता है? हाँ। OpenRoaming - वायरलेस ब्रॉडबैंड एलायंस का रोमिंग फ्रेमवर्क - अपने कोर में RADIUS फेडरेशन का उपयोग करता है। एक क्लाउड RADIUS सेवा जो Hotspot 2.0 और OpenRoaming का समर्थन करती है, आपके उपयोगकर्ताओं को वैश्विक स्तर पर भाग लेने वाले नेटवर्क पर स्वचालित रूप से प्रमाणित होने की अनुमति देती है। Purple अपने Connect लाइसेंस के तहत OpenRoaming का समर्थन करता है, जो फेडरेशन में एक पहचान प्रदाता के रूप में कार्य करता है। क्या क्लाउड RADIUS उच्च-सुरक्षा वातावरण के लिए उपयुक्त है? अधिकांश एंटरप्राइज़ वातावरणों के लिए, हाँ। क्लासीफाइड डेटा या विशिष्ट सरकारी सुरक्षा वर्गीकरण वाले वातावरण के लिए, आपको यह मूल्यांकन करने की आवश्यकता हो सकती है कि क्या कोई प्रबंधित क्लाउड सेवा आपकी विशिष्ट मान्यता आवश्यकताओं को पूरा करती है। सारांश और अगले कदम। संक्षेप में कहें तो: Cloud RADIUS नेटवर्क एक्सेस कंट्रोल का एक परिपक्व, प्रोडक्शन-रेडी दृष्टिकोण है जो सुरक्षा या क्षमता से समझौता किए बिना ऑन-प्रिमाइसेस RADIUS इन्फ्रास्ट्रक्चर के परिचालन बोझ को समाप्त करता है। मल्टी-साइट संगठनों के लिए, ROI का मामला बिल्कुल स्पष्ट है - आप हार्डवेयर कैपेक्स (capex) को समाप्त करते हैं, IT ओवरहेड को कम करते हैं, इन-बिल्ट रिडंडेंसी प्राप्त करते हैं, और एक ऐसी सेवा पाते हैं जो आपके एस्टेट के साथ स्केल होती है। मुख्य निर्णय ये हैं: आपके डिवाइस बेड़े के लिए कौन सा EAP तरीका सही है, आप अपने मौजूदा आइडेंटिटी प्रोवाइडर के साथ कैसे एकीकृत करते हैं, और क्या आपकी चुनी हुई सेवा आपको वे अनुपालन (compliance) और ऑडिट क्षमताएं प्रदान करती है जिनकी आपके संगठन को आवश्यकता है। यदि आप एक होटल समूह, एक रिटेल चेन चला रहे हैं, या सार्वजनिक-क्षेत्र के नेटवर्क का प्रबंधन कर रहे हैं, तो मैं एक सिंगल साइट पर प्रूफ-ऑफ-कांसेप्ट के साथ शुरुआत करने की सलाह दूंगा - अपना RADIUS कॉन्फ़िगरेशन सही करें, अपने आइडेंटिटी प्रोवाइडर के साथ एकीकरण को सत्यापित करें, और अपने पूरे एस्टेट में लागू करने से पहले ऑथेंटिकेशन लेटेंसी को मापें। WiFi एनालिटिक्स, गेस्ट नेटवर्क मैनेजमेंट, और कैसे Purple का प्लेटफॉर्म RADIUS-आधारित ऑथेंटिकेशन के साथ एकीकृत होता है, इस बारे में अधिक जानने के लिए purple.ai पर जाएं। सुनने के लिए धन्यवाद।