802.1X Supplicant क्या है? क्लाइंट के प्रकार और डिवाइस कॉन्फ़िगरेशन

एक आत्मविश्वासी, आधिकारिक और संवादात्मक लहजे में बात करें - जैसे कि एक वरिष्ठ नेटवर्क सुरक्षा सलाहकार किसी क्लाइंट को जानकारी दे रहा हो। नपी-तुली गति, स्पष्ट उच्चारण, पेशेवर लेकिन नीरस नहीं। जोर देने के लिए बीच-बीच में स्वाभाविक ठहराव लें: Purple की तकनीकी ब्रीफिंग श्रृंखला में आपका स्वागत है। आज हम उस विषय पर चर्चा कर रहे हैं जो एंटरप्राइज WiFi सुरक्षा के मूल में है - 802.1X सप्लीकेंट (supplicant)। यदि आपने कभी सोचा है कि कुछ डिवाइस बिना पासवर्ड पूछे आपके कॉर्पोरेट नेटवर्क से क्यों कनेक्ट हो जाते हैं, जबकि अन्य में सर्टिफिकेट एरर और हेल्पडेस्क टिकट आ जाते हैं, तो यह एपिसोड आपके लिए ही है। [medium pause] आइए बुनियादी बातों से शुरुआत करते हैं। 802.1X सप्लीकेंट एक क्लाइंट डिवाइस - जैसे लैपटॉप, स्मार्टफोन, टैबलेट - पर एक सॉफ्टवेयर घटक है, जो उस प्रमाणीकरण हैंडशेक को संभालता है जब वह डिवाइस IEEE 802.1X द्वारा सुरक्षित नेटवर्क में शामिल होने का प्रयास करता है। इसे डिवाइस के आईडी कार्ड प्रस्तुतकर्ता के रूप में समझें। नेटवर्क किसी को भी ऐसे ही प्रवेश नहीं देता है। यह क्रेडेंशियल्स मांगता है। सप्लीकेंट वह है जो आगे बढ़कर कहता है: यहाँ मेरी पहचान है, यहाँ मेरा सर्टिफिकेट है, मुझे अंदर आने दें। यह मानक - IEEE 802.1X - पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल को परिभाषित करता है। प्रमाणीकरण सफल होने से पहले, एक्सेस पॉइंट या स्विच केवल एक बहुत ही सीमित प्रकार के ट्रैफ़िक को ही अनुमति देता है: EAPOL फ़्रेम, जिसका अर्थ है Extensible Authentication Protocol over LAN। बाकी सब कुछ ब्लॉक कर दिया जाता है। एक बार जब सप्लीकेंट ऑथेंटिकेटर के माध्यम से RADIUS सर्वर के सामने अपनी पहचान साबित कर देता है, तो पोर्ट खुल जाता है और सामान्य ट्रैफ़िक का प्रवाह शुरू हो जाता है। [medium pause] अब, इस पूरी प्रक्रिया में तीन मुख्य भूमिकाएँ हैं। पहला, सप्लीकेंट - यानी क्लाइंट डिवाइस। दूसरा, ऑथेंटिकेटर - आपका एक्सेस पॉइंट या स्विच, जैसे कि Cisco Meraki, HPE Aruba, Ruckus, या Juniper Mist जैसे हार्डवेयर। तीसरा, ऑथेंटिकेशन सर्वर - जो लगभग हमेशा एक RADIUS सर्वर होता है, जो Microsoft Entra ID या Okta जैसी डायरेक्टरी के विरुद्ध क्रेडेंशियल्स की पुष्टि करता है। सप्लीकेंट EAPOL-Start संदेश भेजकर प्रक्रिया शुरू करता है। ऑथेंटिकेटर पहचान के लिए EAP-Request के साथ प्रतिक्रिया देता है। सप्लीकेंट अपनी पहचान के साथ उत्तर देता है। वह पहचान RADIUS सर्वर को फॉरवर्ड कर दी जाती है, जो फिर सहमत EAP विधि के साथ सप्लीकेंट को चुनौती देता है। यदि सब कुछ ठीक रहता है, तो RADIUS सर्वर एक Access-Accept भेजता है, पोर्ट खुल जाता है, और डिवाइस को सही VLAN पर रख दिया जाता है। [medium pause] आइए EAP विधियों के बारे में बात करते हैं, क्योंकि यहीं पर अधिकांश डिप्लॉयमेंट के निर्णय लिए जाते हैं। EAP-TLS - यानी Transport Layer Security के साथ Extensible Authentication Protocol - सबसे बेहतरीन मानक है। इसके लिए क्लाइंट और सर्वर दोनों को सर्टिफिकेट प्रस्तुत करने की आवश्यकता होती है। आपसी ऑथेंटिकेशन। कोई पासवर्ड नहीं। क्लाइंट सर्टिफिकेट डिवाइस की पहचान को साबित करता है; सर्वर सर्टिफिकेट साबित करता है कि नेटवर्क वैध है, जो इविल ट्विन हमलों से बचाता है जहां एक दुष्ट एक्सेस पॉइंट क्रेडेंशियल चुराने की कोशिश करता है। EAP-TLS बारह चरणों में पूरा होता है और इसमें सार्वजनिक-निजी कुंजी क्रिप्टोग्राफी का उपयोग किया जाता है। यह अपने उच्चतम सुरक्षा मोड में WPA3-Enterprise के लिए आवश्यक तरीका है, और यह डिवाइस पहचान सत्यापन के लिए NIST SP 800-171 आवश्यकताओं के अनुरूप है। PEAP - Protected EAP - उन संगठनों के लिए अधिक सामान्य शुरुआती बिंदु है जिनके पास अभी तक पूर्ण PKI मौजूद नहीं है। PEAP एक TLS टनल के भीतर एक पासवर्ड-आधारित आंतरिक विधि, आमतौर पर MSCHAPv2 को लपेटता है। सर्वर एक सर्टिफिकेट प्रस्तुत करता है; क्लाइंट नहीं करता। इसका मतलब है कि परिनियोजन सरल है - आपको क्लाइंट सर्टिफिकेट प्रदान करने की आवश्यकता नहीं है - लेकिन यह कम सुरक्षित है। MSCHAPv2 MD4 हैशिंग का उपयोग करता है, जिसे 1995 से ही कमजोर माना गया है। यदि कोई उपयोगकर्ता किसी ऐसे दुष्ट एक्सेस पॉइंट से जुड़ता है जो विश्वसनीय दिखने वाला सर्टिफिकेट प्रस्तुत करता है, तो उनके क्रेडेंशियल चुराए जा सकते हैं। इसलिए PEAP चलाते समय क्लाइंट साइड पर सर्वर सर्टिफिकेट सत्यापन गैर-परक्राम्य है। [medium pause] अब आइए सप्लीकेंट के बारे में बात करते हैं - विशेष रूप से नेटिव OS सप्लीकेंट्स और तीसरे पक्ष के क्लाइंट सॉफ़्टवेयर के बीच का चुनाव। प्रत्येक प्रमुख ऑपरेटिंग सिस्टम एक इन-बिल्ट 802.1X सप्लीकेंट के साथ आता है। Windows ने XP के बाद से वायरलेस ऑटो-कॉन्फ़िगर और वायर्ड ऑटो-कॉन्फ़िगर सेवाओं के माध्यम से मूल रूप से इसका समर्थन किया है। macOS और iOS अपने नेटवर्क कॉन्फ़िगरेशन प्रोफाइल के माध्यम से 802.1X को संभालते हैं। Android इसे WiFi सेटिंग्स पैनल के माध्यम से समर्थित करता है। ये नेटिव सप्लीकेंट्स सभी वर्तमान प्लेटफ़ॉर्म पर EAP-TLS और PEAP-MSCHAPv2 को कवर करते हैं। नेटिव सप्लीकेंट्स का लाभ स्पष्ट है: तैनात करने के लिए कोई अतिरिक्त सॉफ़्टवेयर नहीं, कोई लाइसेंसिंग लागत नहीं, स्वचालित OS सुरक्षा अपडेट, और ऑपरेटिंग सिस्टम के सर्टिफिकेट स्टोर के साथ कड़ा एकीकरण। प्रबंधित डिवाइस बेड़े के लिए - Microsoft Intune में नामांकित Windows मशीनें, Jamf के माध्यम से प्रबंधित Macs - आप MDM के माध्यम से चुपचाप 802.1X कॉन्फ़िगरेशन प्रोफ़ाइल भेज सकते हैं, और उपयोगकर्ताओं को कभी भी कोई संकेत नहीं दिखता है। हर बार रेंज में आने पर डिवाइस स्वचालित रूप से ऑथेंटिकेट हो जाता है। विशिष्ट परिदृश्यों में थर्ड-पार्टी सप्लीकेंट्स काम में आते हैं। यदि आप Cisco इन्फ्रास्ट्रक्चर चला रहे हैं और EAP-FAST - जो Cisco का मालिकाना EAP तरीका है - का उपयोग करना चाहते हैं, तो आपको Cisco के क्लाइंट सॉफ़्टवेयर की आवश्यकता होगी, जो ऐतिहासिक रूप से Secure Services Client या AnyConnect Network Access Manager रहा है। यदि आपको एक मिश्रित-OS एस्टेट में लगातार कॉन्फ़िगरेशन प्रबंधन की आवश्यकता है और आप सप्लीकेंट सेटिंग्स को लॉक करना चाहते हैं ताकि उपयोगकर्ता गलती से उन्हें गलत तरीके से कॉन्फ़िगर न कर सकें, तो एक थर्ड-पार्टी क्लाइंट आपको वह नियंत्रण देता है। SecureW2 के JoinNow सुइट जैसे टूल ऑनबोर्डिंग एजेंटों के रूप में भी कार्य करते हैं - वे नेटिव सप्लीकेंट को बदलने के बजाय उसे कॉन्फ़िगर करते हैं, जिससे उपयोगकर्ताओं को सर्टिफिकेट एनरोलमेंट और प्रोफाइल इंस्टॉलेशन की प्रक्रिया आसानी से समझ आ जाती है। [medium pause] इसे ठोस बनाने के लिए मैं आपको दो वास्तविक दुनिया के परिदृश्यों के माध्यम से समझाता हूँ। पहला, एक 400 कमरों वाला होटल। यह प्रॉपर्टी आज PEAP-MSCHAPv2 के साथ WPA2-Enterprise पर एक स्टाफ नेटवर्क चलाती है। IT टीम पासवर्ड-आधारित ऑथेंटिकेशन को समाप्त करने और क्रेडेंशियल चोरी के जोखिम को कम करने के लिए EAP-TLS पर माइग्रेट करना चाहती है। चुनौती: स्टाफ डिवाइस Intune के माध्यम से प्रबंधित Windows लैपटॉप, प्रॉपर्टी मैनेजमेंट सॉफ़्टवेयर के लिए उपयोग किए जाने वाले पर्सनल Android फोन, और बैक-ऑफ़-हाउस में पुराने Windows 7 मशीनों का एक मिश्रण हैं। यहाँ दृष्टिकोण चरणबद्ध है। प्रबंधित Windows फ़्लीट से शुरुआत करें। एक Intune कॉन्फ़िगरेशन प्रोफ़ाइल पुश करें जो RADIUS सर्वर के रूट CA सर्टिफिकेट को इंस्टॉल करती है, EAP-TLS के लिए WiFi प्रोफ़ाइल को कॉन्फ़िगर करती है, और आंतरिक PKI से SCEP-आधारित सर्टिफिकेट एनरोलमेंट को ट्रिगर करती है। वे डिवाइस पहले दिन से स्वचालित रूप से ऑथेंटिकेट होते हैं। Android BYOD डिवाइस के लिए, एक सेल्फ-सर्विस ऑनबोर्डिंग पोर्टल तैनात करें - उपयोगकर्ता एक URL पर जाते हैं, एक कॉन्फ़िगरेशन प्रोफ़ाइल डाउनलोड करते हैं, और उनके लिए सप्लीकेंट कॉन्फ़िगर हो जाता है। पुराने Windows 7 मशीनें सख्त सर्वर सर्टिफिकेट वैलिडेशन लागू होने के साथ PEAP पर बनी रहती हैं, और डीकमिशन होने तक सीमित एक्सेस वाले एक अलग VLAN में अलग रखी जाती हैं। [medium pause] दूसरा परिदृश्य: 200 स्टोर वाली एक बड़ी रिटेल चेन। प्रत्येक स्टोर में पॉइंट-ऑफ़-सेल (POS) टर्मिनल, स्टाफ टैबलेट और एक गेस्ट WiFi नेटवर्क का मिश्रण है। PCI-DSS के लिए आवश्यक है कि कार्डधारक डेटा वातावरण अन्य नेटवर्क सेगमेंट से अलग हो। रिटेलर स्टाफ और POS नेटवर्क पर 802.1X का उपयोग करता है, जिसमें VLAN असाइनमेंट सर्टिफिकेट एट्रिब्यूट्स द्वारा संचालित होता है। एक POS टर्मिनल "POS" के संगठनात्मक विंग के साथ एक डिवाइस सर्टिफिकेट प्रस्तुत करता है - RADIUS पॉलिसी इसे PCI VLAN में असाइन करती है। एक स्टाफ टैबलेट "Staff" के साथ एक सर्टिफिकेट प्रस्तुत करता है - यह स्टाफ VLAN पर आता है। गेस्ट डिवाइस पूरी तरह से एक अलग SSID से कनेक्ट होते हैं, जिसे एक Captive Portal समाधान द्वारा प्रबंधित किया जाता है। POS टर्मिनलों पर सप्लीकेंट कॉन्फ़िगरेशन MDM के माध्यम से लॉक किया गया है। किसी उपयोगकर्ता के इंटरैक्शन की आवश्यकता नहीं है। टर्मिनल बूट होने पर चुपचाप ऑथेंटिकेट हो जाते हैं। सर्टिफिकेट रिन्यूअल SCEP के माध्यम से स्वचालित होता है, इसलिए सर्टिफिकेट समाप्त होने पर किसी मैन्युअल हस्तक्षेप की आवश्यकता नहीं होती है। [medium pause] अब, इम्प्लीमेंटेशन की कमियां। मैं आपको चार सबसे आम कमियां बताता हूँ। नंबर एक: PEAP डिप्लॉयमेंट पर सर्वर सर्टिफिकेट वैलिडेशन का न होना। यदि आप RADIUS सर्वर के सर्टिफिकेट को वैलिडेट करने और सर्वर का नाम जांचने के लिए सप्लीकेंट को कॉन्फ़िगर नहीं करते हैं, तो उपयोगकर्ता किसी नकली एक्सेस पॉइंट से कनेक्ट होने के प्रति संवेदनशील हो जाते हैं। हमेशा सप्लीकेंट प्रोफाइल में ट्रस्टेड रूट CA और सर्वर का नाम निर्दिष्ट करें। नंबर दो: सर्टिफिकेट की समय सीमा समाप्त होने से बड़े पैमाने पर ऑथेंटिकेशन विफलताएं होना। क्लाइंट सर्टिफिकेट की एक वैधता अवधि होती है। यदि आपके पास SCEP या NDES के माध्यम से ऑटोमेटेड रिन्यूअल की व्यवस्था नहीं है, तो आपको ऐसी गंभीर स्थिति का सामना करना पड़ेगा जहां सैकड़ों डिवाइस एक साथ ऑथेंटिकेशन बंद कर देते हैं। लाइव होने से पहले रिन्यूअल ऑटोमेशन का निर्माण करें। नंबर तीन: असंगत सप्लीकेंट व्यवहार वाले BYOD डिवाइस। विशेष रूप से Android में विभिन्न निर्माताओं के बीच 802.1X सपोर्ट विभाजित है। कुछ वर्ज़न में उपयोगकर्ता को WiFi प्रोफाइल द्वारा इसे स्वीकार करने से पहले CA सर्टिफिकेट को मैन्युअल रूप से इंस्टॉल करने की आवश्यकता होती है। एक ऑनबोर्डिंग पोर्टल जो इस चरण को संभालता है, हेल्पडेस्क के काम के बोझ को काफी कम कर देता है। नंबर चार: Windows 11 फीचर अपडेट का सप्लीकेंट कॉन्फ़िगरेशन को खराब करना। Microsoft ने कई Windows 11 अपडेट्स में 802.1X व्यवहार को बदल दिया है। विशेष रूप से, 24H2 अपडेट ने नेटिव सप्लीकेंट द्वारा EAP-TLS फॉलबैक को संभालने के तरीके में बदलाव किए हैं। प्रोडक्शन में रोल आउट करने से पहले नए OS वर्ज़न के खिलाफ अपने सप्लीकेंट प्रोफाइल का परीक्षण करें। [medium pause] अब त्वरित प्रश्न। क्या IoT डिवाइस 802.1X का समर्थन कर सकते हैं? अधिकांश नहीं कर सकते। IoT डिवाइस में आम तौर पर सप्लीकेंट की पूरी तरह से कमी होती है। इसका फॉलबैक MAC Authentication Bypass - MAB - है जहां RADIUS सर्वर डिवाइस को उसके MAC एड्रेस के आधार पर ऑथेंटिकेट करता है। MAC एड्रेस को स्पूफ किया जा सकता है, इसलिए MAB डिवाइस को हमेशा सख्त फायरवॉल नियमों के साथ एक पृथक IoT VLAN पर ही रखना चाहिए। क्या मुझे 802.1X चलाने के लिए PKI की आवश्यकता है? PEAP के लिए, नहीं - आपको केवल RADIUS सर्वर पर एक सर्वर सर्टिफिकेट की आवश्यकता होती है। EAP-TLS के लिए, हाँ - क्लाइंट सर्टिफिकेट जारी करने के लिए आपको एक PKI की आवश्यकता होती है। क्लाउड-आधारित PKI सेवाएं इंफ्रास्ट्रक्चर के खर्च को काफी कम कर देती हैं। 802.1X Purple के नेटवर्क एक्सेस प्लेटफॉर्म के साथ कैसे इंटरैक्ट करता है? Purple आपके मौजूदा हार्डवेयर - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist और अन्य के ऊपर एक क्लाउड ओवरले के रूप में काम करता है। स्टाफ WiFi नेटवर्क पर, Purple का SecurePass ऐड-ऑन आपके आइडेंटिटी प्रोवाइडर - Microsoft Entra ID, Okta या Google Workspace के साथ एकीकृत होता है ताकि ऑन-प्रिमाइसेस RADIUS इंफ्रास्ट्रक्चर की आवश्यकता के बिना 802.1X ऑथेंटिकेशन को लागू किया जा सके और प्रति-उपयोगकर्ता VLAN नीतियां लागू की जा सकें। [medium pause] समापन के लिए: 802.1X सप्लीकेंट डिवाइस-साइड एजेंट है जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल को काम करने योग्य बनाता है। EAP विधि का आपका चयन - अधिकतम सुरक्षा के लिए EAP-TLS, एक संक्रमणकालीन विकल्प के रूप में PEAP - आपकी PKI आवश्यकताओं और आपके सप्लीकेंट कॉन्फ़िगरेशन दृष्टिकोण को संचालित करता है। MDM के माध्यम से तैनात किए जाने पर नेटिव OS सप्लीकेंट अधिकांश प्रबंधित डिवाइस परिदृश्यों को कवर करते हैं। तृतीय-पक्ष क्लाइंट विशिष्ट मामलों में मूल्य जोड़ते हैं: मालिकाना EAP विधियां, सुसंगत कॉन्फ़िगरेशन की आवश्यकता वाले मिश्रित-OS एस्टेट, या सेल्फ-सर्विस BYOD ऑनबोर्डिंग। ध्यान रखने योग्य तीन बातें: हर सप्लीकेंट प्रोफाइल पर अपने RADIUS सर्वर सर्टिफिकेट को सत्यापित करें, EAP-TLS को बड़े पैमाने पर लागू करने से पहले सर्टिफिकेट रिन्यूअल को ऑटोमेट करें, और उन डिवाइसेज को अलग करें जो 802.1X का समर्थन नहीं कर सकते - जैसे IoT, लीगेसी हार्डवेयर - उन्हें फॉलबैक के रूप में MAC Authentication Bypass के साथ समर्पित VLANs पर स्थानांतरित करें। यह जानने के लिए कि Purple आपके नेटवर्क एक्सेस आर्किटेक्चर के साथ कैसे एकीकृत होता है, purple dot ai पर जाएं। सुनने के लिए धन्यवाद।