Server RADIUS: व्यवसायों के लिए एक व्यापक गाइड

कार्यकारी सारांश (Executive summary)

hospitality , retail , transport , और बड़े सार्वजनिक स्थलों पर काम करने वाले IT प्रबंधकों, नेटवर्क आर्किटेक्ट्स और CTOs के लिए, वायरलेस एक्सेस को सुरक्षित करना एक मुख्य परिचालन आवश्यकता है - कोई वैकल्पिक अपग्रेड नहीं। WiFi एक्सेस के लिए प्री-शेयर्ड की (PSK) पर भरोसा करना एक बड़ा सुरक्षा जोखिम है। एक भी क्रेडेंशियल लीक होने से पूरा नेटवर्क असुरक्षित हो जाता है, और एक्सेस वापस लेने के लिए पूरे एस्टेट के हर डिवाइस का पासवर्ड बदलना पड़ता है। सर्वर RADIUS (रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस) आर्किटेक्चर के माध्यम से 802.1X ऑथेंटिकेशन लागू करने से यह समस्या समाप्त हो जाती है। प्रत्येक उपयोगकर्ता व्यक्तिगत रूप से ऑथेंटिकेट होता है, एक्सेस को तुरंत वापस लिया जा सकता है, और नेटवर्क सेगमेंटेशन को डायनामिक रूप से लागू किया जाता है।

सर्वर RADIUS AAA फ्रेमवर्क को लागू करता है: ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग। यह Microsoft Entra ID, Okta, या Google Workspace जैसे डायरेक्टरी के खिलाफ पहचान को सत्यापित करता है, डायनामिक VLAN असाइनमेंट के माध्यम से उपयोगकर्ताओं को सही नेटवर्क सेगमेंट में असाइन करता है, और प्रत्येक सत्र के लिए एक विस्तृत ऑडिट ट्रेल बनाए रखता है। PCI DSS, GDPR, या साइबर एसेंशियल के अधीन आने वाले संगठनों के लिए, यह ऑडिट ट्रेल वैकल्पिक नहीं है। यह एक सख्त अनुपालन आवश्यकता है। Purple का Cloud RADIUS सर्वर सर्टिफिकेट-आधारित 802.1X ऑथेंटिकेशन के माध्यम से कर्मचारियों और कॉर्पोरेट डिवाइसों को सुरक्षित करता है, जो 80,000+ लाइव वेन्यू में Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet के साथ एकीकृत है।

तकनीकी विश्लेषण: सर्वर RADIUS आर्किटेक्चर

IEEE 802.1X मानक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) को परिभाषित करता है। वायरलेस संदर्भ में, इसमें नेटवर्क एज को सुरक्षित करने के लिए मिलकर काम करने वाली तीन प्राथमिक भूमिकाएं शामिल हैं।

जब एक सप्लिकेंट (supplicant) एक एक्सेस पॉइंट से जुड़ता है, तो AP एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल (EAP) संदेशों को छोड़कर सभी डेटा ट्रैफ़िक को ब्लॉक कर देता है। AP इन EAP संदेशों को RADIUS पैकेटों में एनकैप्सुलेट करता है और उन्हें UDP पोर्ट 1812 पर सर्वर RADIUS पर भेजता है। सर्वर बैकएंड डायरेक्टरी के खिलाफ क्रेडेंशियल की पुष्टि करता है और एक Access-Accept या Access-Reject संदेश लौटाता है। यदि स्वीकार कर लिया जाता है, तो AP पोर्ट को अनब्लॉक कर देता है और क्लाइंट ट्रैफ़िक स्वतंत्र रूप से प्रवाहित होता है।

AAA फ्रेमवर्क व्यवहार में

Authentication पहला स्तंभ है: यह सत्यापित करना कि कोई कौन है। जब कोई डिवाइस WPA3-Enterprise SSID से कनेक्ट होता है, तो सर्वर RADIUS प्रस्तुत क्रेडेंशियल्स या प्रमाणपत्र की जांच कॉन्फ़िगर किए गए पहचान स्रोत के विरुद्ध करता है। Microsoft Entra ID, Okta और Google Workspace प्रामाणिक क्लाउड पहचान प्रदाता हैं जो आधुनिक Cloud RADIUS प्लेटफ़ॉर्म के साथ सीधे एकीकृत होते हैं।

Authorisation दूसरा स्तंभ है: यह निर्धारित करना कि प्रमाणित उपयोगकर्ता क्या कर सकता है। सर्वर RADIUS एक्सेस पॉइंट पर RADIUS एट्रिब्यूट्स लौटाता है, जिसमें सबसे महत्वपूर्ण VLAN ID है। वित्त टीम का एक स्टाफ सदस्य आंतरिक प्रणालियों तक पहुंच के साथ VLAN 10 पर जाता है। एक ठेकेदार केवल-इंटरनेट पहुंच के साथ VLAN 20 पर जाता है। एक अतिथि सभी कॉर्पोरेट संसाधनों से अलग, VLAN 30 पर जाता है। यह डायनेमिक VLAN असाइनमेंट वह तंत्र है जो उचित नेटवर्क वर्गीकरण को सक्षम बनाता है - जो retail वातावरण में PCI DSS अनुपालन के लिए एक अनिवार्य नियंत्रण है।

Accounting तीसरा स्तंभ है: वास्तव में क्या हुआ इसका रिकॉर्ड रखना। सर्वर RADIUS प्रत्येक डिवाइस के सत्र प्रारंभ और समाप्ति समय, सत्र की अवधि, स्थानांतरित डेटा और MAC एड्रेस को लॉग करता है। PCI DSS v4.0 के तहत, यह लॉगिंग एक सख्त आवश्यकता है। किसी सुरक्षा घटना की स्थिति में, ये लॉग किसी भी फोरेंसिक जांच का आधार होते हैं।

EAP विधि का चयन

आपके सर्वर RADIUS परिनियोजन (deployment) की सुरक्षा काफी हद तक चुनी गई EAP विधि पर निर्भर करती है। एंटरप्राइज़ WiFi में तीन सबसे सामान्य विधियाँ PEAP, EAP-TTLS और EAP-TLS हैं।

PEAP-MSCHAPv2 सबसे व्यापक रूप से तैनात की जाने वाली विधि है। यह सर्वर-साइड प्रमाणपत्र का उपयोग करके एक एन्क्रिप्टेड TLS टनल बनाता है, जिसके अंदर उपयोगकर्ता उपयोगकर्ता नाम और पासवर्ड के साथ प्रमाणित होता है। इसे तैनात करना अपेक्षाकृत सीधा है क्योंकि आपको केवल एक प्रमाणपत्र - सर्वर का - प्रबंधित करने की आवश्यकता होती है। हालाँकि, यदि क्लाइंट डिवाइसों को सर्वर प्रमाणपत्र को सत्यापित करने के लिए स्पष्ट रूप से कॉन्फ़िगर नहीं किया गया है, तो वे दुष्ट एक्सेस पॉइंट (rogue access point) हमलों के प्रति संवेदनशील होते हैं। एक हमलावर एक नकली प्रमाणपत्र प्रस्तुत कर सकता है और क्रेडेंशियल्स कैप्चर कर सकता है। यह एक प्रलेखित वास्तविक दुनिया का खतरा है, कोई सैद्धांतिक नहीं। बिना किसी अपवाद के Group Policy Objects या MDM प्रोफाइल के माध्यम से सख्त प्रमाणपत्र सत्यापन लागू करें।

EAP-TLS गोल्ड स्टैंडर्ड है। इसके लिए सर्वर RADIUS और प्रत्येक क्लाइंट डिवाइस दोनों पर डिजिटल प्रमाणपत्र की आवश्यकता होती है, जिससे पासवर्ड की आवश्यकता पूरी तरह से समाप्त हो जाती है। भले ही कोई हमलावर पूर्ण प्रमाणीकरण एक्सचेंज को कैप्चर कर ले, निकालने के लिए कोई क्रेडेंशियल नहीं होते हैं। इसका समझौता प्रशासनिक ओवरहेड है: क्लाइंट प्रमाणपत्रों को तैनात और प्रबंधित करने के लिए एक पब्लिक की इन्फ्रास्ट्रक्चर (PKI) और Microsoft Intune या Jamf जैसे MDM प्लेटफॉर्म की आवश्यकता होती है। कॉर्पोरेट उपकरणों के लिए, EAP-TLS वह प्रमाणीकरण विधि है जिसकी ओर आपको काम करना चाहिए। Purple का Cloud RADIUS स्वचालित प्रमाणपत्र जीवनचक्र प्रबंधन के साथ मूल रूप से EAP-TLS का समर्थन करता है।

कार्यान्वयन मार्गदर्शिका: cloud बनाम on-premises

सर्वर RADIUS आर्किटेक्चर को तैनात करते समय, IT टीमों को क्लाउड-होस्टेड और ऑन-प्रिमाइसेस परिनियोजन के बीच चयन करना होगा। यह इस प्रोजेक्ट में सबसे महत्वपूर्ण आर्किटेक्चरल निर्णय है।

On-premises RADIUS, FreeRADIUS या Microsoft Network Policy Server (NPS) जैसे प्लेटफ़ॉर्म का उपयोग करके, आपको इंफ्रास्ट्रक्चर पर पूर्ण नियंत्रण प्रदान करता है। किसी एक बड़े स्थान - एक स्टेडियम, अस्पताल, या सरकारी सुविधा - के लिए यह सही विकल्प हो सकता है। प्रमाणीकरण अनुरोध स्थानीय LAN पर ट्रांसफर होते हैं, जो सब-मिलीसेकंड का प्रतिक्रिया समय प्रदान करते हैं। यदि आपकी पहचान निर्देशिका (identity directory) एक ऑन-प्रिमाइसेस Active Directory है जिसे डेटा संप्रभुता कारणों से इंटरनेट पर प्रकट नहीं किया जा सकता है, तो ऑन-प्रिमाइसेस सर्वर RADIUS अक्सर आपका एकमात्र व्यवहार्य विकल्प होता है।

हालाँकि, बहु-स्थान (multi-site) संगठनों के लिए, ऑन-प्रिमाइसेस RADIUS महत्वपूर्ण परिचालन ओवरहेड प्रस्तुत करता है। आप प्रत्येक स्थान पर अलग-अलग सर्वर इंस्टेंस का प्रबंधन कर रहे होते हैं, मैन्युअल रूप से प्रमाणपत्र नवीनीकरण संभालते हैं, और रात में दो बजे प्रमाणपत्र समाप्त होने पर आउटेज का समाधान कर रहे होते हैं। 50 स्थानों वाले रिटेल चेन के लिए, इसका मतलब पैच, मॉनिटर और रखरखाव के लिए 50 अलग-अलग RADIUS इंस्टेंस हैं।

Cloud RADIUS इसे पूरी तरह से बदल देता है। इंफ्रास्ट्रक्चर वैश्विक स्तर पर कई उपलब्धता क्षेत्रों (availability zones) में होस्ट किया जाता है। जब कोई उपयोगकर्ता किसी शाखा स्थान पर कनेक्ट होता है, तो अनुरोध निकटतम क्लाउड एज नोड पर रूट होता है। हाई अवेलेबिलिटी डिफ़ॉल्ट रूप से बिल्ट-इन होती है। प्रमाणपत्र रोटेशन स्वचालित होता है, जिससे ऑन-प्रिमाइसेस परिनियोजन में प्रमाणीकरण आउटेज का सबसे आम कारण समाप्त हो जाता है। Microsoft Entra ID, Okta, या Google Workspace जैसे क्लाउड-नेटिव पहचान प्रदाताओं वाले बहु-स्थान संगठनों के लिए, Cloud RADIUS लगभग हमेशा परिचालन रूप से बेहतर विकल्प होता है।

Purple का Cloud RADIUS सीधे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme, और Fortinet के साथ एकीकृत होता है। आप बिना एक भी एक्सेस पॉइंट को बदले अपने पूरे हार्डवेयर एस्टेट में इसे तैनात कर सकते हैं।

चरण-दर-चरण परिनियोजन

चरण 1: अपना परिनियोजन मॉडल चुनें। तीन कारकों का ऑडिट करें: आपका वर्तमान पहचान प्रदाता और क्या यह क्लाउड-नेटिव है; प्रत्येक साइट पर आपका WAN लचीलापन; और चल रहे रखरखाव का प्रबंधन करने की आपकी टीम की क्षमता। ये तीन कारक तय करते हैं कि क्लाउड या ऑन-प्रिमाइसेस सही रास्ता है।

चरण 2: अपने पहचान स्रोत को एकीकृत करें। अपने सर्वर RADIUS को अपने संगठन की पहचान निर्देशिका (identity directory) से कनेक्ट करें। अधिकांश Cloud RADIUS प्लेटफ़ॉर्म LDAP या SAML के माध्यम से Microsoft Entra ID, Okta, और Google Workspace के साथ सीधे एकीकरण का समर्थन करते हैं। ऑन-प्रिमाइसेस Active Directory के लिए, एक सुरक्षित कनेक्टर पर LDAP का उपयोग करें।चरण 3: अपने नेटवर्क हार्डवेयर को कॉन्फ़िगर करें। WPA2-Enterprise या WPA3-Enterprise के लिए कॉन्फ़िगर किया गया एक नया SSID बनाएं और इसे अपने RADIUS सर्वर पर निर्देशित करें। साझा सीक्रेट (shared secret) को कॉन्फ़िगर करें - वह पासवर्ड जो एक्सेस पॉइंट और RADIUS सर्वर के बीच संचार को एन्क्रिप्ट करता है। यह साझा सीक्रेट दोनों पक्षों पर बिल्कुल मेल खाना चाहिए। शुरुआती डिप्लॉयमेंट के दौरान ऑथेंटिकेशन फेल होने के सबसे सामान्य कारणों में से एक इसका बेमेल होना है।

चरण 4: ऑथराइजेशन नीतियां परिभाषित करें। अपनी पहचान डायरेक्टरी से उपयोगकर्ता समूहों को नेटवर्क नीतियों से मैप करें। स्टाफ को VLAN 10 पर पूर्ण एक्सेस मिलती है। मेहमानों को VLAN 20 पर केवल-इंटरनेट एक्सेस मिलती है। IoT उपकरणों को फ़ायरवॉल नियमों के साथ एक प्रतिबंधित VLAN मिलता है जो लैटरल मूवमेंट को रोकता है।

चरण 5: अपने उपयोगकर्ताओं को ऑनबोर्ड करें। कॉर्पोरेट स्टाफ के लिए, अपने MDM प्लेटफॉर्म के माध्यम से WiFi प्रोफाइल डिप्लॉय करें। मेहमानों के लिए, एक Captive Portal का उपयोग करें। Purple का Guest WiFi प्लेटफॉर्म गेस्ट ऑनबोर्डिंग फ्लो को स्वचालित करता है, जो सोशल लॉगिन, पंजीकरण फॉर्म और वाउचर कोड का समर्थन करता है। स्टाफ और कॉर्पोरेट डिवाइस 802.1X के माध्यम से चुपचाप ऑथेंटिकेट होते हैं जबकि मेहमानों को एक ब्रांडेड पोर्टल पर निर्देशित किया जाता है - एक टियर एक्सेस मॉडल जो सुरक्षा और WiFi Analytics दोनों प्रदान करता है।

गेस्ट, स्टाफ और IoT नेटवर्क पर SSID आर्किटेक्चर के बारे में अधिक विस्तार से जानने के लिए, देखें Three SSIDs to rule them all: guest, Passpoint, and IoT WiFi ।

सर्वोत्तम प्रथाएं (Best practices)

प्रत्येक क्लाइंट डिवाइस पर कड़े सर्टिफिकेट वैलिडेशन को लागू करें। Windows उपकरणों के लिए ग्रुप पॉलिसी ऑब्जेक्ट और macOS व मोबाइल उपकरणों के लिए MDM प्रोफाइल का उपयोग करें। प्रोफाइल में स्पष्ट रूप से उल्लेख होना चाहिए कि किस सर्टिफिकेट अथॉरिटी पर भरोसा करना है और अपेक्षित सर्वर का नाम क्या है। इसे मैन्युअल रूप से कॉन्फ़िगर करने के लिए उपयोगकर्ता पर न छोड़ें। इसे लागू न करना PEAP डिप्लॉयमेंट पर क्रेडेंशियल चोरी के लिए प्राथमिक हमलावर वेक्टर (attack vector) है।

कम से कम दो RADIUS सर्वर इंस्टेंस डिप्लॉय करें। यदि प्राथमिक अनुपलब्ध हो जाता है, तो सभी एक्सेस पॉइंट्स को सेकेंडरी पर फेलओवर करने के लिए कॉन्फ़िगर करें। Cloud RADIUS के लिए, यह रिडंडेंसी इन-बिल्ट होती है और प्रदाता द्वारा प्रबंधित की जाती है। ऑन-प्रिमाइसेस के लिए, दो भौगोलिक रूप से अलग स्थानों पर एक एक्टिव-एक्टिव क्लस्टर डिप्लॉय करें।

बिना स्क्रीन वाले IoT उपकरणों के लिए MAC Authentication Bypass (MAB) का उपयोग करें। प्रिंटर, सेंसर और डिजिटल साइनेज 802.1X क्रेडेंशियल प्रस्तुत नहीं कर सकते हैं। MAB, MAC एड्रेस के आधार पर ऑथेंटिकेशन की अनुमति देता है। चूंकि MAC एड्रेस आसानी से स्पूफ किए जा सकते हैं, इसलिए हमेशा MAB-ऑथेंटिकेटेड उपकरणों को एक प्रतिबंधात्मक VLAN और कॉर्पोरेट संसाधनों तक पहुंच को ब्लॉक करने वाले फ़ायरवॉल नियमों के साथ पेयर करें।

साझा सीक्रेट्स (shared secrets) को नियमित रूप से रोटेट करें। आपके एक्सेस पॉइंट्स और आपके RADIUS सर्वर के बीच साझा सीक्रेट लंबा, रैंडम और समय-समय पर रोटेट होने वाला होना चाहिए। एक कमजोर या डिफॉल्ट साझा सीक्रेट पूरी ऑथेंटिकेशन श्रृंखला को कमजोर कर देता है। पेनिट्रेशन टेस्टिंग के साथ सेगमेंटेशन को मान्य करें। केवल कॉन्फ़िगरेशन ही प्रमाण नहीं है। एक पेनिट्रेशन टेस्ट को अधिकृत करें जिसमें विशेष रूप से वायरलेस वातावरण और VLAN सेगमेंटेशन का सत्यापन शामिल हो। एक टेस्टर को सक्रिय रूप से गेस्ट VLAN से कॉर्पोरेट संसाधनों तक पहुँचने का प्रयास करना चाहिए और यह दस्तावेज करना चाहिए कि प्रत्येक प्रयास को ब्लॉक किया गया है। यही वह प्रमाण है जिसकी आपके PCI DSS क्वालिफाइड सिक्योरिटी असेसर को आवश्यकता है।

समस्या निवारण (Troubleshooting) और जोखिम न्यूनीकरण

सर्वर RADIUS डिप्लॉयमेंट में सबसे आम विफलता मोड चार श्रेणियों में आते हैं।

साझा सीक्रेट (Shared secret) का बेमेल होना। यदि एक्सेस पॉइंट पर कॉन्फ़िगर किया गया साझा सीक्रेट सर्वर RADIUS के सीक्रेट से मेल नहीं खाता है, तो प्रत्येक प्रमाणीकरण (authentication) प्रयास चुपचाप विफल हो जाएगा। साझा सीक्रेट को मैन्युअल रूप से टाइप करने के बजाय हमेशा कॉपी-पेस्ट करें। परीक्षण करने से पहले दोनों पक्षों के कॉन्फ़िगरेशन को सत्यापित करें।

सर्टिफिकेट की समय सीमा समाप्त होना (Certificate expiry)। ऑन-प्रिमाइसेस डिप्लॉयमेंट पर, यदि सर्वर सर्टिफिकेट की समय सीमा समाप्त हो जाती है, तो प्रत्येक क्लाइंट डिवाइस कनेक्शन को अस्वीकार कर देगा। इससे बिना किसी सुचारू गिरावट के पूर्ण प्रमाणीकरण आउटेज होता है। क्लाउड RADIUS प्रदाता सर्टिफिकेट रोटेशन को स्वचालित करते हैं, जिससे यह जोखिम समाप्त हो जाता है। ऑन-प्रिमाइसेस डिप्लॉयमेंट के लिए, समाप्त होने से 60 दिन, 30 दिन और सात दिन पहले मॉनिटरिंग अलर्ट कॉन्फ़िगर करें।

क्लाइंट सर्टिफिकेट वैलिडेशन लागू न होना। यदि PEAP क्लाइंट को सर्वर सर्टिफिकेट को सत्यापित करने के लिए कॉन्फ़िगर नहीं किया गया है, तो वे किसी भी RADIUS सर्वर से जुड़ जाएंगे जो प्रतिक्रिया देता है - जिसमें अनधिकृत (rogue) एक्सेस पॉइंट भी शामिल हैं। प्रत्येक प्रबंधित डिवाइस पर GPO या MDM प्रोफाइल के माध्यम से सर्टिफिकेट वैलिडेशन लागू करें।

क्लाउड RADIUS के लिए WAN निर्भरता। क्लाउड RADIUS पूरी तरह से प्रत्येक स्थल पर WAN लिंक पर निर्भर करता है। यदि इंटरनेट कनेक्शन टूट जाता है, तो प्रमाणीकरण विफल हो जाता है। एक स्थानीय उत्तरजीविता (survivability) रणनीति लागू करें: महत्वपूर्ण कर्मचारियों के लिए क्रेडेंशियल्स को कैश करने के लिए एक्सेस पॉइंट्स को कॉन्फ़िगर करें, या इंटरनेट लिंक की उच्च उपलब्धता सुनिश्चित करने के लिए SD-WAN का उपयोग करें। हमेशा एक फ़ॉलबैक नीति कॉन्फ़िगर करें - या तो प्रतिबंधित VLAN के लिए खुली पहुँच, या स्थानीय रूप से कैश्ड क्रेडेंशियल्स।

ROI और व्यावसायिक प्रभाव

एक सर्वर RADIUS आर्किटेक्चर को डिप्लॉय करना वायरलेस नेटवर्क को एक संवेदनशीलता (vulnerability) से मापने योग्य परिचालन लाभों के साथ एक प्रबंधित, सुरक्षित संपत्ति में बदल देता है।

45 संपत्तियों वाले एक यूरोपीय होटल समूह के लिए, 45 ऑन-प्रिमाइसेस FreeRADIUS इंस्टेंस से क्लाउड RADIUS पर माइग्रेट करने से केंद्रीय IT टीम के रखरखाव के समय का लगभग 40% हिस्सा वापस मिल गया (Purple आंतरिक डेटा)। यह इंजीनियरिंग क्षमता है जिसे केवल काम चालू रखने के बजाय रणनीतिक पहलों की ओर निर्देशित किया गया है।

PCI DSS ऑडिट की तैयारी कर रही एक रिटेल चेन के लिए, डायनेमिक VLAN असाइनमेंट के माध्यम से उचित नेटवर्क सेगमेंटेशन गेस्ट WiFi नेटवर्क को कार्डधारक डेटा पर्यावरण (CDE) के दायरे से पूरी तरह से हटा देता है। Purple के Guest WiFi जैसे प्लेटफॉर्म गेस्ट-फेसिंग VLAN पर काम करते हैं, जो भुगतान ट्रैफ़िक से पूरी तरह से अलग होते हैं। एनालिटिक्स प्लेटफ़ॉर्म PCI के दायरे से बाहर है, और व्यवसाय के पास राजस्व उत्पन्न करने वाले टूल्स - गेस्ट एनालिटिक्स, लॉयल्टी प्रोग्राम, कस्टमर एंगेजमेंट - को सुरक्षित और विश्वास के साथ डिप्लॉय करने की स्वतंत्रता बनी रहती है।

10 से अधिक साइटों और पांच से कम नेटवर्क इंजीनियरों वाले संगठनों के लिए, Cloud RADIUS का अनुमानित परिचालन व्यय (operational expenditure) आम तौर पर ऑन-प्रिमाइसेस इंफ्रास्ट्रक्चर को बनाए रखने की तुलना में 18 महीनों के भीतर निवेश पर सकारात्मक रिटर्न प्रदान करता है (Purple आंतरिक डेटा)। बड़े पैमाने पर ऑन-प्रिमाइसेस परिनियोजन के लिए हार्डवेयर खरीद, पावर, कूलिंग और इंजीनियरिंग का समय लगातार प्रबंधित Cloud RADIUS सेवा की सदस्यता लागत से अधिक होता है।

Purple 99.999% अपटाइम, ISO 27001 प्रमाणन, GDPR और CCPA अनुपालन, और Cyber Essentials प्रमाणन के साथ 80,000+ लाइव स्थानों में काम करता है। उन IT टीमों के लिए जिन्हें अपने बोर्ड या ऑडिटर्स को उचित तत्परता (due diligence) प्रदर्शित करने की आवश्यकता होती है, ये प्रमाणन वह तृतीय-पक्ष सत्यापन प्रदान करते हैं जो एक स्व-प्रबंधित ऑन-प्रिमाइसेस परिनियोजन नहीं कर सकता है।

वैकल्पिक प्लेटफार्मों के खिलाफ Purple के Cloud RADIUS की विस्तृत तुलना के लिए, Aruba ClearPass vs. Purple WiFi सुविधा और सह-परिनियोजन तुलना देखें।