मुख्य सामग्री पर जाएं
हिन्दी

WiFi ऑथेंटिकेशन के लिए RADIUS सर्वर कैसे सेटअप करें: चरण-दर-चरण 802.1X गाइड

एंटरप्राइज़ 802.1X WiFi ऑथेंटिकेशन के लिए FreeRADIUS, Windows Server NPS और Cloud RADIUS कॉन्फ़िगर करें। शेयर्ड सीक्रेट, EAP-TLS सर्टिफिकेट, डायनेमिक VLAN असाइनमेंट और Microsoft Entra ID इंटीग्रेशन को कवर करने वाली चरण-दर-चरण गाइड।

Iain Jewitt द्वाराप्रकाशित
📖 8 मिनट का पाठ1,867 शब्द2 हल किए गए उदाहरण3 अभ्यास प्रश्न5 मुख्य परिभाषाएं

Video overview

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
Purple के टेक्निकल ब्रीफिंग में आपका स्वागत है। आज हम किसी भी एंटरप्राइज IT लीडर के लिए एक महत्वपूर्ण बुनियादी ढांचे के निर्णय पर चर्चा कर रहे हैं: WiFi ऑथेंटिकेशन के लिए RADIUS सर्वर कैसे सेटअप करें। यदि आप एक बड़े पैमाने पर डिप्लॉयमेंट को प्रबंधित कर रहे हैं - चाहे वह एक होटल चेन हो, एक रिटेल नेटवर्क हो, या एक फैला हुआ यूनिवर्सिटी कैंपस हो - तो एक साधारण प्री-शेयर्ड की पर भरोसा करना एक महत्वपूर्ण सुरक्षा जोखिम है। हमें 802.1X की आवश्यकता है, और इसका मतलब है कि हमें RADIUS की आवश्यकता है। आइए संदर्भ से शुरू करें। RADIUS, या रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस, आपके नेटवर्क के लिए एक गेटकीपर के रूप में कार्य करता है। जब कोई डिवाइस किसी WiFi एक्सेस पॉइंट से कनेक्ट करने का प्रयास करता है, तो एक्सेस पॉइंट एक ऑथेंटिकेटर के रूप में कार्य करता है और क्रेडेंशियल्स को RADIUS सर्वर पर भेजता है। सर्वर उन क्रेडेंशियल्स को एक डायरेक्टरी - जैसे एक्टिव डायरेक्टरी या LDAP डेटाबेस - के विरुद्ध चेक करता है और फिर एक एक्सेप्ट या रिजेक्ट संदेश वापस भेजता है। यह एंटरप्राइज WiFi सुरक्षा की नींव है, और यह वह तंत्र है जो आपको बड़े पैमाने पर ग्रैन्युलर एक्सेस नीतियां लागू करने की अनुमति देता है। अब आइए तकनीकी गहन चर्चा में चलते हैं। पहला बड़ा आर्किटेक्चरल निर्णय जिसका आप सामना करेंगे, वह एक ऑन-प्रिमाइसेस RADIUS सर्वर और एक क्लाउड-होस्टेड समाधान के बीच चयन करना है। ऐतिहासिक रूप से, Microsoft के नेटवर्क पॉलिसी सर्वर, या NPS, या ओपन-सोर्स FreeRADIUS जैसे ऑन-प्रिमाइसेस समाधान मानक थे। वे बुनियादी ढांचे पर पूर्ण नियंत्रण प्रदान करते हैं और ऑथेंटिकेशन के लिए किसी बाहरी इंटरनेट कनेक्शन पर भरोसा नहीं करते हैं। हालांकि, उनके लिए समर्पित हार्डवेयर, निरंतर रखरखाव और रिडंडेंसी के मैन्युअल कॉन्फ़िगरेशन की आवश्यकता होती है। यदि आपके पास एक सिंगल डेटा सेंटर और एक अच्छी स्टाफ वाली IT टीम है, तो यह पूरी तरह से वैध दृष्टिकोण है। दूसरी ओर, क्लाउड RADIUS समाधान तेजी से लोकप्रिय हो रहे हैं, विशेष रूप से रिटेल चेन या हॉस्पिटैलिटी वेन्यू जैसे डिस्ट्रीब्यूटेड वातावरण के लिए। क्लाउड RADIUS हार्डवेयर प्रबंधन को पूरी तरह से समाप्त कर देता है, बिल्ट-इन हाई अवेलेबिलिटी प्रदान करता है, और Azure Active Directory या Okta जैसे क्लाउड आइडेंटिटी प्रोवाइडर्स के साथ निर्बाध रूप से एकीकृत होता है। इसमें समझौता यह है कि ऑथेंटिकेशन के लिए एक विश्वसनीय इंटरनेट कनेक्शन की आवश्यकता होती है, और एक निरंतर सब्सक्रिप्शन लागत होती है। पचास या सौ स्थानों को चलाने वाले एक वेन्यू ऑपरेटर के लिए, प्रत्येक साइट पर ऑन-प्रिमाइसेस सर्वर को डिप्लॉय और रखरखाव न करने से होने वाली परिचालन बचत लगभग निश्चित रूप से उस लागत से अधिक होगी। RADIUS को डिप्लॉय करते समय, एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल - EAP - महत्वपूर्ण हिस्सा है। यह परिभाषित करता है कि क्लाइंट और सर्वर ऑथेंटिकेशन को कैसे नेगोशिएट और निष्पादित करते हैं। EAP-TLS सुरक्षा के लिए गोल्ड स्टैंडर्ड है क्योंकि यह क्लाइंट और सर्वर दोनों पर डिजिटल सर्टिफिकेट का उपयोग करता है, जिससे पासवर्ड की आवश्यकता पूरी तरह से समाप्त हो जाती है। इसका मतलब है कि भले ही कोई हमलावर ऑथेंटिकेशन एक्सचेंज को कैप्चर कर ले, फिर भी चुराने के लिए कोई क्रेडेंशियल नहीं होता है। हालांकि, क्लाइंट सर्टिफिकेट को डिप्लॉय करना प्रशासनिक रूप से भारी हो सकता है। आपको हर डिवाइस पर सर्टिफिकेट पुश करने के लिए एक पब्लिक की इन्फ्रास्ट्रक्चर और एक MDM समाधान की आवश्यकता होगी।PEAP-MSCHAPv2 सबसे आम विकल्प है। यह एक एन्क्रिप्टेड TLS टनल स्थापित करने के लिए सर्वर-साइड सर्टिफिकेट का उपयोग करता है, जिसके अंदर उपयोगकर्ता यूजरनेम और पासवर्ड के साथ प्रमाणित होता है। इसे EAP-TLS की तुलना में तैनात करना काफी आसान है क्योंकि आपको केवल एक सर्टिफिकेट - सर्वर का सर्टिफिकेट - प्रबंधित करने की आवश्यकता होती है। हालांकि, और यह महत्वपूर्ण है - यदि क्लाइंट्स को सर्वर के सर्टिफिकेट को मान्य करने के लिए कड़ाई से कॉन्फ़िगर नहीं किया गया है, तो वे दुष्ट एक्सेस पॉइंट्स के प्रति संवेदनशील होते हैं। एक हमलावर एक नकली एक्सेस पॉइंट खड़ा कर सकता है, एक धोखाधड़ी वाला सर्टिफिकेट पेश कर सकता है, और क्रेडेंशियल्स कैप्चर कर सकता है। यह कोई सैद्धांतिक हमला नहीं है। यह एक अच्छी तरह से प्रलेखित वास्तविक दुनिया का खतरा है। आइए कार्यान्वयन की सिफारिशों और नुकसानों के बारे में बात करते हैं। पहली सिफारिश प्रत्येक क्लाइंट डिवाइस पर सख्त सर्टिफिकेट सत्यापन लागू करना है। Windows डिवाइसेस के लिए Group Policy Objects और macOS और मोबाइल डिवाइसेस के लिए MDM प्रोफाइल - चाहे वह Intune हो, Jamf हो, या कोई अन्य समाधान हो - का उपयोग करें। प्रोफाइल में बिल्कुल स्पष्ट होना चाहिए कि किस सर्टिफिकेट अथॉरिटी पर भरोसा करना है और अपेक्षित सर्वर नाम क्या है। इसे मैन्युअल रूप से कॉन्फ़िगर करने के लिए अंतिम उपयोगकर्ता पर न छोड़ें। दूसरी सिफारिश डायनेमिक VLAN असाइनमेंट को लागू करना है। सभी प्रमाणित उपयोगकर्ताओं को एक ही फ्लैट नेटवर्क पर रखने के बजाय, RADIUS सर्वर को निर्देश देने के लिए कॉन्फ़िगर करें कि वह उपयोगकर्ता को निर्देशिका में उनकी समूह सदस्यता के आधार पर एक विशिष्ट VLAN पर रखे। कॉर्पोरेट डिवाइसेस को BYOD या अतिथि डिवाइसेस से अलग करने के लिए यह आवश्यक है। फाइनेंस टीम के एक स्टाफ सदस्य को दिन के लिए आने वाले एक ठेकेदार की तुलना में एक अलग नेटवर्क सेगमेंट पर होना चाहिए। तीसरी सिफारिश अतिथि पहुंच से संबंधित है। उन स्थानों के लिए जिन्हें आगंतुकों को WiFi प्रदान करने की आवश्यकता होती है - होटल, रिटेल स्टोर, कॉन्फ्रेंस सेंटर - आपके RADIUS इन्फ्रास्ट्रक्चर को Purple के Guest WiFi प्लेटफॉर्म जैसे Captive Portal समाधान के साथ एकीकृत करना एक शक्तिशाली संयोजन है। स्टाफ और कॉर्पोरेट डिवाइसेस 802.1X के माध्यम से चुपचाप प्रमाणित होते हैं, जबकि मेहमानों को प्रमाणीकरण के लिए एक ब्रांडेड पोर्टल पर निर्देशित किया जाता है। Purple का प्लेटफॉर्म फिर फर्स्ट-पार्टी डेटा कैप्चर करता है और आगंतुकों के व्यवहार पर एनालिटिक्स प्रदान करता है, जिससे आपका नेटवर्क एक लागत केंद्र से व्यावसायिक इंटेलिजेंस संपत्ति में बदल जाता है। अब रैपिड-फायर प्रश्न और उत्तर सत्र का समय है। पहला प्रश्न: क्या मुझे RADIUS के लिए एक समर्पित सर्वर की आवश्यकता है? ऑन-प्रिमाइसेस डिप्लॉयमेंट के लिए, हाँ, डोमेन कंट्रोलर के साथ संसाधनों को साझा करने के बजाय इसे एक समर्पित वर्चुअल मशीन पर चलाना अत्यधिक अनुशंसित है। प्रमाणीकरण (Authentication) एक लेटेंसी-सेंसिटिव प्रक्रिया है, और संसाधनों के लिए होने वाला संघर्ष रुक-रुक कर होने वाली विफलताओं का कारण बन सकता है जिनका निदान करना बहुत कठिन होता है। दूसरा प्रश्न: क्या RADIUS प्रिंटर या IoT सेंसर जैसे बिना स्क्रीन वाले (headless) उपकरणों के लिए प्रमाणीकरण को संभाल सकता है? हाँ, MAC Authentication Bypass, या MAB के माध्यम से। यह उन उपकरणों को उनके MAC एड्रेस के आधार पर प्रमाणित होने की अनुमति देता है जिनमें 802.1X की क्षमताएं नहीं हैं। हालांकि, क्योंकि MAC एड्रेस को आसानी से स्पूफ किया जा सकता है, इसलिए MAB-प्रमाणित उपकरणों को हमेशा एक अत्यधिक प्रतिबंधित VLAN पर रखा जाना चाहिए। तीसरा प्रश्न: मैं RADIUS सर्वर रिडंडेंसी को कैसे संभालूं? हमेशा कम से कम दो RADIUS सर्वर डिप्लॉय करें - एक प्राइमरी और एक सेकेंडरी। सभी एक्सेस पॉइंट्स को इस तरह कॉन्फ़िगर करें कि यदि प्राइमरी सर्वर पहुंच से बाहर हो जाए, तो वे सेकेंडरी पर ट्रांसफर (fail over) हो जाएं। क्लाउड RADIUS के लिए, यह रिडंडेंसी आमतौर पर इन-बिल्ट होती है और प्रोवाइडर द्वारा प्रबंधित की जाती है। आज की ब्रीफिंग के मुख्य निष्कर्षों को संक्षेप में प्रस्तुत करने के लिए। एंटरप्राइज WiFi के लिए प्री-शेयर्ड कीज़ (Pre-shared keys) स्वीकार्य नहीं हैं। 802.1X लागू करें। अपने IT संसाधनों, आपके द्वारा प्रबंधित किए जा रहे स्थानों की संख्या और अपने मौजूदा पहचान बुनियादी ढांचे (identity infrastructure) के आधार पर अपना डिप्लॉयमेंट मॉडल चुनें - ऑन-प्रिमाइसेस या क्लाउड। यदि आप डिस्ट्रीब्यूटेड और क्लाउड-फर्स्ट हैं, तो क्लाउड RADIUS निश्चित रूप से सही उत्तर है। क्लाइंट्स पर सख्त सर्टिफिकेट वैलिडेशन लागू करें। यह गैर-परक्राम्य है। अपने नेटवर्क को विभाजित करने के लिए डायनेमिक VLAN असाइनमेंट का उपयोग करें। और अंत में, विचार करें कि केवल एक्सेस को नियंत्रित करने से आगे बढ़कर व्यावसायिक मूल्य प्रदान करने के लिए आपका प्रमाणीकरण बुनियादी ढांचा व्यापक प्लेटफॉर्मों के साथ कैसे एकीकृत हो सकता है। आगे पढ़ने के लिए, हम 802.1X WiFi प्रमाणीकरण को कॉन्फ़िगर करने और मजबूत DNS नीतियों के साथ अपने नेटवर्क को सुरक्षित करने के बारे में Purple के गाइड को देखने की सलाह देते हैं। सुनने के लिए धन्यवाद।

हमारी मुख्य श्रृंखला का हिस्सा: एंटरप्राइज़ WiFi सिक्योरिटी गाइड →

Interactive Network Tool

RADIUS server setup & 802.1X architecture configurator

Model your enterprise RADIUS deployment: configure Identity Provider sync, EAP authentication methods, dynamic VLAN attributes, and firewall ports.

Architectural Blueprint

Cloud-Native 802.1X Architecture

Security & ComplianceMaximum Enterprise Security (A+)
Est. Admin Overhead9 hrs/year
Network Protocol & Ports: RadSec (TCP 2083 with TLS) & UDP 1812/1813
RadSec TLS Support: Yes (Encrypted RADIUS over TLS)
BlastRADIUS (CVE-2024-3596) Hardening: Protected (Message-Authenticator)
Dynamic VLAN Attributes: Tunnel-Type=13, Tunnel-Medium-Type=6, Tunnel-Private-Group-ID

Architecture Insight: Eliminate shared PSKs by pushing device certificates via Microsoft Intune or Jamf. EAP-TLS with Cloud RADIUS removes local server maintenance while enforcing strict role-based VLAN segmentation.

Useful? Link to this tool

कार्यकारी सारांश (Executive summary)

WiFi ऑथेंटिकेशन के लिए RADIUS सर्वर कैसे सेटअप करें: चरण-दर-चरण 802.1X गाइड

एंटरप्राइज वायरलेस नेटवर्क को केंद्रीकृत पहचान प्रबंधन (identity management), भूमिका-आधारित विभाजन और मजबूत क्रिप्टोग्राफिक सुरक्षा की आवश्यकता होती है। साझा प्री-शेयर्ड कीज (PSKs) पर निर्भर रहने से संगठनों को क्रेडेंशियल लीक, अनधिकृत डिवाइस एक्सेस और किसी कर्मचारी के जाने पर प्रशासनिक सिरदर्द का सामना करना पड़ता है।

एक RADIUS (रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस) सर्वर स्थापित करना IEEE 802.1X एंटरप्राइज प्रमाणीकरण को सक्षम बनाता है। प्रत्येक कनेक्ट होने वाला डिवाइस और उपयोगकर्ता एक केंद्रीय निर्देशिका जैसे कि Microsoft Entra ID, Google Workspace, Okta, या ऑन-प्रिमाइसेस Active Directory के खिलाफ व्यक्तिगत रूप से प्रमाणित होता है।

यह तकनीकी मार्गदर्शिका एंटरप्राइज WiFi के लिए RADIUS सर्वर को कॉन्फ़िगर करने के लिए चरण-दर-चरण परिनियोजन निर्देश प्रदान करती है। हम Linux FreeRADIUS कॉन्फ़िगरेशन, Windows Server Network Policy Server (NPS) सेटअप, आधुनिक क्लाउड RADIUS आर्किटेक्चर, डायनेमिक VLAN असाइनमेंट और BlastRADIUS सुरक्षा सुदृढ़ीकरण को कवर करते हैं।

802.1X और RADIUS आर्किटेक्चर का अवलोकन

IEEE 802.1X ढांचा नेटवर्क एक्सेस को तीन अलग-अलग संस्थाओं में विभाजित करता है:

  1. सप्लीकेंट (The Supplicant): क्लाइंट एंडपॉइंट (लैपटॉप, स्मार्टफोन, या टैबलेट) जो 802.1X क्लाइंट सॉफ़्टवेयर चला रहा है और पहचान क्रेडेंशियल प्रस्तुत करता है।
  2. प्रमाणीकर्ता (The Authenticator): वायरलेस एक्सेस पॉइंट (AP) या वायरलेस LAN कंट्रोलर (WLC) जो नेटवर्क पर भौतिक पहुंच को नियंत्रित करता है और प्रमाणीकरण संदेशों को रिले करता है।
  3. प्रमाणीकरण सर्वर (The Authentication Server): RADIUS सर्वर जो पहचान निर्देशिका के विरुद्ध क्रेडेंशियल को मान्य करता है और नेटवर्क प्राधिकरण नीतियों को वापस करता है।
+---------------+        EAP over LAN (EAPoL)        +-------------------+
|  Supplicant   | <================================> |   Authenticator   |
| (Client Device)|                                    | (AP / Controller) |
+---------------+                                    +-------------------+
                                                               ||
                                                               || RADIUS Protocol
                                                               || (UDP 1812 / TCP 2083)
                                                               \/
                                                     +-------------------+
                                                     |   RADIUS Server   |
                                                     |  (FreeRADIUS/NPS) |
                                                     +-------------------+
                                                               ||
                                                               || Identity Lookup
                                                               \/
                                                     +-------------------+
                                                     | Identity Provider |
                                                     | (Entra ID / LDAP) |
                                                     +-------------------+

RADIUS संचार प्रवाह

  1. एसोशिएशन: क्लाइंट एंटरप्राइज SSID (WPA2-Enterprise या WPA3-Enterprise) से जुड़ता है।
  2. EAP दीक्षा: AP सभी डेटा ट्रैफ़िक को ब्लॉक कर देता है और क्लाइंट को EAP-Request/Identity फ़्रेम भेजता है।
  3. पहचान प्रतिक्रिया: क्लाइंट EAP-Response/Identity फ़्रेम के साथ प्रतिक्रिया करता है।
  4. RADIUS इनकैप्सुलेशन: AP, EAP पेलोड को RADIUS Access-Request पैकेट में इनकैप्सुलेट करता है और इसे RADIUS सर्वर पर भेज देता है।
  5. EAP नेगोशिएशन: क्लाइंट और RADIUS सर्वर क्रिप्टोग्राफिक प्रमाणीकरण विधि (जैसे EAP-TLS या PEAP) पर बातचीत करते हैं।
  6. प्राधिकरण और Access-Accept: सफल सत्यापन पर, RADIUS सर्वर एक RADIUS Access-Accept पैकेट जारी करता है जिसमें पेयरवाइज़ मास्टर की (PMK) और वैकल्पिक डायनेमिक VLAN असाइनमेंट विशेषताएँ शामिल होती हैं।
  7. पोर्ट खोलना: AP वर्चुअल पोर्ट को अनब्लॉक करता है और हवा में वायरलेस ट्रैफ़िक को एन्क्रिप्ट करने के लिए 4-वे हैंडशेक शुरू करता है।

अधिक गहन आर्किटेक्चरल अवधारणाओं के लिए, हमारे Enterprise WiFi Security Guide और Captive Portal Guide को देखें।

चरण-दर-चरण सेटअप: Linux पर FreeRADIUS

FreeRADIUS दुनिया का ओपन-सोर्स RADIUS सुइट मानक है। नीचे Ubuntu 24.04 LTS / Debian 12 के लिए कॉन्फ़िगरेशन अनुक्रम दिया गया है।

चरण 1: FreeRADIUS पैकेज स्थापित करें

sudo apt update
sudo apt install -y freeradius freeradius-utils freeradius-ldap ssl-cert

चरण 2: नेटवर्क एक्सेस सर्वर (NAS) क्लाइंट्स को परिभाषित करें

अपने वायरलेस एक्सेस पॉइंट्स को अधिकृत करने और एक साझा सीक्रेट कॉन्फ़िगर करने के लिए /etc/freeradius/3.0/clients.conf को संपादित करें:

client enterprise_wlan {
  ipaddr: 192.168.10.0/24
  secret: Str0ngSh@redSecr3t2026!
  shortname: branch-aps
  nas_type: other
  require_message_authenticator: yes
}

नोट: BlastRADIUS जालसाजी हमलों से बचाव के लिए हमेशा RFC 2869 Message-Authenticator विशेषताओं को लागू करें।

चरण 3: EAP प्रमाणीकरण मॉड्यूल कॉन्फ़िगर करें

/etc/freeradius/3.0/mods-available/eap खोलें और डिफ़ॉल्ट EAP विधि कॉन्फ़िगर करें:

eap {
  default_eap_type: tls
  timer_expire: 60
  ignore_unknown_eap_types: no
  cisco_accounting_username_bug: no
  max_sessions: 4096

  tls-config tls-common {
    certdir: ${confdir}/certs
    cadir: ${confdir}/certs
    private_key_file: ${certdir}/radius-server.key
    certificate_file: ${certdir}/radius-server.crt
    ca_file: ${cadir}/ca.crt
    cipher_list: HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH
    tls_min_version: 1.2
  }
}

चरण 4: डीबग मोड में परीक्षण करें

सिस्टम सर्विस के रूप में चलाने से पहले, डेमॉन को रोकें और फ़ोरग्राउंड डीबग मोड में शुरू करें:

sudo systemctl stop freeradius
sudo freeradius -X

radtest का उपयोग करके स्थानीय प्रमाणीकरण का परीक्षण करें:

radtest testuser Password123 127.0.0.1 0 testing123

एक सफल प्रतिक्रिया Received Access-Accept Id 1 लौटाती है।

चरण-दर-चरण सेटअप: Windows Server NPS

Microsoft Network Policy Server (NPS) Active Directory Domain Services (AD DS) से जुड़े Windows Server परिवेशों के लिए अंतर्निहित RADIUS सर्वर भूमिका है।

+-------------------------------------------------------------------------+
|                  Windows Server Network Policy Server                   |
|                                                                         |
|  [RADIUS Clients (AP / WLC)] ---> [Connection Request Policies]         |
|                                                  |                      |
|                                                  v                      |
|  [Active Directory DS / PKI] <--- [Network Policies (VLAN / EAP-TLS)]   |
+-------------------------------------------------------------------------+

चरण 1: Network Policy and Access Services इंस्टॉल करें

प्रशासक के रूप में PowerShell खोलें:

Install-WindowsFeature NPAS -IncludeManagementTools
Register-ActiveDirectoryServer -Server nps01.corp.local

चरण 2: RADIUS क्लाइंट (एक्सेस पॉइंट) पंजीकृत करें

  1. Network Policy Server (nps.msc) खोलें।
  2. RADIUS Clients and Servers को विस्तृत करें > RADIUS Clients पर राइट-क्लिक करें > New चुनें।
  3. फ्रेंडली नाम दर्ज करें: Cisco-Catalyst-AP-Cluster।
  4. IP पता या सबनेट CIDR दर्ज करें (जैसे 10.50.0.0/24)।
  5. एक मजबूत साझा रहस्य (Shared Secret) जेनरेट करें और दर्ज करें (कम से कम 24 अल्फ़ान्यूमेरिक वर्ण)।

चरण 3: WiFi प्रमाणीकरण के लिए नेटवर्क नीति बनाएं

  1. Policies > Network Policies के अंतर्गत, राइट-क्लिक करें और New चुनें।
  2. नीति का नाम: Staff-WiFi-802.1X-Policy। नेटवर्क एक्सेस सर्वर का प्रकार: Unspecified।
  3. शर्तें (Conditions):
    • Windows Groups जोड़ें: CORP\WiFi-Authorised-Users
    • NAS-Port-Type जोड़ें: Wireless - IEEE 802.11 या Wireless - Other
  4. एक्सेस अनुमति (Access Permission): Access granted चुनें।
  5. प्रमाणीकरण विधियां (Authentication Methods):
    • कम सुरक्षित विधियों का चयन हटा दें।
    • EAP प्रकारों के अंतर्गत, Microsoft: Smart Card or other certificate (EAP-TLS) जोड़ें।
    • इस विधि को संपादित करें और अपने Active Directory Certificate Services (AD CS) एंटरप्राइज CA से जारी किया गया RADIUS सर्वर प्रमाणपत्र चुनें।
  6. प्रतिबंध (Constraints): निष्क्रियता समय-सीमा (Idle Timeout) को 30 मिनट और सत्र समय-सीमा (Session Timeout) को 8 घंटे पर सेट करें।

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।

Cloud RADIUS: आधुनिक जीरो-ट्रस्ट आर्किटेक्चर

पारंपरिक ऑन-प्रिमाइसेस RADIUS सर्वर बड़ी परिचालन चुनौतियां पेश करते हैं:

  • उच्च सर्वर लाइसेंसिंग और पैचिंग ओवरहेड।
  • Microsoft Entra ID या Google Workspace जैसी क्लाउड पहचान निर्देशिकाओं के लिए कोई मूल प्रमाणीकरण API नहीं।
  • शाखा कार्यालयों में WAN आउटेज के प्रति संवेदनशीलता।

आधुनिक एंटरप्राइज नेटवर्क शून्य ऑन-प्रिमाइसेस सर्वर फ़ुटप्रिंट के साथ प्रमाणीकरण को केंद्रीकृत करने के लिए Cloud RADIUS तैनात करते हैं।

विशेषता लीगेसी Windows NPS / FreeRADIUS Cloud RADIUS आर्किटेक्चर
निर्देशिका एकीकरण (Directory Integration) ऑन-प्रिमाइसेस LDAP / Kerberos नेटिव Microsoft Entra ID, Google Workspace, Okta
परिवहन सुरक्षा (Transport Security) अनएन्क्रिप्टेड UDP 1812/1813 RadSec (RFC 6614) TLS over TCP 2083
प्रमाणपत्र स्वचालन (Certificate Automation) मैन्युअल SCEP / NDES सेटअप स्वचालित Intune और Jamf PKI Connectors
उच्च उपलब्धता (High Availability) मैन्युअल सक्रिय-निष्क्रिय (active-passive) फेलओवर बहु-क्षेत्रीय वैश्विक Anycast रिडंडेंसी
रखरखाव ऑपरेटिंग सिस्टम पैचिंग और OS लाइसेंसिंग निरंतर अपडेट के साथ प्रबंधित क्लाउड सेवा

अपने आर्किटेक्चर को मॉडल करने के लिए, हमारी Multi-Tenant WiFi Guide और Staff WiFi Solutions देखें।

डायनेमिक VLAN असाइनमेंट कॉन्फ़िगरेशन

डायनेमिक VLAN असाइनमेंट (RFC 2868 और RFC 3580 के तहत परिभाषित) एक सिंगल एंटरप्राइज़ SSID को उनके डायरेक्टरी ग्रुप सदस्यता के आधार पर उपयोगकर्ताओं को अलग-अलग नेटवर्क सबनेट में गतिशील रूप से विभाजित करने की अनुमति देता है।

                          [Enterprise Staff SSID]
                                     |
              +----------------------+----------------------+
              |                      |                      |
              v                      v                      v
        [VLAN 10: Exec]       [VLAN 20: Engineering]  [VLAN 30: Contractors]
        (10.10.10.0/24)        (10.10.20.0/24)        (10.10.30.0/24)

आवश्यक मानक RADIUS एट्रिब्यूट्स

जब RADIUS सर्वर क्रेडेंशियल्स को सत्यापित करता है, तो यह Access-Accept प्रतिक्रिया में इन एट्रिब्यूट्स को जोड़ता है:

Tunnel-Type = 13 (VLAN)
Tunnel-Medium-Type = 6 (802 - includes all 802 media plus Ethernet canonical format)
Tunnel-Private-Group-ID = 20 (or VLAN Name "CORP_ENG")

FreeRADIUS डायनेमिक VLAN मैपिंग उदाहरण

/etc/freeradius/3.0/users में:

DEFAULT Group == "Engineering-Team"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "20"

DEFAULT Group == "Contractors"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "30"

नेटवर्क फ़ायरवॉल नियम और पोर्ट कॉन्फ़िगरेशन

सुनिश्चित करें कि नेटवर्क फ़ायरवॉल एक्सेस पॉइंट्स और RADIUS सर्वर के बीच संचार की अनुमति देते हैं:

प्रोटोकॉल पोर्ट नंबर विवरण स्रोत गंतव्य
UDP 1812 RADIUS प्रमाणीकरण (RFC 2865) एक्सेस पॉइंट्स / WLC RADIUS सर्वर
UDP 1813 RADIUS एकाउंटिंग (RFC 2866) एक्सेस पॉइंट्स / WLC RADIUS सर्वर
TCP 2083 RadSec - RADIUS over TLS (RFC 6614) एक्सेस पॉइंट्स / WLC क्लाउड RADIUS
UDP 1645 / 1646 लीगेसी RADIUS Auth / Acct (अस्वीकृत) लीगेसी NAS डिवाइसेस RADIUS सर्वर

सुरक्षा सुदृढ़ीकरण और BlastRADIUS न्यूनीकरण

BlastRADIUS (CVE-2024-3596) का न्यूनीकरण

जुलाई 2024 में, शोधकर्ताओं ने BlastRADIUS का खुलासा किया, जो RADIUS प्रोटोकॉल में एक MD5 कोलिजन भेद्यता (collision vulnerability) है जो एक्सेस पॉइंट और RADIUS सर्वर के बीच स्थित हमलावर को नकली Access-Accept प्रतिक्रियाएं बनाने की अनुमति देती है।

अपने परिनियोजन को सुरक्षित करने के लिए:

  1. Message-Authenticator लागू करें: सभी Access-Request और Access-Accept पैकेट पर Message-Authenticator एट्रिब्यूट (RFC 2869) की आवश्यकता को लागू करें।
  2. EAP-TLS पर स्विच करें: सर्टिफिकेट-आधारित EAP-TLS क्रिप्टोग्राफ़िक रूप से प्रॉक्सी जालसाजी से सुरक्षित है क्योंकि TLS क्रिप्टोग्राफ़िक कीज़ क्लाइंट और RADIUS सर्वर के बीच एंड-टू-एंड उत्पन्न होती हैं।
  3. RadSec (RFC 6614) तैनात करें: मैन-इन-द-मिडल पैकेट छेड़छाड़ को रोकने के लिए RADIUS ट्रैफ़िक को TLS टनल के भीतर एनकैप्सुलेट करें।

802.1X प्रमाणीकरण विफलताओं का निवारण (Troubleshooting)

त्रुटि के लक्षण मूल कारण तकनीकी समाधान
क्लाइंट को तुरंत कनेक्शन विफलता प्राप्त होती है AP और RADIUS सर्वर के बीच शेयर्ड सीक्रेट (shared secret) बेमेल है AP कंट्रोलर और RADIUS कॉन्फ़िगरेशन में शेयर्ड सीक्रेट स्ट्रिंग को सत्यापित करें।
10-15 सेकंड के बाद प्रमाणीकरण टाइमआउट फ़ायरवॉल UDP पोर्ट 1812 को ब्लॉक कर रहा है या रूटिंग अनुपलब्ध है फ़ायरवॉल ACLs को सत्यापित करें और पुष्टि करें कि AP मैनेजमेंट VLAN पर RADIUS सर्वर IP को पिंग कर सकता है।
RADIUS लॉग: "Unknown CA" या "Certificate Untrusted" क्लाइंट या RADIUS सर्वर में रूट CA सर्टिफिकेट अनुपलब्ध है क्लाइंट ट्रस्ट स्टोर और RADIUS सर्वर सर्टिफिकेट डायरेक्टरी में इंटरमीडिएट और रूट CA सर्टिफिकेट इंस्टॉल करें।
क्लाइंट प्रमाणित होता है लेकिन APIPA IP (169.254.x.x) प्राप्त करता है AP स्विच ट्रंक पोर्ट पर डायनेमिक VLAN ID मौजूद नहीं है सत्यापित करें कि स्विच ट्रंक कॉन्फ़िगरेशन में Tunnel-Private-Group-ID में निर्दिष्ट लक्षित VLAN ID शामिल है।
RADIUS लॉग: "Message-Authenticator is missing" NAS क्लाइंट RFC 2869 का समर्थन नहीं करता है या फ़र्मवेयर अपडेट की कमी है AP कंट्रोलर फ़र्मवेयर अपडेट करें या NAS प्रोफाइल पर Message-Authenticator प्रवर्तन को सक्षम करें।

अक्सर पूछे जाने वाले प्रश्न

WiFi प्रमाणीकरण के लिए RADIUS सर्वर किस पोर्ट का उपयोग करता है?

मानक RADIUS प्रमाणीकरण UDP पोर्ट 1812 पर संचालित होता है, और एकाउंटिंग UDP पोर्ट 1813 पर होती है। लेगेसी इम्प्लीमेंटेशन UDP पोर्ट 1645 और 1646 का उपयोग करते थे। आधुनिक क्लाउड RADIUS परिनियोजन TLS एन्क्रिप्शन के साथ TCP पोर्ट 2083 पर RadSec का उपयोग करते हैं।

क्या मुझे FreeRADIUS चुनना चाहिए या Windows Server NPS?

यदि आपका संगठन पूरी तरह से ऑन-प्रिमाइसेस Active Directory डोमेन सेवाओं पर निर्भर करता है, तो Windows Server NPS चुनें। उच्च प्रदर्शन, ओपन-सोर्स लचीलेपन और Linux परिवेशों के लिए FreeRADIUS चुनें। यदि आपका संगठन Microsoft Entra ID या Google Workspace जैसे क्लाउड पहचान प्रदाताओं का उपयोग करता है, तो क्लाउड RADIUS चुनें।

मैं Microsoft Entra ID (Azure AD) को RADIUS सर्वर से कैसे कनेक्ट करूँ?

Microsoft Entra ID नेटिव रूप से लेगेसी ऑन-प्रिमाइसेस LDAP या NTLM प्रमाणीकरण प्रोटोकॉल का समर्थन नहीं करता है। Entra ID को एंटरप्राइज़ WiFi से कनेक्ट करने के लिए, EAP-TLS का उपयोग करके एंडपॉइंट्स को प्रमाणित करने के लिए Microsoft Intune SCEP सर्टिफिकेट डिप्लॉयमेंट के साथ जुड़े Cloud RADIUS को तैनात करें।

PEAP-MSCHAPv2 की तुलना में EAP-TLS को क्यों प्राथमिकता दी जाती है?

EAP-TLS म्यूचुअल X.509 सर्टिफिकेट प्रमाणीकरण का उपयोग करता है जहां क्लाइंट और सर्वर दोनों क्रिप्टोग्राफ़िक पहचान को सत्यापित करते हैं। PEAP-MSCHAPv2 एक TLS टनल के भीतर उपयोगकर्ता पासवर्ड पर निर्भर करता है, जिससे नेटवर्क पासवर्ड स्प्रेइंग, फ़िशिंग और दुष्ट AP क्रेडेंशियल चोरी के प्रति संवेदनशील हो जाते हैं।

विशेष रूप से तैयार किए गए एंटरप्राइज़ WiFi सुरक्षा आर्किटेक्चर के लिए, हमारी WiFi Analytics Guide देखें या एक एंटरप्राइज़ नेटवर्क विशेषज्ञ से बात करें।

मुख्य परिभाषाएं

RADIUS (RFC 2865)

Remote Authentication Dial-In User Service. एक नेटवर्किंग क्लाइंट - सर्वर प्रोटोकॉल जो केंद्रीकृत ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग (AAA) प्रबंधन प्रदान करता है।

वायरलेस एक्सेस पॉइंट्स के माध्यम से सबमिट किए गए डिवाइस और यूज़र क्रेडेंशियल्स को सत्यापित करने वाले ऑथेंटिकेशन सर्वर के रूप में कार्य करता है।

IEEE 802.1X

पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक IEEE मानक जो LAN या WLAN से कनेक्ट होने का प्रयास करने वाले डिवाइसेस के लिए सुरक्षित ऑथेंटिकेशन प्रदान करता है।

सप्लीकेंट (एंडपॉइंट डिवाइस) और ऑथेंटिकेटर (एक्सेस पॉइंट) के बीच EAP फ्रेम्स के एनकैप्सुलेशन को परिभाषित करता है।

EAP-TLS (RFC 5216)

Extensible Authentication Protocol - Transport Layer Security. म्यूचुअल सर्टिफिकेट-आधारित ऑथेंटिकेशन प्रोटोकॉल जहां RADIUS सर्वर और क्लाइंट दोनों डिजिटल सर्टिफिकेट को सत्यापित करते हैं।

एंटरप्राइज़ ज़ीरो-ट्रस्ट WiFi के लिए उद्योग मानक ऑथेंटिकेशन विधि, जो पासवर्ड की आवश्यकता को समाप्त करती है।

RadSec (RFC 6614)

RADIUS over TLS. एक मानक जो पारंपरिक UDP RADIUS पैकेट्स को सुरक्षित TCP पोर्ट 2083 TLS टनल के अंदर एनकैप्सुलेट करता है।

स्थानीय एक्सेस पॉइंट्स और Cloud RADIUS सर्वर्स के बीच अविश्वसनीय सार्वजनिक WAN लिंक्स से गुज़रने वाले RADIUS ऑथेंटिकेशन ट्रैफ़िक को सुरक्षित करता है।

Dynamic VLAN Assignment (RFC 3580)

एक RADIUS मैकेनिज्म जो यूज़र रोल या डिवाइस की स्थिति के आधार पर Access-Accept रिस्पॉन्स में VLAN IDs वापस करता है।

एक ही एंटरप्राइज़ SSID को यूज़र्स को गतिशील रूप से पृथक नेटवर्क सेगमेंट्स पर रखने में सक्षम बनाता है।

हल किए गए उदाहरण

एक नेटवर्क इंजीनियर को सबनेट 10.20.0.0/24 पर 12 Cisco Catalyst एक्सेस पॉइंट्स के माध्यम से कनेक्ट होने वाले वायरलेस क्लाइंट्स को शेयर्ड सीक्रेट SecretAuthKey2026 के साथ ऑथेंटिकेट करने के लिए FreeRADIUS को कॉन्फ़िगर करना होगा। clients.conf में क्या कॉन्फ़िगरेशन रखा जाना चाहिए?

client branch_aps { ipaddr = 10.20.0.0/24 secret = SecretAuthKey2026 nas_type = cisco require_message_authenticator = yes }

परीक्षक की टिप्पणी: clients.conf में पूरे सबनेट स्कोप को परिभाषित करने से एक्सेस पॉइंट जोड़ना आसान हो जाता है। require_message_authenticator = yes सेट करने से BlastRADIUS (CVE-2024-3596) फ़ोर्जरी हमलों का जोखिम कम होता है।

एक IT विभाग 2,000 कॉर्पोरेट Windows 11 लैपटॉप को Active Directory से Microsoft Entra ID और Intune पर माइग्रेट कर रहा है। ऑन-प्रिमाइसेस डोमेन कंट्रोलर्स को रखे बिना पासवर्डलेस WiFi ऑथेंटिकेशन का समर्थन करने के लिए RADIUS इंफ्रास्ट्रक्चर को कैसे अपडेट किया जाना चाहिए?

  1. नेटिव Microsoft Entra ID इंटीग्रेशन के साथ Cloud RADIUS तैनात करें। 2. प्रबंधित लैपटॉप्स को स्वचालित रूप से क्लाइंट सर्टिफिकेट जारी करने के लिए Microsoft Intune SCEP या PKCS सर्टिफिकेट प्रोफाइल कॉन्फ़िगर करें। 3. RadSec (TLS पोर्ट 2083) का उपयोग करके Cloud RADIUS सर्वर पर 802.1X ऑथेंटिकेशन को इंगित करने के लिए वायरलेस कंट्रोलर को कॉन्फ़िगर करें। 4. Intune WiFi कॉन्फ़िगरेशन प्रोफाइल में प्राथमिक ऑथेंटिकेशन विधि के रूप में EAP-TLS को लागू करें।
परीक्षक की टिप्पणी: चूंकि Microsoft Entra ID लीगेसी PEAP-MSCHAPv2 के लिए नेटिव NTLM या Kerberos एंडपॉइंट प्रदान नहीं करता है, इसलिए Cloud RADIUS के साथ सर्टिफिकेट-आधारित EAP-TLS ही अनुशंसित एंटरप्राइज़ माइग्रेशन पाथ है।

अभ्यास प्रश्न

Q1. एक वायरलेस 802.1X रोलआउट के दौरान, क्लाइंट डिवाइसेस सफलतापूर्वक कनेक्ट और ऑथेंटिकेट होते हैं, लेकिन उन्हें असाइन किए गए कॉर्पोरेट VLAN के बजाय डिफ़ॉल्ट नेटिव VLAN पर एक IP एड्रेस मिलता है। सर्वर को कौन से RADIUS एट्रिब्यूट्स वापस करने चाहिए?

संकेत: RFC 2868 और RFC 3580 टनल एट्रिब्यूट्स की समीक्षा करें।

मॉडल उत्तर देखें

RADIUS सर्वर को Access-Accept रिस्पॉन्स में तीन विशिष्ट एट्रिब्यूट्स वापस करने होंगे: 1. Tunnel-Type = 13 (VLAN), 2. Tunnel-Medium-Type = 6 (802), 3. Tunnel-Private-Group-ID = [VLAN_ID_or_Name]। एक्सेस पॉइंट स्विच पोर्ट को भी उस VLAN को ले जाने वाले ट्रंक पोर्ट के रूप में कॉन्फ़िगर किया जाना चाहिए।

Q2. क्लाइंट डिवाइसेस पर RADIUS सर्वर रूट CA सर्टिफिकेट को लागू किए बिना BYOD नेटवर्क पर PEAP-MSCHAPv2 को तैनात करने का सुरक्षा जोखिम क्या है?

संकेत: रॉग एक्सेस पॉइंट और इविल ट्विन हमलों पर विचार करें।

मॉडल उत्तर देखें

यदि क्लाइंट डिवाइस RADIUS सर्वर प्रमाणपत्र को सत्यापित नहीं करते हैं, तो एक हमलावर उसी SSID का प्रसारण करने वाला एक दुष्ट एक्सेस पॉइंट स्थापित कर सकता है। जब क्लाइंट कनेक्ट होता है, तो दुष्ट सर्वर MS-CHAPv2 चैलेंज-रिस्पॉन्स हैंडशेक को कैप्चर कर लेता है, जिससे हमलावर asleap जैसे टूल के साथ ऑफलाइन पासवर्ड क्रैक कर सकता है।

Q3. RadSec बनाम मानक RADIUS का उपयोग करते समय एक ऑन-प्रिमाइसेस वायरलेस एक्सेस पॉइंट और एक क्लाउड RADIUS सर्वर के बीच कौन से फ़ायरवॉल पोर्ट खुले होने चाहिए?

संकेत: लीगेसी UDP पोर्ट्स की तुलना आधुनिक TLS-एन्कैप्सुलेटेड RADIUS से करें।

मॉडल उत्तर देखें

मानक RADIUS के लिए आउटबाउंड UDP पोर्ट 1812 (प्रमाणीकरण) और UDP पोर्ट 1813 (अकाउंटिंग) की आवश्यकता होती है। RadSec के लिए TLS एन्क्रिप्शन के साथ आउटबाउंड TCP पोर्ट 2083 की आवश्यकता होती है, जो पारस्परिक प्रमाणपत्र सत्यापन प्रदान करता है और सार्वजनिक इंटरनेट पर प्लेनटेक्स्ट UDP ट्रांसमिशन को समाप्त करता है।

इस श्रृंखला में आगे पढ़ें

iOS और macOS 802.1X ट्रबलशूटिंग: Intune, Jamf और Entra ID के लिए एक डिप्लॉयमेंट चेकलिस्ट

यह जांचने के लिए इस चेकलिस्ट का उपयोग करें कि iPhones, iPads और Macs Intune या Jamf Pro पर 802.1X में विफल क्यों होते हैं। प्रत्येक विफलता चार कारणों में से एक से जुड़ी होती है: सर्वर ट्रस्ट, आइडेंटिटी सर्टिफिकेट, macOS मोड या Entra ID ग्रुप स्कोपिंग। आप eapolclient और RADIUS लॉग से कारण की पुष्टि करेंगे, समाधान लागू करेंगे और भविष्य के सर्टिफिकेट रोटेशन को व्यवस्थित करेंगे।

गाइड पढ़ें →

Intune WiFi प्रोफाइल सर्वर ट्रस्ट: Microsoft Entra ID के लिए सर्टिफिकेट सर्वर नाम और रूट CA चेकलिस्ट

आप एक Intune WiFi प्रोफाइल के सर्वर वैलिडेशन वाले हिस्से को कॉन्फ़िगर करने में सक्षम होंगे ताकि Windows, Apple और Android पर EAP-TLS और PEAP कनेक्ट हो सकें। आप सर्टिफिकेट सर्वर नामों को RADIUS सर्टिफिकेट से मिलाएंगे, सही रूट CA को डिप्लॉय करेंगे, Microsoft Entra ID ग्रुप असाइनमेंट को संरेखित करेंगे, और सर्टिफिकेट रिन्यूअल को उनके द्वारा कनेक्शन को चुपचाप तोड़ने से पहले प्रबंधित करेंगे।

गाइड पढ़ें →

Android 802.1X और EAP-TLS ट्रबलशूटिंग: Intune और Microsoft Entra ID के लिए एक डिप्लॉयमेंट चेकलिस्ट

आप यह सटीक रूप से पता लगाने में सक्षम होंगे कि आपके स्टाफ SSID पर प्रबंधित Android फोन EAP-TLS में क्यों विफल हो जाते हैं और Intune में इसे कैसे ठीक किया जाए। प्रत्येक लक्षण को चार सामान्य कारणों से मिलाएं - अनुपलब्ध CA या डोमेन, गलत प्रोफ़ाइल में क्लाइंट प्रमाणपत्र, बेमेल RADIUS सर्वर नाम मान, या बिना डिलीवर किया गया ट्रस्टेड रूट। फिर एक रोलआउट चेकलिस्ट लागू करें जो बार-बार होने वाले आउटेज को रोकती है।

गाइड पढ़ें →

अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?

हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।