मुख्य सामग्री पर जाएं
हिन्दी

WiFi ऑथेंटिकेशन के लिए Azure Entra ID (Azure AD) को कैसे सेटअप करें

यह आधिकारिक गाइड एंटरप्राइज WiFi ऑथेंटिकेशन के लिए 802.1X के साथ Azure Entra ID को इंटीग्रेट करने के आर्किटेक्चर, इम्प्लीमेंटेशन स्टेप्स और बिजनेस इम्पैक्ट का विवरण देती है। यह नेटवर्क आर्किटेक्ट्स और IT मैनेजर्स को व्यावहारिक डिप्लॉयमेंट रणनीतियां प्रदान करती है, जो पुराने PSK को जीरो - ट्रस्ट, सर्टिफिकेट - बेस्ड नेटवर्क एक्सेस से बदलती हैं।

📖 4 मिनट का पाठ📝 945 शब्द🔧 2 हल किए गए उदाहरण❓ 3 अभ्यास प्रश्न📚 8 मुख्य परिभाषाएं

इस गाइड को सुनें

पॉडकास्ट ट्रांसक्रिप्ट देखें
[INTRO - 1 MIN] Host: Purple Enterprise Network Briefing में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम एक महत्वपूर्ण बुनियादी ढांचे के अपग्रेड पर चर्चा कर रहे हैं जो CTOs और नेटवर्क आर्किटेक्ट्स के लिए सबसे महत्वपूर्ण है: अपने कॉर्पोरेट WiFi ऑथेंटिकेशन को Azure Entra ID (पूर्व में Azure AD) पर माइग्रेट करना। यदि आप एक होटल श्रृंखला, एक स्टेडियम, या बड़े सार्वजनिक क्षेत्र के डिप्लॉयमेंट को मैनेज कर रहे हैं, तो आप लीगेसी ऑन-प्रिमाइसेस RADIUS सर्वर और शेयर्ड PSKs के सिरदर्द को अच्छी तरह जानते हैं। आज, हम जीरो-ट्रस्ट नेटवर्क एक्सेस के बारे में बात कर रहे हैं, विशेष रूप से Azure Entra ID का उपयोग करके 802.1X सर्टिफिकेट-आधारित ऑथेंटिकेशन को कैसे लागू किया जाए। कोई फालतू बात नहीं, केवल इसे डिप्लॉय करने की तकनीकी वास्तविकता। [TECHNICAL DEEP-DIVE - 5 MIN] Host: आइए सीधे आर्किटेक्चर पर आते हैं। स्टिकी नोट पर लिखे शेयर्ड पासवर्ड वाले WPA2-Personal के दिन अब लद चुके हैं। एक आधुनिक एंटरप्राइज में, चाहे आप रिटेल स्टोर के बैक-ऑफ-हाउस संचालन को सुरक्षित कर रहे हों या अस्पताल में स्टाफ नेटवर्क को, आपको आइडेंटिटी-संचालित एक्सेस की आवश्यकता होती है। जब हम WiFi के लिए Azure Entra ID की बात करते हैं, तो हम मूल रूप से EAP-TLS के बारे में बात कर रहे होते हैं। यह Transport Layer Security के साथ Extensible Authentication Protocol है। यह गोल्ड स्टैंडर्ड है। क्यों? क्योंकि यह पासवर्ड पर नहीं, बल्कि सर्टिफिकेट्स पर निर्भर करता है। पासवर्ड फ़िशिंग, साझा या ब्रूट-फोर्स किए जा सकते हैं। Intune के माध्यम से एक प्रबंधित डिवाइस से जुड़े सर्टिफिकेट्स के साथ ऐसा नहीं किया जा सकता है। तो, ट्रैफिक का फ्लो कैसे होता है? एक कॉर्पोरेट डिवाइस - मान लें कि एक प्रबंधित लैपटॉप - कॉर्पोरेट SSID से कनेक्ट करने का प्रयास करता है। वायरलेस एक्सेस पॉइंट, जो ऑथेंटिकेटर के रूप में कार्य करता है, एक्सेस को ब्लॉक कर देता है और RADIUS के माध्यम से क्रेडेंशियल्स को आपके ऑथेंटिकेशन सर्वर पर भेज देता है। अब, Azure Entra ID मूल रूप से (natively) RADIUS को नहीं समझता है। यह एक महत्वपूर्ण आर्किटेक्चरल ब्रिज है। आपको Azure MFA एक्सटेंशन के साथ एक क्लाउड RADIUS प्रदाता या ऑन-प्रिमाइसेस Network Policy Server (NPS) की आवश्यकता होगी। डिवाइस अपना क्लाइंट सर्टिफिकेट प्रस्तुत करता है। RADIUS सर्वर उस सर्टिफिकेट को आपकी सर्टिफिकेट अथॉरिटी (जो अक्सर Intune में SCEP के माध्यम से प्रबंधित होती है) के खिलाफ वैलिडेट करता है। यदि सर्टिफिकेट वैध है, तो RADIUS सर्वर यह सुनिश्चित करने के लिए Azure Entra ID की जांच करता है कि यूजर अकाउंट सक्रिय है, डिसेबल नहीं है, और कंडीशनल एक्सेस पॉलिसियों के अनुरूप है। केवल तभी RADIUS सर्वर AP को एक Access-Accept संदेश वापस भेजता है, जिससे यूजर को सही VLAN पर रखा जाता है। [IMPLEMENTATION RECOMMENDATIONS & PITFALLS - 2 MIN] Host: अब, डिप्लॉयमेंट में गलतियाँ कहाँ होती हैं? मुझे तीन सामान्य कमियाँ दिखाई देती हैं। पहला: Certificate Revocation List (CRL) की उपलब्धता। यदि आपका RADIUS सर्वर CRL तक नहीं पहुँच सकता है, तो ऑथेंटिकेशन विफल हो जाता है। सुनिश्चित करें कि आपके CRL एंडपॉइंट्स अत्यधिक उपलब्ध हों और RADIUS इन्फ्रास्ट्रक्चर से सुलभ हों। दूसरा: सप्लिकेंट कॉन्फ़िगरेशन। इसे एंड यूजर पर मत छोड़ें। WiFi प्रोफाइल को पुश करने के लिए अपने MDM - Microsoft Intune, Workspace ONE, या जो भी आप उपयोग करते हैं - का उपयोग करें। प्रोफाइल में स्पष्ट रूप से विश्वसनीय रूट CA को परिभाषित किया जाना चाहिए और यह निर्दिष्ट किया जाना चाहिए कि क्लाइंट को केवल आपके विशिष्ट RADIUS सर्वर नामों से ही कनेक्ट होना चाहिए। यदि आप ऐसा नहीं करते हैं, तो आप Evil Twin हमलों के प्रति संवेदनशील हो जाते हैं। तीसरा: लेगेसी डिवाइस। वेयरहाउस में IoT डिवाइस, पॉइंट-ऑफ-सेल टर्मिनल, या पुराने बारकोड स्कैनर अक्सर 802.1X या EAP-TLS का समर्थन नहीं करते हैं। आपको इन डिवाइसों के लिए एक MAC Authentication Bypass (MAB) रणनीति या सख्त नेटवर्क आइसोलेशन के साथ एक समर्पित प्री-शेयर की (pre-shared key) नेटवर्क की योजना बनानी चाहिए। एक पुराने प्रिंटर के लिए अपने प्राथमिक कॉर्पोरेट SSID से समझौता न करें। [रैपिड-फायर प्रश्नोत्तर - 1 मिनट] होस्ट: आइए नेटवर्क आर्किटेक्ट्स से सुने जाने वाले कुछ त्वरित प्रश्नों पर चर्चा करें। पहला प्रश्न: क्या हम Azure Entra ID के साथ PEAP-MSCHAPv2 का उपयोग कर सकते हैं? उत्तर: हाँ, NPS के माध्यम से, लेकिन Microsoft सक्रिय रूप से क्रेडेंशियल-आधारित प्रमाणीकरण को हटा रहा है। EAP-TLS पर स्विच करें। यह अधिक सुरक्षित है और बेहतर उपयोगकर्ता अनुभव प्रदान करता है। दूसरा प्रश्न: यह Purple के गेस्ट WiFi के साथ कैसे एकीकृत होता है? उत्तर: इन्हें अलग रखें। आपका कॉर्पोरेट नेटवर्क Azure Entra ID से जुड़े 802.1X का उपयोग करता है। आपका गेस्ट नेटवर्क एक ओपन SSID का उपयोग करता है जिसमें एनालिटिक्स, शर्तों की स्वीकृति और मार्केटिंग डेटा कैप्चर के लिए Purple द्वारा संचालित एक Captive Portal होता है। आप मेहमानों की निर्बाध वापसी के लिए Purple के प्रोफाइल-आधारित प्रमाणीकरण का भी उपयोग कर सकते हैं, जिससे वह ट्रैफ़िक आपके कॉर्पोरेट डेटा से पूरी तरह से अलग रहता है। [सारांश और अगले कदम - 1 मिनट] होस्ट: संक्षेप में: WiFi प्रमाणीकरण के लिए Azure Entra ID पर जाना ज़ीरो-ट्रस्ट आर्किटेक्चर की दिशा में एक बुनियादी कदम है। यह पासवर्ड रोटेशन हेल्पडेस्क टिकटों को समाप्त करता है, क्रेडेंशियल चोरी को कम करता है, और यह सुनिश्चित करता है कि केवल अनुपालन करने वाले, प्रबंधित डिवाइस ही आपके आंतरिक नेटवर्क तक पहुँच सकें। आपका अगला कदम? अपने वर्तमान RADIUS इंफ्रास्ट्रक्चर का ऑडिट करें। यदि आप ऑन-प्रिमाइसेस पर लेगेसी NPS चला रहे हैं, तो उन क्लाउड RADIUS समाधानों का मूल्यांकन करें जो सीधे Azure Entra ID और Intune के साथ एकीकृत होते हैं। अपनी सर्टिफिकेट डिप्लॉयमेंट रणनीति का नक्शा तैयार करें। इस तकनीकी ब्रीफिंग में शामिल होने के लिए धन्यवाद। अपने नेटवर्क को सुरक्षित रखें, और हम आपसे अगली बार मिलेंगे।

header_image.png

कार्यकारी सारांश (Executive Summary)

जटिल परिवेशों का प्रबंधन करने वाले CTOs और नेटवर्क आर्किटेक्ट्स के लिए - बड़े hospitality स्थलों से लेकर गतिशील retail स्थानों तक - कॉर्पोरेट नेटवर्क को सुरक्षित रखना अब केवल मजबूत पासवर्ड का मामला नहीं रह गया है। पारंपरिक प्री-शेयर्ड कीज़ (PSKs) और बुनियादी क्रेडेंशियल सत्यापन मौलिक रूप से आधुनिक ज़ीरो-ट्रस्ट आर्किटेक्चर के साथ असंगत हैं।

यह गाइड सीधे Azure Entra ID (पूर्व में Azure AD) के साथ एकीकृत 802.1X सर्टिफिकेट-आधारित WiFi ऑथेंटिकेशन में संक्रमण का विवरण देती है। EAP-TLS (एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल विद ट्रांसपोर्ट लेयर सिक्योरिटी) पर जाकर, उद्यम क्रेडेंशियल चोरी से जुड़े जोखिमों को समाप्त कर सकते हैं, मोबाइल डिवाइस प्रबंधन (MDM) के माध्यम से डिवाइस नामांकन को स्वचालित कर सकते हैं, और यह सुनिश्चित कर सकते हैं कि केवल अनुपालन करने वाले, प्रबंधित डिवाइस ही संवेदनशील कॉर्पोरेट VLANs तक पहुँच सकें। हम तकनीकी आर्किटेक्चर, परिनियोजन चरणों, और यह भी तलाशते हैं कि यह एंटरप्राइज़ सुरक्षा स्थिति Purple जैसे प्लेटफार्मों द्वारा प्रबंधित अतिथि नेटवर्क रणनीतियों के समानांतर कैसे काम करती है।

तकनीकी गहन विश्लेषण (Technical Deep Dive)

क्रेडेंशियल से डिजिटल सर्टिफिकेट की ओर बदलाव

ऐतिहासिक रूप से, एंटरप्राइज़ WiFi PEAP-MSCHAPv2 पर निर्भर था, जिसके लिए उपयोगकर्ताओं को अपने डोमेन क्रेडेंशियल दर्ज करने की आवश्यकता होती थी। हालाँकि, एडवरसरी-इन-द-मिडल (AiTM) हमलों के प्रति इसकी संवेदनशीलता के कारण, Microsoft सक्रिय रूप से क्रेडेंशियल-आधारित ऑथेंटिकेशन को हटा रहा है। वर्तमान उद्योग मानक EAP-TLS है, जो पारस्परिक सर्टिफिकेट सत्यापन का उपयोग करता है।

एक EAP-TLS परिनियोजन में, RADIUS सर्वर और क्लाइंट डिवाइस दोनों डिजिटल सर्टिफिकेट प्रस्तुत करते हैं। यदि किसी डिवाइस के पास आपके विश्वसनीय सर्टिफिकेट अथॉरिटी (CA) द्वारा जारी किया गया वैध सर्टिफिकेट नहीं है, तो RADIUS सर्वर डिवाइस को IP एड्रेस मिलने से पहले ही कनेक्शन को अस्वीकार कर देता है।

architecture_overview.png

आर्किटेक्चरल ब्रिज: RADIUS और Entra ID

Azure Entra ID एक क्लाउड आइडेंटिटी प्रोवाइडर (IdP) है जो SAML और OIDC जैसे आधुनिक प्रोटोकॉल का उपयोग करता है; यह वायरलेस एक्सेस पॉइंट्स (WAPs) द्वारा उपयोग किए जाने वाले RADIUS प्रोटोकॉल को मूल रूप से नहीं समझता है। इस अंतर को पाटने के लिए, नेटवर्क आर्किटेक्ट्स को एक RADIUS सर्वर तैनात करना होगा जो Entra ID के साथ संचार करने में सक्षम हो। यह आमतौर पर निम्नलिखित के माध्यम से प्राप्त किया जाता है:

  1. क्लाउड RADIUS समाधान: विशेष रूप से निर्मित प्लेटफॉर्म (जैसे SecureW2, SCEPman या Portnox) जो APIs के माध्यम से सीधे Entra ID और Intune के साथ एकीकृत होते हैं।
  2. ऑन-प्रिमाइसेस नेटवर्क पॉलिसी सर्वर (NPS): Azure MFA एक्सटेंशन का उपयोग करना, हालांकि क्लाउड-नेटिव RADIUS की तुलना में इसे तेजी से एक लीगेसी दृष्टिकोण के रूप में माना जा रहा है।

eap_comparison_chart.png

Implementation Guide

WiFi authentication के लिए Azure Entra ID को डिप्लॉय करने के लिए आइडेंटिटी, डिवाइस मैनेजमेंट और नेटवर्क इंफ्रास्ट्रक्चर टीमों के बीच समन्वय की आवश्यकता होती है।

Step 1: Public Key Infrastructure (PKI) स्थापित करें

आपको क्लाइंट और सर्वर सर्टिफिकेट जारी करने के लिए एक CA स्थापित करना होगा। क्लाउड-फर्स्ट एनवायरनमेंट्स में, यह आमतौर पर Simple Certificate Enrolment Protocol (SCEP) के माध्यम से Microsoft Intune के साथ एकीकृत एक क्लाउड PKI होता है।

Step 2: RADIUS सर्वर को कॉन्फ़िगर करें

अपने RADIUS इंफ्रास्ट्रक्चर को डिप्लॉय करें और इसे अपने Entra ID टेनेंट से बाइंड करें। EAP हैंडशेक के दौरान अपनी पहचान साबित करने के लिए RADIUS सर्वर को अपने खुद के सर्वर सर्टिफिकेट की आवश्यकता होती है - जो आपके क्लाइंट डिवाइसेस द्वारा विश्वसनीय हो।

Step 3: Intune के माध्यम से MDM प्रोफाइल्स डिप्लॉय करें

यूज़र्स द्वारा मैन्युअल रूप से अपनी WiFi सेटिंग्स कॉन्फ़िगर करने पर निर्भर न रहें। एक पूर्ण WiFi प्रोफाइल पुश करने के लिए Intune का उपयोग करें जिसमें निम्नलिखित शामिल हों:

  • विश्वसनीय रूट CA सर्टिफिकेट।
  • क्लाइंट सर्टिफिकेट का अनुरोध करने के लिए उपयोग किया जाने वाला SCEP प्रोफाइल।
  • स्वयं WiFi कॉन्फ़िगरेशन, जो Evil Twin हमलों को रोकने के लिए SSID और RADIUS इंफ्रास्ट्रक्चर के सटीक सर्वर नामों को स्पष्ट रूप से परिभाषित करता है।

Step 4: Wireless LAN Controller (WLC) को कॉन्फ़िगर करें

WPA2/WPA3-Enterprise (802.1X) का उपयोग करने के लिए अपने एक्सेस पॉइंट्स या WLC को कॉन्फ़िगर करें। ऑथेंटिकेशन और अकाउंटिंग ट्रैफिक को अपने नए RADIUS सर्वर IP एड्रेस पर पॉइंट करें, और शेयर्ड RADIUS सीक्रेट सेट करें।

> "802.1X को कॉन्फ़िगर करते समय, यह सुनिश्चित करें कि WLC पर RADIUS टाइमआउट वैल्यू क्लाउड सर्टिफिकेट वैलिडेशन की लेटेंसी के लिए पर्याप्त हो, जिसे आमतौर पर 2 सेकंड से बढ़ाकर 5 सेकंड कर दिया जाता है।" [1]

Best Practices

  • कॉर्पोरेट और गेस्ट ट्रैफिक को अलग करें: कॉर्पोरेट डिवाइसेस को Entra ID से बाउंड 802.1X का उपयोग करना चाहिए। गेस्ट डिवाइसेस को एक captive portal के साथ ओपन SSID का उपयोग करना चाहिए। मजबूत गेस्ट एक्सेस और एनालिटिक्स के लिए, एक Guest WiFi समाधान का लाभ उठाएं। यह अविश्वसनीय ट्रैफिक का पूर्ण अलगाव सुनिश्चित करता है।
  • सावधानी के साथ MAC Authentication Bypass (MAB) लागू करें: IoT डिवाइसेस और लीगेसी हार्डवेयर - जैसे कि transport हब में पुराने स्कैनर - अक्सर 802.1X का समर्थन नहीं कर सकते हैं। इन डिवाइसेस को MAB या एक समर्पित PSK का उपयोग करके एक अलग SSID पर रखें, और सख्त ACLs के साथ उनकी नेटवर्क पहुंच को प्रतिबंधित करें।
  • सर्टिफिकेट रिवोकेशन को प्राथमिकता दें: सुनिश्चित करें कि आपकी Certificate Revocation List (CRL) या Online Certificate Status Protocol (OCSP) एंडपॉइंट्स अत्यधिक उपलब्ध हों। यदि RADIUS सर्वर रिवोकेशन स्थिति को सत्यापित नहीं कर सकता है, तो ऑथेंटिकेशन विफल हो जाएगा।

Troubleshooting and Risk Mitigation

जब डिप्लॉयमेंट विफल होता है, तो इसमें शायद ही कभी क्लाउड IdP की गलती होती है। सामान्य विफलता मोड में शामिल हैं:

  • क्लॉक स्क्यू (Clock skew): EAP-TLS समय के प्रति बेहद संवेदनशील है। सुनिश्चित करें कि सभी इंफ्रास्ट्रक्चर घटक - विशेष रूप से WLCs और RADIUS सर्वर - NTP के माध्यम से सिंक्रोनाइज़्ड हों।
  • Intune सिंक लेटेंसी: नए डिवाइसेस को एनरोल करते समय, SCEP सर्टिफिकेट जारी होने और डिवाइस द्वारा कनेक्ट करने का प्रयास करने के बीच देरी हो सकती है। ऑनबोर्डिंग के दौरान इस लैग के लिए योजना बनाएं।
  • RADIUS server name mismatch: यदि Intune WiFi प्रोफाइल में परिभाषित सर्वर नाम RADIUS सर्वर सर्टिफिकेट पर कॉमन नेम (CN) या सब्जेक्ट अल्टरनेटिव नेम (SAN) से बिल्कुल मेल नहीं खाता है, तो क्लाइंट दुर्भावनापूर्ण APs से सुरक्षा के लिए बिना किसी सूचना के डिस्कनेक्ट हो जाएंगे।

अपने इंफ्रास्ट्रक्चर को सुरक्षित करने के गहन विश्लेषण के लिए, मजबूत DNS और सुरक्षा के साथ अपने नेटवर्क की सुरक्षा कैसे करें पर हमारा गाइड देखें।

ROI और व्यावसायिक प्रभाव

Azure Entra ID WiFi ऑथेंटिकेशन पर स्विच करने से महत्वपूर्ण लाभ मिलते हैं:

  1. कम हेल्पडेस्क खर्च: पासवर्ड-आधारित ऑथेंटिकेशन को समाप्त करने से पासवर्ड लॉकआउट और WiFi क्रेडेंशियल रिन्यूअल से संबंधित सपोर्ट टिकटों में भारी कमी आती है।
  2. तेजी से अनुपालन: EAP-TLS पहचान का वह क्रिप्टोग्राफिक प्रमाण प्रदान करता है जो PCI-DSS और ISO 27001 जैसे फ्रेमवर्क द्वारा आवश्यक है, जो स्वास्थ्य सेवा और रिटेल वातावरण में आवश्यक है।
  3. स्वचालित ऑफबोर्डिंग: जब कोई कर्मचारी नौकरी छोड़ता है, तो Entra ID में उनके अकाउंट को निष्क्रिय करने से सभी स्थानों पर उनकी नेटवर्क एक्सेस तुरंत समाप्त हो जाती है, जिससे आंतरिक खतरा कम हो जाता है।

कॉरपोरेट कोर नेटवर्क को सुरक्षित करके, IT टीमें राजस्व-उत्पादक पहलों पर ध्यान केंद्रित कर सकती हैं, जैसे कि विज़िटर के व्यवहार को समझने और जुड़ाव बढ़ाने के लिए WiFi Analytics का उपयोग करना।

References

[1] Microsoft Learn. (2023). Secure Wi-Fi access with Intune and EAP-TLS.

मुख्य परिभाषाएं

802.1X

पोर्ट - बेस्ड नेटवर्क एक्सेस कंट्रोल के लिए एक IEEE मानक, जिसमें LAN या WLAN तक पहुंच प्राप्त करने से पहले डिवाइसेज को ऑथेंटिकेट करना आवश्यक होता है।

यह वह अंतर्निहित प्रोटोकॉल है जो सिंपल शेयर्ड पासवर्ड से आगे बढ़कर एंटरप्राइज WiFi को सुरक्षित बनाता है।

EAP-TLS

ट्रांसपोर्ट लेयर सिक्योरिटी के साथ एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल। एक ऑथेंटिकेशन विधि जिसमें क्लाइंट और सर्वर दोनों पर डिजिटल सर्टिफिकेट की आवश्यकता होती है।

इसे WiFi ऑथेंटिकेशन के लिए सबसे सुरक्षित तरीका माना जाता है, जो क्रेडेंशियल चोरी और AiTM हमलों को रोकता है।

RADIUS

रिमोट ऑथेंटिकेशन डायल-इन यूज़र सर्विस। एक नेटवर्किंग प्रोटोकॉल जो सेंट्रलाइज्ड ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग (AAA) प्रदान करता है।

यह वह प्रोटोकॉल है जिसका उपयोग आपके एक्सेस पॉइंट्स ऑथेंटिकेशन सर्वर से यह पूछने के लिए करते हैं, "क्या मुझे इस डिवाइस को नेटवर्क पर आने देना चाहिए?"

SCEP

सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल। नेटवर्क डिवाइसेज को सुरक्षित रूप से सर्टिफिकेट जारी करने के लिए इस्तेमाल किया जाने वाला एक प्रोटोकॉल।

Intune जैसे MDM प्लेटफॉर्म्स द्वारा कॉर्पोरेट लैपटॉप और फोन पर क्लाइंट सर्टिफिकेट को चुपचाप रिक्वेस्ट और इंस्टॉल करने के लिए उपयोग किया जाता है।

MAC Authentication Bypass (MAB)

यूज़रनेम या सर्टिफिकेट के बजाय डिवाइस के MAC एड्रेस के आधार पर नेटवर्क एक्सेस देने की एक विधि।

उन पुराने डिवाइसेज (जैसे पुराने प्रिंटर या IoT सेंसर) के लिए एक फॉलबैक के रूप में उपयोग किया जाता है जिनमें 802.1X हैंडशेक करने के लिए सॉफ्टवेयर नहीं होता है।

इविल ट्विन अटैक

ट्रैफ़िक को बीच में रोकने या क्रेडेंशियल चोरी करने के लिए एक वैध कॉर्पोरेट SSID के रूप में मुखौटा लगाने वाला एक दुष्ट एक्सेस पॉइंट।

EAP-TLS इसे कम करता है क्योंकि क्लाइंट डिवाइस को केवल वैध कॉर्पोरेट RADIUS सर्वर के विशिष्ट प्रमाणपत्र पर भरोसा करने के लिए कॉन्फ़िगर किया जाता है।

सप्लिकेंट (Supplicant)

एंडपॉइंट डिवाइस पर सॉफ़्टवेयर क्लाइंट (जैसे, Windows WiFi प्रबंधक) जो 802.1X प्रमाणीकरण प्रक्रिया को संभालता है।

IT टीमों को MDM के माध्यम से सप्लिकेंट को कॉन्फ़िगर करना चाहिए ताकि यह सुनिश्चित हो सके कि यह सुरक्षित रूप से व्यवहार करता है और उपयोगकर्ताओं को अविश्वसनीय सर्वर प्रमाणपत्रों को स्वीकार करने के लिए प्रेरित नहीं करता है।

कंडीशनल एक्सेस (Conditional Access)

Azure Entra ID नीतियां जो एक्सेस संबंधी निर्णय लेने के लिए संकेतों (उपयोगकर्ता, स्थान, डिवाइस अनुपालन) का मूल्यांकन करती हैं।

आधुनिक क्लाउड RADIUS समाधान WiFi हैंडशेक के दौरान Conditional Access की जांच कर सकते हैं, यदि Intune डिवाइस को गैर-अनुपालन के रूप में चिह्नित करता है तो नेटवर्क एक्सेस को अस्वीकार कर सकते हैं।

हल किए गए उदाहरण

एक 500-साइट रिटेल चेन को इन्वेंट्री मैनेजमेंट के लिए इस्तेमाल होने वाले बैक-ऑफ-हाउस iPads को सुरक्षित करने की आवश्यकता है। वर्तमान में, वे सभी स्टोर्स में एक सिंगल शेयर्ड PSK का उपयोग करते हैं। उन्हें Azure Entra ID ऑथेंटिकेशन पर कैसे माइग्रेट करना चाहिए?

  1. सभी iPads को Microsoft Intune में एनरोल करें।
  2. कॉर्पोरेट Entra ID टेनेंट के साथ इंटीग्रेटेड एक Cloud RADIUS समाधान डिप्लॉय करें।
  3. प्रत्येक iPad पर SCEP सर्टिफिकेट डिप्लॉय करने के लिए Intune को कॉन्फ़िगर करें।
  4. Intune के माध्यम से एक WiFi प्रोफाइल पुश करें जो iPads को EAP-TLS का उपयोग करके 'Corporate-BOH' SSID से कनेक्ट करने के लिए कॉन्फ़िगर करता है, और Cloud RADIUS सर्वर के सर्टिफिकेट को वैलिडेट करता है।
  5. सभी 500 स्टोर्स में Meraki/Aruba एक्सेस पॉइंट्स को 'Corporate-BOH' SSID के लिए Cloud RADIUS IP एड्रेस पर पॉइंट करने के लिए अपडेट करें।
  6. चरणबद्ध रोलआउट: नया SSID सक्षम करें, Intune रिपोर्टिंग के माध्यम से iPad कनेक्टिविटी को सत्यापित करें, फिर पुराने PSK SSID को बंद कर दें।
परीक्षक की टिप्पणी: यह दृष्टिकोण शेयर्ड PSK को समाप्त करता है, जो कि डिवाइस चोरी होने की स्थिति में एक बड़ा सुरक्षा जोखिम है। EAP-TLS और Intune का उपयोग करके, ऑथेंटिकेशन डिवाइस की मैनेजमेंट स्थिति से जुड़ा होता है। यदि कोई iPad खो जाता है, तो IT टीम बस सर्टिफिकेट को रद्द कर देती है या Intune में डिवाइस को वाइप कर देती है, जिससे अन्य 499 स्टोर्स को प्रभावित किए बिना तुरंत नेटवर्क एक्सेस बंद हो जाता है।

एक यूनिवर्सिटी कैंपस ऑन-प्रिमाइसेस Active Directory से Azure Entra ID पर माइग्रेट कर रहा है। उनके पास हजारों BYOD (ब्रिंग योर ओन डिवाइस) स्टूडेंट लैपटॉप हैं जो वर्तमान में PEAP-MSCHAPv2 (यूज़रनेम और पासवर्ड) का उपयोग करके कनेक्ट होते हैं। वे क्लाउड - फर्स्ट Entra ID एनवायरनमेंट में BYOD को कैसे संभालेंगे?

  1. एक ऑनबोर्डिंग पोर्टल डिप्लॉय करें (जैसे, SecureW2 JoinNow या इसी तरह का BYOD ऑनबोर्डिंग टूल)।
  2. छात्र एक ओपन 'Onboarding' SSID से कनेक्ट होते हैं, जो उन्हें पोर्टल पर रीडायरेक्ट करता है।
  3. पोर्टल छात्र को Azure Entra ID (उनके विश्वविद्यालय के ईमेल और MFA का उपयोग करके) के खिलाफ ऑथेंटिकेट करने के लिए प्रेरित करता है।
  4. सफल ऑथेंटिकेशन पर, पोर्टल एक अद्वितीय क्लाइंट सर्टिफिकेट जनरेट करता है और छात्र के डिवाइस को EAP-TLS के लिए ऑटोमैटिकली कॉन्फ़िगर करता है।
  5. डिवाइस नए सर्टिफिकेट का उपयोग करके सुरक्षित 'Edu-Secure' SSID से ऑटोमैटिकली कनेक्ट हो जाता है।
परीक्षक की टिप्पणी: अनमैनेज्ड BYOD डिवाइसेज के लिए सर्टिफिकेट मैनेज करना 802.1X का सबसे कठिन हिस्सा है। आप Intune का उपयोग नहीं कर सकते क्योंकि विश्वविद्यालय के पास लैपटॉप का मालिकाना हक नहीं है। एक ऑनबोर्डिंग पोर्टल का उपयोग इस अंतर को पाटता है, जिससे IT टीम को हजारों छात्र लैपटॉप को मैन्युअल रूप से छुए बिना सुरक्षित EAP-TLS का उपयोग करने की अनुमति मिलती है।

अभ्यास प्रश्न

Q1. आपका संगठन Azure Entra ID और Intune पर माइग्रेट कर रहा है। वर्तमान में आप WiFi के लिए PEAP-MSCHAPv2 का उपयोग करते हैं। सुरक्षा टीम का आदेश है कि WiFi प्रमाणीकरण क्रेडेंशियल चोरी के प्रति प्रतिरोधी होना चाहिए। आपको कौन सी EAP विधि तैनात करनी चाहिए?

संकेत: कौन सी विधि पासवर्ड के बजाय पूरी तरह से प्रमाणपत्रों पर निर्भर करती है?

मॉडल उत्तर देखें

आपको EAP-TLS तैनात करना चाहिए। EAP-TLS पारस्परिक प्रमाणपत्र प्रमाणीकरण का उपयोग करता है, जिसका अर्थ है कि क्लाइंट डिवाइस को आपके PKI द्वारा जारी एक वैध प्रमाणपत्र प्रस्तुत करना होगा। क्योंकि यह पासवर्ड का उपयोग नहीं करता है, यह क्रेडेंशियल चोरी और एडवरसरी-इन-द-मिडल हमलों के प्रति अत्यधिक प्रतिरोधी है।

Q2. Intune के माध्यम से EAP-TLS तैनात करने के बाद, उपयोगकर्ता रिपोर्ट करते हैं कि वे WiFi से कनेक्ट नहीं हो पा रहे हैं। RADIUS लॉग को देखने पर, आपको 'Certificate Revocation Check Failed' दिखाई देता है। इसका सबसे संभावित कारण क्या है?

संकेत: प्रमाणपत्र से समझौता नहीं हुआ है, यह सत्यापित करने के लिए RADIUS सर्वर को किस बुनियादी ढांचे के साथ संवाद करना चाहिए?

मॉडल उत्तर देखें

RADIUS सर्वर आपके प्रमाणपत्र प्राधिकरण (CA) की प्रमाणपत्र निरसन सूची (CRL) या OCSP एंडपॉइंट तक पहुँचने में असमर्थ है। सुनिश्चित करें कि फ़ायरवॉल RADIUS सर्वर को क्लाइंट प्रमाणपत्रों में निर्दिष्ट HTTP URL तक आउटबाउंड एक्सेस की अनुमति देते हैं।

Q3. एक अस्पताल को 50 पुराने हार्ट-रेट मॉनिटरों को नेटवर्क से जोड़ना है। ये डिवाइस केवल WPA2-Personal (प्री-शेयर्ड की) का समर्थन करते हैं और इन्हें Intune में नामांकित नहीं किया जा सकता है। कॉर्पोरेट लैपटॉप के लिए अपने Entra ID 802.1X परिनियोजन को बनाए रखते हुए आप उन्हें कैसे सुरक्षित करेंगे?

संकेत: एक ही SSID पर प्रमाणीकरण प्रकारों को मिश्रित न करें।

मॉडल उत्तर देखें

विशेष रूप से चिकित्सा IoT उपकरणों के लिए एक समर्पित, अलग SSID बनाएं। एक मजबूत, अद्वितीय प्री-शेयर्ड की (या आपके नेटवर्क विक्रेता द्वारा समर्थित होने पर iPSK/Identity PSK) या MAC Authentication Bypass (MAB) का उपयोग करें। महत्वपूर्ण रूप से, इस SSID को सख्त एक्सेस कंट्रोल लिस्ट (ACL) के साथ एक अत्यधिक प्रतिबंधित VLAN पर रखें जो केवल मॉनिटरों को उनके विशिष्ट चिकित्सा सर्वर के साथ संवाद करने की अनुमति देता है, जिससे अन्य सभी पार्श्व नेटवर्क पहुंच अवरुद्ध हो जाती है।

इस श्रृंखला में आगे पढ़ें

अतिथि और स्टाफ WiFi नेटवर्क के लिए RADIUS ऑथेंटिकेशन को कॉन्फ़िगर करना

यह तकनीकी संदर्भ गाइड एंटरप्राइज़ अतिथि और स्टाफ WiFi नेटवर्क के लिए RADIUS ऑथेंटिकेशन के आर्किटेक्चर, कॉन्फ़िगरेशन और डिप्लॉयमेंट की रूपरेखा तैयार करती है। यह नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों को सुरक्षित, स्केलेबल वायरलेस एक्सेस कंट्रोल सिस्टम बनाने के लिए आवश्यक सटीक प्रोटोकॉल, सुरक्षा मानक और ट्रबलशूटिंग कार्यप्रणाली प्रदान करती है।

गाइड पढ़ें →

Passpoint और OpenRoaming: संपूर्ण गाइड

यह तकनीकी संदर्भ गाइड एंटरप्राइज़ WiFi नेटवर्क के भीतर Passpoint (हॉटस्पॉट 2.0) और WBA OpenRoaming फ्रेमवर्क का एक व्यापक विश्लेषण प्रदान करती है। यह सुरक्षित, निर्बाध अतिथि कनेक्टिविटी स्थापित करने के लिए आवश्यक बुनियादी ऑथेंटिकेशन प्रोटोकॉल, आर्किटेक्चरल घटकों और परिनियोजन रणनीतियों का विवरण देती है। नेटवर्क आर्किटेक्ट और IT लीडर्स सीखेंगे कि कैसे इन मानकों को डिज़ाइन, लागू और ट्रबलशूट किया जाए ताकि एंटरप्राइज़-ग्रेड सुरक्षा बनाए रखते हुए मैनुअल लॉगिन बाधाओं को समाप्त किया जा सके।

गाइड पढ़ें →

उच्च शिक्षा में सुरक्षित BYOD और नेटवर्क नामांकन के लिए SCEP को कैसे लागू करें

यह तकनीकी मार्गदर्शिका नेटवर्क आर्किटेक्ट्स और IT प्रबंधकों को उच्च शिक्षा परिसर नेटवर्क को सुरक्षित करने के लिए SCEP-आधारित प्रमाणपत्र नामांकन को तैनात करने के लिए एक वेंडर-न्यूट्रल ब्लूप्रिंट प्रदान करती है। यह विवरण देती है कि पासवर्ड-आधारित PEAP से 802.1X EAP-TLS पर कैसे माइग्रेट करें, BYOD ऑनबोर्डिंग को स्वचालित करें, और मजबूत VLAN सेगमेंटेशन लागू करें।

गाइड पढ़ें →