गैस्ट WiFi के लिए RADIUS ऑथेंटिकेशन कॉन्फ़िगर करने के लिए एक नेटवर्क एडमिनिस्ट्रेटर की गाइड

गेस्ट WiFi के लिए RADIUS ऑथेंटिकेशन कॉन्फ़िगर करने के लिए एक नेटवर्क एडमिनिस्ट्रेटर की गाइड - पॉडकास्ट स्क्रिप्ट [इंट्रो - लगभग 1 मिनट] नमस्कार और स्वागत है। मैं आपको गेस्ट WiFi के लिए RADIUS ऑथेंटिकेशन कॉन्फ़िगर करने के बारे में जानने योग्य हर ज़रूरी बात बताऊंगा - इसके बुनियादी आर्किटेक्चर से लेकर व्यावहारिक कदमों तक जिन्हें आपकी टीम को उठाने की आवश्यकता है, और वे कमियां जो ज़्यादातर डिप्लॉयमेंट को प्रभावित करती हैं। यह कोई लेक्चर नहीं है। इसे एक सीनियर कंसल्टेंट से ब्रीफिंग की तरह समझें जो होटलों, रिटेल चेनों, स्टेडियमों और कॉन्फ्रेंस सेंटरों में IT प्रबंधकों के साथ बैठा है, और उन्हें इसे सही तरीके से करने में मदद की है। हम तकनीकी बुनियादी बातों, वास्तविक दुनिया के इम्प्लीमेंटेशन पैटर्न और इस पूरे परिदृश्य में Purple के क्लाउड-नेटिव RADIUS प्लेटफॉर्म की भूमिका को कवर करेंगे। आइए शुरू करते हैं। [तकनीकी गहरा विश्लेषण - लगभग 5 मिनट] तो, वास्तव में RADIUS क्या है? RADIUS का अर्थ है रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्विस। यह एक नेटवर्किंग प्रोटोकॉल है - जिसे RFC 2865 में परिभाषित किया गया है - जो नेटवर्क एक्सेस के लिए केंद्रीकृत ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग प्रदान करता है। सरल शब्दों में: यह वह सिस्टम है जो यह तय करता है कि किसी विज़िटर के डिवाइस को आपके नेटवर्क पर आने की अनुमति दी जानी चाहिए या नहीं, किन शर्तों के तहत, और कितने समय के लिए। इसके बाद यह पूरे सेशन को लॉग करता है। विशेष रूप से गेस्ट WiFi के लिए, RADIUS आपके एक्सेस पॉइंट्स और आपकी आइडेंटिटी लेयर के बीच काम करता है। एक विज़िटर आपके SSID से कनेक्ट होता है, उनका डिवाइस एक्सेस पॉइंट को एक ऑथेंटिकेशन अनुरोध भेजता है, एक्सेस पॉइंट इसे नेटवर्क एक्सेस सर्वर - या NAS - को फॉरवर्ड करता है जो फिर RADIUS सर्वर से क्वेरी करता है। RADIUS सर्वर क्रेडेंशियल्स को वैलिडेट करता है, एक Access-Accept या Access-Reject वापस करता है, और सेशन शुरू होता है या ब्लॉक कर दिया जाता है। इसके बाद अकाउंटिंग पैकेट सेशन की अवधि, उपयोग किए गए डेटा और समाप्त होने के कारण को ट्रैक करते हैं। इन तीन मुख्य कार्यों को अक्सर AAA कहा जाता है: ऑथेंटिकेशन, ऑथराइजेशन और अकाउंटिंग। ऑथेंटिकेशन पहचान की पुष्टि करता है। ऑथराइजेशन यह परिभाषित करता है कि वह पहचान किस चीज़ तक पहुँच सकती है - जैसे बैंडविड्थ सीमाएं, VLAN असाइनमेंट, सेशन की अवधि। अकाउंटिंग ऑडिट ट्रेल बनाती है। अब, गेस्ट WiFi के लिए ऑथेंटिकेशन का तरीका बहुत मायने रखता है। एक कॉर्पोरेट वातावरण में आप आम तौर पर EAP-TLS के साथ 802.1X का उपयोग करेंगे - जो सर्टिफिकेट-आधारित और बहुत सुरक्षित है। मेहमानों के लिए, यह व्यावहारिक नहीं है। मेहमानों के व्यक्तिगत डिवाइस पर सर्टिफिकेट नहीं होते हैं। इसलिए सामान्य पैटर्न RADIUS के साथ कंबाइन किया गया एक Captive Portal है। विज़िटर एक स्प्लैश पेज पर आता है, अपनी डिटेल्स दर्ज करता है या सोशल लॉगिन के माध्यम से ऑथेंटिकेट करता है, और Captive Portal उनकी ओर से RADIUS सर्वर के साथ उन क्रेडेंशियल्स को एक्सचेंज करता है। इसके बाद RADIUS सर्वर एक्सेस देने के लिए एक्सेस पॉइंट को सिग्नल देता है। यह बिल्कुल वही आर्किटेक्चर है जिसे Purple संचालित करता है। हमारी क्लाउड-नेटिव RADIUS सेवा ऑथेंटिकेशन एक्सचेंज को संभालती है, जबकि Captive Portal - जिसे आप Purple प्लेटफॉर्म के माध्यम से ब्रांड और कॉन्फ़िगर करते हैं - विज़िटर-फेसिंग अनुभव को प्रबंधित करता है। एक्सेस पॉइंट को केवल RADIUS सर्वर एड्रेस, पोर्ट और शेयर्ड सीक्रेट जानने की आवश्यकता होती है। Purple ये तीनों प्रदान करता है। आइए पोर्ट और प्रोटोकॉल के बारे में बात करते हैं। RADIUS ऑथेंटिकेशन ट्रैफ़िक UDP पोर्ट 1812 पर चलता है। RADIUS अकाउंटिंग UDP पोर्ट 1813 पर चलती है। आप अपने एक्सेस पॉइंट्स पर दोनों को कॉन्फ़िगर करेंगे। साझा सीक्रेट (shared secret) आपके एक्सेस पॉइंट और RADIUS सर्वर के बीच एक प्री-शेयर्ड की (pre-shared key) है - इसे एक पासवर्ड की तरह समझें। एक लंबी, रैंडम रूप से जनरेट की गई स्ट्रिंग का उपयोग करें। इसे कभी भी अन्य डिप्लॉयमेंट में दोबारा उपयोग न करें। हार्डवेयर की बात करें तो, Purple हार्डवेयर-अज्ञेयवादी (hardware-agnostic) है। हम अन्य ब्रांड्स के साथ-साथ Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks, और Fortinet के साथ काम करते हैं। कॉन्फ़िगरेशन के चरण वेंडर के अनुसार अलग-अलग होते हैं, लेकिन मुख्य RADIUS पैरामीटर समान रहते हैं: सर्वर IP या होस्टनाम, ऑथेंटिकेशन पोर्ट 1812, अकाउंटिंग पोर्ट 1813, साझा सीक्रेट (shared secret), और अकाउंटिंग इंटरवल। उदाहरण के लिए, Avaya एक्सेस पॉइंट्स के लिए, आप External RADIUS सेक्शन के तहत RADIUS एट्रिब्यूट्स को कॉन्फ़िगर करते हैं, Called-Station-Id फ़ॉर्मेट को UC-हाइफ़नेटेड MAC फ़ॉर्मेट पर सेट करते हैं, अकाउंटिंग को सक्षम करते हैं, और फिर Purple के Captive Portal URLs की ओर इशारा करते हुए वेब पेज रीडायरेक्शन के साथ SSID को कॉन्फ़िगर करते हैं। Purple के सपोर्ट दस्तावेज़ गाइड में दिए गए लिंक पर Avaya के लिए सटीक चरणों को कवर करते हैं। Pepwave MAX सीरीज़ के डिवाइस के लिए, आप या तो InControl2 - जो उनका क्लाउड मैनेजमेंट प्लेटफॉर्म है - के माध्यम से या सीधे लोकल वेब इंटरफेस के माध्यम से कॉन्फ़िगर कर सकते हैं। दोनों ही तरीकों से, आप एक बाहरी Captive Portal सेटअप कर रहे हैं, ऑथेंटिकेशन और अकाउंटिंग को Purple के RADIUS सर्वर की ओर निर्देशित कर रहे हैं, और ओपन सिक्योरिटी और जुड़े हुए Captive Portal के साथ SSID को कॉन्फ़िगर कर रहे हैं। फिर से, सटीक चरण Purple के सपोर्ट दस्तावेज़ों में दिए गए हैं। एक आर्किटेक्चरल निर्णय जिस पर ध्यान देना आवश्यक है: प्राइमरी और सेकेंडरी RADIUS सर्वर। हमेशा दोनों को कॉन्फ़िगर करें। रेडंडेंसी (redundancy) के लिए Purple दो RADIUS सर्वर एड्रेस प्रदान करता है। यदि प्राइमरी अनुपलब्ध है, तो एक्सेस पॉइंट स्वचालित रूप से सेकेंडरी पर फ़ेलओवर हो जाता है। सेकेंडरी के बिना, RADIUS सर्वर में थोड़ी सी भी रुकावट का मतलब है कि आपके मेहमान कनेक्ट नहीं हो पाएंगे। 300 कमरों वाले होटल में या 40,000 प्रशंसकों वाले स्टेडियम में, यह एक गंभीर समस्या है। VLAN सेग्मेंटेशन दूसरा महत्वपूर्ण हिस्सा है। आपका गेस्ट WiFi ट्रैफ़िक आपके कॉर्पोरेट या ऑपरेशनल नेटवर्क को कभी नहीं छूना चाहिए। गेस्ट सेशन को एक समर्पित VLAN पर असाइन करें, उस VLAN को एक अलग इंटरनेट अपलिंक पर रूट करें या कम से कम सख्त इग्रेस नियमों वाले फ़ायरवॉल के माध्यम से रूट करें। यदि आप एक ही फिजिकल इंफ्रास्ट्रक्चर पर कहीं भी कार्ड पेमेंट प्रोसेस करते हैं तो यह एक PCI-DSS आवश्यकता है, और वैसे भी यह केवल एक अच्छा अभ्यास है। [कार्यान्वयन की सिफारिशें और संभावित गलतियाँ - लगभग 2 मिनट] आइए मैं आपको तीन ऐसी चीज़ें बताता हूँ जो सबसे ज़्यादा गलत होती हैं। पहला: साझा सीक्रेट (shared secret) का बेमेल होना। एक्सेस पॉइंट पर साझा सीक्रेट ठीक उसी से मेल खाना चाहिए जो RADIUS सर्वर में रजिस्टर्ड है। यह केस-सेंसिटिव है, हर एक कैरेक्टर सटीक होना चाहिए। एक भी गलत कैरेक्टर बिना किसी उपयोगी त्रुटि संदेश के Access-Reject उत्पन्न करता है। मैन्युअल रूप से टाइप करने के बजाय हमेशा अपने Purple डैशबोर्ड से कॉपी-पेस्ट करें। दूसरा: whitelist अंतराल। विज़िटर द्वारा प्रमाणित करने से पहले, उनके डिवाइस को captive portal तक पहुँचना आवश्यक है। इसका मतलब है कि एक्सेस पॉइंट पर कुछ डोमेन को whitelist किया जाना चाहिए - Purple के पोर्टल URLs, प्रमाणीकरण एंडपॉइंट्स, और आपके द्वारा उपयोग किए जा रहे कोई भी सोशल लॉगिन प्रदाता। यदि whitelist अधूरी है, तो विज़िटर्स को एक खाली पेज या टाइमआउट दिखाई देता है। Purple सपोर्ट दस्तावेज़ों में आवश्यक डोमेन की एक वर्तमान सूची बनाए रखता है - उस सूची का उपयोग करें, अनुमान न लगाएं। तीसरा: accounting interval। यह नियंत्रित करता है कि एक्सेस पॉइंट RADIUS सर्वर को कितनी बार अंतरिम accounting अपडेट भेजता है। इसे बहुत लंबा सेट करने पर आप सेशन की बारीकियां खो देते हैं। इसे बहुत छोटा सेट करने पर आप अनावश्यक ट्रैफ़िक उत्पन्न करते हैं। अधिकांश डेप्लॉयमेंट के लिए, 240 से 300 सेकंड सही रेंज है। Avaya का अनुशंसित अंतराल 300 सेकंड है; Pepwave का 180 से 240 सेकंड है। वेंडर-विशिष्ट मार्गदर्शन का पालन करें। अनुपालन के मोर्चे पर: GDPR की आवश्यकता है कि आपके पास विज़िटर डेटा एकत्र करने का एक कानूनी आधार हो। स्पष्ट सहमति चेकबॉक्स के साथ एक अच्छी तरह से कॉन्फ़िगर किया गया captive portal इसे संतुष्ट करता है। Purple का प्लेटफ़ॉर्म GDPR के अनुकूल और ISO 27001 प्रमाणित है। Purple के माध्यम से प्रत्येक लॉगिन एक सचेत-विकल्प ऑप्ट-इन है - विज़िटर कनेक्ट होने से पहले सक्रिय रूप से आपकी शर्तों से सहमत होता है। वह ऑडिट ट्रेल ही आपका अनुपालन प्रमाण है। [रैपिड-फायर प्रश्नोत्तर - लगभग 1 मिनट] त्वरित प्रश्न जो मुझसे नियमित रूप से पूछे जाते हैं। "क्या मुझे अपने मौजूदा हार्डवेयर को बदलने की आवश्यकता है?" नहीं। Purple आपके मौजूदा इन्फ्रास्ट्रक्चर के शीर्ष पर काम करता है। किसी भी बदलाव या हटाने की आवश्यकता नहीं है। "क्या मैं उसी प्लेटफ़ॉर्म पर स्टाफ WiFi के लिए RADIUS का उपयोग कर सकता हूँ?" हाँ। Purple गेस्ट और स्टाफ के लिए अलग-अलग SSID का समर्थन करता है, जिनमें से प्रत्येक पर अलग-अलग प्रमाणीकरण नीतियां होती हैं। "क्या होगा यदि मेरे स्थान पर कई साइटें हैं?" Purple सिंगल पेन ऑफ ग्लास से मल्टी-साइट डेप्लॉयमेंट को प्रबंधित करता है। आप एक बार कॉन्फ़िगर करते हैं और सभी साइटों पर दोहराते हैं। "क्या क्लाउड RADIUS ऑन-प्रिमाइसेस की तुलना में कम सुरक्षित है?" नहीं। Purple का क्लाउड RADIUS 99.999% अपटाइम, ISO 27001 सर्टिफिकेशन, और एंड-टू-एंड एन्क्रिप्शन के साथ काम करता है। इसका अटैक सरफेस स्व-प्रबंधित सर्वर की तुलना में छोटा है क्योंकि पैचिंग और हार्डनिंग को केंद्रीय रूप से संभाला जाता है। "एक पूर्ण डेप्लॉयमेंट में कितना समय लगता है?" समर्थित हार्डवेयर वाले एकल स्थान के लिए, एक नेटवर्क एडमिनिस्ट्रेटर दो घंटे से भी कम समय में RADIUS कॉन्फ़िगरेशन को पूरा कर सकता है। सहायता के लिए Purple की ऑनबोर्डिंग टीम उपलब्ध है। [सारांश और अगले कदम - लगभग 1 मिनट] संक्षेप में। गेस्ट WiFi के लिए RADIUS प्रमाणीकरण आपको सेंट्रलाइज्ड एक्सेस कंट्रोल, एक पूर्ण accounting ट्रेल, और GDPR और PCI-DSS के लिए आवश्यक अनुपालन आधार प्रदान करता है। आर्किटेक्चर सीधा है: एक्सेस पॉइंट से NAS से RADIUS सर्वर से Purple के क्लाउड प्लेटफ़ॉर्म तक। सही करने वाली तीन चीज़ें हैं साझा सीक्रेट, डोमेन whitelist, और accounting interval। Purple दुनिया भर में 80,000 से अधिक स्थानों पर क्लाउड-नेटिव RADIUS का संचालन करता है, जिसने 2024 में 440 मिलियन लॉगिन संभाले हैं। यह प्लेटफ़ॉर्म हार्डवेयर-स्वतंत्र, ISO 27001 प्रमाणित, और GDPR अनुकूल है।आपके अगले कदम: जाँचें कि क्या आपका हार्डवेयर Purple की समर्थित सूची में है, अपने Purple डैशबोर्ड से RADIUS सर्वर क्रेडेंशियल प्राप्त करें, और Purple के सहायता केंद्र में विक्रेता-विशिष्ट कॉन्फ़िगरेशन गाइड का पालन करें। यदि आपको सहायता की आवश्यकता है, तो Purple की तकनीकी टीम इसके बारे में आपका मार्गदर्शन कर सकती है। सुनने के लिए धन्यवाद। आरेख, व्यावहारिक उदाहरणों और कॉन्फ़िगरेशन संदर्भों के साथ पूरी लिखित गाइड नीचे लिंक की गई है।