RADIUS ऑथेंटिकेशन क्या है और यह कैसे काम करता है?

### RADIUS ऑथेंटिकेशन क्या है और यह कैसे काम करता है? — Purple टेक्निकल ब्रीफिंग **[परिचय — 1 मिनट]** Purple टेक्निकल ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और अगले दस मिनट में, हम एंटरप्राइज़ नेटवर्क सुरक्षा के लिए सबसे महत्वपूर्ण तकनीकों में से एक को स्पष्ट करने जा रहे हैं: RADIUS ऑथेंटिकेशन। यदि आप एक IT मैनेजर, नेटवर्क आर्किटेक्ट, या किसी बड़े वेन्यू — होटल, रिटेल चेन, स्टेडियम, या कॉन्फ्रेंस सेंटर — में WiFi के लिए ज़िम्मेदार CTO हैं, तो यह ब्रीफिंग विशेष रूप से आपके लिए है। हम तकनीकी शब्दों (jargon) को दूर करेंगे, आर्किटेक्चर को स्पष्ट रूप से समझाएँगे, और आपको वे व्यावहारिक अंतर्दृष्टि देंगे जिनकी आपको इसी तिमाही में सूचित निर्णय लेने के लिए आवश्यकता है। आइए बड़ी तस्वीर से शुरू करते हैं। यह सब क्यों मायने रखता है? यदि आप अभी भी अपने गेस्ट या स्टाफ WiFi को एक सिंगल शेयर्ड पासवर्ड — एक प्री-शेयर्ड की, या PSK — पर चला रहे हैं, तो आप एक महत्वपूर्ण और बढ़ते सुरक्षा जोखिम के साथ काम कर रहे हैं। वह पासवर्ड शेयर किया जाता है, रसीदों पर लिखा जाता है, व्हाइटबोर्ड पर फोटो खींचा जाता है, और मैसेजिंग ऐप्स के माध्यम से फॉरवर्ड किया जाता है। एक बार जब यह बाहर हो जाता है, तो आपके पास इस बात की कोई विज़िबिलिटी नहीं होती है कि आपके नेटवर्क पर कौन है, सभी को बाधित किए बिना किसी एक यूज़र के लिए एक्सेस रद्द करने की कोई क्षमता नहीं होती है, और यदि कुछ गलत होता है तो कोई ऑडिट ट्रेल नहीं होता है। PCI DSS, GDPR, या HIPAA के अधीन संगठनों के लिए, यह केवल एक तकनीकी समस्या नहीं है। यह एक कंप्लायंस दायित्व (liability) है。 RADIUS वह समाधान है जिस पर इंडस्ट्री ने इसे संबोधित करने के लिए सहमति व्यक्त की है। तो आइए समझते हैं कि यह वास्तव में क्या है और यह कैसे काम करता है। **[तकनीकी डीप-डाइव — 5 मिनट]** RADIUS का अर्थ Remote Authentication Dial-In User Service है। यह नाम डायल-अप इंटरनेट के शुरुआती दिनों की एक ऐतिहासिक कलाकृति (artefact) है, लेकिन प्रोटोकॉल काफी विकसित हुआ है और आज एंटरप्राइज़ नेटवर्क एक्सेस कंट्रोल की रीढ़ बना हुआ है। इसके मूल में, RADIUS एक केंद्रीकृत सर्वर-आधारित सिस्टम है जो AAA — Authentication, Authorization, और Accounting नामक फ्रेमवर्क का उपयोग करके नेटवर्क एक्सेस का प्रबंधन करता है। ये तीन स्तंभ उस हर चीज़ की नींव हैं जिस पर हम आज चर्चा करेंगे। Authentication पहला स्तंभ है: यह सत्यापित करना कि कोई व्यक्ति कौन है। Authorization दूसरा है: यह निर्धारित करना कि उन्हें क्या करने की अनुमति है। और Accounting तीसरा है: यह रिकॉर्ड करना कि उन्होंने वास्तव में क्या किया। आइए प्रत्येक का अन्वेषण करें। Authentication. जब कोई यूज़र WPA2-Enterprise या WPA3-Enterprise से सुरक्षित WiFi नेटवर्क से कनेक्ट करने का प्रयास करता है, तो उनका डिवाइस — जिसे हम Supplicant कहते हैं — वायरलेस एक्सेस पॉइंट को कनेक्शन रिक्वेस्ट भेजता है। एक्सेस पॉइंट, जिसे हम Authenticator कहते हैं, स्वयं ऑथेंटिकेशन का निर्णय नहीं लेता है। यह एक रिले के रूप में कार्य करता है, रिक्वेस्ट को RADIUS सर्वर को फॉरवर्ड करता है। RADIUS सर्वर फिर कॉन्फ़िगर किए गए आइडेंटिटी सोर्स के विरुद्ध यूज़र की पहचान को वैलिडेट करता है। यह Microsoft Active Directory, Azure Active Directory, Google Workspace, Okta, या एक लोकल यूज़र डेटाबेस हो सकता है। आइडेंटिटी सोर्स इस बात का सिंगल सोर्स ऑफ़ ट्रुथ है कि आपके नेटवर्क पर किसे अनुमति है। RADIUS सर्वर कई तरीकों से पहचान को वैलिडेट कर सकता है। एंटरप्राइज़ वातावरण में सबसे आम क्रेडेंशियल-आधारित तरीके हैं, जहाँ यूज़र एक यूज़रनेम और पासवर्ड प्रदान करता है, और सर्टिफ़िकेट-आधारित तरीके हैं, जहाँ यूज़र का डिवाइस एक डिजिटल सर्टिफ़िकेट प्रस्तुत करता है। हम जल्द ही प्रत्येक के सुरक्षा निहितार्थों (implications) के बारे में बात करेंगे। Authorization. एक बार यूज़र ऑथेंटिकेट हो जाने के बाद, RADIUS सर्वर केवल हाँ नहीं कहता और किनारे नहीं हट जाता। यह एक्सेस पॉइंट को यह भी बताता है कि इस यूज़र के साथ वास्तव में क्या करना है। यह एट्रिब्यूट्स का एक सेट — अनिवार्य रूप से निर्देश — वापस भेजता है जो यूज़र के नेटवर्क अनुभव को परिभाषित करते हैं। इनमें से सबसे महत्वपूर्ण आमतौर पर VLAN असाइनमेंट होता है। RADIUS सर्वर कह सकता है: यह यूज़र कॉर्पोरेट स्टाफ ग्रुप का सदस्य है, उन्हें VLAN दस असाइन करें, जिसके पास इंटरनल फ़ाइल सर्वर्स और प्रिंटर्स तक एक्सेस है। या: यह यूज़र एक गेस्ट है, उन्हें VLAN बीस असाइन करें, जिसके पास केवल इंटरनेट एक्सेस है और यह कॉर्पोरेट नेटवर्क से पूरी तरह से अलग है। यह डायनामिक VLAN असाइनमेंट RADIUS की सबसे शक्तिशाली विशेषताओं में से एक है, और यह वह तंत्र है जो उचित नेटवर्क सेगमेंटेशन को सक्षम बनाता है। Accounting. तीसरे स्तंभ को अक्सर अनदेखा कर दिया जाता है, लेकिन यह कंप्लायंस और ऑपरेशन्स के लिए गंभीर रूप से महत्वपूर्ण है। जैसे-जैसे यूज़र का सेशन आगे बढ़ता है, RADIUS सर्वर महत्वपूर्ण जानकारी लॉग करता है: उनके कनेक्ट होने का समय, उनके डिस्कनेक्ट होने का समय, कुल सेशन अवधि, उनके द्वारा ट्रांसफर किए गए डेटा की मात्रा, और उनके डिवाइस का MAC एड्रेस। यह आपके नेटवर्क पर हर कनेक्शन के लिए एक विस्तृत ऑडिट ट्रेल बनाता है। PCI DSS 4.0 के तहत, इस प्रकार की लॉगिंग वैकल्पिक नहीं है — यह एक सख्त आवश्यकता है। और किसी सुरक्षा घटना की स्थिति में, ये लॉग्स फोरेंसिक जाँच के लिए अमूल्य हैं। अब, आइए उस तकनीकी मानक के बारे में बात करते हैं जो इस सब को काम करने योग्य बनाता है: IEEE 802.1X। 802.1X वह मानक है जो पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल को परिभाषित करता है। यह वह प्रोटोकॉल है जो एक एक्सेस पॉइंट को किसी डिवाइस से सभी नेटवर्क ट्रैफ़िक को तब तक ब्लॉक करने की अनुमति देता है जब तक कि RADIUS सर्वर यह पुष्टि नहीं कर देता कि डिवाइस ऑथराइज़्ड है। यूज़र के डिवाइस और एक्सेस पॉइंट के बीच संचार EAP — Extensible Authentication Protocol नामक प्रोटोकॉल का उपयोग करता है। EAP अनिवार्य रूप से एक फ्रेमवर्क है जो कई ऑथेंटिकेशन तरीकों का समर्थन करता है। एंटरप्राइज़ WiFi में तीन सबसे आम EAP तरीके हैं: PEAP, जिसका अर्थ Protected Extensible Authentication Protocol है; EAP-TTLS; और EAP-TLS। PEAP और EAP-TTLS क्रेडेंशियल-आधारित तरीके हैं। वे डिवाइस और RADIUS सर्वर के बीच एक एन्क्रिप्टेड टनल बनाते हैं, और फिर यूज़र के यूज़रनेम और पासवर्ड को उस टनल के अंदर सत्यापित किया जाता है। उन्हें डिप्लॉय करना अपेक्षाकृत आसान है और वे उन वातावरणों में अच्छी तरह से काम करते हैं जहाँ आप अभी तक पूर्ण सर्टिफ़िकेट इंफ्रास्ट्रक्चर के लिए तैयार नहीं हैं। EAP-TLS गोल्ड स्टैंडर्ड है। यह सर्टिफ़िकेट-आधारित है, जिसका अर्थ है कि सर्वर और क्लाइंट डिवाइस दोनों एक-दूसरे को ऑथेंटिकेट करने के लिए डिजिटल सर्टिफ़िकेट प्रस्तुत करते हैं। इसमें कोई पासवर्ड शामिल नहीं है। यह क्रेडेंशियल चोरी, फ़िशिंग हमलों और मैन-इन-द-मिडल हमलों के जोखिम को पूरी तरह से समाप्त कर देता है। कॉर्पोरेट डिवाइसेज़ के लिए, EAP-TLS वह ऑथेंटिकेशन तरीका है जिसकी दिशा में आपको काम करना चाहिए। **[इम्प्लीमेंटेशन और कमियाँ — 2 मिनट]** तो आप वास्तव में इस सब को कैसे डिप्लॉय करते हैं? मैं आपको प्रमुख चरणों के बारे में बताता हूँ। पहला, अपना RADIUS सर्वर चुनें। आप एक ऑन-प्रिमाइसेस सर्वर डिप्लॉय कर सकते हैं — Windows वातावरण में Microsoft का Network Policy Server एक आम विकल्प है — या क्लाउड-आधारित RADIUS सर्विस का उपयोग कर सकते हैं। Purple द्वारा पेश किए गए क्लाउड RADIUS प्लेटफ़ॉर्म, ऑपरेशनल ओवरहेड के बिना पूरी तरह से प्रबंधित, अत्यधिक उपलब्ध इंफ्रास्ट्रक्चर प्रदान करते हैं। मल्टी-साइट संगठनों के लिए, क्लाउड दृष्टिकोण लगभग हमेशा सही विकल्प होता है। दूसरा, अपने आइडेंटिटी सोर्स को इंटीग्रेट करें। अपने RADIUS सर्वर को अपने संगठन की आइडेंटिटी डायरेक्टरी से कनेक्ट करें। अधिकांश आधुनिक क्लाउड RADIUS प्लेटफ़ॉर्म Azure AD, Google Workspace, और Okta के साथ सीधे इंटीग्रेशन का समर्थन करते हैं। तीसरा, अपना नेटवर्क हार्डवेयर कॉन्फ़िगर करें। WPA2-Enterprise या WPA3-Enterprise के लिए कॉन्फ़िगर किया गया एक नया SSID बनाएँ और इसे अपने RADIUS सर्वर पर पॉइंट करें। आप एक शेयर्ड सीक्रेट भी कॉन्फ़िगर करेंगे — एक पासवर्ड जो एक्सेस पॉइंट और RADIUS सर्वर के बीच संचार को एन्क्रिप्ट करता है। यह शेयर्ड सीक्रेट दोनों तरफ बिल्कुल मेल खाना चाहिए। यहाँ बेमेल होना शुरुआती डिप्लॉयमेंट के दौरान ऑथेंटिकेशन विफलताओं के सबसे आम कारणों में से एक है。 चौथा, अपनी ऑथराइज़ेशन पॉलिसीज़ परिभाषित करें। यूज़र ग्रुप्स को नेटवर्क पॉलिसीज़ से मैप करें — स्टाफ को VLAN दस पर पूर्ण एक्सेस मिलता है, गेस्ट्स को VLAN बीस पर केवल इंटरनेट एक्सेस मिलता है। पाँचवाँ, अपने यूज़र्स को ऑनबोर्ड करें। कॉर्पोरेट स्टाफ के लिए, अपने MDM प्लेटफ़ॉर्म के माध्यम से WiFi प्रोफ़ाइल डिप्लॉय करें। गेस्ट्स के लिए, एक Captive Portal का उपयोग करें। Purple का प्लेटफ़ॉर्म गेस्ट ऑनबोर्डिंग फ़्लो को ऑटोमेट करता है, जो सोशल मीडिया लॉगिन, रजिस्ट्रेशन फ़ॉर्म और वाउचर कोड का समर्थन करता है। **[रैपिड-फ़ायर Q&A — 1 मिनट]** आइए उन सवालों पर एक रैपिड-फ़ायर Q&A करते हैं जो हम सबसे अधिक सुनते हैं। पहला: RADIUS और Captive Portal के बीच क्या अंतर है? Captive Portal वह लॉगिन पेज है जिसे गेस्ट्स कनेक्ट होने पर देखते हैं। यह RADIUS के साथ काम करता है। पोर्टल यूज़र इंटरफ़ेस है; RADIUS बैक-एंड इंजन है। दूसरा: क्या मैं वायर्ड नेटवर्क के लिए RADIUS का उपयोग कर सकता हूँ? बिल्कुल। 802.1X मानक वायर्ड ईथरनेट और वायरलेस नेटवर्क पर समान रूप से लागू होता है। तीसरा: क्या RADIUS को सेट अप करना मुश्किल है? इसकी जटिलता के लिए एक प्रतिष्ठा है, लेकिन आधुनिक क्लाउड प्लेटफ़ॉर्म ने इसे नाटकीय रूप से बदल दिया है। Purple जैसी प्रबंधित सेवा के साथ, आप एक प्रोडक्शन-रेडी RADIUS डिप्लॉयमेंट को तेज़ी से चालू कर सकते हैं। **[सारांश और अगले कदम — 1 मिनट]** संक्षेप में: RADIUS वह केंद्रीकृत प्रोटोकॉल है जो एंटरप्राइज़ WiFi सुरक्षा को शक्ति प्रदान करता है। यह आपको इस बात पर ग्रैन्युलर नियंत्रण देने के लिए AAA फ्रेमवर्क लागू करता है कि आपके नेटवर्क तक कौन पहुँच सकता है, वे क्या कर सकते हैं, और उनकी गतिविधि का एक पूरा ऑडिट ट्रेल। वेन्यू ऑपरेटरों, होटल व्यवसायियों, खुदरा विक्रेताओं और सार्वजनिक क्षेत्र के संगठनों के लिए, RADIUS डिप्लॉय करना एक सुरक्षित, कंप्लायंट और पेशेवर रूप से प्रबंधित WiFi इंफ्रास्ट्रक्चर बनाने में मूलभूत कदम है। आपका अगला कदम स्पष्ट है: यदि आप अभी भी प्री-शेयर्ड कीज़ पर चल रहे हैं, तो आज ही अपने माइग्रेशन की योजना बनाना शुरू करें। WPA3-Enterprise समर्थन के लिए अपने वर्तमान हार्डवेयर की समीक्षा करें, अपने आइडेंटिटी डायरेक्टरी इंटीग्रेशन विकल्पों का आकलन करें, और एक क्लाउड RADIUS प्लेटफ़ॉर्म का अन्वेषण करें जो आपके संगठन के साथ स्केल कर सके। इस Purple टेक्निकल ब्रीफिंग में हमारे पास बस इतना ही समय है। सुनने के लिए धन्यवाद। Purple आपके वेन्यूज़ में सुरक्षित, इंटेलिजेंट WiFi डिप्लॉय करने में आपकी कैसे मदद कर सकता है, इसके बारे में अधिक जानने के लिए, purple dot ai पर जाएँ। अगली बार तक, सुरक्षित रहें।