Cloud RADIUS के साथ 802.1X प्रमाणीकरण को कैसे लागू करें

Cloud RADIUS के साथ 802.1X प्रमाणीकरण कैसे लागू करें एक Purple WiFi इंटेलिजेंस ब्रीफिंग --- परिचय और संदर्भ (लगभग 1 मिनट) --- Purple WiFi इंटेलिजेंस ब्रीफिंग में आपका स्वागत है। मैं आपका होस्ट हूँ, और आज हम Cloud RADIUS के साथ 802.1X प्रमाणीकरण के बारे में विस्तार से जानेंगे - यह क्या है, यह अभी क्यों महत्वपूर्ण है, और इसे वास्तव में एक बहु-साइट एस्टेट में कैसे तैनात किया जाए। यदि आप किसी होटल समूह, एक रिटेल चेन, एक स्टेडियम, या एक सार्वजनिक-क्षेत्र के संगठन के लिए WiFi इन्फ्रास्ट्रक्चर का प्रबंधन कर रहे हैं, तो यह उन विषयों में से एक है जो बार-बार सामने आता है - और अच्छे कारण के लिए। खतरे का परिदृश्य बदल गया है। साझा PSK नेटवर्क को तेजी से एक अनुपालन दायित्व के रूप में देखा जा रहा है, न कि केवल एक सुरक्षा असुविधा के रूप में। नियामक, लेखा परीक्षक, और साइबर बीमाकर्ता सभी नेटवर्क एक्सेस कंट्रोल के बारे में कठिन सवाल पूछ रहे हैं। और अच्छी खबर यह है कि क्लाउड-डिलीवर्ड RADIUS ने बड़े पैमाने पर 802.1X को वास्तविक रूप से तैनात करने योग्य बना दिया है, बिना उस ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चर ओवरहेड के जो पहले इसे वितरित एस्टेट के लिए अव्यावहारिक बनाता था। तो चलिए शुरू करते हैं। --- तकनीकी गहन चर्चा (लगभग 5 मिनट) --- सबसे पहले, आइए सुनिश्चित करें कि हम सभी एक ही परिभाषा पर काम कर रहे हैं। IEEE 802.1X एक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक है। यह एक प्रमाणीकरण ढांचे को परिभाषित करता है जो OSI मॉडल के लेयर 2 पर बैठता है - इसलिए यह डिवाइस को कोई भी IP कनेक्टिविटी दिए जाने से पहले काम करता है। एप्लीकेशन-लेयर प्रमाणीकरण से यही मुख्य अंतर है। 802.1X के साथ, कोई भी डिवाइस तब तक नेटवर्क पर नहीं आ सकता जब तक कि उसे सकारात्मक रूप से प्रमाणित न कर दिया जाए। इस प्रोटोकॉल के तीन घटक हैं। सप्लीकेंट - यानी एंड डिवाइस, चाहे वह लैपटॉप हो, स्मार्टफोन हो, या पॉइंट-ऑफ-सेल टर्मिनल हो। ऑथेंटिकेटर - आमतौर पर आपका WiFi एक्सेस पॉइंट या आपका प्रबंधित स्विच। और ऑथेंटिकेशन सर्वर - जो आधुनिक तैनाती में आपका क्लाउड RADIUS सेवा है। फ्लो इस तरह काम करता है। एक डिवाइस एक्सेस पॉइंट से जुड़ने का प्रयास करता है। एक्सेस पॉइंट तुरंत पूर्ण नेटवर्क एक्सेस नहीं देता है। इसके बजाय, यह एक नियंत्रित पोर्ट खोलता है और डिवाइस के साथ एक EAP एक्सचेंज - यानी एक्सटेंसिबल ऑथेंटिकेशन प्रोटोकॉल - शुरू करता है। डिवाइस अपने क्रेडेंशियल प्रस्तुत करता है, जो एक यूज़रनेम और पासवर्ड, एक डिजिटल प्रमाणपत्र, या एक सिम-आधारित पहचान हो सकती है। एक्सेस पॉइंट UDP पर RADIUS प्रोटोकॉल का उपयोग करके उस एक्सचेंज को RADIUS सर्वर पर रिले करता है, आमतौर पर प्रमाणीकरण के लिए पोर्ट 1812 और अकाउंटिंग के लिए 1813 पर। RADIUS सर्वर एक पहचान स्टोर - Active Directory, Azure AD, या एक LDAP निर्देशिका - के खिलाफ क्रेडेंशियल को मान्य करता है और या तो Access-Accept या Access-Reject संदेश लौटाता है। यदि स्वीकार किया जाता है, तो एक्सेस पॉइंट पोर्ट खोलता है और डिवाइस को नेटवर्क एक्सेस मिल जाता है। यदि अस्वीकार कर दिया जाता है, तो यह ब्लॉक रहता है। सिद्धांत रूप में सरल है, लेकिन कार्यान्वयन विवरण बहुत मायने रखते हैं। अब, EAP विधि का चयन वह जगह है जहाँ बहुत सी तैनातियाँ गलत हो जाती हैं। आम उपयोग में कई EAP विधियाँ हैं, और उनके सुरक्षा प्रोफाइल और परिचालन आवश्यकताएं बहुत भिन्न हैं।EAP-TLS गोल्ड स्टैंडर्ड है। इसमें पारस्परिक सर्टिफिकेट प्रमाणीकरण की आवश्यकता होती है - सर्वर और क्लाइंट दोनों एक सर्टिफिकेट प्रस्तुत करते हैं। यह क्रेडेंशियल चोरी के जोखिम को पूरी तरह से समाप्त कर देता है, क्योंकि चोरी करने के लिए कोई पासवर्ड नहीं होते हैं। लेकिन इसके लिए एक PKI इन्फ्रास्ट्रक्चर और क्लाइंट सर्टिफिकेट को डिवाइस पर पुश करने के लिए एक मैकेनिज्म की आवश्यकता होती है, जिसका आमतौर पर मतलब एक MDM समाधान होता है। कॉर्पोरेट BYOD वातावरण और उच्च-सुरक्षा वाली तैनाती के लिए, यह सही उत्तर है। MSCHAPv2 के साथ PEAP उद्यम वातावरण में सबसे व्यापक रूप से तैनात विधि है। इसमें केवल सर्वर-साइड सर्टिफिकेट की आवश्यकता होती है, और यह TLS के भीतर क्रेडेंशियल एक्सचेंज को टनल करता है। यह मूल रूप से Active Directory के साथ संगत है, जो इसे परिचालन रूप से सीधा बनाता है। जोखिम यह है कि यदि उपयोगकर्ता स्व-हस्ताक्षरित सर्टिफिकेट वाले किसी दुष्ट एक्सेस पॉइंट से जुड़ते हैं, तो यह क्रेडेंशियल हार्वेस्टिंग के प्रति संवेदनशील हो जाता है - इसलिए क्लाइंट साइड पर सर्टिफिकेट सत्यापन गैर-परक्राम्य है। EAP-TTLS PEAP के समान है लेकिन आंतरिक प्रमाणीकरण विधि में अधिक लचीला है। यह विशेष रूप से मिश्रित-डिवाइस वातावरण में उपयोगी है जहां आपके पास विभिन्न सप्लीकेंट क्षमताओं वाले Windows, macOS, iOS और Android डिवाइस का संयोजन होता है। विरासत डिवाइस समर्थन के लिए - जैसे कि पुराने पॉइंट-ऑफ-सेल हार्डवेयर या IoT सेंसर - EAP-FAST एक व्यावहारिक विकल्प हो सकता है, क्योंकि इसमें सर्टिफिकेट की आवश्यकता नहीं होती है और इसके बजाय यह Protected Access Credential का उपयोग करता है। अब, क्लाउड RADIUS का हिस्सा। पारंपरिक रूप से, RADIUS एक ऑन-प्रिमाइसेस सेवा थी - Linux सर्वर पर FreeRADIUS, या Windows Server पर Microsoft NPS। वह मॉडल काम करता है, लेकिन इसकी वास्तविक परिचालन लागतें हैं: हार्डवेयर रखरखाव, उच्च उपलब्धता कॉन्फ़िगरेशन, पैचिंग, और हर उस साइट पर स्थानीय इन्फ्रास्ट्रक्चर की आवश्यकता जिसे कम-विलंबता प्रमाणीकरण की आवश्यकता है। क्लाउड RADIUS उस गणना को महत्वपूर्ण रूप से बदल देता है। एक क्लाउड RADIUS सेवा प्रदाता द्वारा होस्ट और प्रबंधित की जाती है। आपके एक्सेस पॉइंट इंटरनेट पर क्लाउड सेवा को RADIUS अनुरोध भेजते हैं, जो आपके पहचान प्रदाता के खिलाफ प्रमाणीकरण को संभालता है। विलंबता की चिंता वास्तविक है लेकिन प्रबंधनीय है - आधुनिक क्लाउड RADIUS सेवाएं विश्व स्तर पर वितरित हैं, और प्रमाणीकरण राउंड-ट्रिप आमतौर पर 100 मिलीसेकंड से कम समय में पूरे हो जाते हैं, जो अंतिम उपयोगकर्ताओं के लिए अगोचर है। पहचान प्रदाताओं के साथ एकीकरण महत्वपूर्ण निर्भरता है। अधिकांश क्लाउड RADIUS प्लेटफॉर्म LDAP, LDAPS, SAML 2.0 और सीधे Azure AD या Okta एकीकरण का समर्थन करते हैं। पहले से ही Microsoft 365 चलाने वाले संगठनों के लिए, Azure AD एकीकरण प्राकृतिक मार्ग है - आपको सिंगल साइन-ऑन, क्रेडेंशियल एक्सेस नीतियां और MFA प्रवर्तन सभी आपके नेटवर्क एक्सेस कंट्रोल लेयर में मिलते हैं। उन स्थानों के लिए जो कर्मचारी नेटवर्क के साथ-साथ गेस्ट WiFi तैनात कर रहे हैं, आर्किटेक्चर आमतौर पर इन्हें अलग-अलग SSIDs में अलग करता है जिसमें विभिन्न प्रमाणीकरण नीतियां होती हैं। कर्मचारी नेटवर्क कॉर्पोरेट क्रेडेंशियल के साथ 802.1X का उपयोग करते हैं। गेस्ट नेटवर्क एक Captive Portal या सोशल लॉगिन फ्लो का उपयोग करते हैं। Purple का प्लेटफ़ॉर्म दोनों मॉडलों का समर्थन करता है, और WiFi एनालिटिक्स लेयर दोनों पर काम करती है, जिससे आपको सुरक्षा सेगमेंटेशन से समझौता किए बिना डिवाइस के व्यवहार, रुकने के समय और नेटवर्क उपयोग की दृश्यता मिलती है। --- कार्यान्वयन सिफारिशें और संभावित गलतियां (लगभग 2 मिनट) --- मैं आपको व्यावहारिक परिनियोजन अनुक्रम देता हूँ, और उन विफलताओं को चिन्हित करता हूँ जिन्हें मैं अक्सर देखता हूँ। अपने पहचान प्रदाता एकीकरण के साथ शुरुआत करें। किसी भी एक्सेस पॉइंट को छूने से पहले, पुष्टि करें कि आपकी क्लाउड RADIUS सेवा आपके डायरेक्टरी के खिलाफ प्रमाणित हो सकती है। एक सर्विस अकाउंट के साथ परीक्षण करें, LDAP बाइंड को मान्य करें, और पुष्टि करें कि समूह सदस्यता विशेषताएँ सही ढंग से वापस आ रही हैं - क्योंकि आपको VLAN असाइनमेंट नीतियों के लिए उनकी आवश्यकता होगी। दूसरा, अपनी प्रमाणपत्र रणनीति की योजना बनाएं। यदि आप EAP-TLS के साथ जा रहे हैं, तो आपको एक CA की आवश्यकता है, आपको यह तय करना होगा कि आप एक सार्वजनिक CA का उपयोग कर रहे हैं या आंतरिक का, और आपको क्लाइंट प्रमाणपत्रों के लिए एक MDM रोलआउट योजना की आवश्यकता है। यदि आप PEAP के साथ जा रहे हैं, तो आपको एक विश्वसनीय CA से सर्वर प्रमाणपत्र की आवश्यकता होगी - स्व-हस्ताक्षरित नहीं - और आपको सभी क्लाइंट डिवाइसों पर CA प्रमाणपत्र को पुश करना होगा ताकि प्रमाणपत्र सत्यापन सही ढंग से काम करे। यही वह चरण है जिसे छोड़ दिया जाता है और इससे सुरक्षा घटनाएं होती हैं। तीसरा, अपने RADIUS क्लाइंट्स - यानी आपके एक्सेस पॉइंट्स और कंट्रोलर्स - को सही साझा रहस्य (shared secret) और सर्वर IP या होस्टनाम के साथ कॉन्फ़िगर करें। एक मजबूत, बेतरतीब ढंग से उत्पन्न साझा रहस्य का उपयोग करें, न कि किसी डिक्शनरी शब्द का। और यदि आपका क्लाउड RADIUS प्रदाता TLS पर RADIUS - RadSec - का समर्थन करता है, तो इसका उपयोग करें। यह पारगमन में RADIUS ट्रैफ़िक को एन्क्रिप्ट करता है, जो विशेष रूप से तब महत्वपूर्ण होता है जब वह ट्रैफ़िक सार्वजनिक इंटरनेट से गुजर रहा हो। चौथा, पूर्ण रोलआउट से पहले एक पायलट समूह के साथ परीक्षण करें। बड़े पैमाने पर प्रमाणीकरण की विफलताएं विघटनकारी होती हैं और दबाव में उनका निदान करना कठिन होता है। दस से बीस उपकरणों के साथ एक पायलट चलाएं, प्रमाणीकरण लॉग को सत्यापित करें, पुष्टि करें कि VLAN असाइनमेंट काम कर रहा है, और जांचें कि अकाउंटिंग रिकॉर्ड सही ढंग से लिखे जा रहे हैं। विफलता के तरीके जो मैं अक्सर देखता हूँ: क्लाइंट्स पर प्रमाणपत्र सत्यापन अक्षम होना, जिससे मैन-इन-द-मिडल भेद्यता पैदा होती है। साझा रहस्य जो बहुत छोटे हैं या साइटों पर पुन: उपयोग किए जाते हैं। RADIUS सर्वर IP अनुमति सूची (allowlisting) कॉन्फ़िगर न होना, जिससे नई साइटों से प्रमाणीकरण अनुरोध चुपचाप ड्रॉप हो जाते हैं। और प्रमाणपत्र समाप्त होने पर MDM प्रोफाइल अपडेट न होना, जिससे नवीनीकरण के दिन बड़े पैमाने पर प्रमाणीकरण विफलताएं होती हैं। --- त्वरित प्रश्नोत्तर (लगभग 1 मिनट) --- कुछ प्रश्न जो मुझसे नियमित रूप से पूछे जाते हैं। क्या मैं ऐसे नेटवर्क पर 802.1X चला सकता हूँ जिसमें IoT डिवाइस भी हैं जो EAP का समर्थन नहीं करते हैं? हाँ - उन उपकरणों के लिए फ़ॉलबैक के रूप में MAC प्रमाणीकरण बाईपास का उपयोग करें जो सप्लिकेंट नहीं चला सकते हैं, लेकिन उन उपकरणों को सख्त फ़ायरवॉल नियमों के साथ एक प्रतिबंधित VLAN पर रखें।क्या 802.1X WPA2 या WPA3 एन्क्रिप्शन की जगह लेता है? नहीं - 802.1X प्रमाणीकरण (authentication) को संभालता है। WPA2-Enterprise या WPA3-Enterprise एन्क्रिप्शन को संभालता है। आपको दोनों की आवश्यकता है। नए डिप्लॉयमेंट के लिए 802.1X के साथ WPA3-Enterprise वर्तमान में सबसे अच्छा अभ्यास है। प्रमाणीकरण पर लेटेंसी का क्या प्रभाव पड़ता है? एक अच्छी तरह से कॉन्फ़िगर की गई क्लाउड RADIUS सेवा के साथ, प्रति प्रमाणीकरण 50 से 150 मिलीसेकंड की अपेक्षा करें। रोमिंग परिदृश्यों के लिए, 802.11r फास्ट BSS ट्रांज़िशन री-ऑथेंटिकेशन ओवरहेड को काफी कम कर सकता है। क्या यह PCI-DSS अनुपालन करता है? उचित रूप से खंडित (segmented) नेटवर्क पर EAP-TLS या PEAP के साथ 802.1X नेटवर्क एक्सेस कंट्रोल के लिए PCI-DSS आवश्यकता 1 और आवश्यकता 8 को पूरा करता है। अपने QSA को शुरुआत में ही शामिल करें। --- सारांश और अगले कदम (लगभग 1 मिनट) --- इसे संक्षेप में कहें तो: किसी भी संगठन के लिए जो ऑडिटर्स को नेटवर्क एक्सेस कंट्रोल प्रदर्शित करना चाहता है, क्रेडेंशियल चोरी के प्रभाव क्षेत्र को कम करना चाहता है, या वितरित संपत्तियों में केंद्रीय रूप से प्रमाणीकरण का प्रबंधन करना चाहता है, क्लाउड RADIUS के साथ 802.1X सही उत्तर है। यह डिप्लॉयमेंट आसान नहीं है, लेकिन सही तैयारी के साथ यह पूरी तरह से प्रबंधित करने योग्य है। सबसे पहले अपने आइडेंटिटी प्रोवाइडर इंटीग्रेशन को सही करें। अपनी डिवाइस संपत्ति और सर्टिफिकेट प्रबंधित करने की अपनी परिचालन क्षमता के आधार पर अपना EAP तरीका चुनें। यदि आपका इंफ्रास्ट्रक्चर इसका समर्थन करता है तो RadSec का उपयोग करें। और बड़े पैमाने पर रोल आउट करने से पहले परीक्षण करें। यदि आप एक मिश्रित अतिथि और कर्मचारी नेटवर्क चला रहे हैं - जो कि अधिकांश हॉस्पिटैलिटी और रिटेल ऑपरेटर करते हैं - तो Purple जैसे प्लेटफॉर्म आपको एक ही डैशबोर्ड से दोनों प्रमाणीकरण मॉडलों को प्रबंधित करने की क्षमता देते हैं, जिसमें एनालिटिक्स लेयर पूरी संपत्ति पर काम करती है। आपके अगले कदमों के लिए: अपने वर्तमान नेटवर्क एक्सेस कंट्रोल की स्थिति का ऑडिट करें, पहचानें कि कौन सी साइटें अभी भी साझा PSK चला रही हैं, और एक चरणबद्ध माइग्रेशन योजना बनाएं। अपनी उच्चतम जोखिम वाली साइटों से शुरुआत करें - जो PCI-DSS के दायरे में हैं या संवेदनशील डेटा संभाल रही हैं - और फिर आगे बढ़ें। सुनने के लिए धन्यवाद। अधिक तकनीकी जानकारी purple.ai पर उपलब्ध है।