WPA2 बनाम 802.1X: क्या अंतर है?
यह गाइड WPA2 एन्क्रिप्शन और IEEE 802.1X प्रमाणीकरण फ्रेमवर्क के बीच के संबंध को स्पष्ट करती है - दो पूरक मानक जिन्हें अक्सर वेंडर दस्तावेज़ीकरण और नेटवर्क डिज़ाइन चर्चाओं में मिला दिया जाता है। यह IT निदेशकों, नेटवर्क आर्किटेक्ट्स और वेन्यू ऑपरेशंस लीडर्स को इन प्रोटोकॉल के परस्पर कार्य करने का एक स्पष्ट तकनीकी विश्लेषण, हॉस्पिटैलिटी, रिटेल और सार्वजनिक क्षेत्र के वातावरणों में व्यावहारिक परिनियोजन रणनीतियाँ, और अनुपालन, जोखिम न्यूनीकरण और गेस्ट WiFi एकीकरण पर व्यावहारिक मार्गदर्शन प्रदान करती है।
Video overview
इस गाइड को सुनें
पॉडकास्ट ट्रांसक्रिप्ट देखें
हमारी मुख्य श्रृंखला का हिस्सा: Enterprise WiFi सुरक्षा गाइड →
Enterprise WPA2 vs. 802.1X architecture & security advisor
WPA2 specifies how wireless data is encrypted over the air using AES-CCMP. IEEE 802.1X specifies how clients and ports authenticate using EAP and RADIUS. Configure your deployment parameters below to compare protocol resilience, audit compliance, and infrastructure sizing.
| Architecture Dimension | WPA2-Personal (PSK) | WPA2-Enterprise (802.1X PEAP) | WPA2/3-Enterprise (802.1X TLS) |
|---|---|---|---|
| OSI / Protocol Layer | Data Link (802.11i Encryption) | Data Link + Layer 2 Port Control | Data Link + Layer 2 Port Control + PKI |
| Authentication Mechanism | Shared Passphrase (PSK) | User Credentials inside TLS Tunnel | Mutual X.509 Digital Certificates |
| Air Encryption Cipher | AES-128 (CCMP) | AES-128 (CCMP) | AES-128 / GCMP-256 (CNSA Suite B) |
| Dynamic VLAN Assignment | No (All devices in 1 VLAN) | Yes (RADIUS RFC 2868 / 3580) | Yes (Role-based microsegmentation) |
| Offboarding Friction | High (Must re-key entire venue) | Instant (Disable user in IdP) | Instant (Revoke client certificate / CRL) |
The key technical takeaway
WPA2 and 802.1X are not alternatives to each other. When you configure WPA2-Enterprise, the wireless network uses IEEE 802.1X for port-based authentication and access control, while using WPA2 (AES-CCMP) to encrypt frames once authenticated. Personal networks omit the 802.1X framework, relying instead on a pre-shared secret that cannot verify individual identities.
Transitioning your fleet to zero trust 802.1X WiFi?
Purple Cloud RADIUS replaces legacy on-premises hardware with a global, cloud-native 802.1X authentication tier integrated directly into Microsoft Entra ID, Google Workspace, and Okta.
कार्यकारी सारांश (Executive Summary)
एंटरप्राइज परिवेशों का प्रबंधन करने वाले IT निदेशकों और नेटवर्क आर्किटेक्ट्स के लिए, वेंडर दस्तावेजों में WPA2 और 802.1X के बीच का अंतर अक्सर स्पष्ट नहीं होता है। WPA2 एक सुरक्षा प्रमाणन कार्यक्रम है जो यह निर्धारित करता है कि वायरलेस डेटा को हवा में कैसे एन्क्रिप्ट किया जाए। इसके विपरीत, IEEE 802.1X एक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) फ्रेमवर्क है जो यह निर्धारित करता है कि नेटवर्क पर अनुमति मिलने से पहले कोई उपयोगकर्ता या डिवाइस अपनी पहचान कैसे साबित करता है।
ये दोनों प्रतिस्पर्धी मानक नहीं हैं - वे एक सुरक्षित वायरलेस आर्किटेक्चर के पूरक स्तर हैं। जब कोई एंटरप्राइज "WPA2-Enterprise" को तैनात करता है, तो वे स्वाभाविक रूप से एन्क्रिप्शन के लिए WPA2 और प्रमाणीकरण के लिए 802.1X को तैनात कर रहे होते हैं। इन प्रोटोकॉल के बीच की बातचीत को समझना अनधिकृत पहुंच को कम करने, PCI-DSS और GDPR जैसे सुरक्षा ढांचे के अनुपालन को सुनिश्चित करने, और विभिन्न स्थानों पर स्केलेबल इन्फ्रास्ट्रक्चर को तैनात करने के लिए महत्वपूर्ण है। यह गाइड दोनों मानकों की कार्यप्रणाली का विश्लेषण करती है, वेंडर-तटस्थ कार्यान्वयन रणनीतियाँ प्रदान करती है, और यह विवरण देती है कि Purple के Guest WiFi जैसे आधुनिक प्लेटफॉर्म इन सुरक्षित आर्किटेक्चर में कैसे सहजता से एकीकृत होते हैं।
तकनीकी गहन विश्लेषण: मानकों को समझना
एक सुरक्षित वायरलेस नेटवर्क का निर्माण करने के लिए, व्यक्ति को डेटा गोपनीयता (एन्क्रिप्शन) की अवधारणाओं को पहचान सत्यापन (प्रमाणीकरण) से अलग करना होगा। ये अलग-अलग समस्याएं हैं, जिन्हें अलग-अलग मानकों द्वारा हल किया जाता है, जो एक क्रम में कार्य करते हैं।
WPA2: एन्क्रिप्शन मानक
Wi-Fi Protected Access 2 (WPA2) वायरलेस कंप्यूटर नेटवर्क को सुरक्षित करने के लिए Wi-Fi Alliance द्वारा विकसित एक प्रमाणन कार्यक्रम है। यह IEEE 802.11i मानक पर आधारित है। इसका प्राथमिक कार्य यह सुनिश्चित करना है कि क्लाइंट डिवाइस (सप्लिकेंट) और एक्सेस पॉइंट (प्रमाणक) के बीच प्रेषित डेटा को दुर्भावनापूर्ण तत्वों द्वारा बीच में रोका और पढ़ा न जा सके।
WPA2, CCMP (काउंटर मोड साइफर ब्लॉक चेनिंग मैसेज ऑथेंटिकेशन कोड प्रोटोकॉल) के साथ संयुक्त AES (उन्नत एन्क्रिप्शन मानक) के उपयोग को अनिवार्य बनाता है। इसने मूल WPA मानक में उपयोग किए जाने वाले असुरक्षित TKIP साइफर को प्रतिस्थापित कर दिया। WPA2 दो प्राथमिक मोड में काम करता है: WPA2-Personal (PSK), जो एक प्री-शेयर्ड की का उपयोग करता है जहां प्रत्येक डिवाइस एन्क्रिप्शन की उत्पन्न करने के लिए एक ही पासवर्ड का उपयोग करता है, और WPA2-Enterprise, जो एक 802.1X प्रमाणीकरण सर्वर के साथ एकीकृत होता है और प्रत्येक व्यक्तिगत सत्र के लिए अद्वितीय, गतिशील एन्क्रिप्शन की उत्पन्न करता है।
WPA2-Personal की महत्वपूर्ण कमजोरी यह है कि एक भी समझौता किया गया PSK पूरे नेटवर्क को खतरे में डाल देता है। 400 स्थानों की एक रिटेल श्रृंखला में, प्रत्येक AP और प्रत्येक डिवाइस पर एक PSK को बदलना परिचालन रूप से अत्यधिक कठिन है। 802.1X द्वारा समर्थित WPA2-Enterprise इस समस्या को पूरी तरह से समाप्त कर देता है।
802.1X: प्रमाणीकरण ढांचा (Authentication Framework)
IEEE 802.1X पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक मानक है। मूल रूप से वायर्ड ईथरनेट के लिए डिज़ाइन किया गया, इसे मजबूत, प्रति-उपयोगकर्ता प्रमाणीकरण प्रदान करने के लिए वायरलेस नेटवर्क के लिए अनुकूलित किया गया था। यह डेटा को एन्क्रिप्ट नहीं करता है - यह एक डिजिटल गेटकीपर के रूप में कार्य करता है, जो नेटवर्क पोर्ट को तार्किक रूप से "बंद" रखता है जब तक कि डिवाइस एक केंद्रीकृत प्रमाणीकरण सर्वर के समक्ष अपनी पहचान साबित नहीं कर देता।
802.1X ढांचा तीन भूमिकाओं पर बनाया गया है। Supplicant वह क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) है जो नेटवर्क एक्सेस का अनुरोध कर रहा है। Authenticator वह नेटवर्क एक्सेस डिवाइस है - आमतौर पर एक वायरलेस एक्सेस पॉइंट या प्रबंधित स्विच - जो एक्सेस का निर्णय स्वयं लिए बिना प्रमाणीकरण विनिमय की सुविधा प्रदान करता है। Authentication Server (आमतौर पर एक RADIUS सर्वर) वह केंद्रीकृत सिस्टम है जो Active Directory या LDAP जैसी निर्देशिका के खिलाफ supplicant के क्रेडेंशियल को सत्यापित करता है और एक्सेस निर्णय जारी करता है।
802.1X supplicant और प्रमाणीकरण सर्वर के बीच प्रमाणीकरण डेटा को स्थानांतरित करने के लिए Extensible Authentication Protocol (EAP) पर निर्भर करता है। EAP अत्यधिक लचीला है, जो आंतरिक तरीकों की एक श्रृंखला का समर्थन करता है। EAP-TLS पारस्परिक प्रमाणपत्र-आधारित प्रमाणीकरण का उपयोग करता है और इसे ज़ीरो-ट्रस्ट वातावरण के लिए स्वर्ण मानक माना जाता है। PEAP क्रेडेंशियल्स को एक TLS टनल के भीतर समाहित करता है, जिसके लिए केवल एक सर्वर-साइड प्रमाणपत्र की आवश्यकता होती है। इन तरीकों के विस्तृत तुलना के लिए, हमारा गाइड EAP-TLS vs. PEAP: ¿Qué protocolo de autenticación es el adecuado para su red? देखें।
WPA2 और 802.1X एक साथ कैसे काम करते हैं
जब कोई डिवाइस WPA2-Enterprise SSID से जुड़ता है, तो निम्नलिखित अनुक्रम होता है। सबसे पहले, डिवाइस AP के साथ जुड़ता है, लेकिन AP 802.1X EAP संदेशों को छोड़कर सभी ट्रैफ़िक को ब्लॉक कर देता है। दूसरा, डिवाइस और RADIUS सर्वर AP के माध्यम से क्रेडेंशियल का आदान-प्रदान करते हैं - यह 802.1X प्रमाणीकरण चरण है। यदि सफल होता है, तो RADIUS सर्वर AP को एक "एक्सेस-स्वीकार" (Access-Accept) संदेश भेजता है, साथ ही एक मास्टर सेशन की (MSK) भी भेजता है। तीसरा, AP और डिवाइस MSK का उपयोग करके WPA2 4-वे हैंडशेक करते हैं, जिससे विशिष्ट पेयरवाइज़ ट्रांजिएंट की (PTK) प्राप्त होती है जिसका उपयोग AES-CCMP के माध्यम से उस सेशन के डेटा ट्रैफ़िक को एन्क्रिप्ट करने के लिए किया जाता है। अंत में, पोर्ट "खोला" जाता है, और एन्क्रिप्टेड डेटा प्रवाहित होता है। प्रत्येक उपयोगकर्ता के पास एक अद्वितीय एन्क्रिप्शन की होती है, जिसका अर्थ है कि एक उपयोगकर्ता के ट्रैफ़िक को कैप्चर करने से दूसरे के ट्रैफ़िक के बारे में कोई जानकारी नहीं मिलती है।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।
कार्यान्वयन गाइड: आपके स्थान के लिए आर्किटेक्चर तैयार करना
इन मानकों को लागू करने के लिए तकनीकी क्षमताओं को व्यावसायिक आवश्यकताओं के साथ संरेखित करने की आवश्यकता होती है। यह दृष्टिकोण स्थान के प्रकार और उपयोगकर्ता जनसांख्यिकी के आधार पर काफी भिन्न होता है।
कॉर्पोरेट कार्यालय: ज़ीरो ट्रस्ट आर्किटेक्चर
ISO 27001 या Cyber Essentials+ अनुपालन का लक्ष्य रखने वाले संगठनों के लिए, अनुशंसित परिनियोजन WPA2-Enterprise (या नए निर्माणों के लिए WPA3-Enterprise) है, जिसमें EAP-TLS का उपयोग करके 802.1X का उपयोग किया जाता है। इसके लिए Microsoft Intune या Jamf जैसे MDM समाधान के माध्यम से सभी कॉर्पोरेट उपकरणों पर डिजिटल प्रमाणपत्र तैनात करने की आवश्यकता होती है। यह पूरी तरह से पासवर्ड-आधारित कमजोरियों को समाप्त करता है - केवल कंपनी के स्वामित्व वाले, प्रबंधित उपकरण ही प्रमाणित हो सकते हैं। अप्रबंधित या व्यक्तिगत उपकरणों को स्वचालित रूप से एक खंडित अतिथि SSID में भेज दिया जाता है। RADIUS विशेषताओं के माध्यम से डायनेमिक VLAN असाइनमेंट भूमिका के अनुसार आगे विभाजन की अनुमति देता है: आईटी प्रशासक, सामान्य कर्मचारी, और ठेकेदारों को एक ही SSID से उचित ACL के साथ अलग-अलग VLAN में असाइन किया जा सकता है।
रिटेल चेन: PCI DSS के लिए खंडित सुरक्षा
एक बड़ी रिटेल श्रृंखला के लिए, चुनौती दोहरे उद्देश्य वाली है: वफादारी कार्यक्रम साइन-अप को बढ़ावा देने के लिए घर्षण रहित अतिथि पहुंच की पेशकश करते हुए PCI DSS अनुपालन के लिए PoS टर्मिनलों को सुरक्षित करना। आर्किटेक्चर को एक ही भौतिक बुनियादी ढांचे पर दो अलग-अलग सुरक्षा स्थितियों की आवश्यकता होती है। कर्मचारियों और PoS SSID को 802.1X के साथ WPA2-Enterprise का उपयोग करना चाहिए (कर्मचारियों के लिए Active Directory से जुड़ा PEAP-MSCHAPv2, PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों के साथ EAP-TLS)। यह व्यक्तिगत जवाबदेही सुनिश्चित करता है और PoS ट्रैफ़िक को पूरी तरह से अलग, PCI-अनुपालक VLAN पर रखता है। अतिथि SSID सीधे एक captive portal पर रूट किए गए ओपन नेटवर्क का उपयोग करता है। Purple का WiFi Analytics प्लेटफॉर्म सोशल लॉगिन या फॉर्म फिल के माध्यम से अतिथि प्रमाणीकरण को संभालता है, GDPR के तहत अनुपालन करते हुए फर्स्ट-पार्टी डेटा कैप्चर करता है, जबकि PoS वातावरण से पूर्ण नेटवर्क विभाजन बनाए रखता है।
आतिथ्य और सार्वजनिक स्थल: बड़े पैमाने पर निर्बाध ऑनबोर्डिंग
आतिथ्य परिवेशों - होटलों, सम्मेलन केंद्रों, स्टेडियमों - के लिए, क्षणिक मेहमानों के लिए 802.1X परिचालन रूप से बहुत जटिल है, जिनका कॉर्पोरेट निर्देशिका के साथ कोई संबंध नहीं है। इस उपयोग के मामले के लिए उभरता हुआ मानक Passpoint (Hotspot 2.0) है, जो बैकग्राउंड में 802.1X और WPA2-Enterprise का उपयोग करता है लेकिन डिवाइस प्रोविज़निंग प्रक्रिया को स्वचालित करता है। Purple, Connect लाइसेंस के तहत OpenRoaming जैसी सेवाओं के लिए एक मुफ्त पहचान प्रदाता के रूप में कार्य करता है, जिससे मेहमानों को बिना किसी मैन्युअल नेटवर्क कॉन्फ़िगरेशन के अपने मौजूदा प्रोफाइल का उपयोग करके निर्बाध रूप से प्रमाणित करने की अनुमति मिलती है। परिवहन और सार्वजनिक क्षेत्र के स्थानों के लिए, यह दृष्टिकोण प्रमाणीकरण प्रवाह में सीधे सहमति प्रबंधन को एकीकृत करके GDPR डेटा कैप्चर आवश्यकताओं के अनुपालन का भी समर्थन करता है।
एंटरप्राइज परिनियोजन के लिए सर्वोत्तम अभ्यास
सभी supplicants पर सख्त प्रमाणपत्र सत्यापन लागू करें। PEAP का उपयोग करते समय, सुनिश्चित करें कि क्लाइंट डिवाइस RADIUS सर्वर के प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर किए गए हैं। ऐसा न करने पर नेटवर्क Evil Twin हमलों के प्रति संवेदनशील हो जाता है, जहां एक अनधिकृत AP उन डिवाइसों से क्रेडेंशियल प्राप्त कर लेता है जो किसी भी EAP चुनौती पेश करने वाले सर्वर पर आंख मूंदकर भरोसा करते हैं। इस कॉन्फ़िगरेशन को Group Policy या MDM के माध्यम से तैनात करें - इस निर्णय को मैन्युअल रूप से लेने के लिए अंतिम उपयोगकर्ताओं पर कभी भरोसा न करें।
डायनेमिक VLAN असाइनमेंट लागू करें। सफल 802.1X प्रमाणीकरण पर उपयोगकर्ताओं को उनकी Active Directory समूह सदस्यता के आधार पर विशिष्ट VLAN में असाइन करने के लिए RADIUS विशेषताओं (विशेष रूप से Tunnel-Type, Tunnel-Medium-Type, और Tunnel-Private-Group-ID) का लाभ उठाएं। यह प्रत्येक उपयोगकर्ता वर्ग के लिए अलग SSIDs की आवश्यकता के बिना भूमिका-आधारित नेटवर्क विभाजन को सक्षम बनाता है।
लीगेसी सिफर सुइट्स को हटा दें। सुनिश्चित करें कि सभी वायरलेस कंट्रोलर और एक्सेस पॉइंट पर TKIP और WEP पूरी तरह से अक्षम हैं। दोनों ही क्रिप्टोग्राफिक रूप से टूट चुके हैं। WPA2 का विज्ञापन करने वाला लेकिन TKIP फॉलबैक की अनुमति देने वाला नेटवर्क WEP की तुलना में सार्थक रूप से अधिक सुरक्षित नहीं है।
उच्च-घनत्व वाले वातावरण के लिए RADIUS क्षमता की योजना बनाएं। स्टेडियमों, सम्मेलन केंद्रों और बड़े healthcare परिसरों में, हजारों डिवाइस एक साथ प्रमाणित करने का प्रयास कर सकते हैं। सुनिश्चित करें कि RADIUS इंफ्रास्ट्रक्चर लोड-बैलेंस्ड है और APs तथा प्रमाणीकरण सर्वरों के बीच नेटवर्क पथों में 10ms से कम की लेटेंसी है। वितरित तैनाती के लिए कनेक्टिविटी विश्वसनीयता एक महत्वपूर्ण विचार है - केंद्रीकृत प्रमाणीकरण सेवाओं के लिए लचीले WAN पथ सुनिश्चित करने के मार्गदर्शन के लिए The Core SD-WAN Benefits for Modern Businesses देखें।
समस्या निवारण और जोखिम शमन
मूक विफलता (The Silent Failure)। एक डिवाइस कनेक्ट होने में विफल रहता है, लेकिन उपयोगकर्ता को कोई सार्थक त्रुटि नहीं मिलती है। यह लगभग हमेशा एक प्रमाणपत्र ट्रस्ट समस्या होती है - supplicant RADIUS सर्वर के प्रमाणपत्र को अस्वीकार कर रहा है। शमन: सुनिश्चित करें कि RADIUS प्रमाणपत्र जारी करने वाला Root CA सभी क्लाइंट डिवाइसों में GPO या MDM के माध्यम से वितरित किया गया है, और वायरलेस प्रोफाइल उस पर भरोसा करने के लिए पहले से कॉन्फ़िगर किया गया है।
RADIUS टाइमआउट। AP ने ट्रैफ़िक को फॉरवर्ड करना बंद कर दिया क्योंकि RADIUS सर्वर प्रतिक्रिया टाइमआउट सीमा से अधिक हो गया। शमन: RADIUS सर्वर रिडंडेंसी (प्राथमिक और द्वितीयक) लागू करें, सुनिश्चित करें कि प्रमाणीकरण सर्वर किसी भीड़भाड़ वाले नेटवर्क सेगमेंट पर स्थित नहीं है, और AP के RADIUS टाइमआउट और पुनः प्रयास मापदंडों को उचित रूप से ट्यून करें।
MAC Authentication Bypass (MAB) कमजोरियां। बिना स्क्रीन वाले IoT उपकरणों के लिए जो 802.1X supplicant नहीं चला सकते, प्रशासक अक्सर MAB का सहारा लेते हैं, जो MAC पते के आधार पर प्रमाणित करता है। MAC पते आसानी से स्पूफ किए जा सकते हैं। शमन: सभी MAB-प्रमाणित डिवाइसों को अत्यधिक प्रतिबंधित, पृथक VLANs में रखें जिसमें सख्त ACLs हों जो केवल डिवाइस संचालन के लिए आवश्यक विशिष्ट ट्रैफ़िक प्रवाह की अनुमति देते हैं। डिफ़ॉल्ट रूप से सभी MAB डिवाइसों को अविश्वसनीय मानें।
इविल ट्विन हमले (Evil Twin Attacks)। एक नकली AP कॉर्पोरेट SSID को प्रसारित करता है और उन डिवाइसों से क्रेडेंशियल प्राप्त कर लेता है जो सर्वर सर्टिफिकेट को सत्यापित नहीं करते हैं। इसका समाधान: सर्टिफिकेट सत्यापन लागू करें (जैसा कि ऊपर बताया गया है) और वायरलेस LAN कंट्रोलर पर नकली AP डिटेक्शन को तैनात करें। अधिकांश एंटरप्राइज-ग्रेड कंट्रोलर में यह क्षमता स्वाभाविक रूप से शामिल होती है।
ROI और व्यावसायिक प्रभाव
WPA2-Personal से 802.1X-समर्थित WPA2-Enterprise आर्किटेक्चर पर स्विच करने के लिए RADIUS इन्फ्रास्ट्रक्चर और EAP-TLS डिप्लॉयमेंट के लिए एक PKI (पब्लिक की इन्फ्रास्ट्रक्चर) में निवेश की आवश्यकता होती है। हालांकि, इसका व्यावसायिक लाभ अत्यधिक प्रभावशाली है।
जोखिम में कमी इसका मुख्य चालक है। साझा किए गए PSK को समाप्त करने से वायरलेस नेटवर्क में सबसे बड़ा हमलावर माध्यम (अटैक वेक्टर) खत्म हो जाता है। जब कोई कर्मचारी नौकरी छोड़ता है, तो उसकी विशिष्ट पहुंच को Active Directory में केंद्रीय रूप से निरस्त कर दिया जाता है - इसके लिए संभावित रूप से हजारों एक्सेस पॉइंट्स पर PSK बदलने की आवश्यकता नहीं होती है। 400-स्थानों वाले रिटेल एस्टेट में परिचालन लागत की बचत महत्वपूर्ण है।
अनुपालन सक्षमता इसका दूसरा मुख्य चालक है। PCI DSS आवश्यकता 8 विशिष्ट उपयोगकर्ता आईडी और व्यक्तिगत जवाबदेही को अनिवार्य बनाती है। 802.1X इसे मूल रूप से प्रदान करता है। एक्सेस कंट्रोल और ऑडिट लॉगिंग के लिए HIPAA की तकनीकी सुरक्षा आवश्यकताएं भी RADIUS अकाउंटिंग लॉग में 802.1X के प्रति-उपयोगकर्ता ऑथेंटिकेशन रिकॉर्ड द्वारा इसी तरह पूरी होती हैं।
पैमाने पर परिचालन दक्षता इसका दीर्घकालिक लाभ है। केंद्रीय निर्देशिका एकीकरण के माध्यम से दैनिक प्रबंधन को सुव्यवस्थित किया जाता है। नए शामिल होने वाले कर्मचारियों को उनके AD खाते के सक्रिय होते ही नेटवर्क का उपयोग मिल जाता है। बाहर जाने वाले कर्मचारियों का खाता निष्क्रिय होते ही उनकी पहुंच समाप्त हो जाती है। भूले हुए WiFi पासवर्ड के लिए हेल्पडेस्क पर कोई टिकट नहीं आता।
ऑथेंटिकेशन (802.1X) से एन्क्रिप्शन (WPA2) को अलग करके, एंटरप्राइज IT टीमें ऐसे वायरलेस नेटवर्क बनाती हैं जो स्केलेबल, ऑडिट करने योग्य और लचीले होते हैं - जो सबसे कठिन कॉर्पोरेट सुरक्षा मानदंडों और सबसे निर्बाध अतिथि अनुभवों दोनों का समर्थन करने में सक्षम होते हैं।
मुख्य परिभाषाएं
WPA2 (WiFi Protected Access 2)
IEEE 802.11i पर आधारित एक WiFi Alliance प्रमाणन कार्यक्रम जो ट्रांज़िट में वायरलेस डेटा के लिए AES-CCMP एन्क्रिप्शन को अनिवार्य करता है।
IT टीमें वायरलेस नियंत्रकों पर SSID को कॉन्फ़िगर करते समय इसका सामना करती हैं। WPA2-Personal और WPA2-Enterprise के बीच का चयन यह निर्धारित करता है कि प्रमाणीकरण एक साझा पासवर्ड द्वारा संभाला जाता है या एक 802.1X सर्वर द्वारा।
IEEE 802.1X
पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) के लिए एक IEEE मानक जो नेटवर्क से कनेक्ट करने का प्रयास करने वाले उपकरणों के लिए एक प्रमाणीकरण ढांचा प्रदान करता है।
वायरलेस नियंत्रकों और स्विचों पर RADIUS एकीकरण को कॉन्फ़िगर करते समय इसका संदर्भ दिया जाता है। यह अंतर्निहित तंत्र है जो WPA2-Enterprise को प्रति-उपयोगकर्ता प्रमाणीकरण प्रदान करने में सक्षम बनाता है।
सप्लीकेंट (Supplicant)
क्लाइंट डिवाइस (लैपटॉप, स्मार्टफोन, IoT सेंसर) जो 802.1X प्रमाणीकरण विनिमय शुरू करता है और क्रेडेंशियल या प्रमाणपत्र प्रदान करता है।
समस्या निवारण में, सप्लीकेंट अक्सर कॉन्फ़िगरेशन समस्याओं का स्रोत होता है - विशेष रूप से वायरलेस नेटवर्क प्रोफ़ाइल में प्रमाणपत्र सत्यापन सेटिंग्स के आसपास।
प्रमाणीकरणकर्ता (Authenticator)
नेटवर्क एक्सेस डिवाइस (आमतौर पर एक वायरलेस AP या प्रबंधित स्विच) जो स्वयं एक्सेस का निर्णय लिए बिना सप्लीकेंट और प्रमाणीकरण सर्वर के बीच EAP संदेशों को रिले करता है।
प्रमाणीकरणकर्ता तब तक सभी गैर-EAP ट्रैफ़िक को ब्लॉक करता है जब तक कि उसे RADIUS सर्वर से Access-Accept प्राप्त न हो जाए, जिस बिंदु पर वह लॉजिकल पोर्ट खोलता है।
RADIUS (Remote Authentication Dial-In User Service)
एक केंद्रीकृत AAA (प्रमाणीकरण, प्राधिकरण और लेखांकन) प्रोटोकॉल सर्वर जो क्रेडेंशियल्स को सत्यापित करता है, नीतियों को लागू करता है, और एक्सेस घटनाओं को लॉग करता है।
RADIUS सर्वर किसी भी 802.1X परिनियोजन की रीढ़ है। यह Active Directory या LDAP के साथ एकीकृत होता है और सफल प्रमाणीकरण पर गतिशील VLAN असाइनमेंट और अन्य नीति विशेषताएं लौटाता है।
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
एक प्रमाणपत्र-आधारित EAP विधि जिसके लिए क्लाइंट और सर्वर दोनों पर डिजिटल प्रमाणपत्र की आवश्यकता होती है, जो पारस्परिक प्रमाणीकरण प्रदान करती है।
इसे सबसे सुरक्षित EAP तरीका माना जाता है। इसका उपयोग शून्य-विश्वास कॉर्पोरेट वातावरणों में किया जाता है जहां उपकरणों को MDM के माध्यम से प्रबंधित किया जाता है और प्रमाणपत्रों को स्वचालित रूप से तैनात किया जा सकता है।
PEAP (Protected Extensible Authentication Protocol)
एक EAP विधि जो TLS टनल के भीतर आंतरिक प्रमाणीकरण एक्सचेंज को समाहित करती है, जिसके लिए केवल सर्वर-साइड सर्टिफिकेट की आवश्यकता होती है।
यह BYOD और मिश्रित-डिवाइस वातावरण में व्यापक रूप से तैनात किया जाता है क्योंकि यह उपयोगकर्ताओं को क्लाइंट सर्टिफिकेट की आवश्यकता के बिना मानक AD उपयोगकर्ता नाम और पासवर्ड क्रेडेंशियल के साथ प्रमाणित करने की अनुमति देता है।
AES-CCMP
WPA2 में अनिवार्य एन्क्रिप्शन सिफर सूट, जो डेटा गोपनीयता और अखंडता के लिए CCMP प्रोटोकॉल के साथ AES ब्लॉक सिफर को जोड़ता है।
IT टीमों को यह सुनिश्चित करना चाहिए कि सभी AP और क्लाइंट डिवाइस AES-CCMP का समर्थन करते हैं। TKIP फॉलबैक की अनुमति देने वाला कोई भी डिप्लॉयमेंट WPA2 की सुरक्षा गारंटी को कमजोर करता है।
4-Way Handshake
एक क्लाइंट डिवाइस और एक्सेस पॉइंट के बीच WPA2 क्रिप्टोग्राफिक एक्सचेंज जो डेटा ट्रैफिक को एन्क्रिप्ट करने के लिए उपयोग की जाने वाली सेशन-विशिष्ट पेयरवाइज ट्रांजिएंट की (PTK) को प्राप्त करता है।
यह RADIUS सर्वर द्वारा प्रदान की गई मास्टर सेशन की (Master Session Key) का उपयोग करके, सफल 802.1X प्रमाणीकरण के बाद होता है। प्रत्येक उपयोगकर्ता की PTK विशिष्ट होती है, जिससे सेशन के बीच ट्रैफिक अलगाव सुनिश्चित होता है।
Captive Portal
एक वेब-आधारित प्रमाणीकरण या सहमति पृष्ठ जो किसी सार्वजनिक या गेस्ट WiFi नेटवर्क तक पहुंच प्रदान करने से पहले उपयोगकर्ताओं को प्रस्तुत किया जाता है।
इसका उपयोग हॉस्पिटैलिटी, रिटेल और सार्वजनिक स्थानों पर किया जाता है जहां अस्थायी उपयोगकर्ताओं के लिए 802.1X व्यावहारिक नहीं है। Purple के Guest WiFi जैसे प्लेटफॉर्म कॉर्पोरेट इंफ्रास्ट्रक्चर से गेस्ट ट्रैफिक को अलग रखते हुए अनुपालन के साथ फर्स्ट-पार्टी डेटा कैप्चर करने के लिए captive portals का उपयोग करते हैं।
हल किए गए उदाहरण
एक 400-लोकेशन वाली रिटेल चेन वर्तमान में स्टाफ टैबलेट और PoS टर्मिनलों दोनों पर साझा किए गए एक ही WPA2-Personal पासवर्ड (PSK) का उपयोग करती है। वे आवश्यकता 8 (अद्वितीय उपयोगकर्ता ID) और आवश्यकता 1 (नेटवर्क सेगमेंटेशन) के तहत अपने PCI-DSS ऑडिट में विफल हो रहे हैं। उन्हें मौजूदा गेस्ट WiFi captive portal को बाधित किए बिना आंतरिक नेटवर्क को सुरक्षित करने की आवश्यकता है। उन्हें अपनी वायरलेस सुरक्षा को फिर से कैसे तैयार करना चाहिए?
चरण 1: कॉर्पोरेट एक्टिव डायरेक्टरी के साथ एकीकृत एक RADIUS सर्वर (जैसे, Cisco ISE, Microsoft NPS, या FreeRADIUS) तैनात करें। वितरित संपत्तियों के लिए, दूरस्थ साइटों पर प्रमाणीकरण विलंबता को कम करने के लिए क्षेत्रीय केंद्रों पर RADIUS प्रॉक्सी तैनात करें।
चरण 2: WPA2-Enterprise का उपयोग करने के लिए सभी वायरलेस नियंत्रकों पर कॉर्पोरेट SSID को फिर से कॉन्फ़िगर करें। स्टाफ टैबलेट के लिए PEAP-MSCHAPv2 (AD उपयोगकर्ता क्रेडेंशियल्स के खिलाफ प्रमाणित) और PoS टर्मिनलों के लिए मशीन प्रमाणपत्रों (MDM के माध्यम से तैनात) के साथ EAP-TLS के साथ 802.1X कॉन्फ़िगर करें।
चरण 3: डायनेमिक VLAN असाइनमेंट विशेषताएँ वापस करने के लिए RADIUS सर्वर को कॉन्फ़िगर करें। स्टाफ टैबलेट को स्टाफ VLAN को सौंपा गया है; PoS टर्मिनलों को केवल भुगतान प्रोसेसर की IP रेंज में ट्रैफ़िक की अनुमति देने वाले ACLs के साथ एक कड़ाई से अलग किए गए PCI VLAN को सौंपा गया है।
चरण 4: गेस्ट SSID को अपरिवर्तित छोड़ दें। यह खुला रहता है (या सार्वजनिक रूप से ज्ञात PSK के साथ WPA2-Personal) लेकिन एक अलग VLAN से मैप किया जाता है जो सीधे Purple गेस्ट WiFi captive portal पर रूट होता है। गेस्ट ट्रैफ़िक कभी भी PCI VLAN को नहीं छूता है।
चरण 5: PCI-DSS ऑडिट ट्रेल आवश्यकताओं को पूरा करते हुए, प्रति-उपयोगकर्ता प्रमाणीकरण लॉग उत्पन्न करने के लिए सभी APs पर RADIUS अकाउंटिंग सक्षम करें।
एक विश्वविद्यालय परिसर क्रेडेंशियल हार्वेस्टिंग हमलों का सामना कर रहा है। छात्र आधिकारिक 'CampusNet' SSID प्रसारित करने वाले दुष्ट एक्सेस पॉइंट से जुड़ रहे हैं। नेटवर्क PEAP-MSCHAPv2 के साथ WPA2-Enterprise का उपयोग करता है, लेकिन छात्र डिवाइस RADIUS सर्वर प्रमाणपत्र को सत्यापित करने के लिए कॉन्फ़िगर नहीं किए गए हैं। हमलावर वेक्टर क्या है, और नेटवर्क टीम को इसका समाधान कैसे करना चाहिए?
यह हमला एक Evil Twin हमला है। हमलावर अधिक सिग्नल स्ट्रेंथ के साथ 'CampusNet' ब्रॉडकास्ट करने वाला एक अनधिकृत AP तैनात करता है। छात्र के उपकरण, जिन्हें किसी भी PEAP चुनौती प्रस्तुत करने वाले सर्वर पर भरोसा करने के लिए कॉन्फ़िगर किया गया है, अनधिकृत AP से जुड़ जाते हैं और PEAP हैंडशेक पूरा करते हैं, जिससे उनके हैश किए गए AD क्रेडेंशियल हमलावर के सर्वर पर प्रसारित हो जाते हैं।
उपचार चरण 1: उस Root CA की पहचान करें जिसने RADIUS सर्वर का TLS प्रमाणपत्र जारी किया था। यदि आंतरिक CA का उपयोग कर रहे हैं, तो सुनिश्चित करें कि यह CA प्रमाणपत्र सभी छात्र और स्टाफ उपकरणों में वितरित किया गया है।
उपचार चरण 2: एक वायरलेस नेटवर्क प्रोफ़ाइल बनाएं (यूनिवर्सिटी-प्रबंधित उपकरणों के लिए MDM के माध्यम से, या BYOD के लिए डाउनलोड करने योग्य कॉन्फ़िगरेशन प्रोफ़ाइल) जो निर्दिष्ट करती है: (a) सटीक RADIUS सर्वर होस्टनाम जिसके विरुद्ध सत्यापन किया जाना है, (b) विश्वसनीय Root CA, और (c) 'सत्यापित सर्वर प्रमाणपत्र' फ़्लैग को true पर सेट किया गया हो।
उपचार चरण 3: वायरलेस LAN नियंत्रकों पर अनधिकृत AP पहचान तैनात करें। अधिकृत AP इन्वेंट्री में नहीं होने वाले 'CampusNet' को ब्रॉडकास्ट करने वाले किसी भी AP के लिए अलर्ट कॉन्फ़िगर करें।
उपचार चरण 4: BYOD उपकरणों के लिए, एक ऑनबोर्डिंग टूल (जैसे Cloudpath या Cisco ISE का BYOD पोर्टल) तैनात करने पर विचार करें जो सप्लीकेंट कॉन्फ़िगरेशन को अधिकृत करता है, जिससे अंतिम उपयोगकर्ताओं का बोझ कम हो जाता है।
अभ्यास प्रश्न
Q1. आपका संगठन 50 कार्यालय स्थानों में WPA2-Personal से WPA2-Enterprise पर माइग्रेट कर रहा है। पायलट परीक्षण के दौरान, उपयोगकर्ता रिपोर्ट करते हैं कि उनके Windows लैपटॉप पर एक प्रॉम्प्ट दिखाई देता है जिसमें उनसे अपना उपयोगकर्ता नाम और पासवर्ड दर्ज करने से पहले 'सर्टिफिकेट स्वीकार करें' के लिए कहा जाता है। कई उपयोगकर्ता 'अस्वीकार करें' पर क्लिक करते हैं और कनेक्ट नहीं हो पाते हैं। इस व्यवहार का क्या कारण है, और पूर्ण रोलआउट से पहले इसे कैसे हल किया जाना चाहिए?
संकेत: PEAP प्रमाणीकरण में सप्लिकेंट (supplicant) की भूमिका पर विचार करें और यह क्रेडेंशियल ट्रांसमिट करने से पहले RADIUS सर्वर की पहचान को कैसे सत्यापित करता है।
मॉडल उत्तर देखें
Windows सप्लिकेंट PEAP TLS हैंडशेक के हिस्से के रूप में सर्वर सर्टिफिकेट सत्यापन कर रहा है। चूंकि RADIUS सर्वर का सर्टिफिकेट एक आंतरिक CA द्वारा जारी किया गया था जो डिवाइस के विश्वसनीय रूट स्टोर में नहीं है, इसलिए Windows उपयोगकर्ता को इसे मैन्युअल रूप से स्वीकार करने के लिए संकेत देता है। उपयोगकर्ताओं पर सर्टिफिकेट स्वीकार करने के लिए निर्भर रहना एक खराब उपयोगकर्ता अनुभव और एक सुरक्षा जोखिम दोनों है - जो उपयोगकर्ता किसी भी सर्टिफिकेट पर 'स्वीकार करें' पर क्लिक करते हैं वे Evil Twin हमलों के प्रति समान रूप से संवेदनशील होते हैं। सही समाधान सभी कॉर्पोरेट डिवाइसों में आंतरिक रूट CA सर्टिफिकेट वितरित करने के लिए ग्रुप पॉलिसी (GPO) का उपयोग करना और Windows वायरलेस प्रोफाइल को स्वचालित रूप से इस पर भरोसा करने और RADIUS सर्वर होस्टनाम को सत्यापित करने के लिए पूर्व-कॉन्फ़िगर करना है। यह प्रॉम्प्ट को पूरी तरह से समाप्त कर देता है और उपयोगकर्ता के हस्तक्षेप के बिना सर्टिफिकेट सत्यापन लागू करता है।
Q2. एक अस्पताल के IT निदेशक को IoT चिकित्सा उपकरणों (इन्फ्यूजन पंप, मरीज निगरानी प्रणाली) को वायरलेस नेटवर्क से जोड़ने की आवश्यकता है। ये डिवाइस बिना किसी 802.1X सप्लिकेंट क्षमता के एम्बेडेड फर्मवेयर चलाते हैं और केवल एक स्थिर प्री-शेयर्ड की (Pre-Shared Key) का उपयोग करके कनेक्ट हो सकते हैं। नेटवर्क आर्किटेक्ट को समग्र सुरक्षा स्थिति से समझौता किए बिना इन उपकरणों को कैसे संभालना चाहिए?
संकेत: नेटवर्क सेगमेंटेशन, VLAN अलगाव, और 802.1X के विकल्प के रूप में MAC प्रमाणीकरण बायपास से जुड़े जोखिमों के बारे में सोचें।
मॉडल उत्तर देखें
चूंकि ये डिवाइस 802.1X निष्पादित नहीं कर सकते हैं, इसलिए आर्किटेक्ट के पास दो विकल्प हैं: एक समर्पित SSID पर WPA2-Personal (PSK), या कॉर्पोरेट SSID पर MAC Authentication Bypass (MAB)। ऑडिटेबिलिटी के लिए MAB आमतौर पर बेहतर है लेकिन इसमें स्पूफिंग का जोखिम होता है। चुने गए ऑथेंटिकेशन मेथड के बावजूद, महत्वपूर्ण नियंत्रण नेटवर्क सेगमेंटेशन है। इन डिवाइसेस को सख्त ACLs के साथ एक समर्पित, पृथक VLAN पर रखा जाना चाहिए, जो केवल आवश्यक विशिष्ट ट्रैफ़िक फ़्लो की अनुमति देता है - उदाहरण के लिए, एक विशिष्ट पोर्ट पर क्लिनिकल मैनेजमेंट सर्वर के साथ संचार, और अन्य सभी ट्रैफ़िक ब्लॉक होना चाहिए। SSID या MAB VLAN का कॉर्पोरेट नेटवर्क, PoS एनवायरनमेंट या इंटरनेट से कोई रूटिंग पाथ नहीं होना चाहिए। इसके अतिरिक्त, PSK (यदि उपयोग किया जाता है) को समय-समय पर बदला जाना चाहिए और सेंट्रली मैनेज किया जाना चाहिए। डिवाइसेस को MAC एड्रेस द्वारा इनवेंटराइज़ किया जाना चाहिए, और मेडिकल डिवाइस VLAN में शामिल होने का प्रयास करने वाले किसी भी अज्ञात MAC को एक अलर्ट ट्रिगर करना चाहिए।
Q3. एक स्टेडियम के CIO 60,000 की क्षमता वाले वेन्यू पर प्रशंसकों के WiFi ऑनबोर्डिंग अनुभव को बेहतर बनाने के लिए Passpoint (Hotspot 2.0) का मूल्यांकन कर रहे हैं। CIO पूछते हैं: 'क्या Passpoint, WPA2 और 802.1X को रिप्लेस करता है, या यह उनका उपयोग करता है?' आप कैसे प्रतिक्रिया देंगे, और इस पैमाने पर डिप्लॉयमेंट के लिए प्रमुख ऑपरेशनल विचार क्या हैं?
संकेत: विचार करें कि Passpoint वास्तव में क्या ऑटोमेट करता है और यह किसके स्थान पर काम करता है, और एक हाई-डेंसिटी वाले वेन्यू के लिए RADIUS क्षमता की आवश्यकताएं क्या हैं।
मॉडल उत्तर देखें
Passpoint, WPA2 या 802.1X को रिप्लेस नहीं करता है - यह उन्हें ऑटोमेट और एब्सट्रैक्ट करता है। Passpoint एक प्रोविजनिंग और डिस्कवरी लेयर है जो WPA2-Enterprise (या WPA3-Enterprise) और 802.1X के ऊपर बनी है। यह ऑथेंटिकेशन के लिए 802.1X का उपयोग करता है (आमतौर पर एक मोबाइल कैरियर या लॉयल्टी ऐप आइडेंटिटी प्रोवाइडर के क्रेडेंशियल्स के माध्यम से) और परिणामी सेशन को एन्क्रिप्ट करने के लिए WPA2/WPA3 का उपयोग करता है। प्रशंसक के दृष्टिकोण से, उनका डिवाइस बिना किसी मैन्युअल कॉन्फ़िगरेशन के स्वचालित रूप से कनेक्ट हो जाता है। नेटवर्क के दृष्टिकोण से, प्रत्येक कनेक्शन एक पूर्ण 802.1X एक्सचेंज है। 60,000 क्षमता पर मुख्य ऑपरेशनल विचार हैं: (1) कंकुरेंट ऑथेंटिकेशन स्टॉर्म से निपटने के लिए RADIUS इन्फ्रास्ट्रक्चर का आकार सही होना चाहिए - विशेष रूप से मैच शुरू होने के समय जब हजारों डिवाइस एक साथ कनेक्ट होने का प्रयास करते हैं; (2) RADIUS सर्वर को लोड बैलेंसिंग और जियोग्राफिक रिडंडेंसी के साथ डिप्लॉय किया जाना चाहिए; (3) आइडेंटिटी प्रोवाइडर (जैसे कि OpenRoaming फ्रेमवर्क के तहत Purple) के पास पर्याप्त थ्रूपुट एग्रीमेंट होने चाहिए; और (4) प्रशंसकों के वेन्यू में इधर-उधर घूमने पर री-ऑथेंटिकेशन ओवरहेड को कम करने के लिए वायरलेस कंट्रोलर को फास्ट BSS ट्रांज़िशन (802.11r) का समर्थन करना चाहिए।
अक्सर पूछे जाने वाले प्रश्न
क्या 802.1X, WPA2 की तरह एक एन्क्रिप्शन प्रोटोकॉल है?
नहीं। WPA2 एक IEEE 802.11i वायरलेस सुरक्षा विशिष्टता है जो AES-CCMP का उपयोग करके एयर इंटरफेस एन्क्रिप्शन को संभालती है। इसके विपरीत, IEEE 802.1X एक पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल (PNAC) मानक है जो यह परिभाषित करता है कि नेटवर्क पोर्ट या वायरलेस एसोसिएशन प्रदान किए जाने से पहले क्लाइंट सप्लीकेंट्स RADIUS सर्वर के विरुद्ध कैसे प्रमाणित होते हैं।
WPA2-Personal और WPA2-Enterprise के बीच मुख्य अंतर क्या है?
WPA2-Personal एक स्थिर Pre-Shared Key (PSK) का उपयोग करता है जहां सभी जुड़े क्लाइंट बिल्कुल एक ही पासफ़्रेज़ साझा करते हैं, जिससे यह हैंडशेक कैप्चर और पासवर्ड साझाकरण के प्रति संवेदनशील हो जाता है। WPA2-Enterprise प्रत्येक उपयोगकर्ता या डिवाइस को स्वतंत्र रूप से व्यक्तिगत क्रेडेंशियल्स या RADIUS के माध्यम से X.509 डिजिटल प्रमाणपत्रों के साथ प्रमाणित करने के लिए IEEE 802.1X को एकीकृत करता है, जिससे ट्रैफ़िक अलग हो जाता है और तत्काल एकल-उपयोगकर्ता निरसन सक्षम होता है।
PEAP-MSCHAPv2 की तुलना में EAP-TLS के साथ 802.1X अधिक सुरक्षित क्यों है?
EAP-TLS क्लाइंट डिवाइस और RADIUS सर्वर दोनों पर इंस्टॉल किए गए X.509 प्रमाणपत्रों के माध्यम से पारस्परिक क्रिप्टोग्राफिक प्रमाणीकरण का उपयोग करता है। PEAP-MSCHAPv2 के विपरीत, कोई भी पासवर्ड या MS-CHAPv2 हैश नेटवर्क से होकर नहीं गुजरता है, जिससे Evil Twin अनधिकृत एक्सेस पॉइंट्स, पासवर्ड स्प्रे प्रयासों, और asleap जैसे टूल के साथ ऑफ़लाइन डिक्शनरी क्रैकिंग का जोखिम पूरी तरह से समाप्त हो जाता है।
क्या हेडलेस IoT डिवाइस 802.1X नेटवर्क से कनेक्ट हो सकते हैं?
अधिकांश हेडलेस IoT एंडपॉइंट्स (जैसे प्रिंटर, स्मार्ट टीवी और सेंसर) में मूल 802.1X सप्लीकेंट्स की कमी होती है और वे EAP प्रमाणीकरण नहीं कर सकते हैं। एंटरप्राइज नेटवर्क MAC Authentication Bypass (MAB) या डायनेमिक Private Pre-Shared Keys (PPSK / MPSK) का उपयोग करके उन्हें समायोजित करते हैं, जिससे वे Cloud RADIUS के माध्यम से प्रतिबंधित IoT VLANs में अलग हो जाते हैं।
802.1X डायनेमिक VLAN असाइनमेंट एंटरप्राइज सुरक्षा को कैसे बढ़ाता है?
802.1X प्रमाणीकरण विनिमय के दौरान, RADIUS सर्वर एक्सेस पॉइंट या स्विच को RFC 2868 और RFC 3580 वेंडर एट्रिब्यूट्स (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) लौटाता है, जिससे प्रमाणित डिवाइस उसकी भूमिका या डिवाइस की स्थिति के आधार पर स्वचालित रूप से उसके निर्दिष्ट VLAN में चला जाता है।
इस श्रृंखला में आगे पढ़ें
iOS और macOS 802.1X ट्रबलशूटिंग: Intune, Jamf और Entra ID के लिए एक डिप्लॉयमेंट चेकलिस्ट
यह जांचने के लिए इस चेकलिस्ट का उपयोग करें कि iPhones, iPads और Macs Intune या Jamf Pro पर 802.1X में विफल क्यों होते हैं। प्रत्येक विफलता चार कारणों में से एक से जुड़ी होती है: सर्वर ट्रस्ट, आइडेंटिटी सर्टिफिकेट, macOS मोड या Entra ID ग्रुप स्कोपिंग। आप eapolclient और RADIUS लॉग से कारण की पुष्टि करेंगे, समाधान लागू करेंगे और भविष्य के सर्टिफिकेट रोटेशन को व्यवस्थित करेंगे।
Intune WiFi प्रोफाइल सर्वर ट्रस्ट: Microsoft Entra ID के लिए सर्टिफिकेट सर्वर नाम और रूट CA चेकलिस्ट
आप एक Intune WiFi प्रोफाइल के सर्वर वैलिडेशन वाले हिस्से को कॉन्फ़िगर करने में सक्षम होंगे ताकि Windows, Apple और Android पर EAP-TLS और PEAP कनेक्ट हो सकें। आप सर्टिफिकेट सर्वर नामों को RADIUS सर्टिफिकेट से मिलाएंगे, सही रूट CA को डिप्लॉय करेंगे, Microsoft Entra ID ग्रुप असाइनमेंट को संरेखित करेंगे, और सर्टिफिकेट रिन्यूअल को उनके द्वारा कनेक्शन को चुपचाप तोड़ने से पहले प्रबंधित करेंगे।
Android 802.1X और EAP-TLS ट्रबलशूटिंग: Intune और Microsoft Entra ID के लिए एक डिप्लॉयमेंट चेकलिस्ट
आप यह सटीक रूप से पता लगाने में सक्षम होंगे कि आपके स्टाफ SSID पर प्रबंधित Android फोन EAP-TLS में क्यों विफल हो जाते हैं और Intune में इसे कैसे ठीक किया जाए। प्रत्येक लक्षण को चार सामान्य कारणों से मिलाएं - अनुपलब्ध CA या डोमेन, गलत प्रोफ़ाइल में क्लाइंट प्रमाणपत्र, बेमेल RADIUS सर्वर नाम मान, या बिना डिलीवर किया गया ट्रस्टेड रूट। फिर एक रोलआउट चेकलिस्ट लागू करें जो बार-बार होने वाले आउटेज को रोकती है।
अपने विशिष्ट सेटअप को लेकर कोई सवाल हैं?
हमारी टीम 80,000 से अधिक वेन्यू में वेन्यू ऑपरेटरों, IT मैनेजरों और नेटवर्क इंजीनियरों के साथ काम करती है। 20 मिनट का कॉल बुक करें और हम आपको दिखाएंगे कि आपके जैसे अन्य लोगों ने इसे कैसे हल किया।