तुम्ही कदाचित अशा नेटवर्कशी व्यवहार करत आहात ज्याला वर्षानुवर्षे कोणीही स्पर्श करू इच्छित नाही. हे हॉटेलमधील जुने अतिथी SSID, हँडहेल्ड स्कॅनरसाठी युटिलिटी WLAN किंवा एखादे "तात्पुरते" ऑफिस नेटवर्क असू शकते जे अपघाताने कायमस्वरूपी बनले आहे. ते अजूनही कार्य करते, वापरकर्ते अद्याप कनेक्ट होतात आणि WiFi बदलल्याने प्रत्यक्ष ऑपरेशन्स खंडित होऊ शकतात, म्हणून त्याकडे दुर्लक्ष केले जाते.
अशाच प्रकारे कमकुवत वायरलेस सुरक्षा प्रोडक्शनमध्ये टिकून राहते.
WPA वरून WPA2 वर केलेले स्थलांतर केवळ कॉन्फिगरेशन नीटनेटके करणे नाही. हा असा टप्पा आहे जिथे तुम्ही ठरवता की तुमच्या व्यवसायाची वायरलेस किनार सामायिक सिक्रेटभोवती तयार केलेली राहील की ओळख-आधारित प्रवेशाकडे जाईल ज्यावर तुम्ही नियंत्रण ठेवू शकता, ऑडिट करू शकता आणि सहजपणे रद्द करू शकता. जर तुम्ही फक्त एका संक्षिप्त रूपाऐवजी दुसरे वापरले, तर तुम्ही गोष्टी सुधाराल. जर तुम्ही या बदलाचा वापर संवेदनशील प्रवेश प्रति-वापरकर्ता प्रमाणीकरणावर स्थानांतरित करण्यासाठी केला, तर तुम्ही सखोल समस्या सोडवाल.
तुमचे WPA नेटवर्क हा टिकिंग टाईम बॉम्ब का आहे
जर जुने WPA SSID अजूनही चालू असेल, तर ते निरुपद्रवी वारसा नाही. हा एक सक्रिय कमकुवत बिंदू आहे. नेहमीचा पॅटर्न ओळखीचा असतो: विसरलेले AP प्रोफाईल, कधीही रिडिझाइन न केलेले अतिथी नेटवर्क किंवा ऑपरेशन्स SSID ज्यावर काही हट्टी उपकरणे अजूनही अवलंबून आहेत. कोणालाही आउटेज नको असते, त्यामुळे WPA त्याच्या सुरक्षित आयुष्यापेक्षा खूप जास्त काळ सुरू राहते.
WPA ही स्थिर राहण्यासाठी चुकीची जागा का आहे
WEP नंतर अंतरिम उपाय म्हणून WPA सादर करण्यात आले होते. त्यानंतर 2004 च्या मंजुरी आणि प्रमाणन लाँच नंतर WPA2 बेसलाईन बनले, ज्याने WPA ची जागा घेतली आणि WPA च्या पूर्वीच्या TKIP दृष्टिकोनाऐवजी 128-बिट की सह AES-आधारित CCMP चा वापर केला, तसेच प्रति-वापरकर्ता क्रेडेंशियलसाठी औपचारिक Enterprise प्रमाणीकरण समर्थन देखील जोडले, जसे की Wi‑Fi Protected Access इतिहास मध्ये वर्णन केले आहे. तो बदल महत्त्वाचा आहे कारण वायरलेस सुरक्षा केवळ एन्क्रिप्शनपुरती मर्यादित न राहता प्रवेश नियंत्रणाशी संबंधित बनली.
TKIP ही मुख्य ओळख आहे. जर तुमचे नेटवर्क अजूनही जुन्या क्रिप्टोग्राफीभोवती ट्रान्झिशनल रॅपर म्हणून डिझाइन केलेल्या प्रोटोकॉलवर अवलंबून असेल, तर तुम्ही आधुनिक WLAN ऑपरेट करत नाही आहात. तुम्ही तुमच्या नेटवर्कच्या सर्वात उघड्या पडलेल्या भागावर सुसंगततेचे कर्ज वाहत आहात.
अनेक UK संस्थांसाठी, हे काल्पनिक नाही. व्हिजिटर नेटवर्क, बॅक-ऑफिस SSID किंवा जुन्या उपकरणांसाठी वायरलेस ब्रिज हे अशा वातावरणात प्रवेश करण्याचा सर्वात सोपा मार्ग बनू शकतात जिथे इतरत्र योग्य नियंत्रणे आहेत.
प्रॅक्टिकल नियम: जर तुमच्याकडे कुठेही अजूनही WPA सक्षम असेल, तर योग्य संधीच्या प्रतीक्षेत असलेली घटना म्हणून त्याकडे पहा.
खरा निर्णय WPA की WPA2 हा नाही
WPA वरून WPA2 कडे जाणारा तांत्रिक प्रवास सोपा आहे. धोरणात्मक निवड सोपी नाही. तुमच्याकडे दोन मार्ग आहेत:
- WPA2-Personal जलद काम करते आणि जेव्हा तुम्हाला वेगळ्या रिप्लेसमेंटची आवश्यकता असते तेव्हा रोल आउट करणे सोपे असते.
- WPA2-Enterprise वैयक्तिक क्रेडेंशियल्स वापरते आणि जेथे कर्मचारी प्रवेश, अतिथींचे विभाजन किंवा ऑडिट करण्याची क्षमता महत्त्वाची असते अशा वातावरणासाठी योग्य आहे.
अनेक मायग्रेशन मार्गदर्शकांमध्ये मान्य केल्या जाणाऱ्या फरकापेक्षा हा फरक अधिक महत्त्वाचा आहे. WPA ला WPA2-PSK मध्ये बदलल्याने एन्क्रिप्शन मॉडेल सुधारते, परंतु तरीही ते तुम्हाला सामायिक केलेल्या पासवर्डवर अवलंबून ठेवते. Enterprise कडे जाण्याने ऑपरेटिंग मॉडेल पूर्णपणे बदलते.
तुम्ही जर WiFi सुरक्षेच्या प्रकारांचे पर्याय शोधत असाल, तर केवळ सुसंगततेचा विचार करणे थांबवून ओळख, निरसन आणि नियंत्रणाचा विचार सुरू करण्याची हीच वेळ आहे.
WPA2 साठी तुमच्या नेटवर्क आणि उपकरणांचे ऑडिट करणे
एकही SSID बदलण्यापूर्वी, योग्य इन्व्हेंटरी तयार करा. बहुतेक अयशस्वी वायरलेस मायग्रेशन हे WPA2 कठीण असल्यामुळे अपयशी ठरत नाहीत. त्याऐवजी वेअरहाऊस स्कॅनर, प्रिंटर, टिल (कॅश रजिस्टर), लिफ्ट कंट्रोलर किंवा क्लिनिकल डिव्हाइस कट्सओव्हरनंतर पुन्हा कनेक्ट होऊ शकत नाही हे खूप उशिरा लक्षात आल्यामुळे ते अपयशी ठरतात.
काय वापरात असावे याऐवजी, सध्या काय वापरात आहे यापासून सुरुवात करा.
WLAN च्या कडेपासून आतल्या बाजूने इन्व्हेंटरी तयार करा
एक उपयुक्त ऑडिट वेगवेगळ्या स्तरांमध्ये कार्य करते. प्रथम ब्रॉडकास्ट होत असलेला प्रत्येक SSID ओळखा. नंतर त्यांच्या मागे कोणते AP ग्रुप्स, साइट्स आणि VLANs आहेत याचा मॅप तयार करा. त्यानंतर प्रत्येक SSID शी जोडलेल्या उपकरणांची यादी करा.
Meraki, Aruba, Mist, Ruckus, UniFi किंवा तुमच्या सध्याच्या व्हेंडरच्या मॅनेजमेंट कन्सोलसारख्या प्लॅटफॉर्मवरील कंट्रोलर डेटा वापरा. केवळ नावावर अवलंबून राहू नका. "Guest-old", "scanner-temp", आणि "backoffice2" या अशा जागा असतात जिथे अनेकदा जुनी सुरक्षा शिल्लक असते.
व्यावहारिक इन्व्हेंटरीमध्ये खालील गोष्टींचा समावेश असावा:
- SSID आणि उद्देश. हे अतिथी, कर्मचारी, IoT, ऑपरेशन्स किंवा कंत्राटदारांसाठी काम करते की नाही ते नोंदवा.
- सुरक्षा मोड (Security mode). SSID हे WPA, WPA2-Personal, WPA2-Enterprise किंवा मिश्रित कॉन्फिगरेशन वापरत आहे की नाही याची नोंद करा.
- ऑथेंटिकेशन अवलंबित्व (Authentication dependency). SSID सामायिक केलेल्या की वर, अंतर्गत RADIUS सेवेवर किंवा काही अनपेक्षित अपवादावर अवलंबून आहे का ते तपासा.
- क्लायंट लोकसंख्या (Client population). उपकरणांचे लॅपटॉप, मोबाईल, प्रिंटर, स्कॅनर, AV गीअर, सेन्सर्स, टिल्स आणि विशेष एंडपॉइंट्स यामध्ये वर्गीकरण करा.
- व्यवसाय मालक (Business owner). प्रत्येक SSID ला एक नियुक्त मालक हवा जो बदलांना मंजुरी देऊ शकेल आणि नॉन-कंप्लायंट उपकरणांचे निष्क्रियीकरण स्वीकारू शकेल.
केवळ क्लायंटच नाही, तर इन्फ्रास्ट्रक्चर देखील तपासा
एक एक्सेस पॉइंट सैद्धांतिकदृष्ट्या WPA2 ला सपोर्ट करू शकतो आणि तरीही जुन्या फर्मवेअर, इनहेरिट केलेल्या टेम्पलेट्स किंवा मिश्र-मोड प्रोफाईल्समुळे प्रत्यक्षात तुमच्या स्थलांतरात (migration) अडथळा आणू शकतो. AP फर्मवेअर, कंट्रोलर व्हर्जन आणि इनहेरिट केलेल्या रेडिओ सुरक्षा सेटिंग्जचे पुनरावलोकन करा. जर तुमची मालमत्ता अनेक हार्डवेअर पिढ्यांमध्ये पसरलेली असेल, तर एकच टेम्पलेट सर्वांना लागू होईल असे गृहीत धरण्याऐवजी प्रत्येक साइट तपासा.
जुने SSIDs अनेकदा टिकून राहतात कारण ते जुन्या पॉलिसी ऑब्जेक्ट्सशी जोडलेले असतात. प्रोफाईल हटवण्यापूर्वी गृहीतके काढून टाका.
जिथे संस्था अडचणीत येतात ते म्हणजे फॉलबॅक बिहेवियर (fallback behaviour). तुम्हाला वाटू शकते की तुम्ही एखादे WPA SSID हे WPA2 वर स्थलांतरित करत आहात, परंतु इनहेरिट केलेले कॉन्फिगरेशन अजूनही ट्रान्झिशन मोड्सना अनुमती देते ज्यामुळे कमकुवत सुरक्षा वर्तन वेगळ्या लेबलखाली चालू राहते.
वायरलेस ऑडिट देखील व्यापक एक्सपोजर टेस्टिंगसह एकत्र करणे आवश्यक आहे. जर तुम्ही आधीच रिमोट ॲक्सेस पाथ्स, इंटरनेट-फेसिंग सिस्टम्स आणि गेस्ट ॲक्सेस बाउंड्रीजचे पुनरावलोकन करत असाल, तर त्याच वेळी तुमची बाह्य सीमा सुरक्षित करणे विचारात घेण्यासारखे आहे. कमकुवत वायरलेस आणि कमकुवत बाह्य एक्सपोजर हे सहसा एकाच ऑपरेशनल सवयीतून उद्भवतात: अपवाद जे कायमस्वरूपी बनले.
लेगसी उपकरणांचे काय करायचे ते ठरवा
काही जुनी उपकरणे विनासायास WPA2 वर स्थलांतरित होऊ शकतात. इतर होऊ शकत नाहीत. तिथेच बहुतेक मार्गदर्शन कुचकामी ठरते, कारण जेव्हा एखादे उपकरण सर्व्हिस कॉन्ट्रॅक्टमध्ये समाविष्ट असते किंवा थेट प्रक्रियेवर नियंत्रण ठेवत असते, तेव्हा "उपकरण अपग्रेड करा" हा ऑपरेशनल प्लॅन असू शकत नाही.
जुन्या यूके डिव्हाइस फ्लीट्ससाठी स्थलांतरणाचे नियोजन हे एक मोठे आव्हान आहे. याचे व्यावहारिक उत्तर म्हणजे लेगसी क्लायंटचे वर्गीकरण (segment) करणे, केवळ WPA2-only ॲक्सेस पूर्णपणे वेगळा ठेवणे, आणि ट्रान्झिशन मोड्सचा वापर केवळ तात्पुरता पूल म्हणून करणे, विशेषत: दीर्घकाळ टिकणारी उपकरणे, अभ्यागतांची उपकरणे आणि मिश्र BYOD असलेल्या मालमत्तेमध्ये, जसे की या कम्युनिटी मायग्रेशन चर्चेत चर्चा केली आहे.
एक साधी निर्णय सारणी मदत करते:
| उपकरणाचा प्रकार | ते WPA2 ला विश्वसनीयरित्या सपोर्ट करत असल्यास | न करत असल्यास |
|---|---|---|
| स्टाफचे लॅपटॉप आणि फोन | टार्गेट स्टाफ SSID वर हलवा | जुन्या SSID मधून काढून टाका आणि दुरुस्त करा |
| गेस्ट उपकरणे | गेस्ट WPA2 किंवा अधिक मजबूत ऑनबोर्डिंग फ्लोवर हलवा | त्यांच्यासाठी कमकुवत ॲक्सेस ठेवू नका |
| प्रिंटर आणि स्कॅनर | प्रथम स्वतंत्र WPA2 सेगमेंटवर चाचणी करा | बदलत असताना स्वतंत्र लेगसी सेगमेंटवर ठेवा |
| IoT आणि बिल्डिंग सिस्टम्स | कठोर पॉलिसीसह समर्पित VLAN वर ठेवा | स्वतंत्र ठेवा आणि रिटायरमेंट पाथ दस्तऐवजीकरण करा |
महत्त्वाची गोष्ट म्हणजे प्राधान्य. आधी लोकांना स्थलांतरित करा, नंतर मुख्य प्रवाहातील उपकरणांना, आणि शेवटी एज-केस हार्डवेअरला. सर्वात कठीण एंडपॉइंटला इतरांच्या सुरक्षेची स्थिती ठरवू देऊ नका.
WPA2-Personal विरुद्ध WPA2-Enterprise - एक धोरणात्मक निवड
हे बर्याचदा गुंतागुंतीचा प्रश्न म्हणून समोर आणले जाते. पण तसे नाही. हा नियंत्रणाचा प्रश्न आहे.
तुम्ही WPA2-Personal निवडल्यास, तुम्ही सामायिक प्रवेश (shared access) निवडत आहात. तुम्ही WPA2-Enterprise निवडल्यास, तुम्ही वैयक्तिक ओळख (individual identity) निवडत आहात. हे वेगवेगळे सुरक्षा मॉडेल आहेत, केवळ वेगवेगळे सेटअप स्क्रीन नाहीत.
WPA2-Personal कुठे योग्य ठरते
जेव्हा वातावरण लहान, स्थिर आणि कमी गुंतागुंतीचे असते तेव्हा WPA2-Personal उपयुक्त ठरते. एखादे लहान कॅफे, तात्पुरते प्रोजेक्ट ऑफिस किंवा एकाच हेतूने तयार केलेले ऑपरेशनल नेटवर्क या तडजोडीचा स्वीकार करू शकते कारण तेथे ओळखीच्या बारकाव्यांपेक्षा अंमलबजावणीचा वेग अधिक महत्त्वाचा असतो.
याचे आकर्षण स्पष्ट आहे:
- हे कॉन्फिगर करणे जलद आहे. तुम्ही SSID वर एक पासफ्रेज सेट करता आणि क्लायंट अपडेट करता.
- याला RADIUS ची गरज नसते. यामुळे इन्फ्रास्ट्रक्चरचा अतिरिक्त भार दूर होतो.
- हे सोप्या अतिथी किंवा युटिलिटी वापरासाठी कार्य करते. विशेषतः जिथे वापरकर्त्यांना वेगवेगळ्या प्रकारच्या प्रवेशाची आवश्यकता नसते.
परंतु याची कमकुवत बाजू स्ट्रक्चरल आहे. प्रत्येक वापरकर्ता आणि डिव्हाइस एकच गुपित सामायिक करतात. बदल नियंत्रण गोंधळात टाकणारे बनते. ऑफबोर्डिंग कठीण होते. जबाबदारी नाहीशी होते.
WPA2-Enterprise संपूर्ण चित्र कसे बदलते
जेव्हा वापरकर्ते, डिव्हाइसेस आणि प्रवेशाचे अधिकार वेगवेगळे असणे आवश्यक असते, तेव्हा WPA2-Enterprise हा योग्य पर्याय आहे. हे 802.1X /RADIUS वापरते, ज्याचा अर्थ असा आहे की नेटवर्क प्रत्येकाला एकाच पासवर्डने प्रवेश देण्याऐवजी प्रत्येक वापरकर्त्याची किंवा डिव्हाइसची वैयक्तिकरित्या पडताळणी करू शकते.
यामुळे तुम्हाला अनेक फायदे मिळतात:
- सर्वांसाठी एकाच PSK ऐवजी प्रति-वापरकर्ता किंवा प्रति-डिव्हाइस क्रेडेंशियल
- कोणी नोकरी सोडल्यास किंवा एखादे डिव्हाइस गहाळ झाल्यास अधिक सुलभ क्रेडेंशियल रद्द करण्याची प्रक्रिया
- कर्मचारी आणि व्यवस्थापित एंडपॉइंट्ससाठी उत्तम ऑडिट करण्याची क्षमता
- धोरण ओळखीचे पालन करू शकत असल्याने अधिक मजबूत सेगमेंटेशन पर्याय
जर तुम्हाला WiFi ऑथेंटिकेशनमध्ये RADIUS सर्व्हर कसा काम करतो याबद्दल माहिती ताजी करायची असेल, तर AP ला गेटकीपर आणि RADIUS ला कोणाला प्रवेश द्यायचा हे ठरवणारी मुख्य यंत्रणा म्हणून पाहणे सोपे जाईल.
सामायिक पासवर्ड देणे सोपे आहे आणि नियंत्रित करणे कठीण आहे. वैयक्तिक क्रेडेंशियल सुरू करणे कठीण आहे परंतु व्यवस्थापित करणे खूप सोपे आहे.
तुम्ही कोणता पर्याय निवडावा
हा साधा नियम वापरा:
- WPA2-Personal वापरा जर SSID ची व्याप्ती मर्यादित असेल, वापरकर्त्यांची संख्या कमी असेल आणि सुरक्षेच्या उल्लंघनाचा प्रभाव मर्यादित असेल.
- WPA2-Enterprise निवडा जेव्हा कर्मचारी कनेक्ट होतात, एकाधिक साइट्स समान धोरण सामायिक करतात, कंत्राटदार येतात आणि जातात, किंवा अतिथी आणि व्यावसायिक ट्रॅफिक ऑपरेशनलदृष्ट्या वेगळे ठेवणे आवश्यक असते.
कर्मचारी ऍक्सेस असलेल्या कोणत्याही व्यावसायिक नेटवर्कसाठी, WPA2-Enterprise हा अधिक मजबूत मार्ग आहे. नंतर पासवर्डलेस आणि ओळख-आधारित ऍक्सेसकडे जाण्यासाठी देखील हा एक उत्तम पर्याय आहे. WPA2-Personal हा तात्पुरता उपाय असू शकतो. परंतु संवेदनशील SSIDs साठी हे तुमचे दीर्घकालीन नियोजन नसावे.
तुमचे SSIDs WPA2 वर स्थलांतरित करण्यासाठी कॉन्फिगरेशन मार्गदर्शिका
एकदा ऑडिट पूर्ण झाल्यावर, काळजीपूर्वक पुढे जा आणि स्थलांतर प्रक्रिया सुरळीत ठेवा. सर्वात सुरक्षित बदल ते असतात ज्यामध्ये काहीही अनपेक्षित नसते, स्पष्ट जबाबदारी असते आणि कोणतेही छुपे फॉलबॅक पर्याय नसतात.
सर्वात महत्त्वाचा तांत्रिक मुद्दा सोपा आहे: WPA वरून WPA2 वर स्थलांतरित करताना, सर्वात जास्त जोखमीचा बिघाड म्हणजे TKIP किंवा mixed-mode fallback सक्षम ठेवणे. व्यावहारिक पद्धत म्हणजे केवळ WPA2-AES/CCMP only सक्तीने लागू करणे, WPS अक्षम करणे आणि SSID सुरक्षा प्रोफाइल बदलल्यानंतर क्लायंट री-असोसिएशन सत्यापित करणे. हेच मार्गदर्शन WPA2-Personal ची ऑपरेशनल कमजोरी देखील हायलाइट करते: एका तडजोड केलेल्या PSK मुळे संपूर्ण नेटवर्क प्रभावित होते, म्हणूनच संवेदनशील SSIDs WPA2-Enterprise (802.1X/RADIUS) वर स्थलांतरित करणे अधिक चांगले आहे, जसे की या WPA2 आणि WPA3 स्थलांतर विहंगावलोकन मध्ये स्पष्ट केले आहे.
WPA2-Personal साठी पहिला मार्ग
जर तुम्ही PSK चा मार्ग निवडत असाल, तर तो मर्यादित आणि विचारपूर्वक ठेवा.
अचूक लक्ष्य स्थितीसह बदल रेकॉर्ड तयार करा
सध्याचे SSID सेटिंग्ज, लक्ष्य सायफर सेटिंग्ज, VLAN मॅपिंग, DHCP स्कोप, ACLs, संबंधित असल्यास स्प्लॅश वर्तन आणि रोलबॅक कृती लिहून ठेवा. काही बिघाड झाल्यास, केवळ आठवणीवर अवलंबून राहणे योग्य ठरणार नाही.SSID फक्त AES/CCMP सह केवळ WPA2 वर सेट करा
सोयीसाठी मिश्रित WPA/WPA2 सक्षम ठेवू नका. यामुळे जुनी कमजोरी तशीच राहते आणि स्थलांतराचा उद्देशच नष्ट होतो.WPS अक्षम करा
व्यावसायिक इन्फ्रास्ट्रक्चरवर WPS ला जागा नाही. ते सक्षम असल्यास, आत्ताच बंद करा.नवीन PSK वापरा, जुना पुन्हा वापरू नका
जुने शेअर्ड सिक्रेट नवीन सुरक्षा मोडमध्ये वापरू नका. स्थलांतर हा तो पूर्णपणे बदलण्याचा आणि तो कोणाकडे जात आहे यावर नियंत्रण ठेवण्याचा योग्य काळ आहे.प्रथम कमी जोखमीची पायलट डिव्हाइसेस हलवा
एक प्रतिनिधी लॅपटॉप, एक व्यवस्थापित फोन आणि प्रत्येक महत्त्वाच्या श्रेणीतील एका ऑपरेशनल डिव्हाइससह चाचणी करा. पायलट यशस्वी झाल्यास, टप्प्याटप्प्याने विस्तार करा.बदल स्थिर झाल्यावर जुना WPA SSID त्वरित बंद करा
दोन्ही समांतरपणे खूप काळ चालवणे युजर्स आणि व्यवस्थापित नसलेल्या उपकरणांना पुन्हा कमकुवत पर्यायाकडे आकर्षित करू शकते.
WPA2-Enterprise साठी दुसरा मार्ग
Enterprise मोडसाठी अधिक नियोजनाची आवश्यकता असते, परंतु ते तुम्हाला असे नेटवर्क देते ज्याचे तुम्ही नियंत्रण करू शकता.
पारंपारिक स्तरावर, हलणारे भाग परिचित आहेत:
- ऑथेंटिकेटर. ऍक्सेस पॉइंट किंवा WLAN कंट्रोलर
- सप्लिकंट. क्लायंट डिव्हाइस
- ऑथेंटिकेशन सर्व्हर. सहसा RADIUS
- Identity source. वापरकर्ता किंवा डिव्हाइस सत्यापित करण्यासाठी वापरली जाणारी डिरेक्टरी किंवा ओळख प्रदाता
जुनी पद्धत म्हणजे ऑन-प्रिमाइसेस RADIUS सेटअप करणे, त्याला Active Directory किंवा इतर डिरेक्टरी सोर्ससोबत जोडणे, नेटवर्क पॉलिसीज निश्चित करणे आणि सप्लिकंट सेटिंग्ज मॅन्युअली व्यवस्थापित करणे ही होती. ते अजूनही काम करते, आणि काही नियमन केलेल्या किंवा अत्यंत कस्टमाइझ्ड वातावरणात ते अजूनही योग्य असू शकते.
काय काम करते आणि सहसा काय काम करत नाही
काय काम करते:
- प्रमाणपत्र किंवा व्यवस्थापित क्रेडेंशियल ऑनबोर्डिंग
- स्टाफ, गेस्ट आणि IoT साठी स्पष्ट SSID वेगळे करणे
- डिरेक्टरी ग्रुप्स किंवा डिव्हाइस क्लासेसशी जोडलेली पॉलिसी
- माहित असलेल्या चांगल्या डिव्हाइस प्रोफाइल्ससह टप्प्याटप्प्याने रोलआउट करणे
सहसा काय काम करत नाही:
- कमकुवत ऑफबोर्डिंग शिस्तीसह केवळ पासवर्ड-आधारित स्टाफ WiFi
- प्रत्येक डिव्हाइस कॅटेगरीला सेवा देण्याचा प्रयत्न करणारा एकच Enterprise SSID
- एंड युजर्सद्वारे ॲड-हॉक सप्लिकंट सेटअप
- अडचण येणाऱ्या कोणासाठीही PSK हा "वास्तविक" फॉलबॅक म्हणून ठेवणे
जर वायरलेससाठी तुमच्या हेल्पडेस्कची योजना "त्यांना बॅकअप पासवर्ड देणे" अशी असेल, तर तुम्ही Enterprise तैनात केलेले नाही. तुम्ही एक बायपास तैनात केला आहे.
एक अधिक आधुनिक पद्धत म्हणजे 802.1X मॉडेल चालू ठेवणे परंतु संपूर्ण स्टॅक स्वतः तयार करण्याऐवजी आणि त्याची देखभाल करण्याऐवजी ऑपरेशनल भार क्लाउड-व्यवस्थापित प्लॅटफॉर्मवर हलवणे. तिथेच क्लाउड-व्यवस्थापित ओळख-आधारित सेवा उपयुक्त ठरू शकतात. उदाहरणार्थ, Purple 802.1X सह WPA2-Enterprise आणि WPA3-Enterprise ला सपोर्ट करते, Entra ID, Google Workspace, आणि Okta सारख्या डिरेक्टरीजसह इंटिग्रेट होते, आणि शेअर्ड-पासवर्ड वर्कफ्लोच्या जागी ओळख बदलांशी जोडलेले सर्टिफिकेट-ग्रेड ऑनबोर्डिंग आणि रिव्होकेशन आणू शकते.
व्हेंडरमधील फरक असूनही टिकून राहणारा सामान्य कटओव्हरचा क्रम
तुम्ही Meraki, Aruba, Ruckus, Mist, UniFi, किंवा इतर कोणतेही एंटरप्राइझ WLAN चालवत असाल, तरी हा क्रम साधारणपणे सारखाच असतो:
- सक्रिय प्रोफाइलमध्ये थेट बदल करण्याऐवजी विद्यमान SSID चे क्लोन एका स्टेजिंग प्रोफाइलमध्ये बनवा.
- लक्ष्य सुरक्षा मोड लागू करा. मायग्रेशन लक्ष्यासाठी केवळ WPA2-AES/CCMP.
- ऑथेंटिकेशन टेस्टिंग करण्यापूर्वी VLAN आणि फायरवॉल पॉलिसीची पुष्टी करा. यशस्वी असोसिएशन म्हणजेच वापरण्यायोग्य ॲक्सेस असे नाही.
- किमान दोन APs वर रोमिंग आणि री-असोसिएशनची चाचणी घ्या.
- अयशस्वी असोसिएशन, पॉलिसी नकार आणि वारंवार होणाऱ्या प्रयत्नांसाठी लॉग्स तपासा.
- गटानुसार मायग्रेट करा. आधी स्टाफ, नंतर विशेष डिव्हाइसेस, शेवटी जुने कठीण क्लायंट्स.
- लक्ष्य स्थिती सिद्ध झाल्यावर कमकुवत मार्ग काढून टाका.
तो शेवटचा टप्पा महत्त्वाचा आहे. तात्पुरत्या फॉलबॅक सेटिंग्ज कायमस्वरूपी आर्किटेक्चर बनण्याची सवय असते.
मायग्रेशनचे प्रमाणीकरण करणे आणि रोलबॅकचे नियोजन करणे
डिव्हाइस कनेक्ट झाल्यावर वायरलेस कटओव्हर संपत नाही. जेव्हा योग्य डिव्हाइस कनेक्ट होतात, अयोग्य डिव्हाइस कनेक्ट होत नाहीत आणि बदलानंतर सामान्य स्थिती कशी असते हे सपोर्ट टीम्सना समजते, तेव्हाच ते पूर्ण होते.
वापरकर्ता प्रकार आणि डिव्हाइस वर्गानुसार सत्यापित (validate) करा
फक्त तुमच्या स्वतःच्या लॅपटॉपवर चाचणी करून काम पूर्ण झाले असे समजू नका. वास्तविक वापर कव्हर करणारी एक लहान प्रमाणीकरण सूची तयार करा:
- स्टाफ एंडपॉइंट चाचणी (Staff endpoint test). नेटवर्कमध्ये सामील व्हा, APs दरम्यान रोम करा, डिव्हाइस लॉक आणि पुन्हा सक्रिय करा, नंतर स्लीप मोडनंतर पुन्हा कनेक्ट करा.
- मोबाईल चाचणी (Mobile test). व्याप्तीमध्ये असल्यास चालू आयफोन किंवा Android हँडसेट तपासा.
- ऑपरेशनल डिव्हाइस चाचणी. जेथे संबंधित असेल तेथे किमान एक स्कॅनर, प्रिंटर, पेमेंट टर्मिनल किंवा विशेष एंडपॉइंट समाविष्ट करा.
- गेस्ट वर्कफ्लो चाचणी. SSID अभ्यागतांना सेवा देत असल्यास, असोसिएशनपासून ते इंटरनेट प्रवेशापर्यंतचा संपूर्ण प्रवास सत्यापित करा.
Enterprise उपयोजनांसाठी, प्रमाणीकरण (authentication) लॉगचे देखील पुनरावलोकन करा. अयशस्वी प्रयत्नांमधून अनेकदा पॉलिसी विसंगती, प्रमाणपत्र समस्या किंवा जुन्या WLAN मधील शिळे प्रोफाईल वापरण्याचा प्रयत्न करणारे डिव्हाइस उघडकीस येतात.
Day 1 चेकलिस्ट वापरा
कटओव्हरनंतरच्या पहिल्या दिवशी बहुतांश लपलेले दोष समोर येतात. पुनरावलोकन सोपे आणि वारंवार करता येण्यासारखे ठेवा.
| Day 1 तपासणी | काय पहावे |
|---|---|
| असोसिएशन अपयश (Association failures) | डिव्हाइस जॉइन करताना अडकणे किंवा वारंवार प्रयत्न करणे |
| प्रमाणीकरण (Authentication) लॉग | नकार दिलेली स्टाफ खाती, जुनी क्रेडेन्शियल्स, पॉलिसी विसंगती |
| रोमिंग वर्तन | वापरकर्ते फिरताना कॉल किंवा सत्रे (sessions) खंडित होणे |
| हेल्पडेस्क थीम | तोच डिव्हाइस मॉडेल किंवा साइट वारंवार समोर येणे |
| लेगसी ब्लीड-ओव्हर (Legacy bleed-over) | वापरकर्ते जुन्या SSIDs शी पुन्हा कनेक्ट होत आहेत किंवा फॉलबॅक प्रवेशाची मागणी करत आहेत |
सर्वात सुरक्षित मायग्रेशन तेच असतात जेथे रोलबॅक दस्तऐवजीकरण केलेले असते परंतु त्याची क्वचितच गरज भासते.
गो-लाइव्हपूर्वी रोलबॅक तयार करा
रोलबॅक योजना क्लिष्ट असण्याची गरज नाही. ती विशिष्ट असावी लागेल. पूर्वीचे SSID सुरक्षा सेटिंग्ज, जुनी प्रमाणीकरण पद्धत, कोणतेही मूळ VLAN बाइंडिंग आणि एखादी गंभीर सेवा अयशस्वी झाल्यास ती पुन्हा सक्षम करण्यासाठी अचूक पायऱ्या कॅप्चर करा.
रोलबॅकला कोण अधिकृत करू शकते हे देखील ठरवा. जर वेअरहाऊस मॅनेजरने एका डिव्हाइसच्या समस्येची नोंद केली, तर ती संपूर्ण इस्टेट रिव्हर्ट करण्यासाठी पुरेशी नाही. परंतु एखादी रुग्ण प्रणाली, पेमेंट फ्लो किंवा मुख्य ऑपरेशनल प्रक्रिया अयशस्वी झाल्यास, तुम्हाला त्वरीत कारवाई करावी लागेल.
व्यावहारिक रोलबॅक योजनेमध्ये खालील गोष्टींचा समावेश होतो:
- मागील WLAN प्रोफाईलवरून सेव्ह केलेले स्क्रीनशॉट किंवा एक्सपोर्ट केलेले कॉन्फिगरेशन
- रोलबॅक मंजुरीसाठी नियुक्त केलेले निर्णय-निर्णायक
- बदल उलटवण्यापूर्वी समस्येचे निरीक्षण करण्यासाठी वेळ मर्यादा
- सर्व्हिस डेस्क आणि साइट टीमसाठी कम्युनिकेशन्स टेम्पलेट
चांगले रोलबॅक प्लॅनिंग भीती कमी करते. यामुळे टीम्स कमकुवत जुन्या सेटिंग्स काढून टाकण्यास अधिक उत्सुक होतात कारण त्यांना माहीत असते की गरज पडल्यास ते सुरक्षितपणे रिकव्हर करू शकतात.
WPA2 ते Zero Trust पर्यंत नेटवर्क ऍक्सेसचे भविष्य
यशस्वी WPA ते WPA2 मायग्रेशन करणे फायद्याचे आहे. हे जुनी वायरलेस सुरक्षितता काढून टाकते, तुम्हाला मजबूत बेसलाइनवर आणते, आणि वर्षानुवर्षे चालत आलेल्या अपवादांना साफ करण्यासाठी जागा तयार करते.
तरीही हा शेवटचा टप्पा नाही.
WPA2 ची निर्मिती नेटवर्क डिझाइनच्या जुन्या काळात झाली आहे. अगदी WPA2-Enterprise सुद्धा, PSK पेक्षा खूप मजबूत असूनही, अजूनही अशा मॉडेल्सवर अवलंबून आहे जे अनेक टीम्सना स्वतः सर्वकाही तयार करताना ऑपरेशनली कठीण वाटतात. म्हणूनच आधुनिक वायरलेस धोरण आता आयडेंटिटी-आधारित ऍक्सेस, सर्टिफिकेट-आधारित ऑनबोर्डिंग आणि युझर्स आणि डिव्हाइसेसचे अनुसरण करणाऱ्या पॉलिसीकडे वळत आहे, न की सामायिक सिक्रेटवर.
Zero Trust मॉडेलमध्ये काय बदलते
वायरलेस लेयरवरील Zero Trust चा अर्थ असा आहे की नेटवर्क वैधतेचा पुरावा म्हणून पासवर्डवर विश्वास ठेवणे बंद करते. ऍक्सेस हा व्हेरिफाय केलेली आयडेंटिटी, डिव्हाइसची स्थिती किंवा व्यवस्थापित ऑनबोर्डिंगशी जोडलेला असतो, आणि जेव्हा डिरेक्टरी स्टेटस बदलतो तेव्हा ॲक्सेस काढून घेतला जातो, न की जेव्हा कोणाला WiFi पासवर्ड बदलण्याची आठवण येते तेव्हा.
हा बदल बऱ्याच काळापासून चालत आलेल्या समस्या सोडवतो:
- कर्मचाऱ्यांना ऑफबोर्ड करणे त्वरित होते कारण आयडेंटिटी सिस्टमद्वारे ऍक्सेस रद्द केला जाऊ शकतो
- गेस्ट ऍक्सेस अधिक सोपा होतो कारण युझर्सना पुन्हा वापरल्या जाणाऱ्या सामायिक पासवर्डची आवश्यकता नसते
- मल्टी-टेनंट आणि मिश्र-वापर एन्व्हायर्नमेंट व्यवस्थापित करणे सोपे होते कारण पासवर्डचा पसारा न वाढवता ऍक्सेसचे वर्गीकरण केले जाऊ शकते
- जुन्या अपवादात्मक गोष्टी सहज दिसून येतात कारण त्या आयडेंटिटी-आधारित डीफॉल्टच्या तुलनेत वेगळ्या उठून दिसतात
हे WPA2 मायग्रेशनला एका मोठ्या योजनेचा भाग कसे बनवते
WPA ते WPA2 प्रोजेक्टचे व्यावहारिक मूल्य हे आहे की ते SSIDs, डिव्हाइसचे वर्ग आणि ऍक्सेस मॉडेल्सचे सखोल पुनरावलोकन करण्यास भाग पाडते. हे उपयुक्त आहे कारण हेच काम पुढील टप्प्याला मदत करते: PSKs आणि मॅन्युअल ऑनबोर्डिंगवरील अवलंबित्व पूर्णपणे कमी करणे.
Passpoint , Hotspot 2.0, OpenRoaming , आणि डिरेक्टरी इंटिग्रेशनभोवती तयार केलेले प्लॅटफॉर्म्स हॉटेल्स, रिटेल इस्टेट, हेल्थकेअर साइट्स, ट्रान्सपोर्ट हब्स आणि मल्टी-टेनंट बिल्डिंग्स यांसारख्या वास्तविक वातावरणात "सुरक्षित WiFi" चे स्वरूप बदलत आहेत. पासवर्ड कोणाला माहित आहे हे विचारण्याऐवजी, नेटवर्क हे विचारते की युझर किंवा डिव्हाइसकडे वैध आयडेंटिटी आणि योग्य पॉलिसी आहे का.
जर तुम्ही त्या पुढील टप्प्याचे नियोजन करत असाल, तर Zero Trust नेटवर्क ऍक्सेस हा योग्य मार्ग आहे. हे वायरलेसला स्वतंत्र अपवाद म्हणून न वागवता, एंडपॉईंट मॅनेजमेंट, SSO आणि कंडीशनल ऍक्सेस प्रमाणेच WiFi ला समान सुरक्षा पातळीवर आणते.
व्यवहार्य अंतिम स्थिती
भविष्यातील प्रकल्पांसाठी, अधिक टिकाऊ मॉडेल खालीलप्रमाणे दिसते:
- गेस्ट्स Captive Portal च्या पर्यायी उपायांऐवजी सुलभ, एन्क्रिप्टेड ऑनबोर्डिंगचा वापर करतात
- कर्मचारी व्यवस्थापित क्रेडेंशियल किंवा प्रमाणपत्रांसह सामील होतात
- IoT आणि लेगसी उपकरणांना मर्यादित ऍक्सेस मिळतो, जो बऱ्याचदा स्वतंत्र पॉलिसींवर आधारित असतो
- ऍक्सेसमधील बदल हे डायरेक्टरीनुसार होतात, नोटीस बोर्डवरील पासवर्डनुसार नाही
त्यामुळे WPA2 अप्रासंगिक ठरत नाही. तर ते संक्रमणकालीन बनते. अनेक संस्थांसाठी, WPA2-Enterprise हा एका कमकुवत शेअर्ड-पासवर्ड WLAN कडून Zero Trust च्या अधिक जवळ जाण्याचा एक पूल आहे.
जर तुम्ही केवळ ऑडिटच्या मागणीमुळे WPA ते WPA2 मायग्रेशन करत असाल, तर तुमचे नेटवर्क अधिक सुरक्षित होईल. पण जर तुम्ही या मायग्रेशनचा वापर शेअर्ड ट्रस्टऐवजी व्हेरिफाइड आयडेंटिटी लागू करण्यासाठी केला, तर तुमची अशी रचना तयार होईल जी तुम्हाला पुढील वर्षी पुन्हा बदलावी लागणार नाही.
जर तुमची टीम WPA वरून स्थलांतरित होत असेल आणि तुम्हाला दुसऱ्या शेअर्ड-पासवर्डच्या अडचणीत अडकायचे नसेल, तर पुढील टप्प्याचा भाग म्हणून Purple चे मूल्यमापन करणे योग्य ठरेल. हे 802.1X सह WPA2-Enterprise आणि WPA3-Enterprise ला सपोर्ट करते, Entra ID, Google Workspace आणि Okta सारख्या आयडेंटिटी प्रोव्हाईडर्सशी कनेक्ट होते आणि गेस्ट्स, कर्मचारी आणि मल्टी-टेनंट वातावरणासाठी पासवर्डलेस, आयडेंटिटी-आधारित WiFi ऍक्सेस प्रदान करून PSKs आणि Captive Portal मधील अडचणी दूर करण्यास मदत करते.
