सुरक्षित अतिथी प्रवेश: व्यवस्थापित नसलेल्या उपकरणांसाठी NAC लागू करणे

SecurePass Guest Access: Implementing NAC for Unmanaged Devices. A Purple WiFi Intelligence Briefing. परिचय आणि संदर्भ. स्वागत आहे. आपण जर हॉटेल, रिटेल साखळी, स्टेडियम किंवा सार्वजनिक क्षेत्रातील ठिकाणी नेटवर्क सुरक्षेसाठी जबाबदार असाल, तर आपण अशा समस्येचा सामना करत आहात जी अधिक कठीण होत चालली आहे: आपल्या कॉर्पोरेट इन्फ्रास्ट्रक्चरला कोणताही धोका निर्माण न करता पाहुणे, अभ्यागत आणि कंत्राटदारांना जलद, सोयीस्कर WiFi ऍक्सेस कसा द्यावा? आज आपण याच विषयावर काम करणार आहोत. हे केवळ सैद्धांतिक विश्लेषण नाही. आपण आर्किटेक्चर, डिप्लॉयमेंट निर्णय, अनुपालन (compliance) आवश्यकता आणि वास्तविक परिस्थितींचा आढावा घेणार आहोत - जिथे या गोष्टी यशस्वी ठरतात आणि जिथे चुका होतात. मुख्य आव्हान हे आहे: अनमॅनेज्ड (unmanaged) डिव्हाइसेस. आपले पाहुणे वैयक्तिक स्मार्टफोन, लॅपटॉप, टॅब्लेट आणि वाढत्या प्रमाणात IoT डिव्हाइसेससह कनेक्ट होत आहेत - यांपैकी कशावरही तुमचे नियंत्रण नसते, कशावरही तुमचा MDM एजंट इंस्टॉल नसतो आणि जर त्यांचे योग्य प्रकारे वर्गीकरण (segmented) आणि प्रमाणीकरण (authenticated) केले नाही तर हे सर्व संभाव्य सुरक्षा जोखीम बनू शकतात. Network Access Control, किंवा NAC, ही अशी फ्रेमवर्क आहे जी हे सोडवते. चला यामध्ये सविस्तर माहिती घेऊया. तांत्रिक सखोल विश्लेषण. प्रथम, NAC म्हणजे नक्की काय याबद्दल स्पष्टता आणूया. Network Access Control ही एक सुरक्षा फ्रेमवर्क आहे जी पॉलिसी-आधारित ऍक्सेस नेटवर्क संसाधनांवर लागू करते. ऍक्सेस देण्यापूर्वी कोण कनेक्ट करत आहे, ते कोणते डिव्हाइस वापरत आहेत आणि ते डिव्हाइस तुमच्या सुरक्षा आवश्यकता पूर्ण करते की नाही याचे मूल्यांकन हे करते. अनमॅनेज्ड गेस्ट डिव्हाइसेससाठी, पोश्चर चेक अर्थात सुरक्षा तपासणी साहजिकच हलकी असते, परंतु ओळख आणि वर्गीकरण (segmentation) घटक अत्यंत महत्त्वपूर्ण असतात. हे आर्किटेक्चर तीन कार्यात्मक स्तरांमध्ये विभागलेले आहे. पहिला स्तर प्रमाणीकरण (authentication) स्तर आहे. मॅनेज्ड कॉर्पोरेट डिव्हाइसेससाठी, आपण सामान्यतः EAP-TLS सह 802.1X वापरता, जिथे तुमच्या MDM द्वारे SCEP च्या मदतीने प्रमाणपत्रे पाठवली जातात. परंतु अनमॅनेज्ड गेस्ट डिव्हाइसेससाठी, 802.1X व्यावहारिक नाही - पाहुण्यांकडे प्रमाणपत्रे नसतात आणि तुम्ही ती पाठवू शकत नाही. त्यामुळे पाहुण्यांसाठी प्रमाणीकरण स्तर हा Captive Portal वर अवलंबून असतो: हे एक वेब-आधारित प्रमाणीकरण पृष्ठ आहे जे सुरुवातीच्या HTTP किंवा HTTPS विनंतीला अडवते आणि वापरकर्त्याला लॉगिन किंवा नोंदणी प्रक्रियेकडे निर्देशित करते. इथेच Purple च्या गेस्ट WiFi सोल्यूशनसारखे प्लॅटफॉर्म कार्यरत असतात - सोशल लॉगिन, ईमेल, SMS पडताळणी किंवा फॉर्म-आधारित नोंदणीद्वारे ओळख सुरक्षित करणे आणि ती ओळख NAC पॉलिसी इंजिनकडे पाठवणे. दुसरा स्तर पॉलिसी इंजिन आहे. येथे ऍक्सेसचे निर्णय घेतले जातात. NAC सिस्टम प्रमाणित ओळखीचे तुमच्या ऍक्सेस पॉलिसीनुसार मूल्यांकन करते आणि डिव्हाइसला योग्य नेटवर्क सेगमेंटमध्ये नियुक्त करते. पाहुण्यांसाठी, याचा अर्थ सामान्यतः केवळ-इंटरनेट ऍक्सेस असलेला आणि तुमच्या कॉर्पोरेट सबनेट्सचा कोणताही मार्ग नसलेला एक समर्पित गेस्ट VLAN असा होतो. ओळख असलेल्या डिव्हाइससह काम करणाऱ्या कंत्राटदारासाठी, तुम्ही त्यांना विशिष्ट अंतर्गत संसाधनांच्या ऍक्सेससह मर्यादित VLAN मध्ये नियुक्त करू शकता. पॉलिसी इंजिन वेळ-आधारित ऍक्सेस देखील लागू करू शकते - एका कॉन्फरन्स प्रतिनिधीला कार्यक्रमाच्या कालावधीसाठी ऍक्सेस मिळतो, तर हॉटेलच्या पाहुण्याला त्यांच्या वास्तव्याच्या कालावधीसाठी ऍक्सेस मिळतो. तिसरा स्तर हा अंमलबजावणीचा (enforcement) आहे. हे नेटवर्कच्या कडेवर - म्हणजेच तुमचे वायरलेस ॲक्सेस पॉईंट्स, स्विचेस आणि फायरवॉलवर हाताळले जाते. NAC सिस्टम या उपकरणांशी RADIUS द्वारे संवाद साधते, जो की 'रिमोट ऑथेंटिकेशन डायल-इन युझर सर्विस' प्रोटोकॉल आहे. जेव्हा एखादा पाहुणा प्रमाणित (authenticate) होतो, तेव्हा RADIUS सर्व्हर VLAN असाइनमेंट वैशिष्ट्यांसह Access-Accept संदेश पाठवतो आणि ॲक्सेस पॉईंट त्या उपकरणाला योग्य VLAN वर ठेवतो. ऑथेंटिकेशन अयशस्वी झाल्यास, RADIUS सर्व्हर Access-Reject पाठवतो आणि ते उपकरण केवळ Captive Portal चा ॲक्सेस असलेल्या प्री-ऑथेंटिकेशन क्वारंटाईन VLAN मध्ये राहते. आता, आपण WPA3 बद्दल बोलूया. तुम्ही तुमची वायरलेस पायाभूत सुविधा तैनात करत असाल किंवा ती अद्ययावत करत असाल, तर WPA3 तुमच्या रोडमॅपवर असायलाच हवे. WPA3-SAE, ज्याचा अर्थ 'सायमल्टेनियस ऑथेंटिकेशन ऑफ इक्वल्स' असा आहे, ते WPA2-PSK ची जागा घेते आणि ऑफलाइन डिक्शनरी हल्ल्यांमधील असुरक्षितता दूर करते. विशेषतः अतिथी नेटवर्क्ससाठी, WPA3-OWE - म्हणजेच ऑपर्च्युनिस्टिक वायरलेस एन्क्रिप्शन - विशेषतः संबंधित आहे. OWE कोणत्याही पासवर्डची आवश्यकता नसताना एन्क्रिप्शन प्रदान करते, ज्याचा अर्थ असा आहे की अतिथींना कोणत्याही अतिरिक्त अडथळ्याशिवाय सुरक्षित एन्क्रिप्टेड कनेक्शन मिळते. पारंपारिक खुल्या अतिथी SSID च्या तुलनेत हा एक महत्त्वपूर्ण बदल आहे, ज्यामध्ये डेटा क्लिअरटेक्स्ट स्वरूपात प्रसारित केला जातो. आपण ज्या क्षेत्रांबद्दल बोलत आहोत त्यापैकी बहुतांश क्षेत्रांमध्ये नियमांचे पालन करणे (compliance) अत्यंत बंधनकारक आहे. जर तुम्ही पॉईंट-ऑफ-सेल सिस्टीम असलेले हॉटेल चालवत असाल, तर PCI-DSS अंतर्गत कार्डधारक डेटा वातावरण आणि अतिथी नेटवर्क्स दरम्यान कडक नेटवर्क वर्गीकरण (segmentation) आवश्यक आहे. ही अट स्पष्ट आहे: अतिथी WiFi हे PCI कक्षेला कोणताही मार्ग नसलेल्या एका वेगळ्या नेटवर्क सेगमेंटवर असले पाहिजे. NAC नेटवर्क स्तरावर याची अंमलबजावणी करते आणि तुमचे फायरवॉल धोरण बाहेरील सीमेवर याची अंमलबजावणी करते. GDPR यामध्ये आणखी एक बाजू जोडते - जर तुम्ही तुमच्या Captive Portal द्वारे अतिथींच्या ओळखीचा डेटा गोळा करत असाल, तर तुम्हाला स्पष्ट संमती, डेटा प्रक्रियेसाठी कायदेशीर आधार आणि डेटा ठेवण्याचे धोरण (retention policy) आवश्यक आहे. Purple चे प्लॅटफॉर्म कॉन्फिगर करण्यायोग्य धारणा कालावधी आणि ऑडिट ट्रेलसह, GDPR सुसंगत संमती संकलन मूळ स्वरूपात हाताळते. चला MAC ॲड्रेस रँडमायझेशनबद्दल देखील बोलूया, कारण ही एक खरी ऑपरेशनल डोकेदुखी आहे. iOS 14, Android आणि Windows 10 पासून, उपकरणे डीफॉल्टनुसार प्रति SSID नुसार त्यांचा MAC ॲड्रेस रँडमाइज करतात. यामुळे कायमस्वरूपी ओळखकर्ता म्हणून MAC ॲड्रेसवर अवलंबून असणारे कोणतेही NAC धोरण निकामी होते. यावर योग्य उपाय म्हणजे तुमचे ओळखीचे मॉडेल उपकरणाच्या MAC वरून प्रमाणित वापरकर्त्याकडे हलवणे. जेव्हा एखादा अतिथी तुमच्या Captive Portal द्वारे ऑथेंटिकेट करतो, तेव्हा तुम्ही त्यांचे सत्र त्यांच्या प्रमाणित ओळखीशी - जसे की ईमेल, फोन नंबर किंवा सोशल प्रोफाइल - त्यांच्या MAC ॲड्रेस ऐवजी जोडता. Purple चे ॲनालिटिक्स प्लॅटफॉर्म हे योग्यरित्या हाताळते, ज्यामुळे MAC ॲड्रेस बदलला तरीही वेगवेगळ्या सत्रांमध्ये वापरकर्ता-स्तरीय ओळख कायम राहते.ज्या संस्थांना अनमॅनेज्ड डिव्हाइसेससाठी अधिक मजबूत डिव्हाइस पोश्चर मूल्यांकन (device posture assessment) आवश्यक आहे, त्यांच्यासाठी एजंट-आधारित आणि एजंटशिवाय असे दोन्ही दृष्टिकोन उपलब्ध आहेत. एजंटशिवाय केले जाणारे पोश्चर मूल्यांकन हे डिव्हाइसेसचे वर्गीकरण करण्यासाठी आणि मूलभूत अनुपालनाचे मूल्यमापन करण्यासाठी OS फिंगरप्रिंटिंग, ओपन पोर्ट स्कॅनिंग आणि HTTP युझर-एजंट विश्लेषण यासारख्या तंत्रांचा वापर करते. हे अशा गेस्ट नेटवर्क्ससाठी योग्य आहे जिथे तुम्हाला विश्लेषणाच्या उद्देशाने डिव्हाइसचा प्रकार ओळखायचा आहे किंवा भिन्न पॉलिसी लागू करायच्या आहेत - उदाहरणार्थ, काही सेवांमध्ये प्रवेश करण्यापासून ज्ञात IoT डिव्हाइसेस ब्लॉक करणे. एजंट-आधारित पोश्चर मूल्यांकनामध्ये युझरला तात्पुरता एजंट इन्स्टॉल करणे आवश्यक असते, जे कंत्राटदार किंवा भागीदार प्रवेशाच्या परिस्थितीसाठी योग्य आहे परंतु सामान्य पाहुण्यांसाठी (guests) अडथळा निर्माण करते. अंमलबजावणीच्या शिफारसी आणि धोके. प्रत्यक्षात उपयुक्त ठरणारा डिप्लॉयमेंट सिक्वेन्स मी तुम्हाला समजवून सांगतो. तुम्ही NAC कॉन्फिगरेशनला स्पर्श करण्यापूर्वी नेटवर्क सेगमेंटेशनपासून सुरुवात करा. तुमचे VLANs परिभाषित करा: केवळ captive portal आणि DNS चा एक्सेस असलेले एक प्री-ऑथेंटिकेशन VLAN, इंटरनेट एक्सेस असलेले आणि कोणतेही अंतर्गत राउट्स नसलेले एक गेस्ट VLAN, आणि वैकल्पिकरित्या प्रतिबंधित अंतर्गत एक्सेस असलेले कंत्राटदार VLAN. तुमचे फायरवॉल ACLs जागच्या जागी सेट करा. हा पाया आहे - इतर सर्व गोष्टी यावरच अवलंबून असतात. दुसरे म्हणजे, तुमची RADIUS इन्फ्रास्ट्रक्चर डिप्लॉय करा. बऱ्याच मिड-मार्केट डिप्लॉयमेंट्ससाठी, तुमच्या captive portal प्लॅटफॉर्मसह इंटिग्रेट केलेली क्लाउड-होस्टेड RADIUS सेवा हा योग्य पर्याय आहे. हे ऑन-प्रिमाइसेस RADIUS सर्व्हर्स मॅनेज करण्याचा ऑपरेशनल ओव्हरहेड दूर करते आणि प्रॉडक्शन गेस्ट नेटवर्कसाठी आवश्यक असलेली रिडंडन्सी प्रदान करते. तुमचे RADIUS सामायिक सिक्रेट्स मजबूत आहेत आणि ते नियमितपणे बदलले जातात याची खात्री करा. तिसरे म्हणजे, तुमचे captive portal कॉन्फिगर करा. पोर्टल हे प्री-ऑथेंटिकेशन VLAN वरून एक्सेस करण्यायोग्य असणे आवश्यक आहे - याचा अर्थ असा की ऑथेंटिकेशनपूर्वी पोर्टल डोमेनसाठी DNS रिझोल्यूशन कार्य करणे आवश्यक आहे. पोर्टल डोमेनचे रिझोल्यूशन करणाऱ्या DNS सर्व्हरकडे पॉइंट करण्यासाठी प्री-ऑथेंटिकेशन VLAN वर तुमचे DHCP स्कोप कॉन्फिगर करा. याची काळजीपूर्वक चाचणी घ्या - DNS मधील चुकीचे कॉन्फिगरेशन हे captive portal अपयशी ठरण्याचे सर्वात सामान्य कारण आहे. चौथे म्हणजे, तुमच्या VLAN असाइनमेंटची एंड-टू-एंड चाचणी घ्या. एक चाचणी डिव्हाइस कनेक्ट करा, ऑथेंटिकेशन फ्लो पूर्ण करा आणि डिव्हाइस योग्य एक्सेस पॉलिसीसह योग्य VLAN वर पोहोचले आहे याची पडताळणी करा. RADIUS ॲट्रिब्युट्स योग्यरित्या पास होत आहेत याची पुष्टी करण्यासाठी पॅकेट कॅप्चर वापरा. गेस्ट VLAN कडे तुमच्या कॉर्पोरेट सबनेट्सचा कोणताही राऊट नाही याची खात्री करा - गेस्ट VLAN वरून कॉर्पोरेट IP वर ट्रेसरूट चालवा आणि ते अयशस्वी झाल्याची पुष्टी करा. आता, त्रुटींविषयी चर्चा करूया. सर्वात सामान्य बिघाड स्प्लिट-टनल चुकीच्या कॉन्फिग्रेशनमुळे होतो - जेथे चुकीच्या कॉन्फिग्रेशन केलेल्या फायरवॉल नियमामुळे किंवा गहाळ ACL मुळे अतिथी VLAN कडे अंतर्गत संसाधनांचा अनपेक्षित मार्ग असतो. थेट सुरू होण्यापूर्वी आपल्या फायरवॉल नियमांचे ऑडिट करा. दुसरी सामान्य त्रुटी म्हणजे RADIUS टाईमआउट हाताळणी - जर आपला RADIUS सर्व्हर पोहोचण्याबाहेर असेल, तर काय होईल? आपले ऍक्सेस पॉईंट्स फेल-क्लोज्डसाठी कॉन्फिग्रेट केले आहेत याची खात्री करा, फेल-ओपनसाठी नाही. फेल-ओपनचा अर्थ असा आहे की RADIUS डाउन असले तरीही अतिथींना नेटवर्क ऍक्सेस मिळतो, जो सुरक्षेचा धोका आहे. फेल-क्लोज्डचा अर्थ असा की जर RADIUS पोहोचण्याबाहेर असेल तर कोणताही ऍक्सेस मिळणार नाही, जी सुरक्षित डिप्लॉयमेंटसाठी योग्य भूमिका आहे. तिसरी त्रुटी म्हणजे आपल्या Captive Portal वरील प्रमाणपत्राची मुदत संपणे. जर आपल्या पोर्टलचे TLS प्रमाणपत्र कालबाह्य झाले, तर अतिथींना ब्राउझर सुरक्षा चेतावणी दिसेल आणि आपला ऑथेंटिकेशन दर जवळजवळ शून्यावर येईल. Let's Encrypt किंवा आपल्या प्रमाणपत्र व्यवस्थापन प्लॅटफॉर्मसह प्रमाणपत्र नूतनीकरण स्वयंचलित करा. जलद प्रश्न आणि उत्तरे. मला अतिथी नेटवर्कसाठी 802.1X ची आवश्यकता आहे का? नाही. व्यवस्थापित कॉर्पोरेट डिव्हाइसेससाठी 802.1X योग्य आहे. अव्यवस्थित अतिथींसाठी, RADIUS-आधारित VLAN असाइनमेंटसह Captive Portal ही योग्य आर्किटेक्चर आहे. मी अतिथी आणि कॉर्पोरेट डिव्हाइसेस दोन्हीसाठी एकच SSID वापरू शकतो का? तांत्रिकदृष्ट्या होय, ऑथेंटिकेशनच्या निकालावर आधारित डायनॅमिक VLAN असाइनमेंट वापरून. परंतु व्यावहारिकदृष्ट्या, स्वतंत्र SSIDs व्यवस्थापित करणे सोपे आणि ऑडिट करणे अधिक सुलभ आहे. त्यांना स्वतंत्र ठेवा. मी अशा IoT डिव्हाइसेसना कसे हाताळू जे Captive Portal प्रवाह पूर्ण करू शकत नाहीत? पूर्व-नोंदणीकृत MAC पत्त्यांसह ज्ञात IoT डिव्हाइसेससाठी MAC-आधारित ऑथेंटिकेशन बायपास किंवा MAB वापरा. अज्ञात IoT डिव्हाइसेससाठी, त्यांना क्वारंटाइन VLAN मध्ये ठेवा आणि मॅन्युअली पुनरावलोकन करा. अतिथी ऍक्सेससाठी योग्य सेशन टाईमआउट काय आहे? हॉस्पिटॅलिटीसाठी, अतिथीच्या मुक्कामाच्या कालावधीशी सुसंगत ठेवा. रिटेलसाठी, दोन ते चार तास सामान्य आहे. इव्हेंटसाठी, इव्हेंटच्या वेळापत्रकाशी सुसंगत ठेवा. नेहमी एक आयडल टाईमआउट सेट करा - ३० मिनिटांची निष्क्रियता हा एक वाजवी डिफॉल्ट आहे. मी अतिथी रहदारी (ट्रॅफिक) लॉग करावी का? होय, कायदेशीर आणि अनुपालन कारणांसाठी. कनेक्शन लॉग - सोर्स IP, टाईमस्टॅम्प, ऑथेंटिकेटेड ओळख - किमान ९० दिवसांसाठी ठेवा, किंवा आपल्या अधिकार क्षेत्राला आवश्यक असल्यास त्याहून अधिक काळ ठेवा. Purple चे प्लॅटफॉर्म हा ऑडिट ट्रेल मूळ स्वरूपात प्रदान करतो. गोषवारा आणि पुढील पावले. या सर्वांचे एकत्रीकरण करायचे तर: अव्यवस्थित डिव्हाइसेससाठी सुरक्षित अतिथी ऍक्सेस ही एक सुटलेली समस्या आहे, परंतु त्यासाठी जाणीवपूर्वक डिझाइन केलेल्या आर्किटेक्चरची आवश्यकता आहे. याचे तीन मुख्य आधारस्तंभ आहेत: ओळख - कोण कनेक्ट होत आहे; वर्गीकरण - ते कुठे जाऊ शकतात; आणि अंमलबजावणी - आपण धोरण कसे कायम राखता. NAC या सर्वांना एकत्र जोडते, आपल्या ऑथेंटिकेशन प्लॅटफॉर्म आणि नेटवर्क इन्फ्रास्ट्रक्चरमधील संवाद प्रोटोकॉल म्हणून RADIUS कार्य करते. आपल्या पुढील पावलांसाठी: आपण अद्याप केले नसल्यास, आपल्या सध्याच्या अतिथी नेटवर्क वर्गीकरणाचे ऑडिट करा. आपल्या अतिथी VLAN कडून आपल्या कॉर्पोरेट सबनेट्सकडे कोणतेही मार्ग उपलब्ध नसल्याची खात्री करा. आपल्या Captive Portal च्या GDPR संमती प्रवाह आणि डेटा धारणा कॉन्फिग्रेशनचे पुनरावलोकन करा. आणि जर आपण ओपन अतिथी SSID सह WPA2 वर असाल, तर आपल्या इन्फ्रास्ट्रक्चर रिफ्रेश रोडमॅपमध्ये WPA3-OWE चा समावेश करा. Purple चे प्लॅटफॉर्म थेट या आर्किटेक्चरसह इंटिग्रेट होते - captive portal, आयडेंटिटी कॅप्चर, GDPR अनुपालन स्तर आणि तुमच्या NAC इन्फ्रास्ट्रक्चरवर असणारे विश्लेषण प्रदान करते. हे तुमच्या विशिष्ट वेन्यू वातावरणाशी कसे जुळते हे जर तुम्हाला पाहायचे असेल, तर Purple टीम तुम्हाला तुमच्या वापराच्या परिस्थितीसाठी (use case) संदर्भ आर्किटेक्चरद्वारे मार्गदर्शन करू शकते. ऐकल्याबद्दल धन्यवाद. हे सुरक्षित गेस्ट एक्सेस: अनमॅनेज्ड डिव्हाइसेससाठी NAC अंमलबजावणी यावरील Purple WiFi इंटेलिजन्स ब्रीफिंग होते.