मुख्य मजकुराकडे जा
मराठी

Active Directory किंवा ऑन-प्रिमाइसेस सर्व्हरशिवाय Enterprise WiFi प्रमाणीकरण

हे मार्गदर्शक ऑन-प्रिमाइसेस Active Directory, Windows NPS, किंवा RADIUS सर्व्हरशिवाय सुरक्षित WPA2/3-Enterprise WiFi प्रमाणीकरण कसे उपयोजित करावे हे स्पष्ट करते. यामध्ये क्लाउड आयडेंटिटी प्रोव्हाइडर्स आणि 802.1X मधील प्रोटोकॉल विसंगती, PEAP-MSCHAPv2 ऐवजी EAP-TLS चा वापर करण्याची कारणे, आणि Microsoft Entra ID, Okta, किंवा Google Workspace च्या विरोधात MDM-जारी केलेल्या प्रमाणपत्रांसह क्लाउड RADIUS कसे उपयोजित करावे याबद्दल माहिती दिली आहे. हे मार्गदर्शन ऑन-प्रिमाइसेस पायाभूत सुविधा काढून टाकण्यास तयार असलेल्या क्लाउड-फर्स्ट आणि जास्त Mac/Chromebook वापरणाऱ्या संस्थांमधील IT प्रमुखांसाठी लिहिले गेले आहे.

📖 9 मिनिट वाचन📝 2,219 शब्द🔧 2 सोडवलेली उदाहरणे❓ 4 सराव प्रश्न📚 10 महत्वाच्या व्याख्या

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
हॅलो आणि या तांत्रिक माहिती सत्रात आपले स्वागत आहे. आज आपण एका अतिशय विशिष्ट, अतिशय सामान्य आर्किटेक्चरल समस्येवर तोडगा काढत आहोत: जेव्हा तुम्ही क्लाउडवर स्थलांतरित झाले आहात आणि तुमच्याकडे आता ऑन-प्रिमाइसेस ॲक्टिव्ह डिरेक्टरी किंवा Windows NPS सर्व्हर उपलब्ध नाही, तेव्हा एंटरप्राइझ WiFi ऑथेंटिकेशन कसे चालवायचे. जर तुम्ही क्लाउड-फर्स्ट संस्थेमध्ये IT मॅनेजर, नेटवर्क आर्किटेक्ट किंवा CTO असाल, तर तुम्हाला बहुधा या समस्येचा सामना करावा लागला असेल. तुम्ही तुमची आयडेंटिटी Microsoft Entra ID, Okta, किंवा Google Workspace वर स्थलांतरित केली आहे. सर्वकाही SaaS आहे. पण तुमचे Cisco, Aruba, किंवा Meraki ॲक्सेस पॉइंट्स अजूनही RADIUS सर्व्हरची अपेक्षा ठेवतात. आणि ऐतिहासिकदृष्ट्या, तो RADIUS सर्व्हर डोमेन कंट्रोलरशी कनेक्ट असलेला नेटवर्क पॉलिसी सर्व्हर किंवा NPS चालवणारा Windows सर्व्हर होता. तर, फक्त WiFi साठी नवीन व्हर्च्युअल मशीन्स न बनवता तुम्ही ही दरी कशी सांधणार? चला तांत्रिक तपशिलांमध्ये खोलवर जाऊया. येथे मुख्य समस्या प्रोटोकॉलमधील विसंगतीची आहे. Entra ID आणि Okta हे आधुनिक वेब प्रोटोकॉल्स वापरतात: SAML, OIDC, आणि OAuth2. तुमचे ॲक्सेस पॉइंट्स RADIUS वर काम करतात. Microsoft, Entra ID साठी मूळ (native) RADIUS एंडपॉइंट प्रदान करत नाही. तुम्ही फक्त तुमचे Meraki डॅशबोर्ड Azure कडे निर्देशित करू शकत नाही आणि ते कार्य करेल अशी अपेक्षा ठेवू शकत नाही. ऐतिहासिकदृष्ट्या, संस्था WiFi साठी PEAP-MSCHAPv2 चा वापर करत असत. युजर्सनी त्यांचे युझरनेम आणि पासवर्ड टाईप केले की, RADIUS सर्व्हर ॲक्टिव्ह डिरेक्टरीमध्ये स्टोअर केलेल्या NTLM हॅशशी त्याची पडताळणी करत असे. येथे सर्वात मोठा बिघाड होतो: Microsoft Entra ID हे NTLM हॅश स्टोअर करत नाही. त्यामुळे तुम्ही Entra ID च्या समोर क्लाउड RADIUS सर्व्हर ठेवला, तरीही तो PEAP पासवर्ड चॅलेंज प्रमाणित करू शकत नाही. हे दुरुस्त करण्यासाठी, तुम्हाला ऑथेंटिकेशन पद्धत बदलावी लागेल. तुम्हाला EAP-TLS वर जावे लागेल. EAP-TLS पासवर्ड ऐवजी डिजिटल सर्टिफिकेट्सचा वापर करते. डिव्हाइस RADIUS सर्व्हरसमोर X.509 सर्टिफिकेट सादर करते. RADIUS सर्व्हर हे सर्टिफिकेट विश्वासू सर्टिफिकेट ऑथोरिटीद्वारे स्वाक्षरित आहे की नाही हे तपासतो. कारण यामध्ये पासवर्डचा समावेश नसल्यामुळे, RADIUS सर्व्हरला NTLM हॅश स्टोअरची आवश्यकता नसते. त्याला फक्त सर्टिफिकेट प्रमाणित करावे लागते आणि योग्य VLAN नियुक्त करण्यासाठी युझरचे ग्रुप मेंबरशिप तपासावे लागते. येथेच आधुनिक आर्किटेक्चर एकत्र येते. तुम्ही ऑथेंटिकेशन सर्व्हर म्हणून काम करण्यासाठी Purple सारख्या क्लाउड RADIUS सेवेचा वापर करता. डिलिव्हरी मेकॅनिझम म्हणून काम करण्यासाठी तुम्ही Microsoft Intune किंवा Jamf सारख्या तुमच्या मोबाईल डिव्हाइस मॅनेजमेंट (MDM) प्लॅटफॉर्मचा वापर करता. MDM तुमच्या व्यवस्थापित लॅपटॉप आणि फोन्सवर डिव्हाइस सर्टिफिकेट्स गुप्तपणे पाठवण्यासाठी SCEP म्हणजेच सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल नावाचा प्रोटोकॉल वापरतो. युझरला काहीही करावे लागत नाही. डिव्हाइस WiFi ला कनेक्ट होते, Purple च्या क्लाउड RADIUS समोर सर्टिफिकेट सादर करते, Purple ते प्रमाणित करते, युझरच्या ग्रुपसाठी Entra ID किंवा Okta तपासते आणि ॲक्सेस पॉइंटला त्यांना योग्य VLAN वर आणण्यास सांगते. चला अंमलबजावणीच्या शिफारसी आणि संभाव्य अडचणींबद्दल बोलूया. सर्वात महत्त्वाची शिफारस म्हणजे SCIM प्रोव्हिजनिंगचा (SCIM provisioning) स्वीकार करणे. वेळोवेळी होणाऱ्या डिरेक्टरी सिंक्सवर (directory syncs) अवलंबून राहू नका. SCIM, ज्याचा अर्थ System for Cross-domain Identity Management असा आहे, हे सुनिश्चित करते की जेव्हा HR द्वारे Entra ID मध्ये एखाद्या कर्मचाऱ्याला निष्क्रिय केले जाते, तेव्हा तो सिग्नल क्लाउड RADIUS कडे त्वरित पाठवला जातो. त्यांचा WiFi ऍक्सेस त्याच सेकंदाला थांबतो ज्या सेकंदाला त्यांचा ईमेल ऍक्सेस थांबतो. हा एक महत्त्वपूर्ण सुरक्षा सुधारणा आहे. एक सामान्य चूक म्हणजे सर्टिफिकेट लाइफसायकल मॅनेजमेंट (certificate lifecycle management). जर तुम्ही एक वर्षात कालबाह्य होणारी सर्टिफिकेट्स जारी केली, तर तुम्ही हे सुनिश्चित केले पाहिजे की तुमचे MDM दहाव्या महिन्याला ती ऑटो-रिन्यू करण्यासाठी कॉन्फिगर केलेले आहे. जर सर्टिफिकेट कालबाह्य झाले, तर डिव्हाइस नेटवर्कवरून कोणतीही सूचना न देता डिस्कनेक्ट होते आणि तुम्हाला सपोर्ट तिकीट प्राप्त होईल. दुसरी एक चूक म्हणजे फायरवॉल कॉन्फिगरेशन. तुमच्या ऍक्सेस पॉइंट्सना क्लाउड RADIUS एंडपॉइंट्सपर्यंत पोहोचणे आवश्यक आहे. तुमचे आउटबाउंड नियम UDP पोर्ट १८१२ ला परवानगी देतात याची खात्री करा, किंवा जर तुमचे ऍक्सेस पॉइंट्स RadSec ला सपोर्ट करत असतील तर TCP पोर्ट २०८३ ला परवानगी द्या, जे इंटरनेटवर RADIUS ट्रॅफिक सुरक्षितपणे एन्क्रिप्ट करते. चला, आपल्याकडे वारंवार येणाऱ्या प्रश्नांवर आधारित एक जलद प्रश्नोत्तरांचे सत्र घेऊया. प्रश्न १: मी थेट Entra ID च्या माध्यमातून WiFi चे ऑथेंटिकेशन करू शकतो का? उत्तर: नाही. Entra ID हे RADIUS भाषेमध्ये संवाद साधत नाही. तुम्हाला मध्ये एका क्लाउड RADIUS सेवेची आवश्यकता असते. प्रश्न २: मला अजूनही Windows NPS ची गरज आहे का? उत्तर: नाही. क्लाउड RADIUS सेवा ही NPS ला पूर्णपणे रिप्लेस करते. तुम्ही ते Windows Servers डीकमिशन करू शकता. प्रश्न ३: केवळ-क्लाउडवर (cloud-only) काम करणाऱ्या कंपन्या कर्मचाऱ्यांचे WiFi कसे सुरक्षित करतात? उत्तर: सर्टिफिकेट्स पुश करण्यासाठी त्यांचे MDM वापरून आणि क्लाउड RADIUS प्रोव्हायडर विरुद्ध EAP-TLS द्वारे ऑथेंटिकेट करून. प्रश्न ४: एखादा कर्मचारी कंपनी सोडून गेल्यास त्याच्या WiFi ऍक्सेसचे काय होते? उत्तर: SCIM प्रोव्हिजनिंगमुळे, आयडेंटिटी प्रोव्हायडरमध्ये त्यांचे खाते निष्क्रिय केल्यावर त्यांचा ऍक्सेस त्वरित रद्द केला जातो. कोणत्याही मॅन्युअल हस्तक्षेपाची आवश्यकता नाही. थोडक्यात सांगायचे तर, तुमचे आयडेंटिटी क्लाउडवर नेल्यानंतर तुमचे WiFi ऑथेंटिकेशन क्लाउडवर स्थलांतरित करणे ही पुढील तर्कसंगत पायरी आहे. क्लाउड RADIUS आणि EAP-TLS तैनात करून, तुम्ही ऑन-प्रिमायसेस सर्व्हर्सची गरज संपवता, पासवर्ड्सची कटकट दूर करता आणि नेटवर्क ऍक्सेस थेट वापरकर्त्याच्या क्लाउड आयडेंटिटीशी जोडता. हे अधिक सुरक्षित आहे, व्यवस्थापित करण्यास सोपे आहे आणि बाय डीफॉल्ट अत्यंत उच्च उपलब्धतेसह (highly available) येते. Purple जगभरात ८०,००० पेक्षा जास्त ठिकाणी ९९.९९९ टक्के अपटाइमसह आणि Microsoft Entra ID, Okta आणि Google Workspace सह नेटिव्ह इंटिग्रेशन्सद्वारे क्लाउड RADIUS चालवते. तुम्ही तुमच्या विद्यमान Cisco Meraki, HPE Aruba, Ruckus किंवा Juniper Mist ऍक्सेस पॉइंट्सवर एका तासापेक्षा कमी वेळात लाईव्ह होऊ शकता. या तांत्रिक माहिती सत्राला उपस्थित राहिल्याबद्दल धन्यवाद. अधिक तपशीलवार डिप्लॉयमेंट गाइड्स पाहण्यासाठी आणि थेट प्रात्यक्षिक (live demonstration) पाहण्यासाठी, purple dot ai ला भेट द्या.

header_image.png

कार्यकारी सारांश (Executive summary)

बहुतांश संस्थांनी त्यांची ओळख (identity) क्लाउडवर स्थलांतरित केली आहे. Microsoft Entra ID, Okta आणि Google Workspace आता ईमेल, SaaS ॲप्स आणि डिव्हाइस मॅनेजमेंटसाठी युजर्स, ग्रुप्स आणि ॲक्सेस पॉलिसी व्यवस्थापित करतात. परंतु एंटरप्राइझ WiFi या वेगाशी जुळवून घेऊ शकलेले नाही. ॲक्सेस पॉइंट्स अजूनही RADIUS सर्व्हरची अपेक्षा करतात, आणि तो RADIUS सर्व्हर ऐतिहासिकदृष्ट्या ऑन-प्रिमाइसेस Active Directory डोमेन कंट्रोलरशी जोडलेला Windows Network Policy Server (NPS) राहिला आहे.

या विसंगतीमुळे IT टीम्सना केवळ WiFi चालू ठेवण्यासाठी निरुपयोगी ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चर राखणे भाग पडते. यावर उपाय म्हणजे क्लाउड RADIUS: एक पूर्णपणे व्यवस्थापित ऑथेंटिकेशन सेवा जी तुमच्या ॲक्सेस पॉइंट्सशी RADIUS मध्ये संवाद साधते आणि तुमच्या क्लाउड आयडेंटिटी प्रोव्हाइडरशी OAuth2, SCIM आणि SAML मध्ये संवाद साधते. तुमच्या MDM द्वारे EAP-TLS सर्टिफिकेट वितरणासह याची जोडणी करा, आणि तुमच्याकडे ऑन-प्रिमाइसेस सर्व्हर्स, OS पॅचिंग आणि थेट तुमच्या क्लाउड डिरेक्टरीशी जोडलेल्या तात्काळ ॲक्सेस रिव्होकेशनशिवाय एक संपूर्ण 802.1X डिप्लॉयमेंट तयार होते.

Purple जगभरात ८०,०००+ पेक्षा जास्त ठिकाणी क्लाउड RADIUS ऑपरेट करते, ९९.९९९% अपटाइमसह (Purple अंतर्गत डेटा, २०२४) आणि Microsoft Entra ID, Okta आणि Google Workspace सह नेटिव्ह इंटिग्रेशन्स प्रदान करते. तुम्ही तुमच्या सध्याच्या Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme किंवा Fortinet ॲक्सेस पॉइंट्सवर एका तासापेक्षा कमी वेळात लाईव्ह होऊ शकता.

तांत्रिक सखोल विश्लेषण (Technical deep-dive)

समस्येच्या मुळाशी असलेली प्रोटोकॉल विसंगती

मुख्य आव्हान हे आहे की क्लाउड आयडेंटिटी प्रोव्हाइडर्स आणि WiFi ॲक्सेस पॉइंट्स पूर्णपणे भिन्न भाषा बोलतात. Microsoft Entra ID (पूर्वीचे Azure AD) SAML, OIDC आणि OAuth2 द्वारे युजर्सचे ऑथेंटिकेशन करते - हे असे प्रोटोकॉल्स आहेत जे ब्राउझर आणि SaaS ॲप्स वापरतात. WiFi ॲक्सेस पॉइंट्स RADIUS (Remote Authentication Dial-In User Service, RFC 2865) वापरतात, जो १९९० च्या दशकात डायल-अप आणि VPN साठी डिझाइन केलेला UDP-आधारित प्रोटोकॉल आहे. Microsoft ने Entra ID साठी कधीही नेटिव्ह RADIUS एंडपॉइंट पाठवला नाही. तुम्ही Meraki किंवा Aruba ॲक्सेस पॉइंट थेट Azure कडे निर्देशित करू शकत नाही आणि ८०२.१X काम करेल अशी अपेक्षा करू शकत नाही.

जेव्हा प्रत्येक क्लाउड-फर्स्ट IT टीम स्टाफ WiFi सुरक्षित करण्यासाठी WPA2-Enterprise किंवा WPA3-Enterprise चा वापर करण्याचा प्रयत्न करते, तेव्हा त्यांना या समस्येचा सामना करावा लागतो. ॲक्सेस पॉइंट आणि क्लाउड आयडेंटिटी प्रोव्हाइडरमधील अंतर भरून काढण्यासाठी कशाची तरी गरज असते. ती गोष्ट म्हणजेच क्लाउड RADIUS होय.

Active Directory शिवाय PEAP-MSCHAPv2 का अपयशी ठरते

ऐतिहासिकदृष्ट्या, 802.1X डिप्लॉयमेंट्स PEAP-MSCHAPv2 (Protected Extensible Authentication Protocol with Microsoft Challenge Handshake Authentication Protocol version 2) वर अवलंबून होते. युजरने त्यांचे युझरनेम आणि पासवर्ड टाईप केला की, ॲक्सेस पॉइंटने ती विनंती RADIUS सर्व्हरकडे पाठवली, आणि RADIUS सर्व्हरने Active Directory मध्ये सेव्ह केलेल्या NTLM हॅशसह पासवर्डची पडताळणी केली.

Microsoft Entra ID NTLM हॅश स्टोअर करत नाही. ही कॉन्फिगरेशनमधील त्रुटी नाही - हा एक जाणीवपूर्वक घेतलेला आर्किटेक्चरल निर्णय आहे. Entra ID हा आधुनिक क्लाउड आयडेंटिटी प्रोव्हायडर आहे, डोमेन कंट्रोलर नाही. परिणामी, Entra ID कडे निर्देशीत केलेला RADIUS सर्व्हर PEAP-MSCHAPv2 चॅलेंज प्रमाणित करू शकत नाही. Entra ID सोबत PEAP कार्यक्षम करण्याचा एकमेव मार्ग म्हणजे Entra Domain Services उपयोजित करणे, जी Entra ID वरून सिंक्रोनाइझ होणारी एक सशुल्क व्यवस्थापित Active Directory आहे, आणि नंतर त्यावर NPS चालवणे. यामुळे तुम्ही जे काढून टाकू इच्छित होता त्यातील बहुतांश गोष्टी पुन्हा उद्भवतात: Windows Server VMs, OS पॅचिंग, NTLM हॅश स्टोरेज आणि मॅन्युअल प्रमाणपत्र व्यवस्थापन.

EAP-TLS: क्लाउड-फर्स्ट संस्थांसाठी योग्य उत्तर

EAP-TLS (Extensible Authentication Protocol-Transport Layer Security, RFC 5216) पासवर्डऐवजी X.509 डिजिटल प्रमाणपत्रांचा वापर करते. डिव्हाइस RADIUS सर्व्हरला प्रमाणपत्र सादर करते. RADIUS सर्व्हर विश्वसनीय Certificate Authority (CA) कडे प्रमाणपत्राची पडताळणी करतो. या देवाणघेवाणीत पासवर्ड नसल्यामुळे, RADIUS सर्व्हरला NTLM हॅश स्टोअरची आवश्यकता नसते. योग्य VLAN आणि ॲक्सेस पॉलिसी लागू करण्यासाठी त्याला फक्त CA वर विश्वास ठेवणे आणि आयडेंटिटी प्रोव्हायडरमध्ये युझरच्या ग्रुप मेंबरशिपची तपासणी करणे आवश्यक असते.

EAP-TLS हे डिझाइननुसारच फिशिंग-प्रतिरोधक (phishing-resistant) आहे. यात चोरण्यासारखे कोणतेही क्रेडेंशियल नसते. हे फिशिंग-प्रतिरोधक मल्टि-फॅक्टर ऑथेंटिकेशनवरील CISA मार्गदर्शक तत्त्वांचे पालन करते आणि कार्डधारकांचा डेटा हाताळणाऱ्या नेटवर्कवर मजबूत ऑथेंटिकेशनसाठी PCI DSS आवश्यकतांशी सुसंगत आहे. व्यवस्थापित डिव्हाइस फ्लिट्ससाठी (managed device fleets) IEEE 802.1X द्वारे शिफारस केलेली हीच ऑथेंटिकेशन पद्धत आहे.

architecture_overview.png

क्लाउड-फर्स्ट 802.1X ऑथेंटिकेशन आर्किटेक्चर: डिव्हाइसेस Purple च्या क्लाउड RADIUS द्वारे EAP-TLS च्या माध्यमातून ऑथेंटिकेट होतात, जे प्रमाणपत्रांची पडताळणी करते आणि Entra ID, Okta किंवा Google Workspace कडून ग्रुप-आधारित पॉलिसी लागू करते.

MDM हे ऑन-प्रिमाइसेस CA ला कसे रिप्लेस करते

पारंपारिक 802.1X उपयोजनामध्ये, Active Directory Certificate Services (AD CS) चालवणाऱ्या ऑन-प्रिमाइसेस Certificate Authority द्वारे प्रमाणपत्रे जारी केली जात होती. क्लाउड-फर्स्ट उपयोजनामध्ये, MDM हे SCEP (Simple Certificate Enrollment Protocol) चा वापर करून ही भूमिका स्वतःकडे घेते. Microsoft Intune, Jamf Pro आणि इतर MDM प्लॅटफॉर्म्स क्लाउड-होस्टेड CA कडून प्रमाणपत्रांची विनंती करू शकतात आणि ती व्यवस्थापित डिव्हाइसेसवर अदृश्यपणे (silently) पुश करू शकतात.

याचा प्रवाह पुढीलप्रमाणे कार्य करतो. IT ॲडमिनिस्ट्रेटर MDM मध्ये SCEP प्रमाणपत्र प्रोफाइल तयार करतो, जे WiFi ॲक्सेसची आवश्यकता असलेल्या डिव्हाइस ग्रुप्सच्या कक्षेपुरते मर्यादित असते. MDM हे प्रमाणपत्र Windows, macOS, iOS, iPadOS, Android Enterprise आणि ChromeOS डिव्हाइसेसवर स्वयंचलितपणे पुश करते. युझरला काहीही दिसत नाही. प्रमाणपत्र MDM मधील डिव्हाइस आयडेंटिटीशी बांधील असते आणि ते कालबाह्य होण्यापूर्वी स्वयंचलितपणे नूतनीकृत (renew) होते. जेव्हा डिव्हाइस WiFi ला कनेक्ट होते, तेव्हा ते क्लाउड RADIUS सर्व्हरला प्रमाणपत्र सादर करते, जे CA कडे त्याची पडताळणी करते आणि योग्य नेटवर्क पॉलिसी लागू करते.

Microsoft Intune वापरणाऱ्या संस्थांसाठी, Microsoft Cloud PKI एक पूर्णपणे व्यवस्थापित CA प्रदान करते जे थेट Intune SCEP प्रोफाइल्सशी समाकलित होते, ज्यामुळे ऑन-प्रिमायसेस NDES (Network Device Enrollment Service) सर्व्हरची गरज उरत नाही. Jamf-व्यवस्थापित Mac आणि iOS च्या ताफ्यांसाठी, Jamf चे अंगभूत CA किंवा थर्ड-पार्टी क्लाउड CA याच उद्देशासाठी काम करते.

SCIM आणि त्वरित प्रवेश रद्द करणे

क्लाउड RADIUS च्या सर्वात ऑपरेशनलदृष्ट्या महत्त्वाच्या पैलूंपैकी एक म्हणजे SCIM (System for Cross-domain Identity Management) प्रोव्हिजनिंग होय. SCIM हे एक ओपन स्टँडर्ड आहे जे आयडेंटिटी मधील बदल स्रोताकडून - म्हणजे तुमच्या क्लाउड आयडेंटिटी प्रोव्हायडरकडून - त्यावर अवलंबून असलेल्या सिस्टम्सवर रीअल-टाइममध्ये पाठवते. जेव्हा एखाद्या कर्मचाऱ्याला Entra ID किंवा Okta मध्ये निष्क्रिय केले जाते, तेव्हा SCIM तो बदल त्वरित क्लाउड RADIUS सेवेकडे पाठवते. पुढील वेळी जेव्हा ते डिव्हाइस ऑथेंटिकेशनचा प्रयत्न करते, तेव्हा RADIUS सर्व्हर Access-Reject दाखवतो. ॲक्सेस पॉइंटवर कमी वेळेची सेशन मर्यादा (session timeout) कॉन्फिगर केल्यामुळे, खाते निष्क्रिय झाल्यानंतर काही मिनिटांतच ते डिव्हाइस नेटवर्कमधून काढून टाकले जाते.

सामायिक केलेल्या PSK नेटवर्क्सच्या तुलनेत ही एक महत्त्वपूर्ण सुरक्षितता सुधारणा आहे, कारण PSK नेटवर्क्समध्ये प्रवेश रद्द करण्याचा एकमेव मार्ग म्हणजे प्रत्येक डिव्हाइसवरील पासवर्ड बदलणे हा असतो. तसेच हे जुन्या काळातील RADIUS डिप्लॉयमेंट्सपेक्षाही अधिक सुरक्षित आहे जे काही तास किंवा दिवसांच्या अंतराने होणाऱ्या नियतकालिक LDAP सिंक्रोनाइझेशनवर अवलंबून असतात.

RadSec: इंटरनेटवर RADIUS ट्रॅफिक सुरक्षित करणे

पारंपारिक RADIUS हे UDP वापरते आणि केवळ मूलभूत मेसेज ऑथेंटिकेशन प्रदान करते. जेव्हा तुमचा RADIUS सर्व्हर तुमच्या ॲक्सेस पॉइंट्ससारख्याच डेटा सेंटरमध्ये असतो, तेव्हा हे स्वीकार्य असते. परंतु जेव्हा तुमचा RADIUS सर्व्हर एक क्लाउड सर्व्हिस असते, तेव्हा ऑथेंटिकेशन ट्रॅफिक सार्वजनिक इंटरनेटवरून प्रवास करते. RadSec (RADIUS over TLS, RFC 6614) हे TLS चा वापर करून RADIUS एक्सचेंजचे एन्क्रिप्शन करते, ज्यामुळे ऑथेंटिकेशन ट्रॅफिकला गोपनीयता आणि अखंडता (integrity) मिळते. Purple हे RadSec ला नेटिव्हली सपोर्ट करते, आणि RadSec ला अजून सपोर्ट न करणाऱ्या ॲक्सेस पॉइंट्ससाठी IPsec फॉलबॅकची सुविधा देते.

अंमलबजावणी मार्गदर्शिका

EAP-TLS सह क्लाउड RADIUS उपयोजित (deploy) करण्यासाठी चार समन्वित पायऱ्यांची आवश्यकता असते. जर Entra ID आणि MDM आधीपासूनच कार्यरत असतील, तर एक पायलट SSID एका तासापेक्षा कमी वेळेत कार्यान्वित होऊ शकतो.

पायरी १: तुमच्या आयडेंटिटी प्रोव्हायडरला क्लाउड RADIUS शी कनेक्ट करा

OAuth2 ॲडमिन कन्सेंटद्वारे (Entra ID साठी) किंवा API टोकनद्वारे (Okta आणि Google Workspace साठी) Purple ला तुमच्या आयडेंटिटी प्रोव्हायडरशी कनेक्ट करा. हे Purple ला डिरेक्टरीमधून युजर्स, ग्रुप्स आणि ग्रुप मेंबरशिप्स वाचण्याची परवानगी देते. युजर स्टेटमधील बदल रिअल-टाइममध्ये Purple कडे पाठवण्यासाठी SCIM प्रोव्हिजनिंग कॉन्फिगर करा. डिस्कवर कोणतेही सर्व्हिस प्रिन्सिपल क्रेडेंशियल्स साठवले जात नाहीत. ग्रुपमधील बदल पुढील ऑथेंटिकेशन इव्हेंटच्या वेळी लागू होतात, कोणत्याही ठराविक सिंक शेड्यूलनुसार नाही.

पायरी २: तुमचे MDM आणि SCEP प्रोफाइल कॉन्फिगर करा

Microsoft Intune मध्ये, CA रूटसाठी एक Trusted Certificate Profile तयार करा, त्यानंतर Purple-व्यवस्थापित CA कडे निर्देश करणारे SCEP सर्टिफिकेट प्रोफाइल तयार करा. या दोन्ही प्रोफाइल्सची व्याप्ती (scope) अशा डिव्हाइस ग्रुप्सपुरती मर्यादित ठेवा ज्यांना WiFi प्रवेश आवश्यक आहे. Jamf साठी, कॉन्फिगरेशन प्रोफाइलमध्ये SCEP पेलोड कॉन्फिगर करा. MDM कोणतीही सूचना न देता (silently) सर्टिफिकेट्स पाठवते. पुढे जाण्यापूर्वी MDM कंप्लायन्स डॅशबोर्डमध्ये सर्टिफिकेट डिलिव्हरीची पडताळणी करा.

पायरी ३: क्लाउड RADIUS डॅशबोर्डमध्ये नेटवर्क पॉलिसीज स्पष्ट करा

RADIUS पॉलिसीज तयार करा ज्या आयडेंटिटी प्रदाता ग्रुप्सना विशिष्ट VLANs आणि ॲक्सेस कंट्रोल्ससह मॅप करतात. उदाहरणार्थ, Entra ID ग्रुप "Staff-Finance" ला पूर्ण इंटरनेट ॲक्सेससह VLAN 20 वर मॅप करा, आणि "Staff-Contractors" ला स्वयंचलितपणे कालबाह्य होणाऱ्या मर्यादित-वेळेच्या ॲक्सेससह VLAN 30 वर मॅप करा. Purple चे डॅशबोर्ड ऑथेंटिकेशनच्या वेळी या पॉलिसीज लागू करते, ज्यासाठी कोणत्याही फायरवॉल बदलांची आवश्यकता नसते.

पायरी ४: ॲक्सेस पॉईंट कॉन्फिगरेशन अपडेट करा

तुमच्या ॲक्सेस पॉईंट्सवरील SSID कॉन्फिगरेशन 802.1X सह WPA2-Enterprise किंवा WPA3-Enterprise वापरण्यासाठी अपडेट करा. Purple क्लाउड RADIUS चे प्रायमरी आणि सेकंडरी एंडपॉइंट होस्टनेम्स किंवा IP ॲड्रेस, शेअर केलेल्या सिक्रेटसह प्रविष्ट करा. Purple द्वारे परत मिळवलेल्या RADIUS ॲट्रिब्युट्सवर आधारित डायनॅमिक VLAN असाइनमेंट वापरण्यासाठी ॲक्सेस पॉईंट्स कॉन्फिगर करा. संपूर्ण इस्टेटमध्ये रोल आउट करण्यापूर्वी ॲक्सेस पॉईंट्सच्या उपसमूहावर एकाच SSID सह चाचणी घ्या.

comparison_chart.png

क्लाउड RADIUS विरुद्ध ऑन-प्रिमाइसेस RADIUS: डिप्लॉयमेंट वेळ, Active Directory वरील अवलंबित्व, हाय अवेलेबिलिटी, OS पॅचिंग, आयडेंटिटी इंटिग्रेशन आणि सर्टिफिकेट लाइफसायकल मॅनेजमेंटमधील थेट तुलना.

सर्वोत्तम पद्धती

या शिफारसी IEEE 802.1X मानके, PCI DSS v4.0 आवश्यकता आणि Purple च्या ८०,०००+ हून अधिक वेन्यू इस्टेटमधील ऑपरेशनल अनुभवाचे प्रतिनिधित्व करतात.

मॅनेज्ड डिव्हाइसेससाठी EAP-TLS अनिवार्य करा. पासवर्ड हे फिशिंग आणि क्रेडेंशियल स्टफिंगसाठी असुरक्षित असतात. सर्टिफिकेट्स आयडेंटिटी आणि डिव्हाइस अनुपालनाचा क्रिप्टोग्राफिक पुरावा प्रदान करतात. EAP-TLS ही एकमेव 802.1X पद्धत आहे जी डिझाइननुसार फिशिंग-प्रतिरोधक आहे.

त्वरित रिव्होकेशनसाठी SCIM वापरा. नियतकालिक LDAP सिंक्समुळे एक अशी वेळ राहते जिथे कामावरून काढून टाकलेल्या कर्मचाऱ्याकडे नेटवर्क ॲक्सेस तसाच राहतो. SCIM हे सुनिश्चित करते की आयडेंटिटी प्रदातामध्ये खाते निष्क्रिय केल्याबरोबर ॲक्सेस त्वरित रद्द केला जाईल.

मल्टी-रीजन RADIUS डिप्लॉय करा. तुमचे ॲक्सेस पॉईंट्स वेगवेगळ्या भौगोलिक प्रदेशांमधील किमान दोन RADIUS एंडपॉइंट्ससह कॉन्फिगर करा. Purple डीफॉल्टनुसार ॲक्टिव्ह-ॲक्टिव्ह मल्टी-रीजन फेलओव्हर प्रदान करते, ज्यामध्ये फेलओव्हर काही सेकंदांत पूर्ण होतो.

डायनॅमिक VLANs सह ट्रॅफिक सेगमेंट करा. वापरकर्त्यांना विशिष्ट VLANs वर डायनॅमिकरित्या असाइन करण्यासाठी आयडेंटिटी प्रदाता ग्रुप मेंबरशिप्सचा वापर करा. हे संवेदनशील ट्रॅफिक वेगळे करते आणि मॅन्युअल फायरवॉल बदलांची आवश्यकता नसताना तडजोड केलेल्या डिव्हाइसचा प्रभाव मर्यादित करते.

RadSec सक्षम करा. तुमचे ॲक्सेस पॉईंट्स RadSec ला सपोर्ट करत असल्यास, ॲक्सेस पॉईंट आणि क्लाउड RADIUS सर्व्हरमधील ऑथेंटिकेशन ट्रॅफिक एन्क्रिप्ट करण्यासाठी ते सक्षम करा. हे विशेषतः त्या शाखा कार्यालये आणि वेन्यूसाठी महत्वाचे आहे जिथे ॲक्सेस पॉईंट एखाद्या असुरक्षित नेटवर्क सेगमेंटवर असतो.

सर्टिफिकेट लाइफसायकलचे निरीक्षण करा. सर्टिफिकेट लाइफटाइमच्या ८०% झाल्यावर ट्रिगर होण्यासाठी MDM ऑटो-रिन्यूअल सेट करा. एक वर्षाच्या सर्टिफिकेटसाठी, नूतनीकरण १० व्या महिन्यापासून सुरू होते. सर्टिफिकेट कालबाह्य होण्यापूर्वी नूतनीकरण करण्यात अयशस्वी ठरणाऱ्या डिव्हाइसेसबद्दल अलर्ट मिळवा. एंटरप्राइझ WiFi सुरक्षा मानके आणि फ्रेमवर्कच्या अधिक सविस्तर माहितीसाठी, आमचे Enterprise WiFi Security: A Complete Guide for 2026 पहा.

ट्रबलशूटिंग आणि जोखीम निवारण (Troubleshooting and risk mitigation)

क्लाउड RADIUS कडे ट्रान्झिशन केल्याने नवीन अवलंबित्व निर्माण होते. या सामान्य त्रुटींचा प्रभाव तुमच्या प्रोडक्शनवर पडण्यापूर्वीच त्यांची तयारी करा.

सर्टिफिकेट संपणे (Certificate expiration). जर MDM ने नूतनीकरण (renew) करण्यापूर्वी डिव्हाइसचे सर्टिफिकेट संपले, तर त्या डिव्हाइसचे ऑथेंटिकेशन कोणतीही सूचना न देता अयशस्वी होते. वापरकर्त्याला कोणत्याही स्पष्टीकरणाशिवाय कनेक्शन एरर दिसते. सर्टिफिकेटच्या एकूण वैधतेच्या ८०% कालावधी शिल्लक असतानाच MDM ऑटो-रिन्यूअल कॉन्फिगर करून आणि एक्स्पायर होणाऱ्या सर्टिफिकेट्सच्या उपकरणांसाठी MDM कॉम्प्लायन्स डॅशबोर्डचे निरीक्षण करून यावर मात करा.

MDM सिंक अपयश. एखादे डिव्हाइस जे MDM कॉम्प्लायन्सच्या बाहेर जाते किंवा चेक इन करू शकत नाही, त्याला नूतनीकरण केलेले सर्टिफिकेट न मिळण्याची शक्यता असते. अशा कॉम्प्लायन्स पॉलिसी लागू करा ज्या बिघडलेल्या उपकरणांना चिन्हांकित करतील आणि सर्टिफिकेट एक्स्पायर होण्यापूर्वी प्रशासकांना सावध करतील.

फायरवॉलद्वारे RADIUS ट्रॅफिक ब्लॉक करणे. ॲक्सेस पॉइंट्स हे UDP पोर्ट 1812 (ऑथेंटिकेशन) आणि UDP पोर्ट 1813 (अकाउंटिंग), किंवा RadSec साठी TCP पोर्ट 2083 वर क्लाउड RADIUS एंडपॉइंट्सपर्यंत पोहोचणे आवश्यक आहे. शाखा कार्यालयांमधील आउटबाउंड फायरवॉल नियम अनेकदा हे पोर्ट्स ब्लॉक करतात. प्रत्यक्ष वापरापूर्वी ॲक्सेस पॉइंट मॅनेजमेंट VLAN मधून पोहोचण्याच्या क्षमतेची (reachability) चाचणी घ्या.

SCIM प्रोव्हिजनिंग अपयश. जर आयडेंटिटी प्रोव्हाइडर आणि Purple मधील SCIM कनेक्शन खंडित झाले, तर वापरकर्त्याच्या स्थितीतील बदल ट्रान्सफर होणार नाहीत. आयडेंटिटी प्रोव्हाइडर आणि Purple डॅशबोर्ड दोन्हीमध्ये SCIM सिंक स्थितीचे निरीक्षण करा. सिंक अयशस्वी झाल्यास अलर्ट मिळण्यासाठी कॉन्फिगरेशन करा.

सर्टिफिकेट सपोर्ट नसलेली जुनी उपकरणे. IoT उपकरणे, प्रिंटर आणि जुन्या हार्डवेअरमध्ये कदाचित EAP-TLS सपोर्ट नसेल. या उपकरणांसाठी, सामायिक केलेल्या PSK ऐवजी iPSK (individual pre-shared keys) चा वापर करा. Purple हे iPSK ला नेटिव्हली सपोर्ट करते, ज्याद्वारे प्रत्येक उपकरणाला एक युनिक की दिली जाते आणि 802.1X सप्लिकंट सपोर्टची आवश्यकता नसतानाही प्रत्येक उपकरणाला योग्य VLAN वर ठेवले जाते.

ROI आणि व्यावसायिक प्रभाव (ROI and business impact)

ऑन-प्रिमाइसेस RADIUS वरून क्लाउड RADIUS कडे स्थलांतरित केल्याने इन्फ्रास्ट्रक्चर, ऑपरेशन्स आणि सुरक्षेमध्ये मोजण्यायोग्य मूल्य मिळते.

निकष ऑन-प्रिमाइसेस NPS क्लाउड RADIUS (Purple)
इन्फ्रास्ट्रक्चर खर्च Windows Server लायसन्स, VM कम्प्युट, स्टोरेज प्रति-AP सबस्क्रिप्शन, कोणतेही सर्व्हर हार्डवेअर नाही
उपयोजनाची वेळ (Time to deploy) काही दिवस ते आठवडे एका तासापेक्षा कमी
हाय अचिव्हेबिलिटी (High availability) मॅन्युअल - दोन सर्व्हर्स अधिक रेप्लिकेशन मल्टी-रिजन ॲक्टिव्ह-ॲक्टिव्ह, बाय डिफॉल्ट
OS पॅचिंग मासिक, तुमच्या टीमद्वारे व्हेंडरद्वारे व्यवस्थापित
WiFi हेल्पडेस्क तिकिटे जास्त - पासवर्ड रिसेट, मॅन्युअल ऑनबोर्डिंग ८०% ने कमी (Purple ग्राहक डेटा)
ॲक्सेस रद्द करणे (Access revocation) LDAP सिंकद्वारे काही तास ते दिवस SCIM द्वारे काही सेकंदात

Purple चे Staff WiFi वापरणारे IT संघ सामान्यतः WiFi सपोर्ट तिकिटांमध्ये ८०% घट पाहतात (Purple अंतर्गत डेटा, २०२४), जी पासवर्ड रीसेट आणि मॅन्युअल डिव्हाइस ऑनबोर्डिंगच्या निर्मूलनामुळे होते. सर्टिफिकेट-आधारित ऑथेंटिकेशन देखील मजबूत ऑथेंटिकेशनसाठी PCI DSS आवश्यकता ८.३ आणि सिस्टम आणि ॲप्लिकेशन ॲक्सेस कंट्रोलसाठी ISO २७००१ कंट्रोल A.९.४ पूर्ण करते, ज्यामुळे तुमच्या सुरक्षा टीमवरील ऑडिटचा बोजा कमी होतो.

रिटेल आणि हॉस्पिटॅलिटी मधील संस्थांसाठी, एकाच क्लाउड डॅशबोर्डवरून - युनिफाइड आयडेंटिटी लेयरसह - Staff WiFi आणि Guest WiFi व्यवस्थापित करण्याची क्षमता बहु-साइट मालमत्तांमधील ऑपरेशन्सची गुंतागुंत कमी करते. वाहतूक ऑपरेटर आणि हेल्थकेअर प्रदात्यांसाठी, त्वरित रिव्होकेशन क्षमता आणि संपूर्ण ऑडिट ट्रेल कोणत्याही अतिरिक्त साधनांशिवाय नियामक आवश्यकता पूर्ण करतात.

Purple चा WiFi Analytics लेयर ऑथेंटिकेशन इन्फ्रास्ट्रक्चरच्या वर ऑक्युपन्सी आणि हायब्रिड वर्किंग डेटा जोडतो, ज्यामुळे Staff WiFi चे रूपांतर एका कॉस्ट सेंटरमधून ऑपरेशनल इंटेलिजन्सच्या स्त्रोतामध्ये होते.

संबंधित वाचन: Enterprise WiFi Security: A Complete Guide for 2026 - OpenWrt Custom Firmware Integration with Purple WiFi

महत्वाच्या व्याख्या

802.1X

पोर्ट-आधारित नेटवर्क ऍक्सेस नियंत्रणासाठी एक IEEE मानक (IEEE 802.1X-2020). RADIUS सर्व्हरद्वारे मध्यस्थी केलेल्या EAP एक्सचेंजचा वापर करून, ऍक्सेस पॉइंटने नेटवर्क ऍक्सेस मंजूर करण्यापूर्वी डिव्हाइसेसना ऑथेंटिकेट करणे यामध्ये आवश्यक असते.

आयटी (IT) टीम्स 802.1X चा वापर केवळ अधिकृत युजर्स आणि डिव्हाइसेस कॉर्पोरेट नेटवर्कशी जोडले जातील याची खात्री करण्यासाठी करतात. हे प्रति-युजर एन्क्रिप्शन, प्रति-सेशन कीज आणि प्रत्येक कनेक्शन इव्हेंटचा संपूर्ण ऑडिट ट्रेल प्रदान करते.

RADIUS

रिमोट ऑथेंटिकेशन डायल-इन युजर सर्विस (RFC 2865). एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क ऍक्सेससाठी केंद्रीकृत ऑथेंटिकेशन, ऑथरायझेशन आणि अकाउंटिंग (AAA) व्यवस्थापन प्रदान करतो.

ऍक्सेस पॉइंट्स प्रत्येक कनेक्शन विनंती RADIUS सर्व्हरकडे फॉरवर्ड करतात, जो डिव्हाइसला प्रवेश द्यायचा की नाही आणि त्याला कोणते VLAN नियुक्त करायचे हे ठरवतो. क्लाउड RADIUS हे ऑन-प्रिमाइसेस NPS किंवा FreeRADIUS सर्व्हर्सची जागा घेते.

EAP-TLS

एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल-ट्रान्सपोर्ट लेयर सिक्युरिटी (RFC 5216). एक 802.1X ऑथेंटिकेशन पद्धत जी पासवर्ड ऐवजी परस्पर X.509 प्रमाणपत्र एक्सचेंजचा वापर करते.

मॅनेज्ड डिव्हाइस फ्लीट्ससाठी EAP-TLS हे सर्वोत्तम मानक आहे. हे फिशिंग-प्रतिरोधक आहे, यासाठी कोणत्याही पासवर्ड हॅश स्टोअरची आवश्यकता नसते आणि CISA फिशिंग-प्रतिरोधक MFA मार्गदर्शक तत्त्वांची पूर्तता करणारी ही एकमेव 802.1X पद्धत आहे.

PEAP-MSCHAPv2

मायक्रोसॉफ्ट चॅलेंज हँडशेक ऑथेंटिकेशन प्रोटोकॉल व्हर्जन २ सह प्रोटेक्टेड एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल. एक जुनी 802.1X पद्धत जी Active Directory मध्ये साठवलेल्या NTLM हॅशच्या विरूद्ध पासवर्ड व्हॅलिडेट करते.

PEAP-MSCHAPv2 केवळ-क्लाउड वातावरणात अयशस्वी ठरते कारण Entra ID मध्ये NTLM हॅश साठवले जात नाहीत. ऑन-प्रिमाइसेस AD मधून स्थलांतरित होणाऱ्या संस्थांनी PEAP ऐवजी EAP-TLS चा वापर करणे आवश्यक आहे.

SCEP

सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल. MDM प्लॅटफॉर्म्सद्वारे युजरच्या हस्तक्षेपाशिवाय, डिव्हाइसेसवर डिजिटल प्रमाणपत्रे स्वयंचलितपणे विनंती करण्यासाठी आणि स्थापित करण्यासाठी वापरला जाणारा प्रोटोकॉल.

आयटी (IT) टीम्स कर्मचाऱ्यांच्या डिव्हाइसेसवर WiFi प्रमाणपत्रे सुरक्षितपणे आणि गुप्तपणे प्रोव्हिजन करण्यासाठी Intune किंवा Jamf सोबत SCEP चा वापर करतात. SCEP हे क्लाउड-फर्स्ट डिप्लोयमेंट्समधील ऑन-प्रिमाइसेस NDES (नेटवर्क डिव्हाइस एनरोलमेंट सर्विस) सर्व्हरची जागा घेते.

SCIM

सिस्टम फॉर क्रॉस-डोमेन आयडेंटिटी मॅनेजमेंट (RFC 7644). एक ओपन मानक जे आयटी (IT) सिस्टीम्स दरम्यान युजर आयडेंटिटी माहितीच्या रिअल-टाइम देवाणघेवाणीला ऑटोमेट करते.

SCIM हे सुनिश्चित करते की जेव्हा एखाद्या कर्मचाऱ्याला Entra ID किंवा Okta मध्ये डिसेबल केले जाते, तेव्हा तो बदल त्वरित क्लाउड RADIUS सेवेकडे पाठवला जातो, ज्यामुळे तासांऐवजी काही सेकंदांतच WiFi ऍक्सेस रद्द होतो.

NPS

नेटवर्क पॉलिसी सर्व्हर. मायक्रोसॉफ्टचे RADIUS अंमलबजावणी, जे सहसा ऑन-प्रिमाइसेस Active Directory वातावरणाचा भाग म्हणून Windows Server वर चालवले जाते.

क्लाउड-फर्स्ट संस्था Windows Server VMs, OS पॅचिंग आणि ऑन-प्रिमाइसेस Active Directory वरील अवलंबित्व काढून टाकण्यासाठी NPS सेवानिवृत्त करत आहेत. क्लाउड RADIUS हा त्याचा थेट पर्याय आहे.

RadSec

TLS वरील RADIUS (RFC 6614). एक प्रोटोकॉल जो TLS वापरून RADIUS ऑथेंटिकेशन ट्रॅफिक एन्क्रिप्ट करतो, आणि पारंपारिक RADIUS द्वारे वापरल्या जाणाऱ्या UDP-आधारित क्लियरटेक्स्ट ट्रान्सपोर्टची जागा घेतो.

क्लाउड RADIUS वापरताना RadSec आवश्यक आहे, कारण ऑथेंटिकेशन ट्रॅफिक ऍक्सेस पॉइंट आणि क्लाउड सेवा यादरम्यान सार्वजनिक इंटरनेटवरून प्रवास करतो. Purple मूळ स्वरूपात RadSec ला सपोर्ट करते.

iPSK

इंडिव्हिज्युअल प्री-शेड की. WPA2-Personal ची एक आवृत्ती जी सर्व डिव्हाइसेससाठी एकाच सामायिक की ऐवजी प्रत्येक डिव्हाइसला एक युनिक प्री-शेड की नियुक्त करते.

iPSK चा वापर IoT डिव्हाइसेस, प्रिंटर्स आणि इतर हार्डवेअरसाठी केला जातो जे 802.1X EAP-TLS ला सपोर्ट करू शकत नाहीत. हे प्रमाणपत्र सपोर्टची आवश्यकता नसताना प्रति-डिव्हाइस जबाबदारी आणि VLAN असाइनमेंट प्रदान करते.

Dynamic VLAN

एक नेटवर्क सेगमेंटेशन तंत्रज्ञान जेथे RADIUS सर्व्हर Access-Accept प्रतिसादात VLAN आयडेंटिफायर परत करतो आणि ऍक्सेस पॉइंट स्वयंचलितपणे डिव्हाइसला त्या VLAN वर ठेवतो.

डायनॅमिक VLANs आयटी (IT) टीम्सना मॅन्युअल फायरवॉल बदलांशिवाय, आयडेंटिटी प्रदाता ग्रुप सदस्यत्वाच्या आधारे कर्मचारी, कंत्राटदार, IoT डिव्हाइसेस आणि पाहुण्यांना स्वतंत्र नेटवर्क विभागांमध्ये विभाजित करण्याची परवानगी देतात.

सोडवलेली उदाहरणे

एक 400-साइट रिटेल चेनला सर्व ठिकाणी Staff WiFi सुरक्षित करणे आवश्यक आहे. ते Cisco Meraki ॲक्सेस पॉईंट्स चालवतात आणि डिव्हाइस मॅनेजमेंटसाठी Intune सह Microsoft Entra ID वापरतात. NPS चालवण्यासाठी त्यांच्याकडे कोणतेही ऑन-प्रिमाइसेस Active Directory नसल्यामुळे ते सध्या सामायिक केलेले WPA2-Personal PSK वापरतात. एका नुकत्याच झालेल्या अंतर्गत ऑडिटने सामायिक केलेल्या PSK ला PCI DSS अनुपालन अंतर (compliance gap) म्हणून चिन्हांकित केले आहे.

ती साखळी Purple चे क्लाउड RADIUS तैनात करते. प्रथम, ते Purple ला OAuth ॲडमिन संमतीद्वारे Entra ID शी जोडतात आणि SCIM प्रोव्हिजनिंग कॉन्फिगर करतात. Intune मध्ये, ते Purple CA रूटसाठी एक Trusted Certificate Profile आणि 'Staff-Retail' डिव्हाइस ग्रुपसाठी मर्यादित असलेले SCEP सर्टिफिकेट प्रोफाइल तयार करतात. Intune सर्व व्यवस्थापित पॉईंट-ऑफ-सेल टर्मिनल्स आणि कर्मचाऱ्यांच्या टॅब्लेटवर शांतपणे सर्टिफिकेट्स पुश करते. Meraki डॅशबोर्डमध्ये, ते Staff SSID ला WPA2-Enterprise वर अपडेट करतात, Purple क्लाउड RADIUS चे प्रायमरी आणि सेकंडरी एंडपॉईंट्स प्रविष्ट करतात आणि डायनॅमिक VLAN असाइनमेंट सक्षम करतात. जेव्हा एखादे डिव्हाइस कनेक्ट होते, तेव्हा ते त्याचे Intune-जारी केलेले सर्टिफिकेट सादर करते, Purple त्याची CA विरुद्ध पडताळणी करते आणि Entra ID ग्रुप तपासते आणि ग्रुप मेंबरशिपवर आधारित डिव्हाइस VLAN 10 (स्टाफ नेटवर्क) किंवा VLAN 20 (मॅनेजमेंट नेटवर्क) वर ठेवले जाते. सामायिक केलेले PSK काढून टाकले जाते. 400 साइट्सवर रोलआउट करण्यासाठी एक वीकेंड लागतो, कारण कोणतेही ऑन-साइट हार्डवेअर तैनात केले जात नाही - Meraki मध्ये फक्त SSID कॉन्फिगरेशन बदल केले जातात.

परीक्षकाचे भाष्य: हा दृष्टिकोन सामायिक केलेले PSK काढून टाकतो, प्रत्येक डिव्हाइसची जबाबदारी आणि प्रत्येक सत्रासाठी एनक्रिप्शन की प्रदान करतो. प्रत्येक ऑथेंटिकेशन इव्हेंट वापरकर्ता, डिव्हाइस, AP आणि SSID सह लॉग केला जातो, जो ऑडिट लॉगसाठी PCI DSS आवश्यकता 10.2 पूर्ण करतो. Intune SCEP आणि क्लाउड RADIUS चा लाभ घेऊन, ती साखळी तिच्या कोणत्याही 400 ठिकाणी कोणतेही ऑन-प्रिमाइसेस सर्व्हर तैनात न करता 802.1X सुरक्षा साध्य करते. दुसरा पर्याय - प्रत्येक साइटवर किंवा हब-अँड-स्पोक टोपोलॉजीमध्ये NPS VMs तैनात करणे - यासाठी पायाभूत सुविधांच्या कामाचे आठवडे आणि चालू पॅचिंगची आवश्यकता असेल.

एक 15,000-विद्यार्थ्यांचे विद्यापीठ Google Workspace चा प्राथमिक ओळख प्रदाता (identity provider) म्हणून वापर करते. IT टीमला MacBooks, Chromebooks आणि Android फोन्सच्या BYOD इस्टेटवर कर्मचारी आणि विद्यार्थ्यांसाठी सुरक्षित WiFi प्रदान करायचे आहे. त्यांच्याकडे कोणतेही ऑन-प्रिमाइसेस Active Directory नाही आणि सर्व्हर चालवण्याची त्यांची इच्छा नाही.

विद्यापीठ Purple च्या क्लाउड RADIUS ला Google Workspace सह समाकलित करते. व्यवस्थापित Chromebooks साठी, ते SCEP द्वारे WiFi सर्टिफिकेट प्रोफाइल पुश करण्यासाठी Google Admin चा वापर करतात, प्रत्येक डिव्हाइसची शांतपणे नोंदणी करतात. BYOD MacBooks आणि Android फोन्ससाठी, ते एक हलके ऑनबोर्डिंग ॲप्लिकेशन तैनात करतात जे वापरकर्त्याला त्यांच्या Google क्रेडेंशियल्ससह ऑथेंटिकेट करते आणि एका सिंगल टॅपमध्ये डिव्हाइसवर सर्टिफिकेट इंस्टॉल करते. त्यानंतरचे कनेक्शन्स ईएपी-टीएलएस (EAP-TLS) चा वापर शांतपणे करतात. Purple हे Google Workspace ऑर्गनायझेशनल युनिट्सना VLANs मध्ये मॅप करते: कर्मचारी VLAN 10 वर, विद्यार्थी VLAN 20 वर आणि अतिथी अभ्यागत एका Captive Portal SSID वर येतात. जेव्हा एखादा विद्यार्थी पदवीधर होतो आणि त्याचे Google खाते निलंबित केले जाते, तेव्हा SCIM हा बदल Purple वर पुश करते आणि त्यांचा WiFi ॲक्सेस काही मिनिटांत रद्द केला जातो.

परीक्षकाचे भाष्य: हे सोल्यूशन Active Directory ची आवश्यकता नसताना मिश्र व्यवस्थापित आणि BYOD इस्टेटसाठी सुरक्षित 802.1X प्रदान करते. ऑनबोर्डिंग ॲप्लिकेशन BYOD डिव्हाइसेससाठी सर्टिफिकेट प्रोव्हिजनिंगची गुंतागुंत हाताळते, जे MDM द्वारे व्यवस्थापित केले जाऊ शकत नाहीत. Google Workspace SCIM समाकलन हे सुनिश्चित करते की WiFi इस्टेट मॅन्युअल हस्तक्षेपाशिवाय विद्यापीठाच्या डिरेक्टरीशी संरेखित राहते. हा पॅटर्न शेफील्ड विद्यापीठ, लीड्स विद्यापीठ आणि युनिव्हर्सिटी ऑफ द आर्ट्स लंडन या सर्व Purple ग्राहकांकडे कार्यरत आहे.

सराव प्रश्न

Q1. तुमच्या संस्थेने ऑन-प्रिमाइसेस Active Directory मधून पूर्णपणे Microsoft Entra ID वर स्थलांतर केले आहे. तुमचे सध्याचे Staff WiFi जुन्या डोमेनमध्ये सामील असलेल्या NPS सर्व्हरच्या विरुद्ध PEAP-MSCHAPv2 वापरत आहे. डोमेन कंट्रोलर निकामी केल्यानंतर, कर्मचारी आता WiFi शी कनेक्ट करू शकत नसल्याचे नोंदवत आहेत. याचे मूळ कारण काय आहे आणि यावर योग्य दीर्घकालीन उपाय काय आहे?

टीप: PEAP-MSCHAPv2 ला डिरेक्टरीमधून काय आवश्यक आहे आणि Entra ID ते प्रदान करते का, याचा विचार करा.

नमुना उत्तर पहा

याचे मूळ कारण असे आहे की PEAP-MSCHAPv2 ला Active Directory मध्ये साठवलेल्या NTLM हॅश विरुद्ध वापरकर्त्याचा पासवर्ड प्रमाणित करण्यासाठी RADIUS सर्व्हरची आवश्यकता असते. डोमेन कंट्रोलर बंद केल्यामुळे, NPS कडे पडताळणी करण्यासाठी कोणतीही डिरेक्टरी शिल्लक नाही. Entra ID NTLM हॅश साठवत नाही, त्यामुळे NPS ला Entra ID कडे पुनर्निर्देशित केले जाऊ शकत नाही. यावर योग्य दीर्घकालीन उपाय म्हणजे NPS ला क्लाउड RADIUS सेवेने बदलणे, PEAP-MSCHAPv2 वरून EAP-TLS वर स्थलांतर करणे आणि SCEP द्वारे डिव्हाइस प्रमाणपत्रे जारी करण्यासाठी MDM (Intune) चा वापर करणे. यामुळे कोणत्याही ऑन-प्रिमाइसेस डिरेक्टरीवरील अवलंबित्व पूर्णपणे संपुष्टात येते.

Q2. तुम्ही Jamf Pro द्वारे व्यवस्थापित केलेल्या कॉर्पोरेट MacBooks च्या 200-डिव्हाइस ताफ्यासाठी क्लाउड RADIUS तैनात करत आहात. तुमचा ओळख प्रदाता (identity provider) Okta आहे. या डिव्हाइसेसना WiFi क्रेडेन्शियल्स प्रदान करण्याचा सर्वात सुरक्षित आणि कार्यक्षम मार्ग कोणता आहे?

टीप: अशी पद्धत शोधा ज्यामध्ये वापरकर्त्याच्या कोणत्याही हस्तक्षेपाची आवश्यकता नसेल, पासवर्डचा वापर टाळला जाईल आणि ती तुमच्या विद्यमान MDM सोबत समाकलित होईल.

नमुना उत्तर पहा

MacBooks वर डिव्हाइस प्रमाणपत्रे स्वयंचलितपणे पाठवण्यासाठी SCEP वापरण्यासाठी Jamf Pro कॉन्फिगर करा. तुमच्या क्लाउड RADIUS प्रदात्याद्वारे व्यवस्थापित केलेल्या CA कडे निर्देशित करणारे, Jamf कॉन्फिगरेशन प्रोफाइलमध्ये SCEP पेलोड तयार करा. प्रोफाइलची व्याप्ती संबंधित डिव्हाइस ग्रुपपर्यंत मर्यादित करा. Jamf कोणत्याही वापरकर्त्याच्या हस्तक्षेपाशिवाय प्रत्येक MacBook वर प्रमाणपत्र स्वयंचलितपणे पाठवेल. SCEP-जारी केलेल्या प्रमाणपत्रासह EAP-TLS वापरण्यासाठी त्याच कॉन्फिगरेशन प्रोफाइलमध्ये WiFi प्रोफाइल कॉन्फिगर करा. SCIM द्वारे क्लाउड RADIUS सेवेला Okta शी कनेक्ट करा, जेणेकरून जेव्हा एखाद्या कर्मचाऱ्याला Okta मध्ये निष्क्रिय केले जाईल, तेव्हा त्याचा WiFi प्रवेश त्वरित रद्द केला जाईल.

Q3. एका कर्मचाऱ्याची सेवा सोमवारी सकाळी ९:०० वाजता समाप्त केली जाते. त्याचे Entra ID खाते HR द्वारे सकाळी ९:०५ वाजता निष्क्रिय केले जाते. सकाळी ९:३० वाजता, एका सुरक्षा अलर्टमध्ये दिसते की त्या कर्मचाऱ्याचा लॅपटॉप अद्याप कार पार्किंगमधून कॉर्पोरेट WiFi शी जोडलेला आहे. येथे कोणते कॉन्फिगरेशन गहाळ आहे आणि आपण ते कसे दुरुस्त कराल?

टीप: ओळख प्रदात्यामध्ये वापरकर्त्याची स्थिती बदलल्याची माहिती RADIUS सर्व्हरला कशी मिळते?

नमुना उत्तर पहा

हे डिप्लॉयमेंट SCIM प्रोव्हिजनिंग ऐवजी नियतकालिक LDAP सिंक्रोनाइझेशनवर अवलंबून आहे. खाते निष्क्रिय केल्यापासून LDAP सिंक अद्याप चालवलेले नाही, त्यामुळे क्लाउड RADIUS सेवा अद्याप त्या वापरकर्त्याला सक्रिय समजत आहे. यावरील उपाय म्हणजे Entra ID आणि क्लाउड RADIUS सेवा दरम्यान SCIM प्रोव्हिजनिंग सक्षम करणे. SCIM वापरकर्त्याच्या स्थितीतील बदल रिअल-टाइममध्ये पाठवते, त्यामुळे सकाळी ९:०५ वाजता Entra ID मध्ये खाते निष्क्रिय केल्यावर, RADIUS सेवेला तो बदल त्वरित प्राप्त होतो. पुढच्या वेळी जेव्हा डिव्हाइस पुन्हा प्रमाणित करण्याचा प्रयत्न करेल (जे ॲक्सेस पॉइंटवरील सेशन टाइमआउटद्वारे नियंत्रित केले जाते), तेव्हा त्याला Access-Reject मिळेल. ॲक्सेस पॉइंटवर कमी सेशन टाइमआउट (१५ ते ३० मिनिटे) सेट केल्याने खाते निष्क्रिय करणे आणि नेटवर्कमधून बाहेर काढणे यामधील कमाल वेळ मर्यादित राहते.

Q4. तुमच्या ठिकाणी ५० IoT डिव्हाइसेस आहेत - डिजिटल साइनेज प्लेयर्स, पर्यावरणीय सेन्सर्स आणि प्रिंटर्स - जे 802.1X EAP-TLS ला सपोर्ट करत नाहीत. तुम्ही या डिव्हाइसेसना तुमच्या EAP-TLS कर्मचारी नेटवर्कसारख्याच WiFi पायाभूत सुविधांवर कसे सुरक्षित कराल?

टीप: प्रमाणपत्र समर्थनाची आवश्यकता नसताना प्रति-डिव्हाइस उत्तरदायित्व कोणती प्रमाणीकरण पद्धत प्रदान करते याचा विचार करा.

नमुना उत्तर पहा

IoT डिव्हाइसेससाठी iPSK (इतर वैयक्तिक प्री-शेअर्ड की) वापरा. क्लाउड RADIUS डॅशबोर्डमध्ये प्रत्येक डिव्हाइसला VLAN असाइनमेंटसह एक युनिक प्री-शेअर्ड की द्या. प्रत्येक डिव्हाइस त्याच्या युनिक की द्वारे प्रमाणीकरण करते, ज्याची पडताळणी RADIUS सर्व्हर करतो आणि त्या डिव्हाइसला कर्मचारी नेटवर्कपासून वेगळे ठेवून IoT VLAN वर समाविष्ट करतो. एखादे डिव्हाइस धोक्यात आल्यास किंवा ते बंद केल्यास, तुम्ही इतर कोणत्याही डिव्हाइसवर परिणाम न करता केवळ त्याच डिव्हाइसची की रद्द करू शकता. हा दृष्टिकोन IoT हार्डवेअरवर 802.1X सप्लिकंट सपोर्टची आवश्यकता नसताना प्रति-डिव्हाइस उत्तरदायित्व आणि नेटवर्कचे विभाजन प्रदान करतो.

या मालिकेमध्ये पुढे वाचा

सर्वांवर नियंत्रण ठेवण्यासाठी तीन SSIDs: अतिथी (guest), कर्मचारी (staff), आणि IoT WiFi सेटअप मार्गदर्शक

हे अधिकृत तांत्रिक संदर्भ मार्गदर्शक तीन-SSID WiFi आर्किटेक्चर लागू करण्यासाठी टप्प्याटप्प्याने आराखडा प्रदान करते. हे कार्यप्रदर्शन सुधारण्यासाठी आणि PCI DSS अनुपालन सुनिश्चित करण्यासाठी captive portals, 802.1X RADIUS, आणि प्रति-डिव्हाइस PSK (xPSK) चा वापर करून अतिथी, कर्मचारी आणि IoT रहदारीचे वर्गीकरण कसे करावे हे स्पष्ट करते.

मार्गदर्शिका वाचा →

कर्मचारी नोकरी सोडून गेल्यानंतर WiFi ॲक्सेस कसा रद्द करावा

हा मार्गदर्शक कर्मचारी नोकरी सोडून गेल्यानंतर WiFi ॲक्सेस कसा रद्द करावा, असुरक्षित शेअर केलेल्या पासवर्डऐवजी प्रति-वापरकर्ता 802.1X प्रमाणपत्रे किंवा iPSK कसे वापरावे याबद्दल सविस्तर माहिती देतो. यामध्ये ISO 27001 आणि SOC 2 ऑडिट आवश्यकता पूर्ण करण्यासाठी SCIM द्वारे स्वयंचलित डीप्रोव्हिजनिंगचा समावेश आहे.

मार्गदर्शिका वाचा →

Google Workspace WiFi प्रमाणीकरण: Chromebook आणि LDAP इंटिग्रेशन

Google Workspace वातावरणात सुरक्षित WiFi डिप्लॉय करणाऱ्या IT ॲडमिनिस्ट्रेटर्ससाठी एक निश्चित तांत्रिक संदर्भ. या मार्गदर्शकामध्ये Google Admin Console द्वारे व्यवस्थापित Chromebooks वर 802.1X प्रमाणपत्र डिप्लॉयमेंट, RADIUS बॅकएंड म्हणून Google Secure LDAP इंटिग्रेशन आणि शिक्षण, मीडिया आणि एंटरप्राइझ ठिकाणांसाठी आर्किटेक्चर निर्णयांचा समावेश आहे. हे असुरक्षित शेअर केलेल्या PSKs कडून मजबूत, ओळख-आधारित नेटवर्क ॲक्सेस कंट्रोलकडे जाण्यासाठी टीम्सना मदत करण्यासाठी कृती करण्यायोग्य अंमलबजावणीच्या पायऱ्या, वास्तविक-जगातील केस स्टडीज आणि EAP पद्धतींची थेट तुलना प्रदान करते.

मार्गदर्शिका वाचा →