कॉर्पोरेट नेटवर्क्ससाठी 802.1X Authentication चे स्पष्टीकरण

कार्पोरेट नेटवर्क्ससाठी 802.1X Authentication चे सविस्तर विश्लेषण. Purple WiFi Intelligence Briefing. स्वागत आहे. जर तुम्ही मल्टी-साइट संस्थेमध्ये - मग तो हॉटेल ग्रुप असो, रिटेल चेन, स्टेडियम किंवा सार्वजनिक क्षेत्रातील मालमत्ता असो - नेटवर्क सुरक्षेसाठी जबाबदार असाल, तर हे ब्रीफिंग तुमच्यासाठी आहे. पुढील दहा मिनिटांत, आम्ही 802.1X authentication बद्दल तुम्हाला माहित असणे आवश्यक असलेल्या प्रत्येक गोष्टीचा समावेश करणार आहोत: ते काय आहे, ते हुडच्या खाली कसे कार्य करते, ते योग्यरित्या कसे तैनात करावे आणि बहुतेक संस्था ज्या त्रुटींमुळे अडचणीत येतात त्या कोणत्या आहेत. चला सुरुवात करूया. विभाग एक: संदर्भ आणि हे आत्ता का महत्त्वाचे आहे. कार्पोरेट WiFi साठीच्या धोक्यांचे स्वरूप नाटकीयरित्या बदलले आहे. प्री-शेअर्ड की नेटवर्क्स - ज्या प्रकारात सर्वांना WiFi पासवर्ड माहित असतो - ते आता नियमन केलेल्या वातावरणात कर्मचारी नेटवर्क्ससाठी स्वीकार्य राहिलेले नाहीत. PCI-DSS आवृत्ती 4.0 अंतर्गत, जी 2024 मध्ये पूर्णपणे लागू झाली, पेमेंट कार्ड डेटा हाताळणाऱ्या संस्थांनी कार्डधारक डेटा वातावरणाशी संबंधित असलेल्या कोणत्याही नेटवर्कवर मजबूत प्रवेश नियंत्रणे लागू करणे आवश्यक आहे. GDPR वैयक्तिक डेटा वाहून नेणाऱ्या कोणत्याही नेटवर्कवर अशाच प्रकारचे दायित्व लादतो. आणि हायब्रिड वर्किंगचा अर्थ असा आहे की कर्मचारी डझनभर ठिकाणी व्यवस्थापित आणि अव्यवस्थित उपकरणांवरून कनेक्ट होत आहेत, ज्यामुळे जुने पेरिमिटर मॉडेल आता टिकत नाही. 802.1X हे IEEE मानक आहे जे याचे निराकरण करते. हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल प्रदान करते - म्हणजेच केंद्रीय ओळख भांडाराविरुद्ध (identity store) प्रमाणित होईपर्यंत एखादे उपकरण नेटवर्कमध्ये अजिबात सामील होऊ शकत नाही. केवळ सामायिक पासवर्ड नाही. एक प्रत्यक्ष सत्यापित ओळख. हा एक मूलभूत बदल आहे. विभाग दोन: तांत्रिक सखोल विश्लेषण. चला याच्या आर्किटेक्चरचा आढावा घेऊया. 802.1X तीन भूमिका परिभाषित करते. सप्लिकंट (supplicant) - हे अंतिम उपकरण आहे, लॅपटॉप किंवा स्मार्टफोन जो कनेक्ट करण्याचा प्रयत्न करत आहे. ऑथेंटिकेटर (authenticator) - हा वायरलेस ऍक्सेस पॉइंट किंवा नेटवर्क स्विच आहे. आणि ऑथेंटिकेशन सर्व्हर (authentication server) - जो अक्षरशः प्रत्येक एंटरप्राइझ उपयोजनामध्ये RADIUS सर्व्हर असतो. येथे हँडशेक कसा कार्य करतो ते दिले आहे. जेव्हा एखादे उपकरण सुरक्षित SSID शी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा ऍक्सेस पॉइंट त्या उपकरणाला अप्रमाणित (unauthenticated) स्थितीत ठेवतो. ते नेटवर्कपर्यंत पोहोचू शकत नाही. AP उपकरणाला EAP Request Identity फ्रेम पाठवतो. EAP चा अर्थ Extensible Authentication Protocol आहे - ही ती फ्रेमवर्क आहे जी वास्तविक क्रेडेंशियल्स वाहून नेते. उपकरण त्याच्या ओळखीसह प्रतिसाद देते. AP हे RADIUS Access-Request पॅकेटमध्ये समाविष्ट करून RADIUS सर्व्हरकडे पाठवतो. त्यानंतर RADIUS सर्व्हर उपकरणाला चॅलेंज करतो - विशिष्ट चॅलेंज तुम्ही कोणती EAP पद्धत वापरत आहात यावर अवलंबून असते. उपकरण त्याच्या क्रेडेंशियल्ससह प्रतिसाद देते. RADIUS सर्व्हर तुमच्या ओळख भांडाराविरुद्ध - Active Directory, LDAP, किंवा क्लाउड IdP - त्या क्रेडेंशियल्सची पडताळणी करतो आणि Access-Accept किंवा Access-Reject परत पाठवतो. जर ते Accept असेल, तर AP पोर्ट उघडतो आणि उपकरणाला नेटवर्क प्रवेश मिळतो. जर ते Reject असेल, तर उपकरण ब्लॉक राहते. या संपूर्ण प्रक्रियेला एक सेकंदापेक्षा कमी वेळ लागतो. आता, EAP पद्धत निवडणे ही अशी जागा आहे जिथे बहुतेक आर्किटेक्ट्स त्यांचा वेळ घालवतात. तुमच्याकडे चार मुख्य पर्याय आहेत. EAP-TLS हा सर्वोत्तम दर्जाचा पर्याय आहे. यासाठी प्रत्येक डिव्हाइसवर क्लायंट सर्टिफिकेट आवश्यक असते, ज्याचा अर्थ असा आहे की तुम्हाला PKI इन्फ्रास्ट्रक्चरची आवश्यकता आहे, परंतु हे परस्पर प्रमाणीकरण प्रदान करते - सर्व्हर क्लायंटकडे त्याची ओळख सिद्ध करतो आणि क्लायंट सर्व्हरकडे त्याची ओळख सिद्ध करतो. यात कोणतेही पासवर्ड समाविष्ट नसल्यामुळे कोणतेही क्रेडेंशियल्स फिश केले जाऊ शकत नाहीत. पूर्णपणे व्यवस्थापित डिव्हाइस ताफ्यांसाठी हा योग्य पर्याय आहे. PEAP - Protected EAP - हा व्यवहारात सर्वात मोठ्या प्रमाणावर वापरला जाणारा मार्ग आहे. हे केवळ सर्व्हर सर्टिफिकेट वापरून TLS टनेल तयार करते, त्यानंतर त्या टनेलमध्ये युझरनेम आणि पासवर्ड क्रेडेंशियल्स पास करते. EAP-TLS च्या तुलनेत हे तैनात करणे लक्षणीयरीत्या सोपे आहे कारण तुम्हाला क्लायंट सर्टिफिकेट्सची आवश्यकता नसते, आणि हे प्रत्येक मुख्य ऑपरेटिंग सिस्टमवर मूळपणे सपोर्टेड आहे. यातील तडजोड अशी आहे की हे युझर्सनी सर्व्हर सर्टिफिकेट प्रमाणित करण्यावर अवलंबून असते, जे ते व्यवहारात सहसा करत नाहीत. योग्य PEAP उपयोजनासाठी सप्लिकंट कॉन्फिगरेशन लॉक करणे आवश्यक आहे जेणेकरून ते केवळ तुमच्या विशिष्ट RADIUS सर्व्हर सर्टिफिकेटवर विश्वास ठेवेल. EAP-TTLS हे PEAP सारखेच आहे परंतु अंतर्गत प्रमाणीकरण पद्धतीमध्ये अधिक लवचिक आहे. हे विशेषतः जुने डिव्हाइसेस किंवा नॉन-Windows एंडपॉइंट्स असलेल्या वातावरणात उपयुक्त आहे. EAP-FAST हे Cisco द्वारे एक जलद पर्याय म्हणून विकसित केले गेले होते जे सर्टिफिकेट्सऐवजी Protected Access Credentials वापरते, परंतु नवीन सेटअप्समध्ये ते कमी प्रमाणात वापरले जाते. RADIUS सर्व्हर स्वतः लक्ष देण्यास पात्र आहे. दोन प्रमुख ओपन-सोर्स पर्याय म्हणजे FreeRADIUS, जे जागतिक स्तरावर एंटरप्राइझ उपयोजनांच्या मोठ्या भागाला सक्षम करते, आणि Microsoft NPS - Network Policy Server - जे Windows Server सोबत समाविष्ट आहे आणि Active Directory सह मूळपणे समाकलित होते. व्यावसायिक पर्यायांमध्ये Cisco ISE, Aruba ClearPass, आणि Portnox Cloud यांचा समावेश होतो, जे क्लाउड-नेटिव्ह RADIUS-as-a-service मॉडेल ऑफर करते जे ऑन-प्रिमाइसेस सर्व्हर इन्फ्रास्ट्रक्चरची आवश्यकता पूर्णपणे काढून टाकते. VLAN असाइनमेंट हे योग्यरित्या कॉन्फिगर केलेल्या 802.1X उपयोजनाच्या सर्वात शक्तिशाली वैशिष्ट्यांपैकी एक आहे. RADIUS सर्व्हर Access-Accept प्रतिसादात VLAN गुणधर्म परत करू शकतो, ज्यामुळे प्रमाणित डिव्हाइस योग्य नेटवर्क सेगमेंटमध्ये डायनॅमिकपणे नियुक्त केले जाते. एखादा कर्मचारी प्रमाणित होतो आणि तो कर्मचारी VLAN वर पोहोचतो. कंत्राटदार वेगवेगळ्या क्रेडेंशियल्ससह प्रमाणित होतो आणि मर्यादित प्रवेशासह प्रतिबंधित VLAN वर पोहोचतो. जे डिव्हाइस सर्टिफिकेट प्रमाणीकरणात अयशस्वी होते ते क्वारंटाइन VLAN मध्ये ठेवले जाते. हे डायनॅमिक सेगमेंटेशन आहे, आणि हे एक महत्त्वाचे सुरक्षा नियंत्रण आहे. विभाग तीन: अंमलबजावणीच्या शिफारसी आणि टाळण्याच्या चुका. मी तुम्हाला कार्य करणारा डिप्लॉयमेंट सिक्वेन्स देतो. नेटवर्क ऑडिटने सुरवात करा. एकाही कॉन्फिगरेशनला हात लावण्यापूर्वी, ऑथेंटिकेट कराव्या लागणाऱ्या प्रत्येक डिव्हाइसची नोंद करा. यामध्ये प्रिंटर्स, IP फोन्स, बिल्डिंग मॅनेजमेंट सिस्टीम्स, CCTV कॅमेरे - नेटवर्कशी कनेक्ट होणारे कोणतेही डिव्हाइस समाविष्ट आहे. या हेडलेस डिव्हाइसेसमध्ये सप्लिकंट नसतो आणि ते 802.1X करू शकत नाहीत. तुम्हाला त्यांच्यासाठी एक धोरण आखावे लागेल, सहसा कडक MAC ॲड्रेस व्हाईटलिस्टिंगसह MAC Authentication Bypass आणि त्यांना आयसोलेटेड VLAN मध्ये ठेवणे. दुसरी पायरी: तुमचे RADIUS इन्फ्रास्ट्रक्चर उभे करा. लवचिकतेसाठी, तुम्हाला किमान एक प्रायमरी आणि सेकंडरी RADIUS सर्व्हर आवश्यक आहे. ऑटोमॅटिकली फेल ओव्हर होण्यासाठी तुमचे ॲक्सेस पॉईंट्स कॉन्फिगर करा. सर्व कर्मचाऱ्यांना नेटवर्कपासून ब्लॉक करणारा RADIUS आऊटेज हा P1 इन्सिडेंट आहे. तुम्ही एकच सर्व्हर डिप्लॉय केल्यामुळे असे घडू देऊ नका. तिसरी पायरी: तुम्ही EAP-TLS वापरणार असाल तर तुमचे PKI डिप्लॉय करा. तुमच्या सद्य ॲक्टिव्ह डिरेक्टरी सर्टिफिकेट सर्व्हिसेस किंवा क्लाउड PKI प्रोव्हाइडरचा वापर करा. ग्रुप पॉलिसीद्वारे ऑटो-एनरोलमेंट क्लायंट सर्टिफिकेट डिप्लॉयमेंट मोठ्या प्रमाणावर व्यवस्थापित करणे सोपे करते. चौथी पायरी: तुमचे नेटवर्क पॉलिसीज कॉन्फिगर करा. RADIUS मध्ये तुमच्या ऑथेंटिकेशन पॉलिसीज निश्चित करा - कोणत्या युजर्स किंवा डिव्हाइस ग्रुप्सना कोणते VLAN असाइनमेंट मिळतात, अयशस्वी ऑथेंटिकेशन्सचे काय होते, तुम्ही गेस्ट विरुद्ध स्टाफ ट्रॅफिक कसे हाताळता. येथेच तुम्ही नेटवर्क लेयरवर प्रिन्सिपल ऑफ लीस्ट प्रिव्हिलेज लागू करता. पाचवी पायरी: रोल आऊट करण्यापूर्वी पायलट करा. एक लोकेशन, एक मजला, एक SSID निवडा. प्रत्येक डिव्हाइस प्रकाराची चाचणी घ्या. फेल्युअर सिनेरिओजची चाचणी घ्या. RADIUS सर्व्हर अनरीचेबल असताना काय होते याची चाचणी घ्या. त्यानंतरच विस्तार करा. आता, अडचणींबद्दल बोलूया. PEAP डिप्लॉयमेंट्सवर सर्टिफिकेट व्हॅलिडेशन मिसकॉन्फिगरेशन ही मला सर्वात जास्त दिसणारी सामान्य अडचण आहे. जर तुमच्या सप्लिकंट पॉलिसीने सर्व्हर सर्टिफिकेट व्हॅलिडेशन लागू केले नाही, तर तुम्ही रोग AP हल्ल्यांना बळी पडू शकता जिथे हल्लेखोर बनावट ॲक्सेस पॉईंट सेट करतो आणि क्रेडेंशियल्स चोरतो. ग्रुप पॉलिसी किंवा MDM द्वारे तुमचे सप्लिकंट प्रोफाइल्स लॉक डाऊन करा. दुसरी अडचण म्हणजे गो-लाइव्ह दिवसापर्यंत नॉन-802.1X डिव्हाइसेसकडे दुर्लक्ष करणे. जर तुम्ही आधीच नियोजन केले नसेल, तर IoT डिव्हाइसेस, प्रिंटर्स आणि लेगसी सिस्टीम्स तुमच्या रोलआऊटमध्ये अडथळा आणतील. येथे MAC Authentication Bypass तुमची मदत करू शकते, परंतु तुम्ही स्विच सुरू करण्यापूर्वी ते कॉन्फिगर केले पाहिजे. तिसरी अडचण म्हणजे RADIUS मधील सिंगल पॉईंट्स ऑफ फेल्युअर. मी अनेक संस्थांना एकच NPS सर्व्हर डिप्लॉय करताना आणि Windows अपडेट रीबूट दरम्यान त्यांचे संपूर्ण स्टाफ नेटवर्क बंद पडताना पाहिले आहे. नेहमी रिडंडंट RADIUS इन्फ्रास्ट्रक्चर डिप्लॉय करा. विभाग चार: रॅपिड-फायर प्रश्न. 802.1X हे गेस्ट WiFi नेटवर्कसोबत काम करू शकते का? नक्कीच. तुमचे गेस्ट SSID स्वतंत्रपणे चालते - सहसा captive portal दृष्टीकोन वापरून - तर तुमचे स्टाफ SSID 802.1X लागू करते. ते स्वतंत्र VLANs असलेले पूर्णपणे स्वतंत्र SSIDs आहेत. Purple चे प्लॅटफॉर्म ॲनालिटिक्स आणि एंगेजमेंट टूल्ससह गेस्ट बाजू हाताळते, तर तुमचे 802.1X इन्फ्रास्ट्रक्चर स्टाफची बाजू सुरक्षित करते. 802.1X हे VPN ला रिप्लेस करते का? नाही. 802.1X नेटवर्क ॲडमिशन नियंत्रित करते — नेटवर्कमध्ये कोण सामील होऊ शकते. VPN ट्रान्झिटमधील ट्रॅफिक एन्क्रिप्ट करते आणि असुरक्षित कनेक्शन्सवर कॉर्पोरेट नेटवर्कचा विस्तार करते. ते वेगवेगळ्या उद्देशांसाठी काम करतात आणि सहसा एकत्र वापरले जातात. रोमिंग परफॉर्मन्सवर काय परिणाम होतो? 802.1X सह, प्रत्येक वेळी एखादे डिव्हाइस ॲक्सेस पॉइंट्स दरम्यान रोमिंग करते, तेव्हा त्याला पुन्हा ऑथेंटिकेट करावे लागते. बहुतेक एंटरप्राइझ डिप्लॉयमेंट्ससाठी हे जाणवत नाही. PMK कॅशिंग आणि OKC — Opportunistic Key Caching — पुन्हा ऑथेंटिकेशनचा ओव्हरहेड लक्षणीयरीत्या कमी करतात. स्टेडियम किंवा कॉन्फरन्स सेंटर्स सारख्या हाय-डेन्सिटी वातावरणासाठी, हे स्पष्टपणे कॉन्फिगर करणे फायदेशीर आहे. WPA3-Enterprise हे 802.1X साठी रिप्लेसमेंट आहे का? नाही — WPA3-Enterprise ऑथेंटिकेशनसाठी 802.1X वापरते. WPA3 एन्क्रिप्शन लेयर सुधारते, विशेषतः सर्वात संवेदनशील डिप्लॉयमेंट्ससाठी 192-बिट सुरक्षा मोड अनिवार्य करते. 802.1X हा त्याखालील ऑथेंटिकेशन फ्रेमवर्क आहे. विभाग पाच: सारांश आणि पुढील पावले. या ब्रिफिंगमधून तुम्ही काय ध्यानात घेतले पाहिजे ते येथे आहे. कॉर्पोरेट WiFi साठी 802.1X ही एकमेव एंटरप्राइझ-ग्रेड ऑथेंटिकेशन यंत्रणा आहे. रेग्युलेटेड वातावरणासाठी प्री-शेअर्ड कीज स्वीकार्य नाहीत. तुमच्या डिव्हाइसच्या ताफ्यावर आधारित तुमची EAP पद्धत निवडा — तुमच्याकडे व्यवस्थापित डिव्हाइसेस आणि PKI असल्यास EAP-TLS निवडा, तुम्हाला अधिक व्यापक सुसंगततेची आवश्यकता असल्यास PEAP निवडा. नॉन-802.1X डिव्हाइसेससाठी तुम्ही डिप्लॉय करण्यापूर्वी नियोजन करा, नंतर नाही. रिडंडंट RADIUS इन्फ्रास्ट्रक्चर डिप्लॉय करा — एकच सर्व्हर हा सिंगल पॉइंट ऑफ फेल्युअर असतो. ऑथेंटिकेशनच्या वेळी नेटवर्क सेगमेंटेशन लागू करण्यासाठी डायनॅमिक VLAN असाइनमेंट वापरा. आणि तुमच्या संपूर्ण इस्टेटमध्ये रोल आउट करण्यापूर्वी कसून पायलट चाचणी करा. जर तुम्ही मल्टी-साइट डिप्लॉयमेंट तयार करत असाल आणि आर्किटेक्चरचा विचार करण्याची आवश्यकता असेल, तर Purple ची तांत्रिक टीम हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील नेटवर्क आर्किटेक्ट्ससोबत दररोज काम करते. 802.1X द्वारे सुरक्षित स्टाफ WiFi आणि Purple च्या प्लॅटफॉर्मद्वारे इंटेलिजेंट गेस्ट WiFi चे कॉम्बिनेशन तुम्हाला एक संपूर्ण, सेगमेंटेड नेटवर्क स्ट्रॅटेजी देते जी तुमच्या सुरक्षेच्या जबाबदाऱ्या आणि तुमच्या अतिथींच्या अनुभवाच्या गरजा दोन्ही पूर्ण करते. या ब्रिफिंगची सांगता झाली आहे. ऐकल्याबद्दल धन्यवाद.