802.1X WiFi Authentication कसे कॉन्फिगर करावे: एक टप्प्याटप्प्याने मार्गदर्शक

802.1X WiFi Authentication कसे कॉन्फिगर करावे: एक टप्प्याटप्प्याने मार्गदर्शक एक Purple Enterprise WiFi Intelligence पॉडकास्ट [प्रस्तावना — साधारण १ मिनिट] पुन्हा स्वागत आहे. मी आज एक सीनियर सोल्युशन्स आर्किटेक्ट म्हणून बोलत आहे, आणि जर तुम्ही हे ऐकत असाल, तर कदाचित तुमच्यासमोर एक नेटवर्क सिक्युरिटी प्रोजेक्ट असेल ज्यामध्ये 802.1X ऑथेंटिकेशन समाविष्ट आहे - एकतर तुमच्या कंप्लायन्स टीमने हे सूचित केले आहे, तुमच्या विमा कंपनीने याबद्दल विचारले आहे, किंवा तुम्हाला असे नेटवर्क वारशाने मिळाले आहे जे शेअर केलेल्या PSK वर चालत आहे आणि तुम्हाला माहित आहे की ते आता पुरेसे नाही. चला तर थेट मुद्द्यावर येऊया. 802.1X हा पोर्ट-आधारित नेटवर्क ऍक्सेस कंट्रोलसाठीचा IEEE मानक आहे. हा एंटरप्राइझ WiFi सुरक्षेचा कणा आहे - ही अशी यंत्रणा आहे जी हे सुनिश्चित करते की तुमच्या नेटवर्कशी कनेक्ट होणाऱ्या प्रत्येक डिव्हाइसची सिंगल बाइट डेटा ट्रान्सफर होण्यापूर्वीच सकारात्मक ओळख पटवली गेली आहे आणि त्याला अधिकृत केले गेले आहे. PCI DSS अंतर्गत पेमेंट कार्ड डेटा हाताळणाऱ्या संस्थांसाठी हे ऐच्छिक नाही, GDPR आणि NHS डेटा सुरक्षा मानकांचे पालन करणाऱ्या आरोग्य सेवा वातावरणासाठी हे ऐच्छिक नाही, आणि प्रामाणिकपणे सांगायचे तर, काही मोजक्या ऍक्सेस पॉईंट्सपेक्षा जास्त चालवणाऱ्या कोणत्याही संस्थेसाठी हेच योग्य आर्किटेक्चर आहे. पुढील दहा मिनिटांत, मी तुम्हाला तांत्रिक आर्किटेक्चर, RADIUS कॉन्फिगरेशन, सर्टिफिकेट डिप्लॉयमेंट आणि हे जिथे गुंतागुंतीचे होते त्या प्रत्यक्ष व्यवहारातील परिस्थितींबद्दल माहिती देणार आहे. चला सुरु करूया. [तांत्रिक सखोल माहिती — साधारण ५ मिनिटे] तर, 802.1X फ्रेमवर्कचे तीन घटक आहेत. पहिला म्हणजे Supplicant - म्हणजेच क्लायंट डिव्हाइस, लॅपटॉप, फोन किंवा IoT सेन्सर. दुसरा म्हणजे Authenticator - हा तुमचा ऍक्सेस पॉईंट किंवा नेटवर्क स्विच असतो, ज्याला कधीकधी NAS (नेटवर्क ऍक्सेस सर्व्हर) देखील म्हटले जाते. आणि तिसरा म्हणजे Authentication Server - एंटरप्राइझ डिप्लॉयमेंटमध्ये हा प्रामुख्याने RADIUS सर्व्हर असतो. येथे हँडशेक कसा कार्य करतो ते पाहूया. जेव्हा एखादे डिव्हाइस 802.1X-संरक्षित SSID शी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा ऍक्सेस पॉईंट त्याला थेट प्रवेश देत नाही. त्याऐवजी, तो एक नियंत्रित पोर्ट उघडतो - एक मर्यादित चॅनेल जो केवळ EAP ट्रॅफिक म्हणजेच एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल पास करतो. AP डिव्हाइसला EAP-Request Identity पाठवतो. डिव्हाइस त्याच्या ओळखीसह प्रतिसाद देते. AP नंतर ती ओळख RADIUS Access-Request पॅकेटमध्ये गुंडाळून RADIUS सर्व्हरकडे पाठवतो. RADIUS सर्व्हर ऑथेंटिकेशन चालवतो - Active Directory, सर्टिफिकेट स्टोअर किंवा तुम्ही कॉन्फिगर केलेल्या कोणत्याही आयडेंटिटी बॅकएंडसह क्रेडेंशियल्स तपासतो - आणि एकतर Access-Accept किंवा Access-Reject परत पाठवतो. केवळ Accept मिळाल्यावरच AP संपूर्ण डेटा पोर्ट उघडतो आणि डिव्हाइसला योग्य VLAN वर नियुक्त करतो. आता, तुम्ही येथे निवडत असलेल्या EAP पद्धतीला खूप महत्त्व आहे. एंटरप्राइझ डिप्लॉयमेंटमध्ये तुम्हाला प्रामुख्याने पाच प्रकार आढळतील. EAP-TLS हा एक सुवर्ण मानक आहे. क्लायंट आणि सर्व्हर दोन्ही X.509 प्रमाणपत्रे सादर करतात. यामध्ये कोणतेही पासवर्ड समाविष्ट नसतात. हा सर्वात सुरक्षित पर्याय आहे आणि सर्वोच्च PCI-DSS अनुपालन स्तरांसाठी हा आवश्यक आहे. अडचण अशी आहे की क्लायंट प्रमाणपत्रे जारी करण्यासाठी आणि व्यवस्थापित करण्यासाठी तुम्हाला संपूर्ण PKI - म्हणजे पब्लिक की इन्फ्रास्ट्रक्चर - ची आवश्यकता असते. याचा अर्थ असा की यासाठी प्रमाणपत्र प्राधिकरण, प्रमाणपत्र जीवनचक्र व्यवस्थापन आणि प्रत्येक डिव्हाइसवर प्रमाणपत्रे पाठवण्याची यंत्रणा आवश्यक आहे. Microsoft Active Directory आणि Active Directory प्रमाणपत्र सेवा असलेल्या संस्थांसाठी हे सहज साध्य करण्यासारखे आहे. ज्या संस्थांकडे ही पायाभूत सुविधा नाही, त्यांच्यासाठी ही एक मोठी गुंतवणूक आहे. PEAP-MSCHAPv2 ही प्रत्यक्षात सर्वात मोठ्या प्रमाणावर वापरली जाणारी पद्धत आहे. हे फक्त सर्व्हर-साइड प्रमाणपत्र वापरून एक TLS टनेल तयार करते, आणि नंतर त्या टनेलच्या आत युझरनेम आणि पासवर्ड क्रेडेंशियल पाठवते. हे प्रत्यक्ष व्यवहारात प्रत्येक डिव्हाइससह त्वरित सुसंगत आहे, Windows Server वरील NPS द्वारे थेट Active Directory शी समाकलित होते आणि यासाठी क्लायंट प्रमाणपत्रांची आवश्यकता नसते. यातील त्रुटी अशी आहे की जर युझर्सना फसवून एखाद्या बनावट AP शी कनेक्ट केले गेले, तर हे क्रेडेंशियल हार्वेस्टिंग हल्ल्यांना बळी पडू शकते - कारण क्लायंट डीफॉल्टनुसार सर्व्हर प्रमाणपत्राची पडताळणी करत नाही. तुम्ही तुमच्या सप्लिकंट प्रोफाइल्समध्ये सर्व्हर प्रमाणपत्र पडताळणी सक्तीची केली पाहिजे. EAP-TTLS हे PEAP सारखेच आहे परंतु आतील प्रमाणीकरण पद्धतीमध्ये अधिक लवचिक आहे. हे Linux वातावरणात आणि जेथे तुम्हाला जुन्या प्रमाणीकरण बॅकएंड्सचे समर्थन करावे लागते तेथे सामान्य आहे. EAP-FAST ची निर्मिती Cisco ने LEAP च्या त्रुटींवर उपाय म्हणून केली होती. हे प्रमाणपत्रांऐवजी प्रोटेक्टेड ॲक्सेस क्रेडेंशियल्स वापरते. जर तुम्ही Cisco च्या प्रभावाखालील वातावरणात असाल किंवा इतर पद्धतींना समर्थन न देणाऱ्या जुन्या उपकरणांचा वापर करत असाल तरच हे प्रामुख्याने संबंधित आहे. EAP-SIM आणि EAP-AKA चा वापर कॅरियर-ग्रेड उपयोजनांमध्ये केला जातो - जसे की OpenRoaming किंवा Passpoint - जिथे प्रमाणीकरण SIM कार्ड किंवा USIM शी जोडलेले असते. सार्वजनिक ठिकाणांवरील WiFi साठी हे वाढत्या प्रमाणात संबंधित ठरत आहेत जिथे तुम्हाला Captive Portal शिवाय अखंड, सुरक्षित ऑनबोर्डिंग हवे आहे. आता आपण RADIUS कॉन्फिगरेशनबद्दल बोलूया. तुम्ही Microsoft NPS, FreeRADIUS, Cisco ISE, किंवा Aruba ClearPass उपयोजित करत असलात तरीही, मुख्य कॉन्फिगरेशन पायऱ्या सारख्याच असतात. पहिले म्हणजे, तुम्ही तुमचे RADIUS क्लायंट परिभाषित करता - हे तुमचे ॲक्सेस पॉइंट्स किंवा वायरलेस LAN कंट्रोलर्स असतात. प्रत्येक क्लायंटची त्याच्या IP ॲड्रेस आणि एका शेअर केलेल्या सीक्रेटसह नोंदणी केली जाते. त्या शेअर केलेल्या सीक्रेटचा वापर AP आणि सर्व्हरमधील RADIUS संदेशांचे प्रमाणीकरण करण्यासाठी केला जातो. यासाठी किमान २२ अक्षरांचा, यादृच्छिकपणे तयार केलेला आणि प्रत्येक NAS उपकरणासाठी अद्वितीय असलेला सीक्रेट वापरा. दुसरे म्हणजे, तुम्ही तुमचे नेटवर्क धोरण कॉन्फिगर करता. येथेच तुम्ही कोणाला कशाचा ॲक्सेस मिळेल हे परिभाषित करता. NPS च्या भाषेत सांगायचे तर, तुम्ही एक नेटवर्क पॉलिसी तयार करत आहात जी अटींशी जुळते - जसे की Active Directory मधील ग्रुप सदस्यत्व, डिव्हाइस प्रकार, दिवसाची वेळ - आणि विशेषता नियुक्त करते - जसे की VLAN ID, सेशन टाइमआउट, बँडविड्थ मर्यादा. तुम्ही सर्वाधिक वापरणार असलेले RADIUS ॲट्रिब्यूट म्हणजे VLAN असाइनमेंट आहे, विशेषतः Tunnel-Type हे VLAN वर सेट केलेले, Tunnel-Medium-Type हे 802 वर सेट केलेले आणि Tunnel-Private-Group-ID हे तुमच्या VLAN क्रमांकावर सेट केलेले असावे. तिसरे, तुम्ही तुमचे कनेक्शन रिक्वेस्ट पॉलिसी कॉन्फिगर करता. हे NPS ला येणाऱ्या RADIUS विनंत्या कशा हाताळायच्या हे सांगते - स्थानिक पातळीवर ऑथेंटिकेट करायचे की दुसऱ्या RADIUS सर्व्हरकडे फॉरवर्ड करायचे. डिस्ट्रिब्युटेड डिप्लोयमेंटमध्ये, तुमच्याकडे प्रत्येक साईटवर NPS प्रॉक्सीसह एक सेंट्रल RADIUS सर्व्हर असू शकतो. सर्टिफिकेटच्या बाजूने, PEAP आणि EAP-TLS साठी, तुमच्या RADIUS सर्व्हरला तुमच्या क्लायंट्सद्वारे विश्वसनीय असलेले सर्व्हर सर्टिफिकेट आवश्यक असते. सर्वात सोपा मार्ग म्हणजे पब्लिक CA कडून मिळणारे सर्टिफिकेट - DigiCert, Sectigo, Let's Encrypt - वापरणे, कारण ती रूट सर्टिफिकेट्स आधीच सर्व प्रमुख ऑपरेटिंग सिस्टम्सद्वारे विश्वसनीय मानली जातात. तुम्ही इंटरनल CA वापरत असल्यास, तुम्हाला ग्रुप पॉलिसी किंवा तुमच्या MDM प्लॅटफॉर्मद्वारे सर्व क्लायंट डिव्हाइसेसवर रूट सर्टिफिकेट पुश करावे लागेल. विशेषतः EAP-TLS साठी, तुम्हाला क्लायंट सर्टिफिकेट्सची देखील आवश्यकता असते. Active Directory एन्व्हायरमेंटमध्ये, डोमेन-जॉइन केलेल्या डिव्हाइसेसवर सर्टिफिकेट्स पुश करण्यासाठी तुम्ही ग्रुप पॉलिसीद्वारे ऑटो-एन्रोलमेंटसह ADCS वापराल. BYOD डिव्हाइसेससाठी, सर्टिफिकेट आणि WiFi प्रोफाइल दोन्ही पुश करण्यासाठी तुम्ही तुमचे MDM - Intune, Jamf, VMware Workspace ONE - वापराल. ऍक्सेस पॉईंटच्या बाजूने, कॉन्फिगरेशन सोपे आहे. तुम्ही एक नवीन SSID तयार करता, सिक्युरिटी WPA2-Enterprise किंवा WPA3-Enterprise वर सेट करता, RADIUS ऑथेंटिकेशन सर्व्हरला UDP पोर्ट 1812 वर तुमच्या NPS IP कडे निर्देशित करता, UDP पोर्ट 1813 वर RADIUS अकाउंटिंग सर्व्हर सेट करता, शेअर्ड सिक्रेट एंटर करता, आणि तुम्ही वापरत असल्यास डायनॅमिक VLAN असाइनमेंट सक्षम करता. बऱ्याच एंटरप्राइझ AP प्लॅटफॉर्म्सवर - जसे की Cisco Meraki, Aruba, Ruckus, Extreme - यासाठी एक GUI असते, ज्यासाठी तुमचा RADIUS सर्व्हर तयार झाल्यावर साधारण दहा मिनिटे लागतात. [अमलबजावणीच्या शिफारसी आणि अडचणी - साधारण २ मिनिटे] चला, आता डिप्लोयमेंट कुठे चुकतात याबद्दल बोलूया, कारण याच ठिकाणी मला माझी कन्सल्टन्सी फी मिळते. सर्वात सामान्य बिघाडाचा मुद्दा म्हणजे सर्टिफिकेट व्हॅलिडेशन. मी संस्थांना सर्व्हरच्या बाजूने PEAP-MSCHAPv2 योग्यरित्या डिप्लोय करताना पाहिले आहे, परंतु नंतर क्लायंट सप्लिकंट प्रोफाइल्स कोणतेही सर्टिफिकेट स्वीकारण्यासाठी कॉन्फिगर केलेले सोडले जाते. हे सुरक्षा मॉडेलला पूर्णपणे कमकुवत करते. प्रत्येक सप्लिकंट प्रोफाइल - मग ते ग्रुप पॉलिसीद्वारे पुश केले असो किंवा MDM द्वारे - विश्वसनीय रूट CA आणि अपेक्षित सर्व्हरचे नाव निर्दिष्ट केले पाहिजे. त्याशिवाय, तुम्ही इव्हिल ट्विन अटॅक्ससाठी असुरक्षित आहात. दुसरी सामान्य समस्या म्हणजे RADIUS शेअर्ड सिक्रेट मॅनेजमेंट. मी प्रोडक्शन नेटवर्क्स शेअर्ड सिक्रेट "radius" किंवा व्हेंडर डिफॉल्टवर सेट करून चालताना पाहिले आहेत. ही सिक्रेट्स तुमच्या ऑथेंटिकेशन इन्फ्रास्ट्रक्चरच्या किल्ल्या आहेत. ती रँडमली जनरेट करा, सिक्रेट्स मॅनेजरमध्ये स्टोअर करा, आणि वेळापत्रकानुसार रोटेट करा. तिसरे: VLAN मिसकॉन्फिगरेशन. डायनॅमिक VLAN असाइनमेंट शक्तिशाली आहे - हे तुम्हाला कर्मचाऱ्यांचे डिव्हाइसेस कॉर्पोरेट VLAN वर, कंत्राटदारांचे डिव्हाइसेस मर्यादित VLAN वर, आणि IoT डिव्हाइसेस एकाच SSID वरून आयसोलेटेड VLAN वर ठेवण्याची परवानगी देते. परंतु जर RADIUS ॲट्रिब्युट्स योग्यरित्या कॉन्फिगर केले नसतील, किंवा स्विच ट्रंक पोर्ट्स योग्य VLANs वाहून नेत नसतील, तर डिव्हाइसेस एकतर कनेक्ट होण्यास अपयशी ठरतील किंवा चुकीच्या सेगमेंटवर जातील. प्रोडक्शनमध्ये आणण्यापूर्वी लॅबमध्ये याची पूर्ण चाचणी घ्या. चौथे: रिडंडन्सी. तुमचे RADIUS सर्व्हर आता इन्फ्रास्ट्रक्चरचा एक अत्यंत महत्त्वाचा भाग आहे. जर ते बंद पडले, तर कोणीही कनेक्ट होऊ शकणार नाही. तुम्हाला प्रत्येक AP वर किमान एक प्रायमरी आणि सेकंडरी RADIUS सर्व्हर कॉन्फिगर करणे आवश्यक आहे. मोठ्या उपयोजनांमध्ये (deployments), हेल्थ मॉनिटरिंगसह RADIUS प्रॉक्सी क्लस्टर्सचा विचार करा. पाचवे, आणि हे विशेषतः हॉस्पिटॅलिटी आणि रिटेल वातावरणासाठी आहे: अतिथी (guest) विरुद्ध कॉर्पोरेट वेगळे करणे. तुमचे 802.1X कॉर्पोरेट SSID आणि तुमचे अतिथी WiFi SSID पूर्णपणे वेगळे असावे - वेगवेगळे VLANs, वेगवेगळे फायरवॉल पॉलिसी आणि वेगवेगळे DNS. Purple सारखे प्लॅटफॉर्म त्याच्या स्वतःच्या Captive Portal आणि ॲनालिटिक्स लेयरसह अतिथी बाजू हाताळते, तर तुमचे 802.1X इन्फ्रास्ट्रक्चर कॉर्पोरेट बाजू हाताळते. या परस्परपूरक प्रणाली आहेत, एकमेकांशी स्पर्धा करणाऱ्या नाहीत. [रॅपिड-फायर प्रश्नोत्तरे - साधारण १ मिनिट] मला वारंवार विचारले जाणारे प्रश्न पाहू द्या. मी क्लाउड-मॅनेज्ड AP प्लॅटफॉर्मवर 802.1X चालवू शकतो का? होय - Meraki, Aruba Central, आणि Ruckus Cloud हे सर्व याला सपोर्ट करतात. तुम्ही क्लाउड डॅशबोर्डमध्ये RADIUS सर्व्हरचे तपशील कॉन्फिगर करता आणि APs EAP प्रॉक्सींग हाताळतात. मला Active Directory ची गरज आहे का? नाही. FreeRADIUS हे LDAP, SQL डेटाबेस, फ्लॅट फाइल्स किंवा अगदी REST APIs च्या साहाय्याने देखील प्रमाणीकरण (authenticate) करू शकते. परंतु NPS द्वारे AD इंटिग्रेशन हा आतापर्यंतचा सर्वात सामान्य कॉर्पोरेट मार्ग आहे. 802.1X ला सपोर्ट न करणाऱ्या IoT डिव्हाइसेसचे काय? पर्याय म्हणून MAC Authentication Bypass - MAB - चा वापर करा. डिव्हाइसचा MAC ॲड्रेस RADIUS कडे युझरनेम आणि पासवर्ड म्हणून पाठवला जातो. हे EAP इतके सुरक्षित नाही, परंतु यामुळे तुम्हाला IoT डिव्हाइसेसना मर्यादित VLAN मध्ये ठेवून त्यांना ऑनबोर्ड करण्याची परवानगी मिळते. 802.1X हे WPA3 सोबत काम करते का? होय. WPA3-Enterprise म्हणजे मूलतः 802.1X प्रमाणीकरणासह असणारे WPA3 आहे. हे अधिक मजबूत एन्क्रिप्शन जोडते - हाय-सिक्युरिटी मोडमध्ये 192-बिट - आणि नवीन उपयोजनांसाठी हा शिफारसीय मानक आहे. [सारांश आणि पुढील पावले - साधारण १ मिनिट] थोडक्यात सांगायचे तर: 802.1X ही केवळ एक सोयीची गोष्ट नाही. संवेदनशील डेटा हाताळणाऱ्या, पेमेंट प्रक्रियेत असणाऱ्या किंवा नियमन केलेल्या वातावरणात काम करणाऱ्या कोणत्याही संस्थेसाठी, हे कॉर्पोरेट WiFi सुरक्षेचे मूळ आधार आहे. याचे आर्किटेक्चर सुस्थापित आहे, टूल्स प्रगत आहेत आणि उपयोजनाचा मार्ग स्पष्ट आहे. तुमच्या EAP पद्धतीच्या निवडीपासून सुरुवात करा - जर तुम्हाला जलद काम आणि व्यापक सुसंगतता हवी असेल तर PEAP-MSCHAPv2, आणि जर तुमच्याकडे PKI इन्फ्रास्ट्रक्चर असेल आणि सर्वात मजबूत सुरक्षा हवी असेल तर EAP-TLS निवडा. तुम्ही एकाही AP ला स्पर्श करण्यापूर्वी तुमचे RADIUS सर्व्हर कॉन्फिगर आणि रिडंडंट करा. तुम्ही लाईव्ह जाण्यापूर्वी Group Policy किंवा MDM द्वारे तुमचे सप्लिकंट प्रोफाइल्स पुश करा. आणि तुमचे अतिथी WiFi पूर्णपणे वेगळे ठेवा - त्या लेयरसाठी विशेषतः तयार केलेल्या प्लॅटफॉर्मचा वापर करा. जर तुम्ही मल्टि-व्हेन्यू वातावरणात काम करत असाल - हॉटेल्स, रिटेल चेन्स, स्टेडियम्स - तर साइट्सच्या संख्येनुसार गुंतागुंत वाढते, परंतु आर्किटेक्चर बदलत नाही. याची मुख्य गुरुकिल्ली म्हणजे साइट-लोकल रिडंडन्सीसह सेंट्रलाइज्ड RADIUS आणि तुमच्या संपूर्ण डिव्हाइस ताफ्यामध्ये सातत्यपूर्ण MDM-पुश केलेले सप्लिकंट प्रोफाइल असणे होय.ऐकल्याबद्दल धन्यवाद. संपूर्ण लेखी मार्गदर्शक, आर्किटेक्चर आकृत्या आणि कॉन्फिगरेशन चेकलिस्ट purple.ai वर उपलब्ध आहेत. जर तुम्ही 802.1X उपयोजनाचे नियोजन करत असाल आणि तुमच्या वातावरणाच्या विशिष्ट बाबींवर चर्चा करू इच्छित असाल, तर थेट Purple टीमशी संपर्क साधा.