WiFi ऑथेंटिकेशनसाठी Azure Entra ID (Azure AD) कसे सेट करावे

कार्यकारी सारांश (Executive Summary)

मोठ्या हॉस्पिटॅलिटी ठिकाणांपासून ते डायनॅमिक रिटेल स्पेसपर्यंत - गुंतागुंतीच्या नेटवर्क वातावरणाचे व्यवस्थापन करणाऱ्या CTO आणि नेटवर्क आर्किटेक्टसाठी कॉर्पोरेट नेटवर्क सुरक्षित ठेवणे हे आता केवळ मजबूत पासवर्डपुरते मर्यादित राहिलेले नाही. पारंपारिक प्री-शेअर्ड की (PSKs) आणि मूलभूत क्रेडेंशियल प्रमाणीकरण हे आधुनिक झिरो-ट्रस्ट आर्किटेक्चरशी मूलभूतपणे विसंगत आहेत.

हे मार्गदर्शक Azure Entra ID (पूर्वीचे Azure AD) सोबत थेट समाकलित केलेल्या 802.1X प्रमाणपत्र-आधारित WiFi प्रमाणीकरण मधील बदलाचे सविस्तर वर्णन करते. EAP-TLS (एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल विथ ट्रान्सपोर्ट लेयर सिक्युरिटी) कडे वळल्याने, उद्योग क्रेडेंशियल चोरीशी संबंधित धोके दूर करू शकतात, मोबाईल डिव्हाइस व्यवस्थापन (MDM) द्वारे डिव्हाइस नोंदणी स्वयंचलित करू शकतात आणि केवळ सुसंगत, व्यवस्थापित डिव्हाइसेस संवेदनशील कॉर्पोरेट VLANs मध्ये प्रवेश करू शकतील याची खात्री करू शकतात. आम्ही तांत्रिक आर्किटेक्चर, उपयोजन टप्पे आणि ही एंटरप्राइझ सुरक्षा स्थिती Purple सारख्या प्लॅटफॉर्मद्वारे व्यवस्थापित केलेल्या अतिथी नेटवर्क धोरणांच्या समांतर कशा प्रकारे कार्य करते याचा शोध घेणार आहोत.

तांत्रिक सखोल विश्लेषण (Technical Deep Dive)

क्रेडेंशियल्सकडून डिजिटल प्रमाणपत्रांकडे होणारा बदल

ऐतिहासिकदृष्ट्या, एंटरप्राइझ WiFi हे PEAP-MSCHAPv2 वर अवलंबून होते, ज्यामध्ये वापरकर्त्यांना त्यांचे डोमेन क्रेडेंशियल्स प्रविष्ट करावे लागत असत. तथापि, ॲडव्हर्सरी-इन-द-मिडल (AiTM) हल्ल्यांच्या असुरक्षिततेमुळे, Microsoft क्रेडेंशियल-आधारित प्रमाणीकरण सक्रियपणे बंद करत आहे. सध्याचा उद्योग मानक EAP-TLS आहे, जो परस्पर प्रमाणपत्र प्रमाणीकरण वापरतो.

EAP-TLS उपयोजनामध्ये, RADIUS सर्व्हर आणि क्लायंट डिव्हाइस दोन्ही डिजिटल प्रमाणपत्रे सादर करतात. जर एखाद्या डिव्हाइसकडे तुमच्या विश्वसनीय प्रमाणपत्र प्राधिकरणाने (CA) जारी केलेले वैध प्रमाणपत्र नसेल, तर डिव्हाइसला IP पत्ता मिळण्यापूर्वीच RADIUS सर्व्हर कनेक्शन नाकारतो.

आर्किटेक्चरल ब्रिज: RADIUS आणि Entra ID

Azure Entra ID हा क्लाउड आयडेंटिटी प्रोव्हाइडर (IdP) आहे जो SAML आणि OIDC सारखे आधुनिक प्रोटोकॉल वापरतो; तो वायरलेस ॲक्सेस पॉइंट्स (WAPs) द्वारे वापरल्या जाणाऱ्या RADIUS प्रोटोकॉलला मूळतः सपोर्ट करत नाही. ही दरी सांधण्यासाठी, नेटवर्क आर्किटेक्ट्सना असा RADIUS सर्व्हर उपयोजित करावा लागेल जो Entra ID शी संवाद साधण्यास सक्षम असेल. हे सामान्यत: खालील गोष्टींद्वारे साध्य केले जाते:

1. क्लाउड RADIUS सोल्यूशन्स: हे विशेष हेतूने तयार केलेले प्लॅटफॉर्म आहेत (जसे की SecureW2, SCEPman किंवा Portnox) जे APIs द्वारे थेट Entra ID आणि Intune सोबत समाकलित होतात.
2. ऑन-प्रिमायसेस नेटवर्क पॉलिसी सर्व्हर (NPS): Azure MFA एक्स्टेंशन वापरणे, जरी क्लाउड-नेटिव्ह RADIUS च्या तुलनेत हे वाढत्या प्रमाणात जुने धोरण मानले जात आहे.

अंमलबजावणी मार्गदर्शक (Implementation Guide)

WiFi ऑथेंटिकेशनसाठी Azure Entra ID तैनात करण्यासाठी आयडेंटिटी, डिव्हाइस मॅनेजमेंट आणि नेटवर्क इन्फ्रास्ट्रक्चर टीम्समध्ये समन्वय असणे आवश्यक आहे.

पायरी 1: पब्लिक की इन्फ्रास्ट्रक्चर (PKI) स्थापित करा

क्लायंट आणि सर्व्हर सर्टिफिकेट जारी करण्यासाठी तुम्हाला एक CA स्थापित करणे आवश्यक आहे. क्लाउड-फर्स्ट एन्व्हायरनमेंटमध्ये, हे सहसा Simple Certificate Enrolment Protocol (SCEP) द्वारे Microsoft Intune शी एकत्रित केलेले क्लाउड PKI असते.

पायरी 2: RADIUS सर्व्हर कॉन्फिगर करा

तुमचे RADIUS इन्फ्रास्ट्रक्चर तैनात करा आणि ते तुमच्या Entra ID टेनंटशी बाइंड करा. EAP हँडशेक दरम्यान आपली ओळख सिद्ध करण्यासाठी RADIUS सर्व्हरला स्वतःचे सर्व्हर सर्टिफिकेट — ज्यावर तुमच्या क्लायंट डिव्हाइसेसचा विश्वास असेल — आवश्यक आहे.

पायरी 3: Intune द्वारे MDM प्रोफाइल तैनात करा

वापरकर्त्यांनी त्यांच्या WiFi सेटिंग्ज मॅन्युअली कॉन्फिगर करण्यावर अवलंबून राहू नका. खालील गोष्टींचा समावेश असलेले संपूर्ण WiFi प्रोफाइल पुश करण्यासाठी Intune वापरा:

• ट्रस्टेड रूट CA सर्टिफिकेट.
• क्लायंट सर्टिफिकेटची विनंती करण्यासाठी वापरलेले SCEP प्रोफाइल.
• WiFi कॉन्फिगरेशन स्वतः, जे स्पष्टपणे SSID आणि RADIUS इन्फ्रास्ट्रक्चरची अचूक सर्व्हर नावे परिभाषित करते जेणेकरून इव्हिल ट्विन (Evil Twin) हल्ले रोखता येतील.

पायरी 4: वायरलेस LAN कंट्रोलर (WLC) कॉन्फिगर करा

WPA2/WPA3-Enterprise (802.1X) वापरण्यासाठी तुमचे ॲक्सेस पॉइंट्स किंवा WLC कॉन्फिगर करा. ऑथेंटिकेशन आणि अकाउंटिंग ट्रॅफिक तुमच्या नवीन RADIUS सर्व्हर IP ॲड्रेसकडे निर्देशित करा आणि शेअर केलेला RADIUS सिक्रेट सेट करा.

> "802.1X कॉन्फिगर करताना, WLC वरील RADIUS टाईमआउट व्हॅल्यू क्लाउड सर्टिफिकेट व्हॅलिडेशनच्या लेटन्सीसाठी पुरेशा आहेत याची खात्री करा, ही व्हॅल्यू सहसा 2 सेकंदांवरून वाढवून 5 सेकंद केली जाते." [1]

सर्वोत्तम पद्धती (Best Practices)

• कॉर्पोरेट आणि गेस्ट ट्रॅफिक वेगळे करा: कॉर्पोरेट डिव्हाइसेसनी Entra ID शी बाइंड केलेले 802.1X वापरावे. गेस्ट डिव्हाइसेसनी captive portal सह ओपन SSID वापरावे. मजबूत गेस्ट ॲक्सेस आणि ॲनालिटिक्ससाठी, Guest WiFi सोल्यूशनचा वापर करा. हे अविश्वासू ट्रॅफिक पूर्णपणे वेगळे ठेवण्याची खात्री देते.
• मॅक ऑथेंटिकेशन बायपास (MAB) काळजीपूर्वक लागू करा: IoT डिव्हाइसेस आणि लेगसी हार्डवेअर — जसे की transport हबमधील जुने स्कॅनर्स — बऱ्याचदा 802.1X ला सपोर्ट करू शकत नाहीत. हे डिव्हाइसेस MAB किंवा डेडिकेटेड PSK वापरून वेगळ्या SSID वर ठेवा आणि कडक ACLs सह त्यांच्या नेटवर्क ॲक्सेसवर मर्यादा घाला.
• सर्टिफिकेट रिव्होकेशनला प्राधान्य द्या: तुमचे Certificate Revocation List (CRL) किंवा Online Certificate Status Protocol (OCSP) एंडपॉइंट्स उच्च उपलब्धतेमध्ये (highly available) असल्याची खात्री करा. जर RADIUS सर्व्हर रिव्होकेशन स्टेटस सत्यापित करू शकला नाही, तर ऑथेंटिकेशन अयशस्वी होईल.

ट्रबलशूटिंग आणि जोखीम कमी करणे

जेव्हा डिप्लॉयमेंट अयशस्वी होते, तेव्हा क्लाउड IdP चा दोष असण्याची शक्यता फार कमी असते. सामान्य बिघाडांच्या कारणांमध्ये पुढील गोष्टींचा समावेश होतो:

• क्लॉक स्क्यू (Clock skew): EAP-TLS वेळेच्या बाबतीत अत्यंत संवेदनशील आहे. सर्व इन्फ्रास्ट्रक्चर घटक — विशेषतः WLCs आणि RADIUS सर्व्हर्स — NTP द्वारे सिंक्रोनाइझ केलेले असल्याची खात्री करा.
• Intune सिंक लेटन्सी: नवीन डिव्हाइसेस नोंदणीकृत करताना, SCEP सर्टिफिकेट जारी होण्यात आणि डिव्हाइस कनेक्ट करण्याचा प्रयत्न करण्यात थोडा विलंब होऊ शकतो. ऑनबोर्डिंग दरम्यान या विलंबाचे नियोजन आधीच करा.
• RADIUS server name mismatch: जर Intune WiFi प्रोफाइलमध्ये परिभाषित केलेले सर्व्हरचे नाव RADIUS सर्व्हर प्रमाणपत्रावरील Common Name (CN) किंवा Subject Alternative Name (SAN) शी तंतोतंत जुळत नसेल, तर क्लायंट दुर्भावनापूर्ण APs पासून संरक्षण करण्यासाठी कोणतीही पूर्वसूचना न देता डिस्कनेक्ट होतील.

तुमच्या इन्फ्रास्ट्रक्चरच्या सुरक्षिततेचे सखोल विश्लेषण पाहण्यासाठी, आमचे how to protect your network with robust DNS and security हे मार्गदर्शन पहा.

ROI आणि व्यावसायिक प्रभाव

Azure Entra ID WiFi ऑथेंटिकेशनकडे स्थलांतरित केल्याने महत्त्वपूर्ण फायदे मिळतात:

1. कमी झालेला हेल्पडेस्क खर्च: पासवर्ड-आधारित ऑथेंटिकेशन काढून टाकल्याने पासवर्ड लॉकआउट्स आणि WiFi क्रेडेंशियल नूतनीकरणाशी संबंधित सपोर्ट तिकिटांमध्ये कमालीची घट होते.
2. वेगवान अनुपालन (Compliance): EAP-TLS हे PCI-DSS आणि ISO 27001 सारख्या फ्रेमवर्कसाठी आवश्यक असलेली ओळखीचा क्रिप्टोग्राफिक पुरावा प्रदान करते, जे healthcare आणि किरकोळ (retail) वातावरणात आवश्यक आहे.
3. स्वयंचलित ऑफबोर्डिंग (Automated offboarding): जेव्हा एखादा कर्मचारी नोकरी सोडतो, तेव्हा Entra ID मधील त्याचे खाते निष्क्रिय केल्याने त्याचे सर्व ठिकाणांवरील नेटवर्क ॲक्सेस त्वरित रद्द होतो, ज्यामुळे अंतर्गत सुरक्षेचा धोका कमी होतो.

कॉर्पोरेट कोर नेटवर्क सुरक्षित करून, आयटी टीम्स महसूल वाढवणाऱ्या उपक्रमांवर लक्ष केंद्रित करू शकतात, जसे की अभ्यागतांच्या वर्तनाचा अभ्यास करण्यासाठी आणि प्रतिबद्धता वाढवण्यासाठी WiFi Analytics चा वापर करणे.

संदर्भ

[1] Microsoft Learn. (2023). Secure Wi-Fi access with Intune and EAP-TLS.