मुख्य मजकुराकडे जा
मराठी

Android उपकरणांवर EAP-TLS सह Enterprise WiFi कसे सेट करावे

हे तांत्रिक संदर्भ मार्गदर्शक वरिष्ठ IT नेत्यांना Android उपकरणांवर 802.1X EAP-TLS ऑथेंटिकेशन लागू करण्यासाठी सर्वसमावेशक ब्लूप्रिंट प्रदान करते. यामध्ये एंटरप्राइज वायरलेस नेटवर्क सुरक्षित करण्यासाठी आवश्यक असणारे आर्किटेक्चरल मेकॅनिक्स, मॅन्युअल आणि MDM आधारित अंमलबजावणी धोरणे आणि ट्रबलशूटिंग पद्धती समाविष्ट आहेत.

प्रकाशित अद्ययावत केले
📖 5 मिनिट वाचन1,097 शब्द2 सोडवलेली उदाहरणे3 सराव प्रश्न8 महत्वाच्या व्याख्या

Video overview

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
EAP-TLS सह Android उपकरणांवर एंटरप्राइज WiFi कसे सेट करायचे एक Purple तांत्रिक ब्रीफिंग - साधारणपणे 10 मिनिटे --- परिचय आणि संदर्भ - साधारणपणे 1 मिनिट Purple टेक्निकल ब्रीफिंग मालिकेत आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण Android उपकरणांवर 802.1X EAP-TLS प्रमाणीकरण तैनात करण्याच्या तपशीलांबद्दल जाणून घेत आहोत - मग तुम्ही हॉटेल इस्टेट, रिटेल साखळी, स्टेडियम किंवा सार्वजनिक क्षेत्रातील कॅम्पस व्यवस्थापित करत असाल. तुम्ही अशा नेटवर्कसाठी जबाबदार असाल ज्याला शेअर केलेल्या पासवर्डवर अवलंबून न राहता कॉर्पोरेट किंवा BYOD Android उपकरणांचे प्रमाणीकरण करणे आवश्यक आहे, तर हा भाग तुमच्यासाठी आहे. एंटरप्राइज WiFi सुरक्षेसाठी EAP-TLS हे सर्वोत्तम मानक आहे - हे परस्पर प्रमाणपत्र-आधारित प्रमाणीकरण वापरते, ज्याचा अर्थ फिशिंग करण्यासाठी कोणतेही क्रेडेंशियल्स नाहीत, बदलण्यासाठी कोणतेही पासवर्ड नाहीत आणि PCI-DSS, ISO 27001 आणि बहुतांश सार्वजनिक क्षेत्रातील सुरक्षा फ्रेमवर्कचे समाधान करणारी अनुपालन स्थिती मिळते. या ब्रीफिंगच्या शेवटी, तुम्हाला Android वर EAP-TLS कसे कार्य करते, तुमचे तैनाती पर्याय काय आहेत आणि अयशस्वी रोलआउटला कारणीभूत ठरणार्‍या तीन सर्वात सामान्य चुका कोणत्या आहेत हे अचूकपणे समजेल. चला सुरुवात करूया. --- तांत्रिक सखोल माहिती - साधारणपणे 5 मिनिटे आपण आर्किटेक्चरपासून सुरुवात करूया. 802.1X हे IEEE मानक आहे जे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल नियंत्रित करते. जेव्हा एखादे Android उपकरण एंटरप्राइज WiFi नेटवर्कशी कनेक्ट होते - जे WPA2-Enterprise किंवा WPA3-Enterprise म्हणून कॉन्फिगर केलेले असते - तेव्हा ॲक्सेस पॉइंट ऑथेंटिकेटर म्हणून कार्य करतो. ते स्वतः प्रमाणीकरणाचा निर्णय घेत नाही; ते उपकरण आणि RADIUS सर्व्हरमधील संवाद पुढे पाठवते, जो वास्तविक प्रमाणीकरण सर्व्हर असतो. EAP-TLS - म्हणजेच ट्रान्सपोर्ट लेयर सिक्युरिटीसह एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल - ही त्या 802.1X फ्रेमवर्कमध्ये चालणारी प्रमाणीकरण पद्धत आहे. TLS टनेलमध्ये युझरनेम आणि पासवर्ड वापरणाऱ्या EAP-PEAP किंवा EAP-TTLS पेक्षा ते वेगळे बनवणारी गोष्ट म्हणजे EAP-TLS दोन्ही बाजूंना X.509 प्रमाणपत्रे वापरते. RADIUS सर्व्हर उपकरणाला सर्व्हर प्रमाणपत्र सादर करतो आणि उपकरण RADIUS सर्व्हरला क्लायंट प्रमाणपत्र परत सादर करते. दोन्ही पक्ष एकमेकांची पडताळणी करतात. ते परस्पर प्रमाणीकरण आहे, आणि हेच EAP-TLS ला उपलब्ध असणारा सर्वात सुरक्षित पर्याय बनवते. आता, विशेषतः Android वर, तुम्हाला काही गोष्टी समजून घेणे आवश्यक आहे. Android 11 आणि त्यानंतरच्या आवृत्त्यांनी अधिक कडक प्रमाणपत्र पडताळणी आवश्यकता सादर केल्या आहेत. तुम्ही Android 11 किंवा त्याहून अधिक आवृत्तीवर तैनात करत असल्यास - जे या टप्प्यावर तुमच्या बहुतांश उपकरणांचे स्वरूप आहे - RADIUS सर्व्हर प्रमाणपत्रावर स्पष्टपणे विश्वास ठेवल्याशिवाय ते उपकरण कनेक्ट होण्यास नकार देईल. तुम्ही फक्त सिस्टीम ट्रस्ट स्टोअरवर अवलंबून राहू शकत नाही; तुम्ही एकतर रूट CA प्रमाणपत्र उपकरणावर पुश केले पाहिजे किंवा स्पष्टपणे संदर्भित करण्यासाठी WiFi प्रोफाइल कॉन्फिगर केले पाहिजे. चला सर्टिफिकेट साखळीबद्दल बोलूया. एकाच Android डिव्हाइसने EAP-TLS द्वारे प्रमाणीकृत होण्यापूर्वी तुम्हाला तीन घटक तयार ठेवावे लागतील. पहिले, Certificate Authority - एकतर तुमची अंतर्गत PKI, Microsoft Active Directory Certificate Services, किंवा Intune द्वारे SCEP सारखी क्लाउड PKI. दुसरे, तुमच्या RADIUS सर्व्हरला जारी केलेले सर्व्हर सर्टिफिकेट, ज्यावर त्या CA द्वारे स्वाक्षरी केलेली असते. तिसरे, प्रत्येक डिव्हाइस किंवा वापरकर्त्याला जारी केलेले एक युनिक क्लायंट सर्टिफिकेट, ज्यावर देखील त्याच CA द्वारे स्वाक्षरी केलेली असते. TLS हँडशेक दरम्यान डिव्हाइस त्याचे क्लायंट सर्टिफिकेट सादर करते आणि RADIUS सर्व्हर ते CA च्या सर्टिफिकेट रिव्होकेशन लिस्ट (CRL) विरुद्ध किंवा OCSP - Online Certificate Status Protocol द्वारे व्हॅलिडेट करतो. Android साठी, क्लायंट सर्टिफिकेट आणि प्रायव्हेट की सामान्यत: PKCS12 फाइल - म्हणजे dot-P12 किंवा dot-PFX फाइल - म्हणून पॅक केली जाते, ज्यामध्ये सर्टिफिकेट आणि एनक्रिप्ट केलेली प्रायव्हेट की दोन्ही असतात. मॅन्युअली कॉन्फिगर केलेल्या डिव्हाइसवर, वापरकर्ता ही फाइल Settings, नंतर Security, आणि नंतर Install a Certificate द्वारे इंपोर्ट करतो. MDM द्वारे व्यवस्थापित केलेल्या डिव्हाइसवर, सर्टिफिकेट डिव्हाइसच्या व्यवस्थापित की-स्टोअरवर सायलेंटली पुश केले जाते - यासाठी वापरकर्त्याच्या कोणत्याही हस्तक्षेपाची आवश्यकता नसते. आता स्वतः WiFi प्रोफाईलबद्दल बोलूया. Android वर एंटरप्राइझ WiFi कनेक्शन कॉन्फिगर करताना, तुम्हाला हे निर्दिष्ट करणे आवश्यक आहे: SSID, सुरक्षा प्रकार - WPA2-Enterprise किंवा WPA3-Enterprise - EAP पद्धत - जी TLS आहे - सर्व्हर व्हॅलिडेशनसाठी CA सर्टिफिकेट, डिव्हाइस प्रमाणीकरणासाठी क्लायंट सर्टिफिकेट, आणि आयडेंटिटी स्ट्रिंग, जी सामान्यत: डिव्हाइसचे Common Name किंवा वापरकर्त्याचे UPN असते. Android 11 आणि वरील आवृत्त्यांवर, मॅन-इन-द-मिडल हल्ले रोखण्यासाठी तुम्हाला डोमेन सफिक्स मॅच किंवा सर्व्हर सर्टिफिकेट सब्जेक्ट देखील निर्दिष्ट करणे आवश्यक आहे. MDM डिप्लॉयमेंटसाठी - आणि जिथे खरोखर मोठ्या प्रमाणावर काम होते - तुम्ही हे सर्व एक स्ट्रक्चर्ड कॉन्फिगरेशन प्रोफाईल म्हणून पुश करत असता. Microsoft Intune मध्ये, तुम्ही एक SCEP सर्टिफिकेट प्रोफाईल तयार करता जे प्रत्येक एनरोल केलेल्या Android डिव्हाइसवर स्वयंचलितपणे युनिक क्लायंट सर्टिफिकेटची विनंती करते आणि ते इंस्टॉल करते. त्यानंतर तुम्ही त्या सर्टिफिकेट प्रोफाईलचा संदर्भ देणारे WiFi कॉन्फिगरेशन प्रोफाईल तयार करता. जेव्हा डिव्हाइस चेक इन करते, तेव्हा त्याला सर्टिफिकेट आणि WiFi प्रोफाईल दोन्ही मिळतात, आणि ते तुमच्या 802.1X नेटवर्कशी स्वयंचलितपणे कनेक्ट होते. कोणताही वापरकर्ता हस्तक्षेप नाही, कोणतेही सपोर्ट कॉल नाहीत. तुम्ही याकरिता Intune वापरत असल्यास, डिव्हाइसेसवर WiFi सर्टिफिकेशन्स पुश करण्यासाठी Microsoft Intune कसे वापरावे यावरील आमचे मार्गदर्शक अचूक कॉन्फिगरेशन टप्पे सांगते - मी या माहितीसोबत ते वाचण्याची शिफारस करतो. VMware Workspace ONE आणि Jamf Connect साठी, प्रक्रिया रचनेच्या दृष्टीने समान आहे - SCEP किंवा PKCS सर्टिफिकेट प्रोफाईल, आणि त्यानंतर त्याचा संदर्भ देणारे WiFi प्रोफाईल. विशिष्ट UI भिन्न असू शकते, परंतु सर्टिफिकेट साखळी आणि RADIUS कॉन्फिगरेशन आवश्यकता समान राहतात. RADIUS बाजूने ध्वजांकित करण्यासारखी एक गोष्ट: जर तुम्ही FreeRADIUS, Microsoft NPS, किंवा Cisco ISE चालवत असाल, तर तुमच्या सर्व्हर प्रमाणपत्रामध्ये योग्य Extended Key Usage गुणधर्म समाविष्ट असल्याची खात्री करा - विशेषतः, Server Authentication, OID 1.3.6.1.5.5.7.3.1. Android याबद्दल कडक आहे. Windows क्लायंटसोबत व्यवस्थित काम करणारे प्रमाणपत्र जर EKU गहाळ असेल किंवा चुकीचे कॉन्फिगर केलेले असेल तर Android वर अयशस्वी होऊ शकते. --- अमलबजावणीच्या शिफारसी आणि अडचणी - साधारणपणे 2 मिनिटे बरं, प्रत्यक्षात क्षेत्रात काय चुकीचे घडते याबद्दल बोलूया, कारण येथेच बहुतांश उपयोजनांमध्ये समस्या येतात. पहिले आणि सर्वात सामान्य अपयश म्हणजे प्रमाणपत्र विश्वासार्हता (certificate trust). RADIUS सर्व्हरच्या प्रमाणपत्राची साखळी वैध केली जाऊ शकत नसेल तर Android 11 आणि त्यावरील आवृत्त्या कनेक्ट होणार नाहीत. यावरील उपाय सोपा आहे: MDM द्वारे तुमच्या डिव्हाइसच्या युझर सर्टिफिकेट स्टोअरमध्ये तुमचे root CA प्रमाणपत्र पुश करा आणि WiFi प्रोफाईलच्या CA प्रमाणपत्र क्षेत्रामध्ये त्याचा स्पष्टपणे संदर्भ द्या. हे "Do not validate" असे सोडू नका - ते सुरक्षिततेचे छिद्र आहे आणि काही Android आवृत्त्यांवर ते तरीही अयशस्वी होईल. दुसरी अडचण म्हणजे प्रमाणपत्राची मुदत संपणे. क्लायंट प्रमाणपत्रांची वैधता कालावधी सहसा एक ते दोन वर्षांचा असतो. जर तुमच्याकडे SCEP किंवा NDES द्वारे स्वयंचलित नूतनीकरण सुरू नसेल, तर एका सकाळी तुम्हाला समजेल की तुमच्या अर्ध्या डिव्हाइसेसचा WiFi ॲक्सेस एकाच वेळी निघून गेला आहे. तुमच्या MDM वर्कफ्लोमध्ये पहिल्या दिवसापासूनच प्रमाणपत्र नूतनीकरण ऑटोमेशन तयार करा, नंतरचा विचार म्हणून नाही. तीसरी समस्या म्हणजे RADIUS सर्व्हर क्षमता. पूर्ण परस्पर प्रमाणपत्र देवाणघेवाणीमुळे EAP-TLS हँडशेक्स PEAP हँडशेक्सपेक्षा कॉम्प्युटेशनलदृष्ट्या अधिक महाग असतात. हजारो समकालीन ऑथेंटिकेशन असलेल्या स्टेडियम किंवा कॉन्फरन्स सेंटरमध्ये, कमी क्षमतेचा RADIUS सर्व्हर अडथळा बनेल. सरासरी लोडऐवजी पीक संवर्ती (concurrent) ऑथेंटिकेशनसाठी तुमच्या RADIUS पायाभूत सुविधांचा आकार ठरवा. शेवटी, Android च्या बाजूने, हे लक्षात ठेवा की विविध उत्पादक - Samsung, Google, Xiaomi - कडे WiFi कॉन्फिगरेशन API ची थोडी वेगळी अमलबजावणी असते. मोठ्या प्रमाणावर रोल आउट करण्यापूर्वी तुमच्या इस्टेटमधील प्रत्येक उत्पादकाच्या प्रातिनिधिक डिव्हाइसेसवर तुमच्या MDM-पश केलेल्या प्रोफाईल्सची चाचणी घ्या. विशेषतः Samsung डिव्हाइसेसना ऐतिहासिकदृष्ट्या ओळख क्षेत्र (identity field) स्पष्टपणे सेट करण्याची आवश्यकता असते, जरी ते प्रमाणपत्रावरून काढले जाऊ शकत असले तरीही. --- जलद प्रश्न आणि उत्तरे - साधारणपणे 1 मिनिट मला नियमितपणे विचारले जाणारे काही जलद प्रश्न. मी BYOD डिव्हाइसेससाठी EAP-TLS वापरू शकतो का? होय, परंतु यासाठी वापरकर्त्याला त्यांच्या वैयक्तिक डिव्हाइसवर क्लायंट प्रमाणपत्र स्थापित करणे आवश्यक आहे. मोठ्या प्रमानावरील BYOD साठी, PAP किंवा PEAP-MSCHAPv2 सह EAP-TTLS हा अधिक व्यावहारिक तडजोड आहे का याचा विचार करा, ज्यामध्ये कॉर्पोरेट-मालकीच्या डिव्हाइसेससाठी EAP-TLS राखीव ठेवलेले असते. EAP-TLS WPA3-Enterprise सोबत काम करते का? होय, आणि 192-बिट मोडसह WPA3-Enterprise खरोखर EAP-TLS ला अनिवार्य करते. जर तुम्ही उच्च-सुरक्षा वातावरणात WPA3-Enterprise उपयोगात आणत असाल, तर EAP-TLS हा तुमचा एकमेव सुसंगत पर्याय आहे. मी कोणत्या किमान Android व्हर्जनला टार्गेट केले पाहिजे? Android 8 आणि त्यावरील व्हर्जन EAP-TLS ला नेटिव्हली सपोर्ट करतात. Android 11 आणि त्यावरील व्हर्जनसाठी, स्पष्ट CA सर्टिफिकेट व्हॅलिडेशन अनिवार्य करा. Android 13 आणि त्यावरील व्हर्जनसाठी, अधिक अचूक नियंत्रणासाठी तुम्ही सुधारित सर्टिफिकेट मॅनेजमेंट API चा वापर करू शकता. Purple चे प्लॅटफॉर्म EAP-TLS नेटवर्कशी इंटिग्रेट होऊ शकते का? Purple चे गेस्ट WiFi आणि ॲनालिटिक्स प्लॅटफॉर्म तुमच्या 802.1X कॉर्पोरेट नेटवर्कपेक्षा वेगळ्या SSID वर कार्य करते. तुमचे कॉर्पोरेट डिव्हाइसेस सुरक्षित SSID वर EAP-TLS द्वारे ऑथेंटिकेट होतात, तर गेस्ट डिव्हाइसेस गेस्ट SSID वर Purple च्या Captive Portal चा वापर करतात. हे दोन्ही एकाच ॲक्सेस पॉइंट इन्फ्रास्ट्रक्चरवर एकत्र काम करतात, जिथे VLAN सेपरेशन सुरक्षेची सीमा प्रदान करते. --- सारांश आणि पुढील पायऱ्या - साधारणपणे 1 मिनिट थोडक्यात सांगायचे तर: Android वरील EAP-TLS ही उपलब्ध असलेली सर्वात सुरक्षित एंटरप्राइज WiFi ऑथेंटिकेशन पद्धत आहे, आणि आधुनिक MDM टूलिंगसह मोठ्या प्रमाणावर लागू करणे पूर्णपणे व्यावहारिक आहे. योग्य करण्यासाठी तीन गोष्टी आवश्यक आहेत: स्वयंचलित सर्टिफिकेट नूतकरणासह योग्यरित्या कॉन्फिगर केलेले PKI, Android 11 आणि त्यावरील व्हर्जनवर स्पष्ट CA सर्टिफिकेट ट्रस्ट, आणि पीक लोडसाठी तयार केलेले RADIUS इन्फ्रास्ट्रक्चर. तुम्ही कॉर्पोरेट आणि गेस्ट दोन्ही ट्रॅफिक असलेल्या ठिकाणी डिप्लॉय करत असल्यास, Purple चे प्लॅटफॉर्म तुम्हाला गेस्ट नेटवर्कवर ॲनालिटिक्स आणि एंगेजमेंट लेयर देते, तर तुमचे EAP-TLS इन्फ्रास्ट्रक्चर कॉर्पोरेट बाजू सुरक्षित करते. हे दोन्ही एकमेकांना उत्तम प्रकारे पूरक ठरतात. तुमच्या पुढील पायऱ्यांसाठी: आमच्या पूर्ण मार्गदर्शकातील आर्किटेक्चर आकृतीचे पुनरावलोकन करा, Intune डिप्लॉयमेंटच्या पायऱ्या पूर्ण करा, आणि तुमच्या संपूर्ण नेटवर्कवर लागू करण्यापूर्वी डिव्हाइसेसच्या एका भागावर पायलट रन करा. पन्नास डिव्हाइसेसच्या नियंत्रित ग्रुपपासून सुरुवात करा, सर्टिफिकेट डिलिव्हरी आणि WiFi कनेक्टिव्हिटी तपासा, आणि नंतर विश्वासाने त्याचा विस्तार करा. Purple टेक्निकल ब्रिफिंग ऐकल्याबद्दल धन्यवाद. तुम्हाला संपूर्ण लिखित मार्गदर्शक, आकृत्या आणि कॉन्फिगरेशन संदर्भ purple.ai वर मिळतील. पुन्हा भेटूया.

आमच्या मुख्य मालिकेचा भाग: Enterprise WiFi सुरक्षा मार्गदर्शक →

Enterprise 802.1X Architecture

Android enterprise WiFi & EAP-TLS profile architect

Configure certificate-based 802.1X EAP-TLS for Android 11 to 15 fleets. Resolve CA validation requirements, domain SAN mismatches, Work Profile keystore boundaries, and export multi-platform MDM profiles.

Fleet scenario preset:Select an operational profile to prefill deployment parameters

Corporate-owned Android smartphones enforce centralized SCEP certificate issuance and zero-touch WiFi profile enrollment with strict Root CA validation.

Fleet & management scope

Android 11+ completely removed the "Do not validate" CA option.
1,200

Authentication & PKI architecture

Fleet feasibility score
99/100
Zero Trust enterprise
Estimated onboarding failures
1.2%
Automated silent onboarding
Annual IT hours saved
2,160h
USD 125,280 at 1.8 hours per device against hand-walked enrolment
Daily RADIUS authentications
3,600
802.11r saves 27,600 full EAP-TLS handshakes a day
Server validation domain
radius.purple.ai
Matches certificate SAN

Android enterprise supplicant parameters

ParameterConfigured valueAndroid requirement & guidance
EAP methodTLS (Type 13)Mutual cryptographic certificate exchange without user passwords.
Phase 2 authenticationNone (not applicable)Inner tunnels (MSCHAPv2 / GTC) are not used in native EAP-TLS.
CA certificateMandatory system or enterprise trustMust select the installed enterprise Root CA; unvalidated certificates blocked.
Domain suffix (SAN)radius.purple.aiBoringSSL validates that the server certificate dNSName contains this suffix.
Client certificate storeDevice-wide Android Keystore (KeyChain system)Hardware-backed StrongBox / TEE private key escrow.
Outer anonymous identityanonymousProtects user identity against over-the-air RF sniffing in 802.1X Start frame.
Next architectural step
Explore complete enterprise 802.1X and Zero Trust security architectures
Explore enterprise WiFi security guide
Useful? Link to this tool

Android उपकरणांवर EAP-TLS सह Enterprise WiFi कसे सेट करावे

कार्यकारी सारांश

क्रेडेन्शियल चोरी आणि अनधिकृत प्रवेशापासून एंटरप्राइज वायरलेस नेटवर्क सुरक्षित ठेवण्यासाठी सामायिक केलेल्या पासवर्डच्या पलीकडे जाणे आवश्यक आहे. कॉर्पोरेट वातावरणातील Android उपकरणांच्या ताफ्यासाठी, 802.1X EAP-TLS (Extensible Authentication Protocol with Transport Layer Security) हे सर्वोच्च सुरक्षा मानक आहे. परस्पर प्रमाणपत्र आधारित प्रमाणीकरणाचा वापर करून, EAP-TLS पासवर्डचा ताण, फिशिंग आणि कमकुवत क्रेडेन्शियल्सशी संबंधित धोके पूर्णपणे नष्ट करते.

हे तांत्रिक मार्गदर्शक नेटवर्क आर्किटेक्ट्स, IT व्यवस्थापक आणि CTOs ना Android उपकरणांवर EAP-TLS तैनात करण्यासाठी कार्यक्षम धोरणे प्रदान करते. Retail मधील पॉइंट-ऑफ-सेल टर्मिनल्स असोत, Healthcare मधील वैद्यकीय उपकरणे असोत किंवा Hospitality मधील बॅक ऑफ हाऊस ऑपरेशन्स असोत, या उपयोजनावर प्रभुत्व मिळवल्याने अंतिम वापरकर्त्यांसाठी अखंड कनेक्टिव्हिटी अनुभव प्रदान करताना मजबूत सुरक्षा अनुपालन (PCI-DSS, GDPR, ISO 27001) सुनिश्चित होते. आम्ही BYOD वातावरणासाठी मॅन्युअल कॉन्फिगरेशन आणि कॉर्पोरेट मालकीच्या उपकरणांसाठी झिरो-टच MDM प्रोव्हिजनिंग या दोन्ही पद्धती समाविष्ट करतो.

ब्रीफिंग ऐका

तांत्रिक सखोल विश्लेषण

802.1X आर्किटेक्चर आणि EAP-TLSची कार्यपद्धती

मूलभूत पातळीवर, 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी IEEEचे एक मानक आहे. वायरलेस संदर्भात, ॲक्सेस पॉइंट हा ऑथेंटिकेटर म्हणून काम करतो, जो Android डिव्हाइस (सप्लिकंट) आणि RADIUS सर्व्हर (ऑथेंटिकेशन सर्व्हर) मधील संवादाला सुलभ करतो.

PEAP किंवा TTLS पेक्षा वेगळे, जे TLS मध्ये जुन्या पासवर्ड ऑथेंटिकेशनचा वापर करतात, EAP-TLS हे पूर्णपणे X.509 प्रमाणपत्रांवर अवलंबून असते. हे परस्पर ऑथेंटिकेशन मॉडेल तयार करते:

  1. नेटवर्क वैध आहे हे सिद्ध करण्यासाठी RADIUS सर्व्हर आपले प्रमाणपत्र Android डिव्हाइसला सादर करतो.
  2. डिव्हाइस हे अधिकृत एंडपॉइंट आहे हे सिद्ध करण्यासाठी Android डिव्हाइस आपले युनिक क्लायंट प्रमाणपत्र RADIUS सर्व्हरला सादर करते.

Android उपकरणांवर EAP-TLS सह Enterprise WiFi कसे सेट करावे - eap tls architecture overview

Android-विशिष्ट प्रमाणपत्र आवश्यकता

Android वर लागू करताना काही विशिष्ट मर्यादा येतात, विशेषतः Android 11 पासून. मॅन-इन-द-मिडल (MitM) हल्ले कमी करण्यासाठी, Google ने सर्व्हर प्रमाणपत्रांसाठी "Do not validate" हा पर्याय बंद केला आहे. परिणामी, RADIUS सर्व्हरच्या प्रमाणपत्रावर स्वाक्षरी करणारे Root CA प्रमाणपत्र Android उपकरणांकडे असणे आवश्यक आहे.

याशिवाय, RADIUS सर्व्हर प्रमाणपत्रात योग्य Extended Key Usage (EKU) ॲट्रिब्यूट समाविष्ट असावे - विशेषतः Server Authentication (OID 1.3.6.1.5.5.7.3.1). याशिवाय, Android सप्लिकंट सुरक्षितपणे TLS हँडशेक रद्द करेल.

क्लायंटच्या बाजूने, Android ला प्रायव्हेट की आणि प्रमाणपत्र एकत्र बंडल केलेले असणे आवश्यक आहे, सामान्यतः PKCS#12 फॉरमॅटमध्ये (.p12 किंवा .pfx).

Purple च्या इकोसिस्टमसह एकत्रीकरण

EAP-TLS तुमचे कॉर्पोरेट डिव्हाइसेस आणि ऑपरेशन्सचे इन्फ्रास्ट्रक्चर सुरक्षित करत असताना, व्हेन्यू ऑपरेटर्सना भेट देणाऱ्यांच्या (व्हिजिटर्स) ॲक्सेसचे व्यवस्थापन करणे देखील आवश्यक आहे. येथे ड्युअल-SSID स्ट्रॅटेजी अत्यंत महत्त्वाची ठरते. तुमचे कॉर्पोरेट SSID हे 802.1X EAP-TLS वापरते, तर तुमचे सार्वजनिक SSID हे Purple च्या Guest WiFi प्लॅटफॉर्मचा वापर करते. हे अलगीकरण ऑपरेशन्सची सुरक्षा सुनिश्चित करते आणि मार्केटिंग टीम्सना गेस्ट नेटवर्कवर WiFi Analytics वापरण्याची अनुमती देते. भौतिक इन्फ्रास्ट्रक्चर सुरक्षित करण्याबद्दल अधिक माहितीसाठी, Access Point Security: Your 2026 Enterprise Guide पहा.

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.

अंमलबजावणी मार्गदर्शक

Android वर EAP-TLS ची अंमलबजावणी लहान BYOD सेटअपसाठी मॅन्युअली किंवा एंटरप्राइज स्केलसाठी Mobile Device Management (MDM) द्वारे केली जाऊ शकते.

Android उपकरणांवर EAP-TLS सह Enterprise WiFi कसे सेट करावे - mdm deployment comparison

पद्धत 1: मॅन्युअल कॉन्फिगरेशन (BYOD / लहान प्रमाण)

या पद्धतीसाठी अधिक सपोर्टची आवश्यकता असते आणि ही केवळ मर्यादित रोलआउट्स किंवा चाचणीसाठी वापरण्याची शिफारस केली जाते.

  1. प्रमाणपत्र वितरण: Android डिव्हाइसवर .p12 क्लायंट प्रमाणपत्र आणि Root CA .cer फाइल सुरक्षितपणे वितरित करा (उदा. सुरक्षित पोर्टल किंवा एन्क्रिप्टेड ईमेलद्वारे).
  2. इन्स्टॉलेशन:
    • Settings > Security > Encryption & credentials > Install a certificate वर जा.
    • Root CA ला "WiFi certificate" म्हणून इंस्टॉल करा.
    • Prompt आल्यावर एक्सट्रॅक्शन पासवर्ड देऊन .p12 फाइल इंस्टॉल करा.
  3. Network Configuration:
    • Settings > Network & internet > WiFi वर जा आणि "Add network" निवडा.
    • SSID प्रविष्ट करा.
    • Security ला WPA/WPA2/WPA3-Enterprise वर सेट करा.
    • EAP method ला TLS वर सेट करा.
    • CA certificate ला इंस्टॉल केलेल्या Root CA वर सेट करा.
    • Online Certificate Status ला Request certificate status वर सेट करा.
    • Domain ला RADIUS सर्व्हरच्या प्रमाणपत्राच्या Subject Alternative Name (SAN) शी जुळण्यासाठी सेट करा.
    • इंस्टॉल केलेले क्लायंट प्रमाणपत्र निवडा.
    • Identity प्रविष्ट करा (साधारणपणे युझरचे UPN किंवा डिव्हाइसचे MAC).

Method 2: MDM-Pushed Profiles (Enterprise Scale)

Transport मधील युनिव्हर्सिटी कॅम्पस किंवा लॉजिस्टिक्स हब सारख्या मोठ्या मालमत्तांसाठी MDM अनिवार्य आहे. हे झिरो-टच प्रोव्हिजनिंग आणि लाइफसायकल मॅनेजमेंट प्रदान करते.

  1. PKI Integration: SCEP किंवा NDES वापरून तुमचे MDM (Intune, Workspace ONE, Jamf) तुमच्या Certificate Authority शी कनेक्ट करा.
  2. Certificate Profiles: डिव्हाइसच्या ट्रस्ट स्टोअरमध्ये Root CA पुश करण्यासाठी एक कॉन्फिगरेशन प्रोफाईल तयार करा. युनिक क्लायंट प्रमाणपत्राची आपोआप विनंती करण्यासाठी आणि ते इंस्टॉल करण्यासाठी दुसरे प्रोफाईल (SCEP) तयार करा.
  3. WiFi Profile: उपयोजित प्रमाणपत्रांना लिंक करणारे WiFi कॉन्फिगरेशन प्रोफाईल तयार करा.
    • Security Type: WPA2/WPA3 Enterprise
    • EAP Type: EAP-TLS
    • Authentication Method: Certificate
    • Server Trust: Root CA आणि अचूक सर्व्हर डोमेन नाव नमूद करा.

मायक्रोसॉफ्ट-विशिष्ट तपशीलवार सूचनांसाठी, आमचे मार्गदर्शक पहा: How to Use Microsoft Intune to Push WiFi Certificates to Devices.

Best Practices

  1. Enforce WPA3-Enterprise: जिथे हार्डवेअर सपोर्ट करते, तिथे WPA3-Enterprise अनिवार्य करा. 192-बिट सुरक्षा सूट स्पष्टपणे EAP-TLS ची आवश्यकता भासून देते, ज्यामुळे सर्वोच्च क्रिप्टोग्राफिक मानके सुनिश्चित होतात.
  2. Automate Certificate Lifecycle: क्लायंट प्रमाणपत्रे कालबाह्य होतात. जर तुम्ही मॅन्युअल नूतनीकरणावर अवलंबून असाल, तर तुम्हाला मोठ्या प्रमाणावर आऊटेजचा सामना करावा लागेल. कालबाह्य होण्याच्या 30 दिवस आधी प्रमाणपत्रे आपोआप नूतनीकृत करण्यासाठी SCEP/NDES लागू करा.
  3. Implement Robust DNS: Certificate Revocation List (CRL) तपासण्या आणि OCSP साठी एड्जवरून विश्वासार्ह DNS रिझोल्यूशन आवश्यक आहे. Protect Your Network with Strong DNS and Security मध्ये अधिक वाचा.
  4. VLAN Segmentation: Tunnel-Private-Group-Id सारख्या RADIUS ॲट्रीब्युट्सचा वापर करून प्रमाणपत्राच्या वैशिष्ट्यांच्या आधारे (उदा. मॅनेजर टॅब्लेटला POS टर्मिनल्सपासून वेगळे करणे) EAP-TLS ऑथेंटिकेटेड सेशन्स विशिष्ट VLANs मध्ये मॅप करा.

Troubleshooting and Risk Mitigation

जेव्हा Android डिव्हाइसेस EAP-TLS द्वारे कनेक्ट होण्यात अयशस्वी होतात, तेव्हा समस्या जवळजवळ नेहमीच प्रमाणपत्र साखळीत किंवा RADIUS कॉन्फिगरेशनमध्ये असते.

  • Symptom: Android 11+ डिव्हाइसेस वापरकर्त्याला कोणताही प्रॉम्प्ट न देता त्वरित डिसकनेक्ट होतात किंवा "Authentication error" दाखवतात.
    • मूळ कारण: डिव्हाइस RADIUS सर्व्हर प्रमाणपत्रावर विश्वास ठेवत नाही. WiFi प्रोफाइलमधील "Domain" फील्ड सर्व्हर प्रमाणपत्राच्या SAN शी तंतोतंत जुळले पाहिजे आणि Root CA इंस्टॉल केलेले असणे आवश्यक आहे.
  • लक्षण: TLS हँडशेक दरम्यान कनेक्शनचा वेळ संपतो (times out).
    • मूळ कारण: क्लायंट प्रमाणपत्राची रिव्होकेशन स्थिती तपासण्यासाठी RADIUS सर्व्हर CRL वितरण बिंदूपर्यंत पोहोचू शकत नाही. तुमच्या RADIUS सर्व्हरला तुमच्या PKI च्या CRL एंडपॉइंट्सवर आउटबाउंड HTTP ॲक्सेस असल्याची खात्री करा.
  • लक्षण: Windows डिव्हाइसेस कनेक्ट होतात, परंतु Android डिव्हाइसेस अयशस्वी ठरतात.
    • मूळ कारण: RADIUS प्रमाणपत्रातून Server Authentication EKU गहाळ आहे किंवा Android सप्लिकंट अलाइव्ह न ठरलेल्या सायफर सूटचा वापर करण्याचा प्रयत्न करत आहे. TLS निगोशिएशन अपयशांसाठी RADIUS लॉग तपासा.

ROI आणि व्यवसाय प्रभाव

EAP-TLS वर संक्रमण करण्यासाठी PKI आणि MDM पायाभूत सुविधांमध्ये आगाऊ गुंतवणुकीची आवश्यकता असते, परंतु वरिष्ठ IT नेत्यांसाठी रिटर्न ऑन इन्व्हेस्टमेंट (ROI) खूप मोठा आहे.

  • हेल्पडेस्क खर्च कमी: IT हेल्पडेस्कच्या 20-30% तिकिटे पासवर्ड रिसेट करण्यासाठी असतात. प्रमाणपत्र आधारित ऑथेंटिकेशन नेटवर्क ॲक्सेससाठी पासवर्ड रोटेशन धोरणे काढून टाकते, ज्यामुळे सपोर्टचा अतिरिक्त खर्च मोठ्या प्रमाणात कमी होतो.
  • जॉखिम कमी करणे: EAP-TLS क्रेडेंशियल हार्वेस्टिंग आणि ऑफलाइन डिक्शनरी हल्ल्यांविरुद्ध सुरक्षा प्रदान करते. Healthcare सारख्या नियमन केलेल्या उद्योगांमध्ये, एका डेटा ब्रीचचा खर्च PKI च्या तैनाती खर्चापेक्षा खूप जास्त असतो.
  • ऑपरेशनल सातत्य: स्वयंचलित प्रमाणपत्र प्रोव्हिजनिंग हे सुनिश्चित करते की वेअरहाऊस स्कॅनरपासून ते रिटेल POS प्रणालींपर्यंतची महत्त्वपूर्ण ऑपरेशनल डिव्हाइसेस मुदतबाह्य क्रेडेशियल्समुळे कधीही नेटवर्कवरून बंद पडणार नाहीत. Purple आपली उपस्थिती वाढवत असताना, जसे की Purple Signals Higher Education Ambitions with Appointment of VP Education Tim Peers सारख्या अलीकडील धोरणात्मक हालचालींद्वारे अधोरेखित केले आहे, प्रगत विश्लेषण आणि प्रतिबद्धतेसाठी मजबूत पायाभूत कनेक्टिव्हिटी महत्त्वपूर्ण ठरते.

महत्वाच्या व्याख्या

802.1X

पोर्ट आधारित नेटवर्क ॲक्सेस कंट्रोल (PNAC) साठीचे एक IEEE मानक जे LAN किंवा WLAN ला जोडू इच्छिणाऱ्या उपकरणांना ऑथेंटिकेशनची यंत्रणा प्रदान करते.

अनाधिकृत उपकरणांना नेटवर्कच्या टोकावर कॉर्पोरेट नेटवर्कमध्ये प्रवेश करण्यापासून रोखणारा पायाभूत फ्रेमवर्क.

EAP-TLS

ट्रांसपोर्ट लेयर सिक्युरिटीसह एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल. एक ऑथेंटिकेशन फ्रेमवर्क जे क्लायंट आणि सर्व्हरमधील परस्पर ऑथेंटिकेशनसाठी X.509 प्रमाणपत्रे वापरते.

सर्वात सुरक्षित EAP प्रकार मानला जातो, तो पासवर्डवरील अवलंबित्व काढून टाकतो, ज्यामुळे तो उच्च सुरक्षेच्या वातावरणासाठी आवश्यक बनतो.

RADIUS

रिमोट ऑथेंटिकेशन डायल-इन युजर सर्व्हिस. एक नेटवर्किंग प्रोटोकॉल जो केंद्रीकृत ऑथेंटिकेशन, ऑथरायझेशन आणि अकाउंटिंग (AAA) व्यवस्थापन प्रदान करतो.

सर्व्हर घटक (उदा. Cisco ISE, Microsoft NPS) जो PKI द्वारे Android उपकरणाच्या प्रमाणपत्राची पडताळणी करतो.

Supplicant

क्लायंट उपकरण (या प्रकरणात, Android स्मार्टफोन किंवा टॅब्लेट) जे नेटवर्कवर प्रवेश करण्याची विनंती करत आहे.

सप्लिकंटच्या विशिष्ट OS मर्यादा समजून घेणे (जसे की Android 11 ची कडक पडताळणी) ही यशस्वी अंमलबजावणीची गुरुकिल्ली आहे.

Authenticator

नेटवर्क उपकरण (WiFi ॲक्सेस पॉइंट) जे Supplicant आणि RADIUS सर्व्हरमधील ऑथेंटिकेशन प्रक्रियेस सुलभ करते.

AP स्वतः निर्णय घेत नाही; ते केवळ RADIUS सर्व्हरच्या प्रतिसादाच्या आधारे पोर्ट नियंत्रण लागू करते.

PKI

पब्लिक की इन्फ्रास्ट्रक्चर. डिजिटल प्रमाणपत्रे तयार करणे, व्यवस्थापित करणे, वितरीत करणे, वापरणे, संग्रहित करणे आणि रद्द करण्यासाठी आवश्यक असलेल्या भूमिका, धोरणे, हार्डवेअर, सॉफ्टवेअर आणि प्रक्रियांचा संच.

EAP-TLS चा कणा. मजबूत PKI शिवाय, प्रमाणपत्र आधारित ऑथेंटिकेशन अशक्य आहे.

SCEP

Simple Certificate Enrolment Protocol. डिजिटल प्रमाणपत्रे जारी करणे आणि रद्द करणे शक्य तितके स्केलेबल बनवण्यासाठी डिझाइन केलेला प्रोटोकॉल.

युजरच्या हस्तक्षेपाशिवाय Android उपकरणांवर क्लायंट प्रमाणपत्रे स्वयंचलितपणे प्रोव्हिजन करण्यासाठी MDM प्लॅटफॉर्मद्वारे वापरले जाते.

SAN

Subject Alternative Name. X.509 ची एक विस्तारित आवृत्ती जी विविध मूल्ये सुरक्षा प्रमाणपत्राशी जोडण्याची अनुमती देते.

Android 11+ ला WiFi प्रोफाईलमधील 'Domain' फील्ड RADIUS सर्व्हरच्या प्रमाणपत्राच्या SAN शी जुळणे आवश्यक आहे.

सोडवलेली उदाहरणे

एका राष्ट्रीय रिटेल साखळीला 5,000 Android आधारित पॉइंट-ऑफ-सेल (POS) टॅब्लेट तैनात करायचे आहेत. सुरक्षा टीमने अनिवार्य केले आहे की या उपकरणांनी सामायिक पासवर्ड वापरू नयेत आणि ते क्रेडेंशियल फिशिंगपासून सुरक्षित असले पाहिजेत. पायाभूत सुविधा टीमने या अंमलबजावणीकडे कसे पाहिले पाहिजे?

टीमने SCEP द्वारे आपल्या अंतर्गत Public Key Infrastructure (PKI) शी एकत्रित केलेले Mobile Device Management (MDM) सोल्यूशन लागू केले पाहिजे. MDM द्वारे Root CA प्रमाणपत्र समाविष्ट असलेली कॉन्फिगरेशन प्रोफाइल पाठवली जाईल, प्रत्येक POS टॅब्लेटसाठी युनिक क्लायंट प्रमाणपत्राची स्वयंचलितपणे विनंती केली जाईल आणि EAP-TLS वापरण्यासाठी WPA3-Enterprise WiFi प्रोफाइल कॉन्फिगर केले जाईल. यशस्वी प्रमाणपत्र पडताळणीच्या आधारे या उपकरणांना आयसोलेटेड POS VLAN मध्ये नियुक्त करण्यासाठी RADIUS सर्व्हर कॉन्फिगर केला जाईल.

परीक्षकाचे भाष्य: हा एक उत्तम एंटरप्राइज दृष्टीकोन आहे. 5,000 उपकरणांसाठी मॅन्युअल कॉन्फिगरेशनचा प्रयत्न करणे ऑपरेशनल दृष्टिकोनातून शक्य नाही. MDM आणि SCEP वापरून, संस्था झिरो-टच प्रोव्हिजनिंग आणि स्वयंचलित प्रमाणपत्र नूतनीकरण प्राप्त करते, ज्यामुळे अंमलबजावणीतील अडथळे कमी करून सुरक्षेच्या नियमांचे पालन होते.

एका रुग्णालयाचे IT व्यवस्थापक वायरलेस नेटवर्क अपग्रेड करत आहेत. अपग्रेडनंतर, जुनी Android 9 उपकरणे EAP-TLS नेटवर्कशी यशस्वीपणे कनेक्ट होतात, परंतु नवीन खरेदी केलेली Android 12 उपकरणे ट्रस्ट एरर दर्शवून ऑथेंटिकेट होण्यात अपयशी ठरतात.

IT व्यवस्थापकाने उपकरणांवर पाठवलेले WiFi कॉन्फिगरेशन प्रोफाइल अपडेट केले पाहिजे. Android 11+ कडक सर्व्हर प्रमाणपत्र पडताळणी सक्तीने लागू करते. MitM हल्ले रोखण्यासाठी ट्रस्ट करण्यासाठीचे Root CA प्रमाणपत्र स्पष्टपणे परिभाषित करण्यासाठी आणि अचूक 'Domain' (RADIUS सर्व्हरच्या SAN शी जुळणारे) निर्दिष्ट करण्यासाठी प्रोफाइल अपडेट केले पाहिजे.

परीक्षकाचे भाष्य: हे Android च्या सप्लिकंट वर्तनशैलीतील महत्त्वपूर्ण OS-स्तरीय बदल अधोरेखित करते. जुने 'Do not validate' कॉन्फिगरेशन हा एक मोठा सुरक्षा धोका आहे आणि आधुनिक Android आवृत्त्यांमध्ये ते पूर्णपणे बंद करण्यात आले आहे. सोल्यूशन योग्यरित्या स्पष्ट ट्रस्ट कॉन्फिगरेशनची आवश्यकता ओळखते.

सराव प्रश्न

Q1. तुमची संस्था PEAP-MSCHAPv2 वरून EAP-TLS वर मायग्रेट करत आहे. पायलट टप्प्यात, अनेक Android 13 उपकरणे कनेक्ट होण्यास अपयशी ठरतात. RADIUS लॉग दर्शवतात की TLS हँडशेक सुरू केला आहे परंतु क्लायंट प्रमाणपत्र पाठवण्यापूर्वी क्लायंटद्वारे तो ड्रॉप केला जातो. सर्वाधिक शक्यता असलेली कॉन्फिगरेशन त्रुटी कोणती आहे?

टीप: सर्व्हरच्या ओळख पडताळणीबाबत अलीकडील Android आवृत्त्यांमध्ये लागू केलेल्या कडक आवश्यकतांचा विचार करा.

नमुना उत्तर पहा

सर्वात संभाव्य त्रुटी अशी आहे की Android 13 उपकरणांवर पुश केलेले WiFi प्रोफाईल 'Domain' सफिक्स मॅच योग्यरित्या निर्दिष्ट करत नाही, किंवा Root CA प्रोफाईलमध्ये योग्यरित्या लिंक केलेले नाही. RADIUS सर्व्हरच्या प्रमाणपत्राची पडताळणी करू शकत नसल्यामुळे Man-in-the-Middle हल्ला रोखण्यासाठी Android कनेक्शन ड्रॉप करते.

Q2. तुम्ही मोठ्या स्टेडियमच्या डिप्लॉयमेंटसाठी आर्किटेक्चर डिझाइन करत आहात. क्लायंटला सर्व कर्मचारी उपकरणांसाठी EAP-TLS वापरायचे आहे. मानक WPA2-PSK नेटवर्कच्या तुलनेत कोणत्या विशिष्ट पायाभूत सुविधा घटकाचे प्रमाण (scale up) वाढवले पाहिजे आणि का?

टीप: EAP-TLS मध्ये कनेक्शन टप्प्यात गुंतागुंतीच्या क्रिप्टोग्राफिक क्रियांचा समावेश असतो.

नमुना उत्तर पहा

RADIUS सर्व्हर पायाभूत सुविधांमध्ये लक्षणीय वाढ करणे आवश्यक आहे. EAP-TLS साठी पूर्ण परस्पर प्रमाणपत्र पडताळणी (asymmetric cryptography) आवश्यक असते, जी संगणकीयदृष्ट्या महाग असते. हजारो उपकरणे एकाच वेळी रोमिंग किंवा ऑथेंटिकेट होत असलेल्या स्टेडियम वातावरणात, अपुऱ्या आकाराचे RADIUS डिप्लॉयमेंट ऑथेंटिकेशन टाईमआउट आणि कनेक्शन अपयशास कारणीभूत ठरेल.

Q3. हरवलेल्या Android टॅब्लेटवर क्लायंट प्रमाणपत्र तडजोड (compromised) झाली आहे. EAP-TLS द्वारे हे उपकरण कनेक्ट होण्यापासून नेटवर्क रोखणारी अचूक यंत्रणा कोणती आहे?

टीप: RADIUS सर्व्हरला ते संपण्याच्या तारखेपूर्वी प्रमाणपत्र यापुढे वैध नाही हे कसे समजते?

नमुना उत्तर पहा

IT प्रशासक PKI मध्ये क्लायंट प्रमाणपत्र रद्द करतो. PKI त्याची Certificate Revocation List (CRL) किंवा OCSP रिस्पॉन्डर अपडेट करतो. जेव्हा हरवलेला टॅब्लेट कनेक्ट करण्याचा प्रयत्न करतो, तेव्हा RADIUS सर्व्हर CRL/OCSP विरुद्ध क्लायंट प्रमाणपत्र तपासतो. ते रद्द केल्याचे पाहून, RADIUS सर्व्हर ऑथेंटिकेशन विनंती नाकारतो.

वारंवार विचारले जाणारे प्रश्न

Why does Android 11 and newer require a domain and CA certificate for enterprise WiFi?

Starting with Android 11, Google deprecated and removed the 'Do not validate' option for CA certificates to protect mobile endpoints against man-in-the-middle and evil twin attacks. Devices must validate the RADIUS server certificate against a trusted Root CA and verify that the server certificate Subject Alternative Name (SAN) matches the configured domain suffix.

What domain should administrators specify in the Android EAP-TLS WiFi profile?

The domain configured in the Android WiFi profile (or MDM Wi-Fi configuration) must match the fully qualified domain name (FQDN) present in the dNSName attribute of the RADIUS server certificate Subject Alternative Name (SAN) extension, such as radius.purple.ai. If the domain does not match, Android's BoringSSL stack terminates the TLS handshake with Alert 48.

How do enterprise organizations automate EAP-TLS client certificates on Android fleets?

Enterprise organizations automate certificate distribution using Mobile Device Management (MDM) platforms such as Microsoft Intune, VMware Workspace ONE, or Google Android Management API integrated with SCEP or EST. The MDM pushes a Trusted Root certificate profile and a SCEP profile that requests a unique client certificate from the enterprise PKI, storing the private key inside the hardware-backed Android Keystore.

Why do Android Work Profile devices fail to find client certificates for enterprise WiFi?

Android enforces cryptographic isolation between the Personal and Work Profile KeyChains. If an employee imports a certificate via personal settings or browser download, the enterprise WiFi supplicant running in the Work Profile cannot access the private key. Administrators must deliver both the Root CA and the SCEP client certificate through the Android Enterprise Work Profile management payload.

How does Android MAC address randomization affect 802.1X enterprise networks?

Android enables per-SSID MAC randomization by default, rotating the hardware MAC address. While EAP-TLS authenticates client identity cryptographically regardless of MAC address, rotated MACs can create duplicate DHCP leases and complicate switch port auditing. For corporate-owned (COBO) devices, administrators can push an MDM policy setting MAC randomization to 'Use device MAC'. On BYOD networks, identity tracking should rely on the 802.1X User-Name attribute rather than the hardware MAC address.

How does Purple Cloud RADIUS simplify Android enterprise WiFi authentication?

Purple Cloud RADIUS provides high-availability 802.1X authentication that integrates natively with leading MDMs and cloud identity providers. Purple automates SCEP certificate issuance, validates Android client certificate chains in milliseconds, returns dynamic VLAN steering attributes (RFC 2868), and eliminates on-premises RADIUS hardware maintenance.

या मालिकेमध्ये पुढे वाचा

iOS आणि macOS 802.1X ट्रबलशूटिंग: Intune, Jamf आणि Microsoft Entra ID साठी एक डिप्लोयमेंट चेकलिस्ट

iPhones, iPads आणि Macs वर Intune किंवा Jamf Pro च्या माध्यमातून 802.1X का अयशस्वी होत आहे याचे निदान करण्यासाठी ही चेकलिस्ट वापरा. प्रत्येक बिघाड चारपैकी एका कारणामुळे होतो: सर्व्हर ट्रस्ट, आयडेंटिटी सर्टिफिकेट, macOS मोड किंवा Microsoft Entra ID ग्रुप स्कोपिंग. तुम्ही eapolclient आणि RADIUS लॉग्समधून कारणाची खात्री कराल, त्यावर उपाय लागू कराल आणि भविष्यातील सर्टिफिकेट रोटेशनचे टप्पे ठरवाल.

मार्गदर्शिका वाचा →

Intune WiFi प्रोफाइल सर्व्हर ट्रस्ट: Entra ID साठी सर्टिफिकेट सर्व्हर नावे आणि रूट CA चेकलिस्ट

तुम्ही Intune WiFi प्रोफाईलचे सर्व्हर व्हॅलिडेशन कॉन्फिगर करू शकाल जेणेकरून EAP-TLS आणि PEAP हे Windows, Apple आणि Android वर कनेक्ट होतील. तुम्ही सर्टिफिकेट सर्व्हरच्या नावांना RADIUS सर्टिफिकेटशी जुळवून घ्याल, योग्य root CA डिप्लोय कराल, Microsoft Entra ID ग्रुप असाइनमेंट्स अलाइन कराल आणि सर्टिफिकेट रिन्यूअल्स कनेक्शन खंडित करण्यापूर्वी ते आधीच स्टेज करून ठेवाल.

मार्गदर्शिका वाचा →

Android 802.1X आणि EAP-TLS ट्रबलशूटिंग: Intune आणि Microsoft Entra ID साठी एक डिप्लॉयमेंट चेकलिस्ट

तुम्ही हे शोधून काढू शकाल की व्यवस्थापित Android फोन्स तुमच्या स्टाफ SSID वर EAP-TLS मध्ये का अपयशी ठरतात आणि ते Intune मध्ये दुरुस्त करू शकाल. प्रत्येक समस्येला चार सामान्य कारणांशी जुळवून घ्या - गहाळ CA किंवा डोमेन, चुकीच्या प्रोफाइलमधील क्लायंट प्रमाणपत्र, न जुळणारे RADIUS सर्व्हरचे नाव व्हॅल्यू, किंवा न पोहोचवलेले ट्रस्टेड रूट. त्यानंतर एक रोलआउट चेकलिस्ट लागू करा जी पुन्हा होणारे आउटेज थांबवते.

मार्गदर्शिका वाचा →

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.