802.1X WiFi ऑथेंटिकेशन कसे कॉन्फिगर करावे: एक टप्प्याटप्प्याने मार्गदर्शक

802.1X WiFi ऑथेंटिकेशन कसे कॉन्फिगर करावे: एक टप्प्याटप्प्याने मार्गदर्शक एक Purple एंटरप्राइझ WiFi इंटेलिजन्स पॉडकास्ट [प्रस्तावना — अंदाजे 1 मिनिट] पुन्हा स्वागत आहे. मी आज एक सीनियर सोल्युशन्स आर्किटेक्ट म्हणून बोलत आहे, आणि जर तुम्ही हे ऐकत असाल, तर तुम्ही कदाचित 802.1X ऑथेंटिकेशनचा समावेश असलेल्या नेटवर्क सिक्युरिटी प्रोजेक्टकडे पाहत आहात — एकतर तुमच्या कंप्लायन्स टीमने ते फ्लॅग केले आहे, तुमच्या इन्शुररने त्याबद्दल विचारले आहे, किंवा तुम्हाला नुकतेच एक नेटवर्क मिळाले आहे जे शेअर्ड PSK वर चालत आहे आणि तुम्हाला माहित आहे की ते आता पुरेसे चांगले नाही. तर आपण थेट याकडे वळूया. 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठी IEEE स्टँडर्ड आहे. हा एंटरप्राइझ WiFi सुरक्षेचा कणा आहे — अशी यंत्रणा जी सुनिश्चित करते की तुमच्या नेटवर्कशी कनेक्ट होणारे प्रत्येक डिव्हाइस सकारात्मकरीत्या ओळखले गेले आहे आणि ट्रॅफिकचा एकही बाइट मिळण्यापूर्वी ऑथराइज केले गेले आहे. PCI DSS अंतर्गत पेमेंट कार्ड डेटा हाताळणाऱ्या संस्थांसाठी हे ऐच्छिक नाही, GDPR आणि NHS डेटा सुरक्षा मानकांखालील हेल्थकेअर वातावरणासाठी हे ऐच्छिक नाही, आणि खरे सांगायचे तर, मूठभर ॲक्सेस पॉइंट्सपेक्षा जास्त चालवणाऱ्या कोणत्याही संस्थेसाठी, हे योग्य आर्किटेक्चर आहे. पुढील दहा मिनिटांत, मी तुम्हाला तांत्रिक आर्किटेक्चर, RADIUS कॉन्फिगरेशन, सर्टिफिकेट डिप्लॉयमेंट आणि हे जिथे गुंतागुंतीचे होते अशा वास्तविक-जगातील परिस्थितींमधून घेऊन जाणार आहे. चला सुरु करूया. [तांत्रिक सखोल माहिती — अंदाजे 5 मिनिटे] ठीक आहे, तर 802.1X फ्रेमवर्कचे तीन घटक आहेत. तुमच्याकडे सप्लिकंट आहे — ते म्हणजे क्लायंट डिव्हाइस, लॅपटॉप, फोन, IoT सेन्सर. तुमच्याकडे ऑथेंटिकेटर आहे — तो तुमचा ॲक्सेस पॉइंट किंवा तुमचा नेटवर्क स्विच आहे, ज्याला कधीकधी NAS, नेटवर्क ॲक्सेस सर्व्हर म्हटले जाते. आणि तुमच्याकडे ऑथेंटिकेशन सर्व्हर आहे — एंटरप्राइझ डिप्लॉयमेंट्समध्ये जवळजवळ सर्वत्र RADIUS सर्व्हर. हँडशेक कसे काम करते ते येथे आहे. जेव्हा एखादे डिव्हाइस 802.1X-संरक्षित SSID शी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा ॲक्सेस पॉइंट त्याला फक्त आत येऊ देत नाही. त्याऐवजी, तो कंट्रोल्ड पोर्ट उघडतो — एक मर्यादित चॅनेल जो फक्त EAP ट्रॅफिक, एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल पास करतो. AP डिव्हाइसला EAP-Request Identity पाठवतो. डिव्हाइस त्याच्या ओळखीसह प्रतिसाद देते. AP नंतर ते RADIUS सर्व्हरकडे फॉरवर्ड करतो, RADIUS Access-Request पॅकेटमध्ये गुंडाळून. RADIUS सर्व्हर ऑथेंटिकेशन चालवतो — ॲक्टिव्ह डिरेक्टरी, सर्टिफिकेट स्टोअर किंवा तुम्ही कॉन्फिगर केलेल्या कोणत्याही आयडेंटिटी बॅकएंड विरुद्ध क्रेडेंशियल्स तपासतो — आणि Access-Accept किंवा Access-Reject परत पाठवतो. केवळ Accept वरच AP पूर्ण डेटा पोर्ट उघडतो आणि डिव्हाइसला योग्य VLAN नियुक्त करतो. आता, तुम्ही येथे निवडलेली EAP पद्धत खूप महत्त्वाची आहे. एंटरप्राइझ डिप्लॉयमेंट्समध्ये तुम्हाला पाच पद्धतींचा सामना करावा लागेल. EAP-TLS हे सुवर्ण मानक आहे. क्लायंट आणि सर्व्हर दोघेही X.509 सर्टिफिकेट्स सादर करतात. यात कोणतेही पासवर्ड्स समाविष्ट नाहीत. हा सर्वात सुरक्षित पर्याय आहे आणि सर्वोच्च PCI DSS कंप्लायन्स टायर्ससाठी आवश्यक आहे. अडचण अशी आहे की तुम्हाला क्लायंट सर्टिफिकेट्स जारी करण्यासाठी आणि व्यवस्थापित करण्यासाठी संपूर्ण PKI — पब्लिक की इन्फ्रास्ट्रक्चर — आवश्यक आहे. याचा अर्थ एक सर्टिफिकेट ऑथॉरिटी, सर्टिफिकेट लाइफसायकल मॅनेजमेंट आणि प्रत्येक डिव्हाइसवर सर्टिफिकेट्स पुश करण्याची यंत्रणा. Microsoft Active Directory आणि Active Directory Certificate Services असलेल्या संस्थांसाठी, हे खूप साध्य करण्यासारखे आहे. त्या इन्फ्रास्ट्रक्चरशिवाय असलेल्या संस्थांसाठी, ही एक मोठी गुंतवणूक आहे. PEAP-MSCHAPv2 ही व्यवहारात सर्वात मोठ्या प्रमाणावर डिप्लॉय केली जाणारी पद्धत आहे. ती केवळ सर्व्हर-साइड सर्टिफिकेट वापरून TLS टनेल तयार करते, नंतर त्या टनेलच्या आत युझरनेम आणि पासवर्ड क्रेडेंशियल्स पास करते. ती बॉक्सच्या बाहेर जवळजवळ प्रत्येक डिव्हाइसशी सुसंगत आहे, Windows Server वरील NPS द्वारे थेट ॲक्टिव्ह डिरेक्टरीशी इंटिग्रेट होते आणि क्लायंट सर्टिफिकेट्सची आवश्यकता नसते. तडजोड अशी आहे की जर युझर्सना रोग (rogue) AP शी कनेक्ट करण्यासाठी फसवले गेले तर ती क्रेडेंशियल हार्वेस्टिंग हल्ल्यांसाठी असुरक्षित आहे — कारण क्लायंट डीफॉल्टनुसार सर्व्हर सर्टिफिकेट प्रमाणित करत नाही. तुम्ही तुमच्या सप्लिकंट प्रोफाईल्समध्ये सर्व्हर सर्टिफिकेट व्हॅलिडेशन लागू करणे आवश्यक आहे. EAP-TTLS हे PEAP सारखेच आहे परंतु आतील ऑथेंटिकेशन पद्धतीमध्ये अधिक लवचिक आहे. हे Linux वातावरणात आणि जिथे तुम्हाला लेगसी ऑथेंटिकेशन बॅकएंड्सना सपोर्ट करण्याची आवश्यकता असते तिथे सामान्य आहे. LEAP च्या कमकुवतपणाला प्रतिसाद म्हणून Cisco द्वारे EAP-FAST विकसित केले गेले. हे सर्टिफिकेट्स ऐवजी प्रोटेक्टेड ॲक्सेस क्रेडेंशियल्स वापरते. जर तुम्ही Cisco-हेवी वातावरणात असाल किंवा इतरांना सपोर्ट करू न शकणाऱ्या लेगसी डिव्हाइसेसशी व्यवहार करत असाल तर हे प्रामुख्याने संबंधित आहे. EAP-SIM आणि EAP-AKA कॅरियर-ग्रेड डिप्लॉयमेंट्समध्ये वापरले जातात — जसे की OpenRoaming किंवा Passpoint — जिथे ऑथेंटिकेशन सिम कार्ड किंवा USIM शी जोडलेले असते. सार्वजनिक ठिकाणच्या WiFi साठी हे वाढत्या प्रमाणात संबंधित आहेत जिथे तुम्हाला Captive Portal शिवाय अखंड, सुरक्षित ऑनबोर्डिंग हवे असते. आता RADIUS कॉन्फिगरेशनबद्दल बोलूया. तुम्ही Microsoft NPS, FreeRADIUS, Cisco ISE, किंवा Aruba ClearPass डिप्लॉय करत असलात तरी, मूळ कॉन्फिगरेशन पायऱ्या समान आहेत. प्रथम, तुम्ही तुमचे RADIUS क्लायंट्स परिभाषित करता — हे तुमचे ॲक्सेस पॉइंट्स किंवा वायरलेस LAN कंट्रोलर्स आहेत. प्रत्येक क्लायंट त्याच्या IP ॲड्रेस आणि शेअर्ड सिक्रेटसह रजिस्टर केलेला असतो. ते शेअर्ड सिक्रेट AP आणि सर्व्हरमधील RADIUS मेसेजेस ऑथेंटिकेट करण्यासाठी वापरले जाते. किमान 22 अक्षरे वापरा, यादृच्छिकपणे व्युत्पन्न केलेली आणि प्रत्येक NAS डिव्हाइससाठी युनिक. दुसरे, तुम्ही तुमची नेटवर्क पॉलिसी कॉन्फिगर करता. येथे तुम्ही कोणाला कशाचा ॲक्सेस मिळेल हे परिभाषित करता. NPS च्या भाषेत, तुम्ही एक नेटवर्क पॉलिसी तयार करत आहात जी अटींशी जुळते — ॲक्टिव्ह डिरेक्टरीमधील ग्रुप मेंबरशिप, डिव्हाइस प्रकार, दिवसाची वेळ — आणि ॲट्रिब्यूट्स नियुक्त करते — VLAN ID, सेशन टाइमआउट, बँडविड्थ मर्यादा. तुम्ही सर्वात जास्त वापरणार असलेला RADIUS ॲट्रिब्यूट म्हणजे VLAN असाइनमेंट, विशेषतः Tunnel-Type हे VLAN वर सेट केलेले, Tunnel-Medium-Type हे 802 वर सेट केलेले आणि Tunnel-Private-Group-ID हे तुमच्या VLAN नंबरवर सेट केलेले. तिसरे, तुम्ही तुमची कनेक्शन रिक्वेस्ट पॉलिसी कॉन्फिगर करता. हे NPS ला येणाऱ्या RADIUS विनंत्या कशा हाताळायच्या हे सांगते — लोकली ऑथेंटिकेट करायचे की दुसऱ्या RADIUS सर्व्हरकडे फॉरवर्ड करायचे. डिस्ट्रिब्युटेड डिप्लॉयमेंटमध्ये, तुमच्याकडे प्रत्येक साइटवर NPS प्रॉक्सीजसह एक मध्यवर्ती RADIUS सर्व्हर असू शकतो. सर्टिफिकेटच्या बाजूने, PEAP आणि EAP-TLS साठी, तुमच्या RADIUS सर्व्हरला तुमच्या क्लायंट्सचा विश्वास असलेले सर्व्हर सर्टिफिकेट आवश्यक आहे. सर्वात सोपा मार्ग म्हणजे पब्लिक CA — DigiCert, Sectigo, Let's Encrypt — कडील सर्टिफिकेट वापरणे कारण त्या रूट सर्टिफिकेट्सवर सर्व प्रमुख ऑपरेटिंग सिस्टीम्सचा आधीच विश्वास असतो. जर तुम्ही इंटरनल CA वापरत असाल, तर तुम्हाला ग्रुप पॉलिसी किंवा तुमच्या MDM प्लॅटफॉर्मद्वारे सर्व क्लायंट डिव्हाइसेसवर रूट सर्टिफिकेट पुश करणे आवश्यक आहे. विशेषतः EAP-TLS साठी, तुम्हाला क्लायंट सर्टिफिकेट्सची देखील आवश्यकता आहे. ॲक्टिव्ह डिरेक्टरी वातावरणात, डोमेन-जॉईन्ड डिव्हाइसेसवर सर्टिफिकेट्स पुश करण्यासाठी तुम्ही ग्रुप पॉलिसीद्वारे ऑटो-एनरोलमेंटसह ADCS वापराल. BYOD डिव्हाइसेससाठी, सर्टिफिकेट आणि WiFi प्रोफाईल दोन्ही पुश करण्यासाठी तुम्ही तुमचा MDM — Intune, Jamf, VMware Workspace ONE — वापराल. ॲक्सेस पॉइंटच्या बाजूने, कॉन्फिगरेशन सरळ आहे. तुम्ही एक नवीन SSID तयार करता, सुरक्षा WPA2-Enterprise किंवा WPA3-Enterprise वर सेट करता, RADIUS ऑथेंटिकेशन सर्व्हरला UDP पोर्ट 1812 वर तुमच्या NPS IP कडे पॉइंट करता, UDP पोर्ट 1813 वर RADIUS अकाउंटिंग सर्व्हर सेट करता, शेअर्ड सिक्रेट एंटर करता आणि जर तुम्ही डायनॅमिक VLAN असाइनमेंट वापरत असाल तर ते सक्षम करता. बहुतेक एंटरप्राइझ AP प्लॅटफॉर्म्स — Cisco Meraki, Aruba, Ruckus, Extreme — मध्ये यासाठी एक GUI असतो ज्याला तुमचा RADIUS सर्व्हर तयार झाल्यावर सुमारे दहा मिनिटे लागतात. [अंमलबजावणी शिफारसी आणि त्रुटी — अंदाजे 2 मिनिटे] ठीक आहे, डिप्लॉयमेंट्स कुठे चुकतात याबद्दल बोलूया, कारण इथेच मी माझी कन्सल्टन्सी फी कमवतो. सर्वात सामान्य फेल्युअर पॉइंट म्हणजे सर्टिफिकेट व्हॅलिडेशन. मी संस्थांना सर्व्हरच्या बाजूने PEAP-MSCHAPv2 योग्यरित्या डिप्लॉय करताना पाहिले आहे, आणि नंतर क्लायंट सप्लिकंट प्रोफाईल्स कोणतेही सर्टिफिकेट स्वीकारण्यासाठी कॉन्फिगर केलेले सोडताना पाहिले आहे. हे सुरक्षा मॉडेलला पूर्णपणे कमकुवत करते. प्रत्येक सप्लिकंट प्रोफाईल — ग्रुप पॉलिसीद्वारे पुश केलेले असो किंवा MDM द्वारे — विश्वसनीय रूट CA आणि अपेक्षित सर्व्हर नाव निर्दिष्ट करणे आवश्यक आहे. त्याशिवाय, तुम्ही इव्हिल ट्विन हल्ल्यांसाठी असुरक्षित आहात. दुसरी सामान्य समस्या म्हणजे RADIUS शेअर्ड सिक्रेट मॅनेजमेंट. मी प्रॉडक्शन नेटवर्क्स "radius" किंवा व्हेंडर डीफॉल्टवर सेट केलेल्या शेअर्ड सिक्रेटसह चालताना पाहिले आहेत. ही सिक्रेट्स तुमच्या ऑथेंटिकेशन इन्फ्रास्ट्रक्चरच्या चाव्या आहेत. ती यादृच्छिकपणे व्युत्पन्न करा, सिक्रेट्स मॅनेजरमध्ये स्टोअर करा आणि वेळापत्रकानुसार रोटेट करा. तिसरे: VLAN मिसकॉन्फिगरेशन. डायनॅमिक VLAN असाइनमेंट शक्तिशाली आहे — हे तुम्हाला एकाच SSID वरून स्टाफ डिव्हाइसेस कॉर्पोरेट VLAN वर, कॉन्ट्रॅक्टर्स प्रतिबंधित VLAN वर आणि IoT डिव्हाइसेस आयसोलेटेड VLAN वर ठेवू देते. परंतु जर RADIUS ॲट्रिब्यूट्स योग्यरित्या कॉन्फिगर केलेले नसतील, किंवा स्विच ट्रंक पोर्ट्स योग्य VLANs कॅरी करत नसतील, तर डिव्हाइसेस एकतर कनेक्ट होण्यात अयशस्वी होतील किंवा चुकीच्या सेगमेंटवर लँड होतील. प्रॉडक्शनमध्ये रोल आउट करण्यापूर्वी लॅबमध्ये याची पूर्णपणे चाचणी करा. चौथे: रिडंडन्सी. तुमचा RADIUS सर्व्हर आता इन्फ्रास्ट्रक्चरचा एक महत्त्वाचा भाग आहे. जर तो डाऊन झाला, तर कोणीही कनेक्ट होऊ शकत नाही. तुम्हाला प्रत्येक AP वर किमान एक प्रायमरी आणि सेकंडरी RADIUS सर्व्हर कॉन्फिगर करणे आवश्यक आहे. मोठ्या डिप्लॉयमेंट्समध्ये, हेल्थ मॉनिटरिंगसह RADIUS प्रॉक्सी क्लस्टर्सचा विचार करा. पाचवे, आणि हे हॉस्पिटॅलिटी आणि रिटेल वातावरणासाठी विशिष्ट आहे: गेस्ट विरुद्ध कॉर्पोरेट सेपरेशन. तुमचा 802.1X कॉर्पोरेट SSID आणि तुमचा गेस्ट WiFi SSID पूर्णपणे वेगळे असले पाहिजेत — वेगळे VLANs, वेगळ्या फायरवॉल पॉलिसी, वेगळे DNS. Purple सारखा प्लॅटफॉर्म स्वतःच्या Captive Portal आणि ॲनालिटिक्स लेयरसह गेस्ट बाजू हाताळतो, तर तुमचे 802.1X इन्फ्रास्ट्रक्चर कॉर्पोरेट बाजू हाताळते. या पूरक सिस्टीम्स आहेत, स्पर्धात्मक नाहीत. [रॅपिड-फायर प्रश्नोत्तरे — अंदाजे 1 मिनिट] मला सर्वात जास्त विचारल्या जाणाऱ्या प्रश्नांवरून जाऊ द्या. मी क्लाउड-मॅनेज्ड AP प्लॅटफॉर्मवर 802.1X चालवू शकतो का? होय — Meraki, Aruba Central, आणि Ruckus Cloud सर्व याला सपोर्ट करतात. तुम्ही क्लाउड डॅशबोर्डमध्ये RADIUS सर्व्हर तपशील कॉन्फिगर करता आणि APs EAP प्रॉक्सींग हाताळतात. मला ॲक्टिव्ह डिरेक्टरीची आवश्यकता आहे का? नाही. FreeRADIUS LDAP, SQL डेटाबेसेस, फ्लॅट फाइल्स किंवा अगदी REST APIs विरुद्ध ऑथेंटिकेट करू शकते. परंतु NPS द्वारे AD इंटिग्रेशन हा आतापर्यंतचा सर्वात सामान्य एंटरप्राइझ मार्ग आहे. 802.1X ला सपोर्ट न करणाऱ्या IoT डिव्हाइसेसचे काय? फॉलबॅक म्हणून MAC ऑथेंटिकेशन बायपास — MAB — वापरा. डिव्हाइसचा MAC ॲड्रेस RADIUS ला युझरनेम आणि पासवर्ड म्हणून पाठवला जातो. हे EAP इतके सुरक्षित नाही, परंतु हे तुम्हाला IoT डिव्हाइसेसना प्रतिबंधित VLAN मध्ये ठेवून ऑनबोर्ड करू देते. 802.1X WPA3 सोबत काम करते का? होय. WPA3-Enterprise हे मूलत: 802.1X ऑथेंटिकेशनसह WPA3 आहे. हे मजबूत एन्क्रिप्शन जोडते — उच्च-सुरक्षा मोडमध्ये 192-बिट — आणि नवीन डिप्लॉयमेंट्ससाठी शिफारस केलेले स्टँडर्ड आहे. [सारांश आणि पुढील पायऱ्या — अंदाजे 1 मिनिट] तर हे सर्व एकत्र आणण्यासाठी: 802.1X हे केवळ एक 'नाइस-टू-हॅव' नाही. संवेदनशील डेटा हाताळणाऱ्या, पेमेंट्स प्रोसेस करणाऱ्या किंवा रेग्युलेटेड वातावरणात काम करणाऱ्या कोणत्याही संस्थेसाठी, ही एंटरप्राइझ WiFi सुरक्षेची बेसलाईन आहे. आर्किटेक्चर सुस्थापित आहे, टूलिंग परिपक्व आहे आणि डिप्लॉयमेंटचा मार्ग स्पष्ट आहे. तुमच्या EAP पद्धतीच्या निवडीपासून सुरुवात करा — जर तुम्हाला त्वरित यश आणि व्यापक सुसंगतता हवी असेल तर PEAP-MSCHAPv2, जर तुमच्याकडे PKI इन्फ्रास्ट्रक्चर असेल आणि सर्वात मजबूत सुरक्षा पोश्चर हवे असेल तर EAP-TLS. तुम्ही एकाही AP ला स्पर्श करण्यापूर्वी तुमचा RADIUS सर्व्हर कॉन्फिगर आणि रिडंडंट करा. तुम्ही लाईव्ह जाण्यापूर्वी ग्रुप पॉलिसी किंवा MDM द्वारे तुमचे सप्लिकंट प्रोफाईल्स पुश करा. आणि तुमचे गेस्ट WiFi पूर्णपणे वेगळे ठेवा — त्या लेयरसाठी उद्देश-निर्मित प्लॅटफॉर्म वापरा. जर तुम्ही मल्टी-व्हेन्यू वातावरण चालवत असाल — हॉटेल्स, रिटेल चेन्स, स्टेडियम्स — तर साइट्सच्या संख्येनुसार गुंतागुंत वाढते, परंतु आर्किटेक्चर बदलत नाही. साइट-लोकल रिडंडन्सीसह सेंट्रलाइज्ड RADIUS आणि तुमच्या डिव्हाइस फ्लीटवर एक सुसंगत MDM-पुश केलेले सप्लिकंट प्रोफाईल ही मुख्य गोष्ट आहे. ऐकल्याबद्दल धन्यवाद. संपूर्ण लेखी मार्गदर्शक, आर्किटेक्चर डायग्राम्स आणि कॉन्फिगरेशन चेकलिस्ट्स purple.ai वर उपलब्ध आहेत. जर तुम्ही 802.1X डिप्लॉयमेंटची योजना आखत असाल आणि तुमच्या वातावरणाच्या तपशीलांबद्दल बोलू इच्छित असाल, तर थेट Purple टीमशी संपर्क साधा.