सामान्य ॲक्सेस पॉईंट प्लॅटफॉर्म्सवर (Cisco, Aruba, Ubiquiti) WPA2-Enterprise कसे कॉन्फिगर करावे

सामान्य ॲक्सेस पॉईंट प्लॅटफॉर्म्सवर WPA2-Enterprise कसे कॉन्फिगर करावे — Cisco, Aruba आणि Ubiquiti एक Purple WiFi इंटेलिजन्स ब्रीफिंग [INTRO — अंदाजे 1 मिनिट] Purple WiFi इंटेलिजन्स सिरीजमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण आमच्या एंटरप्राइझ क्लायंट्सकडून सर्वात जास्त विचारल्या जाणाऱ्या विषयावर थेट बोलणार आहोत: तीन सर्वात जास्त वापरल्या जाणाऱ्या ॲक्सेस पॉईंट प्लॅटफॉर्म्सवर — Cisco, Aruba आणि Ubiquiti — WPA2-Enterprise कसे कॉन्फिगर करावे. तुम्ही 500-खोल्यांच्या हॉटेल ग्रुपचे IT डायरेक्टर असा, राष्ट्रीय रिटेल चेनचे नेटवर्क आर्किटेक्ट असा, किंवा कॉन्फरन्स सेंटर ऑपरेटरचे CTO असा, हे ब्रीफिंग तुमच्यासाठी आहे. आपण केवळ सिद्धांतावर बोलणार नाही. डिप्लॉयमेंटचा निर्णय घेण्यासाठी, त्याची योग्य अंमलबजावणी करण्यासाठी आणि अनुभवी टीम्सनाही अडकवणाऱ्या चुका टाळण्यासाठी तुम्हाला काय माहित असणे आवश्यक आहे, यावर आपण चर्चा करणार आहोत. चला तर मग सुरुवात करूया. [TECHNICAL DEEP-DIVE — अंदाजे 5 मिनिटे] प्रथम, WPA2-Enterprise नेमके काय आहे हे थोडक्यात समजून घेऊया, कारण WPA2-Personal आणि WPA2-Enterprise मध्ये अजूनही बाजारात बरीच गल्लत आहे — आणि कंप्लायन्स आणि रिस्क पोश्चरसाठी हा फरक खूप महत्त्वाचा आहे. WPA2-Personal — ज्या आवृत्तीशी बहुतेक लोक परिचित आहेत — ती एकच प्री-शेअर्ड की वापरते. नेटवर्कवरील प्रत्येकजण समान पासवर्ड वापरतो. होम नेटवर्कसाठी ते ठीक आहे. परंतु व्यावसायिक वातावरणासाठी ते अजिबात स्वीकार्य नाही जिथे तुम्हाला पर-युझर ऑथेंटिकेशन, ऑडिट ट्रेल्स आणि ॲक्सेस त्वरित रद्द करण्याची क्षमता आवश्यक असते. IEEE 802.1X अंतर्गत परिभाषित केलेले WPA2-Enterprise, त्या शेअर्ड की च्या जागी वैयक्तिक ऑथेंटिकेशन एक्सचेंज आणते. प्रत्येक युझर किंवा डिव्हाइस स्वतःचे क्रेडेंशियल्स सादर करते — मग ते युझरनेम आणि पासवर्ड असो, डिजिटल सर्टिफिकेट असो किंवा टोकन असो — आणि नेटवर्क ॲक्सेस मिळण्यापूर्वी ते क्रेडेंशियल्स RADIUS सर्व्हरद्वारे प्रमाणित केले जातात. ॲक्सेस पॉईंट स्वतः कधीही क्रेडेंशियल्स पाहत नाही. तो केवळ ऑथेंटिकेटर म्हणून काम करतो, क्लायंट आणि RADIUS सर्व्हर दरम्यान EAP — Extensible Authentication Protocol — एक्सचेंज पास करतो. हे मूलभूतपणे अधिक सुरक्षित आर्किटेक्चर आहे, आणि पेमेंट कार्ड डेटा हाताळणाऱ्या कोणत्याही वातावरणात PCI DSS कंप्लायन्ससाठी ही मूलभूत आवश्यकता आहे, तसेच वायरलेस नेटवर्क्सवर वैयक्तिक डेटा प्रोसेस करणाऱ्या संस्थांसाठी GDPR अंतर्गत याची जोरदार शिफारस केली जाते. आता, आपण तीन प्लॅटफॉर्म्सबद्दल बोलूया. Cisco पासून सुरुवात करूया. Cisco चा एंटरप्राइझ WiFi पोर्टफोलिओ — प्रामुख्याने Catalyst आणि Meraki लाईन्स — मोठ्या प्रमाणावरील डिप्लॉयमेंट्ससाठी पहिली पसंती आहे. Cisco DNA Center केंद्रीकृत पॉलिसी मॅनेजमेंट प्रदान करते, आणि Meraki डॅशबोर्ड डिस्ट्रिब्युटेड इस्टेट्ससाठी क्लाउड-मॅनेज्ड साधेपणा ऑफर करतो. Cisco Catalyst ॲक्सेस पॉईंटवर WPA2-Enterprise कॉन्फिगर करण्यासाठी, तुम्ही WLC — Wireless LAN Controller — किंवा DNA Center द्वारे काम कराल. मुख्य स्टेप्स आहेत: Security, नंतर AAA, नंतर RADIUS Authentication Servers अंतर्गत तुमचा RADIUS सर्व्हर परिभाषित करा; एक नवीन WLAN प्रोफाईल तयार करा; की मॅनेजमेंट पद्धत म्हणून 802.1X सह सिक्युरिटी पॉलिसी WPA2 वर सेट करा; आणि RADIUS सर्व्हरला त्या WLAN शी बाइंड करा. Cisco वरील एक महत्त्वाचा मुद्दा: तुम्ही ऑथेंटिकेशन सोबत RADIUS अकाउंटिंग देखील कॉन्फिगर करत आहात याची खात्री करा. अकाउंटिंग तुम्हाला पर-सेशन ऑडिट ट्रेल देते जे कंप्लायन्स फ्रेमवर्क्ससाठी आवश्यक आहे. Meraki वर, ही प्रक्रिया आणखी सोपी आहे — Wireless, नंतर SSIDs वर जा, तुमचा टार्गेट SSID निवडा, सिक्युरिटी 'WPA2-Enterprise with my RADIUS server' वर सेट करा, आणि तुमचा RADIUS सर्व्हर IP, पोर्ट — सामान्यतः ऑथेंटिकेशनसाठी 1812 आणि अकाउंटिंगसाठी 1813 — आणि शेअर्ड सिक्रेट एंटर करा. Meraki डॅशबोर्डवरून थेट RADIUS टेस्टिंगला देखील सपोर्ट करते, जे कमिशनिंग दरम्यान अत्यंत उपयुक्त आहे. Aruba कडे वळूया. Aruba Networks, आता HPE चा भाग आहे, हॉस्पिटॅलिटी आणि उच्च शिक्षणामध्ये एक प्रमुख पर्याय आहे. Aruba Central क्लाउड मॅनेजमेंट प्रदान करते, आणि ArubaOS हा अंतर्निहित प्लॅटफॉर्म आहे. Aruba वर, WPA2-Enterprise कॉन्फिगरेशन SSID प्रोफाईलमध्ये असते. तुम्ही एक AAA प्रोफाईल परिभाषित कराल जे तुमच्या RADIUS सर्व्हरचा संदर्भ देते, नंतर ते AAA प्रोफाईल तुमच्या व्हर्च्युअल AP प्रोफाईलला जोडाल. Aruba च्या ClearPass Policy Manager चा येथे विशेष उल्लेख करणे आवश्यक आहे — हे Aruba चे स्वतःचे RADIUS आणि पॉलिसी इंजिन आहे, आणि ते डिव्हाइस प्रोफायलिंग, रोल-बेस्ड ॲक्सेस कंट्रोल आणि गेस्ट ऑनबोर्डिंगच्या बाबतीत महत्त्वपूर्ण क्षमता जोडते. जर तुम्ही कर्मचारी, कंत्राटदार आणि गेस्ट्स या सर्वांना एकाच इन्फ्रास्ट्रक्चरशी कनेक्ट करणारे मिश्र वातावरण चालवत असाल, तर ClearPass तुम्हाला त्यांना योग्यरित्या सेगमेंट करण्यासाठी पॉलिसी ग्रॅन्युलॅरिटी देते. Purple सारख्या प्लॅटफॉर्मद्वारे स्वतंत्र गेस्ट WiFi सोल्यूशन चालवताना कर्मचारी आणि बॅक-ऑफ-हाऊस नेटवर्क्सवर WPA2-Enterprise डिप्लॉय करणाऱ्या हॉटेलसाठी, कर्मचारी ऑथेंटिकेशनसाठी ClearPass सह Aruba चे SSID सेगमेंटेशन हे एक अतिशय उत्तम आर्किटेक्चर आहे. आता Ubiquiti. Ubiquiti च्या UniFi प्लॅटफॉर्मने SMB आणि मिड-मार्केट स्पेसमध्ये — आणि वाढत्या प्रमाणात बुटीक हॉस्पिटॅलिटी आणि रिटेलमध्ये — त्याच्या स्पर्धात्मक किंमतीमुळे आणि खरोखरच सक्षम मॅनेजमेंट इंटरफेसमुळे लक्षणीय पसंती मिळवली आहे. UniFi Network Controller हे असे ठिकाण आहे जिथे तुम्ही मुख्य काम कराल. UniFi वर WPA2-Enterprise कॉन्फिगर करण्यासाठी, Settings, नंतर WiFi वर जा, तुमचा SSID तयार करा किंवा एडिट करा, सिक्युरिटी WPA2 Enterprise वर सेट करा, आणि तुमचे RADIUS प्रोफाईल कॉन्फिगर करा — पुन्हा, IP ॲड्रेस, ऑथेंटिकेशन पोर्ट 1812, अकाउंटिंग पोर्ट 1813 आणि शेअर्ड सिक्रेट. Ubiquiti बाबत एक महत्त्वाचा विचार: काही एंटरप्राइझ प्लॅटफॉर्म्सप्रमाणे यात अंगभूत RADIUS सर्व्हर येत नाही. तुम्हाला बाह्य RADIUS सर्व्हरची आवश्यकता असेल — मग तो Windows Server NPS असो, FreeRADIUS असो किंवा क्लाउड RADIUS सर्व्हिस असो. ही स्वतःहून कोणतीही मर्यादा नाही, परंतु हे एक अवलंबित्व आहे ज्याचे नियोजन करणे आवश्यक आहे. लहान डिप्लॉयमेंट्ससाठी, UniFi Network Application मध्ये एक बेसिक RADIUS सर्व्हर समाविष्ट असतो, परंतु प्रोडक्शन एन्व्हायर्नमेंट्ससाठी मी नेहमी समर्पित RADIUS इन्स्टन्सची शिफारस करेन. सर्व तीन प्लॅटफॉर्म्सवर, EAP पद्धतीची निवड लक्ष देण्यायोग्य आहे. MSCHAPv2 सह PEAP ही सर्वात जास्त वापरली जाणारी पद्धत आहे कारण ती क्लायंट-साइड सर्टिफिकेट्सची आवश्यकता नसताना Active Directory क्रेडेंशियल्ससह कार्य करते. EAP-TLS अधिक सुरक्षित आहे — ते म्युच्युअल सर्टिफिकेट ऑथेंटिकेशन वापरते — परंतु त्यासाठी PKI इन्फ्रास्ट्रक्चर आणि प्रत्येक क्लायंट डिव्हाइसवर सर्टिफिकेट डिप्लॉयमेंट आवश्यक आहे, ज्यामुळे ऑपरेशनल ओव्हरहेड वाढतो. बहुतेक एंटरप्राइझ डिप्लॉयमेंट्ससाठी, योग्यरित्या कॉन्फिगर केलेला RADIUS सर्व्हर आणि क्लायंट साइडवर सर्टिफिकेट व्हॅलिडेशनसह PEAP-MSCHAPv2 हा सुरक्षा आणि ऑपरेशनल मॅनेजेबिलिटीचा योग्य समतोल आहे. [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS — अंदाजे 2 मिनिटे] आता मी तुम्हाला WPA2-Enterprise डिप्लॉयमेंट्समध्ये दिसणारे तीन सर्वात सामान्य फेल्युअर मोड्स आणि ते कसे टाळावे ते सांगतो. पहिला: RADIUS सर्व्हरची उपलब्धता. तुमचा RADIUS सर्व्हर आता प्रत्येक वायरलेस ऑथेंटिकेशनसाठी महत्त्वपूर्ण मार्गावर आहे. जर तो डाऊन झाला, तर कोणीही कनेक्ट होऊ शकत नाही. याचा अर्थ तुम्हाला RADIUS रिडंडन्सीची आवश्यकता आहे — किमान प्रत्येक ॲक्सेस पॉईंटवर प्रायमरी आणि सेकंडरी RADIUS सर्व्हर कॉन्फिगर केलेला असावा. बहुतेक प्लॅटफॉर्म्स याला नेटिव्हली सपोर्ट करतात. Cisco वर, तुम्ही फेलओव्हरसह RADIUS सर्व्हर ग्रुप्स कॉन्फिगर करू शकता. Aruba वर, AAA प्रोफाईल कॉन्फिगरेबल रिट्राय आणि टाइमआउट व्हॅल्यूजसह एकाधिक RADIUS सर्व्हर्सना सपोर्ट करते. Ubiquiti वर, तुम्ही RADIUS प्रोफाईलमध्ये सेकंडरी RADIUS सर्व्हर निर्दिष्ट करू शकता. ही स्टेप वगळू नका. दुसरा: सर्टिफिकेट व्हॅलिडेशन. मी रिव्ह्यू केलेल्या डिप्लॉयमेंट्सपैकी धक्कादायक प्रमाणात क्लायंट डिव्हाइसेस कोणतेही RADIUS सर्व्हर प्रमाणपत्र स्वीकारण्यासाठी कॉन्फिगर केलेले असतात. हे सिक्युरिटी मॉडेल पूर्णपणे कमकुवत करते — हे तुम्हाला evil twin हल्ल्यांसाठी खुले करते जिथे एक रोग ॲक्सेस पॉईंट तुमच्या नेटवर्कची तोतयागिरी करतो आणि क्रेडेंशियल्स चोरतो. विश्वसनीय CA कडून तुमचे RADIUS सर्व्हर प्रमाणपत्र कॉन्फिगर करा, आणि ते प्रमाणपत्र प्रमाणित करण्यासाठी तुमचे क्लायंट सप्लिकंट्स कॉन्फिगर करा. Windows वर, हे Group Policy द्वारे केले जाते. iOS आणि Android वर, हे MDM प्रोफाईल्सद्वारे हाताळले जाते. संवेदनशील डेटा हाताळणाऱ्या कोणत्याही वातावरणासाठी हे तडजोड न करण्यायोग्य आहे. तिसरा: VLAN असाइनमेंट. WPA2-Enterprise डायनॅमिक VLAN असाइनमेंट सक्षम करते — RADIUS सर्व्हर Access-Accept मेसेजमध्ये VLAN ॲट्रिब्यूट परत करू शकतो, प्रत्येक ऑथेंटिकेटेड युझरला त्यांच्या ओळखीच्या किंवा भूमिकेच्या आधारावर योग्य नेटवर्क सेगमेंटमध्ये ठेवू शकतो. हे 802.1X आर्किटेक्चरच्या सर्वात शक्तिशाली वैशिष्ट्यांपैकी एक आहे, आणि ते वारंवार अनकॉन्फिगर केलेले सोडले जाते. जर तुम्ही कर्मचारी, व्यवस्थापन आणि IoT डिव्हाइसेस सर्व एकाच फिजिकल इन्फ्रास्ट्रक्चरवर असलेले व्हेन्यू चालवत असाल, तर डायनॅमिक VLAN असाइनमेंटद्वारे तुम्ही एकाधिक SSIDs व्यवस्थापित न करता नेटवर्क सेगमेंटेशन लागू करता. Purple इंटिग्रेशनच्या बाजूने: जर तुम्ही तुमच्या कर्मचारी आणि ऑपरेशनल नेटवर्क्ससाठी WPA2-Enterprise डिप्लॉय करत असाल, आणि अभ्यागतांच्या कनेक्टिव्हिटीसाठी Purple चे गेस्ट WiFi प्लॅटफॉर्म चालवत असाल, तर या दोन सिस्टीम्स अतिशय उत्तम प्रकारे एकत्र राहतात. Purple गेस्ट ऑथेंटिकेशन, डेटा कॅप्चर आणि ॲनालिटिक्स लेयर हाताळते — ज्यामध्ये WiFi ॲनालिटिक्स आणि फूटफॉल इंटेलिजन्स समाविष्ट आहे जे व्हेन्यू ऑपरेटर्स ऑपरेशनल निर्णयांसाठी वापरतात — तर तुमचे WPA2-Enterprise इन्फ्रास्ट्रक्चर कॉर्पोरेट नेटवर्क सुरक्षित करते. ॲक्सेस पॉईंट स्तरावर क्लीन SSID आणि VLAN सेपरेशन ही मुख्य गोष्ट आहे, ज्याला तिन्ही प्लॅटफॉर्म्स सपोर्ट करतात. [RAPID-FIRE Q&A — अंदाजे 1 मिनिट] नियमितपणे विचारल्या जाणाऱ्या काही प्रश्नांची उत्तरे देऊया. मी एकाच ॲक्सेस पॉईंट्सवर WPA2-Enterprise आणि गेस्ट नेटवर्क चालवू शकतो का? होय, नक्कीच. तिन्ही प्लॅटफॉर्म्स प्रति रेडिओ एकाधिक SSIDs ला सपोर्ट करतात, प्रत्येकाची स्वतंत्र सिक्युरिटी पॉलिसी असते. तुमचा कॉर्पोरेट SSID WPA2-Enterprise चालवतो; तुमचा गेस्ट SSID योग्य आयसोलेशनसह Purple च्या Captive Portal द्वारे चालू शकतो. WPA2-Enterprise डिप्लॉय करण्यासाठी मला माझे विद्यमान ॲक्सेस पॉईंट्स बदलण्याची आवश्यकता आहे का? बहुधा नाही. एंटरप्राइझ-ग्रेड ॲक्सेस पॉईंट्सवर WPA2-Enterprise ला एका दशकाहून अधिक काळापासून सपोर्ट आहे. जर तुमचे हार्डवेअर आठ वर्षांपेक्षा कमी जुने असेल आणि सध्याचे फर्मवेअर चालवत असेल, तर ते 802.1X ला सपोर्ट करेल. WPA2-Enterprise आणि WPA3-Enterprise मध्ये काय फरक आहे? WPA3-Enterprise Suite B क्रिप्टोग्राफी वापरून 192-बिट सिक्युरिटी मोड जोडते, जे सरकारी आणि संरक्षण वातावरणासाठी संबंधित आहे. बहुतेक व्यावसायिक डिप्लॉयमेंट्ससाठी, मजबूत EAP पद्धतींसह WPA2-Enterprise हेच स्टँडर्ड राहते. नवीन डिप्लॉयमेंट्ससाठी WPA3 ट्रान्झिशनचे नियोजन करणे योग्य आहे, परंतु बहुतेक संस्थांसाठी हे तातडीचे मायग्रेशन नाही. क्लाउड RADIUS हा एक व्यवहार्य पर्याय आहे का? होय, आणि वाढत्या प्रमाणात. क्लाउडमधील Cisco ISE, सर्व्हिस म्हणून Aruba ClearPass, किंवा JumpCloud आणि Foxpass सारखे थर्ड-पार्टी पर्याय मॅनेज्ड सर्व्हिस म्हणून RADIUS प्रदान करतात, जे इन्फ्रास्ट्रक्चर ओव्हरहेड दूर करते. डिस्ट्रिब्युटेड इस्टेट्ससाठी — 200 लोकेशन्स असलेल्या रिटेल चेनचा विचार करा — क्लाउड RADIUS ऑपरेशनल गुंतागुंत लक्षणीयरीत्या कमी करू शकते. [SUMMARY AND NEXT STEPS — अंदाजे 1 मिनिट] थोडक्यात सांगायचे तर: कोणत्याही एंटरप्राइझ वायरलेस डिप्लॉयमेंटसाठी WPA2-Enterprise ही तडजोड न करण्यायोग्य बेसलाईन आहे. Cisco, Aruba आणि Ubiquiti वरील कॉन्फिगरेशन प्रक्रिया समान मूलभूत पॅटर्न फॉलो करते — तुमचा RADIUS सर्व्हर परिभाषित करा, 802.1X की मॅनेजमेंटसह तुमचा SSID तयार करा, तुमची EAP पद्धत निवडा आणि लाईव्ह जाण्यापूर्वी टेस्ट करा. फरक फक्त मॅनेजमेंट इंटरफेसेस आणि प्रत्येक प्लॅटफॉर्मच्या सभोवतालच्या इकोसिस्टीम टूल्समध्ये आहे. तीन गोष्टी योग्य करणे आवश्यक आहे: RADIUS रिडंडन्सी, क्लायंट्सवर सर्टिफिकेट व्हॅलिडेशन आणि डायनॅमिक VLAN असाइनमेंट. या तीन गोष्टी योग्य करा आणि तुमच्याकडे एक भक्कम, कंप्लायंट, ऑडिटेबल वायरलेस सिक्युरिटी पोश्चर असेल. तुमच्या पुढील स्टेप्ससाठी: जर तुम्ही प्लॅटफॉर्म्सचे मूल्यांकन करत असाल, तर सोबतच्या मार्गदर्शकातील व्हेंडर कम्पॅरिझन फ्रेमवर्क वापरा. जर तुम्ही डिप्लॉय करण्यासाठी तयार असाल, तर प्रत्येक प्लॅटफॉर्मसाठी स्टेप-बाय-स्टेप कॉन्फिगरेशन वॉकथ्रू इम्प्लिमेंटेशन सेक्शनमध्ये आहेत. आणि जर तुम्ही तुमच्या एंटरप्राइझ नेटवर्कसोबत गेस्ट WiFi कसे बसेल याचा विचार करत असाल, तर Purple प्लॅटफॉर्म डॉक्युमेंटेशन इंटिग्रेशन आर्किटेक्चरचे तपशीलवार वर्णन करते. ऐकल्याबद्दल धन्यवाद. मी तुम्हाला पुढील ब्रीफिंगमध्ये भेटेन.