eduroam आणि 802.1X: उच्च शिक्षणासाठी सुरक्षित WiFi प्रमाणीकरण

PODCAST SCRIPT: eduroam आणि 802.1X — उच्च शिक्षणासाठी सुरक्षित WiFi प्रमाणीकरण Runtime: approximately 10 minutes Voice: UK English, male, senior consultant tone — confident, conversational, authoritative --- [INTRO — 1 minute] पुन्हा स्वागत आहे. मी पुढील दहा मिनिटे तुम्हाला eduroam आणि 802.1X बद्दल माहिती देणार आहे — ते काय आहेत, ते प्रत्यक्षात कसे कार्य करतात आणि तुम्ही ते तैनात करण्यापूर्वी किंवा समाकलित करण्यापूर्वी तुमच्या टीमला काय माहित असणे आवश्यक आहे. जर तुम्ही विद्यापीठ, महाविद्यालय किंवा संशोधन संस्थेतील आयटी व्यवस्थापक, नेटवर्क आर्किटेक्ट किंवा CTO असाल — किंवा जर तुम्ही व्हेन्यू ऑपरेटर असाल ज्याला तुमचे शैक्षणिक अभ्यागत तुमच्या वायरलेस इन्फ्रास्ट्रक्चरकडून काय अपेक्षा करत आहेत हे समजून घ्यायचे असेल — तर हे ब्रीफिंग तुमच्यासाठी आहे. मोठ्या चित्रापासून सुरुवात करूया. eduroam म्हणजे "education roaming." ही एक जागतिक WiFi रोमिंग सेवा आहे जी सदस्य संस्थांमधील विद्यार्थी, संशोधक आणि कर्मचाऱ्यांना कोणत्याही सहभागी ठिकाणी इंटरनेटशी कनेक्ट होऊ देते — स्वयंचलितपणे, सुरक्षितपणे, त्यांच्या होम संस्थेच्या क्रेडेंशियल्सचा वापर करून. कोणतेही अतिथी पोर्टल्स नाहीत. कोणतेही व्हाउचर कोड नाहीत. फ्रंट डेस्कला पासवर्ड विचारण्याची गरज नाही. हे 2003 पासून चालू आहे, आता ते 100 पेक्षा जास्त देशांमधील 10,000 हून अधिक संस्थांना कव्हर करते आणि जगभरातील उच्च शिक्षणातील कॅम्पस वायरलेस नेटवर्किंगसाठी हे डी फॅक्टो मानक आहे. जर तुमची संस्था विद्यापीठांशी जोडलेली असेल — मग तुम्ही कॅम्पसजवळील हॉटेल असाल, शैक्षणिक इव्हेंट्स आयोजित करणारे कॉन्फरन्स सेंटर असाल किंवा विद्यापीठाच्या शहरातील सार्वजनिक वाचनालय असाल — eduroam समजून घेणे तुमच्या नेटवर्क धोरणाशी थेट संबंधित आहे. --- [TECHNICAL DEEP-DIVE — 5 minutes] ठीक आहे. आता मेकॅनिक्समध्ये जाऊया. eduroam हे IEEE 802.1X वर तयार केले आहे — पोर्ट-आधारित नेटवर्क ऍक्सेस कंट्रोल मानक. 802.1X डिव्हाइसेसना नेटवर्कमध्ये प्रवेश देण्यापूर्वी प्रमाणित करण्यासाठी एक फ्रेमवर्क परिभाषित करते. हे मूळतः वायर्ड इथरनेटसाठी डिझाइन केले गेले होते परंतु ते वायरलेसवर उत्तम प्रकारे मॅप होते आणि ज्याला आपण WPA2-Enterprise किंवा WPA3-Enterprise सुरक्षा म्हणतो त्याचा हा पाया आहे. 802.1X मॉडेलचे तीन घटक आहेत. पहिला, सप्लिकंट — हे कनेक्ट होण्याचा प्रयत्न करणारे डिव्हाइस आहे. विद्यार्थ्याचा लॅपटॉप, संशोधकाचा फोन. दुसरा, ऑथेंटिकेटर — हा तुमचा नेटवर्क ऍक्सेस पॉइंट किंवा मॅनेज्ड स्विच आहे. तो सप्लिकंट आणि उर्वरित नेटवर्कच्या दरम्यान बसतो आणि गेटकीपर म्हणून काम करतो. तिसरा, ऑथेंटिकेशन सर्व्हर — जवळजवळ नेहमीच RADIUS सर्व्हर. RADIUS म्हणजे रिमोट ऑथेंटिकेशन डायल-इन यूजर सर्व्हिस. हा तो घटक आहे जो प्रत्यक्षात क्रेडेंशियल्स प्रमाणित करतो. हँडशेक कसे कार्य करते ते येथे आहे. विद्यार्थ्याचे डिव्हाइस वायरलेस ऍक्सेस पॉइंटशी जोडले जाते. ऍक्सेस पॉइंट अद्याप पूर्ण नेटवर्क ऍक्सेस देत नाही — तो नियंत्रित पोर्ट उघडतो, परंतु केवळ EAP ट्रॅफिकसाठी. EAP म्हणजे एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल. ऍक्सेस पॉइंट डिव्हाइस आणि RADIUS सर्व्हर दरम्यान EAP संभाषण प्रॉक्सी करतो. RADIUS सर्व्हर डिव्हाइसला आव्हान देतो, डिव्हाइस क्रेडेंशियल्ससह प्रतिसाद देते — सामान्यतः वापरकर्तानाव आणि पासवर्ड, किंवा प्रमाणपत्र — आणि जर RADIUS सर्व्हर समाधानी असेल, तर तो Access-Accept संदेश परत पाठवतो. त्यानंतर ऍक्सेस पॉइंट पूर्ण नेटवर्क पोर्ट उघडतो. चांगल्या प्रकारे कॉन्फिगर केलेल्या डिप्लॉयमेंटमध्ये ही संपूर्ण देवाणघेवाण दोन सेकंदांपेक्षा कमी वेळेत होते. आता, eduroam यावर कुठे लेयर करते? eduroam श्रेणीबद्ध RADIUS प्रॉक्सी इन्फ्रास्ट्रक्चर वापरते. प्रत्येक सहभागी संस्था स्वतःचा RADIUS सर्व्हर चालवते — ज्याला आयडेंटिटी प्रोव्हायडर किंवा IdP म्हणतात. जेव्हा, समजा, मँचेस्टर विद्यापीठातील एखादा विद्यार्थी इम्पीरियल कॉलेज लंडनला भेट देतो आणि eduroam SSID शी कनेक्ट होतो, तेव्हा त्यांचे डिव्हाइस username@manchester.ac.uk फॉरमॅटमध्ये त्यांचे क्रेडेंशियल्स पाठवते. इम्पीरियलचा RADIUS सर्व्हर रेल्म पाहतो — जो @ चिन्हाच्या नंतरचा भाग आहे — आणि प्रमाणीकरण विनंती राष्ट्रीय RADIUS सर्व्हरकडे प्रॉक्सी करतो, जो यूकेमध्ये Jisc द्वारे चालवला जातो, जे राष्ट्रीय संशोधन आणि शिक्षण नेटवर्क आहे. Jisc नंतर मँचेस्टर विद्यापीठाच्या RADIUS सर्व्हरकडे विनंती राउट करते, जे क्रेडेंशियल्स प्रमाणित करते आणि Accept किंवा Reject परत पाठवते. संपूर्ण साखळी मिलिसेकंदांमध्ये पूर्ण होते. ही प्रॉक्सी साखळीच eduroam ला संस्थांमधील कोणत्याही पूर्व-सामायिक रहस्यांशिवाय संस्थात्मक सीमा ओलांडून कार्य करण्यास सक्षम करते. साखळीतील प्रत्येक टप्पा केवळ त्याच्या जवळच्या शेजाऱ्यासोबत सामायिक RADIUS रहस्य वापरतो. विद्यार्थ्याचा प्रत्यक्ष पासवर्ड होम संस्थेच्या RADIUS सर्व्हरच्या बाहेर कधीही जात नाही — तो EAP टनेलद्वारे एंड-टू-एंड संरक्षित असतो. EAP पद्धतींबद्दल बोलायचे झाल्यास — येथेच अनेक डिप्लॉयमेंट्स चुकीच्या ठरतात, त्यामुळे लक्ष द्या. eduroam मधील सर्वात सामान्य EAP पद्धती PEAP — प्रोटेक्टेड EAP — आणि EAP-TLS आहेत. PEAP TLS टनेलच्या आत इनर ऑथेंटिकेशन पद्धत, सामान्यतः MSCHAPv2, गुंडाळते. याला RADIUS सर्व्हरवर सर्व्हर-साइड प्रमाणपत्राची आवश्यकता असते, परंतु क्लायंटला फक्त वापरकर्तानाव आणि पासवर्डची आवश्यकता असते. EAP-TLS हा अधिक सुरक्षित पर्याय आहे — तो परस्पर प्रमाणपत्र प्रमाणीकरण वापरतो, म्हणजे सर्व्हर आणि क्लायंट दोन्ही प्रमाणपत्रे सादर करतात. मोठ्या प्रमाणावर तैनात करणे कठीण आहे कारण तुम्हाला क्लायंट प्रमाणपत्रे जारी करण्यासाठी PKI ची आवश्यकता असते, परंतु ते क्रेडेंशियल फिशिंगपासून पूर्णपणे सुरक्षित आहे. अनेक संस्था ज्या महत्त्वपूर्ण सुरक्षा आवश्यकतेमध्ये चूक करतात ती म्हणजे क्लायंट बाजूकडील प्रमाणपत्र प्रमाणीकरण. जेव्हा एखादे डिव्हाइस PEAP वापरून eduroam शी कनेक्ट होते, तेव्हा डिव्हाइसने क्रेडेंशियल्स सबमिट करण्यापूर्वी RADIUS सर्व्हरचे प्रमाणपत्र सत्यापित करणे आवश्यक आहे. जर डिव्हाइस कोणतेही प्रमाणपत्र स्वीकारण्यासाठी चुकीचे कॉन्फिगर केले असेल, तर हल्लेखोर eduroam SSID ब्रॉडकास्ट करणारा रोग ऍक्सेस पॉइंट उभा करू शकतो, सेल्फ-साइंड प्रमाणपत्र सादर करू शकतो आणि क्रेडेंशियल्स गोळा करू शकतो. हा एक ज्ञात हल्ला वेक्टर आहे. यावरील उपाय म्हणजे तुमचे सप्लिकंट प्रोफाइल्स कॉन्फिगर करणे — मॅनेज्ड डिव्हाइसेससाठी MDM द्वारे, किंवा वैयक्तिक डिव्हाइसेससाठी eduroam कॉन्फिगरेशन असिस्टंट टूल, ज्याला CAT म्हणून ओळखले जाते, द्वारे — अपेक्षित सर्टिफिकेट ऑथॉरिटी आणि सर्व्हरचे नाव पिन करण्यासाठी. मानकांच्या दृष्टिकोनातून, eduroam डिप्लॉयमेंट्सनी eduroam पॉलिसी सर्व्हिस डेफिनेशनचे पालन करणे अपेक्षित आहे, जे सर्व RADIUS ओव्हर TLS कनेक्शन्ससाठी TLS 1.2 किंवा उच्च अनिवार्य करते, EAP-MD5 किंवा LEAP सारख्या कमकुवत EAP पद्धतींच्या वापरावर बंदी घालते आणि शक्य असेल तिथे सर्व RADIUS प्रॉक्सी कनेक्शन्स साध्या UDP RADIUS ऐवजी RadSec — RADIUS ओव्हर TLS — वापरणे आवश्यक करते. हे यूकेमधील NCSC मार्गदर्शन आणि यूएसमधील NIST SP 800-120 शी संरेखित आहे. लक्षात घेण्यासारखा आणखी एक तांत्रिक मुद्दा: VLAN असाइनमेंट. चांगल्या प्रकारे आर्किटेक्ट केलेल्या eduroam डिप्लॉयमेंटमध्ये, RADIUS Access-Accept प्रतिसादामध्ये VLAN ॲट्रिब्यूट्स समाविष्ट असतात जे ऍक्सेस पॉइंटला कनेक्ट होणाऱ्या डिव्हाइसला कोणत्या VLAN वर नियुक्त करायचे ते सांगतात. हे तुम्हाला ट्रॅफिक वेगळे करू देते — भेट देणाऱ्या विद्यार्थ्यांना केवळ इंटरनेट ऍक्सेस असलेल्या प्रतिबंधित VLAN वर ठेवणे, तर तुमचे स्वतःचे कर्मचारी अंतर्गत नेटवर्कवर राउट केले जातात. अनुपालनासाठी हे आवश्यक आहे, विशेषतः जर तुम्ही PCI DSS च्या अधीन असाल किंवा संशोधन डेटा नेटवर्क्स आणि सामान्य इंटरनेट ट्रॅफिकमध्ये वेगळेपण राखण्याची आवश्यकता असेल. --- [IMPLEMENTATION RECOMMENDATIONS AND PITFALLS — 2 minutes] मी तुम्हाला व्यावहारिक मार्गदर्शन देतो. जर तुम्ही पहिल्यांदाच eduroam तैनात करत असाल, तर तुमचा पहिला कॉल तुमच्या राष्ट्रीय NREN ला असावा — यूकेमध्ये ते Jisc आहे, आयर्लंडमध्ये HEAnet, यूएसमध्ये Internet2. ते फेडरेशन सदस्यत्व हाताळतात आणि तुम्हाला RADIUS रेल्म नियुक्त करतील. तुम्ही तुमच्या राष्ट्रीय फेडरेशनचे सदस्य असल्याशिवाय eduroam मध्ये सहभागी होऊ शकत नाही. तुमची इन्फ्रास्ट्रक्चर चेकलिस्ट: तुम्हाला 802.1X-सक्षम ऍक्सेस पॉइंट्सची आवश्यकता आहे — Cisco, Aruba, Juniper, Ruckus किंवा Ubiquiti UniFi मधील कोणतेही एंटरप्राइझ-ग्रेड किट हे करेल. तुम्हाला RADIUS सर्व्हरची आवश्यकता आहे — FreeRADIUS हे ओपन-सोर्स मानक आहे, किंवा तुम्ही Microsoft NPS, Cisco ISE, किंवा Aruba ClearPass वापरू शकता. तुम्हाला तुमच्या RADIUS सर्व्हरसाठी eduroam समुदायाद्वारे विश्वासार्ह असलेल्या CA कडून वैध TLS प्रमाणपत्राची आवश्यकता आहे — सामान्यतः तुमच्या संस्थेच्या PKI कडील प्रमाणपत्र किंवा eduroam मंजूर सूचीवरील व्यावसायिक CA. मी पाहतो ते तीन सर्वात सामान्य डिप्लॉयमेंट अपयश आहेत: पहिले, प्रमाणपत्र मिसकॉन्फिगरेशन — एकतर RADIUS प्रमाणपत्र कालबाह्य झाले आहे, किंवा क्लायंट सप्लिकंट प्रोफाइल्स योग्यरित्या पिन केलेले नाहीत. दुसरे, RADIUS प्रॉक्सी टाइमआउट्स — जर तुमच्या अपस्ट्रीम NREN कनेक्शनमध्ये लेटन्सी समस्या असतील, तर प्रमाणीकरण टाइम आउट होईल आणि वापरकर्त्यांना कनेक्शन अपयश दिसेल जे क्रेडेंशियल त्रुटींसारखे दिसते. तिसरे, VLAN मिसकॉन्फिगरेशन — भेट देणारे वापरकर्ते चुकीच्या नेटवर्क सेगमेंटवर पोहोचतात, एकतर त्यांना इंटरनेट ऍक्सेस मिळत नाही किंवा, त्याहून वाईट, त्यांना अंतर्गत संसाधनांचा ऍक्सेस मिळतो जो त्यांनी पाहू नये. क्लायंट बाजूला, तुमच्या MDM प्लॅटफॉर्मद्वारे सर्व मॅनेज्ड डिव्हाइसेसवर eduroam CAT प्रोफाइल्स तैनात करा. वैयक्तिक डिव्हाइसेससाठी, CAT इंस्टॉलर लिंक ठळकपणे प्रकाशित करा. हे एक पाऊल बहुतांश सपोर्ट तिकिटे काढून टाकते. जी ठिकाणे उच्च शिक्षण संस्था नाहीत परंतु eduroam ऍक्सेस देऊ इच्छितात — कॉन्फरन्स सेंटर्स, हॉटेल्स आणि तत्सम — त्यांच्यासाठी या प्रक्रियेला eduroam व्हिजिटर ऍक्सेस किंवा eVA म्हणतात. हे गैर-सदस्य संस्थांना पूर्ण सदस्य न होता eduroam SSID होस्ट करण्याची आणि फेडरेशनला प्रमाणीकरण प्रॉक्सी करण्याची अनुमती देते. जर तुम्ही नियमितपणे शैक्षणिक परिषदा किंवा विद्यापीठाचे इव्हेंट्स आयोजित करत असाल तर याची चौकशी करणे योग्य आहे. --- [RAPID-FIRE Q&A — 1 minute] मला नियमितपणे विचारले जाणारे त्वरित प्रश्न. "eduroam आमचे Guest WiFi पूर्णपणे बदलू शकते का?" नाही. eduroam केवळ त्या वापरकर्त्यांसाठी कार्य करते ज्यांच्याकडे सदस्य संस्थेचे क्रेडेंशियल्स आहेत. तुम्हाला इतर सर्वांसाठी — अभ्यागत, कंत्राटदार, सामान्य जनता — एक स्वतंत्र Guest WiFi सोल्यूशन आवश्यक आहे. "eduroam GDPR चे पालन करते का?" होय, काही अटींसह. फेडरेशन आर्किटेक्चरचा अर्थ असा आहे की तुमची संस्था प्रमाणीकरण डेटावर प्रक्रिया करते, परंतु तुम्हाला हे सुनिश्चित करणे आवश्यक आहे की तुमच्या गोपनीयता सूचनांमध्ये हे समाविष्ट आहे आणि तुमचे RADIUS लॉग योग्यरित्या हाताळले जातात. "आम्ही eduroam सह WPA3 वापरू शकतो का?" होय. WPA3-Enterprise 802.1X शी पूर्णपणे सुसंगत आहे आणि नवीन डिप्लॉयमेंट्ससाठी शिफारस केलेले मानक आहे. हे उच्च-सुरक्षा वातावरणासाठी 192-बिट मोड एन्क्रिप्शन जोडते. "eduroam आणि OpenRoaming मध्ये काय फरक आहे?" OpenRoaming हा वायरलेस ब्रॉडबँड अलायन्सचा एक व्यापक उद्योग उपक्रम आहे जो समान 802.1X आणि RADIUS प्रॉक्सी आर्किटेक्चर वापरतो परंतु रोमिंगला शिक्षणाच्या पलीकडे व्यावसायिक ठिकाणांपर्यंत विस्तारित करतो. Purple सह काही प्लॅटफॉर्म्स, त्यांच्या Guest WiFi ऑफरिंगचा भाग म्हणून OpenRoaming ला समर्थन देतात. --- [SUMMARY AND NEXT STEPS — 1 minute] थोडक्यात सांगायचे तर. eduroam ही 802.1X आणि श्रेणीबद्ध RADIUS प्रॉक्सी इन्फ्रास्ट्रक्चरवर तयार केलेली एक परिपक्व, चांगल्या प्रकारे नियंत्रित, जागतिक स्तरावर तैनात केलेली WiFi रोमिंग सेवा आहे. हे प्रति-वापरकर्ता प्रमाणीकरण, मजबूत एन्क्रिप्शन आणि 10,000-अधिक संस्थांमध्ये अखंड रोमिंग प्रदान करते — सामायिक पासवर्ड किंवा Captive Portal शिवाय. कॅम्पस वायरलेस तैनात किंवा अपग्रेड करणाऱ्या आयटी टीम्ससाठी: जिथे तुमचे PKI समर्थन देऊ शकते तिथे PEAP पेक्षा EAP-TLS ला प्राधान्य द्या, सर्व क्लायंट प्रोफाइल्सवर प्रमाणपत्र प्रमाणीकरणाची सक्ती करा, सर्व RADIUS प्रॉक्सी कनेक्शन्ससाठी RadSec वापरा आणि भेट देणाऱ्या वापरकर्त्यांना समर्पित VLAN मध्ये विभागून ठेवा. व्हेन्यू ऑपरेटर्ससाठी: जर तुम्ही नियमितपणे शैक्षणिक अभ्यागतांचे आयोजन करत असाल, तर eduroam व्हिजिटर ऍक्सेसची चौकशी करा. आणि तुम्ही eduroam तैनात करत असलात किंवा नसलात तरी, तुमचे Guest WiFi इन्फ्रास्ट्रक्चर एंटरप्राइझ-ग्रेड 802.1X तत्त्वांवर तयार केले जावे — सामायिक PSKs वर नाही. जर तुम्हाला यापैकी कोणत्याही गोष्टीवर अधिक सखोल माहिती हवी असेल — RADIUS आर्किटेक्चर, EAP-TLS साठी PKI डिझाइन, किंवा Purple सारखे प्लॅटफॉर्म eduroam आणि OpenRoaming सह कसे समाकलित होतात — तर संपूर्ण लिखित मार्गदर्शकाची लिंक शो नोट्समध्ये दिली आहे. ऐकल्याबद्दल धन्यवाद. पुढच्या वेळेपर्यंत. --- END OF SCRIPT