eduroam आणि 802.1X: उच्च शिक्षणासाठी सुरक्षित WiFi प्रमाणीकरण

PODCAST SCRIPT: eduroam आणि 802.1X — उच्च शिक्षणासाठी सुरक्षित WiFi प्रमाणीकरण चालू वेळ: अंदाजे १० मिनिटे आवाज: UK English, पुरुष, वरिष्ठ सल्लागार टोन — आत्मविश्वासू, संभाषणात्मक, अधिकृत --- [प्रस्तावना — १ मिनिट] पुन्हा स्वागत आहे. मी पुढील दहा मिनिटे तुम्हाला eduroam आणि 802.1X बद्दल सविस्तर माहिती देणार आहे — ते काय आहेत, पडद्यामागे ते प्रत्यक्षात कसे कार्य करतात आणि त्यांच्या उपयोजनापूर्वी किंवा एकत्रीकरणापूर्वी तुमच्या टीमला काय माहित असणे आवश्यक आहे. जर तुम्ही विद्यापीठ, कॉलेज किंवा संशोधन संस्थेमध्ये IT मॅनेजर, नेटवर्क आर्किटेक्ट किंवा CTO असाल — किंवा जर तुम्ही एखादे ठिकाण चालवत असाल आणि तुमचे शैक्षणिक अभ्यागत तुमच्या वायरलेस इन्फ्रास्ट्रक्चरकडून काय अपेक्षा ठेवतात हे समजून घ्यायचे असेल — तर ही माहिती तुमच्यासाठीच आहे. चला मोठ्या चित्रापासून सुरुवात करूया. eduroam चा अर्थ "education roaming" असा आहे. ही एक जागतिक WiFi रोमिंग सेवा आहे जी सदस्य संस्थांमधील विद्यार्थी, संशोधक आणि कर्मचाऱ्यांना कोणत्याही सहभागी ठिकाणी इंटरनेटशी कनेक्ट होऊ देते — स्वयंचलितपणे, सुरक्षितपणे, त्यांच्या मूळ संस्थेचे क्रेडेंशियल्स वापरून. कोणतेही अतिथी पोर्टल नाही. कोणतेही व्हाउचर कोड नाहीत. फ्रंट डेस्कला पासवर्ड विचारण्याची गरज नाही. हे २००३ पासून सुरू आहे, आता ते १०० पेक्षा जास्त देशांमधील १०,००० हून अधिक संस्थांमध्ये उपलब्ध आहे, आणि हे जगभरातील उच्च शिक्षणातील कॅम्पस वायरलेस नेटवर्किंगसाठीचे वास्तविक मानक आहे. जर तुमची संस्था विद्यापीठांशी संबंधित असेल — मग तुम्ही कॅम्पसजवळील हॉटेल असाल, शैक्षणिक कार्यक्रमांचे आयोजन करणारे कॉन्फरन्स सेंटर असाल किंवा विद्यापीठ शहरातले सार्वजनिक वाचनालय असाल — eduroam समजून घेणे थेट तुमच्या नेटवर्क धोरणाशी संबंधित आहे. --- [तांत्रिक सखोल माहिती — ५ मिनिटे] बरोबर. आता याच्या तांत्रिक प्रक्रियेमध्ये जाऊया. eduroam हे IEEE 802.1X च्या वर तयार केले गेले आहे — जे पोर्ट-आधारित नेटवर्क ऍक्सेस कंट्रोल मानक आहे. 802.1X डिव्हाइसेसना नेटवर्कमध्ये प्रवेश देण्यापूर्वी त्यांना प्रमाणित करण्यासाठी एक फ्रेमवर्क परिभाषित करते. हे मूळतः वायर्ड इथरनेटसाठी डिझाइन केले गेले होते परंतु ते वायरलेसवर उत्तम प्रकारे लागू होते आणि हेच आपण ज्याला WPA2-Enterprise किंवा WPA3-Enterprise सुरक्षा म्हणतो त्याचा पाया आहे. 802.1X मॉडेलचे तीन घटक आहेत. पहिला, Supplicant — म्हणजेच कनेक्ट करण्याचा प्रयत्न करणारे डिव्हाइस. विद्यार्थ्याचा लॅपटॉप, संशोधकाचा फोन. दुसरा, Authenticator — म्हणजेच तुमचा नेटवर्क ऍक्सेस पॉईंट किंवा मॅनेज्ड स्विच. हे सप्लिकंट आणि उर्वरित नेटवर्कच्या दरम्यान असते आणि गेटकीपर म्हणून कार्य करते. तिसरा, Authentication Server — जवळजवळ नेहमीच एक RADIUS सर्व्हर असतो. RADIUS चा अर्थ Remote Authentication Dial-In User Service असा आहे. हा तो घटक आहे जो प्रत्यक्षात क्रेडेंशियल्स सत्यापित करतो. हँडशेक कसा कार्य करतो ते येथे दिले आहे. विद्यार्थ्याचे डिव्हाइस वायरलेस ऍक्सेस पॉइंटशी जोडले जाते. ऍक्सेस पॉइंट अद्याप पूर्ण नेटवर्क ऍक्सेस देत नाही - तो एक नियंत्रित पोर्ट उघडतो, परंतु केवळ EAP ट्रॅफिकसाठी. EAP म्हणजे एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल (Extensible Authentication Protocol). ऍक्सेस पॉइंट डिव्हाइस आणि RADIUS सर्व्हरमधील EAP संभाषणाचा प्रॉक्सी म्हणून काम करतो. RADIUS सर्व्हर डिव्हाइसला आव्हान देतो, डिव्हाइस क्रेडेन्शियल्ससह प्रतिसाद देते - सामान्यतः युझरनेम आणि पासवर्ड, किंवा प्रमाणपत्र - आणि जर RADIUS सर्व्हरचे समाधान झाले, तर तो Access-Accept संदेश परत पाठवतो. त्यानंतर ऍक्सेस पॉइंट पूर्ण नेटवर्क पोर्ट उघडतो. सुव्यवस्थितपणे कॉन्फिगर केलेल्या डिप्लॉयमेंटमध्ये ही संपूर्ण देवाणघेवाण दोन सेकंदांपेक्षा कमी वेळेत होते. आता, eduroam यावर कसे कार्य करते? eduroam हायली हायब्रिडायझ्ड (hierarchical) RADIUS प्रॉक्सी इन्फ्रास्ट्रक्चर वापरते. प्रत्येक सहभागी संस्था स्वतःचा RADIUS सर्व्हर चालवते - ज्याला आयडेंटिटी प्रोव्हाइडर किंवा IdP म्हटले जाते. जेव्हा मँचेस्टर विद्यापीठातील एखादा विद्यार्थी इम्पीरियल कॉलेज लंडनला भेट देतो आणि eduroam SSID शी कनेक्ट करतो, तेव्हा त्यांचे डिव्हाइस username@manchester.ac.uk या स्वरूपात त्यांचे क्रेडेन्शियल्स पाठवते. इम्पीरियलचा RADIUS सर्व्हर क्षेत्र (realm) पाहतो - जो @ चिन्हाच्या नंतरचा भाग असतो - आणि ऑथेंटिकेशन विनंती राष्ट्रीय RADIUS सर्व्हरकडे प्रॉक्सी करतो, जो UK मध्ये Jisc या राष्ट्रीय संशोधन आणि शिक्षण नेटवर्कद्वारे चालवला जातो. Jisc नंतर ही विनंती मँचेस्टर विद्यापीठाच्या RADIUS सर्व्हरकडे पाठवते, जे क्रेडेन्शियल्स प्रमाणित करते आणि Accept किंवा Reject परत पाठवते. ही संपूर्ण साखळी काही मिलिसेकंदांत पूर्ण होते. ही प्रॉक्सी साखळीच eduroam ला संस्थांमधील कोणत्याही पूर्व-शेअर केलेल्या सीक्रेट्सशिवाय संस्थात्मक सीमांच्या पलीकडे काम करण्यास सक्षम करते. साखळीतील प्रत्येक टप्पा केवळ त्याच्या जवळच्या शेजाऱ्यासह सामायिक केलेला RADIUS सीक्रेट वापरतो. विद्यार्थ्याचा प्रत्यक्ष पासवर्ड कधीही मूळ संस्थेच्या RADIUS सर्व्हरबाहेर जात नाही - तो EAP टनेलद्वारे एंड-टू-एंड संरक्षित असतो. EAP पद्धतींबद्दल सांगायचे तर - येथेच बऱ्याच डिप्लॉयमेंट्समध्ये चुका होतात, त्यामुळे लक्ष द्या. eduroam मधील सर्वात सामान्य EAP पद्धती PEAP - म्हणजेच प्रोटेक्टेड EAP - आणि EAP-TLS आहेत. PEAP एका TLS टनेलमध्ये अंतर्गत ऑथेंटिकेशन पद्धत (सहसा MSCHAPv2) समाविष्ट करते. यासाठी RADIUS सर्व्हरवर सर्व्हर-साइड प्रमाणपत्र आवश्यक असते, परंतु क्लायंटला फक्त युझरनेम आणि पासवर्डची आवश्यकता असते. EAP-TLS हा अधिक सुरक्षित पर्याय आहे - हा म्युच्युअल सर्टिफिकेट ऑथेंटिकेशन वापरतो, म्हणजेच सर्व्हर आणि क्लायंट दोन्ही प्रमाणपत्रे सादर करतात. मोठ्या प्रमाणावर डिप्लॉय करणे हे अधिक कठीण आहे कारण क्लायंट प्रमाणपत्रे जारी करण्यासाठी तुम्हाला PKI ची आवश्यकता असते, परंतु हे क्रेडेन्शियल फिशिंगपासून पूर्णपणे सुरक्षित असते. अनेक संस्था ज्या महत्त्वपूर्ण सुरक्षा आवश्यकतेमध्ये चूक करतात ती म्हणजे क्लायंटच्या बाजूने असणारे सर्टिफिकेट व्हॅलिडेशन (प्रमाणपत्र पडताळणी). जेव्हा एखादे डिव्हाइस PEAP वापरून eduroam शी कनेक्ट होते, तेव्हा क्रेडेंशियल्स सबमिट करण्यापूर्वी त्या डिव्हाइसने RADIUS सर्व्हरचे सर्टिफिकेट सत्यापित केले पाहिजे. जर डिव्हाइसने कोणतेही सर्टिफिकेट स्वीकारण्यासाठी चुकीचे कॉन्फिगरेशन केले असेल, तर एखादा आक्रमणकर्ता eduroam SSID ब्रॉडकास्ट करणारा बनावट ऍक्सेस पॉइंट उभा करू शकतो, स्वतः स्वाक्षरी केलेले सर्टिफिकेट सादर करू शकतो आणि क्रेडेंशियल्स चोरू शकतो. हा एक ज्ञात हल्ला प्रकार आहे. यावरील उपाय म्हणजे तुमच्या सप्लिकंट प्रोफाइल्स कॉन्फिगर करणे होय - व्यवस्थापित डिव्हाइसेससाठी MDM द्वारे किंवा वैयक्तिक डिव्हाइसेससाठी eduroam कॉन्फिगरेशन असिस्टंट टूल, ज्याला CAT म्हणतात, द्वारे - जेणेकरून अपेक्षित सर्टिफिकेट अथॉरिटी आणि सर्व्हरचे नाव पिन केले जाईल. मानकांच्या दृष्टिकोनातून, eduroam उपयोजन हे eduroam पॉलिसी सर्व्हिस डेफिनेशनशी सुसंगत असणे अपेक्षित आहे, जे सर्व RADIUS over TLS कनेक्शन्ससाठी TLS 1.2 किंवा त्याहून अधिक अनिवार्य करते, EAP-MD5 किंवा LEAP सारख्या कमकुवत EAP पद्धतींच्या वापरास प्रतिबंधित करते आणि सर्व RADIUS प्रॉक्सी कनेक्शन्ससाठी साध्या UDP RADIUS ऐवजी शक्य असेल तिथे RadSec - RADIUS over TLS - वापरण्याची आवश्यकता असते. हे UK मधील NCSC मार्गदर्शक तत्त्वांशी आणि US मधील NIST SP 800-120 शी सुसंगत आहे. आणखी एक तांत्रिक मुद्दा लक्षात घेण्यासारखा आहे: VLAN असाइनमेंट. एका चांगल्या प्रकारे तयार केलेल्या eduroam उपयोजनात, RADIUS Access-Accept प्रतिसादामध्ये VLAN ॲट्रिब्युट्स समाविष्ट असतात जे ऍक्सेस पॉइंटला सांगतात की कनेक्ट होणाऱ्या डिव्हाइसला कोणते VLAN नियुक्त करायचे आहे. हे तुम्हाला ट्रॅफिकचे वर्गीकरण करू देते - भेट देणाऱ्या विद्यार्थ्यांना केवळ इंटरनेट-ऍक्सेस असलेल्या मर्यादित VLAN वर ठेवणे, तर तुमच्या स्वतःच्या कर्मचाऱ्यांना अंतर्गत नेटवर्कवर पाठवणे. हे अनुपालनासाठी आवश्यक आहे, विशेषतः जर तुम्ही PCI-DSS च्या अधीन असाल किंवा तुम्हाला संशोधन डेटा नेटवर्क आणि सामान्य इंटरनेट ट्रॅफिकमध्ये वेगळेपण राखण्याची आवश्यकता असेल. - - - [अंमलबजावणीच्या शिफारसी आणि धोके - २ मिनिटे] मी तुम्हाला व्यावहारिक मार्गदर्शन देतो. जर तुम्ही पहिल्यांदाच eduroam तैनात करत असाल, तर तुमचा पहिला संपर्क तुमच्या राष्ट्रीय NREN शी असावा - UK मध्ये हे Jisc आहे, आयर्लंडमध्ये HEAnet, US मध्ये Internet2 आहे. ते फेडरेशनचे सदस्यत्व व्यवस्थापित करतात आणि तुम्हाला RADIUS रेल्म (realm) नियुक्त करतील. तुम्ही तुमच्या राष्ट्रीय फेडरेशनचे सदस्य असल्याशिवाय eduroam मध्ये सहभागी होऊ शकत नाही. तुमची इन्फ्रास्ट्रक्चर चेकलिस्ट: तुम्हाला 802.1X सक्षम ऍक्सेस पॉइंट्सची आवश्यकता आहे - Cisco, Aruba, Juniper, Ruckus, किंवा Ubiquiti UniFi मधील कोणतेही एंटरप्राइझ-ग्रेड किट हे काम करेल. तुम्हाला RADIUS सर्व्हरची आवश्यकता आहे - FreeRADIUS हा ओपन-सोर्स मानक आहे, किंवा तुम्ही Microsoft NPS, Cisco ISE, किंवा Aruba ClearPass वापरू शकता. तुम्हाला तुमच्या RADIUS सर्व्हरसाठी eduroam समुदायाने विश्वास ठेवलेल्या CA कडून एक वैध TLS सर्टिफिकेट आवश्यक आहे - सामान्यतः तुमच्या संस्थेच्या PKI कडील सर्टिफिकेट किंवा eduroam मंजूर सूचीतील व्यावसायिक CA कडील सर्टिफिकेट. मला दिसणारे सर्वात सामान्य तीन डिप्लॉयमेंट अपयश म्हणजे: पहिले, सर्टिफिकेटचे चुकीचे कॉन्फिगरेशन - एकतर RADIUS सर्टिफिकेट एक्स्पायर झाले आहे, किंवा क्लायंट सप्लिकंट प्रोफाइल्स योग्यरित्या पिन केलेले नाहीत. दुसरे, RADIUS प्रॉक्सी टाईमआउट्स - तुमच्या अपस्ट्रीम NREN कनेक्शनमध्ये लॅटन्सीच्या समस्या असल्यास, ऑथेंटिकेशन टाईमआउट होईल आणि युजर्सना कनेक्शन अयशस्वी झाल्याचे दिसेल जे क्रेडेंशियल एररसारखे वाटते. तिसरे, VLAN चे चुकीचे कॉन्फिगरेशन - भेट देणारे युजर्स चुकीच्या नेटवर्क सेगमेंटवर जातात, ज्याने त्यांना एकतर इंटरनेट ऍक्सेस मिळत नाही किंवा सर्वात वाईट म्हणजे, त्यांना अंतर्गत रिसोर्सेसचा ऍक्सेस मिळतो जो त्यांना दिसू नये. क्लायंटच्या बाजूने, तुमच्या MDM प्लॅटफॉर्मद्वारे सर्व व्यवस्थापित डिव्हाइसेसवर eduroam CAT प्रोफाइल्स डिप्लॉय करा. वैयक्तिक डिव्हाइसेससाठी, CAT इंस्टॉल लिंक ठळकपणे प्रसिद्ध करा. ही एक पायरी बहुतांश सपोर्ट तिकिटे दूर करते. ज्या जागा उच्च शैक्षणिक संस्था नाहीत परंतु ज्यांना eduroam ऍक्सेस ऑफर करायचा आहे - कॉन्फरन्स सेंटर्स, हॉटेल्स आणि तत्सम - या प्रक्रियेला eduroam Visitor Access किंवा eVA असे म्हणतात. हे नॉन-मेंबर संस्थांना eduroam SSID होस्ट करण्याची आणि पूर्ण सदस्य न बनता फेडरेशनला प्रॉक्सी ऑथेंटिकेशन करण्याची अनुमती देते. तुम्ही नियमितपणे शैक्षणिक परिषदा किंवा युनिव्हर्सिटी इव्हेंट्स आयोजित करत असल्यास याबद्दल शोध घेणे फायदेशीर आहे. - - - [रॅपिड-फायर Q&A - १ मिनिट] मला नियमितपणे विचारले जाणारे द्रुत प्रश्न. "eduroam आमच्या गेस्ट WiFi ला पूर्णपणे रिप्लेस करू शकते का?" नाही. eduroam केवळ अशा युजर्ससाठी काम करते ज्यांच्याकडे सदस्य संस्थेमध्ये क्रेडेंशियल्स आहेत. तुम्हाला इतर सर्वांसाठी - भेट देणारे, कंत्राटदार, सामान्य जनता - एक वेगळे गेस्ट WiFi सोल्यूशन आवश्यक आहे. "eduroam हे GDPR चे पालन करते का?" होय, काही अटींसह. फेडरेशन आर्किटेक्चरचा अर्थ असा आहे की तुमची संस्था ऑथेंटिकेशन डेटावर प्रक्रिया करते, परंतु तुम्हाला हे सुनिश्चित करणे आवश्यक आहे की तुमच्या प्रायव्हसी नोटिसेसमध्ये हे समाविष्ट आहे आणि तुमचे RADIUS लॉग्स योग्यरित्या हाताळले जातात. "आम्ही eduroam सोबत WPA3 वापरू शकतो का?" होय. WPA3-Enterprise हे 802.1X शी पूर्णपणे सुसंगत आहे आणि नवीन डिप्लॉयमेंटसाठी शिफारस केलेले मानक आहे. हे उच्च-सुरक्षा वातावरणासाठी १९२-बिट मोड एन्क्रिप्शन जोडते. "eduroam आणि OpenRoaming मध्ये काय फरक आहे?" OpenRoaming हा Wireless Broadband Alliance चा एक व्यापक उद्योग पुढाकार आहे जो समान 802.1X आणि RADIUS प्रॉक्सी आर्किटेक्चर वापरतो परंतु शैक्षणिक संस्थांच्या पलीकडे व्यावसायिक जागांवर रोमिंगचा विस्तार करतो. Purple सह काही प्लॅटफॉर्म्स, त्यांच्या गेस्ट WiFi ऑफरिंगचा भाग म्हणून OpenRoaming ला सपोर्ट करतात. - - - [सारांश आणि पुढील पायऱ्या - १ मिनिट] थोडक्यात सांगायचे तर. eduroam ही एक परिपक्व, सुप्रशासित, जागतिक स्तरावर डिप्लॉय केलेली WiFi रोमिंग सेवा आहे जी 802.1X आणि हायराॅर्किकल RADIUS प्रॉक्सी इन्फ्रास्ट्रक्चरवर तयार केली आहे. हे कोणत्याही सामायिक पासवर्ड किंवा Captive Portals शिवाय - प्रति-युजर ऑथेंटिकेशन, मजबूत एन्क्रिप्शन आणि १०,००० पेक्षा जास्त संस्थांमध्ये अखंड रोमिंग प्रदान करते. कॅम्पस वायरलेस डिप्लॉय किंवा अपग्रेड करणाऱ्या IT टीम्ससाठी: तुमचे PKI जेथे सपोर्ट करू शकते तेथे PEAP ऐवजी EAP-TLS ला प्राधान्य द्या, सर्व क्लायंट प्रोफाइल्सवर सर्टिफिकेट व्हॅलिडेशन सक्तीचे करा, सर्व RADIUS प्रॉक्सी कनेक्शन्ससाठी RadSec वापरा आणि भेट देणाऱ्या युजर्सना एका समर्पित VLAN मध्ये विभाजित करा. वेन्यू ऑपरेटर्ससाठी: जर तुम्ही शैक्षणिक अभ्यागतांचे नियमितपणे आदरातिथ्य करत असाल, तर eduroam Visitor Access चा शोध घ्या. आणि तुम्ही eduroam उपयोजित करत असाल किंवा नसाल, तरीही तुमची गेस्ट WiFi इन्फ्रास्ट्रक्चर एंटरप्राइझ-ग्रेड 802.1X तत्त्वांवर तयार केली गेली पाहिजे - सामायिक केलेल्या PSKs वर नाही. जर तुम्हाला यापैकी कशाबद्दलही अधिक सखोल माहिती हवी असेल - RADIUS आर्किटेक्चर, EAP-TLS साठी PKI डिझाइन, किंवा Purple सारखे प्लॅटफॉर्म eduroam आणि OpenRoaming सोबत कसे समाकलित होतात - तर संपूर्ण लेखी मार्गदर्शक शो नोट्समध्ये लिंक केले आहे. ऐकल्याबद्दल धन्यवाद. पुढच्या वेळेपर्यंत. --- स्क्रिप्ट समाप्त