EAP-TLS सह Android डिव्हाइसेसवर Enterprise WiFi कसे सेट अप करावे

EAP-TLS सह Android डिव्हाइसेसवर Enterprise WiFi कसे सेट करावे एक Purple तांत्रिक माहिती - साधारण १० मिनिटे --- परिचय आणि संदर्भ - साधारण १ मिनिट Purple तांत्रिक माहिती मालिकेमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण Android डिव्हाइसेसवर 802.1X EAP-TLS ऑथेंटिकेशन लागू करण्याच्या सविस्तर तपशीलांवर चर्चा करणार आहोत - मग तुम्ही हॉटेल इस्टेट, रिटेल साखळी, स्टेडियम किंवा सार्वजनिक क्षेत्रातील कॅम्पस व्यवस्थापित करत असाल. जर तुम्ही सामायिक पासवर्डवर अवलंबून न राहता कॉर्पोरेट किंवा BYOD Android डिव्हाइसेस ऑथेंटिकेट करणाऱ्या नेटवर्कसाठी जबाबदार असाल, तर हा एपिसोड तुमच्यासाठी आहे. EAP-TLS हा Enterprise WiFi सुरक्षेसाठी सुवर्ण दर्जा मानला जातो - यात परस्पर प्रमाणपत्र-आधारित ऑथेंटिकेशन वापरले जाते, ज्याचा अर्थ फिशिंगसाठी कोणतेही क्रेडेंशियल्स नसणे, बदलण्यासाठी कोणतेही पासवर्ड नसणे आणि PCI-DSS, ISO 27001 आणि बहुतांश सार्वजनिक क्षेत्रातील सुरक्षा फ्रेमवर्कचे समाधान करणारी अनुपालन स्थिती असणे. या माहितीच्या शेवटी, तुम्हाला Android वर EAP-TLS कसे कार्य करते, तुमचे डिप्लॉयमेंट पर्याय काय आहेत आणि अयशस्वी रोलआउट्सचे कारण बनणाऱ्या तीन सर्वात सामान्य चुका अचूकपणे समजतील. चला तर मग, सुरुवात करूया. --- तांत्रिक सखोल माहिती - साधारण ५ मिनिटे चला आर्किटेक्चरपासून सुरुवात करूया. 802.1X हा IEEE मानक आहे जो पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल नियंत्रित करतो. जेव्हा एखादे Android डिव्हाइस Enterprise WiFi नेटवर्कशी कनेक्ट होते - जे WPA2-Enterprise किंवा WPA3-Enterprise म्हणून कॉन्फिगर केलेले असते - तेव्हा ॲक्सेस पॉइंट हा ऑथेंटिकेटर म्हणून काम करतो. तो स्वतः ऑथेंटिकेशनचा निर्णय घेत नाही; तो डिव्हाइस आणि RADIUS सर्व्हर दरम्यानचे संभाषण पुढे पाठवतो, जो वास्तविक ऑथेंटिकेशन सर्व्हर असतो. EAP-TLS - म्हणजेच Extensible Authentication Protocol with Transport Layer Security - ही त्या 802.1X फ्रेमवर्कमध्ये चालणारी ऑथेंटिकेशन पद्धत आहे. TLS टनेलमध्ये युझरनेम आणि पासवर्ड वापरणाऱ्या EAP-PEAP किंवा EAP-TTLS पेक्षा हे वेगळे का आहे, कारण EAP-TLS दोन्ही बाजूंनी X.509 प्रमाणपत्रे वापरते. RADIUS सर्व्हर डिव्हाइसला सर्व्हर प्रमाणपत्र सादर करतो, आणि डिव्हाइस परत RADIUS सर्व्हरला क्लायंट प्रमाणपत्र सादर करते. दोन्ही बाजू एकमेकांची पडताळणी करतात. हे परस्पर ऑथेंटिकेशन आहे आणि यामुळेच EAP-TLS हा उपलब्ध सर्वात सुरक्षित पर्याय बनतो. आता, विशेषतः Android वर, तुम्हाला काही गोष्टी समजून घेणे आवश्यक आहे. Android 11 आणि त्यानंतरच्या आवृत्त्यांमध्ये अधिक कडक प्रमाणपत्र पडताळणी आवश्यकता लागू केल्या आहेत. जर तुम्ही Android 11 किंवा त्यावरील आवृत्तीवर हे लागू करत असाल - जे सध्या तुमच्या बहुतांश डिव्हाइसेसमध्ये असेल - तर जोपर्यंत RADIUS सर्व्हर प्रमाणपत्रावर स्पष्टपणे विश्वास ठेवला जात नाही तोपर्यंत डिव्हाइस कनेक्ट होण्यास नकार देईल. तुम्ही केवळ सिस्टम ट्रस्ट स्टोअरवर अवलंबून राहू शकत नाही; तुम्हाला एकतर रूट CA प्रमाणपत्र डिव्हाइसवर पुश करावे लागेल किंवा त्याचा स्पष्टपणे संदर्भ घेण्यासाठी WiFi प्रोफाइल कॉन्फिगर करावे लागेल.चला सर्टिफिकेट चेनबद्दल बोलूया. एका सिंगल Android डिव्हाइसने EAP-TLS द्वारे ऑथेंटिकेट करण्यापूर्वी तुम्हाला तीन घटकांची आवश्यकता असते. पहिले, एक Certificate Authority - एकतर तुमचे इंटरनल PKI, Microsoft Active Directory Certificate Services, किंवा Intune द्वारे SCEP सारखे क्लाउड PKI. दुसरे, तुमच्या RADIUS सर्व्हरला इश्यू केलेले सर्व्हर सर्टिफिकेट, जे त्या CA द्वारे साइन केलेले असावे. तिसरे, प्रत्येक डिव्हाइस किंवा युझरला इश्यू केलेले एक युनिक क्लायंट सर्टिफिकेट, जे देखील त्याच CA द्वारे साइन केलेले असावे. TLS हँडशेक दरम्यान डिव्हाइस त्याचे क्लायंट सर्टिफिकेट सादर करते आणि RADIUS सर्व्हर CA च्या सर्टिफिकेट रिव्होकेशन लिस्ट (CRL) किंवा OCSP - Online Certificate Status Protocol द्वारे ते व्हॅलिडेट करतो. Android साठी, क्लायंट सर्टिफिकेट आणि प्रायव्हेट की सामान्यतः PKCS12 फाइल - म्हणजेच डॉट-P12 किंवा डॉट-PFX फाइल म्हणून पॅकेज केली जाते - ज्यामध्ये सर्टिफिकेट आणि एनक्रिप्टेड प्रायव्हेट की दोन्ही असतात. मॅन्युअली कॉन्फिगर केलेल्या डिव्हाइसवर, युझर ही फाइल Settings, नंतर Security, आणि नंतर Install a Certificate द्वारे इम्पोर्ट करतो. MDM द्वारे मॅनेज केलेल्या डिव्हाइसवर, सर्टिफिकेट सायलेंटली डिव्हाइसच्या मॅनेज्ड कीस्टोअरवर पुश केले जाते - यासाठी कोणत्याही युझर इंटरअॅक्शनची गरज नसते. आता WiFi प्रोफाइल बद्दल बोलूया. Android वर एंटरप्राइझ WiFi कनेक्शन कॉन्फिगर करताना, तुम्हाला या गोष्टी निर्दिष्ट कराव्या लागतात: SSID, सिक्युरिटी टाईप - WPA2-Enterprise किंवा WPA3-Enterprise - EAP मेथड - जी TLS आहे - सर्व्हर व्हॅलिडेशनसाठी CA सर्टिफिकेट, डिव्हाइस ऑथेंटिकेशनसाठी क्लायंट सर्टिफिकेट आणि आयडेंटिटी स्ट्रिंग, जी सहसा डिव्हाइसचे Common Name किंवा युझरचे UPN असते. Android 11 आणि त्यावरील व्हर्जनवर, मॅन-इन-द-मिडल हल्ले रोखण्यासाठी तुम्हाला डोमेन सफिक्स मॅच किंवा सर्व्हर सर्टिफिकेट सब्जेक्ट देखील निर्दिष्ट करावा लागतो. MDM डिप्लोयमेंट्ससाठी - आणि येथूनच खरी स्केल वाढते - तुम्ही हे सर्व एका स्ट्रक्चर्ड कॉन्फिगरेशन प्रोफाइल म्हणून पुश करता. Microsoft Intune मध्ये, तुम्ही एक SCEP सर्टिफिकेट प्रोफाइल तयार करता जे प्रत्येक एनरोल केलेल्या Android डिव्हाइसवर युनिक क्लायंट सर्टिफिकेट ऑटोमॅटिकली रिक्वेस्ट आणि इन्स्टॉल करते. त्यानंतर तुम्ही एक WiFi कॉन्फिगरेशन प्रोफाइल तयार करता जे त्या सर्टिफिकेट प्रोफाइलचा संदर्भ देते. जेव्हा डिव्हाइस चेक-इन करते, तेव्हा त्याला सर्टिफिकेट आणि WiFi प्रोफाइल दोन्ही मिळतात आणि ते तुमच्या 802.1X नेटवर्कशी ऑटोमॅटिकली कनेक्ट होते. कोणतीही युझर इंटरअॅक्शन नाही, कोणतेही सपोर्ट कॉल्स नाही. जर तुम्ही यासाठी Intune वापरत असाल, तर आमचे सोबतीचे मार्गदर्शक 'how to use Microsoft Intune to push WiFi certificates to devices' अचूक कॉन्फिगरेशन स्टेप्स स्पष्ट करते - या ब्रीफिंगसोबतच ते वाचण्याची मी शिफारस करेन. VMware Workspace ONE आणि Jamf Connect साठी, ही प्रोसेस आर्किटेक्चरली सारखीच आहे - SCEP किंवा PKCS सर्टिफिकेट प्रोफाइल, आणि त्यानंतर त्याचा संदर्भ देणारे WiFi प्रोफाइल. विशिष्ट UI वेगळे असू शकते, परंतु सर्टिफिकेट चेन आणि RADIUS कॉन्फिगरेशनच्या आवश्यकता समान आहेत. RADIUS च्या बाजूने एका गोष्टीकडे लक्ष देणे गरजेचे आहे: जर तुम्ही FreeRADIUS, Microsoft NPS, किंवा Cisco ISE चालवत असाल, तर तुमच्या सर्व्हर प्रमाणपत्रात (certificate) योग्य Extended Key Usage गुणधर्म समाविष्ट असल्याची खात्री करा - विशेषतः, Server Authentication, OID 1.3.6.1.5.5.7.3.1. Android याबद्दल कडक आहे. Windows क्लायंटसोबत व्यवस्थित काम करणारे प्रमाणपत्र जर EKU गहाळ असेल किंवा चुकीचे कॉन्फिगर केले असेल तर Android वर निकामी ठरू शकते. --- अमलबजावणीच्या शिफारसी आणि अडचणी - अंदाजे २ मिनिटे चला, प्रत्यक्ष कामाच्या ठिकाणी काय चुका होतात याबद्दल बोलूया, कारण बहुतेक उपयोजन येथेच अडचणीत येतात. पहिली आणि सर्वात सामान्य चूक म्हणजे प्रमाणपत्र विश्वासार्हता (certificate trust). RADIUS सर्व्हरची प्रमाणपत्र साखळी सत्यापित केली जाऊ शकत नसल्यास Android 11 आणि त्यावरील आवृत्त्या कनेक्ट होणार नाहीत. यावरील उपाय सोपा आहे: MDM द्वारे तुमच्या रूट CA प्रमाणपत्राला डिव्हाइसच्या युझर सर्टिफिकेट स्टोअरमध्ये पुश करा, आणि WiFi प्रोफाइलच्या CA प्रमाणपत्र फील्डमध्ये त्याचा स्पष्ट संदर्भ द्या. याला "Do not validate" असे सोडू नका - हा एक सुरक्षा दोष आहे आणि तरीही काही Android आवृत्त्यांवर हे निकामी ठरेल. दुसरी अडचण म्हणजे प्रमाणपत्राची मुदत संपणे. क्लायंट प्रमाणपत्रांची वैधता कालावधी सामान्यत: एक ते दोन वर्षांचा असतो. जर तुमच्याकडे SCEP किंवा NDES द्वारे स्वयंचलित नूतनीकरण (automated renewal) सेट नसेल, तर तुम्हाला एका सकाळी उठल्यावर असे दिसेल की तुमच्या निम्म्या उपकरणांचे WiFi ऍक्सेस एकाच वेळी बंद झाले आहे. प्रमाणपत्राच्या नूतनीकरणाचे ऑटोमेशन पहिल्या दिवसापासूनच तुमच्या MDM वर्कफ्लोमध्ये समाविष्ट करा, नंतर विचार करण्यासाठी ठेवू नका. तिसरी समस्या RADIUS सर्व्हर क्षमतेची आहे. पूर्ण परस्पर प्रमाणपत्र देवाणघेवाणीमुळे PEAP हँडशेकच्या तुलनेत EAP-TLS हँडशेक हे संगणकीयदृष्ट्या अधिक खर्चिक असतात. हजारो एकाच वेळी प्रमाणीकरण (authentications) असणाऱ्या स्टेडियम किंवा कॉन्फरन्स सेंटरमध्ये, कमी क्षमतेचा RADIUS सर्व्हर अडथळा ठरेल. तुमच्या RADIUS इन्फ्रास्ट्रक्चरचा आकार सरासरी लोडसाठी नव्हे, तर पीक कॉन्करंट प्रमाणीकरणासाठी निश्चित करा. शेवटी, Android च्या बाजूने, हे लक्षात ठेवा की वेगवेगळ्या निर्मात्यांकडे - Samsung, Google, Xiaomi - WiFi कॉन्फिगरेशन API ची अंमलबजावणी थोडी वेगळी आहे. मोठ्या प्रमाणावर रोल आउट करण्यापूर्वी तुमच्या मालकीच्या प्रत्येक निर्मात्याच्या प्रातिनिधिक उपकरणांवर तुमच्या MDM-पुश केलेल्या प्रोफाइलची चाचणी घ्या. विशेषतः Samsung उपकरणांना ऐतिहासिकदृष्ट्या ओळख फील्ड (identity field) स्पष्टपणे सेट करण्याची आवश्यकता भासली आहे, जरी ते प्रमाणपत्रावरून ओळखले जाऊ शकत असले तरीही. --- रॅपिड-फायर प्रश्न आणि उत्तरे - अंदाजे १ मिनिट मला नियमितपणे विचारले जाणारे काही द्रुत प्रश्न. मी BYOD उपकरणांसाठी EAP-TLS वापरू शकतो का? होय, परंतु त्यासाठी वापरकर्त्याला त्यांच्या वैयक्तिक डिव्हाइसवर क्लायंट प्रमाणपत्र स्थापित करणे आवश्यक आहे. मोठ्या प्रमाणावर BYOD साठी, PAP किंवा PEAP-MSCHAPv2 सह EAP-TTLS हा अधिक व्यावहारिक पर्याय आहे का याचा विचार करा, आणि EAP-TLS कॉर्पोरेट-मालकीच्या उपकरणांसाठी राखीव ठेवा. EAP-TLS हे WPA3-Enterprise सोबत काम करते का? होय, आणि १९२-बिट मोडसह WPA3-Enterprise प्रत्यक्षात EAP-TLS अनिवार्य करते. जर तुम्ही उच्च-सुरक्षा वातावरणात WPA3-Enterprise उपयोजित करत असाल, तर EAP-TLS हाच तुमचा एकमेव सुसंगत पर्याय आहे. मी कोणत्या किमान Android आवृत्तीला लक्ष्य केले पाहिजे? Android 8 आणि त्यावरील आवृत्त्या EAP-TLS ला मूळपणे सपोर्ट करतात. Android 11 आणि त्यावरील आवृत्त्यांसाठी, स्पष्ट CA प्रमाणपत्र प्रमाणीकरण लागू करा. Android 13 आणि त्यावरील आवृत्त्यांसाठी, अधिक सूक्ष्म नियंत्रणासाठी तुम्ही सुधारित प्रमाणपत्र व्यवस्थापन API चा फायदा घेऊ शकता. Purple चे प्लॅटफॉर्म EAP-TLS नेटवर्कसह समाकलित होऊ शकते का? Purple चे गेस्ट WiFi आणि ॲनालिटिक्स प्लॅटफॉर्म तुमच्या 802.1X कॉर्पोरेट नेटवर्कपेक्षा वेगळ्या SSID वर कार्य करते. तुमचे कॉर्पोरेट डिव्हाइसेस सुरक्षित SSID वर EAP-TLS द्वारे प्रमाणित होतात, तर पाहुण्यांचे डिव्हाइसेस गेस्ट SSID वर Purple च्या captive portal चा वापर करतात. हे दोन्ही एकाच ॲक्सेस पॉइंट इन्फ्रास्ट्रक्चरवर एकत्र अस्तित्वात असतात, ज्यामध्ये VLAN पृथक्करण सुरक्षा सीमा प्रदान करते. - सारांश आणि पुढील पायऱ्या - साधारणपणे १ मिनिट थोडक्यात सांगायचे तर: Android वरील EAP-TLS ही उपलब्ध सर्वात सुरक्षित एंटरप्राइझ WiFi प्रमाणीकरण पद्धत आहे आणि आधुनिक MDM साधनांसह मोठ्या प्रमाणावर तैनात करणे पूर्णपणे व्यावहारिक आहे. योग्य करण्यासाठी तीन गोष्टी आहेत: स्वयंचलित प्रमाणपत्र नूतनीकरणासह योग्यरित्या कॉन्फिगर केलेले PKI, Android 11 आणि त्यावरील आवृत्त्यांवर स्पष्ट CA प्रमाणपत्र ट्रस्ट, आणि पीक लोडसाठी आकारलेले RADIUS इन्फ्रास्ट्रक्चर. जर तुम्ही कॉर्पोरेट आणि पाहुण्यांची संमिश्र रहदारी असलेल्या ठिकाणी तैनात करत असाल, तर तुमचे EAP-TLS इन्फ्रास्ट्रक्चर कॉर्पोरेट बाजू सुरक्षित ठेवत असताना Purple चे प्लॅटफॉर्म तुम्हाला गेस्ट नेटवर्कवर ॲनालिटिक्स आणि एंगेजमेंट लेयर देते. हे दोन्ही एकमेकांना चांगल्या प्रकारे पूरक आहेत. तुमच्या पुढील पायऱ्यांसाठी: आमच्या संपूर्ण मार्गदर्शकातील आर्किटेक्चर आकृतीचे पुनरावलोकन करा, Intune उपयोजन वॉकथ्रूचा सराव करा, आणि तुमच्या संपूर्ण इस्टेटमध्ये रोल आउट करण्यापूर्वी डिव्हाइसेसच्या उपसंचावर पायलट चालवा. पन्नास डिव्हाइसेसच्या नियंत्रित गटासह प्रारंभ करा, प्रमाणपत्र वितरण आणि WiFi कनेक्टिव्हिटी सत्यापित करा, आणि नंतर आत्मविश्वासाने स्केल करा. Purple टेक्निकल ब्रीफिंग ऐकल्याबद्दल धन्यवाद. तुम्हाला संपूर्ण लिखित मार्गदर्शक, आकृत्या आणि कॉन्फिगरेशन संदर्भ purple.ai वर मिळतील. पुढील वेळेपर्यंत.