EAP-TLS सह Android डिव्हाइसेसवर Enterprise WiFi कसे सेट अप करावे

Android उपकरणांवर EAP-TLS सह Enterprise WiFi कसे सेट करावे A Purple टेक्निकल ब्रीफिंग — साधारणपणे १० मिनिटे --- परिचय आणि संदर्भ — साधारणपणे १ मिनिट Purple टेक्निकल ब्रीफिंग मालिकेत आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण Android उपकरणांवर 802.1X EAP-TLS ऑथेंटिकेशन लागू करण्याच्या तपशीलांबद्दल जाणून घेणार आहोत - मग तुम्ही हॉटेल इस्टेट, रिटेल चेन, स्टेडियम किंवा सार्वजनिक क्षेत्रातील कॅम्पसचे व्यवस्थापन करत असाल. जर तुम्ही अशा नेटवर्कचे व्यवस्थापन करत असाल ज्यामध्ये सामायिक पासवर्डवर अवलंबून न राहता कॉर्पोरेट किंवा BYOD Android उपकरणांचे ऑथेंटिकेशन करणे आवश्यक आहे, तर हा एपिसोड तुमच्यासाठी आहे. EAP-TLS हा Enterprise WiFi सुरक्षेसाठी सुवर्ण मानक आहे - हा परस्पर सर्टिफिकेट-आधारित ऑथेंटिकेशन वापरतो, ज्याचा अर्थ फिशिंगसाठी कोणतेही क्रेडेंशियल्स नसणे, रोटेट करण्यासाठी कोणतेही पासवर्ड नसणे आणि PCI-DSS, ISO 27001 आणि बहुतांश सार्वजनिक क्षेत्रातील सुरक्षा फ्रेमवर्कचे समाधान करणारे अनुपालन असणे हा आहे. या ब्रीफिंगच्या समाप्तीपर्यंत, तुम्हाला हे समजेल की Android वर EAP-TLS नेमके कसे कार्य करते, तुमचे डिप्लॉयमेंटचे पर्याय काय आहेत आणि अयशस्वी रोलआउट्सला कारणीभूत ठरणार्‍या तीन सर्वात सामान्य चुका कोणत्या आहेत. चला तर मग सुरुवात करूया. --- तांत्रिक सखोल विश्लेषण — साधारणपणे ५ मिनिटे चला आर्किटेक्चरपासून सुरुवात करूया. 802.1X हे IEEE मानक आहे जे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल नियंत्रित करते. जेव्हा एखादे Android उपकरण Enterprise WiFi नेटवर्कशी जोडले जाते - जे WPA2-Enterprise किंवा WPA3-Enterprise म्हणून कॉन्फिगर केलेले असते - तेव्हा ॲक्सेस पॉइंट हा ऑथेंटिकेटर म्हणून काम करतो. हा स्वतः ऑथेंटिकेशनचा निर्णय घेत नाही; हा केवळ उपकरण आणि RADIUS सर्व्हर यांच्यातील संभाषण पुढे पाठवतो, जो वास्तविक ऑथेंटिकेशन सर्व्हर असतो. EAP-TLS - म्हणजेच ट्रान्सपोर्ट लेयर सिक्युरिटीसह एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल - ही त्या 802.1X फ्रेमवर्कमध्ये चालणारी ऑथेंटिकेशन पद्धत आहे. EAP-PEAP किंवा EAP-TTLS पेक्षा ही वेगळी का आहे, जी TLS टनेलच्या आत युझरनेम आणि पासवर्ड वापरतात, कारण EAP-TLS दोन्ही बाजूंनी X.509 सर्टिफिकेट्स वापरते. RADIUS सर्व्हर उपकरणाला सर्व्हर सर्टिफिकेट सादर करतो आणि उपकरण परत RADIUS सर्व्हरला क्लायंट सर्टिफिकेट सादर करते. दोन्ही पक्ष एकमेकांची पडताळणी करतात. हे परस्पर ऑथेंटिकेशन आहे, आणि यामुळेच EAP-TLS हा उपलब्ध सर्वात सुरक्षित पर्याय बनतो. आता, विशेषतः Android वर, तुम्हाला काही गोष्टी समजून घेणे आवश्यक आहे. Android 11 आणि त्यानंतरच्या आवृत्त्यांमध्ये अधिक कडक सर्टिफिकेट पडताळणी आवश्यकता लागू करण्यात आल्या आहेत. जर तुम्ही Android 11 किंवा त्यावरील आवृत्तीवर डिप्लॉयमेंट करत असाल - जी या क्षणी तुमच्या इस्टेटमधील बहुतांश उपकरणे आहेत - तर जोपर्यंत RADIUS सर्व्हर सर्टिफिकेटवर स्पष्टपणे विश्वास ठेवला जात नाही तोपर्यंत उपकरण कनेक्ट होण्यास नकार देईल. तुम्ही केवळ सिस्टम ट्रस्ट स्टोअरवर अवलंबून राहू शकत नाही; तुम्ही एकतर रूट CA सर्टिफिकेट उपकरणावर पुश केले पाहिजे किंवा स्पष्टपणे त्याचा संदर्भ देण्यासाठी WiFi प्रोफाइल कॉन्फिगर केले पाहिजे.चला सर्टिफिकेट चेनबद्दल (certificate chain) बोलूया. एका सिंगल Android डिव्हाइसला EAP-TLS द्वारे ऑथेंटिकेट करण्यासाठी तुम्हाला तीन घटक जागेवर असणे आवश्यक आहे. पहिले, Certificate Authority — एकतर तुमची अंतर्गत PKI, Microsoft Active Directory Certificate Services, किंवा Intune द्वारे SCEP सारखी क्लाउड PKI. दुसरे, तुमच्या RADIUS सर्व्हरला दिलेले सर्व्हर सर्टिफिकेट, ज्यावर त्या CA ची स्वाक्षरी आहे. तिसरे, प्रत्येक डिव्हाइस किंवा वापरकर्त्याला दिलेले एक युनिक क्लायंट सर्टिफिकेट, ज्यावर देखील त्याच CA ची स्वाक्षरी आहे. TLS हँडशेक दरम्यान डिव्हाइस त्याचे क्लायंट सर्टिफिकेट सादर करते आणि RADIUS सर्व्हर CA च्या सर्टिफिकेट रिव्होकेशन लिस्ट (CRL) किंवा OCSP — Online Certificate Status Protocol द्वारे त्याचे प्रमाणीकरण करतो. Android साठी, क्लायंट सर्टिफिकेट आणि प्रायव्हेट की सामान्यतः PKCS12 फाइल — जी dot-P12 किंवा dot-PFX फाइल असते — म्हणून पॅकेज केली जाते, ज्यामध्ये सर्टिफिकेट आणि एन्क्रिप्ट केलेली प्रायव्हेट की दोन्ही असतात. मॅन्युअली कॉन्फिगर केलेल्या डिव्हाइसवर, वापरकर्ता ही फाइल Settings, नंतर Security, आणि मग Install a Certificate द्वारे इम्पोर्ट करतो. MDM द्वारे व्यवस्थापित केलेल्या डिव्हाइसवर, सर्टिफिकेट डिव्हाइसच्या व्यवस्थापित कीस्टोअर (keystore) मध्ये परस्पर पुश केले जाते — यासाठी वापरकर्त्याच्या हस्तक्षेपाची आवश्यकता नसते. आता WiFi प्रोफाइल बद्दल बोलूया. Android वर एंटरप्राइझ WiFi कनेक्शन कॉन्फिगर करताना, तुम्हाला खालील गोष्टी निर्दिष्ट करणे आवश्यक आहे: SSID, सिक्युरिटी टाईप — WPA2-Enterprise किंवा WPA3-Enterprise — EAP पद्धत — जी TLS आहे — सर्व्हर प्रमाणीकरणासाठी CA सर्टिफिकेट, डिव्हाइस ऑथेंटिकेशनसाठी क्लायंट सर्टिफिकेट, आणि आयडेंटिटी स्ट्रिंग, जे सहसा डिव्हाइसचे Common Name किंवा वापरकर्त्याचे UPN असते. Android 11 आणि त्यावरील व्हर्जनवर, मॅन-इन-द-मिडल (man-in-the-middle) हल्ले रोखण्यासाठी तुम्हाला डोमेन सफिक्स मॅच किंवा सर्व्हर सर्टिफिकेट सब्जेक्ट देखील निर्दिष्ट करणे आवश्यक आहे. MDM डिप्लोयमेंट्ससाठी — आणि येथूनच खऱ्या अर्थाने स्केल सुरू होते — तुम्ही हे सर्व एक स्ट्रक्चर्ड कॉन्फिग्रेशन प्रोफाइल म्हणून पुश करत आहात. Microsoft Intune मध्ये, तुम्ही एक SCEP सर्टिफिकेट प्रोफाइल तयार करता जे प्रत्येक एनरोल केलेल्या Android डिव्हाइसवर आपोआप युनिक क्लायंट सर्टिफिकेटची विनंती करते आणि ते इन्स्टॉल करते. त्यानंतर तुम्ही एक WiFi कॉन्फिग्रेशन प्रोफाइल तयार करता जे त्या सर्टिफिकेट प्रोफाइलचा संदर्भ देते. जेव्हा डिव्हाइस चेक इन करते, तेव्हा त्याला सर्टिफिकेट आणि WiFi प्रोफाइल दोन्ही मिळतात आणि ते तुमच्या 802.1X नेटवर्कशी स्वयंचलितपणे कनेक्ट होते. वापरकर्त्याचा कोणताही हस्तक्षेप नाही, कोणताही सपोर्ट कॉल नाही. जर तुम्ही यासाठी Intune वापरत असाल, तर आमचे सोबतीचे मार्गदर्शक "how to use Microsoft Intune to push WiFi certificates to devices" अचूक कॉन्फिग्रेशन पायऱ्या स्पष्ट करते — मी या ब्रीफिंगसोबत ते वाचण्याची शिफारस करेन. VMware Workspace ONE आणि Jamf Connect साठी, ही प्रक्रिया आर्किटेक्चरली समान आहे — SCEP किंवा PKCS सर्टिफिकेट प्रोफाइल, त्यानंतर त्याचा संदर्भ देणारे WiFi प्रोफाइल. विशिष्ट UI भिन्न असू शकते, परंतु सर्टिफिकेट चेन आणि RADIUS कॉन्फिग्रेशन आवश्यकता समान आहेत. RADIUS च्या बाबतीत एक गोष्ट लक्षात ठेवणे महत्त्वाचे आहे: जर तुम्ही FreeRADIUS, Microsoft NPS, किंवा Cisco ISE वापरत असाल, तर तुमच्या सर्व्हर सर्टिफिकेटमध्ये योग्य Extended Key Usage गुणधर्म समाविष्ट असल्याची खात्री करा - विशेषतः, Server Authentication, OID 1.3.6.1.5.5.7.3.1. Android याबद्दल अत्यंत कडक आहे. Windows क्लायंटसोबत व्यवस्थित काम करणारे सर्टिफिकेट जर EKU गहाळ असेल किंवा चुकीचे कॉन्फिगर केले असेल तर Android वर निकामी ठरू शकते. --- अमलबजावणीच्या शिफारसी आणि अडचणी — अंदाजे २ मिनिटे चला, प्रत्यक्ष कामाच्या ठिकाणी काय चुका होतात याबद्दल बोलूया, कारण बहुतेक अंमलबजावणीमध्ये याच ठिकाणी समस्या उद्भवतात. पहिली आणि सर्वात सामान्य चूक म्हणजे सर्टिफिकेट वरील विश्वास (certificate trust). जर RADIUS सर्व्हरची सर्टिफिकेट चेन व्हॅलिडेट करता आली नाही, तर Android 11 आणि त्यावरील व्हर्जन कनेक्ट होणार नाहीत. यावर उपाय अगदी सोपा आहे: तुमचे रूट CA सर्टिफिकेट MDM द्वारे डिव्हाइसच्या युजर सर्टिफिकेट स्टोअरवर पुश करा, आणि WiFi प्रोफाइलच्या CA सर्टिफिकेट फील्डमध्ये त्याचा स्पष्ट संदर्भ द्या. याला "Do not validate" असे सोडू नका - हा सुरक्षेतील मोठा दोष आहे आणि तरीही काही Android व्हर्जनवर हे निकामी ठरेल. दुसरी अडचण म्हणजे सर्टिफिकेट कालबाह्य होणे (certificate expiry). क्लायंट सर्टिफिकेटचा वैधतेचा कालावधी सामान्यतः एक ते दोन वर्षांचा असतो. जर तुमच्याकडे SCEP किंवा NDES द्वारे ऑटोमेटेड रिन्यूअलची व्यवस्था नसेल, तर एखाद्या दिवशी सकाळी तुम्हाला समजेल की तुमच्याकडील अर्ध्याहून अधिक डिव्हाइसेसचा WiFi ऍक्सेस एकाच वेळी बंद झाला आहे. पहिल्या दिवसापासूनच तुमच्या MDM वर्कफ्लोमध्ये सर्टिफिकेट रिन्यूअल ऑटोमेशन समाविष्ट करा, नंतरचा विचार म्हणून याकडे पाहू नका. तिसरी समस्या RADIUS सर्व्हरच्या क्षमतेची आहे. संपूर्ण परस्पर सर्टिफिकेट एक्सचेंजमुळे PEAP हँडशेकच्या तुलनेत EAP-TLS हँडशेकसाठी संगणकीय प्रक्रिया अधिक खर्चिक असते. हजारो युजर्स एकाच वेळी ऑथेंटिकेशन करत असलेल्या स्टेडियम किंवा कॉन्फरन्स सेंटरमध्ये, कमी क्षमतेचा RADIUS सर्व्हर अडथळा ठरेल. तुमच्या RADIUS इन्फ्रास्ट्रक्चरची क्षमता सरासरी लोडसाठी नाही, तर पीक अवर्समधील एकाच वेळी होणाऱ्या ऑथेंटिकेशनसाठी निश्चित करा. शेवटी, Android च्या बाबतीत, हे लक्षात ठेवा की वेगवेगळ्या उत्पादकांकडे - Samsung, Google, Xiaomi - WiFi कॉन्फिगरेशन API ची अंमलबजावणी थोडी वेगळी असते. मोठ्या प्रमाणावर रोलआउट करण्यापूर्वी तुमच्या मालकीच्या प्रत्येक उत्पादकाच्या प्रातिनिधिक डिव्हाइसेसवर तुमच्या MDM-पुश केलेल्या प्रोफाइल्सची चाचणी घ्या. विशेषतः Samsung डिव्हाइसेसना भूतकाळात ओळख फील्ड (identity field) स्पष्टपणे सेट करण्याची आवश्यकता भासली आहे, अगदी ती सर्टिफिकेटवरून ओळखता येत असली तरीही. --- जलद प्रश्न आणि उत्तरे — अंदाजे १ मिनिट मला नियमितपणे विचारले जाणारे काही द्रुत प्रश्न. मी BYOD डिव्हाइसेससाठी EAP-TLS वापरू शकतो का? होय, परंतु यासाठी वापरकर्त्याला त्यांच्या वैयक्तिक डिव्हाइसवर क्लायंट सर्टिफिकेट स्थापित करावे लागेल. मोठ्या प्रमाणावर BYOD साठी, PAP किंवा PEAP-MSCHAPv2 सह EAP-TTLS हा अधिक व्यावहारिक पर्याय आहे का याचा विचार करा, आणि कॉर्पोरेट मालकीच्या डिव्हाइसेससाठी EAP-TLS राखीव ठेवा. EAP-TLS हे WPA3-Enterprise सोबत काम करते का? होय, आणि १९२-बिट मोडसह WPA3-Enterprise प्रत्यक्षात EAP-TLS अनिवार्य करते. जर तुम्ही उच्च-सुरक्षा वातावरणात WPA3-Enterprise तैनात करत असाल, तर EAP-TLS हाच तुमचा एकमेव सुसंगत पर्याय आहे. मी किमान कोणत्या Android आवृत्तीला लक्ष्य केले पाहिजे? Android 8 आणि त्यावरील आवृत्त्या EAP-TLS ला नेटिव्हली सपोर्ट करतात. Android 11 आणि त्यावरील आवृत्त्यांसाठी, स्पष्ट CA प्रमाणपत्र प्रमाणीकरण लागू करा. Android 13 आणि त्यावरील आवृत्तीसाठी, आपण अधिक तपशीलवार नियंत्रणासाठी सुधारित प्रमाणपत्र व्यवस्थापन API चा लाभ घेऊ शकता. Purple चे प्लॅटफॉर्म EAP-TLS नेटवर्कसह समाकलित होऊ शकते का? Purple चे गेस्ट WiFi आणि ॲनालिटिक्स प्लॅटफॉर्म आपल्या 802.1X कॉर्पोरेट नेटवर्कपेक्षा वेगळ्या SSID वर कार्य करते. आपले कॉर्पोरेट डिव्हाइसेस सुरक्षित SSID वर EAP-TLS द्वारे प्रमाणीकृत होतात, तर गेस्ट डिव्हाइसेस गेस्ट SSID वर Purple च्या captive portal चा वापर करतात. हे दोन्ही एकाच ॲक्सेस पॉइंट इन्फ्रास्ट्रक्चरवर एकत्र अस्तित्वात असतात, ज्यामध्ये VLAN पृथक्करण सुरक्षिततेची सीमा प्रदान करते. - सारांश आणि पुढील पायऱ्या - अंदाजे 1 मिनिट थोडक्यात सांगायचे तर: Android वरील EAP-TLS ही उपलब्ध असलेली सर्वात सुरक्षित एंटरप्राइझ WiFi प्रमाणीकरण पद्धत आहे आणि आधुनिक MDM साधनांसह मोठ्या प्रमाणावर ती तैनात करणे पूर्णपणे व्यावहारिक आहे. योग्य करण्यासाठी तीन गोष्टी आवश्यक आहेत: स्वयंचलित प्रमाणपत्र नूतनीकरणासह योग्यरित्या कॉन्फिगर केलेले PKI, Android 11 आणि त्यावरील आवृत्त्यांवर स्पष्ट CA प्रमाणपत्र ट्रस्ट, आणि पीक लोडसाठी योग्य आकाराचे RADIUS इन्फ्रास्ट्रक्चर. आपण मिश्र कॉर्पोरेट आणि गेस्ट ट्रॅफिक असलेल्या ठिकाणी हे तैनात करत असल्यास, Purple चे प्लॅटफॉर्म आपल्याला गेस्ट नेटवर्कवर ॲनालिटिक्स आणि एंगेजमेंट लेयर देते तर आपले EAP-TLS इन्फ्रास्ट्रक्चर कॉर्पोरेट बाजू सुरक्षित ठेवते. हे दोन्ही एकमेकांना चांगल्या प्रकारे पूरक ठरतात. आपल्या पुढील पायऱ्यांसाठी: संपूर्ण मार्गदर्शकातील आमच्या आर्किटेक्चर आकृतीचे पुनरावलोकन करा, Intune डिप्लॉयमेंट वॉकथ्रूचा अभ्यास करा आणि आपल्या संपूर्ण मालमत्तेवर लागू करण्यापूर्वी डिव्हाइसेसच्या उपसंचावर पायलट रन करा. पन्नास डिव्हाइसेसच्या नियंत्रित गटासह प्रारंभ करा, प्रमाणपत्र वितरण आणि WiFi कनेक्टिव्हिटी सत्यापित करा, आणि नंतर आत्मविश्वासाने ते वाढवा. Purple टेक्निकल ब्रीफिंग ऐकल्याबद्दल धन्यवाद. आपल्याला संपूर्ण लिखित मार्गदर्शक, आकृत्या आणि कॉन्फिगरेशन संदर्भ purple.ai वर मिळतील. पुन्हा भेटू तोपर्यंत.