Cloud Directories (Azure AD आणि Google Workspace) सोबत RADIUS as a Service समाकलित (Integrate) करणे

हे तांत्रिक संदर्भ मार्गदर्शक एंटरप्राइझ WiFi प्रमाणीकरणासाठी (authentication) क्लाउड डिरेक्टरी - Microsoft Entra ID आणि Google Workspace - सोबत RADIUS as a Service कसे समाकलित करायचे याचे सविस्तर वर्णन करते. यामध्ये ऑन-प्रिमाइसेस NPS वरून क्लाउड-नेटिव्ह RADIUS मधील आर्किटेक्चरल बदल, सर्टिफिकेट-बेस्ड EAP-TLS प्रमाणीकरणाची अंमलबजावणी, आणि हॉस्पिटॅलिटी, रिटेल व सार्वजनिक क्षेत्रातील वातावरणात वायरलेस ऍक्सेस सुरक्षित ठेवण्यासाठीच्या सर्वोत्तम कार्यपद्धतींचा (best practices) समावेश आहे. क्लाउड आयडेंटिटीमध्ये आधीपासूनच गुंतवणूक केलेल्या IT व्यवस्थापकांसाठी आणि नेटवर्क आर्किटेक्ट्ससाठी, हे मार्गदर्शक डिरेक्टरी व्यवस्थापन आणि भौतिक नेटवर्क सुरक्षा यांमधील दरी सांधण्याचे काम करते.

📖 10 मिनिट वाचन📝 2,373 शब्द🔧 2 सोडवलेली उदाहरणे❓ 4 सराव प्रश्न📚 10 महत्वाच्या व्याख्या

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा

Purple च्या तांत्रिक ब्रिफिंगमध्ये आपले स्वागत आहे. आज आपण क्लाउड आयडेंटिटी मॅनेजमेंट आणि फिजिकल नेटवर्क सिक्युरिटी यांच्या मिलाफातून तयार होणाऱ्या एका विषयावर चर्चा करत आहोत: RADIUS as a Service चे क्लाउड डिरेक्टरीजशी, विशेषतः Microsoft Entra ID आणि Google Workspace शी एकत्रीकरण करणे.

जर तुम्ही हॉटेल, रिटेल इस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील इस्टेटमधील एंटरप्राइझ WiFi व्यवस्थापित करत असाल, तर ही ब्रिफिंग थेट तुमच्या पुढील पायाभूत सुविधांच्या निर्णयाशी संबंधित आहे.

चला संदर्भापासून सुरुवात करूया. गेल्या दोन दशकांपासून, एंटरप्राइझ वातावरणातील WiFi ऑथेंटिकेशन एका बऱ्यापैकी अंदाज लावता येण्याजोग्या रचनेवर अवलंबून होते. तुमच्याकडे ऑन-प्रिमायसेस ॲक्टिव्ह डिरेक्टरी होती, Windows नेटवर्क पॉलिसी सर्व्हर जो RADIUS सर्व्हर म्हणून काम करत होता, आणि ॲक्सेस पॉइंट्सवर WPA2-Enterprise होते. हे काम करत होते. पण त्यासाठी ऑन-प्रिमायसेस सर्व्हर्स, मॅन्युअल सर्टिफिकेट मॅनेजमेंट आणि ते चालू ठेवण्यासाठी तज्ज्ञ ज्ञान असलेल्या टीमची आवश्यकता होती.

समस्या अशी आहे की बहुतेक संस्था आता ऑन-प्रिमायसेस-फर्स्ट राहिलेल्या नाहीत. त्या क्लाउड-फर्स्ट आहेत. Microsoft Entra ID आणि Google Workspace आता लाखो संस्थांसाठी रेकॉर्डच्या डिरेक्टरीज आहेत. आणि इथेच अंतर आहे: तुमचे वायरलेस ॲक्सेस पॉइंट्स अजूनही RADIUS च्या भाषेत संवाद साधतात. त्यांना SAML समजत नाही. त्यांना OAuth समजत नाही. ते RADIUS समजतात आणि नेहमीच तेच वापरतील.

त्यामुळे प्रश्न असा आहे की: पुन्हा ऑन-प्रिमायसेस सर्व्हरच्या फंदात न पडता, तुम्ही तुमच्या क्लाउड आयडेंटिटी प्लॅटफॉर्मला तुमच्या फिजिकल नेटवर्क इन्फ्रास्ट्रक्चरशी कसे जोडता?

याचे उत्तर आहे RADIUS as a Service. एक क्लाउड-होस्टेड RADIUS सर्व्हर जो थेट तुमच्या क्लाउड डिरेक्टरीशी एकत्रित होतो, रिअल टाइममध्ये ऑथेंटिकेशन विनंत्या प्रमाणित करतो आणि तुमच्या ॲक्सेस पॉइंटला प्रवेशाचा निर्णय परत पाठवतो. कोणतेही ऑन-प्रिमायसेस सर्व्हर्स नाहीत. कोणतेही पॅचिंग नाही. पहाटे २ वाजता सर्टिफिकेट नूतनीकरणाची कोणतीही आणीबाणी नाही.

याचा पाया IEEE 802.1X आहे. जेव्हा एखादे डिव्हाइस WPA2-Enterprise किंवा WPA3-Enterprise नेटवर्कशी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा ॲक्सेस पॉइंट ऑथेंटिकेटर म्हणून काम करतो. तो कनेक्शनचा प्रयत्न थांबवतो आणि EAP पॅकेट्स RADIUS सर्व्हरकडे पाठवतो. RADIUS सर्व्हर ओळख प्रमाणित करतो आणि एकतर Access-Accept किंवा Access-Reject पाठवतो. त्यानंतरच ॲक्सेस पॉइंट नेटवर्क प्रवेश मंजूर करतो.

आता, या संपूर्ण उपयोजनामधील सर्वात महत्त्वाचा तांत्रिक निर्णय म्हणजे तुमची EAP पद्धतीची निवड.

PEAP-MSCHAPv2 हा जुना मार्ग आहे. यात युझरनेम्स आणि पासवर्ड्स वापरले जातात. हे सुरक्षित वाटते, पण ते नाही. जर एखादे डिव्हाइस RADIUS सर्व्हर सर्टिफिकेट काटेकोरपणे प्रमाणित करत नसेल, तर एखादा आक्रमणकर्ता तुमच्या SSID सह बनावट ॲक्सेस पॉइंट तयार करू शकतो, हँडशेक रोखू शकतो आणि क्रेडेंशियल्स मिळवू शकतो. याला Evil Twin हल्ला म्हणतात आणि तो सध्या घडत आहे.

EAP-TLS हे योग्य उत्तर आहे. हे परस्पर ऑथेंटिकेशनसाठी सर्व्हर आणि क्लायंट डिव्हाइस दोन्हीवर डिजिटल सर्टिफिकेट्स वापरते. यामध्ये कोणतेही पासवर्ड्स समाविष्ट नसतात. डिव्हाइस त्याचे सर्टिफिकेट सादर करते. RADIUS सर्व्हर रिअल टाइममध्ये तुमच्या क्लाउड डिरेक्टरीशी त्याचे प्रमाणीकरण करतो. क्रेडेंशियल चोरीची कोणतीही शक्यता नाही. कोणतीही फिशिंगची भीती नाही. जेव्हा कोणी आपला पासवर्ड बदलतो तेव्हा हेल्पडेस्कच्या कोणत्याही तिकिटांची कटकट नाही.

चला आता Microsoft Entra ID उपयोजना समजून घेऊया.

पायरी एक: लायसन्सिंग आणि PKI. Intune आणि कंडीशनल ॲक्सेस मिळवण्यासाठी तुम्हाला Microsoft 365 E3 किंवा E5 ची आवश्यकता आहे. तुमच्या Cloud RADIUS विक्रेत्याच्या व्यवस्थापित PKI किंवा Microsoft च्या स्वतःच्या Cloud PKI चा वापर करून क्लाउड PKI स्थापित करा.

पायरी दोन: Intune द्वारे प्रमाणपत्र उपयोजन (deployment). तुमच्या Root CA सह एक ट्रस्टेड सर्टिफिकेट प्रोफाइल तयार करा आणि ते डिव्हाइस ग्रुप्समध्ये उपयोजित करा. त्यानंतर एक SCEP प्रमाणपत्र प्रोफाइल तयार करा. वापरकर्ता-आधारित प्रमाणीकरणासाठी (authentication), सब्जेक्टचे नाव User Principal Name वापरते.

पायरी तीन: Cloud RADIUS कॉन्फिगरेशन. RADIUS सेवेला Microsoft Graph API परवानग्या द्या: User.Read.All आणि GroupMember.Read.All. तुमची प्रमाणीकरण धोरणे निश्चित करा: जर प्रमाणपत्र आमच्या विश्वसनीय CA द्वारे जारी केले गेले असेल, वापरकर्ता Entra ID मधील Corporate-WiFi-Users ग्रुपचा सदस्य असेल आणि डिव्हाइस Intune मध्ये कंप्लायंट (सुसंगत) म्हणून चिन्हांकित असेल, तर प्रवेश द्या.

पायरी चार: वायरलेस इन्फ्रास्ट्रक्चर. तुमच्या कंट्रोलरमध्ये, मग ते Cisco Meraki, HPE Aruba, Ruckus, किंवा Juniper Mist असो, Cloud RADIUS आयपी (IP) पत्ते आणि सामायिक रहस्ये (shared secrets) जोडा. RADIUS टाइमआउट किमान पाच सेकंदांवर सेट करा. तुमचे WPA3-Enterprise SSID तयार करा.

पायरी पाच: WiFi प्रोफाइल उपयोजन. Intune मध्ये एक WiFi कॉन्फिगरेशन प्रोफाइल तयार करा. SSID सेट करा, WPA3-Enterprise निवडा, EAP-TLS निवडा, SCEP प्रमाणपत्र प्रोफाइल लिंक करा. डिव्हाइसेस त्यांच्या पुढील समक्रमण (sync) वेळी शांतपणे प्रमाणपत्र आणि WiFi प्रोफाइल प्राप्त करतात. ते आपोआप कनेक्ट होतात. कोणत्याही वापरकर्ता परस्परसंवादाची (user interaction) आवश्यकता नसते.

आता आपण Google Workspace च्या मार्गाकडे पाहू या, कारण तो एका महत्त्वाच्या बाबतीत संरचनात्मकरित्या वेगळा आहे.

Google मूळ (native) RADIUS सेवा ऑफर करत नाही. Windows NPS च्या तोडीची Google ची कोणतीही सेवा उपलब्ध नाही. त्यामुळे तुम्हाला नेहमीच एका मध्यस्थाची आवश्यकता असते: एक Cloud RADIUS प्रदाता जो Google Secure LDAP द्वारे किंवा SAML आणि OAuth एकत्रीकरणाद्वारे Google Workspace ला जोडतो.

Google Secure LDAP हे Cloud Identity Premium आणि Google Workspace Enterprise आवृत्त्यांवर उपलब्ध आहे. ते तुमच्या क्लाउड डिरेक्टरीला पारंपारिक LDAP इंटरफेस प्रदान करते. तुमचा Cloud RADIUS सर्व्हर Google तुमच्यासाठी व्युत्पन्न करत असलेली क्लायंट प्रमाणपत्रे वापरून पोर्ट 636 वर ldap.google.com ला कनेक्ट होतो. त्या टप्प्यापासून, RADIUS सर्व्हर क्रेडेंशियल्स किंवा ग्रुप मेंबरशिप्स सत्यापित करण्यासाठी Google च्या डिरेक्टरीला क्वेरी करू शकतो.

व्यवस्थापित Chromebooks साठी, उपयोजन मार्ग Google Admin Console चा वापर करतो. तुम्ही प्रमाणपत्रे जारी करण्यासाठी क्लाउड PKI कॉन्फिगर करता, Chromebooks वर Root CA आणि क्लायंट प्रमाणपत्रे पाठवता आणि EAP-TLS निर्दिष्ट करणारे WiFi प्रोफाइल उपयोजित करता. Chromebooks शांतपणे कनेक्ट होतात. BYOD डिव्हाइसेस आणि अतिथी प्रवेशासाठी (guest access), तुम्ही Google Single Sign-On शी जोडलेले Captive Portal वापरता. हे योग्य विभाजन आहे: व्यवस्थापित उपकरणांसाठी EAP-TLS, इतर सर्व गोष्टींसाठी Captive Portal.

चला संभाव्य त्रुटींविषयी (pitfalls) बोलूया, कारण इथेच उपयोजन चुकते.

पहिली आणि सर्वात सामान्य त्रुटी म्हणजे ब्लॉक केलेले फायरवॉल पोर्ट्स. RADIUS प्रमाणीकरण UDP पोर्ट 1812 वापरते. RADIUS अकाउंटिंग UDP पोर्ट 1813 वापरते. जर हे पोर्ट तुमच्या वायरलेस इन्फ्रास्ट्रक्चरमधून Cloud RADIUS सेवेसाठी आउटबाउंड उघडे नसतील, तर काहीही काम करणार नाही. प्रत्येक वेळी, हे सर्वात आधी तपासा.

दुसरी मोठी चूक म्हणजे प्रमाणपत्राची (certificate) मुदत संपणे. तुमच्या RADIUS सर्व्हरच्या प्रमाणपत्राची मुदत संपल्यास, नेटवर्कवरील प्रत्येक डिव्हाइसचे कनेक्शन एकाच वेळी खंडित होते. मुदत संपण्याच्या ९० दिवस, ३० दिवस आणि ७ दिवस आधी मॉनिटरिंग अलर्ट सेट करा. शक्य असेल तिथे नूतनीकरण स्वयंचलित (automate) करा.

तिसरी चूक म्हणजे क्लॉक स्क्यू (clock skew). EAP-TLS हे प्रमाणपत्राच्या वैधतेसाठी अचूक वेळ राखण्यावर अवलंबून असते. जर डिव्हाइसचे सिस्टम क्लॉक वेळेच्या मागे-पुढे असेल, तर प्रमाणपत्र वैधता अपयशी ठरते. सर्व डिव्हाइसेस आणि इन्फ्रास्ट्रक्चरवर NTP योग्यरित्या कॉन्फिगर केले असल्याची खात्री करा.

चौथी चूक, जी विशेषतः PEAP डिप्लॉयमेंटच्या बाबतीत होते, ती म्हणजे क्लायंट डिव्हाइसेसवर कठोर सर्व्हर प्रमाणपत्र वैधता लागू न करणे. याशिवाय, डिव्हाइसेस तुमच्या नावाचा दावा करणाऱ्या कोणत्याही ॲक्सेस पॉइंटद्वारे सादर केलेले कोणतेही प्रमाणपत्र स्वीकारतील. हा एकमेव कॉन्फिगरेशनचा निर्णय आहे जो सुरक्षित डिप्लॉयमेंटला असुरक्षित डिप्लॉयमेंटपासून वेगळा करतो.

आता, काही जलद प्रश्न आणि उत्तरे.

मी स्टाफ आणि गेस्ट WiFi दोघांसाठी Cloud RADIUS वापरू शकतो का? स्टाफ WiFi साठी, होय, EAP-TLS चा वापर करून. गेस्ट WiFi ने स्वतंत्र Captive Portal वापरला पाहिजे. एकाच SSID वर दोन्ही एकत्र केल्याने विनाकारण गुंतागुंत आणि सुरक्षेचा धोका निर्माण होतो.

हे WPA3 सोबत काम करते का? होय. WPA3-Enterprise पूर्णपणे समर्थित आहे आणि सर्व नवीन डिप्लॉयमेंटसाठी शिफारसित आहे.

कम्प्लायन्स (पालनाबद्दल) काय? Cloud RADIUS सह EAP-TLS हे कार्डधारक डेटा नेटवर्कवर मजबूत प्रमाणीकरणासाठी (authentication) PCI DSS आवश्यकतांचे समर्थन करते. हे कर्मचाऱ्याने नोकरी सोडल्यास अचूक ॲक्सेस लॉगिंग आणि त्वरित रद्द करण्याची सुविधा देऊन GDPR च्या नियमांचे पालन करण्यास देखील मदत करते.

याचा आमच्या ॲनालिटिक्स क्षमतेवर कसा परिणाम होतो? सकारात्मक. नेटवर्क ॲक्सेसची पडताळणी क्लाउड आयडेंटिटीशी जोडून, Purple च्या WiFi Analytics सारखे प्लॅटफॉर्म्स जागांच्या वापराचा अधिक सखोल डेटा प्रदान करतात. तुम्ही अनामित MAC ॲड्रेसवरून थेट प्रमाणीकृत, नाव असलेल्या युजर्सकडे जाता, ज्यामुळे तुमच्या विश्लेषणाचा दर्जा पूर्णपणे बदलतो.

महत्त्वाच्या मुद्द्यांचा सारांश सांगायचा तर.

एक: Cloud RADIUS ऑन-प्रिमाइसेस सर्व्हरवरील अवलंबित्व काढून टाकते. तुमचे ॲक्सेस पॉइंट्स थेट Entra ID किंवा Google Workspace शी जोडलेल्या क्लाउड-होस्ट केलेल्या सेवेद्वारे प्रमाणीकरण करतात.

दोन: EAP-TLS ही सर्वात योग्य प्रमाणीकरण पद्धत आहे. प्रमाणपत्रांमुळे पासवर्डची जागा घेतली जाते. त्यामुळे फिशिंगचा धोका नाही, क्रेडेंशियल चोरीची भीती नाही आणि पासवर्ड रीसेट करण्यासाठी हेल्पडेस्कचा अतिरिक्त ताण पडत नाही.

तीन: Microsoft Intune आणि Google Admin Console प्रमाणपत्रांचे डिप्लॉयमेंट स्वयंचलित करतात. डिव्हाइसेसना कोणत्याही युझर हस्तक्षेपाशिवाय शांतपणे प्रमाणपत्रे आणि WiFi प्रोफाइल मिळतात.

चार: RADIUS ॲट्रिब्युट्सद्वारे डायनॅमिक VLAN असाइनमेंट डिरेक्टरी ग्रुपच्या सदस्यत्वाच्या आधारे नेटवर्कचे बारीक तुकडे (segmentation) करण्यास सक्षम करते. हे नेटवर्कमधील अनधिकृत हालचाली मर्यादित करते आणि कम्प्लायन्सला मदत करते.

पाच: पोर्ट १८१२ आणि १८१३ उघडे असल्याचे नेहमी तपासा, प्रमाणपत्रांच्या मुदतीवर लक्ष ठेवा आणि कठोर सर्व्हर प्रमाणपत्र वैधता लागू करा.
जर तुम्ही या त्रैमासिकात उपयोजन (deployment) करण्याचे नियोजन करत असाल, तर २० ते ५० उपकरणांच्या पायलट ग्रुपसह सुरुवात करा. जागतिक स्तरावर रोल आउट करण्यापूर्वी प्रमाणपत्र उपयोजन, RADIUS प्रमाणीकरण आणि VLAN असाइनमेंटचे प्रमाणीकरण करा. यामध्ये घेतलेल्या योग्य परिश्रमांचे फळ हेल्पडेस्कवरील ताण कमी होण्यात, अधिक मजबूत सुरक्षा स्थितीमध्ये आणि प्रत्यक्ष व्यावसायिक बुद्धिमत्तेसाठी (business intelligence) तुमच्या नेटवर्क डेटाचा वापर करण्याच्या क्षमतेमध्ये मिळते.

Purple तांत्रिक माहिती (Technical Briefing) ऐकल्याबद्दल धन्यवाद. तपशीलवार उपयोजन पायऱ्या, कॉन्फिगरेशन उदाहरणे आणि अभ्यासलेल्या परिस्थितींसाठी, purple.ai वरील संपूर्ण तांत्रिक संदर्भ मार्गदर्शक पहा.

महत्वाचे मुद्दे

✓Cloud RADIUS मुळे ऑन-प्रिमायसेस NPS आणि FreeRADIUS सर्व्हर्सची गरज उरत नाही. तुमचे ॲक्सेस पॉइंट्स थेट Microsoft Entra ID किंवा Google Workspace शी जोडलेल्या क्लाउड-होस्ट केलेल्या सेवेद्वारे ऑथेंटिकेट करतात.
✓एंटरप्राइझ WiFi साठी EAP-TLS ही योग्य ऑथेंटिकेशन पद्धत आहे. हे पासवर्डऐवजी डिजिटल सर्टिफिकेट्स वापरते, ज्यामुळे क्रेडेंशियल चोरी, फिशिंग आणि पासवर्डशी संबंधित हेल्पडेस्कचा अतिरिक्त ताण नाहीसा होतो.
✓Microsoft Intune आणि Google Admin Console हे SCEP प्रोफाइल्सद्वारे व्यवस्थापित डिव्हाइसेसवर सर्टिफिकेट डिप्लॉयमेंट स्वयंचलित करतात. डिव्हाइसेसना वापरकर्त्याच्या हस्तक्षेपाशिवाय, बॅकग्राउंडमध्ये शांतपणे सर्टिफिकेट्स आणि WiFi प्रोफाइल्स मिळतात.
✓RADIUS इंटिग्रेशनसाठी Google Workspace ला एका मध्यस्थाची आवश्यकता असते. Google Secure LDAP (Cloud Identity Premium आणि Enterprise एडिशन्सवर उपलब्ध) हा LDAP इंटरफेस प्रदान करतो, ज्याचा वापर Cloud RADIUS सर्व्हर्स Google डिरेक्टरी क्वेरी करण्यासाठी करतात.
✓RADIUS ॲट्रिब्युट्स (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-Id) द्वारे डायनॅमिक VLAN असाइनमेंट डिरेक्टरी ग्रुप मेंबरशिपच्या आधारे नेटवर्कचे सूक्ष्म विभाजन करण्यास सक्षम करते, जे PCI DSS आवश्यकतांना सपोर्ट करते.
✓सर्वात आधी UDP पोर्ट्स 1812 आणि 1813 तपासा. ब्लॉक केलेले फायरवॉल पोर्ट्स हे सुरुवातीच्या डिप्लॉयमेंट अपयशाचे मुख्य कारण आहेत. 90, 30 आणि 7 दिवसांवर सर्टिफिकेट एक्स्पायरी मॉनिटर करा. सर्व PEAP डिप्लॉयमेंट्सवर कडक सर्व्हर सर्टिफिकेट व्हॅलिडेशन सक्तीचे करा.
✓Entra ID किंवा Google Workspace मध्ये वापरकर्त्याला डिसेबल केल्याने सर्व साईट्सवर त्यांचा WiFi ॲक्सेस त्वरित रद्द होतो. PSK-आधारित नेटवर्कच्या तुलनेत हा प्राथमिक ऑफबोर्डिंग फायदा आहे आणि थेट GDPR नियमांना सपोर्ट करतो.

कार्यकारी सारांश (Executive summary)

क्लाउड आयडेंटिटी इकोसिस्टमचा वापर करणाऱ्या आधुनिक उपक्रमांसाठी, क्लाउड डिरेक्टरीजना प्रत्यक्ष वायरलेस नेटवर्कशी जोडणे हा अत्यंत महत्त्वाचा सुरक्षा निकष आहे. ऐतिहासिकदृष्ट्या, WiFi ऑथेंटिकेशन हे ऑन-प्रिमाइसेस ॲक्टिव्ह डिरेक्टरी डोमेन सर्व्हिसेस आणि विंडोज नेटवर्क पॉलिसी सर्व्हर (NPS) वर अवलंबून असायचे. संस्था जशा Microsoft Entra ID आणि Google Workspace कडे स्थलांतरित होत आहेत, तसा तो ऑन-प्रिमाइसेस ऑथेंटिकेशन स्टॅक एक दायित्व बनतो - ज्याची देखभाल करणे खर्चिक आहे, स्केल करणे कठीण आहे आणि झिरो-ट्रस्ट सुरक्षा मॉडेल्सशी विसंगत आहे.

RADIUS as a Service (RADIUSaaS) हे समीकरण बदलते. क्लाउड-होस्ट केलेले RADIUS सर्व्हर थेट तुमच्या क्लाउड डिरेक्टरीशी एकत्रित होते, रिअल टाइममध्ये ऑथेंटिकेशन विनंत्या प्रमाणित करते आणि तुमच्या ॲक्सेस पॉइंट्सना प्रवेशाचा निर्णय परत पाठवते - यात कोणतेही ऑन-प्रिमाइसेस सर्व्हर, कोणतेही पॅचिंग सायकल आणि बिघाडाचा कोणताही एकक बिंदू (single point of failure) नसतो. EAP-TLS सर्टिफिकेट-आधारित ऑथेंटिकेशनसह एकत्रित केलेली ही आर्किटेक्चर क्रेडेंशियल चोरीचे प्रमाण शून्य करते, PCI DSS आणि GDPR कंप्लायन्सचे समर्थन करते आणि प्रत्येक साइटवरील कर्मचाऱ्यांसाठी एक अखंड अनुभव प्रदान करते.

या मार्गदर्शकामध्ये ऑन-प्रिमाइसेस NPS आणि क्लाउड-नेटिव्ह RADIUS मधील आर्किटेक्चरल निर्णय, Microsoft Intune आणि Google Admin Console द्वारे EAP-TLS चे डिप्लॉयमेंट आणि हॉटेल्स, रिटेल इस्टेट, स्टेडियम आणि सार्वजनिक क्षेत्रातील ठिकाणांवर वायरलेस ॲक्सेस सुरक्षित ठेवण्यासाठीच्या सर्वोत्तम ऑपरेशन्स पद्धतींचा समावेश आहे. नेटवर्क ॲक्सेस कंट्रोलच्या अधिक विस्तृत माहितीसाठी, तुमच्या नेटवर्क ॲक्सेस कंट्रोल सिस्टमसाठीचे मार्गदर्शक पहा.

तांत्रिक सखोल अभ्यास: आर्किटेक्चर आणि मानके

RADIUS आणि IEEE 802.1X ची भूमिका

सुरक्षित एंटरप्राइझ WiFi चा पाया म्हणजे IEEE 802.1X मानक आहे, जे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल प्रदान करते. जेव्हा एखादे क्लायंट डिव्हाइस (ज्याला supplicant म्हणतात) WPA2-Enterprise किंवा WPA3-Enterprise नेटवर्कशी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा वायरलेस ॲक्सेस पॉइंट (ज्याला authenticator म्हणतात) EAP (Extensible Authentication Protocol) पॅकेट्स व्यतिरिक्त इतर सर्व ट्रॅफिक ब्लॉक करतो. AP ही पॅकेट्स RADIUS सर्व्हरकडे फॉरवर्ड करतो. RADIUS सर्व्हर डिरेक्टरी सेवेच्या विरूद्ध ओळखीची पडताळणी करतो आणि Access-Accept किंवा Access-Reject संदेश परत पाठवतो. त्यानंतरच AP नेटवर्क ॲक्सेस मंजूर करतो.

हे त्रिपक्षीय मॉडेल - supplicant, authenticator, authentication server - एंटरप्राइझ वायरलेस सुरक्षेचा मुख्य आधारस्तंभ आहे आणि IEEE 802.1X मध्ये परिभाषित केले गेले आहे. हे सुरू झाल्यापासून यात मूलभूत बदल झालेला नाही. बदल झाला आहे तो म्हणजे RADIUS सर्व्हर कुठे राहतो आणि तो तुमच्या डिरेक्टरीशी कसा संवाद साधतो यामध्ये.

क्लाउड-नेटिव्ह RADIUS आर्किटेक्चर

क्लाउड-नेटिव RADIUS आर्किटेक्चरमुळे ऑन-प्रिमाइसेस NPS किंवा FreeRADIUS सर्व्हर्सची आवश्यकता उरत नाही. एक थर्ड-पार्टी Cloud RADIUS प्रदाता थेट Microsoft Graph API द्वारे Microsoft Entra ID शी किंवा Google Secure LDAP किंवा SAML/OAuth द्वारे Google Workspace शी इंटिग्रेट होतो. ऑथेंटिकेशन पूर्णपणे क्लाउडमध्ये होते. हे झिरो-ट्रस्ट नेटवर्क ॲक्सेस तत्त्वांशी सुसंगत आहे आणि ऑपरेशनल ओव्हरहेड लक्षणीयरीत्या कमी करते.

खालील तक्ता दोन प्राथमिक आर्किटेक्चरल दृष्टिकोनांची तुलना करतो:

परिमाण	हायब्रिड ऑन-प्रिमाइसेस (NPS)	क्लाउड-नेटिव (RADIUSaaS)
इन्फ्रास्ट्रक्चर	Windows Server VM किंवा बेअर मेटल आवश्यक	कोणतेही ऑन-प्रिमाइसेस सर्व्हर्स नाहीत
आयडेंटिटी सोर्स	LDAP/Kerberos द्वारे AD DS	API द्वारे Entra ID किंवा Google Workspace
सर्टिफिकेट ऑथॉरिटी	ADCS ऑन-प्रिमाइसेस + Intune कनेक्टर	व्हेंडर किंवा Microsoft कडून Cloud PKI
हाय अचिव्हेबिलिटी	मॅन्युअल HA आणि लोड बॅलन्सिंग	प्रदात्याद्वारे ऑटो-स्केल केलेले
सेटअप वेळ	दिवस ते आठवडे	तास
यासाठी सर्वोत्तम	हायब्रिड AD, जुनी उपकरणे	क्लाउड-फर्स्ट, MDM-व्यवस्थापित संस्था
ऑपरेशनल क्लिष्टता	उच्च प्रारंभिक आणि चालू असणारी	कमी ऑपरेशनल ओव्हरहेड

EAP-TLS विरुद्ध PEAP-MSCHAPv2: महत्त्वपूर्ण निवड

EAP पद्धतीची निवड हा या डिप्लॉयमेंटमधील सर्वात महत्त्वाचा सुरक्षा निर्णय आहे. PEAP-MSCHAPv2 वापरकर्त्यांनी त्यांचे डोमेन क्रेडेंशियल्स प्रविष्ट करण्यावर अवलंबून असतो. हे क्रेडेंशियल्स चोरीला जाण्यास आणि मॅन-इन-द-मिडल हल्ल्यांना बळी पडू शकते. क्लायंट डिव्हाइसने RADIUS सर्व्हर सर्टिफिकेट काळजीपूर्वक प्रमाणित न केल्यास - आणि अनेक डिव्हाइसेस डीफॉल्टनुसार असे करत नाहीत - तर आक्रमणकर्ता तुमच्या SSID सह बनावट ॲक्सेस पॉइंट तयार करू शकतो, EAP हँडशेक रोखू शकतो आणि क्रेडेंशियल्स मिळवू शकतो. हा एक इव्हिल ट्विन (Evil Twin) हल्ला आहे आणि याचे अनेक दस्तऐवजीकरण उपलब्ध आहे.

EAP-TLS (ट्रान्सपोर्ट लेयर सिक्युरिटी) म्युचुअल ऑथेंटिकेशनसाठी क्लायंट डिव्हाइसवर इन्स्टॉल केलेल्या डिजिटल सर्टिफिकेट्सचा वापर करते. क्लायंट आणि सर्व्हर दोन्ही त्यांची ओळख क्रिप्टोग्राफिक पद्धतीने सिद्ध करतात. यामध्ये टाईप करण्यासाठी किंवा चोरी करण्यासाठी कोणतेही पासवर्ड नसतात. Microsoft वातावरणात, SCEP (सिंपल सर्टिफिकेट एनरोलमेंट प्रोटोकॉल) किंवा PKCS प्रोफाइल्स वापरून Microsoft Intune द्वारे सर्टिफिकेट्स गुप्तपणे डिप्लॉय होतात. सर्व नवीन डिप्लॉयमेंटसाठी हा शिफारस केलेला मार्ग आहे आणि PCI DSS v4.0 (मजबूत ऑथेंटिकेशनवरील आवश्यकता 8.3) आणि GDPR डेटा संरक्षण नियमांचे पालन करण्यासाठी हे आवश्यक आहे.

Google Workspace: आर्किटेक्चरल फरक

RADIUS इंटिग्रेशनसाठी Microsoft Entra ID आणि Google Workspace एका महत्त्वाच्या बाबतीत वेगळे आहेत. Microsoft NPS हे Active Directory सोबत नेटिव्हली इंटिग्रेट होते आणि Cloud RADIUS प्रदाता Microsoft Graph API द्वारे Entra ID ला जोडतात. मात्र, Google नेटिव्ह RADIUS सेवा ऑफर करत नाही. यासाठी तुम्हाला नेहमी एका मध्यस्थाची आवश्यकता असते.

Google Secure LDAP हा मुख्य एकत्रीकरण (integration) मार्ग आहे. Cloud Identity Premium आणि Google Workspace Enterprise आवृत्त्यांवर उपलब्ध असलेला, हा तुमच्या क्लाउड डिरेक्टरीला पारंपारिक LDAP इंटरफेस प्रदान करतो. तुमचा Cloud RADIUS सर्व्हर Google ने तुमच्यासाठी तयार केलेल्या क्लायंट प्रमाणपत्रांचा (certificates) वापर करून पोर्ट 636 वर ldap.google.com शी कनेक्ट होतो. तिथून पुढे, RADIUS सर्व्हर क्रेडेंशियल्स किंवा ग्रुप मेंबरशिप्सची पडताळणी करण्यासाठी Google च्या डिरेक्टरीला क्वेरी पाठवतो, जसे तो एखाद्या ऑन-प्रिमायसेस (on-premise) Active Directory ला पाठवेल.

एक पर्यायी मार्ग SAML-आधारित एकत्रीकरण वापरतो, जिथे Cloud RADIUS प्रदाता Google Admin Console मध्ये SAML ॲप्लिकेशन म्हणून नोंदणी करतो आणि युझरची ओळख आणि ग्रुप मेंबरशिप्सची रिअल टाइममध्ये पडताळणी करण्यासाठी ऑथेंटिकेशनच्या वेळी OAuth लुकअप करतो.

अंमलबजावणी मार्गदर्शक (Implementation guide)

EAP-TLS सह RADIUSaaS ची अंमलबजावणी करण्यासाठी आयडेंटिटी, डिव्हाइस मॅनेजमेंट आणि नेटवर्क इन्फ्रास्ट्रक्चरचा ताळमेळ घालणे आवश्यक आहे. खालील पाच-टप्प्यांचा दृष्टीकोन Microsoft Entra ID आणि Google Workspace या दोन्ही वातावरणांना लागू होतो.

टप्पा १: आयडेंटिटी आणि डिव्हाइस मॅनेजमेंट इन्फ्रास्ट्रक्चर तयार करा

Microsoft Entra ID साठी: तुमच्या टेनंटकडे Microsoft 365 E3/E5 किंवा Enterprise Mobility + Security (EMS) E3/E5 लायसन्सिंग असल्याची पडताळणी करा. यामध्ये Microsoft Intune आणि कंडीशनल ॲक्सेसचा समावेश आहे. Intune शिवाय, स्वयंचलित प्रमाणपत्र वितरण (automated certificate deployment) शक्य नाही.

Google Workspace साठी: Google Secure LDAP मध्ये प्रवेश मिळवण्यासाठी तुमच्याकडे Cloud Identity Premium किंवा Google Workspace Enterprise असल्याची खात्री करा. जर तुम्ही व्यवस्थापित (managed) Chromebooks वर EAP-TLS वापरण्याची योजना आखत असाल, तर Google Admin Console हे डिव्हाइस प्रमाणपत्रे व्यवस्थापित करण्यासाठी कॉन्फिगर केले असल्याची खात्री करा.

तुमचे पब्लिक की इन्फ्रास्ट्रक्चर (PKI) स्थापित करा. नवीन उपयोजनांसाठी (deployments), तुमच्या Cloud RADIUS विक्रेत्याने प्रदान केलेले क्लाउड-नेटिव्ह PKI अत्यंत शिफारसीय आहे. पर्यायांमध्ये Microsoft Cloud PKI (Intune Suite लायसन्सिंगसह उपलब्ध) किंवा Microsoft Intune Certificate Connector द्वारे कनेक्ट केलेले विद्यमान ऑन-प्रिमायसेस ADCS उपयोजन समाविष्ट आहे.

टप्पा २: प्रमाणपत्र वितरण (certificate deployment) कॉन्फिगर करा

Microsoft Intune मार्ग: Intune ॲडमिन सेंटरमध्ये, एक Trusted Certificate कॉन्फिगरेशन प्रोफाइल तयार करा. Root CA प्रमाणपत्र अपलोड करा आणि ते तुमच्या लक्ष्यित डिव्हाइस ग्रुप्सवर उपयोजित (deploy) करा. यामुळे TLS हँडशेक दरम्यान RADIUS सर्व्हरने सादर केलेल्या प्रमाणपत्रावर क्लायंट डिव्हाइसेस विश्वास ठेवतात हे सुनिश्चित होते. पुढे, एक SCEP Certificate प्रोफाइल तयार करा. युझर-आधारित ऑथेंटिकेशनसाठी, Subject Name CN={{UserPrincipalName}} वर सेट करा. डिव्हाइस-आधारित ऑथेंटिकेशनसाठी, CN={{DeviceName}} वापरा. User Principal Name किंवा डिव्हाइस आयडी समाविष्ट करण्यासाठी Subject Alternative Name सेट करा.

Google Admin Console मार्ग: Devices, नंतर Networks, नंतर Certificates वर जा. तुमचे Root CA अपलोड करा. प्रमाणपत्र जारी करण्याची यंत्रणा (certificate issuance mechanism) कॉन्फिगर करा - एकतर क्लाउड PKI जे Google Workspace सह SCEP एकत्रीकरणाला सपोर्ट करते, किंवा Google Cloud Certificate Connector जे ऑन-प्रिमायसेस Microsoft Certificate Authority कडे विनंत्या प्रॉक्सी करते. योग्य ऑर्गनायझेशनल युनिट्समध्ये (Organisational Units) Root CA आणि क्लायंट प्रमाणपत्र प्रोफाइल्स उपयोजित करा.

टप्पा ३: Cloud RADIUS एकत्रीकरण कॉन्फिगर करा

तुमच्या डिरेक्टरी टेनंटमध्ये तुमच्या Cloud RADIUS प्रदात्याला आवश्यक त्या API परवानग्या द्या. Entra ID साठी, Microsoft Graph API द्वारे किमान User.Read.All आणि GroupMember.Read.All असणे आवश्यक आहे. काही प्रदात्यांना डिव्हाइस अनुपालन तपासणीसाठी Device.Read.All ची देखील आवश्यकता असते. Secure LDAP द्वारे Google Workspace साठी, Google Admin Console मधून क्लायंट सर्टिफिकेट आणि की डाउनलोड करा आणि त्या RADIUS सेवेवर इन्स्टॉल करा.

तुमच्या Cloud RADIUS व्यवस्थापन पोर्टलमध्ये तुमची ऑथेंटिकेशन धोरणे निश्चित करा. कॉर्पोरेट वातावरणासाठी एक सुव्यवस्थित धोरण असे असावे: "जर सर्टिफिकेट [Trusted CA] द्वारे जारी केले गेले असेल आणि युझर [Corporate-WiFi-Users] ग्रुपचा सदस्य असेल आणि डिव्हाइस Intune मध्ये Compliant म्हणून चिन्हांकित असेल, तरच प्रवेशास परवानगी द्या." हे एकाच वेळी ओळख, ग्रुप मेंबरशिप आणि डिव्हाइसचे आरोग्य सुनिश्चित करते.

टप्पा ४: वायरलेस इन्फ्रास्ट्रक्चर कॉन्फिगर करा

तुमच्या वायरलेस LAN कंट्रोलर किंवा क्लाउड मॅनेजमेंट डॅशबोर्डमध्ये - Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme किंवा Fortinet - Cloud RADIUS सर्व्हर IP ॲड्रेस आणि शेअर केलेले सिक्रेट्स RADIUS ऑथेंटिकेशन सर्व्हर म्हणून जोडा. रिडंडन्सीसाठी प्रायमरी आणि सेकंडरी सर्व्हर्स कॉन्फिगर करा. क्लाउड राउंड-ट्रिप लेटन्सी व्यवस्थापित करण्यासाठी RADIUS टाइमआउट किमान पाच सेकंदांवर सेट करा.

WPA2-Enterprise किंवा WPA3-Enterprise साठी कॉन्फिगर केलेले नवीन SSID तयार करा. Hospitality उपयोजनांसाठी, कॉर्पोरेट SSID कोणत्याही Guest WiFi नेटवर्कपासून वेगळ्या VLAN वर असल्याची खात्री करा. Retail वातावरणासाठी, कॉर्पोरेट SSID केवळ बॅक-ऑफ-हाउस क्षेत्रांमध्येच उपयोजित करण्याचा विचार करा.

टप्पा ५: MDM द्वारे WiFi प्रोफाइल उपयोजित करा

Microsoft Intune: एक WiFi कॉन्फिगरेशन प्रोफाइल तयार करा. तुमच्या इन्फ्रास्ट्रक्चर कॉन्फिगरेशनशी तंतोतंत जुळण्यासाठी SSID सेट करा. WPA2-Enterprise किंवा WPA3-Enterprise निवडा. EAP सेटिंग्ज अंतर्गत, EAP-TLS निवडा. SCEP सर्टिफिकेट प्रोफाइलला क्लायंट सर्टिफिकेट म्हणून लिंक करा आणि Trusted Root CA प्रोफाइल निर्दिष्ट करा. हे WiFi प्रोफाइल त्याच डिव्हाइस ग्रुप्सना द्या ज्यांना सर्टिफिकेट प्रोफाइल मिळाले आहेत. पुढील Intune सिंक दरम्यान डिव्हाइसेसना सर्टिफिकेट आणि WiFi कॉन्फिगरेशन आपोआप प्राप्त होते.

Google Admin Console: Devices, त्यानंतर Networks, आणि मग Wi-Fi वर जा. एक नवीन WiFi नेटवर्क प्रोफाइल तयार करा. SSID सेट करा, WPA3-Enterprise निवडा, EAP-TLS निवडा आणि ट्रस्टेड Root CA सर्टिफिकेट डिव्हाइसेसवर पुश करा. हे प्रोफाइल तुमच्या Organisational Units वर लागू करा. Chromebooks सुरक्षितपणे आणि कोणत्याही व्यत्ययाशिवाय कनेक्ट होतात.

सर्वोत्तम पद्धती

सर्व नवीन उपयोजनांमध्ये EAP-TLS अनिवार्य करा. PEAP-MSCHAPv2 चा वापर करून नवीन नेटवर्क उपयोजित करू नका. यामधील सुरक्षा धोके सुपरिचित आहेत आणि आधुनिक MDM टूल्सच्या साहाय्याने याचे मायग्रेशन करणे अत्यंत सोपे आहे. सर्व्हर प्रमाणपत्र प्रमाणीकरण कठोरपणे लागू करा (Enforce strict server certificate validation). तुम्हाला जुन्या उपकरणांसाठी PEAP वापरणे आवश्यक असल्यास, RADIUS सर्व्हरचे प्रमाणपत्र प्रमाणित करण्यासाठी उपकरणे कॉन्फिगर करा. Intune WiFi प्रोफाइल आणि Google Admin Console WiFi प्रोफाइलमध्ये, सर्व्हर प्रमाणीकरणासाठी विश्वसनीय CA निर्दिष्ट करण्यासाठी एक फील्ड आहे. हे रिकामे ठेवू नका. हा एकच कॉन्फिगरेशन निर्णय सुरक्षित उपयोजन आणि असुरक्षित उपयोजन यामधील फरक ठरवतो.

डायनॅमिक VLAN असाइनमेंटसह तुमचे नेटवर्क विभागणी करा (Segment your network with dynamic VLAN assignment). Entra ID किंवा Google Workspace मधील वापरकर्त्याची गट सदस्यत्व तपासण्यासाठी तुमचा RADIUS सर्व्हर वापरा आणि त्यांना डायनॅमिक पद्धतीने वेगवेगळ्या VLAN मध्ये नियुक्त करा. RADIUS सर्व्हर ॲक्सेस पॉईंटला Tunnel-Private-Group-Id विशेषता परत करतो, ज्यामुळे क्लायंट योग्य VLAN वर येतो. हे तडजोड झाल्यास बाजूकडील हालचाली मर्यादित करते आणि PCI DSS नेटवर्क विभागणी आवश्यकतांचे समर्थन करते.

कॉर्पोरेट आणि अतिथी प्रमाणीकरण वेगळे करा (Separate corporate and guest authentication). कॉर्पोरेट-व्यवस्थापित उपकरणांसाठी EAP-TLS वापरा. BYOD आणि अतिथी उपकरणांसाठी SSO सह Captive Portal वापरा. व्यवस्थापित नसलेल्या उपकरणांवर EAP-TLS मॅन्युअली कॉन्फिगर करण्याचा प्रयत्न केल्यास प्रचंड सपोर्ट ओव्हरहेड तयार होतो. Purple चे Guest WiFi प्लॅटफॉर्म अतिथी ऑनबोर्डिंग स्वतंत्रपणे हाताळते, ज्यामुळे कर्मचारी आणि अभ्यागत ट्रॅफिकमध्ये स्पष्ट वेगळेपणा राखला जातो.

प्रमाणपत्र कालबाह्यतेचे सक्रियपणे निरीक्षण करा (Monitor certificate expiry proactively). प्रमाणपत्र कालबाह्य होण्यापूर्वी ९० दिवस, ३० दिवस आणि सात दिवसांवर निरीक्षण आणि अलर्ट सेट करा. तुमचे RADIUS सर्व्हर प्रमाणपत्र कालबाह्य झाल्यास, सर्व उपकरणांची कनेक्टिव्हिटी एकाच वेळी नष्ट होते. तुमचे PKI जेथे समर्थन करते तेथे नूतनीकरण स्वयंचलित करा.

RADIUS टाइमआउट सेटिंग्ज तपासा (Test RADIUS timeout settings). क्लाउड RADIUS नेटवर्क राउंड-ट्रिप लेटन्सी आणते जी ऑन-प्रिमायसिस NPS आणत नाही. तुमच्या ॲक्सेस पॉईंट्सवर RADIUS टाइमआउट किमान पाच सेकंदांवर सेट करा. डीफॉल्ट कॉन्फिगरेशनमध्ये सामान्य असलेला दोन सेकंदांचा टाइमआउट अधूनमधून प्रमाणीकरण अयशस्वी ठरण्यास कारणीभूत ठरेल.

ट्रबलशूटिंग आणि जोखीम कमी करणे

ब्लॉक केलेले फायरवॉल पोर्ट (Blocked firewall ports) हे सुरुवातीच्या उपयोजन अपयशाचे प्रमुख कारण आहेत. RADIUS प्रमाणीकरणासाठी तुमच्या वायरलेस इन्फ्रास्ट्रक्चरमधून क्लाउड RADIUS सेवेकडे UDP पोर्ट १८१२ आउटबाउंड आवश्यक आहे. RADIUS अकाउंटिंगसाठी UDP पोर्ट १८१३ आवश्यक आहे. इतर कोणत्याही ट्रबलशूटिंगपूर्वी हे पोर्ट खुले असल्याची खात्री करा.

प्रमाणपत्र प्रमाणीकरण अयशस्वी होणे (Certificate validation failures) हे कोणत्याही उघड कारणाशिवाय प्रमाणीकरण नाकारले जाण्याच्या स्वरूपात समोर येते. खालील गोष्टी क्रमाने तपासा: क्लायंट आणि RADIUS सर्व्हर दोन्हीवरील प्रमाणपत्र कालबाह्यता; क्लायंट डिव्हाइस आणि RADIUS सर्व्हरमधील क्लॉक स्क्यू (EAP-TLS अचूक वेळेवर अवलंबून असते); आणि Root CA प्रमाणपत्र MDM द्वारे डिव्हाइसवर यशस्वीरित्या उपयोजित केले गेले आहे की नाही.

गट सदस्यत्व लागू न होणे (Group membership not enforcing) ही एक सामान्य समस्या आहे जेव्हा RADIUS धोरणे Entra ID किंवा Google Workspace गटांचा संदर्भ देतात. क्लाउड RADIUS प्रदात्याकडे गट सदस्यत्वे वाचण्यासाठी योग्य API परवानग्या आहेत याची खात्री करा. Entra ID मध्ये, सर्व्हिस प्रिन्सिपलकडे GroupMember.Read.All असल्याची खात्री करा. Google Workspace मध्ये, सुरक्षित LDAP क्लायंटकडे गट माहिती वाचण्याची परवानगी असल्याची खात्री करा.

VLAN assignment non-functional सामान्यत: RADIUS अ‍ॅट्रिब्युट मूल्ये आणि वायरलेस इन्फ्रास्ट्रक्चरवर कॉन्फिगर केलेले VLAN IDs यांच्यातील विसंगती दर्शवते. Tunnel-Type हे VLAN (मूल्य १३) वर सेट आहे, Tunnel-Medium-Type हे 802 (मूल्य ६) वर सेट आहे आणि Tunnel-Private-Group-Id हे स्विच किंवा कंट्रोलरवर कॉन्फिगर केलेल्या VLAN ID शी जुळत असल्याची खात्री करा.

BYOD उपकरणांवर EAP-TLS अयशस्वी होणे सहसा क्लायंट प्रमाणपत्र यशस्वीरित्या उपयोजित (deploy) न झाल्याचे दर्शवते. Intune द्वारे व्यवस्थापित उपकरणांसाठी, Intune अ‍ॅडमिन सेंटरमधील उपकरणाचे प्रमाणपत्र स्टोअर तपासा. Google द्वारे व्यवस्थापित Chromebooks साठी, प्रमाणपत्र प्रोफाइल योग्य संस्थात्मक युनिटला (Organisational Unit) नियुक्त केले आहे आणि उपकरण अलीकडेच सिंक झाले आहे याची पडताळणी करा.

ROI आणि व्यावसायिक प्रभाव

Cloud RADIUS कडे स्थलांतरित केल्याने मोजण्यायोग्य ऑपरेशन्स बचती मिळते. ऑन-प्रिमाइसेस RADIUS ला उच्च उपलब्धतेसाठी कमीत कमी दोन सर्व्हर, सतत OS पॅचिंग, प्रमाणपत्र व्यवस्थापन आणि तज्ज्ञ अभियंत्याचा वेळ आवश्यक असतो. एका वर्षात RADIUS च्या देखभालीसाठी लागणारा एका अभियंत्याचा वेळ सामान्यतः Cloud RADIUS सबस्क्रिप्शनच्या वार्षिक खर्चापेक्षा जास्त असतो.

व्यावसायिक फायदा केवळ खर्च कमी करण्यापुरता मर्यादित नाही. नेटवर्क प्रवेशाला सत्यापित क्लाउड ओळखींशी जोडून, तुम्हाला खालील गोष्टी मिळतात:

झटपट ऑफबोर्डिंग (Instant offboarding). Entra ID किंवा Google Workspace मध्ये वापरकर्त्याला निष्क्रिय केल्याने सर्व साइट्सवरील त्यांचा नेटवर्क प्रवेश त्वरित रद्द होतो. यामध्ये कोणताही विलंब नाही, कोणतीही मॅन्युअल प्रक्रिया नाही आणि माजी कर्मचाऱ्याकडे WiFi प्रवेश राहण्याचा कोणताही धोका नाही. हे थेट डेटा प्रवेश अधिकारांबाबतच्या GDPR दायित्वांना समर्थन देते.

अधिक समृद्ध विश्लेषण (Richer analytics). जेव्हा नेटवर्क प्रवेश प्रमाणीकृत ओळखींशी जोडलेला असतो, तेव्हा Purple चे WiFi Analytics सारखे प्लॅटफॉर्म जागा वापर आणि अभ्यागतांच्या प्रवासाविषयी अधिक समृद्ध डेटा प्रदान करतात. तुम्ही अनामित MAC अ‍ॅड्रेसेसकडून नामांकित, प्रमाणीकृत वापरकर्त्यांकडे जाता, ज्यामुळे ऑपरेशन्स आणि मार्केटिंग टीम्सना मिळणाऱ्या अंतर्दृष्टीची गुणवत्ता बदलते.

अनुपालन पुरावे (Compliance evidence). EAP-TLS प्रमाणीकरण तपशीलवार प्रवेश लॉग व्युत्पन्न करते - कोण कनेक्ट झाले, कोणत्या उपकरणावरून, कोणत्या ठिकाणी आणि कोणत्या वेळी. हा ऑडिट ट्रेल PCI DSS आवश्यकता १० (लॉगिंग आणि मॉनिटरिंग) आणि GDPR जबाबदारीच्या दायित्वांना समर्थन देतो.

मल्टी-साइट सुसंगतता (Multi-site consistency). एकच Cloud RADIUS सेवा एकाच डॅशबोर्डवरून व्यवस्थापित केलेल्या सुसंगत धोरणांसह तुमच्या सर्व साइट्सचे प्रमाणीकरण करते. नवीन हॉटेल, स्टोअर किंवा ठिकाण जोडणे म्हणजे त्याच्या अ‍ॅक्सेस पॉइंट्सना RADIUS कॉन्फिगरेशनमध्ये जोडणे - दुसरा सर्व्हर पाठवणे आणि कॉन्फिगर करणे नव्हे. मोठ्या प्रमाणावर मालमत्ता व्यवस्थापित करणाऱ्या संस्थांसाठी, हा एक महत्त्वपूर्ण ऑपरेशनल फायदा आहे.

Transport ऑपरेटर आणि Healthcare ठिकाणांसाठी जिथे नेटवर्क अपटाइम ऑपरेशन्सच्या दृष्टीने अत्यंत गंभीर आहे, Cloud RADIUS प्रदाते सामान्यतः ९९.९९९% अपटाइम SLAs सह अंगभूत मल्टी-रीजन फेलओव्हर देतात. Purple ८०,०००+ हून अधिक लाइव्ह ठिकाणी ९९.९९९% अपटाइमवर कार्यरत आहे, २०२४ मध्ये ४४० दशलक्ष लॉगइन्स प्रविष्ट केले गेले आहेत (Purple अंतर्गत डेटा, २०२४).संबंधित विषयांवर अधिक वाचनासाठी, WAN Computer Definition: A Practical Guide for 2026 आणि World WiFi Day 2026: How Your Venue Can Help Bridge the Digital Divide पहा.

महत्वाच्या व्याख्या

RADIUS (Remote Authentication Dial-In User Service)

RFC 2865 मध्ये परिभाषित केलेला एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क सेवेशी कनेक्ट होणाऱ्या युजर्ससाठी केंद्रीकृत प्रमाणीकरण (Authentication), अधिकृतता (Authorisation), आणि अकाऊंटिंग (Accounting) (AAA) व्यवस्थापन प्रदान करतो. RADIUS सर्व्हर हा तुमच्या ॲक्सेस पॉइंट्स आणि तुमच्या आयडेंटिटी डिरेक्टरीमधील निर्णय घेणारे इंजिन म्हणून काम करतो.

प्रत्येक एंटरप्राइझ WPA2-Enterprise किंवा WPA3-Enterprise WiFi नेटवर्क RADIUS सर्व्हरवर अवलंबून असते. त्याशिवाय, IEEE 802.1X प्रमाणीकरण (authentication) कार्य करत नाही.

RADIUS as a Service (RADIUSaaS)

मॅनेज्ड सर्व्हिस म्हणून वितरित केलेली क्लाउड-होस्टेड RADIUS अंमलबजावणी. हा प्रोव्हाइडर इन्फ्रास्ट्रक्चर, पॅचिंग, हाय अवेलेबिलिटी आणि आयडेंटिटी प्रोव्हाइडर इंटिग्रेशन्सची देखभाल करतो. तुम्ही प्रमाणीकरण पॉलिसी कॉन्फिगर करता आणि तुमचे ॲक्सेस पॉइंट्स क्लाउड RADIUS IPs कडे निर्देशित करता.

RADIUSaaS मुळे ऑन-प्रिमाइसेस NPS किंवा FreeRADIUS सर्व्हरची गरज उरत नाही, ज्यामुळे संबंधित हार्डवेअर, OS पॅचिंग आणि तज्ञ मेंटेनन्सचा खर्च आणि त्रास दूर होतो.

IEEE 802.1X

पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलसाठीचे एक IEEE मानक. हे तीन-पार्टी प्रमाणीकरण मॉडेल परिभाषित करते: सप्लिकंट (क्लायंट डिव्हाइस), ऑथेंटिकेटर (ॲक्सेस पॉइंट किंवा स्विच), आणि ऑथेंटिकेशन सर्व्हर (RADIUS सर्व्हर). जोपर्यंत RADIUS सर्व्हर प्रवेश मंजूर करत नाही तोपर्यंत ऑथेंटिकेटर सर्व ट्रॅफिक ब्लॉक करतो.

एंटरप्राइझ WiFi प्रमाणीकरणासाठीचा पायाभूत मानक. WPA2-Enterprise आणि WPA3-Enterprise हे दोन्ही 802.1X वर अवलंबून आहेत.

EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)

RFC 5216 मध्ये परिभाषित केलेली एक प्रमाणीकरण पद्धत जी परस्पर प्रमाणीकरणासाठी RADIUS सर्व्हर आणि क्लायंट डिव्हाइस या दोन्हीवर डिजिटल सर्टिफिकेट्सचा वापर करते. कोणतीही पार्टी पासवर्ड पाठवत नाही. क्लायंट त्याचे सर्टिफिकेट सादर करतो; सर्व्हर रिअल टाइममध्ये डिरेक्टरीच्या विरूद्ध त्याचे प्रमाणीकरण करतो.

एंटरप्राइझ WiFi सुरक्षेसाठीचा सुवर्ण मानक. क्रेडेंशियल चोरी, फिशिंग आणि पासवर्ड-संबंधित हेल्पडेस्कचा ताण दूर करतो. कार्डधारक डेटा नेटवर्कवर PCI DSS अनुपालनासाठी आवश्यक.

PEAP-MSCHAPv2 (Protected EAP - Microsoft Challenge Handshake Authentication Protocol v2)

एक प्रमाणीकरण पद्धत जी एनक्रिप्टेड TLS टनेल तयार करते आणि नंतर त्याद्वारे युझरचे युझरनेम आणि पासवर्ड पाठवते. जर क्लायंटने RADIUS सर्व्हर सर्टिफिकेटची काटेकोरपणे पडताळणी केली नाही तर यावर Evil Twin हल्ले होऊ शकतात.

एंटरप्राइझ WiFi साठीचा जुना डीफॉल्ट पर्याय. अजूनही मोठ्या प्रमाणावर वापरला जातो परंतु शक्य असेल तिथे सर्व नवीन आणि विद्यमान डिप्लॉयमेंट्समध्ये EAP-TLS वर स्थलांतरित केला पाहिजे.

Microsoft Entra ID

Microsoft ची क्लाउड-आधारित आयडेंटिटी आणि ॲक्सेस व्यवस्थापन सेवा, ज्याला पूर्वी Azure Active Directory (Azure AD) म्हणून ओळखले जात होते. युझर आयडेंटिटी, ग्रुप मेंबरशिप, डिव्हाइस कंप्लायन्स आणि कंडीशनल ॲक्सेस पॉलिसी व्यवस्थापित करते.

Microsoft-केंद्रित वातावरणात Cloud RADIUS साठीचा प्राथमिक आयडेंटिटी सोर्स. Cloud RADIUS प्रोव्हाइडर्स Microsoft Graph API द्वारे Entra ID शी कनेक्ट होतात.

Google Secure LDAP

Cloud Identity Premium आणि Google Workspace Enterprise एडिशन्सवर उपलब्ध असलेली एक मॅनेज्ड सर्व्हिस जी Google च्या क्लाउड डिरेक्टरीला पारंपारिक LDAP इंटरफेस प्रदान करते. RADIUS सर्व्हर क्लायंट सर्टिफिकेट्स वापरून पोर्ट 636 वर ldap.google.com शी कनेक्ट होतात.

Cloud RADIUS सर्व्हरला Google Workspace शी कनेक्ट करण्यासाठीचा प्राथमिक इंटिग्रेशन मार्ग. Google नेटिव्ह RADIUS सेवा ऑफर करत नाही, त्यामुळे Secure LDAP हा ब्रिज म्हणून काम करतो.

PKI (Public Key Infrastructure)

डिजिटल सर्टिफिकेट्स तयार करणे, व्यवस्थापित करणे, वितरित करणे, वापरणे, स्टोअर करणे आणि रद्द करणे यासाठी आवश्यक असलेल्या भूमिका, पॉलिसी, हार्डवेअर, सॉफ्टवेअर आणि प्रक्रियांचा संच. EAP-TLS प्रमाणीकरणामध्ये वापरले जाणारे क्लायंट आणि सर्व्हर सर्टिफिकेट्स जारी करण्यासाठी PKI आवश्यक आहे.

RADIUS व्हेंडर्स किंवा Microsoft (Cloud PKI) कडून मिळणारे क्लाउड-नेटिव्ह PKI पर्याय ऑन-प्रिमाइसेस Active Directory Certificate Services (ADCS) ची गरज दूर करतात.

SCEP (Simple Certificate Enrollment Protocol)

एक प्रोटोकॉल जो डिव्हाइसेसना सर्टिफिकेट ऑथॉरिटीकडून डिजिटल सर्टिफिकेट्सची विनंती करण्यास आणि ती आपोआप प्राप्त करण्यास सक्षम करतो. युझरच्या हस्तक्षेपाशिवाय व्यवस्थापित डिव्हाइसेसवर क्लायंट सर्टिफिकेट्स तैनात करण्यासाठी Microsoft Intune आणि Google Admin Console द्वारे वापरला जातो.

Intune मधील SCEP प्रोफाइल ही अशी यंत्रणा आहे ज्याद्वारे कॉर्पोरेट डिव्हाइसेसना EAP-TLS प्रमाणीकरणासाठी आवश्यक असलेले क्लायंट सर्टिफिकेट्स आपोआप मिळतात.

Dynamic VLAN assignment

एक RADIUS वैशिष्ट्य जे प्रमाणीकृत युझरच्या डिरेक्टरी ग्रुप मेंबरशिपच्या आधारावर ॲक्सेस पॉइंटला VLAN असाइनमेंट ॲट्रिब्युट्स (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-Id) परत पाठवते. AP क्लायंटला स्वयंचलितपणे निर्दिष्ट VLAN वर ठेवतो.

प्रत्येक डिव्हाइससाठी मॅन्युअल VLAN कॉन्फिगरेशनशिवाय सुटसुटीत नेटवर्क सेगमेंटेशन सक्षम करते. वेगवेगळ्या भूमिका किंवा विभागातील कर्मचारी वेगवेगळ्या नेटवर्क सेगमेंटवर पोहोचतात, ज्यामुळे अनधिकृत हालचालींवर मर्यादा येतात आणि PCI DSS सेगमेंटेशन आवश्यकतांना सपोर्ट मिळतो.

सोडवलेली उदाहरणे

एक २०० खोल्यांचे हॉटेल आपल्या बॅक-ऑफ-हाउस कर्मचारी नेटवर्कचे स्थलांतर एका जुन्या ऑन-प्रिमिस NPS सर्व्हरवरून क्लाउड-नेटिव्ह सोल्यूशनवर करत आहे. हे हॉटेल अलीकडेच Microsoft Entra ID आणि Microsoft 365 E5 वर स्थलांतरित झाले आहे. कर्मचाऱ्यांची डिव्हाइसेस Windows लॅपटॉप आहेत जे Intune द्वारे व्यवस्थापित केले जातात. त्यांची वायरलेस इन्फ्रास्ट्रक्चर Cisco Meraki आहे. हॉटेलला अशी सोय हवी आहे की जेणेकरून कर्मचारी पासवर्ड न टाकता आपोआप कनेक्ट होतील, आणि एखादा कर्मचारी सोडून गेल्यास त्याचे नेटवर्क ॲक्सेस त्वरित रद्द व्हावा.

Entra ID इंटिग्रेशनसह Cloud RADIUS सोल्यूशन तैनात करा. पायरी १: Entra ID टेनंटमध्ये Cloud RADIUS प्रदात्याला Microsoft Graph API परवानग्या (User.Read.All, GroupMember.Read.All, Device.Read.All) द्या. पायरी २: Intune मध्ये, Cloud RADIUS Root CA सह एक Trusted Certificate प्रोफाइल तयार करा आणि ते 'All Corporate Devices' ग्रुपवर तैनात करा. पायरी ३: Subject Name CN={{UserPrincipalName}} सह एक SCEP Certificate प्रोफाइल तयार करा आणि ते त्याच ग्रुपवर तैनात करा. पायरी ४: Cloud RADIUS ऑथेंटिकेशन पॉलिसी कॉन्फिगर करा: जर सर्टिफिकेट [Trusted CA] द्वारे जारी केले असेल आणि वापरकर्ता [Hotel-Staff-WiFi] Entra ID ग्रुपचा सदस्य असेल आणि डिव्हाइस Intune-compliant असेल, तरच प्रवेश मंजूर करा. पायरी ५: Cisco Meraki डॅशबोर्डमध्ये, बॅक-ऑफ-हाउस SSID वर RADIUS सर्व्हर म्हणून Cloud RADIUS चे प्रायमरी आणि सेकंडरी IPs जोडा. RADIUS टाइमआउट ५ सेकंदांवर सेट करा. पायरी ६: Intune मध्ये, बॅक-ऑफ-हाउस SSID साठी एक WPA3-Enterprise WiFi प्रोफाइल तयार करा, ज्यामध्ये EAP-TLS निर्दिष्ट करा आणि SCEP सर्टिफिकेट प्रोफाइल लिंक करा. 'All Corporate Devices' ग्रुपवर तैनात करा. पुढील Intune सिंक्रोनाइझेशनवर डिव्हाइसेसना सर्टिफिकेट आणि WiFi प्रोफाइल कोणतीही सूचना न देता मिळतात आणि ते आपोआप कनेक्ट होतात. जेव्हा एखादा कर्मचारी नोकरी सोडतो, तेव्हा त्यांचे Entra ID खाते निष्क्रिय केल्याने सर्व साइट्सवरील नेटवर्क ॲक्सेस त्वरित रद्द होतो.

परीक्षकाचे भाष्य: हा दृष्टिकोन ऑन-प्रिमिस NPS ची आवश्यकता पूर्णपणे काढून टाकतो. EAP-TLS क्रेडेंशियल-आधारित ऑथेंटिकेशनमधील फिशिंगचा धोका दूर करते. Intune सर्टिफिकेट लाइफसायकल मॅनेजमेंट स्वयंचलित करते, ज्यामुळे मागील NPS तैनातीमध्ये सर्टिफिकेट नूतनीकरणात होणारा मानवी विलंब आणि अतिरिक्त काम टळते. Entra ID ग्रुप पॉलिसीचा अर्थ असा आहे की जेव्हा HR एखादे खाते निष्क्रिय करते, तेव्हा नेटवर्क ॲक्सेस रिअल-टाइममध्ये रद्द होतो - कोणत्याही मॅन्युअल RADIUS पॉलिसी अपडेटची आवश्यकता नसते. Cisco Meraki इंटिग्रेशन अगदी सोपे आहे: Cloud RADIUS हे हार्डवेअर-अग्नॉस्टिक आहे आणि कोणत्याही 802.1X-सक्षम इन्फ्रास्ट्रक्चरसोबत कार्य करते.

५० स्टोअर्स असलेली एक रिटेल साखळी Google Workspace वापरते आणि स्टोअर असोसिएट्सद्वारे इन्व्हेंटरी आणि पॉइंट-ऑफ-सेल ऑपरेशन्ससाठी वापरल्या जाणाऱ्या ५०० Chromebooks चा संच व्यवस्थापित करते. ते सध्या स्टोअर ऑपरेशन्स नेटवर्कसाठी सामायिक WPA2 PSK वापरतात, ज्यामुळे डिव्हाइसेस हरवल्यास किंवा चोरीला गेल्यास सुरक्षेचा धोका निर्माण होतो. त्यांना प्रत्येक स्टोअरमध्ये स्थानिक सर्व्हर तैनात न करता 802.1X ऑथेंटिकेशनवर स्थलांतरित व्हायचे आहे. त्यांचे वायरलेस इन्फ्रास्ट्रक्चर HPE Aruba आहे.

Google Secure LDAP द्वारे Google Workspace इंटिग्रेशनसह Cloud RADIUS सोल्यूशन तैनात करा. पायरी १: Google Admin Console मध्ये, Apps आणि नंतर LDAP वर जा, आणि Cloud RADIUS सेवेसाठी नवीन LDAP क्लायंट जोडा. वापरकर्ता माहिती आणि ग्रुप सदस्यत्वासाठी रीड परवानग्या कॉन्फिगर करा. जनरेट केलेले क्लायंट सर्टिफिकेट आणि की डाउनलोड करा. पायरी २: Google Secure LDAP क्रेडेंशियल्ससह Cloud RADIUS सेवा कॉन्फिगर करा. पायरी ३: Chromebooks ना सर्टिफिकेट जारी करण्यासाठी क्लाउड PKI कॉन्फिगर करा. Google Admin Console मध्ये, Devices, नंतर Networks, आणि नंतर Certificates वर जा, आणि Root CA अपलोड करा. सर्टिफिकेट इश्यूअन्स प्रोफाइल कॉन्फिगर करा आणि ते Store-Associates ऑर्गनायझेशनल युनिट (OU) वर लागू करा. पायरी ४: Google Admin Console मध्ये, स्टोअर ऑपरेशन्स SSID साठी WPA3-Enterprise WiFi प्रोफाइल तयार करा. EAP-TLS सेट करा, Root CA लिंक करा आणि Store-Associates OU वर लागू करा. पुढील Admin Console सिंक्रोनाइझेशनवर Chromebooks ना सर्टिफिकेट आणि WiFi प्रोफाइल मिळते. पायरी ५: HPE Aruba Central मध्ये, WPA3-Enterprise सह स्टोअर ऑपरेशन्स SSID कॉन्फिगर करा आणि Cloud RADIUS चे प्रायमरी आणि सेकंडरी IPs जोडा. RADIUS टाइमआउट ५ सेकंदांवर सेट करा. स्टोअर असोसिएट्सना त्यांच्या Google Workspace ग्रुप सदस्यतेच्या आधारावर VLAN 20 (स्टोअर ऑपरेशन्स) वर ठेवण्यासाठी डायनॅमिक VLAN असाइनमेंट कॉन्फिगर करा. जेव्हा एखादे Chromebook हरवते किंवा चोरीला जाते, तेव्हा त्याला Store-Associates OU मधून काढून टाकल्याने त्याचा नेटवर्क ॲक्सेस त्वरित रद्द होतो.

परीक्षकाचे भाष्य: ही तैनाती सामायिक PSK चा धोका दूर करते. सामायिक PSK असलेले हरवलेले किंवा चोरीला गेलेले Chromebook जोपर्यंत सर्व ५० स्टोअर्समध्ये PSK बदलला जात नाही तोपर्यंत हॅकरला नेटवर्कवर सतत प्रवेश मिळवून देते. EAP-TLS सह, हरवलेल्या डिव्हाइसवरील सर्टिफिकेट त्वरित रद्द केले जाऊ शकते. Google Workspace वातावरणासाठी Google Secure LDAP इंटिग्रेशन हा योग्य मार्ग आहे - हे एक स्थिर, मानकांवर आधारित इंटरफेस प्रदान करते ज्याद्वारे Cloud RADIUS सेवा कोणत्याही सानुकूल API इंटिग्रेशनशिवाय क्वेरी करू शकते. डायनॅमिक VLAN असाइनमेंट हे सुनिश्चित करते की स्टोअर असोसिएट्स अचूक नेटवर्क सेगमेंटवर पोहोचतील, जे रिटेल वातावरणासाठी PCI DSS नेटवर्क सेगमेंटेशन आवश्यकतांना समर्थन देते.

सराव प्रश्न

Q1. तुमची संस्था ऑन-प्रिमाइस Active Directory वरून Microsoft Entra ID वर स्थलांतरित होत आहे. तुम्ही सध्या Intune द्वारे व्यवस्थापित केलेल्या ३०० कॉर्पोरेट लॅपटॉपवर WiFi ऑथेंटिकेशनसाठी PEAP-MSCHAPv2 वापरता. तुमच्याकडे Microsoft 365 E5 लायसन्सिंग आहे. WiFi ऑथेंटिकेशनला क्लाउड-नेटिव्ह आर्किटेक्चरवर स्थलांतरित करण्यासाठी सर्वात सुरक्षित आणि ऑपरेशनलदृष्ट्या कार्यक्षम मार्ग कोणता आहे?

टीप: क्रेडेंशियल-आधारित ऑथेंटिकेशनच्या असुरक्षिततेचा, सर्टिफिकेट वितरणासाठी Microsoft Intune च्या क्षमतेचा आणि ऑन-प्रिमाइस इन्फ्रास्ट्रक्चरवरील अवलंबित्व टाळण्याच्या गरजेचा विचार करा.

नमुना उत्तर पहा

Entra ID इंटिग्रेशनसह Cloud RADIUS सोल्यूशन तैनात करा. ३०० लॅपटॉपवर Trusted Certificate प्रोफाइल (Root CA) आणि SCEP Certificate प्रोफाइल तैनात करण्यासाठी Microsoft Intune वापरा. विश्वसनीय CA कडून वैध सर्टिफिकेट आणि Corporate-WiFi-Users Entra ID ग्रुपचे सदस्यत्व आवश्यक असण्यासाठी Cloud RADIUS ऑथेंटिकेशन पॉलिसी कॉन्फिगर करा. Intune मध्ये EAP-TLS निर्दिष्ट करणारे WPA3-Enterprise WiFi प्रोफाइल तयार करा आणि SCEP सर्टिफिकेट प्रोफाइल लिंक करा. पुढील Intune सिंकवर डिव्हाइसेसना शांतपणे सर्टिफिकेट आणि WiFi कॉन्फिगरेशन प्राप्त होईल. हे PEAP-MSCHAPv2 क्रेडेंशियल चोरीचा धोका काढून टाकते, ऑन-प्रिमाइस NPS वरील अवलंबित्व दूर करते आणि जेव्हा एखादे Entra ID खाते निष्क्रिय केले जाते तेव्हा त्वरित रेव्होकेशन (रद्दीकरण) प्रदान करते.

Q2. तुमच्या हॉटेलमधील एक युझर दोन आठवड्यांच्या सुट्टीवरून परत आल्यानंतर बॅक-ऑफ-हाउस स्टाफ WiFi शी कनेक्ट करू शकत नसल्याची तक्रार करतो. इतर कर्मचारी कोणत्याही समस्येशिवाय कनेक्ट होत आहेत. हे नेटवर्क Intune द्वारे तैनात केलेल्या सर्टिफिकेट्ससह EAP-TLS वापरते. संभाव्यतेच्या क्रमाने, तीन सर्वात संभाव्य कारणे कोणती आहेत?

टीप: EAP-TLS वेळेची संवेदनशीलता असलेल्या क्रिप्टोग्राफिक मालमत्तांवर आणि रिअल-टाइम डिरेक्टरी लुकअप्सवर अवलंबून असते.

नमुना उत्तर पहा

१. युझरचे क्लायंट सर्टिफिकेट एक्स्पायर झाले आहे. सर्टिफिकेट्सचा एक निश्चित वैधता कालावधी असतो आणि जर नूतनीकरण विंडो दरम्यान डिव्हाइस ऑफलाइन असेल, तर SCEP प्रोफाइलने त्याचे नूतनीकरण केले नसेल. Intune डिव्हाइस सर्टिफिकेट स्टोअरमध्ये सर्टिफिकेट संपण्याची तारीख तपासा. २. डिव्हाइसचे सिस्टम घड्याळ लक्षणीयरीत्या आउट ऑफ सिंक (क्लॉक स्क्यू) आहे, ज्यामुळे सर्टिफिकेट व्हॅलिडेशन अपयशी ठरत आहे. EAP-TLS सर्टिफिकेट टाईमस्टॅम्प्स व्हॅलिडेट करते; पाच मिनिटांपेक्षा जास्त आउट ऑफ सिंक असलेले घड्याळ ऑथेंटिकेशन अपयशी ठरवेल. ३. युझरच्या अनुपस्थितीत त्यांचे Entra ID खाते वेगळ्या ग्रुपमध्ये ठेवले गेले (उदा. ॲक्टिव्ह स्टाफमधून वेगळ्या OU मध्ये हलवले गेले), आणि RADIUS ऑथेंटिकेशन पॉलिसी त्यांच्या ग्रुप सदस्यत्वासह आता जुळत नाही. RADIUS पॉलिसीच्या विरुद्ध Entra ID मधील युझरचे ग्रुप सदस्यत्व तपासा.

Q3. तुम्ही ८० स्टोअर्स असलेल्या रिटेल चेनचे IT मॅनेजर आहात. तुम्ही Google Workspace वापरता आणि Google Admin Console द्वारे ४०० Chromebooks व्यवस्थापित करता. तुम्हाला स्टोअर ऑपरेशन्स नेटवर्कवरील सध्याचे शेअर्ड WPA2 PSK बदलून 802.1X ऑथेंटिकेशन वापरायचे आहे. तुमच्याकडे कोणत्याही स्टोअरच्या ठिकाणी ऑन-प्रिमाइस सर्व्हर नाहीत. तुम्ही कोणते आर्किटेक्चर तैनात कराल आणि सध्याच्या PSK पद्धतीपेक्षा याचा प्राथमिक सुरक्षा फायदा काय आहे?

टीप: प्रत्येक ऑथेंटिकेशन मॉडेल अंतर्गत Chromebook गहाळ झाल्यास किंवा चोरीला गेल्यास काय होते याचा विचार करा.

नमुना उत्तर पहा

Google Secure LDAP इंटिग्रेशनसह Cloud RADIUS सर्व्हिस तैनात करा. Chromebooks ना सर्टिफिकेट्स जारी करण्यासाठी क्लाउड PKI कॉन्फिगर करा. Google Admin Console मध्ये, Store-Associates ऑर्गनायझेशनल युनिट (OU) मध्ये Root CA आणि SCEP क्लायंट सर्टिफिकेट प्रोफाइल तैनात करा. EAP-TLS निर्दिष्ट करणारे WPA3-Enterprise WiFi प्रोफाइल तयार करा आणि ते त्याच OU वर तैनात करा. प्रत्येक स्टोअरमधील HPE Aruba (किंवा समतुल्य) ॲक्सेस पॉइंट्स Cloud RADIUS सर्व्हिसकडे निर्देशित करण्यासाठी कॉन्फिगर करा. प्राथमिक सुरक्षा फायदा: सध्याच्या शेअर्ड PSK अंतर्गत, गहाळ झालेला किंवा चोरीला गेलेला Chromebook जोपर्यंत सर्व ८० स्टोअर्समध्ये PSK बदलला जात नाही तोपर्यंत WiFi ॲक्सेस ठेवतो - जी एक त्रासदायक आणि वेळखाऊ प्रक्रिया आहे. EAP-TLS सह, Google Admin Console मधील Store-Associates OU मधून डिव्हाइस काढून टाकल्यास त्याचे सर्टिफिकेट आणि नेटवर्क ॲक्सेस त्वरित रद्द होतो, ज्याचा इतर कोणत्याही डिव्हाइसवर कोणताही परिणाम होत नाही.

Q4. Cloud RADIUS उपयोजनादरम्यान, तुम्ही Cisco Meraki ॲक्सेस पॉइंट्सवर SSID कॉन्फिगर करता आणि २० डिव्हाइसेसच्या पायलट ग्रुपवर Intune WiFi प्रोफाइल तैनात करता. कोणतेही डिव्हाइस कनेक्ट करू शकत नाही. Intune डिव्हाइस स्टेटस सर्टिफिकेट आणि WiFi प्रोफाइल यशस्वीरित्या तैनात झाल्याचे दर्शवते. तुम्ही सर्वात आधी काय तपासाल?

टीप: सुरुवातीच्या उपयोजनातील अपयशाचे सर्वात सामान्य कारण म्हणजे RADIUS पॉलिसी किंवा सर्टिफिकेटमधील कॉन्फिगरेशन एरर नसणे.

नमुना उत्तर पहा

Cisco Meraki ॲक्सेस पॉइंट्सवरून (किंवा Meraki क्लाउड इन्फ्रास्ट्रक्चरवरून) Cloud RADIUS सर्व्हर IP ॲड्रेसवर UDP पोर्ट्स १८१२ आणि १८१३ आउटबाउंड उघडे आहेत का ते तपासा. ब्लॉक केलेले फायरवॉल पोर्ट्स हे सुरुवातीच्या उपयोजनातील अपयशाचे मुख्य कारण आहेत. सर्टिफिकेट्स आणि WiFi प्रोफाइल यशस्वीरित्या तैनात झाल्यामुळे Intune कॉन्फिगरेशनच्या समस्या बाद होतात. पुढील तपासण्या आहेत: Meraki आणि Cloud RADIUS सर्व्हिसमधील RADIUS शेअर्ड सिक्रेट न जुळणे; RADIUS टाईमआउट खूप कमी सेट केले असणे (किमान ५ सेकंदांपर्यंत वाढवा); आणि Cloud RADIUS सर्व्हर IPs Meraki SSID कॉन्फिगरेशनमध्ये योग्यरित्या प्रविष्ट केले आहेत की नाही.

या मालिकेमध्ये पुढे वाचा

हायब्रिड वर्कफोर्ससाठी RADIUS as a Service चे सुरक्षा फायदे

हे तांत्रिक संदर्भ मार्गदर्शक स्पष्ट करते की कशा प्रकारे RADIUS as a Service विखुरलेल्या ठिकाणी हायब्रिड वर्कफोर्ससाठी नेटवर्क ऍक्सेस सुरक्षित करते. यामध्ये ऑन-प्रिमाइसेस RADIUS इन्फ्रास्ट्रक्चरच्या जागी क्लाउड-मॅनेज्ड ऑथेंटिकेशन सर्व्हिस वापरण्यासाठीचे आर्किटेक्चर, सुरक्षा फायदे आणि डिप्लॉयमेंट स्टेप्स समाविष्ट आहेत. हॉटेल्स, रिटेल चेन्स, स्टेडियम्स आणि सार्वजनिक क्षेत्रातील संस्थांमधील IT मॅनेजर्स आणि नेटवर्क आर्किटेक्ट्ससाठी, हे मार्गदर्शक या तिमाहीत क्लाउड RADIUS मायग्रेशनचे मूल्यमापन करण्यासाठी आणि त्यावर कृती करण्यासाठी आवश्यक पुरावे प्रदान करते.

Cloud RADIUS सह 802.1X प्रमाणीकरण (Authentication) कसे लागू करावे

हे तांत्रिक संदर्भ मार्गदर्शक वितरित एंटरप्राइझ इस्टेट्समध्ये Cloud RADIUS सह 802.1X प्रमाणीकरण लागू करण्यासाठी एक व्यापक फ्रेमवर्क प्रदान करते. हे ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चरचा ऑपरेशनल ओव्हरहेड काढून टाकून नेटवर्क ॲक्सेस सुरक्षित करण्यासाठी आवश्यक असलेले आर्किटेक्चर, EAP पद्धत निवड, डिप्लॉयमेंट सिक्वेन्सिंग आणि जोखीम कमी करण्याच्या धोरणांचे तपशील देते.

Cloud RADIUS म्हणजे काय? RADIUS as a Service ची सविस्तर माहिती

हे सविस्तर मार्गदर्शक Cloud RADIUS (RADIUS as a Service) चे विश्लेषण करते, ज्यामध्ये त्याचे आर्किटेक्चर, EAP पद्धती आणि अंमलबजावणीच्या धोरणांचा तपशील दिला आहे. हे IT प्रमुखांना ऑन-प्रिमाइसेस सर्व्हरवरून स्केलेबल, सुरक्षित आणि सुसंगत क्लाउड-आधारित ऑथेंटिकेशन मॉडेलवर स्थलांतरित करण्यासाठी व्यावहारिक धोरणे प्रदान करते.