मुख्य मजकुराकडे जा
मराठी

Jamf आणि RADIUS: Apple डिव्हाइस फ्लीट्ससाठी प्रमाणपत्र-आधारित WiFi प्रमाणीकरण

हे तांत्रिक संदर्भ मार्गदर्शक IT मॅनेजर्स, नेटवर्क आर्किटेक्ट्स आणि CTOs ना Jamf Pro आणि RADIUS चा वापर करून Apple डिव्हाइस फ्लीट्ससाठी प्रमाणपत्र-आधारित 802.1X WiFi प्रमाणीकरण तैनात करण्यासाठी कृती करण्यायोग्य पावले प्रदान करते. यामध्ये संपूर्ण SCEP प्रमाणपत्र प्रोव्हिजनिंग वर्कफ्लो, WiFi कॉन्फिगरेशन प्रोफाइल संरचना, RADIUS एकत्रीकरण आवश्यकता आणि आरोग्य सेवा आणि एंटरप्राइझ वातावरणातील वास्तविक-जगातील अंमलबजावणीचे प्रसंग समाविष्ट आहेत. हे मार्गदर्शक पासवर्ड-आधारित WiFi असुरक्षितता दूर करू इच्छिणाऱ्या, हेल्पडेस्कचा अतिरिक्त भार कमी करू इच्छिणाऱ्या आणि PCI-DSS आणि GDPR नेटवर्क प्रवेश मानकांचे पालन करू इच्छिणाऱ्या कोणत्याही संस्थेसाठी आवश्यक आहे.

Iain Jewitt द्वारेप्रकाशित अद्ययावत केले
📖 9 मिनिट वाचन1,892 शब्द2 सोडवलेली उदाहरणे3 सराव प्रश्न9 महत्वाच्या व्याख्या

Video overview

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
Purple टेक्निकल ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे आणि आज आपण एंटरप्राइज Apple वातावरणासाठी एका अत्यंत महत्त्वाच्या पायाभूत सुविधांच्या विषयावर चर्चा करणार आहोत: Jamf Pro आणि RADIUS चा वापर करून प्रमाणपत्र-आधारित WiFi ऑथेंटिकेशन डिप्लॉय करणे. तुम्ही IT मॅनेजर, नेटवर्क आर्किटेक्ट किंवा व्हेन्यू ऑपरेशन्स डायरेक्टर असाल, तर तुम्हाला पासवर्ड-आधारित WiFi चे त्रास माहित असतील. युजर्स त्यांचे Active Directory पासवर्ड बदलतात आणि अचानक त्यांचे iPhones, iPads आणि MacBooks नेटवर्कवरून डिस्कनेक्ट होतात. हेल्पडेस्क तिकिटे वाढतात. पासवर्ड शेअर केले जाऊ शकतात, फिशिंग होऊ शकते किंवा ट्रॅक केले जाऊ शकतात, ज्यामुळे सुरक्षिततेशी तडजोड होते. यासाठी एंटरप्राइज-ग्रेड सोल्यूशन म्हणजे 802.1X EAP-TLS. हे प्रमाणपत्र-आधारित ऑथेंटिकेशन आहे. कोणतेही पासवर्ड नाहीत. डिव्हाइस स्वतःला एका क्रिप्टोग्राफिक प्रमाणपत्राचा वापर करून ऑथेंटिकेट करते. आणि जेव्हा तुम्ही Apple डिव्हाइसेसचा ताफा मॅनेज करत असता, तेव्हा ती प्रमाणपत्रे आणि संबंधित WiFi कॉन्फिगरेशन डिप्लॉय करण्याचा इंडस्ट्री-स्टँडर्ड मार्ग म्हणजे Mobile Device Management - विशेषतः Jamf Pro. चला या आर्किटेक्चरचे सविस्तर वर्गीकरण करूया. काठावर (edge), तुमच्याकडे तुमचे एंटरप्राइज Access Points असतात. त्यांच्या मागे, तुमचा RADIUS सर्व्हर असतो - जसे की FreeRADIUS, Cisco ISE, किंवा Microsoft NPS. आणि डिव्हाइसेस मॅनेज करण्यासाठी, तुमच्याकडे Jamf Pro असते. ही किमया SCEP - Simple Certificate Enrollment Protocol नावाच्या प्रोटोकॉलद्वारे शक्य होते. SCEP मुळे Jamf ला Apple डिव्हाइसला सांगता येते: या Certificate Authority कडे जा आणि स्वतःसाठी एक युनिक प्रमाणपत्र मिळवा. याचा स्टेप-बाय-स्टेप फ्लो खालीलप्रमाणे आहे. पहिल्यांदा, तुम्ही Jamf Pro मध्ये एक Configuration Profile कॉन्फिगर करता. या प्रोफाइलमध्ये दोन महत्त्वाचे पेलोड असतात. पहिला SCEP पेलोड आहे. हा macOS किंवा iOS डिव्हाइसला तुमच्या SCEP सर्व्हरचा URL सांगतो आणि डायनॅमिक चॅलेंज पासवर्ड प्रदान करतो. डिव्हाइस एक Certificate Signing Request - म्हणजेच CSR - जनरेट करते आणि ते SCEP सर्व्हरकडे पाठवते. SCEP सर्व्हर चॅलेंज प्रमाणित करतो, प्रमाणपत्रावर स्वाक्षरी करतो आणि ते डिव्हाइसला परत जारी करतो. आता डिव्हाइसकडे एक युनिक, ओळख-बद्ध (identity-bound) प्रमाणपत्र आहे. पण त्या प्रमाणपत्राचे काय करायचे हे त्याला माहित असणे आवश्यक आहे. तिथेच दुसरा पेलोड कामाला येतो: WiFi पेलोड. Jamf मध्ये, तुम्ही WPA2 किंवा WPA3 Enterprise साठी WiFi पेलोड कॉन्फिगर करता. तुम्ही स्वीकारलेला EAP प्रकार म्हणून EAP-TLS निवडता. आणि सर्वात महत्त्वाचे म्हणजे, तुम्ही हा WiFi पेलोड तुम्ही आत्ताच तयार केलेल्या SCEP पेलोडशी लिंक करता. तुम्ही डिव्हाइसला सांगत आहात: जेव्हा तुम्ही कॉर्पोरेट SSID शी कनेक्ट व्हाल, तेव्हा ऑथराइज करण्यासाठी तुम्हाला या SCEP प्रक्रियेतून मिळालेले प्रमाणपत्र वापरा. जेव्हा युजर ऑफिसमध्ये प्रवेश करतो, तेव्हा MacBook ला तो SSID दिसतो. तो 802.1X कनेक्शन सुरू करतो. Access Point ही विनंती RADIUS सर्व्हरकडे पाठवतो. परस्पर विश्वास प्रस्थापित करण्यासाठी RADIUS सर्व्हर आणि MacBook एकमेकांशी प्रमाणपत्रांची देवाणघेवाण करतात. RADIUS सर्व्हर Certificate Authority कडून MacBook च्या प्रमाणपत्राची पडताळणी करतो. जर ते वैध असेल, रद्द केलेले नसेल आणि आवश्यक पॉलिसींशी जुळत असेल, तर RADIUS सर्व्हर Access Point ला Access-Accept मेसेज पाठवतो आणि डिव्हाइस नेटवर्कवर कनेक्ट होते. अगदी अखंडपणे. कोणतीही युजर इंटरअॅक्शन न करता.चला अंमलबजावणीतील त्रुटींबद्दल बोलूया. आम्हाला दिसणारी सर्वात पहिली समस्या म्हणजे सर्टिफिकेट ट्रस्ट चेनचे अपयश. EAP-TLS कार्य करण्यासाठी, Apple डिव्हाइसने RADIUS सर्व्हरच्या सर्टिफिकेटवर विश्वास ठेवला पाहिजे आणि RADIUS सर्व्हरने डिव्हाइसच्या सर्टिफिकेटवर विश्वास ठेवला पाहिजे. तुमच्या Jamf WiFi प्रोफाइलमध्ये, तुम्ही स्पष्टपणे विश्वसनीय सर्व्हर सर्टिफिकेटची नावे परिभाषित केली पाहिजेत आणि प्रोफाइलमध्ये Root CA सर्टिफिकेट समाविष्ट केले पाहिजे. जर तुम्ही हे चुकवले, तर iOS आणि macOS चे कनेक्शन शांतपणे अयशस्वी होईल, किंवा वापरकर्त्याला मॅन्युअली सर्टिफिकेटवर विश्वास ठेवण्यास सांगेल - ज्यामुळे MDM उपयोजनाचा संपूर्ण उद्देशच संपुष्टात येतो. दुसरी सामान्य त्रुटी म्हणजे सुरुवातीचे SCEP एनरोलमेंट चॅलेंज. जर डिव्हाइस त्याचे SCEP सर्टिफिकेट त्याच WiFi नेटवर्कवर मिळवण्याचा प्रयत्न करत असेल ज्यामध्ये प्रवेश करण्यासाठी सर्टिफिकेटची आवश्यकता आहे, तर तुमच्यासमोर एक कठीण पेचप्रसंग निर्माण होतो. तुम्हाला एका ऑनबोर्डिंग नेटवर्कची आवश्यकता असेल, किंवा कॉर्पोरेट WiFi वर जाण्यापूर्वी डिव्हाइसेसना त्यांचे प्रोफाइल्स इथरनेट किंवा सेल्युलर डेटाद्वारे मिळणे आवश्यक आहे. आता, एका वास्तविक जगातील परिस्थितीकडे पाहूया. एक मोठे हॉस्पिटल नेटवर्क क्लिनिकल स्टाफसाठी पाच हजार iPads तैनात करत होते. ते युझरनेम आणि पासवर्डसह PEAP वापरत होते. दर नव्वद दिवसांनी, Active Directory पासवर्ड कालबाह्य होत होते. पासवर्ड कालबाह्य झाल्यानंतरच्या दुसऱ्या दिवशी सकाळी, शेकडो परिचारिका रुग्णांच्या रेकॉर्डमध्ये प्रवेश करू शकल्या नाहीत कारण त्यांचे iPads WiFi वरून डिस्कनेक्ट झाले होते. Jamf-व्यवस्थापित SCEP आणि EAP-TLS वर स्थलांतरित करून, त्यांनी नेटवर्क प्रवेशासाठी पासवर्ड बदलण्याची प्रक्रिया पूर्णपणे काढून टाकली. हे सर्टिफिकेट्स एका वर्षासाठी वैध होते, आणि Jamf ने SCEP द्वारे तीस दिवस आधी ते आपोआप नूतनीकरण केले. WiFi साठी मदत कक्षाकडे येणाऱ्या तक्रारींमध्ये पंच्याऐंशी टक्क्यांनी घट झाली. मी तुम्हाला काही जलद प्रश्न आणि उत्तरे देतो. प्रश्न: मी EAP-TLS ऐवजी Jamf सोबत PEAP वापरू शकतो का? तांत्रिकदृष्ट्या होय, परंतु तुम्ही पासवर्डशिवाय ऑथेंटिकेशनचा मुख्य फायदा गमावून बसाल. EAP-TLS हा शिफारस केलेला मानक आहे. प्रश्न: मला अंतर्गत CA ची आवश्यकता आहे की मी सार्वजनिक CA वापरू शकतो? RADIUS ऑथेंटिकेशनसाठी, अंतर्गत CA ची जोरदार शिफारस केली जाते कारण तुम्ही डिव्हाइस सर्टिफिकेट्स जारी करणे आणि रद्द करणे यावर नियंत्रण ठेवू शकता. प्रश्न: जेव्हा एखादे डिव्हाइस Jamf मधून अनएनरोल केले जाते तेव्हा काय होते? CA स्तरावर सर्टिफिकेट रद्द केले जावे आणि प्रवेश नाकारण्यासाठी RADIUS सर्व्हरने सर्टिफिकेट रिव्होकेशन लिस्ट तपासली पाहिजे. तर, मुख्य निष्कर्ष काय आहेत? पहिले: PEAP आणि पासवर्ड वापरणे बंद करा. Apple उपकरणांसाठी EAP-TLS हा सर्वोत्तम मानक आहे. दुसरे: मॅन्युअल हस्तक्षेपाशिवाय अनन्य, डिव्हाइस-बद्ध सर्टिफिकेट्स जारी करण्यासाठी Jamf Pro च्या डायनॅमिक SCEP पेलोड्सचा लाभ घ्या. तिसरे: सायलेंट अपयश टाळण्यासाठी तुमच्या कॉन्फिगरेशन प्रोफाइलमध्ये तुमच्या सर्टिफिकेट ट्रस्ट चेन्स स्पष्टपणे परिभाषित केल्याची खात्री करा. चौथे: तुमच्या ऑनबोर्डिंग नेटवर्कचे काळजीपूर्वक नियोजन करा - सुरक्षित WiFi मध्ये सामील होण्यापूर्वी डिव्हाइसेसना SCEP सर्व्हरचा मार्ग उपलब्ध असणे आवश्यक आहे. आणि पाचवे: शेअर केलेल्या हार्डवेअरसाठी डिव्हाइस-आधारित सर्टिफिकेट्स आणि वन-टू-वन उपयोजनांसाठी युझर-आधारित सर्टिफिकेट्स वापरा. Jamf आणि RADIUS वरील आजचा आमचा तांत्रिक सखोल अभ्यास येथेच संपतो. अधिक तपशीलवार कॉन्फिगरेशन पायऱ्या आणि आर्किटेक्चर आकृत्यांसाठी, Purple प्लॅटफॉर्मवरील संपूर्ण लेखी मार्गदर्शकाचा संदर्भ घ्या. ऐकल्याबद्दल धन्यवाद.

आमच्या मुख्य मालिकेचा भाग: एंटरप्राइझ WiFi सुरक्षा मार्गदर्शक →

Interactive Jamf & RADIUS Advisor802.1X EAP-TLS Apple fleet deployment utility

Jamf Pro & RADIUS architecture planner for Apple fleets

Model SCEP certificate distribution, generate production-ready Jamf Configuration Profiles, estimate CA load, and resolve 802.1X trust chain failures across macOS and iOS fleets.

Generated Jamf .mobileconfig payload
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
  <key>PayloadDisplayName</key>
  <string>Corporate 802.1X WiFi - Jamf SCEP Profile</string>
  <key>PayloadIdentifier</key>
  <string>ai.purple.jamf.wifi.profile</string>
  <key>PayloadType</key>
  <string>Configuration</string>
  <key>PayloadUUID</key>
  <string>E7182904-4B2E-4D78-958C-51928374AA10</string>
  <key>PayloadVersion</key>
  <integer>1</integer>
  <key>PayloadContent</key>
  <array>
    <!-- Payload 1: SCEP Client Certificate Enrollment -->
    <dict>
      <key>PayloadType</key>
      <string>com.apple.security.scep</string>
      <key>PayloadIdentifier</key>
      <string>ai.purple.jamf.scep.payload</string>
      <key>PayloadUUID</key>
      <string>C5921098-72DA-4E11-BC83-1283746590AA</string>
      <key>PayloadVersion</key>
      <integer>1</integer>
      <key>URL</key>
      <string>https://your-jamf-pro.jamfcloud.com/scep/dynamic</string>
      <key>Subject</key>
      <string>CN=$COMPUTERNAME,OU=CorporateLaptops,DC=corp,DC=internal</string>
      <key>Keysize</key>
      <integer>2048</integer>
      <key>KeyType</key>
      <string>RSA</string>
      <key>KeyUsage</key>
      <integer>5</integer> <!-- Digital Signature & Key Encipherment -->
      <key>SubjectAltName</key>
      <dict>
        <key>rfc822Name</key>
        <string>$MACADDRESS@corp.internal</string>
      </dict>
    </dict>

    <!-- Payload 2: 802.1X WiFi Managed Association -->
    <dict>
      <key>PayloadType</key>
      <string>com.apple.wifi.managed</string>
      <key>PayloadIdentifier</key>
      <string>ai.purple.jamf.wifi.payload</string>
      <key>PayloadUUID</key>
      <string>D9482910-5C29-4F82-AE19-847293847210</string>
      <key>PayloadVersion</key>
      <integer>1</integer>
      <key>SSID_STR</key>
      <string>Corporate-Secure-WiFi</string>
      <key>EncryptionType</key>
      <string>WPA3</string>
      <key>AutoJoin</key>
      <true/>
      <key>PayloadCertificateUUID</key> <!-- identity certificate: the SCEP payload above -->
      <string>C5921098-72DA-4E11-BC83-1283746590AA</string>
      <key>EAPClientConfiguration</key>
      <dict>
        <key>AcceptEAPTypes</key>
        <array>
          <integer>13</integer> <!-- EAP-TLS Mandatory -->
        </array>
        <key>TLSTrustedServerNames</key>
        <array>
          <string>radius.purple.ai</string>
        </array>
      </dict>
    </dict>
  </array>
</dict>
</plist>

Mandatory certificate trust rules

  • Upload Root CA certificate to Jamf Pro and link it in the profile Trust payload.
  • Specify exact RADIUS Common Name 'radius.purple.ai' in TLSTrustedServerNames to avoid interactive prompts.
  • Verify that the SCEP profile and WiFi profile are delivered in a single configuration payload or staged sequentially.
  • For 1:1 fleets, ensure Jamf renewal threshold is set between 21 and 30 days before expiry.

Deploy zero-touch Apple 802.1X WiFi with Purple Cloud RADIUS

Remove on-premises RADIUS servers, active directory credential rotation tickets, and complex NDES infrastructure. Purple Cloud RADIUS integrates directly with Jamf Pro and SCEP to automate 802.1X certificate lifecycles across thousands of Apple endpoints.

Useful? Link to this tool

Jamf आणि RADIUS: Apple डिव्हाइस फ्लीट्ससाठी प्रमाणपत्र-आधारित WiFi प्रमाणीकरण

मुख्य सारांश

पारंपारिक पासवर्ड - आधारित प्रमाणीकरणावर अवलंबून असताना एंटरप्राइझ वातावरणात Apple उपकरणांच्या ताफ्यासाठी सुरक्षित WiFi प्रवेश व्यवस्थापित करणे हे एक मोठे ऑपरेशनल आणि सुरक्षा आव्हान ठरते. वापरकर्ते त्यांचे Active Directory क्रेडेंशियल्स बदलतात आणि लगेचच त्यांचे iPhones, iPads आणि MacBooks नेटवर्कवरून बाद होतात - ज्यामुळे हेल्पडेस्क तिकिटे तयार होतात, कामाच्या प्रक्रियेत व्यत्यय येतो आणि संस्था क्रेडेंशियल - आधारित हल्ल्यांच्या जोखमीखाली येते.

हॉटेल्स, रिटेल साखळ्या, स्टेडियम आणि सार्वजनिक क्षेत्रातील संस्थांमधील IT व्यवस्थापक, नेटवर्क आर्किटेक्ट आणि CTOs साठी, EAP-TLS वापरून सर्टिफिकेट - आधारित 802.1X प्रमाणीकरण हाच उपाय आहे. SCEP (Simple Certificate Enrollment Protocol) द्वारे युनिक क्रिप्टोग्राफिक सर्टिफिकेट्स वितरित करण्यासाठी Jamf Pro चा लाभ घेऊन आणि RADIUS सर्व्हरशी समाकलित करून, संस्था प्रत्येक व्यवस्थापित Apple उपकरणासाठी अखंड, पासवर्डशिवाय WiFi प्रवेश मिळवू शकतात. हे मार्गदर्शक Jamf RADIUS WiFi सर्टिफिकेट प्रमाणीकरण उपयोजित करण्यासाठी एक व्यावहारिक, विक्रेता - तटस्थ दृष्टिकोन प्रदान करते, ज्यामुळे मजबूत सुरक्षा, PCI DSS आणि GDPR सारख्या मानकांचे पालन आणि सपोर्ट ओव्हरहेडमध्ये मोजण्यायोग्य घट सुनिश्चित होते.

तांत्रिक सखोल - विश्लेषण

802.1X EAP-TLS आर्किटेक्चर

सर्टिफिकेट - आधारित WiFi प्रमाणीकरणाचा पाया IEEE 802.1X मानक आणि EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) प्रोटोकॉल यांच्या एकत्रिकरणावर आहे. स्वतः 802.1X मानकाबद्दल तपशीलवार माहितीसाठी, आमच्या 802.1X Authentication: Securing Network Access on Modern Devices या मार्गदर्शकाचा संदर्भ घ्या.

वापरकर्तानाव आणि पासवर्डवर अवलंबून असलेल्या PEAP (Protected EAP) च्या विपरीत, EAP-TLS मध्ये क्लायंट उपकरण आणि प्रमाणीकरण सर्व्हर या दोघांनाही डिजिटल सर्टिफिकेट्स वापरून त्यांची ओळख सिद्ध करणे आवश्यक असते. हे परस्पर प्रमाणीकरणच EAP-TLS ला एंटरप्राइझ उपयोजनांसाठी सुवर्ण मानक बनवते. या त्रिपक्षीय मॉडेलमध्ये खालील घटकांचा समावेश आहे.

घटक भूमिका उदाहरणे
Supplicant नेटवर्क प्रवेशाची विनंती करणारे Apple उपकरण MacBook, iPhone, iPad
Authenticator प्रवेश नियंत्रण लागू करणारे नेटवर्क एज उपकरण WiFi Access Point, WLC
Authentication Server सर्टिफिकेट्स प्रमाणित करतो आणि प्रवेश अधिकृत करतो FreeRADIUS, Cisco ISE, Microsoft NPS

Access Point हा गेटकीपर म्हणून काम करतो आणि जोपर्यंत RADIUS सर्व्हर Access-Accept संदेश पाठवत नाही तोपर्यंत सर्व ट्रॅफिक ब्लॉक करतो. हा IEEE 802.1X पोर्ट - आधारित Network Access Control (PNAC) मॉडेलचा गाभा आहे.

Jamf आणि RADIUS: Apple डिव्हाइस फ्लीट्ससाठी प्रमाणपत्र-आधारित WiFi प्रमाणीकरण - radius architecture overview

SCEP आणि Jamf Pro: स्केलेबल सर्टिफिकेट वितरण

EAP-TLS मोठ्या प्रमाणावर वापरण्याचे आव्हान म्हणजे सर्टिफिकेटचे वितरण करणे होय. ५०० iPads वर मॅन्युअली युनिक सर्टिफिकेट इन्स्टॉल करणे हे व्यवहार्य काम नाही. इथेच Jamf Pro आणि SCEP Jamf चे एकत्रीकरण अत्यंत महत्त्वाचे ठरते.

SCEP (Simple Certificate Enrollment Protocol) हा एक हलका प्रोटोकॉल आहे जो डिव्हाइसला Certificate Authority (CA) कडून स्वाक्षरी केलेले सर्टिफिकेट स्वयंचलितपणे मागवण्याची आणि प्राप्त करण्याची परवानगी देतो. Jamf Pro हा ऑर्केस्ट्रेटर म्हणून काम करतो, जो प्रत्येक Apple डिव्हाइसवर Configuration Profile पुश करतो. या प्रोफाइलमध्ये SCEP पेलोड असतो जो डिव्हाइसला SCEP सर्व्हरशी संपर्क साधण्याची सूचना देतो, डायनॅमिक चॅलेंज पासवर्ड प्रदान करतो आणि आवश्यक सर्टिफिकेट गुणधर्म निर्दिष्ट करतो - जसे की Subject Alternative Name (SAN), जे सामान्यतः डिव्हाइसच्या MAC ॲड्रेस किंवा सिरीयल नंबरशी मॅप केलेले असते.

Jamf आणि RADIUS: Apple डिव्हाइस फ्लीट्ससाठी प्रमाणपत्र-आधारित WiFi प्रमाणीकरण - scep flow diagram

डायनॅमिक चॅलेंज पासवर्ड यंत्रणा विशेषतः महत्त्वाची आहे. Jamf-एकत्रित SCEP डिप्लॉयमेंटमध्ये, Jamf प्रत्येक डिव्हाइससाठी एक युनिक, एकदाच वापरता येणारा चॅलेंज पासवर्ड जनरेट करतो. हे सुनिश्चित करते की केवळ Jamf Pro मध्ये नोंदणीकृत असलेले - आणि त्यामुळे कॉर्पोरेट स्तरावर व्यवस्थापित केलेले - डिव्हाइसेसच CA कडून यशस्वीरित्या सर्टिफिकेट मिळवू शकतात. हे एक महत्त्वपूर्ण सुरक्षा नियंत्रण आहे जे अनधिकृत डिव्हाइसेसना नोंदणी करण्यापासून रोखते.

Apple डिव्हाइस ऑथेंटिकेशनसाठी RADIUS गुणधर्म

जेव्हा RADIUS सर्व्हरला Access Point कडून Access-Request प्राप्त होते, तेव्हा तो त्याचा ऑथरायझेशन निर्णय घेण्यासाठी अनेक गुणधर्मांचे मूल्यमापन करतो. Apple 802.1X डिप्लॉयमेंटसाठी, सर्वात संबंधित RADIUS गुणधर्म खालीलप्रमाणे आहेत.

RADIUS गुणधर्म वर्णन Apple प्रासंगिकता
User-Name (Attr 1) सप्लिकंटद्वारे सादर केलेली ओळख सामान्यतः सर्टिफिकेटचा Subject CN किंवा SAN
NAS-IP-Address (Attr 4) Access Point चा IP AP-विशिष्ट पॉलिसीसाठी वापरला जातो
Called-Station-Id (Attr 30) AP चा BSSID आणि SSID SSID-आधारित पॉलिसी अंमलबजावणी सक्षम करतो
EAP-Message (Attr 79) एन्कॅप्स्युलेटेड EAP पॅकेट यामध्ये TLS हँडशेक डेटा असतो
Tunnel-Type (Attr 64) VLAN असाइनमेंट प्रकार निर्दिष्ट करतो ऑथेंटिकेशननंतर डायनॅमिक VLAN असाइनमेंटसाठी वापरला जातो
Tunnel-Medium-Type (Attr 65) टनेलचे माध्यम निर्दिष्ट करतो 802.1Q VLAN टॅगिंगसाठी आवश्यक आहे
Tunnel-Private-Group-Id (Attr 81) असाइन करण्यासाठी VLAN ID भूमिका-आधारित नेटवर्क वर्गीकरण सक्षम करतो

एंटरप्राइझ डिप्लॉयमेंटमध्ये Tunnel-Private-Group-Id हा गुणधर्म विशेषतः प्रभावी आहे. सर्टिफिकेटच्या गुणधर्मांवर (उदा. विभाग, डिव्हाइस प्रकार) आधारित विविध VLAN IDs परत पाठवून, RADIUS सर्व्हर स्वतंत्र SSIDs ची आवश्यकता न ठेवता नेटवर्कचे डायनॅमिक वर्गीकरण करू शकतो.

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.

अंमलबजावणी मार्गदर्शक

Jamf Pro द्वारे सर्टिफिकेट WiFi Apple ऑथेंटिकेशन डिप्लॉय करणे हे एका पद्धतशीर अनुक्रमाचे पालन करते. या क्रमामधून विचलित होणे हे अयशस्वी डिप्लॉयमेंटचे प्राथमिक कारण आहे.

पायरी १: तुमची Certificate Authority इन्फ्रास्ट्रक्चर स्थापित करा

Jamf ला स्पर्श करण्यापूर्वी, तुमचे CA इन्फ्रास्ट्रक्चर जागेवर असणे आवश्यक आहे. Microsoft एन्व्हायरनमेंटसाठी, हे सामान्यत: Network Device Enrollment Service (NDES) रोलसह Active Directory Certificate Services (AD CS) असते, जे SCEP सर्व्हर म्हणून कार्य करते. नॉन-Microsoft एन्व्हायरनमेंटसाठी, पर्यायांमध्ये EJBCA, HashiCorp Vault PKI, किंवा AWS Private CA सारख्या क्लाउड-आधारित CAs समाविष्ट आहेत.

तुमची CA हायरार्की स्पष्ट असल्याची खात्री करा: एक Root CA जो ऑफलाइन ठेवला जातो, आणि एक किंवा अधिक Issuing CAs जे डिव्हाइस सर्टिफिकेट्सवर स्वाक्षरी करतात. RADIUS सर्व्हरला याच CA हायरार्कीद्वारे स्वाक्षरी केलेल्या स्वतःच्या सर्टिफिकेटची आवश्यकता असेल.

पायरी २: Jamf Pro मध्ये SCEP पेलोड कॉन्फिगर करा

Computers (किंवा Mobile Devices) > Configuration Profiles > New वर जा. एक Certificate पेलोड जोडा आणि सर्टिफिकेट सोर्स म्हणून SCEP निवडा. महत्त्वाचे फील्ड खालीलप्रमाणे आहेत.

  • URL: SCEP एंडपॉइंट (उदा., http://ndes.yourdomain.com/certsrv/mscep/mscep.dll).
  • नाव: एक वर्णनात्मक नाव जे डिव्हाइसच्या Keychain मध्ये दिसेल.
  • Subject: सर्टिफिकेटचे Distinguished Name. कॉम्प्युटर्ससाठी CN=$COMPUTERNAME किंवा मोबाईल डिव्हाइसेससाठी CN=$JSSID सारखे Jamf व्हेरिएबल्स वापरा.
  • Subject Alternative Name (SAN): SAN Type हा $MACADDRESS@yourdomain.com व्हॅल्यूसह RFC 822 Name वर, किंवा $COMPUTERNAME.yourdomain.com सह DNS Name वर सेट करा. डिव्हाइस ओळखण्यासाठी RADIUS सर्व्हर हेच रीड करेल.
  • Challenge Type: Jamf चा इन-बिल्ट SCEP प्रॉक्सी वापरण्यासाठी Dynamic निवडा, जो प्रति-डिव्हाइस चॅलेंज पासवर्ड जनरेट करतो.
  • Key Size: किमान 2048-bit RSA. नवीन डिप्लॉयमेंट्ससाठी 4096-bit ची शिफारस केली जाते.
  • Key Usage: Signing आणि Encryption दोन्ही इनेबल करा.

पायरी ३: WiFi पेलोड कॉन्फिगर करा

त्याच Configuration Profile मध्ये, एक WiFi पेलोड जोडा. Apple 802.1X साठी मुख्य सेटिंग्ज खालीलप्रमाणे आहेत.

  • SSID: तुमच्या कॉर्पोरेट सुरक्षित SSID चे अचूक नाव.
  • Security Type: WPA2 Enterprise किंवा WPA3 Enterprise (जिथे हार्डवेअर सपोर्ट करते तिथे शिफारसित).
  • Protocols - Accepted EAP Types: केवळ TLS निवडा. अनन्यपणे EAP-TLS लागू करण्यासाठी PEAP, TTLS आणि इतर सर्व प्रकार अनसिलेक्ट करा.
  • Authentication - Identity Certificate: तुम्ही पायरी २ मध्ये तयार केलेला SCEP पेलोड निवडा. सर्टिफिकेट आणि WiFi कनेक्शनमधील हा एक महत्त्वाचा दुवा आहे.
  • Trust - Trusted Server Certificate Names: तुमच्या RADIUS सर्व्हरच्या सर्टिफिकेटचे अचूक Common Name (CN) प्रविष्ट करा (उदा., radius.yourdomain.com). ही सर्वात जास्त चुकणारी कॉन्फिगरेशन आयटम आहे.
  • Trust - Trusted Certificates: Root CA आणि RADIUS सर्व्हरच्या सर्टिफिकेटवर स्वाक्षरी केलेले कोणतेही Intermediate CA सर्टिफिकेट्स अपलोड करा.

पायरी ४: RADIUS सर्व्हर कॉन्फिगर करा

तुमच्या RADIUS सर्व्हरवर, तुम्ही Jamf मध्ये परिभाषित केलेल्या सर्टिफिकेट ॲट्रिब्युट्सशी जुळणारे नेटवर्क पॉलिसी तयार करा. Microsoft NPS साठी, याचा अर्थ Called-Station-Id ॲट्रिब्युटद्वारे SSID शी जुळणारी Connection Request Policy तयार करणे आणि तुमच्या CA विरुद्ध सर्टिफिकेट व्हॅलिडेट करणारी आणि पर्यायाने Tunnel ॲट्रिब्युट्सद्वारे VLAN असाइन करणारी Network Policy तयार करणे होय.

FreeRADIUS साठी, eap मॉड्यूल tls वापरण्यासाठी कॉन्फिगर करा आणि तुमच्या CA प्रमाणपत्र, सर्व्हर प्रमाणपत्र आणि खाजगी की कडे निर्देश करा. तुमच्या डिव्हाइस इन्व्हेंटरीच्या विरुद्ध प्रमाणपत्राच्या SAN शी जुळण्यासाठी users फाइल किंवा SQL बॅकएंड कॉन्फिगर केले जावे.

पायरी ५: प्रोफाइलची व्याप्ती आणि उपयोजन करा

Jamf Pro मध्ये, कॉन्फिगरेशन प्रोफाइलची व्याप्ती योग्य डिव्हाइस गटांसाठी निश्चित करा - उदाहरणार्थ, "Corporate Fleet" स्मार्ट ग्रुपमधील सर्व डिव्हाइसेस. हे प्रोफाइल MDM द्वारे स्वयंचलितपणे पाठवले जाईल. जे डिव्हाइसेस ऑनलाइन आहेत त्यांना ते काही मिनिटांत मिळेल; जे डिव्हाइसेस ऑफलाइन आहेत त्यांना ते पुढील वेळी चेक इन करताना मिळेल.

सर्वोत्तम पद्धती

शक्य असेल तिथे WPA3 Enterprise लागू करा. 192-बिट मोडसह WPA3 Enterprise GCMP-256 आणि HMAC-SHA-384 चा वापर करून वर्धित क्रिप्टोग्राफिक मजबूती प्रदान करते, जे WPA2 Enterprise पेक्षा लक्षणीयरीत्या अधिक मजबूत संरक्षण देते. संवेदनशील डेटा हाताळणाऱ्या Hospitality वातावरण आणि Healthcare संस्थांसाठी, हे अपग्रेड केवळ एक सर्वोत्तम पद्धत असण्याऐवजी वाढती अनुपालन आवश्यकता बनत आहे.

सामायिक हार्डवेअरसाठी डिव्हाइस-आधारित प्रमाणपत्रांचा फायदा घ्या. सामायिक डिव्हाइसेससाठी - जसे की रिटेल पॉइंट-ऑफ-सेल iPads, हॉटेल कॉन्शियर टॅब्लेट्स, किंवा क्लिनिकल डिव्हाइसेस - वापरकर्ता-बद्ध प्रमाणपत्रांऐवजी डिव्हाइस-बद्ध प्रमाणपत्रे वापरा. हे सुनिश्चित करते की डिव्हाइस कोणत्याही वापरकर्त्याने लॉग इन करण्यापूर्वी, बूट होतानाच नेटवर्कशी कनेक्ट होईल, ज्यामुळे MDM चेक-इन्स, ॲप अपडेट्स आणि पुश नोटिफिकेशन्स योग्यरित्या कार्य करू शकतात. Retail उपयोजनांसाठी हा एक महत्त्वपूर्ण विचार आहे जिथे डिव्हाइसेस वेगवेगळ्या शिफ्ट्समध्ये सामायिक केली जाऊ शकतात.

तुमच्या व्यापक सुरक्षा स्थितीसह नेटवर्क प्रवेश समाकलित करा. कर्मचारी सुरक्षित अंतर्गत प्रवेशासाठी 802.1X वापरत असताना, रहदारीचे स्पष्ट पृथक्करण राखण्यासाठी तुमचे सार्वजनिक-मुखी नेटवर्क्स मजबूत Guest WiFi सोल्यूशनद्वारे व्यवस्थापित केले जात असल्याची खात्री करा. प्रमाणपत्र-आधारित कर्मचारी प्रमाणीकरणासह WiFi Analytics चे संयोजन प्रमाणीकृत डिव्हाइस वर्तन आणि अतिथी नेटवर्क क्रियाकलाप या दोन्हीमध्ये संपूर्ण दृश्यमानता प्रदान करते.

प्रमाणपत्र नूतनीकरण स्वयंचलित करा. जेव्हा प्रमाणपत्र संपुष्टात येण्याच्या १४ ते ३० दिवसांच्या आत असेल तेव्हा स्वयंचलित नूतनीकरण ट्रिगर करण्यासाठी Jamf मधील SCEP पेलोड कॉन्फिगर करा. हे अशा परिस्थितीला प्रतिबंधित करते जिथे रात्रीच्या वेळी प्रमाणपत्र कालबाह्य झाल्यामुळे डिव्हाइसचा नेटवर्क प्रवेश नकळतपणे बंद होतो. Jamf Pro मध्ये, हे SCEP पेलोडमधील Renewal Threshold सेटिंगद्वारे नियंत्रित केले जाते.

प्रमाणपत्र रद्दीकरण सूची (CRL) किंवा OCSP रिस्पॉन्डर व्यवस्थापित करा. जेव्हा एखादे डिव्हाइस डिकमिशन केले जाते, चोरीला जाते किंवा Jamf मधून अनएनरोल केले जाते, तेव्हा त्याचे प्रमाणपत्र CA स्तरावर रद्द केले जाणे आवश्यक आहे. प्रत्येक प्रमाणीकरण प्रयत्नावर CRL किंवा OCSP एंडपॉइंट तपासण्यासाठी तुमचा RADIUS सर्व्हर कॉन्फिगर करा. याशिवाय, वैध प्रमाणपत्र असलेले चोरीचे डिव्हाइस अद्याप नेटवर्कवर प्रमाणीकृत होऊ शकते. आधुनिक नेटवर्क इन्फ्रास्ट्रक्चरच्या निर्णयांबद्दल अधिक माहितीसाठी, The Core SD WAN Benefits for Modern Businesses हे मार्गदर्शक सर्टिफिकेट-आधारित ऑथेंटिकेशन SD-WAN ओव्हरले आर्किटेक्चरसह कसे समाकलित होते याबद्दल उपयुक्त संदर्भ प्रदान करते.

Troubleshooting & Risk Mitigation

The Chicken-and-Egg Provisioning Problem. SCEP सर्व्हरपर्यंत पोहोचण्यासाठी आणि त्यांचे सर्टिफिकेट डाउनलोड करण्यासाठी डिव्हाइसेसना नेटवर्क कनेक्शनची आवश्यकता असते, परंतु सुरक्षित WiFi मध्ये सामील होण्यासाठी त्यांना सर्टिफिकेटची आवश्यकता असते. हा सर्वात सामान्य डिप्लॉयमेंट ब्लॉक करणारा घटक आहे. यासाठी शिफारस केलेले उपाय खालीलप्रमाणे आहेत: USB-C किंवा Lightning ते Ethernet अडॅप्टर्स वापरून Ethernet द्वारे प्रोव्हिजनिंग करणे; iPhones आणि सेल्युलर-सक्षम iPads वर सेल्युलर डेटा वापरणे; किंवा केवळ SCEP आणि MDM ट्रॅफिकला परवानगी देणारे फायरवॉल नियम असलेले तात्पुरते, प्रतिबंधित ऑनबोर्डिंग SSID तयार करणे.

Silent EAP-TLS Failures on macOS. जर ट्रस्ट चेन अपूर्ण असेल, तर macOS UI मध्ये कोणतीही अर्थपूर्ण त्रुटी न दाखवता सायलेंटली कनेक्ट होण्यास अपयशी ठरू शकते. याचे एकमेव संकेत सिस्टम लॉगमध्ये मिळतात. रिअल-टाइम ऑथेंटिकेशन इव्हेंट्स कॅप्चर करण्यासाठी log stream --predicate 'subsystem == "com.apple.network"' वापरा. Jamf प्रोफाइलमधील Trusted Server Certificate Names ॲरे RADIUS सर्व्हरच्या सर्टिफिकेटमधील CN शी तंतोतंत जुळत असल्याची नेहमी खात्री करा.

RADIUS Timeout During High-Load Events. स्टेडियम किंवा कॉन्फरन्स सेंटर्स सारख्या वातावरणात, शेकडो डिव्हाइसेसवरील एकाच वेळी येणाऱ्या ऑथेंटिकेशन विनंत्या RADIUS सर्व्हरला ओव्हरलोड करू शकतात. high-availability पेअरमध्ये RADIUS डिप्लॉय करून, FreeRADIUS मधील max_requests पॅरामीटर ट्यून करून आणि RADIUS सर्व्हरकडे अपेक्षित ऑथेंटिकेशन लोडसाठी पुरेशी CPU आणि मेमरी असल्याची खात्री करून हे टाळा. मोठ्या प्रमाणावरील वेन्यू डिप्लॉयमेंटसाठी, क्षमता नियोजनाच्या विचारांसाठी आमच्या Wireless Access Points Definition Your Ultimate 2026 Guide या मार्गदर्शकाचे पुनरावलोकन करा.

Certificate Attribute Mismatch. डिव्हाइस सर्टिफिकेटमधील SAN हे RADIUS नेटवर्क पॉलिसीच्या अपेक्षेनुसार नसल्यास, ऑथेंटिकेशन अपयशी ठरेल. एका CA मधून दुसऱ्या CA मध्ये स्थलांतरित करताना किंवा Jamf व्हेरिएबल्स अपेक्षेपेक्षा वेगळ्या पद्धतीने रिझॉल्व्ह झाल्यावर हे विशेषतः घडून येते. संपूर्ण फ्लीटमध्ये रोल आउट करण्यापूर्वी नेहमी एकाच डिव्हाइससह चाचणी करा आणि सादर केली जाणारी अचूक आयडेंटिटी स्ट्रिंग तपासण्यासाठी RADIUS सर्व्हर लॉग्स तपासा.

ROI and Business Impact

Jamf RADIUS WiFi सर्टिफिकेट ऑथेंटिकेशनवर स्थलांतरित केल्याने अनेक बाबींमध्ये मोजण्यायोग्य व्यावसायिक मूल्य मिळते.

मेट्रिक ठराविक परिणाम
हेल्पडेस्क तिकीट घट WiFi शी संबंधित सपोर्ट विनंत्यांमध्ये ६०-८५% घट
प्रति डिव्हाइस ऑनबोर्डिंग वेळ १५-३० मिनिटांवरून २ मिनिटांपेक्षा कमी (झिरो-टच)
सुरक्षा घटनांचा धोका क्रेडेंशियल-आधारित WiFi हल्ल्यांचे जवळजवळ संपूर्ण निर्मूलन
अनुपालन स्थिती PCI-DSS आवश्यकता १.३ आणि GDPR कलम ३२ नेटवर्क नियंत्रणांची पूर्तता करते
सर्टिफिकेट लाइफसायकल स्वयंचलित नूतनीकरण मॅन्युअल सर्टिफिकेट व्यवस्थापन काढून टाकते
सर्वात महत्त्वपूर्ण ROI ड्रायव्हर म्हणजे पासवर्ड रोटेशनच्या व्यत्ययांपासून मिळणारी सुटका. ५००-डिव्हाइसेस असलेल्या एका ताफ्यात जिथे पासवर्ड बदलांमुळे प्रत्येक तिमाहीत १०% डिव्हाइसेस नेटवर्कवरून गळून पडतात आणि प्रत्येक घटना सोडवण्यासाठी IT टीमचा २० मिनिटांचा वेळ लागतो, तिथे केवळ वार्षिक सपोर्ट खर्चामधील बचतच पहिल्या वर्षात इम्प्लीमेंटेशनच्या गुंतवणुकीची किंमत वसूल करू शकते.

Transport ऑपरेटर्स आणि मोठ्या ठिकाणांच्या (venue) वातावरणासाठी, डायनॅमिक VLAN असाइनमेंट लागू करण्याच्या क्षमतेमुळे बिझनेस केस अधिक मजबूत होते - ज्यामुळे मॅन्युअल नेटवर्क रीकॉन्फिगरेशनशिवाय ऑपरेशनल डिव्हाइसेस, स्टाफ डिव्हाइसेस आणि मॅनेजमेंट सिस्टीम्स स्वयंचलितपणे सेगमेंट केल्या जातात.

महत्वाच्या व्याख्या

EAP-TLS (Extensible Authentication Protocol-Transport Layer Security)

सर्वात सुरक्षित 802.1X ऑथेंटिकेशन पद्धत, ज्यामध्ये क्लायंट डिव्हाइस आणि RADIUS सर्व्हर या दोघांनीही डिजिटल सर्टिफिकेट्स वापरून एकमेकांना ऑथेंटिकेट करणे आवश्यक असते. यादरम्यान कोणत्याही पासवर्डची देवाणघेवाण किंवा ट्रान्समिशन केले जात नाही.

जेव्हा IT टीम्सना पासवर्ड-आधारित WiFi काढून टाकायचे असते आणि कठोर डिव्हाइस कंप्लायन्स लागू करायचा असतो, तेव्हा EAP-TLS हा अनिवार्य मानक आहे. हा एकमेव EAP प्रकार आहे जो म्युच्युअल ऑथेंटिकेशन प्रदान करतो.

SCEP (Simple Certificate Enrollment Protocol)

एक प्रोटोकॉल जो डिव्हाइसेसना चॅलेंज-रिस्पॉन्स मेकॅनिझम वापरून सर्टिफिकेट अथॉरिटीकडून डिजिटल सर्टिफिकेट्सची सुरक्षितपणे आणि आपोआप विनंती करण्याची परवानगी देतो.

IT कर्मचाऱ्यांनी हजारो डिव्हाइसेसवर मॅन्युअली सर्टिफिकेट्स इन्स्टॉल करण्याची आवश्यकता न ठेवता Jamf Pro द्वारे सर्टिफिकेट डिप्लॉयमेंट स्केल करण्यासाठी आवश्यक आहे. Jamf चे डायनॅमिक SCEP प्रॉक्सी प्रत्येक डिव्हाइसनुसार चॅलेंज पासवर्ड जनरेट करते.

RADIUS (Remote Authentication Dial-In User Service)

एक नेटवर्किंग प्रोटोकॉल जो नेटवर्क सेवेशी कनेक्ट होणाऱ्या डिव्हाइसेससाठी केंद्रीकृत ऑथेंटिकेशन, ऑथरायझेशन आणि अकाउंटिंग (AAA) व्यवस्थापन प्रदान करतो.

हे केंद्रीय निर्णय इंजिन आहे जे WiFi ॲक्सेस पॉइंटला सांगते की Jamf-व्यवस्थापित डिव्हाइसला नेटवर्कवर परवानगी आहे की नाही, आणि पर्यायाने कोणते VLAN असाइन करायचे.

Configuration Profile

Jamf Pro द्वारे डिप्लॉय केलेली एक XML फाईल (.mobileconfig) ज्यामध्ये Apple डिव्हाइसेसवरील सर्टिफिकेट्स, WiFi, VPN आणि निर्बंधांसह इतर सेटिंग्ज व्यवस्थापित करण्यासाठी एक किंवा अधिक पेलोड्स असतात.

iPhone, iPad किंवा Mac वर SCEP सेटिंग्ज, WiFi SSID कॉन्फिगरेशन आणि सर्टिफिकेट ट्रस्ट चेन पुश करण्यासाठी वापरले जाणारे हे माध्यम आहे.

CSR (Certificate Signing Request)

Apple डिव्हाइसद्वारे जनरेट केलेला एन्कोड केलेल्या टेक्स्टचा एक ब्लॉक ज्यामध्ये पब्लिक की आणि आयडेंटिटी माहिती असते, जी स्वाक्षरी केलेल्या डिजिटल सर्टिफिकेटसाठी अर्ज करण्यासाठी सर्टिफिकेट अथॉरिटीकडे पाठवली जाते.

SCEP प्रक्रियेतील पहिली पायरी. डिव्हाइस स्थानिक पातळीवर CSR जनरेट करते, ज्यामुळे प्रायव्हेट की कधीही डिव्हाइसबाहेर जाणार नाही याची खात्री होते - PKI सुरक्षेचा हा एक मूलभूत सिद्धांत आहे.

Subject Alternative Name (SAN)

X.509 सर्टिफिकेटचा एक विस्तार जो ईमेल ॲड्रेसेस, DNS नावे, IP ॲड्रेसेस किंवा MAC ॲड्रेसेस सारख्या अनेक आयडेंटिटी व्हॅल्यूज सर्टिफिकेटशी जोडण्याची परवानगी देतो.

RADIUS ऑथेंटिकेशनसाठी अत्यंत महत्त्वाचे. डिव्हाइस किंवा युजर ओळखण्यासाठी RADIUS सर्व्हर SAN रीड करतो. Jamf डिप्लॉयमेंट्समध्ये, SAN सामान्यतः डिव्हाइसचा MAC ॲड्रेस किंवा युजरचा UPN म्हणून सेट केला जातो.

Root CA (Certificate Authority)

PKI हायरार्कीमधील सर्वात वरचे सर्टिफिकेट, ज्याची प्रायव्हेट की सबऑर्डिनेट CA सर्टिफिकेट्सवर स्वाक्षरी करण्यासाठी वापरली जाते. ऑथेंटिकेशन चेनमधील सर्व पक्षांनी Root CA सर्टिफिकेटवर विश्वास ठेवणे आवश्यक आहे.

Jamf द्वारे Apple डिव्हाइसेसवर डिप्लॉय केले जाणे आवश्यक आहे जेणेकरून ते EAP-TLS हँडशेक दरम्यान RADIUS सर्व्हरद्वारे सादर केलेल्या सर्टिफिकेट्सवर विश्वास ठेवू शकतील. याशिवाय, हँडशेक अयशस्वी होतो.

IEEE 802.1X

पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल (PNAC) साठीचा एक IEEE मानक, जो नेटवर्क ॲक्सेस मंजूर होण्यापूर्वी LAN किंवा WLAN ला कनेक्ट करू इच्छिणाऱ्या डिव्हाइसेसना ऑथेंटिकेशन मेकॅनिझम प्रदान करतो.

एक मुख्य फ्रेमवर्क जे RADIUS सर्व्हरने Jamf-प्रोव्हिजन केलेल्या सर्टिफिकेटची पडताळणी करेपर्यंत ॲक्सेस पॉइंटवर नेटवर्क ट्रॅफिक ब्लॉक करते. सर्व एंटरप्राइझ WiFi सुरक्षा याच मानकावर तयार केली जाते.

Dynamic VLAN Assignment

RADIUS बोगदा गुणधर्म ६४, ६५, आणि ८१ चा वापर करून, Access-Accept संदेशामध्ये परत आलेल्या पॉलिसी गुणधर्मांवर आधारित विशिष्ट VLAN मध्ये जोडणाऱ्या डिव्हाइसला नियुक्त करणारे एक RADIUS वैशिष्ट्य.

अनेक SSIDs शिवाय नेटवर्क सेगमेंटेशन सक्षम करते. एकच कॉर्पोरेट SSID क्लिनिकल iPads ला आपोआप VLAN 20 वर, एक्झिक्युटिव्ह MacBooks ला VLAN 30 वर आणि गेस्ट डिव्हाइसेसना VLAN 100 वर पाठवू शकतो.

सोडवलेली उदाहरणे

एका ५०० खाटांच्या रुग्णालयाला क्लिनिकल कर्मचाऱ्यांसाठी १,२०० शेअर्ड iPads तैनात करण्याची आवश्यकता आहे. ते सध्या Active Directory क्रेडेन्शियल्ससह PEAP वापरतात, ज्यामुळे प्रत्येक ९० दिवसांनी पासवर्ड कालबाह्य झाल्यावर शेकडो डिव्हाइसेस डिस्कनेक्ट होतात. त्यांनी त्यांच्या प्रमाणीकरण आर्किटेक्चरची पुन्हा रचना कशी करावी?

रुग्णालयाने Jamf Pro द्वारे व्यवस्थापित केलेल्या डिव्हाइस-आधारित प्रमाणपत्रांचा वापर करून EAP-TLS वर स्थलांतरित व्हावे. या अंमलबजावणीमध्ये चार प्रमुख पावले समाविष्ट आहेत. पहिले, SCEP सर्व्हर म्हणून काम करण्यासाठी NDES भूमिकेसह AD CS तैनात करा, जे समर्पित 'Clinical Device' प्रमाणपत्र टेम्पलेटमधून प्रमाणपत्रे जारी करेल. दुसरे, SAN म्हणून $MACADDRESS चा वापर करणाऱ्या SCEP पेलोडसह Jamf कॉन्फिगरेशन प्रोफाइल कॉन्फिगर करा, आणि RADIUS सर्व्हर प्रमाणपत्रावर स्पष्टपणे विश्वास ठेवून, केवळ EAP-TLS सह क्लिनिकल SSID ला लक्ष्य करणारा WiFi पेलोड कॉन्फिगर करा. तिसरे, 'Clinical Device' प्रमाणपत्र टेम्पलेटशी जुळणारे आणि डिव्हाइसेसना क्लिनिकल VLAN (Tunnel-Private-Group-Id = 20) मध्ये नियुक्त करणाऱ्या नेटवर्क पॉलिसीसह Microsoft NPS कॉन्फिगर करा. चौथे, IT हस्तक्षेपाशिवाय स्वयंचलित प्रमाणपत्र नूतनीकरण सुनिश्चित करण्यासाठी SCEP नूतनीकरण मर्यादा ३० दिवसांवर सेट करा. ऑनबोर्डिंग नेटवर्क आव्हानाचे निराकरण करण्यासाठी सुरुवातीच्या रोलआउट दरम्यान डिव्हाइसेस इथरनेटद्वारे प्रोव्हिजन केले जावे.

परीक्षकाचे भाष्य: हा दृष्टीकोन ९०-दिवसांच्या पासवर्ड रोटेशनची समस्या पूर्णपणे दूर करतो. वापरकर्ता-आधारित ऐवजी डिव्हाइस-आधारित प्रमाणपत्रांचा वापर करून, iPads चार्जिंग कार्टवर असताना देखील नेटवर्कशी कनेक्ट राहतात, ज्यामुळे क्लिनिशियनने ते हातात घेण्यापूर्वी त्यांना महत्त्वपूर्ण MDM अद्यतने आणि पुश नोटिफिकेशन्स मिळणे सुनिश्चित होते. RADIUS द्वारे डायनॅमिक VLAN असाइनमेंट हे सुनिश्चित करते की क्लिनिकल डिव्हाइसेस स्वयंचलितपणे योग्य नेटवर्क सेगमेंटवर ठेवली जातात, ज्यामुळे मॅन्युअल कॉन्फिगरेशनशिवाय HIPAA नेटवर्क सेगमेंटेशन आवश्यकता पूर्ण होतात.

३०० MacBooks असलेली एक क्रिएटिव्ह एजन्सी नवीन ऑफिसमध्ये स्थलांतरित होत आहे. त्यांना झिरो-टच WiFi प्रोव्हिजनिंग हवे आहे - नवीन MacBooks अंतिम वापरकर्त्यांनी त्यांच्या डेस्कवर अनबॉक्स केल्यावर कोणत्याही IT हस्तक्षेपाशिवाय स्वयंचलितपणे सुरक्षित कॉर्पोरेट SSID शी कनेक्ट झाली पाहिजेत. ते हे कसे साध्य करू शकतात?

एजन्सीने Apple Automated Device Enrollment (ADE) चे Jamf Pro आणि काळजीपूर्वक अनुक्रमित केलेल्या कॉन्फिगरेशन प्रोफाइलसह एकत्रीकरण करणे आवश्यक आहे. macOS सेटअप असिस्टंट दरम्यान, MacBook तात्पुरत्या ओपन ऑनबोर्डिंग SSID द्वारे इंटरनेटशी कनेक्ट होते (फायरवॉलद्वारे केवळ Apple ॲक्टिव्हेशन, Jamf MDM आणि SCEP ट्रॅफिकला परवानगी देण्यासाठी मर्यादित). ते Apple शी संपर्क साधते, ओळखते की ते ADE द्वारे एजन्सीचे आहे आणि Jamf Pro मध्ये स्वयंचलितपणे नोंदणीकृत होते. Jamf Pro लगेचच SCEP पेलोड आणि कॉर्पोरेट WiFi पेलोड असलेले पूर्व-स्टेज केलेले कॉन्फिगरेशन प्रोफाइल पाठवते. SCEP नोंदणी ऑनबोर्डिंग SSID वर पूर्ण होते, प्रमाणपत्र कीचेनमध्ये स्थापित केले जाते आणि WiFi पेलोड सक्रिय होतो. त्यानंतर MacBook स्वयंचलितपणे सुरक्षित 802.1X कॉर्पोरेट SSID वर स्थलांतरित होते. वापरकर्त्याच्या दृष्टिकोनातून, ते फक्त सेटअप असिस्टंट पूर्ण करतात आणि लॅपटॉप कॉर्पोरेट नेटवर्कवर उपलब्ध होतो.

परीक्षकाचे भाष्य: हा प्रसंग झिरो-टच डिप्लॉयमेंटमध्ये ऑनबोर्डिंग नेटवर्कच्या महत्त्वपूर्ण महत्त्वावर प्रकाश टाकतो. SCEP पेलोड आणि WiFi पेलोड एकाच Configuration Profile मध्ये असणे आवश्यक आहे आणि ते Prestage Enrollment ग्रुपशी संबंधित असावे जेणेकरून MDM एनरोलमेंट होताच - युजर डेस्कटॉपवर पोहोचण्यापूर्वी - ते लगेच पुश केले जातील. जर प्रोफाईल एखाद्या स्मार्ट ग्रुपशी संबंधित असेल ज्यासाठी डिव्हाइस आधी पूर्णपणे एनरोल होणे आवश्यक आहे, तर थोडा विलंब होऊ शकतो ज्या दरम्यान डिव्हाइसला कोणतेही नेटवर्क ॲक्सेस नसेल, ज्यामुळे झिरो-टच अनुभवात व्यत्यय येऊ शकतो.

सराव प्रश्न

Q1. तुम्ही ५० MacBooks वर SCEP पेलोड आणि WiFi पेलोडसह Jamf Configuration Profile तैनात केले आहे. SCEP प्रमाणपत्रे Keychain मध्ये यशस्वीरित्या स्थापित झाली आहेत, परंतु कॉर्पोरेट SSID ला जोडण्याचा प्रयत्न करताना MacBooks वापरकर्त्यांना 'Verify Certificate' संवाद दर्शवत आहेत. कोणते कॉन्फिगरेशन घटक गहाळ किंवा चुकीचे आहे?

टीप: वापरकर्त्याच्या हस्तक्षेपाशिवाय Apple डिव्हाइसला RADIUS सर्व्हरच्या ओळखीवर आपोआप विश्वास ठेवण्यासाठी कोणत्या माहितीची आवश्यकता असते याचा विचार करा.

नमुना उत्तर पहा

Jamf Configuration Profile मधील WiFi पेलोडमध्ये एकतर 'Trusted Server Certificate Names' नोंद गहाळ आहे (जी RADIUS सर्व्हरच्या प्रमाणपत्रातील CN शी तंतोतंत जुळली पाहिजे), किंवा RADIUS सर्व्हरच्या प्रमाणपत्रावर स्वाक्षरी करणारे Root CA आणि Intermediate CA प्रमाणपत्रे प्रोफाइलच्या Trust पेलोडमध्ये समाविष्ट केलेली नाहीत. MDM द्वारे स्पष्ट विश्वास व्याख्या केल्याशिवाय, macOS आणि iOS ला EAP-TLS हँडशेक दरम्यान वापरकर्त्याने स्वहस्ते RADIUS सर्व्हरचे प्रमाणपत्र सत्यापित करणे आणि स्वीकारणे आवश्यक असते. दोन्ही फील्ड भरलेले असणे आवश्यक आहे: Trusted Certificates अ‍ॅरे (ज्यामध्ये CA चेन आहे) आणि Trusted Server Certificate Names अ‍ॅरे (ज्यामध्ये RADIUS सर्व्हरचा CN आहे).

Q2. एका रिटेल साखळीला त्यांच्या पॉईंट-ऑफ-सेल iPads कोणत्याही कर्मचाऱ्याने POS अ‍ॅप्लिकेशनमध्ये लॉग इन करण्यापूर्वी, बूट झाल्यावर लगेच सुरक्षित कॉर्पोरेट WiFi शी जोडायचे आहेत. सध्याच्या उपयोजनात वैयक्तिक कर्मचारी UPN शी जोडलेली वापरकर्ता प्रमाणपत्रे वापरली जातात. शिफ्टच्या सुरुवातीला डिव्हाइस अनेकदा जोडण्यात अयशस्वी ठरतात. याचे मूळ कारण काय आहे आणि योग्य आर्किटेक्चरल बदल कोणता आहे?

टीप: वापरकर्ता प्रमाणीकरण जीवनचक्राच्या तुलनेत iOS नेटवर्क स्टॅकला वेगवेगळ्या प्रकारची प्रमाणपत्रे कधी उपलब्ध होतात याचा विचार करा.

नमुना उत्तर पहा

याचे मूळ कारण असे आहे की वापरकर्ता प्रमाणपत्रे (UPN शी जोडलेली) वापरकर्त्याच्या keychain मध्ये संग्रहित केली जातात आणि वापरकर्त्याने डिव्हाइसवर प्रमाणीकरण केल्यानंतरच ती उपलब्ध होतात. बूट करताना किंवा iOS लॉक स्क्रीनवर, वापरकर्त्याची keychain लॉक असते, त्यामुळे WiFi स्टॅक EAP-TLS करण्यासाठी प्रमाणपत्रात प्रवेश करू शकत नाही. योग्य आर्किटेक्चरल बदल म्हणजे डिव्हाइस प्रमाणपत्रांवर स्विच करणे, जिथे SAN हे डिव्हाइसच्या MAC पत्त्यावर किंवा अनुक्रमांकावर सेट केले जाते. डिव्हाइस प्रमाणपत्रे सिस्टम keychain मध्ये संग्रहित केली जातात, जी कोणताही वापरकर्ता लॉग इन करण्यापूर्वी बूट वेळेत उपलब्ध असते. RADIUS नेटवर्क पॉलिसी वापरकर्ता प्रमाणपत्रांऐवजी डिव्हाइस प्रमाणपत्रांशी जुळण्यासाठी अद्यतनित केली पाहिजे आणि Jamf SCEP पेलोड SAN म्हणून $MACADDRESS किंवा $SERIALNUMBER सारख्या डिव्हाइस-स्तरीय व्हेरिएबल्स वापरण्यासाठी अद्यतनित केले पाहिजे.

Q3. तुमची संस्था RADIUS सर्व्हर म्हणून Microsoft NPS वापरते. तुम्ही २०० MacBooks साठी नवीन Jamf SCEP पेलोड कॉन्फिगर करत आहात. प्रमाणपत्राचे Subject Alternative Name हे Active Directory मधील संगणक खात्याशी जुळणे आवश्यक आहे अशा प्रकारे NPS नेटवर्क पॉलिसी कॉन्फिगर केली आहे. तुम्ही Jamf SCEP पेलोडमध्ये कोणते SAN मूल्य कॉन्फिगर करावे आणि NPS कोणत्या स्वरूपाची अपेक्षा करते?

टीप: NPS संगणक प्रमाणपत्र प्रमाणीकरणासाठी SAN हे विशिष्ट स्वरूपात Active Directory मधील संगणकाच्या ओळखीशी जुळणे आवश्यक आहे.

नमुना उत्तर पहा

NPS संगणक प्रमाणपत्र प्रमाणीकरणासाठी, SAN हे $COMPUTERNAME.yourdomain.com या मूल्यांसह DNS Name प्रकारावर सेट केले पाहिजे (संगणकाच्या होस्टनावसाठी Jamf व्हेरिएबल वापरून). NPS ला अशी अपेक्षा असते की SAN DNS Name हे Active Directory मध्ये दिसणाऱ्या संगणकाच्या पूर्ण पात्र डोमेन नावाशी (FQDN) जुळले पाहिजे. वैकल्पिकरित्या, User Principal Name SAN प्रकार वापरत असल्यास, स्वरूप host/$COMPUTERNAME@YOURDOMAIN.COM असे असावे. NPS नेटवर्क पॉलिसीची अट 'Client Certificate SAN' गुणधर्माशी जुळण्यासाठी सेट केली पाहिजे. MacBooks हे Active Directory शी जोडलेले आहेत किंवा Jamf मधील संगणकांची नावे AD मधील संगणक ऑब्जेक्ट्सशी जुळत आहेत याची खात्री करा, अन्यथा प्रमाणपत्र वैध असले तरीही NPS शोध अयशस्वी होईल.

वारंवार विचारले जाणारे प्रश्न

How does SCEP automate 802.1X WiFi certificate enrollment in Jamf Pro?

Jamf Pro deploys a Configuration Profile containing a SCEP payload (com.apple.security.scep) to managed Apple devices. The profile specifies the SCEP server URL, Subject DN, Subject Alternative Name (SAN), and a dynamic single-use challenge password. The Apple device generates a private key in the Keychain, sends a Certificate Signing Request (CSR) directly to the CA via SCEP, and installs the signed certificate without IT touching the hardware.

Why do Apple devices silently fail EAP-TLS WiFi authentication without an error?

macOS and iOS strictly validate the server certificate presented by the RADIUS server during the TLS handshake. If the RADIUS server Common Name (CN) is not explicitly listed in the TLSTrustedServerNames array of the Jamf WiFi payload, or if the issuing Root CA is missing from the device trust store, Apple devices silently terminate the 802.1X connection to prevent man-in-the-middle attacks.

Should enterprise Apple fleets use device certificates or user certificates for WiFi?

Shared Apple hardware (such as retail POS iPads or clinical hospital tablets) should always use device-bound certificates with the MAC address or serial number as the SAN. Device certificates reside in the system keychain, allowing the device to authenticate to corporate WiFi at boot before any user logs in. User certificates reside in user keychains and disconnect whenever the user session logs out or locks.

How does Purple Cloud RADIUS simplify Jamf 802.1X WiFi deployments?

Purple Cloud RADIUS replaces on-premise Active Directory Certificate Services (AD CS) and complex NDES proxy setups with a zero-footprint cloud RADIUS service. It integrates directly with Jamf Pro via SCEP APIs to validate managed Apple device identities, automate certificate lifecycle renewals, and assign dynamic VLANs across multi-vendor enterprise wireless access points.

या मालिकेमध्ये पुढे वाचा

एंटरप्राइझ डिप्लॉयमेंटसाठी IronWiFi पर्याय

तुमच्या नेटवर्कला कराव्या लागणाऱ्या कामांच्या आधारे तुम्ही IronWiFi पर्यायाची निवड करू शकाल: ऑथेंटिकेशन, ओळख, संमती, हार्डवेअर कव्हरेज आणि तीन वर्षांचा खर्च. Purple, Cloud4Wi, Spotipo किंवा Cloudi-Fi केव्हा अधिक योग्य ठरतात, IronWiFi अजूनही केव्हा फायदेशीर ठरते आणि प्रत्येक व्हेंडरच्या दाव्यांची पडताळणी करणारा एक-वेन्यू पायलट कसा चालवायचा हे तुम्हाला समजेल.

मार्गदर्शिका वाचा →

Sophos Firewall आणि गेस्ट WiFi: Purple सह कॅप्टिव्ह पोर्टल सेटअप

Purple चे क्लाउड गेस्ट WiFi हे मानक बाह्य कॅप्टिव्ह पोर्टल आणि RADIUS द्वारे Sophos Firewall आणि त्याच्या ॲक्सेस पॉइंट्ससह कसे कार्य करते, आणि सपोर्ट कुठे तपासायचा व पायऱ्या कुठे शोधायच्या.

मार्गदर्शिका वाचा →

Aruba Central आणि Purple WiFi: क्लाउड-मॅनेज्ड इंटिग्रेशन

Purple च्या क्लाउड-होस्टेड अतिथी WiFi इंटेलिजन्स प्लॅटफॉर्मसोबत Aruba Central इंटिग्रेट करण्यासाठी एक सर्वसमावेशक तांत्रिक संदर्भ मार्गदर्शक. हे मार्गदर्शक आर्किटेक्चर, बाह्य Captive Portal आणि RADIUS चे टप्प्याटप्प्याने कॉन्फिगरेशन आणि एंटरप्राइझ IT टीम्ससाठी मल्टी-साइट रोलआउट धोरणे कव्हर करते.

मार्गदर्शिका वाचा →

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.