cloud RADIUS सह Juniper Mist वर 802.1X कॉन्फिगर करणे

Juniper Mist वर 802.1X कॉन्फिगर करण्यासाठी, WPA2 किंवा WPA3-Enterprise सुरक्षा असलेला WLAN तयार करा. ऑथेंटिकेशन आणि अकाउंटिंगसाठी तुमचे क्लाउड RADIUS सर्व्हर्स जोडा, आणि सेवा सपोर्ट करत असल्यास RadSec सक्षम करा. VLAN डायनॅमिक वर सेट करा जेणेकरून RADIUS उत्तरे प्रत्येक डिव्हाइसला योग्य सेगमेंटवर ठेवतील. Mist ची क्लायंट इनसाइट्स टाइमलाइन आणि Marvis नंतर कोणतेही अयशस्वी झालेले ऑथेंटिकेशन कोठे थांबले हे दाखवतात.

Juniper Mist वरील 802.1X नेमके काय करते?

IEEE 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल आहे. वायरलेस नेटवर्कवर, जोपर्यंत डिव्हाइस ऑथेंटिकेशन सर्व्हरकडे आपली ओळख सिद्ध करत नाही तोपर्यंत ते डिव्हाइसचा ट्रॅफिक ब्लॉक करते. ॲक्सेस पॉइंट ऑथेंटिकेटर म्हणून काम करतो. हे डिव्हाइस आणि RADIUS सर्व्हर दरम्यान Extensible Authentication Protocol (EAP) संदेश रिले करते. RADIUS हा RFC 2865 मध्ये परिभाषित केलेला ऑथेंटिकेशन प्रोटोकॉल आहे.

RADIUS सर्व्हर क्रेडेन्शियल तपासतो आणि Access-Accept किंवा Access-Reject परत करतो. Accept मध्ये डिव्हाइसने सामील झाले पाहिजे अशा VLAN सारखे ॲट्रिब्युट्स असू शकतात. प्रत्येक डिव्हाइस नंतर त्याच्या स्वत:च्या एन्क्रिप्शन की मिळवते, त्यामुळे कोणतेही दोन कर्मचारी सीक्रेट शेअर करत नाहीत.

Juniper Mist वर, प्रत्येक ॲक्सेस पॉइंट हा एक RADIUS क्लायंट असतो. Mist त्याचे WLAN कॉन्फिगरेशन त्याच्या क्लाउडमध्ये ठेवते आणि ते प्रत्येक साइटवरील प्रत्येक AP वर पुश करते. हे प्रत्येक कनेक्शनच्या टप्प्याची नोंद देखील ठेवते, ज्यामुळे ऑथेंटिकेशन अयशस्वी झाल्यावर Mist उपयुक्त ठरते.

EAP पद्धत ठरवते की डिव्हाइस काय सादर करते:

• EAP-TLS: डिव्हाइस आणि सर्व्हर दोन्ही प्रमाणपत्रे सादर करतात. यात फिशिंग, शेअर किंवा एक्सपायर होण्यासाठी कोणताही पासवर्ड नसतो.
• MSCHAPv2 सह PEAP: प्रोटेक्टेड EAP पासवर्ड एक्सचेंजला TLS टनेलमध्ये गुंडाळते. हे रोल आउट करणे सोपे आहे परंतु कमकुवत आहे. Microsoft दस्तऐवजीकरण करते की, अलीकडील Windows 11 बिल्ड्समध्ये बाय डीफॉल्ट ऑन असलेले Credential Guard, MSCHAPv2-आधारित ऑथेंटिकेशनसाठी सिंगल साइन-ऑन ब्लॉक करते.
• EAP-TTLS: अशीच एक टनेल केलेली पद्धत, जिथे ओळख स्टोअर Microsoft नाही तिथे सामान्य आहे.

Mist ही पद्धत ठरवत नाही. डिव्हाइस आणि RADIUS सर्व्हर आपापसात ते सहमत करतात, आणि AP ते एक्सचेंज रिले करतो. याचा अर्थ असा की तुम्ही EAP पद्धत RADIUS कडे आणि तुमच्या डिव्हाइस प्रोफाईलमध्ये निवडता, Mist कन्सोलमध्ये नाही.

Mist वर 802.1X कॉन्फिगर करण्यापूर्वी तुम्हाला कशाची आवश्यकता आहे?

तुम्ही कन्सोल उघडण्यापूर्वी हे गोळा करा. बहुतेक अयशस्वी रोलआउट्स Mist कॉन्फिगरेशन ऐवजी या सूचीतील गहाळ आयटममुळे होतात.

• Mist ॲक्सेस. ऑर्गनायझेशन ॲडमिन अधिकार, APs क्लेम केलेले आणि साइट्सना असाइन केलेले.
• क्लाउड RADIUS तपशील. सर्व्हर होस्टनेम्स किंवा IP पत्ते, पोर्ट्स, शेअर केलेले सीक्रेट, आणि तुमचा प्रदाता सपोर्ट करत असल्यास RadSec तपशील.
• एक ओळख स्रोत. Microsoft Entra ID, Okta किंवा Google Workspace, जे RADIUS सेवेशी जोडलेले आहेत आणि नेटवर्क भूमिकांशी मॅप केलेले ग्रुप्स आहेत.
• प्रमाणपत्रे. एक RADIUS सर्व्हर प्रमाणपत्र ज्यावर तुमचे डिव्हाइसेस विश्वास ठेवतात. EAP-TLS साठी, तुमच्या MDM किंवा PKI द्वारे जारी केलेली क्लायंट प्रमाणपत्रे.
• वायरड नेटवर्क. APs साठीचे स्विच पोर्ट्स RADIUS परत करू शकेल अशा प्रत्येक VLAN ला ट्रंक करणे आवश्यक आहे. प्रत्येक VLAN ला DHCP स्कोपची गरज असते.
• फायरवॉल इग्रेस. मानक RADIUS साठी UDP 1812 आणि 1813, किंवा RadSec साठी TCP 2083, जे पोर्ट्स IANA द्वारे प्रत्येकाला नियुक्त केले आहेत.
• डिव्हाइस क्षमता. WPA3-Enterprise साठी प्रोटेक्टेड मॅनेजमेंट फ्रेम (PMF, IEEE 802.11w) आवश्यक आहे. जुने स्कॅनर, प्रिंटर आणि हँडहेल्ड डिव्हाइसेस कदाचित याला सपोर्ट करणार नाहीत.
• कव्हरेज. एंटरप्राइझ ऑथेंटिकेशनमुळे राउंड ट्रिप्स वाढतात, त्यामुळे कमकुवत कव्हरेज ऑथेंटिकेशन टाइमआउट म्हणून दिसून येते. आपण अलीकडे कव्हरेजची पडताळणी केली नसल्यास, आमची WiFi साइट सर्वेक्षणांची मार्गदर्शिका या पद्धतीबद्दल माहिती देते.

Mist WLAN ने कोणत्या RADIUS बॅक एंडला पॉइंट केले पाहिजे?

बॅक एंड हे ठरवते की APs RADIUS पर्यंत कसे पोहोचतात, तुमच्या फायरवॉलने कशाला अनुमती दिली पाहिजे आणि सर्व्हर प्रत्येक साइट कशी ओळखतो.

पर्याय	AP कडून ट्रान्सपोर्ट	साइटवरील हार्डवेअर	फायरवॉल इग्रेस	RADIUS साइट कसा ओळखतो	यासाठी सर्वाधिक योग्य
ऑन-प्रीमिसिस RADIUS (Microsoft NPS, FreeRADIUS)	LAN किंवा VPN द्वारे, UDP वर RADIUS	हेड ऑफिसमध्ये सर्व्हर, तसेच प्रत्येक साइटवर VPN	हेड ऑफिसला UDP 1812 आणि 1813	सोर्स IP अधिक शेअर सिक्रेट	विद्यमान सर्व्हर रूम असलेले एकच कॅम्पस
इंटरनेटवर Cloud RADIUS	इंटरनेटद्वारे, UDP वर RADIUS	काहीही नाही	UDP 1812 आणि 1813 आऊटबाउंड	साइट पब्लिक IP अधिक शेअर सिक्रेट	स्टॅटिक पब्लिक IP पत्ते असलेल्या साइट्स
RadSec द्वारे Cloud RADIUS	TCP वर TLS मधील RADIUS (RFC 6614)	काहीही नाही	TCP 2083 आऊटबाउंड	म्युच्युअल सर्टिफिकेट ऑथेंटिकेशन	ब्रॉडबँड किंवा डायनॅमिक IPs वरील मल्टी-साइट प्रॉपर्टीज
Mist Edge प्रॉक्सीद्वारे Cloud RADIUS	AP ते Mist Edge, नंतर Mist Edge ते RADIUS	Mist Edge अप्लायन्स किंवा व्हर्च्युअल मशीन	केवळ Mist Edge कडून RADIUS पोर्ट्स	Mist Edge सोर्स IP	एक इग्रेस पॉइंट इच्छिणारे मोठे कॅम्पस

Juniper Mist Access Assurance ही तिची स्वतःची क्लाउड नेटवर्क ॲक्सेस कंट्रोल सर्व्हिस देखील विकते. ही मार्गदर्शिका बाह्य क्लाउड RADIUS सर्व्हिस समाविष्ट करते, जी तुमचे ऑथेंटिकेशन धोरण AP व्हेंडरपासून स्वतंत्र ठेवते.

तुम्ही क्लाउड RADIUS सह Juniper Mist वर 802.1X कसे कॉन्फिगर करता?

Mist कन्सोल नियमितपणे बदलत असतो, त्यामुळे सध्याच्या स्टेप्ससाठी Juniper चे Mist दस्तऐवज वापरा. खालील क्रम प्रत्येक टप्प्यावर काय होते आणि त्यामागील निर्णय दाखवतो.

पायरी 1: WPA2 किंवा WPA3-Enterprise WLAN तयार करा

तुम्ही एकापेक्षा जास्त साइट चालवत असल्यास ऑर्गनायझेशन-लेव्हल WLAN टेम्पलेटमध्ये WLAN तयार करा. टेम्पलेट्स साइट्स किंवा साइट ग्रुप्सना लागू होतात, त्यामुळे एक बदल संपूर्ण प्रॉपर्टीमध्ये लागू होतो. सिंगल-साइट पायलटसाठी ते साइट लेव्हलवर तयार करा.

SSID चे नाव द्या आणि एंटरप्राइझ (802.1X) सुरक्षा प्रकार निवडा. त्यानंतर WPA2 किंवा WPA3 निवडा.

• WPA3-Enterprise PMF अनिवार्य करते आणि 6 GHz रेडिओवर हा एकमेव एंटरप्राइझ पर्याय आहे. व्यवस्थापित लॅपटॉप आणि सध्याच्या फोन्ससाठी हे निवडा.
• WPA2-Enterprise अद्याप जुन्या डिव्हाइसेसना कनेक्ट करते. जुना डिव्हाइस ताफा अद्याप स्थलांतरित होऊ शकत नसल्यास, मुख्य SSID कमकुवत करण्याऐवजी त्याला वेगळ्या SSID वर ठेवा.

IEEE 802.11r (Fast BSS Transition) सोबत फास्ट रोमिंग सक्षम करण्याचा विचार करा. जेव्हा डिव्हाइस APs दरम्यान हलते तेव्हा ते पुन्हा प्रमाणीकरण सुलभ करते. हे संपूर्ण मालमत्तेमध्ये सक्षम करण्यापूर्वी व्हॉइस हँडसेट आणि जुन्या क्लायंटसह याची चाचणी घ्या.

पायरी 2: WLAN ला तुमच्या क्लाउड RADIUS सेवेकडे निर्देशित करा

WLAN च्या ऑथेंटिकेशन सर्व्हर सेटिंग्जमध्ये, तुमच्या प्रदात्याचे RADIUS सर्व्हर जोडा.

• ऑथेंटिकेशन सर्व्हर. किमान दोन सर्व्हरसाठी होस्ट, पोर्ट आणि शेअर केलेले सीक्रेट प्रविष्ट करा. जेव्हा एक सर्व्हर प्रतिसाद देणे थांबवतो तेव्हा Mist पुढील सर्व्हरवर जाते.
• अकाउंटिंग सर्व्हर. त्यांना स्वतंत्रपणे जोडा. अकाउंटिंग सत्र सुरू होण्याची आणि संपण्याची वेळ नोंदवते, जी तुमच्या ऑडिट आणि इन्सिडेंट टीम्सना आवश्यक असेल.
• NAS आयडेंटिफायर. RADIUS सेवा साइट्स वेगळ्या ओळखण्यासाठी वापरू शकेल असे मूल्य सेट करा. त्यानंतर तुमचा प्रदाता साइट-विशिष्ट पॉलिसी लागू करू शकतो.

UDP वरील मानक RADIUS सह, NAT नंतर प्रत्येक साइटवरून त्याच्या सार्वजनिक IP पत्त्यावरून विनंत्या बाहेर पडतात. तुमच्या क्लाउड RADIUS प्रदात्याने तो पत्ता क्लायंट म्हणून नोंदणीकृत केला पाहिजे. डायनॅमिक IP वरील साइटचा पत्ता बदलल्यावर त्याचे ऑथेंटिकेशन बंद होईल. पायरी 3 मधील RadSec ही अवलंबित्व काढून टाकते.

शेअर केलेल्या सीक्रेटला क्रेडेंशियल म्हणून हाताळा. ते मोठे आणि यादृच्छिक बनवा, आणि तुमच्या पासवर्ड व्हॉल्टमध्ये संग्रहित करा. जुलै 2024 मध्ये, संशोधकांनी BlastRADIUS (CVE-2024-3596) उघड केले, जो UDP वरील RADIUS वर एक बनावट हल्ला आहे. सल्लागार शिफारस केल्यानुसार तुमचा प्रदाता Message-Authenticator ॲट्रिब्यूट आवश्यक करतो याची पुष्टी करा किंवा RadSec कडे जा.

पायरी 3: RadSec सक्षम करा

होय, Juniper Mist RadSec ला सपोर्ट करते. RFC 6614 मध्ये परिभाषित केलेले RadSec, TCP वरील TLS सत्रामध्ये RADIUS वाहून नेते. Mist APs ते सत्र थेट तुमच्या क्लाउड RADIUS सेवेसाठी उघडू शकतात.

WLAN च्या RADIUS सेटिंग्जमध्ये RadSec सक्षम करा आणि सर्व्हर होस्टनेम प्रविष्ट करा. होस्टनेम सर्व्हरच्या प्रमाणपत्रावरील नावाशी जुळले पाहिजे. त्यानंतर दोन्ही दिशांमध्ये ट्रस्ट सेट करा:

• AP सर्व्हरवर विश्वास ठेवतो. Mist च्या ऑर्गनायझेशन सेटिंग्जमध्ये तुमच्या RadSec सर्व्हरच्या प्रमाणपत्रावर स्वाक्षरी करणारी प्रमाणपत्र प्राधिकरता जोडा.
• सर्व्हर AP वर विश्वास ठेवतो. तुमच्या RadSec सर्व्हरने Mist APs सादर करत असलेल्या प्रमाणपत्रावर विश्वास ठेवला पाहिजे. हे कोठे मिळवायचे याचे स्पष्टीकरण Juniper चे दस्तऐवजीकरण देते.

प्रत्येक साइटवरून TCP 2083 आउटबाउंड उघडा. RadSec तीन व्यावहारिक फायदे आणते:

1. एन्क्रिप्शन. ते संपूर्ण RADIUS पॅकेट एन्क्रिप्ट करते, ज्यामध्ये आतील ओळख आणि MAC पत्ता समाविष्ट आहे. मानक RADIUS फक्त पासवर्ड लपवते.
2. IP नोंदणी नाही. प्रमाणपत्र AP चे प्रमाणीकरण करते, स्त्रोत पत्त्याचे नाही. डायनॅमिक ब्रॉडबँड IPs चे महत्त्व राहत नाही.
3. विश्वसनीय वितरण. EAP-TLS संदेश प्रमाणपत्र साखळ्या वाहून नेतात आणि सहसा एका पॅकेटपेक्षा जास्त असतात. इंटरनेटवर UDP वर, तुकडे ड्रॉप होतात. TCP ऐवजी पुनर्प्रसारित करतो.

पायरी 4: dynamic VLANs मध्ये RADIUS ॲट्रिब्युट्स मॅप करा

Dynamic VLAN असाइनमेंट प्रत्येक भूमिका एकाच SSID वर ठेवते आणि RADIUS ला विभाग ठरवू देते. WLAN च्या VLAN सेटिंग्जमध्ये, dynamic VLAN निवडा. AP ला प्राप्त होणारा प्रत्येक VLAN ID किंवा नाव सूचीबद्ध करा आणि कोणत्याही VLAN नसलेल्या उत्तरांसाठी डीफॉल्ट सेट करा.

तुमची RADIUS पॉलिसी नंतर तीन टनेल ॲट्रिब्युट्स परत करते, जे RFC 2868 मध्ये परिभाषित केले आहेत आणि RFC 3580 मधील 802.1X वर लागू केले आहेत.

गुणधर्म	मूल्य	हे काय करते
Tunnel-Type	13 (VLAN)	AP ला सांगते की टनेल हे एक VLAN आहे
Tunnel-Medium-Type	6 (IEEE-802)	IEEE 802 माध्यम निर्दिष्ट करते
Tunnel-Private-Group-ID	WLAN वर सूचीबद्ध केलेला VLAN ID किंवा नाव	या सत्रासाठी VLAN निवडते

ओळख गटांच्या (identity groups) भोवती धोरण तयार करा. हाऊसकीपिंग डिव्हाइसेस हाऊसकीपिंग VLAN वर जातात. पेमेंट टर्मिनल्स एका वेगळ्या सेगमेंटवर जातात. PCI-DSS कार्डधारक डेटा वातावरणाची व्याप्ती कमी करण्याचा एक मार्ग म्हणून योग्य सेगमेंटेशनकडे पाहते. असाच पॅटर्न healthcare मध्ये क्लिनिकल डिव्हाइसेसना अभ्यागतांच्या ट्रॅफिकपासून वेगळे करतो.

पायरी 5: पायलट करा, नंतर टेम्पलेटद्वारे स्केल करा

प्रथम एका साइटला टेम्पलेट असाइन करा. पुढील विभागातील तपासण्या करा. त्या पास झाल्यावर, उर्वरित साइट्स किंवा साइट गटांना टेम्पलेट असाइन करा. प्रत्येक नवीन साइट आपोआप WLAN, RADIUS सर्व्हर्स, RadSec सेटिंग्ज आणि VLAN सूची वारशाने मिळवते.

Mist वर 802.1X कार्य करते हे तुम्ही कसे तपालाल?

फक्त एका खात्याचे नाही, तर प्रत्येक भूमिकेचे (role) परीक्षण करा. एका गटासाठी यशस्वी स्वीकृती दुसऱ्या गटाच्या VLAN मॅपिंगबद्दल काहीही सिद्ध करत नाही.

1. प्रत्येक भूमिकेनुसार एक चाचणी डिव्हाइस कनेक्ट करा. Mist च्या क्लायंट सूचीमध्ये, SSID, वापरलेली ओळख, VLAN आणि अपेक्षित सबनेटमधील IP पत्त्याची पुष्टी करा.
2. RADIUS लॉग वाचा. अपेक्षित टनेल गुणधर्म असलेल्या Access-Accept ची पुष्टी करा, ज्यानंतर अकाउंटिंग स्टार्ट रेकॉर्ड येतो.
3. रोम करा. APs दरम्यान डिव्हाइस घेऊन फिरा आणि सत्र टिकून राहिल्याची पुष्टी करा, विशेषतः जर तुम्ही 802.11r सक्षम केले असेल.
4. रद्द करा. तुमच्या ओळख प्रदात्यामध्ये (identity provider) एक चाचणी खाते अक्षम करा. त्याचे पुढील प्रमाणीकरण नाकारले गेले आहे याची पुष्टी करा.
5. सेवा स्तरांवर लक्ष ठेवा. Mist च्या Successful Connects सेवा स्तर अपेक्षामध्ये (SLE) एक प्रमाणीकरण वर्गीकरणकर्ता समाविष्ट आहे. Time to Connect दाखवते की प्रमाणीकरण जोडणीचा वेग मंदावत आहे की नाही.

पायरी 4 मध्ये एक अडचण आहे. खाते अक्षम केल्याने पुढील प्रमाणीकरण थांबते, सध्याचे सत्र नाही. थेट सत्रे समाप्त करण्यासाठी, तुमची RADIUS सेवा आणि WLAN प्रमाणीकरणातील बदल (CoA, RFC 5176) ला सपोर्ट करतात का ते तपासा. CoA सर्व्हरला मागणीनुसार सत्र डिस्कनेक्ट करण्याची अनुमती देते.

प्रमाणीकरण का अयशस्वी झाले हे Mist कुठे दाखवते?

क्लायंट इनसाइट्स टाइमलाइन वाचणे

अयशस्वी होणारा क्लायंट उघडा आणि त्याच्या Insights पानावर जा. Mist प्रत्येक कनेक्शन इव्हेंट क्रमाने सूचीबद्ध करते: असोसिएशन, EAP एक्सचेंज, RADIUS निकाल, नंतर DHCP. ते डावीकडून उजवीकडे वाचा. शेवटची यशस्वी घटना तुम्हाला सांगते की कोणता स्तर खराब झाला आहे.

• कोणत्याही RADIUS इव्हेंटपूर्वी अयशस्वी होते: रेडिओ किंवा असोसिएशनची समस्या, 802.1X नाही.
• RADIUS टाइमआउट: AP आणि सर्व्हरमधील पोहोचण्यायोग्यता किंवा विश्वासाची समस्या.
• RADIUS नकार: सर्व्हर निर्णयावर पोहोचला आहे. याचे कारण तुमच्या RADIUS प्रदात्याच्या लॉगमध्ये असते.
• प्रमाणित, नंतर DHCP अयशस्वी होते: VLAN किंवा वायर्ड नेटवर्कची समस्या.

Mist चे डायनॅमिक पॅकेट कॅप्चर कनेक्शन अपयशाच्या आसपासचे फ्रेम्स आपोआप रेकॉर्ड करते. एक्सचेंज कुठे थांबले ते अचूक EAP संदेश पाहण्यासाठी कॅप्चर डाउनलोड करा आणि Wireshark मध्ये उघडा.

triage ला शॉर्टकट देणाऱ्या Marvis क्वेरी

Marvis, Mist चा संवादात्मक सहाय्यक, सोप्या भाषेतील प्रश्न स्वीकारतो आणि त्यासाठी Marvis सबस्क्रिप्शन आवश्यक आहे. या धर्तीवरील प्रश्न सर्वाधिक वेळ वाचवतात:

• "[client name or MAC address] चे ट्रबलशूट करा" एका डिव्हाइससाठी अयशस्वी बिंदू आणि संभाव्य कारण परत करते.
• "[site name] चे ट्रबलशूट करा" एकाच साइटवर समस्या एकत्रित आहेत का ते दाखवते, जे फायरवॉल किंवा WAN समस्यांकडे निर्देश करते.
• "आज [site] वर कोणते क्लायंट कनेक्ट होण्यात अयशस्वी झाले?" तुम्ही वैयक्तिक टाइमलाइन उघडण्यापूर्वी समस्येची व्याप्ती ठरवते.

व्याप्ती प्रथम येते. एक अयशस्वी होणारे डिव्हाइस सहसा डिव्हाइस प्रोफाइल असते. एका साइटवरील प्रत्येक डिव्हाइस ही सहसा नेटवर्क पाथची समस्या असते. प्रत्येक ठिकाणचे प्रत्येक डिव्हाइस ही सहसा RADIUS सर्व्हिस किंवा प्रमाणपत्राची समस्या असते.

Mist वरील सामान्य 802.1X त्रुटी आणि त्यांचे निवारण

Mist काय दाखवते	संभाव्य कारण	निवारण
RADIUS टाइमआउट, कोणतेही उत्तर नाही	फायरवॉल UDP 1812 किंवा TCP 2083 ब्लॉक करते, सोर्स IP नोंदणीकृत नाही, किंवा सामायिक सीक्रेट जुळत नाही	एग्रेस उघडा, साइट IP ची नोंदणी करा किंवा RadSec वर हलवा, दोन्ही बाजूंना सीक्रेट पुन्हा प्रविष्ट करा
Access-Reject	चुकीचे क्रेडेंशियल, निष्क्रिय केलेले खाते, किंवा प्रत्येक पॉलिसी ग्रुपच्या बाहेरील डिव्हाइस	RADIUS लॉगमध्ये रिजेक्टचे कारण वाचा आणि पॉलिसी किंवा खाते सुधारा
सर्व्हर प्रमाणपत्रानंतर EAP थांबते	डिव्हाइस सर्व्हर CA वर विश्वास ठेवत नाही, किंवा सर्व्हरचे नाव जुळत नाही	तुमच्या MDM प्रोफाइलद्वारे डिव्हाइसेसवर CA आणि सर्व्हरचे नाव पुश करा
ऑथेंटिकेट झाले, IP ॲड्रेस नाही	परत आलेला VLAN AP ला ट्रंक केलेला नाही, DHCP स्कोप गहाळ आहे, किंवा VLAN WLAN सूचीवर नाही	VLAN ट्रंक करा, स्कोप जोडा, VLAN नाव तंतोतंत जुळवा
RadSec सत्र कधीही स्थापित होत नाही	दोन्ही बाजूंपैकी एका बाजूला CA वर अविश्वास, कालबाधित प्रमाणपत्र, किंवा घड्याळाची त्रुटी	दोन्ही प्रमाणपत्रे, समाप्ती तारखा आणि NTP पुन्हा तपासा
UDP वर अधूनमधून EAP-TLS त्रुटी	इंटरनेटवर फ्रॅगमेंट केलेले पॅकेट्स ड्रॉप झाले	RadSec वर हलवा किंवा प्रमाणपत्र साखळी लहान करा
WPA3 डिव्हाइसेस कनेक्ट होतात, जुने डिव्हाइसेस अयशस्वी होतात	जुन्या डिव्हाइसेसमध्ये WPA3 किंवा PMF सपोर्ट नाही	लेगसी डिव्हाइसेस वेगळ्या WPA2-Enterprise SSID वर हलवा

हे एका वास्तविक ठिकाणी कसे दिसते?

या दोन परिस्थिती स्पष्टीकरणात्मक आहेत. कॉन्फिगरेशन कसे मोजण्यायोग्य operational परिणामांना बदलते ते त्या दाखवतात.

सराव केलेली परिस्थिती: 200 खोल्यांचे हॉटेल कर्मचाऱ्यांच्या सामायिक केलेल्या की निवृत्त करते

परिस्थिती. 200 खोल्यांचे हॉटेल चार स्टाफ SSIDs चालवत होते: फ्रंट डेस्क, हाउसकीपिंग, मॅनेजमेंट आणि इंजिनिअरिंग. प्रत्येकाने सामायिक केलेला पासवर्ड वापरला. जेव्हा एखादी हाउसकीपर सोडून जायची, तेव्हा टीम एकतर डझनभर डिव्हाइसेसवर की बदलायची किंवा ती तशीच ठेवायची. पाहुणे पाचव्या SSID वर असायचे.

काय केले गेले. टीमने Mist WLAN टेम्पलेटमध्ये एक WPA3-Enterprise स्टाफ SSID तयार केला. व्यवस्थापित डिव्हाइसेसनी EAP-TLS वापरले, ज्यामध्ये MDM द्वारे प्रमाणपत्रे पुश केली गेली. क्लाउड RADIUS ने Microsoft Entra ID कडून ग्रुप सदस्यत्व वाचले आणि प्रति विभाग VLAN परत केला. जुन्या रूम-सर्व्हिस टॅब्लेटसाठी एक वेगळा WPA2-Enterprise SSID ठेवला गेला. पाहुणे Guest WiFi वर राहिले.

परिणाम. चार कर्मचार्‍यांचे SSIDs एकत्रित होऊन एक झाले, अधिक एक जुना SSID, त्यामुळे हॉटेलने पाचऐवजी तीन नेटवर्क ब्रॉडकास्ट केले. कमी SSIDs म्हणजे एअरटाइमसाठी स्पर्धा करणार्‍या बीकन फ्रेम्सची कमी संख्या. सामायिक केलेल्या कर्मचारी की (keys) चारवरून शून्य वर आल्या. सोडून जाणार्‍या कर्मचार्‍याचा ॲक्सेस आता HR ने खाते निष्क्रिय केल्यावर लगेच समाप्त होतो, कोणत्याही की-रोटेशनशिवाय. हाच दृष्टीकोन विभागीय PSK नेटवर्क्स चालवणाऱ्या बहुतांश हॉटेल्सना योग्य ठरतो.

प्रत्यक्ष उदाहरण: 120 स्टोअर्सची रिटेल साखळी RadSec वर हलवली

परिस्थिती. 120 स्टोअर्सच्या एका साखळीने व्यावसायिक ब्रॉडबँडवर Mist APs चालवले. ऑथेंटिकेशन साईट-टू-साईट VPN द्वारे हेड ऑफिसमधील ऑन-प्रिमायसेस RADIUS सर्व्हरकडे जात असे. जेव्हा एखाद्या स्टोअरचे VPN खंडित व्हायचे, तेव्हा कर्मचाऱ्यांची डिव्हाइसेस आणि हँडहेल्ड स्कॅनर्स ऑथेंटिकेट होऊ शकत नव्हते.

काय करण्यात आले. ही साखळी क्लाउड RADIUS सेवेवर स्थानांतरित झाली आणि Mist WLAN टेम्पलेटवर RadSec सक्षम केले. Mist च्या ऑर्गनायझेशन सेटिंग्जमध्ये एकदाच सर्टिफिकिट ट्रस्ट सेट केले गेले. स्टोअर्सने TCP 2083 आऊटबाउंड उघडले. पेमेंट टर्मिनल्सना डायनॅमिक असाइनमेंटद्वारे एक वेगळे VLAN मिळाले, ज्यामुळे PCI-DSS सेगमेंटेशनला सपोर्ट मिळाला.

परिणाम. RADIUS सर्व्हरने प्रति-स्टोअर 120 IP क्लायंट नोंदींचा मागोवा घेणे बंद केले; सर्टिफिकिट्सने त्या सर्वांची जागा घेतली. ऑथेंटिकेशन आता VPN वर अवलंबून राहिले नाही. नवीन स्टोअरचा साईट टेम्पलेटमध्ये सामील होताच त्याला 802.1X मिळते. हे मॉडेल अशा रिटेल मालमत्तांसाठी योग्य आहे जिथे स्टोअर कनेक्टिव्हिटी बदलत्या IP ॲड्रेससह ब्रॉडबँड असते.

यासाठी किती खर्च येतो आणि तुम्हाला त्यातून काय परत मिळते?

तुम्हाला नवीन ॲक्सेस पॉइंट्सची गरज नाही. 802.1X, RadSec आणि डायनॅमिक VLANs तुमच्याकडे आधीपासून असलेल्या Mist APs वर चालतात. आमचा लेख तुमच्या पुढील WiFi अपग्रेडसाठी नवीन हार्डवेअरची गरज का नाही या क्लाउड ओव्हरले मॉडेलची अधिक सखोल माहिती देतो.

खर्च चार ठिकाणी होतो:

• Juniper सबस्क्रिप्शन. सर्व्हिस लेव्हल अपेक्षा आणि Marvis हे तुमच्या Mist सबस्क्रिप्शन टियरवर अवलंबून असतात. तुमच्या Juniper पार्टनरकडून कव्हरेजची पुष्टी करा.
• RADIUS सेवा. ऑन-प्रिमायसेस RADIUS साठी सर्व्हर्स, लायसन्स, पॅचिंग आणि VPNs चा खर्च येतो. क्लाउड RADIUS हे कोणत्याही हार्डवेअरशिवाय मिळणारे सबस्क्रिप्शन आहे.
• सर्टिफिकिट्स. EAP-TLS ला सर्टिफिकिट्स जारी करण्यासाठी PKI आणि MDM ची गरज असते. बहुतांश संस्था आधीपासूनच दोन्ही चालवतात.
• इंजिनिअरिंग वेळ. Mist कॉन्फिगरेशन हा सर्वात जलद होणारा भाग आहे. डिव्हाइसेसना सर्टिफिकिट्सचे वितरण गती ठरवते.

तुम्हाला परत मिळणारी गोष्ट मोजण्यायोग्य आहे. सामायिक केलेल्या की (keys) शून्य होतात. रिव्होकेशन हे की-रोटेशन प्रोजेक्टऐवजी आयडेंटिटी प्रोव्हायडरचे अनुसरण करते. SSID ची संख्या कमी होते. सेगमेंटेशनमुळे PCI-DSS ची व्याप्ती मर्यादित होते. ट्रायजची (triage) सुरुवात साईट भेटीऐवजी टाइमलाइन आणि Marvis क्वेरीपासून होते.

Mist साठी Purple चा RADIUS-as-a-Service हा एक क्लाउड RADIUS पर्याय आहे. हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet मध्ये हार्डवेअर-अग्नोस्टिक आहे. हे नेटवर्क ॲक्सेसला Microsoft Entra ID, Okta किंवा Google Workspace मधील आयडेंटिटीशी जोडते, त्यामुळे जॉइनर्स, मूव्हर्स आणि लीव्हर्स आपोआप अपडेट होतात. Purple हे ISO 27001 आणि Cyber Essentials प्रमाणित आहे आणि GDPR चे पालन करते. आमचा स्वतःचा डेटा 99.999% अपटाइम आणि 2024 मध्ये 80,000+ लाईव्ह ठिकाणी 440 दशलक्ष लॉगइन दाखवतो. आपण शॉर्टलिस्ट केलेल्या कोणत्याही प्रदात्यासह RadSec सपोर्ट तपासा, ज्यामध्ये Purple समाविष्ट आहे. जर तुम्ही गेस्ट नेटवर्कचा खर्च देखील काढत असाल, तर आमची captive portal pricing models ची तुलना पहा.

वारंवार विचारले जाणारे प्रश्न

Juniper Mist मूळतः RadSec ला सपोर्ट करते का?

होय. Mist ॲक्सेस पॉइंट्स थेट क्लाउड RADIUS सेवेवर RadSec सत्राची सुरुवात करू शकतात, जे RFC 6614 मध्ये परिभाषित केल्यानुसार TCP वर TLS द्वारे RADIUS घेऊन जाते. तुम्ही हे WLAN च्या RADIUS सेटिंग्जमध्ये सक्षम करता आणि ऑर्गनायझेशन सेटिंग्जमध्ये सर्टिफिकेट ट्रस्ट व्यवस्थापित करता. साइट्सना आउटबाउंड TCP 2083 ची आवश्यकता असते. RadSec संपूर्ण RADIUS पॅकेट एन्क्रिप्ट करते आणि तुमच्या प्रदात्याकडे प्रत्येक साइटचा सार्वजनिक IP पत्ता नोंदवण्याची आवश्यकता काढून टाकते.

क्लाउड RADIUS वापरण्यासाठी मला Mist Edge ची गरज आहे का?

नाही. Mist APs अतिरिक्त हार्डवेअरशिवाय थेट क्लाउड सेवेवर RADIUS किंवा RadSec पाठवू शकतात. Mist Edge प्रॉक्सी मोठ्या कॅम्पसमध्ये मदत करते जिथे तुम्हाला प्रत्येक RADIUS विनंती एका नियंत्रित बिंदूद्वारे सोडायची असते. हे अशा साइट्ससाठी देखील योग्य आहे जिथे APs थेट इंटरनेटपर्यंत पोहोचू शकत नाहीत. बहुतेक मल्टी-साइट इस्टेट्ससाठी, APs कडून थेट RadSec ही अधिक सोपी रचना आहे.

मी क्लाउड RADIUS कडे जात असताना Microsoft NPS सुरू ठेवू शकतो का?

होय, परंतु सर्व्हरच्या क्रमानुसार न करता ग्रुपनुसार कटओव्हरचे नियोजन करा. Mist ऑथेंटिकेशन सर्व्हरमध्ये फेलाओव्हर केवळ तेव्हाच करते जेव्हा एखादा सर्व्हर प्रतिसाद देणे थांबवतो, जेव्हा एखादा विनंती नाकारतो तेव्हा नाही. त्यामुळे एकाच WLAN वर NPS आणि क्लाउड सेवा सूचीबद्ध केल्याने अप्रत्याशित परिणाम मिळतात. क्लाउड RADIUS कडे निर्देशित केलेला दुसरा SSID चालवा, एका वेळी एक विभाग हलवा, नंतर NPS बंद करा.

Purple चे RADIUS-as-a-Service Juniper Mist सह कार्य करते का?

होय. Purple हे हार्डवेअर-अग्नोस्टिक आहे आणि Juniper Mist, तसेच Cisco Meraki, HPE Aruba, Ruckus, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून चालते. हे नेटवर्क ॲक्सेसला Microsoft Entra ID, Okta किंवा Google Workspace शी जोडते, त्यामुळे खाते बदलल्यावर ॲक्सेस बदलतो. तुम्ही तुमचे विद्यमान Mist APs ठेवता, ज्यासाठी रिप आणि रिप्लेसची गरज नसते.

Mist वर 802.1X साठी WPA3-Enterprise आवश्यक आहे का?

नाही. 802.1X हे WPA2-Enterprise किंवा WPA3-Enterprise सोबत कार्य करते. WPA3 अनिवार्य प्रोटेक्टेड मॅनेजमेंट फ्रेम्स जोडते आणि 6 GHz रेडिओवर हा एकमेव एंटरप्राइझ पर्याय आहे. सध्याच्या लॅपटॉप आणि फोनसाठी WPA3 वापरा. तुमच्या मुख्य SSID वर सुरक्षितता कमी करण्याऐवजी, PMF सपोर्ट नसलेल्या जुन्या स्कॅनर्स, प्रिंटर्स किंवा टॅब्लेटसाठी एक वेगळा WPA2-Enterprise SSID ठेवा.

Mist वरील 802.1X साठी अतिरिक्त Juniper परवान्याची आवश्यकता आहे का?

WLAN साठीच कोणत्याही अतिरिक्त लायसन्सची आवश्यकता नाही. Mist WLAN ला बाह्य RADIUS सर्व्हरवर पॉइंट करणे हे मानक कॉन्फिगरेशन आहे. ट्रबलशूटिंग साधने भिन्न असतात: Marvis साठी Marvis सबस्क्रिप्शनची आवश्यकता असते, आणि सर्व्हिस लेव्हलच्या अपेक्षा तुमच्या Mist सबस्क्रिप्शन टियरवर अवलंबून असतात. Juniper चे स्वतःचे Mist Access Assurance हे एक वेगळे उत्पादन आहे. ट्रियाजसाठी Marvis वर अवलंबून राहण्यापूर्वी तुमच्या Juniper पार्टनरकडून तुमच्या टियरची पुष्टी करा.

802.1X चा GDPR अनुपालनावर कसा परिणाम होतो?

RADIUS आणि अकाउंटिंग लॉगमध्ये वैयक्तिक डेटा असतो: ओळख, डिव्हाइस MAC पत्ते आणि सेशनची वेळ. GDPR अंतर्गत, तुम्हाला कायदेशीर आधार, निश्चितRetention कालावधी आणि तुमच्या RADIUS प्रदात्यासोबत डेटा प्रोसेसिंग कराराची आवश्यकता असते. RadSec ट्रान्सिटमध्ये ओळख एनक्रिप्ट करून मदत करते. Purple हे GDPR सुसंगत आणि ISO 27001 प्रमाणित आहे, आणि डेटा प्रोसेसिंग करारांतर्गत ऑथेंटिकेशन डेटावर प्रक्रिया करते.

Mist वर 802.1X रोलआउटसाठी किती वेळ लागतो?

Mist कॉन्फिगरेशनसाठी सर्वात कमी वेळ लागतो; सर्टिफिकेट वितरणाचा वेग ठरवते. WLAN तयार करणे, RADIUS सर्व्हर जोडणे आणि RadSec सक्षम करणे हा एकाच टेम्पलेटमधील एकच बदल आहे. MDM द्वारे प्रत्येक व्यवस्थापित डिव्हाइसला सर्टिफिकेट जारी करणे आणि जुने डिव्हाइसेस हलवणे यास जास्त वेळ लागतो. एका साईटवर पायलट करा, प्रत्येक रोलची चाचणी घ्या आणि नंतर उर्वरित साईट्सना टेम्पलेट असाइन करा.