On-Premises RADIUS (NPS) कडून RADIUS-as-a-Service वर स्थलांतरित करणे

पॉडकास्ट स्क्रिप्ट: ऑन-प्रिमाइसेस RADIUS (NPS) कडून RADIUS-as-a-Service कडे स्थलांतर करणे कालावधी: ~१० मिनिटे | आवाज: यूके इंग्रजी, पुरुष, वरिष्ठ सल्लागार टोन --- विभाग १: परिचय आणि संदर्भ Purple WiFi च्या तांत्रिक माहिती मालिकेमध्ये आपले स्वागत आहे. आज आपण अशा स्थलांतरावर काम करत आहोत जे सध्या अनेक मोठ्या व्यावसायिक IT टीम्सच्या अजेंड्यावर आहे: ऑन-प्रिमाइसेस RADIUS - विशेषतः Microsoft चे Network Policy Server - वरून क्लाउड-होस्ट केलेल्या RADIUS-as-a-Service मॉडेलकडे जाणे. जर तुम्ही हॉटेल समूह, रिटेल इस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील कॅम्पसमध्ये WiFi ऑथेंटिकेशन व्यवस्थापित करत असाल, तर हे थेट तुमच्याशी संबंधित आहे. ऑन-प्रिमाइसेस NPS मॉडेलने जवळजवळ दोन दशके आपली चांगली सेवा केली आहे, परंतु ऑपरेशनल ओव्हरहेड, सिंगल-पॉइंट-ऑफ-फेल्युअरचा धोका आणि स्केलिंगच्या मर्यादा यांचे समर्थन करणे दिवसेंदिवस कठीण होत चालले आहे - विशेषतः जेव्हा क्लाउड-नेटिव्ह पर्याय आता मालकीच्या एकूण खर्चाच्या अगदी कमी भागामध्ये एंटरप्राइझ-दर्जाची विश्वसनीयता देतात. पुढील दहा मिनिटांत, आपण दोन्ही दृष्टिकोनांचे तांत्रिक आर्किटेक्चर समजून घेणार आहोत, एका पद्धतशीर स्थलांतर प्रक्रियेचा आढावा घेणार आहोत, दोन वास्तविक अंमलबजावणीच्या परिस्थिती पाहणार आहोत आणि आत्मविश्वासाने हा निर्णय घेण्यासाठी आवश्यक असलेल्या मुख्य निर्णय आराखड्यांसह शेवट करणार आहोत. चला तर मग, सुरुवात करूया. --- विभाग २: सखोल तांत्रिक माहिती प्रथम, आपण हे सुनिश्चित करूया की तुमच्या नेटवर्क स्टॅकमध्ये RADIUS प्रत्यक्षात काय करतो यावर आपले एकमत आहे. RADIUS - रिमोट ऑथेंटिकेशन डायल-इन युझर सर्व्हिस - हा RFC 2865 मध्ये परिभाषित केलेला प्रोटोकॉल आहे जो नेटवर्क ॲक्सेससाठी ऑथेंटिकेशन, ऑथरायझेशन आणि अकाउंटिंग हाताळतो. WiFi च्या संदर्भात, हा IEEE 802.1X पोर्ट-आधारित ॲक्सेस कंट्रोलचा मुख्य कणा आहे. जेव्हा एखादे डिव्हाइस WPA2-Enterprise किंवा WPA3-Enterprise SSID शी कनेक्ट होते, तेव्हा ॲक्सेस पॉइंट RADIUS क्लायंट म्हणून काम करतो - ज्याला आपण नेटवर्क ॲक्सेस सर्व्हर म्हणतो - आणि ऑथेंटिकेशन विनंती RADIUS सर्व्हरकडे फॉरवर्ड करतो. सर्व्हर सामान्यतः Active Directory किंवा LDAP डिरेक्टरीच्या विरूद्ध क्रेडेंशियल्स सत्यापित करतो आणि Access-Accept किंवा Access-Reject प्रतिसाद देतो. हा मूळ प्रवाह आहे. आता, ऑन-प्रिमाइसेस NPS मॉडेलमध्ये - नेटवर्क पॉलिसी सर्व्हर ही Windows Server सोबत येणारी Microsoft ची RADIUS अंमलबजावणी आहे - तुम्ही ते ऑथेंटिकेशन लॉजिक तुमच्या मालकीच्या हार्डवेअरवर, तुमच्या डेटा सेंटरमध्ये किंवा तुम्ही व्यवस्थापित करत असलेल्या सर्व्हर रूममध्ये चालवत असता. NPS सर्व्हरमध्ये तुमची नेटवर्क धोरणे, EAP-TLS किंवा PEAP-MSCHAPv2 साठी तुमची सर्टिफिकेट इन्फ्रास्ट्रक्चर आणि तुमच्या कनेक्शन विनंतीची धोरणे असतात. हे कार्य करते. हे प्रगत आहे. परंतु यासोबत अनेक ऑपरेशनल आव्हाने येतात जी काळानुसार वाढत जातात. पहिले म्हणजे हार्डवेअरवरील अवलंबित्व. तुमचा NPS सर्व्हर हे एक फिजिकल किंवा व्हर्च्युअल मशीन आहे ज्याला पॅचिंग, कॅपॅसिटी प्लॅनिंग आणि शेवटी हार्डवेअर बदलावे लागते. मल्टि-साइट डिप्लॉयमेंटमध्ये - समजा, संपूर्ण यूकेमध्ये मालमत्ता असलेला हॉटेल समूह आहे - तुम्ही एकतर WAN अवलंबित्वेसह केंद्रीकृत NPS चालवत आहात, किंवा तुम्ही प्रत्येक साइटवर वैयक्तिक NPS इन्स्टन्स डिप्लॉय करत आहात आणि त्यांचे स्वतंत्रपणे व्यवस्थापन करत आहात. यापैकी कोणताही पर्याय सोयीस्कर नाही. दुसरे म्हणजे उपलब्धता. एक सिंगल NPS इन्स्टन्स हा तुमच्या संपूर्ण ऑथेंटिकेशन इन्फ्रास्ट्रक्चरसाठी सिंगल पॉईंट ऑफ फेल्युअर असतो. होय, तुम्ही फेलओव्हर पेअरमध्ये NPS तैनात करू शकता, परंतु यामुळे तुमचे हार्डवेअर आणि लायसन्सिंग ओव्हरहेड दुप्पट होते, आणि तरीही ते तुम्हाला क्लाउड सर्व्हिसद्वारे नेटिव्हली दिली जाणारी जिओग्राफिक रिडंडन्सी देत नाही. तिसरे म्हणजे स्केलेबिलिटी. NPS ची रचना कॉर्पोरेट LAN वातावरणासाठी केली गेली होती. जेव्हा तुम्ही एखाद्या स्टेडियममधील इव्हेंट किंवा कॉन्फरन्स सेंटरच्या गर्दीच्या वेळी हजारो समवर्ती ऑथेंटिकेशन विनंत्या हाताळत असता, तेव्हा एकाच NPS इन्स्टन्सच्या थ्रूपुट मर्यादा अतिशय स्पष्टपणे समोर येतात. ऑथेंटिकेशन लेटन्सी वाढते, आणि नेमक्या ज्या वेळी तुम्हाला परवडणारे नसते त्याच वेळी युजर्सना कनेक्शन निकामी झाल्याचा अनुभव येतो. RADIUS-as-a-Service या तिन्ही मर्यादांचे आर्किटेक्चरल दृष्ट्या निराकरण करते. क्लाउड RADIUS प्रदाता RADIUS सर्व्हरचे डिस्ट्रिब्युटेड, जिओ-रिडंडंट क्लस्टर चालवतो. तुमचे ॲक्सेस पॉईंट्स ऑन-प्रिमाइसेस सर्व्हरऐवजी क्लाउड-होस्टेड RADIUS एंडपॉइंट्सकडे निर्देशित करतात. ऑथेंटिकेशन विनंत्या संपूर्ण क्लस्टरमध्ये लोड-बॅलन्स केल्या जातात, आणि फेलओव्हर स्वयंचलित आणि पारदर्शक असतो. प्रदाता पॅचिंग, कॅपेसिटी स्केलिंग आणि सर्टिफिकेट मॅनेजमेंट हाताळतो. नेटवर्क ऑपरेटर म्हणून तुमच्या दृष्टिकोनातून, RADIUS हा मॅनेज्ड घटकाऐवजी एक वापरलेली सेवा बनतो. ऑथेंटिकेशन प्रोटोकॉल्स स्वतः बदलत नाहीत. तुमच्या क्लायंट डिव्हाइसच्या गरजेनुसार तुम्ही अजूनही 802.1X सह EAP-TLS, PEAP-MSCHAPv2 किंवा EAP-TTLS चालवत आहात. फरक फक्त एवढाच आहे की RADIUS सर्व्हर कुठे कार्यरत आहे आणि त्याच्या ऑपरेशनल सातत्यतेसाठी कोण जबाबदार आहे. येथे एक महत्त्वाचा सुरक्षा विचार आहे ज्याचा मला थेट उल्लेख करायचा आहे, कारण तो प्रत्येक क्लायंटच्या संभाषणात समोर येतो. RADIUS क्लाउडवर हलवण्याचा अर्थ असा आहे की तुमचे ऑथेंटिकेशन ट्रॅफिक क्लाउड RADIUS एंडपॉइंटवर पोहोचण्यासाठी सार्वजनिक इंटरनेटवरून प्रवास करत आहे. हे दोन यंत्रणांद्वारे सुलभ केले जाते. पहिले म्हणजे, नेटवर्क ॲक्सेस सर्व्हर आणि RADIUS सर्व्हरमधील RADIUS ट्रॅफिक शेअर्ड सिक्रेट आणि MD5-आधारित मेसेज ऑथेंटिकेशन वापरून सुरक्षित केले जाते. दुसरे, आणि आधुनिक उपयोजनांसाठी सर्वात महत्त्वाचे म्हणजे, तुम्ही RadSec - RFC 6614 मध्ये परिभाषित केलेले RADIUS over TLS चालवले पाहिजे - जे संपूर्ण RADIUS संभाषण TLS टनेलमध्ये गुंडाळते. हे तुम्हाला HTTPS च्या समतुल्य ट्रान्सपोर्ट-लेयर एन्क्रिप्शन देते, ज्यामुळे MD5 ची असुरक्षितता दूर होते आणि NAS आणि RADIUS सर्व्हर दरम्यान परस्पर ऑथेंटिकेशन मिळते. विचार करण्यायोग्य कोणत्याही क्लाउड RADIUS प्रदात्याने मानकानुसार RadSec ला सपोर्ट केला पाहिजे. आयडेंटिटी इंटिग्रेशनच्या बाजूने, क्लाउड RADIUS सेवा सामान्यतः तुमच्या ऑन-प्रिमाइसेस ॲक्टिव्ह डिरेक्टरीशी जोडण्यासाठी LDAP आणि LDAPS कनेक्शन्सना सपोर्ट करतात, किंवा SAML किंवा SCIM द्वारे Azure Active Directory आणि Microsoft Entra ID सह नेटिव्ह इंटिग्रेशनला सपोर्ट करतात. याचा अर्थ तुम्हाला तुमची युजर डिरेक्टरी स्थलांतरित करण्याची आवश्यकता नाही - क्लाउड RADIUS सेवा तुमच्या विद्यमान आयडेंटिटी स्टोअरची चौकशी करते, ज्यामुळे तुमच्या विद्यमान युजर लाइफसायकल मॅनेजमेंट प्रक्रिया तशाच राहतात. अनुपालन-जागरूक संस्थांसाठी - आणि यामध्ये PCI-DSS अंतर्गत पेमेंट कार्ड डेटा, किंवा GDPR अंतर्गत वैयक्तिक डेटा हाताळणाऱ्या कोणाचाही समावेश होतो - SOC 2 Type II प्रमाणित आणि ISO 27001 मान्यताप्राप्त क्लाउड RADIUS प्रदाते, बहुतेक संस्था स्वतः व्यवस्थापित केलेल्या NPS इन्फ्रास्ट्रक्चरद्वारे मिळवू शकतात त्यापेक्षा अधिक मजबूत अनुपालन स्थिती प्रदान करतात. --- विभाग ३: अंमलबजावणीच्या शिफारसी आणि संभाव्य अडचणी चला, आता तुमचे ऑथेंटिकेशन इन्फ्रास्ट्रक्चर ऑफलाइन न करता तुम्ही हे मायग्रेशन प्रत्यक्षात कसे अंमलात आणू शकता याबद्दल बोलूया. मी शिफारस केलेली पद्धत पाच-टप्प्यांची आहे. पहिला टप्पा म्हणजे ऑडिट आणि इन्व्हेंटरी. प्रत्येक RADIUS क्लायंट - प्रत्येक ॲक्सेस पॉइंट, प्रत्येक स्विच, प्रत्येक VPN कॉन्सन्ट्रेटर - त्याच्या वर्तमान सामायिक सिक्रेट (shared secret), तो वापरत असलेली EAP पद्धत आणि तुमच्या NPS पॉलिसीमधील कोणत्याही व्हेंडर-विशिष्ट वैशिष्ट्यांसह (attributes) दस्तऐवजीकरण (document) करा. हे काम थोडे नीरस आहे, परंतु हे न करणे हेच मायग्रेशन अयशस्वी होण्याचे मुख्य कारण आहे. दुसरा टप्पा म्हणजे पायलट डेव्हलपमेंट. तुमचे क्लाउड RADIUS इन्स्टन्स सुरू करा आणि त्यावर एक नॉन-प्रॉडक्शन SSID किंवा एक सिंगल चाचणी साइट निर्देशित करा. तुमची EAP पद्धत पूर्णपणे काम करत आहे, तुमचे आयडेंटिटी इंटिग्रेशन कार्यरत आहे आणि तुमचा अकाउंटिंग डेटा योग्यरित्या प्रवाहित होत आहे याची पडताळणी करा. तिसरा टप्पा म्हणजे समांतर चालवणे (parallel running). ही एक महत्त्वपूर्ण जोखीम कमी करणारी पायरी आहे. तुमचे ॲक्सेस पॉइंट्स ऑन-प्रिमाइसेस NPS सर्व्हर आणि क्लाउड RADIUS सर्व्हर या दोन्हीसह ऑथेंटिकेशन टार्गेट म्हणून कॉन्फिगर करा, ज्यामध्ये क्लाउड सेवा प्राथमिक असेल आणि NPS फॉलबॅक म्हणून असेल. पूर्ण बिझनेस सायकल दरम्यान किमान दोन आठवडे या कॉन्फिगरेशनमध्ये सिस्टीम चालवा. ऑथेंटिकेशनचे यशाचे प्रमाण, लेटनसी आणि कोणत्याही पॉलिसीमधील विसंगतींवर लक्ष ठेवा. चौथा टप्पा म्हणजे कटओव्हर. NPS फॉलबॅक कॉन्फिगरेशन काढून टाका आणि तुमचे एकमेव ऑथेंटिकेशन इन्फ्रास्ट्रक्चर म्हणून क्लाउड RADIUS पूर्णपणे लागू करा. हे नियोजित मेंटेनन्स विंडो दरम्यान करा आणि रोलबॅक प्रक्रिया आधीच दस्तऐवजीकरण करून तपासलेली ठेवा. पाचवा टप्पा म्हणजे डीकमिशन. कटओव्हरनंतर तीस दिवसांपर्यंत स्थिर ऑपरेशनची पडताळणी केल्यानंतर, NPS सर्व्हर डीकमिशन करा आणि हार्डवेअर किंवा व्हर्च्युअल मशीन रिसोर्सेस पुन्हा ताब्यात घ्या. मला वारंवार दिसणाऱ्या अडचणी पुढीलप्रमाणे आहेत: सर्टिफिकेट ट्रस्ट चेनच्या समस्या - विशेषतः, क्लायंट डिव्हाइसेस जे क्लाउड RADIUS सर्व्हरच्या सर्टिफिकेटवर विश्वास ठेवत नाहीत कारण CA त्यांच्या ट्रस्टेड स्टोअरमध्ये नाही. कटओव्हर करण्यापूर्वी तुमच्या MDM किंवा ग्रुप पॉलिसीद्वारे याचे निराकरण करा. दुसरी सामान्य अडचण म्हणजे फायरवॉल नियम. क्लाउड RADIUS ला तुमच्या ॲक्सेस पॉइंट्सपासून क्लाउड एंडपॉइंट्सपर्यंत आउटबाउंड UDP 1812 आणि 1813 ची आवश्यकता असते, किंवा RadSec साठी TCP 2083 ची आवश्यकता असते. तुमच्या नेटवर्क पेरिमिटरमधून या ट्रॅफिकला परवानगी असल्याची खात्री करा. तिसरे: सामायिक सिक्रेटची जटिलता. जर तुमचे सध्याचे NPS सामायिक सिक्रेट्स कमकुवत असतील, तर मायग्रेशनच्या या संधीचा वापर करून मजबूत सिक्रेट्स बदला, किंवा त्याहूनही चांगले, RadSec वर स्थलांतरित होऊन सामायिक सिक्रेट्सची गरजच पूर्णपणे काढून टाका. --- विभाग ४: क्विक Q&A या विषयावर मला वारंवार विचारल्या जाणाऱ्या प्रश्नांवर एक नजर टाकूया. आम्ही ॲक्टिव्ह डिरेक्टरी ऑन-प्रिमाइसेस ठेवू शकतो का? होय, नक्कीच. क्लाउड RADIUS LDAPS द्वारे तुमच्या ऑन-प्रिमाइसेस AD शी कनेक्ट होते. तुमची डिरेक्टरी जिथे आहे तिथेच राहील. जर आपले इंटरनेट कनेक्शन बंद पडले तर काय होईल? हा एक महत्त्वाचा अवलंबित्व बदल आहे. क्लाउड RADIUS मुळे, प्रमाणीकरणासाठी (authentication) इंटरनेट कनेक्टिव्हिटी हे एक अवलंबित्व बनते. आउटेजच्या वेळी परिचित डिव्हाइसेससाठी प्रमाणीकरण कॅश करणाऱ्या रिडंडंट WAN लिंक्स किंवा स्थानिक RADIUS प्रॉक्सीचा वापर करून हा धोका कमी करा. याचा आमच्या PCI-DSS अनुपालनावर (compliance) परिणाम होतो का? प्रमाणित क्लाउड RADIUS प्रदात्याकडे स्थलांतरित केल्याने सामान्यतः तुमची अनुपालन स्थिती सुधारते. तुमचा प्रदाता SOC 2 Type II अहवाल प्रदान करू शकतो आणि तुमच्या वार्षिक QSA मूल्यांकन कक्षेमध्ये समाविष्ट आहे याची खात्री करा. पूर्ण स्थलांतरासाठी किती वेळ लागतो? एका सिंगल साईटसाठी, दोन ते चार आठवडे. पन्नास किंवा त्याहून अधिक ठिकाणांच्या मल्टी-साइट इस्टेटसाठी, टप्प्याटप्प्याने रोलआउटसह तीन ते सहा महिन्यांचे नियोजन करा. - विभाग ५: सारांश आणि पुढील पावले थोडक्यात सांगायचे तर: ऑन-प्रिमाइसेस NPS वरून RADIUS-as-a-Service वर स्थलांतरित होणे हे ऑपरेशनल, आर्थिक आणि अनुपालनाच्या दृष्टीने फायदेशीर आहे. जेव्हा पद्धतशीर समांतर चालणाऱ्या टप्प्यासह अंमलबजावणी केली जाते, तेव्हा स्थलांतर स्वतःच कमी जोखमीचे असते. मुख्य तांत्रिक निर्णय म्हणजे तुमची EAP पद्धत निवड, तुमचा ओळख एकत्रीकरण (identity integration) दृष्टिकोन आणि ट्रान्सपोर्ट सुरक्षेसाठी RadSec लागू करायचे की नाही - ज्याची मी कोणत्याही नवीन उपयोजनासाठी (deployment) जोरदार शिफारस करेन. तुमची तात्काळ पुढील पावले: तुमच्या सध्याच्या RADIUS क्लायंट आणि पॉलिसींचे ऑडिट करा, पायलट वातावरणासाठी तुमच्या क्लाउड RADIUS प्रदात्याशी संपर्क साधा आणि तुम्ही सुरू करण्यापूर्वी तुमचे फायरवॉल नियम आणि प्रमाणपत्र ट्रस्ट चेन्सचे पुनरावलोकन करा. Purple WiFi चा अतिथी प्रवेश (guest access) प्लॅटफॉर्म वापरणाऱ्या संस्थांसाठी, RADIUS-as-a-Service क्षमता थेट अतिथी WiFi प्रमाणीकरण प्रवाहाशी समाकलित होते, ज्यामुळे तुम्हाला कॉर्पोरेट 802.1X प्रमाणीकरण आणि अतिथी नेटवर्क प्रवेश व्यवस्थापन या दोन्हीसाठी एकच नियंत्रण श्रेणी (control plane) मिळते - ज्यामध्ये विश्लेषण आणि अनुपालन अहवाल आधीपासूनच समाविष्ट असतो. ऐकल्याबद्दल धन्यवाद. संपूर्ण तांत्रिक संदर्भ मार्गदर्शक Purple च्या वेबसाइटवर उपलब्ध आहे, आणि जर तुम्ही पुढे जाण्यास तयार असाल तर आमची सोल्युशन्स टीम स्कोपिंग संभाषणासाठी उपलब्ध आहे. - स्क्रिप्ट समाप्त