On-Premises RADIUS (NPS) वरून RADIUS as a Service वर स्थलांतरित करणे

पॉडकास्ट स्क्रिप्ट: ऑन-प्रिमाइसेस RADIUS (NPS) वरून RADIUS as a Service वर स्थलांतरित करणे कालावधी: ~१० मिनिटे | आवाज: यूके इंग्लिश, पुरुष, वरिष्ठ सल्लागार टोन --- विभाग १: परिचय आणि संदर्भ Purple WiFi तांत्रिक माहिती मालिकेमध्ये आपले स्वागत आहे. आज आपण अशा एका स्थलांतरावर काम करत आहोत जे सध्या मोठ्या संख्येने एंटरप्राइझ आयटी टीम्सच्या रोडमॅपवर आहे: ऑन-प्रिमाइसेस RADIUS — विशेषतः मायक्रोसॉफ्टच्या Network Policy Server वरून — क्लाउड-होस्ट केलेल्या RADIUS as a Service मॉडेलवर स्थलांतरित करणे. जर तुम्ही हॉटेल ग्रुप, रिटेल इस्टेट, स्टेडियम किंवा सार्वजनिक क्षेत्रातील कॅम्पसमध्ये WiFi ऑथेंटिकेशन व्यवस्थापित करत असाल, तर हे थेट तुमच्याशी संबंधित आहे. ऑन-प्रिमाइसेस NPS मॉडेलने जवळजवळ दोन दशके आपली चांगली सेवा केली आहे, परंतु ऑपरेशनल ओव्हरहेड, सिंगल-पॉइंट-ऑफ-फेल्युअरचा धोका आणि स्केलिंगच्या मर्यादांचे समर्थन करणे दिवसेंदिवस कठीण होत चालले आहे — विशेषतः जेव्हा क्लाउड-नेटिव्ह पर्याय आता मालकीच्या एकूण खर्चाच्या अगदी कमी भागामध्ये एंटरप्राइझ-ग्रेड विश्वसनीयता देतात. पुढील दहा मिनिटांत, आपण दोन्ही दृष्टिकोनांच्या तांत्रिक आर्किटेक्चरचा समावेश करू, एका संरचित स्थलांतर पद्धतीचा आढावा घेऊ, दोन वास्तविक-जगातील अंमलबजावणीच्या परिस्थिती पाहू आणि आत्मविश्वासाने हा निर्णय घेण्यासाठी आवश्यक असलेल्या मुख्य निर्णय फ्रेमवर्कसह समाप्त करू. चला सुरुवात करूया. --- विभाग २: तांत्रिक सखोल विश्लेषण प्रथम, तुमच्या नेटवर्क स्टॅकमध्ये RADIUS प्रत्यक्षात काय करतो यावर आपण एकमत असल्याचे सुनिश्चित करूया. RADIUS — रिमोट ऑथेंटिकेशन डायल-इन युझर सर्व्हिस — हा RFC 2865 मध्ये परिभाषित केलेला प्रोटोकॉल आहे जो नेटवर्क प्रवेशासाठी ऑथेंटिकेशन, ऑथोरायझेशन आणि अकाउंटिंग हाताळतो. WiFi च्या संदर्भात, हा IEEE 802.1X पोर्ट-आधारित प्रवेश नियंत्रणाचा कणा आहे. जेव्हा एखादे डिव्हाइस WPA2-Enterprise किंवा WPA3-Enterprise SSID शी कनेक्ट होते, तेव्हा ॲक्सेस पॉइंट RADIUS क्लायंट म्हणून काम करतो — ज्याला आपण नेटवर्क ॲक्सेस सर्व्हर म्हणतो — आणि ऑथेंटिकेशन विनंती RADIUS सर्व्हरकडे पाठवतो. सर्व्हर क्रेडेंशियल्सची पडताळणी करतो, सामान्यतः ॲक्टिव्ह डिरेक्टरी किंवा LDAP डिरेक्टरीच्या विरूद्ध, आणि ॲक्सेस-स्वीकार किंवा ॲक्सेस-नकार प्रतिसाद देतो. हा मूलभूत प्रवाह आहे. आता, ऑन-प्रिमाइसेस NPS मॉडेलमध्ये — Network Policy Server ही मायक्रोसॉफ्टची RADIUS अंमलबजावणी आहे जी विंडोज सर्व्हरसह बंडल केलेली असते — तुम्ही ते ऑथेंटिकेशन लॉजिक तुमच्या मालकीच्या हार्डवेअरवर, तुमच्या मालकीच्या डेटा सेंटर किंवा सर्व्हर रूममध्ये चालवत असता. NPS सर्व्हर तुमची नेटवर्क धोरणे, EAP-TLS किंवा PEAP-MSCHAPv2 साठी तुमची प्रमाणपत्रे आणि तुमच्या कनेक्शन विनंतीची धोरणे धरून ठेवतो. हे काम करते. हे परिपक्व आहे. परंतु हे अशा ऑपरेशनल वास्तवांसह येते जे काळाबरोबर वाढत जातात. पहिले म्हणजे हार्डवेअरवरील अवलंबित्व. तुमचा NPS सर्व्हर हा एक भौतिक किंवा आभासी मशीन आहे ज्याला पॅचिंग, क्षमता नियोजन आणि अखेरीस हार्डवेअर रिफ्रेशची आवश्यकता असते. मल्टी-साइट डिप्लॉयमेंटमध्ये — समजा, संपूर्ण यूकेमध्ये मालमत्ता असलेला हॉटेल ग्रुप — तुम्ही एकतर WAN अवलंबित्व असलेला केंद्रीकृत NPS चालवत आहात किंवा तुम्ही प्रत्येक साइटवर NPS इन्स्टन्स तैनात करत आहात आणि त्यांचे स्वतंत्रपणे व्यवस्थापन करत आहात. यापैकी काहीही सोयीचे नाही. दुसरी गोष्ट म्हणजे उपलब्धता. एक सिंगल NPS इन्स्टन्स हा तुमच्या संपूर्ण ऑथेंटिकेशन इन्फ्रास्ट्रक्चरसाठी सिंगल पॉइंट ऑफ फेल्युअर असतो. होय, तुम्ही फेलओव्हर पेअरमध्ये NPS डिप्लॉय करू शकता, परंतु यामुळे तुमचे हार्डवेअर आणि लायसन्सिंगचे ओव्हरहेड्स दुप्पट होतात, आणि तरीही यामुळे तुम्हाला क्लाउड सर्व्हिस मूळतः प्रदान करते तशी भौगोलिक रिडंडन्सी मिळत नाही. तिसरी गोष्ट म्हणजे स्केलेबिलिटी. NPS ची रचना कॉर्पोरेट LAN वातावरणासाठी करण्यात आली होती. जेव्हा तुम्ही एखाद्या स्टेडियममधील इव्हेंट किंवा कॉन्फरन्स सेंटरच्या पीक अवर्स दरम्यान हजारो समवर्ती ऑथेंटिकेशन विनंत्या हाताळत असता, तेव्हा एका सिंगल NPS इन्स्टन्सच्या थ्रूपुट मर्यादा अगदी स्पष्टपणे समोर येतात. ऑथेंटिकेशन लेटन्सी वाढते, आणि ज्या क्षणी तुम्हाला अजिबात परवडणारे नसते त्याच वेळी युजर्सना कनेक्शन फेल्युअरचा सामना करावा लागतो. RADIUS as a Service या तिन्ही मर्यादांवर आर्किटेक्चरल दृष्ट्या मात करते. क्लाउड RADIUS प्रदाता RADIUS सर्व्हर्सचे डिस्ट्रिब्युटेड, जिओ-रिडंडंट क्लस्टर चालवतो. तुमचे ॲक्सेस पॉइंट्स ऑन-प्रिमाइसेस सर्व्हरऐवजी क्लाउड-होस्ट केलेल्या RADIUS एंडपॉइंट्सकडे निर्देशित करतात. ऑथेंटिकेशन विनंत्या क्लस्टरमध्ये लोड-बॅलन्स केल्या जातात, आणि फेलओव्हर स्वयंचलित आणि पारदर्शक असतो. प्रदाता पॅचिंग, कॅपॅसिटी स्केलिंग आणि सर्टिफिकेट मॅनेजमेंट हाताळतो. नेटवर्क ऑपरेटर म्हणून तुमच्या दृष्टिकोनातून, RADIUS हा एक मॅनेज्ड घटक राहण्याऐवजी एक कन्झ्युम्ड सर्व्हिस बनतो. ऑथेंटिकेशन प्रोटोकॉल्स स्वतः बदलत नाहीत. तुम्ही तुमच्या क्लायंट डिव्हाइसच्या मिक्सनुसार अजूनही EAP-TLS, PEAP-MSCHAPv2, किंवा EAP-TTLS सह IEEE 802.1X चालवत असता. फरक फक्त एवढाच असतो की RADIUS सर्व्हर कुठे आहे आणि त्याच्या ऑपरेशनल सातत्यतेसाठी कोण जबाबदार आहे. येथे एक महत्त्वाचा सुरक्षिततेचा विचार आहे ज्यावर मला थेट बोलायचे आहे, कारण हा विषय जवळजवळ प्रत्येक क्लायंटच्या संभाषणात येतो. RADIUS क्लाउडवर नेण्याचा अर्थ असा आहे की तुमचा ऑथेंटिकेशन ट्रॅफिक क्लाउड RADIUS एंडपॉइंटपर्यंत पोहोचण्यासाठी सार्वजनिक इंटरनेटवरून प्रवास करत आहे. हे दोन यंत्रणांद्वारे कमी केले जाते. पहिले, नेटवर्क ॲक्सेस सर्व्हर आणि RADIUS सर्व्हरमधील RADIUS ट्रॅफिक एका शेअर्ड सिक्रेट आणि MD5-आधारित मेसेज ऑथेंटिकेशनचा वापर करून सुरक्षित केला जातो. दुसरे, आणि आधुनिक डिप्लॉयमेंट्ससाठी अधिक महत्त्वाचे म्हणजे, तुम्ही RadSec — RFC 6614 मध्ये परिभाषित केलेले RADIUS over TLS — चालवले पाहिजे, जे संपूर्ण RADIUS संभाषणाला TLS टनेलमध्ये गुंडाळते. हे तुम्हाला HTTPS च्या समकक्ष ट्रान्सपोर्ट-लेअर एन्क्रिप्शन देते, ज्यामुळे MD5 ची असुरक्षितता दूर होते आणि NAS व RADIUS सर्व्हर दरम्यान परस्पर ऑथेंटिकेशन प्रदान केले जाते. विचारात घेण्याजोगा कोणताही क्लाउड RADIUS प्रदाता मानक म्हणून RadSec ला सपोर्ट करणारा असावा. आयडेंटिटी इंटिग्रेशनच्या बाजूने, क्लाउड RADIUS सेवा सामान्यतः तुमच्या ऑन-प्रिमाइसेस Active Directory मध्ये परत जाणाऱ्या LDAP आणि LDAPS कनेक्शन्सना किंवा SAML किंवा SCIM द्वारे Azure Active Directory आणि Entra ID सह नेटिव्ह इंटिग्रेशनला सपोर्ट करतात. याचा अर्थ असा की तुम्हाला तुमची युजर डिरेक्टरी मायग्रेट करण्याची आवश्यकता नाही — क्लाउड RADIUS सेवा तुमच्या सध्याच्या आयडेंटिटी स्टोअरला क्वेरी करते, ज्यामुळे तुमच्या सध्याच्या युजर लाइफसायकल मॅनेजमेंट प्रक्रिया तशाच चालू राहतात. अनुपालन-जागरूक संस्थांसाठी — आणि यामध्ये PCI DSS अंतर्गत पेमेंट कार्ड डेटा किंवा GDPR अंतर्गत वैयक्तिक डेटा हाताळणाऱ्या कोणाचाही समावेश होतो — SOC 2 Type II प्रमाणित आणि ISO 27001 मान्यताप्राप्त क्लाउड RADIUS प्रदाते, बहुतेक संस्था स्वतः व्यवस्थापित केलेल्या NPS इन्फ्रास्ट्रक्चरद्वारे मिळवू शकतात त्यापेक्षा अधिक मजबूत अनुपालन स्थिती प्रदान करतात. --- विभाग ३: अंमलबजावणीच्या शिफारसी आणि त्रुटी चला, तुमचे ऑथेंटिकेशन इन्फ्रास्ट्रक्चर ऑफलाइन न नेता तुम्ही हे स्थलांतर प्रत्यक्षात कसे अंमलात आणू शकता याबद्दल बोलूया. मी शिफारस केलेली पद्धत पाच-टप्प्यांची आहे. पहिला टप्पा ऑडिट आणि इन्व्हेंटरी हा आहे. प्रत्येक RADIUS क्लायंट — प्रत्येक ॲक्सेस पॉइंट, प्रत्येक स्विच, प्रत्येक VPN कॉन्सन्ट्रेटर — त्याच्या सध्याच्या सामायिक गुपितासह (shared secret), तो वापरत असलेली EAP पद्धत आणि तुमच्या NPS पॉलिसींमधील कोणत्याही व्हेंडर-विशिष्ट वैशिष्ट्यांसह दस्तऐवजीकरण करा. हे काम थोडे कंटाळवाणे आहे, परंतु हे न करणे हे स्थलांतर अपयशी ठरण्याचे सर्वात मुख्य कारण आहे. दुसरा टप्पा पायलट उपयोजन (pilot deployment) आहे. तुमचे क्लाउड RADIUS इन्स्टन्स सुरू करा आणि त्यावर एक नॉन-प्रॉडक्शन SSID किंवा एकच चाचणी साइट निर्देशित करा. तुमची EAP पद्धत सुरुवातीपासून शेवटपर्यंत काम करत आहे, तुमचे आयडेंटिटी इंटिग्रेशन कार्यरत आहे आणि तुमचा अकाउंटिंग डेटा योग्यरित्या प्रवाहित होत आहे याची पडताळणी करा. तिसरा टप्पा समांतर चालवणे (parallel running) हा आहे. हा अत्यंत महत्त्वाचा जोखीम कमी करण्याचा टप्पा आहे. तुमचे ॲक्सेस पॉइंट्स ऑन-प्रिमाइसेस NPS सर्व्हर आणि क्लाउड RADIUS सर्व्हर दोन्ही ऑथेंटिकेशन टार्गेट म्हणून कॉन्फिगर करा, ज्यामध्ये क्लाउड सेवा प्राथमिक आणि NPS फॉलबॅक म्हणून असेल. संपूर्ण बिझनेस सायकलमध्ये किमान दोन आठवडे या कॉन्फिगरेशनमध्ये काम चालवा. ऑथेंटिकेशन यश दर, लेटन्सी आणि कोणत्याही पॉलिसीमधील विसंगतींवर लक्ष ठेवा. चौथा टप्पा कटओव्हर आहे. NPS फॉलबॅक कॉन्फिगरेशन काढून टाका आणि तुमचे एकमेव ऑथेंटिकेशन इन्फ्रास्ट्रक्चर म्हणून क्लाउड RADIUS चा वापर निश्चित करा. हे नियोजित मेंटेनन्स विंडो दरम्यान करा आणि रोलबॅक प्रक्रिया दस्तऐवजीकरण आणि चाचणी केलेली असावी. पाचवा टप्पा डीकमिशन (decommission) आहे. कटओव्हरनंतर तीस दिवस स्थिर ऑपरेशनची पडताळणी केल्यावर, NPS सर्व्हर डीकमिशन करा आणि हार्डवेअर किंवा व्हर्च्युअल मशीन संसाधने पुन्हा मिळवा. मला वारंवार दिसणाऱ्या त्रुटी पुढीलप्रमाणे आहेत: सर्टिफिकेट ट्रस्ट चेनच्या समस्या — विशेषतः, क्लायंट डिव्हाइसेस जे क्लाउड RADIUS सर्व्हरच्या सर्टिफिकेटवर विश्वास ठेवत नाहीत कारण CA त्यांच्या ट्रस्टेड स्टोअरमध्ये नसतो. कटओव्हरपूर्वी तुमच्या MDM किंवा ग्रुप पॉलिसीद्वारे याचे निराकरण करा. दुसरी सामान्य त्रुटी म्हणजे फायरवॉल नियम. क्लाउड RADIUS ला तुमच्या ॲक्सेस पॉइंट्सपासून क्लाउड एंडपॉइंट्सपर्यंत आउटबाउंड UDP 1812 आणि 1813 ची आवश्यकता असते, किंवा RadSec साठी TCP 2083 ची आवश्यकता असते. तुमच्या नेटवर्क पेरिमिटरमधून या ट्रॅफिकला परवानगी असल्याची खात्री करा. तिसरे: सामायिक गुपिताची (shared secret) गुंतागुंत. तुमचे सध्याचे NPS सामायिक गुपित कमकुवत असल्यास, क्रिप्टोग्राफिकदृष्ट्या मजबूत गुपितांवर जाण्यासाठी या स्थलांतराच्या संधीचा वापर करा, किंवा त्याहूनही चांगले म्हणजे, RadSec वर जा आणि सामायिक गुपिते पूर्णपणे काढून टाका. --- विभाग ४: जलद प्रश्नोत्तरे या विषयावर मला वारंवार विचारल्या जाणाऱ्या प्रश्नांचा मी आढावा घेतो. आम्ही Active Directory ऑन-प्रिमाइसेस ठेवू शकतो का? होय, नक्कीच. क्लाउड RADIUS LDAPS द्वारे तुमच्या ऑन-प्रिमाइसेस AD शी कनेक्ट होतो. तुमची डिरेक्टरी जिथे आहे तिथेच राहते. जर आपले इंटरनेट कनेक्शन बंद झाले तर काय होईल? हा एक मुख्य अवलंबित्व बदल आहे. क्लाउड RADIUS मुळे, प्रमाणीकरणासाठी (authentication) इंटरनेट कनेक्टिव्हिटी हे एक अवलंबित्व बनते. आउटेज दरम्यान ज्ञात उपकरणांसाठी प्रमाणीकरण कॅश करणाऱ्या रिडंडंट WAN लिंक्स किंवा स्थानिक RADIUS प्रॉक्सीसह हे कमी करा. याचा आमच्या PCI DSS अनुपालनावर (compliance) परिणाम होतो का? प्रमाणित क्लाउड RADIUS प्रदात्याकडे स्थलांतरित केल्याने सामान्यतः तुमची अनुपालन स्थिती सुधारते. तुमचा प्रदाता SOC 2 Type II अहवाल देऊ शकतो आणि तुमच्या वार्षिक QSA मूल्यांकन कक्षेत समाविष्ट आहे याची खात्री करा. पूर्ण स्थलांतरासाठी किती वेळ लागतो? एका साइटसाठी, दोन ते चार आठवडे. पन्नास किंवा त्याहून अधिक ठिकाणांच्या बहु-साइट मालमत्तेसाठी, टप्प्याटप्प्याने रोलआउटसह तीन ते सहा महिन्यांचे नियोजन करा. --- विभाग ५: सारांश आणि पुढील पावले थोडक्यात सांगायचे तर: ऑन-प्रिमाइसेस NPS वरून RADIUS as a Service कडे स्थलांतरित करण्याचे कारण ऑपरेशनल, आर्थिक आणि अनुपालनाच्या आधारावर अत्यंत मजबूत आहे. जेव्हा समांतर-चालू टप्प्यासह पद्धतशीरपणे अंमलात आणले जाते तेव्हा स्थलांतर स्वतःच कमी-जोखमीचे असते. मुख्य तांत्रिक निर्णय म्हणजे तुमची EAP पद्धत निवड, तुमचा ओळख एकत्रीकरण दृष्टिकोन आणि ट्रान्सपोर्ट सुरक्षेसाठी RadSec लागू करायचा की नाही — ज्याची मी कोणत्याही नवीन उपयोजनासाठी (deployment) जोरदार शिफारस करेन. तुमची त्वरित पुढील पावले: तुमच्या सध्याच्या RADIUS क्लायंट आणि पॉलिसींचे ऑडिट करा, पायलट वातावरणासाठी तुमच्या क्लाउड RADIUS प्रदात्याशी संपर्क साधा आणि तुम्ही सुरू करण्यापूर्वी तुमच्या फायरवॉल नियम आणि प्रमाणपत्र ट्रस्ट चेनचे पुनरावलोकन करा. Purple WiFi चे गेस्ट ॲक्सेस प्लॅटफॉर्म वापरणाऱ्या संस्थांसाठी, RADIUS as a Service क्षमता थेट गेस्ट WiFi प्रमाणीकरण प्रवाहाशी समाकलित होते, ज्यामुळे तुम्हाला कॉर्पोरेट 802.1X प्रमाणीकरण आणि गेस्ट नेटवर्क ॲक्सेस व्यवस्थापन या दोन्हीसाठी एकच नियंत्रण पॅनेल मिळते — ज्यामध्ये विश्लेषण आणि अनुपालन अहवाल आधीपासूनच समाविष्ट असतात. ऐकल्याबद्दल धन्यवाद. संपूर्ण तांत्रिक संदर्भ मार्गदर्शिका Purple वेबसाइटवर उपलब्ध आहे, आणि जर तुम्ही पुढे जाण्यास तयार असाल तर आमची सोल्यूशन्स टीम स्कोपिंग संभाषणासाठी उपलब्ध आहे. --- स्क्रिप्ट समाप्त