RadSec: TLS वरील RADIUS मुळे WiFi प्रमाणीकरण सुरक्षा कशी सुधारते
हा अधिकृत तांत्रिक संदर्भ स्पष्ट करतो की RadSec (RFC 6614) पारंपारिक RADIUS ट्रॅफिकला TLS एन्क्रिप्शनमध्ये रॅप करून एंटरप्राइझ WiFi प्रमाणीकरण कसे सुरक्षित करते. IT व्यवस्थापक आणि नेटवर्क आर्किटेक्ट्ससाठी डिझाइन केलेले, हे कॉर्पोरेट आणि अतिथी नेटवर्कवर अनएन्क्रिप्टेड UDP RADIUS ट्रॅफिकचे धोके कमी करण्यासाठी आर्किटेक्चर, डिप्लॉयमेंट धोरणे आणि व्यावहारिक पायऱ्या कव्हर करते.
हे मार्गदर्शक ऐका
पॉडकास्ट ट्रान्सक्रिप्ट पहा
Executive Summary
Traditional RADIUS over UDP (ports 1812/1813) was not designed for the modern enterprise threat landscape. Relying solely on a shared secret and MD5 hashing, it leaves authentication credentials and session attributes vulnerable to interception, particularly when traversing public networks or large distributed estates like hospitality and retail chains. RadSec (RADIUS over TLS, RFC 6614) solves this fundamental security gap by encapsulating RADIUS traffic within a TCP-based TLS 1.3 tunnel over port 2083.
For CTOs and network architects, deploying RadSec is no longer just a best practice—it is a critical requirement for protecting corporate wifi , maintaining PCI DSS 4.0 compliance, and participating in modern federated roaming frameworks like OpenRoaming. This guide details the architecture, implementation patterns, and operational requirements for securing your authentication infrastructure.
Technical Deep-Dive: RADIUS vs. RadSec
The Vulnerability in Traditional RADIUS
In a standard 802.1X deployment, the access point (authenticator) forwards client credentials to the RADIUS server (authentication server). In traditional RADIUS, this payload is sent over UDP. The only protection is a pre-shared key (PSK) used to obfuscate the password via MD5.
This architecture presents three critical risks:
- Lack of Transport Encryption: User attributes, MAC addresses, and session data are transmitted in cleartext.
- Cryptographic Weakness: MD5 is vulnerable to offline dictionary attacks if an attacker captures the traffic.
- No Mutual Authentication: The access point cannot cryptographically verify it is talking to the legitimate RADIUS server, enabling rogue server attacks.
The RadSec Architecture (RFC 6614)
RadSec addresses these flaws by shifting the transport layer from UDP to TCP and wrapping the entire payload in TLS.
- Transport: TCP Port 2083 ensures reliable delivery and stateful connections, improving performance in high-latency environments.
- Encryption: TLS 1.2 or 1.3 provides robust, end-to-end encryption of all RADIUS attributes.
- Mutual Authentication: Both the RADIUS client (or proxy) and the server must present valid X.509 certificates issued by a trusted Certificate Authority (CA). The shared secret is retained only for backwards compatibility; TLS provides the actual security. This architecture is essential for distributed environments, such as Retail chains or Hospitality venues, where access points backhaul authentication requests over the public internet to a central or cloud-hosted RADIUS server.
Implementation Guide
Deploying RadSec typically follows one of two patterns: Native Support or Proxy-based.
Pattern 1: Native RadSec
If your infrastructure supports it natively (e.g., FreeRADIUS 3.0+, Cisco ISE, Aruba ClearPass), you configure TLS certificates directly on the RADIUS server and the access points/controllers. This provides true end-to-end encryption from the edge to the core.
Pattern 2: The RadSec Proxy
Many legacy RADIUS servers (notably Microsoft NPS) do not natively support RadSec. In these environments, a proxy (such as radsecproxy) is deployed.
- Local Leg: The AP sends standard UDP RADIUS to the local proxy.
- WAN Leg: The proxy encapsulates the traffic in TLS and sends it over TCP 2083 to the upstream server.
This pattern allows you to secure wide-area traffic without replacing legacy infrastructure.
Integration with Purple
Purple's Guest WiFi and WiFi Analytics platforms integrate seamlessly with enterprise RADIUS infrastructure. Under the Connect licence, Purple acts as a free identity provider for OpenRoaming, where RadSec is a mandatory requirement for securing federation traffic between venues and the central hub.
Best Practices
- Certificate Lifecycle Management: Mutual TLS relies on valid certificates. Implement automated renewal (e.g., via ACME) and strict monitoring. An expired certificate will cause a total authentication outage.
- Firewall Configuration: Ensure TCP port 2083 is explicitly allowed both outbound from the venue and inbound to the RADIUS server. Do not assume existing UDP 1812 rules will apply.
- Prioritise High-Risk Traffic: Begin deployment on links that traverse the public internet or untrusted WANs before moving to local management VLANs.
For more on securing the edge, read our guide on Access Point Security: Your 2026 Enterprise Guide .
Troubleshooting & Risk Mitigation
When RadSec fails, it is rarely an authentication issue; it is almost always a TLS or TCP issue.
- Symptom: Access points show as disconnected from the RADIUS server.
- Check: Firewall rules for TCP 2083. Traditional RADIUS uses UDP; network teams frequently forget to open the TCP port.
- Symptom: TCP connection establishes, but authentication fails immediately.
- Check: Certificate validation. Verify that the Common Name (CN) or Subject Alternative Name (SAN) matches, the certificate has not expired, and the client trusts the signing CA. Use
openssl s_client -connect :2083to debug the handshake.
- Check: Certificate validation. Verify that the Common Name (CN) or Subject Alternative Name (SAN) matches, the certificate has not expired, and the client trusts the signing CA. Use
Ensure your network fundamentals are solid. Review our advice on Protect Your Network with Strong DNS and Security .
ROI & Business Impact
Implementing RadSec is a risk mitigation investment. The ROI is measured in the avoidance of data breaches, compliance fines (PCI DSS, GDPR), and reputational damage. Furthermore, it enables participation in modern roaming federations like OpenRoaming, which can significantly enhance the guest experience in Healthcare and Transport environments.
Listen to the Briefing
For a deeper dive into the operational realities of deploying RadSec, listen to our 10-minute technical briefing:
For specific configuration steps on client devices, refer to How to Set Up Enterprise WiFi on iOS and macOS with 802.1X or the Portuguese version Como Configurar WiFi Corporativo em iOS e macOS com 802.1X .
महत्वाच्या व्याख्या
RadSec
RADIUS प्रोटोकॉलचा एक विस्तार जो TCP पोर्ट 2083 वर TLS टनेलमध्ये RADIUS ट्रॅफिक एन्कॅप्स्युलेट करतो.
अविश्वासू नेटवर्कवरून प्रवास करताना प्रमाणीकरण ट्रॅफिक सुरक्षित करण्यासाठी वापरले जाते, ज्यामुळे क्रेडेन्शियल इंटरसेप्शनला प्रतिबंध होतो.
Mutual TLS (mTLS)
एक सुरक्षा प्रक्रिया जिथे एन्क्रिप्टेड कनेक्शन स्थापित करण्यापूर्वी एकमेकांची ओळख पडताळण्यासाठी क्लायंट आणि सर्व्हर दोघेही X.509 प्रमाणपत्रे सादर करतात.
RadSec ची मुख्य प्रमाणीकरण यंत्रणा, जी स्टॅटिक शेअर्ड सिक्रेट्सवरील अवलंबित्व बदलते.
802.1X
पोर्ट-आधारित नेटवर्क अॅक्सेस कंट्रोलसाठी IEEE स्टँडर्ड, जे LAN किंवा WLAN शी कनेक्ट होण्याचा प्रयत्न करणाऱ्या उपकरणांना प्रमाणित करण्यासाठी वापरले जाते.
एक फ्रेमवर्क जे डिरेक्टरीच्या विरूद्ध युझर क्रेडेन्शियल्स प्रमाणित करण्यासाठी RADIUS (आणि विस्ताराने, RadSec) वर अवलंबून असते.
radsecproxy
एक ओपन-सोर्स डेमन जो प्रॉक्सी म्हणून काम करतो, स्टँडर्ड UDP RADIUS ट्रॅफिकला RadSec (TCP वरील TLS) मध्ये रूपांतरित करतो आणि याउलट.
जेव्हा अॅक्सेस पॉईंट्स किंवा Microsoft NPS सारख्या लेगसी RADIUS सर्व्हर्समध्ये नेटिव्ह RadSec सपोर्ट नसतो तेव्हा डिप्लॉय केले जाते.
OpenRoaming
Wi-Fi अलायन्सने विकसित केलेले एक फेडरेशन स्टँडर्ड जे युझर्सना जागतिक स्तरावर सहभागी WiFi नेटवर्क्सशी अखंडपणे आणि सुरक्षितपणे कनेक्ट होण्याची परवानगी देते.
OpenRoaming ठिकाणे आणि आयडेंटिटी प्रोव्हायडर्स दरम्यान प्रमाणीकरण ट्रॅफिक सुरक्षित करण्यासाठी RadSec चा वापर अनिवार्य करते.
Shared Secret
पारंपारिक RADIUS मध्ये पासवर्ड लपवण्यासाठी आणि विनंत्यांच्या स्रोताची पडताळणी करण्यासाठी वापरली जाणारी एक स्टॅटिक टेक्स्ट स्ट्रिंग.
बॅकवर्ड कंपॅटिबिलिटीसाठी RadSec कॉन्फिगरेशनमध्ये तांत्रिकदृष्ट्या अद्याप उपस्थित असले तरी, त्याची जागा TLS एन्क्रिप्शनने घेतली आहे.
FreeRADIUS
एक मोठ्या प्रमाणावर डिप्लॉय केलेला ओपन-सोर्स RADIUS सर्व्हर जो RadSec साठी नेटिव्ह सपोर्ट प्रदान करतो.
त्याच्या लवचिकतेमुळे आणि नेटिव्ह TLS क्षमतांमुळे अनेकदा एंटरप्राइझ वातावरणात आणि रोमिंग फेडरेशन्समध्ये वापरले जाते.
PKI (Public Key Infrastructure)
डिजिटल प्रमाणपत्रे तयार करण्यासाठी, व्यवस्थापित करण्यासाठी, वितरित करण्यासाठी आणि रद्द करण्यासाठी आवश्यक असलेल्या भूमिका, धोरणे आणि सॉफ्टवेअरचे फ्रेमवर्क.
RadSec डिप्लॉय करण्यासाठी एक पूर्वअट, कारण तुम्ही सर्व RADIUS क्लायंट्स आणि सर्व्हर्ससाठी प्रमाणपत्रे जारी करणे आणि व्यवस्थापित करणे आवश्यक आहे.
सोडवलेली उदाहरणे
एक 200-प्रॉपर्टी हॉटेल ग्रुप कर्मचाऱ्यांच्या प्रमाणीकरणासाठी मध्यवर्तीरित्या Microsoft NPS वापरतो. प्रत्येक हॉटेलमधील अॅक्सेस पॉईंट्स सध्या UDP 1812 द्वारे सार्वजनिक इंटरनेटवरून RADIUS विनंत्या पाठवतात. CTO सर्व प्रमाणीकरण ट्रॅफिकसाठी एन्क्रिप्शन अनिवार्य करतात, परंतु या वर्षी NPS बदलणे हा पर्याय नाही.
प्रत्येक हॉटेल साइटवर RadSec प्रॉक्सी (उदा. radsecproxy) आणि NPS सर्व्हर्सच्या समोर मध्यवर्ती डेटा सेंटरमध्ये संबंधित प्रॉक्सी डिप्लॉय करा. स्थानिक APs स्थानिक प्रॉक्सीला UDP RADIUS पाठवतात. स्थानिक प्रॉक्सी इंटरनेटवरून मध्यवर्ती प्रॉक्सीकडे TCP 2083 वर म्युच्युअल TLS टनेल स्थापित करते. मध्यवर्ती प्रॉक्सी TLS टनेल संपुष्टात आणते आणि NPS सर्व्हरला स्टँडर्ड UDP RADIUS फॉरवर्ड करते.
एक मोठे विद्यापीठ भेट देणाऱ्या शिक्षणतज्ञांना अखंड अॅक्सेस देण्यासाठी त्यांच्या कॅम्पसमध्ये OpenRoaming डिप्लॉय करत आहे. ते FreeRADIUS 3.0 चालवत आहेत.
FreeRADIUS मध्ये नेटिव्ह RadSec सक्षम करा. OpenRoaming फेडरेशनद्वारे विश्वासार्ह असलेल्या CA कडून X.509 प्रमाणपत्रे जनरेट करा. फेडरेशन हबकडे इनबाउंड आणि आउटबाउंड TCP 2083 ट्रॅफिकला परवानगी देण्यासाठी कॅम्पस फायरवॉल कॉन्फिगर करा. सर्व फेडरेशन-बाउंड प्रमाणीकरण विनंत्यांसाठी RadSec वापरण्यासाठी वायरलेस LAN कंट्रोलर्स कॉन्फिगर करा.
सराव प्रश्न
Q1. तुमच्या टीमने तुमचे रिमोट ब्रांच अॅक्सेस पॉईंट्स आणि तुमच्या मध्यवर्ती FreeRADIUS सर्व्हर दरम्यान नेटिव्ह RadSec डिप्लॉय केले आहे. APs सर्व्हरला पिंग करू शकतात, परंतु प्रमाणीकरण विनंत्या पूर्णपणे टाइम आउट होत आहेत आणि RADIUS लॉग्सवर कोणतेही ट्रॅफिक येत नाहीये.
टीप: RadSec पारंपारिक RADIUS पेक्षा वेगळा ट्रान्सपोर्ट प्रोटोकॉल आणि पोर्ट वापरते.
नमुना उत्तर पहा
फायरवॉल बहुधा TCP पोर्ट 2083 ब्लॉक करत आहे. पारंपारिक RADIUS ची सवय असलेल्या नेटवर्क टीम्स अनेकदा फक्त UDP पोर्ट्स 1812/1813 ला परवानगी देतात. तुम्ही ब्रांचमधून आउटबाउंड आणि RADIUS सर्व्हरकडे इनबाउंड TCP 2083 ला स्पष्टपणे परवानगी देणे आवश्यक आहे.
Q2. तुम्ही एका रिटेल क्लायंटच्या WiFi आर्किटेक्चरचे ऑडिट करत आहात. ते मध्यवर्तीरित्या Microsoft NPS वापरतात. त्यांचे स्टोअर APs IPsec VPN द्वारे इंटरनेटवरून प्रमाणीकरण विनंत्या पाठवतात. येथे RadSec आवश्यक आहे का?
टीप: आधीपासूनच अस्तित्वात असलेल्या एन्क्रिप्शनच्या लेयर्सचा विचार करा.
नमुना उत्तर पहा
जरी RadSec ही सर्वोत्तम सराव असली तरी, IPsec VPN आधीपासूनच अविश्वासू इंटरनेटवरील UDP RADIUS ट्रॅफिकसाठी ट्रान्सपोर्ट लेयर एन्क्रिप्शन प्रदान करत आहे. येथे RadSec डिप्लॉय केल्याने डिफेन्स-इन-डेप्थ मिळेल परंतु ट्रॅफिक नेटिव्हली इंटरनेटवरून प्रवास करत असल्याच्या तुलनेत हे कमी तातडीचे आहे.
Q3. यशस्वी RadSec प्रॉक्सी डिप्लॉयमेंटच्या एका आठवड्यानंतर, सोमवारी सकाळी 09:00 वाजता संपूर्ण एंटरप्राइझमधील सर्व WiFi प्रमाणीकरण एकाच वेळी अयशस्वी होते. नेटवर्क टीम पुष्टी करते की फायरवॉल नियम बदललेले नाहीत.
टीप: स्वतः TLS टनेलसाठी प्राथमिक प्रमाणीकरण यंत्रणा काय आहे?
नमुना उत्तर पहा
म्युच्युअल TLS प्रमाणीकरणासाठी वापरलेली X.509 प्रमाणपत्रे बहुधा कालबाह्य झाली आहेत. जेव्हा प्रमाणपत्रे कालबाह्य होतात, तेव्हा TLS हँडशेक अयशस्वी होतो, TCP कनेक्शन ड्रॉप होते आणि RADIUS ट्रॅफिक वाहू शकत नाही. हे टाळण्यासाठी स्वयंचलित प्रमाणपत्र मॉनिटरिंग आणि रोटेशन लागू करा.
या मालिकेमध्ये पुढे वाचा
कर्मचारी आणि अतिथी WiFi नेटवर्क सुरक्षितपणे कसे वेगळे करावे
हे अधिकृत तांत्रिक मार्गदर्शक IT नेत्यांना VLAN आणि 802.1X चा वापर करून कर्मचारी, अतिथी आणि IoT WiFi नेटवर्क्स सुरक्षितपणे वेगळे करण्यासाठी कृतीयोग्य रणनीती प्रदान करते. हे एंटरप्राइझ इन्फ्रास्ट्रक्चर सुरक्षित कसे करावे, PCI DSS अनुपालन कसे राखायचे आणि फर्स्ट-पार्टी डेटा कॅप्चर करण्यासाठी कॅप्टिव्ह पोर्टलचा कसा फायदा घ्यावा याचे तपशील प्रदान करते.
सर्वोत्तम DNS filtering: व्यवसायांसाठी एक व्यापक मार्गदर्शक
हे तांत्रिक संदर्भ मार्गदर्शक स्पष्ट करते की कशा प्रकारे एंटरप्राइझ DNS filtering हे कनेक्शन स्थापित होण्यापूर्वीच - रिझोल्यूशन लेयरवर दुर्भावनापूर्ण डोमेन्स ब्लॉक करून सार्वजनिक नेटवर्क सुरक्षित करते. हे IT संचालक, नेटवर्क आर्किटेक्ट आणि वेन्यू ऑपरेशन्स टीम्सना डेव्हलपमेंट आर्किटेक्चर, फायरवॉल कॉन्फिगरेशन आणि अनुपालन संदर्भ प्रदान करते जे त्यांना हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक क्षेत्रातील वातावरणात Guest WiFi सुरक्षित करण्यासाठी आवश्यक आहे. Purple Shield हे ८०,००० पेक्षा जास्त थेट वेन्यूवर DNS स्तरावर मालवेअर, बॉटनेट्स आणि अयोग्य कंटेंट ब्लॉक करते.
Cisco SUDI समजून घेणे: Secure Network Access Control मधील Hardware-Anchored Identity
हे मार्गदर्शक स्पष्ट करते की Cisco SUDI कशा प्रकारे एंटरप्राइझ नेटवर्क इन्फ्रास्ट्रक्चरसाठी hardware-anchored, गुपित-सुरक्षित (cryptographically secure) ओळख प्रदान करते. तुमच्या वेन्यूच्या नेटवर्क ॲक्सेस कंट्रोल सुरक्षित करण्यासाठी स्पूफ करता येण्याजोग्या MAC ॲड्रेसेस ऐवजी अपरिवर्तनीय 802.1AR सर्टिफिकेट्स वापरण्याची पद्धत जाणून घ्या.