मुख्य मजकुराकडे जा
मराठी

WiFi ऑथेंटिकेशनसाठी RADIUS सर्व्हर कसा सेट करावा: पायरी-दर-पायरी 802.1X मार्गदर्शक

एंटरप्राइझ 802.1X WiFi ऑथेंटिकेशनसाठी FreeRADIUS, Windows Server NPS आणि Cloud RADIUS कॉन्फिगर करा. शेअर्ड सिक्रेट्स, EAP-TLS सर्टिफिकेट्स, डायनॅमिक VLAN असाइनमेंट आणि Microsoft Entra ID इंटिग्रेशन समाविष्ट करणारे पायरी-दर-पायरी मार्गदर्शक.

Iain Jewitt द्वारेप्रकाशित
📖 8 मिनिट वाचन1,656 शब्द2 सोडवलेली उदाहरणे3 सराव प्रश्न5 महत्वाच्या व्याख्या

Video overview

हे मार्गदर्शक ऐका

पॉडकास्ट ट्रान्सक्रिप्ट पहा
Purple च्या तांत्रिक माहिती पत्रकामध्ये आपले स्वागत आहे. आज आपण कोणत्याही एंटरप्राइझ IT लीडरसाठी अत्यंत महत्त्वाच्या असलेल्या इन्फ्रास्ट्रक्चरच्या निर्णयावर चर्चा करत आहोत: WiFi ऑथेंटिकेशनसाठी RADIUS सर्व्हर कसा सेट करावा. जर आपण मोठ्या प्रमाणावर अंमलबजावणी व्यवस्थापित करत असाल - मग ते हॉटेल चेन असो, रिटेल नेटवर्क असो, किंवा मोठे विद्यापीठ कॅम्पस असो - साध्या प्री-शेअर्ड की वर अवलंबून राहणे हा एक मोठा सुरक्षा धोका आहे. आपल्याला 802.1X ची गरज आहे, आणि याचा अर्थ आपल्याला RADIUS ची गरज आहे. चला सुरुवातीच्या संदर्भापासून सुरुवात करूया. RADIUS, किंवा रिमोट ऑथेंटिकेशन डायल-इन युझर सर्व्हिस, आपल्या नेटवर्कसाठी गेटकीपर म्हणून काम करते. जेव्हा एखादे डिव्हाइस WiFi ॲक्सेस पॉइंटशी कनेक्ट करण्याचा प्रयत्न करते, तेव्हा तो ॲक्सेस पॉइंट ऑथेंटिकेटर म्हणून काम करतो आणि क्रेडेंशियल्स RADIUS सर्व्हरकडे पाठवतो. सर्व्हर त्या क्रेडेंशियल्सची पडताळणी एका डिरेक्टरीशी - जसे की ॲक्टिव्ह डिरेक्टरी किंवा LDAP डेटाबेस - करतो आणि नंतर परवानगी किंवा नकार देणारा संदेश परत पाठवतो. हा एंटरप्राइझ WiFi सुरक्षेचा पाया आहे, आणि हीच ती यंत्रणा आहे जी आपल्याला मोठ्या प्रमाणावर तपशीलवार ॲक्सेस पॉलिसी लागू करण्याची परवानगी देते. आता आपण तांत्रिक सखोल माहितीकडे वळूया. पहिली मोठी आर्किटेक्चरल निवड जी आपल्यासमोर असेल ती म्हणजे ऑन-प्रिमाइस RADIUS सर्व्हर आणि क्लाउड-होस्टेड सोल्यूशन यापैकी एकाची निवड करणे. ऐतिहासिकदृष्ट्या, Microsoft चे नेटवर्क पॉलिसी सर्व्हर किंवा NPS, किंवा ओपन-सोर्स FreeRADIUS सारखे ऑन-प्रिमाइस सोल्यूशन्स हे मानके होते. ते इन्फ्रास्ट्रक्चरवर पूर्ण नियंत्रण देतात आणि ऑथेंटिकेशनसाठी बाह्य इंटरनेट कनेक्शनवर अवलंबून राहत नाहीत. तथापि, त्यांना समर्पित हार्डवेअर, सतत देखभाल आणि रिडंडन्सीचे मॅन्युअल कॉन्फिगरेशन आवश्यक असते. जर आपल्याकडे एकच डेटा सेंटर आणि पुरेशा कर्मचाऱ्यांची IT टीम असेल, तर हा एक उत्तम आणि वैध दृष्टिकोन आहे. दुसरीकडे, क्लाउड RADIUS सोल्यूशन्स वेगाने लोकप्रिय होत आहेत, विशेषत: रिटेल चेन्स किंवा हॉस्पिटॅलिटी व्हेन्यूज सारख्या विखुरलेल्या वातावरणासाठी. क्लाउड RADIUS हार्डवेअर व्यवस्थापन पूर्णपणे काढून टाकते, इन-बिल्ट उच्च उपलब्धता प्रदान करते, आणि Azure ॲक्टिव्ह डिरेक्टरी किंवा Okta सारख्या क्लाउड आयडेंटिटी प्रोव्हाइडर्सशी अखंडपणे समाकलित होते. यामध्ये तडजोड एवढीच आहे की ऑथेंटिकेशनसाठी विश्वासार्ह इंटरनेट कनेक्शन आवश्यक असते आणि याचे सतत सबस्क्रिप्शन मूल्य असते. पन्नास किंवा शंभर ठिकाणी व्यवसाय चालवणाऱ्या व्हेन्यू ऑपरेटरसाठी, प्रत्येक ठिकाणी ऑन-प्रिमाइस सर्व्हर न चालवल्यामुळे आणि त्यांची देखभाल न केल्यामुळे होणारी ऑपरेशनल बचत या मूल्यापेक्षा नक्कीच जास्त फायदेशीर ठरेल. RADIUS तैनात करताना, एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल - EAP - हा एक महत्त्वाचा भाग आहे. क्लायंट आणि सर्व्हर कशा प्रकारे ऑथेंटिकेशनची बोलणी करतात आणि ते कसे पूर्ण करतात हे तो परिभाषित करतो. EAP-TLS हे सुरक्षेसाठी सर्वोत्तम मानक मानले जाते कारण ते क्लायंट आणि सर्व्हर दोन्हीवर डिजिटल सर्टिफिकेट्स वापरते, ज्यामुळे पासवर्डची गरज पूर्णपणे नाहीशी होते. याचा अर्थ असा की जरी एखाद्या हॅकरने ऑथेंटिकेशनची देवाणघेवाण हस्तगत केली, तरीही चोरण्यासाठी कोणतेही क्रेडेंशियल्स नसतात. तथापि, क्लायंट सर्टिफिकेट्स तैनात करणे प्रशासकीयदृष्ट्या कठीण असू शकते. प्रत्येक डिव्हाइसवर सर्टिफिकेट्स पाठवण्यासाठी आपल्याला पब्लिक की इन्फ्रास्ट्रक्चर आणि MDM सोल्यूशनची आवश्यकता असते.PEAP-MSCHAPv2 हा सर्वात सामान्य पर्याय आहे. हा एनक्रिप्टेड TLS टनेल स्थापित करण्यासाठी सर्व्हर-साइड सर्टिफिकेट वापरतो, ज्याच्या आत वापरकर्ता युझरनेम आणि पासवर्डसह प्रमाणित होतो. हे EAP-TLS पेक्षा लागू करणे लक्षणीयरीत्या सोपे आहे कारण तुम्हाला फक्त एकच सर्टिफिकेट - सर्व्हरचे - व्यवस्थापित करावे लागते. तथापि, आणि हे अत्यंत महत्त्वाचे आहे - जर क्लायंट्सना सर्व्हरचे सर्टिफिकेट सत्यापित करण्यासाठी काटेकोरपणे कॉन्फिगर केले नसेल, तर ते बनावट ॲक्सेस पॉइंट्ससाठी असुरक्षित असतात. एखादा हल्ला करणारा बनावट ॲक्सेस पॉइंट उभा करू शकतो, खोटे सर्टिफिकेट सादर करू शकतो आणि क्रेडेंशियल मिळवू शकतो. हा केवळ सैद्धांतिक हल्ला नाही. हा एक चांगल्या प्रकारे दस्तऐवजीकरण केलेला वास्तविक जगातील धोका आहे. आता अंमलबजावणीच्या शिफारसी आणि धोक्यांविषयी बोलूया. पहिली शिफारस म्हणजे प्रत्येक क्लायंट डिव्हाइसवर काटेकोर सर्टिफिकेट प्रमाणीकरण लागू करणे. Windows डिव्हाइसेससाठी Group Policy Objects आणि macOS आणि मोबाईल डिव्हाइसेससाठी MDM प्रोफाइल्स - मग ते Intune, Jamf असो किंवा इतर कोणतेही सोल्यूशन - वापरा. प्रोफाइलमध्ये नक्की कोणत्या Certificate Authority वर विश्वास ठेवायचा आणि अपेक्षित सर्व्हरचे नाव काय आहे हे निर्दिष्ट केले पाहिजे. हे मॅन्युअली कॉन्फिगर करण्यासाठी शेवटच्या वापरकर्त्यावर सोडू नका. दुसरी शिफारस म्हणजे डायनॅमिक VLAN असाइनमेंट लागू करणे. सर्व प्रमाणित वापरकर्त्यांना एकाच फ्लॅट नेटवर्कवर ठेवण्याऐवजी, डिरेक्टरीमधील त्यांच्या ग्रुप सदस्यत्वाच्या आधारे वापरकर्त्याला विशिष्ट VLAN वर ठेवण्यासाठी ॲक्सेस पॉइंटला सूचना देण्याकरिता RADIUS सर्व्हर कॉन्फिगर करा. कॉर्पोरेट डिव्हाइसेसना BYOD किंवा अतिथी डिव्हाइसेसपासून वेगळे करण्यासाठी हे आवश्यक आहे. फायनान्स टीममधील कर्मचारी सदस्यासाठी दिवसासाठी भेट देणाऱ्या कंत्राटदारापेक्षा वेगळा नेटवर्क विभाग असावा. तिसरी शिफारस अतिथी ॲक्सेसशी संबंधित आहे. ज्या ठिकाणांना अभ्यागतांना - हॉटेल्स, रिटेल स्टोअर्स, कॉन्फरन्स सेंटर्स - WiFi प्रदान करण्याची आवश्यकता आहे, त्यांच्यासाठी तुमच्या RADIUS इन्फ्रास्ट्रक्चरला Purple च्या Guest WiFi प्लॅटफॉर्मसारख्या Captive Portal सोल्यूशनसह समाकलित करणे हे एक प्रभावी संयोजन आहे. कर्मचारी आणि कॉर्पोरेट डिव्हाइसेस 802.1X द्वारे शांतपणे प्रमाणित होतात, तर अतिथींना प्रमाणीकरणासाठी ब्रँडेड पोर्टलवर निर्देशित केले जाते. Purple चे प्लॅटफॉर्म नंतर फर्स्ट-पार्टी डेटा गोळा करते आणि अभ्यागतांच्या वर्तनावर विश्लेषण प्रदान करते, ज्यामुळे तुमचे नेटवर्क एका खर्च केंद्रातून व्यवसाय बुद्धिमत्ता मालमत्तेत बदलते. आता वेगवान प्रश्न आणि उत्तर सत्रासाठी. पहिला प्रश्न: मला RADIUS साठी स्वतंत्र सर्व्हर हवा आहे का? ऑन-प्रिमाइसेस डिप्लॉयमेंटसाठी, होय, डोमेन कंट्रोलरसह रिसोर्सेस शेअर करण्याऐवजी तो स्वतंत्र व्हर्च्युअल मशीनवर चालवण्याची जोरदार शिफारस केली जाते. ऑथेंटिकेशन ही लेटन्सी-संवेदनशील प्रक्रिया आहे, आणि रिसोर्सेसच्या स्पर्धेमुळे मधूनमधून अपयश येऊ शकते ज्याचे निदान करणे अत्यंत कठीण असते. दुसरा प्रश्न: RADIUS प्रिंटर किंवा आयओटी सेन्सर्ससारख्या हेडलेस उपकरणांसाठी ऑथेंटिकेशन हाताळू शकतो का? होय, MAC Authentication Bypass, म्हणजेच MAB द्वारे. हे 802.1X क्षमता नसलेल्या उपकरणांना त्यांच्या MAC ॲड्रेसच्या आधारे ऑथेंटिकेट करण्याची परवानगी देते. तथापि, MAC ॲड्रेस सहजपणे स्पूफ केले जाऊ शकत असल्याने, MAB-ऑथेंटिकेट केलेल्या उपकरणांना नेहमी अत्यंत प्रतिबंधित VLAN वर ठेवले पाहिजे. तिसरा प्रश्न: मी RADIUS सर्व्हर रिडंडन्सी कशी हाताळू? नेहमी किमान दोन RADIUS सर्व्हर डिप्लॉय करा - एक प्रायमरी आणि एक सेकंडरी. जर प्रायमरी सर्व्हरपर्यंत पोहोचणे अशक्य झाले, तर सेकंडरी सर्व्हरवर फेलओव्हर करण्यासाठी सर्व ॲक्सेस पॉइंट्स कॉन्फिगर करा. क्लाउड RADIUS साठी, ही रिडंडन्सी सामान्यतः इन-बिल्ट असते आणि प्रोव्हायडरद्वारे व्यवस्थापित केली जाते. आजच्या ब्रीफिंगमधील मुख्य मुद्दे थोडक्यात सांगायचे तर, एंटरप्राइझ WiFi साठी प्री-शेअर्ड की स्वीकार्य नाहीत. 802.1X लागू करा. तुमचे आयटी रिसोर्सेस, तुम्ही व्यवस्थापित करत असलेल्या ठिकाणांची संख्या आणि तुमची सध्याची आयडेंटिटी इन्फ्रास्ट्रक्चर यांच्या आधारे तुमचे डिप्लॉयमेंट मॉडेल - ऑन-प्रिमाइसेस किंवा क्लाउड - निवडा. जर तुम्ही डिस्ट्रिब्युटेड आणि क्लाउड-फर्स्ट असाल, तर क्लाउड RADIUS हेच नक्कीच योग्य उत्तर आहे. क्लायंटवर कडक सर्टिफिकेट व्हॅलिडेशन सक्तीचे करा. यामध्ये कोणतीही तडजोड केली जाणार नाही. तुमच्या नेटवर्कचे वर्गीकरण करण्यासाठी डायनॅमिक VLAN असाइनमेंटचा वापर करा. आणि शेवटी, तुमचे ऑथेंटिकेशन इन्फ्रास्ट्रक्चर केवळ ॲक्सेस नियंत्रित करण्यापलीकडे जाऊन व्यवसाय मूल्य प्रदान करण्यासाठी व्यापक प्लॅटफॉर्मसह कसे समाकलित होऊ शकते याचा विचार करा. अधिक वाचनासाठी, आम्ही 802.1X WiFi ऑथेंटिकेशन कॉन्फिगर करण्याबद्दल आणि मजबूत DNS पॉलिसीसह तुमचे नेटवर्क सुरक्षित करण्याबद्दल Purple चे मार्गदर्शक पाहण्याची शिफारस करतो. ऐकल्याबद्दल धन्यवाद.

आमच्या मुख्य मालिकेचा भाग: एंटरप्राइझ WiFi सुरक्षा मार्गदर्शक →

Interactive Network Tool

RADIUS server setup & 802.1X architecture configurator

Model your enterprise RADIUS deployment: configure Identity Provider sync, EAP authentication methods, dynamic VLAN attributes, and firewall ports.

Architectural Blueprint

Cloud-Native 802.1X Architecture

Security & ComplianceMaximum Enterprise Security (A+)
Est. Admin Overhead9 hrs/year
Network Protocol & Ports: RadSec (TCP 2083 with TLS) & UDP 1812/1813
RadSec TLS Support: Yes (Encrypted RADIUS over TLS)
BlastRADIUS (CVE-2024-3596) Hardening: Protected (Message-Authenticator)
Dynamic VLAN Attributes: Tunnel-Type=13, Tunnel-Medium-Type=6, Tunnel-Private-Group-ID

Architecture Insight: Eliminate shared PSKs by pushing device certificates via Microsoft Intune or Jamf. EAP-TLS with Cloud RADIUS removes local server maintenance while enforcing strict role-based VLAN segmentation.

Useful? Link to this tool

कार्यकारी सारांश

WiFi ऑथेंटिकेशनसाठी RADIUS सर्व्हर कसा सेट करावा: पायरी-दर-पायरी 802.1X मार्गदर्शक

एंटरप्राइझ वायरलेस नेटवर्कसाठी केंद्रीकृत ओळख व्यवस्थापन, भूमिका-आधारित विभागणी आणि मजबूत क्रिप्टोग्राफिक संरक्षणाची आवश्यकता असते. सामायिक प्री-शेअर्ड की (PSKs) वर अवलंबून राहिल्याने संस्थांना क्रेडेंशियल लीक, अनधिकृत डिव्हाइस प्रवेश आणि कर्मचारी कंपनी सोडतो तेव्हा प्रशासकीय अडचणींना सामोरे जावे लागते.

RADIUS (Remote Authentication Dial-In User Service) सर्व्हर सेट अप केल्याने IEEE 802.1X एंटरप्राइझ प्रमाणीकरण सक्षम होते. प्रत्येक कनेक्ट होणारे डिव्हाइस आणि वापरकर्ता स्वतंत्रपणे केंद्रीय निर्देशिका - जसे की Microsoft Entra ID, Google Workspace, Okta किंवा ऑन-प्रिमाइस Active Directory विरुद्ध प्रमाणीकरण करतो.

हे तांत्रिक मार्गदर्शक एंटरप्राइझ WiFi साठी RADIUS सर्व्हर कॉन्फिगर करण्यासाठी चरण-दर-चरण उपयोजन सूचना प्रदान करते. आम्ही यामध्ये Linux FreeRADIUS कॉन्फिगरेशन, Windows Server Network Policy Server (NPS) सेटअप, आधुनिक क्लाउड RADIUS आर्किटेक्चर्स, डायनॅमिक VLAN असाइनमेंट आणि BlastRADIUS सुरक्षा बळकटीकरण समाविष्ट केले आहे.

802.1X आणि RADIUS आर्किटेक्चरचे विहंगावलोकन

IEEE 802.1X फ्रेमवर्क नेटवर्क प्रवेशाला तीन वेगवेगळ्या घटकांमध्ये विभाजित करते:

१. The Supplicant (अर्जदार): क्लायंट एंडपॉइंट (लॅपटॉप, स्मार्टफोन किंवा टॅब्लेट) जो 802.1X क्लायंट सॉफ्टवेअर चालवतो आणि ओळखीची क्रेडेंशियल सादर करतो. २. The Authenticator (प्रमाणीकरणकर्ता): वायरलेस ॲक्सेस पॉइंट (AP) किंवा वायरलेस LAN कंट्रोलर (WLC) जो नेटवर्कच्या प्रत्यक्ष प्रवेशावर नियंत्रण ठेवतो आणि प्रमाणीकरण संदेश रिले करतो. ३. The Authentication Server (प्रमाणीकरण सर्व्हर): RADIUS सर्व्हर जो ओळख निर्देशिकेविरुद्ध क्रेडेंशियल्सची पडताळणी करतो आणि नेटवर्क अधिकृतता धोरणे परत पाठवतो.

+---------------+        EAP over LAN (EAPoL)        +-------------------+
|  Supplicant   | <================================> |   Authenticator   |
| (Client Device)|                                    | (AP / Controller) |
+---------------+                                    +-------------------+
                                                               ||
                                                               || RADIUS Protocol
                                                               || (UDP 1812 / TCP 2083)
                                                               \/
                                                     +-------------------+
                                                     |   RADIUS Server   |
                                                     |  (FreeRADIUS/NPS) |
                                                     +-------------------+
                                                               ||
                                                               || Identity Lookup
                                                               \/
                                                     +-------------------+
                                                     | Identity Provider |
                                                     | (Entra ID / LDAP) |
                                                     +-------------------+

RADIUS संवादाचा प्रवाह

  1. असोसिएशन (Association): क्लायंट एंटरप्राइझ SSID (WPA2-Enterprise किंवा WPA3-Enterprise) शी जोडला जातो.
  2. EAP ची सुरुवात: AP सर्व डेटा ट्रॅफिक ब्लॉक करतो आणि क्लायंटला EAP-Request/Identity फ्रेम पाठवतो.
  3. ओळख प्रतिसाद (Identity response): क्लायंट EAP-Response/Identity फ्रेमद्वारे प्रतिसाद देतो.
  4. RADIUS एन्कॅप्स्युलेशन: AP हा EAP पेलोडला RADIUS Access-Request पॅकेटमध्ये एन्कॅप्स्युलेट करतो आणि RADIUS सर्व्हरकडे पाठवतो.
  5. EAP निगोशिएशन: क्लायंट आणि RADIUS सर्व्हर क्रिप्टोग्राफिक ऑथेंटिकेशन पद्धतीवर (जसे की EAP-TLS किंवा PEAP) बोलणी (negotiate) करतात.
  6. ऑथरायझेशन आणि Access-Accept: यशस्वी पडताळणीनंतर, RADIUS सर्व्हर एक RADIUS Access-Accept पॅकेट जारी करतो ज्यामध्ये Pairwise Master Key (PMK) आणि ऐच्छिक डायनॅमिक VLAN असाइनमेंट वैशिष्ट्ये असतात.
  7. पोर्ट ओपन: AP व्हर्च्युअल पोर्ट अनब्लॉक करतो आणि हवेतून वायरलेस ट्रॅफिक सुरक्षितपणे ट्रान्सफर करण्यासाठी (encrypt) 4-way हँडशेक सुरू करतो.

अधिक सखोल आर्किटेक्चरल संकल्पनांसाठी, आमचे Enterprise WiFi Security Guide आणि Captive Portal Guide पहा.

टप्प्याटप्प्याने सेटअप: Linux वर FreeRADIUS

FreeRADIUS हा जगातील सर्वात लोकप्रिय ओपन-सोर्स RADIUS सूटचा मानक आहे. Ubuntu 24.04 LTS / Debian 12 साठी कॉन्फिगरेशनचा क्रम खालीलप्रमाणे आहे.

टप्पा 1: FreeRADIUS पॅकेजेस इन्स्टॉल करा

sudo apt update
sudo apt install -y freeradius freeradius-utils freeradius-ldap ssl-cert

टप्पा 2: नेटवर्क ॲक्सेस सर्व्हर (NAS) क्लायंट्स परिभाषित करा

तुमचे वायरलेस ॲक्सेस पॉइंट्स ऑथराइज करण्यासाठी आणि शेअर्ड सिक्रेट कॉन्फिगर करण्यासाठी /etc/freeradius/3.0/clients.conf संपादित करा:

client enterprise_wlan {
  ipaddr: 192.168.10.0/24
  secret: Str0ngSh@redSecr3t2026!
  shortname: branch-aps
  nas_type: other
  require_message_authenticator: yes
}

नोंद: BlastRADIUS बनावट हल्ल्यांपासून (forgery attacks) बचाव करण्यासाठी नेहमी RFC 2869 Message-Authenticator वैशिष्ट्ये लागू करा.

टप्पा 3: EAP ऑथेंटिकेशन मॉड्यूल्स कॉन्फिगर करा

/etc/freeradius/3.0/mods-available/eap उघडा आणि डीफॉल्ट EAP पद्धत कॉन्फिगर करा:

eap {
  default_eap_type: tls
  timer_expire: 60
  ignore_unknown_eap_types: no
  cisco_accounting_username_bug: no
  max_sessions: 4096

  tls-config tls-common {
    certdir: ${confdir}/certs
    cadir: ${confdir}/certs
    private_key_file: ${certdir}/radius-server.key
    certificate_file: ${certdir}/radius-server.crt
    ca_file: ${cadir}/ca.crt
    cipher_list: HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH
    tls_min_version: 1.2
  }
}

टप्पा 4: डीबग मोडमध्ये चाचणी करा

सिस्टम सर्व्हिस म्हणून चालवण्यापूर्वी, डेमन थांबवा आणि फोरग्राउंड डीबग मोडमध्ये सुरू करा:

sudo systemctl stop freeradius
sudo freeradius -X

radtest चा वापर करून स्थानिक ऑथेंटिकेशन तपासा:

radtest testuser Password123 127.0.0.1 0 testing123

यशस्वी प्रतिसादानंतर Received Access-Accept Id 1 प्राप्त होईल.

टप्प्याटप्प्याने सेटअप: Windows Server NPS

Microsoft Network Policy Server (NPS) ही Active Directory Domain Services (AD DS) शी जोडलेल्या Windows Server वातावरणासाठी अंगभूत RADIUS सर्व्हर भूमिका आहे.

+-------------------------------------------------------------------------+
|                  Windows Server Network Policy Server                   |
|                                                                         |
|  [RADIUS Clients (AP / WLC)] ---> [Connection Request Policies]         |
|                                                  |                      |
|                                                  v                      |
|  [Active Directory DS / PKI] <--- [Network Policies (VLAN / EAP-TLS)]   |
+-------------------------------------------------------------------------+

टप्पा 1: Network Policy आणि Access Services इन्स्टॉल करा

प्रशासक (Administrator) म्हणून PowerShell उघडा:

Install-WindowsFeature NPAS -IncludeManagementTools
Register-ActiveDirectoryServer -Server nps01.corp.local

टप्पा 2: RADIUS क्लायंट्स (ॲक्सेस पॉइंट्स) रजिस्टर करा

  1. Network Policy Server (nps.msc) उघडा.
  2. RADIUS Clients and Servers चा विस्तार करा > RADIUS Clients वर राइट-क्लिक करा > New वर क्लिक करा.
  3. फ्रेंडली नाव (Friendly Name) प्रविष्ट करा: Cisco-Catalyst-AP-Cluster.
  4. IP पत्ता किंवा सबनेट CIDR प्रविष्ट करा (उदा. 10.50.0.0/24).
  5. एक मजबूत Shared Secret जनरेट करून प्रविष्ट करा (किमान 24 अल्फान्युमेरिक वर्ण).

टप्पा 3: WiFi प्रमाणीकरणासाठी (authentication) नेटवर्क पॉलिसी तयार करा

  1. Policies > Network Policies अंतर्गत, राइट-क्लिक करा आणि New निवडा.
  2. पॉलिसीचे नाव: Staff-WiFi-802.1X-Policy. नेटवर्क ॲक्सेस सर्व्हरचा प्रकार: Unspecified.
  3. अटी (Conditions):
    • Windows Groups जोडा: CORP\WiFi-Authorised-Users
    • NAS-Port-Type जोडा: Wireless - IEEE 802.11 किंवा Wireless - Other
  4. ॲक्सेस परवानगी (Access Permission): Access granted निवडा.
  5. प्रमाणीकरण पद्धती (Authentication Methods):
    • कमी सुरक्षित असलेल्या पद्धती अनसिलेक्ट करा.
    • EAP Types अंतर्गत, Microsoft: Smart Card or other certificate (EAP-TLS) जोडा.
    • ही पद्धत संपादित (edit) करा आणि तुमच्या Active Directory Certificate Services (AD CS) Enterprise CA कडून जारी केलेले RADIUS सर्व्हर प्रमाणपत्र निवडा.
  6. मर्यादा (Constraints): Idle Timeout 30 मिनिटांवर आणि Session Timeout 8 तासांवर सेट करा.

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.

Cloud RADIUS: आधुनिक zero-trust आर्किटेक्चर

पारंपारिक ऑन-प्रिमायसेस RADIUS सर्व्हर मोठ्या प्रमाणात ऑपरेशनल आव्हाने निर्माण करतात:

  • उच्च सर्व्हर लायसन्सिंग आणि पॅचिंगचा अतिरिक्त खर्च.
  • Microsoft Entra ID किंवा Google Workspace सारख्या क्लाउड आयडेंटिटी डिरेक्टरीजसाठी कोणतीही नेटिव्ह प्रमाणीकरण APIs उपलब्ध नसणे.
  • शाखा कार्यालयांमध्ये WAN आउटेजचा धोका असणे.

आधुनिक एंटरप्राइझ नेटवर्क ऑन-प्रिमायसेस सर्व्हरचा वापर पूर्णपणे काढून टाकून केंद्रीय प्रमाणीकरणासाठी Cloud RADIUS तैनात करतात.

वैशिष्ट्य वारसा Windows NPS / FreeRADIUS Cloud RADIUS आर्किटेक्चर
डिरेक्टरी इंटिग्रेशन ऑन-प्रिमायसेस LDAP / Kerberos नेटिव्ह Microsoft Entra ID, Google Workspace, Okta
ट्रान्सपोर्ट सुरक्षा अनइन्क्रिप्टेड UDP 1812/1813 RadSec (RFC 6614) TLS over TCP 2083
प्रमाणपत्र ऑटोमेशन मॅन्युअल SCEP / NDES सेटअप ऑटोमेटेड Intune आणि Jamf PKI Connectors
हाय अवेलेबिलिटी मॅन्युअल ॲक्टिव्ह - पॅसिव्ह फेलओव्हर मल्टि-रीजन ग्लोबल Anycast रिडंडन्सी
मेंटेनन्स ऑपरेटिंग सिस्टम पॅचिंग आणि OS लायसन्सिंग सततच्या अपडेट्ससह मॅनेज्ड क्लाउड सर्व्हिस

तुमच्या आर्किटेक्चरचे मॉडेल तयार करण्यासाठी, आमचे Multi-Tenant WiFi Guide आणि Staff WiFi Solutions एक्सप्लोर करा.

डायनॅमिक VLAN असाइनमेंट कॉन्फिगरेशन

डायनॅमिक VLAN असाइनमेंट (RFC 2868 आणि RFC 3580 अंतर्गत परिभाषित केलेले) एकाच एंटरप्राइझ SSID ला त्यांच्या डिरेक्टरी ग्रुप मेंबरशिपच्या आधारे युजर्सचे वेगवेगळ्या नेटवर्क सबनेटमध्ये डायनॅमिकली विभाजन करण्याची परवानगी देते.

                          [Enterprise Staff SSID]
                                     |
              +----------------------+----------------------+
              |                      |                      |
              v                      v                      v
        [VLAN 10: Exec]       [VLAN 20: Engineering]  [VLAN 30: Contractors]
        (10.10.10.0/24)        (10.10.20.0/24)        (10.10.30.0/24)

आवश्यक असणारे मानक RADIUS ॲट्रिब्युट्स

जेव्हा RADIUS सर्व्हर क्रेडेंशियल्स व्हॅलिडेट करतो, तेव्हा तो Access-Accept रिस्पॉन्समध्ये हे ॲट्रिब्युट्स जोडतो:

Tunnel-Type = 13 (VLAN)
Tunnel-Medium-Type = 6 (802 - includes all 802 media plus Ethernet canonical format)
Tunnel-Private-Group-ID = 20 (or VLAN Name "CORP_ENG")

FreeRADIUS डायनॅमिक VLAN मॅपिंगचे उदाहरण

/etc/freeradius/3.0/users मध्ये:

DEFAULT Group == "Engineering-Team"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "20"

DEFAULT Group == "Contractors"
  Tunnel-Type: 13
  Tunnel-Medium-Type: 6
  Tunnel-Private-Group-ID: "30"

नेटवर्क फायरवॉल नियम आणि पोर्ट कॉन्फिगरेशन

नेटवर्क फायरवॉल ॲक्सेस पॉइंट्स आणि RADIUS सर्व्हर्स दरम्यान कम्युनिकेशनला परवानगी देतात याची खात्री करा:

प्रोटोकॉल पोर्ट नंबर वर्णन सोर्स डेस्टिनेशन
UDP 1812 RADIUS ऑथेंटिकेशन (RFC 2865) ॲक्सेस पॉइंट्स / WLC RADIUS सर्व्हर
UDP 1813 RADIUS अकाउंटिंग (RFC 2866) ॲक्सेस पॉइंट्स / WLC RADIUS सर्व्हर
TCP 2083 RadSec - RADIUS over TLS (RFC 6614) ॲक्सेस पॉइंट्स / WLC क्लाउड RADIUS
UDP 1645 / 1646 लेगसी RADIUS ऑथेंटिकेशन / अकाउंटिंग (वापरात नसलेले) लेगसी NAS डिवायसेस RADIUS सर्व्हर

सिक्युरिटी हार्डनिंग आणि BlastRADIUS मिटिगेशन

BlastRADIUS (CVE-2024-3596) कमी करणे

जुलै २०२४ मध्ये, संशोधकांनी BlastRADIUS उघडकीस आणले, ही RADIUS प्रोटोकॉलमधील MD5 कॉलिजन असुरक्षितता (व्हल्नरेबिलिटी) आहे जी ॲक्सेस पॉइंट आणि RADIUS सर्व्हरच्या दरम्यान असलेल्या अटॅकरला बनावट Access-Accept रिस्पॉन्स तयार करण्याची परवानगी देते.

तुमची डिप्लॉयमेंट सुरक्षित करण्यासाठी:

  1. Message-Authenticator लागू करा: सर्व Access-Request आणि Access-Accept पॅकेट्सवर Message-Authenticator ॲट्रिब्युट (RFC 2869) आवश्यक करा.
  2. EAP-TLS वर स्थलांतर करा: प्रमाणपत्र - आधारित EAP-TLS हे प्रॉक्सी फसवणुकीपासून सुरक्षित असते कारण TLS क्रिप्टोग्राफिक कीज क्लायंट आणि RADIUS सर्व्हर दरम्यान एंड - टू - एंड तयार केल्या जातात.
  3. RadSec (RFC 6614) उपयोजित करा: मॅन - इन - द - मिडल पॅकेट छेडछाड रोखण्यासाठी RADIUS ट्रॅफिक TLS टनेलमध्ये समाविष्ट करा.

802.1X प्रमाणीकरण (authentication) अपयशांचे निवारण करणे

त्रुटीचे लक्षण मूळ कारण तांत्रिक उपाय
क्लायंटला लगेच कनेक्शन अयशस्वी झाल्याचा संदेश मिळतो AP आणि RADIUS सर्व्हरमधील शेअर्ड सिक्रेट जुळत नाही AP कंट्रोलर आणि RADIUS कॉन्फिगरेशनमधील शेअर्ड सिक्रेट स्ट्रिंगची पडताळणी करा.
१० - १५ सेकंदांनंतर प्रमाणीकरण कालबाह्य होते (timeout) फायरवॉल UDP पोर्ट १८१२ ब्लॉक करत आहे किंवा राउटिंग उपलब्ध नाही फायरवॉल ACLs तपासा आणि AP व्यवस्थापन VLAN वरून RADIUS सर्व्हर IP शी संपर्क साधू (ping करू) शकत असल्याची खात्री करा.
RADIUS लॉग: "Unknown CA" किंवा "Certificate Untrusted" क्लायंट किंवा RADIUS सर्व्हरकडे रूट CA प्रमाणपत्र उपलब्ध नाही क्लायंट ट्रस्ट स्टोअर आणि RADIUS सर्व्हर प्रमाणपत्र डिरेक्टरीमध्ये इंटरमीडिएट आणि रूट CA प्रमाणपत्रे स्थापित करा.
क्लायंट प्रमाणीकृत होतो परंतु APIPA IP (169.254.x.x) मिळतो AP स्विच ट्रंक पोर्टवर डायनॅमिक VLAN ID अस्तित्वात नाही स्विच ट्रंक कॉन्फिगरेशन Tunnel-Private-Group-ID मध्ये निर्दिष्ट केलेला लक्ष्यित VLAN ID वाहून नेत असल्याची पडताळणी करा.
RADIUS लॉग: "Message-Authenticator is missing" NAS क्लायंट RFC 2869 ला सपोर्ट करत नाही किंवा फर्मवेअर अपडेट नाही AP कंट्रोलर फर्मवेअर अपडेट करा किंवा NAS प्रोफाइलवर Message-Authenticator सक्तीने लागू करणे सक्षम करा.

वारंवार विचारले जाणारे प्रश्न

WiFi प्रमाणीकरणासाठी RADIUS सर्व्हर कोणता पोर्ट वापरतो?

प्रमाणित RADIUS प्रमाणीकरण UDP पोर्ट १८१२ वर कार्य करते, तर अकाउंटिंग UDP पोर्ट १८१३ वर कार्य करते. जुनी सिस्टीम UDP पोर्ट १६४५ आणि १६४६ वापरायची. आधुनिक क्लाउड RADIUS उपयोजन TLS एन्क्रिप्शनसह TCP पोर्ट २०८३ वर RadSec चा वापर करतात.

मी FreeRADIUS निवडावे की Windows Server NPS?

तुमची संस्था पूर्णपणे ऑन - प्रिमाइस ॲक्टिव्ह डिरेक्टरी डोमेन सर्व्हिसेसवर अवलंबून असल्यास Windows Server NPS निवडा. उच्च कार्यक्षमता, ओपन - सोर्स लवचिकता आणि Linux वातावरणासाठी FreeRADIUS निवडा. जर तुमची संस्था Microsoft Entra ID किंवा Google Workspace सारख्या क्लाउड आयडेंटिटी प्रोव्हाइडर्सचा वापर करत असेल, तर Cloud RADIUS निवडा.

मी Microsoft Entra ID (Azure AD) ला RADIUS सर्व्हरशी कसे जोडू?

Microsoft Entra ID मूळ स्वरूपात जुन्या ऑन - प्रिमाइस LDAP किंवा NTLM प्रमाणीकरण प्रोटोकॉल्सना सपोर्ट करत नाही. Entra ID ला एंटरप्राइझ WiFi शी जोडण्यासाठी, EAP-TLS वापरून एंडपॉइंट्स प्रमाणित करण्यासाठी Microsoft Intune SCEP सर्टिफिकेट डिप्लॉयमेंट सह जोडलेले Cloud RADIUS उपयोजित करा.

PEAP-MSCHAPv2 पेक्षा EAP-TLS ला का पसंती दिली जाते?

EAP-TLS हे परस्पर X.५०९ प्रमाणपत्र प्रमाणीकरण वापरते जिथे क्लायंट आणि सर्व्हर दोन्ही क्रिप्टोग्राफिक ओळखीची पडताळणी करतात. PEAP-MSCHAPv2 हे TLS टनेलमधील युझर पासवर्डवर अवलंबून असते, ज्यामुळे नेटवर्क पासवर्ड स्प्रेईंग, फिशिंग आणि फसव्या AP कडून क्रेडेंशियल चोरीला बळी पडू शकते.

विशेष स्वरूपाच्या एंटरप्राइझ WiFi सुरक्षा रचनेसाठी, आमच्या WiFi Analytics Guide चा संदर्भ घ्या किंवा एंटरप्राइझ नेटवर्क तज्ञाशी संपर्क साधा.

महत्वाच्या व्याख्या

RADIUS (RFC 2865)

Remote Authentication Dial-In User Service. एक नेटवर्किंग क्लायंट - सर्व्हर प्रोटोकॉल जो सेंट्रलाइज्ड ऑथेंटिकेशन, ऑथोरायझेशन आणि अकाउंटिंग (AAA) मॅनेजमेंट प्रदान करतो.

वायरलेस ऍक्सेस पॉइंट्सद्वारे सबमिट केलेल्या डिव्हाइस आणि युझर क्रेडेंशियल प्रमाणित करणारे ऑथेंटिकेशन सर्व्हर म्हणून कार्य करते.

IEEE 802.1X

पोर्ट-आधारित नेटवर्क ऍक्सेस कंट्रोल (PNAC) साठी एक IEEE मानक जे LAN किंवा WLAN शी जोडण्याचा प्रयत्न करणाऱ्या डिव्हाइसेससाठी सुरक्षित ऑथेंटिकेशन प्रदान करते.

सप्लिकंट (एंडपॉइंट डिव्हाइस) आणि ऑथेंटिकेटर (ऍक्सेस पॉइंट) मधील EAP फ्रेम्सचे एन्कॅप्स्युलेशन परिभाषित करते.

EAP-TLS (RFC 5216)

Extensible Authentication Protocol - Transport Layer Security. परस्पर सर्टिफिकेट-आधारित ऑथेंटिकेशन प्रोटोकॉल जिथे RADIUS सर्व्हर आणि क्लायंट दोन्ही डिजिटल सर्टिफिकेट्स प्रमाणित करतात.

एंटरप्राइझ झिरो-ट्रस्ट WiFi साठी पासवर्ड्स काढून टाकणारी, इंडस्ट्री-स्टँडर्ड ऑथेंटिकेशन पद्धत.

RadSec (RFC 6614)

RADIUS over TLS. एक मानक जे पारंपारिक UDP RADIUS पॅकेट्स सुरक्षित TCP पोर्ट 2083 TLS टनेल्सच्या आत एन्कॅप्स्युलेट करते.

स्थानिक ऍक्सेस पॉइंट्स आणि Cloud RADIUS सर्व्हर दरम्यानच्या असुरक्षित सार्वजनिक WAN लिंक्समधून जाणाऱ्या RADIUS ऑथेंटिकेशन ट्रॅफिकला सुरक्षित करते.

Dynamic VLAN Assignment (RFC 3580)

एक RADIUS मेकॅनिझम जे युझर रोल किंवा डिव्हाइस पोश्चरच्या आधारे Access-Accept रिस्पॉन्समध्ये VLAN IDs परत पाठवते.

एकाच एंटरप्राइझ SSID ला युझर्सना डायनॅमिकरित्या विलग केलेल्या नेटवर्क सेगमेंट्सवर ठेवण्यास सक्षम करते.

सोडवलेली उदाहरणे

एका नेटवर्क इंजिनिअरला 10.20.0.0/24 सबनेटवर SecretAuthKey2026 या शेअर्ड सिक्रेटसह 12 Cisco Catalyst ऍक्सेस पॉइंट्सद्वारे कनेक्ट होणाऱ्या वायरलेस क्लायंट्स ऑथेंटिकेट करण्यासाठी FreeRADIUS कॉन्फिगर करायचे आहे. clients.conf मध्ये कोणते कॉन्फिगरेशन ठेवावे लागेल?

client branch_aps { ipaddr = 10.20.0.0/24 secret = SecretAuthKey2026 nas_type = cisco require_message_authenticator = yes }

परीक्षकाचे भाष्य: clients.conf मध्ये संपूर्ण सबनेट स्कोप परिभाषित केल्याने नवीन ऍक्सेस पॉइंट्स जोडणे सोपे होते. require_message_authenticator = yes सेट केल्याने BlastRADIUS (CVE-2024-3596) बनावट हल्ले कमी होतात.

एक IT विभाग 2,000 कॉर्पोरेट Windows 11 लॅपटॉप्स Active Directory वरून Microsoft Entra ID आणि Intune वर स्थलांतरित करत आहे. ऑन-प्रिमाइसेस डोमेन कंट्रोलर्स न ठेवता पासवर्डशिवाय WiFi ऑथेंटिकेशनला सपोर्ट करण्यासाठी RADIUS इन्फ्रास्ट्रक्चर कसे अपडेट करावे?

  1. नेटिव्ह Microsoft Entra ID इंटिग्रेशनसह Cloud RADIUS डिप्लॉय करा. 2. मॅनेज्ड लॅपटॉप्सना क्लायंट सर्टिफिकेट्स स्वयंचलितपणे जारी करण्यासाठी Microsoft Intune SCEP किंवा PKCS सर्टिफिकेट प्रोफाइल्स कॉन्फिगर करा. 3. RadSec (TLS पोर्ट 2083) चा वापर करून Cloud RADIUS सर्व्हरकडे 802.1X ऑथेंटिकेशन निर्देशित करण्यासाठी वायरलेस कंट्रोलर कॉन्फिगर करा. 4. Intune WiFi कॉन्फिगरेशन प्रोफाइलमध्ये मुख्य ऑथेंटिकेशन पद्धत म्हणून EAP-TLS लागू करा.
परीक्षकाचे भाष्य: Microsoft Entra ID जुन्या PEAP-MSCHAPv2 साठी नेटिव्ह NTLM किंवा Kerberos एंडपॉइंट्स उघड करत नसल्यामुळे, Cloud RADIUS सह सर्टिफिकेट-आधारित EAP-TLS हा शिफारस केलेला एंटरप्राइझ मायग्रेशन मार्ग आहे.

सराव प्रश्न

Q1. वायरलेस 802.1X रोलआउट दरम्यान, क्लायंट डिव्हाइसेस यशस्वीरित्या कनेक्ट आणि ऑथेंटिकेट होतात, परंतु त्यांना नियुक्त केलेल्या कॉर्पोरेट VLAN ऐवजी डीफॉल्ट नेटिव्ह VLAN वर IP ऍड्रेस मिळतो. सर्व्हरने कोणते RADIUS ॲट्रिब्युट्स परत पाठवले पाहिजेत?

टीप: RFC 2868 आणि RFC 3580 टनेल ॲट्रिब्युट्सचे पुनरावलोकन करा.

नमुना उत्तर पहा

RADIUS सर्व्हरने Access-Accept रिस्पॉन्समध्ये तीन विशिष्ट ॲट्रिब्युट्स परत पाठवले पाहिजेत: 1. Tunnel-Type = 13 (VLAN), 2. Tunnel-Medium-Type = 6 (802), 3. Tunnel-Private-Group-ID = [VLAN_ID_or_Name]. तो VLAN वाहून नेण्यासाठी ऍक्सेस पॉइंटचा स्विच पोर्ट देखील ट्रंक पोर्ट म्हणून कॉन्फिगर केलेला असणे आवश्यक आहे.

Q2. क्लायंट डिव्हाइसेसवर RADIUS सर्व्हर रूट CA सर्टिफिकेट लागू न करता BYOD नेटवर्क्सवर PEAP-MSCHAPv2 डिप्लॉय करण्याचा सुरक्षा धोका काय आहे?

टीप: रोगू ऍक्सेस पॉइंट आणि इव्हिल ट्विन हल्ल्यांचा विचार करा.

नमुना उत्तर पहा

जर क्लायंट डिव्हाइसेसनी RADIUS सर्व्हर प्रमाणपत्राचे प्रमाणीकरण केले नाही, तर एखादा आक्रमणकर्ता समान SSID ब्रॉडकास्ट करणारा रोग (rogue) ॲक्सेस पॉइंट तैनात करू शकतो. जेव्हा क्लायंट कनेक्ट होतो, तेव्हा रोग सर्व्हर MS-CHAPv2 चॅलेंज-रिस्पॉन्स हँडशेक कॅप्चर करतो, ज्यामुळे आक्रमणकर्त्याला asleap सारख्या टूल्ससह ऑफलाइन पासवर्ड क्रॅक करण्याची परवानगी मिळते.

Q3. RadSec विरुद्ध मानकीकृत RADIUS वापरताना ऑन-प्रिमाइसेस वायरलेस ॲक्सेस पॉइंट आणि Cloud RADIUS सर्व्हरमध्ये कोणते फायरवॉल पोर्ट्स उघडे असणे आवश्यक आहे?

टीप: पारंपारिक UDP पोर्ट्सची तुलना आधुनिक TLS-एन्कॅप्स्युलेटेड RADIUS शी करा.

नमुना उत्तर पहा

मानकीकृत RADIUS साठी आउटबाउंड UDP पोर्ट 1812 (ऑथेंटिकेशन) आणि UDP पोर्ट 1813 (अकाउंटिंग) आवश्यक आहे. RadSec साठी TLS एन्क्रिप्शनसह आउटबाउंड TCP पोर्ट 2083 आवश्यक आहे, जे परस्पर प्रमाणपत्र प्रमाणीकरण प्रदान करते आणि सार्वजनिक इंटरनेटवर प्लेनटेक्स्ट UDP ट्रान्समिशनची आवश्यकता काढून टाकते.

या मालिकेमध्ये पुढे वाचा

iOS आणि macOS 802.1X ट्रबलशूटिंग: Intune, Jamf आणि Microsoft Entra ID साठी एक डिप्लोयमेंट चेकलिस्ट

iPhones, iPads आणि Macs वर Intune किंवा Jamf Pro च्या माध्यमातून 802.1X का अयशस्वी होत आहे याचे निदान करण्यासाठी ही चेकलिस्ट वापरा. प्रत्येक बिघाड चारपैकी एका कारणामुळे होतो: सर्व्हर ट्रस्ट, आयडेंटिटी सर्टिफिकेट, macOS मोड किंवा Microsoft Entra ID ग्रुप स्कोपिंग. तुम्ही eapolclient आणि RADIUS लॉग्समधून कारणाची खात्री कराल, त्यावर उपाय लागू कराल आणि भविष्यातील सर्टिफिकेट रोटेशनचे टप्पे ठरवाल.

मार्गदर्शिका वाचा →

Intune WiFi प्रोफाइल सर्व्हर ट्रस्ट: Entra ID साठी सर्टिफिकेट सर्व्हर नावे आणि रूट CA चेकलिस्ट

तुम्ही Intune WiFi प्रोफाईलचे सर्व्हर व्हॅलिडेशन कॉन्फिगर करू शकाल जेणेकरून EAP-TLS आणि PEAP हे Windows, Apple आणि Android वर कनेक्ट होतील. तुम्ही सर्टिफिकेट सर्व्हरच्या नावांना RADIUS सर्टिफिकेटशी जुळवून घ्याल, योग्य root CA डिप्लोय कराल, Microsoft Entra ID ग्रुप असाइनमेंट्स अलाइन कराल आणि सर्टिफिकेट रिन्यूअल्स कनेक्शन खंडित करण्यापूर्वी ते आधीच स्टेज करून ठेवाल.

मार्गदर्शिका वाचा →

Android 802.1X आणि EAP-TLS ट्रबलशूटिंग: Intune आणि Microsoft Entra ID साठी एक डिप्लॉयमेंट चेकलिस्ट

तुम्ही हे शोधून काढू शकाल की व्यवस्थापित Android फोन्स तुमच्या स्टाफ SSID वर EAP-TLS मध्ये का अपयशी ठरतात आणि ते Intune मध्ये दुरुस्त करू शकाल. प्रत्येक समस्येला चार सामान्य कारणांशी जुळवून घ्या - गहाळ CA किंवा डोमेन, चुकीच्या प्रोफाइलमधील क्लायंट प्रमाणपत्र, न जुळणारे RADIUS सर्व्हरचे नाव व्हॅल्यू, किंवा न पोहोचवलेले ट्रस्टेड रूट. त्यानंतर एक रोलआउट चेकलिस्ट लागू करा जी पुन्हा होणारे आउटेज थांबवते.

मार्गदर्शिका वाचा →

तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?

आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.