Cloud RADIUS सह 802.1X प्रमाणीकरण (Authentication) कसे लागू करावे

Cloud RADIUS सह 802.1X प्रमाणीकरण कसे लागू करावे एक Purple WiFi इंटेलिजन्स ब्रीफिंग --- परिचय आणि संदर्भ (अंदाजे १ मिनिट) --- Purple WiFi इंटेलिजन्स ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे, आणि आज आपण Cloud RADIUS सह 802.1X प्रमाणीकरणाच्या तपशीलात जात आहोत — हे काय आहे, सध्या हे का महत्त्वाचे आहे आणि मल्टि-साइट इस्टेटमध्ये प्रत्यक्षात ते कसे तैनात करावे. तुम्ही हॉटेल ग्रुप, रिटेल चेन, स्टेडियम किंवा सार्वजनिक क्षेत्रातील संस्थेसाठी WiFi इन्फ्रास्ट्रक्चर व्यवस्थापित करत असल्यास, हा असा एक विषय आहे जो वारंवार समोर येतो — आणि त्यामागे योग्य कारण आहे. धोक्यांचे स्वरूप बदलले आहे. सामायिक केलेले PSK नेटवर्क आता केवळ सुरक्षेची गैरसोय नसून, अनुपालन दायित्व (compliance liability) म्हणून पाहिले जात आहेत. रेग्युलेटर्स, ऑडिटर्स आणि सायबर विमा कंपन्या नेटवर्क ॲक्सेस कंट्रोलबद्दल अधिक कठीण प्रश्न विचारत आहेत. आणि चांगली बातमी अशी आहे की क्लाउड-डिलिव्हर केलेल्या RADIUS मुळे 802.1X मोठ्या प्रमाणावर तैनात करणे खरोखर शक्य झाले आहे, तेही ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चरच्या अतिरिक्त खर्चाशिवाय जे पूर्वी वितरित इस्टेटसाठी अव्यवहार्य असायचे. चला तर मग, याविषयी सविस्तर जाणून घेऊया. --- तांत्रिक सखोल माहिती (अंदाजे ५ मिनिटे) --- प्रथम, आपण सर्वजण एकाच व्याख्येवर काम करत आहोत याची खात्री करूया. IEEE 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल मानक आहे. हे एक प्रमाणीकरण फ्रेमवर्क परिभाषित करते जे OSI मॉडेलच्या लेअर २ वर कार्य करते — त्यामुळे डिव्हाइसला कोणतीही IP कनेक्टिव्हिटी मिळण्यापूर्वीच हे कार्य करते. ॲप्लिकेशन-लेअर प्रमाणीकरणापेक्षा हाच मुख्य फरक आहे. 802.1X सह, जोपर्यंत डिव्हाइसचे यशस्वीरित्या प्रमाणीकरण होत नाही तोपर्यंत ते नेटवर्कवर येऊ शकत नाही. या प्रोटोकॉलचे तीन घटक आहेत. सप्लिकंट (supplicant) — हे एंड डिव्हाइस आहे, मग ते लॅपटॉप असो, स्मार्टफोन असो किंवा पॉइंट-ऑफ-सेल टर्मिनल असो. ऑथेंटिकेटर (authenticator) — सामान्यतः तुमचा WiFi ॲक्सेस पॉइंट किंवा तुमचा व्यवस्थापित स्विच. आणि ऑथेंटिकेशन सर्व्हर — जो आधुनिक उपयोजनांमध्ये तुमची क्लाउड RADIUS सेवा आहे. हा प्रवाह याप्रमाणे काम करतो. एखादे डिव्हाइस ॲक्सेस पॉइंटशी जोडण्याचा प्रयत्न करते. ॲक्सेस पॉइंट लगेचच पूर्ण नेटवर्क ॲक्सेस देत नाही. त्याऐवजी, ते एक नियंत्रित पोर्ट उघडते आणि डिव्हाइससह EAP एक्सचेंज — म्हणजेच एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल — सुरू करते. डिव्हाइस त्याचे क्रेडेंशियल्स सादर करते, जे युझरनेम आणि पासवर्ड, डिजिटल प्रमाणपत्र किंवा SIM-आधारित ओळख असू शकते. ॲक्सेस पॉइंट UDP वर RADIUS प्रोटोकॉल वापरून तो एक्सचेंज RADIUS सर्व्हरकडे रिले करतो, सामान्यतः प्रमाणीकरणासाठी पोर्ट १८१२ आणि अकाउंटिंगसाठी १८१३ वर. RADIUS सर्व्हर आयडेंटिटी स्टोअर — Active Directory, Azure AD, किंवा LDAP डिरेक्टरी — विरुद्ध क्रेडेंशियल्स प्रमाणित करतो आणि एकतर Access-Accept किंवा Access-Reject संदेश परत पाठवतो. स्वीकारल्यास, ॲक्सेस पॉइंट पोर्ट उघडतो आणि डिव्हाइसला नेटवर्क ॲक्सेस मिळतो. नाकारल्यास, ते ब्लॉक राहते. तत्त्वतः सोपे आहे, परंतु अंमलबजावणीचे तपशील अत्यंत महत्त्वाचे आहेत. आता, EAP पद्धतीची निवड ही अशी जागा आहे जिथे बरीच उपयोजने चुकतात. सामान्य वापरात अनेक EAP पद्धती आहेत आणि त्यांचे सुरक्षा प्रोफाइल आणि ऑपरेशनल आवश्यकता अतिशय भिन्न आहेत. EAP-TLS हा सुवर्ण मानक (gold standard) आहे. यासाठी परस्पर प्रमाणपत्र प्रमाणीकरण (mutual certificate authentication) आवश्यक असते — सर्व्हर आणि क्लायंट दोन्ही प्रमाणपत्र सादर करतात. यामुळे क्रेडेंशियल चोरीचा धोका पूर्णपणे नाहीसा होतो, कारण येथे चोरण्यासाठी कोणतेही पासवर्ड नसतात. परंतु यासाठी PKI इन्फ्रास्ट्रक्चर आणि डिव्हाइसेसवर क्लायंट प्रमाणपत्रे पाठवण्यासाठी एका यंत्रणेची आवश्यकता असते, ज्याचा सामान्यतः अर्थ MDM सोल्यूशन असा होतो. कॉर्पोरेट BYOD वातावरण आणि उच्च-सुरक्षा उपयोजनांसाठी (deployments), हे योग्य उत्तर आहे. MSCHAPv2 सह PEAP ही एंटरप्राइझ वातावरणात सर्वाधिक वापरली जाणारी पद्धत आहे. यासाठी फक्त सर्व्हर-साइड प्रमाणपत्र आवश्यक असते आणि ते TLS च्या आत क्रेडेंशियल एक्सचेंज टनेल करते. हे मूळतः Active Directory शी सुसंगत आहे, ज्यामुळे ते ऑपरेशनल दृष्ट्या सोपे बनते. धोका असा आहे की जर वापरकर्ते स्व-स्वाक्षरी केलेल्या (self-signed) प्रमाणपत्रासह एखाद्या फसव्या ॲक्सेस पॉईंटशी कनेक्ट झाले, तर क्रेडेंशियल हार्वेस्टिंगचा धोका असतो — त्यामुळे क्लायंटच्या बाजूने प्रमाणपत्र प्रमाणीकरण करणे बंधनकारक आहे. EAP-TTLS हे PEAP सारखेच आहे परंतु अंतर्गत प्रमाणीकरण पद्धतीमध्ये अधिक लवचिक आहे. हे विशेषतः मिश्र-डिव्हाइस वातावरणात उपयुक्त आहे जिथे तुमच्याकडे विविध सप्लिकंट क्षमता असलेले Windows, macOS, iOS आणि Android डिव्हाइसेसचे संयोजन असते. लेगसी डिव्हाइस सपोर्टसाठी — जसे की जुने पॉईंट-ऑफ-सेल हार्डवेअर किंवा IoT सेन्सर्स — EAP-FAST हा एक व्यावहारिक पर्याय असू शकतो, कारण यासाठी प्रमाणपत्रांची आवश्यकता नसते आणि त्याऐवजी प्रोटेक्टेड ॲक्सेस क्रेडेंशियल (Protected Access Credential) वापरले जाते. आता, क्लाउड RADIUS चा भाग. पारंपारिकपणे, RADIUS ही ऑन-प्रिमाइसेस सेवा होती — Linux सर्व्हरवर FreeRADIUS, किंवा Windows Server वर Microsoft NPS. ते मॉडेल कार्य करते, परंतु त्याचे वास्तविक ऑपरेशनल खर्च आहेत: हार्डवेअर देखभाल, उच्च उपलब्धता कॉन्फिगरेशन, पॅचिंग आणि कमी-विलंबता (low-latency) प्रमाणीकरण आवश्यक असलेल्या प्रत्येक साइटवर स्थानिक इन्फ्रास्ट्रक्चरची आवश्यकता. क्लाउड RADIUS हे गणित लक्षणीयरीत्या बदलते. क्लाउड RADIUS सेवा प्रदात्याद्वारे होस्ट आणि व्यवस्थापित केली जाते. तुमचे ॲक्सेस पॉईंट्स इंटरनेटद्वारे क्लाउड सेवेकडे RADIUS विनंत्या पाठवतात, जी तुमच्या आयडेंटिटी प्रदात्याच्या विरोधात प्रमाणीकरण हाताळते. लेटन्सीची (विलंबता) चिंता खरी आहे परंतु व्यवस्थापित करण्यायोग्य आहे — आधुनिक क्लाउड RADIUS सेवा जागतिक स्तरावर वितरित केल्या जातात आणि प्रमाणीकरण फेऱ्या सहसा १०० मिलीसेकंदांपेक्षा कमी वेळेत पूर्ण होतात, जे अंतिम वापरकर्त्यांना जाणवत नाही. आयडेंटिटी प्रदात्यांसोबतचे एकत्रीकरण (integration) हा महत्त्वपूर्ण घटक आहे. बहुतेक क्लाउड RADIUS प्लॅटफॉर्म LDAP, LDAPS, SAML 2.0 आणि थेट Azure AD किंवा Okta एकत्रीकरणाला समर्थन देतात. आधीच Microsoft 365 चालवणाऱ्या संस्थांसाठी, Azure AD एकत्रीकरण हा नैसर्गिक मार्ग आहे — तुम्हाला सिंगल साइन-ऑन, कंडिशनल ॲक्सेस पॉलिसी आणि MFA अंमलबजावणी हे सर्व तुमच्या नेटवर्क ॲक्सेस कंट्रोल लेयरमध्ये समाविष्ट मिळते. कर्मचाऱ्यांच्या नेटवर्कसह गेस्ट WiFi तैनात करणाऱ्या ठिकाणांसाठी, आर्किटेक्चर सामान्यतः यांना वेगवेगळ्या प्रमाणीकरण (authentication) धोरणांसह स्वतंत्र SSIDs मध्ये विभाजित करते. कर्मचाऱ्यांचे नेटवर्क कॉर्पोरेट क्रेडेंशियल्ससह 802.1X वापरतात. गेस्ट नेटवर्क्स Captive Portal किंवा सोशल लॉगिन फ्लो वापरतात. Purple चे प्लॅटफॉर्म या दोन्ही मॉडेल्सना सपोर्ट करते, आणि WiFi ॲनालिटिक्स लेयर या दोन्हीवर काम करतो, ज्यामुळे तुम्हाला सुरक्षा विभाजनाशी तडजोड न करता डिव्हाइसचे वर्तन, ड्वेल टाइम (dwell time) आणि नेटवर्क वापराची स्पष्ट माहिती मिळते. --- अंमलबजावणीच्या शिफारसी आणि संभाव्य अडचणी (अंदाजे २ मिनिटे) --- मी तुम्हाला प्रत्यक्ष उपयोजन (deployment) क्रम सांगतो आणि मला वारंवार दिसणाऱ्या त्रुटींबद्दल सावध करतो. तुमच्या आयडेंटिटी प्रोव्हाइडर इंटिग्रेशनपासून सुरुवात करा. एकाही ॲक्सेस पॉईंटला स्पर्श करण्यापूर्वी, तुमची क्लाउड RADIUS सेवा तुमच्या डिरेक्टरीविरुद्ध प्रमाणीकरण करू शकते याची खात्री करा. सर्व्हिस अकाउंटसह चाचणी करा, LDAP बाईंड सत्यापित करा आणि ग्रुप मेंबरशिप ॲट्रिब्युट्स योग्यरित्या परत येत असल्याची खात्री करा — कारण VLAN असाइनमेंट पॉलिसींसाठी तुम्हाला त्यांची आवश्यकता असेल. दुसरे, तुमच्या सर्टिफिकेट स्ट्रॅटेजीचे नियोजन करा. तुम्ही EAP-TLS वापरणार असाल, तर तुम्हाला CA ची आवश्यकता आहे, तुम्ही पब्लिक CA वापरत आहात की अंतर्गत CA हे ठरवणे आवश्यक आहे, आणि क्लायंट सर्टिफिकेट्ससाठी तुम्हाला MDM रोलआउट प्लॅनची गरज आहे. तुम्ही PEAP वापरणार असाल, तर तुम्हाला विश्वासू CA कडून सर्व्हर सर्टिफिकेट हवे आहे — सेल्फ-साइन केलेले नाही — आणि तुम्हाला CA सर्टिफिकेट सर्व क्लायंट डिव्हाइसेसवर पुश करावे लागेल जेणेकरून सर्टिफिकेट व्हॅलिडेशन योग्यरित्या कार्य करेल. हीच ती पायरी आहे जी अनेकदा वगळली जाते आणि ज्यामुळे सुरक्षा धोके निर्माण होतात. तिसरे, तुमचे RADIUS क्लायंट्स — म्हणजेच तुमचे ॲक्सेस पॉईंट्स आणि कंट्रोलर्स — योग्य शेअर्ड सिक्रेट आणि सर्व्हर IP किंवा होस्टनेमसह कॉन्फिगर करा. एक मजबूत, यादृच्छिकपणे जनरेट केलेले (randomly generated) शेअर्ड सिक्रेट वापरा, कोणताही डिक्शनरी शब्द वापरू नका. आणि जर तुमचा क्लाउड RADIUS प्रोव्हाइडर TLS वरील RADIUS ला — म्हणजेच RadSec ला — सपोर्ट करत असेल, तर त्याचा वापर करा. हे ट्रान्झिटमधील RADIUS ट्रॅफिक एन्क्रिप्ट करते, जे विशेषतः तेव्हा महत्त्वाचे असते जेव्हा ते ट्रॅफिक सार्वजनिक इंटरनेटवरून जात असते. चौथे, पूर्ण रोलआउट करण्यापूर्वी पायलट ग्रुपसह चाचणी करा. मोठ्या प्रमाणावर प्रमाणीकरण अयशस्वी झाल्यास व्यत्यय येतो आणि दबावाखाली त्याचे निदान करणे कठीण होते. दहा ते वीस डिव्हाइसेससह पायलट रन करा, ऑथेंटिकेशन लॉग्स सत्यापित करा, VLAN असाइनमेंट कार्य करत असल्याची खात्री करा आणि अकाउंटिंग रेकॉर्ड्स योग्यरित्या लिहिले जात आहेत की नाही ते तपासा. मला वारंवार दिसणाऱ्या त्रुटी: क्लायंटवर सर्टिफिकेट व्हॅलिडेशन अक्षम (disabled) असणे, ज्यामुळे मॅन-इन-द-मिडल (man-in-the-middle) सुरक्षेचा धोका निर्माण होतो. शेअर्ड सिक्रेट्स खूप लहान असणे किंवा वेगवेगळ्या साईट्सवर तेच पुन्हा वापरणे. RADIUS सर्व्हर IP अलाउलिस्टिंग कॉन्फिगर न करणे, ज्यामुळे नवीन साईट्सवरील प्रमाणीकरण विनंत्या कोणत्याही सूचनेशिवाय नाकारल्या जातात. आणि सर्टिफिकेट्सची मुदत संपल्यावर MDM प्रोफाइल्स अपडेट न करणे, ज्यामुळे नूतनीकरणाच्या दिवशी मोठ्या प्रमाणावर प्रमाणीकरण अयशस्वी होते. --- जलद प्रश्नोत्तरे (अंदाजे १ मिनिट) --- मला नियमितपणे विचारले जाणारे काही प्रश्न. मी अशा नेटवर्कवर 802.1X चालवू शकतो का ज्यामध्ये EAP ला सपोर्ट न करणारे IoT डिव्हाइसेस देखील आहेत? होय — जे डिव्हाइसेस सप्लिकंट चालवू शकत नाहीत त्यांच्यासाठी फॉलबॅक म्हणून MAC Authentication Bypass वापरा, परंतु त्या डिव्हाइसेसना कडक फायरवॉल नियमांसह मर्यादित VLAN वर ठेवा. 802.1X हे WPA2 किंवा WPA3 एन्क्रिप्शनची जागा घेते का? नाही — 802.1X ऑथेंटिकेशन हाताळते. WPA2-Enterprise किंवा WPA3-Enterprise एन्क्रिप्शन हाताळते. तुम्हाला दोन्हीची गरज आहे. नवीन डिप्लॉयमेंटसाठी 802.1X सह WPA3-Enterprise ही सध्याची सर्वोत्तम पद्धत आहे. ऑथेंटिकेशनवर लेटन्सीचा काय परिणाम होतो? चांगल्या प्रकारे कॉन्फिगर केलेल्या क्लाउड RADIUS सेवेसह, प्रति ऑथेंटिकेशन ५० ते १५० मिलिसेकंद अपेक्षित आहेत. रोमिंगच्या परिस्थितीसाठी, 802.11r फास्ट BSS ट्रान्झिशन री-ऑथेंटिकेशनचा ओव्हरहेड लक्षणीयरीत्या कमी करू शकते. हे PCI DSS सुसंगत आहे का? योग्यरित्या विभागलेल्या नेटवर्कवर EAP-TLS किंवा PEAP सह 802.1X नेटवर्क ॲक्सेस कंट्रोलसाठी PCI DSS आवश्यकता १ आणि आवश्यकता ८ पूर्ण करते. तुमच्या QSA ला सुरुवातीलाच यामध्ये सामील करून घ्या. --- सारांश आणि पुढील पायऱ्या (अंदाजे १ मिनिट) --- थोडक्यात सांगायचे तर: ज्या संस्थेला ऑडिटर्सना नेटवर्क ॲक्सेस कंट्रोल दाखवणे, क्रेडेंशियल तडजोडीचा प्रभाव कमी करणे किंवा वितरित मालमत्तेवर मध्यवर्ती ऑथेंटिकेशन व्यवस्थापित करणे आवश्यक आहे अशा कोणत्याही संस्थेसाठी क्लाउड RADIUS सह 802.1X हे योग्य उत्तर आहे. हे डिप्लॉयमेंट सोपे नाही, परंतु योग्य तयारीसह ते पूर्णपणे व्यवस्थापित करण्यायोग्य आहे. आधी तुमचे आयडेंटिटी प्रोव्हाइडर इंटिग्रेशन योग्य करा. तुमच्या डिव्हाइसची स्थिती आणि सर्टिफिकेट्स व्यवस्थापित करण्याच्या तुमच्या ऑपरेशनल क्षमतेच्या आधारे तुमची EAP पद्धत निवडा. तुमच्या इन्फ्रास्ट्रक्चरने सपोर्ट केल्यास RadSec वापरा. आणि मोठ्या प्रमाणावर रोल आउट करण्यापूर्वी चाचणी करा. तुम्ही मिश्रित अतिथी आणि कर्मचारी नेटवर्क चालवत असल्यास — जे बहुतेक आदरातिथ्य (hospitality) आणि किरकोळ (retail) विक्रेते करतात — Purple सारखे प्लॅटफॉर्म तुम्हाला संपूर्ण मालमत्तेवर ॲनालिटिक्स लेयरसह, एकाच स्क्रीनवरून दोन्ही ऑथेंटिकेशन मॉडेल्स व्यवस्थापित करण्याची क्षमता देतात. तुमच्या पुढील पायऱ्यांसाठी: तुमच्या सध्याच्या नेटवर्क ॲक्सेस कंट्रोल स्थितीचे ऑडिट करा, कोणते साइट्स अजूनही सामायिक PSK चालवत आहेत ते ओळखा आणि टप्प्याटप्प्याने मायग्रेशन प्लॅन तयार करा. तुमच्या सर्वाधिक जोखमीच्या साइट्सपासून सुरुवात करा — ज्या PCI DSS च्या कक्षेत आहेत किंवा ज्या संवेदनशील डेटा हाताळतात — आणि बाहेरच्या दिशेने काम करा. ऐकल्याबद्दल धन्यवाद. अधिक तांत्रिक माहिती purple.ai वर उपलब्ध आहे.