पाहुण्यांच्या WiFi साठी RADIUS प्रमाणीकरण कॉन्फिगर करण्यासाठी नेटवर्क ॲडमिनिस्ट्रेटरचे मार्गदर्शक

नेटवर्क ॲडमिनिस्ट्रेटरसाठी गेस्ट WiFi करिता RADIUS ऑथेंटिकेशन कॉन्फिगर करण्याचे मार्गदर्शक - पॉडकास्ट स्क्रिप्ट [प्रस्तावना - साधारण १ मिनिट] नमस्कार आणि आपले स्वागत आहे. गेस्ट WiFi साठी RADIUS ऑथेंटिकेशन कॉन्फिगर करण्याबद्दल - मूळ आर्किटेक्चरपासून ते तुमच्या टीमला कराव्या लागणाऱ्या प्रत्यक्ष कृतींपर्यंत आणि बहुतांश उपयोजनांना अडचणीत आणणाऱ्या त्रुटींपर्यंत, तुम्हाला आवश्यक असलेल्या सर्व गोष्टी मी तुम्हाला सविस्तर सांगणार आहे. हे कोणतेही व्याख्यान नाही. याला एका ज्येष्ठ सल्लागाराकडून घेतलेल्या माहितीच्या स्वरूपात पहा, ज्यांनी हॉटेल्स, रिटेल चेन्स, स्टेडियम्स आणि कॉन्फरन्स सेंटर्समधील आयटी मॅनेजर्ससोबत एकत्र बसून त्यांना हे योग्य प्रकारे सेट करण्यात मदत केली आहे. आम्ही तांत्रिक मूलभूत बाबी, प्रत्यक्ष अंमलबजावणीचे पॅटर्न्स आणि यामध्ये Purple चे क्लाउड-नेटिव्ह RADIUS प्लॅटफॉर्म नेमके कुठे बसेल, हे सर्व यामध्ये कव्हर करणार आहोत. चला, तर मग सुरुवात करूया. [तांत्रिक सखोल माहिती - साधारण ५ मिनिटे] तर, मुळात RADIUS म्हणजे काय? RADIUS म्हणजे Remote Authentication Dial-In User Service. हा एक नेटवर्किंग प्रोटोकॉल आहे - जो RFC 2865 मध्ये परिभाषित केला आहे - जो नेटवर्क ऍक्सेससाठी केंद्रीकृत ऑथेंटिकेशन, ऑथरायझेशन आणि अकाउंटिंग प्रदान करतो. सोप्या शब्दांत सांगायचे तर: ही अशी प्रणाली आहे जी एखाद्या व्हिजिटरचे डिव्हाइस तुमच्या नेटवर्कवर येण्यास परवानगी देईल की नाही, कोणत्या अटींवर आणि किती काळासाठी, हे ठरवते. त्यानंतर ती संपूर्ण सेशन लॉग करते. विशेषतः गेस्ट WiFi साठी, RADIUS तुमच्या ऍक्सेस पॉईंट्स आणि तुमच्या आयडेंटिटी लेअरच्या मध्ये कार्यरत असतो. जेव्हा एखादा व्हिजिटर तुमच्या SSID शी कनेक्ट होतो, तेव्हा त्यांचे डिव्हाइस ऍक्सेस पॉईंटला एक ऑथेंटिकेशन रिक्वेस्ट पाठवते, ऍक्सेस पॉईंट ती रिक्वेस्ट नेटवर्क ऍक्सेस सर्व्हरकडे - किंवा NAS कडे - फॉरवर्ड करतो, जो नंतर RADIUS सर्व्हरकडे चौकशी करतो. RADIUS सर्व्हर क्रेडेन्शियल्स प्रमाणित करतो, Access-Accept किंवा Access-Reject रिटर्न करतो आणि सेशन सुरू होते किंवा ब्लॉक केले जाते. त्यानंतर अकाउंटिंग पॅकेट्स सेशनचा कालावधी, वापरलेला डेटा आणि सेशन समाप्त होण्याचे कारण ट्रॅक करतात. या तीन मुख्य कार्यांना अनेकदा AAA म्हटले जाते: Authentication (ऑथेंटिकेशन), Authorisation (ऑथरायझेशन) आणि Accounting (अकाउंटिंग). ऑथेंटिकेशन ओळखीची पुष्टी करते. ऑथरायझेशन हे ठरवते की त्या ओळखीच्या आधारे कशामध्ये ऍक्सेस मिळू शकतो - जसे की बँडविड्थ मर्यादा, VLAN असाइनमेंट, सेशनचा कालावधी. अकाउंटिंग ऑडिट ट्रेल तयार करते. आता, गेस्ट WiFi साठी ऑथेंटिकेशन पद्धत अत्यंत महत्त्वाची आहे. कॉर्पोरेट वातावरणात तुम्ही सामान्यतः 802.1X सह EAP-TLS वापराल - जे सर्टिफिकेट-आधारित आणि अत्यंत सुरक्षित असते. पाहुण्यांसाठी, हे अव्यवहार्य आहे. पाहुण्यांच्या वैयक्तिक डिव्हाइसेसवर सर्टिफिकेट्स नसतात. त्यामुळे सामान्य पॅटर्न म्हणजे RADIUS सोबत जोडलेले Captive Portal. व्हिजिटर एका स्प्लॅश पेजवर येतो, त्याचे तपशील प्रविष्ट करतो किंवा सोशल लॉगिनद्वारे ऑथेंटिकेट करतो आणि Captive Portal त्यांच्या वतीने त्या क्रेडेन्शियल्सची RADIUS सर्व्हरसह देवाणघेवाण करतो. त्यानंतर RADIUS सर्व्हर ऍक्सेस देण्यासाठी ऍक्सेस पॉईंटला सिग्नल देतो. Purple नेमके याच आर्किटेक्चरवर कार्य करते. आमची क्लाउड-नेटिव्ह RADIUS सेवा ऑथेंटिकेशन एक्स्चेंज हाताळते, तर Captive Portal - जे तुम्ही Purple प्लॅटफॉर्मद्वारे ब्रँड आणि कॉन्फिगर करता - व्हिजिटर-फेसिंग अनुभव व्यवस्थापित करते. ऍक्सेस पॉईंटला फक्त RADIUS सर्व्हर ॲड्रेस, पोर्ट आणि शेअर केलेला सिक्रेट कोड माहित असणे आवश्यक आहे. Purple हे तिन्ही प्रदान करते.चला पोर्ट्स आणि प्रोटोकॉल्सबद्दल बोलूया. RADIUS ऑथेंटिकेशन ट्रॅफिक UDP पोर्ट 1812 वर चालते. RADIUS अकाउंटिंग UDP पोर्ट 1813 वर चालते. तुम्ही तुमच्या ॲक्सेस पॉईंट्सवर दोन्ही कॉन्फिगर कराल. शेअर्ड सिक्रेट ही तुमच्या ॲक्सेस पॉईंट आणि RADIUS सर्व्हरमधील प्री-शेअर्ड की आहे - याला पासवर्डसारखे समजा. लांब, यादृच्छिकपणे जनरेट केलेली स्ट्रिंग वापरा. ती कधीही इतर डिप्लॉयमेंट्समध्ये पुन्हा वापरू नका. हार्डवेअरच्या बाबतीत, Purple हे हार्डवेअर-अज्ञेयवादी (hardware-agnostic) आहे. आम्ही Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti, UniFi, Cambium, Extreme Networks, आणि Fortinet सह इतरांसोबत काम करतो. कॉन्फिगरेशनच्या पायऱ्या विक्रेत्यानुसार बदलतात, परंतु मूळ RADIUS पॅरामीटर्स समान असतात: सर्व्हर IP किंवा होस्टनाव, ऑथेंटिकेशन पोर्ट 1812, अकाउंटिंग पोर्ट 1813, शेअर्ड सिक्रेट आणि अकाउंटिंग इंटरव्हल. उदाहरणार्थ, Avaya ॲक्सेस पॉईंट्ससाठी, तुम्ही External RADIUS विभागांतर्गत RADIUS ॲट्रिब्यूट्स कॉन्फिगर करता, Called-Station-Id फॉरमॅट UC-हायफनेटेड MAC फॉरमॅटवर सेट करता, अकाउंटिंग सक्षम करता आणि नंतर Purple च्या Captive Portal URLs कडे निर्देशित करणाऱ्या वेब पेज रिडायरेक्शनसह SSID कॉन्फिगर करता. Purple चे सपोर्ट डॉक्युमेंटेशन मार्गदर्शिकामधील लिंकवर Avaya साठीच्या अचूक पायऱ्या कव्हर करते. Pepwave MAX सिरीज डिव्हाइसेससाठी, तुम्ही एकतर InControl2 - त्यांचे क्लाउड मॅनेजमेंट प्लॅटफॉर्म - द्वारे किंवा थेट स्थानिक वेब इंटरफेसद्वारे कॉन्फिगर करू शकता. कोणत्याही प्रकारे, तुम्ही एक एक्सटर्नल Captive Portal सेट करत आहात, ऑथेंटिकेशन आणि अकाउंटिंग Purple च्या RADIUS सर्व्हरकडे निर्देशित करत आहात आणि ओपन सेक्युरिटी आणि सोबत जोडलेल्या Captive Portal सह SSID कॉन्फिगर करत आहात. पुन्हा सांगायचे तर, अचूक पायऱ्या Purple च्या सपोर्ट डॉक्समध्ये आहेत. एक आर्किटेक्चरल निर्णय हायलाइट करण्यासारखा आहे: प्रायमरी आणि सेकंडरी RADIUS सर्व्हर. नेहमी दोन्ही कॉन्फिगर करा. रिडंडन्सीसाठी Purple दोन RADIUS सर्व्हर पत्ते प्रदान करते. प्रायमरी सर्व्हर उपलब्ध नसल्यास, ॲक्सेस पॉईंट स्वयंचलितपणे सेकंडरी सर्व्हरकडे वळतो. सेकंडरी सर्व्हरशिवाय, RADIUS सर्व्हरमधील थोड्याशा समस्येमुळे तुमचे पाहुणे कनेक्ट होऊ शकणार नाहीत. 300 खोल्यांचे हॉटेल किंवा 40,000 चाहत्यांचे स्टेडियम यामध्ये ही एक गंभीर समस्या ठरू शकते. VLAN सेगमेंटेशन हा दुसरा महत्त्वाचा भाग आहे. तुमचा पाहुण्यांचा WiFi ट्रॅफिक कधीही तुमच्या कॉर्पोरेट किंवा ऑपरेशनल नेटवर्कला स्पर्श करू नये. पाहुण्यांच्या सेशन्सना समर्पित VLAN वर नियुक्त करा, तो VLAN वेगळ्या इंटरनेट अपलिंकवर किंवा किमान कडक एक्ग्रेस नियमांसह फायरवॉलद्वारे रूट करा. तुम्ही त्याच फिजिकल इन्फ्रास्ट्रक्चरवर कुठेही कार्ड पेमेंट प्रोसेस करत असल्यास ही PCI-DSS आवश्यकता आहे, आणि काहीही असले तरी ही एक चांगली पद्धत आहे. [अमलबजावणीच्या शिफारसी आणि धोके - अंदाजे 2 मिनिटे] मला तुम्हाला सामान्यतः चुकीच्या ठरणाऱ्या तीन गोष्टी सांगू द्या. पहिली: शेअर्ड सिक्रेट न जुळणे. ॲक्सेस पॉईंटवरील शेअर्ड सिक्रेट हे RADIUS सर्व्हरमध्ये नोंदणीकृत असलेल्या सिक्रेटशी तंतोतंत जुळले पाहिजे. केस-सेन्सिटिव्ह, अक्षरा-अक्षर. एकही चुकीचे अक्षर कोणत्याही उपयुक्त त्रुटी संदेशाशिवाय Access-Reject चे कारण बनते. नेहमी मॅन्युअली टाईप करण्याऐवजी तुमच्या Purple डॅशबोर्डवरून कॉपी-पेस्ट करा. दुसरे: whitelist मधील त्रुटी. अभ्यागताचे प्रमाणीकरण (authentication) होण्यापूर्वी, त्याचे डिव्हाइस Captive Portal पर्यंत पोहोचणे आवश्यक आहे. याचा अर्थ ऍक्सेस पॉईंटवर विशिष्ट डोमेन्स whitelist करणे आवश्यक आहे - जसे की Purple चे पोर्टल URLs, प्रमाणीकरण एंडपॉइंट्स, आणि तुम्ही वापरत असलेले कोणतेही सोशल लॉगिन प्रदाते. whitelist अपूर्ण असल्यास, अभ्यागतांना कोरे पेज किंवा टाइमआउट दिसेल. Purple त्यांच्या सपोर्ट डॉक्युमेंटेशनमध्ये आवश्यक डोमेन्सची अद्ययावत यादी ठेवते - अंदाज न लावता त्याच यादीचा वापर करा. तिसरे: accounting interval. हे ऍक्सेस पॉईंटने RADIUS सर्व्हरला अंतरिम (interim) अकाऊंटिंग अपडेट्स किती वारंवार पाठवावेत हे नियंत्रित करते. हे खूप मोठे ठेवल्यास तुम्ही सेशनची अचूकता गमावून बसाल. खूप कमी ठेवल्यास अनावश्यक ट्रॅफिक तयार होईल. बर्‍याच उपयोजनांसाठी, २४० ते ३०० सेकंदांची श्रेणी योग्य आहे. Avaya चे शिफारस केलेले अंतर ३०० सेकंद आहे; Pepwave चे १८० ते २४० सेकंद आहे. संबंधित व्हेंडरच्या मार्गदर्शक तत्त्वांचे पालन करा. अनुपालनाच्या (compliance) बाजूने: GDPR नुसार अभ्यागतांचा डेटा गोळा करण्यासाठी तुमच्याकडे कायदेशीर आधार असणे आवश्यक आहे. स्पष्ट संमती चेकबॉक्सेससह सुयोग्यरित्या कॉन्फिगर केलेले Captive Portal हे पूर्ण करते. Purple चे प्लॅटफॉर्म GDPR चे अनुपालन करते आणि ISO 27001 प्रमाणित आहे. Purple द्वारे होणारे प्रत्येक लॉगिन ही जाणीवपूर्वक केलेली निवड (conscious-choice opt-in) असते - कनेक्ट करण्यापूर्वी अभ्यागत तुमच्या अटींशी सक्रियपणे सहमत होतो. तो ऑडिट ट्रेल हाच तुमच्या अनुपालनाचा पुरावा आहे. [रॅपिड-फायर प्रश्नोत्तरे - साधारण १ मिनिट] मला वारंवार विचारले जाणारे काही जलद प्रश्न. "मला माझे विद्यमान हार्डवेअर बदलण्याची गरज आहे का?" नाही. Purple तुमच्या विद्यमान पायाभूत सुविधांवर (infrastructure) कार्य करते. कोणतीही तोडफोड किंवा बदल करण्याची आवश्यकता नाही. "मी त्याच प्लॅटफॉर्मवर कर्मचाऱ्यांच्या WiFi साठी RADIUS वापरू शकतो का?" होय. Purple अतिथी आणि कर्मचाऱ्यांसाठी वेगवेगळ्या SSIDs ला सपोर्ट करते, ज्यामध्ये प्रत्येकासाठी वेगवेगळी प्रमाणीकरण धोरणे असतात. "माझ्या संस्थेच्या एकाधिक जागा (sites) असल्यास काय करावे?" Purple एकाच स्क्रीनवरून मल्टी-साइट उपयोजन व्यवस्थापित करते. तुम्ही एकदा कॉन्फिगर करता आणि सर्व साइट्सवर त्याची प्रतिकृती (replicate) तयार करता. "क्लाउड RADIUS हा ऑन-प्रिमाइसेसपेक्षा कमी सुरक्षित आहे का?" नाही. Purple चा क्लाउड RADIUS ९९.९९९% अपटाइम, ISO 27001 प्रमाणन आणि एंड-टू-एंड एन्क्रिप्शनसह कार्य करतो. स्वतः व्यवस्थापित केलेल्या सर्व्हरच्या तुलनेत सुरक्षिततेचा धोका कमी असतो कारण पॅचिंग आणि सुरक्षेचे उपाय मध्यवर्ती पद्धतीने हाताळले जातात. "संपूर्ण उपयोजनासाठी किती वेळ लागतो?" सपोर्टेड हार्डवेअर असलेल्या एका जागेसाठी, नेटवर्क ॲडमिनिस्ट्रेटर दोन तासांपेक्षा कमी वेळात RADIUS कॉन्फिगरेशन पूर्ण करू शकतो. मदतीसाठी Purple ची ऑनबोर्डिंग टीम उपलब्ध आहे. [गोषवारा आणि पुढील पावले - साधारण १ मिनिट] थोडक्यात सांगायचे तर, अतिथी WiFi साठी RADIUS प्रमाणीकरण तुम्हाला केंद्रीकृत प्रवेश नियंत्रण (centralised access control), संपूर्ण अकाऊंटिंग ट्रेल आणि GDPR आणि PCI-DSS साठी आवश्यक असलेला अनुपालनाचा पाया प्रदान करते. याची आर्किटेक्चर सोपी आहे: ऍक्सेस पॉईंट ते NAS ते RADIUS सर्व्हर ते Purple चे क्लाउड प्लॅटफॉर्म. व्यवस्थित जुळवून घ्यायच्या तीन गोष्टी म्हणजे: shared secret, domain whitelist आणि accounting interval. Purple जगभरातील ८०,००० हून अधिक ठिकाणी क्लाउड-नेटिव्ह RADIUS चालवते, ज्याद्वारे २०२४ मध्ये ४४ कोटी लॉगिन हाताळले गेले आहेत. हे प्लॅटफॉर्म कोणत्याही हार्डवेअरवर चालणारे (hardware-agnostic), ISO 27001 प्रमाणित आणि GDPR चे अनुपालन करणारे आहे. तुमची पुढील पावले: तुमचे हार्डवेअर Purple च्या सपोर्टेड लिस्टमध्ये आहे का ते तपासा, तुमच्या Purple डॅशबोर्डवरून RADIUS सर्व्हर क्रेडेन्शियल्स मिळवा, आणि Purple च्या सपोर्ट सेंटरमधील व्हेंडर-विशिष्ट कॉन्फिगरेशन मार्गदर्शिकेचे अनुसरण करा. तुम्हाला मदतीची आवश्यकता असल्यास, Purple ची टेक्निकल टीम तुम्हाला यामध्ये मार्गदर्शन करू शकते. ऐकल्याबद्दल धन्यवाद. डायग्राम्स, सोडवलेली उदाहरणे आणि कॉन्फिगरेशन संदर्भांसह संपूर्ण लिखित मार्गदर्शिका खाली लिंक केली आहे.