Cloud RADIUS सह 802.1X प्रमाणीकरण कसे लागू करावे

Cloud RADIUS सह 802.1X प्रमाणीकरण कसे लागू करावे एक Purple WiFi इंटेलिजन्स ब्रीफिंग --- परिचय आणि संदर्भ (अंदाजे १ मिनिट) --- Purple WiFi इंटेलिजन्स ब्रीफिंगमध्ये आपले स्वागत आहे. मी तुमचा होस्ट आहे आणि आज आपण Cloud RADIUS सह 802.1X प्रमाणीकरणाच्या सविस्तर तपशीलांमध्ये जाणार आहोत - हे काय आहे, हे सध्या का महत्त्वाचे आहे आणि प्रत्यक्षात मल्टि-साइट इस्टेटवर हे कसे उपयोजित करावे. तुम्ही जर हॉटेल ग्रुप, रिटेल चेन, स्टेडियम किंवा सार्वजनिक क्षेत्रातील संस्थेसाठी WiFi इन्फ्रास्ट्रक्चर व्यवस्थापित करत असाल, तर हा एक असा विषय आहे जो वारंवार समोर येत असतो - आणि त्यामागे योग्य कारणही आहे. धोक्यांचे स्वरूप बदलले आहे. सामायिक केलेले PSK नेटवर्क्स आता केवळ सुरक्षेची गैरसोय नसून, अनुपालन दायित्व (compliance liability) म्हणून पाहिले जात आहेत. रेग्युलेटर, ऑडिटर्स आणि सायबर विमा कंपन्या सर्वच नेटवर्क अ‍ॅक्सेस कंट्रोलबद्दल कठीण प्रश्न विचारत आहेत. आणि चांगली बातमी अशी आहे की क्लाउड-द्वारे वितरीत केलेल्या RADIUS मुळे ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चरच्या अतिरिक्त खर्चाशिवाय, 802.1X ला मोठ्या प्रमाणावर खरोखर उपयोजित करणे शक्य झाले आहे, जे पूर्वी वितरित इस्टेट्ससाठी अव्यवहार्य वाटायचे. चला तर मग, याच्या खोलात जाऊया. --- तांत्रिक सखोल विश्लेषण (अंदाजे ५ मिनिटे) --- प्रथम, आपण सर्व एकाच व्याख्येवर काम करत आहोत याची खात्री करूया. IEEE 802.1X हा पोर्ट-आधारित नेटवर्क अ‍ॅक्सेस कंट्रोल स्टँडर्ड आहे. हे OSI मॉडेलच्या लेअर २ वर कार्य करणारे प्रमाणीकरण फ्रेमवर्क परिभाषित करते - त्यामुळे कोणत्याही उपकरणाला IP कनेक्टिव्हिटी मिळण्यापूर्वीच हे कार्य करते. अ‍ॅप्लिकेशन-लेअर प्रमाणीकरणापेक्षा हाच मुख्य फरक आहे. 802.1X सह, जोपर्यंत उपकरणाचे सकारात्मक प्रमाणीकरण होत नाही तोपर्यंत ते नेटवर्कवर येऊ शकत नाही. या प्रोटोकॉलचे तीन घटक आहेत. सप्लिकंट (supplicant) - म्हणजेच एंड डिव्हाइस, मग ते लॅपटॉप असो, स्मार्टफोन असो किंवा पॉईंट-ऑफ-सेल टर्मिनल असो. ऑथेंटिकेटर (authenticator) - सामान्यतः तुमचा WiFi अ‍ॅक्सेस पॉईंट किंवा तुमचा व्यवस्थापित स्विच. आणि ऑथेंटिकेशन सर्व्हर - जो आधुनिक डिप्लॉयमेंट्समध्ये तुमचा क्लाउड RADIUS सर्व्हिस असतो. हा फ्लो याप्रमाणे कार्य करतो. एखादे उपकरण अ‍ॅक्सेस पॉईंटशी जोडण्याचा प्रयत्न करते. अ‍ॅक्सेस पॉईंट त्वरित पूर्ण नेटवर्क अ‍ॅक्सेस देत नाही. त्याऐवजी, ते एक नियंत्रित पोर्ट उघडते आणि उपकरणासह EAP एक्सचेंज - म्हणजेच एक्सटेन्सिबल ऑथेंटिकेशन प्रोटोकॉल - सुरू करते. उपकरण त्याची क्रेडेन्शियल्स सादर करते, जे युझरनेम आणि पासवर्ड, डिजिटल प्रमाणपत्र किंवा SIM-आधारित ओळख असू शकते. अ‍ॅक्सेस पॉईंट UDP वरील RADIUS प्रोटोकॉलचा वापर करून तो एक्सचेंज RADIUS सर्व्हरकडे पाठवतो, सामान्यत: प्रमाणीकरणासाठी पोर्ट १८१२ आणि अकाउंटिंगसाठी १८१३ वर. RADIUS सर्व्हर आयडेंटिटी स्टोअर - Active Directory, Azure AD, किंवा LDAP डिरेक्टरी विरुद्ध क्रेडेन्शियल्स प्रमाणित करतो आणि एकतर Access-Accept किंवा Access-Reject संदेश परत पाठवतो. स्वीकारल्यास, अ‍ॅक्सेस पॉईंट पोर्ट उघडतो आणि उपकरणाला नेटवर्क अ‍ॅक्सेस मिळतो. नाकारल्यास, ते ब्लॉक राहते. तत्त्वतः सोपे आहे, परंतु अंमलबजावणीचे तपशील अत्यंत महत्त्वाचे आहेत. आता, EAP पद्धतीची निवड ही अशी जागा आहे जिथे बऱ्याच डिप्लॉयमेंट्स चुकतात. सामान्य वापरात अनेक EAP पद्धती आहेत आणि त्यांचे सुरक्षा प्रोफाइल आणि ऑपरेशन्सच्या गरजा खूप वेगवेगळ्या आहेत. EAP-TLS हा एक सुवर्ण मानक आहे. यासाठी परस्पर प्रमाणपत्र प्रमाणीकरण (mutual certificate authentication) आवश्यक असते - सर्व्हर आणि क्लायंट दोघेही प्रमाणपत्र सादर करतात. यामुळे क्रेडेंशियल चोरीचा धोका पूर्णपणे नाहीसा होतो, कारण येथे चोरण्यासाठी कोणतेही पासवर्ड नसतात. परंतु यासाठी PKI इन्फ्रास्ट्रक्चर आणि डिव्हाइसेसवर क्लायंट प्रमाणपत्रे पाठवण्यासाठी एका यंत्रणेची आवश्यकता असते, ज्याचा अर्थ सामान्यतः MDM सोल्यूशन असा होतो. कॉर्पोरेट BYOD वातावरण आणि उच्च-सुरक्षा डिप्लॉयमेंट्ससाठी, हेच योग्य उत्तर आहे. MSCHAPv2 सह PEAP ही एंटरप्राइझ वातावरणात सर्वाधिक प्रमाणात वापरली जाणारी पद्धत आहे. यासाठी केवळ सर्व्हर-साइड प्रमाणपत्र आवश्यक असते आणि ते TLS च्या आत क्रेडेंशियल एक्सचेंज टनेल करते. हे Active Directory सोबत नेटिव्हली सुसंगत आहे, ज्यामुळे ते कार्यान्वित करणे सरळ सोपे होते. यात धोका असा आहे की जर वापरकर्ते सेल्फ-साइंड प्रमाणपत्रासह एखाद्या फसव्या ॲक्सेस पॉइंटशी कनेक्ट झाले, तर क्रेडेंशियल हार्वेस्टिंगचा धोका असतो - त्यामुळे क्लायंट-साइडवरील प्रमाणपत्र प्रमाणीकरण ही तडजोड न करता येणारी गोष्ट आहे. EAP-TTLS हे PEAP सारखेच आहे परंतु आतील प्रमाणीकरण पद्धतीमध्ये अधिक लवचिक आहे. हे विशेषतः मिश्र-डिव्हाइस वातावरणात उपयुक्त ठरते जिथे तुमच्याकडे विविध सप्लिकंट क्षमता असलेले Windows, macOS, iOS आणि Android डिव्हाइसेसचे मिश्रण असते. लेगसी डिव्हाइस सपोर्टसाठी - जसे की जुने पॉईंट-ऑफ-सेल हार्डवेअर किंवा IoT सेन्सर्स - EAP-FAST हा एक व्यावहारिक पर्याय असू शकतो, कारण यासाठी प्रमाणपत्रांची आवश्यकता नसते आणि त्याऐवजी प्रोटेक्टेड ॲक्सेस क्रेडेंशियलचा वापर केला जातो. आता, क्लाउड RADIUS चा भाग. पारंपारिकपणे, RADIUS ही एक ऑन-प्रिमायसेस सेवा होती - Linux सर्व्हरवर FreeRADIUS, किंवा Windows Server वर Microsoft NPS. तो मॉडेल काम करतो, परंतु त्यासाठी वास्तविक परिचालन खर्च येतो: हार्डवेअर मेंटेनन्स, हाय अवेलेबिलिटी कॉन्फिगरेशन, पॅचिंग आणि कमी-लेटन्सी प्रमाणीकरण आवश्यक असलेल्या प्रत्येक साइटवर स्थानिक इन्फ्रास्ट्रक्चरची आवश्यकता. क्लाउड RADIUS हे गणित लक्षणीयरीत्या बदलतो. क्लाउड RADIUS सेवा प्रोव्हाइडरद्वारे होस्ट आणि मॅनेज केली जाते. तुमचे ॲक्सेस पॉइंट्स इंटरनेटद्वारे क्लाउड सेवेकडे RADIUS विनंत्या पाठवतात, जी तुमच्या आयडेंटिटी प्रोव्हाइडरच्या विरुद्ध प्रमाणीकरण हाताळते. लेटन्सीची चिंता खरी आहे परंतु व्यवस्थापन करण्यायोग्य आहे - आधुनिक क्लाउड RADIUS सेवा जागतिक स्तरावर वितरित केल्या जातात आणि प्रमाणीकरण राउंड-ट्रिप्स सहसा 100 मिलीसेकंदांपेक्षा कमी वेळेत पूर्ण होतात, जे अंतिम वापरकर्त्यांच्या लक्षातही येत नाही. आयडेंटिटी प्रोव्हाइडर्ससोबतचे इंटिग्रेशन हा सर्वात महत्त्वाचा घटक आहे. बहुतेक क्लाउड RADIUS प्लॅटफॉर्म LDAP, LDAPS, SAML 2.0 आणि थेट Azure AD किंवा Okta इंटिग्रेशनला सपोर्ट करतात. आधीपासूनच Microsoft 365 चालवत असलेल्या संस्थांसाठी, Azure AD इंटिग्रेशन हा नैसर्गिक मार्ग आहे - तुम्हाला सिंगल साइन-ऑन, कंडिशनल ॲक्सेस पॉलिसी आणि MFA अंमलबजावणी या सर्व गोष्टी तुमच्या नेटवर्क ॲक्सेस कंट्रोल लेयरमध्ये समाविष्ट मिळतात. कर्मचाऱ्यांच्या नेटवर्कसह अतिथी WiFi तैनात करणाऱ्या ठिकाणांसाठी, आर्किटेक्चर सहसा वेगवेगळ्या ऑथेंटिकेशन पॉलिसीसह स्वतंत्र SSID मध्ये विभागलेले असते. कर्मचारी नेटवर्क कॉर्पोरेट क्रेडेंशियलसह 802.1X वापरतात. अतिथी नेटवर्क Captive Portal किंवा सोशल लॉगिन फ्लो वापरतात. Purple चे प्लॅटफॉर्म या दोन्ही मॉडेलला सपोर्ट करते, आणि WiFi ॲनालिटिक्स लेयर या दोन्हीवर काम करतो, ज्यामुळे तुम्हाला सुरक्षेच्या विभाजनाशी तडजोड न करता डिव्हाइसचे वर्तन, ड्वेल टाइम आणि नेटवर्क वापरण्याची माहिती मिळते. --- अंमलबजावणीच्या शिफारसी आणि संभाव्य चुका (अंदाजे 2 मिनिटे) --- मी तुम्हाला व्यावहारिक उपयोजन क्रम देतो, आणि मला वारंवार दिसणाऱ्या त्रुटींबद्दल चेतावणी देतो. तुमच्या आयडेंटिटी प्रोव्हाइडर इंटिग्रेशनपासून सुरुवात करा. एकाही ॲक्सेस पॉइंटला स्पर्श करण्यापूर्वी, तुमची क्लाउड RADIUS सेवा तुमच्या डिरेक्टरी विरुद्ध ऑथेंटिकेट करू शकते याची खात्री करा. सर्व्हिस अकाउंटसह चाचणी करा, LDAP बाइंड सत्यापित करा, आणि ग्रुप मेंबरशिप ॲट्रिब्युट्स योग्यरित्या परत येत असल्याची खात्री करा - कारण VLAN असाइनमेंट पॉलिसीसाठी तुम्हाला त्यांची आवश्यकता असेल. दुसरे, तुमची सर्टिफिकेट स्ट्रॅटेजी आखा. जर तुम्ही EAP-TLS वापरणार असाल, तर तुम्हाला CA ची गरज आहे, तुम्ही पब्लिक CA वापरत आहात की अंतर्गत हे ठरवावे लागेल, आणि क्लायंट सर्टिफिकेटसाठी MDM रोलआउट प्लॅन हवा आहे. जर तुम्ही PEAP वापरणार असाल, तर तुम्हाला ट्रस्टेड CA कडून सर्व्हर सर्टिफिकेट हवे आहे - स्वतः स्वाक्षरी केलेले (self-signed) नको - आणि तुम्ही CA सर्टिफिकेट सर्व क्लायंट डिव्हाइसेसवर पुश केले पाहिजे जेणेकरून सर्टिफिकेट व्हॅलिडेशन योग्यरित्या काम करेल. हे ते पाऊल आहे जे वगळले जाते आणि सुरक्षा घटनांना कारणीभूत ठरते. तिसरे, तुमचे RADIUS क्लायंट्स - म्हणजेच तुमचे ॲक्सेस पॉइंट्स आणि कंट्रोलर्स - योग्य शेअर्ड सिक्रेट आणि सर्व्हर IP किंवा होस्टनेमसह कॉन्फिगर करा. मजबूत, यादृच्छिकपणे जनरेट केलेले शेअर्ड सिक्रेट वापरा, कोणताही डिक्शनरी शब्द नको. आणि जर तुमचा क्लाउड RADIUS प्रोव्हाइडर RADIUS over TLS - RadSec - ला सपोर्ट करत असेल, तर तो वापरा. हे ट्रान्झिटमध्ये RADIUS ट्रॅफिक सुरक्षितपणे एन्क्रिप्ट करते, जे विशेषतः तेव्हा महत्त्वाचे असते जेव्हा ते ट्रॅफिक सार्वजनिक इंटरनेटवरून प्रवास करत असते. चौथे, पूर्ण रोलआउट करण्यापूर्वी पायलट ग्रुपसह चाचणी करा. मोठ्या प्रमाणावर ऑथेंटिकेशन अयशस्वी होणे हे त्रासदायक असते आणि दबावाखाली त्याचे निदान करणे कठीण असते. दहा ते वीस डिव्हाइसेससह पायलट चाचणी चालवा, ऑथेंटिकेशन लॉग सत्यापित करा, VLAN असाइनमेंट कार्यरत असल्याची खात्री करा आणि अकाउंटिंग रेकॉर्ड योग्यरित्या लिहिले जात आहेत की नाही हे तपासा. मला वारंवार दिसणाऱ्या त्रुटी: क्लायंटवर सर्टिफिकेट व्हॅलिडेशन बंद असणे, ज्यामुळे मॅन-इन-द-मिडल हल्ल्याचा धोका निर्माण होतो. खूप लहान असलेले किंवा वेगवेगळ्या साईट्सवर पुन्हा वापरलेले शेअर्ड सिक्रेट. RADIUS सर्व्हर IP अलोवलिस्टिंग कॉन्फिगर न करणे, ज्यामुळे नवीन साईट्सवरील ऑथेंटिकेशन विनंत्या सायलेंटली ड्रॉप होतात. आणि सर्टिफिकेट एक्स्पायर झाल्यावर MDM प्रोफाइल्स अपडेट न करणे, ज्यामुळे नूतनीकरणाच्या दिवशी मोठ्या प्रमाणात ऑथेंटिकेशन अयशस्वी होते. --- जलद प्रश्नोत्तरे (अंदाजे 1 मिनिट) --- काही प्रश्न जे मला वारंवार विचारले जातात. मी अशा नेटवर्कवर 802.1X चालवू शकतो का ज्यामध्ये EAP ला सपोर्ट न करणारे IoT डिव्हाइसेस देखील आहेत? होय - जे डिव्हाइसेस सप्लिकंट चालवू शकत नाहीत त्यांच्यासाठी फॉलबॅक म्हणून MAC Authentication Bypass वापरा, परंतु त्या डिव्हाइसेसना कडक फायरवॉल नियमांसह मर्यादित VLAN वर ठेवा. 802.1X मुळे WPA2 किंवा WPA3 एन्क्रिप्शन बदलले जाते का? नाही - 802.1X ऑथेंटिकेशन हाताळते. WPA2-Enterprise किंवा WPA3-Enterprise एन्क्रिप्शन हाताळते. तुम्हाला दोन्हीची आवश्यकता आहे. नवीन उपयोजनांसाठी 802.1X सह WPA3-Enterprise हा सध्याचा सर्वोत्तम सराव आहे. ऑथेंटिकेशनवर लेटन्सीचा काय परिणाम होतो? सु-कॉन्फिगर केलेल्या क्लाउड RADIUS सेवेसह, प्रति ऑथेंटिकेशन 50 ते 150 मिलिसेकंदची अपेक्षा ठेवा. रोमिंगच्या बाबतीत, 802.11r जलद BSS ट्रान्झिशन री-ऑथेंटिकेशनचा ओव्हरहेड लक्षणीयरीत्या कमी करू शकते. हे PCI-DSS चे पालन करते का? योग्यरित्या विभागलेल्या नेटवर्कवर EAP-TLS किंवा PEAP सह 802.1X नेटवर्क ॲक्सेस कंट्रोलसाठी PCI-DSS आवश्यकता 1 आणि आवश्यकता 8 पूर्ण करते. तुमच्या QSA ला यामध्ये लवकर समाविष्ट करा. --- सारांश आणि पुढील पावले (अंदाजे 1 मिनिट) --- या सर्वांचा निष्कर्ष काढायचा तर: ऑडिटर्सना नेटवर्क ॲक्सेस कंट्रोल दाखवण्यासाठी, क्रेडेंशियल तडजोडीची व्याप्ती कमी करण्यासाठी किंवा संपूर्ण विखुरलेल्या मालमत्तेवर मध्यवर्ती पद्धतीने ऑथेंटिकेशन व्यवस्थापित करण्यासाठी क्लाउड RADIUS सह 802.1X हे कोणत्याही संस्थेसाठी योग्य उत्तर आहे. हे उपयोजन सोपे नाही, परंतु योग्य तयारीसह ते पूर्णपणे व्यवस्थापित करण्यायोग्य आहे. सर्वात आधी तुमचे आयडेंटिटी प्रोव्हाइडर इंटिग्रेशन योग्य करा. तुमच्या डिव्हाइसच्या मालमत्तेवर आणि सर्टिफिकेट्स व्यवस्थापित करण्याच्या तुमच्या ऑपरेशनल क्षमतेवर आधारित तुमची EAP पद्धत निवडा. तुमची पायाभूत सुविधा सपोर्ट करत असल्यास RadSec वापरा. आणि मोठ्या प्रमाणावर लागू करण्यापूर्वी चाचणी करा. तुम्ही मिश्रित पाहुणे आणि कर्मचारी नेटवर्क चालवत असल्यास - जे बहुतेक हॉस्पिटॅलिटी आणि रिटेल ऑपरेटर चालवतात - तर Purple सारखे प्लॅटफॉर्म तुम्हाला संपूर्ण मालमत्तेवर ॲनालिटिक्स लेयरसह, एकाच स्क्रीनवरून दोन्ही ऑथेंटिकेशन मॉडेल्स व्यवस्थापित करण्याची क्षमता देतात. तुमच्या पुढील पावलांसाठी: तुमच्या सध्याच्या नेटवर्क ॲक्सेस कंट्रोल स्थितीचे ऑडिट करा, कोणते साइट्स अजूनही शेअर्ड PSK चालवत आहेत ते ओळखा आणि टप्प्याटप्प्याने मायग्रेशन प्लॅन तयार करा. तुमच्या सर्वात जास्त जोखीम असलेल्या साइट्सपासून सुरुवात करा - ज्या PCI-DSS च्या कक्षेत आहेत किंवा ज्या संवेदनशील डेटा हाताळतात - आणि नंतर इतर साइट्सकडे वळा. ऐकल्याबद्दल धन्यवाद. अधिक तांत्रिक माहिती purple.ai वर उपलब्ध आहे.