WPA2 vs. 802.1X: फरक काय आहे?
हे मार्गदर्शक WPA2 एन्क्रिप्शन आणि IEEE 802.1X ऑथेंटिकेशन फ्रेमवर्क यांच्यातील संबंध स्पष्ट करते - हे दोन पूरक मानके आहेत जे बऱ्याचदा वेंडर डॉक्युमेंटेशन आणि नेटवर्क डिझाइनच्या चर्चांमध्ये एकत्र जोडले जातात. हे IT डायरेक्टर्स, नेटवर्क आर्किटेक्ट्स आणि व्हेन्यू ऑपरेशन्स लीडर्सना हे प्रोटोकॉल कसे परस्परसंवाद करतात याचे स्पष्ट तांत्रिक विश्लेषण, हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक-क्षेत्रातील वातावरणात व्यावहारिक डिप्लॉयमेंट धोरणे आणि अनुपालन, जोखीम कमी करणे आणि गेस्ट WiFi एकत्रीकरणावर महत्त्वपूर्ण मार्गदर्शन प्रदान करते.
Video overview
हे मार्गदर्शक ऐका
पॉडकास्ट ट्रान्सक्रिप्ट पहा
आमच्या मुख्य मालिकेचा भाग: Enterprise WiFi सुरक्षा मार्गदर्शक →
Enterprise WPA2 vs. 802.1X architecture & security advisor
WPA2 specifies how wireless data is encrypted over the air using AES-CCMP. IEEE 802.1X specifies how clients and ports authenticate using EAP and RADIUS. Configure your deployment parameters below to compare protocol resilience, audit compliance, and infrastructure sizing.
| Architecture Dimension | WPA2-Personal (PSK) | WPA2-Enterprise (802.1X PEAP) | WPA2/3-Enterprise (802.1X TLS) |
|---|---|---|---|
| OSI / Protocol Layer | Data Link (802.11i Encryption) | Data Link + Layer 2 Port Control | Data Link + Layer 2 Port Control + PKI |
| Authentication Mechanism | Shared Passphrase (PSK) | User Credentials inside TLS Tunnel | Mutual X.509 Digital Certificates |
| Air Encryption Cipher | AES-128 (CCMP) | AES-128 (CCMP) | AES-128 / GCMP-256 (CNSA Suite B) |
| Dynamic VLAN Assignment | No (All devices in 1 VLAN) | Yes (RADIUS RFC 2868 / 3580) | Yes (Role-based microsegmentation) |
| Offboarding Friction | High (Must re-key entire venue) | Instant (Disable user in IdP) | Instant (Revoke client certificate / CRL) |
The key technical takeaway
WPA2 and 802.1X are not alternatives to each other. When you configure WPA2-Enterprise, the wireless network uses IEEE 802.1X for port-based authentication and access control, while using WPA2 (AES-CCMP) to encrypt frames once authenticated. Personal networks omit the 802.1X framework, relying instead on a pre-shared secret that cannot verify individual identities.
Transitioning your fleet to zero trust 802.1X WiFi?
Purple Cloud RADIUS replaces legacy on-premises hardware with a global, cloud-native 802.1X authentication tier integrated directly into Microsoft Entra ID, Google Workspace, and Okta.
कार्यकारी सारांश (Executive Summary)
एंटरप्राइझ वातावरणाचे व्यवस्थापन करणाऱ्या आयटी (IT) संचालक आणि नेटवर्क आर्किटेक्ट्ससाठी, व्हेंडर दस्तऐवजीकरणामध्ये WPA2 आणि 802.1X मधील फरक बऱ्याचदा अस्पष्ट असतो. WPA2 हा एक सुरक्षा प्रमाणन प्रोग्राम आहे जो वायरलेस डेटा हवेत कसा कूटबद्ध (encrypt) केला जातो हे ठरवतो. याउलट, IEEE 802.1X ही पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल (PNAC) फ्रेमवर्क आहे जी नेटवर्कवर प्रवेश मिळण्यापूर्वी वापरकर्ता किंवा डिव्हाइस त्यांची ओळख कशी सिद्ध करते हे ठरवते.
हे एकमेकांशी स्पर्धा करणारे मानक नाहीत - ते सुरक्षित वायरलेस आर्किटेक्चरचे पूरक स्तर आहेत. जेव्हा एखादा एंटरप्राइझ "WPA2-Enterprise" उपयोजित करतो, तेव्हा ते अंतर्निहितपणे कूटबद्धतेसाठी (encryption) WPA2 आणि प्रमाणीकरणासाठी (authentication) 802.1X उपयोजित करत असतात. अनधिकृत प्रवेश कमी करण्यासाठी, PCI-DSS आणि GDPR सारख्या फ्रेमवर्कचे अनुपालन सुनिश्चित करण्यासाठी आणि वितरित ठिकाणी स्केलेबल इन्फ्रास्ट्रक्चर उपयोजित करण्यासाठी या प्रोटोकॉलचा एकमेकांशी कसा संबंध येतो हे समजून घेणे अत्यंत महत्त्वाचे आहे. हे मार्गदर्शक दोन्ही मानकांच्या यांत्रिकीचे विश्लेषण करते, व्हेंडर-तटस्थ अंमलबजावणी धोरणे प्रदान करते आणि Purple चे Guest WiFi सारखे आधुनिक प्लॅटफॉर्म या सुरक्षित आर्किटेक्चरमध्ये अखंडपणे कसे समाकलित होतात याचा तपशील देते.
तांत्रिक सखोल विश्लेषण: मानकांचे विश्लेषण (Technical Deep-Dive)
सुरक्षित वायरलेस नेटवर्कची रचना करण्यासाठी, डेटाची गोपनीयता (कूटबद्धता) आणि ओळख पडताळणी (प्रमाणीकरण) या संकल्पना वेगळ्या करणे आवश्यक आहे. या वेगवेगळ्या समस्या आहेत, ज्या वेगवेगळ्या मानकांद्वारे सोडवल्या जातात आणि ज्या एकापाठोपाठ एक कार्यरत असतात.
WPA2: कूटबद्धता मानक (The Encryption Standard)
Wi-Fi Protected Access 2 (WPA2) हा वायरलेस संगणक नेटवर्क सुरक्षित करण्यासाठी Wi-Fi Alliance द्वारे विकसित केलेला एक प्रमाणन कार्यक्रम आहे. हा IEEE 802.11i मानकावर आधारित आहे. क्लायंट डिव्हाइस (supplicant) आणि ॲक्सेस पॉइंट (authenticator) दरम्यान प्रसारित केलेला डेटा दुर्भावनापूर्ण घटकांद्वारे हस्तगत आणि वाचला जाऊ शकत नाही याची खात्री करणे हे याचे प्राथमिक कार्य आहे.
WPA2 हे AES (Advanced Encryption Standard) सह CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol) च्या वापरास अनिवार्य करते. याने मूळ WPA मानकात वापरल्या जाणाऱ्या असुरक्षित TKIP सायफरची जागा घेतली. WPA2 प्रामुख्याने दोन मोडमध्ये कार्य करते: WPA2-Personal (PSK), जे प्री-शेअर्ड की वापरते जिथे प्रत्येक डिव्हाइस कूटबद्धीकरण की तयार करण्यासाठी समान पासवर्ड वापरते, आणि WPA2-Enterprise, जे 802.1X प्रमाणीकरण सर्व्हरसह समाकलित होते आणि प्रत्येक वैयक्तिक सत्रासाठी अद्वितीय, गतिमान कूटबद्धीकरण की व्युत्पन्न करते.
WPA2-Personal ची गंभीर असुरक्षितता ही आहे की एकच तडजोड केलेली PSK संपूर्ण नेटवर्कला उघडे पाडते. 400 ठिकाणांच्या किरकोळ विक्री साखळीत, प्रत्येक AP आणि प्रत्येक डिव्हाइसवर PSK फिरवणे हे ऑपरेशनलदृष्ट्या कठीण आहे. 802.1X द्वारे समर्थित WPA2-Enterprise ही समस्या पूर्णपणे दूर करते.
802.1X: प्रमाणीकरण फ्रेमवर्क (The Authentication Framework)
IEEE 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल (PNAC) साठीचे एक मानक आहे. मूळतः वायर्ड इथरनेटसाठी डिझाइन केलेले, मजबूत, प्रति-वापरकर्ता प्रमाणीकरण प्रदान करण्यासाठी ते वायरलेस नेटवर्कसाठी अनुकूल केले गेले. हे डेटा एन्क्रिप्ट करत नाही - ते डिजिटल गेटकीपर म्हणून कार्य करते, जोपर्यंत डिव्हाइस सेंट्रलाइज्ड ऑथेंटिकेशन सर्व्हरकडे स्वतःची ओळख सिद्ध करत नाही तोपर्यंत नेटवर्क पोर्टला तार्किकदृष्ट्या "बंद" ठेवते.
802.1X फ्रेमवर्क तीन भूमिकांवर तयार केले आहे. Supplicant हे क्लायंट डिव्हाइस (लॅपटॉप, स्मार्टफोन, IoT सेन्सर) आहे जे नेटवर्क प्रवेशाची विनंती करते. Authenticator हे नेटवर्क ॲक्सेस डिव्हाइस आहे - सामान्यतः वायरलेस ॲक्सेस पॉईंट किंवा मॅनेज्ड स्विच - जे स्वतः प्रवेशाचा निर्णय न घेता प्रमाणीकरण देवाणघेवाण सुलभ करते. Authentication Server (सामान्यतः RADIUS सर्व्हर) ही सेंट्रलाइज्ड प्रणाली आहे जी ॲक्टिव्ह डिरेक्टरी किंवा LDAP सारख्या डिरेक्टरी विरुद्ध सप्लिकंटच्या क्रेडेंशियलची पडताळणी करते आणि प्रवेशाचा निर्णय जारी करते.
802.1X हे सप्लिकंट आणि ऑथेंटिकेशन सर्व्हर दरम्यान प्रमाणीकरण डेटा ट्रान्सपोर्ट करण्यासाठी Extensible Authentication Protocol (EAP) वर अवलंबून असते. EAP अत्यंत लवचिक आहे, जे अनेक अंतर्गत पद्धतींना सपोर्ट करते. EAP-TLS परस्पर प्रमाणपत्र-आधारित प्रमाणीकरण वापरते आणि शून्य-विश्वास वातावरणासाठी सुवर्ण मानक मानले जाते. PEAP केवळ सर्व्हर-साइड प्रमाणपत्राची आवश्यकता ठेवून एका TLS टनेलमध्ये क्रेडेंशियल समाविष्ट करते. या पद्धतींच्या तपशीलवार तुलनेसाठी, आमचे मार्गदर्शक पहा EAP-TLS vs. PEAP: ¿Qué protocolo de autenticación es el adecuado para su red?.
WPA2 आणि 802.1X एकत्र कसे कार्य करतात
जेव्हा एखादे डिव्हाइस WPA2-Enterprise SSID शी कनेक्ट होते, तेव्हा खालील क्रम घडतो. प्रथम, डिव्हाइस AP शी जोडले जाते, परंतु AP 802.1X EAP संदेशांशिवाय इतर सर्व रहदारी ब्लॉक करतो. दुसरे, डिव्हाइस आणि RADIUS सर्व्हर AP द्वारे क्रेडेंशियलची देवाणघेवाण करतात - हा 802.1X प्रमाणीकरण टप्पा आहे. यशस्वी झाल्यास, RADIUS सर्व्हर AP ला "Access-Accept" संदेश आणि मास्टर सेशन की (MSK) पाठवतो. तिसरे, AP आणि डिव्हाइस MSK चा वापर करून WPA2 4-वे हँडशेक पूर्ण करतात, ज्यामधून AES-CCMP द्वारे त्या सत्राचा डेटा ट्रॅफिक एन्क्रिप्ट करण्यासाठी वापरली जाणारी विशिष्ट पेअरवाइज ट्रान्झिएंट की (PTK) मिळते. शेवटी, पोर्ट "उघडला" जातो आणि एन्क्रिप्टेड डेटा प्रवाहित होतो. प्रत्येक वापरकर्त्याकडे एक युनिक एन्क्रिप्शन की असते, याचा अर्थ असा की एका वापरकर्त्याचा डेटा ट्रॅफिक कॅप्चर केल्याने दुसऱ्याच्या ट्रॅफिकबद्दल कोणतीही माहिती मिळत नाही.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.
अंमलबजावणी मार्गदर्शिका: आपल्या स्थानासाठी आर्किटेक्टिंग
या मानकांची अंमलबजावणी करण्यासाठी तांत्रिक क्षमता व्यावसायिक आवश्यकतांशी सुसंगत करणे आवश्यक आहे. स्थानाचा प्रकार आणि वापरकर्त्यांच्या लोकसंख्येवर आधारित हा दृष्टिकोन लक्षणीयरीत्या बदलतो.
कॉर्पोरेट ऑफिस: झिरो ट्रस्ट आर्किटेक्चर
ISO 27001 किंवा Cyber Essentials+ चे पालन करण्याचे उद्दिष्ट असलेल्या संस्थांसाठी, EAP-TLS सह 802.1X चा वापर करून WPA2-Enterprise (किंवा नवीन बांधकामांसाठी WPA3-Enterprise) ही शिफारस केलेली डिप्लॉयमेंट पद्धत आहे. यासाठी Microsoft Intune किंवा Jamf सारख्या MDM सोल्यूशनद्वारे सर्व कॉर्पोरेट उपकरणांवर डिजिटल प्रमाणपत्रे डिप्लॉय करणे आवश्यक आहे. हे पासवर्ड-आधारित धोके पूर्णपणे काढून टाकते - केवळ कंपनीच्या मालकीची, व्यवस्थापित केलेली उपकरणेच ऑथेंटिकेट करू शकतात. अव्यवस्थित किंवा वैयक्तिक उपकरणे स्वयंचलितपणे एका विभागलेल्या अतिथी SSID कडे पाठवली जातात. RADIUS ॲट्रिब्युट्सद्वारे डायनॅमिक VLAN असाइनमेंटमुळे भूमिकेनुसार पुढील वर्गीकरण करणे शक्य होते: IT ॲडमिनिस्ट्रेटर, सामान्य कर्मचारी आणि कंत्राटदार या प्रत्येकाला योग्य ACLs सह वेगवेगळ्या VLANs मध्ये नियुक्त केले जाऊ शकते, तेही एकाच SSID वरून.
रिटेल चेन: PCI DSS साठी विभागलेली सुरक्षा
एका मोठ्या रिटेल साखळीसाठी, आव्हान दुहेरी स्वरूपाचे आहे: PCI DSS पालनासाठी PoS टर्मिनल्स सुरक्षित करणे आणि त्याच वेळी लॉयल्टी प्रोग्रामच्या नोंदणी वाढवण्यासाठी विनासायास अतिथी प्रवेश प्रदान करणे. या आर्किटेक्चरसाठी एकाच फिजिकल इन्फ्रास्ट्रक्चरवर दोन स्वतंत्र सुरक्षा स्थितींची आवश्यकता असते. कर्मचारी आणि PoS SSID ने 802.1X सह WPA2-Enterprise चा वापर केला पाहिजे (कर्मचाऱ्यांसाठी ॲक्टिव्ह डिरेक्टरीशी जोडलेले PEAP-MSCHAPv2, PoS टर्मिनल्ससाठी मशीन प्रमाणपत्रांसह EAP-TLS). हे वैयक्तिक जबाबदारी सुनिश्चित करते आणि PoS ट्रॅफिक एका काटेकोरपणे वेगळ्या केलेल्या, PCI-सुसंगत VLAN वर ठेवते. अतिथी SSID एका कॅप्टिव्ह पोर्टलवर थेट नेणाऱ्या खुल्या नेटवर्कचा वापर करते. Purple चे WiFi Analytics प्लॅटफॉर्म सोशल लॉगिन किंवा फॉर्म भरून अतिथींचे ऑथेंटिकेशन हाताळते, PoS वातावरणापासून संपूर्ण नेटवर्क वर्गीकरण राखताना GDPR अंतर्गत सुसंगतपणे फर्स्ट-पार्टी डेटा गोळा करते.
हॉस्पिटॅलिटी आणि सार्वजनिक ठिकाणे: मोठ्या प्रमाणावर अखंड ऑनबोर्डिंग
हॉस्पिटॅलिटी वातावरणासाठी - हॉटेल्स, कॉन्फरन्स सेंटर्स, स्टेडियम - कॉर्पोरेट डिरेक्टरीशी कोणताही संबंध नसलेल्या तात्पुरत्या अतिथींसाठी 802.1X वापरणे ऑपरेशनल दृष्टीने अत्यंत क्लिष्ट आहे. या वापरासाठी उदयोन्मुख मानक म्हणजे Passpoint (Hotspot 2.0), जे अंतर्गत स्तरावर 802.1X आणि WPA2-Enterprise चा वापर करते परंतु डिव्हाइस प्रोव्हिजनिंग प्रक्रिया स्वयंचलित करते. Purple हे Connect लायसन्स अंतर्गत OpenRoaming सारख्या सेवांसाठी विनामूल्य ओळख प्रदाता म्हणून काम करते, ज्यामुळे अतिथींना कोणत्याही मॅन्युअल नेटवर्क कॉन्फिगरेशनशिवाय त्यांचे विद्यमान प्रोफाइल वापरून अखंडपणे ऑथेंटिकेट करता येते. ट्रान्सपोर्ट आणि सार्वजनिक क्षेत्रातील ठिकाणांसाठी, हा दृष्टीकोन थेट ऑथेंटिकेशन फ्लोमध्ये संमती व्यवस्थापन समाकलित करून GDPR डेटा संकलन आवश्यकतांचे पालन करण्यास देखील समर्थन देतो.
एंटरप्राइझ डिप्लॉयमेंटसाठी सर्वोत्तम पद्धती
सर्व supplicants वर कठोर प्रमाणपत्र प्रमाणीकरण (strict certificate validation) लागू करा. PEAP वापरताना, क्लायंट डिव्हाइसेस RADIUS सर्व्हरच्या प्रमाणपत्राचे प्रमाणीकरण करण्यासाठी कॉन्फिगर केले असल्याची खात्री करा. असे न केल्यास नेटवर्कवर Evil Twin हल्ल्यांचा धोका निर्माण होतो, जिथे एखादा अनधिकृत AP कोणत्याही EAP आव्हानावर अंधळेपणाने विश्वास ठेवणाऱ्या डिव्हाइसेसकडून क्रेडेंशियल मिळवतो. Group Policy किंवा MDM द्वारे हे कॉन्फिगरेशन लागू करा - हा निर्णय मॅन्युअली घेण्यासाठी अंतिम वापरकर्त्यांवर कधीही अवलंबून राहू नका.
डायनॅमिक VLAN असाइनमेंट लागू करा. यशस्वी 802.1X प्रमाणीकरणानंतर वापरकर्त्यांना त्यांच्या Active Directory ग्रुप सदस्यत्वाच्या आधारे विशिष्ट VLAN मध्ये समाविष्ट करण्यासाठी RADIUS ॲट्रिब्युट्सचा (विशेषतः Tunnel-Type, Tunnel-Medium-Type, आणि Tunnel-Private-Group-ID) वापर करा. हे प्रत्येक वापरकर्ता वर्गासाठी स्वतंत्र SSIDs ची आवश्यकता नसताना भूमिका-आधारित नेटवर्क विभाजन (role-based network segmentation) सक्षम करते.
जुने सायफर सूट्स (legacy cipher suites) बंद करा. सर्व वायरलेस कंट्रोलर्स आणि ॲक्सेस पॉइंट्सवर TKIP आणि WEP पूर्णपणे बंद असल्याचे सुनिश्चित करा. हे दोन्ही क्रिप्टोग्राफिकदृष्ट्या निकामी झाले आहेत. WPA2 ची जाहिरात करणारे परंतु TKIP फॉलबॅकची अनुमती देणारे नेटवर्क WEP पेक्षा फारसे सुरक्षित नसते.
उच्च-घनता (high-density) वातावरणासाठी RADIUS क्षमतेचे नियोजन करा. स्टेडियम, कॉन्फरन्स सेंटर्स आणि मोठ्या healthcare कॅम्पसमध्ये, हजारो डिव्हाइसेस एकाच वेळी प्रमाणित करण्याचा प्रयत्न करू शकतात. RADIUS इन्फ्रास्ट्रक्चर लोड-बॅलन्स असल्याची आणि APs व प्रमाणीकरण सर्व्हरमधील नेटवर्क पाथ्समध्ये १०ms पेक्षा कमी लॅटन्सी असल्याची खात्री करा. वितरित उपयोजनांसाठी (distributed deployments) कनेक्टिव्हिटीची विश्वासार्हता हा एक महत्त्वाचा विचार आहे - केंद्रीकृत प्रमाणीकरण सेवांसाठी लवचिक WAN मार्ग सुनिश्चित करण्याच्या मार्गदर्शनासाठी The Core SD-WAN Benefits for Modern Businesses पहा.
ट्रबलशूटिंग आणि जोखीम कमी करणे
द सायलेंट फेल्युअर (The Silent Failure). एखादे डिव्हाइस कनेक्ट होण्यास अपयशी ठरते, परंतु वापरकर्त्याला कोणतीही अर्थपूर्ण त्रुटी दिसत नाही. ही जवळजवळ नेहमीच प्रमाणपत्र विश्वासाची समस्या असते - supplicant हा RADIUS सर्व्हरचे प्रमाणपत्र नाकारत असतो. उपाय: RADIUS प्रमाणपत्र जारी करणारे Root CA सर्व क्लायंट डिव्हाइसेसवर GPO किंवा MDM द्वारे वितरित केले गेले आहे आणि वायरलेस प्रोफाइल त्यावर विश्वास ठेवण्यासाठी आधीच कॉन्फिगर केले आहे याची खात्री करा.
RADIUS टाइमआउट. AP ने रहदारी (traffic) फॉरवर्ड करणे थांबवले आहे कारण RADIUS सर्व्हरने प्रतिसाद टाइमआउट मर्यादा ओलांडली आहे. उपाय: RADIUS सर्व्हर रिडंडन्सी (प्राथमिक आणि दुय्यम) लागू करा, प्रमाणीकरण सर्व्हर गर्दी असलेल्या नेटवर्क सेगमेंटवर एकत्र ठेवलेला नाही याची खात्री करा आणि AP च्या RADIUS टाइमआउट आणि रीट्राय पॅरामीटर्स योग्यरित्या ट्यून करा.
MAC Authentication Bypass (MAB) असुरक्षितता. ८०२.१X supplicant चालवू न शकणाऱ्या हेडलेस IoT डिव्हाइसेससाठी, ॲडमिनिस्ट्रेटर्स सहसा MAB चा अवलंब करतात, जे MAC ॲड्रेसच्या आधारे प्रमाणित करते. MAC ॲड्रेस सहजपणे स्पूफ केले जाऊ शकतात. उपाय: सर्व MAB-प्रमाणित डिव्हाइसेसना अत्यंत प्रतिबंधित, वेगळ्या VLANs मध्ये ठेवा, ज्यामध्ये केवळ डिव्हाइसच्या संचालनासाठी आवश्यक असलेल्या विशिष्ट ट्रॅफिक फ्लोला अनुमती देणारे कडक ACLs असतील. डिफॉल्टनुसार सर्व MAB डिव्हाइसेसना अविश्वासू मानून वागवा. Evil Twin Attacks. एखादे रोग (rogue) AP कॉर्पोरेट SSID ब्रॉडकास्ट करते आणि सर्व्हर सर्टिफिकेट प्रमाणित न करणाऱ्या डिव्हाइसेसकडून क्रेडेंशियल्स चोरते. निवारण: सर्टिफिकेट व्हॅलिडेशन (वर दिल्याप्रमाणे) सक्तीचे करा आणि वायरलेस LAN कंट्रोलरवर रोग AP डिटेक्शन तैनात करा. बहुतांश एंटरप्राइझ-ग्रेड कंट्रोलर्समध्ये ही क्षमता मूळतःच (natively) समाविष्ट असते.
ROI आणि व्यावसायिक प्रभाव
WPA2-Personal कडून 802.1X-बॅक्ड WPA2-Enterprise आर्किटेक्चरकडे स्थलांतरित होण्यासाठी RADIUS इन्फ्रास्ट्रक्चरमध्ये आणि EAP-TLS डिप्लॉयमेंट्ससाठी, PKI (Public Key Infrastructure) मध्ये गुंतवणूक करणे आवश्यक आहे. तथापि, याचा बिझनेस केस अत्यंत फायदेशीर आहे.
जोखीम कमी करणे (Risk reduction) हा प्राथमिक चालक आहे. सामायिक केलेले PSKs काढून टाकल्याने वायरलेस नेटवर्कमधील सर्वात मोठा अटॅक वेक्टर नष्ट होतो. जेव्हा एखादा कर्मचारी नोकरी सोडतो, तेव्हा त्यांचा विशिष्ट ॲक्सेस Active Directory मध्ये मध्यवर्ती पद्धतीने रद्द केला जातो - संभाव्य हजारो ॲक्सेस पॉइंट्सवर PSK रोटेशन करण्याची आवश्यकता नसते. ४००-लोकेशन्स असलेल्या रिटेल इस्टेटमध्ये यामुळे होणारी ऑपरेशनल खर्चाची बचत लक्षणीय आहे.
अनुपालन सक्षमीकरण (Compliance enablement) हा दुय्यम चालक आहे. PCI DSS ची आवश्यकता ८ अनन्य युझर IDs आणि वैयक्तिक जबाबदारी अनिवार्य करते. 802.1X हे मूळतः प्रदान करते. ॲक्सेस कंट्रोल आणि ऑडिट लॉगिंगसाठी HIPAA च्या तांत्रिक सुरक्षा आवश्यकता देखील RADIUS अकाउंटिंग लॉग मधील 802.1X च्या प्रति-युझर ऑथेंटिकेशन रेकॉर्ड्सद्वारे पूर्ण केल्या जातात.
प्रमाणानुसार असणारी कार्यक्षम कार्यक्षमता (Operational efficiency) हा दीर्घकालीन फायदा आहे. सेंट्रल डिरेक्टरी इंटिग्रेशनद्वारे दैनंदिन व्यवस्थापन सुलभ होते. नवीन कर्मचाऱ्यांचे AD खाते तयार होताच त्यांना नेटवर्क ॲक्सेस मिळतो. नोकरी सोडणाऱ्यांचा ॲक्सेस खाते निष्क्रिय होताच बंद होतो. विसरलेल्या WiFi पासवर्डसाठी कोणत्याही हेल्पडेस्क तिकीटची गरज पडत नाही.
एन्क्रिप्शन (WPA2) ला ऑथेंटिकेशन (802.1X) पासून वेगळे करून, एंटरप्राइझ आयटी टीम्स अशी वायरलेस नेटवर्क्स तयार करतात जी स्केलेबल, ऑडिट करण्यायोग्य आणि लवचिक असतात - जी अत्यंत कडक कॉर्पोरेट सुरक्षा धोरणांना आणि अगदी अखंड अतिथी अनुभवांना (guest experiences) सपोर्ट करण्यास सक्षम असतात.
महत्वाच्या व्याख्या
WPA2 (WiFi Protected Access 2)
IEEE 802.11i वर आधारित असणारा एक WiFi Alliance सर्टिफिकेशन प्रोग्राम जो ट्रान्झिटमधील वायरलेस डेटासाठी AES-CCMP एन्क्रिप्शन अनिवार्य करतो.
वायरलेस कंट्रोलर्सवर SSIDs कॉन्फिगर करताना IT टीम्सना याचा सामना करावा लागतो. WPA2-Personal आणि WPA2-Enterprise मधील निवड हे ठरवते की ऑथेंटिकेशन सामायिक पासवर्डद्वारे हाताळले जाते की 802.1X सर्व्हरद्वारे.
IEEE 802.1X
पोर्ट-आधारित नेटवर्क ऍक्सेस कंट्रोल (PNAC) साठीचा एक IEEE मानक जो नेटवर्कशी कनेक्ट होऊ पाहणाऱ्या डिव्हाइसेससाठी ऑथेंटिकेशन फ्रेमवर्क प्रदान करतो.
वायरलेस कंट्रोलर्स आणि स्विचेसवर RADIUS इंटिग्रेशन कॉन्फिगर करताना याचा संदर्भ दिला जातो. ही ती मूळ यंत्रणा आहे जी WPA2-Enterprise ला प्रति-वापरकर्ता ऑथेंटिकेशन प्रदान करण्यास सक्षम करते.
Supplicant
क्लायंट डिव्हाइस (लॅपटॉप, स्मार्टफोन, IoT सेन्सर) जे 802.1X ऑथेंटिकेशन एक्सचेंज सुरू करते आणि क्रेडेंशियल्स किंवा प्रमाणपत्रे प्रदान करते.
ट्रबलशूटिंगमध्ये, सप्लिकंट हा सहसा कॉन्फिगरेशन समस्यांचा स्त्रोत असतो - विशेषतः वायरलेस नेटवर्क प्रोफाइलमधील प्रमाणपत्र व्हॅलिडेशन सेटिंग्जच्या बाबतीत.
Authenticator
नेटवर्क ऍक्सेस डिव्हाइस (सामान्यतः वायरलेस AP किंवा व्यवस्थापित स्विच) जे स्वतः ऍक्सेसचा निर्णय न घेता सप्लिकंट आणि ऑथेंटिकेशन सर्व्हर दरम्यान EAP मेसेज रिले करते.
ऑथेंटिकेटर जोपर्यंत RADIUS सर्व्हरकडून Access-Accept प्राप्त करत नाही तोपर्यंत सर्व नॉन-EAP ट्रॅफिक ब्लॉक करतो, ज्या क्षणी तो लॉजिकल पोर्ट उघडतो.
RADIUS (Remote Authentication Dial-In User Service)
एक केंद्रीकृत AAA (Authentication, Authorisation, and Accounting) प्रोटोकॉल सर्व्हर जो क्रेडेंशियल्सची पडताळणी करतो, पॉलिसी लागू करतो आणि ऍक्सेस इव्हेंट्स लॉग करतो.
RADIUS सर्व्हर हा कोणत्याही 802.1X तैनातीचा कणा असतो. हे Active Directory किंवा LDAP सह एकत्रित होते आणि यशस्वी ऑथेंटिकेशनवर डायनॅमिक VLAN असाइनमेंट्स आणि इतर पॉलिसी गुणधर्म परत पाठवते.
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security)
एक प्रमाणपत्र-आधारित EAP पद्धत ज्यासाठी क्लायंट आणि सर्व्हर दोन्हीवर डिजिटल प्रमाणपत्रे असणे आवश्यक आहे, जी परस्पर ऑथेंटिकेशन (mutual authentication) प्रदान करते.
ही सर्वात सुरक्षित EAP पद्धत मानली जाते. झिरो-ट्रस्ट कॉर्पोरेट वातावरणात वापरली जाते जिथे डिव्हाइसेस MDM द्वारे व्यवस्थापित केली जातात आणि प्रमाणपत्रे स्वयंचलितपणे तैनात केली जाऊ शकतात.
PEAP (Protected Extensible Authentication Protocol)
एक EAP पद्धत जी TLS टनेलमध्ये अंतर्गत ऑथेंटिकेशन एक्सचेंज सुरक्षित ठेवते, ज्यासाठी केवळ सर्व्हर-साइड प्रमाणपत्राची आवश्यकता असते.
BYOD आणि मिश्रित डिव्हाइसेसच्या वातावरणात मोठ्या प्रमाणावर वापरले जाते कारण ते युजर्सना क्लायंट प्रमाणपत्रांची आवश्यकता न ठेवता मानक AD युजरनेम आणि पासवर्ड क्रेडेंशियल्ससह ऑथेंटिकेट करण्याची अनुमती देते.
AES-CCMP
WPA2 मधील अनिवार्य एन्क्रिप्शन सायफर सूट, जे डेटाची गोपनीयता आणि अखंडतेसाठी AES ब्लॉक सायफरला CCMP प्रोटोकॉलसह एकत्रित करते.
आयटी टीम्सनी सर्व APs आणि क्लायंट डिव्हाइसेस AES-CCMP ला सपोर्ट करतात याची खात्री करणे आवश्यक आहे. TKIP फॉलबॅकची परवानगी देणारे कोणतेही डिप्लॉयमेंट WPA2 च्या सुरक्षा हमीला कमजोर करते.
4-Way Handshake
क्लायंट डिव्हाइस आणि ॲक्सेस पॉइंट दरम्यानचे WPA2 क्रिप्टोग्राफिक एक्सचेंज जे डेटा ट्रॅफिक एन्क्रिप्ट करण्यासाठी वापरली जाणारी सेशन-विशिष्ट पेअरवाईज ट्रान्झिएंट की (PTK) मिळवते.
RADIUS सर्व्हरद्वारे प्रदान केलेल्या मास्टर सेशन की चा वापर करून, यशस्वी 802.1X ऑथेंटिकेशननंतर घडते. प्रत्येक युजरची PTK अद्वितीय असते, ज्यामुळे सेशन्समधील ट्रॅफिकचे विलगीकरण सुनिश्चित होते.
Captive Portal
सार्वजनिक किंवा गेस्ट WiFi नेटवर्कवर ॲक्सेस देण्यापूर्वी युजर्सना दाखवले जाणारे वेब-आधारित ऑथेंटिकेशन किंवा संमती पृष्ठ.
हॉस्पिटॅलिटी, रिटेल आणि सार्वजनिक ठिकाणी वापरले जाते जेथे तात्पुरत्या युजर्ससाठी 802.1X व्यवहार्य नाही. Purple च्या Guest WiFi सारखे प्लॅटफॉर्म्स गेस्ट ट्रॅफिकला कॉर्पोरेट इन्फ्रास्ट्रक्चरपासून वेगळे ठेवून नियमांनुसार फर्स्ट-पार्टी डेटा गोळा करण्यासाठी captive portals चा वापर करतात.
सोडवलेली उदाहरणे
एक ४००-लोकेशन असलेली रिटेल चेन सध्या कर्मचारी टॅब्लेट आणि PoS टर्मिनल्स या दोन्हीवर सामायिक केलेला एकच WPA2-Personal पासवर्ड (PSK) वापरते. ते PCI DSS ऑडिटमध्ये आवश्यकता ८ (युनिक युझर IDs) आणि आवश्यकता १ (नेटवर्क सेगमेंटेशन) अंतर्गत अपयशी ठरत आहेत. त्यांना विद्यमान गेस्ट WiFi captive portal मध्ये कोणताही अडथळा न आणता अंतर्गत नेटवर्क सुरक्षित करायचे आहे. त्यांनी त्यांच्या वायरलेस सुरक्षेची पुनर्रचना कशी करावी?
पायरी १: कॉर्पोरेट ॲक्टिव्ह डिरेक्टरीसह एकत्रित केलेला RADIUS सर्व्हर (उदा. Cisco ISE, Microsoft NPS, किंवा FreeRADIUS) डिप्लॉय करा. वितरित मालमत्तेसाठी, दुर्गम साइट्सवरील ऑथेंटिकेशन लॅटन्सी कमी करण्यासाठी प्रादेशिक हबवर RADIUS प्रॉक्सी डिप्लॉय करा.
पायरी २: WPA2-Enterprise वापरण्यासाठी सर्व वायरलेस कंट्रोलर्सवर कॉर्पोरेट SSID पुन्हा कॉन्फिगर करा. कर्मचारी टॅब्लेटसाठी (AD युझर क्रेडेंशियल्सविरुद्ध ऑथेंटिकेट करणे) PEAP-MSCHAPv2 सह आणि PoS टर्मिनल्ससाठी मशिन सर्टिफिकेट्ससह (MDM द्वारे डिप्लॉय केलेले) EAP-TLS सह 802.1X कॉन्फिगर करा.
पायरी ३: डायनॅमिक VLAN असाइनमेंट ॲट्रिब्युट्स रिटर्न करण्यासाठी RADIUS सर्व्हर कॉन्फिगर करा. कर्मचारी टॅब्लेट कर्मचारी VLAN ला दिले जातात; PoS टर्मिनल्स केवळ पेमेंट प्रोसेसरच्या IP रेंजवर ट्रॅफिकला अनुमती देणाऱ्या ACLs सह पूर्णपणे वेगळ्या ठेवलेल्या PCI VLAN ला दिले जातात.
पायरी ४: गेस्ट SSID मध्ये कोणताही बदल करू नका. ते ओपन (किंवा सार्वजनिकरित्या माहित असलेल्या PSK सह WPA2-Personal) राहते परंतु एका स्वतंत्र VLAN शी मॅप केले जाते जे थेट Purple गेस्ट WiFi captive portal कडे मार्गस्थ करते. गेस्ट ट्रॅफिक कधीही PCI VLAN ला स्पर्श करत नाही.
पायरी ५: प्रति-युझर ऑथेंटिकेशन लॉग जनरेट करण्यासाठी सर्व APs वर RADIUS अकाउंटिंग सक्षम करा, ज्यामुळे PCI DSS ऑडिट ट्रेल आवश्यकता पूर्ण होतील.
एका युनिव्हर्सिटी कॅम्पसमध्ये क्रेडेंशियल हार्वेस्टिंग हल्ले होत आहेत. विद्यार्थी अधिकृत 'CampusNet' SSID ब्रॉडकास्ट करणाऱ्या रोग (rogue) ॲक्सेस पॉइंट्सशी कनेक्ट होत आहेत. नेटवर्क PEAP-MSCHAPv2 सह WPA2-Enterprise वापरते, परंतु विद्यार्थ्यांची डिव्हाइसेस RADIUS सर्व्हर सर्टिफिकेट व्हॅलिडेट करण्यासाठी कॉन्फिगर केलेली नाहीत. हा हल्ला करण्याचा मार्ग (attack vector) कोणता आहे आणि नेटवर्क टीमने याचे निवारण कसे करावे?
हा हल्ला 'Evil Twin' प्रकारचा आहे. हल्लेखोर अधिक सिग्नल सामर्थ्यासह 'CampusNet' ब्रॉडकास्ट करणारा एक अनधिकृत AP तैनात करतो. PEAP चॅलेंज सादर करणाऱ्या कोणत्याही सर्व्हरवर विश्वास ठेवण्यासाठी कॉन्फिगर केलेली विद्यार्थ्यांची डिव्हाइसेस, अनधिकृत AP शी कनेक्ट होतात आणि PEAP हँडशेक पूर्ण करतात, ज्यामुळे त्यांचे हॅश केलेले AD क्रेडेंशियल्स हल्लेखोराच्या सर्व्हरवर ट्रान्समिट होतात.
निवारण पायरी १: RADIUS सर्व्हरचे TLS प्रमाणपत्र जारी करणारा Root CA ओळखा. अंतर्गत CA वापरत असल्यास, हे CA प्रमाणपत्र सर्व विद्यार्थी आणि कर्मचाऱ्यांच्या डिव्हाइसेसवर वितरित केल्याची खात्री करा.
निवारण पायरी २: एक वायरलेस नेटवर्क प्रोफाइल तयार करा (विद्यापीठ व्यवस्थापित डिव्हाइसेससाठी MDM द्वारे, किंवा BYOD साठी डाउनलोड करण्यायोग्य कॉन्फिगरेशन प्रोफाइलद्वारे) ज्यामध्ये पुढील गोष्टी निर्दिष्ट असतील: (a) व्हॅलिडेट करण्यासाठी अचूक RADIUS सर्व्हर होस्टनाव, (b) विश्वसनीय Root CA, आणि (c) 'Validate Server Certificate' फ्लॅग true वर सेट केलेला असावा.
निवारण पायरी ३: वायरलेस LAN कंट्रोलर्सवर अनधिकृत AP शोध यंत्रणा तैनात करा. अधिकृत AP इन्व्हेंटरीमध्ये नसलेल्या आणि 'CampusNet' ब्रॉडकास्ट करणाऱ्या कोणत्याही AP साठी अलर्ट कॉन्फिगर करा.
निवारण पायरी ४: BYOD डिव्हाइसेससाठी, ऑनबोर्डिंग टूल (जसे की Cloudpath किंवा Cisco ISE चे BYOD पोर्टल) तैनात करण्याचा विचार करा जे सप्लिकंट कॉन्फिगरेशन अधिकृत करते, ज्यामुळे एंड युजर्सवरील भार कमी होतो.
सराव प्रश्न
Q1. तुमची संस्था 50 ऑफिस लोकेशन्सवर WPA2-Personal वरून WPA2-Enterprise कडे स्थलांतरित होत आहे. पायलट टेस्टिंग दरम्यान, युजर्स रिपोर्ट करतात की त्यांचे Windows लॅपटॉप त्यांचे युजरनेम आणि पासवर्ड एंटर करण्यापूर्वी त्यांना 'प्रमाणपत्र स्वीकारा' अशी विनंती करणारा प्रॉम्ट दाखवत आहेत. अनेक युजर्स 'नकारा' वर क्लिक करतात आणि कनेक्ट होऊ शकत नाहीत. या वर्तनाचे कारण काय आहे आणि संपूर्ण रोलआउटपूर्वी याचे निवारण कसे केले पाहिजे?
टीप: PEAP ऑथेंटिकेशनमध्ये सप्लिकंटच्या भूमिकेचा विचार करा आणि क्रेडेंशियल्स ट्रान्समिट करण्यापूर्वी ते RADIUS सर्व्हरची ओळख कशी सत्यापित करते ते पहा.
नमुना उत्तर पहा
Windows सप्लिकंट हा PEAP TLS हँडशेकचा भाग म्हणून सर्व्हर प्रमाणपत्र प्रमाणीकरण करत आहे. RADIUS सर्व्हरचे प्रमाणपत्र अंतर्गत CA द्वारे जारी केले गेल्याने जे डिव्हाइसच्या विश्वसनीय रूट स्टोअरमध्ये नाही, Windows युजरला ते मॅन्युअली स्वीकारण्यास प्रवृत्त करते. प्रमाणपत्रे स्वीकारण्यासाठी युजर्सवर अवलंबून राहणे हा खराब युजर अनुभव आहे आणि सुरक्षेचा धोका देखील आहे - कोणत्याही प्रमाणपत्रावर 'स्वीकारा' क्लिक करणारे युजर्स Evil Twin हल्ल्यांना तितकेच बळी पडू शकतात. योग्य तोडगा म्हणजे अंतर्गत Root CA प्रमाणपत्र सर्व कॉर्पोरेट डिव्हाइसेसना वितरित करण्यासाठी ग्रुप पॉलिसी (GPO) वापरणे आणि त्यावर स्वयंचलितपणे विश्वास ठेवण्यासाठी आणि RADIUS सर्व्हर होस्टनेम सत्यापित करण्यासाठी Windows वायरलेस प्रोफाइल आधीच कॉन्फिगर करणे. हे प्रॉम्ट पूर्णपणे काढून टाकते आणि युजरच्या हस्तक्षेपाशिवाय प्रमाणपत्र प्रमाणीकरण लागू करते.
Q2. एका हॉस्पिटलच्या आयटी डायरेक्टरला IoT वैद्यकीय उपकरणे (इन्फ्युजन पंप, पेशंट मॉनिटरिंग सिस्टम) वायरलेस नेटवर्कशी कनेक्ट करणे आवश्यक आहे. ही उपकरणे एम्बेडेड फर्मवेअर चालवतात ज्यात 802.1X सप्लिकंट क्षमता नाही आणि ती केवळ स्टॅटिक प्री-शेअर्ड की वापरून कनेक्ट होऊ शकतात. नेटवर्क आर्किटेक्टने संपूर्ण सुरक्षेशी तजोड न करता या उपकरणांचे व्यवस्थापन कसे करावे?
टीप: नेटवर्क सेगमेंटेशन, VLAN आयसोलेशन आणि 802.1X ला पर्याय म्हणून MAC ऑथेंटिकेशन बायपासशी संबंधित धोक्यांचा विचार करा.
नमुना उत्तर पहा
हे उपकरणे 802.1X करू शकत नसल्यामुळे, आर्किटेक्टकडे दोन पर्याय आहेत: डेdedicated SSID वर WPA2-Personal (PSK), किंवा कॉर्पोरेट SSID वर MAC Authentication Bypass (MAB). ऑडिट करण्याच्या सुलभतेसाठी सामान्यतः MAB ला प्राधान्य दिले जाते परंतु यात स्पूफिंगचे धोके असतात. कोणताही प्रमाणीकरण पर्याय निवडला तरी, सर्वात महत्त्वाचे नियंत्रण म्हणजे नेटवर्कचे विभाजन (network segmentation) आहे. ही उपकरणे एका स्वतंत्र, विलग केलेल्या VLAN वर ठेवली पाहिजेत, ज्यावर कठोर ACLs असावेत जे केवळ आवश्यक असलेल्या विशिष्ट ट्रॅफिक प्रवाहांनाच अनुमती देतात - उदाहरणार्थ, विशिष्ट पोर्टवर क्लिनिकल मॅनेजमेंट सर्व्हरशी संवाद साधणे आणि इतर सर्व ट्रॅफिक ब्लॉक करणे. या SSID किंवा MAB VLAN ला कॉर्पोरेट नेटवर्क, PoS वातावरण किंवा इंटरनेटवर जाण्यासाठी कोणताही राउटिंग मार्ग नसावा. याव्यतिरिक्त, PSK (वापरला गेल्यास) वेळोवेळी बदलला पाहिजे आणि त्याचे व्यवस्थापन केंद्रीय पद्धतीने केले पाहिजे. उपकरणांची नोंदणी MAC address नुसार केली पाहिजे आणि वैद्यकीय उपकरणांच्या VLAN मध्ये सामील होण्याचा प्रयत्न करणाऱ्या कोणत्याही अनोळखी MAC साठी अलर्ट ट्रिगर झाला पाहिजे.
Q3. एक स्टेडियम CIO ६०,००० क्षमतेच्या ठिकाणी चाहत्यांच्या WiFi ऑनबोर्डिंग अनुभवात सुधारणा करण्यासाठी Passpoint (Hotspot 2.0) चे मूल्यमापन करत आहेत. CIO विचारतात: 'Passpoint हे WPA2 आणि 802.1X ची जागा घेते, की ते यांचा वापर करते?' आपण काय उत्तर द्याल, आणि या आकाराच्या उपयोजनासाठी (deployment) मुख्य कार्यात्मक बाबी कोणत्या आहेत?
टीप: Passpoint नेमके काय ऑटोमेट करते विरुद्ध ते कशाची जागा घेते, आणि उच्च-घनता असलेल्या ठिकाणासाठी आवश्यक असणारी RADIUS क्षमता लक्षात घ्या.
नमुना उत्तर पहा
Passpoint हे WPA2 किंवा 802.1X ची जागा घेत नाही - तर ते त्यांना स्वयंचलित (automate) आणि अमूर्त (abstract) करते. Passpoint हा WPA2-Enterprise (किंवा WPA3-Enterprise) आणि 802.1X वर तयार केलेला एक प्रोव्हिजनिंग आणि डिस्कव्हरी लेअर आहे. हे प्रमाणीकरणासाठी 802.1X चा वापर करते (सहसा मोबाईल कॅरियर किंवा लॉयल्टी ॲप आयडेंटिटी प्रदाता कडील क्रेडेंशियल्सद्वारे) आणि अंतिम सेशन सुरक्षित करण्यासाठी WPA2/WPA3 चा वापर करते. चाहत्यांच्या दृष्टीकोनातून, त्यांचे उपकरण कोणत्याही मॅन्युअल कॉन्फिगरेशनशिवाय स्वयंचलितपणे कनेक्ट होते. नेटवर्कच्या दृष्टीकोनातून, प्रत्येक कनेक्शन हे पूर्ण 802.1X एक्सचेंज असते. ६०,००० क्षमतेच्या ठिकाणी मुख्य कार्यात्मक बाबी खालीलप्रमाणे आहेत: (१) एकाच वेळी येणाऱ्या प्रमाणीकरणाच्या वादळाला (authentication storms) हाताळण्यासाठी RADIUS पायाभूत सुविधांचे आकारमान योग्य असावे - विशेषतः सामना सुरू होताना जेव्हा हजारो उपकरणे एकाच वेळी कनेक्ट होण्याचा प्रयत्न करतात; (२) RADIUS सर्व्हर्स लोड बॅलेंसिंग आणि भौगोलिक रिडंडन्सीसह तैनात केले पाहिजेत; (३) आयडेंटिटी प्रदाता (जसे की OpenRoaming फ्रेमवर्क अंतर्गत Purple) कडे पुरेसा थ्रुपुट करार असणे आवश्यक आहे; आणि (४) चाहते स्टेडियममध्ये फिरत असताना पुन्हा-प्रमाणीकरणाचा त्रास कमी करण्यासाठी वायरलेस कंट्रोलरने फास्ट BSS ट्रान्झिशन (802.11r) ला सपोर्ट केला पाहिजे.
वारंवार विचारले जाणारे प्रश्न
802.1X हा WPA2 सारखा एन्क्रिप्शन प्रोटोकॉल आहे का?
नाही. WPA2 हे IEEE 802.11i वायरलेस सुरक्षा तपशील आहे जे AES-CCMP वापरून एअर इंटरफेस एन्क्रिप्शन हाताळते. याउलट, IEEE 802.1X हे पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोल (PNAC) मानक आहे जे नेटवर्क पोर्ट किंवा वायरलेस असोसिएशन मंजूर होण्यापूर्वी क्लायंट सप्लिकंट्स RADIUS सर्व्हरद्वारे कसे ऑथेंटिकेट करतात हे परिभाषित करते.
WPA2-Personal आणि WPA2-Enterprise मधील मुख्य फरक काय आहे?
WPA2-Personal एक स्टॅटिक Pre-Shared Key (PSK) वापरते जेथे सर्व कनेक्ट केलेले क्लायंट अगदी समान पासफ्रेज शेअर करतात, ज्यामुळे ते हँडशेक कॅप्चर आणि पासवर्ड शेअरिंगला बळी पडतात. WPA2-Enterprise हे प्रत्येक वापरकर्त्याला किंवा डिव्हाइसला स्वतंत्र क्रेडेंशियल्ससह किंवा RADIUS द्वारे X.509 डिजिटल प्रमाणपत्रांसह स्वतंत्रपणे ऑथेंटिकेट करण्यासाठी IEEE 802.1X समाकलित करते, ज्यामुळे ट्रॅफिक विलग होते आणि त्वरित सिंगल-युझर रिव्होकेशन सक्षम होते.
PEAP-MSCHAPv2 पेक्षा EAP-TLS सह 802.1X अधिक सुरक्षित का आहे?
EAP-TLS क्लायंट डिव्हाइस आणि RADIUS सर्व्हर दोन्हीवर स्थापित केलेल्या X.509 प्रमाणपत्रांद्वारे परस्पर क्रिप्टोग्राफिक ऑथेंटिकेशन वापरते. PEAP-MSCHAPv2 च्या विपरीत, कोणतेही पासवर्ड किंवा MS-CHAPv2 हॅश नेटवर्कवरून प्रवास करत नाहीत, ज्यामुळे Evil Twin बनावट ॲक्सेस पॉइंट्स, पासवर्ड स्प्रेचे प्रयत्न आणि asleap सारख्या साधनांसह ऑफलाइन डिक्शनरी क्रॅकिंग पूर्णपणे कमी होते.
हेडलेस IoT डिव्हाइसेस 802.1X नेटवर्कशी कनेक्ट होऊ शकतात का?
बहुतेक हेडलेस IoT एंडपॉइंट्समध्ये (जसे की प्रिंटर, स्मार्ट टीव्ही आणि सेन्सर) मूळ 802.1X सप्लिकंट्स नसतात आणि ते EAP ऑथेंटिकेशन करू शकत नाहीत. एंटरप्राइझ नेटवर्क त्यांना MAC Authentication Bypass (MAB) किंवा डायनॅमिक प्रायव्हेट Pre-Shared Keys (PPSK / MPSK) वापरून सामावून घेतात, तसेच Cloud RADIUS द्वारे त्यांना मर्यादित IoT VLANs मध्ये विलग करतात.
802.1X डायनॅमिक VLAN असाइनमेंट एंटरप्राइझ सुरक्षा कशी वाढवते?
802.1X ऑथेंटिकेशन एक्सचेंज दरम्यान, RADIUS सर्व्हर ॲक्सेस पॉइंट किंवा स्विचला RFC 2868 आणि RFC 3580 वेंडर ॲट्रिब्युट्स (Tunnel-Type, Tunnel-Medium-Type, Tunnel-Private-Group-ID) परत करतो, ज्यामुळे ऑथेंटिकेट केलेले डिव्हाइस त्याच्या भूमिकेनुसार किंवा डिव्हाइसच्या स्थितीनुसार स्वयंचलितपणे नियुक्त केलेल्या VLAN मध्ये समाविष्ट केले जाते.
या मालिकेमध्ये पुढे वाचा
iOS आणि macOS 802.1X ट्रबलशूटिंग: Intune, Jamf आणि Microsoft Entra ID साठी एक डिप्लोयमेंट चेकलिस्ट
iPhones, iPads आणि Macs वर Intune किंवा Jamf Pro च्या माध्यमातून 802.1X का अयशस्वी होत आहे याचे निदान करण्यासाठी ही चेकलिस्ट वापरा. प्रत्येक बिघाड चारपैकी एका कारणामुळे होतो: सर्व्हर ट्रस्ट, आयडेंटिटी सर्टिफिकेट, macOS मोड किंवा Microsoft Entra ID ग्रुप स्कोपिंग. तुम्ही eapolclient आणि RADIUS लॉग्समधून कारणाची खात्री कराल, त्यावर उपाय लागू कराल आणि भविष्यातील सर्टिफिकेट रोटेशनचे टप्पे ठरवाल.
Intune WiFi प्रोफाइल सर्व्हर ट्रस्ट: Entra ID साठी सर्टिफिकेट सर्व्हर नावे आणि रूट CA चेकलिस्ट
तुम्ही Intune WiFi प्रोफाईलचे सर्व्हर व्हॅलिडेशन कॉन्फिगर करू शकाल जेणेकरून EAP-TLS आणि PEAP हे Windows, Apple आणि Android वर कनेक्ट होतील. तुम्ही सर्टिफिकेट सर्व्हरच्या नावांना RADIUS सर्टिफिकेटशी जुळवून घ्याल, योग्य root CA डिप्लोय कराल, Microsoft Entra ID ग्रुप असाइनमेंट्स अलाइन कराल आणि सर्टिफिकेट रिन्यूअल्स कनेक्शन खंडित करण्यापूर्वी ते आधीच स्टेज करून ठेवाल.
Android 802.1X आणि EAP-TLS ट्रबलशूटिंग: Intune आणि Microsoft Entra ID साठी एक डिप्लॉयमेंट चेकलिस्ट
तुम्ही हे शोधून काढू शकाल की व्यवस्थापित Android फोन्स तुमच्या स्टाफ SSID वर EAP-TLS मध्ये का अपयशी ठरतात आणि ते Intune मध्ये दुरुस्त करू शकाल. प्रत्येक समस्येला चार सामान्य कारणांशी जुळवून घ्या - गहाळ CA किंवा डोमेन, चुकीच्या प्रोफाइलमधील क्लायंट प्रमाणपत्र, न जुळणारे RADIUS सर्व्हरचे नाव व्हॅल्यू, किंवा न पोहोचवलेले ट्रस्टेड रूट. त्यानंतर एक रोलआउट चेकलिस्ट लागू करा जी पुन्हा होणारे आउटेज थांबवते.
तुमच्या विशिष्ट सेटअपबद्दल काही प्रश्न आहेत का?
आमची टीम ८०,००० हून अधिक वेन्यूजमधील वेन्यू ऑपरेटर्स, IT मॅनेजर्स आणि नेटवर्क इंजिनिअर्ससोबत काम करते. २० मिनिटांचा कॉल बुक करा आणि तुमच्यासारख्या इतरांनी ही समस्या कशी सोडवली हे आम्ही तुम्हाला दाखवू.