EAP-TLS बनाम PEAP: सुरक्षा, प्रमाण पत्र और उपयुक्तता

eap tls vs peap पर सबसे आम सलाह सीधी और गलत है। EAP-TLS चुनें क्योंकि यह "अधिक सुरक्षित" है, और PEAP को उन टीमों के लिए छोड़ दें जो अभी पीछे हैं। यह उस प्रश्न को नजरअंदाज करता है जो यह तय करता है कि मंडे को एक बहु-स्थान WLAN अभी भी चालू है या नहीं। क्या आप हर उस डिवाइस के लिए प्रमाणपत्र जारी, नवीनीकृत और रद्द कर सकते हैं जिसे इसका उपयोग करना चाहिए?

मैं पूरी संपत्ति में एक ही तरीका लागू नहीं करूँगा। EAP-TLS उन डिवाइसों के लिए है जिन्हें आप इनरोल और रिन्यू कर सकते हैं। PEAP, लगभग हमेशा इनर EAP-MSCHAPv2 के साथ, वहाँ के लिए है जहाँ डायरेक्टरी पासवर्ड पहले से मौजूद है और सर्टिफिकेट इनरोलमेंट व्यावहारिक नहीं है। कठिन तरीका हमेशा वह नहीं होता जिसे आप चला सकें। होटल के बैक ऑफिस में एक एक्सपायर हुआ सर्टिफिकेट स्टाफ को लॉक आउट कर देता है जबकि उनके अकाउंट वैलिड रहते हैं। PEAP प्रोफाइल जो सर्वर चेक को छोड़ देती है, वह एक फ़र्जी एक्सेस पॉइंट को डायरेक्टरी पासवर्ड सौंप सकती है। दोनों विफलताएं ऑपरेशनल हैं। पूरे नेटवर्क के लिए किसी एक विजेता की तलाश करने के बजाय आबादी के हिसाब से तरीका असाइन करें।

विषय-सूची

• EAP-TLS और PEAP का आमने-सामने तुलना
  • पंक्तियाँ वास्तव में क्या बदलती हैं
• प्रत्येक विधि कैसे प्रमाणित करती है और पासवर्ड कहाँ लीक होते हैं
  • दो अनुक्रम, एक ढांचा
  • जहाँ supplicant परिणाम तय करता है
• रोलआउट से पहले प्रमाण पत्र की आवश्यकताएं
• प्रमाण पत्र जीवनचक्र और रोलआउट प्रयास
  • प्रमाण पत्रों को आउटेज का कारण बनने से रोकें
• निरसन (Revocation) रोमिंग गति और क्लाइंट समर्थन
  • हैंडशेक्स, ब्रांड नाम नहीं
• प्रत्येक आबादी को असाइन करें और विभाजन को सिद्ध करें
  • कौन पासवर्ड पर रहता है, और किसे नहीं रहना चाहिए
  • इसे एक साइट पर सिद्ध करें

EAP-TLS और PEAP अगल-बगल

EAP-TLS और PEAP के बीच व्यावहारिक अंतर वह क्रेडेंशियल है जिसे प्रत्येक एंडपॉइंट सपोर्ट कर सकता है और इसे उपयोग योग्य बनाए रखने के लिए आवश्यक कार्य है। जिन डिवाइसों को आप एनरोल और नवीनीकृत कर सकते हैं, उनके लिए EAP-TLS का उपयोग करें। जहां उपयोगकर्ताओं के पास पहले से ही डायरेक्टरी पासवर्ड हैं और प्रमाणपत्र एनरोलमेंट व्यावहारिक नहीं है, वहां PEAP का उपयोग करें। दोनों में से कोई भी विधि हर आबादी के लिए सही उत्तर नहीं है।

मापदंड	EAP-TLS	PEAP
EAP प्रकार ID	13	26
क्लाइंट क्रेडेंशियल	X.509 क्लाइंट प्रमाणपत्र	उपयोगकर्ता नाम और पासवर्ड, आमतौर पर EAP-MSCHAPv2 या EAP-GTC
सर्वर क्रेडेंशियल	RADIUS सर्वर प्रमाणपत्र	बाहरी TLS टनल पर RADIUS सर्वर प्रमाणपत्र
पारस्परिक प्रमाणीकरण	क्लाइंट और सर्वर प्रमाणपत्र	सर्वर प्रमाणपत्र के साथ आंतरिक उपयोगकर्ता या डिवाइस प्रमाणीकरण
वायर पर पासवर्ड	कोई नहीं	हाँ, TLS टनल के अंदर
यदि क्लाइंट सर्वर जांच को छोड़ देता है तो एक अनधिकृत AP क्या चुरा सकता है	पासवर्ड जैसी कोई चीज़ नहीं; प्रमाणीकरण बंद होकर विफल हो जाता है	निर्देशिका पासवर्ड
एक डिवाइस का रद्दीकरण	उस प्रमाणपत्र को रद्द करें या उसकी अवधि समाप्त होने दें	खाता अक्षम करें या वह पासवर्ड रीसेट करें जिसका पुनः उपयोग किया जा सकता है
PKI कार्य	सर्वर और क्लाइंट प्रमाणपत्र, नवीनीकरण और पुनर्प्राप्ति	केवल सर्वर प्रमाणपत्र
सबसे उपयुक्त पहला विकल्प	MDM-प्रबंधित कर्मचारी और विशेषाधिकार प्राप्त उपकरण	अप्रबंधित एंडपॉइंट जो प्रमाणपत्रों को नामांकित नहीं कर सकते हैं

एक 2025 Authentik तकनीकी लेख में EAP-TLS की पहचान EAP प्रकार ID 13 के रूप में और PEAP की पहचान प्रकार ID 26 के रूप में की गई है। ये ID, RADIUS और सप्लिकेंट के तरीकों की पहचान करती हैं। वे यह तय नहीं करतीं कि किन लोगों या डिवाइसों को उनका उपयोग करना चाहिए।

पंक्तियाँ वास्तव में क्या बदलती हैं

क्लाइंट क्रेडेंशियल परिचालन सीमा निर्धारित करता है। EAP-TLS एक X.509 client certificate प्रस्तुत करता है। PEAP username and password का उपयोग करता है, आमतौर पर EAP-MSCHAPv2 या EAP-GTC के माध्यम से। यह तरीकों की एक सैद्धांतिक रैंकिंग के बजाय, सर्टिफिकेट नामांकन और नवीनीकरण को निर्णायक कार्यभार बनाता है।

ट्रस्ट जांच भी भिन्न होती हैं। EAP-TLS क्लाइंट और सर्वर दोनों प्रमाणपत्रों को प्रमाणित करता है। PEAP बाहरी TLS टनल पर RADIUS सर्वर प्रमाणपत्र को सत्यापित करता है, फिर आंतरिक विधि से उपयोगकर्ता या डिवाइस को प्रमाणित करता है।

पासवर्ड एक्सपोजर सप्लिकेंट कॉन्फ़िगरेशन पर निर्भर करता है। EAP-TLS में वायर पर कोई पासवर्ड नहीं होता है। PEAP अपनी टनल के भीतर एक पासवर्ड ले जाता है, इसलिए एक क्लाइंट जो सर्वर चेक्स को छोड़ देता है, वह किसी फर्जी एक्सेस प्वाइंट के सामने डायरेक्टरी पासवर्ड उजागर कर सकता है। EAP-TLS के साथ, गायब या अमान्य क्लाइंट प्रमाण पत्र के कारण प्रमाणीकरण विफल हो जाता है।

ऑफबोर्डिंग भी इस बात पर निर्भर करती है कि किसे प्रबंधित किया जा रहा है। किसी व्यक्ति के डायरेक्टरी पासवर्ड को रीसेट किए बिना एक डिवाइस प्रमाणपत्र को रद्द किया जा सकता है या समाप्त होने दिया जा सकता है। किसी खाते को अक्षम करने या पुनः उपयोग किए गए पासवर्ड को बदलने से उस क्रेडेंशियल से जुड़े अन्य लॉगिन प्रभावित हो सकते हैं।

ऑपरेशनल समझौता स्पष्ट है: EAP-TLS के लिए क्लाइंट सर्टिफिकेट, रिन्यूअल और रिकवरी पाथ की आवश्यकता होती है, जबकि PEAP के लिए सर्वर सर्टिफिकेट और सावधानीपूर्वक सप्लिकेंट कॉन्फ़िगरेशन की आवश्यकता होती है। इनरोल किए गए स्टाफ और विशेषाधिकार प्राप्त डिवाइसों के लिए EAP-TLS असाइन करें; PEAP को उन अनमैनेज्ड एंडपॉइंट्स के लिए रखें जो सर्टिफिकेट मैनेजमेंट में शामिल नहीं हो सकते। मेंबरशिप प्लेटफॉर्म के लिए सर्वरलेस इंफ्रास्ट्रक्चर चलाने वाली टीमों के पास अलग-अलग मेंबर, स्टाफ और डिवाइस आबादी हो सकती है, लेकिन होस्टिंग मॉडल ऑथेंटिकेशन मेथड का चयन नहीं करता है। क्रेडेंशियल को इस बात से मेल खाना चाहिए कि आप किसे मैनेज कर सकते हैं।

प्रत्येक विधि कैसे प्रमाणित करती है और पासवर्ड कहाँ लीक होते हैं

EAP-TLS स्वतः ही प्रत्येक उपयोगकर्ता के लिए सही उत्तर नहीं है। मुख्य निर्णय यह है कि क्या आपकी टीम प्रत्येक समूह के लिए विश्वसनीय रूप से प्रमाणपत्र जारी, नवीनीकृत और रद्द कर सकती है। PEAP अनप्रबंधित उपयोगकर्ताओं के लिए ऑनबोर्डिंग को सरल रखता है, लेकिन इसका पासवर्ड सही सप्लिकेंट कॉन्फ़िगरेशन पर निर्भर करता है।

दोनों तरीके 802.1X का उपयोग करते हैं। सप्लिकेंट पहुंच का अनुरोध करने वाला उपकरण है, प्रमाणीकर्ता (authenticator) उस अनुरोध को रिले करने वाला एक्सेस प्वाइंट या स्विच है, और RADIUS सर्वर इसे स्वीकार या अस्वीकार करता है। वे एक क्रेडेंशियल नहीं, बल्कि EAP फ्रेमवर्क साझा करते हैं।

IETF EAP विनिर्देश सूचकांक IETF RFC 5216 में परिभाषित EAP-TLS को प्रमाणपत्र-आधारित क्लाइंट और सर्वर प्रमाणीकरण के रूप में वर्णित करता है, जिसमें पारस्परिक प्रमाणीकरण, अखंडता-संरक्षित सिफर-सूट बातचीत और कुंजी व्युत्पत्ति शामिल है। यह विनिर्देश मार्च 2008 में प्रकाशित किया गया था। व्यवहार में, EAP-TLS को RADIUS सर्वर प्रमाणपत्र के साथ-साथ PKI के माध्यम से जारी किए गए क्लाइंट प्रमाणपत्र की आवश्यकता होती है।

दो अनुक्रम, एक ढांचा

EAP-TLS एक TLS एक्सचेंज में दोनों एंडपॉइंट्स को प्रमाणित करता है:

1. सप्लीकेंट प्रमाणीकर्ता के साथ EAP शुरू करता है, जो इस अनुरोध को RADIUS तक रिले करता है।
2. TLS एक्सचेंज के दौरान सर्वर और क्लाइंट सर्टिफिकेट की जांच की जाती है।
3. यह एक्सचेंज सिफर-सूट वार्ता की सुरक्षा करता है और चाबियां प्राप्त करता है, बिना किसी ऐसा पासवर्ड भेजे जिसे फ़िश किया जा सके, रीप्ले किया जा सके या ब्रूट-फोर्स किया जा सके।
4. एक गायब या अविश्वासी क्लाइंट सर्टिफिकेट का अर्थ है कि डिवाइस को अस्वीकार कर दिया गया है। यह पासवर्ड टाइप करने के विकल्प पर वापस नहीं जा सकता।

PEAP एक बाहरी TLS टनल बनाता है जो सर्वर को प्रमाणित करता है, फिर एक आंतरिक विधि चलाता है, जो आमतौर पर EAP-MSCHAPv2 या EAP-GTC होती है। चूंकि आंतरिक विधि उपयोगकर्ता नाम और पासवर्ड का उपयोग कर सकती है, इसलिए एंडपॉइंट्स को आमतौर पर क्लाइंट सर्टिफिकेट की आवश्यकता नहीं होती है। IETF EAP विनिर्देश सूचकांक उन मानकों के ढांचे का भी वर्णन करता है जिनका उपयोग ये विधियां करती हैं।

उपयोगकर्ता PEAP टनल का बाहरी हिस्सा नहीं देखते हैं। आंतरिक पहचान, जो आमतौर पर एक उपयोगकर्ता नाम और पासवर्ड या एक टोकन होती है, TLS स्थापित होने के बाद ही भेजी जाती है। यह PEAP को डायरेक्टरी-आधारित सप्लिकेंट्स के लिए परिचित बनाता है, जबकि यदि क्लाइंट टनल को ठीक से सत्यापित नहीं करता है तो पासवर्ड उजागर हो जाता है।

आंतरिक EAP-TLS के साथ PEAP एक अधिक जटिल विशेष मामला है, जो बाहरी TLS टनल के साथ प्रमाणपत्र विधि को जोड़ता है। "PEAP" लेबल वाले परिनियोजन का अर्थ आमतौर पर PEAP-MSCHAPv2 होता है।

जहाँ सप्लिकेंट (supplicant) परिणाम तय करता है

एक एंटरप्राइज वायरलेस EAP विधियों का विवरण इसके अंतर को स्पष्ट करता है: EAP-TLS पारस्परिक X.509 प्रमाणीकरण का उपयोग करता है। RADIUS क्लाइंट प्रमाणपत्र को सत्यापित करता है, और क्लाइंट सर्वर प्रमाणपत्र को सत्यापित करता है। फिशिंग, रीप्ले या ब्रूट-फोर्स करने के लिए कोई पासवर्ड उपलब्ध नहीं है। विवरण में यह भी कहा गया है कि NIST को वायरलेस स्टेशन और प्रमाणीकरण सर्वर दोनों के पास वैध प्रमाणपत्र रखने की आवश्यकता होती है।

PEAP के साथ, क्लाइंट को RADIUS प्रमाणपत्र श्रृंखला और अपेक्षित सर्वर नाम को मान्य करना होगा। यदि दोनों में से कोई भी जांच गायब है, तो एक अनधिकृत एक्सेस प्वाइंट डायरेक्टरी पासवर्ड का अनुरोध कर सकता है। "do not validate" पर सेट किया गया एक सप्लिकेंट प्रोफ़ाइल पासवर्ड की रक्षा नहीं करता है।

व्यावहारिक नियम: WiFi प्रोफ़ाइल में RADIUS सर्वर नाम और जारीकर्ता CA को पिन करें। इन जांचों के बिना, PEAP किसी फ़र्जी सर्वर को पासवर्ड दे सकता है।

कैप्चर की गई MS-CHAPv2 प्रतिक्रियाओं को हमलावर द्वारा एक फ़र्जी टनल के माध्यम से प्राप्त करने के बाद ऑफलाइन क्रैक किया जा सकता है। टनल को वैलिडेट करना ही नियंत्रण है; इनर मेथड उस प्रोफाइल को नहीं बचा सकती जो किसी अविश्वसनीय सर्वर को स्वीकार करती है। यही पासवर्ड जोखिम केवल WiFi तक सीमित नहीं है। ऑस्ट्रेलियाई छोटे व्यवसायों में कम्प्रोमाइज्ड क्रेडेंशियल्स की रिपोर्ट इस बात को रेखांकित करती है कि पुनः उपयोग किया गया डायरेक्टरी पासवर्ड किसी हमलावर के लिए मूल्यवान क्यों बना रहता है।

EAP-TLS को उन प्रबंधित उपकरणों और उपयोगकर्ताओं को सौंपें जिनके प्रमाणपत्र जीवनचक्र को आप संचालित कर सकते हैं। PEAP का उपयोग वहां करें जहां उपयोगकर्ता या उपकरण विश्वसनीय रूप से प्रमाणपत्र प्राप्त और नवीनीकृत नहीं कर सकते, लेकिन सप्लीकेंट प्रोफ़ाइल के माध्यम से सर्वर-नाम और CA सत्यापन लागू करें। परिचालन संबंधी समझौता प्रत्यक्ष है: प्रमाणपत्रों के नामांकन और पुनर्प्राप्ति में काम लगता है, जबकि पासवर्ड आपको पुनः उपयोग और खाता परिवर्तनों को प्रबंधित करने के झंझट में छोड़ देते हैं। बेहतर तरीका इस बात पर निर्भर करता है कि आप किसे प्रबंधित कर सकते हैं, न कि हर SSID के लिए एक ही विजेता घोषित करने पर।

रोलआउट से पहले प्रमाणपत्र आवश्यकताएँ

पहले प्रोडक्शन जॉइन से पहले प्रयोगशाला में इन छह वस्तुओं की पुष्टि करें। एक गायब चेन या गलत नाम "WiFi बंद है" जैसा दिखेगा, प्रमाणपत्र की गलती जैसा नहीं।

1. RADIUS सर्वर प्रमाण पत्र। इसे अपने निजी CA से जारी करें। Supplicant प्रोफ़ाइल द्वारा पिन किए जाने वाले नाम को विषय (subject) या SAN में रखें। सर्वर प्रमाणीकरण उपयोग सेट करें, और प्रमाण पत्र के साथ पूरी मध्यवर्ती श्रृंखला (intermediate chain) प्रदान करें। एक सार्वजनिक CA जो किसी भी मिलान वाले नाम पर हस्ताक्षर करेगा, वह आंतरिक RADIUS नाम के लिए गलत ट्रस्ट मॉडल है।
2. क्लाइंट प्रमाण पत्र। प्रति डिवाइस या उपयोगकर्ता एक, क्लाइंट प्रमाणीकरण उपयोग के साथ। SAN में एक विशिष्ट पहचान रखें, जैसे कि उपयोगकर्ता का मुख्य नाम (UPN) या डिवाइस सीरियल नंबर। जब प्लेटफ़ॉर्म इसका समर्थन करता है, तो निजी कुंजी को TPM या सुरक्षित एन्क्लेव में संग्रहीत करें।
3. ट्रस्ट एंकर। MDM प्रोफ़ाइल के माध्यम से आंतरिक रूट या जारीकर्ता CA इंस्टॉल करें। डिवाइसों को किसी सार्वजनिक रूट पर न निर्देशित करें और यह उम्मीद न करें कि केवल नाम की जांच ही पर्याप्त होगी।
4. वैधता और नवीनीकरण। सर्वर प्रमाण पत्र और क्लाइंट प्रमाण पत्रों के लिए एक जीवनकाल प्रकाशित करें। एक ओवरलैप विंडो बनाएं ताकि पुराने प्रमाण पत्र की समाप्ति से पहले नया इंस्टॉल हो जाए।
5. निरसन (Revocation)। RADIUS सर्वर को एक CRL या OCSP एंडपॉइंट दें जहाँ तक वह पहुँच सके। लिखित रूप में निर्णय लें कि जब वह एंडपॉइंट ऑफ़लाइन हो तो प्रमाणीकरण विफल होता है या जारी रहता है। ऑफ़लाइन स्थिति का परीक्षण करें। WAN में किसी छोटी समस्या के दौरान इसका अचानक पता न चलने दें।
6. नामांकन चैनल (Enrolment channel)। MDM के माध्यम से SCEP या PKCS#12 के साथ प्रमाण पत्र प्रदान करें। किसी समूह को लक्षित करने से पहले, नवीनीकरण सहित, एक डिवाइस पर इसे सिद्ध करें।

मान लीजिए कि एक क्लिनिक साइट कर्मचारियों की पहचान के लिए Okta और लैपटॉप के लिए Intune का उपयोग करती है। प्रोफ़ाइल में RADIUS नाम सर्टिफिकेट से मेल खाना चाहिए, और Okta समूह जिसे नैदानिक VLAN पर उतरना चाहिए वही समूह होना चाहिए जिसका उपयोग MDM नामांकन के लिए करता है। Okta WiFi authentication पर हमारे नोट्स प्रयोगशाला को पासवर्ड SSID में बदले बिना उस पहचान हैंडऑफ का मार्गदर्शन करते हैं।

एक परीक्षण लैपटॉप को जोड़ें, उसका प्रमाणपत्र रद्द करें, और लाइव फ़्लोर को छूने से पहले पुष्टि करें कि अगला एसोसिएशन विफल हो जाता है।

प्रमाणपत्र जीवनचक्र और रोलआउट प्रयास

EAP-TLS सुरक्षा तब आउटेज बन जाती है जब कोई प्रमाण पत्र समाप्त हो जाता है, या जब कोई क्लाइंट रद्दीकरण जानकारी तक नहीं पहुंच पाता है, और उपयोगकर्ता खाता अभी भी पूरी तरह से मान्य होता है। यही वह प्रश्न है जो पूछने योग्य है। "प्रमाण पत्र अधिक कठिन हैं" कोई डिज़ाइन नहीं है।

NIST स्पेशल पब्लिकेशन 800-120 इसी देयता को रेखांकित करता है। EAP-TLS को विश्वसनीय जारी करने (issuance), वितरण, नवीनीकरण, ट्रस्ट-चेन प्रबंधन और निरसन जांच (revocation checking) की आवश्यकता होती है। समाप्त हो चुके प्रमाणपत्र वाले डिवाइस, या अनुपलब्ध निरसन सेवा के कारण नेटवर्क एक्सेस बंद हो सकता है, भले ही उपयोगकर्ता की पहचान मान्य बनी रहे। PEAP आमतौर पर बाहरी TLS चरण में सर्वर को और MS-CHAPv2 जैसी आंतरिक विधि के माध्यम से उपयोगकर्ता नाम और पासवर्ड को प्रमाणित करता है, इसलिए यह उस क्लाइंट लाइफसाइकिल को छोड़ देता है। आसान पहला दिन पासवर्ड रीसेट और खराब प्रोफ़ाइल में लोड स्थानांतरित करता है।

प्रमाणपत्रों को आउटेज बनने से रोकें

डिज़ाइन प्रतिक्रिया स्वचालन (ऑटोमेशन) है, न कि एक लंबी रनबुक।

• MDM के माध्यम से एनरोल करें। प्रोफ़ाइल, ट्रस्ट एंकर और प्रमाणपत्र को एक साथ पुश करें। मैन्युअल WiFi सेटअप ही वह तरीका है जिससे सर्वर-नाम की जांच अनटिक हो जाती है।
• ओवरलैप नवीनीकरण। पुराना प्रमाणपत्र समाप्त होने से पहले नया प्रमाणपत्र इंस्टॉल करें। एक सप्ताहांत जहां हर लैपटॉप एक साथ बंद हो जाता है, वह एक ऐसा ओवरलैप है जो बहुत छोटा था।
• ऑफ़लाइन निरसन (revocation) का परीक्षण करें। जानें कि CRL या OCSP फ़ैच न हो पाने पर RADIUS फ़ेल क्लोज होता है या फ़ेल ओपन।
• एक रिकवरी पाथ रखें। एक विफल एंडपॉइंट को वापस आने के लिए ऐसे तरीके की आवश्यकता होती है जो "किसी का PEAP पासवर्ड उधार लेना" न हो। एक वायर्ड हेल्पडेस्क पोर्ट या एक कसकर सीमित दायरा वाला रिकवरी SSID व्हाईटबोर्ड पर लिखे गए साझा रहस्य से बेहतर है।

Purple Access Microsoft Intune, Jamf Pro, JumpCloud, Kandji, Hexnode, Iru, और Addigy से SCEP के माध्यम से डिलीवर किए गए EAP-TLS प्रमाणपत्र लेता है, जिसका सेटअप संगठन के लिए प्रत्येक डिवाइस के बजाय एक बार में केवल पांच से दस मिनट लेता है। सुरक्षित नेटवर्क पासवर्ड-रहित और प्रमाणपत्र-आधारित है, और जो डिवाइस स्थिति मानकों में विफल रहता है, उसे Conditional Access के माध्यम से प्रमाणीकरण के समय अस्वीकार कर दिया जाता है। यह अनुपालन आधारित जुड़ाव है, न कि दूसरा पासवर्ड प्रॉम्प्ट।

PEAP तब सीधा और आसान विकल्प बना रहता है जब PKI विकसित न हो, जब ठेकेदारों को MDM में शामिल न किया जा सके, या जब मिश्रित BYOD वातावरण प्रमाणपत्र स्वीकार न करें। स्वास्थ्य सेवा, शिक्षा, आतिथ्य और अन्य बहु-स्थान वाले नेटवर्क अक्सर इन तीनों चुनौतियों का एक साथ सामना करते हैं। प्रबंधित कॉर्पोरेट, कर्मचारियों और उच्च-जोखिम वाले उपकरणों के लिए EAP-TLS का उपयोग करें। अप्रबंधित या अस्थायी एंडपॉइंट्स के लिए एक सख्ती से नियंत्रित विकल्प बनाए रखें। स्थल-स्तरीय पहचान ही मुख्य निर्णय है, न कि यह नारा कि TLS ने पासवर्ड को हरा दिया।

यदि RADIUS खुद एक नाजुक हिस्सा है, तो एक होस्टेड बैकएंड "HQ कोठरी में एक सर्वर" वाली विफलता को समाप्त कर देता है। EAP विधि को दोष देने से पहले पहुंच और अतिरेक (redundancy) की जांच करने के लिए RADIUS-as-a-Service पर हमारा लेख सही स्थान है।

नीचे दिया गया छोटा वॉकथ्रू पासवर्ड आंतरिक विधि के बगल में प्रमाणपत्र नामांकन दिखाता है, जो वह अंतर है जो हेल्पडेस्क तब देखते हैं जब नवीनीकरण में देरी होती है।

रद्दकरण (Revocation) रोमिंग गति और क्लाइंट समर्थन

समर्थन और गति लुकअप से जुड़ी समस्याएं हैं। वर्तमान Windows, macOS, iOS, Android, और ChromeOS supplicants दोनों विधियों का समर्थन करते हैं। विफलता का तरीका (failure mode) वह है जो अलग है।

EAP-TLS तब विफल हो जाता है जब प्रोफ़ाइल, जारीकर्ता CA, या वैधता तिथियां गलत होती हैं। PEAP तब विफल होता है जब आंतरिक विधि, पहचान प्रारूप, या सर्वर-नाम जांच RADIUS नीति से मेल नहीं खाती है। दोनों में से किसी भी विफलता का मतलब यह नहीं है कि एक्सेस प्वाइंट "एंटरप्राइज का समर्थन नहीं करता है।"

रद्दीकरण (Revocation) में भी यही विभाजन है। एक डिवाइस प्रमाण पत्र को निष्क्रिय करने से व्यक्ति के अन्य लॉगिन को छुए बिना वह लैपटॉप डिस्कनेक्ट हो जाता है। एक डायरेक्टरी पासवर्ड को रीसेट करने से इसका उपयोग करने वाला हर अप्रबंधित क्लाइंट प्रभावित होता है। तत्काल, डिवाइस विशिष्ट डिस्कनेक्शन EAP-TLS का लाभ है। समाप्त हो चुके प्रमाण पत्रों से होने वाली गंभीर विफलताएं इसकी लागत हैं।

हैंडशेक्स, ब्रांड नाम नहीं

वायरलेस ऑथेंटिकेशन लेटेंसी पर ACM पेपर में पाया गया है कि परफॉरमेंस मेथड के नाम से ज़्यादा हैंडशेक काउंट, रोमिंग, सर्टिफिकेट वैलिडेशन और बैकएंड लेटेंसी पर निर्भर करती है। स्टैंडर्ड EAP-TLS अपने TLS एक्सचेंज में क्लाइंट और सर्वर सर्टिफिकेट ऑथेंटिकेशन को पूरा करता है। PEAP एक TLS टनल स्थापित करता है और फिर इनर ऑथेंटिकेशन चलाता है, जिससे एक अलग फेज जुड़ जाता है। उस पेपर में उल्लेखित Cisco टेक्निकल मटेरियल में कहा गया है कि इनर EAP-TLS के साथ PEAP में दो TLS हैंडशेक शामिल होते हैं और जब रोमिंग के दौरान पूरा री-ऑथेंटिकेशन होता है तो यह धीमा हो सकता है।

इन्हें अलग से मापें। एक औसत लॉगिन समय से किसी विजेता का ताज न पहनाएं।

• 95वां-प्रतिशतक एसोसिएशन-टू-IP समय
• पूर्ण ऑथेंटिकेशन बनाम रोम-रिज़म्प्शन लेटेंसी
• RADIUS राउंड-ट्रिप समय
• ऑथेंटिकेशन विफलता दर
• प्रमाणपत्र-नवीनीकरण विफलताओं

सत्र बहाली, PMK caching या 802.11r, स्थानीय RADIUS पहुंच क्षमता, और एक छोटी सर्टिफिकेट श्रृंखला सिफर सूट को बदलने की तुलना में उन संख्याओं को अधिक प्रभावित करती है। PEAP पहले दिन सरल लग सकता है और फिर भी बार-बार पासवर्ड एक्सचेंज और उपयोगकर्ता उपचार के माध्यम से देरी उत्पन्न कर सकता है। EAP-TLS नामांकन के बाद तत्काल लग सकता है और फिर समाप्त हो चुके सर्टिफिकेट पर गंभीर रूप से विफल हो सकता है।

लक्षण	अधिक संभावित विधि	सामान्य कारण	व्यावहारिक समाधान
किसी अज्ञात AP के पास बार-बार पासवर्ड मांगता है	PEAP	Supplicant सर्वर नाम या चेन को वैलिडेट नहीं कर रहा है	एक प्रोफ़ाइल पुश करें जो RADIUS नाम और CA को पिन करती है
भूमिका (role) बदलने के बाद एक लैपटॉप पर एक्सेस बंद हो जाता है	EAP-TLS	प्रमाणपत्र निरस्त (revoked) कर दिया गया है या डिवाइस को MDM से हटा दिया गया है	निरसन (revocation) की पुष्टि करें और केवल उसी डिवाइस को फिर से एनरोल करें
सोमवार को पूरी टीम लॉक आउट हो गई	EAP-TLS	प्रमाणपत्र एक साथ समाप्त हो गए या नवीनीकरण ओवरलैप बहुत छोटा था	समाप्ति से पहले नवीनीकरण को स्टेज करें और एक रिकवरी पाथ रखें
केवल पूर्ण reauth पर रोमिंग धीमी लगती है	inner EAP-TLS के साथ PEAP	दो TLS हैंडशेक	Resumption, PMK कैशिंग या 802.11r को प्राथमिकता दें; जब तक आवश्यक न हो inner EAP-TLS से बचें
केवल एक साइट पर यादृच्छिक अस्वीकृति (random rejects)	दोनों में से कोई भी	RADIUS राउंड-ट्रिप या चेन फ़ैच, EAP नाम नहीं	विधि बदलने से पहले RTT और 95वें-प्रतिशतक एसोसिएशन-टू-IP को मापें

एक साइट पर धीमा रोमिंग आमतौर पर RADIUS दूरी या चेन फ़ेच होता है, न कि यह प्रमाण कि आपने गलत EAP प्रकार चुना है।

प्रत्येक जनसंख्या को असाइन करें और विभाजन को साबित करें

एक ही इमारत में स्टाफ के लैपटॉप, एक सम्मेलन अतिथि, एक ठेकेदार Mac और एक टिल हो सकते हैं। उन्हें एक ही क्रेडेंशियल प्रकार साझा नहीं करना चाहिए। प्रत्येक समूह का मानचित्रण करें, उस नेटवर्क के बगल में एक साइट का पायलट करें जिसे आप पहले से चला रहे हैं, और डिज़ाइन की प्रतिलिपि बनाने से पहले टिकटों और ऑथेंटिकेशन लॉग का न्याय करें।

जनसंख्या	उपयोग करें	उपयोग न करें	क्यों
MDM-प्रबंधित कर्मचारी और विशेषाधिकार प्राप्त उपयोगकर्ता	WPA-Enterprise SSID पर EAP-TLS	साझा PSK या PEAP	प्रमाणपत्र पहचान, समूह द्वारा VLAN, खाता अक्षम होने पर एक्सेस समाप्त हो जाता है
कम समय के लिए रुकने वाले अतिथि और आगंतुक	गेस्ट VLAN पर Captive Portal या Passpoint	डेस्क पर PEAP या EAP-TLS नामांकन	कोई प्रमाणपत्र जीवनचक्र नहीं और फ़िशिंग के लिए कोई निर्देशिका पासवर्ड नहीं
अप्रबंधित लैपटॉप और ठेकेदार	केवल बाध्यकारी सर्वर सत्यापन के साथ PEAP-MSCHAPv2	EAP-TLS यदि आप उन्हें नामांकित या नवीनीकृत नहीं कर सकते हैं	पासवर्ड पहले से मौजूद हैं, लेकिन प्रोफ़ाइल को RADIUS प्रमाणपत्र की जांच करनी होगी
प्रिंटर, टीवी, टिल, CCTV और सेंसर	प्रत्येक डिवाइस के लिए अपने VLAN के साथ iPSK/PPSK	EAP-TLS या एक साझा PEAP पासवर्ड	ये उपकरण आमतौर पर प्रमाणपत्रों को संग्रहीत नहीं कर सकते हैं, और साझा कुंजी को बदलना कठिन होता है
एक ही इमारत में मिश्रित स्थल	अलग-अलग VLAN में पहचान के आधार पर विभाजन	सभी के लिए एक SSID और एक ही तरीका	कर्मचारी, अतिथि और उपकरण अलग-अलग तरीकों से विफल होते हैं और उन्हें क्रेडेंशियल प्रकार साझा नहीं करना चाहिए

कौन पासवर्ड पर रहता है, और किसे नहीं रहना चाहिए

प्रबंधित कर्मचारियों और विशेषाधिकार प्राप्त उपयोगकर्ताओं को WPA-Enterprise SSID पर EAP-TLS मिलता है। हाउसकीपिंग, रिसेप्शन और ऑपरेशन्स स्टाफ SCEP के माध्यम से MDM के प्रमाण पत्रों के साथ प्रमाणीकरण कर सकते हैं, डायरेक्टरी ग्रुप द्वारा VLAN पर आ सकते हैं, और खाता निष्क्रिय होने पर पहुंच खो सकते हैं। एक साझा PSK या PEAP पासवर्ड उसी समस्या को फिर से पैदा कर देता है जिसे आप हटाने की कोशिश कर रहे थे।

अतिथि और आगंतुक एक गेस्ट VLAN पर, एक Captive Portal या Passpoint पर रहते हैं। फ्रंट डेस्क पर प्रमाण पत्र पंजीकृत न करें, और उन्हें PEAP पर न रखें। ऐसा कोई लाइफसाइकिल नहीं है जिसे आप चलाएंगे, और एक डायरेक्टरी पासवर्ड है जिसे आप फ़िशिंग नहीं होने देना चाहते। एक Passpoint प्रोफ़ाइल बिना किसी नए टिकट के अगली यात्रा पर फिर से जुड़ सकती है।

अप्रबंधित लैपटॉप और ठेकेदार PEAP-MSCHAPv2 पर रह सकते हैं, और केवल तभी जब प्रोफ़ाइल सर्वर सत्यापन को बाध्य करती हो। यदि आप उन्हें एनरोल या नवीनीकृत नहीं कर सकते हैं, तो EAP-TLS उन्हें रोक देगा। यदि आप सर्वर जांच को बाध्य नहीं कर सकते हैं, तो पासवर्ड का जोखिम सुविधा से अधिक हो जाता है, और उन्हें कर्मचारियों के SSID पर बिल्कुल नहीं होना चाहिए।

प्रिंटर, टीवी, टिल, EPOS, CCTV, सेंसर और डोर कंट्रोलर को प्रत्येक डिवाइस के अनुसार PSK और उनका अपना VLAN मिलता है। वे आमतौर पर प्रमाणपत्रों को स्टोर नहीं कर सकते। एक साझा PEAP पासवर्ड फिर से साझा-कुंजी (shared-key) की समस्या खड़ी कर देता है। PCI DSS v4.0.1 Req 2.3.2 के अनुसार, वायरलेस कुंजियों को तब बदलना आवश्यक है जब उन्हें जानने वाला कोई व्यक्ति संस्थान छोड़ता है, जिसे साझा कुंजी अव्यवहारिक बना देती है। उन चीजों के लिए xPSK ही सही विकल्प है। रूम टीवी, थर्मोस्टेट और टिल कुंजी-बद्ध VLAN पर होने चाहिए जिन्हें अतिथि कभी न देख सकें।

इसे एक साइट पर साबित करें

नया डिजाइन उन एक्सेस पॉइंट्स पर रखें जो उस साइट के पास आज के नेटवर्क के बगल में पहले से मौजूद हैं। इसे टिकटों और ऑडिट साक्ष्यों के आधार पर आंकें, न कि डेमो लॉगिन पर।

एक प्रमाणीकरण लॉग की आवश्यकता रखें जो पहचान, डिवाइस, MDM नामांकन स्थिति, विधि, एक्सेस पॉइंट, SSID, साइट, VLAN, भूमिका, कारण और समय के साथ प्रत्येक स्वीकृति और अस्वीकृति को रिकॉर्ड करे। वही लॉग ISO 27001 पहुंच और लॉगिंग नियंत्रणों के लिए और PCI DSS requirements 8 and 10 के लिए साक्ष्य सेट है। MDM के बिना, सबसे पहले PEAP प्रोफ़ाइलों को लॉक डाउन करें और केवल प्रबंधित आबादी के लिए सर्टिफिकेट निर्धारित करें।

हम प्रति प्रॉपर्टी तीन नेटवर्क के रूप में इस विभाजन को चला सकते हैं। गेस्ट पोर्टल का उपयोग करते हैं, जिसमें PMS रूम चेक शामिल है जहाँ प्रॉपर्टी में यह उपलब्ध है। स्टाफ EAP-TLS या Passpoint का उपयोग करता है। चीज़ें प्रति-डिवाइस कुंजियों (keys) का उपयोग करती हैं। Cloud RADIUS पहचान के आधार पर प्रत्येक डिवाइस को सही नेटवर्क और VLAN पर भेजता है, और किसी ऐसे व्यक्ति को रिजेक्ट कर देता है जिसका अकाउंट डिसेबल कर दिया गया है। शेयर किए गए स्टाफ पासवर्ड से हटने का माइग्रेशन पाथ वही है जो हमारे मल्टी-साइट स्टाफ WiFi को 802.1X पर ले जाने के गाइड में वर्णित है।

मैं प्रबंधित स्टाफ SSID और टिल के लिए प्रति-डिवाइस कुंजियों के साथ पायलट शुरू करूँगा, और ठेकेदारों को तब तक एक मान्य PEAP प्रोफ़ाइल पर छोड़ दूँगा जब तक कि नामांकन वास्तविक न हो जाए। सभी के लिए एक ही विधि आरेख में साफ़ दिखती है और फ़्लोर पर तीन अलग-अलग तरीकों से विफल होती है।

---

Purple Access उन एक्सेस पॉइंट्स पर सर्टिफिकेट-आधारित स्टाफ WiFi और प्रति-डिवाइस चाबियां चलाता है जो आपके पास पहले से मौजूद हैं, जिससे eap tls vs peap पूरे संपत्ति स्तर के जुए के बजाय एक आबादी विकल्प बन जाता है। आप एक ही साइट पर खुले, सुरक्षित और xPSK साबित कर सकते हैं, फिर व्यापक रोलआउट से पहले टिकटों और प्रमाणीकरण लॉग का आकलन कर सकते हैं। अपने कर्मचारियों, अतिथियों और डिवाइस नेटवर्क को मैप करने के लिए Purple Access पर जाएं।