Cisco ISE से क्लाउड RADIUS पर माइग्रेशन: एक चरणबद्ध कटओवर योजना

आप बिना किसी फ़्लैग डे के, पाँच चरणों में Cisco ISE से क्लाउड RADIUS पर माइग्रेट कर सकते हैं, जब प्रत्येक डिवाइस नए सर्वर सर्टिफ़िकेट पर भरोसा करता है। ISE के साथ-साथ साइट-दर-साइट Purple चलाएं। क्लाइंट पर IEEE 802.1X और EAP-TLS को अपरिवर्तित रखें। चरणों में कटओवर करें, जिसमें अंतिम साइट के स्थानांतरित होने तक ISE रोलबैक पाथ के रूप में कार्य करता है।

जब आप Cisco ISE से हटते हैं तो क्या बदलता है, और क्या समान रहता है?

अंतिम स्थिति का वर्णन संक्षेप में है। आपके एक्सेस पॉइंट आपके डेटा सेंटर में ISE नोड्स के बजाय Purple के क्लाउड RADIUS को ऑथेंटिकेशन अनुरोध भेजते हैं। Purple, Microsoft Entra ID, Okta या Google Workspace के विरुद्ध पहचान की जाँच करता है। इसके बाद यह VLAN वापस लौटाता है जिससे वह पहचान संबंधित है। ISE को पावर डाउन कर दिया जाता है, इसके लाइसेंस समाप्त हो जाते हैं, और कोई भी इसे दोबारा पैच नहीं करता है।

पहले कुछ शब्द समझें। RADIUS (RFC 2865) वह ऑथेंटिकेशन प्रोटोकॉल है जिसका उपयोग आपके कंट्रोलर पहले से ही कर रहे हैं। IEEE 802.1X पोर्ट-आधारित एक्सेस कंट्रोल मानक है जो WiFi पर लॉगिन ले जाता है। EAP-TLS (RFC 5216) प्रत्येक डिवाइस को सर्टिफ़िकेट के साथ ऑथेंटिकेट करता है। PEAP एक एन्क्रिप्टेड TLS टनल के भीतर पासवर्ड एक्सचेंज को रैप करता है। VLAN, या वर्चुअल LAN, वह नेटवर्क सेगमेंट है जिस पर कोई डिवाइस ऑथेंटिकेट होने के बाद पहुंचता है।

चार चीजें बदलती हैं:

• प्रत्येक नेटवर्क एक्सेस डिवाइस (NAD), यानी अनुरोध भेजने वाला कंट्रोलर, AP या क्लाउड डैशबोर्ड पर RADIUS सर्वर एड्रेस और शेयर्ड सीक्रेट्स।
• सर्वर सर्टिफ़िकेट जो डिवाइस 802.1X के दौरान देखते हैं।
• पॉलिसी कहाँ रहती है। ISE पॉलिसी सेट और ऑथराइजेशन प्रोफ़ाइल VLANs से मैप किए गए आइडेंटिटी ग्रुप बन जाते हैं।
• पहचान कहाँ से आती है। एक क्लाउड डायरेक्टरी ऑन-प्रेमिस Active Directory से जुड़े ISE को रीप्लेस करती है।

आपके SSIDs, एक्सेस पॉइंट्स, VLANs, स्विचिंग और आपके अपने CA के कोई भी क्लाइंट सर्टिफ़िकेट वैसे ही रहते हैं जैसे वे हैं। यही चीज़ चरणबद्ध माइग्रेशन को संभव बनाती है। ISE फ़ंक्शंस को स्वयं एक गंतव्य की आवश्यकता होती है, और वे सभी सुरक्षित नेटवर्क पर समाप्त नहीं होते हैं।

ISE आज क्या करता है	यह कहाँ जाता है	Purple नेटवर्क
कर्मचारियों और कॉर्पोरेट डिवाइसों के लिए 802.1X	EAP-TLS और आपके आइडेंटिटी प्रदाता के साथ Purple क्लाउड RADIUS	Secure
स्कैनर, प्रिंटर और सेंसर के लिए MAB (MAC ऑथेंटिकेशन बायपास)	प्रति डिवाइस या डिवाइस ग्रुप एक कुंजी (iPSK या PPSK, एक साथ xPSK)	xPSK
गेस्ट और स्पॉन्सर्ड पोर्टल	एक कैप्टिव पोर्टल, एक्सेस से पहले दिखाया जाने वाला साइन-इन पेज	Open
ISE इंटरनल CA के साथ BYOD ऑनबोर्डिंग	आपके MDM या आपके अपने CA से सर्टिफ़िकेट	Secure
TACACS+, वायर्ड 802.1X, पोस्चर, TrustSec	इस योजना के दायरे से बाहर; प्रत्येक को एक ओनर सौंपें	None
यह योजना आपके एक्सेस पॉइंट्स पर WiFi प्रमाणीकरण को कवर करती है। यदि ISE डिवाइस प्रशासन, वायर्ड पोर्ट या पोस्चर भी चलाता है, तो चरण 1 से पहले प्रत्येक को सूचीबद्ध करें और इसे एक अलग मालिक सौंपें। यदि ISE मार्केटिंग के लिए उपयोग किए जाने वाले गेस्ट पोर्टल की मेजबानी करता है, तो वह खुले नेटवर्क और Purple Engage में स्थानांतरित हो जाता है। प्रमाणपत्र, पहचान और Passpoint के लिए सुरक्षित नेटवर्क गाइड विस्तृत रूप में लक्षित डिज़ाइन को कवर करती है।

चरण 1 से पहले क्या सत्य होना चाहिए?

छह शर्तें, प्रत्येक का उत्तर हाँ या ना में है। जब तक छहों शर्तें हाँ न हों, निर्माण शुरू न करें।

1. इन्वेंट्री पूरी है। प्रत्येक SSID, अपनी साझा गुप्त कुंजी (shared secret) के साथ प्रत्येक NAD, प्रत्येक नीति सेट और प्राधिकरण प्रोफ़ाइल, और MAB पर निर्भर प्रत्येक एंडपॉइंट समूह।
2. आपके पास एक ISE बेसलाइन है। कम से कम दो सप्ताह के लिए प्रति घंटा प्रमाणीकरण और प्रति साइट प्रति SSID सफलता दर कैप्चर करें। ISE के लाइव लॉग और रिपोर्ट आपको यह जानकारी प्रदान करते हैं। बेसलाइन के बिना, आप यह नहीं कह सकते कि कोई वेव सफल हुई या नहीं।
3. प्रमाणपत्र योजना लिखी गई है। ध्यान दें कि किस CA ने आपके क्लाइंट प्रमाणपत्र जारी किए हैं और EAP के लिए ISE कौन सा प्रमाणपत्र प्रस्तुत करता है। ध्यान दें कि क्या किसी डिवाइस के पास ISE आंतरिक CA से प्रमाणपत्र हैं।
4. आपकी डायरेक्टरी में पहचान समूह मौजूद हैं। प्रत्येक ISE प्राधिकरण नियम के लिए Microsoft Entra ID, Okta या Google Workspace में एक मेल खाता समूह होना आवश्यक है, और प्रत्येक समूह के लिए एक VLAN की आवश्यकता है।
5. साइटें क्लाउड तक पहुंच सकती हैं। प्रत्येक साइट पर फ़ायरवॉल कंट्रोलर या APs से Purple के RADIUS सर्वर पर RADIUS ट्रैफ़िक की अनुमति देते हैं।
6. ISE समर्थित रहता है। चरण 5 के समाप्त होने तक ISE को लाइसेंस प्राप्त, पैच किया हुआ और स्वामित्व वाला रखें। यह आपका रोलबैक पाथ है।

एक डिज़ाइन निर्णय भी यहीं से संबंधित है। PEAP-MSCHAPv2 एक पासवर्ड हैश की जाँच करता है जिसे Microsoft Entra ID जैसे क्लाउड डायरेक्टरी RADIUS सर्वर के सामने उजागर नहीं करते हैं। यदि ISE ऑन-प्रिमाइसेस Active Directory के विरुद्ध PEAP को मान्य करता है, तो उन उपकरणों को पहले EAP-TLS पर ले जाएँ, जबकि ISE अभी भी उन्हें प्रमाणित करता है। प्रति वेव एक चीज़ बदलें: EAP विधि, फिर RADIUS सर्वर।

{"tone":"warning","title":"The risk that bites: server certificate trust","text":"Every device checks the RADIUS server certificate during 802.1X. Profiles that trust only the ISE EAP certificate or its CA will refuse Purple until your MDM pushes the new trust, so deploy it in phase 2, not on cutover night."}

ISE माइग्रेशन के चरण, क्रम में क्या हैं?

पांच चरण, प्रत्येक का एक मालिक और एक एग्जिट टेस्ट है। नीचे दी गई अवधियां 40-साइटों वाले नेटवर्क के अनुकूल हैं; इन्हें अपने अनुसार व्यवस्थित करें। किसी एक साइट पर कटओवर आमतौर पर सप्ताहांत का कार्य होता है। इससे पहले के सप्ताह ही इसे सफल बनाते हैं।

{"kind":"timeline","direction":"lr","caption":"Cisco ISE से Purple क्लाउड RADIUS में माइग्रेट होने वाले 40-साइट एस्टेट के लिए पांच चरण। चरण 5 के बाहर निकलने तक ISE लाइव रहता है।","alt":"पांच माइग्रेशन चरणों की एक समयरेखा, सप्ताह 1 से 2 में डिस्कवरी से लेकर सप्ताह 10 से ISE को बंद करने तक।","nodes":[{"id":"p1","label":"चरण 1: खोजें और डिज़ाइन करें","sub":"NAD, पॉलिसी सेट, प्रमाणपत्र और MAB डिवाइस की इन्वेंटरी बनाएं","tone":"neutral","when":"सप्ताह 1-2"},{"id":"p2","label":"चरण 2: समानांतर में निर्माण करें","sub":"क्लाउड RADIUS, IdP समूह, VLAN नियम, प्रमाणपत्र विश्वास","tone":"brand","when":"सप्ताह 3"},{"id":"p3","label":"चरण 3: एक साइट पर पायलट करें","sub":"प्रत्येक डिवाइस क्लास सही VLAN पर प्रमाणित होती है","tone":"brand","when":"सप्ताह 4-5"},{"id":"p4","label":"चरण 4: तरंगों में कट ओवर करें","sub":"वीकेंड में बदलाव की विंडोज, रोलबैक के रूप में रखा गया ISE","tone":"brand","when":"सप्ताह 6-9"},{"id":"p5","label":"चरण 5: ISE को डीकमीशन करें","sub":"शून्य ISE प्रमाणीकरण, नोड्स बंद","tone":"success","when":"सप्ताह 10+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"ISE से क्लाउड RADIUS चरण योजना","asOf":"2026-06-10","columns":[{"key":"phase","label":"चरण"},{"key":"scope","label":"दायरा"},{"key":"owner","label":"स्वामी"},{"key":"exit","label":"एग्जिट टेस्ट"}],"rows":[["1. खोजें और डिज़ाइन करें","प्रत्येक SSID, NAD, पॉलिसी सेट, प्राधिकरण प्रोफ़ाइल, प्रमाणपत्र और MAB डिवाइस","नेटवर्क आर्किटेक्ट","पहचान समूह और VLAN के लिए प्रत्येक ISE नियम की हस्ताक्षरित मैपिंग"],["2. समानांतर में निर्माण करें","क्लाउड RADIUS, IdP कनेक्शन, VLAN नियम, xPSK कुंजी, सर्वर प्रमाणपत्र विश्वास","आइडेंटिटी और एक्सेस लीड","लैब SSID से Purple के खिलाफ टेस्ट डिवाइस प्रमाणित होते हैं"],["3. एक साइट पर पायलट करें","एक प्रतिनिधि साइट, प्रत्येक डिवाइस क्लास","साइट लीड के साथ आईटी प्रबंधक","ISE बेसलाइन पर या उससे ऊपर पांच कार्य दिवस, प्रत्येक क्लास के लिए सही VLAN"],["4. तरंगों में कट ओवर करें","समूहों में साइटें, प्रत्येक के लिए एक बदलाव विंडो","नेटवर्क ऑपरेशन्स","प्रत्येक तरंग बिना किसी रोलबैक के 48 घंटों के लिए बेसलाइन बनाए रखती है"],["5. ISE को डीकमीशन करें","ISE नोड्स, NAD प्रविष्टियां, लाइसेंस, आंतरिक CA","आईटी निदेशक","आपके द्वारा निर्धारित अवधि के लिए शून्य ISE प्रमाणीकरण, साक्ष्य संग्रहीत"]],"footnote":"40-साइट एस्टेट के लिए अवधि और सीमाएं योजना डिफ़ॉल्ट हैं। चरण 1 से पहले आपके द्वारा कैप्चर की गई ISE बेसलाइन से स्वयं का सेट करें।","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

ISE माइग्रेशन के प्रत्येक चरण में क्या होता है?

चरण 1: खोजें और डिज़ाइन करें

कुछ भी बदलने से पहले ISE की जानकारी को एक्सपोर्ट करें। प्रत्येक पॉलिसी सेट, उसकी शर्तों और इसके द्वारा लौटाए जाने वाले प्राधिकरण प्रोफ़ाइल की सूची बनाएं। अधिकांश एस्टेट पाते हैं कि वर्षों के नियम कुछ वास्तविक परिणामों में सिमट जाते हैं: स्टाफ VLAN, ठेकेदार VLAN, IoT VLAN, अस्वीकार।

प्रत्येक परिणाम को एक आइडेंटिटी ग्रुप और एक VLAN के रूप में लिखें। RADIUS पर VLAN असाइनमेंट RFC 3580 में वर्णित टनल एट्रिब्यूट का उपयोग करता है। कुछ कंट्रोलर वेंडर-स्पेसिफिक एट्रिब्यूट (VSAs) भी पढ़ते हैं, जैसे कि रोल एट्रिब्यूट HPE Aruba कंट्रोलर उपयोग करते हैं। ध्यान दें कि आपका हार्डवेयर किस एट्रिब्यूट की उम्मीद करता है।

फिर उन डिवाइसों को ढूंढें जो 802.1X नहीं कर सकते। ISE की एंडपॉइंट सूची दिखाती है कि कौन से MAC पते MAB द्वारा प्रमाणित होते हैं। इसकी साइट को स्थानांतरित करने से पहले प्रत्येक के लिए एक xPSK कुंजी और एक VLAN की आवश्यकता होती है।

चरण 2: समानांतर में Purple का निर्माण करें

Purple को अपने आइडेंटिटी प्रदाता से कनेक्ट करें और चरण 1 से ग्रुप-टू-VLAN नियम बनाएं। उस CA को अपलोड करें जिसने आपके क्लाइंट प्रमाणपत्र जारी किए हैं ताकि EAP-TLS इसके विरुद्ध सत्यापित हो सके। हेडलेस डिवाइस ग्रुप के लिए xPSK कुंजियां जारी करें।

अपने MDM के माध्यम से प्रत्येक प्रबंधित डिवाइस पर Purple के सर्वर प्रमाणपत्र के लिए ट्रस्ट पुश करें। यह निर्माण में सबसे लंबे समय तक चलने वाला कार्य है, इसलिए इसे पहले दिन ही शुरू करें। Purple की ओर निर्देशित एक लैब SSID सेटअप करें और प्रत्येक वर्ग के एक डिवाइस को प्रमाणित करें।

चरण 3: एक प्रतिनिधि साइट का पायलट संचालन करें

आपके स्वामित्व वाले प्रत्येक डिवाइस वर्ग वाली साइट चुनें: Windows, macOS, iOS, Android, स्कैनर और कोई भी असामान्य डिवाइस। अपनी प्रमुख साइट और अपनी सबसे सरल साइट से बचें। इसे उन्हीं चरणों के साथ कट ओवर करें जिनका उपयोग आप वेव में करेंगे।

इसे पांच कार्य दिवसों तक रोककर रखें। उस साइट के लिए ISE बेसलाइन के साथ Purple की सफलता दर की तुलना करें। जांचें कि प्रत्येक डिवाइस वर्ग सही VLAN पर पहुंचता है। जो भी यहां विफल होता है उसे ठीक करें, न कि वेव में।

चरण 4: वेव में कट ओवर करें

शेष साइटों को ऐसी वेव में समूहीकृत करें जिन्हें एक टीम एकल परिवर्तन विंडो में सपोर्ट कर सके। प्रत्येक वेव से पहले गो या नो-गो जांच चलाएं। प्रत्येक साइट पर समान चरणों का पालन करें।

{"title":"एक साइट को ISE से Purple क्लाउड RADIUS पर कट ओवर करें","steps":[{"title":"बेसलाइन रिकॉर्ड करें","body":"माइग्रेशन लॉग में प्रति घंटा साइट के ISE प्रमाणीकरण और प्रति SSID सफलता दर को नोट करें।","check":"विंडो खुलने से पहले बेसलाइन आंकड़े लॉग किए जाते हैं।"},{"title":"सुरक्षित SSID को Purple पर पॉइंट करें","body":"ISE RADIUS सर्वर को Purple के सर्वर और शेयर की गई गुप्त कुंजी (shared secret) से बदलें। रोलबैक के लिए ISE प्रविष्टियों को लिखकर रखें।","check":"डैशबोर्ड इस SSID के लिए Purple को RADIUS सर्वर के रूप में दिखाता है।","variants":[{"label":"Cisco Meraki","body":"Meraki Dashboard में, SSID एक्सेस कंट्रोल सेटिंग्स को संपादित करें और RADIUS सर्वर सूची को अपडेट करें।"},{"label":"HPE Aruba","body":"Aruba Central या कंट्रोलर में, WLAN 802.1X प्रोफाइल द्वारा उपयोग किए जाने वाले सर्वर ग्रुप को अपडेट करें।"},{"label":"Ruckus","body":"RUCKUS One या SmartZone में, WLAN को असाइन किए गए AAA सर्वर को अपडेट करें।"},{"label":"Juniper Mist","body":"Mist डैशबोर्ड में, WLAN एंटरप्राइज़ सुरक्षा सेटिंग्स को संपादित करें और RADIUS सर्वर को अपडेट करें।"},{"label":"Ubiquiti UniFi","body":"UniFi Network में, एंटरप्राइज़ SSID द्वारा उपयोग की जाने वाली RADIUS प्रोफाइल को अपडेट करें।"}]},{"title":"प्रोब डिवाइस को फिर से कनेक्ट करें","body":"साइट पर प्रत्येक वर्ग के एक डिवाइस को फिर से कनेक्ट करें, जिसमें xPSK पर हेडलैस डिवाइस भी शामिल हैं।","check":"प्रत्येक प्रोब डिवाइस अपने अपेक्षित VLAN पर पहुंचता है।"},{"title":"पहला घंटा देखें","body":"Purple के प्रमाणीकरण लॉग पढ़ें और कारण के आधार पर विफलता ग्रुप बनाएं।","check":"सफलता दर साइट बेसलाइन पर या उससे ऊपर है।"},{"title":"होल्ड करें या रोल बैक करें","body":"यदि सहमति वाली विंडो के अंत में दर बेसलाइन से नीचे रहती है, तो SSID पर ISE सर्वर को रीस्टोर करें।","check":"निर्णय और कारण माइग्रेशन लॉग में हैं।"},{"title":"साइट बंद करें","body":"48 घंटों के बाद साइट को माइग्रेट की गई चिह्नित करें। ISE में इसकी NAD प्रविष्टि को चरण 5 तक बनाए रखें ताकि रोलबैक अभी भी काम करे।","check":"ISE इस साइट से कोई नया प्रमाणीकरण नहीं दिखाता है।"}]}

चरण 5: ISE को डीकमीशन करें

चरण 5 केवल तब शुरू करें जब ISE ने आपके द्वारा निर्धारित अवधि (जैसे 30 दिन) के लिए शून्य WiFi प्रमाणीकरण देखे हों। ISE प्रमाणीकरण रिपोर्ट निर्यात करें जो आपकी ऑडिट रिटेंशन नीति के लिए आवश्यक हैं। NAD प्रविष्टियों को हटाएं, फिर नोड्स को पावर डाउन करें। समय से पहले रद्द करने के बजाय नवीनीकरण के समय लाइसेंस को समाप्त होने दें।

ISE आंतरिक CA को सबसे अंत में रिटायर करें। ISE के जाने के बाद इसके द्वारा जारी किया गया कोई भी प्रमाणपत्र लाइव CA से जुड़ना बंद हो जाता है।

कटओवर के दौरान ISE और Purple साथ-साथ कैसे चलते हैं?

दो पैटर्न हैं, और वे अलग तरह से व्यवहार करते हैं।

समानांतर SSID। ISE SSID के साथ Purple द्वारा प्रमाणित एक दूसरा सुरक्षित SSID प्रसारित करें। आपका MDM डिवाइस ग्रुप को बैचों में नए SSID प्रोफाइल में स्थानांतरित करता है। दोनों नेटवर्क एक साथ चलते हैं, इसलिए यह सही मायनों में साथ-साथ चलना है। इसकी लागत माइग्रेशन की अवधि के लिए एक और SSID से लगने वाला एयरटाइम है।

समान SSID, स्विच किया गया सर्वर। एक SSID रखें और चेंज विंडो के दौरान इसके RADIUS सर्वर को बदलें। यह एयर पर अधिक स्वच्छ है, लेकिन यह एक स्विच है, मिश्रण नहीं।

ज्यादातर टीमें जिस मुख्य बिंदु को नजरअंदाज कर देती हैं: अधिकांश कंट्रोलर पर RADIUS फेलओवर तब ट्रिगर होता है जब प्राइमरी सर्वर जवाब देना बंद कर देता है, न कि तब जब वह किसी डिवाइस को रिजेक्ट करता है। यदि आप Purple को पहले और ISE को दूसरे स्थान पर सूचीबद्ध करते हैं, तो Purple की तरफ से रिजेक्ट होने पर यह ISE पर फॉल बैक नहीं करता है। सर्वर के क्रम को सुरक्षा कवच के रूप में न मानें। पायलट टेस्ट पर भरोसा करें।

व्यावहारिक परिदृश्य: Cisco Meraki पर 40-होटल समूह

एक होटल समूह Cisco Meraki पर 40 होटलों में Staff WiFi संचालित करता है। डेटा सेंटर में दो ISE नोड ऑन-प्रिमाइसेस Active Directory के विरुद्ध PEAP के साथ कर्मचारियों को प्रमाणित करते हैं। समूह डेटा सेंटर को बंद करना चाहता है।

टीम ने इस प्रक्रिया को दो भागों में बांटा। सबसे पहले, उसने अपने MDM के माध्यम से EAP-TLS सर्टिफिकेट और Purple सर्वर ट्रस्ट पुश किया, जबकि ISE अभी भी सब कुछ प्रमाणित कर रहा था। ISE ने नए सर्टिफिकेट्स को मान्य किया, इसलिए कर्मचारियों के लिए कुछ भी नहीं बदला। दूसरा, इसने एक मध्यम आकार के होटल में पायलट परीक्षण किया, फिर बाकी होटलों को नौ या दस होटलों के चार सप्ताहांत चरणों में स्थानांतरित कर दिया।

मापने योग्य परिणाम स्वयं निकास परीक्षण था। अंतिम चरण के बाद ISE की स्टाफ SSID प्रमाणीकरण संख्या शून्य पर पहुंच गई। किसी भी चरण में रोलबैक की आवश्यकता नहीं पड़ी। अगले महीने के अंत में ISE नोड्स को बंद कर दिया गया।

असफल होने वाले चरण को आप कैसे रोल बैक करते हैं?

रोलबैक चरण दो का उल्टा है: प्रभावित SSIDs पर ISE सर्वर और साझा गुप्त (shared secret) को पुनर्स्थापित करें। चूंकि ISE लाइव रहता है और इसके NAD प्रविष्टियां बनी रहती हैं, इसलिए साइट अगली बार पुन: कनेक्ट होने पर अपनी पिछली स्थिति में लौट आती है। पहले से सहमति बना लें कि यह निर्णय कौन लेगा और इसे लेने से पहले आप कितना इंतजार करेंगे।

{"title":"कटओवर चरण के लिए आगे बढ़ें, रोकें या रोल बैक करें","start":"q1","nodes":[{"id":"q1","question":"क्या पायलट या पिछले चरण ने ISE सफलता-दर बेसलाइन को बनाए रखा?","help":"उन्हीं साइटों के लिए ISE बेसलाइन के साथ प्रति SSID Purple की सफलता दर की तुलना करें।","options":[{"label":"हाँ","to":"q2"},{"label":"नहीं","to":"o3"}]},{"id":"q2","question":"क्या इस चरण का प्रत्येक डिवाइस Purple के सर्वर सर्टिफिकेट पर भरोसा करता है?","help":"इन साइटों पर प्रत्येक डिवाइस समूह के लिए MDM डिप्लॉयमेंट स्थिति की जांच करें।","options":[{"label":"हाँ","to":"q3"},{"label":"नहीं","to":"o2"}]},{"id":"q3","question":"क्या इस चरण की प्रत्येक साइट Purple के RADIUS सर्वर तक पहुंच सकती है?","help":"विंडो खुलने से पहले प्रत्येक साइट फ़ायरवॉल के माध्यम से परीक्षण करें।","options":[{"label":"हाँ","to":"q4"},{"label":"नहीं","to":"o2"}]},{"id":"q4","question":"क्या ISE अभी भी लाइव है, और ऑन-कॉल एक नामित रोलबैक मालिक मौजूद है?","options":[{"label":"हाँ","to":"o1"},{"label":"नहीं","to":"o2"}]},{"id":"o1","outcome":"आगे बढ़ें","detail":"परिवर्तन विंडो खोलें और साइट कटओवर चरणों का पालन करें।"},{"id":"o2","outcome":"रोकें: ठीक करें और पुनः शेड्यूल करें","detail":"अंतर को ठीक करें, फिर अगली विंडो से पहले इस जांच को फिर से चलाएं।"},{"id":"o3","outcome":"रोल बैक करें और निदान करें","detail":"प्रभावित SSIDs पर ISE को पुनर्स्थापित करें, विफल हो रही डिवाइस श्रेणी या नियम को खोजें, और पहले इसे पायलट साइट पर ठीक करें।","link":"[Compare ISE alternatives](guide:cisco-ise-alternatives)"}]}

व्यावहारिक परिदृश्य: HPE Aruba पर 300-स्टोर रिटेलर

एक रिटेलर HPE Aruba पर 300 स्टोर संचालित करता है। ISE EAP-TLS के साथ स्टाफ लैपटॉप और MAB के साथ हैंडहेल्ड स्टॉक स्कैनरों को प्रामाणिक (authenticate) करता है। पायलट स्टोर सफल रहा, इसलिए टीम ने 30 स्टोर की पहली वेव (wave) को स्थानांतरित कर दिया।

दूसरी वेव में चार स्टोर पर स्कैनर विफल हो गए। उन स्टोर में एक नया स्कैनर मॉडल था जिसके MAC पते फेज 1 इन्वेंट्री में कभी शामिल नहीं हुए थे। रोलबैक मालिक ने चेंज विंडो के भीतर प्रभावित WLANs पर ISE सर्वर ग्रुप को रिस्टोर कर दिया, और स्कैनिंग फिर से शुरू हो गई।

टीम ने ISE की एंडपॉइंट सूची से नए मॉडल के पते निकाले और इसे xPSK कुंजियां जारी कीं। इसने पायलट स्टोर पर एक स्कैनर का परीक्षण किया, फिर वेव को फिर से चलाया। सभी 300 स्टोर Purple पर सफलतापूर्वक पूरे हो गए। प्रत्येक MAB नियम को रिटायर कर दिया गया, और कार्ड टर्मिनल अब अपने स्वयं के VLAN पर स्थित हैं। यह सेगमेंटेशन रिटेलर के PCI-DSS स्कोपिंग के लिए प्रमाण बन गया।

आप यह कैसे साबित करते हैं कि ISE से माइग्रेशन समाप्त हो गया है?

"समाप्त" तथ्यों का एक समूह है, कोई भावना नहीं। आपका काम तब पूरा होता है जब ये सभी सच होते हैं:

• ISE ने आपके द्वारा निर्धारित अवधि के लिए शून्य WiFi प्रमाणीकरण (authentications) दर्ज किए हैं।
• प्रत्येक साइट पर Purple की सफलता दर इसके ISE बेसलाइन पर या उससे ऊपर है।
• प्रत्येक पहचान समूह अपने इच्छित VLAN पर लैंड करता है, जिसे प्रति श्रेणी एक प्रोब डिवाइस से जांचा जाता है।
• कोई भी डिवाइस ऐसा प्रमाणपत्र नहीं रखता है जो ISE आंतरिक CA से जुड़ा हो।
• आपकी प्रतिधारण (retention) अवधि के लिए ISE रिपोर्ट निर्यात और संग्रहीत की जाती हैं।
• ISE नोड्स को पावर डाउन कर दिया जाता है और नवीनीकरण रद्द कर दिया जाता है।

पूरे प्रोग्राम के लिए एक लॉग रखें। नीचे दी गई चेकलिस्ट वही लॉग है।

{"title":"ISE से क्लाउड RADIUS माइग्रेशन लॉग","groups":[{"heading":"फेज 1 से पहले","items":[{"text":"प्रत्येक SSID, NAD और साझा सीक्रेट सूचीबद्ध है"},{"text":"प्रत्येक नीति सेट एक पहचान समूह और VLAN के लिए मैप किया गया है"},{"text":"प्रति साइट और SSID पर दो सप्ताह का ISE बेसलाइन कैप्चर किया गया","why":"इसके बिना, कोई भी वेव पास या फेल नहीं हो सकती"},{"text":"PEAP डिवाइसों की पहचान की गई और एक EAP-TLS योजना पर सहमति बनी"},{"text":"ISE एंडपॉइंट सूची से MAB डिवाइस सूचीबद्ध हैं"},{"text":"वायर्ड, TACACS+ और पोस्चर स्कोप को अलग-अलग मालिक दिए गए"}]},{"heading":"निर्माण और पायलट","items":[{"text":"पहचान प्रदाता कनेक्टेड और समूह VLANs में मैप किए गए"},{"text":"EAP-TLS के लिए क्लाइंट प्रमाणपत्र CA पर भरोसा किया गया"},{"text":"MDM के माध्यम से Purple सर्वर प्रमाणपत्र ट्रस्ट पुश किया गया","why":"वह जोखिम जो कटओवर की रात को प्रभावित करता है"},{"text":"हेडलेस डिवाइस समूहों के लिए xPSK कुंजियां जारी की गईं"},{"text":"साइट फ़ायरवॉल Purple को RADIUS ट्रैफिक की अनुमति देते हैं"},{"text":"पायलट साइट ने पांच कार्य दिवसों के लिए बेसलाइन बनाए रखा"}]},{"heading":"वेव्स","items":[{"text":"प्रत्येक वेव के लिए गो या नो-गो जांच दर्ज की गई"},{"text":"प्रत्येक विंडो के लिए नामांकित रोलबैक मालिक"},{"text":"प्रत्येक वेव ने 48 घंटों के लिए बेसलाइन बनाए रखा"}]},{"heading":"समाप्त","items":[{"text":"सहमत अवधि के लिए शून्य ISE WiFi प्रमाणीकरण"},{"text":"कोई भी प्रमाणपत्र ISE आंतरिक CA से नहीं जुड़ता है"},{"text":"ऑडिट रिटेंशन के लिए निर्यात की गई ISE रिपोर्ट"},{"text":"NAD प्रविष्टियां हटा दी गईं और ISE नोड्स पावर डाउन कर दिए गए"},{"text":"ISE लाइसेंस नवीनीकरण रद्द कर दिया गया"}]}],"download":{"filename":"ise-migration-log.csv"}}

फ़ील्ड में कौन से विफलता मोड दिखाई देते हैं?

अधिकांश विफल चरण कारणों की एक छोटी सूची से जुड़े होते हैं।

• अविश्वस्त सर्वर प्रमाणपत्र। उपकरण प्रॉम्प्ट करते हैं या चुपचाप कनेक्ट होने से मना कर देते हैं। इसे फ़ेज़ 2 में अपने MDM के माध्यम से ठीक करें, कर्मचारियों से कभी भी प्रॉम्प्ट स्वीकार करने के लिए न कहें।
• एक साथ दो चीज़ों को बदलना। सर्वर परिवर्तन के समान विंडो में PEAP से EAP-TLS पर जाने से यह छिप जाता है कि किस परिवर्तन ने क्या तोड़ा।
• भूल गए हेडलेस डिवाइस। MAB पर स्कैनर, प्रिंटर और सेंसर सबसे पहले विफल होते हैं, जैसा कि खुदरा विक्रेता ने पाया। प्रत्येक चरण से ठीक पहले ISE से MAB सूची को पुनर्गठित करें।
• साझा सीक्रेट मिसमैच। एक नियंत्रक पर एक गलत टाइप किया गया सीक्रेट पूरी साइट को अस्वीकार कर देता है। सीक्रेट्स को एक ही स्रोत से कॉपी करें, कभी भी मैन्युअल रूप से न लिखें।
• फ़ायरवॉल आउटबाउंड। स्थानीय ब्रेकआउट या पुराने फ़ायरवॉल नियमों वाली साइटें क्लाउड पर RADIUS ट्रैफ़िक को रोकती हैं। प्रत्येक साइट का परीक्षण उसकी विंडो से पहले करें।
• VLAN विशेषता अंतर। ISE प्राधिकरण प्रोफ़ाइल एक VLAN नाम, एक VLAN ID या एक विक्रेता - विशिष्ट भूमिका लौटा सकती है। पायलेट साइट पर प्रत्येक नियंत्रक की अपेक्षाओं से मिलान करें।
• साइलेंट डाउनस्ट्रीम उपभोक्ता। यदि किसी फ़ायरवॉल ने pxGrid के माध्यम से ISE से पहचान सीखी है, तो वह फ़ीड कटओवर पर रुक जाती है। यदि आप सत्र समाप्त करने के लिए Change of Authorisation (RFC 5176) पर निर्भर हैं, तो पायलेट के दौरान इसका परीक्षण करें।
• फ़ेलओवर पर निर्भर रहना। ISE को द्वितीयक सर्वर के रूप में सूचीबद्ध करने से अस्वीकृतियाँ नहीं पकड़ी जाती हैं। केवल एक परीक्षण किया गया रोलबैक ही ऐसा कर पाता है।

Purple कहाँ फिट बैठता है

Purple Access आपके पास पहले से मौजूद एक्सेस पॉइंट पर तीन नेटवर्क चलाता है: ओपन, सिक्योर और xPSK। एक ISE माइग्रेशन सुरक्षित नेटवर्क पर आता है। Purple cloud RADIUS Microsoft Entra ID, Okta या Google Workspace के विरुद्ध EAP-TLS के साथ प्रमाणीकृत करता है। Passpoint, स्वचालित और एन्क्रिप्टेड जुड़ने के लिए Hotspot 2.0 मानक, सभी साइटों पर समान पहचान का विस्तार करता है। पहचान हर नेटवर्क पर VLAN सेट करती है।

Purple हार्डवेयर से स्वतंत्र है। यह बिना किसी नए हार्डवेयर के Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet के साथ काम करता है। Purple दुनिया में सबसे बड़ा cloud RADIUS चलाता है। यह 99.999% अपटाइम पर चलने वाले प्लेटफ़ॉर्म पर 99.9% RADIUS अपटाइम SLA प्रदान करता है।

{"items":[{"value":"99.9%","label":"RADIUS अपटाइम SLA","note":"Purple का संविदात्मक SLA"},{"value":"99.999%","label":"प्लेटफ़ॉर्म अपटाइम","note":"Purple का अपना डेटा"},{"value":"80,000+","label":"लाइव स्थान","note":"Purple का अपना डेटा"},{"value":"90","label":"देश","note":"Purple का अपना डेटा"}]}

{"tone":"proof","title":"शाखा पैमाने पर स्टाफ WiFi","text":"JPMorgan 5,000 शाखाओं में Purple पर स्टाफ WiFi चलाता है।"}

Purple के पास ISO 27001, Cyber Essentials और B Corp प्रमाणीकरण हैं, और यह GDPR और CCPA के तहत काम करता है। वे प्रमाणीकरण उस आपूर्तिकर्ता मूल्यांकन को छोटा कर देते हैं जो आपकी सुरक्षा टीम चलाएगी। व्यापक सुरक्षा परिदृश्य के लिए, एंटरप्राइज WiFi सुरक्षा गाइड पढ़ें। यदि आप अभी भी गंतव्य चुन रहे हैं, तो WiFi प्रमाणीकरण के लिए Cisco ISE विकल्प देखें।

अक्सर पूछे जाने वाले प्रश्न

Cisco ISE से क्लाउड RADIUS में माइग्रेट करने में कितना समय लगता है?

कटओवर में आमतौर पर केवल एक वीकेंड लगता है; तैयारी में अधिक समय लगता है। 40-साइट वाली संपत्ति के लिए, दो सप्ताह की डिस्कवरी, एक सप्ताह के बिल्ड, दो सप्ताह के पायलट और कई वीकेंड वेव की योजना बनाएं। सर्टिफ़िकेट सबसे बड़ा चर (variable) हैं। यदि डिवाइस पहले से ही आपके स्वयं के CA के सर्टिफ़िकेट के साथ EAP-TLS का उपयोग करते हैं, तो योजना छोटी हो जाती है। यदि Active Directory के विरुद्ध PEAP सक्रिय है, तो उन डिवाइसों को पहले EAP-TLS पर ले जाने के लिए एक चरण जोड़ें।

क्या Cisco ISE से हटने के लिए मुझे नए एक्सेस पॉइंट की आवश्यकता है?

नहीं। क्लाउड RADIUS आपके द्वारा पहले से चलाए जा रहे एक्सेस पॉइंट्स और कंट्रोलर के साथ काम करता है: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet। यह माइग्रेशन प्रत्येक SSID पर एक कॉन्फ़िगरेशन परिवर्तन है: नए RADIUS सर्वर एड्रेस, एक नया शेयरड सीक्रेट और, जहाँ आवश्यकता हो, नए VLAN एट्रिब्यूट। आपकी स्विचिंग, VLAN और SSID बिल्कुल वैसे ही रहते हैं जैसे वे हैं।

क्या हम पहले से जारी किए गए क्लाइंट सर्टिफ़िकेट रख सकते हैं?

हाँ, यदि वे आपके अपने CA या MDM द्वारा जारी किए गए थे। क्लाउड RADIUS जारी करने वाले CA के विरुद्ध EAP-TLS सर्टिफ़िकेट को मान्य करता है, इसलिए उस CA पर भरोसा हो जाने के बाद वे काम करना जारी रखते हैं। ISE इंटरनल CA के सर्टिफ़िकेट इसका अपवाद हैं। वे एक ऐसे सिस्टम से जुड़े हैं जिसे आप रिटायर करने वाले हैं, इसलिए चरण 5 शुरू होने से पहले उन्हें अपने MDM या CA से फिर से जारी करें।

उन डिवाइसों का क्या होता है जो ISE में MAC ऑथेंटिकेशन बायपास का उपयोग करते हैं?

वे xPSK नेटवर्क में चले जाते हैं। MAB एक MAC एड्रेस पर भरोसा करता है, जिसे स्पूफ़ करना आसान है। प्रति डिवाइस या डिवाइस ग्रुप की एक कुंजी स्कैनर, प्रिंटर और सेंसर को उनका अपना क्रेडेंशियल देती है और उन्हें उनके अपने VLAN पर पहुँचाती है। चरण 1 में उन्हें ISE की एंडपॉइंट सूची से खोजें। चरण 2 में कुंजियाँ जारी करें, फिर पायलट साइट पर प्रत्येक मॉडल में से एक का परीक्षण करें।

क्या ISE से हटने से हमारे PCI DSS या ISO 27001 के प्रमाण प्रभावित होते हैं?

यह बदलता है कि प्रमाण कहाँ से आता है, न कि यह कि आपके पास प्रमाण है या नहीं। डीकमीशन करने से पहले अपनी रिटेंशन अवधि के लिए ISE ऑथेंटिकेशन रिपोर्ट निर्यात करें। कटओवर के बाद से, Purple के ऑथेंटिकेशन लॉग और VLAN असाइनमेंट नेटवर्क विभाजन और एक्सेस कंट्रोल के लिए प्रमाण प्रदान करते हैं। Purple का अपना ISO 27001 और Cyber Essentials सर्टिफ़िकेशन भी सप्लायर असेसमेंट का समर्थन करता है जिसकी आपके ऑडिटर अपेक्षा करेंगे।

क्लाउड RADIUS की कीमत Cisco ISE से किस तरह तुलना करती है?

लाइसेंस लाइनों के बजाय कुल लागत की तुलना करें। ISE लागत में लाइसेंस, इसे चलाने वाले नोड्स या वर्चुअल मशीनें, सपोर्ट कॉन्ट्रैक्ट और पैचिंग और अपग्रेडिंग में बिताया गया इंजीनियर का समय शामिल है। क्लाउड RADIUS एक सब्सक्रिप्शन है जिसमें आपके पास चलाने के लिए कोई सर्वर नहीं है। Purple आपकी संपत्ति के लिए कोटेशन देता है, इसलिए अपनी साइट की संख्या, SSID और डिवाइस नंबर साथ लाएं। ISE अल्टरनेटिव्स गाइड में बताया गया है कि और किन चीज़ों की तुलना करनी है।

क्या हमें WiFi के साथ ही वायर्ड 802.1X को भी माइग्रेट करना चाहिए?

नहीं। पहले WiFi को स्थानांतरित करें और वायर्ड 802.1X को अपने स्वयं के पायलट के साथ एक अलग प्रोजेक्ट के रूप में समझें। वायर्ड पोर्ट में अक्सर MAB डिवाइस, डेस्क फोन और पोस्चर नियम होते हैं जिन्हें अपनी स्वयं की इन्वेंट्री की आवश्यकता होती है। एक ही विंडो में दोनों को बदलने से एक साथ विफल होने वाली चीजों की संख्या दोगुनी हो जाती है। यह दबाव के तहत रोलबैक निर्णय को कॉल करना भी कठिन बना देता है।

क्या Aruba ClearPass से माइग्रेट करना कुछ अलग है?

पाँचों चरण समान हैं; निर्यात भिन्न है। ClearPass ISE नीति सेट के बजाय नीतियों को सेवाओं, प्रवर्तन नीतियों और प्रोफाइल के रूप में संग्रहीत करता है। उन्हें आइडेंटिटी ग्रुप और VLAN में मैप करना मुख्य चरण 1 कार्य है। प्रमाणपत्र ट्रस्ट जोखिम और फ़ेलओवर व्यवहार बिल्कुल उसी तरह लागू होते हैं। ClearPass माइग्रेशन गाइड विस्तार से निर्यात को कवर करती है।