प्रमाणपत्र-आधारित WiFi ऑथेंटिकेशन: EAP-TLS मार्गदर्शिका

एखादी व्यक्ती व्यवसाय सोडत आहे आणि तुमची टीम कर्मचाऱ्यांचा WiFi पासवर्ड पुन्हा बदलायचा की नाही हे ठरवत आहे. ते बदलणे म्हणजे लॅपटॉप, फोन, रिसेप्शन टॅब्लेट आणि कॉन्फिगर केल्याचे कोणालाही आठवत नसलेली उपकरणे पुन्हा कनेक्ट करणे. ते जसे आहे तसे सोडणे म्हणजे हे स्वीकारणे की संस्थेच्या बाहेरील व्यक्तीला अजूनही कनेक्ट कसे व्हायचे ते माहित आहे.

प्रमाणपत्र आधारित WiFi ऑथेंटिकेशन तुम्हाला विश्वासू डिव्हाइसेस ओळखण्याचा एक उत्तम मार्ग देते. परंतु हे तुमच्या टीमने करावयाचे काम देखील बदलते: पासवर्ड वितरीत करण्याऐवजी, तुम्ही ट्रस्ट चेन्स, प्रमाणपत्र नूतनीकरण, रिव्होकेशन आणि महिनोनमहिने स्टोरेजमध्ये गायब होणारी डिव्हाइसेस व्यवस्थापित कराल. सुरक्षा सुधारणा वास्तविक आहे. विश्वासार्ह ऑपरेशन्ससाठी वायरलेस प्रोफाइलमध्ये EAP-TLS निवडण्यापेक्षा अधिक गोष्टींची आवश्यकता असते.

अनुक्रमणिका

• प्रमाणपत्र-आधारित WiFi प्रमाणीकरणाचा काय अर्थ होतो
  • घटक कोठे बसतात
• EAP-TLS हँडशेक्स टप्प्याटप्प्याने कसे कार्य करतात
  • देवाणघेवाण आणि त्याचे अपयश बिंदू फॉलो करा
  • सर्व्हरची पडताळणी करण्यासाठी क्लायंट कॉन्फिगर करा
• सामायिक केलेले पासवर्ड आणि PEAP यांच्याशी प्रमाणपत्रांची तुलना
  • फक्त लेबलचीच नाही, तर क्रेडेंशियलची तुलना करा
  • पद्धत ही लोकसंख्येनुसार जुळवा
• MDM द्वारे CA तयार करणे आणि प्रमाणपत्रे प्रदान करणे
  • प्रमाणपत्रे जारी करण्यापूर्वी प्रोफाईल निवडा
  • विश्वास, क्रेडेंशियल्स आणि कॉन्फिगरेशन एकत्रितपणे प्रदान करा
• जारी करण्यापासून ते नूतनीकरणापर्यंत प्रमाणपत्र जीवनचक्राचे व्यवस्थापन करणे
  • प्रत्येक टप्प्याला ऑपरेशनल नियंत्रण द्या
  • ऑनलाइन नसलेल्या डिव्हाइसेससाठी योजना तयार करा
• डिव्हाइसेस गहाळ झाल्यास किंवा लोकांनी नोकरी सोडल्यास ॲक्सेस रद्द करणे
  • स्टेटस तपासण्या समजून घ्या
  • गहाळ झालेल्या डिव्हाइससाठी पूर्ण प्रक्रियेचा वापर करा
• डिव्हाइसची पात्रता आणि अपवादांचे नियोजन
  • संपूर्ण डिव्हाइस जीवनचक्राची चाचणी घ्या
  • अपवाद मर्यादित आणि उत्तरदायी ठेवा
• रोल आउट करण्यापूर्वी आपल्या प्रमाणपत्र योजनेची पुष्टी करा
  • या आठवड्याचा सज्जता आढावा ठोस बनवा
  • सपोर्टॅबिलिटीनुसार पायलटचे मूल्यमापन करा

प्रमाणपत्र-आधारित WiFi प्रमाणीकरणाचा अर्थ काय आहे

प्रमाणपत्र-आधारित WiFi ऑथेंटिकेशन सामायिक केलेल्या WiFi पासवर्डऐवजी वैयक्तिक डिजिटल प्रमाणपत्राचा वापर करते, जे ॲक्सेस देण्यापूर्वी नेटवर्कद्वारे तपासले जाते. सामायिक केलेले ऑफिस डोअर कोड विरुद्ध कर्मचाऱ्याच्या बॅजचा विचार करा. कोडच्या सहाय्याने, प्रत्येकजण तेच रहस्य जाणतो हे सिद्ध करतो. बॅजसह, सुरक्षा डेस्क विशिष्ट क्रेडेन्शियल ओळखू शकतो आणि ते स्वतंत्रपणे रद्द करू शकतो.

समजा एखाद्या मॅनेज्ड लॅपटॉपला कर्मचाऱ्यांच्या नेटवर्कमध्ये ॲक्सेस आवश्यक आहे. त्याचे प्रमाणपत्र डिव्हाइस किंवा त्याच्या नियुक्त वापरकर्त्याची ओळख पटवते, आणि तिची संरक्षित प्रायव्हेट की त्याला ते क्रेडेंशियल धारण करत असल्याचे सिद्ध करू देते. प्रमाणपत्र स्वतः एक गुप्त पासवर्ड नाही, आणि केवळ पब्लिक सर्टिफिकेटची कॉपी केल्याने संबंधित प्रायव्हेट की मिळत नाही.

आकृती दाखवते की वैयक्तिक क्रेडेंशियल्स सामान्य पासवर्डची जागा कशी घेतात.

घटक कुठे फिट होतात

मूल फ्रेमवर्क IEEE 802.1X आहे, जो मूळतः वायर्ड इथरनेटसाठी विकसित केला गेला होता आणि वायरलेस् LAN साठी अनुकूलित केला गेला होता. Microsoft चे IEEE 802.1X ऑथेंटिकेशन चे विहंगावलोकन) RADIUS द्वारे फ्रेमवर्क आणि केंद्रीय प्रमाणीकरणाची भूमिका स्पष्ट करते.

ऍक्सेस पॉइंट प्रवेश नियंत्रित करतो, तर RADIUS सेवा ऑथेंटिकेशन विनंतीचे मूल्यमापन करते. EAP-TLS ही त्या व्यवस्थेद्वारे केली जाणारी प्रमाणपत्र-आधारित ऑथेंटिकेशन पद्धत आहे. कनेक्शनसाठी कीयिंग मटेरियल तयार करण्यापूर्वी डिव्हाइस आणि ऑथेंटिकेशन सर्व्हर एकमेकांची पडताळणी करतात.

हे घटक वेगळे ठेवा:

• डिव्हाइस प्रमाणपत्र: एंडपॉइंट किंवा वापरकर्ता ओळखते आणि डिव्हाइसकडे असलेल्या प्रायव्हेट की सह कार्य करते.
• ऑथेंटिकेशन सर्व्हर प्रमाणपत्र: डिव्हाइसला मान्यताप्राप्त ऑथेंटिकेशन सेवेशी संवाद साधत असल्याची पडताळणी करण्याची अनुमती देते.
• सर्टिफिकेशन अथॉरिटी: अशी प्रमाणपत्रे जारी करते जी प्रत्येक बाजू स्पष्टपणे विश्वासू प्रमाणपत्र साखळीद्वारे वैध करू शकते.

डिव्हाइस आणि सर्व्हरला एकाच इश्यूइंग ऑथॉरिटीकडून सर्टिफिकेट्स असण्याची आवश्यकता नाही. महत्त्वाची गोष्ट म्हणजे प्रत्येक बाजू योग्य इश्यूअरवर विश्वास ठेवते आणि योग्य व्हेलिडेशन धोरण लागू करते.

व्यवहार्य नियम: प्रमाणपत्रांकडे नेटवर्क ओळख प्रणाली म्हणून पहा, गुंतागुंतीचे पासवर्ड म्हणून नाही.

हा फरक तुमचा हरवलेला लॅपटॉप हाताळण्याची पद्धत बदलतो. तुम्ही इतरांच्या उपकरणांवरील क्रेडेशियल्स न बदलता त्या लॅपटॉपचे क्रेडेंशियल रद्द करू शकता. तथापि, वैध प्रमाणपत्र असणे म्हणजे ओळख सिद्ध होणे, अमर्याद परवानगी मिळणे नाही. त्या ओळखीपर्यंत काय पोहोचू शकते हे ठरवण्याची गरज तुमच्या ऍक्सेस पॉलिसीला अजूनही असते.

EAP-TLS हँडशेक्स टप्प्याटप्प्याने कसे कार्य करतात

कनेक्शनमध्ये डिव्हाइसचा सप्लिकंट, ऑथेंटिकेटर म्हणून काम करणारा ॲक्सेस पॉइंट आणि ऑथेंटिकेशन सर्व्हर यांचा समावेश असतो. सप्लिकंट हा ऑपरेटिंग-सिस्टमचा घटक आहे जो एंटरप्राइझ नेटवर्क ऑथेंटिकेशन हाताळतो.

हा सरळ केलेला प्रवाह प्रत्येक प्रोटोकॉल संदेशाऐवजी मुख्य हँडऑफ दाखवतो.

एक्सचेंज आणि त्याच्या अपयशी बिंदूंचे अनुसरण करा

या एक्सचेंजच्या मागे असलेले म्युच्युअल ऑथेंटिकेशन आणि की डेरीव्हेशन हे EAP-TLS स्पेसिफिकेशन, RFC 5216 मध्ये परिभाषित केले आहे.

1. डिव्हाइस ॲक्सेस पॉइंटशी जोडले जाते. ते एंटरप्राइज ऑथेंटिकेशन एक्सचेंज सुरू करते आणि आयडेंटिटी प्रदान करते. केवळ जोडणीमुळे सामान्य नेटवर्क ॲक्सेस मिळत नाही. चुकीच्या वायरलेस सुरक्षा सेटिंगमुळे डिव्हाइसला प्रमाणपत्र ऑथेंटिकेशनपर्यंत पोहोचण्यापासून पूर्णपणे रोखले जाऊ शकते.

2. ॲक्सेस पॉइंट EAP संदेश RADIUS कडे पाठवतो. स्वतः डिव्हाइस प्रमाणपत्र जारी करण्याऐवजी ते एंडपॉइंट आणि ऑथेंटिकेशन सर्व्हिसमधील एक्सचेंज फॉरवर्ड करते. RADIUS कनेक्टिव्हिटी समस्या किंवा चुकीच्या प्रकारे नोंदणीकृत ॲक्सेस पॉइंट येथे एक्सचेंज थांबवू शकतो.

3. सर्व्हर त्याचे प्रमाणपत्र सादर करतो. डिव्हाइस प्रमाणपत्र साखळी, वैधता आणि अपेक्षित सर्व्हर आयडेंटिटी तपासते. अविश्वासू इश्यूअर, अपूर्ण साखळी किंवा अनपेक्षित सर्व्हर नावामुळे डिव्हाइसने कनेक्शन नाकारले पाहिजे.

4. डिव्हाइस त्याचे क्लायंट प्रमाणपत्र सादर करते. सर्व्हर क्रेडेंशियल व्हॅलिडेट करतो, लागू होणारी रिव्होकेशन माहिती तपासतो आणि आयडेंटिटीचे मूल्यमापन करतो. सर्व्हर लॉग विशिष्ट कारण दाखवत असले, तरीही गहाळ झालेले प्रमाणपत्र किंवा ॲक्सेस न करता येणारी प्रायव्हेट की वापरकर्त्याला सामान्य कनेक्शन त्रुटीसारखी दिसू शकते.

5. TLS एक्सचेंज शेअर केलेली कीयिंग मटेरियल स्थापित करते. एंडपॉइंटने केवळ प्रमाणपत्र फाईल सादर न करता, त्याच्याकडे प्रायव्हेट की असल्याचे सिद्ध केले पाहिजे. दोन्ही प्रमाणपत्रे अन्यथा वैध असतानाही असंगत क्रिप्टोग्राफिक सेटिंग्ज प्रक्रिया पूर्ण होण्यास अडथळा आणू शकतात.

6. RADIUS ऑथेंटिकेशन निकाल आणि पॉलिसी ॲट्रीब्युट्स परत करतो. मंजुरीमध्ये VLAN असाइनमेंट किंवा इतर समर्थित ऑथोरायझेशन ॲट्रीब्युट्स समाविष्ट असू शकतात. यशस्वी ऑथेंटिकेशननंतर अनुपयोगी कनेक्शन आढळल्यास, ते प्रमाणपत्राच्या समस्येऐवजी VLAN किंवा डाउनस्ट्रीम पॉलिसी समस्येचे निर्देश करू शकते.

सर्व्हरची पडताळणी करण्यासाठी क्लायंट कॉन्फिगर करा

सप्लिकंट प्रोफाईलमध्ये, स्पष्टपणे EAP-TLS निवडा, विश्वासू CA कॉन्फिगर करा आणि अपेक्षित RADIUS सर्व्हरची नावे निर्दिष्ट करा. सर्व्हर प्रमाणपत्र प्रमाणीकरण सक्षम ठेवा. वापरकर्त्यांना फक्त ऑनलाइन येण्यासाठी वॉर्निंग बायपास करू देऊ नका.

तुमच्या टीमसोबत देवाणघेवाणीवर चर्चा करताना प्रोटोकॉल फ्लोसह हा व्हिडिओ वापरा.

प्रत्येक कनेक्शन हे ऑथेंटिकेशनच्या वेळी क्रेडेन्शियल्स उपस्थित, ॲक्सेस करण्यायोग्य आणि स्वीकार्य असण्यावर अवलंबून असते. त्यामुळे ट्रबलशूटिंगसाठी केवळ क्लायंट सामील होण्यास अपयशी ठरल्याचे दर्शवणाऱ्या ॲक्सेस पॉइंट डॅशबोर्डचीच नाही, तर सप्लिकंट आणि RADIUS या दोघांकडील पुराव्याची गरज असते.

प्रमाणपत्रांची सामायिक पासवर्ड आणि PEAP

शी तुलना

WiFi प्रमाणीकरण पद्धती समान निकषांवर

पद्धत	डिव्हाइसवरील क्रेडेंशियल	रिव्होकेशन स्कोप	उत्तरदायित्व	सेटअपचे प्रयत्न
शेअर केलेला WPA2 किंवा WPA3-Personal पासफ्रेझ	प्रत्येक वापरकर्त्याला माहित असलेला एक पासफ्रेझ	सर्वसाधारण प्रत्येकासाठी की बदलतो	शेअर केलेल्या क्रेडेंशियलवरून कोणतेही नाही	कमी
WPA2-Enterprise सह PEAP-MSCHAPv2	प्रत्येक वापरकर्त्यासाठी युझरनेम आणि पासवर्ड	एक खाते निष्क्रिय करतो	प्रति वापरकर्ता	मध्यम
EAP-TLS वर WPA2 किंवा WPA3-Enterprise	प्रति डिव्हाइस युनिक क्लायंट प्रमाणपत्र आणि प्रायव्हेट की	एक प्रमाणपत्र रद्द करतो	मॅप केल्यावर प्रति डिव्हाइस आणि वापरकर्ता	जास्त, PKI आणि व्यवस्थापित प्रोव्हिजनिंग आवश्यक आहे
WPA3-Enterprise EAP-TLS सह 192-बिट	प्रोफाईलच्या क्रिप्टोग्राफिक आवश्यकता पूर्ण करणारे प्रमाणपत्र	एक प्रमाणपत्र रद्द करतो	मॅप केल्यावर प्रति डिव्हाइस आणि वापरकर्ता	उच्च, तसेच सायफर सुसंगतता तपासणी

EAP-TLS हे WPA3 चे समानार्थी नाही. WiFi Alliance सर्टिफिकेशन रेकॉर्ड समर्थित एंटरप्राइज ऑथेंटिकेशन पद्धतींमध्ये EAP-TLS ओळखते. प्रमाणपत्र ऑथेंटिकेशन ही एक एंटरप्राइज ऑथेंटिकेशन निवड आहे, तर WPA प्रोफाइल देखील वायरलेस सुरक्षा आवश्यकता निर्धारित करते.

फक्त लेबलचीच नाही, तर क्रेडेंशियलची तुलना करा

सामायिक केलेला पासफ्रेज एका सामायिक सीक्रेटचे ज्ञान सिद्ध करतो. नेटवर्क उपकरणे अजूनही कनेक्शन तपशील नोंदवू शकत असली, तरी ते कोणत्या कर्मचाऱ्याने पुरवले हे सिद्ध करत नाही. कर्मचाऱ्यांचे राजीनामे अडचणीचे ठरतात कारण क्रेडेंशियल बदलणे म्हणजे ते वापरणाऱ्या प्रत्येक डिव्हाइसला अपडेट करणे होय.

PEAP-MSCHAPv2 वैयक्तिक युझरनेम आणि पासवर्ड कडे वर्ग होते. हे अंतर्गत ऑथेंटिकेशन एक्सचेंज सुरक्षित करण्यासाठी सर्व्हर-ऑथेंटिकेटेड TLS टनेलचा वापर करते, त्यामुळे योग्य सर्व्हर व्हॅलिडेशन महत्त्वाचे ठरते. हे उपयुक्त प्रति-युझर नोंदी प्रदान करू शकते, परंतु पासवर्ड बदलणे आणि अकाउंटच्या समस्या या वायरलेस सपोर्टचा भाग राहतात.

EAP-TLS सह, एंडपॉइंट ऑथेंटिकेशन दरम्यान अकाउंट पासवर्ड ऐवजी त्याचे सर्टिफिकेट आणि प्रायव्हेट की वापरते. इन्व्हेंटरी सर्टिफिकेट्सचे एंडपॉइंट्स आणि मालकांशी योग्य रीतीने मॅपिंग करत असल्यास, ते प्रशासकांना व्यवस्थापित करण्यासाठी डिव्हाइस-विशिष्ट क्रेडेन्शियल देते.

कंट्रोलर मेनूमधील फक्त सर्वात मजबूत लेबल न निवडता, ज्या पद्धतीचे क्रेडेंशियल लाइफसायकल तुमची टीम प्रत्यक्षात ऑपरेट करू शकते ती पद्धत निवडा.

लोकसंख्येनुसार पद्धत जुळवा

मॅनेज केलेल्या कर्मचाऱ्यांच्या ॲक्सेससाठी सामायिक पासफ्रेजेस हा एक अयोग्य डिफॉल्ट पर्याय आहे, जिथे वैयक्तिक मागे घेणे आणि उत्तरदायित्व महत्त्वाचे असते. अगदी पाहुणे आणि कमी-जोखमीच्या उपकरणांसाठीही, सामान्य पासवर्डसाठी विचारपूर्वक वितरीत करण्याचे आणि बदलण्याचे धोरण असणे आवश्यक आहे.

प्रमाणपत्रे व्यवस्थापित लॅपटॉप आणि फोनसाठी योग्य असतात कारण तुम्ही विद्यमान व्यवस्थापन प्रणालीद्वारे त्यांची तरतूद करू शकता. उच्च-आश्वासन एंटरप्राइज प्रोफाइल सुसंगतता कार्य जोडते; ते कोणत्याही जीवनचक्र जबाबदाऱ्या कमी करत नाही. PEAP हा अशा ठिकाणी स्थलांतर पर्याय म्हणून राहू शकतो जिथे वैयक्तिक खाती अस्तित्वात आहेत परंतु प्रमाणपत्र तरतूद तयार नाही, ओळख-आधारित ॲक्सेस डिझाइन अनिश्चित काळासाठी पुढे ढकलण्याचे कारण नाही.

CA तयार करणे आणि MDM द्वारे प्रमाणपत्रे प्रोव्हिजन करणे

व्यवस्थापनयोग्य डिप्लॉयमेंट हे पब्लिक की इन्फ्रास्ट्रक्चर, किंवा PKI सह सुरू होते, ज्यांची मालकी स्पष्ट असते. एक सामान्य हायराकी रूट सर्टिफिकेशन ॲथॉरिटी ऑफलाइन ठेवते आणि नियमित प्रमाणपत्र वितरणासाठी इश्यूइंग CA वापरते. मॅनेज्ड PKI सेवा तुमच्या टीमने स्थानिक पातळीवर प्रत्येक घटकाचे संचालन न करता या भूमिका पूर्ण करू शकते.

इश्युइंग CA डिव्हाइस आणि सर्व्हर प्रमाणपत्रांवर स्वाक्षरी करतो. RADIUS ने क्लायंट प्रमाणपत्र साखळीवर विश्वास ठेवला पाहिजे, तर एंडपॉईंट्सने योग्य सर्व्हर साखळीवर विश्वास ठेवला पाहिजे. रूट प्रमाणपत्र स्थापित केल्याने उर्वरित वायरलेस पॉलिसी आपोआप कॉन्फिगर होते असे गृहीत धरू नका.

प्रमाणपत्रे इश्यू करण्यापूर्वी प्रोफाइल निवडा

डिव्हाइस टेम्पलेटला क्लायंट ऑथेंटिकेशन वापर, डिव्हाइस किंवा वापरकर्ता ओळख जी तुमची पॉलिसी रिझॉल्व्ह करू शकते, आणि तुमच्या नूतनीकरण आणि रिकव्हरी डिझाइनद्वारे नियंत्रित वैधता कालावधीची आवश्यकता असते.

सुरक्षा स्तरानुसार प्रमाणपत्र प्रोफाइल

प्रोफाइल	की आणि अल्गोरिदम	सर्वसाधारण वैधता	कुठे लागू होते
स्टँडर्ड मॅनेज्ड लॅपटॉप किंवा फोन	सर्व उपकरणांवर सपोर्ट असलेला संस्था-मान्य अल्गोरिदम	नवीकरण आणि रिकव्हरी पॉलिसीद्वारे निर्धारित	WPA2-Enterprise वर मिश्रित उपकरणे
अधिक कडक मॅनेज्ड डिव्हाइस	एंडपॉईंट चाचणीनंतर मंजूर केलेला अधिक मजबूत टेम्पलेट	पॉलिसी आणि नवीकरण क्षमतेद्वारे निर्धारित	अद्ययावत फर्मवेअर असलेली आधुनिक उपकरणे
WPA3-Enterprise 192-बिट	ECDSA P-384 किंवा RSA 3072 किंवा त्याहून मोठे	पॉलिसी आणि नवीकरण क्षमतेद्वारे निर्धारित	सुसंगतता चाचणीनंतर उच्च-खात्रीची ठिकाणे
हेडलेस किंवा लेगसी डिव्हाइस	अनेकदा सपोर्ट नसलेले	व्हेंडर-सपोर्टेड लाइफसायकल किंवा अपवादाची मुदत समाप्ती	अपवाद मार्ग

WiFi Alliance डिप्लॉयमेंट मार्गदर्शक असे नमूद करतो की WPA3-Enterprise 192-बिट मोड ऑथेंटिकेशनला EAP-TLS पर्यंत मर्यादित करतो आणि P-384 ॲलिप्टिक-कर्व्ह पॅरामीटर्ससह AES-256-GCM सूट्स किंवा किमान 3072 बिट्सचे RSA/DH मॉड्युलस आकार वापरतो. त्यामुळे तक्त्यामधील उच्च-खात्रीची प्रोफाइल केवळ सर्टिफिकेटच्या की लेबलवरून नाही, तर निवडलेल्या संपूर्ण सूटवरून तपासली पाहिजे.

सर्टिफिकेट टेम्पलेट्स, RADIUS सॉफ्टवेअर, सप्लिकंट्स आणि क्रिप्टोग्राफिक प्रदाते सहमत असणे आवश्यक आहे. साध्या EAP-TLS ला सपोर्ट करणारा एंडपॉइंट या अधिक कडक प्रोफाईलअंतर्गत तरीही अयशस्वी होऊ शकतो.

ट्रस्ट, क्रेडेंशियल्स आणि कॉन्फिगरेशन एकत्र वितरित करा

SCEP सह, व्यवस्थापन प्रोफाईल डिव्हाइसला की-पेअर तयार करण्याचे आणि प्रमाणपत्राची विनंती करण्याचे निर्देश देते. CA विनंतीवर स्वाक्षरी करतो; डिव्हाइस त्याची खाजगी की सुरक्षित स्टोरेजमध्ये राखते. एकापेक्षा जास्त मशीनवर तेच क्लायंट प्रमाणपत्र आणि खाजगी की वितरित करू नका.

नियंत्रित क्रमाने अवलंबित्वे तैनात करा:

• प्रथम विश्वास ठेवा: आवश्यक ट्रस्टेड CA प्रमाणपत्रे इंस्टॉल करा.
• पुढील क्रेडेंशियल: SCEP कॉन्फिगरेशन वितरीत करा आणि यशस्वी वितरणाची पुष्टी करा.
• शेवटी वायरलेस प्रोफाइल: इच्छित क्लायंट क्रेडेंशियल आणि सर्व्हर व्हॅलिडेशन सेटिंग्जचा संदर्भ घ्या.

अवलंबित प्रोफाइलमध्ये ग्रुप टार्गेटिंग सुसंगत ठेवा. रोलआउटचे प्रमाणीकरण करण्यापूर्वी प्लॅटफॉर्ममधील फरक तपासण्यासाठी MDM WiFi प्रमाणपत्र प्रोफाइल तुलनेचा वापर करा. तसेच डिव्हाइस अद्याप प्राप्त करण्याचा प्रयत्न करत असलेल्या प्रमाणावर अवलंबून नसलेले एनरोलमेंट कनेक्शन प्रदान करा.

इश्यूपासून नूतनीकरणापर्यंत प्रमाणपत्र जीवनचक्र व्यवस्थापित करणे

आज यशस्वीरित्या कनेक्ट होणारा लॅपटॉप नूतनीकरण कालावधीत कपाटात राहिल्यास नंतर अयशस्वी होऊ शकतो. ॲक्सेस पॉइंट व्यवस्थित असू शकतो, पासवर्ड बदललेला नसतो आणि वापरकर्त्याने काहीही चुकीचे केलेले नसते. एंडपॉइंटकडे आता स्वीकार्य क्रेडेन्शियल नसतात.

NIST चे EAP आवश्यकता मार्गदर्शन ऑथेंटिकेशनपूर्वी प्रमाणपत्रे पुरवण्याची, एक्सचेंजदरम्यान ती उपलब्ध असण्याची आणि रिव्होकेशन स्टेटससह पडताळणीयोग्य असण्याची गरज स्पष्ट करते. या आवश्यकतांमुळे लाइफसायकल अवलंबित्वे ही नेटवर्क उपलब्धतेचा भाग बनतात.

ही टाइमलाइन सुरुवातीच्या डिप्लॉयमेंटच्या पलीकडे मालकी नियुक्त करण्यासाठी उपयुक्त आहे.

प्रत्येक टप्प्याला एक कार्यप्रणाली नियंत्रण द्या

टप्पा	नियंत्रण	हे रोखत असलेले अपयश
नोंदणी	MDM नोंदणी आणि प्रोफाईल टार्गेटिंगचे निरीक्षण करा	डिव्हाइसला नोंदणीची सूचना कधीही मिळत नाही
जारी करणे	टेंप्लेट परवानग्या आणि विनंती परिणामांची पडताळणी करा	CA विनंत्या नाकारते किंवा न वापरण्यायोग्य प्रमाणपत्रे जारी करते
डिपॉयमेंट	इन्स्टॉलेशन आणि सुरक्षित प्रायव्हेट-की ॲक्सेसची पडताळणी करा	प्रमाणपत्र अस्तित्वात आहे परंतु सप्लिकंट ते वापरू शकत नाही
नूतनीकरण	लवकर सुरू करा, पूर्णतेचे निरीक्षण करा आणि तपासलेल्या ओव्हरलॅपला अनुमती द्या	डिव्हाइसेस बदलल्याशिवाय मुदत संपण्याच्या टप्प्यावर पोहोचतात
मुदत संपणे	मालकांना अलर्ट करा आणि मर्यादित रिकव्हरी मार्ग प्रदान करा	मुदत संपलेल्या डिव्हाइसेसकडे रिकव्हर होण्याचा कोणताही मार्ग उरत नाही
नुकसानभरपाई/सेवानिवृत्ती	क्रेडेंशियल्स मागे घ्या आणि जुन्या इन्व्हेंटरी नोंदी काढून टाका	नुकसानभरपाई केलेल्या उपकरणांकडे स्वीकारलेली ओळख कायम राहते

नूतनीकरणासाठी पूर्ण झाल्याच्या पुराव्याची गरज असते, फक्त सक्षम केलेल्या ऑटोमेशन सेटिंगची नाही. रिप्लेसमेंट प्रमाणपत्र जारी केले आहे, इंस्टॉल केले आहे आणि यशस्वीरित्या वापरले गेले आहे का याचा मागोवा घ्या. ओव्हरलॅप दरम्यान, सप्लिकंट वारंवार कालबाह्य क्रेडेंशियल निवडण्याऐवजी योग्य क्रेडेंशियल निवडतो याची पुष्टी करा.

ऑनलाइन नसलेल्या डिव्हाइसेससाठी योजना करा

नूतनीकरण विंडो वास्तविक डिव्हाइसच्या वर्तनानुसार सेट करा. सीझनलनुसार वापरल्या जाणाऱ्या किंवा स्पेअर म्हणून ठेवलेल्या उपकरणांना रोज चेक-इन करणाऱ्या लॅपटॉपपेक्षा वेगळ्या रिकव्हरी प्रक्रियेची आवश्यकता असू शकते. MDM मध्ये जुने प्रमाणपत्र सूचीबद्ध राहिल्यामुळे ऑफलाईन एंडपॉईंट नूतनीकरण करू शकतो असा गृहीत धरू नका.

सर्टिफिकेट सिरीयल नंबर, एंडपॉइंट आयडेंटिफायर, मालक, इश्यूअर, एक्स्पायरी आणि नूतनीकरण स्थिती लिंक करणारी इन्व्हेंटरी तयार ठेवा. इश्यू करणारे CA आणि ऑथेंटिकेशन सर्व्हर सर्टिफिकेट्स समाविष्ट करा, कारण त्यांचे रिप्लेसमेंट अधिक विस्तृत प्रमाणावर परिणाम करू शकते.

यशस्वीरित्या चाललेले नूतनीकरण कार्य हे त्याच्या बदललेल्या प्रमाणपत्रासह प्रमाणीकृत करू शकणाऱ्या डिव्हाइससारखे नसते.

क्लॉक एरर, ऑपरेटिंग-सिस्टम रीबिल्ड आणि CA साखळीतील बदलांची चाचणी घ्या. रीबिल्डमुळे प्रायव्हेट की काढून टाकली जाऊ शकते; क्लॉक एररमुळे वैध सर्टिफिकेट अजून वैध झाले नाही असे दिसू शकते; साखळीतील बदलामुळे एंडपॉइंट्स आवश्यक ट्रस्टशिवाय राहू शकतात.

MDM, PKI आणि नेटवर्क सेवा समाविष्ट असलेल्या अयशस्वी प्रकरणांसाठी नामांकित मालक नियुक्त करा. अन्यथा, एंडपॉइंट डिस्कनेक्ट राहिलेला असताना प्रत्येक टीम आपली स्वतःची सिस्टम निरोगी असल्याचे सांगू शकते. EAP-TLS आऊटेज धोक्याला इन्व्हेंटरी, ऑटोमेशन आणि डिपेंडन्सी-मॅनेजमेंट समस्येमध्ये बदलते. यामुळे तो धोका पूर्णपणे नाहीसा होत नाही.

डिव्हाइसेस गहाळ झाल्यावर किंवा लोक सोडून गेल्यावर ॲक्सेस रद्द करणे

सोडून गेलेल्या कर्मचाऱ्याचे डिरेक्टरी अकाउंट डिसेबल केले जाते, तरीही त्यांच्या लॅपटॉपमध्ये एक प्रमाणपत्र असते ज्यांची मुदत संपलेली नसते. ते पुन्हा कनेक्ट होऊ शकते की नाही हे तुमच्या ऑथरायझेशन इंटिग्रेशन आणि रिव्होकेशन नियंत्रणांवर अवलंबून असते. अकाउंट डिसेबल करणे आणि प्रमाणपत्र रिव्होक (रद्द) करणे या वेगवेगळ्या कृती आहेत, जोपर्यंत तुमचा कॉन्फिगर केलेला वर्कफ्लो त्यांना स्पष्टपणे जोडत नाही.

ऑपरेटिव्ह संदर्भात ऑफबोर्डिंग परिणाम परिभाषित करा: नवीन ऑथेंटिकेशन्स अयशस्वी झाली पाहिजेत, एनरोलमेंटने रिप्लेसमेंट क्रेडेन्शियल्स जारी करू नयेत आणि विद्यमान सेशन्स सपोर्टेड मेकॅनिझमद्वारे समाप्त झाले पाहिजेत. पूर्ण झालेली HR तिकीट यापैकी कोणताही निकाल सिद्ध करत नाही.

स्टेटस तपासण्या समजून घ्या

सर्टिफिकेट रिव्होकेशन लिस्ट, किंवा CRL, ही इश्यूअरने मागे घेतलेली सर्टिफिकेट्स प्रकाशित करते. ऑनलाइन सर्टिफिकेट स्टेटस प्रोटोकॉल, किंवा OCSP, व्हेलिडेटरला रिस्पॉन्डरकडून सर्टिफिकेट स्टेटसची विनंती करण्याची अनुमती देते.

प्रमाणपत्राची वैधता तपासणारा घटक संबंधित स्टेटस-चेकिंग पॉलिसी लागू करतो. क्लायंट प्रमाणपत्रांसाठी, तो सहसा ॲक्सेस पॉइंट नसून ऑथेंटिकेशन सर्व्हिस असतो. स्टेटस माहिती उपलब्ध नसल्यास, फेल्ड-क्लोज्ड पॉलिसी अन्यथा वैध असलेल्या डिव्हाइसेसना ब्लॉक करू शकते, तर फेल्ड-ओपन पॉलिसी असे क्रेडेंशियल स्वीकारू शकते ज्याचे रिव्होकेशन निश्चित करता येत नाही.

तो पर्याय स्पष्ट करा. "revoke" वर क्लिक केल्याने प्रत्येक ऑथेंटिकेशन निर्णय त्वरित बदलतो असे गृहीत धरण्याऐवजी, तुमच्या चाचण्यांमध्ये कॅश केलेली स्टेटस माहिती, प्रकाशन विलंब आणि रिस्पॉन्डरची उपलब्धता समाविष्ट करा.

डिव्हाइस गहाळ झाल्यास संपूर्ण प्रक्रियेचा वापर करा

गहाळ झालेल्या लॅपटॉपसाठी, प्रत्येक कृतीला स्वतंत्र टीमचे अंतिम पाऊल मानण्याऐवजी कृतींचे समन्वय साधा:

1. क्रेडेंशियल ओळखा आणि ते मागे घ्या. एंडपॉईंटला त्याच्या वास्तविक सर्टिफिकेट सिरीअल नंबरशी जुळवा आणि संबंधित क्रेडेंशियल रद्द करा.
2. पर्यायी इश्यूअन्स (वितरण) रोखा. डिव्हाइसची नोंदणी पात्रता अक्षम करा आणि योग्य MDM रिटायरमेंट किंवा रिमूव्हल प्रक्रिया लागू करा.
3. सक्रिय ॲक्सेस समाप्त करा. इन्फ्रास्ट्रक्चर जिथे सपोर्ट करते तिथे RADIUS Change of Authorization सह सपोर्टेड सेशन-डिसकनेक्ट नियंत्रणे वापरा.
4. परिणामाची पडताळणी करा. सेशन समाप्त झाल्याची आणि नवीन ऑथेंटिकेशन प्रयत्न नाकारला गेल्याची पुष्टी करा.

रद्दीकरणामुळेच प्रस्थापित वायरलेस सत्र संपेल असे नाही. समर्थित डिस्कनेक्ट मेकॅनिझम नसलेल्या उपकरणांवर, पुनर्रचना, री-ऑथेंटिकेशन किंवा इतर सक्तीच्या सत्र मर्यादेपर्यंत सत्र सुरू राहू शकते. घटना प्रक्रियेमध्ये त्या मर्यादेची नोंद करा.

तुमच्या ऑडीट रॅकॉर्डमध्ये पुढील गोष्टींचा समावेश असावा:

• क्रेडेंशियल ओळख: डिव्हाइस आयडेंटिफायर, सर्टिफिकेट सिरीअल नंबर आणि संबंधित मालक.
• निर्णयाचा पुरावा: रद्द करण्याचे कारण, ऑपरेटर आणि कारवाईची वेळ.
• अमलबजावणीचा पुरावा: सेशन समाप्तीची वेळ आणि त्यानंतरचा नकार परिणाम.
• बाकी असणारा धोका: कोणतेही सेशन जे जबरदस्तीने समाप्त केले जाऊ शकले नाही आणि केलेली कंटेनमेंट कारवाई.

रिव्होकेशन सराव शेड्यूल करा. ऑथेंटिकेशन-धोरण बदलांनंतर तसेच नियमित ऑपरेशनल चाचणी दरम्यान ते चालवा, जेणेकरून डिव्हाइस हरवल्याची वास्तविक घटना संपूर्ण मार्ग सिद्ध करण्याचा तुमचा पहिला प्रयत्न ठरणार नाही.

डिव्हाइसची पात्रता आणि अपवादांचे नियोजन

डिव्हाइस वर्ग आणि त्यांची EAP-TLS

सह सुसंगतता

डिव्हाइस वर्ग	EAP-TLS तंदुरुस्ती	सामान्य पर्याय	विचारण्यासाठी महत्त्वाचा प्रश्न
मॅनेज केलेले लॅपटॉप्स आणि फोन	उत्कृष्ट	काहीही आवश्यक नाही, MDM नोंदणी	MDM नोंदणी विश्वासार्ह आहे का?
कॉर्पोरेट टॅब्लेट्स आणि किऑस्क	MDM द्वारे मॅनेज केलेले असल्यास चांगले	किऑस्क-विशिष्ट की स्वतःहून SSID	प्रायव्हेट की सुरक्षित स्टोरेजमध्ये राहू शकते का?
हेडलेस IoT सेन्सर्स	योग्य फर्मवेअरशिवाय कमकुवत	आइसोलेटेड VLAN वर प्रति-डिव्हाइस की	फर्मवेअर 802.1X ला सपोर्ट करते का?
रूम सिस्टीम्स, AV आणि कॉन्फरन्सिंग	व्हेंडर-विशिष्ट सपोर्ट	प्रति-डिव्हाइस की सह समर्पित SSID	व्हेंडर प्रमाणपत्रे इंस्टॉल आणि नूतनीकरण करू शकतो का?
वैद्यकीय डिव्हाइसेस	अनेकदा मर्यादित	व्हेंडर-मान्य पद्धतीसह सेगमेंट केलेले नेटवर्क	डिव्हाइस या पद्धतीसाठी प्रमाणित आहे का?
लेगसी ऑपरेटिंग सिस्टीम एंडपॉइंट्स	आवश्यक क्षमता नसताना अनसपोर्टेड	वेळ-मर्यादित अपवादासह क्वारंटाइन VLAN	अपवादाचे पुनरावलोकन कधी केले जाते?

मूलभूत मर्यादा अशी आहे की प्रत्येक EAP-TLS क्लायंटला स्वतःच्या प्रमाणपत्राची आवश्यकता असते, फक्त सर्व्हरवरील विश्वासाची नाही. NIST चे वायरलेस नेटवर्क मार्गदर्शन या क्लायंट-सर्टिफिकेट गरजेला फक्त-सर्व्हर सर्टिफिकेट ऑथेंटिकेशनपासून वेगळे करते.

त्यामुळे डिव्हाइसला कार्यरत सप्लिकंट, योग्य प्रायव्हेट-की संरक्षण आणि त्याचे क्रेडेन्शियल प्राप्त करण्याचा आणि बदलण्याचा सपोर्टेड मार्ग आवश्यक असतो. “एंटप्राइज WiFi ला सपोर्ट आहे” असे सांगणारे स्पेसिफिकेशन शीट या क्षमता प्रस्थापित करण्यासाठी पुरेसे नाही.

संपूर्ण डिव्हाइस लाईफसायकल तपासा

कॉन्फरन्स-रुम सिस्टीमसाठी, व्हेंडरला फॅक्टरी रीसेटनंतर सर्टिफिकेट इन्स्टॉलेशन, नूतनीकरण आणि रिकव्हरी दाखवण्यास सांगा. सर्टिफिकेट अपलोड स्वीकारणारे वेब इंटरफेस मेंटेनन्सची समस्या सोडवल्याशिवाय ऑनबोर्डिंगची समस्या सोडवू शकते.

वैद्यकीय आणि ऑपरेशनल उपकरणांसाठी, व्हेंडरच्या सपोर्ट आवश्यकता जतन करा. त्याच उत्पादकाचे दुसरे उत्पादन त्याला सपोर्ट करते म्हणून केवळ प्रॉडक्शन डिव्हाइसची ऑथेंटिकेशन पद्धत बदलू नका.

वैयक्तिक डिव्हाइसेससाठी स्वतंत्र पात्रता निर्णयाची आवश्यकता असते. तुम्ही वापरकर्त्यांना एनरोल करण्याची आवश्यकता भासवण्यापूर्वी तुमच्या BYOD ऑनबोर्डिंग डिझाइनने कोणते व्यवस्थापन किंवा प्रोफाईल इन्स्टॉलेशन स्वीकार्य आहे हे स्थापित केले पाहिजे.

अपवाद विशिष्ट आणि उत्तरदायी ठेवा

सर्टिफिकेट्स वापरू न शकणाऱ्या डिव्हाइसने मॅनेज केलेल्या कर्मचारी लॅपटॉपचे ॲक्सेस परमिशन वारशाने मिळवू नयेत. त्याच्या पर्यायी क्रेडेंशियलला एक परिभाषित मालक द्या आणि नेटवर्कला त्याच्या आवश्यक गंतव्यस्थानांपर्यंत मर्यादित करा.

प्रत्येक अपवादासाठी खालील गोष्टींची नोंद ठेवा:

• तांत्रिक कारण: कॉन्फिगरेशन तपासणीद्वारे समर्थित नसलेली क्षमता किंवा व्हेंडरचे निर्बंध.
• भरपाई देणारी नियंत्रणे (कंपेन्सेटिंग कंट्रोल्स): सेगमेंटेशन, परवानगी दिलेल्या सेवा आणि वैयक्तिकरित्या रद्द करण्यायोग्य पर्याय.
• पुनरावलोकन तारीख: अपवाद नूतनीकरण, बदल किंवा हटवण्याचा एक नियोजित निर्णय.
• बदली योजना (रिप्लेसमेंट प्लॅन): फर्मवेअर अपग्रेड, सपोर्टेड ऑनबोर्डिंग पद्धत किंवा हार्डवेअर रिप्लेसमेंट ज्यामुळे ते समाप्त होईल.

अनोळखी उपकरणांसाठी तात्पुरत्या क्वारंटाइन नेटवर्कचे कायमस्वरूपी घरामध्ये रूपांतर करणे टाळा. मालक किंवा बाहेर पडण्याची अट नसलेला अपवाद हे अनधिकृत ॲक्सेस पॉलिसी बनते. बचावयोग्य दृष्टिकोन म्हणजे कोणत्याही खर्चात प्रमाणपत्रे मिळवणे हा नाही; तर जाणीवपूर्वक मर्यादित पर्यायांसह मजबूत मॅनेज्ड-डिव्हाइस ऑथेंटिकेशन हा आहे.

रोल आउट करण्यापूर्वी तुमच्या प्रमाणपत्र योजनेची पुष्टी करा

एक यशस्वी प्रात्यक्षिक हे दाखवते की एक सुरळीत लॅपटॉप कनेक्ट होऊ शकतो. उपयुक्त पायलट हे दाखवतो की जेव्हा नोंदणी अपयशी ठरते, क्रेडेंशियलची मुदत संपते, डिव्हाइस काढून घेतले जाते आणि अवलंबित्व अनुपलब्ध होते तेव्हा काय होते. फक्त पहिल्या यशस्वी हँडशेकलाच नाही, तर ऑपरेटिंग मॉडेलला मंजुरी द्या.

प्रॉडक्शन ॲक्सेस बदलण्यापूर्वी पायलट साइट निवडा आणि स्कोपमधील डिव्हाइस क्लास ओळखा. ॲक्सेस पॉइंट क्षमता, सप्लिकंट वर्तन आणि फर्मवेअर आवृत्त्यांची इन्व्हेंटरी तयार करा. जिथे उच्च-ॲश्युरन्स प्रोफाइल आवश्यक असेल, तिथे प्रतिनिधी एंडपॉइंट्सविरुद्ध निवडलेले सर्टिफिकेट टेम्पलेट, सर्टिफिकेट-चेन चेक्स आणि विस्तारित की वापराची पडताळणी करा.

या आठवड्याचा सज्जता आढावा ठोस करा

गहाळ मालक आणि न तपासलेल्या गृहीतकांना उघड करण्यासाठी या चेकलिस्टचा वापर करा.

• डिव्हाइस सपोर्टची पुष्टी करा: इन-स्कोप असलेले प्रत्येक डिव्हाइस सुरक्षित प्रायव्हेट की स्टोअर करू शकते आणि वापरू शकते, केवळ प्रमाणपत्र इंपोर्ट करत नाही, याची पडताळणी करा.
• विश्वास आणि नूतनीकरणाची पुष्टी करा: CA साखळी, नोंदणी सेवा, नूतनीकरण निरीक्षण आणि रिकव्हरी मार्गासाठी मालक नियुक्त करा.
• अंमलबजावणीची चाचणी घ्या: स्वीकृती, नकार, रद्द करणे आणि सपोर्ट असलेले लाइव्ह-सेशन समाप्ती प्रदर्शित करा.
• अपवादांना अनुमती द्या: प्रत्येक अनसपोर्टेड वर्गाला एक मर्यादित पर्याय, जबाबदार मालक आणि पुनरावलोकन तारीख द्या.
• कार्य करण्यायोग्य अलर्ट सेट करा: आगामी मुदत संपण्याच्या आणि अपयशी नूतनीकरणाच्या घटना ज्याचे निराकरण करू शकतील अशा व्यक्तीकडे पाठवा.

पुनरावृत्ती करता येण्याजोगी RADIUS ऑथेंटिकेशन टेस्टिंग प्रक्रिया वापरा जेणेकरून अभियंत्यांना तुलनेयोग्य पुरावे गोळा करता येतील. क्लायंटची स्थिती, अपेक्षित निकाल, वास्तविक निकाल आणि संबंधित अयशस्वी कोड नोंदवा.

सहाय्यतेच्या आधारे पायलटची पारख करा

निश्चित केलेल्या रोलबॅक प्रक्रियेसह विद्यमान नेटवर्कच्या बाजूला प्रमाणपत्र मार्ग चालवा. यामध्ये रिमोट एनरोलमेंट, रीबिल्ट एंडपॉइंट, ऑफलाइन स्पेयर आणि तुमचा हेल्पडेस्क सपोर्ट करत असलेल्या ऑपरेटिंग सिस्टमचा समावेश करा. फक्त अलीकडेच प्रोव्हिजन केलेले लॅपटॉप निवडू नका.

ऑथेंटिकेशन लॉगसह हेल्पडेस्क तिकिटांचे पुनरावलोकन करा. सर्टिफिकेट अयशस्वी होणे हे वायरलेस कव्हरेज, ॲड्रेस वाटप आणि VLAN समस्यांपासून वेगळे करा, जेणेकरून टीम संबंधित नसलेली त्रुटी सोडवण्यासाठी PKI ची पुनर्रचना करणार नाही.

पायलट स्वीकृतीचा अर्थ असा असावा की व्यवस्थापित डिव्हाइसेस सामान्यतः वापरकर्त्याच्या हस्तक्षेपाशिवाय जोडली जातात, अपयशाची निश्चित कारणे असतात आणि प्रवेश मागे घेणे स्पष्टपणे दाखवता येते. निर्णयाचे स्पष्टीकरण देण्यासाठी पुरेसा ओळख संदर्भ ठेवून यशस्वी आणि नाकारलेल्या अशा दोन्ही प्रयत्नांचे पुरावे ठेवा.

पायलट सुरू होण्यापूर्वी त्याची पुनरावलोकन तारीख निश्चित करा. या आठवड्यात साइट, डिव्हाइस क्लास, मालक आणि स्वीकृती निकषांची पुष्टी करा, त्यानंतर टीमने त्रुटींचे निवारण केल्यानंतर आणि रिकव्हरी सिद्ध केल्यानंतरच विस्तार करा. ज्याचे आत्मविश्वासाने निवारण कोणीही करू शकत नाही अशा व्यापक डिप्लॉयमेंटपेक्षा विश्वासार्ह नूतनीकरण आणि रिव्होकेशनसह लहान रोलआउट हा एक चांगला पाया आहे.

---

Purple ॲक्सेस आपल्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्सवर गेस्ट आणि प्रति-डिव्हाइस ॲक्सेससोबतच, MDM-वितरित EAP-TLS द्वारे प्रमाणपत्र-आधारित कर्मचाऱ्यांना WiFi प्रदान करते. एका साइटवर पायलटची योजना आखण्यासाठी, प्रमाणपत्र आणि अपवाद पाथ्सची पडताळणी करण्यासाठी आणि रोलआउट वाढवण्यापूर्वी सपोर्ट तिकिटे आणि ऑडिट पुराव्यांवर परिणामांचे मूल्यमापन करण्यासाठी Purple Access ला भेट द्या.