RADIUS प्रमाणीकरणाची टप्प्याटप्प्याने चाचणी कशी करावी

तुम्ही लॅपटॉप, ॲक्सेस पॉइंट आणि "आधीपासूनच ठीक असाव्या लागणाऱ्या" RADIUS सर्व्हरसह एका साइटवर आहात. कोणीतरी त्याला पिंग केले आहे. UDP 1812 सुरू आहे. डॅशबोर्ड प्रोबदेखील हिरवा दाखवत आहे. यांपैकी काहीही तुम्हाला हे सांगत नाही की कर्मचाऱ्यांचे डिव्हाइस कर्मचाऱ्यांच्या VLAN वर पोहोचते की नाही, किंवा रिव्होक केलेल्या सर्टिफिकेटला अजूनही सेशन मिळते की नाही.

RADIUS ऑथेंटिकेशनची चाचणी कशी करावी ही पुराव्यांची एक साखळी आहे, एक लॉगिन नाही. प्रत्येक Access-Accept कडे एक गृहितक (hypothesis) म्हणून पाहा. तुम्हाला अजूनही पद्धत, ॲट्रिब्युट्स, सोर्स ॲड्रेस आणि सर्व्हर, डिरेक्टरी किंवा सर्टिफिकेट चुकीचे असताना नेटवर्क काय करते हे तपासावे लागेल.

एका नियंत्रित विनंतीपासून सुरुवात करा. नंतर फॉल्स पास लपायला जागा उरणार नाही अशा प्रकारे केसेसचा विस्तार करा.

अनुक्रमणिका

• radtest च्या साहाय्याने तुमची पहिली चाचणी पाठवा
  • इतर काहीही बदलण्यापूर्वी बेसलाइन रन करा
• Access-Accept मुळे नेटवर्क ॲक्सेस सिद्ध का होत नाही
  • चार स्तर, चार वेगवेगळे प्रश्न
  • एका अतिरिक्त डिव्हाइसवर EAP-TLS सिद्ध करा
• प्रत्येक RADIUS डिप्लॉयमेंटसाठी आवश्यक चाचणी केसेस
  • किमान मानल्या जाणाऱ्या नऊ ओळी
• radclient च्या साहाय्याने लोड आणि लॅटन्सी मोजा
  • टनेलला अकाउंट स्टोअरपासून वेगळे करा
• अपयश पथ (Failure paths), फेलओव्हर आणि सुरक्षा तपासण्या
  • तपासण्या ज्या फेलओव्हरसारख्याच रनचा भाग असतात
  • प्रादेशिक फेलओव्हरने काय जतन केले पाहिजे
• प्रत्येक चाचणी निकालाची पुष्टी करण्यासाठी लॉग वाचा
  • तीन पॅटर्न ज्यांचा अर्थ नोट्स चुकीच्या आहेत असा होतो
• RADIUS रोलआउटसाठी कधी तयार आहे ते ठरवा

radtest सह तुमची पहिली चाचणी पाठवा

तुम्ही पुढील पाच मिनिटांत रन करू शकता असा कमांड म्हणजे radtest testing password 127.0.0.1 0 testing123. FreeRADIUS radtest मॅन्युअल त्यास पाच इनपुटसह नियंत्रित Access-Request म्हणून परिभाषित करते: यूजरनेम, पासवर्ड, सर्व्हर ॲड्रेस, NAS-Port आणि शेअर्ड सिक्रेट. PAP डीफॉल्ट आहे. हेच युटिलिटी CHAP, MS-CHAP किंवा EAP-MD5 देखील पाठवू शकते.

तुम्ही इतर काहीही बदलण्यापूर्वी बेसलाइन रन करा

1. चाचणी खाते परिभाषित करा. सर्व्हर जिथे शोधू शकेल तिथे एक ज्ञात वापरकर्तानाव आणि पासवर्ड ठेवा. तुम्हाला असे क्रेडेन्शियल हवे आहे जे तुम्ही डायरेक्टरीमध्ये न शोधता टाइप करू शकता.
2. क्लायंट सूचीबद्ध करा. तुम्ही ज्यावरून पाठवता तो होस्ट किंवा NAS clients.conf मध्ये तुम्ही टाइप करणार असलेल्या सिक्रेटसह असणे आवश्यक आहे. अज्ञात स्त्रोत हा खराब पासवर्डपेक्षा वेगळा अपयश आहे.
3. सर्व्हर डिबग मोडमध्ये सुरू करा. प्रत्येक पॅकेट आणि नाकारण्याचे कारण टर्मिनलवर प्रिंट केले पाहिजे. मूक अपयश रन वाया घालवते.
4. पाच इनपुट पाठवा. वापरकर्तानाव, पासवर्ड, सर्व्हर, NAS-Port, सिक्रेट. या पहिल्या पुराव्यासाठी 0 चा NAS-Port पुरेसा आहे.
5. कोड वाचा, नंतर कारण वाचा. Access-Accept म्हणजे सर्व्हरने त्या क्रेडेन्शियलना मंजुरी दिली. Access-Reject म्हणजे त्याने ते नाकारले. डिबग आउटपुट चुकीचे शेअर केलेले सिक्रेट, अज्ञात क्लायंट, अवैध क्रेडेन्शियल्स आणि पॉलिसी अपयश वेगळे करते.
6. NAS वरून पुनरावृत्ती करा. केवळ लोकलहोस्टवरूनच नाही तर ॲक्सेस पॉइंट किंवा स्विच पत्त्यावरून तीच विनंती स्त्रोत करा. क्लायंटना सामान्यतः स्त्रोत पत्ता आणि शेअर केलेल्या सिक्रेटद्वारे एकत्र अधिकृत केले जाते.

रीचेबिलिटी हा अंतिम निकाल नाही. पॅकेट पोहोचले पाहिजे आणि ऑथोरायझेशनचा निर्णय तुम्ही अपेक्षा केल्याप्रमाणेच असला पाहिजे. स्वीकार केल्यावर (accept), परत आलेल्या ॲट्रिब्युट्सची तपासणी करा जसे की VLAN, सर्व्हिस प्रकार, किंवा फ्रेम केलेले ॲड्रेस. चुकीच्या VLAN चा उल्लेख करणारी स्वीकृती ही, कोड स्वच्छ दिसत असला तरीही, यशस्वी चाचणी नाही.

त्या मूलभूत स्वीकारानंतर, तीच मॅन्युअल अशा आठ पद्धतींची यादी देते ज्या उदाहरणातील अकाउंटसाठी कार्य करू शकतात: PAP, CHAP, MS-CHAPv1, MS-CHAPv2, PEAP, EAP-TTLS, EAP-GTC, आणि EAP-MD5. आज आठही पद्धतींचा पाठपुरावा करू नका.

व्यवहार्य नियम: खऱ्या NAS पत्त्यावरून एक Access-Accept आणि चुकीच्या पासवर्डवरून एक Access-Reject सेव्ह करा. त्या दोन नोंदी ही बेसलाइन आहेत ज्यावर पुढील प्रत्येक केसचे मूल्यमापन केले जाते.

Access-Accept नेटवर्क अॅक्सेस सिद्ध का करत नाही

हिरव्या रंगाची इन्फ्रास्ट्रक्चर चाचणी ही एक चुकीची यशस्वी चाचणी (false pass) आहे ज्यावर मी सही करणार नाही. ती अनेकदा फक्त हेच दर्शवते की काही विनंतीला काही उत्तर मिळाले आहे.

Meraki RADIUS ट्रबलशूटिंग गाईडमध्ये असे म्हटले आहे की त्याची डॅशबोर्ड चाचणी PEAP विथ MS-CHAPv2 वापरते. ती चाचणी EAP-TLS साठी अयशस्वी होते किंवा कोणताही अर्थपूर्ण व्हॅलिडेशन देत नाही, कारण ॲक्सेस पॉइंटकडे कोणतेही क्लायंट सर्टिफिकेट नसते. सर्टिफिकेट वायरलेसची चाचणी योग्य सर्टिफिकेट आणि ट्रस्ट साखळी धारण करणाऱ्या वास्तविक सप्लिकंटसह केली पाहिजे.

चार स्तर, चार वेगवेगळे प्रश्न

ट्रांसपोर्ट विचारते की कशाने उत्तर दिले आहे की नाही. टाइमआउट म्हणजे नकार नाही.

ऑथेंटिकेशन विचारते की त्या ओळखीसाठी पासवर्ड किंवा प्रमाणपत्र वैध होते का.

ऑथरायझेशन विचारते की उत्तरामध्ये तुम्हाला पाठवायचा असलेला VLAN, रोल किंवा ACL समाविष्ट होता का.

रीचेबिलिटी हे विचारते की एंडपॉइंटला अपेक्षित पत्ता, DNS पॉलिसी आणि त्या सेगमेंटला अनुमती असणाऱ्या संसाधनांचा अ‍ॅक्सेस मिळाला की नाही.

एका लेयरवरील यश हे इतर तीन लेयरबद्दल काहीही सांगत नाही. FreeRADIUS EAP वर्तुणुकीसोबत वाचलेले तेच Meraki मार्गदर्शन, यशस्वी EAP-TLS चाचणीचे वर्णन मल्टी-पॅकेट Access-Request आणि Access-Challenge एक्सचेंज, आणि त्यानंतर रिअल क्लायंट नेटवर्क ॲक्सेस असे करते. एकच कनेक्टिव्हिटी प्रोब ही ती चाचणी नाही.

सप्लिकंट ज्या सर्व्हर नावावर विश्वास ठेवतो ते सर्व्हर नाव, CA चेन, प्रमाणपत्राची मुदत समाप्ती आणि डिव्हाइस घड्याळ तपासा. घड्याळातील फरकामुळे चांगले प्रमाणपत्र अयशस्वी होते. समजा, कर्मचाऱ्यांचा लॅपटॉप ऑथेंटिकेट होतो आणि नंतर स्टाफ सेगमेंटऐवजी डीफॉल्ट VLAN वर राहतो. एक्सेप्ट (Accept) हे खरे होते. नेटवर्कचे प्लेसमेंट चुकीचे होते. ही अशी चूक आहे जी बहुतांश चेकलिस्ट कधीही नोंदवत नाहीत.

पासवर्ड वापरकर्ते, EAP-TLS डिव्हाइसेस, xPSK ओळख आणि डिरेक्टरी-चलित पॉलिसीसाठी स्वतंत्र ओळी ठेवा. PAP स्वीकार प्रमाणपत्र जॉइनच्या ऐवजी असू नये.

एका अतिरिक्त डिव्हाइसवर EAP-TLSProve सह चाचणी करा

1. सर्व्हर ज्या CA वर विश्वास ठेवतो त्याच CA कडून टेस्ट क्लायंट प्रमाणपत्र जारी करा.
2. स्पेयर लॅपटॉप किंवा फोनवर प्रमाणपत्र आणि CA साखळी (chain) इंस्टॉल करा.
3. सप्लिकंट तुम्ही कॉन्फिगर केलेल्या सर्व्हर नावाचे प्रमाणीकरण करत असल्याची पुष्टी करा.
4. कनेक्ट करा आणि चॅलेंज एक्सचेंज कॅप्चर करा, वन-पॅकेट प्रोब नाही.
5. सेशन वास्तविक नेटवर्क ॲक्सेससह अपेक्षित VLAN वर समाप्त होत असल्याची पुष्टी करा.

त्या एक्सचेंजचे संक्षिप्त स्वरूप पाहिल्याने तुमचा स्वतःचा ट्रेस नॉइझी असताना कॅप्चर ओळखणे सोपे होते.

प्रत्येक RADIUS डिप्लॉयमेंटला आवश्यक असणाऱ्या टेस्ट केसेस

वैध क्रिडेंशियल असणारा वापरकर्ता चुकीच्या नेटवर्कवर गेला तरीही सिस्टम Access-Accept जनरेट करू शकते. प्रत्येक लेयर स्वतंत्रपणे तपासा: रिक्वेस्ट हँडलिंग, ऑथेंटिकेशन, ऑथोरायझेशन ॲट्रिब्युट्स आणि एंडपॉइंटचा प्रत्यक्ष ॲक्सेस. FreeRADIUS परफॉर्मन्स टेस्टिंग गाईडमध्ये लोड तसेच अचूकता समाविष्ट आहे. यामध्ये नकारात्मक प्रकरणे देखील समाविष्ट करा: अवैध क्रिडेंशियलमुळे Access-Reject परतावा मिळाला पाहिजे, तर चुकीच्या स्वरूपातील रिक्वेस्ट, न ओळखलेले NAS आणि चुकीचे शेअर्ड सिक्रेट यांमुळे यशस्वी लॉगिन होऊ नये.

radtest वर्कफ्लो बराच काळ स्थापित आहे आणि तरीही तेच पाच इनपुट वापरतो. टनेल केलेल्या पद्धतींसाठी, UDP पोर्ट 18120 वर इनर ऑथेंटिकेशन सर्व्हरची स्वतंत्रपणे चाचणी करा. जेव्हा PEAP ही आऊटर पद्धत असते तेव्हा MS-CHAP इनर चाचणी वापरा. हे त्रुटी आऊटर EAP एक्सचेंजमध्ये, प्रमाणपत्र किंवा TLS सेटअपमध्ये, की इनर क्रेडेंशियल चेकमध्ये आहे हे वेगळे करण्यात मदत करते.

Access-Accept ही पडताळणी करण्याची एक हायपोथेसिस आहे, योग्य नेटवर्क ॲक्सेसचा पुरावा नाही. FreeRADIUS अंमलबजावणी मार्गदर्शिका वर्णन करते की NAS कसे असमर्थित VLAN ॲट्रिब्यूट टाकून देऊ शकते किंवा गहाळ असलेल्या ॲट्रिब्यूटला डीफॉल्ट VLAN वर मॅप करू शकते. परत आलेले ॲट्रिब्युट्स तपासा, नंतर एंडपॉइंटचा पत्ता, VLAN, ACL, DNS पॉलिसी आणि पोहोचण्यायोग्यता पडताळा. EAP-MD5 वायरलेसला आवश्यक असलेली की मटेरियल प्रदान करत नाही, त्यामुळे EAP-MD5 स्वीकृती हा वायरलेस सज्जतेचा पुरावा नाही. ते फक्त मर्यादित वायर चाचणीसाठी वापरा.

ऑथोरायझेशन चाचण्या चालवण्यापूर्वी इच्छित सेगमेंट निश्चित करा; WiFi अ‍ॅक्सेस कंट्रोल ती पॉलिसी कशी तयार करायची हे स्पष्ट करते.

किमान मानल्या जाणाऱ्या नऊ ओळी

चाचणी प्रकरण	ते कसे चालवायचे	अपेक्षित निकाल
बेसलाइन स्वीकारणे	NAS IP वरून वैध चाचणी खात्यासह radtest चालवा	अपेक्षित VLAN गुणधर्मासह Access-Accept; एंडपॉइंट त्या VLAN वर असल्याचे निश्चित करा
चुकीचा पासवर्ड	चुकीच्या पासवर्डसह radtest चालवा	नोंदवलेल्या कारणासह Access-Reject
चुकीचे शेअर केलेले सिक्रेट	जुळत नसलेल्या सिक्रेटसह कॉन्फिगर केलेल्या क्लायंटवरून पाठवा	Access-Accept नाही; डिबग आउटपुटमध्ये सिक्रेट त्रुटी दृश्यमान आहे
अज्ञात् NAS	क्लायंट म्हणून परिभाषित नसलेल्या IP पत्त्यावरून पाठवा	सोडून दिले (dropped) किंवा नाकारले (rejected) आणि नोंदवले गेले
वैध EAP-TLS डिव्हाइस	वैध प्रमाणपत्र आणि विश्वासू साखळीसह रिअल सप्लिकंट कनेक्ट करा	Access-Accept आणि त्याच्या ग्रुपसाठी योग्य VLAN; डिव्हाइसवरून नेटवर्क ॲक्सेसची पुष्टी करा
कालबाह्य किंवा रद्द केलेले प्रमाणपत्र	कालबाह्य किंवा रद्द केलेल्या प्रमाणपत्रासह डिव्हाइस कनेक्ट करा	Access-Reject, डीफॉल्ट नेटवर्कवर फॉलबॅक न होता
डायरेक्टरी ग्रुप बदल	चाचणी वापरकर्त्याला दुसऱ्या ग्रुपमध्ये हलवा, नंतर पुन्हा प्रामाणिक करा	नवीन ग्रुपशी जुळण्यासाठी VLAN किंवा भूमिका बदलते, किंवा ॲक्सेस नाकारला जातो
प्राथमिक सर्व्हर उपलब्ध नाही	प्राथमिक सर्व्हरसाठी UDP 1812 ब्लॉक करा किंवा ते थांबवा	समान पॉलिसी लागू करून, टाइमआउटमध्ये दुय्यम सर्व्हरवर फेलओव्हर करा
अकाउंटिंग सुरू आणि बंद करणे	सेशन सुरू करा, नंतर ते समाप्त करा	स्टार्ट आणि स्टॉप रेकॉर्ड सेशनशी जुळतात

प्रत्येक रांगेसाठी, विनंती आगमन, प्रतिसाद कोड, राउंड-ट्रिप लेटन्सी, निवडलेली पॉलिसी, परत केलेले अ‍ॅट्रिब्युट्स आणि अकाउंटिंगचा प्रारंभ आणि समाप्ती यांची नोंद करा. अधूनमधून होणारे UDP चे नुकसान पकडण्यासाठी प्रत्येक चाचणीची पुनरावृत्ती करा. एकाच त्रुटीमुक्त रनमध्ये चुकीचा VLAN किंवा असंगत पॉलिसी निर्णय निसटू शकतो.

क्लायंटला चुकीच्या नेटवर्कवर टाकणारी स्वीकृती ही एक अयशस्वी चाचणी आहे.

radclient सह लोड आणि लॅटन्सी मोजा

एक शांत स्वीकृती रांगेतील रांगेची (queueing) स्थिती लपवते. व्हॉल्यूम टेस्टिंगसाठी बॅचसाठी तयार केलेल्या साधनाची गरज असते, आणखी एका सिंगल लॉगिनची नाही.

1. रँडम केलेल्या युझरनेम आणि पासवर्डची ऑथेंटिकेशन फाईल तयार करा. वैध आणि अवैध नोंदी एकत्र मिसळा जेणेकरून नकार (rejects) मोजले जातील, गोंधळ म्हणून सोडले जाणार नाहीत.
2. फाईल पाठवा आणि बॅचची वेळ नोंदवा Unix time कमांडसह तर radclient सर्व्हर चालवते.
3. कच्ची संख्या नोंदवा. एकूण विनंत्या, स्वीकृती, नकार, टाइमआउट्स, त्रुटी प्रतिसाद आणि गेलेला वेळ.
4. दरांची गणना करा. स्वीकृती दर फाईलच्या वैध भागाशी जुळला पाहिजे. नकार दर अवैध भागाशी जुळला पाहिजे. तसेच सरासरी आणि पर्सेंटाईल लेटन्सी घ्या.
5. व्यस्त वेळेत (busy hour) पुनरावृत्ती करा. सकाळचे चेक-इन किंवा शाळेची सुरुवात अशा वेळेची रांग दाखवेल जी दुपारच्या जेवणाच्या लॅब रनमध्ये कधीही दिसणार नाही.

मेट्रिक	याची गणना कशी करावी	लक्ष्य
एकूण विनंत्या	ऑथेंटिकेशन फाईलमधून पाठवलेल्या ओळींची संख्या	फाईलच्या लांबीइतकी असते
स्वीकृती दर (Acceptance rate)	एकूण विनंत्यांनी भागलेले स्वीकार (Accepts)	फाईलच्या वैध भागाशी जुळते
नकार दर (Reject rate)	एकूण विनंत्यांनी भागलेले नकार (Rejects)	फाईलच्या अवैध भागाशी जुळते
टाइमआउट्स आणि त्रुटी	रन मधील कोणतेही उत्तर न मिळालेल्या आणि त्रुटी प्रतिसादांची संख्या	क्लिन पाथवर शून्य
सरासरी लेटन्सी	सर्व विनंत्यांमधील सरासरी प्रतिसाद वेळ	पिक आवर्स दरम्यान तुमच्या लेटन्सी लक्ष्याच्या आत
गेलेला वेळ (Elapsed time)	संपूर्ण बॅचसाठी Unix वेळ आउटपुट	पुनरावृत्ती रनमध्ये स्थिर

टनेलला अकाउंट स्टोअरपासून वेगळे करा

स्वीकृती दर (acceptance rate) वैध शेअरपेक्षा कमी असल्यास, कोणता अर्धा भाग अयशस्वी झाला हे जाणून घेईपर्यंत "लोड" ला दोष देऊ नका. PEAP साठी, इनर सर्व्हरविरुद्ध MS-CHAP विनंतीसह इनर पद्धतीची स्वतःहून चाचणी करा. तुटलेल्या आऊटर जॉईनसह इनर एक्सेप्ट असणे हे प्रमाणपत्रे किंवा TLS सेटिंग्जकडे निर्देश करते. इनर चेकवर खंडित होणारा आऊटर हँडशेक हा अकाउंट स्टोअर, पासवर्ड हॅश किंवा पॉलिसीला अपेक्षित असलेल्या ग्रुपकडे निर्देश करतो.

या वेळा फंक्शनल निकालांप्रमाणेच लॉगमध्ये ठेवा. नंतरच्या फर्मवेअर किंवा डिरेक्टरी बदलाची तुलना "ते धीमे वाटत होते" या भावनेशी न करता त्या बेसलाइनशी केली पाहिजे.

टाइमआउट्स फक्त पीक आवर्समध्ये वाढल्यास, साइट्स जोडण्यापूर्वी क्षमता किंवा पाथ दुरुस्त करा. जो सर्व्हर अचूक पण मंद आहे, तो आधी प्रयत्न सोडणाऱ्या क्लायंट्ससाठी तरी अयशस्वीच ठरेल.

अपयशाचे मार्ग (Failure Paths), फेलओव्हर आणि सुरक्षा तपासण्या

एक कार्यरत एक्सचेंज तरीही असुरक्षित असू शकते. UDP 1812 ला उत्तर मिळाले आहे का केवळ एवढीच विचारणा करणारे ट्रबलशूटिंग खूप लवकर थांबते.

ज्युनियरचे २०२५ चे सुरक्षा बुलेटिन RFC 2865 रिस्पॉन्स ऑथेंटिकेटरमधील Blast-RADIUS एक्सपोजरचे वर्णन करते. ट्रॅफिकमध्ये सुधारणा करू शकणारा लोकल अटॅकर MD5 चोजन-प्रीफिक्स कोलिजनद्वारे संभाव्यतः एका वैध प्रतिसादाचे दुसऱ्या प्रतिसादात रूपांतर करू शकतो. "ऑथेंटिकेशन यशस्वी झाले" हा डिप्लॉयमेंट सुरक्षित असल्याचा पुरावा नाही.

तपासण्या ज्या फेलओव्हरप्रमाणेच एकाच रनमध्ये असाव्यात

प्लॅटफॉर्म जेथे अनुमती देतो त्या पाथचे संरक्षण करा. ऑन-पाथ फेरफार ब्लॉक केला आहे आणि ज्या पॅकेट्सना आवश्यकता आहे त्यांच्यावर Message-Authenticator व्हॅलिडेशन सक्तीचे केले आहे याची पुष्टी करा.

कमकुवत पद्धती बंद करा. जुने EAP प्रकार डिसेबल केले पाहिजेत, "केवळ गरज पडल्यास" म्हणून सोडले जाऊ नयेत. जर तुम्ही अद्याप सर्टिफिकेट आणि पासवर्ड आऊटर पद्धतींमध्ये निवड करत असाल, तर दोन्ही सक्षम ठेवण्यापूर्वी EAP-TLS vs PEAP मध्ये त्यांची तुलना करा.

मुद्दाम सर्व्हर अयशस्वी करा. खालील प्रत्येक सीनॅरिओने इच्छित फेल-क्लोज्ड किंवा नियंत्रित फॉलबॅक, तसेच एक लॉग लाइन, एक अलर्ट आणि युझरचा असा अनुभव दाखवला पाहिजे जो तुम्ही साइट मॅनेजरला स्पष्ट करू शकता.

अपयश दृश्य (Failure scenario)	ते कसे ट्रिगर करावे	उत्तीर्ण अट (Pass condition)
टाइमआउट	सर्व्हरवर UDP 1812 ब्लॉक करा	फेअल क्लोज्ड किंवा नियंत्रित फॉलबॅक, लॉग केलेले आणि अलर्ट दिलेले
Access-Reject	चुकीचा पासवर्ड वापरा	कोणत्याही फॉलबॅक नेटवर्कशिवाय ॲक्सेस नाकारला
कालबाह्य झालेले प्रमाणपत्र (Expired certificate)	कालबाह्य झालेले प्रमाणपत्र असलेले डिव्हाइस	डिफॉल्ट VLAN शिवाय Access-Reject
रद्द केलेले प्रमाणपत्र (Revoked certificate)	रद्द केलेले प्रमाणपत्र असलेले डिव्हाइस	डिफॉल्ट VLAN शिवाय Access-Reject
अज्ञात NAS स्त्रोत IP	अपरिभाषित पत्त्यावरून पाठवा	ड्रॉप किंवा अस्वीकृत आणि लॉग केलेले
चुकीचे सामायिक सीक्रेट (Shared secret)	क्लायंटवर न जुळणारे सीक्रेट	Access-Accept नाही आणि डीबग आउटपुटमध्ये सीक्रेट एरर
अगम्य डिरेक्टरी (Unreachable directory)	डिरेक्टरी कनेक्टिव्हिटी थांबवा	पॉलिसीनुसार नाकारलेला किंवा नियंत्रित फॉलबॅक
विलंबित ऑथोरायझेशन प्रतिसाद	ऑथोरायझेशन उत्तरामध्ये विलंब जोडा	ओपन ॲक्सेसशिवाय टाइमआउट हँडल केले गेले

प्रादेशिक फेलओव्हरने काय जतन केले पाहिजे

दुसऱ्या सर्व्हरने उत्तर देणे म्हणजे पॉलिसीची सुसंगतता नाही. जेव्हा तुम्ही प्राथमिक सर्व्हर थांबवता, तेव्हा बॅकअपमधील VLAN, बँडविड्थ मर्यादा, रिव्होकेशन स्थिती आणि ऑडिट ॲट्रिब्युट्सची तुलना प्राथमिक सर्व्हरशी करा. जॉइन जलद झाले असले, तरीही गेस्ट युझर फेलओव्हर होऊन स्टाफ सेगमेंटमध्ये जाणे ही चाचणी अयशस्वी ठरल्याचे लक्षण आहे.

ओपन अ‍ॅक्सेसवर फॉलबॅक होणारा कोणताही सीनॅरिओ अयशस्वी म्हणून चिन्हांकित करा, मग युझर ऑनलाइन असो किंवा नसो. प्रत्येक निकाल फंक्शनल बेसलाइनसारख्याच चाचणी लॉगमध्ये लिहा जेणेकरून नंतरचा फेलओव्हर बदल स्पष्ट दिसेल.

प्रत्येक चाचणी निकालाची पुष्टी करण्यासाठी लॉग वाचा

प्रत्येक चाचणीने एक असा ट्रेस सोडला पाहिजे जो तुम्ही चाचणी ID किंवा एका प्रसिद्ध अकाउंटशी जुळवू शकता. एका व्यस्त इस्टेटवर, इतरांचे निकाल स्क्रोल न करता तुमचा रन शोधण्याचा तोच एक मार्ग आहे.

प्रत्येक ऑथेंटिकेशनसाठी, ही फील्ड्स एका रेषेत आणा:

• ओळख आणि डिव्हाइस: कोण किंवा काय जोडले गेले आहे, फक्त तुमचेच असण्याची तुम्ही आशा करतो ते MAC नाही.
• पद्धत: EAP-TLS, PEAP, किंवा वैयक्तिक PSK. तुम्ही तैनात न केलेली पद्धत हे एक निष्कर्ष (finding) आहे.
• स्थान: ॲक्सेस पॉइंट, SSID, आणि साइट.
• निर्णय: VLAN आणि परत आलेली भूमिका, किंवा नकार देण्याचे कारण.
• वेळ: तुम्ही चाचणी केलेल्या विंडोमध्ये बसणारा टाइमस्टॅम्प.

आमचे ऑथेंटिकेशन लॉग त्याच मॅचसाठी तयार केले आहे. एका इस्टेट-व्यापी क्वेरीद्वारे प्रत्येक स्वीकृती (accept) आणि अस्वीकृती (reject) यासह ओळख, डिव्हाइस, एनरोलमेंट स्थिती, पद्धत, ॲक्सेस पॉइंट, SSID, साइट, VLAN, भूमिका, कारण आणि टाइमस्टॅम्प दिसतात. जेव्हा एखाद्या साइटवर अनेक ॲक्सेस पॉइंट्स असतात आणि समान त्रुटी सर्वत्र आहे की फक्त एका कंट्रोलरवर आहे हे पाहायचे असते, तेव्हा याचा वापर करा.

तीन पॅटर्न ज्यांचा अर्थ नोट्स चुकीच्या आहेत असा होतो

कारण चाचणीशी जुळत नाही. तुम्ही चुकीचा पासवर्ड पाठवला आणि लॉग सांगतो की अनपेक्षित क्लायंट. तुम्ही चुकीच्या गोष्टीची चाचणी घेतली, किंवा दोन चुका एकत्र आल्या.

स्वीकृती (accept) डीफॉल्ट VLAN चे नाव सांगते. क्रेडेन्शियल्स कार्य करत होते. प्लेसमेंट कार्य करत नव्हते. केस बंद करू नका.

अकाउंटिंग सुरू झाले आणि कधीही थांबले नाही. सेशन रेकॉर्ड अपूर्ण आहे, त्यामुळे क्लायंटने तुम्हाला वाटणाऱ्या वेळी नेटवर्क सोडले हे तुम्ही सिद्ध करू शकत नाही. तुम्ही चालवलेल्या सेशनशी स्टार्ट आणि स्टॉपची तुलना करा, शेजारच्या वापरकर्त्याच्या सेशनशी नाही.

चाचणी कालावधीत रिजेक्टच्या वाढीसाठी अलर्ट सेट करा जेणेकरून चुकीचे शेअर केलेले सिक्रेट "युझर्सनी चुकीचे टाइप केले" असे वाटू नये. चाचणीच्या नोंदींसोबत लॉगचा भाग ठेवून घ्या. काही आठवड्यांनंतर जेव्हा कोणी विचारेल की तुम्ही काय सिद्ध केले, तेव्हा तो भाग ऑडिटचा पुरावा असेल.

RADIUS रोलआउटसाठी कधी तयार आहे ते ठरवा

जेव्हा पुरावे पाच अटी पूर्ण करतील तेव्हाच लाइव्ह करा. एक आत्मविश्वासू अभियंता त्यापैकी एक नाही.

1. तुम्ही उपयोजित केलेल्या प्रत्येक NAS प्रकारावर प्रत्येक मॅट्रिक्स रो पास होतो, ज्यामध्ये तुम्ही ठेवू इच्छित असलेला प्रत्येक SSID किंवा ॲक्सेस पॉलिसी समाविष्ट आहे.
2. फेलओव्हर प्राथमिक प्रमाणेच समान VLAN, पॉलिसी आणि रेव्होकेशन वर्तन ठेवतो. वेगवेगळ्या भूमिकेने उत्तर देणारा दुसरा सर्व्हर हा टप्पा पूर्ण करण्यात अपयशी ठरतो.
3. कोणतीही अपयशी परिस्थिती उघडी राहत नाही. चुकीचा पासवर्ड, बंद असलेली डिरेक्टरी, कालबाह्य झालेले प्रमाणपत्र आणि विलंबित उत्तरामुळे वापरकर्ता अनियंत्रित नेटवर्कवर जाता कामा नये.
4. पिक आवर्स दरम्यान लोड तुमच्या लेटन्सी लक्ष्याच्या आत राहतो, आणि स्वीकृती दर चाचणी फाईलच्या वैध भागाशी जुळतो.
5. तुम्ही पास म्हणून दावा केलेल्या प्रत्येक रनसाठी लॉग्स अपेक्षित कारण आणि VLAN दाखवतात.

केवळ लॅबमध्येच नव्हे, तर प्रत्यक्ष साइटवर VLAN या पाच गोष्टी सत्य ठरत नाहीत तोपर्यंत विस्तृत रोलआउट थांबवून ठेवा.

आम्ही तुम्हाला हे आधी एका साइटवर सिद्ध करू देतो. नवीन ओपन, सुरक्षित आणि xPSK नेटवर्क त्या साइटवर आधीपासून सुरू असलेल्या ॲक्सेस पॉइंट्सवर, ती आज वापरत असलेल्या नेटवर्कच्या बाजूला ठेवा आणि इतर कोणत्याही साइटवर बदल करण्यापूर्वी तिकिटे व ऑडिटच्या पुराव्यांवरून निकालाचा न्याय करा. त्या पायलट दरम्यान, लॉगने मीटिंगशिवाय दोन प्रश्नांची उत्तरे दिली पाहिजेत. कोणती डिव्हाइसेस कोणत्या VLAN वर जोडली गेली आणि कोणते स्वीकृती किंवा नकाराचे कारण सर्वात जास्त वेळा दिसले.

जेव्हा तिकिटे आणि ऑडिट एक्सट्रॅक्ट कोणतेही अनपेक्षित रिजेक्ट्स आणि चुकीच्या सेगमेंटवर कोणतेही डिव्हाइस दाखवत नाहीत, केवळ तेव्हाच वाढवा. मॅट्रिक्सला स्टँडिंग रिग्रेशन सूट म्हणून ठेवा. वापरकर्त्यांना बदल दिसण्यापूर्वी, प्रत्येक सर्टिफिकेट नूतनीकरण, फर्मवेअर अपडेट किंवा निर्देशिका बदलानंतर, त्याच बेसलाइनवर ते पुन्हा चालवा. ती पायलट साइट कशी तयार केली जावी यासाठी, WiFi नेटवर्क डिझाइनपासून सुरुवात करा आणि तुम्ही जे डिझाइन कायम ठेवू इच्छिता त्याची चाचणी घ्या, पुढील आठवड्यात तुम्ही हटवणार असलेल्या तात्पुरत्या SSID ची नाही.

---

Purple Access तुम्हाला क्लाउड RADIUS देते जे ऑथेंटिकेशन लॉगमध्ये दिसणाऱ्या VLAN आणि नकाराच्या कारणासह, प्रत्येक डिव्हाइसला ओळखीनुसार ओपन, सुरक्षित किंवा xPSK नेटवर्कवर ठेवते. तुमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्सवर तुम्हाला ती चाचणी योजना राबवायची असल्यास, एका साइटपासून सुरुवात करा आणि पुढे जाण्यापूर्वी निकाल वाचा. Purple Access ला भेट द्या आणि पहिली साइट अशा बेसलाइनवर ठेवा जिचा तुम्ही बचाव करू शकता.