Cisco ISE कडून क्लाउड RADIUS वर मायग्रेट करणे: टप्प्याटप्प्याने कटओव्हर करण्याची योजना

ज्यावेळी प्रत्येक डिव्हाइस नवीन सर्व्हर प्रमाणपत्रावर विश्वास ठेवते, तेव्हा तुम्ही एकाच दिवशी संपूर्ण बदल (फ्लॅग डे) न करता, पाच टप्प्यांत Cisco ISE कडून क्लाउड RADIUS वर स्थलांतरित होऊ शकता. एका पाठोपाठ एक साइटनुसार, ISE सोबत Purple चालवा. क्लायंटवरील IEEE 802.1X आणि EAP-TLS बदलू नका. टप्प्याटप्प्याने बदल करा, जिथे शेवटची साइट स्थलांतरित होईपर्यंत ISE कडे रोलबॅक पर्याय म्हणून पाहिले जाईल.

तुम्ही Cisco ISE वरून स्थलांतर करता तेव्हा काय बदलते आणि काय तसेच राहते?

अंतिम स्थितीचे वर्णन सोपे आहे. तुमचे ॲक्सेस पॉइंट्स तुमच्या डेटा सेंटरमधील ISE नोड्सऐवजी Purple च्या क्लाउड RADIUS ला ऑथेंटिकेशन विनंत्या पाठवतात. Purple हे Microsoft Entra ID, Okta किंवा Google Workspace सोबत ओळख पडताळून पाहते. त्यानंतर ती ओळख ज्या VLAN वर असावी, ते परत पाठवते. ISE बंद केले जाते, त्याचे लायसन्स संपतात आणि कोणीही ते पुन्हा पॅच करत नाही.

प्रथम काही संज्ञा समजून घेऊया. RADIUS (RFC 2865) हा ऑथेंटिकेशन प्रोटोकॉल आहे जो तुमचे कंट्रोलर्स आधीपासूनच वापरतात. IEEE 802.1X हे पोर्ट-आधारित ॲक्सेस कंट्रोल मानक आहे जे WiFi वर लॉगिन प्रक्रिया पूर्ण करते. EAP-TLS (RFC 5216) प्रत्येक डिव्हाइसची प्रमाणपत्राद्वारे पडताळणी करते. PEAP एन्क्रिप्टेड TLS टनेलमध्ये पासवर्डची देवाणघेवाण पूर्ण करते. VLAN, किंवा व्हर्च्युअल LAN, हा तो नेटवर्क भाग आहे जिथे डिव्हाइस ऑथेंटिकेशननंतर जोडले जाते.

चार गोष्टी बदलतात:

• प्रत्येक नेटवर्क ॲक्सेस डिव्हाइस (NAD) वर RADIUS सर्व्हर पत्ते आणि सामायिक रहस्ये (शेड सीक्रेट्स), म्हणजे विनंत्या पाठवणारा कंट्रोलर, AP किंवा क्लाउड डॅशबोर्ड.
• सर्व्हर प्रमाणपत्र जे डिव्हाइसेसना 802.1X दरम्यान दिसते.
• पॉलिसी कुठे राहते. ISE पॉलिसी सेट आणि ऑथोरायझेशन प्रोफाईल हे VLAN ला मॅप केलेल्या आयडेंटिटी ग्रुप्समध्ये बदलतात.
• ओळख कुठून येते. ऑन-प्रिमायसेस Active Directory शी जोडलेल्या ISE ची जागा क्लाउड डिरेक्टरी घेते.

तुमचे SSIDs, ॲक्सेस पॉइंट्स, VLANs, स्विचिंग आणि तुमच्या स्वतःच्या CA कडील कोणतेही क्लायंट प्रमाणपत्रे जशी आहेत तशीच राहतात. यामुळेच टप्प्याटप्प्याने स्थलांतर करणे शक्य होते. ISE मधील कार्यप्रणालींना स्वतःसाठी एका ठिकाणाची आवश्यकता असते आणि त्या सर्व सुरक्षित नेटवर्कवर जोडल्या जात नाहीत.

ISE आज काय करते	ते कुठे जाते	Purple नेटवर्क
कर्मचारी आणि कॉर्पोरेट डिव्हाइसेससाठी 802.1X	EAP-TLS आणि तुमच्या आयडेंटिटी प्रोव्हायडरसह Purple क्लाउड RADIUS	सुरक्षित
स्कॅनर्स, प्रिंटर्स आणि सेन्सर्ससाठी MAB (MAC ऑथेंटिकेशन बायपास)	प्रति डिव्हाइस किंवा डिव्हाइस ग्रुपसाठी एक की (iPSK किंवा PPSK, एकत्रितपणे xPSK)	xPSK
गेस्ट आणि स्पॉन्सर्ड पोर्टल्स	एक कॅप्टिव्ह पोर्टल, ॲक्सेस मिळण्यापूर्वी दाखवले जाणारे साइन-इन पेज	ओपन
ISE अंतर्गत CA सह BYOD ऑनबोर्डिंग	तुमच्या MDM किंवा तुमच्या स्वतःच्या CA कडील प्रमाणपत्रे	सुरक्षित
TACACS+, वायर्ड 802.1X, पोश्चर, TrustSec	या योजनेच्या व्याप्तीबाहेर; प्रत्येकासाठी एक मालक नियुक्त करा	काहीही नाही

ही योजना तुमच्या ॲक्सेस पॉइंट्सवर WiFi प्रमाणीकरण समाविष्ट करते. जर ISE डिव्हाइस प्रशासन, वायर्ड पोर्ट किंवा पोस्चर देखील चालवत असेल, तर टप्पा 1 आधी प्रत्येकाची सूची करा आणि त्यास स्वतंत्र मालक द्या. जर ISE मार्केटिंगसाठी वापरले जाणारे गेस्ट पोर्टल होस्ट करत असेल, तर ते ओपन नेटवर्क आणि Purple Engage वर हलवले जाते. प्रमाणपत्रे, ओळख आणि Passpoint संदर्भातील सुरक्षित नेटवर्क मार्गदर्शक मध्ये टार्गेट डिझाइन सविस्तरपणे समाविष्ट आहे.

टप्पा 1 आधी काय सत्य असणे आवश्यक आहे?

सहा अटी, प्रत्येक होय किंवा नाही. सर्व सहा अटी होय होईपर्यंत निर्मिती सुरू करू नका.

1. इन्व्हेंटरी पूर्ण आहे. प्रत्येक SSID, त्याचा शेअर केलेला सिक्रेट असलेला प्रत्येक NAD, प्रत्येक पॉलिसी सेट आणि ऑथोरायझेशन प्रोफाईल आणि MAB वर अवलंबून असलेला प्रत्येक एंडपॉइंट ग्रुप.
2. तुमच्याकडे ISE बेसलाइन आहे. किमान दोन आठवड्यांसाठी प्रति साइट प्रति SSID दर तासाला होणारे प्रमाणीकरण आणि यशाचा दर कॅप्चर करा. ISE चे लाईव्ह लॉग आणि रिपोर्ट तुम्हाला हे देतात. बेसलाइनशिवाय, वेव्ह यशस्वी झाली की नाही हे तुम्ही सांगू शकत नाही.
3. प्रमाणपत्र योजना लिहिलेली आहे. तुमच्या क्लायंट प्रमाणपत्रांना कोणत्या CA ने इश्यू केले आहे आणि EAP साठी ISE कोणते प्रमाणपत्र सादर करते ते नोंदवा. कोणत्याही डिव्हाइसेसकडे ISE अंतर्गत CA कडून प्रमाणपत्रे आहेत का ते नोंदवा.
4. तुमच्या डिरेक्टरीमध्ये ओळख गट अस्तित्त्वात आहेत. प्रत्येक ISE ऑथोरायझेशन नियमाला Microsoft Entra ID, Okta किंवा Google Workspace मध्ये जुळणारा ग्रुप आवश्यक आहे, आणि प्रत्येक ग्रुपला VLAN ची आवश्यकता आहे.
5. साइट्स क्लाउडपर्यंत पोहोचू शकतात. प्रत्येक साइटवरील फायरवॉल कंट्रोलर किंवा AP कडून Purple च्या RADIUS सर्व्हरवर RADIUS ट्रॅफिकला अनुमती देतात.
6. ISE समर्थित राहते. टप्पा 5 पूर्ण होईपर्यंत ISE परवानाकृत, पॅच केलेले आणि मालकीचे ठेवा. हा तुमचा रोलबॅक मार्ग आहे.

एक डिझाइन निर्णय देखील येथे आहे. PEAP-MSCHAPv2 पासवर्ड हॅश तपासते जो Microsoft Entra ID सारख्या क्लाउड डिरेक्टरीज RADIUS सर्व्हरसमोर उघड करत नाहीत. जर ISE ऑन-प्रीमिस Active Directory विरुद्ध PEAP सत्यापित करत असेल, तर ISE अद्याप त्यांना प्रमाणित करत असताना त्या डिव्हाइसेसना आधी EAP-TLS वर हलवा. प्रति वेव्ह एकच गोष्ट बदला: EAP पद्धत, आणि नंतर RADIUS सर्व्हर.

{"tone":"warning","title":"नुकसान पोहोचवणारा धोका: सर्व्हर प्रमाणपत्र विश्वास","text":"प्रत्येक डिव्हाइस 802.1X दरम्यान RADIUS सर्व्हर प्रमाणपत्र तपासते. केवळ ISE EAP प्रमाणपत्र किंवा त्याच्या CA वर विश्वास ठेवणाऱ्या प्रोफाईल्स तुमचा MDM नवीन ट्रस्ट पुश करेपर्यंत Purple ला नकार देतील, म्हणून टप्पा 2 मध्ये ते तैनात करा, कटओव्हरच्या रात्री नाही."}

ISE स्थलांतरणाचे टप्पे क्रमाने कोणते आहेत?

पाच टप्पे, प्रत्येकाचा एक मालक आणि एक्झिट टेस्ट. खालील कालावधी 40-साइटच्या इस्टेटसाठी उपयुक्त आहेत; तुमच्या स्वतःच्या आवश्यकतेनुसार त्यांचे प्रमाण ठरवा. कोणत्याही एका साइटवर कटओव्हर हा सहसा वीकेंडचा सराव असतो. त्यापूर्वीचे आठवडे त्याला यशस्वी बनवतात.

{"kind":"timeline","direction":"lr","caption":"Cisco ISE कडून Purple क्लाउड RADIUS वर स्थलांतरित होणाऱ्या 40-साइट इस्टेटसाठी पाच टप्पे. टप्पा 5 पूर्ण होईपर्यंत ISE लाइव्ह राहते.","alt":"स्थलांतराच्या पाच टप्प्यांची टाइमलाइन, आठवडा 1 ते 2 मधील शोध आणि डिझाइनपासून आठवडा 10 पासून ISE डीकमिशनपर्यंत.","nodes":[{"id":"p1","label":"टप्पा 1: शोध आणि डिझाइन","sub":"NADs, पॉलिसी संच, प्रमाणपत्रे आणि MAB उपकरणांची यादी करा","tone":"neutral","when":"आठवडे 1-2"},{"id":"p2","label":"टप्पा 2: समांतर बिल्ड करा","sub":"क्लाउड RADIUS, IdP गट, VLAN नियम, प्रमाणपत्र ट्रस्ट","tone":"brand","when":"आठवडा 3"},{"id":"p3","label":"टप्पा 3: एका साइटवर पायलट करा","sub":"प्रत्येक उपकरण वर्ग योग्य VLAN वर ऑथेंटिकेट होतो","tone":"brand","when":"आठवडे 4-5"},{"id":"p4","label":"टप्पा 4: टप्प्याटप्प्याने कट ओव्हर करा","sub":"वीकेंड चेंज विंडो, ISE रोलबॅकसाठी ठेवले आहे","tone":"brand","when":"आठवडे 6-9"},{"id":"p5","label":"टप्पा 5: ISE डीकमिशन करा","sub":"शून्य ISE ऑथेंटिकेशन, नोड्स बंद केले","tone":"success","when":"आठवडा 10+"}],"edges":[{"from":"p1","to":"p2"},{"from":"p2","to":"p3"},{"from":"p3","to":"p4"},{"from":"p4","to":"p5"}]}

{"caption":"ISE ते क्लाउड RADIUS टप्पा योजना","asOf":"2026-06-10","columns":[{"key":"phase","label":"टप्पा"},{"key":"scope","label":"व्याप्ती"},{"key":"owner","label":"मालक"},{"key":"exit","label":"एक्झिट चाचणी"}],"rows":[["1. शोध आणि डिझाइन","प्रत्येक SSID, NAD, पॉलिसी संच, ऑथोरायझेशन प्रोफाईल, प्रमाणपत्र आणि MAB उपकरण","नेटवर्क आर्किटेक्ट","ओळख गट आणि VLAN कडे प्रत्येक ISE नियमाचे स्वाक्षरी केलेले मॅपिंग"],["2. समांतर बिल्ड करा","क्लाउड RADIUS, IdP कनेक्शन, VLAN नियम, xPSK की, सर्व्हर प्रमाणपत्र ट्रस्ट","आयडेंटिटी अँड ॲक्सेस लीड","लॅब SSID वरून चाचणी उपकरणे Purple विरुद्ध ऑथेंटिकेट होतात"],["3. एका साइटवर पायलट करा","एक प्रातिनिधिक साइट, प्रत्येक उपकरण वर्ग","साइट लीडसह IT व्यवस्थापक","ISE बेसलाइनवर किंवा त्याहून अधिक पाच कामाचे दिवस, प्रत्येक वर्गासाठी योग्य VLAN"],["4. टप्प्याटप्प्याने कट ओव्हर करा","गटांमधील साइट्स, प्रत्येकासाठी एक चेंज विंडो","नेटवर्क ऑपरेशन्स","प्रत्येक टप्पा रोलबॅकशिवाय 48 तास बेसलाइन ठेवतो"],["5. ISE डीकमिशन करा","ISE नोड्स, NAD नोंदी, परवाने, अंतर्गत CA","IT संचालक","आपण सेट केलेल्या कालावधीसाठी शून्य ISE ऑथेंटिकेशन, पुरावे आर्काइव्ह केले जाणे"]],"footnote":"40-साइट इस्टेटसाठी कालावधी आणि मर्यादा नियोजन डीफॉल्ट आहेत. टप्पा 1 च्या आधी आपण कॅप्चर केलेल्या ISE बेसलाइनवरून आपले स्वतःचे सेट करा.","download":{"filename":"ise-to-cloud-radius-phase-plan.csv"}}

ISE स्थलांतराच्या प्रत्येक टप्प्यात काय होते?

टप्पा 1: शोध आणि डिझाइन

तुम्ही काहीही बदलण्यापूर्वी ISE ला काय माहित आहे ते एक्सपोर्ट करा. प्रत्येक पॉलिसी संच, त्याच्या अटी आणि ते परत करत असलेले ऑथोरायझेशन प्रोफाईल सूचीबद्ध करा. बहुतेक इस्टेट्सना असे आढळते की वर्षांचे नियम काही वास्तविक निकालांमध्ये स्पष्ट होतात: कर्मचारी VLAN, कंत्राटदार VLAN, IoT VLAN, नाकारा.

प्रत्येक निष्पत्तीस आयडेंटिटी ग्रुप आणि VLAN म्हणून लिहा. RADIUS वर VLAN असाइनमेंट करण्यासाठी RFC 3580 मध्ये वर्णन केलेल्या टनेल ॲट्रिब्युट्सचा वापर केला जातो. काही कंट्रोलर्स व्हेंडर-स्पेसिफिक ॲट्रिब्युट्स (VSAs) देखील वाचतात, जसे की HPE Aruba कंट्रोलर्स वापरत असलेले रोल ॲट्रिब्युट. तुमचे हार्डवेअर कोणत्या ॲट्रिब्युट्सची अपेक्षा करते ते नोंदवून घ्या.

नंतर अशा डिव्हाइसेस शोधा ज्या 802.1X करू शकत नाहीत. ISE ची एंडपॉइंट सूची दाखवते की कोणते MAC ॲड्रेसेस MAB द्वारे ऑथेंटिकेट होतात. त्यातील प्रत्येकाला त्याची साइट हलवण्यापूर्वी एक xPSK की आणि VLAN आवश्यक आहे.

टप्पा 2: समांतरपणे Purple तयार करा

Purple ला तुमच्या आयडेंटिटी प्रॉयव्हायडरशी कनेक्ट करा आणि टप्पा 1 मधील ग्रुप-टू-VLAN नियम तयार करा. तुमच्या क्लायंट सर्टिफिकेट्सना इश्यू करणारा CA अपलोड करा जेणेकरून EAP-TLS त्यानुसार ते व्हॅलिडेट करेल. हेडलेस डिव्हाइस ग्रुप्ससाठी xPSK की इश्यू करा.

तुमच्या MDM द्वारे प्रत्येक मॅनेज्ड डिव्हाइसवर Purple च्या सर्व्हर सर्टिफिकेटसाठी ट्रस्ट पुश करा. बिल्डमधील हे सर्वात जास्त वेळ घेणारे काम आहे, त्यामुळे ते पहिल्याच दिवशी सुरू करा. Purple कडे पॉईंट केलेले लॅब SSID सेटअप करा आणि प्रत्येक क्लासचे एक डिव्हाइस ऑथेंटिकेट करा.

टप्पा 3: एका प्रातिनिधिक साइटवर पायलट रन करा

तुमच्याकडे असलेल्या प्रत्येक डिव्हाइस क्लासची एक साइट निवडा: Windows, macOS, iOS, Android, स्कॅनर्स आणि काहीही असामान्य असणारे डिव्हाइस. तुमची मुख्य (फ्लॅगशिप) साइट आणि सर्वात सोपी साइट निवडणे टाळा. तुम्ही वेव्ह्समध्ये वापरणार असलेल्या समान पायऱ्यांसह ते कट ओव्हर करा.

ते पाच कामाच्या दिवसांसाठी राखून ठेवा. त्या साइटसाठी ISE बेसलाइनसह Purple च्या यशस्वीतेच्या दराची तुलना करा. प्रत्येक डिव्हाइस क्लास योग्य VLAN वर पोहोचत असल्याची पडताळणी करा. येथे अपयशी ठरणाऱ्या कोणत्याही गोष्टीचे निराकरण करा, वेव्ह दरम्यान नाही.

टप्पा 4: वेव्ह्समध्ये कट ओव्हर करा

उरलेल्या साइट्सचे अशा वेव्ह्समध्ये गट करा ज्यांना एक टीम एकाच चेंज विंडोमध्ये सपोर्ट करू शकते. प्रत्येक वेव्हपूर्वी गो किंवा नो-गो चेक रन करा. प्रत्येक साइटवर समान पायऱ्यांचे अनुसरण करा.

{"title":"एका साइटला ISE कडून Purple क्लाउड RADIUS वर कट ओवर करा","steps":[{"title":"बेसलाइन नोंदवा","body":"माइग्रेशन लॉगमध्ये साइटचे दर तासाचे ISE प्रमाणीकरण आणि प्रति SSID यश दर नोंदवा.","check":"विंडो उघडण्यापूर्वी बेसलाइन आकडेवारी लॉग केली जाते."},{"title":"सुरक्षित SSID ला Purple कडे निर्देश करा","body":"ISE RADIUS सर्व्हरच्या जागी Purple चे सर्व्हर आणि सामायिक सिक्रेट प्रविष्ट करा. रोलबॅकसाठी ISE नोंदी लिहून ठेवा.","check":"डॅशबोर्ड या SSID साठी Purple ला RADIUS सर्व्हर म्हणून दाखवतो.","variants":[{"label":"Cisco Meraki","body":"Meraki डॅशबोर्डमध्ये, SSID ॲक्सेस कंट्रोल सेटिंग्ज संपादित करा आणि RADIUS सर्व्हर सूची अपडेट करा."},{"label":"HPE Aruba","body":"Aruba Central किंवा कंट्रोलरमध्ये, WLAN 802.1X प्रोफाईलद्वारे वापरलेला सर्व्हर गट अपडेट करा."},{"label":"Ruckus","body":"RUCKUS One किंवा SmartZone मध्ये, WLAN ला नियुक्त केलेला AAA सर्व्हर अपडेट करा."},{"label":"Juniper Mist","body":"Mist डॅशबोर्डमध्ये, WLAN एंटरप्राइझ सुरक्षा सेटिंग्ज संपादित करा आणि RADIUS सर्व्हर अपडेट करा."},{"label":"Ubiquiti UniFi","body":"UniFi Network मध्ये, एंटरप्राइझ SSID द्वारे वापरलेला RADIUS प्रोफाईल अपडेट करा."}]},{"title":"प्रोब डिव्हाइसेस पुन्हा कनेक्ट करा","body":"xPSK वरील हेडलेस डिव्हाइसेससह साइटवरील प्रत्येक वर्गाचे एक डिव्हाइस पुन्हा कनेक्ट करा.","check":"प्रत्येक प्रोब डिव्हाइस त्याच्या अपेक्षित VLAN वर पोहोचते."},{"title":"पहिल्या तासावर लक्ष ठेवा","body":"Purple चे ऑथेंटिकेशन लॉग वाचा आणि कारणांनुसार अपयश गटबद्ध करा.","check":"यश दर साइट बेसलाइनवर किंवा त्याहून अधिक आहे."},{"title":"होल्ड करा किंवा रोल बॅक करा","body":"सहमती दिलेल्या विंडोच्या शेवटी दर बेसलाइनपेक्षा कमी राहिल्यास, SSID वर ISE सर्व्हर पुनर्संचयित करा.","check":"निर्णय आणि कारण माइग्रेशन लॉगमध्ये आहेत."},{"title":"साइट बंद करा","body":"48 तासांनंतर साइट मायग्रेट झाल्याचे चिन्हांकित करा. फेज 5 पर्यंत तिची NAD नोंद ISE मध्ये ठेवा जेणेकरून रोलबॅक अजूनही कार्य करेल.","check":"ISE या साइटवरून कोणतेही नवीन ऑथेंटिकेशन दाखवत नाही."}]}

फेज 5: ISE डीकमिशन करा

फेज 5 फक्त तेव्हाच सुरू करा जेव्हा ISE ने तुम्ही सेट केलेल्या कालावधीसाठी, जसे की 30 दिवस, शून्य WiFi ऑथेंटिकेशन पाहिले असेल. तुमच्या ऑडिट रिटेंशन पॉलिसीला आवश्यक असलेले ISE ऑथेंटिकेशन रिपोर्ट्स एक्सपोर्ट करा. NAD नोंदी काढून टाका, नंतर नोड्स पॉवर डाउन करा. लवकर रद्द करण्याऐवजी नूतनीकरणाच्या वेळी लायसन्स संपू द्या.

ISE अंतर्गत CA शेवटी निवृत्त करा. त्याने जारी केलेले कोणतेही प्रमाणपत्र ISE निघून गेल्यावर थेट CA शी जोडणे थांबवते.

कटओव्हर दरम्यान ISE आणि Purple एकाच वेळी कसे चालतात?

येथे दोन पद्धती आहेत आणि त्या वेगवेगळ्या प्रकारे वर्तन करतात.

समांतर SSID. ISE SSID सोबत Purple द्वारे ऑथेंटिकेट केलेला दुसरा सुरक्षित SSID ब्रॉडकास्ट करा. तुमचे MDM डिव्हाइस गट नवीन SSID प्रोफाईलवर बॅचमध्ये हलवते. दोन्ही नेटवर्क एकाच वेळी चालतात, त्यामुळे हे खऱ्या अर्थाने एकाच वेळी चालणे आहे. यासाठी माइग्रेशनच्या कालावधीसाठी आणखी एका SSID कडून एअरटाइमचा खर्च येतो.

समान SSID, बदललेला सर्व्हर. एक SSID ठेवा आणि बदल विंडोदरम्यान त्याचा RADIUS सर्व्हर बदला. हे हवेवर अधिक स्वच्छ आहे, परंतु हे एक स्विच आहे, मिश्रण नाही.

बहुतांश टीम्स एक महत्त्वाचा मुद्दा चुकवतात: बहुतांश कंट्रोलर्सवरील RADIUS फेलओव्हर हा प्रायमरी सर्व्हर प्रतिसाद देणे बंद करतो तेव्हा ट्रिगर होतो, जेव्हा तो डिव्हाइस नाकारतो (reject) तेव्हा नाही. तुम्ही Purple ला पहिले आणि ISE ला दुसरे सूचीबद्ध केल्यास, Purple कडून आलेला रिजेक्ट ISE कडे फॉलबॅक होत नाही. सेफ्टी नेट म्हणून सर्व्हरच्या क्रमावर अवलंबून राहू नका. पायलटवर अवलंबून राहा.

यशस्वी उदाहरण: Cisco Meraki वर चालणारा 40 हॉटेल्सचा समूह

एक हॉटेल समूह Cisco Meraki वर 40 हॉटेल्समध्ये Staff WiFi चालवतो. डेटा सेंटरमधील दोन ISE नोड्स ऑन-प्रिमाइसेस Active Directory च्या आधारे PEAP द्वारे कर्मचाऱ्यांचे ऑथेंटिकेशन करतात. या समूहाला डेटा सेंटर बंद करायचे आहे.

टीमने हे स्थलांतर दोन भागांत विभागले. प्रथम, ISE द्वारे सर्व ऑथेंटिकेशन सुरू असतानाच त्यांनी त्यांच्या MDM द्वारे EAP-TLS सर्टिफिकेट्स आणि Purple सर्व्हर ट्रस्ट पाठवले. ISE ने नवीन सर्टिफिकेट्स व्हॅलिडेट केले, त्यामुळे कर्मचाऱ्यांसाठी काहीही बदलले नाही. दुसरे म्हणजे, त्यांनी एका मध्यम आकाराच्या हॉटेलमध्ये पायलट केले, आणि नंतर उर्वरित हॉटेल्स नऊ किंवा दहाच्या चार वीकेंड टप्प्यांमध्ये (waves) हलवली.

याचा मोजता येण्याजोगा परिणाम म्हणजे एक्झिट टेस्ट स्वतः होती. शेवटच्या टप्प्यानंतर ISE चे staff SSID ऑथेंटिकेशन काउंट शून्य झाले. कोणत्याही टप्प्यात रोलबॅकची गरज पडली नाही. पुढील महिन्याच्या शेवटी ISE नोड्स बंद करण्यात आले.

अयशस्वी ठरलेला टप्पा तुम्ही कसा रोलबॅक करता?

रोलबॅक ही दुसऱ्या पायरीच्या उलट क्रिया आहे: प्रभावित SSIDs वर ISE सर्व्हर्स आणि शेअर केलेला सिक्रेट रिस्टोअर करा. ISE लाइव्ह राहिल्यामुळे आणि त्याच्या NAD एन्ट्रीज तशाच राहिल्यामुळे, पुढील रीकनेक्टवेळी साइट तिच्या पूर्वीच्या स्थितीत जाते. निर्णय कोण घेणार आणि निर्णय घेण्यापूर्वी तुम्ही किती वेळ वाट पाहणार हे आधीच ठरवून घ्या.

{"title":"कटओव्हर टप्प्यासाठी Go, no-go किंवा roll back","start":"q1","nodes":[{"id":"q1","question":"पायलट किंवा पूर्वीच्या टप्प्याने ISE यशाचा दर बेसलाइन कायम ठेवला का?","help":"त्याच साइट्ससाठी ISE बेसलाइनसह प्रति SSID च्या Purple यशाच्या दराची तुलना करा.","options":[{"label":"होय","to":"q2"},{"label":"नाही","to":"o3"}]},{"id":"q2","question":"या टप्प्यातील प्रत्येक डिव्हाइस Purple च्या सर्व्हर सर्टिफिकेटवर विश्वास ठेवते का?","help":"या साइट्सवरील प्रत्येक डिव्हाइस ग्रुपसाठी MDM डिप्लॉयमेंट स्टेटस तपासा.","options":[{"label":"होय","to":"q3"},{"label":"नाही","to":"o2"}]},{"id":"q3","question":"या टप्प्यातील प्रत्येक साइट Purple च्या RADIUS सर्व्हर्सपर्यंत पोहोचू शकते का?","help":"विंडो उघडण्यापूर्वी प्रत्येक साइटच्या फायरवॉलद्वारे चाचणी करा.","options":[{"label":"होय","to":"q4"},{"label":"नाही","to":"o2"}]},{"id":"q4","question":"ISE अजूनही लाइव्ह आहे का, आणि ऑन-कॉल नामनिर्देशित रोलबॅक मालक उपलब्ध आहे का?","options":[{"label":"होय","to":"o1"},{"label":"नाही","to":"o2"}]},{"id":"o1","outcome":"Go","detail":"चेंज विंडो उघडा आणि साइट कटओव्हर पायऱ्यांचे अनुसरण करा."},{"id":"o2","outcome":"No-go: दुरुस्त करा आणि रीशेड्यूल करा","detail":"त्रुटी दूर करा, नंतर पुढील विंडोपूर्वी ही तपासणी पुन्हा चालवा."},{"id":"o3","outcome":"Roll back आणि निदान करा","detail":"प्रभावित SSIDs वर ISE रिस्टोअर करा, अयशस्वी होणारा डिव्हाइस क्लास किंवा नियम शोधा आणि आधी पायलट साइटवर तो दुरुस्त करा.","link":"[ISE पर्यायांची तुलना करा](guide:cisco-ise-alternatives)"}]}

यशस्वी उदाहरण: HPE Aruba वर चालणारा 300-स्टोअर्सचा रिटेलर

एक रिटेलर HPE Aruba वर 300 स्टोअर्स चालवतो. ISE स्टाफच्या लॅपटॉपचे EAP-TLS द्वारे आणि हँडहेल्ड स्टॉक स्कॅनर्सचे MAB द्वारे प्रमाणीकरण (authentication) करते. पायलट स्टोअर यशस्वी झाले, त्यामुळे टीमने 30 स्टोअर्सच्या पहिल्या वेव्हवर काम सुरू केले.

दुसऱ्या वेव्हमधील चार स्टोअर्समध्ये स्कॅनर्स अयशस्वी झाले. त्या स्टोअर्समध्ये नवीन स्कॅनर मॉडेल होते ज्यांचे MAC ॲड्रेसेस फेज 1 च्या इन्व्हेंटरीपर्यंत कधीच पोहोचले नव्हते. रोलबॅक मालकाने चेंज विंडोच्या आत प्रभावित WLANs वर ISE सर्व्हर ग्रुप पुनर्संचयित केला, आणि स्कॅनिंग पुन्हा सुरू झाले.

टीमने ISE च्या एंडपॉइंट लिस्टवरून नवीन मॉडेलचे ॲड्रेसेस घेतले आणि त्यांना xPSK कळा (keys) जारी केल्या. पायलट स्टोअरमध्ये एका स्कॅनरची चाचणी घेण्यात आली, आणि नंतर वेव्ह पुन्हा चालवली गेली. सर्व 300 स्टोअर्सचे स्थलांतर Purple वर पूर्ण झाले. प्रत्येक MAB नियम निवृत्त केला गेला, आणि कार्ड टर्मिनल्स आता त्यांच्या स्वतःच्या VLAN वर आहेत. ते नेटवर्क सेगमेंटेशन रिटेलरच्या PCI-DSS स्कोपिंगसाठी पुरावा बनले.

ISE मधून मायग्रेशन पूर्ण झाल्याचे तुम्ही कसे सिद्ध कराल?

"पूर्ण झाले" ही तथ्यांची मालिका आहे, कोणतीही भावना नाही. जेव्हा या सर्व गोष्टी सत्य असतील तेव्हा तुमचे काम पूर्ण होईल:

• ISE ने तुम्ही ठरवलेल्या कालावधीसाठी शून्य WiFi प्रमाणीकरणे (authentications) नोंदवली आहेत.
• प्रत्येक साईटवर Purple चा यश दर त्याच्या ISE बेसलाइनवर किंवा त्याहून अधिक आहे.
• प्रत्येक प्रकारच्या उपकरणाची तपासणी करून हे सुनिश्चित केले जाते की प्रत्येक आयडेंटिटी ग्रुप त्याच्या निर्धारित VLAN वरच पोहोचतो.
• कोणत्याही उपकरणाकडे ISE अंतर्गत CA ला जोडणारे प्रमाणपत्र (certificate) नाही.
• तुमच्या डेटा रिटेन्शन कालावधीसाठीचे ISE अहवाल एक्सपोर्ट करून सुरक्षित ठेवले आहेत.
• ISE नोड्स बंद केले जातात आणि नूतनीकरण रद्द केले जाते.

संपूर्ण प्रोग्रामसाठी एक लॉग ठेवा. खालील चेकलिस्ट हाच तो लॉग आहे.

{"title":"ISE ते क्लाउड RADIUS मायग्रेशन लॉग","groups":[{"heading":"फेज 1 पूर्वी","items":[{"text":"प्रत्येक SSID, NAD आणि शेअर केलेले सिक्रेट सूचीबद्ध केले आहे"},{"text":"प्रत्येक पॉलिसी सेट आयडेंटिटी ग्रुप आणि VLAN शी मॅप केला आहे"},{"text":"प्रत्येक साईट आणि SSID साठी दोन आठवड्यांची ISE बेसलाइन कॅप्चर केली आहे","why":"त्याशिवाय, कोणतीही वेव्ह पास किंवा फेल होऊ शकत नाही"},{"text":"PEAP उपकरणे ओळखली गेली आहेत आणि EAP-TLS योजनेवर सहमती झाली आहे"},{"text":"ISE एंडपॉइंट लिस्टवरून MAB उपकरणे सूचीबद्ध केली आहेत"},{"text":"वायर्ड, TACACS+ आणि पोश्चर स्कोपला स्वतंत्र मालक नियुक्त केले आहेत"}]},{"heading":"बिल्ड आणि पायलट","items":[{"text":"आयडेंटिटी प्रदाता कनेक्ट केला आहे आणि ग्रुप्स VLANs शी मॅप केले आहेत"},{"text":"EAP-TLS साठी क्लायंट प्रमाणपत्र CA वर विश्वास ठेवला आहे"},{"text":"Purple सर्व्हर प्रमाणपत्र ट्रस्ट MDM द्वारे पुश केले आहे","why":"कटोव्हरच्या रात्री उद्भवू शकणारा धोका"},{"text":"हेडलेस डिव्हाइस ग्रुप्ससाठी xPSK कळा जारी केल्या आहेत"},{"text":"साईट फायरवॉल Purple कडे RADIUS ट्रॅफिकला अनुमती देतात"},{"text":"पायलट साईटने पाच कामकाजाच्या दिवसांसाठी बेसलाइन कायम ठेवली आहे"}]},{"heading":"वेव्ह्स","items":[{"text":"प्रत्येक वेव्हसाठी गो किंवा नो-गो तपासणी नोंदवली आहे"},{"text":"प्रत्येक विंडोसाठी रोलबॅक मालक नियुक्त केला आहे"},{"text":"प्रत्येक वेव्हने 48 तास बेसलाइन कायम ठेवली आहे"}]},{"heading":"पूर्ण झाले","items":[{"text":"मान्य केलेल्या कालावधीसाठी शून्य ISE WiFi प्रमाणीकरणे"},{"text":"कोणतीही प्रमाणपत्रे ISE अंतर्गत CA शी जोडलेली नाहीत"},{"text":"ऑडिट रिटेन्शनसाठी एक्सपोर्ट केलेले ISE अहवाल"},{"text":"NAD नोंदी हटवल्या आहेत आणि ISE नोड्स बंद केले आहेत"},{"text":"ISE लायसन्स नूतनीकरण रद्द केले आहे"}]}],"download":{"filename":"ise-migration-log.csv"}}

क्षेत्रामध्ये कोणत्या प्रकारच्या त्रुटी (failure modes) दिसून येतात?

बऱ्याच अयशस्वी टप्प्यांमागे काही मोजकीच कारणे असतात.

• अविश्वासू सर्व्हर प्रमाणपत्र (Untrusted server certificate). डिव्हाइसेस प्रॉम्प्ट देतात किंवा कनेक्ट होण्यास शांतपणे नकार देतात. टप्पा 2 मध्ये तुमच्या MDM द्वारे याचे निवारण करा, कर्मचाऱ्यांना प्रॉम्प्ट स्वीकारण्यास सांगून कधीही करू नका.
• एकाच वेळी दोन गोष्टी बदलणे. सर्व्हर बदलाच्याच कालावधीत PEAP वरून EAP-TLS वर स्थलांतरित केल्यास कोणत्या बदलामुळे काय बिघडले हे शोधणे कठीण होते.
• विसरलेली हेडलेस डिव्हाइसेस. रिटेलरच्या बाबतीत घडल्याप्रमाणे, MAB वरील स्कॅनर्स, प्रिंटर्स आणि सेन्सर्स सर्वात आधी अयशस्वी होतात. प्रत्येक टप्प्यापूर्वी ISE मधून MAB सूची पुन्हा तयार करा.
• शेअर केलेल्या सीक्रेट मधील विसंगती. एका कंट्रोलरवर एक जरी सीक्रेट चुकीचे टाईप केले तरी संपूर्ण साईट नाकारली जाते. सीक्रेट्स एकाच स्रोतातून कॉपी करा, कधीही हाताने टाईप करू नका.
• फायरवॉल ईग्रेस (Firewall egress). स्थानिक ब्रेकआऊट किंवा जुने फायरवॉल नियम असलेल्या साईट्स क्लाउडवरील RADIUS ट्रॅफिक ब्लॉक करतात. प्रत्येक साईटच्या कालावधीपूर्वी तिची चाचणी घ्या.
• VLAN ॲट्रीब्यूटमधील फरक. ISE ऑथोरायझेशन प्रोफाईल्स VLAN नाव, VLAN ID किंवा व्हेंडर विशिष्ट रोल परत पाठवू शकतात. पायलट साईटवर प्रत्येक कंट्रोलरला काय अपेक्षित आहे ते जुळवून घ्या.
• शांत डाऊनस्ट्रीम ग्राहक (Silent downstream consumers). जर फायरवॉलने pxGrid द्वारे ISE कडून आयडेंटिटी शिकल्या असतील, तर कटओव्हरच्या वेळी ती फीड थांबते. सेशन समाप्त करण्यासाठी तुम्ही ऑथोरायझेशन बदलावर (RFC 5176) अवलंबून असल्यास, पायलट दरम्यान त्याची चाचणी घ्या.
• फेलओव्हरवर अवलंबून राहणे. ISE ला दुय्यम सर्व्हर म्हणून सूचीबद्ध केल्याने रिजेक्ट्स पकडले जात नाहीत. केवळ चाचणी केलेला रोलबॅकच हे करू शकतो.

Purple कुठे बसते

Purple Access तुमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉईंट्सवर तीन नेटवर्क चालवते: ओपन, सुरक्षित आणि xPSK. ISE मायग्रेशन हे सुरक्षित नेटवर्कवर उतरते. Purple cloud RADIUS हे Microsoft Entra ID, Okta किंवा Google Workspace विरुद्ध EAP-TLS सह ऑथेंटिकेट करते. स्वयंचलित आणि एनक्रिप्टेड जॉइनिंगसाठी हॉट्सपॉट 2.0 मानके असलेले Passpoint, सर्व साईट्सवर तीच आयडेंटिटी विस्तारित करते. आयडेंटिटी प्रत्येक नेटवर्कवर VLAN सेट करते.

Purple हे हार्डवेअर अनभिज्ञ (hardware-agnostic) आहे. हे कोणत्याही नवीन हार्डवेअरशिवाय Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet सोबत काम करते. Purple जगात सर्वात मोठे क्लाउड RADIUS चालवते. 99.999% अपटाईमवर चालणाऱ्या प्लॅटफॉर्मवर हे 99.9% RADIUS अपटाईम SLA प्रदान करते.

{"items":[{"value":"99.9%","label":"RADIUS अपटाईम SLA","note":"Purple चे करारात्मक SLA"},{"value":"99.999%","label":"प्लॅटफॉर्म अपटाईम","note":"Purple चा स्वतःचा डेटा"},{"value":"80,000+","label":"लाईव्ह ठिकाणे","note":"Purple चा स्वतःचा डेटा"},{"value":"90","label":"देश","note":"Purple चा स्वतःचा डेटा"}]}

{"tone":"proof","title":"शाखा स्तरावर कर्मचारी WiFi","text":"JPMorgan 5,000 शाखांमध्ये Purple वर कर्मचारी WiFi चालवते."}

Purple कडे ISO 27001, Cyber Essentials आणि B Corp प्रमाणपत्रे आहेत आणि ती GDPR तसेच CCPA अंतर्गत कार्य करते. ही प्रमाणपत्रे तुमची सुरक्षा टीम करेल ते पुरवठादार मूल्यांकन जलद करतात. अधिक व्यापक सुरक्षा चित्रासाठी, एंटरप्राइज WiFi सुरक्षा मार्गदर्शक वाचा. तुम्ही अजूनही डेस्टिनेशन निवडत असाल, तर WiFi ऑथेंटिकेशनसाठी Cisco ISE पर्याय पहा.

वारंवार विचारले जाणारे प्रश्न

Cisco ISE वरून क्लाउड RADIUS वर मायग्रेट करण्यासाठी किती वेळ लागतो?

कटओव्हर ही सहसा आठवड्याच्या शेवटी केली जाणारी कसरत असते; तयारीसाठी जास्त वेळ लागतो. 40 साइट्सच्या इस्टेटसाठी, दोन आठवड्यांचे डिस्कव्हरी, एक आठवड्याचा बिल्ड, दोन आठवड्यांचा पायलट आणि आठवड्याच्या शेवटी केली जाणारी अनेक वेव्ह्सचे नियोजन करा. सर्टिफिकेट्स हा सर्वात मोठा बदलणारा घटक आहे. जर डिव्हाइसेस आधीपासून तुमच्या स्वतःच्या CA कडील सर्टिफिकेट्ससह EAP-TLS वापरत असतील, तर प्लॅनचा कालावधी कमी होतो. जर Active Directory च्या विरुद्ध PEAP कार्यरत असेल, तर ती डिव्हाइसेस आधी EAP-TLS वर हलवण्यासाठी एक टप्पा जोडा.

मला Cisco ISE वरून बाहेर पडण्यासाठी नवीन ॲक्सेस पॉईंट्सची गरज आहे का?

नाही. क्लाउड RADIUS तुम्ही आधीपासून वापरत असलेल्या ॲक्सेस पॉईंट्स आणि कंट्रोलर्ससोबत काम करते: Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet. हे मायग्रेशन प्रत्येक SSID वरील कॉन्फिगरेशन बदल आहे: नवीन RADIUS सर्व्हर ॲड्रेसेस, नवीन शेअर्ड सिक्रेट आणि जिथे आवश्यक असेल तिथे नवीन VLAN ॲट्रिब्युट्स. तुमचे स्विचिंग, VLANs आणि SSIDs पूर्वीसारखेच राहतात.

आम्ही आधीपासून इश्यू केलेली क्लायंट सर्टिफिकेट्स तशीच ठेवू शकतो का?

होय, जर ती तुमच्या स्वतःच्या CA किंवा MDM द्वारे इश्यू केलेली असतील तर. क्लाउड RADIUS हे इश्यू करणाऱ्या CA च्या तुलनेत EAP-TLS सर्टिफिकेट्स व्हॅलिडेट करते, त्यामुळे तो CA ट्रस्टेड झाल्यानंतर ती काम करत राहतात. ISE अंतर्गत CA कडील सर्टिफिकेट्स याला अपवाद आहेत. ती अशा सिस्टीमशी जोडलेली असतात जी तुम्ही बंद करणार आहात, त्यामुळे टप्पा 5 सुरू होण्यापूर्वी ती तुमच्या MDM किंवा CA कडून पुन्हा इश्यू करा.

ISE मध्ये MAC ऑथेन्टिकेशन बायपास वापरणाऱ्या डिव्हाइसेसचे काय होते?

ती डिव्हाइसेस xPSK नेटवर्कवर हलवली जातात. MAB हे MAC ॲड्रेसवर विश्वास ठेवते, जे स्पूफ करणे सोपे असते. प्रति डिव्हाइस किंवा डिव्हाइस ग्रुप एक की स्कॅनर्स, प्रिंटर्स आणि सेन्सर्सना त्यांचे स्वतःचे क्रेडेंशियल देते आणि त्यांना त्यांच्या स्वतःच्या VLAN वर आणते. ISE च्या एंडपॉइंट लिस्टवरून टप्पा 1 मध्ये ती शोधा. टप्पा 2 मध्ये की इश्यू करा, त्यानंतर पायलट साइटवर प्रत्येक मॉडेलपैकी एकाची चाचणी घ्या.

ISE वरून मायग्रेट केल्याने आमच्या PCI DSS किंवा ISO 27001 पुराव्यांवर परिणाम होतो का?

यामुळे पुरावे कुठून येतात ते बदलते, तुमच्याकडे पुरावे आहेत की नाही ते बदलत नाही. डीकमिशन करण्यापूर्वी तुमच्या रिटेंशन कालावधीसाठी ISE ऑथेन्टिकेशन रिपोर्ट्स एक्सपोर्ट करा. कटओव्हरपासून पुढे, Purple चे ऑथेन्टिकेशन लॉग्स आणि VLAN असाइनमेंट्स नेटवर्क सेगमेंटेशन आणि ॲक्सेस कंट्रोलसाठी पुरावे प्रदान करतात. Purple चे स्वतःचे ISO 27001 आणि Cyber Essentials सर्टिफिकेशन देखील तुमच्या ऑडिटर्सना अपेक्षित असलेल्या सप्लायर असेसमेंटला सपोर्ट करते.

क्लाउड RADIUS च्या किमतींची तुलना Cisco ISE सोबत कशी केली जाते?

लायसन्स लाइन्सऐवजी एकूण खर्चाची तुलना करा. ISE च्या खर्चामध्ये लायसन्स, ते चालवणारे नोट्स किंवा व्हर्च्युअल मशीन्स, सपोर्ट कॉन्ट्रॅक्ट्स आणि पॅचिंग व अपग्रेडिंगमध्ये जाणारा इंजिनिअरचा वेळ समाविष्ट असतो. क्लाउड RADIUS हे असे सबस्क्रिप्शन आहे ज्यामध्ये तुम्हाला कोणतेही सर्व्हर्स चालवावे लागत नाहीत. Purple तुमच्या इस्टेटसाठी कोटेशन देते, त्यामुळे तुमची साइट संख्या, SSIDs आणि डिव्हाइस संख्या सोबत ठेवा. ISE अल्टरनेटिव्ह्ज गाइड मध्ये आणखी कशाची तुलना करायची हे मांडले आहे.

आम्ही WiFi सोबतच वायर्ड 802.1X देखील मायग्रेट केले पाहिजे का?

नाही. आधी WiFi हलवा आणि वायर्ड 802.1X ला स्वतःच्या पायलटसह एक वेगळा प्रकल्प मानून हाताळा. वायर्ड पोर्ट्समध्ये सहसा MAB डिव्हाइसेस, डेस्क फोन्स आणि पोश्चर रूल्स असतात ज्यांना त्यांच्या स्वतःच्या इन्व्हेंटरीची आवश्यकता असते. एकाच विंडोमध्ये दोन्ही बदलल्याने एकाच वेळी अपयशी ठरू शकणाऱ्या गोष्टींची संख्या दुप्पट होते. यामुळे दबावाखाली रोलबॅकचा निर्णय घेणे देखील अधिक कठीण होते.

Aruba ClearPass वरून मायग्रेट करणे काही वेगळे आहे का?

पाच टप्पे समान आहेत; केवळ एक्सपोर्ट भिन्न आहे. ClearPass पॉलिसी सेट्सऐवजी सर्व्हिसेस, एन्फोर्समेंट पॉलिसीज आणि प्रोफाईल्स म्हणून पॉलिसी स्टोअर करते. त्यांना आयडेंटिटी ग्रुप्स आणि VLANs सह मॅप करणे हे टप्पा 1 मधील मुख्य काम आहे. सर्टिफिकेट ट्रस्टची जोखीम आणि फेलओव्हरचे वर्तन अगदी तशाच प्रकारे लागू होते. ClearPass मायग्रेशन मार्गदर्शिका मध्ये एक्सपोर्टची सविस्तर माहिती दिली आहे.