मल्टी-साइट RADIUS स्थलांतर: साइट्स, ॲक्सेस पॉइंट्स आणि पॉलिसींचे अनुक्रमण

जुन्या आणि नवीन सर्व्हर शेजारी-शेजारी चालत असताना फ्लॅग डे शिवाय तुम्ही मल्टी-साइट इस्टेट क्लाउड RADIUS वर चार टप्प्यांत हलवू शकता. प्रत्येक SSID दोन्हीची सूची देते आणि प्रत्येक डिव्हाइस नवीन सर्व्हर प्रमाणपत्रावर विश्वास ठेवते. लिखित एग्झिट टेस्टसह प्रत्येक साइट IEEE 802.1X अंतर्गत कटओव्हर होते. Purple वर, कटओव्हर हा सहसा वीकेंडचा सराव असतो.

मल्टी-साइट RADIUS मायग्रेशनमध्ये काय बदलते आणि काय जसे आहे तसेच राहते?

अंतिम स्थिती म्हणजे प्रत्येक साइटवर सेवा देणारी एक क्लाउड RADIUS पॉलिसी आहे, ज्यामध्ये आयडेंटिटी VLAN सेट करते. RADIUS, जे RFC 2865 मध्ये परिभाषित केले आहे, हा असा प्रोटोकॉल आहे जो तुमचे ॲक्सेस पॉइंट्स सर्व्हरला एखादे डिव्हाइस सामील होऊ शकते की नाही हे विचारण्यासाठी वापरतात. सर्व्हर डिव्हाइस स्वीकारतो किंवा नाकारतो. ते VLAN सारखे ॲट्रिब्युट्स देखील परत करू शकते, जे डिव्हाइस कोणत्या नेटवर्क सेगमेंटवर जाते ते ठरवते.

सुरक्षित नेटवर्कवर, ते एक्सचेंज पोर्ट-आधारित नेटवर्क ॲक्सेस कंट्रोलचे मानक असलेल्या IEEE 802.1X च्या आत चालते. 802.1X डिव्हाइस, ॲक्सेस पॉइंट आणि सर्व्हर दरम्यान EAP (एक्स्टेंसिबल ऑथेंटिकेशन प्रोटोकॉल) वाहून नेते. EAP-TLS, जे RFC 5216 मध्ये परिभाषित केले आहे, दोन्ही बाजूंना प्रमाणपत्रांसह ऑथेंटिकेट करते. PEAP पासवर्ड एक्सचेंजला TLS टनेलमध्ये गुंडाळते.

चार गोष्टी बदलतात:

• प्रत्येक ॲक्सेस पॉइंट किंवा कंट्रोलर नवीन सर्व्हर ॲड्रेस आणि शेअर केलेल्या सिक्रेटकडे निर्देशित करतो. RADIUS त्या डिव्हाइसला NAS (नेटवर्क ॲक्सेस सर्व्हर) म्हणते.
• EAP हँडशेक दरम्यान डिव्हाइसेसना नवीन सर्व्हर प्रमाणपत्र दिसते.
• पॉलिसी लोकल डिरेक्टरीऐवजी Microsoft Entra ID, Okta किंवा Google Workspace वरून ग्रुप्स वाचते.
• लॉग नवीन कन्सोलवर हलवले जातात.

ज्या गोष्टी जशा आहेत तशाच राहतात त्या अधिक महत्त्वाच्या आहेत. तुम्ही तुमचे ॲक्सेस पॉइंट्स, SSID नावे, VLAN IDs, स्विच ट्रंक्स आणि फायरवॉल झोन ठेवता. कोणीही पासवर्ड बदलत नाही किंवा नवीन नेटवर्कमध्ये सामील होत नाही.

हाच दृष्टीकोन Purple Access वरील सर्व तिन्ही नेटवर्कवर लागू होतो. ओपन नेटवर्कवर, अनेक कॅप्टिव्ह पोर्टल RADIUS द्वारे डिव्हाइसेसना ऑथराइज करतात. सुरक्षित नेटवर्क EAP-TLS किंवा PEAP वापरतात. xPSK नेटवर्कवर, RADIUS प्रत्येक डिव्हाइसला किंवा रहिवाशाला स्वतःची प्री-शेअर केलेली की देते. ही मार्गदर्शिका सुरक्षित नेटवर्कचे अनुसरण करते, कारण त्यामध्ये सर्वाधिक धोका असतो.

{"tone":"warning","title":"नुकसान पोहोचवणारा धोका: सर्व्हर प्रमाणपत्र विश्वास","text":"EAP-TLS किंवा PEAP वरील डिव्हाइसेस RADIUS सर्व्हर प्रमाणपत्र तपासतात आणि अनेक डिव्हाइसेस केवळ जुन्या सर्व्हरच्या सर्टिफिकेट अथॉरिटीवर विश्वास ठेवतात. पहिली साइट हलवण्यापूर्वी प्रत्येक डिव्हाइस प्रोफाइलमध्ये नवीन CA पुश करा, अन्यथा ती डिव्हाइसेस सामील होण्यात अयशस्वी होतील आणि पुन्हा प्रयत्न करत राहतील."}

एकदा तुम्ही प्रमाणपत्राच्या विश्वासाचे काम पूर्ण केले की, उर्वरित मायग्रेशन हे कॉन्फिगरेशन वर्क आणि होल्डिंग पीरियडचे असते.

टप्पा 1 च्या आधी काय खरे असले पाहिजे?

कोणतीही पॉलिसी तयार करण्यापूर्वी पाच अटी लागू असणे आवश्यक आहे. एक जरी गहाळ असल्यास, ते नंतरच्या टप्प्यात समस्या निर्माण करेल.

एक पूर्ण NAS इन्व्हेंटरी

जुन्या सर्व्हरला विनंत्या पाठवणाऱ्या प्रत्येक डिव्हाइसची सूची तयार करा. यामध्ये ॲक्सेस पॉईंट्स, वायरलेस कंट्रोलर्स, वायर्ड 802.1X करणारे स्विचेस आणि VPN गेटवे यांचा समावेश आहे. ही सूची नेटवर्क आकृतीवरून नाही, तर जुन्या सर्व्हरच्या RADIUS क्लायंट सूचीवरून तयार करा. इन्व्हेंटरीमधून NAS गहाळ असल्यास, तुम्ही टप्पा 4 मध्ये जुना सर्व्हर बंद करू शकत नाही.

पॉलिसी मॅप, एकामागून एक ओळ

जुना सर्व्हर लागू करत असलेला प्रत्येक नियम, त्याची अट, त्याचा परिणाम आणि तो परत करत असलेले ॲट्रिब्युट्स लिहून ठेवा. सामान्य ओळी याप्रमाणे दिसतात: कर्मचाऱ्यांचा गट ते कर्मचाऱ्यांची VLAN, कंत्राटदार ते प्रतिबंधित VLAN, प्रमाणपत्राद्वारे कॉर्पोरेट लॅपटॉप्स ते कॉर्पोरेट VLAN. कोणते ॲट्रिब्युट्स VLAN वाहून नेतात याची नोंद घ्या. RFC 3580 मानक संच परिभाषित करते: टनेल-टाइप, टनेल-मिडियम-टाइप आणि टनेल-प्रायव्हेट-ग्रुप-ID. काही संस्था याऐवजी व्हेंडर-विशिष्ट ॲट्रिब्युट्स वापरतात आणि तुम्ही त्यांची तंतोतंत प्रतिकृती बनवली पाहिजे.

प्रमाणपत्राची योजना

नवे सर्व्हर प्रमाणपत्र कोणते सर्टिफिकेट अथॉरिटी (CA) जारी करते ते ठरवा. मॅनेज केलेल्या डिव्हाइसेसवर, कोणत्याही साइटचे स्थलांतर होण्यापूर्वी Microsoft Intune, Jamf किंवा तुमच्या मोबाईल डिव्हाइस मॅनेजमेंट (MDM) प्लॅटफॉर्मद्वारे ते CA पुश करा. EAP-TLS साठी, नवीन सर्व्हरने तुमच्या डिव्हाइसची प्रमाणपत्रे जारी करणाऱ्या CA वर देखील विश्वास ठेवला पाहिजे.

एक ओळख स्रोत जो नवीन सर्व्हर वाचू शकतो

तुमचा ओळख प्रदाता कनेक्ट करा आणि पॉलिसी मॅपमधील प्रत्येक गट तेथे अस्तित्वात असल्याची खात्री करा. एखादा गट फक्त जुन्या सर्व्हरवरच असल्यास, आधी तो ओळख प्रदात्यामध्ये पुन्हा तयार करा.

पोहोचण्यायोग्यता, मालक आणि बदल विंडो

प्रत्येक साइटला Purple च्या ऑनबोर्डिंग दस्तऐवजीकरणातील पत्ते आणि पोर्ट्स वापरून क्लाउड सर्व्हरसाठी नेटवर्क मार्ग आवश्यक आहे. प्रत्येक साइटसाठी एका मालकाचे नाव निश्चित करा आणि साइट व्यवस्थापकांशी बदल विंडोवर संमती द्या. काहीही हलवण्यापूर्वी रोलबॅक ट्रिगर लिहून ठेवा.

{"title":"मल्टी-साइट RADIUS मायग्रेशन चेकलिस्ट","groups":[{"heading":"फेज 1 पूर्वी","items":[{"text":"जुन्या सर्व्हरची RADIUS क्लायंट लिस्ट एक्सपोर्ट करा आणि NAS इन्व्हेंटरीसोबत तिची पडताळणी करा","why":"विसरलेला NAS डीकमिशनिंग थांबवतो"},{"text":"प्रत्येक पॉलिसी नियमाचे मॅपिंग करा: अट, निकाल आणि परत पाठवलेले ॲट्रिब्युट्स"},{"text":"प्रत्येक पॉलिसी ग्रुप Microsoft Entra ID, Okta किंवा Google Workspace मध्ये अस्तित्वात असल्याची खात्री करा"},{"text":"तुमच्या MDM द्वारे मॅनेज केलेल्या डिव्हाइसेसवर नवीन सर्व्हर CA पुश करा"},{"text":"प्रत्येक साइटवर Purple च्या ऑनबोर्डिंग दस्तऐवजीकरणातील पाथ्स उघडा"},{"text":"प्रत्येक साइटनुसार एक मालक आणि चेंज विंडो निश्चित करा, आणि रोलबॅक ट्रिगरवर लिखित स्वरूपात संमती द्या"}]},{"heading":"फेज 1: बिल्ड","items":[{"text":"जुन्या सर्व्हरवर पॉलिसीमधील बदल फ्रीझ करा"},{"text":"नवीन सर्व्हरवर प्रत्येक पॉलिसी रो पुन्हा तयार करा"},{"text":"दोन्ही सर्व्हरवर प्रत्येक रो मधील एका आयडेंटिटीची चाचणी घ्या आणि रिप्लाय जुळवा"}]},{"heading":"फेज 2 आणि 3: पायलट आणि वेव्ह्स","items":[{"text":"कटओव्हरपूर्वी प्रत्येक साइटचा बेसलाइन रिजेक्ट रेट नोंदवा"},{"text":"प्रत्येक SSID वर जुन्या सर्व्हरसोबत नवीन सर्व्हर जोडा"},{"text":"नवीन सर्व्हरवर प्रत्येक डिव्हाइस क्लास ऑथेंटिकेट होत असल्याची खात्री करा"},{"text":"पुढील वेव्ह सुरू करण्यापूर्वी प्रत्येक वेव्ह एका पूर्ण बिझनेस सायकलासाठी ठेवा"}]},{"heading":"फेज 4: डीकमिशन","items":[{"text":"प्रत्येक SSID आणि NAS वरून जुना सर्व्हर काढून टाका"},{"text":"समंती दिलेल्या शांत कालावधीसाठी जुन्या सर्व्हरवर शून्याची विनंती असल्याची खात्री करा"},{"text":"तुमच्या रिटेंशन पॉलिसीअंतर्गत जुने सर्व्हर लॉग्स एक्सपोर्ट करा आणि जतन करा"},{"text":"जुन्या सर्व्हरसोबत वापरलेले शेअर केलेले सिक्रेट्स निवृत्त करा"},{"text":"रनबुक अपडेट करा आणि प्रत्येक साइटचा एग्झिट-टेस्ट रेकॉर्ड फाइल करा"}]}],"download":{"filename":"radius-migration-checklist.csv"}}

क्रमाने 4 फेजेस कोणत्या आहेत?

या प्लॅनमध्ये चार फेजेस आहेत. प्रत्येकाचा शेवट एका एग्झिट टेस्टने होतो ज्यामध्ये तुम्ही पास किंवा फेल होऊ शकता. टेस्ट पास होईपर्यंत काहीही पुढील फेजवर जात नाही, ज्यामुळे तुम्ही अचानक होणाऱ्या कटओव्हरचा धोका टाळू शकता.

{"kind":"timeline","direction":"lr","caption":"एक प्रातिनिधिक 40-साइटची मालमत्ता: चार टप्पे, प्रत्येक टप्पा एक्झिट चाचणीने पूर्ण होतो","alt":"अंदाजे 12 आठवड्यांच्या कालावधीत तयारी, नंतर टप्पा 1 बिल्ड, टप्पा 2 पायलट, टप्पा 3 वेव्हज आणि टप्पा 4 डिकमिशनिंग दाखवणारी टाइमलाइन.","nodes":[{"id":"p0","label":"टप्पा 1 च्या आधी","sub":"इन्व्हेंटरी, पॉलिसी मॅप, CA पुश, आयडेंटिटी सोर्स","tone":"neutral","when":"आठवडे 1-2"},{"id":"p1","label":"टप्पा 1: बिल्ड आणि मिरर","sub":"पॉलिसी क्लाउड RADIUS वर रीबिल्ट केली, लॅब रिप्लाय जुळतात","tone":"brand","when":"आठवडा 3"},{"id":"p2","label":"टप्पा 2: पायलट साइट","sub":"एक साइट, जुना सर्व्हर सेकंडरी म्हणून ठेवला","tone":"brand","when":"आठवडे 4-5"},{"id":"p3","label":"टप्पा 3: वेव्हज","sub":"पाच, नंतर 10, नंतर उर्वरित 24 साइट्स","tone":"brand","when":"आठवडे 6-10"},{"id":"p4","label":"टप्पा 4: डिकमिशन","sub":"जुन्या सर्व्हरवर शून्य विनंत्या, नंतर बंद करा","tone":"success","when":"आठवडे 11-12"}],"edges":[{"from":"p0","to":"p1","label":"पूर्वअटी पूर्ण झाल्या"},{"from":"p1","to":"p2","label":"लॅब रिप्लाय जुळतात"},{"from":"p2","to":"p3","label":"पायलट एक्झिट टेस्ट"},{"from":"p3","to":"p4","label":"सर्व साइट्स कट ओव्हर झाल्या"}]}

{"caption":"मल्टी-साइट RADIUS मायग्रेशनसाठी टप्पा योजना","asOf":"2026-06-10","columns":[{"key":"phase","label":"टप्पा"},{"key":"scope","label":"व्याप्ती (स्कोप)"},{"key":"owner","label":"ओनर"},{"key":"exit","label":"एक्झिट टेस्ट"}],"rows":[["टप्पा 1 च्या आधी","NAS इन्व्हेंटरी, पॉलिसी मॅप, CA पुश, आयडेंटिटी सोर्स, साइट पाथ्स","आयटी मॅनेजर सोबत आयडेंटिटी अँड ॲक्सेस लीड","प्रत्येक NAS सूचीबद्ध, आयडेंटिटी प्रोव्हायडरमधील प्रत्येक पॉलिसी ग्रुप, व्यवस्थापित उपकरणांवर नवीन CA"],["टप्पा 1: बिल्ड","क्लाउड RADIUS वर पॉलिसी रीबिल्ट केली, थेट ट्रॅफिक नाही","आयडेंटिटी अँड ॲक्सेस लीड","प्रत्येक रो मधील एका चाचणी आयडेंटिटीला जुन्या आणि नवीन सर्व्हरवरून समान रिप्लाय आणि VLAN मिळतो"],["टप्पा 2: पायलट","एक प्रातिनिधिक साइट, नवीन सर्व्हर प्रायमरी, जुना सेकंडरी","नेटवर्क आर्किटेक्ट","कोणतेही अकारण नकार नसलेला एक बिझनेस सायकल आणि नवीन सर्व्हरवर दिसलेला प्रत्येक डिव्हाइस क्लास"],["टप्पा 3: वेव्हज","उर्वरित साइट्स वाढत्या वेव्हजमध्ये, कन्सोल टेम्पलेटनुसार गटबद्ध","साइट ओनर्ससह नेटवर्क आर्किटेक्ट","पुढील टप्पा सुरू होण्यापूर्वी प्रत्येक वेव्ह पायलट एक्झिट टेस्ट उत्तीर्ण करते"],["टप्पा 4: डिकमिशन","प्रत्येक SSID आणि NAS वरून जुना सर्व्हर हटवला","आयटी मॅनेजर","शांत कालावधीसाठी जुन्या सर्व्हरवर शून्य विनंत्या, लॉग जतन केले, सिक्रेट्स निवृत्त केले"]],"footnote":"ओनर्स या भूमिका आहेत, व्यक्तींची नावे नाहीत. शांत कालावधी किमान एक री-ऑथेंटिकेशन सायकल अधिक एक बिझनेस आठवड्यासाठी सेट करा.","download":{"filename":"radius-migration-phase-plan.csv"}}

प्रत्येक टप्प्यात काय घडते?

टप्पा 1: पॉलिसी बिल्ड आणि मिरर करणे

कोणतीही लाईव्ह विनंती नवीन सर्व्हरपर्यंत पोहोचण्यापूर्वी त्यावर पॉलिसी मॅप पुन्हा तयार करा. आयडेंटिटी प्रोव्हायडर कनेक्ट करा, त्यानंतर प्रत्येक रो त्याच्या अटी, निकाल आणि परत केलेल्या ॲट्रिब्युट्ससह पुन्हा तयार करा. VLAN IDs एकसारखे ठेवा, जेणेकरून स्विच आणि फायरवॉल कॉन्फिगरेशन कधीही बदलणार नाही.

लॅबमधून प्रत्येक रो (row) ची चाचणी घ्या. wpa_supplicant प्रोजेक्टमधील eapol_test हे टूल वापरा. ते RADIUS सर्व्हरला रिअल EAP एक्सचेंज पाठवते आणि रिप्लाय प्रिंट करते. दोन्ही सर्व्हर्सविरुद्ध प्रति रो एक आयडेंटिटी रन करा आणि रिप्लाय ची तुलना करा. एक्झिट टेस्ट म्हणजे समान स्वीकार किंवा नकार आणि समान VLAN सह प्रत्येक रो वर होणारा मॅच.

टप्पा 2: एका साइटवर पायलट

सर्वात सोपी साइट नव्हे, तर तुमच्या संपूर्ण इस्टेटचे प्रतिनिधित्व करणारी साइट निवडा. यामध्ये तुम्ही वापरत असलेल्या कठीण उपकरणांसह सर्व डिव्हाइस क्लासेस असणे आवश्यक आहे. हँडहेल्ड स्कॅनर्स, WiFi वरील पेमेंट टर्मिनल्स आणि जुने लॅपटॉप्स यांचा विचार करा. तुम्हाला साइटवर अशा व्यक्तीची देखील गरज आहे जी सांगितल्यावर डिव्हाइसची चाचणी करू शकेल.

जुन्या सर्व्हरसोबत नवीन सर्व्हर जोडा, त्याची चाचणी घ्या, नंतर नवीन सर्व्हर प्रायमरी करा. एका पूर्ण बिझनेस सायकलसाठी ते तसेच राहू द्या. हॉटेलसाठी, याचा अर्थ शिफ्ट पॅटर्नचा एक आठवडा. ऑफिससाठी, याचा अर्थ सोमवार-सकाळच्या लॉगइनचा एक आठवडा. जेव्हा दोन गोष्टी सत्य असतात तेव्हा पायलट यशस्वी होतो. पहिले, नवीन सर्व्हरवर प्रत्येक डिव्हाइस क्लासचे ऑथेंटिकेशन झाले आहे. दुसरे, रिजेक्ट रेट तुमच्या बेसलाइनपेक्षा वाईट नाही.

टप्पा 3: टप्प्याटप्प्याने (waves) संपूर्ण इस्टेट हलवा

पूर्वीचे टप्पे पार पडत असताना प्रत्येक पुढील टप्पा आधीच्या टप्प्यापेक्षा मोठा करा. 40-साइटची इस्टेट एक पायलट साइट, नंतर पाच, नंतर 10 आणि नंतर उर्वरित 24 साइट्स हलवू शकते. प्रत्येक टप्प्याचे कन्सोल टेम्पलेट किंवा ग्रुपनुसार ग्रुपिंग करा, जेणेकरून एक बदल त्यातील प्रत्येक साइटपर्यंत पोहोचेल. Meraki कॉन्फिगरेशन टेम्पलेट्स, Juniper Mist WLAN टेम्पलेट्स आणि HPE Aruba सेंट्रल ग्रुप्स हे सर्व या पद्धतीस अनुकूल आहेत.

साइटवरील कर्मचारी उपस्थित असताना कट ओव्हर करा, पहाटे 3 वाजता नाही. असा बदल ज्याची कोणीही सकाळी ६ वाजेपर्यंत चाचणी करत नाही, तो तुम्ही चाचणी न केलेला बदल आहे. इतर नेटवर्क बदल त्याच विंडोमध्ये एकत्र करणे टाळा.

टप्पा 4: जुना सर्व्हर डीकमिशन करा

इन्व्हेंटरीमधील प्रत्येक SSID आणि प्रत्येक NAS मधून जुना सर्व्हर काढून टाका, त्यानंतर त्याच्या लॉग्सवर लक्ष ठेवा. रिक्वेस्ट्स शून्य झाल्या पाहिजेत. अजूनही येणारी कोणतीही रिक्वेस्ट तुम्ही चुकवलेल्या NAS कडून येते. शांतता कालावधी (quiet period) कमीत कमी एका रि-ऑथेंटिकेशन सायकलसह एक बिझनेस वीक चालू ठेवा. त्यानंतर तुमच्या रिटेंशन पॉलिसीनुसार लॉग्स एक्सपोर्ट करा, सर्व्हर बंद करा आणि त्याचे शेअर सिक्रेट्स निवृत्त करा.

कार्य केलेले उदाहरण: Cisco Meraki वर चालणारा 40-हॉटेल्सचा समूह

Cisco Meraki वर कर्मचाऱ्यांचे WiFi चालवणारा 40-हॉटेल्सचा समूह घ्या. तो हेड ऑफिसमधील ऑन-प्रिमाइसेस RADIUS सर्व्हरविरुद्ध PEAP वापरतो. प्रत्येक रिक्वेस्ट एका बिल्डिंगच्या WAN वरून जाते, त्यामुळे हेड-ऑफिसमधील आउटेजमुळे प्रत्येक हॉटेलमधील कर्मचाऱ्यांचे WiFi बंद होते.

हा समूह पहिल्या आठवड्यात त्यांच्या MDM द्वारे नवीन CA पुश करतो. तो Microsoft Entra ID विरुद्ध क्लाउड RADIUS वर पाच पॉलिसी रोज पुन्हा तयार करतो, नंतर 120-रुम्सच्या एका सिटी हॉटेलमध्ये पायलट करतो. यानंतर पाच, 10 आणि 24 हॉटेल्सचे टप्पे येतात, ज्यातील प्रत्येक एक Meraki कॉन्फिगरेशन टेम्पलेट आहे. एका हॉटेलची सिस्टीम एका दुपारसाठी रोल बॅक केली जाते कारण हाऊसकीपिंग टॅब्लेट केवळ जुन्या CA वर विश्वास ठेवतो. एका आठवड्यानंतर ते पुन्हा पुढे ढकलले जाते.

निकाल:

• सर्व 40 हॉटेल्स सहा चेंज विंडोजमध्ये शिफ्ट झाली.
• एक साइट एकदा रोल बॅक झाली.
• हेड ऑफिस आता ऑथेंटिकेशन पाथमध्ये नाही.

जुने आणि नवीन RADIUS सर्व्हर्स सोबत कसे चालतात?

समांतर रनिंग हे ॲक्सेस पॉईंट्स कसे फेलओव्हर होतात यावर अवलंबून असते. NAS ही त्याच्या सूचीतील पहिल्या सर्व्हरला प्रत्येक विनंती पाठवते. पहिला सर्व्हर कालबाह्य वेळेत (टाइमआउट) उत्तर देत नाही तेव्हाच ते पुढील सर्व्हरचा प्रयत्न करते.

ॲक्सेस-रिजेक्ट हे एक उत्तर मानले जाते, ते अपयश मानले जात नाही, त्यामुळे NAS विनंतीचा इतरत्र पुन्हा प्रयत्न करणार नाही. याचे दोन परिणाम होतात:

• दोन्ही सर्व्हरने समान उत्तर दिले पाहिजे. ते भिन्न असल्यास, डिव्हाइसचा अनुभव कोणत्या सर्व्हरने उत्तर दिले यावर अवलंबून असतो.
• समांतर रनिंग हे सुरक्षेचे जाळे आहे, कोणतीही चाचणी नाही. टप्पा 1 मध्ये आणि पायलटवर धोरणाची (पॉलिसी) चाचणी घ्या. फेलओव्हर काय करतो हे पाहण्यासाठी वाट पाहून त्याची चाचणी घेऊ नका.

पहिली साइट हलवण्यापूर्वी टाइमआउट्स तपासा. क्लाउड सर्व्हर तुमच्या कॉम रूममधील सर्व्हरपेक्षा दूर असतो. प्रत्येक साइटच्या NAS टाइमआउट आणि रीट्राय सेटिंग्जची त्याच्या राउंड-ट्रिप वेळेशी तुलना करा. सेटिंग्ज खूप घट्ट असल्यास, कोणत्याही वास्तविक कारणाशिवाय विनंत्या जुन्या सर्व्हरवर फेलओव्हर होतील आणि त्यामुळे समस्या लपून राहतील. प्रमाणीकरणाच्या (ऑथेंटिकेशन) त्याच वेळी RADIUS अकाउंटिंग नवीन सर्व्हरवर हलवा, जेणेकरून सेशनच्या नोंदी एकाच ठिकाणी राहतील.

प्रत्येक साइटवरील कटओव्हर म्हणजे फक्त दोन सर्व्हरचा क्रम बदलणे. या पायऱ्या प्रत्येक साइटला लागू होतात, स्टेप 2 मध्ये व्हेंडरचे फरक दाखवले आहेत.

{"title":"फ्लॅग डे शिवाय एका साईटचे कट ओव्हर करा","steps":[{"title":"साईट तयार असल्याची पुष्टी करा","body":"मायग्रेशन चेकलिस्टसह साईट तपासा: NAS सूचीबद्ध आहे, व्यवस्थापित उपकरणांवर नवीन CA, Purple चा मार्ग उघडा आहे, साईटवर मालक उपलब्ध आहे.","check":"साईटसाठी प्रत्येक पूर्वअट टिक केली आहे."},{"title":"जुन्या सर्व्हरसोबत नवीन सर्व्हर जोडा","body":"SSID च्या RADIUS सर्व्हर सूचीमध्ये Purple क्लाउड RADIUS जोडा, ज्यासाठी Purple द्वारे साईटसाठी जारी केलेले सामायिक केलेले सीक्रेट वापरा. आतासाठी जुना सर्व्हर पहिल्या स्थानावर राहू द्या.","check":"कन्सोल SSID समोर दोन्ही सर्व्हर दाखवतो.","variants":[{"label":"Meraki","body":"Meraki डॅशबोर्डमध्ये, SSID च्या ॲक्सेस कंट्रोल सेटिंग्जमध्ये सर्व्हर जोडा, शक्यतो कॉन्फिगरेशन टेम्पलेटमध्ये."},{"label":"Aruba","body":"HPE Aruba सेंट्रलमध्ये, WLAN वापरत असलेल्या ऑथेंटिकेशन सर्व्हर ग्रुपमध्ये सर्व्हर जोडा."},{"label":"Ruckus","body":"WLAN वापरत असलेल्या AAA सर्व्हर प्रोफाईलमध्ये दुय्यम सर्व्हर म्हणून सर्व्हर जोडा."},{"label":"Mist","body":"Juniper Mist पोर्टलमध्ये, WLAN च्या RADIUS ऑथेंटिकेशन सर्व्हरमध्ये सर्व्हर जोडा, शक्यतो WLAN टेम्पलेटमध्ये."},{"label":"UniFi","body":"UniFi नेटवर्क ॲप्लिकेशनमध्ये, WiFi नेटवर्कला नियुक्त केलेल्या RADIUS प्रोफाईलमध्ये सर्व्हर जोडा."}]},{"title":"अदलाबदल करण्यापूर्वी चाचणी करा","body":"RADIUS क्लायंट म्हणून नोंदणीकृत चाचणी होस्टवरून, नवीन सर्व्हरवर प्रत्येक पॉलिसी रोसाठी एक ओळख पाठवा.","code":{"lang":"bash","text":"eapol_test -c eap-tls.conf -a <purple-radius-address> -p 1812 -s <shared-secret>"},"check":"प्रत्येक ओळखीला पॉलिसी मॅपनुसार अपेक्षाप्रमाणे अपेक्षा असलेल्या VLAN सह Access-Accept किंवा Access-Reject मिळते."},{"title":"क्रम बदला","body":"नवीन सर्व्हर प्राथमिक करा आणि जुना सर्व्हर दुय्यम म्हणून ठेवा. हे कट ओव्हर आहे.","check":"नवीन सर्व्हर लॉग साईटवरील प्रत्येक ॲक्सेस पॉईंटवरील विनंत्या दाखवतात."},{"title":"एका बिझनेस सायकल्ससाठी थांबा","body":"रिजेक्ट रेटची तुमच्या बेसलाईनशी तुलना करा आणि प्रत्येक डिव्हाइस क्लास ऑथेंटिकेट झाल्याची पुष्टी करा.","check":"कोणतेही अस्पष्ट रिजेक्ट्स नाहीत, आणि साईट तिची एक्झिट चाचणी पास करते."}]}

तुम्ही साईट किंवा वेव्ह रोल बॅक कसे करता?

रोल बॅक करणे हे उलट क्रमाने कट ओव्हर करणे आहे: तुम्ही जुना सर्व्हर पुन्हा पहिल्या क्रमांकावर ठेवता. वरील प्रत्येक कन्सोलवर, तो एक कॉन्फिगरेशन बदल आहे. हे जुना सर्व्हर अजूनही चालू असल्यास, न बदलल्यास आणि त्याचे सामायिक सीक्रेट्स अखंड असल्यास कार्य करते. म्हणूनच डीकमिशन सर्वात शेवटी येते. म्हणूनच तुम्ही टप्पा 1 च्या सुरुवातीला जुन्या सर्व्हरवर पॉलिसी फ्रीझ करता.

तुम्ही सुरू करण्यापूर्वी ट्रिगरवर सहमत व्हा. सामान्य ट्रिगर हे आहेत:

• एक डिव्हाइस क्लास जो सामील होऊ शकत नाही आणि ज्याच्याकडे त्याच दिवशी निराकरण नाही.
• VLAN असाइनमेंट्स जे पॉलिसी मॅपपेक्षा भिन्न आहेत.
• बेसलाईनपेक्षा जास्त असलेला रिजेक्ट रेट जो तुम्ही बदल विंडोमध्ये स्पष्ट करू शकत नाही.

{"title":"वेव्ह पुढे न्या, थांबवा किंवा रोल बॅक करा","start":"q1","nodes":[{"id":"q1","question":"जुन्या सर्व्हरवर पास झालेला कोणताही डिव्हाइस क्लास नवीन सर्व्हरवर फेल होत आहे का?","help":"कटओव्हरपूर्वी तुम्ही नोंदवलेल्या बेसलाइनसह डिव्हाइस प्रकारानुसार रिजेक्ट्सची तुलना करा.","options":[{"label":"होय","to":"q2"},{"label":"नाही","to":"q3"}]},{"id":"q2","question":"ही अडचण केवळ ज्ञात फिक्स असलेल्या एका डिव्हाइस क्लासपुरती मर्यादित आहे का?","help":"एका प्रोफाइलमध्ये गहाळ CA हा ज्ञात फिक्स आहे. अनेक क्लासेसमधील रिजेक्ट्स असे नसतात.","options":[{"label":"होय","to":"o2"},{"label":"नाही","to":"o3"}]},{"id":"q3","question":"वेव्हमधील प्रत्येक साइटवर प्रत्येक टेस्ट आयडेंटिटी अपेक्षित VLAN वर लँड होत आहे का?","options":[{"label":"होय","to":"q4"},{"label":"नाही","to":"o3"}]},{"id":"q4","question":"कोणत्याही अस्पष्ट रिजेक्ट्सशिवाय वेव्हने एक पूर्ण बिझनेस सायकल पूर्ण केली आहे का?","options":[{"label":"होय","to":"o1"},{"label":"नाही","to":"o2"}]},{"id":"o1","outcome":"पुढे जा: पुढील वेव्ह सुरू करा","detail":"प्रत्येक साइटनुसार एक्झिट टेस्ट निकालाची नोंद करा आणि पुढील वेव्ह शेड्यूल करा.","link":"[प्रत्येक ठिकाणासाठी एकच पॉलिसी](guide:cloud-radius-multi-site)"},{"id":"o2","outcome":"होल्ड करा: समस्येचे निवारण करा, नंतर पुन्हा चाचणी घ्या","detail":"फक्त प्रभावित SSID वर जुना सर्व्हर प्रथम ठेवा, प्रोफाइल किंवा नियम सुधारा आणि एक्झिट टेस्ट पुन्हा रन करा."},{"id":"o3","outcome":"वेव्ह रोल बॅक करा","detail":"वेव्हमधील प्रत्येक SSID वर जुना सर्व्हर प्रथम ठेवा, दोन्ही सर्व्हरवरून लॉग्स कलेक्ट करा आणि पुन्हा प्रयत्न करण्यापूर्वी याचे कारण शोधा.","link":"[जेव्हा RADIUS पोहोचण्यायोग्य नसतो](guide:radius-server-down-wifi)"}]}

कोणत्याही रोलबॅकनंतर, फेल झालेल्या वेळेसाठी दोन्ही सर्व्हरवरून लॉग्स एक्सपोर्ट करा. मूळ कारण शोधून नवीन पॉलिसीमध्ये दुरुस्त करा. त्यानंतर साइट पुन्हा शिफ्ट करण्यापूर्वी प्रभावित रोसाठी फेज 1 लॅब टेस्ट पुन्हा रन करा.

मायग्रेशन पूर्ण झाले आहे हे तुम्हाला कसे समजेल?

शेवटची साइट शिफ्ट झाल्यावर नाही, तर जेव्हा पुरावे तसे सांगतात तेव्हा मायग्रेशन पूर्ण होते. पाच चाचण्या हे पूर्ण करतात:

1. ठरवलेल्या शांत कालावधीसाठी जुन्या सर्व्हरने शून्य विनंत्या लॉग केल्या आहेत.
2. इन्व्हेंटरीमधील प्रत्येक NAS नवीन सर्व्हरच्या लॉगमध्ये दिसतो.
3. एका रिअल डिव्हाइसने प्रत्येक पॉलिसी रो वापरून पाहिली आहे आणि अपेक्षित VLAN वर लँड झाली आहे.
4. रिजेक्ट रेट फेज 2 पूर्वी तुम्ही रेकॉर्ड केलेल्या बेसलाइनवर किंवा त्यापेक्षा कमी आहे.
5. जुना सर्व्हर बंद आहे, त्याचे लॉग्स सुरक्षित ठेवले आहेत, त्याचे सिक्रेट्स निवृत्त केले आहेत आणि रनबुक अपडेट केले आहे.

प्रत्येक साइटसाठी तारीख, एक्झिट टेस्ट निकाल आणि कोणत्याही रोलबॅकसह एक-पानाचा रेकॉर्ड ठेवा. नवीन ऑथेंटिकेशन लॉग्ससह, ते रेकॉर्ड ISO 27001 ॲक्सेस कंट्रोल आणि PCI-DSS लॉगिंग कंट्रोल्ससाठी तुमचे पुरावे आहेत. ते पुढील ऑडिट सायकलसाठी चेंज कंट्रोल पुरावे म्हणून देखील काम करतात.

प्रत्यक्ष कामात आढळलेले फेल्युअर मोड्स

फक्त जुन्या सर्टिफिकिटवर विश्वास ठेवणारी डिव्हाइसेस

हे सर्वात सामान्य फेल्युअर आहे. अनमॅनेज्ड PEAP डिव्हाइसेस नवीन सर्टिफिकिटसाठी विचारू शकतात किंवा ते पूर्णपणे नाकारू शकतात. काही मॅनेज्ड प्रोफाईल्स CA सोबत सर्व्हरचे नाव देखील पिन करतात. पायलट करण्यापूर्वी दोन्ही तपासा.

कोणाच्याही यादीत नसलेला NAS

विसरलेले नियंत्रक (controllers), वायर्ड 802.1X स्विचेस आणि VPN गेटवे मुळे WiFi हलवल्यानंतरही जुना सर्व्हर बऱ्याच काळासाठी व्यस्त राहतो. टप्पा 4 मधील शांततेचा कालावधी (quiet period) तुम्हाला ते शोधण्यात मदत करतो.

जुन्या सर्व्हरवर असलेली पॉलिसी

स्थानिक गट, हार्ड-कोड केलेल्या MAC माग्या आणि दिवसाच्या वेळेनुसार असणारे नियम बऱ्याचदा फक्त जुन्या सर्व्हरवरच अस्तित्वात असतात. जर ते पॉलिसी मॅपमध्ये नसतील, तर कटओव्हरच्या वेळी ते नाहीसे होतात.

सामायिक गुप्त कोड (Shared secret) आणि ॲट्रिब्यूटमधील विसंगती

काही कन्सोलवर चुकीचा गुप्त कोड टाकल्यास कोणतीही सूचना न मिळता ते अपयशी ठरते. ID ऐवजी नावाने परत आलेला VLAN उपकरणांना डीफॉल्ट VLAN वर आणू शकतो. हे दोन्ही टप्पा 1 च्या चाचणीत दिसले पाहिजेत आणि पायलट दरम्यान तुम्ही पुन्हा तपासले पाहिजेत.

इमारतीतील सर्व्हरसाठी ट्यून केलेले टाइमआउट्स

NAS वरील कमी वेळ ठरवून दिलेले टाइमआउट्स जुन्या सर्व्हरवर विनाकारण फेलोव्हर निर्माण करतात. जुना सर्व्हर काढून टाकेपर्यंत सर्व काही व्यवस्थित चालत असल्याचे दिसते.

प्रत्यक्ष उदाहरण: दोन कन्सोलवरील 120-स्टोअर किरकोळ विक्रेता

HPE Aruba वर जुनी स्टोअर्स आणि Juniper Mist वर नवीन स्टोअर्स असलेला 120-स्टोअरचा एक किरकोळ विक्रेता घ्या. स्टोअरमधील हँडहेल्ड उपकरणे आणि लॅपटॉप ऑन-प्रिमाइसेस RADIUS सर्व्हरच्या जोडीविरुद्ध EAP-TLS वापरतात. पायलट आणि वेव्हज Aruba Central ग्रुप आणि Mist WLAN टेम्पलेटनुसार गटबद्ध होऊन सुरळीत होतात.

टप्पा 4 मध्ये, प्रत्येक SSID हलवल्यानंतरही जुने सर्व्हर तीन पत्त्यांवरून येणाऱ्या विनंत्यांची नोंद करत राहतात. दोन स्टोअर इस्टेटच्या बाहेरील डिस्ट्रीब्यूशन-सेंटर नियंत्रक आहेत. तिसरा मुख्य कार्यालयाच्या लॅपटॉपसाठी एक VPN गेटवे आहे. टीम तिन्ही पत्त्यांना इन्व्हेंटरीमध्ये जोडते, त्यांना एका अतिरिक्त विंडोमध्ये हलवते आणि शांततेचा कालावधी (quiet period) पुन्हा सुरू करते. डीकमिशनिंग कोणत्याही स्टोअरमध्ये आउटेज न होता दोन आठवडे उशिरा पूर्ण होते.

Purple कुठे उपयुक्त ठरते

Purple Access तुमच्याकडे आधीपासून असलेल्या ॲक्सेस पॉइंट्सचा वापर करून एकाच प्लॅटफॉर्मवर ओपन, सुरक्षित आणि xPSK नेटवर्क चालवते. secure network हे मायग्रेशन पार पाडते. हे क्लाउड RADIUS, EAP-TLS आणि Microsoft Entra ID, Okta किंवा Google Workspace कडून ओळख (identity) प्रदान करते. हे Passpoint ला देखील सपोर्ट करते, ज्याला Hotspot 2.0 देखील म्हणतात, जे उपकरणांना क्रेडेंशियलसह स्वयंचलितपणे सुरक्षित नेटवर्कमध्ये समाविष्ट होऊ देते. Purple हे हार्डवेअर-अग्नोस्टिक आहे, त्यामुळे एकच पॉलिसी या प्लॅटफॉर्मवरील साइट्ससाठी पुरेशी ठरते:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme
• Fortinet

याचा अर्थ असा की मिश्र इस्टेट एकाच योजनेवर मायग्रेट होऊ शकते.

Purple जगात सर्वात मोठे क्लाउड RADIUS चालवते. 99.999% अपटाइमवर चालणाऱ्या प्लॅटफॉर्मवर हे 99.9% RADIUS अपटाइम SLA सह येते. टप्पा 2 सुरू होण्यापूर्वी Purple कडील बाजू तयार केली जात असल्याने, प्रत्येक साइटचा कटओव्हर हा सहसा वीकेंडचा सराव असतो. टप्प्याटप्प्याने होणारी ही प्रक्रिया तुमच्या इस्टेटमधील धोके व्यवस्थापित करण्यासाठी आहे, आमच्या प्लॅटफॉर्मवरील नाही.

{"items":[{"value":"80,000+","label":"थेट ठिकाणे","note":"Purple चा स्वतःचा डेटा"},{"value":"90","label":"देश"},{"value":"99.9%","label":"RADIUS अपटाइम SLA","note":"99.999% वर चालणाऱ्या प्लॅटफॉर्मवर"}]}

{"tone":"proof","title":"शाखांच्या स्तरावर कर्मचारी WiFi","text":"JPMorgan 5,000 शाखांमध्ये Purple वर कर्मचाऱ्यांचे WiFi चालवते."}

उत्पाद तपशीलासाठी Purple Access वर क्लाउड RADIUS आणि व्यापक नियंत्रण संचासाठी एंटरप्राइज WiFi सुरक्षा मार्गदर्शक पहा. गेस्ट मार्केटिंग Engage मध्ये आहे आणि DNS फिल्टरिंग Shield मध्ये आहे. RADIUS मायग्रेशनदरम्यान दोन्हीमध्ये कोणताही बदल होत नाही.

वारंवार विचारले जाणारे प्रश्न

मल्टी-साइट RADIUS मायग्रेशनसाठी किती वेळ लागतो?

संपूर्ण नेटवर्कसाठी काही आठवडे आणि प्रति साइट एक वीकेंडचे नियोजन करा. Purple वर, प्रत्येक साइटचे कटओव्हर सामान्यतः वीकेंडला केले जाते. संपूर्ण नेटवर्कसाठी अधिक वेळ लागतो कारण पुढील टप्पा सुरू होण्यापूर्वी प्रत्येक टप्पा एका व्यवसाय चक्रासाठी थांबवला जातो. उदाहरण म्हणून, 40-साइट्सचे नेटवर्क इन्व्हेंटरीपासून ते डीकमिशनपर्यंत सुमारे 12 आठवडे घेते. यातील बहुतांश वेळ तयारी आणि होल्डिंग कालावधीमध्ये जातो, बदलाच्या कामात नाही.

क्लाउड RADIUS कडे जाण्यासाठी मला नवीन ॲक्सेस पॉइंट्सची गरज आहे का?

नाही. क्लाउड RADIUS तुमचे ॲक्सेस पॉइंट्स ज्या सर्व्हरला विनंती पाठवतात तो सर्व्हर बदलते, स्वतः ॲक्सेस पॉइंट्स नाही. Purple हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet सोबत कार्य करते. तुम्ही आधीपासून वापरत असलेल्या कन्सोलमध्ये प्रत्येक SSID च्या RADIUS सर्व्हर सूचीमध्ये नवीन सर्व्हर जोडता. तुमचे SSIDs, VLAN IDs आणि स्विच कॉन्फिगरेशन जसे आहेत तसेच राहतात.

मी अनेक साइट्सवर क्लाउड RADIUS च्या खर्चाचे मॉडेलिंग कसे करावे?

दोन संख्यांवर त्याचे मॉडेल तयार करा: साइट्स आणि आयडेंटिटीज. ऑथेंटिकेट होणाऱ्या प्रत्येक साइटची आणि जॉइन होणाऱ्या प्रत्येक आयडेंटिटीची गणना करा, ज्यामध्ये EAP-TLS वरील उपकरणांचा समावेश आहे. त्यानंतर जुन्या सर्व्हरच्या पूर्ण खर्चाशी त्याची तुलना करा: हार्डवेअर, लायसन्स, पॅचिंग, हाय अवेलेबिलिटी आणि हेड ऑफिसचा WAN पाथ. आमचे प्रति साइट क्लाउड RADIUS खर्चाचे मॉडेलिंग मार्गदर्शक या गणनेची सविस्तर माहिती देते.

मायग्रेशननंतर मी जुना RADIUS सर्व्हर फॉलबॅक म्हणून ठेवू शकतो का?

पॅरलल रनिंग दरम्यान तो सुरू ठेवा आणि नंतर तो बंद करा. तो दुय्यम म्हणून सूचीबद्ध असेपर्यंत, तो अजूनही टप्प्यांमध्ये असलेल्या साइट्सवरील टाइमआउट्स समाविष्ट करतो. टप्पा 4 नंतर, जुन्या पॉलिसीची फ्रोजन प्रत असलेला सर्व्हर धोकादायक ठरतो, कारण त्याने दिलेला कोणताही प्रतिसाद जुने नियम वापरतो. त्यानंतर, ९९.९% RADIUS अपटाइम SLA आणि आउटेज रिकव्हरी प्लॅन कडून लवचिकता मिळते.

कर्मचाऱ्यांना त्यांची उपकरणे पुन्हा एनरोल करावी लागतील का?

कटओव्हरपूर्वी नवीन सर्व्हर सर्टिफिकेट विश्वसनीय असल्यास नाही. बिल्ड फेजदरम्यान तुमच्या MDM द्वारे व्यवस्थापित उपकरणांवर नवीन CA पुश करा. नवीन सर्व्हरने त्यांना जारी केलेल्या CA वर विश्वास ठेवल्यास, EAP-TLS उपकरणे त्यांचे विद्यमान क्लायंट सर्टिफिकेट्स ठेवतात. अनमॅनेज्ड PEAP उपकरणे याला अपवाद आहेत, कारण त्यातील काही नवीन सर्टिफिकेट स्वीकारण्यासाठी एकदा प्रॉम्ट करतात. त्या कर्मचाऱ्यांना त्यांची साइट हलवण्यापूर्वी एक छोटी सूचना पाठवा.

या मायग्रेशनचा आमच्या ISO 27001 किंवा PCI DSS पुराव्यावर परिणाम होतो का?

हे तुमचे पुरावे कोठून येतात ते बदलते, त्यामुळे सुरुवातीपासूनच त्याचे नियोजन करा. ऑथेंटिकेशन लॉग्स, पॉलिसी व्याख्या आणि चेंज रेकॉर्ड्स नवीन प्लॅटफॉर्मवर हलवले जातात. तुमच्या रिटेंशन पॉलिसीअंतर्गत जुन्या सर्व्हरचे लॉग्स जतन करा आणि प्रत्येक साइटचा एग्झिट-टेस्ट रेकॉर्ड फाइल करा. Purple कडे ISO 27001 प्रमाणपत्र आहे, जे तुमच्या ऑडिटर्सना प्लॅटफॉर्मच्या बाजूचे पुरावे देते. तुमच्या स्वतःच्या नियंत्रणांसाठी अद्याप त्यांच्या स्वतःच्या पुराव्याची आवश्यकता असते.

अनेक इस्टेट्स चालवणाऱ्या MSP साठी हे कसे वेगळे आहे?

फेजेस समान आहेत. इस्टेट्समधील आयसोलेशनमध्ये फरक आहे. MSP प्रत्येक इस्टेटसाठी समान चार फेजेस चालवतो, परंतु प्रत्येकाला सामायिक प्लॅटफॉर्मवर स्वतःचे पॉलिसी, आयडेंटिटी सोर्स आणि लॉग्स आवश्यक असतात. वेव्ह्स सहसा कन्सोल टेम्पलेट्स ऐवजी कराराच्या सीमेचे अनुसरण करतात. MSP साठी आमच्या मल्टी-टेनंट RADIUS मार्गदर्शक मध्ये स्थलांतरादरम्यान आणि नंतर प्रत्येक इस्टेट स्वतंत्र कशी ठेवावी हे समाविष्ट आहे.