RADIUS और WiFi प्रमाणीकरण कैसे काम करता है, इस पर शुरुआती सवाल

Question

मैं दक्षिण अफ्रीका के एक हाई स्कूल में एक Microsoft नेटवर्क पर चल रहा एक नेटवर्क व्यवस्थापक हूं। हमारे पास परिसर में लगभग 150 पीसी हैं, जिनमें से कम से कम 130 नेटवर्क पर वायर्ड हैं। शेष कर्मचारी लैपटॉप हैं। सभी आईपी पते एक डीएचसीपी सर्वर का उपयोग करके असाइन किए गए हैं।

वर्तमान में, हमारे वाई-फाई की पहुंच कुछ स्थानों तक सीमित है जहां वे कर्मचारी स्थित हैं। हम एक लंबी कुंजी के साथ WPA का उपयोग कर रहे हैं जो छात्रों के लिए उपलब्ध नहीं है। मेरी जानकारी के लिए, यह कुंजी सुरक्षित है।

हालांकि, RADIUS प्रमाणीकरण का उपयोग करने के लिए यह अधिक समझ में आता है, लेकिन मेरे पास कुछ प्रश्न हैं कि यह व्यवहार में कैसे काम करता है।

1. क्या डोमेन में जोड़ी जाने वाली मशीनें स्वचालित रूप से वाई-फाई नेटवर्क के लिए प्रमाणित होंगी? या यह उपयोगकर्ता-आधारित है? क्या यह दोनों हो सकता है?
2. यदि PSPIUS प्रमाणीकरण का उपयोग करता है तो क्या PSP / iPod टच / ब्लैकबेरी / etc जैसे डिवाइस वाईफाई नेटवर्क से कनेक्ट हो पाएंगे? मैं चाहूंगा कि ऐसा हो।

मेरे पास WAP हैं जो RADIUS प्रमाणीकरण का समर्थन करते हैं। मैं सिर्फ एक MS 2003 सर्वर से RADIUS कार्यक्षमता को चालू करने की आवश्यकता होगी।

मोबाइल-डिवाइस की आवश्यकता को देखते हुए, क्या कैप्टिव-पोर्टल का उपयोग करना बेहतर होगा? मैं हवाई अड्डों में अनुभव से जानता हूं कि यह किया जा सकता है (यदि डिवाइस में ब्राउज़र है)।

जो मुझे कैप्टिव पोर्टल्स के बारे में प्रश्न लाता है:

1. क्या मैं कैप्टिव पोर्टल को केवल वाई-फाई से जुड़े उपकरणों तक सीमित कर सकता हूं? मैं विशेष रूप से सभी मौजूदा नेटवर्क मशीनों के लिए मैक एड्रेस अपवादों को स्थापित नहीं करना चाहता (मेरी समझ में, यह सिर्फ मैक एड्रेस स्पूफिंग के अवसर को बढ़ाता है)।
2. यह कैसे किया जाता है? क्या मेरे पास WiFi एक्सेस डिवाइस के लिए एक अलग एड्रेस रेंज है और फिर दोनों नेटवर्क के बीच कैप्टिव पोर्टल रूट होगा? यह जोर देना महत्वपूर्ण है कि WAP अन्य मशीनों के साथ एक भौतिक नेटवर्क साझा करते हैं जिन्हें बंदी-पोर्टल नहीं किया जाना है।

आपके अनुभव और अंतर्दृष्टि की सराहना की जाएगी!

फिलिप

संपादित करें: कैप्टिव पोर्टल संभव है या नहीं इस पर थोड़ा और स्पष्टता प्राप्त करने के लिए, मैंने यह प्रश्न पूछा है ।

Answer 1

वाईफ़ाई के लिए उपयोगकर्ता प्रमाणीकरण 802.1x प्रोटोकॉल का उपयोग करता है।
कनेक्ट करने के लिए डिवाइसों को WPA सप्लिमेंट की आवश्यकता होती है जैसे SecureW2।
आपके द्वारा उपयोग किए जाने वाले निरूपक के आधार पर आप विंडोज़ डोमेन लॉगिन / पासवर्ड के साथ SSO का उपयोग कर पाएंगे या नहीं कर पाएंगे।
iPhone और iPod टच WPA सप्लीमेंट में बनाए गए हैं। मैं PSP / BB के लिए नहीं जानता। SecureW2 में एक विंडोज़ मोबाइल संस्करण है।

मुझे यकीन है कि आप बिना आईपी नेटवर्क बनाए ही वाईफाई के लिए कैप्टिव पोर्टल को सक्षम कर सकते हैं। आपको बस एक vlan में वायरलेस एक्सेस और दूसरी vlan में वायर्ड एक्सेस को डालने की आवश्यकता है, फिर दोनों vlan के बीच में पोर्टल को रखें। यह एक पारदर्शी फ़ायरवॉल की तरह है।

802.1x को कंप्यूटर पर एक सहायक होना चाहिए। यदि जिन कंप्यूटरों में Wifi का उपयोग करने की आवश्यकता होती है, वे जानते हैं कि आपको बस उन पर उपचारात्मक सेटअप करना है और यह एक शानदार समाधान है। यदि आप अपने वायरलेस एक्सेस को विजिटर या इस तरह की चीजों द्वारा सुलभ बनाना चाहते हैं, तो यह एक बुरा सपना हो सकता है क्योंकि उन्हें सहायक उपकरण आदि की आवश्यकता होती है।

एक कैप्टिव पोर्टल थोड़ा कम सुरक्षित है और प्रत्येक बार कनेक्ट होने पर उपयोगकर्ता को मैन्युअल रूप से प्रमाणित करने की आवश्यकता होती है। यह थोड़ा बोरिंग हो सकता है।

मेरे दृष्टिकोण से एक अच्छा समाधान भी दोनों है। 802.1x का उपयोग जो आपको वैसा ही देता है जैसे कि आपको लैन पर रखा गया था और एक कैप्टिव पोर्टल जो आपको कम चीजों तक पहुंच देता है (इंटरनेट पोर्ट 80 तक पहुंच, स्थानीय लैन तक सीमित पहुंच ...)

Answer 2

मेरे पास थोड़ा सा WIFI का अनुभव है - कई कैंपस में तैनाती की है: सिटी ऑफ लास वेगास, मिशिगन यूनिवर्सिटी, विभिन्न होटल और अपार्टमेंट कॉम्प्लेक्स ...।

आपके क्लाइंट सीधे RADIUS सर्वर से बात नहीं करते हैं। एपी (एक्सेस प्वाइंट) जो 802.1x सक्षम है वह क्लाइंट की ओर से करता है। वास्तव में, आपको 802.1x कार्यान्वयन का समर्थन करने के लिए RADIUS की आवश्यकता नहीं है।

1. क्या मैं कैप्टिव पोर्टल को केवल वाई-फाई से जुड़े उपकरणों तक सीमित कर सकता हूं? मैं विशेष रूप से सभी मौजूदा नेटवर्क मशीनों के लिए मैक एड्रेस अपवादों को स्थापित नहीं करना चाहता (मेरी समझ में, यह सिर्फ मैक एड्रेस स्पूफिंग के अवसर को बढ़ाता है)।

मैक स्पूफिंग केवल एक ग्राहक सहयोगियों के बाद किया जा सकता है। इसलिए आपकी चिंता यहाँ नहीं होनी चाहिए क्योंकि पहले बिना WIFI नेटवर्क पर कोई भी खराब नहीं हो सकता है। आप WPA या WPA2 और अन्य के माध्यम से एसोसिएशन को नियंत्रित करते हैं ...

2. यह कैसे किया जाता है? क्या मेरे पास WiFi एक्सेस डिवाइस के लिए एक अलग एड्रेस रेंज है और फिर दोनों नेटवर्क के बीच कैप्टिव पोर्टल रूट होगा? यह जोर देना महत्वपूर्ण है कि WAP अन्य मशीनों के साथ एक भौतिक नेटवर्क साझा करते हैं जिन्हें बंदी-पोर्टल नहीं किया जाना है।

आप ऐसा कर सकते हैं लेकिन मुझे यकीन नहीं है कि आप क्या हासिल करना चाहते हैं? आपको ऐसा क्यों लगता है कि आपको अपने वायर्ड क्लाइंट्स से WIFI एक्सेस को अलग करने की आवश्यकता है? नोट: VLANS एक सुरक्षा उपाय नहीं है !!!

आपका समाधान इस बात पर निर्भर करता है कि आपके पास किस प्रकार के एपी हैं और यदि वे डब्ल्यूपीए 2 का समर्थन करते हैं। यह मानते हुए कि वे करते हैं, मैं जो करूंगा वह आपकी स्थिति में दो चीजों में से एक है:

WPA-PSK तैनात करें और समूह नीतियों और फ़ायरवॉल के माध्यम से LAN एक्सेस को नियंत्रित करें। मैं वाईफ़ाई "ज़ोन" को भी सबनेट कर दूंगा और आपको किसी भी आंतरिक फ़िल्टरिंग के लिए राउटर एसीएल का उपयोग करना होगा। NTLM इन दिनों बहुत सुरक्षित है। यह मेरा पहला दृष्टिकोण होगा। यदि ऐसे कारण हैं जो आप ऐसा नहीं कर सकते, तो आपने अपनी मूल पोस्ट में इतना विस्तार क्यों नहीं किया है कि क्यों ...

मेरा दूसरा दृष्टिकोण फिर 802.1x को देखेगा - यह आपकी आवश्यकताओं के लिए ओवरकिल होगा जैसा कि वर्णित है लेकिन जब कोई कर्मचारी कंपनी छोड़ता है आदि के लिए व्यवस्थापक को आसानी होगी ... यदि वे छोड़ने पर अपने लैपटॉप में बदल जाते हैं, तो विकल्प -1 (WPA-PSK) काफी अच्छा लगता है। यदि आप अपने आप में डालने के बजाय पीएसके को बाहर कर देते हैं, तो यह विकल्प पसंद किया जाता है - मुझे लगता है।

यहां तक ​​कि अगर अंतिम उपयोगकर्ता किसी भी तरह पीएसके को बाहरी लोगों के साथ साझा करते हैं, तो आपके लैन एंड पॉइंट अभी भी एनटीएलएम, एसीएल और फायरवॉल के माध्यम से सुरक्षित हैं ...