Kysymyksiä ja vastauksia RADIUSaaS:sta
Tämän sivuston kaikkien sivujen kysymykset koottuna aiheittain. Jokaisella vastauksella on oma linkki, jonka voit lähettää suoraan kollegallesi.
Mitä verkkoympäristösi tarvitsee
01Korvaa RADIUSaaS NPS:n?
Kyllä. RADIUSaaS on RADIUS-palvelin Wi-Fi-, langallinen 802.1X- ja VPN-verkoillesi: tukiasemasi, kytkimesi ja VPN-yhdyskäytäväsi lähettävät pyyntönsä instanssiisi NPS:n sijaan, ja laitteet todentautuvat MDM:n jakamalla sertifikaatilla ilman taustalla olevaa Active Directory -tiliä. Tätä Entra-liitetyt laitteet tarvitsevat, sillä NPS tarkistaa laitesertifikaatin Active Directoryn tietokonetiliä vasten. Hybridiliitetyt laitteet, joilla on käytössä device writeback, voivat toimia NPS:n kanssa, mutta writeback voi viivästyä ja Windows Autopilot -provisiointi törmää ajoitusongelmaan, joten emme suosittele rakentamaan sen varaan. Laitteet, jotka eivät voi käyttää sertifikaattia, saavat tilin RADIUSaaS-palvelussa.
02Tarvitsemmeko palvelimen, laitteen tai agentin jonnekin?
Ei. RADIUSaaS toimii omissa klustereissamme, ja tukiasemasi ja kytkimesi tavoittavat sen internetin kautta joko suoraan RadSec-yhteydellä tai RADIUSaaS-proxyn kautta. Laitteilla ei tarvita muuta kuin MDM:n jo jakama sertifikaatti ja verkkoasetus.
03Mitä kannattaa vertailla pilvi-RADIUS-palveluiden välillä?
Kysy, saatko dedikoidan instanssin, miten RadSec-tuen puuttuvat laitteet yhdistävät, miten peruutus tarkistetaan ja mitä lisenssimäärät kattavat. RADIUSaaS tarjoaa jokaiselle asiakkaalle dedikoidan instanssin, jolla on oma RadSec-palvelin dedikoidulla julkisella IP-osoitteella, oma portaali ja erillinen lokitila, sekä yhdistää vain RADIUS-protokollaa puhuvat laitteet kiinteillä IP-osoitteilla varustettujen proxyjen kautta. Se tarkistaa peruutuksen CA-kohtaisesti OCSP:n tai CRL:n avulla; kun SCEPman on CA, poistettujen laitteiden sertifikaatit peruutetaan automaattisesti. Lisensointi on käyttäjäkohtaista, alkaen 50 käyttäjästä.
04Tukiasemamme puhuvat vain RADIUS-protokollaa. Onko se riittävän turvallista?
Kyllä. Tukiaseman ja proxyn välillä RADIUS suojaa pyynnön jaetulla salaisuudella, ja sertifikaatin tai salasanan sisältävä osa sijaitsee TLS-salatun EAP-tunnelin sisällä. Proxylta eteenpäin kaikki kulkee RadSec-yhteydellä. Sertifikaateilla mitään salaisuutta ei ylitä verkkoa kummallakaan osuudella.
05Voimmeko käyttää MAC-todennuksen ohitusta vanhoille laitteille?
Kyllä, MAB-to-EAP-muodossa: kytkin todentaa laitteen puolesta PEAP-MSCHAPv2- tai EAP-TTLS-PAP-protokollalla käyttäen MAC-osoitetta käyttäjätunnuksena ja salasanana. Anna näille laitteille varasääntö, joka ohjaa ne VLAN-verkkoon rajoitetuin käyttöoikeuksin. Klassinen MAB PAP- tai CHAP-protokollan kautta ei toimi.
Kirjautuminen ja varmenteiden peruutus
01Voivatko käyttäjät kirjautua Wi-Fi-verkkoon Entra ID -salasanallaan?
Ei, ja se on tietoinen valinta. Salasanakirjautuminen toimii vain RADIUSaaS-palveluun luoduilla tileillä laitteille, jotka eivät voi käyttää sertifikaattia. Hakemistosalasanojen välittäminen verkon kautta kasvattaa hyökkäyspintaa; sertifikaateilla mitään salaisuutta ei liiku lainkaan.
02Mitä tapahtuu, jos OCSP-vastaajamme kaatuu?
Pehmeä virhe päällä, oletuksena, ihmiset jatkavat kirjautumista, ja RADIUSaaS jo peruutetuiksi tietämänsä sertifikaatit pysyvät hylättyinä. Kytke pehmeä virhe pois päältä jonkin CA:n osalta, jos haluat mieluummin estää pääsyn kuin sallia todentamattomia. Peruutusluettelot eivät tarvitse aktiivista vastaajaa lainkaan.
RADIUSaaS ja Microsoft Cloud PKI
01Toimiiko RADIUSaaS Cloud PKI:n kanssa, joka käyttää omaa juurta (BYOCA)?
Kyllä. RADIUSaaS luottaa mihin tahansa CA:han, joka myöntää asiakasvarmenteita, joten voit luottaa omaan juuriisi ja siihen ankkuroituun Cloud PKI:n myöntäjä-CA:han, kumpikin omalla peruutustarkistuksellaan. Oppaamme olettaa, että Cloud PKI isännöi molempia CA:ta; muut vaiheet pysyvät samoina.
02Miksi CRL eikä OCSP?
Koska Microsoft Cloud PKI julkaisee peruutukset ainoastaan CRL-sulkulistoina eikä käytä OCSP-vastaajapalvelua. OCSP olisi parempi vaihtoehto, sillä se vastaa kutakin varmennetta koskevaan kyselyyn kirjautumishetkellä, mutta tämä CA ei sitä tarjoa. Intune isännöi jakelupistettä jokaiselle CA:lle ja päivittää sen CRL:n jokaisen peruutuksen yhteydessä. RADIUSaaS tarkistaa nämä CRL:t tunnin välein ja lataa kummankin uudelleen, kun se vanhenee tai kun kopio on kolme tuntia vanha.
03Tarvitsemmeko silti SCEPman:ia?
Osittain. Cloud PKI kattaa Intunen hallitsemien laitteiden asiakasvarmenteet: jos tarvitset niitä vain Wi-Fi-, LAN- tai VPN-yhteyksiä varten, Intune myöntää varmenteet ja RADIUSaaS tarkistaa ne. SCEPman, joko palveluna RADIUSaaS-portaalissasi tai Enterprise Edition -versiona, kattaa loput: laitteet Jamf Prossa tai muussa MDM:ssä, tukiasemien ja kytkimien RadSec-asiakasvarmenteet, RADIUSaaS-palvelinvarmenteesi omasta CA:stasi automaattisesti uusittuna sekä verkkopalvelin-, TLS-tarkastus- ja toimialueen ohjaimen varmenteet. Sen OCSP-vastaajapalvelu myös mahdollistaa sen, että RADIUSaaS havaitsee peruutuksen seuraavalla kirjautumiskerralla eikä vasta seuraavan CRL:n yhteydessä.
04Voimmeko määrittää VLAN:it osastoittain?
Kyllä. Sääntö voi lukea VLAN:in varmenteen kentästä, kuten kohteen OU:sta, ja käyttää oletusVLAN:ia silloin, kun mikään ei täsmää.
Tietoturva ja saatavuus
01Vaikuttaako Blast-RADIUS RADIUSaaS-palveluun?
Ei. RADIUSaaS hyväksyy vain EAP-pohjaisen todennuksen, eikä hyökkäys (CVE-2024-3596) toimi EAP:ta vasten, kun jokainen komponentti toteuttaa sen oikein. Kannattaa silti tarkistaa verkkolaitevalmistajaltasi, että laitteistosi on ajan tasalla.
02Missä tietomme sijaitsevat?
Instanssillesi valitsemassasi isännöintisijainnissa: Australia, Euroopan unioni, Iso-Britannia tai Yhdysvallat. Proxyt toimivat niille valitsemillasi alueilla, mikä ei muuta instanssisi isännöintisijaintia. Lokit säilytetään 75 päivää ajan; konfiguraatio ja salaisuudet tallennetaan Azure Key Vaultiin.
03Missä instanssiamme voidaan isännöidä?
Valitsemassasi isännöintisijainnissa: Australia, Euroopan unioni, Iso-Britannia tai Yhdysvallat. Proxyt, jotka palvelevat tukiasemia, jotka puhuvat vain RADIUS-protokollaa, toimivat 19 alueella kuudella mantereella, ja valitset kunkin alueen itse.
04Mitä tapahtuu, jos instanssiamme ei tavoiteta?
Käytettävyystavoite on 99,5 % kuukaudessa. Lisäredundanssia varten voit lisätä toisen RadSec-päätepisteen omalla IP-osoitteellaan lisämaksusta: proxyt siirtyvät tällöin automaattisesti lähimpään toimivaan päätepisteeseen, ja suoraan RadSec-yhteyttä käyttävät tukiasemat siirtyvät toiseen määrittämääsi osoitteeseen.
RADIUSaaS:n lisensointi
01Miten RADIUSaaS lisensoidaan?
Käyttäjäkohtaisesti, joka voi todentautua vähintään yhdellä laitteella, alkaen 50 käyttäjästä. Kukin käyttäjä voi yhdistää enintään viisi kiinteää ja viisi mobiililaitetta laitteella. Tarkemmat tiedot löytyvät hinnoittelusivulta.
02Kuka lasketaan käyttäjäksi?
Jokainen, jolla on oikeus tunnistautua RADIUSaaS:ään vähintään yhdellä laitteella, oli laite käytössä tai ei. Useimmiten tämä vastaa niiden käyttäjien määrää, joille on määritetty Wi-Fi- tai kiinteän verkon profiili MDM-järjestelmässä.
03Kuinka monta laitetta käyttäjä voi yhdistää?
Enintään viisi kiinteää ja viisi mobiililaitetta.
04Onko olemassa minimikäyttäjämäärää?
Kyllä, 50 käyttäjää per organisaatio. Käyttäjätilaus on sidottu yhteen käyttäjään vähintään kalenterikuukauden ajaksi.
05Laskeeko RADIUSaaS käyttäjämäärämme puolestamme?
Ei. RADIUSaaS ei näytä lisenssien kulutusta, joten seuraa profiilimäärityksiä MDM-järjestelmässäsi.
06Voimmeko käyttää yhtä tilausta useammalle organisaatiolle?
Ei. Tilaus kattaa yhden organisaation käyttäjät ja laitteet, eikä sitä voi jakaa tai jälleenmyydä.
07Mitä sisältyy?
Kaikki ominaisuudet, kaikki päivitykset, tuki häiriötilanteiden ja teknisten kysymysten osalta sekä kaksi RADIUS-välityspalvelinta. Lisäksi saatavilla on toinen RadSec-päätepiste lisäredundanssia varten sekä SCEPman palveluna.