AAA नेटवर्क सिक्योरिटी: प्रमाणीकरण, प्राधिकरण, और लेखांकन समझाया गया

तीन घटक विस्तार से

1. प्रमाणीकरण (Authentication) - "तुम कौन हो?"

• उपयोगकर्ता/डिवाइस की पहचान की पुष्टि करता है।
• तरीके: उपयोगकर्ता नाम/पासवर्ड, डिजिटल प्रमाणपत्र (PKI), टोकन (OTP, हार्डवेयर), बायोमेट्रिक्स, पूर्व-साझा कुंजी (PSK)।
• प्रोटोकॉल: RADIUS, TACACS+, LDAP, SAML/OIDC (आधुनिक), Kerberos।
• प्रक्रिया: अनुरोधकर्ता क्रेडेंशियल प्रस्तुत करता है → AAA सर्वर डेटाबेस (आंतरिक/बाहरी) के साथ तुलना करता है → मेल खाने पर एक्सेस देता है, अन्यथा अस्वीकार करता है।

2. प्राधिकरण (Authorization) - "तुम्हें क्या करने की अनुमति है?"

• प्रमाणीकृत पहचान को दी गई अनुमतियों/विशेषाधिकारों को निर्धारित करता है।
• नेटवर्क उपकरणों पर: कमांड विशेषाधिकार स्तर (उदाहरण: सिस्को विशेषाधिकार 1 बनाम 15), VLAN असाइनमेंट, ACLs, VPN संसाधन पहुंच।
• सर्वर/ऐप्स पर: RBAC (रोल-आधारित एक्सेस कंट्रोल), ABAC (विशेषता-आधारित)।
• AAA में: प्रमाणीकरण के बाद, AAA सर्वर प्राधिकरण विशेषताएँ (उदाहरण: `cisco-av-pair=shell:priv-lvl=15`) वापस भेजता है।

3. लेखांकन (Accounting) - "तुमने क्या किया?"

• संसाधन उपभोग को रिकॉर्ड करता है: सत्र अवधि, प्रेषित बाइट्स, निष्पादित कमांड, एक्सेस किए गए संसाधन।
• उपयोग: बिलिंग (ISP), अनुपालन ऑडिट, फोरेंसिक जांच, क्षमता योजना, असामान्यता पहचान।
• RADIUS लेखांकन: प्रारंभ/रोक/अंतरिम-अपडेट पैकेट (पोर्ट 1813)।
• TACACS+ लेखांकन: कमांड लेखांकन (प्रत्येक विशेषाधिकार कमांड लॉग करता है)।

AAA कैसे काम करता है (प्रवाह)

1. उपयोगकर्ता/डिवाइस नेटवर्क एक्सेस का अनुरोध करता है (उदाहरण: 802.1X, VPN, SSH टू राउटर)।
2. नेटवर्क एक्सेस सर्वर (NAS) / AAA क्लाइंट क्रेडेंशियल्स को AAA सर्वर (RADIUS/TACACS+) पर भेजता है।
3. AAA सर्वर **प्रमाणीकृत** करता है (क्रेडेंशियल्स सत्यापित करता है)।
4. यदि सफल → AAA सर्वर **प्राधिकरण** विशेषताएँ (VLAN, ACL, विशेषाधिकार स्तर) भेजता है।
5. NAS पहुंच लागू करता है।
6. सत्र के दौरान/बाद में, NAS AAA सर्वर को **लेखांकन** रिकॉर्ड भेजता है।

AAA प्रोटोकॉल: RADIUS बनाम TACACS+

सिस्को उपकरणों पर AAA कॉन्फ़िगरेशन (उदाहरण)

! AAA सक्षम करें
aaa new-model

! RADIUS सर्वर समूह परिभाषित करें
radius server ISE
 address ipv4 10.1.1.10 auth-port 1812 acct-port 1813
 key C1sc0Secret

! AAA विधि सूचियाँ
aaa authentication login DEFAULT group ISE local
aaa authorization exec DEFAULT group ISE local
aaa authorization commands 15 DEFAULT group ISE local
aaa accounting exec DEFAULT start-stop group ISE
aaa accounting commands 15 DEFAULT start-stop group ISE

! लाइन पर लागू करें
line vty 0 4
 login authentication DEFAULT
 authorization exec DEFAULT
 authorization commands 15 DEFAULT
 accounting exec DEFAULT
 accounting commands 15 DEFAULT

AAA सर्वर के प्रकार

• रेडियस सर्वर: सिस्को ISE, अर्बा क्लियरपास, फ्रीरेडियस (ओपन सोर्स), माइक्रोसॉफ्ट NPS, जूनीपर स्टील-बेल्टेड रेडियस।
• TACACS+ सर्वर: सिस्को ISE, TACACS.net (ओपन सोर्स)।
• क्लाउड/आईडेंटिटी प्रदाता: Azure AD, Okta, Ping Identity (RADIUS/SAML/OIDC के माध्यम से AAA प्रदान करते हैं)।
• वाहक-ग्रेड: होम AAA (H-AAA), विज़िटेड AAA (V-AAA), ब्रोकर AAA (B-AAA) - रोमिंग के लिए 3GPP मानक।

सामान्य AAA परिनियोजन परिदृश्य

1. 802.1X वायर्ड/वायरलेस: स्विच/AP = RADIUS क्लाइंट → ISE/क्लियरपास → AD/क्लाउड आईडेंटिटी।
2. रिमोट एक्सेस VPN: फायरवॉल/कॉन्सेंट्रेटर → RADIUS → MFA (Duo, Azure MFA) → प्राधिकरण प्रोफ़ाइल (स्प्लिट टनल, DPD)।
3. उपकरण प्रशासन: राउटर/स्विच/फायरवॉल → TACACS+ → ISE → कमांड विशेषाधिकार + कमांड लेखांकन।
4. MAB (MAC प्रमाणीकरण बायपास): हेडलेस डिवाइस (प्रिंटर, IoT) → MAC को उपयोगकर्ता नाम/पासवर्ड के रूप में RADIUS पर भेजा जाता है।

AAA के लिए आधुनिक विकास

• जीरो ट्रस्ट / SASE: निरंतर प्रमाणीकरण/प्राधिकरण (डिवाइस स्थिति, उपयोगकर्ता व्यवहार, खतरे की जानकारी) - स्थिर AAA से आगे।
• पहचान-आधारित सुरक्षा: क्लाउड आईडेंटिटी प्रदाता (IdP) AAA स्रोत बन रहे हैं (SAML/OIDC → RADIUS गेटवे)।
• पासवर्डलेस: FIDO2/WebAuthn, प्रमाणपत्र-आधारित प्रमाणीकरण AAA ढांचे के भीतर एकीकृत।

निष्कर्ष

AAA सुरक्षित नेटवर्क एक्सेस की **रीढ़** है। यह सुनिश्चित करता है कि केवल वैध उपयोगकर्ता/डिवाइस कनेक्ट हों (प्रमाणीकरण), उन्हें केवल वही मिले जिसकी उन्हें आवश्यकता है (प्राधिकरण), और एक ऑडिट ट्रेल मौजूद हो (लेखांकन)। RADIUS नेटवर्क एक्सेस पर हावी है; TACACS+ उपकरण प्रशासन के लिए स्वर्ण मानक बना हुआ है। आधुनिक आर्किटेक्चर AAA को जीरो ट्रस्ट सिद्धांतों और क्लाउड पहचान प्रदाताओं के साथ एकीकृत करते हैं।