Secure Access Service Edge:Praktik Terbaik untuk Akses Jaringan

Langkah 1: Konfigurasi server otentikasi (RADIUS)

RADIUS adalah protokol jaringan yang digunakan untuk menyediakan layanan otentikasi, otorisasi, dan akuntansi (AAA) terpusat. SASE menyediakan Anda dengan Cloud Authentication Server sambil juga mendukung konfigurasi fleksibel server otentikasi Anda sendiri.

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Basic Configurations.

3. Di tab Authentication Server, lihat informasi Cloud Authentication Server atau Add Authentication Server.

   • Lihat Cloud Authentication Server

     1. Di pojok kanan atas halaman, klik Cloud Authentication Server.

        

     2. Di panel Cloud Authentication Server, lihat informasi tentang server otentikasi cloud yang disediakan oleh SASE.

   • Tambah Server Otentikasi

     1. Klik Add Authentication Server.

     2. Pada panel Add Authentication Server, konfigurasikan Authentication Server Name dan IP Address dari server, dan klik Save.

        Catatan

        User Wi-Fi Authentication Interface adalah 1812 secara default, dan User Wi-Fi Billing Interface adalah 1813 secara default.

     3. Di tab Deployment and Installation, lihat Recommended Server Specifications dan Server Deployment Commands yang diperlukan untuk menerapkan RADIUS.

     4. Salin Server Deployment Commands dan terapkan RADIUS pada server Anda sendiri.

     5. Setelah penyebaran selesai, lihat status penyebaran di daftar.

        

Langkah 2: Konfigurasi informasi perangkat jaringan

Pengontrol nirkabel adalah perangkat jaringan yang digunakan untuk manajemen dan kontrol terpusat titik akses nirkabel (AP), dengan kemampuan untuk mengonfigurasi, memantau, dan mengoptimalkan jaringan nirkabel secara seragam. Anda perlu mengonfigurasi informasi terkait untuk pengontrol nirkabel Anda.

1. Di tab Network Device, klik Add Network Device.

2. Di kotak dialog Add Network Device, konfigurasikan informasi berikut dan klik OK.

   Parameter	Deskripsi
   Device Name	Masukkan nama perangkat.
   Device Brand	Pilih merek pengontrol nirkabel Anda.
   Device Type	Pilih Pengontrol Nirkabel.
   IP Address	Konfigurasikan alamat IP atau rentang IP pengontrol nirkabel.
   MAC Address	Konfigurasikan alamat MAC pengontrol nirkabel.
   CoA Port	Konfigurasikan port CoA pengontrol nirkabel.

Langkah 3: Konfigurasi manajemen Wi-Fi

1. Di tab Wi-Fi Management, klik Create Network Instance.

2. Di kotak dialog Enterprise Wireless Network Configuration, konfigurasikan Network SSID dan Authentication Mode (saat ini hanya EAP-TLS yang didukung) untuk akses jaringan karyawan, dan klik OK.

Langkah 4: Konfigurasi manajemen sertifikat

Setelah mengakses jaringan kantor perusahaan melalui SASE, sistem akan secara otomatis menerbitkan sertifikat CA SASE dan sertifikat akses jaringan ke aplikasi SASE. Hanya perangkat dengan sertifikat yang terpasang yang dapat menggunakan dan mengakses aplikasi internal perusahaan melalui jaringan nirkabel perusahaan. Jika sertifikat yang diterbitkan secara otomatis tidak sesuai dengan skenario bisnis Anda, Anda dapat memodifikasi ruang lingkup instalasi sertifikat, periode validitas, atau menyesuaikan nama organisasi sertifikat.

1. Klik Certificate Management.

2. Di tab Certificate Management, konfigurasikan Network Access Certificate Configuration, CA Certificate Configuration, dan Global Settings.

Langkah 5: Konfigurasi pengontrol nirkabel lokal (menggunakan H3C sebagai contoh)

Anda perlu mengonfigurasi skema RADIUS, domain ISP, dan otentikasi nirkabel 802.1X di konsol lokal.

Langkah 6: Aktifkan otorisasi dinamis (CoA)

CoA biasanya diimplementasikan berdasarkan protokol RADIUS dengan mengirim pesan RADIUS CoA-Request untuk memicu perubahan otorisasi. Ketika pengontrol nirkabel menerima permintaan tersebut, ia memperbarui parameter sesi pengguna sesuai dengan isi permintaan dan mengembalikan pesan CoA-ACK (konfirmasi) atau CoA-NAK (penolakan) ke server RADIUS.

1. Sambungkan ke pengontrol nirkabel (AC) menggunakan konsol baris.

2. Aktifkan CoA menggunakan perintah berikut.

   [AC] radius dynamic-author server
   [ac-radius-da-server] client ip <Radius Server IP> key simple <Sharesecret>

   Di mana {Radius_ip} harus dikonfigurasi sebagai alamat IP server Radius, dan {secret} harus dikonfigurasi sebagai kunci bersama untuk perangkat yang sesuai.

   Catatan

   Anda dapat melihat Alamat IP Server Radius dan SharedSecret (kunci bersama) di konsol SASE di bawah tab Network Access Control > Basic Configurations > Authentication Server.

Langkah 7: Konfigurasi kebijakan izin akses jaringan

Saat mengakses jaringan kantor perusahaan melalui SASE, mengonfigurasi kebijakan izin akses jaringan dapat mengimplementasikan isolasi dan kontrol terperinci terhadap izin akses jaringan karyawan atau perangkat, meningkatkan keamanan jaringan dan efisiensi manajemen.

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Office Network.

3. Di tab Network Access Permissions, klik Create Policy.

4. Di panel Create Policy, konfigurasikan pengaturan berikut dan klik OK.

   Parameter	Deskripsi
   Policy Name	Konfigurasikan nama kebijakan.
   Effective Scope	Untuk Effective Scope, pilih Applicable User. Berdasarkan kebutuhan bisnis aktual, klik Select dan rafinasi cakupan efektif berdasarkan All Users, Specific User Group, Specific Device, atau Specific Device Tag.
   VLAN ID	Tetapkan ID VLAN yang dibagi pada pengontrol nirkabel Anda. Rentang input yang didukung: 1-4094.
   ACL ID	Tetapkan ID ACL yang dibagi pada pengontrol nirkabel Anda. Rentang nilai perlu ditentukan berdasarkan merek dan model perangkat jaringan yang digunakan.
   Terminal Type	Pilih tipe terminal yang efektif.
   Network Permissions	Pilih jaringan nirkabel.
   Wi-Fi Network Scope	Pilih All Wi-Fi Networks atau pilih Specific Wi-Fi Networks berdasarkan kondisi aktual.
   Priority	Tetapkan prioritas efektif kebijakan. Semakin kecil angkanya, semakin tinggi prioritasnya.
   Policy Status	Aktifkan status kebijakan.
   Advanced Settings	Tetapkan Authentication Server dan Network Device for Access Control agar kebijakan berlaku.

Langkah 8: Instal dan masuk ke aplikasi SASE

Anda perlu menginstal dan masuk ke aplikasi SASE pada perangkat terminal yang terhubung ke Internet. Untuk operasi spesifik setelah masuk ke aplikasi, lihat Instal dan Masuk ke Aplikasi SASE.

Langkah 9: Lihat log otentikasi dan catatan akses jaringan

Setelah menyelesaikan langkah-langkah di atas, Anda dapat melihat catatan akses jaringan atau log otentikasi karyawan di konsol SASE.

• Lihat Log Otentikasi Karyawan

  1. Di panel navigasi di sebelah kiri, pilih Log Analysis > Log Audit.

  2. Di tab Access Logs > User Authentication Logs, lihat status otentikasi jaringan karyawan.

• Lihat Catatan Akses Jaringan

  1. Masuk ke Konsol Secure Access Service Edge.

  2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Office Network.

  3. Di tab Network Access History, lihat status akses jaringan karyawan, dan Anda dapat melakukan operasi Disable dan Enable.

Langkah 1: Konfigurasi server otentikasi (RADIUS)

RADIUS adalah protokol jaringan yang digunakan untuk menyediakan layanan otentikasi, otorisasi, dan akuntansi (AAA) terpusat. SASE menyediakan Anda dengan Cloud Authentication Server sambil juga mendukung konfigurasi fleksibel server otentikasi Anda sendiri.

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Basic Configurations.

3. Di tab Authentication Server, lihat informasi Cloud Authentication Server atau Add Authentication Server.

   • Lihat Cloud Authentication Server

     1. Di pojok kanan atas halaman, klik Cloud Authentication Server.

        

     2. Di panel Cloud Authentication Server, lihat informasi tentang server otentikasi cloud yang disediakan oleh SASE.

   • Tambah Server Otentikasi

     1. Klik Add Authentication Server.

     2. Pada panel Add Authentication Server, konfigurasikan Authentication Server Name dan IP Address server, dan klik Save.

        Catatan

        User Wi-Fi Authentication Interface adalah 1812 secara default, dan User Wi-Fi Billing Interface adalah 1813 secara default.

     3. Pada tab Deployment and Installation, lihat Recommended Server Specifications dan Server Deployment Commands yang diperlukan untuk menyebarkan RADIUS.

     4. Salin Server Deployment Commands dan terapkan RADIUS pada server Anda sendiri.

     5. Setelah penyebaran selesai, lihat status penyebaran di daftar.

        

Langkah 2: Konfigurasi informasi perangkat jaringan

Switch digunakan untuk menghubungkan berbagai jenis perangkat jaringan, seperti komputer, server, printer, dan router, memungkinkan komunikasi dan pertukaran data antara perangkat-perangkat ini. Anda perlu mengonfigurasi informasi terkait untuk switch lokal Anda.

1. Di tab Network Device, klik Add Network Device.

2. Di kotak dialog Add Network Device, konfigurasikan informasi berikut dan klik OK.

   Parameter	Deskripsi
   Device Name	Konfigurasikan nama perangkat.
   Device Brand	Pilih merek vSwitch Anda.
   Device Type	Pilih vSwitch kabel.
   IP Address	Konfigurasikan alamat IP atau segmen IP dari vSwitch.
   MAC Address	Konfigurasikan alamat MAC dari vSwitch.
   CoA Port	Konfigurasikan port CoA dari vSwitch.

Langkah 3: Konfigurasi manajemen sertifikat

Setelah mengakses jaringan kantor perusahaan melalui SASE, sistem akan secara otomatis menerbitkan sertifikat CA SASE dan sertifikat akses jaringan ke aplikasi SASE. Hanya perangkat dengan sertifikat yang terpasang yang dapat menggunakan dan mengakses aplikasi internal perusahaan melalui jaringan kabel perusahaan. Jika sertifikat yang diterbitkan secara otomatis tidak sesuai dengan skenario bisnis Anda, Anda dapat memodifikasi ruang lingkup instalasi sertifikat, periode validitas, atau menyesuaikan nama organisasi sertifikat.

1. Klik Certificate Management.

2. Di tab Certificate Management, konfigurasikan Network Access Certificate Configuration, CA Certificate Configuration, dan Global Settings.

Langkah 4: Konfigurasi switch lokal (menggunakan H3C sebagai contoh)

Anda perlu mengonfigurasi skema RADIUS, domain ISP, dan otentikasi kabel 802.1X di konsol lokal.

Langkah 5: Aktifkan otorisasi dinamis (CoA)

CoA biasanya diimplementasikan berdasarkan protokol RADIUS dengan mengirim pesan RADIUS CoA-Request untuk memicu perubahan otorisasi. Ketika pengontrol nirkabel menerima permintaan tersebut, ia memperbarui parameter sesi pengguna sesuai dengan isi permintaan dan mengembalikan pesan CoA-ACK (konfirmasi) atau CoA-NAK (penolakan) ke server RADIUS.

1. Sambungkan ke pengontrol nirkabel (AC) menggunakan konsol baris.

2. Aktifkan CoA menggunakan perintah berikut.

   [AC] radius dynamic-author server
   [ac-radius-da-server] client ip <Radius Server IP> key simple <Sharesecret>

   Di mana {Radius_ip} harus dikonfigurasi sebagai alamat IP server Radius, dan {secret} harus dikonfigurasi sebagai kunci bersama untuk perangkat yang sesuai.

   Catatan

   Anda dapat melihat Alamat IP Server Radius dan SharedSecret (kunci bersama) di konsol SASE di bawah tab Network Access Control > Basic Configurations > Authentication Server.

Langkah 6: Konfigurasi kebijakan izin akses jaringan

Saat mengakses jaringan kantor perusahaan melalui SASE, mengonfigurasi kebijakan izin akses jaringan dapat mengimplementasikan isolasi dan kontrol terperinci terhadap izin akses jaringan karyawan atau perangkat, meningkatkan keamanan jaringan dan efisiensi manajemen.

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Office Network.

3. Di tab Network Access Permissions, klik Create Policy.

4. Di panel Create Policy, konfigurasikan pengaturan berikut dan klik OK.

   Parameter	Deskripsi
   Policy Name	Konfigurasikan nama kebijakan.
   Effective Scope	Untuk Effective Scope, pilih Applicable User. Berdasarkan kebutuhan bisnis aktual, klik Select dan rafinasi cakupan efektif berdasarkan All Users, Specific User Group, Specific Device, atau Specific Device Tag.
   VLAN ID	Tetapkan ID VLAN yang dibagi pada switch Anda. Rentang input yang didukung: 1-4094.
   ACL ID	Tetapkan ID ACL yang dibagi pada switch Anda. Rentang nilai perlu ditentukan berdasarkan merek dan model perangkat jaringan yang digunakan.
   Terminal Type	Pilih tipe terminal yang efektif.
   Network Permissions	Pilih jaringan kabel.
   Priority	Tetapkan prioritas efektif kebijakan. Semakin kecil angkanya, semakin tinggi prioritasnya.
   Policy Status	Aktifkan status kebijakan.
   Advanced Settings	Tetapkan Authentication Server dan Network Device for Access Control agar kebijakan berlaku.

Langkah 7: Instal dan masuk ke aplikasi SASE

Anda perlu menginstal dan masuk ke aplikasi SASE pada perangkat terminal yang terhubung ke Internet. Untuk operasi spesifik setelah masuk ke aplikasi, lihat Instal dan Masuk ke Aplikasi SASE.

Langkah 8: Lihat log otentikasi dan catatan akses jaringan

Setelah menyelesaikan langkah-langkah di atas, Anda dapat melihat catatan akses jaringan atau log otentikasi karyawan di konsol SASE.

• Lihat Log Otentikasi Karyawan

  1. Di panel navigasi sebelah kiri, pilih Log Analysis > Log Audit.

  2. Pada tab Access Logs > User Authentication Logs, lihat status otentikasi jaringan karyawan.

• Lihat Catatan Akses Jaringan

  1. Masuk ke Konsol Secure Access Service Edge.

  2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Office Network.

  3. Di tab Network Access History, lihat status akses jaringan karyawan, dan Anda dapat melakukan operasi Disable dan Enable.

Langkah 1: Konfigurasi otentikasi Portal

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Guest Network.

3. Di pojok kanan atas halaman, klik Authentication Configuration.

4. Di halaman Authentication Configuration, konfigurasikan Authentication Portal Settings dan Custom Settings on Authentication Page.

Langkah 2: Konfigurasi server otentikasi (RADIUS)

RADIUS (Remote Authentication Dial-In User Service) adalah protokol jaringan yang digunakan untuk menyediakan layanan otentikasi, otorisasi, dan akuntansi (AAA) terpusat. SASE mendukung konfigurasi fleksibel server otentikasi Anda sendiri.

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi di sebelah kiri, pilih Network Access Control > Basic Configurations.

3. Di tab Authentication Server, klik Add Authentication Server.

4. Di halaman Add Authentication Server, konfigurasikan Authentication Server Name dan IP Address server, lalu klik Save.

   Catatan

   User Wi-Fi Authentication Interface adalah 1812 secara default, dan User Wi-Fi Billing Interface adalah 1813 secara default.

5. Di tab Deployment and Installation, lihat Recommended Server Specifications dan Server Deployment Commands.

6. Salin Server Deployment Commands dan terapkan RADIUS pada server Anda sendiri.

7. Setelah penyebaran selesai, lihat status penyebaran di daftar.

   

Langkah 3: Konfigurasi manajemen Wi-Fi

1. Di tab Wi-Fi Management, klik Create Network Instance.

2. Di kotak dialog Enterprise Wireless Network Configuration, konfigurasikan Network SSID dan Authentication Mode untuk akses tamu (saat ini hanya EAP-TLS yang didukung), dan klik OK.

Langkah 4: Konfigurasi pengontrol nirkabel lokal (menggunakan H3C sebagai contoh)

Konfigurasi tambahan

Sambungkan ke AC melalui konsol baris untuk melakukan konfigurasi.

# Aktifkan fungsi roaming Portal nirkabel.
[AC] portal roaming enable
# Nonaktifkan fungsi pengerasan entri ARP klien Portal nirkabel.
[AC] undo portal refresh arp enable
# Aktifkan fungsi pengecekan legitimasi klien Portal nirkabel.
[AC] portal host-check enable
# Konfigurasikan tipe server otentikasi Portal sebagai CMCC
[AC] portal server sase-newptv4
[AC-portal-server-newpt] server-type cmcc
[AC-portal-server-newpt] quit
# Konfigurasikan server Web Portal
[AC] portal web-server sase-newptv4
[AC-portal-websvr-newpt] url http://192.168.XX.XX:8080/portal
# Konfigurasikan perangkat untuk menyertakan parameter ssid dan vlan dalam URL yang dialihkan ke server Web Portal pengguna, dengan nilai masing-masing adalah SSID AP dan vlan.
[AC-portal-websvr-newpt] url-parameter ssid ssid
[AC-portal-websvr-newpt] url-parameter vlan vlan
[AC-portal-websvr-newpt] url-parameter acip value <IP Asal AC>
# Konfigurasikan tipe server Web Portal sebagai CMCC.
[AC-portal-websvr-newpt] server-type cmcc
# Konfigurasikan adaptasi captive-bypass iOS
[AC-portal-websvr-newpt] captive-bypass ios optimize enable
[AC-portal-websvr-newpt] quit
# Aktifkan fungsi kontrol sesi RADIUS.
[AC] radius session-control enable
# Konfigurasikan fungsi CoA Radius
[AC] radius dynamic-author server
[AC-radius-da-server] client ip <Radius Server IP> key simple <SharedSecret>

Langkah 5: Login tamu

Setelah terhubung ke Wi-Fi tamu pada perangkat terminal, Anda akan dialihkan secara otomatis ke halaman Portal otentikasi. Masukkan nomor telepon Anda, dapatkan kode verifikasi melalui pesan teks, lalu masukkan kode tersebut untuk login. Akses ke aplikasi internal perusahaan hanya dapat dilakukan setelah verifikasi berhasil.

Langkah 6: Lihat log tamu

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi sebelah kiri, pilih Log Analysis > Log Audit.

3. Di tab Access Logs > Guest Authentication Logs, periksa status otentikasi jaringan tamu.

Langkah 1: Menambahkan terminal bodoh

1. Masuk ke Konsol Secure Access Service Edge.

2. Di panel navigasi sebelah kiri, pilih Terminal Management > Terminals.

3. Di daftar sebelah kiri, pilih Dumb Terminal. Sesuaikan dengan kebutuhan bisnis Anda, Anda dapat memilih Add Terminal atau Import Devices.

   

   • Add Terminal: Di panel Add Terminal, masukkan MAC Address, MAC Address Mask, Device Vendor, Device Name, Device Type, dan informasi lainnya, lalu klik OK.

   • Import Devices: Pada kotak dialog Import Devices, klik Download Import Template, isikan informasi perangkat, klik Upload Local File, dan setelah unggahan selesai, klik OK.

Langkah 2: Konfigurasi akses

Metode konfigurasi akses jaringan untuk terminal bodoh berbeda, tergantung pada apakah perangkat mendukung jaringan nirkabel atau kabel.

• Mendukung jaringan nirkabel: Lihat proses konfigurasi di Skenario 1: Akses Jaringan Nirkabel Karyawan.

• Mendukung jaringan kabel: Lihat proses konfigurasi di Skenario 2: Akses Jaringan Kabel Karyawan.

Langkah 3: Lihat log otentikasi terminal bodoh

1. Di panel navigasi sebelah kiri, pilih Log Analysis > Log Audit.

2. Pada tab Access Logs > Dumb Terminal Authentication Logs, lihat status otentikasi jaringan perangkat terminal bodoh.