Secure Access Service Edge:ネットワークアクセスのベストプラクティス

ステップ 1：認証サーバー (RADIUS) の設定

RADIUS は、集中認証、認可、アカウンティング (AAA) サービスを提供するネットワークプロトコルです。SASE は クラウド認証サーバー を提供していますが、独自の認証サーバーを設定することもできます。

1. Secure Access Service Edge コンソールにログオンします。

2. 左側メニューで、オフィスネットワークアクセス > 基本設定 の順に選択します。

3. 認証サーバー タブで、クラウド認証サーバー の情報を確認するか、認証サーバーの追加 をクリックします。以下のいずれかの手順を実行します。

   • クラウド認証サーバーの確認

     1. ページの右上隅で、クラウド認証サーバー をクリックします。

     2. クラウド認証サーバー ペインで、SASE が提供するクラウド認証サーバーの詳細を確認します。

   • 認証サーバーの追加

     1. 認証サーバーの追加 をクリックします。

     2. 認証サーバーの追加 ペインで、認証サーバー名 とサーバーの IP アドレス を設定し、保存 をクリックします。

        説明

        デフォルトの認証ポート (従業員 Wi-Fi 認証ポート として表示) は 1812 です。デフォルトのアカウンティングポート (従業員 Wi-Fi 課金ポート として表示) は 1813 です。

     3. デプロイメントとインストール タブで、RADIUS のデプロイに必要な サーバーの推奨スペック と サーバーデプロイメントコマンド を確認します。

     4. サーバーデプロイメントコマンド をコピーし、独自のサーバーに RADIUS をデプロイします。

     5. デプロイが完了したら、リストでデプロイステータスを確認します。

        正常にデプロイされた認証サーバーには、[Online] のステータスが表示されます。

ステップ 2：ネットワークデバイス情報の設定

ワイヤレスコントローラーは、ワイヤレスアクセスポイント (AP) を集中管理および制御し、1 か所からワイヤレスネットワークの設定、監視、最適化ができます。オンプレミスワイヤレスコントローラーを SASE コンソールに登録します。

1. ネットワークデバイス タブで、ネットワークデバイスの作成 をクリックします。

2. ネットワークデバイスの作成 ダイアログボックスで、以下のパラメータを設定し、OK をクリックします。

ステップ 3：Wi-Fi 管理の設定

従業員が接続するワイヤレスネットワーク用のネットワークインスタンスを作成します。

1. WIFI 管理 タブで、ネットワークインスタンスの作成 をクリックします。

2. エンタープライズワイヤレスネットワーク構成 ダイアログボックスで、従業員がネットワークにアクセスする際に使用する [Network SSID] と 認証モード を設定します。EAP-TLS のみがサポートされています。その後、OK をクリックします。

ステップ 4：証明書管理の設定

デバイスが SASE を介して企業のオフィスネットワークに接続すると、システムは自動的に SASE CA 証明書とネットワークアクセス証明書を SASE クライアントに発行します。これらの証明書がインストールされたデバイスのみが、企業ワイヤレスネットワーク経由で企業内アプリケーションにアクセスできます。自動発行される証明書がビジネスシナリオに適合しない場合は、インストール範囲や有効期間を変更したり、証明書組織名をカスタマイズしたりできます。

1. 証明書管理 タブをクリックします。

2. 証明書管理 タブで、ネットワーク接続証明書の設定、CA 証明書の設定、グローバル構成 を完了します。

ステップ 5：オンプレミスワイヤレスコントローラーの設定 (H3C の例)

オンプレミスワイヤレスコントローラーのコンソールで、RADIUS スキーム、ISP ドメイン、ワイヤレス 802.1X 認証を設定します。

ステップ 6：動的認可 (CoA) の有効化

CoA は通常 RADIUS プロトコルで実装され、RADIUS CoA-Request メッセージを送信して認可の変更をトリガーします。ワイヤレスコントローラーがこのようなリクエストを受信すると、リクエストの内容に基づいてユーザーのセッションパラメータを更新し、CoA-ACK (確認応答) または CoA-NAK (拒否) メッセージを RADIUS サーバーに返します。

1. コンソールケーブルでワイヤレスコントローラー (AC) に接続します。

2. 以下のコマンドを実行して CoA を有効にします。

[AC] radius dynamic-author server
[ac-radius-da-server] client ip <Radius server IP> key simple <Sharesecret>

<Radius server IP> を RADIUS サーバーの IP アドレスに、<Sharesecret> をそのサーバーの共有キーに置き換えてください。

ステップ 7：ネットワークアクセスポリシーの設定

従業員が SASE を介して企業のオフィスネットワークにアクセスする際、ネットワークアクセスポリシーにより、従業員とデバイスのアクセス権限をきめ細かく分離・制御でき、ネットワークセキュリティと管理効率が向上します。

1. Secure Access Service Edge コンソールにログオンします。

2. 左側メニューで、ネットワークアクセス制御 > オフィスアクセス の順に選択します。

3. ネットワークアクセス権限 タブで、アクセスポリシーの作成 をクリックします。

4. アクセスポリシーの作成 ペインで、以下のパラメータを設定し、OK をクリックします。

ステップ 8：SASE クライアントのインストールとログオン

インターネットに接続されているエンドポイントに SASE クライアントをインストールし、ログオンします。クライアントにログオンした後の操作については、「SASE クライアントのインストールとログオン」をご参照ください。

ステップ 9：認証およびネットワークアクセス記録の確認

上記の手順を完了すると、SASE コンソールでネットワークアクセス記録または従業員認証ログを確認できます。

• 従業員認証ログの確認

  1. SASE コンソールの左側メニューで、ログ分析 > ログ監査 の順に選択します。

  2. アクセス制御ログ > 従業員認証ログ タブで、従業員のネットワークアクセス認証ステータスを確認します。

• ネットワークアクセス記録の確認

  1. Secure Access Service Edge コンソールにログオンします。

  2. 左側メニューで、ネットワークアクセス制御 > オフィスアクセス の順に選択します。

  3. アクセスレコード タブで、従業員のネットワークアクセスステータスを確認します。無効化 および 有効 操作を実行することもできます。

ステップ 1：認証サーバー (RADIUS) の設定

RADIUS は、集中認証、認可、アカウンティング (AAA) サービスを提供するネットワークプロトコルです。SASE は クラウド認証サーバー を提供していますが、独自の認証サーバーを設定することもできます。

1. Secure Access Service Edge コンソールにログオンします。

2. 左側メニューで、オフィスネットワークアクセス > 基本設定 の順に選択します。

3. 認証サーバー タブで、クラウド認証サーバー の情報を確認するか、認証サーバーの追加 をクリックします。以下のいずれかの手順を実行します。

   • クラウド認証サーバーの確認

     1. ページの右上隅で、クラウド認証サーバー をクリックします。

     2. クラウド認証サーバー ペインで、SASE が提供するクラウド認証サーバーの詳細を確認します。

   • 認証サーバーの追加

     1. 認証サーバーの追加 をクリックします。

     2. 認証サーバーの追加 ペインで、認証サーバー名 とサーバーの IP アドレス を設定し、保存 をクリックします。

        説明

        デフォルトの認証ポート (従業員 Wi-Fi 認証ポート として表示) は 1812 です。デフォルトのアカウンティングポート (従業員 Wi-Fi 課金ポート として表示) は 1813 です。

     3. デプロイメントとインストール タブで、RADIUS のデプロイに必要な サーバーの推奨スペック と サーバーデプロイメントコマンド を確認します。

     4. サーバーデプロイメントコマンド をコピーし、独自のサーバーに RADIUS をデプロイします。

     5. デプロイが完了したら、リストでデプロイステータスを確認します。

        正常にデプロイされた認証サーバーには、[Online] のステータスが表示されます。

ステップ 2：ネットワークデバイス情報の設定

スイッチは、コンピューター、サーバー、プリンター、ルーターなど、さまざまなタイプのネットワークデバイスを接続し、これらのデバイスが通信してデータを交換できるようにします。オンプレミススイッチを SASE コンソールに登録します。

1. ネットワークデバイス タブで、ネットワークデバイスの作成 をクリックします。

2. ネットワークデバイスの作成 ダイアログボックスで、以下のパラメータを設定し、OK をクリックします。

ステップ 3：証明書管理の設定

デバイスが SASE を介して企業オフィスネットワークに接続すると、システムは自動的に SASE CA 証明書とネットワークアクセス証明書を SASE クライアントに発行します。これらの証明書がインストールされたデバイスのみが、企業有線ネットワーク経由で社内アプリケーションにアクセスできます。自動発行される証明書がビジネスシナリオに適合しない場合は、インストール範囲や有効期間を変更したり、証明書組織名をカスタマイズしたりできます。

1. 証明書管理 タブをクリックします。

2. 証明書管理 タブで、ネットワーク接続証明書の設定、CA 証明書の設定、グローバル構成 を設定します。

ステップ 4：オンプレミススイッチの設定 (H3C の例)

オンプレミススイッチのコンソールで、RADIUS スキーム、ISP ドメイン、有線 802.1X 認証を設定します。

ステップ 5：動的認可 (CoA) の有効化

CoA は通常 RADIUS プロトコル上で実装され、RADIUS CoA-Request メッセージを送信して認可の変更をトリガーします。ネットワークデバイスがこのようなリクエストを受信すると、リクエストの内容に基づいてユーザーのセッションパラメータを更新し、CoA-ACK (確認応答) または CoA-NAK (拒否) メッセージを RADIUS サーバーに返します。

1. コンソールケーブルでアクセスコントローラー (AC) に接続します。

2. 以下のコマンドを実行して CoA を有効にします。

[AC] radius dynamic-author server
[ac-radius-da-server] client ip <Radius server IP> key simple <Sharesecret>

<Radius server IP> を RADIUS サーバーの IP アドレスに、<Sharesecret> をそのサーバーの共有キーに置き換えてください。

ステップ 6：ネットワークアクセスポリシーの設定

従業員が SASE を介して企業オフィスネットワークにアクセスする際、ネットワークアクセスポリシーにより、従業員とデバイスのアクセス権限をきめ細かく分離および制御でき、ネットワークセキュリティと管理効率が向上します。

1. Secure Access Service Edge (SASE) コンソールにログオンします。

2. 左側のナビゲーションペインで、ネットワークアクセス制御 > オフィスアクセス の順に選択します。

3. ネットワークアクセス権限 タブで、アクセスポリシーの作成 をクリックします。

4. アクセスポリシーの作成 ペインで、以下のパラメータを設定し、OK をクリックします。

ステップ 7：SASE クライアントのインストールとログオン

インターネットに接続されているエンドポイントに SASE クライアントをインストールし、ログオンします。クライアントにログオンした後の操作については、「SASE クライアントのインストールとログオン」をご参照ください。

ステップ 8：認証およびネットワークアクセス記録の確認

上記の手順を完了すると、SASE コンソールでネットワークアクセス記録または従業員認証ログを確認できます。

• 従業員認証ログの確認

  1. SASE コンソールの左側メニューで、ログ分析 > ログ監査 の順に選択します。

  2. アクセス制御ログ > 従業員認証ログ タブで、従業員のネットワークアクセス認証ステータスを確認します。

• ネットワークアクセス記録の確認

  1. Secure Access Service Edge コンソールにログオンします。

  2. 左側メニューで、ネットワークアクセス制御 > オフィスアクセス の順に選択します。

  3. アクセスレコード タブで、従業員のネットワークアクセスステータスを確認します。無効化 および 有効 操作を実行することもできます。

手順 1：ポータル認証の設定

1. Secure Access Service Edge (SASE) コンソールにログインします。

2. 左側のナビゲーションペインで、オフィスネットワークアクセス > ゲストアクセス を選択します。

3. ページの右上隅で、認証設定 をクリックします。

4. 認証設定 ページで、ポータル認証構成と認証ページのカスタマイズを設定します。 詳細な手順については、「」をご参照ください。

手順 2：認証サーバー (RADIUS) の設定

RADIUS は、認証、認可、アカウンティング (AAA) サービスを一元的に提供するネットワークプロトコルです。ゲストネットワークでは、SASE で独自の認証サーバーを設定できます。

1. SASE コンソールにログインします。

2. 左側のナビゲーションペインで、オフィスネットワークアクセス > 基本設定 を選択します。

3. 認証サーバー タブで、認証サーバーの追加 をクリックします。

4. 認証サーバーの追加 ペインで、認証サーバー名 とサーバーの IP アドレス を設定し、保存 をクリックします。

   説明

   従業員 Wi-Fi 認証ポート として表示されるデフォルトの認証ポートは 1812 です。従業員 Wi-Fi 課金ポート として表示されるデフォルトの課金ポートは 1813 です。

5. デプロイメントとインストール タブで、サーバーの推奨スペック と、RADIUS のデプロイに必要な サーバーデプロイメントコマンド を確認します。

6. サーバーデプロイメントコマンドをコピーして、独自のサーバーに RADIUS をデプロイします。

7. デプロイが完了したら、リストでデプロイのステータスを確認します。

   認証サーバーが正常にデプロイされると、ステータスは [Online] と表示されます。

手順 3：Wi-Fi 管理の設定

ゲストが接続するワイヤレスネットワーク用のネットワークインスタンスを作成します。

1. WIFI 管理 タブで、ネットワークインスタンスの作成 をクリックします。

2. エンタープライズワイヤレスネットワーク構成 ダイアログボックスで、ゲストがネットワークにアクセスするために使用する [ネットワーク SSID] と 認証モード を設定します。 EAP-TLS のみがサポートされています。 次に OK をクリックします。

手順 4：オンプレミスワイヤレスコントローラーの設定 (H3C の例)

オンプレミスワイヤレスコントローラーのコンソールで、ゲストネットワーク向けのポータル認証を設定します。

# ワイヤレスポータルローミングを有効にします。
[AC] portal roaming enable
# ワイヤレスポータルクライアントのARPエントリの固定を無効にします。
[AC] undo portal refresh arp enable
# ワイヤレスポータルクライアントの有効性チェックを有効にします。
[AC] portal host-check enable
# ポータル認証サーバータイプをCMCCに設定します
[AC] portal server sase-newptv4
[AC-portal-server-newpt] server-type cmcc
[AC-portal-server-newpt] quit
# ポータルWebサーバーを設定します
[AC] portal web-server sase-newptv4
[AC-portal-websvr-newpt] url http://121.40.XX.XX:8080/portal
# デバイスがユーザーをリダイレクトするポータルWebサーバーURLにssidおよびwlanパラメーターを含めます。値はAPのSSIDとVLANです。
[AC-portal-websvr-newpt] url-parameter ssid ssid
[AC-portal-websvr-newpt] url-parameter vlan vlan
[AC-portal-websvr-newpt] url-parameter acip value <Actual IP address of the AC>
# ポータルWebサーバータイプをCMCCに設定します。
[AC-portal-websvr-newpt] server-type cmcc
# iOS captive-bypassの適応を設定します
[AC-portal-websvr-newpt] captive-bypass ios optimize enable
[AC-portal-websvr-newpt] quit
# RADIUSセッション制御機能を有効にします。
[AC] radius session-control enable
# RADIUS CoA機能を設定します
[AC] radius dynamic-author server
[AC-radius-da-server] client ip <Radius server IP> key simple <SharedSecret>

手順 5：ゲストとしてのログイン

デバイスがゲスト Wi-Fi に接続すると、ポータル認証ページが自動的に開きます。[携帯電話番号] を入力し、SMS [認証コード] を取得して入力し、[Log On] をクリックします。認証に成功した後にのみ、社内の企業アプリケーションにアクセスできます。

手順 6：ゲストログの確認

1. SASE コンソールにログインします。

2. 左側のナビゲーションペインで、ログ分析 > ログ監査 を選択します。

3. アクセス制御ログ > ビジター認証ログ タブで、ゲストのネットワークアクセス認証のステータスを表示できます。

ステップ 1：ダム端末の追加

1. SASE コンソールにログインします。

2. 左側のナビゲーションペインで、端末管理 > 端末一覧 の順に選択します。

3. 左側のリストで、ダム端末を選択します。ビジネス要件に基づいて、エンドポイントの追加 または デバイスのインポート をクリックします。次のいずれかのオプションを実行します。

   • [エンドポイントの追加] — エンドポイントの追加 ペインで、端末の MAC アドレス、MAC アドレスマスク、デバイス製造元、デバイス名、および デバイスタイプ を入力し、OK をクリックします。

   • [デバイスのインポート]：デバイスのインポート ダイアログボックスで、インポートテンプレートのダウンロード をクリックします。デバイス情報を入力した後、ローカルファイルのアップロード をクリックします。アップロードが完了したら、OK をクリックします。

ステップ 2：ネットワークアクセスの設定

ダム端末のネットワークアクセス設定は、デバイスタイプによって異なります。無線端末と有線端末では異なる方法を使用します。

• 無線端末 — 「ユースケース 1：従業員向けワイヤレスネットワークアクセスの設定」の設定手順に従ってください。

• 有線端末 — 「ユースケース 2：従業員向け有線ネットワークアクセスの設定」の設定手順に従ってください。

ステップ 3：ダム端末認証ログの確認

1. SASE コンソールの左側のナビゲーションペインで、ログ分析 > ログ監査 の順に選択します。

2. アクセス制御ログ > ダム端末認証ログ タブで、ダム端末のネットワークアクセス認証状況を確認します。