Secure Access Service Edge:Network access best practices

Etapa 1: Configurar o servidor de autenticação (RADIUS)

O RADIUS é um protocolo de rede que fornece services centralizados de autenticação, autorização e contabilidade (AAA). O SASE disponibiliza um Cloud Authentication Server, mas você também pode configurar seu próprio servidor de autenticação.

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Network Access Control > Basic Configurations.

3. Na aba Authentication Server, visualize as informações do Cloud Authentication Server ou clique em Add Authentication Server. Execute uma das opções a seguir:

   • Visualizar o servidor de autenticação em cloud

     1. No canto superior direito da página, clique em Cloud Authentication Server.

     2. No painel Cloud Authentication Server, visualize os detalhes do servidor de autenticação em cloud fornecido pelo SASE.

   • Adicionar um servidor de autenticação

     1. Clique em Add Authentication Server.

     2. No painel Add Authentication Server, configure o Authentication Server Name e o IP Address do servidor e clique em Save.

        Nota

        A porta de autenticação padrão, exibida como User Wi-Fi Authentication Interface, é 1812. A porta de contabilidade padrão, exibida como User Wi-Fi Billing Interface, é 1813.

     3. Na aba Deployment and Installation, visualize as Recommended Server Specifications e os Server Deployment Commands necessários para implantar o RADIUS.

     4. Copie os Server Deployment Commands e implante o RADIUS em seu próprio servidor.

     5. Após a conclusão da implantação, verifique o status na lista.

        Um servidor de autenticação implantado com sucesso exibe o status Online.

Etapa 2: Configurar informações do dispositivo de rede

Um controlador sem fio gerencia e controla centralmente os pontos de acesso (APs) sem fio, permitindo configurar, monitorar e otimizar a rede sem fio a partir de um único local. Registre seu controlador sem fio local no console SASE.

1. Na aba Network Device, clique em Add Network Device.

2. Na caixa de diálogo Add Network Device, configure os parâmetros a seguir e clique em OK.

Etapa 3: Configurar o gerenciamento de Wi-Fi

Crie uma instância de rede para a rede sem fio à qual os funcionários se conectam.

1. Na aba Wi-Fi Management, clique em Create Network Instance.

2. Na caixa de diálogo Enterprise Wireless Network Configuration, configure o Network SSID e o Authentication Mode que os funcionários usam para acessar a rede. Apenas EAP-TLS é suportado. Em seguida, clique em OK.

Etapa 4: Configurar o gerenciamento de certificados

Depois que um dispositivo se conecta à rede do escritório corporativo por meio do SASE, o sistema emite automaticamente o certificado CA do SASE e um certificado de acesso à rede para o cliente SASE. Somente dispositivos com esses certificados instalados podem acessar aplicativos internos da empresa pela rede sem fio corporativa. Se os certificados emitidos automaticamente não atenderem ao seu cenário de negócios, altere o escopo de instalação, o período de validade ou personalize o nome da organização do certificado.

1. Clique na aba Certificate Management.

2. Na aba Certificate Management, conclua a Network Access Certificate Configuration, a CA Certificate Configuration e as Global Settings.

Etapa 5: Configurar o controlador sem fio local (exemplo H3C)

Configure o esquema RADIUS, o domínio ISP e a autenticação sem fio 802.1X no console do seu controlador sem fio local.

Etapa 6: Ativar autorização dinâmica (CoA)

O CoA geralmente é implementado no protocolo RADIUS e envia uma mensagem RADIUS CoA-Request para acionar uma alteração de autorização. Ao receber essa solicitação, o controlador sem fio atualiza os parâmetros de sessão do usuário com base no conteúdo da solicitação e retorna uma mensagem CoA-ACK (confirmação) ou CoA-NAK (rejeição) ao servidor RADIUS.

1. Conecte-se ao controlador sem fio (AC) com um cabo de console.

2. Execute os comandos a seguir para ativar o CoA.

[AC] radius dynamic-author server
[ac-radius-da-server] client ip <Radius server IP> key simple <Sharesecret>

Substitua <Radius server IP> pelo endereço IP do servidor RADIUS e substitua <Sharesecret> pela chave compartilhada desse servidor.

Etapa 7: Configurar uma política de acesso à rede

Quando os funcionários acessam a rede do escritório corporativo por meio do SASE, uma política de acesso à rede proporciona isolamento granular e controle sobre as permissões de acesso de funcionários e dispositivos, melhorando a segurança da rede e a eficiência do gerenciamento.

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Network Access Control > Office Network.

3. Na aba Network Access Permissions, clique em Create Policy.

4. No painel Create Policy, configure os parâmetros a seguir e clique em OK.

Etapa 8: Instalar e fazer logon no cliente SASE

Instale e faça logon no cliente SASE em um endpoint conectado à Internet. As ações posteriores ao logon no cliente estão descritas em Install and log on to SASE client.

Etapa 9: Visualizar registros de autenticação e acesso à rede

Após concluir as etapas anteriores, visualize registros de acesso à rede ou logs de autenticação de funcionários no console SASE.

• Visualizar logs de autenticação de funcionários

  1. No painel de navegação à esquerda do console SASE, escolha Log Analysis > Log Audit.

  2. Na aba Access Logs > User Authentication Logs, visualize o status de autenticação de acesso à rede dos funcionários.

• Visualizar registros de acesso à rede

  1. Faça logon no console do Secure Access Service Edge.

  2. No painel de navegação à esquerda, escolha Network Access Control > Office Network.

  3. Na aba Network Access History, visualize o status de acesso à rede dos funcionários. Também é possível executar as operações Disable e Enable.

Etapa 1: Configurar o servidor de autenticação (RADIUS)

O RADIUS é um protocolo de rede que fornece services centralizados de autenticação, autorização e contabilidade (AAA). O SASE disponibiliza um Cloud Authentication Server, mas você também pode configurar seu próprio servidor de autenticação.

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Network Access Control > Basic Configurations.

3. Na aba Authentication Server, visualize as informações do Cloud Authentication Server ou clique em Add Authentication Server. Execute uma das opções a seguir:

   • Visualizar o servidor de autenticação em cloud

     1. No canto superior direito da página, clique em Cloud Authentication Server.

     2. No painel Cloud Authentication Server, visualize os detalhes do servidor de autenticação em cloud fornecido pelo SASE.

   • Adicionar um servidor de autenticação

     1. Clique em Add Authentication Server.

     2. No painel Add Authentication Server, configure o Authentication Server Name e o IP Address do servidor e clique em Save.

        Nota

        A porta de autenticação padrão, exibida como User Wi-Fi Authentication Interface, é 1812. A porta de contabilidade padrão, exibida como User Wi-Fi Billing Interface, é 1813.

     3. Na aba Deployment and Installation, visualize as Recommended Server Specifications e os Server Deployment Commands necessários para implantar o RADIUS.

     4. Copie os Server Deployment Commands e implante o RADIUS em seu próprio servidor.

     5. Após a conclusão da implantação, verifique o status na lista.

        Um servidor de autenticação implantado com sucesso exibe o status Online.

Etapa 2: Configurar informações do dispositivo de rede

Um switch conecta dispositivos de rede de diferentes tipos, como computadores, servidores, impressoras e roteadores, permitindo que esses dispositivos se comuniquem e troquem dados. Registre seu switch local no console SASE.

1. Na aba Network Device, clique em Add Network Device.

2. Na caixa de diálogo Add Network Device, configure os parâmetros a seguir e clique em OK.

Etapa 3: Configurar o gerenciamento de certificados

Depois que um dispositivo se conecta à rede do escritório corporativo por meio do SASE, o sistema emite automaticamente o certificado CA do SASE e um certificado de acesso à rede para o cliente SASE. Somente dispositivos com esses certificados instalados podem acessar aplicativos internos da empresa pela rede com fio corporativa. Se os certificados emitidos automaticamente não atenderem ao seu cenário de negócios, altere o escopo de instalação, o período de validade ou personalize o nome da organização do certificado.

1. Clique na aba Certificate Management.

2. Na aba Certificate Management, conclua a Network Access Certificate Configuration, a CA Certificate Configuration e as Global Settings.

Etapa 4: Configurar o switch local (exemplo H3C)

Configure o esquema RADIUS, o domínio ISP e a autenticação com fio 802.1X no console do seu switch local.

Etapa 5: Ativar autorização dinâmica (CoA)

O CoA geralmente é implementado no protocolo RADIUS e envia uma mensagem RADIUS CoA-Request para acionar uma alteração de autorização. Ao receber essa solicitação, o dispositivo de rede atualiza os parâmetros de sessão do usuário com base no conteúdo da solicitação e retorna uma mensagem CoA-ACK (confirmação) ou CoA-NAK (rejeição) ao servidor RADIUS.

1. Conecte-se ao controlador de acesso (AC) com um cabo de console.

2. Execute os comandos a seguir para ativar o CoA.

[AC] radius dynamic-author server
[ac-radius-da-server] client ip <Radius server IP> key simple <Sharesecret>

Substitua <Radius server IP> pelo endereço IP do servidor RADIUS e substitua <Sharesecret> pela chave compartilhada desse servidor.

Etapa 6: Configurar uma política de acesso à rede

Quando os funcionários acessam a rede do escritório corporativo por meio do SASE, uma política de acesso à rede proporciona isolamento granular e controle sobre as permissões de acesso de funcionários e dispositivos, melhorando a segurança da rede e a eficiência do gerenciamento.

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Network Access Control > Office Network.

3. Na aba Network Access Permissions, clique em Create Policy.

4. No painel Create Policy, configure os parâmetros a seguir e clique em OK.

Etapa 7: Instalar e fazer logon no cliente SASE

Instale e faça logon no cliente SASE em um endpoint conectado à Internet. As ações posteriores ao logon no cliente estão descritas em Install and log on to SASE client.

Etapa 8: Visualizar registros de autenticação e acesso à rede

Após concluir as etapas anteriores, visualize registros de acesso à rede ou logs de autenticação de funcionários no console SASE.

• Visualizar logs de autenticação de funcionários

  1. No painel de navegação à esquerda do console SASE, escolha Log Analysis > Log Audit.

  2. Na aba Access Logs > User Authentication Logs, visualize o status de autenticação de acesso à rede dos funcionários.

• Visualizar registros de acesso à rede

  1. Faça logon no console do Secure Access Service Edge.

  2. No painel de navegação à esquerda, escolha Network Access Control > Office Network.

  3. Na aba Network Access History, visualize o status de acesso à rede dos funcionários. Também é possível executar as operações Disable e Enable.

Etapa 1: Configurar autenticação de portal

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Network Access Control > Guest Network.

3. No canto superior direito da página, clique em Authentication Configuration.

4. Na página Authentication Configuration, conclua as Authentication Portal Settings e as Custom Settings on Authentication Page. O procedimento detalhado está descrito em .

Etapa 2: Configurar o servidor de autenticação (RADIUS)

O RADIUS é um protocolo de rede que fornece services centralizados de autenticação, autorização e contabilidade (AAA). Para a rede de convidados, o SASE permite que você configure seu próprio servidor de autenticação.

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Network Access Control > Basic Configurations.

3. Na aba Authentication Server, clique em Add Authentication Server.

4. No painel Add Authentication Server, configure o Authentication Server Name e o IP Address do servidor e clique em Save.

   Nota

   A porta de autenticação padrão, exibida como User Wi-Fi Authentication Interface, é 1812. A porta de contabilidade padrão, exibida como User Wi-Fi Billing Interface, é 1813.

5. Na aba Deployment and Installation, visualize as Recommended Server Specifications e os Server Deployment Commands necessários para implantar o RADIUS.

6. Copie os Server Deployment Commands e implante o RADIUS em seu próprio servidor.

7. Após a conclusão da implantação, verifique o status na lista.

   Um servidor de autenticação implantado com sucesso exibe o status Online.

Etapa 3: Configurar o gerenciamento de Wi-Fi

Crie uma instância de rede para a rede sem fio à qual os convidados se conectam.

1. Na aba Wi-Fi Management, clique em Create Network Instance.

2. Na caixa de diálogo Enterprise Wireless Network Configuration, configure o Network SSID e o Authentication Mode que os convidados usam para acessar a rede. Apenas EAP-TLS é suportado. Em seguida, clique em OK.

Etapa 4: Configurar o controlador sem fio local (exemplo H3C)

Configure a autenticação de portal para a rede de convidados no console do seu controlador sem fio local.

# Enable wireless portal roaming.
[AC] portal roaming enable
# Disable ARP entry pinning for wireless portal clients.
[AC] undo portal refresh arp enable
# Enable the validity check for wireless portal clients.
[AC] portal host-check enable
# Set the portal authentication server type to CMCC
[AC] portal server sase-newptv4
[AC-portal-server-newpt] server-type cmcc
[AC-portal-server-newpt] quit
# Configure the portal web server
[AC] portal web-server sase-newptv4
[AC-portal-websvr-newpt] url http://192.168.XX.XX:8080/portal
# Include the ssid and wlan parameters in the portal web server URL that the device redirects users to. The values are the SSID and VLAN of the AP.
[AC-portal-websvr-newpt] url-parameter ssid ssid
[AC-portal-websvr-newpt] url-parameter vlan vlan
[AC-portal-websvr-newpt]  url-parameter acip value  <Actual IP address of the AC> 
# Set the portal web server type to CMCC.
[AC-portal-websvr-newpt] server-type cmcc
# Configure iOS captive-bypass adaptation
[AC-portal-websvr-newpt] captive-bypass ios optimize enable
[AC-portal-websvr-newpt] quit
# Enable the RADIUS session control feature.
[AC] radius session-control enable
# Configure the RADIUS CoA feature
[AC] radius dynamic-author server
[AC-radius-da-server] client ip <Radius server IP> key simple <SharedSecret>

Etapa 5: Fazer logon como convidado

Depois que um dispositivo se conecta ao Wi-Fi para convidados, a página de autenticação do portal é aberta automaticamente. Insira seu mobile number, obtenha o verification code via SMS e insira-o, depois clique em Log On. O acesso aos aplicativos internos da empresa só é permitido após a autenticação bem-sucedida.

Etapa 6: Visualizar logs de convidados

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Log Analysis > Log Audit.

3. Na aba Access Logs > Guest Authentication Logs, visualize o status de autenticação de acesso à rede dos convidados.

Etapa 1: Adicionar terminais burros

1. Faça logon no console do Secure Access Service Edge.

2. No painel de navegação à esquerda, escolha Endpoint Management > Terminals.

3. Na lista à esquerda, selecione Dumb Terminal. De acordo com seus requisitos de negócios, clique em Add Terminal ou Import Devices. Execute uma das opções a seguir:

   • Add Terminal — No painel Add Terminal, insira o MAC Address, MAC Address Mask, Device Vendor, Device Name e Device Type do terminal e clique em OK.

   • Import Devices — Na caixa de diálogo Import Devices, clique em Download Import Template. Após preencher as informações do dispositivo, clique em Upload Local File. Após a conclusão do upload, clique em OK.

Etapa 2: Configurar acesso à rede

A configuração de acesso à rede de um terminal burro depende do tipo de dispositivo: terminais sem fio e com fio utilizam métodos diferentes.

• Terminais sem fio — Siga o procedimento de configuração em Use case 1: Configure wireless network access for employees.

• Terminais com fio — Siga o procedimento de configuração em Use case 2: Configure wired network access for employees.

Etapa 3: Visualizar logs de autenticação de terminais burros

1. No painel de navegação à esquerda do console SASE, escolha Log Analysis > Log Audit.

2. Na aba Access Logs > Dumb Terminal Authentication Logs, visualize o status de autenticação de acesso à rede dos terminais burros.