Secure Access Service Edge：Network Access Control最佳實務

步驟一：配置證明伺服器（RADIUS）

RADIUS是一種網路通訊協定，用於提供集中式的認證、授權和記賬（AAA）服務。SASE為您提供雲認證服務器的同時，也支援您靈活配置自有證明伺服器。

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇辦公網准入 > 基礎配置。

3. 在认证服务器中頁簽中，查看雲認證服務器資訊或新增认证服务器。

   • 查看雲證明伺服器

     1. 在頁面右上方，單擊雲認證服務器。

        

     2. 在雲認證服務器面板中查看SASE為您提供的雲證明伺服器的相關資訊。

   • 新增證明伺服器

     1. 單擊新增认证服务器。

     2. 在新增认证服务器面板中，配置认证服务器名称和伺服器的IP地址，並單擊儲存。

        說明

        員工 Wi-Fi 認證端口預設為1812，員工 Wi-Fi 計費端口預設為1813。

     3. 在部署安裝頁簽中，查看需要部署RADIUS的服务器规格推荐和服务器部署命令。

     4. 複製服务器部署命令，在自有伺服器中部署RADIUS。

     5. 部署完成後，在列表中查看部署情況。

        

步驟二：配置網路裝置資訊

無線控制器是一種用於集中管理和控制無線存取點（AP）的網路裝置，具備對無線網路進行統一配置、監控和最佳化的能力。您需要配置您的無線控制器的相關資訊。

1. 在網絡設備頁簽中，單擊新增網絡設備。

2. 在新增網絡設備對話方塊中，配置如下資訊，並單擊確定。

   配置項	說明
   裝置名稱	配置裝置名稱。
   設備品牌	選擇您的無線控制器的品牌。
   裝置類型	選擇無線控制器。
   IP地址	配置無線控制器的IP或IP段。
   MAC地址	配置無線控制器的MAC地址。
   Coa端口	配置無線控制器的coa連接埠。

步驟三：配置WIFI管理

1. 在WIFI 管理頁簽中，單擊建立網路執行個體。

2. 在企業無線網配置對話方塊中，配置員工入網的網路SSID和認證模式（當前僅支援EAP-TLS），並單擊確定。

步驟四：配置認證管理

通過SASE接入企業辦公網後，系統會自動為SASEApp下發SASE的CA認證和入網認證。只有安裝認證的裝置才可以使用並通過企業無線網路訪問企業內部應用。如果自動下發的認證不適用企業的業務情境，您可以修改認證的安裝範圍、有效期間或者自訂認證組織名稱。

1. 單擊證書管理。

2. 在證書管理頁簽中，進行入網認證配置、CA認證配置以及全局配置。

步驟五：配置本地無線控制器（以H3C為例）

您需要在本地控制台中配置RADIUS方案、ISP域及無線802.1X認證等。

步驟六：開啟動態授權（COA）

COA通常基於RADIUS協議實現，通過發送RADIUS CoA-Request訊息來觸發授權變更。無線控制器接收到這類請求後，會根據請求內容更新使用者的會話參數，並向RADIUS伺服器返回CoA-ACK（確認）或CoA-NAK（拒絕）訊息。

1. 通過Console線串連無線控制器（AC）。

2. 根據下方命令，開啟COA。

   [AC] radius dynamic-author server
   [ac-radius-da-server] client ip <Radius伺服器IP> key simple <Sharesecret>

   其中，{Radius_ip}需要配置為 Radius Server IP 位址，{secret} 需要配置為對應裝置的共用密鑰。

   說明

   您可以在SASE控制台的辦公網准入 > 基礎配置 > 认证服务器頁簽中查看Radius Server IP地址和SharedSecret（共用密鑰）。

步驟七：配置入網權限原則

在SASE接入企業辦公網路時，通過配置入網權限原則，可實現對員工或裝置的入網許可權進行精細化隔離與管控，提升網路安全性與管理效率。

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇网络准入 > 办公网准入。

3. 在入網許可權頁簽中，單擊建立權限原則。

4. 在建立權限原則面板中，進行如下配置。並單擊確定。

   配置項	說明
   策略名稱	配置策略名稱稱。
   生效范围	生效范围選擇生效员工。 根據實際業務需要，單擊選擇，並按照全部使用者、指定用户组、指定设备或指定设备标签精細化生效範圍。
   VLAN ID	設定您無線控制器上劃分的VLAN ID。支援輸入範圍：1~4094。
   ACL ID	設定您無線控制器上劃分的ACL ID。取值範圍需根據所使用的網路裝置品牌及型號確定。
   终端类型	選擇生效的終端類型。
   网络权限	選擇無線網路。
   无线网络范围	選擇全部无线网或根據實際情況選擇部分无线网。
   優先順序	設定策略生效優先順序。數字越小優先順序越高。
   策略狀態	開啟策略狀態。
   進階設定	設定策略生效的认证服务器和準入網絡設備。

步驟八：安裝並登入SASE用戶端

您需要在已串連互連網的終端裝置中安裝並登入SASEApp。登入用戶端後具體操作，請參見安裝並登入SASE App。

步驟九：查看認證及入網記錄

完成上述步驟後，您可以在SASE控制台中查看入網記錄或員工認證日誌。

• 查看員工認證日誌

  1. 在左側導覽列，選擇日誌分析 > 日誌審計。

  2. 在准入日誌 > 员工认证日志頁簽中，查看員工入網認證情況。

• 查看入網記錄

  1. 登入辦公安全平台控制台。

  2. 在左側導覽列，選擇网络准入 > 办公网准入。

  3. 在入网记录頁簽中，查看員工的入網情況，並支援禁用和啟用操作。

步驟一：配置證明伺服器（RADIUS）

RADIUS是一種網路通訊協定，用於提供集中式的認證、授權和記賬（AAA）服務。SASE為您提供雲認證服務器的同時，也支援您靈活配置自有證明伺服器。

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇辦公網准入 > 基礎配置。

3. 在认证服务器中頁簽中，查看雲認證服務器資訊或新增认证服务器。

   • 查看雲證明伺服器

     1. 在頁面右上方，單擊雲認證服務器。

        

     2. 在雲認證服務器面板中查看SASE為您提供的雲證明伺服器的相關資訊。

   • 新增證明伺服器

     1. 單擊新增认证服务器。

     2. 在新增认证服务器面板中，配置认证服务器名称和伺服器的IP地址，並單擊儲存。

        說明

        員工 Wi-Fi 認證端口預設為1812，員工 Wi-Fi 計費端口預設為1813。

     3. 在部署安裝頁簽中，查看需要部署RADIUS的服务器规格推荐和服务器部署命令。

     4. 複製服务器部署命令，在自有伺服器中部署RADIUS。

     5. 部署完成後，在列表中查看部署情況。

        

步驟二：配置網路裝置資訊

交換器用於串連不同類型的網路裝置，如電腦、伺服器、印表機和路由器等，實現這些裝置之間的通訊和資料交換⁠⁣⁠⁣。您需要配置您的本地交換器的相關資訊。

1. 在網絡設備頁簽中，單擊新增網絡設備。

2. 在新增網絡設備對話方塊中，配置如下資訊，並單擊確定。

   配置項	說明
   裝置名稱	配置裝置名稱。
   設備品牌	選擇您的交換器的品牌。
   裝置類型	選擇有線交換器。
   IP地址	配置交換器的IP或IP段。
   MAC地址	配置交換器的MAC地址。
   Coa端口	配置交換器的coa連接埠。

步驟三：配置認證管理

通過SASE接入企業辦公網後，系統會自動為SASEApp下發SASE的CA認證和入網認證。只有安裝認證的裝置才可以使用並通過企業有線網路訪問企業內部應用。如果自動下發的認證不適用企業的業務情境，您可以修改認證的安裝範圍、有效期間或者自訂認證組織名稱。

1. 單擊證書管理。

2. 在證書管理頁簽中，進行入網認證配置、CA認證配置以及全局配置。

步驟四：配置本地交換器（以H3C為例）

您需要在本地控制台中配置RAIUS方案、ISP域及無線802.1X認證等。

步驟五：開啟動態授權（COA）

COA通常基於RADIUS協議實現，通過發送RADIUS CoA-Request訊息來觸發授權變更。無線控制器接收到這類請求後，會根據請求內容更新使用者的會話參數，並向RADIUS伺服器返回CoA-ACK（確認）或CoA-NAK（拒絕）訊息。

1. 通過Console線串連無線控制器（AC）。

2. 根據下方命令，開啟COA。

   [AC] radius dynamic-author server
   [ac-radius-da-server] client ip <Radius伺服器IP> key simple <Sharesecret>

   其中，{Radius_ip}需要配置為 Radius Server IP 位址，{secret} 需要配置為對應裝置的共用密鑰。

   說明

   您可以在SASE控制台的辦公網准入 > 基礎配置 > 认证服务器頁簽中查看Radius Server IP地址和SharedSecret（共用密鑰）。

步驟六：配置入網權限原則

在SASE接入企業辦公網路時，通過配置入網權限原則，可實現對員工或裝置的入網許可權進行精細化隔離與管控，提升網路安全性與管理效率。

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇网络准入 > 办公网准入。

3. 在入網許可權頁簽中，單擊建立權限原則。

4. 在建立權限原則面板中，進行如下配置。並單擊確定。

   配置項	說明
   策略名稱	配置策略名稱稱。
   生效范围	生效范围選擇生效员工。 根據實際業務需要，單擊選擇，並按照全部使用者、指定用户组、指定设备或指定设备标签精細化生效範圍。
   VLAN ID	設定您交換器上劃分的VLAN ID。支援輸入範圍：1~4094。
   ACL ID	設定您交換器上劃分的ACL ID。取值範圍需根據所使用的網路裝置品牌及型號確定。
   终端类型	選擇生效的終端類型。
   网络权限	選擇有線網路。
   優先順序	設定策略生效優先順序。數字越小優先順序越高。
   策略狀態	開啟策略狀態。
   進階設定	設定策略生效的认证服务器和準入網絡設備。

步驟七：安裝並登入SASE用戶端

您需要在已串連互連網的終端裝置中安裝並登入SASEApp。登入用戶端後具體操作，請參見安裝並登入SASE App。

步驟八：查看認證及入網記錄

完成上述步驟後，您可以在SASE控制台中查看入網記錄或員工認證日誌。

• 查看員工認證日誌

  1. 在左側導覽列，選擇日誌分析 > 日誌審計。

  2. 在准入日誌 > 员工认证日志頁簽中，查看員工入網認證情況。

• 查看入網記錄

  1. 登入辦公安全平台控制台。

  2. 在左側導覽列，選擇网络准入 > 办公网准入。

  3. 在入网记录頁簽中，查看員工的入網情況，並支援禁用和啟用操作。

步驟一：Portal認證配置

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇辦公網准入 > 访客网准入。

3. 在頁面右上方單擊认证配置。

4. 在认证配置頁面中，進行Portal认证配置和认证页自定义。

步驟二：配置證明伺服器（RADIUS）

RADIUS（Remote Authentication Dial-In User Service）是一種網路通訊協定，用於提供集中式的認證、授權和記賬（AAA）服務。SASE支援您靈活配置自有證明伺服器。

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇辦公網准入 > 基礎配置。

3. 在认证服务器中頁簽中，單擊新增认证服务器。

4. 在新增认证服务器面板中，配置认证服务器名称和伺服器的IP地址，並單擊儲存。

   說明

   員工 Wi-Fi 認證端口預設為1812，員工 Wi-Fi 計費端口預設為1813。

5. 在部署安裝頁簽中，查看需要部署RADIUS的服务器规格推荐和服务器部署命令。

6. 複製服务器部署命令，在自有伺服器中部署RADIUS。

7. 部署完成後，在列表中查看部署情況。

   

步驟三：配置WIFI管理

1. 在WIFI 管理頁簽中，單擊建立網路執行個體。

2. 在企業無線網配置對話方塊中，配置訪客入網的網路SSID和認證模式（當前僅支援EAP-TLS），並單擊確定。

步驟四：配置本地無線控制器（以H3C為例）

補充配置

通過Console線串連AC進行配置。

# 開啟無線Portal漫遊功能。
[AC] portal roaming enable
# 關閉無線Portal用戶端ARP表項固化功能。
[AC] undo portal refresh arp enable
# 開啟無線Portal用戶端合法性檢查功能。
[AC] portal host-check enable
# 配置Portal證明伺服器類型為CMCC
[AC] portal server sase-newptv4
[AC-portal-server-newpt] server-type cmcc
[AC-portal-server-newpt] quit
# 配置Portal Web伺服器
[AC] portal web-server sase-newptv4
[AC-portal-websvr-newpt] url http://192.168.XX.XX:8080/portal
# 配置裝置重新導向給使用者的Portal Web伺服器的URL中攜帶參數ssid、wlan，其值分別為AP的SSID、vlan
[AC-portal-websvr-newpt] url-parameter ssid ssid
[AC-portal-websvr-newpt] url-parameter vlan vlan
[AC-portal-websvr-newpt]  url-parameter acip value  <AC的真實IP> 
# 配置Portal Web伺服器類型為CMCC。
[AC-portal-websvr-newpt] server-type cmcc
# 配置ios captive-bypass 適配
[AC-portal-websvr-newpt] captive-bypass ios optimize enable
[AC-portal-websvr-newpt] quit
# 使能RADUIS session control功能。
[AC] radius session-control enable
# 配置Radius Coa功能
[AC] radius dynamic-author server
[AC-radius-da-server] client ip <Radius伺服器IP> key simple <SharedSecret> 

步驟五：訪客登入

在終端裝置中串連訪客WIFI後，會自動跳轉至Portal認證頁面，您需要輸入手機號，擷取並輸入簡訊驗證碼，然後單擊登入，驗證通過後，才可訪問企業內部應用。

步驟六：查看訪客日誌

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇日誌分析 > 日誌審計。

3. 在准入日誌 > 访客认证日志頁簽中，查看訪客入網認證情況。

步驟一：添加啞終端

1. 登入辦公安全平台控制台。

2. 在左側導覽列，選擇終端管理 > 終端列表。

3. 在左側列表中選擇啞終端，您可以根據業務需要，選擇添加終端或匯入裝置。

   

   • 添加終端：在添加終端面板中，輸入終端的MAC地址、MAC位址遮罩、设备厂商、裝置名稱、裝置類型等資訊，並單擊確定。

   • 匯入裝置：在匯入裝置對話方塊中，單擊下載匯入模版，填寫裝置相關資訊後，單擊上傳本地檔案，待上傳完成後，單擊確定。

步驟二：准入配置

根據啞終端裝置種類不同，支援無線網路和有線網路的啞終端裝置的Network Access Control配置方法也不同。

• 支援無線網路：可參考情境一：員工無線網路准入配置中的配置流程。

• 支援有線網路：可參考情境二：員工有線Network Access Control配置中的配置流程。

步驟三：查看啞終端認證日誌

1. 在左側導覽列，選擇日誌分析 > 日誌審計。

2. 在准入日誌 > 哑终端认证日志頁簽中，查看啞終端裝置的入網認證情況。