Tüm Ürünler
Search

Bu Ürün

    Secure Access Service Edge:Network access best practices

    Belge Merkezi

    Secure Access Service Edge:Network access best practices

    Son Güncelleme:Oct 07, 2026

    Secure Access Service Edge (SASE), bir RADIUS (Remote Authentication Dial-In User Service) bileşenini entegre eder ve hem 802,1X protokolünü hem de portal tabanlı erişimi destekler. Kurumsal ofis ağınıza hangi kullanıcıların ve cihazların erişebileceğini kontrol etmek ve bu erişimin uyumlu kalmasını sağlamak için bu yetenekleri kullanın. Bu konuda, kablosuz ve kablolu ağlar üzerinden çalışanlar, misafirler ve akıllı olmayan uç noktalar için ağ erişiminin nasıl yapılandırılacağı açıklanmaktadır.

    Dikkat edilmesi gerekenler

    Ağ erişimini yapılandırmadan önce aşağıdaki bilgileri gözden geçirin:

    • Örnek cihazlar — Bu konuda, kablosuz denetleyici ve anahtar için örnek olarak H3C cihazları kullanılmaktadır.

    • Çalışan ve misafir ağları — Çalışan erişimini ve misafir erişimini aynı anda yapılandırabilirsiniz. Her ağ için ayrı bir SSID kullanın ve ilgili arka uç ilkelerini yapılandırın.

    • Konsol gezintisi — Senaryo 1, Senaryo 2 ve Senaryo 3'te Authentication Server, Network Device, Wi-Fi Management ve Certificate Management sekmelerinin tümü SASE konsolunun Network Access Control > Basic Configurations sayfasında yer alır. "... sekmesinde" ile başlayan adımlar aynı sayfada devam eder.

    Senaryo 1: Çalışanlar için kablosuz ağ erişimini yapılandırma

    SASE, 802,1X kimlik doğrulama çözümüyle ağ erişimini güvence altına alır ve çalışanlara tek tıklamayla bağlantı süreci sunar. Çalışanlar, SASE istemcisini kullanarak ofis ağının ulaştığı her yerde kurumsal ağa hızlı ve güvenli bir şekilde bağlanır. Gerekli yapılandırmaları hem SASE yönetim konsolunda hem de şirket içi kablosuz denetleyicinizde tamamlayın.

    Adım 1: Kimlik doğrulama sunucusunu (RADIUS) yapılandırma

    RADIUS, merkezi kimlik doğrulama, yetkilendirme ve hesap (AAA) hizmetleri sağlayan bir ağ protokolüdür. SASE bir Cloud Authentication Server sağlar; ayrıca kendi kimlik doğrulama sunucunuzu da yapılandırabilirsiniz.

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Network Access Control > Basic Configurations seçeneğini belirleyin.

    3. Authentication Server sekmesinde Cloud Authentication Server bilgilerini görüntüleyin veya Add Authentication Server seçeneğine tıklayın. Aşağıdaki seçeneklerden birini tamamlayın:

      • Bulut kimlik doğrulama sunucusunu görüntüleme

        1. Sayfanın sağ üst köşesinde Cloud Authentication Server seçeneğine tıklayın.

        2. Cloud Authentication Server bölmesinde SASE tarafından sağlanan bulut kimlik doğrulama sunucusunun ayrıntılarını görüntüleyin.

      • Kimlik doğrulama sunucusu ekleme

        1. Add Authentication Server seçeneğine tıklayın.

        2. Add Authentication Server bölmesinde sunucunun Authentication Server Name ve IP Address bilgilerini yapılandırın ve ardından Save seçeneğine tıklayın.

          Not

          Varsayılan kimlik doğrulama bağlantı noktası User Wi-Fi Authentication Interface olarak gösterilir ve 1812'dir. Varsayılan hesap bağlantı noktası User Wi-Fi Billing Interface olarak gösterilir ve 1813'tür.

        3. Deployment and Installation sekmesinde RADIUS dağıtmak için gereken Recommended Server Specifications ve Server Deployment Commands bilgilerini görüntüleyin.

        4. Server Deployment Commands bilgilerini kopyalayın ve RADIUS'u kendi sunucunuzda dağıtın.

        5. Dağıtım tamamlandıktan sonra listedeki dağıtım durumunu kontrol edin.

          Başarıyla dağıtılan bir kimlik doğrulama sunucusu Online durumunu gösterir.

    Adım 2: Ağ cihazı bilgilerini yapılandırma

    Kablosuz denetleyici, kablosuz erişim noktalarını (AP'ler) merkezi olarak yönetir ve kontrol eder; böylece kablosuz ağı tek bir yerden yapılandırabilir, izleyebilir ve optimize edebilirsiniz. Şirket içi kablosuz denetleyicinizi SASE konsoluna kaydedin.

    1. Network Device sekmesinde Add Network Device seçeneğine tıklayın.

    2. Add Network Device iletişim kutusunda aşağıdaki parametreleri yapılandırın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Device Name


    Cihaz için bir ad girin.


    Device Brand


    Kablosuz denetleyicinizin markasını seçin.


    Device Type


    Kablosuz denetleyici için cihaz türünü seçin.


    IP Address


    Kablosuz denetleyicinin IP adresini veya IP adres aralığını girin.


    MAC Address


    Kablosuz denetleyicinin MAC adresini girin.


    CoA Port


    Kablosuz denetleyicinin CoA bağlantı noktasını girin.

    Adım 3: Wi-Fi yönetimini yapılandırma

    Çalışanların bağlandığı kablosuz ağ için bir ağ örneği oluşturun.

    1. Wi-Fi Management sekmesinde Create Network Instance seçeneğine tıklayın.

    2. Enterprise Wireless Network Configuration iletişim kutusunda çalışanların ağa erişmek için kullandığı Network SSID ve Authentication Mode bilgilerini yapılandırın. Yalnızca EAP-TLS desteklenir. Ardından OK seçeneğine tıklayın.

    Adım 4: Sertifika yönetimini yapılandırma

    Bir cihaz SASE aracılığıyla kurumsal ofis ağına bağlandıktan sonra sistem, SASE CA sertifikasını ve bir ağ erişimi sertifikasını otomatik olarak SASE istemcisine verir. Bu sertifikaların yüklü olduğu cihazlar yalnızca kurumsal kablosuz ağ üzerinden dahili kurumsal uygulamalara erişebilir. Otomatik olarak verilen sertifikalar iş senaryonuzla uyuşmuyorsa yükleme kapsamını veya geçerlilik süresini değiştirebilir ya da sertifika kuruluş adını özelleştirebilirsiniz.

    1. Certificate Management sekmesine tıklayın.

    2. Certificate Management sekmesinde Network Access Certificate Configuration, CA Certificate Configuration ve Global Settings yapılandırmalarını tamamlayın.

    Adım 5: Şirket içi kablosuz denetleyiciyi yapılandırma (H3C örneği)

    Şirket içi kablosuz denetleyicinizin konsolunda RADIUS şemasını, ISP alan adını ve kablosuz 802,1X kimlik doğrulamasını yapılandırın.

    RADIUS yapılandırma

    1. H3C kablosuz denetleyicisinin konsolunda oturum açın.

    2. Sayfanın alt kısmında Network seçeneğini belirleyin. Sol gezinme bölmesinde Network Security > Authentication seçeneğini belirleyin.

    3. RADIUS sekmesinde bir RADIUS şeması eklemek için image simgesine tıklayın.

    4. Add RADIUS Scheme sayfasında RADIUS ayarlarını yapılandırın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Örnek değer


    Scheme Name


    RADIUS şeması için özel bir ad girin.


    sase-r1


    Authentication Server


    Kimlik doğrulama sunucusunu yapılandırın. Birden fazla kimlik doğrulama sunucunuz varsa bunları yedek sunucu olarak ekleyebilirsiniz. Gerekli değerleri SASE konsolunun Network Access Control > Basic Configurations > Authentication Server sekmesinde bulabilirsiniz. Bu sekme, SASE tarafından sağlanan Cloud Authentication Server ve Add Authentication Server kullanarak eklediğiniz tüm kimlik doğrulama sunucularını listeler. Her sunucu için sekmede Name, Server Status, IP address ve key bilgileri gösterilir.


    VRF: Varsayılan genel ağ; Type: Varsayılan IP adresi; IP address: 121,40..; Port: 1812; Shared key: anahtarı girin; Status: Active


    Accounting Server


    Hesap sunucusunu yapılandırın. Birden fazla hesap sunucunuz varsa bunları yedek sunucu olarak ekleyebilirsiniz. Hesap sunucusu, kimlik doğrulama sunucusuyla aynı IP adresini ve paylaşılan anahtarı kullanır ve 1813 numaralı bağlantı noktasını kullanır.


    VRF: Varsayılan genel ağ; Type: Varsayılan IP adresi; IP address: 121,40.. (kimlik doğrulama sunucusuyla aynı); Port: 1813; Shared key: anahtarı girin (kimlik doğrulama sunucusuyla aynı); Status: Active


    Advanced Settings


    Show Advanced Settings seçeneğine tıklayın ve Real-time Accounting Update Interval değerini 60 saniye olarak ayarlayın.


    60

    ISP alan adını yapılandırma

    1. Sol gezinme bölmesinde Network Security > Authentication seçeneğini belirleyin. ISP Domain sekmesinde bir ISP alan adı eklemek için image simgesine tıklayın.

    2. Add ISP Domain sayfasında ISP alan adını aşağıdaki parametrelerle yapılandırın ve OK seçeneğine tıklayın.

      Aşağıdaki parametreleri yapılandırın: Domain Name değerini sase-dm1 gibi özel bir ada ayarlayın, Status değerini Active olarak ayarlayın ve Access Mode için LAN Access seçeneğini belirleyin. LAN erişimi AAA şemasında Authentication değerini RADIUS olarak ayarlayın ve oluşturduğunuz RADIUS şemasını seçin. Authorization ve Accounting değerlerini RADIUS olarak ayarlayın ve aynı şemayı seçin.

    Kablosuz ağı yapılandırma (802.1X kimlik doğrulaması)

    1. Sol gezinme bölmesinde Wireless Configuration > Wireless Network seçeneğini belirleyin.

    2. Wireless Network sekmesinde bir kablosuz ağ eklemek için image simgesine tıklayın.

    3. Kablosuz hizmet ekleme sayfasında Wireless Service Name, SSID ve Default VLAN bilgilerini yapılandırın ve Wireless Service seçeneğini etkinleştirin. Ardından OK and Go to Advanced Settings seçeneğine tıklayın.

      Security Authentication bölümünde Authentication Mode değerini 802,1X Authentication (Unencrypted) ve Authentication Location değerini Central AC olarak ayarlayın.

      Not

      Oluşturduğunuz ağ örneğinin SSID'sini SASE konsolunun Network Access Control > Basic Configurations > Wi-Fi Management sekmesinden alabilirsiniz.

    4. Link Layer Authentication sekmesinde Authentication Mode değerini 802,1X Authentication olarak ayarlayın ve Domain Name değerini oluşturduğunuz ISP alan adına ayarlayın. Diğer ayarlar için varsayılan değerleri koruyun. Ardından OK seçeneğine tıklayın.

    5. Binding sekmesinde bağlamak istediğiniz AP'ye tıklayın ve OK seçeneğine tıklayın.

    6. Sol gezinme bölmesinde Network Security > Access Control seçeneğini belirleyin.

    7. Sayfanın sağ üst köşesinde image simgesine tıklayın. 802,1X sayfasında Authentication Method yanındaki yapılandırma seçeneğine tıklayın, açılan listeden EAP seçeneğini belirleyin ve OK seçeneğine tıklayın.

    Adım 6: Dinamik yetkilendirmeyi (CoA) etkinleştirme

    CoA genellikle RADIUS protokolü üzerinde uygulanır ve bir yetkilendirme değişikliğini tetiklemek için bir RADIUS CoA-Request mesajı gönderir. Kablosuz denetleyici bu tür bir isteği aldıktan sonra isteğin içeriğine göre kullanıcının oturum parametrelerini günceller ve RADIUS sunucusuna bir CoA-ACK (onay) veya CoA-NAK (reddetme) mesajı döndürür.

    1. Kablosuz denetleyiciye (AC) bir konsol kablosuyla bağlanın.

    2. CoA'yı etkinleştirmek için aşağıdaki komutları çalıştırın.

    [AC] radius dynamic-author server
[ac-radius-da-server] client ip <Radius server IP> key simple <Sharesecret>

    <Radius server IP> ifadesini RADIUS sunucusunun IP adresiyle ve <Sharesecret> ifadesini bu sunucunun paylaşılan anahtarıyla değiştirin.

    Not

    Radius Server IP address ve SharedSecret (shared key) bilgilerini SASE konsolunun Network Access Control > Basic Configurations > Authentication Server sekmesinde görüntüleyebilirsiniz.

    Adım 7: Ağ erişimi ilkesi yapılandırma

    Çalışanlar SASE aracılığıyla kurumsal ofis ağına eriştiğinde bir ağ erişimi ilkesi, çalışanların ve cihazların erişim izinleri üzerinde ayrıntılı izolasyon ve kontrol sağlar. Bu sayede ağ güvenliği ve yönetim verimliliği artar.

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Network Access Control > Office Network seçeneğini belirleyin.

    3. Network Access Permissions sekmesinde Create Policy seçeneğine tıklayın.

    4. Create Policy bölmesinde aşağıdaki parametreleri yapılandırın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Policy Name


    İlke için bir ad girin.


    Effective Scope

    Effective Scope değerini Applicable User olarak ayarlayın. İş gereksinimlerinize göre Select seçeneğine tıklayın ve kapsamı All Users, Specific User Group, Specific Device veya Specific Device Tag ile daraltın.


    VLAN ID


    Kablosuz denetleyicinizde yapılandırılan VLAN kimliğini ayarlayın. Geçerli değerler: 1 ile 4094 arası.


    ACL ID


    Kablosuz denetleyicinizde yapılandırılan ACL kimliğini ayarlayın. Geçerli değer aralığı, kullandığınız ağ cihazının marka ve modeline bağlıdır.


    Terminal Type


    İlkenin uygulanacağı uç nokta türlerini seçin.


    Network Permissions


    Kablosuz ağı seçin.


    Wi-Fi Network Scope

    Gereksinimlerinize göre All Wi-Fi Networks seçeneğini veya Specific Wi-Fi Networks seçeneğini belirleyin.


    Priority


    İlkenin önceliğini ayarlayın. Daha küçük bir değer daha yüksek öncelik anlamına gelir.


    Policy Status


    İlke durumunu etkinleştirin.


    Advanced Settings


    İlkenin uygulanacağı Authentication Server ve Network Device for Access Control bilgilerini ayarlayın.

    Adım 8: SASE istemcisini yükleme ve oturum açma

    İnternete bağlı bir uç noktada SASE istemcisini yükleyin ve oturum açın. İstemcide oturum açtıktan sonra yapmanız gerekenler SASE istemcisini yükleme ve oturum açma konusunda açıklanmıştır.

    Adım 9: Kimlik doğrulama ve ağ erişimi kayıtlarını görüntüleme

    Önceki adımları tamamladıktan sonra SASE konsolunda ağ erişimi kayıtlarını veya çalışan kimlik doğrulama günlüklerini görüntüleyebilirsiniz.

    • Çalışan kimlik doğrulama günlüklerini görüntüleme

      1. SASE konsolunun sol gezinme bölmesinde Log Analysis > Log Audit seçeneğini belirleyin.

      2. Access Logs > User Authentication Logs sekmesinde çalışanların ağ erişimi kimlik doğrulama durumunu görüntüleyin.

    • Ağ erişimi kayıtlarını görüntüleme

      1. Secure Access Service Edge konsolunda oturum açın.

      2. Sol gezinme bölmesinde Network Access Control > Office Network seçeneğini belirleyin.

      3. Network Access History sekmesinde çalışanların ağ erişimi durumunu görüntüleyin. Ayrıca Disable ve Enable işlemlerini uygulayabilirsiniz.

    Senaryo 2: Çalışanlar için kablolu ağ erişimini yapılandırma

    Bu senaryoda, ağ erişimi sağlamak için kablolu bir ağda 802,1X kimlik doğrulaması yapılandırılır. Ayarları hem SASE yönetim konsolunda hem de şirket içi anahtarınızda yapılandırın. 1. Adım, Senaryo 1 ile aynıdır: anahtarı kaydetmeden önce kimlik doğrulama sunucusunu (RADIUS) yapılandırırsınız.

    Adım 1: Kimlik doğrulama sunucusunu (RADIUS) yapılandırma

    RADIUS, merkezi kimlik doğrulama, yetkilendirme ve hesap (AAA) hizmetleri sağlayan bir ağ protokolüdür. SASE bir Cloud Authentication Server sağlar; ayrıca kendi kimlik doğrulama sunucunuzu da yapılandırabilirsiniz.

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Network Access Control > Basic Configurations seçeneğini belirleyin.

    3. Authentication Server sekmesinde Cloud Authentication Server bilgilerini görüntüleyin veya Add Authentication Server seçeneğine tıklayın. Aşağıdaki seçeneklerden birini tamamlayın:

      • Bulut kimlik doğrulama sunucusunu görüntüleme

        1. Sayfanın sağ üst köşesinde Cloud Authentication Server seçeneğine tıklayın.

        2. Cloud Authentication Server bölmesinde SASE tarafından sağlanan bulut kimlik doğrulama sunucusunun ayrıntılarını görüntüleyin.

      • Kimlik doğrulama sunucusu ekleme

        1. Add Authentication Server seçeneğine tıklayın.

        2. Add Authentication Server bölmesinde sunucunun Authentication Server Name ve IP Address bilgilerini yapılandırın ve ardından Save seçeneğine tıklayın.

          Not

          Varsayılan kimlik doğrulama bağlantı noktası User Wi-Fi Authentication Interface olarak gösterilir ve 1812'dir. Varsayılan hesap bağlantı noktası User Wi-Fi Billing Interface olarak gösterilir ve 1813'tür.

        3. Deployment and Installation sekmesinde RADIUS dağıtmak için gereken Recommended Server Specifications ve Server Deployment Commands bilgilerini görüntüleyin.

        4. Server Deployment Commands bilgilerini kopyalayın ve RADIUS'u kendi sunucunuzda dağıtın.

        5. Dağıtım tamamlandıktan sonra listedeki dağıtım durumunu kontrol edin.

          Başarıyla dağıtılan bir kimlik doğrulama sunucusu Online durumunu gösterir.

    Adım 2: Ağ cihazı bilgilerini yapılandırma

    Anahtar, bilgisayarlar, sunucular, yazıcılar ve yönlendiriciler gibi farklı türdeki ağ cihazlarını birbirine bağlar; böylece bu cihazlar iletişim kurabilir ve veri alışverişi yapabilir. Şirket içi anahtarınızı SASE konsoluna kaydedin.

    1. Network Device sekmesinde Add Network Device seçeneğine tıklayın.

    2. Add Network Device iletişim kutusunda aşağıdaki parametreleri yapılandırın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Device Name


    Cihaz için bir ad girin.


    Device Brand


    Anahtarınızın markasını seçin.


    Device Type


    Kablolu anahtar için cihaz türünü seçin.


    IP Address


    Anahtarın IP adresini veya IP adres aralığını girin.


    MAC Address


    Anahtarın MAC adresini girin.


    CoA Port


    Anahtarın CoA bağlantı noktasını girin.

    Adım 3: Sertifika yönetimini yapılandırma

    Bir cihaz SASE aracılığıyla kurumsal ofis ağına bağlandıktan sonra sistem, SASE CA sertifikasını ve bir ağ erişimi sertifikasını otomatik olarak SASE istemcisine verir. Bu sertifikaların yüklü olduğu cihazlar yalnızca kurumsal kablolu ağ üzerinden dahili kurumsal uygulamalara erişebilir. Otomatik olarak verilen sertifikalar iş senaryonuzla uyuşmuyorsa yükleme kapsamını veya geçerlilik süresini değiştirebilir ya da sertifika kuruluş adını özelleştirebilirsiniz.

    1. Certificate Management sekmesine tıklayın.

    2. Certificate Management sekmesinde Network Access Certificate Configuration, CA Certificate Configuration ve Global Settings yapılandırmalarını tamamlayın.

    Adım 4: Şirket içi anahtarı yapılandırma (H3C örneği)

    Şirket içi anahtarınızın konsolunda RADIUS şemasını, ISP alan adını ve kablolu 802,1X kimlik doğrulamasını yapılandırın.

    RADIUS yapılandırma

    1. H3C anahtarının konsolunda oturum açın.

    2. Sayfanın alt kısmında Network seçeneğini belirleyin. Sol gezinme bölmesinde Network Security > Authentication seçeneğini belirleyin.

    3. RADIUS sekmesinde bir RADIUS şeması eklemek için image simgesine tıklayın.

    4. Add RADIUS Scheme sayfasında RADIUS ayarlarını yapılandırın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Örnek değer


    Scheme Name


    RADIUS şeması için özel bir ad girin.


    sase-r1


    Authentication Server


    Kimlik doğrulama sunucusunu yapılandırın. Birden fazla kimlik doğrulama sunucunuz varsa bunları yedek sunucu olarak ekleyebilirsiniz. Gerekli değerleri SASE konsolunun Network Access Control > Basic Configurations > Authentication Server sekmesinde bulabilirsiniz. Bu sekme, SASE tarafından sağlanan Cloud Authentication Server ve Add Authentication Server kullanarak eklediğiniz tüm kimlik doğrulama sunucularını listeler. Her sunucu için sekmede Name, Server Status, IP address ve key bilgileri gösterilir.


    VRF: Varsayılan genel ağ; Type: Varsayılan IP adresi; IP address: 121,40..; Port: 1812; Shared key: anahtarı girin; Status: Active


    Accounting Server


    Hesap sunucusunu yapılandırın. Birden fazla hesap sunucunuz varsa bunları yedek sunucu olarak ekleyebilirsiniz. Hesap sunucusu, kimlik doğrulama sunucusuyla aynı IP adresini ve paylaşılan anahtarı kullanır ve 1813 numaralı bağlantı noktasını kullanır.


    VRF: Varsayılan genel ağ; Type: Varsayılan IP adresi; IP address: 121,40.. (kimlik doğrulama sunucusuyla aynı); Port: 1813; Shared key: anahtarı girin (kimlik doğrulama sunucusuyla aynı); Status: Active


    Advanced Settings


    Show Advanced Settings seçeneğine tıklayın ve Real-time Accounting Update Interval değerini 60 saniye olarak ayarlayın.


    60

    ISP alan adını yapılandırma

    1. Sol gezinme bölmesinde Network Security > Authentication seçeneğini belirleyin. ISP Domain sekmesinde bir ISP alan adı eklemek için image simgesine tıklayın.

    2. Add ISP Domain sayfasında ISP alan adını yapılandırın ve OK seçeneğine tıklayın.

      Aşağıdaki parametreleri yapılandırın: Domain Name değerini sase-dm1 gibi özel bir ada ayarlayın, Status değerini Active olarak ayarlayın ve Access Mode için LAN Access seçeneğini belirleyin. LAN erişimi AAA şemasında Authentication değerini RADIUS olarak ayarlayın ve oluşturduğunuz RADIUS şemasını seçin. Authorization ve Accounting değerlerini RADIUS olarak ayarlayın ve aynı şemayı seçin.

    Anahtar bağlantı noktasını yapılandırma (802.1X kimlik doğrulaması)

    1. Sol gezinme bölmesinde Network Security > Access Control seçeneğini belirleyin.

    2. 802,1X Authentication sayfasında bağlantı noktası tabanlı kimlik doğrulama için GE1/0/3 seçeneğini belirleyin ve OK seçeneğine tıklayın.

    3. Advanced Settings seçeneğine tıklayın. Advanced Settings sayfasında Mandatory Authentication ISP Domain of the Port bilgisini yapılandırın ve OK seçeneğine tıklayın.

      Mandatory Authentication ISP Domain of the Port değerini oluşturduğunuz ISP alan adının adına (örneğin sase-dm1) ayarlayın. Diğer parametreler için varsayılan değerleri koruyun.

    4. Sayfanın sağ üst köşesinde image simgesine tıklayın. 802,1X sayfasında Authentication Method yanındaki yapılandırma seçeneğine tıklayın, açılan listeden EAP seçeneğini belirleyin ve OK seçeneğine tıklayın.

    Adım 5: Dinamik yetkilendirmeyi (CoA) etkinleştirme

    CoA genellikle RADIUS protokolü üzerinde uygulanır ve bir yetkilendirme değişikliğini tetiklemek için bir RADIUS CoA-Request mesajı gönderir. Ağ cihazı bu tür bir isteği aldıktan sonra isteğin içeriğine göre kullanıcının oturum parametrelerini günceller ve RADIUS sunucusuna bir CoA-ACK (onay) veya CoA-NAK (reddetme) mesajı döndürür.

    1. Erişim denetleyicisine (AC) bir konsol kablosuyla bağlanın.

    2. CoA'yı etkinleştirmek için aşağıdaki komutları çalıştırın.

    [AC] radius dynamic-author server
[ac-radius-da-server] client ip <Radius server IP> key simple <Sharesecret>

    <Radius server IP> ifadesini RADIUS sunucusunun IP adresiyle ve <Sharesecret> ifadesini bu sunucunun paylaşılan anahtarıyla değiştirin.

    Not

    Radius Server IP address ve SharedSecret (shared key) bilgilerini SASE konsolunun Network Access Control > Basic Configurations > Authentication Server sekmesinde görüntüleyebilirsiniz.

    Adım 6: Ağ erişimi ilkesi yapılandırma

    Çalışanlar SASE aracılığıyla kurumsal ofis ağına eriştiğinde bir ağ erişimi ilkesi, çalışanların ve cihazların erişim izinleri üzerinde ayrıntılı izolasyon ve kontrol sağlar. Bu sayede ağ güvenliği ve yönetim verimliliği artar.

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Network Access Control > Office Network seçeneğini belirleyin.

    3. Network Access Permissions sekmesinde Create Policy seçeneğine tıklayın.

    4. Create Policy bölmesinde aşağıdaki parametreleri yapılandırın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Policy Name


    İlke için bir ad girin.


    Effective Scope

    Effective Scope değerini Applicable User olarak ayarlayın. İş gereksinimlerinize göre Select seçeneğine tıklayın ve kapsamı All Users, Specific User Group, Specific Device veya Specific Device Tag ile daraltın.


    VLAN ID


    Anahtarınızda yapılandırılan VLAN kimliğini ayarlayın. Geçerli değerler: 1 ile 4094 arası.


    ACL ID


    Anahtarınızda yapılandırılan ACL kimliğini ayarlayın. Geçerli değer aralığı, kullandığınız ağ cihazının marka ve modeline bağlıdır.


    Terminal Type


    İlkenin uygulanacağı uç nokta türlerini seçin.


    Network Permissions


    Kablolu ağı seçin.


    Priority


    İlkenin önceliğini ayarlayın. Daha küçük bir değer daha yüksek öncelik anlamına gelir.


    Policy Status


    İlke durumunu etkinleştirin.


    Advanced Settings


    İlkenin uygulanacağı Authentication Server ve Network Device for Access Control bilgilerini ayarlayın.

    Adım 7: SASE istemcisini yükleme ve oturum açma

    İnternete bağlı bir uç noktada SASE istemcisini yükleyin ve oturum açın. İstemcide oturum açtıktan sonra yapmanız gerekenler SASE istemcisini yükleme ve oturum açma konusunda açıklanmıştır.

    Adım 8: Kimlik doğrulama ve ağ erişimi kayıtlarını görüntüleme

    Önceki adımları tamamladıktan sonra SASE konsolunda ağ erişimi kayıtlarını veya çalışan kimlik doğrulama günlüklerini görüntüleyebilirsiniz.

    • Çalışan kimlik doğrulama günlüklerini görüntüleme

      1. SASE konsolunun sol gezinme bölmesinde Log Analysis > Log Audit seçeneğini belirleyin.

      2. Access Logs > User Authentication Logs sekmesinde çalışanların ağ erişimi kimlik doğrulama durumunu görüntüleyin.

    • Ağ erişimi kayıtlarını görüntüleme

      1. Secure Access Service Edge konsolunda oturum açın.

      2. Sol gezinme bölmesinde Network Access Control > Office Network seçeneğini belirleyin.

      3. Network Access History sekmesinde çalışanların ağ erişimi durumunu görüntüleyin. Ayrıca Disable ve Enable işlemlerini uygulayabilirsiniz.

    Senaryo 3: Misafirler için kablosuz ağ erişimini yapılandırma

    SASE, kurumlara güvenli ve kullanışlı bir misafir erişimi çözümü sunar. Çalışanlar ve misafirler için ayrı SSID'ler kullanılması ağın güvenliğini korur ve misafir deneyimini iyileştirir. Misafirler SASE misafir Wi-Fi ağına bağlandığında yalnızca portal sayfasında SMS doğrulama kodu kimlik doğrulaması desteklenir.

    Adım 1: Portal kimlik doğrulamasını yapılandırma

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Network Access Control > Guest Network seçeneğini belirleyin.

    3. Sayfanın sağ üst köşesinde Authentication Configuration seçeneğine tıklayın.

    4. Authentication Configuration sayfasında Authentication Portal Settings ve Custom Settings on Authentication Page yapılandırmalarını tamamlayın. Ayrıntılı yordam konusunda açıklanmıştır.

    Adım 2: Kimlik doğrulama sunucusunu (RADIUS) yapılandırma

    RADIUS, merkezi kimlik doğrulama, yetkilendirme ve hesap (AAA) hizmetleri sağlayan bir ağ protokolüdür. Misafir ağı için SASE kendi kimlik doğrulama sunucunuzu yapılandırmanıza olanak tanır.

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Network Access Control > Basic Configurations seçeneğini belirleyin.

    3. Authentication Server sekmesinde Add Authentication Server seçeneğine tıklayın.

    4. Add Authentication Server bölmesinde sunucunun Authentication Server Name ve IP Address bilgilerini yapılandırın ve ardından Save seçeneğine tıklayın.

      Not

      Varsayılan kimlik doğrulama bağlantı noktası User Wi-Fi Authentication Interface olarak gösterilir ve 1812'dir. Varsayılan hesap bağlantı noktası User Wi-Fi Billing Interface olarak gösterilir ve 1813'tür.

    5. Deployment and Installation sekmesinde RADIUS dağıtmak için gereken Recommended Server Specifications ve Server Deployment Commands bilgilerini görüntüleyin.

    6. Server Deployment Commands bilgilerini kopyalayın ve RADIUS'u kendi sunucunuzda dağıtın.

    7. Dağıtım tamamlandıktan sonra listedeki dağıtım durumunu kontrol edin.

      Başarıyla dağıtılan bir kimlik doğrulama sunucusu Online durumunu gösterir.

    Adım 3: Wi-Fi yönetimini yapılandırma

    Misafirlerin bağlandığı kablosuz ağ için bir ağ örneği oluşturun.

    1. Wi-Fi Management sekmesinde Create Network Instance seçeneğine tıklayın.

    2. Enterprise Wireless Network Configuration iletişim kutusunda misafirlerin ağa erişmek için kullandığı Network SSID ve Authentication Mode bilgilerini yapılandırın. Yalnızca EAP-TLS desteklenir. Ardından OK seçeneğine tıklayın.

    Adım 4: Şirket içi kablosuz denetleyiciyi yapılandırma (H3C örneği)

    Şirket içi kablosuz denetleyicinizin konsolunda misafir ağı için portal kimlik doğrulamasını yapılandırın.

    RADIUS yapılandırma

    1. H3C kablosuz denetleyicisinin konsolunda oturum açın.

    2. Sayfanın alt kısmında Network seçeneğini belirleyin. Sol gezinme bölmesinde Network Security > Authentication seçeneğini belirleyin.

    3. RADIUS sekmesinde bir RADIUS şeması eklemek için image simgesine tıklayın.

    4. Add RADIUS Scheme sayfasında RADIUS ayarlarını yapılandırın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Örnek değer


    Scheme Name


    RADIUS şeması için özel bir ad girin.


    sase-r1


    Authentication Server


    Kimlik doğrulama sunucusunu yapılandırın. Birden fazla kimlik doğrulama sunucunuz varsa bunları yedek sunucu olarak ekleyebilirsiniz. Gerekli değerleri SASE konsolunun Network Access Control > Basic Configurations > Authentication Server sekmesinde bulabilirsiniz. Bu sekme, Add Authentication Server kullanarak eklediğiniz tüm kimlik doğrulama sunucularını listeler. Her sunucu için sekmede Name, Server Status, IP address ve key bilgileri gösterilir.


    VRF: Varsayılan genel ağ; Type: Varsayılan IP adresi; IP address: 121,40.. (kimlik doğrulama sunucusuyla aynı); Port: 2000; Shared key: anahtarı girin (kimlik doğrulama sunucusuyla aynı); Status: Active


    Advanced Settings


    Show Advanced Settings seçeneğine tıklayın ve aşağıdaki ayarları kullanın. Diğer parametreler için varsayılan değerleri koruyun. Source IPv4 Address for Sending RADIUS Packets: RADIUS sunucusunda belirtilen erişim cihazının IPv4 adresi. Bu genellikle AC'nin yönetim arabirimi IP adresidir. Username Format Sent to the RADIUS Server: alan adı olmadan.


    Source IPv4 Address for Sending RADIUS Packets: 121,40..; Username Format Sent to the RADIUS Server: alan adı olmadan

    ISP alan adını yapılandırma

    1. Sol gezinme bölmesinde Network Security > Authentication seçeneğini belirleyin. ISP Domain sekmesinde bir ISP alan adı eklemek için image simgesine tıklayın.

    2. Add ISP Domain sayfasında ISP alan adını yapılandırın ve OK seçeneğine tıklayın.

      Aşağıdaki parametreleri yapılandırın: Domain Name değerini sase-dm1 gibi özel bir ada ayarlayın, Status değerini Active olarak ayarlayın ve Access Mode için LAN Access seçeneğini belirleyin. LAN erişimi AAA şemasında Authentication değerini RADIUS olarak ayarlayın ve oluşturduğunuz RADIUS şemasını seçin. Authorization ve Accounting değerlerini RADIUS olarak ayarlayın ve aynı şemayı seçin.

    Portal kimlik doğrulama sunucusunu yapılandırma

    1. Sol gezinme bölmesinde Network Security > Provisioning seçeneğini belirleyin.

    2. Portal sekmesinde Portal Authentication Server seçeneğine tıklayın.

    3. Portal sayfasında bir portal kimlik doğrulama sunucusu eklemek için image simgesine tıklayın.

    4. Create Portal Authentication Server sayfasında aşağıdaki ayarları kullanın, diğer parametreler için varsayılan değerleri koruyun ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Örnek değer


    Server Name


    Portal kimlik doğrulama sunucusu için bir ad ayarlayın.


    sase-newptv4


    IP address


    RADIUS sunucusunun IP adresini ayarlayın.


    121,40..


    Server Reachability Detection


    Algılamayı etkinleştirin ve Detection Duration ile Action değerlerini ayarlayın.


    Detection Duration: 60 saniye; Action: Log seçeneğini belirleyin

    Portal web sunucusunu yapılandırma

    1. Sol gezinme bölmesinde Network Security > Provisioning seçeneğini belirleyin.

    2. Portal sekmesinde Local Portal Web Server seçeneğine tıklayın.

    3. Portal sayfasında bir portal web sunucusu eklemek için image simgesine tıklayın.

    4. Create Local Portal Web Server sayfasında aşağıdaki ayarları kullanın ve OK seçeneğine tıklayın.


    Parametre


    Açıklama


    Örnek değer


    Server Name


    Sunucu için bir ad girin.


    sase-newptv4


    URL


    Sunucu adresini girin.


    121,40..


    URL Parameters


    User IP Address seçeneğini belirleyin, URL Parameter Name alanına bir parametre adı girin ve Add seçeneğine tıklayın. Ardından User MAC Address seçeneğini belirleyin, URL Parameter Name alanına bir parametre adı girin ve Add seçeneğine tıklayın.


    Kullanıcı IP adresi: userip; Kullanıcı MAC adresi: usermac

    Kablosuz hizmeti yapılandırma

    1. Sol gezinme bölmesinde Wireless Configuration > Wireless Network seçeneğini belirleyin.

    2. Wireless Network sekmesinde bir kablosuz ağ eklemek için image simgesine tıklayın.

    3. Kablosuz hizmet ekleme sayfasında Wireless Service Name, SSID ve Default VLAN bilgilerini yapılandırın ve Wireless Service seçeneğini etkinleştirin. Ardından OK and Go to Advanced Settings seçeneğine tıklayın.

      Security Authentication bölümünde Authentication Mode değerini 802,1X Authentication (Unencrypted) ve Authentication Location değerini Central AC olarak ayarlayın.

      Not

      Oluşturduğunuz ağ örneğinin SSID'sini SASE konsolunun Network Access Control > Basic Configurations > Wi-Fi Management sekmesinden alabilirsiniz.

    4. Link Layer Authentication sekmesinde Authentication Mode değerini IPv4 Portal Authentication olarak ayarlayın, Domain Name değerini oluşturduğunuz ISP alan adının adına ayarlayın, Web Server Name seçeneğini belirleyin ve BAS-IP bilgisini yapılandırın. Diğer ayarlar için varsayılan değerleri koruyun. Ardından OK seçeneğine tıklayın.

    5. Binding sekmesinde bağlamak istediğiniz AP'ye tıklayın ve OK seçeneğine tıklayın.

    Ek yapılandırmalar

    AC'ye bir konsol kablosuyla bağlanın ve aşağıdaki komutları çalıştırın.

    # Enable wireless portal roaming.
[AC] portal roaming enable
# Disable ARP entry pinning for wireless portal clients.
[AC] undo portal refresh arp enable
# Enable the validity check for wireless portal clients.
[AC] portal host-check enable
# Set the portal authentication server type to CMCC
[AC] portal server sase-newptv4
[AC-portal-server-newpt] server-type cmcc
[AC-portal-server-newpt] quit
# Configure the portal web server
[AC] portal web-server sase-newptv4
[AC-portal-websvr-newpt] url http://192.168.XX.XX:8080/portal
# Include the ssid and wlan parameters in the portal web server URL that the device redirects users to. The values are the SSID and VLAN of the AP.
[AC-portal-websvr-newpt] url-parameter ssid ssid
[AC-portal-websvr-newpt] url-parameter vlan vlan
[AC-portal-websvr-newpt]  url-parameter acip value  <Actual IP address of the AC> 
# Set the portal web server type to CMCC.
[AC-portal-websvr-newpt] server-type cmcc
# Configure iOS captive-bypass adaptation
[AC-portal-websvr-newpt] captive-bypass ios optimize enable
[AC-portal-websvr-newpt] quit
# Enable the RADIUS session control feature.
[AC] radius session-control enable
# Configure the RADIUS CoA feature
[AC] radius dynamic-author server
[AC-radius-da-server] client ip <Radius server IP> key simple <SharedSecret>

    <Radius server IP> ifadesini RADIUS sunucusunun IP adresiyle ve <SharedSecret> ifadesini bu sunucunun paylaşılan anahtarıyla değiştirin.

    <Radius server IP> ifadesini RADIUS sunucusunun IP adresiyle ve <Sharesecret> ifadesini bu sunucunun paylaşılan anahtarıyla değiştirin.

    Adım 5: Misafir olarak oturum açma

    Bir cihaz misafir Wi-Fi ağına bağlandıktan sonra portal kimlik doğrulama sayfası otomatik olarak açılır. Mobil numaranızı girin, SMS doğrulama kodunu alın ve girin, ardından Log On seçeneğine tıklayın. Kimlik doğrulama başarılı olduktan sonra dahili kurumsal uygulamalara erişebilirsiniz.

    Adım 6: Misafir günlüklerini görüntüleme

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Log Analysis > Log Audit seçeneğini belirleyin.

    3. Access Logs > Guest Authentication Logs sekmesinde misafirlerin ağ erişimi kimlik doğrulama durumunu görüntüleyin.

    Senaryo 4: Akıllı olmayan uç noktalar için ağ erişimini yapılandırma

    Akıllı olmayan uç noktalar, kablolu veya kablosuz bir ağ üzerinden kurumsal ofis ortamına erişebilir. Önce akıllı olmayan uç noktaları SASE konsoluna ekleyin, ardından şirket içi anahtarınızda ağ erişimini yapılandırın.

    Adım 1: Akıllı olmayan uç noktaları ekleme

    1. Secure Access Service Edge konsolunda oturum açın.

    2. Sol gezinme bölmesinde Endpoint Management > Terminals seçeneğini belirleyin.

    3. Soldaki listede Dumb Terminal seçeneğini belirleyin. İş gereksinimlerinize göre Add Terminal veya Import Devices seçeneğine tıklayın. Aşağıdaki seçeneklerden birini tamamlayın:

      • Add Terminal — Add Terminal bölmesinde uç noktanın MAC Address, MAC Address Mask, Device Vendor, Device Name ve Device Type bilgilerini girin ve ardından OK seçeneğine tıklayın.

      • Import Devices — Import Devices iletişim kutusunda Download Import Template seçeneğine tıklayın. Cihaz bilgilerini doldurduktan sonra Upload Local File seçeneğine tıklayın. Yükleme tamamlandıktan sonra OK seçeneğine tıklayın.

    Adım 2: Ağ erişimini yapılandırma

    Akıllı olmayan bir uç noktanın ağ erişimi yapılandırması cihaz türüne bağlıdır: kablosuz uç noktalar ve kablolu uç noktalar farklı yöntemler kullanır.

    Not

    Akıllı olmayan uç noktalar sertifika yönetimine veya SASE istemcisine ihtiyaç duymaz. Senaryo 1'in 4. ve 8. Adımlarını veya Senaryo 2'nin 3. ve 7. Adımlarını atlayın.

    Adım 3: Akıllı olmayan uç nokta kimlik doğrulama günlüklerini görüntüleme

    1. SASE konsolunun sol gezinme bölmesinde Log Analysis > Log Audit seçeneğini belirleyin.

    2. Access Logs > Dumb Terminal Authentication Logs sekmesinde akıllı olmayan uç noktaların ağ erişimi kimlik doğrulama durumunu görüntüleyin.