Tweet
Trong các hệ thống Wi-Fi doanh nghiệp, việc tạo một SSID Guest riêng không chỉ đơn giản là cấp một dải IP khác cho khách. Khi triển khai thực tế, chúng ta thường cần tách biệt mạng Guest với mạng nội bộ, đồng thời yêu cầu người dùng xác thực trước khi được phép truy cập Internet.
Trong bài lab này, mình triển khai mô hình Cisco WLC + Access Point + Cisco ISE + Switch Core, trong đó SSID Staff sử dụng WPA2-PSK, còn SSID Guest sẽ được đưa qua Web Portal trên Cisco ISE. Đây là một bài lab khá sát với cách xây dựng Wi-Fi Guest trong môi trường doanh nghiệp.
Tài liệu lab sử dụng mô hình gồm PC, Access Point, Switch, WLC và Cisco ISE. Các thiết bị được đặt trong mạng quản lý 192.168.1.0/24; đồng thời tạo VLAN 10 cho Staff và VLAN 20 cho Guest. 1. XÂY DỰNG MÔ HÌNH VLAN
Trước tiên, trên Switch Core mình tạo 3 VLAN:
Switch Core đóng vai trò Default Gateway và DHCP Server cho các VLAN. Đồng thời cấu hình routing để các mạng bên trong có thể đi Internet.
Điểm cần chú ý ở bước này là đường kết nối từ Core đến WLC phải đảm bảo truyền được các VLAN cần thiết. Theo tài liệu, interface kết nối WLC và AP sử dụng Trunk, trong khi interface Internet là Layer 3.
Sau khi cấu hình, mình kiểm tra lần lượt gateway, DHCP và khả năng routing trước khi chuyển sang WLC. Làm như vậy giúp khoanh vùng lỗi dễ hơn nếu Wi-Fi sau đó không nhận được IP. 2. CẤU HÌNH WLC VÀ ACCESS POINT
Tiếp theo, mình cấu hình các thông số cơ bản trên WLC và đưa AP vào hệ thống quản lý tập trung.
AP sử dụng VLAN 1 để nhận IP và được WLC quản lý. Đồng thời trên WLC cần tạo đủ interface tương ứng với VLAN 1, VLAN 10 và VLAN 20.
Đây là phần mình đặc biệt chú ý vì nếu interface VLAN trên WLC hoặc trunk giữa Switch Core và WLC không đúng, SSID có thể vẫn xuất hiện nhưng client sẽ không nhận được IP đúng VLAN. 3. TẠO SSID STAFF
Sau khi WLC và AP hoạt động ổn định, mình bắt đầu tạo SSID dành cho nhân viên.
Trên WLC vào:
WLANs → Create New
Tạo:
Sau đó bật WLAN và cấu hình bảo mật tại Security → Layer 2.
Mình chọn:
Password theo tài liệu lab là:
vnpro123
SSID Staff sau đó sẽ cấp IP thuộc VLAN 10.
Đến đây, mình kiểm tra bằng cách kết nối một client vào SSID Staff và xác nhận client nhận địa chỉ thuộc subnet 10.0.10.0/24. 4. TẠO SSID GUEST
Phần quan trọng nhất của bài lab nằm ở SSID Guest.
Mình tạo WLAN mới:
Khác với Staff, SSID Guest không sử dụng WPA2-PSK. Tại Security → Layer 2, mình chọn None và bật MAC Filtering.
Sau đó tại Security → AAA Servers, bật Authentication Servers và chọn Cisco ISE đã được cấu hình trên WLC. RADIUS được đưa lên đầu trong thứ tự xác thực. Tại phần Advanced, bật Allow AAA Override và chọn NAC State: RADIUS NAC.
Đây là bước kết nối WLC với Cisco ISE để WLC có thể sử dụng ISE cho quá trình xác thực và authorization. 5. TẠO ACL REDIRECT
Một vấn đề mình gặp phải khi triển khai Web Authentication là client chưa xác thực sẽ bị hạn chế traffic.
Vì vậy cần tạo ACL để cho phép những traffic cần thiết, đặc biệt là DNS và traffic trao đổi với Cisco ISE, giúp client có thể được redirect tới trang Web Portal.
Trên WLC vào:
Security → Access Control Lists → Access Control Lists
Tạo ACL:
guest-redirect
Sau đó bổ sung các rule cho phép DNS và traffic từ/đến Cisco ISE. 6. CẤU HÌNH WEB PORTAL TRÊN CISCO ISE
Tiếp theo mình chuyển sang Cisco ISE.
Đầu tiên tạo Authorization Profile:
Policy → Results → Authorization → Authorization Profiles
Tạo profile:
Guest_Portal
Trong Common Tasks, chọn Web Redirection, kịch bản Hot Spot, sử dụng ACL guest-redirect và chọn Hot Spot Guest Portal (default).
Đồng thời nhập IP của Cisco ISE để WLC biết nơi cần redirect client.
Sau đó tạo Policy Set:
Web Authen for Guest
Điều kiện trong tài liệu là:
Wireless_MAB AND Radius: Called-Station-ID ENDS_WITH SSID_Guest
Allowed Protocols sử dụng Default Network Access. 7. AUTHENTICATION VÀ AUTHORIZATION
Trong Authentication Policy, mình cấu hình sử dụng Internal Endpoints.
Các trường hợp xử lý được đặt:
Sau đó tạo Authorization Policy.
Rule đầu tiên:
Redirect
Condition:
Wireless_MAB
Result:
Guest_Portal
Rule thứ hai:
GuestPermit
Condition:
Wireless_MAB AND IdentityGroup: Name EQUALS Endpoint Identity Groups: GuestEndpoints
Result:
PermitAccess.
Điểm đáng chú ý ở đây là quá trình truy cập Guest không chỉ dừng ở Authentication. Cisco ISE còn quyết định client được redirect hay được phép truy cập, thông qua Authorization Profile và Authorization Policy. 8. KIỂM TRA KẾT QUẢ
Sau khi hoàn tất cấu hình, mình kiểm tra theo đúng luồng kết nối:
Client → SSID_Guest → VLAN 20 → WLC → Cisco ISE → Web Portal → Authorization → Internet
Client Guest trước khi xác thực sẽ được đưa tới Web Portal. Sau khi quá trình xác thực và authorization thành công, client mới được phép truy cập theo policy đã cấu hình.
Điểm quan trọng nhất của bài lab này không nằm ở việc tạo một SSID Guest, mà nằm ở việc hiểu được mối quan hệ giữa WLC – VLAN – RADIUS – ACL – Cisco ISE – Web Redirection – Authorization.
Nếu một thành phần sai, ví dụ VLAN 20 không được truyền qua trunk, RADIUS không hoạt động, ACL redirect thiếu rule hoặc Authorization Policy không match, client có thể kết nối Wi-Fi nhưng vẫn không truy cập Internet.
Đó cũng là lý do mình thường triển khai bài lab theo từng lớp: kiểm tra VLAN trước, kiểm tra WLC/AP, sau đó mới kiểm tra RADIUS và cuối cùng là Web Portal. Cách này giúp việc troubleshooting dễ hơn rất nhiều so với cấu hình toàn bộ hệ thống cùng lúc.
Trong bài lab này, mình triển khai mô hình Cisco WLC + Access Point + Cisco ISE + Switch Core, trong đó SSID Staff sử dụng WPA2-PSK, còn SSID Guest sẽ được đưa qua Web Portal trên Cisco ISE. Đây là một bài lab khá sát với cách xây dựng Wi-Fi Guest trong môi trường doanh nghiệp.
Tài liệu lab sử dụng mô hình gồm PC, Access Point, Switch, WLC và Cisco ISE. Các thiết bị được đặt trong mạng quản lý 192.168.1.0/24; đồng thời tạo VLAN 10 cho Staff và VLAN 20 cho Guest. 1. XÂY DỰNG MÔ HÌNH VLAN
Trước tiên, trên Switch Core mình tạo 3 VLAN:
- VLAN 1: Management – 192.168.1.0/24
- VLAN 10: Staff – 10.0.10.0/24
- VLAN 20: Guest – 10.0.20.0/24
Switch Core đóng vai trò Default Gateway và DHCP Server cho các VLAN. Đồng thời cấu hình routing để các mạng bên trong có thể đi Internet.
Điểm cần chú ý ở bước này là đường kết nối từ Core đến WLC phải đảm bảo truyền được các VLAN cần thiết. Theo tài liệu, interface kết nối WLC và AP sử dụng Trunk, trong khi interface Internet là Layer 3.
Sau khi cấu hình, mình kiểm tra lần lượt gateway, DHCP và khả năng routing trước khi chuyển sang WLC. Làm như vậy giúp khoanh vùng lỗi dễ hơn nếu Wi-Fi sau đó không nhận được IP. 2. CẤU HÌNH WLC VÀ ACCESS POINT
Tiếp theo, mình cấu hình các thông số cơ bản trên WLC và đưa AP vào hệ thống quản lý tập trung.
AP sử dụng VLAN 1 để nhận IP và được WLC quản lý. Đồng thời trên WLC cần tạo đủ interface tương ứng với VLAN 1, VLAN 10 và VLAN 20.
Đây là phần mình đặc biệt chú ý vì nếu interface VLAN trên WLC hoặc trunk giữa Switch Core và WLC không đúng, SSID có thể vẫn xuất hiện nhưng client sẽ không nhận được IP đúng VLAN. 3. TẠO SSID STAFF
Sau khi WLC và AP hoạt động ổn định, mình bắt đầu tạo SSID dành cho nhân viên.
Trên WLC vào:
WLANs → Create New
Tạo:
- Profile Name: ssid_staff
- SSID: SSID_Staff
- Interface: vlan_10
Sau đó bật WLAN và cấu hình bảo mật tại Security → Layer 2.
Mình chọn:
- WPA + WPA2
- WPA2 Policy – AES
- Authentication Key Management – PSK
- PSK Format – ASCII
Password theo tài liệu lab là:
vnpro123
SSID Staff sau đó sẽ cấp IP thuộc VLAN 10.
Đến đây, mình kiểm tra bằng cách kết nối một client vào SSID Staff và xác nhận client nhận địa chỉ thuộc subnet 10.0.10.0/24. 4. TẠO SSID GUEST
Phần quan trọng nhất của bài lab nằm ở SSID Guest.
Mình tạo WLAN mới:
- Profile Name: ssid_guest
- SSID: SSID_Guest
- Interface: vlan_20
Khác với Staff, SSID Guest không sử dụng WPA2-PSK. Tại Security → Layer 2, mình chọn None và bật MAC Filtering.
Sau đó tại Security → AAA Servers, bật Authentication Servers và chọn Cisco ISE đã được cấu hình trên WLC. RADIUS được đưa lên đầu trong thứ tự xác thực. Tại phần Advanced, bật Allow AAA Override và chọn NAC State: RADIUS NAC.
Đây là bước kết nối WLC với Cisco ISE để WLC có thể sử dụng ISE cho quá trình xác thực và authorization. 5. TẠO ACL REDIRECT
Một vấn đề mình gặp phải khi triển khai Web Authentication là client chưa xác thực sẽ bị hạn chế traffic.
Vì vậy cần tạo ACL để cho phép những traffic cần thiết, đặc biệt là DNS và traffic trao đổi với Cisco ISE, giúp client có thể được redirect tới trang Web Portal.
Trên WLC vào:
Security → Access Control Lists → Access Control Lists
Tạo ACL:
guest-redirect
Sau đó bổ sung các rule cho phép DNS và traffic từ/đến Cisco ISE. 6. CẤU HÌNH WEB PORTAL TRÊN CISCO ISE
Tiếp theo mình chuyển sang Cisco ISE.
Đầu tiên tạo Authorization Profile:
Policy → Results → Authorization → Authorization Profiles
Tạo profile:
Guest_Portal
Trong Common Tasks, chọn Web Redirection, kịch bản Hot Spot, sử dụng ACL guest-redirect và chọn Hot Spot Guest Portal (default).
Đồng thời nhập IP của Cisco ISE để WLC biết nơi cần redirect client.
Sau đó tạo Policy Set:
Web Authen for Guest
Điều kiện trong tài liệu là:
Wireless_MAB AND Radius: Called-Station-ID ENDS_WITH SSID_Guest
Allowed Protocols sử dụng Default Network Access. 7. AUTHENTICATION VÀ AUTHORIZATION
Trong Authentication Policy, mình cấu hình sử dụng Internal Endpoints.
Các trường hợp xử lý được đặt:
- Authentication Fail → REJECT
- User Not Found → CONTINUE
- Process Fail → DROP
Sau đó tạo Authorization Policy.
Rule đầu tiên:
Redirect
Condition:
Wireless_MAB
Result:
Guest_Portal
Rule thứ hai:
GuestPermit
Condition:
Wireless_MAB AND IdentityGroup: Name EQUALS Endpoint Identity Groups: GuestEndpoints
Result:
PermitAccess.
Điểm đáng chú ý ở đây là quá trình truy cập Guest không chỉ dừng ở Authentication. Cisco ISE còn quyết định client được redirect hay được phép truy cập, thông qua Authorization Profile và Authorization Policy. 8. KIỂM TRA KẾT QUẢ
Sau khi hoàn tất cấu hình, mình kiểm tra theo đúng luồng kết nối:
Client → SSID_Guest → VLAN 20 → WLC → Cisco ISE → Web Portal → Authorization → Internet
Client Guest trước khi xác thực sẽ được đưa tới Web Portal. Sau khi quá trình xác thực và authorization thành công, client mới được phép truy cập theo policy đã cấu hình.
Điểm quan trọng nhất của bài lab này không nằm ở việc tạo một SSID Guest, mà nằm ở việc hiểu được mối quan hệ giữa WLC – VLAN – RADIUS – ACL – Cisco ISE – Web Redirection – Authorization.
Nếu một thành phần sai, ví dụ VLAN 20 không được truyền qua trunk, RADIUS không hoạt động, ACL redirect thiếu rule hoặc Authorization Policy không match, client có thể kết nối Wi-Fi nhưng vẫn không truy cập Internet.
Đó cũng là lý do mình thường triển khai bài lab theo từng lớp: kiểm tra VLAN trước, kiểm tra WLC/AP, sau đó mới kiểm tra RADIUS và cuối cùng là Web Portal. Cách này giúp việc troubleshooting dễ hơn rất nhiều so với cấu hình toàn bộ hệ thống cùng lúc.
Attached Files