Aruba ClearPass [Lab-18][Guest#3] Cấu hình Accept Guest bằng Sponsor

Cấu hình Accept Guest bằng Sponsor​

I. Mở đầu​

Trong nhiều doanh nghiệp, trường học hoặc tổ chức, việc cung cấp mạng Wi-Fi cho khách (Guest) cần được kiểm soát nhằm đảm bảo an toàn và tuân thủ chính sách bảo mật. Thay vì cho phép người dùng tự đăng ký và truy cập ngay, mô hình Guest Access bằng Sponsor yêu cầu tài khoản khách phải được một người bảo trợ (Sponsor) xác nhận trước khi được kích hoạt.

Với cơ chế này, sau khi người dùng hoàn tất biểu mẫu đăng ký trên Guest Portal, hệ thống Aruba ClearPass sẽ gửi một email đến Sponsor đã được chỉ định. Sponsor sẽ xác thực danh tính (nếu được yêu cầu) và thực hiện Confirm hoặc Reject yêu cầu đăng ký. Chỉ khi được xác nhận, tài khoản Guest mới được kích hoạt và có thể đăng nhập sử dụng mạng.

II. Cấu hình​

1. Phía Gmail​

Vì Google bắt buộc bảo mật nâng cao, nên phải bật Xác minh 2 bước (2-Step Verification) trên tài khoản Gmail.
Truy cập vào đường dẫn thiết lập mật khẩu ứng dụng của Google để tạo một App password dành riêng cho ClearPass.

2. Xử lý Chứng chỉ bảo mật (Certificate) trên ClearPass​

Sử dụng lệnh OpenSSL s_client -starttls smtp -connect smtp.gmail.com:587 -showcerts
Trong CMD để lấy các Chứng chỉ được máy chủ smtp của Gmail trả về

Tổng cộng có 3 Cert bắt đầu từ Begin Certificate và kết thúc bằng End Certificate
Copy 3 Cert đó và lưu dướng dạng PEM

Tiếp tục cài 3 Certificate và Trust List của ClearPass
Administration > Certificate > Trust List

nếu thiếu chứng chỉ, ClearPass sẽ báo lỗi kết nối Could not convert socket to TLS

3. Cấu hình Messaging Setup trên ClearPass​

Administration > External Servers > Messaging Setup

Server Name: smtp.gmail.com
Port: 587
Connection Security: StartTLS
Username: Địa chỉ Gmail
Password: Mã App password 16 ký tự vừa tạo ở bước 1


Kiểm tra bằng nút Send Test Email

Thành công


Save

4. Cấu hình Sonponsor​

Configuration > Pages > Guest Self‑Registrations.

Chọn Sponsor Confirmation
Enable Require sponsor confirmation prior to enabling the account
Enable phần authentication để bắt Sponsor đăng nhập tài khoản trước khi duyệt


Các phần UI có thể Override để chỉnh sửa

Save

Tiếp theo vào Configuration > Pages > Form

Enable trường sponsor_email

Phần Option điền dạng key | value
key => email của người duyệt
value => Tên hiển thị cho người dùng thấy

Save

III. Kiểm tra​

Khi dùng máy tính và Portal để đăng kí thì sẽ hiện thêm trường Sponsor. Chọn 1 trong 2

Register

Sau khi đăng kí xong trạng thái đang là Disabled
Và chưa được Login

Ở mail của Sponsor

Click link trong mail
Ở đây mình có thể chọn Confirm hoặc Reject

Khi reject

Bên người đăng kí



Bây giờ đăng kí lại

Sponsor Confirm

Bên Người đăng kí

Sau đó chỉ cần bấm login là vào được mạng