Aruba ClearPass [Lab-20][Onboard#2] Cấu hình cơ bản cho Onboard

Cấu hình cơ bản cho Onboard​

I. Mở đầu​

Ở bài viết trước, chúng ta đã hoàn thành việc xây dựng Certificate Authority (CA) cho Aruba ClearPass, tạo nền tảng để cấp phát và quản lý chứng chỉ số phục vụ xác thực mạng bằng EAP-TLS. Tuy nhiên, chỉ có CA vẫn chưa đủ để người dùng và thiết bị có thể tự động nhận chứng chỉ và sử dụng chúng trong quá trình xác thực.

Trong bài viết này, chúng ta sẽ tiếp tục cấu hình các thành phần cơ bản của ClearPass Onboard nhằm kết nối quy trình cấp phát chứng chỉ với người dùng cuối. Các thiết lập này sẽ quyết định cách thiết bị được đăng ký (Onboard), cách chứng chỉ được cấp phát và lưu trữ, cũng như cách Aruba QuickConnect tự động cấu hình kết nối EAP-TLS trên thiết bị.

II. Cấu hình​

1. Cấu hình Network Settings​

Onboard > Configuration > Network Settings
Create new


Tab Access

- Điền tên của cấu hình Network này
- Network Type chọn Wired Only, mình sẽ demo cho Wired

Tab Protocol

Chọn Windows EAP TLS
EAP-TLS (Extensible Authentication Protocol - Transport Layer Security) là một giao thức xác thực 802.1X dựa trên chứng chỉ số (certificate-based authentication).
Nó cho phép thiết bị (client) và máy chủ xác thực lẫn nhau bằng digital certificate thay vì sử dụng username/password.

Tab Authentication

Chọn Certificate Store = User. Khi Client nhận được Cert từ CPPM thì sẽ được lưu trong kho chứng chỉ của người dùng đăng nhập trên Windows (Current User Certificate Store), nếu chọn Machine thì sẽ được lưu trong kho chứng chỉ của máy tính.

Tab Trust

Mục đầu để cấu hình thiết bị client sẽ tin tưởng máy chủ RADIUS nào. Khi chọn Automatically configure trusted servers ClearPass sẽ tự động lấy tất cả các máy chủ Policy Manager (Publisher và Subscriber) trong Cluster và cấu hình chúng thành các máy chủ tin cậy trên thiết bị.
Mục Configure Trust: Đây là nơi cấu hình CA nào sẽ được cài vào Trusted Root Certification Authorities trên máy người dùng. Chọn Auto thì sẽ

• cài Root CA của ClearPass (hoặc CA đã ký chứng chỉ RADIUS)
• đưa CA vào Trusted Root
• cấu hình EAP chỉ tin CA đó

Tab Windows
Cấu hình NAP (Network Access Protection) là công nghệ cũ của Microsoft để kiểm tra tình trạng bảo mật của máy trước khi cho truy cập mạng => Không cấu hình Tab này
Tab Proxy
Nó cho thiết bị biết sau khi vào mạng, khi truy cập Internet/Web thì có cần đi qua Proxy hay không.
Ở bài này mình không cấu hình.

Sau khi xong cấu hình Network

2. Deployment and Provisioning​

a. Cấu hình Configuration Profiles​

Deployment and Provisioning > Configuration Profiles > Create new configuration profile


Điền thông tin cho trường Name và Description
Và chọn Networks đã tạo trước đó

Dùng để đóng gói tất cả cấu hình mạng (Wi-Fi, Mạng dây Wired 802.1X, Certificate, VPN, Email...) thành một file cấu hình (payload/mobileconfig). Khi thiết bị người dùng (PC, iOS, Android, macOS...) thực hiện Onboard, file profile này sẽ tự động cài xuống thiết bị, giúp thiết bị tự cấu hình kết nối mạng an toàn (ví dụ: EAP-TLS) mà người dùng không cần chỉnh tay phức tạp.

Sau khi xong

b. Provisioning Settings​

Dùng để cấu hình quy trình Onboard

Chọn Root CA đã tạo để ký cấp chứng chỉ cho các Profile.
TLS Certificate Authority chọn Root CA để ký chứng chỉ TLS của thiết bị

Mục Authorization
Quy định ClearPass Onboard sẽ kiểm tra quyền (Authorization) của người dùng/thiết bị bằng cơ chế nào trong lúc thực hiện Onboard để quyết định xem thiết bị này có được phép hoàn tất quá trình Onboard hay không.
Cấu hình
- Authorization Method = App Authentication để sử dụng Quickconnect để cấp phát Onboard
- Use SSO tick chọn nếu muốn người dùng khi Onboard sẽ không nhập username/password trực tiếp vào trang Onboard nữa, mà sẽ được chuyển hướng (redirect) sang trang đăng nhập tập trung SSO của doanh nghiệp (như Azure AD/Microsoft Entra ID, Okta, Ping Identity, Google Workspace...).
- Configuration Profile chọn Profile đã tạo.
- Maximum Device dùng để cấu hình số thiết bị tối đa được phép Onboard với mỗi User

Mục Ation
- Certificate Expiry: Cho phép gửi email thông báo khi chứng thư sắp hết hạn.
- Revoke Inactive & Inactivity Period: Tự động thu hồi (Revoke) chứng thư nếu thiết bị không xuất hiện trên mạng sau một số ngày nhất định (Yêu cầu phải bật node Insight).
- Delete Duplicates & Deletion Delay: Tự động xóa các chứng thư cũ bị trùng lặp của người dùng sau một số ngày kể từ khi họ Onboard lại thiết bị mới.

Tab Support Devices (Cấu hình Cài đặt Cấp phát cho các Thiết bị được Hỗ trợ)
Cấu hình cấp phát nếu loại thiết bị đó được kích hoạt trên tab Supported Devices.

Chủ yếu tick Windows vì mình demo Windows

Web Login



Instructions & Messages
Cấu hình các nội dung hướng dẫn và thông báo hiển thị trước, trong và sau quá trình provisioning. Bao gồm thông báo chung và thông báo riêng cho từng hệ điều hành.
Có thể để Default Message hoặc chọn Custom message


Apple Profiles
Cấu hình tùy chọn cho Apple


Onboard Client
Cấu hình các Tùy chọn cho Ứng dụng khách Onboard (Onboard Client Devices)

Thẻ Onboard Client được sử dụng để chỉnh sửa các tùy chọn cấu hình cơ bản dành cho các thiết bị:

• Windows
• Android
• OS X phiên bản cũ (10.5 và 10.6)

Biểu mẫu này không áp dụng cho các thiết bị:

• iOS
• iPadOS
• macOS 10.7 trở lên

Provisioning Address: Xác định hostname hoặc địa chỉ IP được sử dụng khi cấp cấu hình (provision) cho thiết bị.

Sponsorship Confirmation
Phần này cấu hình người phê duyệt

III. Tổng kết​

Việc hoàn tất các bước cấu hình cơ bản cho Aruba ClearPass Onboard đánh dấu cột mốc quan trọng trong quá trình xây dựng hạ tầng xác thực mạng dựa trên chứng chỉ số (Certificate-Based Authentication) an toàn và tự động hóa.

Xương sống PKI và quy trình cấp phát tự động của ClearPass Onboard đã sẵn sàng hoạt động. Người dùng cuối giờ đây có thể tự thực hiện Onboard thiết bị (Self-Service Enrollment) một cách dễ dàng mà không cần sự can thiệp thủ công từ bộ phận IT. Thiết bị sau khi Onboard sẽ sở hữu chứng chỉ TLS hợp lệ, sẵn sàng tham gia vào các chính sách kiểm soát truy cập nghiêm ngặt.

Sau khi hạ tầng Onboard nền tảng đã sẵn sàng, bước tiếp theo trong chuỗi triển khai sẽ là cấu hình Onboard Provisioning Portal (trang đăng ký thiết bị), xây dựng Services & Enforcement Policies trên Policy Manager để kiểm soát luồng truy cập thực tế, và tiến hành kiểm thử xác thực EAP-TLS trên Endpoint Windows.

​