การตั้งค่า IAM ให้เป็น Radius server

บทนำ

Sangfor IAG สามารถทำหน้าที่เป็น RADIUS Server ได้ โดยรองรับการ authenticate ผู้ใช้งานจากอุปกรณ์ภายนอก เช่น Wireless Controller, VPN Gateway หรือ Network Access Server (NAS) อื่น ๆ ที่รองรับ RADIUS Protocol ฟีเจอร์นี้ช่วยให้สามารถรวมศูนย์การจัดการ user authentication ไว้ที่ IAG เครื่องเดียว โดยอุปกรณ์อื่นจะส่ง RADIUS request มายัง IAG เพื่อตรวจสอบ username/password ของ Local User ที่สร้างไว้บนระบบ

IAG รองรับทั้ง Authentication Port และ Accounting Port โดยใช้ Shared Secret แยกกัน และรองรับ PAP Protocol เป็นค่าเริ่มต้น

ข้อกำหนดเบื้องต้น

• มี Sangfor IAG ที่ติดตั้งและใช้งานได้ปกติ พร้อมสิทธิ์ Admin
• มี Local User สร้างไว้บน IAG สำหรับใช้ในการ authenticate
• ทราบ IP Address ของอุปกรณ์ RADIUS Client (NAS) ที่จะเชื่อมต่อเข้ามา
• อุปกรณ์ RADIUS Client รองรับ PAP Protocol

ขั้นตอนการตั้งค่า

ขั้นตอนที่ 1: เปิดใช้งาน RADIUS Server บน IAG

1. ไปที่ Access Mgt > Authentication > Correlation Connection > RADIUS Server
2. ติ๊กเครื่องหมายถูกที่ Enabled เพื่อเปิดใช้งาน RADIUS Server
3. ตั้งค่าในส่วน Authentication:
   • Port: กำหนด port สำหรับรับ authentication request (ค่าเริ่มต้น: 1812)
   • Shared Secret: กำหนด secret key สำหรับ authentication โดยต้องตรงกับที่ตั้งค่าบนอุปกรณ์ RADIUS Client
4. ตั้งค่าในส่วน Accounting:
   • Port: กำหนด port สำหรับรับ accounting data (ค่าเริ่มต้น: 1813)
   • Shared Secret: กำหนด secret key สำหรับ accounting
5. คลิก Commit เพื่อบันทึกการตั้งค่า

ขั้นตอนที่ 2: สร้าง Local User สำหรับ RADIUS Authentication

1. ไปที่ Access Mgt > User Management > Local/Domain Users
2. เลือก Organization Unit (OU) ที่ต้องการ แล้วคลิก Add
3. กรอกข้อมูล:
   • Username: ชื่อผู้ใช้งาน
   • Password: รหัสผ่าน
4. คลิก Commit เพื่อบันทึก

ขั้นตอนที่ 3: ตั้งค่าบนอุปกรณ์ RADIUS Client

1. ตั้งค่า RADIUS Server IP เป็น IP Address ของ IAG
2. กำหนด Authentication Port ตรงกับที่ตั้งค่าบน IAG (ค่าเริ่มต้น: 1812)
3. กำหนด Shared Secret ให้ตรงกับที่ตั้งค่าบน IAG
4. เลือก Protocol เป็น PAP

การตรวจสอบ

• ทดสอบ login จากอุปกรณ์ RADIUS Client ด้วย username/password ของ Local User ที่สร้างไว้บน IAG
• ตรวจสอบที่ Status > Online Users บน IAG ว่ามี user ปรากฏหลังจาก authenticate สำเร็จ
• หากใช้งาน VPN ร่วมกับ RADIUS ให้ตรวจสอบที่ VPN > RADIUS Server tab ว่ากำหนด Server IP, Port, Shared Secret และ Protocol ถูกต้อง

หมายเหตุ

• IAG รองรับเฉพาะ PAP Protocol เป็นค่าเริ่มต้นสำหรับ RADIUS Server ในส่วน Authentication
• Authentication Port และ Accounting Port ใช้ Shared Secret แยกกัน (Mutually Exclusive Keys)
• หากต้องการใช้ RADIUS Server ภายนอกแทน ให้ติ๊ก Use external RADIUS server ในหน้า Third-party Appliance แล้วตั้งค่า port เป็น 1812 และ key ให้ตรงกับ RADIUS Server ภายนอก ที่เมนู Access Mgt > Authentication > Correlation Connection > RADIUS Auth Server
• สำหรับ VPN RADIUS Authentication สามารถตั้งค่าได้ที่ VPN > RADIUS Server tab โดยกำหนด Server IP, Port, Shared Secret, Protocol (PAP) และเลือก Enable RADIUS authentication