Nebula AP/Switch – Konfigurieren eines nicht standardmäßigen Management-VLANs

Der folgende Artikel zeigt Ihnen, wie Sie Ihre Nebula-Geräte konfigurieren, wenn das Management-VLAN nicht der standardmäßige ungetaggte Verkehr vom LAN-Interface des Gateways ist.

1. Was ist ein Management-VLAN?

Das Management-VLAN ist eine gängige Praxis, die von Netzwerkadministratoren verwendet wird, um zu verhindern, dass Endbenutzer auf wichtige Netzwerkgeräte in ihrer Netzwerkinfrastruktur zugreifen. Dies fügt Ihrem administrativen Netzwerk eine zusätzliche Sicherheitsebene hinzu. Dies geschieht, indem jedem Netzwerkgerät eine eindeutige VLAN-ID zugewiesen wird, während sichergestellt wird, dass Endbenutzer das Netzwerk über ein anderes VLAN betreten. Im Fall von Nebula-Geräten können Fehlkonfigurationen jedoch dazu führen, dass Ihre Remote-Geräte den Internetzugang verlieren. Wenn Ihre Nebula-Geräte eine Konfiguration beibehalten, die ihnen den Zugriff auf Nebula CC verwehrt, kann die einzige Möglichkeit zur Wiederherstellung der Geräteverwaltung ein Zurücksetzen auf die Werkseinstellungen sein. Diese Anleitung enthält Anweisungen, wie Sie eine eindeutige Management-VLAN-ID (nicht VLAN 1) für Ihre Nebula-Geräte an einem neuen Standort korrekt einstellen und dabei Bedingungen vermeiden, die dazu führen können, dass Ihre Geräte den Zugriff auf Nebula CC verlieren.

2. Fallback-Mechanismus

Nebula-Switches und Access Points verfügen über einen Mechanismus, der verhindert, dass diese Geräte aufgrund von Management-Änderungen in Nebula CC den Internetzugang verlieren. Wenn versucht wird, die IP-Adresse oder das Management-VLAN des Nebula-Geräts so zu ändern, dass der Internetzugang verloren geht, stellen die Nebula-Geräte ihre vorherigen Konfigurationen wieder her. Dies wird häufig durch die Meldung „Bad IP assignment configuration“ auf der Geräte-Seite angezeigt.

Der Schlüssel zur erfolgreichen Konfiguration einer neuen Management-IP-Adresse oder eines neuen VLANs besteht darin, sicherzustellen, dass sowohl die alten als auch die neuen Einstellungen Zugriff auf das Internet haben. Erst nachdem Nebula CC bestätigt hat, dass die vorgenommenen Änderungen am Gerät keinen Verlust des Internetzugangs verursachen, können Sie damit beginnen, VLANs oder IP-Schnittstellen an Ihren Switches und Gateways zu entfernen oder zurückzunehmen.

3.Einrichten einer VLAN-Schnittstelle auf dem NSG/USG FLEX

Hinzufügen und Speichern einer VLAN100-Schnittstelle

NSG-Serie:

Site-wide > Configure > Security Gateway > Interfaces addressing > Interface [+Add]

USG FLEX-Serie:

Site-wide > Configure > Firewall > Interface > LAN Interface [+Add]

Dies erstellt ein getaggtes VLAN mit der ausgewählten VID in der jeweiligen Portgruppe (sowohl USG als auch NSG zeigen eine ähnliche Konfiguration)

Bitte beachten Sie, dass die Ports LAN1 + LAN2 immer als ungetaggte Mitglieder im VLAN1 mit PVID auf 1 bleiben – dies sind nicht änderbare Einstellungen.

4. Festlegen des Management-VLANs des Switches:

Site-wide > Configure > Switch > Switch ports 

Bearbeiten Sie die Ports 1 und 28, da dies unsere Uplink-Ports für den Switch selbst und den AP sind (wie im obigen Bild gezeigt), und fügen Sie die benötigten VLANs im Feld „Allowed VLANs“ hinzu:

*VLAN 10: Privates Netzwerk, VLAN 20: Gastnetzwerk, VLAN 100: Management-Netzwerk.

Nun muss die LAN-IP des Switches konfiguriert und gespeichert werden.

Site-wide > Devices > Switches > Switch auswählen > LAN-IP bearbeiten.

Beachten Sie die Wichtigkeit, das korrekte VLAN definiert zu haben. Dieses VLAN kann pro Gerät definiert werden oder global unter

Site-wide > Configure > Switch > Switch Settings > Management VLAN

Nachdem die LAN-Einstellungen gespeichert wurden, können wir die LAN-IP-Adresse des Switches bestätigen (Nebula CC kann einige Minuten benötigen, um die aktualisierte LAN-IP anzuzeigen)

Site-wide > Devices > Switches

5. Festlegen des Management-VLANs des Access Points

Management-LAN-IP konfigurieren und speichern

Site-wide > Devices > Access points > AP auswählen > LAN-IP bearbeiten

Hinweis: Das Einrichten des Management-VLANs als getaggt beschränkt den AP darauf, nur getaggten Verkehr weiterzuleiten. Daher sollten die SSIDs nur VLAN-Schnittstellen verwenden und keinen ungetaggten LAN-Verkehr.

Und das sollte ausreichen, damit Ihre Geräte eine IP-Adresse aus einem Management-VLAN erhalten, das sich vom ungetaggten Verkehr des LAN-Interfaces unterscheidet.

Außerdem interessant:
Möchten Sie direkt einen Blick auf eines unserer Testgeräte werfen? Schauen Sie hier in unserem virtuellen Labor vorbei: