Nebula AP/Switch - Configurar una VLAN de Gestión no predeterminada

El siguiente artículo le guía sobre cómo configurar sus dispositivos Nebula cuando la VLAN de Gestión no es el tráfico sin etiqueta predeterminado desde la interfaz LAN del gateway.

1. ¿Qué es una VLAN de gestión?

La VLAN de gestión es una práctica común utilizada por los administradores de red que impide a los usuarios finales acceder a dispositivos clave de la infraestructura de red. Esto añade una capa extra de protección dentro de su red administrativa. Esto se realiza configurando cada dispositivo de red con un ID de VLAN único, asegurando que los usuarios finales ingresen a la red desde una VLAN diferente. Sin embargo, en el caso de los dispositivos Nebula, las configuraciones incorrectas pueden cortar el acceso de sus dispositivos remotos a Internet. Si sus dispositivos Nebula mantienen una configuración que les impide alcanzar Nebula CC, entonces la única forma de recuperar la gestión del dispositivo puede ser restableciéndolo a configuración de fábrica. Esta guía detalla instrucciones sobre cómo establecer correctamente un ID de VLAN de gestión único (no VLAN 1) para sus dispositivos Nebula en un sitio nuevo, evitando condiciones que puedan causar que sus dispositivos pierdan acceso a Nebula CC.

2. Mecanismo de retroceso

Los switches y puntos de acceso Nebula cuentan con un mecanismo que evita que estos dispositivos pierdan acceso a Internet debido a cambios de gestión realizados en Nebula CC. Al intentar cambiar la dirección IP o la VLAN de gestión del dispositivo Nebula que cause pérdida de acceso a Internet, los dispositivos Nebula revertirán a sus configuraciones anteriores. Esto suele indicarse con un mensaje "Configuración de asignación de IP incorrecta" en la página del dispositivo.

La clave para configurar exitosamente una nueva dirección IP de gestión o VLAN es asegurarse de que tanto la configuración antigua como la nueva puedan acceder a Internet. Solo después de que Nebula CC haya verificado que los cambios realizados en el dispositivo no causan pérdida de acceso a Internet, puede comenzar a reducir la configuración, eliminando VLANs o interfaces IP en sus switches y gateways.

3. Configuración de una interfaz VLAN en el NSG/USG FLEX

Agregar y guardar una interfaz VLAN100

Serie NSG:

Site-wide > Configure > Security Gateway > Interfaces addressing > Interface [+Add]

Serie USG FLEX:

Site-wide > Configure > Firewall > Interface > LAN Interface [+Add]

Esto creará una VLAN etiquetada configurada con el VID seleccionado en el grupo de puertos respectivo (tanto USG como NSG muestran una configuración similar)

Tenga en cuenta que los puertos LAN1 + LAN2 siempre permanecen como miembros sin etiqueta en VLAN1 con el PVID establecido en 1 - estas son configuraciones que no se pueden cambiar.

4. Configuración de la VLAN de Gestión del Switch:

Site-wide > Configure > Switch > Switch ports 

Edite los puertos 1 y 28, ya que estos son nuestros puertos uplink para el switch y el AP (como se muestra en la imagen arriba), e incluya las VLAN necesarias en el campo Allowed VLANs:

*VLAN 10: Red Privada, VLAN 20: Red de Invitados, VLAN 100: Red de Gestión.

Ahora es necesario configurar y guardar la IP LAN del switch

Site-wide > Devices > Switches > Select Switch > Edit LAN IP.

Note la importancia de tener definida la VLAN correcta. Esta VLAN puede definirse por dispositivo o configurarse globalmente en

Site-wide > Configure > Switch > Switch Settings > Management VLAN

Una vez guardada la configuración LAN, podemos confirmar la dirección IP LAN del switch (Nebula CC puede tardar unos minutos en mostrar la IP LAN actualizada)

Site-wide > Devices > Switches

5. Configuración de la VLAN de Gestión del Punto de Acceso

Configure y guarde la IP LAN de gestión

Site-wide > Devices > Access points > Select AP > Edit LAN IP

Nota: configurar la VLAN de Gestión como etiquetada limitará al AP a reenviar solo tráfico etiquetado, por lo tanto, los SSID deben usar únicamente interfaces VLAN y no tráfico LAN sin etiqueta.

Y eso debería ser suficiente para que sus dispositivos obtengan una dirección IP de una VLAN de gestión diferente al tráfico sin etiqueta de la interfaz LAN.

También es interesante:
¿Desea echar un vistazo directamente a uno de nuestros dispositivos de prueba? Mire aquí en nuestro laboratorio virtual: