Nebula AP/Switch - Configurer un VLAN de gestion non par défaut

L'article suivant vous guide sur la manière de configurer vos appareils Nebula lorsque le VLAN de gestion n'est pas le trafic non tagué par défaut depuis l'interface LAN de la passerelle.

1. Qu'est-ce qu'un VLAN de gestion ?

Le VLAN de gestion est une pratique courante utilisée par les administrateurs réseau qui empêche les utilisateurs finaux d'accéder aux équipements clés de leur infrastructure réseau. Cela ajoute une couche supplémentaire de protection au sein de votre réseau administratif. Cela se fait en configurant chaque appareil réseau avec un identifiant VLAN unique, tout en s'assurant que les utilisateurs finaux entrent dans le réseau via un VLAN différent. Cependant, dans le cas des appareils Nebula, des erreurs de configuration peuvent couper vos appareils distants d'Internet. Si vos appareils Nebula conservent une configuration qui les empêche d'accéder au Nebula CC, alors la seule façon de récupérer la gestion de l'appareil peut être de le réinitialiser aux paramètres d'usine. Ce guide détaille les instructions pour définir correctement un identifiant VLAN de gestion unique (autre que VLAN 1) pour vos appareils Nebula dans un nouveau site, tout en évitant les conditions qui pourraient faire perdre l'accès des appareils au Nebula CC.

2. Mécanisme de repli

Les Switchs et Points d'accès Nebula disposent d'un mécanisme qui empêche ces appareils de perdre l'accès à Internet suite à des modifications de gestion effectuées dans le Nebula CC. Lorsqu'une tentative est faite pour changer l'adresse IP ou le VLAN de gestion d'un appareil Nebula qui entraîne une perte d'accès Internet, les appareils Nebula reviendront à leur ancienne configuration. Cela est souvent indiqué par une mention "Mauvaise configuration d'attribution IP" sur la page de l'appareil.

La clé pour configurer avec succès une nouvelle adresse IP de gestion ou un nouveau VLAN est de s'assurer que les anciennes et nouvelles configurations peuvent accéder à Internet. Ce n'est qu'après que le Nebula CC a vérifié que les modifications apportées à l'appareil ne causent pas de perte d'accès Internet que vous pouvez commencer à réduire, supprimer des VLAN ou des interfaces IP sur vos switches et passerelles.

3.Configurer une interface VLAN sur le NSG/USG FLEX

Ajouter et enregistrer une interface VLAN100

Série NSG :

Site-wide > Configure > Security Gateway > Interfaces addressing > Interface [+Add]

Série USG FLEX :

Site-wide > Configure > Firewall > Interface > LAN Interface [+Add]

Cela créera un VLAN tagué défini sur le VID sélectionné dans le groupe de ports respectif (les configurations sont similaires pour USG et NSG)

Veuillez noter que les ports LAN1 + LAN2 restent toujours membres non tagués dans le VLAN1 avec le PVID défini à 1 - ces paramètres ne peuvent pas être modifiés. 

4. Définir le VLAN de gestion du Switch :

Site-wide > Configure > Switch > Switch ports 

Modifiez les ports 1 et 28, car ce sont nos ports uplink pour le switch lui-même et le point d'accès (comme montré sur l'image ci-dessus), et incluez les VLAN nécessaires dans le champ VLANs autorisés :

*VLAN 10 : Réseau privé, VLAN 20 : Réseau invité, VLAN 100 : Réseau de gestion.

Il est maintenant nécessaire de configurer et d'enregistrer l'IP LAN du switch

Site-wide > Devices > Switches > Sélectionner le Switch > Modifier l'IP LAN.

Notez l'importance d'avoir le VLAN correct défini. Ce VLAN peut être défini au niveau de chaque appareil ou configuré globalement via

Site-wide > Configure > Switch > Paramètres du Switch > VLAN de gestion

Une fois les paramètres LAN enregistrés, nous pouvons confirmer l'adresse IP LAN du switch (Nebula CC peut prendre quelques minutes pour afficher l'IP LAN mise à jour)

Site-wide > Devices > Switches

5. Définir le VLAN de gestion du point d'accès

Configurer et enregistrer l'IP LAN de gestion

Site-wide > Devices > Access points > Sélectionner le point d'accès > Modifier l'IP LAN

Note : configurer le VLAN de gestion en tagué limitera le point d'accès à ne transmettre que du trafic tagué, par conséquent les SSID doivent uniquement utiliser des interfaces VLAN et aucun trafic LAN non tagué.

Et cela devrait suffire pour que vos appareils obtiennent une adresse IP d'un VLAN de gestion différent du trafic non tagué de l'interface LAN.

Autre information intéressante :
Souhaitez-vous jeter un œil directement sur l'un de nos appareils de test ? Consultez notre laboratoire virtuel ici :