Nebula AP/Switch - Een niet-standaard Management VLAN configureren

Het volgende artikel begeleidt u bij het configureren van uw Nebula-apparaten wanneer de Management VLAN niet het standaard ongetagde verkeer is vanaf de LAN-interface van de gateway.

1. Wat is een management VLAN?

Management VLAN is een veelgebruikte praktijk door netwerkbeheerders die voorkomt dat eindgebruikers toegang krijgen tot belangrijke netwerkapparaten binnen hun netwerkinfrastructuur. Dit voegt een extra beschermingslaag toe binnen uw administratieve netwerk. Dit wordt gedaan door elk netwerkapparaat te configureren met een unieke VLAN-ID, terwijl ervoor wordt gezorgd dat eindgebruikers het netwerk betreden via een andere VLAN. Echter, in het geval van Nebula-apparaten kunnen verkeerde configuraties uw externe apparaten van het internet afsluiten. Als uw Nebula-apparaten een configuratie behouden die het bereiken van Nebula CC verhindert, dan is de enige manier om het beheer van het apparaat te herstellen mogelijk een fabrieksreset. Deze gids geeft gedetailleerde instructies over hoe u correct een unieke management VLAN ID (niet VLAN 1) instelt voor uw Nebula-apparaten op een nieuwe locatie, terwijl u situaties vermijdt die ertoe kunnen leiden dat uw apparaten de toegang tot Nebula CC verliezen.

2. Terugvalmechanisme

Nebula switches en access points hebben een mechanisme dat voorkomt dat deze apparaten de internettoegang verliezen door beheerswijzigingen die in Nebula CC worden aangebracht. Wanneer geprobeerd wordt het IP-adres of de management VLAN van het Nebula-apparaat te wijzigen en dit leidt tot verlies van internettoegang, zullen de Nebula-apparaten terugkeren naar hun oude configuraties. Dit wordt vaak aangegeven met een "Bad IP assignment configuration" op de apparaatpagina.

De sleutel tot het succesvol configureren van een nieuw management IP-adres of VLAN is ervoor te zorgen dat zowel de oude als de nieuwe instellingen toegang tot het internet hebben. Pas nadat Nebula CC heeft bevestigd dat de aangebrachte wijzigingen op het apparaat geen verlies van internettoegang veroorzaken, kunt u beginnen met het terugschalen, verwijderen van VLANs of IP-interfaces op uw switches en gateways.

3.Een VLAN-interface instellen op de NSG/USG FLEX

Voeg een VLAN100-interface toe en sla deze op

NSG-serie:

Site-wide > Configure > Security Gateway > Interfaces addressing > Interface [+Add]

USG FLEX-serie:

Site-wide > Configure > Firewall > Interface > LAN Interface [+Add]

Dit zal een getagde VLAN creëren die is ingesteld op de geselecteerde VID op de respectieve poortgroep (zowel USG als NSG tonen een vergelijkbare configuratie)

Let op dat de poorten LAN1 + LAN2 altijd ongetagde leden blijven in VLAN1 met de PVID ingesteld op 1 - dit zijn niet-aanpasbare instellingen.

4. De Management VLAN van de Switch instellen:

Site-wide > Configure > Switch > Switch ports 

Bewerk poorten 1 en 28, aangezien dit onze uplink-poorten zijn voor de switch zelf en de AP (zoals te zien in de bovenstaande afbeelding), en voeg de benodigde VLANs toe in het veld Allowed VLANs:

*VLAN 10: Privénetwerk, VLAN 20: Gastnetwerk, VLAN 100: Managementnetwerk.

Nu moet het LAN IP van de switch worden geconfigureerd en opgeslagen

Site-wide > Devices > Switches > Select Switch > Edit LAN IP.

Let op het belang van het correct definiëren van de VLAN. Deze VLAN kan per apparaat worden gedefinieerd of globaal worden ingesteld via

Site-wide > Configure > Switch > Switch Settings > Management VLAN

Zodra de LAN-instellingen zijn opgeslagen, kunnen we het LAN IP-adres van de switch bevestigen (Nebula CC kan enkele minuten nodig hebben om het bijgewerkte LAN IP weer te geven)

Site-wide > Devices > Switches

5. De Management VLAN van het Access Point instellen

Configureer en sla het management LAN IP op

Site-wide > Devices > Access points > Select AP > Edit LAN IP

Opmerking: het instellen van de Management VLAN als getagd beperkt het AP tot alleen het doorsturen van getagd verkeer, daarom mogen de SSID's alleen VLAN-interfaces gebruiken en geen ongetagd LAN-verkeer.

En dat zou voldoende moeten zijn om uw apparaten een IP-adres te laten krijgen van een management VLAN verschillend van het ongetagde verkeer van de LAN-interface.

Ook interessant:
Wilt u direct een kijkje nemen op een van onze testapparaten? Kijk hier in ons virtuele Lab: