Nebula [ZTP] - Cum se înregistrează gateway-ul USGFLEX/ATP în Nebula Control Center

Firewall-ul nostru USG FLEX poate fi gestionat și provizionat de către Nebula Control Center (NCC) începând cu firmware-ul ZLD5.00 și mai departe. Seria ATP poate fi gestionată în NCC începând cu firmware-ul ZLD5.10. Acest ghid arată cum să adăugați dispozitivul pe Nebula utilizând procesul ZTP și să preconfigurați setările firewall-ului pe Nebula, înainte de a livra dispozitivul pentru instalarea la fața locului. Acest articol arată cum să înregistrați firewall-ul în Nebula. Este împărțitîn diferite secțiuni, așa că vă rugăm să navigați la secțiunea relevantă pentru dvs. din cuprins.

Notă: Modul ZTP nu este disponibil începând cu versiunea 5.37 patch 1, așa că trebuie să implementați dispozitivul în Nebula utilizând modul nativ. Iată care sunt modelele afectate. Seria ATP: ATP100, ATP100W, ATP200, ATP500, ATP700, ATP800 Seria USG FLEX: USG FLEX 50, USG FLEX 50W, USG FLEX 100, USG FLEX 100W, USG FLEX 200, USG FLEX 500, USG FLEX 700, USG20-VPN, USG20W-VPN

Dacă întâmpinați dificultăți în adăugarea dispozitivului dvs. la Nebula, aceasta poate indica faptul că dispozitivul dvs. a fost fabricat înainte de sfârșitul anului 2023 și necesită finalizarea procesului Zero Touch Provisioning (ZTP). Pentru a continua, urmați acești pași:

• Efectuați un downgrade al firmware-ului de pe dispozitivul dvs.
• Navigați prin procesul ZTP, după cum este necesar
• După ce a fost adăugat cu succes, actualizați dispozitivul la cea mai recentă versiune de firmware

Cum să vă înregistrați firewall-ul în Nebula (Videoclipuri)

Notă: Dispozitivul dvs. trebuie resetat la setările implicite pentru a-l conecta la Nebula, pierzând toate setările anterioare care ar fi putut fi configurate. Odată conectat la Nebula, dispozitivul va fi configurat automat cu setările implicite Nebula. Vă rugăm să rețineți, de asemenea, că există unele limitări și că următoarele funcții nu sunt încă disponibile în modul cloud pentru USG FLEX:

• Dispozitiv HA
• Securitate e-mail (Anti-Spam)
• Inspecție SSL
• Rutare dinamică (RIP, OSPF, BGP)
• Caracteristici IPv6 conexe
• Controler AP (Nebula Control Center ar trebui să fie utilizat ca și controler AP)
• Serviciu de hotspot (Nebula Control Center suportă deja servicii de hotspot, cum ar fi Voucher, Walled garden)

Licențiere

• Acordarea licențelor pentru USG FLEX în Nebula Control Center

Dacă USG Flex a fost livrat cu o licență la pachet, vă veți bucura automat de un Nebula Professional Pack de 1 an pentru dispozitivul dvs. Licența serviciului UTM va fi transferată fără probleme în Nebula, indiferent de timpul rămas.

În cazul în care USG-ul dvs. nu a venit cu o licență la pachet, vă veți bucura în continuare de 30 de zile de probă pentru serviciile UTM. Serviciile Nebula PRO Pack includ, de asemenea, 30 de zile de probă în mod automat, în timp ce organizația dvs. este creată.

Perioada de licență de încercare se aplică și dispozitivului dvs. cu o licență de pachet.

• Migrarea licenței mele NSG existente (NSS) către USG FLEX (UTM)

Pentru a migra licența de la NSG la USE FLEX în cloud, se aplică următorul tabel de corespondență. De exemplu, NSG 100 își poate migra licența doar către USG FLEX 200 și nu poate migra licența către alte modele USG FLEX.

În cazul în care USG FLEX 100 are deja o licență de 1 an, după migrarea licenței rămase de la NSG50 (ex.: 6 luni) la USG FLEX 100, acesta din urmă va avea o licență de 1 an și jumătate care poate fi utilizată.

Vă rugăm să ridicați o cerere de asistență, iar echipa noastră vă va ajuta cu plăcere să rezolvați problema de migrare a licenței cu prioritatea cuvenită.

Alegerea modului Nebula prin intermediul interfeței grafice web

Odată ce dispozitivul dvs. rulează versiunea 5.10 și utilizează setările implicite din fabrică, atunci când încercați să vă conectați pentru prima dată la Web Configurator, va fi necesară o actualizare a parolei implicite de administrator ("1234").

• Modul Nebula

Selectați Nebula Mode (Modul Nebula) pentru a vă gestiona dispozitivul Zyxel utilizând Nebula Control Center (NCC). NCC este un sistem de gestionare a rețelei bazat pe cloud care vă permite să vă gestionați și să vă monitorizați dispozitivul Zyxel de la distanță.

Urmați expertul Mod Nebula pentru a configura setările WAN pentru a transmite gestionarea dispozitivului Zyxel către NCC.

Odată ce modul de gestionare și WAN-ul dispozitivului sunt configurate permițând accesul la internet, puteți trece la Nebula pentru continuarea configurării. Mai multe informații se găsesc în secțiunea "Modul nativ Nebula"

• Migrarea de la distanță din modul on-premise în modul Nebula

Chiar dacă aveți setări IP statice sau setări implicite din fabrică, puteți trece de la distanță de la soluția de gestionare on-prem la modul Nebula Cloud folosind interfața grafică web. Rețineți că dispozitivul va fi resetat din fabrică și configurațiile se vor pierde. În Nebula Phase 13, nu trebuie să mergeți la fața locului pentru a reseta din fabrică dispozitivul înainte de a migra la Nebula. Acum puteți face acest lucru de la distanță.

Cerințele pentru migrarea de la distanță la Nebula sunt ca firewall-ul:

• Trebuie să fie în modul Nebula Native Mode, ceea ce înseamnă că trebuie săconțină certificatul ZTP
• Dispozitivul trebuie să fie online (este nevoie de acces WAN (internet))

Notă: Dacă aveți dispozitivul în modul on-premise puteți sări peste pasul "Nebula native mode"

• Creați o organizație și un site

Dacă nu ați creat încă o organizație și un site Nebula, urmați articolul din linkul furnizat. După ce ați finalizat acest pas, putem trece la procesul de înregistrare.
Nebula [Site/Organizație] - Cum se creează/șterge o organizație și un site în Nebula Control Center?

Configurați Firewall-ul în portalul Nebula

Înainte de a face acești pași, vă rugăm să aveți în prealabil topologia rețelei, setarea firewall-ului și configurația WAN. Aceste informații vă vor permite să pre-configurați setările Firewall înainte de a fi pornite în Nebula. Firewall-ul va sincroniza automat această configurație atunci când se conectează la Nebula. Când creați site-ul, puteți specifica modelul de firewall fără a-l adăuga. Acest lucru face posibilă preconfigurarea unor parametri înainte de adăugarea dispozitivului propriu-zis.

• Setări ale grupului de porturi

Site-wide -> Configure -> Firewall -> Port

• Pentru a configura grupurile de porturi WAN/LAN sau pentru a adăuga grupuri WAN/LAN care să corespundă scenariului dvs.

• Сonfigurați setările WAN dacă aveți un IP static.

• pentru a modifica adresele IP ale interfeței WAN/LAN pentru a corespunde scenariului dvs.

Înregistrați Firewall-ul și alegeți metoda de implementare

Modul manual

Intrați în pagina dispozitivului și faceți clic pe "Add" pentru a înregistra Firewall-ul. Puteți înregistra mai multe dispozitive prin introducerea adresei MAC și a numărului de serie

• După aceea, puteți atribui dispozitivul la site-ul corect. Este posibil să aveți mai multe dispozitive într-o organizație, de aici puteți selecta un anumit dispozitiv și îl puteți atribui la site-ul corespunzător:

Va apărea o fereastră pop-up în care puteți selecta metoda de implementare a dispozitivului.

Zero Touch Provision mode (Modul de furnizare fără atingere)

Pentru prima dată când dispozitivul este înscris în Nebula, trebuie utilizat modul Zero Touch Provision , deoarece dispozitivul are nevoie de procesul ZTP pentru a deveni capabil de Cloud. Mergeți la Execute ZTP Process (Executarea procesului ZTP)

The Nebula native mode (Modul nativ Nebula)

Atunci când vă înregistrați pentru prima dată dispozitivul în Nebula, trebuie să vă asigurați că aveți certificatul ZTP pe dispozitiv. În toate dispozitivele, firewall-ul trebuie să treacă mai întâi o dată prin procesul ZTP. În cazul dispozitivelor mai noi, certificatul ZTP ar putea fi deja în firewall (vă rugăm să verificați dacă aveți certificatul ZTP aici - dacă nu aveți certificatul ZTP, trebuie să parcurgeți procesul ZTP și nu puteți parcurge modul nativ pentru a obține firewall-ul online).

• Resetați dispozitivul la configurația implicită

Atunci când doriți să migrați din modul Stand-alone în Nebula, trebuie să resetați mai întâi dispozitivul folosind butonul RESET situat în partea din față a dispozitivului (țineți-l apăsat timp de 15 secunde). Dacă în timpul procesului modificați chiar și cea mai mică setare (de exemplu, parola de administrare), migrarea nu va reuși.

• Verificați dacă aveți DHCP sau IP static pe WAN

Dacă aveți IP static pe WAN, trebuie să vă conectați la dispozitiv prin intermediul interfeței grafice web, să alegeți modul Nebula și să introduceți informațiile IP necesare pentru stabilirea unei conexiuni:

Dacă aveți IP static pe WAN, parcurgeți asistentul de mai jos și, după ce ați terminat, treceți la pasul 2 - înregistrați dispozitivul:

• Alegeți modul nativ

Conectați portul WAN la portul indicat în imagine (în acest exemplu P2) și LAN la portul indicat (în acest exemplu P4) - Notă: Nu trebuie conectat nimic altceva

• Ar trebui să puteți vedea că așteaptă ca dispozitivul să se conecteze singur la Nebula (în secțiunea Devices -> Firewall):

Firewall-ul ar trebui acum să facă o repornire rapidă și, după repornire, dispozitivul ar trebui să fie online în 20 de minute.

Rezolvarea problemelor - "Waiting device connected" [Verificarea certificatului ZTP]

Dacă dispozitivul dvs. este blocat în modul nativ "Waiting for a device connected" (Așteptând un dispozitiv conectat) - trebuie să verificați de două ori dacă aveți certificatul ZTP:

Conectați-vă prin SSH la dispozitiv (utilizând programul Putty sau Teraterm) și tastați show native mode cert file status:

Dacă primiți o eroare sau dacă certificatul nu este acolo, nu ați făcut încă procesul ZTP pe acel firewall și trebuie să utilizați procesul ZTP de data aceasta. De asemenea, s-ar putea să nu aveți versiunea de firmware 5.10 și să fie nevoie să actualizați firewall-ul înainte de a utiliza modul nativ.

• Migrarea din modul local în modul Nebula în modul Nebula în Web GUI

Veți primi apoi o fereastră pop-up și trebuie să faceți clic pe yes:

Apoi așteptați ca dispozitivul să fie online în Nebula.

Executați procesul ZTP

Videoclipurile prezentate la începutul articolului arată întregul proces, doar ultima parte fiind diferită. Această ultimă parte corespunde procesului ZTP, pentru care sunt disponibile două metode, după cum se arată în materialul video. Această metodă este abordată în următoarele 2 subsecțiuni.

Pentru procesul ZTP, este necesar să se precizeze modul în care va fi configurată conexiunea WAN (DCHP/PPPoE/Static IP) și să se specifice o adresă de e-mail la care va fi trimis e-mailul care conține link-ul și fișierul JSON. "I will install firewall by myself" trimite e-mailul către contul care adaugă dispozitivul pe site în acest moment. De asemenea, este posibil să specificați orice alt cont de e-mail pentru ca un instalator să poată executa procesul ZTP.

• Activați capabilitatea Firewall cloud prin URL

Având dispozitivul cu cel mai recent firmware în funcțiune, conectați portul de alimentare la o sursă de alimentare corespunzătoare și porniți firewall-ul. Așteptați ca LED-ul SYS să devină verde solid. Apoi, conectați interfața WAN (P2) la internet.

Conectați interfața LAN (P4) la computer.

Deschideți e-mailul primit de la Nebula și faceți clic pe "Allow Nebula to Manage My Device" (Permiteți Nebula să gestioneze dispozitivul meu).

Așteptați până când Nebula Zero Touch Provisioning a avut succes. Faceți clic pe "Go to Nebula Control Center" (Mergeți la Nebula Control Center) pentru a accesa Nebula

Dispozitivul va avea nevoie de câteva minute pentru a se conecta la Nebula și a deveni online.

Notă: Dacă aveți un dispozitiv, cum ar fi AP, deja conectat pe portul 4 al USG FLEX, iar AP-ul furnizează deja o rețea Wi-Fi în subrețeaua 192.168.1.1/24, puteți executa ZTP prin URL de pe orice dispozitiv conectat la rețeaua Wi-Fi, permițând să o faceți de pe un dispozitiv mobil.

• Activați capacitatea de cloud firewall prin USB

Alternativ, puteți, de asemenea, să activați Firewall-ul utilizând un stick USB. Copiați Fișierul atașat în e-mailul trimis de Nebula pe un USB nou/curat (FAT32) și conectați-l la portul USB al Firewall-ului. Porniți Firewall-ul, LED-ul SYS clipește roșu când se conectează la Nebula și verde fix când este conectat.

Mergeți la Nebula Dashboard pentru a verifica starea gateway-ului.

Dispozitivul va avea nevoie de câteva minute pentru a se conecta la Nebula și a deveni online.

Depanarea

• Conexiunea la internet este căzută - Verificați conexiunea la internet

Browserul web arată că conexiunea la internet nu funcționează atunci când a fost accesat URL-ul din e-mail.

Verificați conexiunea la internet și asigurați-vă că vă conectați la interfața WAN (P2). Apoi, faceți clic pe "Retry" (Reîncercare) pentru a reface ZTP-ul.

De asemenea, puteți face clic pe "Network Test Tools" (Instrumente de testare a rețelei) pentru a vă conecta la interfața web GUI a dispozitivului pentru o depanare suplimentară. Utilizatorul este "support", iar parola este numărul de serie al firewall-ului.

Dacă aveți o conexiune Static IP / PPPoE, verificați de două ori dacă ați introdus local informațiile IP statice pe dispozitiv:

• Zero Touch Provisioning (ZTP) eșuează deoarece acest dispozitiv nu este în starea implicită din fabrică

Vă rugăm să țineți apăsat butonul de resetare timp de 5 secunde pentru a reseta dispozitivul la starea implicită din fabrică. Apoi faceți clic pe URL pentru a reface ZTP.

• ZTP prin USB: LED-ul SYS nu încetează să clipească în roșu.

Nebula Dashboard arată că firewall-ul este offline.
Dacă ZTP prin USB nu reușește, vă rugăm să verificați conexiunea la internet. Deschideți ztpresult.log în USB pentru a verifica starea.

Iată un exemplu:

ZTP eșuează deoarece nu există niciun fișier ZTP corespunzător în USB pentru acest dispozitiv. Vă rugăm să vă asigurați că ați copiat fișierul ZTP corect.

• Modul Nebula nu se afișează atunci când se accesează Web GUI

Puteți actualiza dispozitivul prin intermediul interfeței de configurare Web a dispozitivului (verificați aici) sau utilizând utilitarul ZON. Acest articol arată cum să o faceți prin intermediul utilitarului ZON.

Asigurați-vă că ați instalat ZON pe computerul dumneavoastră. Dacă nu, îl puteți descărca de aici:

Zyxel One Network Utility (ZON)

Conectați portul de alimentare la sursa de alimentare și porniți firewall-ul. Așteptați ca LED-ul SYS să devină verde continuu. Conectați calculatorul la portul 4 (P4) al firewall-ului.

Deschideți ZON pe computer pentru a scana firewall-ul. Selectați firewall-ul, apoi faceți clic pe "Firmware Upgrade" (Actualizare firmware):

Selectați cea mai recentă versiune de firmware din cloud și introduceți parola implicită "1234" pentru actualizare. Procesul de firmware durează aproximativ 5 minute pentru a se finaliza

Acordarea licențelor pentru seria USG FLEX

• Pachet de licențe Nebula pentru USG FLEX în Nebula Control Center

Dacă USG Flex a fost livrat cu o licență la pachet, vă veți bucura automat de un Nebula Professional Pack de 1 an pentru dispozitivul dvs. Licența de servicii UTM va fi transferată fără probleme în Nebula, indiferent de timpul rămas.

În cazul în care USG-ul dvs. nu a venit cu o licență la pachet, vă veți bucura în continuare de 30 de zile de probă pentru serviciile UTM. Serviciile Nebula Pro Pack includ, de asemenea, 30 de zile de probă în mod automat, în timp ce organizația dvs. este creată.

Perioada de încercare a licenței se aplică și în cazul dispozitivului dvs. cu o licență la pachet.

• Migrarea licenței mele NSG existente (NSS) către USG FLEX (UTM)

Pentru a migra licența de la NSG-ul dvs. anterior la USE FLEX în cloud, se aplică următorul tabel de corespondență. De exemplu, NSG 100 își poate migra licența doar către USG FLEX 200 și nu poate migra licența către alte modele USG FLEX.

În cazul în care USG FLEX 100 are deja o licență de 1 an, după migrarea licenței rămase de la NSG50 (ex.: 6 luni) la USG FLEX 100, acesta din urmă va avea o licență de 1 an și jumătate care poate fi utilizată.

• Limitări în cazul trecerii la modul Nebula

Există unele limitări, iar următoarele caracteristici nu sunt încă disponibile pe modelul cloud pentru USG FLEX:

- Dispozitiv HA
- Email Security (Anti-Spam)
- Inspecție SSL
- Rutare dinamică (RIP, OSPF, BGP)
- Caracteristici IPv6 conexe
- Controler AP (Nebula Control Center ar trebui să fie folosit ca și controler AP)
- Serviciu de hotspot (Nebula Control Center suportă deja servicii de hotspot, cum ar fi Voucher și Walled garden)

Dacă întâmpinați alte probleme, nu ezitați să luați legătura cu echipa noastră de asistență.