Nebula [AP/Switch] - Konfigurera ett administrations-VLAN som inte är standard

I följande artikel beskrivs hur du konfigurerar dina Nebula-enheter när Management VLAN inte är standard för omärkt trafik från gatewayens LAN-gränssnitt.

1. Vad är Management VLAN?

2. Fall-back-mekanism

3. Konfigurera ett VLAN-gränssnitt på NSG/USG FLEX

4. Ställa in switchens VLAN för hantering

5. Ställa in hanterings-VLAN för åtkomstpunkten

1. Vad är ett administrations-VLAN?

Management VLAN är en vanlig metod som används av nätverksadministratörer för att förhindra att slutanvändare får åtkomst till viktiga nätverksenheter i deras nätverksinfrastruktur. Detta ger ett extra lager av skydd inom ditt administrativa nätverk. Detta görs genom att konfigurera varje nätverksenhet med ett unikt VLAN-ID, samtidigt som man ser till att slutanvändarna kommer in i nätverket från ett annat VLAN. När det gäller Nebula-enheter kan felkonfigurationer dock leda till att dina fjärrenheter avskärmas från Internet. Om din Nebula-enhet har en konfiguration som hindrar den från att nå Nebula CC, kan det enda sättet att återställa enhetshanteringen vara att fabriksåterställa den. I den här guiden beskrivs hur du ställer in ett unikt VLAN-ID för hantering (inte VLAN 1) för dina Nebula-enheter på en ny plats, samtidigt som du undviker förhållanden som kan leda till att dina enheter förlorar åtkomst till Nebula CC.

2. Mekanism för återtagande

Nebula Switch och Access Points har en mekanism som förhindrar att dessa enheter förlorar internetåtkomst på grund av ändringar som gjorts i Nebula CC. Vid försök att ändra Nebula-enhetens IP-adress eller management VLAN som orsakar förlust av Internet-åtkomst, kommer Nebula-enheterna att återgå till sina gamla konfigurationer. Detta indikeras ofta av en "Bad IP assignment configuration" på enhetens sida.

Nyckeln till att framgångsrikt konfigurera en ny IP-hanteringsadress eller VLAN är att se till att både gamla och nya inställningar kan nå Internet. Först när Nebula CC har verifierat att de ändringar som gjorts på enheten inte orsakar förlust av Internetåtkomst kan du börja skala ned, ta bort VLAN eller IP-gränssnitt på dina switchar och gateways.

3.Ställa in ett VLAN-gränssnitt på NSG/USG FLEX

Lägg till och spara ett VLAN100-gränssnitt

NSG-serien:

Site-wide > Configure > Security Gateway > Interfaces addressing > Interface [+Add]

USG FLEX-serien:

Site-wide > Configure > Firewall > Interface > LAN Interface [+Add]

Detta skapar ett taggat VLAN som är inställt på den valda VID på respektive portgrupp (både USG och NSG visar en liknande konfiguration)

Observera att LAN1 + LAN2 portarna alltid förblir som otaggade medlemmar i VLAN1 med PVID inställt på 1 - detta är inställningar som inte kan ändras.

4. Ställ in switchens VLAN för hantering:

Site-wide > Configure > Switch > Switch ports 

Redigera port 1 och 28, eftersom detta är våra uplinks-portar för själva switchen och AP (som visas i bilden ovan), och inkludera de nödvändiga VLAN i fältet Allowed VLANs:

*VLAN 10: Privat nätverk , VLAN 20: Gästnätverk , VLAN 100: Hanteringsnätverk.

Nu gäller det att konfigurera och spara switchens LAN IP

Site-wide > Devices > Switches > Select Switch > Edit LAN IP.

Notera vikten av att ha rätt VLAN definierat. Detta VLAN kan definieras per enhet eller genom att ställa in det globalt på

Site-wide > Configure > Switch > Switch Settings > Management VLAN

När LAN-inställningarna har sparats kan vi bekräfta LAN-IP-adressen för switchen (Nebula CC kan ta några minuter på sig att visa den uppdaterade LAN-IP-adressen)

Site-wide > Devices > Switches

5. Ställa in administrations-VLAN för åtkomstpunkten

Konfigurera och spara LAN IP för hantering

Site-wide > Devices > Access points > Select AP > Edit LAN IP

Observera: Om du ställer in Management VLAN som taggat begränsas AP:n till att endast vidarebefordra taggad trafik, därför bör SSID endast använda VLAN-gränssnitt och ingen otaggad LAN-trafik.

Och det borde räcka för att dina enheter ska få en IP-adress från ett management-VLAN som skiljer sig från den omärkta trafiken från LAN-gränssnittet.

Också intressant:
Vill du titta direkt på en av våra testenheter? Ta en titt här i vårt virtuella labb:

Virtuellt labb - VPN Nebula till icke-Nebula-enhet

KB-00269