Apparaatbeheer

Apparaten zijn de eindsystemen die op uw netwerk zijn aangesloten — werkstations, IP-telefoons, camera's, access points, printers en soortgelijke apparatuur. Met PrivateLAN registreert u deze apparaten, deelt u ze in groepen in, koppelt u ze aan switchpoorten en bewaakt u hun status en beveiliging.

Een apparaat toevoegen

Bij het toevoegen van een apparaat geeft u op:

Het aantal apparaten dat u kunt toevoegen, is afhankelijk van uw licentie.

Beveiligingstypen

Elk apparaat krijgt een beveiligingstype, dat bepaalt hoe het zich authenticeert op de switchpoort waarop het is aangesloten:

• Onbeveiligd — geen authenticatie vereist
• MAC (Sticky) — de poort is vastgezet op het MAC-adres van het apparaat
• MAB — MAC Authentication Bypass, het MAC-adres van het apparaat wordt gebruikt als RADIUS-inloggegevens
• PEAP — authenticatie met gebruikersnaam en wachtwoord
• EAP-TLS — authenticatie op basis van certificaten

Apparaatgroepen

Apparaatgroepen bundelen apparaten die hetzelfde VLAN en dezelfde basisconfiguratie delen. Een apparaatgroep bevat een deploy-/beveiligingsconfiguratiesjabloon voor elk beveiligingstype (Onbeveiligd, MAC, MAB, PEAP, EAP-TLS), per switchplatform (Cisco IOS, Aruba OS, Aruba OS-CX). Afzonderlijke apparaten kunnen deze sjablonen indien nodig overschrijven met hun eigen aangepaste configuratie.

Een apparaatgroep heeft ook een poortmodus: Access (de standaard — de poort draagt één VLAN) of Trunk (802.1Q — voor hardware-apparaten die virtuele apparaten in meer dan één VLAN dragen, zie Virtuele apparaten achter een poort). De modus verandert de sjablonen zelf niet; hij zegt wat voor poort uw sjablonen opleveren, en PrivateLAN gebruikt hem om te bepalen in welke VLAN's een virtueel apparaat mag zitten.

Een apparaatgroep kan ook een PoE class vereisen — de IEEE-klasse die haar apparaten nodig hebben om op te starten. De standaard is No PoE required, dus geen enkele bestaande groep gaat uit zichzelf iets controleren. Zodra er een klasse is ingesteld, kan een interface alleen aan een apparaat in die groep worden gekoppeld wanneer zijn [P0]–[P8]-label aangeeft dat hij minstens die klasse kan leveren; zie Switchbeheer. De klasse verhogen wordt geweigerd zolang een apparaat in de groep al op een poort zit die dat niet kan leveren.

Net als de poortmodus wijzigt dit uit zichzelf geen configuratie: de PoE-configuratie die een poort krijgt komt nog steeds uit de sjablonen van de groep, dus een expliciete power inline never voor een apparaat dat geen voeding mag krijgen blijft leidend.

Met de licentieoptie Inspection heeft een apparaatgroep ook SSL-controlepoorten: de onbeveiligde poort die dicht moet zijn en de beveiligde poort die het certificaat van het apparaat moet aanbieden, gecontroleerd door Inspection > SSL (zie Monitoring & rapportages). Laat ze leeg om de standaardpoorten van die pagina te gebruiken, of vul "none" in voor apparaten zonder webinterface, zoals werkplekken. Een apparaat kan op zijn bewerkpagina eigen poorten krijgen die afwijken van zijn groep.

Met de licentieoptie SOC heeft een apparaatgroep ook een Offline alarm: No alarm, Warning of Critical. Een apparaat in de groep dat niet meer antwoordt, geeft dan een alarm met die ernst op de SOC live view — bijvoorbeeld Critical voor camera's — terwijl werkplekken die 's nachts uit staan op No alarm blijven (zie SOC live view).

Een apparaat koppelen aan een switchpoort

Een apparaat kan worden aangesloten op één of meer interfaces (poorten), eventueel op verschillende switches. Zodra dit is gekoppeld, kan PrivateLAN automatisch de juiste VLAN- en beveiligingsconfiguratie naar die poort sturen.

Voor elke gekoppelde interface kan ook een optioneel patchpunt worden opgegeven — een vrije tekstnotitie over waar de kabel fysiek is aangesloten (bijvoorbeeld een patchkast en poortnummer). Het patchpunt blijft bij de poort staan, ook als deze later wordt losgekoppeld en aan een ander apparaat wordt gekoppeld.

Een interface met het label [TRUNK] op de pagina met switchinterfaces kan niet aan een apparaat worden gekoppeld: dat label markeert een uplink naar een andere switch, die met de hand wordt geconfigureerd en nooit vanuit een apparaatsjabloon wordt geprogrammeerd.

Vereist de groep van het apparaat een PoE-klasse, dan staan poorten die die niet kunnen leveren nog steeds in de lijst onder Add interface, in het rood, met wat de poort levert en wat de groep nodig heeft. Ze staan er juist wél, zodat een poort die u op de pagina met switchinterfaces als vrij ziet staan hier nooit zonder uitleg ontbreekt; zo'n poort kiezen wordt geweigerd, met diezelfde twee klassen in de melding. Wordt het label van een poort verlaagd nadat die was gekoppeld, dan meldt de apparaatpagina dat bij die poort.

Virtuele apparaten achter een poort

Een hypervisor zet meerdere machines achter één switchpoort: elke virtuele machine heeft een eigen MAC-adres, een eigen IP-adres en een eigen 802.1x-identiteit, maar ze delen allemaal de fysieke poort van de machine waarop ze draaien. PrivateLAN modelleert dat met een Kind op elk apparaat:

• Hardware — een apparaat met eigen switchpoorten. Dit is de standaard, en wat elk bestaand apparaat is.
• Virtual — een apparaat dat op een ander geregistreerd apparaat draait, gekozen onder Runs on. Het heeft geen eigen poorten en gebruikt die van dat apparaat.

Een virtueel apparaat is in alle andere opzichten een gewoon apparaat: het heeft een eigen beveiligingstype, authenticeert met eigen inloggegevens of certificaat, wordt op zijn eigen adres op bereikbaarheid gecontroleerd, kan worden vergrendeld en telt als apparaat voor uw licentie. Wat het niet kan, is een switchpoort krijgen — het poortpaneel op zijn pagina toont in plaats daarvan de poorten van het apparaat waarop het draait, en daar worden ze gekoppeld en losgekoppeld. In de apparatenlijst toont een virtueel apparaat die poort met een kleine "via"-vermelding van het apparaat waarop het draait.

Wanneer een poort wordt geprogrammeerd, gebeurt dat voor alles wat erop zit tegelijk: het sjabloon van het hardware-apparaat, met de MAC-adressen van dat apparaat én van elk virtueel apparaat dat erop draait (#mac# noemt ze allemaal, #max-mac# telt ze allemaal). Het toevoegen, wijzigen of verwijderen van een virtueel apparaat programmeert de poort opnieuw, en elke wijziging aan het hardware-apparaat ook. Het vergrendelen van een van beide bevriest de poort voor allebei. De configuratiecontrole (Inspection > Compliance) houdt de poort aan dezelfde gecombineerde configuratie.

Daaruit volgen enkele regels:

• Alleen een bekabeld hardware-apparaat kan virtuele apparaten dragen, en maar één niveau diep — een virtueel apparaat kan zelf geen andere dragen.
• Een apparaat dat virtuele apparaten draagt, kan niet virtueel of draadloos worden gemaakt en kan niet worden verwijderd zolang die bestaan: verwijder ze eerst, of verplaats ze naar een ander apparaat.
• In welk VLAN een virtueel apparaat mag zitten, hangt af van de poortmodus van de apparaatgroep van het apparaat waarop het draait (zie Apparaatgroepen). In de modus Access draagt de poort één VLAN, dus het virtuele apparaat moet in hetzelfde VLAN zitten als dat apparaat. In de modus Trunk mag het in een ander VLAN zitten, en #vlan-list# in de sjablonen geeft dan elk VLAN op de poort weer.
• Op de pagina Deployment toont een hypervisor meerdere MAC-adressen en wordt hij niet automatisch aan een apparaat gekoppeld. Registreer eerst het hardware-apparaat en voeg daarna zijn virtuele apparaten toe met hun eigen MAC-adressen.

Het sjabloon van de switchpoort moet meer dan één client op de poort toestaan — op Cisco IOS authentication host-mode multi-auth, op Aruba een client-limiet boven één — anders weigert de switch zelf het tweede apparaat. Dat is een eigenschap van uw sjabloon, niet iets wat PrivateLAN voor u aanpast. Om van de poort een 802.1Q-trunk te maken geeft u hem niet het label [TRUNK] op de pagina met switchinterfaces — dat markeert een uplink tussen switches, die de configuratiecontrole met rust laat en die nooit wordt geprogrammeerd. Zet in plaats daarvan de apparaatgroep in de poortmodus Trunk en configureer de trunk in de sjablonen met #vlan-id# voor het native VLAN en #vlan-list# voor de toegestane VLAN's. Of 802.1x-authenticatie op een trunkpoort überhaupt wordt ondersteund, hangt af van het switchplatform en de softwareversie.

Draadloze apparaten

Niet elk apparaat zit aan een switch. Een apparaat dat via WiFi verbinding maakt, authenticeert precies zoals een bekabeld apparaat — met MAB, PEAP of EAP-TLS tegen de RADIUS-server van PrivateLAN, en het krijgt zijn VLAN op dezelfde manier toegewezen — maar het heeft geen eigen switchpoort.

Zet Connection voor zo'n apparaat op Wireless. PrivateLAN behandelt de ontbrekende poort dan niet langer als iets dat nog moet gebeuren: de poortindicatoren worden vervangen door één draadloos-markering, het paneel voor poortkoppeling wordt niet getoond, en de rapporten en acties die op een poort werken — Status, Auth Status, MAB Status, Power, MAC, LLDP, Show Run, Log, en Restart, Enable en Disable — worden niet aangeboden, omdat er niets is om op te werken. De rest werkt ongewijzigd: het apparaat wordt op bereikbaarheid gecontroleerd, het authenticeert, het kan een certificaat krijgen, het kan worden vergrendeld, en Ping en ARP blijven beschikbaar.

Registreer het accesspoint zelf als een gewoon bekabeld apparaat op de poort waarin het zit, en voeg het toe als RADIUS-client op de pagina 802.1x / RADIUS, zodat het authenticatieverzoeken naar PrivateLAN kan doorsturen.

Dynamische (DHCP-)adressen

Een apparaat hoeft geen vast adres te krijgen. Zet Address op Dynamic en PrivateLAN zoekt het adres zelf op, door de DHCP snooping-tabel van uw switches te lezen — de administratie die een switch bijhoudt van welk adres aan welk apparaat is uitgedeeld, op welke poort en in welk VLAN. Er wordt niets aan het apparaat gevraagd en niets aan uw DHCP-server.

Het adres is daarna alleen-lezen op de apparaatpagina, en wordt getoond samen met het moment waarop het voor het laatst is bevestigd. Wanneer u een apparaat van een statisch naar een dynamisch adres omzet, wordt het bestaande adres gewist — u staat er immers niet langer voor in; het apparaat meldt dat er geen adres bekend is totdat er een wordt waargenomen, wat hooguit één pollronde duurt.

Zo vindt PrivateLAN ook het adres van een draadloos apparaat. Het adresverzoek van een draadloze client loopt via de netwerkpoort van het accesspoint, dus de switch ziet het en legt het daar vast — dat is de reden dat een draadloos apparaat überhaupt gepingd kan worden, en dat PrivateLAN kan vertellen achter welk accesspoint het zit.

DHCP snooping moet op uw switches aan staan om dit te laten werken, per VLAN, met de poorten richting uw DHCP-server als trusted gemarkeerd. De switchconfiguratiegidsen beschrijven per serie hoe. Waar snooping niet aan staat, meldt een dynamisch apparaat simpelweg dat er nog geen adres bekend is — dat is een eigen status en niet hetzelfde als onbereikbaar.

Er zijn situaties die hiermee niet gedekt worden, en in al die gevallen meldt het apparaat dat er geen adres bekend is in plaats van iets onjuists te melden:

• een accesspoint dat het verkeer van zijn clients via een tunnel naar een wireless controller stuurt, waardoor het adresverzoek nooit langs een switch komt die PrivateLAN kan uitlezen;
• een apparaat achter een switch die PrivateLAN niet beheert;
• een apparaat dat zijn adres met de hand heeft gekregen in plaats van via DHCP — dat hoort op Static;
• de eerste minuten na een herstart van een switch, totdat elke lease is vernieuwd, omdat de snooping-tabel een herstart niet overleeft tenzij uw switch is ingesteld om die te bewaren.

Blijkt een gevonden adres al bij een ander geregistreerd apparaat te horen, dan neemt PrivateLAN het niet over. Het meldt de botsing — dat betekent doorgaans dat uw DHCP-range overlapt met adressen die u met de hand hebt uitgedeeld, en dat is het corrigeren waard in plaats van het te verbergen.

Aangepaste configuratie

Een apparaat gebruikt normaal gesproken de configuratiesjablonen van zijn apparaatgroep. Heeft één apparaat iets anders nodig, open dan het paneel Customization op de apparaatpagina en klik op Customize. U krijgt één tekstvak per beveiligingstype (Unsecure, MAC, MAB, PEAP, EAP-TLS); alleen het vak dat hoort bij het beveiligingstype van het apparaat zelf wordt ooit toegepast.

De vakken zijn in eerste instantie leeg, en een leeg vak betekent "gebruik het sjabloon van de apparaatgroep" — u vult dus alleen het beveiligingstype in waarvoor u wilt afwijken. Het herlaad-icoon naast een vak kopieert de configuratie van de apparaatgroep erin als uitgangspunt.

In een configuratie kunt u de plaatshouders #interface#, #hostname#, #ip#, #mac#, #max-mac#, #vlan-id# en #vlan-list# gebruiken; die worden per poort ingevuld op het moment dat de configuratie naar de switch wordt gestuurd. #mac# en #max-mac# omvatten elk apparaat op de poort, inclusief de virtuele apparaten die op dit apparaat draaien; #vlan-list# is de door komma's gescheiden lijst van al hun VLAN's, wat voor een apparaat op zichzelf gewoon #vlan-id# is. Het opslaan van een aanpassing programmeert de poorten waaraan dit apparaat is gekoppeld direct opnieuw.

Een configuratieregel met #ip# wordt volledig weggelaten wanneer het apparaat nog geen adres heeft — een regel die een adres nodig heeft, kan niet half ingevuld worden verstuurd. De configuratiecontrole hanteert dezelfde regel, dus zo'n poort wordt daardoor nooit als afwijkend gerapporteerd.

Opslaan zonder poortreset, of zonder te programmeren

Het opslaan van een apparaat, of van de aanpassing ervan, programmeert normaal gesproken direct de poorten van het apparaat. Elke poort wordt gereset en uitgeschakeld, krijgt de volledige configuratie en wordt weer ingeschakeld, waardoor het apparaat op die poort even geen verbinding heeft. Met twee toetscombinaties op de knop Save verandert u dat voor één klik:

De bevestiging na het opslaan, en het auditlog, vermelden welke van de twee is gebruikt. RADIUS wordt in beide gevallen bijgewerkt, omdat dat geen onderdeel van de switch is.

Beide laten de poort anders achter dan een normale opslag. Zonder de reset blijven instellingen uit de oude configuratie naast de nieuwe op de poort staan. Dat kan geen kwaad wanneer u het VLAN, de hostnaam of de omschrijving wijzigt, maar na een ander beveiligingstype of MAC-adres wordt de nieuwe configuratie mogelijk niet volledig actief. Met DB only houdt de switch zijn oude configuratie helemaal. In beide gevallen verschijnt de poort als afwijkend op Inspection > Compliance, en door hem daar te herstellen — of het apparaat nog een keer normaal op te slaan — wordt de poort volledig geprogrammeerd.

Discovery

De pagina Discovery toont apparaten die PrivateLAN via LLDP heeft gedetecteerd, maar die nog niet zijn geregistreerd. Van hieruit kunt u snel een apparaat aanmaken, vooraf ingevuld met de gedetecteerde gegevens.

Certificaten

Voor apparaten met EAP-TLS kan PrivateLAN een clientcertificaat voor het apparaat genereren en beheren, uitgegeven door de eigen Certificate Authority van PrivateLAN (zie 802.1x / RADIUS). Het kan worden ingetrokken wanneer het niet meer nodig is.

Een certificaat vereist geen IP-adres op het apparaat: is er geen, dan wordt het certificaat alleen op de hostnaam van het apparaat uitgegeven. Dat is sowieso wat bepaalt of de authenticatie slaagt, dus een apparaat met een dynamisch adres wordt hierdoor niet tegengehouden.

Het certificaat bevat de hostnaam van het apparaat en, bij een statisch adres, het IP-adres, zodat hetzelfde certificaat ook de eigen webinterface van het apparaat kan beveiligen: een browser accepteert het, of u het apparaat nu op adres of op naam opent. Of een apparaat het ook echt gebruikt, controleert Inspection > SSL.

De gegenereerde bestanden kunnen op het tabblad Certificaten van het apparaat in verschillende formaten worden gedownload. De bestanden die de privésleutel van het apparaat bevatten — de PFX-, P12-, PEM- en KEY-bestanden — zijn beveiligd met het clientcertificaatwachtwoord dat op de RADIUS-configuratiepagina is ingesteld; u hebt dat wachtwoord nodig om ze te importeren of te gebruiken. De CA-, CRT- en CSR-bestanden bevatten geen privésleutel en vereisen geen wachtwoord.

Camera's

Een apparaat kan met het selectievakje Is camera worden gemarkeerd als camera. Daarmee verschijnt op de apparaatpagina een camerapaneel waarin u de ONVIF-gegevens van de camera vastlegt en een live, periodiek ververst beeld bekijkt naast de overige gegevens van het apparaat. Zie Camera live-view voor de volledige beschrijving.

Een apparaat vergrendelen

Een apparaat kan worden vergrendeld om het te bevriezen — handig voor apparatuur die niet per ongeluk gewijzigd mag worden, zoals een camera op een kritieke locatie of een machine die onder een onderhoudscontract valt. Gebruik het hangslot rechtsboven op de apparaatpagina: een gesloten hangslot betekent dat het apparaat vergrendeld is, een open hangslot dat het dat niet is, en klikken doet telkens het omgekeerde. In de apparatenlijst toont een vergrendeld apparaat hetzelfde gesloten hangslot in plaats van zijn verwijder- en herstart-icoon.

Zolang een apparaat vergrendeld is, wordt het volgende geweigerd — of dat nu vanuit de webinterface, de REST API of de assistent wordt geprobeerd:

• het wijzigen van welke instelling van het apparaat dan ook, inclusief de camera-instellingen en de aangepaste configuratie
• het verwijderen van het apparaat
• het koppelen of loskoppelen van een interface
• het genereren of intrekken van het certificaat
• het herstarten, in- of uitschakelen van de switchpoorten
• het programmeren van de poorten, inclusief het oppakken van het apparaat op de pagina Deployment

Alles wat alleen leest, blijft werken, zodat een vergrendeld apparaat nog steeds gediagnosticeerd kan worden: het volledige monitoringpaneel, een ping, de authenticatiestatus en de vermeldingen in de apparatenlijst en de rapportages.

Er zijn drie soorten vergrendeling. Ze blokkeren precies hetzelfde en verschillen alleen in wie de vergrendeling weer mag opheffen:

U krijgt alleen de soorten aangeboden die u zelf ook weer ongedaan kunt maken, zodat u een apparaat nooit buiten uw eigen bereik kunt vergrendelen. Een Support lock is bedoeld voor een apparaat waar PrivateLAN-support aan werkt — een beheerder van uw eigen installatie kan die niet opheffen, dus gebruik hem alleen wanneer dat ook daadwerkelijk het geval is.

Het vergrendelen en ontgrendelen wordt vastgelegd in de auditlog, inclusief welke van de drie is toegepast en door wie.

Monitoring en bediening

Voor elk apparaat toont PrivateLAN live informatie die direct van de switch wordt opgehaald:

• Status — linkstatus, snelheid en duplex van de poort
• Auth status — huidige 802.1x-authenticatiestatus
• MAB status — resultaat van MAC Authentication Bypass
• Power — PoE-status, energieverbruik en vermogensklasse
• MAC — MAC-adrestabel geleerd op de poort
• ARP — ARP-tabel voor het IP-adres van het apparaat
• LLDP — link layer discovery-informatie van het aangesloten apparaat
• Show run — de configuratie die momenteel op de poort is toegepast
• Ping — connectiviteitstest naar het IP-adres van het apparaat
• Log — recente activiteit op de poort

Vanaf dezelfde pagina kunt u de poort herstarten, inschakelen of uitschakelen. Deze drie wijzigen de poort op de switch en worden daarom niet aangeboden zolang het apparaat vergrendeld is; de alleen-lezen knoppen hierboven blijven wel beschikbaar.

Restart en Disable worden daarnaast op één poort achtergehouden: de poort waarin PrivateLAN zelf zit. Staat er een apparaat geregistreerd met hetzelfde LAN-adres als de appliance, dan snijdt het uitschakelen van die poort de appliance af van zijn eigen netwerk — en van de switch die nodig is om de poort weer aan te zetten. Herstel betekent dan een seriële console of een tweede machine op die switch. Een herstart is hier niet veiliger dan een uitschakeling: de sessie naar de switch loopt over diezelfde poort, dus de poort gaat plat en het commando dat hem weer aanzet komt nooit aan. Enable blijft beschikbaar, omdat die een poort alleen aanzet.

Dezelfde bescherming geldt voor de achtergrondtaken en voor de API, niet alleen voor deze knoppen. Betreft een actie meerdere poorten en zit die van de appliance ertussen, dan worden de overige poorten gewoon gewijzigd en wordt de overgeslagen poort met de reden gemeld. Alleen het LAN-adres dat is ingesteld onder System > Networking telt mee; het WAN-adres niet.

De eigen poort van de appliance programmeren

Dezelfde poort heeft dezelfde bescherming nodig bij het programmeren van een apparaat, en dat is het geval waar men op stukloopt. Elk apparaatprofiel begint met het resetten en uitzetten van de poort, en zet hem pas op de laatste regel weer aan — op Cisco default interface gevolgd door shutdown, op Aruba disable, op Aruba CX shutdown. Voor een gewone poort is dat precies goed, en voor de poort waarin de appliance zit fataal: de verbinding met de switch loopt over die poort en gaat dus verloren op het moment dat de poort platgaat, waardoor de rest van het profiel — de regel die de poort weer aanzet incluis — de switch nooit bereikt. De poort blijft dan leeggemaakt en uitgeschakeld achter.

PrivateLAN laat die specifieke regels daarom weg bij het programmeren van de poort met zijn eigen LAN-adres. De rest van het profiel wordt exact zo toegepast als het er staat, op een poort die ondertussen gewoon aan blijft, en elke weggelaten regel wordt gemeld zodat duidelijk is wat er wel en niet is verstuurd. Het raakt alleen regels die de poort uitzetten of resetten; no shutdown, enable en een port-security-actie als violation shutdown worden gewoon verstuurd.

Doordat de poort niet eerst wordt gereset, blijft staan wat er al op geconfigureerd was. Moet die poort ooit toch schoon beginnen, doe dat dan vanaf een seriële console of vanaf een andere machine op dezelfde switch — niet vanuit PrivateLAN, dat zich aan de andere kant van die poort bevindt.

Het vrijgeven van die poort zet hem ook niet meer terug naar de standaard poortconfiguratie. De poort houdt de configuratie die hij heeft, en dat is de configuratie die werkt; PrivateLAN meldt het wanneer dat gebeurt.

Hetzelfde paneel kan ook een QR Support-rapport maken, waarmee alles wat een engineer over dit apparaat nodig heeft via een versleutelde QR-code bij een collega elders terechtkomt, zonder dat de appliance zelf een internetverbinding nodig heeft. Zie QR Support.

De apparatenlijst geeft ook een snel overzicht van alle apparaten tegelijk, inclusief poortstatus, MAC-adresverificatie, ping-status en authenticatiestatus. De lijst toont de MAC-adressen die voor elk apparaat zijn ingesteld, en in de filterregel boven de lijst kunt u daarop zoeken.

Door op de poortstatusindicator aan het begin van de regel van een apparaat te klikken opent een venster met de PoE-status, -klasse en -verbruik van de poort, het bandbreedtegebruik in beide richtingen, en de MAC-adressen die daadwerkelijk op die poort zijn gezien.