QR Support
QR Support
QR Support geeft een actueel rapport over een apparaat of een switch van een appliance door aan een engineer die er niet bij in de buurt is, zonder dat de appliance zelf internet nodig heeft. Het rapport wordt op het scherm omgezet in een QR-code; wie ter plaatse is scant die met een telefoon, en een collega elders leest het rapport terug op privatelan.nl.
Dit is gemaakt voor geïsoleerde en air-gapped netwerken, waar de appliance bewust geen route naar buiten heeft. De appliance verstuurt zelf nooit iets — dat doet de telefoon die de code scant, en alleen omdat die toevallig zelf internet heeft.
Elk rapport, van een apparaat of van een switch, begint met de systeemnaam die u zelf bij de systeeminstellingen opgeeft, samen met de licentie-aanduiding van de appliance — waarmee PrivateLAN support kan zien bij welke klant een rapport hoort. Beide staan in het versleutelde rapport, dus alleen leesbaar voor wie u de sleutel geeft. De overdracht zelf stuurt nooit iets naar privatelan.nl waarmee u leesbaar te herleiden bent. Laat u de systeemnaam leeg, dan staat er alleen een streepje — het is dus de moeite waard om die in te vullen.
Eén uitzondering, zodat u het weet in plaats van ontdekt: wordt het rapport geopend door iemand die ingelogd is op privatelan.nl, dan zoekt diens browser de licentie-aanduiding op zodat de pagina de installatie bij naam kan noemen. Dat gebeurt door die browser ná het ontsleutelen, nooit door de overdracht zelf, het geeft alleen antwoord voor systemen die dat account toch al mag zien, en het wordt niet bij het rapport bewaard. Wie ter plaatse een code scant is niet ingelogd, dus daar gebeurt dit niet.
Een code aanmaken voor een apparaat
Open de apparaatpagina en klik op QR Support in het paneel Monitoring and control. Er opent een venster waarin u aanvinkt welke rapporten mee moeten:
| Rapport | Inhoud |
|---|---|
| Running config | De configuratie van de interfaces van het apparaat |
| Interface status | Linkstatus, snelheid, duplex en tellers |
| Authentication status | De 802.1x-sessie op de poort |
| MAB status | Status van MAC Authentication Bypass |
| Power | PoE-verbruik en -klasse |
| MAC address table | De adressen die op de poort geleerd zijn |
| LLDP neighbors | Wat de poort aan de andere kant ziet |
| Log | Logregels die deze interface noemen |
| Ping from switch | Een ping naar het apparaat, uitgevoerd door zijn eigen switch |
| ARP table | De ARP-tabel van de VLAN van het apparaat |
Alles behalve het log en de ARP-tabel staat standaard aan. Die twee zijn gemarkeerd als groot, en dat zijn ze ook: de ARP-tabel omvat de hele VLAN in plaats van alleen dit apparaat, en kan op een druk netwerk in zijn eentje het aantal QR-codes verdubbelen. Laat ze uit tenzij u ze nodig heeft.
De appliance bevraagt daarna elke switch waarop het apparaat is aangesloten — één sessie per switch, ongeacht hoeveel rapporten u aanvinkt — en toont:
| Onderdeel | Omschrijving |
|---|---|
| QR-code | Eén of meer codes om te scannen, één tegelijk getoond met Next |
| Code | Acht cijfers, om het rapport later terug te vinden |
| Sleutel | Zestien tekens, om het te ontsleutelen |
In de praktijk past de standaardselectie in één of twee codes. De code en de sleutel staan allebei op het scherm. Noteer of fotografeer ze allebei als het rapport wordt opgehaald door iemand die ze intypt in plaats van scant.
Wat er altijd in een apparaatrapport staat
Wat u ook selecteert, het rapport begint met de registratie van het apparaat zelf, zodat de engineer die het leest de switch-uitvoer kan beoordelen tegen wat de appliance denkt dat de poort zou moeten doen:
- Naam, apparaatgroep en VLAN, IP-adres en beveiligingsmodus
- De toegestane MAC-adressen
- Bij MAB en PEAP: de authenticatiegebruikersnaam en het wachtwoord
- Bij een apparaat met aangemaakte clientcertificaten: common name, alternative names, aanmaak- en vervaldatum, en geldigheidsduur
Het authenticatiewachtwoord staat er bewust in — dat is doorgaans juist wat een engineer onderzoekt wanneer 802.1x een apparaat weigert. Houd er wel rekening mee dat het daarmee meereist in het rapport, versleuteld, en leesbaar is voor iedereen aan wie u de QR-code of de code en sleutel geeft. Wilt u dat bij een bepaalde overdracht niet, gebruik dan een apparaat dat niet met een wachtwoord authenticeert, of geef code en sleutel via gescheiden kanalen door.
Switchrapporten
Dezelfde overdracht werkt ook voor een switch. Klik op het overzicht Switches op het QR-icoon in de actiekolom van de switch waarover u wilt rapporteren.
Een switchrapport wordt volledig samengesteld uit wat de appliance al van die switch heeft uitgelezen. Het verschijnt daardoor direct, en het werkt ook nog wanneer de switch zelf onbereikbaar is. Het begint altijd met wat de appliance van de switch weet: naam, groep, IP-adres, type, model, serienummer, softwareversie en locatie, gevolgd door de status, of de appliance een SSH-verbinding met de switch heeft, pingtijd, CPU, temperatuur, PoE-verbruik, uptime en, bij een stack, het aantal units. Het moment waarop die gegevens zijn uitgelezen staat erbij, zodat de engineer ziet hoe vers het beeld is.
Daarnaast vinkt u aan wat er mee moet:
| Rapport | Inhoud |
|---|---|
| VLANs | De VLAN's op de switch, met hun naam en eventuele gerouteerde adressen |
| Interface status (up/down) | Eén regel per poort: up of down, het VLAN en de omschrijving |
| Configuration (credentials removed) | De actieve configuratie van de switch |
De eerste twee staan om te beginnen aangevinkt. De configuratie is gemarkeerd als groot, want een volledige configuratie is verreweg het omvangrijkste dat een rapport kan bevatten.
Wachtwoorden, community strings, sleutels en wachtwoord-hashes worden door de appliance uit die configuratie verwijderd voordat er iets versleuteld wordt — die staan er als ** in. Dat gebeurt op de appliance zelf, dus er verlaat geen enkele inloggegeven het apparaat.
Doorsturen
Er zijn drie manieren om het rapport naar buiten te krijgen, en ze komen allemaal op hetzelfde punt uit:
- Ter plaatse scannen. De telefoon opent privatelan.nl, uploadt het versleutelde rapport en toont het meteen. Is het rapport over meerdere codes verdeeld, gebruik dan Next op de appliance en scan ze achter elkaar — bij de laatste scan verschijnt het volledige rapport.
- De code fotograferen. Stuur de foto via een willekeurig kanaal naar een collega. Die scant de foto en ziet het rapport, zonder de code en sleutel apart nodig te hebben.
- De code en sleutel doorgeven. Uw collega opent privatelan.nl/support/qr-support, vult de acht cijfers in en daarna de sleutel. Allebei zijn nodig.
Wat er wordt opgeslagen, en hoe lang
Het rapport wordt op de appliance versleuteld voordat er een QR-code van wordt gemaakt. Wat bij privatelan.nl aankomt is dat versleutelde blok en verder niets: de sleutel blijft in de gescande link en in uw browser, en wordt nooit naar een server gestuurd.
PrivateLAN kan de rapporten die via deze functie lopen dus niet lezen, en wie een kopie van de achterliggende database bemachtigt evenmin. Rapporten worden na 7 dagen automatisch verwijderd.
Iedereen die de QR-code heeft, of zowel de code als de sleutel, kan het rapport lezen. Behandel een foto van een QR-code net zo zorgvuldig als de configuratie zelf.
Wie het mag gebruiken
QR Support haalt gegevens van de appliance af en is daarom bewust dubbel afgeschermd:
- Het moet in de licentie van de appliance zitten. Zonder die optie verschijnt de knop helemaal niet, waarmee een organisatie de mogelijkheid volledig kan uitsluiten.
- De gebruiker moet de bijbehorende rol Can generate a QR Support code hebben — er is een aparte rol voor apparaten en voor switches. Rollen beheert u per gebruiker bij gebruikersbeheer.
Elke aangemaakte code komt in de auditlog te staan, inclusief wie hem heeft aangemaakt, voor welk apparaat of welke switch, en wanneer. De sleutel wordt daar bewust niet in vastgelegd — een auditlog die hem wel bevatte zou genoeg zijn om de rapporten terug te lezen.
Vereisten
- De telefoon of computer die het rapport leest heeft een redelijk actuele browser nodig (Chrome, Safari, Firefox of Edge). Het ontsleutelen gebeurt in de browser zelf.
- De appliance heeft geen enkele internetverbinding nodig, en dat is precies de bedoeling.
