Aruba CX — 6100, 6200 en 6300

Configuratievoorbeeld om een HPE Aruba Networking CX-switch met fabrieksinstellingen gereed te maken voor PrivateLAN. Registreer de switch in PrivateLAN met type ArubaOS-CX.

Deze gids is geschreven voor ArubaOS-CX 10.09 en nieuwer, op de campus-accessfamilies:

ArubaOS-CX is niet hetzelfde als ArubaOS-Switch. Antwoordt uw switch op show running-config met regels als untagged vlan en aaa port-access mac-based, dan is het een ProVision- / ArubaOS-Switch-model (2530, 2930) en hoort hij bij type ArubaOS — een andere gids en een andere CLI.

Alles in deze gids voert u eenmalig in, op een switch met fabrieksinstellingen, vóórdat u hem aan PrivateLAN toevoegt. De configuratie van individuele switchpoorten hoort er niet bij: PrivateLAN programmeert accesspoorten zelf vanuit de apparaatgroep-templates, en alles wat u met de hand op een poort instelt, wordt overschreven zodra die poort opnieuw geprogrammeerd wordt.

Waarden in deze gids

De appliance accepteert syslog- en RADIUS-verkeer alleen op eth0, en alleen vanaf RFC 1918-adressen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Een switch met een publiek beheeradres bereikt die diensten niet, wat u op de switch zelf ook instelt.

Kies vooraf een VRF

Dit is de beslissing die elk ander commando in deze gids bepaalt, dus neem hem als eerste.

ArubaOS-CX scheidt de aparte out-of-band beheerpoort (interface mgmt, in VRF mgmt) van de switchpoorten (VRF default). Vrijwel elke dienst — SSH, NTP, syslog, RADIUS, de webserver — verwacht een expliciet vrf-argument, en een dienst die in de ene VRF is geconfigureerd, is vanuit de andere simpelweg niet bereikbaar.

Deze gids gaat uit van in-band beheer op VRF default, omdat de meeste PrivateLAN-installaties dat gebruiken en omdat het aansluit op de manier waarop de Cisco-switches in hetzelfde netwerk bereikt worden. Beheert u out-of-band, vervang dan vrf default door vrf mgmt in elk commando hieronder, en configureer interface mgmt in plaats van de SVI in paragraaf 4.

1. Console-toegang en hostname

Sluit aan op de consolepoort met 9600 8N1, zonder flow control. Een CX-switch met fabrieksinstellingen logt in als admin zonder wachtwoord en vraagt meteen om er een in te stellen. Stel het in en bewaar het — dit is uw weg terug.

configure terminal
hostname SW-FLOOR1-01

2. Het PrivateLAN-account

user privatelan group administrators password plaintext ExampleSwitchPassword

Het account moet in de groep administrators zitten. De CX-driver van PrivateLAN gaat direct vanaf de loginprompt naar configure terminal, dus een account in operators of auditors loopt al vast op het eerste commando.

ArubaOS-CX kent geen enable-stap, anders dan Cisco IOS. Laat het veld Enable password leeg wanneer u de switch registreert — de driver gebruikt het niet voor dit platform.

Wilt u het wachtwoord buiten de commandogeschiedenis houden, laat plaintext dan weg en laat de switch erom vragen:

user privatelan group administrators password

Het ingebouwde admin-account kan niet worden verwijderd. Geef het een sterk wachtwoord en behandel het als het break-glass-account dat alleen via de console gebruikt wordt.

3. SSH

PrivateLAN maakt uitsluitend verbinding via SSH.

ssh server vrf default
no telnet-server vrf default
ssh maximum-auth-attempts 3

Beheert u out-of-band, gebruik dan ssh server vrf mgmt. Beide kunnen tegelijk aan staan als u beide paden nodig hebt.

U hoeft paginering op de switch niet uit te zetten. De driver stuurt zelf no page bij elke sessie.

SSH met een sleutel in plaats van een wachtwoord

Optioneel. PrivateLAN kan zich bij een switch authenticeren met een SSH private key in plaats van een wachtwoord: u plakt de private key op de pagina van de switch, en PrivateLAN toont u de bijbehorende publieke sleutel om hier te installeren.

ArubaOS-CX accepteert geen publieke sleutel die u in de configuratie typt, zoals Cisco IOS dat wel doet. De sleutel wordt als bestand geïmporteerd, vanaf een TFTP- of SFTP-server die bereikbaar is in dezelfde VRF als het beheeradres, en aan een lokale gebruiker gekoppeld:

copy tftp://192.168.10.9/privatelan.pub ssh-authorized-key privatelan vrf default
show ssh authorized-key privatelan

De exacte schrijfwijze van dit commando is tussen 10.x-releases gewijzigd. Voer copy ? uit op uw eigen switch en gebruik de vorm die daar wordt aangeboden in plaats van die hierboven. Wachtwoordauthenticatie is op CX de eenvoudige weg en is wat de meeste PrivateLAN-installaties gebruiken.

Laat het lokale wachtwoord ook staan. Dat blijft op de console beschikbaar en is de enige weg terug als de sleutel ooit verdwijnt.

4. Management-VLAN en IP-adres

PrivateLAN bereikt de switch op dit adres, en dit is ook het adres dat u als RADIUS-client registreert.

vlan 10
    name MGMT
    exit
vlan 20
    name DATA
    exit
!
interface vlan 10
    description Management
    ip address 192.168.10.21/24
    no shutdown
    exit
!
ip route 0.0.0.0/0 192.168.10.1

ArubaOS-CX verwacht een adres in CIDR-notatie, niet als een subnetmasker met punten. PrivateLAN rekent dat automatisch om wanneer het een VLAN programmeert, maar hier typt u het in CIDR-vorm.

De uplink moet het management-VLAN dragen:

interface 1/1/48
    description UPLINK
    no shutdown
    no routing
    vlan trunk native 1
    vlan trunk allowed 10,20
    exit

no routing is nodig voordat een fysieke poort commando's als vlan trunk of vlan access accepteert: CX-poorten zijn standaard routed interfaces, precies andersom dan bij Cisco.

Houd het management-VLAN buiten elke VLAN-set die PrivateLAN op deze switch programmeert, tenzij u het daar bewust wilt beheren. Wanneer PrivateLAN een VLAN uit een switchgroep verwijdert, voert het no vlan <id> uit op elke switch in die groep — inclusief, als u het zo hebt ingericht, het VLAN waarover de beheersessie zelf loopt.

Let op de interfacenotatie: member/slot/poort, dus 1/1/48. Gebruik precies die vorm wanneer u de interfacelijst in PrivateLAN invult, bijvoorbeeld 1/1/1-1/1/48, en voor een VSF-stack 1/1/1-1/1/24, 2/1/1-2/1/24.

Meer dan 1000 VLAN's

ArubaOS-CX kent geen equivalent van Cisco's normale en extended VLAN-reeksen, en geen VTP. De id's 1 tot en met 4094 zijn meteen allemaal bruikbaar en er hoeft niets te worden vrijgegeven — vlan 2000 werkt op een switch met fabrieksinstellingen.

Wat wel geldt, is een platformafhankelijk plafond op hoeveel VLAN's er tegelijk kunnen bestaan, en op de campus-accessmodellen ligt dat getal ruim onder 4094. Het is een eigenschap van de hardware en het image, geen instelling, dus er valt niets te configureren als u ertegenaan loopt — het model bepaalt het.

show capacities vlan

Voer dat uit op de switch zelf in plaats van uit te gaan van een datasheet: het toont het ondersteunde maximum voor precies dit model en deze softwareversie. show capacities-status vlan laat daarnaast zien hoeveel er op dit moment in gebruik is, en dat is het getal om in de gaten te houden wanneer PrivateLAN een grote VLAN-set over een switchgroep beheert.

5. Wachtwoorden in de running config

ArubaOS-CX slaat gebruikerswachtwoorden niet leesbaar op — user ... password plaintext is hoe u er een invoert, en de running config toont een hash. Voor accounts is verder niets nodig.

Het gedeelde RADIUS-geheim ligt anders, omdat de switch het moet kunnen teruglezen. Voer het in met het keyword plaintext (paragraaf 6) en de running config slaat het op als ciphertext. U kunt dat controleren met show running-config: de regel komt terug als key ciphertext ... in plaats van de waarde die u hebt getypt.

plaintext beschrijft de waarde die u typt, niet hoe die wordt opgeslagen. Er is geen apart commando om versleuteling aan te zetten, en geen equivalent van Cisco's omkeerbare type 7 dat u moet vermijden.

Wanneer een switchconfiguratie de appliance verlaat — bijvoorbeeld via een QR Support-rapport — verwijdert PrivateLAN RADIUS-sleutels, SNMP community strings en vergelijkbare inloggegevens voordat het rapport wordt gecodeerd. Die gaan dus nooit mee.

6. Tijd en tijdzone

clock timezone europe/amsterdam
!
ntp server nl.pool.ntp.org iburst
ntp vrf default
ntp enable

Wijs de switch naar dezelfde tijdserver die de appliance gebruikt, niet naar de appliance zelf. De PrivateLAN-appliance is een NTP-client; hij draait geen NTP-server. Welke server hij gebruikt, ziet u onder System > Networking. Een switch die naar de appliance wijst, synchroniseert stilzwijgend nooit.

De VRF die de NTP-client gebruikt, stelt u apart van de serverlijst in, en het keyword verschilt licht tussen 10.x-releases — controleer ntp ? op uw switch als bovenstaande regel wordt geweigerd.

Controleer met show ntp status en show ntp associations. De pagina Reports > Configuration compliance van PrivateLAN controleert de regel ntp server en accepteert zowel de adressen van de appliance zelf als de tijdserver waarmee de appliance is ingesteld.

Gebruikt u een hostname in plaats van een IP-adres, dan heeft de switch een resolver nodig:

ip dns server-address 192.168.10.1 vrf default

7. Syslog naar de appliance sturen

logging 192.168.10.5 udp 514 vrf default severity info

Severity info sluit aan op wat de syslogweergave van de appliance verwacht te ontvangen. Verhoog hem naar warning als een switch veel meldingen produceert: de appliance beperkt de syslogsnelheid per verzendend apparaat, en meer dan ongeveer 200 UDP-berichten per seconde vanaf één bron worden verworpen, zodat één switch de rest van het park niet kan overstemmen. Een switch die wordt afgeknepen, verschijnt op de tegel voor syslog-floodbescherming op het dashboard.

Controleer met show logging -r, en kijk of er meldingen binnenkomen in de syslogweergave van de appliance. Reports > Configuration compliance rapporteert deze regel als Logging host, en telt hem alleen als match wanneer hij naar deze appliance wijst.

8. RADIUS en poortauthenticatie

Dit is wat MAB-, PEAP- en EAP-TLS-apparaten laat werken. De switch moet ook in PrivateLAN als RADIUS-client geregistreerd worden, onder 802.1x / RADIUS, met hetzelfde beheer-IP-adres en hetzelfde gedeelde geheim.

radius-server host 192.168.10.5 key plaintext ExampleSharedSecret vrf default
!
aaa group server radius PRIVATELAN
    server 192.168.10.5 vrf default
    exit
!
aaa authentication port-access dot1x authenticator
    radius server-group PRIVATELAN
    enable
    exit
!
aaa authentication port-access mac-auth
    radius server-group PRIVATELAN
    enable
    exit

De blokstructuur hierboven is die van ArubaOS-CX 10.09 en nieuwer. Eerdere 10.x-releases schrijven delen van de hiërarchie onder aaa authentication port-access anders. Wordt een regel geweigerd, loop dan de context door met ? in plaats van aan te nemen dat de hele aanpak verkeerd is — het model is in elke release hetzelfde, alleen de bewoording is verschoven.

De twee aaa authentication port-access-blokken schakelen elke methode globaal in. PrivateLAN zet ze daarna per poort aan of uit wanneer het een apparaat programmeert: u ziet dan aaa authentication port-access dot1x authenticator enable en de mac-auth-tegenhanger binnen de interface verschijnen. Een methode die niet globaal aan staat, kan op een poort niet worden ingeschakeld, dus beide blokken zijn nodig ook als u vandaag maar één methode gebruikt.

ArubaOS-CX past het VLAN uit het RADIUS-antwoord (Tunnel-Private-Group-ID) native toe voor port-access; er is geen extra authorization-commando nodig, anders dan bij Cisco IOS.

MAC-adresnotatie voor MAC-authenticatie

PrivateLAN slaat de RADIUS-gebruikersnaam en het wachtwoord van een MAB-apparaat op als het MAC-adres in twaalf hexadecimale tekens in kleine letters, zonder scheidingstekens — 00155d5a6500. De RADIUS-server vergelijkt die string letterlijk, dus een switch die 00:15:5d:5a:65:00 of 0015-5D5A-6500 verstuurt, wordt geweigerd, ook al is het apparaat correct geregistreerd.

Controleer wat er werkelijk binnenkomt onder 802.1x / RADIUS op de appliance: bij de recente authenticatiegebeurtenissen staat de gebruikersnaam die de switch heeft verstuurd. Klopt de notatie niet, pas hem dan aan onder aaa authentication port-access mac-auth — welke subcommando's beschikbaar zijn verschilt per release, dus gebruik ? om te zien wat uw switch aanbiedt.

Poortconfiguratie wordt door PrivateLAN gezet

U configureert port-access niet zelf op afzonderlijke poorten. PrivateLAN schrijft het weg wanneer het een apparaat op een poort programmeert, vanuit de templates onder Devices > Device groups. Een poort met MAC-authenticatie ziet er uiteindelijk zo uit:

interface 1/1/12
    description PRINTER-01
    vlan access 20
    aaa authentication port-access mac-auth enable
    aaa authentication port-access dot1x authenticator disable
    aaa authentication port-access auth-precedence mac-auth dot1x
    no lldp transmit
    lldp receive
    spanning-tree bpdu-guard
    spanning-tree port-type admin-edge
    no shutdown

Nadat een apparaat is geprogrammeerd, toont Reports > Configuration compliance wat PrivateLAN bedoelde tegenover wat er werkelijk op de switch staat. Dat rapport is de betrouwbare manier om een geweigerd commando te ontdekken, omdat de switch zo'n weigering via SSH niet terugmeldt in een vorm die de driver van een normale prompt kan onderscheiden.

9. Spanning tree

Spanning tree staat standaard uit op ArubaOS-CX. Dit is het grootste verschil met een Cisco-switch uit de doos, en het valt niet op: de switch schakelt vrolijk door tot de dag waarop iemand twee accesspoorten aan elkaar patcht. Zet het aan voordat de switch in productie gaat.

spanning-tree mode mstp
spanning-tree config-name PRIVATELAN
spanning-tree config-revision 1
spanning-tree instance 1 vlan 10,20
spanning-tree

spanning-tree op zichzelf is het commando dat het globaal inschakelt. Controleer met show spanning-tree — een niet-geconfigureerde switch antwoordt dat spanning tree uit staat.

Bepaal de root bridge bewust, op de switch die root hoort te zijn:

spanning-tree priority 4

CX verwacht een vermenigvuldiger van 0 tot 15, niet Cisco's 0 tot 61440. spanning-tree priority 4 betekent 4 x 4096 = 16384. De waarde 24576 wordt hier geweigerd, en 8 geeft u een veel hogere prioriteit dan u waarschijnlijk bedoelde.

De apparaattemplates zetten per poort spanning-tree bpdu-guard en spanning-tree port-type admin-edge, het CX-equivalent van Cisco's PortFast plus BPDU guard. Anders dan bij de Cisco-templates wordt hier niet op BPDU's gefilterd, dus BPDU guard beschermt die poorten daadwerkelijk.

10. LLDP

LLDP staat standaard aan op ArubaOS-CX. Controleren volstaat, configureren is niet nodig:

show lldp configuration

Is het uitgezet, zet het dan weer aan:

lldp

PrivateLAN leest show lldp neighbor-info detail uit om de LLDP-buurkolom op het interfaceoverzicht te vullen, dus dit moet aan blijven staan. De poorttemplates zetten no lldp transmit en lldp receive op apparaatpoorten, zodat de switch nog steeds leert wat er is aangesloten maar zichzelf niet aankondigt bij eindapparaten.

11. Layer 3 — routering en SVI's

ArubaOS-CX routeert standaard: een SVI met een IP-adres is een routed interface, en er is geen globaal ip routing-commando dat u eerst moet aanzetten.

Zet de routingmodus van PrivateLAN op SVI voor CX-switches. PrivateLAN biedt SVI, HSRP en VRRP onder VLANs, maar de CX-driver programmeert alleen gewone SVI's. HSRP heeft nooit op Aruba-hardware bestaan, en VRRP is niet beschikbaar op de CX 6100. HSRP of VRRP kiezen levert geen duidelijke fout op — het VLAN wordt simpelweg zonder gateway geprogrammeerd. Hebt u op CX een redundante gateway nodig, configureer die dan buiten PrivateLAN om, op de core.

PrivateLAN schrijft de SVI zelf weg wanneer u een VLAN programmeert:

interface vlan 20
    description Data
    ip address 192.168.20.1/24
    no shutdown

Wat u met de hand configureert, is alleen de management-SVI uit paragraaf 4 en de default route.

12. Transceivers van derden

CX-switches schakelen een SFP uit die ze niet herkennen. Gebruikt u optiek van derden of gekleurde optiek:

allow-unsupported-transceiver

De switch vraagt om bevestiging en waarschuwt dat niet-ondersteunde optiek buiten de support valt. Bevestig, sla de configuratie op en zet de poort uit en aan. Controleer met show interface transceiver detail.

13. De webinterface uitzetten

PrivateLAN beheert de switch volledig via SSH — het gebruikt de CX-webinterface niet en de REST API evenmin.

no https-server vrf default

Wilt u de webinterface behouden voor incidenteel handmatig werk, beperk hem dan tot het out-of-band beheernetwerk in plaats van hem helemaal te verwijderen:

https-server vrf mgmt

Controleer met show https-server wat er werkelijk luistert. Hetzelfde geldt voor de REST API, die dezelfde https-server-configuratie deelt: de server op een VRF uitzetten neemt beide mee.

14. Opslaan en registreren in PrivateLAN

end
write memory

Vervolgens, in de appliance:

• Switches > Add — hostname, beheer-IP-adres 192.168.10.21, SSH-poort 22, type ArubaOS-CX, gebruikersnaam privatelan en het switchwachtwoord. Laat het enable-wachtwoord leeg. Kies de switchgroep en vul de interfacereeksen in de vorm 1/1/1-1/1/48 in.
• 802.1x / RADIUS > Clients — voeg dezelfde switch toe met IP-adres 192.168.10.21, het bijbehorende netmasker en het gedeelde geheim ExampleSharedSecret.
• Reports > Configuration compliance — draai dit zodra de eerste polling is afgerond, en controleer of de regels voor de logging host en de tijdserver beide als match terugkomen.

Voeg een VSF-stack op een 6200 of 6300 één keer toe, op het gedeelde beheeradres. PrivateLAN herkent de stack en toont daaronder per lid het model, serienummer, de firmware, uptime, CPU en temperatuur.

DHCP snooping (optioneel)

PrivateLAN leest de DHCP snooping-tabel van de switch uit om het adres te achterhalen van elk apparaat dat u met een Dynamic adres in plaats van een vast adres hebt geregistreerd, en om het adres te vinden van draadloze clients achter een accesspoint. Zonder snooping melden die apparaten simpelweg dat er geen adres bekend is — er stopt verder niets met werken, dus zet het alleen aan als u daar gebruik van maakt.

dhcpv4-snooping
!
vlan 10,20,30
    dhcpv4-snooping
!
interface 1/1/48
    description Uplink
    dhcpv4-snooping trust

Zet het naast globaal ook per VLAN aan — het globale commando alleen legt niets vast.

Twee dingen bepalen of dit überhaupt werkt:

• Elke poort richting uw DHCP-server moet trusted zijn. Dat is de uplink, en elke poort richting een andere switch onderweg naar de server. Een poort die untrusted blijft, gooit de antwoorden van de server weg en de apparaten erachter krijgen geen adres meer — stel de trusted poorten dus in dezelfde wijziging in als waarin u snooping aanzet, niet erna.
• Snooping moet aan staan op de VLAN's waar de apparaten in zitten. Een VLAN waarop het niet aan staat levert geen bindings op, dus die apparaten blijven melden dat er geen adres bekend is.

Controleer het resultaat op de switch zelf:

show dhcpv4-snooping
show dhcpv4-snooping binding

De binding-tabel overleeft een herstart van de switch niet, tenzij u de switch opdraagt hem op te slaan. Doet u dat niet, dan meldt PrivateLAN voor een dynamisch apparaat dat er geen adres bekend is totdat elke lease is vernieuwd:

dhcpv4-snooping external-storage <url>

Volledig configuratievoorbeeld

Alles hierboven in één blok, voor een CX 6100 als layer 2-accessswitch met in-band beheer. Vervang elke waarde uit de tabel bovenaan.

configure terminal
!
hostname SW-FLOOR1-01
!
user privatelan group administrators password plaintext ExampleSwitchPassword
!
ssh server vrf default
no telnet-server vrf default
ssh maximum-auth-attempts 3
!
vlan 10
    name MGMT
    exit
vlan 20
    name DATA
    exit
!
interface vlan 10
    description Management
    ip address 192.168.10.21/24
    no shutdown
    exit
!
ip route 0.0.0.0/0 192.168.10.1
!
interface 1/1/48
    description UPLINK
    no shutdown
    no routing
    vlan trunk native 1
    vlan trunk allowed 10,20
    exit
!
clock timezone europe/amsterdam
ntp server nl.pool.ntp.org iburst
ntp vrf default
ntp enable
!
logging 192.168.10.5 udp 514 vrf default severity info
!
radius-server host 192.168.10.5 key plaintext ExampleSharedSecret vrf default
aaa group server radius PRIVATELAN
    server 192.168.10.5 vrf default
    exit
aaa authentication port-access dot1x authenticator
    radius server-group PRIVATELAN
    enable
    exit
aaa authentication port-access mac-auth
    radius server-group PRIVATELAN
    enable
    exit
!
spanning-tree mode mstp
spanning-tree config-name PRIVATELAN
spanning-tree config-revision 1
spanning-tree instance 1 vlan 10,20
spanning-tree
!
allow-unsupported-transceiver
!
no https-server vrf default
!
end
write memory

Problemen oplossen

Gerelateerde documentatie

• Switchbeheer — de switch registreren, groepen, interfacelabels en stacks
• 802.1x / RADIUS — RADIUS-clients en certificaten
• VLAN's — VLAN's aanmaken en de routingmodus kiezen
• Apparaten uitrollen — hoe poorten vanuit apparaatgroep-templates worden geprogrammeerd