DrayTek VigorSwitch — P-, G-, Q- en PQ-serie

Configuratievoorbeeld om een DrayTek VigorSwitch gereed te maken voor PrivateLAN. Registreer de switch in PrivateLAN met type DrayTek-VigorSwitch.

De driver is voor de VigorSwitch-modellen met de Cisco-achtige command line van firmware 2.x. U herkent die aan de prompt (PQ2200xb#) en aan de eerste regel van show running-config: DRAYTEK SYSTEM CONFIG FILE ::= BEGIN. PrivateLAN is getest met een VigorSwitch PQ2200xb op firmware 2.9.12 (zestien 2,5 Gbit/s-PoE-poorten en vier 10 Gbit/s-SFP+-poorten). Oudere VigorSwitch-modellen die alleen via de webinterface te beheren zijn, vallen hier niet onder.

Wat PrivateLAN op deze switches doet, en wat niet:

Alles in deze handleiding stelt u één keer in, voordat u de switch aan PrivateLAN toevoegt. De configuratie van afzonderlijke switchpoorten hoort er niet bij: PrivateLAN programmeert toegangspoorten zelf vanuit de sjablonen van de apparaatgroepen, en wat u met de hand op een poort instelt, wordt overschreven zodra die poort opnieuw wordt geprogrammeerd.

Waarden in deze handleiding

De appliance accepteert syslog-, RADIUS- en tijdverkeer (NTP) alleen op eth0, en alleen van RFC 1918-adressen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Een switch met een publiek beheeradres bereikt die diensten niet, wat u op de switch ook instelt.

Waarin deze CLI afwijkt

Lees dit eerst als u Cisco IOS kent: dit zijn de verschillen die PrivateLAN voor u oplost, en de verschillen waar u zelf tegenaan loopt.

• Het inloggen gebeurt binnen de sessie. De SSH-server laat iedere client binnen en vraagt daarna zelf om Username: en Password:. PrivateLAN beantwoordt die vragen met de gebruikersnaam en het wachtwoord die u registreert; daarvoor hoeft u niets in te stellen.
• configure, niet configure terminal. configure terminal is een onbekend commando. show-commando's werken niet in de configuratiemodus; gebruik eerst end (of do show ...).
• Poortnamen. De poorten heten 2.5gi1 tot en met 2.5gi16 en 10gi1 tot en met 10gi4 op de PQ2200xb, gi1 op modellen met 1 Gbit/s, en lag1 voor een link aggregation. Commando's en tabellen gebruiken deze korte namen; logberichten schrijven ze voluit (2.5GigabitEthernet2 link up). Een reeks schrijft u als 2.5gi1-16,10gi1-4.
• restore-defaults interfaces 2.5gi5 zet één poort terug naar de fabrieksinstellingen — het equivalent van Cisco's default interface. Elk PrivateLAN-sjabloon begint ermee.
• Beschrijvingen en VLAN-namen zijn maximaal 32 tekens. Een langere beschrijving weigert de switch helemaal; PrivateLAN kort een hostnaam in tot 32 tekens voordat die wordt verstuurd.
• Een uitgeschakelde poort staat in show interfaces status op down, net als een poort zonder kabel. show interfaces 2.5gi1-16 status toont er disable voor.
• reboot herstart direct, zonder om bevestiging te vragen.

1. Eerste toegang en hostnaam

Verbind met de consolepoort (115200 baud, 8 databits, geen pariteit, 1 stopbit) of via SSH met het fabrieksadres. Het fabrieksaccount is admin met wachtwoord admin.

configure
hostname SW-FLOOR1-01

2. Accounts

username admin privilege 15 secret ExampleAdminPassword
username privatelan privilege 15 secret ExampleSwitchPassword

Wijzig eerst het fabriekswachtwoord van admin. Het account van PrivateLAN moet privilege 15 hebben: PrivateLAN gaat de configuratiemodus in en slaat de configuratie op. secret bewaart het wachtwoord als hash in de running configuration (secret encrypted $6$...).

3. SSH

PrivateLAN verbindt alleen via SSH. SSH staat in de fabrieksconfiguratie aan; zet Telnet uit:

ip ssh
no ip telnet

Paging hoeft u niet uit te zetten: PrivateLAN stuurt zelf bij elke sessie terminal length 0.

SSH met een sleutel in plaats van een wachtwoord

Optioneel, en aanbevolen. PrivateLAN kan zich met een SSH-privésleutel aanmelden in plaats van met een wachtwoord; dat is getest op firmware 2.9.12 met een RSA-sleutel van 3072 bits. Drie dingen om vooraf te weten:

• De publieke sleutel voert u in de webinterface in, per gebruikersaccount. De command line heeft geen commando om een sleutel in te voeren; ip ssh auth key wist alleen de sleutel van het account waarmee u bent ingelogd. Zet de sleutel op de switch voordat u de webinterface uitzet (paragraaf 11).
• ip ssh auth maakt SSH alleen-sleutel. Zodra het aan staat, vraagt de switch in de SSH-sessie voor geen enkel account meer om gebruikersnaam en wachtwoord: alleen een sleutel komt binnen. De console blijft om het wachtwoord vragen. Voer het als laatste in, als PrivateLAN een werkende sleutel heeft.
• Een sleutel-login komt direct bij de prompt uit (SW-FLOOR1-01#), zonder de vraag Username:.

De volgorde:

1. Kies onder Switches > Add (of Edit) SSH key als authenticatie en plak de privésleutel; na het opslaan toont PrivateLAN de publieke sleutel die erbij hoort.
2. Zet die publieke sleutel op de switch, in de webinterface, bij het account privatelan.
3. Zet sleutelauthenticatie aan:

ip ssh auth

Controleer dat PrivateLAN de switch nog uitleest (de status onder Switches wordt ververst). Lukt dat niet, dan zet no ip ssh auth via de console de wachtwoord-login terug.

4. Beheer-VLAN en IP-adres

De switch heeft één beheeradres, in het beheer-VLAN. PrivateLAN bereikt de switch op dit adres, en het is ook het adres dat u als RADIUS-client registreert. Doe deze wijziging via de console: de SSH-sessie loopt over het adres dat u wijzigt.

vlan 10,20
vlan 10
 name "MGMT"
exit
vlan 20
 name "DATA"
exit
management-vlan vlan 10
no ip dhcp
ip address 192.168.10.21 mask 255.255.255.0
ip default-gateway 192.168.10.1

vlan 10,20 maakt beide VLAN's aan; vlan 10 opent er daarna één om hem een naam te geven. Het adres krijgt mask vóór het subnetmasker.

De uplink moet het beheer-VLAN doorgeven. Een poort in fabrieksinstelling is al een trunk met native VLAN 1; voeg de VLAN's toe die hij getagd doorgeeft:

interface 10gi1
 description "UPLINK"
 switchport mode trunk
 switchport trunk allowed vlan add 10,20
 lldp tx
 lldp rx
exit

lldp tx en lldp rx zijn op elke poort de standaard; ze staan hier uitgeschreven omdat een poort die eerder een apparaatpoort was, de no lldp tx van zijn sjabloon houdt. Op een verbinding tussen twee switches moet LLDP in beide richtingen werken: Reports > Interconnects tekent de verbindingen tussen uw switches uit de LLDP-buren van de poorten met de tag [TRUNK].

Gebruik switchport trunk native vlan <id> als de andere kant van de uplink een ander native VLAN heeft. Geef de uplink in PrivateLAN de tag [TRUNK], zodat de appliance elk VLAN dat hij programmeert eraan toevoegt.

PrivateLAN verwijdert het beheer-VLAN nooit van een switch. Bij het programmeren van VLAN's verwijdert PrivateLAN de VLAN's op de switch die niet aan de switchgroep zijn toegewezen, maar het laat VLAN 1 staan, het VLAN waarop het eigen beheeradres van de switch staat, en elk VLAN dat in PrivateLAN als management-VLAN is gemarkeerd. Voeg het beheer-VLAN toe in PrivateLAN en markeer het, zodat het ook blijft staan op een switch waarvan PrivateLAN de configuratie nog niet heeft gelezen. Wijs het alleen aan de switchgroep toe als PrivateLAN het als elk ander VLAN moet programmeren, bijvoorbeeld op nieuwe [TRUNK]-poorten zetten.

Voer de interfacelijst in PrivateLAN in zoals de switch hem toont, bijvoorbeeld voor een PQ2200xb: [P8] 2.5gi1-4, [P4] 2.5gi5-16, [ND][TRUNK][SFP] 10gi1-4. Poort 1 tot en met 4 van de PQ2200xb leveren tot 90 W (802.3bt, klasse 8), poort 5 tot en met 16 tot 30 W (802.3at, klasse 4).

5. Tijd en tijdzone

clock timezone CET +1
clock summer-time CEST recurring eu
clock source sntp
sntp host 192.168.10.5

Wijs de switch naar het eigen adres van de appliance. De PrivateLAN-appliance geeft de tijd door die hij van de tijdserver onder System > Networking krijgt (een NTP-relay), dus de switch heeft geen internet en geen DNS nodig, en zijn logtijden lopen gelijk met die van de appliance. De appliance antwoordt alleen op eth0, alleen aan RFC 1918-adressen, en beperkt hoe vaak één adres mag vragen; een switch vraagt veel minder vaak. Een appliance die zelf geen tijd heeft, zegt dat, en de switch wacht in plaats van een verkeerde tijd over te nemen.

De fabrieksconfiguratie wijst naar pool.ntp.org, en dat werkt alleen als de switch een DNS-server heeft. Gebruik een IP-adres. Een switch zonder tijd houdt zijn bouwdatum aan — een datum die maanden afwijkt in show clock en in elke logregel is het teken.

Inspection > Compliance controleert de regel sntp host en accepteert zowel de eigen adressen van de appliance als de tijdserver waarmee de appliance is ingesteld.

6. Syslog naar de appliance sturen

logging host 192.168.10.5 severity 6

Niveau 6 (informational) sluit aan op wat de syslogweergave van de appliance verwacht; het fabrieksniveau (notice) laat een deel weg. Verlaag het naar 4 (warnings) als een switch veel logt — de appliance begrenst syslog per verzendend apparaat, en meer dan ongeveer 200 UDP-berichten per seconde van één bron worden weggegooid. Een switch die wordt begrensd, ziet u op de tegel syslog-floodbeveiliging van het dashboard.

Met de licentieoptie SOC maakt syslog ook de poortalarmen van de SOC live-weergave sneller: zodra de switch een linkwijziging logt (2.5GigabitEthernet2 link down), leest de appliance de switch meteen opnieuw uit.

Controleer met show logging. Inspection > Compliance meldt deze regel als Logging host, en telt hem alleen als overeenkomst wanneer hij naar deze appliance wijst.

7. RADIUS en 802.1X

Hiermee werken PEAP- en EAP-TLS-apparaten. De switch moet in PrivateLAN ook als RADIUS-client zijn geregistreerd, onder 802.1x / RADIUS, met hetzelfde beheer-IP-adres en hetzelfde gedeelde geheim.

radius host 192.168.10.5 auth-port 1812 acct-port 1813 key ExampleSharedSecret
authentication dot1x
authentication mac
authentication mac radius mac-case lower
authentication mac radius mac-delimiter none

• authentication dot1x en authentication mac zetten de methoden voor de switch aan. PrivateLAN zet ze per poort aan en uit wanneer het een apparaat programmeert.
• De twee regels met mac-case en mac-delimiter laten de switch een MAC-adres versturen als twaalf hexadecimale kleine letters zonder scheidingstekens (00155d5a6500), de vorm waarin PrivateLAN het opslaat. Controleer met show authentication: Mac-auth Radius User ID Format moet xxxxxxxxxxxx zijn.
• Een VLAN in het RADIUS-antwoord wordt toegepast: VLAN Assign Mode static (de fabrieksinstelling, zie show authentication interfaces 2.5gi2) gebruikt het VLAN uit het antwoord als dat er is, en anders het eigen VLAN van de poort.

Het gedeelde geheim is op de switch leesbaar. Deze firmware kent geen service password-encryption: de sleutel staat leesbaar in show running-config en show radius. Beperk wie op de switch kan inloggen. Wanneer een switchconfiguratie de appliance verlaat — bijvoorbeeld via een QR Support-rapport — haalt PrivateLAN RADIUS-sleutels, SNMP-communitystrings en vergelijkbare regels met inloggegevens er eerst uit.

MAC-authenticatie (MAB) werkt niet op firmware 2.9.12

De switch stuurt een verzoek voor MAC-authenticatie zonder het attribuut Message-Authenticator. De appliance eist dat attribuut bij elk verzoek van elke switch: het beschermt tegen vervalste RADIUS-antwoorden (de Blast-RADIUS-aanval, CVE-2024-3596). De appliance gooit deze verzoeken daarom weg, en een apparaat met het MAB-profiel komt niet op het netwerk. De gebruikersnaam die de switch meestuurt klopt, en 802.1X-verzoeken (PEAP, EAP-TLS) bevatten het attribuut wél.

Gebruik EAP-TLS of PEAP voor apparaten die 802.1X ondersteunen, en het profiel Secure MAC voor apparaten die dat niet doen. PrivateLAN houdt het MAB-sjabloon voor deze switches aan, zodat het zonder wijziging werkt zodra DrayTek-firmware het attribuut meestuurt.

De poortconfiguratie komt van PrivateLAN

U stelt 802.1X niet per poort in. PrivateLAN schrijft het wanneer het een apparaat op een poort programmeert, vanuit de sjablonen onder Devices > Device groups. Een EAP-TLS-poort ziet er daarna zo uit:

interface 2.5gi2
 switchport mode access
 switchport access vlan 30
 authentication dot1x
 authentication port-control auto
 authentication host-mode single-host
 spanning-tree edge
 spanning-tree bpdu-guard
 description "CAMERA-01"
 lldp rx
 no lldp tx

single-host laat één apparaat per poort toe, zoals in de Cisco-sjablonen.

Secure MAC: een MAC-toegangslijst per poort

Het profiel Secure MAC laat alleen de eigen MAC-adres(sen) van het apparaat op de poort toe. Op deze switches doet PrivateLAN dat met een MAC-toegangslijst die naar de poort is genoemd en eraan is gekoppeld:

mac acl "PL-2.5gi4"
 sequence 1 permit 00:15:5D:5A:65:00/FF:FF:FF:FF:FF:FF any
!
interface 2.5gi4
 mac acl "PL-2.5gi4"
 ...

Elk ander bronadres wordt geweigerd. PrivateLAN gebruikt hiervoor niet de poortbeveiliging (port security) van de switch: op firmware 2.9.12 wordt die instelling per poort niet opgeslagen en staat ze na een herstart weer uit, en handmatig ingevoerde MAC-adressen tellen niet mee voor de limiet. Een gekoppelde toegangslijst is niet te wijzigen; daarom zet elk sjabloon de poort eerst terug naar de fabrieksinstellingen, waardoor de lijst loskomt, en verwijdert het de lijst.

De andere switchtypen doen dit met hun eigen poortbeveiliging (Cisco switchport port-security, Aruba port-security); de toegangslijst is het DrayTek-equivalent, gekozen vanwege de firmwarefout hierboven. Het effect is hetzelfde: alleen de MAC-adressen die voor het apparaat zijn geregistreerd, komen op de poort.

Namen die met PL- beginnen, zijn van PrivateLAN. PL staat voor PrivateLAN; de rest van de naam is de poort (PL-2.5gi4 voor poort 2.5gi4). Elk sjabloon voor een poort verwijdert eerst de lijst PL-<poort>, welk profiel de poort ook krijgt. Geef een eigen toegangslijst geen naam die met PL- begint: die verdwijnt zodra PrivateLAN die poort opnieuw programmeert. Lijsten met een andere naam blijven ongemoeid.

Na het programmeren van een apparaat toont Inspection > Compliance wat PrivateLAN bedoelde tegenover wat de switch werkelijk heeft, inclusief de MAC-adressen in de toegangslijst.

8. Spanning tree

Spanning tree staat in de fabrieksconfiguratie aan, in RSTP-modus: na een fabrieksreset zegt show spanning-tree Spanning tree enabled mode RSTP (firmware 2.9.12). Laat het aan. Staat no spanning-tree in de running config, dan heeft iemand het uitgezet; zet het dan weer aan, met de modus er expliciet bij:

spanning-tree
spanning-tree mode rstp

De apparaatsjablonen zetten per poort spanning-tree edge en spanning-tree bpdu-guard, het equivalent van Cisco's PortFast en BPDU guard: komt er een switch op een apparaatpoort, dan schakelt de switch alleen die poort uit. Controleer met show spanning-tree. spanning-tree bpdu-guard is de opdracht die DrayTek voor zijn VigorSwitches documenteert; op de PQ2200xb is hij nog niet uitgeprobeerd. Weigert uw switch hem, dan staat hij na het programmeren onder The switch refused. Gebruik geen spanning-tree bpdu-filter op een apparaatpoort: dan negeert de poort BPDU's en ziet spanning tree daar niets meer.

9. LLDP

LLDP staat in de fabrieksconfiguratie aan; show lldp toont State: Enabled. PrivateLAN leest show lldp neighbor om de kolom LLDP-buur in het interfaceoverzicht te vullen. De poortsjablonen zetten no lldp tx en lldp rx op apparaatpoorten, zodat de switch nog steeds leert wat er is aangesloten maar zichzelf niet aan eindapparaten bekendmaakt.

10. Layer 3 — routering tussen VLAN's

De switch kan routeren tussen zijn VLAN's. Op deze CLI zet u routering aan met ip route, de tegenhanger van ip routing bij Cisco: één keer globaal, en nog een keer in elke VLAN-interface, vóór het adres:

configure
ip route
interface vlan 20
 ip route
 ip address 192.168.20.1 mask 255.255.255.0
 description "Data"

PrivateLAN schrijft dit zelf wanneer u de switch onder VLANs als router van een VLAN kiest; u voert het hier dus niet in. Let op:

• Alleen routeringsmodus SVI. De switch heeft geen VRRP of HSRP. Is een van die modi gekozen, dan meldt de appliance voor de DrayTek een fout in plaats van de gateway half in te stellen.
• Niet op het beheer-VLAN. Het eigen adres van de switch (paragraaf 4) zit in zijn beheer-VLAN. PrivateLAN zet daar geen gerouteerde interface naast, en meldt een fout wanneer deze switch als router van dat VLAN is gekozen. Het beheeradres raakt de appliance nooit aan.
• De volgorde telt als u het met de hand instelt. Een adres dat vóór ip route wordt ingevoerd, weigert de switch met /bin/sh: can't create /proc/sys/net/ipv4/conf/vlan20/forwarding. Zonder de globale ip route antwoordt de VLAN-interface wel, maar stuurt hij niets door.
• no ip route in de VLAN-interface haalt ook het adres weg; no ip address bestaat op deze CLI niet.
• In de running config staan deze regels als _conf_ip route, interface VLAN20, _vintf_ip route en _vintf_ip address .... Zo schrijft de firmware ze op; ze blijven staan na save en een herstart (gecontroleerd op firmware 2.9.12).
• De eigen standaardroute van de switch blijft de ip default-gateway uit paragraaf 4.

11. De webinterface en ongebruikte diensten uitzetten

PrivateLAN beheert de switch volledig via SSH. Al het andere dat op de switch luistert, is aanvalsoppervlak dat u niet nodig hebt:

no ip http
no ip https
no ip telnet
no snmp community public

Verwijder de SNMP-community uit de fabrieksconfiguratie. De fabrieksconfiguratie bevat snmp community "public" rw: iedereen die de switch kan bereiken, kan via SNMP de configuratie wijzigen. PrivateLAN gebruikt geen SNMP. Bewaakt u de switch via SNMP, gebruik dan een alleen-lezen community met een lange willekeurige naam, of SNMPv3.

De webinterface uitzetten is het advies; de console en SSH blijven beschikbaar. Wilt u hem houden voor af en toe handmatig werk, sta beheer dan alleen toe vanaf het beheernetwerk met een management access list, en wijzig daar geen poorten die PrivateLAN beheert:

management access-list MGMT
 permit ip 192.168.10.0/255.255.255.0 interfaces 2.5gi1-16,10gi1-4 service all
exit
management access-class MGMT

Voer een management access list in via de console. Zodra management access-class actief is, accepteert de switch alleen nog beheer vanaf de netwerken in de lijst — ook SSH vanaf PrivateLAN. Zorg dat het adres van de appliance (hier 192.168.10.5) binnen een permit-regel valt. De syntax is gecontroleerd op firmware 2.9.12; de lijst zelf is daar niet toegepast.

12. Opslaan en registreren in PrivateLAN

end
save

save antwoordt Success. Daarna in de appliance:

• Switches > Add — hostnaam, beheer-IP-adres 192.168.10.21, SSH-poort 22, type DrayTek-VigorSwitch, gebruikersnaam privatelan en het wachtwoord van de switch. Laat het enable-wachtwoord leeg. Kies de switchgroep en voer de interfacereeksen in als 2.5gi1-16.
• 802.1x / RADIUS > Clients — voeg dezelfde switch toe met IP-adres 192.168.10.21, het netmasker en het gedeelde geheim ExampleSharedSecret.
• Inspection > Compliance — voer deze uit zodra de eerste uitleesronde klaar is, en controleer dat de regels voor logging host en tijdserver allebei als overeenkomst terugkomen.

DHCP-snooping (optioneel)

PrivateLAN leest de DHCP-snoopingtabel van de switch om het adres te achterhalen van elk apparaat dat u met een dynamisch adres hebt geregistreerd in plaats van een vast adres. Zonder snooping melden die apparaten simpelweg dat er geen adres bekend is — verder werkt alles, dus zet het alleen aan als u dat gebruikt.

interface 10gi1
 ip dhcp snooping trust
exit
ip dhcp snooping vlan 10,20
ip dhcp snooping

• Elke poort richting uw DHCP-server moet vertrouwd zijn — de uplink, en elke poort naar een andere switch op weg naar de server. Vertrouw de uplink voordat u snooping aanzet, anders gooit de switch de DHCP-antwoorden in de tussentijd weg.
• Snooping moet aanstaan op de VLAN's waarin de apparaten zitten.

Controleer het resultaat met show ip dhcp snooping en show ip dhcp snooping binding; een apparaat dat een adres kreeg, staat er met poort, VLAN, MAC-adres, IP-adres en resterende leasetijd.

Volledige voorbeeldconfiguratie

Alles hierboven in één blok, voor een toegangsswitch met in-band beheer. Pas elke waarde uit de tabel bovenaan aan. Voer het in via de console: paragraaf 4 wijzigt het beheeradres.

configure
hostname SW-FLOOR1-01
!
username admin privilege 15 secret ExampleAdminPassword
username privatelan privilege 15 secret ExampleSwitchPassword
!
ip ssh
no ip telnet
!
vlan 10,20
vlan 10
 name "MGMT"
exit
vlan 20
 name "DATA"
exit
management-vlan vlan 10
no ip dhcp
ip address 192.168.10.21 mask 255.255.255.0
ip default-gateway 192.168.10.1
!
interface 10gi1
 description "UPLINK"
 switchport mode trunk
 switchport trunk allowed vlan add 10,20
 lldp tx
 lldp rx
exit
!
clock timezone CET +1
clock summer-time CEST recurring eu
clock source sntp
sntp host 192.168.10.5
!
logging host 192.168.10.5 severity 6
!
radius host 192.168.10.5 auth-port 1812 acct-port 1813 key ExampleSharedSecret
authentication dot1x
authentication mac
authentication mac radius mac-case lower
authentication mac radius mac-delimiter none
!
spanning-tree
spanning-tree mode rstp
!
no ip http
no ip https
no snmp community public
!
end
save

Problemen oplossen

Gerelateerde documentatie

• Switchbeheer — de switch registreren, groepen, interfacetags en stacks
• 802.1x / RADIUS — RADIUS-clients en certificaten
• VLAN's — VLAN's aanmaken en de routeringsmodus kiezen
• Apparaatuitrol — hoe poorten vanuit apparaatgroepsjablonen worden geprogrammeerd