TP-Link Omada — SG2000, SG3000 en SX3000

Configuratievoorbeeld om een TP-Link Omada-switch gereed te maken voor PrivateLAN. Registreer de switch in PrivateLAN met type TP-Link-Omada.

Eén driver dekt de Omada-switchlijn en de JetStream-switches die dezelfde commandoregel hebben:

PrivateLAN is getest met een SG2428P (hardware 5.20, firmware 5.20.2). De commando's hieronder volgen de CLI Reference Guide van TP-Link voor managed switches, die alle modellen van de lijn beschrijft en aangeeft welke commando's alleen op sommige modellen bestaan. Omada Pro (de S-serie) heeft een andere CLI en valt hier niet onder.

De switch moet zelfstandig beheerd worden, niet door een Omada-controller. Een Omada-controller — cloud, OC200/OC300 of software — die de switch heeft overgenomen (adopted), zet zijn eigen configuratie en overschrijft wat PrivateLAN instelt. Zet een overgenomen switch terug naar de fabrieksinstellingen, of verwijder hem uit de controller, voordat u hem aan PrivateLAN toevoegt.

Alles in deze gids voert u eenmalig in, vóórdat u de switch aan PrivateLAN toevoegt. De configuratie van individuele switchpoorten hoort er niet bij: PrivateLAN programmeert accesspoorten zelf vanuit de apparaatgroep-templates, en alles wat u met de hand op een poort instelt, wordt overschreven zodra die poort opnieuw geprogrammeerd wordt.

Waarden in deze gids

De appliance accepteert syslog- en RADIUS-verkeer alleen op eth0, en alleen vanaf RFC 1918-adressen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Een switch met een publiek beheeradres bereikt die diensten niet, wat u op de switch zelf ook instelt.

Waarin deze CLI afwijkt

Lees dit vooraf als u Cisco IOS kent: dit zijn de verschillen die PrivateLAN voor u oplost, en de verschillen waar u zelf tegenaan loopt.

• Geen access- of trunkmodus. Een poort is lid van een VLAN, tagged of untagged, en heeft een aparte PVID: switchport general allowed vlan 20 untagged plus switchport pvid 20. Elke poort is untagged lid van VLAN 1 tot u hem daaruit haalt met no switchport general allowed vlan 1.
• Geen default interface. Een poort houdt zijn oude VLAN's tot ze één voor één verwijderd worden. Geeft PrivateLAN een poort een nieuw VLAN, dan leest het eerst de huidige configuratie van de poort en verwijdert het elk VLAN dat het template niet toekent. Zo komt een poort die van het standaard-VLAN naar een apparaat-VLAN gaat niet in allebei terecht.
• Poortnamen. De tabellen tonen Gi1/0/1, maar commando's accepteren alleen gigabitEthernet 1/0/1. PrivateLAN gebruikt overal in de appliance de korte vorm en vertaalt die voor de switch.
• VLAN-namen zijn maximaal 16 tekens lang, en alleen letters, cijfers, spaties en -@_:/. zijn toegestaan. PrivateLAN kort een langere naam in en vervangt elk ander teken door -.

1. Eerste toegang en hostname

Modellen met een consolepoort bieden de CLI daar aan; op de andere zet u eenmalig SSH aan in de webinterface van de switch en gaat u verder via SSH. Log in met het account dat u bij de eerste start hebt ingesteld — een switch met fabrieksinstellingen vraagt bij de eerste login om een nieuw wachtwoord.

enable
configure
hostname "SW-FLOOR1-01"

2. Het PrivateLAN-account

user name privatelan privilege admin secret 0 ExampleSwitchPassword

Het account moet de rechten admin hebben. PrivateLAN gaat de configuratiemodus in en slaat de configuratie op (copy running-config startup-config), en alleen admin en operator mogen opslaan; admin is de veilige keuze.

secret slaat het wachtwoord als hash op in de running config, password omkeerbaar versleuteld. Gebruik secret.

Na het inloggen staat de switch in user-EXEC-modus (SW-FLOOR1-01>), en PrivateLAN stuurt enable. Een admin-account heeft geen enable-wachtwoord nodig. Stelt u er wel een in, vul het dan in bij het veld Enable password wanneer u de switch registreert:

enable secret 0 ExampleEnablePassword

3. SSH

PrivateLAN maakt alleen via SSH verbinding.

ip ssh server
telnet disable

U hoeft paging niet uit te zetten: PrivateLAN stuurt bij elke sessie zelf terminal length 0.

Het inloggen duurt op de kleinere modellen enkele seconden — de sleuteluitwisseling draait op de eigen processor van de switch. Dat is normaal en ruim binnen de timeouts van PrivateLAN.

Controleer show ip ssh. Firmware met fabrieksinstellingen kan SSH versie 1 en oudere versleutelingen (3DES, CBC, HMAC-MD5) aan laten staan. PrivateLAN heeft die niet nodig. Zet ze uit met de ip ssh-commando's die uw firmware aanbiedt (ip ssh ?) of in de webinterface van de switch.

SSH met een sleutel in plaats van een wachtwoord

Optioneel. PrivateLAN kan inloggen met een SSH private key in plaats van een wachtwoord. TP-Link accepteert geen public key die in de configuratie wordt getypt: de sleutel wordt gedownload van een TFTP-server.

ip ssh download v2 privatelan.pub ip-address 192.168.10.9

Inloggen met een wachtwoord is op deze switches de eenvoudigste weg. Laat het lokale wachtwoord hoe dan ook ingesteld: dat blijft beschikbaar op de console.

4. Management-VLAN en IP-adres

Op dit adres bereikt PrivateLAN de switch, en dit is ook het adres dat u als RADIUS-client registreert.

vlan 10
 name "MGMT"
exit
vlan 20
 name "DATA"
exit
interface vlan 10
 ip address 192.168.10.21 255.255.255.0
 description "Management"
exit
ip route 0.0.0.0 0.0.0.0 192.168.10.1

Het adres krijgt een subnetmasker in decimale puntnotatie, zoals op Cisco.

De uplink moet het management-VLAN dragen:

interface gigabitEthernet 1/0/28
 description "UPLINK"
 switchport general allowed vlan 10,20 tagged
exit

Geef de uplink in PrivateLAN het label [TRUNK], zodat de appliance elk VLAN dat hij programmeert erop zet.

Houd het management-VLAN buiten de VLAN-set die PrivateLAN op deze switch programmeert, tenzij u het daar bewust wilt beheren. VLAN-programmering verwijdert de VLAN's op de switch die niet in de appliance staan — inclusief, als u het zo hebt ingericht, het VLAN waarover de eigen beheersessie loopt.

Vul de interfacelijst in PrivateLAN in zoals de switch die toont in show interface status, bijvoorbeeld Gi1/0/1-24. Dezelfde labels gelden als voor andere switches, bijvoorbeeld [P4] Gi1/0/1-24, [ND][TRUNK][SFP] Gi1/0/25-28.

5. Wachtwoorden in de running config

service password-encryption

Met secret (paragraaf 2) wordt het accountwachtwoord als hash opgeslagen. service password-encryption versleutelt daarnaast de wachtwoorden die leesbaar moeten blijven voor de switch, zoals het gedeelde RADIUS-geheim, zodat ze niet leesbaar in show running-config verschijnen.

Wanneer een switchconfiguratie de appliance verlaat — bijvoorbeeld via een QR Support-rapport — verwijdert PrivateLAN RADIUS-sleutels, SNMP-community-strings en vergelijkbare regels met inloggegevens voordat het rapport wordt gecodeerd, zodat die nooit met het rapport meereizen.

6. Tijd en tijdzone

system-time ntp UTC+01:00 192.168.10.1 192.168.10.1 12
system-time dst predefined Europe

De argumenten zijn de tijdzone, een primaire en een reserveserver, en hoe vaak (in uren) de switch de tijd ophaalt.

Laat de switch dezelfde tijdserver gebruiken als de appliance, niet de appliance zelf. De PrivateLAN-appliance is een NTP-client; er draait geen NTP-server op. Welke server de appliance gebruikt, ziet u onder System > Networking.

De fabrieksconfiguratie wijst naar publieke tijdservers. Een switch die die niet bereikt, houdt zijn fabrieksklok — een jaartal als 2006 in show system-time en in elke logregel is het teken.

Inspection > Compliance controleert de primaire server van de regel system-time ntp en accepteert zowel de eigen adressen van de appliance als de tijdserver waarmee de appliance is ingesteld.

7. Syslog naar de appliance sturen

logging host index 1 192.168.10.5 protocol udp level 6

Oudere firmware gebruikt de korte vorm logging host index 1 192.168.10.5 6. Niveau 6 (informational) past bij wat de syslogweergave van de appliance verwacht. Verhoog het naar 4 (warnings) als een switch veel logt — de appliance begrenst syslog per verzendend apparaat, en boven ongeveer 200 UDP-berichten per seconde van één bron worden berichten weggegooid. Een switch die begrensd wordt, verschijnt op de tegel syslog-floodbeveiliging van het dashboard.

Met de licentieoptie SOC maakt syslog ook de poortalarmen van de SOC live view sneller: logt de switch een linkwijziging (Gi1/0/2 changed state to down), dan leest de appliance de switch direct opnieuw. Deze berichten hebben niveau 5, dus ze komen bij niveau 5 en hoger nog steeds binnen.

Controleer met show logging loghost. Inspection > Compliance rapporteert deze regel als Logging host, en telt hem alleen als overeenkomst wanneer hij naar deze appliance wijst.

8. RADIUS en 802.1X

Hiermee werken apparaten met MAB, PEAP en EAP-TLS. De switch moet ook als RADIUS-client in PrivateLAN geregistreerd worden, onder 802.1x / RADIUS, met hetzelfde beheer-IP-adres en hetzelfde gedeelde geheim.

radius-server host 192.168.10.5 auth-port 1812 key 0 ExampleSharedSecret
aaa group radius PRIVATELAN
 server 192.168.10.5
exit
aaa authentication dot1x default PRIVATELAN
dot1x system-auth-control
dot1x vlan-assignment

Oudere firmware heeft aaa enable nodig vóór de andere aaa-regels; firmware waarop AAA altijd aan staat, antwoordt daarop met Error: Bad command, en dat kunt u negeren.

• dot1x system-auth-control zet 802.1X aan op de switch. PrivateLAN zet het per poort aan en uit wanneer het een apparaat programmeert.
• dot1x vlan-assignment laat de switch het VLAN uit het RADIUS-antwoord toepassen (Tunnel-Private-Group-ID). Zonder deze regel wordt het apparaat wel geauthenticeerd, maar blijft het in het eigen VLAN van de poort.

MAC-adresnotatie voor MAC-authenticatie

PrivateLAN slaat de RADIUS-gebruikersnaam en het wachtwoord van een MAB-apparaat op als het MAC-adres in twaalf kleine hexadecimale tekens zonder scheidingstekens — 00155d5a6500. De switch toont zijn MAB-notatie per poort in show dot1x interface (kolom MAB Format, fabrieksinstelling lowercase).

Controleer wat er werkelijk binnenkomt onder 802.1x / RADIUS op de appliance: bij de recente authenticatiegebeurtenissen ziet u de gebruikersnaam die de switch stuurde. Staan er scheidingstekens in, dan stelt u de notatie per poort in met dot1x mabFmt. Omdat PrivateLAN de poortconfiguratie schrijft, zet u die regel in het apparaatgroep-template en niet op de poort.

Poortconfiguratie wordt door PrivateLAN gezet

U configureert 802.1X niet op individuele poorten. PrivateLAN schrijft het wanneer het een apparaat op een poort programmeert, vanuit de templates onder Devices > Device groups. Een MAB-poort ziet er daarna zo uit:

interface gigabitEthernet 1/0/12
  description "PRINTER-01"
  switchport general allowed vlan 20 untagged
  switchport pvid 20
  no switchport general allowed vlan 1
  dot1x
  dot1x mab
  spanning-tree common-config portfast enable

  no lldp transmit
#

dot1x port-method mac-based en dot1x port-control auto staan wel in het template, maar niet in de configuratie: het zijn de standaardwaarden van de switch, en die schrijft hij niet uit.

Port security en 802.1X sluiten elkaar op deze switches uit. Het MAC-adres-template zet 802.1X uit voordat het port security instelt; schrijft u een eigen template, houd dan die volgorde aan, anders antwoordt de switch Operation failed. Port Security cannot be enabled when 802.1X function is enabled.

Nadat een apparaat is geprogrammeerd, toont Inspection > Compliance wat PrivateLAN bedoelde naast wat de switch werkelijk heeft.

9. Spanning tree

spanning-tree
spanning-tree mode rstp

Recente firmware zet spanning tree standaard aan; oudere firmware niet. Controleer met show spanning-tree active — het antwoord hoort Spanning tree is enabled te zijn.

De apparaattemplates zetten per poort spanning-tree common-config portfast enable, de TP-Link-tegenhanger van PortFast op Cisco.

10. LLDP

lldp

LLDP kan globaal uitgeschakeld zijn — controleer show lldp. PrivateLAN leest show lldp neighbor-information interface om de kolom LLDP-buur in het interfaceoverzicht te vullen, dus LLDP moet aan staan. De poorttemplates zetten no lldp transmit op apparaatpoorten, zodat de switch nog steeds leert wat er is aangesloten, maar zichzelf niet aankondigt aan eindapparaten.

11. Layer 3 — routering en VLAN-interfaces

PrivateLAN schrijft de VLAN-interface zelf wanneer u een VLAN programmeert:

interface vlan 20
 description "Data"
 ip address 192.168.20.1 255.255.255.0

Zet de routingmodus van PrivateLAN op SVI voor TP-Link-switches. HSRP bestaat niet op TP-Link. VRRP is alleen beschikbaar op sommige L3-modellen, en alleen voor een VLAN-ID tot en met 255, omdat de switch een virtual router ID van 1 tot 255 aanneemt en PrivateLAN het VLAN-ID als dat nummer gebruikt. PrivateLAN weigert HSRP, en VRRP op een hoger VLAN, in plaats van de gateway half in te stellen.

12. De webinterface en de controllerkoppeling uitzetten

PrivateLAN beheert de switch volledig via SSH.

no controller cloud-based
no ip http server
no ip http secure-server

no controller cloud-based voorkomt dat de switch contact zoekt met de Omada-cloud. De webinterface uitzetten is optioneel; houdt u hem aan voor incidenteel handwerk, dan kan dat geen kwaad zolang u daar geen poorten wijzigt die PrivateLAN beheert.

13. Opslaan en registreren in PrivateLAN

end
copy running-config startup-config

Daarna, in de appliance:

• Switches > Add — hostname, beheer-IP-adres 192.168.10.21, SSH-poort 22, type TP-Link-Omada, gebruikersnaam privatelan en het switchwachtwoord, en het enable-wachtwoord als u er een hebt ingesteld. Kies de switchgroep en vul de interfacebereiken in als Gi1/0/1-28.
• 802.1x / RADIUS > Clients — voeg dezelfde switch toe met IP-adres 192.168.10.21, het netmasker en het gedeelde geheim ExampleSharedSecret.
• Inspection > Compliance — draai dit zodra de eerste polling is afgerond, en controleer dat de regels voor de logging host en de tijdserver allebei als overeenkomst terugkomen.

DHCP snooping (optioneel)

PrivateLAN leest de DHCP-snoopingtabel van de switch om het adres te vinden van elk apparaat dat u met een Dynamic adres hebt geregistreerd in plaats van een vast adres, en om het adres te vinden van draadloze clients achter een access point. Zonder snooping melden die apparaten simpelweg dat er geen adres bekend is — verder blijft alles werken, dus zet het alleen aan als u dat gebruikt.

ip dhcp snooping
ip dhcp snooping vlan 10,20
interface gigabitEthernet 1/0/28
 ip dhcp snooping trust
exit

• Elke poort richting uw DHCP-server moet vertrouwd zijn — de uplink, en elke poort richting een andere switch op weg naar de server. Stel de vertrouwde poorten in in dezelfde wijziging waarmee u snooping aanzet.
• Snooping moet aan staan op de VLAN's waarin de apparaten zitten.

Controleer het resultaat met show ip dhcp snooping en show ip source binding.

Volledig configuratievoorbeeld

Alles hierboven in één blok, voor een accessswitch met in-band beheer. Pas elke waarde uit de tabel bovenaan aan.

enable
configure
hostname "SW-FLOOR1-01"
!
user name privatelan privilege admin secret 0 ExampleSwitchPassword
service password-encryption
!
ip ssh server
telnet disable
!
vlan 10
 name "MGMT"
exit
vlan 20
 name "DATA"
exit
interface vlan 10
 ip address 192.168.10.21 255.255.255.0
 description "Management"
exit
ip route 0.0.0.0 0.0.0.0 192.168.10.1
!
interface gigabitEthernet 1/0/28
 description "UPLINK"
 switchport general allowed vlan 10,20 tagged
exit
!
system-time ntp UTC+01:00 192.168.10.1 192.168.10.1 12
system-time dst predefined Europe
!
logging host index 1 192.168.10.5 protocol udp level 6
!
radius-server host 192.168.10.5 auth-port 1812 key 0 ExampleSharedSecret
aaa group radius PRIVATELAN
 server 192.168.10.5
exit
aaa authentication dot1x default PRIVATELAN
dot1x system-auth-control
dot1x vlan-assignment
!
spanning-tree
spanning-tree mode rstp
lldp
!
no controller cloud-based
no ip http server
no ip http secure-server
!
end
copy running-config startup-config

Problemen oplossen

Gerelateerde documentatie

• Switchbeheer — de switch registreren, groepen, interfacelabels en stacks
• 802.1x / RADIUS — RADIUS-clients en certificaten
• VLAN's — VLAN's aanmaken en de routingmodus kiezen
• Apparaten uitrollen — hoe poorten vanuit apparaatgroep-templates worden geprogrammeerd