Aruba CX — 6100, 6200 en 6300

Configuratievoorbeeld om een HPE Aruba Networking CX-switch met fabrieksinstellingen gereed te maken voor PrivateLAN. Registreer de switch in PrivateLAN met type ArubaOS-CX.

Deze gids is geschreven voor ArubaOS-CX 10.09 en nieuwer, op de campus-accessfamilies:

ArubaOS-CX is niet hetzelfde als ArubaOS-Switch. Antwoordt uw switch op show running-config met regels als untagged vlan en aaa port-access mac-based, dan is het een ProVision- / ArubaOS-Switch-model (2530, 2930) en hoort hij bij type ArubaOS — een andere gids en een andere CLI.

Alles in deze gids voert u eenmalig in, op een switch met fabrieksinstellingen, vóórdat u hem aan PrivateLAN toevoegt. De configuratie van individuele switchpoorten hoort er niet bij: PrivateLAN programmeert accesspoorten zelf vanuit de apparaatgroep-templates, en alles wat u met de hand op een poort instelt, wordt overschreven zodra die poort opnieuw geprogrammeerd wordt.

Waarden in deze gids

De appliance accepteert syslog-, RADIUS- en tijdverkeer (NTP) alleen op eth0, en alleen vanaf RFC 1918-adressen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Een switch met een publiek beheeradres bereikt die diensten niet, wat u op de switch zelf ook instelt.

Kies vooraf een VRF

Dit is de beslissing die elk ander commando in deze gids bepaalt, dus neem hem als eerste.

ArubaOS-CX scheidt de aparte out-of-band beheerpoort (interface mgmt, in VRF mgmt) van de switchpoorten (VRF default). Vrijwel elke dienst — SSH, NTP, syslog, RADIUS, de webserver — verwacht een expliciet vrf-argument, en een dienst die in de ene VRF is geconfigureerd, is vanuit de andere simpelweg niet bereikbaar.

Deze gids gaat uit van in-band beheer op VRF default, omdat de meeste PrivateLAN-installaties dat gebruiken en omdat het aansluit op de manier waarop de Cisco-switches in hetzelfde netwerk bereikt worden. Beheert u out-of-band, vervang dan vrf default door vrf mgmt in elk commando hieronder, en configureer interface mgmt in plaats van de SVI in paragraaf 4.

1. Console-toegang en hostname

Sluit aan op de consolepoort met 9600 8N1, zonder flow control. Een CX-switch met fabrieksinstellingen logt in als admin zonder wachtwoord en vraagt meteen om er een in te stellen. Stel het in en bewaar het — dit is uw weg terug.

configure terminal
hostname SW-FLOOR1-01

2. Het PrivateLAN-account

user privatelan group administrators password plaintext ExampleSwitchPassword

Het account moet in de groep administrators zitten. De CX-driver van PrivateLAN gaat direct vanaf de loginprompt naar configure terminal, dus een account in operators of auditors loopt al vast op het eerste commando.

ArubaOS-CX kent geen enable-stap, anders dan Cisco IOS. Laat het veld Enable password leeg wanneer u de switch registreert — de driver gebruikt het niet voor dit platform.

Wilt u het wachtwoord buiten de commandogeschiedenis houden, laat plaintext dan weg en laat de switch erom vragen:

user privatelan group administrators password

Het ingebouwde admin-account kan niet worden verwijderd. Geef het een sterk wachtwoord en behandel het als het break-glass-account dat alleen via de console gebruikt wordt.

3. SSH

PrivateLAN maakt uitsluitend verbinding via SSH.

ssh server vrf default
no telnet-server vrf default
ssh maximum-auth-attempts 3

Beheert u out-of-band, gebruik dan ssh server vrf mgmt. Beide kunnen tegelijk aan staan als u beide paden nodig hebt.

U hoeft paginering op de switch niet uit te zetten. De driver stuurt zelf no page bij elke sessie.

SSH met een sleutel in plaats van een wachtwoord

Optioneel. PrivateLAN kan zich bij een switch authenticeren met een SSH private key in plaats van een wachtwoord: u plakt de private key op de pagina van de switch, en PrivateLAN toont u de bijbehorende publieke sleutel om hier te installeren.

ArubaOS-CX accepteert geen publieke sleutel die u in de configuratie typt, zoals Cisco IOS dat wel doet. De sleutel wordt als bestand geïmporteerd, vanaf een TFTP- of SFTP-server die bereikbaar is in dezelfde VRF als het beheeradres, en aan een lokale gebruiker gekoppeld:

copy tftp://192.168.10.9/privatelan.pub ssh-authorized-key privatelan vrf default
show ssh authorized-key privatelan

De exacte schrijfwijze van dit commando is tussen 10.x-releases gewijzigd. Voer copy ? uit op uw eigen switch en gebruik de vorm die daar wordt aangeboden in plaats van die hierboven. Wachtwoordauthenticatie is op CX de eenvoudige weg en is wat de meeste PrivateLAN-installaties gebruiken.

Laat het lokale wachtwoord ook staan. Dat blijft op de console beschikbaar en is de enige weg terug als de sleutel ooit verdwijnt.

4. Management-VLAN en IP-adres

PrivateLAN bereikt de switch op dit adres, en dit is ook het adres dat u als RADIUS-client registreert.

vlan 10
    name MGMT
    exit
vlan 20
    name DATA
    exit
!
interface vlan 10
    description Management
    ip address 192.168.10.21/24
    no shutdown
    exit
!
ip route 0.0.0.0/0 192.168.10.1

ArubaOS-CX verwacht een adres in CIDR-notatie, niet als een subnetmasker met punten. PrivateLAN rekent dat automatisch om wanneer het een VLAN programmeert, maar hier typt u het in CIDR-vorm.

De uplink moet het management-VLAN dragen:

interface 1/1/48
    description UPLINK
    no shutdown
    no routing
    vlan trunk native 1
    vlan trunk allowed 10,20
    lldp transmit
    lldp receive
    exit

lldp transmit en lldp receive zijn op elke poort de standaard; ze staan hier uitgeschreven omdat een poort die eerder een apparaatpoort was, de no lldp transmit van zijn sjabloon houdt. Op een verbinding tussen twee switches moet LLDP in beide richtingen werken: Reports > Interconnects tekent de verbindingen tussen uw switches uit de LLDP-buren van de poorten met de tag [TRUNK].

no routing is nodig voordat een fysieke poort commando's als vlan trunk of vlan access accepteert: CX-poorten zijn standaard routed interfaces, precies andersom dan bij Cisco.

PrivateLAN verwijdert het management-VLAN nooit van een switch. Bij het programmeren van VLAN's verwijdert PrivateLAN de VLAN's op de switch die niet aan de switchgroep zijn toegewezen, maar het laat VLAN 1 staan, het VLAN waarop het eigen beheeradres van de switch staat, en elk VLAN dat in PrivateLAN als management-VLAN is gemarkeerd. Voeg het management-VLAN toe in PrivateLAN en markeer het, zodat het ook blijft staan op een switch waarvan PrivateLAN de configuratie nog niet heeft gelezen. Wijs het alleen aan de switchgroep toe als PrivateLAN het als elk ander VLAN moet programmeren, bijvoorbeeld op nieuwe [TRUNK]-poorten zetten.

Let op de interfacenotatie: member/slot/poort, dus 1/1/48. Gebruik precies die vorm wanneer u de interfacelijst in PrivateLAN invult, bijvoorbeeld 1/1/1-1/1/48, en voor een VSF-stack 1/1/1-1/1/24, 2/1/1-2/1/24.

Meer dan 1000 VLAN's

ArubaOS-CX kent geen equivalent van Cisco's normale en extended VLAN-reeksen, en geen VTP. De id's 1 tot en met 4094 zijn meteen allemaal bruikbaar en er hoeft niets te worden vrijgegeven — vlan 2000 werkt op een switch met fabrieksinstellingen.

Wat wel geldt, is een platformafhankelijk plafond op hoeveel VLAN's er tegelijk kunnen bestaan, en op de campus-accessmodellen ligt dat getal ruim onder 4094. Het is een eigenschap van de hardware en het image, geen instelling, dus er valt niets te configureren als u ertegenaan loopt — het model bepaalt het.

show capacities vlan

Voer dat uit op de switch zelf in plaats van uit te gaan van een datasheet: het toont het ondersteunde maximum voor precies dit model en deze softwareversie. show capacities-status vlan laat daarnaast zien hoeveel er op dit moment in gebruik is, en dat is het getal om in de gaten te houden wanneer PrivateLAN een grote VLAN-set over een switchgroep beheert.

5. Wachtwoorden in de running config

ArubaOS-CX slaat gebruikerswachtwoorden niet leesbaar op — user ... password plaintext is hoe u er een invoert, en de running config toont een hash. Voor accounts is verder niets nodig.

Het gedeelde RADIUS-geheim ligt anders, omdat de switch het moet kunnen teruglezen. Voer het in met het keyword plaintext (paragraaf 6) en de running config slaat het op als ciphertext. U kunt dat controleren met show running-config: de regel komt terug als key ciphertext ... in plaats van de waarde die u hebt getypt.

plaintext beschrijft de waarde die u typt, niet hoe die wordt opgeslagen. Er is geen apart commando om versleuteling aan te zetten, en geen equivalent van Cisco's omkeerbare type 7 dat u moet vermijden.

Wanneer een switchconfiguratie de appliance verlaat — bijvoorbeeld via een QR Support-rapport — verwijdert PrivateLAN RADIUS-sleutels, SNMP community strings en vergelijkbare inloggegevens voordat het rapport wordt gecodeerd. Die gaan dus nooit mee.

6. Tijd en tijdzone

clock timezone europe/amsterdam
!
ntp server 192.168.10.5 iburst
ntp vrf default
ntp enable

Wijs de switch naar het eigen adres van de appliance. De PrivateLAN-appliance geeft de tijd door die hij van de tijdserver onder System > Networking krijgt (een NTP-relay), dus de switch heeft geen internet en geen DNS nodig, en zijn logtijden lopen gelijk met die van de appliance. De appliance antwoordt alleen op eth0, alleen aan RFC 1918-adressen, en beperkt hoe vaak één adres mag vragen; een switch vraagt veel minder vaak. Een appliance die zelf geen tijd heeft, zegt dat, en de switch wacht in plaats van een verkeerde tijd over te nemen.

De VRF die de NTP-client gebruikt, stelt u apart van de serverlijst in, en het keyword verschilt licht tussen 10.x-releases — controleer ntp ? op uw switch als bovenstaande regel wordt geweigerd.

Controleer met show ntp status en show ntp associations. De pagina Inspection > Compliance van PrivateLAN controleert de regel ntp server en accepteert zowel de adressen van de appliance zelf als de tijdserver waarmee de appliance is ingesteld.

Wijst u de switch met een hostname naar een andere tijdserver, dan heeft hij een resolver nodig:

ip dns server-address 192.168.10.1 vrf default

7. Syslog naar de appliance sturen

logging 192.168.10.5 udp 514 vrf default severity info

Severity info sluit aan op wat de syslogweergave van de appliance verwacht te ontvangen. Verhoog hem naar warning als een switch veel meldingen produceert: de appliance beperkt de syslogsnelheid per verzendend apparaat, en meer dan ongeveer 200 UDP-berichten per seconde vanaf één bron worden verworpen, zodat één switch de rest van het park niet kan overstemmen. Een switch die wordt afgeknepen, verschijnt op de tegel voor syslog-floodbescherming op het dashboard.

Met de licentieoptie SOC maakt syslog ook de poortalarmen van de SOC live view sneller: logt de switch een linkwijziging (Link status for interface 1/1/1 is down), dan leest de appliance de switch meteen opnieuw uit, zodat een uplink die uitvalt binnen ongeveer twee minuten als alarm verschijnt in plaats van bij de volgende poll, die elke vijf minuten loopt. De logregel zelf geeft nooit een alarm; de verse uitlezing van de switch wel. Of deze linkmeldingen bij warning nog doorkomen, hangt af van het niveau dat de switch ze geeft; worden ze weggefilterd, dan verschijnen de poortalarmen nog steeds, maar pas bij de gewone poll. Trek na het verhogen de kabel uit een testpoort en controleer of de melding nog in de syslogweergave van de appliance binnenkomt.

Controleer met show logging -r, en kijk of er meldingen binnenkomen in de syslogweergave van de appliance. Inspection > Compliance rapporteert deze regel als Logging host, en telt hem alleen als match wanneer hij naar deze appliance wijst.

8. RADIUS en poortauthenticatie

Dit is wat MAB-, PEAP- en EAP-TLS-apparaten laat werken. De switch moet ook in PrivateLAN als RADIUS-client geregistreerd worden, onder 802.1x / RADIUS, met hetzelfde beheer-IP-adres en hetzelfde gedeelde geheim.

radius-server host 192.168.10.5 key plaintext ExampleSharedSecret vrf default
!
aaa group server radius PRIVATELAN
    server 192.168.10.5 vrf default
    exit
!
aaa authentication port-access dot1x authenticator
    radius server-group PRIVATELAN
    enable
    exit
!
aaa authentication port-access mac-auth
    radius server-group PRIVATELAN
    enable
    exit

De blokstructuur hierboven is die van ArubaOS-CX 10.09 en nieuwer. Eerdere 10.x-releases schrijven delen van de hiërarchie onder aaa authentication port-access anders. Wordt een regel geweigerd, loop dan de context door met ? in plaats van aan te nemen dat de hele aanpak verkeerd is — het model is in elke release hetzelfde, alleen de bewoording is verschoven.

De twee aaa authentication port-access-blokken schakelen elke methode globaal in. PrivateLAN zet ze daarna per poort aan of uit wanneer het een apparaat programmeert: u ziet dan aaa authentication port-access dot1x authenticator enable en de mac-auth-tegenhanger binnen de interface verschijnen. Een methode die niet globaal aan staat, kan op een poort niet worden ingeschakeld, dus beide blokken zijn nodig ook als u vandaag maar één methode gebruikt.

ArubaOS-CX past het VLAN uit het RADIUS-antwoord (Tunnel-Private-Group-ID) native toe voor port-access; er is geen extra authorization-commando nodig, anders dan bij Cisco IOS.

MAC-adresnotatie voor MAC-authenticatie

PrivateLAN slaat de RADIUS-gebruikersnaam en het wachtwoord van een MAB-apparaat op als het MAC-adres in twaalf hexadecimale tekens in kleine letters, zonder scheidingstekens — 00155d5a6500. De RADIUS-server vergelijkt die string letterlijk, dus een switch die 00:15:5d:5a:65:00 of 0015-5D5A-6500 verstuurt, wordt geweigerd, ook al is het apparaat correct geregistreerd.

Controleer wat er werkelijk binnenkomt onder 802.1x / RADIUS op de appliance: bij de recente authenticatiegebeurtenissen staat de gebruikersnaam die de switch heeft verstuurd. Klopt de notatie niet, pas hem dan aan onder aaa authentication port-access mac-auth — welke subcommando's beschikbaar zijn verschilt per release, dus gebruik ? om te zien wat uw switch aanbiedt.

Poortconfiguratie wordt door PrivateLAN gezet

U configureert port-access niet zelf op afzonderlijke poorten. PrivateLAN schrijft het weg wanneer het een apparaat op een poort programmeert, vanuit de templates onder Devices > Device groups. Voor een poort met MAC-authenticatie stuurt het dit:

interface 1/1/12
    shutdown
    description PRINTER-01
    vlan access 20
    no port-access port-security
    aaa authentication port-access auth-mode client-mode
    no aaa authentication port-access client-limit
    aaa authentication port-access mac-auth enable
    aaa authentication port-access dot1x authenticator disable
    aaa authentication port-access auth-precedence mac-auth dot1x
    no lldp transmit
    lldp receive
    no spanning-tree bpdu-filter
    spanning-tree bpdu-guard
    spanning-tree port-type admin-edge
    no shutdown

CX houdt elke poortinstelling vast tot een commando haar weghaalt. Daarom zet elk template eerst uit wat een vorig apparaat op de poort kan hebben achtergelaten: port security met zijn MAC-adressen, een client limit, de authenticatiemodus en BPDU-filter. Pas daarna stelt het zijn eigen methode in. De switch schrijft het resultaat in zijn eigen vorm terug: instellingen met hun standaardwaarde laat hij weg, en mac-auth enable verschijnt als aaa authentication port-access mac-auth met enable ingesprongen eronder. Inspection > Compliance leest beide vormen.

Nadat een apparaat is geprogrammeerd, toont Inspection > Compliance wat PrivateLAN bedoelde tegenover wat er werkelijk op de switch staat. Het resultaat van het programmeren noemt daarnaast elk commando dat de switch weigerde, met de eigen melding van de switch, onder The switch refused. Compliance blijft de controle voor wat die lijst niet laat zien: een instelling die de switch accepteerde maar anders opsloeg, of een weigering in bewoordingen die PrivateLAN niet herkent.

Eén apparaat of meerdere per poort: de client limit

ArubaOS-CX meldt elk apparaat (elk MAC-adres) op een poort apart aan, en elk krijgt een eigen uitkomst en een eigen VLAN. Wat u per apparaatgroep kiest, is hoeveel apparaten zich op één poort mogen aanmelden: de client limit, in de templates onder Devices > Device groups.

Zet een access point het verkeer van zijn draadloze apparaten zelf op de poort, dan verschijnen al hun MAC-adressen op die poort, en moet elk daarvan zich zelf aanmelden. De CX-tegenhanger van Cisco's multi-host is aaa authentication port-access auth-mode device-mode: het access point meldt zich aan, daarna mogen de apparaten erachter de poort gebruiken. Wanneer dat verantwoord is, staat in de Cisco-handleiding onder "Access points". Vervang in de eigen apparaatgroep van het access point in het PEAP- of EAP-TLS-template aaa authentication port-access auth-mode client-mode door aaa authentication port-access auth-mode device-mode. Controleer het sleutelwoord met ? op uw switch. De PrivateLAN-templates zetten zelf client mode, dus een poort die daarna een gewoon apparaat krijgt, laat niet langer alles erachter toe.

Moet een poort meerdere apparaten dragen, vervang dan in het interfacedeel van het MAB-, PEAP- of EAP-TLS-template van de apparaatgroep no aaa authentication port-access client-limit door deze regel:

aaa authentication port-access client-limit #max-mac#

#max-mac# wordt per poort ingevuld met het aantal MAC-adressen van het apparaat en zijn virtuele apparaten. Het sleutelwoord en het bereik verschillen per release iets, dus controleer ze eerst met ? op uw switch.

Verwar dit niet met port-access port-security client-limit in het MAC-adres-template. Dat is port security voor een poort zonder authenticatie, en heeft geen invloed op hoeveel apparaten zich mogen aanmelden.

9. Spanning tree

Spanning tree staat standaard uit op ArubaOS-CX. Dit is het grootste verschil met een Cisco-switch uit de doos, en het valt niet op: de switch schakelt vrolijk door tot de dag waarop iemand twee accesspoorten aan elkaar patcht. Zet het aan voordat de switch in productie gaat.

spanning-tree mode mstp
spanning-tree config-name PRIVATELAN
spanning-tree config-revision 1
spanning-tree instance 1 vlan 10,20
spanning-tree

spanning-tree op zichzelf is het commando dat het globaal inschakelt. Controleer met show spanning-tree — een niet-geconfigureerde switch antwoordt dat spanning tree uit staat.

Bepaal de root bridge bewust, op de switch die root hoort te zijn:

spanning-tree priority 4

CX verwacht een vermenigvuldiger van 0 tot 15, niet Cisco's 0 tot 61440. spanning-tree priority 4 betekent 4 x 4096 = 16384. De waarde 24576 wordt hier geweigerd, en 8 geeft u een veel hogere prioriteit dan u waarschijnlijk bedoelde.

De apparaattemplates zetten per poort spanning-tree bpdu-guard en spanning-tree port-type admin-edge, het CX-equivalent van Cisco's PortFast plus BPDU guard. Er wordt niet op BPDU's gefilterd, en de templates halen spanning-tree bpdu-filter weg van een poort die dat nog heeft van een eerdere versie van de templates: met BPDU-filter negeert de poort BPDU's en ziet BPDU guard daar nooit een switch. De standaardconfiguratie van een vrije poort (VLAN > Defaults) doet hetzelfde.

BPDU guard zet de poort uit, en standaard blijft die uit tot iemand hem weer aanzet. Laat de switch hem na vijf minuten zelf weer aanzetten; staat de switch op de poort er dan nog, dan zet BPDU guard de poort meteen weer uit:

spanning-tree bpdu-guard timeout 300

Inspection > Compliance laat onder Switch settings zien of dit is ingesteld (BPDU guard recovery).

10. LLDP

LLDP staat standaard aan op ArubaOS-CX. Controleren volstaat, configureren is niet nodig:

show lldp configuration

Is het uitgezet, zet het dan weer aan:

lldp

PrivateLAN leest show lldp neighbor-info detail uit om de LLDP-buurkolom op het interfaceoverzicht te vullen, dus dit moet aan blijven staan. De poorttemplates zetten no lldp transmit en lldp receive op apparaatpoorten, zodat de switch nog steeds leert wat er is aangesloten maar zichzelf niet aankondigt bij eindapparaten.

11. Layer 3 — routering en SVI's

ArubaOS-CX routeert standaard: een SVI met een IP-adres is een routed interface, en er is geen globaal ip routing-commando dat u eerst moet aanzetten.

Zet de routingmodus van PrivateLAN op SVI voor CX-switches. PrivateLAN biedt SVI, HSRP en VRRP onder VLANs, maar de CX-driver programmeert alleen gewone SVI's. HSRP heeft nooit op Aruba-hardware bestaan, en VRRP is niet beschikbaar op de CX 6100. HSRP of VRRP kiezen levert geen duidelijke fout op — het VLAN wordt simpelweg zonder gateway geprogrammeerd. Hebt u op CX een redundante gateway nodig, configureer die dan buiten PrivateLAN om, op de core.

PrivateLAN schrijft de SVI zelf weg wanneer u een VLAN programmeert:

interface vlan 20
    description Data
    ip address 192.168.20.1/24
    no shutdown

Wat u met de hand configureert, is alleen de management-SVI uit paragraaf 4 en de default route.

12. Transceivers van derden

CX-switches schakelen een SFP uit die ze niet herkennen. Gebruikt u optiek van derden of gekleurde optiek:

allow-unsupported-transceiver

De switch vraagt om bevestiging en waarschuwt dat niet-ondersteunde optiek buiten de support valt. Bevestig, sla de configuratie op en zet de poort uit en aan. Controleer met show interface transceiver detail.

13. De webinterface uitzetten

PrivateLAN beheert de switch volledig via SSH — het gebruikt de CX-webinterface niet en de REST API evenmin.

no https-server vrf default

Wilt u de webinterface behouden voor incidenteel handmatig werk, beperk hem dan tot het out-of-band beheernetwerk in plaats van hem helemaal te verwijderen:

https-server vrf mgmt

Controleer met show https-server wat er werkelijk luistert. Hetzelfde geldt voor de REST API, die dezelfde https-server-configuratie deelt: de server op een VRF uitzetten neemt beide mee.

14. Opslaan en registreren in PrivateLAN

end
write memory

Vervolgens, in de appliance:

• Switches > Add — hostname, beheer-IP-adres 192.168.10.21, SSH-poort 22, type ArubaOS-CX, gebruikersnaam privatelan en het switchwachtwoord. Laat het enable-wachtwoord leeg. Kies de switchgroep en vul de interfacereeksen in de vorm 1/1/1-1/1/48 in.
• 802.1x / RADIUS > Clients — voeg dezelfde switch toe met IP-adres 192.168.10.21, het bijbehorende netmasker en het gedeelde geheim ExampleSharedSecret.
• Inspection > Compliance — draai dit zodra de eerste polling is afgerond, en controleer of de regels voor de logging host en de tijdserver beide als match terugkomen.

Voeg een VSF-stack op een 6200 of 6300 één keer toe, op het gedeelde beheeradres. PrivateLAN herkent de stack en toont daaronder per lid het model, serienummer, de firmware, uptime, CPU en temperatuur.

DHCP snooping (optioneel)

PrivateLAN leest de DHCP snooping-tabel van de switch uit om het adres te achterhalen van elk apparaat dat u met een Dynamic adres in plaats van een vast adres hebt geregistreerd, en om het adres te vinden van draadloze clients achter een accesspoint. Zonder snooping melden die apparaten simpelweg dat er geen adres bekend is — er stopt verder niets met werken, dus zet het alleen aan als u daar gebruik van maakt.

dhcpv4-snooping
!
vlan 10,20,30
    dhcpv4-snooping
!
interface 1/1/48
    description Uplink
    dhcpv4-snooping trust

Zet het naast globaal ook per VLAN aan — het globale commando alleen legt niets vast.

Twee dingen bepalen of dit überhaupt werkt:

• Elke poort richting uw DHCP-server moet trusted zijn. Dat is de uplink, en elke poort richting een andere switch onderweg naar de server. Een poort die untrusted blijft, gooit de antwoorden van de server weg en de apparaten erachter krijgen geen adres meer — stel de trusted poorten dus in dezelfde wijziging in als waarin u snooping aanzet, niet erna.
• Snooping moet aan staan op de VLAN's waar de apparaten in zitten. Een VLAN waarop het niet aan staat levert geen bindings op, dus die apparaten blijven melden dat er geen adres bekend is. PrivateLAN doet dit niet voor u: een VLAN die PrivateLAN op de switch zet, of een apparaatgroep die een apparaat in een andere VLAN plaatst, krijgt geen snooping. Zet het op de switch aan voor elke VLAN met apparaten met een Dynamic adres, ook voor een VLAN die later bijkomt:

  vlan 1080
      dhcpv4-snooping

show dhcpv4-snooping toont onder Enabled VLANs op welke VLAN's het aan staat.

Controleer het resultaat op de switch zelf:

show dhcpv4-snooping
show dhcpv4-snooping binding

De binding-tabel overleeft een herstart van de switch niet, tenzij u de switch opdraagt hem op te slaan. Doet u dat niet, dan meldt PrivateLAN voor een dynamisch apparaat dat er geen adres bekend is totdat elke lease is vernieuwd:

dhcpv4-snooping external-storage <url>

Volledig configuratievoorbeeld

Alles hierboven in één blok, voor een CX 6100 als layer 2-accessswitch met in-band beheer. Vervang elke waarde uit de tabel bovenaan.

configure terminal
!
hostname SW-FLOOR1-01
!
user privatelan group administrators password plaintext ExampleSwitchPassword
!
ssh server vrf default
no telnet-server vrf default
ssh maximum-auth-attempts 3
!
vlan 10
    name MGMT
    exit
vlan 20
    name DATA
    exit
!
interface vlan 10
    description Management
    ip address 192.168.10.21/24
    no shutdown
    exit
!
ip route 0.0.0.0/0 192.168.10.1
!
interface 1/1/48
    description UPLINK
    no shutdown
    no routing
    vlan trunk native 1
    vlan trunk allowed 10,20
    lldp transmit
    lldp receive
    exit
!
clock timezone europe/amsterdam
ntp server 192.168.10.5 iburst
ntp vrf default
ntp enable
!
logging 192.168.10.5 udp 514 vrf default severity info
!
radius-server host 192.168.10.5 key plaintext ExampleSharedSecret vrf default
aaa group server radius PRIVATELAN
    server 192.168.10.5 vrf default
    exit
aaa authentication port-access dot1x authenticator
    radius server-group PRIVATELAN
    enable
    exit
aaa authentication port-access mac-auth
    radius server-group PRIVATELAN
    enable
    exit
!
spanning-tree mode mstp
spanning-tree config-name PRIVATELAN
spanning-tree config-revision 1
spanning-tree instance 1 vlan 10,20
spanning-tree
!
allow-unsupported-transceiver
!
no https-server vrf default
!
end
write memory

Problemen oplossen

Gerelateerde documentatie

• Switchbeheer — de switch registreren, groepen, interfacelabels en stacks
• 802.1x / RADIUS — RADIUS-clients en certificaten
• VLAN's — VLAN's aanmaken en de routingmodus kiezen
• Apparaten uitrollen — hoe poorten vanuit apparaatgroep-templates worden geprogrammeerd