ArubaOS-Switch — 2530 en 2930

Configuratievoorbeeld om een HPE Aruba Networking-switch met ArubaOS-Switch (voorheen ProVision) vanuit de fabrieksinstellingen gereed te maken voor PrivateLAN. Registreer de switch in PrivateLAN met het type ArubaOS.

Deze handleiding is geschreven voor ArubaOS-Switch 16 en gecontroleerd op een 2530-8-PoE+ (JL070A) met YB.16.11.0018:

ArubaOS-Switch is niet ArubaOS-CX. Antwoordt uw switch op show running-config met blokken interface 1/1/1 en regels vlan access, dan is het een CX-model (6100, 6200, 6300) en hoort het bij het type ArubaOS-CX: een andere handleiding en een andere CLI.

Alles in deze handleiding voert u eenmalig in, op een switch in fabrieksinstellingen, voordat u hem aan PrivateLAN toevoegt. De configuratie van afzonderlijke switchpoorten hoort er niet bij: PrivateLAN programmeert de toegangspoorten zelf vanuit de sjablonen van de apparaatgroepen, en wat u met de hand op een poort instelt, wordt overschreven zodra die poort opnieuw wordt geprogrammeerd.

Waarden in deze handleiding

De appliance neemt syslog-, RADIUS- en tijdverkeer (NTP) alleen aan op eth0, en alleen van RFC 1918-adressen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16). Een switch met een publiek beheeradres kan die diensten niet bereiken, wat u op de switch ook instelt.

1. Consoletoegang en hostnaam

Sluit de consolepoort aan op 9600 8N1, zonder flow control. De console zoekt de snelheid zelf: na het opstarten staat er Waiting for Speed Sense. Press <Enter> twice to continue.

Een switch in fabrieksinstellingen met software 16.11 of nieuwer vraagt daarna eerst om het manager-account (Configure the manager credentials). Geef hier het account van PrivateLAN met zijn wachtwoord: dat is het account van paragraaf 2, en deze vraag is niet over te slaan. Oudere software opent de console zonder wachtwoord.

configure
hostname "SW-FLOOR1-01"

ArubaOS-Switch schrijft namen tussen dubbele aanhalingstekens; typ ze ook zo.

2. Het account van PrivateLAN

password manager user-name privatelan plaintext ExampleSwitchPassword
password operator user-name operator plaintext ExampleEnablePassword

Dit is het manager-account: het logt direct in op de prompt #, wat de driver van PrivateLAN nodig heeft, en het is ook de login van de console. ArubaOS-Switch kent geen stap enable. Laat het veld Enable password leeg als u de switch registreert.

Het operator-account heeft ook een wachtwoord nodig. Een switch met een manager-wachtwoord en zonder operator-wachtwoord laat iedereen als operator binnen die bij Username: van de console op Enter drukt, zonder wachtwoord. Geef de operator een eigen wachtwoord en bewaar dat bij de andere wachtwoorden van de switch.

De switch toont de gebruikersnamen en de wachtwoorden nooit meer: show running-config heeft alleen de regels password manager en password operator. Een manager-wachtwoord zet ook de DHCP-optie uit die de switch naar een beheerserver wijst (no dhcp tr69-acs-url verschijnt vanzelf).

erase startup-config haalt de manager- en operatorwachtwoorden niet weg. Gebruik daarvoor no password all in de configuratiemodus.

3. SSH

PrivateLAN maakt alleen verbinding via SSH.

ip ssh
ip ssh timeout 60
no telnet-server

SSH staat standaard aan, met een RSA-hostsleutel van 2048 bits die de switch zelf heeft gemaakt; show ip ssh toont beide. Telnet staat standaard ook aan en gaat hier uit.

U hoeft paging op de switch niet uit te zetten. De driver stuurt bij elke sessie zelf no page.

4. VLAN's en het beheeradres

vlan 10
   name "MGMT"
   exit
vlan 20
   name "DATA"
   exit
vlan 10
   ip address 192.168.10.21 255.255.255.0
   exit
vlan 1
   no ip address
   exit
ip default-gateway 192.168.10.1

Een switch in fabrieksinstellingen vraagt via DHCP een adres aan op VLAN 1 (ip address dhcp-bootp). Dat tweede adres komt terecht in het netwerk dat het ongetagde VLAN van de uplink is, dus het gaat hier weg.

Dezelfde VLAN-context meer dan eens openen, zoals deze handleiding per paragraaf doet, is geen probleem: elke vlan 10 vult hetzelfde VLAN aan.

5. De uplink

Op ArubaOS-Switch draagt een VLAN zijn poorten: de poort zelf heeft geen trunkmodus. Tag elk VLAN dat de uplink moet dragen op de uplinkpoort:

interface 24
   name "UPLINK"
   exit
vlan 10
   tagged 24
   exit
vlan 20
   tagged 24
   exit

De poort blijft ongetagd lid van VLAN 1. LLDP staat standaard aan; PrivateLAN leest er de buurman van de uplink mee.

6. Tijd en tijdzone

time timezone 60
time daylight-time-rule western-europe
timesync ntp
ntp unicast
ntp server 192.168.10.5 iburst
ntp enable

ArubaOS-Switch kent geen namen van tijdzones: de zone is het verschil met UTC in minuten (60 voor Nederland en België, 0 voor het Verenigd Koninkrijk) en een zomertijdregel. western-europe schakelt op de laatste zondagen van maart en oktober, zoals de EU.

Wijs de switch naar het eigen adres van de appliance: de appliance geeft de tijd door van de tijdserver onder System > Networking. Geef altijd een adres, nooit een naam.

7. Syslog naar de appliance

logging 192.168.10.5
logging severity info

8. RADIUS en 802.1X

Hiermee werken MAB-, PEAP- en EAP-TLS-apparaten. De switch moet in PrivateLAN ook als RADIUS-client zijn geregistreerd, onder 802.1x / RADIUS, met hetzelfde beheeradres en hetzelfde gedeelde geheim.

radius-server host 192.168.10.5 key "ExampleSharedSecret"
aaa authentication port-access eap-radius
aaa port-access authenticator active
aaa accounting network start-stop radius

ArubaOS-Switch toont het gedeelde geheim leesbaar in show running-config en show radius. Behandel een kopie van de configuratie zoals het geheim zelf.

De twee regels aaa ... port-access zetten 802.1X globaal aan. PrivateLAN zet 802.1X en MAC-authenticatie per poort aan zodra het een apparaat op die poort programmeert, vanuit de sjablonen onder Devices > Device groups; u stelt ze niet zelf op de poorten in.

PrivateLAN bewaart de RADIUS-gebruikersnaam van een MAB-apparaat als het MAC-adres in twaalf kleine hexadecimale tekens zonder scheidingstekens (00155d5a6500). Dat is de standaard van ArubaOS-Switch (aaa port-access mac-based addr-format no-delimiter); laat die staan.

9. Spanning tree

Op een switch in fabrieksinstellingen staat spanning tree uit.

spanning-tree
spanning-tree config-name "PRIVATELAN"
spanning-tree config-revision 1
spanning-tree instance 1 vlan 10,20
spanning-tree bpdu-protection-timeout 300

De time-out zet een poort die door BPDU-bescherming is uitgeschakeld na vijf minuten weer aan; de standaard, 0, laat hem uit tot iemand hem aanzet. PrivateLAN zet de BPDU-bescherming per apparaatpoort aan.

ArubaOS-Switch gebruikt MSTP. De regionaam, de revisie en de VLAN-indeling zijn dezelfde als in de handleiding voor ArubaOS-CX, zodat de Aruba-switches van één netwerk één regio vormen. Geef uw coreswitch de laagste prioriteit, zodat een nieuwe switch nooit de root wordt.

10. Transceivers van derden

allow-unsupported-transceiver

De switch vraagt Do you agree, and do you wish to continue enabling? (Y/N): antwoord y. Zonder deze regel komt een SFP van een andere fabrikant niet op.

11. De webinterface en ongebruikte diensten uitzetten

PrivateLAN beheert de switch volledig via SSH. Verder hoeft er niets bereikbaar te zijn.

no web-management
no web-management ssl
no snmp-server community "public"
no stack
no tftp server
no dhcp config-file-update
no dhcp image-file-update

Software 16.11 en nieuwer begint met Telnet en de webinterface via HTTP al uit, maar met HTTPS aan (web-management ssl) en de community public alleen-lezen; oudere software heeft HTTP aan en public met schrijfrechten. In beide gevallen zetten de regels hierboven ze uit. Een switch in fabrieksinstellingen heeft verder het stackingprotocol van HP dat wacht om bij een stack te komen, een TFTP-server, en DHCP-opties die een configuratiebestand of een software-image van het netwerk laden. Die gaan allemaal uit. no stack is voor de 2530 en de HP-stacking van de 2930, niet voor VSF.

Gebruikt u SNMP voor iets anders in uw netwerk, geef het dan een v3-gebruiker in plaats van een community string. PrivateLAN zelf gebruikt geen SNMP.

12. De console

console idle-timeout serial-usb 900

De console vraagt om het manager-account van paragraaf 2. Deze regel logt een console die niet wordt gebruikt na 15 minuten uit, zodat een kabel die in een kast blijft hangen niet ingelogd blijft.

13. Opslaan en registreren in PrivateLAN

end
write memory

Daarna in de appliance:

• Switches > Add: hostnaam, beheeradres 192.168.10.21, SSH-poort 22, type ArubaOS, gebruikersnaam privatelan en het wachtwoord van de switch. Laat het enable-wachtwoord leeg. Kies de switchgroep en geef de poortbereiken op in de vorm 1-24.
• 802.1x / RADIUS > Clients: voeg dezelfde switch toe met IP-adres 192.168.10.21, zijn netmasker en het gedeelde geheim ExampleSharedSecret.
• Inspection > Compliance: voer die uit zodra de eerste poll klaar is, en controleer dat de regels voor de logginghost en de tijdserver allebei overeenkomen.

Complete voorbeeldconfiguratie

De hele configuratie van deze handleiding in één blok, met de waarden van de handleiding.

configure
hostname "SW-FLOOR1-01"
password manager user-name privatelan plaintext ExampleSwitchPassword
password operator user-name operator plaintext ExampleEnablePassword
ip ssh
ip ssh timeout 60
no telnet-server
vlan 10
   name "MGMT"
   exit
vlan 20
   name "DATA"
   exit
vlan 10
   ip address 192.168.10.21 255.255.255.0
   exit
vlan 1
   no ip address
   exit
ip default-gateway 192.168.10.1
interface 24
   name "UPLINK"
   exit
vlan 10
   tagged 24
   exit
vlan 20
   tagged 24
   exit
time timezone 60
time daylight-time-rule western-europe
timesync ntp
ntp unicast
ntp server 192.168.10.5 iburst
ntp enable
logging 192.168.10.5
logging severity info
radius-server host 192.168.10.5 key "ExampleSharedSecret"
aaa authentication port-access eap-radius
aaa port-access authenticator active
aaa accounting network start-stop radius
spanning-tree
spanning-tree config-name "PRIVATELAN"
spanning-tree config-revision 1
spanning-tree instance 1 vlan 10,20
spanning-tree bpdu-protection-timeout 300
allow-unsupported-transceiver
no web-management
no web-management ssl
no snmp-server community "public"
no stack
no tftp server
no dhcp config-file-update
no dhcp image-file-update
console idle-timeout serial-usb 900
end
write memory

Problemen oplossen

Gerelateerde documentatie

• Switchbeheer — de switch registreren, groepen, interfacelabels en stacks
• 802.1x / RADIUS — RADIUS-clients en certificaten
• VLAN's — VLAN's aanmaken en de routingmodus kiezen
• Apparaten uitrollen — hoe poorten vanuit apparaatgroep-templates worden geprogrammeerd