27-Jan-25

ワイヤード（有線）アクセスの構成

アクセス層は、ネットワークへのレイヤ2接続を備えた有線デバイスおよび無線デバイスを提供します。ユーザー、アプリケーションリソース、およびネットワーク自体を人為的エラーや悪意のある攻撃から保護する上で重要な役割を果たします。この保護には、ネットワーク上で許可されているデバイスを制御すること、接続されているデバイスがエンドユーザーに対して承認されていないサービスを提供できないようにすること、承認されていないデバイスが、ネットワーク上のほかのデバイスの役割を引き継ぐのを防ぐことが含まれます。

ワイヤード（有線）アクセスの構成
- アクセススイッチグループの設定

アクセススイッチグループの設定

次の手順では、UIグループを使用した個別およびスタックアクセスレイヤスイッチの設定について説明します。スイッチの基本構成については、このガイドのSwitch Group Configurationの項で説明されています。

次の手順では、Aruba Central UI Groupを使用してスイッチの設定を完了します。次の図は、ESPキャンパス内のアクセススイッチを示しています。

有線アクセス

スタンドアロンスイッチの構成

スタンドアロン・スイッチをネットワーク・セグメントに接続し、DHCPリースを受け取れるようにします。DHCPリースには、DNSサーバとインターネットへの有効なルートが含まれます。Aruba CX 6000シリーズ・スイッチは、DHCPを任意のフロント・パネル・インタフェースまたは専用管理ポートに要求するように工場出荷時に構成されています。新しいスイッチがCentralに到達すると、購入時の情報に基づいて適切な組織に自動的に関連づけられます。

スイッチスタックの構成

VSFスタッキング用にスイッチのグループを設定するには、次の手順に従います。まず、24ポート・モデルのポート25と26、または48ポート・モデルのポート49と50を使用してスタックをケーブル接続します。インターネットへの到達可能性を証明するDHCPサービスを使用して、スタック内の1つのスイッチをネットワークに接続します。このスイッチは、スタックが形成された後のスタック導体として機能します。

注:
VSFスタッキングは、Aruba CX 6300および6200モデルのスイッチでのみサポートされています。 VSF構成を続行するには、グループにスイッチを追加する必要があります。

Step 1 中央に移動し、管理者の資格情報を使用してログインします。

Step 2 Aruba Central Accountのホームページで、Network Operationsアプリを起動します。 3.フィルタ・ドロップダウンでグローバルが選択されていない場合は選択します。左側のメニューで、組織を選択します。

Step 4 Unprovisioned devicesグループを展開し、ネットワークに直接接続されているスイッチをハイライト表示して、ウィンドウの右下にあるMove Devicesボタンをクリックします。

Step 5 宛先グループドロップダウンで、スタックの正しいアクセス切り替えグループを選択し、移動をクリックします。 6.フィルタードロップダウンで、アクセススイッチグループの名前を選択します。左側のメニューで、 デバイスを選択します。

Step 7 Switchesページの右上で、Configを選択します。

Step 8 SystemタイルのSwitchesページで、Stackingを選択します。

9.テーブルの右上にある+ （プラス記号）をクリックして、新しいVSFスタックを作成します。

Step 10 VSFスタックの作成ウィンドウで、次の設定を割り当て、保存をクリックします。

スイッチシリーズ: 6300
導体: 6300
Link 1ポート: 25
Link 2ポート: 26
分割モード検出: オフ

11.上記で選択したスイッチのシリアル番号を持つVSFスタックが、単一のコンダクタを持つVSF Stackingにリストされるようになりました。

12.スタックが自己構成されるまで約5分待ち、VSF Stackingページを更新して、すべてのスタックメンバーが存在することを確認します。

13.メンバ行の右側で、編集アイコンをクリックし、スタンバイコンダクタのボックスをチェックしてから保存をクリックします。

アップリンクLAGインターフェイスの設定

フォールトトレランスと容量増加のために、集約スイッチへの冗長リンク上にLink Aggregation Group（LAG;リンク集約グループ）を設定します。デフォルトでは、アップリンクトランクは、送信元と宛先のIPアドレス、プロトコルポート番号、およびデバイスのMACアドレスを使用して、グループ化された物理リンク間のトラフィックのロードバランシングを行います。Centralのポートプロファイル機能を使用して、同じポートレベルの設定を複数のスイッチまたはスイッチスタックに同時に適用します。

Step 1 2番目のリンクをスタンドアロンスイッチまたはVSFスタックに接続します。 2.デバイステーブルの左上隅にある左矢印をクリックしてスイッチページに戻ります。InterfacesタイルでPort Profilesを選択します。

Step 3 Sample Uplinkプロファイルを複製するには、行が強調表示されているときに表示される複製アイコンをクリックします。

4.新しいポートプロファイルに名前を付けて複製ボタンをクリックします。

5.新しいプロファイルを編集するには、新しい行をハイライトし、編集（鉛筆）アイコンをクリックします。

Step 6 プロファイルの編集ウィンドウで、以下のLAG構成を入力し、保存をクリックします。

Name: Access uplink LAG
説明: アクセススイッチアップリンクLAGのポートプロファイル
CLI: “’ interface lag 1 no shutdown ip mtu 9198 description Uplink LAG no routing vlan trunk native 1 vlan trunk allowed all lacp mode active arp inspection trust dhcpv4-snooping trust interface 1/1/28 no shutdown lag 1 interface 2/1/28 no shutdown lag 1 “’

注意:
DHCPスヌーピングとARP検査は、クライアントがネットワーク上の集中型DHCPサーバからDHCPアドレスを受信できるように、LAGインターフェイスで信頼する必要があります。

7.プロファイルを適用するには、プロファイル行をハイライトし、適用アイコンをクリックします。

Step 8 Apply画面で、LAG構成のスイッチを選択し、Saveをクリックします。

LAG操作の確認

9.リモートコンソールウィンドウを開き、’show lag 1’コマンドを入力して、Enterキーを押します。次に示す出力は、正常な2ポートLAGを示しています。

グループのMultiEditを有効にする

Step 1 Switchesページの左上で、スライダーを右に動かしてMultiEditを有効にします。

2.編集するデバイスを選択します。右下のウィンドウで、 EDIT CONFIGをクリックします。

次の手順では、MultiEditウィンドウに貼り付けることができる設定テキストを示します。設定を貼り付けた後、デバイス固有の値を右クリックします。右側にModify Parametersウィンドウが表示され、個々のデバイス値を入力できます。

アクセスVLANの設定

アクセススイッチは、帯域内管理インターフェイスとUser-Based Tunneling（UBT;ユーザベーストンネリング）用のVLANに加えて、集約スイッチ上で作成された同じVLANで構成されます。

トラフィックを検査し、一般的な攻撃を防ぎ、サブネット上のDHCPサービスを容易にするために、DHCPスヌーピングとARPインスペクションの両方をイネーブルにする必要があります。IGMPスヌーピングが有効になっており、Dynamic Multicast Optimization（DMO;ダイナミックマルチキャスト最適化）が機能するために必要です。

注:
DHCPスヌーピングは、各VLANでグローバルに有効にする必要があります。ARPインスペクションはVLANでのみ有効になっていますが、DHCPスヌーピングも有効にしない限り有効になりません。

例:アクセスVLAN

VLAN Name	ZTP_NATIVE	EMPLOYEE	CAMERA	PRINTER	REJECT_AUTH	CRITICAL_AUTH	MGMT	UBT_CLIENT
VLAN ID	2	3	5	6	13	14	15	4000

DHCPスヌーピングをイネーブルにして、グループレベルでVLANを作成します。

Step 1 DHCPスヌーピングをグローバルに有効にします。

”’ dhcpv4-snooping “’

2.各VLANでDHCPスヌーピング、ARPインスペクション、およびIGMPスヌーピングを有効にします。

”’ vlan 2 name ZTP_NATIVE dhcpv4-snooping arp inspection ip igmp snooping enable … vlan 4000 name UBT_CLIENT dhcpv4-snooping arp inspection ip igmp snooping enable “’

注意:
アクセススイッチのVLANは、アクセスデバイスがデフォルトゲートウェイに到達できるように、集約スイッチのVLANと一致する必要があります。

3.各VLANにレイヤ3インターフェイスを作成し、集約レイヤで使用されているのと同じMTUサイズを設定します。

”’ interface vlan 2 description ZTP_Native ip mtu 9198 ip address 10.2.15.5/24 … interface vlan 15 description MGMT ip mtu 9198 ip address 10.15.15.5/24 “’

注:
MultiEditをグループレベルで使用する場合は、デバイス固有の値を右クリックして、グループ内の個々のデバイスの値を設定します。

4.管理VLANでデフォルトルートを設定します。VLAN 15のアクティブゲートウェイIPアドレスにスタティックルートを追加します。

”’ ip route 0.0.0.0/0 10.2.15.1 “’

注:
アクセススイッチは、Centralサーバ、TACACSサーバ、RADIUSサーバ、NTPサーバなどのネットワークサービスへの接続を有効にするために、管理VLAN内にデフォルトルートを持つ必要があります。

スパニングツリーの構成

ループ防止メカニズムとして、各アクセススイッチでスパニングツリーがグローバルに有効になります。管理エッジ、ルートガード、BPDUガード、およびTCNガードなどの補助機能は、適切なインターフェイスで有効になり、スパニングツリーが効果的に実行されるようにします。

グループ・レベルで、次の構成を追加します。

1.スパニングツリーをグローバルに設定します。アクセスVLANに対してVLAN単位の高速スパニングツリーを有効にします。

”’ spanning-tree spanning-tree mode rpvst spanning-tree priority 0 spanning-tree vlan 1-3,5-6,13-15 “’

2.各アクセスインターフェイスで、ポートレベルのスパニングツリー機能とループ保護を設定します。

”’ interface 1/1/1 description ACCESS_PORT no shutdown no routing vlan access 1 spanning-tree bpdu-guard spanning-tree port-type admin-edge spanning-tree root-guard spanning-tree tcn-guard loop-protect loop-protect action tx-disable “’

スパニングツリーの確認

3.リモートコンソールウィンドウを開き、’show spanning-tree summary root’コマンドを入力してEnterキーを押します。次に示す出力は、正常なRPVST設定状態を示しています。

RADIUSとUBTの構成

アクセススイッチのRADIUSサーバとUBTを設定するには、次の手順を実行します。

アクセススイッチは、ネットワークへの接続を試みるデバイスを認証します。ユーザーを認証する最も一般的な方法は、802.1XサプリカントまたはMACベースの認証の2つです。この設計では、ダイナミック認証とダイナミック認証の両方がサポートされているため、AAAサーバはスイッチに接続されているデバイスの認証レベルを変更できます。

RADIUSトラッキングが有効になり、クライアントとサーバのステータスを確認できます。この構成では、拒否されたクライアントおよびRADIUS障害に対するユーザーロールも使用されます。RADIUSおよびユーザロールの設定はUBTと連動するため、このセクションではUBTの設定についても説明します。

Step 1 RADIUSサーバーを構成します。RADIUS動的承認を有効にし、プローブを使用してクライアントIPアドレスを追跡します。

”’ radius-server host 10.2.120.94 key plaintext radius-server host 10.2.120.95 key plaintext radius dyn-authorization enable client track ip update-method probe "'

Step 2 802.1XおよびMAC認証用にAAAを設定します。

”’ aaa authentication port-access dot1x authenticator enable aaa authentication port-access mac-auth enable “’

3.ゲートウェイにトラフィックをトンネリングするようにUBTを設定します。UBTクライアントVLANを定義し、デフォルトのVRFにUBTゾーンを作成します。プライマリトンネルとバックアップトンネルのゲートウェイのペアに接続します。

UBT Client VLAN: 4000
UBT Zone: Aruba

”’ ubt-client-vlan 4000

ubt zone Aruba vrf default primary-controller ip 10.6.15.11 backup-controller ip 10.6.15.12 enable “’

4.ローカルユーザーロールを構成します。ユーザーの役割を作成し、VLANがトンネリングされている場合は、ゲートウェイゾーンとゲートウェイの役割を設定します。VLANがトンネリングされない場合は、認証モードまたは再承認期間とローカルVLANを設定します。

”’ port-access role BLDG-MGMT gateway-zone zone Aruba gateway-role EXAMPLE-BLDG-MGMT port-access role GUEST gateway-zone zone Aruba gateway-role EXAMPLE-GUEST port-access role ARUBA-AP auth-mode device-mode vlan access 15 port-access role CRITICAL_AUTH reauth-period 120 vlan access 14 port-access role REJECT_AUTH reauth-period 120 vlan access 13 “’

注:
Aruba-AP、Critical Auth、Rejectなどの特別な場合のローカルユーザーロールは、ゲートウェイにトンネリングされません。

5.アクセスポートでAAA認証を設定します。クライアントの制限を設定し、802.1XおよびMAC認証を設定し、認証順序を設定します。重要な役割と拒否の役割を設定して、ローカルVLANで特別なケースのユーザーロールを使用します。EAPOLタイムアウト、最大要求、最大再試行のデフォルトを調整します。

”’ interface 1/1/1 description ACCESS_PORT no shutdown no routing vlan access 1 aaa authentication port-access client-limit 5 aaa authentication port-access auth-precedence dot1x mac-auth aaa authentication port-access critical-role CRITICAL_AUTH aaa authentication port-access reject-role REJECT_AUTH aaa authentication port-access dot1x authenticator eapol-timeout 30 max-eapol-requests 1 max-retries 1 enable aaa authentication port-access mac-auth enable “’

RADIUSの確認

6.リモートコンソールウィンドウを開き、’show radius-server’コマンドを入力して、Enterキーを押します。次に示す出力は、正常なRADIUSサーバ設定を示しています。

UBTの確認

7.リモートコンソールウィンドウを開き、’show ubt status’コマンドを入力してEnterキーを押します。次に示す出力は、正常なUBT設定状態を示しています。

デバイスプロファイルの構成

Aruba APを動的に検出して管理VLANに配置し、ローカルブリッジVLANを許可するデバイスプロファイルを作成します。

注:
ClearPassがAruba APを認証する場合、この手順は不要です。

Step 1 ARUBA-APロールを構成します。ロールを作成し、認証モードを設定し、ネイティブVLANを設定し、許可されるVLANを定義します。

”’ port-access role ARUBA-AP auth-mode device-mode vlan trunk native 15 vlan trunk allowed 1-3,5-6,13-15 “’

注:
ARUBA-APロールは、APのVLANを識別し、ローカルでブリッジされるVLANを識別します。

Step 2 LLDPグループを構成します。グループを作成し、Aruba AP OUIを識別します。

”’ port-access lldp-group AP-LLDP-GROUP seq 10 match vendor-oui 000b86 seq 20 match vendor-oui D8C7C8 seq 30 match vendor-oui 6CF37F seq 40 match vendor-oui 186472 seq 50 match sys-desc ArubaOS “’

注:
LLDPグループはアルバAPを識別し、最後のシステム記述を将来のAPのキャッチホールとして設定します。

3.デバイスプロファイルを構成します。プロファイルを作成して有効にし、前に作成したロールおよびLLDPグループに関連付けます。

”’ port-access device-profile ARUBA_AP enable associate role ARUBA-AP associate lldp-group AP-LLDP-GROUP “’

グループ内のデバイスは、新しい構成を自動的に同期します。同期の状態は、構成の状態ページで更新されます。左側のメニューで監査証跡をクリックし、ステップの実行を確認します。