ブランチ・スイッチのコンフィグレーション

このブランチ展開におけるスイッチの主な機能は、有線デバイスおよびAPへの電源およびレイヤ2アクセスを提供することです。テンプレートの違いを最小限に抑えるために、各ブランチ展開には同じ物理接続が必要です。

ブランチサイトの物理レイアウトまたは構成が異なる場合は、ブランチ用に2つ目のテンプレートグループを作成する必要があります。

目次

• ブランチ・スイッチのコンフィグレーション
  • スイッチ・グループの作成
  • スイッチをグループに割り当て
  • スイッチテンプレートコンフィグレーションの作成
    • アクセスベース機能の設定
    • アクセスVLANの設定
    • デバイスプロファイルの設定
    • RADIUSの設定
    • スパニングツリーの設定
    • アップリンクポートの設定
    • テンプレートコンフィグレーションの適用
    • アクセススイッチ変数のアップロード

スイッチグループの作成方法

スイッチ・グループの作成

“展開の準備”セクションでスイッチ・グループがまだ作成されていない場合は、次の手順を使用してスイッチ・グループを作成します。

Step 1 左側のナビゲーション・ペインの保守セクションで組織を選択します。

Step 2 グループタイルを選択します。

Step 3 +印（プラス記号）をクリックして、新規グループを作成します。

スイッチをグループに割り当て

Step 1 Central Account Homeページで、デバイスインベントリを選択します。

Step 2 デバイスの表示テーブルでスイッチを選択し、 グループの割り当てをクリックします。

Step 3 Assign a Group to the Selected Devicesウィンドウで、前に作成したスイッチ・グループを選択します。

Step 4 デバイスの割り当てをクリックし、OKをクリックします。

スイッチテンプレートコンフィグレーションの作成

スイッチテンプレートに含める必要があるコンフィギュレーションオプションを次に示します。これらのコンフィグレーション項目はテンプレート形式です。変数の値は、設定の下表に示されています。

”’ interface Vlan 10 ip address %VLAN_IP% “’

変数を含む完全な設定テンプレートファイルは、”ブランチアクセススイッチの設定”セクションに含まれています。ドキュメントで使用されているアップリンクポートは、他のブランチ展開とは異なり、これらの環境に合わせて調整する必要があります。

アクセスベース機能の設定

アクセススイッチの基本機能を設定するには、次の手順を実行します。基本機能には、ホスト名、管理ユーザーアカウント、バナーMOTD、NTP、DNS、TACACS、およびAAAがあります。

設定テンプレートで、次の手順を実行します。

Step 1 スイッチのホスト名を設定します。

”’ hostname %HOSTNAME% “’

Step 2 管理ユーザーアカウントを設定します。

”’ user admin group administrators password plaintext "'

Step 3 ログインバナーを設定します。バナーMOTDは通常、ネットワークにログインするユーザーに対し、許可されたアクセスのみが許可されることを通知する法的免責事項として使用されます。バナーMOTDの定義については、法務チームに相談してください。次に例を示します。

”’ banner motd $ ******************** NOTICE TO USERS This is a private computer system and is the property of Aruba Networks. It is for authorized use only. Users (authorized or unauthorized) have no explicit or implicit expectation of privacy while connected to this system. … Unauthorized or improper use of this system may result in administrative disciplinary action and civil and criminal penalties. By continuing to use of this system, you indicate your awareness of and consent to these terms and conditions of use. LOG OFF IMMEDIATELY if you do not agree to the conditions stated in this warning. ********************* $ “’

Step 4 NTPサーバーとタイムゾーンを設定します。

”’ ntp server 10.2.120.98 iburst version 3 ntp server 10.2.120.99 iburst version 3 clock timezone us/pacific “’

Step 5 DNSサーバーとドメイン名を設定します。

”’ ip dns host 10.2.120.98 ip dns host 10.2.120.99 ip dns domain-name Example.local “’

アクセスVLANの設定

クライアントデバイスにネットワーク接続を提供するには、アクセススイッチがブランチゲートウェイと同じVLANを持っている必要があります。アクセススイッチには、管理VLAN用のレイヤ3インターフェイスも追加されています。IGMP、DHCPスヌーピング、およびARPインスペクションが有効になっています。

IGMPスヌーピングは、ローカルネットワーク上のホストが、明示的に参加していないマルチキャストグループのトラフィックを受信するのを防ぎます。この機能は、アクティブマルチキャストリスナーを含まないポートからマルチキャストトラフィックをプルーニングするメカニズムをレイヤ2スイッチに提供します。

DHCPスヌーピングはグローバルにイネーブルにされ、DHCPパケットをスヌーピングするために各VLANに対してイネーブルになります。DHCPスヌーピングは、DHCPスタベーション攻撃や不正なDHCPサーバーがネットワーク上でリクエストを処理するのを防ぎます。

ARPインスペクションはVLANの下で有効になっていますが、DHCPスヌーピングも有効になっていなければ有効になりません。ARPインスペクションは、ARPキャッシュポイズニングによって引き起こされるman-in-the-middle攻撃を阻止します。

設定テンプレートで、次のコンフィグレーションを割り当てます。

Step 1 DHCPスヌーピングをグローバルに構成します。

”’ dhcpv4-snooping “’

Step 2 アクセスVLANを設定し、DHCP/IGMPスヌーピングを有効にして、ARPインスペクションを有効にします。

”’ vlan 100 name MGMT dhcpv4-snooping arp inspection ip igmp snooping enable vlan 101 name EMPLOYEE dhcpv4-snooping arp inspection ip igmp snooping enable … vlan 107 name QUARANTINE dhcpv4-snooping arp inspection ip igmp snooping enable “’

Step 3 レイヤ3インターフェイスVLANを設定します。

”’ interface vlan 100 description MGMT ip address %MGMT_IP%/24 “’

Step 4 スイッチ上のすべてのVLANに対して、前の手順を繰り返します。

Step 5 管理VLANでデフォルトルートを設定します。VLAN 100のアクティブゲートウェイIPアドレスにスタティックルートを追加します。

”’ ip route 0.0.0.0/0 %DEFAULT_ROUTE% “’

デバイスプロファイルの設定

デバイスプロファイルはAPを動的に検出し、デバイス管理およびブリッジSSIDのタグ付けのために接続ポートを適切に設定します。これにより、APが接続されるポートの手動設定が不要になり、ネットワークオペレータを支援します。

デバイスプロファイルは3つのステップで適用されます。まず、APを識別するロールとポートタグを設定します。次に、LLDPグループを定義します。このグループは、LLDPを使用してデバイスOUIを収集し、デバイスがAruba APであるかどうかを識別します。最後に、デバイスプロファイル設定でロールとLLDPグループを関連付けます。

各アクセススイッチで、次の手順を実行します。

Step 1 Aruba-APロールを設定します。ロールを作成し、認証モード、ネイティブVLANを設定し、許可されるVLANを定義します。

”’ port-access role ARUBA-AP auth-mode device-mode vlan trunk native 100 vlan trunk allowed 100-105 “’

Step 2 LLDPグループを設定します。グループを作成し、Aruba AP OUIを識別します。

”’ port-access lldp-group AP-LLDP-GROUP seq 10 match vendor-oui 000b86 seq 20 match vendor-oui D8C7C8 seq 30 match vendor-oui 6CF37F seq 40 match vendor-oui 186472 seq 50 match sys-desc ArubaOS “’

Step 3 デバイスプロファイルを設定します。プロファイルを作成して有効にし、前に作成したロールおよびLLDPグループに関連付けます。

”’ port-access device-profile ARUBA_AP enable associate role ARUBA-AP associate lldp-group AP-LLDP-GROUP “’

RADIUSの設定

アクセススイッチのRADIUSサーバーを設定するには、次の手順を実行します。

アクセススイッチは、ネットワークへの接続を試みるデバイスを認証します。ユーザーを認証する最も一般的な方法は、802.1xとMACベースの2つです。この設計では、両方の方式と、AAAサーバーがスイッチに接続されているデバイスの認可レベルを変更できるようにする動的認可がサポートされています。

RADIUSトラッキングが有効になり、クライアントとサーバーのステータスを確認できます。この設定には、拒否されたクライアントおよびRADIUS障害シナリオのためのユーザーロールも含まれます。

各アクセススイッチで、次の手順を実行します。

Step 1 RADIUSサーバーを設定し、RADIUS動的認可を有効にして、クライアントIPアドレスをプローブで追跡します。

”’ radius-server host 10.2.120.94 key plaintext radius-server host 10.2.120.95 key plaintext radius dyn-authorization enable client track ip update-method probe "'

Step 2 802.1xおよびMAC認証用にAAAを設定します。

”’ aaa authentication port-access dot1x authenticator enable aaa authentication port-access mac-auth enable “’

Step 3 ローカルユーザーロール、認証モードの設定、およびVLANの設定を行います。

”’ port-access role EMPLOYEE reauth-period 120 vlan access 101 port-access role IPTV reauth-period 120 vlan access 102 port-access role CAMERA reauth-period 120 vlan access 103 port-access role GUEST reauth-period 120 vlan access 104 port-access role REJECT reauth-period 120 vlan access 105 port-access role CRITICAL reauth-period 120 vlan access 105 “’

Step 4 アクセスポートでAAA認証を設定します。クライアントリミットの設定、802.1x/MAC認証の構成、認証順序の設定、およびCriticalロールとRejectionロールの構成を行います。EAPOLタイムアウト、最大リクエスト数、最大リトライ回数のデフォルト値を調整します。

”’ interface 1/1/1 description ACCESS_PORT no shutdown no routing vlan access 1 aaa authentication port-access client-limit 5 aaa authentication port-access auth-precedence dot1x mac-auth aaa authentication port-access critical-role CRITICAL_AUTH aaa authentication port-access reject-role REJECT_AUTH aaa authentication port-access dot1x authenticator eapol-timeout 30 max-eapol-requests 1 max-retries 1 enable aaa authentication port-access mac-auth enable “’

スパニングツリーの設定

ループ防止メカニズムとして、各アクセススイッチでスパニングツリーがグローバルに有効になります。admin-edge、root-guard、BPDUガード、およびTCNガードなどの補助機能は、適切なインターフェイスで有効になり、スパニングツリーが効果的に実行されるようにします。

各アクセススイッチで、次の手順を実行します。

Step 1 スパニングツリーをグローバルに設定し、アクセスVLANに対してRPVSTを有効にします。

”’ spanning-tree mode rpvst spanning-tree spanning-tree priority 8 spanning-tree vlan 100-105 priority 15 spanning-tree vlan 100-105 “’

Step 2 スパニングツリーの補助機能を設定します。

”’ interface 1/1/1 description ACCESS_PORT no shutdown no routing vlan access 1 spanning-tree bpdu-guard spanning-tree port-type admin-edge spanning-tree root-guard spanning-tree tcn-guard loop-protect loop-protect action tx disable “’

Step 3 最終的なアクセスポートの設定は次のようになります。

”’ interface 1/1/1 description ACCESS_PORT no shutdown no routing vlan access 1 spanning-tree bpdu-guard spanning-tree port-type admin-edge spanning-tree root-guard spanning-tree tcn-guard loop-protect loop-protect action tx disable aaa authentication port-access client-limit 5 aaa authentication port-access auth-precedence dot1x mac-auth aaa authentication port-access critical-role CRITICAL_AUTH aaa authentication port-access reject-role REJECT_AUTH aaa authentication port-access dot1x authenticator eapol-timeout 30 max-eapol-requests 1 max-retries 1 enable aaa authentication port-access mac-auth enable “’

Step 4 各アクセスポートに対してフルインターフェイス設定を繰り返します。

アップリンクポートの設定

各スイッチには、両方のBGWへのアップリンク接続があります。各アップリンクは、許可されたVLANが100～105のトランクです。トランクのネイティブVLANはVLAN 100です。各アップリンクでは、DHCPスヌーピングのTrustが許可され、ARP検査のTrustが有効になっています。

各アクセススイッチで、次の手順を実行します。

Step 1 アップリンクインターフェイスを設定し、ネイティブVLANと許可VLANをトランクに設定します。

”’ interface %UPLINK_1% description Uplink_GW no shutdown no routing vlan trunk native 100 vlan trunk allowed 100-105 interface %UPLINK_2% description Uplink_GW no shutdown no routing vlan trunk native 100 vlan trunk allowed 100-105 “’

Step 2 ARP検査TrustとDHCPスヌーピングTrustを設定します。

”’ interface %UPLINK_1% description Uplink_GW no shutdown no routing vlan trunk native 100 vlan trunk allowed 100-105 arp inspection trust dhcpv4-snooping trust interface %UPLINK_2% description Uplink_GW no shutdown no routing vlan trunk native 100 vlan trunk allowed 100-105 arp inspection trust dhcpv4-snooping trust “’

テンプレートコンフィグレーションの適用

テンプレートコンフィグレーションを作成したら、それをCentralデータベースに配置する必要があります。この手順では、コンフィグレーションをテンプレートに取り込む手順を順を追って説明します。

Step 1 グループページのグループの管理セクションで、アクセススイッチを右側から左側のテンプレートグループにドラッグします。

Step 2 グローバル > グループに移動します。 グループリストでTG-SW-BG01を選択します。

Step 3 スイッチリストページで、右上の設定をクリックします。

Step 4 スイッチ > テンプレートセクションで、右上の +（プラス記号）をクリックします。

Step 5 テンプレートの追加ウィンドウの基本情報セクションで、次の設定を割り当て、次へをクリックします。

• テンプレート名: SW-BR-Config
• デバイスタイプ: Aruba CX
• モデル: 6300
• パーツ名: JL666A
• バージョン: ALL

Step 6 テンプレートセクションで、アクセスコンフィグレーションをボックスに貼り付け、保存をクリックします。

アクセススイッチ変数のアップロード

アクセススイッチの変数をCentralデータベースにアップロードするには、次の手順を実行します。

Step 1 デバイス > スイッチページで、変数タブを選択し、サンプル変数ファイルをダウンロードしますをクリックします。

Step 2 エディタでCSVファイルを開き、各変数に適切な値を入力し、変更済み列にYと入力します。コンピュータ上でファイルを保存します。

Step 3 変数タブで、 変数ファイルのアップロードをクリックし、更新されたCSVファイルをコンピューターで見つけ、 開くをクリックします。

Step 5 デバイス > スイッチ > リストに移動し、スイッチがIn syncであることを確認します。

---

Table of contents

• アクセス設定

---