中規模ブランチスイッチ構成

この展開における、集約スイッチは２つの目的を持ち、有線デバイスとアクセスポイントへの電源およびレイヤ2アクセスを提供すると同時に、ダウンストリームを集約スイッチで集約します。アクセススイッチは、有線デバイスおよびアクセスポイントへのレイヤ2アクセスのポート数を増やすために使用されます。ブランチ展開環境で物理的な接続を統一することは、テンプレートのバリエーションを最小限に抑えるために重要です。下図も参照ください。

スタッキングスイッチがオフライン

アップリンクを集約スイッチにスタック接続する前に、次の手順に従ってスイッチをスタックしてからCentralに接続します。

この手順を開始する前に、次の点を確認してください。

Step 1 スイッチがAOS-CX 10.7以上であることを確認します

Step 2 すべてのスイッチは工場出荷時のデフォルト設定です。

Step 3 スタック内のスイッチが予約済みのauto-stacking portsを使用している。

Step 4 スイッチはリングトポロジで接続されています。

Step 5 スイッチへコンソール接続しています。

上記のチェックリストを満たしている場合、スイッチをスタックスタック化する準備ができています。

Step 1 コンダクタになるスイッチのLEDにSTKと表示されるまでモードボタンを押し、コンダクタが再起動するまで待ちます。

Step 2 2番目のスイッチでLEDを押してSTKと表示されたら、2番目のメンバが起動するのを待ちます。

スイッチ・グループの作成

小規模ブランチ展開用のグループを作成するには、次の手順を実行します。

Step 1 左側のナビゲーション・ペインで、Organizationを選択します。

Step 2 Groupsタイルを選択します。

Step 3 +（プラス記号）をクリックして、New Groupを作成します。

Step 4 Access PointsとSwitchngのチェックボックスをオンにします。

Step 5 グループに”BR-ECE-SDW-M“という名前をつけます。

Step 6 トグルをクリックしてテンプレートを使用可能にします。

Step 7 Nextへをクリックします

Step 8 AOS-CXのみを許可するようにグループを変更します。

Step 9 Addをクリックします

スイッチをグループに割り当てる

Step 1 Organizationページで、Device Preprovisioningを選択します。

Step 2 “Serial”列に、スイッチのシリアル番号を入力します。

Step 3 switchを選択し、Item Selectedボタンをクリックします。

Step 4 Assign a Groupウィンドウで、前に作成したグループBR-ECE-SDW-Mを選択します。

Step 5 Moveをクリックします。

Step 6 Okをクリックします。

7.各スイッチでこのプロセスを繰り返します。

ファームウェアコンプライアンスの設定

Step 1 左ペインで[Global]をクリックし、グループBR-ECE-SDW-Sグループを選択します。

Step 2 左側のペインでFirmwareを選択します。

Step 3 グループ内の[Switches]タブをクリックし、ギアアイコンをクリックしてコンプライアンスを設定します。

Step 4 AOS-CX　Firmware Policyを10.11.1005に設定します。

Step 5 Saveをクリックし、Okをクリックします

スイッチテンプレート構成の作成

スイッチングテンプレートに含める必要があるコンフィギュレーションオプションを次に示します。これらの構成項目はテンプレート形式です。変数の値は、設定の下の表に示されています。

interface Vlan 10
	ip address %VLAN_IP%

変数を含む完全な設定テンプレートファイルは、”ブランチアクセススイッチの設定”セクションに含まれています。ドキュメントで使用されているアップリンクポートは、他のブランチ展開とは異なり、これらの環境に合わせて調整する必要があります。

アクセスベース機能の構成

アクセススイッチの基本機能を設定するには、次の手順を実行します。基本機能には、ホスト名、管理ユーザーアカウント、Banner MOTD、NTP、DNS、TACACS、およびAAAがあります。

構成テンプレートで、次の手順を実行します。

Step 1 スイッチのホスト名を構成します。

interface Vlan 10
	ip address %VLAN_IP%

Step 2 管理ユーザーアカウントを構成します。

user admin group administrators password plaintext <password> 

Step 3 ログインバナーを設定します。Banner MOTDは通常、許可されたアクセスのみが許可されていることをネットワークにログインしているユーザーに通知するための法的免責事項として使用されます。Banner MOTDを定義するには、独自の法務チームに相談してください。次に例を示します。

banner motd $
**********************************************************
NOTICE TO USERS
This is a private computer system and is the property of Aruba Networks. It is for authorized use only. Users (authorized or unauthorized) have no explicit or implicit expectation of privacy while connected to this system.
...
Unauthorized or improper use of this system may result in administrative disciplinary action and civil and criminal penalties. By continuing to use of this system, you indicate your awareness of and consent to these terms and conditions of use. LOG OFF IMMEDIATELY if you do not agree to the conditions stated in this warning.
***********************************************************
$

Step 4 NTPサーバーとタイムゾーンを構成します。

ntp server 10.2.120.98 iburst version 3
ntp server 10.2.120.99 iburst version 3
clock timezone us/pacific

Step 5 DNSサーバーとドメイン名を構成します。

ip dns host 10.2.120.98
ip dns host 10.2.120.99
ip dns domain-name Example.local

アクセスVLANの設定

クライアントデバイスにネットワーク接続を提供するには、アクセススイッチがブランチゲートウェイと同じVLANを持っている必要があります。アクセススイッチには、管理VLAN用のレイヤ3インターフェイスも追加されています。IGMP、DHCPスヌーピング、およびARPインスペクションが有効になっています。

IGMPスヌーピングは、ローカルネットワーク上のホストが、明示的に参加していないマルチキャストグループのトラフィックを受信するのを防ぎます。この機能は、アクティブマルチキャストリスナーを含まないポートからマルチキャストトラフィックをプルーニングするメカニズムをレイヤ2スイッチに提供します。

DHCPスヌーピングはグローバルにイネーブルにされ、DHCPパケットをスヌーピングするために各VLANに対してイネーブルになります。DHCPスヌーピングは、DHCPスタベーション攻撃と不正なDHCPサーバがネットワーク上で要求を処理するのを防ぎます。

ARPインスペクションはVLANの下で有効になっていますが、DHCPスヌーピングも有効になっていなければ有効になりません。ARPインスペクションは、ARPキャッシュポイズニングによって引き起こされるman-in-the-middle攻撃を停止します。

構成テンプレートで、次の構成を割り当てます。

Step 1 DHCPスヌーピングをグローバルに構成します。

dhcpv4-snooping

Step 2 アクセスVLANを設定し、DHCP/IGMPスヌーピングを有効にして、ARPインスペクションを有効にします。

vlan 100
  name MGMT
  dhcpv4-snooping
  arp inspection
  ip igmp snooping enable
vlan 101
  name EMPLOYEE
  dhcpv4-snooping
  arp inspection
  ip igmp snooping enable
...
vlan 107
  name QUARANTINE
  dhcpv4-snooping
  arp inspection
  ip igmp snooping enable

Step 3 レイヤ3インターフェイスVLANを設定します。

interface vlan 100
  description MGMT
  ip dhcp

デバイスプロファイルの構成

デバイスプロファイルはAPを動的に検出し、デバイス管理およびブリッジされたSSIDのタグ付けに適切に接続されたポートを設定します。これにより、APが接続されているポートの手動設定が不要になり、ネットワークオペレータを支援します。

デバイスプロファイルは3つのステップで適用されます。まず、ポートのタグ付けだけでなく、APを識別するロールを設定します。次に、LLDPグループを定義します。このグループは、LLDPを使用してデバイスOUIを収集し、デバイスがAruba APであるかどうかを識別します。最後に、役割とLLDPグループをデバイスプロファイル構成に関連付けます。

各アクセススイッチで、次の手順を実行します。

Step 1 Aruba-APロールを設定します。ロールを作成し、認証モードを設定し、ネイティブVLANを設定し、許可されるVLANを定義します。

port-access role ARUBA-AP
  auth-mode device-mode
  vlan trunk native 100
  vlan trunk allowed 100,101,104-107

Step 2 LLDPグループを構成します。グループを作成し、Aruba AP OUIを識別します。

port-access lldp-group AP-LLDP-GROUP
  seq 10 match vendor-oui 000b86
  seq 20 match vendor-oui D8C7C8
  seq 30 match vendor-oui 6CF37F
  seq 40 match vendor-oui 186472
  seq 50 match sys-desc ArubaOS

Step 3 デバイスプロファイルを構成します。プロファイルを作成して有効にし、前に作成したロールおよびLLDPグループに関連付けます。

port-access device-profile ARUBA_AP
  enable
  associate role ARUBA-AP
  associate lldp-group AP-LLDP-GROUP

RADIUSの構成

アクセススイッチのRADIUSサーバを設定するには、次の手順を実行します。

アクセススイッチは、ネットワークへの接続を試みるデバイスを認証します。ユーザーを認証する最も一般的な方法は、802.1xとMACベースの2つです。この設計では、両方の方式と、AAAサーバがスイッチに接続されているデバイスの認可レベルを変更できるようにする動的認可がサポートされています。

RADIUSトラッキングが有効になり、クライアントとサーバのステータスを確認できます。この構成には、拒否されたクライアントおよびRADIUS障害シナリオのユーザーロールも含まれます。

各アクセススイッチで、次の手順を実行します。

Step 1 RADIUSサーバーを構成し、RADIUS動的承認を有効にして、クライアントIPアドレスをプローブで追跡します。

radius-server host 10.2.120.94 key plaintext <Password>
radius-server host 10.2.120.95 key plaintext <Password>
radius dyn-authorization enable
client track ip update-method probe

Step 2 802.1xおよびMAC認証用にAAAを設定します。

aaa authentication port-access dot1x authenticator
	enable
aaa authentication port-access mac-auth
	enable

Step 3 ローカルユーザーロールの構成、認証モードの設定、およびVLANの設定を行います。

port-access role EMPLOYEE
    reauth-period 120
    vlan access 101
port-access role  CAMERA
    reauth-period 120
    vlan access 102
port-access role  IOT
    reauth-period 120
    vlan access 103
port-access role GUEST
    reauth-period 120
    vlan access 104
port-access role REJECT
  reauth-period 120
  vlan access 105
port-access role CRITICAL
  reauth-period 120
  vlan access 106
port-access role QUARANTINE
    reauth-period 120
    vlan access 107

Step 4 アクセスポートでAAA認証を設定します。クライアントの制限の設定、802.1x/MAC認証の構成、認証順序の設定、および重要な役割と拒否の役割の構成を行います。EAPOLタイムアウト、最大要求、最大再試行のデフォルトを調整します。

interface 1/1/1
  description ACCESS_PORT 
  no shutdown
  no routing
  vlan access 1 
  aaa authentication port-access client-limit 5
  aaa authentication port-access auth-precedence dot1x mac-auth
  aaa authentication port-access critical-role CRITICAL
  aaa authentication port-access reject-role REJECT
  aaa authentication port-access dot1x authenticator
    eapol-timeout 30
    max-eapol-requests 1
    max-retries 1
    enable
  aaa authentication port-access mac-auth
   enable

スパニングツリーの構成

ループ防止メカニズムとして、各アクセススイッチでスパニングツリーがグローバルに有効になります。管理エッジ、ルートガード、BPDUガード、およびTCNガードなどの補助機能は、適切なインターフェイスで有効になり、スパニングツリーが効果的に実行されるようにします。

各アクセススイッチで、次の手順を実行します。

Step 1 スパニングツリーをグローバルに設定し、アクセスVLANに対してVLAN単位の高速スパニングツリーを有効にします。

spanning-tree mode rpvst
spanning-tree
spanning-tree priority 8
spanning-tree vlan 100-107

Step 2 スパニングツリー機能を設定します。

interface 1/1/1
  description ACCESS_PORT 
  no shutdown
  no routing
  vlan access 1 
  spanning-tree bpdu-guard
  spanning-tree port-type admin-edge 
  spanning-tree root-guard 
  spanning-tree tcn-guard
  loop-protect
  loop-protect action tx disable

Step 3 最終的なアクセスポートの設定は次のようになります。

interface 1/1/1
  description ACCESS_PORT 
  no shutdown
  no routing
  vlan access 1 
  spanning-tree bpdu-guard
  spanning-tree port-type admin-edge 
  spanning-tree root-guard 
  spanning-tree tcn-guard
  loop-protect
  loop-protect action tx disable
  aaa authentication port-access client-limit 5
  aaa authentication port-access auth-precedence dot1x mac-auth
  aaa authentication port-access critical-role CRITICAL
  aaa authentication port-access reject-role REJECT
  aaa authentication port-access dot1x authenticator
    eapol-timeout 30
    max-eapol-requests 1
    max-retries 1
    enable
  aaa authentication port-access mac-auth
   enable

Step 4 各アクセスポートに対してインターフェイス構成を繰り返します。

集約アップリンクポートの構成

各スイッチには、両方のゲートウェイへのアップリンク接続があります。各アップリンクは、許可されたVLANが100～107のトランクです。トランクのネイティブVLANはVLAN 100です。各アップリンクでは、DHCPスヌーピング信頼が許可され、ARP検査信頼が有効になっています。

1.アップリンクインターフェイスを設定し、ネイティブVLANと許可されたVLANをトランクに設定します。

interface 1/1/24
  description Uplink_GW
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100-107
interface 2/1/24
  description Uplink_GW
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100-107

Step 2 ARP検査信頼とDHCPスヌーピング信頼を構成します。

interface 1/1/24
  description Uplink_GW
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100-107
  arp inspection trust
  dhcpv4-snooping trust
interface 2/1/24
  description Uplink_GW
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100-107
  arp inspection trust
  dhcpv4-snooping trust

集約ダウンリンク・ポートの構成

アグリゲーションスイッチには、ダウンストリームアクセススイッチに向かうLAGがあり、ページにはVLAN 100～107が含まれている必要があります。トランクのネイティブVLANはVLAN 100です。各アップリンクには、アクセススイッチがZTPにアクセスできるようにLACPフォールバックも設定する必要があります。

各アクセススイッチで、次の手順を実行します。

Step 1 LAGを設定します。DHCPスヌーピングとARPインスペクションをイネーブルにし、ネイティブVLANと許可されたVLANをLAGに設定します。

interface lag 1
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100-107
  arp inspection trust
  dhcpv4-snooping trust
  lacp mode active
  lacp fallback-static
interface lag 2
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100-107
  arp inspection trust
  dhcpv4-snooping trust
  lacp mode active
  lacp fallback-static

Step 2 アクセススイッチのダウンリンクインターフェイスを設定します。

interface 1/1/21
  description ACCESS_SW01
  no shutdown
  no routing
  lag 1
interface 1/1/22
  description ACCESS_SW02
  no shutdown
  no routing
	lag 2
interface 2/1/21
  description Uplink_1
  no shutdown
  no routing
  lag 1
interface 2/1/22
  description Uplink_2
  no shutdown
  no routing
	lag 2

アクセスアップリンクポートの構成

各スイッチには、集約スイッチへのLAG(Link Aggregation Group)接続があります。各アップリンクは、許可されたVLANが100～107のトランクです。トランクのネイティブVLANはVLAN 100です。各アップリンクでは、DHCPスヌーピング信頼が許可され、ARP検査信頼が有効になっています。

各アクセススイッチで、次の手順を実行します。

Step 1 LAGを設定します。DHCPスヌーピングとARPインスペクションをイネーブルにし、ネイティブVLANと許可されたVLANをLAGに設定します。

interface lag 1
  no shutdown
  no routing
  vlan trunk native 100
  vlan trunk allowed 100-107
  arp inspection trust
  dhcpv4-snooping trust
  lacp mode active

Step 2 アップリンクインターフェイスを構成します。

interface 1/1/23
  description Uplink_1
  no shutdown
  no routing
  lag 1
interface 1/1/24
  description Uplink_2
  no shutdown
  no routing
	lag 1

テンプレート構成の適用

テンプレート設定を作成したら、それをCentralデータベースに配置する必要があります。この手順では、設定テンプレートをCentralデータベースに取り込む手順を順を追って説明します。

Step 1 Global > Groupsに移動します。 GroupsリストでBR-ECE-SDW-Mを選択します。

Step 2 右上のSwitchesページで、 Configをクリックします。

Step 3 右上のSwitches Templateeセクションで、+（プラス記号）をクリックします。

Step 4 Basec InfoセクションのAdd Templateウィンドウで、次の設定を割り当て、Nextへをクリックします。

• Template Name: AGG-BR-Config
• Device Type: Aruba CX
• Model: 6300
• Part Name: All
• Version: All

Step 5 Edit Templateセクションで、アクセス設定をボックスに貼り付け、SAVEをクリックします。

Step 6 右上のSwitches Templateセクションで、+（プラス記号）をクリックします。

Step 7 Basic InfoセクションのAdd Templateウィンドウで、次の設定を割り当て、Nextをクリックします。

• Template Name: ACC-BR-Config
• Device Type: Aruba CX
• Model: 6200
• Part Name: All
• Version: All

Step 8 Edit Templateセクションで、Access Configurationをボックスに貼り付け、SAVEをクリックします。

アクセススイッチ変数のアップロード

アクセススイッチの変数をCentralデータベースにアップロードするには、次の手順を実行します。

Step 1 Devices > Switchesページで、Variablesタブを選択し、DOWNLOAD SAMPLE VARIABLES FILESをクリックします。

Step 2 エディタでCSVファイルを開き、各変数に適切な値を入力し、変更済み列にYと入力します。 コンピュータ上にファイル保存します。

Step 3 Variablesタブで、 Upload Variables Filesをクリックし、手順2で保存したCSVファイルをコンピューターで見つけ、 Openをクリックします。

Step 4 Devices > Switches > Listに移動し、スイッチがIn syncであることを確認します。

サイトへのスイッチの割り当て

次の手順では、スイッチをサイトに割り当てます。サイトの作成については、ガイドの”展開の準備”のセクションを参照してください。

Step 1 Organizationに移動し、Siteを選択します

Step 2 Unassignedデバイスを選択し、Nameフィルターを使用してスイッチを検索します。

Step 3 Shiftクリックして複数のスイッチを選択し、適切なサイトにドラッグします。

Step 4 確認ポップアップが表示されたら、Yesをクリックします。