Aruba

Switches ArubaOS – Configurando VLANs

Diego DiasLeave a comment

A utilização de VLANs (Virtual Local Area Network) na rede local permite que uma rede física seja dividida em várias redes lógicas dentro de um Switch.

A partir da utilização de VLANs, uma estação não é capaz de comunicar-se com estações que não pertencem a mesma VLAN (para isto, as boas práticas sugerem a utilização de uma sub-rede por VLAN e que o tráfego passe primeiro por um roteador para chegar a outra rede [ ou utilizando um Switch Multicamada para efetuar o Roteamento]).

Uma vez que há a necessidade de separar o tráfego de cada departamento da sua empresa por VLANs, você deverá atribuir cada porta do switch para a VLAN correspondente. Geralmente a configuração de VLANs em Switches divide as portas Ethernet em 2 grupos: portas de acesso e portas de uplink.

Nos Switches ArubaOS, uma vez que a VLAN já está criada no Switch, siga a seguinte formula:

  • Para comunicação entre Switches, configure as interfaces como tagged para suas respectivas VLANs.
  • Para comunicação entre Switches e hosts/servidores/impressoras/etc,  configure as interfaces  como untagged para a sua respectiva VLAN.

A definição de tagged e untagged, tagueada e não tagueada respectivamente, vem do protocolo IEEE 802.1Q que permite utilizarmos apenas um cabo na comunicação entre os Switches, marcando cada Frame (quadro) com o ID de cada VLAN.

Configurando VLANs em Switches ArubaOS via CLI

Os Switches ArubaOS permitem a atribuição de VLANs às portas de duas maneiras:

  • Acessando a interface e informando se uma um frame será recebido e encaminhado naquela porta como untagged ou tagged;
  • Acessando a VLAN e informando diretamente nela, quais portas serão untagged ou tagged.

Ambas as formas estão corretas…

Atribuindo a VLAN em uma interface:

Switch# conf t
Switch(eth-24)# interface 10
Switch(eth-24)# untagged 2
! Configurando a interface 10 para untagged para a VLAN 2

Switch(eth-24)# interface 24
Switch(eth-24)# tagged 2,60
! Configurando a interface 24 como tagged para as VLANs 2 e 60

Atribuindo a interface em uma VLAN

Switch# configure t
 Switch(config)# vlan  1
 Switch(vlan-1)# untagged 1
 Switch(vlan-1)# exit
 ! Configurando a porta 1 na VLAN 1 como untagged
 #
 Switch(config)# vlan 2
 Switch(vlan-2)# untagged 3
 ! Configurando a porta 3 como untagged na VLAN 2
 Switch(vlan-2)# exit
 #
 Switch(config)# vlan 60
 Switch(vlan-60)# untagged 2
 ! Configurando a porta 2 como untagged na VLAN 60
 Switch(vlan-60)# exit

! Abaixo configuraremos a porta 24 pra trafego das VLANs 1, 2 e 60

Switch# conf t
 Switch(config)# vlan  1
 Switch(vlan-1)# untagged 24
 ! As boas práticas sugerem o tráfego da VLAN 1 como untagged.
 Switch(vlan-1)# exit

Switch(config)# vlan 2
Switch(vlan-2)# tagged 24
Switch(vlan-2)# exit

Switch(config)# vlan 60
Switch(vlan-60)# tagged 24
Switch(vlan-60)# exit

Perceba que a porta 24 é configurada como tagged na VLAN 2, e 60. Essa porta será a interface utilizada na comunicação entre os Switches e por isso o tráfego dessas VLANs (e será tagueado).

Verificando as portas atribuídas com o comando show vlan para a VLAN 2:

Switch # show vlan 2
 Status and Counters - VLAN Information -
VLAN 2
  VLAN ID : 2
  Name : VLAN2
  Status : Port-based
  Voice : No
  Jumbo : No
  Private VLAN : none
  Associated Primary VID : none
  Associated Secondary VIDs : none

  Port Information Mode     Unknown VLAN Status
  ---------------- -------- ------------
----------
  3               Untagged Learn        Up
  24              Tagged   Learn       Up

Dúvidas deixem um comentário.

Configurando IGMP Snooping em Switches Aruba CX

Diego DiasLeave a comment

O IGMP Snooping é um mecanismo que permite aos switches multicamada aprenderem quais portas estão conectadas a hosts multicast. Ao utilizar essa informação, o switch pode direcionar o tráfego multicast apenas para as portas onde os hosts estão conectados, evitando a inundação desnecessária da rede.

Passos para configurar o IGMP Snooping em Aruba CX:

  1. Habilitar IGMP Snooping:

No nível da VLAN:

interface Vlan10

ip igmp snooping enable

Globalmente:

(Observação): A configuração global geralmente não é recomendada, pois pode afetar todas as VLANs.

ip igmp snooping enable

  1. Configurar a versão IGMP:

IGMPv2 ou IGMPv3:

interface Vlan10

ip igmp snooping version 3

  1. Configurar grupos multicast estáticos (opcional):

Para permitir ou bloquear grupos específicos:

ip igmp snooping static group 224.0.1.1

ip igmp snooping static group 239.192.1.1 block

  1. Configurar filtros de acesso (opcional):

Para aplicar filtros de acesso aos grupos multicast:

ip igmp snooping apply access-list ACL_name

Opções adicionais:

  • fast-leave: Acelera a remoção de hosts multicast da tabela de snooping.
  • fast-learn: Acelera a adição de hosts multicast à tabela de snooping.
  • querier: Configura um switch como querier para enviar mensagens IGMP querier.
  • blocked: Impede que o switch aprenda sobre hosts multicast em uma VLAN específica.

Exemplo de configuração completa:

interface Vlan10

 ip address 10.0.10.1 255.255.255.0

 ip igmp snooping enable

 ip igmp snooping version 3

 ip igmp snooping fast-leave

Dicas adicionais:

  • Verifique a configuração: Use comandos como show ip igmp snooping para verificar a configuração de IGMP Snooping.

Swiches ArubaOS-CX 6300 e 6200: Configurando VSF

Diego DiasLeave a comment

A feature VSF é a tecnologia responsável pelo empilhamento dos Switches ArubaOS-CX família 6200 e 6300 . Uma vez que a pilha VSF é formada, todos os switches interconectados operam como um único switch virtual, com um único plano de controle. Todas as interfaces e serviços de todos os switches da pilha VSF estarão disponíveis para configuração e gerenciamento.

A funcionalidade também permite a configuração do link-aggregation distribuído, abrangendo as interfaces de vários switches individuais dentro da pilha para a formação da agregação de portas.

A configuração do VSF é bem simples e está disponível no ArubaOS-CX na versão 10.04 ou superior. Todos os membros devem rodar a mesma versão do OS-CX.

Os switches 6200 e 6300 não podem formar o VSF entre si, mas diferente modelos de switches 6300 podem formar o stack VSF.

Para a formação de um link VSF deverão ser utilizadas as interfaces de 10Gbps , 25Gbps ou 50Gbps.

Configurando o VSF

Validando a formação do VSF

SW-Access1# show vsf
MAC Address              : 64:e8:81:d8:ed:40
Secondary                :   
Topology                 : Chain
Status                   : No Split
Split Detection Method   : None
Mbr Mac Address         type           Status  
ID
--- ------------------- -------------- ---------------
1   64:e8:81:d8:ed:40   JL666A         Master
2   64:e8:81:d9:b1:00   JL666A         Member


SW-Access1# show vsf topology
          Mstr     
 +---+    +---+   
 | 2 |1==1| 1 |
 +---+    +---+

Configurando o  secondary member

A pilha não terá um membro secundário por padrão. Um membro secundário pode ser configurado a partir de membros disponíveis e será atribuído  a função de “master standy” na pilha. A funcionalidade permitirá definir qual switch assumirá a função de master, na falha do equipamento principal (o master).

Quando for configurado como secundário, um membro do stacking que já está presente na pilha será reinicializado e reintegrado à pilha como o standby.

Um membro já provisionado como standby pode ser configurado como um membro secundário. Quando o membro entrar no stacking, ele será inicializado na função de standby, sem nenhuma reinicialização adicional.

Se um membro secundário já estiver configurado e fisicamente presente na pilha e outro switch for iniciado já configurado como standby, a remoção do membro secundário anterior fará com que o ‘switch membro secundário anterior’ reinicie e entre como member.

Caso o master apresente problemas, o standby assumirá a função do master.

Abaixo, mostramos a continuidade da configuração acima, adicionando o switch 2 para a função de standby (com o stacking já formado e sem configuração de switch standby previamente) .

SW-AccessVSF(config)# show vsf
MAC Address              : 64:e8:81:d8:ed:40
Secondary                : 2
Topology                 : Chain
Status                   : No Split
Split Detection Method   : None
Mbr Mac Address         type           Status  
ID
--- ------------------- -------------- ---------------
1   64:e8:81:d8:ed:40   JL666A         Master
2   64:e8:81:d9:b1:00   JL666A         Standby


SW-AccessVSF(config)# show vsf topology
 Stdby    Mstr     
 +---+    +---+   
 | 2 |1==1| 1 |
 +---+    +---+

Caso adicionemos mais switches a pilha, o Switch 1 continuará como master e o Switch 2 como standby na pilha VSF.

Referência

ArubaOS-CX Virtual Switching Framework (VSF) Guide 6200, 6300 Switch Series

ArubaOS-CX: Entendendo o Checkpoint

Diego DiasLeave a comment

A funcionalidade checkpoint nos Switches ArubaOS-CX é um registro da configuração em execução (running-config) do switch e seus metadados referentes ao tempo.

O checkpoint pode ser utilizado pelo administrador para aplicar a configuração armazenada em um ponto de verificação (checkpoint) escolhido quando necessário, como por exemplo, para reverter para uma configuração anterior.

Os switches ArubaOS-CX são capazes de armazenar vários pontos de verificação.

Um checkpoint da configuração pode ser gerado após 5 minutos de inatividade automaticamente (após uma mudança de configuração) ou então gerado pelo usuário administrador.

Para cada alteração de configuração, o contador de tempo limite é reiniciado.

O checkpoint gerado pelo sistema possuirá o formato CP<YYYYMMDDHHMMSS>.

Já o checkpoint gerado pelo usuário poderá utilizar um nome customizado para a configuração.

Para validar a os checkpoint gerados digite:

 SW-Access1# show checkpoint list
CPC20210223231221
CPC20210224020931
startup-config

Para gerar um checkpoint digite:

SW-Access1# copy running-config checkpoint TESTE1
Configuration changes will take time to process, please be patient.
! Gerando uma checkpoint chamado TESTE1

Após mudança na configuração e o desejo de mudança para a configuração anterior do checkpoint TESTE1, digite:

SW-Access1# copy checkpoint TESTE1 running-config 
Configuration changes will take time to process, please be patient.
! Copiando o checkpoint TESTE1 para a running-config

Para validar todos os checkpoint digite:

SW-Access1#  show checkpoint list all
|NAME                                              |TYPE                |WRITER              |DATE(UTC)                     |HARDWARE  
          |IMAGE VERSION       |
|CPC20210223231221                                 |checkpoint          |System              |2021-02-23T23:12:21Z          |6300      
          |FL.10.04.3031       |
|CPC20210224020931                                 |checkpoint          |System              |2021-02-24T02:09:31Z          |6300      
          |FL.10.04.3031       |
|startup-config                                    |startup             |User                |2021-02-24T02:14:40Z          |6300      
          |FL.10.04.3031       |
|TESTE1                                            |latest              |User                |2021-02-24T02:15:24Z          |6300      
          |FL.10.04.3031       |

Todos os checkpoints gerados pelo usuário incluem um carimbo de data/hora para identificar quando um ponto de verificação foi criado.

No máximo 32 checkpoints podem ser gerados pelo usuário.

No máximo 32 checkpoint de sistema podem ser criados. Além desse limite, o checkpoint do sistema mais recente substitui o mais antigo.

Checkpoints e auto-rollback

Um recurso adicional é a reversão automática da configuração. Se antes de iniciar uma alteração na configuração, você inserir: checkpoint auto <número de minutos> e após expirar o tempo configurado, você será solicitado a confirmar as alterações. Caso contrário, ao final do período, a configuração voltará ao estado anterior ao que você configurou o checkpoint auto. Para este propósito, um ponto de verificação oculto é usado.

O principal objetivo desta opção é recuperar de um erro de configuração que desconectou você do dispositivo (especialmente se acessá-lo remotamente).

GUI

Para gerenciar o checkpoint no modo GUI:

Referências

https://community.arubanetworks.com/community-home/digestviewer/viewthread?MID=22966

https://techhub.hpe.com/eginfolib/Aruba/OS-CX_10.04/5200-6701/index.html#GUID-B43F99C4-8ADA-4934-9A6B-5DE0B20391FE.html

Switches ArubaOS – Configurando Link Aggregation (trunk)

Diego DiasLeave a comment

Os switches ArubaOS, em sua função, oferece um grande número de portas para a rede local. Com a utilização de interfaces Ethernet, isolam domínios de Broadcast e permitem uma topologia livre de loops.

Em diversos cenários, as funções básicas não são suficientes para que determinados serviços da rede local funcionem da maneira desejada.

Features, como o Link Aggregation, podem ser utilizadas para aumento de banda entre dois dispositivos ou fornecer alta-disponibilidade.

O “conceito” de agregação de portas permite o agrupamento lógico de diversas portas para incrementar a velocidade do link na comunicação full duplex entre dois dispositivos. Os links são utilizados em paralelo, provendo crescimento, expansão de banda e redundância, sem a necessidade de compra de um hardware adicional.

Por exemplo, podemos utilizar 4 portas de 1Gb em cada dispositivo para formar um link de comunicação entre 2 Switches de 4Gb.

A feature Link-Aggregation também evita os cenários com loop de quadros Ethernet entre dois dispositivos, evitando também os estados de bloqueios do Spanning-Tree para as portas agregadas, tratando-as como uma única interface. Assim para os protocolos STP, coleta SNMP e VLANs, as interfaces são tratadas como um único link lógico.

Configuração

Um ponto importante a ser levantado é que os Switches ArubaOS chamam a configuração de agregação de portas de “TRUNK”  e isso não tem relação com o conceito que outros sistemas operacionais como Comware e IOS, atribuem as portas que aceitam TAG de VLANs.

O conceito de trunk é atribuido na configuração como descrito abaixo:

ArubaOS-Switch(config)# trunk 20-23 trk1 lacp 
! Configurando as interfaces 20 a 23 para a interface TRUNK trk1 com a utilização do LACP

Os Switches ArubaOs nomeiam as interfaces Link-Aggregation como trunk e identificam cada interface TRUNK como trk[numero].

Para atribuir uma VLAN ao TRUNK, acesse a interface e diga quais VLANs são tagged e untagged:

ArubaOS-Switch(config)# vlan 220 tagged trk1
! Configurando o trafego da VLAN 220 como tagged no trk1

Cenário

Na topologia abaixo demonstramos a configuração de agregação de portas entre 2 Switches, as interfaces agregadas irão transportar as VLANs de 1 a 5.

desconecte todas as portas que você deseja adicionar ou remover do link aggregation. Depois de concluir a configuração do trunk, ative ou reconecte as portas.

Como alternativa, verifique se o STP está ativo no switch.

Comandos show

ArubaOS-Switch# show trunks

ArubaOS-Switch# show lacp

Até logo!

Switches ArubaOS: Segurança nos botões frontais

Diego DiasLeave a comment

Os switches Aruba usam botões Reset e Clear no painel frontal para permitir que os usuários reiniciem (reset) a configuração do switch para o padrão de fábrica ou para redefinir a senha do console (clear). Esses recursos criam um risco de segurança e para ambientes não controlados ao switch. Recomenda-se que os administradores desabilitem esses recursos.

É importante entender que desativar esses recursos restringe severamente as opções da equipe de TI para recuperar um switch em cenários que não se possui as credenciais de acesso.

Esses botões permitem que um simples clip de papel possa limpar as senhas (clear). O botão clear não apaga a configuração e não desliga o switch, apenas apaga as senhas.

switch(config)# no front-panel-security password-clear
switch(config)# no front-panel-security factory-reset

Observações

– Pressionar o botão Clear por um segundo redefine a(s) senha(s) configurada(s) no switch.

– Pressionar o botão Reset sozinho por um segundo faz com que o switch seja reinicializado.

– Você também pode usar o botão Reset junto com o botão Clear (Reset + Clear) para restaurar o padrão de fábrica configuração do switch.

– Para validar utilize show front-panel-security

Referências

ArubaOS-Switch Hardening Guide for 16.06

Aruba 2930F / 2930M Access Security Guide for ArubaOS-Switch

Wireless Aruba – Tipos de implementações para os Access Points

Diego DiasLeave a comment

Uma das grandes vantagens dos Access Point Aruba é a utilização do mesmo equipamento em diversos cenários, como os APs trabalhando de modo independente, ou em cluster, gerenciado por uma Controladora física, Controladora virtual ou mesmo em nuvem. Agora os Access Point podem também serem chamados de UAP (Unified Access Point) e configurados de diversas maneiras e com funções especificas dentro da arquitetura WLAN, como por exemplo:

– Campus AP (CAP): também chamado de CAP, é um típico Access Point que será conectado a uma controladora, que fará o seu gerenciamento.

– Mesh APs: São APs para Campus que usam a interface de rádio como uplink. O Mesh Portal (AP) tem uma conexão física para rede corporativa. O Mesh Point (AP) utiliza seu rádio para acesso à rede corporativa.

– Air monitors (AMs): Efetuam a varredura da rede Wifi para coletar informações de RF e IDS

– Spectrum APs (SA): São Access Points configurados (de forma temporária ou permanente) para capturar sinais de rádio para análise, como por exemplo em cenários de interferência, documentação e/ou mapeamento.

– Remote AP (RAP): Atuam de forma similar ao Campus AP, mas normalmente acessam a Internet para comunicação com a controller através de um túnel VPN. Um RAP pode também ser configurado como um Remote Mesh portal, que é basicamente um RAP com funções de Mesh portal.

– Instant APs (IAPs): não necessitam de uma controladora. Todos os IAPs na mesma sub rede irão comunicar-se e formar uma Virtual Controller (VC) então eles podem operar de forma independente de uma controladora física. 

Um ponto de atenção: tome cuidado ao converter seu Access Point em ambiente de produção. Pesquise, faça testes e alterações em ambientes de laboratório, antes de coloca-lo na rede operacional.

Referências

Aruba Certified Design Professional_ Official Certification Study Guide ( HPE6-A47)

https://blogs.arubanetworks.com/solutions/aruba-unified-ap-platform/

Aruba Instant On – Configuração através do app

Diego DiasLeave a comment

A Aruba lançou uma linha de Access Point para pequenas empresas chamada de Instant On, oferecendo visibilidade e estabilidade no acesso . O hardware utilizado é tão robusto quanto o dos IAP (ou atualmente chamados UAP), mas possui um firmware próprio dedicado para a serie. É muito importante não confundir os APs Aruba Instant On com os APs Aruba Instant. O Aruba Instant é uma solução corporativa com muitas opções e recursos avançados,  além de licenças adicionais necessárias para gerenciamento através da nuvem com o Aruba Central ou Controladora on-premises, enquanto o serviço do portal para gerenciamento do Aruba Instant On é um recurso incluso, sem custo adicional.

O Aruba Instant On é destinado a organizações menores, com menos de 100 usuários. Como o Aruba Instant On foi desenvolvido para simplificar a implementação da rede sem fio as configurações complexas para WLAN não estão disponíveis. As documentações da Aruba indicam o Instant On como ideal  para o varejo,  pequenos hotéis, hostels e escritórios.

A configuração dos APs é bem intuitiva e o administrador só precisa fornecer os nomes da rede, os números da VLAN (se houver) e as chaves pré-compartilhadas (PSK). Para os cenários com autenticação 802.1X , os APs Instant On também oferecem suporte à funcionalidade.

Um grande atrativo é a facilidade para implementação e gerenciamento – além do custo dos APs. Todo o gerenciamento é executado em nuvem através de um app ou um portal, sem licenciamento ou necessidade de controller externa (mesmo para um grupo de access points).

Entre as principais funcionalidades temos, o controle de RF (largura de canal, seleção de canal e banda 2.4Ghz e/ou 5Ghz), visibilidade/controle sobre os apps, suporte a PPPoE, Guest, Captive portal, suporte a alta disponibilidade e RADIUS proxy.

Configurando o Instant On através do App

  1. Conecte o AP Instant On, a rede com permissão de acesso à internet;
  2. Espere até as luzes do AP, estarem verde e âmbar;
  3. Baixe o app na Apple Store ou Google Play;
  4. Abra o app e siga as instruções de instalação;
  5. Para adicionar mais equipamentos conectados a rede cabeada ou via wireless clique no sinal de +;

Pronto! Já é possível gerenciar e administrar os APs através do app ou portal web https://portal.arubainstanton.com/

Referências

https://www.arubainstanton.com/products/indoor/

https://community.arubainstanton.com/t5/Blogs/Instant-On-version-1-4-is-here-and-it-is-all-about-flexibility/ba-p/1539

Click to access SO_AIO.pdf

Aruba InstantOn – Configurando PPPoE

Diego DiasLeave a comment

Em uma rede que oferece DHCP ao AP InstantOn o provisionamento é bem intuitivo e basicamente você necessita apenas utilizar o app ou efetuar o provisionamento através do portal web: http://www.comutadores.com.br/aruba-instant-on-configuracao-atraves-do-app/

Para a configuração do AP para estabelecer a conexão com o provedor atraves do PPPoE é necessário efetuar um procedimento diferente com alguns pontos de atenção:

1. A configuração do PPPoE deverá ser executada antes da integração do AP com a nuvem. Caso o AP já esteja integrado com a nuvem, a configuração do PPPoE não estará mais disponivel para modificações.

2. No entanto, se o AP perder a conectividade com a nuvem e forem detectadas falhas de PPPoE, você poderá acessar a WebUI local e atualizar as configurações novamente.

Configurando InstantOn com PPPoE

Siga as etapas abaixo para configurar o PPPoE na sua rede:

1. O Instant On AP deve estar conectado ao modem fornecido pelo provedor, mas não possui um endereço IP fornecido pelo servidor DHCP.

2. Quando o LED do AP ficar laranja sólido, o AP transmitirá um SSID InstantOn-AB:CD:EF aberto, após aproximadamente um minuto – em que AD: CD: EF corresponderá aos três últimos octetos do endereço MAC do AP.

3. Conecte seu notebook ou celular ao SSID e acesse o servidor da Web local em https://connect.arubainstanton.com. A página de configuração local da WebUI é exibida.

4. Em Endereçamento IP, selecione o botão de opção PPPoE.

5. Digite o nome de usuário e a senha do PPPoE fornecidos pelo seu provedor, nos respectivos campos.

6. Clique em Aplicar. O AP será reiniciado assim que a configuração do PPPoE for aplicada.

7. Aguarde as luzes LED piscarem em verde e laranja. Isso indica que o link PPPoE está ativo e estável. Você verá o status de integração do dispositivo agora com a mensagem ” Waiting to be onboarded.. “. Esta etapa pode levar mais cinco minutos, se o AP atualizar seu firmware durante o processo de reinicialização.

Referências

https://www.arubainstanton.com/techdocs/en/content/get-started/pppoe.htm