Como configurar VLANs de gerenciamento para switches e pontos de acesso Omada (para cenário empresarial)
07-17-2024
82587Conteúdo
Introdução
Este artigo demonstrará como configurar VLANs de gerenciamento separadas para switches e APs, mantendo a VLAN padrão (alterando seu ID de VLAN e IP de sub-rede) para os clientes, a qual ficará isolada das VLANs de gerenciamento. O método para adicionar novos dispositivos a uma rede em produção também será apresentado.
Ao configurar uma rede, muitos clientes desejam alterar as VLANs de gerenciamento do Controlador, do gateway, dos APs e dos switches, definindo outra VLAN específica para os clientes. Dessa forma, diferentes tipos de dispositivos são gerenciados em redes isoladas, impedindo que os usuários e clientes conectados acessem as interfaces dos equipamentos, o que eleva significativamente a segurança da rede.
Este guia é ideal para configurações de redes corporativas e comerciais, incluindo o método para integrar novos dispositivos a uma infraestrutura que já está em funcionamento. Para um cenário residencial simples ou de pequeno escritório (SOHO), consulte o artigo Como configurar VLANs de Gerenciamento para Switches e APs Omada (Cenário SOHO).
Geralmente, as topologias seguem o modelo abaixo, utilizando o switch core para processar todo o roteamento de Camada 3 e hospedar o servidor DHCP, enquanto o gateway fica responsável apenas por receber e direcionar o tráfego de Internet para o switch core:
Como mostrado na topologia, o objetivo final é desativar o uso da VLAN 1 na rede de produção, definir a VLAN 20 para uso dos clientes (onde todos obterão endereços IP no escopo 192.168.20.0/24), configurar a VLAN 30 para o gerenciamento dos switches (com IPs em 192.168.30.0/24) e a VLAN 40 para a gerência dos APs (com IPs em 192.168.40.0/24). Para o roteador, Switch Core e Controlador, a rede permanecerá como a padrão de fábrica, porém alterando seu ID de VLAN para 50, permitindo também customizar seus endereços IP.
Requisitos
- Controlador Omada (Software Controller / Hardware Controller / Omada Cloud-Based Controller, V6.0 e superior)
- Switches Omada Smart, L2+ e L3
- APs Omada
- Gateway Omada
Configuração
Passo 2. Criar as Redes de VLAN necessárias.
Primeiro, criaremos a rede dos clientes (VLAN 20), a rede de gerência dos switches (VLAN 30), a rede de gerência dos APs (VLAN 40) e a rede de gerência do switch core (VLAN 50). Acesse Network Config > Network Settings > LAN > VLAN e clique em +Add para criar uma nova interface de rede LAN.
Abaixo está o exemplo de parametrização da Rede dos Clientes (VLAN 20): defina o campo DHCP Server Device para o seu Core Switch, mude o DHCP Mode para DHCP Server e configure os escopos de IP Address/Subnet, DHCP Range, DNS Server e Default Gateway (neste exemplo, utilizei respectivamente 192.168.20.1/24, 192.168.20.0/24, 8.8.8.8, 1.1.1.1 e 192.168.20.1). Clique em Next para avançar à tela Select Device Port, selecione Skip e depois Apply para salvar e aplicar a regra.
Em seguida, crie as redes SW MGMT (VLAN 30), AP MGMT (VLAN 40) e Core MGMT (VLAN 50) seguindo o mesmo procedimento.
Nota importante: As redes de gerência dos switches (SW MGMT) e dos pontos de acesso (AP MGMT) devem obrigatoriamente ser configuradas com a opção DHCP Option 138 ativa.
A DHCP Option 138 serve para informar aos dispositivos qual é o endereço IP do Controlador Omada durante o processo de requisição do IP via DHCP. Essa configuração é indispensável porque os equipamentos passarão a operar em sub-redes e VLANs diferentes do Controlador, necessitando da Option 138 para localizá-lo na rede através de roteamento e manter o status de adotado.
Neste exemplo prático, a DHCP Option 138 foi preenchida com o valor IP 192.168.50.100, endereço que será fixado no Controlador nas etapas a seguir.
O resultado final da tabela de sub-redes deverá ficar estruturado da seguinte forma:
Passo 3. Configurar a porta física do Switch Core que se conectará ao Controlador.
Vá em Device Config > Switch > Switch Ports > Port Settings e clique em Edit na porta que será dedicada à conexão do Controlador (recomenda-se escolher uma porta diferente da que está em uso no momento do laboratório). Após alterarmos a VLAN de gerência do Switch Core, mudaremos o cabo físico do Controlador para esta nova porta configurada.
Neste exemplo, o Controlador passará a operar na porta 9 do switch, portanto modificaremos o perfil associado à porta 9.
Defina o campo Native Network para Core MGMT, altere a opção Network Tags Setting para Block All e clique em Apply para salvar a regra da porta.
Passo 4. Alterar a VLAN de Gerenciamento do Switch Core.
Acesse Devices > Device List, clique sobre o seu Core Switch e selecione o menu Manage Device para abrir sua janela de configurações privadas. Em seguida, navegue até a aba Config > VLAN Interface e clique no ícone de edição (Edit) correspondente à linha da rede Core MGMT.
Marque a caixa de seleção Management VLAN para habilitá-la como a rede de gerência ativa, configure o campo do servidor DNS em DNS Server, mude o DHCP Mode para None e clique em Save para gravar as alterações.
Passo 5. Alterar os endereços IP do Controlador e do computador de gerência.
A partir deste momento, o endereço IP de gerência do Switch Core mudará para o escopo 192.168.50.1/24. Consequentemente, precisamos configurar o Controlador e o PC de gerência com IPs estáticos dentro dessa mesma sub-rede para reestabelecer o acesso.
Para fixar o IP estático no controlador em hardware:
Alterne para a Global View (Visualização Global) do Omada e vá em Settings > Controller Settings. Altere o campo Network Settings para Static e preencha os parâmetros obrigatórios em IP Address (neste exemplo, fixamos o IP 192.168.50.100), Gateway e DNS Server. Por fim, clique em Save.
Concluída a alteração do IP do Controlador, você deve modificar as propriedades da placa de rede do seu PC de gerência, setando um IP fixo na mesma sub-rede, como 192.168.50.101. Conectado na sub-rede correspondente, digite o novo IP do controlador em hardware no seu navegador para recuperar o acesso à interface Web do Omada.
Passo 6. Conectar o Controlador à porta física com o perfil Native Network correspondente.
No Passo 3, alteramos a Native Network da porta 9 do Switch Core para responder à VLAN Core MGMT. Agora, com os IPs do Controlador e do PC devidamente atualizados, mude o cabo físico do Controlador para a porta 9 para garantir que os pacotes trafeguem de forma correta e o Switch Core volte ao status de conectado pelo Controlador.
Passo 7. Configurar a rede padrão (Default Network).
Acesse o menu Network Config > Network Settings > LAN > VLAN, selecione a linha correspondente à rede Default e clique no botão de edição (Edit).
Alteraremos o ID de VLAN e a sub-rede IP para que a rede padrão do sistema deixe de utilizar a VLAN 1 nativa por questões de segurança. Neste exemplo, mudaremos o ID para VLAN 10 e definiremos as opções avançadas de DHCP Settings Overrides para o modo Manual.
No campo do escopo Gateway/Subnet, preencha com a faixa de IPs 192.168.10.x/24 (neste exemplo, fixamos o IP do gateway como 192.168.10.2, o que auxiliará o Controlador Omada a mapear o Gateway da rede em etapas futuras).
Caso você utilize um roteador ou gateway de outro fabricante, preencha com o IP correspondente dele neste campo.
Por fim, mude o status do DHCP Server para desativado (desmarcado).
O sumário da tabela de VLANs exibirá a alteração conforme abaixo:
Passo 8. Configurar o Switch Core como o servidor DHCP ativo para a Default Network (VLAN 10).
Vá em Devices > Device List, abra o menu lateral de gerenciamento do Core Switch clicando em Manage Device, navegue até a aba Config > VLAN Interface e clique em Edit na linha da rede Default.
Mude o campo IP Address/Mode para Static e a opção DHCP Mode para DHCP Server. Configure os parâmetros de IP Address, DHCP Range, preencha o IP do controlador (192.168.50.100) no campo DHCP Option 138 e o gateway em Default Gateway (neste exemplo prático, preenchemos respectivamente com 192.168.10.1, 192.168.10.0/24, 192.168.50.100 e 192.168.10.1). Ajuste o DNS Server e clique em Save para salvar.
Passo 9. Conectar e adotar todos os demais switches e pontos de acesso da rede.
Conectados à rede, os novos switches de acesso e APs receberão automaticamente endereços IP distribuídos no escopo da rede Default (VLAN 10, sub-rede 192.168.10.0/24). Prossiga com a adoção de todos os equipamentos na lista de dispositivos. 
Passo 10. Configurar a VLAN de Gerenciamento para os switches de acesso.
Na Device List, clique sobre o switch de acesso desejado e abra o painel privado em Manage Device. Navegue até a aba Config > VLAN Interface, mude a chave da rede SW MGMT para ativada e clique no ícone de edição (Edit).
Marque a caixa de seleção Management VLAN para definir esta interface de VLAN como a rede de gerência oficial do equipamento. Se desejar, configure os endereços de redundância nos campos Fallback IP e Fallback Gateway (parâmetros de segurança acionados caso o switch falhe em obter um IP dinâmico via DHCP, preservando o acesso à gerência). Neste exemplo, fixamos 192.168.30.10 e 192.168.30.1. Clique em Save.
Na caixa de diálogo que será exibida em seguida, marque a opção Disable the interface of the previous management VLAN (Desativar a interface de VLAN de gerenciamento anterior) para que o sistema remova o acesso de gerência pela rede anterior de forma automática.
Aguarde alguns instantes para que as novas diretrizes sejam provisionadas no switch. Assim que o provisionamento for concluído, o endereço IP do switch mudará de forma dinâmica para responder dentro do escopo da rede SW MGMT.
Passo 11. Configurar a VLAN de Gerenciamento para os pontos de acesso (APs).
Na Device List, clique sobre o AP desejado, selecione Manage Device para abrir o menu de gerência lateral e vá na aba Config > General.
Mude o campo de seleção da opção Management VLAN para o modo Custom e altere a caixa de seleção do campo LAN Network para responder como AP MGMT.
Aguarde o término do provisionamento do AP. Concluída a atualização, note que o endereço IP do ponto de acesso mudará para a sub-rede correspondente.
Caso queira estipular as credenciais de contingência de rede dos APs, acesse a aba Config > IP Settings e preencha os parâmetros de Fallback IP, máscara e Fallback Gateway (neste exemplo de laboratório, preenchemos respectivamente com 192.168.40.10, 255.255.255.0 e 192.168.40.1).
Passo 12. Configurar o perfil das portas dos switches que se conectam aos hosts via cabo.
Para assegurar que todos os clientes conectados via cabo nos switches recebam endereços IP vindos estritamente da rede dos clientes, precisamos redefinir o perfil de VLAN das portas de acesso downlink dos switches que se conectam aos computadores e hosts finais.
Acesse Device Config > Switch > Switch Ports, selecione as caixas correspondentes a todas as portas downlink de acesso de clientes e clique no botão Edit Selected para efetuar a alteração em lote.
Mude o campo Native Network dessas portas para responder como Client, altere a opção Network Tags Setting para o modo Block All e clique em Apply para gravar as novas propriedades.
Passo 13. Configurar a rede sem fio (SSID) para os clientes Wi-Fi.
Acesse a aba Network Config > Network Settings > WLAN > SSID e clique no botão + Create New Wireless Network.
Defina o nome da rede sem fio (SSID), estipule a senha de segurança e expanda o menu de configurações avançadas (Advanced Settings). Mude a opção VLAN para o modo Custom, selecione By Network no campo Add VLAN e escolha a rede Client criada anteriormente.
Clique em Apply para salvar a nova rede Wi-Fi.
Passo 14. Criar Grupos de IP e Regras de ACL para impedir que os clientes tenham acesso lógico à gerência dos equipamentos.
Como a infraestrutura de laboratório utiliza o Switch Core atuando como o servidor DHCP ativo, as sub-redes não constarão mapeadas diretamente no menu clássico de seleção de redes (Network) das regras de ACL de Switch. Portanto, criaremos primeiro Grupos de IP (IP Groups) correspondentes às sub-redes e, em seguida, aplicaremos as regras de ACL com base nesses grupos criados.
Acesse Network Config > Profile > Groups e clique em + Create New Group.
Crie um grupo de IP individual para cada uma das sub-redes ativas. Neste exemplo prático, criaremos cinco grupos: Default, Client, SW MGMT, AP MGMT e Core MGMT.
Dê um nome para identificar o grupo, altere o campo Type para IP Group e insira o endereço de rede da respectiva sub-rede no campo IP Subnet. Como exemplo, o escopo preenchido para a rede Default será 192.168.10.0/24. Clique em Apply para salvar.
A listagem final de Grupos de IP exibirá as cinco faixas mapeadas da seguinte maneira:
Em seguida, navegue até a aba Network Config > Security > ACL > Switch ACL e clique no botão + Create New Rule para estruturar a diretriz de bloqueio de Firewall.
Dê um nome descritivo para a regra no campo Description, mude a opção Policy para o modo Deny (Negar) e selecione All no campo de protocolos (Protocol). Tanto para a origem (Source) quanto para o destino (Destination), altere o tipo de seleção para IP Group. Mapeie o grupo Client como a origem (Source) da regra e selecione todos os demais grupos de gerência (Default, SW MGMT, AP MGMT e Core MGMT) como o destino (Destination). Conclua salvando e aplicando a regra clicando em Create.
Com esta regra de Switch ACL ativa, assim que os dispositivos dos clientes se conectarem (seja via cabo ou Wi-Fi) e receberem IPs dinâmicos no escopo 192.168.20.0/24, os switches descartarão de forma imperativa qualquer pacote destinado aos IPs das sub-redes de infraestrutura, blindando o ambiente contra acessos indesejados.
Passo 15. Adotar o Gateway de Borda no Controlador Omada (Caso utilize um Gateway Omada).
Se a sua infraestrutura de borda utiliza um Gateway oficial da linha Omada, você pode integrá-lo ao controlador para centralizar a gerência. Contudo, como alteramos o ID da VLAN padrão da nossa LAN interna para responder como VLAN 10 e o Gateway Omada vem de fábrica com o DHCP ativado distribuindo IPs na faixa padrão 192.168.0.1, ocorrerá um conflito lógico impedindo que o controlador adote o roteador de forma direta. Sendo assim, efetuaremos uma pré-configuração local na interface Web standalone do gateway antes de integrá-lo ao Omada.
Conecte um computador diretamente ao gateway e acesse o endereço 192.168.0.1 no navegador. Concluído o assistente inicial de criação de senha do roteador, vá até o menu Network > LAN > LAN e clique em Edit na linha da rede local padrão.
Modifique o ID de VLAN desta interface local para responder como VLAN 10 e mude o campo do endereço IP para a faixa 192.168.10.x/24 (neste exemplo de laboratório, fixamos o IP interno do roteador como 192.168.10.2). Como a distribuição de IPs na rede interna já está sendo processada de forma centralizada pelo servidor DHCP do Switch Core, desative o servidor DHCP interno do gateway desmarcando a opção Enable contida na seção DHCP. Salve clicando em OK.
Concluída a alteração do IP do roteador, lembre-se de readequar o IP estático da placa de rede do seu PC para o escopo 192.168.10.x/24 (por exemplo, fixando 192.168.10.100) para conseguir restabelecer o acesso à interface Web standalone do gateway.
Na interface do gateway, navegue até o menu System Tools > Controller Settings, preencha o IP do Controlador Omada (192.168.50.100) dentro do campo Inform URL/IP Address e salve clicando em Save.
Para assegurar que o gateway saiba como encaminhar os pacotes destinados à rede do Controlador (que opera em outra sub-rede), precisamos criar uma rota estática local no roteador. Acesse o menu Transmission > Routing > Static Route e clique em Add para adicionar uma nova diretriz de roteamento.
Preencha o campo Destination IP com a sub-rede do Controlador (192.168.50.0/24 ou o IP específico 192.168.50.100) e configure o campo Next Hop apontando para o IP da interface da Default Network configurada no Switch Core (192.168.10.1). Selecione LAN no campo de interface e conclua salvando em OK.
Concluídas as etapas de preparação standalone do roteador, reconecte o cabo físico do gateway a uma das portas do Switch Core cujo perfil esteja associado à rede Default (VLAN 10). O roteador passará a constar na lista de dispositivos do controlador exibindo seu IP atualizado 192.168.10.2 com o status pendente. Prossiga com a adoção inserindo as credenciais locais que você havia configurado no passo anterior.
Passo 16. Configurar a rota estática padrão (Default Route) no Switch Core.
Independentemente de você utilizar um Gateway oficial Omada ou um roteador de borda de outro fabricante, é fundamental criar uma rota estática padrão no Switch Core direcionando todo o tráfego com destino à Internet para o IP do gateway. Como o Switch Core centraliza todo o roteamento de Camada 3 do ambiente, atuando como o gateway padrão de todas as sub-redes internas, ele precisa saber para onde encaminhar os pacotes cujo destino final seja externo à rede corporativa.
Na Device List, clique sobre o seu Core Switch, abra o menu lateral em Manage Device e vá até a aba Config > Routing > Static Route, clicando no botão + Add.
Mude a chave da opção Status para ativada (Enable). Como esta rota processará todo e qualquer tráfego com destino à rede externa (Internet), preencha o campo de escopo global Destination IP/Subnet com os valores padrão de rota nula 0.0.0.0/0 e aponte o campo Next Hop para o endereço IP do gateway de borda (192.168.10.2). Mantenha a distância administrativa em 1 e aplique clicando em Apply.
Estabelecido o direcionamento de saída no Switch Core, precisamos criar as rotas estáticas reversas correspondentes no gateway de borda para assegurar que os pacotes de resposta vindos da Internet consigam retornar corretamente para as sub-redes internas gerenciadas pelo switch.
As sub-redes que trafegam na infraestrutura são 192.168.10.0/24, 192.168.20.0/24, 192.168.30.0/24, 192.168.40.0/24 e 192.168.50.0/24. Como a interface LAN do próprio gateway já possui IP nativo na rede 192.168.10.0/24, ela dispensa uma rota manual. Sendo assim, criaremos quatro rotas estáticas reversas no gateway apontando o campo Next Hop para o IP da interface padrão do Switch Core (192.168.10.1).
Caso utilize um roteador de outra marca na borda, configure as quatro rotas estáticas na interface administrativa dele. Se você utiliza um Gateway Omada e concluiu sua adoção no passo anterior, siga as orientações descritas no Passo 17 para criar as rotas estáticas centralizadas por meio da interface do controlador.
Passo 17. Configurar as rotas estáticas no Gateway de Borda através do Controlador Omada.
Acesse o menu Network Settings > Transmission > Routing > Static Route e clique no botão Create New Route (Criar Nova Rota).
Como criáramos a rota de retorno para a sub-rede do controlador (192.168.50.0/24) localmente na preparação standalone do roteador, precisaremos adicionar apenas as três rotas estáticas reversas remanescentes nesta tela.
Preencha o campo Destination IP/Subnet das novas rotas de forma individualizada com os escopos das sub-redes 192.168.20.0/24, 192.168.30.0/24 e 192.168.40.0/24. Mude o tipo da rota para o modo Next Hop e preencha o campo de endereço com o IP da interface do Switch Core (192.168.10.1). Conclua a gravação de cada uma das rotas clicando em Create.
A listagem consolidada de rotas estáticas reversas do gateway exibirá a estrutura conforme abaixo:
Passo 18. Adicionar novos switches e pontos de acesso adicionais à rede. (Opcional)
Para expandir a rede adicionando novos switches ou APs futuramente, basta conectá-los fisicamente a portas de switches cujos perfis estejam associados à rede Default (com a opção Network Tags Setting configurada como Allow All). Os novos equipamentos receberão automaticamente IPs dinâmicos distribuídos pelo servidor DHCP na sub-rede padrão (192.168.10.0/24) e constarão pendentes para adoção na lista de dispositivos. Uma vez adotados, basta repetir os passos descritos anteriormente para isolar suas respectivas VLANs de gerenciamento.
Verificação
Concluídas as configurações de infraestrutura, cada categoria de equipamento de rede passa a operar e responder de forma isolada dentro de sua respectiva VLAN de Gerenciamento dedicada.
Um computador cliente conectado via cabo de rede a uma das portas downlink do switch de acesso recebe com sucesso o IP distribuído dentro do escopo da VLAN dos clientes (sub-rede 192.168.20.0/24):
Um dispositivo móvel (smartphone) associado à rede Wi-Fi corporativa recebe adequadamente um endereço IP alocado dentro do escopo da VLAN dos clientes (sub-rede 192.168.20.0/24):
Efetuando testes de varredura ou ping a partir de um host de cliente, as requisições destinadas aos IPs das sub-redes de gerência dos equipamentos e do controlador falharão devido ao bloqueio ativo por Switch ACL, garantindo a segurança do perímetro:
Conclusão
Até aqui apresentamos o guia detalhado para estruturar o planejamento de sub-redes de uma infraestrutura corporativa de larga escala, utilizando VLANs dedicadas e independentes para gerenciar gateways, switches core, switches de acesso e pontos de acesso, isolando e blindando o tráfego dessas redes contra acessos originados pela VLAN dos clientes. Os métodos para integrar e provisionar novos dispositivos a redes ativas e compatibilizar gateways Omada ou de terceiros ao ecossistema também foram documentados.
Para saber mais detalhes de cada função e configuração, por favor acesse o Centro de Downloads para baixar o manual do seu produto.
