Guia de Configuração de VLAN de Gerenciamento Omada para Redes Empresariais

Sumário

Introdução

Requisitos

Configuração

Parte 1. Preparar o ambiente VLAN de gerenciamento

Parte 2. Implantar VLANs de gerenciamento e configurar o acesso do cliente

Parte 3. Configurar a integração do gateway e o roteamento entre VLANs

Verificação

Conclusão

Introdução

Este artigo explica como implementar VLANs de gerenciamento separadas para switches e pontos de acesso (APs) Omada, utilizando uma VLAN dedicada para clientes. A VLAN padrão é reconfigurada alterando seu ID e máscara de sub-rede, permitindo que os dispositivos clientes permaneçam isolados da rede de gerenciamento. Este guia também aborda como adicionar novos dispositivos a uma rede de produção existente sem interromper o serviço.

Em muitas implementações empresariais, os administradores separam o tráfego de gerenciamento do controlador, gateway, switches e pontos de acesso do tráfego do cliente. Ao colocar dispositivos de infraestrutura e dispositivos de cliente em VLANs diferentes, os usuários não podem acessar diretamente as interfaces de gerenciamento dos dispositivos de rede, melhorando a segurança da rede e simplificando o gerenciamento da rede.

Este guia destina-se a implantações de redes empresariais e inclui o procedimento recomendado para integrar novos dispositivos a uma rede existente. Para ambientes menores ou escritórios domésticos, consulte Como configurar VLANs de gerenciamento para switches e pontos de acesso Omada (para cenários SOHO).

Abaixo, é apresentada uma topologia típica de rede empresarial. Neste projeto, o switch central realiza o roteamento de Camada 3 e atua como servidor DHCP para todas as VLANs. O gateway é responsável apenas pelo roteamento do tráfego entre a rede interna e a Internet.

Conforme mostrado na topologia, a rede será configurada da seguinte forma:

• VLAN 20 – VLAN do cliente (192.168.20.0/24)
• VLAN 30 – VLAN de gerenciamento do switch (192.168.30.0/24)
• VLAN 40 – VLAN de gerenciamento de AP (192.168.40.0/24)
• VLAN 50 – Switch principal/Controlador/PC de gerenciamento (192.168.50.0/24)

A VLAN 1 foi removida do uso em produção. O gateway, o switch principal e o Controlador Omada continuam a usar a rede de gerenciamento padrão, mas seu ID de VLAN foi alterado para um novo valor. Seus endereços IP de gerenciamento também podem ser modificados conforme necessário.

Requisitos

• Controlador Omada (Controlador de Software / Controlador de Hardware / Controlador Omada baseado em Nuvem, versão 6.2 e superior)
• Comutadores Omada Smart, L2+ e L3
• APs Omada
• Gateway Omada

Configuração

Parte 1. Preparar o ambiente VLAN de gerenciamento

Etapa 1.Conecte o Controlador de Hardware e adote o Switch Principal

Conecte o controlador de hardware ao switch principal e, em seguida, conecte o PC de gerenciamento ao controlador de hardware. Prossiga com a adoção do switch principal por meio do controlador de hardware.

Como o servidor DHCP ainda não foi configurado, tanto o switch principal quanto o controlador de hardware estão usando endereços IP de fallback:

• Comutador principal: 192.168.0.1
• Controlador de hardware: 192.168.0.253

Configure o computador de gerenciamento com um endereço IP estático na sub-rede 192.168.0.0/24 (por exemplo, 192.168.0.100) para que ele possa acessar o controlador de hardware. Após a conexão, prossiga com o processo de adoção do dispositivo.

Etapa 2. Crie as redes VLAN necessárias

Primeiro, crie a Rede Cliente (VLAN 20), a Rede de Gerenciamento de Software (VLAN 30), a Rede de Gerenciamento de Pontos de Acesso (VLAN 40) e a Rede de Gerenciamento Central (VLAN 50). Acesse Configuração de Rede > Configurações de Rede > LAN > VLAN e clique em +Adicionar para criar uma nova rede LAN.

O exemplo a seguir mostra a configuração da Rede do Cliente (VLAN 20).

Configure o dispositivo servidor DHCP para Switch principal e o modo DHCP para Servidor DHCP. Em seguida, configure o endereço IP/máscara de sub-rede, o intervalo DHCP, os servidores DNS e o gateway padrão.

Neste exemplo, as seguintes configurações são utilizadas:

• Endereço IP/Máscara de sub-rede: 192.168.20.1/24
• Intervalo DHCP: 192.168.20.0/24
• Servidor DNS primário: 8.8.8.8
• Servidor DNS secundário: 1.1.1.1
• Gateway padrão: 192.168.20.1

Após inserir as configurações, clique em Avançar para prosseguir para a página Selecionar Porta do Dispositivo. Deixe a atribuição de porta inalterada clicando em Ignorar e, em seguida, clique em Aplicar para salvar e aplicar a configuração.

Em seguida, crie as redes SW MGMT, AP MGMT e Core MGMT usando o mesmo método.

Observe que as redes SW MGMT e AP MGMT devem ser configuradas com a opção DHCP 138.

A opção DHCP 138 é usada para informar aos dispositivos o endereço IP do Controlador durante o processo DHCP. Essa configuração é necessária porque, eventualmente, nem todos os dispositivos de rede estarão na mesma VLAN; eles precisam da opção DHCP 138 para descobrir o Controlador e serem adotados.

Neste exemplo, a opção DHCP 138 está definida como 192.168.50.100, e o Controlador receberá este endereço IP em etapas posteriores.

O resultado final deve ser assim:

Etapa 3. Configure a porta do switch principal para o controlador

Acesse Configuração do Dispositivo > Switch > Portas do Switch > Configurações da Porta e clique em Editar na porta que será usada para conectar o Controlador (diferente da porta atualmente em uso). Após alterar a VLAN de Gerenciamento do Switch Principal, moveremos o Controlador para esta porta.

Neste exemplo, o Controlador será movido para a porta 9, portanto, modifique o perfil da porta 9.

Defina a Rede Nativa como Core MGMT e defina a Configuração de Tags de Rede como Bloquear Tudo e clique em Aplicar para aplicar a configuração.

Etapa 4. Alterar a VLAN de gerenciamento do switch principal.

Acesse Dispositivos > Lista de Dispositivos, clique no Switch Principal e em Gerenciar Dispositivo para acessar sua página de configuração privada, depois acesse Configuração > Interface VLAN e clique em Editar para Gerenciamento do Switch Principal.

Habilite a VLAN de gerenciamento, configure o servidor DNS, altere o modo DHCP para Nenhum e clique em Salvar para aplicar a configuração.

Esta janela pop-up é uma mensagem de confirmação perguntando se você deseja alterar a VLAN de gerenciamento. Marque a opção "Desativar a interface da VLAN de gerenciamento anterior" e clique em "Ativar".

Etapa 5. Atualize os endereços IP do controlador e do PC de gerenciamento

Agora, o endereço IP do switch principal mudará para 192.168.50.1/24. Portanto, precisamos configurar o controlador e o PC de gerenciamento com endereços IP estáticos na mesma sub-rede para continuar gerenciando os dispositivos.

Para configurar um endereço IP estático no controlador de hardware:

Acesse Visão Global &> Configurações &> Configurações do Controlador, defina as Configurações de Rede como Estática e configure o Endereço IP (neste exemplo, 192.168.50.100), o Gateway e o servidor DNS. Em seguida, clique em Salvar para aplicar a configuração.

Após configurar o endereço IP do Controlador, você também precisa alterar o endereço IP do PC de gerenciamento para a mesma sub-rede do Controlador, como 192.168.50.101.

Após a atualização do endereço IP do PC de gerenciamento, insira o novo endereço IP do controlador de hardware no seu navegador para acessar novamente a interface web do controlador.

Etapa 6. Reconecte o Controlador à Porta do Switch Configurada

Na Etapa 3, alteramos a Rede Nativa da porta do Switch Central conectada ao Controlador para Core MGMT.

Agora, após alterar os endereços IP do Controlador e do PC de gerenciamento, reconecte o Controlador a esta porta para garantir a comunicação adequada entre o Controlador e o Switch Central.

Após concluir esta etapa, o Core Switch deverá ser redescoberto com sucesso pelo Controlador.

Parte 2. Implantar VLANs de gerenciamento e configurar o acesso do cliente

Etapa 1. Reconfigure a rede padrão

Acesse Configuração de Rede &>Configurações de Rede &>LAN &>VLAN, selecione Padrão e clique em Editar.

Altere o ID da VLAN e o endereço IP da sub-rede para que a Rede Padrão não use mais a VLAN 1. Neste exemplo, altere para a VLAN 10 e defina as Substituições de Configurações DHCP como Manual.

Para o Gateway/Sub-rede, defina-o como 192.168.10.x/24. Neste exemplo, está definido como 192.168.10.2, que é o endereço IP do gateway. Isso ajuda o Controlador a identificar o gateway Omada posteriormente.

Se você não possui um gateway Omada, ainda pode inserir o endereço IP do gateway aqui.

Por fim, desative o servidor DHCP.

O resultado final deverá aparecer como mostrado abaixo:

Etapa 2.Configure o switch principal como servidor DHCP para a rede padrão.

Acesse Dispositivos > Lista de Dispositivos, clique no Switch Principal e em Gerenciar Dispositivo para acessar sua página de configuração privada, depois acesse Configurar > Interface VLAN e clique em Editar para Padrão.

Configure o Modo de Endereço IP para Estático e o Modo DHCP para Servidor DHCP. Configure o Endereço IP, o Intervalo DHCP, a Opção DHCP 138 e o Gateway Padrão.

Neste exemplo, estes estão definidos como 192.168.10.1, 192.168.10.0/24, 192.168.50.100 e 192.168.10.1. Configure os servidores DNS conforme necessário e clique em Salvar para aplicar as configurações.

Etapa 3. Conecte e adote todos os switches e pontos de acesso.

Após a conexão dos switches e pontos de acesso, eles devem obter endereços IP da Rede Padrão (sub-rede 192.168.10.0/24).

Etapa 4. Configure a VLAN de gerenciamento do switch

Acesse Dispositivos > Lista de Dispositivos, clique em um switch e em Gerenciar Dispositivo para acessar sua página de configuração privada. Em seguida, acesse Configuração > Interface VLAN, habilite o Gerenciamento de Software e clique em Editar.

Marque a caixa Ativar para definir esta interface VLAN como a VLAN de Gerenciamento. Opcionalmente, configure o IP de Retorno e o Gateway de Retorno. Essas configurações são usadas quando o dispositivo não consegue obter um endereço IP via DHCP, garantindo o acesso contínuo ao gerenciamento.

Neste exemplo, eles estão definidos como 192.168.30.10, 255.255.255.0 e 192.168.30.1. Clique em Salvar.

Na janela pop-up, marque a opção Desativar a interface da VLAN de gerenciamento anterior.

Aguarde um momento para que a configuração entre em vigor. O switch pode ser reconfigurado durante esse processo. Assim que a configuração da VLAN de gerenciamento estiver concluída, você verá que o endereço IP do switch mudou para a sub-rede SW MGMT.

Etapa 5. Configure a VLAN de gerenciamento do AP

Acesse Dispositivos > Lista de Dispositivos, clique em um ponto de acesso e em Gerenciar Dispositivo para entrar na página de configuração privada dele e, em seguida, acesse Configuração > Geral.

Altere a VLAN de gerenciamento para Personalizada e defina a Rede LAN para Gerenciamento de AP.

Aguarde um momento para que a configuração entre em vigor. Assim que concluída, você verá que o endereço IP do ponto de acesso foi alterado.

Opcionalmente, você pode configurar o IP de fallback e o gateway de fallback acessando Configurações de IP. Neste exemplo, eles estão definidos como 192.168.40.10, 255.255.255.0 e 192.168.40.1.

Etapa 6. Configurar as portas do switch para a rede do cliente

Para garantir que todos os clientes com fio possam obter endereços IP da Rede do Cliente, precisamos alterar a configuração de VLAN de todas as portas de downlink nos switches que estão diretamente conectados aos dispositivos finais.

Acesse Configuração do Dispositivo > Switch > Portas do Switch, selecione as portas de downlink que estão diretamente conectadas aos dispositivos cliente e clique em Editar Selecionadas para modificar em lote seus perfis de porta.

Altere a Rede Nativa dessas portas para Cliente, defina a Configuração de Tags de Rede para Bloquear Tudo e clique em Aplicar para salvar a configuração.

Etapa 7. Configure o SSID do cliente

Acesse Configurações de Rede &>Configurações de Rede &>WLAN &>SSID e clique em +Criar Nova Rede Sem Fio.

Defina o nome e a senha da SSID e, em seguida, expanda as Configurações Avançadas. Defina a VLAN como Personalizada, selecione Por Rede em Adicionar VLAN e escolha a rede do cliente que foi criada anteriormente.

Clique em Aplicar para salvar a configuração.

Etapa 8.Criar grupos de IP e regras de ACL para isolamento de clientes

Atualmente, algumas redes utilizam o switch principal como servidor DHCP, portanto, não podem ser selecionadas como Rede nas regras de ACL do switch. Sendo assim, primeiro precisamos criar Grupos de IP e, em seguida, criar regras de ACL com base nesses Grupos de IP.

Acesse Configuração de Rede > Perfil > Grupos e clique em +Criar Novo Grupo.

Crie um grupo de IP para cada sub-rede. Neste exemplo, existem cinco sub-redes: Padrão, Cliente, Gerenciamento de Software, Gerenciamento de Pontos de Acesso e Gerenciamento Central.

Digite um nome para o grupo, defina o Tipo como Grupo IP e insira o endereço de rede de cada sub-rede em Sub-rede IP. Por exemplo, a sub-rede IP do grupo Padrão é 192.168.10.0/24. Clique em Aplicar para salvar a configuração.

O resultado final deverá aparecer como mostrado abaixo:

Em seguida, acesse Configuração de Rede &>Segurança &>ACL &>ACL do Switch e clique em +Criar Nova Regra para criar uma nova regra de ACL.

Insira um nome para a regra como Descrição, selecione Negar para Política e escolha Todos para Protocolo.

Tanto para a Origem quanto para o Destino, defina o tipo como Grupo de IP. Selecione o grupo Cliente como Origem e selecione todos os outros grupos de gerenciamento como Destino. Clique em Criar para aplicar a regra.

Com essa regra de ACL em vigor, quando os dispositivos cliente se conectarem e obtiverem endereços IP da sub-rede 192.168.20.0/24, eles não poderão acessar o Controlador Omada nem outros dispositivos Omada, aumentando assim a segurança geral da rede.

Parte 3. Configurar a integração do gateway e o roteamento entre VLANs

Etapa 1.Adote o Gateway no Controlador Omada (Opcional)

Se você tiver um gateway Omada, também poderá adotá-lo no controlador Omada para melhor gerenciamento. No entanto, aqui já alteramos o ID da VLAN padrão para 10, enquanto o gateway terá o servidor DHCP habilitado por padrão e se configurará como 192.168.0.1. Isso fará com que o gateway falhe na adoção, portanto, precisamos fazer algumas configurações prévias no gateway antes de adotá-lo no controlador Omada.

Acesse 192.168.0.1 para fazer login na interface web do gateway. Após a inicialização e a configuração do nome de usuário e senha, acesse Rede > LAN > LAN e clique em Editar na rede padrão.

Altere esta rede para VLAN 10 e modifique o endereço IP para 192.168.10.x/24.

Por exemplo, neste caso, ele é alterado para 192.168.10.2. Como o servidor DHCP já está habilitado no switch principal, desabilite-o no gateway desmarcando a opção "Habilitar" em "Status" na seção DHCP. Clique em "OK" para salvar a configuração.

Após alterar o endereço IP do gateway, você também precisa alterar o endereço IP do seu computador para a sub-rede 192.168.10.x/24 (por exemplo, 192.168.10.100) para acessar novamente a interface web do gateway.

Acesse Ferramentas do Sistema > Configurações do Controlador, insira o endereço IP do Controlador (192.168.50.100) em URL/Endereço IP de Informação e clique em Salvar.

Após configurar o endereço IP do Controlador, é necessário criar uma rota estática para que o gateway possa alcançar o Controlador. Acesse Transmissão > Roteamento > Rota Estática e clique em Adicionar para criar uma nova rota estática.

Defina o endereço IP de destino para o endereço IP do controlador (192.168.50.100) e configure o próximo salto como o endereço IP da interface de rede padrão do switch principal (192.168.10.1). Selecione LAN para a interface e clique em OK para criar a rota.

Após concluir a pré-configuração, conecte o gateway a uma porta do switch principal cuja rede nativa esteja definida como padrão. Você verá o gateway com o endereço IP 192.168.10.2 na lista de dispositivos. Use o nome de usuário e a senha que você configurou para adotá-lo como gateway.

Etapa 2. Configure a rota estática no switch principal.

Independentemente de estar usando um Gateway Omada, você deve configurar rotas estáticas no Switch Central e encaminhar todo o tráfego da Internet para o gateway. Isso ocorre porque todo o encaminhamento de Camada 3 é gerenciado pelo Switch Central, e o gateway padrão para cada rede é definido como o Switch Central.

Acesse Dispositivos > Lista de Dispositivos, clique em Switch Principal e Gerenciar Dispositivo para entrar na página de configuração privada e, em seguida, navegue até Configuração > Roteamento > Rota Estática. Clique em +Adicionar para adicionar uma nova rota estática.

Habilite a rota definindo o Status como Ativar. Como essa rota é usada para todo o tráfego da Internet, defina o IP/Máscara de Destino como 0.0.0.0/0 e o Próximo Salto como o endereço IP do gateway 192.168.10.2.

Para outros tipos de tráfego, o sistema sempre dará preferência a rotas mais específicas; portanto, basta definir a Distância como 1 e clicar em Aplicar para salvar a configuração.

Após configurar a rota estática no switch central, rotas estáticas reversas também devem ser configuradas no gateway para garantir que todo o tráfego da Internet seja encaminhado de volta para o switch central. No switch central, o destino é definido como 0.0.0.0/0 com um próximo salto de 192.168.10.2, portanto, rotas reversas correspondentes são necessárias no gateway.

Neste ponto, as sub-redes na rede são 192.168.10.0/24, 192.168.20.0/24, 192.168.30.0/24, 192.168.40.0/24 e 192.168.50.0/24. Como o IP da LAN do gateway pertence a 192.168.10.0/24, nenhuma rota manual é necessária para esta sub-rede. Portanto, quatro rotas estáticas são necessárias, com o próximo salto definido para 192.168.10.1, que é a interface VLAN padrão do switch principal.

Se você não estiver usando um Gateway Omada, basta configurar essas rotas estáticas no seu gateway. Se você estiver usando um Gateway Omada e ele já tiver sido adotado, siga o próximo passo para configurar as rotas estáticas no Gateway Omada através do Controlador.

Etapa 3. Configurar rotas estáticas no gateway Omada (opcional)

Acesse Configurações de rede > Transmissão > Roteamento > Rota estática e clique em Criar nova rota.

Durante a pré-configuração do gateway, uma rota estática para 192.168.50.0/24 já foi configurada. Portanto, apenas três rotas estáticas adicionais são necessárias.

Defina o endereço IP/Máscara de sub-rede de destino dessas rotas para 192.168.20.0/24, 192.168.30.0/24 e 192.168.40.0/24, respectivamente. Defina o tipo de rota como Próximo Salto e configure o endereço do próximo salto como o endereço IP da interface de rede padrão do switch principal (192.168.10.1). Clique em Criar para adicionar cada rota estática.

O resultado final deverá aparecer como mostrado abaixo:

Etapa 4. Adicionar switches e pontos de acesso adicionais (opcional)

Para adicionar mais switches e pontos de acesso à rede, basta conectá-los às portas do switch onde a Rede Nativa está definida como Padrão e a Configuração de Tags de Rede está definida como Permitir Tudo.

Eles obterão, então, endereços IP da Rede Padrão (192.168.10.0/24). Após a adoção, siga os passos anteriores para alterar a VLAN de Gerenciamento.

Verificação

Após essa configuração, o gateway, os switches e os pontos de acesso ficam em redes de gerenciamento diferentes.

O PC conectado por cabo ao switch está obtendo endereço IP da VLAN 192.168.20.0/24 do cliente:

O telefone conectado sem fio está obtendo endereço IP da VLAN 192.168.20.0/24 do cliente:

O cliente não consegue acessar os dispositivos de rede gerenciados, embora a conectividade com a Internet permaneça normal.

Conclusão

Este guia demonstrou como implantar uma rede empresarial usando VLANs de gerenciamento dedicadas para o gateway, switch principal, switches e pontos de acesso, enquanto coloca os clientes com fio e sem fio em uma VLAN de cliente separada para isolá-los da rede de gerenciamento.

Também explicou como adicionar novos dispositivos a uma rede existente e integrar um gateway Omada ou um gateway de terceiros à implementação.

Para saber mais sobre cada função e configuração, visite a Central de Downloads para baixar o manual do seu produto.