Cách sử dụng Omada Controller để quản lý các thiết bị Omada trên các subnet khác nhau thông qua Internet

Giới thiệu

Trong mạng doanh nghiệp, các thiết bị thường được triển khai trên các subnet khác nhau, vì vậy các thiết bị Omada và Omada Controller thường nằm trên các phân đoạn mạng khác nhau.

Khả năng adopt và quản lý thiết bị trên các subnet khác nhau cho phép quản lý tập trung mà không cần thay đổi thiết kế mạng hiện có. Tính năng này giúp đơn giản hóa việc triển khai, giảm chi phí bảo trì, đồng thời cải thiện khả năng mở rộng và hiệu quả vận hành. Đây là một tính năng quan trọng đối với các môi trường mạng phân tán, mạng campus và hệ thống nhiều chi nhánh.

Bài viết này giới thiệu các phương thức khác nhau để adopt thiết bị trên các subnet khác nhau thông qua Internet khi sử dụng Omada Controller phiên bản 6 trở lên.

Yêu cầu

• Omada Discovery Utility
• Omada Software Controller / Hardware Controller / Cloud-Based Controller
• Thiết bị Omada (Gateway/EAP/Switch)

Kiểm tra danh sách thiết bị tương thích tại đây: Omada Controller Compatibility List

Cấu hình

 Kịch bản 1: Thông qua Port Forwarding và Omada Discovery Utility / Inform URL / DHCP Option 138:

Một mô hình văn phòng điển hình được minh họa như dưới đây. Trụ sở chính (Headquarters - HQ) và chi nhánh (Branch Office) được kết nối với nhau thông qua Internet. Tại HQ, có một Omada Controller và một Gateway thuộc subnet 192.168.1.0/24. Tại Branch Office, có một EAP, một Switch và một Gateway thuộc subnet 192.168.0.0/24.

Bước 1. Cấu hình các quy tắc Port Forwarding trên Gateway tại HQ (lấy ER605 làm ví dụ) cho Controller Host (192.168.1.185).

Truy cập Transmission > NAT > Virtual Server và cấu hình Virtual Server cho các cổng TCP & UDP trong phạm vi từ 29810 đến 29817.

Lưu ý: Nếu các thiết bị của bạn không kết nối qua Internet và đều nằm sau cùng một Gateway, chỉ khác VLAN, bạn có thể bỏ qua bước này.

Bước 2. Ba phương thức để Omada Controller phát hiện các thiết bị Omada tại Branch Office.

• Phương thức 1: Omada Discovery Utility

Chạy Omada Discovery Utility tại Branch Office, chọn các thiết bị Omada và nhấp "Batch Setting". Nhập Controller Hostname/IP là địa chỉ WAN IP của ER605 tại HQ (172.30.30.199), đồng thời nhập Username/Password của các thiết bị Omada. Cuối cùng, nhấp "Apply". Username/Password mặc định của các thiết bị là admin/admin. Nếu Username và Password của các thiết bị Omada không giống nhau, vui lòng quản lý từng thiết bị riêng lẻ.

• Phương thức 2: Controller Inform URL

Trong Standalone Mode, truy cập System Tools / System - Controller Settings trên từng thiết bị Omada, nhập địa chỉ WAN IP của ER605 tại HQ (172.30.30.199) vào trường Controller IP / Inform URL. Sau đó, nhấp Save.

Ảnh chụp màn hình cấu hình Controller Settings của Switch ở chế độ Standalone

Ảnh chụp màn hình cấu hình Controller Settings của EAP660 ở chế độ Standalone.

• Phương thức 3: DHCP Option 138

Sử dụng Omada Discovery Utility hoặc thiết lập Controller Inform URL để adopt ER605 tại Branch Office vào một Site khác. Sau đó, truy cập Network Config > LAN, nhấp Edit/Add tại mạng LAN nơi các DHCP Client đang kết nối. Bật DHCP Server và cấu hình các thông số DHCP thông thường. Tiếp theo, nhấp Advanced DHCP Options và thiết lập Option 138 là địa chỉ IP của Omada Controller, chính là địa chỉ WAN IP của ER605 tại HQ. Nhấp Save.

Để DHCP Option 138 có hiệu lực, bạn cần gia hạn (renew) các thông số DHCP cho các DHCP Client. Một cách thực hiện là ngắt kết nối Switch và EAP, sau đó kết nối lại.

Lưu ý: Nếu không sử dụng Omada Gateway, bạn cũng có thể sử dụng DHCP Server hỗ trợ tính năng DHCP Option 138 để hoàn tất cấu hình.

Bước 3. Sau khi hoàn tất cấu hình, các thiết bị Omada tại Branch Office sẽ xuất hiện trong danh sách "PENDING" của Omada Controller, điều này có nghĩa là bạn có thể adopt và quản lý các thiết bị này.

Lưu ý: Nếu bạn đã adopt một Gateway trong Site mặc định, hãy nhấp "Add New Site" trong danh sách thả xuống của Sites và cấu hình các thông số cho Branch Office. Mỗi Site chỉ có thể adopt một Gateway.

Kịch bản 2: Thông qua VPN Tunnel và DHCP Option 138

Như hình dưới đây, HQ và Branch Office được kết nối với nhau thông qua đường hầm IPSec VPN. Tại HQ có một Omada Controller và một ER605 (VPN Router) thuộc subnet 192.168.1.0/24. Tại Branch Office có một EAP2, một Switch đóng vai trò DHCP Server (hỗ trợ DHCP Option 138) và một ER605 (VPN Router) thuộc subnet 192.168.10.0/24.

Bước 1. Cấu hình trên Switch tại Branch Office. Thay đổi địa chỉ IP mặc định của Switch thành 192.168.10.4 để tránh xung đột địa chỉ IP với Gateway.

Bật chức năng DHCP Server trên Switch và thiết lập DHCP Option 138 là địa chỉ IP của Omada Controller từ xa (192.168.1.100). Sau đó, DHCP Server sẽ thông báo cho các EAP vị trí của Omada Controller để Omada Controller và các EAP có thể giao tiếp với nhau giữa các subnet khác nhau.

Cấu hình DHCP IP Address Pool (192.168.10.0/24) cho các EAP tại Branch Office.

Bước 2. Thiết lập đường hầm VPN Site-to-Site IPsec ở chế độ Manual.

• Tạo một VPN Policy mới trên Gateway được Omada Controller quản lý tại Headquarters.

Lưu ý: IPSec VPN được sử dụng làm ví dụ minh họa. Việc thiết lập các loại VPN Tunnel khác cũng có thể được sử dụng để thực hiện Device Adoption.

Tạo một VPN Policy mới trên Gateway được Omada Controller quản lý tại HQ. Truy cập Network Config > VPN > Site-to-Site VPN và nhấp Create New Site-to-Site VPN.

Cấu hình các tham số cho VPN Policy mới. Nhập tên để nhận diện VPN Policy, chọn VPN Type là IPsec và Mode là Manual. Sau đó, cấu hình các tham số tương ứng và lưu cấu hình.

Lưu ý: Khi Gateway tại Branch Office hoạt động ở chế độ Standalone, nhấp Advanced Settings và chọn IKEv1 tại mục Key Exchange Version. IKEv1 chỉ hỗ trợ một Local Network duy nhất.

Lưu ý: Nếu Omada Gateway nằm phía sau một thiết bị NAT, hãy đảm bảo rằng UDP port 500 và UDP port 4500 đã được mở trên thiết bị NAT, đồng thời thiết lập Local ID Type và Remote ID Type là Name.

• Tạo một VPN Policy mới trên Gateway tại Branch Office.

Tắt chức năng DHCP Server trên ER605 tại Branch Office.

Truy cập VPN > IPsec > IPsec Policy và nhấp Add.

Lưu ý: Nếu Router nằm phía sau một thiết bị NAT, hãy đảm bảo rằng UDP port 500 và UDP port 4500 đã được mở trên thiết bị NAT, đồng thời thiết lập Local ID Type và Remote ID Type là Name trong mục Phase-1 Settings.

Đối với Gateway được Omada Controller quản lý tại Headquarters, truy cập Network Config > VPN Status > Site-to-Site VPN > IPsec và kiểm tra các mục IPsec.

Đối với ER605, truy cập VPN > IPsec > IPsec SA và kiểm tra các mục IPsec SA. Khi các mục tương ứng được hiển thị trong bảng, đường hầm VPN đã được thiết lập thành công.

Bước 3. Khởi chạy Omada Controller. EAP sẽ xuất hiện trong danh sách "Pending" của Omada Controller, điều này có nghĩa là bạn có thể adopt và quản lý EAP này.

Kết luận

Bài viết này mô tả cách phát hiện và adopt thiết bị trên các subnet khác nhau bằng Omada Controller trong hai kịch bản mạng văn phòng phổ biến.

Để tìm hiểu thêm về từng tính năng và cấu hình, vui lòng truy cập Support Home để tải xuống hoặc xem tài liệu hướng dẫn của sản phẩm.

QA

Q1: Nếu các thiết bị không kết nối qua Internet mà chỉ nằm trên các subnet khác nhau thì cần thực hiện những bước nào trong tài liệu này để phát hiện và quản lý thiết bị?

A1: Bạn vẫn có thể sử dụng các phương thức Omada Discovery Utility, Inform URL hoặc DHCP Option 138 được đề cập trong Kịch bản 1 và nhập địa chỉ IP của Omada Controller.