Заводская конфигурация контроллера
При отгрузке устройства потребителю на устройство загружена заводская конфигурация, которая включает минимально необходимые базовые настройки. Заводская конфигурация содержит настройки, позволяющие получить сетевой доступ к устройству для выполнения расширенного конфигурирования.
Описание заводской конфигурации
Для подключения к сетям в конфигурации описаны 2 зоны безопасности с наименованиями «Trusted» для локальной сети и «Untrusted» для публичной сети. Все интерфейсы разделены между двух зон безопасности:
- Зона «Untrusted» предназначена для подключения к публичной сети (WAN). В этой зоне открыты порты DHCP-протокола для получения динамического IP-адреса от провайдера. Все входящие соединения из данной зоны на контроллер запрещены.
В данную зону безопасности входят интерфейсы: GigabitEthernet 1/0/1, TengigabitEthernet 1/0/1-2.
Интерфейсы зоны объединены в один L2-сегмент через сетевой мост Bridge 2. - Зона «Trusted» предназначена для подключения к локальной сети (LAN). В этой зоне открыты порты протоколов Telnet и SSH для удаленного доступа, ICMP-протокола для проверки доступности контроллера, DHCP-протокола для получения клиентами IP-адресов от контроллера. Исходящие соединения из данной зоны в зону «Untrusted» разрешены.
В данную зону безопасности входят интерфейсы GigabitEthernet 1/0/2-4.
Интерфейсы зоны объединены в один L2-сегмент через сетевой мост Bridge 1.
На интерфейсе Bridge 2 включен DHCP-клиент для получения динамического IP-адреса от провайдера. На интерфейсе Bridge 1 сконфигурирован статический IP-адрес 192.168.1.1/24. Созданный IP-интерфейс выступает в качестве шлюза для клиентов локальной сети. Для клиентов локальной сети настроен DHCP-пул адресов 192.168.1.2-192.168.1.254 с маской 255.255.255.0. Для получения клиентами локальной сети доступа к Internet на контроллере включен сервис Source NAT.
Политики зон безопасности настроены следующим образом:
Таблица 11 — Описание политик зон безопасности
Зона, из которой идет трафик | Зона, в которую идет трафик | Тип трафика | Действие | ||
|---|---|---|---|---|---|
Trusted | Untrusted | TCP, UDP, ICMP | разрешен | ||
Trusted | Trusted | TCP, UDP, ICMP | разрешен | ||
Trusted | self | TCP/22 (SSH), ICMP, UDP/67 (DHCP Server), UDP/123 (NTP) | разрешен | ||
Untrusted | self | UDP/68 (DHCP Client) | разрешен | ||
Для обеспечения возможности конфигурирования устройства при первом включении в конфигурации контроллера создана учётная запись администратора ‘admin’. Пользователю будет предложено изменить пароль администратора при начальном конфигурировании контроллера.
Для сетевого доступа к управлению контроллером при первом включении в конфигурации задан статический IP-адрес на интерфейсе Bridge 1 — 192.168.1.1/24.
Подключение и конфигурирование контроллера
Контроллер выполняет функции пограничного шлюза и обеспечения безопасности сети пользователя при подключении ее к публичным сетям передачи данных.
Базовая настройка контроллера должна включать:
- назначение IP-адресов (статических или динамических) интерфейсам, участвующим в маршрутизации данных;
- создание зон безопасности и распределение интерфейсов по зонам;
- создание политик, регулирующих прохождение данных между зонами;
- настройка сервисов, сопутствующих маршрутизации данных (NAT, Firewall и прочие).
Расширенные настройки зависят от требований конкретной схемы применения устройства и легко могут быть добавлены или изменены с помощью имеющихся интерфейсов управления.
Подключение к контроллеру
Предусмотрены следующие способы подключения к устройству:
Подключение по локальной сети Ethernet
При первоначальном старте контроллер загружается с заводской конфигурацией. Описание заводской конфигурации приведено в разделе Заводская конфигурация контроллера WLC-30 данного руководства.
Подключите сетевой кабель передачи данных (патч-корд) к порту, входящему в зону «Trusted», и к компьютеру, предназначенному для управления.
В заводской конфигурации контроллера активирован DHCP-сервер с пулом IP-адресов в подсети 192.168.1.0/24.
При подключении сетевого интерфейса управляющего компьютера он должен получить сетевой адрес от сервера.
Если IP-адрес не получен по какой-либо причине, то следует назначить адрес интерфейса вручную, используя любой адрес, кроме 192.168.1.1, в подсети 192.168.1.0/24.
Подключение через консольный порт RS-232
При помощи кабеля RJ-45/DBF9, который входит в комплект поставки устройства, соедините порт «Console» контроллера с портом RS-232 компьютера.
Запустите терминальную программу (например, HyperTerminal или Minicom) и создайте новое подключение. Должен быть использован режим эмуляции терминала VT100.
Выполните следующие настройки интерфейса RS-232:
Биты данных: 8 бит
Четность: нет
Стоповые биты: 1
Управление потоком: нет
Применение изменения конфигурации
Любые изменения, внесенные в конфигурацию, вступят в действие только после применения команды:
wlc-30# commit Configuration has been successfully committed
После применения данной команды запускается таймер "отката" конфигурации. Для остановки таймера и механизма "отката" используется команда:
wlc-30# confirm Configuration has been successfully confirmed
Значение таймера "отката" по умолчанию — 600 секунд. Для изменения данного таймера используется команда:
wlc-30(config)# system config-confirm timeout <TIME>
- <TIME> — интервал времени ожидания подтверждения конфигурации, принимает значение в секундах [120..86400].
Базовая настройка контроллера
Процедура настройки контроллера при первом включении состоит из следующих этапов:
- Изменение пароля пользователя «admin».
- Создание новых пользователей.
- Назначение имени устройства (Hostname).
- Установка параметров подключения к публичной сети в соответствии с требованиями провайдера.
- Настройка удаленного доступа к контроллеру.
- Применение базовых настроек.
Изменение пароля пользователя «admin»
Для защищенного входа в систему необходимо сменить пароль привилегированного пользователя «admin».
Учетная запись techsupport необходима для удаленного обслуживания сервисным центром;
Учетная запись remote — аутентификация RADIUS, TACACS+, LDAP;
Удалить пользователей admin, techsupport, remote нельзя. Можно только сменить пароль и уровень привилегий.
Имя пользователя и пароль вводится при входе в систему во время сеансов администрирования устройства.
Для изменения пароля пользователя «admin» используются следующие команды:
wlc-30# configure wlc-30(config)# username admin wlc-30(config-user)# password <new-password> wlc-30(config-user)# exit
Создание новых пользователей
Для создания нового пользователя системы или настройки любого из параметров — имени пользователя, пароля, уровня привилегий — используются команды:
wlc-30(config)# username <name> wlc-30(config-user)# password <password> wlc-30(config-user)# privilege <privilege> wlc-30(config-user)# exit
Уровни привилегий 1-9 разрешают доступ к устройству и просмотр его оперативного состояния, но запрещают настройку. Уровни привилегий 10-14 разрешают как доступ, так и настройку большей части функций устройства. Уровень привилегий 15 разрешает как доступ, так и настройку всех функций устройства.
Пример команд для создания пользователя «fedor» c паролем «12345678» и уровнем привилегий 15 и создания пользователя «ivan» с паролем «password» и уровнем привилегий 1:
wlc-30# configure wlc-30(config)# username fedor wlc-30(config-user)# password 12345678 wlc-30(config-user)# privilege 15 wlc-30(config-user)# exit wlc-30(config)# username ivan wlc-30(config-user)# password password wlc-30(config-user)# privilege 1 wlc-30(config-user)# exit
Назначение имени устройства
Для назначения имени устройства используются следующие команды:
wlc-30# configure wlc-30(config)# hostname <new-name>
После применения конфигурации приглашение командной строки изменится на значение, заданное параметром <new-name>.
Настройка параметров публичной сети
Для настройки сетевого интерфейса контроллера в публичной сети необходимо назначить устройству параметры, определённые провайдером сети — IP-адрес, маска подсети и адрес шлюза по умолчанию.
Пример команд настройки статического IP-адреса для саб-интерфейса Gigabit Ethernet 1/0/2.150 для доступа к контроллеру через VLAN 150.
Параметры интерфейса:
- IP-адрес – 192.168.16.144;
- Маска подсети – 255.255.255.0;
- IP-адрес шлюза по умолчанию – 192.168.16.1.
wlc-30# configure wlc-30(config)# interface gigabitethernet 1/0/2.150 wlc-30(config-subif)# ip address 192.168.16.144/24 wlc-30(config-subif)# exit wlc-30(config)# ip route 0.0.0.0/0 192.168.16.1
Для того чтобы убедиться, что адрес был назначен интерфейсу, после применения конфигурации введите следующую команду:
wlc-30# show ip interfaces IP address Interface Type ------------------- --------------------------------- ------- 192.168.16.144/24 gigabitethernet 1/0/2.150 static
Провайдер может использовать динамически назначаемые адреса в своей сети. Для получения IP-адреса может использоваться протокол DHCP, если в сети присутствует сервер DHCP.
Пример настройки, предназначенной для получения динамического IP-адреса от DHCP-сервера на интерфейсе Gigabit Ethernet 1/0/10:
wlc-30# configure wlc-30(config)# interface gigabitethernet 1/0/10 wlc-30(config-if)# ip address dhcp wlc-30(config-if)# exit
Для того чтобы убедиться, что адрес был назначен интерфейсу, введите следующую команду после применения конфигурации:
wlc-30# show ip interfaces IP address Interface Type ------------------- --------------------------------- ------- 192.168.11.5/25 gigabitethernet 1/0/10 DHCP
Настройка удаленного доступа к контроллеру
В заводской конфигурации разрешен удаленный доступ к контроллеру по протоколам Telnet или SSH из зоны «Trusted». Для того чтобы разрешить удаленный доступ к контроллеру из других зон, например, из публичной сети, необходимо создать соответствующие правила в firewall.
При конфигурировании доступа к контроллеру правила создаются для пары зон:
- source-zone — зона, из которой будет осуществляться удаленный доступ;
- self — зона, в которой находится интерфейс управления контроллером.
Для создания разрешающего правила используются следующие команды:
wlc-30# configure wlc-30(config)# security zone-pair <source-zone> self wlc-30(config-zone-pair)# rule <number> wlc-30(config-zone-rule)# action permit wlc-30(config-zone-rule)# match protocol tcp wlc-30(config-zone-rule)# match source-address <network object-group> wlc-30(config-zone-rule)# match destination-address <network object-group> wlc-30(config-zone-rule)# match destination-port <service object-group> wlc-30(config-zone-rule)# enable wlc-30(config-zone-rule)# exit wlc-30(config-zone-pair)# exit
Пример команд для разрешения пользователям из зоны «Untrusted» с IP-адресами 132.16.0.5-132.16.0.10 подключаться к контроллеру с IP-адресом 40.13.1.22 по протоколу SSH:
wlc-30# configure wlc-30(config)# object-group network clients wlc-30(config-addr-set)# ip address-range 132.16.0.5-132.16.0.10 wlc-30(config-addr-set)# exit wlc-30(config)# object-group network gateway wlc-30(config-addr-set)# ip address-range 40.13.1.22 wlc-30(config-addr-set)# exit wlc-30(config)# object-group service ssh wlc-30(config-port-set)# port-range 22 wlc-30(config-port-set)# exit wlc-30(config)# security zone-pair untrusted self wlc-30(config-zone-pair)# rule 10 wlc-30(config-zone-rule)# action permit wlc-30(config-zone-rule)# match protocol tcp wlc-30(config-zone-rule)# match source-address clients wlc-30(config-zone-rule)# match destination-address gateway wlc-30(config-zone-rule)# match destination-port ssh wlc-30(config-zone-rule)# enable wlc-30(config-zone-rule)# exit wlc-30(config-zone-pair)# exit