Podkast 21T46 Aruba Mobility Controller (VMC) [Instalacja]

WERSJA TEKSTOWA

Witam Cię w dzisiejszym odcinku mojego podcastu – temat: Moblity Controler Aruby, pierwsza konfiguracja. Tutaj chciałem rozwinąć w tej formie opis bardziej automatycznej koncepcji provisioning-u Aruby, mianowicie activate i wykorzystanie TPM-a na fizycznych kontrolerach Aruby. Sprawdza się to bardzo dobrze, robiłem już takie implementacje i działa to świetnie. Proces polega na tym, że mamy pudełko z urządzeniem, gdzie nikt tego wcześniej nie konfigurował i nie podłączał żadnej konsoli. Chodzi o to, aby taki kontroler wyciągnąć z pudełka (powinno być to robione typowo przez instalatora) i w danej lokalizacji podłączyć do pierwszego lub ostatniego portu, w zależności od wersji tego kontrolera. Od tego momentu, wszystko powinno się zadziać automatycznie, aż do chwili, gdzie my w konsoli Mobility Conductora zobaczymy w konfiguracji dostępny ten kontroler i będziemy mogli przypisywać dalsze części konfiguracji.

Jak to w założeniu powinno działać? Jeśli chodzi o taki system pośredniczący, to korzystamy najczęściej z Activate’a – bezpłatnego systemu Aruby. System ten ma w sobie jakby zaszyte te wszystkie informacje o wyprodukowanych urządzeniach Aruby. Jeżeli zakupisz takie urządzenia i założysz konto na Activate a następnie powiążesz nazwę tego konta z odpowiednią nazwą, która została wpisana w zamówieniu u dystrybutora, to powinny Ci się automatycznie pojawić wszystkie urządzenia, które kupiłeś. Niestety w praktyce nie działa to tak często pięknie, ale i tak jest nieźle, ponieważ można listę urządzeń, którą dostajemy np od dystrybutora, wysłać do supportu Aruby i oni to ręcznie dodadzą wszystkie zakupione urządzenia do Twojego konta, jeśli nie zadziała to automatycznie. Jak już masz urządzenia na swoim koncie, to możesz przypisać profile konfiguracyjne podając adres IP Mobility Conductora, podając wymagane informacje, jak zestawić tunel IP-sec-owy dla takiego Controlera. W zależności, czy używasz VPN Concentratora pośredniczącego, bo jest jeszcze taka opcja, że jeśli masz gdzieś główną lokalizację i do tej lokalizacji łączysz się przez internet z branchy czyli z lokalizacji zdalnych i w tych lokalizacjach instalujesz kontrolery właśnie w takim trybie Zero Touch Provisioningu, wtedy możesz podać mu informacje o adresie IP publicznym VPN Concentratora, o adresie IP Mobility Conductora, o odpowiednich trybach poświadczeń. Najczęściej wykorzystujemy certyfikaty fabryczne, które są na tych kontrolerach i automatycznie potrafią zestawić to połączenie IP-sec-owe w oparciu o certyfikat. Jak również zestawić tunel, już nie szyfrowany PEAP w środku tunelu, który idzie między VPN koncentratorem a Mobility Conductorem.

Nawet jeżeli nie korzystasz z Mobility Conductora, to możesz taki tryb automatyczny w ramach campusu stworzyć. Oczywiście on ma mniej sensu – w zależności od tego, jaki masz duży campus – ale jeżeli masz nawet 2, 3 lub 4 kontrolery, to jesteś w stanie skonfigurować je ręcznie, bez większego problemu – to nie jest kłopot. Natomiast jeśli masz lokalizacji zdalnych 100, 200 lub 1000, ręczna konfiguracja nie za bardzo wchodzi w grę. Dobrze jest mieć taką opcję, że Aruba dostarcza automatyczny tryb konfiguracji dla kontrolerów i jak najbardziej dla APeków. Można wszystko automatycznie ze sobą połączyć.

Kluczem całego systemu jest właśnie TPM i fabryczne certyfikaty, które są praktycznie dla każdego urządzenia wystawiane przez Arubę. Praktycznie, bo są niestety np tańsze punkty dostępowe, które nie mają TPM-a i w związku z tym mają inną kategorię certyfikatu i nie dają możliwości pełnej automatyzacji w zakresie tego Provisioningu.

Prawie wszystkie urządzenia można ze sobą w ten sposób połączyć. Po stronie centrali Mobility Conductora nie ma możliwości i sensu konfigurować w ten sposób, należy go skonfigurować ręcznie, przez konsolę. Mobility Conductor jest jeden, w zależności od tego, ile mamy koncentratorów i branchy, to w zasadzie koncentratory konfigurujemy ręcznie, a branche możemy automatycznie. Tak samo punty dostępowe, jeśli mamy ich tysiące lub dziesiątki tysięcy, to ręczna konfiguracja nie wchodzi w grę.

Tak to wygląda, jeśli chodzi o pierwszą konfigurację tego kontrolera, podajemy standardowo adres IP, interface, tryby pracy, czy łączymy przez IP-sec za pomocą Shared-Key czy w inny sposób, w zależności od tego, jaki to jest kontroler. Jest tam jeszcze kilka innych specyficznych pytań, ale nie będę tego powtarzał – możesz to zobaczyć w odcinku konfiguracyjnym – zapraszam Cię na YT lub bloga, w zależności od tego, jaką wersję wolisz. Jeśli masz jakieś pytania, to oczywiście chętnie na nie odpowiem. Za dziś Ci dziękuję – do zobaczenia już za tydzień.