В трёх предыдущих статьях (один, два, три) мы рассказали о том, как модернизировали проводную сеть в офисе «Инфосистемы Джет». Теперь пора рассказать о модернизации беспроводной сети.
topology: (inter-vlan routing with a router)
1 — Create Vlans:
note: use «display vlan» to see Vlan database.
2 — Configure access ports:
note: use «display port vlan» to see which ports are assigned to which vlans.
3 — Configure trunk on the switch:
4 — Configure trunk on the router:
note: ARP broadcast is disable by default, if ARP broadcast remains disable the router will discard the packets. By enabling ARP broadcast on the sub-interface the router is able to construct a tagged ARP broadcast packet and send the packet from the sub-interface.
5 — Assign IP addresses to clients:
IP — 192.168.10.100
MASK — 255.255.255.0
GW — 192.168.10.1
IP — 192.168.20.100
GW — 192.168.20.1
topology: (L3 switch based vlan routing)
2 — Assign ports to vlans:
3 — Configure trunk:
4 — Configure Vlanif interfaces:
note: Vlan routing is implemented by creating vlan interfaces that operate as a gateway for each vlan within the layer 3 switch.
Время на прочтение
HUAWEI – одна из крупнейших китайских компаний в сфере телекоммуникаций. Основана в 1988 году.
Компания HUAWEI достаточно недавно вышла на российский рынок сетевого оборудования уровня Enterprise. С учётом тенденции тотальной экономии, на нашем предприятии очень остро встал вопрос о подборе достойной замены оборудованию Cisco.
В статье я попытаюсь рассмотреть базовые аспекты настройки сервисов коммутации и маршрутизации оборудования HUAWEI на примере коммутатора Quidway серии 5300.
Глобальные команды, режимы работы, cходства и различия с CLI CISCO.
Оборудование HUAWEI, построенное на базе операционной системы VRP, имеет cisco-like интерфейс командной строки. Принципы остаются теми же самыми, меняется только синтаксис.
В CLI оборудования HUAWEI существуют 2 режима командного интерфейса:
Основные команды
Для создания vlan как сущности, на коммутаторе в режиме system-view выполняется команда vlan XXX, где XXX – номер vlan.
Vlan создан. Так же командой description можно задать описание или название vlan. В отличие от Cisco имя не является обязательным атрибутом при создании vlan.
Для передачи созданых vlan в пределах локальной сети используется протокол GVRP. Включается он командой gvrp в режиме system-view.
Так же gvrp должен быть разрешён на интерфейсе:
#
interface GigabitEthernet0/0/23
port link-type trunk
port trunk allow-pass vlan 100 to 200
gvrp
#
Совместимости с Cisco VTP (vlan transfer protocol) нет и быть не может.
Создание vlan интерфейса.
Собственно, ничего нового. Существуют два основных режима работы порта: access и trunk.
Режим trunk
Настройка порта:
В отличие от коммутаторов Cisco, по-умолчанию, все vlan запрещены и их необходимо принудительно разрешить командой port trunk allow-pass vlan.
Нетэггированный native vlan на порту включается командой:
Настройка eth-trunk
interface Vlanif100
ip address 1.1.1.2 255.255.255.252
#
interface GigabitEthernet0/0/23
eth-trunk 1
#
interface GigabitEthernet0/0/24
eth-trunk 1
#
interface Eth-Trunk0
port link-type trunk
port trunk allow-pass vlan 100
#
Настройка STP
Для тестирование STP были соединены коммутаторы Cisco 2960 и HUAWEI Quidway S5328C-EI.
Для включения STP на коммутаторе необходимо в режиме system-view ввести команду
По умолчанию, приоритет коммутатора HUAWEI, так же как и коммутатора Cisco равен 32768.
Просмотр информации о текущем состоянии портов:
Видно, что один из портов заблокирован, т. к. приоритет коммутатора Cisco оказался больше.
Просмотр глобальной информации об STP:
Изменим приоритет коммутатора HUAWEI. Сделаем его наименьшим: 4096.
Посмотрим, что порт разблокировался:
Общая информация об STP:
Статическая маршрутизация
Статические маршруты прописываются точно так же, как на оборудовании Cisco:
Просмотр таблицы маршрутизации:
На этом всё.
Если уважаемое сообщество заинтересуется материалом, планирую продолжить освещать настройку оборудования HUAWEI. В следующей статье рассмотрим настройку динамической маршрутизации.
Спасибо за внимание.
Безопасность
Беспроводной доступ всегда предполагает наличие механизма авторизации, потому что радиоэфир — это открытая среда, и прослушивать его может кто угодно. Поэтому вопросам безопасности — шифрованию, авторизации, — должно уделяться максимальное внимание. С этого и нужно начинать проектирование беспроводной сети.
У нас есть три типа доступа: production-доступ, гостевой доступ и подключение собственных устройств сотрудников.
Production-доступ
Production-доступ используется на корпоративных ноутбуках. Сотрудники могут обращаться к тем же самым корпоративным ресурсам, что и при подключении по проводу. Индустрия для такого варианта давно выработала стандартную схему авторизации по стандарту WPA2.
Авторизация производится по персональным сертификатам пользователей. В старой сети вендорское решение для авторизации представляло собой отдельный удостоверяющий центр и самостоятельно генерировало пользовательские сертификаты. Работало по принципу «один раз настроил и все работает», но, если что-то шло не так, наша служба технической поддержки не могла извлечь сгенерированный сертификат и поставить его на устройство пользователя вручную.
Поэтому решили, что проприетарного решения у нас больше не будет, и мы будем интегрироваться с существующим корпоративным удостоверяющим центром Microsoft. Есть три способа установить пользовательский сертификат на компьютер пользователя: через групповые политики AD, принести ноутбук в отдел информационно-технической поддержки, сотрудник которого поставит сертификат, либо воспользоваться автопровижинингом.
Поговорим о третьем способе. Как это работает? Пользователь пытается подключиться к нашей беспроводной production-сети. Если он это делает в первый раз, его автоматически перенаправляют на наш внутренний портал Huawei, который реализован с помощью продукта Agile Controller Campus, и предлагают запустить небольшую утилиту.
Эта утилита инициирует обращение Huawei Agile Controller Campus к корпоративному удостоверяющему центру, генерирование индивидуального сертификата пользователя, и установку его в хранилище сертификатов на локальном компьютере.
Вообще в компаниях, в которых все рабочие места более или менее стандартны, удобнее распространять сертификаты по рабочим станциям с помощью групповых политик Microsoft средствами Active Directory. Но у нас это возможно не для всей организации, потому что многие компьютеры работают на Linux. Поэтому больше всего страдают те разработчики, у которых установлены различные отечественные варианты Linux. Разнообразные современные ИТ-решения для таких ОС, к сожалению, появляются в последнюю очередь.
В связи со всем сказанным, всегда должна быть возможность ручной настройки рабочей станции.
Гостевой доступ
Как вы понимаете, схема была слишком неудобной и устаревшей. Поэтому в новой сети мы применили совершенно другой подход. Теперь у нас есть раздел на внутреннем портале, где достаточно ввести название компании и мобильный телефон гостя. Ему на телефон приходит SMS с данными для входа, а сотруднику на почту приходит подтверждение об успешной операции. В качестве резервного варианта на переходный период мы оставили и привычную схему с секретарями.
У продукта Huawei Agile Controller Campus (HACC) есть несколько веб-интерфейсов для использования в различных целях: портал авторизации для гостей, админский интерфейс, портал самообслуживания и SOAP-модуль. У SOAP-модуля есть различные API, с помощью которых можно управлять HACC из стороннего программного обеспечения. Поэтому мы написали интерфейс для взаимодействия нашего корпоративного портала с решением Huawei.
Для гостевого Wi-Fi мы предоставляем доступ в интернет и к ресурсам компании, открытым во внешнюю сеть. У нас запрещены торренты и трафик в сети, которые считаются ботнетами; запрещён доступ к ресурсам для взрослых и к хостам, предназначенным для обхода ограничений. Благодаря такой политике у нас пока не было всплесков безумного трафика с гостевого Wi-Fi, и мы не ограничиваем пропускную способность.
Собственные мобильные устройства
В нашей новой сети для авторизации собственных устройств применяется протокол EAP-TTLS, а не EAP-TLS, т. е. на стороне пользователя сертификаты не используются, потому что автоматически поставить сертификат на произвольное устройство — крайне сложная задача. Рискну предположить, что ни один вендор не сможет её решить.
Если кто-то из сотрудников хочет принести собственный ноутбук, планшет или смартфон и получить с него доступ не только в интернет, но и к корпоративным ресурсам, то придётся согласовать это с руководством службы безопасности, затем пойти в отдел информационно-технической поддержки, где ему сгенерируют и установят отдельный сертификат, аналогично схеме подключения корпоративных ноутбуков.
Внештатники
Кроме штатных сотрудников у нас есть и сотрудники внештатные, которым тоже необходимо по работе выходить в интернет, в том числе по Wi-Fi. Для них мы используем тот же профиль, что и для подключения мобильных устройств штатных сотрудников. Это избавляет от необходимости заводить для внештатников персональные аккаунты, не нужно вводить их в корпоративную систему Active Directory, не нужно заниматься сложными согласованиями со службой безопасности — в общем намного меньше головной боли. Но при этом мы можем предоставить им контролируемый нами доступ в Интернет.
Или, скажем, купил какой-то сотрудник себе личный ноутбук. Он хочет сразу его подключить, поставить последние обновления и так далее. В этом случае ему не надо идти в отдел информационно-технической поддержки и согласовывать подключение своего ноутбука к сети. Он самостоятельно подключает его к беспроводной сети и сразу начинает работать. И хотя доступ к внутренним корпоративным ресурсам ему перекрыт, в интернет за обновлениями — пожалуйста.
Радиообследование
Поскольку к существующей сети Wi-Fi у нас были нарекания не только к способу подключения, но и к качеству радиопокрытия, мы начали с радиообследования. Традиционно это осуществляется путем обхода всех помещений с ноутбуком, утыканном адаптерами для измерений, и настроенным ПО AirMagnet. В каждом помещении нужно сделать несколько замеров, зафиксировав положение ноутбука.
Рассказывает Александр Гуляев asha77: в нашем офисе много длинных коридоров, таскать измерительное оборудование самостоятельно — долго и утомительно. Походив так денек-другой, мы устали и решили собрать что-нибудь более технологичное. Погуглили. На Авито за 2500 рублей был куплен полудохлый гироскутер. Из остатков профилей от видеостены было скручено подобие базы, в которую интегрированы куски безжалостно распиленного гироскутера со всеми его внутренностями плюс Raspberry Pi. Коллеги подогнали программатор, а креативные немцы (или они голландцы?) с гитхаба — софт, который заливается в контроллер гироскутера и позволяет управлять командами через RS232 от Raspberry PI. В сам PI было залито приложение на Node.js для управления контроллером со смартфона. Получился робот (назвали Робиком), который возит за оператором ноутбук. Благодаря Робику детальное радиообследование офиса заняло почти в два раза меньше времени, чем в обычном варианте. Это при том, что практически ничего не дотачивали за неимением времени.
Не без помощи Робика выяснилось, что уровень сигнала у нас достаточно неплохой. Значит, точки доступа были расставлены в правильных местах с нормальной плотностью. Но некоторые из них в диапазоне 2,4 ГГц мешали друг другу. Поэтому мы решили после модернизации в местах с высокой плотностью установки точек на части точек отключить 2,4 ГГц и использовать только 5 ГГц.
Кроме того, в местах с большой плотностью мы установили точки доступа серии AP6052DN, а не AP6050DN. Они позиционируются вендором именно для мест с большим количеством абонентов. A P6052DN имеют два передатчика, один из которых работает в двух диапазонах и автоматически переключается на оптимальный, а второй передатчик работает только на 5 ГГц.
Huawei Agile Controller Campus
Huawei Agile Controller Campus представляет собой программно-аппаратный комплекс. П О написано на Java с использованием фреймворка Tomcat и работает на сервере под управлением Windows Server 2012 (может работать и под SUSE Linux). В качестве БД может использоваться или Microsoft SQL Server, или Oracle.
Когда мы инициировали проект перестройки офисной сети, Huawei предоставляла HACC только в физическом варианте, поэтому нам пришлось закупить целых три сервера. Один из них называется System Manager — он содержит базу данных и все веб-интерфейсы. Два других сервера равнозначно резервируют друг друга — это System Controllers. Именно с ними взаимодействует (по протоколу RADIUS) контроллер БЛВС при подключении и авторизации пользователей. То есть контроллер БЛВС каждый раз спрашивает у любого доступного System Controller, можно ли такому пользователю с такими учётными данными получить доступ к Wi-Fi.
Пока мы реализовывали наш проект, Huawei предложила возможность виртуализировать серверы. Разумеется, мы тут же этим воспользовались. Теперь у нас вместо трёх физических серверов две виртуальные машины. Это сразу избавило от массы проблем, в частности, с отказоустойчивостью, резервированием System Manager и резервным копированием базы (потому что виртуальная машина копируется с помощью снэпшота и резервируется средствами фермы виртуализации).
Организация сети
Точки доступа подключаются к тем же самым коммутаторам доступа, что и пользовательские рабочие станции. Подключаются в отдельных VLAN, которые заведены в отдельные VRF. Соединяются точки доступа с контроллерами БЛВС Huawei AC6605 по протоколу CAPWAP. Контроллеры объединены в отказоустойчивый кластер, один контроллер выполняет роль основного, второй — резервного. Huawei Agile Controller Campus выполняет для них роль сервера авторизации.
В итоге трафик Wi-Fi идёт между точками доступа только через контроллер. Падение производительности для нас несущественное, а с точки зрения управляемости и реализации различных функций информационной защиты такая схема гораздо удобнее.
Беспроводной трафик с мобильных устройств контроллер передает в основную сеть. Трафик от разных SSID передается с использованием различных VRF. Мы их завели в количестве двух штук — один для гостей и собственных устройств сотрудников, второй для рабочей сети.
Для решения данных проблем в гостевых сетях мы приняли следующие базовые меры безопасности:
Недостатки старой сети
Беспроводная сеть в нашем офисе была построена на оборудовании другого вендора. И работа этой сети вызывала серьезное недовольство как у пользователей, так и у системных администраторов.
Что не нравилось пользователям?
К сети было непросто подключиться. У нас была реализована концепция BYOD (bring your own device), когда пользователь мог самостоятельно подключить устройство к сети. Например, если устройство, подключаемое к сети, является корпоративным ноутбуком сотрудника, то ему нужно предоставить доступ как к ресурсам компании, так и в интернет. А если пользователь принес свое устройство — смартфон, планшет, — то надо предоставить ему доступ только в интернет. Несмотря на такую возможность, поддержка беспроводной сети требовала больших усилий администраторов, так как возникало множество ситуаций, с которыми приходилось разбираться в индивидуальном порядке. Плюс масса нюансов с фрагментированными платформами, когда нет стандартизированных рабочих мест. В итоге ресурсные затраты на утрясание всех аспектов выходили совсем нецелесообразными. Логичнее было построить все заново.
Какие нарекания вызывала сеть Wi-Fi у администраторов?
Приходило огромное количество заявок от пользователей с теми или иными проблемами подключения, невозможности настроить оборудование и т. д. Кроме того, старая сеть создавалась примерно в 2012–2013 годах, а с тех пор и стандарты изменились, и скорости стали выше.
Мы посчитали и поняли, что модернизировать существующую сеть получится дороже, чем полностью заменить её на новую, с применением архитектуры и оборудования компании Huawei. На том и порешили.
В качестве технической основы решения выбрали точки доступа Huawei AP6050DN и AP6052DN. Это современные устройства, которые поддерживают стандарты IEEE 802.11b/g/n/ac и работают в диапазонах 2,4 ГГц и 5 ГГц. Также мы решили использовать контроллер беспроводной сети Huawei AC6605 (точнее, два контроллера, объединенные в кластер) и программно-аппаратный комплекс Huawei Agile Controller Campus (HACC) — для авторизации пользователей и управления доступом.
Чем различаются диапазоны 2,4 ГГц и 5 ГГц
Диапазон 5 ГГц лучше подходит для обслуживания большого количества устройств в зоне действия одной точки, абоненты не мешают друг другу. В диапазоне 2,4 ГГц больше дальность действия, волны лучше проникают сквозь стены и перекрытия, меньше помех из-за отражений от мебели и элементов конструкций.
Configure a Layer 2 switch so that the two network segments are connected (same vlan)
Create vlan 10 on SW1
Enable global GVRP
Configure the sccess interface of SW1 to connect to PC1, configure the trunk interface of SW1 to connect to SW2 and enable GVRP on the trunk port
Create vlan 10 on SW2
Configure the sccess interface of SW2 to connect to PC2, configure the trunk interface of SW2 to connect to SW1 and enable GVRP on the trunk port
Check if you can ping:SW1 pings SW2 and Pc2:
SW2 pings SW1 and Pc1:
PC1 and PC2:
Experiment 1 realizes the ping of different network segments under the same vlan
① Configure the ip address, subnet mask and gateway of the two PCs
②Vlan configuration on the switch1) create vlan2
2) Add the gateways of the two network segments to vlan2: Attention! ! When adding the second vlan address, add sub at the end
3) Set the connection interface between the switch and the PC as the access interface:
4) View the routing table
⑤ Test whether it can be pinged
pc1 and pc2 can ping each other:
Рассылка SMS
Мы использовали модель EverFocus EA-LAN1. Обычно они используются для подключения считывателей электронных пропусков, но и для китайского GSM-модема этот шлюз подошел прекрасно. В комплект к шлюзу прилагается драйвер виртуального последовательного порта, с которым HACC работает не хуже, чем с физическим. Так мы без проблем реализовали отправку SMS с виртуальных машин.
Максим Клочков
Старший консультант группы сетевого аудита и комплексных проектов
Центра сетевых решений
«Инфосистемы Джет»
Александр Гуляев,
главный системный архитектор
Центра сетевых решений
«Инфосистемы Джет»