_____
2   
Zpět na obsah

Aruba IAP-VPN může zajišťovat řešení pro zabezpečený přístup koncových klientů (či jiné firemní infrastruktury) do podnikové sítě. Pomocí tohoto řešení tedy lze snadno a rychle vytvořit novou firemní pobočku či náročnější domácí kancelář.

IAP-VPN sestavuje zabezpečené šifrované spojení (k řídícímu kontroléru) pomocí protokolu IPSec (případně je možno použít i GRE a L2TP). Ověření IAP-VPN pak probíhá pomocí MAC adresy a certifikátu. V případě potřeby je možno doplnit standardní druhy šifrování o „Suite B“ kryptografii, na což je pak ale třeba speciální licence LIC-ACR (Advanced Cryptography). Lze volit mezi různými režimy provozu (viz 1.4 IAP-VPN Forwarding Modes). IAP-VPN umožňuje v „Centralized L2“ režimu i klasické typy tunelů jako je full-tunnel (veškerá data jsou tunelovány do kontroléru a zpět, včetně provozu do internetu, klient pak vystupuje skrze firemní veřejnou IP) a split-tunnel (pouze provoz určený pro firemní síť jde do tunelu a zbytek pak jde skrze lokální síť, tedy klient přistupuje do internetu skrze veřejnou adresu svého domácího routeru). Dále je samozřejmě možné část provozu nechat jen lokálně v bridge (např. pro zajištění lokální/domácí SSID, tento provoz je pouze lokální a není nikam tunelován).

Při IPSec tunelu (který bude použit pro všechny níže uvedené scénáře), pak v reálném provozu musí být kontrolér buď na veřejné IP, nebo musí být zajištěn překlad portů na jeho lokální IP adresu. Použité porty jsou 500 a 4500, oba UDP.

Více informací možno nalézt na https://www.arubanetworks.com/assets/so/SG_IAP-VPN.pdf.

V základu stačí mít „holý“ kontrolér bez licencí. V případě potřeby ACL pro tunel mezi IAP klastrem a kontrolérem je možné volitelně nasadit LIC-VIA, která primárně slouží pro VIA klienty, ale používá se i k možnosti zadání ACL přímo na tunel. Dále, pokud by bylo třeba, je možné volitelně nasadit jednu LIC-PEF, která následně umožní zadávat ACL pravidla na konkrétní ethernetový port či VLAN. Nicméně všechny scénáře, které jsou u IAP-VPN možné, jsou proveditelné i bez těchto volitelných licencí.

IAP je standardně systém bez licencí, takže zde jakékoliv starosti kolem licencování odpadají.

IAP-VPN je v podstatě ekonomická varianta řešení oproti RAP, který vyžaduje licence na AP (více o RAP viz https://www.atlantis.cz/blog/networking/konfiguracni-navod-vpn-aruba-rap-(remote-access-po), ale má samozřejmě svá omezení.

Pokud se provozuje více IAP klastrů, je dobré nad celým řešením nasadit AirWave, pomocí kterého je možné celé řešení z jednoho místa monitorovat i konfigurovat. Jinak bude nutné jednotlivé IAP klastry řešit samostatně, protože kontrolér pro ně zajišťuje pouze VPN koncentrátor, ale žádná konfigurace ani dohled nad IAP na kontroléru přímo není.

_____
3   
Zpět na obsah

Každý kontrolér má omezený počet instantních klastrů, rout, L2 uživatelů a VLAN pro IAP-VPN (viz Tabulka 1). K nejnovějším modelům série 9000 aktuálně (prosinec 2020) nejsou tyto informace dostupné, takže se dá počítat s parametry od 7005 do 7010.

 

Propustnost se přes IPsec v režimu IAP-VPN pohybuje od cca 20 Mb/s u nejslabších AP až po cca 400 Mb/s u těch nejsilnějších a ještě v závislosti na použitém režimu VPN. Tunel vždy navazuje AP, které je v klastru jako master, takže pokud se IAP-VPN navazuje v klastru, kde je více modelů, je vhodné zvolit nejsilnější AP jako „prefered master“. V případě použití GRE tunelu ještě můžete použít volbu „Per-AP tunnel“ a tím se teoreticky může významně zvýšit propustnost celé IAP-VPN (ale pouze pokud vám stačí GRE tunel).
 

IAP-VPN umožňuje poměrně hodně režimů, mezi které patří Local, Local L2, Centralized L2, Centralized L3, Distributed L2 a Distributed L3. Podrobnosti k těmto režimům, viz Tabulka 2.
 

 

_____
4   

Další informace pro jednotlivé režimy budou uvedeny v následujících kapitolách, které se budou těmto režimům věnovat podrobněji. Popis s podrobnostmi přímo od výrobce je možné nalézt zde https://www.arubanetworks.com/techdocs/Instant_83_WebHelp/Content/Instant_UG/IAP_VPN/rapNG_arch.htm.

Dále je důležité uvést, že IAP-VPN jde jako IPSec klient připojit i k VPN koncentrátorům třetích stran. Je třeba si ale dát pozor, že ve webovém rozhraní existuje pouze možnost „Aruba IPSec“ a to není standardní IPSec, ale již „přiohnutý“ Arubou k co nejjednoduššímu nasazení IAP-VPN s kontrolérem. Pokud tedy chcete IAP připojit k zařízení třetí strany, tak je třeba použít CLI, kde se již dá nastavit standardní IPSec.

Důležité je vždy sladit parametry pro IPSec tunel na straně VPN koncentrátoru. Základní parametry u IAP-VPN pro obě fáze IPSecu níže.
 

Flexibilita tohoto nasazení, ale je mnohem menší nežli nasazení s kontrolérem. Pro IPSec jde použít pouze PSK klíč s IKEv1. Dále se zařízeními třetích stran lze nasadit pouze „Local“ scénář (viz Tabulka 2), kde je korporátní provoz i provoz do internetu pouze za Source-NATem a nejdou nasadit žádné L2, ani L3 režimy, což může být pro mnoho zákazníků velice limitující.

_____
5   
Zpět na obsah

Přímo na kontroléru existují VLAN 1010 a VLAN 111. VLAN 1001 je použitá jako hlavní management VLAN a slouží i jako uplink. GW v této VLAN je přímo korporátní firewall (10.0.10.254) a tato VLAN se používá i pro zakončení VPN tunelu z IAP (konkrétně adresa 10.0.10.100 na kterou je z veřejné adresy nastaven překlad UDP portů 4500 a 500). VLAN 1001 je z korporátního firewallu (FW) připojena L2 přímo do kontroléru. VLAN 111 je použita pouze pro demonstraci L2 VPN.

VLAN 100, 133, 144, 222 existují pouze na IAP a budou použity pro jednotlivé testovací scénáře.

Přiřazení jednotlivých VLAN k testovacím scénářům ukazuje Obrázek 1 a u každé VLAN je uveden odpovídající režim (viz Tabulka 2), pro který je konkrétní VLAN použita.

Síť 192.168.111.0/24, kde GW je pobočkový firewall (192.168.111.1) a IAP má adresu 192.168.111.42, slouží jako uplink do internetu a pro navázání IPSec tunelu ke kontroléru.

IP rozsah 22.22.22.22 až 22.22.22.222 slouží pouze jako vnitřní IP rozsah pro navázání IPSec tunelu.

Jako volitelný krok můžete nahrát do kontroléru licence. K čemu mohou sloužit licence, viz část 1 na straně 3. Pokud jste již licence do kontroléru nahráli nebo žádné používat nebudete, můžete tuto část přeskočit. V opačném případě následujte instrukce níže.

Nejprve si připravte licenční klíče. Získáte je aktivací v licenčním portálu, který používáte. V době vzniku tohoto návodu je to buď My Networking portál, nebo novější ASP (Aruba Support Portal). Nezapomeňte, že už máte pro konkrétní kontrolér aktivované nějaké licence a budete chtít aktivovat další, je třeba to provést pod stejným účtem, pod kterým jsou vedeny ostatní aktivní licence.

Nyní se přihlaste do webového rozhraní kontroléru. Má-li kontrolér IP adresu například 172.16.0.254, pak je management běžně na adrese https://172.16.0.254:4343 (172.16.0.254/24 je nativní IP rozsah ve VLAN 1, který vám kontrolér nabídne při úvodním nastavení, případně tedy zvolte vám nadefinovaný rozsah). Viz Obrázek 2.

Po úspěšném přihlášení uvidíte obrazovku se základním přehledem provozních informací. Viz Obrázek 3.

Na stránce, která se otevře, uvidíte aktuální stav nahraných licencí – protože kontrolér není ještě zalicencovaný, měly by počty být stejné, jako ukazuje Obrázek 5.

_{Obrázek 5: Přehled licencí aktuálně nahraných do kontroléru}

Na téže stránce přejděte do části Inventory a klepnutím na symbol otevřete dialog pro přidání nových licencí. V okně, které se otevře (viz Obrázek 6), zadejte licenční klíč pro LIC-VIA (případně LIC-PEF nebo LIC-ACR) funkcionalitu a potvrďte ho klepnutím na tlačítko OK (případně zadejte další vaše licenční klíče).
 

 

 

_____
8   
Zpět na obsah

 

Nakonec zkontrolujte, že nově nahrané licence jsou správně nainstalovány a aktivní. Licence pro VIA VPN jsou povoleny automaticky, není tedy nutné je ještě dodatečně zapínat. Viz Obrázek 7.

Licencování by nyní mělo být vyřešeno a můžete tedy pokračovat v samotné konfiguraci.














   

4   Zapnutí skrytých voleb

Webové rozhraní AOS 8 ve výchozím stavu skrývá některé typy konfiguračních profilů (avšak v CLI jsou normálně vidět). Abyste předešli nepříjemnostem v dalších částech konfigurace, zapněte si jejich zobrazování rovnou.

V pravém horním rohu klepněte na jméno uživatele, pod kterým jste v administraci přihlášení. V menu, které se vám otevře, klepněte na Preferences. Viz Obrázek 8.
 

V okně, které se vám otevře, zatrhněte volbu pro zobrazení skrytých voleb a tlačítkem „Save“ nastavení uložte. Viz
 

V další části nastavíte nezbytné VLAN a IP parametry.


   

5   Konfigurace IP konektivity

Zatímco práce s licencemi se nachází v konfiguračním kontextu Mobility Controller, další nastavení se provádějí již v kontextu konkrétního zařízení. Je na to potřeba pamatovat, jinak se při konfiguraci nevyhnete nejasnostem a potížím.

Konfigurační kontext změníte klepnutím na tlačítko vlevo nahoře, viz Obrázek 10. Přehled dostupných kontextů se pak zobrazí níže, aktivní kontext je označen oranžově – viz Obrázek 11.
 

Před další konfigurací se přepněte na konkrétní fyzické zařízení. Úspěšné přepnutí poznáte v levém horním rohu, kde se aktuální konfigurační kontext zobrazuje, viz Obrázek 12.  

5.1   Nastavení VLAN

VLAN se konfigurují v menu Configuration, Interfaces, VLANs. Jak již zaznělo výše: dejte si pozor, abyste pracovali ve správném kontextu, jak ukazuje Obrázek 13.    

Na stránce, která se otevře, zvolte v horním menu VLANs. Níže u přehledu nastavených VLAN (část VLANs) klepněte na . V dialogu, který se otevře, vytvořte novou VLAN, která bude použita pro přístup k WAN, k internetu. Nastavení uložte klepnutím na tlačítko „Submit“. Viz Obrázek 14.
 

Následně změny nasaďte klepnutím na tlačítko „Pending Changes“ vpravo nahoře. V okně, které se otevře, můžete zkontrolovat změny v konfiguraci. Klepnutím na tlačítko „Deploy Changes“ se změny aktivují. Viz Obrázek 15.

Dále přiřaďte VLAN na port, kterým je kontrolér připojený do internetu. Nejprve ze seznamu vyberte správnou VLAN (zde 1001) a následně ji v části Port Members přiřaďte na konkrétní port. Viz Obrázek 16 a Obrázek 17. Nastavení nezapomeňte uložit klepnutím na tlačítko „Submit“ vpravo dole.  

_____
12  
Zpět na obsah

 

Následně opět změny aktivujte klepnutím na tlačítko „Pending Changes“ vpravo nahoře, respektive tlačítko „Deploy Changes“ v okně, které se zobrazí. Před samotnou aktivací opět můžete zkontrolovat nastavení, jak ukazuje Obrázek 18.  

5.2   Nastavení IP parametrů

Teď nastavte WAN IP adresu a výchozí bránu. Jako dříve výše vyberte konkrétní VLAN a na záložce IPv4 nastavte IP adresu a masku, jak ukazuje Obrázek 19. Nastavení uložte klepnutím na tlačítko „Submit“.  

_____
13  
Zpět na obsah 

 

Dále pak povolte NAT odchozího provozu u VLAN, kterou přistupujete k internetu, viz Obrázek 20. V reálném nasazení tento krok nemusí být nutný, záleží na topologii. Zde ale kontrolér leží na pomyslném perimetru sítě a má přímý přístup do internetu, je tedy nutné zajistit NAT provozu z vnitřní sítě ven. Tímto tedy zajistíme to, že VLAN 111 (kterou přidáme vzápětí) bude mít přístup do internetu skrze naší uplinkovou VLAN.

I tentokrát nastavení uložte tlačítkem „Submit“ a následně změny aktivujte klepnutím na tlačítko „Pending Changes“, viz Obrázek 21.

Nyní se v horním menu přepněte na záložku IP Routes. Zde v části Static Default Gateway klepněte na tlačítko a zadejte adresu brány, jak ukazuje Obrázek 22.
 

_____
14  
Zpět na obsah

 

Nastavení uložte tlačítkem „Submit“ vpravo dole, brána se objeví v seznamu, viz Obrázek 23. Nezapomeňte také aktivovat změny jako vždy přes tlačítko „Pending Changes“ vpravo nahoře – viz Obrázek 24.

V dalším kroku vytvořte VLAN 111 (v kontextu vašeho kontroléru) v sekci Configuration → Interfaces → VLANs → zvolte a zadejte novou VLAN a potvrďte tlačítkem „Submit“ (viz Obrázek 25). Aktivujte změny přes tlačítko „Pending Changes“ vpravo nahoře viz Obrázek 26.  

_____
15  
Zpět na obsah

 

Nastavte IP adresu pro VLAN viz Obrázek 27. Potvrďte tlačítkem „Submit“ a „Pending Changes“.

Dále můžete přiřadit VLAN 111 k libovolnému volnému portu na kontroléru. Postupujte dle kroků, které znázorňuje Obrázek 28. Vše pak potvrďte tlačítkem „Pending Changes“. Tento port pak můžete použít k připojení koncového klienta a otestování funkčnosti VIA-VPN.

Nakonec ještě nastavte synchronizaci času pomocí NTP. Přejděte do menu Configuration, System. Na záložce General, v části Clock, klepněte pod tabulkou NTP Servers na tlačítko , zadejte adresu NTP serveru, případně opravte časové pásmo (není-li nastaveno správně), viz Obrázek 29. Tlačítkem „Submit“ nastavení uložte a nezapomeňte změny aktivovat – viz Obrázek 30.

 

_____
16  
Zpět na obsah

 

5.3   Otestování konektivity

Pomocí nástroje Ping pak vyzkoušejte dostupnost výchozí brány, viz Obrázek 32 a Obrázek 33.

   

Pokud je všechno v pořádku, pokračujte v konfiguraci dále. V opačném případě zkontrolujte nastavení, kabeláž a případný problém nejprve odstraňte.








 

_____
18  
Zpět na obsah

6   Konfigurace jednotlivých režimů IAP-VPN

V následující kapitole bude popsáno jak základní nastavení pro zprovoznění VIA-VPN, tak i různé režimy tohoto řešení (Local, Local L2, Distributed L2, Distributed L3, Centralized L2 a Centralized L3).
 

6.1   Základní nastavení VPN

Jako první nastavte IP DHCP pool, který budou jednotlivé IAP-VPN klastry dostávat. IP rozsah 22.22.22.22 až 22.22.22.222 slouží pouze jako vnitřní „projovačka“ pro navázání IPsec tunelu mezi IAP-VPN a kontrolérem. Poté nastavte DNS a potvrďte tlačítkem „Submit“ (pokud byste chtěli používat nějaké lokální DNS předklady, tak můžete nastavit váš lokální DNS server, viz Obrázek 34).    

6.2   Nastavení ověření IAP-VPN na kontroléru

Pro ověření IAP-VPN zadejte MAC adresu master IAP celého klastru do whitelistu (viz Obrázek 35). Pak potvrďte tlačítkem Submit.  

Zadaná MAC adresa IAP-VPN ve whitelistu (viz Obrázek 36).

Dále jděte do CLI kontroléru a zadejte stejnou MAC adresu pro  , viz níže.
Zkontrolujte zadanou MAC adresu pomocí příkazu níže.  
 

6.3   Nastavení IAP-VPN na Instantu

Přihlaste se do instantního AP a proveďte konfiguraci „Aruba IPSec“ tunelu. Jako IP zadejte veřejnou IP kontroléru a protokol bude Aruba IPSec, viz Obrázek 37.  
Zkontrolujte v CLI instantního AP, zda se tunel sestavil, viz níže.
V CLI kontroléru můžete provést kontrolu také. Nejprve zkontrolujte, že došlo ke správnému ověření, viz níže.
Dále pak, zda došlo ke správnému sestavení IPSec tunelu. Použijte příkaz níže.  

6.4   Local režim IAP-VPN

V režimu „Local“ se používá VLAN vytvořená přímo na virtuálním kontroléru (VC), v našem případě to je VLAN 133. DHCP server i default GW je u tohoto scénáře též na VC. Klientský provoz směřující do internetu je za Source-NATem a klient vystupuje IP adresou VC. Při korporátním provozu (VLAN 1001), je klient také za Source-NATem, ale v tomto případě je skryt za vnitřní IP adresu IPSec tunelu. Celá topologie viz Obrázek 38.

Následně přistupte k samotné konfiguraci. Nejprve vytvořte nový „Local DHCP Scope“, viz Obrázek 39.    

_____
23  
Zpět na obsah

Všechny parametry nastavte dle obrázku níže (viz Obrázek 40). Celou konfiguraci nezapomeňte uložit tlačítkem „Save“.
 
Přejděte do síťového nastavení a vytvořte nový profil, viz Obrázek 41.
Pojmenujte si VLAN a jako type zadejte Wired (pokud chcete použít VPN na SSID a nikoliv na fyzickém portu, tak zvolte Wireless a nechte se vést průvodcem, celá konfigurace je velice podobná jako pro fyzický port) a potvrďte tlačítkem „Next“. Viz Obrázek 42.

Na další záložce zvolte mód portu a vyberte vámi vytvoření DHCP scope pro VLAN 133 a pokračujte dále tlačítkem „Next“. Viz Obrázek 43.
Tato záložka umožnuje nastavit zabezpečení portu. Pro naše účely můžeme nechat beze změny (pozor, pokud zvolíte Trusted, bude vše normálně fungovat, ale na VC nebudou viditelní Wired klienti), pokračujte tlačítkem „Next“. Viz Obrázek 44.
Zde můžete zadat ACL, pokud je třeba. V našem případě necháme nastavení tak, jak je a znovu volbu potvrdíme tlačítkem „Next“. Viz Obrázek 45.
Dále přiřaďte vytvořený profil libovolnému portu (v případě, že konfiguruje SSID, tak bude tato záložka samozřejmě chybět) a vše potvrďte tlačítkem „Finish“. Viz Obrázek 46.  
V dalším kroku vytvořte routu, která bude posílat korporátní provoz do tunelu, viz Obrázek 47.
Zadejte korporátní IP rozsah a jako GW IP adresu VPN koncentrátoru (kontroléru) pro IPSec tunel, viz Obrázek 48.
íže můžete zkontrolovat zadanou routu ve VC, viz Obrázek 49.

Teď je již vše potřebné nastaveno a můžete provést kontrolu funčnosti nastavení. Připojte si klienta na zvolený port (případně SSID) a zkontrolujte, zda dostane IP adresu z VLAN 133. Poté vyzkoušejte dostupnost korporátní sítě (např. ping na nějakého klienta v síti; pokud nemáte, tak si nějakého připojte) a následně do internetu, viz Obrázek 50.
Jako poslední krok v této kapitole můžete zkontrolovat IAP-VPN tunel pomocí příkazu níže. Měli byste dostat velmi podobný výstup.    

6.5   Local L3 režim IAP-VPN

V režimu „Local L3“ se používá VLAN vytvořená přímo na virtuálním kontroléru (VC), v našem případě to je VLAN 144. DHCP server i default GW je u tohoto scénáře též na VC. Klientský provoz směřující do internetu je routován skrze VC a je třeba mít nastavenou zpětnou routu na pobočkovém FW. Při korporátním provozu (VLAN 1001), je klient za Source-NATem a je skryt za vnitřní IP adresu IPSec tunelu. Celá topologie viz Obrázek 51.

Následně přistupte k samotné konfiguraci. Nejprve vytvořte nový „Local DHCP Scope“, viz Obrázek 52.
 

Všechny parametry nastavte dle obrázku níže (viz Obrázek 53). Celou konfiguraci nezapomeňte uložit tlačítkem „Save“.
Přejděte do síťového nastavení a vytvořte nový profil, viz Obrázek 54.
Pojmenujte si VLAN a jako type zadejte Wired (pokud chcete použít VPN na SSID a nikoliv na fyzickém portu, tak zvolte Wireless a nechte se vést průvodcem, celá konfigurace je velice podobná jako pro fyzický port) a povrďte tlačítkem „Next“, viz Obrázek 55.  

Na další záložce zvolte mód portu a vyberte vámi vytvoření DHCP scope pro VLAN 144 a pokračujte dále tlačítkem „Next“, viz Obrázek 56. Tato záložka umožnuje nastavit zabezpečení portu. Pro naše účely můžeme nechat beze změny (pozor, pokud zvolíte Trusted, bude vše normálně fungovat, ale na VC nebudou viditelní Wired klienti), pokračujte tlačítkem „Next“, viz Obrázek 57. Zde můžete zadat ACL, pokud je třeba. V našem případě necháme nastavení tak, jak je a znovu volbu potvrdíme tlačítkem „Next“, viz Obrázek 58.
Dále přiřaďte vytvořený profil libovolnému portu (v případě, že konfiguruje SSID, tak bude tato záložka samozřejmě chybět) a vše potvrďte tlačítkem „Finish“, viz Obrázek 59. Pokud jste tak již neučinili dříve, tak v dalším kroku vytvořte routu, která bude posílat korporátní provoz do tunelu, viz Obrázek 60.
Zadejte korporátní IP rozsah a jako GW IP adresu VPN koncentrátoru (kontroléru) pro IPSec tunel, viz Obrázek 61.
Níže můžete zkontrolovat zadanou routu ve VC, viz Obrázek 62.

Teď je již vše potřebné nastaveno a můžete provést kontrolu funčnosti nastavení. Připojte si klienta na zvolený port (případně SSID) a zkontrolujte, zda dostane IP adresu z VLAN 144. Poté vyzkoušejte dostupnost korporátní sítě (např. ping na nějakého klienta v síti, pokud nemáte, tak si nějakého připojte) a následně do internetu, viz Obrázek 63.
 
Jako poslední krok v této kapitole můžete zkontrolovat IAP-VPN tunel pomocí příkazu níže. Měli byste dostat velmi podobný výstup.

6.6   Centralized L2 režim IAP-VPN

Režim „Centralized L2“ zajišťuje L2 VPN. DHCP server i default GW je u tohoto scénáře na kontroléru, nebo v datacentru (v našem testovacím prostředí máme DHCP i GW pro VLAN 1001 v korporátním routeru). Klientský provoz směřující do internetu je možné v tomto případě řešit dvěma způsoby. První je Source-NAT za IP adresou VC (režim split-tunnel), druhý způsob je tunelovat provoz do internetu v L2 režimu (full-tunnel). Při korporátním provozu (VLAN 1001) je klient kompletně v L2 režimu. Celá topologie ve split-tunnelu viz Obrázek 64. Topologie ve full-tunnelu viz Obrázek 65.  

Následně přistupte k samotné konfiguraci. Nejprve vytvořte nový „Centralized DHCP Scope“, viz Obrázek 66.
Všechny parametry nastavte dle obrázku níže (viz Obrázek 67). Celou konfiguraci nezapomeňte uložit tlačítkem „Save“.

Přejděte do síťového nastavení a vytvořte nový profil, viz Obrázek 68.  
Pojmenujte si VLAN a jako type zadejte Wired (pokud chcete použít VPN na SSID a nikoliv na fyzickém portu, tak zvolte Wireless a nechte se vést průvodcem, celá konfigurace je velice podobná jako pro fyzický port) a povrďte tlačítkem „Next“, viz Obrázek 69.

Na další záložce zvolte mód portu a vyberte vámi vytvoření DHCP scope pro VLAN 1001 a pokračujte dále tlačítkem „Next“, viz Obrázek 70.
 

Tato záložka umožnuje nastavit zabezpečení portu. Pro naše účely můžeme nechat beze změny (pozor, pokud zvolíte Trusted, bude vše normálně fungovat, ale na VC nebudou viditelní Wired klienti), pokračujte tlačítkem „Next“, viz Obrázek 71.
   

Zde můžete zadat ACL, pokud je třeba. V našem případě necháme nastavení tak, jak je a znovu volbu potvrdíme tlačítkem „Next“, viz Obrázek 72.
 

Dále přiřaďte vytvořený profil libovolnému portu (v případě, že konfiguruje SSID, tak bude tato záložka samozřejmě chybět) a vše potvrďte tlačítkem „Finish“, viz Obrázek 73.
 

Teď je již vše potřebné nastaveno a můžete provést kontrolu funčnosti nastavení, připojte si klienta na zvolený port (případně SSID) a zkontrolujte, zda dostane IP adresu z VLAN 1001. Poté vyzkoušejte dostupnost korporátní sítě (např. ping na nějakého klienta v síti, pokud nemáte, tak si nějakého připojte) a následně do internetu, viz Obrázek 74.
   

Dále můžete vyzkoušet dostupnost VLAN 100 přímo z korporátní VLAN 1001. Zkuste ping na IP vašeho klienta ve VLAN 100, viz Obrázek 75.
 

Jako poslední krok v této kapitole můžete zkontrolovat IAP-VPN tunel pomocí příkazu níže. Měli byste dostat velmi podobný výstup.





 

6.7   Centralized L3 režim IAP-VPN

V režimu „Centralized L3“ se používá VLAN vytvořená přímo na virtuálním kontroléru (VC), v našem případě to je VLAN 100. DHCP server je v korporátním FW a pro VC slouží jako DHCP relay agent. Default GW je přímo na VC. Klientský provoz směřující do internetu je za Source-NATem a klient vystupuje IP adresou VC. Při korporátním provozu (VLAN 1001), je klient routován z VLAN 100 do VLAN 1001, jelikož se jedná o L3 provoz (a GW pro VLAN 1001 je v korporátním FW), tak je třeba mít, pro dostupnost VLAN 100 z korporátní sítě, zpětnou routu na korporátním FW, kde cíl bude VLAN 100 a GW IP adresa kontroléru z VLAN 1001. Celá topologie viz Obrázek 76.

Následně přistupte k samotné konfiguraci. Nejprve vytvořte nový „Centralized DHCP Scope“, viz Obrázek 77.  

Všechny parametry nastavte dle obrázku níže (viz Obrázek 78). Celou konfiguraci nezapomeňte uložit tlačítkem „Save“.

Přejděte do síťového nastavení a vytvořte nový profil, viz Obrázek 79.

Pojmenujte si VLAN a jako type zadejte Wired (pokud chcete použít VPN na SSID a nikoliv na fyzickém portu, tak zvolte Wireless a nechte se vést průvodcem, celá konfigurace je velice podobná jako pro fyzický port) a povrďte tlačítkem „Next“, viz Obrázek 80.  

Na další záložce zvolte mód portu a vyberte vámi vytvoření DHCP scope pro VLAN 100 a pokračujte dále tlačítkem „Next“, viz Obrázek 81.

Tato záložka umožnuje nastavit zabezpečení portu. Pro naše účely můžeme nechat beze změny (pozor, pokud zvolíte Trusted, bude vše normálně fungovat, ale na VC nebudou viditelní Wired klienti), pokračujte tlačítkem „Next“, viz Obrázek 82.
 

Zde můžete zadat ACL, pokud je třeba V našem případě necháme nastavení tak, jak je a znovu volbu potvrdíme tlačítkem „Next“, viz Obrázek 83.
 

Dále přiřaďte vytvořený profil libovolnému portu (v případě, že konfiguruje SSID, tak bude tato záložka samozřejmě chybět) a vše potvrďte tlačítkem „Finish“, viz Obrázek 84.

Pokud jste tak již neučinili dříve, tak v dalším kroku vytvořte routu, která bude posílat korporátní provoz do tunelu, viz Obrázek 85.
 

Zadejte korporátní IP rozsah a jako GW IP adresu VPN koncentrátoru (kontroléru) pro IPSec tunel, viz Obrázek 86.
 

íže můžete zkontrolovat zadanou routu ve VC, viz Obrázek 87.  

 

Příkazem níže zkontrolujte, zda se routa z vašeho IAP-VPN DHCP scope propsala do kontroléru. Konkrétně jde o routu s příznakem „V“. Teď je již vše potřebné nastaveno a můžete provést kontrolu funčnosti nastavení, připojte si klienta na zvolený port (případně SSID) a zkontrolujte, zda dostane IP adresu z VLAN 100. Poté vyzkoušejte dostupnost korporátní sítě (např. ping na nějakého klienta v síti, pokud nemáte, tak si nějakého připojte) a následně do internetu, viz Obrázek 88.
   

Dále můžete vyzkoušet dostupnost VLAN 100 přímo z korporátní VLAN 1001. Zkuste ping na IP vašeho klienta ve VLAN 100, viz Obrázek 89.

Jako poslední krok v této kapitole můžete zkontrolovat IAP-VPN tunel pomocí příkazu níže. Měli byste dostat velmi podobný výstup.








   

6.8   Distributed L2 režim IAP-VPN

Režim „Distributed L2“ zajišťuje L2 VPN. DHCP server je na virtuálním kontroléru (VC) a default GW je na kontroléru nebo v datacentru (v našem testovacím prostředí máme GW pro VLAN 111 na kontroléru). V tomto scénáři je použita jako korporátní VLAN 111 (z důvodu vyzkoušení IAP-VPN do VLAN zakončené přímo na kontroléru). Klientský provoz směřující do internetu je za Source-NATem a klient vystupuje IP adresou VC. Při korporátním provozu (VLAN 111) je klient kompletně v L2 režimu. Celá topologie viz Obrázek 90.
 

Následně přistupte k samotné konfiguraci. Nejprve vytvořte nový „Distributed DHCP Scope“, viz Obrázek 91.
   

Všechny parametry nastavte dle obrázku níže (viz Obrázek 92). Pokračujte tlačítkem „Next“.
 

Nastavte počet klientů, který bude na konkrétní pobočce a pokračujte tlačítkem „Next“, viz Obrázek 93.

Pokud budete v síti používat statické IP, tak si zde nastavte počty rezervací od spodní a horní hranice DHCP poolu, vše potvrďte tlačítkem „Finish“ (viz Obrázek 94). Celou konfiguraci nezapomeňte uložit tlačítkem „Save“.
 

Přejděte do síťového nastavení a vytvořte nový profil, viz Obrázek 95.  

Pojmenujte si VLAN a jako type zadejte Wired (pokud chcete použít VPN na SSID a nikoliv na fyzickém portu, tak zvolte Wireless a nechte se vést průvodcem, celá konfigurace je velice podobná jako pro fyzický port) a povrďte tlačítkem „Next“, viz Obrázek 96.

Na další záložce zvolte mód portu a vyberte vámi vytvoření DHCP scope pro VLAN 111 a pokračujte dále tlačítkem „Next“, viz Obrázek 97.
 

Tato záložka umožnuje nastavit zabezpečení portu. Pro naše účely můžeme nechat beze změny (pozor, pokud zvolíte Trusted, bude vše normálně fungovat, ale na VC nebudou viditelní Wired klienti), pokračujte tlačítkem „Next“, viz Obrázek 98.

Zde můžete zadat ACL, pokud je třeba. V našem případě necháme nastavení tak, jak je a znovu volbu potvrdíme tlačítkem „Next“, viz Obrázek 99.  

Dále přiřaďte vytvořený profil libovolnému portu (v případě, že konfiguruje SSID, tak bude tato záložka samozřejmě chybět) a vše potvrďte tlačítkem „Finish“, viz Obrázek 100.

Teď je již vše potřebné nastaveno a můžete provést kontrolu funčnosti nastavení, připojte si klienta na zvolený port (případně SSID) a zkontrolujte, zda dostane IP adresu z VLAN 111. Poté vyzkoušejte dostupnost korporátní sítě (např. ping na nějakého klienta v síti, pokud nemáte, tak si nějakého připojte) a následně do internetu, viz Obrázek 101.  

Dále můžete vyzkoušet dostupnost VLAN 111 mezi klienty, ideálně aby druhý klient byl přímo v datacentru, viz Obrázek 75 (v příkladu na obrázku je testovací klient switch, ale můžete klienta libovolného).

Jako poslední krok v této kapitole můžete zkontrolovat IAP-VPN tunel pomocí příkazu níže. Měli byste dostat velmi podobný výstup.






   

6.9   Distributed L3 režim IAP-VPN

V režimu „Distributed L3“ se používá VLAN vytvořená přímo na virtuálním kontroléru (VC), v našem případě to je VLAN 222. DHCP server i default GW je ve VC. Klientský provoz směřující do internetu je za Source-NATem a klient vystupuje IP adresou VC. Při korporátním provozu (VLAN 1001), je klient routován z VLAN 222 do VLAN 1001, jelikož se jedná o L3 provoz (a GW pro VLAN 1001 je v korporátním FW), tak je třeba mít, pro dostupnost VLAN 222 z korporátní sítě, zpětnou routu na korporátním FW, kde cíl bude VLAN 222 a GW IP adresa kontroléru z VLAN 1001. Celá topologie viz Obrázek 103.

Následně přistupte k samotné konfiguraci. Nejprve vytvořte nový „Distributed DHCP Scope“, viz Obrázek 104.    

Všechny parametry nastavte dle obrázku níže (viz Obrázek 105). Pokračujte tlačítkem „Next“.

Nastavte počet klientů, který bude na konkrétní pobočce a pokračujte tlačítkem „Next“, viz Obrázek 106.

kud budete v síti používat statické IP, tak si zde nastavte počty rezervací od spodní a horní hranice DHCP poolu, vše potvrďte tlačítkem „Finish“ (viz Obrázek 107). Celou konfiguraci nezapomeňte uložit tlačítkem „Save“.

Přejděte do síťového nastavení a vytvořte nový profil, viz Obrázek 108.    

Pojmenujte si VLAN a jako type zadejte Wired (pokud chcete použít VPN na SSID a nikoliv na fyzickém portu, tak zvolte Wireless a nechte se vést průvodcem, celá konfigurace je velice podobná jako pro fyzický port) a povrďte tlačítkem „Next“, viz Obrázek 109.

Na další záložce zvolte mód portu a vyberte vámi vytvoření DHCP scope pro VLAN 100 a pokračujte dále tlačítkem „Next“, viz Obrázek 110.

Tato záložka umožnuje nastavit zabezpečení portu. Pro naše účely můžeme nechat beze změny (pozor, pokud zvolíte Trusted, bude vše normálně fungovat, ale na VC nebudou viditelní Wired klienti), pokračujte tlačítkem „Next“, viz Obrázek 111.

Zde můžete zadat ACL, pokud je třeba. V našem případě necháme nastavení tak, jak je a znovu volbu potvrdíme tlačítkem „Next“, viz Obrázek 112.  
Dále přiřaďte vytvořený profil libovolnému portu (v případě, že konfiguruje SSID, tak bude tato záložka samozřejmě chybět) a vše potvrďte tlačítkem „Finish“, viz Obrázek 113.

Pokud jste tak již neučinili dříve, tak v dalším kroku vytvořte routu, která bude posílat korporátní provoz do tunelu, viz Obrázek 114.

Zadejte korporátní IP rozsah a jako GW IP adresu VPN koncentrátoru (kontroléru) pro IPSec tunel, viz Obrázek 115.

Níže můžete zkontrolovat zadanou routu ve VC, viz Obrázek 116.  
Příkazem níže zkontrolujte, zda se routa z vašeho IAP-VPN DHCP scope propsala do kontroléru, konkrétně jde o routu s příznakem „V“.
Teď je již vše potřebné nastaveno a můžete provést kontrolu funčnosti nastavení, připojte si klienta na zvolený port (případně SSID) a zkontrolujte, zda dostane IP adresu z VLAN 222. Poté vyzkoušejte dostupnost korporátní sítě (např. ping na nějakého klienta v síti, pokud nemáte, tak si nějakého připojte) a následně do internetu, viz Obrázek 117.
Dále můžete vyzkoušet dostupnost VLAN 100 přímo z korporátní VLAN 1001. Zkuste ping na IP vašeho klienta ve VLAN 100, viz Obrázek 118.

Jako poslední krok v této kapitole můžete zkontrolovat IAP-VPN tunel pomocí příkazu níže. Měli byste dostat velmi podobný výstup.



   

7   Diagnostika

7.1   Troubleshooting na kontroléru

Většina diagnostiky se na kontroléru provádí v prostředí CLI (tedy je nutné se připojit buď lokální sériovou konzolí, nebo přes SSH). Ukázky níže slouží jako pomoc při odhalování nejčastějších potíží, určitě nepopisují všechny možné situace.
 

7.1.1   Práce se systémovým logem

V příkladech níže si zejména všimněte, že různé zprávy (resp. události) mohou v systémovém logu spadat do více kategorií.

Zobrazení posledních 10 zpráv v systémovém logu kontroléru:
Zobrazení poslední 10 zpráv v systémovém logu, které se týkají bezpečnosti a podobně:    

Zobrazení poslední 10 chybových zpráv v systémovém logu kontroléru:
Zobrazení posledních 10 zpráv v systémovém logu, které se týkají přihlašování uživatelů:    
 

7.1.2   Získávání informací o aktivních uživatelích

Seznam aktivních uživatelů a informací o nich (role, zdrojová IP adresa a další):  

7.1.3   Získávání informací o IPsec spojeních

Obecně jsou všechny podstatné informace o IPsec dostupné pod menu (*1) . K dalším příkladům mimo zde uvedené se dostanete snadno pomocí nápovědy v CLI(*2) (na konci příkazu stačí napsat otazník, jistě to znáte z jiných CLI prostředí).

Zobrazení informací o IPsec spojeních a jejich parametrech:
Zobrazení podrobných informací o konkrétní IPsec protistraně:

__________________________________________  
 
Zobrazení informací o ISAKMP spojeních a jejich parametrech:
Detailní informace o konkrétním ISAKMP spojení:  
 










   

 

Seznamy

 

 

Seznam tabulek

Tabulka 1: Limity kontrolérů pro IAP-VPN .................................................................................................................	4
Tabulka 2: Porovnání jednotlivých režimů pro IAP-VPN ........................................................................................	4

 

Seznam obrázků

Obrázek 1: Schéma testovací topologie ...................................................................................................................	6
Obrázek 2: Přihlášení do webového rozhraní kontroléru ....................................................................................	7
Obrázek 3: Přehled provozních informací po přihlášení do kontroléru ...........................................................	7
Obrázek 4: Přístup ke správě licencí skrze hlavní menu ......................................................................................	8
Obrázek 5: Přehled licencí aktuálně nahraných do kontroléru ..........................................................................	8
Obrázek 6: Dialog pro vložení licenčního klíče .......................................................................................................	8
Obrázek 7: Kontrola stavu licencí pro přidání nových ..........................................................................................	9
Obrázek 8: Menu pro zapnutí skrytých voleb ve webovém rozhraní ...............................................................	10
Obrázek 9: Nastavení zobrazování skrytých voleb ve webovém rozhraní ......................................................	10
Obrázek 10: Menu pro změnu konfiguračního kontextu ....................................................................................	11
Obrázek 11: Přehled konfiguračních kontextů s označením aktivního ............................................................	11
Obrázek 12: Změna konfiguračního kontextu .......................................................................................................	11
Obrázek 13: Menu pro přístup ke konfiguraci VLAN ............................................................................................	11
Obrázek 14: Vytvoření nové VLAN (pro přístup k internetu) ..............................................................................	12
Obrázek 15: Nasazení konfigurace nové VLAN do provozu ...............................................................................	12
Obrázek 16: Přístup k nastavení VLAN na portech ...............................................................................................	12
Obrázek 17: Přiřazení VLAN na konkrétní port ......................................................................................................	13
Obrázek 18: Nasazení konfigurace nové VLAN do provozu ...............................................................................	13
Obrázek 19: Nastavení IP adresy pro VLAN s přístupem k internetu ...............................................................	13
Obrázek 20: Zapnutí NAT provoz do internetu ......................................................................................................	14
Obrázek 21: Kontrola a aktivace nastavení IP adresy ...........................................................................................	14
Obrázek 22: Přidání nové výchozí brány ..................................................................................................................	15
Obrázek 23: Seznam existujících výchozích bran ..................................................................................................	15
Obrázek 24: Aktivace změn po nastavení nové výchozí brány ...........................................................................	15
Obrázek 25: Vytvoření VLAN 111 ...............................................................................................................................	15
Obrázek 26: Aktivace změn po nastavení vytvoření VLAN 111 ..........................................................................	15
Obrázek 27: Zadáni IP adresy pro VLAN 111 .........................................................................................................	16
Obrázek 28: Přiřazení VLAN 111 ke konkrétnímu portu .....................................................................................	16
Obrázek 29: Přidání nového NTP serveru ...............................................................................................................	17
Obrázek 30: Aktivace nastavení nového NTP serveru ..........................................................................................	17
Obrázek 31: Menu pro přístup k diagnostickým nástrojům ...............................................................................	17
Obrázek 32: Použití nástroje Ping pro otestování konektivity ............................................................................	18
Obrázek 33: Výsledek testu konektivity pomocí nástroje Ping ..........................................................................	18
Obrázek 34: Přidání IP poolu pro VPN služby a DNS ...........................................................................................	19
Obrázek 35: Nastavení MAC adresy IAP-VPN do whitelistu ................................................................................	20
Obrázek 36: Zadaná MAC IAP-VPN ve white listu ..................................................................................................	20
Obrázek 37: Nastavení Aruba IPSec na IAP ............................................................................................................	21
Obrázek 38: Topologie pro Local IAP-VPN režim ..................................................................................................	23
Obrázek 39: Vytvoření Local DHCP poolu pro VLAN 133 ....................................................................................	23
Obrázek 40: Nastavení parametrů pro VLAN 133 .................................................................................................	24
Obrázek 41: Vytvoření nového síťového profilu pro VLAN 133 .........................................................................	24
Obrázek 42: Nastavení názvu a typu síťového profilu pro VLAN 133 ...............................................................	24
Obrázek 43: Nastavení módu portu a přiřazení DHCP poolu pro VLAN 133 .................................................	25
Obrázek 44: Nastavení zabezpečení pro VLAN 133 ..............................................................................................	25
Obrázek 45: Nastavení ACL pro VLAN 133 ..............................................................................................................	25
Obrázek 46: Přiřazení VLAN 133 ke konkrétnímu portu AP ................................................................................	25

   

Obrázek 47: Vytvoření routy pro tunelování korporátní sítě 10.0.10.0/24 ......................................................	26
Obrázek 48: Nastavení routy pro tunelování korporátní sítě 10.0.10.0/24 .....................................................	26
Obrázek 49: Zadaná routa ve VC pro 10.0.10.0/24 ...............................................................................................	26
Obrázek 50: Kontrola funkčnosti režimu „Local“ ...................................................................................................	27
Obrázek 51: Topologie pro Local L3 IAP-VPN režim .............................................................................................	28
Obrázek 52: Vytvoření Local DHCP poolu pro VLAN 144 ....................................................................................	28
Obrázek 53: Nastavení parametrů pro VLAN 144 .................................................................................................	29
Obrázek 54: Vytvoření nového síťového profilu pro VLAN 144 ..........................................................................	29
Obrázek 55: Nastavení názvu a typu síťového profilu pro VLAN 144 ...............................................................	29
Obrázek 56: Nastavení módu portu a přiřazení DHCP poolu pro VLAN 144 .................................................	30
Obrázek 57: Nastavení zabezpečení pro VLAN 144 .............................................................................................	30
Obrázek 58: Nastavení ACL pro VLAN 144 ..............................................................................................................	30
Obrázek 59: Přiřazení VLAN 144 ke konkrétnímu portu AP ................................................................................	30
Obrázek 60: Vytvoření routy pro tunelování korporátní sítě 10.0.10.0/24 ......................................................	31
Obrázek 61: Nastavení routy pro tunelování korporátní sítě 10.0.10.0/24 .....................................................	31
Obrázek 62: Zadaná routa ve VC pro 10.0.10.0/24 ...............................................................................................	31
Obrázek 63: Kontrola funkčnosti režimu „Local L3“ ..............................................................................................	32
Obrázek 64: Topologie pro Centralized L2 IAP-VPN režim ve split-tunnelu ....................................................	33
Obrázek 65: Topologie pro Centralized L2 IAP-VPN režim ve full-tunnelu ......................................................	33
Obrázek 66: Vytvoření Centralized DHCP pro VLAN 1001 ...................................................................................	34
Obrázek 67: Nastavení parametrů pro VLAN 1001 ...............................................................................................	34
Obrázek 68: Vytvoření nového síťového profilu pro VLAN 1001 .......................................................................	34
Obrázek 69: Nastavení názvu a typu síťového profilu pro VLAN 1001 .............................................................	35
Obrázek 70: Nastavení módu portu a přiřazení DHCP poolu pro VLAN 1001 ...............................................	35
Obrázek 71: Nastavení zabezpečení pro VLAN 1001 ...........................................................................................	35
Obrázek 72: Nastavení ACL pro VLAN 1001 ...........................................................................................................	36
Obrázek 73: Přiřazení VLAN 1001 ke konkrétnímu portu AP .............................................................................	36
Obrázek 74: Kontrola funkčnosti režimu „Centralized L2“ ze strany klienta ...................................................	36
Obrázek 75: Kontrola funkčnosti režimu „Centralized L2“ ze strany korporátní sítě ....................................	37
Obrázek 76: Topologie pro Centralized L3 IAP-VPN režim ..................................................................................	38
Obrázek 77: Vytvoření Centralized DHCP pro VLAN 100 .....................................................................................	38
Obrázek 78: Nastavení parametrů pro VLAN 100 .................................................................................................	39
Obrázek 79: Vytvoření nového síťového profilu pro VLAN 100 ..........................................................................	39
Obrázek 80: Nastavení názvu a typu síťového profilu pro VLAN 100 ...............................................................	39
Obrázek 81: Nastavení módu portu a přiřazení DHCP poolu pro VLAN 100 .................................................	40
Obrázek 82: Nastavení zabezpečení pro VLAN 100 ..............................................................................................	40
Obrázek 83: Nastavení ACL pro VLAN 100 ..............................................................................................................	40
Obrázek 84: Přiřazení VLAN 100 ke konkrétnímu portu AP ................................................................................	40
Obrázek 85: Vytvoření routy pro tunelování korporátní sítě 10.0.10.0/24 ......................................................	41
Obrázek 86: Nastavení routy pro tunelování korporátní sítě 10.0.10.0/24 .....................................................	41
Obrázek 87: Zadaná routa ve VC pro 10.0.10.0/24 ...............................................................................................	41
Obrázek 88: Kontrola funkčnosti režimu „Centralized L3“ ze strany klienta ...................................................	42
Obrázek 89: Kontrola funkčnosti režimu „Centralized L3“ ze strany korporátní sítě ....................................	43
Obrázek 90: Topologie pro Distributed L2 IAP-VPN režim ..................................................................................	44
Obrázek 91: Vytvoření Distributed DHCP pro VLAN 111 .....................................................................................	44
Obrázek 92: Nastavení parametrů pro VLAN 111 .................................................................................................	45
Obrázek 93: Nastavení počtu klientů pro VLAN 111 .............................................................................................	45
Obrázek 94: Nastavení rezervací pro VLAN 111 .....................................................................................................	45

 

Obrázek 95: Vytvoření nového síťového profilu pro VLAN 111 .........................................................................	45
Obrázek 96: Nastavení názvu a typu síťového profilu pro VLAN 111 ...............................................................	46
Obrázek 97: Nastavení módu portu a přiřazení DHCP poolu pro VLAN 111 .................................................	46
Obrázek 98: Nastavení zabezpečení pro VLAN 111 ..............................................................................................	46
Obrázek 99: Nastavení ACL pro VLAN 111 ..............................................................................................................	46
Obrázek 100: Přiřazení VLAN 111 ke konkrétnímu portu AP .............................................................................	47
Obrázek 101: Kontrola funkčnosti režimu „Distributed L2“ ze strany klienta ................................................	47
Obrázek 102: Kontrola funkčnosti režimu „Distributed L2“ ze strany korporátní sítě .................................	48
Obrázek 103: Topologie pro Distributed L3 IAP-VPN režim ...............................................................................	49
Obrázek 104: Vytvoření Distributed DHCP pro VLAN 222 ..................................................................................	49
Obrázek 105: Nastavení parametrů pro VLAN 222 ..............................................................................................	50
Obrázek 106: Nastavení počtu klientů pro VLAN 222 ..........................................................................................	50
Obrázek 107: Nastavení rezervací pro VLAN 222 ..................................................................................................	50
Obrázek 108: Vytvoření nového síťového profilu pro VLAN 222 .......................................................................	50
Obrázek 109: Nastavení názvu a typu síťového profilu pro VLAN 222 .............................................................	51
Obrázek 110: Nastavení módu portu a přiřazení DHCP poolu pro VLAN 222 ...............................................	51
Obrázek 111: Nastavení zabezpečení pro VLAN 222 ...........................................................................................	51
Obrázek 112: Nastavení ACL pro VLAN 222 ............................................................................................................	51
Obrázek 113: Přiřazení VLAN 222 ke konkrétnímu portu AP .............................................................................	52
Obrázek 114: Vytvoření routy pro tunelování korporátní sítě 10.0.10.0/24 ...................................................	52
Obrázek 115: Nastavení routy pro tunelování korporátní sítě 10.0.10.0/24 ..................................................	52
Obrázek 116: Zadaná routa ve VC pro 10.0.10.0/24 ............................................................................................	52
Obrázek 117: Kontrola funkčnosti režimu „Distributed L3“ ze strany klienta .................................................	53
Obrázek 118: Kontrola funkčnosti režimu „Distributed L3“ ze strany korporátní sítě .................................	54