Opções de configuração de switches

Escolha um servidor de autenticação para validar nomes de usuário e senhas, certificados ou outros fatores de autenticação fornecidos pelos usuários.

• Mist Auth — Configure o Juniper Mist Access Assurance, um serviço de autenticação baseado em nuvem, em seu switch. Para que essa opção funcione, você deve usar uma porta com autenticação dot1x ou MAB. Para obter informações, veja o Guia de garantia de acesso da Juniper Mist.

• RADIUS — Selecione essa opção para configurar um servidor de autenticação RADIUS e um servidor de contabilidade, para permitir a autenticação de portas dot1x no nível do switch. Para que a autenticação de porta dot1x funcione, você também precisa criar um perfil de porta que use autenticação dot1x, e você deve atribuir esse perfil a uma porta no switch.

  Os números de porta padrão são:

  • porta 1812 para o servidor de autenticação

  • porta 1813 para o servidor de contabilidade

set system authentication-order radius
set system radius-server radius-server-IP port 1812
set system radius-server radius-server-IP secret secret-code
set system radius-server radius-server-IP source-address radius-Source-IP
set system login user remote class class

set system login user RO class read-only
set system login user OP class operator
set system login user SU class super-user
set system login user remote full-name "default remote access user template"
set system login user remote class read-only

Para usar a autenticação do TACACS+ no dispositivo, você deve configurar informações sobre um ou mais servidores TACACS+ na rede. Você também pode configurar a contabilidade TACACS+ no dispositivo para coletar dados estatísticos sobre os usuários fazendo login em ou fora de uma LAN e enviar os dados para um servidor de contabilidade TACACS+.

Além disso, você pode especificar uma função de usuário para usuários autenticados do TACACS+ dentro da configuração do switch. As seguintes funções de usuário estão disponíveis: Nenhuma, administradora, leitura, helpdesk. Quando os usuários autenticados do TACACs+ não têm uma conta de usuário configurada no dispositivo local, o Junos atribui a eles uma conta de usuário nomeada como "remota" por padrão.

A faixa de portas suportada para TACACS+ e servidores de contabilidade é de 1 a 65535.

Configure as configurações do servidor de nome de domínio (DNS). Você pode configurar até três endereços IP DNS e sufixos em formato separado de vírgula.

Configure o Simple Network Management Protocol (SNMP) no switch para oferecer suporte ao gerenciamento e monitoramento da rede. Você pode configurar o SNMPv2 ou o SNMPv3. Aqui estão as opções de SNMP que você pode configurar:

• Opções em SNMPv2 (V2)

  • Geral — Especifique o nome, a localização, as informações de contato administrativo e uma breve descrição do sistema gerenciado. Ao usar o SNMPv2, você tem a opção de especificar o endereço fonte para pacotes de armadilha SNMP enviados pelo dispositivo. Se você não especificar um endereço de origem, o endereço da interface de saída é usado por padrão.

  • Cliente — defina uma lista de clientes SNMP. Você pode adicionar várias listas de clientes. Essa configuração inclui um nome para a lista de clientes e endereços IP dos clientes (em formato separado de vírgula). Cada lista de clientes pode ter vários clientes. Um cliente é um prefixo com /32 máscara.

  • Trap Group — Crie um grupo de hosts nomeado para receber as notificações de armadilha especificadas. Pelo menos um grupo de armadilhas deve ser configurado para que as armadilhas SNMP sejam enviadas. A configuração inclui os seguintes campos:

    • Nome do grupo — Especifique um nome para o grupo trap.

    • Categorias — Escolha entre a lista a seguir das categorias. Você pode selecionar vários valores.

      • autenticação

      • chassi

      • configuração

      • link

      • operações remotas

      • roteamento

      • Serviços

      • inicialização

      • eventos vrrp

    • Alvos — Especifique os endereços IP alvo. Você pode especificar vários alvos.

    • Versão — Especifique o número de versão das armadilhas SNMP.

  • Comunidade — definir uma comunidade SNMP. Uma comunidade SNMP é usada para autorizar clientes SNMP por seu endereço IP de origem. Ele também determina a acessibilidade e as permissões (somente leitura ou leitura) para objetos MIB específicos definidos em uma visão. Você pode incluir uma lista de clientes, informações de autorização e uma visão na configuração da comunidade.

  • Visualização (aplicável tanto ao SNMPv2 quanto ao SNMPv3) — Defina uma visão MIB para identificar um grupo de objetos MIB. Cada objeto na vista compartilha um prefixo de identificador de objeto comum (OID). As visualizações do MIB permitem que um agente tenha mais controle sobre o acesso a galhos e objetos específicos em sua árvore MIB. Uma visão é composta por um nome e uma coleção de OIDs SNMP, que podem ser explicitamente incluídos ou excluídos.

• Opções em SNMPv3 (V3)

  • Geral — Especifique o nome, a localização, as informações de contato administrativo e uma breve descrição do sistema gerenciado. Ao usar o SNMPv2, configure um ID do mecanismo, que serve como um identificador exclusivo para entidades SNMPv3.

  • USM — Configure as configurações do modelo de segurança baseado no usuário (USM). Essa configuração inclui um nome de usuário, tipo de autenticação e um tipo de criptografia. Você pode configurar um mecanismo local ou um mecanismo remoto para o USM. Se você selecionar um mecanismo remoto, especifique um identificador de motor no formato hexadecimal. Este ID é usado para computar o digestão de segurança para autenticar e criptografar pacotes enviados a um usuário no host remoto. Se você especificar a opção local engine, a ID do mecanismo especificada na guia geral é considerada. Se nenhuma ID do mecanismo for especificada, a mist local está configurada como o valor padrão.

  • VACM — Definir um modelo de controle de acesso baseado em visualização (VACM). Um VACM permite definir privilégios de acesso para um grupo. Você pode controlar o acesso filtrando os objetos MIB disponíveis para operações de leitura, gravação e notificar usando uma visualização predefinida (você deve definir as visualizações necessárias primeiro na guia Visualizações). Cada vista pode ser associada a um modelo de segurança específico (v1, v2c ou usm) e nível de segurança (autenticado, privacidade ou nenhum). Você também pode aplicar configurações de segurança (você tem a opção de usar configurações de USM já definidas aqui) ao grupo de acesso das configurações de Segurança a Grupo.

  • Notificar — Selecione as metas de gerenciamento do SNMPv3 para notificações e especifique o tipo de notificação. Para configurar isso, atribua um nome à notificação, escolha os alvos ou tags que devem receber as notificações e indique se deve ser uma armadilha (não confirmada) ou uma notificação de informação (confirmada).

  • Target — Configure os parâmetros de processamento e segurança de mensagens para o envio de notificações a um determinado alvo de gerenciamento. Você também pode especificar o endereço IP alvo aqui.

  • Visualização (aplicável tanto ao SNMPv2 quanto ao SNMPv3) — Defina uma visão MIB para identificar um grupo de objetos MIB. Cada objeto na vista compartilha um prefixo de identificador de objeto comum (OID). As visualizações do MIB permitem que um agente tenha mais controle sobre o acesso a galhos e objetos específicos em sua árvore MIB. Uma visão é composta por um nome e uma coleção de OIDs SNMP, que podem ser explicitamente incluídos ou excluídos.

Para obter mais informações, veja Configurar SNMP em switches.

Configure rotas estáticas. O switch usa rotas estáticas quando:

• Ele não tem uma rota com um valor de preferência melhor (menor).

• Ele não pode determinar a rota para um destino.

• Ele precisa encaminhar pacotes que não podem ser roteados.

A Mist oferece suporte a endereços IPv4 e IPv6 para rotas estáticas. O suporte IPv6 está disponível para endereços de destino e próximo salto.

Tipos de rotas estáticas suportadas:

• Sub-rede — Se você selecionar essa opção, especifique os endereços IP para a rede de destino e o próximo salto.

• Rede — Se você selecionar essa opção, especifique um VLAN (contendo um ID VLAN e uma sub-rede) e o endereço IP do próximo salto.

• Métrica — O valor métrica para a rota estática. Esse valor ajuda a determinar a melhor rota entre várias rotas para um destino. Faixa: 0 a 4294967295.

• Preferência — O valor de preferência é usado para selecionar rotas para destinos em sistemas autônomos externos (ASs) ou domínios de roteamento. As rotas dentro de um AS são selecionadas pelo IGP e são baseadas na métrica ou valor de custo desse protocolo. Faixa: 0 a 4294967295.

• Descarte — Se você selecionar esta caixa de verificação, os pacotes endereçados a este destino serão descartados. Descartar tem precedência sobre outros parâmetros.

Depois de especificar os detalhes, clique na marca de verificação (✓) no canto superior direito da janela adicionar rotas estáticas para adicionar a configuração ao modelo.

Para configurar quaisquer configurações adicionais que não estejam disponíveis na GUI do modelo, você pode usar comandos de CLI definidos .

Por exemplo, você pode configurar uma mensagem de login personalizada para exibir um aviso aos usuários, aconselhando-os a não fazer nenhuma alteração de CLI diretamente no switch. Aqui está um exemplo de como você pode fazê-lo:

set system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

Para excluir um comando CLI que já foi adicionado, use o delete comando, conforme mostrado no exemplo a seguir:

delete system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

• Definir uma área de caminho mais curto aberto primeiro (OSPF). OSPF é um protocolo de roteamento de estado de enlace usado para determinar o melhor caminho para o encaminhamento de pacotes IP em uma rede IP. O OSPF divide uma rede em áreas para melhorar a escalabilidade e controlar o fluxo de informações de roteamento. Para obter mais informações sobre as áreas de OSPF, veja esta documentação do Junos: Configurando áreas de OSPF.

• Habilite ou desabite a configuração de OSPF no switch.

Habilite a opção de espionagem DHCP para monitorar mensagens DHCP de dispositivos não confiáveis conectados ao switch. A espionagem do DHCP cria um banco de dados para acompanhar essas mensagens. Isso ajuda a evitar a aceitação de pacotes DHCPOFFER em portas não confiáveis, assumindo que eles se originam de servidores DHCP não autorizados.

A configuração de DHCP tem as seguintes opções:

• All Networks — Selecione a caixa de verificação All Networks para permitir a espionagem de DHCP em todas as VLANs.

• Redes — Se você quiser habilitar a espionagem de DHCP apenas em redes específicas, clique em Adicionar (+) na caixa de Redes e adicione as VLANs necessárias.

• Inspeção do Protocolo de Resolução de Endereços (ARP) — permite que esse recurso bloqueie qualquer ataque homem-no-meio. A Inspeção de ARP examina o endereço MAC de origem em pacotes ARP recebidos em portas não confiáveis. Ele valida o endereço contra o banco de dados de espionagem DHCP. Se o endereço MAC de origem não tiver uma entrada correspondente (vinculação IP-MAC) no banco de dados, ele derruba os pacotes.

  Você pode verificar as estatísticas de ARP usando os seguintes comandos CLI: show dhcp-security arp inspection statisticse show log messages | match DAI.

  O dispositivo registra o número de pacotes ARP inválidos que recebe em cada interface, juntamente com os endereços IP e MAC do remetente. Você pode usar essas mensagens de log para descobrir a spoofing de ARP na rede.

• Proteção de origem IP — o proteção de origem IP valida os endereços IP e MAC de origem recebidos em portas não confiáveis contra entradas no banco de dados de espionagem DHCP. Se os endereços de origem não tiverem entradas correspondentes no banco de dados, o IP Source Guard descarta o pacote.

  Nota:

  O IP Source Guard funciona apenas com o modo de autenticação de usuário 802.1X de um único suplicante.

Um dispositivo com um endereço IP estático pode não ter uma ligação MAC-IP correspondente no banco de dados de espionagem DHCP, se você tiver conectado o dispositivo a uma porta não confiável no switch. Para verificar o banco de dados de espionagem DHCP em seu switch e visualizar as ligações, use o comando show dhcp-security bindingCLI. Este comando fornecerá a você informações sobre as ligações DHCP registradas no banco de dados de espionagem.

Configure as configurações do SYSLOG para configurar como as mensagens de log do sistema são tratadas. Você pode configurar configurações para enviar mensagens de log do sistema para arquivos, destinos remotos, terminais de usuário ou para o console do sistema. Aqui estão as opções de configuração disponíveis para configurações do SYSLOG:

• Arquivos — Envie mensagens de log para um arquivo nomeado.

• Hosts — Envie mensagens de log para um local remoto. Este pode ser um endereço IP ou nome de host de um dispositivo que será notificado sempre que essas mensagens de log forem geradas.

• Usuários — notifiquem um usuário específico do evento de log.

• Console — Envie mensagens de log de uma classe e gravidade específicas para o console. As mensagens de log incluem informações prioritárias, que fornecem detalhes sobre a instalação e os níveis de gravidade das mensagens de log.

• Arquivo — Definir parâmetros para arquivar mensagens de log.

• Geral — Especifique informações gerais, como um formato de tempo, instância de roteamento e endereço fonte para as mensagens de log.

ESPELHAMENTO DE PORTA

Configure o espelhamento de porta.

Espelhamento de porta é a capacidade de um roteador enviar uma cópia de um pacote para um endereço de host externo ou um analisador de pacotes para análise. Na configuração de espelhamento de porta, você pode especificar o seguinte:

• Entrada: A origem (uma interface ou rede) do tráfego a ser monitorado. Junto com a entrada, você pode especificar se deseja que a Mist monitore o tráfego de entrada ou o tráfego de saída para uma interface. Se você quiser que o tráfego de entrada e saída seja monitorado, adicione duas entradas de entrada para a mesma interface — uma com a bandeira de entrada e outra com a bandeira de saída.

• Saída: a interface de destino à qual você deseja espelhar o tráfego. Você não pode especificar a mesma interface ou rede nos campos de entrada e saída.

Política de roteamento

Configure políticas de roteamento para toda a organização (Organização > modelos de switches) ou para um site (Configuração do switch > do site). Essas políticas de roteamento só serão empurradas para a configuração do switch se estiverem vinculadas ao Protocolo de roteamento BGP. As políticas de roteamento que já estão definidas na guia BGP de um switch agora serão exibidas na guia Política de roteamento. As políticas de roteamento estão vinculadas a protocolos como BGP ou OSPF. Uma estrutura de política de roteamento é composta por regras padrão para cada protocolo de roteamento. Essas regras determinam quais rotas o protocolo coloca na tabela de roteamento e anuncia a partir da tabela de roteamento. A configuração de uma política de roteamento envolve a definição de termos, que consistem em condições e ações de correspondência a serem aplicadas a rotas correspondentes.

Para configurar uma política de roteamento:

1. Clique em Adicionar política de roteamento no azulejo da política de roteamento.

2. Forneça um nome à política e clique em Adicionar Termos.

3. Forneça um nome ao termo e especifique outros detalhes de correspondência, como:

   • Prefixo

   • Como caminho

   • Protocolo

   • Comunidade — um atributo de rota usado pelo BGP para agrupar rotas administrativamente com propriedades semelhantes.

   • Em seguida , ação (Aceitar ou rejeitar) a ser aplicada nas rotas correspondentes.

   • Adicionar ação — ações adicionais, como o caminho AS do prepend, definir a comunidade e definir a preferência local.

4. Clique na marca de verificação (✓) à direita do título add term para salvar o termo. Você pode adicionar vários termos.

5. Clique em Adicionar para salvar a política de roteamento.

Digite um texto que deseja que os usuários vejam quando fazem login no switch. Exemplo: "Aviso! Este switch é gerenciado pela Juniper Mist. Não faça nenhuma alteração de CLI." Você pode inserir até 2048 caracteres.

Com o VRF, você pode dividir um switch da Série EX em várias instâncias de roteamento virtual, isolando efetivamente o tráfego dentro da rede. Você pode definir um nome para VRF, especificar as redes associadas a ele e incluir quaisquer rotas adicionais necessárias. Você pode especificar endereços IPv4 ou IPv6 para a rota adicional.

Configurações básicas para identificar e habilitar a porta.

• Tronco — As interfaces de tronco normalmente se conectam a outros switches, APs e roteadores na LAN. Nesse modo, a interface pode estar em várias VLANs e pode multiplexar o tráfego entre diferentes VLANs. Especifique a rede de portas, a rede VoIP (se aplicável) e as redes tronco.

• Acesso — modo padrão. As interfaces de acesso normalmente se conectam a dispositivos de rede, como PCs, impressoras, telefones IP e câmeras IP. Neste modo, a interface pode ser apenas em um único VLAN. Especifique a rede de porta e a rede VoIP (se aplicável).

• Rede de portas e rede VoIP — selecione as VLANs para esta porta.

Selecione esta opção para habilitar a autenticação IEEE 802.1X para controle de acesso à rede baseado em porta. A autenticação 802.1X é suportada em interfaces que são membros de VLANs privadas (PVLANs).

As opções a seguir estão disponíveis se você habilitar a autenticação dot1x em uma porta:

• Permita várias suplicantes — Selecione essa opção para permitir que vários dispositivos finais se conectem à porta. Cada dispositivo é autenticado individualmente.

• VLAN dinâmico — Especifique VLANs dinâmicas que serão devolvidas pelo atributo do servidor RADIUS "tunnel-private-group-ID" ou "Egress-VLAN-Name". Essa configuração permite que uma porta realize uma atribuição VLAN dinâmica.

• Autenticação MAC — Selecione esta opção para habilitar a autenticação MAC para a porta. Quando essa opção é selecionada, você também pode especificar um Protocolo de Autenticação. Se você especificar um protocolo, ele deve ser usado por suplicantes para fornecer credenciais de autenticação.

• Use a Guest Network — Selecione esta opção para usar uma rede de convidados para autenticação. Em seguida, selecione uma Rede de convidados na lista de quedas.

• Contorne a autenticação quando o servidor estiver desativado — se você selecionar essa opção, os clientes podem entrar na rede sem autenticação se o servidor estiver desativado.

• Intervalo de reauthenticação — Em um perfil de porta de switch que usa autenticação dot1x, você pode configurar um timer que controla com que frequência um cliente se reauthentica com o servidor RADIUS. O valor recomendado é de 6 a 12 horas (21600 a 43200 segundos). O valor padrão é de 65000 segundos.

Você também precisa fazer o seguinte para que a autenticação dot1x funcione:

• Configure um servidor RADIUS para autenticação do ponto1x do azulejo dos servidores de autenticação na seção de configuração de todos os switches do modelo.

• Atribua um perfil de porta do ponto1x a uma porta de switch para que a configuração RADIUS seja empurrada para o switch. Você pode fazer isso a partir da guia Configuração de porta na seção de configuração de switches selecionados do modelo.

  Passe o mouse sobre a porta para ver o campo VLAN atribuído por RADIUS. As portas com dot1x habilitados recebem uma nova VLAN pelo servidor RADIUS quando a autenticação 802.1x for bem sucedida. Essa visão é especialmente útil ao verificar se uma determinada VLAN em uma porta mudou após a autenticação do ponto1x.

  Figura 1: VLAN atribuída por raio em uma porta Dot1x

Velocidade

Mantenha a configuração padrão, Auto ou selecione uma velocidade

Duplex

Mantenha a configuração padrão, auto ou selecione metade ou inteira.

O valor padrão: 0

Alcance suportado: 0 a 16383

Habilite a porta para oferecer suporte ao poder sobre ethernet (PoE).

Configure a porta como uma porta de borda de protocolo de spanning tree rápida (RSTP), se quiser habilitar a proteção da Unidade de Dados de Protocolo de Ponte (BPDU) em uma porta. O RSTP é habilitado em portas às quais os clientes que não participam do RSTP estão conectados. Essa configuração garante que a porta seja tratada como uma porta de borda e protege contra a recepção de BPDUs. Se você conectar um dispositivo sem borda em uma porta configurada com o RSTP Edge, a porta será desativada. Além disso, a página Switch Insights gera um evento bloqueado por BPDU de porta. O painel frontal sobre os detalhes do switch também exibirá um erro de BPDU para esta porta.

Você pode limpar a porta do erro de BPDU selecionando a porta no Painel frontal e, em seguida, clicando em Erros claros de BPDU.

Você não deve habilitar o RSTP Edge na porta Uplink.

Você também pode configurar o RSTP Edge no nível do switch, a partir da seção de perfil de porta na página de detalhes do switch.

Ponto a ponto do RSTP

Essa configuração muda o modo de interface para ponto a ponto. Os links ponto a ponto são links dedicados entre dois nós de rede ou switches que conectam uma porta a outra.

RSTP sem porta raiz

Essa configuração impede que a interface se torne uma porta raiz.

Habilite a qualidade de serviço (QoS) para que a porta priorize o tráfego sensível à latência, como voz, sobre outros tráfegos em uma porta.

Você tem a opção de substituir a configuração de QoS na página de configurações de WLAN (Site > WLANs > nome WLAN). Para substituir a configuração de QoS, selecione a caixa de verificação QoS override e escolha uma aula de acesso sem fio. O tráfego downstream (AP > cliente) fica marcado com o valor de classe de acesso de substituição especificado. A configuração de substituição não oferece suporte ao tráfego upstream (> AP do cliente).

Veja também: Configuração de QoS.

Para obter mais informações, veja Entendendo o Controle de Tempestades.

Habilite o MAC persistente (Sticky) para reter endereços MAC para estações de trabalho e servidores confiáveis aprendidos pela interface, mesmo após a reinicialização de um dispositivo. Você pode configurar o Sticky MAC para clientes com fio estático. O Sticky MAC não se destina a ser usado em interfaces AP da Juniper Mist, nem é compatível com portas de tronco ou aquelas configuradas com autenticação 802.1X.

Usado em conjunto com o MAC Limits (explicado acima), o Sticky MAC protege contra ataques de negação de serviço (DoS) de Camada 2, ataques de transbordamento na tabela de comutação Ethernet e ataques dhCP, ao mesmo tempo em que permite que a interface aprenda endereços MAC dinamicamente. No portal Mist, a página Insights relata esses eventos como MAC Limit Exceeded .

Você configura os limites sticky MAC e MAC como parte do perfil de porta para o switch. O procedimento geral é demonstrado neste vídeo:

Você deve habilitar explicitamente a opção de aprendizado MAC persistente (Sticky), localizada na parte inferior do bloco de configuração do Perfil de Porta, para incluir o Sticky MAC como parte do perfil de porta que você associa com a interface. Para limites MAC, o valor padrão é 0 (ilimitado, ou seja, desativado), mas você pode habilitá-lo estabelecendo um valor de até 16383 endereços MAC exclusivos permitidos.

Para ver no portal da Mist qual valor foi definido para o MAC Limit ou o MAC Count, selecione um switch na página dos switches e passe o mouse sobre uma porta de switch. Você pode ver qual (porta) perfil é aplicado à interface e, por extensão, conhecer seu status Sticky MAC.

Figura 2: Detalhes da porta mostrando MAC pegajoso

O limite mac configurado e o número de MACs aprendidos aparecerão após alguns minutos, à medida que o aprendizado dinâmico na interface progride. No painel da Mist, apenas a contagem máxima de endereços MAC é mostrada. No entanto, você pode ver todos os endereços MAC que uma determinada interface aprendeu abrindo uma Shell remota para o switch e executando os seguintes comandos Junos CLI:

show ethernet-switching table persistent-learning
show ethernet-switching table persistent-learning interface

A contagem de MAC é um valor persistente que permanece até que o endereço MAC seja liberado (ou até que ele seja desativado no Perfil de Porta e, em seguida, essa configuração é empurrada para o switch).

Para limpar os endereços MAC em uma determinada interface do painel da Mist, você precisa estar logado como Administrador de rede ou Super Usuário. Em seguida, basta selecionar a porta que deseja no painel frontal do switch (conforme mostrado na Figura 1) e clicar no botão Clear MAC [Dinâmico/Persistente] que aparece.

Na página do Switch Insights, o evento aparece como um MAC Limit Reset evento.

Para obter mais informações sobre o painel frontal, veja detalhes do switch.

Habilite essa opção se quiser que essa regra se aplique a todos os switches que tenham o mesmo modelo. Em seguida, selecione o modelo.

Insira a variável de sub-rede ou local.

Digite valor ou tag de origem GBP para pacotes originados por host (intervalo: 1 a 65535).

Clique + e adicione os recursos que você precisa para mapear para os usuários ou grupos selecionados. Você pode usar as tags GBT aqui também, se você já as definiu.

Por padrão, os usuários têm acesso aos recursos adicionados. Se você quiser negar o acesso do usuário a determinados recursos, clique no rótulo de recursos que você adicionou e defina o acesso para negar.