October 23, 2019
  • 6:47 pm Google Drive – Roskakorin tyhjentäminen ei onnistu – “Palvelimella tapahtui virhe. Yritä myöhemmin uudelleen.”
  • 4:31 pm Opinnäytetyö – Roskapostin torjuntakeinot suomalaisissa IT-alan yrityksissä
  • 6:30 pm Office 365 – Yksittäisten tai useiden käyttäjätilien luominen | Office 365 Admin Center & PowerShell
  • 10:09 pm Office 365 – Yhdistäminen tenanttiin PowerShellillä
  • 2:15 pm NameCheap – Kaupallisen SSL-sertifikaatin uusiminen

Johdanto

Kuvaan tässä kotiverkkoni nykyisen konfiguraation omaa dokumentaatiotani varten. Jos konfiguraatiossa on jotain pahasti pielessä, olet tervetullut huomauttamaan asiasta kommenttiosiossa. Verkko koostuu seuraavista laitteista:

  • Ubiquiti EdgeRouter X (reititin)
  • Netgear GS108Ev3 (hallittava kytkin)
  • Ubiquiti UniFi UAP-AC-Lite (langaton AP)

 

Verkko on jaettu viiteen virtuaalisen lähiverkkoon (VLAN), joiden välisiä yhteyksiä on rajattu reitittimen palomuurisäännöillä. VLAN-verkkojen välinen reititys toteutettiin Router on a stick -tavalla, eli kytkimen ja reitittimen välillä on yksi Trunk-linkki, joka kuljettaa useiden eri VLAN-verkkojen liikennettä ali-interfacejen kautta. Hallittavan kytkimen ja langattoman AP:n välillä on toinen Trunk, joka kuljettaa eri langattomien verkkojen VLAN-liikenteen. Langattomia verkkoja on kokonaisuudessaan kolme.

Kaikki verkkolaitteet ovat samassa ylläpitoverkossa VLAN99. Siirrän henkilökohtaisen koneeni kyseiseen verkkoon ainoastaan, kun minun tulee tehdä muutoksia verkon konfiguraatioon. Muulloin se on täysin erillään kotiverkkoni päätelaitteista.

Verkkolaitteiden ylläpito-osoitteet:

DeviceVLANIPv4 AddressSubnet MaskDefault GatewayDescription
EdgeRouterXVLAN9910.0.99.1255.255.255.0n/aMaintenance
NetgearSWVLAN9910.0.99.100255.255.255.010.0.99.1Maintenance
UAP-AC-LiteVLAN9910.0.99.200255.255.255.010.0.99.1Maintenance

Reititin: Ubiquiti EdgeRouter X

VLAN-verkot:

Hinnastaan huolimatta EdgeRouter X sisältää monia yrityslaitteista tuttuja ominaisuuksia. Reitittimen interfacelle eth1 on luotu viisi virtuaalista ali-interfacea, jotka kuuluvat omiin VLAN-verkkoihinsa. VLAN-verkot jakautuvat seuraavasti:

  • VLAN10 – Pyhahima Internal (verkko kodin luotetuille kiinteille laitteille, kuten pöytäkoneelle)
  • VLAN20 – Pyhahima Internal WLAN (verkko kodin luotetuille langattomille laitteille, kuten kannettavalle tietokoneelle)
  • VLAN30 – Pyhahima IoT (verkko kodin IoT-laitteille: Raspberry Pi, ESP-12E jne.)
  • VLAN40 – Pyhahima Guest (vierasverkko)
  • VLAN99 – Maintenance (verkon ylläpitoa varten)

 

Jokaiselle on luotu oma ali-interface eth1-interfacen alaisuuteen. Ali-interfacen numero täsmää VLAN-verkon numeron kanssa:

Esimerkki VLAN10-verkon ja sen ali-interfacen eth1.10 tiedoista:

Reitittimen osoitetaulukko näyttää tältä:

InterfaceIPv4 AddressSubnet MaskDefault GatewayDescription
Eth1.1010.0.10.1255.255.255.0N/APyhahima Internal (VLAN10)
Eth1.2010.0.20.1255.255.255.0N/APyhahima Internal WLAN (VLAN20)
Eth1.3010.0.30.1255.255.255.0N/APyhahima IoT (VLAN30)
Eth1.4010.0.40.1255.255.255.0N/APyhahima Guest (VLAN40)
Eth1.9910.0.99.1255.255.255.0N/AMaintenance (VLAN99)

Reititin loi itse automaattisesti reitityssäännöt verkkoja varten:

DHCP:

Jokaiselle VLAN-verkolle on luotu omat DHCP-poolit, joista ne jakavat IP-osoitteet verkkoon kuuluville päätelaitteille. Esimerkki VLAN10-verkon DHCP-poolista:

Kaikki DHCP-poolit:

DHCP PoolSubnetRange StartRange StopNetwork
VLAN10-Pyhahima-Internal-DHCP10.0.10.0/2410.0.10.510.0.10.254Pyhahima Internal
VLAN20-Pyhahima-Internal-WLAN-DHCP10.0.20.0/2410.0.20.510.0.20.254Pyhahima Internal WLAN
VLAN30-Pyhahima-IoT10.0.30.0/2410.0.30.510.0.30.254Pyhahima IoT
VLAN40-Pyhahima-Guest10.0.40.0/2410.0.40.510.0.40.25Pyhahima Guest
VLAN99-Maintenance10.0.99.0/2410.0.99.510.0.99.25Maintenance
Palomuuri:

VLAN-verkkojen ali-interfaceihin on myös konfiguroitu palomuurisäännöt, jotka rajoittavat pääsyä tietyistä verkoista toisiin. Verkot saavat liikennöidä sisäverkossa seuraavasti:

  • VLAN10: Pääsy VLAN20.
  • VLAN20: Pääsy VLAN10.
  • VLAN30: Ei pääsyä muihin VLAN-verkkoihin.
  • VLAN40: Ei pääsyä muihin VLAN-verkkoihin.
  • VLAN99: Pääsy VLAN10, 20, 30 ja 40.

 

Jokaista VLAN-verkkoa varten on luotu uusi sääntölista (ruleset), joiden oletustoiminto on pudottaa paketit (drop).

VLAN10 sääntölista:

  • Listan ensimmäinen sääntö sallii kaikki protokollat, joiden tila on joko “Established” tai “Related”. “Established” tarkoittaa kaikkea sitä liikennettä, joka on jo assosioitu johonkin olemassa olevaan yhteyteen, jossa liikennettä on kulkenut molempiin suuntiin. “Related” tarkoittaa kaikkea sitä liikennettä, joka on seurausta uudesta yhteydestä, mutta joka on assosioitu jo olemassa olevaan yhteyteen liittyväksi.
  • Listan toinen sääntö sallii kaikki protokollat verkosta 10.0.99.0/24, eli ylläpitoverkosta (VLAN99), jolla on pääsy kaikkiin muihin VLAN-verkkoihin.
  • Listan kolmas sääntö sallii kaikki protokollat verkosta 10.0.20.0/24, eli luotetusta langattomasta lähiverkosta Pyhahima Internal WLAN (VLAN 20).

 

VLAN20 sääntölista:

VLAN20 sääntölista on lähes identtinen VLAN10:n kanssa, mutta tässä kolmas sääntö sallii kaikki protokollat verkosta 10.0.10.0/24, eli luotetusta kiinteästä lähiverkosta Pyhahima Internal (VLAN10). VLAN10 ja 20 voivat siis kommunikoida esteettä keskenään.

 

VLAN30 sääntölista:

  • Listan ensimmäinen sääntö sallii kaikki protokollat, joiden tila on joko “Established” tai “Related”.
  • Listan toinen sääntö sallii kaikki protokollat verkosta 10.0.99.0/24, eli ylläpitoverkosta (VLAN99), jolla on pääsy kaikkiin muihin VLAN-verkkoihin.

 

VLAN40 sääntölista:

VLAN40 sääntölista on identtinen VLAN30:n kanssa. Säännöissä ei ole eroa.

 

VLAN99 sääntölista:

  • Listan ensimmäinen sääntö sallii kaikki protokollat, joiden tila on joko “Established” tai “Related”.
  • Muita sääntöjä ei tarvita, sillä pääsyä ylläpitoverkkoon muista verkoista ei ole.

Lopuksi kukin sääntölista määriteltiin toimimaan kunkin VLAN-verkon ali-interfacessa seuraavan esimerkin mukaisesti:

Eli VLAN10:n sääntölistan mukaiset säännöt pätevät kaikkeen eth1.10-interfacelta ulospäin suuntautuvaan (outbound) liikenteeseen. Kyseessä on siis se liikenne, joka lähtee reitittimen virtuaalisesta interfacesta eth1.10 kyseistä VLAN10-verkkoa kohti (reitittimeltä VLAN10-verkon laitteille).

HUOM: Jotta kykenin testaamaan VLAN-verkkojen välisiä sääntöjä, jouduin ottamaan Windows 10:n palomuurin pois molemmilta eri verkoissa VLAN 10 ja 20 olevilta testikoneilta. Ilmeisesti Windowsin palomuuri estää oletuksena paketit verkoista, jotka eivät ole samassa sisäverkossa. Windowsin palomuuria varten tulee siis tehdä omat säännöt.

Hardware Offloading:

Reitittimessä on otettu laitteistopohjainen offloading käyttöön. Tällöin reititin suorittaa toimintojaan suoraan fyysistä rautaansa hyödyntäen, eikä ohjelmallisesti pelkän prosessorin toimesta.

Toiminto otettiin käyttöön SSH-yhteydellä seuraavia komentoja käyttäen:

configure
set system offload hwnat enable
commit
save
exit


Kytkin: NetGear GS108E-300PES

Kytkimen portit on konfiguroitu NetGearin ProSafe Plus Configuration Utilityn kautta seuraavasti:

PortModeVLANs (T/U)
1AccessVLAN10 (Untagged)
2AccessVLAN10 (Untagged)
3AccessVLAN10 (Untagged)
4TrunkVLAN20 (Tagged)
VLAN30 (Tagged)
VLAN40 (Tagged)
VLAN99 (Untagged)
5AccessVLAN30 (Untagged)
6AccessVLAN30 (Untagged)
7AccessVLAN 99 (Untagged)
8TrunkVLAN10 (Tagged)
VLAN20 (Tagged)
VLAN30 (Tagged)
VLAN40 (Tagged)
VLAN99 (Tagged)

Eniten ongelmia tuotti portin 4 konfigurointi, joka toimi Trunk-porttina ja oli kiinni langattomassa AP:ssa. Ubiquitin UniFi UAP-AC-Litellä oli VLAN99-verkon IP-osoite 10.0.99.200. Siihen ei saatu yhteyttä UniFi Controller -ohjelmistosta, joka oli asennettu samassa verkossa olleelle pöytäkoneelle. Aluksi kaikkiin portin 4 VLAN-verkkoihin oli laitettu 802.1Q VLAN -tagit. UniFi AP ei kuitenkaan ollut itse tietoinen siitä, mihin VLAN-verkkoon sen tulisi kuulua, eikä siltä kytkimelle lähtevä liikenne siten kuulunut mihinkään VLAN-verkkoon. Ongelma korjaantui poistamalla tagi VLAN99-verkon liikenteestä kyseisessä Trunk-portissa 4. Sitten portin 4 PVID:ksi asetettiin 99 (native VLAN). Tällöin kaikki liikenne, jossa ei ole tagia, katsotaan kuuluvan native VLAN99:een. Yhteys UniFi Controllerin ja AP:n kanssa alkoi muutoksen jälkeen toimimaan.

VLAN-verkot eri porteissa:

PVID-asetukset kullekin portille (native VLAN):


Langaton AP: Ubiquiti UniFi UAP-AC-Lite

Ubiquiti UniFi UAP-AC-Liten AP on konfiguroitu pöytäkoneelle asennetun UniFi Controller -ohjelmiston kautta. Laitteelle on annettu staattinen IP-osoite VLAN99-verkosta.

Langattomalle AP:lle on luotu kolme WLAN-verkkoa, joista jokainen kuuluu omiin VLAN-verkkoihinsa:

Esimerkki Pyhahima Internal WLAN -verkon asetuksista:


TÄTÄ DOKUMENTTIA SAA KOPIOIDA JA MUOKATA GNU GENERAL PUBLIC LICENSE (VERSIO 3 TAI UUDEMPI) MUKAISESTI. HTTP://WWW.GNU.ORG/LICENSES/GPL.HTML
MARKUS PYHÄRANTA
Markus Pyhäranta

LEAVE A COMMENT