Meraki

MyHomeNWLab · ‎Oct 20 2023

Auto VPN Port Change FAQ Change: New article. It seems to affect the existing environment.

MyHomeNWLab · ‎Oct 2 2023

Meraki MVの選定するモデルと、要件に応じて大きく変動するので一元的な予算感は出せないと思います。私はMVは使ったことがないので主要な要素を調べてみましたが、検討が必要な要素を社内の関係者で予め議論した上で、代理店などに見積もり依頼を行うのが良いかと存じます。検討が必要な要素としては下記があると思います。 ●Meraki MV本体のモデル MX72の場合の型番の例: MV72-HW ●Meraki MV Enterpriseライセンス (年間ライセンス) ライセンスのモデル依存は無しです。型番は LIC-MV-<年数>YR になります。例: LIC-MV-3YR 必要な年数は十分に検討してください。最近はコロナや半導体不足の影響で一部ライセンスに値上げの傾向があったので、1年単位で更新するか、必要年数を予め買っておくかが重要な検討要素になると思います。 ●オプションのマウントアームマウントの仕方によってアームを選ぶ必要があるようです。参考: https://documentation.meraki.com/MV/Physical_Installation/MV_Mounting_Options_and_Guidelines ●電源供給の確保 (PoE, PoE Injector, 一部モデルは MA-PWR-USB-JP) 基本的にはPoE給電できれば追加コストは不要になりますが、 MV2だと USP Type-C で電源供給する都合で MA-PWR-USB-JP が必要なようです。 ●要件次第: MV Cloud Archive (年間ライセンス) クラウド側に長期間データを保存する場合に必要なライセンスです。モデルによってライセンスの型番が異なるので留意してください。要件に応じて任意で購入してください。 ●要件次第: Cisco Meraki RMA Only Service 機器の障害だと判定された際に、機器交換を【より迅速に行うため】のサービスです。大量導入する際は、1台あたりに加算されるRMA Only Serviceのコストがネックになるので、 (RMA Only Serviceは購入はせずに)予備機を何台か用意しておいて、通常のプロセスでRMAを行うケースもあります。 ●要件次第: MV Senseライセンス Meraki MV向けの下記のようなAPIを利用するのに追加のライセンスが必要なようです。 https://developer.cisco.com/meraki/mv-sense/overview/#introduction MVの第2世代モデルがOrganizationに登録されていると10個のTrialライセンスを取得できるので、 MV Senseの使用有無に関わらず、1台の導入であれば購入検討は不要になると思います。 https://documentation.meraki.com/MV/MV_Smart_Camera_FAQ#How_does_licensing_work.3F > MV Sense licensing works on a per-camera basis (it does not co-terminate). Each organization (new or old) with second-generation cameras (trials included) should already have ten free MV Sense licenses. These licenses do not expire. 型番: LIC-MV-SEN-<年数>YR MV本体のモデルは下記のカタログから検討するのが良いかと存じます。 https://meraki.cisco.com/ja-jp/product-collateral/cisco-meraki-solution-brochure/ 念のためEoL情報も確認しておくとよいです。 https://documentation.meraki.com/General_Administration/Other_Topics/Meraki_End-of-Life_(EOL)_Products_and_Dates

MyHomeNWLab · ‎Sep 1 2023

ちなみにWalled Gardenの設定してないときは、アカウント入力してEnterキーを押下したら下記のエラーが出ました。 400. That’s an error. The server cannot process the request because it is malformed. It should not be retried. That’s all we know.

MyHomeNWLab · ‎Sep 1 2023

関連トピック (Related Topic) Google Workspaceとの認証について - The Meraki Community https://community.meraki.com/t5/-/-/m-p/206728 検証時の情報を上記のスレッドの方に書き込みましたので、検索などで見つけた他の方向けに誘導リンクを仕込んでおきます。

MyHomeNWLab · ‎Sep 1 2023

実機で検証したので設定方法を共有します。まず「Meraki MRによるSplash PageでのGoogle Workspace (旧G Suite)のOAuth認証」のメインとなる設定は下記のドキュメントの通りです。 Google Sign-In - Cisco Meraki https://documentation.meraki.com/MR/MR_Splash_Page/Google_Sign-In 注記: SSIDで接続した段階の認証ではなく、Splash Pageを使った仕組みなので混同しないようにしてください。ただし、その設定だけだとSplash Pageで "Sign in with Google" でログイン試行しようとすると、ログイン画面のページ遷移が必要になりますがSplash Pageでブロックされるようです。そのため、下記のWalled Gardenのドキュメントを参考にして、GoogleのOAuthの通信に必要なドメインを認証前 (prior to sign-on)でも通せるように設定します。 Using Google OAuth Splash with a Walled Garden - Cisco Meraki https://documentation.meraki.com/General_Administration/Cross-Platform_Content/Using_Google_OAuth_Splash_with_a_Walled_Garden Walled Garden - Cisco Meraki https://documentation.meraki.com/General_Administration/Cross-Platform_Content/Walled_Garden 【Walled garden の設定の説明 (Dashboardの上の情報より)】 Manually specify an IP range or domain names users can access prior to sign-on. Meraki's splash page is automatically included in your walled garden. If you host your own splash page you must enter its information here. Googleの方の最新のドキュメントを見ると、2023年09月01日時点では下記がWalled gardenへの登録対象です。ただし clients*.google.com は * (ワイルドカード)が文字列"中"にあるので、そのままだと登録できなかったです。私は検証環境だったので適当に *.google.com に読み替えて登録しました。 Gmail のファイアウォールの設定 - Google Workspace 管理者ヘルプ https://support.google.com/a/answer/9497877 *.client-channel.google.com accounts.google.com apis.google.com clients*.google.com contacts.google.com *.googleusercontent.com mail.google.com ssl.gstatic.com www.google.com www.gstatic.com ogs.google.com play.google.com 【clients*.google.com を登録時のエラーメッセージ】 There were errors in saving this configuration: Walled garden field is neither a subnet, a domain name, nor a domain wildcard: clients*.google.com 【考慮点】運用上の注意点としては、HTTP (80/tcp)の非暗号化 (Not HTTPS)の通信でSplash Pageがキックされるようにする必要があります。ドキュメント上では http://neverssl.com/ が紹介されています。これは一般的なCaptive Portalでの考慮点と共通だと思います。また、セキュリティ強化された都合でそれが制限にもなっているので、 Guest Wi-Fiのような幅広くユーザーに公開するようなサービスだと、ユーザーの持ち込みデバイスや使い方次第で問い合わせが増えるかもしれません。 Google Developers Japan: セキュリティが強化された OAuth フローで Google OAuth インタラクションの安全性が向上 https://developers-jp.googleblog.com/2022/03/oauth-google-oauth.html Upcoming security changes to Google's OAuth 2.0 authorization endpoint in embedded webviews — Google for Developers Blog - News about Web, Mobile, AI and Cloud https://developers.googleblog.com/2021/06/upcoming-security-changes-to-googles-oauth-2.0-authorization-endpoint.html

MyHomeNWLab · ‎Jul 21 2023

Public Beta has been started. https://docs.thousandeyes.com/whats-new/changelog#public-beta-thousandeyes-on-meraki-mx > 2023-07-20 > Public Beta: ThousandEyes on Meraki MX BETA: Meraki MX ThousandEyes Configuration Guide - Cisco Meraki https://documentation.meraki.com/MI/Meraki_MX_ThousandEyes_Configuration_Guide

MyHomeNWLab · ‎Jul 15 2023

It is sold in Japan as a capsule toy. Japanese product name: 手のひらネットワーク機器 Meaningful translation into English: Network devices in the palm of your hand The following article is a press release from the Japanese company (APC Communications) that supervised the project. https://www.ap-com.co.jp/pressrelease/post-9718 This was made possible through the cooperation of various network vendors. It was very popular and sold out quickly in Japan. I ran out to buy one too. > an idea for the next round of swag Nice idea!

MyHomeNWLab · ‎Jul 10 2023

異なるメーカーのNW機器同士になるため、お互いのVPN関連パラメータのチューニング状況を見るために、・Meraki MX側ではDashboardのEvent Logでエラーを確認して・YAMAHA RTX側ではデバッグログで、パラメータのミスマッチなどの情報を追うしかないかなと思います。また、VPNトンネルを張れたとしてもUpgradeによって挙動が変わる可能性があるので、運用的なリスクは想定しておいた方がよいかと存じます。最悪の場合でVPNトンネルを張れないなど。見逃しやすい点として、VPNトンネルは張れて正常系は問題なくても、障害時に切り替わり/切り戻しがうまくいかないケースも聞くので、 Upgradeする度に本番環境での障害試験も必須になってくるかもしれません。私見混じりになりますが、クラウド管理型のMerakiは、コントローラ側の進化に合わせて基本的にMXデバイス側もFirmwareを最新に保つべきような製品特性となっております。 Firmware Upgradeの自動スケジューリングも無効化できないので、バージョン塩漬け前提の導入は向かない点に留意してください。※Upgradeのキャンセルはできますが毎回作業が必要です。 (導入せざるを得ないのかもしれませんが、念のためリスクに関しても記載させて頂きました。)

MyHomeNWLab · ‎Jul 5 2023

Splash Pageを有効化すると、端末がMeraki MRに無線LAN接続している状態であれば、 1. 認証が通る前 (Before)は、"Meraki MR経由"の通信がブロックされて、 2. 認証が通った後 (After)は、"Meraki MR経由"の通信が許可される挙動になっています。そのため、仰られていることが「社外 (Internet)からゲスト用無線ネットワークへの"外部アクセス"」の観点であれば、そもそもMeraki MRを起点とした通信ではないためSpash Pageのアクセス制御対象にはならなくなっております。そして、Splash PageのURLを控えていても、(VPNトンネルを張るような仕組みではないので、)外部からゲスト用無線ネットワークへは侵入できない仕組みです。また、Splash Pageのリダイレクトに用いられるURL (例: https://nXXX.network-auth.com/splash/ ... )に関しては、 Internet上に公開されているので外部からのアクセスはできます。実機で試しましたが、ゲストアカウントの認証自体は通るように見えました。ただ、時間経過によるタイムアウトなどで挙動は変わるかもしれません。内部的な動作の話なのであまり深くは追及しない方がいいとは思います。 ※備考: Splash PageのURL後半部分はMACアドレスやIPアドレスなどが変数情報として入ります。私の質問意図の解釈が違っていた場合は、想定されている侵入シナリオなどを補足頂くと他の方からも返信がつきやすくなるかなと思います。ゲスト用無線ネットワークとなるとユーザーの使い勝手に影響する点があるので、 Merakiの営業担当者に検証機の貸し出しを相談して、事前に挙動を見て導入リスクを低減する方法もあるかなと思います。

MyHomeNWLab · ‎May 26 2023

AI-Powered Auto RF was shown in Early Access.

MyHomeNWLab · ‎May 18 2023

AI-Powered Auto RF: Use AI to Bring Meraki Towards RF Excellence! Change: New article. My organization does not show AI-Powered Auto RF. Are there any licensing or model requirements?

MyHomeNWLab · ‎May 10 2023

According to the Neat (not Polycom) article, Meraki's DHCP option 42 causes NTP synchronization problems in some cases. It may be the same problem. NTP issue with Cisco Meraki Network - Neat Support https://support.neat.no/article/meraki-and-ntp-issues-with-neat-firmware/ > Issue specific to Cisco Meraki networks > Cisco Meraki networks have a known behaviour wherein, if no valid NTP server is configured by the network administrator, the Meraki Gateway populates the ‘DHCP option 42’ field with its own IP address. However, Meraki Gateway is not an NTP server and therefore it doesn’t respond to any NTP traffic.

MyHomeNWLab · ‎Mar 25 2023

Meraki MX (Physical Device) is one license per set (Single Device or Warm-Spare Pair). Meraki vMX (Virtual MX) is one license per device. Therefore, Availability Zone is irrelevant. As a reminder, vMX (Virtual MX) does not support Warm-Spare.

MyHomeNWLab · ‎Mar 13 2023

When using Umbrella Roaming Client, 127.0.0.1 is registered as the Windows DNS setting. This specification may cause conflicts if DNS settings are changed by the VPN Client during the VPN connection. It is recommended that you check to see whether your environment corresponds to the restrictions. Umbrella Roaming Client (standalone): Compatibility Guide for Software and VPNs – Cisco Umbrella https://support.umbrella.com/hc/en-us/articles/230561147-Umbrella-Roaming-Client-VPNs-and-VPN-Compatibility > The Umbrella roaming client binds to all network adapters and changes DNS settings on the computer to 127.0.0.1 (localhost). This allows the Umbrella roaming client to forward all DNS queries directly to Umbrella while allowing resolution of local domains through the Internal Domains feature. > *The Umbrella roaming client is partially incompatible with VPN clients which monitor and force local DNS settings to remain the VPN-set values;

MyHomeNWLab · ‎Mar 3 2023

I think the main important setting elements are as follows. * Configure Warm-Spare for Meraki MX device redundancy; Warm Spare operates in Active Standby. MX Warm Spare - High-Availability Pair - Cisco Meraki https://documentation.meraki.com/MX/Deployment_Guides/MX_Warm_Spare_-_High_Availability_Pair * Meraki MX does not speak STP. Meraki MX transmits received BPDUs transparently. Therefore, Meraki MS runs STP for loop prevention purposes (Default value: Enabled). Note that Meraki MX does not have LAG feature. MX Layer 2 Functionality - Cisco Meraki https://documentation.meraki.com/MX/Networks_and_Routing/MX_Layer_2_Functionality I think the other setting elements (VLANs, WAN Load Balancing, etc.) are up to your network design.

MyHomeNWLab · ‎Mar 3 2023

I think you should organize what you want to do to avoid misconceptions. Your Organization's feature level is set to Enterprise. - A. You want to continue to use the Enterprise features. - B. However, you want to use the Advanced features.

MyHomeNWLab · ‎Feb 26 2023

When vMX (Virtual MX) is in Routed Mode (Limited NAT mode), there is no reachability from the Azure side to the branch office side. This behavior is similar to a typical Router or Firewall, where communication from the WAN (Internet/Untrust) to the LAN (Trust) is discarded. Please consider using Passthrough or VPN Concentrator Mode. [Related Documents] vMX NAT Mode Use Cases and FAQ - Cisco Meraki https://documentation.meraki.com/MX/Other_Topics/vMX_NAT_Mode_Use_Cases_and_FAQ vMX Setup Guide for Microsoft Azure - Cisco Meraki https://documentation.meraki.com/MX/MX_Installation_Guides/vMX_Setup_Guide_for_Microsoft_Azure

MyHomeNWLab · ‎Feb 17 2023

I have previously contacted Meraki Technical Support to confirm the recognition of the RMA. The aforementioned is a summary of that conversation. Unfortunately, I don't know of any tools to check the warranty period (Not the license period). The standard RMA seems to ship a replacement unit within one business day in the best case. In the Japanese distributor's information, I also saw a description of next-business-day shipping. By comparison, the "Cisco Meraki RMA Only Service" offers a choice of service levels for shipping time and on-site support. Returns (RMAs), Warranties and End-of-Life Information - Cisco Meraki https://documentation.meraki.com/General_Administration/Other_Topics/Returns_(RMAs)%2C_Warranties_and_End-of-Life_Information > To request a Return Materials Authorization (RMA), please call Cisco Meraki technical support. Unless you have purchased Meraki Now, advance replacement orders will ship within 1 business day on a best case effort basis. Note: Meraki Now = Cisco Meraki RMA Only Service Cisco Meraki RMA Only Service https://www.cisco.com/c/dam/en_us/about/doing_business/legal/service_descriptions/docs/meraki-rma-only-service.pdf [Japanese article] iDATEN(韋駄天)｜ Cisco Meraki 保守サービスの種類 https://www.idaten.ne.jp/portal/page/out/mss/cisco/mainte/meraki.html

MyHomeNWLab · ‎Feb 16 2023

If the product is within the warranty period and Meraki Technical Support determines that the product is faulty, an RMA can be performed. "Cisco Meraki RMA Only Service" (e.g. CON-ROB-XXX) is an option to enhance the quality of RMA. In order for Meraki Technical Support to determine that a product is a faulty product, a license is virtually required to make an inquiry.

MyHomeNWLab · ‎Feb 16 2023

他の方の参考にもなるようにまず前提情報を整理しますが、 Datasheetに記載のあるPoE capabilitiesは(ポート単位ではなく)スイッチ"全体"のPoE最大電力です。 MS Family Datasheet https://meraki.cisco.com/product-collateral/ms-family-datasheet/ https://meraki.cisco.com/lib/pdf/meraki_datasheet_ms_family.pdf その次にPoE最大電力に関わる挙動ですが、下記ドキュメントの「PoE Power Budgeting」を見ると、「実際の消費電力」の合計が「使用可能な電力」を超えるまで電源供給がされ続ける挙動のようです。ただし、下位ポート番号に優先して電力供給されるので、超過時は上位ポート番号への供給が停止する旨の記載もあります。 PoE Support on MS Switches - Cisco Meraki https://documentation.meraki.com/MS/Other_Topics/PoE_Support_on_MS_Switches そのため、無線APの実稼働時の消費電力さえ低ければ、最大電力を上回らない範囲で接続は出来る可能性があります。しかし、無線APは負荷状況で消費電力が変動する恐れがあり、導入直後は問題なくても社員や来訪客 (ゲスト)が増えた段階で問題に発展する可能性が捨てきれないと思われます。よって、実務で設計するなら無線APの消費電力を少なく見積もるのはトラブルの原因になるかと存じます。また参考程度に実機で無線APを何台も繋いで、予算 (BUDGETED)が超過した際のDashboardの表示を掲載します。スクリーンショットは MS120-8LP (PoE/PoE+最大電力: 67 W)です。 [i マークより CONSUMPTION の意味] Total Consumed PoE power on all active switchports that have PoE devices plugged in v/s the Total PoE budget of the switch. [i マークより BUDGETED の意味] Total Budgeted/Advertised PoE power on all active switchports that have PoE devices plugged in v/s the Total PoE budget of the switch.

MyHomeNWLab · ‎Feb 15 2023

Meraki vMX on Azure belongs to the Managed Resource group and cannot be configured. In addition, it is necessary to belong to an existing virtual network because it is not possible to change the configuration. vMX Setup Guide for Microsoft Azure - Cisco Meraki https://documentation.meraki.com/MX/MX_Installation_Guides/vMX_Setup_Guide_for_Microsoft_Azure#Deployment_Details > Virtual network: Choose an existing virtual network from the list; minimum allowed prefix size for the virtual network is /24 and max is /8

MyHomeNWLab · ‎Jan 20 2023

Just FYI, if a Guest User exists in the Client VPN, the following error occurs. > The server encountered an SSO error. Please contact your network administrator for assistance. > > For reference, your login was at Oct 02 06:55:55 UTC from #.#.#.#. Please consider this specification as well when implementing SSO. The relevant menu item is "User Management" section from "Security & SD-WAN > Client VPN".

MyHomeNWLab · ‎Jan 20 2023

If the user already exists as a Non-SAML User in Meraki Dashboard, "true" will be displayed. You should first check the SSO log. Go to "Organization > Administrators" and display "SAML Login History". For example, the log will appear as follows Found existing non-SAML user with email USERNAME@domain.test

MyHomeNWLab · ‎Jan 17 2023

> I had restarted the branch MX to ensure that the tunnel was re-established and still working with the setup, which it was (unless you mean restart the VMX?) It was meant to restart vMX (Virutal MX). > My understanding of what was happening was the static route on the VMX does not go active, and is ignored in VMX routing lookups, and all VMX traffic (except traffic to branch sites) is sent out the default route. Yes, if the route is inactive with Static Route Tracking, I think that would be the behavior. Just FYI, topologies that accommodate MPLS on LAN ports take advantage of this behavior. Integrating an MPLS Connection on the MX LAN - Cisco Meraki https://documentation.meraki.com/MX/Networks_and_Routing/Integrating_an_MPLS_Connection_on_the_MX_LAN > So the static route is always inactive, but always advertises the Azure subnets to branch sites. This is expected behavior. Even if Static Route Tracking is Inactive, routes are ALWAYS advertised to the Auto VPN Peer. Within the SD-WAN Fabric, Routed Mode cannot have duplicate routes. This eliminates the need to track status changes and reroute routes. I have previously contacted support about this behavior. If you are forced to use Full Tunnel & Limited NAT mode, there is a Local Internet Breakout feature as a mitigation measure. It is only a mitigation measure... VPN Full-Tunnel Exclusion (Application and IP/URL Based Local Internet Breakout) - Cisco Meraki https://documentation.meraki.com/MX/Site-to-site_VPN/VPN_Full-Tunnel_Exclusion_(Application_and_IP%2F%2FURL_Based_Local_Internet_Breakout)

MyHomeNWLab · ‎Jan 16 2023

I did not find sufficient information in the documentation, so I previously contacted support to confirm the specifications. At the time I was also confused. > -I have managed to set this up as split tunnel, by creating a static route to the subnets in Azure that I want my branch sites to reach. I had never tried this method. It feels like a tricky workaround. As a prerequisite, the instance must be restarted to reflect the vMX settings. Static Route is installed statically from Meraki Cloud to other MXs, so it is reflected without restarting. I am wondering if it will work after rebooting. For your information, I will share a case study that I know of. If "Subnet (e.g. 192.168.128.0/24)"" setting is configured when VPN mode is Enable, the route will be publicized to other MXs without rebooting. This is because Auto VPN Route is installed statically from Meraki Cloud to other MXs. Therefore, the communication may appear to be working without problems. In other words, the Split Tunnel appears to be working. But, after rebooting, the route to "Subnet (e.g. 192.168.128.0/24)" becomes equivalent to Null0 and communication is no longer possible. Regardless of the mode of vMX, I don't think it is expected to communicate from the Azure subnet to the Internet via vMX. It is not possible with One-Armed Concentrator, at least not because it is not source NATed. Since communication from the Public Cloud side to the Branch side is not possible in Limited NAT mode, it is assumed that communication to the Internet side is also not possible. It is similar to a typical NAT Router that does not allow WAN to LAN communication. (Unless you are setting up Static NAT, etc.) In the case of your requirements, though, it is WAN to WAN (Uplink to Uplink). Perhaps a dedicated Firewall product would be suitable. Previously, changing vMX to Limtied NAT mode required contacting support. (Previously, The vMX "Addressing & VLANs" configuration menu did not appear.)) However, since the vMX mode setting screen now appears, I think it was matched with the default mode of MX. Whether it is appropriate for the customer or not. That is my guess.

About MyHomeNWLab

MyHomeNWLab

Community Record

Badges