Kassinipedia

Initial Setup y Management Plane (F5)

Se lee en 5 min

Initial Setup y Management Plane (F5)

Resumen

Un BIG-IP recién instalado solo se administra por su puerto de gestión (mgmt), que viene con la IP 192.168.1.245/24, usuario admin / admin en la GUI y root / default por consola o SSH. Esta nota deja el equipo listo para trabajar: cambiar las contraseñas, darle a la gestión su IP y ruta, configurar hostname, DNS y NTP, y limitar quién puede administrarlo.
El BIG-IP tiene dos “planos”. El control plane (Linux: GUI, tmsh, monitores, logs) usa la interfaz mgmt y su propia ruta de gestión. El data plane (TMM) mueve el tráfico de las aplicaciones por las interfaces 1.1, 1.2… con sus VLANs y self IPs. Que algo funcione en uno no significa que funcione en el otro.

Requisitos previos

  • Acceso por consola (VE: consola del hipervisor; físico: cable serial) o cable al puerto mgmt
  • Tu PC en la red de gestión (o en 192.168.1.0/24 para el primer acceso)
  • Datos a configurar: IP, máscara y gateway de gestión, hostname, servidores DNS y NTP
  • Licencia (registration key) — ver Licensing y Provisioning
  • La subred de administración para restringir el acceso a GUI y SSH

Conceptos clave

ConceptoQué es
mgmtInterfaz dedicada de gestión, fuera de banda; no pertenece a ninguna VLAN de tráfico
Management routeRuta de la interfaz mgmt; distinta de las rutas del data plane
Configuration UtilityLa GUI web (https://<IP-mgmt>)
tmshTraffic Management Shell, el CLI de BIG-IP (prompt (tmos)#)
bashShell de Linux; al entrar como root caes aquí y usas tmsh <comando>
Setup UtilityAsistente inicial de la GUI: licencia, provisioning, red
SCCP / AOMProcesador de gestión siempre encendido en equipos físicos; menú con Esc ( por consola

Guardar la configuración

Lo que cambias en tmsh queda en memoria hasta que ejecutas tmsh save sys config. Si reinicias sin guardar, se pierde.

Configuración (Ejemplo, Lab CBT Nuggets)

Valores de ejemplo: gestión 192.168.121.11/24, gateway 192.168.121.1, hostname bigip1.f5lab.int.

1. Primer acceso y cambio de contraseñas

  1. Entra por consola con root / default.
  2. En versiones recientes el sistema obliga a cambiar la contraseña de root (y de admin al entrar a la GUI).
  3. Para cambiarlas después:
tmsh modify auth password root
tmsh modify auth user admin password <clave-nueva>

2. IP de gestión por consola

Con el asistente de texto:

config

O con tmsh:

tmsh create sys management-ip 192.168.121.11/24
tmsh create sys management-route default gateway 192.168.121.1
tmsh save sys config

Si ya existe una IP de gestión

Si el equipo tomó una IP por DHCP, usa config o primero tmsh delete sys management-ip <ip>/<máscara>. Al cambiar la IP tu sesión SSH/GUI se corta: reconéctate a la nueva.

3. Hostname, DNS y NTP desde la GUI

  1. Entra a https://192.168.121.11 con admin.
  2. System > Platform > General Properties: Host Name (bigip1.f5lab.int) > Update.
  3. System > Configuration > Device > DNS: DNS Lookup Server List (8.8.8.8) y DNS Search Domain List (f5lab.int) > Update.
  4. System > Configuration > Device > NTP: Time Server List (pool.ntp.org) > Update.
tmsh modify sys global-settings hostname bigip1.f5lab.int
tmsh modify sys dns name-servers add { 8.8.8.8 } search add { f5lab.int }
tmsh modify sys ntp servers add { pool.ntp.org } timezone <Region/Ciudad>
tmsh save sys config

4. Restringir quién administra el equipo

  1. System > Platform > Security > Management Port Rules > Add: Name, State, Action (Accept/Drop/Reject), Source (tu subred), Logging: Enabled > Finished.
  2. Limita GUI y SSH a la red de administración:
tmsh modify sys httpd allow replace-all-with { 192.168.121.0/24 }
tmsh modify sys sshd allow replace-all-with { 192.168.121.0/24 }
tmsh save sys config

5. Acceso a terminal para admin

System > Users > User List > admin > Terminal Access: tmsh (o Advanced shell) > Update. En el lab del curso venía deshabilitado.

tmsh modify auth user admin shell tmsh

6. Probar conectividad desde el BIG-IP

ping -c 3 192.168.121.1
ping -c 3 8.8.8.8
ping -c 3 google.com
traceroute 10.10.101.101

Los ping desde bash salen por la tabla de rutas de Linux: hacia la red de gestión usan mgmt; hacia redes del data plane usan las self IPs.

Verificación

Comando o lugarQué debes verSi no lo ves
tmsh list sys management-ipTu IP y máscara de gestiónRepite el paso 2
tmsh list sys management-routeRuta default por el gateway de gestiónCrea la management-route
tmsh show sys versionVersión y build—
tmsh list sys dnsServidores y dominios de búsquedaPaso 3
ntpq -np (bash)Un servidor marcado con * (sincronizado)Revisa DNS, UDP 123 y la ruta
Arriba a la izquierda en la GUIHostname, IP y estado ONLINERevisa licencia y provisioning
ping google.com desde bashResuelve y respondeSi la IP responde y el nombre no, el DNS está mal

Errores comunes

No puedo abrir https://<IP-mgmt>

  • Causa: el equipo aún arranca (la GUI tarda varios minutos), tu PC no está en la red de gestión, el cable está en un puerto de datos, o hay una regla de gestión/httpd allow que te bloquea.
  • Revisa: por consola tmsh list sys management-ip, tmsh list sys httpd allow; desde tu PC ping a la IP de gestión.
  • Solución: corrige IP o cable; si es por allow, vuelve a permitir tu red por consola.

Hay ping a una IP pública pero no a un nombre

  • Causa: DNS mal configurado o no alcanzable.
  • Revisa: tmsh list sys dns, ping 8.8.8.8 contra ping google.com.
  • Solución: corrige los servidores DNS.

La licencia o las descargas fallan

  • Causa: la gestión no tiene ruta ni DNS hacia Internet.
  • Revisa: tmsh list sys management-route, ping activate.f5.com.
  • Solución: corrige la ruta de gestión o usa la activación manual (Licensing y Provisioning).

Perdí el acceso después de restringir GUI/SSH

  • Causa: la lista allow no incluye tu PC.
  • Solución: por consola, tmsh modify sys httpd allow replace-all-with { ALL } (o tu red), tmsh save sys config.

Reinicié y se perdieron los cambios

  • Causa: no ejecutaste tmsh save sys config.
  • Solución: guarda siempre después de cambiar algo por tmsh.

NTP no sincroniza

  • Causa: no resuelve el nombre del servidor o no alcanza UDP 123.
  • Revisa: ntpq -np, el DNS y la hora (date).
  • Solución: prueba con la IP del servidor NTP, corrige DNS y rutas.

Retroenlaces