Práctica de laboratorio 3.1.4: Aplicación de la seguridad básica del switch

Transcripción

1 Práctica de laboratorio 3.1.4: Aplicación de la seguridad básica del switch Designación del dispositivo Dirección IP Máscara de subred Gateway predeterminado PC PC Contraseña secreta de enable PC Switch class cisco Contraseña de consola y de vty Objetivos Configurar contraseñas para garantizar que el acceso a la CLI sea seguro. Configurar un switch para eliminar el estado de servidor http por razones de seguridad. Configurar la seguridad de puerto. Deshabilitar los puertos que no se utilicen. Probar la configuración de seguridad mediante la conexión de los hosts no especificados a los puertos seguros. Información básica / Preparación Establezca una red similar a la del diagrama de topología. Se necesitan los siguientes recursos: Un switch Cisco 2960 o un switch similar Dos PC basadas en Windows, al menos una con un programa de emulación de terminal Todo el contenido es Copyright de Cisco Systems, Inc. Todos los derechos reservados. Este documento es información pública de Cisco. Página 1 de 6

2 Al menos un cable conector de consola RJ45 a DB9 Dos cables Ethernet de conexión directa (de la PC1 y la PC2 al switch) Acceso al indicador de comando en las PC Acceso a la configuración TCP/IP de red para las PC NOTA: Asegúrese de que se hayan borrado las configuraciones de inicio del switch. Las instrucciones para borrar tanto los switches como los routers se proporcionan en el Manual del laboratorio, que se encuentra en la sección Tools del sitio Web Academy Connection. Paso 1: Conectar la PC1 al switch. a. Conecte la PC1 al puerto Fa0/1 del switch Fast Ethernet. Configure la PC1 para utilizar la dirección IP, la máscara y el gateway tal como se muestra en la tabla. b. Establezca una sesión de emulación de terminal de la PC1 al switch. Paso 2: Conectar la PC2 al switch. a. Conecte la PC2 al puerto Fa0/4 del switch Fast Ethernet. b. Configure la PC2 para utilizar la dirección IP, la máscara y el gateway tal como se muestra en la tabla. Paso 3: Configurar la PC3 pero no conectarla. Se necesita un tercer host para esta práctica de laboratorio. a. Configure la PC3 mediante la dirección IP La máscara de subred es y el gateway predeterminado es b. No conecte aún esta PC al switch. Se utilizará para probar la seguridad. Paso 4: Realizar una configuración inicial en el switch. a. Configure el nombre de host del switch como Switch1. Switch>enable Switch#config terminal Switch(config)#hostname Switch1 b. Establezca la contraseña del modo EXEC privilegiado en cisco. Switch1(config)#enable password cisco c. Establezca la contraseña secreta del modo EXEC privilegiado en class. Switch1(config)#enable secret class d. Configure la contraseña de la consola y de la terminal virtual para usar una contraseña y solicitarla al iniciar sesión. Switch1(config)#line console 0 Switch1(config-line)#password cisco Switch1(config-line)#login Switch1(config-line)#line vty 0 15 Switch1(config-line)#password cisco Switch1(config-line)#login Switch1(config-line)#end e. Salga de la sesión de la consola e inicie sesión nuevamente. Qué contraseña se solicitó para ingresar al modo EXEC privilegiado? Por qué? Todo el contenido es Copyright de Cisco Systems, Inc. Todos los derechos reservados. Este documento es información pública de Cisco. Página 2 de 6

3 Paso 5: Configurar la interfaz de administración del switch en la VLAN 1. a. Ingrese el modo de configuración de interfaz para la VLAN 1. Switch1(config)#interface vlan 1 b. Establezca la dirección IP, la máscara de subred y el gateway predeterminado para la interfaz de administración. Switch1(config-if)#ip address Switch1(config-if)#no shutdown Switch1(config-if)#exit Switch1(config)#ip default-gateway Switch1(config)#end Por qué la interfaz de la VLAN 1 requiere una dirección IP en esta red de área local (LAN, Local Area Network)? Cuál es el propósito del gateway predeterminado? Paso 6: Verificar las configuraciones de administración de las LAN. a. Verifique que la dirección IP de la interfaz de administración del switch de la VLAN 1 y la dirección IP de la PC1 y la PC2 estén en la misma red local. Utilice el comando show running-config para verificar la configuración de la dirección IP del switch. b. Verifique la configuración de la interfaz de la VLAN 1. Switch1#show interface vlan 1 Cuál es el ancho de banda en esta interfaz? Cuáles son los estados de la VLAN? El estado de la VLAN 1 es y el del protocolo de línea es. Paso 7: Deshabilitar el switch para que no sea un servidor http. Desactive la función del switch que se utiliza como un servidor http. Switch1(config)#no ip http server Paso 8: Verificar la conectividad. a. Para verificar que los hosts y el switch estén configurados correctamente, haga ping a la dirección IP del switch desde los hosts. Ha logrado hacer ping? Si el ping no tiene éxito, verifique nuevamente las conexiones y las configuraciones. Verifique que todos los cables sean correctos y que las conexiones estén en su lugar. Verifique las configuraciones del host y los switches. b. Guarde la configuración. Paso 9: Anotar las direcciones MAC del host. Determine y anote las direcciones de capa 2 de las tarjetas de interfaz de red de la PC. En el indicador de comando de cada PC, ingrese ipconfig /all. PC1 PC2 PC3 Todo el contenido es Copyright de Cisco Systems, Inc. Todos los derechos reservados. Este documento es información pública de Cisco. Página 3 de 6

4 Paso 10: Determinar las direcciones MAC que el switch ha aprendido. Determine cuáles son las direcciones MAC que el switch ha aprendido por medio del comando show mac-address-table en el indicador del modo EXEC privilegiado. Switch1#show mac-address-table Cuántas direcciones dinámicas hay? Cuántas direcciones MAC hay en total? Las direcciones MAC concuerdan con las direcciones MAC del host? Paso 11: Ver las opciones de show mac-address-table. Vea las opciones que tiene disponible el comando show mac-address-table. Switch1(config)#show mac-address-table? Qué opciones hay disponibles? Paso 12: Configurar una dirección MAC estática. Configure una dirección MAC estática en la interfaz FastEthernet 0/4. Utilice la dirección que se anotó para la PC2 en el Paso 9. La dirección MAC 00e se usa en la sentencia de este ejemplo solamente. Switch1(config)#mac-address-table static 00e vlan 1 interface fastethernet 0/4 Paso 13: Verificar los resultados. a. Verifique las entradas de la tabla de direcciones MAC. Switch1#show mac-address-table Cuántas direcciones MAC dinámicas hay en total ahora? Cuántas direcciones MAC estáticas hay en total ahora? b. Elimine la entrada estática de la tabla de direcciones MAC. Switch1(config)#no mac-address-table static 00e vlan 1 interface fastethernet 0/4 Paso 14: Enumerar las opciones de seguridad de puerto. a. Determine cuáles son las opciones para configurar la seguridad de puerto en la interfaz FastEthernet 0/4. Switch1(config)#interface fastethernet 0/4 Switch1(config-if)#switchport port-security? Cuáles son algunas de las opciones disponibles? b. Para permitir que el puerto del switch FastEthernet 0/4 acepte sólo un dispositivo, configure la seguridad de puerto. Switch1(config-if)#switchport mode access Switch1(config-if)#switchport port-security Switch1(config-if)#switchport port-security mac-address sticky Todo el contenido es Copyright de Cisco Systems, Inc. Todos los derechos reservados. Este documento es información pública de Cisco. Página 4 de 6

5 c. Salga del modo de configuración y verifique la configuración de la seguridad de puerto. Switch1#show port-security Secure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action (Count) (Count) (Count) Fa0/ Shutdown Si un host que no sea la PC2 intenta conectarse a Fa0/4, que sucede? Paso 15: Limitar la cantidad de hosts por puerto. a. En la interfaz FastEthernet 0/4, establezca en 1 el conteo máximo de MAC de seguridad de puerto. Switch1(config-if)#switchport port-security maximum 1. b. Desconecte la PC conectada a FastEthernet 0/4. Conecte la PC3 a FastEthernet 0/4. La PC3 ha recibido la dirección IP y todavía no se ha conectado al switch. Es posible que sea necesario hacer ping a la dirección del switch para generar tráfico. Anote cualquier observación. Paso 16: Configurar el puerto para que se desconecte si se produce una violación de seguridad. a. En caso de que se produzca una violación de seguridad, la interfaz debe desconectarse. Para que se desconecte la seguridad de puerto, ingrese el siguiente comando: Switch1(config-if)#switchport port-security violation shutdown Qué otras opciones de acción hay disponibles para la seguridad de puerto? b. Si es necesario, haga ping a la dirección del switch desde la PC Ahora, esta PC está conectada a la interfaz FastEthernet 0/4. Esto garantiza que haya tráfico desde la PC hacia el switch. c. Anote cualquier observación. d. Verifique la configuración de la seguridad de puerto. Switch1#show port-security Secure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action (Count) (Count) (Count) Fa0/ Shutdown Paso 17: Mostrar la información de configuración del puerto 0/4. Para ver la información de configuración del puerto FastEthernet 0/4 solamente, escriba show interface fastethernet 0/4 en el indicador del modo EXEC privilegiado. Switch1#show interface fastethernet 0/4 Cuál es el estado de esta interfaz? El estado de FastEthernet0/4 es y el del protocolo de línea es. Todo el contenido es Copyright de Cisco Systems, Inc. Todos los derechos reservados. Este documento es información pública de Cisco. Página 5 de 6

6 Paso 18: Reactivar el puerto. a. Si se produce una violación de seguridad y el puerto se desconecta, use los comandos shutdown / no shutdown para volver a conectarlo. b. Intente volver a conectar este puerto algunas veces conmutando el puerto de host 0/4 original y el nuevo puerto de host. Vuelva a conectar el host original, ingrese el comando no shutdown en la interfaz y haga ping mediante el indicador de comando. El ping deberá repetirse varias veces; otra posibilidad es usar el comando ping n 200. Este comando establece la cantidad de paquetes de ping en 200 en lugar de 4. Luego, cambie los hosts e intente de nuevo. Paso 19: Deshabilitar los puertos que no se utilicen. Paso 20: Reflexión Deshabilite los puertos que no se utilizan en el switch. Switch1(config)#interface range Fa0/5-24 Switch1(config-if-range)#shutdown Switch1(config)#interface range gigabitethernet0/1-2 Switch1(config-if-range)#shutdown a. Por qué se activaría la seguridad de puerto en un switch? b. Por qué deben deshabilitarse los puertos no utilizados en un switch? Todo el contenido es Copyright de Cisco Systems, Inc. Todos los derechos reservados. Este documento es información pública de Cisco. Página 6 de 6