Configuración básica de Switch Cisco

Transcripción

1 Objetivos Configuración básica de Switch Cisco Habilitar y Securizar: acceso por consola y por terminal (telnet) y acceso a modo privilegiado. Dotar de ip de gestión al switch configurar nombre del dispositivo Guardar la configuración. Y verificar o pruebas de capa de red (3) y de aplicación (7) de OSI. Simulador utilizado Packet Tracer 5.x (un completísimo simulador, tendrás virtualmente un laboratorio de Cisco). 1 José Waldo de la Ossa

2 Procedimiento Añado al laboratorio un Switch y un PC (End device generic). Añado una conexión de consola desde el puerto serie del PC RS-232 al puerto de consola del switch. - Accedo por la terminal del PC a la consola del switch 2 José Waldo de la Ossa

3 Switch>enable Switch#config t Enter configuration commands, one per line. End with CNTL/Z. Configuramos pass de acceso por consola Switch(config)#line console 0 Switch(config-line)#password 1234 Switch(config-line)#login Switch(config-line)#exit Configuramos pass de acceso por telnet Switch(config)#line vty 0 4 Switch(config-line)#pass Switch(config-line)#login Switch(config-line)#exit Asignamos Nombre del dispositivo Switch(config)#hostname SW1 Configuramos ip de gestion del switch SW1(config)#interface vlan1 SW1(config-if)#ip address SW1(config-if)#description IP de gestion de SW1 SW1(config-if)#no shutdown SW1(config-if)#exit Los puertos de un switch por defecto están up, pero la ip de gestión hay que levantarla, por ello el comando no shutdown. Habilitamos pass de modo privilegiado SW1(config)#enable secret 4321 Copiamos la running-config a la startup-config o damos guardar config SW1(config)#exit SW1# %SYS-5-CONFIG_I: Configured from console by console SW1#copy ru st SW1#copy running-config startup-config Destination filename [startup-config]? Building configuration... [OK] Tras configurar y salvar la configuración de SW1. Añado una conexión ethernet (conexion Straight- Throught) entre el interface fastethernet del PC y un puerto del switch. 3 José Waldo de la Ossa

4 Configuro una ip/mascara al PC Abrimos una shell o command prompt y hago una prueba de capa de red mediante icmp (ping a la ip de SW1) y una prueba de capa de aplicación (telnet a SW1). 4 José Waldo de la Ossa

5 5 José Waldo de la Ossa

6 Introducción a la Seguridad en switches Cisco Los switches son elementos centrales de la configuración de nuestras redes. Todo el tráfico pasa por ellos y todos los equipos deben, de una forma directa o indirecta, estar conectados a un switch para tener acceso a nuestra red. Introducir mecanismos de seguridad en los mismos es, por tanto, una buena forma de controlar de forma preventiva algunos problemas importantes de seguridad. Con el objetivo de incrementar la seguridad en una red LAN es posible implementar seguridad de puertos en los switches de capa de acceso, de manera de permitir que a cada puerto se conecte sólo la estación autorizada. Para ello, Cisco provee port security, un mecanismo bastante potente y sencillo que resumiré a continuación. Dirección MAC segura estática Se configura manualmente. Se agrega a la tabla de direcciones MAC. Se guarda en la running-config. Se puede hacer permanente guardando la configuración. SwA(config-if)# switchport port-security mac-address DIRECCION-MAC Dirección MAC segura dinámica Se aprende del tráfico que atraviesa la interfaz. Se la guarda en la tabla de direcciones MAC. Se pierde cuando se reinicia el equipo. SwA(config-if)# switchport port-security Dirección MAC segura sticky Se puede configurar de forma manual o dinámica. Se guarda en la tabla de direcciones MAC. Se almacena en la running-config. Se puede hacer permanente guardando la configuración. 6 José Waldo de la Ossa

7 SwA(config-if)# switchport port-security mac-address sticky [DIRECCION- MAC] La principal ventaja de las direcciones sticky en contraposición con las dinámicas es que éstas últimas se agregan a la running-config. Así nos evitamos escribir un montón de direcciones MAC de manera estática pero aún podemos guardarlas en el archivo de configuración de manera que se mantengan inclusive si el switch se reinicia. Dos aspectos importantes a tener en cuenta: Si se habilitan las direcciones MAC sticky y ya había direcciones aprendidas de forma dinámica, éstas pasan a la running-config y todas las nuevas que se aprendan también se agregan allí. Si se deshabilitan las direcciones MAC sticky todas las que hubiera pasan a ser dinámicas y se borran de la running-config. Además, todas las que se aprendan también serán dinámicas. Acciones a tomar si se produce una violación Es importante tener en cuenta que por violación se entiende uno de los siguientes dos casos: Se alcanzó la cantidad máxima de direcciones MAC permitidas. Una dirección MAC que se aprendió en un puerto se aprende por otro puerto diferente. Los modos en los que se puede establecer un puerto para decidir qué acción tomar en el caso de una violación son, entonces: Protect: una vez que se alcanzó el máximo de direcciones MAC en un puerto, todo el tráfico de orígenes desconocidos (es decir, de direcciones MAC que no sean válidas para ese puerto) es descartado. No obstante, se continúa enviando el tráfico legal normalmente. No se notifica al administrador de esta situación. Restrict: el mismo comportamiento que el caso anterior pero con la diferencia que se envía un aviso al administrador mediante SNMP, se registra el evento en el syslog y se incrementa el contador de violaciones. Shutdown: en este caso el puerto se da de baja dejándolo en estado err-disabled (deshabilitado por error). Además se envía un aviso al administrador mediante SNMP, se registra el evento en el syslog y se incrementa el contador de violaciones. Shutdown VLAN: la única diferencia con el caso anterior es que se deshabilita la VLAN en ese puerto en lugar de dar de baja el puerto completo. Es particularmente atractivo para los puertos de trunk. 7 José Waldo de la Ossa

8 Configuración Para configurar port-security es importante saber que la interfaz debe estar en modo access o en modo trunk. Port-security no puede habilitarse en una interfaz que esté en modo dinámico. Habilitar port-security. SwA(config-if)# switchport port-security Indicar que sólo se permite una MAC por interfaz. SwA(config-if)# switchport port-security maximum 1 Configurar el modo restrict para cuando ocurra una violación del puerto. SwA(config-if)# switchport port-security violation restrict Configurar el aprendizaje de direcciones MAC sticky. SwA(config-if)# switchport port-security mac-address sticky O bien especificar una MAC de forma estática. SwA(config-if)# switchport port-security mac-address Chequear el estado de port-security. SwA# show port-security 8 José Waldo de la Ossa

9 Desconexión de puertos no usados o sospechosos Los puertos no usados de nuestros switches o sospechosos de tener problemas deberían desconectarse de la red. Por defecto todos los puertos de los switches aparecen conectados pero su desconexión es bien sencilla. En las siguientes líneas desconectamos el puerto f0/4 SwA# enable SwA# config term SwA# int f0/4 SwA# shutdown También es posible seleccionar un rango completo de puertos para aplicar una misma configuración sobre todos ellos. Los siguientes comandos desactivan todos los puertos entre el f0/5 y el f0/10 SwA# enable SwA# config term SwA# int range f0/5-10 SwA# shutdown Storm Control A veces, y generalmente por averías hardware o software, algunas tarjetas de red crean una cantidad de tráfico tan grande que saturan al switch al que están conectadas, deteriorando las comunicaciones y llegando incluso al punto de hacer caer total o parcialmente la red. Los switches CISCO tienen la posibilidad de controlar esto mediante un subconjunto de comandos. SwA# enable SwA# config term SwA# int f0/1 SwA# stormcontrol broadcast level 20 En el ejemplo anterior habilitamos el storm control para el puerto 1 de nuestro switch de forma que el tráfico broadcast del mismo no supere el 20% del ancho de banda nominal del mismo. Podemos controlar de igual forma el tráfico unicast y el multicast con, por ejemplo, la siguientes intrucciones: SwA# stormcontrol SwA# multicast level 50 SwA# stormcontrol 9 José Waldo de la Ossa

10 SwA# unicast level 90 No debemos de olvidar cuando configuramos estos parámetros que los tres tipos de tráfico son necesarios y que, en particular, el multicast se usa por todos los protocolos de enrutado dinámico (entre otros) y el unicast constituiría el tráfico común de un equipo. Si quisiéramos bloquear totalmente el tráfico broadcast de un equipo podríamos poner lo siguiente: SwA# stormcontrol SwA# broadcast level 0 El tráfico multicast y el unicast puede bloquearse también, además de con el comando anterior, con el siguiente: SwA# switchport block unicast SwA# switchport block multicast Y si por defecto quisiéramos deshabilitar el puerto cuando se pase del nivel indicado en el comando: SwA# stormcontrol SwA# action shutdown 10 José Waldo de la Ossa