Programación de Seguridad de Puerto en Switch

Con el objetivo de incrementar la seguridad en una red LAN es posible implementar seguridad de puertos en los switches de capa de acceso, de manera de permitir que a cada puerto se conecte sólo la estación autorizada. Para ello, Cisco provee port security, un mecanismo bastante potente y sencillo que resumiré a continuación.

Dirección MAC segura estática

• Se configura manualmente.
• Se agrega a la tabla de direcciones MAC.
• Se guarda en la running-config.
• Se puede hacer permanente guardando la configuración.

 SwA(config-if)# switchport port-security mac-address DIRECCION-MAC

Dirección MAC segura dinámica

• Se aprende del tráfico que atraviesa la interfaz.
• Se la guarda en la tabla de direcciones MAC.
• Se pierde cuando se reinicia el equipo.

SwA(config-if)# switchport port-security

Dirección MAC segura sticky

• Se la puede configurar de forma manual o dinámica.
• Se la guarda en la tabla de direcciones MAC.
• Se almacena en la running-config.
• Se puede hacer permanente guardando la configuración.

SwA(config-if)# switchport port-security mac-address sticky [DIRECCION-MAC]

La principal ventaja de las direcciones sticky en contraposición con las dinámicas es que éstas últimas se agregan a la running-config. Así nos evitamos escribir un montón de direcciones MAC de manera estática pero aún podemos guardarlas en el archivo de configuración de manera que se mantengan inclusive si el switch se reinicia.

Dos aspectos importantes a tener en cuenta:

• Si se habilitan las direcciones MAC sticky y ya había direcciones aprendidas de forma dinámica, éstas pasan a la running-config y todas las nuevas que se aprendan también se agregan allí.
• Si se deshabilitan las direcciones MAC sticky todas las que hubiera pasan a ser dinámicas y se borran de la running-config. Además, todas las que se aprendan también serán dinámicas.

Acciones a tomar si se produce una violación

Es importante tener en cuenta que por violación se entiende uno de los siguientes dos casos:

• Se alcanzó la cantidad máxima de direcciones MAC permitidas.
• Una dirección MAC que se aprendió en un puerto se aprende por otro puerto diferente.

Los modos en los que se puede establecer un puerto para decidir qué acción tomar en el caso de una violación son, entonces:

• Protect: una vez que se alcanzó el máximo de direcciones MAC en un puerto, todo el tráfico de orígenes desconocidos (es decir, de direcciones MAC que no sean válidas para ese puerto) es descartado. No obstante, se continúa enviando el tráfico legal normalmente. No se notifica al administrador de esta situación.
• Restrict: el mismo comportamiento que el caso anterior pero con la diferencia que se envía un aviso al administrador mediante SNMP, se registra el evento en el syslog y se incrementa el contador de violaciones.
• Shutdown: en este caso el puerto se da de baja dejándolo en estado err-disabled (deshabilitado por error). Además se envía un aviso al administrador mediante SNMP, se registra el evento en el syslog y se incrementa el contador de violaciones.
• Shutdown VLAN: la única diferencia con el caso anterior es que se deshabilita la VLAN en ese puerto en lugar de dar de baja el puerto completo. Es particularmente atractivo para los puertos de trunk.

Configuración

Para configurar port-security es importante saber que la interfaz debe estar en modo access o en modo trunk. Port-security no puede habilitarse en una interfaz que esté en modo dinámico.

• Habilitar port-security.

SwA(config-if)# switchport port-security

• Indicar que sólo se permite una MAC por interfaz.

SwA(config-if)# switchport port-security maximum 1

• Configurar el modo restrict para cuando ocurra una violación del puerto.

SwA(config-if)# switchport port-security violation restrict

• Configurar el aprendizaje de direcciones MAC sticky.

SwA(config-if)# switchport port-security mac-address sticky

• O bien especificar una MAC de forma estática.

SwA(config-if)# switchport port-security mac-address 5400.0000.0001

• Chequear el estado de port-security.

SwA# show port-security

Les dejo un prezi que contiene el resumen de lo visto en este post y que pueden reutilizar si tienen cuenta en prezi.com

Programación básica de Switch

La construcción de una LAN que satisfaga las necesidades de empresas pequeñas o medianas tiene más probabilidades de ser exitosa si se utiliza un modelo de diseño jerárquico. En comparación con otros diseños de redes, una red jerárquica se administra y expande con más facilidad y los problemas se resuelven con mayor rapidez.

El diseño de redes jerárquicas implica la división de la red en capas independientes. Cada capa cumple funciones específicas que definen su rol dentro de la red general. La separación de las diferentes funciones existentes en una red hace que el diseño de la red se vuelva modular y esto facilita la escalabilidad y el rendimiento. El modelo de diseño jerárquico típico se separa en tres capas: capa de acceso, capa de distribución y capa núcleo. Un ejemplo de diseño de red jerárquico de tres capas se observa en la figura.

Capa de acceso

La capa de acceso hace interfaz con dispositivos finales como las PC, impresoras y teléfonos IP, para proveer acceso al resto de la red. Esta capa de acceso puede incluir routers, switches, puentes, hubs y puntos de acceso inalámbricos. El propósito principal de la capa de acceso es aportar un medio de conexión de los dispositivos a la red y controlar qué dispositivos pueden comunicarse en la red.

Capa de distribución

La capa de distribución agrega los datos recibidos de los switches de la capa de acceso antes de que se transmitan a la capa núcleo para el enrutamiento hacia su destino final. La capa de distribución controla el flujo de tráfico de la red con el uso de políticas y traza los dominios de broadcast al realizar el enrutamiento de las funciones entre las LAN virtuales (VLAN) definidas en la capa de acceso. Las VLAN permiten al usuario segmentar el tráfico sobre un switch en subredes separadas. Por ejemplo, en una universidad el usuario podría separar el tráfico según se trate de profesores, estudiantes y huéspedes. Normalmente, los switches de la capa de distribución son dispositivos que presentan disponibilidad y redundancia altas para asegurar la fiabilidad. Aprenderá más acerca de las VLAN, los dominios de broadcast y el enrutamiento entre las VLAN, posteriormente en este curso.

Capa núcleo

La capa núcleo del diseño jerárquico es la backbone de alta velocidad de la internetwork. La capa núcleo es esencial para la interconectividad entre los dispositivos de la capa de distribución, por lo tanto, es importante que el núcleo sea sumamente disponible y redundante. El área del núcleo también puede conectarse a los recursos de Internet. El núcleo agrega el tráfico de todos los dispositivos de la capa de distribución, por lo tanto debe poder reenviar grandes cantidades de datos rápidamente.


 Les dejo una guía de comandos básicos de Switch.

GNS3

GNS3 es un simulador gráfico de red que permite diseñar topologías

de red complejas y poner en marcha simulaciones sobre ellos.

GNS3 es un Software emulador de IOS de Routers Cisco, ASA Firewalls, Juniper, hasta este momento solo soporta esos sistemas en su versión más reciente 0.7.3.

Se pueden crear un sin fin de topologías para poder realizar nuestros propios laboratorios ya sea que estemos estudiando CCNA, CCNA Voice, CCNA security, CCSP, CCVP y hasta CCIE.

Para que no quede en un sueño, GNS3 está basado en Dynamips, PEMU (incluyendo el encapsulador) y en parte en Dynagen, fue desarrollado en python a través de PyQt la interfaz gráfica (GUI) confeccionada con la poderosa librería Qt, famosa por su uso en el proyecto KDE.

GNS3 también utiliza la tecnología SVG (ScalableVector Graphics) para proveer símbolos de alta calidad para el diseño de las topologías de red.

Con la ayuda de Dynamips Cisco, escrito por Christophe Fillot hoy en día se pueden emular a las plataformas 1700, 2600, 3600, 3700 y 7200, y ejecuta imágenes de IOS estándar. En propias palabras del desarrollador:

Este tipo de emulador será útil para:

• Ser utilizado como plataforma de entrenamiento, utilizando software del mundo real. Permitirá a la gente familiarizarse con dispositivos Cisco, siendo Cisco el líder mundial en tecnologías de redes.
• Probar y experimentar las funciones del Cisco IOS.
• Verificar configuraciones rápidamente que serán implementadas en routers reales.

Por supuesto, muchos dirán que no puede remplazar a un Router real, pero para mis experiencias si lo han hecho, ya que por lo menos de sus mismas series, y teniendo los IOS correctos, podemos realizar prácticas muy interesantes, es simplemente una herramienta complementaria para los administradores de redes Cisco o para aquellos que desean aprobar los exámenes de CCNA/CCNP/CCIE y/o otros.

Manual para instalar pasos a paso  GNS3
Descargar GNS3: haz click aqui

También les dejo un video de instalación de GNS3: