NF1 - Configuració i administració de commutadors - Historial de revisió

Asalinas: /* AUTO-MDIX */

2015-10-25T23:59:25Z

‎AUTO-MDIX

Asalinas: /* Seguretat bàsica del switch */

2015-10-25T18:29:15Z

‎Seguretat bàsica del switch

Asalinas: /* Seguretat bàsica del switch */

2015-10-25T18:13:15Z

‎Seguretat bàsica del switch

Asalinas: /* Atacs CDP */

2015-10-25T18:02:17Z

‎Atacs CDP

Asalinas: /* Atacs CDP */

2015-10-25T18:01:12Z

‎Atacs CDP

Asalinas a 17:59, 25 oct 2015

2015-10-25T17:59:24Z

Asalinas: /* Problemes de la capa d'accés a la xarxa */

2015-10-25T17:50:32Z

‎Problemes de la capa d'accés a la xarxa

Asalinas: /* Problemes de la capa d'accés a la xarxa */

2015-10-25T17:49:15Z

‎Problemes de la capa d'accés a la xarxa

Asalinas: /* Problemes de la capa d'accés a la xarxa */

2015-10-25T17:48:34Z

‎Problemes de la capa d'accés a la xarxa

Asalinas a 17:47, 25 oct 2015

2015-10-25T17:47:36Z

@@ Línia 676: / Línia 676: @@
 *Finalment reiniciem el commutador amb '''reload'''.
-=== AUTO-MDIX ===
+=== AUTO-MDIX (Medium Dependent Interface Crossover) ===
 Fins fa poc, es requerien determinats tipus de cable (croat o directe) per connectar dispositius. Les connexions switch a switch o switch a router requerien l'ús de diferents cables Ethernet. Mitjançant l'ús de la característica automàtica de connexió creuada d'interfície depenent del mitjà (acte-MDIX) en una interfície, s'elimina aquest problema. En habilitar la característica acte-MDIX, la interfície detecta automàticament el tipus de connexió de cable requerit (directe o croat) i configura la connexió conforme a aquesta informació. En connectar-se als switches sense la característica acte-MDIX, s'han d'usar cables directes per connectar-se a dispositius com a servidors, estacions de treball o routers, i cables creuats per connectar-se a altres switches o repetidors.

← Versió més antiga		Revisió del 18:29, 25 oct 2015
Línia 751:		Línia 751:

	[[Fitxer:atac-dhcp2.png\|450px\|center]]		[[Fitxer:atac-dhcp2.png\|450px\|center]]
		+
		+	=== Seguretat de ports ===
		+	Una forma de protegir els ports és mitjançant la implementació d'una característica denominada “seguretat de ports”. La seguretat de port limita la quantitat d'adreces MAC vàlides permeses en el port. Es permet l'accés a les adreces MAC dels dispositius legítims, mentre que altres adreces MAC es rebutgen.
		+
		+	Si es configura un port com a segur i s'aconsegueix la quantitat màxima d'adreces MAC, qualsevol intent addicional de connexió de les adreces MAC desconegudes genera una violació de seguretat.
		+
		+	[[Fitxer:atac-seg-port.png\|450px\|center]]
		+
		+	'''Tipus d'adreces MAC segures'''
		+
		+	Existeixen diverses maneres de configurar la seguretat de port. El tipus d'adreça segura es basa en la configuració i inclou el següent:
		+
		+	*'''Adreces MAC segures estàtiques''': són adreces MAC que es configuren manualment en un port mitjançant el comando '''switchport port-security mac-address adreça-mac''' de la manera de configuració d'interfície. Les adreces MAC configurades d'aquesta forma s'emmagatzemen en la taula d'adreces i s'agreguen a la configuració en execució del switch.
		+	*'''Adreces MAC segures dinàmiques''': són adreces MAC detectades dinàmicament i s'emmagatzemen solament en la taula d'adreces. Les adreces MAC configurades d'aquesta manera s'eliminen quan el switch es reinicia.
		+	*'''Adreces MAC segures persistents''': són adreces MAC que poden detectar-se de forma dinàmica o configurar-se de forma manual, i que després s'emmagatzemen en la taula d'adreces i s'agreguen a la configuració en execució.
		+
		+	'''Adreces MAC segures persistents'''
		+
		+	Per configurar una interfície a fi de convertir les adreces MAC detectades dinàmicament en adreces MAC segures persistents i agregar-les a la configuració en execució, has d'habilitar l'aprenentatge per persistència. L'aprenentatge per persistència s'habilita en una interfície mitjançant la comanda '''switchport port-security mac-address sticky''' del mode de configuració d'interfície.
		+
		+	Quan s'introdueix aquesta comanda, el switch converteix totes les adreces MAC detectades dinàmicament en adreces MAC segures persistents, fins i tot les que es van detectar dinàmicament abans que s'habilités l'aprenentatge per persistència. Totes les adreces MAC segures persistents s'agreguen a la taula d'adreces i a la configuració en execució.
		+
		+	Si es guarden les adreces MAC segures persistents en l'arxiu de configuració d'inici, quan el switch es reinicia o la interfície es desactiva, la interfície no necessita tornar a aprendre les adreces. Si no es guarden les adreces segures persistents, aquestes es perden.
		+
		+	[[Fitxer:atac-seg-port2.png\|450px\|center]]
		+
		+	Observa que la característica de seguretat de ports no funciona fins que s'habilita la seguretat de ports en la interfície mitjançant el comando '''switchport port-security'''.
		+
		+	=== Modes de violació de seguretat===
		+
		+	Existeix una violació de seguretat quan es produeix qualsevol d'aquestes situacions:
		+
		+	*Es va agregar la quantitat màxima d'adreces MAC segures a la taula d'adreces per a aquesta interfície, i una estació l'adreça de la qual MAC no figura en la taula d'adreces intenta accedir a la interfície.
		+
		+	*Una adreça apresa o configurada en una interfície segura pot veure's en una altra interfície segura de la mateixa VLAN.
		+
		+	Es pot configurar una interfície per a un de tres modes de violació, amb l'acció específica que s'ha de realitzar si es produeix una violació. La figura mostra els tipus de tràfics de dades que s'envien quan es configura en el port un de les següents maneres de violació de seguretat.
		+
		+	[[Fitxer:atac-viol-seg.png\|450px\|center]]
		+
		+	Per canviar la manera de violació en un port de switch, usi el comando de la manera de configuració d'interfície '''switchport port-security violation {protect \| restrict \| shutdown}'''.
		+
		+	*'''Protect (Protegir)''': quan la quantitat d'adreces MAC segures aconsegueix el límit permès per al port, els paquets amb adreces d'origen desconegudes es descarten fins que s'elimini una quantitat suficient d'adreces MAC segures o s'augmenti la quantitat màxima d'adreces permeses. No hi ha cap notificació que es va produir una violació de seguretat.
		+	*'''Restrict (Restringir)''': quan la quantitat d'adreces MAC segures aconsegueix el límit permès per al port, els paquets amb adreces d'origen desconegudes es descarten fins que s'elimini una quantitat suficient d'adreces MAC segures o s'augmenti la quantitat màxima d'adreces permeses. En aquesta manera, hi ha una notificació que es va produir una violació de seguretat.
		+	*'''Shutdown (Desactivar)''': en aquesta manera de violació (predeterminat), una violació de seguretat de port produeix que la interfície s'inhabiliti immediatament per errors i que s'apagui el LED del port. Augmenta el comptador de violacions. Quan hi ha un port segur en estat inhabilitat per errors, l'hi pot treure d'aquest estat mitjançant la introducció dels comandos shutdown i no shutdown de la manera de configuració d'interfície.

	Exercici		Exercici

← Versió més antiga		Revisió del 18:13, 25 oct 2015
Línia 721:		Línia 721:
	[[Fitxer:atac-cdp.png\|450px\|center]]		[[Fitxer:atac-cdp.png\|450px\|center]]

		+	===Deshabilitar ports en desús===
		+
		+	Un mètode simple que molts administradors usen per contribuir a la seguretat de la xarxa davant accessos no autoritzats és inhabilitar tots els ports del switch que no s'utilitzen. Per exemple, si un switch Catalyst 2960 té 24 ports i hi ha tres connexions Fast Ethernet en ús, és aconsellable inhabilitar els 21 ports que no s'utilitzen. Navega fins a tots els ports que no s'utilitzen i executa la comanda '''shutdown''' de Cisco IOS. Si més endavant s'ha de reactivar un port, aquest es pot habilitar amb el comando '''no shutdown'''.
		+
		+	[[Fitxer:atac-ports.png\|450px\|center]]
		+
		+	Realitzar canvis de configuració a diversos ports d'un switch és senzill. Si s'ha de configurar un rang de ports, usa la comanda '''interface range'''.
		+
		+	Switch(config)# interface range escrigui el mòdul/primer-nombre – últim-nombre
		+
		+	El procés d'habilitació i inhabilitació de ports pot portar molt temps, però millora la seguretat de la xarxa i val la pena l'esforç.
		+
		+	=== Snooping de DHCP===
		+	El snooping DHCP és una funció que determina quins són els ports de switch que poden respondre a sol·licituds de DHCP. Els ports s'identifiquen com confiables o no confiables. Els ports confiables poden rebre tots els missatges de DHCP, inclosos els paquets d'oferta de DHCP i de justificant de recepció de DHCP; els ports no confiables solament poden rebre sol·licituds. Els ports confiables dels hosts s'allotgen en el servidor de DHCP o poden ser un enllaç cap a aquest servidor. Si un dispositiu no autoritzat en un port no confiable intenta enviar un paquet d'oferta de DHCP a la xarxa, el port es desactiva. Aquesta funció pot unir-se amb les opcions de DHCP on la informació del switch, com l'ID de port o la sol·licitud de DHCP poden inserir-se en el paquet de sol·licituds de DHCP.
		+
		+	Els ports no confiables són aquells que no estan configurats explícitament com confiables. Es construeix una taula enllaçada de DHCP per als ports no confiables. Cada entrada conté una adreça MAC client, una adreça IP, un temps d'arrendament, un nombre de VLAN i una ID de port registrats com a clients que realitzen sol·licituds de DHCP. S'utilitza llavors la taula per filtrar el tràfic de DHCP subsegüent. Des de la perspectiva de la detecció de DHCP, els ports d'accés no confiables no han d'enviar missatges de servidor de DHCP.
		+
		+	[[Fitxer:atac-dhcp.png\|450px\|center]]
		+
		+	Aquests passos descriuen la forma en què es configura la detecció de DHCP en un switch Catalyst 2960:
		+
		+	*'''Pas 1'''. Habilita la detecció de DHCP mitjançant la comanda '''ip dhcp snooping''' de la manera de configuració global.
		+
		+	*'''Pas 2'''. Habilita la detecció de DHCP per VLAN específiques mitjançant la comanda '''ip dhcp snooping vlan numero'''.
		+
		+	*'''Pas 3'''. Defineix els ports com confiables en el nivell de la interfície mitjançant la identificació dels ports confiables amb la comanda '''ip dhcp snooping trust'''.
		+
		+	*'''Pas 4'''. (Optatiu) Limita la velocitat a la qual un atacant pot enviar sol·licituds de DHCP falses de manera contínua a través de ports no confiables al servidor de DHCP mitjançant la comanda '''ip dhcp snooping limit rate velocitat'''.
		+
		+	[[Fitxer:atac-dhcp2.png\|450px\|center]]

	Exercici		Exercici

← Versió més antiga		Revisió del 18:02, 25 oct 2015
Línia 720:		Línia 720:

	[[Fitxer:atac-cdp.png\|450px\|center]]		[[Fitxer:atac-cdp.png\|450px\|center]]
		+
		+
		+	Exercici
		+	Fes l'activitat de cisco per classificar diferents tipus d'atacs:[http://cisco.infomerce.es/CCNA_RS_Essentials_2/course/module2/index.html#2.2.2.4 Atacs]

	==Bibliografia/Webgrafia==		==Bibliografia/Webgrafia==

@@ Línia 719: / Línia 719: @@
 Es recomana inhabilitar l'ús de CDP en els dispositius o els ports que no necessiten usar-ho mitjançant el comando '''no cdp run''' de la manera de configuració global. CDP es pot inhabilitar per port.
-[[Fitxer:atac-cdp.png|350px|center]]
+[[Fitxer:atac-cdp.png|450px|center]]
 ==Bibliografia/Webgrafia==

← Versió més antiga		Revisió del 17:59, 25 oct 2015
Línia 706:		Línia 706:

	[[Fitxer:problemes-interfaces4.png\|500px\|center]]		[[Fitxer:problemes-interfaces4.png\|500px\|center]]
		+
		+	== Seguretat bàsica del switch==
		+	La seguretat bàsica del switch no evita els atacs malintencionats. La seguretat és un procés en capes que, bàsicament, mai està complet. Com més conscient sigui l'equip de professionals de xarxes d'una organització sobre els atacs de seguretat i els perills que presenten, millor.
		+
		+	===Atacs CDP===
		+	El protocol de descobriment de Cisco (CDP, Cisco Discovery Protocol) és un protocol propietat de Cisco que pot configurar-se en tots els dispositius de Cisco. CDP detecta altres dispositius de Cisco connectats directament, la qual cosa permet que els dispositius configurin la seva connexió de forma automàtica. En alguns casos, això simplifica la configuració i la connectivitat.
		+
		+	De manera predeterminada, la majoria dels routers i switches Cisco posseeixen CDP habilitat en tots els ports. La informació de CDP s'envia en difusions periòdiques sense xifrar. Aquesta informació s'actualitza localment en la base de dades de CDP de cada dispositiu. A causa que CDP és un protocol de capa 2, els routers no propaguen els missatges CDP.
		+
		+	CDP conté informació sobre el dispositiu, com l'adreça IP, la versió de programari del IOS, la plataforma, les capacitats i la VLAN nativa. Els atacants poden usar aquesta informació per trobar la forma d'atacar la xarxa, generalment mitjançant atacs per denegació de servei (DOS).
		+
		+	Es recomana inhabilitar l'ús de CDP en els dispositius o els ports que no necessiten usar-ho mitjançant el comando '''no cdp run''' de la manera de configuració global. CDP es pot inhabilitar per port.
		+
		+	[[Fitxer:atac-cdp.png\|350px\|center]]
		+
		+

	==Bibliografia/Webgrafia==		==Bibliografia/Webgrafia==

← Versió més antiga		Revisió del 17:50, 25 oct 2015
Línia 700:		Línia 700:

	[[Fitxer:problemes-interfaces3.png\|500px\|center]]		[[Fitxer:problemes-interfaces3.png\|500px\|center]]
		+
		+	La majoria dels problemes que afecten a les xarxes commutades es produeix durant la implementació inicial. En teoria, una vegada instal·lades, les xarxes continuen funcionant sense problemes. No obstant això, els cables es danyen, la configuració canvia, i es connecten al switch nous dispositius que requereixen canvis de configuració en est. Es requereix el manteniment i la resolució de problemes d'infraestructura de la xarxa de forma permanent.
		+
		+	Per poder resoldre aquests problemes, si no compta amb una connexió o té una connexió defectuosa entre un switch i un altre dispositiu, segueixi aquest procés general:
		+
		+	[[Fitxer:problemes-interfaces4.png\|500px\|center]]

	==Bibliografia/Webgrafia==		==Bibliografia/Webgrafia==

@@ Línia 693: / Línia 693: @@
 El primer paràmetre (FastEthernet0/1 is up) es refereix a la capa de maquinari i, bàsicament, reflecteix si la interfície rep el senyal de detecció de portadora de l'altre extrem. El segon paràmetre (line protocol is up) es refereix a la capa d'enllaç de dades i reflecteix si es reben els keepalives del protocol de capa d'enllaç de dades.
-Exemple del resultat de la comanda '''show interfaces''. En l'exemple, es mostren els comptadors i les estadístiques de la interfície FastEthernet0/1.
+Exemple del resultat de la comanda '''show interfaces'''. En l'exemple, es mostren els comptadors i les estadístiques de la interfície FastEthernet0/1.
 [[Fitxer:problemes-interfaces2.png|500px|center]]

@@ Línia 687: / Línia 687: @@
 ==Problemes de la capa d'accés a la xarxa==
-El resultat de la comanda '''show interfaces'' es pot usar per detectar problemes freqüents dels mitjans. Una de les parts més importants d'aquest resultat és la visualització de l'estat del protocol de línia i d'enllaç de dades.
+El resultat de la comanda '''show interfaces''' es pot usar per detectar problemes freqüents dels mitjans. Una de les parts més importants d'aquest resultat és la visualització de l'estat del protocol de línia i d'enllaç de dades.
 [[Fitxer:problemes-interfaces.png|500px|center]]

@@ Línia 684: / Línia 684: @@
 [[Fitxer:mdix1.png|350px|center]]
 [[Fitxer:mdix2.png|350px|center]]
 ==Bibliografia/Webgrafia==