Utilizamos cookies propias y de terceros para hacer funcionar y mejorar nuestros servicios. Si continúa navegando, consideramos que acepta su uso. Puede obtener más información visitando nuestra política de cookies.

CISCO - FUNDAMENTOS DE PORT SECURITY

Parte de la seguridad a nivel 2 depende directamente de los puertos del switch donde se conectan los clientes finales. En este vídeo se analizan el funcionamiento de port-security y cómo securizar macs en equipos Cisco IOS.

Cargando video...

¡Registrarse!

NOTA: Solo puedes ver una versión limitada del video a baja resolución, si quieres ver la versión completa por favor regístrate y obtén alguno de nuestros planes!

Descripción del Vídeo

N/A

Rating

Global

Ver video en playlist

Curso CCENT - ICND1

Comentarios

Martín Garelli 2015-04-18T17:59:33

Buenas!
Tengo una duda.
¿Hay alguna manera de configurar port-security con el solo fin de evitar el flooding sin necesidad de bloquear las demas MAC-address que no estén asociada a la interfaz?
Ejemplo: Asocio una MAC aaaa.aaaa.aaaa a la interfaz Fa0/1, de tal manera a que la trama con este destino vaya directamente a esta interfaz evitando el flooding, pero que de igual manera una MAC bbbb.bbbb.bbbb esté permitida en esta interfaz.

Gracias.

Rolando Rodriguez 2015-04-21T16:51:27

Hola Martin,
Espero que te encuentres bien,
Lo que buscas es que una sola MAC Address siempre pueda enviar trafico sin importar que este ocurriendo un ataque de flooding?.
En este caso creo que lo que estas buscando te lo ofrece el comando
switchport port-security violation restrict
Asumiendo la siguiente configuración en tu puerto
OUTSIDE(config)#interface FastEthernet0/2
OUTSIDE(config-if)#switchport port-security
OUTSIDE(config-if)#switchport port-security violation restrict
OUTSIDE(config-if)#switchport port-security maximum 1
OUTSIDE(config-if)#switchport port-security mac-address sticky
OUTSIDE(config-if)#
Lo que ocurría es que la primera MAC address detectada en el puerto, siempre va a poder enviar trafico hacia el Switch (sin importar que ocurra un ataque).
Ahora, una vez ocurra un ataque, lo que va a ocurrir es que el switch no va a permitir el paso del trafico de las NUEVAS MAC addresses detectadas en el puerto, a excepción de la MAC address que fue detectada en el puerto en un principio, que siempre va a poder enviar trafico.
En el lado del switch, deberias de ver un evento similiar al siguiente:
*Mar 1 00:36:39.719: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 001e.ec39.9521 on port FastEthernet0/2.
Es eso lo que buscabas?
Un saludo
- Martín Garelli 2015-04-23T20:48:15
  
  Hola Rolando,
  Muchas gracias por tu respuesta.
  Me refiero mas bien a alguna técnica para evitar el flooding pero sin relacionar uno a uno la MAC a la interfaz. ¿Hay alguna manera de configurar PORT-SECURITY de modo "permisivo"?
  Por ejemplo:
  int Gi0/1 --> aaaa.aaaa.aaaa (Port security)
  Pero que bbbb.bbbb.bbbb sea capaz de llegar a su destino a través de la int Gi0/1.
  ¿O desde el momento que relaciono la MAC aaaa.aaaa.aaaa a un interfaz ya queda bloqueada para las demas MAC?
  Tengo un caso practico con túneles de Windows, las máquinas cuelgan de un switch de nivel 2 (Catalyst 3750), pero hay VIPs configuradas con lo cual los paquetes pueden llegar con distintas MAC a la misma interfaz, muchas veces realizamos pruebas de stress y los enlaces quedan saturados (flooding). Para evitar esto necesito configurar PORT SECURITY asociando la MAC mayormente utilizada a una interfaz, pero no se si hacerlo ya que no siempre llega la trama con la misma MAC.
  Espero haberme explicado mejor.
  Gracias!
  - Rolando Rodriguez 2015-04-29T15:41:15
    
    Buenas Martin,
    Espero que te encuentres bien,
    Creo que en base a lo que me estas preguntando,
    1 - Me refiero mas bien a alguna técnica para evitar el flooding pero sin relacionar uno a uno la MAC a la interfaz.
    Si quieres evitar floodings a través de una interfaz, también tienes una alternativa que se llama “storm-control”.
    Storm control te permite bloquear floodings de paquetes destinados a direcciones unicast, multicast o broadcast.
    La configuración a nivel de interfaz seria algo similar a:
    Switch(config-if)# storm-control broadcast level bps 600k 500k
    En donde al momento de detectar 600kbps de trafico broadcast en la interfaz, se va a bloquear el trafico broadcast hasta que este baje de 500 kbps.
    2- ¿O desde el momento que relaciono la MAC aaaa.aaaa.aaaa a un interfaz ya queda bloqueada para las demas MAC?
    Si, puedes definir un máximo de direcciones físicas, pero básicamente al momento en que relaciones una cantidad de MAC address a una interfaz, las demás no van a poder pasar trafico.
    Es esto lo que estabas buscando?, por favor, házmelo saber a fin de ayudarte a encontrar una solución
    Un saludo!

Alexis Quintana 2016-06-19T07:35:45

Hola, una consulta, ¿en que se diferencia el comando switchport port-security mac-address ( agregar direccion mac) y el comando switchport port-security mac-address sticky (agregar direccion mac)?, si ambos agregan la dirección mac en la tabla de direcciones MAC seguras y a su vez se graban en el archivo running-config del switch.¿ Hay alguna diferencia entre estos comandos o provocan el mismo resultado?

Adjunto una imagen de lo expuesto.

Gracias

Daniel Rodriguez 2016-06-19T18:33:57

Hola Alexis,
Si no usas el keyword "sticky" en un posible reboot del switch, perderias esa mac address.
Con el sticky es permante. De la otra forma al reiniciar el switch perderias las MAC configuradas.
Saludos,

comments powered by Disqus

Alfonso Miñarro Paños

Instructor con muchos años de experiencia, especialista en sistemas de aprovisionamiento de cable y redes en general

CISCO - FUNDAMENTOS DE PORT SECURITY

Descripción del Vídeo

Rating

Global

Ver video en playlist

Curso CCENT - ICND1

Alfonso Miñarro Paños

Videos relacionados

CISCO - ROUTING ON A STICK

CISCO - CONFIGURACION DE ACL