Ejercicio Integracin: Seguridad en Switches Cisco Catalyst

CCNP SWITCH, Captulos 2,6

Pedro Gonzlez Mercado, CCAI

2006 Cisco Systems, Inc. Todos los derechos reservados. Informacin pblica de Cisco

Objetivos Generales
Configurar Conmutacin de capa 3 para enrutar trfico entre VLANS Configurar Private Vlans para aislar trfico entre host de una misma vlan Configurar DHCP Service en un switch catalyst para proveer direccionamiento a host de determinadas VLANS Configurar Protected Ports para aislar trfico entre host de una misma vlan Configurar Port-Security para proteger de MAC flooding Configurar DHCP Snooping para proteger suplantacin de DHCP Configurar DAI para proteger contra envenenamiento ARP Configurar RACL para restringir el trfico enrutado entre vlans Configurar Aspectos bsicos de un router Cisco
2006 Cisco Systems, Inc. Todos los derechos reservados. Informacin pblica de Cisco

Topologa

2006 Cisco Systems, Inc. Todos los derechos reservados.

Informacin pblica de Cisco

Requisitos
Configurar el acceso bsico a los switches(ambos)
Enable : labenable VTY(ssh): username remoteadm ; pass: labvty dominio: lab.test Deshabilitar resolucion nombres de dominio Consola : labconsole Banner: indicando los integrantes del grupo.

Configurar las interfaces que unen los switches dentro de los grupos etherchannel que muestra la topologa
Verificar el funcionamiento correcto del troncal Po2

2006 Cisco Systems, Inc. Todos los derechos reservados.

Informacin pblica de Cisco

Requisitos
Configurar ambos switches en modo VTP transparente Crear en ambos switches las vlans normales (tabla 1.1) En Distribution1 crear las vlans privadas:
VLAN 111 como isolate VLAN 112 como community VLAN 110 como primary y asociar vlans secundarias

En Access1 los puertos de la vlan 45 configurar como puertos protegidos. Asignar en ambos switches los puertos a las VLANS correspondientes segn topologa
Desactivar DTP y configurar Spanning-tree Portfast
2006 Cisco Systems, Inc. Todos los derechos reservados. Informacin pblica de Cisco

Requisitos
Configurar en Distribution1 la conmutacin de capa 3 para las vlans del dominio (tabla 1.2)
Intefaz VLAN 110 asociar correctamen las vlans secundarias para permitir enrutamieno.

Para el switch Access1 configurar port-security:

Puertos vlan 20 Restringir mximo 2 mac por puerto aprendidas Poltica de accin debe detener las tramas infractoras y generar un registro. Puertos vlan 40y 45 adicionalmente Poltica de apagar los puertos infractores

2006 Cisco Systems, Inc. Todos los derechos reservados.

Informacin pblica de Cisco

Requisitos
En el switch Distribution1 configurar ACL de enrutamiento aplicandolas a las interfaces SVI correspondientes de forma que cumplan con lo siguiente:
Solamente los host de las vlans 20,40 y 45 pueden ingresar a los host de la vlan 110 para los puertos tcp/443 e icmp echo. A la vlan 30 solamente se puede ingresar a los puertos tcp 80,8080,443,123, para udp 53,69 e ICMP de las vlans 20,30,40,45,50. Los host de la vlan 100 tienen acceso a la VLAN 30 para todo tipo de trfico

2006 Cisco Systems, Inc. Todos los derechos reservados.

Informacin pblica de Cisco

Requisitos
En el switch Distribution1 configurar VLAN ACL, para permitir el trfico dentro de la vlan 112 unicamente a los puertos tcp 80,5432, e ICMP En ambos switches, crear una ACL para permitir solamente el ingreso a las consolas via VTY para las vlans 20 y 100 En el switch Access1 configurar una PACL , para denegar en los puertos de la VLAN 50 el trfico hacia las vlans 20,40,45,100 y 110.

2006 Cisco Systems, Inc. Todos los derechos reservados.

Informacin pblica de Cisco

Requisitos
En ambos switches, activar dhcp snooping e inspeccionar las vlans indicadas en la topologa
Configure la confianza adecuada en el switch Access-1 Desactive en ambos switches el envio de la opcin 82 (information option)

En el switch Distribution1 activar dynamic arp inspection e inspeccionar las vlans indicadas en la topologa Puede usar como referencia de comandos del compendio de manuales para el curso.
en_SWITCH_SLMv6.0.pdf

2006 Cisco Systems, Inc. Todos los derechos reservados.

Informacin pblica de Cisco

Anexo
VLAN 20 support 30 services 40 sales 45 store 50 wlan 11 native

Subred Asociada 10.0.20.0/24 10.0.30.0/24 10.0.40.0/24 10.0.45.0/24 10.0.50.0/24 10.0.11.0/24 10.0.100.0/24 10.0.110.0/24 -

100 vty
110 private 111 HTTP 112 ERP

Tabla 1-1 VLAN Database

2006 Cisco Systems, Inc. Todos los derechos reservados. Informacin pblica de Cisco

10

Anexo
VLAN Interfaz VLAN20 Interfaz VLAN30 Interfaz VLAN40 Interfaz VLAN45 Interfaz VLAN50 Interfaz VLAN100 Interfaz VLAN110 Servidor HTTP (vlan 111) Serviroes ERP (vlan 112)

Subred Asociada 10.0.20.254/24 10.0.30.254/24 10.0.40.254/24 10.0.45.254/24 10.0.50.254/24 10.0.100.254/24 10.0.110.254/24 10.0.110.100 -101 10.0.110.10-18

Tabla 1-2 Recursos Direccionados

2006 Cisco Systems, Inc. Todos los derechos reservados. Informacin pblica de Cisco

11

 2006 Cisco Systems, Inc. Todos los derechos reservados.

Informacin pblica de Cisco

12