Sign up to save your podcasts
Or
Share Configuración de Puertos en Switches Cisco Nexus
Share to email
Share to Facebook
Share to X
Share to email
Share to Facebook
Share to X
Or
Configuración de Puertos en Switches Cisco Nexus
Puerto de Acceso o Puerto Trunk
En un switch Nexus, los puertos pueden configurarse como puertos de acceso o como puertos trunk, según lo que se requiera en la red.
Puertos de Acceso
Los puertos de acceso se utilizan para conectar dispositivos finales, como ordenadores, impresoras y otros dispositivos de usuario final, a la red. Cada puerto de acceso está asociado con una sola VLAN.
Configuración de un puerto de acceso:
interface Ethernet1/1
switchport mode access
switchport access vlan 10
En este ejemplo, configuramos el puerto Ethernet1/1 como un puerto de acceso y lo asignamos a la VLAN 10.
Puertos Trunk
Los puertos trunk se usan para transportar tráfico de múltiples VLAN entre switches o entre un switch y un router. Los puertos trunk etiquetan las tramas Ethernet con un identificador de VLAN para asegurar que el tráfico se dirija a la VLAN correcta. Configuración de un puerto trunk:
interface Ethernet1/2
switchport mode trunk
switchport trunk allowed vlan 10,20,30
switchport trunk native vlan 1
En este ejemplo, configuraremos el puerto Ethernet1/2 como un puerto trunk para permitir el tráfico de las VLAN 10, 20 y 30, con la VLAN nativa configurada en 1. La VLAN nativa se utiliza para el tráfico no etiquetado.
Lidiar con Spanning Tree
Para proteger la red de problemas relacionados con el Spanning Tree Protocol (STP), hay que mantener la estabilidad y evitar bucles de red. Aquí os dejo las mejores prácticas y configuraciones de STP para un switch Cisco Nexus:
Configurar BPDU Guard
BPDU Guard se utiliza para proteger los puertos configurados como puertos de acceso (edge ports) que no deberían recibir Bridge Protocol Data Units (BPDUs). Si un puerto con BPDU Guard habilitado recibe un BPDU, el puerto se deshabilitará automáticamente para prevenir bucles de STP.
switch# configure terminal
switch(config)# interface range Ethernet1/1 - 24
switch(config-if-range)# spanning-tree port type edge
switch(config-if-range)# spanning-tree bpduguard enable
spanning-tree port type edge: Configura el puerto como un puerto de acceso, lo que significa que se transicionará inmediatamente al estado forwarding.
spanning-tree bpduguard enable: Habilita BPDU Guard para deshabilitar el puerto si se recibe un BPDU.
Configurar Root Guard
Root Guard previene que dispositivos no autorizados se conviertan en el root bridge, lo cual podría alterar la topología STP de la red.
switch# configure terminal
switch(config)# interface Ethernet1/25
switch(config-if)# spanning-tree guard root
spanning-tree guard root: Habilita Root Guard en el puerto para asegurarse de que no se pueda convertir en root port si se reciben BPDUs de un dispositivo no autorizado.
Configurar Loop Guard
Loop Guard ayuda a prevenir bucles causados por un fallo en recibir BPDUs en puertos no-designados. Es útil en topologías redundantes donde los puertos pueden quedarse en estado «stuck in blocking».
switch# configure terminal
switch(config)# interface Ethernet1/26
switch(config-if)# spanning-tree guard loop
spanning-tree guard loop: Habilita Loop Guard en el puerto para evitar que se transicione a forwarding si deja de recibir BPDUs.
Configurar UDLD (Unidirectional Link Detection)
UDLD detecta enlaces unidireccionales causados por fallos físicos y puede deshabilitar el puerto afectado.
switch# configure terminal
switch(config)# interface Ethernet1/27
switch(config-if)# udld port aggressive
udld port aggressive: Configura UDLD en modo agresivo para detectar y deshabilitar rápidamente enlaces unidireccionales.
Configurar PortFast
PortFast se utiliza en puertos de acceso para que transicionen inmediatamente al estado forwarding, lo que es útil en puertos conectados a hosts.
switch# configure terminal
switch(config)# interface range Ethernet1/1 - 24
switch(config-if-range)# spanning-tree port type edge
spanning-tree port type edge: Habilita PortFast en los puertos de acceso para minimizar el tiempo de convergencia.
Ejemplo Completo de Configuración
switch# configure terminal
switch(config)# interface Ethernet1/1 - 24
switch(config-if-range)# spanning-tree port type edge
switch(config-if-range)# spanning-tree bpduguard enable
switch(config)# interface Ethernet1/25
switch(config-if)# spanning-tree guard root
switch(config)# interface Ethernet1/26
switch(config-if)# spanning-tree guard loop
switch(config)# interface Ethernet1/27
switch(config-if)# udld port aggressive
switch(config)# exit
Configurar correctamente los puertos de un switch Cisco Nexus para protegernos de problemas con el Spanning Tree Protocol (STP) implica habilitar BPDU Guard, Root Guard, Loop Guard y PortFast en los puertos adecuados. Estas configuraciones previenen bucles de red, aseguran la estabilidad de la topología STP y mejoran la eficiencia de la red.
Port Security
Configurar Port Security de manera efectiva en una red corporativa es esencial para prevenir accesos no autorizados y proteger la integridad de la red. Aquí están las mejores prácticas para lograrlo en switches Cisco Nexus:
Lo primero será habilitar el feature de port-security:
switch# configure terminal
switch(config)# feature port-security
Definir Políticas de Seguridad Claras
Antes de configurar Port Security, es crucial definir políticas claras que establezcan qué dispositivos están permitidos en la red y cuáles no. Estas políticas deben ser comunicadas y aplicadas consistentemente.
Configurar Port Security Básico
Comienza con una configuración básica de Port Security para restringir el número de direcciones MAC permitidas en cada puerto:
switch# configure terminal
switch(config)# interface Ethernet1/1
switch(config-if)# switchport mode access
switch(config-if)# switchport port-security
switch(config-if)# switchport port-security maximum 2
switch(config-if)# switchport port-security violation restrict
switchport port-security maximum 2: Permite un máximo de dos direcciones MAC en el puerto.
switchport port-security violation restrict: En caso de una violación, el puerto restringirá el acceso en lugar de deshabilitarse completamente, permitiendo al administrador investigar sin una interrupción total.
Usar Sticky MAC Addresses
Configura direcciones MAC «sticky» para que las direcciones aprendidas dinámicamente se guarden en la configuración de running, lo que facilita la administración:
switch(config-if)# switchport port-security mac-address sticky
Implementar Políticas de Violación
Define qué acción tomar en caso de una violación de seguridad. Las opciones incluyen protect, restrict, y shutdown. La opción restrict es generalmente recomendada para evitar interrupciones totales:
switch(config-if)# switchport port-security violation restrict
Control de Macs
Control Manual
switch(config-if)# switchport port-security mac-address 0AC3.4C16.BEF0 vlan 111
switch(config-if)# switchport port-security mac-address 12B7.364D.D307 vlan 111
Control con macs sticky
switch(config-if)# switchport port-security mac-address sticky
Para ver las macs sticky aprendidas:
switch#sh port-security address
Para borrar una mac sticky
switch(config-if)# no switchport port-security mac-address sticky 0011.2233.4455
Configura alertas para ser notificado en caso de violaciones de seguridad. Utiliza Syslog o SNMP traps para recibir notificaciones:
Monitorización y Alertas
Configura alertas para ser notificado en caso de violaciones de seguridad. Utiliza Syslog o SNMP traps para recibir notificaciones:
switch(config)# logging host
switch(config)# snmp-server enable traps port-security
Auditoría
Realiza auditorías de las configuraciones de Port Security y las direcciones MAC asociadas a cada puerto. Utiliza comandos como:
switch# show port-security interface Ethernet1/1
switch# show port-security address
Documentación y Formación
Documenta todas las configuraciones y asegúrate de que el equipo de IT esté formado en cómo configurar y monitorizar Port Security. Incluye procedimientos para resolver violaciones y restaurar la normalidad.
View all episodes
By Eduardo ColladoPuerto de Acceso o Puerto Trunk
En un switch Nexus, los puertos pueden configurarse como puertos de acceso o como puertos trunk, según lo que se requiera en la red.
Puertos de Acceso
Los puertos de acceso se utilizan para conectar dispositivos finales, como ordenadores, impresoras y otros dispositivos de usuario final, a la red. Cada puerto de acceso está asociado con una sola VLAN.
Configuración de un puerto de acceso:
interface Ethernet1/1
switchport mode access
switchport access vlan 10
En este ejemplo, configuramos el puerto Ethernet1/1 como un puerto de acceso y lo asignamos a la VLAN 10.
Puertos Trunk
Los puertos trunk se usan para transportar tráfico de múltiples VLAN entre switches o entre un switch y un router. Los puertos trunk etiquetan las tramas Ethernet con un identificador de VLAN para asegurar que el tráfico se dirija a la VLAN correcta. Configuración de un puerto trunk:
interface Ethernet1/2
switchport mode trunk
switchport trunk allowed vlan 10,20,30
switchport trunk native vlan 1
En este ejemplo, configuraremos el puerto Ethernet1/2 como un puerto trunk para permitir el tráfico de las VLAN 10, 20 y 30, con la VLAN nativa configurada en 1. La VLAN nativa se utiliza para el tráfico no etiquetado.
Lidiar con Spanning Tree
Para proteger la red de problemas relacionados con el Spanning Tree Protocol (STP), hay que mantener la estabilidad y evitar bucles de red. Aquí os dejo las mejores prácticas y configuraciones de STP para un switch Cisco Nexus:
Configurar BPDU Guard
BPDU Guard se utiliza para proteger los puertos configurados como puertos de acceso (edge ports) que no deberían recibir Bridge Protocol Data Units (BPDUs). Si un puerto con BPDU Guard habilitado recibe un BPDU, el puerto se deshabilitará automáticamente para prevenir bucles de STP.
switch# configure terminal
switch(config)# interface range Ethernet1/1 - 24
switch(config-if-range)# spanning-tree port type edge
switch(config-if-range)# spanning-tree bpduguard enable
spanning-tree port type edge: Configura el puerto como un puerto de acceso, lo que significa que se transicionará inmediatamente al estado forwarding.
spanning-tree bpduguard enable: Habilita BPDU Guard para deshabilitar el puerto si se recibe un BPDU.
Configurar Root Guard
Root Guard previene que dispositivos no autorizados se conviertan en el root bridge, lo cual podría alterar la topología STP de la red.
switch# configure terminal
switch(config)# interface Ethernet1/25
switch(config-if)# spanning-tree guard root
spanning-tree guard root: Habilita Root Guard en el puerto para asegurarse de que no se pueda convertir en root port si se reciben BPDUs de un dispositivo no autorizado.
Configurar Loop Guard
Loop Guard ayuda a prevenir bucles causados por un fallo en recibir BPDUs en puertos no-designados. Es útil en topologías redundantes donde los puertos pueden quedarse en estado «stuck in blocking».
switch# configure terminal
switch(config)# interface Ethernet1/26
switch(config-if)# spanning-tree guard loop
spanning-tree guard loop: Habilita Loop Guard en el puerto para evitar que se transicione a forwarding si deja de recibir BPDUs.
Configurar UDLD (Unidirectional Link Detection)
UDLD detecta enlaces unidireccionales causados por fallos físicos y puede deshabilitar el puerto afectado.
switch# configure terminal
switch(config)# interface Ethernet1/27
switch(config-if)# udld port aggressive
udld port aggressive: Configura UDLD en modo agresivo para detectar y deshabilitar rápidamente enlaces unidireccionales.
Configurar PortFast
PortFast se utiliza en puertos de acceso para que transicionen inmediatamente al estado forwarding, lo que es útil en puertos conectados a hosts.
switch# configure terminal
switch(config)# interface range Ethernet1/1 - 24
switch(config-if-range)# spanning-tree port type edge
spanning-tree port type edge: Habilita PortFast en los puertos de acceso para minimizar el tiempo de convergencia.
Ejemplo Completo de Configuración
switch# configure terminal
switch(config)# interface Ethernet1/1 - 24
switch(config-if-range)# spanning-tree port type edge
switch(config-if-range)# spanning-tree bpduguard enable
switch(config)# interface Ethernet1/25
switch(config-if)# spanning-tree guard root
switch(config)# interface Ethernet1/26
switch(config-if)# spanning-tree guard loop
switch(config)# interface Ethernet1/27
switch(config-if)# udld port aggressive
switch(config)# exit
Configurar correctamente los puertos de un switch Cisco Nexus para protegernos de problemas con el Spanning Tree Protocol (STP) implica habilitar BPDU Guard, Root Guard, Loop Guard y PortFast en los puertos adecuados. Estas configuraciones previenen bucles de red, aseguran la estabilidad de la topología STP y mejoran la eficiencia de la red.
Port Security
Configurar Port Security de manera efectiva en una red corporativa es esencial para prevenir accesos no autorizados y proteger la integridad de la red. Aquí están las mejores prácticas para lograrlo en switches Cisco Nexus:
Lo primero será habilitar el feature de port-security:
switch# configure terminal
switch(config)# feature port-security
Definir Políticas de Seguridad Claras
Antes de configurar Port Security, es crucial definir políticas claras que establezcan qué dispositivos están permitidos en la red y cuáles no. Estas políticas deben ser comunicadas y aplicadas consistentemente.
Configurar Port Security Básico
Comienza con una configuración básica de Port Security para restringir el número de direcciones MAC permitidas en cada puerto:
switch# configure terminal
switch(config)# interface Ethernet1/1
switch(config-if)# switchport mode access
switch(config-if)# switchport port-security
switch(config-if)# switchport port-security maximum 2
switch(config-if)# switchport port-security violation restrict
switchport port-security maximum 2: Permite un máximo de dos direcciones MAC en el puerto.
switchport port-security violation restrict: En caso de una violación, el puerto restringirá el acceso en lugar de deshabilitarse completamente, permitiendo al administrador investigar sin una interrupción total.
Usar Sticky MAC Addresses
Configura direcciones MAC «sticky» para que las direcciones aprendidas dinámicamente se guarden en la configuración de running, lo que facilita la administración:
switch(config-if)# switchport port-security mac-address sticky
Implementar Políticas de Violación
Define qué acción tomar en caso de una violación de seguridad. Las opciones incluyen protect, restrict, y shutdown. La opción restrict es generalmente recomendada para evitar interrupciones totales:
switch(config-if)# switchport port-security violation restrict
Control de Macs
Control Manual
switch(config-if)# switchport port-security mac-address 0AC3.4C16.BEF0 vlan 111
switch(config-if)# switchport port-security mac-address 12B7.364D.D307 vlan 111
Control con macs sticky
switch(config-if)# switchport port-security mac-address sticky
Para ver las macs sticky aprendidas:
switch#sh port-security address
Para borrar una mac sticky
switch(config-if)# no switchport port-security mac-address sticky 0011.2233.4455
Configura alertas para ser notificado en caso de violaciones de seguridad. Utiliza Syslog o SNMP traps para recibir notificaciones:
Monitorización y Alertas
Configura alertas para ser notificado en caso de violaciones de seguridad. Utiliza Syslog o SNMP traps para recibir notificaciones:
switch(config)# logging host
switch(config)# snmp-server enable traps port-security
Auditoría
Realiza auditorías de las configuraciones de Port Security y las direcciones MAC asociadas a cada puerto. Utiliza comandos como:
switch# show port-security interface Ethernet1/1
switch# show port-security address
Documentación y Formación
Documenta todas las configuraciones y asegúrate de que el equipo de IT esté formado en cómo configurar y monitorizar Port Security. Incluye procedimientos para resolver violaciones y restaurar la normalidad.