GUIA DE LABORATORIO
COD. GL-INGSIS
Versión: 00
Fecha: 28/05/2020
Asignatura: REDES y COMUNICACIONES I
Semestre Académico: 2020 - I
Docente: Mgtr. Emerson Cajahuanca Narro
Sección: AA1
Tema: Switch Lan
Sesión 11
Laboratorio: Sesión 11 – Configuración Switch Cisco
I.
SSH
Topología
Tabla de direccionamiento
Dispositivo
Interfaces
IP Address
Máscara de subred
S1
VLAN 1
10.10.10.2
255.255.255.0
PC1
NIC
10.10.10.10
255.255.255.0
Objetivos
Parte 1: Proteger las contraseñas
Parte 2: Cifrar las comunicaciones
Parte 3: Verificar la implementación de SSH
Aspectos básicos
SSH debe reemplazar a Telnet para las conexiones de administración. Telnet usa comunicaciones
inseguras de texto no cifrado. SSH proporciona seguridad para las conexiones remotas mediante el
cifrado seguro de todos los datos transmitidos entre los dispositivos. En esta actividad, protegerá un
switch remoto con el cifrado de contraseñas y SSH.
Parte 1:
Proteger contraseñas
a. Desde el símbolo del sistema en la PC1, acceda al S1 mediante Telnet. La contraseña de los modos
EXEC del usuario y EXEC privilegiado es cisco.
b. Guarde la configuración actual, de manera que pueda revertir cualquier error que cometa reiniciando
el S1.
c.
Muestre la configuración actual y observe que las contraseñas están en texto no cifrado. Introduzca
el comando para cifrar las contraseñas de texto no cifrado.
S1(config)# service password-encryption
d. Verifique que las contraseñas estén cifradas.
Página 1 de 10
Laboratorio: Sesión 11 – Configuración Switch Cisco
Parte 2:
Cifrar las comunicaciones
Paso 1: Establecer el nombre de dominio IP y generar claves seguras
En general no es seguro utilizar Telnet, porque los datos se transfieren como texto no cifrado. Por lo
tanto, utilice SSH siempre que esté disponible.
a. Configure el nombre de dominio redes.ucv
S1(config)# ip domain-name redes.ucv
b. Se necesitan claves seguras para cifrar los datos. Genere las claves RSA con la longitud de clave
1024.
S1(config)# crypto key generate rsa
The name for the keys will be: S1.redes.ucv
Choose the size of the key modulus in the range of 360 to 2048 for your
General Purpose Keys. Choosing a key modulus greater than 512 may take
a few minutes.
How many bits in the modulus [512]: 1024
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
Paso 2: Crear un usuario de SSH y reconfigurar las líneas VTY para que solo admitan
acceso por SSH
a. a. Cree un usuario administrador con cisco como contraseña secreta.
S1(config)# username administrator secret cisco
b. Configure las líneas VTY para que revisen la base de datos local de nombres de usuario en busca
de las credenciales de inicio de sesión y para que solo permitan el acceso remoto mediante SSH.
Elimine la contraseña existente de la línea vty.
S1(config)# line vty 0 4
S1(config-line)# login local
S1(config-line)# transport input ssh
S1(config-line)# no password cisco
Parte 3:
Verificar la implementación de SSH
a. Cierre la sesión del símbolo del sistema donde tenía activo el Telnet e intente iniciar sesión
nuevamente con Telnet. El intento debería fallar.
b. Intente iniciar sesión mediante SSH. Escriba ssh y presione la tecla Enter, sin incluir ningún
parámetro que revele las instrucciones de uso de comandos. Sugerencia: la opción -l representa la
letra “L”, no el número 1.
c.
Cuando inicie sesión de forma correcta, ingrese al modo EXEC privilegiado y guarde la
configuración. Si no pudo acceder de forma correcta al S1, reinicie y comience de nuevo en la parte
1.
2
Laboratorio: Sesión 11 – Configuración Switch Cisco
II.
PortSecurity
Topología
Tabla de direccionamiento
Dispositivo
Interfaces
IP Address
Máscara de subred
S1
VLAN 1
10.10.10.2
255.255.255.0
PC1
NIC
10.10.10.10
255.255.255.0
PC2
NIC
10.10.10.11
255.255.255.0
Computadora
portátil maliciosa
NIC
10.10.10.12
255.255.255.0
Objetivo
Parte 1: Configurar la seguridad de puertos
Parte 2: Verificar la seguridad de puertos
Aspectos básicos
En esta actividad, configurará y verificará la seguridad de puertos de un switch. La seguridad de puertos
permite restringir el tráfico de entrada de un puerto mediante la limitación de las direcciones MAC que
tienen permitido enviar tráfico al puerto.
Parte 1.
Configurar la seguridad del puerto
a. Acceda a la línea de comandos del S1 y habilite la seguridad de puertos en Fast Ethernet 0/1 y 0/2.
S1(config)#interface range fa0/1 - 2
S1(config-if-range)# switchport port-security
b. Establezca la seguridad máxima, de modo que solo un dispositivo pueda acceder a los puertos Fast
Ethernet 0/1 y 0/2.
S1(config-if-range)# switchport port-security maximum 1
c.
Proteja los puertos de modo que la dirección MAC de un dispositivo se detecte de forma dinámica y
se agregue a la configuración en ejecución.
S1(config-if-range)# switchport port-security mac-address sticky
3
Laboratorio: Sesión 11 – Configuración Switch Cisco
d. Establezca la infracción de manera que no se deshabiliten los puertos Fast Ethernet 0/1 y 0/2
cuando se produzca una infracción, sino que se descarten los paquetes de origen desconocido.
S1(config-if-range)# switchport port-security violation restrict
e. Deshabilite todos los demás puertos sin utilizar. Sugerencia: utilice la palabra clave range para
aplicar esta configuración a todos los puertos de forma simultánea.
S1(config-if-range)# interface range fa0/3 - 24 , gi1/1 - 2
S1(config-if-range)# shutdown
Parte 2.
Verificar la seguridad de puerto
a. En la PC1, haga ping a la PC2.
b. Verifique que la seguridad de puertos esté habilitada y que las direcciones MAC de la PC1 y la PC2
se hayan agregado a la configuración en ejecución.
c.
Conecte la Computadora portátil maliciosa a cualquier puerto de switch no utilizado y observe que
las luces de enlace estén rojas.
d. Habilite el puerto y verifique que la Computadora portátil maliciosa pueda hacer ping a la PC1 y la
PC2. Después de la verificación, desactive el puerto conectado a la Computadora portátil
maliciosa.
e. Desconecte la PC2 y conecte la Computadora portátil maliciosa al puerto de la PC2. Verifique que
la Computadora portátil maliciosa no pueda hacer ping a la PC1.
f.
Muestre las infracciones de seguridad de puertos correspondientes al puerto al que está conectada
la Computadora portátil maliciosa.
S1# show port-security interface fa0/2
g. Desconecte la Computadora portátil maliciosa y vuelva a conectar la PC2. Verifique que la PC2
pueda hacer ping a la PC1.
h. ¿Por qué la PC2 puede hacer ping a la PC1, pero la Computadora portátil maliciosa no puede?
______________________________________________________________________________
______________________________________________________________________________
4
Laboratorio: Sesión 11 – Configuración Switch Cisco
III.
Vlans
Elabore la siguiente Topología:
Tabla de direccionamiento a usar:
Dispositivo
Interfaces
PC1
NIC
PC2
IP Address
Máscara de subred
VLAN
172.17.10.21
255.255.255.0
10
NIC
172.17.20.22
255.255.255.0
20
PC3
NIC
172.17.30.23
255.255.255.0
30
PC4
NIC
172.17.10.24
255.255.255.0
10
PC5
NIC
172.17.20.25
255.255.255.0
20
PC6
NIC
172.17.30.26
255.255.255.0
30
Objetivos
Parte 1: Verificar la configuración de VLAN predeterminada
Parte 2: Configurar las VLAN
Parte 3: Asignar las VLAN a los puertos
Aspectos básicos
Las VLAN son útiles para la administración de grupos lógicos y permiten mover, cambiar o agregar
fácilmente a los miembros de un grupo. Esta actividad se centra en la creación y la denominación de
redes VLAN, así como en la asignación de puertos de acceso a VLAN específicas.
5
Laboratorio: Sesión 11 – Configuración Switch Cisco
Parte 1.
Visualizar la configuración de VLAN predeterminada
Paso 1. Mostrar las VLAN actuales
En el S1, emita el comando que muestra todas las VLAN configuradas. Todas las interfaces están
asignadas a la VLAN 1 de forma predeterminada.
Paso 2. Verificar la conectividad entre dos computadoras en la misma red
Observe que cada computadora puede hacer ping a otra que comparta la misma red.
•
PC1 puede hacer ping a PC4
•
PC2 puede hacer ping a PC5
•
PC3 puede hacer ping a PC6
Los pings a las PC de otras redes fallan.
¿Qué beneficios proporciona configurar las VLAN a la configuración actual?
__________________________________________________________________________________
__________________________________________________________________________________
Parte 2.
Configurar las VLAN
Paso 1. Crear y nombrar las VLAN en el S1
Cree las siguientes VLAN. Los nombres distinguen mayúsculas de minúsculas.
•
VLAN 10: Docentes
•
VLAN 20: Estudiantes
•
VLAN 30: Invitados (predeterminada)
• VLAN 99: Administración y Nativa
S1#(config)# vlan 10
S1#(config-vlan)# name Docentes
S1#(config-vlan)# vlan 20
S1#(config-vlan)# name Estudiantes
S1#(config-vlan)# vlan 30
S1#(config-vlan)# name Invitados
S1#(config-vlan)# vlan 99
S1#(config-vlan)# name Management
Paso 2. Verificar la configuración de la VLAN
¿Con qué comando se muestran solamente el nombre y el estado de la VLAN y los puertos asociados
en un switch?
S1# show vlan brief
6
Laboratorio: Sesión 11 – Configuración Switch Cisco
Paso 3. Crear las VLAN en el S2 y el S3
Con los mismos comandos del paso 1, cree y nombre las mismas VLAN en el S2 y el S3.
Paso 4. Verificar la configuración de la VLAN
S2# show vlan brief
S3# show vlan brief
Parte 3.
Asignar VLAN a los puertos
Paso 1. Asignar las VLAN a los puertos activos en el S2
Asigne las VLAN a los siguientes puertos:
•
VLAN 10: Fast Ethernet 0/11
•
VLAN 20: Fast Ethernet 0/18
•
VLAN 30: Fast Ethernet 0/6
S2(config)# interface fa0/11
S2(config-if)# switchport access vlan 10
S2(config-if)# interface fa0/18
S2(config-if)# switchport access vlan 20
S2(config-if)# interface fa0/6
S2(config-if)# switchport access vlan 30
Paso 2. Asignar VLAN a los puertos activos en S3
El S3 utiliza las mismas asignaciones de puertos de acceso de VLAN que el S2.
Paso 3. Verificar la pérdida de conectividad
Anteriormente, las PC que compartían la misma red podían hacer ping entre sí con éxito. Intente hacer
ping entre PC1 y PC4. Si bien los puertos de acceso están asignados a las VLAN adecuadas, ¿los
pings se realizaron correctamente? ¿Por qué?
______________________________________________________________________________
_______________________________________________________________________________
¿Qué podría hacerse para resolver este problema?
_______________________________________________________________________________
7
Laboratorio: Sesión 11 – Configuración Switch Cisco
IV.
Trunk
Seguirá usando la misma Topología:
Tabla de direccionamiento:
Dispositivo
Interfaces
PC1
NIC
PC2
IP Address
Máscara de subred
VLAN
172.17.10.21
255.255.255.0
10
NIC
172.17.20.22
255.255.255.0
20
PC3
NIC
172.17.30.23
255.255.255.0
30
PC4
NIC
172.17.10.24
255.255.255.0
10
PC5
NIC
172.17.20.25
255.255.255.0
20
PC6
NIC
172.17.30.26
255.255.255.0
30
Objetivos
Parte 1: Verificar las VLAN
Parte 2: Configurar enlaces troncales
Aspectos básicos
Se requieren enlaces troncales para transmitir información de VLAN entre switches. Un puerto de un
switch es un puerto de acceso o un puerto de enlace troncal. Los puertos de acceso transportan el tráfico
de una VLAN específica asignada al puerto. Un puerto de enlace troncal pertenece a todas las VLAN de
manera predeterminada; por lo tanto, transporta el tráfico para todas las VLAN. Esta actividad se centra
en la creación de puertos de enlace troncal y en la asignación a una VLAN nativa distinta a la
predeterminada.
8
Laboratorio: Sesión 11 – Configuración Switch Cisco
Parte 1.
Verificar las VLAN
Paso 1. Mostrar las VLAN actuales
a. En el S1, emita el comando que muestra todas las VLAN configuradas. Si la sección III sobre
VLANS fue correcta, en esta etapa no deberá tener problemas.
b. En S2 y S3, visualice y verifique que todas las VLAN estén configuradas y asignadas a los puertos
de switch correctos según la tabla de direcciones.
Paso 2. Verificar la pérdida de conectividad entre dos computadoras en la
misma red
Aunque la PC1 y la PC4 estén en la misma red, no pueden hacer ping entre sí. Esto es porque los puertos
que conectan los switches se asignaron a la VLAN 1 de manera predeterminada. Para proporcionar
conectividad entre las computadoras en la misma red y VLAN, se deben configurar enlaces troncales.
Parte 2.
Configurar los enlaces troncales
Paso 1. Configurar el enlace troncal en el S1 y utilizar la VLAN 99 como VLAN
nativa
a. Configure las interfaces de G0/1 y G0/2 en S1 para los enlaces troncales.
S1(config)# interface range g0/1 - 2
S1(config-if)# switchport mode trunk
b. Configure VLAN 99 como la VLAN nativa para las interfaces de G0/1 y G0/2 en S1.
S1(config-if)# switchport trunk native vlan 99
El puerto de enlace troncal tarda alrededor de un minuto en volverse activo debido al árbol de
expansión. Haga clic en Fast Forward Time (Adelantar el tiempo) para acelerar el proceso. Una
vez que los puertos se activan, recibirá de forma periódica los siguientes mensajes de syslog:
%CDP-4-NATIVE_VLAN_MISMATCH:
Native
VLAN
mismatch
GigabitEthernet0/2 (99), with S3 GigabitEthernet0/2 (1).
%CDP-4-NATIVE_VLAN_MISMATCH:
Native
VLAN
mismatch
GigabitEthernet0/0 (99), with S2 GigabitEthernet1/1 (1).
discovered
on
discovered
on
Configuró la VLAN 99 como VLAN nativa en el S1. Sin embargo, S2 y S3 están usando VLAN 1 como
la VLAN nativa predeterminada, según lo indica el mensaje de syslog.
Si bien hay una incompatibilidad de VLAN nativa, los pings entre las computadoras de la misma VLAN
ahora se realizan de forma correcta. ¿Por qué?
________________________________________________________________________________
_______________________________________________________________________________
_______________________________________________________________________________
9
Laboratorio: Sesión 11 – Configuración Switch Cisco
Paso 2. Verificar que el enlace troncal esté habilitado en el S2 y el S3
En el S2 y el S3, emita el comando show interface trunk para confirmar que el DTP haya negociado de
forma correcta el enlace troncal con el S1 en el S2 y el S3. El resultado también muestra información
sobre las interfaces troncales en el S2 y el S3.
¿Qué VLAN activas tienen permitido cruzar el enlace troncal?
___________________________________________________________________________________
Paso 3. Corregir la incompatibilidad de VLAN nativa en el S2 y el S3
a. Configure la VLAN 99 como VLAN nativa para las interfaces apropiadas en el S2 y el S3.
b. Emita el comando show interface trunk para verificar que la configuración de la VLAN sea
correcta.
Paso 4. Verificar las configuraciones del S2 y el S3
a. Emita el comando show interface interfaz switchport para verificar que la VLAN nativa ahora sea
99.
b. Emita el comando show vlan para mostrar información acerca de las VLAN configuradas. ¿Por qué
el puerto G0/1 en S2 dejó de estar asignado a VLAN 1?
________________________________________________________________________________
________________________________________________________________________________
10
0
