Management/Administration M. Sc. Juan Carlos Olivares Rojas

Presentación del tema: "Management/Administration M. Sc. Juan Carlos Olivares Rojas"— Transcripción de la presentación:

1 Management/Administration M. Sc. Juan Carlos Olivares Rojas juancarlosolivares@hotmail.com jcolivar@itmorelia.edu.mx http://antares.itmorelia.edu.mx/~jcolivar/

2 Disclaimer Some material in this presentation has been obtained from various sources, each of which has intellectual property, so in this presentation will only have some rights reserved. These slides are free, so you can add, modify, and delete slides (including this one) and slide content to suit your needs. They obviously represent a lot of work on my part. In return for use, I only ask the following: if you use these slides (e.g., in a class) in substantially unaltered form, that you mention their source.

3 Outline Concepts Basic Commands Switches Routers

4 IOS Internetworking Operating System es el sistema operativo que utilizan los equipos cisco que son administrables. Se guarda en memoria Flash ROM para que sea actualizable. Al encender un dispositivo con IOS, el firmware de la ROM realiza un POST(Power-On-Self- Test) hacia todo el hardware conectado al dispositivo.

5 IOS Después se copia el programa de arranque (boostrap) de la memoria ROM a la RAM y lo ejecuta. El bootstrap carga a la memoria RAM la imagen del IOS y este último obtiene el control del hardware. Si se tiene un archivo de configuración en la NVRAM (startup-config) y la carga directamente a la memoria RAM (runnig- config).

6 IOS La imagen del IOS generalmente se encuentra comprimida por lo que al arrancar es necesario descomprimirla. Si todo ha salido correctamente se muestra el nombre del dispositivo (de manera predeterminada: switch, router) y se muestra un prompt del sistema: > En caso de falla se entra en un modo de recuperación de fallas.

7 IOS La forma de acceder al IOS del dispositivo puede ser de diversas formas siendo la más típica y segura el acceso a través del cable de consola (DB9 – RJ45). Para este tipo de conexiones seriales se necesita de un software de terminal, típicamente HyperTerminal o minicom. Las otras formas de acceso son a través de línea auxiliar (modem), via terminal remota (telnet/ssh) y en algunos vía Web.

8 Acceso al IOS Al acceder vía consola es necesario tener un puerto serial típicamente COM de 9 0 25 pines donde irá el cable de consola (DB-9 a RJ45). Se deberá tener un software de comunicaciónde Terminal como HyperTerminal. Salvo que se indique lo contrario la opciones de configuración son: 9600 baudios, 8 bits de datos, sin paridad, un bit de parada y sin control de flujo.

9 Modos de configuración Existen 5 modos de configuración: 1. Modo usuario EXEC 2. Modo usuario privilegiado EXEC PRIV 3. Modo de configuracion global 4. Modos de configuración específicos 5. Modo de Recuperacion (rommon, etc.) Generalmente al encender el equipo se carga la configuración inicial (startup config)

10 Arranque Si no se detecta una configuración de arranque el sistema carga la configuración predeterminada o bien si detecta que se encuentra configurado un cable de consola puede mostrar a los usuarios una asistente de configuración. La configuración actual que puede surgir del modificar parámetros de configuración, se llama running config y si no se graba se pierden los datos al apagar el equipo.

11 Arranque Al iniciar el sistema se entra en modo EXEC en dicha opción se muestra sólo opción de configuración muy básicas generalmente para mostrar parámetros de configuración o pequeñas utilerías de red. Al iniciar el sistema se muestra el nombre del equipo generalmente switch o router (si es que no se ha cambiado) y el prompt $ para indicar que se es un usuario no privilegiado.

12 Modos de Arranque Al introducir al comando enable.se cambia al modo EXEC PRIVilegiado. En ocasiones se pedirá contraseña si es que la tiene. Para estabelecer una contraseña se deberá ejecutar el comando enable password seguido de la contraseña. La contraseña generada se guarda en texto plano. Si se desea cifrarla se deberá ejecutar el comando enable secret seguido de la contraseña.

13 Modo de arranque Al cambiar a modo privilegiado el prompt se modifica a #. En este comando se pueden realizar acciones más específicas sobre el dispositivo pero no se puede hacer modificaciones. Con el comando hostname en modo privilegiado se puede cambiar el nombre del equipo.

14 Modo de arranque Para acceder al modo global de configuración se utiliza el comando configure terminal. En muchas ocasiones se puede abreviar comandos, así el comando anterior se puede expresar como config term. Dependiendo del tipo de dispositivos se pueden tener elementos diferentes.

15 Modo EXEC Al entrar a este modo se pueden visualizar algunas opciones. Por ejemplo, si se es u switch y se da el comando abreviado sh mac (show mac- address-table) nos mostrará la tabla de conmutación del dispositivo. El comando show interfaces muestra todas las interfaces de red, mientras que show ip route mostraría la tabla de encaminamiento de un ruteador.

16 Modos de acceso El comando ? Permite conocer la sintaxis sobre un comando en particular o bien sobre los comandos que se pueden ejecutar en el contexto dado. Con las flechas de arriba y abajo se pueden visualizar los últimos comandos introducidos. El comando show history permite mostrar la lista de los últimos comandos.

17 Configuraciones Para configurar una dirección estática en un switch se aplica: (config)#mac-address-table static dirMAC interface FastEthernet idEther vlan vlan-nombre El comando no sirve para quitar el efecto de una configuración. El comando do permite ejecutar un comando EXEC en el modo EXEC-PRIV

18 CDP Se recomienda habilitar el Cisco Discovery Protocol para un manejo más eficiente de los dispositivos de red de cisco. Se sabe si está habilitado si en el contexto de EXEC se ejecuta show CDP. Para habilitarlo en modo de configuración global, se introduce cdp run.

19 Seguridad La contraseña de enable (password o secret) sólo permite validar la entrada al modo EXEC Privilegiado. Se recomienda bloquear todos los accesos al dispositivos entre los más conocidos: consola, auxiliar, vty (terminal virtual) entre otros. El comando servirce password-encryption permite cifrar las contraseñas que estuievesen en texto plano.

20 Seguridad Para configurar el acceso vía consola: (config)#line console 0 (config-line)#password contraseña (config-line)#login Para configurar el acceso remoto: (config)#line vty 0 4 (config-line)#password contraseña (config-line)#login

21 Seguridad Para la configuración del puerto auxiliar: (config)#line aux 0 (config-line)#password contraseña (config-line)#login En algunas ocasiones se puede habilitar el acceso via Web: (config)#ip http server (config)#ip http por

22 Seguridad Se recomienda crear usuarios particularizados: (config)#username jcolivares password unid Al crear un usuario se deberá validar en la interface adecuada: (config)#line vty 0 4 (config-line)#login local ….

23 Administración Una de las primeras cosas que se sugiere se realice es cambiar el motd (Message Of The Day) para que muestre el logo de la empresa esto se hace: (config)#banner motd #Mensaje de bienvenida# Se recomienda personalizar el nombre de los dispositivos cercanos: (config)#ip host Mexico 192.168.1.2 192.168.2.2

24 Administración De esta forma, al hacer un ping Mexico desde el dispositivo automáticamente hace la resolución de nombres. O incluso utilizando sólo el puro nombre. El comando #show sessions permite visualizar las sesiones activas al dispositivo.

25 Sistema de Archivos El sistema de archivos depende del tipo de dispositivo. bootflash: memoria donde se guarda la imagen de arranque del dispositivo flash: memoria donde se guardan las configuraciones nvram: memoria donde se guardan las tablas de ruteo

26 Sistema de Archivos system: lugar donde se guardan archivos de sistema tftp: utilizado para la copia de archivos remotos. Utilizado para respaldar información. Los comandos básicos de manipulación de archivos son: show (con algún tipo de sistema de archivo como flash), copy, delete (usuario), erase (sistema) y reload para recargar configuraciones.

27 Sistema de Archivos Ejemplos: show flash delete flash:vlan.dat erase startup-config Existen algunos tipos de archivos especializados: startup-config (para indicar la configuración de arranque) y running-config (para la configuración actual)

28 Sistema de Archivos Para que los cambios realizados se guarden en el equipo se debe ejcutar el comando: #copy running-config startup-config Si se desea hacer una copia de respaldo en un servidor remoto: #copy running-config tftp

29 Interfaces Los dispositivos de red funcionan en base a configuraciones de sus interfaces. Dependiendo del tipo de interfaz es su configuración. A continuación se muestra un ejemplo tipo de una interfaz ethernet: (config)#interface FastEthernet0/1 (config-if)#duplex full

30 Interfaces (config-if)#speed 100 (config-if)#description Contabilidad (config-if)#ip address 192.168.1.1 255.255.255.0 Para que los cambios surtan efecto se tiene que aplicar: (config-if)no shutdown

31 Recuperación de Contraseñas La recuperación de contraseñas es muy dependiente del tipo de dispositivo. En general se siguen los siguientes pasos: Presionar un botón o combinación de teclas por un tiempo determinado. Borrar todas las configuraciones Entrar al sistema y reestablecer contraseña Recuperación de configuración a través de un respaldo.

32 Redes WAN En la actualidad las redes de área extensa ya no se manejan en grande distancias como en antaño. El concepto de una red WAN radica en el hecho de enlazar una o más redes autónomas. Las redes WAN generalmente recaen en las redes de enrutadores y de provedores de servicios de telecomunicaciones.

33 Algoritmos de Ruteo El encaminamiento de paquetes sólo se encarga de determinar la ruta a la cual debe dirigirse un paquete. El envío o reenvío del mismo es otro proceso que recibe el nombre de forwarding. La forma más básica de ruteo es cuando se tienen dos segmentos de red que se unen a un ruteador. La configuración es automática.

34 Ruteo Estático Cuando se tienen topologías de redes WAN más elaboradas la forma aparentemente más sencilla de realizar el encaminamiento es a través de definir los enlaces previamente de forma manual. El único inconveniente de esta técnica, radica cuando se ha caído un enlace ya que no existe otra forma de acceder a las otras redes.

35 Ruteo Estático Para poder agregar rutas estáticas se utiliza el comando: (config)#ip route red máscara siguientesalto En general se deberán definir para cada interfaz del ruteador la red a la cual puede llegar.

36 Ruteo Estático Tipicamente los ruteadores se concectan a través de puertos seriales. Generamente en un extremo se coloca un cable DCE y en el otro extremo un cable DTE. Las interfaces seriales permiten liberar puertos Ethernet o de otra tecnología para el manejo de redes pequeñas. Es importante que dentro de las redes WAN se maneje el mismo tipo de direcciones de RED.

37 Actividad Modificar la red anterior para que cada red local tenga su propio ruteador, manejar las direcciones de ruteo de forma estática. ¿Qué consideraciones deben de tomarse sobre las interfaces del ruteador? Los comandos: #show ip protocols y #show ip route; nos permiten ver los protocolos de ruteo así como la tabla de ruteo existente.

38 Actividad Definir ahora una topología de tres redes cada una con su ruteador donde la red A se comunica con B y B se comunica con C. ¿Qué sucede si se pierde el enlace entre A y B? ¿A se puede comunicar con C? ¿B se puede comunicar con C? Ahora implemente un esquema donde además A se enlaza directamente a C, ¿qué ruta se utiliza para comunicar A con C?, ¿si se pierde el enlace A con B, se puede comunicar con C?

39 VLAN Las Virtual LAN son una mejor forma de segmentar redes locales. Basan su funcionamiento en agrupar varios puertos de red para que estén sobre el mismo segmento de red mejorando el desempeño de la red. Para crear una VLAN se siguen los siguientes pasos: Para entral al modo de configuración: #vlan database

40 VLAN (vlan)#vlan id name nombre (vlan)#exit Para visualizar el catálogo de VLAN asignadas: #show vlan brief Una vez configurada una VLANse le puede asignar una dirección de red para que pueda ser administrada de forma remota:

41 VLAN (config)#interface vlan 2 (config-if)#ip address 192.168.1.100 255.255.255.0 (config-if)#no shutdown Ahora es necesario asignar a cada puerto del switch su VLAN (por default todos los puertos pertenecen a la VLAN1): (config)#interface FastEthernet0/5 (config-if)#switchport mode access

42 VLAN (config-if)#switchport access vlan 2 (config-if)#no shutdown como esto puede ser tedioso para un número grande de puertos se puede simplificar utilizando rangos de interfaces: (config)#interface FastEthernet 0/1 -4 (config-if)#switchport mode access (config-if)#switchport access vlan 2

43 VLAN El modo access solo permite el acceso individual a los puertos de un switch. El modo trunk permite comunicar varios puertos en diferentes switches compartiendo la misma unidad administrativa: (config)#interface fastethernet0/1 (config-if)#switchport mode trunk (config-if)#end

44 VLAN un enlace trunk pertenece a todas las vlans. Se necesita de alguna forma para limitarlos: (config)#interface fastethernet0/1 (config-if)#switchport trunk allowed vlan remove 2 Para visualizar las interfaces con enlace VTP se ejecuta: #show interfaces trunk

45 VLAN Para la configuración de VTP en el switch se pueden ejecutar los comandos: (config)#vtp mode server (config)#vtp domain pruebas #show vtp status La multiasignación permite que un puerto pertenezca a dos o más VLANs.

46 VLAN Sólo se puede realizar en equipos avanzados como las series 2900XL y 3500XL (config)#interface fastethernet0/1 (config-if)#switchport mode multi (config-if)#switchport multi vlan 1,2,3 (config-if)#end

47 Actividad Realizar dos VLAN dentro de una LAN donde se tienen 7 equipos: tres para la VLAN de contabilidad y 4 para la de administración (una de ellas un servidor Web). ¿Las máquinas de contabilidad pueden ver el servidor Web de administración? Si se les coloca direcciones en la misma subred ¿se pueden ver?

48 Actividad Tanto el servidor como una máquina de administración se encuentran en otro cuarto por lo que necesitan conectarse a otro switch, realiza las modificaciones pertinentes para que se siga manteniendo la VLAN de administración de forma adecuada Sino se tuviera switches con VLAN ¿cómo se realizaría la segmentación de la red?

49 Actividad ¿Qué cambios se tienen que realizar para que se puedan comunicar las máquinas de la VLAN de contabilidad con las de administración?

50 Ruteo Dinámico En este tipo de encaminamiento las rutas se aprenden en colaboración con otros nodos. Por lo tanto son automáticas y se adaptan a nuevas topologías. Su única desventaja radica en que consumen muchos recursos del enrutador. El ruteo dinámico basa su funcionamiento a través de métricas como: ancho de banda, retardo, carga, confiabilidad, número de saltos (distancia), reloj, costo (valor asignado por el administrador).

51 Ruteo Dinámico Existen muchos algoritmos de ruteo, cuando los enrutadores manejan el mismo protocolo las rutas pueden actualizarse de mejor forma. Cuando son protocolos diferentes, deben de tener compatibilidad al igual que el manejar diferentes fabricantes de dispositivos. En algunas ocasiones, el manejo de un algoritmo u otro es irrelevante. Para redes grandes no lo es.

52 Ruteo Dinámico Un Sistema Autónomo (AS) es una red o conjunto de redes bajo una misma administración. El ID de un AS es manejado por IANA (entre 1-65535) Existen dos clasificaciones de protocolo de ruteo dinámico: IGP y EGP Los protocolos de IGP (Internal Gateway Protocol) enrutan datos dentro de un sistema autónomo: RIP, IGRP, EIGRP, OSPF e IS-IS.

53 Ruteo Dinámico Los protocolos de enrutamiento de pasarela exterior (EGP) enrutan datos entre diferentes sistemas autónomos y son: BGP. El primer protocolo de ruteo y quizás el más sencillo de todos es RIP (Routing Information Protocol), dichos protocolo se basa en el funcionamiento de vector-distancia y maneja hasta 15 saltos.

54 RIP La versión más reciente es la 2. RIP no permite ciclos. Las tablas se actualizan en intervalos de tiempo determinando evaluando las mejores rutas en base a la distancia. La configuración es muy sencilla: sólo se listan las redes directamente conectadas al enrutador.

55 RIP En general, los algoritmos de ruteo toman como referencia la clase de la dirección. Para manejar ruteo sin clase deberá configurarse la opción ip classless para que haga una comprobación bit por bit de la dirección e ip subnet-zero para no distribuir la máscara de red. El manejo de ruteo sin clase hace más fácil la transmisión de paquetes en la red a través de mecanismos de segmentación como NAT, PAT, CIDR entre otros.

56 RIP Router(config)#router rip Router(config-router)#version 2 Router(config-router)#network dirección Depuración de RIPv2: Router#debug ip rip Router#no debug ip rip Las rutas se siguen viendo con el comando show ip route, nótese que se coloca una R cuando la red es calculada por RIP

57 Visualización de Rutas show ip route connected show ip route address show ip route static show ip route rip show ip route igrp show ip protocols show ip rip database

58 RIP Para el manejo de comunicación segura: Router(config)#key chain Llavero Router(config-keychain)#key 1 Router(config-keychain-key)#key-string clave Router(config-keychain-key)#interface fastethernet 0/0 Router(config-if)#ip rip authentication key-chain llavero Router(config-if)#ip rip authentication mode md5

59 Actividad Manejar la misma topología del ejemplo anterior de ruteo estático utilizando dos redes, luego tres, luego con redundancia de enlaces, contestando las mismas preguntas.

60 DHCP Los equipos activos como ruteadores y switches permiten la configuración de direcciones dinámicas directamente desde el dispositivo, aunque generalmente están deshabilitados. ip dhcp pool ip dhcp excluded-address default-router servidor-netbios ip dhcp excluded-address no service DHCP

61 IGRP Es una propuesta de Cisco desarrollada a inicios de 1990 para sustituir a RIP. Sinceramente no ha tenido mucho éxito a pesar de que es simple y tiene más mejoras que RIP. Se determinan 5 métricas para el cálculo de las rutas: ancho de banda, confiabilidad, retardo, carga y MTU (unidad máxima de transferencia).

62 IGRP De manera predeterminada usa el ancho de banda y el retardo. La distancia administrativa es un valor numérico que el administrador coloca para indicar la confiabilidad de una ruta. Entre más pequeño sea, mejor la ruta. Todos los protocolos tienen distancia administrativa, por ejemplo RIP es 120 e IGRP es 100.

63 IGRP Router(config)#router igrp 101 Router(config-router)#network 192.168.1.0 Router(config-router)#network 192.168.2.0 Como se puede notar la configuración es igual de sencilla que RIP.

64 EIGRP Router#show ip eigrp topology dirIP router(config)#router eigrp id-sistema-autonomo router(config-router)#network id-red router(config-if)#bandwith kbps router(config-router)#eigrp log-neighbor- changes router(config-router)#no auto-sumary

65 EIGRP router(config-if)#ip summary-address eigrp num-sistema-autonomo dirIP máscara dist- administrativa

66 OSPF Open Shortest Path First, es uno de los mejores protocolos de ruteo. Es un protocolo abierto que mantiene una base de datos con las topologías de la red. Siempre encuentra la ruta más corta. Generalmente maneja la inundación para conocer a sus vecinos. Se envían paquete tipo “hello”.

67 OSPF Su arquitectura consiste en determinar un ruteador designado (DR) y un ruteador designado de respaldo (BDR) que son la base para la actualización de tablas de ruteo. Es un protocolo de enlace de estado. Por lo que está atento a las métricas del enlace. Se manejan muchos tipos de paquetes para lograr la actualización de las tablas.

68 OSPF Como la actualización puede ser muy pesada, generalmente este algoritmo divide su funcionamiento en áreas. Las áreas no deben de exceder de más de 50 ruteadores. Los ruteadores se pueden clasificar en: Internos: cuando todas sus interfaces están en la misma área. Backbone router: tiene al menos una interfaz en el área 0.

69 OSPF ABR (Area Border Router): interfaces conectadas a distintas áreas. ASBR (Auntonomous System Boundary Router): tienen al menos una interfaz conectada a la red externa. Comandos Básicos OSPF Router(config)#router ospf process-id Router(config-router)#network dirreccion comodin area area-id

70 OSPF Establecimiento de prioridad Router(config-if)#ip ospf priority num(0-255) Router#show ip ospf interface serial1 Métrica de costo Router(config)#interface serial 0/0 Router(config-if)#bandwidth 56 Router(config-if)#ip ospf cost num(1-65535)

71 OSPF Autenticación OSPF Router(config-if)#ip ospf authentication-key password Router(config-router)#area area-number authentication Temporizadores de Hello Router(config-if)#ip ospf hello-interval segundos Router(config-if)#ip ospf dead-interval segundos

72 OSPF Router(config)#router ospf id-proceso Router(config-router)#network dirIP mascara- comodin area id-area Router(config-router)#area id-area range direccion mascara Router(config-router)#summary-address direccion mascara show ip ospf border-routers show ip ospf virtual-links show ip ospf process-id show ip ospf database Router(config-router)#area id-area virual-link router-id Router(config)#router ospf 1 Router(config-router)#network 192.168.1.0 0.0.0.255 area 0 Router(config-router)#network 192.168.64.0 0.0.63.255 area 51

73 OSPF show ip ospf process-id show ip ospf database Router(config-router)#area id-area virual-link router-id Router(config)#router ospf 1 Router(config-router)#network 192.168.1.0 0.0.0.255 area 0 Router(config-router)#network 192.168.64.0 0.0.63.255 area 51

74 IS-IS Intermediate System to Intermerdiate System se ha vuelto un protocolo de ruteo bastanate utilizado ya que lo manejan entre sí muchos ISP. Está estandarzado bajo la norma ISO 10589. Soporta enrutamiento jerárquico, sin clase, inundación y convergencia rápida, alta escabilidad, etiquetamiento de paquetes, así como Ingeniería de tráfico.

75 IS-IS Los protocolos OSI definen una arquitectura de ruteo con 4 elementos: host, área, backbone y un dominio.

76 BGP Router(config)#router bgp 100 Router(config-router)#no synchronization Router(config-router)#neigbor 192.168.16 remote-as 300 Router(config-router)#network 201.0.0.0

77 ACL Otra de las características de los switches son las ACLs (listas de control de acceso) que restringen el acceso a direcciones IP y puertos. Existen dos tipos de ACL: estándar y extendidas, donde las estándar sólo permiten filtrar por direcciones origen Para el manejo de ACLs y algunos otros comandos se utiliza el concepto de comodin "wildcard”.

78 ACL Los comodines son una máscara especial donde un 0 representa que un bit se evalúa y un 1 que no se evalúa. Como se puede notar están en el orden inverso de las máscaras de red. Así por ejemplo, si se tiene la mascara de subred:255.255.240.0 el comodín quedaría 0.0.15.255. La forma más fácil es restar 255.

79 ACL Existen dos máscaras comodines: 0.0.0.0 y 255.255.255.25 5 esta se puede sustituir por any (config)#access-list 2 0.0.0.0 255.255.255.255 es equivalente a: (config)#access-list 2 permit any Las listas de control de acceso dependen del protocolo en nuestro caso IP.

80 ACL Los rangos son para las ACL estándar:1-99 y de 1300-1999 y las extendidas de 100-199 y de 2000-2699 Otra abreviación de máscaras en nuestro caso host que sirve para cuando se desea exactamente una dirección IP (config)#access-list 2 deny 171.69.198.102 0.0.0.0 es equivalente a:

81 ACL (config)#access-list 2 deny host 171.69.198.102 (config)#access-list 102 deny tcp 171.69.198.0 0.0.0.255 172.20.52.0 0.0.0.255 eq telnet (config)#access-list 102 permit tcp any any Es muy útil comentar las listas de control de acceso esto se hace a través de remark.

82 ACL (config)#access-list 2 remark Negar el trafico a la máquina de pp (config)#access-list 2 deny host 171.69.198.102 (config)#access-list 2 remark permitter el acceso a los demás nodos (config)#access-list 2 permit any Hasta este momento, se han definido las listas de acceso pero no se han activiado.

83 ACL Para poder activarlas se deberá indicar el puerto donde aplican: (config)#interface fastethernet0/1 (config-if)#ip access-group 2 in El parametro in indica la entrada de tráfico de la interfaz, el parámtero out la salida. Se soportan hasta 100 ACE (entradas de las listas de control) por puerto.

84 Actividad Realizar el control de una red para que una máquina pueda salir hacia todos los servicios. Una máquina no pueda salir a nada. Dos máquinas puedan salir a Web pero no a lo demás y otra máquina tenga acceso a todo menos a conexiones de Telnet y SSH.

85 ¿Preguntas?