1
¿Qué tres pasos deben tomarse antes de mover un switch Cisco a un nuevo dominio de administración VTP? (Elija tres).
Escoge una o varias respuestas
2
¿Cómo manejará un router el enrutamiento estático de manera diferente si Cisco Express Forwarding (CEF) está deshabilitado?
3
¿Qué dos afirmaciones son características de los puertos enrutados en un switch multicapa? (Elija dos).
Escoge una o varias respuestas
4
¿Por qué se requiere el DHCP snooping cuando se utiliza la función Dynamic ARP Inspection (DAI)?
5
¿Qué plan de mitigación es mejor para frustrar un ataque DoS que está creando un desbordamiento de la tabla de direcciones MAC?
6
El administrador de red está configurando la función de seguridad de puerto en el switch SWC. El administrador emitió el comando show port-security interface fa 0/2 para verificar la configuración. ¿Qué se puede concluir de la salida que se muestra? (Elija tres).
Escoge una o varias respuestas
7
Los usuarios se quejan de un acceso esporádico a Internet todas las tardes. ¿Qué se debe hacer o verificar?
8
Un nuevo switch de Capa 3 está conectado a un router y se está configurando para el enrutamiento inter-VLAN. ¿Cuáles son tres de los cinco pasos requeridos para la configuración? (Elija tres).
Escoge una o varias respuestas
9
Un administrador de red está configurando el router R1 para la asignación de direcciones IPv6. Basándose en la configuración parcial, ¿qué esquema de asignación de direcciones unicast globales de IPv6 pretende implementar el administrador?
10
¿Cuál es el efecto de introducir el comando de configuración switchport port-security en un switch?
11
¿Qué acción ocurre cuando una trama que entra a un switch tiene una dirección MAC de destino unicast que no está en la tabla de direcciones MAC?
12
¿Cuál es el efecto de introducir el comando de configuración ip arp inspection validate src-mac en un switch?
13
¿Qué término describe la función de un switch Cisco en el control de acceso basado en puertos 802.1X?
14
¿Cuál es una ventaja de PVST+?
15
¿Qué acción ocurre cuando la dirección MAC de origen de una trama que entra a un switch ya se encuentra en la tabla de direcciones MAC?
16
¿Qué tres componentes se combinan para formar un ID de puente (Bridge ID)?
Escoge una o varias respuestas
17
En la página de resumen de un WLC Cisco 3504 (Advanced > Summary), ¿qué pestaña permite a un administrador de red configurar una WLAN específica con una política WPA2?
Explicación
¿Por qué es tan peligroso el VTP si no se hace esto?
Para que el peligro de VTP te resulte muy easy (fácil), tenés que conocer al "villano" de esta historia: el Configuration Revision Number.
El Revision Number: Cada vez que hacés un cambio en las VLANs, este número sube (1, 2, 3...). Los switches siempre le creen al que tenga el número más alto.
El Riesgo: Si traés un switch viejo que tiene un número de revisión 50 y lo conectás a tu red nueva (que va por el número 10), el switch viejo le dirá a todos: "¡Yo tengo la verdad!". Automáticamente, todos los switches de tu red borrarán sus VLANs para copiar las del switch viejo.
La Importancia del Reinicio: Al cambiar el nombre del dominio o reiniciar el switch (especialmente si borrás el archivo vlan.dat), el número de revisión se resetea a 0. Esto garantiza que el switch entre a la red como un "aprendiz" y no como un "maestro" que viene a dar órdenes falsas.
1.Las interfaces multiacceso Ethernet requerirán rutas estáticas totalmente especificadas para evitar inconsistencias de enrutamiento....
Explicación Directa:
¿Por qué CEF hace tanta diferencia en redes Ethernet?
Pensá en cómo el router busca la salida:
Con CEF (Por defecto): El router crea una tabla llamada FIB y otra de Adyacencia. Ya sabe exactamente qué MAC corresponde a cada IP de siguiente salto. Es como tener un GPS con todos los mapas descargados.
Sin CEF: El router tiene que hacer una "búsqueda recursiva". Si la ruta estática solo apunta a una interfaz de salida (ej. GigabitEthernet 0/0) en una red Ethernet, el router no sabe a cuál de todos los dispositivos conectados a ese segmento debe enviarle el paquete.
La Solución (Fully Specified): Para evitar fallos, tenés que decirle ambas cosas: por qué puerta salir Y a quién dárselo (ej. ip route 10.1.1.0 255.255.255.0 Gi0/0 192.168.1.1). Esto elimina la ambigüedad y las inconsistencias.
1.En una red conmutada, se configuran principalmente entre switches en las capas de núcleo (core) y distribución.
2. No están asociados con una VLAN en particular.
Para que no te confundas entre un puerto normal (switchport) y uno enrutado, recordá estas diferencias:
Sin VLANs: Un puerto enrutado no pertenece a ninguna VLAN. Cuando ejecutás el comando no switchport en una interfaz, el switch elimina toda la lógica de Capa 2 (VLANs, STP) de ese puerto.
Dirección IP Física: Al ser un puerto enrutado, podés asignarle una dirección IP directamente a la interfaz física (ej. interface Gi0/1 -> ip address 10.1.1.1 ...), tal como lo haces en un router.
Ubicación en la Red: Se usan principalmente en el Core (Núcleo) y la Distribución. ¿Por qué? Porque el enrutamiento de Capa 3 es mucho más estable y rápido de recuperar que el protocolo STP de Capa 2 cuando hay fallos en enlaces troncales grandes.
1.Utiliza la base de datos de vinculación (binding) de dirección MAC a dirección IP para validar un paquete ARP......
Explicación Directa:
¿Cómo trabajan juntos?
DHCP Snooping (El Registro): Cuando una PC pide una IP por DHCP, el switch "espía" la conversación y anota en una tabla: "La PC con MAC AAA está usando la IP 10.1.1.5". Esto se llama DHCP Snooping Binding Database.
El Ataque (ARP Spoofing): Un atacante intenta engañar a los demás diciendo: "¡Ey! Yo soy la IP 10.1.1.5 (pero mi MAC es BBB)". Esto es un ataque de envenenamiento de ARP.
DAI (El Validador): Cuando el atacante envía ese mensaje ARP falso, el switch con DAI activado dice: "Momento... voy a revisar mi lista de invitados (la tabla de DHCP Snooping)".
El Veredicto: El switch ve que la IP 10.1.1.5 pertenece a la MAC AAA, no a la BBB. Como no coinciden, el switch descarta el paquete ARP falso y protege la red.
1.Habilitar la seguridad de puerto (Port Security)....
El Ataque (MAC Flooding): Un atacante envía miles de tramas con direcciones MAC falsas por segundo. El switch, por naturaleza, intenta aprenderlas todas hasta que llena su memoria (CAM Table). Cuando se llena, el switch entra en "modo falla" y empieza a enviar todo el tráfico por todos los puertos (como un Hub), permitiendo al atacante espiar los datos.
La Defensa (Port Security): * Límite de MACs: Podés decir "este puerto solo permite 1 dirección MAC". Si el atacante envía la segunda MAC falsa, el switch la bloquea.
Acción de Violación: Podés configurar que el puerto se apague (shutdown) o que simplemente descarte el tráfico sospechoso (restrict).
Resultado: La tabla MAC del switch se mantiene limpia y solo con dispositivos legítimos. El ataque DoS fracasa porque el switch nunca llega a desbordarse.
1.Las violaciones de seguridad harán que este puerto se apague inmediatamente....
2.El modo de puerto del switch para esta interfaz es modo de acceso........
3.Este puerto está actualmente activo/encendido......
Explicación Directa:
¿Cómo leemos esta salida de forma muy easy?
Analizando los datos de tu imagen image_e7cd03.png:
Violation Mode: Shutdown: Esta línea confirma que si una MAC no autorizada se conecta, el puerto pasará automáticamente a estado error-disabled (apagado).
Port Status: Secure-up: El término "up" en el estado del puerto confirma que la interfaz está operativa y transmitiendo datos en este momento.
Modo de Acceso: Port Security solo se puede habilitar en puertos configurados manualmente como modo de acceso (switchport mode access). Si fuera un tronco (trunk), el comando daría un error o no mostraría estos datos.
Capacidad de MACs: Vemos que el máximo permitido son 3 direcciones MAC, pero actualmente solo se ha aprendido 1.
1.Check the statistics on the default route for oversaturation....
Verificar las estadísticas en la ruta por defecto para detectar saturación.......
Explicación Directa:Patrones de Uso: En las empresas, las tardes suelen ser picos de tráfico (respaldos de datos, videollamadas, o simplemente más gente conectada). Si la ruta por defecto (el "tubo" de salida a Internet) llega al 100%, el router empieza a tirar paquetes al piso (drops).Ruta por Defecto (0.0.0.0/0): Como casi todo el tráfico de internet sale por esta ruta, es el punto más crítico. Si las estadísticas muestran muchos output drops, confirmás que el problema es el ancho de banda.Comandos Útiles: Usarías comandos como show interfaces en la interfaz de salida o herramientas de monitoreo (SNMP/NetFlow) para ver el porcentaje de utilización durante esas horas exactas.
1.Habilitar el enrutamiento IP....
2.Asignar puertos a las VLAN......
3.Crear interfaces SVI....
Crear las VLANs y Asignar Puertos: Primero definís las "habitaciones" (VLAN 10, 20, etc.) y ponés a los usuarios en ellas con switchport mode access.
Crear las SVIs (Switched Virtual Interfaces): Este es el paso clave. Creás una interfaz virtual para cada VLAN (ej. interface vlan 10) y le asignás una dirección IP. Esta IP será el Default Gateway de los dispositivos en esa VLAN.
Habilitar IP Routing: Por defecto, un switch Cisco actúa solo en Capa 2. Para que empiece a enrutar entre las SVIs que creaste, tenés que ejecutar el comando global ip routing. Sin este comando, las SVIs están "vivas" pero no se hablan entre sí.
1. stateful..........
Analizando los comandos en tu imagen image_e926d6.png:
ipv6 nd managed-config-flag: Este es el "delator". Este comando configura el bit M (Managed) en los anuncios de router (RA). Le dice a los hosts: "No intentes inventar tu propia dirección; buscá a un servidor DHCPv6 para que te dé una".
ipv6 dhcp server CORP_LAN: Aquí el router se está posicionando como el servidor que entregará las direcciones y llevará el registro (el "estado") de a quién le dio qué IP.
Diferencia clave: * En SLAAC, el host se autoconfigura.
En Stateless DHCPv6, el host se autoconfigura pero le pide al servidor datos extra (como el DNS).
En Stateful (tu caso), el servidor DHCPv6 tiene el control total de la IP
1.Habilita la seguridad de puerto en una interfaz.......
¿Cómo funciona este comando?
Requisito Previo: Este comando solo funciona en puertos que están en modo access. Si el puerto está en modo dynamic (por defecto en muchos switches), el comando fallará. Primero tenés que poner switchport mode access.
Configuración por Defecto: Una vez que ponés switchport port-security, el switch aplica los valores de fábrica:
Máximo de MACs: 1 (solo permite una computadora).
Modo de Violación: Shutdown (si conectás otra PC, el puerto se apaga y queda en err-disabled).
Aprendizaje: No es persistente (si reiniciás el switch, olvida la MAC a menos que uses el comando sticky).
El "Candado": Es la mejor forma de evitar que alguien llegue a la oficina, desconecte una impresora y conecte su propia laptop para intentar entrar a la red.
1.El switch reenviará la trama por todos los puertos, excepto por el puerto de entrada....
Unicast vs. Broadcast: Aunque la dirección de destino es de un solo dispositivo (Unicast), si el switch no la tiene en su "mapa" (MAC Address Table), se comporta temporalmente como si fuera un broadcast.
El Objetivo: El switch espera que, al enviar la trama por todos lados, el dispositivo destino la reciba y conteste.
El Aprendizaje: En cuanto ese dispositivo responda, el switch verá su MAC de origen entrando por un puerto específico. En ese instante, actualiza su tabla y las siguientes tramas ya serán enviadas de forma directa (Unicast point-to-point), deteniendo la inundación.
Eficiencia: Esto asegura que la comunicación no se corte, aunque genera un pequeño tráfico extra momentáneo en la red.
1.Comprueba la dirección L2 de origen en el encabezado Ethernet con la dirección L2 del remitente en el cuerpo del ARP.............
La Trampa del Atacante: Un hacker puede enviar un paquete donde el "remitente" en el encabezado de la red parece legítimo, pero dentro del paquete ARP pone una dirección MAC diferente para engañar a la víctima.
El Chequeo: Con validate src-mac, el switch abre el paquete y compara:
Capa 2 (Ethernet Header): ¿Quién envió este cable? (Source MAC).
Cuerpo del ARP (Payload): ¿Quién dice este mensaje que lo envió? (Sender MAC).
Resultado: Si los dos datos no son idénticos, el switch asume que hay un intento de suplantación de identidad y descarta la trama de inmediato.
Otras Validaciones: Recordá que también existen dst-mac (revisa el destino) e ip (revisa que no haya IPs raras como 0.0.0.0).
1. authenticator....................
Para que esto funcione, necesitamos tres "actores" trabajando en equipo:
Supplicant (Suplicante): Es el cliente (tu laptop o PC) que está pidiendo permiso para entrar a la red. "Suplica" que lo dejen pasar enviando sus credenciales.
Authenticator (Autenticador): Es el Switch (o el AP inalámbrico). Su trabajo es mantener el puerto bloqueado para todo lo que no sea tráfico de autenticación. Él recibe tus credenciales y se las pasa al servidor, pero él no decide si son válidas; solo obedece órdenes.
Authentication Server (Servidor de Autenticación): Generalmente es un servidor RADIUS (como Cisco ISE). Él es el cerebro que revisa la base de datos y le grita al switch: "¡Sí, Priscilla es ella, abrile el puerto!" o "¡No, bloquealo!".
1.PVST+ optimiza el rendimiento en la red a través de la distribución de carga (load sharing)......
¿Cómo logra PVST+ que la red sea más rápida ?
Instancias Separadas: En el STP tradicional (IEEE 802.1D), solo hay un "Root Bridge" para toda la empresa. Esto significa que si tenés un enlace de respaldo, ese cable está apagado y desperdiciado el 100% del tiempo.
Distribución de Carga (Load Sharing): Con PVST+, podés configurar el Switch A como el "jefe" (Root) de la VLAN 10, y el Switch B como el "jefe" de la VLAN 20.
Uso de Enlaces: El tráfico de la VLAN 10 usará un camino, y el de la VLAN 20 usará el otro. ¡Ahora estás usando todos tus cables al mismo tiempo!
Flexibilidad: Si un enlace falla, PVST+ solo recalcula el camino para las VLANs afectadas, sin molestar al resto de la red.
1.El switch actualiza el temporizador de refresco (aging timer) para la entrada.........
¿Cómo gestiona el switch su "memoria"?
Aprendizaje Dinámico: Cuando llega una trama, el switch siempre mira la MAC de origen. Si no la conoce, la anota junto con el puerto por el que llegó.
El Temporizador (Aging Timer): Para no llenar su memoria con dispositivos que ya se desconectaron, el switch le asigna un tiempo de vida a cada entrada (por defecto son 300 segundos o 5 minutos en la mayoría de los equipos Cisco).
El Refresco: Si la dirección MAC ya está en la tabla, el switch simplemente reinicia el contador a cero. Mientras el dispositivo siga enviando datos, el switch nunca lo borrará de su tabla.
Limpieza Automática: Si el contador llega a los 300 segundos sin recibir ni un solo paquete de esa MAC, el switch la elimina para dejar espacio a nuevos dispositivos.
1.Dirección MAC......
2.ID de sistema extendido / ID de VLAN.....
3.Prioridad del puente......
Cómo se arma esta "cédula" del switch ?
El Bridge ID tiene un tamaño total de 8 bytes y se divide así:
Bridge Priority (4 bits): Es un valor que el administrador puede cambiar. Por defecto es 32768. Si querés que un switch sea el "Root", le bajás este número.
Extended System ID (12 bits): Aquí es donde vive el número de la VLAN. Gracias a esto, como vimos en la pregunta de PVST+, cada VLAN puede tener su propio "Root Bridge" independiente.
MAC Address (48 bits): Esta es la dirección física del switch. Se usa como "desempate". Si dos switches tienen la misma prioridad, el que tenga la dirección MAC más pequeña ganará la elección.
Dato curioso para tu lab: Cuando hacés un show spanning-tree, verás que la prioridad aparece como 32769 (si es la VLAN 1). Eso es porque el switch suma la Priority (32768) + el System ID (1).
|
