4.8.3.2 Lab - Troubleshoot LAN Traffic Using SPAN_Instructor

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN (versión para el instructor) Nota para el instructor instructor:: El color de fuente rojo o las partes resaltadas en gris indican texto que aparece en la copia del instructor solamente.

Topología

Tabla de direccionamiento Dispositivo

Interfaz

Dirección IP

Máscara de subred

Gateway predeterminado

R1

G0/1

192.168.1.1

255.255.255.0

N/D

S1

VLAN 1

192.168.1.2

255.255.255.0

192.168.1.1

S3

VLAN 1

192.168.1.3

255.255.255.0

192.168.1.1

PC-A

NIC

192.168.1.254

255.255.255.0

192.168.1.1

PC-C

NIC

192.168.1.10

255.255.255.0

192.168.1.1

Objetivos Parte 1: Armar la red y comprobar la conectividad Parte 2: Configurar el SPAN local y capturar el tráfico copiado con Wireshark

© 2016 Cisco y/o sus filiales. Todos los derechos reservados. Este documento es información pública de Cisco.

Página 1 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN

Aspectos básicos/situación Como administrador de redes, usted decide analizar la red de área local interna en busca de tráfico de red sospechoso y posibles ataques de denegación de servicio o de reconocimiento. Para ello, configurará puertos reflejados en todos los puertos del switch y reflejará/copiará todo el tráfico a un puerto de switch designado, donde una PC con Wireshark pueda analizar el tráfico capturado. El objetivo es identificar el origen del tráfico sospechoso. Para configurar el reflejo del puerto, usará la característica analizador de puertos con switches (SPAN) en el switch de Cisco. Es común encontrar un dispositivo que ejecuta un detector de paquetes o un sistema de detección de intrusiones (IDS) conectado al puerto reflejado. Nota: Los routers que se utilizan en las prácticas de laboratorio de CCNA son routers de servicios integrados (ISR) Cisco 1941 con Cisco IOS versión 15.2(4)M3 (imagen universalk9). Los switches que se utilizan son Cisco Catalyst 2960s con Cisco IOS versión 15.0(2) (imagen lanbasek9). Pueden utilizarse otros routers, switches y versiones de Cisco IOS. Según el modelo y la versión de Cisco IOS, los comandos disponibles y los resultados obtenidos pueden diferir de los que se muestran en las actividades de laboratorio. Consulte la tabla Resumen de interfaces del router que se encuentra al final de esta práctica de laboratorio para conocer los identificadores de interfaz correctos. Nota: Asegúrese de que los routers y los switches se hayan borrado y no tengan c onfiguraciones de inicio. Si no está seguro, consulte al instructor. Nota del instructor : consulte el Manual de actividades de laboratorio del instructor para conocer los procedimientos para iniciar y volver a cargar los dispositivos.

Recursos necesarios •

1 router (Cisco 1941 con Cisco IOS versión 15.2(4)M3, imagen universal o similar)

•

2 switches (Cisco 2960 con Cisco IOS versión 15.0(2), imagen lanbasek9 o comparable)

•

2 PC (Windows 8, 7 o Vista con un programa de emulación de terminal, como Tera Term o PuTTY, Wireshark y Zenmap)

•

Cables de consola para configurar los dispositivos con Cisco IOS mediante los puertos de consola

•

Cables Ethernet y seriales, como se muestra en la topología

Parte 1: Armar la red y comprobar la conectividad En la parte 1, configurará la topología de la red y configurará los parámetros básicos, como las direcciones IP de interfaz, el routing estático, el acceso a los dispositivos y las contraseñas.

Paso 1: Realizar el cableado de red como se muestra en la topología. Conecte los dispositivos como se muestra en la topología y realizar el cableado necesario.

Paso 2: Configurar los equipos host. Paso 3: Iniciar y volver a cargar los routers y los switches según sea necesario. Paso 4: Configurar los parámetros básicos para el router. a.

Desactive la búsqueda DNS.

b.

Configure el nombre del dispositivo como se muestra en la topología.

c.

Configure una dirección IP para el router, según se indica en la tabla de direccionamiento.

d. Asigne class como la contraseña cifrada del modo EXEC privilegiado. e. Asigne cisco como la contraseña de vty y de consola, y active el inicio de sesión.


Página 2 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN f.

Establezca las líneas vty en transport input telnet

g. Configure logging synchronous para evitar que los mensajes de consola interrumpan la entrada de comandos. h.

Copie la configuración en ejecución en la configuración de inicio

Paso 5: Configurar los parámetros básicos para cada switch. a.

Desactive la búsqueda DNS.

b.

Configure el nombre del dispositivo como se muestra en la topología.

c.

Asigne class como la contraseña cifrada del modo EXEC privilegiado.

d.

Configure las direcciones IP para los switches como se indica en la tabla de direccionamiento.

e.

Configure el gateway predeterminado en cada switch.

f.

Asigne cisco como la contraseña de vty y de consola, y active el inicio de sesión.

g. Configure logging synchronous para evitar que los mensajes de consola interrumpan la entrada de comandos. h. Copie la configuración en ejecución en la configuración de inicio.

Paso 6: Comprobar la conectividad. a.

Desde la PC-A, debería poder hacer ping a la interfaz en R1, S1, S3 y PC-C. ¿Fueron correctos todos los pings? ______________ Sí Si los pings no se realizan correctamente, solucione los problemas de las configuraciones básicas del dispositivo antes de continuar.

b.

Desde la PC-C, debería poder hacer ping a la interfaz en R1, S1, S3 y PC-A. ¿Fueron correctos todos los pings? ______________ Sí Si los pings no se realizan correctamente, solucione los problemas de las configuraciones básicas del dispositivo antes de continuar.

Parte 2: Configurar el SPAN local y capturar el tráfico copiado con Wireshark Para configurar el SPAN local, necesita configurar uno o más puertos de origen denominados puertos supervisados y un puerto de destino único también llamado puerto supervisado desde donde se enviará el tráfico copiado o reflejado. Se pueden configurar los puertos de origen del SPAN para supervisar el tráfico en el ingreso, el egreso o ambas direcciones (de forma predeterminada).

Paso 1: Configurar el SPAN en R1. a.

Ubique los puertos de switch que están activos en el S1 S1# show ip interface brief

¿Qué puertos de switch están física y lógicamente activos? _____________________________________ F0/4, F0/5, F0/6 están activos b.

En el S1, F0/6 se conecta a la PC-A que se utilizará para analizar el tráfico con Wireshark. F0/6 será el puerto de supervisión de destino del SPAN para los paquetes duplicados. F0/4 y F0/5 serán los puertos de supervisión del origen para los paquetes interceptados. Puede configurar varios puertos de supervisión de fuentes, pero solo un puerto de supervisión de d estino. S1(config)# monitor session 1 source interface f0/4 - 5


Página 3 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN S1(config)# monitor session 1 destination interface f0/6

Paso 2: Iniciar la captura de Wireshark en la PC-A. a.

Abra Wireshark en la PC-A, configure la interfaz de captura a la conexión de área local y haga clic en Inicio.

Paso 3: Desde la PC-C, use NMAP para generar tráfico sospechoso. a.

Abra Zenmap en la PC-C y ejecute un análisis de ping de UDP de hosts disponibles (nmap – sn – PU 192.168.1-6 ). El resultado del análisis identifica 3 hosts en la red: R1, S1 y S2 en 192.168.1.1, 192.168.1.2 y 192.168.1.3. Observe que Zenmap también ha identificado posibles direcciones MAC de los tres hosts como interfaces de Cisco Systems. Si éste fuera un ataque real de reconocimiento de red, el análisis podría incluir el rango completo de hosts de red, además de los puertos y la identificación del SO.


Página 4 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN b.

El atacante hipotético ahora puede emitir un análisis intenso en el R1 en 192.168.1.1 (nmap – T4 – A – v 192.168.1.1). El resultado de análisis identifica un puerto abierto 23/Telnet.

Paso 4: En la PC-A, detenga la captura de Wireshark y examine los paquetes capturados de SPAN. a.

Vuelva a la PC-A y detenga la captura de Wireshark. Podrá ver los patrones de tráfico no estándar entre la PC-C en 192.168.1.10 y el R1 en 192.168.1.1. Se completa con segmentos fuera de servicio y restablecimientos de conexiones (RST). Esta captura de paquetes identifica que la PC-C envía tráfico sospechoso al router R1.


Página 5 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN b.

Como el atacante de la PC-C sabe que el router tiene un puerto abierto en 23, podría intentar un ataque adicional por fuerza bruta o un ataque de estilo denegación de servicio, como un ataque de LAND. Un ataque de LAND es un paquete SYN de TCP con la misma dirección IP de origen y de destino y el mismo número de puerto. Con Zenmap, el comando nmap –sS 192.168.1.1 –S 192.168.1.1 –p23 –g23 – e eth0 es un ejemplo. Observe la forma en que el ataque del LAND fija las direcciones IP de origen y destino a 192.168.1.1 y tanto el número de pu erto de origen como el de destino en el puerto abierto en 23. Aunque el R1 con IOS15 no es vulnerable a este tipo de ataque de denegación de servicio antiguo, muchos sistemas y servidores antiguos aún son vulnerables. Este ataque bloqueará los sistemas vulnerables, mediante la creación de un ciclo infinito.

Reflexión En esta situación, ¿se utilizó SPAN para solucionar problemas e identificar el origen de una actividad sospechosa en la red? ¿Para qué otras situaciones de solución de problemas podría ser útil SPAN? _______________________________________________________________________________________ _______________________________________________________________________________________ Las respuestas varían. Ejemplos: Identificación del origen de difusiones excesivas en la red. Identificación de host infectados con malware que buscan comunicarse con servidores de comando y control, etc.

Tabla de resumen de interfaces del router Resumen de la interfaz del router Modelo de router

Interfaz Ethernet #1

Interfaz Ethernet #2

Interfaz serial #1

Interfaz serial #2

1800

Fast Ethernet 0/0 (F0/0)


Serial 0/0/0 (S0/0/0)

Serial 0/0/1 (S0/0/1)

1900

Gigabit Ethernet 0/0 (G0/0)


Serial 0/0/0 (S0/0/0)

Serial 0/0/1 (S0/0/1)

2801



Serial 0/1/0 (S0/1/0)

Serial 0/1/1 (S0/1/1)

2811



Serial 0/0/0 (S0/0/0)

Serial 0/0/1 (S0/0/1)

2900



Serial 0/0/0 (S0/0/0)

Serial 0/0/1 (S0/0/1)

Nota: para conocer la configuración del router, observe las interfaces para identificar el tipo de router y cuántas interfaces tiene. No existe una forma eficaz de confeccionar una lista de todas las combinaciones de configuraciones para cada clase de router. En esta tabla se incluyen los identificadores para las posibles combinaciones de interfaces Ethernet y seriales en el dispositivo. En esta tabla, no se incluye ningún otro tipo de interfaz, aunque puede haber interfaces de otro tipo en un router determinado. La interfaz BRI ISDN es un ejemplo. La cadena que figura entre paréntesis es la abreviatura legal que se puede utilizar en los comandos de Cisco IOS para representar la interfaz.

Configuraciones de dispositivos Router R1 R1#show run Building configuration...


Página 6 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN

Current configuration : 1379 bytes ! ! Last configuration change at 15:44:27 UTC Sun Jan 10 2016 ! version 15.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname R1 ! boot-start-marker boot-end-marker ! ! enable secret 5 $1$9VIJ$vAdKomdXQ9N4SieMoFxeD1 ! no aaa new-model ! ! no ip domain lookup ip cef no ipv6 cef ! multilink bundle-name authenticated ! cts logging verbose ! ! license udi pid CISCO1941/K9 sn FTX163283RA license accept end user agreement license boot module c1900 technology-package securityk9 ! ! redundancy ! ! interface Embedded-Service-Engine0/0 no ip address shutdown ! interface GigabitEthernet0/0 no ip address shutdown duplex auto speed auto ! interface GigabitEthernet0/1


Página 7 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN ip address 192.168.1.1 255.255.255.0 duplex auto speed auto ! interface Serial0/0/0 no ip address shutdown clock rate 2000000 ! interface Serial0/0/1 no ip address shutdown ! ip forward-protocol nd ! no ip http server no ip http secure-server ! control-plane ! ! line con 0 password cisco logging synchronous login line aux 0 line 2 no activation-character no exec transport preferred none transport output pad telnet rlogin lapb-ta mop udptn v120 ssh stopbits 1 line vty 0 4 password cisco login transport input telnet ! scheduler allocate 20000 1000 ! end

Switch S1 S1#show run Building configuration... Current configuration : 1605 bytes ! ! Last configuration change at 02:22:15 UTC Mon Mar 1 1993 !


Página 8 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN version 15.0 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname S1 ! boot-start-marker boot-end-marker ! enable secret 4 06YFDUHH61wAE/kLkDq9BGho1QM5EnRtoyr8cHAUg.2 ! no aaa new-model system mtu routing 1500 ! ! no ip domain-lookup ! ! spanning-tree mode pvst spanning-tree extend system-id ! vlan internal allocation policy ascending ! ! interface FastEthernet0/1 ! interface FastEthernet0/2 ! interface FastEthernet0/3 ! interface FastEthernet0/4 ! interface FastEthernet0/5 ! interface FastEthernet0/6 ! interface FastEthernet0/7 ! interface FastEthernet0/8 ! interface FastEthernet0/9 ! interface FastEthernet0/10 ! interface FastEthernet0/11 ! interface FastEthernet0/12


Página 9 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN ! interface FastEthernet0/13 ! interface FastEthernet0/14 ! interface FastEthernet0/15 ! interface FastEthernet0/16 ! interface FastEthernet0/17 ! interface FastEthernet0/18 ! interface FastEthernet0/19 ! interface FastEthernet0/20 ! interface FastEthernet0/21 ! interface FastEthernet0/22 ! interface FastEthernet0/23 ! interface FastEthernet0/24 ! interface GigabitEthernet0/1 ! interface GigabitEthernet0/2 ! interface Vlan1 ip address 192.168.1.2 255.255.255.0 ! ip default-gateway 192.168.1.1 ip http server ip http secure-server ! ! line con 0 password cisco logging synchronous login line vty 0 4 password cisco login line vty 5 15 password cisco login ! !


Página 10 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN monitor session 1 source interface Fa0/4 - 5 monitor session 1 destination interface Fa0/6 end

Switch S3 S3#show run Building configuration... Current configuration : 1482 bytes ! ! Last configuration change at 20:17:07 UTC Sun Apr 4 1993 ! version 15.0 no service pad service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname S3 ! boot-start-marker boot-end-marker ! enable secret 5 $1$YRtb$6k0fixPDtcRtjKATQH5Op1 ! no aaa new-model system mtu routing 1500 ! ! no ip domain-lookup ! ! spanning-tree mode pvst spanning-tree extend system-id ! vlan internal allocation policy ascending ! ! interface FastEthernet0/1 ! interface FastEthernet0/2 ! interface FastEthernet0/3 ! interface FastEthernet0/4 ! interface FastEthernet0/5 ! interface FastEthernet0/6


Página 11 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN ! interface FastEthernet0/7 ! interface FastEthernet0/8 ! interface FastEthernet0/9 ! interface FastEthernet0/10 ! interface FastEthernet0/11 ! interface FastEthernet0/12 ! interface FastEthernet0/13 ! interface FastEthernet0/14 ! interface FastEthernet0/15 ! interface FastEthernet0/16 ! interface FastEthernet0/17 ! interface FastEthernet0/18 ! interface FastEthernet0/19 ! interface FastEthernet0/20 ! interface FastEthernet0/21 ! interface FastEthernet0/22 ! interface FastEthernet0/23 ! interface FastEthernet0/24 ! interface GigabitEthernet0/1 ! interface GigabitEthernet0/2 ! interface Vlan1 ip address 192.168.1.3 255.255.255.0 ! ip default-gateway 192.168.1.1 ip http server ip http secure-server ! !


Página 12 de 13

Práctica de laboratorio: Solución de problemas de tráfico de LAN mediante el SPAN line con 0 password cisco login line vty 0 4 password cisco login line vty 5 15 password cisco login ! end


Página 13 de 13

4.8.3.2 Lab - Troubleshoot LAN Traffic Using SPAN_Instructor

Recommend Documents