a las 3:17

Configuración de NTP con Autenticacion en un Router Cisco

NTP son las siglas de Network Time Protocol el cual nos permite sincronizar los dispositivos que funcionan en una red. Esto es muy importante ya que hay una gran variedad de servicios de red que se basan en la correcta sincronización de horarios de los servidores.

Para esto, el equipo realiza una referencia a un servidor de horario, que puede comparar y ajustar su fecha y la hora con otro servidor NTP publico en internet. El protocolo NTP utiliza el puerto UDP 123 para establecer la conexión con los servidores de horario. Es recomendable e importante configurar primero el protocolo NTP en los equipos de la nuestra red antes de implementar el protocolo estándar Syslog centralizado.

NTP en GNS3.

Configuración de un router Cisco para que sincronice la fecha y hora con un servidor de NTP público en internet.

Primero verificamos conectividad con el servidor NTP público en internet.

R1#ping pool.ntp.org
Translating "pool.ntp.org"...domain server (192.168.137.1) [OK]
 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 132.248.30.3, timeout is 2 seconds:
!!!.!
Success rate is 80 percent (4/5), round-trip min/avg/max = 76/98/120 ms
R1#

Verificando conexión.

Configuración del Cliente NTP en R1.

R1#configure terminal
R1(config)#ntp server pool.ntp.org
Translating "pool.ntp.org"...domain server (192.168.137.1) [OK]
R1(config)#

Verificación.

R1#show clock detail
07:17:15.480 UTC Sun Mar 29 2015
Time source is NTP
 
R1#show ntp status
R1#show ntp associations

Verificación de NTP y comandos adicionales del estado de NTP.

Configuración en R2.

R2#configure terminal
R2(config)#ntp server 10.10.10.1
R2(config)#end
R2#
*Mar  1 00:14:15.523: %SYS-5-CONFIG_I: Configured from console by console
 
R2#show clock detail
.07:22:29.536 UTC Sun Mar 29 2015
Time source is NTP
R2#

NTP con Autenticación

R1#configure terminal
R1(config)#ntp authentication-key 1 md5 cisco
R1(config)#ntp authenticate
R1(config)#ntp trusted-key 1

Configuración de R2 como cliente NTP con autenticación.

R2#configure terminal
R2(config)#ntp authenticate
R2(config)#ntp authentication-key 1 md5 cisco
R2(config)#ntp trusted-key 1
R2(config)#ntp server 10.10.10.1 key 1

a las 21:32

Syslog Server: Kiwi Syslog - Configuracion de un router Cisco

Si queremos enviar los mensajes de log a un servidor de Syslog (Syslog server) para poder administrar los logs del dispositivo de la red de una forma mas centralizada, podemos enviar los logs que se generan y para que los mensajes se envíen a un servidor.

Es importante que antes de implementar el almacenamiento del log en un Syslog Server, todos los dispositivos de la red estén sincronizados con la misma hora, día y fecha. Para esto debemos de configurar el protocolo Network Time Protocol (NTP) en los switches y routers. Si no sabes realizar esta configuración podras consultar la siguiente publicación sobre NTP Server.

Syslog Server en GNS3.

Para configurar a que el router envíe los logs al Syslog Server debemos ingresar el siguiente comando, loggin host ip_servidor o el comando loggin ip_servidor, indicando la dirección IP del Servidor de Syslog.

Router(config)#logging host 10.10.20.10

10.10.20.10 es el servidor de log.

Podemos limitar la cantidad de mensajes enviados al servidor syslog, según la gravedad con el comando logging trap para establecer el nivel de detalle de la información que será registrada en el log. En este caso es de nivel 7 (debugging) que es el nivel más alto. Niveles de mensajes de Syslog.

R1(config)# logging trap 7

Otro comando importante es el service timestamps, esta configuración es muy importante cuando estemos configurando el loggin porque con esto vamos habilitar que aparezcan los logs con la fecha y la hora en que se genera el log, por default no está habilitado y básicamente lo que hace es que si te pone el log pero no te dice a qué hora fue generado el log, entonces este comando es importante configurarlo en el router.

Router(config)#service timestamps

La segunda parte del procedimiento es efectivamente instalar un software servidor de Syslog en una PC Windows o Linux. Kiwi Syslog Server para Windows es una excelente opción, fácil de instalar y configurar.

Verificacion

R1#debug ip icmp 
ICMP packet debugging is on
R1#

R1#ping 10.10.20.10
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.20.10, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/50/148 ms
R1#

00:09:28: ICMP: echo reply rcvd, src 10.10.20.10, dst 10.10.20.1
00:09:28: ICMP: echo reply rcvd, src 10.10.20.10, dst 10.10.20.1
00:09:28: ICMP: echo reply rcvd, src 10.10.20.10, dst 10.10.20.1
00:09:28: ICMP: echo reply rcvd, src 10.10.20.10, dst 10.10.20.1
00:09:28: ICMP: echo reply rcvd, src 10.10.20.10, dst 10.10.20.1

R1#conf t
R1(config)#exit
R1#
*Mar  1 00:09:35.999: %SYS-5-CONFIG_I: Configured from console by console
R1#

Kiwi Syslog en Windows.

Así de simple podemos centralizar la administración del log en nuestra red y mejorar significativamente la respuesta a un posible incidente o ataque de seguridad que tengamos que enfrentar.

a las 2:30

Syslog

El Syslog es enviar mensajes de información que puede ser a un router o a un servidor externo.

¿Para que nos va servir el Syslog?

El Syslog nos puede servir para sabes cual es la naturaleza de alguna ataque o amenaza de seguridad. También nos sirve de bastante para Troubleshooting y podemos correlacionar cualquier tipo de eventos, como por ejemplo.

• Un intento de acceso con contraseña equivocada
• Un acceso correcto al sistema
• Anomalías: variaciones en el funcionamiento normal del sistema
• Alertas cuando ocurre alguna condición especial
• Información sobre las actividades del sistema operativo
• Errores del hardware o el software

Por lo tanto, es vital la administración adecuada de esta información para mantener corriendo de manera estable una red y principalmente para poder mitigar las amenazas de seguridad a las que nos podamos ver expuestos.

Los logs también se pueden enviar a la consola (por default)

• Al Logging Buffer del Router (por default)
• A las Líneas VTY (Ingresando el comando terminal monitor)
• A un Servidor de SNMP como puede ser un Cisco Works
• A un servidor de Syslog.

Existe un Cliente y Servidor de Syslog.

• El Syslog Client es el que envía los logs, es decir un router puede ser un cliente de Syslog.
• Servidor Syslog es un aquel servidor que guarda todos los logs.

Syslog Levels.

La figura anterior muestra los niveles de Syslog que se tienen.

• Nivel 0 son las Emergencias: Es cuando hay un error severo que hace que el sistema no sea usable
• Nivel 1 son Alertas: Significa que requieren atención inmediata.
• Nivel 2 Critica: Requiere atención para prevenir que haya interrupción en el servicio.
• Nivel 3 Errores: Condiciones de errores en el Sistema.
• Nivel 4 Warnings: Es cuando algo en específico falla.
• Nivel 5 Notificaciones: Alerta sobre los cambios de estados.
• Nivel 6 Información: Información detallada acerca de la operación normal.
• Nivel 7 Debugging: Información detallada, comandos de debug, usualmente puede servir simplemente para troubleshooting.

Es importante saber que existen estos 8 niveles, que significa cada uno y como se llaman.

Iniciando un router se presentan varios log, ejemplo.

Press RETURN to get started!
*Mar  1 00:00:07.059: %LINEPROTO-5-UPDOWN: Line protocol on Interface VoIP-Null0, changed state to up

5 = Nivel 5

*Mar  1 00:00:07.059: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up
*Mar  1 00:00:07.063: %LINK-3-UPDOWN: Interface FastEthernet0/1, changed state to up

3 = Nivel 3

*Mar  1 00:00:07.287: %SYS-5-CONFIG_I: Configured from memory by console
*Mar  1 00:00:07.875: %SYS-5-RESTART: System restarted --
Cisco IOS Software, 3600 Software (C3660-IK9O3S-M), Version 12.4(13b), RELEASE SOFTWARE (fc3)
Technical Support: https://www.cisco.com/techsupport
Copyright (c) 1986-2007 by Cisco Systems, Inc.
Compiled Tue 24-Apr-07 21:18 by prod_rel_team
*Mar  1 00:00:07.887: %SNMP-5-COLDSTART: SNMP agent on host Router is undergoing a cold start
*Mar  1 00:00:08.059: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to down
*Mar  1 00:00:09.299: %LINK-5-CHANGED: Interface FastEthernet0/1, changed state to administratively down

En el IOS de Cisco por default está configurado el log en la consola.