Enrutamiento entre Vlan con Switches Cisco de capa 3

Una vez que se tiene los conocimientos para configurar la red, mediante el uso de Vlan, resulta necesario que los usuarios de las diferentes subredes lógicas se comuniquen entre si. Para esto es necesario utilizar el enrutamiento entre vlan.

Existen muchas formas de realizar el enrutamiento entre vlan, tales como:

• Router on a Stick
• Enrutamiento Tradicional
• Enrutamiento entre vlans, con Servidor Linux

En esta ocasión describiré un poco sobre como configurar el Enrutamiento entre Vlan con switches L3, utilizando para esto un switch Catalyst 3750G-24PS, uno de los tantos switches de Cisco que admite el enrutamiento de Capa 3.

El ícono que representa el switch de Capa 3 se visualiza, es distinto a los iconos para representar un switch L2. Para poder entender la manera en que el switch L3 hace el proceso de enrutamiento es necesario, conocer un poco sobre las interfaces virtuales de los switches o SVI, por su sigla en inglés, que es la que realmente permite realizar el enrutamiento entre las vlan

Configuración Básica de NAT en enrutadores Cisco

En la configuración básica de NAT, todos los equipos de la red interna, compartirán la misma dirección IP de la interface publica. Los enrutadores cisco permiten realizar la configuracion de NAT de una manera bien sencilla.

Configuración General de NAT (Lista de Control)
--------------------------------------------
Router#configure terminal
Router(config)#access-list 90 permit 192.168.1.0 0.0.0.255
Router(config)#access-list 90 permit 192.168.2.0 0.0.0.255
Router(config)#ip nat inside source list 90 interface Ethernet0/0 overload 

Configuracion de Servidor Hobbit (Monitoreo de Red)

Servicio Hobbit

Proceso de activacion de Agente Hobbit(hobbit servidor Linux)

Condicion

distribucion : Kubuntu 9.04

software : hobbit (hobbit-4.2.0) , apache2 (apache2.2.9)

servidor : Netadmin (IP-Addr:192.168.1.5)

Agregar usuario de hobbit

linux:~ # groupadd hobbit

linux:~ # useradd –d /usr/local/hobbit –g hobbit hobbit

linux:~ # mkdir /usr/local/hobbit/

linux:~ # chown hobbit.hobbit /usr/local/hobbit

Guia Para realizar actualizacion de IOS Cisco

Antes de iniciar a describir los pasos para realizar una actualización de un sistema IOS para un equipo cisco, le recomiendo que realice esta actividad solamente si es necesario.

1. Descargue una versión de IOS que necesita o que cumpla con los requerimientos de su sistema.

2. Instale un servidor FTP o TFTP ( recomiendo trabajar con el tftp server de solard wind) aunque otro puede servir.

3. Verifique que el enrutador tiene habilitada la opción ftp-server enable.

4. Realice los siguientes pasos.

Enrutamiento entre VLAN

El enrutamiento entre vlans o inter vlan routing, resulta necesario una vez que se posee una infraestructura de red con vlan implementadas, debido a que los usuarios necesitaran intercambiar información de una red a otra.

Es importante recordar que cada VLAN es un dominio de broadcast único. Por lo tanto, de manera predeterminada, las computadoras en VLAN separadas no pueden comunicarse.

Existe una manera para permitir que estas estaciones finales puedan comunicarse; esta manera se llama enrutamiento entre vlan (Inter vlan routing).

Planificar la hora de reiniciar un enrutador Cisco

Por lo general, se reinicia un equipo, para que este ejecute esta función inmediatamente, sin embargo, algunas veces es necesario que este sea reiniciado a determinada hora, mucho después de escrito el comando. Por ejemplo, si se necesita reiniciar un equipo, pero no esta permitido realizar el proceso durante el periodo de producción o durante periodos de alto trafico, resultaría interesante utilizar estas opciones que vienen incluidas en el IOS del enrutador.

En algunas ocasiones se realiza esto cuando se pretende proporcionar una vía de escapa a cualquier falla de configuración, es posible reiniciar el enrutador para eliminarla. Acá encontraras como eliminar o echar atrás un comando de reload ya programado.

Configurar servidor DNS en los enrutadores Cisco

En entornos de redes de tamaño grande es recomendable configurar los enrutadores para usar DNS para resolver los nombres de equipos. Los enrutadores Cisco traen por defecto activada la resolución de nombre por medio del DNS, sin embargo no poseen configurada la direccion del servidor DNS, por lo que utilizara la dirección de broadcast (255.255.255.255) hasta que se configure la dirección del servidor DNS.

Router1#configure terminal 
Enter configuration commands, one per line.  End with CNTL/Z.   
Router1(config)#ip domain-name test.com
Router1(config)#ip name-server 172.16.1.10 
Router1(config)#ip name-server 10.1.20.51 
Router1(config)#end
Router1# 

Posteriormente a estos comandos es posible acceder desde el enrutador a cualquier equipo por medio de su nombre, siempre y cuando los servidores DNS, hagan bien su trabajo.

Servidor http en enrutadores Cisco

Cisco incluye un servidor HTTP en cada enrutador o switch, en el IOS. Algunos administradores utilizan, esta característica en el enrutador, para administrarlo remotamente desde cualquier navegador web en lugar de utilizar Telnet para acceder al equipo.

Router1#configure terminal 
Enter configuration commands, one per line.  End with CNTL/Z.
Router1(config)#access-list 75 permit 172.16.1.10
Router1(config)#access-list 75 deny any
Router1(config)#ip http server
Router1(config)#ip http access-class 75
Router1(config)#end
Router1# 

Después de configurar el servidor http en el enrutador es posible acceder al mismo desde cualquier navegador web. En el ejemplo anterior, es posible identificar que se esta permitiendo el acceso al enrutador únicamente desde el equipo con dirección ip 172.16.2.10, debido a la configuración de la lista de control de acceso. 

Uso del Protocolo CDP de Cisco

Uso del Protocolo CDP de Cisco

CDP es un protocolo propietario de cisco que permite a los dispositivos identificar dispositivos conectados e intercambiar información importante. Por defecto CDP esta habilitado por defecto en los equipos cisco.. El procedimiento para activar el protocolo CDP es simple, es posible activar el protocolo de manera general o por interfaces individuales.

Router1#configure terminal 
Router1(config)#cdp run
Router1(config-if)#exit
Router1(config)#interface FastEthernet0/0
Router1(config-if)#no cdp enable
Router1(config-if)#exit
Router1(config)#interface FastEthernet1/0
Router1(config-if)#cdp enable
Router1(config-if)#end
Router1# 

El comando show cdp neighbors, brinda información de resumen sobre los equipos adyacentes que usan CDP, como por ejemplo: nombre de los equipos remotos, incluyendo el modelo, al igual que la interfaz local en la que esta conectado el equipo remoto y la interfaz del equipo remoto que esta conectada al equipo local.

Uso o creación de alias en equipos Cisco

Algunas veces me he encontrado con algunos comandos que utilizo mucho pero que son largos de escribir aun usando el tabulador, en esos casos es posible configurar un alias para reducir el comando. Sin embargo es necesario saber que esto debe de ser configurado en cada equipo de la red. A continuación los comandos necesarios para realizar la configuración.

Router1#configure terminal 
Enter configuration commands, one per line.  End with CNTL/Z.
Router1(config)#alias exec smc show mac-address-table
Router1(config)#alias exec sv show vlan
Router1(config)#end
Router1# 

Hacer uso de alias es muy común en usuarios de Unix, para reducir el tiempo al escribir comandos largos o difíciles de recordar. Es posible crear alias para comandos que contienen mucha información al igual que para comandos muy utilizados.

Extraer inventario de hardware de enrutadores Cisco

Que hacer cuando se le solicita una lista actualizada de equipos de red, y no se cuenta con un sistema de inventario, o la lista de equipos no esta actualizada. Este segmento trata de abonar un poco a la solución de este tipo de problemas. Encontré un script que puede ser modificado a la conveniencia, en base a los datos solicitados.

#!/bin/sh
#
#    inventory.sh – este escript extrae informacion de 
#    enrutadores, switches (Name, Type, IOS version)       
#
#
# Set behaviour
public="public"
workingdir="/home/juan/cisco"
#
LOG=$workingdir/resultado.csv
infile=$workingdir/entrada.txt
snmp="/usr/local/bin/snmpget -v1 -c $public"
#
while read device
do
  $snmp $device sysName.0 > /dev/null
  if [ "$?" = "0" ] ; then
    rtr=`$snmp $device .1.3.6.1.4.1.9.2.1.3.0 | cut -f2 -d\" `
    type2=`$snmp $device .1.3.6.1.4.1.9.9.25.1.1.1.2.3 | cut -f2 -d$ `
    ios=`$snmp $device .1.3.6.1.4.1.9.9.25.1.1.1.2.5 | cut -f2 -d$ `
    prot=`$snmp $device .1.3.6.1.4.1.9.9.25.1.1.1.2.4 | cut -f2 -d$ `
    echo "$device, $rtr, $type2, $ios, $prot" >> $LOG                 
  fi
done < $infile 

El escript para extraer inventario de hardware, extrae la información del equipo directamente mediante el uso de snmp. Esto asegura que la información obtenida se encuentre actualizada, sin embargo como puede observarse es necesario que todos los equipos escaneados tengan configurado snmp, con la misma string community.

De igual manera también es necesario tener instalado net-snmp en el equipo que se ejecuta el script, es posible que tenga que modificar la ruta donde se encuentra el ejecutable de snmpget en mi caso, solamente escribí el comando sin especificar la ruta, al igual que también sera necesario modificar el archivo de trabajo y la comunidad que se utiliza en snmp, en el ejemplo funciona con public, lo cual no es recomendable

Para que este escript funcione también es necesario crear un archivo de entrada que contendrá los nombres o direcciones ip de todos los dispositivos a escanear, el script espera encontrar este archivo en el mismo directorio de trabajo.

Usar un Enrutador Cisco como servidor tftp

En algunos casos es posible utilizar un enrutador para que realice las funciones de un servidor tftp, sin embargo es necesario tomar en cuenta que funciones realiza el equipo y solamente utilizar este tipo de herramientas o facilidades cuando sea estrictamente necesario.

Un caso donde se puede usar esta función es cuando se necesita realizar la actualización de varios enrutadores por medio de un enlace lento como wan o Internet, en una sucursal o sitio remoto

Figura 1. Uso de un enrutador como tftp server

En situaciones como esta es posible realizar la actualización de uno de los equipos remotos y luego configurarlo como servidor tftp, para actualizar el resto, de esta manera se estará optimizando el uso de los enlaces lentos de la red. Los comandos necesarios son los siguientes:

Router1#configure terminal                          
Enter configuration commands, one per line.  End with CNTL/Z.
Router1(config)#tftp-server flash:c2600-ik9o3s-mz.122-12a.bin
Router1(config)#end
Router1# 

Es importante conocer que este enrutador no es un servidor tftp 100% funcional, es decir solamente funciona para descargas de archivos, no es posible utilizarlo para subir archivos. Sin embargo es posible utilizar este servidor tftp para cargar archivos distintos al IOS, así como para descargar archivos que no sean de cisco. A demás es importante estar consciente que activar un nuevo servicio como tftp implica problemas de seguridad que podría ser aprovechados por algún atacante.

Algunos autores recomiendan no hacer uso de tftp en los enrutadores, principalmente en equipos que se encuentre conectados a redes publicas, sin embargo es posible utilizar una lista de control de acceso para evitar problemas que comprometan la seguridad de la red.

Lista de control de acceso utilizado para la figura anterior.

Router1#configure terminal 
Enter configuration commands, one per line.  End with CNTL/Z.
Router1(config)#access-list 50 permit 172.25.1.0 0.0.0.255
Router1(config)#access-list 50 deny any
Router1(config)#tftp-server flash:c2600-ik9o3s-mz.122-12a.bin  50
Router1(config)#end
 Router1# 

Esta sencilla lista de control de acceso permite a todos los dispositivos que se encuentren e la red 172.25.1.0/24 acceder al servidor tftp. Como pueden ver es necesario indicar el numero de la lista de control de acceso al final del comando tftp-server. En caso de querer compartir mas de un archivo desde el servidor es necesario agregar mas lineas con el comando tftp-server

Como recomendación especial, se sugiere activar este servicio durante sea necesario, es decir que al finalizar con el proceso de actualización se recomienda inhabilitar el servicio.

Copiar archivo runnig-config de un enrutador Cisco a un servidor tftp

Con regularidad es necesario realizar copias de respaldo de la configuración de un enrutador en un lugar seguro, para disminuir el impacto en caso de que ocurra algún fallo al software o hardware del enrutador, si esto sucede la configuración del equipo se perderá. Cualquier que ha realizado la configuración de un enrutador complejo, puede decir lo complicado que resulta recordar todo lo que estaba configurado anteriormente.

Resulta mas sencillo realizar una copia de respaldo y luego al cambiar el dispositivo dañado solamente tendrías que copiar nuevamente la configuración grabada. Esto permitirá que el tiempo de respuesta ante un fallo seria mucho menor y por ende resultara en un mejor desempeño del personal.

Cisco considera que el tiempo promedio entre fallas (MTBF Mean Time Before Failure) es de aproximadamente 15 años, sin embargo en una infraestructura de red lo suficientemente grande, indica que podrían esperarse fallas de por lo menos unos cuantos por ano, sin incluir las posibles fallas causadas por la manipulación humana.

Figura 1. Conexión básica entre enrutador y servidor TFTP

En esta imagen es posible identificar la conexión básica entre un enrutador y un servidor tftp, ambos están configurados en la misma red 172.16.1.0/24. Sin embargo es posible realizar este proceso incluso cuando el servidor no se encuentra en el mismo segmento de red.
 

Router1>en

Password: 

Router1#copy running-config tftp://172.16.1.1/router1-confg
Address or name of remote host [172.25.1.1]? 
Destination filename [router1-confg]? 
!!!
9640 bytes copied in 3.956 secs (2437 bytes/sec)
Router1# 

Como puede observarse es muy facil realizar la copia de un archivo desde un enrutador a un servidor tftp, sin embargo esto no lo unico que puede hacerse, con las siguientes linea de comando es posible visualizar desde un enrutador la configuración que se encuentra en un servidor tftp.

Router1#more tftp://172.16.1.1/router1-confg

!
! Last configuration change at 11:23:59 EST Sat Jan 11 2003 by juanperez
! NVRAM config last updated at 00:37:16 EST Sat Jan 11 2003 by juanperez
!
version 12.2
service tcp-keepalives-in
service timestamps debug datetime msec
service timestamps log datetime localtime
service password-encryption
!
hostname Router1