NAT IOS (Network Address Translation )

NAT permite a los host que no tienen una IP publica acceder a Internet.


Cisco IOS soporta varios tipos de NATs .


NAT Estático (Static NAT) 

Permite  mapear una IP a otra estaticamente 

Para la terminología de Cisco , la IP privada del host en la red interna es llamada "inside local" y la IP publica con la que el host saldrá  Internet es conocida como "Inside Global"

Ejemplo de la configuración:

interface GigabitEthernet0/0

ip address 10.2.2.5 255.255.255.0

ip nat inside

interface Serial0/0/0

ip address 200.1.1.251 255.255.255.0

ip nat outside

ip nat inside source static 10.1.1.2 200.1.1.2

ip nat inside source static 10.5.5.1 200.1.1.1

NAT# show ip nat translations

Pro Inside global Inside local Outside local Outside global

--- 200.1.1.1 10.5.5.1 --- ---

--- 200.1.1.2 10.1.1.2 --- ---

NAT# show ip nat statistics

Total active translations: 2 (2 static, 0 dynamic; 0 extended)

Outside interfaces:

Serial0/0/0

Inside interfaces:GigabitEthernet0/0

Hits: 100 Misses: 0

Expired translations: 0

Dynamic mappings:

NAT Dinámico (Dynamic NAT) 

Muy similar al NAT estático , creando una asociación "one-to-one" entre  IPs privadas y publicas.

Pero esta vez ese mapeo es dinámico,  creando un pool de posibles IPs a las que las IPs privadas se pueden traducir. 

Manualmente se puede borrar las entradas dinámicas de la tabla de traducciones con el comando "clear ip nat traslations "

Ejemplo de la configuración:

NAT# show running-config

!

interface GigabitEthernet0/0

ip address 10.1.1.3 255.255.255.0

ip nat inside

!

interface Serial0/0/0

ip address 200.1.1.251 255.255.255.0

ip nat outside

access-list 1 permit 10.1.1.2

access-list 1 permit 10.1.1.1

!

ip nat pool test 200.1.1.1 200.1.1.2 netmask 255.255.255.252

ip nat inside source list 1 pool test

!

NAT# show ip nat translations

Pro Inside global Inside local Outside local Outside global

--- 200.1.1.1 10.1.1.1 --- ---

NAT# show ip nat statistics

Total active translations: 1 (0 static, 1 dynamic; 0 extended)

Outside interfaces:

Serial0/0

Inside interfaces:

Ethernet0/0

Hits: 69 Misses: 1

Expired translations: 0

Dynamic mappings:

-- Inside Source

access-list 1 pool fred refcount 1

pool fred: netmask 255.255.255.252

start 200.1.1.1 end 200.1.1.2

type generic, total addresses 2, allocated 1 (50%), misses 0

NAT con traducción de puertos  (PAT or NAT Overload ) 

La mayoría de las redes necesitan que todos sus host salgan a Internet , si utilizamos NAT estático cada host deberá tener una IP publica diferente asignada , lo cual es muy costoso y no provee escalabilidad. 

PAT soluciona este problema haciendo posible traducir múltiples IP privadas a una sola IP publica. 

Con el mapeo de PAT , no solo se seleccionan las IPs , sino que también agrega un numero de puerto único a la traducción, creando una combinación única en su tabla de traducciones. 

PAT puede crear hasta 65000 traducciones simultaneas. 

Ejemplo de la configuración:

NAT# show running-config

!

interface GigabitEthernet0/0

ip address 10.1.1.3 255.255.255.0

ip nat inside

!

interface Serial0/0/0

ip address 200.1.1.249 255.255.255.252

ip nat outside

!

ip nat inside source list 1 interface Serial0/0/0 overload

!

access-list 1 permit 10.1.1.2

access-list 1 permit 10.1.1.1

!

NAT# show ip nat translations

Pro Inside global Inside local Outside local Outside global

tcp 200.1.1.249:3212 10.1.1.1:3212 170.1.1.1:23 170.1.1.1:23

tcp 200.1.1.249:3213 10.1.1.2:3213 170.1.1.1:23 170.1.1.1:23

tcp 200.1.1.249:38913 10.1.1.2:38913 170.1.1.1:23 170.1.1.1:23

NAT# show ip nat statistics

Total active translations: 3 (0 static, 3 dynamic; 3 extended)

Outside interfaces:

Serial0/0/0

Inside interfaces:

GigabitEthernet0/0

Hits: 103 Misses: 3

Expired translations: 0

Dynamic mappings:

-- Inside Source

access-list 1 interface Serial0/0/0 refcount 3

NAT Troubleshooting

• Asegurarse que la configuración incluye los comandos "ip nat inside" y "ip nat outside" en las interfaces y que este correctamente posicionadas. 
• Para el NAT estático , asegurarse que las IPs privadas y publicas estén en el orden correcto. 
• Si utiliza NAT dinámico , asegúrese que el ACL contenga las IPs correctas, y  que el pool tenga suficientes IPs para las traducciones requeridas.
• Asegurarse que no haya ningún ACL previamente aplicado en la interfaz. 

Espero sea de ayuda

- Randy -

NTP (Network time protocol) IOS

NTP da la capacidad a los routers ,Switches , Firewalls y otros dispositivos de sincronizar el tiempo entre ellos.

Si todos los dispositivos de la red tienen sus relojes sincronizados , la lista de logs va a ser mas precisa facilitando las labores de "Troubleshooting"

Para configurar NTP en un router o Switch se utiliza el siguiente comando. 

R1# configure terminal

R1(config)# ntp server x.x.x.x  version 4

Podemos usar los siguientes comandos para revisar el estado de NTP en nuestro router:

R1# show ntp status

Clock is synchronized, stratum 8, reference is 172.16.2.2

nominal freq is 250.0000 Hz, actual freq is 250.0000 Hz, precision is 2**21

ntp uptime is 4700 (1/100 of seconds), resolution is 4000

reference time is D42BD899.5FFCE014 (13:48:09.374 UTC Fri Oct 19 2012)

clock offset is -0.0033 msec, root delay is 1.28 msec

root dispersion is 3938.51 msec, peer dispersion is 187.59 msec

loopfilter state is 'CTRL' (Normal Controlled Loop), drift is 0.000000000 s/s

system poll interval is 64, last update was 42 sec ago.

R1# show ntp associations

address ref clock st when poll reach delay offset disp

*172.16.2.2 127.127.1.1 7 36 64 1 1.261 -0.001 7937.5

* sys.peer, # selected, + candidate, - outlyer, x falseticker, configured

Routers y switches pueden actuar como servidores NTP con el comando (ntp masters) 

NOTA: NTP usa el protocolo UDP 123 , por lo que si usamos un servidor NTP externo , es probable que tengamos que agregar un ACL a nuestro router para permitir la comunicación. 

Deshabilitando servicios sin utilizar en el IOS

Cisco IOS , al igual que todos los sistemas operativos , trae algunos servicios habilitados por defecto, esta configuración incluye una variedad de  servicios útiles para el IOS , sin embargo esto también facilita las labores a lo atacantes  con posibles vulnerabilidades en esos servicios o  para recopilar información sobre el sistema.


Servicio HTTP


Por defecto , IOS habilita el servicio HTTP en el router ,  este servicio es usado por el router para permitir al usuario accesar el GUI del router mediante un "browser" , normalmente se usa CCP (Cisco Configuration Profesional) .

Lo recomendable es deshabilitar el servicio HTTP y habilitar el modo seguro con HTTPS , o deshabilitar el servicio del todo en caso que no se desee usar el GUI.

Comandos:

Deshabilitar HTTP

no ip http server


Habilitar HTTPS

http secure-server 


Cisco Discovery Protocol (CDP)

Al tener este protocolo habilitado , un atacante puede aprender valiosa información sobre la red y los dispositivos conectados , y crear una topologia basado en el resultado de CDP.

Como medida de seguridad se recomienda deshabilitar CDP de las interfaces conectas a redes no seguras o deshabilitarlo globalmente en el router.

NOTA: En redes en producción hay que ser sumamente cuidadoso a la hora de apagar el servicio de CDP , especialmente si se usan  Teléfonos IP  CISCO , muchos de estos teléfonos usan CDP   para instalarse/registrarse.

Comandos:

Deshabilitar CDP globalmente

Router(config)#no cdp run 

Deshabilitar CDP de una interfaz 

Router(config)#interface fastEthernet 0/0

Router(config-if)#no cdp enable 

Servicios pequeños ( small services ) 

IOS trae habilitado por defecto servicios catalogados como "Small services" los cuales incluyen  el servicio de ICMP para protocolos TCP/UDP. Se podría decir que es un ping a nivel de la capa de transporte. 

Por ejemplo podríamos hacer desde una PC:

Telnet x.x.x.x echo 

Telnet x.x.x.x daytime 

Para verificar si el servicio de Telnet esta encendido  y el segundo comando para verificar la hora del sistema. 

Los comandos para deshabilitar estos servicios son los siguientes:

R1(config)# no service tcp-small-servers

R1(config)# no service udp-small-servers

Estos servicios vienen deshabilitados por defecto en versiones posteriores a la 11.3

Se puede encontrar mas información de estos  servicios en el siguiente link:

http://www.cisco.com/c/en/us/support/docs/ios-nx-os-software/ios-software-releases-110/12815-23.html 

Protocolo Finger 

La función de este protocolo es proveer a la  interfaz  un nombre y "Figer programs" para la red 

Se deshabilita con el siguiente comando:

 no service finger

Servicio BOOTP 

 Es un protocolo de red UDP utilizado por los clientes de red para obtener su dirección IP automáticamente. Normalmente se realiza en el proceso de arranque de los ordenadores o del sistema operativo. Este protocolo permite a los ordenadores sin disco obtener una dirección IP antes de cargar un sistema operativo avanzado

Se deshabilita con el siguiente comando:

no ip bootp serve

Para mas información de los servicios por defecto habilitados por defecto en el IOS , puede revisar el siguiente documento. 

http://www.cisco.com/c/en/us/support/docs/ip/access-lists/13608-21.html

Espero sea de ayuda

- Randy - 

Listas de acceso IPv4 ( ACL)

 Las listas de acceso tienen muchas funciones dentro de los Routers , Switches y dispositivos de Seguridad  (QoS, VPN , PBR…)  , pero el más común es para filtrar paquetes.

Las ACLs permiten a los ingenieros una manera de identificar los paquetes en varias formas (IP, TCP, UDP) o por origen y destino ya sea por IP o puerto.  

Desde el punto de vista lógico, las listas de acceso pueden ser aplicadas para los paquetes entrantes a la interfaz o para los paquetes salientes.

Una vez el router tenga las listas de acceso configuradas inspeccionara cada paquete y dependiendo de la regla de la lista determinara si deja pasar o no a ese paquete.

Las listas de acceso solo permiten 2 acciones, permitir y denegar.

ACLs usan  “first-match logic”, esto significa que una vez un paquete  coincide con una línea del ACL , el router tomara la acción y no buscara por mas entradas en la lista de acceso.

Si un paquete no coincide con ningún ACL , el paquete es descartado. La razón es que todas las ACL tienen una denegación implícita al final.

Tipos de listas de acceso

Cisco IOS contiene las siguientes listas de acceso :

·         Estándar numeradas (1–99)

·         Extendidas numeradas  (100–199) 

·         Números adicionales (1300–1999  estándar, 2000–2699 extendidas)

·         ACL nombradas

Listas de acceso Estándar

Estándar ACL solo filtra los paquetes por su dirección de origen , utiliza numero en lugar de nombres.

Access-list {1-99 | 1300-1999} {permit | deny} matching-parameters

Ejemplo:

Access-list 5 permit 192.168.2.0 255.255.255.0

Access-list 5 deny   192.168.3.0 255.255.255.0

Mascaras Comodin “Wildcard Masks” 0.0.0.255, 0.0.255.255, 0.255.255.255

En los routers para identificar las redes , o los hosts de de esas redes que necesitamos filtrar es necesario hacer el proceso de subneteo mediante estas mascaras.

El valor de un “Wildcard mask” puede ser obtenido , substrayendo la mascara actual a la mascara de Broadcast 255.255.255.255

Por ejemplo si queremos filtrar la subred 192.168.1.0 255.255.255.0  , restamos la mascara original a la mascara de Broadcast , dándonos como resultado la mascara comodín 0.0.0.255

Otro ejemplo:

Si queremos filtrar la red 172.16.32.0 255.255.248.0 , usaríamos la mascara comodín 0.0.7.255 en nuestra lista de acceso.

Ejemplo:

Access-list 101 permit 172.16.32.0 0.0.7.255 any 

 En algunos casos vamos a necesitar permitir/denegar todo el trafico , con la palabra “any” vamos a ser posible esto dentro del ACL.

Listas de acceso extendidas

Muy similar a las listas de acceso estándar, deben ser habilitadas en la interfaz para los paquetes salientes o entrantes. IOS busca secuencial mente y usa la lógica de “first-match”.

Las listas de acceso extendidas se diferencian de las estándar , por la gran cantidad de paquetes con diferentes encabezados que permiten filtrar, una sola lista de acceso extendida puede filtrar múltiples puertos de aplicaciones en TCP/UDP .

Ejemplos

Access-list 101 deny icmp any any

Access-list 101 permit tcp eq https any any

Access-list 101 deny udp eq 2436 any any

Listas de Acceso Nombradas

Al igual que las listas de acceso estándar y extendidas, las listas de acceso nombradas son usadas para filtrar paquetes.

Las listas de acceso nombradas tienen 3 diferencias fundamentales en comparación a las anteriores:

•Usan nombres en lugar de números , facilitando el recordar la funcion del ACL

• Usan subcomandos para las ACL , no comandos globales.

• Funciones de edición en la ACL  permiten al usuario eliminar lineas independientes y agregar nuevas lineas a la existente ACL.

Ejemplo de un ACL Nombrada:

Router(config)# ip access-list extended Test

Router(config-ext-nacl)# permit tcp host 10.1.1.2 eq www any

Router(config-ext-nacl)# deny udp host 10.1.1.1 10.1.2.0 0.0.0.255

 Router(config-ext-nacl)# deny ip 10.1.3.0 0.0.0.255 10.1.2.0 0.0.0.255

Router(config-ext-nacl)# deny ip 10.1.2.0 0.0.0.255 10.2.3.0 0.0.0.255

Router(config-ext-nacl)# permit ip any any

Router(config-ext-nacl)# exit

Router(config)# interface fastethernet 0/0

Router(config)# ip access-group test out 

Espero sea de ayuda 

- Randy - 

Resolucion de nombres con DNS

Domain Name System (DNS) define un protocolo extensamente útil a nivel mundial.

Normalmente dentro de una compañía, se utilizan al menos 2 servidores de DNS , cada uno capaz de resolver os nombres de los Host  internos de la compañía.

Cuando ocurren problemas con los host , normalmente se revisan la configuración de DNS y verificar el servidor DNS en uso. Esto es posible con el comando “nslookup” en Windows. 

Ejemplos:

C:\Users\User>nslookup

Default Server:  google-public-dns-a.google.com

Address:  2001:4860:4860::8888

En los dispositivos IOS de Cisco (Router y Switches ) el comando para configurar como el dispositivo va a resolver nombres a IPs en modo global es "ip name-server server-IP".

Ejemplo: ip name-server 8.8.8.8

Estáticamente se pueden configurar nombres asociados a IPs en los IOS   , utilize el comando “ip host name x.x.x.x”

Ejemplo: ip host google  8.8.8.8

Para que el router use esta base local , primero debemos deshabilitar las búsquedas externas de DNS con el comando “ ip domain-lookup”

El comando “ip domain-lookup” viene habilitado por defecto.

Espero sea de ayuda

-          - Randy -

Configurando Routers y ASAs para sopotar DHCP

DHCP (Dynamic Host Configuration Protocol)  es un protocolo muy común.

DHCP tiene múltiples ventajas sobre las configuraciones manuales o estáticas.

La configuración de la red el host la obtiene mediante un servidor de DHCP , dando como resultado la configuración IP de los ordenadores es controlada por el personal de IT, simplificando el troubleshooting en caso de fallas.  

DHCP permite asignar las IPs de manera estática , pero normalmente se asigna temporalmente. Haciendo su uso más eficiente en la red.

Otra ventaja del protocolo DHCP es la movilidad , por ejemplo cuando un usuario se mueve a una nueva ubicación: otra oficina , un café, etc , el dispositivo se puede conectar a la red WI-FI y obtener una nueva IP mediante DHCP.

En algunas empresas ,  el router reenvía las peticiones a un servidor DHCP centralizado (ip helper-address), en otros casos el router actual como servidor DHCP.

El proceso de liberar una IP mediante DHCP (lease an IP) utiliza los siguientes 4 mensajes (DORA)

Descubrimiento (Discover): Enviada desde el cliente, esperando encontrar algún servidor DHCP

Ofrecimiento (Offer): Enviada por el servidor DHCP , ofreciendo una dirección  IP al cliente.

Solicitud (Request): Enviada por el cliente , preguntando al servidor por una IP disponible de la lista anteriormente enviada por el servidor.

Reconocimiento (Acknowledgment): Enviada por el servidor para assignar la IP , la mascara , la ruta por defecto y el servidor DNS al cliente.  

Soportando DHCP para redes remotas con “DHCP RELAY”

Muchas compañías tienen un par de servidores DHCP centralizados, los routers necesitan saber como reenviar las peticiones de DHCP que reciben de los clientes a esos servidores. Para hacer esto posible se necesita del comando “ip helper-address”

Este comando le dice al router que haga lo siguiente para la petición de DHCP

1.       Las peticiones de DHCP de los clientes vienen con una IP destino de  255.255.255.255

2.       El router cambia el origen del paquete por la IP de su interface en la que el paquete ingreso.

3.       El router cambia la IP destino del paquete por la del servidor DHCP previamente configurado.

4.       El router envía el paquete al servidor DHCP

Los pasos para configurar DHCP en IOS y ASA son los siguientes.

1.       Excluir las direcciones IP que no queremos asignar a los clientes.

2.        Crear un pool DHCP de IPs  el cual debe contener un rango de IPs , mascara , ruta por defecto , servidores DNS y dominios.

Ejemplo de la configuración de DHCP en IOS

Router(config)#ip dhcp  excluded-address 192.168.1.1 192.168.1.10

Router(config)#ip dhcp pool TEST

  Router(dhcp-config)#network 192.168.1.0 255.255.255.0

Router(dhcp-config)#default-router 192.168.1.1

Router(dhcp-config)#dns-server 4.2.2.2

Router(dhcp-config)# domain-name mydomain.com

Configuration de IP-relay on IOS

Router(config)#ip dhcp relay information trust-all

Router(config)#interface fastethernet x/x

Router(config)#IP helper-address x.x.x.x

Configuration de DHCP para ASA

Creamos un pool de direcciones y lo habilitamos en una interface

dhcpd address 192.168.1.5-192.168.1.7 outside

Asignamos los valores de DNS y WINS

dhcpd dns 192.168.0.1

dhcpd wins 172.0.0.1

Configuramos el tiempo antes que la IP expire en segundos y lo habilitamos en la interface.

dhcpd lease 3600

dhcpd enable outside

Configuration de DHCP-Relay para ASA

Configuramos la IP del servidor DHCP y la interface a la que pertenece

dhcprelay server 198.51.100.2 Outside

Habilitamos las interfaces en las que seran recibidas las peticiones de DHCP

dhcprelay enable inside                                    

Opcionalmente indicamos al ASA que el tambien debe obtener su IP mediante DHCP

dhcprelay setroute inside      

Algunos comandos que nos pueden servir para troublshotear DHCP en caso de problemas

En el caso del IOS:

·         show ip dhcp binding: Muestra una lista de las IPs asigandas .

·         show ip dhcp pool [poolname]: Muestra una lista de las IPs configuradas en el Pool , el numero de IPs usadas y disponibles. show ip dhcp server statistics: Lists DHCP server statistics

·         Show ip dhcp conflicto : lista si hay alguna IP conflictiva(duplicada) en la red.

En el ASA tenemos  los siguientes comandos :

 debug dhcpd event

debug dhcpd packet

show dhcpd statistics

show dhcpd binding 

Espero sea de ayuda

-  Randy -

Rutas pasivas

El termino interfaz pasiva se refiere a interfaces por las cuales el protocolo de enrutamiento  no envía actualizaciones de enrutamiento aunque pueda publicar las redes configuradas en esas interfaces a los routers vecinos.

Esto es necesario hacerlo por seguridad ya que no es conveniente que por ejemplo, routers de clientes finales puedan recibir información del conjunto de una red aunque esto puede ser solucionado con la autentificación, otro motivo para usar las interfaces pasivas es para evitar cargar enlaces con tráfico de los protocolos de enrutamiento si el router conectado en el otro extremo del enlace no ejecuta el protocolo, en este caso se estará enviando información por un enlace que no tiene ninguna utilidad.

Ejemplo de configuración:

RIP :

Router(config)#router rip 

Router(config-router)#passive-interface ?

  Ethernet         IEEE 802.3

  FastEthernet     FastEthernet IEEE 802.3

  GigabitEthernet  GigabitEthernet IEEE 802.3z

  Loopback         Loopback interface

  Serial           Serial

  Vlan             Vlan interface

  default          Suppress routing updates on all interfaces

EIGRP 

Router(config)#router eigrp 1

Router(config-router)#passive-interface ?

  Ethernet         IEEE 802.3

  FastEthernet     FastEthternet IEEE 802.3

  GigabitEthernet  GigabitEthernet IEEE 802.3

  Loopback         Loopback interface

  Serial           Serial

  Vlan             Vlan interface

  default          Suppress routing updates on all interfaces

Router(config-router)#

OSPF

router(config)#router ospf 100

Router(config-router)#passive-interface ?

  Ethernet         IEEE 802.3

  FastEthernet     FastEthternet IEEE 802.3

  GigabitEthernet  GigabitEthernet IEEE 802.3

  Loopback         Loopback interface

  Serial           Serial

  Vlan             Vlan interface

  default          Suppress routing updates on all interfaces

Router(config-router)#passive-interface 

Espero sea de ayuda

- Randy - 

Configuracion basica de OSPF

OSPF (Open Shortest Path First) es un protocolo de enrutamiento de estado-enlace (link-state)

Su medida de métrica se denomina cost, y tiene en cuenta diversos parámetros tales como el ancho de banda y la congestión de los enlaces. 

OSPF construye además una base de datos enlace-estado (link-state database, LSDB) idéntica en todos los routers de su área.

OSPF puede operar con seguridad usando MD5 para autentificar sus puntos antes de realizar nuevas rutas y antes de aceptar avisos de enlace-estado.

OSPF es el protocolo interno más ampliamente utilizado.

OSPF soporta VLSM y CIDR en todas sus versiones , además soporta IPv6 en su Versión 3.

Una red OSPF se puede descomponer en regiones (áreas) más pequeñas. Hay un área especial llamada área backbone que forma la parte central de la red a la que se encuentran conectadas el resto de áreas de la misma.

 Las rutas entre las diferentes áreas circulan siempre por el backbone, por lo tanto todas las áreas deben conectar con el backbone. Si no es posible hacer una conexión directa con el backbone, se puede hacer un enlace virtual entre redes.

Ejemplo del funcionamiento de áreas de OSPF , área 0 normalmente es el backbone.

OSPF no usa ni TCP ni UDP, sino que usa el protocolo IP directamente, mediante IP 89

Los  routers en el mismo dominio de multicast o en el extremo de un enlace punto-a-punto forman enlaces cuando se descubren los unos a los otros.

 En un segmento de red Ethernet los routers eligen a un router designado (Designated Router, DR) y un router  designado secundario o de copia (Backup Designated Router, BDR) que actúan como hubs para reducir el tráfico entre los diferentes routers.

OSPF mantiene actualizada la capacidad de enrutamiento entre los nodos de una red mediante la difusión de la topología de la red y la información de estado-enlace de sus distintos nodos. Esta difusión se realiza a través de varios tipos de paquetes:

·         Paquetes Hello (tipo 1): Cada router envía periódicamente a sus vecinos un paquete que contiene el listado de vecinos reconocidos por el router, indicando el tipo de relación que mantiene con cada uno.

·         

        Paquetes de descripción de base de datos estado-enlace (DataBase Description, DBD) (tipo 2): Se emplean en el intercambio de base de datos enlace-estado entre dos nodos, y permiten informar al otro nodo implicado en la sincronización acerca de los registros contenidos en la LSDB propia, mediante un resumen de estos.

·         Paquetes de estado-enlace o Link State Advertisements (LSA): Los cambios en el estado de los enlaces de un router son notificados a la red mediante el envío de mensajes LSA. Dependiendo del estado del router y el tipo de información transmitido en el LSA, se distinguen varios formatos (entre paréntesis, las versiones de OSPF en que se utilizan):

(OSPFv2 y v3) Router-LSA.

(OSPFv2 y v3) Network-LSA.

(OSPFv2 y v3) Summary-LSA

En OSPFv2 se distinguen dos tipos: tipo 3, dirigidos a un router fronterizo de red; y tipo 4, dirigidos a una subred interna. En OSPFv3, los Summary-LSA tipo 3 son renombrados como Inter-Area-Prefix-LSA, y los tipo 4 pasan a denominarse Intra-Area-Prefix-LSA.

(OSPFv2 y v3) AS-External-LSA

(OSPFv3) Link-LSA, que no se retransmite más allá del link del origen.

OSPF organiza un sistema autónomo (AS) en áreas

Referencia: http://es.wikipedia.org/wiki/Open_Shortest_Path_First

Basado en la siguiente topología , esta seria la configuración a aplicar:

Router 0

router ospf 1

 log-adjacency-changes

 network 192.168.20.0 0.0.0.255 area 0

 network 200.11.11.0 0.0.0.3 area 0

 network 200.10.10.0 0.0.0.3 area 0

Router 1

router ospf 1

 log-adjacency-changes

 network 10.192.168.0 0.0.0.255 area 0

 network 200.12.12.0 0.0.0.3 area 0

 network 200.10.10.0 0.0.0.3 area 0

!

Router 2

router ospf 1

 log-adjacency-changes

 network 192.168.20.0 0.0.0.255 area 0

 network 200.11.11.0 0.0.0.3 area 0

 network 200.10.10.0 0.0.0.3 area 0

Podemos verificar el funcionamiento de OSPF con los siguientes comandos :

Router#show ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

       * - candidate default, U - per-user static route, o - ODR

       P - periodic downloaded static route

Gateway of last resort is not set

     10.0.0.0/24 is subnetted, 1 subnets

C       10.192.168.0 is directly connected, FastEthernet0/0

O    192.168.16.0/24 [110/65] via 200.12.12.2, 00:08:20, Serial0/1/0

O    192.168.20.0/24 [110/65] via 200.10.10.2, 00:06:39, Serial0/1/1

     200.10.10.0/30 is subnetted, 1 subnets

C       200.10.10.0 is directly connected, Serial0/1/1

     200.11.11.0/30 is subnetted, 1 subnets

O       200.11.11.0 [110/128] via 200.12.12.2, 00:06:39, Serial0/1/0

                    [110/128] via 200.10.10.2, 00:06:39, Serial0/1/1

     200.12.12.0/30 is subnetted, 1 subnets

C       200.12.12.0 is directly connected, Serial0/1/0

Router#show ip ospf 1

 Routing Process "ospf 1" with ID 200.12.12.1

 Supports only single TOS(TOS0) routes

 Supports opaque LSA

 SPF schedule delay 5 secs, Hold time between two SPFs 10 secs

 Minimum LSA interval 5 secs. Minimum LSA arrival 1 secs

 Number of external LSA 0. Checksum Sum 0x000000

 Number of opaque AS LSA 0. Checksum Sum 0x000000

 Number of DCbitless external and opaque AS LSA 0

 Number of DoNotAge external and opaque AS LSA 0

 Number of areas in this router is 1. 1 normal 0 stub 0 nssa

 External flood list length 0

    Area BACKBONE(0)

        Number of interfaces in this area is 3

        Area has no authentication

        SPF algorithm executed 8 times

        Area ranges are

        Number of LSA 3. Checksum Sum 0x017f4e

        Number of opaque link LSA 0. Checksum Sum 0x000000

        Number of DCbitless LSA 0

        Number of indication LSA 0

        Number of DoNotAge LSA 0

        Flood list length 0

Router#show ip ospf database

            OSPF Router with ID (200.12.12.1) (Process ID 1)

                Router Link States (Area 0)

Link ID         ADV Router      Age         Seq#       Checksum Link count

200.12.12.2     200.12.12.2     838         0x80000005 0x00e4af 5

200.12.12.1     200.12.12.1     801         0x80000005 0x003d63 5

200.11.11.2     200.11.11.2     801         0x80000005 0x005d3c 5

Router#

Router#show ip ospf  neighbor

Neighbor ID     Pri   State           Dead Time   Address         Interface

200.12.12.2       0   FULL/  -        00:00:35    200.12.12.2     Serial0/1/0

200.11.11.2       0   FULL/  -        00:00:34    200.10.10.2     Serial0/1/1

Espero sea de ayuda.

-Randy-

Configuracion basica de EIGRP

EIGRP (Enhanced Interior Gateway Routing Protocol) es un protocolo propietario de cisco,  del tipo vector-distancia avanzada.

EIGRP utiliza las siguientes tablas para almacenar su información:

Tabla de vecinos: (neighbor table):  Mantiene los registros de las direcciones IP de los routers que tiene una conexión directa con este router.

Tabla topologia: (topology table) , guarda rutas que el router ha aprendido a traves de sus routers vecinos. Diferente de la tabla de ruteo (routing table) , la tabla topología no guarda todas las rutas , solo las rutas que han sido aprendidas a través de EIGRP. Esta tabla también guarda las métricas para cada ruta de EIGRP listada. Rutas en esta tabla son clasificadas como “passive” y “active”. 

Pasiva significa que EIGRP ha determinado que el camino para esa ruta ha sido aprendido y finalizado. Activo hace referencia a las rutas de EIGRP  que aun están siendo calculadas para tomar la ruta adecuada.

A diferencia de la mayoría de protocolos de vector-distancia , EIGRP no transmite todos los datos de la table de ruteo del router cuando se realiza un cambio, solo transmite los cambios que se han realizado desde la ultima actualización. 

EIGRP no envía copias de su tabla de ruteo periódicamente , solo envía la tabla de ruteo cuando se realiza un cambio.

EIGRP tiene una distancia administrativa de 90,  pero una ruta de EIGRP que proviene del exterior (afuera del sistema autónomo) tiene una distancia administrativa de 170.

EIGRP no utiliza ni TCP o UDP para sus operaciones , EIGRP no contiene un numero de Puerto para identificar el trafico.

EIGRP esta diseñadp para trabajar a nivel de capa 3 (similar al protocol IP).

 EIGRP utiliza RTP (reliable transport protocol) para hacer entrega de las actualizaciones a los router vecinos.

EiGRP utiliza el numero de protocolo 88. 

EIGRP soporta las siguientes características:

* Soporta redes subneteadas (CIDR)

* Soporta balanceo de carga en links paralelos

* Tiene la habilidad de usar diferentes passwords para autenticación.

* Autenticacion MD5  entre 2 routers

* Envía los cambios en la topología solo cuando una ruta cambia.

* Periódicamente checkea si las rutas siguen estando disponibles.

* Correo separadamente los procesos para IP , IPv6 , IPX y AppleTalk, usando la tecnología de PDMs (protocol-dependent modules)

* Compatibilidad con el anterior  protocolo IGRP

Basados en la siguiente topologia , esta es la configuración a aplicar:

Router 0

router eigrp 200

 network 200.12.12.0 0.0.0.3

 network 192.168.16.0

 network 200.11.11.0 0.0.0.3

 no auto-summary

Router 1

router eigrp 200

 network 10.192.168.0 0.0.0.255

 network 200.10.10.0 0.0.0.3

 network 200.12.12.0 0.0.0.3

 no auto-summary

Router 2

router eigrp 200

 network 200.10.10.0 0.0.0.3

 network 200.11.11.0 0.0.0.3

 network 192.168.20.0

 no auto-summary

Podemos verificar la configuración con los siguientes comandos.

Router#show ip route 

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

       * - candidate default, U - per-user static route, o - ODR

       P - periodic downloaded static route

Gateway of last resort is not set

     10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks

D       10.0.0.0/8 [90/2684416] via 200.10.10.2, 00:17:46, Serial0/1/1

C       10.192.168.0/24 is directly connected, FastEthernet0/0

D    192.168.16.0/24 [90/2172416] via 200.12.12.2, 00:18:37, Serial0/1/0

D    192.168.20.0/24 [90/2172416] via 200.10.10.2, 00:17:46, Serial0/1/1

     200.10.10.0/30 is subnetted, 1 subnets

C       200.10.10.0 is directly connected, Serial0/1/1

     200.11.11.0/30 is subnetted, 1 subnets

D       200.11.11.0 [90/2681856] via 200.12.12.2, 00:18:37, Serial0/1/0

                    [90/2681856] via 200.10.10.2, 00:17:46, Serial0/1/1

     200.12.12.0/24 is variably subnetted, 2 subnets, 2 masks

D       200.12.12.0/24 [90/3193856] via 200.10.10.2, 00:17:46, Serial0/1/1

C       200.12.12.0/30 is directly connected, Serial0/1/0

------------------------------------------------------------------------------------------------

Router#show ip route 192.168.16.5

Routing entry for 192.168.16.0/24

Known via "eigrp 200", distance 90, metric 2172416, type internal

  Redistributing via eigrp 200

  Last update from 200.12.12.2 on Serial0/1/0, 00:19:02 ago

  Routing Descriptor Blocks:

  * 200.12.12.2, from 200.12.12.2, 00:19:02 ago, via Serial0/1/0

      Route metric is 2172416, traffic share count is 1

      Total delay is 20100 microseconds, minimum bandwidth is 1544 Kbit

      Reliability 255/255, minimum MTU 1500 bytes

      Loading 1/255, Hops 1

---------------------------------------------------------------------------------------------------

Router#sh ip eigrp neighbors 

IP-EIGRP neighbors for process 200

H   Address         Interface      Hold Uptime    SRTT   RTO   Q   Seq

                                   (sec)          (ms)        Cnt  Num

0   200.12.12.2     Se0/1/0        14   00:20:05  40     1000  0   43

1   200.10.10.2     Se0/1/1        10   00:19:14  40     1000  0   38

Router#

-------------------------------------------------------------------

Router#sh ip eigrp  topology 

IP-EIGRP Topology Table for AS 200

Codes: P - Passive, A - Active, U - Update, Q - Query, R - Reply,

       r - Reply status

P 10.192.168.0/24, 1 successors, FD is 28160

         via Connected, FastEthernet0/0

P 200.10.10.0/30, 1 successors, FD is 2169856

         via Connected, Serial0/1/1

P 200.12.12.0/30, 1 successors, FD is 2169856

         via Connected, Serial0/1/0

P 192.168.16.0/24, 1 successors, FD is 2172416

         via 200.12.12.2 (2172416/28160), Serial0/1/0

P 200.11.11.0/30, 2 successors, FD is 2681856

         via 200.12.12.2 (2681856/2169856), Serial0/1/0

         via 200.10.10.2 (2681856/2169856), Serial0/1/1

P 192.168.20.0/24, 1 successors, FD is 2172416

         via 200.10.10.2 (2172416/28160), Serial0/1/1

P 10.0.0.0/8, 1 successors, FD is 2684416

         via 200.10.10.2 (2684416/2172416), Serial0/1/1

P 200.12.12.0/24, 1 successors, FD is 3193856

         via 200.10.10.2 (3193856/2681856), Serial0/1/1

Router#

---------------------------------------------------------------------------------------

Router#sh ip eigrp  traffic 

IP-EIGRP Traffic Statistics for process 200

  Hellos sent/received: 876/543

  Updates sent/received: 24/31

  Queries sent/received: 5/2

  Replies sent/received:  2/5

  Acks sent/received:  38/31

  Input queue high water mark 1, 0 drops

  SIA-Queries sent/received: 0/0

  SIA-Replies sent/received: 0/0

Router#

Espero sea de ayuda,

-Randy-

Configuracion basica de RIP

RIP es el protocolo más antiguo de vector-distancia, utiliza una métrica de saltos (hops) hasta un máximo de 30.

Hay dos versiones principales RIPv1 y RIPv2 siendo la mayor diferencia que la versión 2 soporta redes subneteadas (CIDR) básicamente agrega un valor extra para agregar la máscara de red , segmentando la red.

Existe también otro sub-variante de RIP, RIPng (new generation) la cual fue diseñada para soporta IPv6, al ser un protocolo tan obsoleto su uso es mínimo.

Configuración tomando en cuenta la siguiente topología :

Router 0

Router(config)#router rip

Router(config-router)#network 192.168.10.0

Router(config-router)#network 200.10.10.0

Router(config-router)#version 2

Router(config-router)#

Router 1

Router(config)#router rip

Router(config-router)#network 192.168.10.0

Router(config-router)#network 200.10.10.0

Router(config-router)#version 2

Router(config-router)#

Nota : la versión no es necesaria agregarla , por defecto la mayoría de IOS usan versión 2

Verificamos las rutas añadidas con el comando “Show ip route”

Router(config)#do sh ip route

Codes: C - connected, S - static, I - IGRP, R - RIP, M - mobile, B - BGP

       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2

       E1 - OSPF external type 1, E2 - OSPF external type 2, E - EGP

       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area

       * - candidate default, U - per-user static route, o - ODR

       P - periodic downloaded static route

Gateway of last resort is not set

C    192.168.10.0/24 is directly connected, FastEthernet0/0

R    192.168.20.0/24 [120/1] via 200.10.10.1, 00:00:19, Serial0/1/0

     200.10.10.0/30 is subnetted, 1 subnets

C       200.10.10.0 is directly connected, Serial0/1/

Espero sea de ayuda

-Randy- 

Comparando protocolos de ruteo interno (IGP)

Las empresas de hoy en día tienen varias opciones para escoger como protocolo de ruteo, pero la mayoría de ellas usan OSPF.

Existen 3 categorías principales para los protocolos de ruteo internos (IGP)



• Vector distancia.
• Vector distancia avanzado.
• Estado del link "Link-state"



Routing Information Protocol (RIP)  fue el primer protocolo popular  que usa vector distancia (saltos) como ,

Cisco creo un protocolo propietario llamado  Enhanced Interior Gateway Routing Protocol (EIGRP), que usa algunas funcionalidades del anterior IGRP .



Métrica
Protocolos de ruteo escogen la mejor ruta para alcanzar una red , tomando en cuenta la métrica mas baja. Por ejemplo: RIP utiliza un conteo del numero de routers hasta el destino (saltos), OSPF suma el costo total de cada interfaz asociado con el ancho de banda.

Cuadros comparativo de algunos protocolos de ruteo

*AD = Administrative Distance

Información detallada de los protocolos de ruteo mencionados anteriormente (Ingles)

Routing Protocols

Espero sea de ayuda
-Randy-

Beneficios de los protocolos de ruteo (routing protocols )

Un router  agrega  rutas a su tabla de enrutamiento usando 3 métodos:  rutas directamente conectadas , rutas estáticas y protocolos dinámicos de ruteo .


Un protocolo de ruteo se refiere a una serie de mensajes , reglas y algoritmos usados por los routers con el propósito de aprender rutas. Este proceso incluye el intercambio y análisis de esas rutas, cada router escoge la mejor ruta ("path selection ") basado en varios factores como la métrica y confiabilidad  de las rutas .

Ejemplos de protocolos de ruteo :  RIP, EIGRP, OSPF, y BGP.

Protocolos de ruteo y protocolos ruteables , ambos términos se refieren a un protocolo que definen las rutas en un router. Los routers envían información basados en IPv4 o IPv6  con ayuda de las rutas en su tabla.

Cisco IOS soporta múltiples protocolos de ruteo, pero todos hacen las mismas funciones básicas:

1. Aprender la información de ruteo de las redes vecinas.
2.Publicar la información de la tabla de ruteo a las redes vecinas.
3. Si existe mas de una ruta al mismo destino , escoger la mejor ruta basado en la métrica.
4. Si la topologia en algún momento cambia , un link se cae o se agrega una nueva interfaz , reaccionar y publicar la nueva información a las redes vecinas. (convergencia )



Protocolos de ruteo internos y externos: 

Los protocolos de ruteo se subdividen en estas dos categorías:

Protocolos internos (Internal gateway protocol IGP ):  Protocolo de ruteo que fue diseñado para uso dentro de un sistema autónomo (AS )

Protocolos externos (External gateway protocol EGP) : protocolo de ruteo que fue diseñado para uso entre múltiples sistemas autónomos (AS) .


Sistema autónomo (AS) se refiere a una red bajo el control de una solo entidad , por ejemplo la red de una compañía es considerada un AS.


Los protocolo internos mas comunes hoy en día son EIGRP y OSPF ,  el único protocolo externo usado hoy en día es BGP.



A cada AS se le asigna un numero llamado "AS number  (ASN)" , similar a las direcciones publicas , la entidad IANA (Internet Assigned Numbers Authority ) controla a nivel mundial el asignamiento de estos números.

Espero esta información sea de ayuda

- Randy -