Router>ENABLE----ENTRAMOS EN EL MODO DE USUARIO PRIVILEGIADO
Router#CONF T----ENTRAMOS EN EL MODO DE CONFIGURACIÓN GLOBAL
Router(config)#HOSTNAME R1---ASIGNAMOS EL NOMBRE R1 AL DISPOSITIVO
PROTEGER EL ACCESO AL MODO USUARIO PRIVILEGIADO EN ROUTER/SWITCH
R1(config)#ENABLE SECRET class--- CREAMOS CONTRASEÑA "class" PARA EL ACCESO AL
MODO USUARIO PRIVILEGIADO
PROTEGER EL ACCESO A LA CONSOLA EN ROUTER/SWITCH
OPCIÓN BÁSICA:
R1(config)#LINE CONSOLE 0 --- ENTRAMOS EN LA LINEA DE CONSOLA
R1(config-line)#PASSWORD class--- CREAMOS CONTRASEÑA "class" PARA EL ACCESO POR
CONSOLA
R1(config-line)#LOGIN --- LE DECIMOS AL ROUTER QUE LE PIDA A LOS USUARIOS
CONTRASEÑA PARA EL ACCESO POR CONSOLA
OPCIÓN MÁS AVANZADA:
R1(config)#USERNAME admin SECRET admin1234 --- CREAMOS BASE DE DATOS LOCAL CON
USUARIOS Y CONTRASEÑAS
R1(config)#LINE CONSOLE 0 --- ENTRAMOS EN LA LINEA DE CONSOLA
R1(config-line)#LOGIN LOCAL --- LE DECIMOS AL ROUTER QUE LE PIDA A LOS USUARIOS
USERNAME Y CONTRASEÑA AL CONECTARSE POR CONSOLA, Y VERIFIQUE LA BASE DE DATOS
LOCAL DE USUARIOS Y CONTRASEÑAS
R1(config)#SERVICE PASSWORD-ENCRYPTION --- CIFRAMOS TODAS LAS CONTRASEÑAS,
EXISTENTES Y FUTURAS, QUE NO ESTAN CIFRADAS
CONFIGURACIÓN DE INTERFACES DE RED EN ROUTER
R1(config)#INT F0/0----ENTRAMOS EN LA INTERFACE FASTETHERNET 0/0
R1(config-if)#IP ADD 192.168.1.1 255.255.255.0---ASIGNAMOS LA DIRECCIÓN IP A LA
INTERFACE
R1(config-if)#NO SH---ENCENDEMOS LA INTERFACE
%LINK-5-CHANGED: Interface FastEthernet0/0, changed state to up
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to up
R1# COPY RUNNING-CONFIG STARTUP-CONFIG---GUARDAMOS LOS CAMBIOS
CONFIGURACIÓN DE INTERFACES DE RED EN SWITCH
SW1(config)# INTERFACE VLAN 1 ---LOS SWITCHES SON DISPOSITIVOS DE CAPA 2, POR TANTO
SUS PUERTOS NO ADMITEN CONFIGURACIÓN IP. SI QUEREMOS ADMINISTRARLOS LOS
CONVERTIMOS EN HOST DE LA RED ASIGNANDOLE UNA IP EN UNA INTERFACE VIRTUAL
LLAMADA INTERFACE VLAN
SW1(config-if)# IP ADDRESS 10.10.10.100 255.255.255.0
SW1(config-if)#NO SHUTDOWN
SW1(config-if)#EXIT
SW1(config)# IP DEFAULT-GATEWAY 10.10.10.1 --- SI ADEMÁS QUEREMOS ADMINISTRARLOS
DESDE OTRA RED LE TENEMOS QUE DAR UNA DIRECCIÓN DE PUERRTA DE ENLACE O
GATEWAY
CONFIGURACIÓN DE VLAN
SW1(config)#VLAN 10 --- CREAMOS LA VLAN
SW1(config-vlan)#NAME “NOMBRE” --- LE DAMOS UN NOMBRE A LA VLAN
ASOCIACIÓN DE PUERTOS DEL SWITCH A VLAN
UNA INTERFACE
SW1(config)#INTERFACE F0/0 --- ENTRAMOS A LA INTERFACE QUE QUEREMOS ASOCIAR A LA
VLAN
SW1(config-if)#SWITCHPORT MODE ACCESS --- CONFIGURAMOS EL PUERTO COMO ESTÁTICO
SW1(config-if)#SWITCHPORT ACCESS VLAN 10 --- LO ASOCIAMOS A LA VLAN
UN RANGO DE INTERFACES
SW1(config)#INTERFACE RANGE F0/0-3,G0/1-2 --- ENTRAMOS EN EL RANGO DE INTERFACES
QUE QUEREMOS ASOCIAR A LA VLAN
SW1(config-if-range)#SWITCHPORT MODE ACCESS--- CONFIGURAMOS EL RANGO DE
PUERTOS COMO ESTÁTICOS
SW1(config-if-range)#SWITCHPORT ACCESS VLAN 10--- LOS ASOCIAMOS A LA VLAN
CONFIGURACIÓN DEL ENRUTAMIENTO ENTRE VLAN (ROUTER-ON-A-STICK)
1. EN EL SWITCH ES IMPRESCINDIBLE QUE CONFIGUREMOS EL PUERTO QUE CONECTA
AL ROUTER COMO TRONCAL
SW1(config)#INTERFACE G0/1 --- ENTRAMOS EN EL PUERTO QUE CONECTA AL SWITCH CON
EL ROUTER
SW1(config-if)#SWITCHPORT MODE TRUNK --- CONFIGURAMOS EL PUERTO COMO TRONCAL
SW1(config-if)#SWITCHPORT TRUNK ALLOWED VLAN 10,20,30….---PERMITIMOS LAS VLANs
EXISTENTES A TRAVÉS DEL TRONCAL
SW1(config-if)#DO WR
2. EN EL ROUTER LEVANTAMOS LA INTERFACE FÍSICA Y CREAMOS TANTAS
SUBINTERFACES LÓGICAS COMO VLANs TENEMOS
R1(config)#INTERFACE G0/1 ---ENTRAMOS A LA INTERFACE FÍSICA DEL ROUTER QUE
CONECTA AL SWITCH Y LA LEVANTAMOS
R1(config-if)#NO SHUTDOWN
R1(config-if)#EXIT
R1(config)#INTERFACE G0/1.10--- CREAMOS UNA SUBINTERFACE LÓGICA PARA EL TRÁFICO
DE LA VLAN 10
R1(config-subif)#ENCAPSULATION DOT1Q 10--- LE ESPECÍFICAMOS AL ROUTER QUE EN ESTA
SUBINTERFACE RECIBIRÁ/ENVIARÁ TRAMAS CON LA ETIQUETA 10
R1(config-subif)#IP ADDRESS 192.168.1.1 255.255.255.248--- LE ASIGNAMOS UNA DIRECCIÓN
IP A LA SUBINTERFACE QUE SERÁ LA DIRECCIÓN DE GATEWAY DE LOS ORDENADORES DE LA
VLAN 10
Y ASÍ PARA CADA VLAN EXISTENTE
CONFIGURACIÓN DE ROUTER/SWITCH COMO SERVIDOR TELNET
R1(config)#LINE VTY 0 15
OPCIÓN BÁSICA:
R1(config-line)#PASSWORD class--- CREAMOS CONTRASEÑA "class" PARA EL ACCESO POR
TELNET
R1(config-line)#LOGIN --- LE DECIMOS AL ROUTER QUE LE PIDA A LOS USUARIOS
CONTRASEÑA PARA EL ACCESO POR TELNET
OPCIÓN MÁS AVANZADA:
R1(config)#USERNAME admin SECRET admin1234 --- CREAMOS BASE DE DATOS LOCAL CON
USUARIOS Y CONTRASEÑAS
R1(config-line)#LOGIN LOCAL --- LE DECIMOS AL ROUTER QUE LE PIDA A LOS USUARIOS
USERNAME Y CONTRASEÑA AL CONECTARSE POR TELNET, Y VERIFIQUE LA BASE DE DATOS
LOCAL DE USUARIOS Y CONTRASEÑAS
CONFIGURACIÓN DE ROUTER/SWITCH COMO SERVIDOR SSH
Router(config)#HOSTNAME R1
Router(config)#IP DOMAIN-NAME ejemplo.com --- CREAMOS UN NOMBRE DE DOMINIO. EL
ROUTER LO UTILIZARÁ JUNTO CON SU HOSTNAME PARA GENERAR LAS CLAVES DE CIFRADO
Y DESCIFRADO (PÚBLICA Y PRIVADA)
R1(config)#USERNAME admin SECRET admin1234 --- CREAMOS BASE DE DATOS LOCAL CON
USUARIOS Y CONTRASEÑAS
R1(config)#CRYPTO KEY GENERATE RSA --- LE DECIMOS AL ROUTER QUE GENERE LAS CLAVES
NOS SALE EL SIGUIENTE MENSAJE:
The name for the keys will be: R1.ejemplo.com
Choose the size of the key modulus in the range of 360 to 2048 for your
General Purpose Keys. Choosing a key modulus greater than 512 may take
afew minutes.
Howmany bits in themodulus [512]:1024 --- LE INDICAMOS LA LONGITUD DE LAS CLAVES, SE
RECOMIENDA AL MENOS 1024 BITS
% Generating 1024 bit RSA keys, keys will be non-exportable...[OK]
R1(config)#IP SSH VERSION 2--- HABILITAMOS LA VERSIÓN 2 DE SSH QUE ES MÁS SEGURA
R1(config)#IP SSH TIME-OUT <X segundos> (POR DEFECTO 120) --- ESPECIFICAMOS EL TIEMPO
LIMITE DE ACTIVIDAD ANTES DE DESACTIVARSE LA CONEXIÓN
R1(config)#IP SSH AUTHENTICATION-RETRIES <Nº DE INTENTOS FALLIDOS>--- ESPECIFICAMOS
LOS INTENTOS FALLIDOS ADMITIDOS ANTES DE CERRAR LA CONEXIÓN
R1(config)#LINE VTY 0 15 --- ENTRAMOS EN LAS LINEAS VIRTUALES
R1(config-line)#LOGIN LOCAL --- LE DECIMOS AL ROUTER QUE LE PIDA A LOS USUARIOS
USERNAME Y CONTRASEÑA AL CONECTARSE POR TELNET, Y VERIFIQUE LA BASE DE DATOS
LOCAL DE USUARIOS Y CONTRASEÑAS
R1(config-LINE)#TRANSPORT INPUT SSH --- LE DECIMOS AL ROUTER QUE SOLO ACEPTE
SOLICITUDES DE ACCESO POR SSH
CONFIGURACIÓN DEL ROUTER COMO SERVIDOR DHCP
R1#CONFIGURE TERMINAL
Enter configuration commands, one per line. Endwith CNTL/Z.
EXCLUIMOS LAS DIRECCIONES QUE NO SE ASIGNARÁN POR DHCP
R1(config)#IP DHCP EXCLUDED?
excluded-address
R1(config)#IP DHCP EXCLUDED-ADDRESS 192.168.1.1 192.168.1.25---EXCLUIMOS LAS
DIRECCIONES QUE NO ASIGNAREMOS DINAMICAMENTE
R1(config)#IP DHCP EXCLUDED-ADDRESS 192.168.1.100---EXCLUIMOS LAS DIRECCIONES QUE
NO ASIGNAREMOS DINAMICAMENTE
R1(config)#IP DHCP POOL RRHH---CREAMOS EL CONJUNTO DE DIRECCIONES ASIGNABLES
PARA LA VLAN DE DATOS Y LE DAMOS NOMBRE
R1(dhcp-config)#NETWORK 192.168.1.0 255.255.255.0---DEFINIMOS LA RED DE LA QUE
ASIGNAREMOS IPS A LA VLAN DE DATOS
R1(dhcp-config)#DEFAULT-ROUTER 192.168.1.1---DEFINIMOS LA DIRECCIÓN DEL GATEWAY
DE LA VLAN DE DATOS
R1(dhcp-config)#DNS-SERVER 192.168.1.254---DEFINIMOS LA DIRECCIÓN DEL SERVIDOR DNS
R1(dhcp-config)#DO WR---GUARDAMOS LA CONFIGURACIÓN
R1#SHOW IP DHCP BINDING---VISUALIZAMOS LA TABLA DE ASIGNACIONES DHCP DEL
ROUTER
IP address Client-ID/ Lease expiration Type
Hardware address
192.168.1.26 00E0.F9DB.A255 -- Automatic
192.168.1.27 00E0.B0C2.A38E -- Automatic
CONFIGURACIÓN SERVIDOR DHCP PACKET TRACER
1. En el servidor nos vamos aServices -> DHCP
DHCP
2. Rellenar los campos de acuerdo a la siguiente imagen
HABILITAR EL SERVICIO DHCP
DEFINIMOS GATEWAY DE LOS CLIENTES
DEFINIMOS DNS SERVER DE LOS CLIENTES
DEFINIMOS LA 1ª IP ASIGNABLE
DEFINIMOS LA MÁSCAR DE SUBRED
DEFINIMOS EL Nº DE HOST
GUARDAMOS LOS CAMBIOS
SI EL SERVIDOR DHCP SE ENCUENTRA EN UNA SUBRED DIFERENTE A LOS CLIENTES DHCP ES
IMPRESCINDIBLE EN LA INTERFACE/ES DEL ROUTER APLICAR LA SIGUIENTE CONFIGURACIÓN:
R1(config)#INTERFACE TIPO/NÚMERO ENTRAMOS EN LA INTERFACE O INTERFACES
A LAS QUE SE CONECTAN LOS CLIENTES DHCP
R1(config)#INTERFACE RANGE TIPO/NÚMERO
R1(config-if)#IP HELPER-ADDRESS “IP_SERVIDOR_DHCP” LE DEFINIMOS AL ROUTER LA IP DEL SERVIDOR DHCP
CONFIGURACIÓN DEL ROUTER COMO CLIENTE NTP
R1(config)# NTP SERVER IP_SERVIDOR_NTP--- LE DECIMOS AL ROUTER QUIÉN ES SU
SERVIDOR NTP
R1(config)#NTP UPDATE-CALENDAR--- LE DECIMOS AL ROUTER QUE ACTUALICE LA FECHA Y
HORA DEL SISTEMA
AUTENTICACIÓN NTP
R1(config)#NTP SERVER < IP_SERVIDOR_NTP > KEY <nº> --- DEFINIMOS EL NÚMERO DE CLAVE
A UTILIZAR PARA LA AUTENTICACIÓN NTP
R1(config)#NTP AUTHENTICATE --- HABILITAMOS LA AUTENTICACIÓN EN EL ROUTER
R1(config)#NTP AUTHENTICATION-KEY <nº> MD5 <CLAVE> --- ASOCIAMOS EL NÚMERO DE
CLAVE CON LA CLAVE
CONFIGURACIÓN DE ROUTER/SWITCH COMO CLIENTE SYSLOG
R1(config)#LOGGING HOST IP_SERVIDOR_SYSLOG--- LE DECIMOS AL ROUTER A QUE
IP(SERVIDOR DE LOG) DEBE ENVÍAR LOS LOG
R1(config)#SERVICE TIMESTAMPS LOG DATETIME MSEC ---HABILITAMOS EL SERVICIO DE
MARCA HORARIA EN EL ROUTER
REALIZAR COPIA DE SEGURIDAD DE LA CONFIGURACIÓN DE ROUTER/SWITCH
#COPY RUNNING-CONFIG TFTP
Address or name of remote host []?A.B.C.D --- LE DAMOS LA IP DEL SERVIDOR TFTP
Destinationfilename [Switch-confg]?--- LE DAMOS EL NOMBRE CON EL QUE GUARDAREMOS
LA COPIA DE SEGURIDAD
CONFIGURACIÓN DE RUTAS ESTÁTICAS
R1(config)# IP ROUTE RED_DESTINOMÁSCARA_RED_DESTINOIP_SIGUIENTE_SALTO
RED DE DESTINO MÁSCAR RED DE IP DEL SIGUIENTE
EJEMPLO: DESTINO SALTO (ROUTER)
R1(config)#IP ROUTE 192.168.100.0 255.255.255.248 172.16.5.14
EJEMPLO CASO ESPECIAL (RUTA ESTÁTICA PREDETERMINADA):
CUALQUIER RED IP DEL SIGUIENTE
DESCONOCIDA SALTO (ROUTER)
R1(config)#IP ROUTE 0.0.0.0 0.0.0.0 172.16.5.14
CONFIGURACIÓN DE SNMP EN ROUTER/SWITCH
R1(config)#SNMP-SERVER COMMUNITY CADENA_DE_CARACTERES[RO/RW]---LA CADENA DE
CARACTERES ACTÚA COMO UNA CONTRASEÑA QUE NOS PERMITIRA RO(SÓLO LEER) O
RW(LEER Y ESCRIBIR)
HABILITAR SERVICIO HTTP EN ROUTER/SWITCH
R1(config)#USERNAME USUARIO PRIVILEGE 15 SECRET CONTRASEÑA -- CREAMOS UN
USUARIO DE NIVEL DE PRIVILEGIOS 15 NECESARIO PARA ACCEDER VIA WEB
R1(config)#IP HTTP SERVER
R1(config)#IP HTTP AUTHENTICATION LOCAL
CONFIGURACIÓN DE SPAN EN SWITCH
SW1(config)#MONITOR SESSION Nº_SESIÓN SOURCE INTERFACE INTERFACE/ES [BOTH,TX,RX]
---DEFINIMOS LAS INTERFACES QUE VAMOS A SNIFAR Y EL SENTIDO EN QUE VAMOS A
SNIFAR BOTH(AMBOS, ES LA OPCIÓN PREDETERMINADA/TX - ENVIADO/RX – RECIBIDO)
SW1(config)#MONITOR SESSION Nº_SESIÓN DESTINATION INTERFACE INTERFACE---
DEFINIMOS LAS INTERFACE DONDE VAMOS A RECIBIR EL TRÁFICO SNIFADO
CONFIGURACIÓN DE RSPAN (REMOTE SPAN) EN SWITCH
SW1(config)#VLAN Nº --- NOS CREAMOS UNA VLAN RSPAN EN TODOS LOS SWITCHES, ES
UNA VLAN ESPECIAL QUE SÓLO SE UTILIZARÁ PARA RECOGER Y ENVÍAR POR LOS TRONCALES
EL TRÁFICO CAPTURADO
SW1(config-vlan)#REMOTE-SPAN --- ESPECÍFICAMOS QUE ES UNA VLAN RSPAN
SW1(config)#MONITOR SESSION Nº_SESIÓN SOURCE INTERFACE INTERFACE/ES
[BOTH,TX,RX]---DEFINIMOS LAS INTERFACES QUE VAMOS A SNIFAR Y EL SENTIDO EN QUE
VAMOS A SNIFAR BOTH(AMBOS, ES LA OPCIÓN PREDETERMINADA/TX - ENVIADO/RX –
RECIBIDO)
SW1(config)#MONITOR SESSION Nº_SESIÓN DESTINATION REMOTE VLAN Nº---DEFINIMOS LA
VLAN RSPAN A TRAVÉS DE LA CUÁL TRANSPORTAREMOS EL TRÁFICO CAPTURADO POR LOS
TRONCALES
SW2(config)#VLAN Nº --- NOS CREAMOS UNA VLAN RSPAN EN TODOS LOS SWITCHES, ES
UNA VLAN ESPECIAL QUE SÓLO SE UTILIZARÁ PARA RECOGER Y ENVÍAR POR LOS TRONCALES
EL TRÁFICO CAPTURADO
SW2(config-vlan)#REMOTE-SPAN --- ESPECÍFICAMOS QUE ES UNA VLAN RSPAN
SW2(config)#MONITOR SESSION Nº_SESIÓN SOURCE REMOTE VLAN Nº ---DEFINIMOS LA
VLAN RSPAN DESDE LA CUÁL RECIBIREMOS EL TRÁFICO CAPTURADO
SW2(config)#MONITOR SESSION Nº_SESIÓN DESTINATION INTERFACE INTERFACE-DEFINIMOS
LAS INTERFACE DONDE VAMOS A RECIBIR EL TRÁFICO SNIFADO
CONFIGURACIÓN DE NETFLOW EN ROUTER
R1(config)#INTERFACE/S <TIPO/NÚMERO>--- ENTRAMOS EN LAS INTERFACES DONDE
QUEREMOS QUE NETFLOW CAPTURE EL FLUJO DE TRÁFICO
R1(config-if)#IP FLOW INGRESS --- LE DECIMOS QUE CAPTURE LOS FLUJOS ENTRANTES
R1(config-if)#IP FLOW EGRESS --- LE DECIMOS QUE CAPTURE LOS FLUJOS SALIENTES
R1(config)#IP FLOW-EXPORT DESTINATION <IP_DEL_RECOLECTOR_FLUJOSNº
_DE_PUERTO(99,2055,9996)>---ESPECÍFICAMOS LA IP DEL SERVIDOR DE RECOLECCIÓN Y EL
Nº DE PUERTO A LLAMAR
R1(config)#IP FLOW-EXPORT VERSION <9>---ESPECÍFICAMOS LA VERSIÓN DE NETFLOW, LA
MÁS HABITUAL ES LA Nº 9
CONFIGURACIÓN DE HSRP EN ROUTERS O SWITCH MULTICAPA
ACTIVO
R1(config)#INTERFACE TIPO/NÚMERO
R1(config-if)#STANDBY Nº IP <X.X.X.X>--- DEFINIMOS CON EL Nº EL GRUPO STANDBY (TIENE
QUE COINCIDIR EN LOS ROUTERS O SWITCHES) Y LA IP VIRTUAL DEL GRUPO
R1(config-if)#STANDBY Nº PRIORITY <0 - 255>--- POR DEFECTO TODOS TIENEN 100 (A MAYOR
PRIORIDAD MAYOR POSIBILIDAD DE OBTENER EL ROL DE ACTIVO)
R1(config-if)#STANDBY Nº PREEMPT --- HACEMOS QUE AL RECUPERARSE EL ACTIVO VUELVA
A TOMAR SU ROL DE ACTIVO
R1(config-if)#STANDBY Nº TIMERS <1-254> <2-255>--- DEFINIMOS PRIMERO CADA CUANTO
TIEMPO SE ENVIA UN HELLO Y SEGUNDO, EL TIEMPO DE ESPERA ANTES QUE EL PASIVO
TOME EL ROL DE ACTIVO
R1(config-if)# STANDBY Nº TRACK <TIPO/NÚMERO DE INTERFACE> --- HABILITAMOS AL
ROUTER PARA QUE HAGA UN SEGUIMIENTO DEL ESTADO (UP/DOWN) DE LA INTERFACE
ESPECÍFICADA Y, EN CASO DE ESTAR DOWN, DECREMENTE SU PRIORIDAD (POR DEFECTO EN
10)
CONFIGURACIÓN DE LA SEGURIDAD DE PUERTOS (PORT-SECURITY)
SW1(config)#INTERFACE RANGE F0/7-12
SW1(config-if-range)#SWITCHPORT MODE ACCESS COMANDOS IMPRESCINDIBLES PARA HABILITAR LA SEGURIDAD
DE PUERTOS. POR DEFECTO PERMITIRÁ UNA DIRECCIÓN MAC Y
EL MODO DE VIOLACIÓN SERÁ SHUTDOWN
SW1(config-if-range)#SWITCHPORT PORT-SECURITY
SW1(config-if-range)# SWITCHPORT PORT-SECURITY MAXIMUM <nº>
SW1(config-if-range)# SWITCHPORT PORT-SECURITY MAC-ADDRESS <xxxx.xxxx.xxxx>
SW1(config-if-range)# SWITCHPORT PORT-SECURITY MAC-ADDRESS STICKY
SHUTDOWN --- EL PUERTO PASA AL ESTADO DE
DESHABILITADO POR ERROR Y LO CONTABILIZA
PROTECT --- EL PUERTO DESCARTA TODAS LAS TRAMAS
CON DIRECCIONES MAC NO PERMITIDAS
SW1(config-if-range)# SWITCHPORT PORT-SECURITY VIOLATION RESTRICT --- LO MISMO QUE PROTECT, PERO ADEMAS
NOTIFICA SOBRE LA VIOLACIÓN DE SEGURIDAD Y
CONTABILIZA LAS MISMAS
CONFIGURACIÓN DE SEGURIDAD PARA PROTEGER AL ROUTER CONTRA ATAQUES DE
DICCIONARIO O POR DENEGACIÓN DE SERVICIO A LA CONTRASEÑA
TIEMPO DE NÚMERO MAX UMBRAL DE
BLOQUEO DE INTENTOS TIEMPO DE LOS
DEL LOGIN FALLIDOS REINTENTOS
R1(config)#LOGIN BLOCK-FOR <1-65535> ATTEMPTS <1-65535> WITHIN <1-65535> --- SI
DURANTE EL UMBRAL DE TIEMPO SELECCIONADO SE ALCANZA EL NÚMERO MÁXIMO DE
INTENTOS FALLIDOS SE BLOQUEAN TODOS LOS INTENTOS DE AUTENTICACIÓN REMOTOS
R1(config)#LOGIN ON-FAILURE LOG --- HABILITAMOS LA GENERACIÓN DE LOG CADA VEZ QUE
OCURRA UN INTENTO FALLIDO DE AUTENTICACIÓN
R1(config)#LOGIN ON-SUCCESS LOG --- HABILITAMOS LA GENERACIÓN DE LOG CADA VEZ QUE
OCURRA UN INTENTO SATISFACTORIO DE AUTENTICACIÓN
R1(config)#LOGIN QUIET-MODE ACCESS-CLASS <Nº o NOMBRE DE LA ACL> --- APLICAMOS
UNA ACL QUE PERMITIRÁ DESDE DETERMINDAS IPs LOGUEARSE DURANTE EL PERIODO DE
BLOQUEO
ACL ESTÁNDAR NÚMERADA
R1(config)#ACCESS-LIST <1-99> PERMIT HOST X.X.X.X
R1(config)#ACCESS-LIST <1-99> PERMIT <IP_RED/SUBRED> <WILDCARD MASK>
DEFINIMOS EL HOST O
ACL ESTÁNDAR NOMBRADA CONJUNTO DE HOSTS
(RED/SUBRED) QUE SE
PUEDEN CONECTAR DURANTE
R1(config)#IP ACCESS-LIST STANDARD <NOMBRE>
EL PERIODO DE BLOQUEO
R1(config-std-nacl)#PERMIT HOST X.X.X.X
R1(config-std-nacl)#PERMIT <IP_RED/SUBRED> <WILDCARD MASK>
ACL EXTENDIDA NÚMERADA
RED/SUBRED
R1(config)#ACCESS-LIST <100 - 199> <PERMIT/DENY/REMARK> <PROTOCOLO> <IP_RED/SUBRED> <WILDCARD MASK>
<OPERADOR> <nº Puerto> <IP_RED/SUBRED> <WILDCARD MASK> <OPERADOR> <nº Puerto>
HOST
R1(config)#ACCESS-LIST <100 - 199> <PERMIT/DENY/REMARK> <PROTOCOLO> HOST<IP_HOST> <OPERADOR> <nº Puerto>
<IP_HOST> <OPERADOR> <nº Puerto>
ACL EXTENDIDA NOMBRADA
R1(config)#IP ACCESS-LIST EXTENDED <NOMBRE>
RED/SUBRED
R1(config-ext-nacl)# <PERMIT/DENY/REMARK> <PROTOCOLO> <IP_RED/SUBRED> <WILDCARD MASK> <OPERADOR> <nº
Puerto> <IP_RED/SUBRED> <WILDCARD MASK> <OPERADOR> <nº Puerto>
HOST
R1(config-ext-nacl)# <PERMIT/DENY/REMARK> <PROTOCOLO> HOST<IP_HOST> <OPERADOR> <nº Puerto> <IP_HOST>
<OPERADOR> <nº Puerto>
APLICAR LAS ACLs NUMERADAS O NOMBRADAS A LAS INTERFACES
R1(config)#INTERFACE <TIPO/NÚMERO>
R1(config-if)#IP ACCESS-GROUP <NOMBRE/NÚMERO> <IN/OUT>
MÁSCARA DE WILDCARD: Una máscara wildcard es una cadena de 32 dígitos binarios que el
router utiliza para determinar qué bits de la dirección debe examinar para obtener una
coincidencia. Como ocurre con las máscaras de subred, los números 1 y 0 en la máscara
wildcard identifican lo que hay que hacer con los bits de dirección IPv4 correspondientes. Sin
embargo, en una máscara wildcard, estos bits se utilizan para fines diferentes y siguen
diferentes reglas. Las máscaras de subred utilizan unos y ceros binarios para identificar la
porción de red/subred y la porción de host de una dirección IPv4. Las máscaras wildcard
utilizan unos y ceros binarios para filtrar direcciones IPv4 individuales o grupos de direcciones
IPv4 para permitir o denegar el acceso a los recursos. Las máscaras wildcard y las máscaras de
subred se diferencian en la forma en que establecen la coincidencia entre los unos y ceros
binarios. Las máscaras wildcard utilizan las siguientes reglas para establecer la coincidencia
entre los unos y ceros binarios:
Bit = 0 de máscara wildcard: se establece la coincidencia (corrobora) con el valor del
bit correspondiente en la dirección IP de host o red.
Bit = 1 de máscara wildcard: se omite (no se corrobora) el valor del bit
correspondiente en la dirección IP de host o red.
Pensad en la máscara wildcard como lo inverso a una máscara de subred. Para calcular la
inversa de la máscara de subred, reste a la máscara de subred de 255.255.255.255 la máscara
de subred correspondiente:
CONFIGURACIÓN DE RIP
R1(config)#ROUTER RIP – ENTRAMOS EN LA CONFIGURACIÓN DE RIP
R1(config-router)#VERSION 2 --- HABILITAMOS LA VERSIÓN 2 DE RIP
R1(config-router)#NO AUTO-SUMMARY --- DESHABILITAMOS EL COMPORTAMIENTO CON
CLASE
R1(config-router)#NETWORK <X.X.X.X> --- PUBLICAMOS LAS REDES DIRECTAMENTE
CONECTADAS
CONFIGURACIÓN DE NAT
NAT ESTÁTICO
R1(config)#IP NAT INSIDE SOURCE STATIC <IP PRIVADA> <IP PÚBLICA>
NAT DINÁMICO CON SOBRECARGA O PAT
R1(config)#ACCESS-LIST Nº PERMIT <RED/HOST> <WILCARD> --- DEFINIMOS EL RANGO DE IPs
QUE PODRÁN SER TRADUCIDAS POR NAT
CASO 1: SÓLO TENEMOS UNA IP PÚBLICA
R1(config)#IP NAT INSIDE SOURCE LIST < nº_ACL / nombre_ACL > INTERFACE <TIPO/NÚMERO>
--- LE DECIMOS AL ROUTER QUE LOS PAQUETES RECIBIDOS CON IPs PERMITIDAS POR LA ACL
LOS TRADUZCA A LA IP DE SU INTERFACE WAN (EXTERNA)
CASO 1: SÓLO TENEMOS VARIAS IPs PÚBLICAS
R1(config)#IP NAT POOL <NOMBRE_POOL> <IP_INICIAL> <IP_FINAL> NETMASK <MÁSCARA> ---
CREAMOS UN POOL DE IPs PUBLICAS, DEFINIENDO LA 1ª IP DEL RANGO, LA ÚLTIMA IP DEL
RANGO Y LA MÁSCARA (LA MÁSCARA DEBE ABARCAR LAS IPs PERMITIDAS)
R1(config)#IP NAT INSIDE SOURCE LIST < nº_ACL / nombre_ACL > POOL <NOMBRE_POOL>
OVERLOAD --- LE DECIMOS AL ROUTER QUE LOS PAQUETES RECIBIDOS CON IPs PERMITIDAS
POR LA ACL LOS TRADUZCA A LAS IPs DEL POOL ESPECIFICADO
PARA TODOS LOS TIPOS DE NAT
R1(config)#INTERFACE <TIPO/NÚMERO> DEFINIMOS LA/LAS INTERFACES PRIVADAS, O SEA DESDE LAS
QUE EL ROUTER RECIBIRÁ LOS PAQUETES A ENVIAR A INTERNET
R1(config-if)#IP NAT INSIDE
R1(config)#INTERFACE <TIPO/NÚMERO> DEFINIMOS LA/LAS INTERFACES PÚBLICAS, O SEA DESDE LAS
QUE EL ROUTER ENVIARÁ LOS PAQUETES A INTERNET
R1(config-if)#IP NAT OUTSIDE
CONFIGURACIÓN DE AUTENTICACIÓN CON AAA
R1(config)#USERNAME admin SECRET admin1234 --- CREAMOS BASE DE DATOS LOCAL CON
USUARIOS Y CONTRASEÑAS
R1(config)#AAA NEW-MODEL --- HABILITAMOS AAA. A PARTIR DE ESTE MOMENTO TODOS
LOS MÉTODOS DE AUTENTICACIÓN DEJAN DE SER VÁLIDOS. IMPORTANTE CREAR UN
USUARIO DE BACKUP EN LA BASE DE DATOS LOCAL
DEFAULT
R1(config)#AAA AUTHENTICATION LOGIN <método 1> <método 2>
<NOMBRE_LISTA>
< método 3> < método 4>
CONFIGURACIÓN DE PPP CON AUTENTICACIÓN
R1(config)# interface serial <número>
R1(config-if)# encapsulation ppp
R3(config)# interface serial <número>
R3(config-if)# encapsulation ppp
AUTENTICACIÓN PAP
R1(config)# username R3 secret class
R1(config)# interface s0/0/0
R1(config-if)# ppp authentication pap
R1(config-if)# ppp pap sent-username R1 password cisco
R3(config)# username R1 secret cisco
R3(config)# interface s0/0/0
R3(config-if)# ppp authentication pap
R3(config-if)# ppp pap sent-username R3 password class
AUTENTICACIÓN CHAP
R1(config)# username R3 secret cisco
R1(config)# interface serial <número>
R1(config-if)# ppp authentication chap
R3(config)# username R1 secret cisco
R3(config)# interface serial <número>
R3(config-if)# ppp authentication chap
COMANDOS DE VERIFICACIÓN ROUTER/SWITCH
SHOW RUNNING-CONFIG --- NOS MUESTRA LA CONFIGURACIÓN QUE SE ESTA
EJECUTANDO ACTUALMENTE Y SE ENCUENTRA EN LA MEMORIA RAM
SHOW IP INTERFACE BRIEF --- NOS MUESTRA DE FORMA RESUMIDA LA
CONFIGURACIÓN DE LAS INTERFACES
SHOW MAC-ADDRESS-TABLE --- MUESTRA LA TABLA MAC DEL SWITCH
SHOW IP ARP --- NOS MUESTRA LA TABLA CACHE ARP
SHOW INTERFACES TRUNK --- NOS MUESTRA LOS PUERTOS TRONCALES DEL
SWITCH Y LAS VLANS PERMITIDAS EN LOS MISMOS
SHOW VLAN BRIEF--- NOS MUESTRA UN RESUMEN DE LAS VLANS EXISTENTES Y LOS
PUERTOS ASOCIADOS A CADA UNA
SHOW IP ROUTE --- NOS MUESTRA LA TABLA DE ENRUTAMIENTO DEL ROUTER
SHOW USERS --- NOS MUESTRA LOS USUARIOS CONECTADOS AL ROUTER/SWITCH
SHOW IP SSH o SHOW SSH --- NOS MUESTRA LA CONFIGURACIÓN DE SSH
SHOW STANDBY BRIEF --- NOS MUESTRA UN RESUMEN DE LA CONFIGURACIÓN DE
HSRP
SHOW ETHERCHANNEL SUMMARY --- NOS MUESTRA UN RESUMEN DEL ESTADO DE
LOS PORTCHANNEL
SHOW LOGIN FAILURES --- NOS MUESTRA LOS FALLOS DE AUTENTICACIÓN
OCURRIDOS CUANDO TENEMOS CONFIGURADO LOGIN BLOCK-FOR
