La capa de enlace de
datos, o capa 2
• Es la segunda capa del
modelo OSI de redes
informáticas. Se encarga de
transmitir datos entre
dispositivos de una misma
red local (LAN) o de área
extensa (WAN).
Continuamos…
• La capa de enlace de datos del modelo OSI (Capa 2),
como se muestra en la imagen, prepara los datos de
red para la red física. La capa de enlace de datos es
responsable de las comunicaciones de la tarjeta de
interfaz de red (NIC) con la tarjeta de interfaz de red.
La capa de enlace de datos hace lo
siguiente:
• Permite que las capas superiores accedan a los medios. El
protocolo de capa superior desconoce por completo el tipo de
medio que se utiliza para reenviar los datos.
• Acepta datos, generalmente paquetes de Capa 3 (es decir, IPv4
o IPv6), y los encapsula en tramas de Capa 2.
• Controla cómo se colocan y reciben los datos en los medios.
• Intercambia tramas entre puntos finales a través de los medios
de red.
• Recibe datos encapsulados, generalmente paquetes de Capa 3,
y los dirige al protocolo de capa superior adecuado.
• Realiza la detección de errores y rechaza cualquier trama
corrupta.
Ejemplo:
Capa de red Capa de red
NIC son las siglas en inglés de Network Interface Card, que en español s
traduce como tarjeta de interfaz de red. Es un componente de hardware
que permite conectar una computadora a una red.
Mac
• Las direcciones MAC se representan a través
de 6 bloques de 8 bits cada uno en el sistema
hexadecimal.
• Por ejemplo → AA : AA : AA : BB : BB : BB
• Donde los bloques con la letra “A” representan
el espacio del OUI y los bloques con “B”
identifican al NIC.
Una visión general de la
dirección Mac
Relación entre
direcciones MAC e IP
¿Cómo aprenden los
switches la dirección
Mac?
Dado que un switch tiene cierta inteligencia, puede construir la tabla de
direcciones MAC automáticamente. La siguiente parte ilustrará cómo un
switch aprende las direcciones MAC.
Continuamos…
Hay un switch en el centro y tenemos 3 computadoras alrededor. Todas
las computadoras tienen una dirección MAC, pero están simplificadas
como AAA, BBB y CCC. El switch tiene una tabla de direcciones MAC y
aprenderá dónde están todas las direcciones MAC en la red. Ahora,
suponiendo que la Computadora A va a enviar algo a la Computadora
B:
El ordenador A va a enviar algunos datos destinados al ordenador
B, por lo que creará una trama Ethernet que tiene una dirección
MAC de origen (AAA) y una dirección MAC de destino (BBB). El
switch tiene una tabla de direcciones MAC y esto es lo que ocurrirá:
El switch creará una tabla de direcciones MAC y sólo aprenderá de las
direcciones MAC de origen. En este momento acaba de aprender que la
dirección MAC del ordenador A está en la interfaz 1. Ahora añadirá esta
información en su tabla de direcciones MAC. Ahora añadirá esta
información en su tabla de direcciones MAC. Pero el switch actualmente
no tiene información de donde se encuentra el ordenador B. Sólo le
queda una opción para inundar esta trama fuera de todas sus interfaces
excepto de la que vino. el ordenador B y el ordenador C recibirán esta
trama Ethernet.
[Link]
v=7XCM8OBcmLM
Subcapas de Enlace de
Datos
Objetivos de la seguridad
de capa 2
• Prevenir la intercepción, alteración o suplantación de
datos
• Proteger la confidencialidad, integridad y disponibilidad
de la información
Dispositivos de capa 2
Tarjetas de interfaz de red (NIC), Switches, Puentes multipuerto.
NIC
SWITCH
Protocolos de capa 2
Permiten transferir datos entre •1-Wire
dispositivos de capa 2 •ARCnet
Los protocolos de la capa de enlace •ARP
de datos incluyen: •ATM
• Ethernet •LLC/MAC
•MIL-STD-1553
• 802.11 Wireless
•SpaceWire
• Point-to-Point Protocol (PPP) •Token Ring
• High-Level Data Link Control (HDLC) •UNI/O
• Frame Relay •V.120
•X.75
Funciones de la capa 2
• Empaquetar los datos en tramas
• Supervisar la transferencia de los datos
• Detectar y corregir errores
• Controlar el flujo de datos
• Gestionar y coordinar la comunicación
• Identificar los dispositivos en la red mediante
direcciones MAC
Proporcionar acceso a
los medios
En cada salto a lo largo del camino, un Router realiza
las siguientes funciones de Capa 2:
• Acepta una trama de un medio
• Desencapsula la trama
• Vuelve a encapsular el paquete en una nueva trama
• Reenvía la nuevo trama apropiado para el medio de
ese segmento de la red física
• El Router de la imagen tiene una interfaz Ethernet
para conectarse a la LAN y una interfaz en serie
para conectarse a la WAN.
• A medida que el Router procesa las tramas,
utilizará servicios de capa de enlace de datos para
recibir la trama de un medio, desencapsularla en
la PDU de capa 3, volver a encapsular la PDU en
una nueva trama y colocar la trama en el medio
del siguiente enlace de la red.
Estándares de la capa de enlace de
datos
Los Switch
• se utilizan para conectar dispositivos en la misma
red, son los encargados de controlar el flujo de
datos en la capa de acceso y de dirigirlos a los
recursos de la red.
Continuamos…
• Es importante dejar claro que la seguridad
básica del switch no evita los ataques
malintencionados. Por ello es necesario hacer
cambios en la cofiguración. Podemos
configurar el switch, bien sea conectandonos
SSH o telnet, o mediante la interfaz virtual
(VLAN1) dándole una IP. En la mayoría de
fabricantes esta VLAN1 viene activa de fábrica
(Tomad nota, ya esta la primera cosa a
desactivar y eso que llevamos poco de post).
Switch
[Link]
Seguridad en la capa 2
• La seguridad de capa 2 es un conjunto de medidas
que protegen la capa de enlace de datos en las
comunicaciones de red. Se usa para proteger la
confidencialidad, integridad y disponibilidad de la
información.
• Tecnologías de seguridad de capa 2 Protocolos 802
de la IEEE para redes LAN y WAN, VLAN (Redes de
Área Local Virtual), Filtrado de direcciones MAC,
Seguridad portuaria, Snooping DHCP.
Cómo se implementa la
seguridad de capa 2
• Se compara la dirección MAC de origen con
las direcciones MAC disponibles en la tabla
de direcciones MAC seguras.
• Si una entrada coincide, se permite la trama
y el switch continúa con el procesamiento.
• Si no coincide, se deniega la trama
Amenazas que se
pueden prevenir
• Ataques de inundación de BW de paquetes
específicos de capa 2
• Acceso no autorizado
• Manipulación de CDP/LLDP
• Mac Address Flooding
• DHCP Starvation
• DHCP Spoofing
• ARP Spoofing/Poisoning
Protocolos y técnicas de
seguridad de capa 2
• Spanning Tree Protocol (STP)
• Shortest Path Bridging (SPB)
• Port Security
• MACsec
• DHCP Snooping
• IEEE 802.1X
• ARP Spoofing Detection
Configuración de la seguridad de capa 2
• Controlar los puertos habilitados del switch
• Habilitar un sistema de monitoreo para observar los
puertos activos en tiempo real
• Configurar los puertos con límites de MAC
aprendidas
Cómo se protege una
organización
• Para proteger a una organización contra un amplio
espectro de amenazas físicas y cibernéticas, se
puede usar la seguridad en capas. Esto implica el
uso de múltiples productos y prácticas de
seguridad.
• Falsificación de MAC hasta llenar por completo la tabla de
direcciones MAC tabla se llena al punto en que
no pueden aceptarse nuevas direcciones MAC.
• el switch comienza a inundar todos sus puertos con todo el
tráfico entrante, ya que no puede aprender más direcciones MAC
legítimas
El switch, en esencia, funciona como un hub.
• Resultado, el atacante puede ver todas las tramas enviadas entre
otros dos hosts.
• El tráfico es reenviado sólo dentro de la misma VLAN, por lo que
el intruso sólo puede ver el tráfico de la VLAN en la que se
encuentre conectado.
Referencias
