Además, incrementa el ancho de banda sin necesidad de enlaces más rápidos y costosos.

Ofrece balanceo de carga y aparece como un único enlace lógico, lo que simplifica el trabajo de STP al bloquear solo el canal completo en caso de redundancia.

También brinda redundancia, ya que sigue funcionando si falla un enlace físico, sin necesidad de recalcular la topología.

• VPN: Proporciona una conexión segura para usuarios remotos a través de redes públicas y puede integrarse en el firewall.

• NGFW: Realiza inspección avanzada de paquetes, ofrece control de aplicaciones, prevención de intrusos, protección contra malware y filtrado de URL.

• NAC: Maneja autenticación, autorización y registro (AAA), administrando políticas de acceso para diferentes usuarios y dispositivos. Un ejemplo es Cisco Identity Services Engine (ISE).

Hay escenarios en los que se necesita más ancho de banda o redundancia entre dispositivos que lo que puede proporcionar un único enlace. Se pueden conectar varios enlaces entre dispositivos para aumentar el ancho de banda. Sin embargo, el STP, que está habilitado en dispositivos de capa 2 de forma predeterminada, bloqueará enlaces redundantes para evitar bucles de switching.

Se necesita una tecnología de agregación de enlaces que permita enlaces redundantes entre dispositivos que no serán bloqueados por STP. Esa tecnología se conoce como EtherChannel.

La forma más efectiva de prevenir ataques por saturación de la tabla de direcciones MAC es habilitar la seguridad de puertos (port security).

Con port security, se limita el número de direcciones MAC permitidas en cada puerto, ya sea configurándolas manualmente o permitiendo que el switch aprenda un número limitado de ellas de forma dinámica. Cuando un puerto con seguridad de puertos recibe una trama, compara la dirección MAC de origen con las direcciones seguras configuradas o aprendidas. Al restringir la cantidad de direcciones MAC a una por puerto, se controla la expansión no autorizada de la red.

El método más simple de autenticación para acceso remoto consiste en configurar un inicio de sesión, combinando nombre de usuario y contraseña, a nivel de consola, lineas vty, y puertos auxiliares. Este método es el más simple de implementar, pero también el mas débil y menos seguro. Cualquier persona con la contraseña puede acceder al dispositivo.

SSH es un tipo de acceso remoto más seguro.

• Requiere un nombre de usuario y una contraseña, que se encriptan durante la transmisión.

• El nombre de usuario y la contraseña pueden ser autenticados por el método de base de datos local.

• Proporciona más responsabilidad porque el nombre de usuario queda registrado cuando un usuario inicia sesión.

Como una revisión rápida, un ataque de salto a una VLAN puede ser lanzado en una de 3 maneras:

• La suplantación de mensajes DTP del host atacante hace que el switch entre en modo de enlace troncal. Desde aquí, el atacante puede enviar tráfico etiquetado con la VLAN de destino, y el conmutador luego entrega los paquetes al destino.

• Introduciendo un switch dudoso y habilitando enlaces troncales. El atacante puede acceder todas las VLANs del switch victima desde el switch dudoso.

• Otro tipo de ataque de salto a VLAN es el ataque doble etiqueta o doble encapsulado. Este ataque toma ventaja de la forma en la que opera el hardware en la mayoría de los switches.

La configuración de EtherChannel con LACP requiere tres pasos:

Paso 1. Especifique las interfaces que conforman el grupo EtherChannel mediante el interface range el comando de modo de configuración interface global.

Paso 2. Cree la interfaz port channel con el channel-group comando mode active identifier en el modo de configuración de interface range. El identificador especifica el número del grupo del canal.

Paso 3. Para cambiar la configuración de capa 2 en la interfaz de canal de puertos, ingrese al modo de configuración de interfaz de canal de puertos mediante el interface port-channel comando, seguido del identificador de la interfaz.

Para la verificación del etherchannel podemos aplicar diferentes comandos, uno de estos es “show interfaces port-channel” y agregamos el canal que queremos verificar

por ejemplo: "show interfaces port-channel 1"

Normalmente se tienen medidas de seguridad para proteger de la capa 3 a la 7 como VPNs, firewalls, dispositivos IPS,etc. Pero si la Capa 2 se ve comprometida, todas las capas superiores también se ven afectadas.

Así como existen diferentes métodos para poder atacar la capa 2(imagen anclada), también existen métodos para prevenirlos, como:

·         Seguridad de puertos

·         DHCP Snooping

·         Inspección ARP dinámica

·         Protección de IP de origen

Estas soluciones de Capa 2 no serán efectivas si los protocolos de administración no son seguros.

El objetivo de un ataque de inanición de DHCP es crear una denegación de servicio(DoS) para la conexión de los clientes. Los ataques de suplantación de DHCP se pueden mitigar mediante el uso de detección DHCP en puertos confiables.

Los dispositivos que estén bajo el control administrativo del servidor DHCP como Switches, enrutadores y servidores, son fuentes confiables. Cualquier dispositivo más allá del cortafuegos fuera de su red son fuentes no confiables. Además, todos los puertos de acceso son tratados generalmente como fuentes no fiables.

Habilitar el DHCP Snooping

Paso 1. Habilite la inspección DHCP mediante el comando ip dhcp snooping de configuración global.

Paso 2. En puertos de confianza, use el comando de configuración de la interfaz ip dhcp snooping trust.

Paso 3: Limite la cantidad de mensajes de descubrimiento de DHCP que puede recibir por segundo en puertos no confiables mediante el ip dhcp snooping limit rate comando de configuración de la interfaz.

Paso 4. Habilite la inspección DHCP por VLAN, o por un rango de VLAN, utilizando el comando ip dhcp snooping vlan de la configuración global.

(Manuel Adrian Hernandez Moreno)

(Manuel Adrian Hernandez Moreno)

(Manuel Adrian Hernandez Moreno)

• Negación de Servicio Distribuido(DDoS) - Esto es un ataque coordinado desde muchos dispositivos, llamados zombies, con la intención de degradar o detener acceso publico al sitio web y los recursos de una organización.

• Filtración de Datos - Este es un ataque en el que los servidores de datos o los hosts de una organización han sido comprometidos con el fin de robar información confidencial.

• Malware - Este es un ataque en el que los hosts de una organización son infectados con software malicioso que causa una serie de problemas.

La inspección dinámica (DAI) requiere de DHCP snooping y ayuda a prevenir ataques ARP así:

• No retransmitiendo respuestas ARP invalidas o gratuitas a otros puertos en la misma VLAN.

• Intercepta todas las solicitudes y respuestas ARP en puertos no confiables.

• Verificando cada paquete interceptado para un enlace IP-to-MAC válido.

• Descarte y registro de respuestas no válidas de ARP para evitar el envenenamiento por ARP.

• Error-disabling deshabilita la interfaz si se excede el número de DAI configurado de paquetes ARP.

Verificar la seguridad del puerto implica asegurarse de que los puertos abiertos en un sistema o red estén correctamente configurados para evitar accesos no autorizados y reducir vulnerabilidades. Esto incluye escanear y cerrar puertos innecesarios, configurar adecuadamente firewalls, emplear autenticación y cifrado en servicios expuestos, monitorear accesos sospechosos, mantener el software actualizado y deshabilitar servicios no esenciales. El objetivo es proteger los puntos de entrada de la red para prevenir posibles amenazas y ataques.

Los ataques a switches en la Capa 2 son más peligrosos hoy en día debido a la mayor vulnerabilidad de esta capa, que antes era más segura al estar bajo el control de una sola organización. Con el uso de BYOD y ataques más avanzados, las LAN se han vuelto más propensas a ser penetradas. Además de proteger las capas superiores, es fundamental que los profesionales de seguridad se enfoquen en la Capa 2, entendiendo su funcionamiento y las amenazas que enfrenta para mitigar los riesgos en la infraestructura LAN.

Verificar un EtherChannel implica revisar que los enlaces físicos estén correctamente agrupados y funcionando como un solo canal lógico para mejorar el rendimiento y la disponibilidad de la red. Para hacerlo, se pueden usar varios comandos en dispositivos Cisco. El comando show etherchannel summary ofrece un resumen de los EtherChannels configurados, mostrando si los enlaces están activos y qué protocolo se está utilizando (PAgP o LACP). También se puede verificar el estado de los puertos físicos con show interfaces, donde se observan estadísticas y errores.