Qué vas a conseguir
Saber en qué boca de qué switch está conectado un equipo partiendo solo de su IP, dejar los puertos con una descripción que diga qué hay al otro lado, limitar qué equipos pueden conectarse a cada puesto con port-security y resolver la violación de seguridad que aparece cuando alguien cambia el PC de su mesa. La guía de primeros comandos en un switch Cisco cubre la entrada al switch, los show básicos y qué es un puerto en err-disabled; esta parte de ahí.
Antes de empezar
- Acceso por SSH a los switches de acceso y al núcleo (o al router que hace de puerta de enlace), con un usuario que pueda pasar a
enable. - La IP o el nombre del equipo que buscas y, si puedes, su MAC (
ipconfig /allen Windows). - El plano de la sede: qué switch está en qué armario y qué VLAN es de datos y cuál de voz.
Los pasos 1 y 2 son de solo lectura. Las descripciones y port-security cambian la configuración: van con un cambio aprobado, y port-security mal puesto deja puestos sin red.
1. De la IP al puerto, switch a switch
El switch que conoce la IP es el que hace de puerta de enlace de la VLAN (el núcleo o el router). Ahí se traduce la IP a MAC y se ve por qué puerto sale:
show ip arp 10.20.0.57Protocol Address Age (min) Hardware Addr Type InterfaceInternet 10.20.0.57 3 3c52.82a1.0f44 ARPA Vlan20show mac address-table address 3c52.82a1.0f44 Mac Address Table-------------------------------------------Vlan Mac Address Type Ports---- ----------- -------- ----- 20 3c52.82a1.0f44 DYNAMIC Gi1/0/2Total Mac Addresses for this criterion: 1show cdp neighbors Gi1/0/2 detailDevice ID: SW-P2-01Entry address(es): IP address: 10.10.0.22Platform: cisco C9200L-48P-4G, Capabilities: Switch IGMPInterface: GigabitEthernet1/0/2, Port ID (outgoing port): GigabitEthernet1/1/1Gi1/0/2 no es el puesto: es un enlace de subida a otro switch, porque por él se aprenden muchas MAC. CDP dice cuál es y su IP. Se repite allí:
show mac address-table address 3c52.82a1.0f44 20 3c52.82a1.0f44 DYNAMIC Gi1/0/14show mac address-table interface Gi1/0/14 20 3c52.82a1.0f44 DYNAMIC Gi1/0/14 30 0004.f2aa.1c09 DYNAMIC Gi1/0/14show interfaces Gi1/0/14 switchport | include ModeAdministrative Mode: static accessOperational Mode: static access- El puerto final es un puerto de acceso con una o dos MAC: el PC en la VLAN de datos y, si lo hay, el teléfono IP en la de voz. Si el puerto que sale es troncal (
show interfaces trunklo lista), hay que seguir saltando. - Si la MAC no aparece, el equipo lleva unos minutos sin hablar: la tabla caduca a los 300 segundos por defecto. Un
pinga su IP desde el núcleo la vuelve a llenar. - LLDP hace lo mismo que CDP con equipos de otros fabricantes (switches HP, puntos de acceso, teléfonos que no son Cisco). En IOS viene apagado:
lldp runen configuración global y despuésshow lldp neighbors detail.
2. Descripciones de puerto
Una descripción buena evita repetir el paso 1 la próxima vez. Un formato fijo para toda la sede, por ejemplo PUESTO <número> · <roseta> para usuarios y UPLINK <switch> <puerto> para enlaces:
configure terminalinterface Gi1/0/14 description PUESTO 2.11 · R2-B-11interface Gi1/1/1 description UPLINK SW-CORE-01 Gi1/0/2endshow interfaces description | include 2.11|UPLINKGi1/0/14 up up PUESTO 2.11 · R2-B-11Gi1/1/1 up up UPLINK SW-CORE-01 Gi1/0/2copy running-config startup-config- La descripción aparece en
show interfaces status, en los registros y en la monitorización por SNMP: un aviso de "Gi1/0/14 down" se entiende mejor como "PUESTO 2.11 down". - Cuando un puesto cambia de roseta o de uso, la descripción se cambia en el mismo ticket. Una descripción equivocada es peor que ninguna.
3. Port-security con MAC sticky
Port-security limita cuántas MAC puede aprender un puerto y cuáles. Con sticky, el switch apunta como autorizadas las primeras que ve y las guarda en la configuración:
configure terminalinterface Gi1/0/14 switchport mode access switchport access vlan 20 switchport voice vlan 30 switchport port-security maximum 2 switchport port-security mac-address sticky switchport port-security violation restrict switchport port-securityendshow port-security interface Gi1/0/14 addressVlan Mac Address Type Ports Remaining Age---- ----------- ---- ----- ------------- 20 3c52.82a1.0f44 SecureSticky Gi1/0/14 - 30 0004.f2aa.1c09 SecureSticky Gi1/0/14 -copy running-config startup-config- El puerto tiene que ser de acceso fijo (
switchport mode access). En un puerto en modo dinámico el switch rechaza el comando. - Con teléfono IP, máximo 2: el teléfono en la VLAN de voz y el PC en la de datos. Con máximo 1, el puerto cae en cuanto el teléfono arranca.
- Las MAC sticky se guardan en la running-config: sin
copy running-config startup-config, tras un reinicio el puerto vuelve a aprender las que vea. - No se activa en enlaces entre switches, en puertos de puntos de acceso ni en servidores de virtualización: por ellos pasan muchas MAC.
Los modos de violación, qué hace el puerto cuando llega una MAC de más:
| Modo | Tráfico de la MAC nueva | Registro y contador | El puerto |
|---|---|---|---|
| protect | Se descarta | Nada: ni log ni contador | Sigue arriba |
| restrict | Se descarta | Mensaje de log, trap SNMP y el contador sube | Sigue arriba |
| shutdown (por defecto) | Se descarta | Mensaje de log y trap | Pasa a err-disabled |
restrict es un buen punto de partida en puestos de oficina: el equipo autorizado sigue trabajando y el intruso no pasa, pero queda rastro. shutdown es para zonas donde un equipo desconocido tiene que cortar el puerto (salas de reuniones abiertas, recepción). protect no deja rastro y casi nunca compensa.
4. El ticket: "el puesto 2.11 se quedó sin red al conectar el PC nuevo"
Lunes, 9:10. Han cambiado el PC del puesto 2.11 (con teléfono IP en la mesa). El teléfono funciona; el PC nuevo no coge IP. Este switch tiene los puestos en shutdown y el puerto aparece como err-disabled, pero la clave no es reactivarlo sin más: es leer qué MAC lo provocó y cuáles tiene apuntadas.
show port-security interface Gi1/0/14Port Security : EnabledPort Status : Secure-shutdownViolation Mode : ShutdownAging Time : 0 minsMaximum MAC Addresses : 2Total MAC Addresses : 2Configured MAC Addresses : 0Sticky MAC Addresses : 2Last Source Address:Vlan : 8c16.45d0.73b2:20Security Violation Count : 1show port-security interface Gi1/0/14 address 20 3c52.82a1.0f44 SecureSticky Gi1/0/14 - 30 0004.f2aa.1c09 SecureSticky Gi1/0/14 -Cómo se lee:
- Last Source Address:Vlan es la MAC que provocó la violación y su VLAN:
8c16.45d0.73b2en la 20, la de datos. Compárala con la del PC nuevo (la etiqueta o el inventario). Si no es la suya, alguien ha conectado otra cosa y el ticket cambia de naturaleza. - La tabla de sticky tiene el PC antiguo (
3c52.82a1.0f44, VLAN 20) y el teléfono (VLAN 30). El máximo es 2 y ya están las dos plazas ocupadas: el PC nuevo es la tercera. clear port-security sticky interface Gi1/0/14borraría las dos, también la del teléfono. Aquí sobra solo una.
Con la confirmación de que el equipo nuevo es corporativo:
clear port-security sticky address 3c52.82a1.0f44configure terminalinterface Gi1/0/14 shutdown no shutdownendshow port-security interface Gi1/0/14 address 20 8c16.45d0.73b2 SecureSticky Gi1/0/14 - 30 0004.f2aa.1c09 SecureSticky Gi1/0/14 -copy running-config startup-configSi el contador vuelve a subir con el PC nuevo ya aprendido, hay una tercera MAC legítima que nadie había tenido en cuenta:
| Lo que aparece en Last Source Address | Origen habitual | Qué haces |
|---|---|---|
| Una MAC distinta cada pocos días en la VLAN de datos | El portátil alterna entre la tarjeta del portátil y la de la base de conexión | Se decide cuál se usa en ese puesto o se sube el máximo a 3 en ese puerto y se documenta |
| Una MAC de fabricante de virtualización | Una máquina virtual con adaptador en puente en el PC | Adaptador NAT en la máquina virtual; el puente al puesto no se permite |
| La MAC del teléfono en la VLAN de datos | Teléfono que arranca primero sin VLAN de voz | Se revisa la VLAN de voz que anuncia el switch al teléfono por CDP o LLDP |
| Una MAC que nadie reconoce | Un equipo personal o un switch pequeño bajo la mesa | No se sube el máximo: se retira el equipo y se informa a seguridad |
errdisable recovery cause psecure-violation reactiva solo los puertos caídos por port-security pasado el intervalo (errdisable recovery interval, 300 segundos por defecto). Con el PC antiguo todavía en la tabla, el puerto vuelve, el PC nuevo vuelve a provocar la violación y cae otra vez: la recuperación automática no sustituye a limpiar la MAC.
En el ticket: puerto, la MAC de Last Source Address y a qué equipo corresponde, qué MAC sticky se quitó, el estado final y que la configuración está guardada. Si el inventario tiene la MAC del equipo, actualízalo.
Siguientes pasos
- La guía de Cisco: VLANs, troncales y router de la sede del Nivel 4 sigue con los enlaces que has recorrido en el paso 1.
- La de switches HP y Aruba: LLDP, bucles y port-security hace lo mismo con ArubaOS-Switch.
- Para que la monitorización avise de los puertos en err-disabled antes que el usuario, la guía de SolarWinds.
¿Quieres practicarlo? Resuelve el ticket «El puerto del puesto que se apagó solo» en SysAdmin Desks, gratis y en el navegador.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.
Apúntate y llévate las 33 ideas →