Iñigo GonzálezIT Operations · Infra
ES · EN

Guías · Nivel 2

Cisco: primeros comandos en un switch, copia de la configuración y un puerto en err-disabled

Entrar por consola o SSH, los seis show que responden casi cualquier ticket, guardar y sacar una copia de la configuración, un puerto apagado por port-security o BPDU Guard y asignar la VLAN de acceso a un puesto.

Nivel 2 · Cisco: primeros comandos en un switch · 6 min · Actualizado 30 oct 2026

¿Prefieres practicarlo?Resuelve el ticket simulado «El puerto del puesto que se apagó solo» en SysAdmin Desks ↗

Qué vas a conseguir

Entrar en un switch Cisco Catalyst sin miedo a romper nada, leer qué hay conectado y dónde, guardar y copiar la configuración, y resolver los dos tickets de red que más llegan a soporte: un puerto que el switch ha apagado solo y un puesto que hay que poner en su VLAN.

Antes de empezar

  • Un usuario en el switch (nominal por TACACS+ o RADIUS si existe; la cuenta local es solo para emergencias) y saber si tienes nivel 15 o tienes que pasar a enable.
  • Para consola: un cable de consola RJ45 o USB y PuTTY o similar a 9600 baudios, 8 bits, sin paridad, 1 bit de parada y sin control de flujo.
  • El plano básico de la sede: qué switch es qué armario, qué VLAN es de usuarios, de voz y de impresoras.

En modo show no cambias nada. Todo lo que empieza por configure terminal sí, y en un switch de producción va con un cambio aprobado o con permiso del responsable de red.

1. Entrar: consola o SSH

La consola es para un switch nuevo, uno sin IP o uno al que ya no llegas por red. Lo normal es SSH contra la IP de gestión:

Desde tu PC
ssh adm-soporte@10.10.0.21SW-P1-01>enablePassword:SW-P1-01#terminal length 0

El símbolo > es modo usuario; # es modo privilegiado. terminal length 0 quita el --More-- para que las salidas largas salgan enteras y se puedan copiar al ticket.

2. Los seis comandos que responden casi cualquier ticket

SW-P1-01 · Catalyst 9200 · solo lectura
show interfaces statusshow mac address-table interface Gi1/0/14show vlan briefshow cdp neighborsshow logging | include Gi1/0/14show running-config interface Gi1/0/14Port      Name          Status       Vlan  Duplex  Speed TypeGi1/0/14  PUESTO 1.07   connected    20    a-full  a-1000 10/100/1000BaseTX          Mac Address TableVlan    Mac Address       Type        Ports----    -----------       --------    -----  20    00a0.c914.2b7e    DYNAMIC     Gi1/0/14
  • show interfaces status: una línea por puerto con estado (connected, notconnect, err-disabled, disabled), VLAN y velocidad. Es el primer vistazo.
  • show mac address-table: qué MAC ha aprendido el switch en cada puerto. Con la MAC del PC (ipconfig /all) sabes en qué puerto está, sin bajar al armario: show mac address-table address 00a0.c914.2b7e.
  • show vlan brief: qué VLAN existen y qué puertos de acceso hay en cada una.
  • show cdp neighbors: qué equipo Cisco hay al otro lado de cada enlace (otro switch, un teléfono, un punto de acceso).
  • show logging: los mensajes del switch. Un puerto que sube y baja, o que se apaga, deja rastro aquí.
  • show running-config interface: la configuración de ese puerto y nada más.

3. Guardar y sacar una copia de la configuración

El switch tiene dos configuraciones: la running (la que está funcionando, en memoria) y la startup (la que carga al arrancar). Un cambio que no se guarda se pierde en el siguiente reinicio.

SW-P1-01 · guardar y exportar
copy running-config startup-configDestination filename [startup-config]?Building configuration...[OK]copy running-config scp://adm-soporte@10.10.0.50/backups/SW-P1-01-2026-10-30.cfgcopy running-config tftp://10.10.0.50/SW-P1-01-2026-10-30.cfg
  • copy running-config startup-config (o su forma corta write memory) guarda. Se hace después de cada cambio que funciona, no antes.
  • Para una copia fuera del equipo, SCP va cifrado y pide usuario; TFTP no pide nada y viaja en claro, así que solo dentro de la red de gestión. Antes de un cambio, una copia a mano adjunta al ticket.

4. El ticket: "el puesto 1.07 se ha quedado sin red"

SW-P1-01 · diagnóstico
show interfaces status err-disabledshow logging | include Gi1/0/14show port-security interface Gi1/0/14Port      Name          Status       Reason               Err-disabled VlansGi1/0/14  PUESTO 1.07   err-disabled psecure-violation%PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 3c52.82a1.0f44 on port GigabitEthernet1/0/14.%PM-4-ERR_DISABLE: psecure-violation error detected on Gi1/0/14, putting Gi1/0/14 in err-disable statePort Security              : EnabledPort Status                : Secure-shutdownViolation Mode             : ShutdownMaximum MAC Addresses      : 1Sticky MAC Addresses       : 1Security Violation Count   : 1

err-disabled significa que el switch ha apagado el puerto a propósito, y la columna Reason dice por qué. Los dos motivos más habituales en un puerto de usuario:

MotivoQué pasóQué haces
psecure-violationPort-security solo admite una MAC (aquí sticky, la primera que aprendió) y ha aparecido otra: un portátil nuevo, un PC cambiado de mesaConfirmas que el equipo nuevo es legítimo, borras la MAC aprendida y reactivas el puerto
bpduguardHan conectado un switch pequeño o un equipo que habla spanning-tree en un puerto de usuarioSe retira el aparato y se reactiva el puerto. No se desactiva BPDU Guard

Aquí han cambiado el PC del puesto. Con el visto bueno de que el equipo es corporativo:

SW-P1-01 · reactivar el puerto
clear port-security sticky interface Gi1/0/14configure terminalinterface Gi1/0/14 shutdown no shutdownendshow interfaces Gi1/0/14 statuscopy running-config startup-config

shutdown y no shutdown sacan el puerto de err-disabled. El nuevo equipo será la nueva MAC sticky, y como la sticky se guarda en la configuración, hay que guardar para que no vuelva la antigua tras un reinicio.

Algunos switches tienen errdisable recovery: el puerto se reactiva solo pasado un tiempo (300 segundos por defecto) para los motivos activados. show errdisable recovery dice cuáles. Pero un puerto que se recupera y vuelve a caer cada cinco minutos esconde el problema.

5. Poner un puesto en su VLAN

Un puesto nuevo, o uno que ha cambiado de departamento, necesita su puerto en la VLAN correcta:

SW-P1-01 · puerto de acceso
show vlan brief | include 20|30configure terminalinterface Gi1/0/22 description PUESTO 1.15 switchport mode access switchport access vlan 20 switchport voice vlan 30endshow interfaces Gi1/0/22 statuscopy running-config startup-config
  • La VLAN tiene que existir (show vlan brief). Si no aparece, no la crees tú: avisa a red, porque además tiene que llegar por la troncal.
  • Comprueba en el PC que coge una IP del rango de esa VLAN (ipconfig /all). Si sale una 169.254.x.x, el switch está bien y el problema es de DHCP.

6. Qué poner en el ticket

Switch y puerto, estado antes y después, el motivo del err-disabled sacado del log, qué se cambió y la confirmación de que la configuración está guardada.

Siguientes pasos

  • La guía de Cisco: switches y routers del Nivel 4 sigue desde aquí: troncales sin cortar una planta, el router con circuito de respaldo y cambios en remoto con red de seguridad.
  • La guía de Cisco: switches, routers y salas de comunicaciones de una sede lo aplica a una sede real con sala de comunicaciones.
  • Si el puesto coge una IP 169.254.x.x, sigue en la guía de DNS y DHCP en Windows Server.

¿Quieres practicarlo? Resuelve el ticket «El puerto del puesto que se apagó solo» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.

Apúntate y llévate las 33 ideas →