Switches HP y Aruba: localizar equipos con LLDP, cortar un bucle con loop-protect y spanning tree, port-security y bloqueo de MAC

Qué vas a conseguir

Encontrar en qué puerto está un equipo en una red de switches HP ProCurve / ArubaOS-Switch, proteger los puertos de usuario para que un cable mal puesto no tumbe una planta, limitar qué equipos se conectan a cada boca y, cuando el bucle ya ha pasado, encontrarlo y cortarlo en minutos. La guía de VLANs, copia y firmware en switches HP cubre los comandos de cada día, las VLANs y el guardado; esta parte de ahí.

Antes de empezar

• SSH a la IP de gestión de cada switch, nivel manager (enable) y un cable de consola a mano: durante un bucle, la gestión por red suele dejar de responder.
• Comprueba con show version que es ArubaOS-Switch (series 2530, 2930F, 3810 y similares). AOS-CX tiene sus propios comandos de loop-protect y spanning tree.
• Qué puertos son de usuario y cuáles son enlaces entre switches o hacia el núcleo, en cada equipo.

1. Localizar un equipo por LLDP

En ArubaOS-Switch, LLDP viene activo de fábrica. Con la MAC del equipo (o su IP, que el switch de núcleo traduce con show arp):

›show arp | include 10.20.0.57  10.20.0.57       a0b3cc-4f12d8     dynamic 23›show mac-address a0b3cc-4f12d8  Status and Counters - Address Table - a0b3cc-4f12d8  Port   VLAN  ------ ----  23     20›show lldp info remote-device 23  LLDP Remote Device Information Detail  Local Port   : 23  ChassisType  : mac-address  ChassisId    : 9c8cd8-11aa00  PortId       : 49  SysName      : sw-p3-acc01  System Descr : Aruba JL256A 2930F-48G-PoE+-4SFP+ Switch, revision WC.16.11.0021  Remote Management Address     Type    : ipv4     Address : 10.10.99.13

El puerto 23 del núcleo lleva a otro switch: el SysName y la dirección de gestión dicen a cuál entrar. En sw-p3-acc01, el mismo show mac-address a0b3cc-4f12d8 da el puerto del puesto. Si el puerto que sale tiene un switch o un punto de acceso según show lldp info remote-device, hay que seguir.

Para no repetirlo, cada puerto con su nombre:

›configure terminal›interface 12 name "PUESTO 3.12 R3-A-12"›interface 49 name "UPLINK sw-core-01 p23"›exit›show name 12›write memory

2. Spanning tree: puertos de borde y protección de BPDU

Spanning tree bloquea los caminos redundantes entre switches para que las tramas no den vueltas. En ArubaOS-Switch funciona en modo MSTP y, según modelo y versión, puede venir desactivado de fábrica: show spanning-tree lo dice en la primera línea.

›configure terminal›spanning-tree›spanning-tree 1-44 admin-edge-port›spanning-tree 1-44 bpdu-protection›spanning-tree bpdu-protection-timeout 300›exit›show spanning-tree bpdu-protection›write memory

• El núcleo tiene que ser el puente raíz: en él, spanning-tree priority 0 (el valor es un multiplicador de 4096). Si no se fija, gana el switch con la MAC más baja, a menudo el más viejo del armario.
• admin-edge-port en los puertos de usuario: pasan a reenviar al instante, sin esperar a spanning tree. El PC coge IP antes.
• bpdu-protection en esos mismos puertos: si por un puerto de usuario llega una BPDU (alguien ha conectado un switch, o un cable que vuelve al propio switch), el puerto se desactiva. Con el timeout, se reactiva solo a los 300 segundos; sin él, se queda abajo hasta que alguien lo habilite.
• En los enlaces de subida (49-50) no va ni lo uno ni lo otro.

3. Loop-protect: los bucles que spanning tree no ve

Spanning tree solo ve un bucle si las BPDU dan la vuelta. Un switch de escritorio que no las deja pasar, o un switch con spanning tree apagado, forman un bucle que nadie bloquea. Loop-protect envía sus propios paquetes de prueba por cada puerto y, si vuelven por el mismo switch, apaga el puerto:

›configure terminal›loop-protect 1-44›loop-protect 1-44 receiver-action send-disable›loop-protect disable-timer 300›loop-protect trap loop-detected›exit›show loop-protect 1-44›write memory

• send-disable (la acción por defecto) apaga el puerto que recibe el paquete; disable-timer lo reactiva a los 300 segundos. Con 0, se queda apagado hasta que alguien lo habilite: más seguro, pero más tickets.
• trap loop-detected manda un trap SNMP a la monitorización: es el aviso que quieres recibir antes que la llamada de la planta.
• Loop-protect y spanning tree se complementan: spanning tree para los enlaces entre switches; loop-protect y bpdu-protection en los puertos de usuario.

4. Port-security y lockout-mac

Port-security limita qué MAC puede usar un puerto. El modo static aprende las primeras MAC hasta el límite y las deja como autorizadas, y se guardan en la configuración con write memory:

›configure terminal›port-security 12 learn-mode static address-limit 2 action send-alarm›exit›show port-security 12›show port-security intrusion-log›write memory

• action: none, send-alarm (trap y registro, el puerto sigue) o send-disable (trap, registro y el puerto se apaga). En oficina, send-alarm para empezar y send-disable donde un equipo desconocido no puede quedarse.
• Una intrusión levanta un indicador en el puerto. Una vez revisada, port-security 12 clear-intrusion-flag, y si el puerto se apagó, interface 12 enable.
• Si la red usa 802.1X o autenticación por MAC contra RADIUS, el control de acceso ya lo hace eso: no se mezcla con port-security en el mismo puerto.

lockout-mac bloquea una MAC concreta en todo el switch, en cualquier puerto y VLAN: lockout-mac 3c52a1-0f4401 en configuración global. Es la medida rápida ante un equipo que no debe estar en la red mientras seguridad decide qué hacer. Se quita con no lockout-mac 3c52a1-0f4401.

5. El ticket: "toda la planta se ha quedado sin red cuando alguien ha enchufado un cable a dos rosetas"

Miércoles, 10:40. Nadie en la planta 3 tiene red: ni correo, ni impresoras, ni teléfonos. Alguien ha visto un latiguillo que sobraba en una mesa y lo ha conectado de una roseta a otra. Las luces del switch parpadean todas a la vez.

1. Entrar: SSH no responde o va a saltos, porque la VLAN de gestión también está inundada. Consola, directamente.
2. Confirmar el bucle: CPU alta, cambios de topología disparados y dos puertos de usuario con el mismo tráfico disparado.

›show cpu 98 percent busy, from 300 sec ago›show spanning-tree Multiple Spanning Tree (MST) Information  STP Enabled   : No›show interfaces port-utilization Port   Mode     | Rx Kbits/sec  Rx Util | Tx Kbits/sec  Tx Util ------ -------- + ------------- ------- + ------------- ------- 17     1000FDx  | 991250        99.1    | 990830        99.0 31     1000FDx  | 990840        99.0    | 991140        99.1 49     10GigFD  | 4870210       48.7    | 4861300       48.6

Aquí spanning tree estaba apagado y los puertos de usuario no tenían loop-protect: nadie podía cortar el bucle. Dos puertos de usuario al 99 % en recepción y transmisión, a la vez, son los dos extremos del mismo cable.

1. Cortar: apagar uno de los dos puertos. La red vuelve en segundos.

›configure terminal›interface 31 disable›exit›show name 17,31

1. Retirar el cable: con los nombres de puerto (paso 1) sabes en qué rosetas está. Sin nombres, el panel de parcheo y la documentación del cableado. Se retira el latiguillo y se habilita el puerto (interface 31 enable).
2. Que no vuelva a pasar, con un cambio aprobado: spanning tree activo con el núcleo como raíz, y en todos los puertos de usuario admin-edge-port, bpdu-protection y loop-protect. Con eso, el mismo cable apaga uno de los dos puertos en un par de segundos y el resto de la planta no se entera:

›show loop-protect 17,31 Port Enabled Loop Detected Loop Count Rx Action    Port Status ---- ------- ------------- ---------- ------------ ----------- 17   Yes     No            0          send-disable Up 31   Yes     Yes           1          send-disable Down›show logging -r

Si el bucle pasa por un switch de escritorio que alguien ha traído, retíralo, no solo el cable. Si te piden más tomas en un puesto, es una petición de cableado o un switch gestionado, no un aparato bajo la mesa.

En el ticket: hora del corte y de la vuelta, los dos puertos y las rosetas, qué se retiró y el cambio de protección que queda pendiente o aplicado.

Siguientes pasos

• La guía de Cisco: encontrar un puerto y port-security es lo mismo con IOS: CDP, MAC sticky y modos de violación.
• La de LAN, WAN y WiFi entre plantas y sedes del Sector 4 explica el diseño de núcleo y acceso donde viven estos switches.
• La guía de SolarWinds recoge el trap de loop-protect y la utilización de los puertos para avisar antes de que llamen.

¿Quieres practicarlo? Resuelve el ticket «La impresora de Ventas cambió de sitio y nadie puede imprimir» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.