Cisco Networking Notes

CCNA: Direccionamiento IP con y sin clase. Parte I

2011-09-27T07:26:00.000-07:00

En esta ocasión hablaremos de un tema muy conocido y desarrollado por varios autores. Sin embargo, esto servirá de base para aquellos estudiantes que deseen información mas sintetizada sobre el tema y para aquellos curiosos que deseen hacer un repaso de este extenso tema dentro del currículo para la certificación CCNA.

Aunque no vamos a entrar en mucho detalle, vamos a hablar del paquete IP, de numeración binaria y de direccionamiento con clase y sin clase. Haremos algunos ejercicios de mascara de longitud variable, y combinaremos los conocimientos obtenidos con los conceptos de direcciones públicas y privadas.

Para empezar, recordemos un poco al protocolo IP. Sabemos que este protocolo trabaja dentro de la capa 3 del modelo OSI, Capa de Red, y se encarga de hacer posible que redes distintas puedan ser accesibles unas con otras. En esencia, provee el direccionamiento necesario para que un paquete pueda viajar de una red a otra, pasando por uno o varios routers intermediarios. A continuación, veamos como define este protocolo a un paquete IP:

No vamos a hablar de todos los campos, pero resaltamos los siguientes:

- TTL (Time To Live): El campo Tiempo de Vida impide que el paquete viaje de manera indefinida por las redes en cuestión. El host emisor rellena este campo con un valor inicial, cuyo máximo posible es 255, y cada vez que un host intermediario accede al paquete, resta uno al valor del campo. Así, si un router recibe un paquete con el campo TTL=1, y él no es el destinatario del mismo, el no lo puede re-encaminar, debe descartarlo y comunicar al nodo emisor que un mensaje de error ICMP.

- Dirección IP de Origen y Destino: Estos campos contienen el núcleo de la información del protocolo IP. Gracias a estos dos campos es posible determinar adónde y cómo llegar a un host determinado.

Con esto en mente, recordemos qué es una dirección IP. Sabemos que en realidad una dirección IP es un número de 32 bits que identifica a un host o aun grupo de host en particular. Para nuestra mejor comprensión, estos 32 bits se escriben en 4 grupos de números decimales separados por un punto. Entonces la dirección IP en lenguaje de computadora 11000000101010000000000100101101 sería escrito en "nuestro" lenguaje como 192.168.1.45.

Tenemos que recordar además que para que una dirección IP sea útil, la misma tiene que tener sentido global. En otras palabras, necesitamos de un sistema que nos permita asignar direcciones, y que este sistema evidentemente sea "direccionable", pues de lo contrario perderíamos el principal beneficio de este protocolo. Pensemos que tenemos que identificar una casa en una calle. Si todas las casas tuvieran números de identificación al azar, no habría modo de agruparlos. La única manera de llegar a las casas es conociendo la ubicación específica de cada una de ellas, y cómo llegar a cada una de ellas.

Para entender mejor lo mencionado en el párrafo anterior, pensemos en la dirección MAC. Si bien es cierto que una dirección MAC identifica únicamente a un host en particular, si tuviéramos que comunicarnos con el sería necesario que nuestra PC (y en realidad todas las PCs del mundo) tenga conocimiento de cada dirección MAC existente en el mundo y qué hacer para llegar hasta esos nodos. Queda claro que esto no es nada práctico. Por ello, el direccionamiento IP permite establecer un modelo jerárquico de identificación de redes y nodos, haciendo posible que solo algunos equipos de comunicación en Internet tengan la necesidad de conocer todas las redes IP del mundo.

Con esto podemos pasar a analizar los dos tipos de direccionamientos IP existentes, con Clase y Sin Clase.

CCNP Switch Exam: Funcionamiento Básico de un Switch Cisco Catalyst

2011-09-26T07:10:00.000-07:00

La mayoría de nosotros tiene conocimiento del funcionamiento básico de un switch de capa 2 común y corriente. En esta oportunidad vamos a mencionar rápidamente lo que ya todos sabemos, y adentrarnos un poco mejor en cuestiones más complejas respecto a su funcionamiento detallado. Cabe mencionar que el tema que vamos a tratar corresponde a parte de lo que se debe analizar para el CCNP Switch Exam.

Como recordaremos, un switch tiene la capacidad de "recordar" la dirección MAC de origen de los paquetes que llegan a él y que luego deben ser reenviados a otros puertos del mismo. También sabemos que en caso de que no encuentre ninguna entrada que relacione una dirección MAC de destino con un puerto de salida, el switch reenviará la trama a todos los puertos, a excepción del que lo recibió.

Recordaremos también que los switches Cisco Catalyst utilizan la tecnología llamada store-and-forward. Esencialmente, este método de reenvío de se asegura de que cada trama que llegue a una interfaz sea verificada de errores primeramente. En caso de que no presenten fallos, la trama es regenerada una vez es retransmitida. En resumen: los paquetes son recibidos, guardados para su inspección y luego reenviados a donde corresponda.

Ahora bien, analicemos en mayor detalle que ocurre cuando es necesario realizar un mejor filtrado o inspección de las tramas. Entender estos puntos nos ayudará a configurar mejor estas características avanzadas en los switches.

En ciertas situaciones, necesitamos que nuestros switches evalúen también que prioridad tiene una trama en particular, es decir, que nivel de servicio deben proveer. En otras ocasiones, necesitamos restringir o permitir el acceso de ciertos recursos. Cuando una trama llega a un puerto, la misma es transferida a una cola de ingreso del switch. Una vez allí, diferentes datos de la trama son utilizados para decidir a que cola de egreso debe ser transferida. Es por ello que el switch debe decidir no solo a dónde enviar una trama, sino también si debe o no hacerlo, y cómo. Para ello se vale de porciones independientes de hardware dedicadas a realizar estas inspecciones, las cuáles se realizan de forma simultánea. Notemos cuáles son estas:

- Tabla de reenvio en L2. La dirección MAC de destino de la trama es utilizada como una clave en la tabla CAM del switch (Tabla de Memoria de Contenido Direccionable, por sus siglas en inglés). Esta tabla es la que permite relacionar una dirección MAC con un puerto de salida y un ID de VLAN configurado en ese puerto, determinando así el funcionamiento principal de un switch. Como hemos dicho, si no se encuentra un registro en la CAM, la trama es reenviada a todos los puertos de esa vlan, en un proceso conocido como flooding.

- Listas de Control de Acceso (ACL) de Seguridad. Las ACL de seguridad pueden ser utilizadas para identificar tramas en base a su dirección MAC, dirección IP, protocolos y tipos de protocolo y puertos de capa 4. La tabla TCAM del switch (Tabla de Memoria Ternaria de Contenido Direccionable) es la que contiene estas ACL, y las mismas están estructuradas en una manera compilada, a fin de que la decisión de reenviar o no una trama sea realizada en una sola búsqueda de esa instrucción previamente configurada.

- Listas de Control de Acceso de Calidad de Servicio (QoS). Estas listas de control de acceso permiten identificar tramas en base a los parámetros de calidad de servicio de la misma. De esta manera es posible controlar el flujo de tráfico en los puertos de salida del switch, además de remarcar los parámetros de QoS si fuera necesario. La TCAM es la tabla utilizada para realizar este tipo de decisiones, también en una única búsqueda.

Luego de que las tablas CAM y TCAM son utilizadas para la inspección de los paquetes, la trama es colocada en la cola de salida correcta del puerto de salida del switch que corresponda. En posteriores entradas explicaremos mejor en que consisten estas tablas.

Configuración de NAT en routers Cisco: ¿Cómo? Parte III

2011-09-23T12:55:00.000-07:00

Volver a la Parte II.

En esta situación, una red en particular necesita ser visible en todo momento, para lo cual contamos con dos interfaces de red WAN, a fin de asegurar la alta disponibilidad del enlace. A fin de que no existan cambios en el enrutamiento principal, se decide utilizar una interfaz especial que estará siempre activa, independientemente de que interface WAN se encuentre arriba. Esta es la interfaz Loopback. Veamos mejor esta situación en el siguiente gráfico:

Con la ayuda del gráfico, rápidamente podemos notar que sección es la red inside y que partes de la red son la outside. Sin embargo, notemos por favor que a diferencia del ejemplo anterior, en esta ocasión no nos interesa que las PC del lado inside salgan "nateadas" con la alguna de las IPs WAN, sino con la IP de la Loopback. Como dijimos, los equipos de la red local "siempre" van a ser accesibles, independientemente de que ISP sea utilizado. Este tipo de configuración es especialmente útil para enlaces VPN en los que las redes locales de ambos puntos tienen segmentos de red con el mismo rango de IPs. A continuación vemos como quedaría la configuración:

interface Ethernet0
ip address 192.168.1.1 255.255.255.0
ip nat inside

interface Ethernet1
ip address 175.40.1.1 255.255.255.252
ip nat outside

interface Ethernet2
ip address 175.41.1.1 255.255.255.252
ip nat outside

interface Loopback1
ip address 10.10.1.1 255.255.255.255

ip nat inside source list INTERNET interface Loopback1 overload

Hasta aquí hemos aprendido como utilizar los comandos de NAT. En siguientes entradas estaremos abarcando más información acerca de estos puntos. Espero que los ejemplos utilizados hayan sido esclarecedores. Cualquier duda que tengan, por favor no duden en hacerlas a través de los comentarios.
----

¿Más info?

- How NAT Works - Cisco (En inglés).

- NAT: Local and Global Definitions - Cisco (En inglés)
- NAT FAQ - Cisco (En inglés)

¿Querés aprender más relacionado con esto?
- NAT on a Stick - Cisco (En inglés).

- NAT Virtual Interface - Cisco (En inglés)
- Rate Limiting NAT Translation - Cisco (En inglés)

Configuración de NAT en routers Cisco: ¿Cómo? Parte II

2011-09-19T09:15:00.000-07:00

Volver a la Parte I

Ahora, nos queda determinar el pool o rango de direcciones que serán utilizados en el proceso de traducción.

Para esto tenemos fundamentalmente dos opciones: utilizar un rango especificado administrativamente (por ejemplo el provisto por nuestro ISP) o simplemente la IP de la interfaz outside de nuestro equipo de capa 3.

Veamos algunos ejemplos para entender todo lo explicado hasta ahora y la sintaxis de los comandos que pueden ser utilizados.

Ej. 1: Compartir un enlace a Internet. En este caso tenemos una o varias redes inside o internas, mientras que solo una de ellas es nuestra red externa. Como no tenemos un pool o rango, solo vamos a utilizar una dirección IP única, que en este caso será la de la interfaz outside, es decir, la que está conectada a nuestro ISP.

El tipo de configuración NAT que realizaremos es la conocida como Overloading, también conocida como PAT (Port Address Translation), pues en ella solo una dirección es traducida y compartida entre varios equipos de la red interna, diferenciando cada conexión por un número de puerto TCP distinto.

Como se observa en el gráfico, las dos redes de usuarios 192.168.1.0/24 y 192.168.2.0/24 comparten en único enlace a Internet disponible a través de la interfaz e0, el cual será nuestra interfaz outside, con la dirección IP 175.40.1.1/30. La configuración del router R0 quedaría como sigue:

interface Ethernet0
ip address 175.40.1.1 255.255.255.252
ip nat outside

interface Ethernet1
ip address 192.168.1.1 255.255.255.0
ip nat inside

interface Ethernet2
ip address 192.168.2.1 255.255.255.0
ip nat inside

Ahora nos falta establecer el comando que se encarga de establecer el mapa de traducción entre ambas interfaces. A través de este comando podremos crear políticas que determinen "quienes" de una interfaz inside podrán ser traducidos al salir por la interfaz outside. Para eso usaremos el comando de configuración global ip nat inside source, como vemos a continuación:

ip nat inside source [politica] [rango_ip] overload

Es común que dentro del parámetro [politica] utilicemos una ACL (Lista de control de Acceso) o un route-map para definir en que situaciones se permitirá la traducción de direcciones. En otras entradas hablaremos más acerca de esto. Por lo pronto, nos servirá utilizar una ACL para permitir toda conexión de la red interna hacia Internet. Supongamos que ya hemos escrito la ACL que necesitábamos, y que la llamamos INTERNET (es case sensitive), y dado que una sola IP vamos a usar para las traducciones (la cual coincide con la IP WAN de nuestro router) para el parámetro [rango_ip], la instrucción faltante queda como sigue:

ip nat inside source list INTERNET interface ethernet0 overload

Veamos por último un segundo ejemplo. En este se demostrará aún mejor la necesidad de establecer con claridad que red es la inside y como usar un rango de direcciones IP.

Continuá leyendo la Parte III

Configuración de NAT en routers Cisco: ¿Cómo? Parte I

2011-09-07T14:10:00.000-07:00

Si bien esto es fácil, o por lo menos lo parece, recién luego de 3 años de estar trabajando con estos comandos puedo decir que realmente los sé usar. ¿De cuáles les hablo? De la inseparable pareja ip nat inside y ip nat outside.

Empecemos definiendo NAT (RCF 1631). Network Address Translation es el mecanismo utilizado por algunos equipos de comunicación de capa 3, tales como routers y firewalls, que permite enmascarar una dirección IP cualquiera en otra. ¿Qué razones pueden haber para hacer esto? Puede ser por seguridad, administración de segmentos, y desde luego para que varios equipos puedan hacer uso de una misma conexión a Internet. Este asunto es muy largo así que no voy a explayarme en él ahora. Mi objetivo es explicar con claridad como debemos hacer uso de estos comandos de interfaz, asociándolos con los de nivel de configuración global. Se requiere además que el lector cuente por lo menos con la noción de conceptos tales como IP o Segmento Público, IP o Segmento Privado, Subnetting y Enrutamiento Básico.

Aún así es necesario que primero definamos algunos conceptos importantes, y que no suelen ser bien entendidos:

- Local Address: Una dirección local es toda aquella dirección que encontramos en un paquete mientras este aún esté transitando en la parte o porción interna -inside- de la red.

- Global Address: Una dirección global es toda aquella dirección que encontramos en un paquete mientras este aún esté transitando en la parte o porción externa -outside- de la red.

Con esto en mente, resulta más fácil comprender estos conceptos:

- Inside local address: Es la dirección de origen de los paquetes provenientes de la parte interna de la red.

- Outside local address: Es la dirección de destino de los paquetes provenientes de la parte interna de la red.

- Inside global address: Es la dirección de origen de los paquetes, luego de que hayan sido switcheados desde la parte interna de la red hacia la externa, a través del equipo de capa 3.

- Outside global address: Es la dirección de destino de los paquetes, luego de que hayan sido switcheados desde la parte interna de la red hacia la externa, a través del equipo de capa 3.

Siendo así podemos claramente entender que, en el camino de vuelta, es decir, cuando el paquete se origina en la parte externa de la red la situación no cambia. Mientras aun reside en la parte externa, la dirección de destino del paquete corresponde con el inside global address, mientras que la de origen es la outside global address. Una vez que el paquete fue switcheado desde la parte externa a la parte interna, la dirección de destino corresponde al inside local address, mientras que la de origen la outside local address. En el siguiente gráfico se aclaran estas ideas:

De todo lo anterior se desprende la necesidad de que cuando vayamos a configurar correctamente el NAT, definamos claramente que parte de la red es la que será la porción Interna, y cual será la porción externa. Noten por favor que aún no hablamos de la traducción de una IP a otra, o que IP o rangos de IPs vamos a usar para el enmascaramiento. Solo deseamos resaltar que tiene que quedar muy claro cuál es el segmento de red que debe comportarse como la parte interna y cual debe ser el segmento de la parte externa.

Continuá leyendo la Parte II

Bienvenidos!

2011-09-07T13:50:00.000-07:00

Bienvenidos a Cisco Networking Notes!

Este blog ha sido pensado y redactado para proveer información novedosa y detallada acerca de diferentes tecnologías relacionadas al mundo del networking, y especialmente enfocadas en la línea de productos de Cisco Systems, en los cuáles tengo más experiencia.

Gran parte de la información aquí publicada formará parte de mis apuntes personales en mi proceso de preparación y certificación de los exámenes de Cisco. Además facilitaré algunos ejemplos de configuración no comunes, los cuáles han sido desarrollados e implementados para redes de empresas de diverso porte y de requerimientos diferentes.

También proveeremos información útil para aquellos estudiantes que deseen reforzar sus conocimientos en el área de Administración de Redes LAN y WAN, considerando especialmente algunos ejercicios prácticos para aquellos que deseen hacer uso de herramientas de simulación, como lo es el Packet Tracer.

Ocasionalmente facilitaremos materiales de estudio y consulta, por lo que si desean algo en particular, por favor no duden en hacérmelo saber.

Esperando que este blog les sea de provecho a todos, sin importar su nivel de conocimiento del tema, aprovecho para desearles el mayor de los éxitos en sus empredimientos personales.

Atentamente,

Marcelo.