Curso de CCNP
Desde el día de mañana hasta el miércoles inclusive me encontraré haciendo un curso intensivo de CCNP, el correspondiente a ROUTE 642-902. Dicho curso abarca los siguientes temas:
- Planificación, diseño, implementación y verificación del ruteo en una red.
- EIGRP.
- OSPF multiárea.
- Redistribución en protocolos IGP.
- Ruteo basado en políticas e IP SLA.
- BGP.
- Conectividad de oficinas y trabajadores remotos.
- IPv6: fundamentos, funcionamiento, protocolos de ruteo y coexistencia con redes IPv4.
La metodología del curso es la misma que las de los CCNA aunque el material de trabajo ya no es en línea sino que se utiliza un libro. Al momento he tenido que leer todo el contenido y los temas me han resultado muy interesantes, veré sobre qué se trabaja en estos tres días de curso. Lo bueno es que probablemente, basado en el aprendizaje que obtenga, habrá algún post referido a alguno de los temas del curso.
Tipos de NAT y configuración en Cisco
Existen básicamente tres modos de funcionamiento de NAT que son los que explicaré a continuación.
NAT estático
Consiste básicamente en un tipo de NAT en el cuál se mapea una dirección IP privada con una dirección IP pública de forma estática. De esta manera, cada equipo en la red privada debe tener su correspondiente IP pública asignada para poder acceder a Internet. La principal desventaja de este esquema es que por cada equipo que se desee tenga acceso a Internet se debe contratar una IP pública. Además, es posible que haya direcciones IP públicas sin usar (porque los equipos que las tienen asignadas están apagados, por ejemplo), mientras que hay equipos que no puedan tener acceso a Internet (porque no tienen ninguna IP pública mapeada). Para configurar este tipo de NAT en Cisco nos valemos de los siguientes comandos, donde se ve que el equipo con IP 192.168.1.6 conectado por medio de la interfaz fastEthernet 0/0 será nateado con la IP pública 200.41.58.112 por medio de la interfaz de salida serial 0/0.
Router(config)# ip nat inside source static 192.168.1.6 200.41.58.112 Router(config)# interface fastEthernet 0/0 Router(config-if)# ip nat inside Router(config)# interface serial 0/0 Router(config-if)# ip nat outside
NAT dinámico
Este tipo de NAT pretende mejorar varios aspectos del NAT estático dado que utiliza un pool de IPs públicas para un pool de IPs privadas que serán mapeadas de forma dinámica y a demanda. La ventaja de este esquema es que si se tienen por ejemplo 5 IPs públicas y 10 máquinas en la red privada, las primeras 5 máquinas en conectarse tendrán acceso a Internet. Si suponemos que no más de 5 máquinas estarán encendidas de forma simultánea nos garantiza que todas las máquinas de nuestra red privada tendrán salida a Internet eventualmente. Para configurar este tipo de NAT definimos el pool de IPs públicas disponibles y el rango de direcciones privadas que deseamos que sean nateadas.
En el siguiente ejemplo se cuenta con las direcciones IPs públicas desde la 163.10.90.2 a la 163.10.90.6 y la subred privada 192.168.1.0/24.
Router(config)# ip nat pool name DIR_NAT_GLOB 163.10.90.2 163.10.90.6 netmask 255.255.255.240 Router(config)# access-list 10 permit 192.168.1.0 0.0.0.255 Router(config)# ip nat inside source list 10 pool DIR_NAT_GLOB Router(config)# interface fastEthernet 0/0 Router(config-if)# ip nat inside Router(config)# interface serial 0/0 Router(config-if)# ip nat outside
NAT con sobrecarga
El caso de NAT con sobrecarga o PAT (Port Address Translation) es el más común de todos y el más usado en los hogares. Consiste en utilizar una única dirección IP pública para mapear múltiples direcciones IPs privadas. Las ventajas que brinda tienen dos enfoques: por un lado, el cliente necesita contratar una sola dirección IP pública para que las máquinas de su red tengan acceso a Internet, lo que supone un importante ahorro económico; por otro lado se ahorra un número importante de IPs públicas, lo que demora el agotamiento de las mismas.
La pregunta casi obvia es cómo puede ser que con una única dirección IP pública se mapeen múltiples IPs privadas. Bien, como su nombre lo indica, PAT hace uso de múltiples puertos para manejar las conexiones de cada host interno. Veamos esto con el siguiente ejemplo:
La PCA quiere acceder a www.netstorming.com.ar. El socket está formado por:
- IP origen: PCA.
- Puerto origen: X.
- IP destino: www.netstorming.com.ar.
- Puerto destino: 80.
Al llegar el requierimiento anterior al router que hace PAT, el mismo modifica dicha información por la siguiente:
- IP origen: router.
- Puerto origen: Y.
- IP destino: www.netstorming.com.ar.
- Puerto destino: 80.
Además, el router arma una tabla que le permite saber a qué máquina de la red interna debe dirigir la respuesta. De esta manera, cuando recibe un segmente desde el puerto 80 de www.netstorming.com.ar dirigido al puerto Y del router, este sabe que debe redirigir dicha información al puerto X de la PCA.
La forma de configurar NAT con sobrecarga es la siguiente.
Router(config)# access-list 10 permit ip 192.168.1.0 0.0.0.255 Router(config)# ip nat inside source list 10 interface serial 0/0 overload Router(config)# interface fastEthernet 0/0 Router(config-if)# ip nat inside Router(config)# interface serial 0/0 Router(config-if)# ip nat outside
Retomando el ritmo
La semana pasada completé la capacitación de instructores de CCNA 4 Exploration (Accesing the WAN) y de CCNA Security. Ahora toca retomar el ritmo aquí en el blog ya que los últimos días se tornó un poco difícil escribir. Tengo pensado varios posts relacionados a temas que se vieron en la capacitación y los estaré publicando ni bien los tenga preparados. También acepto sugerencias sobre nuevos temas de interés para tratar en futuros posts.
Configuración básica de DHCP en Cisco
En un post anterior he explicado en qué consiste el protocolo DHCP. En esta oportunidad la intención es mostrar la configuración de DHCP básico en un router Cisco.
Se asume un router conectado a un switch al que además se conectan dos PCs. Se le indicará al router que brinde direcciones IP de la red 192.168.10.0/24, les indique a los hosts que la ruta por defecto es la 192.168.10.1 y que no asigne la 192.168.10.10, dado que utilizaremos dicha IP para un servidor.
Router(config)# ip dhcp pool LAN_pool Router(dhcp-config)# network 192.168.10.0 255.255.255.0 Router(dhcp-config)# default-router 192.168.10.1 Router(dhcp-config)# dns-server 192.168.10.2 Router(dhcp-config)# exit Router(config)# ip dhcp excluded-address 192.168.10.1 192.168.10.10
Ahora bien, para asegurarse que el DHCP está funcionando correctamente es posible consultar las direcciones IP asignadas con el siguiente comando:
Router# show ip dhcp binding
IP address Client-ID/ Lease expiration Type
Hardware address
192.168.10.2 0060.472D.E92B -- Automatic
192.168.10.3 00E0.8F03.BC37 -- Automatic
PPP con autenticación CHAP en Cisco
En este post explicaré cómo utilizar CHAP en PPP para realizar la autenticación. La configuración la llevaré a cabo con la CLI de Cisco. Recomiendo leer antes el post que explica el proceso de autenticación chap donde se detalla cómo se lleva a cabo este tipo de autenticación y el que explica cómo configurar PPP en un equipo Cisco, ya que se continúa con la topología y los comandos descriptos en él (lógicamente, sin la configuración de PAP).
Configuración CHAP
LaPlata# configure terminal LaPlata(config)# username BuenosAires password 1234 LaPlata(config)# interface serial 0/0/0 LaPlata(config-if)# ppp authentication chap
BuenosAires# configure terminal BuenosAires(config)# username LaPlata password 1234
Los comandos anteriores nos dejan ante el siguiente escenario:
- La autenticación es unidireccional, donde LaPlata es el autenticador y BuenosAires el autenticante.
- El nombre de usuario que se define en un equipo debe coincidir con el hostname del equipo que autenticará contra él.
- La contraseña debe ser la misma en ambos equipos.
Para lograr una autenticación bidireccional sólo basta con agregar la línea ppp authentication chap a la interfaz serial 0/0/0 en BuenosAires.
BuenosAires# configure terminal BuenosAires(config)# interface serial 0/0/0 BuenosAires(config-if)# ppp authentication chap
