Seguridad de puertos: funcionamiento
Seguridad de puertos
Se deben proteger todos los puertos (interfaces) del switch antes de implementar el dispositivo para la producción. Una forma de proteger los puertos es mediante la implementación de una característica denominada “seguridad de puertos”. La seguridad de puerto limita la cantidad de direcciones MAC válidas permitidas en el puerto. Se permite el acceso a las direcciones MAC de los dispositivos legítimos, mientras que otras direcciones MAC se rechazan.
La seguridad de puertos se puede configurar para permitir una o más direcciones MAC. Si la cantidad de direcciones MAC permitidas en el puerto se limita a una, solo el dispositivo con esa dirección MAC específica puede conectarse correctamente al puerto.
Si se configura un puerto como seguro y se alcanza la cantidad máxima de direcciones MAC, cualquier intento adicional de conexión de las direcciones MAC desconocidas genera una violación de seguridad. En la figura 1, se resumen estos puntos.
Tipos de direcciones MAC seguras
Existen varias maneras de configurar la seguridad de puerto. El tipo de dirección segura se basa en la configuración e incluye lo siguiente:
- Direcciones MAC seguras estáticas: son direcciones MAC que se configuran manualmente en un puerto mediante el comando switchport port-security mac-address dirección-mac (comando del modo de configuración de interfaz) Las direcciones MAC configuradas de esta forma se almacenan en la tabla de direcciones y se agregan a la configuración en ejecución del switch.
- Direcciones MAC seguras dinámicas: son direcciones MAC detectadas dinámicamente y se almacenan solamente en la tabla de direcciones. Las direcciones MAC configuradas de esta manera se eliminan cuando el switch se reinicia.
- Direcciones MAC seguras persistentes: son direcciones MAC que pueden detectarse de forma dinámica o configurarse de forma manual, y que después se almacenan en la tabla de direcciones y se agregan a la configuración en ejecución.
Direcciones MAC seguras persistentes
Para configurar una interfaz a fin de convertir las direcciones MAC detectadas dinámicamente en direcciones MAC seguras persistentes y agregarlas a la configuración en ejecución, debe habilitar el aprendizaje por persistencia. El aprendizaje por persistencia se habilita en una interfaz mediante el comando switchport port-security mac-address sticky del modo de configuración de interfaz.
Cuando se introduce este comando, el switch convierte todas las direcciones MAC detectadas dinámicamente en direcciones MAC seguras persistentes, incluso las que se detectaron dinámicamente antes de que se habilitara el aprendizaje por persistencia. Todas las direcciones MAC seguras persistentes se agregan a la tabla de direcciones y a la configuración en ejecución.
Las direcciones MAC seguras persistentes también se pueden definir manualmente. Cuando se configuran las direcciones MAC seguras persistentes con el comando de configuración de interfaz switchport port-security mac-address sticky dirección-mac todas las direcciones especificadas se agregan a la tabla de direcciones y a la configuración en ejecución.
Si se guardan las direcciones MAC seguras persistentes en el archivo de configuración de inicio, cuando el switch se reinicia o la interfaz se desactiva, la interfaz no necesita volver a aprender las direcciones. Si no se guardan las direcciones seguras persistentes, estas se pierden.
Si se inhabilita el aprendizaje por persistencia mediante el comando no switchport port-security mac-address sticky del modo de configuración de interfaz, las direcciones MAC seguras persistentes siguen formando parte de la tabla de direcciones, pero se eliminan de la configuración en ejecución.
En la figura 2, se muestran las características de las direcciones MAC seguras persistentes.
Nota: La característica de seguridad de puertos no funciona hasta que se habilita la seguridad de puertos en la interfaz mediante el comando switchport port-security.