Los controles que lo detectan y lo frenan

DHCP snooping hace dos cosas en el conmutador: solo deja pasar ofertas DHCP que vengan de puertos marcados como de confianza (el enlace hacia el servidor autorizado), y va construyendo una base de enlaces que recuerda qué dirección IP y qué MAC tiene el equipo de cada puerto. La inspección dinámica de ARP, DAI, intercepta las respuestas ARP de los puertos no confiables y las compara con esa base: si no cuadran, las descarta y las registra. Eso la hace depender de snooping: sin base de enlaces, DAI no tiene con qué comparar.

Hay dos precisiones que valen para el informe. Un puerto marcado de confianza se salta la validación, de modo que solo deben serlo los enlaces entre conmutadores. Y las direcciones fijas necesitan su propia entrada o se descartan como si fueran un ataque.

Abre el laboratorio y mira qué tiene encendido cada VLAN. La de servidores lo tiene todo; la de invitados, nada, lo que es coherente si está aislada y solo da salida a internet. La que hay que mirar con cuidado es la de oficina: es donde están los puestos de usuario y, según la prueba de la sala 1, donde se suplantó la puerta de enlace.

Un control a medias es un hallazgo de calidad: DHCP snooping construye la base de enlaces y nadie la consulta. El hallazgo es concreto y la recomendación es barata, porque la base ya existe.

La configuración de los puertos de la oficina distingue entre puertos de equipos de usuario (no confiables, con un límite de paquetes ARP por segundo) y el enlace hacia otro conmutador (confiable). Un descuido que aparece al revisar configuraciones es dejar un puerto de usuario marcado de confianza: se cambió para resolver un problema puntual y nadie lo revirtió. Un puerto así pasa sin validación todo lo que envíe y, además, no tiene límite.

No es un fallo del conmutador sino de la revisión de su configuración, y se encuentra leyéndola con el criterio de qué puerto debería ser confiable y cuál no.

El registro de DAI del centro de datos (VLAN 10, donde sí está activo) muestra la otra cara: seis respuestas ARP seguidas, una cada dos segundos, desde un mismo puerto, que afirman que el servidor DNS está en otra MAC; y un descarte aislado de otro puerto. Son dos cosas distintas: la primera es lo que se ve cuando alguien lo intenta y el control lo frena; la segunda, un servidor con dirección fija que nadie dio de alta en la base.

Un buen informe hace las dos lecturas. La primera pide investigar el puerto; la segunda, corregir la base. Pedir que se investigue al servidor sería un falso positivo escrito en un documento.

Hasta aquí los controles actúan sobre lo que dicen los equipos que ya están conectados. Hay otra pregunta anterior: quién puede conectarse. El estándar de control de acceso por puerto de IEEE (el número de la norma es el que aparece en la tabla) hace que un equipo se autentique antes de que el puerto le deje pasar tráfico. No impide lo que haga un equipo autenticado dentro de su segmento, pero cierra la entrada al desconocido que enchufa un cable en una sala libre.

La tabla de controles del laboratorio resume qué frena o delata cada uno y qué deja sin cubrir. Una recomendación bien escrita elige el control por lo que cubre, no por lo conocido que sea.