DHCP snooping e inspección de ARP, leídos en la configuración

Con DHCP snooping, el conmutador clasifica cada puerto como de confianza o no confiable. Solo por los de confianza se aceptan respuestas de un servidor DHCP; por los demás, esas respuestas se descartan. De confianza deben ser únicamente los puertos que llevan hacia el servidor DHCP legítimo, es decir, normalmente el enlace hacia el núcleo. Además, el conmutador va construyendo una base de enlaces: qué IP y qué MAC corresponden a qué puerto y a qué VLAN.

La inspección dinámica de ARP, DAI, consulta esa base para decidir si una respuesta ARP es creíble. Un puerto de confianza se salta la validación: lo que entre por él no se contrasta con nada.

Abre el laboratorio. Dos líneas de configuración global dicen en qué VLAN trabajan los controles: ip dhcp snooping vlan ... y ip arp inspection vlan .... Es frecuente que la primera se complete y la segunda quede a medias, porque snooping se enciende para «ver qué pasa» y la inspección de ARP se pospone por miedo a cortar equipos con dirección fija.

El archivo vlans.txt resume el resultado por VLAN. Una VLAN que construye la base pero no la consulta es un control a medias: ya se pagó el coste de tenerlo, y falta la mitad útil.

cat /sw-acc-p3/vlans.txt
grep -n "inspection vlan\|snooping vlan" /sw-acc-p3/config.txt

Revisa ahora los puertos uno por uno. Los de equipos de usuario llevan un límite de peticiones DHCP por segundo y ninguna marca de confianza. El enlace hacia el núcleo, en cambio, sí es de confianza. Lo que hay que encontrar es un puerto de usuario con la marca puesta: casi siempre es un arreglo que alguien hizo para resolver un problema puntual y que nadie revirtió.

grep -n "trust" /sw-acc-p3/config.txt

La base de enlaces se llena sola con los equipos que piden dirección por DHCP. Un equipo con dirección fija no pide nada, así que no aparece: si la VLAN tiene inspección de ARP, lo que ese equipo envíe se descarta porque no hay con qué compararlo, salvo que alguien le haya creado una entrada estática. La lista de TI de equipos con dirección fija es la referencia.

Compara ip-fijas.txt con las entradas de tipo estático de enlaces.txt.

cat /sw-acc-p3/ip-fijas.txt
cat /sw-acc-p3/enlaces.txt

El registro de la inspección de ARP muestra descartes con su motivo. Hay dos tipos que se leen distinto: «sin enlace», que casi siempre es un equipo legítimo al que le falta una entrada, y «mac no coincide con el enlace», que pide mirar el puerto con más cuidado. Quien lee el registro debe separar las dos cosas antes de recomendar nada; pedir que se investigue a un equipo que solo estaba sin dar de alta es un falso positivo escrito en un informe.

Cuenta los descartes por falta de enlace de la mañana y relaciona el puerto con el equipo de la tarea anterior.

cat /sw-acc-p3/registro-dai.txt
grep -c "sin enlace" /sw-acc-p3/registro-dai.txt