Seguridad de puertos en el conmutador de acceso

La seguridad de puertos no identifica a nadie: cuenta direcciones MAC. Se fija un máximo por puerto, se declara qué direcciones se aceptan (pegadas a mano o aprendidas y conservadas, lo que algunos fabricantes llaman sticky) y se elige qué hacer cuando aparece una dirección que supera el máximo. Los fabricantes de campus ofrecen tres respuestas:

• apagar el puerto (queda en un estado de error y hay que reactivarlo): es lo más estricto y también lo que más llamadas de soporte genera;
• restringir: se descartan las tramas de la dirección de más, se escribe un aviso y el contador de violaciones sube, pero el puerto sigue sirviendo a quien sí estaba autorizado;
• proteger: se descartan esas tramas sin aviso y sin contador.

Un control que actúa sin dejar rastro no se puede revisar después: nadie sabe si alguien lo intentó.

Abre el laboratorio. En el escritorio hay una carpeta con la configuración del conmutador del piso 2, el estado de la seguridad de puertos y el inventario de tomas. Empieza por lo más simple: qué puertos de acceso no tienen seguridad de puertos. Una toma activa sin ningún límite deja que alguien conecte lo que quiera, y que lo conecte sin que quede constancia.

cat /sw-acc-p2/config.txt
grep -c "port-security maximum" /sw-acc-p2/config.txt

Una toma apagada y aparcada en una VLAN sin uso, o un enlace entre conmutadores, no cuentan como hallazgo: allí no hay una persona que enchufe nada.

Ahora revisa el modo de violación de cada puerto. En el estado acumulado, la columna contador cuenta violaciones; pero un contador en cero tiene dos explicaciones muy distintas: que nadie lo intentó, o que el modo elegido no cuenta nada. Para distinguirlas hay que mirar la configuración y no solo el contador.

grep -n "violation" /sw-acc-p2/config.txt

Un puerto con el modo más estricto se apagó por una violación. Eso es el control funcionando, pero también es una señal: o alguien intentó conectar algo, o el límite no corresponde a lo que la toma de verdad usa. Una persona de soporte lo reactiva y no se escribe nada. Antes de reactivarlo, el contador dice cuántas veces ha ocurrido.

Busca en el estado acumulado el puerto cuyo estado indica que se apagó por seguridad.

cat /sw-acc-p2/puertos-seguros.txt

El máximo de direcciones debe salir de lo que la toma necesita, no de lo que no moleste a nadie. El inventario de tomas dice cuántos equipos debe haber en cada una; la configuración dice cuántos permite el puerto. La diferencia es margen que nadie justificó: en una toma de oficina, ese margen son direcciones MAC que puede usar otro equipo, un conmutador pequeño detrás o una máquina virtual.

Compara el máximo configurado con equipos_autorizados y quédate con el mayor exceso.

cat /sw-acc-p2/tomas.txt