O port security é uma funcionalidade de camada 2 que impõe limites para o número de endereços MAC permitidos (aprendidos) por uma determinada porta do switch e faz o registro dos endereços MAC válidos para aquela interface, de maneira estática ou dinâmica.
A feature port security permite o aprendizado dinâmico de endereços MAC vinculados a uma determinada interface Ethernet de um host para fins de segurança, não permitindo que outros dispositivos funcionem naquela interface; ou que aquele endereço MAC registrado funcione em outra porta. Se a condição não for satisfeita (a utilização do MAC correto), a porta entrará em estado de violação e não trafegará dados. A endereço MAC fica registrado na configuração da porta junto com o comando port security.
O TBrecci nos enviou uma dica para desconectar um usuário travado em uma conexão SSH durante o ajuste do AAA. O procedimento pode ser utilizado em qualquer outra situação.
“A história era que estava tentando aplicar o TACACS no equipamento. Para isso, criei um outro domain, me conectei por ele, para somente assim alterar a autenthicação do domain system. Porém o bichinho reclamava quando tem alguém conectado no outro domain, e não deixava fazer a modificação.“
Neste caso, era a minha propria conexão de outro Putty que estava impedindo.
No exemplo abaixo o usuário netwsuporte estava travado na VTY 0
[Switch]display users
The user application information of the user interface(s):
Idx UI Delay Type Userlevel
20 VTY 0 00:22:16 SSH 3
+ 21 VTY 1 00:00:00 SSH 3
Following are more details.
VTY 0 :
User name: netwsuporte
Location: 192.168.219.62
VTY 1 :
User name: tbrecci@empresa
Location: 192.168.219.62
+ : Current operation user.
F : Current operation user work in async mode.
[Switch]
Abaixo a desconexão do usuário conectado na VTY 0
<Switch> free user-interface vty 0
Are you sure to free user-interface vty0? [Y/N]:y
[OK]
<Switch> display users
The user application information of the user interface(s):
Idx UI Delay Type Userlevel
+ 21 VTY 1 00:00:00 SSH 3
Following are more details.
VTY 1 :
User name: tbrecci@empresa
Location: 192.168.219.62+
: Current operation user.
F : Current operation user work in async mode.
<Switch>
Os ataques ao protocolo STP geralmente têm como objetivo assumir a identidade do switch root da rede, ocasionando assim cenários de indisponibilidade na rede. Programas como o Yersinia permitem gerar esse tipo de ataque. Há também cenários em que usuários adicionam switches não gerenciados e hubs (propositadamente ou não) com o intuito de fornecer mais pontos de rede em ambientes que deveriam ser controlados.
Funcionalidades comentadas no video para mitigar os ataques ao STP, são: Root Protection (Root Guard), BPDU Protection (BPDU guard) com STP edged-port (portfast) e loop protection (loop guard).
Em cenários que Switches que são gerenciados por ferramentas de monitoração (como o HP IMC ou qualquer NMS), as vezes é necessário testar as mensagens de traps SNMP e SYSLOG para validar as configurações do equipamento e a rede entre os dispositivos.
Com os comandos abaixo é possível gerar traps e logs de teste em alguns Switches HP, que rodam o Comware5.
Teste de traps SNMP
Digite o comando ‘hidden’ no modo system-view e execute o comando _test
Obs: tenha bastante cautela ao executar os comandos liberados com o ‘_hidecmd’. Após digitar o comando é gerado um warning avisando que o uso incorreto poderá afetar a operação dos serviços no equipamento. Use em equipamentos fora de produção.
<HP>system-view
System View: return to User View with Ctrl+Z.
[HP] _hidecmd
Now you enter a hidden command view for developer's testing, some commands may
affect operation by wrong use, please carefully use it with our engineer's
direction.
[HP-hidecmd] _test trap
Test trap have Sended!
#Nov 9 22:34:29:593 2014 HP DEVM/1/BOARD INSERTED:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.9: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:613 2014 HP DEVM/1/BOARD REMOVED:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.8: chassisIndex is 0, slotIndex 0.
#Nov 9 22:34:29:633 2014 HP DEVM/1/BOARD STATE CHANGES TO NORMAL:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.11: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:653 2014 HP DEVM/1/BOARD STATE CHANGES TO FAILURE:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.10: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:674 2014 HP DEVM/1/BOARD TEMPERATURE NORMAL:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.15: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:694 2014 HP DEVM/1/BOARD TEMPERATURE LOWER:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.14: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:714 2014 HP DEVM/1/BOARD TEMPERATURE UPPER:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.16: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:735 2014 HP DEVM/1/BOARD REQUEST LOADING:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.18: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:755 2014 HP DEVM/1/LOAD FAILURE:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.19: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:775 2014 HP DEVM/1/LOAD FINISHED:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.20: chassisIndex is 0, slotIndex 0.4
#Nov 9 22:34:29:796 2014 HP DEVM/1/SUB CARD INSERTED:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.13: chassisIndex is 0, slotIndex 0.0, subslotIndex 0.0.1
#Nov 9 22:34:29:816 2014 HP DEVM/1/SUB CARD REMOVED:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.12: chassisIndex is 0, slotIndex 0.0, subslotIndex 0.0.1
#Nov 9 22:34:29:836 2014 HP DEVM/1/FAN STATE CHANGES TO FAILURE:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.6: fan ID is 1
#Nov 9 22:34:29:856 2014 HP DEVM/1/FAN STATE CHANGES TO NORMAL:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.7: fan ID is 1
#Nov 9 22:34:29:877 2014 HP DEVM/1/POWER STATE CHANGES TO FAILURE:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.1: power ID is 1
#Nov 9 22:34:29:897 2014 HP DEVM/1/POWER STATE CHANGES TO NORMAL:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.2: power ID is 1
#Nov 9 22:34:29:917 2014 HP DEVM/1/MASTER POWER CHANGES TO NORMAL:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.3: power ID is 1
#Nov 9 22:34:29:937 2014 HP DEVM/1/SLAVE POWER CHANGES TO NORMAL:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.4: power ID is 1
#Nov 9 22:34:29:958 2014 HP DEVM/1/POWER INSERT:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.23: power ID is 1
#Nov 9 22:34:29:978 2014 HP DEVM/1/POWER REMOVED:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.5: power ID is 1
#Nov 9 22:34:29:999 2014 HP DEVM/1/BOARD TEMPERATURE NORMAL:
Trap 1.3.6.1.4.1.11.2.14.11.15.8.35.12.1.17: chassisIndex is 4294967295, slotIndex 4294967295.429496729
#Nov 9 22:34:30:019 2014 HP DEVM/4/SYSTEM COLD START:
Trap 1.3.6.1.4.1.11.2.14.11.15.6.8.4: system cold start.
#Nov 9 22:34:30:039 2014 HP DEVM/4/SYSTEM WARM START:
Trap 1.3.6.1.4.1.11.2.14.11.15.6.8.5: system warm start.
#Nov 9 22:34:30:059 2014 HP DEVM/1/REBOOT:
Reboot device by command.
Testando as mensagens de syslog
[HP-hidecmd]_test log [HP-hidecmd] %Nov 9 22:34:37:632 2014 HP DEVM/5/SYSTEM_REBOOT: System is rebooting now. %Nov 9 22:34:37:642 2014 HP DEVM/5/BOARD_REBOOT: Board is rebooting on Chassis 0 Slot 1. %Nov 9 22:34:37:652 2014 HP DEVM/5/SUBCARD_REBOOT: SubCard is rebooting on Chassis 0 Slot 1 SubSlot 1. %Nov 9 22:34:37:662 2014 HP DEVM/5/BOARD_STATE_NORMAL: Board state changes to NORMAL on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:37:683 2014 HP DEVM/2/BOARD_STATE_FAULT: Board state changes to FAULT on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:37:703 2014 HP DEVM/3/BOARD_REMOVED: Board is removed from Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:37:723 2014 HP DEVM/4/SUBCARD_INSERTED: SubCard is inserted in Chassis 0 Slot 1 SubSlot 1, type is OnlyTest. %Nov 9 22:34:37:743 2014 HP DEVM/3/SUBCARD_REMOVED: SubCard is removed from Chassis 0 Slot 1 SubSlot 1, type is OnlyTest. %Nov 9 22:34:37:764 2014 HP DEVM/2/SUBCARD_FAULT: SubCard state changes to FAULT on Chassis 0 slot 1 SubSlot 1, type is OnlyTest. %Nov 9 22:34:37:784 2014 HP DEVM/5/FAN_RECOVERED: Fan 1 recovered. %Nov 9 22:34:37:794 2014 HP DEVM/2/FAN_FAILED: Fan 1 failed. %Nov 9 22:34:37:804 2014 HP DEVM/3/FAN_ABSENT: Fan 1 is absent. %Nov 9 22:34:37:814 2014 HP DEVM/5/POWER_RECOVERED: Power OnlyTest recovered. %Nov 9 22:34:37:825 2014 HP DEVM/5/MPOWER_RECOVERED: Master power recovered. %Nov 9 22:34:37:835 2014 HP DEVM/5/SPOWER_RECOVERED: Slave power recovered. %Nov 9 22:34:37:845 2014 HP DEVM/2/POWER_FAILED: Power OnlyTest failed. %Nov 9 22:34:37:855 2014 HP DEVM/3/POWER_ABSENT: Power OnlyTest is absent. %Nov 9 22:34:37:866 2014 HP DEVM/5/BOARD_TEMP_NORMAL: Board temperature changes to normal on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:37:886 2014 HP DEVM/4/BOARD_TEMP_TOOLOW: Board temperature is too low on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:37:906 2014 HP DEVM/4/BOARD_TEMP_TOOHIGH: Board temperature is too high on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:37:926 2014 HP DEVM/5/RPS_NORMAL: RPS 1 is normal. %Nov 9 22:34:37:937 2014 HP DEVM/3/RPS_ABSENT: RPS 1 is absent. %Nov 9 22:34:37:947 2014 HP DEVM/4/CFCARD_INSERTED: Compact Flash Card is inserted in Chassis 0 Slot 1 Compact Flash Slot 1. %Nov 9 22:34:37:967 2014 HP DEVM/3/CFCARD_REMOVED: Compact Flash Card is removed from Chassis 0 Slot 1 Compact Flash Slot 1. %Nov 9 22:34:37:987 2014 HP DEVM/5/BOARD_CURRENT_NORMAL: Board current changes to normal on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:38:008 2014 HP DEVM/4/BOARD_CURRENT_TOOSMALL: Board current is too small on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:38:028 2014 HP DEVM/4/BOARD_CURRENT_TOOBIG: Board current is too big on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:38:048 2014 HP DEVM/5/BOARD_VOLTAGE_NORMAL: Board voltage changes to normal on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:38:068 2014 HP DEVM/4/BOARD_VOLTAGE_TOOLOW: Board voltage is too low on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:38:089 2014 HP DEVM/4/BOARD_VOLTAGE_TOOHIGH: Board voltage is too high on Chassis 0 Slot 1, type is OnlyTest. %Nov 9 22:34:38:109 2014 HP DEVM/3/LOAD_NOMEMORY: Chassis 0 Slot 1 has not enough memory to load file. %Nov 9 22:34:38:119 2014 HP DEVM/3/LOAD_REQUEST_ILLEGAL: The loading request of Chassis 0 Slot 1 is invalid, please check the bootrom version. %Nov 9 22:34:38:139 2014 HP DEVM/4/BOARD_LOADING: Board is loading file on Chassis 0 Slot 1. %Nov 9 22:34:38:150 2014 HP DEVM/3/LOAD_FAILED: Board failed to load file on Chassis 0 Slot 1. %Nov 9 22:34:38:160 2014 HP DEVM/5/LOAD_FINISHED: Board has finished loading file on Chassis 0 Slot 1. %Nov 9 22:34:38:170 2014 HP DEVM/3/LOAD_READ_FILE_FAILED: Driver failed to read file. %Nov 9 22:34:38:180 2014 HP DEVM/4/BOARD_START_FROM_SELF_SYSTEM: Chassis 0 Slot 1 starts from self file system. %Nov 9 22:34:38:200 2014 HP DEVM/3/LOAD_OPEN_FILE_FAILED: Cannot open the file, Chassis 0 Slot 1 will request load again! %Nov 9 22:34:38:221 2014 HP DEVM/4/LOAD_TOO_MANY_RESEND: Too many resent frames, Chassis 0 Slot 1 will request load again. %Nov 9 22:34:38:241 2014 HP DEVM/4/LOAD_TOO_MANY_INVALID: Too many invalid frames, Chassis 0 Slot 1 will request load again. %Nov 9 22:34:38:261 2014 HP DEVM/4/LOAD_CHECKSUM_ERROR: Checksum error, Chassis 0 Slot 1 will request load again. %Nov 9 22:34:38:281 2014 HP DEVM/5/CHASSIS_REBOOT: Chassis 0 is reboot now. [HP-hidecmd] [HP-hidecmd] [HP-hidecmd]quit [HP]
Alguns equipamentos baseados no Comware 7 como Roteadores MSR, HSR e Switches HP, permitem a configuração das suas portas no modo L2 (bridge) e L3 (route). Nesse video explicamos a diferença de cada um dos modos, como também a configuração de Sub-interfaces, interfaces VLAN e Route-Aggregation.
Galera, quando configuramos o port-security em uma interface Ethernet de um Switch, aquela porta aprenderá o endereço MAC da máquina conectada e não permitirá que outra máquina funcione naquela porta (caso você tenha configurado o aprendizado de apenas um endereço MAC).
Uma vez aprendido o endereço MAC de um host, este não poderá conectar-se em outra porta caso o port-security esteja habilitado.
Logo abaixo segue o exemplo de configuração de um Switch HP 1910 com a porta configurada com port-security:
Mas há cenários que é preciso trocar uma máquina queimada ou por qualquer outro motivo. Nesse caso ao conectarmos a nova placa de rede ao Switch aparecerá a seguinte mensagem gerada de log, alertando sobre a impossibilidade de comunicação do novo host:
[HP\v1910_SW04]
#Apr 27 07:14:21:820 2000 HP\v1910_SW04 IFNET/4/INTERFACE UPDOWN:
Trap 1.3.6.1.6.3.1.1.5.4: Interface 9437191 is Up, ifAdminStatus is 1, ifOperStatus is 1
#Apr 27 07:14:22:025 2000 HP\v1910_SW04 MSTP/1/PFWD:
Trap 1.3.6.1.4.1.25506.8.35.14.0.1: Instance 0's Port 0.9437191 has been set to forwarding state!
%Apr 27 07:14:22:225 2000 HP\v1910_SW04 IFNET/3/LINK_UPDOWN: GigabitEthernet1/0/8 link status is UP.
%Apr 27 07:14:22:355 2000 HP\v1910_SW04 MSTP/6/MSTP_FORWARDING: Instance 0's port GigabitEthernet1/0/8 has been set to forwarding state.
%Apr 27 07:14:22:535 2000 HP\v1910_SW04 PORTSEC/5/PORTSEC_VIOLATION: -IfName=GigabitEthernet1/0/8-MACAddr=00:90:DC:05:E9:4F-VlanId=-1-IfStatus=Up; Intrusion detected.
%Apr 27 07:14:23:270 2000 HP\v1910_SW04 PORTSEC/5/PORTSEC_VIOLATION: -IfName=GigabitEthernet1/0/8-MACAddr=00:90:DC:05:E9:4F-VlanId=-1-IfStatus=Up; Intrusion detected.
Trocando o endereço MAC
Para resolver essa questão, desconecte o novo host do Switch para cessar a mensagem de log. Já para remoção do endereço basta copiar a linha que contem o endereço MAC.
Durante o processo de boot de um Switch HP / 3Com / H3C, a imagem do Switch (Sistema Operacional [Comware]) e o arquivo de configuração são copiados da memória Flash para a memória RAM. As vezes durante a manipulação dos arquivos da Flash, acidentalmente podemos deletar algum desses arquivos que não afetarão o funcionamento do Switch imediatamente enquanto o mesmo estiver ligado, mas quando ocorre novamente o processo de boot de um Switch (após reiniciar o equipamento por exemplo), o Switch não encontrará os arquivos do Cowmare e ficará em loop no processo de boot (o mesmo pode ocorrer se a imagem estiver corrompida).
Quando acontecer esse tipo de acidente, tente executar o procedimento abaixo:
Primeiro, se você não tiver a cópia da imagem que foi apagada em algum outro lugar da flash ou repositório, tente baixar no site da HP alguma versão mais atualizada do Comware para o Switch citado.
Segundo, como o processo de boot fica em loop sem a imagem principal, digite Crtl + B para cair no Boot menu (…quando o Switch solicitar)
1. Download application file to flash
2. Select application file to boot
3. Display all files in flash
4. Delete file from flash
5. Modify BootRom password
6. Enter BootRom upgrade menu
7. Skip current system configuration
8. Set BootRom password recovery
9. Set switch startup mode
0. Reboot
faça o Download da nova imagem no equipamento com a opção 1; depois atualize o arquivo que o Switch irá chamar no boot com a opção 2 (você precisará de um programa FTP ou TFTP).
Se tiver algum arquivo para atualizar o bootrom (.btm), utilize o passo 6.
Dica
Os switches baseados no Comware utilizam as principais extensões abaixo:
• .bin ou .app : é a imagem do Switch, o Sistema Operacional do dispositivo • .cfg ou .def: são arquivos de texto contendo as configurações salvas • .web: pacote para administração do Switch por HTTP • .btm : arquivo do bootrom responsável pelo boot da Sistema Operacional
Nesse vídeo mostramos a configuração e logs dos Switches com a utilização do comando ‘BPDU-Protection’.
A feature edged-port (portfast) permite a interface saltar os estados Listening e Learning do Spanning-Tree Protocol (STP), colocando as portas imediatamente em estado Forwarding (Encaminhamento). A configuração do ‘stp edged-port enable’ força a interface a ignorar os estados de convergência do STP, incluindo as mensagens de notificação de mudança na topologia (mensagens TCN ).
A utilização da feature ‘edged-port’ com a configuração do comando ‘stp bpdu-protection’, protege as portas configuradas como edged-port de receberem BPDUs. Ao receber um BPDU a porta entrará em shutdown.
A feature VSF é a tecnologia responsável pelo empilhamento dos Switches ArubaOS-CX família 6200 e 6300 . Uma vez que a pilha VSF é formada, todos os switches interconectados operam como um único switch virtual, com um único plano de controle. Todas as interfaces e serviços de todos os switches da pilha VSF estarão disponíveis para configuração e gerenciamento.
A funcionalidade também permite a configuração do link-aggregation distribuído, abrangendo as interfaces de vários switches individuais dentro da pilha para a formação da agregação de portas.
A configuração do VSF é bem simples e está disponível no ArubaOS-CX na versão 10.04 ou superior. Todos os membros devem rodar a mesma versão do OS-CX.
Os switches 6200 e 6300 não podem formar o VSF entre si, mas diferente modelos de switches 6300 podem formar o stack VSF.
Para a formação de um link VSF deverão ser utilizadas as interfaces de 10Gbps , 25Gbps ou 50Gbps.
Configurando o VSF
Validando a formação do VSF
SW-Access1# show vsf
MAC Address : 64:e8:81:d8:ed:40
Secondary :
Topology : Chain
Status : No Split
Split Detection Method : None
Mbr Mac Address type Status
ID
--- ------------------- -------------- ---------------
1 64:e8:81:d8:ed:40 JL666A Master
2 64:e8:81:d9:b1:00 JL666A Member
SW-Access1# show vsf topology
Mstr
+---+ +---+
| 2 |1==1| 1 |
+---+ +---+
Configurando o secondary member
A pilha não terá um membro secundário por padrão. Um membro secundário pode ser configurado a partir de membros disponíveis e será atribuído a função de “master standy” na pilha. A funcionalidade permitirá definir qual switch assumirá a função de master, na falha do equipamento principal (o master).
Quando for configurado como secundário, um membro do stacking que já está presente na pilha será reinicializado e reintegrado à pilha como o standby.
Um membro já provisionado como standby pode ser configurado como um membro secundário. Quando o membro entrar no stacking, ele será inicializado na função de standby, sem nenhuma reinicialização adicional.
Se um membro secundário já estiver configurado e fisicamente presente na pilha e outro switch for iniciado já configurado como standby, a remoção do membro secundário anterior fará com que o ‘switch membro secundário anterior’ reinicie e entre como member.
Caso o master apresente problemas, o standby assumirá a função do master.
Abaixo, mostramos a continuidade da configuração acima, adicionando o switch 2 para a função de standby (com o stacking já formado e sem configuração de switch standby previamente) .
SW-AccessVSF(config)# show vsf
MAC Address : 64:e8:81:d8:ed:40
Secondary : 2
Topology : Chain
Status : No Split
Split Detection Method : None
Mbr Mac Address type Status
ID
--- ------------------- -------------- ---------------
1 64:e8:81:d8:ed:40 JL666A Master
2 64:e8:81:d9:b1:00 JL666A Standby
SW-AccessVSF(config)# show vsf topology
Stdby Mstr
+---+ +---+
| 2 |1==1| 1 |
+---+ +---+
Caso adicionemos mais switches a pilha, o Switch 1 continuará como master e o Switch 2 como standby na pilha VSF.
Referência
ArubaOS-CX Virtual Switching Framework (VSF) Guide 6200, 6300 Switch Series
COMUTADORES 