En este segundo bloque sobre enrutamiento seguiremos con el enrutamiento estático, para ello aquí os dejo los siguientes diseños.

• Actividad 1: Enrutamiento estático II
• Topología actividad 1:

• Actividad 2: Enrutamiento estático III
• Topología actividad 2:

• Actividad 3: Enrutamiento estático – Ruta por defecto
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: Enrutamiento estático II
• Link de descarga actividad 2: Enrutamiento estático III
• Link de descarga actividad 3: Enrutamiento estático – Ruta por defecto

Saludos y espero que os sea de ayuda

En las próximas entradas de networking vamos a ver los protocolos de enrutamiento en los routers Cisco, ya hemos visto algo referente a este tema en algunos post anteriores, pero quiero subir algunos ejemplos de diseños de redes con Packet Tracer, ya que para los estudiantes de CCNA les puede venir muy bien para prácticar.

En este primer bloque sobre enrutamiento veremos las reglas básicas, las conexiones directas y enrutamiento estático, para ello aquí os dejo los siguientes diseños.

• Actividad 1: Reglas de enrutamiento básico
• Topología actividad 1:

• Actividad 2: Conexiones directas
• Topología actividad 2:

• Actividad 3: Enrutamiento estático I
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: Reglas de enrutamiento básico
• Link de descarga actividad 2: Conexiones directas
• Link de descarga actividad 3: Enrutamiento estático I

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver la técnica NAT y los distintos tipos de NAT, que consiste en traducir direcciones IP, es decir, consiste en manipular los paquetes IPs y cambiar las direcciones IPs existentes por otras IPs, seguiremos con tres ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: PAT dinámica
• Topología actividad 1:

• Actividad 2: PAT dinámica – abrir puertos
• Topología actividad 2:

• Actividad 3: Caso práctico NAT
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: PAT dinámica
• Link de descarga actividad 2: PAT dinámica – abrir puertos
• Link de descarga actividad 3: Caso práctico NAT

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver la técnica NAT y los distintos tipos de NAT, que consiste en traducir direcciones IP, es decir, consiste en manipular los paquetes IPs y cambiar las direcciones IPs existentes por otras IPs, empezaremos con tres ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: NAT dinámica
• Topología actividad 1:

• Actividad 2: NAT estática
• Topología actividad 2:

• Actividad 3: PAT típica router ADSL
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: NAT dinámica
• Link de descarga actividad 2: NAT estática
• Link de descarga actividad 3: PAT típica router ADSL

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver como trabajar con switches de la compañía Cisco con 5 ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: VLAN Datos y VoIP
• Topología actividad 1:

• Actividad 2: Supuesto práctico sobre VLANs I
• Topología actividad 2:

• Actividad 3: Supuesto práctico sobre VLANs II
• Topología actividad 3:

• Actividad 4: VoIP
• Topología actividad 4:

• Actividad 5: Vlan Trunking Protocol – VTP
• Topología actividad 5:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: VLAN Datos y VoIP
• Link de descarga actividad 2: Supuesto práctico sobre VLANs I
• Link de descarga actividad 3: Supuesto práctico sobre VLANs II
• Link de descarga actividad 4: VoIP
• Link de descarga actividad 5: Vlan Trunking Protocol – VTP

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver como trabajar con switches de la compañía Cisco con 6 ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: Agregación de enlaces
• Topología actividad 1:

• Actividad 2: DHCP con VLANs
• Topología actividad 2:

• Actividad 3: Switch capa 3 y access point con router multifunción
• Topología actividad 3:

• Actividad 4: Spanning Tree Protocol – STP
• Topología actividad 4:

• Actividad 5: Switch capa 3 como router
• Topología actividad 5:

• Actividad 6: Supuesto práctico sobre VLANs
• Topología actividad 6:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: Agregación de enlaces
• Link de descarga actividad 2: DHCP con VLANs
• Link de descarga actividad 3: Switch capa 3 y access point con router multifunción
• Link de descarga actividad 4: Spanning Tree Protocol – STP
• Link de descarga actividad 5: Switch capa 3 como router
• Link de descarga actividad 6: Supuesto práctico sobre VLANs

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver los servicios IP con cinco ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: AAA (Authentication, Authorization and Accounting)
• Topología actividad 1:

• Actividad 2: CORREO
• Topología actividad 2:

• Actividad 3: DHCP
• Topología actividad 3:

• Actividad 4: DNS
• Topología actividad 4:

• Actividad 5: FTP
• Topología actividad 5:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: AAA
• Link de descarga actividad 2: CORREO
• Link de descarga actividad 3: DHCP
• Link de descarga actividad 4: DNS
• Link de descarga actividad 5: FTP

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs extendidas, voy a subir tres actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACL extendidas filtran los paquetes IP en función de varios atributos, como por ejemplo, tipo de protocolo, direcciones IP de origen, direcciones IP de destino, puertos TCP o UDP de origen, puertos TCP o UDP de destino e información opcional de tipo de protocolo para un control más exhasutivo.

• Actividad 9: Bloquear el acceso a Internet desde los servidores
• Topología actividad 9:

• Actividad 10: Bloquear el acceso cuando se inicia desde el exterior a la red 20.0.0.0/8
• Topología actividad 10:

• Actividad 11: Permitir el tráfico en las redes 20.0.0.0/8 y 40.0.0.0/8 cuando es originado en 30.0.0.0/8
• Topología actividad 11:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Extendida 9
• Link de descarga actividad 2: ACL Extendida 10
• Link de descarga actividad 3: ACL Extendida 11

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs extendidas, voy a subir cuatro actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACL extendidas filtran los paquetes IP en función de varios atributos, como por ejemplo, tipo de protocolo, direcciones IP de origen, direcciones IP de destino, puertos TCP o UDP de origen, puertos TCP o UDP de destino e información opcional de tipo de protocolo para un control más exhasutivo.

• Actividad 5: Bloquear el protocolo ICMP entre los servidores
• Topología actividad 5:

• Actividad 6: Bloquear las visitas a la web 30.30.30.30 desde 20.20.20.20
• Topología actividad 6:

• Actividad 7: Bloquear tráfico WEB y FTP entre los servidores
• Topología actividad 7:

• Actividad 8: Bloquear el acceso a páginas webs exteriores al equipo PC0
• Topología actividad 8:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Extendida 5
• Link de descarga actividad 2: ACL Extendida 6
• Link de descarga actividad 3: ACL Extendida 7
• Link de descarga actividad 3: ACL Extendida 8

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs extendidas, voy a subir cuatro actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACL extendidas filtran los paquetes IP en función de varios atributos, como por ejemplo, tipo de protocolo, direcciones IP de origen, direcciones IP de destino, puertos TCP o UDP de origen, puertos TCP o UDP de destino e información opcional de tipo de protocolo para un control más exhasutivo.

• Actividad 1: Bloquear la comunicación entre los servidores
• Topología actividad 1:

• Actividad 2: Bloquear el tráfico entre los PCs
• Topología actividad 2:

• Actividad 3: Bloquear el protocolo ICMP entre equipos
• Topología actividad 3:

• Actividad 4: Bloquear el protocolo ICMP a los servidores
• Topología actividad 4:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Extendida 1
• Link de descarga actividad 2: ACL Extendida 2
• Link de descarga actividad 3: ACL Extendida 3
• Link de descarga actividad 3: ACL Extendida 4

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs estándar, voy a subir tres actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACLs estándar permiten autorizar o denegar el tráfico desde las direcciones IP de origen, no importan el destino del paquete ni los puertos involucrados.

• Actividad 1: Prohibir el acceso desde el PC0 a la red 30.0.0.0/8 y permitir todo lo demás
• Topología actividad 1:

• Actividad 2: Bloquear el acceso a los equipos 30.0.0.30 Y 30.0.0.31 a la red exterior
• Topología actividad 2:

• Actividad 3: Bloquear el acceso al exterior del equipo 20.0.0.20 y 30.0.030
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Standard 1
• Link de descarga actividad 2: ACL Standard 2
• Link de descarga actividad 3: ACL Standard 3

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En este post vamos a mostrar un ejemplo sobre los protocolos de enrutamiento RIP y BGP.

En una empresa con redes públicas (sistema autónomo 3333) han optado por utilizar enrutamiento dinámico RIP, el esquema de redes es el siguiente:

La empresa es un sistema autónomo con enrutamiento dinámico y se conecta con el resto de internet por un router de borde (Router C), que intercambiará rutas con otros routers de borde por el protocolo BGP.

• Tenemos que completar las tablas de enrutamiento iniciales, que estarán formadas por las redes conectadas directamente:

En un principio los routers solo conocen las rutas conectadas directamente, esto implica que serán posibles las comunicaciones entre redes contiguas puesto que habrá un router que conocerá ambas redes.

• Los pasos a seguir para la configuración de los routers será la siguiente:

También podemos optar, en vez del comando redistribute, por enumerar una a una las redes con el comando “network red mask máscara”

• Los resultados de las tablas de enrutamiento después del aprendizaje estarán formadas por las redes conectadas directamente y las rutas aprendidas a través de los diferentes protocolos dinámicos, quedarían entonces de la siguiente manera:

                  Router C

Saludos y espero que os sea de ayuda

En este post vamos a explicar la técnica NAT y los distintos tipos de NAT, que consiste en traducir direcciones IP, es decir, consiste en manipular los paquetes IPs y cambiar las direcciones IPs existentes por otras IPs.

En la imagen en paquete IP que entra en el router NAT tiene un origen IP y un destino IP, en este ejemplo el router manipula la IP de origen y la sustituye por otra enviando el paquete al exterior.

Aunque hay un tipo de NAT que es el más habitual se puede realizar cambios en origen, destino, puertos, muchas IPs a 1 IP, una a una, etc…

NAT Origen

NAT en Origen o Source NAT consiste en cambiar la IP de origen del paquete por una IP de origen diferente.

NAT Destino

NAT en Destino o Destination NAT consiste en cambiar la IP de destino del paquete por una IP de destino diferente.

La NAT origen y la NAT destino están asociadas porque cuando se hace una traducción NAT de origen, cambia el origen o remite de los datos, por tanto, cuando se reciba la respuesta a estos datos habrá que hacer el paso contrario, NAT destino, cambiar el destino (que fue el origen de la solicitud), es decir, deshace el cambio que se realizó al iniciar la comunicación para que el dispositivo que solicitó los datos reciba la respuesta.

Tabla NAT

El dispositivo que realiza la traducción de direcciones lleva un control de las mismas en una tabla denominada tabla NAT. En esta tabla están anotadas las traducciones que se realizan, la finalidad principal de la tabla es saber, cuando llega una respuesta, a que dispositivo de origen corresponde enviarla.

En una tabla NAT se pueden incluir las siguientes direcciones:

• Dirección local interna (inside local): Corresponde a la dirección local (normalmente privada) del dispositivo que origina la comunicación.
• Dirección global interna (inside global): Corresponde a la dirección externa (normalmente pública) que se asigna al dispositivo interno cuando sale del router NAT.
• Dirección global externa (outside global): Es la dirección IP externa (normalmente pública) de destino.
• Dirección local externa (outside local): Es la dirección local del dispositivo destino en la red externa.

Gráficamente, y referidas al router A, serían:

Tipos de NAT

A la hora de manipular las direcciones IP y puertos existen diferentes técnicas dependiendo del cambio o traducción que se realice.

NAT Estática

Este tipo de NAT hace una traducción uno a uno, es decir, sustituye una IP local interna por una IP global interna. Se denomina estática porque la traducción que se realiza es siempre la misma.

Podemos deducir de la definición anterior que si queremos que todos los dispositivos locales tengan acceso a internet necesitaremos tener el mismo número de IP locales que globales porque cada IP local usará una IP global.

Para configurar este tipo de NAT es necesario indicar en el router la traducción que se desea hacer e indicar que interface es la que apunta a la red privada y que interface apunta a la red pública.

Ejemplo de NAT Estática

El router realiza siempre la traducción 172.16.0.10 a 2.2.2.2 en ambos sentido (SNAT, DNAT), es decir, si un paquete llega del exterior a 2.2.2.2 traduce su destino a 172.16.0.10, si un paquete sale de 172.16.0.10 al exterior traduce el origen de 172.16.0.10 a 2.2.2.2 y lo envía. La tabla NAT tendría una entrada fija.

¿Cómo visitaría el PC externo la web alojada en el Servidor?

En una aplicación navegador se introduce la web http://2.2.2.2, no tiene sentido indicar la IP 172.16.0.10 porque es privada y porque de cara al exterior no existe.

¿Qué entrada se producirá en la tabla NAT?

Se producirá una entrada:

• Dinámica, a medida que llegan paquetes externos o salen paquetes internos se anota la traducción para poder en un futuro deshacer la traducción.
• TCP, es el protocolo nivel transporte que utiliza el protocolo HTTP
• IP Local interna, se hace la traducción indicada como fija 2.2.2.2 Global es 172.16.0.10 Local
• Puerto local interno 80, es el puerto TCP en que escuchan todas las páginas web habitualmente, es decir, es lo mismo poner en el navegador http://2.2.2.2 que http://2.2.2.2:80 , no se traducen puertos en la NAT estática
• Global externa, pues la IP del PC y el puerto asociado a la aplicación navegador (se ha puesto 1030 como podría haber sido otro puerto cliente, es decir, este puerto suele cambiar dependiendo muchos factores)
• Local externa, el router NAT no puede saber si el PC tiene directamente una IP pública o está detrás de un router NAT (que es lo más habitual), solo sabe que le llega una petición de la IP 11.11.11.11, no sabe que dispositivo hay realmente en esa IP.

¿A qué dirección responde el servidor web?

El servidor web recibe una petición al puerto 80 (puerto en el que escucha el servicio web: apache, IIS, etc.) desde la IP 11.11.11.11 puerto 1030, por tanto, responde a esta dirección.

Cuando el paquete llegue al router NAT con remite 172.16.0.10 éste hará la traducción contraria y enviará el paquete a 11.11.11.11:1030

Los comandos para configurar esta NAT estática en un router Cisco serían, suponiendo que la interface pública es Gi0/0 y la interface privada Gi0/1:

RouterNAT>enable

RouterNAT#configure terminal

RouterNAT(config)# ip nat inside source static 172.16.0.10 2.2.2.2

RouterNAT(config)# interface gi0/0

RouterNAT(config-if)# ip nat outside

RouterNAT(config-if)# exit

RouterNAT(config)# interface gi0/1

RouterNAT(config-if)# ip nat inside

NAT Dinámica

Este tipo de NAT hace una traducción de varios a varios, es decir, sustituye varias IPs locales internas por varias IPs globales internas. Normalmente suele ser muchos a pocos, es decir, tenemos múltiples dispositivos privados que comparten varias IPs públicas.

A medida que los dispositivos privados van enviando paquetes al exterior se le van asignando IPs públicas, hasta que se agotan, es decir, el límite de conexiones simultáneas a internet viene determinado por número de IPs públicas de las que se dispone. Cuando un dispositivo privado libera la comunicación queda disponible la IP pública que tuviera asignada.

Para configurar esta NAT hay que indicar en el router la interface que apunta a la red privada, la interface que apunta a la red pública y cuales son las IPs privadas y públicas que vamos a traducir.

Ejemplo de NAT dinámica (sin sobrecarga)

En este ejemplo hay 3 PCs que comparten 2 IPs públicas (1.1.1.1 y 1.1.1.2), es decir, solo dos PCs podrán estar conectados a internet simultáneamente.

En la tabla NAT no hay ninguna configuración fija.

¿Qué sucede si el PC A visita la web 2.2.2.2?

El router le asignará una IP pública disponible (supongamos 1.1.1.1)

¿Qué sucede si el PC A visita de nuevo la web 2.2.2.2 desde otra ventana de navegador?

El router traducirá la misma asignación de IP que anteriormente

Dos aplicaciones en ejecución en un mismo PC son dos puertos TCP diferentes. Si no fueran puertos diferentes cuando llegue una respuesta al PC el sistema no sabría a qué navegador corresponde, pero al tener puertos diferentes el sistema sabe a qué ventana de navegador va dirigida la respuesta.

En cambio el puerto destino es el mismo, la aplicación servidor (apache, IIS, etc.) forma una cola con las peticiones web que recibe en una caché y las va atendiendo una a una.

¿Qué sucede si el PC B visita la web 2.2.2.2?

El router le asignará una IP pública disponible (solo queda 1.1.1.2)

¿Qué sucede si el PC C visita la web 2.2.2.2?

El router no le puede asignar ninguna IP pública porque todas están en uso.

El navegador del PC dará un error cuando se exceda el tiempo de espera predeterminado.

El usuario del PC C debe esperar hasta que se libere una de las 2 IPs públicas para poder acceder a internet.

Los comandos para configurar esta NAT dinámica sin sobrecarga en un router Cisco serían, suponiendo que la interface pública es Gi0/0 y la interface privada Gi0/1:

RouterNAT>enable

RouterNAT#configure terminal

RouterNAT(config)# ip access-list standard IP_INTERNAS

RouterNAT(config-std-nacl)# permit 192.168.0.0 0.0.0.255

RouterNAT(config-std-nacl)# exit

RouterNAT(config)#ip nat pool IP_EXTERNAS 1.1.1.1 1.1.1.2 netmask 255.255.255.252

RouterNAT(config)# ip nat inside source list IP_INTERNAS pool IP_EXTERNAS

RouterNAT(config)# interface gi0/0

RouterNAT(config-if)# ip nat outside

RouterNAT(config-if)# exit

RouterNAT(config)# interface gi0/1

RouterNAT(config-if)# ip nat inside

NAT Dinámica con sobrecarga (PAT)

Este es la NAT más implementada, de hecho, los routers domésticos la suelen traer configurada de fábrica.

La NAT dinámica con sobrecarga es una traducción de varios a varios, al igual que la NAT dinámica que se describió anteriormente, la diferencia está en que esta NAT también traduce los puertos TCP/UDP, por esta razón se denomina también PAT (Port Address Translation). Esta traducción de direcciones IPs y puertos combinada le permite más posibilidades de traducción, con esta traducción de puertos adicional se soluciona el principal inconveniente de la NAT dinámica el agotamiento de IPs públicas.

Como se comentó anteriormente es muy habitual que se utilice la denominación NAT para este tipo concreto de traducción.

Ejemplo de NAT dinámica con sobrecarga o PAT

Este es el típico funcionamiento de un router-DSL, una IP pública (1.1.1.1) que se comparte entre varios equipos (PC A, B, C) con IPs privadas.

¿Qué sucede si el PC A visita la web 2.2.2.2?

El router hará la traducción de IP privada por pública, no hará traducción de puertos porque no es necesaria la tabla, no hay puertos públicos asignados.

¿Qué sucede si el PC A visita la web 3.3.3.3 desde otra ventana de navegador?

El router traducirá de nuevo la IP privada por la pública y no hará traducción de puertos porque el puerto que utiliza el nuevo navegador es diferente (en un mismo PC no puede haber dos aplicaciones que usen el mismo puerto).

¿Qué sucede si el PC B visita la web 2.2.2.2 y el navegador utiliza el puerto 1300?

El router traducirá de nuevo la IP privada por la pública, pero en este caso tendrá que traducir el puerto porque la combinación 1.1.1.1:1300 corresponde, en el exterior, al primer navegador del PC A.

¿Qué sucede si el PC C visita la web 2.2.2.2 y el navegador utiliza el puerto 1300?

El router traducirá de nuevo la IP privada por la pública, además tendrá que traducir el puerto porque la combinación 1.1.1.1:1300 ya está en uso.

Llega una respuesta de 2.2.2.2, puerto 80 a la IP 1.1.1.1 ¿a qué PC corresponde?

Pues habrá que consultar a que puerto destino llega la respuesta, si el puerto destino de la respuesta es 1300 y 1301 corresponde al PC A, si es 1302 corresponde al PC B y si es 1303 corresponde al PC C.

Los comandos para configurar esta NAT dinámica con sobrecarga en un router Cisco serían, suponiendo que la interface pública es Gi0/0 y la interface privada Gi0/1:

RouterNAT>enable

RouterNAT#configure terminal

RouterNAT(config)# ip access-list standard IP_INTERNAS

RouterNAT(config-std-nacl)# permit 192.168.0.0 0.0.0.255

RouterNAT(config-std-nacl)# exit

RouterNAT(config)#ip nat pool IP_EXTERNAS 1.1.1.1 1.1.1.1 netmask 255.255.255.252

RouterNAT(config)# ip nat inside source list IP_INTERNAS pool IP_EXTERNAS overload

RouterNAT(config)# interface gi0/0

RouterNAT(config-if)# ip nat outside

RouterNAT(config-if)# exit

RouterNAT(config)# interface gi0/1

RouterNAT(config-if)# ip nat inside

NAT inversa (o Abrir puertos)

La expresión «abrir puertos» tiene muchas acepciones, en principio el uso correcto es el equivalente a “escuchar por un puerto”, es decir, ejecutar aplicaciones que usan un determinado puerto y tener ese puerto activo y listo para para enviar o recibir datos.

Otro uso de la expresión “abrir puertos”, en un firewall (encargado de permitir, denegar y custodiar las conexiones), conceder permisos para que cierto puerto destino u origen pueda salir o entrar de la red local.

Pero en cuanto al tema que tratamos, la traducción de direcciones y puertos, hablamos de “abrir puertos”, o NAT inversa (Port Forwarding o Virtual Server en muchos menús de router domésticos) para permitir entrar en una LAN desde Internet, sin que previamente se haya producido una petición desde la LAN.

Los paquetes que entran en LAN corresponden a respuestas de peticiones previas realizadas desde dentro de la LAN. Para entrar en LAN sin que haya una solicitud previa es necesario “abrir los puertos”, es decir, hay que incluir una traducción en la tabla NAT fija, no dinámica producida por un paquete que ha salido.

La finalidad de abrir los puertos es tener servicios (servidor web, servidor base de datos, etc.) instalados en una red local y que se puedan acceder desde cualquier lugar exterior.

Ejemplo de NAT inversa o apertura de puertos

En el esquema hay un servidor web en una red local, para acceder a este servidor web desde el exterior solo es necesario poner en el navegador del equipo externo http://1.1.1.1

¿Qué contenido tendrá la tabla NAT antes de abrir el puerto?

Antes de abrir el puerto la tabla NAT estará vacía, o si algún equipo local ha enviado alguna petición al exterior el router habrá anotado esa salida, es decir, anotaciones dinámicas asociadas a las salidas de datos al exterior.

¿Qué contenido tendrá la tabla NAT después de abrir el puerto?

La tabla NAT tendrá una entrada fija, indicando que todas las peticiones con destino al puerto 80 (servicio web) la atenderá el servidor www

Como se puede observar no hay datos relativos a la IP externa, la razón es que las peticiones pueden venir de cualquier IP externa. Cuando llegue un paquete con destino a 1.1.1.1:80, el router aplicará la traducción fija y lo enviará a 192.168.0.100:80

¿Podríamos tener dos servidores web funcionado en la red local?

Pues sí, pero el puerto 80 está abierto hacia 192.168.0.100, es decir, el puerto 80 está asociado al equipo 192.168.0.100, por tanto, será necesario utilizar otro puerto, por ejemplo el 81 para el segundo servidor.

Cuando un paquete llegue al router con destino puerto 81, el router aplicará la segunda traducción y enviará al puerto 80 del equipo 192.168.0.200 el paquete. Para visitar esta segunda web desde el exterior habrá que indicar http://1.1.1.1:81

Los comandos para configurar esta NAT inversa en un router Cisco serían:

RouterNAT(config)#ip nat inside source static tcp 192.168.0.100 80 1.1.1.1 80

RouterNAT(config)#ip nat inside source static tcp 192.168.0.200 80 1.1.1.1 81

Dar las gracias a Manuel Castaño Guillén por este post, profesor de networking en Extremadura, y que sabe un «rato» de esto.

Saludos y espero que os sea de ayuda

En este post, como ya hicimos en otro anterior, vamos a mostrar con un ejemplo como se configuran las LAN Virtuales (VLANs) con dispositivos Cisco.

Una academia dispone de un aula con 9 PCs, un servidor web, una tienda de informática con 2 PCs y un switch multicapa (L3) de 24 puertos.
Disponen de una conexión a internet a través de un router-NAT con los parámetros:

• WAN, facilitados por el ISP: IP pública estática: 88.2.188.98/24. Puerta de enlace 88.2.188.1. DNS 8.8.8.8
• LAN: IP de fábrica 192.168.0.1/24

Vamos a  configurar el switch multicapa para que:
1. Todos tengan acceso a Internet.
2. El aula no acceda al servidor web, ni a la tienda, excepto un PC reservado al profesor.
3. Una red diferente para los PCs de la tienda y el servidor web.

• El esquema físico de las conexiones sería:

• Vamos a crear dos VLANs, la VLAN 10 para los equipos del aula, incluido el equipo del profesor y la VLAN 20, para los equipos de la tienda.
• Los puertos 23 y 24 los desactivaremos como puertos de switch y los activaremos como interface de router.
• No hay ningún puerto en modo troncal.
• El esquema lógico que conseguimos con esta configuración sería el siguiente:

• El switch multicapa lo hemos transformado en un router con 4 interfaces:

• Respecto del enrutamiento todas las redes están conectadas directamente, excepto la ruta por defecto, es decir, tendremos que programar en el switch multicapa el enrutamiento hacia Internet. La tabla de enrutamiento quedaría:

• Además, tendremos que hacer 3 NAT en el switch multicapa, para los equipos de aula se hará una NAT de la red 192.168.10.0/24 a la IP 192.168.0.2, para los equipos de la tienda se hará una NAT de la red 192.168.20.0/24 a la IP 192.168.0.2 y otra para la red del servidor 192.168.30.0/24 a la IP 192.168.0.2
• Respecto del filtrado del tráfico, solo tenemos que filtrar el tráfico que entra desde la VLAN 10, por lo que crearíamos la siguiente ACL, que aplicaríamos al tráfico que entra por la interface virtual SVI VLAN10:

El usuario y password que utilizaremos en esta topología para los routers y switches es:

Usuario: ragasys

enable secret class

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

Aquí os dejo el link de descarga de esta topología de red: Configuración VLAN II en dispositivos Cisco

Saludos y espero que os resulte de ayuda

En este post vamos a mostrar con un ejemplo como se configuran las LAN Virtuales (VLANs) con dispositivos Cisco.

Una empresa tiene 3 departamentos (Gestión, Informática y Dirección) distribuidos en un edificio de 4 plantas. En cada planta hay un switch de 24 puertos que recoge el cableado de todos los puestos de trabajo de la planta. En el sótano se encuentra el núcleo de la red con un switch capa 3 central que recibe una conexión por cada planta, una conexión al router que da salida al exterior y otra conexión a un equipo para la administración de la red como se muestra en el esquema.
Vamos a realizar las siguientes configuraciones:

• Reservar 5 puertos para cada departamento en los switchs de planta.
• Gestionar la red desde el equipo de administración.
• Permitir la comunicación entre los departamentos.
• Configurar el enrutamiento estático necesario.
• Bloquear el acceso a internet para la vlan de Gestión.

• Se creará una VLAN para cada departamento, más una VLAN para administrar la red, cada VLAN será una red que tendrá conexión al router, en el router se realizan las ACLs necesarias para filtrar el tráfico y se enrutará el tráfico entre redes.

• Cada switch tendrá una IP de administración, que será una SVI (interface virtual),  dentro de la red de administración:

• Los switchs de planta tendrán la siguiente asignación de puertos:

• No es necesario asignar ningún puerto a la VLAN de administración, a la SVI se accederá a través del puerto troncal. Las VLAN normales no responden a ninguna IP porque no tiene una SVI asociada. El esquema lógico de los switchs de planta sería:

• En cuanto al núcleo de la red vamos crear subinterfaces en el router, desde el router se realiza el filtrado del tráfico. En el switch crearíamos las siguientes asignaciones de VLAN:

• En el router crearemos 4 subinterfaces (interfaces lógicas) a partir de su interface LAN (interface física), una para cada VLAN, cuando el router recibe un paquete etiquetado del switch comprueba a que VLAN pertenece y lo “envía” a la subinterface correspondiente. El esquema lógico equivalente sería:

• El router tiene dos interfaces físicas pero tiene cuatro interfaces lógicas. Las cuatro interfaces lógicas son las puertas de enlace de las diferentes redes asignadas a las VLANs.
  La configuración IP del equipo de administración sería por ejemplo 192.168.40.40, desde este equipo se conectaría a las IPs de administración de los switchs (192.168.40.1, .2, .3, .4, .100) y también se administraría el router en la IP 192.168.40.254.
  En cuanto al enrutamiento, todas las redes que llegan por las interfaces lógicas son redes conectadas directamente y, por tanto, el router las añade automáticamente a la tabla de enrutamiento. El único enrutamiento que necesitamos configurar es la ruta por defecto que son los datos facilitados por el ISP para conectar a internet.

• En esta situación el router comunicará a todos los dispositivos del edificio, pero en el router se podrán activar filtros para controlar la comunicación entre los diferentes departamentos y también los accesos a internet. Para bloquear el acceso del departamento de gestión a internet incluimos la siguiente ACL:

• Para aplicar la ACL no podemos usar la interface LAN.10 porque bloquearíamos el tráfico que va desde la VLAN 10 al resto de VLANs, debemos aplicar la ACL en tráfico de salida de la interface WAN:

El usuario y password que utilizaremos en esta topología para los routers y switches es:

Usuario: ragasys

enable secret class

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

Aquí os dejo el link de descarga de esta topología de red: Configuración VLAN I en dispositivos Cisco

Saludos y espero que os resulte de ayuda

En este post vamos a seguir con algo de networking y veremos como realizar la configuración básica de un Switch multicapa, es decir, veremos como trabaja este dispositivo habilitándole las funciones routing de capa 3.

Según este esquema:

Y teniendo el siguiente supuesto:

En el esquema hay 4 grupos de 4 PCs, un switch multicapa y un servidor. Lo primero que vamos a realizar será un esquema (físico y lógico) con las conexiones entre dispositivos y configuraremos el switch multicapa para que cada grupo de 4 PCs sea independiente del resto de grupos y todos los PCs puedan acceder a la web del servidor ubicado junto al switch multicapa. Solo van a comunicar PCs entre sí cuando pertenezcan al mismo grupo.

• Crearemos una VLAN por cada planta, otra VLAN de administración de red y una LAN para el Server:

• En el switch multicapa vamos a crear cuatro interfaces virtuales (SVI), una por cada VLAN, que serán las puertas de enlace de cada VLAN, crearemos otra SVI para la VLAN de Management, el puerto 24 del switch multicapa lo desactivaremos como puerto de switch y lo activaremos como interface de router, en esta infraestructura no hay ningún puerto en modo troncal:

• La topología física sería la siguiente:

• La topología lógica sería la siguiente:

El usuario y password que utilizaremos en esta topología para la configuración del switch es:

Usuario: ragasys

enable secret: cisco

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

Aquí os dejo el link de descarga de esta topología de red, configuración básica de un switch multicapa:

Configuración Switch Multicapa Cisco Catalyst 3560-24PS

Saludos y espero que os resulte de ayuda

En esta entrada seguiremos con el routing & switching de Cisco y vamos a ver una topología de red donde configuraremos el protocolo de enrutamiento de gateway exterior BGP – Border Gateway Protocol.

El diseño y configuración de esta topología de red es de uno de mis profesores, un «fiera» del networking en la zona de Extremadura, llamado Manuel Castaño Guillén.

La topología que usaremos será la siguiente:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

Aquí os dejo el link de descarga de esta topología de red: Protocolo de enrutamiento BGP completo

Saludos y espero que os resulte de ayuda

En este post vamos a seguir con el routing & switching de Cisco, que para los que estén preparando el CCNA o CCNP les puede venir muy bien, vamos a representar un esquema del funcionamiento de Internet de forma muy resumida.
La primera gran división de Internet es en sistemas autónomos, normalmente grandes corporaciones (organismos públicos, proveedores de internet, grandes multinacionales tecnológicas…) que son los poseedores de las IPs públicas. Cada sistema autónomo decide que sistema de enrutamiento interior utilizar.
Las multinacionales tecnológicas tienen grandes servidores y sistemas de almacenamiento que dan servicios de alojamiento, correo electrónico, servicios web en general, los proveedores de servicios (ISP) son los que dan acceso a los particulares, pequeñas y medianas empresas a Internet. Estos poseen IPs públicas que van asignando dinámicamente a los clientes, estos comparten la IP pública recibida entre los PCs utilizando la técnica NAT, sus dispositivos tienen IPs privadas (reservadas para uso privado y repetidas infinidad de veces en el mundo).
Los organismos públicos, gobiernos, universidades, etc. también suelen poseer grandes redes.

La topología que usaremos será la siguiente:

El usuario y password que utilizaremos en esta topología para los routers y switches es:

Usuario: ragasys

enable secret class

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

Aquí os dejo los links de descarga de esta topología de red, en una hemos utilizado como IGP (Protocolos de enrutamiento de Gateway Interior) RIPv2-OSPF y en otra EIGRP-OSPF, como EGP (Protocolos de enrutamiento de Gateway Exterior) hemos utilizado BGP:

Funcionamiento Internet 1

Funcionamiento Internet 2

Saludos y espero que os resulte de ayuda

En esta entrada seguiremos con el routing & switching de Cisco y vamos a ver una topología de red donde configuraremos el protocolo de enrutamiento de gateway exterior BGP.

BGP (Border Gateway Protocol), es un protocolo mediante el cuál se intercambia información de enrutamiento entre sistemas autónomos. Por ejemplo, los proveedores de servicios (ISP) registrados en internet suelen componerse de varios sistemas autónomos y para este caso es necesario un protocolo de enrutamiento como BGP.

Entre los sistemas autónomos de los ISP se intercambian sus tablas de rutas a través del protocolo BGP. Este intercambio de información de enrutamiento se hace entre los routers externos de cada sistema autónomo, los llamados routers de borde, los cuáles deben soportar BGP. Se trata del protocolo de enrutamiento de gateway exterior más utilizado para  comunicar redes entre sistemas autónomos.

La topología que usaremos será la siguiente:

El usuario y password que utilizaremos en esta topología para los routers y switches es:

Usuario: ragasys

enable secret class

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

Aquí os dejo el link de descarga de esta topología de red: Protocolo de enrutamiento BGP

Saludos y espero que os resulte de ayuda

En esta entrada seguiremos con el routing & switching de Cisco y vamos a ver una topología de red donde configuraremos varias VLANs, en el que uno de los switches será el maestro de toda la infraestructura, en él hemos creado y configurado todas las VLANs, le hemos configurado el protocolo VTP como server, esto quiere decir, que los demás switches los hemos configurado con el protocolo VTP como cliente, y será el maestro (VTP server) el que le pase toda la configuración de las VLANs a los clientes.

VTP son las siglas de VLAN Trunking Protocol, un protocolo de mensajes de nivel 2 usado para configurar y administrar VLANs en equipos Cisco. Permite centralizar y simplificar la administración en un domino de VLANs, pudiendo crear, borrar y renombrar las mismas, reduciendo así la necesidad de configurar la misma VLAN en todos los switches.

La topología que usaremos será la siguiente:

El usuario y password que utilizaremos en todas las prácticas para el acceso a los routers y switches es:

Usuario: ragasys

enable password cisco

enable secret class

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

Aquí os dejo el link de descarga de esta topología de red: VLANs networking Cisco

Saludos y espero que os resulte de ayuda