Certamen de práctica — monitoreo de red

Elige el largo. El completo imita la pauta (24 preguntas, 72 pts). El corto y el banco cambian la cantidad. Las alternativas salen en orden distinto cada vez que armas la prueba.

45:00 Sin empezar

Hazlo sin mirar la guía. Los labs están en la otra pestaña: ábrelos después de corregir.

Cómo usar estos labs

En el certamen real te van a pedir hostname (algo como ALUMNO_R1), la configuración, las capturas de los show y copy running-config startup-config. Esos puntos se pierden por apuro, no por contenido.

Primero practica sobre tus archivos DHCP-SNOOPING.pkt y Netflow-span.pkt. Después arma la variante desde cero: mismas ideas, otras IP y otros puertos, para que no memorices Fa0/2.

Lab 0 — sobre los .pkt que ya tienes

No asumas números de puerto. Míralos en la topología.

DHCP Snooping. El puerto del switch que va hacia R1 es el trusted. El puerto que va hacia el PC lleva el límite de mensajes. Activa snooping en la VLAN de esa red (en el ejemplo del profe era la VLAN 1 y la red 10.0.0.0/24; confirma la tuya). Apaga la opción 82. En el PC: ipconfig /release y ipconfig /renew. Captura show ip dhcp snooping y show ip dhcp snooping binding. En el binding tienen que verse MAC, IP, VLAN e interfaz del PC.
NetFlow. En R1 habilita Telnet en las VTY. En la interfaz LAN: flujo de entrada y de salida. Exporta versión 9 hacia la IP del Server, puerto 9996. En el Server: Desktop → Netflow Collector → On. Desde el PC haz ping y telnet a R1. En R1, show ip cache flow debe listar ICMP y TCP-Telnet. En el collector, el ping es protocolo 1 y el telnet es protocolo 6 con destino 23. El source port es un puerto alto del PC.
SPAN. Source = puerto del PC que te pidan vigilar, dirección both. Destination = puerto del Sniffer. show monitor session all tiene que decir Local Session, Both en el puerto del PC y el sniffer como destino. En el Sniffer: GUI, Service On. Haz el ping del enunciado y tienen que aparecer líneas ICMP.

Lab 1 — DHCP Snooping (variante)

Arma esto en Packet Tracer. Tiempo meta: 15 minutos.

R1 G0/0 10.10.10.1/24 ------ SW1 Fa0/1 PC1 (DHCP) SW1 Fa0/2 PC2 (DHCP) SW1 Fa0/3 VLAN 10 en toda la red de usuarios. Red 10.10.10.0/24.

Hostname: ALUMNO_R1 y ALUMNO_SW1.
R1 es el servidor DHCP de la 10.10.10.0/24. Excluye la .1. Gateway 10.10.10.1.
En SW1, los puertos de usuarios en VLAN 10. El enlace a R1 puede ir en access VLAN 10 para este lab.
DHCP Snooping en la VLAN 10. R1 es el único servidor confiable. Limita a 8 mensajes DHCP por segundo en los puertos de los PC.
Los dos PC deben recibir IP. La binding tiene que mostrar las dos asociaciones MAC-IP.

Ver solución del lab 1

R1:

hostname ALUMNO_R1
ip dhcp excluded-address 10.10.10.1
ip dhcp pool RED10
 network 10.10.10.0 255.255.255.0
 default-router 10.10.10.1
interface GigabitEthernet0/0
 ip address 10.10.10.1 255.255.255.0
 no shutdown

SW1:

hostname ALUMNO_SW1
vlan 10
 name USUARIOS
interface range FastEthernet0/1 - 3
 switchport mode access
 switchport access vlan 10
ip dhcp snooping
ip dhcp snooping vlan 10
no ip dhcp snooping information option
interface FastEthernet0/1
 ip dhcp snooping trust
interface range FastEthernet0/2 - 3
 ip dhcp snooping limit rate 8

En cada PC, Desktop → IP Configuration → DHCP. Si ya tenía IP, Command Prompt: ipconfig /release y ipconfig /renew.

Quedó bien si show ip dhcp snooping muestra la VLAN 10, Fa0/1 en yes y Fa0/2–3 con rate 8. show ip dhcp snooping binding muestra una fila por PC, con su MAC, una IP 10.10.10.x, VLAN 10 y su interfaz. Cierra con copy running-config startup-config en R1 y en SW1.

Lab 2 — NetFlow (variante)

Tiempo meta: 15 minutos. Tienes que saber leer el collector, no solo pegar comandos.

PC 172.16.1.10/24 --- R1 G0/0 172.16.1.1/24 --- Server 172.16.1.100/24 Gateway de PC y Server: 172.16.1.1 Collector escuchando en UDP 9996

Hostname ALUMNO_R1.
Telnet en R1, con clave, para que el PC pueda entrar.
NetFlow de entrada y de salida en G0/0. Exportar versión 9 al server, puerto 9996.
Enciende el Netflow Collector del server antes de generar tráfico.
Desde el PC: ping a 172.16.1.1 y telnet a 172.16.1.1. Entra y sal con exit.
En R1 revisa la caché. En el server abre el flujo de Telnet y el de ICMP y anota protocolo, source port y destination port.

Ver solución del lab 2

hostname ALUMNO_R1
interface GigabitEthernet0/0
 ip address 172.16.1.1 255.255.255.0
 no shutdown
 ip flow ingress
 ip flow egress
ip flow-export version 9
ip flow-export destination 172.16.1.100 9996
enable secret cisco
line vty 0 4
 password cisco
 login
 transport input telnet
exit
copy running-config startup-config

Si la versión 9 no existe en tu Packet Tracer, usa ip flow-export version 5.

PC: IP estática 172.16.1.10, máscara 255.255.255.0, gateway 172.16.1.1. Server: 172.16.1.100, mismo gateway. Desktop → Netflow Collector → On.

show ip cache flow debe incluir una línea ICMP y una TCP-Telnet. En el collector:

Ping: IP protocol 1. Origen 172.16.1.10, destino 172.16.1.1.
Telnet: IP protocol 6. Destination port 23. Source port un número alto (1024 o más). Ese source port es del PC, no del servicio.

Si el collector sale vacío, genera otra vez el ping y el telnet con el servicio ya en On, y espera unos segundos. El export no es instantáneo en todos los Packet Tracer.

Lab 3 — SPAN local (variante)

Tiempo meta: 10 minutos. Este es el que se parece al lab de 11 puntos.

PC1 Fa0/3 192.168.10.10 --- SW1 --- Fa0/1 R1 192.168.10.1 | Fa0/24 Sniffer

Hay que ver el tráfico de entrada y de salida de PC1.
El analizador es el Sniffer de Fa0/24.
Haz ping de PC1 a 192.168.10.1.
El sniffer tiene que mostrar ICMP. El show monitor tiene que decir Local Session.

Ver solución del lab 3

hostname ALUMNO_SW1
monitor session 1 source interface FastEthernet0/3 both
monitor session 1 destination interface FastEthernet0/24
end
show monitor session all
copy running-config startup-config

Salida que tienes que saber leer:

Type                 : Local Session
Source Ports
    Both             : Fa0/3
Destination Ports    : Fa0/24
Encapsulation        : Native
Ingress              : Disabled

Fa0/3 es el PC vigilado. Fa0/24 es el sniffer. Both = entrada y salida. Ingress Disabled = el sniffer escucha y no mete tráfico de vuelta a la red.

Sniffer → GUI → Service On. En el ping, el protocolo se ve como 0x01 (ICMP), con origen 192.168.10.10 y destino 192.168.10.1.

Error típico: poner el sniffer como source. Ahí el sniffer queda vacío porque estás copiando el puerto que no habla.

Lab 4 — RSPAN (configuración, dominio de SPAN)

En el escrito esto sale aunque el lab de Packet Tracer sea solo SPAN local. Tres switches. VLAN de copia: 99. PC-A en SwitchA Gi1/0/1. Sniffer en SwitchC Gi1/0/48. SwitchB solo está en el medio, uniendo los trunks.

Crea la VLAN 99 en los tres y márcala como RSPAN.
En el switch del PC, copia Gi1/0/1 en ambas direcciones hacia la VLAN remota.
En el switch del sniffer, toma la VLAN remota y entrégala a Gi1/0/48.
El switch del medio no lleva monitor session.

Ver solución del lab 4

SwitchA, donde está el PC:

vlan 99
 remote-span
exit
monitor session 1 source interface GigabitEthernet1/0/1 both
monitor session 1 destination remote vlan 99

SwitchB, el del medio:

vlan 99
 remote-span
exit

SwitchC, donde está el analizador:

vlan 99
 remote-span
exit
monitor session 1 source remote vlan 99
monitor session 1 destination interface GigabitEthernet1/0/48

Frase para no invertirlos: el switch del PC usa destination remote vlan. El switch del sniffer usa source remote vlan.

Lab 5 — NTP y Syslog (el dominio de 15 puntos)

Puede salir como preguntas de comando o como configuración corta. Tiempo meta: 12 minutos.

S1 ---- R1 192.168.1.1 ---- (R1 ya alcanza al servidor NTP 209.165.200.225) | Servidor syslog 192.168.1.100

R1 toma la hora de 209.165.200.225, con autenticación. Clave número 1, MD5, texto NtPclave.
S1 toma la hora de R1 (192.168.1.1).
R1 manda syslog al 192.168.1.100, de Warning hacia arriba (incluido Warning).
Los mensajes de R1 deben llevar fecha. También se guardan en el buffer de 8192 bytes.
Comprueba la fuente de tiempo y el estrato.

Ver solución del lab 5

R1:

ntp authentication-key 1 md5 NtPclave
ntp authenticate
ntp trusted-key 1
ntp server 209.165.200.225 key 1
logging host 192.168.1.100
logging trap warnings
service timestamps log datetime
logging buffered 8192
end
show clock detail
show ntp associations
show ntp status

show clock detail debe decir Time source is NTP. Si el servidor es estrato 1, R1 queda estrato 2. En associations, el asterisco marca al servidor con el que sí sincronizó.

S1:

ntp server 192.168.1.1
end
show ntp status

S1 queda estrato 3. logging trap warnings manda niveles 0, 1, 2, 3 y 4. No manda solo el 4, y no manda del 5 al 7.

Qué mirar en la captura para no perder el punto

show ip dhcp snooping: snooping enabled, VLAN correcta, puerto hacia R1 en Trusted yes, puerto del PC con rate limit.
show ip dhcp snooping binding: MAC, IP, lease, VLAN, interfaz. Vacía = el PC no renovó el DHCP después de activar snooping.
show ip cache flow: filas ICMP y TCP-Telnet.
Collector: protocolo 1 = ping, protocolo 6 y puerto destino 23 = Telnet, source port alto = el PC.
show monitor session all: Local Session, Both en el PC, destination en el sniffer.
Sniffer: varias líneas ICMP, no la ventana vacía.