Segmentación de redes I (URJCx)

Summary

El guion habla sobre la segmentación de redes mediante VLAN (Redes de Área Local Virtuales) para mejorar la seguridad y la eficiencia. Se menciona la necesidad de acceso a servidores para atacantes y cómo la segmentación reduce la visibilidad y separa tráfico y protocolos. Se explican los switches basados en el estándar 802.1Q para segmentar tráfico y el uso de ARP para la comunicación entre dispositivos. Además, se discuten las diferencias entre switches de VLAN y switches básicos, y cómo configurar VLAN para segmentar por puertos, dirección MAC, IP, autenticación de usuarios y aplicaciones, destacando la flexibilidad y la seguridad de cada método.

Takeaways

• 🔒 La segmentación de red mediante VLANs (Redes de Área Local Virtuales) permite reducir el área de visibilidad de cada zona y limitar el tráfico en cada segmento.
• 🛡️ La asignación de VLANs a usuarios y dispositivos garantiza que solo puedan comunicarse con otros dentro de su propia VLAN, mejorando la seguridad de la red.
• 🔌 Los switches son dispositivos de conexión de red que operan a nivel de enlace de la capa 2 y son fundamentales para la implementación de VLANs.
• 📦 El estándar IEEE 802.1Q permite a los switches etiquetar paquetes y extender VLANs a través de múltiples switches en la red.
• 🔍 El protocolo ARP (Address Resolution Protocol) es utilizado para descubrir la dirección MAC de un dispositivo a partir de su dirección IP.
• 🚫 Los switches básicos difunden las solicitudes ARP a todos los puertos, mientras que los switches VLAN-aware procesan estas solicitudes dentro de sus propias VLANs.
• 🔄 La configuración de VLANs puede basarse en diferentes criterios como la asignación de puertos, dirección MAC, dirección IP, autenticación de usuarios, servicios y aplicaciones.
• 🔄 La segmentación dinámica de VLANs según roles y servicios de autenticación es una forma flexible de adaptarse a usuarios móviles y dispositivos inalámbricos.
• 🚀 La segmentación por protocolos y aplicaciones permite una mayor flexibilidad y control sobre el tráfico de red, separando el tráfico según su contenido.
• 🔗 La conexión de switches mediante puertos transitorios permite la extensión de VLANs a través de la red, manteniendo la cohesión y la comunicación entre segmentos.
• ⚠️ Algunas limitaciones de la segmentación por VLAN incluyen la posibilidad de ataques de suplantación de MAC y la facilidad de cambiar direcciones IP, lo que puede comprometer la seguridad.

Q & A

¿Qué es la segmentación de red y cómo ayuda a proteger una red?

La segmentación de red es el proceso de dividir una red en varias subredes o segmentos para limitar la visibilidad y el alcance de los dispositivos entre sí, lo que reduce la superficie expuesta a ataques y mejora la seguridad general de la red.

¿Qué son las VLAN (Redes de Área Local Virtuales) y cómo funcionan?

Las VLAN son una tecnología que permite crear redes virtuales dentro de una red física, permitiendo la segmentación del tráfico y la reducción de la área de visibilidad de cada zona, mejorando así la seguridad y la eficiencia de la red.

¿Cuál es la función principal de un switch en una red?

Un switch es un dispositivo de conexión de red que opera a nivel de enlace de la capa 2 (capa de datos). Se encarga de conectar dispositivos en una red y permitir su comunicación, conociendo sus direcciones MAC y facilitando la transmisión de datos entre ellos.

¿Cómo se determina la dirección MAC de un dispositivo en una red?

La dirección MAC es un valor de 48 bits único asignado por el fabricante a cada interfaz de red. Para averiguar la dirección MAC de un dispositivo, se utiliza el protocolo ARP (Address Resolution Protocol), que permite a un equipo enviar una solicitud a la dirección IP del destino y recibir su dirección MAC en respuesta.

¿Qué es el protocolo ARP y cómo funciona?

El protocolo ARP es utilizado para resolver direcciones IP a direcciones MAC. Cuando un dispositivo quiere enviar datos a otro, envía una solicitud ARP a toda la red, y el dispositivo con la dirección IP solicitada responde con su dirección MAC, permitiendo así la comunicación entre los dispositivos.

¿Cómo diferencia un switch de VLAN un paquete de un paquete no perteneciente a la misma VLAN?

Un switch de VLAN utiliza el estándar IEEE 802.1Q para etiquetar los paquetes con la información de la VLAN a la que pertenecen. Cuando un switch recibe un paquete, primero determina si pertenece a la VLAN correcta y, en caso afirmativo, lo envía al puerto de salida correspondiente; si no, lo descarta.

¿Qué es un puerto trunk y cómo se utiliza en la configuración de VLAN?

Un puerto trunk es un tipo de puerto en un switch que permite la transmisión de tráfico de múltiples VLAN a través de un solo enlace físico. Se utiliza para conectar switches entre sí y extender las VLAN a través de la red.

¿Cómo se pueden segmentar las redes por criterios distintos a la dirección MAC o la VLAN?

Las redes pueden segmentarse por diversas características, como la dirección IP, el servicio de autenticación, los roles de usuario, los protocolos del tráfico, las aplicaciones o incluso la asignación dinámica de dispositivos a una VLAN.

¿Qué es el back spoofing y cómo representa una vulnerabilidad en la segmentación por dirección MAC?

El back spoofing es una técnica usada por los atacantes para suplantar la dirección MAC de un dispositivo confiable en la red. Representa una vulnerabilidad ya que permite a los atacantes acceder a una VLAN a la que no deberían pertenecer, evitando así la segmentación de red.

¿Cómo se pueden configurar las VLAN para segmentar una red por departamentos de una organización?

Se pueden asignar puertos específicos de un switch a una VLAN determinada, por ejemplo, los puertos 1, 3 y 5 a la VLAN del departamento de recursos humanos y los puertos 2, 4 y 6 a la VLAN del departamento financiero, creando así una segmentación por áreas funcionales de la organización.

¿Por qué es importante etiquetar los paquetes cuando se extiende una VLAN a través de múltiples switches?

La etiqueta en los paquetes es importante para identificar a qué VLAN pertenecen, permitiendo que, al viajar por la red a través de diferentes switches, conserven esa información y se entreguen correctamente a los dispositivos de la VLAN adecuada.