Solucionado: Re: Pregunte al Experto- Mejores prácticas para configuración e implementación de redes - Página 3

Cisco Moderador · ‎09-25-2018

Aclare sus dudas sobre las mejores prácticas y recomendaciones para el diseño e implementación de redes a nivel de LAN para Empresas. Conozca más de las estrategias y consejos para la implementación de redes escalables, modulares y efectivas, por medio de la aplicación de principios de diseño. Discuta sobre los escenarios comunes y presentes en las infraestructuras de red, así como de las mejores prácticas para optimizarles y mejorarles.

Haga sus preguntas del 25 de Septiembre al 5 de Octubre del 2018.

Detalles del Especialista

David Samuel Peñaloza Seijas trabaja como Senior Network Consulting engineer en Verizon Enterprise Solutions en República Checa. Anteriormente ha trabajado como Network Support Specialist en IBM Client Innovation Center en República Checa. David es un experto interesado en todo lo que concierne a las redes, sin embargo, se enfoca principalmente en los Centros de Datos, las Redes Empresariales y en el diseño de las redes en general, incluyendo SDN. David cuenta con una relación fructífera y positiva con Cisco, ha sido instructor del programa Cisco Networking Academy y a lo largo del tiempo ha sido reconocido como un Cisco Champion. David cuenta con las certificaciones de CCNP R&S, CCDP, CCNA Security, CCNA CyberOps y CCNA SP, actualmente se prepara para el CCDE.

David es un miembro activo de la comunidad de Cisco Learning Network, ha sido nombrado Cisco Designated VIP de CLN en los años 2017 y 2018 por sus grandes contribuciones.

David puede no poder responder a todas las preguntas, debido al volumen esperado durante este evento. Recuerde que también puede hacer sus preguntas en nuestra categoría de Routing & Switching https://supportforums.cisco.com/t5/routing-y-switching/ct-p/5551-routing-and-switching

** ¡Los puntos de utilidad fomentan la participación! **
Por favor asegúrese de dar uno a las respuestas a sus preguntas.

David Samuel Penaloza Seijas · ‎10-03-2018

¿Para redundancia de capa 3, se podría configurar el HSRP?

Usualmente, para proveer alta disponibilidad, redundancia y resiliencia se suelen emplear protocolos como HSRP/VRRP/GLBP, los cuales entran en el grupo de FHRP (First Hop Redundancy Protocols).

Si, es correcto :)

7bjhernandez · ‎10-05-2018

Buenos dias

Es para saber si es recomendado utilizar los siguientes comando en los SW CLIENTES para el monitoreo en la web.. o faltaria otro parámetro en la configuración.

Se utilizan las caracteristicas siguientes: servidor Tacacs+, usuario , http, line VTY, Consola, ACL estandar,

service password-encryption
!
enable secret XXXX
!
username admin_A privilege 15 secret XXXX

!
aaa new-model
!
!
aaa authentication login default group tacacs+ local
aaa authorization exec default group tacacs+ local
aaa accounting exec default start-stop group tacacs+

!

logging facility local6
logging 172.159.2.101
logging 172.159.34.101

!

access-list 10 remark CONSOLA SSH-TELNET : esta lista es para los PC's puedan iniciar sesión de telnet -ssh
access-list 5 permit 172.28.165.7
access-list 5 permit 172.28.165.6
access-list 5 permit 150.151.1.23
access-list 5 permit 150.151.1.33
access-list 5 permit 150.151.1.45 log
access-list 5 permit 172.28.163.41
access-list 5 permit 172.159.34.101 log
access-list 5 permit 150.151.1.100 log
access-list 5 permit 172.159.2.101 log
access-list 5 permit 172.159.2.100 log
access-list 5 permit 10.9.131.40
access-list 5 permit 142.186.1.0 0.0.0.255 log
access-list 5 permit 142.186.100.0 0.0.0.255 log
access-list 5 permit 172.16.0.0 0.0.255.255
access-list 5 deny any log

!
snmp-server community xxx RW
snmp-server community xxx RO
snmp-server location SW_1A
snmp-server contact MICRO xxxx

!
tacacs-server host 172.159.34.101 key xxx
tacacs-server host 172.159.2.101 key xxx

!

ip classless
ip http server
ip http access-class 10
ip http authentication local
ip http secure-server

!

line con 0
exec-timeout 3 0
password xxx
notify
line vty 0 4
access-class 5 in
exec-timeout 12 0
transport input all
transport output none
line vty 5 15
access-class 5 in
exec-timeout 12 0
transport input all

Saludos

ARTURO

7bjhernandez · ‎10-05-2018

Buenos dia s

1,. Para saber si es recomendado VTP en mi topología en la red tengo INSTALADO UN SW principal que tiene la prioridad más baja y tengo conectado todos los SW CLIENTES directamente al SW principal .. con enlace de fibra óptica, mi pregunta es necesario habilitar el VTP en los sw o no.

2.- ¿Cuál sería la opción correspondiente para los SW cliente? (transparente, cliente)

3.- ¿sería recomendado utilizar un password y dominio VTP.?

4.- En la topología de la red me afectaría hacer mi cambio del STP utilizando PVST+ a Rapid-PVST.

saludos ..

ARTURO

David Samuel Penaloza Seijas · ‎10-08-2018

Buenos dias!

No se recomienda hacer uso de Telnet, ya que la informacion se transmite en texto plano, lo mismo aplica para http.

transport input all <--- permite SSH y Telnet.

La autenticacion para WEB UI es local, seria recomendable cambiarlo a Tacacs. La nomenclatura del comando es la siguiente:

ip http authentication {aaa | enable | local | tacacs}

ip http server
ip http access-class 10
ip http authentication local
ip http secure-server

Si se habilita http secure-server, se recomienda deshabilitar http server, ya que no tendria caso mantener acceso inseguro si https esta habilitado.

El siguiente documento podria ayudarle: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/https/command/nm-https-cr-book/nm-https-cr-cl-sh.html#wp3445024686

7bjhernandez · ‎10-08-2018

Buenos días..

Ing. David

gracias por los comentarios...

Con las recomendaciones que usted me comentó para la seguridad via WEB http, se realizaron los cambio correspondientes pero no tengo resultados no tengo el acceso por medio de la web. con la direccion de administracion del SW.

Configuración anterior:

no ip http server -------- > deshabilitado del comando siguientes
ip http access-class 10
ip http authentication local ---> cambio de autenticación local - aaa
ip http secure-server

Configuración Actual:

no ip http server
ip http access-class 10
ip http authentication aaa
ip http secure-server

C37K_PRINCIPAL(config)# ip http authentication ?
aaa Use AAA access control methods
enable Use enable passwords
local Use local username and passwords

C37K_CCA_PRINCIPAL(config)# ip http authentication aaa

Se realiza cambio de los acceso remoto con el protocolo SSH:

line con 0
exec-timeout 3 0
password 7 094F471A1A0A
notify
line vty 0 4
access-class 10 in
exec-timeout 12 0
password 7 094F471A1A0A
transport input shh -->> solo acceso ssh seguro
transport output none
line vty 5 15
access-class 10 in
exec-timeout 12 0
password 7 104D000A0618
transport input ssh ---> solo acceso ssh seguro

Algun correo ing. david que me pueda apoyar (personal)...

saludos..

David Samuel Penaloza Seijas · ‎10-09-2018

Debe acceder por https (el equipo rechazara http porque esta deshabilitado)

https://<direccion ip de administracion>

Espero sea de ayuda

pZamora · ‎10-05-2018

Hola, he configurado una VPN Site to Site entre los routers RV325 en OCentral y un RV130 en OSucursal, está funcionando bien en cuanto desde OSucursal, haciendo ping hacia un dispositivo de la red de OCentral obtengo respuesta, inclusive desde el navegador puedo acceder a su configuración.

El problema que tengo es el de poder acceder a recursos compartidos de las PC en OCentral tal cómo una carpeta compartida.

Dicha problema lo estoy resolviendo con el comando "Net Use", pero me gustaría acceder por entorno de red viendo los equipos de dicha red y sus recursos compartidos.

Sucede que cuando accedo a entorno de red desde un PC en OSucursal solo veo las PC de esta red pero no veo las de OCentral.

No se si es un problema de DNS o de Servidor WINS o algo que me haya faltado configurar en los routers ya mencionados.

Agradeceré ayuda al respecto.

Attentamente

Paulino

David Samuel Penaloza Seijas · ‎10-08-2018

Buenos dias

Empecemos por responder algunas preguntas y asi comenzar a investigar:

Tiene usted idea de los puertos utilizados por esos servicios? Hay algun firewall implementado entre los equipos mencionados? Estan los mismos permitidos por alguna politica de firewall? Dichos servicios requieren adjacencia a nivel de capa 2?

Gracias!