Mejores practicas en configuraciones de switch Cisco

Descripcin
En esta apartado te voy a dar a conocer, las configuraciones generales
que debiese tener todo switch, para mantener el equipo ms confiable
de ataques o acceso a la red sin autorizacin.
Empecemos:
1. Deshabilitacin de servicios no utilizados
Descripcin : Deshabilitacin de servicios no utilizados por la
plataforma.
Comandos a aplicar :
no
no
no
no
no

ip source-route
service pad
ip finger
ip bootp server
mop enable

2. Habilitacin de comandos para minimizar impacto de ataque a

los equipos
Descripcin : Los siguientes comandos permiten mejorar las respuestas
de equipo (para su administracin) en caso de un ataque basado en
inundacin de trfico, mientras que los TCP keepalives permiten prevenir
sesiones truncadas en caso de desconexiones repentinas.
Comandos a aplicar :
scheduler allocate
service tcp-keepalives-in
service tcp-keepalives-out
3. Habilitacin de traps
Descripcin : Habilitacin de traps generados por eventos o cambios de
configuracin en los equipos.
loggin traps
logging event link-status default

snmp-server
snmp-server
snmp-server
snmp-server
snmp-server
snmp-server
snmp-server
snmp-server

enable
enable
enable
enable
enable
enable
enable
enable

traps
traps
traps
traps
traps
traps
traps
traps

vtp
vlancreate
vlandelete
envmon
stackwise
config
hsrp
ipmulticast

4. Habilitacin de Root Guard

Descripcin: Definicin de permetro de seguridad de STP. Estos
comandos sern aplicados en las interfaces de acceso de los equipos.
Comandos a utilizar:
Interface [tipo][numero]
spanning-tree guard root
o
spanning-tree rootguard
5. Habilitacin de BPDU Guard
Descripcin : Permitir deshabilitar una puerta en caso que se conecte
un switch a una puerta configurada con portfast (De esta forma se evita
que la insercin de un switch en la red sea descontrolada)
Comandos a utilizar:
spanning-tree portfast bpduguard
6. Conf. Passwords, nombre y otros
#conf t
enable secret xxxxxxxx
line con 0
exec-timeout 5 0
password xxxxxxxxx
line vty 0 4
exec-timeout 5 0
timeout login response 300
password xxxxxxxxxx

login
line vty 5 15
no login
udld enable
no ip http server
no setup express
no ip forward-protocol udp netbios-ns
no ip forward-protocol udp netbios-dgm
no ip source-routeno ip domain-lookup
service timestamps debug datetime localtime
service timestamps log datetime localtime
service password-encryption
logging buffered 8000 debugging
spanning-tree mode rapid-pvst
spanning-tree portfast bpduguard default
spanning-tree extend system-id