Cisco UADP ASIC 2.0

Al introducir los switches Catalyst 9000 hice referencia a que una de sus características distintivas me referí a la introducción en su hardware de los nuevos UADP ASIC 2.0 (UADP - Unified Access Data Plane).

Los switches Cat 9K se basan en estos nuevos circuitos ASIC (Application Specific Integrated Circuit) que agregan flexibilidad a la configuración de los mecanismos de reenvío de tráfico del plano de datos flexibilidad en la asignación de las tablas de información tanto SRAM (Static Random Access Memory) como TCAM (Ternary Content Addressable Memory). Estas innovaciones convierten a estos ASICs en una excepcional herramienta de hardware ajustable a los requisitos de implementación de cada red. Para esto Cisco ofrece un conjunto de plantillas ya probadas para su adaptación.

La característica destacable de estos circuitos en su versión 1.0 fue la convergencia completa del tráfico cableado e inalámbrico. Este fue el primer ASIC programable que constituyó la base de los switches Catalyst 3650 y 3850.

UADP 2.0

Se trata de la última generación de ASICs.

Entre sus características destacan:

• 7460 millones de transistores (la versión 1 utilizaba 1300 millones de transistores).
• Hasta cuadruplica el rendimiento de otro hardware de la industria.
• Soporta tablas SRAM y TCAM flexibles de 384000 contadores que se adaptan a diferentes implementaciones.
• Las tablas de búsqueda se intercambian entre diferentes núcleos.
• Microcontroladores integrados para gestionar cifrado, fragmentación y NetFlow.
• Soporta hasta 240 Gbps de tráfico agregado.
• Un búfer de paquetes de hasta 32 MB.
• Hasta 64000 x2 registros de NetFlow.

Su programabilidad permite incorporar nuevas tecnologías sin necesidad de implementar nuevo hardware y sin sacrificar performance.

Entre las mejoras que permiten está la implementación de SD-Access y programabilidad. Una muestra de su flexibilidad ha sido la incorporación de VXLAN sin necesidad de reemplazo de hardware con solamente una actualización del microcódigo. 

Estos circuitos (en algunos casos en su versión 1 o 1.1) están presentes en los switches Cisco Catalyst despachados desde 2013.

Para despejar dudas, compartir experiencia con otros, realizar consultas, las redes sociales nos dan una gran herramienta. Para eso están los diferentes grupos asociados a este blog.

Estás invitado a participar de nuestro grupo en Facebook:
https://www.facebook.com/groups/librosnetworking/

O si preferís redes sociales con mayor control de tu privacidad,
podés participar de nuestro grupo en VKontakte
https://vk.com/libros.networking

o seguir las principales novedades en el grupo de Telegram:
https://t.me/LibrosNetworking

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Operación de DHCP relay

La operación de requerir a un servidor DHCP una configuración IP se inicia desde un cliente DHCP instalado en una terminal que aún no tiene asignada una dirección IP.
Dado que el inicio de la operación del protocolo se realiza sin contar con una dirección IP de origen y utilizando broadcast como destino, las solicitudes DHCP (discovery) no son de suyo ruteables hacia otras redes o subredes. De aquí que en principio el protocolo supone que el servidor y el cliente DHCP se encuentran instalados en el mismo dominio de broadcast (red o subred).

Cuando se desea utilizar servidores DHCP alojados en una red o subred diferente de aquella en la que se encuentran las terminales a las que debe responder se puede utilizar un agente DHCP relay. 
Un DHCP relay es un dispositivo que recibe las solicitudes de los clientes en formato de broadcast y las reenvía como unicast dirigido a la dirección del servidor DHCP.

El procedimiento para obtener configuración IP a través de un DHCP relay es el siguiente:

• 1- DHCP Discovery.
      El cliente DHCP envía una solicitud en formato de broadcast.
• 2- DHCP Relay.
      El agente DHCP relay que recibe el broadcast lo retransmite a uno o más servidores DHCP remotos utilizando formato unicast e incluyendo la dirección de la interfaz en la cual recibió la solicitud como dirección de gateway (origen) de la solicitud.
• 3- DHCP Offer.
      El servidor utiliza la dirección de gateway que recibe en la solicitud para determinar a qué subred pertenece el host solicitante y asigna entonces una configuración que corresponda esa red o subred.
  El servidor DHCP reserva una dirección IP para el cliente y envía la respuesta en un paquete unicast a la dirección del gateway.
• 4- El DHCP relay recibe la respuesta del servidor y la reenvía al cliente.
• 5- DHCP Request.
      El cliente responde en formato broadcast realizando la solicitud explícita de la configuración ofrecida por el servidor.
• 6- El agente DHCP relay interviene nuevamente reenviando la solicitud al servidor DHCP en formato unicast.
• 7- DHCP Acknowledgement.
      El servidor marca la dirección como utilizada y envía un paquete en formato unicast al DHCP relay confirmando los parámetros.
• 8- El DHCP relay reenvía la confirmación al cliente.
      Esto completa el proceso.

En estos casos el servidor DHCP responde al DHCP relay y este se ocupa de reenviarlo al cliente DHCP. El servidor DHCP puede estar alojado en cualquier punto de la red, ya que al convertirse los paquetes a unicast, son completamente ruteables.

Cisco IOS incluye funciones de DHCP realy en todos los dispositivos capa 3 (switches y routers). Esta funcionalidad se invoca utilizando el comando ip helper-address.



Estás invitado a participar de nuestro grupo en Facebook:
https://www.facebook.com/groups/librosnetworking/

O seguir las principales novedades en el grupo de Telegram:
https://t.me/LibrosNetworking

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Elementos a considerar en la elección de un dispositivo

Al momento de generar un proyecto o elaborar una propuesta de comunicaciones o redes se supone que ante todo tenemos criterios técnicos. Pero en la realidad no es tan así.
Muchas veces nuestro punto de partida es presupuestario (cuánto está dispuesta a "gastar" la empresa en el proyecto) o de afinidad (qué tecnologías y productos conocemos).

Ciertamente deberíamos tener un punto de partida técnico.
Qué protocolos, herramientas o prestaciones son necesarias para poder responder a los objetivos que motivan el proyecto. Un inicio de tipo técnico no supone la elección de productos comerciales sino de recursos técnicos para luego ver qué productos comerciales son los que pueden dar respuesta ea estos requerimientos.
Inevitablemente el tema presupuestario es importante. Pero si nosotros mismos lo tomamos como punto de partida para la toma de decisiones se hará difícil desarrollar en la empresa una cultura de "inversión" en tecnología que desplace el concepto de "gasto" que sobrevuela muchas veces.

Más allá de estas consideraciones hay un criterio comercial que nosotros mismos como técnicos deberíamos respetar y tener presente para justificar nuestras elecciones y asesorar adecuadamente a quiénes deben tomar las decisiones de inversión.

• La adopción de tecnología debe estar en primer lugar en función de los objetivos de negocios y los requerimientos de funcionamiento de la organización.
  No es la tecnología por la tecnología misma.
• La implementación de tecnología en la empresa debe, por lo tanto, responder también a los requerimientos de seguridad, estabilidad y disponibilidad de tipo corporativo que se requieren en todos los aspectos de la empresa.

En consecuencia, al momento de seleccionar tecnologías y productos debemos tener presentes algunos criterios que no son puramente técnicos:

• Las buenas prácticas habituales del sector al cual pertenece la organización (sector financiero, comercial, minería, logística, etc.)
• La legislación y otras regulaciones locales, nacionales, regionales e internacionales que impactan directamente o indirectamente en la selección e implementación de tecnologías de comunicaciones. 
• La disponibilidad de servicios de implementación, post-venta, reposición de partes, soporte, etc., con respaldo del fabricante.
• La disponibilidad de recursos humanos capacitados y entrenamiento oficial para la adecuada gestión de la tecnología en función de los objetivos corporativos.
• La innovación tecnológica.
  En implementaciones corporativas buscamos flexibilidad, escalabilidad e innovación. Por ejemplo, una implementación WLAN que en la actualidad requiera la instalación de nuevos dispositivos debería estar considerando access points 802.11ac u 802.11ax que son los últimos estándares disponibles en el mercado, una implementación 802.11n limita las posibilidades de implementación de tecnología por parte de la empresa para sostener su operación en los próximos años.
• Que se trate de productos de tipo corporativo, no hogareño.
  Los productos corporativos tienen un mayor costo porque cubren una serie de aspectos que no pueden ser cubiertos con productos hogareños: garantía, soporte de hardware y software, servicios complementarios, documentación, etc.

En el caso de productos de networking para redes corporativas los fabricantes no deciden (la mayor parte de las veces) discontinuar o reemplazar un producto abruptamente de un día al siguiente. En términos generales, como parte de la dinámica comercial del fabricante, hay un roadmap que además del lanzamiento al mercado considera también las instancias de reemplazo futuro de ese producto.
Al considerar la necesidad de disponer de servicios brindados por el fabricante (garantía, soporte, actualizaciones, etc.) hay que evaluar esa información, que los fabricantes suelen proporcionar y documentar en sus sitios web. Si no está disponible hay que solicitarla.
Me refiero a las fechas previstas en las que un determinado producto ya no será soportado por el fabricante.

Cisco Systems suele ofrecer para cada producto esta información:

• FCS (First Customer Shipment)
  Fecha del primer despacho de una orden de compra de un cliente.
• Anuncio de EoL (End of Life)
  Fecha del documento que anuncia las fechas de retiro de un producto.
• EoS (End-of-Sale)
  Fecha límite para ingresar órdenes de compra en los mecanismos formales de Cisco. El producto no se vende más a partir de esta fecha.
• ENSA (End of New Service Attachment)
  Fecha límite para suscribir un contrato de servicio y soporte para el producto.
• LDS (Last Date of Support)
  Fecha límite para ingresar solicitudes de soporte o servicios. Después de esta fecha no hay soporte disponible y el producto es considerado obsoleto.

Consecuencia.
Desde mi perspectiva y salvo cuando hay una limitación de tipo presupuestaria, si se va a adquirir nuevo equipamiento de Cisco, además de las consideraciones técnicas y financieras, se deberían tener en consideración estos puntos:

• Priorizar dispositivos de última generación alineados con las nuevas arquitecturas: seguridad, SDN, BYOD, IoT, etc.
• Preferir equipamiento IOS XE a dispositivos IOS tradicionales.
• Considerar en la elección las prestaciones de seguridad, performance, gestión y calidad de servicio requeridas en la actualidad y en el futuro próximo.
• No descuidar la integración de la red cableada con la red inalámbrica.
• Evitar equipamiento cuya fecha de EoS esté próxima o que su fecha de ENSA esté a menos de 3 años.

Enlaces de consulta en Cisco Systems

• Versiones de IOS y NX-OS End-of-Sale / End-of-Life
• Productos de switching End-of-Sale / End-of-Life
• Productos de routing End-of-Sale / End-of-Life
• Productos de redes inalámbricas End-of-Sale / End-of-Life
• Productos de seguridad End-of-Sale / End-of-Life

Podés participar de nuestro grupo en Facebook:
https://www.facebook.com/groups/librosnetworking/

O seguir las principales novedades en el grupo de Telegram:
https://t.me/LibrosNetworking

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

SPAN - Gráfica

Switched Port Analyzer (SPAN) es una prestación de los switches Catalyst introducida con el propósito de facilitar la captura y monitoreo de tráfico que es conmutado a través de estos dispositivos.

• El puerto SPAN (destination interface) recibe una copia de cada trama que atraviesa el puerto del switch que se desea monitorear (source interface).
• El puerto SPAN se utiliza para conectar la herramienta de análisis de tráfico que se desea implementar.
• El puerto SPAN recibe una copia del tráfico que ingresa o sale de un determinado puerto, sin afectar el reenvío del tráfico de la red.

Switch(config)#monitor session 1 source interface Ethernet0/1 both

Switch(config)#monitor session 1 destination interface Ethernet0/10

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Introducción a QoS - Gráfica

La complejidad y requerimientos de las redes actuales exigen ir más allá de la simple preocupación por la conectividad extremo a extremo con el propósito de garantizar las condiciones en que el flujo de información de las diferentes aplicaciones circulará sobre la red una vez establecida esa conexión entre origen y destino.
El objetivo de implementar calidad de servicio es garantizar condiciones específicas de disponibilidad de ancho de banda, delay y pérdida de paquetes para cada uno de esos diferentes tipos de tráfico. 
Con este propósito se implementan diferentes mecanismos y herramientas que permiten aplicar las políticas de calidad de servicio definidas al tráfico en la infraestructura de la red:

• Herramientas de clasificación y marcado.
  Son mecanismos que analizan el tráfico para agruparlo en diferentes clases.
  La clasificación es una tarea que requiere recursos de procesamiento, por lo que se procura realizarla la menor cantidad de veces posible y lo más cerca posible del origen; por esto, luego de clasificar el tráfico se lo marca.
• Herramientas de gestión de la congestión y scheduling.
  Cuando el tráfico excede la capacidad de la red el tráfico es colocado en colas de memoria a la espera de contar con suficientes recursos. Estas herramientas permiten gestionar ese tráfico según parámetros definidos.
• Herramientas específicas de los enlaces.
  Sobre enlaces WAN es posible aplicar herramientas especiales de calidad de servicio, como es el caso de la fragmentación e intercalado.

Este gráfico intenta mostrar de modo sintético y abarcativo las diferentes herramientas en la secuencia de operación sobre el flujo de paquetes.

Para profundizar en algunos temas de QoS:

• Post: Elementos básicos de QoS
• Post: Modelos de implementación de QoS
• Post: Marcado de tráfico para QoS

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Violación de política en Port-Security - Gráfica

Una de las herramientas de seguridad provistas por los switches Catalyst más conocida e implementada, es Port Security.
Port Security distingue entre 2 tipos de direcciones MAC de origen:

• Direcciones seguras.
  Aquellas que responden a la política de seguridad definida para el puerto del switch.
• Direcciones inseguras.
  Las que no responden a la política de seguridad del puerto en el que se recibe.

En función de esta distinción, las direcciones inseguras violan la política de seguridad y consecuentemente se toma sobre ellas alguna acción, que es una de las 3 definidas por el feature y que se representan en el gráfico a continuación.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Interfaces en Errdisable

Desde que hacemos nuestras primeras armas en redes que utilizan switches Cisco Catalyst aparece un concepto específico: los puertos en estado "err-disabled".
¿Qué significa eso?

El estado errdisable
El estado errdisable aparece cuando un puerto de un switch se encuentra habilitado por configuración (no shutdown) pero el sistema operativo detecta una situación de error y por lo tanto evalúa que se la debe desactivar.
Un puerto en estado error disabled operativamente está fuera de operación (shutdown) y no envía o recibe tráfico de ningún tipo. El LED del puerto se fija en color ámbar y cuando se lo verifica utilizando el comando show interfaces aparece como err-disabled.

Switch#show interfaces fastethernet 0/1 status 

Port   Name    Status       Vlan     Duplex  Speed Type
Fa0/1          err-disabled 100        auto   auto 10/100BaseTX

Este estado de errdisable tiene 2 propósitos:

• Indica al administrador cuándo y dónde un puerto ha detectado problemas.
• Elimina la posibilidad de que este puerto cause fallos en otros puertos o el módulo en el que se encuentra.
  Un puerto con fallas puede ocupar la totalidad de los buffers de memoria disponibles o sus mensajes pueden causar errores en la red. Esto es evitado al colocar el puerto en error.

Causas del estado errdisable
Este estado se introdujo inicialmente en los puertos de los switches para manejar situaciones especiales provocadas por exceso de colisiones en al red generadas por diferentes causas:

• Un cable Ethernet fuera de especificaciones (p.e. muy largo).
• Una interfaz de red en malas condiciones (p.e. problemas físicos).
• Un error de configuración de dúplex en los puertos.

Más allá de esa implementación inicial hoy el estado errdisable está asociado a múltiples implementaciones comunes en redes conmutadas:

• No coincidencia de dúplex
• Mala configuración del port channel
• Violación de BPDU Guard
• Condición UniDirectional Link Detection (UDLD)
• Detección de colisiones tardías
• Detección de link-flap 
• Violación de seguridad (port-security)
• Flapeo de Port Aggregation Protocol (PAgP) 
• Layer 2 Tunneling Protocol (L2TP) guard
• DHCP snooping rate-limit
• GBIC / Small Form-Factor Pluggable (SFP) módulo o cable incorrecto
• Address Resolution Protocol (ARP) Inspection
• Inline Power

La colocación del puerto en este estado está definida como acción por defecto ante la detección de cualquiera de estas situaciones. El comando show errdisable detect permite verificar cuáles son las acciones que están asociadas a este estado.

Documentación de referencia

• Errdisable Port State Recovery on the Cisco IOS Platforms

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Resguardo del archivo de configuración - Gráfica

Un punto esencial en la gestión de dispositivos es el resguardo y recuperación de copias del archivo de configuración.
La herramienta esencial para esto es el comando copy.
Este comando nos permite almacenar copias de resguardo (y recuperarlas desde) diferentes repositorios: la memoria NVRAM, la memoria flash, un servidos FTP o TFTP.
Estos gráfico intentan mostrar las diferentes opciones.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Opeación default gateway - Gráfica

La operación de IPv4 originalmente definida, establece que al momento de encapsular en capa 2 un paquete que tiene una dirección IP destino fuera del segmento de red se utilice el procedimiento ARP proxy.
Sin embargo, con el paso del tiempo ARP proxy fue reemplazado en muchos sistemas operativos por la configuración de un default gateway.
¿Cómo es entonces el proceso de toma de decisiones para obtener la dirección MAC destino con la que debe encapsularse una trama que transporta un paquete cuya dirección IP destino pertenece a otro segmento de red?

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

MPLS - MultiProtocol Label Switching

En la actualidad hay una tecnología dominante a nivel de proveedores de servicio de conectividad WAN: MPLS.
MPLS es un mecanismo de conmutación de tráfico fruto de la evolución de las redes IP ruteadas tradicionales que está reemplazando tecnologías WAN tradicionales tales como Frame Relay, ATM, X.25, etc.

Sobre la base de un concepto inicial introducido en 1994 por Toshiba (CSR - Cell Switch Router) en el año 1996 se genera un grupo integrado por Ipsilon Networks, Cisco Systems e IBM y como resultado de ese trabajo Cisco presenta una tecnología propietaria inicialmente llamada Tag Switching que luego daría lugar al actual Label Switching.
El MPLS actual es una tecnología estándar desarrollada por la IETF y documentada inicialmente en el RFC 3031.

La base de la operación de MPLS es la introducción de una "etiqueta" entre los encabezados de capa 2 y 3 en base a la cual la red del proveedor reenvía el tráfico entre origen y destino.

• Documentado inicialmente en el RFC 3031.
• Agrega una etiqueta de 4 bytes entre el encabezado de la trama y el del paquete.
• Puede encapsular tráfico no-IP.
• El reenvío de tráfico se hace en base a la información de la etiqueta, sin llegar a revisar el encabezado del paquete.

• Proporciona una red flexible en el manejo de las rutas, independiente del encabezado de capa 3 y de alta capacidad de reenvío de tráfico.
• En redes Cisco exige la implementación de CEF.
• Reduce los requerimientos de procesamiento en la red del proveedor de servicios.
• Los dispositivos que imponen y retiran etiquetas al ingresar o salir de la red MPLS reciben la denominación de LER (Label Edge Router).
• La arquitectura está compuesta por dispositivos llamados LSRs (Label Switching router) que reenvían tráfico en base a la información de las etiquetas.
• En el ingreso a la red MPLS el LER identifica el tráfico perteneciente a una FEC (Forward Equivalent Class) y le asigna la etiqueta correspondiente que lo identifica.
• La ruta que utiliza una FEC para atravesar la red MPLS recibe el nombre de LSP (Label Swtiched Path).
• Una FEC es en definitiva un conjunto de tráfico que utiliza una ruta común para atravesar la red MPLS y que se identifica con una misma etiqueta.
• Las etiquetas tienen significado exclusivamente local.
• Cada dispositivo (LSR) genera sus propias etiquetas y las intercambia con sus dispositivos vecinos utilizando LDP (Label Distribution Protocol).
• Una LSP define una ruta virtual que el tráfico de una FEC utilizará para atravesar la red del proveedor desde un origen específico (LER de origen) y un destino específico (LER de destino).
• Hay diferentes implementaciones posibles de MPLS. La más frecuente es la denominada frame mode, utilizando como base del reenvío de tráfico las rutas IP (cada etiqueta identifica una red IP destino).
• Hay múltiples aplicaciones para esta tecnología en la red de los proveedores de servicios: Enrutamiento unicast, VPNs capa 2 y capa 3, ingeniería de tráfico, transporte de múltiples contenidos digitales.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Claves de acceso en Cisco IOS - Gráfica

Cisco IOS incluye una serie de prestaciones de seguridad para controlar el acceso a los dispositivos y la información que contienen.
Entre esos recursos un conjunto básico de elementos son las claves de acceso.Estas claves permiten bloquear el acceso a la línea de comandos y a las funciones avanzadas de monitoreo y configuración.

• Claves de acceso a modo usuario.
• Clave de acceso a modo privilegiado.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Terminología NAT - Gráfica

Al implementar y analizar NAT es necesario considerar la terminología que es propia de esta implementación.  El punto de referencia es primariamente el mismo NAT server o NAT box.

• Red inside.
  Red que se encuentra del lado “interno” del dispositivo NAT.
  Habitualmente coincide con la red LAN.

• Red outside.
  Red del lado “externo” del dispositivo NAT.
  Habitualmente coincide con la red WAN o Internet.

Se deben considerar también las diferentes direcciones IPv4 en juego en este proceso:

• Inside Local Address
  Dirección asignada a los dispositivos que se encuentran conectados a la red Inside y que utilizan para sus comunicaciones locales.
• Inside Global Address.
  Dirección admitida en la red Outside que han de utilizar los dispositivos de la red Inside para establecer comunicaciones a través de la red Outside.
  Es la que representa a una terminal de la red Inside en la red Outside.
• Outside Local Address.
  Dirección configurada en los dispositivos que se encuentran conectados a la misma rede local, pero en la red Outside.
• Outside Global Address.
  Dirección que representa a un dispositivo de la red Outside en la red Global.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Next-Generation Cryptography

En la actualidad se sugiere que se actualicen las herramientas criptográficas que se implementan en las políticas corporativas de protección de la confidencialidad de la información transmitida.
Para esta actualización se propone la adopción de un conjunto de algoritmos denominados "Suite B".

La Suite B se considera como un estándar público avanzado de criptografía que proporciona sistemas de seguridad de al menos 128 bits de longitud o equivalentes, lo que supera claramente los estándares utilizados hasta el momento y brinda un entorno seguro para el intercambio de información corporativa sobre redes públicas como Internet.

Suite B responde a los requerimientos de múltiples certificaciones de seguridad como PCI (Payment Card Industry), HIPAA (Health Insurance Portability and Accountability Act) y FIPS (Federal Information Processing Standards).

La suite B

Ha sido inicialmente definida por la NSA como adecuada para asegurar información clasificada, y ha sido descrita en el RFC 4869 para su utilización con IPsec. Considera 4 algoritmos criptográficos de dominio público:

• Cifrado basado en AES de 128 o 256 bits en modo Galois/Counter (GCM).
• Firma digital con ECDSA utilizando curvas de 256 y 384 bits.
• Para el intercambio de llaves se utiliza método ECDH.
• Algoritmo de hash se basa en SHA-2.

Para asegurar compatibilidad e interoperabilidad los dispositivos que incorporan Suite B están sometidos a las mismas regulaciones y certificaciones que los que brindan el soporte IPsec tradicional incluyendo FIPS y Common Criteria.

La Suite B evoluciona el conjunto de algoritmos típicamente soportado para la implementación de IPsec:

• Para el cifrado simétrico:
  Inicialmente se sugería DES o 3DES.
  Ahora AES 128 o AES 256.
• Para la firma digital:
  Inicialmente se sugería RSA de 2048 bits.
  Ahora ECDSA.
• Como algoritmo de hash:
  Inicialmente se sugería MD5 o SHA-1
  Ahora SHA-2 (256, 384 o 512 bits)
• Para el intercambio de llaves:
  Se sugería DH
  Ahora ECDH

Suite B en Cisco

Cisco ha participado del desarrollo de esta suite de algoritmos de cifrado desde el inicio, particularmente trabajando en el desarrollo y estandarización del modo de operación Galois/Counter de AES utilizado en el cifrado simétrico de esta suite.

Actualmente la Suite B está incorporada en los principales productos Cisco de manera tal que pueden aplicarse en soluciones VPN IPsec o DMVPN. 

Estos algoritmos están disponibles para su implementación en los routers ISR G2 desde IOS 15.1 o 15.2 según la plataforma. 

También se introdujo en IOS-XE 3.7, con lo que está disponible en CSR 1000v con IOS-XE 3.12 y en ISR 4400 desde IOS-XE 3.9, ISR 4300 desde IOS-XE 3.13.
En Cisco ASA la suite B está disponible a partir de versión 9.0. Requiere AnyConnect 3.1 o superior con licencia Premium.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Power over Ethernet

Una tecnología a la que no prestamos siempre la debida atención es la que popularmente denominamos de modo genérico PoE.
Es decir, el suministro de alimentación eléctrica a través del cableado Ethernet tradicional (UTP).
Hoy ya no lo podemos considerar un "opcional" que puede o no estar presente en un switch corporativo. Teléfonos, cámaras IP, access points e incluso terminales pueden recibir su suministro de energía a través del cableado de red. Y este "pueden" toma mayor fuerza cuando consideramos que para el despliege de dispositivos conectados puede ser suficiente el cableado de datos y que por lo tanto no exigiría despliegue de tendido eléctrico.
El tema es que no todo PoE es PoE.
Es decir... lo que llamamos genéricamente PoE es un conjunto de tecnologías diferentes, cada una de las cuales da prestaciones específicas y diferentes.
En dispositivos Cisco hay al menos 5 categorías que debemos considerar:

• Inline Power
• PoE (IEEE 802.3af)
• Enhanced PoE
• PoE+ (IEEE 802.3at)
• Universal PoE

Paso a continuación a revisar cada una de estas opciones.

Cisco Inline Power

• Pre-estándar propietario de Cisco.
• Proporciona hasta 6,3 Watts por puerto.
• Diseñado para dar soporte a teléfonos IP como los Cisco 7906G, 7911G, 7941G, etc.

IEEE 802.3af (PoE)

• Primer estándar definido por la IEEE en el junio de 2003.
• Proporciona hasta 15,4 W por puerto.
• Son 12,95 W al dispositivo considerando la pérdida de 100 m. de UTP.
• Utiliza solamente 2 pares del cable UTP categoría 5e.
• Permite dar alimentación eléctrica a  teléfonos 7941G-GE, 7985G y access points.

Enhanced PoE

• Extensión del estándar 802.3af propietaria de Cisco.
• Proporciona hasta 20 W por puerto.

IEEE 802.3at (PoE+)

• Nuevo estándar presentado por la IEEE en el año 2009.
• Proporciona hasta 30 W por puerto.
• Son 25,5 W al dispositivo considerando la pérdida de 100 m. de UTP.
• Utiliza solamente 2 pares del cable UTP categoría 5e.
• Extiende la posibilidad de suministro eléctrico a access points 802.11n, cámaras de seguridad, etc.

Universal PoE

• Desarrollo propietario presentado por Cisco en el año 2011.
• Proporciona hasta 60 W por puerto.
• Son 51 W al dispositivo considerando la pérdida de 100 m. de UTP.
• Utiliza los 4 pares del cable UTP categoría 5e.
• Puede implementarse en sistemas cableados estándar que soportan 802.3at.
• Soporta la alimentación eléctrica de switches Catalyst compactos, sistemas de telepresencia personales, etc.

Más allá de la variante de PoE que implemente cada switch, es importante considerar la capacidad de alimentación eléctrica del dispositivo ya que no depende exclusivamente de la cantidad de puertos con capacidad PoE, sino también de la fuente de alimentación eléctrica implementada.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.

Categorías de cableado Ethernet

En redes Ethernet es habitual hablar de cableado categoría 5, y últimamente categoría 6. Pero con el paso del tiempo nos acostumbramos a la referencia estándar y olvidamos los detalles técnicos que están detrás de ella.
Además, la elaboración de cableado de cobre ha evolucionado notablemente en los últimos años y nuevas categorías han aparecido.
Por eso me pareció interesante hacer una compilación de la información más relevante de las categorías actualm
ente en uso.

Categoría 1
Utilizado para cableado telefónico.
Actualmente no considerado por TIA/EIA para cableado estructurado.

Categoría 2
Igualmente, fuera de la consideración de TIA/EIA.

Categoría 3
Actualmente integrado en TIA/EIA 568-B.
Diseñado para transmisiones de hasta 16 MHz..
Apto para redes Ethernet 10Base-T.

Categoría 4
Tampoco está incluido en TIA/EIA.

Categoría 5
No se encuentra reconocido en TIA/EIA.

Categoría 5e
Cableado incluido en TIA/EIA 568-B.
Diseñado para transmisiones que utilizan frecuencias de hasta 100 MHz.
UTP o STP.
Utilizado en redes Ethernet 10 Base-T, 100 Base-T y 1000 Base-T. Con puerto multigigabit se puede llegar hasta 2,5 Gbps
Gran parte del cableado estructurado actualmente en uso corresponde a esta especificación.

Categoría 6
Incluido en TIA/EIA 568-B
Diseñado para transmisiones de hasta 250 MHz.
UTP o STP.
Utilizado en redes GigabitEthernet. Con puertos multigigabit se puede llegar hasta 5 Gbps.
Junto con el cableado categoría 5e, gran parte del cableado actualmente en uso es de este tipo.

Categoría 6a
Incluido también en EIA/TIA 568-B.
Diseñado para transmisiones de hasta 500 MHz.
UTP o STP.
Utilizado para el despliegue de redes de Ethernet 10GBase-T.

Categoría 7
Considerado en la norma ISO-11801.
Soporta comunicaciones de hasta 600 MHz.
STP.
Diseñado para redes Ethernet 10GBase-T.

Categoría 7A
Incluido en la norma ISO-11801.
Soporta transmisiones de hasta 1000 MHz.
STP.
Utilizado en redes Ethernet 10GBase-T.

Categoría 8
Diseñado para transmisiones de hasta 2000 MHz.
Cable plano (no trenzado), blindado.
Tutilizado en redes Ethernet 25GBase-T y 40GBase-T.

Las abreviaturas y siglas utilizadas en este post puede encontrarlas desarrolladas en

 el Glosario de Siglas y Términos de Networking

que está disponible en la Librería en Línea de EduBooks.