Vous êtes sur la page 1sur 27

Prctica de laboratorio 3.5.

1: Configuracin bsica de VLAN


Diagrama de topologa

Tabla de direccionamiento
Dispositivo
Nombre
de host
S1

Interfaz

Direccin IP

Mscara
de subred

Gateway (puerta de salida)


predeterminada

VLAN 99

172.17.99.11

255.255.255.0

No aplicable

S2

VLAN 99

172.17.99.12

255.255.255.0

No aplicable

S3

VLAN 99

172.17.99.13

255.255.255.0

No aplicable

PC1

NIC

172.17.10.21

255.255.255.0

172.17.10.1

PC2

NIC

172.17.20.22

255.255.255.0

172.17.20.1

PC3

NIC

172.17.30.23

255.255.255.0

172.17.30.1

PC4

NIC

172.17.10.24

255.255.255.0

172.17.10.1

PC5

NIC

172.17.20.25

255.255.255.0

172.17.20.1

PC6

NIC

172.17.30.26

255.255.255.0

172.17.30.1

Asignaciones iniciales de puertos (Switches 2 y 3)


Puertos
Fa0/1 0/5
Fa0/6 0/10
Fa0/11 0/17
Fa0/18 0/24

Asignacin
Enlaces troncales 802.1q (VLAN 99 nativa)
VLAN 30: Guest (predeterminada)
VLAN 10: Cuerpo docente/personal
VLAN 20: Estudiantes

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Red
172.17.99.0 /24
172.17.30.0 /24
172.17.10.0 /24
172.17.20.0 /24

Pgina 1 de 7

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.1: Configuracin bsica de VLAN

Objetivos de aprendizaje
Al completar esta prctica de laboratorio podr:
x

Cablear una red segn el diagrama de topologa

Borrar la configuracin inicial y volver a cargar un switch al estado predeterminado

Realizar las tareas de configuracin bsicas en un switch

Crear las VLAN

Asignar puertos de switch a una VLAN

Agregar, mover y cambiar puertos

Verificar la configuracin de la VLAN

Habilitar el enlace troncal en conexiones entre switches

Verificar la configuracin de enlace troncal

Guardar la configuracin de la VLAN

Tarea 1: Preparar la red


Paso 1: Cablear una red de manera similar al diagrama de topologa.
Puede utilizar cualquier switch actual en su prctica de laboratorio siempre y cuando ste tenga las
interfaces necesarias que se muestran en la topologa.
Nota: Si utiliza switches 2900 o 2950, los resultados pueden aparecer de manera diferente. Asimismo,
ciertos comandos pueden ser diferentes o no encontrarse disponibles.
Paso 2: Borrar configuraciones existentes en los switches e inicializar todos los puertos en
estado desactivado.
De ser necesario, consulte la Prctica de laboratorio 2.5.1, Apndice 1, para leer sobre el procedimiento
para borrar las configuraciones del switch.
Es una optimizacin deshabilitar puertos no utilizados en los switches mediante su desactivacin.
Deshabilite todos los puertos en los switches:
Switch#config term
Switch(config)#interface range fa0/1-24
Switch(config-if-range)#shutdown
Switch(config-if-range)#interface range gi0/1-2
Switch(config-if-range)#shutdown

Tarea 2: Realizar las configuraciones bsicas del switch


Paso 1: Configurar los switches de acuerdo con la siguiente gua:
x

Configure el nombre de host del switch.

Deshabilite la bsqueda DNS.

Configure una contrasea de modo EXEC: clase.

Configure la contrasea cisco para las conexiones de consola.

Configure la contrasea cisco para las conexiones de vty.

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 2 de 7

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.1: Configuracin bsica de VLAN

Paso 2: Volver a habilitar los puertos de usuario en S2 y S3.


S2(config)#interface range fa0/6, fa0/11, fa0/18
S2(config-if-range)#switchport mode access
S2(config-if-range)#no shutdown
S3(config)#interface range fa0/6, fa0/11, fa0/18
S3(config-if-range)#switchport mode access
S3(config-if-range)#no shutdown

Tarea 3: Configurar y activar las interfaces Ethernet


Paso 1: Configurar las PC.
Puede completar esta prctica de laboratorio utilizando slo dos PC, simplemente modificando
las direcciones IP de las dos PC especficas de una prueba que desea llevar a cabo. Por ejemplo: si
desea probar la conectividad entre la PC1 y la PC2, configure las direcciones IP para aquellas PC que
se refieren a la tabla de direccionamiento al comienzo de la prctica de laboratorio. Alternativamente,
puede configurar las seis PC con las direcciones IP y gateways predeterminadas.

Tarea 4: Configurar las VLAN en el switch


Paso 1: Crear las VLAN en el switch S1.
Utilice el comando vlan vlan-id en modo de configuracin global para aadir una VLAN al switch S1. Hay
cuatro VLAN configuradas para esta prctica de laboratorio: VLAN 10 (cuerpo docente/personal); VLAN
20 (estudiantes); VLAN 30 (guest); y VLAN 99 (administracin). Despus de crear la VLAN, estar en
modo de configuracin de vlan, donde puede asignar un nombre para la VLAN mediante el comando
name vlan name.
S1(config)#vlan 10
S1(config-vlan)#name
S1(config-vlan)#vlan
S1(config-vlan)#name
S1(config-vlan)#vlan
S1(config-vlan)#name
S1(config-vlan)#vlan
S1(config-vlan)#name
S1(config-vlan)#end
S1#

faculty/staff
20
students
30
guest
99
management

Paso 2: Verificar que las VLAN estn creadas en S1.


Use el comando show vlan brief para verificar que las VLAN se hayan creado.
S1#show vlan brief
Nombre de la VLAN
Estado
Puertos
---- ------------------------------- --------- ----------------------------1
default
active
Fa0/1, Fa0/2, Fa0/4, Fa0/5
Fa0/6, Fa0/7, Fa0/8, Fa0/9
Fa0/10, Fa0/11, Fa0/12, Fa0/13
Fa0/14, Fa0/15, Fa0/16, Fa0/17
Fa0/18, Fa0/19, Fa0/20, Fa0/21
Fa0/22, Fa0/23, Fa0/24, Gi0/1
Gi0/2

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 3 de 7

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

10
20
30
99

faculty/staff
students
guest
management

Prctica de laboratorio 3.5.1: Configuracin bsica de VLAN

active
active
active
active

Paso 3: Configurar y asignar un nombre a las VLAN en los switches S2 y S3.


Cree y asigne un nombre para las VLAN 10, 20, 30 y 99 en S2 y S3 mediante los comandos del Paso 1.
Verifique la configuracin correcta mediante el comando show vlan brief.
Qu puertos se encuentran asignados actualmente a las cuatro VLAN que se han creado?
_______________________________
Paso 4: Asignar puertos de switch a las VLAN en S2 y S3.
Consulte la tabla para la asignacin de puertos que se encuentra en la pgina 1. Los puertos se asignan
a las VLAN en modo de configuracin de interfaces, utilizando el comando switchport access vlan vlanid. Puede asignar cada puerto en forma individual o se puede utilizar el comando interface range para
simplificar la tarea, como se muestra en este ejemplo. Los comandos se muestran slo para S3, pero S2
y S3 se deben configurar de manera similar. Guarde la configuracin al terminar.
S3(config)#interface range fa0/6-10
S3(config-if-range)#switchport access vlan 30
S3(config-if-range)#interface range fa0/11-17
S3(config-if-range)#switchport access vlan 10
S3(config-if-range)#interface range fa0/18-24
S3(config-if-range)#switchport access vlan 20
S3(config-if-range)#end
S3#copy running-config startup-config
Destination filename [startup-config]? [intro]
Building configuration...
[OK]
Paso 4: Determinar qu puertos se han agregado.
Utilice el comando show vlan id vlan-number en S2 para ver qu puertos se asignan a VLAN 10.
Qu puertos estn asignados a la VLAN 10?
_______________________________________________________
Nota: El comando show vlan id vlan-name muestra el mismo resultado.
Tambin puede ver la informacin sobre la asignacin de VLAN utilizando el comando show interfaces
interface switchport.
Paso 5: Asignar la VLAN de administracin.
Una VLAN de administracin es cualquier VLAN que se configura para acceder a las capacidades
administrativas de un switch. La VLAN 1 funciona como VLAN de administracin si no ha definido
especficamente otra VLAN. Se asigna a la VLAN de administracin una direccin IP y mscara
de subred. Un switch puede administrarse mediante HTTP, Telnet, SSH o SNMP. Debido a que la
configuracin no convencional de un switch Cisco cuenta con la VLAN 1 como VLAN predeterminada,
la misma es una mala eleccin como VLAN de administracin. Usted no desea que un usuario arbitrario
que se conecta a un switch acceda de manera predeterminada a la VLAN de administracin. Recuerde
que anteriormente, en esta misma prctica de laboratorio, configur la VLAN 99 como VLAN de
administracin.
Desde el modo de configuracin de interfaz, utilice el comando ip address para asignar la direccin IP
de administracin a los switches.

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 4 de 7

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.1: Configuracin bsica de VLAN

S1(config)#interface vlan 99
S1(config-if)#ip address 172.17.99.11 255.255.255.0
S1(config-if)#no shutdown
S2(config)#interface vlan 99
S2(config-if)#ip address 172.17.99.12 255.255.255.0
S2(config-if)#no shutdown
S3(config)#interface vlan 99
S3(config-if)#ip address 172.17.99.13 255.255.255.0
S3(config-if)#no shutdown
La asignacin de una direccin de administracin permite la comunicacin IP entre switches y permite
tambin que cualquier host conectado a un puerto asignado a la VLAN 99 se conecte a los switches.
Debido a que la VLAN 99 se encuentra configurada como la VLAN de administracin, cualquier puerto
asignado a esta VLAN se considera puerto de administracin y debe contar con seguridad para controlar
qu dispositivos pueden conectarse a estos puertos.
Paso 6: Configurar los enlaces troncales y la VLAN nativa para los puertos de enlace troncales
en todos los switches.
Los enlaces troncales son conexiones entre los switches que permiten a los mismos intercambiar
informacin para todas las VLAN. De manera predeterminada, un puerto troncal pertenece a todas las
VLAN, a diferencia del puerto de acceso que slo puede pertenecer a una sola VLAN. Si el switch admite
tanto el encapsulamiento de VLAN ISL como el de 802.1Q, los enlaces troncales deben especificar qu
mtodo utilizan. Debido a que el switch 2960 slo admite el enlace troncal 802.1Q, no se especifica en
esta prctica de laboratorio.
Se asigna una VLAN nativa a un puerto troncal 802.1Q. En la topologa, la VLAN nativa es VLAN 99.
Un enlace troncal 802.1Q admite trfico de varias VLAN (trfico etiquetado) as como el trfico que no
proviene de una VLAN (trfico sin etiquetar). El puerto de enlace troncal 802.1Q coloca el trfico sin
etiquetar en la VLAN nativa. El trfico sin etiquetar se genera con una computadora conectada a un
puerto del switch que se configura con la VLAN nativa. Una de las especificaciones de IEEE 802 1Q
para VLAN nativas es mantener la compatibilidad retrospectiva con el trfico sin etiquetar comn en
los escenarios de LAN antiguas. A los fines de esta prctica de laboratorio, una VLAN nativa sirve como
identificador comn en lados opuestos de un enlace troncal. Es una optimizacin utilizar una VLAN que
no sea VLAN 1 como VLAN nativa.
Simplifique la configuracin de enlaces troncales con el comando interface range en el modo de
configuracin global.
S1(config)#interface range fa0/1-5
S1(config-if-range)#switchport mode trunk
S1(config-if-range)#switchport trunk native vlan 99
S1(config-if-range)#no shutdown
S1(config-if-range)#end
S2(config)# interface range fa0/1-5
S2(config-if-range)#switchport mode trunk
S2(config-if-range)#switchport trunk native vlan 99
S2(config-if-range)#no shutdown
S2(config-if-range)#end
S3(config)# interface range fa0/1-5
S3(config-if-range)#switchport mode trunk
S3(config-if-range)#switchport trunk native vlan 99
S3(config-if-range)#no shutdown
S3(config-if-range)#end
Verifique que los enlaces troncales se hayan configurado mediante el comando show interface trunk.

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 5 de 7

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.1: Configuracin bsica de VLAN

S1#show interface trunk


Puerto
Fa0/1
Fa0/2

Modo
on
on

Estado de encapsulamiento
802.1q
trunking
802.1q
trunking

Vlan nativa
99
99

Port
Fa0/1
Fa0/2

Vlans allowed on trunk


1-4094
1-4094

Port
Fa0/1
Fa0/2

VLAN permitidas y activas en el dominio de administracin


1,10,20,30,99
1,10,20,30,99

Puerto
Fa0/1
Fa0/2

Vlan en estado de envo de spanning tree y no depuradas


1,10,20,30,99
1,10,20,30,99

Paso 7: Verificar que los switches se puedan comunicar.


Desde S1, haga ping a la direccin de administracin en S2 y S3.
S1#ping 172.17.99.12
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.17.99.12, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/9 ms
S1#ping 172.17.99.13
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.17.99.13, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms
Paso 8: Hacer ping a varios hosts desde la PC2.
Haga ping desde el host de PC2 al host de PC1 (172.17.10.21). El intento de hacer ping fue exitoso?
_________
Haga ping desde el host PC2 a la direccin IP de la VLAN 99 del switch 172.17.99.12. El intento
de hacer ping fue exitoso? _________
Debido a que estos hosts se encuentran en diferentes subredes y diferentes VLAN, no pueden
comunicarse sin un dispositivo de Capa 3 que sirva de ruta entre las subredes separadas.
Haga ping desde el host PC2 al host PC5. El intento de hacer ping fue exitoso? _________
Debido a que la PC2 se encuentra en la misma VLAN y la misma subred que la PC5, el ping fue exitoso.
Paso 9: Ubicar la PC1 en la misma VLAN que la PC2.
El puerto conectado a PC2 (S2 Fa0/18) se asigna a la VLAN 20, y el puerto conectado a la PC1
(S2 Fa0/11) se asigna a la VLAN 10. Reasigne el puerto S2 Fa0/11 a la VLAN 20. No es necesario
eliminar primero un puerto de una VLAN para cambiar su pertenencia de VLAN. Despus de reasignar
un puerto a una nueva VLAN, ese puerto se elimina automticamente de su VLAN anterior.
S2#configure terminal
Enter configuration commands, one per line. Finalice con CNTL/Z.
S2(config)#interface fastethernet 0/11
S2(config-if)#switchport access vlan 20
S2(config-if)#end

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 6 de 7

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.1: Configuracin bsica de VLAN

Haga ping desde el host PC2 al host PC1. El intento de hacer ping fue exitoso? _________
Aun cuando los puertos utilizados por la PC1 y PC2 se encuentran en la misma VLAN, an estn
en subredes diferentes, por lo que no pueden comunicarse directamente.
Paso 10: Cambiar la dreccin IP y la red en PC1.
Asigne 172.17.20.22 como direccin IP de PC1. La mscara de subred y la gateway predeterminada
pueden seguir siendo las mismas. Una vez ms, haga ping desde el host PC2 al host PC1 utilizando
la direccin IP recin asignada.
El intento de hacer ping fue exitoso? _________
Por qu fue exitoso?
____________________________________________________________________________________
____________________________________________________________________________________

Tarea 7: Documentar las configuraciones de los switches


En cada switch, capture la configuracin activa en un archivo de texto y consrvela para futuras
referencias.

Tarea 6: Limpieza
Borre las configuraciones y vuelva a cargar los switches. Desconecte y guarde el cableado. En caso
de PC hosts que estn normalmente conectadas a otras redes (tales como la LAN de la escuela o de
Internet) vuelva a conectar el cableado apropiado y restaure la configuracin de TCP/IP.

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 7 de 7

Prctica de laboratorio 3.5.2: Desafo de configuracin de VLAN


Diagrama de topologa

Tabla de direccionamiento
Dispositivo
Nombre de host

Interfaz

Direccin IP

Mscara de subred

Gateway
(puerta de salida)
predeterminada

S1

VLAN 56

192.168.56.11

255.255.255.0

No aplicable

S2

VLAN 56

192.168.56.12

255.255.255.0

No aplicable

S3

VLAN 56

192.168.56.13

255.255.255.0

No aplicable

PC1

NIC

192.168.10.21

255.255.255.0

192.168.10.1

PC2

NIC

192.168.20.22

255.255.255.0

192.168.20.1

PC3

NIC

192.168.30.23

255.255.255.0

192.168.30.1

PC4

NIC

192.168.10.24

255.255.255.0

192.168.10.1

PC5

NIC

192.168.20.25

255.255.255.0

192.168.20.1

PC6

NIC

192.168.30.26

255.255.255.0

192.168.30.1

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 1 de 3

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.2: Desafo de configuracin de VLAN

Asignaciones iniciales de puertos (Switches 2 y 3)


Puertos
Fa0/1 0/5
Fa0/6 0/10
Fa0/11 0/17
Fa0/18 0/24

Asignacin
Enlaces troncales 802.1q (VLAN 56 nativa)
VLAN 30: Guest (predeterminada)
VLAN 10: Cuerpo docente/personal
VLAN 20: Estudiantes

Red
192.168.56.0 /24
192.168.30.0 /24
192.168.10.0 /24
192.168.20.0 /24

Objetivos de aprendizaje
Al completar esta prctica de laboratorio podr:
x

Cablear una red segn el diagrama de topologa

Borrar la configuracin inicial y volver a cargar un switch al estado predeterminado

Realizar las tareas de configuracin bsicas en un switch

Crear las VLAN

Asignar puertos de switch a una VLAN

Agregar, mover y cambiar puertos

Verificar la configuracin de la VLAN

Habilitar el enlace troncal en conexiones entre switches

Verificar la configuracin de enlace troncal

Guardar la configuracin de la VLAN

Tarea 1: Preparar la red


Paso 1: Cablear una red de manera similar al diagrama de topologa.
Paso 2: Borrar configuraciones existentes en los switches e inicializar todos los puertos en
estado desactivado

Tarea 2: Realizar las configuraciones bsicas del switch


Paso 1: Configurar los switches de acuerdo con la siguiente gua:
x

Configure el nombre de host del switch.

Deshabilite la bsqueda DNS.

Configure una contrasea de modo EXEC: clase.

Configure la contrasea cisco para las conexiones de consola.

Configure la contrasea cisco para las conexiones de vty.

Paso 2: Volver a habilitar los puertos de usuario en S2 y S3.

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 2 de 3

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.2: Desafo de configuracin de VLAN

Tarea 3: Configurar y activar las interfaces Ethernet


Paso 1: Configurar las PC.
Configure las interfaces Ethernet de las seis PC con las direcciones IP y las gateways predeterminadas
desde la tabla de direccionamiento al comienzo de la prctica de laboratorio.

Tarea 4: Configurar las VLAN en el switch


Paso 1: Crear las VLAN en el switch S1.
Paso 2: Verificar que las VLAN estn creadas en S1.
Paso 3: Configurar, asignar un nombre y verificar las VLAN en los switches S2 y S3.
Paso 4: Asignar puertos de switch a las VLAN en S2 y S3.
Paso 5: Determinar qu puertos se han aadido a la VLAN 10 en S2.
Paso 6: Configurar la VLAN 56 de administracin en cada uno de los switches.
Paso 7: Configurar los enlaces troncales y la VLAN nativa para los puertos de enlace troncales
en los tres switches. Verificar que los enlaces troncales estn configurados.
Paso 8: Verificar que S1, S2 y S3 se pueden comunicar.
Paso 9: Hacer ping a varios hosts desde la PC2. Cul es el resultado?
Paso 10: Ubicar la PC1 en la misma VLAN que la PC2. PC1 puede hacer ping satisfactoriamente
a PC2?
Paso 11: Asignar 192.168.20.22 como direccin IP de PC1. PC1 puede hacer ping
satisfactoriamente a PC2?
Asigne 192.168.20.22 como direccin IP de PC1. La mscara de subred y la gateway predeterminada
pueden seguir siendo las mismas. Una vez ms, haga ping desde el host PC2 al host PC1 utilizando
la direccin IP recin asignada. El intento de hacer ping fue exitoso?
Por qu fue exitoso?

Tarea 5: Documentar las configuraciones de los switches


En cada switch, capture la configuracin activa en un archivo de texto y consrvela para futuras
referencias.

Tarea 6: Limpieza
Borre las configuraciones y vuelva a cargar los switches. Desconecte y guarde el cableado. En caso
de PC hosts que estn normalmente conectadas a otras redes (tales como la LAN de la escuela o de
Internet) vuelva a conectar el cableado apropiado y restaure la configuracin de TCP/IP.

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 3 de 3

Prctica de laboratorio 3.5.3: Resolucin de problemas de las


configuraciones de VLAN
Diagrama de topologa

Tabla de direccionamiento
Dispositivo
Nombre de host

Interfaz

Direccin IP

Mscara de subred

Gateway
(puerta de salida)
predeterminada

S1

VLAN 56

192.168.56.11

255.255.255.0

No aplicable

S2

VLAN 56

192.168.56.12

255.255.255.0

No aplicable

S3

VLAN 56

192.168.56.13

255.255.255.0

No aplicable

PC1

NIC

192.168.10.21

255.255.255.0

192.168.10.1

PC2

NIC

192.168.20.22

255.255.255.0

192.168.20.1

PC3

NIC

192.168.30.23

255.255.255.0

192.168.30.1

PC4

NIC

192.168.10.24

255.255.255.0

192.168.10.1

PC5

NIC

192.168.20.25

255.255.255.0

192.168.20.1

PC6

NIC

192.168.30.26

255.255.255.0

192.168.30.1

Asignaciones iniciales de puertos (Switches 2 y 3)


Puertos
Fa0/1 0/5
Fa0/6 0/10
Fa0/11 0/17
Fa0/18 0/24

Asignacin
Enlaces troncales 802.1q (VLAN 56 nativa)
VLAN 30: Guest (predeterminada)
VLAN 10: Cuerpo docente/personal
VLAN 20: Estudiantes

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Red
192.168.56.0 /24
192.168.30.0 /24
192.168.10.0 /24
192.168.20.0 /24
Pgina 1 de 4

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.3:


Resolucin de problemas de las configuraciones de VLAN

Objetivos de aprendizaje
Practicar las capacidades bsicas para diagnosticar fallas en VLAN.

Escenario
En esta prctica de laboratorio practicar el diagnstico de fallas en un entorno de VLAN mal configurada.
Cargue o pida a su instructor que cargue las siguientes configuraciones en su equipo de prctica de
laboratorio. Su objetivo es localizar y corregir todos los errores en las configuraciones y establecer una
conectividad de extremo a extremo. Su configuracin final debe coincidir con el diagrama de topologa y la
tabla de direccionamiento. Todas las contraseas se establecen como cisco, excepto la contrasea de
enable secret que se configura como class.

Tarea 1: Preparar la red


Paso 1: Cablear una red de manera similar al diagrama de topologa.
Paso 2: Borrar configuraciones existentes en los switches e inicializar todos los puertos en
estado desactivado.
Paso 3: Importar las siguientes configuraciones.
Switch 1
hostname S1
no ip domain-lookup
enable secret class
!
!
interface range FastEthernet0/1-5
switchport mode trunk
!
interface range FastEthernet0/6-24
shutdown
!
interface Vlan1
no ip address
no ip route-cache
!
interface Vlan56
ip address 192.168.56.11 255.255.255.0
no ip route-cache
!
line con 0
logging synchronous
line vty 0 4
no login
line vty 5 15
password cisco
login
!
end
Switch 2
hostname S2
no ip domain-lookup
enable secret class
!
Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.
Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 2 de 4

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.3:


Resolucin de problemas de las configuraciones de VLAN

vlan 10,20,30,56
!
interface FastEthernet0/1-5
switchport trunk native vlan 56
switchport mode access
!
interface range FastEthernet0/6-10
switchport access vlan 30
switchport mode access
!
interface range FastEthernet0/11-17
switchport access vlan 10
switchport mode access
!
interface range FastEthernet0/18-24
switchport access vlan 20
switchport mode access
!
interface GigabitEthernet0/1
!
interface GigabitEthernet0/2
!
interface Vlan1
ip address 192.168.56.12 255.255.255.0
no ip route-cache
shutdown
!
line con 0
password cisco
login
line vty 0 4
password cisco
login
line vty 5 15
password cisco
login
!
end

Switch 3
hostname S3
no ip domain-lookup
enable secret cisco
!
vlan 10,20,30
!
interface range FastEthernet0/1-5
switchport trunk native vlan 56
switchport mode trunk
!
interface range FastEthernet0/6-10
switchport mode access
!
interface range FastEthernet0/11-17
switchport mode access
!
Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.
Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 3 de 4

CCNA Exploration
Conmutacin y conexin inalmbrica de LAN: VLAN

Prctica de laboratorio 3.5.3:


Resolucin de problemas de las configuraciones de VLAN

interface range FastEthernet0/18-24


switchport mode access
!
interface GigabitEthernet0/1
!
interface GigabitEthernet0/2
!
interface Vlan1
no ip address
no ip route-cache
shutdown
!
interface Vlan56
no ip route-cache
!
line con 0
password cisco
login
line vty 0 4
password cisco
login
line vty 5 15
password cisco
login
!
end

Tarea 2: Realizar un diagnstico de fallas y reparar la configuracin de la VLAN


Tarea 3: Documentar las configuraciones de los switches
En cada switch, capture la configuracin activa en un archivo de texto y consrvela para futuras
referencias.

Tarea 4: Limpieza
Borre las configuraciones y vuelva a cargar los switches. Desconecte y guarde el cableado. En caso
de PC hosts que estn normalmente conectadas a otras redes (tales como la LAN de la escuela o de
Internet) vuelva a conectar el cableado apropiado y restaure la configuracin de TCP/IP.

Todo el contenido es Copyright 1992 2007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 4 de 4

Prctica de laboratorio 5.5.1: Listas de control de acceso bsicas


Diagrama de topologa

Tabla de direccionamiento
Dispositivo
R1

R2

R3
S1

Interfaz

Direccin IP

Mscara de subred

Fa0/0

192.168.10.1

255.255.255.0

Fa0/1

192.168.11.1

255.255.255.0

S0/0/0

10.1.1.1

255.255.255.252

Fa0/1

192.168.20.1

255.255.255.0

S0/0/0

10.1.1.2

255.255.255.252

S0/0/1

10.2.2.1

255.255.255.252

Lo0

209.165.200.225

255.255.255.224

Fa0/1

192.168.30.1

255.255.255.0

S0/0/1

10.2.2.2

255.255.255.252

Vlan1

192.168.10.2

255.255.255.0

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Gateway por
defecto

192.168.10.1

Pgina 1 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

S2

Vlan1

192.168.11.2

255.255.255.0

192.168.11.1

S3

Vlan1

192.168.30.2

255.255.255.0

192.168.30.1

PC1

NIC

192.168.10.10

255.255.255.0

192.168.10.1

PC2

NIC

192.168.11.10

255.255.255.0

192.168.11.1

PC3

NIC

192.168.30.10

255.255.255.0

192.168.30.1

Web Server

NIC

192.168.20.254

255.255.255.0

192.168.20.1

Objetivos de aprendizaje
Al completar esta prctica de laboratorio, el usuario podr:
x

Disear ACL nombradas estndar y nombradas ampliadas

Aplicar ACL nombradas estndar y nombradas ampliadas

Probar ACL nombradas estndar y nombradas ampliadas

Realizar la resolucin de problemas relacionados con ACL nombradas estndar y


nombradas ampliadas

Escenario
En esta prctica de laboratorio, se aprender a configurar la seguridad bsica de red mediante listas de
control de acceso. Se aplicarn ACL estndar y ampliadas.

Tarea 1: Preparar la red


Paso 1: Conectar una red que sea similar a la del diagrama de topologa.
Se puede utilizar cualquier router del laboratorio, siempre y cuando ste disponga de las interfaces
necesarias que se muestran en el diagrama de topologa.
Nota: Esta prctica de laboratorio se desarroll y prob mediante routers 1841. Si se utilizan routers serie
1700, 2500 2600, los resultados y las descripciones del router pueden ser diferentes. En routers ms
antiguos o en versiones de IOS anteriores a la 12.4, es posible que algunos comandos sean diferentes o
que no existan.
Paso 2: Borrar todas las configuraciones de los routers.

Tarea 2: Realizar las configuraciones bsicas del router


Configure los routers R1, R2, R3 y los switches S1, S2 y S3 de acuerdo con las siguientes instrucciones:
x

Configure el nombre de host del router de modo que coincida con el diagrama de topologa.

Deshabilite la bsqueda DNS.

Configure una contrasea de class en el Modo EXEC.

Configure un mensaje del da.

Configure una contrasea de cisco para las conexiones de consola.

Configure una contrasea para las conexiones de vty.

Configure mscaras y direcciones IP en todos los dispositivos.

Habilite OSPF rea 0 en todos los routers para todas las redes.

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 2 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

Configure una interfaz loopback en R2 para simular el ISP.

Configure direcciones IP para la interfaz VLAN 1 en cada switch.

Configure cada switch con la gateway por defecto apropiada.

Verifique que la conectividad IP sea total mediante el comando ping.

Tarea 3: Configurar una ACL estndar


Las ACL estndar pueden filtrar trfico slo segn la direccin IP de origen. Una prctica recomendada
tpica es configurar una ACL estndar tan cerca del destino como sea posible. En esta tarea, se configurar
una ACL estndar. La ACL est diseada para impedir que el trfico desde la red 192.168.11.0/24, ubicada
en un laboratorio de estudiantes, acceda a cualquiera de las redes locales de R3.
Esta ACL se aplicar en direccin entrante en la interfaz serial de R3. Se debe recordar que cada ACL
WLHQHXQFRPDQGRGHQ\DOOLPSOtFLWRTXHKDFHTXHVHEORTXHHWRGRHOWUiILFRTXHQRFRLQFLGDFRQXQD
sentencia de la ACL. Por esta razn, se debe agregar la sentencia permit any al final de la ACL.
Antes de configurar y aplicar esta ACL, asegrese de probar la conectividad desde PC1 (o la interfaz
Fa0/1 de R1) a PC3 (o la interfaz Fa0/1del R3). Las pruebas de conectividad deberan realizarse
correctamente antes de aplicar la ACL.
Paso 1: Crear la ACL en el router R3.
En el modo de configuracin global, cree una ACL nombrada estndar denominada STND-1.
R3(config)#ip access-list standard STND-1
En el modo de configuracin de ACL estndar, agregue una sentencia que deniegue cualquier paquete
con una direccin de origen de 192.168.11.0 /24 e imprima un mensaje a la consola por cada paquete
coincidente.
R3(config-std-nacl)#deny 192.168.11.0 0.0.0.255 log
Permita todo el trfico restante.
R3(config-std-nacl)#permit any
Paso 2: Aplicar la ACL.
Aplique la ACL STND-1 como filtro en los paquetes que ingresan a R3 a travs de la interfaz serial 0/0/1.
R3(config)#interface serial 0/0/1
R3(config-if)#ip access-group STND-1 in
R3(config-if)#end
R3#copy run start
Paso 3: Probar la ACL.
Antes de probar la ACL, asegrese de que la consola de R3 est visible. De este modo, se podrn ver
los mensajes de registro de la lista de acceso cuando se deniegue el acceso al paquete.
Pruebe la ACL haciendo ping de PC2 a PC3. Debido a que la ACL est diseada para bloquear el trfico
con direcciones de origen de la red 192.168.11.0 /24, PC2 (192.168.11.10) no debera poder hacer ping
a PC3.
Tambin se puede utilizar un ping ampliado desde la interfaz Fa0/1 del R1 a la interfaz Fa0/1 del R3.
R1#ping ip
Target IP address: 192.168.30.1
Repeat count [5]:

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 3 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

Datagram size [100]:


Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 192.168.11.1
Type of service [0]:
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.30.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.11.1
U.U.U
Success rate is 0 percent (0/5)
Se debera poder ver el siguiente mensaje en la consola de R3:
*Sep 4 03:22:58.935: %SEC-6-IPACCESSLOGNP: list STND-1 denied 0
0.0.0.0 -> 192.168.11.1, 1 packet
En el modo EXEC privilegiado de R3, ejecute el comando show access-lists. El resultado debe ser
similar al siguiente. Cada lnea de una ACL tiene un contador asociado que muestra cuntos paquetes
coinciden con la regla.
Standard IP access list STND-1
10 deny
192.168.11.0, wildcard bits 0.0.0.255 log (5 matches)
20 permit any (25 matches)
El objetivo de esta ACL era bloquear los hosts de la red 192.168.11.0/24. Cualquier otro host, como por
ejemplo, los de la red 192.168.10.0/24, debera tener acceso a las redes de R3. Realice otra prueba de
PC1 a PC3 para asegurarse de que este trfico no se bloquee.
Tambin se puede utilizar un ping ampliado desde la interfaz Fa0/0 del R1 a la interfaz Fa0/1 del R3.
R1#ping ip
Target IP address: 192.168.30.1
Repeat count [5]:
Datagram size [100]:
Timeout in seconds [2]:
Extended commands [n]: y
Source address or interface: 192.168.10.1
Type of service [0]:
Set DF bit in IP header? [no]:
Validate reply data? [no]:
Data pattern [0xABCD]:
Loose, Strict, Record, Timestamp, Verbose[none]:
Sweep range of sizes [n]:
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.30.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.10.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 40/43/44 ms

Tarea 4: Configurar una ACL ampliada


Cuando se requiere un mayor nivel de detalle, se debe usar una ACL ampliada. Las ACL ampliadas
pueden filtrar el trfico teniendo en cuenta otros aspectos, adems de la direccin de origen. Las ACL
ampliadas pueden filtrar segn el protocolo, las direcciones IP de origen y destino y los nmeros de

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 4 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

puerto de origen y destino.


Una poltica adicional para esta red establece que los dispositivos de la LAN 192.168.10.0/24 slo
pueden alcanzar las redes internas. Los equipos de esta LAN no pueden acceder a Internet. Por lo tanto,
estos usuarios deben bloquearse para que no alcancen la direccin IP 209.165.200.225. Debido a que
este requisito debe cumplirse tanto en el origen como en el destino, se necesita una ACL ampliada.
En esta tarea, se configurar una ACL ampliada en R1 que impide que el trfico que se origina en
cualquier dispositivo de la red 192.168.10.0/24 acceda al host 209.165.200.255 (el ISP simulado). Esta
ACL se aplicar en direccin saliente en la interfaz Serial 0/0/0 de R1. Una prctica recomendada tpica
para la aplicacin de ACL ampliada es ubicarlas tan cerca del origen como sea posible.
Antes de comenzar, verifique que se pueda hacer ping a 209.165.200.225 desde PC1.
Paso 1: Configurar una ACL ampliada y nombrada.
En el modo de configuracin global, cree una ACL nombrada y ampliada, denominada EXTEND-1.
R1(config)#ip access-list extended EXTEND-1
Observe que el indicador del router cambia para sealar que ahora se encuentra en el modo de
configuracin de ACL ampliada. Desde este indicador, agregue las sentencias necesarias para bloquear
el trfico desde la red 192.168.10.0 /24 al host. Utilice la palabra clave host cuando defina el destino.
R1(config-ext-nacl)#deny ip 192.168.10.0 0.0.0.255 host 209.165.200.225
Recuerde qXHHOFRPDQGRGHQ\DOOLPSOtFLWREORTXHDFXDOTXLHURWURWUiILFRVLQODVHQWHQFLDDGLFLRQDO
permit. Agregue la sentencia permit para asegurarse de que no se bloquee el trfico restante.
R1(config-ext-nacl)#permit ip any any
Paso 2: Aplicar la ACL.
Con las ACL estndar, lo ms conveniente es ubicar a la ACL lo ms cerca posible del destino. Las ACL
ampliadas generalmente se ubican cerca del origen. La ACL EXTEND-1 se ubicar en la interfaz serial y
filtrar el trfico saliente.
R1(config)#interface serial 0/0/0
R1(config-if)#ip access-group EXTEND-1 out log
R1(config-if)#end
R1#copy run start

Paso 3: Probar la ACL.


Desde PC1, haga ping a la interfaz loopback de R2. Estos ping deberan fallar porque todo el trfico
proveniente de la red 192.168.10.0/24 se filtra cuando el destino es 209.165.200.225. Si el destino es
cualquier otra direccin, los pings deberan realizarse correctamente. Confirme esto haciendo ping al R3
desde el dispositivo de red 192.168.10.0/24.
Nota: La funcin de ping ampliado de R1 no puede utilizarse para probar esta ACL, ya que el trfico se
originar dentro de R1 y no volver probarse con la ACL aplicada a la interfaz serial de R1.
Es posible verificarlo nuevamente al ejecutar show ip access-list en R1 despus de hacer ping.
R1#show ip access-list
Extended IP access list EXTEND-1
10 deny ip 192.168.10.0 0.0.0.255 host 209.165.200.225 (4 matches)
20 permit ip any any

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 5 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

Tarea 5: Controlar el acceso a las lneas VTY con una ACL estndar
Es conveniente restringir el acceso a las lneas VTY del router para la administracin remota. Puede
aplicarse una ACL a las lneas VTY, lo que permite restringir el acceso a hosts o redes especficos.
En esta tarea, se configurar una ACL estndar para permitir que los hosts de dos redes accedan a
las lneas VTY. Se le negar el acceso a todos los dems hosts.
Verifique que pueda establecer una conexin telnet a R2 desde R1 y R3.
Paso 1: Configurar la ACL.
Configure una ACL estndar nombrada en R2 que permita el trfico desde 10.2.2.0/30 y
192.168.30.0/24. Debe denegarse todo el trfico restante. Denomine la ACL TASK-5.
R2(config)#ip access-list standard TASK-5
R2(config-std-nacl)#permit 10.2.2.0 0.0.0.3
R2(config-std-nacl)#permit 192.168.30.0 0.0.0.255
Paso 2: Aplicar la ACL.
Entre al modo de configuracin de lnea para las lneas VTY de 0 a 4.
R2(config)#line vty 0 4
Utilice el comando access-class para aplicar la ACL a las lneas vty en direccin entrante. Observe que
esto difiere del comando que se utiliza para aplicar las ACL a otras interfaces.
R2(config-line)#access-class TASK-5 in
R2(config-line)#end
R2#copy run start
Paso 3: Probar la ACL.
Establezca una conexin telnet a R2 desde R1. Observe que R1 no tiene direcciones IP en su rango de
direcciones que aparece en las sentencias de permiso de la ACL TASK-5. Los intentos de conexin
deberan fallar.
R1# telnet 10.1.1.2
7U\LQJ
% Connection refused by remote host
Desde R3, establezca una conexin telnet a R2. Aparece una peticin de entrada para la contrasea de
la lnea VTY.
R3# telnet 10.1.1.2
7U\LQJ2SHQ
CUnauthorized access strictly prohibited, violators will be prosecuted
to the full extent of the law.
User Access Verification
Password:

Por qu los intentos de conexin desde otras redes fallan aunque no se enumeren especficamente en
la ACL?
_________________________________________________________________________________
_________________________________________________________________________________

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 6 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

Tarea 6: Resolucin de problemas en las ACL


Cuando se configura incorrectamente una ACL o se la aplica a la interfaz incorrecta o en la direccin
incorrecta, el trfico de red puede verse afectado de manera no deseada.
Paso 1: Eliminar la ACL STND-1 de S0/0/1 de R3.
En una tarea anterior, se cre y aplic una ACL nombrada y estndar en R3. Utilice el comando show
running-config para visualizar la ACL y su ubicacin. Se debera ver que una ACL llamada STND-1 se
configur y aplic en direccin entrante en Serial 0/0/1. Recuerde que esta ACL se dise para impedir
que todo el trfico de red con una direccin de origen de la red 192.168.11.0/24 acceda a la LAN del R3.
Para eliminar la ACL, entre al modo de configuracin de la interfaz para Serial 0/0/1 de R3. Utilice el
comando no ip access-group STND-1 para eliminar la ACL de la interfaz.
R3(config)#interface serial 0/0/1
R3(config-if)#no ip access-group STND-1 in
Use el comando show running-config para confirmar que la ACL se haya eliminado de la Serial 0/0/1.
Paso 2: Aplicar la ACL STND-1 en S0/0/1 saliente.
Para probar la importancia de la direccin de filtrado de la ACL, aplique nuevamente la ACL STND-1 a la
interfaz Serial 0/0/1. Esta vez, la ACL filtrar el trfico saliente en lugar del trfico entrante. Recuerde
utilizar la palabra clave out cuando aplique la ACL.
R3(config)#interface serial 0/0/1
R3(config-if)#ip access-group STND-1 out
Paso 3: Probar la ACL.
Pruebe la ACL haciendo ping de PC2 a PC3. Como alternativa, utilice un ping ampliado desde R1. Observe
que esta vez los pings se realizan correctamente y que los contadores de la ACL no aumentan. Confirme
esto mediante el comando show ip access-list en R3.
Paso 4: Restablecer la configuracin original de la ACL.
Elimine la ACL de la direccin saliente y aplquela nuevamente a la direccin entrante.
R3(config)#interface serial 0/0/1
R3(config-if)#no ip access-group STND-1 out
R3(config-if)#ip access-group STND-1 in
Paso 5: Aplicar TASK-5 a la interfaz serial 0/0/0 entrante de R2.
R2(config)#interface serial 0/0/0
R2(config-if)#ip access-group TASK-5 in
Paso 6: Probar la ACL.
Intente comunicarse con cualquier dispositivo conectado a R2 o R3 desde R1 o sus redes conectadas.
Observe que toda la comunicacin est bloqueada. Sin embargo, los contadores de la ACL no
DXPHQWDQ(VWRVHGHEHDOFRPDQGRGHQ\DOOLPSOtFLWRDOILQDOGHWRGDVODV$&/(VWDVHQWHQFLDGHQ\
impide todo el trfico entrante a la serial 0/0/0 desde cualquier origen que no sea R3. Bsicamente, esto
har que las rutas de R1 se eliminen de la tabla de enrutamiento.
Se deberan ver mensajes similares a los que aparecen a continuacin impresos en las consolas de R1 y
R2 (debe transcurrir un tiempo para que la relacin vecina OSPF se desactive, por lo que deber ser
paciente):
*Sep

4 09:51:21.757: %OSPF-5-ADJCHG: Process 1, Nbr 192.168.11.1 on

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 7 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

Serial0/0/0 from FULL to DOWN, Neighbor Down: Dead timer expired


Una vez recibido este mensaje, ejecute el comando show ip route tanto en R1 como en R2 para
determinar qu rutas se eliminaron de la tabla de enrutamiento.
Elimine la ACL TASK-5 de la interfaz y guarde las configuraciones.
R2(config)#interface serial 0/0/0
R2(config-if)#no ip access-group TASK-5 in
R2(config)#exit
R2#copy run start

Tarea 7: Documentar las configuraciones del router


Configuraciones
Router 1
hostname R1
!
enable secret class
!
no ip domain lookup
!
interface FastEthernet0/0
ip address 192.168.10.1 255.255.255.0
no shutdown
!
interface FastEthernet0/1
ip address 192.168.11.1 255.255.255.0
no shutdown
!
interface Serial0/0/0
ip address 10.1.1.1 255.255.255.252
ip access-group EXTEND-1 out
clockrate 64000
no shutdown
!
router ospf 1
network 10.1.1.0 0.0.0.3 area 0
network 192.168.10.0 0.0.0.255 area 0
network 192.168.11.0 0.0.0.255 area 0
!
ip access-list extended EXTEND-1
deny
ip 192.168.10.0 0.0.0.255 host 209.165.200.225
permit ip any any
!
banner motd ^CUnauthorized access strictly prohibited, violators will be
prosecuted to the full extent of the law.^
!
line con 0
password cisco
logging synchronous
login
!
line vty 0 4
password cisco

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 8 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

login
!
Router 2
hostname R2
!
enable secret class
!
no ip domain lookup
!
interface Loopback0
ip address 209.165.200.225 255.255.255.224
!
interface FastEthernet0/1
ip address 192.168.20.1 255.255.255.0
no shutdown
!
interface Serial0/0/0
ip address 10.1.1.2 255.255.255.252
no shutdown
!
interface Serial0/0/1
ip address 10.2.2.1 255.255.255.252
clockrate 125000
no shutdown
!
router ospf 1
no auto-cost
network 10.1.1.0 0.0.0.3 area 0
network 10.2.2.0 0.0.0.3 area 0
network 192.168.20.0 0.0.0.255 area 0
network 209.165.200.224 0.0.0.31 area 0
!
ip access-list standard TASK-5
permit 10.2.2.0 0.0.0.3
permit 192.168.30.0 0.0.0.255
!
banner motd ^Unauthorized access strictly prohibited, violators will be
prosecuted to the full extent of the law.^
!
line con 0
password cisco
logging synchronous
login
!
line vty 0 4
access-class TASK-5 in
password cisco
login
!
Router 3
hostname R3
!

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 9 de 10

CCNA Exploration
Acceso a la WAN: Listas de control de acceso (ACL)

Prctica de laboratorio 5.5.1 Listas de control de acceso bsicas

enable secret class


!
no ip domain lookup
!
interface FastEthernet0/1
ip address 192.168.30.1 255.255.255.0
no shutdown
!
interface Serial0/0/1
ip address 10.2.2.2 255.255.255.252
ip access-group STND-1 out
no shutdown
!
router ospf 1
network 10.0.0.0 0.255.255.255 area 0
network 192.168.30.0 0.0.0.255 area 0
!
ip access-list standard STND-1
deny
192.168.11.0 0.0.0.255 log
permit any
!
banner motd ^Unauthorized access strictly prohibited, violators will be
prosecuted to the full extent of the law.^
!
line con 0
password cisco
logging synchronous
login
!
line vty 0 4
password cisco
login
!
end

Tarea 8: Limpiar
Borre las configuraciones y recargue los routers. Desconecte y guarde los cables. Para los equipos PC
host que normalmente se conectan a otras redes (tal como la LAN de la escuela o Internet), reconecte
los cables correspondientes y restablezca las configuraciones TCP/IP.

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc.


Todos los derechos reservados. Este documento es informacin pblica de Cisco.

Pgina 10 de 10

Prctica de laboratorio 5.5.2: Reto de listas de control de acceso


Diagrama de topologa

Tabla de direccionamiento
Dispositivo

Interfaz

R1

R2

R3

Direccin IP

Mscara de subred

S0/0/0

10.1.0.1

255.255.255.0

Fa0/1

10.1.1.254

255.255.255.0

S0/0/0

10.1.0.2

255.255.255.0

S0/0/1

10.3.0.1

255.255.255.0

Lo 0

10.13.205.1

255.255.0.0

S0/0/1

10.3.0.2

255.255.255.0

Gateway por
defecto

Fa0/1

10.3.1.254

255.255.255.0

PC 1

NIC

10.1.1.1

255.255.255.0

10.1.1.254

PC 3

NIC

10.3.1.1

255.255.255.0

10.3.1.254

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc. Todos los derechos reservados.
Este documento es informacin pblica de Cisco.

Pgina 1 de 3

Exploration 4
Acceso a la WAN: Listas de control de acceso

Prctica de laboratorio 5.5.2: Reto de listas de control de acceso

Objetivos de aprendizaje
Para completar esta prctica de laboratorio:
x

Disear ACL nombradas estndar y nombradas ampliadas

Aplicar ACL nombradas estndar y nombradas ampliadas

Probar ACL nombradas estndar y nombradas ampliadas

Realizar la resolucin de problemas relacionados con ACL nombradas estndar y nombradas


ampliadas

Tarea 1: Preparar la red


Paso 1: Conectar una red que sea similar a la del diagrama de topologa.
Se puede utilizar cualquier router del laboratorio, siempre y cuando ste disponga de las interfaces
necesarias que se muestran en el diagrama de topologa.
Nota: Si utiliza routers 1700, 2500 2600, los resultados del router y las descripciones de la interfaz
pueden tener un aspecto diferente.
Paso 2: Borrar todas las configuraciones de los routers.

Tarea 2: Realizar las configuraciones bsicas del router


Configure los routers R1, R2 y R3 de acuerdo con las siguientes instrucciones:
x

Configure el nombre de host del router.

Deshabilite la bsqueda DNS.

Configure una contrasea de Modo EXEC.

Configure un mensaje del da.

Configure una contrasea para las conexiones de la consola.

Configure una contrasea para las conexiones de vty.

Configure direcciones IP en todos los dispositivos.

Cree una interfaz loopback en R2.

Habilite OSPF rea 0 en todos los routers para todas las redes.

Verifique que la conectividad IP sea total mediante el comando ping.

Tarea 3: Configurar las ACL estndar


Configure las ACL nombradas y estndar en las lneas VTY de R1 y R3 para permitir que los hosts
conectados directamente a sus subredes FastEthernet tengan acceso Telnet. Deniegue el acceso a
cualquier otro intento de conexin. Documente los procedimientos de prueba.
__________________________________________________________________________________
__________________________________________________________________________________
__________________________________________________________________________________
__________________________________________________________________________________

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc. Todos los derechos reservados.
Este documento es informacin pblica de Cisco.

Pgina 2 de 3

Exploration 4
Acceso a la WAN: Listas de control de acceso

Prctica de laboratorio 5.5.2: Reto de listas de control de acceso

Tarea 4: Configurar las ACL ampliadas


Mediante ACL ampliadas en R2, complete los siguientes requisitos:
x

Las LAN conectadas a R1 y R3 se utilizan para prcticas de laboratorio informticas para


estudiantes. El administrador de red observ que los estudiantes de estas prcticas de
laboratorio juegan a travs de la WAN con estudiantes remotos. Asegrese de que la ACL
impida que la LAN conectada a R1 alcance a la LAN de R3 y que la LAN de R3 no pueda
alcanzar la LAN de R1. Debe ser especfico en las sentencias, de modo que cualquier LAN
nueva que se haya agregado a R1 o R3 no se ver afectada.

Permita el ingreso del trfico OSPF.

Permita el ingreso del trfico ICMP a las interfaces locales de R2.

Se debe permitir el ingreso del trfico de red destinado al puerto TCP 80. Debe negarse el
acceso de todo trfico restante y ste se debe registrar.

Debe negarse el acceso a todo el trfico que no se haya especificado anteriormente.

Nota: Es posible que esto requiera varias listas de acceso. Verifique la configuracin y documente el
procedimiento de prueba.
Por qu es tan importante el orden de las sentencias de las listas de acceso?
__________________________________________________________________________________
__________________________________________________________________________________

Tarea 5: Verificar una ACL


Pruebe cada protocolo que se intenta bloquear y asegrese de permitir el acceso del trfico admitido.

Tarea 6: Documentar las configuraciones del router


Tarea 7: Limpiar
Borre las configuraciones y recargue los routers. Desconecte y guarde los cables. Para los equipos PC
host que normalmente se conectan a otras redes (tal como la LAN de la escuela o Internet), reconecte
los cables correspondientes y restablezca las configuraciones TCP/IP.

Todo el contenido est bajo Copyright 19922007 de Cisco Systems, Inc. Todos los derechos reservados.
Este documento es informacin pblica de Cisco.

Pgina 3 de 3