Evita accesos indeseados y ransomware desde la LAN

1. Segmentación LAN
desde Web Plus a fully
Managed
Jordi Garcia - Iberia Systems Engineer
jgarcia@netgear.com Tl. 605912276

2. Portfolio
switching
Conceptos
segmentación
VLANs en
switch Plus
VLANs en
switch smart
VLANs en
switch
Managed
Eventos y
formaciones
2

3. Portfolio Switching

4. NETGEAR Proprietary4
SMB Switches
Tamaño de la organización
Necesidaddecontrol
1-5 5-20 20-100 100-200 200+
Unmanaged
Switches
Basic connectivity
No configuration
Web Managed (Plus)
Switches
Simple
configuration &
monitoring
Smart Managed
Switches
Advanced
Configuration &
Control

5. NETGEAR Proprietary and Confidential5
ProSAFE® Web Managed (Plus)
XS708Ev2
1G 10 GE
Speed
WebManaged(Plus)
Non-PoEPoE/PoE+
Existing Refresh New Product
GS105Ev2
GS108E
GS116Ev2
JGS524Ev2
GSS108E
GSS116E
GS105PE*
GS108PE
* PD Only
JGS524PE
JGS516PE
GSS108EPP Jan 2017
GS408EPP Jan 2017
XS716E

6. Web Managed: funcionalidades
simplificadas
• Plug-n-play connectivity for quick deployment;
• *New: PoE controls per port (on, off, class, etc)
• Advanced VLAN support for traffic segmentation incl. port-based
and 802.1Q-based
• Advanced QoS (Quality of Service) for traffic prioritization including
port-based and 802.1p-based (DCHP);
• IGMP snooping (v1, v2, and v3) support for multicast optimization;
port mirroring for network monitoring; cable test for debugging
• Port-based rate limiting, priority queuing, and jumbo frame
support for better bandwidth allocation
• Energy Efficient Ethernet (IEEE 802.3az) for maximum power
savings
6

7. 7
Smart
Managed
Switches
Advanced Smart
Managed
Switches
Fully Managed
L2/L2+
Fully
Managed L3
• Segregation
• Basic
Security
• Basic QoS
• Web-based
GUI
20 – 50 50 - 200 200+
Features
Customer size
Upgrade for
Unmanaged
Edge/Aggregation/Core
Network Edge
Network Edge
Managed L2/L2+
Plus:
• Scale: More VLAN,
MAC, ACL, Static
Routes
• CLI
• Console Port
• Administrative
privileges
Smart Managed
Switches Plus:
• L2+/Layer 3 Lite
• Advanced Security,
QoS, Availability
• Full-powered POE
• Stacking
• Static Routing
• SMB 10Gb aggregation
Managed L3:
Plus:
• Scale: More VLANs,
MAC, etc.
• Dynamic Routing
• 10G uplinks
• Stacking
• 10Gb aggregation
Posicionamiento de switching Smart / Fully Managed

8. Por qué segmentar

9. Convergencia de red
IP
Telefonía
Video
Seguridad
Datos
Domótica
IoE

10. Equipos conectados a la red IP
0.0% 20.0% 40.0% 60.0% 80.0% 100.0% 120.0%
Printer
Server
PCsand laptops
WirelessAccessPoint
IP Phones
IP Cameras
Storage Device
Others

11. Problemática
+ Redes planas sin gestión
+ Un solo dominio de broadcast
+ No hay priorización del tráfico
+ No hay alta disponibilidad
11

12. Solución
+ Redes gestionables multiservicio
+ Topología jerárquica y de
agregación
+ Implementación de seguridad
12

13. Principios de VLAN
NETGEAR – IM Simposium – 3 Noviembre13

14. Segmentación de nivel 2
VLAN 10 (Red): Ports 1,3,5,7
VLAN 20 (Blue): Ports 9,11,13,15
VLAN 30 (Green): Ports 17,19,21,23
VLAN 1 (Default): 2,4,6,8,10,12,14,16,18,20,22,24

15. VLAN
+ VLANs permiten que por software tengamos
diferentes LANs dentro de un switch
+ Las VLANs permiten la segmentación a nivel
2 de nuestras redes
+ Para la comunicación entre VLANs
necesitamos un switch de nivel 3 o un
router

16. VLANs (Layer 2)
+ 802.1Q estándar que define la identificación
de VLANs por etiqueta en cabecera de nivel
2
+ Permite que por un enlace puedas
transmitirse tramas de diferentes VLANs
Footer use for Presentation Title or footnotes16

17. Simple VLAN Design
17
P
L2+ / L3 Core Switch
Plus, Smart, L2 Switching
Edge
P
Link Aggregation
Plus, Smart, L2 Switching
Edge
Guest VLAN
Sales VLAN
Admin VLAN
VOIP VLAN
Server VLAN

18. Beneficios de las VLANs
+ Mejoran el rendimiento en la red
+ Reducen el número de routers
+ Nos permiten una configuración
flexible de la red
+ Simplifican la administración
+ Aumentan la seguridad en red
+ Reducen el coste de la solución de red

19. Nomenclatura en NETGEAR
+ “U”: Untagged. Identifica que el puerto debe enviar
tramas de la VLAN identificada SIN etiqueta 802.1Q
+ “T”: Tagged. Identifica que el puerto debe enviar
tramas de la VLAN identificada CON etiqueta
802.1Q
+ PVID: Identifica la VLAN a la que pertenece el
puerto de forma nativa.

20. Configuración en switch
Plus
NETGEAR – IM Simposium – 3 Noviembre20

21. Configuración VLAN
+ 2 modos de configuración:
•Básico: asignación de diferentes puertos a VLANs
•Avanzado: configuración completa de 802.1Q
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed21

22. Configuración VLAN
Configuración 802.1Q
+ Configuración igual que en Smart Switch
•Creación de VLAN
•Port Memebership
•Port PVID
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed22

23. Configuración VLAN
Configuración 802.1Q
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed
23

24. Configuración en switch
Smart
NETGEAR – IM Simposium – 3 Noviembre24

25. Configuración VLAN
Creación de VLANs

26. Configuración VLAN
Asignación VLANs a puertos
U: Untagged
T: Tagged

27. Configuración VLAN
Definir la VLAN (PVID) o nativa

28. Configuración VLAN
Advanced Smart / Nuevos modelos
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed28
Look and feel
renovado pero
mismo concepto

29. Configuración VLAN
Advanced Smart / Nuevos modelos
+ VLAN Member: todas las VLANs que
circularán por el puerto
+ VLAN Tag: aquellas VLAN etiquetadas
802.1Q
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed29

30. Configuración VLANs
Consejos de configuración
+ En nuevos modelos GS748Tv5, S3300, GS724T
•Configuracion VLANs Membership desde PVID
•Configuración más rápida
+ En GS728TP no es posible utilizar otra PVID en
un puerto 802.1Q que la VLAN 1
+ Antes de configurar las VLANs crear los LAGs
•VLANs siempre asociadas a puertos LAG no a sus puertos
físicos
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed30
Puertos físicos miembros de un LAG no
requieren configuración nivel 2

31. Configuración en switch
Fully Managed
NETGEAR – IM Simposium – 3 Noviembre31

32. Configuración VLAN
+ Dos modos de configuracion
•VLAN Trunking -> similar a Cisco
•VLAN membership -> tradicional NETGEAR
+ Simplifica la configuración en migraciones de
redes Cisco
+ Equivalencia de configuración mediante
comandos

33. Configuración VLAN
VLAN trunking
+ Dos modelos de puertos:
•Access: puerto en el que se asocia una VLAN y no hay
gestion 802.1Q en el puerto
• Puerto para: PCs, servidores, impresoras, equipos finales
•Trunk: puerto que gestionar varias VLANs etiquetadas
mediante 802.1Q excepto vlan nativa = PVID
• Puerto para: switch, AP, routers, teléfonos IP…
+ Se permite la configuración en modo trunk
por puerto
+ No es compatible con funciones como Voice
VLAN o VLAN dinámica
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed
33

34. Configuración VLAN
VLAN trunking
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed34

35. Asilamiento de grupos de usuarios
Private VLAN
+ Segmentación de VLANs en grupos de sub-VLANs
+ Una VLAN primaria permite comunicar puertos
promiscuos con el resto de puertos
+ VLANs secundarias que aíslan los puertos del resto
de puertos de la VLAN
+ VLANs secundarias tipo comunitaria que aíslan a
grupos de puertos del resto de puertos
+ Evita la configuración de routing y ACL en ciertos
entornos35

36. Asilamiento de grupos de usuarios
Private VLAN
36
+ Tres tipos de VLANs:
•Primary VLAN
•Community VLAN
•Isolated VLAN
+ Tres tipos de puertos:
•Promiscuous ports
•Community ports
•Isolated ports

37. Configuración PVLAN
Promiscuous isolated Community
Promiscuous X X X
Isolated X
Community X X
Footer use for Presentation Title or footnotes37
+ Creación de Primary Private VLAN
+ Asociación de las VLAN secundarias
Switch(config)#vlan 50
Switch(config)(Vlan 50)#private-vlan primary
Switch(config)(Vlan 50)#private-vlan
association 51,52

38. Configuración PVLAN
+ Configurar interfaz en modo promiscuo
+ Configurar interfaz en modo host
+ Asociar VLANs en puerto host
+ Asociar VLANs en puerto promiscuo
Footer use for Presentation Title or footnotes38
Switch(interface) #switchport mode private-vlan promiscuous
Switch(interface) #switchport mode private-vlan host
Switch(interface) #switchport private-vlan mapping <primary
vlan> <secondary vlan list>
Switch(interface) #switchport private-vlan host-association
<primary vlan> <secondary vlan>

39. Autenticación de usuarios
Asignación de VLAN dinámica
+ Permite asignar la VLAN de forma dinámica
en un puerto
+ La VLAN se define por usuario en el servidor
Radius
Footer use for Presentation Title or footnotes39
Empresa 1 Empresa 2 Empresa 3
RADIUS
Network Policy
Empresa1 ->VLAN10
Empresa2 ->VLAN20
Empresa3 ->VLAN30

40. Autenticación de usuarios
Asignación de VLAN dinámica
+ Habilitar la asignación de VLAN dinámica
+ Configurar Radius para asignar los
parámetros de VLAN mediante AVP
Footer use for Presentation Title or footnotes40
Switch(Config)#authorization network radius
Switch(Config)# dot1x dynamic-vlan enable
Tunnel-Type = "VLAN",
Tunnel-Medium-Type = "IEEE-802",
Tunnel-Private-Group-Id = “VLAN ID"

41. Autenticación de usuarios
Asignación de VLAN dinámica
+ Verificar la asignación de VLAN
Footer use for Presentation Title or footnotes41
(SW-CORE) #show dot1x authentication-history 2/0/21
Time Stamp Interface MAC-Address VLANID Auth
Status
--------------------- --------- ----------------- ------ ----------
--
Jan 01 1970 02:53:53 2/0/21 28:D2:44:39:3F:20 50 Authorized
Jan 01 1970 01:44:09 2/0/21 28:D2:44:39:3F:20 50 Authorized
(SW-CORE) #show vlan port 2/0/21
Port Port Ingress Ingress
VLAN ID VLAN ID Acceptable Filtering Filtering
Default
Interface Configured Current Frame Types Configured Current GVRP
Priority
--------- ---------- -------- ----------- ---------- --------- ------- ------
--
2/0/21 1 50 Admit All Disable Disable Disable 0

42. Próximos eventos y formaciones
Footer use for Presentation Title or footnotes42

43. Formaciones año 2017
Footer use for Presentation Title or footnotes43
NETGEAR Essentials
3 días presencial
Formación básica
Networking, Storage, WIFI
Especialización
Storage (1 dia)
Especialización
Networking (1 día)
Especialización
WIFI (1 día)
¡En breve
publicaremos el
calendario!

44. 365 Remote LAB NETGEAR
+ Laboratorio de acceso remoto gratuito
+ Reserva mediante web slots de 2 horas para
un completo laboratorio de Switching,
Almacenamiento, Wireless, Routing
+ Realiza prácticas ya preparadas y guiadas
+ Realiza pruebas de configuraciones para tus
clientes
+ Producto actualizado y siempre disponible
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed44
Disponible a
partir de
Febrero

45. Descubre la novedades de NETGEAR
de la mano de Xavier Lleixa, PLM
NETGEAR
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed45
Presentación y cóctel en Barcelona para
conocer de primera mano las novedades
que se introducen este año
Reserva tu sitio en marketing@netgear.es
Se confirmará el lugar concreto del evento una vez se
confirme la asistencia
Viernes 20/1
12h
Barcelona

46. Webinars del trimestre
Enero
• 20/1 Novedades NETGEAR 2017 por Xavier Lleixa, Product
Manager de NETGEAR
Febrero
• 3/2 Redes Wireless en entorno de comunicaciones unificadas
• 17/2 Gestión TI en la palma de la mano
Marzo
• 3/3 Wireless seguro en entornos educativos
• 17/3 Descubre lo nuevo de ReadyNAS y sus sorprendentes
capacidades
• 31/3Redes 802.11ac wave 2 mesh de interiores
Webinar 13 enero 2017 – Segmentación LAN desde Smart Plus hasta Full Managed46

47. Jordi Garcia
Sytems Engineer Netgear
Tl. 605 912 276
jgarcia@netgear.com