Laboratorio saturar tabla switch (macof)

1. Introducción

Objetivos

En este laboratorio vamos a utilizar el programa Wireshark para capturar tramas. Además se expondrá las limitaciones de los switch económicos.

Requisitos

Si se desea capturar el tráfico, entre la computadora en la que se ejecuta Wireshark y otro dispositivo en la red, debería poder realizar esto capturando en la interfaz a través de la cual se transmite y recibe los paquetes. Para este caso no es necesaria ninguna configuración adicional.
Si, por el contrario, está tratando de capturar tráfico que no es enviado desde o hacia la computadora que ejecuta Wireshark, pero involucra dispositivos que están en el mismo segmento de red, se deberá realizar la captura en “modo promiscuo”. Wireshark por defecto se encuentra en “modo promiscuo”.
Para capturar el tráfico de otro segmento de un conmutador (switch) se deberá optar por una de las siguientes soluciones. Se presentan las alternativas más fáciles de implementar.

Utilizando un HUB

La forma más fácil de capturar todo el tráfico de la red es reemplazando temporalmente el switch por un hub.

Figura 1: medio compartido

Ventajas

• se puede capturar todo el tráfico de la red.
• sin configuraciones adicionales.

Desventajas

• requiere un hub (ya no son comunes)
• para que toda la red siga funcionando el hub debe tener por lo menos la misma cantidad de puertos que el switch que se reemplaza.
• afecta el rendimiento de la red.

Utilizando un HUB a la salida de un SWITCH

Ventajas

• sin configuraciones adicionales.
• no invasivo.
• no afecta el rendimiento del resto de la red.

Desventajas

• requiere un hub (ya no son comunes).
• solo se captura el tráfico de ese segmento.

Inundación MAC (MAC Flooding)

¡Atención! solo intentar esto en una red aislada

Consiste en desbordar la memoria utilizada por el switch para crear la tabla MAC. Para lograra esto se “bombardea” al switch con direcciones MAC falsas. Cuando ya no hay lugar en la tabla MAC del switch este comienza a trabajar como hub, reenviando los paquetes con direcciones MAC nuevas a todos los puertos (broadcast). Esto permite capturar todo el tráfico de la red en cualquier puerto del switch.

Figura 3: Inundación MAC

Ventajas

• sin equipos adicionales
• se puede capturar todo el tráfico de la red.
• económico

Desventajas

• requiere configuraciones adicionales.
• afecta el rendimiento del resto de la red.
• solo dura unos minutos.

2. Procedimientos de laboratorio

1. Arme un esquema como el de la figura 3.
2. Intente capturar tráfico entre el Host A al Host B.
3. Inunde la red con direcciones MAC falsas utilizando la herramienta macof, que forma parte del paquete dsniff (solo disponible para linux) o la alternativa macof.py.
   
   

   sudo macof -i eth0 -s 111.111.111.111 -n 10000

   • i especifica la interfaz por la que se van a enviar las direcciones MAC falsas.
   • s indica la dirección IP que se les va a asignar. Útil para filtrar las tramas en Wireshark
   • n la cantidad de tramas a enviar.
     
     
4. Intente nuevamente capturar tráfico entre el Host A al Host B.
5. ¿Por qué, a pesar de haber inundado la tabla del switch, no se pudo capturar el tráfico entre A y B?
6. ¿Qué estrategia se podría implementar para poder acceder al tráfico del resto de la red?
7. Mediante ensayos con valores decrecientes del parámetro -n averigüe la capacidad de la tabla MAC del switch.
8. Una vez que haya logrado capturar el tráfico de la red, desbordando el switch, determine por cuánto tiempo almacena el switch las direcciones MAC (automatically aging).

3. Anexo: Filtros de Wireshark

Wireshark tiene dos tipos de filtros: los filtros de visualización y los filtros de captura.

Filtros de visualización

ip.src==192.168.0.0/16 and ip.dst==192.168.0.0/16

ip.addr != 10.43.54.65

eth.addr[0:3]==00:06:5B

Filtros de captura

host 10.10.10.251 && 10.10.10.1