MediaSelección múltiple

Pregunta de práctica de 200-301

¿Cuáles dos acciones ayudan a proteger los puertos de switch de la capa de acceso frente a servidores DHCP no autorizados (rogue)?

Elige todas las respuestas correctas.

Respuestas correctas

AHabilitar DHCP snooping globalmente y para las VLAN requeridas
BEstablecer como confiable (trust) el uplink hacia la ruta del servidor DHCP legítimo

Explicación

DHCP snooping marca las interfaces como de confianza (trusted) y no confiables (untrusted), y filtra los mensajes DHCP de tipo servidor en los puertos no confiables. Los puertos de enlace ascendente (uplink) hacia el servidor DHCP real o el agente de retransmisión (relay) suelen configurarse como confiables, mientras que los puertos orientados a los usuarios permanecen como no confiables. PortFast no filtra mensajes DHCP; solo acelera la convergencia de spanning tree. Deshabilitar ARP interrumpe la comunicación normal y no bloquea DHCP. Marcar todos los puertos de acceso como confiables permitiría la presencia de servidores DHCP no autorizados en dichos puertos.

Por qué cada opción es correcta o incorrecta

Correcta

Habilitar DHCP snooping globalmente y para las VLAN requeridas

DHCP snooping es la característica de seguridad fundamental que valida los mensajes DHCP y crea la tabla de vinculación (binding table). Habilitarlo globalmente activa la función, pero también debe habilitarse en VLAN específicas para aplicar el filtrado a los puertos de la capa de acceso. Sin este paso, el switch no inspeccionará el tráfico DHCP, dejando los puertos de cliente vulnerables a respuestas de servidores DHCP no autorizados. Esta configuración es obligatoria para que cualquier protección de DHCP snooping surta efecto en la VLAN.

Correcta

Establecer como confiable (trust) el uplink hacia la ruta del servidor DHCP legítimo

En DHCP snooping, las interfaces son no confiables (untrusted) de forma predeterminada, lo que significa que no pueden recibir respuestas de servidores DHCP. El uplink hacia el servidor DHCP legítimo suele ser una interfaz confiable porque se le debe permitir pasar mensajes DHCPOFFER y DHCPACK válidos hacia los clientes. Configurar explícitamente este uplink como confiable garantiza que el tráfico auténtico del servidor DHCP llegue a los clientes, mientras que los servidores no autorizados en puertos de acceso no confiables son bloqueados. Este límite de confianza es esencial para el funcionamiento adecuado de DHCP snooping.

Incorrecta

Habilitar PortFast en todos los enlaces troncales (trunks) para bloquear servidores no autorizados

PortFast es una optimización de spanning tree que transiciona un puerto directamente al estado de forwarding para acelerar el tiempo de inicio del dispositivo; está diseñado para hosts finales, no para enlaces troncales. Habilitar PortFast en enlaces troncales no es una medida de seguridad y no intercepta ni filtra mensajes DHCP. Los servidores DHCP no autorizados se mitigan mediante DHCP snooping, que clasifica los puertos como confiables o no confiables y descarta las respuestas ilegítimas de servidores DHCP. PortFast no interactúa con DHCP snooping, por lo que no puede bloquear servidores no autorizados y aplicarlo incorrectamente a enlaces troncales está fuera de su propósito previsto.

Incorrecta

Deshabilitar ARP en los puertos de acceso

ARP (Address Resolution Protocol) es esencial para mapear direcciones IP a direcciones MAC en Ethernet, y deshabilitarlo en los puertos de acceso rompería toda la conectividad IP. Los puertos de switch no tienen una función para 'deshabilitar ARP', y hacerlo no evitaría los servidores DHCP no autorizados. DHCP snooping opera al nivel de los mensajes DHCP, no suprimiendo ARP. De hecho, Dynamic ARP Inspection (DAI) puede usar la tabla de vinculación de DHCP snooping para validar paquetes ARP, pero deshabilitar ARP por completo no es posible ni es el objetivo.

Incorrecta

Configurar cada puerto de acceso como confiable (trusted)

Si cada puerto de acceso se marca como confiable, DHCP snooping no filtrará ningún mensaje de servidor DHCP que llegue a esos puertos. Las interfaces confiables están exentas de las comprobaciones de DHCP snooping, lo que significa que un servidor DHCP no autorizado conectado a cualquier puerto de acceso podría enviar ofertas maliciosas sin ser descartado. Todo el propósito de DHCP snooping es bloquear el tráfico de servidores DHCP no confiables, y configurar todos los puertos como confiables anula por completo esa protección. La confianza solo debe asignarse a los puertos que se conectan a servidores DHCP legítimos conocidos o a uplinks autoritativos.

Para profundizar

DHCP snooping es una función de seguridad de Capa 2 implementada en los switches Cisco para proteger la red frente a servidores DHCP no autorizados (rogue) que pueden asignar direcciones IP incorrectas a los clientes. Funciona clasificando los puertos del switch como confiables (trusted) o no confiables (untrusted). Los puertos confiables son uplinks hacia servidores DHCP legítimos o agentes de DHCP relay, mientras que los puertos no confiables son típicamente puertos de acceso orientados al usuario. Los mensajes DHCP procedentes de puertos no confiables que afirman provenir de un servidor DHCP son bloqueados, lo que impide que servidores DHCP no autorizados distribuyan direcciones IP. Cuando DHCP snooping se habilita globalmente y en VLAN específicas, el switch inspecciona el tráfico DHCP únicamente en esas VLAN, filtrando los mensajes de servidor DHCP en los puertos no confiables. Esta aplicación selectiva garantiza que solo los servidores DHCP autorizados puedan responder a las solicitudes de los clientes. Los puertos de uplink confiables permiten que las respuestas legítimas del servidor DHCP pasen a través de ellos, manteniendo una asignación adecuada de direcciones IP. Esta configuración también permite que el switch cree una tabla de vinculación de DHCP snooping (binding table), que mapea direcciones MAC, direcciones IP, VLAN y tiempos de concesión (lease times), lo que ayuda a prevenir la suplantación de IP (IP spoofing) y otros ataques. Una trampa común en el examen es confiar erróneamente en todos los puertos de acceso o habilitar características no relacionadas como PortFast para bloquear servidores DHCP no autorizados. Configurar todos los puertos de acceso como confiables deshabilita el filtrado de DHCP snooping, permitiendo que los servidores DHCP no autorizados operen sin restricciones. PortFast solo afecta a los estados de puerto de Spanning Tree Protocol y no filtra mensajes DHCP. Deshabilitar ARP no tiene relación y alteraría la comunicación normal de la red. Comprender el uso correcto de DHCP snooping y de los puertos confiables es fundamental para proteger los puertos de switch de la capa de acceso frente a servidores DHCP no autorizados en redes Cisco.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de 200-301 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.