Hola amigos, soy Florián Murillo y aquí estoy, como cada viernes.
Una de las características de los switches distribuidos de vSphere 5.1 que mas dudas genera, es la nueva posibilidad de activar BPDU Filter.
¿Que son las BPDU? En una red con múltiples caminos entre switches, utilizamos el protocolo Spanning-Tree (STP) para bloquear puertos en los switches y evitar que haya dos caminos activos entre switches, STP proporciona caminos alternativos, pero no simultáneos, bloqueando y desbloqueando puertos.
STP se activa en todos los switches y el dialogo STP entre switches se realiza mediante unas tramas especiales de nivel 2 llamadas BPDU, mediante estas tramas se anuncia información al switch vecino y se negocia que puerto dejaremos bloqueado.
En estas tramas viaja información que puede cambiar la topología de la red, por ejemplo desbloquear un camino porque el activo ha caído.
Las buenas prácticas de VMware y Cisco recomiendan que se desactive STP en los puertos de switches donde conectamos un adaptador de un host ESXi, debido a que los switches virtuales no «hablan» STP, ni tampoco se comunican mediante BPDUs. Pero no siempre se siguen las buenas prácticas ¿verdad?.
¿Que misión tiene la función BPDU Filter en los vDS de vSphere 5.1? Imaginemos una VM que ha sido comprometida por un intruso. Si la VM es capaz de enviar, a través de un troyano, BPDUs para que lleguen a puertos físicos con STP activado en un switch con una configuración descuidada, esta VM puede modificar la topología de STP y crear un ataque DoS, bloqueando, por ejemplo, los puertos del switch físico a los que la VM pueda alcanzar.
La misión de BPDU Filter en los vDS es precisamente bloquear este tráfico anormal cuando procede de una VM, sin que llegue a la red física, es por tanto, un mecanismo de seguridad ante ataques de DoS.
Es una solución simple a un problema de difícil detección cuando existe, si desconocemos el origen del problema, seguramente pensaremos que es un problema del host, moveremos las VMs a otro host y extenderemos el problema.
BPDU Filter viene desactivado por defecto, es una política habitual de VMware que no comparto.
Activarlo a nivel de host con Net.BlockGuestBPDU = 1
Y como dicen los sabios: Mejor prevenir que curar, o lo que es lo mismo, activa BPDU Filter si no existe un motivo que justifique dejarlo por defecto. Sed felices.
Si te ha gustado este articulo, por favor,compártelo en Twitter o en Facebook con los botones de abajo o deja tus comentarios. Muchas gracias por tu apoyo!
You may also like
