Auditoría de las redes LAN y WAN de las distintas sedes de una empresa

TRABAJO DE FIN DE CARRERA TÍTULO DEL TFC: Auditoría de las redes LAN y WAN de las distintas sedes de una empresa TITULACIÓN: Ingeniería Técnica de Telecomunicación, especialidad Telemática. AUTOR: Fernando Sebastián Pino SUPERVISOR: Carles Gómez Montenegro FECHA: 18 de Septiembre de 2008 Título: Auditoría de las redes LAN y WAN de las distintas sedes de una empresa Autor: Fernando Sebastián Pino Supervisor: Carles Gómez Montenegro Fecha: 18 de Septiembre de 2008 Resumen Este documento, contiene los resultados obtenidos al realizar una auditoría de redes LAN y WAN de las diferentes sedes de una empresa. Durante el documento, se explicarán los métodos utilizados para la obtención de datos tanto a nivel LAN como WAN, los esquemas de las topologías de red estudiadas, así como los resultados obtenidos para cada una de las delegaciones y entornos estudiados. Una vez mostrados los resultados del estudio, se intentarán aportar soluciones que puedan mejorar el funcionamiento de la red del cliente, tanto a nivel de configuración, como de redistribución topológica. Siguiendo estas propuestas, se ofrecerá una valoración económica para su aplicación, y se sugerirán nuevas líneas de investigación para continuar mejorando la estructura. Title: Audit of LAN and WAN networks of the various headquarters of a company Author: Fernando Sebastián Pino Supervisor: Carles Gómez Montenegro Date: September, 18th 2008 Overview This document contains the results obtained when conducting an audit of LAN and WAN of the various headquarters of a company. During the document will be explained the methods used to obtain data both LAN and WAN, the network topologies studied and the results obtained for each of the delegations. Once shown the results of the study, will be tried to provide solutions that can improve the functioning of the customer's network, both configuration, as topological redistribution. Following these proposals will be offered an economic assessment for its implementation, and suggest new lines of inquiry to further improvements ÍNDICE INTRODUCCIÓN ...............................................................................................1 CAPÍTULO 1. ESTUDIO PREVIO WAN............................................................2 1.1. TRÁFICO WAN...................................................................................................................2 1.1.1. Esquema WAN y colocación de PacketShaper .....................................................2 1.1.2. Configuración del dispositivo..................................................................................4 CAPÍTULO 2. RESULTADOS DE ANÁLISIS WAN..........................................8 2.1. TRÁFICO WAN...................................................................................................................8 2.1.1. Tasas de tráfico......................................................................................................8 2.1.2. Eficiencia de red...................................................................................................10 2.1.3. TCP Health...........................................................................................................11 2.1.4. Top Ten ................................................................................................................12 2.2. RESULTADOS SIGNIFICATIVOS WAN.........................................................................13 2.2.1. Tráfico general WAN............................................................................................13 2.2.2. Tráfico entre delegaciones...................................................................................15 2.3. Conclusiones y sugerencias WAN................................................................................16 2.3.1. Conclusiones generales.......................................................................................16 2.3.2. Conclusiones enlace Barcelona – Terrassa.........................................................16 2.3.3. Conclusiones enlace Barcelona - Hospitalet.......................................................16 2.3.4. Conclusiones Barcelona – Reus/Lleida/Girona/Castelló......................................17 CAPÍTULO 3. ESTUDIO PREVIO LAN...........................................................18 3.1. TOPOLOGIA LAN BARCELONA.....................................................................................18 3.2. TOPOLOGIA LAN TERRASSA........................................................................................19 3.3. TOPOLOGIA LAN HOSPITALET.....................................................................................20 3.4. TOPOLOGIA LAN VALENCIA.........................................................................................21 3.5. TOPOLOGIA LAN CASTELLÓ........................................................................................22 3.6. TOPOLOGIA LAN GIRONA.............................................................................................23 3.7. TOPOLOGIA LAN REUS..................................................................................................24 3.8. TOPOLOGIA LAN LLEIDA...............................................................................................25 CAPÍTULO 4. RESULTADOS DE ANÁLISIS LAN ......................................... 26 4.1. TRÁFICO LAN ..................................................................................................................26 4.1.1. Principales errores de configuración de puerto....................................................26 4.1.2. Análisis de tráfico con Sniffer PRO......................................................................28 4.2. Conclusiones y sugerencias LAN..................................................................................33 4.2.1. Conclusiones generales.......................................................................................33 4.2.2. Conclusiones LAN Barcelona...............................................................................34 CAPÍTULO 5. RECOMENDACIONES DE MEJORA LAN .............................. 35 5.1. DELEGACIÓN BARCELONA...........................................................................................35 5.2. DELEGACIÓN TERRASSA..............................................................................................36 5.3. DELEGACIÓN HOSPITALET...........................................................................................37 5.4. DELEGACIÓN VALENCIA...............................................................................................38 5.5. DELEGACIÓN CASTELLÓ..............................................................................................39 5.6. DELEGACIÓN GIRONA...................................................................................................40 5.7. DELEGACIÓN REUS........................................................................................................41 5.8. DELEGACIÓN LLEIDA.....................................................................................................42 CAPÍTULO 6. PLAN DE ACCIÓN................................................................... 44 6.1. DELEGACIÓN BARCELONA...........................................................................................44 6.2. DELEGACIÓN TERRASSA..............................................................................................45 6.3. DELEGACIÓN HOSPITALET...........................................................................................47 6.4. RESTO DE SEDES...........................................................................................................48 CAPÍTULO 7. APROXIMACIÓN ECONÓMICA............................................... 49 CAPÍTULO 8. CONCLUSIONES Y LÍNEAS FUTURAS DE TRABAJO .........52 8.1. CONCLUSIONES..............................................................................................................52 8.2. IMPLEMENTACIÓN DEL PLAN DE ACCIÓN .................................................................52 8.3. SOLUCIÓN DE ALTA DISPONIBILIDAD ........................................................................53 8.4. BALANCEO DE SERVICIOS............................................................................................53 8.5. MONITORIZACIÓN...........................................................................................................53 Introducción 1 INTRODUCCIÓN En el presente documento se exponen las conclusiones obtenidas tras el análisis de los resultados de los estudios realizados en las instalaciones de NTRT en las redes WAN y LAN solicitadas por el cliente. El motivo por el cual el cliente nos demanda la realización de esta auditoría, es conocer el estado de la red de la compañía, así como su capacidad para soportar la implementación de un nuevo CRM en la empresa, que sustituya los obsoletos sistemas actuales. Los datos de ocupación en los enlaces WAN, así como las capturas de tráfico en los switches Baystack de Nortel fueron obtenidos durante Noviembre y Diciembre de 2007. Para la obtención de los datos, se han utilizado herramientas específicas de análisis de protocolos. Para el caso de los enlaces WAN, un equipo PacketShaper 3500 y software Sniffer Pro de NAI y Wireshark para realizar las capturas de tráfico en el ámbito de redes LAN. Para la auditoria de cada uno de los segmentos de red a auditar, se han realizado capturas en los switch Baystack de cada una de las delegaciones en períodos de 30 minutos. A partir de los datos recogidos, se determina la distribución de tráfico en función de los protocolos y tipos más usuales, como pueden ser IP, IPX o tráfico Broadcast, etc. Las estadísticas obtenidas, nos muestran el porcentaje de errores, retransmisiones, etc. en cada uno de los segmentos analizados. Para auditar los enlaces WAN, se han realizado capturas en las líneas durante: • Un periodo de dos semanas en las delegaciones conectadas vía MetroLAN a la sede central de Barcelona. • Diez días en las delegaciones que funcionan a través de una línea ADSL comercial. Durante el período de análisis, se ha determinado la distribución del tráfico en función de las aplicaciones y/o tráficos más utilizados, como por ejemplo: • Navegación http • Tráfico entre BS’s • Delegaciones con mayor carga de tráfico (Hospitalet, Terrassa i Valencia), • Servidores más representativos del resto de sedes 2 Auditoría de redes LAN y WAN de las distintas sedes de una empresa CAPÍTULO 1. ESTUDIO PREVIO WAN En el primer capítulo se muestran la estructura WAN a analizar, así como el lugar a colocar el dispositivo PacketShaper que utilizaremos para monitorizar, y una breve explicación sobre cómo debe configurarse este equipo para alcanzar los resultados deseados. 1.1. TRÁFICO WAN 1.1.1. Esquema WAN y colocación de PacketShaper A la hora de hacer el estudio de NTRT, nos encontramos con el esquema que mostramos a continuación: MACROLAN ADSL Terrassa Hospitalet BCN Girona Lleida Reus Castelló Valencia Fig. 1.1 Esquema WAN En el esquema, se muestran las diferentes delegaciones cuyos enlaces han sido auditados. Estudio previo WAN 3 Por una parte, tenemos tres delegaciones (Barcelona, Hospitalet y Terrassa), que comunican entre ellas, a través de un enlace Macrolan. El resto de sedes, trabajan a través de una red privada virtual montada sobre una línea ADSL convencional. El Packetshaper 3500, se coloca en la delegación de Barcelona, para controlar la comunicación de esta sede central con el resto de sucursales. El dispositivo, se coloca como elemento intermedio entre la LAN del cliente y el router de acceso a la Macrolan, tal y como se muestra en el siguiente esquema. Fig. 1.2 Colocación Packeteer 10 Auditoría de redes LAN y WAN de las distintas sedes de una empresa 2.1.2. Eficiencia de red Otro de los aspectos a estudiar al realizar la auditoría WAN de NTRT, es la eficiencia de su red. Esta tasa de eficiencia, se calcula obteniendo la relación entre las transmisiones realizadas correctamente a la primera, y aquellas que han necesitado retransmisiones, han sufrido errores, timeout, etc. Mientras más cercano al 100% sea este valor, mejor será el funcionamiento del enlace. Fig. 2.4 Eficiencia de red perfecta. Se considera que la eficiencia de red de un enlace es correcta, siempre que se encuentre constantemente en valores superiores al 85% aproximadamente. En el caso de NTRT todas las delegaciones cumplían con este requisito, aunque no todas las gráficas mostraban la calidad de la anterior. Resultados de análisis WAN 11 Fig. 2.5 Eficiencia de red correcta. 2.1.3. TCP Health La salud de un enlace a nivel de protocolo TCP, también es un valor a estudiar durante una auditoría WAN. Como se puede comprobar en la siguiente gráfica, el PacketShaper, nos muestra la salud del enlace TCP, basándose en diferentes resultados de las conexiones establecidas. • Nos muestra una gráfica de color rojo, en la cual se nos muestra el total de conexiones establecidas. • En color azul, se nos muestran las conexiones que han sido interrumpidas por alguno de los extremos. • La gráfica de color verde, corresponde a aquellas conexiones, que a pesar de haber llegado hasta el servidor, no han sido atendidas por éste. • Finalmente en color naranja, tenemos las conexiones que han llegado hasta el extremo servidor, pero que éste ha descartado por considerar que no cumplen los requisitos necesarios para ser atendidas por él. 12 Auditoría de redes LAN y WAN de las distintas sedes de una empresa Fig. 2.6 Salud del enlace a nivel TCP. 2.1.4. Top Ten PacketShaper, nos permite definir las clases de tráfico que queremos estudiar. Estas clases, pueden estar definidas a nivel de IP, protocolo, etc. Dentro de las divisiones a nivel de IP, podemos distinguir el tráfico de una IP en concreto, toda una subred, etc. jugando con las máscaras de subred. En el caso de un protocolo, no sólo podremos distinguir el tráfico correspondiente al protocolo en cuestión, si no también a los subprotocolos asociados al mismo, como podría ser el caso de Citrix, con Citrix-ICA, etc. El propio PacketShaper ya trae por defecto una serie de protocolos definidos (los más comunes) según su número de puerto utilizado, pero nos permite además, definir los nuevos protocolos asociados al puerto que deseemos. Para NTRT, se ha realizado un estudio basándose en las diferentes subredes correspondientes a cada delegación, y dentro de cada una de ellas, se ha clasificado el tráfico por protocolos de red utilizados. Resultados de análisis WAN 13 Fig. 2.7 Top Ten Users. 2.2. RESULTADOS SIGNIFICATIVOS WAN En este apartado se reflejan los datos más significativos que se han obtenido en el estudio de las redes WAN de NTRT y que permiten obtener un mejor conocimiento del estado de la red. 2.2.1. Tráfico general WAN El siguiente gráfico, muestra el tráfico entrante en la delegación de Barcelona durante una semana. Como se puede observar, los picos de tráfico nunca bajan de un cierto nivel, debido, principalmente al tráfico Broadcast de la red. Este tráfico continuo, es aún más evidente en la segunda gráfica, la de tráfico saliente de la delegación, donde este valor de pico, nunca baja de 10 Mb. Fig. 2.8 Análisis de tráfico entrante durante una semana 14 Auditoría de redes LAN y WAN de las distintas sedes de una empresa Fig. 2.9 Análisis de tráfico saliente durante una semana A continuación se muestran las principales clases que están consumiendo tráfico para las conexiones entrantes y salientes. Es importante destacar la tasa de volumen de tráfico VoIP de la delegación de Terrassa (única que trabaja con esta tecnología), mostrado en los gráficos como protocolo RTP. Fig. 2.10 Top Ten de clases de tráfico entrante a Barcelona Resultados de análisis WAN 15 Fig. 2.11 Top Ten de clases de tráfico saliente de Barcelona 2.2.2. Tráfico entre delegaciones El siguiente gráfico es una muestra de los picos de tráfico de la delegación de Valencia. Es importante observar como el enlace de subida de la ADSL se satura aproximadamente a los 250 Kb. Aproximadamente. Este hecho, nos muestra la incapacidad de la línea para soportar los momentos de máxima carga de tráfico. Esta misma conclusión es extrapolable a las delegaciones de Castellón, Reus y Lleida. En el enlace de Hospitalet, se pueden observar momentos de carga excesiva. Fig. 2.12 Análisis de tráfico WAN del enlace BCN – Valencia. 16 Auditoría de redes LAN y WAN de las distintas sedes de una empresa 2.3. Conclusiones y sugerencias WAN 2.3.1. Conclusiones generales De carácter general podemos observar los siguientes detalles: • La capacidad de ciertos enlaces (Valencia, Castellón, Lleida y Reus) es insuficiente para soportar el tráfico generado en horas de máxima carga sin ningún tipo de priorización de tráfico (se producen saturaciones). • Todas las delegaciones se concentran en un switch core de entrada, que en la mayoría de casos, no reúne las condiciones idóneas para ejercer como tal. En caso de problemas en estos equipos, las delegaciones quedarían aisladas. Sería recomendable proponer una solución de alta disponibilidad para este caso. • La necesidad de reducir el impacto del tráfico Broadcast en la red es evidente, ya que reduce la capacidad útil de ésta de una forma evidente. 2.3.2. Conclusiones enlace Barcelona – Terrassa En el caso particular del enlace entre la sede central de Barcelona y la de Terrassa, cabe destacar los siguientes puntos específicamente: • La capacidad del enlace es actualmente suficiente para soportar el tráfico entre ambas delegaciones. • Es conveniente realizar una clasificación y priorización del tráfico entre ambas delegaciones, especialmente de cara a un tráfico tan sensible a la latencia como es el de voz sobre IP. 2.3.3. Conclusiones enlace Barcelona - Hospitalet Una vez NTRT haya concluido la migración de servidores hacia el nuevo CPD, esta delegación pasará a adquirir una especial relevancia, ya que será la puerta de enlace hasta estos servidores, tal y como actualmente ocurre en la delegación de Barcelona. • La capacidad del enlace, por momentos puntuales de pico, alcanza el límite garantizado de capacidad por el ISP, aunque se trata de momentos puntuales, y se dispone de un ancho de banda extra no garantizado para las sedes de la MetroLAN. • Por el motivo anteriormente comentado, esta sede pasará a ser totalmente crítica próximamente, con lo cual, la solución de alta disponibilidad se hace aún más necesaria si cabe que en el resto de sedes. Resultados de análisis WAN 17 2.3.4. Conclusiones Barcelona – Reus/Lleida/Girona/Castelló Para el resto de sedes de NTRT, tal y como se ha comentado anteriormente, la duración del estudio WAN fue únicamente de una semana. Las conclusiones particulares extraídas son comunes y serían las siguientes: • La capacidad del enlace es insuficiente en momentos de máxima carga, produciendo esto una sensación de mal funcionamiento de la red de cara al usuario final. • Sería conveniente una semana más de análisis para obtener conclusiones más precisas sobre estos enlaces. 18 Auditoría de redes LAN y WAN de las distintas sedes de una empresa CAPÍTULO 3. ESTUDIO PREVIO LAN A continuación se mostrarán las topologías LAN de cada una de las delegaciones de NTRT, marcando en cada una de ellas los elementos susceptibles de revisión., 3.1. TOPOLOGIA LAN BARCELONA A continuación se detalla la estructura física actual de la delegación de NTRT en Barcelona. Los elementos marcados en color azul, serán aquellos, que se recomienda sustituir y modificar. Sw. 5ª planta. No gestionable. DMZ1 RiverStone Switch Procurve ADSL Informática Router MCI Suxwatch Firewall HUB de DMZ2 Switch no gestionado DMZ Switch ERP Switch2 ERP 4ª planta 3ª planta (4 sws) 1ª planta (4 sw) SWBA12 Switch de Sala de cursos IOF DMZ2 LAN RDSI METROLAN SWBA1 SWBA2 User ½ Hub sala de cursos Sw. D-Link per a 3 impressores Sala de proves ADSL de cinquena Planta. No serveix a ningú Fig. 3.1 Estructura actual sede BCN Estudio previo LAN 19 3.2. TOPOLOGIA LAN TERRASSA La estructura de red actual, es la siguiente: Enllaç de fibra (1 parell) RiverStone HUB de servidores RDSI METROLAN SWITCH 3 SWITCH 2 SWITCH 1 Encàrrecs SWITCH 4 HP Procurve’s del Magatzem (Més de 100 metres) Switch Procurve Recepcions Sw. Procurve Planta Baixa Fig. 3.2 Estructura actual sede TERRASSA 26 Auditoría de redes LAN y WAN de las distintas sedes de una empresa CAPÍTULO 4. RESULTADOS DE ANÁLISIS LAN En el capítulo cuatro, se mostrarán los hechos más destacables encontrados durante el análisis LAN de todas las sedes de NTRT. Estos datos, han sido obtenidos mediante la revisión de las configuraciones de los diferentes equipos de electrónica de red, y los resultados obtenidos mediante el uso de un sniffer comercial. 4.1. TRÁFICO LAN En el siguiente apartado, se muestra lo más destacado de las redes LAN de NTRT analizadas. Entre los aspectos a tener en cuenta cabe destacar la necesidad de realizar una exhaustiva revisión de las configuraciones de los puertos de la electrónica de red, tanto en modo como velocidad. 4.1.1. Principales errores de configuración de puerto Como ejemplo a destacar en este apartado, en la siguiente captura, vemos la configuración y estadísticas del puerto 9 del switch. Este puerto, se encuentra conectado al Firewall Nokia Checkpoint de NTRT, el cual proporciona la salida a Internet para todos los usuarios de todas las sedes de la empresa que tengan permitido el acceso a Internet. Como se puede observar en la configuración del puerto, éste se encuentra configurado a una velocidad de 100 Mbps, y Half Dúplex. Podemos considerar esta configuración como errónea, una vez que observamos la gran cantidad de colisiones que nos muestran las estadísticas para este puerto. Resultados de análisis LAN 27 Fig. 4.1 Configuración de puertos de switch Durante el transcurso de la auditoría, una vez descubierto este problema, el cliente NTRT, nos pide que modifiquemos la configuración de este puerto, haciéndolo trabajar a Full Dúplex (tal y como estaba configurado el otro extremo de enlace). Una vez realizada esta modificación y tras varias horas de trabajo, se comprueban nuevamente las estadísticas de este puerto, que no muestran ningún tipo de error. 28 Auditoría de redes LAN y WAN de las distintas sedes de una empresa Fig. 4.2 Estadísticas de puerto modificado 4.1.2. Análisis de tráfico con Sniffer PRO En el siguiente apartado, se muestran los resultados más significativos obtenidos en las capturas de tráfico de las diferentes delegaciones. • Tráfico broadcast: La siguiente captura, nos muestra un problema crítico en la red de NTRT, como es la evidente carga de tráfico Broadcast en la red. La suma total de porcentaje de tráfico que se observa en la siguiente captura con destino a las IP’s 172.16.223.255 y la IP 192.168.20.255, ambas direcciones broadcast de su red, supone prácticamente un 11,4%, lo cual supone un porcentaje elevadísimo. Resultados de análisis LAN 29 Fig. 4.3 Captura de tráfico con Sniffer PRO. Excesivo broadcast. • Fácil acceso a gestión de electrónica de red: Otro error de configuración apreciable a simple vista, es que la mayoría de elementos de electrónica de red de NTRT, se encuentran desprovistos de cualquier tipo de filtro de seguridad que limiten su gestión. Ni se han aplicado access-list que puedan limitar su gestión a nivel de IP, ni tan siquiera disponen de un password que aumente su dificultad de acceso. • Upgrades de antivirus: Una nueva cuestión a mejorar encontrada durante el análisis LAN de la red, es el porcentaje de tráfico de red generado por las actualizaciones del servidor de antivirus hacia los clientes. Este servidor, se encuentra ubicado en la sede principal de Barcelona, y gestiona las actualizaciones de todos los PC’s clientes de cada una de las sedes. Este sistema de actualización no se encuentra limitado para ejecutarse en horas de menos criticidad (como podría ser durante la noche), si no que se realiza aleatoriamente según necesidad. Como se puede observar, el tráfico correspondiente a la IP 172.16.201.71, supone un 91,33% del total de tráfico de una delegación durante una captura de sniffer PRO. Este aumento de tráfico no sólo se da a nivel porcentual, si no que la utilización del enlace pasa de de 10,192 KBytes/sec a 214,354 KBytes/sec. 30 Auditoría de redes LAN y WAN de las distintas sedes de una empresa Fig. 4.4 Captura de tráfico con Sniffer PRO. Updates de antivirus. • Cableado de excesiva longitud y defectuosa calidad. Se han detectado igualmente tramos de cableado superiores a 100 metros de longitud sin que la señal haya llegado a regenerarse (mediante un repetidor, hub, etc.) Esto provoca un aumento de retransmisiones, errores, lentitudes, etc. como se observa en la siguiente captura. Esta captura, fue tomada en la delegación de NTRT de Castellón. La longitud del cable ethernet, era superior a los 100 m., y la calidad del mismo era más que defectuosa, especialmente en sus extremos (grimpado deficiente de los conectores RJ45). Resultados de análisis LAN 31 Fig. 4.5 Captura de tráfico con Sniffer PRO. Cableado superior a 100 m. • Puertos mal configurados: Tal y como se había comentado anteriormente, a continuación se muestra un nuevo ejemplo de puerto de switch configurado incorrectamente, en este caso en la sede de Valencia. El servidor conectado a la boca de este switch, estaba trabajando a 100 Mb y Full Dúplex, mientras que el puerto del switch estaba a 10 Half. Se pueden apreciar esos errores en la siguiente captura. Fig. 4.6 Puerto de switch mal configurado. 32 Auditoría de redes LAN y WAN de las distintas sedes de una empresa • Errores provocados por elementos no gestionables: La siguiente captura muestra los errores en el puerto de un switch de la delegación de Lleida, que compartía funciones de elemento Core de la red, con un Hub no gestionable. A continuación se muestran los errores del puerto que proporciona servicio a ambos enlaces. Fig. 4.7 Errores en enlace a HUB • Puertos deshabilitados lógicamente En la delegación de NTRT en Reus, nos encontramos con los puertos 19 y 24 de uno de los switch core de la red, tapados, para que no pudiesen dar servicio, ya que teóricamente, no funcionaban. Tras conectarnos para gestionar el switch, descubrimos que esos puertos funcionaban correctamente, pero estaban deshabilitados de forma lógica. Una vez volvimos a habilitar esos puertos, comenzaron a dar servicio correctamente. Resultados de análisis LAN 33 Fig. 4.8 Puertos 19 y 24 deshabilitados 4.2. Conclusiones y sugerencias LAN 4.2.1. Conclusiones generales De carácter general podemos observar los siguientes detalles: • Es necesario analizar la configuración de los puertos de electrónica de red para evitar problemas de colisiones y errores. • La segmentación de la red en diferentes VLAN’s según las necesidades de cada segmento, reducirían el impacto del Broadcast en la red. • Aumentar la seguridad de acceso a los diferentes equipos de electrónica de red, bien a través de listas de acceso, como con la utilización de contraseñas. • Colocar elementos de red gestionables en aquellos puntos donde no los haya, como puede ser sustituir el actual Hub de Lleida que actúa como elemento core de la red. • Abordar una reestructuración lógica y topológica de la estructura de cada sede, ya que actualmente, la caída de un switch core de la red, provocaría una denegación total de servicio para cada delegación. • Evaluar la necesidad de sustituir los elementos obsoletos de la red, que ya han dejado de recibir soporte por parte del fabricante, como pueden ser los Nortel BayStack 450. • Repasar la canalización del cableado, ya que en varias ocasiones, se ha detectado, que éste se encuentra canalizado junto al cableado eléctrico de cada sede, con los consiguientes problemas que puede acarrear. • Buscar una alternativa viable para sustituir los enlaces Ethernet que se han observado con longitudes superiores a los 100 m. • Repasar la calidad de todo el cableado de las delegaciones. 34 Auditoría de redes LAN y WAN de las distintas sedes de una empresa • Los tres últimos puntos sugieren estudiar la posibilidad de realizar una auditoría de cableado de todas las sedes de NTRT. 4.2.2. Conclusiones LAN Barcelona En el caso particular de la sede central de Barcelona, cabe destacar los siguientes puntos a añadir a las conclusiones generales: • Existe un switch HP Procurve donde se encuentran pinchados diferentes routers que dan servicios totalmente diferenciados, y que no se encuentran separados de ninguna forma. Sería conveniente implementar VLAN’s en este switch para discriminar los diferentes tipos de tráfico. • Colocar elementos de red gestionables en puntos críticos de la red, como puede ser el caso de la DMZ, que actualmente cuelga de un HUB. • Coordinar los upgrades que realiza el servidor antivirus de esta sede, que da servicio a todas las delegaciones, para evitar congestión en momentos de máxima carga en la red. Recomendaciones de mejora LAN 35 CAPÍTULO 5. RECOMENDACIONES DE MEJORA LAN Basándonos en las topologías expuestas en el capítulo 3, y los resultados obtenidos en el capítulo 4, en este capítulo, se muestran las mejoras recomendadas, y cómo aplicarlas. 5.1. DELEGACIÓN BARCELONA Existe una serie de elementos a mejorar en la estructura de red actual. Los puntos a tener en cuenta serían los siguientes: • Eliminar el HUB de la DMZ2 y colocar un nuevo switch gestionable. • Sustituir la electrónica actual de la sala de cursos, por elementos gestionables y un Access Point inalámbrico, que no limite el número de asistentes a los cursos a las bocas de switch disponibles. • Eliminar los HUB de la sala de pruebas por conexiones directas al patch pannel, y eliminar el switch de 10 Mb de la planta de impresoras, por conexiones directas al switch core. • Sustituir el switch actual de 10 Mb la quinta planta por uno gestionable. • Dar de baja la ADSL de la quinta planta que actualmente no da servicio a nadie. La estructura propuesta sería la siguiente, en la cual los elementos añadido o modificados, se encuentran marcados en color rojo: 42 Auditoría de redes LAN y WAN de las distintas sedes de una empresa Magatzem Sortida ADSL METROLAN SWITCH 2 SWITCH 1 Recepcions Fig. 5.7 Estructura propuesta sede REUS 5.8. DELEGACIÓN LLEIDA Las recomendaciones para esta sede serían las siguientes: • Realizar una auditoría de cableado para certificar el estado del mismo. • Eliminar los HUB’s de 10 Mb no gestionables de Teléfonos y compras, y hacer tiradas de cable directas al patch pannel. • Eliminar el HUB del armario de comunicaciones, y colocar un switch core adecuado. Una vez realizados estos cambios, la estructura propuesta sería la siguiente: Recomendaciones de mejora LAN 43 Magatzem Sortida ADSL METROLAN SWITCH 1 Recepcions Fig. 5.8 Estructura propuesta sede LLEIDA 44 Auditoría de redes LAN y WAN de las distintas sedes de una empresa CAPÍTULO 6. PLAN DE ACCIÓN En el capítulo seis se detallan las acciones recomendadas para proceder a la mejora de las comunicaciones de las sedes de NTRT, así como el tiempo estimado para realizar cada una de las modificaciones aconsejadas. 6.1. DELEGACIÓN BARCELONA El plan de acción recomendado para la delegación de Barcelona sería el siguiente: • Implementación de contraseñas robustas para acceder a la gestión de los elementos de electrónica de red y evitar posibles intrusiones no deseadas. o Tiempo estimado: 2 horas • Eliminar la ADSL de la quinta planta que actualmente no da servicio a nadie. o Tiempo estimado: 0 horas • Actualización del firmware de los elementos de red o Tiempo estimado: 1’5 jornadas • Sustituir el HUB de la DMZ por un switch HP ProCurve Switch 2510. o Tiempo estimado: 2 horas • Configurar el switch HP Procurve 2524 del cual cuelga la DMZ2 para sacar el máximo rendimiento de esta zona (instalación del equipo, upgrade de firmware, y correcta configuración del mismo). o Tiempo estimado: 2 horas • Sustituir los actuales switch y HUB de la sala de cursos por el switch HP ProCurve que se encuentra sobre el rack sin dar servicio. Añadir un punto de acceso inalámbrico para facilitar la movilidad. o Tiempo estimado: 4 horas • Sustituir el switch no gestionable de 10 Mb. de la quinta planta por un HP Procurve 2510. o Tiempo estimado 1 hora Plan de acción 45 • Eliminar el HUB de la sala de pruebas de la cuarta planta y el de impresoras de la tercera, por tiradas de cable directas al patch pannel principal o su repartidor de planta. • Configurar los puertos de los switches principales de la sede (los que conectan servidores, otros switches, ...), forzándolos siempre que el otro extremo de la conexión lo permita a 100 Mbps i Full Dúplex o Tiempo estimado: 4 horas • Segmentar en VLAN’s el tráfico del switch Procurve de salida de la delegación para discriminar el tráfico de las diferentes ADSL’s de salida. o Tiempo estimado: 1 hora • Estudiar la configuración del servidor antivirus y los PC’s clientes para programar sus actualizaciones en momentos de mínima afectación al rendimiento de la red. o Tiempo estimado: 2 jornadas • Redundar los elementos principales de la red para evitar una denegación del servicio. Dichos elementos en esta sede son: 1. Firewall Nokia CheckPoint 2. Pila de switch BayStack SWBA1-2. 3. Switch HP Procurve de salida a Internet. 4. Switch ERP 5. Switch DMZ 6. Switch DMZ2 7. Pila de switch que dan servicio a la primera planta 8. Pila de switch que dan servicio a la tercera planta • Segmentar el tráfico de toda la delegación mediante VLAN’s adaptándose a las necesidades reales de cada usuario. 6.2. DELEGACIÓN TERRASSA El plan de acción recomendado para la delegación de Terrassa sería el siguiente: 46 Auditoría de redes LAN y WAN de las distintas sedes de una empresa • Implementación de contraseñas robustas para acceder a la gestión de los elementos de electrónica de red y evitar posibles intrusiones no deseadas. o Tiempo estimado: 1 hora • Actualización del firmware de los elementos de red o Tiempo estimado: 2 horas • Realizar una auditoria de cableado. o Tiempo estimado: 2 jornadas • Sustitución de pequeños HUB’s por tiradas directas de cable o elementos de mejores prestaciones. o Tiempo estimado: 4 horas • Conectar los switch HP Procurve de 24 puertos situados en los puntos más lejanos del almacén mediante fibra óptica con la pila de switch BayStack core de la sede. Se aplicará el protocolo Spanning Tree para dotar de redundancia al enlace. o Tiempo estimado: 3 horas • Configurar los puertos de los switches principales de la sede (los que conectan servidores, otros switches, ...), forzándolos siempre que el otro extremo de la conexión lo permita a 100 Mbps i Full Dúplex o Tiempo estimado: 1 hora • Estudiar la configuración del servidor antivirus y los PC’s clientes para programar sus actualizaciones en momentos de mínima afectación al rendimiento de la red. o Tiempo estimado: 1 jornada • Redundar los elementos principales de la red para evitar una denegación del servicio. Dichos elementos en esta sede son: 1. Pila de switch BayStack core 2. Switch HP Procurve del almacén 3. Switch HP Procurve de recepciones 4. Switch HP Procurve de la planta baja • Segmentar el tráfico de toda la delegación mediante VLAN’s adaptándose a las necesidades reales de cada usuario. Plan de acción 47 6.3. DELEGACIÓN HOSPITALET El plan de acción recomendado para la delegación de Hospitalet sería el siguiente: • Implementación de contraseñas robustas para acceder a la gestión de los elementos de electrónica de red y evitar posibles intrusiones no deseadas. o Tiempo estimado: 1 hora • Actualización del firmware de los elementos de red o Tiempo estimado: 2 horas • Instalar un switch HP Procurve 2524 con transceivers de fibra en el punto más alejado del almacén, y conectarlo mediante fibra óptica al Baystack core. o Tiempo estimado: 4 horas • Sustitución de pequeños HUB’s por tiradas directas de cable o elementos de mejores prestaciones. o Tiempo estimado: 4 horas • Conectar los switch HP Procurve de 24 puertos situados en los puntos más lejanos del almacén mediante fibra óptica con la pila de switch BayStack core de la sede. Se aplicará el protocolo Spanning Tree para dotar de redundancia al enlace. o Tiempo estimado: 3 horas • Configurar los puertos de los switches principales de la sede (los que conectan servidores, otros switches, ...), forzándolos siempre que el otro extremo de la conexión lo permita a 100 Mbps i Full Dúplex o Tiempo estimado: 1 hora • Estudiar la configuración del servidor antivirus y los PC’s clientes para programar sus actualizaciones en momentos de mínima afectación al rendimiento de la red. o Tiempo estimado: 1 jornada • Redundar los elementos principales de la red para evitar una denegación del servicio. Dichos elementos en esta sede son: 1. Pila de switch BayStack core 2. Switch HP Procurve del almacén 48 Auditoría de redes LAN y WAN de las distintas sedes de una empresa 3. Switch de verificación. • Segmentar el tráfico de toda la delegación mediante VLAN’s adaptándose a las necesidades reales de cada usuario. 6.4. RESTO DE SEDES Una vez estudiado el plan de acción para las principales sedes, el resto de delegaciones, podrían compartir un plan común de trabajo, que se basaría principalmente en los siguientes puntos: • Implementación de contraseñas robustas para acceder a la gestión de los elementos de electrónica de red y evitar posibles intrusiones no deseadas. o Tiempo estimado: 1 hora • Actualización del firmware de los elementos de red o Tiempo estimado: 2 horas • Sustitución de pequeños HUB’s por tiradas directas de cable o elementos de mejores prestaciones. o Tiempo estimado: 4 horas • Auditoría de cableado: o Tiempo estimado: 1 jornada • Configurar los puertos de los switches principales de la sede (los que conectan servidores, otros switches, ...), forzándolos siempre que el otro extremo de la conexión lo permita a 100 Mbps i Full Dúplex o Tiempo estimado: 1 hora • Estudiar la configuración del servidor antivirus y los PC’s clientes para programar sus actualizaciones en momentos de mínima afectación al rendimiento de la red. o Tiempo estimado: 1 jornada • Redundar los elementos principales de la red para evitar una denegación del servicio. • Segmentar el tráfico de toda la delegación mediante VLAN’s adaptándose a las necesidades reales de cada usuario. Aproximación económica 49 CAPÍTULO 7. APROXIMACIÓN ECONÓMICA En el presente apartado, se ofrece una estimación económica de los componentes unitarios que se han comentado durante los puntos anteriores, y que serían necesarios para llevar a término las mejoras propuestas, así como el coste económico para cada una de las sedes según las mejoras propuestas en apartados anteriores. La siguiente tabla, es una estimación económica de los componentes unitarios que se han comentado durante los puntos anteriores, y que serían necesarios para llevar a término las mejoras propuestas: Compras Qty. Descripción PVP 1 PROCURVE SWITCH 2524 . 382,22 1 PROCURVE SWITCH 2510-24 L2 2DUALPERS.W/10/100/1KORMINIGBIC 278,89 1 PROCURVE GIGABIT-SX TRANSCEIVER 294,78 1 Gigabit Ethernet, Standalone, Fiber Media Converter 222,32 1 Jornada de trabajo de técnico. 450,00 Fig. 5.1 Precios unitarios. En caso de aceptar las mejoras propuestas para la delegación de Barcelona, la tabla siguiente, nos muestra el montante económico de la operación, incluyendo la compra de hardware y mano de obra.. Compras Qty. Descripción PVP 1 PROCURVE SWITCH 2524 . 382,22 1 PROCURVE SWITCH 2510-24 L2 2DUALPERS.W/10/100/1KORMINIGBIC 278,89 4,5 Jornada de trabajo de técnico. 2025,00 TOTAL 2686,11 Fig. 5.2 Coste para Barcelona. La siguiente tabla, nos muestra el montante económico de las mejoras propuestas para la delegación de Terrassa, que a parte de la mano de obra, simplemente consistiría en comprar los elementos necesarios para enlazar mediante fibra dos de los switch más alejados en esta delegación, con enlaces superiores a 100 metros. 50 Auditoría de redes LAN y WAN de las distintas sedes de una empresa Compras Qty. Descripción PVP 2 PROCURVE GIGABIT-SX TRANSCEIVER 589,56 2 Gigabit Ethernet, Standalone, Fiber Media Converter 444.64 3 Jornada de trabajo de técnico. 1350,00 TOTAL 2384,20 Fig. 5.3 Coste para Terrassa. La siguiente tabla, nos muestra el coste que supondría realizar las mejoras propuestas para la delegación de Hospitalet. Compras Qty. Descripción PVP 1 PROCURVE SWITCH 2524 . 382,22 1 PROCURVE SWITCH 2510-24 L2 2DUALPERS.W/10/100/1KORMINIGBIC 278,89 4 PROCURVE GIGABIT-SX TRANSCEIVER 1179,12 4 Gigabit Ethernet, Standalone, Fiber Media Converter 889,28 3 Jornada de trabajo de técnico. 1350,00 TOTAL 4079,51 Fig. 5.4 Coste para Hospitalet. Las sedes de Valencia, Castellón Girona y Reus, necesitarían el mismo patrón de mejoras. El coste total para las cuatro sedes, se muestra en la siguiente tabla. Compras Qty. Descripción PVP 4 PROCURVE SWITCH 2510-24 L2 2DUALPERS.W/10/100/1KORMINIGBIC 1115,56 12 Jornada de trabajo de técnico. 5400,00 TOTAL 6515,56 Fig. 5.5 Coste para varias sedes La delegación de Lleida, incluye el coste de un switch adicional para sustituir al HUB que actualmente ejerce de core de lared. Aproximación económica 51 Compras Qty. Descripción PVP 2 PROCURVE SWITCH 2510-24 L2 2DUALPERS.W/10/100/1KORMINIGBIC 557,78 12 Jornada de trabajo de técnico. 1350,00 TOTAL 1907,78 Fig. 5.6 Coste para Lleida En caso de realizarse el total de los cambios propuestos, la valoración total es la siguiente. Compras Qty. Descripción PVP 1 Barcelona 2686,11 1 Terrassa 2384,20 1 HOSPITALET 4079,51 1 Valencia, Castelló, Girona, Reus 6515,56 1 Lleida 1907,78 TOTAL 17573,16 Fig. 5.6 Coste para Lleida