Opciones de configuración del conmutador

Elija un servidor de autenticación para validar nombres de usuario y contraseñas, certificados u otros factores de autenticación proporcionados por los usuarios.

• Mist Auth: configure Juniper Mist Access Assurance, un servicio de autenticación basado en la nube, en su conmutador. Para que esta opción funcione, debe usar un puerto con autenticación dot1x o MAB. Para obtener más información, consulte la guía de Juniper Mist Access Assurance.

• RADIUS: seleccione esta opción para configurar un servidor de autenticación RADIUS y un servidor de contabilidad, a fin de habilitar la autenticación de puerto dot1x en el nivel del conmutador. Para que la autenticación de puerto dot1x funcione, también debe crear un perfil de puerto que utilice la autenticación dot1x y debe asignar ese perfil a un puerto del conmutador.

  Los números de puerto predeterminados son:

  • puerto 1812 para el servidor de autenticación

  • puerto 1813 para el servidor de contabilidad

Después de seleccionar un servidor de autentificación, configure detalles adicionales para el servidor seleccionado según sea necesario. Puede configurar información que incluya:

• Tiempo de espera: duración en segundos después de la cual se agota el tiempo de espera de la solicitud de autenticación.

• Reintentos: número de reintentos permitidos.

• Temporizadores mejorados: de forma predeterminada, los conmutadores de la serie EX tienen un intervalo de 30 a 60 segundos para varios temporizadores de comunicación entre el conmutador y el dispositivo cliente. Habilitar esta opción mejora estos temporizadores entre 2 y 10 segundos. Puede modificarlos aún más cambiando el tiempo de espera y los reintentos del servidor de autenticación.

• Equilibrio de carga (aplicable solo a RADIUS): de forma predeterminada, los conmutadores de la serie EX utilizan el primer servidor de RADIUS. Esta opción aleatoriza la configuración del orden de los servidores por conmutador. Esto garantiza el equilibrio de carga en varios servidores RADIUS.

• Intervalo provisional: especifique la frecuencia (en segundos) con la que se actualiza el servidor de autenticación con información sobre una sesión de usuario activa.

• Dirección de origen (aplicable solo a Mist Auth): seleccione una red de origen. Esta red debe formar parte de una interfaz de capa 3 o IRB creada con una dirección IP estática.

• Puerto de solicitud dinámico: especifique un cambio de puerto de autorización (CoA).

set system authentication-order radius
set system radius-server radius-server-IP port 1812
set system radius-server radius-server-IP secret secret-code
set system radius-server radius-server-IP source-address radius-Source-IP
set system login user remote class class

set system login user RO class read-only
set system login user OP class operator
set system login user SU class super-user
set system login user remote full-name "default remote access user template"
set system login user remote class read-only

Para utilizar la autenticación TACACS+ en el dispositivo, debe configurar la información sobre uno o varios servidores TACACS+ en la red. También puede configurar la contabilidad TACACS+ en el dispositivo para recopilar datos estadísticos sobre los usuarios que inician o cierran sesión en una LAN y enviar los datos a un servidor de contabilidad TACACS+.

Además, puede especificar una función de usuario para los usuarios autenticados TACACS+ dentro de la configuración del conmutador. Están disponibles los siguientes roles de usuario: Ninguno, Administrador, Lector, Helpdesk. Cuando los usuarios autenticados TACAC+ no tienen una cuenta de usuario configurada en el dispositivo local, Junos les asigna una cuenta de usuario llamada "remota" de forma predeterminada.

El intervalo de puertos admitido para TACACS+ y servidores de contabilidad es de 1 a 65535.

Configure las opciones del servidor de nombres de dominio (DNS). Puede configurar hasta tres direcciones IP DNS y sufijos separados por comas.

Configure el protocolo simple de administración de red (SNMP) en el conmutador para que admita la administración y el monitoreo de red. Puede configurar SNMPv2 o SNMPv3. Estas son las opciones de SNMP que puede configurar:

• Opciones en SNMPv2 (V2)

  • General: especifique el nombre, la ubicación, la información de contacto administrativo del sistema y una breve descripción del sistema administrado. Cuando utiliza SNMPv2, tiene la opción de especificar la dirección de origen para los paquetes de captura SNMP enviados por el dispositivo. Si no especifica una dirección de origen, la dirección de la interfaz de salida se utiliza de forma predeterminada.

  • Cliente: defina una lista de clientes SNMP. Puede agregar varias listas de clientes. Esta configuración incluye un nombre para la lista de clientes y las direcciones IP de los clientes (en formato separado por comas). Cada lista de clientes puede tener varios clientes. Un cliente es un prefijo con máscara /32.

  • Grupo de captura: cree un grupo de hosts con nombre para recibir las notificaciones de captura especificadas. Debe configurarse al menos un grupo de capturas para que se envíen capturas SNMP. La configuración incluye los siguientes campos:

    • Nombre del grupo: especifique un nombre para el grupo de capturas.

    • Categorías: elija de la siguiente lista de categorías. Puede seleccionar varios valores.

      • autenticación

      • chasis

      • Configuración

      • enlace

      • operaciones remotas

      • enrutamiento

      • Servicios

      • puesta en marcha

      • Eventos VRRP

    • Destinos: especifique las direcciones IP de destino. Puede especificar varios destinos.

    • Versión: especifique el número de versión de las capturas SNMP.

  • Comunidad: defina una comunidad SNMP. Una comunidad SNMP se utiliza para autorizar clientes SNMP por su dirección IP de origen. También determina la accesibilidad y los permisos (de solo lectura o de lectura y escritura) para objetos MIB específicos definidos en una vista. Puede incluir una lista de clientes, información de autorización y una vista en la configuración de la comunidad.

  • Vista (aplicable a SNMPv2 y SNMPv3): defina una vista MIB para identificar un grupo de objetos MIB. Cada objeto de la vista comparte un prefijo de identificador de objeto común (OID). Las vistas de MIB permiten a un agente tener más control sobre el acceso a ramas y objetos específicos dentro de su árbol de MIB. Una vista se compone de un nombre y una colección de OID SNMP, que se pueden incluir o excluir explícitamente.

• Opciones en SNMPv3 (V3)

  • General: especifique el nombre, la ubicación, la información de contacto administrativo del sistema y una breve descripción del sistema administrado. Cuando utilice SNMPv2, configure un ID de motor, que sirve como identificador único para las entidades SNMPv3. Tiene la opción de usar la dirección MAC del dispositivo como ID del motor. El uso de la dirección MAC garantiza la unicidad y estabilidad del ID del motor sin mucha intervención manual.

  • USM: configure las opciones del modelo de seguridad basado en usuarios (USM). Esta configuración incluye un nombre de usuario, un tipo de autenticación y un tipo de cifrado. Puede configurar un motor local o un motor remoto para USM. Si selecciona un motor remoto, especifique un identificador de motor en formato hexadecimal. Este ID se utiliza para calcular el resumen de seguridad para autenticar y cifrar los paquetes enviados a un usuario en el host remoto. Si especifica la opción Motor local, se tiene en cuenta el ID de motor especificado en la pestaña General. Si no se especifica ningún ID de motor, local mist se configura como el valor predeterminado.

  • VACM: defina un modelo de control de acceso (VACM) basado en vistas. Un VACM le permite establecer privilegios de acceso para un grupo. Puede controlar el acceso filtrando los objetos MIB disponibles para las operaciones de lectura, escritura y notificación mediante una vista predefinida (primero debe definir las vistas necesarias en la pestaña Vistas). Cada vista se puede asociar a un modelo de seguridad específico (v1, v2c o USM) y nivel de seguridad (autenticado, de privacidad o ninguno). También puede aplicar la configuración de seguridad (tiene la opción de usar la configuración de USM ya definida aquí) al grupo de acceso desde la configuración de Seguridad al grupo.

  • Notificar: seleccione los objetivos de administración de SNMPv3 para las notificaciones y especifique el tipo de notificación. Para configurarlo, asigne un nombre a la notificación, elija los destinos o etiquetas que deben recibir las notificaciones e indique si debe ser una notificación trap (no confirmada) o inform (confirmada).

  • Destino: configure los parámetros de procesamiento y seguridad de mensajes para enviar notificaciones a un destino de administración determinado. También puede especificar la dirección IP de destino aquí.

  • Vista (aplicable a SNMPv2 y SNMPv3): defina una vista MIB para identificar un grupo de objetos MIB. Cada objeto de la vista comparte un prefijo de identificador de objeto común (OID). Las vistas de MIB permiten a un agente tener más control sobre el acceso a ramas y objetos específicos dentro de su árbol de MIB. Una vista se compone de un nombre y una colección de OID SNMP, que se pueden incluir o excluir explícitamente.

Para obtener más información, consulte Configurar SNMP en conmutadores.

Configure rutas estáticas. El conmutador utiliza rutas estáticas cuando:

• No tiene una ruta con un valor de preferencia mejor (más bajo).

• No puede determinar la ruta a un destino.

• Necesita reenviar paquetes que no se pueden enrutar.

Mist admite direcciones IPv4 e IPv6 para rutas estáticas. La compatibilidad con IPv6 está disponible para direcciones de destino y de próximo salto.

Tipos de rutas estáticas compatibles:

• Subred: si selecciona esta opción, especifique las direcciones IP para la red de destino y el siguiente salto.

• Red: si selecciona esta opción, especifique una VLAN (que contenga un ID de VLAN y una subred) y la dirección IP del salto siguiente.

• Métrica: el valor de la métrica de la ruta estática. Este valor ayuda a determinar la mejor ruta entre varias rutas a un destino. Rango: 0 a 4294967295.

• Preferencia: el valor de preferencia se utiliza para seleccionar rutas a destinos en sistemas autónomos (AS) externos o dominios de enrutamiento. El IGP selecciona las rutas de un AS y se basan en la métrica o el valor de costo de ese protocolo. Rango: 0 a 4294967295.

• Descartar: si selecciona esta casilla de verificación, se descartarán los paquetes dirigidos a este destino. El descarte tiene prioridad sobre otros parámetros.

Después de especificar los detalles, haga clic en la marca de verificación (✓) en la parte superior derecha de la ventana Agregar ruta estática para agregar la configuración a la plantilla.

Para configurar cualquier configuración adicional que no esté disponible en la GUI de la plantilla, puede usar comandos set CLI.

Por ejemplo, puede configurar un mensaje de inicio de sesión personalizado para mostrar una advertencia a los usuarios y aconsejarles que no realicen cambios en la CLI directamente en el conmutador. Aquí hay un ejemplo de cómo puedes hacerlo:

set system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

Para eliminar un comando de CLI que ya se agregó, utilice el delete comando, como se muestra en el siguiente ejemplo:

delete system login message \n\n Warning! This switch is managed by Mist. Do not make any CLI changes.

Para obtener más información, consulte .. /topic-map/manage-template-settings-wired-assurance.html#id_ppv_5hg_hzb.

• Defina un área de Abrir el camino más corto primero (OSPF). OSPF es un protocolo de enrutamiento de estado de vínculo que se utiliza para determinar la mejor ruta para reenviar paquetes IP dentro de una red IP. OSPF divide una red en áreas para mejorar la escalabilidad y controlar el flujo de la información de enrutamiento. Para obtener más información sobre las áreas de OSPF, consulte esta documentación de Junos: Configuración de áreas de OSPF.

• Habilite o deshabilite la configuración de OSPF en el conmutador (a nivel del conmutador).

Para obtener más información sobre cómo configurar OSPF a través de Mist, consulte Configuración de OSPF para conmutadores.

Los conmutadores de las series EX y QFX de Juniper ofrecen una excelente seguridad de puertos, incluyendo espionaje de DHCP, inspección del Protocolo de resolución de direcciones (ARP) y Protección de origen de IP. Puede habilitar estas opciones para todas las VLAN o para algunas de las VLAN en el conmutador desde el portal de Mist. La supervisión de DHCP debe estar habilitada para que los problemas de DHCP se incluyan en la SLE de conexión por cable exitosa.

DHCP Snooping supervisa los mensajes DHCP de dispositivos que no son de confianza conectados al conmutador. Cuando está habilitada, la supervisión de DHCP extrae la dirección IP y la información de concesión de los paquetes DHCP y las almacena en una base de datos de supervisión de la inspección. La seguridad de puertos en los conmutadores EX utiliza esta información para comprobar las solicitudes DHCP y bloquear los DHCPOFFER recibidos en puertos que no son de confianza (DHCP DISCOVER y DHCP REQUEST no se ven afectados).

• La protección de origen IP solo funciona con el modo de autenticación de usuario 802.1X de un solo suplicante. Utiliza la base de datos DHCP para validar las direcciones IP de origen y las direcciones MAC que se reciben en un puerto que no es de confianza, y descarta los paquetes que no tienen entradas coincidentes en la base de datos.

• La inspección ARP examina la dirección MAC de origen en los paquetes ARP recibidos en puertos que no son de confianza. Valida la dirección con respecto a la base de datos de espionaje DHCP y, si no se puede encontrar la dirección MAC, el paquete se descarta. Puede utilizar la CLI para comprobar estadísticas ARP, como el número de paquetes ARP no válidos que recibe en cada interfaz y las direcciones IP y MAC del remitente, escribiendo los siguientes comandos en el shell de la CLI: show dhcp-security arp inspection statisticsy show log messages | match DAI

De forma predeterminada, el protocolo DHCP considera todos los puertos de troncalización como de confianza y todos los puertos de acceso como no confiables. Recomendamos que solo conecte un servidor DHCP al conmutador mediante un puerto de troncalización o, si debe usar un puerto de acceso, asegúrese de configurar explícitamente ese puerto como de confianza en el perfil de puerto o DHCP no funcionará.

Tenga en cuenta que si conecta un dispositivo configurado con una dirección IP estática a un puerto que no es de confianza en el conmutador, es posible que el enlace MAC-IP no exista en la base de datos de espionaje DHCP; Los paquetes se eliminarán. Puede utilizar este comando show dhcp-security binding en un shell de CLI para solucionar problemas de DHCP y ver qué enlaces se enumeran en la base de datos de DHCP snooping para el conmutador.

Configure los ajustes de SYSLOG para configurar cómo se manejan los mensajes de registro del sistema. Puede configurar las opciones para enviar los mensajes de registro del sistema a archivos, destinos remotos, terminales de usuario o a la consola del sistema.

Para obtener ayuda con las opciones de configuración, consulte Configurar el registro del sistema.

IMITACIÓN DE PUERTO

Configure la duplicación de puertos.

La duplicación de puertos es la capacidad de un enrutador de enviar una copia de un paquete a una dirección de host externa o a un analizador de paquetes para su análisis.

Mist admite la duplicación de puertos locales y remotos. En la replicación de puertos locales, los puertos de origen y los puertos de destino (puerto de monitorización) se encuentran en el mismo conmutador de red. En la duplicación de puertos remotos, los puertos de origen y de destino no se encuentran en el mismo conmutador. En este caso, el puerto de origen reenvía la copia del paquete al puerto de destino remoto a través de la conexión lograda por los puertos entre los dos conmutadores.

En la configuración de la duplicación de puertos, puede especificar lo siguiente:

• Entrada: el origen (una interfaz o red) del tráfico que se va a monitorear. Junto con la entrada, puede especificar si desea que Mist supervise el tráfico de entrada o el tráfico de salida de una interfaz. Si desea supervisar tanto el tráfico de entrada como el de salida, agregue dos entradas de entrada para la misma interfaz: una con el indicador de entrada y la otra con el indicador de salida.

• Salida: el destino al que desea reflejar el tráfico. Puede especificar una interfaz, una red o una dirección IP (en el caso de un destino remoto). No puede especificar la misma interfaz o red en los campos de entrada y salida.

Política de enrutamiento

Configure políticas de enrutamiento para toda la organización (plantillas de conmutador de > de organización) o para un sitio (configuración de conmutador de sitio >). Estas políticas de enrutamiento solo se insertarán en la configuración del conmutador si está vinculada al protocolo de enrutamiento BGP. Las políticas de enrutamiento que ya están definidas en la pestaña BGP de un conmutador ahora aparecerán en la pestaña Política de enrutamiento. Las políticas de enrutamiento están vinculadas a protocolos como BGP u OSPF. Un marco de política de enrutamiento se compone de reglas predeterminadas para cada protocolo de enrutamiento. Estas reglas determinan qué rutas coloca el protocolo en la tabla de enrutamiento y anuncia desde la tabla de enrutamiento. La configuración de una política de enrutamiento implica definir términos, que consisten en condiciones y acciones de coincidencia que se aplican a las rutas coincidentes.

Para configurar una política de enrutamiento:

1. Haga clic en Agregar política de enrutamiento en el mosaico Política de enrutamiento.

2. Proporcione un nombre a la directiva y, a continuación, haga clic en Agregar términos.

3. Asigne un nombre al término y especifique otros detalles de coincidencia, como el siguiente:

   • Prefijo

   • Ruta de AS

   • Protocolo

   • Comunidad: atributo de ruta utilizado por el BGP para agrupar administrativamente rutas con propiedades similares.

   • Luego: la acción (Aceptar o Rechazar) se aplicará en las rutas coincidentes.

   • Agregar acción: acciones adicionales como anteponer ruta de AS, establecer comunidad y establecer preferencia local.

4. Haga clic en la marca de verificación (✓) a la derecha del título Agregar término para guardar el término. Puede agregar varios términos.

5. Haga clic en Agregar para guardar la política de enrutamiento.

Habilite conmutadores con compatibilidad con la opción 81 de DHCP. Cuando esta opción está habilitada en un conmutador, los clientes conectados a ese conmutador pueden enviar su nombre de dominio completo (FQDN) al servidor DHCP mientras solicitan una dirección IP. Esto permite que el servidor DHCP actualice los registros DNS en consecuencia.

También puede habilitar la opción 81 de DHCP en el nivel del sitio (configuración del conmutador > del sitio) y del dispositivo (Conmutadores > nombre del conmutador).

Con VRF, puede dividir un conmutador de la serie EX en varias instancias de enrutamiento virtual, aislando efectivamente el tráfico dentro de la red. Puede definir un nombre para el VRF, especificar las redes asociadas con él e incluir las rutas adicionales necesarias. Puede especificar direcciones IPv4 o IPv6 para la ruta adicional.

Configuración básica para identificar y habilitar el puerto.

• Troncal: las interfaces troncalizadas suelen conectarse a otros conmutadores, AP y enrutadores en la LAN. En este modo, la interfaz puede estar en varias VLAN y puede multiplexar el tráfico entre diferentes VLAN. Especifique la red de puertos, la red VoIP (si corresponde) y las redes troncales.

• Acceso: modo predeterminado. Las interfaces de acceso suelen conectarse a dispositivos de red, como PC, impresoras, teléfonos IP y cámaras IP. En este modo, la interfaz puede estar solo en una sola VLAN.

Seleccione esta opción para habilitar la autenticación IEEE 802.1X para el control de acceso a la red basado en puertos. La autenticación 802.1X se admite en interfaces que son miembros de VLAN privadas (PVLAN).

Las siguientes opciones están disponibles si habilita la autenticación dot1x en un puerto:

• Permitir varios suplicantes: seleccione esta opción para permitir que varios dispositivos finales se conecten al puerto. Cada dispositivo se autentica de forma individual.

• VLAN dinámica: especifique las VLAN dinámicas que devolverá el atributo del servidor de RADIUS "túnel-private-group-ID" o "Egress-VLAN-Name". Esta configuración permite que un puerto realice la asignación dinámica de VLAN.

• Autenticación MAC: seleccione esta opción para activar la autenticación MAC para el puerto. Cuando se selecciona esta opción, también puede especificar un protocolo de autenticación. Si especifica un protocolo, los suplicantes deben usarlo para proporcionar credenciales de autenticación.

• Usar red de invitados: seleccione esta opción para utilizar una red de invitados para la autenticación. A continuación, seleccione una red para invitados en la lista desplegable.

• Omitir autenticación cuando el servidor está inactivo: si selecciona esta opción, los clientes pueden unirse a la red sin autenticación si el servidor está inactivo.

• Intervalo de reautenticación: en un perfil de puerto de conmutador que utilice autenticación dot1x, puede configurar un temporizador que controle la frecuencia con la que un cliente se vuelve a autenticar con el servidor RADIUS. El valor recomendado es de 6 a 12 horas (21600 a 43200 segundos). El valor predeterminado es 65000 segundos.

• Red de rechazo del servidor: seleccione esta opción para conectar a los usuarios a una VLAN especificada (como la red de invitados) en caso de que el servidor de autenticación rechace el intento de autenticación del usuario. Puede configurar esta opción en el nivel del conmutador, en el nivel de la plantilla del sitio o en el nivel de la plantilla de la organización.

• Red de servidores fallidos: seleccione esta opción para conectar a los usuarios a una VLAN especificada (como la red de invitados) en caso de que no se pueda acceder al servidor de autenticación o no responda. Puede configurar esta opción en el nivel del conmutador, en el nivel de la plantilla del sitio o en el nivel de la plantilla de la organización.

También debe hacer lo siguiente para que funcione la autenticación dot1x:

• Configure un servidor RADIUS para la autenticación dot1x desde el mosaico Servidores de autenticación en la sección Configuración de todos los conmutadores de la plantilla.

• Asigne un perfil de puerto dot1x a un puerto de conmutación para que la configuración de RADIUS se inserte en el conmutador. Puede hacerlo desde la pestaña Configuración de puerto en la sección Seleccionar configuración de conmutadores de la plantilla.

  Pase el mouse sobre el puerto para ver el campo VLAN asignado por RADIUS. El servidor RADIUS asigna una nueva VLAN a los puertos con dot1x habilitado cuando la autenticación 802.1x se realiza correctamente. Esta vista es especialmente útil cuando se comprueba si una VLAN determinada en un puerto cambió después de la autenticación dot1x.

  Figura 1: VLAN asignada al radio en un puerto dot1x

Velocidad

Mantenga la configuración predeterminada, Automático, o seleccione una velocidad

Dúplex

Mantenga la configuración predeterminada, Automático, o seleccione Medio o Completo.

El valor predeterminado: 0

Rango admitido: de 0 a 16383

Habilite el puerto para que admita alimentación por Ethernet (PoE).

Configure un conmutador con el protocolo de árbol de expansión de VLAN (VSTP) o el árbol de expansión por VLAN. VSTP ayuda a prevenir bucles en redes de capa 2 por VLAN. Un árbol de expansión por VLAN permite el equilibrio de carga de grano fino. Mist recomienda habilitar esta función para los dispositivos de otros proveedores (por ejemplo, Cisco) que operan el árbol de expansión por VLAN de forma predeterminada.

Esta configuración también está disponible a nivel de sitio y conmutador.

Configure el puerto como un puerto perimetral del protocolo de árbol de expansión (STP) si desea habilitar la protección de la unidad de datos del protocolo de puente (BPDU) en un puerto. STP Edge está habilitado en los puertos a los que están conectados los clientes que no participan en STP. Esta configuración garantiza que el puerto se trate como un puerto de borde y proteja contra la recepción de BPDU. Si conecta un dispositivo que no es de borde a un puerto configurado con STP Edge, el puerto se deshabilita. Además, la página Información del conmutador genera un evento Puerto BPDU bloqueado. El panel frontal de los detalles del conmutador también mostrará un error de BPDU para este puerto.

Para borrar el puerto del error de BPDU, seleccione el puerto en el panel frontal y, a continuación, haga clic en Borrar errores de BPDU.

No debe habilitar STP Edge en el puerto de vínculo ascendente.

También puede configurar STP Edge en el nivel del conmutador, desde la sección Perfil de puerto en la página de detalles del conmutador.

STP punto a punto

Esta configuración cambia el modo de interfaz a punto a punto. Los vínculos punto a punto son vínculos dedicados entre dos nodos de red, o conmutadores, que conectan un puerto con otro.

STP sin puerto raíz

Esta configuración impide que la interfaz se convierta en un puerto raíz.

Bloquee las BPDU de STP

Normalmente se habilita en puertos de borde o de acceso donde no se esperan BPDU. Cuando esta opción está habilitada, el puerto se apaga inmediatamente si se recibe una BPDU, lo que ayuda a prevenir posibles bucles o configuraciones incorrectas.

Si STP Edge está habilitado, Bloquear BPDU STP se deshabilita automáticamente. Sin embargo, la comprobación de vivacidad de BPDU aún se puede configurar. Si Bloquear BPDU de STP está habilitado, tanto el borde de STP como la comprobación de vivacidad de BPDU se deshabilitan automáticamente.

Habilite la calidad de servicio (QoS) para que el puerto priorice el tráfico sensible a la latencia, como la voz, sobre otro tráfico en un puerto.

Tiene la opción de anular la configuración del QoS en la página de configuración del WLAN (WLAN del sitio > > WLAN nombre). Para anular la configuración de QoS, seleccione la casilla de verificación Anular QoS y elija una clase de acceso inalámbrico. El tráfico descendente (AP > cliente) se marca con el valor de clase de acceso de anulación especificado. La configuración de anulación no admite tráfico ascendente (cliente > AP).

Consulte también: Configuración de QoS.

Habilite el control de tormentas para monitorear los niveles de tráfico y descartar automáticamente paquetes de difusión, multidifusión y unidifusión desconocida cuando el tráfico exceda un nivel de tráfico (especificado en porcentaje). Este nivel de tráfico especificado se conoce como nivel de control de tormentas. Esta característica evita activamente la proliferación de paquetes y mantiene el rendimiento de la LAN.

Cuando activa Control de tormentas, también puede optar por excluir de la supervisión los paquetes de difusión, multidifusión y unidifusión desconocidos.

También puede configurar un conmutador para que apague automáticamente un puerto cuando el tráfico supere el umbral de control de tormentas definido por el usuario seleccionando la casilla de verificación Apagar puerto en Acción en el umbral.

Para obtener más información, consulte Descripción del control de tormentas.

Habilite MAC persistente (adhesiva) para conservar las direcciones MAC de estaciones de trabajo y servidores de confianza aprendidas por la interfaz, incluso después de reiniciar un dispositivo. Puede configurar MAC adhesiva para clientes cableados estáticos. Sticky MAC no está diseñado para usarse en interfaces de AP de Juniper Mist, ni es compatible con puertos de troncalización o aquellos configurados con autenticación 802.1X.

Usado junto con los límites de MAC (explicados anteriormente), Sticky MAC protege contra ataques de denegación de servicio (DS) de capa 2, ataques de desbordamiento en la tabla de conmutación Ethernet y ataques de inanición de DHCP, a la vez que permite que la interfaz aprenda dinámicamente direcciones MAC. En el portal de Mist, la página Información informa de estos eventos como MAC Limit Exceeded .

Puede configurar tanto la MAC fija como los límites de MAC como parte del perfil de puerto del conmutador. El procedimiento general se muestra en este video:

Debe habilitar explícitamente la opción Aprendizaje de MAC persistente (fijo), ubicada en la parte inferior del bloque de configuración Perfil de puerto, para incluir MAC fijo como parte del perfil de puerto que asocie con la interfaz. Para los límites de MAC, el valor predeterminado es 0 (ilimitado, es decir, deshabilitado), pero puede habilitarlo estableciendo un valor de hasta 16383 direcciones MAC únicas permitidas.

Para ver en el portal de Mist qué valor se ha establecido para el límite de MAC o el recuento de MAC, seleccione un conmutador en la página Conmutadores y pase el mouse sobre un puerto de conmutador. Puede ver qué perfil (puerto) se aplica a la interfaz y, por extensión, conocer su estado de MAC fijo.

Figura 2: Detalles del puerto que muestran MAC pegajosa

El límite de MAC configurado y la cantidad de MAC aprendidas aparecerán después de unos minutos, a medida que avance el aprendizaje dinámico en la interfaz. En el panel de control de Mist, solo se muestra el recuento máximo de direcciones MAC. Sin embargo, puede ver todas las direcciones MAC que una interfaz determinada ha aprendido abriendo un shell remoto en el conmutador y ejecutando los siguientes comandos de la CLI de Junos:

show ethernet-switching table persistent-learning
show ethernet-switching table persistent-learning interface

El recuento de MAC es un valor persistente que permanece hasta que se borra la dirección MAC (o hasta que se deshabilita en el perfil de puerto y luego se inserta esa configuración en el conmutador).

Para borrar las direcciones MAC de una interfaz determinada desde el panel de control de Mist, debe iniciar sesión como administrador de red o superusuario. Luego, simplemente seleccione el puerto que desee en el panel frontal del conmutador (como se muestra en la Figura 1) y haga clic en el botón Borrar MAC [dinámico/persistente] que aparece.

En la página Información del conmutador, el evento aparece como un MAC Limit Reset evento.

Para obtener más información sobre el panel frontal, consulte Detalles del conmutador.

Active esta opción si desea que esta regla se aplique a todos los conmutadores que tengan el mismo modelo. A continuación, seleccione el modelo.

Introduzca la subred o la variable de sitio.