Monitorización y control de tráfico en redes LAN
La monitorización de red consiste en observar de forma continua el estado, el rendimiento y la disponibilidad de los dispositivos y del tráfico que circula por una LAN, con el fin de detectar fallos, cuellos de botella y anomalías de seguridad. La ISO (International Organization for Standardization) definió, dentro del modelo de gestión OSI, cinco áreas funcionales de gestión de red, conocidas por el acrónimo FCAPS: gestión de Fallos (Fault), de Configuración (Configuration), de Contabilidad (Accounting), de Prestaciones/rendimiento (Performance) y de Seguridad (Security).
Dos conceptos básicos de rendimiento son la latencia —el tiempo que tarda un paquete de datos en transferirse desde su origen hasta su destino— y el ancho de banda. La latencia elevada y su variación (jitter) son síntomas típicos de congestión.
Protocolos de gestión: SNMP y CMIP
SNMP (Simple Network Management Protocol) es el protocolo estándar de facto para recopilar y organizar información sobre dispositivos gestionados en redes IP y para modificar esa información con el fin de cambiar el comportamiento de los dispositivos; en resumen, sirve para monitorizar y gestionar dispositivos en una red. Sus características clave:
-
Transporte: SNMP se apoya en UDP (no en TCP), habitualmente puerto 161 para peticiones y 162 para las notificaciones (traps). Por tanto, la afirmación «el protocolo estándar de transporte de SNMP es TCP» es incorrecta.
-
MIB (Management Information Base): es la base de datos jerárquica que contiene, de forma estructurada, la información sobre los dispositivos de red gestionados. El agente SNMP expone sus datos a través de la MIB.
-
Comunidad (community): es una relación entre un agente SNMP y un conjunto de gestores que define autenticación y control de acceso. Este esquema de seguridad basado en comunidad es propio de SNMPv1/SNMPv2c.
Operaciones (PDU) de SNMP
| Operación | Función |
|---|---|
| GET | Recuperar el valor de una variable concreta de un dispositivo |
| GET NEXT | Recorrer secuencialmente los objetos de la MIB |
| GET BULK | Recuperar datos voluminosos de una tabla MIB grande en una sola petición (introducido en SNMPv2) |
| SET | Modificar el valor de una variable (cambia el comportamiento del dispositivo) |
| TRAP | Mensaje no solicitado que el agente envía al gestor para notificar un evento inesperado |
Los TRAP son, pues, la forma de enviar una notificación de evento a un dispositivo de gestión.
Versiones de SNMP
La versión más reciente es SNMPv3. Su principal aportación es la seguridad: introduce tres niveles (noAuthNoPriv, authNoPriv y authPriv), añadiendo autenticación (integridad y verificación de origen) y cifrado/privacidad. En consecuencia, el control de acceso basado en comunidad NO es una mejora de SNMPv3: es precisamente el modelo débil de las versiones anteriores que v3 sustituye por el modelo de seguridad basado en usuarios (USM).
CMIP (Common Management Information Protocol) es el protocolo de gestión definido en el marco OSI; también se utiliza para administrar dispositivos de una red, aunque su complejidad hizo que SNMP se impusiera en la práctica.
Software de monitorización y gestión
-
Nagios: software que permite la supervisión (monitorización) de las infraestructuras de Tecnologías de la Información de una organización (hosts, servicios, redes). Se apoya en el protocolo SNMP para recabar datos. Nagios NO realiza tareas como copias de seguridad del LDAP: eso no es una funcionalidad suya.
-
HP OpenView Network Node Manager: herramienta de gestión que proporciona un mapa de la red mostrando el estado de los elementos y ofrece diversas utilidades para gestionarlos.
-
Gestores de incidencias libres/gratuitos: existen múltiples sistemas de gestión de incidencias que son software libre o free (OTRS, GLPI, Request Tracker, etc.).
Herramientas de diagnóstico y captura
-
Ping: verifica la conectividad entre dos dispositivos de red (envía ICMP echo request y espera echo reply).
-
Traceroute (tracert en Windows): identifica la ruta que sigue un paquete en la red, mostrando el número de saltos hasta el destino. En Windows se basa en el protocolo ICMP. Manipula el campo TTL de forma incremental; la opción -m especifica el número máximo de saltos antes de finalizar. Comprobando el tiempo de respuesta de cada salto permite localizar problemas de congestión.
-
MTR: combina ping y traceroute de forma continua; útil para identificar problemas de congestión salto a salto.
-
iftop: utilidad de línea de comandos en Linux para monitorizar y controlar el tráfico de red en tiempo real por conexión.
-
Iperf: herramienta para medir el ancho de banda y realizar pruebas de carga en una red.
-
Wireshark: analizador de paquetes (sniffer) multiplataforma, compatible con Windows, Linux y OS X (macOS). Su decodificación de protocolos permite analizar el tráfico a nivel de aplicación. Los filtros de visualización usan sintaxis como
tcp.port == 80para mostrar solo el tráfico HTTP. Para capturar en una red inalámbrica protegida con WPA se emplea el modo monitor. Wireshark puede capturar prácticamente cualquier protocolo de red que llegue a la interfaz. -
Nmap: escáner que permite identificar qué dispositivos están conectados a una red y sus puertos/servicios. Opciones relevantes:
-
-F: fast scan, escanea solo los puertos TCP más comunes. -
-PE: descubrimiento de hosts mediante ICMP echo request (en lugar de los paquetes SYN habituales). -
-iL: toma como destino una lista de direcciones IP desde un fichero de entrada. -
NSE (Nmap Scripting Engine): motor de scripts (en lenguaje Lua) que amplía las capacidades de Nmap.
Control de tráfico: puerto espejo y proxys
-
Puerto espejo (port mirroring / SPAN): puerto de un switch configurado para duplicar el tráfico de otros puertos; se usa comúnmente en aplicaciones que requieren monitorizar el tráfico de la red (IDS, sniffers) sin interferir en él.
-
Proxys transparentes: combinan el proxy con NAT de manera que las conexiones se enrutan a través del proxy sin necesidad de configuración por parte del cliente.
Fuentes
-
IETF, RFC 3411–3418 (SNMPv3 y MIB): https://datatracker.ietf.org/doc/html/rfc3418
-
IETF, RFC 3416 (Protocol Operations for SNMPv2, incluye GetBulk): https://datatracker.ietf.org/doc/html/rfc3416
-
Nmap Reference Guide — Options Summary y NSE (nmap.org): https://nmap.org/book/man-briefoptions.html y https://nmap.org/book/nse.html
-
ITU-T/ISO — Modelo de gestión OSI, áreas funcionales FCAPS (Recomendación X.700 / ISO/IEC 7498-4)
-
Wireshark User's Guide (wireshark.org): https://www.wireshark.org/docs/wsug_html_chunked/
-
Nagios — documentación oficial (nagios.org): https://www.nagios.org/documentation/