Introducción
Este documento describe cómo inhabilitar Transport Layer Security(TLS) 1.1 en switches Catalyst 9000 en redes LAN.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Conceptos de LAN Switching
- Navegación básica de la interfaz de línea de comandos (CLI)
- Comprensión de los protocolos TLS
Componentes Utilizados
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
- Catalyst 9000 Series Switch
- Versión del software: 17.6.5
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
Este documento proporciona una guía técnica para localizar y desactivar TLS 1.1 en los switches Catalyst 9000.
Problema
El problema implica que se detectó TLS 1.1 en el switch. Esto se marca para varios análisis de vulnerabilidades anti,
Paso 1: Verificar la presencia de TLS 1.1
Switch#show ip http server secure status
HTTP secure server status: Enabled
HTTP secure server port: 443
HTTP secure server ciphersuite: rsa-aes-cbc-sha2 rsa-aes-gcm-sha2
dhe-aes-cbc-sha2 dhe-aes-gcm-sha2 ecdhe-rsa-aes-cbc-sha2
ecdhe-rsa-aes-gcm-sha2 ecdhe-ecdsa-aes-gcm-sha2 tls13-aes128-gcm-sha256
tls13-aes256-gcm-sha384 tls13-chacha20-poly1305-sha256
HTTP secure server TLS version: TLSv1.3 TLSv1.2 TLSv1.1 <<< Presense of TLSv1.1 in the HTTP Server
HTTP secure server client authentication: Disabled
HTTP secure server PIV authentication: Disabled
HTTP secure server PIV authorization only: Disabled
HTTP secure server trustpoint: TP-self-signed-3889524895
HTTP secure server peer validation trustpoint:
HTTP secure server ECDHE curve: secp256r1
HTTP secure server active session modules: ALL
Switch#show ip http client secure status
HTTP secure client ciphersuite: rsa-aes-cbc-sha2 rsa-aes-gcm-sha2
dhe-aes-cbc-sha2 dhe-aes-gcm-sha2 ecdhe-rsa-aes-cbc-sha2
ecdhe-rsa-aes-gcm-sha2 ecdhe-ecdsa-aes-gcm-sha2 tls13-aes128-gcm-sha256
tls13-aes256-gcm-sha384 tls13-chacha20-poly1305-sha256
HTTP secure client TLS version: TLSv1.3 TLSv1.2 TLSv1.1 <<< Presence of TLSv1.1 in the HTTP client
HTTP secure client trustpoint:
Solución
Siga estos pasos para inhabilitar TLS 1.1 en un switch Catalyst 9000:
Paso 1: Desactivar TLS 1.1 para servidor HTTP
Switch#configure terminal
Switch(config)#no ip http tls-version TLSv1.1
Paso 2: Desactivar TLS 1.1 para cliente HTTP
Switch#configure terminal
Switch(config)#no ip http client tls-version TLSv1.1
Estos comandos aseguran que TLS 1.1 esté inhabilitado tanto en el lado del servidor como en el lado del cliente del switch, lo que mitiga cualquier problema de seguridad asociado con protocolos obsoletos.
Información Relacionada
Comentarios