Identificazione della versione EARL di Catalyst 5000 e altre domande comuni su EARL
Sommario
Introduzione
Questo documento affronta le domande comuni relative al problema di vulnerabilità 802.1x sugli switch Catalyst 5000. Nel documento viene inoltre illustrato come determinare la versione EARL di Catalyst 5000. Per ulteriori informazioni sulla vulnerabilità 802.1x, vedere il seguente advisory della sicurezza:
http://www.cisco.com/warp/public/707/cisco-sa-20010413-cat5k-8021x.shtml
Prerequisiti
Requisiti
Nessun requisito specifico previsto per questo documento.
Componenti usati
Il documento può essere consultato per tutte le versioni software o hardware.
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Convenzioni
Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.
Cos'è EARL?
La logica di riconoscimento degli indirizzi codificati (EARL, Encoded Address Recognition Logic) è un motore di elaborazione centralizzato per l'apprendimento e l'inoltro di pacchetti basato sull'indirizzo MAC dei Supervisor Engine Catalyst 5000. EARL memorizza le relazioni tra VLAN, indirizzo MAC e porta. Queste relazioni vengono utilizzate per prendere decisioni di commutazione nell'hardware.
Determinazione della versione EARL dalla CLI
Per determinare la versione EARL dall'interfaccia della riga di comando (CLI), usare il comando show module dal Supervisor. Di seguito è riportato un esempio:
Console (enable) sh mod Mod Module-Name Ports Module-Type Model Serial-Num Status --- ------------------- ----- --------------------- --------- --------- ---- --- 1 2 100BaseFX MM Supervis WS-X5506 005441962 ok 2 48 10BaseT Ethernet WS-X5012A 010308246 ok 3 48 10BaseT Ethernet WS-X5012A 010308178 ok 4 24 3 Segment 100BaseTX E WS-X5223 005389389 ok 5 12 100BaseFX MM Ethernet WS-X5201R 008951252 ok Mod MAC-Address(es) Hw Fw Sw --- -------------------------------------- ------ ---------- --------------- -- 1 00-e0-f9-d6-64-00 to 00-e0-f9-d6-67-ff 1.0 2.2(2) 4.2(1) 2 00-90-6f-6e-75-c0 to 00-90-6f-6e-75-ef 1.0 4.2(1) 4.2(1) 3 00-90-6f-6e-5a-f0 to 00-90-6f-6e-5b-1f 1.0 4.2(1) 4.2(1) 4 00-e0-b0-fb-0a-29 to 00-e0-b0-fb-0a-2b 1.0 2.2(1) 4.2(1) 5 00-60-2f-39-3d-d4 to 00-60-2f-39-3d-df 1.1 4.1(1) 4.2(1) Mod Sub-Type Sub-Model Sub-Serial Sub-Hw --- -------- --------- ---------- ------ 1 EARL 1+ WS-F5511 0005442554 1.0
Il comando show module emesso dal Supervisor indicherà la versione dell'hardware EARL nel campo Sub-Type. Se il Supervisor è un EARL 1, 1.1 o 1+,1++, il sistema è interessato dalla vulnerabilità 802.1x. Qualsiasi altra versione dell'EARL indicata nel sottotipo, come NFFC, NFFC+ o NFFC II, non sono EARL 1 e non sono influenzati dalla vulnerabilità 802.1x.
Nota: la IIG e la IIG di Supervisor non stamperanno il sottotipo. Il Supervisor IIG e IIG sono EARL 3 e non sono interessati dalla vulnerabilità 802.1x.
Matrice Determinazione versione EARL da numero parte
Modular Supervisor Catalyst serie 5000 Supervisor
| Numero parte supervisore | Modello Supervisor | Sottotipo versione Earl | Tipo di sottomodello versione EARL | Vulnerabilità 802.1x |
| WS-X5005 | Supervisor I | INIZIO 1 | WS-F5510 | Sì |
| WS-X5006 | Supervisor I | INIZIO 1 | WS-F5510 | Sì |
| WS-X5009 | Supervisor I | INIZIO 1 | WS-F5510 | Sì |
| WS-X550 | Supervisor II | EARL 1+ | WS-F551 | Sì |
| WS-X5506 | Supervisor II | EARL 1+ | WS-F551 | Sì |
| WS-X5509 | Supervisor II | EARL 1+ | WS-F551 | Sì |
| WS-X5530-E1 | Supervisor III | EARL 1++ | WS-F5520 | Sì |
| WS-X5530-E2 | Supervisor III NFFC | EARL 2 (NFFC) | WS-F5521 | No |
| WS-X5530-E2A | Supervisor III NFFC-A | EARL 2 (NFFC) | WS-F5521 | No |
| WS-X5530-E3 | Supervisor III NFFC II | EARL 3 (NFFC II) | WS-F5531 | No |
| WS-X5530-E3A | Supervisor III NFFC II-A | EARL 3 (NFFC II) | WS-F5531 | No |
| WS-X5534 | Supervisor III F | EARL 1++ | WS-F5520 | Sì |
| WS-X5540 | Supervisor II G | EARL 3 (NFFC II) | WS-F5531 | No |
| WS-X550 | Supervisor III G | EARL 3 (NFFC II) | WS-F5531 | No |
Switch Catalyst serie 5000 a configurazione fissa
| Cambia numero parte | Modello Supervisor | Sottotipo versione Earl | Tipo di sottomodello versione EARL | Vulnerabilità 802.1x |
| WS-C2901 | Supervisor I | INIZIO 1 | WS-F5510 | Sì |
| WS-C2902 | Supervisor I | INIZIO 1 | WS-F5510 | Sì |
| WS-C2926T | Supervisor II | EARL 1+ | WS-F551 | Sì |
| WS-C2926G | Supervisor II | EARL 1+ | WS-F551 | Sì |
| WS-C2926GS | Supervisor III NFFC II | EARL 3 (NFFC II) | WS-F5531 | No |
| WS-C2926GL | Supervisor III NFFC II | EARL 3 (NFFC II) | WS-F5531 | No |
Nota: nelle prime revisioni del software, l'EARL 3 (NFFC II) può essere chiamato NFFC+.
Determinazione della versione EARL tramite SNMP
La versione dell'hardware EARL può essere determinata dal protocollo SNMP (Simple Network Management Protocol). Utilizzo di .iso.org.dod.internet.private.ENTERPRISES.cisco.workgroup.stack.moduleGrp.mo
TabellaModuli.VoceModuli.Sottotipo
1.1.3.6.1.4.1.9.5.1.3.1.1.16
I valori restituiti possono essere:
-
altro(1)
-
vuoto(2)
-
wsf5510(3) (EARL1)
-
wsf551(4) (EARL1+)
-
wsx5304(6) (RSM - NON SU SUPERVISOR)
-
wsf5520(7) (EARL1++)
-
wsf5521(8) (EARL2/NFFC)
-
wsf5531(9) (EARL3/NFFCII)
Il Supervisor II G e IIG non restituiranno un valore. Il Supervisor IIG e IIG sono EARL 3 e non sono interessati dalla vulnerabilità 802.1x.
Perché sono interessate solo le versioni di Catalyst 5000 EARL 1?
Le versioni EARL 1 sono interessate solo perché EARL 1 deve essere programmato per ogni singolo indirizzo MAC riservato. Tutte le altre versioni EARL sono state programmate con intervalli e quindi non inoltrano il frame 802.1x.
Se non è presente alcuna ridondanza STP nella rete, eseguire l'aggiornamento?
Sicuramente, il software Catalyst 5000 sta ancora inoltrando i pacchetti su tutte le porte. Lo switch deve eliminare questi frame in ingresso. Sebbene la rete non subisca alcun deterioramento a meno che non vi sia ridondanza STP, lo switch continua a funzionare in modo non corretto.
Catalyst 4000 e 6000 non influenzati da vulnerabilità 802.1x
Gli switch Catalyst serie 5000 con EARL 1 sono gli unici switch interessati. Tutti gli altri switch non inoltrano il frame e arrestano il verificarsi di un loop STP se gli switch si trovano nel percorso STP.
Partecipazione a Windows 2000 in 802.1x
Attualmente, Windows XP (Whistler) è l'unico sistema operativo Microsoft a supportare 802.1x. Secondo Microsoft, è possibile aggiungere 802.1x per Windows 2000 in un secondo momento tramite un aggiornamento software o una patch.Attualmente, Windows XP (Whistler) è l'unico sistema operativo Microsoft che supporta 802.1x. Secondo Microsoft, è possibile aggiungere 802.1x per Windows 2000 in un secondo momento tramite un aggiornamento o una patch del software.
Feedback