Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Convenzioni

Cos'è EARL?

Determinazione della versione EARL dalla CLI

Matrice Determinazione versione EARL da numero parte

Modular Supervisor Catalyst serie 5000 Supervisor

Switch Catalyst serie 5000 a configurazione fissa

Determinazione della versione EARL tramite SNMP

Perché sono interessate solo le versioni di Catalyst 5000 EARL 1?

Se non è presente alcuna ridondanza STP nella rete, eseguire l'aggiornamento?

Catalyst 4000 e 6000 non influenzati da vulnerabilità 802.1x

Partecipazione a Windows 2000 in 802.1x

Informazioni correlate

Introduzione

Questo documento affronta le domande comuni relative al problema di vulnerabilità 802.1x sugli switch Catalyst 5000. Nel documento viene inoltre illustrato come determinare la versione EARL di Catalyst 5000. Per ulteriori informazioni sulla vulnerabilità 802.1x, vedere il seguente advisory della sicurezza:

http://www.cisco.com/warp/public/707/cisco-sa-20010413-cat5k-8021x.shtml

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Convenzioni

Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.

Cos'è EARL?

La logica di riconoscimento degli indirizzi codificati (EARL, Encoded Address Recognition Logic) è un motore di elaborazione centralizzato per l'apprendimento e l'inoltro di pacchetti basato sull'indirizzo MAC dei Supervisor Engine Catalyst 5000. EARL memorizza le relazioni tra VLAN, indirizzo MAC e porta. Queste relazioni vengono utilizzate per prendere decisioni di commutazione nell'hardware.

Determinazione della versione EARL dalla CLI

Per determinare la versione EARL dall'interfaccia della riga di comando (CLI), usare il comando show module dal Supervisor. Di seguito è riportato un esempio:

Console (enable) sh mod

Mod Module-Name Ports Module-Type Model Serial-Num Status

--- ------------------- ----- --------------------- --------- --------- ---- ---

1 2 100BaseFX MM Supervis WS-X5506 005441962 ok

2 48 10BaseT Ethernet WS-X5012A 010308246 ok

3 48 10BaseT Ethernet WS-X5012A 010308178 ok

4 24 3 Segment 100BaseTX E WS-X5223 005389389 ok

5 12 100BaseFX MM Ethernet WS-X5201R 008951252 ok

Mod MAC-Address(es) Hw Fw Sw

--- -------------------------------------- ------ ---------- --------------- --

1 00-e0-f9-d6-64-00 to 00-e0-f9-d6-67-ff 1.0 2.2(2) 4.2(1)

2 00-90-6f-6e-75-c0 to 00-90-6f-6e-75-ef 1.0 4.2(1) 4.2(1)

3 00-90-6f-6e-5a-f0 to 00-90-6f-6e-5b-1f 1.0 4.2(1) 4.2(1)

4 00-e0-b0-fb-0a-29 to 00-e0-b0-fb-0a-2b 1.0 2.2(1) 4.2(1)

5 00-60-2f-39-3d-d4 to 00-60-2f-39-3d-df 1.1 4.1(1) 4.2(1)

Mod Sub-Type Sub-Model Sub-Serial Sub-Hw

--- -------- --------- ---------- ------

1 EARL 1+ WS-F5511 0005442554 1.0

Il comando show module emesso dal Supervisor indicherà la versione dell'hardware EARL nel campo Sub-Type. Se il Supervisor è un EARL 1, 1.1 o 1+,1++, il sistema è interessato dalla vulnerabilità 802.1x. Qualsiasi altra versione dell'EARL indicata nel sottotipo, come NFFC, NFFC+ o NFFC II, non sono EARL 1 e non sono influenzati dalla vulnerabilità 802.1x.

Nota: la IIG e la IIG di Supervisor non stamperanno il sottotipo. Il Supervisor IIG e IIG sono EARL 3 e non sono interessati dalla vulnerabilità 802.1x.

Matrice Determinazione versione EARL da numero parte

Modular Supervisor Catalyst serie 5000 Supervisor

Numero parte supervisore

Modello Supervisor

Sottotipo versione Earl

Tipo di sottomodello versione EARL

Vulnerabilità 802.1x

WS-X5005

Supervisor I

INIZIO 1

WS-F5510

Sì

WS-X5006

Supervisor I

INIZIO 1

WS-F5510

Sì

WS-X5009

Supervisor I

INIZIO 1

WS-F5510

Sì

WS-X550

Supervisor II

EARL 1+

WS-F551

Sì

WS-X5506

Supervisor II

EARL 1+

WS-F551

Sì

WS-X5509

Supervisor II

EARL 1+

WS-F551

Sì

WS-X5530-E1

Supervisor III

EARL 1++

WS-F5520

Sì

WS-X5530-E2

Supervisor III NFFC

EARL 2 (NFFC)

WS-F5521

No

WS-X5530-E2A

Supervisor III NFFC-A

EARL 2 (NFFC)

WS-F5521

No

WS-X5530-E3

Supervisor III NFFC II

EARL 3 (NFFC II)

WS-F5531

No

WS-X5530-E3A

Supervisor III NFFC II-A

EARL 3 (NFFC II)

WS-F5531

No

WS-X5534

Supervisor III F

EARL 1++

WS-F5520

Sì

WS-X5540

Supervisor II G

EARL 3 (NFFC II)

WS-F5531

No

WS-X550

Supervisor III G

EARL 3 (NFFC II)

WS-F5531

No

Switch Catalyst serie 5000 a configurazione fissa

Cambia numero parte

Modello Supervisor

Sottotipo versione Earl

Tipo di sottomodello versione EARL

Vulnerabilità 802.1x

WS-C2901

Supervisor I

INIZIO 1

WS-F5510

Sì

WS-C2902

Supervisor I

INIZIO 1

WS-F5510

Sì

WS-C2926T

Supervisor II

EARL 1+

WS-F551

Sì

WS-C2926G

Supervisor II

EARL 1+

WS-F551

Sì

WS-C2926GS

Supervisor III NFFC II

EARL 3 (NFFC II)

WS-F5531

No

WS-C2926GL

Supervisor III NFFC II

EARL 3 (NFFC II)

WS-F5531

No

Nota: nelle prime revisioni del software, l'EARL 3 (NFFC II) può essere chiamato NFFC+.

Determinazione della versione EARL tramite SNMP

La versione dell'hardware EARL può essere determinata dal protocollo SNMP (Simple Network Management Protocol). Utilizzo di .iso.org.dod.internet.private.ENTERPRISES.cisco.workgroup.stack.moduleGrp.mo

TabellaModuli.VoceModuli.Sottotipo

1.1.3.6.1.4.1.9.5.1.3.1.1.16

I valori restituiti possono essere:

- altro(1)

- vuoto(2)

- wsf5510(3) (EARL1)

- wsf551(4) (EARL1+)

- wsx5304(6) (RSM - NON SU SUPERVISOR)

- wsf5520(7) (EARL1++)

- wsf5521(8) (EARL2/NFFC)

- wsf5531(9) (EARL3/NFFCII)

Il Supervisor II G e IIG non restituiranno un valore. Il Supervisor IIG e IIG sono EARL 3 e non sono interessati dalla vulnerabilità 802.1x.

Perché sono interessate solo le versioni di Catalyst 5000 EARL 1?

Le versioni EARL 1 sono interessate solo perché EARL 1 deve essere programmato per ogni singolo indirizzo MAC riservato. Tutte le altre versioni EARL sono state programmate con intervalli e quindi non inoltrano il frame 802.1x.

Se non è presente alcuna ridondanza STP nella rete, eseguire l'aggiornamento?

Sicuramente, il software Catalyst 5000 sta ancora inoltrando i pacchetti su tutte le porte. Lo switch deve eliminare questi frame in ingresso. Sebbene la rete non subisca alcun deterioramento a meno che non vi sia ridondanza STP, lo switch continua a funzionare in modo non corretto.

Catalyst 4000 e 6000 non influenzati da vulnerabilità 802.1x

Gli switch Catalyst serie 5000 con EARL 1 sono gli unici switch interessati. Tutti gli altri switch non inoltrano il frame e arrestano il verificarsi di un loop STP se gli switch si trovano nel percorso STP.

Partecipazione a Windows 2000 in 802.1x

Attualmente, Windows XP (Whistler) è l'unico sistema operativo Microsoft a supportare 802.1x. Secondo Microsoft, è possibile aggiungere 802.1x per Windows 2000 in un secondo momento tramite un aggiornamento software o una patch.Attualmente, Windows XP (Whistler) è l'unico sistema operativo Microsoft che supporta 802.1x. Secondo Microsoft, è possibile aggiungere 802.1x per Windows 2000 in un secondo momento tramite un aggiornamento o una patch del software.

Informazioni correlate

- Note sulla release del software della famiglia Catalyst 5000 versione 4.x

- Documentazione e supporto tecnico – Cisco Systems