Ingeniería en Telemática · Redes empresariales

LABORATORIO INTEGRADOR · DESDE CERO

Una red empresarial.
Cuatro sedes. Un proyecto.

Instala EVE-NG desde cero y reconstruye paso a paso la topología original: Central, León, Chinandega y Masaya, con VLAN, cinco enlaces WAN, OSPF, servidores, ASA y DMZ.

18 etapas guiadas4 routers7 switches12 VPCSVLAN + OSPF + ASA
Primero leer · después ejecutarUna comprobación por pasoGuía con recursos descargables
Progreso del laboratorio

Marca cada etapa solamente después de completar su comprobación. El progreso se conserva en este navegador.

0 de 18 etapas
01

¿Qué vas a crear?

Una red corporativa con sucursales interconectadas y equipos segmentados por áreas.

02

¿Cómo lo harás?

Desde VMware y EVE-NG hasta la configuración de cada equipo, con pasos y comandos copiables.

03

¿Cómo compruebas?

Cada paso indica el resultado esperado, y cada etapa se valida antes de continuar.

NO SE TRATA DE UNA TOPOLOGÍA INVENTADA

Se conserva el direccionamiento del diagrama suministrado. Cuando la imagen no especifica una VLAN, un modelo exacto o una política de seguridad, la guía lo identifica claramente como una decisión didáctica que debe comprobarse.

ESTRUCTURA LÓGICA

Cómo se organiza la red

El firewall protege los accesos de la Central. Las tres sucursales se conectan mediante cinco enlaces WAN.

⌁ISP / VPNFase avanzada
→
◈ASA + DMZWeb y Proxy
→
⇆Router CentralOSPF y VLAN
→
▦3 sucursales12 clientes
ETAPA 01 · CONSTRUCCIÓN GUIADA

Orientación: qué vas a construir

Reconoce la red completa, sus sedes y el resultado final antes de instalar ningún programa.

Topología de referencia con sede central, ISP, ASA, DMZ, León, Chinandega, Masaya, subredes /27 y enlaces /30
Diagrama original suministrado para esta práctica.Ampliar plano ↗
RESULTADO ESPERADO

Al terminar tendrás cuatro routers interconectados, tres pares de switches en las sucursales, un switch central, 12 equipos cliente, servidores de la central y una zona DMZ conectada a un firewall ASA. La VPN, la autenticación y el monitoreo real se incorporan en fases adicionales.

1.1

Identifica los cuatro espacios de trabajo

  1. Observa la zona superior: Sucursal Central y DMZ.
  2. Observa la parte inferior izquierda: León.
  3. Observa la parte inferior central: Chinandega.
  4. Observa la parte inferior derecha: Masaya.
  5. Ubica las líneas amarillas: serán los enlaces WAN entre routers.
Comprueba antes de continuar: Puedes señalar cuatro sedes y cinco enlaces WAN en la imagen.
1.2

Aprende a trabajar con pasos pequeños

  1. Lee todo el paso antes de ejecutarlo.
  2. Realiza una sola acción de configuración a la vez.
  3. Verifica el resultado con el comando indicado.
  4. Si falla, no avances ni cambies otras partes de la red.
  5. Marca la etapa finalizada solo cuando funcione.
Comprueba antes de continuar: Conoces el procedimiento: leer → ejecutar → comprobar → registrar.
1.3

Define el alcance de la réplica

Las IP, subredes /27, enlaces /30 y nombres de equipos se reproducen a partir de la imagen. Los IDs de VLAN 10/20/30/40/50 son una convención didáctica coherente, porque el número de VLAN no aparece confirmado en el dibujo. Las configuraciones de VPN, ISP, DNS, WLC, LDAP, MongoDB y LibreNMS requieren software y parámetros adicionales.

Comprueba antes de continuar: Sabes distinguir los datos del diagrama de las decisiones necesarias para implementarlo.
ETAPA 02 · CONSTRUCCIÓN GUIADA

Selecciona una edición de EVE-NG que sí permita tu laboratorio

Esta decisión es obligatoria: no todas las versiones de EVE-NG permiten ejecutar tantos dispositivos.

EdiciónSituación en octubre de 2026¿Permite ejecutar esta topología completa?
EVE-NG Freemium 7.2Versión actual, gratuita pero limitada a 7 nodos en ejecución por instancia.No simultáneamente; solo prácticas fragmentadas.
EVE-NG Community 6.2Edición gratuita anterior; sin soporte desde junio de 2026.Puede superar el límite de siete nodos, pero es una versión sin mantenimiento. Solo laboratorio aislado bajo criterio institucional.
EVE-NG Base/Pro con licenciaCapacidad superior; consultar derechos y condiciones académicas.Sí, sujeto a licencia y recursos del equipo.
DECISIÓN IMPORTANTE

La versión Freemium NO debe proponerse como solución completa para este diagrama de más de treinta nodos. También debes verificar la licencia de uso docente/institucional de EVE-NG y las licencias de Cisco, Windows y otros sistemas.

2.1

Abre el sitio oficial de descarga

  1. En el navegador entra a EVE-NG · Descargas oficiales.
  2. Localiza la edición autorizada para tu curso o institución.
  3. Antes de descargar, comprueba el límite de nodos, los requisitos de licencia y el tipo de archivo: ISO o imagen virtual lista para importar.
  4. Evita imágenes modificadas, repositorios no oficiales y paquetes Cisco sin licencia.
Comprueba antes de continuar: Has elegido una edición que legal y técnicamente permite el número de nodos requerido.
ETAPA 03 · CONSTRUCCIÓN GUIADA

Prepara Windows 11 y el equipo anfitrión

La computadora física ejecutará VMware Workstation; dentro de VMware funcionará EVE-NG; dentro de EVE-NG estarán los dispositivos.

3.1

Comprueba la capacidad del equipo

  1. Verifica que tu procesador permita virtualización por hardware y virtualización anidada.
  2. Como objetivo para la topología amplia, procura un equipo anfitrión con 64 GB de RAM o más; con muchos servidores encendidos, 96–128 GB puede resultar necesario.
  3. Reserva aproximadamente 250 GB o más de almacenamiento SSD disponible para la VM de EVE y las imágenes.
  4. No confundas estas cifras de planeación con requisitos mínimos oficiales: dependen del número de nodos y sus imágenes.
  5. Si tienes menos recursos, construye las sedes por fases y apaga nodos de servidor que todavía no necesitas.
Comprueba antes de continuar: La RAM física, el espacio SSD y el procesador han sido revisados.
3.2

Activa virtualización en BIOS/UEFI

  1. Abre Administrador de tareas → Rendimiento → CPU.
  2. Busca el indicador Virtualización: Habilitada.
  3. Si aparece deshabilitada, habilita Intel VT-x/EPT o AMD-V/SVM en BIOS/UEFI siguiendo las indicaciones del fabricante.
  4. Guarda cambios y vuelve a Windows.
Comprueba antes de continuar: El sistema muestra virtualización habilitada.
3.3

Instala VMware Workstation

  1. Accede al enlace de VMware Workstation desde la página oficial de EVE-NG.
  2. Descarga una versión compatible con tu computadora y sus condiciones de uso.
  3. Instala VMware Workstation y reinicia el sistema si el instalador lo solicita.
  4. Ejecuta VMware Workstation y confirma que puedes crear una máquina virtual.
Comprueba antes de continuar: VMware Workstation abre correctamente.
ETAPA 04 · CONSTRUCCIÓN GUIADA

Instala EVE-NG en VMware Workstation

Esta ruta utiliza una ISO oficial. Si tu edición ofrece OVF/OVA, la importación cambia, pero las etapas posteriores son iguales.

4.1

Descarga la ISO de la edición elegida

  1. Entra a Descargas oficiales de EVE-NG.
  2. Descarga la ISO correspondiente a la edición autorizada.
  3. Guárdala en una carpeta fácil de localizar, por ejemplo C:\Laboratorios\EVE-NG\.
  4. Si el sitio publica suma SHA256, comprueba la integridad del archivo con PowerShell.
Comprueba antes de continuar: La ISO se encuentra descargada y corresponde a la edición seleccionada.
PowerShell · Verificar archivo ISO
Get-FileHash "C:\Laboratorios\EVE-NG\NOMBRE-REAL-DE-LA-ISO.iso" -Algorithm SHA256
4.2

Crea la máquina virtual EVE-NG

  1. Abre VMware → Create a New Virtual Machine.
  2. Selecciona Custom (Advanced).
  3. Elige I will install the operating system later para evitar instalación automática.
  4. Sistema invitado: Linux; versión: Ubuntu 64-bit, cuando la edición elegida lo requiera.
  5. Nombre sugerido: EVE-NG-EMPRESA-4-SEDES.
  6. Asigna recursos según tu host: por ejemplo 12 vCPU, 48 GB RAM y disco de 250 GB como punto de partida, no como garantía de capacidad.
  7. Asigna inicialmente un adaptador NAT para administrar EVE sin conectar las VLAN internas directamente a tu red física.
  8. En CD/DVD, selecciona Use ISO image file y la ISO descargada.
Comprueba antes de continuar: En la configuración de VMware aparece la VM con CPU, memoria, disco e ISO.
4.3

Habilita virtualización anidada

  1. Con la VM apagada, abre VM Settings → Processors.
  2. Activa Virtualize Intel VT-x/EPT or AMD-V/RVI o la casilla equivalente.
  3. Aplica los cambios y enciende la VM.
  4. Si VMware muestra un error de virtualización, detente y revisa Hyper-V/VBS, BIOS y compatibilidad del host antes de continuar.
Comprueba antes de continuar: La VM inicia sin errores de virtualización anidada.
4.4

Instala EVE-NG desde la consola

  1. Enciende la VM y abre su consola.
  2. Sigue el instalador de la edición exacta descargada; selecciona disco virtual, idioma y configuración de sistema según su asistente.
  3. Define contraseñas seguras, zona horaria America/Managua y parámetros de red de administración.
  4. Para un primer laboratorio, usa DHCP en la interfaz de administración si VMware NAT lo proporciona.
  5. Finaliza, reinicia y desmonta la ISO si vuelve a iniciarse el instalador.
Comprueba antes de continuar: EVE-NG arranca y muestra una dirección IP de administración.
4.5

Accede a la interfaz web

  1. En la consola de la VM, identifica la IP asignada a EVE.
  2. Desde el navegador de Windows escribe http://IP-DE-EVE o https://IP-DE-EVE, según tu versión.
  3. Inicia sesión con la cuenta administrativa definida o las credenciales iniciales que documente oficialmente tu edición.
  4. Cambia cualquier contraseña predeterminada.
  5. Selecciona HTML5 Console cuando el menú lo permita; algunas consolas requieren integración del cliente.
Comprueba antes de continuar: Aparece el panel web y puedes crear un laboratorio.
Consola de EVE (Linux) · revisar IP y soporte de virtualización
ip -br address
cat /proc/cpuinfo | grep -E "vmx|svm" | head -3
free -h
df -h
ETAPA 05 · CONSTRUCCIÓN GUIADA

Consigue las imágenes legales de cada dispositivo

EVE-NG es el emulador; los sistemas de Cisco, Windows y Linux se obtienen por separado.

Rol del laboratorioImagen o tipo recomendadoObservación
4 routers con enlaces WANCisco IOS que soporte Ethernet y Serial, o equivalente con enlaces Ethernet /30La imagen determina los nombres de interfaces y módulos.
7 switchesCisco L2 compatible con VLAN y trunks (IOL-L2 o IOSvL2)La numeración Ethernet1/0…Ethernet4/0 puede variar.
FirewallCisco ASAv adquirido desde Cisco con licencia válidaEl ASA debe disponer de suficientes interfaces.
12 estacionesVPCS incluido en EVE-NGNo requiere instalar Windows en cada cliente.
Servidores LinuxUbuntu Server o Debian obtenidos oficialmenteOpenLDAP, servicios, Mongo, NMS, web, proxy y management.
Windows Server 2025ISO de evaluación o licencia institucionalSe incorpora en una fase complementaria para DHCP.
WLC y cliente VPNImágenes licenciadas disponibles o nodos de reserva con función documentadaNo se puede deducir versión de WLC y VPN de la captura.
5.1

Obtén imágenes Cisco desde una fuente autorizada

  1. Consulta la documentación oficial de Cisco vIOS en EVE-NG.
  2. Utiliza Cisco Modeling Labs o los canales de Cisco a los que tenga acceso tu institución.
  3. Descarga la imagen de router y la de switch autorizadas.
  4. Confirma si el router admite interfaces seriales. Si utiliza únicamente Ethernet, documenta el mapeo y conserva las subredes /30 del diagrama.
  5. No descargues IOS ni ASAv desde páginas de procedencia dudosa.
Comprueba antes de continuar: Tienes imágenes router, switch y una lista de interfaces reales del modelo.
5.2

Obtén Linux, ASAv y Windows

  1. Para Linux entra a Ubuntu Server.
  2. Para ASA consulta la guía de Cisco ASAv para EVE y obtén la imagen mediante Cisco.
  3. Para Windows Server 2025 utiliza el Centro de evaluación de Microsoft.
  4. Organiza los archivos en carpetas locales: routers, switches, firewall, linux y windows.
Comprueba antes de continuar: Cada imagen procede de un fabricante o canal autorizado.
5.3

Transfiere imágenes a EVE mediante SFTP

  1. Instala WinSCP o un cliente SFTP autorizado.
  2. Conecta al servidor EVE usando su IP de administración, protocolo SFTP y puerto 22.
  3. Autentícate con una cuenta Linux autorizada (en las guías de importación suele utilizarse root).
  4. En EVE las imágenes QEMU se almacenan en /opt/unetlab/addons/qemu/.
  5. Los directorios deben comenzar por el prefijo que el tipo de nodo reconoce: vios-, viosl2-, asav-, linux- o winserver-.
Comprueba antes de continuar: Puedes navegar por SFTP y visualizar el directorio QEMU.
5.4

Importa una imagen QEMU de router o switch

Ejemplo: una imagen vIOS legal que descargaste con un nombre propio. Cambia ARCHIVO_DESCARGADO.qcow2 por el nombre exacto del archivo que subiste.

Crea primero el directorio, sube el archivo por WinSCP al mismo directorio y después ejecuta el cambio de nombre.

Comprueba antes de continuar: Existe la carpeta y dentro se encuentra virtioa.qcow2.
EVE-NG por SSH · Ejemplo router vIOS (adaptar nombre real)
mkdir -p /opt/unetlab/addons/qemu/vios-router-lab
cd /opt/unetlab/addons/qemu/vios-router-lab
# Subir aquí ARCHIVO_DESCARGADO.qcow2 con SFTP
mv ARCHIVO_DESCARGADO.qcow2 virtioa.qcow2
/opt/unetlab/wrappers/unl_wrapper -a fixpermissions
EVE-NG por SSH · Ejemplo switch IOSvL2
mkdir -p /opt/unetlab/addons/qemu/viosl2-switch-lab
cd /opt/unetlab/addons/qemu/viosl2-switch-lab
# Subir aquí ARCHIVO_SWITCH.qcow2 con SFTP
mv ARCHIVO_SWITCH.qcow2 virtioa.qcow2
/opt/unetlab/wrappers/unl_wrapper -a fixpermissions
INTERFACES SERIALES

Las imágenes vIOS modernas suelen ofrecer interfaces Ethernet, mientras que el dibujo muestra Serial1/0, Serial1/1, etc. Para reproducir las etiquetas exactamente, utiliza una imagen con soporte de módulos seriales y comprueba la asignación de puertos. Si el router no dispone de seriales, utiliza enlaces Ethernet punto a punto y conserva IP y máscara /30.

ETAPA 06 · CONSTRUCCIÓN GUIADA

Crea el proyecto nuevo dentro de EVE-NG

Antes de añadir los enlaces, coloca todos los dispositivos en el espacio de trabajo.

6.1

Crea una carpeta y un laboratorio

  1. Entra a la interfaz web de EVE-NG.
  2. Abre el administrador de archivos del laboratorio.
  3. Crea una carpeta llamada RED-EMPRESARIAL-4-SEDES.
  4. Dentro de esa carpeta crea un nuevo laboratorio llamado Red empresarial multisede - Replica.
  5. Agrega una descripción: Central, León, Chinandega, Masaya, ASA, DMZ, VLAN y WAN.
  6. Abre el lienzo del laboratorio.
Comprueba antes de continuar: Aparece un lienzo vacío con el nombre solicitado.
6.2

Agrega los cuatro routers

  1. Haz clic derecho en el lienzo → Add an Object / Node o usa el botón lateral de agregar.
  2. Elige la plantilla de router disponible.
  3. Crea cuatro nodos: ROUTER-CENTRAL, ROUTER-LEON, ROUTER-CHINANDEGA y ROUTER-MASAYA.
  4. Asigna CPU y RAM según la plantilla oficial de la imagen.
  5. Asegura interfaces suficientes: Central requiere un enlace LAN, uno hacia ASA y tres WAN; Chinandega requiere un LAN y tres WAN; León y Masaya un LAN y dos WAN.
Comprueba antes de continuar: Hay cuatro routers visibles y cada uno tiene la cantidad suficiente de interfaces.
6.3

Agrega los siete switches

  1. Selecciona una plantilla de switch compatible con VLAN.
  2. Agrega SW-CORE-CENTRAL.
  3. Agrega un switch CORE y uno ACCESO en cada sede: SW-CORE-LEON, SW-ACCESO-LEON, SW-CORE-CHINANDEGA, SW-ACCESO-CHINANDEGA, SW-CORE-MASAYA y SW-ACCESO-MASAYA.
  4. Verifica que los switches de acceso tengan al menos seis puertos: uno troncal y cuatro para clientes, más posibles puertos adicionales.
Comprueba antes de continuar: Hay un switch central y dos en cada sucursal: siete en total.
6.4

Agrega 12 VPCS

  1. Elige el tipo de nodo Virtual PC (VPCS).
  2. Crea cuatro nodos por sucursal: Gerencia, Ventas, Técnicos y Almacén.
  3. Nómbralos con el patrón GERENCIA-LEON, VENTAS-LEON, etc.
  4. Coloca los cuatro equipos debajo de su switch de acceso.
Comprueba antes de continuar: Cada sucursal dispone de cuatro equipos VPCS etiquetados.
6.5

Prepara la sede central y los elementos especiales

  1. Reserva posiciones para SERVIDOR-OPENLDAP, SERVIDOR-SERVICIOS, SERVIDOR-MONGO, SVR-MGMT y SERVIDOR-LIBRE-NMS.
  2. Añade un nodo ASA/ASAv y posiciones para SERVIDOR-WEB y SERVIDOR-PROXY.
  3. Añade el WLC únicamente si cuentas con una imagen compatible y autorizada. De lo contrario deja una etiqueta o marcador de fase posterior.
  4. Agrega un nodo de tipo Network para representar el ISP de forma interna y segura. El cliente VPN también puede permanecer como elemento de la fase avanzada.
Comprueba antes de continuar: Están colocados los equipos de la central sin encender todos los servidores pesados.
Inventario de 34 nodos del diagrama y de su ISP simuladoArchivo incluido en el paquete de Cloudflare
Descargar
ETAPA 07 · CONSTRUCCIÓN GUIADA

Cablea la topología exactamente por sedes

Los puertos son una referencia basada en la captura. Cada estudiante debe anotar sus interfaces reales y adaptar los comandos.

7.1

Conecta los cinco enlaces WAN

Utiliza la herramienta de conexiones. Los cinco enlaces conforman un triángulo con interconexión lateral, no una malla completa entre todos los routers.

Comprueba antes de continuar: Los cinco enlaces aparecen entre las sedes y coinciden con la tabla.
Enlaces inter-sedes identificados en el dibujo
ConexiónInterfaz A del dibujoInterfaz B del dibujoSubred /30
CENTRAL ↔ LEÓNS1/0S1/010.10.10.0/30
CENTRAL ↔ CHINANDEGAS1/1S1/110.10.10.4/30
CENTRAL ↔ MASAYAS1/2S1/210.10.10.8/30
LEÓN ↔ CHINANDEGAS1/1S1/210.10.10.12/30
CHINANDEGA ↔ MASAYAS1/3S1/010.10.10.16/30
Matriz de enlaces WAN para los estudiantesArchivo incluido en el paquete de Cloudflare
Descargar
7.2

Conecta cada router a su switch CORE

  1. Conecta ROUTER-LEON al puerto de subida de SW-CORE-LEON.
  2. Repite para Chinandega, Masaya y Central.
  3. Como guía de la imagen usa Ethernet0/0 de router a Ethernet0/0 del switch, solo si existen en tu imagen.
  4. Estos enlaces serán trunks 802.1Q y transportarán varias VLAN por un cable.
Comprueba antes de continuar: Los cuatro enlaces LAN router ↔ CORE aparecen conectados.
7.3

Conecta CORE y ACCESO en las tres sucursales

  1. En León une SW-CORE-LEON Ethernet0/1 con SW-ACCESO-LEON Ethernet0/1.
  2. Repite el enlace en Chinandega y Masaya.
  3. Si EVE asigna otra interfaz, anótala en tu matriz de puertos.
  4. No cambies los nombres del diagrama sin registrar la equivalencia.
Comprueba antes de continuar: Cada sucursal presenta la cadena Router → CORE → ACCESO.
7.4

Conecta las computadoras a sus switches

  1. Conecta Gerencia al puerto Ethernet1/0 del switch de acceso.
  2. Conecta Ventas a Ethernet2/0.
  3. Conecta Técnicos a Ethernet3/0.
  4. Conecta Almacén a Ethernet4/0.
  5. Repite las cuatro conexiones en las tres sucursales.
Comprueba antes de continuar: Doce PC están conectadas y organizadas por departamento.
7.5

Conecta los servidores centrales y la DMZ

Conecta los servidores centrales a puertos separados del switch SW-CORE-CENTRAL. Conecta ASA al router central y sus interfaces DMZ directamente a Web y Proxy, como aparece en la imagen.

Comprueba antes de continuar: Los dispositivos ocupan sus conexiones respectivas; no hay enlaces sin nombre.
OrigenDestinoPuerto sugerido en CORE / ASARed o función
SW-CORE-CENTRALSERVIDOR-OPENLDAPEthernet1/1172.20.10.11 (VLAN 10)
SW-CORE-CENTRALSERVIDOR-SERVICIOSEthernet1/2172.20.10.12 (VLAN 10)
SW-CORE-CENTRALSERVIDOR-MONGOEthernet1/3172.20.10.13 (VLAN 10)
SW-CORE-CENTRALSERVIDOR-LIBRE-NMSEthernet2/0172.20.10.70 (VLAN 20)
SW-CORE-CENTRALSVR-MGMTEthernet5/0172.20.10.35 (VLAN 50)
ROUTER-CENTRALASA insideRouter Eth0/1 ↔ ASA eth110.10.10.20/30
ASA eth2SERVIDOR-WEBdirecto10.10.10.24/29
ASA eth3SERVIDOR-PROXYdirecto10.10.10.32/30
ASA eth0ISPred externa controladaIP del ISP no definida en el dibujo
ETAPA 08 · CONSTRUCCIÓN GUIADA

Registra toda la tabla de direccionamiento

Esta tabla es la referencia común para todos los comandos. Una misma IP no puede asignarse a dos equipos.

MÁSCARAS

Las VLAN internas utilizan 255.255.255.224 (/27). Los enlaces entre routers utilizan 255.255.255.252 (/30). El segmento VPN indicado en el diagrama es 172.20.50.0/24, pero la VPN queda para una fase avanzada.

18 redes IPv4 internas: 3 en Central y 5 en cada sucursal
SedeSegmentoVLAN (propuesta)SubredPuerta de enlace
CentralServidores10172.20.10.0/27172.20.10.1
CentralManagement50172.20.10.32/27172.20.10.33
CentralSeguridad20172.20.10.64/27172.20.10.65
LeónGerencia10172.20.20.0/27172.20.20.1
LeónVentas20172.20.20.32/27172.20.20.33
LeónTécnicos30172.20.20.64/27172.20.20.65
LeónAlmacén40172.20.20.96/27172.20.20.97
LeónManagement50172.20.20.128/27172.20.20.129
ChinandegaGerencia10172.20.30.0/27172.20.30.1
ChinandegaVentas20172.20.30.32/27172.20.30.33
ChinandegaTécnicos30172.20.30.64/27172.20.30.65
ChinandegaAlmacén40172.20.30.96/27172.20.30.97
ChinandegaManagement50172.20.30.128/27172.20.30.129
MasayaGerencia10172.20.40.0/27172.20.40.1
MasayaVentas20172.20.40.32/27172.20.40.33
MasayaTécnicos30172.20.40.64/27172.20.40.65
MasayaAlmacén40172.20.40.96/27172.20.40.97
MasayaManagement50172.20.40.128/27172.20.40.129
Tabla completa editable en CSVArchivo incluido en el paquete de Cloudflare
Descargar
8.1

Asigna IP a los cinco enlaces WAN

Estas direcciones son las que aparecen junto a las líneas amarillas del dibujo. Un extremo recibe la primera IP útil del /30; el otro recibe la segunda.

Comprueba antes de continuar: Cada router tiene una IP única en cada enlace que comparte.
Red /30Extremo AExtremo B
10.10.10.0/30LEÓN .1CENTRAL .2
10.10.10.4/30CHINANDEGA .5CENTRAL .6
10.10.10.8/30MASAYA .9CENTRAL .10
10.10.10.12/30LEÓN .13CHINANDEGA .14
10.10.10.16/30CHINANDEGA .17MASAYA .18
8.2

Anota direcciones IP fijas de los servidores

La propuesta de Windows DHCP 172.20.10.14 corresponde al laboratorio complementario y no figura todavía entre los equipos originales.

Comprueba antes de continuar: No hay IP repetidas; los servidores y las puertas de enlace quedan fuera de futuros rangos dinámicos.
EquipoIPv4 fijaGatewayRed
SERVIDOR-OPENLDAP172.20.10.11172.20.10.1Servidores
SERVIDOR-SERVICIOS172.20.10.12172.20.10.1Servidores
SERVIDOR-MONGO172.20.10.13172.20.10.1Servidores
SW-CORE-CENTRAL172.20.10.34172.20.10.33Management
SVR-MGMT172.20.10.35172.20.10.33Management
SERVIDOR-LIBRE-NMS172.20.10.70172.20.10.65Seguridad
SW-CORE-LEON172.20.20.130172.20.20.129Management
SW-ACCESO-LEON172.20.20.131172.20.20.129Management
SW-CORE-CHINANDEGA172.20.30.130172.20.30.129Management
SW-ACCESO-CHINANDEGA172.20.30.131172.20.30.129Management
SW-CORE-MASAYA172.20.40.130172.20.40.129Management
SW-ACCESO-MASAYA172.20.40.131172.20.40.129Management
ETAPA 09 · CONSTRUCCIÓN GUIADA

Configura los switches: VLAN, acceso y trunk

Trabajaremos primero con León. Cuando todo funcione, repetiremos el patrón en Chinandega y Masaya.

9.1

Comprueba el nombre real de cada interfaz del switch

Enciende solo los dos switches de León y abre sus consolas. Ejecuta los comandos de consulta.

Comprueba antes de continuar: Reconoces el puerto que conecta al router, el que une CORE con ACCESO y los cuatro puertos de clientes.
Cisco L2 · Verificación de interfaces
enable
show ip interface brief
show interfaces status
show vlan brief
9.2

Configura el switch de acceso de León

En este modelo para interfaces Ethernet0/1 y Ethernet1/0–4/0, el enlace al CORE será trunk; cada PC quedará en su VLAN. Cambia los nombres de interfaces si tu imagen usa otra nomenclatura.

Comprueba antes de continuar: show vlan brief muestra VLAN 10/20/30/40/50 y sus puertos de usuario.
SW-ACCESO-LEON · configuración completa
! MODELO - SW-ACCESO-LEON
enable
configure terminal
hostname SW-ACCESO-LEON
no ip domain-lookup
vlan 10
 name GERENCIA
vlan 20
 name VENTAS
vlan 30
 name TECNICOS
vlan 40
 name ALMACEN
vlan 50
 name MANAGEMENT
interface Ethernet0/1
 description TRUNK-HACIA-SW-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50
 no shutdown
interface Ethernet1/0
 description PC-GERENCIA
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 no shutdown
interface Ethernet2/0
 description PC-VENTAS
 switchport mode access
 switchport access vlan 20
 spanning-tree portfast
 no shutdown
interface Ethernet3/0
 description PC-TECNICOS
 switchport mode access
 switchport access vlan 30
 spanning-tree portfast
 no shutdown
interface Ethernet4/0
 description PC-ALMACEN
 switchport mode access
 switchport access vlan 40
 spanning-tree portfast
 no shutdown
interface Vlan50
 ip address 172.20.20.131 255.255.255.224
 no shutdown
ip default-gateway 172.20.20.129
end
write memory
9.3

Configura el switch CORE de León

El CORE transportará las cinco VLAN hacia el router y hacia el switch de acceso; tendrá una IP propia de administración 172.20.20.130/27.

Comprueba antes de continuar: show interfaces trunk muestra los dos uplinks con las VLAN correctas.
SW-CORE-LEON · configuración completa
! MODELO - SW-CORE-LEON
enable
configure terminal
hostname SW-CORE-LEON
no ip domain-lookup
vlan 10
 name GERENCIA
vlan 20
 name VENTAS
vlan 30
 name TECNICOS
vlan 40
 name ALMACEN
vlan 50
 name MANAGEMENT
interface Ethernet0/0
 description TRUNK-ROUTER
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50
 no shutdown
interface Ethernet0/1
 description TRUNK-SW-ACCESO
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30,40,50
 no shutdown
interface Vlan50
 ip address 172.20.20.130 255.255.255.224
 no shutdown
ip default-gateway 172.20.20.129
end
write memory
9.4

Repite la plantilla para Chinandega y Masaya

  1. Descarga los archivos de configuración de cada sede.
  2. Abre la consola del equipo correspondiente.
  3. Verifica primero los nombres de interfaz.
  4. Pega la configuración del equipo seleccionado, no la de otra sucursal.
  5. Guarda y verifica VLAN, trunk e IP management.
Comprueba antes de continuar: Los seis switches de las sucursales están configurados y guardados.
SW-CORE-CHINANDEGA · plantillaArchivo incluido en el paquete de Cloudflare
Descargar
SW-ACCESO-CHINANDEGA · plantillaArchivo incluido en el paquete de Cloudflare
Descargar
SW-CORE-MASAYA · plantillaArchivo incluido en el paquete de Cloudflare
Descargar
SW-ACCESO-MASAYA · plantillaArchivo incluido en el paquete de Cloudflare
Descargar
9.5

Configura el switch de la Central

Los tres servidores internos usan VLAN 10; LibreNMS usa VLAN 20; Management usa VLAN 50. El puerto hacia el router es trunk 802.1Q. El puerto Ethernet1/4 queda reservado para un futuro servidor DHCP.

Comprueba antes de continuar: La SVI de administración 172.20.10.34 responde desde una fuente con conectividad hacia VLAN 50.
SW-CORE-CENTRAL · configuración modelo
! MODELO para SW-CORE-CENTRAL. Los IDs VLAN son propuesta de laboratorio, no constan en imagen.
enable
configure terminal
hostname SW-CORE-CENTRAL
no ip domain-lookup
vlan 10
 name SERVIDORES
vlan 20
 name SEGURIDAD
vlan 50
 name MANAGEMENT
interface Ethernet0/0
 description TRUNK-ROUTER-CENTRAL
 switchport mode trunk
 switchport trunk allowed vlan 10,20,50
 no shutdown
interface Ethernet1/1
 description OPENLDAP
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 no shutdown
interface Ethernet1/2
 description SERVICIOS
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 no shutdown
interface Ethernet1/3
 description MONGO
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 no shutdown
interface Ethernet1/4
 description DHCP-FUTURO
 switchport mode access
 switchport access vlan 10
 spanning-tree portfast
 no shutdown
interface Ethernet2/0
 description LIBRENMS
 switchport mode access
 switchport access vlan 20
 spanning-tree portfast
 no shutdown
interface Ethernet5/0
 description SRV-MGMT
 switchport mode access
 switchport access vlan 50
 spanning-tree portfast
 no shutdown
interface Ethernet0/3
 description WLC-MGMT
 switchport mode access
 switchport access vlan 50
 spanning-tree portfast
 no shutdown
interface Vlan50
 ip address 172.20.10.34 255.255.255.224
 no shutdown
ip default-gateway 172.20.10.33
end
write memory
SI UN COMANDO FALLA

Algunas imágenes Cisco no implementan exactamente el mismo conjunto de comandos. show interfaces trunk puede variar; si el equipo no tiene el puerto Ethernet5/0, selecciona otro puerto físico libre, cambia el cable en EVE y anótalo. No ejecutes fragmentos diseñados para otra interfaz.

ETAPA 10 · CONSTRUCCIÓN GUIADA

Configura las puertas de enlace VLAN en los cuatro routers

Cada subinterfaz 802.1Q tendrá la primera IP útil de la subred. Esto se denomina Router-on-a-Stick.

10.1

Identifica los puertos Ethernet y seriales reales

Enciende los cuatro routers y revisa show ip interface brief. Si tu IOS muestra FastEthernet0/0 o GigabitEthernet0/0 en lugar de Ethernet0/0, sustituye el identificador en todas las líneas.

Comprueba antes de continuar: Tienes una matriz de puertos confirmada para Central, León, Chinandega y Masaya.
Cisco routers · antes de configurar
enable
show version
show ip interface brief
show inventory
show controllers serial 1/0
10.2

Configura el Router Central

El enlace LAN central transporta las VLAN 10 (servidores), 20 (seguridad) y 50 (administración). Además se configuran las tres WAN hacia sucursales y el enlace al ASA.

Comprueba antes de continuar: Las subinterfaces del router central muestran .1, .65 y .33. Los WAN son .2, .6 y .10.
ROUTER-CENTRAL · modelo completo
! MODELO DIDACTICO - adaptar interfaces en base a show ip interface brief
enable
configure terminal
hostname ROUTER-CENTRAL
no ip domain-lookup
interface Ethernet0/0
 no ip address
 no shutdown
interface Ethernet0/0.10
 encapsulation dot1Q 10
 ip address 172.20.10.1 255.255.255.224
interface Ethernet0/0.20
 encapsulation dot1Q 20
 ip address 172.20.10.65 255.255.255.224
interface Ethernet0/0.50
 encapsulation dot1Q 50
 ip address 172.20.10.33 255.255.255.224
interface Serial1/0
 description ENLACE-LEON
 ip address 10.10.10.2 255.255.255.252
 no shutdown
interface Serial1/1
 description ENLACE-CHINANDEGA
 ip address 10.10.10.6 255.255.255.252
 no shutdown
interface Serial1/2
 description ENLACE-MASAYA
 ip address 10.10.10.10 255.255.255.252
 no shutdown
interface Ethernet0/1
 description HACIA-ASA-INSIDE
 ip address 10.10.10.21 255.255.255.252
 no shutdown
router ospf 10
 router-id 10.255.0.1
 passive-interface default
 no passive-interface Serial1/0
 no passive-interface Serial1/1
 no passive-interface Serial1/2
 network 10.10.10.0 0.0.0.3 area 0
 network 10.10.10.4 0.0.0.3 area 0
 network 10.10.10.8 0.0.0.3 area 0
 network 172.20.10.0 0.0.0.31 area 0
 network 172.20.10.32 0.0.0.31 area 0
 network 172.20.10.64 0.0.0.31 area 0
end
write memory
! Opción posterior, cuando ASA interior esté verificada:
! ip route 0.0.0.0 0.0.0.0 10.10.10.22
! router ospf 10
!  default-information originate
10.3

Configura Router León

En León se crean las subinterfaces de VLAN 10/20/30/40/50 y las IP de los enlaces a Central y Chinandega.

Comprueba antes de continuar: El router muestra las cinco gateways 172.20.20.1, .33, .65, .97 y .129.
ROUTER-LEON · modelo completo
! MODELO DIDACTICO - ROUTER-LEON
! Verifique SHOW IP INTERFACE BRIEF. Renombre interfaces si su imagen no coincide.
enable
configure terminal
hostname ROUTER-LEON
no ip domain-lookup
interface Ethernet0/0
 no ip address
 no shutdown
! Subinterfaces VLAN - enlace troncal hacia SW-CORE
interface Ethernet0/0.10
 description VLAN10-GERENCIA
 encapsulation dot1Q 10
 ip address 172.20.20.1 255.255.255.224
 no shutdown
interface Ethernet0/0.20
 description VLAN20-VENTAS
 encapsulation dot1Q 20
 ip address 172.20.20.33 255.255.255.224
 no shutdown
interface Ethernet0/0.30
 description VLAN30-TECNICOS
 encapsulation dot1Q 30
 ip address 172.20.20.65 255.255.255.224
 no shutdown
interface Ethernet0/0.40
 description VLAN40-ALMACEN
 encapsulation dot1Q 40
 ip address 172.20.20.97 255.255.255.224
 no shutdown
interface Ethernet0/0.50
 description VLAN50-MANAGEMENT
 encapsulation dot1Q 50
 ip address 172.20.20.129 255.255.255.224
 no shutdown
interface Serial1/0
 description ENLACE-CENTRAL
 ip address 10.10.10.1 255.255.255.252
 no shutdown
interface Serial1/1
 description ENLACE-CHINANDEGA
 ip address 10.10.10.13 255.255.255.252
 no shutdown
router ospf 10
 router-id 10.255.0.2
 passive-interface default
 no passive-interface Serial1/0
 no passive-interface Serial1/1
 network 172.20.20.0 0.0.0.255 area 0
 network 10.10.10.0 0.0.0.3 area 0
 network 10.10.10.12 0.0.0.3 area 0
end
write memory
! Verifique: show ip route ; show ip ospf neighbor ; show ip interface brief
10.4

Configura Chinandega y Masaya con sus plantillas

  1. Descarga el archivo del router correspondiente.
  2. Verifica los puertos Ethernet y WAN con show ip interface brief.
  3. Sustituye nombres de interfaz que no coincidan con tu imagen Cisco.
  4. Aplica los comandos a un solo router.
  5. Ejecuta show ip interface brief y guarda con write memory.
  6. Repite en el router restante.
Comprueba antes de continuar: Cada router muestra IP WAN /30 y cinco gateways VLAN /27.
ROUTER-CHINANDEGA · configuración completaArchivo incluido en el paquete de Cloudflare
Descargar
ROUTER-MASAYA · configuración completaArchivo incluido en el paquete de Cloudflare
Descargar
10.5

Comprueba si un enlace serial necesita señal de reloj

  1. En cada extremo serial revisa show controllers serial 1/0 con el número real de interfaz.
  2. Identifica si el extremo figura como DCE o DTE.
  3. Si tu plataforma emula DCE y exige un reloj, aplica clock rate 64000 solo en la interfaz serial DCE.
  4. Comprueba que ambos extremos tienen la misma encapsulación y máscara /30.
  5. Si tus routers usan Ethernet para las WAN, omite por completo este paso.
Comprueba antes de continuar: Los enlaces WAN están en estado operativo antes de probar OSPF.
Cisco serial DCE · solo si el modelo e interfaz lo requieren
enable
show controllers serial 1/0
configure terminal
interface Serial1/0
 clock rate 64000
 no shutdown
end
write memory
RUTAS DINÁMICAS

Las plantillas incluyen OSPF área 0 para que los routers conozcan todas las subredes. Usa show ip ospf neighbor para comprobar las adyacencias. Las líneas de ruta por defecto hacia el ASA del router central se mantienen comentadas hasta verificar el firewall.

ETAPA 11 · CONSTRUCCIÓN GUIADA

Comprueba la red WAN y OSPF

Antes de configurar las estaciones, todas las sedes deben poder comunicarse mediante las rutas anunciadas.

11.1

Comprueba conexión local de cada enlace

  1. Inicia los cuatro routers.
  2. Desde Central haz ping a León 10.10.10.1.
  3. Desde Central haz ping a Chinandega 10.10.10.5.
  4. Desde Central haz ping a Masaya 10.10.10.9.
  5. Desde León haz ping a Chinandega 10.10.10.14.
  6. Desde Chinandega haz ping a Masaya 10.10.10.18.
Comprueba antes de continuar: Los cinco enlaces WAN responden. Si uno no responde, revisa sus interfaces y máscara antes de seguir.
Cisco · pruebas de enlaces desde ROUTER-CENTRAL
ping 10.10.10.1
ping 10.10.10.5
ping 10.10.10.9
show ip interface brief
11.2

Verifica OSPF

  1. En cada router ejecuta show ip ospf neighbor.
  2. Comprueba que las interfaces WAN tengan los vecinos esperados.
  3. En Central comprueba el aprendizaje de redes con show ip route ospf.
  4. Comprueba, por ejemplo, que Central conozca 172.20.30.0/27 y 172.20.40.96/27.
  5. Si una adyacencia no está en estado FULL, revisa IP/máscara, área, tipo de red y estado de interfaz.
Comprueba antes de continuar: Los routers intercambian rutas y Central aprende las redes de las sucursales.
Cisco · diagnóstico OSPF
show ip ospf neighbor
show ip route ospf
show ip protocols
show interfaces description
11.3

Comprueba el camino redundante

  1. Guarda primero configuraciones y una copia del laboratorio.
  2. Observa en Central la ruta hacia una subred de Masaya.
  3. Apaga temporalmente un enlace WAN cuando sea seguro hacerlo; nunca más de uno simultáneamente en esta prueba.
  4. Comprueba si OSPF converge por el camino alterno a través de Chinandega.
  5. Vuelve a habilitar el enlace y observa el restablecimiento de rutas.
Comprueba antes de continuar: Al menos una ruta alternativa se utiliza según costos OSPF, y la conectividad vuelve al estado normal.
ETAPA 12 · CONSTRUCCIÓN GUIADA

Configura las 12 computadoras del diagrama

VPCS permite probar el direccionamiento sin instalar doce sistemas operativos completos.

12.1

Asigna IP a las cuatro computadoras de León

  1. Inicia solo los VPCS de León.
  2. Abre la consola de GERENCIA-LEON.
  3. Escribe ip 172.20.20.10 255.255.255.224 172.20.20.1.
  4. Ejecuta save y repite en cada cliente con los datos de la tabla.
  5. En cada VPCS, ejecuta show ip y ping hacia su gateway.
Comprueba antes de continuar: Cada cliente de León responde a su puerta de enlace.
Nodo VPCSDirección IPGateway
GERENCIA-LEON172.20.20.10/27172.20.20.1
VENTAS-LEON172.20.20.42/27172.20.20.33
TECNICOS-LEON172.20.20.74/27172.20.20.65
ALMACEN-LEON172.20.20.106/27172.20.20.97
12.2

Asigna IP a Chinandega y Masaya

  1. Descarga el archivo VPCS con los doce comandos.
  2. Busca el bloque de la sucursal correspondiente.
  3. Abre cada consola VPCS de esa sede.
  4. Ejecuta solamente el comando de IP de ese dispositivo y después save.
  5. Comprueba cada cliente con show ip y ping GATEWAY.
Comprueba antes de continuar: Los 12 clientes tienen IP fija, máscara /27 y puerta de enlace correcta.
Todos los comandos VPCS, equipo por equipoArchivo incluido en el paquete de Cloudflare
Descargar
12.3

Comprueba la comunicación entre sucursales

  1. En Gerencia León ejecuta ping 172.20.30.10 para alcanzar Gerencia Chinandega.
  2. Desde Gerencia Chinandega prueba ping 172.20.40.10.
  3. Desde Técnicos Masaya prueba ping 172.20.20.74.
  4. Si falla, revisa las VLAN de los puertos de acceso, trunks y tabla OSPF.
  5. Registra una captura de las pruebas que sí funcionan.
Comprueba antes de continuar: Hay conectividad inter-sedes entre equipos de distintas sucursales.
VPCS Gerencia León · ejemplo
show ip
ping 172.20.20.1
ping 172.20.30.10
ping 172.20.40.10
ETAPA 13 · CONSTRUCCIÓN GUIADA

Instala los servidores Linux dentro de EVE-NG

No basta con poner un icono de servidor: cada equipo debe arrancar y tener su dirección IP correcta.

13.1

Prepara una plantilla QEMU de Ubuntu Server

  1. Descarga la ISO original de Ubuntu Server.
  2. Conecta por SFTP a EVE y crea /opt/unetlab/addons/qemu/linux-ubuntu-servidores-lab/.
  3. Sube la ISO y renómbrala cdrom.iso.
  4. Crea el disco base QEMU con el comando indicado.
  5. Corrige permisos.
  6. Agrega el nodo Linux desde la interfaz de EVE e inicia la instalación usando su consola.
Comprueba antes de continuar: El primer servidor Ubuntu Server termina de instalar y reinicia.
EVE SSH · Base Linux Ubuntu (ISO ya subida)
mkdir -p /opt/unetlab/addons/qemu/linux-ubuntu-servidores-lab
cd /opt/unetlab/addons/qemu/linux-ubuntu-servidores-lab
# Renombra TU ISO original que subiste por SFTP:
mv NOMBRE-REAL-DE-TU-ISO.iso cdrom.iso
/opt/qemu/bin/qemu-img create -f qcow2 virtioa.qcow2 30G
/opt/unetlab/wrappers/unl_wrapper -a fixpermissions
GUARDAR EL DISCO BASE

En EVE los nodos QEMU pueden usar discos diferenciales. Es necesario hacer un commit de la instalación para conservar la plantilla si posteriormente se usa Wipe. Los identificadores cambian por estudiante y laboratorio.

13.1A

Conserva Ubuntu instalado antes de clonar

  1. Apaga correctamente el nodo Linux dentro del sistema operativo y confirma que EVE lo muestra detenido.
  2. En EVE abre Lab Details y copia el UUID del laboratorio.
  3. Consulta el POD ID de tu cuenta EVE; la cuenta admin suele usar POD 0, pero compruébalo.
  4. Haz clic derecho en el nodo Linux y anota su Node ID.
  5. Abre SSH a EVE como administrador y entra a la carpeta real /opt/unetlab/tmp/POD/UUID/NODE_ID/, sustituyendo esas tres etiquetas por valores reales.
  6. Comprueba la existencia de virtioa.qcow2 y ejecuta el comando qemu-img commit solo sobre el disco del nodo que acabas de instalar.
  7. Después de confirmar que el commit terminó, vuelve a la carpeta base QEMU y retira cdrom.iso para que no repita la instalación.
  8. Inicia de nuevo y confirma que Ubuntu conserva usuario y archivos.
Comprueba antes de continuar: Ubuntu arranca de nuevo con la instalación persistente y puedes reutilizar la plantilla.
EVE SSH · plantilla orientativa, NO ejecutar con etiquetas sin reemplazar
cd /opt/unetlab/tmp/POD/UUID/NODE_ID/
ls -lh virtioa.qcow2
/opt/qemu/bin/qemu-img info virtioa.qcow2
/opt/qemu/bin/qemu-img commit virtioa.qcow2
# Al verificar commit, retirar la ISO en la carpeta de imagen base:
cd /opt/unetlab/addons/qemu/linux-ubuntu-servidores-lab
rm -f cdrom.iso
13.2

Crea los servidores con sus nombres y conexiones

  1. Clona tu nodo Linux ya preparado o crea una instancia nueva desde la imagen base guardada.
  2. Nombra los nodos SERVIDOR-OPENLDAP, SERVIDOR-SERVICIOS, SERVIDOR-MONGO, SVR-MGMT, SERVIDOR-LIBRE-NMS, SERVIDOR-WEB y SERVIDOR-PROXY.
  3. Conecta cada nodo a su puerto y segmento VLAN o DMZ según la tabla de la etapa 07.
  4. Enciende uno a la vez, para no saturar el anfitrión.
Comprueba antes de continuar: Los siete nombres de servidor aparecen en el lienzo y tienen su conexión asignada.
13.3

Configura la IPv4 estática en Ubuntu Server

Consulta el nombre de interfaz, normalmente ens3 o enp0s3. Crea o edita un archivo Netplan bajo /etc/netplan/ para cada equipo. Esta muestra es exclusivamente para OpenLDAP con 172.20.10.11/27.

Comprueba antes de continuar: ip -br address muestra 172.20.10.11/27 y ip route indica el gateway correcto.
Ubuntu Server · localizar tarjeta y dirección
ip -br link
ip -br address
ip route
Ubuntu Server · ejemplo /etc/netplan/99-lab.yaml
network:
  version: 2
  ethernets:
    ens3:
      dhcp4: false
      addresses:
        - 172.20.10.11/27
      routes:
        - to: default
          via: 172.20.10.1
Ubuntu Server · validar Netplan con rollback si falla
sudo netplan try
ip -br address
ip route
ping -c 4 172.20.10.1
13.4

Instala un servicio real de ejemplo: OpenLDAP

Cuando el servidor OpenLDAP tenga IP y conectividad, instala slapd y utilidades LDAP. El asistente solicita datos del directorio; el dominio interno es una decisión del laboratorio, no aparece especificado en la imagen.

Comprueba antes de continuar: El servicio está instalado y puedes consultar la configuración local.
Ubuntu OpenLDAP · instalación inicial
sudo apt update
sudo apt install -y slapd ldap-utils
sudo systemctl status slapd --no-pager
sudo dpkg-reconfigure slapd
13.5

Instala los servicios que aparecen en la DMZ

Cuando el ASA tenga sus interfaces configuradas, asigna 10.10.10.26/29 al servidor WEB y 10.10.10.34/30 al servidor PROXY, con gateways 10.10.10.25 y 10.10.10.33 respectivamente. Instala NGINX y Squid solo si esas funciones son parte del alcance de la práctica.

Comprueba antes de continuar: El servidor WEB responde localmente a HTTP y PROXY dispone de servicio y política de acceso controlada.
SERVIDOR-WEB · instalar NGINX
sudo apt update
sudo apt install -y nginx
sudo systemctl enable --now nginx
curl -I http://127.0.0.1
SERVIDOR-PROXY · instalar Squid (sin abrirlo a todo Internet)
sudo apt update
sudo apt install -y squid
sudo systemctl status squid --no-pager
# Antes de permitir clientes, configure ACL autorizadas en squid.conf
SERVICIOS NO ESPECIFICADOS EN EL DIAGRAMA

La imagen identifica los nodos MongoDB, LibreNMS, Servicios, Management y WLC, pero no muestra sus versiones ni la configuración de aplicaciones. El manual deja la conectividad IP definida y enlaza a la documentación oficial de LibreNMS. Los otros servicios se configuran en actividades específicas, después de completar el núcleo de la red.

ETAPA 14 · CONSTRUCCIÓN GUIADA

Instala el firewall ASA y conecta la DMZ

La topología incluye un ASA con cuatro conexiones: ISP, Router Central, Servidor Web y Servidor Proxy.

14.1

Importa la imagen ASAv autorizada

  1. Consigue una imagen ASAv original compatible, desde Cisco y con licencia válida.
  2. En EVE crea un directorio cuyo nombre comience con asav-.
  3. Sube la imagen QCOW2 original por SFTP.
  4. Renómbrala virtioa.qcow2 y ejecuta fixpermissions.
  5. Añade un nodo ASAv al lienzo con suficientes interfaces de datos.
  6. Inícialo y comprueba que la consola de ASA responde.
Comprueba antes de continuar: El ASA arranca y presenta su interfaz CLI.
EVE SSH · ejemplo de ASAv
mkdir -p /opt/unetlab/addons/qemu/asav-lab
cd /opt/unetlab/addons/qemu/asav-lab
# Subir por SFTP imagen original a este directorio
mv ASAV-ORIGINAL.qcow2 virtioa.qcow2
/opt/unetlab/wrappers/unl_wrapper -a fixpermissions
14.2

Registra las cuatro subredes de ASA

La IP de la interfaz externa hacia ISP no puede deducirse de la captura. No inventes una dirección pública: úsala solo cuando exista un proveedor simulado con una red definida.

Comprueba antes de continuar: Tienes anotadas las tres interfaces internas y una interfaz externa pendiente de asignación.
ASA, etiqueta del dibujoRedIP del ASAExtremo opuesto
eth1 · inside10.10.10.20/3010.10.10.22ROUTER-CENTRAL 10.10.10.21
eth2 · dmz_web10.10.10.24/2910.10.10.25SERVIDOR-WEB 10.10.10.26
eth3 · dmz_proxy10.10.10.32/3010.10.10.33SERVIDOR-PROXY 10.10.10.34
eth0 · outsideA definir por ISPSin dato en la imagenISP simulado
14.3

Configura las tres interfaces del ASAv

Este bloque utiliza GigabitEthernet0/1, 0/2 y 0/3 como ejemplo. Antes de aplicar, verifica las interfaces reales y cuáles corresponden a los enlaces dibujados. No conectes la salida a Internet sin políticas de acceso.

Comprueba antes de continuar: Desde el ASA es posible hacer ping a la IP del router central y a las direcciones DMZ que estén activas.
ASA 9.x · Interfaces internas y ruta hacia sedes (modelo)
enable
configure terminal
hostname ASA-CENTRAL
interface GigabitEthernet0/1
 nameif inside
 security-level 100
 ip address 10.10.10.22 255.255.255.252
 no shutdown
interface GigabitEthernet0/2
 nameif dmz_web
 security-level 50
 ip address 10.10.10.25 255.255.255.248
 no shutdown
interface GigabitEthernet0/3
 nameif dmz_proxy
 security-level 40
 ip address 10.10.10.33 255.255.255.252
 no shutdown
route inside 172.20.0.0 255.255.0.0 10.10.10.21
end
write memory
14.4

Valida la conectividad interna

  1. Desde ASA prueba ping 10.10.10.21.
  2. Desde Router Central prueba ping 10.10.10.22.
  3. Prueba la comunicación entre ASA y WEB 10.10.10.26.
  4. Comprueba el servidor PROXY 10.10.10.34.
  5. Revisa rutas y niveles de seguridad; para tráfico entre zonas pueden ser necesarias ACL/NAT adicionales.
  6. No actives ninguna VPN sin credenciales, autenticación y políticas definidas.
Comprueba antes de continuar: Las IP de los enlaces ASA–Router, ASA–Web y ASA–Proxy están verificadas.
ASA · diagnóstico
show interface ip brief
show route
show running-config interface
ping 10.10.10.21
ETAPA 15 · CONSTRUCCIÓN GUIADA

Completa los elementos avanzados sin inventar configuraciones

El dibujo contiene componentes cuya función se conoce, pero faltan datos esenciales para implementar sus servicios.

15.1

Organiza la implementación por niveles

  • Nivel 1: topología, IP, VLAN, enlaces WAN, OSPF y conectividad entre clientes.
  • Nivel 2: instalación de Linux, servicios HTTP/Proxy, consola administrativa, OpenLDAP.
  • Nivel 3: MongoDB, LibreNMS, WLC y monitoreo.
  • Nivel 4: ISP real/simulado, reglas ASA de publicación, acceso VPN remoto, DNS y DHCP centralizado.
Comprueba antes de continuar: El proyecto indica qué funciones están completas y cuáles esperan otra práctica.
15.2

Consulta lo que falta antes de desplegar una VPN

  1. Determina si la VPN será de acceso remoto o sitio a sitio. La imagen muestra un CLIENTE-VPN conectado al ISP, lo que sugiere acceso remoto, pero no lo confirma.
  2. Elige la tecnología y versión compatible de ASA, el método de autenticación, la política de túnel y el cliente autorizado.
  3. Conserva la red indicada 172.20.50.0/24 como direccionamiento reservado para VPN.
  4. Evita anunciar esa red como si estuviera operativa hasta configurar y verificar el servidor VPN.
  5. No expongas servicios a Internet para acelerar pruebas de clase.
Comprueba antes de continuar: La VPN está documentada como pendiente o configurada con parámetros verificados.
15.3

Instala el nodo opcional Windows Server 2025 para DHCP

El diagrama original no muestra este nodo, pero el laboratorio adicional se integra en la red Servidores con 172.20.10.14/27. Para ello se crea una imagen winserver-2025-lab en QEMU, se instala Windows desde ISO, se conecta a VLAN 10 y posteriormente se configura DHCP Relay. La práctica específica de DHCP desarrolla todo ese procedimiento.

Comprueba antes de continuar: La incorporación del DHCP queda claramente identificada como ampliación, sin confundirla con el diagrama original.
15.4

Agrega un ISP simulado sin conectar la red a Internet real

  1. Este paso es una ampliación didáctica, pues el diagrama no muestra las IP del ISP.
  2. Agrega un router ISP-LAB con al menos dos interfaces Ethernet.
  3. Conecta una interfaz al puerto outside de ASA (el enlace azul hacia ISP en el dibujo).
  4. Conecta la otra interfaz a un nodo CLIENTE-VPN de tipo VPCS.
  5. Para un entorno aislado de pruebas puedes utilizar las redes documentales 198.51.100.0/30 para ASA–ISP y 198.51.100.8/29 para ISP–Cliente.
  6. Configura en ISP 198.51.100.1/30 hacia ASA, 198.51.100.9/29 hacia CLIENTE-VPN y en ASA outside 198.51.100.2/30.
  7. Configura CLIENTE-VPN con 198.51.100.10/29 y gateway 198.51.100.9.
  8. Comprueba el enlace capa 3. Esto NO significa que hayas creado todavía el túnel VPN.
Comprueba antes de continuar: ISP, ASA y CLIENTE-VPN están cableados y sus interfaces presentan las IP del ejemplo, claramente marcadas como valores elegidos.
ISP-LAB · modelo para interfaces Ethernet0/0 y 0/1
enable
configure terminal
hostname ISP-LAB
interface Ethernet0/0
 description ASA-OUTSIDE
 ip address 198.51.100.1 255.255.255.252
 no shutdown
interface Ethernet0/1
 description CLIENTE-VPN-LAB
 ip address 198.51.100.9 255.255.255.248
 no shutdown
end
write memory
CLIENTE-VPN · solo conectividad de red (VPCS)
ip 198.51.100.10 255.255.255.248 198.51.100.9
save
ping 198.51.100.9
15.5

Diferencia enlace externo y VPN funcional

La prueba anterior simula el camino exterior del dibujo. Para que exista VPN remota funcional necesitarás una licencia/característica ASA compatible, perfiles de autenticación, selección de clientes, certificados o credenciales, grupo VPN, políticas de cifrado, direccionamiento del pool 172.20.50.0/24 y rutas o NAT de retorno. El diagrama no incluye esos parámetros. No declares la VPN completada hasta probar una sesión cifrada real.

Comprueba antes de continuar: La documentación de evidencias distingue conectividad del ISP, acceso al ASA y una VPN efectivamente operativa.
ETAPA 16 · CONSTRUCCIÓN GUIADA

Realiza la auditoría final de la red reconstruida

No basta con que los iconos estén conectados. Comprueba cada nivel y registra evidencia.

Lista de validación por niveles

  1. 01
    Plataforma

    EVE-NG inicia correctamente en VMware con virtualización anidada.

  2. 02
    Inventario

    Cuatro routers, siete switches y 12 clientes VPCS con los nombres indicados.

  3. 03
    Topología

    Los cinco enlaces WAN y los trunks de tres sucursales coinciden con el dibujo.

  4. 04
    VLAN

    VLAN de departamentos y management existen; trunk y puertos access están comprobados.

  5. 05
    Direcciones

    Los 12 VPCS tienen IP/máscara/gateway exactos y no hay conflictos.

  6. 06
    Routing

    OSPF presenta vecinos y las rutas a 172.20.20.0, 30.0 y 40.0.

  7. 07
    Servidores

    Cada servidor instalado tiene IP fija, interfaz activa y gateway adecuado.

  8. 08
    Seguridad

    ASA tiene tres enlaces internos configurados y su outside permanece controlado.

  9. 09
    Servicios

    WEB y PROXY responden localmente; los servicios extra tienen estado documentado.

  10. 10
    Respaldo

    Guarda configuraciones, exporta el laboratorio y registra fecha/versiones.

16.1

Ejecuta una batería de pruebas

Realiza estas pruebas por separado. Registra resultados, no supongas éxito por la apariencia del diagrama.

Comprueba antes de continuar: Has guardado las capturas o salidas de los comandos.
Routers Cisco · comandos de auditoría
show ip interface brief
show ip route
show ip ospf neighbor
show running-config
Switches Cisco · comandos de auditoría
show vlan brief
show interfaces trunk
show ip interface brief
show running-config
Clientes VPCS · prueba de alcance
show ip
ping 172.20.20.1
ping 172.20.30.10
ping 172.20.40.10
16.2

Guarda y exporta el laboratorio

  1. En cada router y switch ejecuta write memory.
  2. En VPCS ejecuta save.
  3. En EVE detén únicamente los nodos que sea necesario apagar.
  4. Desde el administrador del laboratorio utiliza la opción de exportación o descarga de la topología y sus configuraciones, si está disponible en tu edición.
  5. Guarda también los archivos de comandos y una captura general.
  6. No compartas en Moodle imágenes Cisco ni contraseñas/secretos del laboratorio.
Comprueba antes de continuar: Existe una copia del laboratorio y un respaldo de configuraciones.
ETAPA 17 · CONSTRUCCIÓN GUIADA

Resuelve fallas siguiendo un orden fijo

Identifica una causa, comprueba una hipótesis y evita cambiar cinco cosas a la vez.

EVE no inicia QEMU

Comprobar VT-x/EPT anidado, BIOS, compatibilidad de VMware y memoria libre.

Una imagen no aparece

Comprobar prefijo QEMU, nombre virtioa.qcow2 y fixpermissions.

La consola de Windows/Linux no abre

Revisar el tipo de consola HTML5, VNC o cliente; y que la VM realmente inició.

No aparece Serial1/0

La imagen no admite el módulo/puerto esperado. Usar modelo compatible o Ethernet /30 y ajustar mapeo.

Un PC no llega a su gateway

Revisar IP /27, VLAN access, trunk y subinterfaz dot1Q.

Entre sedes no hay ping

Revisar WAN /30, interfaces UP, rutas OSPF y gateways.

Switch gestión no responde

Revisar VLAN 50, SVI, trunk, ip default-gateway y estado de al menos un puerto de VLAN.

ASA no comunica con LAN

Revisar inside 10.10.10.22/30, router .21, rutas, ACL e inspección.

El host se queda sin RAM

Reducir nodos simultáneos, ampliar recursos y evitar iniciar todos los servidores.

La topología se perdió tras Wipe

Restaurar respaldo y revisar procedimiento de commit QEMU; Wipe elimina cambios diferenciales.

17.1

Usa siempre el método de cinco verificaciones

  1. Comprueba que el nodo está encendido.
  2. Comprueba que la interfaz está up/up.
  3. Comprueba IP y máscara.
  4. Comprueba VLAN, trunk, puerto y gateway.
  5. Comprueba rutas y ACL según el trayecto.
Comprueba antes de continuar: Puedes registrar el síntoma y la primera verificación fallida sin cambios innecesarios.
ETAPA 18 · CONSTRUCCIÓN GUIADA

Organiza las evidencias y la entrega en Moodle

La web explica el laboratorio; Moodle es el lugar donde se envía el informe de la práctica.

18.1

Crea tu carpeta de evidencias

  1. Crea una carpeta con el formato APELLIDO_NOMBRE_RED-EMPRESARIAL.
  2. Guarda una captura de la instalación de EVE y la versión instalada.
  3. Guarda una captura de la topología final etiquetada.
  4. Agrega la tabla de IP y la matriz WAN completadas.
  5. Agrega salidas de show vlan brief, show ip ospf neighbor y pruebas VPCS.
  6. Incluye un breve registro de problemas y cómo los resolviste.
  7. No entregues archivos de imágenes IOS, contraseñas ni claves privadas.
Comprueba antes de continuar: Tienes un conjunto ordenado de evidencias verificables.
18.2

Prepara un informe claro y comprobable

  1. Portada con nombre, grupo, fecha y nombre de la práctica.
  2. Objetivo técnico y plataforma utilizada.
  3. Inventario de equipos e imágenes autorizadas.
  4. Direccionamiento, conectividad y pruebas con resultados.
  5. Captura de la topología.
  6. Conclusión indicando qué elementos avanzados quedaron pendientes.
Comprueba antes de continuar: El informe distingue componentes instalados, configurados y solo representados en el plano.

Rúbrica sugerida · 100 puntos

Instalación segura de EVE-NG y preparación de imágenes15 pts
Topología y cableado WAN/LAN fiel al plano20 pts
VLAN y configuración de switches20 pts
Routers, direccionamiento y OSPF20 pts
Clientes, servidores y ASA básico15 pts
Validación, evidencias y documentación10 pts

Fuentes oficiales y soporte técnico

Enlaces de consulta para comprobar procedimientos, licencias e imágenes. Esta web no incluye software propietario ni imágenes Cisco.

LABORATORIO INTEGRADOR

De un diagrama a una red verificable.

Conserva tu respaldo, entrega evidencias y utiliza la práctica de Windows Server 2025 + DHCP como ampliación posterior.