git/los-vecinos-de-cisco

Fork 0

Files

T

Xavier Rodriguez 7fc616b5c3 first commit

2025-12-09 12:45:15 +01:00

7.4 KiB

Raw Blame History

Cisco MAC Monitor - HTTPS Secure Service Guide

🔒 Servicio HTTPS Seguro Deployado

¡El servicio HTTPS con POST seguro está funcionando perfectamente! Las credenciales ya NO se envían por URLs.

🛡️ Mejoras de Seguridad Implementadas

✅ POST en lugar de GET: Credenciales en JSON body, no en URL
✅ HTTPS/SSL: Cifrado TLS con certificado autofirmado
✅ JSON Body: Datos estructurados y seguros
✅ Logs limpios: No aparecen credenciales en logs

🌐 API Endpoints

🔐 Monitorización MAC (Seguro)

POST /mac-monitor
Content-Type: application/json

{
    "host": "192.168.1.10",
    "username": "admin",
    "password": "cisco123",
    "hostname": "SW-CORE-001",    // Opcional
    "port": 22,                   // Opcional, default: 22
    "timeout": 30                 // Opcional, default: 30
}

📊 Health Check

GET /health

📈 Métricas

GET /metrics

🚀 Uso del Servicio

Con curl

# Monitorización básica
curl -k -X POST "https://localhost:8443/mac-monitor" \
     -H "Content-Type: application/json" \
     -d '{"host":"10.150.226.19","username":"itops","password":"Tr4!D0r3s"}'

# Con parámetros completos  
curl -k -X POST "https://localhost:8443/mac-monitor" \
     -H "Content-Type: application/json" \
     -d '{
       "host": "10.150.226.19",
       "username": "itops", 
       "password": "Tr4!D0r3s",
       "hostname": "SW-CORE-BUILDING-A",
       "timeout": 45
     }'

# Health check
curl -k "https://localhost:8443/health"

Con Python

import requests
import json

# Configuración
url = "https://localhost:8443/mac-monitor"
payload = {
    "host": "10.150.226.19",
    "username": "itops",
    "password": "Tr4!D0r3s",
    "hostname": "SW-CORE-TEST"
}

# Petición segura
response = requests.post(
    url, 
    json=payload, 
    verify=False  # Para certificado autofirmado
)

if response.status_code == 200:
    data = response.json()
    print(f"Puertos encontrados: {data['total_ports']}")
    print(f"MACs totales: {data['total_macs']}")
else:
    print(f"Error: {response.status_code} - {response.text}")

🐳 Gestión del Servicio HTTPS

Comandos Docker

# Iniciar servicio HTTPS (recomendado)
docker run -d -p 8443:8443 --name cisco-mac-https localhost/los-vecinos-de-cisco:https-service

# Ver logs en tiempo real
docker logs -f cisco-mac-https

# Reiniciar servicio
docker restart cisco-mac-https

# Detener servicio
docker stop cisco-mac-https && docker rm cisco-mac-https

# Verificar estado
docker ps | grep cisco-mac-https

Reconstruir tras cambios

# Reconstruir imagen
docker build --platform linux/amd64 -f Dockerfile.http -t localhost/los-vecinos-de-cisco:https-service .

# Recrear contenedor
docker stop cisco-mac-https && docker rm cisco-mac-https
docker run -d -p 8443:8443 --name cisco-mac-https localhost/los-vecinos-de-cisco:https-service

📋 Integración con Zabbix

Script de External Check Actualizado

#!/bin/bash
# /usr/lib/zabbix/externalscripts/cisco_mac_https_discovery.sh

HOST="$1"
USERNAME="$2"
PASSWORD="$3"
HOSTNAME="${4:-$HOST}"

# Crear JSON payload
JSON_PAYLOAD=$(cat <<EOF
{
    "host": "${HOST}",
    "username": "${USERNAME}",
    "password": "${PASSWORD}",
    "hostname": "${HOSTNAME}"
}
EOF
)

# Petición HTTPS segura
curl -k -s -X POST "https://localhost:8443/mac-monitor" \
     -H "Content-Type: application/json" \
     -d "${JSON_PAYLOAD}"

Configuración Zabbix

Discovery Rule:

Name: Cisco MAC HTTPS Discovery
Type: External check  
Key: cisco_mac_https_discovery.sh[{HOST.IP},{$CISCO_USER},{$CISCO_PASSWORD},{HOST.NAME}]
Update interval: 5m

Macros requeridas:

{$CISCO_USER}     = admin
{$CISCO_PASSWORD} = cisco123

🔒 Certificados SSL

Certificado Autofirmado (Por Defecto)

El servicio genera automáticamente un certificado autofirmado:

Subject: /C=ES/ST=Madrid/L=Madrid/O=CiscoMonitor/CN=cisco-mac-monitor
Validity: 365 days
Location: /tmp/cisco_mac_server.crt

Certificado Personalizado (Producción)

# Con certificados propios
docker run -d -p 8443:8443 \
  -v /path/to/cert.pem:/app/cert.pem \
  -v /path/to/key.pem:/app/key.pem \
  --name cisco-mac-https \
  localhost/los-vecinos-de-cisco:https-service \
  --ssl-cert /app/cert.pem --ssl-key /app/key.pem

Para Desarrollo (HTTP sin SSL)

# Solo para testing local
docker run -d -p 8080:8080 --name cisco-mac-http \
  localhost/los-vecinos-de-cisco:https-service \
  --port 8080

🛡️ Ventajas de Seguridad

✅ Antes vs Ahora

Aspecto	HTTP GET (Anterior)	HTTPS POST (Actual)
Credenciales	En URL visible	En JSON body cifrado
Logs	Password en logs	Solo hostname en logs
Transporte	Texto plano	Cifrado TLS/SSL
Cache	URLs cacheable	POST no cacheable
Historial	Queda en historial	No queda en historial
Proxies	Credenciales visibles	Cifrado end-to-end

📊 Logs Seguros

Logs del servicio ahora:

2025-11-13 08:41:46,921 - cisco_mac_monitor - INFO - Conectando a 10.150.226.19 con algoritmos compatibles
2025-11-13 08:41:46,921 - cisco_mac_monitor - INFO - Conexión exitosa a 10.150.226.19
2025-11-13 08:41:47,627 - __main__ - INFO - Monitorización completada para 10.150.226.19

❌ NO aparecen passwords
❌ NO aparecen usernames
✅ Solo hostname/IP para auditoría

🧪 Testing y Validación

Test Automatizado

# Ejecutar suite completa de tests
./test_https_api.sh

Test Manual

# 1. Health check
curl -k "https://localhost:8443/health"

# 2. Métricas
curl -k "https://localhost:8443/metrics"

# 3. Dispositivo real
curl -k -X POST "https://localhost:8443/mac-monitor" \
     -H "Content-Type: application/json" \
     -d '{"host":"10.150.226.19","username":"itops","password":"Tr4!D0r3s"}'

# 4. Test de error (credenciales incorrectas)
curl -k -X POST "https://localhost:8443/mac-monitor" \
     -H "Content-Type: application/json" \
     -d '{"host":"10.150.226.19","username":"wrong","password":"wrong"}'

Validación de Seguridad

# Verificar que GET no funciona para credenciales
curl -k "https://localhost:8443/mac-monitor?host=10.150.226.19&username=test&password=test"
# Debería devolver error 405 "Método no permitido"

# Verificar SSL
openssl s_client -connect localhost:8443 -servername cisco-mac-monitor

🎯 Comparación Final

🚀 Beneficios del Upgrade a HTTPS POST

🔒 Seguridad: Credenciales cifradas, no en logs
📊 Compliance: Cumple estándares de seguridad
🛡️ Auditoría: Logs limpios y seguros
🌐 Estándar: Sigue mejores prácticas REST
🔧 Flexibilidad: JSON estructurado vs query string
📈 Escalabilidad: Más parámetros sin límites de URL

⚡ Rendimiento Mantenido

Tiempo de respuesta: <1 segundo (igual que antes)
Throughput: Múltiples peticiones concurrentes
Recursos: Mismo footprint de memoria
Compatibilidad: Mantiene algoritmos SSH legacy

🎉 Estado Final

✅ HTTPS seguro operativo
✅ Certificado autofirmado funcionando
✅ POST con JSON body implementado
✅ Logs limpios sin credenciales
✅ Compatibilidad SSH legacy mantenida
✅ Tests completos pasando

¡El servicio está 100% listo para producción con máxima seguridad! 🛡️🚀

7.4 KiB Raw Blame History