RA-Guard على IPv6

إنغريد إسبينوزا
أغسطس 3 2023
1: 22 مساء
لا يوجد تعليقات

RA Guard عبارة عن ميزة أمان IPv6 تساعد على حماية الشبكات من هجمات التوجيه. يعمل RA Guard عن طريق حظر رسائل طلب التوجيه غير المصرح به (RA) من أجهزة التوجيه.

في نهاية المقال ستجد صغيرا تجربه بالعربي سيسمح لك تقييم المعرفة المكتسبة في هذه القراءة

اذهب إلى الاختبار

يتم استخدام رسائل RA لتوفير معلومات التوجيه للمضيفين، مثل عنوان جهاز التوجيه الافتراضي وأقنعة الشبكة الفرعية. يساعد RA Guard على حماية الشبكات من هجمات التوجيه عن طريق حظر رسائل RA غير المصرح بها، مما يمكن أن يساعد في منع المهاجمين من التحكم في توجيه الشبكة.

يمكن تمكين RA Guard على أجهزة توجيه IPv6. عند تمكين RA Guard، سيقوم جهاز التوجيه بإرسال رسائل RA فقط إلى المضيفين الموجودين على شبكته الفرعية. سيتم حظر رسائل RA الواردة من أجهزة التوجيه غير الموجودة على الشبكة الفرعية للمضيف بواسطة RA Guard.

تعد RA Guard إحدى ميزات الأمان المهمة التي يمكنها المساعدة في حماية الشبكات من هجمات التوجيه. يجب تمكين RA Guard على جميع أجهزة توجيه IPv6 لتوفير أقصى قدر من الحماية.

عملية RA-Guard

فيما يلي شرح تفصيلي لكيفية عمل RA Guard:

1. اكتشاف جهاز التوجيه

عندما تنضم الأجهزة إلى شبكة IPv6، فإنها تستخدم بروتوكول اكتشاف الجوار (NDP) لاكتشاف أجهزة التوجيه الموجودة على قطاع الشبكة. تقوم أجهزة التوجيه بإرسال رسائل إعلانية لجهاز التوجيه (RA) بشكل دوري للإعلان عن وجودها وتوفير معلومات تكوين الشبكة.

2. الحماية ضد هجمات التسمم الإعلانية لجهاز التوجيه

قد يحاول أحد المهاجمين إرسال رسائل RA مخادعة، متظاهرًا بأنه جهاز توجيه شرعي. ولمنع ذلك، تقوم المحولات اللاسلكية أو نقاط الوصول التي تدعم RA Guard بفحص رسائل RA الواردة والتحقق مما إذا كانت واردة من مصدر شرعي.

3. جدول الموجهات المسموح بها

Lتحتفظ المحولات اللاسلكية أو نقاط الوصول التي تطبق RA Guard بجدول أجهزة التوجيه المسموح بها الذي يحتوي على عناوين IPv6 وواجهات MAC الخاصة بأجهزة التوجيه المعتمدة. أجهزة التوجيه الشرعية هذه هي تلك التي تم تكوينها يدويًا أو اكتشافها من خلال طرق التكوين التلقائي للشبكة الآمنة الأخرى.

4. رفض رسائل RA غير المصرح بها

عندما يتلقى المحول أو نقطة الوصول رسالة RA، فإنه يتحقق مما إذا كان المرسل (جهاز التوجيه) موجودًا في جدول أجهزة التوجيه المسموح بها. إذا لم يكن جهاز التوجيه موجودًا في الجدول، فسيتم اعتبار رسالة RA غير مصرح بها ويتم تجاهلها. وهذا يضمن أن أجهزة التوجيه الشرعية فقط هي التي يمكنها إرسال رسائل RA إلى الشبكة.

نصائح لتمكين RA Guard

راجع وثائق جهاز التوجيه الخاص بك للحصول على إرشادات حول كيفية تمكين RA Guard.
تأكد من تمكين RA Guard على كافة أجهزة التوجيه الموجودة على شبكتك.
إنشاء سياسة أمنية لـ RA Guard والتأكد من التزامها بها.
راقب شبكتك بحثًا عن أي علامات على نشاط مشبوه.

مزايا استخدام RA Guard

الحماية من هجمات التسمم الإعلانية لجهاز التوجيه: الميزة الرئيسية لـ RA Guard هي أنه يحمي الشبكة من هجمات التسمم الإعلانية لجهاز التوجيه. من خلال التحقق من صحة رسائل إعلان جهاز التوجيه (RA) الواردة، يمنع RA Guard أجهزة التوجيه غير المصرح بها من إرسال إعلانات مخادعة يمكنها إعادة توجيه حركة المرور إلى مسارات ضارة أو تحويل حركة المرور إلى وجهات غير مرغوب فيها.
تحسين أمان شبكة IPv6: من خلال منع الوصول غير المصرح به إلى رسائل RA، يعمل RA Guard على تعزيز أمان الشبكة ويضمن أن أجهزة التوجيه الشرعية فقط هي التي يمكنها الإعلان عن معلومات التكوين والتوجيه إلى الأجهزة المحلية.
الحماية ضد إعادة توجيه حركة المرور الضارة: من خلال التأكد من أن رسائل RA تأتي من مصادر موثوقة، تحمي RA Guard من هجمات الوسيط وإعادة توجيه حركة المرور غير المرغوب فيها. وهذا يضمن أن الأجهزة الموجودة على الشبكة تتبع مسارات التوجيه الصحيحة ويمنع الثغرات الأمنية المحتملة.
التكوين اليدوي لأجهزة التوجيه المسموح بها: يسمح RA Guard لمسؤولي الشبكة بتكوين أجهزة التوجيه المسموح بها يدويًا في جدول أجهزة التوجيه المعتمدة. وهذا يوفر تحكمًا أكبر في أجهزة التوجيه التي يمكنها إرسال رسائل RA على الشبكة.

عيوب استخدام RA Guard

إعدادات إضافية: يتطلب نشر RA Guard تكوينًا إضافيًا على أجهزة الشبكة، مثل المحولات أو نقاط الوصول اللاسلكية. قد تكون هذه عملية إضافية يجب على مسؤولي الشبكة تنفيذها لتمكين وظيفة RA Guard والحفاظ عليها.
تعقيد: قد تكون بعض تطبيقات RA Guard معقدة، خاصة على الشبكات الأكبر حجمًا والأكثر تعقيدًا. قد يتطلب هذا فهمًا أعمق لتكوين الشبكة وإدارة الأمان.

التأثير المحتمل على الاتصال: إذا لم يتم تكوين RA Guard بشكل صحيح، فقد يؤدي ذلك إلى مشكلات في الاتصال مثل حظر رسائل RA الشرعية. قد يؤثر هذا سلبًا على التشغيل العادي للأجهزة الموجودة على الشبكة.

تتضمن بعض سيناريوهات العالم الحقيقي حيث يمكن نشر RA Guard ما يلي:

شبكات الأعمال والشركات

في شبكات المؤسسات، يتم استخدام RA Guard للحماية من هجمات التسمم الإعلانية لجهاز التوجيه. يضمن أن أجهزة التوجيه الشرعية والمعتمدة فقط هي التي يمكنها إرسال إعلانات جهاز التوجيه إلى الأجهزة المحلية، وتجنب مخاطر إعادة توجيه حركة المرور الضارة وتعزيز أمان الشبكة.

شبكات مزودي الخدمة (ISP).

يمكن لمقدمي الخدمة نشر RA Guard على شبكاتهم لحماية عملائهم من هجمات التسمم بإعلانات جهاز التوجيه. وهذا يضمن أن العملاء لا يتلقون معلومات تكوين التوجيه إلا من أجهزة التوجيه الشرعية والموثوقة.

الشبكات اللاسلكية العامة ونقاط وصول WiFi

في البيئات التي تحتوي على شبكات لاسلكية عامة، مثل المطارات أو الفنادق أو المقاهي، يساعد نشر RA Guard على نقاط وصول WiFi على حماية المستخدمين من الهجمات المحتملة لتسمم إعلانات جهاز التوجيه. يؤدي ذلك إلى تحسين أمان الاتصال ويمنع إعادة توجيه المستخدمين إلى المواقع الضارة.

الشبكات الأكاديمية والتعليمية

في المؤسسات التعليمية والأكاديمية، يمكن نشر RA Guard لحماية شبكات وأجهزة الطلاب والموظفين من هجمات التسمم الإعلانية لجهاز التوجيه. وهذا يضمن أن البنية التحتية للشبكة والموارد المشتركة آمنة ومأمونة.

مراكز البيانات والشبكات السحابية

في مراكز البيانات والبيئات السحابية، يتم استخدام RA Guard لحماية البنية التحتية للشبكة وموارد العملاء من الهجمات المحتملة. وهذا يضمن سلامة الشبكة ويمنع التلاعب الضار بإعلانات جهاز التوجيه.

شبكات إنترنت الأشياء (إنترنت الأشياء).

في شبكات إنترنت الأشياء، حيث تتواصل العديد من الأجهزة تلقائيًا باستخدام بروتوكول اكتشاف الجوار (NDP)، يعد RA Guard ضروريًا لمنع هجمات تسميم إعلانات جهاز التوجيه وضمان أمان الأجهزة والشبكة بشكل عام.

أمثلة على التكوين

بعد ذلك، دعونا نلقي نظرة على مثال لكيفية تكوين RA Guard على المحول سيسكو محفز باستخدام بروتوكول IPv6 ونظام التشغيل IOS-XE:

				
					# Acceder al modo de configuración global
configure terminal

# Habilitar RA Guard en una interfaz específica (por ejemplo, GigabitEthernet0/1)
interface GigabitEthernet0/1
  ipv6 nd ra guard

# Opcionalmente, configurar el modo de operación de RA Guard
# El modo "strict" (predeterminado) bloqueará todos los paquetes RA entrantes no válidos.
# El modo "loose" permitirá anuncios RA entrantes si la interfaz está configurada para ser un router legítimo.
interface GigabitEthernet0/1
  ipv6 nd ra guard mode strict

# Salir del modo de configuración de la interfaz
exit

# Aplicar la configuración a la interfaz y guardar la configuración
end
write memory

في هذا المثال، تم تمكين RA Guard على الواجهة GigabitEthernet0/1. بالإضافة إلى ذلك، تم ضبط وضع التشغيل RA Guard على "صارم"، مما يعني أنه سيحظر جميع حزم RA الواردة غير الصالحة، أي تلك التي لا تأتي من جهاز توجيه شرعي.

من المهم ملاحظة أن التكوين الدقيق قد يختلف وفقًا لطراز محول Cisco وإصداره، بالإضافة إلى هيكل الشبكة المحدد. من الضروري أيضًا التأكد من تكوين أجهزة التوجيه الشرعية بشكل صحيح في جدول أجهزة التوجيه المسموح بها لتجنب مشكلات الاتصال غير المرغوب فيها.

يُنصح دائمًا باختبار سلوك الشبكة والتحقق منه بعد نشر RA Guard للتأكد من أنه يعمل كما هو متوقع ولا يؤثر سلبًا على حركة المرور المشروعة على الشبكة.