RA-Guard

RA-Guard (Router Advertisement Guard) és una funcionalitat de seguretat en IPv6 que ajuda a protegir contra atacs d'encaminador falsificat i garanteix que només els anuncis d'encaminador legítims siguin processats i acceptats pels nodes de la xarxa.

RA-Guard s'implementa en dispositius de xarxa i examina els missatges d'anunci d'encaminador (Router Advertisement, RA) per detectar i bloquejar anuncis d'encaminador no autoritzats o maliciosos.

Quan s'habilita RA-Guard en un dispositiu de xarxa, aquest analitza els missatges RA rebuts i compara la informació amb una llista d'encaminadors autoritzats. Si el missatge RA no coincideix amb els encaminadors autoritzats o mostra característiques sospitoses, el dispositiu pot bloquejar el missatge RA, ignorar-lo o prendre altres accions de seguretat definides a la configuració.

Tècniques per identificar i bloquejar

RA-Guard utilitza diverses tècniques per identificar i bloquejar anuncis d'encaminador falsificats, incloent:

Filtratge de font

RA-Guard verifica l'adreça d'origen del missatge RA i compara aquesta adreça amb la llista d'encaminadors autoritzats. Si la direcció d'origen no coincideix, el missatge RA es pot considerar no autoritzat i bloquejat.

Inspecció d'opcions RA

RA-Guard examina les opcions incloses al missatge RA per detectar opcions sospitoses o incompatibles amb la configuració esperada. Per exemple, si hi ha opcions inesperades o configuracions incorrectes, el missatge RA pot ser considerat no autoritzat.

Freqüència i patrons de missatges RA

RA-Guard també pot analitzar la freqüència i els patrons dels missatges RA rebuts. Si es detecta una gran quantitat de missatges RA en un període curt de temps o si hi ha patrons inusuals de missatges RA, el dispositiu pot prendre mesures per bloquejar o limitar els missatges sospitosos.

La implementació de RA-Guard pot variar segons el dispositiu i el fabricant específic. Alguns dispositius de xarxa tenen RA-Guard integrat com a funcionalitat nativa, mentre que en altres dispositius pot ser necessari habilitar i configurar RA-Guard de manera explícita.

RA-Guard és una mesura de seguretat efectiva per mitigar els riscos associats amb els anuncis d'encaminador falsificats i protegir la xarxa IPv6 contra atacs d'encaminador no autoritzats. En habilitar RA-Guard, els nodes de la xarxa poden confiar en els missatges RA legítims i assegurar-se que els encaminadors de la xarxa siguin fiables i autenticats.

DHCPv6 Secure

DHCPv6 Secure és una funcionalitat de seguretat a IPv6 que proporciona autenticació i autorització de clients DHCPv6. Permet verificar la identitat dels clients DHCPv6 i assegurar-se que només els clients autoritzats puguin obtenir adreces IPv6 i configuracions de xarxa.

Tot seguit, s'explora en profunditat com funciona DHCPv6 Secure:

Autenticació de clients DHCPv6

DHCPv6 Secure utilitza tècniques d'autenticació per verificar la identitat dels clients DHCPv6. Es basa en lús de certificats X.509 i firmes digitals per autenticar els clients. Cada client DHCPv6 té un certificat digital únic que és signat per una autoritat de certificació (CA) fiable.

Autorització de clients DHCPv6

A més de l'autenticació, DHCPv6 Secure també permet l'autorització de clients. Això vol dir que no només es verifica la identitat del client, sinó que també es comprova si el client té els permisos necessaris per obtenir una adreça IPv6 i les configuracions de xarxa associades.

Interacció amb la infraestructura de clau pública (PKI)

DHCPv6 Secure s'integra amb una infraestructura de clau pública (PKI) per gestionar els certificats i les claus públiques i privades necessàries per a l'autenticació i la signatura digital. Això implica configurar una CA interna o utilitzar una CA de confiança externa per emetre i gestionar els certificats dels clients DHCPv6.

Procés d'obtenció d'adreces IPv6

Quan un client DHCPv6 inicia el procés d'obtenció d'una adreça IPv6 i configuracions de xarxa, envia una sol·licitud DHCPv6 al servidor DHCPv6. Aquesta sol·licitud conté la informació necessària per a l'autenticació, com ara el certificat i la signatura digital del client.

Verificació del certificat i signatura digital

El servidor DHCPv6 verifica el certificat del client i la signatura digital utilitzant la infraestructura de clau pública (PKI) configurada. Verifica l'autenticitat del certificat, assegurant-se que provingui de la CA fiable i que no hagi estat revocat. També verifica la validesa de la signatura digital per garantir que no hagi estat modificada en trànsit.

Comprovació de lautorització

Un cop el client DHCPv6 s'ha autenticat correctament, el servidor DHCPv6 realitza una comprovació d'autorització per verificar si el client té els permisos necessaris per obtenir una adreça IPv6 i les configuracions de xarxa associades. Això es basa en les polítiques d'autorització definides al servidor DHCPv6.

Assignació d'adreces IPv6 i configuracions de xarxa

Si el client DHCPv6 ha estat autenticat i autoritzat correctament, el servidor DHCPv6 assigna una adreça IPv6 i proporciona les configuracions de xarxa corresponents al client. Aquestes configuracions poden incloure informació com ara la màscara de subxarxa, la porta d'enllaç per defecte, els servidors DNS i altres paràmetres de xarxa.

Renovació i verificació periòdica

DHCPv6 Secure també inclou mecanismes per renovar i verificar periòdicament les adreces IPv6 i les configuracions de xarxa assignades als clients. Això assegura que només els clients autoritzats puguin mantenir i utilitzar les adreces i les configuracions assignades al llarg del temps.

La implementació de DHCPv6 Secure requereix la configuració adequada de la infraestructura de clau pública (PKI), la generació i gestió dels certificats, i la configuració de les polítiques d'autenticació i autorització al servidor DHCPv6. Cada client DHCPv6 ha de tenir un certificat vàlid i signar digitalment les vostres sol·licituds DHCPv6 per ser autenticat correctament pel servidor DHCPv6.