RA-Guard

RA-Guard (Router Advertisement Guard) ist eine Sicherheitsfunktion in IPv6, die zum Schutz vor gefälschten Router-Angriffen beiträgt und sicherstellt, dass nur legitime Router-Ankündigungen von Knoten im Netzwerk verarbeitet und akzeptiert werden.

RA-Guard wird auf Netzwerkgeräten bereitgestellt und untersucht Router Advertisement (RA)-Nachrichten, um nicht autorisierte oder böswillige Router Advertisements zu erkennen und zu blockieren.

Wenn RA-Guard auf einem Netzwerkgerät aktiviert ist, analysiert es empfangene RA-Nachrichten und vergleicht die darin enthaltenen Informationen mit einer Liste autorisierter Router. Wenn die RA-Nachricht nicht mit autorisierten Routern übereinstimmt oder verdächtige Merkmale aufweist, kann das Gerät die RA-Nachricht blockieren, ignorieren oder andere in den Einstellungen definierte Sicherheitsmaßnahmen ergreifen.

Techniken zum Identifizieren und Blockieren

RA-Guard verwendet mehrere Techniken, um gefälschte Router-Anzeigen zu identifizieren und zu blockieren, darunter:

Quellenfilterung

RA-Guard prüft die Quelladresse der RA-Nachricht und vergleicht diese Adresse mit der Liste der autorisierten Router. Wenn die Quelladresse nicht übereinstimmt, kann die RA-Nachricht als nicht autorisiert betrachtet und blockiert werden.

Inspektion der RA-Optionen

RA-Guard untersucht die in der RA-Nachricht enthaltenen Optionen, um Optionen zu erkennen, die verdächtig oder mit der erwarteten Konfiguration nicht kompatibel sind. Wenn beispielsweise unerwartete Optionen oder falsche Konfigurationen gefunden werden, kann die RA-Nachricht als nicht autorisiert betrachtet werden.

Häufigkeit und Muster von RA-Nachrichten

RA-Guard kann auch die Häufigkeit und Muster empfangener RA-Nachrichten analysieren. Wenn in kurzer Zeit eine große Anzahl von RA-Nachrichten erkannt wird oder ungewöhnliche Muster von RA-Nachrichten vorliegen, ergreift das Gerät möglicherweise Maßnahmen, um verdächtige Nachrichten zu blockieren oder einzuschränken.

Die Implementierung von RA-Guard kann je nach Gerät und Hersteller variieren. Einige Netzwerkgeräte verfügen über RA-Guard als native Funktionalität, während bei anderen Geräten möglicherweise die explizite Aktivierung und Konfiguration von RA-Guard erforderlich ist.

RA-Guard ist eine wirksame Sicherheitsmaßnahme, um die mit gefälschten Router-Ankündigungen verbundenen Risiken zu mindern und das IPv6-Netzwerk vor unbefugten Router-Angriffen zu schützen. Durch die Aktivierung von RA-Guard können Netzwerkknoten legitimen RA-Nachrichten vertrauen und sicherstellen, dass Netzwerkrouter vertrauenswürdig und authentifiziert sind.

DHCPv6 sicher

DHCPv6 Secure ist eine IPv6-Sicherheitsfunktion, die die Authentifizierung und Autorisierung von DHCPv6-Clients ermöglicht. Ermöglicht Ihnen, die Identität von DHCPv6-Clients zu überprüfen und sicherzustellen, dass nur autorisierte Clients IPv6-Adressen und Netzwerkkonfigurationen erhalten können.

Hier erfahren Sie im Detail, wie es funktioniert. DHCPv6 sicher:

DHCPv6-Client-Authentifizierung

DHCPv6 Secure verwendet Authentifizierungstechniken, um die Identität von DHCPv6-Clients zu überprüfen. Es basiert auf der Verwendung von X.509-Zertifikaten und digitalen Signaturen zur Authentifizierung von Clients. Jeder DHCPv6-Client verfügt über ein eindeutiges digitales Zertifikat, das von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert ist.

DHCPv6-Client-Autorisierung

Zusätzlich zur Authentifizierung ermöglicht DHCPv6 Secure auch die Client-Autorisierung. Dies bedeutet, dass nicht nur die Identität des Clients überprüft wird, sondern auch überprüft wird, ob der Client über die erforderlichen Berechtigungen verfügt, um eine IPv6-Adresse und die zugehörigen Netzwerkkonfigurationen zu erhalten.

Interaktion mit Public-Key-Infrastruktur (PKI)

DHCPv6 Secure lässt sich in eine Public-Key-Infrastruktur (PKI) integrieren, um Zertifikate sowie öffentliche und private Schlüssel zu verwalten, die für die Authentifizierung und digitale Signatur erforderlich sind. Dazu gehört die Konfiguration einer internen Zertifizierungsstelle oder die Verwendung einer externen vertrauenswürdigen Zertifizierungsstelle zur Ausstellung und Verwaltung von DHCPv6-Client-Zertifikaten.

Prozess zum Erhalten von IPv6-Adressen

Wenn ein DHCPv6-Client damit beginnt, eine IPv6-Adresse und Netzwerkeinstellungen abzurufen, sendet er eine DHCPv6-Anfrage an den DHCPv6-Server. Diese Anfrage enthält die zur Authentifizierung notwendigen Informationen, wie zum Beispiel das Zertifikat und die digitale Signatur des Kunden.

Zertifikatsüberprüfung und digitale Signatur

Der DHCPv6-Server überprüft das Zertifikat des Clients und seine digitale Signatur mithilfe der konfigurierten Public Key Infrastructure (PKI). Überprüft die Authentizität des Zertifikats und stellt sicher, dass es von der vertrauenswürdigen Zertifizierungsstelle stammt und nicht widerrufen wurde. Außerdem wird die Gültigkeit der digitalen Signatur überprüft, um sicherzustellen, dass sie während der Übertragung nicht verändert wurde.

Berechtigungsprüfung

Nach erfolgreicher Authentifizierung des DHCPv6-Clients führt der DHCPv6-Server eine Autorisierungsprüfung durch, um zu überprüfen, ob der Client über die erforderlichen Berechtigungen zum Bezug einer IPv6-Adresse und der zugehörigen Netzwerkeinstellungen verfügt. Dies basiert auf den auf dem DHCPv6-Server definierten Autorisierungsrichtlinien.

IPv6-Adresszuweisung und Netzwerkkonfigurationen

Wenn der DHCPv6-Client erfolgreich authentifiziert und autorisiert wurde, weist der DHCPv6-Server eine IPv6-Adresse zu und stellt dem Client die entsprechenden Netzwerkkonfigurationen zur Verfügung. Diese Einstellungen können Informationen wie die Subnetzmaske, das Standard-Gateway, DNS-Server und andere Netzwerkparameter umfassen.

Erneuerung und regelmäßige Überprüfung

DHCPv6 Secure umfasst außerdem Mechanismen zur regelmäßigen Erneuerung und Überprüfung der den Clients zugewiesenen IPv6-Adressen und Netzwerkkonfigurationen. Dadurch wird sichergestellt, dass nur autorisierte Clients die zugewiesenen Adressen und Einstellungen im Laufe der Zeit pflegen und nutzen können.

Die Bereitstellung von DHCPv6 Secure erfordert eine ordnungsgemäße Konfiguration der Public-Key-Infrastruktur (PKI), die Generierung und Verwaltung von Zertifikaten sowie die Konfiguration von Authentifizierungs- und Autorisierungsrichtlinien auf dem DHCPv6-Server. Jeder DHCPv6-Client muss über ein gültiges Zertifikat verfügen und seine DHCPv6-Anfragen digital signieren, um vom DHCPv6-Server ordnungsgemäß authentifiziert zu werden.