RA-Garde

RA-Guard (Garde de publicité de routeur) est une fonctionnalité de sécurité d'IPv6 qui aide à protéger contre les attaques de routeurs usurpés et garantit que seules les publicités légitimes des routeurs sont traitées et acceptées par les nœuds du réseau.

RA-Guard est déployé sur les périphériques réseau et examine les messages d'annonce de routeur (RA) pour détecter et bloquer les publicités de routeur non autorisées ou malveillantes.

Lorsque RA-Guard est activé sur un périphérique réseau, il analyse les messages RA reçus et compare les informations qu'ils contiennent avec une liste de routeurs autorisés. Si le message RA ne correspond pas aux routeurs autorisés ou affiche des caractéristiques suspectes, l'appareil peut bloquer le message RA, l'ignorer ou prendre d'autres actions de sécurité définies dans les paramètres.

Techniques pour identifier et bloquer

RA-Guard utilise plusieurs techniques pour identifier et bloquer les publicités de routeur usurpées, notamment :

Filtrage des sources

RA-Guard vérifie l'adresse source du message RA et compare cette adresse avec la liste des routeurs autorisés. Si l'adresse source ne correspond pas, le message RA peut être considéré comme non autorisé et bloqué.

Inspection des options RA

RA-Guard examine les options incluses dans le message RA pour détecter les options suspectes ou incompatibles avec la configuration attendue. Par exemple, si des options inattendues ou des configurations incorrectes sont trouvées, le message RA peut être considéré comme non autorisé.

Fréquence et modèles des messages RA

RA-Guard peut également analyser la fréquence et les modèles des messages RA reçus. Si un grand nombre de messages RA est détecté sur une courte période ou s'il existe des modèles inhabituels de messages RA, l'appareil peut prendre des mesures pour bloquer ou limiter les messages suspects.

La mise en œuvre de RA-Guard peut varier en fonction de l'appareil spécifique et du fabricant. Certains périphériques réseau intègrent RA-Guard en tant que fonctionnalité native, tandis que d'autres périphériques peuvent nécessiter que vous activiez et configuriez RA-Guard explicitement.

RA-Guard est une mesure de sécurité efficace pour atténuer les risques associés aux publicités de routeur usurpées et protéger le réseau IPv6 contre les attaques non autorisées de routeur. En activant RA-Guard, les nœuds du réseau peuvent faire confiance aux messages RA légitimes et garantir que les routeurs réseau sont fiables et authentifiés.

DHCPv6 sécurisé

DHCPv6 Secure est une fonctionnalité de sécurité IPv6 qui permet l'authentification et l'autorisation des clients DHCPv6. Vous permet de vérifier l'identité des clients DHCPv6 et de garantir que seuls les clients autorisés peuvent obtenir des adresses IPv6 et des configurations réseau.

Voici un aperçu détaillé de son fonctionnement. DHCPv6 sécurisé:

Authentification client DHCPv6

DHCPv6 Secure utilise des techniques d'authentification pour vérifier l'identité des clients DHCPv6. Il repose sur l'utilisation de certificats X.509 et de signatures numériques pour authentifier les clients. Chaque client DHCPv6 possède un certificat numérique unique signé par une autorité de certification (CA) de confiance.

Autorisation client DHCPv6

En plus de l'authentification, DHCPv6 Secure permet également l'autorisation du client. Cela signifie que non seulement l'identité du client est vérifiée, mais qu'elle est également vérifiée pour voir si le client dispose des autorisations nécessaires pour obtenir une adresse IPv6 et les configurations réseau associées.

Interaction avec l'infrastructure à clé publique (PKI)

DHCPv6 Secure s'intègre à une infrastructure à clé publique (PKI) pour gérer les certificats et les clés publiques et privées requises pour l'authentification et la signature numérique. Cela implique la configuration d'une autorité de certification interne ou l'utilisation d'une autorité de certification externe de confiance pour émettre et gérer les certificats clients DHCPv6.

Processus d'obtention d'adresses IPv6

Lorsqu'un client DHCPv6 commence le processus d'obtention d'une adresse IPv6 et de paramètres réseau, il envoie une requête DHCPv6 au serveur DHCPv6. Cette demande contient les informations nécessaires à l'authentification, telles que le certificat et la signature numérique du client.

Vérification du certificat et signature numérique

Le serveur DHCPv6 vérifie le certificat du client et sa signature numérique à l'aide de l'infrastructure à clé publique (PKI) configurée. Vérifie l'authenticité du certificat, en s'assurant qu'il provient de l'autorité de certification de confiance et qu'il n'a pas été révoqué. Il vérifie également la validité de la signature numérique pour s'assurer qu'elle n'a pas été modifiée pendant le transport.

Contrôle d'autorisation

Une fois le client DHCPv6 authentifié avec succès, le serveur DHCPv6 effectue une vérification d'autorisation pour vérifier si le client dispose des autorisations nécessaires pour obtenir une adresse IPv6 et les paramètres réseau associés. Ceci est basé sur les politiques d'autorisation définies sur le serveur DHCPv6.

Attribution d'adresses IPv6 et configurations réseau

Si le client DHCPv6 a été authentifié et autorisé avec succès, le serveur DHCPv6 attribue une adresse IPv6 et fournit les configurations réseau correspondantes au client. Ces paramètres peuvent inclure des informations telles que le masque de sous-réseau, la passerelle par défaut, les serveurs DNS et d'autres paramètres réseau.

Renouvellement et vérification périodique

DHCPv6 Secure comprend également des mécanismes pour renouveler et vérifier périodiquement les adresses IPv6 et les configurations réseau attribuées aux clients. Cela garantit que seuls les clients autorisés peuvent conserver et utiliser les adresses et paramètres attribués au fil du temps.

Le déploiement de DHCPv6 Secure nécessite une configuration appropriée de l'infrastructure à clé publique (PKI), la génération et la gestion des certificats, ainsi que la configuration des politiques d'authentification et d'autorisation sur le serveur DHCPv6. Chaque client DHCPv6 doit disposer d'un certificat valide et signer numériquement ses requêtes DHCPv6 pour être correctement authentifié par le serveur DHCPv6.