RA-Guard

RA-Guard (Router Advertisement Guard) es una funcionalidad de seguridad en IPv6 que ayuda a proteger contra ataques de enrutador falsificado y garantiza que solo los anuncios de enrutador legítimos sean procesados y aceptados por los nodos de la red.

RA-Guard se implementa en dispositivos de red y examina los mensajes de anuncio de enrutador (Router Advertisement, RA) para detectar y bloquear anuncios de enrutador no autorizados o maliciosos.

Cuando se habilita RA-Guard en un dispositivo de red, este analiza los mensajes RA recibidos y compara la información en ellos con una lista de enrutadores autorizados. Si el mensaje RA no coincide con los enrutadores autorizados o muestra características sospechosas, el dispositivo puede bloquear el mensaje RA, ignorarlo o tomar otras acciones de seguridad definidas en la configuración.

Técnicas para identificar y bloquear

RA-Guard utiliza varias técnicas para identificar y bloquear anuncios de enrutador falsificados, incluyendo:

Filtrado de fuente

RA-Guard verifica la dirección de origen del mensaje RA y compara esta dirección con la lista de enrutadores autorizados. Si la dirección de origen no coincide, el mensaje RA puede ser considerado no autorizado y bloqueado.

Inspección de opciones RA

RA-Guard examina las opciones incluidas en el mensaje RA para detectar opciones sospechosas o incompatibles con la configuración esperada. Por ejemplo, si se encuentran opciones inesperadas o configuraciones incorrectas, el mensaje RA puede ser considerado no autorizado.

Frecuencia y patrones de mensajes RA

RA-Guard también puede analizar la frecuencia y los patrones de los mensajes RA recibidos. Si se detecta una gran cantidad de mensajes RA en un corto período de tiempo o si hay patrones inusuales de mensajes RA, el dispositivo puede tomar medidas para bloquear o limitar los mensajes sospechosos.

La implementación de RA-Guard puede variar según el dispositivo y el fabricante específico. Algunos dispositivos de red tienen RA-Guard integrado como una funcionalidad nativa, mientras que en otros dispositivos puede ser necesario habilitar y configurar RA-Guard de manera explícita.

RA-Guard es una medida de seguridad efectiva para mitigar los riesgos asociados con los anuncios de enrutador falsificados y proteger la red IPv6 contra ataques de enrutador no autorizados. Al habilitar RA-Guard, los nodos de la red pueden confiar en los mensajes RA legítimos y asegurarse de que los enrutadores de la red sean confiables y autenticados.

DHCPv6 Secure

DHCPv6 Secure es una funcionalidad de seguridad en IPv6 que proporciona autenticación y autorización de clientes DHCPv6. Permite verificar la identidad de los clientes DHCPv6 y asegurarse de que solo los clientes autorizados puedan obtener direcciones IPv6 y configuraciones de red.

A continuación, se explora en profundidad cómo funciona DHCPv6 Secure:

Autenticación de clientes DHCPv6

DHCPv6 Secure utiliza técnicas de autenticación para verificar la identidad de los clientes DHCPv6. Se basa en el uso de certificados X.509 y firmas digitales para autenticar a los clientes. Cada cliente DHCPv6 tiene un certificado digital único que es firmado por una autoridad de certificación (CA) confiable.

Autorización de clientes DHCPv6

Además de la autenticación, DHCPv6 Secure también permite la autorización de clientes. Esto significa que no solo se verifica la identidad del cliente, sino que también se comprueba si el cliente tiene los permisos necesarios para obtener una dirección IPv6 y las configuraciones de red asociadas.

Interacción con la infraestructura de clave pública (PKI)

DHCPv6 Secure se integra con una infraestructura de clave pública (PKI) para gestionar los certificados y las claves públicas y privadas necesarias para la autenticación y la firma digital. Esto implica la configuración de una CA interna o el uso de una CA de confianza externa para emitir y gestionar los certificados de los clientes DHCPv6.

Proceso de obtención de direcciones IPv6

Cuando un cliente DHCPv6 inicia el proceso de obtención de una dirección IPv6 y configuraciones de red, envía una solicitud DHCPv6 al servidor DHCPv6. Esta solicitud contiene la información necesaria para la autenticación, como el certificado y la firma digital del cliente.

Verificación del certificado y firma digital

El servidor DHCPv6 verifica el certificado del cliente y su firma digital utilizando la infraestructura de clave pública (PKI) configurada. Verifica la autenticidad del certificado, asegurándose de que provenga de la CA confiable y que no haya sido revocado. También verifica la validez de la firma digital para garantizar que no haya sido modificada en tránsito.

Comprobación de la autorización

Una vez que el cliente DHCPv6 ha sido autenticado correctamente, el servidor DHCPv6 realiza una comprobación de autorización para verificar si el cliente tiene los permisos necesarios para obtener una dirección IPv6 y las configuraciones de red asociadas. Esto se basa en las políticas de autorización definidas en el servidor DHCPv6.

Asignación de direcciones IPv6 y configuraciones de red

Si el cliente DHCPv6 ha sido autenticado y autorizado correctamente, el servidor DHCPv6 asigna una dirección IPv6 y proporciona las configuraciones de red correspondientes al cliente. Estas configuraciones pueden incluir información como la máscara de subred, la puerta de enlace predeterminada, los servidores DNS y otros parámetros de red.

Renovación y verificación periódica

DHCPv6 Secure también incluye mecanismos para renovar y verificar periódicamente las direcciones IPv6 y las configuraciones de red asignadas a los clientes. Esto asegura que solo los clientes autorizados puedan mantener y utilizar las direcciones y configuraciones asignadas a lo largo del tiempo.

La implementación de DHCPv6 Secure requiere la configuración adecuada de la infraestructura de clave pública (PKI), la generación y gestión de los certificados, y la configuración de las políticas de autenticación y autorización en el servidor DHCPv6. Cada cliente DHCPv6 debe tener un certificado válido y firmar digitalmente sus solicitudes DHCPv6 para ser autenticado correctamente por el servidor DHCPv6.