RA-Guard su IPv6

Ingrid Espinoza
Agosto 3 2023
1:22
Non ci sono commenti

RA Guard è una funzionalità di sicurezza IPv6 che aiuta a proteggere le reti dagli attacchi di routing. RA Guard funziona bloccando i messaggi di richiesta di routing (RA) non autorizzati provenienti dai router.

Alla fine dell'articolo troverai un piccolo test quello ti permetterà valutare le conoscenze acquisite in questa lettura

Vai a Prova

I messaggi RA vengono utilizzati per fornire informazioni di instradamento agli host, come l'indirizzo del router predefinito e le maschere di sottorete. RA Guard aiuta a proteggere le reti dagli attacchi di routing bloccando i messaggi RA non autorizzati, il che può aiutare a impedire agli aggressori di assumere il controllo del routing di rete.

RA Guard può essere abilitato sui router IPv6. Quando RA Guard è abilitato, il router invierà messaggi RA solo agli host che si trovano sulla sua sottorete. I messaggi RA provenienti da router che non si trovano nella sottorete dell'host verranno bloccati da RA Guard.

RA Guard è un'importante funzionalità di sicurezza che può aiutare a proteggere le reti dagli attacchi di routing. RA Guard deve essere abilitato su tutti i router IPv6 per fornire la massima protezione.

Operazione RA-Guard

Ecco una spiegazione dettagliata di come funziona RA Guard:

1. Individuazione del router

Quando i dispositivi si uniscono a una rete IPv6, utilizzano il Neighbor Discovery Protocol (NDP) per rilevare i router sul segmento di rete. I router inviano periodicamente messaggi Router Advertisement (RA) per annunciare la loro presenza e fornire informazioni sulla configurazione della rete.

2. Protezione contro gli attacchi di avvelenamento da router

Un utente malintenzionato potrebbe tentare di inviare messaggi RA falsificati fingendosi un router legittimo. Per evitare ciò, gli switch wireless o i punti di accesso che supportano RA Guard ispezionano i messaggi RA in entrata e verificano se provengono da una fonte legittima.

3. Tabella dei router consentiti

LGli switch wireless o i punti di accesso che implementano RA Guard mantengono una tabella dei router consentiti che contiene gli indirizzi IPv6 e le interfacce MAC dei router autorizzati. Questi router legittimi sono quelli che sono stati configurati manualmente o rilevati tramite altri metodi di configurazione automatica della rete sicura.

4. Rifiuto di messaggi RA non autorizzati

Quando uno switch o un punto di accesso riceve un messaggio RA, controlla se il mittente (router) è nella tabella dei router consentiti. Se il router non è presente nella tabella, il messaggio RA viene considerato non autorizzato e viene scartato. Ciò garantisce che solo i router legittimi possano inviare messaggi RA alla rete.

Suggerimenti per abilitare RA Guard

Consulta la documentazione del router per istruzioni su come abilitare RA Guard.
Assicurati di abilitare RA Guard su tutti i router della tua rete.
Crea una politica di sicurezza per RA Guard e assicurati che la rispetti.
Monitora la tua rete per eventuali segnali di attività sospette.

Vantaggi dell'utilizzo di RA Guard

Protezione contro gli attacchi di ad-avvelenamento da router: Il vantaggio principale di RA Guard è che protegge la rete dagli attacchi di avvelenamento da router. Verificando l'autenticità dei messaggi Router Advertisement (RA) in entrata, RA Guard impedisce ai router non autorizzati di inviare annunci pubblicitari falsificati che potrebbero reindirizzare il traffico verso percorsi dannosi o deviare il traffico verso destinazioni indesiderate.
Migliora la sicurezza della rete IPv6: Prevenendo l'accesso non autorizzato ai messaggi RA, RA Guard rafforza la sicurezza della rete e garantisce che solo i router legittimi possano pubblicizzare le informazioni di configurazione e instradamento sui dispositivi locali.
Protezione contro il reindirizzamento del traffico dannoso: Garantendo che i messaggi RA provengano da fonti attendibili, RA Guard protegge dagli attacchi man-in-the-middle e dal reindirizzamento del traffico indesiderato. Ciò garantisce che i dispositivi sulla rete seguano i percorsi di instradamento corretti e prevengano potenziali vulnerabilità della sicurezza.
Configurazione manuale dei router consentiti: RA Guard consente agli amministratori di rete di configurare manualmente i router consentiti nella tabella dei router autorizzati. Ciò offre un maggiore controllo su quali router possono inviare messaggi RA sulla rete.

Svantaggi dell'utilizzo di RA Guard

Altre impostazioni: La distribuzione di RA Guard richiede una configurazione aggiuntiva sui dispositivi di rete, come switch o punti di accesso wireless. Questo potrebbe essere un processo aggiuntivo che gli amministratori di rete devono eseguire per abilitare e mantenere la funzionalità RA Guard.
Complessità: Alcune implementazioni di RA Guard possono essere complesse, soprattutto su reti più grandi e complesse. Ciò potrebbe richiedere una comprensione più approfondita della configurazione di rete e della gestione della sicurezza.

Possibile impatto sulla connettività: Se la configurazione di RA Guard non viene eseguita correttamente, potrebbe causare problemi di connettività come il blocco dei messaggi RA legittimi. Ciò potrebbe influire negativamente sul normale funzionamento dei dispositivi sulla rete.

Alcuni scenari reali in cui è possibile distribuire RA Guard includono

Reti aziendali e aziendali

Nelle reti aziendali, RA Guard viene utilizzato per proteggere dagli attacchi di ad-avvelenamento del router. Garantisce che solo i router legittimi e autorizzati possano inviare annunci router ai dispositivi locali, evitando il rischio di reindirizzamento del traffico dannoso e rafforzando la sicurezza della rete.

Reti di fornitori di servizi (ISP).

I fornitori di servizi possono implementare RA Guard sulle proprie reti per proteggere i propri clienti dagli attacchi di router ad-avvelenamento. Ciò garantisce che i client ricevano informazioni sulla configurazione del routing solo da router legittimi e affidabili.

Reti wireless pubbliche e punti di accesso WiFi

In ambienti con reti wireless pubbliche, come aeroporti, hotel o bar, l'implementazione di RA Guard sui punti di accesso WiFi aiuta a proteggere gli utenti da potenziali attacchi di avvelenamento da annunci del router. Ciò migliora la sicurezza della connessione e impedisce agli utenti di essere reindirizzati a siti dannosi.

Reti accademiche ed educative

Nelle istituzioni educative e accademiche, RA Guard può essere implementato per proteggere le reti e i dispositivi degli studenti e del personale dagli attacchi di avvelenamento dei router. Ciò garantisce che l'infrastruttura di rete e le risorse condivise siano sicure e protette.

Data center e reti cloud

Nei data center e negli ambienti cloud, RA Guard viene utilizzato per proteggere l'infrastruttura di rete e le risorse dei clienti da potenziali attacchi. Ciò garantisce l'integrità della rete e impedisce la manipolazione dannosa degli annunci del router.

Reti IoT (Internet delle cose).

Nelle reti IoT, dove molti dispositivi comunicano automaticamente utilizzando il Neighbor Discovery Protocol (NDP), RA Guard è essenziale per prevenire attacchi di ad-avvelenamento da router e garantire la sicurezza dei dispositivi e della rete complessiva.

Esempi di configurazione

Successivamente, esaminiamo un esempio di come RA Guard potrebbe essere configurato su uno switch Cisco Catalyst utilizzando il protocollo IPv6 e il sistema operativo IOS-XE:

				
					# Acceder al modo de configuración global
configure terminal

# Habilitar RA Guard en una interfaz específica (por ejemplo, GigabitEthernet0/1)
interface GigabitEthernet0/1
  ipv6 nd ra guard

# Opcionalmente, configurar el modo de operación de RA Guard
# El modo "strict" (predeterminado) bloqueará todos los paquetes RA entrantes no válidos.
# El modo "loose" permitirá anuncios RA entrantes si la interfaz está configurada para ser un router legítimo.
interface GigabitEthernet0/1
  ipv6 nd ra guard mode strict

# Salir del modo de configuración de la interfaz
exit

# Aplicar la configuración a la interfaz y guardar la configuración
end
write memory

In questo esempio, RA Guard è abilitato sull'interfaccia GigabitEthernet0/1. Inoltre, la modalità operativa RA Guard è impostata su "rigorosa", il che significa che bloccherà tutti i pacchetti RA in entrata che non sono validi, cioè quelli che non provengono da un router legittimo.

È importante notare che la configurazione esatta può variare a seconda del modello e della versione dello switch Cisco, nonché della topologia di rete specifica. È inoltre essenziale garantire che i router legittimi siano configurati correttamente nella tabella dei router consentiti per evitare problemi di connettività indesiderati.

È sempre consigliabile testare e verificare il comportamento della rete dopo aver distribuito RA Guard per garantire che funzioni come previsto e non abbia un impatto negativo sul traffico legittimo sulla rete.