RA-Guard na IPv6

Ingrid Espinoza
Sierpnia 3, 2023
1: 22 pm
Brak komentarzy

RA Guard to funkcja zabezpieczeń IPv6, która pomaga chronić sieci przed atakami routingowymi. RA Guard działa poprzez blokowanie wiadomości nieautoryzowanych żądań routingu (RA) z routerów.

Na końcu artykułu znajdziesz mały test to ci pozwoli oceniać wiedzę zdobytą w tej lekturze

Przejdź do testu

Komunikaty RA służą do dostarczania hostom informacji o routingu, takich jak domyślny adres routera i maski podsieci. RA Guard pomaga chronić sieci przed atakami routingowymi, blokując nieautoryzowane wiadomości RA, co może pomóc uniemożliwić atakującym przejęcie kontroli nad routingiem sieciowym.

Funkcję RA Guard można włączyć na routerach IPv6. Gdy funkcja RA Guard jest włączona, router będzie wysyłał komunikaty RA tylko do hostów znajdujących się w jego podsieci. Wiadomości RA z routerów, które nie znajdują się w podsieci hosta, będą blokowane przez RA Guard.

RA Guard to ważna funkcja bezpieczeństwa, która może pomóc chronić sieci przed atakami routingowymi. Aby zapewnić maksymalną ochronę, na wszystkich routerach IPv6 należy włączyć funkcję RA Guard.

Operacja RA-Guard

Oto szczegółowe wyjaśnienie działania RA Guard:

1. Wykrywanie routera

Gdy urządzenia przyłączają się do sieci IPv6, używają protokołu Neighbor Discovery Protocol (NDP) do wykrywania routerów w segmencie sieci. Routery okresowo wysyłają komunikaty typu Router Advertisement (RA), aby ogłosić swoją obecność i dostarczyć informacje o konfiguracji sieci.

2. Ochrona przed atakami polegającymi na zatruwaniu reklam routera

Osoba atakująca może próbować wysłać sfałszowane wiadomości RA, udając legalny router. Aby temu zapobiec, przełączniki bezprzewodowe lub punkty dostępowe obsługujące funkcję RA Guard sprawdzają przychodzące wiadomości RA i sprawdzają, czy pochodzą one z legalnego źródła.

3. Tabela dozwolonych routerów

LPrzełączniki bezprzewodowe lub punkty dostępowe obsługujące funkcję RA Guard utrzymują tabelę dozwolonych routerów zawierającą adresy IPv6 i interfejsy MAC autoryzowanych routerów. Te legalne routery to te, które zostały ręcznie skonfigurowane lub wykryte za pomocą innych bezpiecznych metod automatycznej konfiguracji sieci.

4. Odrzucenie nieautoryzowanych wiadomości RA

Gdy przełącznik lub punkt dostępowy odbierze wiadomość RA, sprawdza, czy nadawca (router) znajduje się w tabeli dozwolonych routerów. Jeśli routera nie ma w tabeli, wiadomość RA jest uważana za nieautoryzowaną i odrzucana. Dzięki temu tylko legalne routery będą mogły wysyłać komunikaty RA do sieci.

Wskazówki dotyczące włączania funkcji RA Guard

Instrukcje dotyczące włączania funkcji RA Guard można znaleźć w dokumentacji routera.
Upewnij się, że włączyłeś funkcję RA Guard na wszystkich routerach w Twojej sieci.
Utwórz politykę bezpieczeństwa dla RA Guard i upewnij się, że jest ona przestrzegana.
Monitoruj swoją sieć pod kątem oznak podejrzanej aktywności.

Zalety korzystania z RA Guard

Ochrona przed atakami polegającymi na zatruwaniu reklam routera: Główną zaletą RA Guard jest to, że chroni sieć przed atakami polegającymi na zatruwaniu reklam routera. Weryfikując autentyczność przychodzących komunikatów typu Router Advertisement (RA), funkcja RA Guard zapobiega wysyłaniu przez nieautoryzowane routery fałszywych reklam, które mogłyby przekierować ruch na złośliwe trasy lub przekierować ruch do niepożądanych miejsc docelowych.
Poprawia bezpieczeństwo sieci IPv6: Zapobiegając nieautoryzowanemu dostępowi do wiadomości RA, RA Guard wzmacnia bezpieczeństwo sieci i gwarantuje, że tylko legalne routery mogą anonsować informacje o konfiguracji i routingu do urządzeń lokalnych.
Ochrona przed złośliwym przekierowaniem ruchu: Zapewniając, że wiadomości RA pochodzą z zaufanych źródeł, RA Guard chroni przed atakami typu man-in-the-middle i niechcianym przekierowaniem ruchu. Dzięki temu urządzenia w sieci podążają właściwymi ścieżkami routingu i zapobiegają potencjalnym lukom w zabezpieczeniach.
Ręczna konfiguracja dozwolonych routerów: RA Guard umożliwia administratorom sieci ręczną konfigurację dozwolonych routerów w tabeli autoryzowanych routerów. Daje to większą kontrolę nad tym, które routery mogą wysyłać komunikaty RA w sieci.

Wady korzystania z RA Guard

Dodatkowe ustawienia: Wdrożenie RA Guard wymaga dodatkowej konfiguracji na urządzeniach sieciowych, takich jak przełączniki lub bezprzewodowe punkty dostępowe. Może to być dodatkowy proces, który muszą wykonać administratorzy sieci, aby włączyć i utrzymać funkcjonalność RA Guard.
Złożoność: Niektóre wdrożenia RA Guard mogą być złożone, szczególnie w większych, bardziej złożonych sieciach. Może to wymagać głębszego zrozumienia konfiguracji sieci i zarządzania bezpieczeństwem.

Możliwy wpływ na łączność: Jeśli konfiguracja RA Guard nie zostanie wykonana prawidłowo, może to prowadzić do problemów z łącznością, takich jak blokowanie prawidłowych wiadomości RA. Może to negatywnie wpłynąć na normalne działanie urządzeń w sieci.

Oto niektóre rzeczywiste scenariusze, w których można wdrożyć RA Guard

Sieci biznesowe i korporacyjne

W sieciach korporacyjnych RA Guard służy do ochrony przed atakami polegającymi na zatruwaniu reklam routera. Zapewnia, że tylko legalne i autoryzowane routery mogą wysyłać reklamy routerów do urządzeń lokalnych, unikając ryzyka złośliwego przekierowania ruchu i wzmacniając bezpieczeństwo sieci.

Sieci dostawców usług (ISP).

Dostawcy usług mogą wdrożyć RA Guard w swoich sieciach, aby chronić swoich klientów przed atakami polegającymi na zatruwaniu reklam routera. Dzięki temu klienci otrzymają informacje o konfiguracji routingu wyłącznie od legalnych i zaufanych routerów.

Publiczne sieci bezprzewodowe i punkty dostępowe WiFi

W środowiskach z publicznymi sieciami bezprzewodowymi, takimi jak lotniska, hotele czy kawiarnie, wdrożenie RA Guard w punktach dostępu Wi-Fi pomaga chronić użytkowników przed potencjalnymi atakami polegającymi na zatruwaniu reklam routera. Poprawia to bezpieczeństwo połączenia i zapobiega przekierowywaniu użytkowników do złośliwych witryn.

Sieci akademickie i edukacyjne

W instytucjach edukacyjnych i akademickich RA Guard można wdrożyć w celu ochrony sieci i urządzeń studentów i pracowników przed atakami polegającymi na zatruwaniu reklam routera. Dzięki temu infrastruktura sieciowa i współdzielone zasoby są bezpieczne.

Centra danych i sieci w chmurze

W centrach danych i środowiskach chmurowych RA Guard służy do ochrony infrastruktury sieciowej i zasobów klientów przed potencjalnymi atakami. Zapewnia to integralność sieci i zapobiega złośliwej manipulacji reklamami routera.

Sieci IoT (Internet rzeczy).

W sieciach IoT, gdzie wiele urządzeń automatycznie komunikuje się za pomocą protokołu Neighbor Discovery Protocol (NDP), funkcja RA Guard jest niezbędna, aby zapobiegać atakom typu „ad trucizna” routera i zapewniać bezpieczeństwo urządzeń i całej sieci.

Przykłady konfiguracji

Następnie przyjrzyjmy się przykładowi konfiguracji RA Guard na przełączniku Cisco Catalyst przy wykorzystaniu protokołu IPv6 i systemu operacyjnego IOS-XE:

				
					# Acceder al modo de configuración global
configure terminal

# Habilitar RA Guard en una interfaz específica (por ejemplo, GigabitEthernet0/1)
interface GigabitEthernet0/1
  ipv6 nd ra guard

# Opcionalmente, configurar el modo de operación de RA Guard
# El modo "strict" (predeterminado) bloqueará todos los paquetes RA entrantes no válidos.
# El modo "loose" permitirá anuncios RA entrantes si la interfaz está configurada para ser un router legítimo.
interface GigabitEthernet0/1
  ipv6 nd ra guard mode strict

# Salir del modo de configuración de la interfaz
exit

# Aplicar la configuración a la interfaz y guardar la configuración
end
write memory

W tym przykładzie funkcja RA Guard jest włączona na interfejsie GigabitEthernet0/1. Dodatkowo tryb działania RA Guard jest ustawiony na „ścisły”, co oznacza, że będzie blokował wszystkie przychodzące pakiety RA, które są nieprawidłowe, czyli te, które nie pochodzą z legalnego routera.

Należy pamiętać, że dokładna konfiguracja może się różnić w zależności od modelu i wersji przełącznika Cisco, a także konkretnej topologii sieci. Ważne jest również, aby upewnić się, że legalne routery są poprawnie skonfigurowane w tabeli dozwolonych routerów, aby uniknąć niepożądanych problemów z łącznością.

Zawsze zaleca się przetestowanie i zweryfikowanie zachowania sieci po wdrożeniu RA Guard, aby upewnić się, że działa ono zgodnie z oczekiwaniami i nie wpływa negatywnie na legalny ruch w sieci.