RA-การ์ด

RA-Guard (ยามโฆษณาเราเตอร์) เป็นคุณลักษณะด้านความปลอดภัยใน IPv6 ที่ช่วยป้องกันการโจมตีเราเตอร์ปลอมแปลง และช่วยให้มั่นใจได้ว่าเฉพาะโฆษณาเราเตอร์ที่ถูกต้องเท่านั้นที่จะได้รับการประมวลผลและยอมรับโดยโหนดบนเครือข่าย

RA-Guard ถูกปรับใช้บนอุปกรณ์เครือข่ายและตรวจสอบข้อความโฆษณาเราเตอร์ (RA) เพื่อตรวจจับและบล็อกโฆษณาเราเตอร์ที่ไม่ได้รับอนุญาตหรือเป็นอันตราย

เมื่อเปิดใช้งาน RA-Guard บนอุปกรณ์เครือข่าย ระบบจะวิเคราะห์ข้อความ RA ที่ได้รับและเปรียบเทียบข้อมูลในข้อความเหล่านั้นกับรายการเราเตอร์ที่ได้รับอนุญาต หากข้อความ RA ไม่ตรงกับเราเตอร์ที่ได้รับอนุญาตหรือแสดงคุณลักษณะที่น่าสงสัย อุปกรณ์สามารถบล็อกข้อความ RA เพิกเฉย หรือดำเนินการรักษาความปลอดภัยอื่นๆ ที่กำหนดไว้ในการตั้งค่า

เทคนิคการระบุและบล็อก

RA-Guard ใช้เทคนิคหลายประการในการระบุและบล็อกโฆษณาเราเตอร์ที่ถูกปลอมแปลง ได้แก่:

การกรองแหล่งที่มา

RA-Guard ตรวจสอบที่อยู่ต้นทางของข้อความ RA และเปรียบเทียบที่อยู่นี้กับรายการเราเตอร์ที่ได้รับอนุญาต หากที่อยู่ต้นทางไม่ตรงกัน ข้อความ RA อาจถูกพิจารณาว่าไม่ได้รับอนุญาตและถูกบล็อก

การตรวจสอบตัวเลือก RA

RA-Guard ตรวจสอบตัวเลือกที่รวมอยู่ในข้อความ RA เพื่อตรวจจับตัวเลือกที่น่าสงสัยหรือไม่เข้ากันกับการกำหนดค่าที่คาดไว้ ตัวอย่างเช่น หากพบตัวเลือกที่ไม่คาดคิดหรือการกำหนดค่าที่ไม่ถูกต้อง ข้อความ RA อาจถูกพิจารณาว่าไม่ได้รับอนุญาต

ความถี่และรูปแบบของข้อความ RA

RA-Guard ยังสามารถวิเคราะห์ความถี่และรูปแบบของข้อความ RA ที่ได้รับ หากตรวจพบข้อความ RA จำนวนมากในช่วงเวลาสั้นๆ หรือมีรูปแบบข้อความ RA ที่ผิดปกติ อุปกรณ์อาจดำเนินการบล็อกหรือจำกัดข้อความที่น่าสงสัย

การใช้งาน RA-Guard อาจแตกต่างกันไปขึ้นอยู่กับอุปกรณ์และผู้ผลิตเฉพาะ อุปกรณ์เครือข่ายบางชนิดมี RA-Guard ในตัวเป็นฟังก์ชันการทำงานแบบเนทิฟ ในขณะที่อุปกรณ์อื่นๆ อาจต้องการให้คุณเปิดใช้งานและกำหนดค่า RA-Guard อย่างชัดเจน

RA-Guard เป็นมาตรการรักษาความปลอดภัยที่มีประสิทธิภาพในการลดความเสี่ยงที่เกี่ยวข้องกับโฆษณาเราเตอร์ปลอมแปลง และปกป้องเครือข่าย IPv6 จากการโจมตีเราเตอร์ที่ไม่ได้รับอนุญาต ด้วยการเปิดใช้งาน RA-Guard โหนดเครือข่ายสามารถเชื่อถือข้อความ RA ที่ถูกต้องตามกฎหมาย และมั่นใจได้ว่าเราเตอร์เครือข่ายได้รับความไว้วางใจและได้รับการรับรองความถูกต้อง

DHCPv6 ปลอดภัย

DHCPv6 Secure เป็นคุณสมบัติความปลอดภัย IPv6 ที่ให้การรับรองความถูกต้องและการอนุญาตไคลเอ็นต์ DHCPv6 ช่วยให้คุณสามารถยืนยันตัวตนของไคลเอนต์ DHCPv6 และรับรองว่าเฉพาะไคลเอนต์ที่ได้รับอนุญาตเท่านั้นที่สามารถรับที่อยู่ IPv6 และการกำหนดค่าเครือข่าย

ต่อไปนี้เป็นข้อมูลเชิงลึกเกี่ยวกับวิธีการทำงาน DHCPv6 ปลอดภัย:

การรับรองความถูกต้องไคลเอ็นต์ DHCPv6

DHCPv6 Secure ใช้เทคนิคการรับรองความถูกต้องเพื่อตรวจสอบข้อมูลประจำตัวของไคลเอ็นต์ DHCPv6 ขึ้นอยู่กับการใช้ใบรับรอง X.509 และลายเซ็นดิจิทัลในการตรวจสอบสิทธิ์ไคลเอ็นต์ ไคลเอนต์ DHCPv6 แต่ละตัวมีใบรับรองดิจิทัลที่ไม่ซ้ำกันซึ่งลงนามโดยผู้ออกใบรับรอง (CA) ที่เชื่อถือได้

การอนุญาตไคลเอ็นต์ DHCPv6

นอกเหนือจากการตรวจสอบสิทธิ์แล้ว DHCPv6 Secure ยังอนุญาตให้มีการอนุญาตไคลเอ็นต์อีกด้วย ซึ่งหมายความว่าไม่เพียงแต่จะยืนยันตัวตนของลูกค้าเท่านั้น แต่ยังได้รับการตรวจสอบเพื่อดูว่าไคลเอนต์มีสิทธิ์ที่จำเป็นในการรับที่อยู่ IPv6 และการกำหนดค่าเครือข่ายที่เกี่ยวข้องหรือไม่

การโต้ตอบกับโครงสร้างพื้นฐานคีย์สาธารณะ (PKI)

DHCPv6 Secure ผสานรวมกับโครงสร้างพื้นฐานคีย์สาธารณะ (PKI) เพื่อจัดการใบรับรองและคีย์สาธารณะและคีย์ส่วนตัวที่จำเป็นสำหรับการตรวจสอบสิทธิ์และการเซ็นชื่อดิจิทัล สิ่งนี้เกี่ยวข้องกับการกำหนดค่า CA ภายในหรือใช้ CA ที่เชื่อถือได้ภายนอกเพื่อออกและจัดการใบรับรองไคลเอ็นต์ DHCPv6

กระบวนการรับที่อยู่ IPv6

เมื่อไคลเอนต์ DHCPv6 เริ่มกระบวนการรับที่อยู่ IPv6 และการตั้งค่าเครือข่าย ไคลเอ็นต์จะส่งคำขอ DHCPv6 ไปยังเซิร์ฟเวอร์ DHCPv6 คำขอนี้มีข้อมูลที่จำเป็นสำหรับการตรวจสอบสิทธิ์ เช่น ใบรับรองของลูกค้าและลายเซ็นดิจิทัล

การตรวจสอบใบรับรองและลายเซ็นดิจิทัล

เซิร์ฟเวอร์ DHCPv6 จะตรวจสอบใบรับรองของลูกค้าและลายเซ็นดิจิทัลโดยใช้โครงสร้างพื้นฐานคีย์สาธารณะ (PKI) ที่กำหนดค่าไว้ ตรวจสอบความถูกต้องของใบรับรอง เพื่อให้แน่ใจว่ามาจาก CA ที่เชื่อถือได้และไม่ถูกเพิกถอน นอกจากนี้ยังตรวจสอบความถูกต้องของลายเซ็นดิจิทัลเพื่อให้แน่ใจว่าไม่ได้รับการแก้ไขระหว่างการขนส่ง

การตรวจสอบการอนุญาต

เมื่อไคลเอ็นต์ DHCPv6 ได้รับการตรวจสอบสิทธิ์เรียบร้อยแล้ว เซิร์ฟเวอร์ DHCPv6 จะทำการตรวจสอบสิทธิ์เพื่อตรวจสอบว่าไคลเอ็นต์มีสิทธิ์ที่จำเป็นในการรับที่อยู่ IPv6 และการตั้งค่าเครือข่ายที่เกี่ยวข้องหรือไม่ ขึ้นอยู่กับนโยบายการอนุญาตที่กำหนดไว้บนเซิร์ฟเวอร์ DHCPv6

การกำหนดที่อยู่ IPv6 และการกำหนดค่าเครือข่าย

หากไคลเอนต์ DHCPv6 ได้รับการตรวจสอบสิทธิ์และอนุญาตเรียบร้อยแล้ว เซิร์ฟเวอร์ DHCPv6 จะกำหนดที่อยู่ IPv6 และจัดเตรียมการกำหนดค่าเครือข่ายที่สอดคล้องกันให้กับไคลเอนต์ การตั้งค่าเหล่านี้อาจรวมถึงข้อมูลต่างๆ เช่น ซับเน็ตมาสก์ เกตเวย์เริ่มต้น เซิร์ฟเวอร์ DNS และพารามิเตอร์เครือข่ายอื่นๆ

การต่ออายุและการตรวจสอบเป็นระยะ

DHCPv6 Secure ยังมีกลไกในการต่ออายุและตรวจสอบที่อยู่ IPv6 และการกำหนดค่าเครือข่ายที่กำหนดให้กับไคลเอนต์เป็นระยะๆ สิ่งนี้ทำให้มั่นใจได้ว่าเฉพาะลูกค้าที่ได้รับอนุญาตเท่านั้นที่สามารถรักษาและใช้ที่อยู่และการตั้งค่าที่กำหนดเมื่อเวลาผ่านไป

การปรับใช้ DHCPv6 Secure จำเป็นต้องมีการกำหนดค่าที่เหมาะสมของโครงสร้างพื้นฐานคีย์สาธารณะ (PKI) การสร้างและการจัดการใบรับรอง และการกำหนดค่านโยบายการตรวจสอบสิทธิ์และการอนุญาตบนเซิร์ฟเวอร์ DHCPv6 ไคลเอนต์ DHCPv6 แต่ละตัวจะต้องมีใบรับรองที่ถูกต้องและลงนามคำขอ DHCPv6 แบบดิจิทัลเพื่อให้เซิร์ฟเวอร์ DHCPv6 ตรวจสอบสิทธิ์อย่างถูกต้อง