RA-Guard trên IPv6

Ingrid Espinoza
August 3 2023
1: 22 pm
không có lời bình luận nào

RA Guard là tính năng bảo mật IPv6 giúp bảo vệ mạng khỏi các cuộc tấn công định tuyến. RA Guard hoạt động bằng cách chặn các tin nhắn yêu cầu định tuyến (RA) trái phép từ bộ định tuyến.

Ở cuối bài viết, bạn sẽ tìm thấy một phần nhỏ thử nghiệm điều đó sẽ cho phép bạn đánh giá kiến thức thu được trong bài đọc này

Đi kiểm tra

Các thông báo RA được sử dụng để cung cấp thông tin định tuyến đến các máy chủ, chẳng hạn như địa chỉ bộ định tuyến mặc định và mặt nạ mạng con. RA Guard giúp bảo vệ mạng khỏi các cuộc tấn công định tuyến bằng cách chặn các tin nhắn RA trái phép, điều này có thể giúp ngăn chặn kẻ tấn công chiếm quyền kiểm soát định tuyến mạng.

RA Guard có thể được kích hoạt trên các bộ định tuyến IPv6. Khi RA Guard được bật, bộ định tuyến sẽ chỉ gửi tin nhắn RA đến các máy chủ nằm trên mạng con của nó. Tin nhắn RA từ các bộ định tuyến không nằm trên mạng con của máy chủ sẽ bị RA Guard chặn.

RA Guard là một tính năng bảo mật quan trọng có thể giúp bảo vệ mạng khỏi các cuộc tấn công định tuyến. RA Guard phải được kích hoạt trên tất cả các bộ định tuyến IPv6 để mang lại khả năng bảo vệ tối đa.

Hoạt động RA-Guard

Dưới đây là giải thích chi tiết về cách hoạt động của RA Guard:

1. Khám phá bộ định tuyến

Khi các thiết bị tham gia mạng IPv6, chúng sử dụng Giao thức Khám phá Hàng xóm (NDP) để khám phá các bộ định tuyến trên phân đoạn mạng. Bộ định tuyến gửi tin nhắn Quảng cáo Bộ định tuyến (RA) định kỳ để thông báo sự hiện diện của chúng và cung cấp thông tin cấu hình mạng.

2. Bảo vệ chống lại các cuộc tấn công đầu độc quảng cáo trên bộ định tuyến

Kẻ tấn công có thể cố gắng gửi các tin nhắn RA giả mạo, giả vờ là một bộ định tuyến hợp pháp. Để ngăn chặn điều này, các bộ chuyển mạch hoặc điểm truy cập không dây hỗ trợ RA Guard sẽ kiểm tra các tin nhắn RA đến và xác minh xem chúng có đến từ nguồn hợp pháp hay không.

3. Bảng bộ định tuyến được phép

LBộ chuyển mạch hoặc điểm truy cập không dây triển khai RA Guard duy trì Bảng Bộ định tuyến được phép chứa địa chỉ IPv6 và giao diện MAC của bộ định tuyến được ủy quyền. Các bộ định tuyến hợp pháp này là những bộ định tuyến đã được cấu hình thủ công hoặc được phát hiện thông qua các phương pháp tự động cấu hình mạng an toàn khác.

4. Từ chối các tin nhắn RA trái phép

Khi một bộ chuyển mạch hoặc điểm truy cập nhận được tin nhắn RA, nó sẽ kiểm tra xem người gửi (bộ định tuyến) có nằm trong bảng bộ định tuyến được phép hay không. Nếu bộ định tuyến không có trong bảng, thông báo RA được coi là trái phép và bị loại bỏ. Điều này đảm bảo rằng chỉ những bộ định tuyến hợp pháp mới có thể gửi tin nhắn RA tới mạng.

Mẹo kích hoạt RA Guard

Xem tài liệu của bộ định tuyến để biết hướng dẫn cách bật RA Guard.
Đảm bảo bạn bật RA Guard trên tất cả các bộ định tuyến trên mạng của mình.
Tạo chính sách bảo mật cho RA Guard và đảm bảo chính sách đó tuân thủ chính sách đó.
Giám sát mạng của bạn để phát hiện bất kỳ dấu hiệu hoạt động đáng ngờ nào.

Ưu điểm của việc sử dụng RA Guard

Bảo vệ chống lại các cuộc tấn công đầu độc quảng cáo trên bộ định tuyến: Ưu điểm chính của RA Guard là nó bảo vệ mạng khỏi các cuộc tấn công đầu độc quảng cáo trên bộ định tuyến. Bằng cách xác minh tính xác thực của các tin nhắn Quảng cáo Bộ định tuyến (RA) đến, RA Guard ngăn các bộ định tuyến trái phép gửi các quảng cáo giả mạo có thể chuyển hướng lưu lượng truy cập đến các tuyến độc hại hoặc chuyển hướng lưu lượng truy cập đến các điểm đến không mong muốn.
Cải thiện bảo mật mạng IPv6: Bằng cách ngăn chặn truy cập trái phép vào các tin nhắn RA, RA Guard tăng cường bảo mật mạng và đảm bảo rằng chỉ các bộ định tuyến hợp pháp mới có thể quảng cáo thông tin cấu hình và định tuyến đến các thiết bị cục bộ.
Bảo vệ chống chuyển hướng lưu lượng truy cập độc hại: Bằng cách đảm bảo rằng các tin nhắn RA đến từ các nguồn đáng tin cậy, RA Guard bảo vệ khỏi các cuộc tấn công trung gian và chuyển hướng lưu lượng truy cập không mong muốn. Điều này đảm bảo rằng các thiết bị trên mạng đi theo đường dẫn định tuyến chính xác và ngăn ngừa các lỗ hổng bảo mật tiềm ẩn.
Cấu hình thủ công các bộ định tuyến được phép: RA Guard cho phép quản trị viên mạng định cấu hình thủ công các bộ định tuyến được phép trong bảng bộ định tuyến được ủy quyền. Điều này cho phép kiểm soát tốt hơn việc bộ định tuyến nào có thể gửi tin nhắn RA trên mạng.

Nhược điểm của việc sử dụng RA Guard

Cài đặt thêm: Việc triển khai RA Guard yêu cầu cấu hình bổ sung trên các thiết bị mạng, chẳng hạn như bộ chuyển mạch hoặc điểm truy cập không dây. Đây có thể là một quy trình bổ sung mà quản trị viên mạng phải thực hiện để kích hoạt và duy trì chức năng RA Guard.
Độ phức tạp: Một số triển khai RA Guard có thể phức tạp, đặc biệt là trên các mạng lớn hơn, phức tạp hơn. Điều này có thể đòi hỏi sự hiểu biết sâu sắc hơn về cấu hình mạng và quản lý bảo mật.

Tác động có thể xảy ra đối với kết nối: Nếu cấu hình RA Guard không được thực hiện đúng cách, nó có thể dẫn đến các sự cố kết nối như chặn các tin nhắn RA hợp pháp. Điều này có thể ảnh hưởng tiêu cực đến hoạt động bình thường của các thiết bị trên mạng.

Một số tình huống thực tế có thể triển khai RA Guard bao gồm

Mạng doanh nghiệp và doanh nghiệp

Trong mạng doanh nghiệp, RA Guard được sử dụng để bảo vệ chống lại các cuộc tấn công đầu độc quảng cáo trên bộ định tuyến. Đảm bảo rằng chỉ các bộ định tuyến hợp pháp và được ủy quyền mới có thể gửi quảng cáo bộ định tuyến đến các thiết bị cục bộ, tránh nguy cơ chuyển hướng lưu lượng độc hại và tăng cường bảo mật mạng.

Mạng của nhà cung cấp dịch vụ (ISP)

Các nhà cung cấp dịch vụ có thể triển khai RA Guard trên mạng của họ để bảo vệ khách hàng khỏi các cuộc tấn công đầu độc quảng cáo trên bộ định tuyến. Điều này đảm bảo rằng khách hàng chỉ nhận được thông tin cấu hình định tuyến từ các bộ định tuyến hợp pháp và đáng tin cậy.

Mạng không dây công cộng và điểm truy cập WiFi

Trong môi trường có mạng không dây công cộng, chẳng hạn như sân bay, khách sạn hoặc quán cà phê, việc triển khai RA Guard trên các điểm truy cập WiFi giúp bảo vệ người dùng trước các cuộc tấn công tiềm ẩn gây ngộ độc quảng cáo trên bộ định tuyến. Điều này cải thiện bảo mật kết nối và ngăn người dùng bị chuyển hướng đến các trang web độc hại.

Mạng lưới học thuật và giáo dục

Trong các tổ chức giáo dục và học thuật, RA Guard có thể được triển khai để bảo vệ mạng và thiết bị của sinh viên và nhân viên trước các cuộc tấn công đầu độc quảng cáo trên bộ định tuyến. Điều này đảm bảo rằng cơ sở hạ tầng mạng và tài nguyên được chia sẻ được an toàn và bảo mật.

Trung tâm dữ liệu và mạng đám mây

Trong môi trường trung tâm dữ liệu và đám mây, RA Guard được sử dụng để bảo vệ cơ sở hạ tầng mạng và tài nguyên của khách hàng trước các cuộc tấn công tiềm ẩn. Điều này đảm bảo tính toàn vẹn của mạng và ngăn chặn hành vi thao túng độc hại đối với các quảng cáo trên bộ định tuyến.

Mạng IoT (Internet vạn vật)

Trong mạng IoT, nơi nhiều thiết bị tự động giao tiếp bằng Giao thức Khám phá Hàng xóm (NDP), RA Guard rất cần thiết để ngăn chặn các cuộc tấn công đầu độc quảng cáo trên bộ định tuyến và đảm bảo tính bảo mật của thiết bị cũng như mạng tổng thể.

Ví dụ về cấu hình

Tiếp theo, hãy xem ví dụ về cách cấu hình RA Guard trên switch Chất xúc tác của Cisco sử dụng giao thức IPv6 và hệ điều hành IOS-XE:

				
					# Acceder al modo de configuración global
configure terminal

# Habilitar RA Guard en una interfaz específica (por ejemplo, GigabitEthernet0/1)
interface GigabitEthernet0/1
  ipv6 nd ra guard

# Opcionalmente, configurar el modo de operación de RA Guard
# El modo "strict" (predeterminado) bloqueará todos los paquetes RA entrantes no válidos.
# El modo "loose" permitirá anuncios RA entrantes si la interfaz está configurada para ser un router legítimo.
interface GigabitEthernet0/1
  ipv6 nd ra guard mode strict

# Salir del modo de configuración de la interfaz
exit

# Aplicar la configuración a la interfaz y guardar la configuración
end
write memory

Trong ví dụ này, RA Guard được kích hoạt trên giao diện GigabitEthernet0/1. Ngoài ra, chế độ vận hành RA Guard được đặt thành “nghiêm ngặt”, có nghĩa là nó sẽ chặn tất cả các gói RA đến không hợp lệ, tức là những gói không đến từ bộ định tuyến hợp pháp.

Điều quan trọng cần lưu ý là cấu hình chính xác có thể khác nhau tùy thuộc vào kiểu máy và phiên bản của bộ chuyển mạch Cisco, cũng như cấu trúc liên kết mạng cụ thể. Điều cần thiết là phải đảm bảo rằng các bộ định tuyến hợp pháp được cấu hình chính xác trong Bảng Bộ định tuyến được phép để tránh các sự cố kết nối không mong muốn.

Bạn nên kiểm tra và xác minh hành vi mạng sau khi triển khai RA Guard để đảm bảo rằng nó hoạt động như mong đợi và không tác động tiêu cực đến lưu lượng truy cập hợp pháp trên mạng.