الـ ACLs في IPv6 وفخ الـ Neighbor Discovery

enable
configure terminal
hostname R1
no ip domain-lookup
ipv6 unicast-routing
interface g0/0/0
ipv6 address 2001:db8:2::1/64
no shutdown
interface g0/0/1
ipv6 address 2001:db8:1::1/64
no shutdown
interface g0/0/2
ipv6 address 2001:db8:3::1/64
no shutdown
end

ipv6config 2001:db8:1::10/64 2001:db8:1::1

ipv6config 2001:db8:3::10/64 2001:db8:3::1

ipv6config 2001:db8:2::10/64 2001:db8:2::1

حيّاك الله. الـ ACL في IPv6 نفس الفكرة، مع أربع فروق. دايماً named، ما فيه أرقام. العناوين بشكل prefix وطول، ما فيه wildcard. تتطبّق بـ ipv6 traffic-filter، مو ip access-group. والفرق الأهم: في آخر كل list ثلاث أسطر مخفية: permit icmp any any nd-na، و permit icmp any any nd-ns، وبعدها deny ipv6 any any. ليش الـ ND؟ في IPv6 ما فيه ARP. الأجهزة تعرف عناوين الـ MAC حق بعض بـ neighbor solicitation و neighbor advertisement، وهي رسائل ICMPv6. فلو الـ ACL منعتها، الراوتر ما يقدر يعرف MAC الجهاز، وكل شي يوقف، حتى الترافيك المسموح. المعمل: R1 فيه ثلاث شبكات IPv6: الموظفين PC1، والضيوف PC2، والـ server SRV. والسياسة: الضيوف ما يوصلون للـ server. نتأكد إن الكل يوصل الحين.

ping 2001:db8:2::10

الضيوف يوصلون للـ server. مهندس كتب ACL، وكان يبغى يكون واضح، فكتب كل شي باليد: deny للضيوف على الـ server، وبعدها permit لـ ICMP echo عشان الـ ping، وفي الآخر deny ipv6 any any صريح. ونطبّقها داخلة على واجهة الضيوف.

configure terminal
ipv6 access-list GUEST
deny ipv6 2001:db8:3::/64 host 2001:db8:2::10
permit icmp any any echo-request
permit icmp any any echo-reply
deny ipv6 any any
interface g0/0/2
ipv6 traffic-filter GUEST in
end
clear ipv6 neighbors

ping 2001:db8:1::10

الضيوف ما يقدرون يوصلون حتى للموظفين، مع إن الـ echo مسموح. نشوف العدادات.

show ipv6 access-list GUEST

الـ echo-request عليه matches، يعني الـ ping عدّى للموظفين. لكن سطر deny ipv6 any any عليه matches كمان. اللي صار: الرد راجع من PC1، و R1 يبغى يرسله لـ PC2، فيسأل عن الـ MAC حقه بـ neighbor solicitation. و PC2 يجاوب بـ neighbor advertisement، داخلة على نفس الواجهة. والـ deny الصريح جاء قبل الأسطر المخفية، فرمى الجواب. فالراوتر ما يعرف يوصل لـ PC2 أبداً. الحين دورك. صلّح الـ ACL بدون ما تشيل الـ deny الأخير: أضف قبله سطرين يسمحون بـ nd-na و nd-ns. وتأكد إن PC2 يوصل للموظفين، وما يوصل للـ server. وقّف الفيديو، وجرّب.

تمرين: على R1: ipv6 access-list GUEST، وأضف قبل الـ deny الأخير: sequence 35 permit icmp any any nd-ns، و sequence 36 permit icmp any any nd-na. بعدها من PC2: ping 2001:db8:1::10 و ping 2001:db8:2::10.

الحل.

configure terminal
ipv6 access-list GUEST
sequence 35 permit icmp any any nd-ns
sequence 36 permit icmp any any nd-na
end

ping 2001:db8:1::10
ping 2001:db8:2::10

PC2 يوصل للموظفين، وما يوصل للـ server. والدرس: إذا كتبت deny ipv6 any any بيدك، لأي سبب، مثلاً عشان تضيف كلمة log، لازم تكتب قبله permit للـ nd-na والـ nd-ns. الخلاصة: IPv6 ACL named، بـ prefixes، و traffic-filter، وفي آخرها ND مسموح ضمنياً، والـ deny الصريح يلغي هذا. والدرس الجاي: uRPF، الحماية من العناوين المزوّرة.