IPv6 First-Hop Security: RA Guard و DHCPv6 Guard و Source Guard

حيّاك الله. في IPv4، الحماية في الـ first hop معروفة: DHCP snooping، و dynamic ARP inspection، و IP source guard. وفي IPv6 نفس المشاكل، بأسماء جديدة. والأخطر: الـ router advertisement. أي جهاز يرسل RA يقول: أنا الـ gateway، وهذا الـ prefix. والأجهزة اللي على SLAAC تصدّقه، وتبني عنوان منه، وترسل ترافيكها له. المعمل: R1 هو الـ gateway الشرعي، و prefix الشبكة two thousand one colon D B eight colon ten double colon slash sixty four. وأحد ركّب راوتر، اسمه ROGUE، على بورت مستخدم، ويعلن prefix ثاني: two thousand one colon D B eight colon B A D double colon slash sixty four. و PC1 على SLAAC. نشوف عناوينه.

ipv6config

PC1 أخذ عنوان من two thousand one colon D B eight colon B A D، والـ gateway حقه عنوان link-local حق الراوتر الدخيل، مو R1. يعني كل ترافيكه يروح للمهاجم. الحل على الـ switch: ipv6 nd raguard على بورتات المستخدمين، Fa zero slash one و Fa zero slash two. والبورت اللي رايح لـ R1، Gi zero slash one، ما نحط عليه شي، لأنه البورت الوحيد المسموح منه RA.

enable
configure terminal
interface range fa0/1 - 2
ipv6 nd raguard
ipv6 dhcp guard
end

ipv6config auto
ipv6config

PC1 الحين عنده عنوان من two thousand one colon D B eight colon ten بس، لأن الـ switch يرمي أي RA جاي من بورت مستخدم. وطبّقنا كمان ipv6 dhcp guard على نفس البورتات: نفس الفكرة لـ DHCPv6، ما نقبل ردود DHCPv6 server من بورت مستخدم. نشوف الحالة.

show ipv6 first-hop security

Fa zero slash one و Fa zero slash two عليهم RA Guard و DHCP Guard. والأداة الثالثة: Source Guard. البورت يقبل packets بس من العنوان والـ MAC المسجّلين له. والتسجيل إما تلقائي من DHCPv6 أو الـ ND، أو ثابت بيدك، وهذا الأنسب للـ server ات. الحين دورك. اعرف MAC الـ server بـ ipconfig slash all على SRV، وسجّل binding ثابت لـ two thousand one colon D B eight colon ten double colon one hundred على Fa zero slash three، وفعّل ipv6 source-guard على البورت. وتأكد إن الـ server للحين يوصل لـ R1. وقّف الفيديو، وجرّب.

تمرين: على SRV: ipconfig /all وخذ الـ MAC. على SW: ipv6 source binding 2001:db8:10::100 <MAC> vlan 1 interface fa0/3، و interface fa0/3 ← ipv6 source-guard. بعدها ping 2001:db8:10::1 من SRV.

الحل.

ipconfig /all
ping 2001:db8:10::1

configure terminal
ipv6 source binding 2001:db8:10::100 0050.0f00.0028 vlan 1 interface fa0/3
interface fa0/3
ipv6 source-guard
end

الـ binding مسجّل، والـ server يوصل لـ R1. ولو أحد شال الـ server وركّب جهاز ثاني بعنوانه، ما يمر، لأن الـ MAC ما يطابق. الخلاصة: RA Guard و DHCPv6 Guard على بورتات المستخدمين، و Source Guard للأجهزة الثابتة، وكلها في الـ access switch. وبهذا نختم محور Infrastructure Security. والدرس الجاي نبدأ المحور الأخير: Infrastructure Services.