Настройка функционала First Hop Security на MES2300/3300/5324

Пакет функций First Hop Security включает в себя анализатор DHCPv6-пакетов, IPv6 Source Guard, ND Inspection и RA Guard. Данный набор функций предназначен для обеспечения контроля и фильтрации IPv6 трафика в сети.

• Анализатор DHCPv6 пакетов позволяет добавлять соседей в таблицу привязок IPv6 binding table при получении адреса по DHCP, а также позволяет бороться с недоверенными DHCPv6 серверами.
• IPv6 Source Guard позволяет устройству отклонять трафик, если он исходит от адреса, который не сохранен в IPv6 binding table. Таблица привязок соседей IPv6 binding table, подключенных к устройству, создается из таких источников информации, как отслеживание по протоколу обнаружения соседей (NDP).
• С помощью функции ND Inspection коммутатор проверяет сообщения NS (Neighbor Solicitation) и NA (Neighbor Advertisement) и сохраняет их в IPv6 binding table. На основании таблицы коммутатор от-брасывает любые поддельные сообщения NS / NA.
• Функционал RA Guard позволяет блокировать или отклонять нежелательные или посторонние со-общения Router Advertisement (RA), поступающие на коммутатор от маршрутизатора.

• DHCPv6 Snooping, LDRA

Создаем политику, указываем в ней роль, которая будет назначена uplink-интерфейсу в сторону DHCPv6-сервера

console(config)# ipv6 dhcp guard policy DHCP_RELAY_TRUST
console(config-dhcp-guard)# device-role server

Настраиваем на клиентском порту добавление опций

console(config)# interface gigabitethernet1/0/1
console(config-if)# ipv6 dhcp relay information option format-type interface-id Gi12
console(config-if)# ipv6 dhcp relay information option format-type remote-id MES2324

На порт в сторону сервера привязываем созданную политику, делая его trust портом

console(config)# interface gigabitethernet1/0/2
console(config-if)# ipv6 dhcp guard attach-policy DHCP_RELAY_TRUST

На interface vlan включаем IPv6, включаем функционал IPv6 DHCP guard, включаем общий функционал FHS и LDRA

console(config)# interface vlan 1
console(config-if)# ipv6 enable
console(config-if)# ipv6 dhcp guard
console(config-if)# ipv6 first hop security
console(config-if)# ipv6 dhcp ldra