Пакет функций First Hop Security включает в себя анализатор DHCPv6-пакетов, IPv6 Source Guard, ND Inspection и RA Guard. Данный набор функций предназначен для обеспечения контроля и фильтрации IPv6 трафика в сети.
- Анализатор DHCPv6 пакетов позволяет добавлять соседей в таблицу привязок IPv6 binding table при получении адреса по DHCP, а также позволяет бороться с недоверенными DHCPv6 серверами.
- IPv6 Source Guard позволяет устройству отклонять трафик, если он исходит от адреса, который не сохранен в IPv6 binding table. Таблица привязок соседей IPv6 binding table, подключенных к устройству, создается из таких источников информации, как отслеживание по протоколу обнаружения соседей (NDP).
- С помощью функции ND Inspection коммутатор проверяет сообщения NS (Neighbor Solicitation) и NA (Neighbor Advertisement) и сохраняет их в IPv6 binding table. На основании таблицы коммутатор от-брасывает любые поддельные сообщения NS / NA.
- Функционал RA Guard позволяет блокировать или отклонять нежелательные или посторонние со-общения Router Advertisement (RA), поступающие на коммутатор от маршрутизатора.
- DHCPv6 Snooping, LDRA
Создаем политику, указываем в ней роль, которая будет назначена uplink-интерфейсу в сторону DHCPv6-сервера
console(config)# ipv6 dhcp guard policy DHCP_RELAY_TRUSTconsole(config-dhcp-guard)# device-role server
Настраиваем на клиентском порту добавление опций
console(config)# interface gigabitethernet1/0/1console(config-if)# ipv6 dhcp relay information option format-type interface-id Gi12console(config-if)# ipv6 dhcp relay information option format-type remote-id MES2324
На порт в сторону сервера привязываем созданную политику, делая его trust портом
console(config)# interface gigabitethernet1/0/2console(config-if)# ipv6 dhcp guard attach-policy DHCP_RELAY_TRUST
На interface vlan включаем IPv6, включаем функционал IPv6 DHCP guard, включаем общий функционал FHS и LDRA
console(config)# interface vlan 1console(config-if)# ipv6 enableconsole(config-if)# ipv6 dhcp guardconsole(config-if)# ipv6 first hop securityconsole(config-if)# ipv6 dhcp ldra
- IPv6 Source Guard
Создаем политику, где включаем добавление записей в таблицу привязки соседей на основании DHCPv6 Reply. При этом все Link-local IPv6-адреса вносятся в таблицу привязки соседей по умолчанию в результате анализа ICMPv6-пакетов.
А также включаем логирование сообщений добавления соседей в таблицу.
console(config)# ipv6 neighbor binding policy NeiBPolconsole(config-nbr-binding)# logging binding enable console(config-nbr-binding)# address-config dhcp
Создаем политику, где определяем доверенный порт. Данная политика применяется на порт, на котором не должен отрабатывать функционал Source Guard и порт является доверенным.
console(config)# ipv6 source guard policy DHCPPolconsole(config-nbr-srcgrd)# trusted-port
Включаем логирование отбрасываемых пакетов
console(config)# ipv6 first hop security logging packet drop
Привязываем созданную политику привязки соседей на клиентский порт
console(config)# interface gigabitethernet1/0/12 console(config-if)# ipv6 neighbor binding attach-policy NeiBPol
Привязываем созданную политику c указанием trust порта
console(config)# interface gigabitethernet1/0/24 console(config-if)# ipv6 source guard attach-policy DHCPPol
Включаем функционал FHS, IPv6 SG, IPv6 NB на VLANconsole(config)# interface vlan 1console(config-if)# ipv6 first hop securityconsole(config-if)# ipv6 neighbor bindingconsole(config-if)# ipv6 source guard