Schutz Vor Dhcpv6-Server-Spoofing - Cisco 500 Serie Handbuch
Vorschau ausblenden
Andere Handbücher für 500 Serie:
- Administratorhandbuch (619 Seiten) ,
- Kurzanleitung (124 Seiten) ,
- Benutzerhandbuch (62 Seiten)
Inhaltsverzeichnis
Werbung
23
515
Administratorhandbuch für Managed Switches der Serien 200, 300 und 500 von Cisco Small Business (Interne Version)
Die NB-Integrität bietet wie folgt Schutz gegen solche Angriffe:
•
Wenn die jeweilige IPv6-Adresse nicht bekannt ist, wird die NS-Nachricht
(Nachbaranfragenachricht) nur auf innere Schnittstellen weitergeleitet.
•
Ist die jeweilige IPv6-Adresse bekannt, wird die NS-Nachricht nur an die
Schnittstelle weitergeleitet, an die die IPv6-Adresse gebunden ist.
•
Eine NA-Nachricht (Nachbarankündigungsnachricht) wird gelöscht, wenn
die IPv6-Zieladresse an eine andere Schnittstelle gebunden ist.
Schutz vor Spoofing beim Erkennen doppelter IPv6-
Adressen
Ein IPv6-Host muss die Erkennung doppelter Adressen für jede zugewiesene
IPv6-Adresse durchführen, indem er eine spezielle NS-Nachricht versendet
(Nachbaranfragenachricht für Duplicate Address Detection (DAD_NS)).
Ein böswilliger Host könnte eine Antwort auf eine DAD_RS-Nachricht versenden
und sich damit selbst als IPv6-Host mit der jeweiligen IPv6-Adresse ausgeben.
Die NB-Integrität bietet wie folgt Schutz gegen solche Angriffe:
•
Wenn die jeweilige IPv6-Adresse nicht bekannt ist, wird die DAD_NS-
Nachricht nur auf innere Schnittstellen weitergeleitet.
•
Ist die jeweilige IPv6-Adresse bekannt, wird die DAD_NS-Nachricht nur an
die Schnittstelle weitergeleitet, an die die IPv6-Adresse gebunden ist.
•
Eine NA-Nachricht wird gelöscht, wenn die IPv6-Zieladresse an eine
andere Schnittstelle gebunden ist.
Schutz vor DHCPv6-Server-Spoofing
Ein IPv6-Host kann das DHCPv6-Protokoll für Folgendes verwenden:
•
Statusfreie Informationskonfiguration
•
Statushaltige Adresskonfiguration
Ein böswilliger Host könnte Antworten auf DHCPv6-Nachrichten versenden, sich
damit als DHCPv6-Server ausgeben und gefälschte statusfreie Informationen und
IPv6-Adressen bereitstellen. DHCPv6 Guard bietet Schutz vor solchen Angriffen,
indem die Schnittstellenrolle für alle Ports, mit denen sich DHCPv6-Server nicht
verbinden können, als Client-Port konfiguriert wird.
Sicherheit: IPv6-Sicherheit des ersten Hops
Schutz vor Angriffen
Werbung
Inhaltsverzeichnis
