Schutz Vor Nbd-Cache-Spoofing; Richtlinien, Globale Parameter Und Systemstandardeinstellungen - Cisco 500 Serie Handbuch

Sicherheit: IPv6-Sicherheit des ersten Hops

Richtlinien, globale Parameter und Systemstandardeinstellungen

Richtlinien, globale Parameter und Systemstandardeinstellungen
Administratorhandbuch für Managed Switches der Serien 200, 300 und 500 von Cisco Small Business (Interne Version)

Schutz vor NBD-Cache-Spoofing

Ein IPv6-Router unterstützt den Cache für das Nachbarerkennungsprotokoll (NDP),
das die IPv6-Adresse für das letzte Hop-Routing mit der MAC-Adresse verknüpft.
Ein böswilliger Host könnte IPv6-Nachrichten mit einer abweichenden IPv6-
Zieladresse für die Weiterleitung des letzten Hops versenden und damit einen
Overflow des NBD-Cache bewirken.
Ein eingebettetes Verfahren in der NDP-Implementierung, das die Anzahl der
zulässigen Einträge mit dem Status „Unvollständig" (INCOMPLETE) im
Nachbarerkennungs-Cache begrenzt, sorgt für den nötigen Schutz.
Jede Funktion von FHS kann einzeln aktiviert und deaktiviert werden. Keine
Funktion wird standardmäßig aktiviert.
Die Funktionen müssen anfänglich auf spezifischen VLANs aktiviert werden. Wenn
Sie diese Funktion aktivieren, können Sie außerdem globale Konfigurationswerte
für die Prüfregeln dieser Funktion definieren. Wenn Sie keine Richtlinie mit
abweichenden Werten für diese Prüfregeln definieren, werden die globalen Werte
verwendet, um die Funktion auf die Pakete anzuwenden.
Richtlinien
Richtlinien enthalten die Prüfregeln, die auf Eingabepaketen ausgeführt werden.
Sie können an VLANs, Ports und LAGs angehängt werden. Sollte die Funktion auf
einem VLAN nicht aktiviert sein, haben die Richtlinien keine Wirkung.
Richtlinien können entweder durch den Benutzer definiert werden, oder es handelt
sich um Standardrichtlinien (siehe unten).
Standardrichtlinien
Für jede FHS-Funktion sind leere Standardrichtlinien vorhanden, die
standardmäßig auf alle VLANs und Schnittstellen angewendet werden. Die
Standardrichtlinien werden wie folgt benannt: „vlan_default" und „port_default" (für
jede Funktion):
• Sie können diese Standardrichtlinien um Regeln erweitern. Es ist jedoch
nicht möglich, Standardrichtlinien manuell an Schnittstellen anzuhängen. Sie
werden standardmäßig angehängt.
23
516