Cisco Small Business 300 Serie Administratorhandbuch Seite 447

Sicherheit: IPv6-Sicherheit des ersten Hops
Sicherheit des ersten Hops – Übersicht
Administratorhandbuch für Managed Switches der Serien 200, 300 und 500 von Cisco Small Business (Interne Version)
Weitergeleitete RA-, CPA- und ICMPv6-Weiterleitungsnachrichten werden an die
RA Guard-Funktion weitergeleitet. RA Guard validiert diese Nachrichten, löscht
ungültige Nachrichten und leitet zulässige Nachrichten an die ND-Prüffunktion
weiter.
Die ND-Prüfung validiert diese Nachrichten, löscht ungültige Nachrichten und leitet
zulässige Nachrichten an die IPv6 Source Guard-Funktion weiter.
Weitergeleitete DHCPv6-Nachrichten werden an die DHCPv6 Guard-Funktion
weitergeleitet. DHCPv6 Guard validiert diese Nachrichten, löscht ungültige
Nachrichten und leitet zulässige Nachrichten an die IPv6 Source Guard-Funktion
weiter.
Weitergeleitete Datennachrichten werden an die IPv6 Source Guard-Funktion
weitergeleitet. IPv6 Source Guard validiert eingehende Nachrichten
(weitergeleitete Datennachrichten, NDP-Nachrichten aus der ND-Prüfung und
DHCPv6-Nachrichten von DHCPv6 Guard) über die Tabelle zur Nachbarbindung,
löscht unzulässige Nachrichten und leitet zulässige Nachrichten zur Weiterleitung
weiter.
Die Integrität der Nachbarbindung ruft Nachbarn aus den eingehenden
Nachrichten (NDP- und DHCPv6-Nachrichten) ab und speichert diese in die
Tabelle für die Nachbarbindung. Außerdem können statische Einträge manuell
hinzugefügt werden. Nach der Ermittlung der Adressen leitet die NBI-Funktion die
Frames zur Weiterleitung weiter.
Weitergeleitete RS-, CPS-, NS- und NA-Nachrichten werden ebenfalls an die ND-
Prüffunktion weitergeleitet. Die ND-Prüfung validiert diese Nachrichten, löscht
ungültige Nachrichten und leitet zulässige Nachrichten an die IPv6 Source Guard-
Funktion weiter.
IPv6-Sicherheit des ersten Hops – Perimeter
Switches für die IPv6-Sicherheit des ersten Hops können einen Perimeter formen,
der nicht vertrauenswürdige Bereiche von vertrauenswürdigen Bereichen trennt.
Alle Switche innerhalb des Perimeters unterstützen die IPv6-Sicherheit des ersten
Hops, und Hosts und Router innerhalb dieses Perimeters gelten als
vertrauensvolle Geräte. Die Links „SwitchC-H3", „SwitchB-H4" und „SwitchA-
SwitchD" auf Abbildung 7
„SwitchA-SwitchB", „SwitchB-SwitchC" und „SwitchA-R1" um innere Links
innerhalb des geschützten Bereichs handelt.
formen den Perimeter, während es sich bei den Links
20
438