Cisco Small Business 300 Serie Administratorhandbuch Seite 452

20
443 Administratorhandbuch für Managed Switches der Serien 200, 300 und 500 von Cisco Small Business (Interne Version)
Der Switch für die IPv6-Sicherheit des ersten Hops baut Bindungen nur auf
perimetrischen Schnittstellen auf (siehe
Perimeter).
Die Bindungsinformationen werden in der Tabelle „Nachbarbindung" gespeichert.
NBI-NDP-Methode
Die verwendete NBI-NDP-Methode basiert auf der unter RFC6620 angegebenen
FCFS-SAVI-Methode, jedoch mit den folgenden Abweichungen:
• Im Gegensatz zu FCFS-SAVI, das ausschließlich Bindungen für lokale IPv6-
Adressen bietet, unterstützt NBI-NDP darüber hinaus Bindungen von
globalen IPv6-Adressen.
• NBI-NDP unterstützt IPv6-Adressbindungen nur bei IPv6-Adressen, die aus
NDP-Nachrichten erlernt wurden. Die Quelladressvalidierung für
Datennachrichten wird über den IPv6-Quelladress-Guard bereitgestellt.
• Bei NBI-NDP basiert der Nachweis des Adressbesitzes auf dem Prinzip der
Reihenfolge des Eingangs der Anforderung (First-Come, First-Served). Der
erste Host, der eine vorhandene Quelladresse beansprucht, ist bis auf
Weiteres der Besitzer dieser Adresse. Da Änderungen an Hosts nicht
akzeptabel sind, muss ein Weg gefunden werden, um den Adressbesitz zu
bestätigen, ohne dass ein neues Protokoll benötigt wird. Aus diesem Grund
bindet der Switch, wenn eine IPv6-Adresse erstmals von der NDP-
Nachricht erlernt wird, die Adresse an die Schnittstelle. Nachfolgende NDP-
Nachrichten, die diese IPV6-Adresse enthalten, können gegen den gleichen
Bindungsanker geprüft werden, um zu bestätigen, dass der Ersteller der
Eigentümer der Quell-IP-Adresse ist.
Es gibt eine Ausnahme von dieser Regel, wenn ein IPv6-Host in der Schicht-
2-Domäne verwendet werden kann oder wenn dieser seine MAC-Adresse
ändert. In diesem Fall ist der Host weiterhin der Besitzer der IP-Adresse, der
zugewiesene Bindungsanker ist jedoch möglicherweise nicht mehr der
ursprüngliche. Um ein solches Szenario aufzufangen, impliziert das
definierte NBI-NDP-Verhalten die Prüfung, ob der Host weiterhin erreichbar
ist. Dazu werden DAD-NS-Nachrichten an die vorherige
Bindungsschnittstelle gesendet. Wenn der Host am zuvor erfassten
Bindungsanker nicht mehr erreichbar ist, geht NBI-NDP davon aus, dass der
neue Anker gültig ist und passt den Bindungsanker entsprechend an. Sollte
der Host nach wie vor über den zuvor erfassten Bindungsanker erreichbar
sein, wird die Bindungsschnittstelle nicht geändert.
Sicherheit: IPv6-Sicherheit des ersten Hops
Integrität der Nachbarbindung
IPv6-Sicherheit des ersten Hops –