Konfigurieren von Stateful IPv6 Router Advertisement Guard
Der Stateful IPv6 Router Advertisement (RA)-Schutz ermöglicht es einem Switch, die Quellen von RA-Nachrichten für einen bestimmten Zeitraum zu erkennen. Während dieses Zeitraums, in dem sich der Switch bekanntermaßen im Lernzustand befindet, werden die in den empfangenen RA-Nachrichtenattributen enthaltenen Informationen gespeichert und mit der Richtlinie verglichen. Am Ende des Lernzeitraums zeichnet der Switch auf, welche Schnittstellen an Links mit gültigen IPv6-Routern angeschlossen sind. Wenn kein gültiger IPv6-Router an eine Schnittstelle angeschlossen ist, wechselt der Switch die Schnittstelle dynamisch vom Lernzustand in den Blockierungszustand. Nachfolgende RA-Meldungen, die nach dem Übergang in den Blockierungszustand empfangen werden, werden verworfen. Wenn ein gültiger IPv6-Router an die Schnittstelle angeschlossen ist, wechselt die Schnittstelle in den Weiterleitungsstatus. Im Weiterleitungsstatus werden RA-Nachrichten, die anhand der konfigurierten Richtlinie validiert werden können, weitergeleitet.
Sie können die dynamischen Zustandsübergänge außer Kraft setzen, indem Sie die Weiterleitungs- oder Blockierungszustände auf einer Schnittstelle statisch konfigurieren. Wenn Sie den Zustand auf einer Schnittstelle statisch konfigurieren, kann der Zustand nur durch Konfiguration geändert werden. Wenn Sie z. B. den Weiterleitungsstatus für eine Schnittstelle konfigurieren, bleibt die Schnittstelle im Weiterleitungsstatus, bis Sie einen anderen Status für diese Schnittstelle konfigurieren.
Bevor Sie IPv6 RA Guard auf einer Schnittstelle oder einem VLAN aktivieren können, müssen Sie eine Richtlinie konfigurieren. Der zustandsbehaftete RA-Schutz verwendet die Richtlinie, um zu bestimmen, ob die auf einer Schnittstelle empfangenen RA-Nachrichten von gültigen Absendern stammen. Sie können die Richtlinie so konfigurieren, dass RA-Nachrichten, die die vordefinierten Kriterien erfüllen, entweder akzeptiert oder verworfen werden. Wenn die Kriterien für die Richtlinie Quelladressen oder Adresspräfixe enthalten, müssen Sie vor der Konfiguration der Richtlinie eine Liste der Adressen konfigurieren.
Aktivieren von Stateful RA Guard auf einer Schnittstelle
Sie können den zustandsbehafteten RA-Schutz auf einer Schnittstelle aktivieren. Sie müssen zunächst eine Richtlinie konfigurieren, die verwendet wird, um eingehende RA-Nachrichten während des Lernzeitraums zu validieren. Nachdem Sie eine RA-Schutzrichtlinie auf eine Schnittstelle angewendet haben, müssen Sie den RA-Schutz im entsprechenden VLAN aktivieren.
So aktivieren Sie den zustandsbehafteten RA-Schutz auf einer Schnittstelle:
Aktivieren von Stateful RA Guard in einem VLAN
Sie können den zustandsbehafteten RA-Schutz pro VLAN oder für alle VLANs aktivieren. Sie müssen zunächst eine Richtlinie konfigurieren, mit der eingehende RA-Nachrichten während des Lernzustands überprüft werden.
So aktivieren Sie den zustandsbehafteten RA-Schutz in einem bestimmten VLAN:
So aktivieren Sie den zustandsbehafteten RA-Schutz in allen VLANs:
Wenden Sie eine Richtlinie auf alle VLANs an.
[edit] user@switch# set forwarding-options access-security router-advertisement-guard vlans all policy policy-name
Anmerkung:Wenn eine Richtlinie mit dem Befehl
set forwarding-options access-security router-advertisement-guard vlans vlan-name policy policy-namefür ein bestimmtes VLAN konfiguriert wurde, hat diese Richtlinie Vorrang vor der Richtlinie, die global auf alle VLANs angewendet wird.Konfigurieren Sie die
statefulOption für alle VLANs:[edit forwarding-options access-security router-advertisement-guard vlans all policy policy-name] user@switch# set stateful
Konfigurieren des Lernzustands auf einer Schnittstelle
Wenn der zustandsbehaftete RA-Schutz zum ersten Mal aktiviert wird, ist der Standardzustand deaktiviert. Eine Schnittstelle im ausgeschalteten Zustand funktioniert so, als ob der RA-Schutz nicht verfügbar wäre. Um eine Schnittstelle in den Lernzustand zu überführen, müssen Sie das Lernen auf der Schnittstelle anfordern. Eine Schnittstelle im Lernzustand erfasst aktiv Informationen aus den RA-Nachrichten, die sie empfängt.
So konfigurieren Sie Stateful RA Guard Learning auf einer Schnittstelle:
Konfigurieren des Weiterleitungsstatus auf einer Schnittstelle
Eine Schnittstelle im Weiterleitungsstatus akzeptiert eingehende RA-Nachrichten, die anhand der konfigurierten Richtlinie validiert werden können, und leitet sie an ihr Ziel weiter. Eine Schnittstelle kann direkt vom Lernzustand dynamisch in den Weiterleitungszustand übergehen, oder der Weiterleitungsstatus kann statisch auf der Schnittstelle konfiguriert werden.
[edit] user@switch# request access-security router-advertisement-guard-forward interface interface-name
Konfigurieren des Blockierungsstatus auf einer Schnittstelle
Eine Schnittstelle im blockierenden Zustand blockiert eingehende RA-Nachrichten. Eine Schnittstelle kann direkt vom Lernzustand dynamisch in den Blockierungszustand übergehen, oder der Blockierungszustand kann statisch auf der Schnittstelle konfiguriert werden. Eine Schnittstelle, die statisch so konfiguriert wurde, dass sie sich im Blockierungszustand befindet, verbleibt im Blockierungszustand, bis ein anderer Status für diese Schnittstelle konfiguriert wird.
[edit] user@switch# request access-security router-advertisement-guard-block interface interface-name