예: IPv6 주소 스푸핑으로부터 스위치를 보호하기 위한 IPv6 Source Guard 및 Neighbor Discovery 검사 구성
이 예에서는 IPv6 주소 스푸핑 공격으로부터 EX 시리즈 스위치를 보호하기 위해 지정된 VLAN에서 IPv6 소스 가드 및 이웃 검색 검사를 활성화하는 방법을 설명합니다. Junos OS 릴리스 14.1X53-D10의 EX2200 및 EX3300 스위치에 IPv6 소스 가드 및 이웃 검색 검사 지원이 도입되었습니다.
요구 사항
이 예에서 사용되는 하드웨어 및 소프트웨어 구성 요소는 다음과 같습니다.
EX2200 또는 EX3300 스위치 1개
EX 시리즈 스위치용 Junos OS 릴리스 14.1X53-D10 이상
스위치의 네트워크 디바이스에 IPv6 주소를 제공하는 DHCPv6 서버
IPv6 주소 스푸핑 공격을 방지하기 위해 IPv6 source guard 및 neighbor discovery 검사를 구성하기 전에 다음을 수행해야 합니다.
DHCPv6 서버를 스위치에 연결했습니다.
DHCPv6 보안 기능을 추가할 VLAN을 구성했습니다. EX 시리즈 스위치용 VLAN 구성을 참조하십시오.
개요 및 토폴로지
이더넷 LAN 스위치는 소스 MAC 주소 또는 소스 IPv6 주소의 스푸핑(위조)과 관련된 보안 공격에 취약합니다. 이러한 스푸핑된 패킷은 스위치의 신뢰할 수 없는 액세스 인터페이스에 연결된 호스트에서 전송됩니다. IPv6 주소 스푸핑 공격에 대한 자세한 내용은 IPv6 Neighbor Discovery Inspection을 참조하십시오.
IPv6 소스 가드 및 이웃 검색 검사는 DHCPv6 스누핑 테이블을 사용하여 IPv6 스푸핑 공격의 위험을 완화합니다. 바인딩 테이블이라고도 하는 DHCPv6 스누핑 테이블에는 MAC 주소에 대한 IPv6 주소의 유효한 바인딩이 포함되어 있습니다. 스위치의 신뢰할 수 없는 액세스 인터페이스에 연결된 호스트에서 패킷이 전송되면 IPv6 소스 가드는 DHCPv6 스누핑 테이블에 대해 패킷의 소스 IPv6 주소와 MAC 주소를 확인합니다. 테이블에 일치하는 항목이 없으면 스위치는 패킷을 전달하지 않습니다. 즉, 패킷이 삭제됩니다. 이웃 검색 검사는 DHCPv6 스누핑 테이블에 대해 동일한 네트워크 링크의 IPv6 노드 간에 전송된 이웃 발견 메시지를 확인하고, 일치하는 항목이 없으면 패킷도 삭제합니다.
이 예에서는 DHCPv6 서버에 연결된 스위치에서 이러한 중요한 포트 보안 기능을 구성하는 방법을 보여 줍니다. 이 예의 설정에는 스위치의 VLAN sales 이 포함됩니다. 그림 1 은 이 예의 토폴로지를 보여줍니다.
DHCPv6 서버 인터페이스에 연결하는 트렁크 인터페이스는 기본적으로 신뢰할 수 있는 포트입니다.
위상수학
위한 네트워크 토폴로지
이 예의 토폴로지 구성 요소는 표 1에 표시되어 있습니다.
| 속성 | 설정 |
|---|---|
스위치 하드웨어 |
EX2200 또는 EX3300 스위치 1개 |
VLAN 이름 및 ID |
영업, 태그 |
VLAN 서브넷 |
192.0.2.16/28 192.0.2.17 부터 192.0.2.30까지 192.0.2.31은 서브넷의 브로드캐스트 주소입니다. |
의 인터페이스 |
ge-0/0/1, ge-0/0/2, ge-0/0/3, ge-0/0/8 |
DHCPv6 서버에 연결하는 인터페이스 |
ge-0/0/8 |
이 예에서 스위치는 이미 다음과 같이 구성되었습니다.
모든 액세스 포트는 신뢰할 수 없으며, 이것이 기본 설정입니다.
트렁크 포트(ge-0/0/8)는 신뢰할 수 있으며 기본 설정입니다.
VLAN(판매)이 지정된 인터페이스를 포함하도록 구성되었습니다.
구성
절차
CLI 빠른 구성
IPv6 소스 가드 및 이웃 검색 검사를 신속하게 구성하려면 다음 명령을 복사하여 스위치 터미널 창에 붙여넣습니다.
[edit] set ethernet-switching-options secure-access-port vlan sales examine-dhcpv6 set ethernet-switching-options secure-access-port vlan sales ipv6-source-guard set ethernet-switching-options secure-access-port vlan sales neighbor-discovery-inspection
단계별 절차
VLAN에서 IPv6 소스 가드 및 이웃 검색 검사를 구성(이에 따라 DHCPv6 스누핑도 자동으로 구성)합니다.
VLAN에서 DHCPv6 스누핑을 활성화합니다.
[edit ethernet-switching-options secure-access-port vlan sales] user@switch# set examine-dhcpv6
VLAN에서 IPv6 source guard를 구성합니다.
[edit ethernet-switching-options secure-access-port vlan sales] user@switch# set ipv6-source-guard
VLAN에서 neighbor discovery 검사를 구성합니다.
[edit ethernet-switching-options secure-access-port vlan sales] user@switch# set neighbor-discovery-inspection
결과
구성 결과를 확인합니다.
user@switch> show ethernet-switching-options secure-access-port
vlan sales {
examine-dhcpv6;
ipv6-source-guard;
neighbor-discovery-inspection;
}
}
확인
구성이 올바르게 작동하고 있는지 확인합니다.
DHCPv6 스누핑이 스위치에서 올바르게 작동하는지 확인
목적
DHCPv6 스누핑이 스위치에서 작동하는지 확인합니다.
행동
스위치에 연결된 네트워크 디바이스(이 예에서는 DHCPv6 클라이언트)에서 DHCPv6 요청을 보냅니다.
DHCPv6 서버가 스위치에 연결하는 포트를 신뢰할 수 있는 경우 DHCPv6 스누핑 정보를 표시합니다. 다음은 MAC 주소에서 요청이 전송되고 서버가 IPv6 주소 및 임대를 제공한 경우의 출력입니다.
user@switch> show dhcpv6 snooping binding DHCP Snooping Information: MAC address IP address Lease (seconds) Type VLAN Interface 00:10:94:00:00:01 2001:db8::10:0:3 3599992 dynamic sales ge-0/0/1.0 00:10:94:00:00:01 fe80::210:94ff:fe00:1 3599992 dynamic sales ge-0/0/1.0 00:10:94:00:00:02 2001:db8::10:0:5 3599992 dynamic sales ge-0/0/2.0 00:10:94:00:00:02 fe80::210:94ff:fe00:2 3599992 dynamic sales ge-0/0/2.0 00:10:94:00:00:03 2001:db8::10:0:7 3599992 dynamic sales ge-0/0/3.0 00:10:94:00:00:03 fe80::210:94ff:fe00:3 3599992 dynamic sales ge-0/0/3.0
의미
출력에는 할당된 IP 주소, MAC 주소, VLAN 이름 및 IP 주소에 임대된 시간(초 단위)이 표시됩니다. IPv6 호스트는 일반적으로 IPv6 사용 네트워크 인터페이스 각각에 할당된 IP 주소를 두 개 이상 가지고 있기 때문에 각 클라이언트마다 두 개의 항목이 추가됩니다. 하나는 클라이언트가 DHCP 트랜잭션에 사용하는 링크-로컬 IP 주소를 가진 항목이고 다른 하나는 서버에서 할당한 IP 주소를 가진 항목입니다. link-local 주소에는 항상 접두사 fe80::/10가 있습니다.
스위치에서 Neighbor Discovery Inspection이 올바르게 작동하는지 확인
목적
neighbor discovery 검사가 스위치에서 작동하는지 확인합니다.
행동
스위치에 연결된 네트워크 디바이스에서 인접 검색 패킷을 보냅니다.
인접 검색 정보를 표시합니다.
user@switch> show neighbor-discovery-inspection statistics ND inspection statistics: Interface Packets received ND inspection pass ND inspection failed ge-0/0/1.0 7 5 2 ge-0/0/2.0 10 10 0 ge-0/0/3.0 12 12 0
의미
샘플 출력은 인터페이스당 수신 및 검사된 인접 검색 패킷 수를 표시하고, 전달된 패킷 수와 각 인터페이스에서 검사에 실패한 수를 나열합니다. 스위치는 이웃 발견 요청 및 회신을 DHCPv6 스누핑 데이터베이스의 항목과 비교합니다. 인접 검색 패킷의 MAC 주소 또는 IPv6 주소가 데이터베이스의 유효한 항목과 일치하지 않으면 패킷이 삭제됩니다.
변경 내역 테이블
기능 지원은 사용 중인 플랫폼 및 릴리스에 따라 결정됩니다. 기능 탐색기 를 사용하여 플랫폼에서 기능이 지원되는지 확인합니다.