Configuración de protección publicitaria de enrutador IPv6 con estado
La protección de anuncio de enrutador IPv6 (RA) con estado permite que un conmutador aprenda sobre las fuentes de los mensajes de RA durante un cierto período de tiempo. Durante este período, durante el cual se sabe que el conmutador está en estado de aprendizaje, la información contenida en los atributos de mensaje RA recibidos se almacena y se compara con la política. Al final del período de aprendizaje, el conmutador tiene un registro de qué interfaces están conectadas a vínculos con enrutadores IPv6 válidos. Si no hay ningún enrutador IPv6 válido conectado a una interfaz, el conmutador pasa dinámicamente la interfaz del estado de aprendizaje al estado de bloqueo. Los mensajes de RA posteriores recibidos después de la transición al estado de bloqueo se eliminan. Si hay un enrutador IPv6 válido conectado a la interfaz, la interfaz pasa al estado de reenvío. En el estado de reenvío, se reenvían los mensajes de RA que se pueden validar con la directiva configurada.
Puede anular las transiciones de estado dinámico configurando estáticamente los estados de reenvío o bloqueo en una interfaz. Cuando se configura estáticamente el estado en una interfaz, el estado solo se puede cambiar mediante la configuración. Por ejemplo, si configura el estado de reenvío en una interfaz, la interfaz permanecerá en el estado de reenvío hasta que configure un estado diferente en esa interfaz.
Antes de poder habilitar la protección de RA IPv6 en una interfaz o VLAN, debe configurar una directiva. El protector de RA con estado utiliza la política para determinar si los mensajes de RA recibidos en una interfaz provienen de remitentes válidos. Puede configurar la directiva para aceptar o descartar mensajes RA que cumplan los criterios predefinidos. Si los criterios de la directiva incluyen direcciones de origen o prefijos de dirección, debe configurar una lista de las direcciones antes de configurar la directiva.
Habilitación de la protección de RA con estado en una interfaz
Puede habilitar la protección de RA con estado en una interfaz. Primero debe configurar una directiva, que se utiliza para validar los mensajes de RA entrantes durante el período de aprendizaje. Después de aplicar una política de protección de RA a una interfaz, debe habilitar la protección de RA en la VLAN correspondiente.
Para habilitar la protección de RA con estado en una interfaz:
Habilitación de la protección de RA con estado en una VLAN
Puede habilitar la protección de RA con estado por VLAN o para todas las VLAN. Primero debe configurar una directiva, que se utiliza para validar los mensajes de RA entrantes durante el estado de aprendizaje.
Para habilitar la protección de RA con estado en una VLAN específica:
Para habilitar la protección de RA con estado en todas las VLAN:
Aplique una política a todas las VLAN.
[edit] user@switch# set forwarding-options access-security router-advertisement-guard vlans all policy policy-name
Nota:Si se ha configurado una política para una VLAN específica mediante el comando
set forwarding-options access-security router-advertisement-guard vlans vlan-name policy policy-name, dicha política tiene prioridad sobre la política aplicada globalmente a todas las VLAN.Configure la
statefulopción en todas las VLAN:[edit forwarding-options access-security router-advertisement-guard vlans all policy policy-name] user@switch# set stateful
Configuración del estado de aprendizaje en una interfaz
Cuando se habilita por primera vez la protección de RA con estado, el estado predeterminado está desactivado. Una interfaz en el estado fuera funciona como si la protección de RA no estuviera disponible. Para hacer la transición de una interfaz al estado de aprendizaje, debe solicitar aprendizaje en la interfaz. Una interfaz en el estado de aprendizaje adquiere activamente información de los mensajes de RA que recibe.
Para configurar el aprendizaje de protección de RA con estado en una interfaz:
Configuración del estado de reenvío en una interfaz
Una interfaz en estado de reenvío acepta mensajes de RA de entrada que se pueden validar con la directiva configurada y los reenvía a su destino. Una interfaz puede pasar dinámicamente al estado de reenvío directamente desde el estado de aprendizaje, o el estado de reenvío se puede configurar estáticamente en la interfaz.
[edit] user@switch# request access-security router-advertisement-guard-forward interface interface-name
Configuración del estado de bloqueo en una interfaz
Una interfaz en el estado de bloqueo bloquea la entrada de mensajes de RA. Una interfaz puede pasar dinámicamente al estado de bloqueo directamente desde el estado de aprendizaje, o el estado de bloqueo se puede configurar estáticamente en la interfaz. Una interfaz que se ha configurado estáticamente para estar en el estado de bloqueo permanecerá en el estado de bloqueo hasta que se configure otro estado en esa interfaz.
[edit] user@switch# request access-security router-advertisement-guard-block interface interface-name