RA-Guard

Significa: IPv6 Router Advertisement Guard

Um recurso de switch que descarta Router Advertisements IPv6 chegando por portas onde não deveria haver roteador.

O RA-Guard (RFC 6105) é a resposta prática aos router advertisements indevidos, que muito mais vezes vêm de um host mal configurado do que de um atacante. Ele filtra na malha de camada 2, como alternativa mais leve ao SEND, e só funciona onde o tráfego dos hosts passa por switches que o aplicam.

Na forma mais simples, o switch sabe qual porta leva ao roteador: essa porta pode encaminhar RAs e todas as outras os bloqueiam. A RFC 6105 admite outros critérios, entre eles o estado do SEND, e a RFC 9099 ainda recomenda o RA-Guard como primeira linha de defesa contra ataques comuns e hosts mal configurados.

As primeiras implementações eram contornadas escondendo o RA atrás de extension headers do IPv6, e em 2014 a RFC 7113 registrou que a variante com fragmentos funcionava contra todas as implementações existentes. As regras dela servem de teste para uma boa implementação: deixar passar pacotes cuja origem não é link-local ou cujo hop limit não é 255, porque nenhum dos dois pode ser um RA válido; percorrer toda a cadeia de headers; descartar primeiros fragmentos que não a contenham; registrar o que for descartado. A RFC 6980 depois tornou inválidas as mensagens ND fragmentadas.

Os limites são de topologia. Ele não faz nada em meio compartilhado nem onde hosts se alcançam sem cruzar um switch controlado, e a RFC 9099 avisa que pode não funcionar como esperado quando vários roteadores dividem o enlace. Servidores DHCPv6 indevidos pedem o filtro irmão, o DHCPv6-Shield (RFC 7610), que descarta mensagens de servidor fora das portas designadas.

Também conhecido como: ra guard, ipv6 ra guard, router advertisement guard, rfc 6105

Fontes

← Todos os verbetes do glossário