IPv6 RA Guard

このページで学ぶこと

• RA Guard Security Role
• RA Guard Policy Creation
• RA Guard Host Device Role
• RA Guard Router Device Role
• RA Guard Port Role 選択
• RA Guard Interface Attachment
• RA Validation Behavior
• Router Redirect Validation
• RA Guard Verification
• RA Guard Misconfiguration Diagnosis

RA Guardの役割

IPv6 HostはRouter Advertisement（RA）からDefault RouterやPrefixなどを学習します。Rogue RAをHost-facing Portから受け入れると不正RouterへTrafficを誘導される可能性があるため、RA Guardで許可する送信元Roleを制御します。

Policy作成

ipv6 nd raguard policy <name> でPolicyを作成します。Policy内の device-role host / device-role router が接続Deviceの期待Roleを表します。Default Device Roleはhostです。

HostとRouter Role

Host RoleではHost-facing PortからのRAやRouter Redirectを許可しない方向で検証します。Router-facing PortではRouter Roleを選び、正当なRouterからのRAを許可できるようにします。単にTrunkだからrouter roleという判断にはしません。

Interface適用

作成したPolicyはInterfaceで ipv6 nd raguard attach-policy <name> を使って適用します。Policyを作成しただけでは対象Portへ適用されません。

確認と誤設定

show ipv6 nd raguard policy などでPolicy内容を確認します。正当なRouterからのRAがDropされる場合は、Router-facing Portへhost role Policyを適用していないか、Policy Attachmentを含めて確認します。