Auf einem Access Switch ist IPv6 ND RA Guard auf seinen Access Ports aktiviert. Eine Workstation an einem Access Port sendet eine nicht autorisierte Router Advertisement (RA), die sich selbst als Standard-Gateway bewirbt. Was wird der Switch mit dieser RA tun?

IPv6 ND RA Guard (Router Advertisement Guard) ist eine Sicherheitsfunktion, die auf Access Ports von Switches konfiguriert wird, um böswillige oder falsch konfigurierte Router Advertisements (RAs) zu verhindern. Wenn RA Guard auf einem Port aktiviert ist, wird dieser Port standardmäßig als nicht vertrauenswürdig behandelt. Das bedeutet, dass alle eingehenden Router Advertisements, die von diesem Port empfangen werden, verworfen werden, es sei denn, der Port wurde explizit als vertrauenswürdig konfiguriert. In diesem Szenario sendet die Workstation eine nicht autorisierte RA von einem Access Port, der als nicht vertrauenswürdig gilt. Daher wird der Switch die RA am Port verwerfen, um zu verhindern, dass die Workstation sich als Standard-Gateway bewirbt. Die Weiterleitung zur Überprüfung an die Steuerungsebene ist nicht die primäre Funktion von RA Guard; es blockiert direkt am Port. RA Guard ist speziell für Access Ports konzipiert, um solche Angriffe zu verhindern, daher ist die Aussage, dass es keine Auswirkung hat, falsch. Die Umwandlung in eine DHCPv6-Anzeige ist keine Funktion von RA Guard.