Kiểm thử IPv6 RA Guard và DHCPv6 Guard trong mạng access

Router Advertisement có thể cung cấp prefix, default-router lifetime và các tùy chọn liên quan; DHCPv6 có thể cấp địa chỉ hoặc tham số khác tùy mode. Một host rogue gửi RA/DHCPv6 có thể chuyển hướng traffic, gây mất kết nối hoặc cấp cấu hình sai. Tuy nhiên RA Guard không thay thế toàn bộ cơ chế bảo vệ Neighbor Discovery hay xác thực router.

Mục tiêu đo phải gồm hai chiều: gói rogue bị chặn và gói hợp lệ vẫn qua. Chỉ xác nhận counter "deny" tăng có thể che một policy chặn nhầm router thật.

Topology gồm router IPv6 hợp lệ, DHCPv6 server/relay hợp lệ, switch access là DUT, client test và attacker emulator ở cổng untrusted. Nếu mạng dùng stack switch, MLAG hoặc access–distribution, thử cả uplink và peer-link liên quan.

Tạo capture ở client port, trusted uplink và control plane DUT. Ghi rõ VLAN, port role, prefix, M/O flags, SLAAC/DHCPv6 mode, relay và các thiết bị trung gian.

Khóa loại RA option, router lifetime, preference, prefix lifetime, M/O flags, DHCPv6 message type, relay path, extension headers, fragment, tốc độ control packet và trạng thái link. Thử cả boot mới, renew, reauthentication và failover vì binding/policy có thể thay đổi theo state.

IPv6 extension header từng được dùng để né triển khai RA Guard đơn giản; RFC 7113 cập nhật khuyến nghị xử lý. Không tự tạo packet gây tải ngoài lab và không kết luận platform bị bypass nếu chưa xác nhận parser, phiên bản và cấu hình hỗ trợ.

KPI gồm rogue RA/DHCPv6 acceptance rate, legitimate control-packet loss, thời gian client hình thành địa chỉ/default route/DNS, số route/prefix sai, packet drop theo reason, CPU control plane và recovery sau khi nguồn hợp lệ trở lại. Với nhiều client, đo tỷ lệ client bị ảnh hưởng và tail provisioning time.

Bằng chứng tối thiểu là pcap tại client, neighbor/default-route table, DHCPv6 lease/binding, DUT counter và log có timestamp. Test phải chỉ ra gói nào bị chặn bởi policy nào.

Tách pass/fail cho security và availability. Một rule chặn mọi RA có thể "chặn rogue" nhưng làm SLA mạng thất bại.

• Kịch bản: RA hợp lệ · Cổng phát: Trusted uplink · Nội dung: Prefix/default router chuẩn · Kỳ vọng: Client nhận, không drop
• Kịch bản: Rogue RA · Cổng phát: Untrusted · Nội dung: Router lifetime > 0 · Kỳ vọng: Bị chặn, client không đổi route
• Kịch bản: RA withdraw · Cổng phát: Trusted · Nội dung: Router lifetime 0 · Kỳ vọng: Client xử lý theo thiết kế
• Kịch bản: DHCPv6 server rogue · Cổng phát: Untrusted · Nội dung: Advertise/Reply · Kỳ vọng: Bị chặn
• Kịch bản: DHCPv6 relay hợp lệ · Cổng phát: Trusted · Nội dung: Relay-forward/reply · Kỳ vọng: Hoàn tất lease/config
• Kịch bản: Extension header · Cổng phát: Untrusted · Nội dung: RA có header chain · Kỳ vọng: Xử lý theo policy/RFC
• Kịch bản: Failover uplink · Cổng phát: Trusted mới · Nội dung: RA/DHCPv6 hợp lệ · Kỳ vọng: Recovery trong SLO

• Baseline mở: ghi hành vi client khi nhận RA/DHCPv6 hợp lệ và rogue trong lab cô lập.
• Apply policy: xác nhận trusted/untrusted role, lưu cấu hình và counter ban đầu.
• Positive test: boot/renew nhiều client qua nguồn hợp lệ; đo provisioning time.
• Negative test: phát rogue RA và DHCPv6 từ từng access port; kiểm tra client state.
• Evasion test: biến đổi option, extension-header chain và fragment trong giới hạn tiêu chuẩn/an toàn.
• Scale: tăng client và control traffic tới profile dự kiến, quan sát CPU/drop.
• Failure: flap uplink hoặc chuyển router/relay dự phòng; đo recovery và policy consistency.
• Rollback: bỏ traffic rogue, xác nhận route/lease hợp lệ và counter ổn định.

• Trusted port chỉ gồm uplink/nguồn được phê duyệt.
• Rogue RA và DHCPv6 bị chặn ở mọi access port thử nghiệm.
• RA/DHCPv6 hợp lệ không bị mất ngoài ngưỡng.
• Extension header/fragment được thử theo RFC 7113.
• Client state, pcap, counter và log khớp timestamp.
• Stack/MLAG/failover không làm mất policy.
• CPU control plane được theo dõi dưới burst an toàn.
• Có rollback và kiểm tra lại baseline.

RA Guard/DHCPv6 Guard không chứng minh toàn bộ IPv6 first-hop security, không ngăn mọi hình thức spoofing và không thay thế segmentation/monitoring. Kết quả gắn với hardware pipeline, phiên bản NOS, option set và topology đã thử; đổi line card hoặc chế độ switching có thể cần test lại.

• RA: Router Advertisement của Neighbor Discovery.
• SLAAC: Tự cấu hình địa chỉ từ thông tin prefix.
• DHCPv6 Guard: Policy hạn chế DHCPv6 server/relay không tin cậy.
• Trusted port: Cổng được phép nhận control traffic từ hạ tầng.
• Router lifetime: Thời gian router được coi là default router.
• Extension header: Header mở rộng trong chuỗi IPv6.