Kiểm thử IPv6 RA Guard và DHCPv6-Shield: chặn rogue router mà không khóa nhầm client

RFC 6105 mô tả RA Guard để thiết bị lớp 2 lọc RA từ nguồn không được phép. RFC 7113 bổ sung khuyến nghị triển khai vì cách lọc đơn giản có thể bị né qua extension header hoặc fragmentation. RFC 7610 làm tương tự cho DHCPv6-Shield: phân biệt cổng tin cậy đối với thông điệp server/relay và cổng client.

Phép thử phải trả lời hai chiều. Negative test chứng minh rogue source bị chặn; positive test chứng minh router, relay, DHCPv6 server và client hợp lệ vẫn hoạt động. Nếu chỉ chạy tấn công mô phỏng, đội kiểm thử có thể bỏ sót false positive gây mất IPv6 sau thay đổi.

Topology tối thiểu gồm hai client VLAN, access switch/DUT, hai router hợp lệ, DHCPv6 relay/server và một host mô phỏng nguồn không tin cậy. Nếu production dùng MLAG, stacking, EVPN/VXLAN hoặc port profile động, lab phải giữ đúng thứ tự policy và đường failover.

Đặt capture ở cổng rogue, phía client và uplink hợp lệ; thu đồng thời counter ACL/RA Guard/DHCPv6-Shield, neighbor state, route, DHCPv6 lease và syslog. Clock phải đồng bộ để ghép sự kiện drop với trạng thái endpoint.

Khóa firmware, template cổng, VLAN, MTU, multicast snooping, ACL, router preference, RA lifetime, DHCPv6 timers và traffic nền khi lấy baseline. Traffic profile phải nêu số endpoint, tốc độ join, tỷ lệ renew/rebind, RA interval và mức multicast nền.

Quét nguồn MAC/IPv6, VLAN tag, extension-header chain, fragment, kích thước gói, cổng access/trunk, link flap, router preference/lifetime, relay path và concurrent clients. Không gộp nhiều biến vào một case nếu cần xác định cơ chế bypass.

KPI bảo mật gồm rogue RA/DHCPv6 drop rate, bypass rate và thời gian policy có hiệu lực. KPI dịch vụ gồm IPv6 configuration success, DHCPv6 completion time, renew/rebind success, default-router continuity, DNS reachability, false drop và service interruption khi failover.

Bằng chứng phải có PCAP trước/sau DUT, counter theo rule, running configuration, endpoint route/address, lease/log DHCPv6 và timeline lỗi. Một counter tăng chưa chứng minh đúng packet bị chặn; một client có địa chỉ cũng chưa chứng minh nó học đúng router/DNS.

Ngưỡng pass/fail phải gắn với SLO và capability của model/phiên bản. Không suy rằng mọi switch xử lý extension header hoặc fragment giống nhau.

• RA từ trusted uplink — Kỳ vọng: Forward; Bằng chứng: PCAP + default route; Dấu hiệu fail: RA bị drop, host mất route
• RA từ access port — Kỳ vọng: Drop; Bằng chứng: ingress PCAP + counter; Dấu hiệu fail: Host học rogue router
• RA có extension header — Kỳ vọng: Theo RFC/policy đã xác nhận; Bằng chứng: PCAP hai phía; Dấu hiệu fail: Bypass hoặc drop nhầm
• DHCPv6 server message từ client port — Kỳ vọng: Drop; Bằng chứng: message type + counter; Dấu hiệu fail: Client nhận rogue config
• Renew qua relay hợp lệ — Kỳ vọng: Thành công trong SLO; Bằng chứng: lease + packet timeline; Dấu hiệu fail: timeout/NAK ngoài thiết kế
• Uplink/router failover — Kỳ vọng: Router hợp lệ mới được học; Bằng chứng: timeline và route; Dấu hiệu fail: blackout vượt ngưỡng

Lấy baseline với RA hợp lệ, kiểm tra prefix, router lifetime, preference và default route. Sau đó phát RA từ cổng untrusted với các biến thể hợp lệ nhưng không được ủy quyền. Chỉ dùng lab được phép; không phát rogue RA trên production.

Thử extension-header chain, packet lớn, fragment theo phạm vi RFC và khả năng generator. Đối chiếu packet ingress/output để phát hiện bypass, đồng thời chạy NS/NA, MLD và lưu lượng ứng dụng nhằm phát hiện policy quá rộng.

• Xác nhận trusted port theo sơ đồ, không theo tên interface.
• Chạy positive baseline trước negative case.
• Ghi RA fields và expected disposition.
• Kiểm tra extension header/fragment với PCAP hợp lệ.
• Xác nhận Neighbor Discovery khác không bị ảnh hưởng.

Kiểm tra Solicit–Advertise–Request–Reply, renew, rebind và relay-forward/relay-reply qua đường hợp lệ. Sau đó đặt DHCPv6 server mô phỏng tại cổng client và xác minh message hướng server bị chặn theo policy mà message client vẫn đi qua.

Bao gồm Rapid Commit nếu triển khai, nhiều relay hop, link-address/peer-address, server failover và client reconnect storm. Đối soát address/prefix, DNS option, lease database và traffic application; thành công ở tầng DHCPv6 nhưng DNS sai vẫn là fail dịch vụ.

Tăng endpoint join theo bậc, đồng thời phát control traffic hợp lệ và rogue traffic giới hạn. Đo CPU, queue, drop counter, configuration time percentile và false drop. Gây lỗi uplink/router/relay có kiểm soát để tách detection, convergence và client recovery.

Triển khai bằng canary VLAN, observe/counter trước enforce nếu nền tảng hỗ trợ. Chuẩn bị rollback, console/OOB và kiểm tra sau thay đổi. Regression bắt buộc sau firmware, template cổng, topology hoặc encapsulation thay đổi.

Kết quả chỉ áp dụng cho model, ASIC, firmware, parser depth, MTU, topology và packet set đã thử. RA Guard/DHCPv6-Shield không thay thế hardening router, DHCPv6 server, endpoint hay kiểm soát vật lý.

Không tuyên bố “chống mọi bypass” từ một tập case hữu hạn. Báo cáo phải nêu biến thể chưa thử, giới hạn generator/capture và các trường bị phần cứng xử lý khác CPU path.

• RA: Router Advertisement trong IPv6 Neighbor Discovery.
• Rogue router: nguồn phát thông tin định tuyến không được ủy quyền.
• RA Guard: lọc RA tại lớp 2 theo trust policy.
• DHCPv6-Shield: lọc thông điệp DHCPv6 server/relay từ cổng không tin cậy.
• Extension header: chuỗi header mở rộng của IPv6.
• False positive: control traffic hợp lệ bị chặn nhầm.
• Trust boundary: ranh giới quyết định nguồn nào được phép gửi control traffic.