Techerest
EN

IPv6 Security บน Cisco: RA Guard, DHCPv6 Guard และ IPv6 ACL

13 ต.ค. 2569 Cisco DHCPv6 Guard ICMPv6 IPv6 IPv6 ACL IPv6 Security NDP Networking Network Security RA Guard

IPv6 ไม่ได้เป็นเพียงการเพิ่ม Address Space จาก IPv4 แต่ยังเปลี่ยนกลไกสำคัญหลายส่วนของเครือข่าย โดยเฉพาะ Neighbor Discovery Protocol (NDP), Router Advertisement (RA), SLAAC, DHCPv6 และ ICMPv6 ซึ่งทำให้ Network Administrator ต้องออกแบบ Security Policy สำหรับ IPv6 โดยเฉพาะ

บทความนี้อธิบายแนวทางป้องกัน IPv6 LAN บน Cisco ตั้งแต่ Rogue Router Advertisement, RA Guard, DHCPv6 Guard, IPv6 ACL, Neighbor Discovery และแนวคิด First-Hop Security พร้อมตัวอย่าง Configuration, Verification และ Troubleshooting สำหรับนำไปใช้ใน Lab และต่อยอดสู่ Production Network

สารบัญ

ภาค 1: ทำไม IPv6 Security จึงสำคัญ?

ทำไม IPv6 ต้องมี Security Policy แยก?

หลายองค์กรมี Firewall, ACL, DHCP Snooping และ Layer 2 Security สำหรับ IPv4 อยู่แล้ว แต่เมื่อเปิด IPv6 Policy ของ IPv4 ไม่ได้หมายความว่าจะครอบคลุม IPv6 Traffic โดยอัตโนมัติ

ตัวอย่าง Dual-Stack Network:

Client
  |
  +------ IPv4 ------+
  |                  |
  +------ IPv6 ------+
                     |
                   Switch
                     |
                   Router
                     |
                  Firewall
                     |
                  Internet

ถ้า Administrator ตรวจสอบเฉพาะ IPv4 อาจมี IPv6 Traffic ที่ไม่ได้รับการควบคุมตาม Policy ที่ต้องการ

IPv6 ไม่ควรถูกมองว่า “ไม่ได้ใช้งานจึงไม่ต้องสนใจ” เพราะ Operating System และอุปกรณ์จำนวนมากรองรับ IPv6 อยู่แล้ว แม้ Network Administrator จะยังไม่ได้ออกแบบ IPv6 อย่างเป็นทางการ

IPv6 Attack Surface ที่ควรรู้จัก

ตัวอย่างความเสี่ยงใน IPv6 LAN ได้แก่:

  • Rogue Router Advertisement
  • Rogue DHCPv6 Server
  • การปลอมแปลงหรือรบกวน Neighbor Discovery
  • IPv6 ACL ที่กำหนดไม่ครบ
  • การ Block ICMPv6 มากเกินไปจน IPv6 ทำงานผิดปกติ
  • Dual-Stack Policy ที่ IPv4 และ IPv6 ไม่สอดคล้องกัน
  • อุปกรณ์หรือ Tunnel ที่ทำให้ IPv6 Traffic เกิดขึ้นโดยไม่ได้ตั้งใจ

แนวคิดโดยรวม:

IPv6 LAN
   |
   +---- NDP
   |
   +---- RA
   |
   +---- SLAAC
   |
   +---- DHCPv6
   |
   +---- ICMPv6
   |
   +---- IPv6 Routing
   |
   +---- IPv6 ACL
   |
   +---- Firewall Policy

ภาค 2: Neighbor Discovery Protocol และความปลอดภัย

Neighbor Discovery Protocol คืออะไร?

Neighbor Discovery Protocol หรือ NDP เป็นกลไกสำคัญของ IPv6 และใช้ ICMPv6 Messages หลายประเภท

NDP ทำหน้าที่เกี่ยวกับ:

  • ค้นหา Neighbor บน Local Link
  • Resolve IPv6 Address ไปยัง Layer 2 Address
  • ค้นหา Router
  • เรียนรู้ Prefix
  • ตรวจสอบ Neighbor Reachability
  • สนับสนุน Address Autoconfiguration

ตัวอย่าง:

PC-A
2001:db8:10::10
   |
   | Neighbor Solicitation
   |------------------------->
   |
   | Neighbor Advertisement
   |<-------------------------
   |
Router
2001:db8:10::1

NDP เปรียบเทียบกับ ARP อย่างไร?

หัวข้อ IPv4 IPv6
Neighbor Resolution ARP NDP
Protocol หลัก ARP ICMPv6
Router Discovery ใช้กลไกอื่นร่วมด้วย NDP / RA
Broadcast ARP ใช้ Broadcast IPv6 ใช้ Multicast แทน Broadcast

ดังนั้นแนวคิด Security แบบ DHCP Snooping + DAI ที่คุ้นเคยจาก IPv4 ไม่สามารถนำมาแทน IPv6 First-Hop Security ทั้งหมดได้โดยตรง

ภาค 3: Rogue Router Advertisement

Router Advertisement คืออะไร?

IPv6 Router สามารถส่ง Router Advertisement หรือ RA เพื่อแจ้งข้อมูลให้ Client บน Local Link เช่น Prefix และข้อมูลที่เกี่ยวข้องกับ Default Router ตาม IPv6 Neighbor Discovery

Normal:

Authorized Router
       |
       | Router Advertisement
       v
     Switch
       |
       +------ PC-A
       |
       +------ PC-B
       |
       +------ PC-C

Client สามารถใช้ข้อมูลดังกล่าว ในการกำหนด IPv6 Network Configuration ตามรูปแบบที่ Network ออกแบบไว้

Rogue RA คืออะไร?

ปัญหาเกิดขึ้นเมื่ออุปกรณ์ที่ไม่ควรทำหน้าที่ Router ส่ง Router Advertisement เข้ามาใน LAN 

Authorized Router
       |
       v
     Switch
       |
       +------ PC-A
       |
       +------ PC-B
       |
       +------ Rogue Device
                  |
                  |
             Fake / Unwanted RA

Client อาจได้รับข้อมูล Router หรือ Prefix ที่ไม่ตรงกับ Network Design ซึ่งอาจทำให้ Connectivity ผิดปกติ หรือสร้าง Security Risk

Rogue RA ไม่จำเป็นต้องเกิดจากผู้โจมตีเสมอไป อาจเกิดจากอุปกรณ์ที่ Configure ผิด, เครื่องที่เปิด Internet Connection Sharing, Virtualization Software หรืออุปกรณ์ทดสอบที่ถูกเชื่อมเข้ากับ Production LAN

ภาค 4: RA Guard

RA Guard คืออะไร?

IPv6 RA Guard เป็น First-Hop Security Feature ที่ช่วยควบคุม Router Advertisement บน Layer 2 Access Network

แนวคิด:

                    Authorized Router
                           |
                        TRUSTED
                           |
                           v
                    +--------------+
                    |    Switch    |
                    +--------------+
                      |          |
                   Client      Client
                    Port        Port
                      |          |
                      X          X
                 Unauthorized Router
                 Advertisement

เป้าหมายคืออนุญาต RA จากตำแหน่งที่ควรเป็น Router และป้องกัน RA จาก User-Facing Port ที่ไม่ควรส่ง RA

RA Guard Policy

บน Cisco Platform ที่รองรับ สามารถสร้าง RA Guard Policy แล้วนำไปผูกกับ Interface ตาม Syntax ของ IOS/IOS XE Release ที่ใช้งาน

ตัวอย่างเชิงแนวคิด:

ipv6 nd raguard policy HOST_POLICY
 device-role host

จากนั้นนำ Policy ไปใช้กับ Client Port:

interface GigabitEthernet1/0/10
 description USER-PC
 ipv6 nd raguard attach-policy HOST_POLICY
Syntax และความสามารถของ RA Guard แตกต่างกันตาม Cisco Platform และ Software Release ก่อนใช้งานจริงควรตรวจ Command Reference ของรุ่น Switch และ IOS/IOS XE ที่ใช้งาน

RA Guard ควรวางตรงไหน?

หลักการคือ:

Router / Authorized Infrastructure
            |
            v
          Switch
         /      \
        /        \
 Trusted       User Ports
   |               |
Router RA       Block Rogue RA

ไม่ควร Apply Policy แบบไม่วิเคราะห์ Topology เพราะอาจ Block RA จาก Router ที่ถูกต้อง และทำให้ IPv6 Client ไม่สามารถเรียนรู้ Network Configuration ได้

ภาค 5: DHCPv6 Security

DHCPv6 คืออะไร?

DHCPv6 ใช้สำหรับแจก IPv6 Configuration ให้ Client ตาม Network Design และสามารถทำงานร่วมกับ Router Advertisement ได้หลายรูปแบบ

ตัวอย่าง:

Client
   |
   v
Switch
   |
   v
Authorized DHCPv6 Server

Rogue DHCPv6 Server คืออะไร?

ถ้ามี DHCPv6 Server ที่ไม่ได้รับอนุญาตเข้ามาใน LAN: 

Authorized DHCPv6
       |
       v
     Switch
       |
       +------ Client
       |
       +------ Rogue DHCPv6
                  |
                  v
           Unwanted Configuration

Client อาจได้รับ Configuration จาก Server ที่ไม่อยู่ใน Network Design

DHCPv6 Guard คืออะไร?

DHCPv6 Guard ช่วยควบคุม DHCPv6 Messages เพื่อป้องกัน DHCPv6 Server ที่ไม่ได้รับอนุญาตบน Access Network

แนวคิด:

Authorized DHCPv6 Server
          |
          v
       Trusted Path
          |
       +--------+
       | Switch |
       +--------+
        |      |
        |      |
     Client  Rogue Server
               |
               X
          Server Message
             Blocked

ตัวอย่าง DHCPv6 Guard Policy

ตัวอย่างเชิงแนวคิดบน Cisco Platform ที่รองรับ: 

ipv6 dhcp guard policy CLIENT_POLICY
 device-role client

นำไปใช้กับ User Port:

interface GigabitEthernet1/0/10
 description USER-PC
 ipv6 dhcp guard attach-policy CLIENT_POLICY
อย่านำ Configuration ตัวอย่างไปวาง Production โดยไม่ตรวจ Platform Support ชื่อคำสั่งและ Feature Set อาจแตกต่างกันระหว่าง Catalyst Platform, IOS และ IOS XE Release

ภาค 6: IPv6 ACL

IPv6 ACL คืออะไร?

IPv6 ACL ใช้ควบคุม IPv6 Traffic ตาม Source, Destination, Protocol และเงื่อนไขที่รองรับ

ตัวอย่าง Network:

USER VLAN
2001:db8:10::/64
       |
       v
      R1
       |
       | IPv6 ACL
       v
SERVER VLAN
2001:db8:20::/64

ตัวอย่าง IPv6 ACL

สมมติต้องการอนุญาต HTTPS จาก User Network ไปยัง Server: 

ipv6 access-list USER_TO_SERVER
 permit tcp 2001:db8:10::/64 host 2001:db8:20::10 eq 443
 deny ipv6 2001:db8:10::/64 2001:db8:20::/64
 permit ipv6 any any

Apply ที่ Interface ตาม Design:

interface GigabitEthernet0/0
 ipv6 traffic-filter USER_TO_SERVER in

IPv4 ACL กับ IPv6 ACL เหมือนกันหรือไม่?

แนวคิด Filtering คล้ายกัน แต่ Syntax, Protocol Behavior และสิ่งที่ต้องอนุญาตสำหรับ IPv6 มีรายละเอียดต่างกัน

อย่า Copy IPv4 ACL Logic มาเป็น IPv6 แบบตรงตัวโดยไม่วิเคราะห์ ICMPv6 และ NDP เพราะ ICMPv6 มีบทบาทสำคัญต่อการทำงานพื้นฐานของ IPv6

ภาค 7: ICMPv6 Security

ทำไมไม่ควร Block ICMPv6 ทั้งหมด?

ใน IPv6 ICMPv6 เป็นส่วนสำคัญของ Protocol Operation ไม่ใช่เพียงเครื่องมือ Ping

ICMPv6 เกี่ยวข้องกับ:

  • Neighbor Discovery
  • Router Discovery
  • Router Solicitation
  • Router Advertisement
  • Neighbor Solicitation
  • Neighbor Advertisement
  • Error Reporting
  • Path MTU Discovery

ถ้า Block ICMPv6 แบบเหมารวม:

Block ICMPv6 ALL
       |
       +---- NDP problems
       |
       +---- Router Discovery problems
       |
       +---- PMTUD problems
       |
       +---- IPv6 connectivity problems
Security Policy ควรอนุญาต ICMPv6 Types ที่จำเป็นตาม Architecture และ RFC ที่เกี่ยวข้อง แทนการใช้แนวคิด “Block ICMP ทั้งหมด” แบบง่าย ๆ

Path MTU Discovery

IPv6 ใช้ ICMPv6 ในการสนับสนุน Path MTU Discovery 

Source
   |
   v
Router
   |
   | Packet too large for path
   v
ICMPv6 Packet Too Big
   |
   v
Source adjusts packet size

หาก Security Device Block Message ที่จำเป็น อาจเกิดอาการ: 

Ping works

but

Large Transfer fails

HTTPS behaves strangely

VPN / Application stalls

ภาค 8: Dual-Stack Security

Dual Stack เพิ่ม Attack Surface อย่างไร?

เมื่อ Network ใช้ทั้ง IPv4 และ IPv6: 

Application
    |
    +---- IPv4
    |
    +---- IPv6

Administrator ต้องตรวจ Security ของทั้งสอง Protocol Stack

ตัวอย่าง:

IPv4
 |
 +---- DHCP Snooping
 +---- DAI
 +---- IPv4 ACL
 +---- Firewall Policy


IPv6
 |
 +---- RA Guard
 +---- DHCPv6 Guard
 +---- NDP Security
 +---- IPv6 ACL
 +---- Firewall Policy

IPv4 ปลอดภัย ไม่ได้หมายความว่า IPv6 ปลอดภัย

สมมติ:

IPv4 ACL
DENY USER -> SERVER

IPv6 ACL
NOT CONFIGURED

ถ้า Server และ Client มี IPv6 Connectivity อาจมีเส้นทาง IPv6 ที่ไม่ได้อยู่ภายใต้ Policy แบบเดียวกับ IPv4

Dual-Stack Security Principle: ตรวจสอบว่า IPv4 และ IPv6 มี Security Intent ที่สอดคล้องกัน แม้ Syntax และ Protocol Behavior จะแตกต่างกัน

ภาค 9: Cisco IPv6 Security Lab

Topology

                       R1
                Authorized Router
                2001:db8:10::1/64
                       |
                       |
                    Gi1/0/24
                       |
                 +-------------+
                 |     SW1     |
                 | Cisco Switch|
                 +-------------+
                  /     |      \
                 /      |       \
           Gi1/0/1   Gi1/0/2   Gi1/0/10
              |         |          |
            PC-A      PC-B      Test Device
                                  |
                             Rogue RA /
                             Rogue DHCPv6

Security Objective

ต้องการให้:

Gi1/0/24
=
Infrastructure / Router Path


Gi1/0/1
Gi1/0/2
Gi1/0/10
=
Client Ports

Client Port ไม่ควรสามารถทำหน้าที่ เป็น Unauthorized IPv6 Router หรือ DHCPv6 Server ได้ตาม Policy ที่ออกแบบไว้

Step 1 — ตรวจ Baseline ก่อนเปิด Security

show ipv6 interface brief

show ipv6 neighbors

show interfaces status

show vlan brief

ตรวจว่า Network ทำงานปกติ ก่อนเพิ่ม Security Feature เพื่อแยก Configuration Error ออกจากปัญหาที่เกิดจาก Security Policy

Step 2 — ระบุบทบาทของ Port

Interface Role IPv6 Behavior
Gi1/0/24 Router / Infrastructure Authorized RA Path
Gi1/0/1 Client ไม่ควรเป็น Router
Gi1/0/2 Client ไม่ควรเป็น Router
Gi1/0/10 Client / Test ใช้ทดสอบ Rogue Behavior

Step 3 — สร้าง RA Guard Policy

ตัวอย่าง:

ipv6 nd raguard policy HOST_POLICY
 device-role host

Apply กับ Client Port:

interface GigabitEthernet1/0/1
 ipv6 nd raguard attach-policy HOST_POLICY

interface GigabitEthernet1/0/2
 ipv6 nd raguard attach-policy HOST_POLICY

interface GigabitEthernet1/0/10
 ipv6 nd raguard attach-policy HOST_POLICY

Step 4 — สร้าง DHCPv6 Guard Policy

ตัวอย่างเชิงแนวคิด:

ipv6 dhcp guard policy CLIENT_POLICY
 device-role client

Apply:

interface GigabitEthernet1/0/1
 ipv6 dhcp guard attach-policy CLIENT_POLICY

interface GigabitEthernet1/0/2
 ipv6 dhcp guard attach-policy CLIENT_POLICY

interface GigabitEthernet1/0/10
 ipv6 dhcp guard attach-policy CLIENT_POLICY

Step 5 — ตรวจ Client IPv6 Configuration

Client ควรยังสามารถเรียนรู้:

IPv6 Prefix

Default Router

Required IPv6 Configuration

ตาม Architecture ที่ออกแบบไว้

Step 6 — ทดสอบ Unauthorized RA

ใน Lab ที่แยกจาก Production ทดสอบว่าถ้า Client Port พยายามทำหน้าที่ Router Policy สามารถป้องกัน RA ที่ไม่ควรได้รับอนุญาตได้หรือไม่ 

Test Device
     |
     | Unauthorized RA
     v
Client Port
     |
     X
 RA Guard
     |
     v
Other Clients protected
ควรทำ Security Test ใน Lab หรือ Maintenance Window เท่านั้น การจำลอง Rogue Router หรือ DHCP Server บน Production Network อาจกระทบผู้ใช้งานจริง

Step 7 — ทดสอบ Authorized Router

หลังเปิด Security Feature ต้องตรวจด้วยว่า Authorized Router ยังทำงานได้ตามปกติ 

Authorized Router
      |
      | RA
      v
    Switch
      |
      v
    Client
      |
      v
IPv6 Connectivity OK

ภาค 10: Verification Commands

ตรวจ IPv6 Interface

show ipv6 interface brief

ตรวจ IPv6 Neighbor

show ipv6 neighbors

ตรวจ IPv6 Route

show ipv6 route

ตรวจ RA Guard

คำสั่ง Verification อาจแตกต่างตาม Platform และ IOS/IOS XE Release ตัวอย่างที่พบใน Platform ที่รองรับอาจอยู่ในกลุ่ม: 

show ipv6 nd raguard policy

ตรวจ DHCPv6 Guard

ตรวจ Policy และ Interface Binding ด้วยคำสั่งที่ Platform รองรับ เช่นกลุ่มคำสั่ง: 

show ipv6 dhcp guard policy

ตรวจ Running Configuration

show running-config interface GigabitEthernet1/0/10

ใช้ตรวจว่า Policy ถูก Attach กับ Interface ที่ถูกต้องหรือไม่

ภาค 11: IPv6 Security Troubleshooting

Troubleshooting Workflow

Physical
   |
   v
VLAN
   |
   v
IPv6 Address
   |
   v
Link-Local
   |
   v
NDP
   |
   v
Router Advertisement
   |
   v
SLAAC / DHCPv6
   |
   v
Default Router
   |
   v
RA Guard
   |
   v
DHCPv6 Guard
   |
   v
IPv6 ACL
   |
   v
Routing
   |
   v
Firewall
   |
   v
Application

ปัญหา 1 — เปิด RA Guard แล้ว Client ไม่มี Default Router

ตรวจว่า:

RA comes from which port?

Correct infrastructure port?

RA Guard applied to wrong interface?

Policy role correct?

Authorized RA being blocked?

อย่า Disable RA Guard ทันที ควรตรวจ Port Role และ Policy ก่อน

ปัญหา 2 — Client มี Link-Local แต่ไม่มี Global IPv6 Address

ตรวจ:

Router Advertisement

Prefix Information

SLAAC settings

DHCPv6 design

RA Guard

VLAN

Router interface

ปัญหา 3 — Client มี IPv6 Address แต่ไม่มี Internet

ตรวจ:

Default Router

IPv6 Route

DNS

IPv6 ACL

Firewall

ISP IPv6 Routing

Return Path

ปัญหา 4 — Ping ได้ แต่บางเว็บไซต์หรือ Application ใช้ไม่ได้

ตรวจ:

DNS AAAA

Path MTU

ICMPv6 Packet Too Big

Firewall Policy

IPv6 ACL

Application IPv6 Support

อาการนี้อาจเกิดจาก ICMPv6 ที่จำเป็นต่อ Path MTU Discovery ถูก Block

ปัญหา 5 — IPv4 ใช้งานได้ แต่ IPv6 ไม่ได้

แยก Troubleshooting ออกเป็นคนละ Protocol Stack: 

Application
    |
    +------ IPv4 path
    |
    +------ IPv6 path

ตรวจ IPv6 โดยเฉพาะ:

IPv6 Address

Link-Local

Default Router

NDP

IPv6 Route

IPv6 DNS

IPv6 ACL

IPv6 Firewall Policy

ปัญหา 6 — IPv6 ใช้งานได้ทั้งที่องค์กรคิดว่าปิดไว้

ตรวจ:

Operating System IPv6

Router Advertisement

Local Router

Wireless Network

VPN Client

Virtualization

Tunnel

Firewall

Switch First-Hop Security

นี่เป็นเหตุผลหนึ่งที่องค์กรควร มี IPv6 Security Policy แม้ยังไม่ได้ Deploy IPv6 เต็มรูปแบบ

ภาค 12: IPv6 Hardening Checklist

1. สำรวจ IPv6 ก่อนสร้าง Policy

ตรวจว่า:

Which VLANs use IPv6?

Which routers send RA?

Where are DHCPv6 servers?

Which firewalls inspect IPv6?

Which clients use IPv6?

Which services have AAAA records?

2. ระบุ Infrastructure Port และ Client Port

Infrastructure
      |
      +---- Router
      +---- DHCPv6
      +---- Firewall
      +---- Trusted Network Device


Client
      |
      +---- PC
      +---- Notebook
      +---- User Device

Security Policy ต้องอ้างอิง Network Role ที่ถูกต้อง

3. ใช้ RA Guard ตามความเหมาะสม

ป้องกัน Unauthorized Router Advertisement จาก Port ที่ไม่ควรทำหน้าที่ Router

4. ใช้ DHCPv6 Guard เมื่อ Architecture รองรับ

ควบคุม DHCPv6 Server Message จาก Access Port ตาม Network Design

5. ออกแบบ IPv6 ACL แยกจาก IPv4

Policy Intent อาจเหมือนกัน แต่ Protocol Behavior ไม่เหมือนกันทั้งหมด

6. อย่า Block ICMPv6 ทั้งหมด

กำหนด Policy โดยเข้าใจ NDP, Error Handling และ Path MTU Discovery

7. ตรวจ Firewall ว่ารองรับ IPv6 Policy

IPv4 Firewall Rules
        +
IPv6 Firewall Rules
        =
Dual-Stack Security

8. Monitor IPv6 Traffic

Logging, Network Monitoring, IDS/IPS และ SIEM ควรมองเห็น IPv6 Traffic ตาม Security Architecture ขององค์กร

9. ทดสอบทั้ง Failure และ Attack Simulation

ใน Lab ควรทดสอบ:

Authorized RA

Unauthorized RA

Authorized DHCPv6

Unauthorized DHCPv6

IPv6 ACL permit

IPv6 ACL deny

ICMPv6

NDP

IPv6 Routing

DNS AAAA

10. ตรวจ Platform Support ก่อน Deploy

Feature เช่น RA Guard และ DHCPv6 Guard อาจมีความแตกต่างด้าน Syntax, Hardware Forwarding และข้อจำกัด ระหว่าง Cisco Platform

Production Rule: ตรวจ Cisco Feature Navigator, Configuration Guide และ Command Reference ให้ตรงกับ Hardware และ Software Release ก่อน Deploy Security Feature

ภาค 13: มอง IPv6 Security เป็นหลายชั้น

IPv6 Security Stack

+----------------------------------+
| Application Security             |
+----------------------------------+
| Firewall / Stateful Inspection   |
+----------------------------------+
| IPv6 ACL                         |
+----------------------------------+
| IPv6 Routing Security            |
+----------------------------------+
| RA Guard / DHCPv6 Guard          |
+----------------------------------+
| NDP / First-Hop Security         |
+----------------------------------+
| VLAN / Port Security             |
+----------------------------------+
| Physical Security                |
+----------------------------------+

ไม่มี Feature ใด Feature หนึ่ง สามารถแทน Security ทุก Layer ได้

ตัวอย่าง:

RA Guard
!=
Firewall


IPv6 ACL
!=
RA Guard


DHCPv6 Guard
!=
IPv6 ACL


VLAN
!=
Security Policy

แต่เมื่อนำมาออกแบบร่วมกัน จะเกิด Defense in Depth สำหรับ IPv6 Network

ภาค 14: คำถามที่พบบ่อย

RA Guard คือ Firewall หรือไม่?

ไม่ใช่ RA Guard เป็น First-Hop Security Feature ที่เน้นควบคุม Router Advertisement บน Layer 2 Access Network

DHCP Snooping ป้องกัน Rogue DHCPv6 ได้หรือไม่?

ไม่ควรถือว่า IPv4 DHCP Snooping จะป้องกัน DHCPv6 โดยอัตโนมัติ IPv6 มี Feature และ Policy ที่ต้องออกแบบสำหรับ DHCPv6 โดยเฉพาะ

DAI ใช้ป้องกัน IPv6 NDP ได้หรือไม่?

Dynamic ARP Inspection หรือ DAI ถูกออกแบบสำหรับ ARP ใน IPv4 ขณะที่ IPv6 ใช้ Neighbor Discovery จึงต้องใช้ IPv6 First-Hop Security ที่เหมาะสมแทน

ถ้าไม่ได้ใช้ DHCPv6 ยังต้องสนใจ RA Guard หรือไม่?

ต้องพิจารณาแยกกัน เพราะ Router Advertisement และ DHCPv6 เป็นคนละกลไก

Network ที่ใช้ SLAAC สามารถใช้ RA โดยไม่จำเป็นต้องใช้ DHCPv6 สำหรับการแจก Address แบบ Stateful

สามารถ Block ICMPv6 ทั้งหมดได้หรือไม่?

ไม่ควร เพราะ ICMPv6 เป็นองค์ประกอบสำคัญของ IPv6 เช่น NDP และ Path MTU Discovery

IPv6 ACL แทน Firewall ได้หรือไม่?

ไม่ทั้งหมด ACL เป็น Packet Filtering Mechanism ขณะที่ Stateful Firewall สามารถติดตาม Connection หรือ Session State และมี Security Capability เพิ่มเติม ตาม Platform

มี IPv4 Firewall แล้วต้องสร้าง IPv6 Firewall Policy อีกหรือไม่?

ต้องตรวจว่า Firewall มี IPv6 Policy ครอบคลุม Traffic ตาม Security Requirement หรือไม่ ไม่ควรสมมติว่า IPv4 Rule จะควบคุม IPv6 โดยอัตโนมัติ

ถ้าองค์กรยังไม่ใช้ IPv6 ควร Disable IPv6 ทุกเครื่องหรือไม่?

ไม่ควรใช้เป็นกฎตายตัว เพราะ Operating System, Application และ Infrastructure บางประเภทอาจพึ่งพา IPv6 หรือมีข้อกำหนดเฉพาะ

แนวทางที่เหมาะสมกว่าคือ สำรวจการใช้งานจริง กำหนด Policy และควบคุม IPv6 อย่างมีแผน

RA Guard เพียงอย่างเดียวเพียงพอหรือไม่?

ไม่เพียงพอ ควรพิจารณาร่วมกับ: 

Port Role
+
RA Guard
+
DHCPv6 Guard
+
IPv6 ACL
+
Firewall
+
Monitoring
+
Device Hardening

บทสรุป

IPv6 Security ต้องได้รับการออกแบบตั้งแต่ First Hop ไปจนถึง Firewall และ Application ไม่ใช่เพียงนำ IPv4 Security Configuration มาใช้ซ้ำ

องค์ประกอบสำคัญประกอบด้วย:

IPv6 Security
      |
      +---- NDP
      |
      +---- RA Guard
      |
      +---- DHCPv6 Guard
      |
      +---- IPv6 ACL
      |
      +---- ICMPv6 Policy
      |
      +---- Routing Security
      |
      +---- Firewall
      |
      +---- Monitoring

RA Guard ช่วยป้องกัน Router Advertisement จาก Port ที่ไม่ควรทำหน้าที่ Router

DHCPv6 Guard ช่วยควบคุม Unauthorized DHCPv6 Server ตาม Network Architecture

IPv6 ACL ช่วยกำหนด Traffic Policy ระหว่าง IPv6 Networks แต่ไม่ควรถูกมองว่าแทน Stateful Firewall หรือ First-Hop Security ได้ทั้งหมด

สิ่งสำคัญอีกประการคือ อย่า Block ICMPv6 ทั้งหมด เพราะ ICMPv6 เป็นส่วนหนึ่งของการทำงานพื้นฐานของ IPv6

สำหรับ Dual-Stack Network:

IPv4 Security
      +
IPv6 Security
      +
Consistent Security Intent
      =
Better Dual-Stack Security

หลังจากเข้าใจ IPv6 Routing และ IPv6 Security แล้ว หัวข้อถัดไปควรกลับมาที่ Infrastructure Service ที่สำคัญต่อทั้ง IPv4 และ IPv6 คือ DNS ซึ่งเป็นหนึ่งในจุดแรกที่ควรตรวจ เมื่อผู้ใช้บอกว่า “Ping ได้ แต่เปิดเว็บไซต์ไม่ได้”

บทความถัดไป: DNS สำหรับ Network Engineer: Recursive DNS, Authoritative DNS, A, AAAA, CNAME, MX, PTR และ Troubleshooting

SEO Title:
IPv6 Security บน Cisco: RA Guard, DHCPv6 Guard และ IPv6 ACL

Permalink:
ipv6-security-cisco-ra-guard-dhcpv6-guard

Description:
เรียนรู้ IPv6 Security บน Cisco ทั้ง RA Guard, DHCPv6 Guard, IPv6 ACL, NDP และ ICMPv6 พร้อม Lab และ Troubleshooting

Labels:
Networking, Cisco, IPv6, IPv6 Security, RA Guard, DHCPv6 Guard, IPv6 ACL, NDP, ICMPv6, Network Security

Share this
Facebook Share X
TECHEREST COMMUNITY

Share your thoughts here

Join the conversation and share your perspective on this article.

Comments will load when you reach this section.
Older →