Descubrimiento de vecinos y RA Guard

El protocolo de descubrimiento de vecinos (NDP, RFC 4861) hace en IPv6 varias de las cosas que en IPv4 hacían el ARP y parte del DHCP. Usa mensajes de ICMPv6 identificados por su tipo:

Los mensajes de NDP se envían con límite de saltos 255; si un receptor ve otro valor, descarta el mensaje, porque eso significa que alguien lo reenvió desde fuera del enlace. No hay autenticación: cualquier equipo del segmento puede emitir cualquiera de ellos.

Un router anuncia una vida en segundos: mientras dure, los equipos que lo oyeron lo usan como puerta de enlace predeterminada. Con vida 0 anuncia que ya no es puerta de enlace, y no atrae tráfico. Un equipo de usuario no tiene motivo para anunciar nada de esto; sea una prueba, un error o un abuso, el anuncio de router desde un puerto de usuario es un incidente de configuración que se investiga (RFC 6104 describe el problema de los anuncios de router no autorizados).

Cruza ra_vistos con puertos: busca un anuncio con vida mayor que 0 que salió de un puerto de usuario.

RA Guard (RFC 6105) es un filtro del conmutador de acceso: descarta los anuncios de router que entran por un puerto donde no debe haber un router. La configuración, en esencia, dice qué puertos son «de enrutador» (se permiten) y cuáles son de usuarios o de servidores (se descartan). No requiere tocar los equipos finales.

Tiene límites que el propio RFC reconoce: no protege cuando el tráfico IPv6 va en un túnel (sala 5) ni en redes donde los equipos se hablan sin pasar por el conmutador. Es una capa, no la solución completa.

Busca en puertos los que no tienen el filtro activo.

Un anuncio sospechoso se atribuye con la cadena puerto, equipo y dueño. El conmutador sabe en qué puerto vio la dirección física; el inventario de puertos dice qué equipo está registrado allí. Si el equipo no es el del inventario, o es de un usuario que no debería anunciar routers, es un hallazgo con evidencia concreta.

Toma el puerto del anuncio de la tarea 2 y busca en puertos el equipo registrado.

Un filtro de anuncios de router debe poder reconocer el mensaje. Si un paquete se fragmenta y el primer fragmento no contiene todas las cabeceras necesarias para ver el tipo de ICMPv6, el conmutador no puede saber si dentro hay un anuncio de router. El RFC 7113, que actualiza los requisitos de RA Guard, pide a la implementación que no pase ese primer fragmento y que analice la cadena completa de cabeceras de extensión. La guía de seguridad operativa (RFC 9099) recoge la misma regla para los dispositivos de seguridad.

Qué hacer en la práctica: comprobar en la documentación del fabricante que la versión del conmutador cumple lo de la RFC 7113 y mantener el equipo actualizado.