在应用 Junos 中的接口配置下保留家族 inet6 配置的缺点或风险

网络工程 ipv6 杜松 瞻博网络
2021-08-01 17:04:17

我有一个极端情况,我需要保留family inet6IFL 下配置,而该网络中的主机不应使用 IPv6。这意味着,路由器的逻辑接口将包含家族 inet6 和链路本地地址:

root@r1> show interfaces ge-0/0/0.10   
  Logical interface ge-0/0/0.10 (Index 332) (SNMP ifIndex 534)
    Flags: Up SNMP-Traps 0x4000 VLAN-Tag [ 0x8100.10 ]  Encapsulation: ENET2
    Input packets : 0
    Output packets: 146
    Protocol inet6, MTU: 1500
    Max nh cache: 75000, New hold nh limit: 75000, Curr nh cnt: 0, Curr new hold cnt: 0, NH drop cnt: 0
      Addresses, Flags: Is-Preferred
        Destination: fe80::/64, Local: fe80::206:a00:a0e:fff0
    Protocol multiservice, MTU: Unlimited

root@r1> 

这应该意味着,当主机手动配置全局单播地址时,理论上它们可以到达目的地,但数据包不会路由回它们。但是,由于 RPF 检查,这甚至不可行。此外,主机可以通过 IPv6 访问路由器,但我认为这不是问题。这种设置还有其他风险/缺点吗?

1个回答

在我看来,这是不寻常的,并且可能会在审计中被视为配置错误,除非您将其记录得非常好 - 考虑在界面上留下评论,向后代解释为什么要这样做。

还要考虑“主机可以通过 IPv6 到达路由器”——这意味着您还应该更新您的环回过滤器以保护您的路由引擎免受到达 IPv6 的连接的影响(例如:控制平面协议、远程访问、SNMP 等)

我想知道您的极端情况,并想知道将家庭 inet6 放在环回接口上是否不是解决它的更好方法?(环回 IP 不会暴露给没有接口路由的任何其他主机)