第23期2023年12月无线互联科技Wireless Internet Science and TechnologyNo.23December,2023作者简介:刘萌(1989 ),女,江苏徐州人,工程师,硕士;研究方向:自动化测试㊂校园IPv6网络安全风险分析及应对策略研究刘㊀萌(南京特殊教育师范学院,江苏南京210038)摘要:全球IPv4资源已无法满足信息化和互联网技术的飞速发展,下一代互联技术IPv6的诞生可以很好地解决IP 资源枯竭的问题,由IPv4向IPv6过渡是互联网发展的必然趋势㊂IPv6协议自身虽具有一定的安全性,但也带来了新的安全问题㊂文章结合校园网络实际运行情况,从IPv4与IPv6的共有问题㊁过渡技术㊁IPv6自身缺陷3个方面分析了IPv6校园网络可能面临的网络安全隐患,并对应对策略进行了初步研究㊂关键词:双栈技术;网络安全;NAT 中图分类号:TP311㊀㊀文献标志码:A 0㊀引言㊀㊀随着互联网技术的普及和万物互联时代的到来,全球IPv4地址已逐渐消耗殆尽,互联网技术的进一步发展急需新一代互联网协议技术的支撑㊂IPv6作为下一代互联网协议,它的出现将解决IPv4地址空间不足的问题,为互联网的发展提供更多可能性㊂IPv6是互联网升级演进的必然趋势,也是网络强国建设的基础支撑㊂党中央㊁国务院高度重视IPv6规模部署工作㊂2017年,中办㊁国办印发了‘推进互联网协议第六版(IPv6)规模部署行动计划“㊂2021年,全国人大通过了‘国民经济和社会发展第十四个五年规划和2035年远景目标纲要“,明确提出 全面推进互联网协议第六版(IPv6)商用部署 的任务要求㊂本文结合IPv6校园网络发展现状,对IPv6网络安全风险进行了初步分析,并对网络安全应对策略进行了初步研究㊂1㊀IPv6校园网发展现状㊀㊀IPv6地址长度为128位(IPv4为32位),与IPv4地址的总量43亿相比,IPv6地址总量为43亿的四次方,这无疑是一个庞大的数目㊂IPv6不仅能够解决未来互联网地址资源紧缺的问题,它还具有以下优点㊂1.1㊀灵活的IP 报文格式㊀㊀相比于IPv4,IPv6对报头格式做了简化设计,路由转发速度更快,提高了网络吞吐量㊂1.2㊀更高的安全性㊀㊀IPv6在协议安全和网络安全方面都具有明显的优势㊂IPv6可以提供数据源发认证㊁完整性等安全功能,可以实现端到端的加密和身份验证,进而保护数据的机密性㊁完整性和可用性,防止数据被篡改㊁窃取或伪造㊂IPv6可以提供内网安全保障,当内部主机与互联网中其他主机通信时,可通过配置互联网安全协议(Internet Protocol Security,IPsec)网关来实现内网安全㊂此外,IPv6还可以通过IPSec 隧道构建安全虚拟专用网络(Virtual Private Network,VPN)通道,提高网络的安全性㊂1.3㊀更强的扩展性㊀㊀IPv6增加了多播地址的范围和功能,IPv6报文中的扩展头支持添加新功能和新协议,进而可容纳新的技术和应用㊂IPv6还引入流标签的概念,用于标识数据流的类型和类别,可实现对不同的数据流进行更细粒度的管理和控制,从而支持网络功能的扩展和优化㊂1.4㊀更小的路由表㊀㊀IPv6的地址分配遵循聚类原则,大大减少了路由表的长度,提高了路由器转发的速率和效率㊂教育部办公厅2018年印发了‘关于贯彻落实<推进互联网协议第六版(IPv6)规模部署行动计划>的通知“㊂教育部在2021年3月发布的‘高等学校数字校园建设规范(试行)“也提出了具体要求,要加快教育系统推进IPv6基础网络设施规模部署和应用系统升级,促进下一代互联网与教育系统的深度融合和创新,持续推进IPv6规模部署的实施㊂高校校园主干网应支持IPv4和IPv6双栈协议,数据中心也应支持双栈运行㊂目前,大多数高校IPv6的部署与建设工作已初步完成,校园网接入㊁汇聚㊁核心㊁数据中心㊁出口网络等已实现支持IPv4和IPv6双栈运行,部分区域已实现纯IPv6部署,校园内部网络已全面支持IPv6设备接入,校园网各类对外发布的线上资源也已陆续支持IPv6访问㊂2㊀IPv6网络安全风险分析㊀㊀虽然IPv6协议引入了大量全新的安全机制[1],但网络环境永远存在多面性,网络安全问题仍需要持续高度关注㊂网络安全威胁主要包括嗅探㊁阻断㊁篡改和伪造等㊂随着IPv6技术的发展,新型IPv6攻击方式也逐步出现,IPv6配套的安全防护技术和设备尚不成熟,因此校园网络安全维护工作依然面临较大的挑战㊂2.1㊀IPv6与IPv4的共有安全问题㊀㊀IPv6协议继承自IPv4的网络安全问题主要有以下3种㊂2.1.1㊀网络层攻击㊀㊀IPv6协议使用邻居发现协议(Neighbor Discovery Protocol,NDP)替代了IPv4中的地址解析协议(Address Resolution Protocol,ARP)并做了改进,虽然可以在一定程度上减少像ARP欺骗之类的IPv4网络问题,但由于DNP和ARP实现原理基本一致㊂因此,针对ARP协议的ARP泛洪等攻击方式在IPv6中依然可能发生,报文侦听㊁中间人攻击等类型的安全问题也仍不可避免㊂2.1.2㊀网络层数据保密性和完整性安全问题㊀㊀虽然IPSec可以加密和保护网络层的数据传输,但由于IPSec密钥分配和管理异常复杂,目前缺乏广泛的部署,且RFC6434中不再强制使用IPSec,因此在IPv6网络中仍然可能存在窃听和中间人攻击等问题㊂2.1.3㊀网络层以上的攻击㊀㊀据统计,IPv6攻击主要集中在城域网和高校校园网络,且大量针对的是传输层和应用层的安全漏洞,这些攻击发生在网络层以上,对于IPv4和IPv6的威胁是完全一样的,如病毒和蠕虫㊁结构化语言(Structured Query Language,SQL)注入㊁主页篡改威胁等㊂2.2㊀过渡技术的安全隐患㊀㊀IPv4向IPv6演进的过渡技术主要有双栈过渡㊁网络地址转换(Network Address Translation,NAT)和隧道过渡技术㊂双栈过渡技术是指单个网络节点上同时支持IPv4和IPv6,不仅能与IPv4协议节点进行通信,也能与IPv6协议节点进行通信㊂双栈技术下的网络节点会同时面临两种协议的攻击,任一协议受到攻击都会影响另一协议的正常工作㊂此外,当前网络环境中的绝大多数操作系统和安全设备对IPv6漏洞和攻击防护能力都还比较薄弱,安全设备需要进一步升级㊂NAT过渡技术主要有地址协议转换(Network Address Translation-Protocol Translation,NAT-PT)和NAT64,NAT-PT因消耗资源大等问题已逐渐被废弃㊂目前,较多的是NAT64㊂NAT64是一种将IPv6转换成IPv4地址的技术,使用和管理起来更灵活方便,但NAT64和传统NAT技术并无差别,同样易受Dos攻击㊂NAT64将内部IPv4地址转换成外部IPv6地址,可能会暴露内部网络拓扑结构和主机信息㊂NAT64在转换过程中需对传输层字段做诸如修改端口号之类的处理,有可能导致数据传输中断或出错,影响传输可靠性,且NAT64技术只转换报文头中的地址信息,不转换报文的内容,因此无法保证端到端传输的完整性和安全性㊂隧道技术主要是IPv6over IPv4隧道,是将IPv6报文封装在IPv4报文中,在隧道中实现对IPv6报文的透传㊂隧道技术本身的安全隐患也比较多,如缺乏内置认证㊁缺乏完整性校验和加密机制㊁对IPv6和IPv4地址的映射关系不做检查㊁攻击者易伪造内外层头部向系统注入攻击流量等㊂2.3㊀IPv6协议自身漏洞㊀㊀虽然IPv6协议本身具有一定的安全性,但也存在一定的风险漏洞㊂2.3.1㊀扩展报头㊀㊀IPv6的扩展报头拓展了对新应用和协议的支持,但由于扩展报头支持插入自定义字段,有可能引入新的网络安全风险㊂例如:攻击者可能会利用IPv6的扩展报头插入恶意代码或恶意负载,影响数据的正常传输或对网络设备和主机进行恶意攻击㊂此外,由于IPv6扩展报头可以携带大量信息,也可能被利用来进行网络监听㊁流量劫持等㊂2.3.2㊀无状态地址分配㊀㊀IPv6通过邻居发现(Neighbor Discovery,ND)协议实现网络节点的无状态地址自动分配[2],这使得IPv6具有即插即用的特性㊂虽然这种方法简单灵活㊁地址管理方便,但也存在一定的安全隐患㊂无状态地址分配依赖路由器通告(Router Advertisement,RA)报文,同邻居发现协议一样都容易受到欺诈或中间人攻击㊂恶意主机可以假冒合法路由器发送伪造的RA 报文㊂另外,由于无状态地址分配使用固定的地址前缀,而且会将接口标识符附加到前缀中,其隐含的信息一旦被攻击者攻破,IPv6网络极有可能面临信息泄露和地址耗尽攻击等威胁㊂2.3.3㊀组播㊀㊀IPv6和IPv4中的组播技术工作原理和机制并不完全相同,网络安全隐患也存在差异㊂在IPv4网络中,组播技术使用组管理协议(Internet Group Management Protocol,IGMP)来实现组播路由和数据包的传输,而IPv6使用的是组播侦听发现(Multicast Listener Discover,MLD)协议,恶意攻击者可以利用MLD报文请求临近的路由加入组播群组,这种方式缺乏加入约束机制,无法保证通信的机密性,数据很容易被窃听㊂尽管IPv6协议本身存在一些漏洞,但大多数漏洞可以通过实施适当的安全措施来减轻或避免㊂随着IPv6的普及和经验技术的积累提升,对IPv6网络安全问题的应对能力也会随之不断增强㊂3㊀校园IPv6网络安全风险应对策略㊀㊀IPv6网络安全是一项系统工程[3],尤其在校园网络这种用户量庞大㊁接入设备复杂多样的环境下,不能仅仅依赖于单一的防护措施或设备,还需要使用多种安全设备㊁结合多种防护技术㊁实施科学的管理方法加以防范㊂3.1㊀科学部署,构建安全系统㊀㊀科学的部署是保障校园IPv6网络安全的首要环节㊂高校应根据地理区域㊁用户数量㊁终端类型等科学地进行IPv6网络部署,合理设计拓扑结构㊁子网规划㊁网络隔离㊁地址划分方案,充分利用IPv6地址段,扩大地址应用范围,配置时尽量避免使用易记和特殊的服务器地址,以增加网络地址被恶意扫描㊁追踪㊁隐私窃取的难度,降低网络安全隐患㊂合理制定安全措施,如访问控制列表(Access Control List,ACL)㊁防火墙㊁入侵检测系统(Intrusion Detection System,IDS)㊁域名系统(Domain Name System,DNS)等,在充分考虑校内各业务系统数据共享及功能升级的基础上精准对接各业务系统,确保网络环境的稳定性和信息数据的安全性㊂当前,校园网络中各类安全设备大多数缺乏对IPv6的支持能力,需及时升级并调整安全防范规则㊂升级后的安全设备需支持IPv4/IPv6双栈协议㊁纯IPv6协议㊁隧道㊁NAT等场景功能,应用层网关需支持IPv6地址解析,防火墙㊁反向代理㊁入侵防御系统(Intrusion Prevention System,IPS)等规则库也需要及时调整到支持上述各类场景㊂校园网络一般会有多个IPv6出口,应充分考虑出口地址的配置及IPv4/IPv6两个协议通道的安全策略㊂3.2㊀提升技术,增强防范能力㊀㊀技术能力是保障校园IPv6网络安全的关键环节㊂IPv6作为下一代的互联技术,是一项新技术,面对复杂网络环境中的各种未知挑战,需要不断加强新技术的学习㊁研发和应用,以适应网络安全日新月异的变化,提高风险应对能力㊂3.2.1㊀防火墙和入侵检测系统㊀㊀防火墙是保障校园网络安全的第一道防线,能够阻止未经授权的访问和数据流出㊂IDS和IPS也是广泛应用于IPv6网络中的入侵检测与防御技术㊂在IPv6网络环境中,IDS系统可以通过流量监测对网络中数据包的源/目的地址㊁协议类型等信息进行识别和分析,过滤出异常流量,以发现潜在的入侵行为,并发出警报㊂IPS系统在检测到入侵行为后,会自动采取防御措施,例如:封锁攻击源IP㊁对恶意流量进行过滤等㊂因此,结合使用防火墙和IDS㊁IPS可以有效提高IPv6网络的安全性㊂3.2.2㊀访问控制列表ACL㊀㊀IPv6网络的访问控制列表与IPv4网络相同,都可以基于时间㊁协议㊁源/目的地址㊁源/目的端口等进行访问控制,但在IPv4网络中只能使用简单的匹配规则和简单的包过滤技术进行安全访问控制,而在IPv6网络中可以支持更多选项如协议类型㊁IP地址范围㊁特定应用以及IPsec等更高级别的安全协议进行安全访问控制,使ACL具有更大的灵活性和安全保护性㊂3.2.3㊀加密技术㊀㊀IPv6网络中可以使用多种技术实现加密,例如:使用IPv6中最常提及的IPsec加密整个网络流量,使用安全套接字层(Secure Sockets Layer,SSL)㊁传输层安全性协议(Transport Layer Security,TLS)协议加密浏览器和服务器之间的通信㊂当前,校园网络环境中可能存在多个IPv6孤岛,很多场景会用到隧道技术进行通信,可以使用点对点隧道协议(Point-to-Point Tunneling Protocol,PPTP)㊁二层隧道协议(Layer2Tunneling Protocol,L2TP)等对VPN隧道进行加密以实现安全的连接和数据传输㊂另外,IPv6协议本身也提供了一些加密策略,例如:使用 逐跳加密 策略来保护数据在路由器之间的传输,使用 端到端加密 策略来保护数据在源节点和目的节点之间的传输等[4]㊂3.2.4㊀零信任安全模型㊀㊀IPv6零信任安全模型是一种新型的网络安全架构,其核心理念是 永远不信任,始终验证 ㊂在零信任模型中,不管内部㊁外部网络,所有用户㊁设备和流量都需要进行身份验证和授权,只有在验证通过后才能访问资源,以确保没有任何未授权的访问,有效阻止恶意用户或入侵者在网络中获得越权访问的能力㊂在校园网络中,对所有用户和设备进行严格的身份验证和授权,将校园网分割成多个安全区域,并在这些区域之间建立访问控制策略,根据不同的安全需求设置不同的访问权限,只有经过验证的用户或设备才能跨区域访问㊂3.2.5㊀AI驱动的安全㊀㊀在校园网中,部署安全监控设备并结合运用AI 技术,可以做到同时对IPv4和IPv6网络安全攻击的主动防御㊁智能分析㊂运用AI行为分析和各种机器学习算法可以主动检索㊁感知㊁把握网络运行环境态势,并快速准确地在网络流量数据中识别出潜在威胁和漏洞,一旦发现异常行为或潜在攻击,立即发出预警并采取措施进行防范和应对㊂AI技术还能智能地分析出攻击者的目的㊁行为㊁技术等并记录,以便后续更好地应对网络威胁㊂AI还可以帮助网络管理员将一些日常事务自动化执行,如漏洞扫描㊁安全审计㊁事件响应等,以提高工作效率,减轻管理压力㊂3.3㊀加强管理,完善安全机制㊀㊀安全的管理是保障校园IPv6网络安全的重要环节㊂强化安全管理㊁完善安全机制可以从以下几方面着手㊂(1)加强网络安全教育,加强全体校园网用户对网络安全知识及法律法规的学习,提高网络安全意识和防范能力㊂(2)制定详细的安全管理制度和应急预案,严格权限授予㊁访问控制㊁保密协议等的管理,规范业务流程㊁应急响应流程,定期审计网络设备和业务系统的安全日志,增强网络整体监管能力,定期对校园网络及业务系统进行安全评估和演练,可酌情增加IPv6相关的安全问题演练㊂(3)与安全机构㊁行业组织㊁校级各单位等多方面加强信息技术交流和共享,及时获取最新安全信息和威胁情报,共同应对网络安全风险挑战㊂4 结语㊀㊀本文从多方面对IPv6网络安全风险进行了分析,并从科学部署㊁技术提升㊁严格管理几方面研究了安全应对策略㊂随着IPv6协议在校园网络中的广泛应用,建立一个更安全㊁稳定的网络环境,对于保护校园数据和信息安全㊁支持日常教育教学和学习活动具有重要的意义㊂网络攻防是一场长期博弈,需要不断研究和改进安全策略,跟进新技术的发展,综合应用各种技术手段和管理措施,提高网络安全防护能力㊂参考文献[1]戴仁杰.IPv6环境下的网络安全风险及防御措施[J].中国高新科技,2020(15):143-144.[2]宋晓宇,邱泽阳.IPv6无状态地址自动配置机制分析[J].现代电子技术,2005(6):81-82.[3]崔北亮,徐斌,丁勇.IPv6网络部署实战[M].北京:人民邮电出版社,2021.[4]朱慧.高校IPv6网络安全风险及其应对策略研究[J].网络安全技术与应用,2021(7):98-100.(编辑㊀王永超)Research on campus IPv6network security risks and corresponding strategiesLiu MengNanjing Normal University of Special Education Nanjing210038 ChinaAbstract The global IPv4resources cannot meet the rapid development of information and Internet technology.The release of the next generation of Internet technology IPv6 can effectively solve the problem of IP resource depletion. The transition from IPv4to IPv6is an inevitable trend in the development of the Internet.Although IPv6protocol itself has certain security it also brings new security issues.This article analyzed the potential network security threats faced by IPv6campus networks from three perspectives including common issues between IPv4and IPv6 transition technologies and the inherent shortcomings of IPv6 and conducted preliminary research on security response strategies.Key words -。
