IPV6网络安全性分析研究

２ＯＯ６年第３期　计算机与现代化　ＪＩｓＵＡＮＪＪ　ＹＵ　ＸＩＡＮＤＡｍＵＡ　总第１２７期　

ＩＰｖ６隧道技术及其安全性分析　

付爱英，曾勃炜，徐知海，陈海　

（南昌大学网络中心，江西南昌３３００２９）　

摘要－．ＩＰ￣隧道技术是在ＩＰｖ６发展的初级阶段实现ＩＰｖ６孤岛间互联的重要技术。通过介绍ＩＰｖ６隧道技术的概念、工作　机制和几种具体实现方案，分析ＩＰｖ６隧道技术的安全特性，让大家对谊技术有个全面、深层次的了解，为该技术的实际应　用和建立一个安全的网络提供参考。　关键词：ＩＰｖ６；隧道技术；网络；安全　中圈分类号：Ｔｉｔ３９３．０８　文献标识码：Ａ　

ｌＰｖ６　Ｔｕｎｎｅｌ　Ｔｅｃｈｎｏｌｏｇｙ　ａｎｄ　Ｉｔｓ　Ｓｅｃｕｒｉｔｙ　Ａｎａｌｙｓｉｓ　

ＦＵ　Ａｉ—ｙｉｎｇ，ＺＥＮＧ　Ｑｉｎｇ－ｗｅｉ，ＸＵ　Ｚｈｉ—ｈａｉ，ＣＨＥＮ　Ｈａｉ　

（Ｎｅｔｗｏｒｋ　Ｃ，ｅｎｔｅｒ，№ｎｄ础ｇ　Ｕｎｉｖｅｒｓｉｔｙ，Ｎｓｎｃｈａｎ８　３３００２９，Ｃｈｉｎａ）　

￣：Ｔｈｅｉｎｔｅｒｃｏｎｎｅｃｉｉｏｎｋ　『嘲Ｉ］Ｐｖ６ｉｓｌａｎｄ．ｃａｎ　ｂｅｊＩＩＩｐｌｅ】∞哪【ｅｄｔｌｌ　］Ｐｖ６ｔｕｎｎｅｌｔｅｃｈｎｏｌｏｇｙ　ａｔｔｈｅｆｏｒｅｐａｒｔ　ｏｆ　６　ｄｅｖｅｌｏｐ－　ｍｅｎｔ．Ｉｎｔｒｏｄｕｃｉｎｇ　ｔｈｅ　ｃｏｎｃ￣　ｗｏｒｋ　ｍｅｃｈａｎｉｓｍ　ｓｅｖｅｒｖａ［ｉｍｐｌｅｎ￣ｔａｔｉｏｍ　ｏｆ　ＩＰｖ６　ｔｕｎｎｅｌ　ｔｅｃｈｎｏｌｏｇｙ　ａｎｄ　ａＩＩａ】　ｔｈｅ船神　ｃｈａｒａｃｔｅｒｉｓｔｉｃ　ｏｆ］Ｐｖ６ｔｕｎｎｅｌ　ｄ１０　∞ｔｈａｔ　ｗｅ　ｈａｖｅ蛐　ｄｅｌ汕ｕｎｄｅｒｓｔａｎｄｉｎｇ，ｔｈｅ　ｐａｐｅｒｃａｎ　ｐｒｏｖｉ＆ｒｅｆｅｒｅｎｃｅｆｏｒｔｈｅ　ｓ￣ｔｕａｌ　ａｐｐ￣ｅａ－　ｔｉｏｎ　ｏｆｔｈｅ　ｔｅｃｈｎｏｎｏｇｙ　ａｎｄ　ｔｈｅ　ｂａｓｅｍｅｎｔ　ｏｆ　ｓｅｃｕｒｉｔｙ　ｎｅｔｗｏｒｋ．　Ｋｅｙ　ｗｏｒｄｓ：］Ｐｖ６；ｔｕｒｍｅｌ　ｔｅｃｈｎｏｌｏｇｙ；ｎｅｔｗｏｒｋ；￣ｔ７　

张炯　

Ｚｈａｎｇ　Ｊｉｏｎｇ　（西安邮电学院，陕西西安７１００６１）　

（Ｘｉ’ａｎ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｐｏｓｔ＆Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ，Ｓｈａｎｘｉ　Ｘｉ’ａｎ　７１００６１）　

摘要：随着Ｉｎｔｅｒｎｅｔ的迅速发展，ＩＰｖ６下一代互联网络的到来已经成为必然趋势，下一代互联网的安全问题也成为人　

们关注的焦点。本文在ＩＰｖ６与ＩＰｖ４安全问题的对比的基础上，重点介绍了ＩＰｓｅｃ的安全框架以及安全协议（ＡＨ、ＥＳＰ、ＩＫＥ）．同时　

分析了ＩＰｓｅｃ的不足之处，并介绍了国内外下一代互联网的安全机制的研究现状，以及对未来安全问题的展望。　

关键词：ＩＰｖ６：ＩＰｓｅｃ：ＡＨ：ＥＳＰ　．　

中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７１—４７９２一（２００８）８—００５６—０３　

Ａｂｓｔｒａｃｔ：Ｗｉｔｈ　ｔｈｅ　ｒａｐｉｄ　ｄｅｖｅｌｏｐｍｅｎｔ　ｏｆ　Ｉｎｔｅｒｎｅｔ，ＩＰｖ６　ｎｅｘｔ　ｇｅｎｅｒａｔｉｏｎ　ｏｆ　ｔｈｅ　ａｒｒｉｖａｌ　ｏｆ　ｔｈｅ　Ｉｎｔｅｒｎｅｔ　ｈａｓ　ｂｅｃｏｍｅ　ａｎ　ｉｎｅｖｉｔａｂｌｅ　ｔｒｅｎｄ．Ｔｈｅ　ｎｅｘｔ　ｇｅｎｅｒａｔｉｏｎ　ｏｆ　Ｉｎｔｅｒｎｅｔ　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ　ｈａｖｅ　ｂｅｃｏｍｅ　ｔｈｅ　ｆｏｃｕｓ　ｏｆ　ａｔ—　

ｔｅｎｔｉｏｎ．Ｉｎ　ｔｈｉｓ　ｐａｐｅｒ，ＩＰｖ６　ａｎｄ　ＩＰｖ４　ｓｅｃｕｒｉｔｙ　ｉｓｓｕｅｓ　ｏｎ　ｔｈｅ　ｂａｓｉｓ　ｏｆ　ｃｏｍｐａｒｉｓｏｎ，ｔｈｅ　ｆｏｃｕｓ　ｏｎ　ｔｈｅ　ＩＰｓｅｃ　ｓｅ—　ｃｕｒｉｔｙ　ｆｒａｍｅｗｏｒｋ　ａｎｄ　ｓｅｃｕｒｉｔｙ　ａｇｒｅｅｍｅｎｔ（ＡＨ，ＥＳＰ，ＩＫＥ）．Ａｔ　ｔｈｅ　ｓａｍｅ　ｔｉｍｅ　ａｎａｌｙｓｉｓ　ｏｆ　ｔｈｅ　ｓｈｏｒｔｃｏｍｉｎｇｓ　ｏｆ　

ＩＰｓｅｃ，ａｎｄ　ｉｎｔｒｏｄｕｃｅｄ　ｔｈｅ　ｎｅｘｔ　ｇｅｎｅｒａｔｉｏｎ　ｏｆ　Ｉｎｔｅｒｎｅｔ　ｓｅｃｕｒｉｔｙ　ａｔ　ｈｏｍｅ　ａｎｄ　ａｂｒｏａｄ　ｍｅｃｈａｎｉｓｍ　ｏｆ　ｔｈｅ　ｓｔａｔｕｓ　

1 引言

随着计算机及通讯技术的飞速发展，互联网更以超乎想象的速度膨胀，IP业务的爆炸性增长，IP网络上应用的不断增加，使得原有的IPv4网越来越显得力不 从心。IP网络正在向下一代网络演进。而IPv6无疑将是下一代网络(NGN)的核心，除了带来地址空间的增大，还有许多优良的特性，比如在安全性、服务 质量、移动性等方面，其优势更加明显。我国宣布将于2005年底建成世界最大的IPv6网，标志着IPv6将会以更快的速度普及在我们的生活当中。

与此同时，由于IPv4的广泛应用，决定了从IPv4向IPv6的过渡将是长期的，渐进的。在这期间，将采用不同的过渡策略解决IPv4和IPv6的互连 互通问题，具有代表性的过渡策略解决方案主要包括双协议栈方式，隧道方式和协议翻译。在过渡期间网络上的数据流量将呈现出复杂化的趋势，其中不仅包括 IPv4的流量还包括IPv6的流量，以及IPv6 over IPv4或者IPv4 over IPv6的隧道包流量。

在这种新的网络环境中网络攻击必然呈现新的特征，也对我们的安全技术和产品提出了新的挑战。特别是对于近两年新兴的入侵防御技术，该技术使入侵检测系统联 动防火墙，与传统单一的防火墙相比，入侵防御系统IPS(Intrusion Prevention System)对数据包的控制能力检测也得到大大加强，对应用层和高层协议的检测能力有了质的飞跃。同时入侵检测技术能实时、有效的和防火墙的阻断功能结 合，在发现网络入侵的同时，联动防火墙采取行动阻止攻击，大大简化了系统管理员的工作，提高了系统的安全性。但由于入侵防御技术本身提出不久，在IPv6 尚未真正大规模应用的情况下，鲜有对该技术在IPv6环境下如何实现的研究，因此研究新的IPv6环境下的入侵防御技术，对于保障IPv4向IPv6过渡 的阶段和未来IPv6环境下的网络安全有着重要的意义。

2 IPv6所引入的安全问题

从IPv4到IPv6网络地址空间由32位增加到128位，使得IPv6的地址数量远远超过IPv4的地址数量，因此将很难通对网段内地址空间内IP地址 逐一发送试探数据包的方式进行。但是可以预见，扫描攻击在IPv6环境下肯定依然存在，只是在新的网络环境下，IPS对扫描行为的检测会重点集中到，针对 某些主机或某个主机的扫描行为上。

IPv6在我国应用与发展的探讨

IPv6作为下一代Internet的核心协议，在IPv4的基础上进行了较大的升级和改进。IPv6技术相对于IPv4技术最突出的优势是IPv6极大地扩大了地址空间，恢复了原来因地址受限而失去的端到端连接功能。本文从几个方面对Ipv6在我国目前的应用进行分析以及对发展进行展望。

IPv6是IETF设计的用于替代现行版本IP协议-IPv4-的下一代IP协议，目前我们使用的IPv4技术，最大问题是网络地址资源有限，从理论上讲，可编1600万个网络、40亿台主机。其中北美占有3/4，约30亿个，而人口最多的亚洲只有不到4亿个，中国截止2010年6月IPv4地址数量达到2.5亿，落后于4.2亿网民的需求。故发展基于下一代互联网技术的IPv6已是当务之急。目前，全国CNGIIPv6骨干网现已覆盖22个城市，深圳作为IPv6接入主干节点城市。

一、Ipv6技术的特性

（1）庞大的址址空间。其具有128位长的源和目标地址，长度是Ipv4的4倍.根本上解决了目前IP地址不足的技术难题。

（2）可扩展性。Ipv6通过在报头后添加扩展名，可以很容易地实现扩展功能。

（3）更好地支持有序发送。因为Ipv6的新字段定义了如何识别和处理信息流，使得其能够通过技术路径对复杂信息进行特别处理。

（4）安全性。Ipv6提供了认证和加密两种信息安全机制，大大增强了网络安全性。

（5）新报头格式。把不重要的字段和扩展名后移到Ipv6后面的扩展报头中，使包头能够被路由器快捷处理。

二、Ipv6在我国现状分析

（1）IPv6助力大运会。在2010年的上海世博会上，我国率先应用IPv6的技术，为上海的世博会提供宽带的接入，如官网的镜像、高清的IPTV、彩色e家等互联网应用。同时，在2011年的大运会上，也使用了一些新型的应用。大运会信息系统由运动会IT系统、赛事成绩系统、信息发布系统、运行保障与支持系统四大部分组成，全部获得了IPv6网络环境支撑。目前，我国正在建设覆盖全市的下一代IPv6城域网、IPv6无线网两大网络平台，以IPv6、云计算、物联网等前沿技术为基础，建设无线宽带视频监控、门户网站等IPv6框架下的应用系统，提供更丰富、更便捷的综合信息服务，展现新城市的魅力。 深圳试点成功后，有望在全国推广建设和大规模应用。