隨著路由的快速發(fā)展，IPv6路由協(xié)議在其中也起著重要的作用，于是我研究了一下IPv6路由協(xié)議如何改進與新問題的分析，在這里拿出來和大家分享一下，希望對大家有用。IPv4地址資源的緊缺引發(fā)了一系列安全問題，盡管IPv6路由協(xié)議在網(wǎng)絡(luò)安全上做了多項改進，但是其引入也帶來了新的安全問題。
由于我國IPv4地址資源嚴重不足，除了采用CIDR、VLSM和DHCP技術(shù)緩解地址緊張問題，更多的是采用私有IP地址結(jié)合網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT/PAT)技術(shù)來解決這個問題。比如PSTN、ADSL、GPRS撥號上網(wǎng)、寬帶用戶以及很多校園網(wǎng)、企業(yè)網(wǎng)大都是采用私有IPv4地址，通過NAT技術(shù)接入互聯(lián)網(wǎng)，這不僅大大降低了網(wǎng)絡(luò)傳輸?shù)乃俣?，且安全性等方面也難以得到保障。從根本上看，互聯(lián)網(wǎng)可信度問題、端到端連接特性遭受破壞、網(wǎng)絡(luò)沒有強制采用IPSec而帶來的安全性問題，使IPv4網(wǎng)絡(luò)面臨各種威脅。
IPv6路由協(xié)議在網(wǎng)絡(luò)安全上有改進
IPv6路由協(xié)議(IPSec) IPSec是IPv4的一個可選擴展協(xié)議，而在IPv6則是一個必備組成部分。IPSec協(xié)議可以“無縫”地為IP提供安全特性，如提供訪問控制、數(shù)據(jù)源的身份驗證、數(shù)據(jù)完整性檢查、機密性保證，以及抗重播(Replay)攻擊等。新版IPv6路由協(xié)議OSPFv3 和 RIPng采用IPSec來對路由信息進行加密和認證，提高抗路由攻擊的性能。需要指出的是，雖然IPSec能夠防止多種攻擊，但無法抵御Sniffer、DoS攻擊、洪水(Flood)攻擊和應(yīng)用層攻擊。IPSec作為一個網(wǎng)絡(luò)層IPv6路由協(xié)議，只能負責其下層的網(wǎng)絡(luò)安全，不能對其上層如Web、E-mail及FTP等應(yīng)用的安全負責。
端到端的安全保證 IPv6最大的優(yōu)勢在于保證端到端的安全，可以滿足用戶對端到端安全和移動性的要求。IPv6限制使用NAT，允許所有的網(wǎng)絡(luò)節(jié)點使用其全球惟一的地址進行通信。每當建立一個IPv6的連接，都會在兩端主機上對數(shù)據(jù)包進行 IPSec封裝，中間路由器實現(xiàn)對有IPSec擴展頭的IPv6數(shù)據(jù)包進行透明傳輸，通過對通信端的驗證和對數(shù)據(jù)的加密保護，使得敏感數(shù)據(jù)可以在IPv6 網(wǎng)絡(luò)上安全地傳遞，因此，無需針對特別的網(wǎng)絡(luò)應(yīng)用部署ALG(應(yīng)用層網(wǎng)關(guān))，就可保證端到端的網(wǎng)絡(luò)透明性，有利于提高網(wǎng)絡(luò)服務(wù)速度。
地址分配與源地址檢查在IPv6的地址概念中，有了本地子網(wǎng)(Link-local)地址和本地網(wǎng)絡(luò)(Site-local)地址的概念。從安全角度來說，這樣的地址分配為網(wǎng)絡(luò)管理員強化網(wǎng)絡(luò)安全管理提供了方便。若某主機僅需要和一個子網(wǎng)內(nèi)的其他主機建立聯(lián)系，網(wǎng)絡(luò)管理員可以只給該主機分配一個本地子網(wǎng)地址;若某服務(wù)器只為內(nèi)部網(wǎng)用戶提供訪問服務(wù)，那么就可以只給這臺服務(wù)器分配一個本地網(wǎng)絡(luò)地址，而企業(yè)網(wǎng)外部的任何人都無法訪問這些主機。由于IPv6地址構(gòu)造是可會聚的(aggregate-able)、層次化的地址結(jié)構(gòu)，因此，在IPv6接入路由器對用戶進入時進行源地址檢查，使得ISP可以驗證其客戶地址的合法性。源路由檢查出于安全性和多業(yè)務(wù)的考慮，許多核心路由器可根據(jù)需要，開啟反向路由檢測功能，防止源路由篡改和攻擊。防止未授權(quán)訪問 IPv6固有的對身份驗證的支持，以及對數(shù)據(jù)完整性和數(shù)據(jù)機密性的支持和改進，使得IPv6增強了防止未授權(quán)訪問的能力，更加適合于那些對敏感信息和資源有特別處理要求的應(yīng)用。
域名系統(tǒng)DNS 基于IPv6的DNS系統(tǒng)作為公共密鑰基礎(chǔ)設(shè)施(PKI)系統(tǒng)的基礎(chǔ)，有助于抵御網(wǎng)上的身份偽裝與偷竊，而采用可以提供認證和完整性安全特性的DNS安全擴展 (DNS Security Extensions)IPv6路由協(xié)議，能進一步增強目前針對DNS新的攻擊方式的防護，例如“網(wǎng)絡(luò)釣魚(Phishing)”攻擊、“DNS中毒(DNS poisoning)”攻擊等，這些攻擊會控制DNS服務(wù)器，將合法網(wǎng)站的IP地址篡改為假冒、惡意網(wǎng)站的IP地址等。此外，專家認為，如果能爭取在我國建立IPv6域名系統(tǒng)根服務(wù)器，則對于我國的信息安全很有必要和十分重要。靈活的擴展報頭 一個完整的IPv6的數(shù)據(jù)包可包括多種擴展報頭，例如逐個路程段選項報頭、目的選項報頭、路由報頭、分段報頭、身份認證報頭、有效載荷安全封裝報頭、最終目的報頭等。這些擴展報頭不僅為IPv6擴展應(yīng)用領(lǐng)域奠定了基礎(chǔ)，同時也為安全性提供了保障。
防止網(wǎng)絡(luò)掃描與病毒蠕蟲傳播當病毒和蠕蟲在感染了一臺主機之后，就開始對其他主機進行隨機掃描，在掃描到其他有漏洞的主機后，會把病毒傳染給該主機。這種傳播方式的傳播速度在 IPv4環(huán)境下非常迅速(如Nimdar病毒在4～5分鐘內(nèi)可以感染上百萬臺計算機)。但這種傳播方式因為IPv6的地址空間的巨大變得不適用了，病毒及網(wǎng)絡(luò)蠕蟲在IPv6的網(wǎng)絡(luò)中傳播將會變得很困難。防止網(wǎng)絡(luò)放大攻擊(Broadcast Amplication Attacks) ICMPv6在設(shè)計上不會響應(yīng)組播地址和廣播地址的消息，不存在廣播，所以，只需要在網(wǎng)絡(luò)邊緣過濾組播數(shù)據(jù)包，即可阻止由攻擊者向廣播網(wǎng)段發(fā)送數(shù)據(jù)包而引起的網(wǎng)絡(luò)放大攻擊。
防止碎片(Fragment)攻擊 IPv6認為MTU小于1280字節(jié)的數(shù)據(jù)包是非法的，處理時會丟棄MTU小于1280字節(jié)的數(shù)據(jù)包(除非它是最后一個包)，這有助于防止碎片攻擊。由此看來，IPv6路由協(xié)議確實比IPv4的安全性有所改進，IPv4中常見的一些攻擊方式，將在IPv6網(wǎng)絡(luò)中失效，例如網(wǎng)絡(luò)偵察、報頭攻擊、 ICMP攻擊、碎片攻擊、假冒地址、病毒及蠕蟲等。但數(shù)據(jù)包偵聽、中間人攻擊、洪水攻擊、拒絕服務(wù)攻擊、應(yīng)用層攻擊等一系列在IPv4網(wǎng)絡(luò)中的問題， IPv6仍應(yīng)對乏力，只是在IPv6的網(wǎng)絡(luò)中事后追溯攻擊的源頭方面要比在IPv4中容易一些。