（计算机应用技术专业论文）基于ipv6的防火墙和ids的研究.pdf

硕士论文基于i p v 6 的防火墙和i d s 的研究 摘要 为了解决基于i p v 4 协议下网络的各种问题，诸如地址资源匮乏、路由表膨胀、 缺乏对传输信息的加密和认证，缺乏q o s 支持等。i e t f 于1 9 9 4 年正式提出的 i n t e r n e t 协议第六版( i p v 6 ) 作为下一代网络协议。i p v 6 和i p v 4 相比，优点非常多， 可以说，i p v 6 是大势所趋，它代替i p v 4 只是时间问题。 但是i p v 6 的一些优点，比如它的安全机制对现有的基于i p v 4 下的防火墙和i d s 等网络安全工具产生了巨大的影响，这些在i p v 4 下工作的防火墙和i d s 等安全工 具在新环境下不能直接使用了，那么如何使防火墙和i d s 这两种经典的网络安全工 具在i p v 6 下继续使用，以使我们的网络更加安全呢? 基于这样的问题，本文认真研究了i p v 6 协议的特点、传统的防火墙和i d s 的 概念和原理以及现有的i p v 6 下防火墙和i d s 的关键技术，提出了i p v 6 下如何进行 防火墙和i d s 设计，给出了具体的设计方案，并且对开发出来的i p v 4 i p v 6 双栈防 火墙进行了简单测试，接着阐述了防火墙和i d s 协同的思想，并设计了一个可以运 用到i p v 6 环境下的防火墙和入侵检测系统协同的系统模型和两者联动的网络模型。 最后提到了现在网络安全研究的热点i p s 的特点和相关技术，并且对i p s 和防 火墙的结合以及i p s 是否可以代替i d s 作了说明。 关键词：防火墙、入侵检测、网络安全、i p s 、i p v 5 硕士论文基于 p v 6 的防火墙和i d s 的研究 a b s t r a c t i no r d e rt os o l v ee a c hk i n do f q u e s t i o i l sb a s e do nt h e 洲n e t w o r ks u c ha st h e d e f i c i e n c yo f t h ea d d r e s sr c s o u l c ，t h ei n f l a t i o no f t h er o u t et a b l e ，l a c ki ne n c r y p t i o n a n da u t h e n t i c a t i o nf o ri n f o r m a t i o nw a n s n l i t t e d , l a c ko f t h eq o ss u p p o r ta n ds oo n 正t f p r o p o s c d0 伍c i a l l yi n t c r n c tp r o t o c o lv e r s i o n6 ( i p v 旬w h i c hi n1 9 9 4a st h en e x t g e n e r a t i o ni n t c r n c tp r o t o c 0 1 c o m p a r e dw i t h 州晰t a k e sa d v a n t a g e si nm a n y a s p e c t s 蹦i sc o n d o m n e dt ob eu l t i m a t ea n dw i l lr e p l a c e1 p v 4s o o n e ro rl a t e r , b u ts o m ea d v a n t a g e so f v 6 f o ri n s t a n c ei t ss e c u r i t ym e c h a n i s mh a sh a dh u g e i n f l u e n c eo ne x i s t i n gn e t w o r ks e c u r i t yt o o ls u c ha sf i r e w a l la n dm sw h i c hb a s e do n 口v 4 t h e s et o o l sc a n n o tb eu s e dd i r e c t l yw i t h i nn e we n v i r o n m e n t t h u sh o wt om a k e f i r e w a l la n di d sw h i c ha r ec l a s s i c a ln c t w o r ks e c u r i t yt o o l sg oo nt ot a k ee f f c c ti ni p v 6 t os e r v ef o rt h es e c u r i t yo f i l e n v v o r ke m e r g e sa sa ni m p o r t a n tp r o b l e m b a s e do ns u c hq u e s t i o n , t h i sp a p e rs t u d i e dt h ea t t r i b u t e so f 婵v 6 t h ec o n c e p ta n d p r i n c i p l eo f t r a d i t i o n a lf i r e w a l la n di d sa sw e l la st h ee s s e n t i a lt e c h n o l o g yu n d e rt h e e x i s t i n gf i r e w a l la n di d sb a s e do n 口v 6 p r o p o s e dt h ed e s i g nf o rf i r e w a l la n de d s u n d e r 6a n dp r o v i d e dc o n c r e t ep l a n so f d e s i g n , a n dt e s t e dma n d 蹦d o u b l e s t a c kf i r e w a l ls h n p l y t h e ni n s t r u c t e dt h em i n do f c o o r d i n i n gf i r e w a l la n dt h e 玎) s t h e np r o p o s e d 缸s y s t e mm o d e lw h i c hc o u l db ea p p l i e d 、i 血v 6a n di nw h i c ht h e f i r e w a l la n dt h ei n t r u t i o nd e t e c t i o ns y s t e mc o o p e r a t ew i t he a c ho t h e r , a n dan e t w o r k m o d e li nw h i c ht h et w oi n t e r a c t sw i t he a c ho t h e r i nt h ee n dt h ep a p e rs t u d i e dr e l a t e d t e c h n o l o g i e so f i p sw h i c hi sh o ts p o tw i t h i nt h ed o m a i no f n e t w o r ks e c u r i t yp r e s e n t l y , a n do f f e r e di n s u u c f i o n sa b o u tt h ec o m b i n a t i o no f i d sa n df i r e w a l la n dw h e t h e r 【d s c o u l db er e p l a c e d 、i t h 口s k e y w o r d ：f i r e w a l l ，i n v a s i o ne x a m i n a t i o n , n e t w o r ks e c u r i t y , i p s ，i p v 6 声明 本学位论文是我在导师的指导下取得的研究成果，尽我所知，在 本学位论文中，除了加以标注和致谢的部分外，不包含其他人已经发 表或公布过的研究成果，也不包含我为获得任何教育机构的学砬或学 历而使用过的材料。与我一同工作的同事对本学位论文做出的贡献均 己在论文中作了明确的说明。 研究生签名：壑址 年7 月7 稠 学位论文使用授权声明 南京理工大学有权保存本学位论文的电子和纸质文档，可以借阅 或上网公布本学位论文的部分或全部内容，可以向有关部门或机构送 交并授权其保存、借阅或上网公布本学位论文的部分或全部内容。对 于保密论文，按保密的有关规定和程序处理。 研究生签名：蔓址肿占年7 月男目 硕士论文基于h ，6 的防火墙和i d $ 的研究 i 绪论 1 1 问题的提出 i p 协议诞生于7 0 年代中期，解决的是网络连接和计算机通讯。i p v 4 作为i p 协议的第4 版把各种网络的主机连接起来，在全球i n t e r n e t 的发展中起到了关键 的作用。但是，由于i p v 4 在设计之初在资源限制上较为保守，所以现在i n t e r n e t 的爆炸性增长引发了网络地址不足的危机，并且这个危机日益增重，按目前入网主 机的增长速度，据i e t f ( 互联网工程任务组，t h ei n t e r n e te n g i n e e r i n gt a s kf o r c e ， 简称i e t f ) 预测，基于i p v 4 的地址资源将会在2 0 0 5 2 0 1 0 年枯竭；另外，出于安 全和信息私密性的考虑，越来越多的政府部门和商业机构不再愿意在不安全的网络 上发送他们敏感的信息和进行明文的信息交流，从而导致对加密和认证的需求飞速 增长。另外，由于i p v 4 地址方案不能很好地支持地址汇聚，现有的互联网正面临 路由表不断膨胀的压力；同时，对服务质量、移动性和安全性等方面的需求都迫切 要求开发新一代i p 协议。 基于以上原因，i e t f 于1 9 9 4 年正式提出的i n t e r n e t 协议第六版( i p v 6 ) 作为下 一代网络协议。i p v 6 采用1 2 8 位地址长度，几乎可以不受限制地提供地址，彻底解 决了i p v 4 地址不足的问题。为了加强安全性，i p v 6 中定义了认证报头( a h ) 和封 装化安全净荷( e s p ) ，从而使i p v 4 中仅仅作为选项使用的i p s e c 协议作为了i p v 6 的有机组成部分，增强了i p v 6 在网络层上的安全性。 i p v 6 的出现从某些方面确实增强了系统的安全性，但是这不能说只要有i p v 6 ， 就可以确保网络安全了，这里面有很多原因，最重要的是，安全包含了各个层次， 各个方面的问题，不是仅有一个安全的网络层就可以的，如果入侵者从网络层以上 的应用层进攻，即使是再安全的网络层也是无济于事的。即使只从网络层来看，i p v 6 也不是十全十美的。 这样说来，我们的各种网络安全工具即使是在i p v 6 的环境下，也是必需的。 但是，当前的网络安全体系是基于现行的i p v 4 协议，当前的各种网络安全工具， 诸如防火墙、i d s 等，大部分也是在基于i p v 4 协议下开发的。然而，i p v 6 的安全 机制对这些安全工具产生了巨大的影响( 后面章节会具体谈到) ，我们可能会说， 那就不用i p v 6 协议了，但是i p v 6 是大势所趋，正如前面提到的一样。因此，如何 在i p v 6 下开发这些安全工具，以使我们的网络在新的协议下，能更加安全，成了 摆在我们面前的重大问题。 本文正是基于这样的问题开展的，主要目的是为了解决在i p v 6 下防火墙和i d s 的设计，以使它们能用于新的网络协议环境下 硕士论文基于，v 6 的防火墙和i d $ 的研究 1 2 本文的结构 第一章介绍了本文的研究背景。 第二章简要介绍了网络安全的基本知识，提出了作为静态安全技术的防火墙和 作为动态安全技术的i d s 的重要地位和特点。 第三章首先介绍了i p v 6 协议的概念，接着介绍了i p v 6 网络的安全性、各种安 全保障机制以及i p v 6 安全机制对现有网络安全系统的冲击，最后提了i p v 6 的发展 状况。 第四章首先介绍了防火墙技术的概念、功能、特点和分类以及工作原理和优缺 点，接着讨论了i p v 4 防火墙的现状，最后提出了i p v 6 防火墙需要考虑的问题以及 目前的i p v 6 防火墙。接着介绍了i d s 概念、分类、检测过程、系统功能和目前i d s 存在的缺陷，接着谈到了下一代i d s 系统采用的技术，最后介绍了i p v 6 下的i d s 关键技术。 第五章则基于前几章所提到的知识以及目前的一些研究成果，在f e d o r ac o r e 4l i n u x 环境下，设计实现了一个i p v 4 i p v 6 双栈防火墙，并进行了简单的测试。 第六章则基于开放源码的网络入侵检测系统s n o r t 的基础上，设计了同时支持 i p v 4 和i p v 6 的i d s 。 第七章提到了防火墙和i d s 的协同，并且在现有研究成果的基础上，设计了一 个可以运用到i p v 6 环境下的防火墙和入侵检测系统协同的系统模型和两者联动的 网络模型。 第八章也是本文的最后一章，提到了现在网络安全研究的热点i p s 的特点 和相关技术，并且对i p s 和防火墙的结合以及i p s 是否可以代替i d s 作了说明。 硕士论文基于 6 的防火墙和i d s 的研究 2 网络安全基本介绍 2 1 网络安全的定义 网络安全的定义有很多种，具体含义会随着“角度”的变化而变化，从网络管 理者角度说，他们希望对本地网络信息的访问、读写等操作受到控制和保护，避免 出现病毒、非法存取、拒绝服务等威胁，防御网络黑客的攻击。对安全保密部门来 说，他们希望对非法的、有害的或涉及国家机密的信息进行过滤和防堵，避免机要 信息泄露，对国家造成巨大损失。从用户( 个人、企业等) 的角度来说，他们希望 涉及个人隐私或商业利益的信息在传输时受到机密性、完整性和真实性的保护，避 免其他人采用窃听、冒充、篡改等手段侵犯用户的利益，同时也避免其它用户的非 授权访问。 一般而言，网络安全是指信息在进行传递的过程中，网络自身即承载和业务网 的可靠性、生存性；网络服务的可用性、可控性及信息传递过程中信息的完整性、 机密性和不可否认性。 具体到下一代网络，网络安全则包括网络服务安全( 网络安全) 、承载和业务 网络完全( 设备系统安全) 以及信息传递安全( 信息安全) 等三层内容。网络服务安 全包括服务可用性和可控性。服务可用性与承载和业务网络的可靠性以及维护能力 等有关服务可控性依靠服务接入安全、服务防否认、服务防攻击、国家对应用服 务的管制等方面保障。承载与业务网络安全包括网络可靠性与生存性。网络可靠性 与生存性依靠环境安全、物理安全、节点安全、链路安全等方面保障。这里的承载 与业务网是拥有自己节点、链路，拓扑和控制的网络。信息传递安全包括信息完整 性、机密性和不可否认性，它们分别依靠报文鉴别机制、加密机制以及密钥奋发、 数字签名等技术来保障。 2 2 网络安全技术的分类 随着i n t e r n e t 的发展，网络安全技术也在与网络攻击的对抗中不断发展。从 总体上看，经历了从静态到动态，从被动防范到主动防范的发展过程。目前市场上 很多流行的安全设备都属于静态技术范畴，主要实现方法有： 1 运用防火墙 2 运用虚拟局域网( v l a n ) 技术 3 身份验证 4 加密技术 防火墙是静态安全技术中最基本、最经济、最有效的手段之一防火墙可以实 现内部、外部网或不同信任域网络之间的隔离，可以通过监测、限制、更改跨越防 硕士论文 基于i p v 6 的防火墙和i d $ 的研究 火墙的数据流，尽可能地对外部屏蔽内部的信息、结构和运行状况，阻止不可预测 的、潜在破坏性的侵入，达到有效的控制对网络访问的作用。 在许多人看来，有了防火墙，网络就安全了，就可以高枕无忧了。其实，这是 一种错误的认识，防火墙是静态安全技术中最常用也是最成熟的技术，它可以对所 有的访问进行严格控制( 允许、禁止、报警) 。但它是静态的，而网络安全是动态 的、整体的，黑客的攻击方法有无数，防火墙不是万能的，不可能完全防止这些有 意或无意的攻击。 动态安全方法，最主要的有入侵检测和陷阱网络等。入侵检测是动态安全技术 中最成熟最典型的技术，它能够主动检测网络的易受攻击点和漏洞，对透过防火墙 的攻击进行检测并做相应反应( 记录、报警、阻断) 。入侵检测系统和防火墙配合 使用，这样可以实现多重防护，构成一个整体的、完善的网络安全保护系统。 2 3 网络安全的解决方案 通常计算机网络安全的解决方案应从以下六个方面考虑铷。 1 物理层安全解决方案 物理层安全是保护计算机网络设备等其他媒体免遭水灾、火灾等环境事故，以 及人为造成的失误和错误导致的破坏，主要有：设备安全、通信线路安全、环境安 全。另外，需采用隔离技术将不同密级要求的网络在物理上隔开，又要保证在逻辑 上它们能够相通 2 网络层安全解决方案 网络层的安全性保证了只有通过认证和授权的用户才能访问网络。通常为网络 层提供安全性控制是通过访问限制设备：如防火墙设备等。 按照防火墙的技术，建议在各中心网络边界安装防火墙，并实施相互的安全策 略控制。为了能实时地对网络入侵进行检测，建议在设置防火墙的同时配置入侵检 测系统i d s 。其他有助于提高网络层安全级别的工具有内容过滤器与病毒扫描器等。 3 系统层安全解决方案 主要包括两方面：操作系统和数据库系统，分别是针对防病毒和为敏感数据加 密。 4 应用层安全解决方案 主要有如下技术： 幸防火墙技术和入侵检测技术； 幸身份验证； 幸各种应用服务的安全性可增强配置服务来保障应用层的安全。 5 安全管理解决方案 4 硕士论文 基于i p v 6 的防火墙和i d s 的研究 幸加强安全管理制度建设； 乖加强安全组织体系的建设； 幸建立整网统一的安全建设规范； 6 m o d e m 安全 主要是为了防止对网络拨号设备的非授权访问。另外需要限制m o d e m 的速率， 防止其速率能激活s l i p 协议和p p p 协议，将会导致防火墙不起作用 硕士论文基于i p v 6 的防火墙和i d $ 的研究 3 i p v 6 技术介绍 3 1 引言 i p 协议诞生于7 0 年代中期，解决的是网络连接和计算机通讯。i p v 4 作为i p 协议的第4 版把各种网络的主机连接起来，在全球i n t e r n e t 的发展中起到了关键 的作用但随着i n t e r n e t 的用户爆炸性地增长，虽然主流的i p 协议i p v 4 的地址 位有3 2 位，可以包含4 0 亿的主机数量，但实际上可以有效分配的地址却远远小于 这一数目，其主因是i p v 4 地址以a ，b ，c 等类别的人为划分，造成了大量i p 地址 的浪费；虽然网络地址转换( n e t w o r ka d d r e s st r a n s l a t i o n ，n a t ) 等技术的广泛 使用，大大减缓了i p 地址枯竭的速度，但是，这种技术破坏了i p 协议端到端 ( e n d - t o - e n d ) 的基本原则，在很大程度上破坏了i n t e r n e t 的授权和鉴定机制，同 时也无法从根本上彻底解决i p 地址枯竭的问题；另外，出于安全和信息私密性的 考虑，越来越多的政府部门和商业机构不再愿意在不安全的网络上发送他们敏感的 信息和进行明文的信息交流，从而导致对加密和认证的需求飞速增长。此外，由于 i p v 4 地址方案不能很好地支持地址汇聚，现有的互联网正面临路由表不断膨胀的压 力；同时，对服务质量、移动性和安全性等方面的需求都迫切要求开发新一代i p 协议。 基于以上原因，i e t f 于1 9 9 4 年正式提出的i n t e r n e t 协议第六版( i p v 6 ) 作为下 一代网络协议。i p v 6 采用1 2 8 位地址长度，几乎可以不受限制地提供地址，彻底解 决了i p v 4 地址不足的问题。为了加强安全性，i p v 6 中定义了认证报头( a h ) 和封 装化安全净荷( e s p ) ，在i p v 6 数据报的首部格式中，用固定格式的扩展首部取代 了i p v 4 中可变长的选项字段，使在i p v 4 中仅仅作为选项使用的i p s e c ( i p s e c u r i t y ) 协议，成为i p v 6 的有机组成部分，成为i p v 6 协议族的一个子集，对所有i p v 6 网 络结点，i p s e c 是强制实现的。i p s e c 提供了三种安全机制：加密、认证和完整性。 加密是通过对数据进行编码来保证数据的机密性，以防数据在传输过程中被他人截 获而失密：认证使得i p 通信的数据接收方能够确认数据发送方的真实身份以及数据 在传输过程中是否遭到改动；完整性能够可靠地确定数据在从源到目的地传送的过 程中没有被修改。所以，一个i p v 6 端到端的传送在理论上至少是安全的，其数据 加密以及身份认证的机制使得敏感数据可以在i p v 6 网络上安全地传递，并且避免 了n a t ( 网络地址转换) 的弊病。 3 2i p v 4 和i p v 6 的主要区别 实践表明，i p v 6 相较于i p v 4 有很多优点，在许多性能上比i p v 4 更为强大、高效。 i p v 4 和i p v 6 的一些比较显著的区别，见表3 1 。 6 硕士论文 基于i p v 6 的防火墙和i d s 的研究 表3 ii p v 4 和i p v 6 的主要区别 i p v 4 i p v 6 地址长度3 2 位 地址长度1 2 8 位 i p s e c 为可选扩展协议i p s e c 成为i m 的组成部分，对i p s e c 的支持 是必须的 由路由器和发送主机两者来完成分段路由器不再做分段工作，分段仅由发送主 机进行 数据报头中没有支持q o s 的数据流识别项基本报头中的流标识字段提供数据流识 别功能，支持不同类型的q o s 要求 报头中包含可选项所有可选内容全部移至扩展报头中 报头包括完整性检查和报头不包括完整性检查和 i g , m p 协议用于管理本地子网成员由m l d 报文替代i g m p 管理本地子网 a r p 协议使用广播a r p 请求帧对i p v 4 地址邻居发现报文替代了a r p 请求帧 进行解析 使用广播地址发送数据流至子网所有结i p v 6 不再有广播地址，而是使用面向链路 点局部范围内所有结点的组播地址 地址配置方式为手工操作或通过d h c p 协地址自动配置 议 在d n s 服务器中，i p v 4 主机名称与地址的i p v 6 主机名称与地址的映射使用新的a 6 映射使用a 资源记录类型来建立资源记录类型来建立 i n a d d r a r p a 域提供i p a 地址一主机名解i p 6 i n t 域提供i p v 6 的地址一主机名解析 析服务服务 支持5 7 6 字节数据包【可能经过分段)支持1 2 8 0 字节数据包( 不分段) i p v 6 相较于i p v 4 ，新增了很多功能，这些功能主要是： 1 i p v 6 提供巨大的地址空间。i p v 6 提供的地址长度由i p v 4 的3 2 b i t 扩展到1 2 8 b i t ，据预测，即使所有的移动电话和手表都分配一个i p 地址并联入国际互联网，i p v 6 提供的地址空间仍可以在2 0 2 0 年之前满足互联网的增长。 2 i p v 6 具有与网络适配的层次地址i p v 6 采用类似c i d r 的地址聚类机制层次的 地址结构为支持更多的地址层次，网络前缀可以分为多个层次，其中包括1 3 b i t 的 t l a - i d 、2 4 b i t 的n l a - i d 和1 6 b i t 的s l a - i d 。一般来说，i p v 6 的管理机构对t l a 的分配 进行严格管理，只将其分配给大型骨干网的i s p ，然后骨干网i s p 再可以灵活地为各个 地区中、d q s p 分配n l a ，最后用户从中、d q s p 获得地址这样不仅可以定义非常灵活 7 硕士论文 基于i p v 6 的防火墙和s 的研究 的地址层次结构，而且，同一层次上的多个网络在上层路由器中表示为一个统一的网 络前缀，明显减少了路由器必须维护的路由表项 3 可靠的安全功能保障。i e f f 研制的用于保护i p 通信的i p 安全( i p s e c u r i t y ， i p s e c ) 协议，己经成为i p v 6 的有机组成部分，所有的i p v 6 网络结点必须强制实现这套 协议。因此，建立起来的一个i p v 6 端到端的连接，是有安全保障的，通过对通信端的 验证和对数据的加密保护，可以使数据在i p v 6 网络上安全地传输。 4 提供更高的服务质量保证。i p v 6 数据包的格式包含一个8b i t 的业务流类别 ( c l a s s ) 和一个新的2 0b i t 的流标签( f l o wl a b e l ) 。它的目的是允许发送业务流的源 节点和转发业务流的路由器在数据包上加上标记，并进行除默认处理之外的不同处理 一般来说，在所选择的链路上，可以根据开销、带宽、延时或其它特性对数据包进行 特殊的处理。 5 即插即用( p l u g & p l a y ) 功能。在大规模的i p v 4 网络中，管理员为各个主机手工 配置i p 。在i p v 6 中端点设备可以将路由器发来的网络前缀和本身的链路地址( 即网 卡地址) 综合，自动生成自己的i p 地址，用户不需要任何专业知识，只要将设备接入 互联网即可接受服务，这就是即插即用，它对基于i p 的第三代移动通信和未来家电上 网提供了巨大的方便。 6 移动性能的改进。设备接入网络时，通过自动配置可以自动获取i p 地址和必 要的参数，实现“即插即用”，简化了网络管理，易于支持移动结点此外，i p v 6 不 仅从i p v 4 中借鉴了许多概念和思路，而且还定义了许多移动i p v 6 所需要的新功能，可 以将其统称为邻居结点的搜索，可以直接为移动i p v f i 提供所需的功能。 3 3 i p v 6 的报头 i p v 6 将首部长度变为固定的4 0 字节，称为基本首部。将不必要的功能取消了，首 部的字段数减少到只有8 个，虽然首部长度增大了一倍。此外，还取消了首部的检验 和字段。这样就加快了路由器处理数据报的速度。将i p v 4 的选项中的功能放在可选扩 展首部中，而路由器不处理扩展首部，因而提高了路由器的处理效率i p v 6 允许对网 络资源的预分配，支持实时视像等要求，保证一定的带宽和时延的应用。i p v 6 数据报 在基本首部的后面允许有零个或多个扩展首部，再后面是数据，如图3 1 。 图3 1i p v 6 数据报 每个i p v 6 数据报都从基本首部开始，在基本首部后面是有效荷载，它包括高层的 数据和可能选用的扩展首都。i p v 6 的基本首部如图3 2 。 8 硕士论文基于l p v 6 的防火墙和i d s 的研究 041 21 62 43 1 ( b i t s ) 版本 通信量等级 流标记 有效负载长度 下一个首部 跳数限制 源地址( 1 2 8 位) 目标地址( 1 2 8 位) 扩展首部数据( i p v 6 的有效荷载) 图3 2i p v 6 的基本首部 1 版本号( v e r s i o n ，4 位) ，i p v 6 协议的版本值为6 。 2 通信量等级( t r a f f i cc l a s s e s ，8 位) ，i p v 6 报头中的通信量等级域使得源节点 或进行包转发路由器能够识别和区分i p v 6 信息包的不同等级或优先权 3 流标记( f l o wl a b e l ，2 0 位) ，i p v 6 报头中的流标记是为了用来标记那些需要 i p v 6 路由器特殊处理的信息包的顺序，这些特殊处理包括非默认质量的服务或“实时 ( r e a l 2t i m e ) ”服务。不支持流标记域功能的主机或路由器在产生一个信息包的时候 将该域置0 。 4 有效负载长度( p a y l o a dl e n g t h ，1 6 位) ，有效负载长度使用1 6 位无符号整数表 示的，代表信息包中除i p v 6 报头之外其余部分的长度，i p v 6 信息包的有效负载长度是 6 4 k 字节。扩展首部都被认为是有效负载的一部分。 5 下一个首部( n e x th e a d e r ，8 位) ，这个8 位的选择器，当i p v 6 数据报没有扩展首 部时，下一个首部字段的作用和i p v 4 的协议字段一样。当出现扩展首部时，下一个首 部字段的值就标识后面第一个扩展首部的类型。 6 跳数限制( h o pl i m i t ，8 位) ，用来防止数据报在网络中无限制地存在。该域用8 位无符号整数表示，当被转发的信息包经过一个节点时，该值将减i ，当减到0 时，则 丢弃该信息包。 7 源地址( s o u r c ea d d r e s s ，1 2 8 位) ，信息包的发送站的i p 地址。 8 目的地址( d e s t i n a t i o na d d r e s s ，1 2 8 位) ，信息包的预期接收站的i p 地址。如 果有路由报头，该地址可能不是该信息包最终接收者的地址。 3 4i p v 6 地址类型 众所周知，目前的i p v 4 地址有3 种类型：单播( u n i c a s t ) 地址，多播( m u l t i c a s t ) 地址，广播( b r o a d c a s t ) 地址。而i p v 6 地址虽然也是3 种类型，但是已经有所改变，为： 单播( u n i c a s t ) ，多播( m u l t i c a s t ) ，任播( a n y c a s t ) 。 1 单播地址：这种类型的地址是单个接口的地址发送到一个单点传送地址的 信息包只会送到地址为这个地址的接口。 9 硕士论文 基于1 1 6 的防火墙和i d s 的研究 2 任播地址：这种类型的地址是一组接口的地址，发送到一个任意点传送地址 的信息包只会发送到这组地址中的一个 根据路由距离的远近来选择) 。 3 多播地址：这种类型的地址是一组接口的地址，发送到一个多点传送地址的信 息包会发送到属于这个组的全部接口。在i p v 6 中去掉了广播地址，主要是考虑到网络 中由于大量广播包的存在，容易造成网络的阻塞。而且由于网络中各节点都要对这些 大部分与自己无关的广播包进行处理，对网络节点的性能也造成影响。i p v 6 将广播看 作是多播的一个特例。 3 。5i p v 6 地址表达方式 在i p v 4 中，一般有二进制和点分十进制两种格式的地址表示方法。二进制是i p v 4 地址体系的基础，是实际运作的真实疋地址的表示方法。十进制是由二进制编译过来 的，采用十进制是为了便于使用和比较。对于i p v6 来说，采用二进制表示方法来表 示相应的口地址就显得更加的不便和容易出错。r f c l 8 8 4 规定的标准语法建议把i p v 6 地址的1 2 8 位( 1 6 个字节) 写成8 个1 6 位的无符号整数，每个整数用四个十六进制位表 示，这些数之间用冒号( ：) 分开，例如：3 彘：3 2 0 l ：1 4 0 l ：l ：2 8 0 ：c 8 位f e 4 d ：d b 3 9 从上面的例子我们看到了手工管理i p v 6 地址的难度，也看到了d h c p 和d n s 的必要 性。为了进一步简化i p v 6 的地址表示，可以用0 来表示0 0 0 0 ，用l 来表示0 0 0 1 ，用2 0 来表示0 0 2 0 ，用3 0 0 来表示0 3 0 0 ，只要保证数值不便，就可以将前面的0 省略。比如： 1 0 8 0 ：0 0 0 0 ：o o o o ：o o o o ：0 0 0 8 ：0 8 0 0 ：2 0 0 c ：4 1 7 a o o o o ：o o o o ：0 0 0 0 ：o o o o ：o o o o ：o o o o ：0 a 0 0 ：o 0 0 1 可以简写为： 1 0 8 0 ：0 ：0 ：o ：8 ：8 0 0 ：2 0 0 c ：4 1 7 a o ：0 ：o ：0 ：0 ：o ：a 0 0 ：i 另外，还规定可以用符号：表示一系列的0 。那么上面的地址又可以简化为： 1 0 8 0 ：o ：8 ：8 0 0 ：2 0 0 c 4 1 7 a ：a 0 0 ：1 在i p v 6 协议应用的初始阶段，i p v 4 和i p v 6 地址必将大量共存，于是，我们采用i p v 4 和i m 地址的混合表示方法：x ：x ：x ：x ：x ：x ：d d d d ，其中，x 9 3 然表示地址中6 个高阶1 6 位段的十六迸制值，d 则是地址中4 个低阶8 位段的十进制值( 标准i p v 4 表示) 例如， 地址o ：o ：o ：0 ：0 ：0 ：1 2 6 6 9 就是一个合法的i p v 4 地址，该地址也可以表示 成：1 2 6 6 9 0 前缀是地址的一部分，指出属于网络标识的地址位，类似于i p v 4 中的子网掩码的 作用i p v 6 路由和子网标识的前缀，与i p v 4 的。无类别域中路由”( c i d r ) 表达法的表 达方式一样。i p v 6 前缀用a d d r e s s p r e f i x - l e n g t h 表达法书写。例如，2 1 d a ：d 3 ：4 8 1 0 硕士论文基于i p v 6 的防火墙和i d s 的研究 前缀表示地址的前4 8 位为网络标识，具体的网络号为：2 i d a ：d 3 ：0 ：。i p v 4 实现通常用 带句点的十进制表示叫做子网掩码的网络前缀。i p v 6 中不使用子网掩码，只支持前缀 长度表达法。 3 6i p v 6 网络的安全性 i p v 6 网络的安全性主要通过3 个层面实现：协议安全、网络安全和安全加密的 硬件m 。 3 6 1 协议安全 i p v 6 将原先独立于i p v 4 协议族之外的报头认证和安全信息封装作为i p v 6 的扩 展头置于i p v 6 基本协议之中，它全面支持身份验证头( a h ) 认证和封装安全有效负 荷( e s p ) 信息安全封装扩展头。 3 6 1 1i p v 6 认证机制一身份认证头 i 1 身份认证头a l 的语义 i p s e c 安全性服务完全通过身份认证头( a h ) 和封装安全有效净荷头( e s p ) 两种机制 相结合而提供的，当然还要有正确的密钥管理协议。前二者可以单独使用，也可以联 合使用。如果联合使用多个扩展头，a h 应置于e s p 之前，这样，首先进行身份认证， 然后再对e s p 净荷头解密。使用i p s e c 隧道时，这些扩展头也可以嵌套。即，源结点对 i p 包进行加密和数字签名，然后发送给本地安全性网关，该网关则再次进行加密和数 字签名，然后发送给另一个安全性网关。a h 和e s p 头既可以用于i p v 4 ，也可以用于i p v 6 。 对于i p v 4 ，这些扩展头作为选项，加在正常的i p v 4 头之后，本节将讨论这些安全性机 制是如何在i p v 6 中使用的。 2 身份认证头a h 的格式 i p v 6 中的a h 与其他扩展头一起使用时，必须置于那些将由中间路由器处理的扩展 头之后，这意味着a 1 应置于逐跳扩展头、选路扩展头或分段扩展头之后。根据不同情 况，a h 可在目的地选项扩展头之前，也可在其后。在透明模式中，a h 保护初始i p 数据 报的净荷，也保护在逐跳转发中不变化的部分i p 头，如跳极限字段或选路扩展头。图 2 8 中显示了在透明模式中，当计算和增加a h 对，i p 数据报文的变化情况。图中的目 的地选项头也可以置于a h 之前对于目的i p 地址和相关的扩展头，仅在逐跳转发不发 生变化的情况下，才能得到保护。 硕士论文 基于 p v 6 的防火墙和i d s 的研究 计算a h 之前的数据 插入a h 之后的数据报 匿3 ，3 在透明模式中为i p 数据报增加a h 当a 用于隧道模式中时，使用方法与上不同。图2 9 表明了其中的区别。初始的 目的i p 地址与整个初始i p 数据报一起，封装在全新的i p 数据报中，该数据报再发送到 安全性网关。因此，整个初始i p 数据报以及传送中不变的封装i p 头部分都得以保护。 原始数据报 l 原始i p 头 i 扩展头 i t c p l 数据 i 使用方式向安全性网关发送的i p 数据报( g w ) 圈3 4 在隧道模式中为i p 数据报增加a h a h 认证头的格式如下图所示： 下一包头( 1 字节)有效数据长度( 1 字节)保留字段( 2 字节) 安全参数索引( s p i ) ( 4 字节) 序列号 ( 4 字节) 身份认证数据 ( 长度可变) 图3 5a h 格式和字段 与所有的i p v 6 扩展头一样，第一个字段是8 位的指示下包头的字段，它表示后 续的扩展头协议。其他字段包括： a 有效数据长度。此8 位字段指明a i 的有效数据的长度，以3 2 比特为单位，其值为 3 2 比特的倍数值减2 0 正如初始的定义，a h 包含6 4 位，其余部分为身份认证数据。因此 1 2 硕士论文 摹于 v 6 的防火墙和i d s 的研究 净荷长度字段只指出身份认证数据以3 2 位字为单位的长度。加入序列号字段后，此值 等于身份认证数据加上序列号字段的长度。 b 保留字段。有效数据长度字段之后的1 6 位为将来使用而保留。目前，此1 6 位必须 全部置为0 。 c 安全性参数索引( s p i ) 。安全性参数索弓 与目的i p 地址和安全性协议一起使用， 主要用于指明该连接中身份认证头a h 所使用的一组安全连接s a 的参数。 d 序列号。此3 2 位字段是一个计数器，由发送者插入l p 头，但不一定由接收者使用。 从0 开始，每发送一个数据报，该序列号n 1 ，这可用于预防重放攻击。若接收者使用 此字段来对抗重放攻击，则会将与已收到的数据报文具有相同序列号的数据报文，予 以丢弃。 e 身份认证数据。此字段又称为整体性检查值( i n t e g r i t yc h e c kv a l u e ，i c y ) ，这 是a b 的核心。其内容的长度必须是3 2 位的整数倍，为满足这个条件，其中可能包含填 充字段。 3 。6 1 2i p v 6 加密机制封装安全有效净荷头e s p 1 封装安全有效净荷头e s p 的语义 封装安全有效净荷头e s p 必须跟随在去往目的结点所途经的中间结点需要算要处 理的扩展头之后，e s p 头之后的数据都可以被加密。与身份认证头a h 类似，e s p 头既可 用于隧道模式，也可用于透明模式。在透明模式中，如果有身份认证头，贝i j i p 头以及 逐跳扩展头、选路扩展头或分段扩展头都在a h 之前，a h 头之后跟随e s p 头，而任何目 的地选项头可以在e s p 头之前，也可以在e s p 头之后，或者前后都有，但是，只有在e s p 头之后的扩展头才会被加密。 类似前面所描述的a h 头的情形，使用安全性网关是一种替代方法。安全性网关可 以直接与结点连接，也可以链接到另一个安全性网关。单个结点可以在隧道模式中使 用e s p ，即加密所有出境包，并封装到单独的i p 数据报流中，再发送给安全性网关， 然后网关解密业务流，并重新将原始i p 数据报文发往目的地。使用隧道模式时，e s p 头对整个i p 数据报文进行封装。e s p 头与a h 的结合也有几种不同方式，例如以隧道方 法传送的数据报可能有透明模式的a h 。 2 封装安全有效净荷头e s p 的格式 e s p 字段共分为六个固定字段，其具体格式如3 5 图所示： e s p 头的每一个字段是： a 安全性参数索引( s p d ) 4 9 节，与上节提到的a h 中的3 2 位s p i 值的作用相同，指 出通信结点所使用安全连接s a 的相关参数。 b 序列号。4 字节，从0 开始，每发送一个数据报文，该值加i 。如前所述，序列号 可用于防御重放攻击，在循环用完所有2 e 3 2 个值之前，必须建立新的安全连接s a 硕士论文摹于i p v 6 的防火墙和i d s 的研究 图3 6e s p 格式和字段 c 有效数据。此字段长度可变，它实际上包含数据报文的加密部分以及加密算法需 要的补充数据，例如初始化数据。 d 填充位。0 2 5 5 字节，主要是用于满足某些加密算法要求为一定字节的整数位的 需要，而在有效数据字段之后增加一些数字位作为有效数据的填充。 e 填充长度。此字段指明填充位字段的字节数。 f 下一包头：此字段像其他i m 扩展头中的字段一样操作，只不过它是靠近e s p 扩展 头的末端。 g 身份认证数据。此字段是一个整体性检查值i c y ，它对除身份认证数据本身之外 的整个e s p 头进行计算。这种身份认证计算是可选的。 3 进行封装 预计一个兼容的e s p 实现至少要求支持d e s 加密和s h a l 身份认证。它也可以支持其 他算法，但支持上述两个算法是最低要求。 3 6 2 网络安全 1 端到端的安全保证。在两端主机上对报文进行i p s e c 封装，中间路由器实现 对有i p s e c 扩展头的i p v