（计算机应用技术专业论文）基于ipv6ipv4防火墙技术研究.pdf

武汉理l ：火学硕士学位论文 摘要 随着计算机网络在政治、经济、文化等诸多方面的飞速发展网络已经逐 渐成为我们日常生活中不可少的重要组成部分。与此同时，网络安全问题也随 之凸现出来，并逐渐成为企业网络应用所面临的主要问题，网络安全技术也越 来越受到i i l 所未有的广泛重视。 防火墙技术作为实现网络安全的重要方法之一，渐渐成为研究网络安全技 术的一个重要的研究方向。防火墙是指在两个网络之间执行的一个系统，它按 照事先约定的协议，控制着网络间相互访问的级别，从而保证系统及数据的安 全。 目前计算机网络的主干网是基于i p v 4 协议的i n t e r n e t ，在i n t e r n e t 的发展过 程中，i p v 4 的局限逐渐暴露出来，这些局限性严重制约了j p 技术的应用和未来 网络的发展。i p v 6 协议作为下一代网络的基础以其鲜明的技术优势得到广泛的 认可，世界各国都投入大量资金对其进行研究，以领先占领该技术，并且i p v 6 技术也已经在一些国家开始进行推广应用。在我国，虽然i p v 6 网络已经搭建成 功，但是i p v 4 网络在一段时间内还将存在和使用。在这样一个过渡阶段中，对 基于i p v 6 i p v 4 转换技术的应用进行研究有着十分重要的理论和实用价值。 论文首先阐述了课题背景、国内外研究现状和论文的创新点。第二章分析 了i p v 4 和i p v 6 协议，通过分析比较二者之间的共性和差异，并对i p v 6 地址空 问进行阐述。第三章对i p s e e 标准进行论述并重点讨论了i p v 6 实现安全机制 的方式。第四章对网络安全进行简单阐述，重点对防火墙技术进行讨论。第五 章设计了个基于i p v 6 i p v 4 的防火墙。第六章描述了实现基于i p v 6 i p v 4 的防 火墙的细节并对基于i p v 6 i p v 4 的防火墙进行测试验证。 关键词：i p v 4 i p v 6 ，i p s e c 网络安全，防火墙 武汉理】：大学硕士学位论文 a b s t r a c t w i t ht h eh i g h s p e e dd e v e l o p m e n t ，c o m p u t e rn e t w o r ki su s e di nm a n yw a y s ， s u c ha sp o l i t i c s ，e c o n o m y ，a n dc u l t u r e n e t w o r ki sb e c o m i n ga l li m p o r t a n tp a r ti no u r l i f e t h e r e w i t h ，n e t w o r ks e c u r i t yi sb r e a k i n go p e nd i r e c t l y , a n db e c o m i n gap r i m a r y p r o b l e m ，w h i c hi sf a c e dt ot h ea p p l i c a t i o n so fn e t w o r ki nm a n yc o r p o r a t i o n s a n d t h e n ，n e t w o r ks e c u r i t yi su n p a r a l l e l e dr e g a r d e db r o a d l yn o w a d a y s a so n eo ft h em o s ti m p o r t a n tt e c h n o l o g yo fn e t w o r ks e c u r i t y ，f i r e w a l l t e c h n o l o g yi sb e c o m i n ga ni m p o r t a n tw a yi nt h er e s e a r c ho fn e t w o r ks e c u r i t y f i r e w a l li sas y s t e m ，w h i c hi sr u n n i n gb e t w e e nt w on e t w o r k s f i r e w a l lc o n t r o l st h e l e v e lo fa c c e s s i n gb e t w e e nt w on e t w o r k sb yt h ep r o t o c o l ，w h i c hi sp r o m i s e d b e f o r e h a n d t h i sc o n t r o lc a nb s s u l et h es e c u r i t yo f s y s t e ma n dd a t a l a tp r e s e n t ，t h et r u n kn e t w o r ki si n t e m e t ，w h i c hi sb a s e do ni p v 4p r o t o c 0 1 i n t h ep r o c e s so ft h ei n t e r n e td e v e l o p m e n t ，t h el o c a l i z a t i o no f i p v 4i se x p o s u r e g r a d u a l l y t h e s el o c a l i z a t i o n sw e r er e s t r i c t e dt h ea p p l i c a t i o n so fi pt e c h n o l o g ya n d d e v e l o p m e n to fn e t w o r k a st h ef o u n d a t i o no fn e x tg e n e r a t i o np r o t o c 0 1 i p v 6i s r a t i f i e da b r o a db yi t sb r i l l i a n c es u p e r i o r i t yo ft e c h n o l o g y m a n yc o u n t r i e si nt h e w o r l da r er e s e a r c h i n gi ni p v 6t e c h n o l o g yw i t hag r e a td e a lo fm o n e yi no r d e rt ot a k e l e a dp o s s e s s i o no f i p v 6t e c h n o l o g y t h ea p p l i c a t i o n s ，w h i c ha r eu s e d o fi p v 6 t e c h n o l o g yi nm a n yc o u n t r i e s ，a r eb e c o m i n gp o p u l a r i nc h i n a ，a l t h o u g ht h en e t w o r k b a s e do ni p v 6i sb u i l tu p ，t h en e t w o r kb a s e do ni p v 4w i l le x i s ta n db eu s e di nal o n g t i m e i nt h i st r a n s i t i o np e r i o d ，t h er e s e a r c ho ft h ea p p l i c a t i o nb a s e do ni p v 6 i p v 4 t r a n s f o r mt e c h n o l o g yh a sa ni m p o r t a n tt h e o r ya n dp r a c t i c a l i t yu s a g e f i r s t l yt h et h e s i si n d i c a t e st h eb a c k g r o u n do ft h eq u e s t i o nf o rd i s c u s s i o n ，t h e n e wr e s e a r c hi nt h ew o r l da n dt h ei n n o v a t i o no ft h i st h e s i s t h es e c o n dc h a p t e r a n a l y z e st h ep r o t o c o lo fi p v 4a n di p v 6 ，c o m p a r e st h ec o m m o n n e s sa n dd i f i e ：r e n c e a c c o r d i n gt ot h ea n a l y s e s ，e x p a t i a t e st h es p a c eo fi p v 6a d d r e s s t h et h i r dc h a p t e r d i s c u s s e st h es t a n d a r db fi p s e c c o m p a r e st h er e a l i z a t i o no fs e c u r i t ym e c h a n i s m b a s e do ni p v 6 t h ef o u r t hc h a p t e rd i s c u s s e st h en e t w o r ks e c u r i t y ，c o m p a r e st h e f i r e w a l lt e c h n o l o g y t h ef i f t hc h a p t e rd e s i g n saf i r e w a l lb a s e do ni p v 6 i p v 4 t h e s i x t hc h a p t e rd e s c d b e st h ed e t a i l sa b o u tt h er e a l i z a t i o no ff i r e w a l lb a s e do n i p v 6 ，i p v 4a n dt e s t st h ef i r e w a l lb a s e do ni p v 6 i p v 4 k e yw o r d s ：i p v 4 ，i p v 6 i p s e c ，n e t w o r ks e c u r i t y ，f i r e w a l l 武汉理1 ：人学硕士学位论文 1 ，1 课题背景和意义 第1 章绪论 互联嘲( i n t e m e t ) 是将分布于不同地点的不同物理网络进行互连而形成的 网川刚。它的f 1 标足建立一个统一协作的、向用户提供一致服务的通信系统。 汁算机网络提供了资源共享性，提高了系统的可靠性，通过分散工作负荷提高 了工作效率并且还具有可扩充性川。然而这些特点也增加了网络安全的复杂 十牛和脆弱性，资源共享和分布增加了网络受威胁和攻击的可能性。随着计算机 刚络的普及和发展，我们的生活和工作都越来越依赖于网络。与此相关的网络 安全问题也随之凸现出来，并逐渐成为企业网络应用所面临的主要问题，网络 宜全技术越米越受到广泛重视。 防火墙技术作为网络安全技术的重要实现方法之一，是研究网络安全技术 的个砸要研究方阳。防火墙从本质j 二说是一种保护装最，它保护数据、资源 以及用p 的声誉。防火墙可以用柬限制人们从一个特别的控制点进入和离开， 防止侵入者接近本地的其它设施，并且能够有效的阻止破坏者对本地计算机系 统进行破坏。因此，防火墙通常被安装在受保护的内部网络连接到i n t e m e t 的点 上。防火墙技术领域广泛采用以应用层代理技术为主、网络层包过滤技术为辅 的方式构建防火墙系统，它通常有双重宿主机防火墙、屏蔽主机防火墙和屏蔽 了网防火批这i 利一结构形式。 i p v 6 足“i n t e r n e tp r o t o c o lv e r s i o n6 ”的缩写，也被称作下一代互联网协议 i p n 2 ( i pn e x tg e n e r a t i o n ) ，它是由t e t f v e r _ l e n & 2 4 0 ) = 2 4 & i p v 4 - p m t o c o l = = 6 ) 是纯i p v 4 的t c p 数 据包 p r i n t f ( “p r o t o c o l 2 s h ”，“i p v 4 _ t c p ) ； p r i n t f ( “s o u r c ea d d r e s s 2 d d ，d d n ”， i p v 4 - s o u r c e _ a d d r 0 。 i p v 4 - s o u r c e _ a d d r 1 ，i p v 4 一 s o u r c c _ a d d r 2 ，i p v 4 - s o u r c e _ a d d r 3 ) ； p r i n t f ( “d e s ta d d r e s s = d d d d 、n ”，i p v 4 d e s t _ a d d r 0 i p v 4 - d e s t a d d r 1 】，i p v 4 - d e s t a d d r 2 ，i p v 4 一 d e s t 二a d d r 3 ) ； t c p 2 ( s t r u c t + t c p ) ( b u f f e r + ( 4 + ( i p v 4 - v e r l e n & l5 ) ) ) ； s o u r c ep o r t = t c p - s o u r c ep o r t 0 + o x l 0 0 + t c p - s o u r e e _ p o r t 1 ；计算源端口 d e s t j o r t = t c p - d e s t _ p o r t 0 + 0 x 1 0 0 + t c p - d e s tp o r t 1 ；，计算目标端口 p r i n t f f “s o u r c ep o r t 2 d 、1 1 ”s o u r c e _ p o r t ) ； p r i n t f ( d c s tp , o r t = d 、, n ”，d e s t _ p o r t ) ； i f ( ( i p v 4 v e r 1 e n & 2 4 0 ) = ：4 & & i p v 4 - p r o t o c o l = - - 2 9 )，是6 t 0 4 数据包 f i p v 6 2 ( s t r u c t + i p v 6 ) ( b u f f e r + ( 4 + ( i p v 4 - v e r _ l e n & 15 ) ) ) ； i f ( ( i p v 6 - n e x t h e a d e r h o p l i m i t & 2 4 0 ) = = 6 ) ，数据是t c p 数据包 t e l ) 2 ( s t r u c t ，+ t c p ) ( b u f f e r + ( 3 2 + 1o ) ) ； p r i n t f ( “p r o l o e o l = s n ”，“6 t 0 4 ”) ； p r i n t f ( “s o u r c ea d d r e s s = ”) ； 武汉理 ：大学硕士学位论文 f o r ( i = 0 ；i + + ；i s o u r c e _ a d d r i ) ； p r i n t f ( “x 、r i ”i p v 6 - s o u r c e _ a d d r 15 ) ； p r i n t f ( “d e s ta d d r e s s = ”) ； f o r ( i = 0 ；i + 十；i s o u r e e _ a d d r i ) ； p r i n t f ( x w ，i p v 6 - s o u r c e _ a d d r 1 5 ) ； s o u r c e _ p o r t - - t c p s o u r c e _ _ p o r t 0 + 0 x 1 0 0 + t c p 一 s o u r c e _ p o r t 1 ； 计算源端口 d e s t _ _ p o r t - - - - t c p - d e s t _ p o r t 0 + 0 x 1 0 0 + t c p - d e s t _ p o r t 1 ；计算目标端i z ：l p r i n t f ( “s o u r c ep o r t = d n ”。t o p - s o u r c ep o r t ) ； p r i n t f ( d e s tp o r t 2 d k n ”t e p - d e s t _ p o r t ) ； 显示其它相关信息 ) ) ) 使川上面的方法区分出这倒种类型的数据包之后，下一步就是系统根据不 同情况列+ 这些数据包进行其它的相关处理。 关于u d p 、i c m p 等其它协议的数据包过滤的情况，由于篇幅的限制这 幂就不进行详细地论述了。 5 4 3 代理服务设计 根据前面5 1 节所述基本的设计思路，我们可以设计如下的程序段来实现 基于i p v 6 i p v 4 的s o c k s 代理服务功能。说明：由于设计涉及到三个主机 ( s o c k s 客户端、s o c k s 服务器和目的主机) ，因此下面分别只对部分核心程 序段进行闸述。 ( 1 ) 头文件的引入。 ： # i n c l u d e “w i n s o c k 2 | h ” # i n c l u d e “w s 2 t c p i p h ” # i n c l u d e “t p i p v 6 h ”引入i p v 6 技术支持 # p r a g m ac o m m e n t ( 1 i b ，“w s 2 3 2 ”) 引入库踊数 武汉理工大学硕士学位论文 ( 2 ) 仓u 建s o c k e t 。 s o c k e ts e n d ； s t r u c ta d d r i n f oh i n t s + r e s = n u l l ； i n t i _ c ： u p d a t e d a t a ( t r u e ) ； m e m s e t ( & h i n t s ，0 ，s i z e o f ( h i n t s ) ) ； h i n t s a i _ f a m i l y = a f _ i n e t 6 ；，指定用i p v 6 协议。这里也可以改为p f _ u n s p e c ， 让系统自己进行判断 h i n t s a is o c k t y p e = s o c k _ d g r a m ； h i n t s a i _ p r o t o c o l = i p p r o t o _ u d p ；u d p 协议。这里也可以改为0 ，让系统自己 进行选择 h i n t s a i _ f l a g s = a i _ n u m e r i c h o s t ；i p 用数字表示 r e = g e t a d d r i n f o ( ( l p c t s t r ) m _ r e e e i v e ，“2 0 0 0 ”，& h i n t s ，& r e s ) ；i g 析对方收地址 i f ( r e ! = 0 1 a f x m e s s a g e b o x ( “失败! ，) ； r e t u m ； ) r c = s e n d t o ( s e n d ，m _ s e n d t x t ，m _ s e n d t x t g e t l e n g t h o ，0 ，r e s - a i a d d r , r e s - a i _ a d d r l e n ) ； 刨建s o c k e t i f ( r e = = s o c k e t _ e r r o r ) f p r i n t f ( s t d e r r , “s e n d ( ) f a i l e d ： e r r o r d ：s 、1 1 ”。w s a g e t l a s t e r r o r o d e c o d e e r m r ( w s a o e t l a s t e r m r 0 ) ) ； a f x m e s s a g e b o x ( “创建失败： c l o s e s o c k e t ( s e n d ) ； ) e l s e a f x m e s s a g e b o x ( “创建成功! ) ； 5 7 武汉理jl 入学硕十学位论文 ( 3 ) 绑定本地监听端口。 s t r u c ta d d r i n f o + r e s = n u l l ； ，前面应该有s o c k e t 成功创建之条件 i f ( b i n d ( s e n d ，r e s - a i _ a d d r r e s - a i a d d r l e n ) = 2 s o c k e t _ e r r o r ) a f x m e s s a g e b o x ( “b i n d 失败! ) ； e l s e a f x m e s s a g e b o x ( “b i n d 成功! ) ； g e i d l g ic e m ( i d o k ) - e n a b l e w i n d o w ( t r u e ) ； ) j f ( w s a a s y n c s e l e c t ( s e n d ，m _ h w n d ，u m _ p a c k e t f d _ r e a d ) 2 = s o c k e t _ e r r o r ) 异步选择 m e s s a g e b o x ( “w s a a s y n c s e l e c tf a i l e d ! ) ； c l o s e s o c k e t ( s e n d ) ； r e t u r n ； ( 4 ) 异步触发事件。 l r e s u l tc m y 6 d d i g ：o n p a c k e t ( w p a r a mw p a r a m ，l p a r a mi p a r a m ) c h a rb u l l l 2 8 ； s o c k a d d r _ i n 6s a ； i n “a d d r l e n = s i z e o 敢s a ) ； i n ta = s i z e o f ( s o c k a d d r ) ； z e r o m e m o r y ( & s a ，s i z e o f ( s a ) ) ； 武汉理l 大学硕士学位论文 m e m s e t ( & b u f , 0 ，s i z e o f ( b u f ) ) ； i n tl e n = r e c v ( s e n d ，b u r , s i z e o f f b u o ，0 ) ； i f ( l e n i p v 6i f i n t e r f a c e4 ( s i t e1 ) ：本地迎接 r i s e sn e i g h b o rd i s c o v e r y l i n k 1 e v e la d d r e s s ：0 0 0 a - e 6 c 0 f 0 2 9 p r e f e r r e da d d r e s sf e 8 0 ：2 0 a ：e 6 m f e c o ：f 0 2 9 i n f i n i t e i n f i n i t e m u l t i c a s ta d d r e s sf f 0 2 ：1 1r e f s n o tr e p o r t a b l e m u l t i c a s ta d d r e s s 册2 ：i ：仃c 0 ：f d 2 9 ，1r e f s ，l a s tr e p o r t e r l i n km t ul5 0 0 ( t r u el i n km t u15 0 0 ) c l h r e n th o pl i m i tl2 8 r e a c h a b l et i m e3 9 5 0 0 m s ( b a s e3 0 0 0 0 m s ) r e t r a n s m i s s i o ni n t e r v a ll0 0 0 m s i ) a dt r a n s m i t s1 i n t e r f a c e3 ( s i t e1 ) ：6 o v e r ，4v i r t u a li n t e r f a c e l l s e sn e i g h b o rd i s c o v e r y l i n k l e v e la d d r e s s ：2 0 2 1 1 4 i 6 5 1 1 8 p r e f e r r e da d d r e s sf e 8 0 ：c a 7 2 ：a 5 7 6 i n f i n i t e i n f i n i t e m u l t i c a s ta d d r e s sf _ f u 2 ：1 ，lr e f s ，n o tr e p o r t a b l e m u l t i c a s ta d d r e s s 肋2 ：l ：f r 7 2 ：a 5 7 6 1r e f s 1 a s tr e p o r t e r l i n km t i j1 2 8 0 ( t r u el i n km t u6 5 5 1 5 1 c u r r e n th o pl i m i t12 8 r e a c h a b l et i m e3 9 5 0 0 m s ( b a s e3 0 0 0 0 m s ) r e t r a n s m l s s i o ni n t e r v a ll0 0 0 m s d a dt r a n s m i t s1 i n t e r f a c e2r s i t e0 、：t u n n e lp s e u d o i n t e r f a e e d o e sn o tr i s en e i g h b o l d i s c o v e r y 6 6 武汉理l ：人学硕+ 学位论文 l i n k 1 e v e la d d r e s s ：0 ，0 0 0 p r e f e r r e da d d r e s s ：2 0 2 ，1 1 4 1 6 5 1 1 8 ，i n f i n i t e i n f i n i t e l i n km t u1 2 8 0 ( t r u el i n km t u6 5 5 1 5 ) c u r r e n th o pl i m i t12 8 r e a c h a b l et i m eo r e s ( b a s e0 m s ) r e t r a n s m i s s i o ni n t e r v a l0 m s d a dt r a n s m i t s0 i n t e r f a c el ( s i t eo ) ：l o o p b a c kp s e u d o - i n t e r f a c e d o e sn o tu s en e i g h b o rd i s c o v e r y l i n k ，l e v e la d d r e s s ： p r e f e n e di d d r e s s ：1 ，i n f i n i t e i n f i n i t e l i n km t ul5 0 0 ( t r u el i n km t u15 0 0 ) c u r r e n th o pl i m i tl r e a c h a b l et i m e0 m s ( b a s e0 m s ) r e t r a n s m i s s i o ni n t e r v a l0 m s d a dt r a n s m i t s0 下面将简单说明这癌伪接口的作用： i n t e r f a c e4 ：这个伪接口是代表这台计算机的物理以太网接口。上面的 显示指明了接口的以太网m a c 地址( 0 0 - o a - e 6 c o - f o 一2 9 ) 、本地链路地址 ( f e 8 0 ：2 0 a ：e 6 仃i f e c 0 ：f 0 2 9 ) 和多播地址( f f 0 2 ：i ) 。 i n t e r f a c e3 ：这个伪接口在w i n d o w s 上用束启用6 t 0 4 机制。 i n t e r f a c e2 ：这个伪接口在w i n d o w s 上用束部署自动i p v 4 兼容隧道。 i n t e r f a c e1 ：这个伪接口表示这台计算机的i p v 6 回环地址( ：1 ) 。 ( 2 ) 在w i n d o w s 中管理i p v 6 。 表6 1 列出了在w i n d o w s 中管理i p v 6 的几个常用的命令【2 7 1 。 表6 1w i n d o w s 中管理i p v 6 的常用命令 命令描述 i p v 6 i f 显示伪接口列表 i p v 6a d u 给伪接口添加个静态i p v 6 地址 i p v 6r t 娃示小地i p v 6 路由选择表 i p v 6r t t t 在本地i p v 6 路由选择表中添加一条静念i p v 6 路由 t r a c e r t 6i p v 6 一a d d r e s s使用i p v 6 跟踪到目的i p v 6 一a d d r e s s 的路由 6 7 武汉理i ：入学硕1 ：学位论文 存m i c r o s o f tw i n d o w si i 还有一个常用命令p i n 9 6 。它用来发送i c m p v 6 回 应请求消。世、剑指定的的地址，以显示目的地址i p v 6 节点的可到达性。该命令 的语法如+ 卜： c ：d o c u m e n t sa n ds e t l j n g s c j p i n 9 6 驴v 6 一a d d r e s s z o n e 硼 命令p i n 9 6 发送回应请求消息到指定的目的i p v 6 - a d d r e s s 节点。可选参数 z o n e i d 确定日的i p v 6 a d d r e s s 的范围。但目的i p v 6 - a d d r e s s 是一个本地链路地址 ( f e 8 0 ：1 0 ) 或者本地站点地址( f e c 0 ：1 0 ) 时应使用参数z o n e i d 。具体方法 址： 存咖v 6 a d d r e s s 赴小地链路地址这种情况下。在字符后跟一个对应与 节点伪接l 一的数字表示了z o n e i d 参数的语法。i c m p v 6 数据包必须从该接口 发送到 j 的本地链路地址。倒如在前面的验证i p v 6 实验中以太网接口的伪接口 数字足4 ，所以必须使j f j 如下的命令从这个节点p i n g 本地链路地址 f e 8 0 ：2 0 a ：e 6 f f ：f e c o ：f 0 2 9 ： c ：d o c u m e n t sa n ds e t t i n g s c j p i n 9 6f e 8 0 ：2 0 a ：e 6 仟凫c 0 ：f 0 2 9 4 ，i ：i p v 6 o d d r e s s 止i ：1 小地站t i 地址这种情况下，在字符后跟站点编号表示 了z o n e i d 参数的语法。使川下诬的命令可以在w i n d o w s 节点上找出站点编号： n e t s hi n t e r f a c ei p v 6s h o wi n t e r f a c el e v e l - - v e r b o s e 如果没有使用多个站点就不需要本地站点地址的z o n e i d 参数。 当目的地址是h j 聚集全球单播地址的时候! l ! i j 不需要z o n e i d 参数。 ( 3 ) 机w i n d o w sl i 定义陀胃隧道。 “卜f f 【i 通过 一个简一n 的拟i 扑结构( 如图6 1 所示) 来说明如何在w i n d o w s 币 定义雕w 隧道。其t m ；4 设分州给路由器( 这晕假设为c i s c o 双栈路由器) 的配 胃隧道接it u n n e l 0 的i p v 4 地址是2 0 2 1 i 4 1 6 5 1 0 ，i p v 6 地址是 2 f 3 e ：4 1 0 ：i m 强：1 6 4 。w i n d o w s ”j 囊的i p v 4 地址足2 0 2 ，1 1 4 1 6 5 1 1 8 。配置隧道的 伪接口地，i i = 魁2 f 3 e ：4 l o ：m 6 ：2 6 4 。 按i l ： 2 0 2 1 14 2 f 3 e - t 0 ：i 图6 一l在w i n d o w s 节点和路 | 1 器之间建立一个配置隧道 武汉理i ：人学硕十学位论文 那么我们需要分别在双栈路由器和w i n d o w s 进行如下配置： 在双栈路由器中的配置： r o u t e r r l ( c o f i g ) # i n tt u n n e l 0 r o u t e r r l f e o f i g - i 0 撑i p v 6a d d r e s s2