IPV4_IPV6过渡机制安全问题探析

本栏目责任编辑：冯蕾网络通讯与安全

收稿日期：２００７－１０－２５作者简介：李安宁（１９７５－）

，男，河南省泌阳县人，河南省驻马店市委党校讲师，西安电子科技大学在读研究生，主要研究方向为计算机网络安全；姜建国（１９５６－）

，男，陕西省渭南市人，西安电子科技大学计算机学院教授、硕士生导师，主要研究方向为计算机图形图像处理和网络安全。

ＩＰＶ４／ＩＰＶ６过渡机制安全问题探析

李安宁１，２，姜建国１

（１．西安电子科技大学，

陕西西安７１００７１；２．河南省驻马店市委党校，河南驻马店４６３０００）摘要：本文分析了ＩＰｖ４到ＩＰｖ６网络过渡过程中的两种基本过渡策略，重点探讨了两种过渡机制可能存在的安全威胁，并对ＩＰｖ４／ＩＰｖ６过渡时期的安全问题提出了解决思路。

关键词：ＩＰｖ６；安全；过渡机制中图分类号：ＴＰ３９３

文献标识码：Ａ

文章编号：１００９－３０４４（２００７）２２－４０９６３－０３

ＡｎａｌｙｓｉｓｏｆＳｅｃｕｒｉｔｙＩｓｓｕｅｓａｂｏｕｔＩＰＶ４／ＩＰＶ６ＴｒａｎｓｉｔｉｏｎａｌＭｅｃｈａｎｉｓｍ

ＬＩＡｎ－ｎｉｎｇ１，２，ＪＩＡＮＧＪｉａｎ－ｇｕｏ１

（１．ＸｉｄｉａｎＵｎｉｖｅｒｓｉｔｙ，Ｘｉ＇ａｎ７１００７１，Ｃｈｉｎａ；２．ＨｅｎａｎＺｈｕｍａｄｉａｎＣｉｔｙＣｏｍｍｕｎｉｓｔＰａｒｔｙＳｃｈｏｏｌ，Ｚｈｕｍａｄｉａｎ４６３０００，

Ｃｈｉｎａ）

Ａｂｓｔｒａｃｔ：ＴｈｉｓｐａｐｅｒａｎａｌｙｚｅｓｔｈｅｔｗｏｂａｓｉｃｔｒａｎｓｉｔｉｏｎａｌｓｔｒａｔｅｇｉｅｓｆｒｏｍｔｈｅｃｕｒｒｅｎｔＩＰｖ４ｎｅｔｗｏｒｋｔｏＩＰｖ６ｎｅｔｗｏｒｋ．ＩｔｐａｙｓｍｏｒｅａｔｔｅｎｔｉｏｎｏｎｔｈｅｐｏｓｓｉｂｌｅｓｅｃｕｒｉｔｙｔｈｒｅａｔｓｏｆｔｈｅｔｒａｎｓｉｔｉｏｎａｌｍｅｃｈａｎｉｓｍｆｒｏｍＩＰｖ４ｔｏＩＰｖ６．ＴｈｅｎｉｔｐｒｏｐｏｓｅｓｓｏｍｅｔｅｎｔａｔｉｖｅｓｏｌｕｔｉｏｎｓｔｏｓｅｃｕｒｉｔｙｐｒｏｂｌｅｍｏｆｔｒａｎｓｉｔｉｏｎａｌｓｔａｇｅｆｒｏｍｔｈｅｃｕｒｒｅｎｔＩＰｖ４ｎｅｔｗｏｒｋｔｏＩＰｖ６ｎｅｔｗｏｒｋ．

Ｋｅｙｗｏｒｄｓ：ＩＰｖ６；Ｓｅｃｕｒｉｔｙ；Ｔｒａｎｓｉｔｉｏｎｍｅｃｈａｎｉｓｍ

１引言

１９９５年１２月，ＩＥＴＦ工作组提出的ＲＦＣ２４６０标准协议文档，标志着ＩＰｖ６的诞生。ＩＰｖ６从根本上解决了ＩＰｖ４地址即将枯竭的致命缺陷，并且在地址分类、报头格式、安全性、ＱｏＳ、Ｐｌｕｇ＆Ｐｌａｙ功能、移动性、寻径效率、ＩＣＭＰ等诸多方面进行了协议优化和更新，使之更加适应未来网络运行的发展需要。ＩＰｖ４向ＩＰｖ６过渡是互联网发展的趋势，在当前ＩＰＶ４与ＩＰｖ６并存的时期，我们需要从安全的角度认真关注ＩＰｖ６。

２ＩＰｖ６发展趋势及常用过渡策略

ＩＰｖ６的部署要经历一个渐进的过程。在初始阶段，ＩＰｖ４的网络海洋中会出现若干局部零散的ＩＰｖ６孤岛，这些孤岛通过跨越ＩＰｖ４的隧道彼此连接；随着ＩＰｖ６的规模应用，

原来的孤岛逐渐聚合成为骨干ＩＰｖ６Ｉｎｔｅｒｎｅｔ网络，

形成与ＩＰｖ４骨干网并存的局面，在ＩＰｖ６骨干上可以引入大量新业务，并充分发挥ＩＰｖ６优势，为了实现ＩＰｖ６与ＩＰｖ４网络资源的互访，还需要转换服务器来实现ＩＰｖ６与ＩＰｖ４的互通；最后，ＩＰｖ４骨干网逐步萎缩为局部孤岛，通过隧道连接，ＩＰｖ６占据主导地位，具备全球范围的连通性。

在ＩＰＶ４到ＩＰＶ６网络演进过程中，主要应解决以下两类问题：

（１）ＩＰｖ６孤岛互通技术：实现ＩＰｖ６网络与ＩＰｖ６网络的互通问题；

（２）ＩＰｖ６与ＩＰｖ４互通技术：实现两个不同网络之间互相访问资源。

对此，目前已经推出了１６种过渡技术，其中最基本的过渡技术包括双栈技术和隧道技术。双栈技术是指一个节点同时具有ＩＰｖ４和ＩＰｖ６两个协议栈，设备升级到ＩＰｖ６的同时保留对ＩＰｖ４的支持，可同时访问ＩＰｖ６、ＩＰｖ４设备，应用程序依靠ＤＮＳ地址解析返回的地址类型来决定使用何种协议栈。双栈技术可以在一个单一的设备上实现，也可以是一个双栈骨干网。对于双栈骨干网，其中的所有设备必须同时支持ＩＰｖ４／ＩＰｖ６协议栈，

连接双栈网络的接口必须同时配置ＩＰｖ４地址和ＩＰｖ６地址；隧道技术则是通过在一种协议中承载另一种协议，跨越不同域的互通，包括ＩＰｖ６－ｉｎ－ＩＰｖ４，ＩＰｖ６－ｉｎ－ＭＰＩＳ，ＩＰｖ４－ｉｎ－ＩＰｖ６等隧道类型。在隧道入口，以一种协议的形式来对另外一种协议的数据进行封装并发送；在隧道出口，对接收到的协议数据

９６３

本栏目责任编辑：冯蕾网络通讯与安全

解封装，并做相应的处理。通常，在隧道入口还要维护一些与隧道相关的信息，如记录隧道ＭＴＵ等参数。根据技术和应用场景的不同，这些隧道可用于ＩＰｖ６用户接入ＩＰｖ６网络，或用于ＩＰｖ６网络间的互联互通。

３ＩＰｖ４／ＩＰｖ６过渡机制面临的安全威胁

由于过渡技术本身也会存在一些安全隐患，同时对过渡技术的配置应用也会出现各种各样的安全缺陷。因此，ＩＰｖ６的过渡机制可能面临包括拒绝服务攻击在内的许多安全问题。

３．１双栈机制的安全威胁

双协议栈会带来新的安全问题，对于同时支持ＩＰｖ４和ＩＰｖ６的主机，黑客可以同时用两种协议进行协调攻击，发现两种协议中存在的安全弱点和漏洞，或者利用两种协议版本中安全设备的协调不足来逃避检测。给双栈机制带来安全威胁的因素主要有以下几种：

３．１．１双栈技术安全

在ＩＰｖ４网络安全方面，我们已经有很多的办法加以保护，在ＩＰｖ６网络安全方面也要达到现有ＩＰｖ４过滤水平。因为系统管理员往往喜欢分给它一个以该地址所属的类前缀为开头的地址（通常比：：ｆｆ低），这就使得需要扫描的ＩＰｖ６地址范围小许多，所以一个外部用户发现一个重要服务器的ＩＰｖ６地址并不困难。在这种情况下，如果某些基本过滤功能没有加载，恶意用户就有可能很轻易地把ＩＰｖ６作为一个入口点，从入口机器上使用ＩＰｖ４或ＩＰｖ６去访问私有网络，并进一步危及网络内的设备。另外，偶尔也有黑客在侵入ＩＰｖ４设备后，激活ＩＰｖ６－ｉｎ－ＩＰｖ４隧道，这样就可以成功地绕过过滤和入侵检测系统（ＩＤＳ）了。

３．１．２ＤＳＴＭ技术安全

ＤＳＴＭ技术的基本思想是：在纯ＩＰｖ６域内，当支持双协议栈的ＤＳＴＭ节点需要ＩＰｖ４地址时，可以通过与ＤＳＴＭ服务器进行基于ＩＰｖ６的通信得到一个临时ＩＰｖ４地址，然后使用这个ＩＰｖ４地址通过ＩＰｖ４－ｏｖｅｒ－ＩＰｖ６隧道与网关ＴＥＰ通信，ＴＥＰ再利用ＩＰｖ４直接与ＩＰｖ４网络通信。

由于ＤＳＴＭ技术要求ＤＳＴＭ节点需要通过向ＤＳＴＭ服务器请求临时地址来动态配置ＩＰｖ４栈，这直接为ＤＳＴＭ在地址分配方面带来一个重大缺陷——

—容易受到ＤｏＳ攻击，虽然ＤＳＴＭ网络要求是一个Ｉｎｔｒａｎｅｔ环境，ＤｏＳ攻击对地址池的威胁有限，但这个问题仍然不容忽视。

３．１．３ＢＩＳ技术安全

ＢＩＳ技术在ＩＰｖ４协议栈中插入三个特殊的扩展模块：域名解析模块、地址映射模块和报头翻译模块。当ＩＰｖ４应用程序与纯ＩＰｖ６节点通信时，将节点的ＩＰｖ６地址映射成一个备用ＩＰｖ４地址池中的ＩＰｖ４地址。

采用ＢＩＳ技术的双栈主机上的ＩＰｖ４应用和其他ＩＰｖ４主机通信时，可以实施所有层面上的安全策略。同时，运行ＩＰｖ６应用的主机通过完整的ＩＰｖ６协议栈和其他ＩＰｖ６的主机通信时，象其他普通的ＩＰｖ６间通信一样，也可以在所有层面上实施安全策略。然而，当主机上的ＩＰｖ４应用利用ＢＩＳ机制和其他的ＩＰｖ６主机通信时，不能实施网络层以上的安全策略。因为，当加密携带有ＩＰ地址的协议数据时，或者以ＩＰ地址作为主键对协议数据进行加密后，这种机制不能在ＩＰｖ４和ＩＰｖ６的数据之间进行转换。因此如果需要采用安全机制与其他ＩＰｖ６主机进行通信，首先需要把现有的应用升级为ＩＰｖ６的应用。

３．１．４ＳＯＣＫＳ６４技术安全

ＳＯＣＫＳ６４技术通过在ＩＰｖ４主机端增加了一个功能部件ＳｏｃｋｓＬｉｂ、在网关处增加了一个功能部件Ｇａｔｅｗａｙ，提供了ＩＰｖ４主机通过双栈网关与ＩＰｖ６主机通信的解决方案。

由于ＳＯＣＫＳ６４是直接建立在ＳＯＣＫＳｖ５协议基础上的，其安全方面的特点与ＳＯＣＫＳｖ５相一致。它不提供从原始源节点到最终目的节点的整体端到端的安全保证，但是由于它建立了应用层两个“分开的”连接的中继，所以端到端的安全就由这两个被中继的链接来提供保证。

３．２隧道机制的安全威胁

由于隧道机制对任何来源的数据包只进行简单的封装和解封，而不对ＩＰｖ４和ＩＰｖ６地址的关系做严格的检查，所以隧道机制的引入，会给网络安全带来更复杂的问题，也较多的出现安全隐患。隧道机制带来的安全威胁主要有以下几种：

（１）利用源地址伪造躲避追踪

ＩＰｖ４网络中的攻击者可以通过发送伪造的封装数据包给隧道端点，对ＩＰｖ６节点进行攻击，同时通过伪造源ＩＰｖ４地址躲避追踪。

９６４

电脑知识与技术

本栏目责任编辑：冯蕾网络通讯与安全

（２）利用源地址伪造进行反射ＤｏＳ攻击

ＩＰｖ４网络中的攻击者可以发送源ＩＰｖ６地址伪造为被攻击者的ＩＰｖ６地址的封装数据包给隧道端点，对ＩＰｖ６节点进行反射ＤｏＳ攻击。

（３）利用ＮＤ（邻居发现协议）消息欺骗

隧道技术将ＩＰｖ４网络看作链路层，ＩＰｖ４网络中的攻击者可以伪造使用ＬｉｎｋＬｏｃａｌ地址的ＩＰｖ６ＮＤ消息，封装后发送给隧道端点，从而对隧道端点进行欺骗和ＤｏＳ攻击。

（４）利用ＩＰｖ４广播地址ＤｏＳ攻击

攻击者可以将目的地址伪造为由６ｔｏ４路由器或者Ｒｅｌａｙ路由器子网广播地址映射形成的６ｔｏ４地址，使得数据封装后直接在路由器子网内广播，进行攻击。

（５）服务窃取

自动隧道的Ｒｅｌａｙ节点一般只能由特定的合法运营商提供，但非法用户可以通过在ＩＰｖ６主干网络中扩散特定地址前缀信息，同时在ＩＰｖ６孤岛内使用ＩＰｖ６路由扩展头指定回传路径的方法，非法提供Ｒｅｌａｙ服务，从而窃取用户数据信息。

４ＩＰｖ４／ＩＰｖ６过渡时期安全问题解决思路

从ＩＰｖ４向ＩＰｖ６的过渡是人们未来实现全球ＩＰｖ６Ｉｎｔｅｒｎｅｔ不可跨越的步骤，它需要经过一个相当长的过渡时期。在ＩＰｖ６部署的过程中，ＩＰｖ４／ＩＰｖ６过渡时期诸多安全问题的解决思路同样需要我们认真思考：４．１完美制定安全策略

在网络设计时就考虑到安全问题，而不是在安全问题出现的时候“修补”网络。尤其是在ＩＰｖ６／ＩＰｖ４混合组网的环境下，需要考虑到ＩＰｖ６网络与ＩＰｖ４网络有效隔离，防止来自ＩＰｖ４网络中的双栈主机对ＩＰｖ６网络的攻击。

４．２合理部署安全技术

现在支持ＩＰｖ６的专业安全设备已经问世，但安全不是安全设备简单的堆砌，仅仅依靠一种方式很难解决网络安全问题。安全应该是基础网络架构和网络安全的有机整体。同时通过网络设备集成安全和专业安全设备的融合，分别在接入层、汇聚层和核心层上部署相应的安全技术，形成“立体”的安全构架。

就ＩＰｖ６网络而言，在链路层（Ｌ２）面临的安全问题与ＩＰｖ４网络几乎一致，但需要注意个别协议实现上存在的差异，比如，ＡＲＰ攻击被替代为针对ＩＰｖ６等价问题的攻击——

—ＮＤ（邻居发现协议），由此可能引起在隧道技术的使用中产生流量欺骗问题。因此对于各种Ｌ２攻击的防范措施与ＩＰｖ４也基本一致。Ｌ２攻击是不能跨越路由器设备的，所有的Ｌ２攻击需要攻击者能够在本地访问网络。所以，仅依靠认证和访问控制列表的安全措施是无法防止来自网络第二层的安全攻击的。一个经过认证的用户仍然可以很容易地执行所有Ｌ２攻击。这就需要网络设备本身具备端口的保护及完善的Ｌ２攻击防护能力。

在网络层（Ｌ３）及网络层以上（Ｌ４－Ｌ７）的安全问题上，针对ＩＰｖ６的特点还应有一些相应的措施。以防止非法访问为例，在ＩＰｖ４环境下可以使用ＡＣＬ对ＩＰ源、目的地址及端口进行过滤，在ＩＰｖ６环境下还需要尽量禁止ＩＰｖ６报头的私密性扩展。网络设备与安全设备之间的密切配合才能有效地解决这类安全问题。

４．３有效保障安全管理

网络安全“三分靠管理、七分靠技术”，不论网络设计和安全实施的措施如何完善，最终还需要规范有效的安全管理来进行保障。安全管理的内容包括：安全意识的普及、安全漏洞监测、日常维护安全规则的制定、安全事件应急策略等。

５结束语

对于计算机网络来说，安全永远只是相对的。新的技术只能暂时解决目前的安全隐患，但新一轮的安全问题又接踵而来。只有不断改进、逐步提高，才能使人们最终拥有一个高效、安全的ＩＰＶ６Ｉｎｔｅｒｎｅｔ。

参考文献：

［１］周逊．ＩＰｖ６—下一代互联网的核心．电子工业出版社．

［２］杜兴盛．ＩＰｖ６网络安全性分析．陕西教育．

［３］选择适当技术保证网络安全过渡．泰尔网．

［４］Ｈａｇｅｎ，ｓ著，技桥译．ＩＰＶ６精髓．清华大学出版社．

［５］姚树雨．ＩＰｖ６协议及其过渡技术的安全问题．现代计算机（专业版），２００５．１２．

９６５