移动IPv6路由优化安全方案
IPv6解决方案
IPv6优势
• 2128 addresses
= 340,282,366,920,938,463,463,374,607,431,770,000,000
如果一个地址重一克的话
IPv4地址空间相当于
1 个帝国大厦 76
IPv6地址空间相当于56,713,727,820个地球
IPv4 = x 567亿 = IPv6
IPv6性能改进
1
即插即用 3 完善QoS
无状态地址配置，无需手
工配置或使用专用服务器， 即插即用自动获取IPv6 地址。
IPv6优势
流标签使基于流的QoS实 现更简捷，有助于实时数 据流的处理 IPv6报头简化设计，提高 QoS处理效率。
2
网络安全
4 良好移动
IPSec强制实现，提供数据 机密性、数据完整性、数据 源验证和防重放服务
Physical/Data Link
IPv4 Only网络
IPv4/IPv6双栈网络
IPv6 Only网络
主机和路由器上同时实现IPv4和IPv6双协议栈，各自独立实现
IPv4和IPv6的处理和转发 双栈策略是IPv4/IPv6过渡基础 网络性能降低以及无法解决地址短缺问题
6in4隧道
Phase 1
Phase 2
IPv6组网建议
Applications TCP/UDP TCP/UDP IPv6 IPv4 Physical/Data Link
IPv4/IPv6双栈骨干
三层网络 接入网 接入网 接入网
双栈
隧道
翻译
二层网络
PC STB PC STB PC STB
IP网络的核心层和汇聚层采用双栈方式进行过渡，接入层首先双栈，以 短距离隧道方式作为补充，协议转换方式仅限于拾遗补缺，局部应用
ipv6部署方案
ipv6部署方案随着互联网的快速发展和IPv4地址资源的枯竭，IPv6作为下一代互联网协议，被广泛关注和采用。
本文将介绍一个IPv6部署方案，以帮助您高效、顺利地实施IPv6网络。
一、引言IPv6是互联网新一代的协议，相比IPv4拥有更多的地址空间，提供更多的功能和性能。
为了满足互联网的需求并避免IPv4地址枯竭的问题，IPv6的部署已成为当今互联网发展中的必然趋势。
二、规划网络基础架构在部署IPv6之前，首先要规划好网络的基础架构。
这包括网络拓扑结构设计、设备选型、子网划分等。
确保网络基础架构的合理布局和稳定性，为IPv6的部署奠定坚实的基础。
三、IPv6地址规划在进行IPv6部署之前，需要进行详细的IPv6地址规划。
与IPv4不同，IPv6地址采用128位地址长度，地址规划需要合理分配和利用地址空间。
通过合理规划IPv6地址，可以提高网络的可管理性和扩展性，降低地址冲突和路由复杂性。
四、网络设备的升级与配置部署IPv6需要确保网络设备支持IPv6协议。
如果现有的网络设备不支持IPv6，需要进行升级或购置新的设备。
在升级和配置设备时，需要进行详细的测试和验证，确保设备的正常运行和稳定性。
五、应用服务的适配与迁移对于部署了IPv4的应用服务，需要适配并迁移至IPv6环境中。
这包括服务器的IPv6地址配置、应用程序的适配以及与IPv6环境兼容性的测试。
确保应用服务在IPv6环境中正常运行，保证用户的连续体验。
六、IPv6安全策略IPv6网络的安全性同样需要重视。
在部署IPv6之前，需要设计和实施严格的IPv6安全策略，保护网络免受潜在的威胁和攻击。
这包括入侵检测系统、防火墙配置、访问控制列表等安全措施的部署。
七、监测和管理部署IPv6后，需要进行持续的监测和管理，确保网络的正常运行和性能的优化。
通过网络监测工具和管理系统，及时发现和解决潜在问题，保证IPv6网络的稳定和可靠性。
八、培训和技术支持在部署IPv6之前，需要进行相关人员的培训，提高其对IPv6协议和相关技术的理解和应用能力。
IPv6_安全风险与防范方案
第 22卷第 4期2023年 4月Vol.22 No.4Apr.2023软件导刊Software GuideIPv6安全风险与防范方案胡南1，周宇2，伍传丽2，邯子皓1，向剑文2，张家琦3，邢燕祯3（1.中央广播电视总台，北京100020；2.武汉理工大学计算机与人工智能学院，湖北武汉430070；3.国家计算机网络应急技术处理协调中心，北京100029）摘要：随着逐步展开IPv6网络规模部署，IPv6网络攻击数量不断增加，在系统、应用、硬件和协议等层面均存在安全漏洞。
为此，从IPv6与IPv4相同的安全风险、IPv6新特性引发的特有安全风险及IPv4/IPv6过渡期安全风险3个方面综述IPv6的安全风险，总结防范方案。
首先，针对与IPv4相同的网络攻击，研究IPv6网络攻击防护技术。
然后，相较于IPv4，IPv6报头新增流标签字段、扩展报头、地址空间变大，有状态地址配置DHCP升级为DHCPv6，新增无状态地址配置，ICMP升级为ICMPv6，新增邻居发现协议等新特性，讨论其新特性引发的特有安全风险与防范方案。
最后，针对IPv6部署过程中使用的双栈、隧道、翻译等过渡机制的安全风险，研究安全防护方案，为发现未知攻击、有力抵御网络攻击提供理论与技术支持。
关键词：IPv6；IPv4；过渡机制；安全风险；防范方案；网络安全DOI：10.11907/rjdk.221381开放科学（资源服务）标识码（OSID）：中图分类号：G642 文献标识码：A文章编号：1672-7800（2023）004-0118-10IPv6 Security Threats and Prevention SchemeHU Nan1， ZHOU Yu2， WU Chuan-li2， HAN Zi-hao1， XIANG Jian-wen2， ZHANG Jia-qi3， XING Yan-zhen3（1.China Media Group， Beijing 100020， China；2.School of Computer Science and Artificial Intelligence， Wuhan University of Technology， Wuhan 430070， China；3.National Internet Emergency Center， Beijing 100029， China）Abstract：With the gradual deployment of IPv6 network scale， the number of IPv6 network attacks continues to increase， and there are secu‐rity vulnerabilities at the system， application， hardware and protocol levels. To this end， the security risks of IPv6 are summarized from three aspects： the same security risks of IPv6 and IPv4， the unique security risks caused by the new features of IPv6， and the security risks in the transition period of IPv4/IPv6， and the prevention schemes are summarized. First， aiming at the same network attack as IPv4， the IPv6 net‐work attack protection technology is studied. Then， compared to IPv4， IPv6 headers add flow label fields， extended headers， have larger ad‐dress space，stateful address configuration DHCP upgraded to DHCPv6，stateless address configuration ICMP upgraded to ICMPv6，add Neighbor Discovery Protocol， etc.， and the unique security risks and prevention schemes caused by the new features are discussed. Finally，aiming at the security risks of transition mechanisms such as dual-stack， tunnel and translation used in IPv6 deployment， the security protec‐tion scheme is studied to provide theoretical and technical support for discovering unknown attacks and effectively resisting network attacks. Key Words：IPv6； IPv4； transition mechanisms； security threat； prevention scheme； network security收稿日期：2022-04-07作者简介：胡南（1978-），女，CCF会员，中央广播电视总台工程师，研究方向为网络安全；周宇（1999-），女，CCF会员，武汉理工大学计算机与人工智能学院硕士研究生，研究方向为网络安全；伍传丽（1998-），女，武汉理工大学计算机与人工智能学院硕士研究生，研究方向为可靠性工程；邯子皓（1988-），男，中央广播电视总台工程师，研究方向为网络安全；向剑文（1975-），男，博士，CCF会员，武汉理工大学计算机与人工智能学院教授、博士生导师，研究方向为可靠性工程、网络安全；张家琦（1985-），女，博士，国家计算机网络应急技术处理协调中心高级工程师，研究方向为物联网网络安全；邢燕祯（1992-），女，国家计算机网络应急技术处理协调中心工程师，研究方向为物联网网络安全。
基于IPv6协议的网络安全分析的研究报告
基于IPv6协议的网络安全分析的研究报告随着互联网的发展，IPv6协议作为一种新型的互联网协议，越来越得到广泛的应用。
虽然IPv6协议在网络拓扑结构、IP 地址的分配等方面进行了优化，但是在网络安全上，IPv6协议也面临着各种安全问题。
1. IPv6地址的可溯源性IPv6地址长度的增加，使得IPv6地址的可溯源性变得更加强大。
IPv6地址具有更长的地址长度，使得用户的信息更容易被追踪。
这就意味着攻击者可以通过跟踪用户的IPv6地址，进行网络攻击、恶意下载和非法窃取用户信息等。
2. IPv6地址分配的不当IPv6地址的分配与管理对网络的安全非常关键。
IPv6地址的分配过程需要考虑到安全性问题。
但是实际上，在众多IPv6网络中，仍然存在一些缺乏安全管理的问题，导致地址的分配不当。
3. IPv6协议的认证与加密问题IPv6协议的认证与加密问题，是影响IPv6网络安全的重要因素。
IPv6协议不仅需要获得数据的完整性和机密性，还需要建立一个可信的传输通道。
4. 网络侦听和嗅探攻击IPv6协议通信时采用了多种保护机制，但是还是会存在被窃听和嗅探的风险。
攻击者可以利用软件和工具来监听网络流量，窃取敏感信息。
5. DoS攻击在IPv6协议中, 攻击者可以利用路由器、中间人等众多漏洞进行数据包过载攻击, 导致响应时间慢, 严重时甚至导致网络中断。
综上所述，IPv6协议在网络安全上的面临着巨大的安全风险。
为保证IPv6网络的安全，需要有一个全面的安全机制，以避免潜在的安全问题。
同时，网络安全方面的相关标准和技术应该不断的更新和升级，以及加强网络安全的意识培养，有效确保IPv6协议网络的安全和稳定运行。
根据最新统计数据，全球IPv6地址分配总量达到5.5亿，IPv6协议的应用也在不断增加。
但是，随着IPv6协议的普及，网络安全问题也越来越重要。
下面是IPv6协议中一些关键数据的分析：1. IPv6地址的可溯源性IPv6地址长度的增加，使得IPv6地址的可溯源性变得更加强大。
面向物联网的IPv6网络架构设计及优化
面向物联网的IPv6网络架构设计及优化随着物联网（Internet of Things, IoT）的快速发展，IPv4地址池已经逐渐枯竭，IPv6作为下一代互联网协议已成为未来物联网发展的必要选择。
IPv6拥有更加广阔的地址空间、更高效的路由和更加安全的传输等优势，而面向物联网的IPv6网络架构设计和优化则成为推进物联网发展的重要环节。
一、面向物联网的IPv6网络架构设计1. 电力级网络架构面向物联网的IPv6网络架构设计需要满足其大规模、分布式和异构化的特点。
在这样的背景下，电力级网络架构成为一种重要的设计方案。
电力级网络架构将互联网划分为多个层级，每一层级包含多个数据中心、边缘服务器和接入设备，形成一个分层的网络结构。
这种架构不仅增加了网络的可扩展性和弹性，并且可以实现更加简单高效的路径选择和数据治理。
在电力级网络架构中，基础设施成为了架构设计的重中之重。
可以考虑使用云计算、边缘计算等技术，提高基础设施的可靠性和质量。
同时，还应当充分考虑数据的安全性和隐私保护，并配备相应的安全设备和机制。
2. 边缘计算架构面向物联网的IPv6网络架构设计还可以采用边缘计算架构。
边缘计算是一种分布式计算模式，它将计算和存储资源放在离端设备更近的地方，可以提高数据处理的效率和速度。
边缘计算架构的核心是边缘节点，它可以作为数据处理、存储和转发的重要节点。
在IPv6网络中，边缘节点可以自主获取IPv6地址，与其他设备建立连接，并向上级节点汇报自身的状态和信息。
边缘节点支持多种通信协议，可以连接不同种类的设备，具有很好的拓展性和灵活性。
在边缘计算架构中，还需要考虑如何管理网络资源，保证资源的有效使用。
可以采用虚拟化技术、容器化技术等，构建虚拟化网络，从而实现资源的动态分配和管理。
二、面向物联网的IPv6网络架构优化1. 高效的路由协议IPv6的路由协议需要具有高效的效率和稳定性。
其中，RPL （Routing Protocol for Low power and lossy networks）是一种基于IPv6的低功耗无线传感器网络的路由协议，具有较低的计算和存储开销。
IPv6面临的新问题及安全措施
2011年第10卷第18期IPv6面临的新问题及安全措施研究□毛宝东【摘要】随着Internet的发展，IPv4的局限性严重制约了IP技术的应用和未来网络的发展。
IPv6作为下一代网络的基础以其各方面的技术优势得到广泛的认可。
从安全技术方面分析了IPv6安全技术的优势，同时阐述了其在安全方面的局限性，并说明IPv4向IPv6过渡还需要不断地加强技术研究。
【关键词】网络安全；IPv6；IPsec【作者简介】毛宝东，男，河南郑州人，武汉大学信息管理学院在读硕士研究生；研究方向：电子政务随着IPv4互联网规模的不断增长及其应用范围的不断拓宽，它在地址数量、移动性、服务质量及安全性等方面所具有的设计局限性也越来越明显。
为此，因特网工程任务组IETF提出了新一代因特网互连协议———IPv6。
提供比IPv4协议更为有力的网络安全保障是IPv6技术进一步发展和成功应用的关键所在。
全新IPv6协议的提出方面有助于我们在下一代网际互连协议中实现更多的安全特性，另一方面，它在其他诸多方面所引入的新特性也将对当前的网络安全状况产生不容忽略的深远影响。
本文在对IPv6技术进行综合分析的基础之上，考察和归纳了IPv6在安全方面所引入的若干新问题及其相应的安全技术，以期对目前IPv6安全性问题的研究有所帮助。
一、IPv4面临的主要问题地址资源耗竭、安全问题严重以及业务性支持欠缺是IPv4所面临的三大难题，同时也是引入IPv6协议的主要推动力。
究其原因，主要在于IPv4效率低下、地址浪费严重的分级网络编址机制及其设计初期对发展规模预期的不足。
人们提出了NAT Sl地址转换机制，期望以地址分配复用的方式部分缓解编址空间耗竭的压力。
随着互联网接入技术及其应用的发展，xDLS宽带接入、GRPS/3G数据移动业执行一系列操作。
用户使用控制台可以装载和卸载模块，可以安装和删除软件等操作。
网络服务器的安全控制包括可以设置口令锁定服务器控制台，以防止非法用户修改、删除重要信息或破坏数据；可以设定服务器登录时间限制、非法访问者检测和关闭的时间间隔。
梅林路由器 ipv6 防火墙规则
梅林路由器 ipv6 防火墙规则梅林路由器 IPv6 防火墙规则是保护网络安全的重要手段。
IPv6 协议作为下一代互联网协议，为网络提供了更多的 IP 地址资源，同时也带来了新的安全挑战。
在配置梅林路由器的 IPv6 防火墙规则时，可以采取以下措施来保护网络安全。
一、限制传入的连接1. 禁止非法 IP 地址的访问。
通过设置 IPv6 防火墙规则，可以禁止来自非法 IP 地址的连接，防止黑客入侵。
2. 屏蔽不必要的端口。
关闭不需要开放的端口，减少攻击者的入侵机会。
3. 阻止异常流量。
设置 IPv6 防火墙规则，对异常流量进行监控和拦截，防止网络遭受 DDoS 攻击。
二、过滤传出的数据1. 禁止恶意软件传出。
配置梅林路由器的 IPv6 防火墙规则，可以拦截传出的恶意软件，保护用户的隐私和数据安全。
2. 限制对特定网站的访问。
通过设置 IPv6 防火墙规则，可以限制对某些网站的访问，防止用户访问不良信息或恶意网站。
三、监控和日志记录1. 监控网络流量。
梅林路由器提供了网络流量监控功能，可以实时监控网络流量，及时发现异常情况。
2. 记录日志。
设置梅林路由器的 IPv6 防火墙规则，可以将网络活动记录到日志中，便于事后审计和追溯。
四、定期更新和维护1. 及时更新梅林路由器固件。
梅林固件的更新包含了最新的安全补丁和功能改进，及时更新可以提高网络安全性。
2. 定期检查和维护。
定期检查梅林路由器的 IPv6 防火墙规则是否符合要求，并进行必要的优化和调整。
梅林路由器的 IPv6 防火墙规则是保护网络安全的重要手段。
通过限制传入的连接、过滤传出的数据、监控和日志记录以及定期更新和维护，可以提高网络的安全性，保护用户的隐私和数据安全。
同时，用户也应加强个人网络安全意识，定期更改密码，不轻易点击可疑链接，避免给黑客可乘之机。
在共同努力下，我们能够构建一个更安全的网络环境。
企业IPv6升级改造方案
企业IPv6升级改造方案背景随着互联网的发展和IPv4地址的枯竭，企业面临着IPv6升级改造的需求。
IPv6具有更大的地址空间和更好的安全性能，能够满足企业在网络扩展、安全保障方面的需求。
本文将提出一种适用于企业IPv6升级改造的方案。
方案概述本方案旨在以简单、可行的方式进行企业IPv6升级改造，避免法律复杂性和风险。
以下是具体方案内容：1. 网络设备支持检查首先，企业应对现有的网络设备进行支持IPv6协议的检查。
如有设备不支持IPv6，需要进行更新或更换。
2. IPv6网络规划在升级改造前，企业应进行IPv6网络规划，包括确定IPv6网络架构、地址分配方案和安全策略等。
3. IPv6地址分配在规划好的IPv6网络架构下，企业需要进行IPv6地址分配。
可采用本地分配、自动配置或通过ISP获得全球唯一的IPv6地址等方式。
4. 网络设备升级根据规划的IPv6网络架构和地址分配方案，企业需要对网络设备进行升级。
包括更新路由器、交换机、防火墙等设备的软件版本，确保其支持IPv6协议。
5. 网络测试与优化升级改造完成后，企业应进行IPv6网络的测试和优化，以确保IPv6网络的正常运行和性能优化。
6. 培训与宣传为了使员工和相关人员能够顺利使用和管理IPv6网络，企业应开展培训和宣传活动，提供必要的培训材料和用户手册等。
结论以上就是企业IPv6升级改造的方案。
通过检查设备支持、进行网络规划、地址分配、设备升级、网络测试与优化以及培训与宣传等步骤，企业可以顺利完成IPv6升级改造，提高网络扩展性和安全性。
注意：以上方案为简要介绍，具体实施时需要根据企业的实际情况进行详细规划和调整。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1引言移动IPv6协议为IPv6网络提供了移动性支持，采用移动IPv6协议的移动节点在不同的接入网之间移动时，能够沿用同一个IPv6地址，同时保持不中断的网络连接和应用服务。
IETF 在移动IPv6协议的标准文档RFC3775中[1]，实现了对移动IPv6协议操作的标准化。
在移动IP中，移动节点（Mobile Node，MN）同时拥有家乡地址（Home Address，HoA）和转交地址（Care-of Address，CoA）。
MN在他的家乡网络拥有一个家乡地址，当MN移动到外地网络时，会分配到一个新地址作为MN的转交地址。
为了能够同通信对端（Correspondent Node，CN）继续保持通信，MN把这个转交地址和MN的家乡地址进行绑定，并向MN的家乡代理（Home Agent，HA）发送绑定更新（Binding Update，BU）报文，家乡代理在绑定缓存（Binding Cache）中记录这个绑定关系。
CN向MN的家乡地址发送报文，这些报文将被送往MN的家乡链路，家乡代理截获这些报文，封装好通过隧道发送给MN。
这样，CN和MN之间形成了一个“三角路由”。
移动IPv6支持的路由优化很好地解决了三角路由问题。
MN向CN发送绑定更新报文，将自己当前所用的转交地址告诉CN。
CN在自己的绑定缓存中记录MN的家乡地址和转交地址的绑定关系。
CN就可以直接向MN的转交地址发送报文，而不用经过HA，从而避免了三角路由的问题。
虽然移动IPv6路由优化为通信提供了更短的路径，减少了MN和HA、家乡链路之间的拥塞情况，但它同时也增加了MN向CN发送BU的数量，未认证的或者恶意的BU报文引入了多种恶意攻击，增大了移动IPv6中存在的安全威胁[2]。
现有的解决移动IPv6路由优化安全问题的方法主要是返回可路由（Return Routability，RR）机制和CGA（Cryptographi－cally Generated Addresses）[3]生成家乡地址的方法。
CAM-DH 协议（Child-proof Authentication for MIPv6-Diffie-Hellman）[4]是一种采用CGA生成家乡地址的路由优化安全方案，它比RR 机制提供了更可靠的安全保护，但仍然存在一些安全上的漏洞，攻击者可以伪造转交地址与通信对端联系，从而发起数据重定向或泛洪攻击。
本文在CAM-DH协议的基础上进行改进，提出了一种新的增强方案，提高了安全性，并对其计算负载和报文交换性能作了优化。
移动IPv6路由优化安全方案黄志彬，洪佩琳HUANG Zhi-bin，HONG Pei-lin中国科学技术大学信息网络实验室，合肥230027Laboratory of Information Networks，University of Science&Technology of China，Hefei230027，ChinaE-mail：zhibin@HUANG Zhi-bin，HONG Pei-lin.Proposal of route optimization security in mobile puter Engineering and Appli－cations，2009，45（6）：120-123.Abstract：Mobile IPv6provides mobility support for the IPv6Internet.Route optimization eliminates the triangular routing problem existing between the mobile node and correspondent node in mobile IP.However，mobile IPv6brings some security threats at the same time，a great part of the threats are about the authorization and authentication problem of binding update in route optimization.Some security threats still exist in the return routability protocol and CGA-based protocol，the CAM-DH protocol is improved，a new enhanced protocol is proposed，the security is improved，and the computation and message exchange performance is optimized.Key words：mobile IPv6；route optimization；return routability；Cryptographically Generated Addresses（CGA）；Child-proof Authenti－cation for MIPv6-Diffie-Hellman（CAM-DH）摘要：移动IPv6为IPv6网络提供移动性支持，移动IPv6路由优化消除了移动IP中移动节点和通信对端存在的三角路由问题。
但同时，移动IPv6也引入了一些安全上的威胁，其中有很大一部分是关于路由优化中的绑定更新的授权和认证问题。
传统的返回可路由机制和CGA生成家乡地址的方法仍然存在安全上的问题，在CAM-DH协议的基础上进行改进，提出了一种新的增强方案，提高了安全性，优化了计算负载和报文交换性能。
关键词：移动IPv6；路由优化；返回可路由机制；CGA地址；CAM-DH协议DOI：10.3778/j.issn.1002-8331.2009.06.034文章编号：１００２－８３３１（２００9）06-0120-04文献标识码：Ａ中图分类号：TP393作者简介：黄志彬（1983-），硕士，主要研究方向：高速因特网与网络安全；洪佩琳（1961-），教授，博士生导师，主要研究方向：信息通信网和信息安全。
收稿日期：2008-01-17修回日期：2008-04-18符号MAC（k，m）m|nHash（m）First（m，n）P XS XP X（message）S X（message）说明报文校验码，k是一个对称密钥，m是变长的报文串接符号，将m和n串接起来对消息m的哈希运算对n取前m位节点X的公钥节点X的私钥使用公钥P X对message进行加密使用私钥S X对message进行数字签名表1符号意义说明表2移动IPv6路由优化安全新协议的导入往往会引入新的安全问题，移动IPv6安全研究的基本目标是能够达到与IPv4协议一致的安全性[5]。
移动IPv6中的大部分威胁是与发送给MN或者CN的绑定更新相关的，通过伪造绑定更新报文，攻击者可以将数据重定向到它自己或者其他节点上并阻止受害者继续接受数据。
如果攻击者向通信双方发送伪造的绑定更新报文，伪装成对方，就能使自己成为MN和CN的中间人；如果攻击者向受害者发送大量的绑定更新报文，受害者要对这些绑定更新进行处理或者建立绑定缓存条目，从而会很快耗尽受害节点的CPU或者内存资源，形成了对受害节点的拒绝服务攻击。
本文使用的符号意义如表1所示。
2.1RR机制和CGA生成家乡地址方法RFC3775中采用RR机制保护路由优化安全，RR机制通过探测移动节点是否能够通过家乡地址HoA和转交地址CoA 接收到测试报文的方式来验证绑定更新的合法性。
RR机制具有很好的可用性，能够抵御反射攻击、DoS攻击、重放攻击等等。
如果没有对绑定更新报文进行认证，任意节点都能够伪造绑定更新报文对正在通信的两个节点进行会话劫持，RR机制把攻击者的范围缩小到MN和CN之间的两条路径上。
但是，RR机制也存在着弱点，不能完全防范伪造地址的攻击：攻击者如果能够监听到某部分测试消息，就可以通过伪造家乡地址或者转交地址，接收另一部分测试消息，生成绑定更新密钥，构造一个合法的绑定更新报文发送给通信对端，这样，攻击者就能够伪装成其他身份与通信对端进行联系。
CGA地址是一种在接口标志符部分包含一个哈希值的地址。
使用CGA地址的网络节点首先产生一对公私钥对，然后生成关于公钥的哈希值，并以此值的后64位作为自己地址的接口标志符部分，从而生成一个和公钥绑定起来的地址。
节点用私钥对将要发出的数据包进行数字签名，并将签名数据和公钥附在数据包后，接受到此数据包的节点首先验证数据包的源地址和发送者提供的公钥的绑定关系，然后利用公钥对数据包中的签名进行认证，只有这两次认证均通过后，才真正接受此数据包。
面临移动IPv6协议中家乡地址被盗用而导致的通信劫持等安全威胁，人们想到了使用CGA方法来产生移动节点的家乡地址。
移动节点MN拥有一个CGA形式的家乡地址。
MN在发送给HA的BU报文中附上了使用私钥产生的对BU数据包的数字签名。
HA收到BU后，将采用公钥对数字签名进行认证，如果通过认证就回送一个BA报文，成功建立关于MN的绑定。
CAM-DH[4]和SUCV[6]都是基于CGA地址提出的路由优化安全协议。
使用CGA生成家乡地址，恶意节点可以通过侦听MN发出的BU报文而得到MN的家乡地址和公钥，可是无法得到私钥，从而无法生成正确的数字签名，恶意节点发出的假造的BU 报文无法通过HA对其中的数字签名的认证而最终被抛弃。
2.2CAM-DH协议CAM-DH协议结合了RR机制和CGA生成家乡地址的特点，利用CGA生成家乡地址，并且CN分别向MN的家乡链路和直接路径发送消息，MN只有同时收到这两个消息才可以生成绑定更新密钥。
CAM-DH采用D-H密钥交换协商绑定更新密钥，以牺牲了一部分性能为代价，比RR机制提供了更可靠的安全保护。
CAM-DH的过程如图1所示，包含了5个消息。
消息1中，MN告诉CN自己的家乡地址HoA和新的转交地址CoA。
然后，CN向MN的家乡地址发送消息2：{r h，j，g y}，其中r h= MAC（K CN，HoA|N j|0），这个消息将经过HA转发，从MN的家乡链路到达。
同时，CN直接向MN发送消息4：{r c，j}，其中r c= MAC（K CN，CoA|N j|1）。
MN从两个路径接收到消息后，生成绑定更新密钥，向CN发送绑定更新报文（消息5），其中包含绑定更新密钥生成的MAC值及MN的私钥生成的签名，CN对绑定更新报文进行校验，验证这个报文的可靠性。
CAM-DH中包含了一些优化措施，HA可以拦截CN发送给MN家乡链路的消息，并代替MN进行一部分复杂的计算，再将计算结果通过HA和MN之间的安全隧道发送给MN，MN 根据收到的消息生成绑定更新密钥。