IPV6防火墙研究
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Baidu Nhomakorabea
Ｓ Ａ是 单 向的 ， 换言 之 ， 的设 计非 常 简化 。如 它
果两个 主 机 （ 比如 Ａ 和 Ｂ 正在 通 过 Ｅ Ｐ进 行安 全 ） Ｓ
通 信 ， 么主 机 Ａ就 需 要 有 一个 Ｓ 即 Ｓ ｏ ｔ ， 那 Ａ， Ａ（ｕ） 用来处 理外 发 的数 据包 ； 另外 还需 要 有一 个不 同 的 Ｓ 即 Ｓ ｉ） 用 来 处 理 进 人 的 数 据 包 。主 机 Ａ Ａ， Ａ（ｎ ， 的 Ｓ ｏ ｔ和主 机 Ｂ 的 Ｓ ｉ） Ａ（ｕ） Ａ（ 将共 享 相 同 的加 密 ｎ 参数 （ 比如 密钥 ） 。类 似 地 ， 机 Ａ 的 Ｓ ｉ） 主 主 Ａ（ 和 ｎ
序 列号 （ｅｕ ｎｅｎ ｍｂｒ Ｓ ｑ ｅｃ ｕ ｅ）
Ｉ ａ ｅ Ｐ Ｈｅ ｄ ｒ
用 在用 户终 端设 置 时 ， 它可 以提供 更多 的便利 来 隐
藏 内部 服务 器 主机 和客 户机 的地址 。 ２ ３ 安全 联盟 ．
安 全联 盟 （Ａ） 构成 ＩＳ ｃ的基 础 。Ｓ 是 Ｓ 是 Ｐｅ Ａ
ｔ ｎ ｏ Ｐ ｅ ６ ｈ ｎ ｉ ｅ ｃ ｒ ｙ ｏ ｔｓ ｌ ｘ ｍｐ ｅ ｏ ｈ ｉｅ ｌ． ｉ ｆ Ｉ Ｓ ｃ ，ｔ ｅ ｅ ｄ ｇ ｖ ａ ｒ ｕ ｏ ｉ ｅ ａ ｌ ｆｔ ｅ ｆｒ ｗａ １ ｏ ｄ
Ｋｅ ｒ ｓ ｙ ｗｏ ｄ Ｉ ｖ ，ｆｒ ｗａ ｌ Ｐ ｅ Ｐ ６ ｉｅ ｌ，Ｉ Ｓ ｃ
连云港 ２２ ０ ） ２ ０ ６
（ 江苏联合职业技术学院连云港中医药分院” 连云港
（ 云港 职 业 技 术 学 院 连
摘
要
下一代互联网 的核心协议 Ｉ ｖ 将逐 步取代 Ｉｖ ， 目前适用 于 Ｉｖ Ｐ６ Ｐ ４但 Ｐ ６防火墙并不多 ， 在分析 了 ＩＳ ｃ Ｐ ｅ６的原 理
和防火墙 的原理后 ， 出了在 ＩＳ ｃ 基础上创建 Ｉ ｖ 提 Ｐ ｅ６ Ｐ ６防火墙的方法 ， 出实现 防火墙 的实例 。 给 关键词 Ｉ Ｖ６ 防火墙 Ｐ
前 ， 国在 Ｉ ｖ 中 Ｐ ６的应 用 上 走 在 了世 界 的 前列 。教
联 网工 程任务 组 ） 正式定 制 的开放 性 Ｉ 全标 准 。 Ｐ安 ＩＳ ｃ Ｐ ｅ 细则 首先 于 １９ ９ ５年 在 互联 网标 准 草 案 中颁 布 。ＩＳ ｃ 以保 证 局域 网 、 Ｐｅ可 专用 或 公 用 的 广域 网 及 Ｉｔｒｅ 上信 息传输 的安 全 。ＩＳ ｃ 过认 证 和 ｎｅｎｔ Ｐ ｅ通
（ ｃ ｏ ｌｏ ｎ ｏ ｍａ ｉ ｎ Ｅｎ ｉ ｅ ｒｎ ａ ｙ ｎ ａ ｇ Ｔｅ ｈ ｉ ａ ｌ ｇ ，Ｌｉ ｎ ｕ ｇ ｎ ２ ２ ０ ） Ｓ ｈ ｏ ｆＩ ｆ ｒ ｔ ｇ ｎ ｅ ｉ ｇ Ｌｉ ｎ ｕ ｇ ｎ ｃ ｎ ｃ ｌ ｏ Ｃｏ ｌ ｅ ｅ ａｙｎａｇ ２ ０ ６
ＩＳ Ｃ有 两种 工作 模式 ： 输模 式和 隧道模 式 ＰＥ 传
如 图 ４所示 。
图 １ Ｉ Ｓ Ｃ体 系 结 构 ＰＥ
Ｔ● 正 一 衄上
ａ 传输 模式 的 ＡＨ ．
叵巫五叵丑函
塑 兰 ｊ塑 望 Ｌ 型 堑！塑 ｌ 垒 ！ 旦
验证 头 （ ＡＨ） 于 为 Ｉ 供 数 据 完 整 性 、 用 Ｐ提 数 据原 始 身 份验 证 和 一 些 可 选 的 、 限 的抗 重 播 服 有
安全 的 Ｓ 记录 。 Ａ
封 装安 全 负 载 （ Ｓ ） 过 对 数 据 包 的全 部 数 ＥＰ通
据和加载内容进行全加密来 严格保证传输信息 的 机 密性 ＿ ， ４ 这样 可 以避免 其他 用户 通 过监 听 来 打开 ］ 信息交换的内容 ， 因为只有受信任 的用户拥有密钥
打开 内容 。Ｅ Ｐ也 能 提 供 认 证 和维 持 数 据 的完 整 Ｓ 性 。最 主要 的 Ｅ Ｐ标 准 是 数 据 加 密 标 准 （ Ｓ ， Ｓ ＤＥ ）
育和科研计算机网（ Ｅ Ｎ Ｔ 、 Ｃ Ｒ Ｅ ）中国电信和近 ２０ ０
钥匙交换机制确保企业与其它组织 的信息往来的
收稿 日期 ：０ ８ ７ ３ ２ ０ 年 月 １日， 回日期 ：０ ８ ８ ２ 修 ２ ０ 年 月 ４日 作者简介 ： 王芳 ， ， 女 硕士 ， 师 ， 讲 研究方 向： 网络安全 。
Ａｂ ｔ ａ ｔ Ｉ ｖ ｌ ｒ ｐ ａ ｅ Ｉ ｖ ｒ ｄ ａ ｌ ｓ ｒ ｃ Ｐ ６ ｗｉ ｅ ｌｃ Ｐ ４ ｇ ａ ｕ ｌ ｌ ｙ，ｂ ｔ ｅ ｆｒ ｗａ ｌ ａ ｅ ａ ｐ ｉａ ｌ ｏ Ｉ ｖ ．Ａｆｅ ｎ ｌ ｚ ｎ ｈ ｒｎ ｉ ｌ ｕ ｗ ｉｅ ｌ ｃ ｎ ｂ ｐ ｌ ｂ ｅ ｔ Ｐ ６ ｆ ｃ ｔ ｒａ ａ ｙ ｉ ｇ ｔ ｅ ｐ ｉ ｃｐ ｅ ｏ ｈ Ｐ ｅ ６ ａ ｄ ｔ ｅｐ ｉ ｃｐ ｅ ｏ ｈ ｉｅ ｌｓ ｕ ｏ ｗａ ｄ ｔ ｓ ａ ｌ ｈ ｔ ｅ ｍｅ ｈ ｄ ｏ ｈ ｉｅ ｌ ｏ Ｐｖ ｎ ｔ ｅ ｆ ｕ ｄ — ｆｔ ｅ Ｉ Ｓ ｃ ｎ ｈ ｒｎ ｉ ｌ ｆｔ ｅ ｆｒ ｗａ ｌ ，ｐ ｔｆ ｒ ｒ ｏ ｅ ｔ ｂ ｉ ｈ ｔ ｏ ｆｔ ｅ ｆｒ ｗａ ｌ ｆＩ ６ ｏ ｈ ｏ ｎ ａ ｓ
数据
两个通信实体经协商建立起来 的一种协定 。它们
决定 了用 来保 护 数据 包安 全 的 Ｉ Ｓｃ 议 、 Ｐ ｅ协 转码 方 式、 密钥 以 及 密 钥 的有 效 存 在 时 间 等 等ｌ 。任 何 ５ ］
图 ２ ＡＨ 的 格 式
ＩＳ ｃ实 施 方 案 始 终 会 构 建 一 个 Ｓ 数 据 库 Ｐｅ Ａ （ＡＤ ） 由它来 维护 ＩＳ ｃ 议 用 来 保 障数 据 包 Ｓ Ｂ ， Ｐｅ协
ｌ ＿ ： 羹翌 錾墅璺 翌墼堡Ｉ 垦 － 兰
ｃ 隧道模式的 ＡＨ ．
Ｉ 塑 ｌ Ｉ 堑 兰 兰 壁塑－
ｄ 隧道模式 的 Ｅ Ｐ ． Ｓ
图 ４ ＩＳ Ｃ的 数 据 传 输 模 式 ＰＥ
签名都 能把它检测 出来 。不过 由于 Ａ Ｈ不能加密
数 据包 所 加 载 的 内容 ， 因而 它 不 保 证 任 何 的 机 密 性 。两 个 最 普遍 的 ＡＨ 标 准 是 ＭＤ ５和 Ｓ ＨＡ一 １ ，
第 ３ 卷 （０ ８ 第 ｌ 期 ６ ２Ｏ） ｌ
计算机与数字工程
安全 性与 机密 性 。 ２ １ Ｉ Ｓ Ｃ体 系结 构 ． Ｐ Ｅ ＩＳ ｃ Ｐ ｅ 协议 包 括 ： ＡＨ（ 验证 头 ） 、 封 装 安 全 、 Ｐ（
安全参数索 ￣（Ｐ） Ｉ Ｉ Ｓ 序列号（ｅｕｎ ｅ ｕ ｅ） Ｓｑ ｅｃ ｍｂｒ ｎ 初始化向量（Ｖ） Ｉ
Ｅ Ｐ的格 式如 图 ３所示 。 Ｓ
Ｓ 是 单 向 的 ， 以 针 对 外 发 和 进 入 处 理 使 用 的 Ａ 所
１Ｏ Ｏ
王
芳等 ：Ｐ ＩＶ６防火墙 研究
第３ ６卷
Ｓ 分 别需要 维 护一张 单独 的表 。 Ａ， 另 外 ，Ａ 还是 “ Ｓ 与协 议 相 关 ” 。每 种 协 议 都 的
防火 墙是 网络 安全 的一个 重要 的环节 ， 目前 常 用 的 防火墙 是 针 对 Ｉ ｖ Ｐ ４的 ， 于 Ｉ ｖ 对 Ｐ ６无 效 ＿ ， ２ 本 ］ 文 提 出一种 基 于 Ｉ Ｓ ｃ 建 Ｉ ｖ Ｐｅ创 Ｐ ６防 火 墙 的方 法 ， 并 给予 实现 。
暴露 出来 ， 如 Ｉｖ 例 Ｐ ４地址 将很快 被 耗尽 ， 信安 全 通
２隧 道模 式 ： ） 隧道 模 式 处 理 整 个 Ｉ Ｐ数 据包 包 括全 部 ＴＣ ／Ｐ或 ＵＤ ／Ｐ头和数 据 ， ＰＩ ＰＩ 它用 自己
的地址 作 为源 地址 加入 到新 的 Ｉ Ｐ头 。当隧道 模 式
Ｔ 蚍上 下一个头 载荷长度 保留
安全参数索￣（Ｐ ） Ｊｇ１ ｌ
没有保 障。所 以需 要新 的协议来解 决这一 问题。
因此 ＩＴＦ于 １ ９ 开 始开发 Ｉｖ ， 是下 一代 Ｉ— Ｅ ９５ Ｐ ６它 ｎ
ｔｒ ｅ 的核 心协 议 。 ｅｎ ｔ
Ｉｖ 带来 的不 仅是 足 够 的 Ｉ 址 ， 时还 带 Ｐ６ Ｐ地 同 来 了其他更 重要 的特 性 ： 安全性 、 支持 Ｑ Ｓ 支持 移 ｏ、 动通 信 、 可扩展 性 、 有 效 的层 次化 地 址 和路 由结 更
１传输模式 ： ） 传输模式使用原始 明文 Ｉ ， Ｐ头 并
且 只加密 数据 ， 括它 的 Ｔ Ｐ和 ＵＤ 包 Ｃ Ｐ头 。
ＭＤ 使用最高到 １８ 的密钥 ， Ｓ Ａ一１ ５ ２位 而 Ｈ 通过
最 高 到 １ ０位 密钥 提 供 更 强 的保 护 。ＡＨ 的格 式 ６
如 图 ２所 示 。
总第 ２ ９期 ２ ２ ０ 年第 １ 期 ０８ １
计算 机与数字工程
Ｃ ｍｐ ｔ ｉｉ ｌ ｎ ｉｅ ｒ ｇ ｏ ｕｅ ｒ＆ Ｄ ｇｔ ｇｎ ｅｉ ａＥ ｎ
Ｖｏ ６ Ｎｏ １ Ｌ３ ． １
９８
Ｉ Ｖ６防 火 墙 研 究 Ｐ
王 芳 何 洪磊 ）
２２Ｏ） ２０ ６
Ｔ ３３ Ｐ ９
Ｉ Ｓｃ Ｐ ｅ
中 图分 类 号
Ｒ ｅ ｅ ｒ ｈ ｏ ＰＶ ６ Ｆｉｅ ａ ｌ ｓａ ｃ ｎ Ｉ ｒｗ ｌ
Ｗａ ｇＦ ｎ ｎ ａ ｇ Ｈｅ Ｈｏ ｇ ｅ ｎ ｌｉ
（ ｌ ｇ ｆＬｉｎ ｕ ｇ ｎ ｉｅ ｅＭ ｅ ｉｉｅＪａ ｇｕ Ｕｎｏ ｃ ｎｃ ｌ ｌ ｇ ”，Ｌｉｎ ｕ ｇ ｎ ２ ２ ０ ） Ｃｏ ｌ ｅｏ ａ ｙ ｎ ａ ｇＣｈ ｎ ｓ ｄｃｎ ｉｎ ｓ ｉｎＴｅ ｈ ｉａ ｌ ｅ ｅ Ｃｏ ｅ ａｙｎａ ｇ ２０ ６
Ｃｌｓ ｍ ｂ ｒ ＴＰ ９ ａ ｓＮｕ ｅ ３３
１ 引言
随着 Ｉｔｒ ｅ ｎｅｎ ｔ的发 展 ，Ｐ ４协 议 的缺 陷 逐 渐 Ｉｖ
家 高 校 都 已建 立 或 加 入 了 Ｉｖ Ｐ ６试 验 床 。相 信 不 久 ， Ｉｖ 为 核 心 的下 一 代 Ｉｔｒｅ 在 中 国会 得 以 Ｐ６ ｎｅｎｔ 到更 大 的普及 。
务 ｌ 。正 如 整 个 名 称 所 示 ， ＿ ３ ＡＨ 通 过 一 个 只 有 密
ｂ ．传输模式 的 Ｅ Ｐ Ｓ
钥持 有 人 才 知 道 的 “ 字 签 名 ” 对 用 户 进 行 认 数 来 证 。这个 签 名 是 数据 包 通 过 特别 的算 法得 出 的独 特 结 果 ； 还 能 维 持数 据 的完 整 性 ， ＡＨ 因为 在 传 输 过 程 中无 论 多 小 的变 化 被 加 载 ， 据 包 头 的 数 字 数
机 Ｂ的 Ｓ ｏ ｔ也 会 共 享 同样 的 加 密参 数 。 由于 Ａ（ ｕ ）
ＤＳ Ｅ 最高支持 ５ 位 的密钥 ， Ｔ ｉ ｅ Ｅ ６ 而 ｒ ｌ—Ｄ Ｓ使用 ｐ
三套 密钥加 密 ， 就相 当于使用 最 高到 １８位 的密 那 ６ 钥 。由于 Ｅ Ｐ实 际 上 加 密 所 有 的数 据 ， 而 它 比 Ｓ 因 ＡＨ 需 要 更 多 的 处 理 时 间 ， 而 导 致 性 能 下 降 。 从
２ Ｉ ＰＳｅ ｃ
１ Ｓ Ｃ是 一 系列 基 于 １ ＰＥ Ｐ网络 的 ， Ｉ ＴＦ（ 由 Ｅ 互
构缩小了骨干网路 由器路 由表的规模 、 支持相邻节
点互 动 、 消灭 了局域 网广 播 的产 生 ＿ 。 １ ］ 正 因为 这 样 ，Ｉｖ Ｐ ６将 会 逐 步 取 代 Ｉｖ 。 目 Ｐ４
加 密
载荷）Ｉ （ｎｅ ｔ 、 ＫＥ Ｉｔｍｅ密钥 交换 ）ＩＡ 、Ｓ ＫＭＰ Ｏ ｋｅ ／ ａｌ ｙ以 及转 码 。ＩＳｃ Ｐ ｅ 各组件之 间 的交互 方式如 图 １ 示 。 所
Ｔ
＿ ｌ －
填充项Ｉ 填充长度ｒ＝ １ ． 一个头
图 ３ ＥＳ 的 格 式 Ｐ
２ ２ Ｉ Ｓ Ｃ的工 作模 式 ． Ｐ Ｅ
Ｓ Ａ是 单 向的 ， 换言 之 ， 的设 计非 常 简化 。如 它
果两个 主 机 （ 比如 Ａ 和 Ｂ 正在 通 过 Ｅ Ｐ进 行安 全 ） Ｓ
通 信 ， 么主 机 Ａ就 需 要 有 一个 Ｓ 即 Ｓ ｏ ｔ ， 那 Ａ， Ａ（ｕ） 用来处 理外 发 的数 据包 ； 另外 还需 要 有一 个不 同 的 Ｓ 即 Ｓ ｉ） 用 来 处 理 进 人 的 数 据 包 。主 机 Ａ Ａ， Ａ（ｎ ， 的 Ｓ ｏ ｔ和主 机 Ｂ 的 Ｓ ｉ） Ａ（ｕ） Ａ（ 将共 享 相 同 的加 密 ｎ 参数 （ 比如 密钥 ） 。类 似 地 ， 机 Ａ 的 Ｓ ｉ） 主 主 Ａ（ 和 ｎ
序 列号 （ｅｕ ｎｅｎ ｍｂｒ Ｓ ｑ ｅｃ ｕ ｅ）
Ｉ ａ ｅ Ｐ Ｈｅ ｄ ｒ
用 在用 户终 端设 置 时 ， 它可 以提供 更多 的便利 来 隐
藏 内部 服务 器 主机 和客 户机 的地址 。 ２ ３ 安全 联盟 ．
安 全联 盟 （Ａ） 构成 ＩＳ ｃ的基 础 。Ｓ 是 Ｓ 是 Ｐｅ Ａ
ｔ ｎ ｏ Ｐ ｅ ６ ｈ ｎ ｉ ｅ ｃ ｒ ｙ ｏ ｔｓ ｌ ｘ ｍｐ ｅ ｏ ｈ ｉｅ ｌ． ｉ ｆ Ｉ Ｓ ｃ ，ｔ ｅ ｅ ｄ ｇ ｖ ａ ｒ ｕ ｏ ｉ ｅ ａ ｌ ｆｔ ｅ ｆｒ ｗａ １ ｏ ｄ
Ｋｅ ｒ ｓ ｙ ｗｏ ｄ Ｉ ｖ ，ｆｒ ｗａ ｌ Ｐ ｅ Ｐ ６ ｉｅ ｌ，Ｉ Ｓ ｃ
连云港 ２２ ０ ） ２ ０ ６
（ 江苏联合职业技术学院连云港中医药分院” 连云港
（ 云港 职 业 技 术 学 院 连
摘
要
下一代互联网 的核心协议 Ｉ ｖ 将逐 步取代 Ｉｖ ， 目前适用 于 Ｉｖ Ｐ６ Ｐ ４但 Ｐ ６防火墙并不多 ， 在分析 了 ＩＳ ｃ Ｐ ｅ６的原 理
和防火墙 的原理后 ， 出了在 ＩＳ ｃ 基础上创建 Ｉ ｖ 提 Ｐ ｅ６ Ｐ ６防火墙的方法 ， 出实现 防火墙 的实例 。 给 关键词 Ｉ Ｖ６ 防火墙 Ｐ
前 ， 国在 Ｉ ｖ 中 Ｐ ６的应 用 上 走 在 了世 界 的 前列 。教
联 网工 程任务 组 ） 正式定 制 的开放 性 Ｉ 全标 准 。 Ｐ安 ＩＳ ｃ Ｐ ｅ 细则 首先 于 １９ ９ ５年 在 互联 网标 准 草 案 中颁 布 。ＩＳ ｃ 以保 证 局域 网 、 Ｐｅ可 专用 或 公 用 的 广域 网 及 Ｉｔｒｅ 上信 息传输 的安 全 。ＩＳ ｃ 过认 证 和 ｎｅｎｔ Ｐ ｅ通
（ ｃ ｏ ｌｏ ｎ ｏ ｍａ ｉ ｎ Ｅｎ ｉ ｅ ｒｎ ａ ｙ ｎ ａ ｇ Ｔｅ ｈ ｉ ａ ｌ ｇ ，Ｌｉ ｎ ｕ ｇ ｎ ２ ２ ０ ） Ｓ ｈ ｏ ｆＩ ｆ ｒ ｔ ｇ ｎ ｅ ｉ ｇ Ｌｉ ｎ ｕ ｇ ｎ ｃ ｎ ｃ ｌ ｏ Ｃｏ ｌ ｅ ｅ ａｙｎａｇ ２ ０ ６
ＩＳ Ｃ有 两种 工作 模式 ： 输模 式和 隧道模 式 ＰＥ 传
如 图 ４所示 。
图 １ Ｉ Ｓ Ｃ体 系 结 构 ＰＥ
Ｔ● 正 一 衄上
ａ 传输 模式 的 ＡＨ ．
叵巫五叵丑函
塑 兰 ｊ塑 望 Ｌ 型 堑！塑 ｌ 垒 ！ 旦
验证 头 （ ＡＨ） 于 为 Ｉ 供 数 据 完 整 性 、 用 Ｐ提 数 据原 始 身 份验 证 和 一 些 可 选 的 、 限 的抗 重 播 服 有
安全 的 Ｓ 记录 。 Ａ
封 装安 全 负 载 （ Ｓ ） 过 对 数 据 包 的全 部 数 ＥＰ通
据和加载内容进行全加密来 严格保证传输信息 的 机 密性 ＿ ， ４ 这样 可 以避免 其他 用户 通 过监 听 来 打开 ］ 信息交换的内容 ， 因为只有受信任 的用户拥有密钥
打开 内容 。Ｅ Ｐ也 能 提 供 认 证 和维 持 数 据 的完 整 Ｓ 性 。最 主要 的 Ｅ Ｐ标 准 是 数 据 加 密 标 准 （ Ｓ ， Ｓ ＤＥ ）
育和科研计算机网（ Ｅ Ｎ Ｔ 、 Ｃ Ｒ Ｅ ）中国电信和近 ２０ ０
钥匙交换机制确保企业与其它组织 的信息往来的
收稿 日期 ：０ ８ ７ ３ ２ ０ 年 月 １日， 回日期 ：０ ８ ８ ２ 修 ２ ０ 年 月 ４日 作者简介 ： 王芳 ， ， 女 硕士 ， 师 ， 讲 研究方 向： 网络安全 。
Ａｂ ｔ ａ ｔ Ｉ ｖ ｌ ｒ ｐ ａ ｅ Ｉ ｖ ｒ ｄ ａ ｌ ｓ ｒ ｃ Ｐ ６ ｗｉ ｅ ｌｃ Ｐ ４ ｇ ａ ｕ ｌ ｌ ｙ，ｂ ｔ ｅ ｆｒ ｗａ ｌ ａ ｅ ａ ｐ ｉａ ｌ ｏ Ｉ ｖ ．Ａｆｅ ｎ ｌ ｚ ｎ ｈ ｒｎ ｉ ｌ ｕ ｗ ｉｅ ｌ ｃ ｎ ｂ ｐ ｌ ｂ ｅ ｔ Ｐ ６ ｆ ｃ ｔ ｒａ ａ ｙ ｉ ｇ ｔ ｅ ｐ ｉ ｃｐ ｅ ｏ ｈ Ｐ ｅ ６ ａ ｄ ｔ ｅｐ ｉ ｃｐ ｅ ｏ ｈ ｉｅ ｌｓ ｕ ｏ ｗａ ｄ ｔ ｓ ａ ｌ ｈ ｔ ｅ ｍｅ ｈ ｄ ｏ ｈ ｉｅ ｌ ｏ Ｐｖ ｎ ｔ ｅ ｆ ｕ ｄ — ｆｔ ｅ Ｉ Ｓ ｃ ｎ ｈ ｒｎ ｉ ｌ ｆｔ ｅ ｆｒ ｗａ ｌ ，ｐ ｔｆ ｒ ｒ ｏ ｅ ｔ ｂ ｉ ｈ ｔ ｏ ｆｔ ｅ ｆｒ ｗａ ｌ ｆＩ ６ ｏ ｈ ｏ ｎ ａ ｓ
数据
两个通信实体经协商建立起来 的一种协定 。它们
决定 了用 来保 护 数据 包安 全 的 Ｉ Ｓｃ 议 、 Ｐ ｅ协 转码 方 式、 密钥 以 及 密 钥 的有 效 存 在 时 间 等 等ｌ 。任 何 ５ ］
图 ２ ＡＨ 的 格 式
ＩＳ ｃ实 施 方 案 始 终 会 构 建 一 个 Ｓ 数 据 库 Ｐｅ Ａ （ＡＤ ） 由它来 维护 ＩＳ ｃ 议 用 来 保 障数 据 包 Ｓ Ｂ ， Ｐｅ协
ｌ ＿ ： 羹翌 錾墅璺 翌墼堡Ｉ 垦 － 兰
ｃ 隧道模式的 ＡＨ ．
Ｉ 塑 ｌ Ｉ 堑 兰 兰 壁塑－
ｄ 隧道模式 的 Ｅ Ｐ ． Ｓ
图 ４ ＩＳ Ｃ的 数 据 传 输 模 式 ＰＥ
签名都 能把它检测 出来 。不过 由于 Ａ Ｈ不能加密
数 据包 所 加 载 的 内容 ， 因而 它 不 保 证 任 何 的 机 密 性 。两 个 最 普遍 的 ＡＨ 标 准 是 ＭＤ ５和 Ｓ ＨＡ一 １ ，
第 ３ 卷 （０ ８ 第 ｌ 期 ６ ２Ｏ） ｌ
计算机与数字工程
安全 性与 机密 性 。 ２ １ Ｉ Ｓ Ｃ体 系结 构 ． Ｐ Ｅ ＩＳ ｃ Ｐ ｅ 协议 包 括 ： ＡＨ（ 验证 头 ） 、 封 装 安 全 、 Ｐ（
安全参数索 ￣（Ｐ） Ｉ Ｉ Ｓ 序列号（ｅｕｎ ｅ ｕ ｅ） Ｓｑ ｅｃ ｍｂｒ ｎ 初始化向量（Ｖ） Ｉ
Ｅ Ｐ的格 式如 图 ３所示 。 Ｓ
Ｓ 是 单 向 的 ， 以 针 对 外 发 和 进 入 处 理 使 用 的 Ａ 所
１Ｏ Ｏ
王
芳等 ：Ｐ ＩＶ６防火墙 研究
第３ ６卷
Ｓ 分 别需要 维 护一张 单独 的表 。 Ａ， 另 外 ，Ａ 还是 “ Ｓ 与协 议 相 关 ” 。每 种 协 议 都 的
防火 墙是 网络 安全 的一个 重要 的环节 ， 目前 常 用 的 防火墙 是 针 对 Ｉ ｖ Ｐ ４的 ， 于 Ｉ ｖ 对 Ｐ ６无 效 ＿ ， ２ 本 ］ 文 提 出一种 基 于 Ｉ Ｓ ｃ 建 Ｉ ｖ Ｐｅ创 Ｐ ６防 火 墙 的方 法 ， 并 给予 实现 。
暴露 出来 ， 如 Ｉｖ 例 Ｐ ４地址 将很快 被 耗尽 ， 信安 全 通
２隧 道模 式 ： ） 隧道 模 式 处 理 整 个 Ｉ Ｐ数 据包 包 括全 部 ＴＣ ／Ｐ或 ＵＤ ／Ｐ头和数 据 ， ＰＩ ＰＩ 它用 自己
的地址 作 为源 地址 加入 到新 的 Ｉ Ｐ头 。当隧道 模 式
Ｔ 蚍上 下一个头 载荷长度 保留
安全参数索￣（Ｐ ） Ｊｇ１ ｌ
没有保 障。所 以需 要新 的协议来解 决这一 问题。
因此 ＩＴＦ于 １ ９ 开 始开发 Ｉｖ ， 是下 一代 Ｉ— Ｅ ９５ Ｐ ６它 ｎ
ｔｒ ｅ 的核 心协 议 。 ｅｎ ｔ
Ｉｖ 带来 的不 仅是 足 够 的 Ｉ 址 ， 时还 带 Ｐ６ Ｐ地 同 来 了其他更 重要 的特 性 ： 安全性 、 支持 Ｑ Ｓ 支持 移 ｏ、 动通 信 、 可扩展 性 、 有 效 的层 次化 地 址 和路 由结 更
１传输模式 ： ） 传输模式使用原始 明文 Ｉ ， Ｐ头 并
且 只加密 数据 ， 括它 的 Ｔ Ｐ和 ＵＤ 包 Ｃ Ｐ头 。
ＭＤ 使用最高到 １８ 的密钥 ， Ｓ Ａ一１ ５ ２位 而 Ｈ 通过
最 高 到 １ ０位 密钥 提 供 更 强 的保 护 。ＡＨ 的格 式 ６
如 图 ２所 示 。
总第 ２ ９期 ２ ２ ０ 年第 １ 期 ０８ １
计算 机与数字工程
Ｃ ｍｐ ｔ ｉｉ ｌ ｎ ｉｅ ｒ ｇ ｏ ｕｅ ｒ＆ Ｄ ｇｔ ｇｎ ｅｉ ａＥ ｎ
Ｖｏ ６ Ｎｏ １ Ｌ３ ． １
９８
Ｉ Ｖ６防 火 墙 研 究 Ｐ
王 芳 何 洪磊 ）
２２Ｏ） ２０ ６
Ｔ ３３ Ｐ ９
Ｉ Ｓｃ Ｐ ｅ
中 图分 类 号
Ｒ ｅ ｅ ｒ ｈ ｏ ＰＶ ６ Ｆｉｅ ａ ｌ ｓａ ｃ ｎ Ｉ ｒｗ ｌ
Ｗａ ｇＦ ｎ ｎ ａ ｇ Ｈｅ Ｈｏ ｇ ｅ ｎ ｌｉ
（ ｌ ｇ ｆＬｉｎ ｕ ｇ ｎ ｉｅ ｅＭ ｅ ｉｉｅＪａ ｇｕ Ｕｎｏ ｃ ｎｃ ｌ ｌ ｇ ”，Ｌｉｎ ｕ ｇ ｎ ２ ２ ０ ） Ｃｏ ｌ ｅｏ ａ ｙ ｎ ａ ｇＣｈ ｎ ｓ ｄｃｎ ｉｎ ｓ ｉｎＴｅ ｈ ｉａ ｌ ｅ ｅ Ｃｏ ｅ ａｙｎａ ｇ ２０ ６
Ｃｌｓ ｍ ｂ ｒ ＴＰ ９ ａ ｓＮｕ ｅ ３３
１ 引言
随着 Ｉｔｒ ｅ ｎｅｎ ｔ的发 展 ，Ｐ ４协 议 的缺 陷 逐 渐 Ｉｖ
家 高 校 都 已建 立 或 加 入 了 Ｉｖ Ｐ ６试 验 床 。相 信 不 久 ， Ｉｖ 为 核 心 的下 一 代 Ｉｔｒｅ 在 中 国会 得 以 Ｐ６ ｎｅｎｔ 到更 大 的普及 。
务 ｌ 。正 如 整 个 名 称 所 示 ， ＿ ３ ＡＨ 通 过 一 个 只 有 密
ｂ ．传输模式 的 Ｅ Ｐ Ｓ
钥持 有 人 才 知 道 的 “ 字 签 名 ” 对 用 户 进 行 认 数 来 证 。这个 签 名 是 数据 包 通 过 特别 的算 法得 出 的独 特 结 果 ； 还 能 维 持数 据 的完 整 性 ， ＡＨ 因为 在 传 输 过 程 中无 论 多 小 的变 化 被 加 载 ， 据 包 头 的 数 字 数
机 Ｂ的 Ｓ ｏ ｔ也 会 共 享 同样 的 加 密参 数 。 由于 Ａ（ ｕ ）
ＤＳ Ｅ 最高支持 ５ 位 的密钥 ， Ｔ ｉ ｅ Ｅ ６ 而 ｒ ｌ—Ｄ Ｓ使用 ｐ
三套 密钥加 密 ， 就相 当于使用 最 高到 １８位 的密 那 ６ 钥 。由于 Ｅ Ｐ实 际 上 加 密 所 有 的数 据 ， 而 它 比 Ｓ 因 ＡＨ 需 要 更 多 的 处 理 时 间 ， 而 导 致 性 能 下 降 。 从
２ Ｉ ＰＳｅ ｃ
１ Ｓ Ｃ是 一 系列 基 于 １ ＰＥ Ｐ网络 的 ， Ｉ ＴＦ（ 由 Ｅ 互
构缩小了骨干网路 由器路 由表的规模 、 支持相邻节
点互 动 、 消灭 了局域 网广 播 的产 生 ＿ 。 １ ］ 正 因为 这 样 ，Ｉｖ Ｐ ６将 会 逐 步 取 代 Ｉｖ 。 目 Ｐ４
加 密
载荷）Ｉ （ｎｅ ｔ 、 ＫＥ Ｉｔｍｅ密钥 交换 ）ＩＡ 、Ｓ ＫＭＰ Ｏ ｋｅ ／ ａｌ ｙ以 及转 码 。ＩＳｃ Ｐ ｅ 各组件之 间 的交互 方式如 图 １ 示 。 所
Ｔ
＿ ｌ －
填充项Ｉ 填充长度ｒ＝ １ ． 一个头
图 ３ ＥＳ 的 格 式 Ｐ
２ ２ Ｉ Ｓ Ｃ的工 作模 式 ． Ｐ Ｅ