搜索

[15740] 2020-08-17_从IPv6技术要求设想未来合规问题

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-08-17_从IPv6技术要求设想未来合规问题 从 I P v 6 技 术 要 求 设 想 未 来 合 规 问 题 原 创   宇 宸 d e 研 究 室   F r e e B u f   2 0 2 0 - 0 8 - 1 7 I P v 6 全 面 部 署 已 初 有 成 效 ， 同 时 安 全 相 关 问 题 也 开 始 凸 显 ， 那 么 有 关 I P v 6 的 安 全 合 规 将 会 是 怎 样 的 ， 我 们 不 妨 大 胆 去 设 想 一 下 。 本 文 会 分 别 从 政 策 层 面 、 技 术 层 面 、 网 络 安 全 层 面 进 行 讨 论 ， 主 要 出 发 点 是 企 业 合 规 设 想 ， 旨 在 给 大 家 做 一 个 参 考 。 随 着 各 国 网 络 发 展 战 略 的 出 台 ， I P v 6   进 入 快 速 发 展 阶 段 。 2 0 1 7   年   1 1   月 中 国 中 共 中 央 办 公 厅 、 国 务 院 办 公 厅 印 发 了 《 推 进 互 联 网 协 议 第 六 版 ( I P v 6 ) 规 模 部 署 行 动 计 划 》 ， 提 出 用 五 至 十 年 时 间 ， 形 成 下 一 代 互 联 网 自 主 技 术 体 系 和 产 业 生 态 ， 建 成 全 球 最 大 规 模 的   I P v 6   商 业 应 用 网 络 ， 实 现 下 一 代 互 联 网 在 经 济 社 会 各 领 域 深 度 融 合 应 用 ， 成 为 全 球 下 一 代 互 联 网 发 展 的 重 要 主 导 力 量 。 2 0 2 0 年 3 月 ， 为 贯 彻 落 实 《 推 进 互 联 网 协 议 第 六 版 ( I P v 6 ) 规 模 部 署 行 动 计 划 》 （ 厅 字 〔 2 0 1 7 〕 4 7 号 ） 任 务 要 求 ， 加 快 提 升 I P v 6 端 到 端 贯 通 能 力 ， 持 续 提 升 I P v 6 活 跃 用 户 和 网 络 流 量 规 模 ， 工 信 部 印 发 《 2 0 2 0 年 I P v 6 端 到 端 贯 通 能 力 提 升 专 项 行 动 的 通 知 （ 工 信 部 通 信 函 〔 2 0 2 0 〕 5 7 号 ） 》 ， 决 定 于 2 0 2 0 年 开 展 I P v 6 端 到 端 贯 通 能 力 提 升 专 项 行 动 。 图 1   全 球 各 国   I P v 6   部 署 程 度 ( 来 源 ： C i s c o ， 2 0 1 9 . 1 0 ) 我 国 目 前 （ 截 止 2 0 2 0 年 5 月 ） I P v 6 部 署 主 要 集 中 在 中 央 、 政 府 、 大 型 企 业 ， 覆 盖 率 约 在 8 0 % 左 右 ， I P v 6 活 跃 用 户 约 3 . 1 8 亿 人 ， 占 比 3 5 % 。
图 2   中 国   I P v 6   发 展 情 况 ( 来 源 ： 国 家 I P v 6 发 展 监 测 平 台 ， 2 0 2 0 . 0 5 ) 在 全 球 大 力 发 展 I P v 6 的 同 时 ， 问 题 也 开 始 逐 渐 显 现 ， 无 论 是 监 管 部 门 还 是 政 府 、 企 事 业 单 位 ， 习 惯 了 每 年 一 次 的 等 保 和 安 全 检 查 ， 但 是 在 面 对 I P v 6 的 合 规 性 方 面 ， 目 前 可 以 说 是 一 种 不 知 所 措 的 状 态 ， 尤 其 是 企 业 方 面 。 近 期 了 解 到 ， 一 些 企 业 开 始 询 问 关 于 I P v 6 的 合 规 都 要 关 心 哪 些 问 题 ， 监 管 会 重 点 检 查 什 么 ？ 政 策 层 面 政 策 层 面 由 于 I P v 6 还 没 有 相 关 的 政 策 法 规 、 条 例 或 国 标 ， 只 有 行 业 （ 如 广 电 、 通 信 ） 标 准 ， 且 大 多 针 对 部 署 和 连 通 性 测 试 。 本 文 将 根 据 已 有 网 络 安 全 相 关 标 准 （ 国 标 、 法 规 ） 和 I P v 6 政 策 文 件 （ 行 动 计 划 、 专 项 行 动 ） 进 行 分 析 ， 梳 理 其 中 对 企 业 的 要 求 。 首 先 应 明 确 ， 该 行 动 计 划 由 党 中 央 、 国 务 院 牵 头 开 展 ， 依 据 《 国 民 经 济 和 社 会 发 展 第 十 三 个 五 年 规 划 纲 要 》 、 《 国 家 信 息 化 发 展 战 略 纲 要 》 、 《 “ 十 三 五 ” 国 家 信 息 化 规 划 》 制 定 ， 其 效 力 并 不 弱 于 《 网 安 法 》 的 要 求 ， 因 此 ， 政 府 、 企 事 业 单 位 应 积 极 响 应 并 推 行 。 《 行 动 计 划 》 有 三 个 主 要 目 标 ， 五 个 重 点 工 作 （ 互 联 网 应 用 、 网 络 基 础 设 施 、 应 用 基 础 设 施 、 网 络 安 全 、 关 键 前 沿 技 术 ） 。 三 个 主 要 目 标 三 个 主 要 目 标 目 标 目 标 1 对 2 0 1 8 年 末 I P v 6 改 造 的 要 求 。 目 标 目 标 2 到 2 0 2 0 年 末 ， 新 增 网 络 地 址 不 再 使 用 I P v 4 ； I P v 6 用 户 活 跃 数 达 到 5 亿 ， 互 联 网 用 户 中 占 比 5 0 % （ 目 前 3 . 2 亿 左 右 ， 占 比 3 5 % ） ； 2 0 2 0 年 底 以 下 企 业 需 全 面 支 持 I P v 6 （ 注 ： 排 名 是 指 用 户 量 排 名 ） ： 国 内 T o p 1 0 0 商 业 网 站 及 应 用 市 地 级 以 上 政 府 外 网 网 站 ， 新 闻 及 广 播 电 视 媒 体 网 站 系 统 （ 能 力 覆 盖 8 5 % + ）
大 型 I D C （ 机 架 数 量 在 3 0 0 0 - 9 9 9 9 范 围 ） T o p 1 0   C D N （ 支 持 I P v 6 节 点 数 达 8 5 % + ） T o p 1 0 云 平 台 1 0 0 % 的 云 产 品 广 电 网 络 ， 5 G 网 络 及 业 务 ， 各 类 新 增 移 动 和 固 定 终 端 图 3 中 国 云 产 品 I P v 6 支 持 情 况 ( 来 源 ： 国 家 I P v 6 发 展 监 测 平 台 ， 2 0 2 0 . 0 5 ) 目 标 目 标 3 到 2 0 2 5 年 末 ， 我 国 I P v 6 网 络 规 模 （ 部 署 率 目 前 第 十 位 ） 、 用 户 规 模 （ 目 前 第 二 位 ） 、 流 量 规 模 位 居 世 界 第 一 位 ， 网 络 、 应 用 、 终 端 全 面 支 持 I P v 6 。 合 规 关 注 点 合 规 关 注 点 总 结 一 下 ， 从 2 0 2 0 年 5 月 的 数 据 来 看 ， 目 标 2 的 完 成 时 间 可 能 会 推 迟 。 那 么 对 于 政 府 、 企 事 业 单 位 （ 下 文 统 称 为 “ 组 织 ” ） ， 结 合 《 2 0 2 0 年 I P v 6 端 到 端 贯 通 能 力 提 升 专 项 行 动 的 通 知 》 中 对 完 成 指 标 的 最 新 调 整 ， 需 要 关 心 的 有 几 个 方 面 ： 现 有 外 网 网 站 或 系 统 在 年 底 前 ， 最 起 码 要 达 到 8 5 % 以 上 的 I P v 6 支 持 率 ， 在 未 来 1 - 2 年 内 达 到 1 0 0 % （ 国 内 前 1 0 0 商 业 网 站 、 地 市 级 政 府 网 站 、 广 电 、 新 闻 站 点 是 强 制 要 求 ） ； 国 内 前 1 0 的 内 容 分 发 网 络 （ C D N ） 年 底 8 5 % 以 上 节 点 要 支 持 I P v 6 ； （ 被 点 名 企 业 ： 阿 里 云 、 腾 讯 云 、 网 宿 科 技 、 蓝 汛 、 金 山 云 、 百 度 云 、 华 为 云 、 京 东 云 、 帝 联 科 技 、 U C l o u d 、 白 山 云 、 七 牛 云 、 鹏 博 士 、 中 国 移 动 ） 广 电 、 运 营 商 新 上 线 系 统 及 业 务 （ 包 括 移 动 端 和 固 定 终 端 ） 从 设 计 到 开 发 到 上 线 ， 需 基 于 I P v 6 协 议 ， 不 可 以 再 用 I P v 4 。 年 底 前 门 户 网 站 二 级 、 三 级 链 接 的 I P v 6 浓 度 达 到 8 5 % + ； （ 涉 及 部 门 包 括 ： 各 省 （ 区 、 市 ） 通 信 管 理 局 、 部 属 各 单 位 、 部 属 各 高 校 、 基 础 电 信 企 业 ） A p p 、 应 用 、 客 户 端 、 浏 览 器 、 论 坛 等 需 进 行 I P v 6 升 级 ， 尤 其 排 名 前 1 0 0 的 网 站 和 应 用 ， 允 许 4 / 6 双 栈 连 接 ， 但 优 先 I P v 6 连 接 ； 年 底 前 完 成 政 务 、 综 治 、 金 融 、 医 疗 等 领 域 公 共 管 理 、 民 生 公 益 等 服 务 平 台 改 造 ， 即 1 0 0 % 支 持 I P v 6 ； 工 业 互 联 网 I P v 6 改 造 工 作 启 动 ， 没 有 明 确 要 求 ， 但 需 要 由 改 造 计 划 和 阶 段 性 成 果 ；
从 超 大 型 I D C 扩 展 到 大 型 I D C ， 也 就 是 说 机 架 总 数 超 过 3 0 0 0 个 的 I D C ， 年 底 前 要 完 成 1 0 0 % I P v 6 改 造 ； （ 三 大 运 营 商 改 造 范 围 扩 展 到 中 小 I D C ； 被 点 名 企 业 Q 3 末 要 完 成 年 报 中 全 部 数 据 中 心 的 I P v 6 改 造 ， 包 括 阿 里 云 、 腾 讯 云 、 百 度 云 、 京 东 云 、 华 为 云 、 世 纪 互 联 、 鹏 博 士 、 秦 淮 科 技 、 新 网 互 联 、 方 正 信 息 、 西 部 数 码 、 万 国 数 据 、 光 环 新 网 ） 国 内 排 名 前 1 0 的 云 服 务 商 ， 年 底 前 所 有 云 上 产 品 （ 包 括 ： 云 主 机 、 容 器 引 擎 、 负 载 均 衡 、 域 名 解 析 、 对 象 存 储 、 M y S Q L 云 数 据 库 、 M o n g o D B 云 数 据 库 、 A P I   网 关 、 W e b   应 用 防 火 墙 、 D D o S   高 防 、 文 件 存 储 （ N A S ） 、 对 等 连 接 服 务 （ V P C ） 、 H T T P D N S 、 数 据 库 审 计 、 微 服 务 引 擎 、 M a p R e d u c e 服 务 、 设 备 接 入 服 务 （ I o T   H u b ） 、 区 块 链 服 务 、 视 频 直 播 、 人 脸 识 别 等 ） 要 1 0 0 % 支 持 I P v 6 （ 被 点 名 企 业 ： 阿 里 云 、 天 翼 云 、 腾 讯 云 、 沃 云 、 华 为 云 、 移 动 云 、 百 度 云 、 金 山 云 、 京 东 云 、 U C l o u d 、 青 云 ） ； 完 善 针 对 I P v 6 的 网 络 安 全 定 级 备 案 、 风 险 评 估 、 通 报 预 警 、 灾 难 备 份 及 恢 复 等 工 作 ； 即 开 始 建 立 针 对 I P v 6 网 络 的 安 全 评 估 和 应 急 预 案 等 文 档 体 系 。 技 术 合 规 技 术 合 规 由 于 当 前 缺 乏 可 参 考 的 法 规 和 标 准 ， 不 能 确 定 未 来 监 管 会 重 点 检 查 哪 些 方 面 以 及 衡 量 指 标 。 但 是 ， 鉴 于 国 家 对 电 信 、 广 电 行 业 的 强 制 性 要 求 ， 可 以 将 该 行 业 （ 包 括 地 方 文 件 ） 的 实 施 指 南 类 文 档 作 为 参 考 ， 大 概 预 测 一 下 I P v 6 技 术 合 规 方 面 需 要 企 业 关 注 的 重 点 。 I P v 6 部 署 部 署 应 制 定 I P v 6 升 级 改 造 的 人 员 组 织 架 构 ， 明 确 责 任 人 和 各 岗 位 职 责 分 工 ； 组 织 应 提 前 制 定 I P v 6 部 署 计 划 ， 其 中 充 分 考 虑 对 现 有 系 统 的 I P v 6 演 进 路 径 及 可 能 影 响 ； 组 织 应 采 取 先 试 验 ， 逐 步 小 规 模 部 署 ， 在 部 署 成 熟 后 开 始 大 范 围 推 广 ， 整 个 过 程 中 应 做 好 安 全 防 护 方 案 ， 包 括 割 接 方 案 及 回 滚 方 案 ； 可 以 采 取 双 栈 部 署 方 式 ， 逐 渐 过 渡 到 纯 I P v 6 网 络 ， 根 据 业 务 情 况 ， 逐 渐 淘 汰 或 升 级 I P v 4 系 统 和 终 端 ； 组 织 核 心 网 络 设 备 （ 如 防 火 墙 、 负 载 均 衡 、 路 由 器 、 核 心 交 换 机 等 ） 应 支 持 I P v 6 协 议 ， 从 长 远 考 虑 来 看 ， 组 织 也 可 以 考 虑 支 持 S R v 6 的 设 备 ； 由 于 I P v 6 地 址 资 源 过 于 庞 大 ， 组 织 应 合 理 规 划 地 址 段 ， 细 化 安 全 域 ， 避 免 后 期 由 于 地 址 太 过 分 散 ， 无 法 聚 合 ， 难 以 管 理 ； 升 级 后 网 络 应 能 支 持 I P v 6 组 播 、 I P v 6 的 Q o s S 及 D H C P v 6 等 协 议 ； 对 于 遗 留 系 统 ， 通 过 评 估 后 再 进 行 升 级 计 划 ； 针 对 公 司 业 务 主 管 及 运 维 团 队 进 行 I P v 6 技 术 培 训 、 割 接 培 训 ， 培 养 I P v 6 专 业 人 才 。 系 统 升 级 （ 以 系 统 升 级 （ 以 3 A 系 统 为 例 ） 系 统 为 例 ） 组 织 的 3 A （ 或 4 A ） 系 统 应 能 够 支 持 I P v 6 （ 包 括 业 务 支 持 、 对 外 接 口 支 持 以 及 系 统 本 身 支 持 ） ， 主 要 是 R a d i u s 报 文 中 的 属 性 字 段 （ 可 参 考 R F C 3 1 6 2 ） ； 业 务 上 可 以 区 分 用 户 I P 类 型 （ v 4 、 v 6 或 双 栈 ） ， 支 持 I P v 6 属 性 ， 并 授 权 相 应 的 地 址 ； 对 外 与 其 他 系 统 交 互 ， 应 能 识 别 用 户 类 型 字 段 （ v 4 、 v 6 或 双 栈 ） ， 如 计 费 系 统 ， 能 够 对 不 同 类 别 用 户 的 上 网 时 长 和 流 量 提 供 独 立 记 录 ； 3 A 系 统 应 能 配 置 I P v 6 地 址 ， 能 与 其 他 设 备 进 行 I P v 6 交 互 ； 新 采 购 设 备 或 开 发 系 统 （ 业 务 ） ， 应 支 持 I P v 6 ， 优 先 推 荐 I P v 6 - o n l y 项 目 。 网 络 安 全 合 规 网 络 安 全 合 规
对 于 I P v 6 的 部 署 和 升 级 改 造 目 前 比 较 顺 利 ， 而 且 已 经 解 决 要 求 的 目 标 ， 但 随 之 而 来 的 安 全 问 题 也 开 始 显 现 。 由 于 I P v 6 涉 及 的 安 全 问 题 较 多 ， 下 文 中 将 主 要 针 对 国 家 重 点 关 注 的 安 全 问 题 和 最 近 几 年 出 现 的 安 全 问 题 。 传 统 安 全 问 题 传 统 安 全 问 题 尽 管 升 级 到 I P v 6 网 络 ， 但 是 一 些 基 于 I P v 4 网 络 的 安 全 问 题 依 旧 存 在 ， 组 织 还 应 继 续 予 以 关 注 并 做 好 防 护 措 施 。 报 文 监 听 报 文 监 听 I P v 6 中 可 使 用 I P S e c 对 其 网 络 层 的 数 据 传 输 进 行 加 密 保 护 ， 但 R F C 6 4 3 4 中 不 再 强 制 要 求 实 施 I P S e c ， 因 此 在 未 启 用 I P S e c 的 情 况 下 ， 对 数 据 包 进 行 监 听 依 旧 是 可 行 的 。 应 用 层 攻 击 应 用 层 攻 击 I P v 4 网 络 中 应 用 层 可 实 施 的 攻 击 在 I P v 6 网 络 下 依 然 可 行 ， 比 如 S Q L 注 入 、 缓 冲 溢 出 等 ， I D P S 、 病 毒 防 护 、 U R L 过 滤 等 应 用 层 的 防 护 不 受 网 络 层 协 议 变 化 影 响 。 泛 洪 攻 击 泛 洪 攻 击 在 I P v 4 与 I P v 6 中 ， 向 目 标 主 机 发 送 大 量 网 络 流 量 依 旧 有 效 ， 泛 洪 攻 击 可 能 会 造 成 严 重 的 资 源 消 耗 或 导 致 目 标 崩 溃 ， D D o S 防 护 依 然 关 键 。 分 片 攻 击 分 片 攻 击 在 I P v 4 中 ， 分 片 可 以 由 发 送 主 机 和 中 间 路 由 器 执 行 ， 而 I P v 6 分 片 只 能 由 主 机 执 行 。 这 把 I P v 6 路 由 器 从 昂 贵 的 分 组 任 务 中 解 放 了 出 来 。 I P v 6 分 片 的 一 个 重 要 方 面 是 对 分 片 的 支 持 是 通 过 I P v 6 扩 展 报 头 ( 特 别 是 片 报 头 ) 实 现 的 。 前 规 范 的 I P v 6 协 议 ( 即 在 [ R F C 8 2 0 0 ] 之 前 的 协 议 允 许 一 些 非 正 常 的 分 片 情 况 ， 比 如 一 个 包 的 第 一 个 分 片 不 包 含 整 个 I P v 6 报 头 链 ( 见 [ R F C 7 1 1 2 ] ) 。 这 种 非 正 常 分 片 情 况 可 能 仍 然 遗 留 ， 被 I P v 6 实 施 所 允 许 ， 因 此 可 能 被 用 来 规 避 I P v 6 安 全 控 制 。 此 外 ， 由 于 分 片 支 持 是 通 过 I P v 6 扩 展 报 头 实 现 的 ， 所 以 扩 展 报 头 的 所 有 通 用 安 全 考 虑 都 适 用 于 分 片 报 头 。 地 址 欺 骗 地 址 欺 骗 I P v 6 使 用 N D P 协 议 替 代 了 I P v 4 中 的 A R P 协 议 ， 但 由 于 实 现 原 理 基 本 一 致 ， 因 此 针 对 A R P 协 议 的 A R P 欺 骗 、 A R P 泛 洪 等 类 似 攻 击 方 式 在 I P v 6 中 依 旧 可 行 。 网 络 架 构 网 络 架 构 I P v 4 网 络 最 常 见 的 架 构 是 内 部 节 点 使 用 私 有 I P v 4 地 址 ， 通 过 N A T 设 备 连 接 到 外 部 网 络 。 作 为 转 换 I P v 4 地 址 和 传 输 协 议 端 口 号 的 副 作 用 ， N A T 设 备 最 终 强 制 执 行 “ 只 允 许 传 出 通 信 ” 的 过 滤 策 略 。 虽 然 这 不 是 一 种 安 全 万 能 方 法 ， 但 它 确 实 在 许 多 网 络 场 景 中 减 少 了 攻 击 面 。 由 于 I P v 6 网 络 不 需 要 依 赖 于 N A T 设 备 ， 所 以 有 时 会 假 设 I P v 6 节 点 造 成 更 多 的 暴 露 面 — — 也 就 是 说 ， 每 个 I P v 6 节 点 都 可 以 从 公 共 互 联 网 直 接 访 问 。 然 而 ， 这 并 不 需 要 ， 通 常 也 不 应 该 出 现 这 种 情 况 。 例 如 ， 当 前 使 用 I P v 4 私 有 地 址 空 间 并 通 过 N A T 设 备 连 接 到 I n t e r n e t 网 络 。 可 以 通 过 在 I P v 4   N A T 设 备 所 在 的 网 络 拓 扑 的 同 一 点 部 署 有 状 态 的 I P v 6 防 火 墙 来 限 制 I P v 6 主 机 的 暴 露 。 I P v 6 防 火 墙 通 常 配 置 为 “ 只 允 许 对 外 通 信 ” ， 这 样 I P v 6 过 滤 策 略 就 可 以 与 I P v 4 相 对 应 。 此 外 ， I P v 6 主 机 可 以 使 用 基 于 主 机 的 I P v 6 防 火 墙 ， “ 只 允 许 外 部 通 信 ” ， 就 像 许 多 I P v 4 主 机 对 I P v 4 流 量 所 做 的 一 样 。 这 种 I P v 6 网 络 “ 架 构 ” 和 包 过 滤 策 略 是 I E T F 推 荐 的 用 于 I P v 6 互 联 网 服 务 客 户 的 家 用 默 认 设 置 之 一 。
I P v 4 网 络 中 的 网 络 中 的 I P v 6 问 题 问 题 每 当 一 台 双 堆 栈 主 机 要 连 接 到 另 一 台 主 机 时 ， 它 通 常 会 使 用 D N S 来 获 取 目 标 主 机 域 名 的 I P v 4 和 I P v 6 地 址 。 随 后 ， 它 将 尝 试 与 该 主 机 通 信 ， 方 法 是 按 顺 序 尝 试 每 个 地 址 ， 或 者 并 行 尝 试 一 些 地 址 对 。 通 常 ， I P v 4 - o n l y 网 络 上 的 主 机 不 会 配 置 I P v 6 全 局 单 播 地 址 或 I P v 6 默 认 路 由 ， 因 此 使 用 I P v 6 的 通 信 尝 试 会 失 败 ， 只 有 I P v 4 才 有 可 能 成 功 。 大 多 数 现 代 操 作 系 统 都 支 持 I P v 6 ， 并 且 在 默 认 情 况 下 不 管 I P v 6 是 否 已 经 部 署 到 连 接 节 点 的 网 络 上 都 会 启 用 这 种 支 持 。 这 意 味 着 即 使 缺 少 全 球 I P v 6 连 接 ， 其 仍 然 存 在 于 I P v 4 专 用 网 络 中 。 换 句 话 说 ， 大 多 数 “ I P v 4 专 用 网 络 ” 是 由 双 栈 节 点 组 成 的 ， 当 I P v 6 可 用 时 ， 这 些 节 点 可 以 很 容 易 地 利 用 I P v 6 连 接 。 因 此 , 攻 击 者 连 接 到 本 地 子 网 可 能 触 发 I P v 6 网 络 配 置 ( 例 如 , 通 过 发 送 伪 造 的 路 由 器 通 告 消 息 ) , 随 后 执 行 基 于 I P v 6 的 攻 击 ， 如 拒 绝 服 务 ( D o S ) 、 中 间 人 ( M I T M ) 、 触 发 V P N 流 量 泄 漏 。 因 此 ， 即 使 是 纯 I P v 4 的 网 络 ， 也 应 该 实 施 I P v 6 安 全 控 制 。 这 些 控 制 可 以 从 减 轻 对 自 动 配 置 和 地 址 解 析 机 制 的 攻 击 ， 到 执 行 I P v 6   A C L 或 在 二 层 完 全 阻 止 I P v 6 流 量 。 国 家 关 注 的 安 全 问 题 国 家 关 注 的 安 全 问 题 目 前 大 多 数 网 络 还 是 处 于 双 栈 阶 段 ， 那 么 所 面 临 的 问 题 除 了 以 往 I P v 4 网 络 相 关 的 ， 还 要 考 虑 I P v 6 所 带 来 的 问 题 。 等 保 等 保 2 . 0 要 求 仍 适 用 于 要 求 仍 适 用 于 I P v 6 网 络 网 络 I P v 6 网 络 中 ， 对 于 安 全 的 要 求 ， 目 前 还 应 参 照 等 保 2 . 0 执 行 ， 对 于 新 协 议 、 新 场 景 引 入 的 问 题 ， 可 根 据 实 际 情 况 执 行 防 护 策 略 。 I P v 4 / I P v 6 双 栈 网 络 双 栈 网 络 I P v 6 协 议 栈 只 是 为 上 层 协 议 提 供 了 一 个 可 选 的 网 络 层 服 务 。 因 此 ， 双 栈 服 务 器 通 常 在 两 个 I n t e r n e t 协 议 上 提 供 相 同 的 网 络 服 务 。 网 络 服 务 对 于 底 层 I n t e r n e t 协 议 不 可 知 。 从 安 全 的 角 度 来 看 ， 相 同 的 安 全 策 略 在 两 者 的 I n t e r n e t 协 议 强 制 执 行 , 攻 击 者 可 以 利 用 阻 碍 较 少 的 协 议 进 行 攻 击 ： 无 论 是 渗 透 网 络 服 务 器 ， 还 是 执 行 拒 绝 服 务 攻 击 主 机 或 网 络 。 一 种 最 简 单 且 普 遍 的 安 全 控 制 是 通 过 某 种 形 式 的 防 火 墙 设 备 执 行 包 过 滤 策 略 。 在 I P v 6 信 息 包 过 滤 策 略 方 面 ， 传 统 上 认 为 其 是 弱 于 I P v 4 的 ( 可 能 由 于 经 验 有 限 的 I P v 6 协 议 和 / 或 支 持 I P v 6 的 网 络 安 全 设 备 有 限 ) ， 两 个 协 议 间 的 过 滤 策 略 不 匹 配 是 很 常 见 的 ， 但 没 有 明 确 的 迹 象 表 明 哪 种 协 议 策 略 比 另 一 种 弱 。 对 于 大 多 数 网 络 场 景 ， 组 织 针 对 I P v 6 实 施 的 安 全 策 略 应 该 与 I P v 4 实 施 的 安 全 策 略 相 同 。 隧 道 机 制 问 题 隧 道 机 制 问 题 隧 道 机 制 可 实 现   I P v 6   数 据 包 在   I P v 4   网 络 中 传 输 ， 其 核 心 在 于 将 I P v 6   数 据 包 封 装 在   I P v 4   数 据 包 中 ， 以 自 动 、 手 动 等 多 种 隧 道 配 置 方 式 ， 保 障 被   I P v 4   网 络 隔 离 开 的 局 部   I P v 6   网 络 间 相 互 通 信 。 以   I P v 6   t o   I P v 4   和   I P v 6   o v e r   I P v 4   为 例 。
图 4   隧 道 机 制   ( 来 源 ： 信 通 院 《 I P v 6 网 络 安 全 白 皮 书 》 ) 在 隧 道 环 境 下 ， 部 分 隧 道 机 制 仅 要 求 隧 道 出 入 口 节 点 对 报 文 进 行 简 单 的 封 装 和 解 封 ， 缺 乏 内 置 认 证 、 加 密 等 安 全 功 能 ， 导 致 攻 击 者 可 能 截 取 隧 道 报 文 ， 伪 造 用 户 地 址 并 伪 装 成 合 法 用 户 发 起 攻 击 。 翻 译 机 制 问 题 翻 译 机 制 问 题 由 于 I P v 6 的 地 址 空 间 足 够 大 ， 绝 大 多 数 I P v 6 网 络 将 不 会 采 用 N A T 。 在 网 络 使 用 提 供 商 分 配 地 址 空 间 的 情 况 下 ， I S P 委 派 的 网 络 前 缀 的 任 何 更 改 都 将 导 致 整 个 网 络 的 重 新 编 号 。 此 外 ， 如 果 网 络 中 断 影 响 了 与 上 游 网 络 提 供 商 的 连 接 ， 那 么 在 一 段 较 长 时 间 内 ， 网 络 可 能 会 无 法 使 用 之 前 提 供 商 委 托 / 租 用 的 所 有 前 缀 。 如 果 地 址 空 间 多 为 此 类 地 址 ， 则 可 能 导 致 内 部 网 络 通 信 中 断 。 U L A s [ R F C 4 1 9 3 ] 相 当 于 I P v 6 下 的 I P v 4 私 有 地 址 [ R F C 1 9 1 8 ] 。 U L A 前 缀 不 是 由 I S P 分 配 或 租 用 的 ， 而 是 由 本 地 网 络 管 理 员 选 择 的 ， 通 常 不 会 受 到 重 新 编 号 事 件 的 影 响 — — 因 此 需 要 对 D N S 、 A C L 等 进 行 较 少 的 更 新 。 此 外 ， 由 于 它 们 不 是 由 I S P 租 用 / 委 托 ， 即 使 网 络 中 断 影 响 了 与 I S P 的 长 期 连 接 ， 仍 然 可 以 使 用 U L A s 与 内 部 节 点 通 信 。 对 于 不 应 该 从 外 部 网 络 访 问 的 节 点 ， U L A 前 缀 可 能 特 别 有 效 ， 因 为 ： U L A s 的 “ 私 有 ” 特 性 提 供 了 一 个 额 外 的 隔 离 层 ( 除 了 适 当 的 包 过 滤 之 外 ) ， 因 为 这 些 地 址 不 太 可 能 从 外 部 网 络 被 访 问 到 它 们 可 能 会 具 有 比 上 游 提 供 商 租 用 / 委 托 前 缀 配 置 更 稳 定 的 地 址 即 使 在 上 游 连 接 中 断 的 情 况 下 ， 它 们 也 允 许 网 络 操 作 在 大 多 数 场 景 中 ， U L A s 将 与 全 局 单 播 地 址 一 起 配 置 ， 其 中 U L A s 用 于 内 部 通 信 ， 而 全 局 地 址 将 用 于 与 外 部 节 点 通 信 。 安 全 产 品 对 安 全 产 品 对 I P 的 支 持 问 题 的 支 持 问 题 现 阶 段   I P v 6   相 关 安 全 产 品 的 研 发 应 用 情 况 来 看 ， 目 前 市 场 对   I P v 6   安 全 产 品 发 展 的 驱 动 效 应 尚 未 全 面 显 现 ， 我 国 I P v 6   安 全 产 品 仍 处 于 起 步 发 展 阶 段 。 图 5   中 国   R e a d y   L o g o   设 备
类 型 统 计 （ 来 源 ： 全 球 I P v 6 测 试 中 心 ， 2 0 1 9 . 1 0 ） 新 引 入 安 全 问 题 新 引 入 安 全 问 题 I P v 6 包 结 构 问 题 包 结 构 问 题 I P v 6 采 用 固 定 长 度 的 基 础 I P v 6 报 头 ， 可 选 的 扩 展 报 头 形 成 一 个 菊 花 链 包 结 构 。 希 望 哪 个 系 统 处 理 这 些 选 项 可 以 使 用 不 同 的 选 项 容 器 ， 这 样 节 点 就 不 必 解 析 它 们 无 需 处 理 的 选 项 。 然 而 ， 当 需 要 处 理 整 个 I P v 6 报 头 链 以 访 问 上 层 协 议 值 ( 如 传 输 协 议 类 型 、 传 输 协 议 端 口 号 等 ) 时 ， I P v 6 包 结 构 往 往 与 现 代 路 由 器 体 系 结 构 不 相 匹 配 。 I P v 6 扩 展 报 头 存 在 很 多 安 全 隐 患 ： 一 些 安 全 设 备 在 执 行 过 滤 策 略 时 不 能 处 理 整 个 I P v 6 报 头 链 (   [ R F C 7 1 1 3 ] ) 。 因 此 ， 即 使 只 是 简 单 地 添 加 一 个 只 携 带 “ p a d d i n g ” 选 项 的 扩 展 头 ， 也 足 以 绕 过 相 应 的 安 全 控 制 。 一 些 网 络 或 安 全 设 备 通 常 可 能 在 硬 件 上 处 理 流 量 ， 但 在 软 件 中 处 理 携 带 选 项 的 包 。 这 种 情 况 下 ， I P v 6 扩 展 头 可 能 被 用 来 执 行 D o S 攻 击 。 在 许 多 I P v 6 实 施 中 发 现 ， 无 法 对 使 用 I P v 6 扩 展 报 头 的 包 执 行 基 本 完 整 性 检 查 。 在 某 些 情 况 下 ， 攻 击 者 可 能 通 过 向 受 害 节 点 发 送 单 个 或 持 续 精 心 设 计 的 数 据 包 流 来 导 致 处 理 节 点 崩 溃 、 重 新 启 动 或 无 响 应 。 为 了 减 轻 上 述 的 安 全 影 响 ， 应 该 执 行 适 当 的 包 过 滤 策 略 。 通 常 路 由 器 应 该 更 宽 松 的 放 行 流 量 ( 使 用 列 入 黑 名 单 的 信 息 包 过 滤 方 法 ) , 而 更 接 近 网 络 的 边 缘 节 点 ( 例 如 企 业 边 界 路 由 器 ) 通 常 应 该 更 保 守 , 只 允 许 他 们 预 期 想 获 得 的 流 量 ( 即 采 用 白 名 单 的 信 息 包 过 滤 方 法 ) 。 一 些 网 络 使 用 扩 展 报 头 来 过 滤 数 据 包 ， 这 影 响 了 I P v 6 扩 展 报 头 在 公 共 互 联 网 上 使 用 的 可 靠 性 [ R F C 7 8 7 2 ] 。 普 遍 使 用 的 丢 弃 包 含 扩 展 报 头 的 I P v 6 数 据 包 也 会 影 响 I P s e c 扩 展 报 头 。 这 样 做 的 后 果 是 ， 为 了 使 I P s e c 数 据 包 在 I P v 6 互 联 网 上 存 活 ， 可 能 需 要 通 过 一 些 传 输 协 议 ( 例 如 T C P 或 U D P ) 来 隧 道 I P s e c 流 量 。 对 于 某 些 用 例 ， 可 以 使 用 T L S   V P N 等 替 代 技 术 。 海 量 地 址 海 量 地 址 “ 造 福 造 福 ” 攻 击 者 攻 击 者 批 量 注 册 ， 批 量 薅 羊 毛 ， 刷 量 ， 刷 单 ， 引 流 等 需 要 操 控 大 量 的 账 号 进 行 自 动 化 攻 击 。 在 网 络 的 攻 防 对 抗 中 ， 动 态 切 换 I P 来 覆 盖 W e b 表 单 爆 破 ， 或 者 是 利 用 工 具 进 行 M y S Q L ， R e d i s ， R D P 等 协 议 爆 破 ， 以 及 进 行 常 见 W e b 攻 击 ， 如 S Q L 注
入 ， 0 d a y / 1 d a y / N d a y 漏 洞 利 用 等 。 图 6   I P v 4 与 I P v 6 地 址 资 源 对 于 攻 击 者 而 言 ， 他 们 会 想 尽 一 切 办 法 ， 来 不 断 降 低 攻 击 成 本 ， 提 高 攻 击 效 率 ， 自 动 化 攻 击 便 是 其 中 的 关 键 方 法 之 一 。 对 于 防 守 方 而 言 ， 他 们 会 实 施 一 系 列 防 御 方 法 ， 比 如 累 积 黑 / 白 名 单 ， 创 建 情 报 库 以 及 部 署 防 御 策 略 等 ， 来 提 高 攻 击 者 的 攻 击 成 本 ， 提 高 防 守 率 。 这 实 际 上 是 资 源 的 对 抗 ， 尤 其 是 I P 资 源 的 对 抗 。 企 业 应 对 秒 拨 I P 技 术 引 起 重 视 ， 今 早 做 好 防 护 措 施 。 影 子 影 子 I T 更 难 于 管 理 更 难 于 管 理 I P v 6 主 机 通 常 为 每 个 网 络 接 口 配 置 不 同 范 围 和 属 性 的 多 个 地 址 。 这 与 I P v 4 形 成 对 比 ， 在 I P v 4 中 ， 主 机 通 常 只 为 每 个 网 络 接 口 配 置 一 个 地 址 。 随 着 地 址 数 量 的 增 加 ， 每 个 地 址 都 具 有 不 同 属 性 ， 这 为 提 高 安 全 性 、 保 密 性 和 弹 性 提 供 了 能 力 。 然 而 ， 由 于 对 可 用 地 址 的 不 当 使 用 ， 这 些 潜 在 的 优 点 通 常 无 法 实 现 。 可 能 在 某 些 场 景 中 ， 这 种 对 可 用 地 址 的 不 当 使 用 将 导 致 意 外 。 I P v 6 主 机 通 常 配 置 不 同 范 围 的 多 个 地 址 ， 从 链 路 本 地 到 全 局 。 一 般 来 说 ， 主 机 应 该 为 每 个 应 用 程 序 使 用 尽 可 能 小 范 围 的 地 址 。 这 种 缩 小 的 范 围 容 易 提 供 隔 离 ， 这 层 隔 离 是 由 地 址 范 围 本 身 所 产 生 的 （ 如 V l a n ） 。 例 如 ， 一 个 只 能 从 网 络 内 部 访 问 的 文 件 服 务 器 可 能 只 想 使 用 U L A s — — I P v 6 中 相 当 于 I P v 4 私 有 地 址 。 通 过 使 用 U L A s ， 有 限 地 址 范 围 本 身 可 以 作 为 与 互 联 网 隔 离 的 一 种 手 段 。 使 用 有 限 范 围 的 地 址 并 不 排 除 或 阻 止 使 用 其 他 网 络 防 护 手 段 ， 而 是 作 为 一 个 额 外 的 防 护 。 使 用 有 限 范 围 的 I P v 6 地 址 能 带 来 额 外 的 好 处 。 例 如 ， U L A 地 址 块 ( f c 0 0 : : / 7 ) 足 够 大 ， 几 乎 任 何 大 型 或 复 杂 网 络 都 可 以 从 U L A 地 址 空 间 中 构 建 。 由 于 U L A s 是 本 地 管 理 ， 因 此 即 使 上 游 提 供 程 序 出 现 故 障 ， 它 们 也 可 以 提 供 可 用 的 地 址 ； 也 就 是 说 ， 即 使 与 上 游 提 供 程 序 的 连 接 丢 失 ， 且 全 局 地 址 超 ， 仍 然 可 以 使 用 U L A s 进 行 本 地 通 信 。 I o T 设 备 问 题 设 备 问 题 当 谈 到 I P v 6 和 物 联 网 ， 许 多 人 认 为 I P v 6 是 物 联 网 释 放 其 全 部 潜 力 的 必 要 条 件 。 然 而 ， 分 析 I P v 6 — — 特 别 是 全 局 寻 址 和 a n y   t o   a n y 连 接 — — 在 何 种 程 度 上 与 物 联 网 想 结 合 是 很 重 要 。 无 论 使 用 或 不 使 用 全 局 地 址 空 间 ， 是 否 需 要 a n y   t o   a n y 连 接 ( 包 括 主 动 入 站 通 信 ) ， 以 及 它 对 物 联 网 设 备 安 全 性 的 影 响 才 是 问 题 的 关 键 。 在 I P v 4 中 ， 未 经 请 求 的 入 站 通 信 由 于 使 用 N A T 会 被 阻 断 。 随 着 N A T 和 网 络 过 滤 策 略 （ 可 能 ） 在 I P v 6 中 的 消 失 ， 全 局 a n y   t o   a n y 通 信 可 以 提 高 灵 活 性 — — 同 时 以 增 加 攻 击 风 险 作 为 代 价 。 是 否 对 I P v 6 和 物 联 网 设 备 实 施 同 样 的 过 滤 策 略 将 取 决 于 相 关 设 备 的 通 信 模 型 ； 是 否 期 望 外 部 实 体 轮 询 物 联 网 设 备 ， 或 是 否 期 望 物 联 网 设 备 通 知 外 部 实 体 。 如 果 是 前 者 ， 物 联 网 网 络 将 需 要 接 受 入 站 、 未 经 请 求 的 通 信 。 若 是 后 者 ， 传 入 的 通 信 可 能 会 被 阻 断 ， 而 物 联 网 设 备 将 能 够 根 据 需 要 来 连 接 外 部 系 统 。 除 了 可 能 的 物 联 网 设 备 通 信 模 式 , 当 从 外 部 网 络 向 物 联 网 网 络 通 信 是 可 行 的 , 这 种 通 信 应 该 直 接 访 问 物 联 网 设 备 ， 还 是 应 该 通 过 作 为 物 联 网 和 外 部 网 络 之 间 的 网 关 代 理 来 执 行 ？ 显 然 ， 网 关 方 式 在 安 全 方 面 可 能 会 更 好 ， 而 且 在 监 管 脆 弱 的 物
联 网 设 备 流 量 方 面 也 可 能 处 于 有 利 地 位 。 物 联 网 网 关 具 有 设 备 连 接 、 协 议 转 换 、 数 据 过 滤 和 处 理 、 安 全 、 更 新 、 管 理 等 重 要 功 能 。 物 联 网 网 关 也 可 以 作 为 应 用 程 序 代 码 平 台 ， 处 理 数 据 并 成 为 支 持 边 缘 系 统 的 智 能 部 分 。 I P v 6 协 议 漏 洞 协 议 漏 洞 有 关 I P v 6 的 安 全 漏 洞 在 逐 渐 被 爆 出 ， 虽 然 可 被 利 用 的 漏 洞 数 量 还 不 算 多 ， 但 组 织 应 该 密 切 关 注 。 截 止 今 年 6 月 ， C V E 官 方 统 计 I P v 6 漏 洞 数 量 以 超 过 4 0 0 个 。 企 业 以 后 的 漏 洞 扫 描 工 具 应 支 持 I P v 6 漏 洞 和 资 产 发 现 功 能 。 图 7   I P v 6 漏 洞 情 况 （ 来 源 ： C V E ， 2 0 2 0 . 0 6 ） 官 方 建 议 官 方 建 议 “ 好 用 ” 已 经 成 为 当 前 I P v 6 规 模 部 署 工 作 重 点 （ 其 实 ， 目 前 大 多 数 企 业 的 要 求 是 “ 能 有 ” ， 还 没 到 “ 好 用 ” ） 。 “ 好 用 ” 不 仅 是 简 单 的 用 I P v 6 替 代 I P v 4 ， 更 要 发 挥 基 于 I P v 6 + 的 下 一 代 互 联 网 创 新 优 势 实 现 业 务 创 新 和 产 业 赋 能 。 I P v 6 + 提 出 的 S R v 6 、 V P N + 、 A P N 等 关 键 技 术 ， 为 简 化 网 络 结 构 、 优 化 用 户 体 验 和 提 升 网 络 智 能 化 奠 定 了 良 好 的 基 础 ， 与 5 G 、 云 网 融 合 、 工 业 互 联 网 、 车 联 网 等 应 用 对 网 络 承 载 需 求 不 谋 而 合 ， 为 进 一 步 开 展 网 络 和 业 务 创 新 提 供 了 广 阔 的 空 间 。 因 此 ， 加 强 基 于 I P v 6 + 的 下 一 代 互 联 网 技 术 创 新 ， 发 展 增 强 型 “ I P v 6 + ” 网 络 提 升 网 络 能 力 ， 从 而 驱 动 网 络 和 业 务 融 合 创 新 ， 是 下 一 步 I P v 6 发 展 的 必 然 方 向 。 自 两 办 发 布 《 行 动 计 划 》 伊 始 ， 加 强 I P v 6 创 新 是 贯 穿 整 个 I P v 6 规 模 部 署 的 重 点 工 作 。 2 0 1 9 年 底 ， 中 央 网 信 办 、 工 信 部 等 有 关 部 门 指 导 “ I P v 6 规 模 部 署 专 家 委 员 会 ” 成 立 了 “ I P v 6 + 技 术 创 新 工 作 组 ” ， 工 作 组 依 托 我 国 I P v 6 规 模 部 署 成 果 ， 整 合 I P v 6 相 关 产 业 链 力 量 ， 从 网 络 路 由 协 议 、 管 理 自 动 化 、 智 能 化 及 安 全 等 方 向 ， 积 极 开 展 创 新 研 究 、 标 准 制 定 、 测 试 验 证 和 应 用 示 范 ， 针 对 下 一 代 互 联 网 技 术 的 代 际 演 进 开 展 系 列 创 新 ， 促 进 提 升 我 国 在 下 一 代 互 联 网 领 域 的 国 际 竞 争 力 。 《 专 项 行 动 》 提 出 了 四 项 保 障 措 施 。 企 业 层 面 ， 要 做 到 “ 落 实 举 措 、 责 任 主 体 、 完 成 时 限 ” 三 个 明 确 ， 将 I P v 6 相 关 任 务 完 成 情 况 作 为 年 度 考 核 重 要 指 标 ， 同 时 配 合 工 信 部 做 好 各 项 部 署 监 测 工 作 。 工 信 部 组 织 有 关 方 面 ， 除 了 做 好 持 续 完 善 I P v 6 发 展 监 测 平 台 、 开 展 I P v 6 改 造 各 环 节 监 测 、 加 强 对 重 点 企 业 的 督 导 等 日 常 工 作 外 ， 将 组 织 成 立 I P v 6 网 络 改 造 攻 坚 专 项 协 同 推 进 工 作 组 ， 重 点 针 对 C D N 、 云 服 务 、 网 络 质 量 等 I P v 6 改 造 关 键 环 节 ， 从 基 础 电 信 企 业 、 主 要 互 联 网 企 业 、 研 究 机 构 、 行 业 联 盟 等 单 位 抽 调 技 术 骨 干 ， 集 中 优 势 力 量 攻 坚 克 难 ， 着 力 完 成 I P v 6 规 模 部 署 第 二 阶 段 重 点 任 务 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理