：本文分析了目前网络上存在的一些安全问题，以及IPv4在这些问题面前的脆弱性；阐述了IPv6为解决网络安全问题而采用的机制，IPv6当前无法克服主要是窃听、应用层攻击、非法设备、Man-In-Middle等。
【关键词】：IPSec、网络安全机制、封装安全有效载荷
中国分类号：TP3 文献标识码：A 文章编号：1002-6908（2007）0220073-01
IPv6是下一代Internet的网络层协议，目前世界上许多国家正在积极部署向IPv6过渡。IPv6实行的根本原因在于目前IPv4协议的局限性，这些局限性致使IPv4不能满足社会各界的长期需要。IPv6能有力克服这些局限性。此外，IPv6能在最通用的高性能网络上很好地运行，并且不会出现在低带宽系统中容量显著降低的情况。
1.目前网络上存在的安全问题
Internet充满着恶意的攻击者，开放的系统时时刻刻暴露在攻击之下，封闭的系统也不是绝对安全的。通常，IP通信受到的几种攻击为：
报文窃取：IP报文在被发送到一个特定的目的结点的过程中能被其他结点读取到，因而可能被窃取有效载荷。
IP欺骗：IP地址很容易被欺骗用以攻击那些基于发送者地址进行鉴别的服务器，并且提供错误信息来破坏合理的网络组织。
伪造：整个报文被伪造成看似合法的来自通信双方之一的报文，在现有的信道中插入错误数据。
中断和拒绝服务：这种攻击通过停止、过载或者简单的破坏来终止正常运行的服务。
IPv4网络无力应对这些随时可能出现的网络攻击。Internet要取得更多的成功需要采用一些好的标准的安全机制，用这些安全机制来保证重要数据在Internet上传输的安全性，因此，IPv6应运而生。
2.IPv6协议在网络安全上有改进
IP安全协议（IPSec）是IPv4的一个可选扩展协议，而在IPv6则是一个必备组成部分。IPSec协议可以"无缝"地为IP提供安全特性，如提供访问控制、数据源的身份验证、数据完整性检查、机密性保证，以及抗重播（Replay）攻击等。
⑴ 端到端的安全保证
IPv6最大的优势在于保证端到端的安全，可以满足用户对端到端安全和移动性的要求。IPv6限制使用NAT，允许所有的网络节点使用其全球惟一的地址进行通信。每当建立一个IPv6的连接，都会在两端主机上对数据包进行IPSec封装，中间路由器实现对有IPSec扩展头的IPv6数据包进行透明传输，通过对通信端的验证和对数据的加密保护，使得敏感数据可以在IPv6 网络上安全地传递，因此，无需针对特别的网络应用部署ALG（应用层网关），就可保证端到端的网络透明性，有利于提高网络服务速度。
⑵ 地址分配与源地址检查
在IPv6的地址概念中，有了本地子网地址和本地网络地址的概念。从安全角度来说，这样的地址分配为网络管理员强化网络安全管理提供了方便。若某主机仅需要和一个子网内的其他主机建立联系，网络管理员可以只给该主机分配一个本地子网地址；若某服务器只为内部网用户提供访问服务，那么就可以只给这台服务器分配一个本地网络地址，而企业网外部的任何人都无法访问这些主机。
源路由检查出于安全性和多业务的考虑，许多核心路由器可根据需要，开启反向路由检测功能，防止源路由篡改和攻击。
⑶ 防止未授权访问
IPv6固有的对身份验证的支持，以及对数据完整性和数据机密性的支持和改进，使得IPv6增强了防止未授权访问的能力，更加适合于那些对敏感信息和资源有特别处理要求的应用。
⑷ 域名系统
DNS 基于IPv6的DNS系统作为公共密钥基础设施系统的基础，有助于抵御网上的身份伪装与偷窃，而采用可以提供认证和完整性安全特性的DNS安全扩展协议，能进一步增强目前针对DNS新的攻击方式的防护，例如"网络钓鱼"攻击、"DNS中毒"攻击等，这些攻击会控制DNS服务器，将合法网站的IP地址篡改为假冒、恶意网站的IP地址等。
⑸ 灵活的扩展报头
一个完整的IPv6的数据包可包括多种扩展报头，例如逐个路程段选项报头、目的选项报头、路由报头、分段报头、身份认证报头、有效载荷安全封装报头、最终目的报头等。这些扩展报头不仅为IPv6扩展应用领域奠定了基础，同时也为安全性提供了保障。
⑹ 防止网络扫描与病毒蠕虫传播
当病毒和蠕虫在感染了一台主机之后，就开始对其他主机进行随机扫描，在扫描到其他有漏洞的主机后，会把病毒传染给该主机。这种传播方式的传播速度在IPv4环境下非常迅速（如Nimdar病毒在4～5分钟内可以感染上百万台计算机）。但这种传播方式因为IPv6的地址空间的巨大变得不适用了，病毒及网络蠕虫在IPv6的网络中传播将会变得很困难。
⑺ 防止网络放大攻击
ICMPv6在设计上不会响应组播地址和广播地址的消息，不存在广播，所以，只需要在网络边缘过滤组播数据包，即可阻止由攻击者向广播网段发送数据包而引起的网络放大攻击。
⑻ 防止碎片攻击
IPv6认为MTU小于1280字节的数据包是非法的，处理时会丢弃MTU小于1280字节的数据包（除非它是最后一个包），这有助于防止碎片攻击。
3.IPv6安全机制未解决的问题
IPv6提供的安全性比IPv4大大提高了，能有效防止许多常见的网络攻击，但是也存在一些需要继续解决的问题。
IPsec协议以及相关加密和鉴别算法都是被设计出来为Internet通信提供高质量的安全性。然而，使用这些协议提供的安全性最终依赖于它们实施的质量，这是这组标准范围之外的事情。使用IPsec给予的安全性严重依赖于IPsec实施生效的运行环境的许多方面。例如，操作系统安全的不足、低质量的随机数来源、宽松的系统管理协议和实行等都能降低IPsec提供的安全性。另外，IPSec依赖于仍然没有完全标准化的公钥基础设施（PKI）。
IPSec跟NAT联合使用时会出现问题。NAT积极改写报文首部，转换报文首部的源地址和目的地址，这使得鉴别无法进行；IPSec隧道打破并且穿过防火墙或者NAT，隧道通过的IPSec通信量可能包含恶意的数据。另一点做得不够好的是Internet密钥交换过程，在移动通信中或者有服务质量约束的时候可能会出现问题。
4.结束语
IPv6具有许多新的特点，包括增加地址空间、自动配置、提高服务质量和网络层安全等。IPv6的两个安全扩展首部，鉴别首部和封装安全有效载荷首部，可以单独或者结合使用提供不同的安全需求。IPv6中的安全特点能有效防止多种网络攻击，包括IP欺骗、一些拒绝服务攻击、数据更改和探测活动等。
安全问题是计算机网络中最受关注的问题之一，因为保护数据和计算机资源对网络上的用户来说是至关重要的。IPSec是目前可提供的最好的网络安全解决方案,它允许两个网络在Internet上安全连接，并且进行安全的数据传输。IPSec努力使Internet上的安全机制标准化，它向更安全的Internet迈进了一大步。
