關(guān)于IPv6，我們比較了它與IPv4相比的差異和優(yōu)勢。但是有一點(diǎn)使我們不曾觸及的，那便是其安全性。
IT專家必須記住IPv6可以追溯到上世紀(jì)九十年代，也就是許多現(xiàn)在的安全威脅演化或廣泛傳播之前。因此，IPv6有自己已知的和未知的安全漏洞需要解決。
在這篇文章中，我們提到了IPv6如何使用SLAAC而不是DHCP為端點(diǎn)提供IP地址。只有當(dāng)你認(rèn)識到許多管理員將DHCP snooping作為了解網(wǎng)絡(luò)設(shè)備的方式時，你才會明白這是個很棒的系統(tǒng)。帶有DHCP snooping的LAN交換機(jī)只允許訪問授權(quán)IP或是MAC地址。此外，該功能也可以讓管理員追蹤主機(jī)地址并阻止未授權(quán)的DHCP服務(wù)器被安裝到網(wǎng)絡(luò)中。
不過，使用IPv6的話，就沒有DHCP服務(wù)器可在給定IP地址及其相關(guān)MAC地址間查詢鏈接信息。相反，IPv6使用SEND來保護(hù)鄰居發(fā)送協(xié)議安全，通過若干策略的使用保護(hù)主機(jī)以及路由，其中包括加密生成的地址，有RSA密鑰保護(hù)的網(wǎng)絡(luò)發(fā)現(xiàn)信息以及信息時間戳。
思科安全系統(tǒng)單位副主席兼總經(jīng)理Pat Calhoun透露了一個壞消息——很多目前領(lǐng)先的操作系統(tǒng)，包括微軟和蘋果公司的系統(tǒng)都不支持SEND技術(shù)。
不過有很多方法可以填補(bǔ)這一安全空白。通用的方法是在交換機(jī)端口部署一個訪問控制列表(ACL)，大多數(shù)供應(yīng)商都支持這一性能，因?yàn)樵撔阅茉贗Pv4下同樣可以使用，不過 IPv6中更為復(fù)雜的標(biāo)頭使得ACL在IPv4下部署起來要復(fù)雜一些。有些供應(yīng)商部署的是室內(nèi)方案，如思科使用Router Advertisement Guard。但是，即便是安全補(bǔ)丁也可能存在漏洞。
另一個存在危險的區(qū)域是隧道技術(shù)。IPv4和IPv6協(xié)議之間的隧道技術(shù)雖然加強(qiáng)了兩個網(wǎng)絡(luò)的互操作性，但是如果它沒有受到監(jiān)管就會是另一個安全隱患。在這一的隧道中，惡意鏈接可能對未經(jīng)合理配置的IPv4系統(tǒng)中的IPv6數(shù)據(jù)流加以利用。
通常，IPv6中已經(jīng)包含了合適的安全工具，但是用戶需要學(xué)習(xí)如何配置和管理新協(xié)議才能將其優(yōu)勢發(fā)揮到極致。
采取措施
據(jù)Meyran透露，一些聯(lián)網(wǎng)硬件聲稱自己具備IPv6安全性，但難免言過其實(shí)。很多情況下，做好IPv6的準(zhǔn)備意味著下載和安裝可能不遵循行業(yè)標(biāo)準(zhǔn)IPv6分支機(jī)構(gòu)的特殊補(bǔ)丁，因此可能會刪除某些安全性能。
入侵防御裝置將深層數(shù)據(jù)包檢測放入以硬件為基礎(chǔ)的引擎中。只是因?yàn)檫@些設(shè)備聲稱自己支持IPv6并不意味著該裝置的深層數(shù)據(jù)包檢測引擎也為其提供支持。IPv4防火墻被用來卸下IPv6數(shù)據(jù)，因?yàn)樾聟f(xié)議完全屬于外來物。
這意味著缺乏IPv6安全配置的情況，別人可能在網(wǎng)絡(luò)上運(yùn)行惡意的IPv6數(shù)據(jù)流。
培訓(xùn)是非常有必要的。熟悉IPv4的IT專家也需要學(xué)習(xí)新技術(shù)，因?yàn)镮Pv6不同于之前的技術(shù)，它的運(yùn)作方式不同，且使用的工具也不同。創(chuàng)建和維持有效安全策略的方法在這兩種技術(shù)之間也并非始終如一。
幸好，有很多資源可用于IPv6的安全培訓(xùn)。思科就該主題出版了一本厚達(dá)576頁的書籍。有些大學(xué)正著手提供有關(guān)IPv6的課程培訓(xùn)。
京公網(wǎng)安備 11010502049343號