IPv6网络标准的连网和加密方式

对于IPv6网络标准这个新的网络准则，相对于IPv4版本的网络协议在诸多方面有所改进。现在我们将对IPv6网络标准中的连网方式和网络加密方式进行一个深入的探讨。通过文章内容，望大家对这两方面内容能有所掌握。

即插即用的连网方式

IPv6把自动将IP地址分配给用户的功能作为标准功能。只要机器一连接上网络便可自动设定地址。它有两个优点。一是最终用户用不着花精力进行地址设定，二是可以大大减轻网络管理者的负担。IPv6网络标准有两种自动设定功能。一种是和IPv4自动设定功能一样的名为“全状态自动设定”功能。另一种是“无状态自动设定”功能。

在IPv4中，动态主机配置协议（Dynamic Host Configuration Protocol，DHCP）实现了主机IP地址及其相关配置的自动设置。一个DHCP服务器拥有一个IP地址池，主机从DHCP服务器租借IP地址并获得有关的配置信息（如缺省网关、DNS服务器等），由此达到自动设置主机IP地址的目的。IPv6网络标准继承了IPv4的这种自动配置服务，并将其称为全状态自动配置（Stateful Autoconfiguration）。

在无状态自动配置（Stateless Autoconfiguration）过程中，主机首先通过将它的网卡MAC地址附加在链接本地地址前缀1111111010之后，产生一个链路本地单点传送地址。接着主机向该地址发出一个被称为邻居发现（neighbor discovery）的请求，以验证地址的唯一性。

如果请求没有得到响应，则表明主机自我设置的链路本地单点传送地址是唯一的。否则，主机将使用一个随机产生的接口ID组成一个新的链路本地单点传送地址。然后，以该地址为源地址，主机向本地链路中所有路由器多点传送一个被称为路由器请求（ router solicitation）的配置信息。路由器以一个包含一个可聚集全球单点传送地址前缀和其它相关配置信息的路由器公告响应该请求。主机用它从路由器得到的全球地址前缀加上自己的接口ID，自动配置全球地址，然后就可以与Internet中的其它主机通信了。使用无状态自动配置，无需手动干预就能够改变网络中所有主机的IP地址。

例如，当企业更换了联入Internet的ISP时，将从新ISP处得到一个新的可聚集全球地址前缀。ISP把这个地址前缀从它的路由器上传送到企业路由器上。由于企业路由器将周期性地向本地链路中的所有主机多点传送路由器公告，因此企业网络中所有主机都将通过路由器公告收到新的地址前缀，此后，它们就会自动产生新的IP地址并覆盖旧的IP地址。

使用IPv6网络标准中的DHCPv6进行地址自动设定，连接于网络的机器需要查询自动设定用的DHCP服务器才能获得地址及其相关配置。可是，在家庭网络中，通常没有DHCP服务器，此外在移动环境中往往是临时建立的网络，在这两种情况下，当然使用无状态自动设定方法为宜。

网络层的认证与加密

安全问题始终是与Internet相关的一个重要话题。由于在 IP协议设计之初没有考虑安全性，因而在早期的Internet上时常发生诸如企业或机构网络遭到攻击、机密数据被窃取等不幸的事情。为了加强Internet的安全性，从1995年开始，IETF着手研究制定了一套用于保护IP通信的IP安全（IPSec）协议。IPSec是IPv4的一个可选扩展协议，是IPv6网络标准的一个必须组成部分。

IPSec的主要功能是在网络层对数据分组提供加密和鉴别等安全服务，它提供了两种安全机制：认证和加密。认证机制使 IP通信的数据接收方能够确认数据发送方的真实身份以及数据在传输过程中是否遭到改动。加密机制通过对数据进行编码来保证数据的机密性，以防数据在传输过程中被他人截获而失密。IPSec的认证报头（Authentication Header，AH）协议定义了认证的应用方法，安全负载封装（Encapsulating Security Payload，ESP）协议定义了加密和可选认证的应用方法。在实际进行IP通信时，可以根据安全需求同时使用这两种协议或选择使用其中的一种。AH和ESP都可以提供认证服务，不过，AH提供的认证服务要强于ESP。

IPSec定义了两种类型的SA：传输模式SA和隧道模式SA。

传输模式SA是在IP报头（以及任何可选的扩展报头）之后和任何高层协议（如TCP或UDP）报头之前插入AH或ESP报头；隧道模式SA是将整个原始的IP数据包放入一个新的IP数据包中。在采用隧道模式SA时，每一个IP数据包都有两个IP报头：外部IP报头和内部IP报头。外部IP报头指定将对IP数据包进行IPSec处理的目的地址，内部IP报头指定原始IP数据包最终的目的地址。传输模式SA只能用于两个主机之间的IP通信，而IPv6网络标准中的隧道模式SA既可以用于两个主机之间的IP通信，还可以用于两个安全网关之间或一个主机与一个安全网关之间的IP通信。安全网关可以是路由器、防火墙或VPN设备。

做为IPv6的一个组成部分，IPSec是一个网络层协议。它只负责其下层的网络安全，并不负责其上层应用的安全，如Web、电子邮件和文件传输等。也就是说，验证一个Web会话，依然需要使用SSL协议。不过，TCP/IPv6协议簇中的协议可以从IPSec中受益，例如，用于IPv6的OSPFv6路由协议就去掉了用于IPv4的OSPF中的认证机制。

作为IPSec的一项重要应用，IPv6集成了虚拟专用网（VPN）的功能，使用IPv6可以更容易地、实现更为安全可靠的虚拟专用网。