IPv6

IPv6的必要性

IPv6是为了根本解决IPv4地址耗尽的问题而被标准化的网际协议。IPv4地址长度为4个8位字节,即32比特。而IPv6地址长度则是原来的4倍,即128比特。一般写成8个16位字节。

IPv6的特点

  • IP地址的扩大与路由控制表的聚合
    IP地址依然适应互联网分层构造。分配与其地址结构相适应的IP地址,尽可能避免路由表膨大。
  • 性能提升
    包首部长度采用固定的值(40字节),不再采用首部检验码。简化首部结构,减轻路由器负荷。路由器不再做分片处理(通过路径MTU发现只由发送端主机进行分片处理)
  • 支持即插即用功能
    即使没有DHCP服务器也可以实现自动分配IP地址。
  • 采用认证与加密功能
    应对伪造IP地址的网络安全功能以及防止线路窃听的功能(IPsec)。
  • 多播、Mobile IP成为扩展功能
    多播和Mobile IP被定义为IPv6的扩展功能。由此可以预期,曾在IPv4中难于应用的这两个功能在IPv6中能够顺利使用。

IPv6中IP地址的标记方法

IPv6的IP地址长度为128位。它所能表示的数字高达38位数。

如果将IPv6的地址像IPv4的地址一样用十进制数据表示的话,是16个数字的序列(IPv4是4个数字的序列)。由于用16个数字序列表示显得麻烦,因此,将IPv6和IPv4在标记方法上进行区分。

一般人们将128比特IP地址以每16比特为一组,每组用冒号(“:”)隔开进行标记。而且如果出现连续额的0时还可以将这些0省略,并用两个冒号(“::”)隔开。但是,一个IP地址中只允许出现一次两个连续的冒号。

IPv6地址的结构

928041-20170721143921808-715873143.png

全局单播地址

全局单播地址是指世界上唯一的一个地址。
现在IPv6的网络中所使用的格式为,n=48,m=16以及128-n-m=64。即前64比特为网络标识,后64比特为主机标识。
928041-20170721144006402-293572769.png

链路本地单播地址

928041-20170721144037449-270032385.png

链路本地单播地址是指在同一数据链路内唯一的地址。它用于不经过路由器,在同一个链路中的通信。通常接口ID保存64比特版的MAC地址。

唯一本地地址

928041-20170721144055011-103440025.png
928041-20170721144105964-893395470.png

唯一本地地址虽然不会与互联网连接,但是也会尽可能地随机生成一个唯一的全局ID。由于企业兼并、业务统一、效率提高等原因,很有可能会需要用到唯一本地地址进行网络之间的连接。这种情况下,人们希望可以在不改动IP地址的情况下即可实现网络的统一(全局IP不一定必须是全世界唯一的,但是完全一致的可能性也不高)。

IPv6分段处理

IPv6的分片处理只在作为起点的发送端主机上进行,路由器不参与分片。IPv6中的“路径MTU发现”功能必不可少。不过IPv6中最小MTU为1280字节。

转载于:https://www.cnblogs.com/simon88/p/7217567.html

“缺乏安全性是互联网天生的弱点,这与是否采用IPv6关系不大。事实上,IPv6并没有引入新的安全问题,反而由于IPSec的引入以及发送设备采用永久性IP地址而解决了网络层溯源难题,给网络安全提供了根本的解决途径,有望实现端到端安全性。”中国电信科技委主任韦乐平这样评价IPv6安全。 IPv6协议设计的安全考虑   从协议的角度,IPv6作为IPv4的下一代,与IPv4同属于网络层的传输协议。然而,协议上最核心、最本质的差别就是地址空间的扩大,由IPv4下的32位地址空间变为128位的地址空间,这正是IPv6被选作新网络的承载协议并逐渐商用部署的根本驱动力。   IPv6拥有如此巨大的地址空间,甚至可以为每一粒沙子都分配一个IP地址。而IPv4网络的地址分配是不规则的,并且很多时候是一个地址被多台主机共用。使用IPv6之后,我们能够将每个地址指定给一个责任体,就像给每个人一个身份证号,每辆车一个车牌号一样,每个地址都是唯一的;IPv6地址分配采用逐级、层次化的结构,这就使得追踪定位、攻击溯源有了很大的改善。   另外,IPv6提出了新的地址生成方式——密码生成地址。密码生成地址与公私钥对绑定,保证地址不能被他人伪造。这如同汽车的车牌印上了指纹,别人不可能伪造这样的车牌,因为指纹造不了假。   在IPv6协议设计之初,IPSec(IP Security)协议族中的AH(Authentication Header,报文认证头)和ESP(Encapsulation Security Payload,报文封装安全载荷)就内嵌到协议栈中,作为IPv6的扩展头出现在IP报文中,提供完整性、保密性和源认证保护,这无疑是从协议上较大地提升安全性。   整体上看,IPv4协议的设计没有任何的安全考虑,特别是报文地址的伪造与欺骗使得无法对网络进行有效的监管和控制。因此,当出现网络攻击与安全威胁时,我们只能围绕攻击事件做好事前、事中和事后的防范、检测和过滤防御,缺乏有效的技术支撑手段,无法对攻击者形成真正的打击和管控。   而在IPv6网络的安全体系下,用户、报文和攻击可以一一对应,用户对自己的任何行为都必须负责,具有不可否认性,所以IPv6建立起严密的围绕攻击者的管控机制,实现对用户行为的安全监控。 IPv6能减缓现有攻击   扫描几乎是任何攻击手段的必需前提。攻击者利用扫描收集目标网络的数据,据此分析、推断目标网络的拓扑结构、开放的服务、知名端口等有用信息,以作为真正攻击的基础。扫描的主要目的是通过ping每个地址,找到作为潜在攻击目标的在线主机或设备。   在IPv6时代,每个地址为128位,协议中规定的默认网络前缀为64位。换句话说,就是一个网段内有264个地址,假设攻击者以10M/s的速度来扫描,也得需要大约5万年的时间才能遍历。IPv6大大增大了扫描难度,由此增加了网络攻击的成本和代价。此时,黑客如果想侵占一定数量的主机发起DDoS(Distributed Denial of Service,分布式拒绝服务)攻击,那么其将会付出更多的代价,这在一定程度上减少了DDoS攻击发生的可能性。   IPv6协议定义了多播地址类型,而取消了IPv4下的广播地址,有效避免IPv4网络中的利用广播地址发起的广播风暴攻击和DDoS攻击。同时,IPv6协议规定了不允许向使用多播地址的报文回复ICMPv6(Internet Control Management Protocol Version 6)差错消息,因此也能防止ICMPv6报文造成的放大攻击。   IPv6下的密码生成地址是新的地址生成方式,将公私钥对中的公钥与IPv6地址进行绑定。使用此类地址,能够保证报文的源地址不被他人伪造。在这样的安全机制保护下,在网络中传输的每一个报文均对应于一台主机,如果发生任何的攻击或者违法犯罪行为,都能够根据攻击报文追踪到发出此报文的主机,进而追查到攻击者。这种可靠的追踪溯源机制,使得黑客和攻击者容易被发现,这样就减少了网络攻击发生的可能。 IPv6面临的新威胁   IPv6协议对IPv4协议的根本改变是发生在IP层,因此针对IPv6协议所定义的包头及扩展头的、容易发生的安全威胁,我们需要进行充分的准备。常见的针对IPv6扩展头的攻击,主要包括利用分片扩展头发起分片攻击,逃避防火墙/IDS(Intrusion Detection System,入侵检测系统)的检查或者发动DDoS攻击;利用路由扩展头的type 0类型,在网络中发起放大攻击。   在IPv4向IPv6的演进过程中,我们还需要考虑各种过渡技术与方案的安全隐患。由于在共存时期,IPv4网络与IPv6网络同时存在,且有互通需求,这就要求来自两
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值