企业在广域网中心办公室，IPv6，然后部署IPv6防火墙，本文描述了IPv6所带来的一些安全问题，以及IT专业人员在部署和运行IPv6防火墙时应该考虑的问题。


引入IPv6防火墙


大多数企业网络的第一道防线是一个防火墙，它用来防御公共网络攻击，限制本地用户的公共互联网访问，在企业网络中部署IPv6之后，部署IPv6防火墙，以实现IPv4的当前安全策略也将在IPv6中实现。


虽然IPv6和IPv4所提供的服务是非常相似的，但有两个协议之间的一些细微的差异，这会对防火墙设备和操作有很大的影响。本文将介绍它们之间的差异，以及它们是如何影响和IPv6防火墙的设计运行，那么它也将解释这些差异可能被恶意地利用减少和消除在IPv6防火墙的安全漏洞。


IPv6头结构


一个IPv6的主要变化是固定长度的协议头，使用不同于IPv4，采用可变长度的协议头，任何必要的选择必须添加到后续的延伸与扩展头部，头部位于固定IPv6头和封装上的IPv6协议之间。它采用基于处理选项不同的系统，不同的扩展名。例如，需要在目标主机的期权交易将包括在目标；选项；头信息，并通过路由器处理选项将包括在选项；跳头信息。在理论上，它至少可以让路由器和主机解析他们的选择和过程mdash；mdash，而IPv4是不同的处理数据包的所有节点必须解决所有选项。


这头结构决定了IPv6头信息链：多头信息将依次连接在一起，第一个IPv6头，最后是上层协议。每个扩展包含特定报头长度和下一头连接头信息的类型。因此，任何IPv6流将使用完整的IPv6头信息链，然后处理头信息的需要。下面的图是一个IPv6报头信息链示意图。


图1：IPv6头部信息链示例


一头是一个包含需要实现IPv6层机制扩展的特殊类型。不同于IPv4头，IPv6并没有在一个固定的IPv6报头保存所有切片的相关信息，但信息保存在一个可选的Header。因此，主机执行层需要插入页眉中的信息IPv6报头信息链，然后添加需要将原始数据包。


IPv6防火墙对安全性的影响


上述IPv6报头信息链结构比IPv4更灵活，因为它不限制可以包含的包的数量，但是，这种灵活性也很昂贵。


任何需要获取上层信息（如TCP端口号）的系统都需要处理整个IPv6报头信息链，而且，由于当前协议标准支持任意数量的扩展头，包括多个相同扩展头的实例，它将对防火墙和其他设备产生不同的影响。







防火墙需要解决多个扩展头执行深度包检查（DPI），这可能会降低广域网性能，导致拒绝服务（DoS）攻击，或者绕过防火墙。


组合扩展和切片可能妨碍数据包检测。


正如我们前面提到的，由于当前的协议规范支持任意数量的扩展头，包括同一扩展头类型的多个实例，防火墙必须能够处理包含异常IPv6的数据包并扩展头信息，这可能会被一些攻击者利用。他们可能故意添加大量的扩展包，使防火墙浪费太多资源处理上述包。最终，这可能会导致在防火墙的性能下降，或导致在防火墙DoS问题。此外，一些表现不佳的防火墙可能无法处理与整个IPv6头信息链应用过滤策略时，这可能会使一些攻击者扩展头威胁相应的防火墙。


IPv6片也可以被恶意使用，该方法类似于IPv4。例如，为了摧毁防火墙的过滤策略，攻击者可能会发送一些切片重叠影响目标主机的破碎过程。在IPv6，这个问题更为严重，因为多个IPv6扩展头碎片的组合可能会有一些不正确的片，虽然他们的数据包大小为正常然而，他们失去了一些基本的信息过滤策略通常是需要的，如TCP端口号，一个数据包的第一层可能包含很多IPv6选项，使高层协议头可能属于另一片，不是一片。


IPv6转换共存技术


IPv6转换共存技术给IPv6防火墙带来了另一个问题，大多数转换技术使用的是一种信道机制，它在网络协议（通常是IPv4）中封装另一个网络层协议（通常是IPv6），这将对防火墙的安全产生很大的影响。


首先，防火墙可能无法确定具体的转换技术，或者一些过滤策略，通过本地IPv6流量支持。例如，使用本地IPv4或本地IPv6时，一个网站可以阻止数据包的TCP端口25，但在部署Teredo转化机制，它可能不能够阻止这些数据包。


其次，转换技术可能加剧的问题，不仅因为包装流程可以结合使用IPv6扩展头片，其他向外发送的数据包（通常是IPv4）还可以分割，因此将大大增加最终流动的复杂性，这种复杂性不仅会降低网络流量传输的速度，但更严重的是，它也可能影响防火墙过滤策略。例如，防火墙可能无法处理整个头信息链，从而无法找到TCP层（见下图）。下面的示例显示使用Teredo的TCP / IPv6数据包的说明最后的交通复杂的语法。


Figure 2: a sample package TCP/IPv6 data using Teredo







例如，如果内部数据包和外部数据包被分割，则此包的结构可能变得更加复杂。


可能的IPv6安全问题


显然，为了将IPv6数据包过滤策略，防火墙必须至少支持整个IPv6头信息链的处理。理想的情况是，这些防火墙也应该支持IPv6转换技术，使过滤策略应用到本地IPv6流量也可用于转换交通。也就是说，防火墙应该有一个的；默认的拒绝；政策，使防火墙可以阻止不需要的流量，如将交通。


资源耗尽攻击，可以利用多个扩展名，限制扩展头的IPv6数据包的防火墙支持的最大数量可以解决这个问题。合理的限制是只允许每一个当前定义的扩展实例。然而，你也可以使用16和其他限制的值加；mdash；例如，OpenBSD使用此限制。这种限制允许合法流量，但它不允许扩展头一大批。超过限制的数据包必须被丢弃。虽然这可能会影响性能，它可以防止DoS。


最后，它规定了IPv6报文的第一部分包含完整的数据包头信息的应用程序包过滤策略的需要，它可以应付分裂绕开防火墙技术。也就是说，如果第一部分信息通过防火墙收到不包含上层协议头信息，如TCP报头，数据包将被丢弃。绕开防火墙技术也可用于过滤策略的应用程序之前，通过重组数据包的防火墙来解决信息。然而，基于网络的防火墙，至少这是不推荐的方法，因为它可以把一个DOS漏洞。


IPv6防火墙问题的解决


正如本文所描述的，IPv6防火墙面临很多问题，但它们可以通过合理的防火墙设计和操作来解决，在购买防火墙设备时，必须仔细评估IPv6防火墙的支持，因为不同产品的支持有很大的不同。不良的防火墙可能会对企业的网络安全产生负面影响。