上海电信IPV6网络安全保障体系研究

文/宋景哲

进行网络发展的研究都在不断地探索，国内外的相关研究成果层出不穷。例如对于随着网络新技术的不断出现和应用，原有的IPV4地址的研究课题，焦点放在了如何满足网络发展需求，大力发展新的IPV6协议巨大的地址空间上，这是建立在新技术安全机制特性上的重要研究，并且通过实践，在保证网络健康发展的前提下，成功完成了各类配套建设工程，通过对网络架构整体安全性、网络安全的建设设计等进行了通判的考量，最终将网络建设和网络安全同步，并合理分配了网络资源，改善了IPV6的网络协议，从IP层将安全性能加以提升，实现了网络的应用的便利和灵活的端到端的运行，随着速度的加快和规模的扩大，其方便的技术手段，促进安全应用的功能增加，对于网络安全的重要问题也在不断进行深入探索。

1 电信IPV6的网络安全风险

（1）进行电信IPV6网络安全协议的互联网的安全改善，要从电信运营商的角度出发，对电信的IPV6的网络保障体系的架构进行深入的研究，建设IPV6网络建设脉络，给出过渡时期的IPV6的网络安全保障体系建设策略。

电信IPV6的协议在IPV4的协议改善方面，缓解和结局了IPV4的部分安全问题，从应用层和链路层以及物理层等方面，将IPV6的网络环境进行了相应的风险的划分，然后进行了对应性的改进。

IPV6的协议的巨大的安全机制和地址空间，在特性上对于提升网络安全性有一定的作用，在IPV6的独立性，在IPV4协议期，就进行了安全信息的封装和报头认证，对于IPV6的网络端到端的加密封装，提供了基本协议的基础上，又进一步提升了业务应用的安全性。

链路层的播出采用重组数据包的机制，实施扫描攻击之后，在广播风暴产生的基础上，丢弃在最低下的MTU部分，取了有效的IP地址，从中间的设备的上部进行了分片，IPV6的地址的前缀在分配和指定上，不允许重叠的分片，有效防范了IP碎片包的攻击，蠕虫病毒的攻击就难以实施。IPV6的地址数量庞大，通过扫描获进行传播，经过对下游ISP的地址的汇总，实行过滤机制，建立在IPV6的真实源地技术发展上，落在了入口上，有效地防御了虚假源地址的攻击，解决了安全问题。

（2）IPV6网络环境中，引入安全风险的IPV6的协议特性论证，发现大部分的安全风险在IPV6网络环境中依然是存在的。发现异常流量存在的DDOS攻击，如果邻居又缺少协议的报文，针对DNS的攻击继续存在，由于本身机制缺陷，使得黑客在攻击的同时，引起一定的协议攻击，在IPV6的网络中提供了域名服务，协议进行了网络层的安全论证，包括数据链路层和物理层都存在安全风险。

2 电信IPV6网络安全保障体系框架

（1）根据电信网络的特点，通过安全监测和报站体系,实现对网络安全风险的动态管理，将网络的静态安全控制措施加以实施，通过IPV6的网络平面的隔离控制，对电信IPV6的网络安全体系分为后续动态安全运营体系和静态安全防护体系，将电信网络的安全可控与网络安全管理和组织结合起来，相应的安全基础设施和流程的配套建设，形成安全可控和可管的IPV6的网络架构。通过IPV6的网络安全业务的开展，延伸为客户的安全防护的手段，进行网络持续的安全保障，经过长效目标的改进，

（2）静态安全防护体系，为了实现等级化和层次化，从多个方面进根据端到端的通信系统安全框架的体系建设，网络分为了业务层和应用层、设施层，采用多种技术手段进行管控和隔离，使得每个平面都能够具备访问鉴别、数据保密、控制、通信安全和完整的隐私保护的属性，电信运营商也可以行静态安全防护体系的建设，在每个平面实施相应的安全防护措施，每个网络层次被划分为用户、控制和管理平面。

（3）对于电信运营商来说，动态安全运营体系，在网络生命安全周期中，建立有针对性的支撑系统，采用体系建设的方法，确保网络安全运营工程的流程和环节落实到人，在网络安全的时效性和相对性上，采用安全事件监控的方式，确保了网络安全水平的持续提升，在流程的配套建设上，提高网络安全运营效率的关键，在配套流程化的闭环处理上，在于运营体系的流程化和标准化，在恢复能力等方面遵循IPV4的网络架构，提高IPV6的网络安全运营认证，后续动态的网络安全运营，通过专业和专职的运营队伍，在各个层面进行安全云隐给部署，实现标准化规范，提高网络安全运营工作效率，提高电信安全业务服务质量，同时通过安全检测等安全基础设施的建设，配套实现安全组织化和标准化，持续提升电信大规模安全事件的预警和响应，通过前后端业务运营机制，强化客户的网络安全性。

经过动态运营体系的技术层面的运营，开展建立在在终端层面上的IPV6基础上的M2M安全业务，通过建设统一的安全业务平台，加强对客户的管理和控制，向客户提供家庭网络安接入、监控和终端安全管理，实现接入网层面的接入权限管理和身份认证。

3 安全保障体系构建的注意事项

（1）在原有的IPV4的网络环境安全措施改进的基础上，强化对IPV6特定安全问题的防范，采用过渡技术进行安全问题的解决，通过支撑系统的安全技术的设计，采用路由认证的机制，利用DNS系统安全，保证系统的攻击能够控制风险。

（2）在使用IPV6的安全机制上，配置路由协议认证，提升承载网的安全可用性，保证自身报文的合法性。强化防范异常、路由安全控制。

4 结语

随着电信技术的过渡期的到来，对于IPV6的迁移工作进行深入的探索，加大对网络安全研究深入力度，有针对性地分析网络安全风险，建立过渡时期电信运营商的网络安全风险控制体系，给出安全保障体系的构建策略，建立电信IPV6的网络安全保障体系的基本架构，其目标就是提升电信IPV6的网络整体安全水平，同时对于电信运营商的IPV6的技术实施进行论证，完全达到网络安全纵深防御目的。