麻豆小视频在线观看_中文黄色一级片_久久久成人精品_成片免费观看视频大全_午夜精品久久久久久久99热浪潮_成人一区二区三区四区

首頁 > 學院 > 網(wǎng)絡通信 > 正文

DSTM過渡技術(shù)及其網(wǎng)絡安全策略

2019-11-03 09:01:13
字體：大 中 小
供稿：網(wǎng)友
徐貴寶


　　一、DSTM概述

　　ipv4/IPv6過渡問題是一個相當復雜的問題，現(xiàn)在已經(jīng)提出了許多種不同的方法來解決這個問題，包括雙棧、SIIT、NAT-PT、SOCKS64、BIA、Tunnel Broker、6to4和BIS等等，這些方法各自適用于過渡過程中的不同情況。DSTM（Dual Stack Transition Mechanism）的目標在于解決純IPv6網(wǎng)絡中的主機與其他IPv4主機或應用的連接問題，它的出發(fā)點是提供IPv6節(jié)點一個獲得IPv4地址的方式，從而使之能夠與純IPv4節(jié)點或者IPv4應用程序通信。DSTM技術(shù)通過使用IPv4-over-IPv6隧道，實現(xiàn)了IPv4流量在純IPv6網(wǎng)上的傳輸，同時也提供一個為IPv6/IPv4雙棧節(jié)點分配臨時IPv4地址的方法。

　　DSTM目前還處于IETF草案階段。使用DSTM機制的節(jié)點必須是雙棧節(jié)點，而且這種機制還必須要結(jié)合隧道技術(shù)進行應用。

　　二、DSTM體系結(jié)構(gòu)

　　DSTM的體系結(jié)構(gòu)（如圖1所示）中包括三個主要組成部分：DSTM服務器、網(wǎng)關(guān)和DSTM節(jié)點。其中，DSTM服務器負責為客戶機節(jié)點分配IPv4地址，它只需要保證在一定的時間內(nèi)IPv4地址的唯一性；網(wǎng)關(guān)作為隧道端點承擔純IPv6域和外部的IPv4 Internet或Intranet的邊界路由器的角色；DSTM節(jié)點執(zhí)行封裝/解封裝數(shù)據(jù)包，完成收發(fā)過程。這里有兩點需要注意。一是DSTM節(jié)點必須是雙棧節(jié)點，純IPv6的節(jié)點不能使用DSTM；二是在只有網(wǎng)關(guān)需要直接與IPv4連接并需要一個永久IPv4地址。


圖1 DSTM的體系結(jié)構(gòu)


　　DSTM模型假定如下：

　　1.DSTM域在Intranet而不是Internet中。

　　2.IPv6節(jié)點平時不維護IPv4地址(除非是與純IPv4節(jié)點通信或使用IPv4應用而臨時分配地址)。

　　3.臨時IPv4地址由DSTM服務器負責分配，分配的協(xié)議有多種選擇（DHCPv6就是一個不錯的選擇）。由于服務器和客戶機是都是在同一個純IPv6網(wǎng)絡中，所以地址分配協(xié)議要考慮這個限制。

　　4.作為地址分配功能的擴展，DSTM服務器還可以提供一個端口范圍供客戶機使用。這樣就可以允許幾個不同的DSTM節(jié)點同時使用相同的IPv4地址，從而大大減小了所需的IPv4地址池。

　　5.在DSTM域內(nèi)，IPv4路由表保留到最小，從而減少了過渡時期所需要的IPv4網(wǎng)管工作。

　　6.一旦IPv6節(jié)點獲得一個IPv4地址（也可能是一個端口范圍），就會使用4over6隧道將包從該節(jié)點轉(zhuǎn)發(fā)到一個DSTM TEP，在那里拆封后再使用IPv4轉(zhuǎn)發(fā)。DSTM服務器應為客戶機提供所需TEP的IPv6地址，這也是地址分配過程的一部分工作。

　　7.現(xiàn)有的IPv4應用不需任何修改就可以在DSTM節(jié)點上運行。

　　8.只要目的地址是TEP可達的純IPv4主機，DSTM節(jié)點就可以與它進行通信。

　　三、DSTM通信過程

　　DSTM節(jié)點與IPv4通信的過程如下：

　　·DSTM節(jié)點向DSTM服務器請求一個臨時的IPv4地址。

　　·DSTM服務器在地址池中為該DSTM節(jié)點保留一個IPv4地址，并在應答消息中將該地址和地址的有效時間以及有關(guān)DSTM網(wǎng)關(guān)（也就是TEP）的信息發(fā)送給DSTM節(jié)點。

　　·DSTM節(jié)點使用申請來的地址配置其IPv4堆棧，并將所有IPv4包都通過IPv4 over IPv6隧道送到DSTM網(wǎng)關(guān)。

　　·DSTM網(wǎng)關(guān)將包拆封成IPv4包發(fā)送出去。DSTM網(wǎng)關(guān)保留一個含有intranet主機IPv4和IPv6地址的映射表，并利用此映射表來執(zhí)行IPv4包的封裝和拆封。為保證雙向通信，IPv4路由必須要確保目的地為A的任何包都經(jīng)過C。

　　四、DSTM節(jié)點要求

　　網(wǎng)絡上的每個主機都需要有一個DSTM主機應用。現(xiàn)在，已經(jīng)有支持FreeBSD、linux和Microsoft Windows 2000的DSTM主機應用。主機有IPv6連接能力，因此在不需要進行IPv4通信時也可以有純IPv6應用。例如，在DSTM網(wǎng)絡中，一些內(nèi)部應用就可以使用純IPv6的而不再需要支持IPv4。每個需要通過IPv4通信的應用都必須支持IPv6-IPv4雙棧。FreeBSD中ENST提供的主機應用需要一個“gif”(隧道)接口來支持IPv4 over IPv6隧道。

　　1 IPv4協(xié)議棧的配置

　　只要通信是在本地IPv6中發(fā)生的，DSTM節(jié)點就不需要使用IPv4地址。主機只有在以下情況時才需要IPv4地址：

　　·DNS解析的結(jié)果表明目的地址是一個IPv4地址時；

　　·當應用打開一個IPv4 socket時；

　　·一個IPv4數(shù)據(jù)包發(fā)往內(nèi)核而又沒有接口準備轉(zhuǎn)發(fā)此包時。

　　當?shù)谝粋€IPv4包需要發(fā)送時，DSTM客戶機不管通過什么方式，必須與DSTM服務器取得聯(lián)系。隨后，客戶機從服務器那里獲得一個臨時的IPv4地址以及一個TEP的IPv6地址。如果允許的話，服務器還可以提供所使用的端口范圍。這些信息都用來進行4over6接口的配置。只有4over6的隧道接口配置后，IPv4協(xié)議棧的配置才宣告完成。

　　2 IPv4包轉(zhuǎn)發(fā)

　　由于沒有IPv4路由設施，DSTM節(jié)點不能直接在網(wǎng)絡上發(fā)送IPv4包，所以DSTM節(jié)點必須能建立與隧道端點TEP之間的4over6隧道。DSTM節(jié)點將IPv4包封裝進IPv6包后，再通過該隧道發(fā)給隧道端點TEP（TEP可以看作是一個特殊的DSTM節(jié)點），TEP完成拆封工作后再將它們轉(zhuǎn)發(fā)到IPv4網(wǎng)絡上。

　　在DSTM節(jié)點上，封裝工作是由4over6接口完成的。所有的IPv4流量都可以通過一個IPv4路由表項指向這個接口。具體的4over6接口和有關(guān)路由表項要視應用而定。

　　3 DSTM節(jié)點中IPv4包的處理

　　為了保證IPv4的連通性，在純IPv6域中的節(jié)點必須能動態(tài)配置他們的IPv4棧（通過向服務器請求臨時地址）。

　　當需要發(fā)送IPv4包時，DSTM節(jié)點會把包交給4over6接口。如果4over6接口還沒有配置（也就是還沒有IPv4地址），處理過程就暫時停在這里，然后節(jié)點與DSTM服務器聯(lián)系請求獲得一個臨時地址。一旦得到IPv4地址，所有通過該4over6接口轉(zhuǎn)發(fā)的包都以這個臨時地址作為IPv4源地址，IPv4包的其他域正常處理。

　　4 IPv6數(shù)據(jù)包結(jié)構(gòu)

　　當4over6接口將IPv4包封裝到IPv6包中，它必須確定IPv6包的目的地址。通常這個地址是TEP地址。在DSTM節(jié)點處，TEP地址可以是靜態(tài)配置的，也可以是節(jié)點獲得IPv4地址時從DSTM服務器動態(tài)獲得的。

　　TEP的IPv6地址必須在DSTM節(jié)點接受臨時IPv4地址時由DSTM服務器提供。不過在使用DSTM早期，也可以手工配置DSTM節(jié)點的TEP，這種方法不宜推廣使用，也不推薦作為長期解決方案。

　　封裝IPv4的包時，Next header type域填4。當隧道包到達IPv6終點，IPv6包頭被去掉，由IPv4棧來處理解封后的包。然后TEP將使用普通IPv4的方法來轉(zhuǎn)發(fā)拆封后得到的IPv4包。TEP應該緩存這種IPv4和IPv6源地址的對應關(guān)系。

　　一個封裝包的IPv6源地址應該是發(fā)送該IPv6包的物理接口的IPv6地址。

　　五、DSTM服務器要求

　　DSTM服務器負責為節(jié)點分配臨時的IPv4地址，并且只需要在一定時間內(nèi)保證該地址的唯一性。為了減少對IPv4地址的需要，有些應用還包括了一個端口范圍作為分配過程的一部分，這樣不同節(jié)點就可以同時使用同一IPv4地址了。

　　DTSM服務器必須要記錄申請地址的節(jié)點的IPv6地址和臨時分配給它的IPv4地址之間的對應關(guān)系。服務器分配出去的地址都有一個使用期限，服務器把這個期限包含在回復給節(jié)點的應答中。如果客戶機需要長時間使用IPv4地址，就得申請地址續(xù)租了。

　　DSTM服務器負責IPv4地址池分配。系統(tǒng)管理員要確定地址池。隧道端點(TEP) IPv6地址的配置必須在DSTM服務器上進行。

　　在IPv4的路由方面，必須保證DSTM服務器所管理的IPv4全球地址池，能被路由到一個或多個此DSTM域中的TEP。當分配一個地址給DSTM節(jié)點時，服務器消息應該包括TEP的IPv6地址。并且當TEP不能動態(tài)建立映射或者因為安全原因取消動態(tài)映射，DSTM服務器可以負責配置TEP中的IPv4/IPv6映射表。

　　DSTM的客戶端和服務器的通信必須是IPv6方式。DSTM服務器也可以在沒有客戶端請求的情況下分配臨時IPv4地址。DTSM服務器應該能夠?qū)TSM客戶端進行認證。

　　六、DSTM的優(yōu)點

　　DSTM適用于IPv6域內(nèi)的節(jié)點需要與域外IPv4節(jié)點通信的情況。如果應用層網(wǎng)關(guān)被適當?shù)倪\用，IPv4的連通性需求將大大降低。常規(guī)的服務，比如HTTP、smtp就可以利用這個特點。DSTM在沒有其他的解決方案（如：應用層網(wǎng)關(guān)）時就可以布署使用。DSTM允許雙棧節(jié)點獲得IPv4地址并且提供一個缺省路由（通過4over6隧道）到IPv4網(wǎng)關(guān)。如果采用上述機制，并且DSTM被配置成能分配公有IPv4地址，那么任何純IPv4應用都可以在IPv6網(wǎng)絡上運行，在域內(nèi)的主機將能與Internet上任何其他的主機通信。

　　DSTM核心設想是對應用層透明，應用可以繼續(xù)使用IPv4地址；而且對于承載網(wǎng)絡也是透明的IPv6的包。能保證一些在凈核中包含IPv4地址的應用包能夠繼續(xù)正確地被傳送（如IPsec 和H.323等）。

　　使用DSTM有如下幾種好處：

　　1.純IPv6主機可以到達全球Internet上的相應的純IPv4節(jié)點。雖然是純IPv6環(huán)境，但是主機并沒有游離在Internet之外。

　　2.還沒有支持IPv6的應用可以直接運行在純IPv6的主機和網(wǎng)絡上。所有IPv4流量都通過隧道(IPv4 over IPv6)發(fā)往DSTM網(wǎng)關(guān)。

　　3.網(wǎng)絡只需要配置IPv6。不需要配置IPv4的地址和路由。因為網(wǎng)絡管理員不再需要關(guān)心IPv4，網(wǎng)絡配置只需要IPv6的就可以了，所以網(wǎng)絡監(jiān)控工作就變得容易得多了。

　　4.減少了IPv4全球地址的需要。只有在需要地址時才分配一個臨時的地址使用。

　　5.任何類型的協(xié)議和應用都被透明地轉(zhuǎn)發(fā)。無需采用NAT技術(shù)即可實現(xiàn)IPv6節(jié)點與IPv4節(jié)點的互通。

　　七、安全策略

　　DSTM機制可以使用所有已經(jīng)定義的安全規(guī)范。對于DNS，可以使用DNS安全擴展/更新。而在地址分配方面，當連接是由DSTM節(jié)點觸發(fā)時，因為DSTM是一個Intranet環(huán)境，所以對地址池的DOS危險是也很有限。Intranet DSTM中，如果布署了DHCPv6，則可以使用DHCPv6認證消息，而且由于TEP都位于Intranet中，他們不作為開放的中繼。最后，對于DSTM節(jié)點的IPv4通信，一旦節(jié)點具有IPv4地址，IPsec就能被使用，因此DSTM不會破壞在任何點的端到端的通信安全。

　　1控制有權(quán)接入業(yè)務的人

　　·在 DSTM服務器上過濾

　　對網(wǎng)絡管理員來說，確保使用DSTM服務器的主機允許控制有權(quán)接入該業(yè)務的人非常重要。下面的過濾策略就應該應用到DSTM服務器上：

　　allow ipv6 tunnel_request from allowed_hosts to DSTM_server

　　allow ipv6 tunnel_request from DSTM_server to TEP

　　allow ipv6 tunnel_reply from DSTM_server to allowed_hosts

　　allow ipv6 tunnel_delete from DSTM_server to allowed hosts

　　allow ipv6 tunnel_delete from DSTM_server to TEP

　　deny ipv6 from any to any

　　·認證

　　現(xiàn)在還沒有使用認證，因為基于RCP的應用不支持認證。將來計劃使用隧道配置協(xié)議 (TSP)和DHCPv6 的應用應該支持認證。

　　2 DTI問題

　　目前，ENST提供的DSTM應用需要DSTM服務器和TEP在同一臺機器上來保證TEP上的隧道與服務器的分配相一致。這些DSTM應用主要是基于RPC的。現(xiàn)在，已經(jīng)有了一些用于服務器和TEP之間建立隧道的通信協(xié)議的實際應用，雖然有些只是預見性的想法(TSP and DHCPv6)。

　　如果TEP與DSTM服務器在物理上不是安裝在同一臺主機上，那么它就使用動態(tài)隧道接口(DTI)來建立隧道。這個機制很簡單：當TEP收到有協(xié)議4的IPv6包時(也就是攜帶IPv4包的數(shù)據(jù))，它就自動使用包內(nèi)攜帶的信息(IPv6和IPv4源和目的地址)創(chuàng)建一個IPv4 in IPv6隧道。注意，這種情況下還沒有方法檢查TEP所建立的隧道與DSTM服務器的分配的對應關(guān)系，這一點非常重要。可能會出現(xiàn)下面的情況： 一個主機(A)被分給一個IPv4地址與IPv4網(wǎng)絡通信使用用TEP的DTI創(chuàng)建的IPv4 over IPv6隧道，如果另一個主機(B)使用與A相同的IPv4源地址發(fā)了一個IPv4 in IPv6的包，TEP和A之間的隧道就會被破壞掉了而備TEP和B之間的隧道所代替。這個弱點可能會被用于地址欺騙攻擊。不過目前正在考慮是否可以通過使用認證頭（AH）協(xié)議來解決這個問題。

　　3網(wǎng)絡中的過濾策略

　　支持DSTM業(yè)務的IPv6網(wǎng)絡中的所有設備都必須允許IPv4按照IPv4 in IPv6隧道方式傳輸。

　　4監(jiān)控

　　為了監(jiān)控一個DSTM激活的網(wǎng)絡，系統(tǒng)管理員應該監(jiān)測在TEP上創(chuàng)建的隧道和DSTM服務器所做的分配。系統(tǒng)應該能檢查與DSTM服務器所做分配相對應的隧道，并在出現(xiàn)錯誤時發(fā)出警告消息。

　　八、結(jié)論

　　雖然目前DSTM還處于IETF草案階段，技術(shù)還遠遠沒有成熟，尤其是在安全方面還有許多問題值得探討，但是通過使用DSTM技術(shù)，可以明顯地減少對IPv4地址的需要、可以使IPv4的應用不需要進行修改就能直接運行在IPv6主機上、不需要對IPv4進行任何管理、可以透明地轉(zhuǎn)發(fā)任何類型的協(xié)議和應用。也正是由于這種方法有著諸多的優(yōu)點，所以它才日益引人注目。隨著DSTM技術(shù)的日益成熟，相信它能夠IPv4/IPv6過渡方面發(fā)揮更大的作用。

　　
摘自　泰爾網(wǎng)

發(fā)表評論 共有條評論
用戶名: 密碼:
驗證碼: 匿名發(fā)表
主站蜘蛛池模板： 精品久久久久久综合日本 | 成年人网站国产 | 国产一级不卡毛片 | 免费a观看 | 欧美日韩中文字幕在线 | 一级毛片免费高清 | 中文在线日韩 | 国产免费一区二区三区视频 | 日本欧美国产 | 曰批全过程120分钟免费69 | 亚洲成人免费电影 | 国产1区在线 | 国产精品嘿咻嘿咻在线播放 | 国产亚洲精彩视频 | 最新中文字幕在线视频 | 免费观看视频在线观看 | 国产剧情在线观看一区二区 | 伊人在线视频 | 中文字幕 亚洲一区 | 欧美一级全黄 | 国产一区二区三区欧美 | 国产乱淫av片免费观看 | 成熟女人特级毛片www免费 | 亚洲无av| 日韩一级电影在线观看 | 极品销魂一区二区三区 | 91资源在线观看 | 国产在线观看免费视频软件 | 成人毛片在线免费观看 | 亚洲网在线观看 | 免费a视频 | 亚洲天堂在线电影 | 日韩视频一区 | 免费嗨片首页中文字幕 | 国产成人av在线播放 | 国产精品久久久久久久久久久天堂 | 毛片视频免费观看 | 一级黄色淫片 | 国产一级αv片免费观看 | 麻豆91精品91久久久 | 久久精品一区二区三区四区五区 |