IPv6安全網(wǎng)關(guān)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、1998年年初，IPv6協(xié)議的基本框架逐步成熟，同年年底，IETF成立了專門的工作組——Ngtrans研究從現(xiàn)有的IPv4網(wǎng)絡(luò)向IPv6網(wǎng)絡(luò)的過渡策略和必要的技術(shù)。1996年，國際的IPv6試驗(yàn)網(wǎng)——6bone成立?，F(xiàn)在，6bone已經(jīng)擴(kuò)展到全球50多個(gè)國家和地區(qū)，成為IPv6研究者、開發(fā)者和實(shí)踐者的主要平臺(tái)。2001年以來，國家計(jì)委、科技部、自然基金委、信息產(chǎn)業(yè)部相繼啟動(dòng)關(guān)于IPv6的研究項(xiàng)目。如2002年863高性能IPv6路由器重

2、大研究項(xiàng)目分為硬件、協(xié)議棧軟件以及測試三個(gè)子課題完成了招標(biāo)工作，其它有關(guān)IPv6網(wǎng)絡(luò)安全和服務(wù)質(zhì)量的重大課題也相繼公布。 隨著網(wǎng)絡(luò)的發(fā)展，語音、視頻、數(shù)據(jù)等多媒體業(yè)務(wù)的開展，對網(wǎng)絡(luò)提出了更高的要求，所以就有了下一代網(wǎng)絡(luò)-NGN(NextGenerationNetwork)，而在NGN中首先要解決的就是IP地址的問題-IPv6，新的業(yè)務(wù)的增加，安全是必不可少的，也是至關(guān)重要的。那么IPv4所用的安全技術(shù)已不能滿足IPv6技術(shù)，所以

3、IPv6下安全網(wǎng)關(guān)技術(shù)的研究有著重大的意義。 本文主要研究了IPv6安全網(wǎng)關(guān)的總體設(shè)計(jì)架構(gòu)，給出了分組過濾、NAT-PT、路由三個(gè)主模塊的詳細(xì)設(shè)計(jì)；采用了一種基于Linux2.4.1內(nèi)核下Netfilter和iptables兩組件的分組過濾的具體實(shí)現(xiàn)方法。在總體設(shè)計(jì)中本文設(shè)計(jì)了一套在Linux平臺(tái)下基于Web可視化配置界面的IPv6安全網(wǎng)關(guān)系統(tǒng)，與用戶直接交互的是系統(tǒng)的最項(xiàng)層——Web可視化配置界面。Web可視化配置界面包含六個(gè)

4、主要的模塊，分別是系統(tǒng)管理、日志管理、用戶管理、策略管理、NAT-PT管理和網(wǎng)絡(luò)配置。Web界面的下層是IPv6分組過濾、NAT-PT和路由轉(zhuǎn)發(fā)三個(gè)模塊，這三個(gè)模塊實(shí)現(xiàn)了IPv6安全網(wǎng)關(guān)的三個(gè)主要功能。系統(tǒng)的底層是Linux操作系統(tǒng)的支持。 分組過濾用于過濾經(jīng)過或是進(jìn)出安全網(wǎng)關(guān)的IPv6報(bào)文，分組過濾分為三種類型，分別是輸入包過濾、輸出包過濾和轉(zhuǎn)發(fā)包過濾。輸入包過濾對目的地址為安全網(wǎng)關(guān)的報(bào)文進(jìn)行過濾；輸出包過濾對安全網(wǎng)關(guān)發(fā)出的報(bào)

5、文進(jìn)行過濾；轉(zhuǎn)發(fā)包過濾對經(jīng)過安全網(wǎng)關(guān)路由轉(zhuǎn)發(fā)的報(bào)文進(jìn)行過濾。這三種類型的報(bào)文過濾相互獨(dú)立，各自維護(hù)一張匹配規(guī)則表。在NAT-PT模塊中，當(dāng)一個(gè)IPv6報(bào)文經(jīng)過NAT-PT時(shí)，通過配置IPv4的地址池，可以用地址池中的地址將報(bào)文中的IPv6地址映射為IPv4地址。當(dāng)一個(gè)IPv4報(bào)文經(jīng)過NAT-PT時(shí)，還需要配置一個(gè)IPv6地址的96位前綴，通過在IPv4地址前加上96位前綴，組成一個(gè)IPv6地址。路由模塊分為路由轉(zhuǎn)發(fā)、路由配置和路由信息交

6、互三個(gè)模塊，路由轉(zhuǎn)發(fā)根據(jù)路由表，將進(jìn)入的報(bào)文發(fā)往相應(yīng)的網(wǎng)絡(luò)接口或是本機(jī)。路由配置用于設(shè)置路由表中的靜態(tài)路由，靜態(tài)路由在路由表中具有比動(dòng)態(tài)路由更高的優(yōu)先級。路由信息交互模塊可以和鄰居路由器進(jìn)行路由信息交互，自動(dòng)生成動(dòng)態(tài)的路由表項(xiàng)。本文通過研究IPv6安全網(wǎng)關(guān)技術(shù)，設(shè)計(jì)了一套在Linux平臺(tái)下基于Web可視化配置界面的IPv6安全網(wǎng)關(guān)系統(tǒng)，采用了Linux2.4.1內(nèi)核下Netfilter和iptables兩組件實(shí)現(xiàn)了分組過濾，最后針對目前