IP安全協(xié)議（IPSec） IPSec是IPv4的一個(gè)可選擴展協(xié)議，而在IPv6則是一個(gè)必備組成部分。IPSec協(xié)議可以“無(wú)縫”地為IP提供安全特性，如提供訪(fǎng)問(wèn)控制、數據源的身份驗證、數據完整性檢查、機密性保證，以及抗重播（Replay）攻擊等。新版路由協(xié)議OSPFv3 和 RIPng采用IPSec來(lái)對路由信息進(jìn)行加密和認證，提高抗路由攻擊的性能。
需要指出的是，雖然IPSec能夠防止多種攻擊，但無(wú)法抵御Sniffer、DoS攻擊、洪水（Flood）攻擊和應用層攻擊。IPSec作為一個(gè)網(wǎng)絡(luò )層協(xié)議，只能負責其下層的網(wǎng)絡(luò )安全，不能對其上層如Web、E-mail及FTP等應用的安全負責。
端到端的安全保證 IPv6最大的優(yōu)勢在于保證端到端的安全，可以滿(mǎn)足用戶(hù)對端到端安全和移動(dòng)性的要求。IPv6限制使用NAT，允許所有的網(wǎng)絡(luò )節點(diǎn)使用其全球惟一的地址進(jìn)行通信。每當建立一個(gè)IPv6的連接，都會(huì )在兩端主機上對數據包進(jìn)行 IPSec封裝，中間路由器實(shí)現對有IPSec擴展頭的IPv6數據包進(jìn)行透明傳輸，通過(guò)對通信端的驗證和對數據的加密保護，使得敏感數據可以在IPv6 網(wǎng)絡(luò )上安全地傳遞，因此，無(wú)需針對特別的網(wǎng)絡(luò )應用部署ALG（應用層網(wǎng)關(guān)），就可保證端到端的網(wǎng)絡(luò )透明性，有利于提高網(wǎng)絡(luò )服務(wù)速度。
地址分配與源地址檢查在IPv6的地址概念中，有了本地子網(wǎng)（Link- local）地址和本地網(wǎng)絡(luò )（Site-local）地址的概念。從安全角度來(lái)說(shuō)，這樣的地址分配為網(wǎng)絡(luò )管理員強化網(wǎng)絡(luò )安全管理提供了方便。若某主機僅需要和一個(gè)子網(wǎng)內的其他主機建立聯(lián)系，網(wǎng)絡(luò )管理員可以只給該主機分配一個(gè)本地子網(wǎng)地址；若某服務(wù)器只為內部網(wǎng)用戶(hù)提供訪(fǎng)問(wèn)服務(wù)，那么就可以只給這臺服務(wù)器分配一個(gè)本地網(wǎng)絡(luò )地址，而企業(yè)網(wǎng)外部的任何人都無(wú)法訪(fǎng)問(wèn)這些主機。
由于IPv6地址構造是可會(huì )聚的（aggregate-able）、層次化的地址結構，因此，在IPv6接入路由器對用戶(hù)進(jìn)入時(shí)進(jìn)行源地址檢查，使得ISP可以驗證其客戶(hù)地址的合法性。
源路由檢查出于安全性和多業(yè)務(wù)的考慮，許多核心路由器可根據需要，開(kāi)啟反向路由檢測功能，防止源路由篡改和攻擊。
防止未授權訪(fǎng)問(wèn) IPv6固有的對身份驗證的支持，以及對數據完整性和數據機密性的支持和改進(jìn)，使得IPv6增強了防止未授權訪(fǎng)問(wèn)的能力，更加適合于那些對敏感信息和資源有特別處理要求的應用。
域名系統DNS 基于IPv6的DNS系統作為公共密鑰基礎設施（PKI）系統的基礎，有助于抵御網(wǎng)上的身份偽裝與偷竊，而采用可以提供認證和完整性安全特性的DNS安全擴展 （DNS Security Extensions）協(xié)議，能進(jìn)一步增強目前針對DNS新的攻擊方式的防護，例如“網(wǎng)絡(luò )釣魚(yú)（Phishing）”攻擊、“DNS中毒（DNS poisoning）”攻擊等，這些攻擊會(huì )控制DNS服務(wù)器，將合法網(wǎng)站的IP地址篡改為假冒、惡意網(wǎng)站的IP地址等。此外，專(zhuān)家認為，如果能爭取在我國建立IPv6域名系統根服務(wù)器，則對于我國的信息安全很有必要和十分重要。
靈活的擴展報頭 一個(gè)完整的IPv6的數據包可包括多種擴展報頭，例如逐個(gè)路程段選項報頭、目的選項報頭、路由報頭、分段報頭、身份認證報頭、有效載荷安全封裝報頭、最終目的報頭等。這些擴展報頭不僅為IPv6擴展應用領(lǐng)域奠定了基礎，同時(shí)也為安全性提供了保障。
防止網(wǎng)絡(luò )掃描與病毒蠕蟲(chóng)傳播當病毒和蠕蟲(chóng)在感染了一臺主機之后，就開(kāi)始對其他主機進(jìn)行隨機掃描，在掃描到其他有漏洞的主機后，會(huì )把病毒傳染給該主機。這種傳播方式的傳播速度在 IPv4環(huán)境下非常迅速（如Nimdar病毒在4～5分鐘內可以感染上百萬(wàn)臺計算機）。但這種傳播方式因為IPv6的地址空間的巨大變得不適用了，病毒及網(wǎng)絡(luò )蠕蟲(chóng)在IPv6的網(wǎng)絡(luò )中傳播將會(huì )變得很困難。
防止網(wǎng)絡(luò )放大攻擊（Broadcast Amplication Attacks） ICMPv6在設計上不會(huì )響應組播地址和廣播地址的消息，不存在廣播，所以，只需要在網(wǎng)絡(luò )邊緣過(guò)濾組播數據包，即可阻止由攻擊者向廣播網(wǎng)段發(fā)送數據包而引起的網(wǎng)絡(luò )放大攻擊。
防止碎片（Fragment）攻擊 IPv6認為MTU小于1280字節的數據包是非法的，處理時(shí)會(huì )丟棄MTU小于1280字節的數據包（除非它是最后一個(gè)包），這有助于防止碎片攻擊。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
