了解下代互联网协议里移动IPv6的安全性

 IPv6是下一代的互联网协议，它最终将代替IPv4成为互联网的主要网络协议。移动IPv6是建立在IPv6的体系结构上的，并作为IPv6协议不可分割的一部分，成为IPv6本质性的功能之一。移动IP提供了一种IP路由机制，使移动节点可以以一个永久的IP地址连接到任何的链路上，移动IP与其他路由协议相比，具有特殊的功能，移动IPv6就利用了IPv6的一些新特点来支持移动IP。

　　一、移动IPv6介绍

　　移动IPv6协议中定义了三种操作实体：移动节点(Mobile Node，MN)、通信节点(Correspondence Node，CN)和家乡代理(Home Agent，HA)；四种新的IPv6目的地选项：绑定更新、绑定认可、绑定请求和家乡地址；为了实现"动态家乡代理地址发现"机制定义了两种ICMP消息类型：家乡代理地址发现请求消息和家乡代理地址发现应答消息；定义了两种"邻居发现"选项：宣告消息间隔和家乡代理信息选项。

　　二、移动IPv6的主要特点

　　移动IPv6的设计汲取了移动IPv4的设计经验，并且利用了IPv6的许多新的特征，提供了比移动IPv4更多的、更好的特点，成为了IPv6协议不可缺少的一部分。

　　1.在移动IPv6中，对"三角路由"问题的解决已经成为协议的一个主要部分，并被所有的IPv6节点所支持。对路由优化问题进行了整合：允许任何通信节点和移动节点之间直接发送路由数据包，而不再经过移动节点的家乡网络或使用家乡代理的转发功能。这种整合也允许了"注册"功能和路由优化功能在单独一个协议中完成。

　　2.在移动IPv6中可以允许移动节点与具有"入口过滤"功能的路由器同时存在、有效工作而不互相影响。在移动IPv6中移动节点可以使用转交地址作为它所发送数据包的IP报头中的源地址，这样，数据包就能正常的通过具有"入口过滤"功能的路由器。其中移动节点的家乡地址被携带在数据包的"家乡地址"目的地选项中，当通信节点接收到包含此种选项的数据包时，就能够自动地把数据包的源地址替换成"家乡地址"目的地选项中的家乡地址，使得转交地址的使用对IP以上各层透明化。所有IPv6节点都必须能够正确处理数据包中的"家乡地址"选项，无论这个节点是移动的还是静止的，是主机还是路由器。

　　3.在移动IPv6中不再有外地代理的概念。移动节点在离开家乡链路时可以利用IPv6的增强功能(如"邻居发现"和"地址自动配置"机制)进行独立操作，而不需要任何来自于当地路由器的特殊支持。实质上，移动IPv6中外地代理与家乡代理具有相同的功能，所以为了具体实现上的方便，在外地的链路上也使用家乡代理的概念。

　　4.在安全性方面，移动IPv6使用IPSec来满足更新绑定时的所有安全需求，包括：发送者认证，数据完整性保护，重传保护等。也就是说移动IPv6的安全性是建立在IPv6的安全机制之上的。当移动节点在当前位置与它的缺省路由器进行通信时，移动IPv6的"移动检测"机制为移动节点提供了双向认证的能力(双向是指从路由器向移动节点发送数据包和从移动节点向路由器发送数据包)。

　　5.在移动IPv6中，"动态家乡代理地址发现"机制使用IPv6的"任意发送"地址，并且家乡链路上只有一个家乡代理向移动节点返回一个应答消息；由于在移动IPv4中使用直接的广播地址，所以移动节点家乡链路上的每个家乡代理均返回一个独立的应答消息。因为仅仅只有一个数据包从家乡链路返回到移动节点，所以移动IPv6的这种机制更加有效和可靠。

　　三、移动IPv6面临的安全问题

　　移动IPv6与其它网络技术一样，都面临着安全方面的问题。

　　1. 拒绝服务攻击

　　拒绝服务攻击(DoS)是移动IPv6面临的最严重的一种攻击，它是指一个攻击者为阻止合法用户的正常工作而采取的攻击。这种攻击主要包括两种方式：一是通过向服务器或主机发送大量数据包，使得主机忙于处理这些无用的数据包而无法响应有用的信息；二是对网络上两个节点之间的通信直接进行干扰，如采取重定向的方法使合法用户无法获得所需要的数据。

　　对于DoS攻击的防护方法是检查认证有效期、确定移动节点位置并保持资源的可用性。对通信节点而言，它可以采用以下方式来抵抗拒绝服务攻击：如果通信节点被大量绑定更新的信息所堵塞，它可以通过中止处理绑定更新信息的流程来减缓堵塞下的系统压力；若通信节点察觉到分配在检查虚假绑定信息上的资源远远超出用来接收真实绑定更新信息的资源时，通信节点会在不执行任何加密机制的情况下，逐步抛弃部分或是全部的绑定更新的信息。