IP網(wǎng)絡(luò)缺陷與改進(jìn)的思索IP網(wǎng)絡(luò)缺陷與改進(jìn)的思索莫淦清鄭鵬(浙江金融職業(yè)學(xué)院310018)fT技術(shù)摘要:IP協(xié)議和Internet是人類全球通信的最偉大創(chuàng)舉之一.本文以IP安全性為重點(diǎn),對(duì)IP協(xié)議的特點(diǎn),存在問題,目前改進(jìn)的方法和進(jìn)一步發(fā)展方向,提出了自己的一些看法.希望將來IP能夠得到更好的發(fā)展,NGN能為我們提供更好的服務(wù).關(guān)鍵詞:IP安全I(xiàn)Pv6改進(jìn)中圖分類號(hào):F224.33文獻(xiàn)標(biāo)識(shí)碼:A文章編號(hào):16730534(2007)07(b)一0028一O11引言根據(jù)以IP協(xié)議為基礎(chǔ)的Internet的發(fā)展歷程可知,IP協(xié)議最可取的內(nèi)涵與作用在于其充分的開放透明性與靈活有效的多業(yè)務(wù)增值能力.然而,在開放透明的同時(shí),也往往更容易”充分暴露”,自然也容易受到攻擊.在Internet商用化后暴露出來的一系列問題中,最棘手,解決難度最大的問題就是安全性問題.2基于IP協(xié)議的網(wǎng)絡(luò)問題所在實(shí)際上,我們仔細(xì)分析PSTN,ATM及IP網(wǎng)絡(luò)結(jié)構(gòu)可充分理解IP網(wǎng)絡(luò)易受攻擊的原因.一般情況下,安全攻擊多半在終端發(fā)起.在PSTN的用戶端與網(wǎng)絡(luò)端,uNI與NNI彼此分離,業(yè)務(wù)的提供及控制權(quán)均在運(yùn)營(yíng)商手中.沒有運(yùn)營(yíng)商的參與,用戶難以在終端播發(fā)病毒及發(fā)動(dòng)攻擊.就算用戶想攻擊,追查亦較方便.因?yàn)镻sTN對(duì)所有終端均按E,164碼號(hào)規(guī)則賦予全球惟一的公開編號(hào).此外,當(dāng)PSTN提供IP網(wǎng)接入服務(wù)時(shí),PSTN僅作為IP網(wǎng)的鏈路層接入,IP數(shù)據(jù)只是在PSTN上透?jìng)?故無法在PSTN接入IP之際從IP網(wǎng)攻擊PSTN.由此可以看出,PSTN的網(wǎng)絡(luò)與終端安全性較好,而其喪失的則是靈活有效的寬帶多業(yè)務(wù)增值能力.ATM雖然屬分組型技術(shù),但ATM并無直接的終端業(yè)務(wù)與用戶.ATM網(wǎng)絡(luò)雖有較好的安全性保證,但卻帶來了寬帶多業(yè)務(wù)增值的不靈活,不方便與不經(jīng)濟(jì)等缺點(diǎn).IP網(wǎng)絡(luò)沒有UNI與NNI的分離問題,運(yùn)營(yíng)商設(shè)備,協(xié)議乃至網(wǎng)絡(luò)拓?fù)鋵?duì)用戶均是開放可見的.用戶端產(chǎn)生的IP信息,無論在用戶端或在網(wǎng)絡(luò)中均可傳送.通過用戶端與運(yùn)營(yíng)商網(wǎng)絡(luò)交換非法的惡意路由信息,就可對(duì)運(yùn)營(yíng)商網(wǎng)絡(luò)的路由器,接入服務(wù)器等設(shè)備及三層以上設(shè)備實(shí)施攻擊.與此同時(shí),位于IP網(wǎng)絡(luò)邊際的用戶側(cè)的網(wǎng)絡(luò)與業(yè)務(wù)/應(yīng)用,一般均使用TCP/UDP/IP這一基礎(chǔ)技術(shù).這導(dǎo)致用戶間在IP層及應(yīng)用層等各層面彼此透明可見,從而為惡意用戶攻擊對(duì)方網(wǎng)絡(luò)及相應(yīng)的業(yè)務(wù)與應(yīng)用提供了方便.且由于多種業(yè)務(wù)綜合承載在同一網(wǎng)絡(luò)上,難以分辯與確定用戶間的信任關(guān)系,被攻擊的用戶實(shí)際上難以分清哪些是合法用戶的正常訪問,哪些是非法用戶侵入或惡意攻擊.由上述分析比較可充分看出IP網(wǎng)絡(luò)安全問題的本質(zhì)之所在.因此,尋找IP網(wǎng)絡(luò)的有效安全對(duì)策,尤為緊要.3IP發(fā)展的戰(zhàn)略思考3.1IP安全性發(fā)展戰(zhàn)略思考正因?yàn)镮P包結(jié)構(gòu)兼含”內(nèi)容”加”地址”(源地址及目的地址),在網(wǎng)內(nèi)傳送時(shí),自我暴露性強(qiáng).借助地址引導(dǎo),有利于黑客通過“地址過濾”技術(shù)按選定地址竊取網(wǎng)上信息及實(shí)施攻擊.對(duì)IP協(xié)議的這些安全性問題,最尖銳的觀點(diǎn)來自TINA/TIMNA.TINA/TIMNA的觀點(diǎn)很明確,認(rèn)為Internet及其IP網(wǎng)的三大缺陷是安全失控,QoS無保障及網(wǎng)管弱智,且NGN不應(yīng)該是”全I(xiàn)P化的網(wǎng)絡(luò)”,而應(yīng)該是一種以”中間件(Middleware)為基礎(chǔ)的網(wǎng)絡(luò).TINA/TIMNA提出的看法是有價(jià)值的,它一針見血地指出了IP協(xié)議安全失控的本質(zhì)所在.盡管其具體操作方法尚需探討,但指明其”中間件”層的突出作用是正確的.在目前推進(jìn)以IP為基礎(chǔ)的NGN的發(fā)展過程中,不只是應(yīng)用層面,對(duì)安全性,IPQoS,智能網(wǎng)管等目標(biāo),均應(yīng)在多維層面大量發(fā)揮各類”中間件”的重要作用.但是,由于IP在全球大規(guī)模普及的基礎(chǔ)與事實(shí),并且IP具備多業(yè)務(wù)增值的基本吸引力,更重要的是,目前尚未找到或比較一致地認(rèn)同比IP協(xié)議更適合操作的其他途徑,因而,我們現(xiàn)在還是要在現(xiàn)有的IP上進(jìn)行改進(jìn)與發(fā)展.3.2IPv6的改進(jìn)與展望IPv6對(duì)IP協(xié)議的已經(jīng)有了重大改進(jìn)與戰(zhàn)略價(jià)值.其在地址容量,安全性,QoS控制,地址資源管理的合理性等方面均有較大幅度改進(jìn).安全性問題.IPv6在其協(xié)議棧中強(qiáng)制執(zhí)行IPSec,確實(shí)比IPv4時(shí)的安全性有所改善.IPSec是設(shè)計(jì)來達(dá)到網(wǎng)絡(luò)層中端對(duì)端安全通訊的第三層協(xié)議,它主要的架構(gòu)是IP認(rèn)證標(biāo)頭(AuthenticationHeader;AH)和IP封裝安全裝載(EncapsulatingSecurityPayload;ESP).IPAH提供數(shù)據(jù)的完整性和認(rèn)證,但不包括機(jī)密性,而IPESP原則上只提供機(jī)密性,但也可在ESPHeader中訂定適當(dāng)?shù)乃惴澳Ｊ絹泶_保數(shù)據(jù)的完整性并認(rèn)證.IPAH和IPESP可以分開使用或一起使用.IPsec將密碼技術(shù)應(yīng)用在網(wǎng)絡(luò)層,以提供傳送,接收端做數(shù)據(jù)的認(rèn)證(Authentication),完整性(Integrity),存取控制(AccessContrO1),以及機(jī)密性(Confidentiality)等安全服務(wù).高層的應(yīng)用協(xié)議也可以直接或間接地使用這些安全服務(wù).但I(xiàn)P安全性問題很復(fù)雜,需有不同層次,不同方位的可靠保障.首先,IPSec僅是一個(gè)網(wǎng)絡(luò)層協(xié)議,負(fù)責(zé)其下層的網(wǎng)絡(luò)安全,并不負(fù)責(zé)其上層應(yīng)用,如web,Email及文件傳送之類的安全.對(duì)確保安全而言,IPSec決非惟一手段,還需與多種手段,諸如認(rèn)證體系,加密28科技咨詢導(dǎo)報(bào)ScienceandTechnologyConsultingHerald體系,密鑰分發(fā)體系等全面配合.QoS問題.IPv6的QoS改進(jìn)的一個(gè)重要手段是”流標(biāo)簽”.和IPv4相比,IPv6在QoS方面提供了更多的措施,以期改善甚至徹底解決網(wǎng)絡(luò)的服務(wù)質(zhì)量問題.IPv4到IPv6的報(bào)頭變化IPv6的報(bào)頭中去掉了IPv4報(bào)頭中的一些字段,或者是將其變?yōu)榭蛇x項(xiàng).數(shù)據(jù)包的報(bào)頭越簡(jiǎn)單,處理過程就越快.IPv6采用新方法來處理選項(xiàng),顯著地改善了處理速度,保證對(duì)數(shù)據(jù)報(bào)文的高速轉(zhuǎn)發(fā)和較低的延時(shí),提高了QoS.IPv6的ICMP機(jī)制.在IPv6中,不同的服務(wù)類別可以由不同的多播組實(shí)現(xiàn),現(xiàn)有的IPv6ICMP多播回放控制消息機(jī)制可被用來塑造發(fā)送方和中間路由器的流量特點(diǎn).不利的方面是,發(fā)送者將不得不多次提供基本相同的數(shù)據(jù)(但品質(zhì)不同),接收方需要知道預(yù)訂哪個(gè)組,以便匹配特定的傳輸和終端系統(tǒng)功能.IPv6基本報(bào)頭中的QoS元素.IPv6協(xié)議在IPBase(基本)和Extension(擴(kuò)展)報(bào)頭中包含了一些關(guān)于控制QoS的信息(流類別和流標(biāo)記),通過路由器的配置可以實(shí)現(xiàn)優(yōu)先級(jí)控制和QoS保證,將很大程度上改善服務(wù)質(zhì)量,保障從VolP到視頻流的高質(zhì)量傳輸.IPv6的地址應(yīng)用問題.IPv6的地址數(shù)量巨大,約為IPv4地址量的8萬兆兆平方倍.IPv6利用其海量地址優(yōu)勢(shì)發(fā)揮其端到端個(gè)性化,個(gè)體化及大面積消費(fèi)電子類應(yīng)用確有其巨大威力與潛力.但我們也必須看到,當(dāng)?shù)刂芬匀騻€(gè)人化,個(gè)性化和個(gè)體化為目標(biāo)時(shí),IPv6地址數(shù)量的真正充裕性便值得懷疑.4結(jié)語正因?yàn)殍b于IP協(xié)議及Internet的發(fā)展歷史與背景,以及隨著其商用化暴露出的一系列問題,或許未來網(wǎng)絡(luò)技術(shù)IP不是惟一的選擇,但由于IPv6的出現(xiàn),使得IP協(xié)議目前仍是支持網(wǎng)絡(luò)的最好選擇.另外,CNGI專家組組長(zhǎng),中國(guó)工程院副院長(zhǎng)鄔賀銓在2007年4月12臼”2007年全球IPV6高峰會(huì)議”上透露,IPv6將在明年奧運(yùn)會(huì)期間使用,這對(duì)我國(guó)互聯(lián)網(wǎng)及電信業(yè)都將產(chǎn)生積極的影響.相信IP技術(shù)將得到更加的完善.