【51CTO.com綜合報道】2011年2月3日悄無聲息的到來又逝去，這一天看似普通，但對互聯網人士來說，卻非比尋常，無論他們是否知曉，這一天卻是一個里程碑。在那個周四，互聯網數字分配機構（IANA）將最后可用的IPv4地址分配殆盡。雖然某些地區的互聯網注冊管理機構（RIR）還有夠一兩年使用的庫存，但全新IPv4地址分配的時代已基本成為歷史。

既然IPv4已經用盡，那么是時候認真考慮采用下一代互聯網協議IPv6了。當前，每小時就會增加一百萬臺新設備，而IPv6具有128位的地址空間（IPv4具有32 位空間），可以適應互聯網當前及未來的發展需求。實際上，與IPv4的43億個IP地址相比，IPv6可以再增加340萬億萬億萬億地址，足以滿足可預見未來的全球互聯網需求。

隨著DNS安全擴展協議（DNSSEC）的持續部署，IPv6將為未來互聯網提供穩定而安全的基礎。但是，要實現從IPv4向IPv6的成功過渡，無論是基礎架構運營商、服務提供商，還是應用開發人員與用戶，所有人都必須在一系列工作中團結合作，這些工作包括：

· 支持并開發IPv6能力，并建立與IPv4相當的功能

· 調試并修正那些僅使用IPv6的新軟件與應用程序中的問題

· 改善與IPv4的交互工作與過渡共存問題

安全性將成為這一工作的關鍵。IPv6為大多數互聯網參與者展示了新的疆界，它的出現也將帶來一些獨特的安全挑戰。雖然下述內容并不完全，但它給出了八個需要注意的問題領域，業界需要在采用IPv6的過程中，不斷地解決這些問題。要知道我們仍然處于采用的初級階段，所以某些風險的解決方案只能來自于被實際應用所證明的最佳實踐。

* 從IPv4向IPv6的轉換過程中，事務處理（Transaction）可能更容易受到攻擊。由于IPv4與IPv6并非“逐位 (bits on the wire)”地兼容，因此協議轉換就成為更廣泛的部署與采納的一種途徑。從IPv4到IPv6的轉換中，當轉換流通過網絡時，必然產生需要協調事務處理。設想一個郵局的信件分揀員，他必須打開每個IPv4信封，再將每封信裝入一個IPv6信封中，以確保它能投遞到正確的地址，此時要修改文件包含的內容，從而使之與新的IPv6信封外的信息相符。每做一次這個操作，都給執行不善和執行不力者提供了一個機會，從而產生或觸發一個潛在的漏洞。另外，這種方法引入了必須維護事務處理狀態的中間環節(middle boxes)，使網絡復雜化，從而危及了端到端的原則。通常情況下，安全人員應注意所有轉換與事務處理機制（包括隧道）的安全問題，只有經過了徹底評估以后，才能明確地啟用這些機制。

* 大網絡段既有優點也有缺點。IPv6的網絡段規模要遠遠大于我們現有的網絡段。現在，為一個IPv6子網絡推薦使用的前綴長度為/64 (264)，它可以在一個網絡段中容納約18 x 1018個主機！雖然這能夠實現幾乎無限制的LAN長度，但這一規模也帶來了挑戰。例如，掃描一個IPv6/64塊網絡的漏洞要花數年時間，而掃描一個/24的IPv4子網（28）只需花幾秒鐘。既然不可能做完整的掃描，那么比較好的辦法或許是只使用地址的前/118（與一個/22的IPv4中主機數量相同），縮小要掃描IP的區間范圍，或者明確地分配掉所有地址，并且暗中拒絕余下的所有地址。這樣便可以做到細致的IP管理，以及較今天而言更為嚴格的監控。另外還可以預測到，攻擊者可能將采用被動式域名系統（DNS）分析以及其它偵測技術來代替傳統的掃描方法。

* 鄰居發現及請求都可能使網絡出現問題。IPv6中的鄰居發現（Neighbor Discovery）使用了五種不同類型的第6版互聯網控制信息協議（ICMPv6），用于多種目的，如在鏈接中包含可確定鄰居的鏈路層地址，清空已失效的緩存值，以及發現那些想要自己轉發分組數據包的鄰居。雖然鄰居發現提供了很多有用的功能，包括重復地址檢測（DAD）以及對不可及鄰居的檢測（NUD），但它也給攻擊者提供了很多機會。IPv6中的鄰居發現攻擊將很快取代IPv4中的同類攻擊，如ARP Spoofing攻擊。一般而言，除非明確地提供并實現了鏈路層訪問控制以及安全機制，否則保持所有端口的關閉是一個好主意，而且要在不使用IPv6時，將其完全禁用。

* 阻塞大型擴展頭、防火墻與安全網關，可能成為DDoS攻擊者的目標。在IPv6中，IP選項功能已被從主頭中移出，而通過一組附加頭來實現。這些附加頭叫做擴展頭，其定義了一組目標選項、逐跳躍（hop-by-hop）選項、身份認證，以及一個其它選項的數組。這些擴展頭跟隨著固定為40字節的IPv6主頭，它們相互鏈接，構成一個IPv6分組數據包（固定頭 + 擴展頭 + 有效負載）。有大量擴展頭的IPv6流會淹沒防火墻和安全網關，甚至會致使路由器轉發性能下降，因此成為了DDoS和其它攻擊者的一種潛在動力。在路由器上禁用“IPv6源路由（IPv6 source routing）”可能是防止DDoS威脅的必要方式，并且明確地寫明支持哪種擴展頭，以及檢查網絡設備的正確實現，這些都很重要。一般而言，IPv6增加了很多需要過濾或區域性傳播的部件，包括一些擴展頭、組播地址，以及增加了互聯網控制信息協議（ICMP）的使用。

* 6to4和6RD代理可能會導致攻擊與濫用行為。6to4及其ISP快速部署的6RD均無需配置專用的隧道，就能使IPv6數據包跳出IPv4的空間。但部署IPv6代理服務器可能會使代理運營商進入一個麻煩的世界，包括發現式攻擊、欺騙，以及反射式攻擊，而代理運營商自身可能被利用，成為一個攻擊和濫用的“源頭”。

* 對IPv6服務的支持可能暴露現有的IPv4應用程序或系統。有一個局限便是，現有的安全補丁可能僅適用于IPv4支持，而大多數核心程序在做DNS查表等動作時，偏向于優先采用IPv6接口（而不是IPv4），以促進IPv6的更快部署。實際上，IPv6與IPv4之間的這種互動可能使每次DNS查表的流量翻番（同時請求AAAA和A記錄，或更糟糕的情況，即每次都要通過IPv4和IPv6）。為了優化用戶體驗，可能產生出大量非必需的DNS流量。OS與內容供應商在不斷采用措施，以減輕或優化這個性能（如：AAAA白名單），但它也增加了系統負荷和狀態。另外應注意到，使用新的IPv6棧后，肯定會逐步顯現新的漏洞。一個過渡周期內長期存在兩個棧，以及路由器、最終系統與網絡服務（如DNS）之間的相互依存，顯然會為犯罪分子提供充分施展的空間。

* 很多用戶可能被隱藏在固定地址集后面。被大型網絡地址轉換協議（NAT-PT）設備所隱藏的用戶可能會廢除一些有用功能（如地理定位）或工具，使惡意網絡行為有了空間，并且讓基于信譽的號碼與命名空間的安全控制問題更為嚴重。

* 與其它網絡做隧道操作時，即使IPSec也可能帶來問題。IP安全機制（IPSec）能夠對發送者做出認證，提供完全的保護，并且可選采用加密的IP分組數據包以提供傳輸數據的可信性。IPSec在IPv4中是一個可選功能，而在IPv6中是強制使用的。在隧道模式下（基本上是建立一個網絡間、主機—網絡和主機間通信的VPN），整個數據包被封裝在一個新的IP包內，并給它一個新的IP頭。但當與某個超出原發方控制的網絡建立VPN連接時，則可能產生安全性暴露問題，或被用于漏出數據等。由于IPSec要用附加協議（如互聯網密鑰交換–IKE）去處理對安全保護以及相關安全密鑰的協商與管理，從而增加了復雜性，因此IPv6初期對IPSec支持的廣泛程度也許并不會超過IPv4。

在IPv6開始廣泛部署且IPv4設備開始減少以前，還會有一段時間。到那時，我們都將致力于可實現互聯網第40億臺設備的協議。

2月3日這個里程碑的日子已成歷史，我們將別無選擇地去發展和傳播一些最佳實踐，從而使下一代IP地址更加穩定、可靠和安全，而它的開始要依賴網絡與安全人員的認知與知識。