基于移动IPv6的移动性管理研究

摘要: 本文研究了基于移动IPv6的移动管理机制,分析了快速移动IPv6和分级移动IPv6相关技术,最后还探讨了移动IPv6的安全机制,对于移动IPv6技术发展具有一定帮助。

Abstract: In this paper based on mobile IPv6 mobile management mechanism is analyzed, and the fast moving IPv6 mobile technology and IPv6 classification technology are analyzed, the security mechanism is discussed, which is helpful for the development of mobile IPv6 technology.

关键词: 移动IPv6;移动性管理;快速移动IPv6;分级移动IPv6;安全机制

Key words: mobile IPv6;mobility management;fast moving IPv6;IPv6 classification;security mechanism

中图分类号:TP393文献标识码:A文章编号:1006-4311(2010)17-0153-02

0引言

移动节点在改变网络接入点时,不需要改变节点的IP地址,能够在移动的过程中保持通信的连续性,这是移动IP的设计目标。3G标准IMT2000中明确规定,第三代移动通信系统必须支持移动IP分组业务。移动IP不是移动通信技术和互联网技术的简单叠加,也不是无线话音和无线数据的简单叠加,它是移动计算和IP协议的深层融合,也是对现有移动通信方式的深刻变革[1,2]。基于移动IPv6的移动性管理协议,是基于IP的无线移动网络的一个重要研究领域,它充分利用IPv6的众多新特性,与移动IPv4相比,有很多重大的改进。移动主机可以通过无状态自动配置或者有状态机制(DHCPv6)获得一个或者多个转交地址,从而不需要部署外地。同时,优化路由方式已经成为移动IPv6协议基本功能的一部分,因而不会产生“三角路由”的问题。这里在研究MIPv6基本操作的基础上,详细分析FMIPv6、HMIPv6协议的切换过程,然后研究移动IPv6所受到各种潜在的安全威胁,最后分析了移动IPv6的安全机制。

1移动IPv6的基本原理

IPv6巨大的地址空间意味着IP可以继续增长而无需要考虑资源的匮乏;对分组报头的简化减少了在路由器上所需的处理过程,从而提高选路的效率;改进对扩展报头和选项的支持意味着可以在几乎不影响普通数据分组和特殊分组选路的前提下适应更多的特殊需求;安全的改进,使得IPv6更加适用于对敏感信息和资源加以保护的商业应用。在网络移动性方面,IPv6在设计的时候已经充分考虑到这个问题。首先,IPv6具有自动配置功能,IPv6节点的自动配置功能使得节点在改变网络接入点之后能够保持网络连接。其次,IPv6的扩展报头机制,使得IPv6的移动选项可以放在扩展报头中[3]。无论移动节点处在家乡链路还是离开家乡链路,都可以通过它的家乡地址与对端通信。当移动节点在家乡网络时,其工作方式和固定主机一样。移动节点家乡地址的子网前缀是移动节点家乡链路的子网前缀或者家乡子网前缀之一,发往移动节点的分组首先被路由到它的家乡链路。

移动IPv6的切换流程如图1所示,①MN在外地链路上收到路由器的广播,通过有状态或者无状态自动配置,获得转交地址。为了保证获得的CoA正常可用,MN还需要进行重复地址检测(Duplicate Address Detection:DAD)。②MN向HA发送绑定更新消息,在该消息中设置了家乡注册和确定标志。③HA返回一个绑定确认消息。④为了保证安全性,MN必须进行返回路由可达过程测试。MN使用隧道经由HA将家乡测试初始(HoTI)消息发到CN;MN直接发送转交测试初始(CoTI)至CN;CN回应家乡测试(HoT)消息响应HoTI;CN回应转交测试(CoT)消息响应CoTI。如果MN是由外地链路移动到一条新的外地链路,由于只是与转交地址相关的路径发生了改变,所以在返回路由可达过程中只需要交换CoTI和CoT消息。⑤返回路由可达过程成功后,MN向CN发送绑定更新。⑥CN向MN发送绑定确认。

MIPv6在切换性能上存在很多问题,它的信令开销很大,切换过程中产生较大的丢包率与切换延时,因此不适合用于实时的数据通信。并且,MIPv6 的位置管理问题也非常突出,它不区分MN 的本地移动与全局移动,因而产生很多不必要的切换开销。由于路由优化,通信双方同时移动时连接将丢失。因此,各种增强型的MIPv6 协议应运而生,其中以快速移动IPv6和分级移动IPv6为代表。

2快速移动IPv6和分级移动IPv6

2.1 快速移动IPv6快速移动IPv6利用了L2层触发技术来预先检测或者快速回应切换的发生事件,以达到减少切换延时,提高服务质量的目的。接入路由器(Access Router:AR)是指移动主机与网络之间的最后一跳路由器。快速切换机制引入了前接入路由器(Previous Access Router:PAR)和新接入路由器(New Access Router:NAR)的概念,前者是指移动主机切换前的接入路由器,后者指移动主机将要移动进入子网的接入路由器。FMIPv6切换操作就是在PAR和NAR上实现的,具体的切换过程如下:①当移动节点(MN)发现一个或者多个邻近接入点,它将发起快速切换过程,通常是由L2层触发的。MN首先向前接入路由器(PAR)发送“路由器请求消息”(Router Solicitationfor Proxy:RtSolPr)。②作为响应,PAR回应“路由通告消息”(Proxy Router Advertisement:PrRrAdv)。它提供了NAR使用的网络前缀。③通过PrRrAdv中所提供的信息,MN表达了其所预期的新转交地址,并且发送“快速绑定更新消息”(Fast Binding Update:FBU)。它表明MN新CoA的绑定已经有效,从而指示PAR将到达的数据分组通过隧道发送至MN新的CoA。④PAR向NAR发送“切换发起消息”(Handover Initiate:HI),以指示NAR正在向PAR进行快速切换。⑤作为响应,NAR回应“切换确认消息”(Handover Ackowledgement:HAck),指示在NAR中哪个新CoA将被使用,同时,该消息还被用来指示隧道的建立。⑥PAR收到HAck后,分别向NAR和MN发送“快速绑定确认消息”(Fast Binding Acknowledgement:FBAck)。FBAck向MN指示了新CoA的预配置、以及PAR和MN之间隧道的建立。同时,PAR还在MN新旧CoA之间建立了绑定关系。⑦接下来PAR会把发向旧CoA的数据分组通过隧道发送到NAR链路,即MN新的CoA。NAR将对这些数据分组进行缓存,直至MN完全接入NAR的链路。⑧MN向新链路发送“路由请求信息”(Router Solicitation:RS),RS中包含有“快速邻居通告消息”(Fast Neighbor Advertisementoption:FNA),该消息相当于向NAR宣告MN的到达。⑨NAR把之前缓存的数据分组发往MN。⑩MN向CN进行绑定更新,其中包括返回路由可达过程,这与基本的MIPv6是相同的。

在FMIPv6中,对MN的切换速度是有要求的,否则会产生“乒乓移动”,即移动节点在相同的两个接入点之间频繁来回快速移动,在这种情况下,切换所需要的开销将大大增加。另一个问题是错误的移动,即移动节点在切换之前收到其要移动至新接入点的信息,但它实际上要移动至另一个不同的接入点,或者根本没有继续移动。IP层的切换本身具有一定的限制,它的切换速率应该适宜于移动节点,如果移动节点的移动速度比完成该切换处理所需要的时候还要快,则必定会导致数据包的丢失。另外,当移动节点在多个接入路由器之间快速移动时,会造成信令负荷的显著增长。

2.2 分级移动IPv6移动IPv6允许MN在Internet中改变接入点,保持可达性,并维护MN与CN之间正在进行的连接。为了达到此目的,MN需要向HA以及所有的CN发送绑定更新消息。每次移动,认证绑定更新消息大约需要1.5倍MN和CN之间的往返时间。此外,向HA更新也需要1倍往返时间,向CN更新也相似。每当切换至新的接入路由器时,这些往返的交换都会导致连接的中断。

为了使用本地的层次型结构,减少与外部网络的信令交互,减少切换中断时间,人们提出了分级移动IPv6(Hierarchical Mobile IPv6:HMIPv6)。HMIPv6引入了一个新的网络实体:移动锚点(Mobility Anchor Point:MAP),并对MN的操作进行了简单的扩展。虽然MIPv6中没有外地,但HMIPv6中需要MAP这个外地网络的实体协助移动切换。MN将MAP作为一个处于外地网络的“家乡”,并且在访问网络中可以存在多个MAP。

图2所示的网络结构是MN使用MAP的例子。MAP截获发往注册于它名下的所有MN的数据包,进行封装后直接把这些数据包发到相应的MN。如果MN在MAP域内发生了局部的移动,改变了它当前的地址,即链路转交地址(on-LinkCoA:LCoA),它只需要向MAP注册新的LCoA,而不需要改变HA及CN上注册的区域转交地址(Regional CoA:RCoA)。因此MN在MAP区域内的移动对HA和CN来说是透明的。MN移动至新的MAP域时,需要配置两个转交地址:LCoA和RCoA。在成功向MAP注册后,在MN与MAP之间建立双向隧道。MN所发送的所有数据包都将通过隧道发到MAP,外层报头的源地址字段中包含了MN的LCoA,目的地址字段中包含了MAP的地址;内层报头的源地址字段包含MN的RCoA,目的地址字段中包含了CN的地址。同样,所有发送至移动节点RCoA的数据包都被MAP截获,并通过隧道转发至MN的LCoA。HMIPv6可以使用多级的MAP,每个层次的MAP负责管理它的直接下一层,并向它的直接上一层注册。

为了实现MAP发现,需要对路由器通告进行扩充,新的MAP选项用来通知移动节点MAP的存在。移动主机从一个子网移动到另一个子网,MAP的发现过程是连续进行的。当移动主机在MAP域内漫游时,将收到同样的MAP通告消息。如果接收到的通告中MAP地址改变了,表明MN已经进入了另一个MAP的区域,它必须使用基本的MIPv6过程,向HA和所有CN进行绑定更新。如果移动主机不支持分级移动IPv6,MAP的发现过程将会失败,导致移动主机使用基本的MIPv6进行移动管理。HMIPv6在MAP域内的切换过程如下:①MN在同一MAP域内移动,检测到NAR,L2层切换触发。②MN向NAR发送路由请求消息(RS),以请求新的LCoA。③NAR回应路由广播消息(RA),以告知MN新的网络前缀。④MN进行LCoA配置之后,进行DAD检测,确保链路上LCoA的唯一性。⑤MN向MAP发送绑定更新消息(Binding Update:BU),注册新的LCoA。⑥MAP回应绑定确认Back。

使用HMIPv6,还有一个优点就是可以进行位置信息隐藏。CN收到MN的数据包,源地址为RCoA,而无法获得MN的LCoA,因此对于移动节点的位置追踪变得十分困难。

3移动IPv6的安全机制

3.1 移动IPv6的安全威胁在移动IPv6中,绝大多数潜在的威胁都与失败的绑定有关,它通常会导致拒绝服务攻击、中间人攻击。

3.1.1 与绑定更新相关的威胁一个恶意的MN可能在发送至对端节点的伪造绑定更新中使用受害节点的家乡。这对机密性、完整性和有效性造成巨大的威胁,即一个攻击者可能通过将流量重新定向至本身,从而学习发送至节点的数据包内容。同样,恶意的MN发送绑定更新时,将转交地址设置为受害节点,如果绑定更新被接受,则恶意节点能够引诱对端节点发送大量数据至受害节点。

3.1.2 与负载数据包相关的威胁与移动节点交换的负载数据包被认为与普通的IPv6流量具有相似的威胁。对于MN与HA之间的隧道,攻击者可以伪造MN和HA之间的隧道数据包,使其显示为来自移动节点的流量,但实际上并非如此。

3.2 安全机制移动IPv6 协议提供了一些安全机制来保护移动节点与其它节点进行的通信。

3.2.1 认证机制移动IPv6 提供了移动节点与家乡之间的认证机制,以防止非法移动节点发起的会话窃取和DoS 攻击。公开密钥加密和数字签名可以用于提供家乡、移动节点之间的信任关系,实现认证。移动IPv6使用的默认认证算法是增强的MD5算法,采用前缀加后缀的模式。密钥(通常为128位)放在要求认证的数据前面和后面,通过认证算法产生数据的一个128位哈希值,加在认证扩展的后面,发送给认证方。如果接收方共享发送方的密钥,只需重新计算哈希值,得到的结果与请求认证方发送的数据进行比较,如果匹配则认证成功。为了满足对用户数据流和机密性保护的要求,IPSec可以用来加密家乡和移动节点之间的IP分组。

3.2.2 时间戳和临时随机数IETF建议两种方法对注册请求进行抵抗重放攻击:时间戳和nonce。时间戳是强制的而nonce是可选的。时间戳重放保护的基本原理是发送方在消息中插入当前时间,接收方检验时间是否足够接近它自己的日期时间,因此要求通信双方的时钟必须保持同步。当使用时间戳时,移动节点发出的注册请求中的标识号必须大于任何前面注册请求中使用的编号;当收到具有认证扩展的注册请求时,家乡必须检查标识号的有效性。标识号中的时间戳必须足够接近家乡的日期时间。

使用nonce来实现重放保护的基本原理为:节点A在发往节点B的每一个消息中包含一个新的随机数,并且检查节点B是否在下一个发给A的消息中返回相同的数。两个消息都使用认证编码来保护数据不被攻击者篡改。伪随机数是产生nonce的一种方法。

3.2.3 返回路由可达过程移动IPv6中除了使用IPSec来完成认证和加密任务之外,还采用了返回路由可达过程(Return Routability Procedure:RRP)来加强对通信对端绑定更新的保护。RRP分为Home RRP和care of RRP。Home RRP用来判断CN是否可以通过HA与MN的HoA进行通信,并且产生互相认同的home cookie;care of RRP用来判断CN是否可以直接与CN的CoA进行通信,并且产生互相认同的care of cookie。

4结语

对现行的各种移动IPv6协议进行了深入的讨论,包括基本的移动IPv6操作,FMIPv6和HMIPv6。在下一代网络中,移动性和安全性始终是研究的重点和难点,随着网络技术的飞速发展,Internet上黑客力量也相应壮大,新的安全威胁层出不穷。虽然移动IPv6在安全性保护上比移动IPv4有了长足的进步,然而,技术还不是非常成熟,也不可能从根本上消除各种攻击。再者,由于移动所产生的各种开销和QoS的下降,移动IPv6也不能做到对实时业务的很好支持。

参考文献:

[1]董平,杨冬,秦雅娟,等.新一代互联网移动管理机制研究[J].电子学报,2008,36(10):1916-1922.

[2]孙利民等.移动IP技术[M].北京:电子工业出版社.2003:178-179.

[3]AhlundC,BrannstromR,etal.Port-based Multihomed Mobile IPv6for Heterogeneous Networks[C].Local Computer Networks,Proceedings200631st IEEE Conference.2006:567-568.