下一代网络技术在军队网络建设中的应用研究

摘要：下一代网络技术IPv6技术，是在现在IPv4技术上进行扩展而来的。该文对IPv6技术在军队网络建设中的应用进行了研究。通过IPv6技术进行网络模型的设计和网络安全模型的设计。

关键词：下一代；网络；入侵检测；安全

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）05-1025-02

1 下一代网络技术概况

当今的Internet存在诸多如分配不均、地址匮乏及网络安全等问题，对互联网的快速发展造成很大影响。为了弥补当前互联网的存在的缺陷，最大限度的满足人们的需求，出现了下一代的互联网技术，即IPv6协议。

IPv6与IPv4之间的不同主要体现在：地址空间、路由的选择效率及服务的质量保证三个方面。

1）IPv6与IPv4的地址空间比较

IPv4协议的IP地址长度设定为32位，从理论上看，IPv4的地址空间最多可以容纳43亿个主机，而IPv6协议的IP地址长度设定为128位，从根本上解决了IPv4地址严重不足的问题。

2）IPv6与IPv4的路由选择效率比较

对于IPv4而言，其路由选择的效率并不高。其IP地址构成包括网络和主机地址两部分，但是IPv4的地址缺乏统一管理和分配的层次结构，而且大多数的IP地址空间采用两层或三层的拓扑结构，这样的话，主干的路由器会存储着大量的路由表项，对于路由的查找和存储而言，增加了额外的开销，是互联网提高效率的一大瓶颈。要想大幅度的减少路由器的开销，必须首先维护路由的表项。

IPv6很好的解决了这个问题，其设计了一种改进的分级结构的路由结构用于点对点的通信，称这种地址为可聚合全局单点广播地址，地址的前3位为地址类型的前缀，以区分于其他的地址类型，而后包括如13位的TLAID、32位的NLAID、16位的SLAID和64位的主机接口ID，分别来标识分级结构中的TLA、NLA、SLA和主机接口。其中TLA从Internet注册机构处取得地址，为电话公司与长途供应商连接的公共网络接入点。NLA是大型的ISP，通常从TLA处申请地址，并为SLA来分配地址。SLA可以是一个机构或一个小型的ISP，主要为所属的订户分配地址，通常分配连续的地址块给订户，以便这些订户可对自己的地址进行分级结构以标识不同的子网。网络主机是分级结构中的最低级。这样按照IPv6设计，一个核心的主干路由器需要维护的表项不超过8192个，最大限度的降低了路由的查找和存储的开销。另外，IPv6的数据包比64K字节大很多，这样，应用程序可用较大的传输单元，可进行更可靠和更快的数据传输，同时在设计上对选路的结构进行了改进，并对报头的定长结构进行简化，对分段方法重新进行设计，这样路由器处理数据的速度更快，转发效率更高，从而网络的整体吞吐量很有很大提升。

3）IPv6与IPv4的服务质量保证比较

IPv4的 Best Effort原则使它更为简单高效，这是它的优点，但是Best Effort原则使IPv4对对互联网的新业务类型不能进行有效的支持。比如实时和多媒体应用要求的带宽、防抖动这样的服务质量保证，Best Effort原则都不能支持。后来在IPv4网络中的新的协议可以支持这些应用，像RSVP协议和RTP/RTCP协议等，但是这些协议是以提高复杂性和构筑成本为代价的。

IPv6协议是通过组播的方式和对流的支持，以支持多媒体应用的，这使得多媒体应用在网络上的发展有更多的机会。IPv6还还有更多的新特性，例如：服务质量保证、移动性能、多点寻址、网络层数据加密、IP报文校验等。这些新特性对网络的安全性有更好的保障。

2 军队网络模型设计

本文设计的基于IPv6的军队内部网络建设是将基于IPv4的老网络进行升级改造的。该文提出如下的混合接入方案：

1）搭建纯IPv6网络

本设计以一台双栈路由器或者一台PC机实现软路由功能，新网络通过军网专线连接到军队内部网络中，和原IPv4网络不发生关系。如果需要，可以通过军队内的三层交换机开通新的IPv6网络的主机到军队原来的线路中，从而让IPv6的主机能够出口访问IPv4的网络，进而访问其他军队的分部。军队总部IPv4/IPv6双栈主机通过IPv6网络配置的IPv4/IPv6双栈路由器访问专线。

2）隧道接入

如果通过手工配置隧道，效率会很低，对用户较多的部队网络是不适应的。IPv6对随你到进行接入的方式自动自动配置和管理。接入需要用到隧道服务器，它的功能是提供到IPv6互联网的实际接入。隧道服务器通过监听来获得隧道前端发来的指令，通过指令建立或者撤销与用户之间的IPv6/IPv4隧道。

隧道前端是整个隧道系统的核心，它完成与用户交互。然后控制隧道服务器等完成相关的必要操作，并把结果返回给用户。用户发送的是WWW浏览器请求，返回给用户的是完整的HTML页面。隧道前端的软件部分是Apache服务器、一组CGI程序和HTML页面。基于IPv6的军队网络方案如图1所示。

从图1中可以看出，军队网络的结构仍然是以支持IPv6的三层交换机为核心，实际上这种网络结构就是通过IPv6网络连接以太网络。基于IPv6的网络实际上由IPv6形成一个小岛，通过该小岛与外界关联。该关联是通过NAT2PT网关来实现的，这也是本网络架构方案的关键技术。NAT2PT网关有三个主要的功能呢：双网卡、双站节点、6TO4隧道节点，在网络架构中要保证NAT2PT的三个功能之间的相容性。军队网络内部的IPv6之间的信息交换是不需要通过NAT2PT网关的，内部IPv6节点如果和NAT2PT网关进行通信就是需要访问到外网去，NAT2PT网关本本身既有IPv6地址又有IPv4地址，所以无论是与外界进行哪种通信都不需要进行地址类型的转换。如果军队网络中的某些软件的应用涉及到网络层地址，那么IPv6与IPv4的差别就比较大了，但是这些问题也有解决的办法，因为IPv4和IPv6的域名结构是相同的，所以IPv4和IPv6可以使用相同的域名空间，因此域名系统就能在应用层上屏蔽实际的IP地址。

3 军队网络安全模型

网络安全实际上主要指的是网络上信息的安全，军队网络对信息安全的重视程度尤其高。在本文设计的军队网络安全模型中，对信息安全进行保障是通过设置基于IPv6的入侵检测系统来实现的。

基于IPv6的军队网络入侵检测系统的基本组成和IPv4的入侵检测系统的设置是相似的，但是由于应用的网络协议不同，会根据IPv6设置相应的变化。该文设计的基于IPv6的入侵检测系统是在基于Snort的开源系统上发展演化而来的。下面是本文设计的基于IPv6的入侵检测模型，如图2所示。

从图2中可以看出，数据帧捕获模块通过交换机在网络上获取流经检测系统的的网络帧，传递给上层的IP数据包分析模块对网络帧进行分析。本模型通过改善IDS的网络接口驱动的方式来提高网络数据捕获的效率，所捕获的数据链路层的帧要兼容多种协议格式以提高IPv6IDS的通用性。

模型的数据包解析模块由IPv6协议族和IP数据包分析构成，模块的作用是对收到的数据帧进行分析。因为军队的网络中既有IPv4包，又有IPv6包，数据包版本解析的作用就是区分是IPv4数据包或IPv6数据包。如果一个帧的Protocol ID值为0x0800，那么这个帧就是IPv4数据包，数据包分析模块就将该帧转发到IPv4的处理引擎，如果一个帧的Protocol ID值为0x86DD，就是IPv6的数据包，，数据包分析模块就将该帧转发到IPv6的处理引擎。

经过数据包解析模块后，系统会继续调用规则检测模块对检测后的数据包进行入侵检测规则的匹配。匹配的过程就是比较的过程，比较的双方是报文和事先构造的规则树。如果发现报文和某个规则树是匹配的，就表示检测到一个攻击，就需要对该攻击执行事先制定的操作。如果没有匹配的规则树，说明报文是正常的。

4 小结

本文针对IPV4网络存在的问题，提出了应用下一代网络技术——IPv6进行军队网络建设的研究。提出在保留军队现有的IPv4的网络下进行IPv6的建设，采用混合接入方案。这样既不会造成网络资源的浪费，又能解决现在网络中存在的问题。最后通过建立网络安全模型，讨论了在IPv6的网络环境中进行入侵检测的方式。

参考文献：

[1] 王达.网络安全[M].北京：电子工业出版社，2005.

[2] 张宏科，苏伟.IPv6路由协议栈原理与技术[M].北京：北京邮电大学出版社，2006.

[3] 李振强，赵晓宇，马严等.IPv6技术揭秘[M].北京：人民邮电出版社，2006.

[4] 蒋亮，郭健.下一代网络移动IPv6技术[M].北京：机械工业出版社，2005.

[5] 张玉军，田野.IPv6协议安全问题研究[J].中国科学院研究生院学报，2005（1）：30-37.