1、基于分层动态地址的 访问控制方案设计,朱晶 刘莉莉 李丹 吴建平2017年10月26日,背景,流量本身造成损失：DDOS,访问控制,非终端的,终端防御漏洞：蠕虫,相关工作,NAT 外界难以主动访问 IPv6部署较少,应对式访问控制 控制速度/精度存在权衡,动态地址 可扩展性不足,动态地址,解决可扩展性不足：使用IPv6地址的主机标识位来标识身份,身份地址,Win vista/OSX 10.7默认开启临时IPv6地址 主要目的为取消IP-用户身份的永久绑定，隐藏用户身份 直接应用将面临可能的扩展性问题,分层身份地址,直接让每个网络节点动态分配地址会导致ACL膨胀,A,B,C,D,分层身份地址,身
2、份地址进行分层分配 子节点继承父节点身份地址 每个节点仅对相邻（子）节点进行身份验证,A,分层身份地址,身份地址分配实例：身份地址占用空间从后往前叠加 可以根据需要自行配置用以作为子网主机标识的长度和继续用于身份标识的长度,2001:1:0:0:1:1,2001:2:0:1:1:1,2001:2:1:0:1:2:1,2001:2:1:1:1:2:1,2001:2:1:1:2:3:2:1,动态地址,每个网络节点可以变动自己的身份地址,初始信息：身份地址+可用空间,占用地址空间+身份地址,B,回复,B,新身份地址,回复,动态地址,中间交换节点需要双向管理身份地址的动态情况 将自己的身份地址变更告知
3、邻节点,启用新地址,回复,通知,回复,B,B,动态地址,中间交换节点需要双向管理身份地址的动态情况 将父节点身份地址变更告知子节点,通知,回复,通知,回复,A,A,A,流量过滤,在接口处设置过滤,:2001:10:1,:1002:2:1,:1001:1:1,:1002:2:1,:1002:1:1,平滑过渡,如何应对IPv6地址发生改变 方法一：双虚拟接口,TCP,TCP,If.0,If.1,Phys If,平滑过渡,方法二：套接字迁移 UDP不需要进行迁移 存在时间较短（DNS解析等） 存在应用层连接（RTP等）TCP有成熟的迁移方案,移动网络迁移,服务器迁移,总结,IPv6主机标识编址成为身份地址 层级化身份地址继承/验证 动态可变的身份地址 流量过滤的实现方式 兼容性上的考虑,结束,请各位点评,
