IPv6地址驱动的云网络内生安全机制研究

云网络可以根据不同业务场景对云平台虚拟网络资源快速部署与配置,是现代数据中心性能和安全的重要保障。但传统云网架构中IPv4支撑能力有限,无法实现网络端到端的透明传输,多租户特性使得云管理者对租户子网进行流量管理和约束异常困难,外挂式的安全方案缺乏对不同租户流量的追溯能力,无法在源头对攻击行为进行限制。IPv6具有地址空间大、编址能力强、安全性高的特点,基于此,文章提出一种IPv6地址驱动的云网络内生安全机制,包括地址生成层、地址验证层和地址利用层。地址生成层以对称加密算法为基础,将租户身份信息嵌入IPv6地址后64位,修改DHCPv6地址分配策略,并基于Openstack Neutron进行实现。地址验证层设计实现了云网络动态源地址验证方法,针对不同端口状态集合设计针对性转移方法和安全策略。地址利用层基于IPv6真实地址的特性,实现了基于IPv6地址的数据包溯源机制和访问控制策略。

校园网络IPv6地址规划探析

IPv6技术是互联网升级演进的必然趋势,是校园网络规划阶段需要重点考虑的环节。IPv6地址规划需要考虑路由性能、路由策略和安全等因素,合理的IP地址规划可以直观地识别节点属性,提高网络的可管理性。IPv6地址分配方法主要有单调分配、稀疏分配、最适合分配、随机分配和前缀委托等。以作者所在学校为例,介绍IPv6地址的规划,期待能为有类似需求的单位提供一点有益的探索和借鉴。

关于高校校园网向IPv6过渡的研究

随着网络用户的不断增长,互联网协议第四版(internet protocol version 4,IPv4)的诸多缺陷已严重制约了互联网的发展,过渡至互联网协议第六版(internet protocol version 6,IPv6)已势在必行。由于高校校园网设备多、用户多、业务应用复杂,IPv4向IPv6的过渡将经历一个长期的过程。对比了IPv4和IPv6的区别,分析了IPv4至IPv6的过渡技术,提出高校校园网支持IPv6访问的指导思想和指导原则,并通过案例分析了改造方案,以供国内其他高校相关实践参考。

基于ISATAP隧道技术的IPv4/IPv6物联网智能家居仿真实现

IPv4/IPv6过渡技术为物联网的发展提供了IP地址的支撑,ISATAP隧道技术由于无须大量升级更换设备、相对容易实现而成为三种IPv4/IPv6过渡技术的优选方案。对此,基于Packet Tracer7.3平台,部署一个采用ISATAP隧道技术的物联网智能家居仿真场景,设计了网络拓扑图,使用静态、DHCP和DHCPv6三种方式配置IPv4和IPv6地址,对物联网中的关键设备采取Python语言进行编码。仿真结果表明,双栈终端能自动获取IPv4或IPv6地址,IoT设备在物联网服务器注册后,可按设定条件在双栈终端的调控下智能有效地运行,从而为过渡技术在物联网中的应用提供一种研究方法。

IPv6和区块链驱动的油田数据共享模型研究

在油田产业中,跨越部门“数据孤岛”,实现部门间信息融合,是各部门互惠互利、和谐共生发展面临的一项迫切需求。在这种背景下,构建基于区块链的石油产业数据共享机制,将成为推动数字中国建设的重要举措。区块链技术为油田产业数据的共享提供了可信保障。IPv6为油田产业的数据传输提供了更高的效率和更稳定的连接。探讨了IPv6技术、区块链技术在实现油田业务数据共享中的潜力,并搭建IPv6和区块链驱动的油田产业数据共享模型,使得组织管理者可以提高效率、透明度和安全性,从而改善决策,赋能石油产业经济发展。

基于“IPv6+”技术的切片专网技术与应用

以“IPv6+”为基础的切片专网采用网络切片、SRv6 Policy、随流检测等新型承载技术,可为重要客户和业务提供专用通道,实现资源专属和差异化SLA功能。中国电信无锡分公司以新型城域网为基础,针对政企专线业务开展切片专网的应用部署实践,初步验证了切片专网在现网部署的可行性和优势。

一种面向职业学院的兼容可靠IPv6平滑升级改造方案

研究发现,从现存不堪重负的IPv4网络过渡到先进可靠的IPv6网络是每个高校必须迈过的门槛。基于此,通过研究几种主流的过渡技术,比较他们的技术特征并进行技术测试,根据学校的现实特点进行选择,以期为职业院校向IPv6过渡提供一种可行的解决方案。

6EDL:高效的大规模活跃IPv6地址探测系统

互联网规模的急剧增长导致IPv4地址资源逐渐耗尽,IPv6的大规模部署有效地解决了IPv4地址耗尽的问题.然而,IPv6地址空间庞大的特性为活跃地址的探测带来了巨大挑战.当前已有的活跃IPv6地址探测方法存在探测速度较慢、命中率偏低、探测范围受限等问题.针对这些挑战,本文提出了高效、快速、适用范围广的活跃地址探测系统6EDL.6EDL将地址探测分为无种子地址场景和有种子地址场景,并针对每种场景设计高效探测算法.在无种子地址场景下,本文提出了6EDL-N,使用神经网络挖掘BGP前缀信息与地址配置模式之间的潜在关系,实现了有种子区域到任一无种子区域的地址迁移,从而扩展了地址探测的边界.此外,本文引入了预探测机制,有效缓解了大规模地址探测中的资源浪费问题.实验表明,6EDL-N的命中率达到12.69%,覆盖度为21.97%,单位时间发现的活跃地址数(NPT)为233.09个/s.与现有工作相比,6EDL-N的命中率是其的8.13倍,NPT为14.94倍,覆盖度为1.84倍.在有种子地址场景下,本文提出基于生成对抗网络(GAN)的活跃地址探测方法6EDL-S,通过精细的种子地址分布规律学习,并采用环境反馈机制来缓解种子地址采样偏差,有效提升了命中率.实验表明,6EDL-S的命中率达到了25.91%,是已有方法的1.23~10.89倍.同时,NPT为466.72个/s,是已有方法的1.49~6.20倍.最终,经过持续探测,6EDL系统成功发现了29.77亿个活跃地址,包含5.66亿别名地址和24.11亿非别名地址,覆盖了125101个BGP前缀和40137个AS.本文构造的活跃IPv6地址集将有效支撑IPv6网络测量和安全分析等多种应用,进一步打开了IPv6网络研究的大门.

NDP-FD6:一种IPv6网络NDP洪泛行为多分类检测框架

当前NDP洪泛行为检测研究主要集中于RA和NS洪泛行为的检测,对于NDP协议中其他报文洪泛行为的检测能力不足。此外,传统阈值规则检测方法存在动态性差、准确率低的问题,而基于人工智能的检测方法大多只能进行二分类检测,缺乏多分类检测能力。为此,提出一种针对NDP协议洪泛行为的多分类检测框架,并提出基于时间间隔特征的NDP协议洪泛行为检测方法。通过流量收集、数据处理等过程构建了首个用于NDP洪泛检测的多分类数据集,并对比使用了5种机器学习和5种深度学习算法来训练检测模型。实验结果表明,利用机器学习中XGBoost算法的检测准确率可达99.18%,深度学习中的Transformer算法的检测准确率可达98.45%。与现有检测方法相比准确率更高,同时该检测框架可以检测出NDP协议5种报文的9类洪泛行为,并可对洪泛行为进行多分类划分。

基于目标生成的IPv6网络地址扫描综述

随着近年IPv6网络的迅猛发展,针对IPv6的网络测量和安全分析逐步成为热门的研究课题,这其中一项最基础、最关键的工作是通过网络扫描获取大量的IPv6活跃地址.然而IPv6庞大的地址空间和稀疏的活跃主机分布使得传统的暴力扫描工具(如ZMap和MASSCAN等)无法直接使用.例如在万兆带宽条件下,可5 min内扫描IPv4全网的ZMap扫描器若对IPv6进行全网扫描,仍需要花费上亿年的时间.针对大规模IPv6网络扫描所面临的效率低下问题,研究人员提出了一系列针对IPv6网络的扫描方法,提升了当前IPv6网络资产发现、识别和风控的能力.对这些基于目标生成的IPv6网络扫描方法进行了分类、梳理和总结,分析了各扫描方法的优缺点及适用场景.通过实网扫描实验,对比了多种扫描策略的命中率、边际效益和时间花销等性能情况.最后给出了对IPv6网络扫描研究的思考并对未来的研究方向进行了展望.

基于IPv6的互联网络安全探讨

在现代互联网环境中,IPv6是最为先进的一种通信协议。但随着IPv6协议在互联网中的广泛应用,相应的安全风险也开始出现。基于此,本文便对IPv6协议条件下的互联网络安全风险及其防范进行分析。主要包括IPv6协议及其在互联网络中的应用现状、互联网络中的IPv6主要安全风险分析,以及互联网络中的IPv6主要安全风险防范分析。希望通过本次的分析,可以为IPv6协议的合理应用与互联网络安全性的有效提升提供一定参考。

IPv6+技术的安全风险与安全机制

IPv6/IPv6+适用于更多的场景、更多样的用户需求以及更复杂的安全环境,在全面推进IPv6商用部署和IPv6+创新研究的过程中,网络安全问题也被更加重视。然而IPv6+新技术尚在研究和试点中,其安全威胁还未充分暴露,需要结合国内外最新标准研究进展和试点应用经验来分析IPv6+新协议、新技术、新地址编码可能会带来的安全风险和问题,强化IPv6+技术安全管理和防护手段,以做到安全保护措施与IPv6网络改造同步规划、同步建设、同步使用,为构建IPv6/IPv6+下一代网络安全防护体系开展前瞻布局研究。

基于5G SA网络IPv6单栈的研究与实践

中国5G独立组网(SA)互联网网络已经全面进入了IPv4和IPv6双栈运行阶段,但如何引入IPv6单栈,成为当前运营商面临的新挑战。通过对IPv6单栈概念和技术的分析,提出了IPv6单栈网络部署方案,并进行了实践验证。实践证明,该方案是可行的。随着业务应用由IPv4向IPv6演进,IPv6的流量占比将大幅提升,基于实践和分析,提出了下一步IPv6发展的策略建议。

IPv6中一种基于卷积的DDoS攻击两阶段防御机制

针对IPv6快速普及背景下分布式拒绝服务(DDoS)攻击威胁不断增长的现状,提出一种两阶段的DDoS攻击防御机制,包括初期实时监控DDoS攻击发生的预检测阶段,以及告警后精准过滤DDoS攻击流量的深度检测阶段.首先,分析IPv6报文格式并解析PCAP流量捕获文件中的16进制头部字段作为样本元素.其次,在预检测阶段,引入轻量化二值卷积神经网络(BCNN),设计一种二维流量矩阵作为模型输入,整体感知网络在混杂DDoS流量后出现的恶意态势作为告警DDoS发生的证据.告警后,深度检测阶段介入,引入一维卷积神经网络(1DCNN)具体区分混杂的DDoS报文,从而下发阻断策略.在实验中,自建IPv6-LAN拓扑并基于NAT 4to6技术重放CIC-DDoS2019公开集生成纯IPv6-DDoS流量源测试.结果证明,所提机制提升针对DDoS攻击的响应速度、准确度和攻击流量过滤效率,当DDoS流量出现仅占总网络6%和10%时,BCNN就能以90.9%和96.4%的准确度感知到DDoS攻击的发生,同时1DCNN能够以99.4%准确率区分DDoS报文并过滤.

基于IPv6的成品油销售企业互联网业务IT基础架构设计

【目的】近年来,随着监管力度的增大,监管机构相继提出等级保护、IPv6、信息技术应用创新等监管要求。为了满足企业自身互联网业务信息化建设的需求,应对潜藏在互联网用户中的各种威胁,且符合相关建设的规范,提出了基于IPv6的成品油销售企业互联网业务IT基础架构设计。【方法】首先,对企业互联网业务IT基础架构建设的各项需求进行分析;其次,对安全设备的配置进行研究;最后,采用智能DNS设备配置双栈解析地址来解决用户双栈访问的问题,采用功能独立且互补的安全设备组合部署来解决安全防护问题。【结果】该设计支持IPv4到IPv6过渡期的双栈访问,满足了互联网业务安全防护的需求。【结论】该设计可为IT从业人员的相关工作提供一定的参考依据。

高职院校数字化校园网络基础环境建设研究——基于IPv6的校园网升级改造

文章以临夏现代职业学院校园网互联网协议版本6(Internet Protocol version 6,IPv6)升级改造为例,介绍互联网协议版本4(Internet Protocol version 4,IPv4)校园网现状和存在的问题,比较IPv4与IPv6的优缺点,结合IPv6迁移改造的双协议栈、隧道技术,探索规划阶段性升级改造IPv6的建设方案,重点讨论IPv4/IPv6双栈校园网技术实现。

IPv6流量流向及应用分析系统研发

文章针对IPv6流量流向及应用分析进行研究,通过对互联网NETFLOW流量、域名解析数据、BGP路由表、AS号地域对应关系、IDC户籍信息、应用标签数据等信息进行关联建模,给出互联网IPv6流量流向与应用分布的判断方法,并通过对应用域名的cname信息与IDC户籍信息的分析比对,深度挖掘应用实际的CDN内容承载商。

浅谈IPv6网络建设探索与实践

遵循“政策引领、规划先行、分步演进、持续创新”的思路,光大银行制定相应技术标准和产品选用规范,成功完成互联网应用的IPv6改造,并启动具有创新意义的核心承载网SRv6改造项目,进一步提升了网络的安全性、稳定性和服务效率。本文聚焦于光大银行在IPv6规模部署方面的思路与实践,介绍了光大银行在响应国家政策、跟踪技术发展趋势以及满足金融行业需求方面的积极行动。

基于IPv6-IOT技术的地震专网无线传输组网研究

文章以山东地震行业无线传输网建设为目标,基于山东地震行业专网的现状,利用IPv6-IOT技术规划和建设山东地震行业无线传输网。研究成果不仅可以为山东地震行业实现下一代IPv6组网的平滑演进和升级奠定坚实基础,还可以为基于IPv6-IOT无线传输的组网提供模型依据和技术支撑。

海委终端IPv6地址分配方式思考

随着全球网络信息技术的加速创新变革和信息化基础设施的快速演进升级,IPv4地址已经无法满足日益增长的互联网需求,加快推进IPv6的规模部署成为加快网络强国建设的迫切要求。探讨了几种常用的终端IPv6地址分配方式及其优缺点,分析了使用不同地址分配方式可能面临的问题,可为类似局域网的IPv6地址科学分配提供有价值的参考。