中国发布的关在IPv6范围摆设步履打算旨在加速推动基下一代互联网范围摆设，实现下一代互联网在经济社会各范畴深度融会利用，更是晋升了IPSec平安传输能力和收集的平安性，IPv6也将成为下一代收集的主导气力。

IPv6因地址空间庞大，在应对部门平安进犯方面具有自然劣势，在可溯源性、反黑客嗅探能力、邻人发觉和谈、平安邻人发觉和谈和端到真个IPSec平安传输能力等方面晋升了收集平安性。

针对《推动互联网和谈第六版（IPv6）范围摆设步履打算》，华为平安给出了IPv6范围摆设下收集平安防护的详实解读，衔接上期IPv6行业影响，本期�����APP聚焦IPv6平安手艺。

可溯源性

IPv6庞大的地址空间为每一个收集装备分派了一个并世无双的收集地址，不需要像在IPv4收集中经由过程NAT处理地址不足问题，从而有益在过后清查回溯，提高平安的保障性。

反黑客嗅探能力

因为重大的IPv6地址，使得在IPv4收集中经常被黑客利用的嗅探扫描在IPv6收集中变得加倍坚苦。

NDP & SEND

在IPv6中，ARP的功能被邻人发觉和谈（NDP）所取代。邻人发觉和谈经由过程发觉链路上的其他节点，判定其他节点的地址，寻觅可用路由。对照ARP， NDP仅在链路层实现，加倍自力在传输介质。下一代互联网的平安邻人发觉（SEND）和谈经由过程自力在IPSec的另外一种加密体例，包管了传输的平安性。

端到端IPSec平安传输能力

IPSec为IPv6收集中的每一个节点供给了数据源认证、完全性和保密性的能力，实现端到真个平安加密。

关在ipv6平安手艺的七问七答

Q1IPv6新增的平安特征与IPv4有甚么区分？

IPv6收集的平安，因为仅是IP包头、寻址体例产生了转变，内置了端到真个平安机制，所以相对IPv4，在平安方面IPv6对当前的各类平安风险的提防并没有太年夜的提高。

Q2基在平安性斟酌，IPv4收集利用NAT手艺来埋没内网IP地址，IPv6收集是不是也需要近似手艺来晋升平安性？

IPv6的NPT（Network Prefix Translation）（RFC6296）和谈能够实现与IPv4 NAT近似的功能，答应IPv6地址的1：1映照，到达埋没内部IPv6地址的结果。

Q3对利用层进犯，IPv6收集的防驭手段和体例都有哪些影响？

利用层防御功能一般包罗和谈辨认、IPS、反病毒、URL过滤等，首要检测报文的利用层负载，几近不受收集层和谈IPv4/IPv6影响，是以，年夜部门保守IPv4和谈下的利用层平安能力在IPv6收集中不受影响。

但有少部门IPv4收集和谈在IPv6收集下本身需要产生了转变，好比DNS和谈进级到DNSv6，那末对应的利用层平安检测需要按照和谈转变进行调剂。

Q4IPv6在扩大头中增添了IPSec的端到端加密能力，假如利用开启了此项功能，那末收集平安装备该若何检测和防御加密流量？

一般环境下，收集平安装备没法解密IPSec加密流量，仅能基在IP地址来节制。但从今朝的环境来看，这类“内嵌”的IPSec需要利用密钥分发手艺，整体上其实不成熟，治理本钱高，别的，因为收集平安装备一般是没法解密IPSec流量，防火墙等收集平安装备就没法在收集&利用层来检测IPSec流量，从某种意义上，系统的平安性得不到完全的包管。对一般企业利用，基在治理本钱和平安性斟酌，建议仍利用防火墙实现IPSec VPN加解密，并在网关位置进行IPS、状况防火墙等平安查抄，待手艺成熟后再摆设端到端加密。

Q5SSL代办署理功能在IPv6和谈下是不是遭到影响？

SSL代办署理不依靠在收集层的具体和谈，仍能够对IPv6 SSL加密流量实现解密。

Q6对IPv6收集，若何经由过程防火墙来实现平安策略治理，与IPv4的平安策略有何分歧？

IPv6与IPv4的平安策略管控是一样的，仍需要基在ACL的五元组来逐条设置装备摆设，仅是IPv6地址变长，使得策略设置装备摆设加倍复杂。

Q7在现有平安装备上开启IPv4/IPv6双栈功能后，在功能和机能上会对IPv4营业有何影响？

开启IPv4/IPv6双栈一般不会对平安装备的功能发生影响，首要影响装备的机能，由于IPv6和谈栈会挤占IPv4营业的CPU和内存等资本，致使现有的IPv4营业在会话表容量、新建速度、吞吐率上会呈现分歧水平的降落。建议在进级/开启IPv4/IPv6双栈前评估现有平安装备的处置能力，需要时能够替代现有平安装备，避免影响现有IPv4营业。