联想网御全力保障IPv6网络安全

IPv6网络时代已经到来，由于我国IPv4地址资源匮乏，除了采用CIDR、VLSM和DHCP技术缓解地址紧张问题，更多的是采用私有IP地址结合网络地址转换(NAT/PAT)技术来解决这个问题，从根本上看，互联网可信度问题、端到端连接特性问题以及非强制IPSec加密而带来的安全性等问题，使IPv4网络面临各种威胁，IPv6网络的全面升级已势在必行；与此同时，适应IPv6网络的安全产品（例如防火墙、IPS、UTM、流控产品等）少之甚少，而IPv6安全解决方案几乎为空白。联想网御公司倡导“下一代网络安全架构”先进性安全理念，掌握众多核心技术，率先进入IPv6网络安全时代。

一、 联想网御VSP平台完美支持IPv6技术

VSP（Versatile Security Platform）安全平台是联想网御公司自主创新的高性能实时系统平台，通过将实时操作系统、网络处理、安全应用等技术完美地结合，使联想网御多款产品如防火墙、IPS、UTM、VPN等安全设备具备了高智能、高性能、高安全性、高健壮性、高扩展性等特点。与此同时，联想网御多年来一直在研究IPv6技术的演进趋势，并早在2005年就已投入IPv6在网络信息安全的预研技术力量。

经过几年的深入研究与探索，联想网御结合VSP平台优势，完美融合IPv6技术，已经支持IPv6环境下的状态包过滤、静态路由、OSPF动态路由、FTP ALG等基本安全业务，并支持 IPv6/v4 双协议栈功能，设备在同一网络中同时支持 IPv4 和IPv6协议，联想网御VSP平台针对IPv6的特点如下：

(1)　Side-to-Side安全保证：在两端主机上对报文进行IPSec封装，中间安全网关设备实现对有IPSec扩展头的IPv6报文进行透传，实现端到端的安全；

(2)　Inside安全保密：当内部主机与因特网上其他主机进行通信时，通过IPv6扩展头中提供的路由头和逐跳选项头结合应用层网关技术来实现。实现方式更加灵活，完善内部网络安全；

(3)　Tunnel-Inside实现网络安全：通过隧道嵌套的方式可以获得多重的安全保护。当配置了IPSec的主机通过安全隧道接入到配置了IPSec网关的安全设备，并且该安全设备作为外部隧道的终结点将外部隧道封装剥除时，嵌套的内部安全隧道就构成了对内部网络的安全隔离，实现了隧道嵌套方式安全保护。

二、 联想网御IPv6安全产品成功应用某高校

2008年8月，国家发改委在其网站上公布了下一代互联网业务试商用及设备产业化专项的通知。通知指出：“为积极、稳妥推动我国下一代互联网业务应用和产业发展，将组织实施下一代互联网业务试商用及设备产业化专项”。按照CNGI项目规划，CERNET2将接入100所以上的著名高校，开展科研应用和大规模IPv6网络建设和部署实施的探索。

随着高校中IPv6网络建设日趋完善，对IPv6网络上的安全需求也日益迫切，支持IPv6的网络安全产品（如防火墙、UTM、IPS等）日渐得到关注。联想网御结合IPv6技术特点，及时推出IPv6高性能安全网关产品系列，在多所高校成功应用，保障了大学的IPv6网络。

某市著名大学是一所具有90多年历史的以工为主、工理经管文法结合、多科性协调发展的国家教育部直属重点综合性大学。学校现有专任教师2000余人，全日制在校生23000余人，该大学网络特点和需求如下：

出口搭建的IPv6视频服务器未受保护；

拥有两个网络出口，分别为500M的电信出口及教育网出口；

学校面临的攻击较多，主要受到的攻击方式为ARP病毒攻击和DDOS流量型攻击；

IPv6网络流量模型比较特殊：小包报文比例较大，单个用户的并发连接数比较高、UDP报文在总流量中占比例较多等。

联想网御针对大学网络特点，设计开发了基于IPv6网络安全的方案：

某高校IPv6应用拓扑

在出口处实施联想网御多核万兆安全网关，配置基于IPv6状态包过滤策略，添加PCP端口策略，开启抗攻击模块，开启日志审计模块，开启SNMP协议；

通过全网监控，对IPv6网络流量进行实时监控，使设备安全稳定运行。

三、 下一代网络技术蓝图

随着IPv6网络安全研究和迁移工作的深入，端到端的身份识别与数据加密将是对安全的全新挑战，而IPv6安全领域技术的发展将进一步激发互联网创新信息化社会的潜能，基于此，联想网御公司提出了“构筑IPv6网络云防御体系”的发展愿景，针对IPv6网络建设和过渡时期的网络安全风险的分析，提出了IPv6网络安全保障体系的基本架构，并给出了现阶段IPv6网络安全体系的构建策略，通过静态VSP系统平台保障以及动态网关部署安全的结合，配套完善的安全组织和策略体系，提升IPv6网络整体安全水平，达到网络安全纵深防御的目标，形成安全可管可控可信的高安全IPv6网络架构。

联想网御将与产业同仁紧密合作，在IPv6过渡技术的探索和应用方面，共同推动下一代网络安全解决方案的蓝图，早日实现互联网向IPv6的迁移，支撑我国建立信息化的产业优势。