基于IPv6的防火墙的关键技术与实现

IPv6 是新一代的IP 协议。它的提出解决了当今IP 地址匮乏的问题，并引入了加密和认证机制，实现了基于网络层的身份认证，确保了数据包的完整性和机密性，因此，可以说IPv6 实现了网络层安全。虽然IPv6 有很好的安全功能，但它替代不了防火墙。目前的防火墙一般提供的都只是物理上的过滤形式，缺少认证和加密机制，如果在防火墙中加入认证和加密机制，那么防火墙功能将更加完善。
随着 Internet 的迅猛发展，目前广泛使用的支持Internet 的IP 层协议——IPv4 突显出了
一系列的问题：
（1）IP 地址的枯竭。现在Internet 的爆炸性增长引发了网络地址不足的危机，并且这
个危机正日益严重，在过去的10 到15 年间，连接到Internet 的网络数量每隔不到一年的时
间就会增加一倍。
（2）IPv4 协议下的安全缺陷。刚开始时连入Internet 的都是侧重于研究与开发的机构，
至少其中的研究人员互相了解，而他们与军队和政府的密切关系也保证了安全性不是一个主要问题。更重要的是，很久以来人们认为安全性议题在网络协议栈的低层并不重要，应用安全性的责任仍交给应用层。
从以上 IPv4 存在的问题看来，从IPv4 向IPv6 的升级是不可避免而且迫在眉睫的。这
就带来一个问题，IPv4 下原来的某些应用以及安全模式是否还适合于IPv6 协议? 同样的，
IPv4 下的各种防火墙模式是否还适合于IPv6 以及如何在IPv6 中应用？由于IPv6 的一些新
增的特性(比如移动性、安全特性等)以及IPv6 的很多标准并没有制定完全，使IPv4 下的防
火墙模式不能很方便地直接应用在IPv6 协议上。本文在分析了基于IPv6 的防火墙原理的基
础上，提出了分组过滤型防火墙、屏蔽主机网关防火墙及屏蔽子网防火墙的实现方法。