關(guān)于IPv6，我們比較了它與IPv4相比的差異和優(yōu)勢。但是有一點使我們不曾觸及的，那便是其安全性。
IT專家必須記住IPv6可以追溯到上世紀九十年代，也就是許多現(xiàn)在的安全威脅演化或廣泛傳播之前。因此，IPv6有自己已知的和未知的安全漏洞需要解決。
在這篇文章中，我們提到了IPv6如何使用SLAAC而不是DHCP為端點提供IP地址。只有當你認識到許多管理員將DHCPsnooping作為了解網(wǎng)絡(luò)設(shè)備的方式時，你才會明白這是個很棒的系統(tǒng)。帶有DHCPsnooping的LAN交換機只允許訪問授權(quán)IP或是MAC地址。此外，該功能也可以讓管理員追蹤主機地址并阻止未授權(quán)的DHCP服務(wù)器被安裝到網(wǎng)絡(luò)中。
不過，使用IPv6的話，就沒有DHCP服務(wù)器可在給定IP地址及其相關(guān)MAC地址間查詢鏈接信息。相反，IPv6使用SEND來保護鄰居發(fā)送協(xié)議安全，通過若干策略的使用保護主機以及路由，其中包括加密生成的地址，有RSA密鑰保護的網(wǎng)絡(luò)發(fā)現(xiàn)信息以及信息時間戳。
思科安全系統(tǒng)單位副主席兼總經(jīng)理PatCalhoun透露了一個壞消息——很多目前領(lǐng)先的操作系統(tǒng)，包括微軟和蘋果公司的系統(tǒng)都不支持SEND技術(shù)。
不過有很多方法可以填補這一安全空白。通用的方法是在交換機端口部署一個訪問控制列表(ACL)，大多數(shù)供應商都支持這一性能，因為該性能在IPv4下同樣可以使用，不過IPv6中更為復雜的標頭使得ACL在IPv4下部署起來要復雜一些。有些供應商部署的是室內(nèi)方案，如思科使用RouterAdvertisementGuard。但是，即便是安全補丁也可能存在漏洞。
另一個存在危險的區(qū)域是隧道技術(shù)。IPv4和IPv6協(xié)議之間的隧道技術(shù)雖然加強了兩個網(wǎng)絡(luò)的互操作性，但是如果它沒有受到監(jiān)管就會是另一個安全隱患。在這一的隧道中，惡意鏈接可能對未經(jīng)合理配置的IPv4系統(tǒng)中的IPv6數(shù)據(jù)流加以利用。
通常，IPv6中已經(jīng)包含了合適的安全工具，但是用戶需要學習如何配置和管理新協(xié)議才能將其優(yōu)勢發(fā)揮到極致。
采取措施
據(jù)Meyran透露，一些聯(lián)網(wǎng)硬件聲稱自己具備IPv6安全性，但難免言過其實。很多情況下，做好IPv6的準備意味著下載和安裝可能不遵循行業(yè)標準IPv6分支機構(gòu)的特殊補丁，因此可能會刪除某些安全性能。
入侵防御裝置將深層數(shù)據(jù)包檢測放入以硬件為基礎(chǔ)的引擎中。只是因為這些設(shè)備聲稱自己支持IPv6并不意味著該裝置的深層數(shù)據(jù)包檢測引擎也為其提供支持。IPv4防火墻被用來卸下IPv6數(shù)據(jù)，因為新協(xié)議完全屬于外來物。
這意味著缺乏IPv6安全配置的情況，別人可能在網(wǎng)絡(luò)上運行惡意的IPv6數(shù)據(jù)流。
培訓是非常有必要的。熟悉IPv4的IT專家也需要學習新技術(shù)，因為IPv6不同于之前的技術(shù)，它的運作方式不同，且使用的工具也不同。創(chuàng)建和維持有效安全策略的方法在這兩種技術(shù)之間也并非始終如一。
幸好，有很多資源可用于IPv6的安全培訓。思科就該主題出版了一本厚達576頁的書籍。有些大學正著手提供有關(guān)IPv6的課程培訓。
